Menu


Havaijin varoitus­järjestelmä uudelleen­suunniteltuna

22.1.2018

Havaijin ohjushälytyksen käyttö­liittymä on malli­esimerkki siitä, mitä huono käytettävyys voi saada aikaan. No, suunnitellaanpas se uusiksi.

Maailmasta loppuivat hetkellisesti nenään vedettävät herneet, kun kuvat Havaijin ohjushälytyksen käyttöliittymästä julkaistiin verkossa. Vaikka julkaistut kuvat eivät turvallisuussyistä vastaakaan täysin todellista käyttöliittymää, ei tarvitse olla UI-suunnittelija heittääkseen ensimmäisen kiven.

Alkuperäinen käyttöliittymä Havaijin hallituksen julkaisemat kuvat varoitusjärjestelmän käyttöliittymästä. Lähde: Honolulu Civil Beat

Tässä tapahtuma pähkinän­kuoressa: turha – koko osavaltion laajuinen! – ohjushälytys aiheutui siksi, että päivystävä työntekijä oli painanut käyttöliittymässä väärää nappia. Yhdysvaltain kansalaiset ovat ymmärrettävästi närkästyneitä, ja moni onkin esittänyt kysymyksen siitä, voisiko myös päinvastainen tapahtua; mitä, jos oikean ohjusuhan koittaessa surkea käyttöliittymä aiheuttaisikin väärän ilmoituksen lähettämisen?

Käyttöliittymässä runsaasti aukkoja

Julkisesti ilmoitettu tapahtuman kulku on hieman epäselvä, mutta ilmeisesti väärä hälytys on tapahtunut vuoronvaihdon yhteydessä, jolloin hälytys­järjestelmää testataan rutiinin­omaisesti. Mikäli kuvakaappaus on edes lähellä oikeaa versiota, ei voi tosiaan kuin ihmetellä, miten väärältä hälytykseltä on vältytty näihin päiviin asti.

Äkkiseltään katsottuna käyttö­liittymässä on useampikin ongelma:

  • Kaikki elementit ovat visuaalisesti samanlaisia. Kun yksi painike on pari kertaa päivässä suoritettava testi, ja toinen vasta maailmanlopun alla käytettävä harvinaisuus, tulisi niiden viestiä eroaan myös ulkoasullisesti.
  • Toimintojen löytämisen helpottamiseksi ei olla käytetty minkäänlaista visuaalista hierarkiaa. Elementtien ryhmittely ja järjestys vaikuttaa satunnaiselta, ja käyttäjän on yksinkertaisesti selattava kaikki vaihtoehdot läpi löytääkseen etsimänsä toiminnon.
  • Virhepainalluksen helppous. Elementit ovat vieri vieressä, jolloin käyttäjän on helppo klikata puoli senttiä ohi aikomastaan painikkeesta.
  • Testauksen ja tositilanteen toiminnot ovat kaikki samassa näkymässä, mikä on varsin erikoista, ottaen huomioon toimintojen käyttöasteen.
  • Virheellistä toimintoa ei voi perua. Järjestelmässä on toki vahvistusdialogi, mutta tyypillisesti mokat huomataan vasta puoli sekuntia itse virheen jälkeen. Käyttöliittymässä ylimpänä oleva ”BMD False Alarm” -painikekin lisättiin vasta tapahtuman jälkeen.
  • Käytetty kieli on epäselvää, akronyymien valtaamaa viranomaismongerrusta. Toki käyttäjä on asiaan vihkiytynyt ammattilainen, mutta voisihan tuon ”PACOM (CDW)” ilmaista vähän selkeämminkin.

Aidon pioneerihengen mukaisesti päätin suunnitella koko roskan uusiksi seuraavilla periaatteilla:

  • Käyttöliittymän tulee kommunikoida tilastaan selkeästi; testi- ja tositila on erotettava toisistaan
  • Painikkeiden seuraamukset on oltava nähtävissä selkeästi
  • Käyttöliittymässä on oltava yksinkertainen peruutustoiminto

En luonnollisesti voi tietää kaikkia salaiseksi luokiteltuja järjestelmän vivahteita, eli uudistukseni ei voi sanoa olevan täysin – kröhöm – pomminvarma.

Eri tila testaamiselle ja tositilanteelle

Aloitetaan siitä, että testi- ja tositilanne laitetaan aivan omiksi tiloikseen, ja tilan saa vaihdettu ylänurkan kytkimestä. Kulloinkin käytössä oleva tila ilmaistaan tekstillä, sekä live-tilan tapauksessa punaisella väriteemalla.

Testitilan uusittu versio Testi- ja tositilan välillä on mahdollista vaihtaa erillisesti kytkimestä.

Koska Live-tilan käyttäminen on erittäin harvinaista, on kytkin oikeassa reunassa hieman syrjässä. Tilojen välillä siirtyminen on syytä olla kuitenkin helppoa, sillä tositilanteessa käyttäjä on varmasti hyvin hermostunut, ja ydinvaaran uhatessa hiirikäsikin jo saattaisi hieman täristä. Tilakytkin on siis hieman suurempi kuin ”normaalissa” käyttöliittymässä.

Testi- ja tositilanne on eriytettävä omiksi tiloikseen.

Väreiksi olen valinnut testitilaa kuvaavan sinisen, sekä vaaratilaa varten vastaavasti punaisen. Värit ovat selkeästi erotettavissa myös värisokeille; Yhdysvaltain puolustuselimissä varmasti työskentelee useita miehiä, ja värisokeus on miespopulaatiossa melko yleistä.

Ohjushälytykseen liittymättömät asiat on siirretty erilliseen näkymään (ei suunniteltu tähän), josta ohjushälytykseen pääsee siirtymään ohjuspainikkeella varustutetusta ”PACOM Missile Alert” -napista. Näin ohjuksiin liittyvät asiat ovat aivan eri näytöllä kuin maansiirtymistä johtuvat tiesulkuasiat, minkä nyt luulisi olevan itsestään selvää.

Painikkeiden toiminto selkeäksi

Aivan ensimmäinen temppu itse toimintojen selkeyttämisessä on siistiä käyttöliittymän kieli, eli sanotaan esimerkiksi ennemmin ”Launch live alert” kuin ”PACOM (CDW) – STATE ONLY”. Yleisesti ottaen toimintopainikkeiden funktiot on helpompi ymmärtää, jos niissä käytetään verbejä.

Koska käyttöliittymän toimintojen seuraamuksien erot ovat valtaiset, tulisi myös painikkeiden viestiä niistä käynnistyvien toimintojen seuraamuksista. Tämä on toteutettu uudistuksessa kahdella tavalla: näyttämällä viestin vastaanottavien tahojen määrä sekä itse viestin tekstisisältö.

Live-tilan uusittu versio Toimintojen seuraamukset näytetään vastaanottajien määrällä ja viestin esikatselulla.

Lisäksi lisäsin testipainikkeisiin tiedon viimeisestä käyttökerrasta, jolloin ne on ennestään helpompi erottaa live-tilan painikkeesta, ja auttavat rutiinitestien suorittamista.

Tositilanteessa järjestelmän käyttäjä ei todellakaan kaipaa ylimääräisiä ärsykkeitä.

Pian ruutukaappausten julkaisun jälkeen lukuisat amerikkalaiset ilkkuivat, kuinka helppo ongelmat olisi korjata lisäämällä ”valtava, punaisena välkkyvä varoitus­teksti” tositilanteen toimintoon. Äkkiseltään ajateltuna tämä kuulostaa loogiselta, mutta on syytä muistaa, että kyseessä on tuhansien henkien suojelemiseen tarkoitettu järjestelmä. Tosi­tilanteessa järjestelmän käyttäjä ei todellakaan kaipaa mitään ylimääräisiä ärsykkeitä tai epäröintiin johtavia välkkyvaloja, vaan yhden selkeästi erottuvan toimintapainikkeen.

Hälytysfiaskon jälkeen käyttö­liittymään lisättiin myös toiminto, josta voi lähettää ilmoituksen väärästä hälytyksestä. Erikoista kyllä, se on sijoitettu toiminto­listan kärkeen, vaikka sen käytön todennäköisyys on häviävän pieni. Korjatussa versiossa toiminto onkin käytettävissä vasta silloin, kun liveä-hälytys on juuri laukaistu.

Jos kumoaminen ei onnistu, feikataan se

Periaatteessa vahvistusdialogien pitäisi tehdä kaikki inhimilliset virheet mahdottomiksi. Käytäntö kuitenkin on jotain aivan päinvastaista.

Järjestelmien käyttäjillä on yleensä jokin päämäärä: tallenna tiedosto, osta housut, laukaise testihälytys... käyttäjän ollessa tällaisessa tavoitetilassa, kokee hän pääsääntöisesti kaikki dialogit esteenä tavoitteelleen. Useimmat käyttäjät vain klikkaavat dialogit kiinni ennen kuin aivot edes ehtivät prosessoida niiden sisältöä. Rutiininomaisissa tehtävissä – sanotaan nyt vaikka jokaisen vuoronvaihdon yhteydessä tehtävissä testeissä – tämä edelleen korostuu, polun ollessa käyttäjälle ”liian tuttu”.

Vahvistusdialogin uusittu versio Peruutusdialogi, joka antaa käyttäjälle hetken aikaa peruuttaa prosessi.

Vahvistusdialogia joustavampi vaihtoehto onkin toiminnon kumoaminen (undo). Koska kokonaiselle osavaltiolle lähetettävää varoitusviestiä tietenkään ei voi kumota samalla tavoin kuin tiedoston laittamista roskakoriin, täytyy toiminto feikata.

Alan oppikirjat saivat herkullisen esimerkin käytettävyyden tärkeydestä.

Gmail-käyttäjille tekniikka on tuttu: kun käyttäjä käynnistää toiminnon, ei se todellisuudessa käynnistykään vielä, vaan järjestelmä käynnistää ajastimen. Ajastimen käydessä käyttäjän on mahdollista peruuttaa toiminnon suorittaminen.

Koska ohjusjärjestelmän tapauksessa sekunnit ovat kalliita, ei tällainen ajastin saa olla käynnissä kuin hetken. Noin kolmen-viiden sekunnin mittainen hetki antaa jo käyttäjälle mahdollisuuden havaita mahdollisen virheensä ja painaa peruutusnappia.

Lopuksi: jos tästä ohjusjupakasta jotain positiivista pitää löytää, niin ainakin alan oppikirjat saivat herkullisen esimerkin käytettävyyden tärkeydestä.

« Takaisin blogilistaukseen