航空機の操縦席にみるユーザーインターフェース設計によるミス防止策とは

By Doug

人間が機械やコンピューターを操作する際に情報を表示したり指示を入力する装置はユーザーインタフェースと呼ばれ、その設計の良しあしで操作性や実際のパフォーマンスが大きく左右されると言って過言でないほど重要な役目を持っています。実際に起こった飛行機事故のケースをもとに、ミスを防ぐUI設計における一つの解決策が述べられています。

Poor UI Design Can Kill – Air Inter Flight 148, a harsh lesson learned | Martin Doms
http://blog.martindoms.com/2011/01/24/poor-ui-design-can-kill/

1992年1月20日、エールアンテールが運行するITF148便はフランスのリヨンから国内北東部に位置するストラスブール国際空港に向けて飛行していました。目的地が近づき、機体は着陸のためのアプローチを開始。パイロットは自動操縦装置に機体の降下率を入力し、空港に向けて高度を下げるよう指示を行いました。

当日の天候は雲が多くパイロットの目による視認性はあまり高くない状態の中、機体は指示どおりに下降を開始。滑走路に向けて順調にアプローチを続けていたと思われていたITF148便でしたが、空港よりも手前の地点で雲の中から姿を現した山の中腹に墜落し、乗員乗客96名のうち87名が死亡するという事故が発生しました。

このときの機体は、エールアンテールがローンチカスタマーを務めたエアバスA320型機で、民間機としては初めて機体の操縦にコンピューターによる制御が全面的に取り入れられた当時としては最先端のハイテク機でした。地面との接近を感知して墜落の危険を知らせるGPWS(対地接近警報装置)が装着されていなかったのも事故の原因の一つではあったのですが、最も重要な要因はパイロットが操作した自動操縦装置のユーザーインターフェースに存在していたことがわかっています。

By Wikipedia

A320型機のコックピットはこんな感じ。主要な計器はパイロットの目の前に配置された6面の液晶ディスプレイに表示されており、まるでコンピューターの存在を見せつけるかのよう。さらに、操縦の際にはハンドル型の操縦桿は用いられず、パイロットの座席の斜め前に配置されたジョイスティック型のサイドスティックを操作するというものとなっています。パイロットの操作は直接機体には伝えられず、指示が入力されたコンピューターが最もよい操作を計算して機体を実際に動かすというフライ・バイ・ワイヤのシステムが民間機で初めて取り入れられています。

By Wikipedia

そして、ITF148便のパイロットが着陸に向けて機体の下降率を設定する際に用いた「問題の」装置がこちら。写真の矢印の先には降下率を示す「-2.8」という数値が表示されており、その下にあるダイヤルを回して数値を入力するようになっています。

上記の数値は参考のものですが、実際の事故発生時にはITF148便のパイロットは「下降率3.3」を入力するためにダイヤルを回して「-3.3」と表示させ、コンピューターに数値を入力。しかしこの部分の表示方法には、機体が下降する角度を示す「フライト・パス・アングル(FPA)」と垂直方向の下降速度を示す「バーティカル・スピード(VS)」という2つのモードが存在しており、ひと目見ただけでは区別がつきにくいものになっていました。この部分は、安全性を確保する上での盲点だったと後に認識されることになります。

パイロットは数値を「-3.3」としたことでFPAモードの下降率を「-3.3度」に設定したつもりだったのですが、実際のパネルのモードはVSモードになっており、1分あたりの垂直速度が「3300フィート(約1000メートル)」に設定されてしまっていたことが事故調査の結果で明らかにされています。

本来のFPAモードで-3.3に設定していた場合の垂直速度は分速800フィート(約244メートル)。モードの切り替えを間違えたことで実に4倍以上の下降速度が設定されてしまうことになり、ITF148便は本来よりも4倍も速いペースで地面に接近し、山の中腹に墜落してしまうという悲劇を招くこととなってしまいました。

◆モードを選択させる設計が招く「モードエラー」
上記のITF148便による事故は、パネル表示のモード切替が原因となって引き起こされた悲劇だったわけですが、このような「モードエラー」は身近なところにも点在しています。たとえばGoogle Chromeを使ってウェブを見る時に、シークレット モードでタブを開いていることもあるはず。

シークレットモードは自ら選択しないと起動しないため、「気付かないうちに開いていた」ということはほとんど発生しないものですが、そのままブラウジングを続けているとシークレットモードであることを忘れてしまい、つい通常の感覚で操作をしてしまうもの。そのため、開いていた重要なページを不注意で閉じてしまい、もう一度開きたくても履歴が残されない仕様のために泣く泣く諦めざるを得なかったり、Cookieが削除されて以前に訪れたページにログインできなくなってしまうといった事態が発生することもあります。

このような問題を避けるためには、以前からも「モード選択を可能な限り排除する」という設計思想が唱えられています。一つの場所で複数の情報を表示させるモード選択は不要な問題を引き起こす要因となるため、隠れたリスクをあらかじめ排除しておくというものですが、UI設計の制約の中ではなかなか実現が難しいこともあります。

しかしそのような場合には、前述のA320型機の対策がヒントの一つになるかも。事故以来、エアバスは問題の箇所の表示仕様を変更し、VSモード(垂直速度モード)の際の表示を4ケタに変更しました。VSが毎分3300フィートの場合は「-3300」、FPAが-3.3度の場合には「-3.3」と表示されるように変更されています。

モード選択そのものは残ったままではありますが、誤解を発生させないための工夫を忘れてはならないという教訓となりそうです。