2018 年一月 16 日

夏威夷假警報風波，糟糕介面設計惹的禍

作者：Lillian Huang

上周末，夏威夷人白白被嚇了一回。夏威夷時間1月13日（周六）早上8點07分，當地居民手機都收到了緊急推送播消息：“BALLISTIC MISSILE THREAT INBOUND TO HAWAII. SEEK IMMEDIATE SHELTER. THIS IS NOT A DRILL.”（彈道飛彈威脅來襲，請儘速避難。這不是演習！）

圖源：華盛頓郵報

這個警報非常嚇人，因為近期美國與北韓關係緊張。就在近幾個月，夏威夷才為了因應北韓的核武威脅，重新啟動冷戰時期的核彈空襲警報機制。根據外國媒體報導，原本愜意的週末假期，頓時變成驚嚇，甚至有人和家人哀傷的臨終道別，收到警報的手機螢幕截圖也在 Twitter 爭相轉傳。

一直到13分鐘後——約8點20分，發出警報的夏威夷緊急事務管理局（Hawaii Emergency Management Agency）才在 Twitter 表示，這是誤發的警報。8點45分，緊急事務管理局終於二度推播到大家的手機，表示先前警報錯誤，目前夏威夷並無危險。這時距離「假警報」發出引發恐慌，已經足足38分鐘。

圖源：Inverse

事件發生後，各方紛紛究責，大略知道主因是夏威夷緊急事務管理局的員工在例行測試流程中失誤。而詳情可能有點讓人傻眼。

原來，這位員工當天早上需要執行一項內部警報測試，因此他登入系統，準備發送測試警報。根據華盛頓郵報1月16日採訪夏威夷緊急事務管理局發言人拉波薩（Richard Rapoza）後歸納出的說法，在這套應急警報播發系統中，最終發送前的下拉選單（drop-down menu）包含兩個選項，一是「Test missile alert（測試導彈警報）」，另一個就是「Missile alert（導彈警報）」，本來應該是點選前者，結果操作的員工可能「手滑」，誤選了後者。然後......警報就這樣發出了，引發大亂。

夏威夷當地媒體Honolulu Civil Beat則在夏威夷州長記者會前，進一步秀出這張州長辦公室官員提供，據說是員工看到系統螢幕畫面的截圖，再度引起社群譁然，因為比想像中的「下拉式選單」更恐怖，只是一排紊亂、未經分類的藍色超連結，宛如回到網路初生的1995年，示意圖如下。

這一排文字中，PACOM則是美軍太平洋司令部，是軍方警報，那位員工原該點選”DRILL - PACOM (CDW) - STATE ONLY”，但誤觸”PACOM (CDW) - STATE ONLY”。最上排的”BMD False Alarm”則是事件發生後，夏威夷緊急事務管理局臨時加上的更正訊息選項。可以看到測試、演習、正式指令，以及軍方、失蹤兒童（Amber Alert）、海嘯與路面坍方等不同類型的警報全混在一起。

（州長辦公室和夏威夷緊急事務處理局隨後否認這張圖就是誤觸指令員工看到的畫面，說只是示意，真正的圖比較像這張：）

圖源：Honolulu Civil Beat

但不管怎樣，僅僅因為一個員工的「手滑」，就引發這樣的大亂，顯然這已經不是個別員工的問題，而是整個工作流程裡，防止失誤的安全管控機制做得不好。拉波薩承認這個問題，表示目前系統沒有第二人確認機制、也沒有立即更正錯誤警報的方法。

拉波薩說，當局已暫時將這位員工調離職位，但不會開除他，目前的首要之務是修正系統與安全管控流程，未來發送訊息時，將有第二人確認，若誤發假警報，更正訊息也會在第一時間隨之送出。

Quartz網站記者Nikhil Sonnad直呼「糟糕的介面設計」是夏威夷誤發警報事件的元兇。他舉例說，以下拉式選單選自己的國籍時，常常誤選到「United Arab Emirates」，只因為這個選項離「United States」太近。

Nikhil Sonnad說，目前已知「Test missile alert（測試導彈警報）」和「Missile alert（導彈警報）」放在同一個選單介面中，Nikhil Sonnad認為，這兩者性質顯然不同，測試警報是使用較頻繁、影響較輕微的功能，導彈警報則是少用而影響巨大的功能，用下拉式選單把這兩個放在一起，本來就值得檢討。

不管如何，這個案例再次提醒我們，不管是軟體的介面設計，或工作流程的防錯、防呆設計，都是系統設計者需要好好考量的。有時，系統設計導致的錯誤不會像夏威夷事件一樣馬上爆發，但卻像埋藏已久的地雷，一出問題也是不得了。例如，我們在NG！這樣的表單設計請避免(1)——別忘了設計「獨特值」欄位這篇文章提到的，如果你沒有幫表單設計一個獨特值欄位，有一天或許會發生KEY訂單時選錯客戶而不自知的事件。