Na onze analyse in mei van de trackingapp NHSX van het Verenigd Koninkrijk, het nieuws dat het VK overstapt op de Exposure Tracking-API’s van Apple en Google, en het recente verschijnen van contactonderzoek op iPhones, deel ik een analyse van wat er sindsdien is gebeurd.
Er is veel politiek in het spel geweest in de manier waarop de Britse COVID-aanpak is gecommuniceerd, en er zijn een aantal veelvoorkomende misverstanden.
Het eerste misverstand is dat de regering vastbesloten was om “het alleen te doen”. Het klopt dat ze aankondigden dat ze dat gingen proberen, maar het is ook een feit dat ze eveneens opdracht gaven om een implementatie te bouwen met de API van Apple en Google. Dat gebeurde op 6 mei 2020, en het contract is hier te lezen. Dat was vóór de proef op het Isle of Wight en vóór enige externe analyse van de NHSX-app.
Het tweede misverstand is dat de NHSX-app onvoldoende zou zijn getest. Toen de proef op het Isle of Wight begon, maakte NHSX de broncode van de app openbaar en deelde het een aantal documenten over hoe de app was gebouwd en getest. Veel journalisten vroegen me of wij vonden dat die documenten lieten zien dat er een adequate testmethodiek was gebruikt. De ontdekking die Reincubate deed en beschreef was dat het NHSX-team een nieuwe techniek had gevonden om de tekortkomingen van de Australische contactonderzoeksapp aan te pakken, maar dat het niet duidelijk was hoe goed die zou werken.
Commentatoren, deskundige analisten en het cyberbeveiligingsbedrijf dat de BBC had ingehuurd hadden over alles weinig zekerheid, behalve over het feit dat de aanpak met de API van Apple en Google technische voordelen had, en dat de enige manier om vast te stellen hoe effectief deze techniek zou werken, met de voorbehouden die erbij hoorden, was om haar te testen.
De ideale test van een complex systeem als dit is natuurlijk om het uit te rollen bij een redelijk aantal gebruikers om gegevens uit de praktijk te verzamelen over hoe goed het werkte. Dat is precies wat er gedaan is, en het is vreemd dat sommige commentatoren de proef op het Isle of Wight door elkaar haalden met een uitrol die geen proef was.
Ten derde is er het misverstand dat de NHSX-app weggegooid geld was, of leidde tot vertraging bij het uitrollen van een “werkende” app door de regering. Dit klopt om twee redenen niet. Zoals ik in mei al schreef, was het inzetten van een app met de API van Apple of Google geen praktische optie. Ik deelde de volgende vier punten:
- iOS 13.5 is nog niet uitgebracht en dat duurt mogelijk nog enkele weken
- Tot gisteren had de laatste iOS 13.5-bèta een ernstige beveiligingsfout, wat erop wijst dat er bij de engineeringteams van Apple hard wordt gewerkt
- Zodra het is uitgebracht, zal het waarschijnlijk maanden duren voordat een meerderheid van de iOS-gebruikers het heeft geïnstalleerd (ongebruikelijk genoeg kan de acceptatie op Android sneller gaan)
- Oudere iOS-apparaten, zoals de iPhone 6, kunnen iOS 13 niet draaien en kunnen de techniek van Apple dus niet gebruiken
Sindsdien is er niet veel veranderd. iOS 13.5 werd op 20 mei uitgebracht met de “exposure notification”-API’s. Statscounter meldde aan het einde van die maand een acceptatiegraad van 2,2% voor 13.5, en slechts 37% voor iOS 13.4 van maart. iPhones die pas in 2015 zijn verkocht, kunnen iOS 13 niet draaien, en het zal waarschijnlijk tegen het einde van 2020 zijn voordat een redelijk aantal gebruikers 13.5 draait. (In juni 2020 laten de cijfers van Apple zien dat 92% van de apparaten iOS 13 draait, maar daarin zijn apparaten die ouder zijn dan 4 jaar niet meegerekend.)
Gezien hoe belangrijk acceptatie is om de technologie te laten werken, zou het daardoor haalbaar kunnen zijn om pas in begin 2021 het gebruik van de API’s van Apple te onderzoeken. Misschien kan het een vertraging worden genoemd als het VK over een paar maanden nog geen tool op basis van de API van Apple en Google heeft. (Singapore rolt speciale hardwareapparaten uit onder zijn bevolking om dit probleem aan te pakken.)
Intussen is de proef op het Isle of Wight echter afgerond, net als de tests van de API’s van Apple en Google. De gegevens zijn voor beide benaderingen weinig bruikbaar, waarbij de London Assembly afstandsproblemen bespreekt. De BBC merkte op:
Specifically, the software registered about 75% of nearby Android handsets but only 4% of iPhones. By contrast, the Apple-Google model logged 99% of both Android mobiles and iPhones. But its distance calculations were weaker. In some instances, it could not differentiate between a phone in a user’s pocket 1m (3.3ft) away and a phone in a user’s hand 3m (9.8ft) away.
De beschuldiging van “weggegooid geld” is een ongebruikelijke. Als een regering te maken heeft met sterfgevallen onder haar burgers, welke prijs moet ze dan stellen op investeren in technologisch onderzoek en ontwikkeling om levens te redden? Hadden ze moeten wachten (of, praktisch gezien, nog steeds moeten wachten) tot de oplossing van Apple beschikbaar zou zijn? Als ze daarop hadden gewacht en vervolgens problemen hadden gekregen met afstandsmeting en de acceptatie van iOS 13.5, lijkt het niet zo erg om miljoenen ponden uit te geven aan onderzoek of een andere aanpak zou kunnen werken. Zoals het nu ging, lijkt de tweesporenaanpak van het VK de gouden standaard: niet met de handen in de schoot wachten op iets van de techreuzen dat misschien niet werkt.
Tot slot tekent zich een nieuw beeld af, namelijk dat technologie geen wondermiddel zal zijn voor contactonderzoek. Geen van beide gebruikte benaderingen, die van NHSX of die van Apple en Google, werkt zo goed als gehoopt.
Het probleem lijkt viervoudig te zijn:
- Acceptatie (gebruikers hebben niet de iOS-updates of Android-software die nodig zijn om de technologie te gebruiken)
- Hardwarecapaciteit (iPhones uit 2015 kunnen de app niet draaien, en het gemiddelde Android-apparaat heeft Bluetooth van lage kwaliteit dat afstand niet goed bijhoudt)
- Privacy (gebruikers maken zich zorgen over het installeren van de apps of het verlenen van toegang daartoe, en dat Apple het instellingenmenu voor zijn systeem beschikbaar maakte, was voldoende om eind juni in het VK ophef te veroorzaken)
- Gedrag (gebruikers zullen COVID-meldingen of testvereisten niet per se opvolgen om de apps te laten werken; er zijn nu al zorgen over veel eenvoudigere regels voor social distancing die worden genegeerd)
Hoewel sommige landen beperkt succes hebben geclaimd met hun contactonderzoeksapps, zijn er weinig gegevens, en de vraag of de technologie werkt is nu nadrukkelijk een politiek gestuurd verhaal en geen technologisch verhaal. Mijn visie is dat het beste wat gebruikers van deze technologieën kunnen krijgen gedeeltelijk nauwkeurige blootstellingsmeldingen zijn, in plaats van contactonderzoek.
Het kan zijn dat geen van beide benaderingen uiteindelijk effectief is in het volgen en beheersen van de verspreiding van COVID-19, maar het is moeilijk om te betogen dat het niet zinvol is om in een aantal technische oplossingen te investeren in de hoop dat dat wel lukt.
