reliability and safety IN Man-Machine-Systems
Marie Havlíková1
1 FEKT VUT v Brně, Ústav automatizace a měřicí techniky, havlika@feec.vutbr.cz
Abstrakt
Hodnocení spolehlivosti a udávané spolehlivostní parametry se týkaly až do počátku 90tých let výhradně technického zařízení nebo konkrétního přístroje a nebylo kvantitativně vyhodnocováno ovlivnění spolehlivosti systému člověkem, který ho obsluhuje nebo řídí. V současné době je patrná snaha vědeckých týmů na celém světě sledovat a vyhodnocovat vlastní příčiny selhání a rozlišit tak, do jaké míry se člověk svoji činností podílel na vzniku poruchy. Ukázalo se, že je však nesmírně obtížné vypracovat univerzální hodnotící postupy vzhledem k velmi odlišným oblastem činností člověka s výrazně specifickými pracovními postupy, které nelze unifikovat nebo slučovat a přiřazovat jim tak stejné tabelované hodnoty.
Klíčová slova: systém člověk – stroj, spolehlivost, bezpečnost systémů s lidským operátorem, lidský činitel, priorita rozhodování v systémech MMS, výměna informací a komunikace v systémech MMS, činnosti člověka v systémech MMS
Abstract
Until the 90’s, the reliability classification and determinated reliability parameters are exclusively concerned in a technical device or a specific instrument. The human managed and operated system interference of reliability was not quantitatively analyzed. Currently there is a science team dispositions over the world to monitor and analyze own causes of fails and to determine how the human with own activities affects the fault occurrence. It turned out that it is very difficult to elaborate universal evaluative procedure with regard to very distinct human activity spheres with markedly specific techniques to be impossible to unify or unite assigning to that identical table values.
Keywords: man – machine systems, reliability, human operated system safety, human factor, decision priority in MMS systems, information interaction and communication in MMS systems, human activities in MMS systems
Z historického vývoje bylo prokázáno, že bezpečnost a spolehlivost technických systémů může být rozhodující měrou ovlivněna jednáním lidí při řízení, regulaci nebo obsluze technických procesů a zařízení. Pro obsáhlou a úplnou bezpečnostní analýzu systému MMS je důležité analyzovat jak technické komponenty systému, tak i činnosti člověka v daném systému. Je nezbytné vycházet ze sledování systému jako celku, analyzovat i činnosti člověka a uvažovat o tom, jak lidský faktor ovlivňuje hodnocené technické parametry. Situace je blokově znázorněna na obrázku 1.
Obrázek 1: Lidská a technická spolehlivost v systému MMS [3]
Spolehlivost člověka v systému MMS je nutno vidět v souvislosti s technickým systémem [3]. Mezi spolehlivostí technických subjektů a spolehlivostí lidského subjektu jsou základní rozdíly především ve:
Člověk zapojuje pro dosažení cíle nebo splnění úlohy aktivně svoje vědomí a vede své chování vždy cíleně. Na základě analýzy skutečného stavu může zvolit i jiné prostředky nebo postupy, než které mu byly předepsány či doporučeny. Pravděpodobnost chybného provedení konkrétní úlohy člověkem může být vysoká, ale přesto nemusí být snížena spolehlivost celého systému. Člověk má schopnost svoje jednání neustále kontrolovat a modifikovat, chybné kroky v jednání dokáže korigovat dříve, než dojde k negativnímu zapůsobení na systém.
V literárních zdrojích [2], [3] se objevuje definice spolehlivosti lidského činitele nejčastěji jako:
V definici termínu „spolehlivost lidského činitele“ se vychází z lidského práva na chybu. Lidské chyby lze definovat jako poruchy v prováděné činnosti. Člověk si chyby může a nemusí uvědomovat. Podle způsobu realizace jde o chyby způsobené buď nevědomou nepozorností, omylem z neznalosti nebo vědomým omylem. Příčiny lidského selhání mohou spočívat v chybném příjmu informace, chybném zpracování nebo nesprávné interpretaci informace.
Neexistuje jednotná a exaktní definice spolehlivosti. Podle spolehlivostních norem [16], [17] je spolehlivost chápána jako obecná vlastnost objektu spočívající v plnění požadované funkce při zachování hodnot stanovených provozních ukazatelů v daných mezích a v čase podle technických podmínek. Z pohledu čistě matematického je spolehlivost chápána jako pravděpodobnost, že činnost zařízení bude během určené doby a v daných provozních podmínkách přiměřená účelu zařízení. V současné době se uznává komplexnější pojetí a spolehlivostí se rozumí soubor jistých vlastností výrobku, které zaručují splnění požadavků kladených na jeho řádnou činnost za daných pracovních podmínek. Jde zejména o provoz bez poruch, opravitelnost, udržovatelnost, skladovatelnost a další.
Pravděpodobnost poruchy Q(t) |
![]() |
Hustota pravděpodobnosti poruchy f(t) |
![]() |
Pravděpodobnost bezporuchového provozu R(t) |
![]() |
Intenzita poruch ?(t) |
![]() |
Střední doba bezporuchového provozu pro neobnovované výrobky TS (během této doby nenastane žádná porucha |
![]() |
Střední doba mezi poruchami u obnovovaných výrobků TSu obnovovaných výrobků s kumulovanou dobou provozu tp pro n vadných výrobků |
![]() ![]() |
Okamžitý součinitel pohotovosti KP – pravděpodobnost provozuschopného stavu (kumulativní doba provozu tp, kumulativní doba opravy to |
![]() |
Střední doba opravy TO pro n poruch |
![]() |
Střední frekvence oprav μ |
![]() |
Součinitel prostoje Kn |
![]() |
Součinitel technického využití Ktv s plánovanou dobou údržby tu |
![]() |
Tabulka 1: Spolehlivostní ukazatele technických systémů
Kvantitativní určení a stanovení bezpečnosti a pohotovosti technických systémů se provádí pomocí pravděpodobnostní analýzy bezpečnosti PSA (Probabilistic Safety Analysis). Vzhledem k tématickému zaměření článku na spolehlivost lidského činitele je uveden v tabulce 1. pouze základní přehled nejdůležitějších kvantitativních parametrů pro výpočet spolehlivostních ukazatelů technických zařízení.
Všechny živé bytosti patří do pravděpodobnostních systémů, jejich chování je předvídáno s určitou pravděpodobností podle předchozího stavu. Je zřejmé, že nejsložitějším živým systémem je člověk se svým mozkem a vědomím. Termín „spolehlivost lidského činitele“ [3] je definován jako pravděpodobnost, že osoba korektně vykoná konkrétní systémem vyžádané aktivity během dané časové periody bez použití extrémních činností, které by vedly k degradaci systému.
Metody zabývající se analýzou spolehlivosti lidského činitele vznikaly na základě potřeby popsat nekorektní lidské aktivity v systému MMS v kontextu pravděpodobnostního odhadu rizika PRA (Probabilistic Risk Assessment) a pravděpodobnostní analýzy bezpečnosti PSA (Probabilistic Safety Assessment). Jsou tudíž založeny na stejných matematických postupech, jaké se používají pro všeobecné spolehlivostní analýzy technických zařízení. Hlavní metody byly vyvinuty v polovině 80tých let jako následek obavy z neštěstí v roce 1979 v jaderné elektrárně Three Mile Island. V současné době jsou souborné analýzy a hodnocení lidského subjektu HRA (Human Reliability Assessment) v systémech MMS postaveny na detailním rozvržení funkcí, úkolů a zdrojů mezi člověkem a strojem. Cílem je identifikovat typy chybných činností člověka a kvantifikovat pravděpodobnost vykonání chybné operace.
2.1 Oblasti zájmů
Zájem analyzovat spolehlivost lidského činitele nastal zejména s rozvojem nukleárních aplikací. Bylo vysledováno, že 50 – 70% nahlášených chyb a závad na pracovních operačních systémech je způsobeno lidským činitelem. Od poloviny 80tých let byly metody a nástroje HRA transformovány přeneseny do vojenských a zbrojních systémů. V oblasti automatizace a řídící techniky se stal hlavním a klíčovým pravidlem či směrnicí konstrukce nebo vytváření takových systémů, které by byly nejen konkurence schopné a ekonomicky zajímavé ale především byly dokonalé po stránce kvality.
Systém řízení jakosti stanovuje cíle a dosažení cílů se standardním postupem děje prostřednictvím technických a ekonomických potřeb. Hodnocení rizika a bezpečnosti jsou v současné době hlavními ukazateli nebo indikátory pro návrh či plánování provozu systému a musí umožňovat splnění požadavků, reprezentovat a zahrnovat všechny nejnovější aspekty nových technologií. Indexy rizika nebezpečí a bezpečnosti všeobecně souvisí a jsou spojovány se spolehlivostní funkcí systému. Až do současnosti vědci soustřeďovali svoji pozornost výhradně na odhad spolehlivosti technologických systémů. V důsledku vypracování nových fyzikálních technologií a vytváření velmi složitých, komplikovaných a propracovaných modelů schopných simulovat dané systémy byly rozšířeny o nové poruchové a zranitelné systémové stavy. Vědecká komunita se shodla na tom, že příčiny poruch a následně i nehod primárně souvisí s aspekty, jejichž původ je fyzikální nebo lidský. Na základě tohoto přístupu se rozlišují základní skupiny příčin nehod jako jsou pracovní stres, pracovní prostředí a lidské jednání. [1], [2], [4].
Zájem o lidský subjekt a jeho působení v systémech souvisí a je v souladu rovněž s vývojem nových informačních technologií, které určují a přiřazují člověku nové podmínky, působení a vzájemnou interakci mezi člověkem a strojem. Z analýzy literárních pramenů jako např. [7], [8] je evidentní, že právě vzájemné interakce mezi člověkem a strojem jsou všeobecně a vcelku zanedbávány. A až v současné době, kdy existují analýzy a metody HRA používané v řídících provozech jaderných elektráren, ve vojenských aplikacích a v leteckém průmyslu, byly objeveny významné nedostatky v přístupech a získávání spolehlivostních údajů. Příčinou těchto nedostatků je právě lidský element, který nebyl důsledně zahrnut do vývoje spolehlivostních postupů [9],[10],[11].
2.2 Nutnost hodnocení a kvantifikace
Kvalita technického zařízení či výrobku je vyhodnocována spolehlivostními ukazateli a metodické postupy hodnocení spolehlivosti jsou dokonale propracovány. V systémech MMS je přítomen spolu s technickým zařízením i člověk a tedy je nutno jeho působení hodnotit a kvantifikovat tak, aby bylo možno určovat celkové spolehlivostní parametry systému.
Spolehlivost lidského činitele je aplikována hlavně v kontextu s hodnocením rizika u potencionálně nebezpečných systémů jako je provoz jaderných elektráren, chemických závodů, provoz hromadných dopravních prostředků, řízení letového provozu, příprava nebo řízení kosmických letů. Mnoho podrobných informací lze nalézt v publikacích autorů [12], [13], [15].
Kvantitativní hodnocení lidského chování a jednání v systémech MMS se stalo jedním z vědeckých aspektů a nedílnou součástí celkové bezpečnostní analýzy PSA systému [3], [10]. Pravděpodobnostní odhad lidské spolehlivosti HRA dává zejména informace o:
Obrázek 2: Skupiny faktorů ovlivňujících lidskou spolehlivost [3]
Je známo, že jak na technický systém, tak i na člověka působí skupiny faktorů ovlivňujících výkon a majících za následek degradaci jeho schopností vykonávat požadovanou činnost [3]. Tyto faktory jsou znázorněny na obrázku 2.
Při vzájemné interakci člověka a technického zařízení je důležité z hlediska celkové bezpečnosti hodnotit spolehlivostní aspekty obou částí systému. K tomu je zapotřebí velmi dobře monitorovat celý systém včetně lidského chování v něm a na základě analýzy činností vytvořit hodnotící kritéria pro poruchové stavy. Metody HRA kladou důraz na hodnocení rizika a jeho minimalizaci, a proto musí být validní, tedy musí umožňovat správný odhad velikosti rizika. Toho je dosaženo testovacími a metodickými postupy jejichž výsledkem jsou validace rizika.
Nejčastěji jsou nekorektní lidské činnosti, chyby, omyly nebo nehody reprezentovány stromem událostí, viz obrázek 3, kde uzly A - D představují konkrétní událost, činnost nebo lidskou aktivitu, která má vždy dva rozdílné výsledky: úspěch nebo chybu. Zcela analogicky může uzel stromu událostí také reprezentovat funkci technického systému, určitou komponentu systému nebo interakci mezi operátorem a systémem. Tímto způsobem lze v systému MMS analyzovat a popisovat jak elementární lidské činnosti, tak komponenty technického systému a také jejich vzájemnou interakci [4].
Obrázek 3: Strom událostí [7]
Z pohledu metod PRA/PSA je potřeba vyhodnotit, zdali je pravděpodobné, že událost v systému MMS bude úspěšná nebo chybná. Cílem postupu je určit, s jakou pravděpodobností specifický očekávaný výsledek nebo konečný stav nastane. Pokud uzel představuje funkci, mechanický nebo elektrický díl systému, pravděpodobnost chyby může být v principu vypočítána pouze za pomoci inženýrských znalostí. Pokud uzel představuje interakci mezi operátorem a systémem, zařízením či procesem, inženýrské znalosti musí být doplněny o výpočet pravděpodobnosti, že i člověk může chybovat. V tomto případě je nutné aplikovat některou z metod pro analýzu lidské spolehlivosti HRA, která umožní výpočet pravděpodobnosti lidské chyby HEP (Human Error Probability) [10].
2.3 Taxonomie lidských chyb
Klasifikace lidských chyb jsou vytvořeny tak, aby ukazovaly podstatu, přibližovaly chápání a znalosti kognitivních procesů, při kterých dochází k lidským chybám. Diagnostika lidských chyb je založena na poznání lidského chování při sledovaných činnostech. V literárních pramenech lze nalézt velké množství modelů lidského subjektu a jeho projevů, které mají společný cíl a to umožnit hodnocení lidských aktivit v systémech MMS [4],[5],[8],[15].
Souhrnně tyto modely vycházejí ze:
Lidské chyby jsou identifikovány a odhadovány nejčastěji na základě analýzy dotazů nebo provádění speciálních pokusů v analyzovaném systému, v laboratořích a při simulacích reálného systému. Tabulka 2 udává přehled hodnot pravděpodobnosti lidských chyb při některých pracovních úlohách v závislosti na kognitivním zatížení člověka, které je častým zdrojem selhání lidského operátora [16]. Jelikož je pravděpodobnost vzniku lidské chyby závislá na konkrétním systému MMS, je potřeba níže uvedené hodnoty vnímat jako orientační.
Popis úlohy v závislosti na aktuální náročnosti a kognitivním zatížení člověka | Pravděpodobnost chyby |
Jednoduché a často prováděné úlohy v obvyklých situacích při zanedbatelném stresu a dostatku času na provedení úlohy (žádné přídavné rušivé vlivy, dobrá zpětná hlášení. | 1.10-3 |
Komplexní a často prováděné úlohy v obvyklých situacích při zanedbatelném stresu a dostatku času, při provádění úlohy je nutná určitá pečlivost | 1.10-2 |
Komplexní a pravidelně prováděné úlohy v neobvyklých situacích (např. vychylující nebo rušivé vlivy, nedostatečná zpětná hlášení) při vysokém stresu nebo nedostatku času. | 1.10-1 |
Komplexní a málo často prováděné úlohy v neobvyklých situacích (např. vychylující nebo rušivé vlivy, nedostatečná hlášení) při vysokém stresu nebo nedostatku času. | 3.10-1 |
Vysoce komplexní nebo velmi zřídka prováděné úlohy v neobvyklých situacích (např. vychylující nebo silně rušivé vlivy) při vysokém stresu nebo nedostatku času. | až 1.100 |
Tabulka 2: Pravděpodobnosti lidských chyb v úlohách při různém kognitivním zatížení [16].
2.4 Úrovně uvědomění chyb
Chyby lidského operátora mají svoji podstatu a vycházejí ze situačního uvědomění [4], [14]. Při hodnocení lidské spolehlivosti v systémech MMS se proto vychází ze znalostí základní taxonomie chyb podle situačního uvědomění, která rozlišuje tyto následující úrovně chyb [5]:
Nejčastěji se vyskytující lidské chyby mající svůj původ v chybném vyhodnocení situace jsou uvedeny v tabulce 3.
Typ chyby | Popis chyby |
Úroveň 1 Chybné vjemy | |
Data nejsou k dispozici | Chybí informační zdroj |
Data se těžko rozpoznávají nebo detekují | Neadekvátní osvětlení přistávací dráhy, málo značek na přistávací dráze, hluk v kokpituŠpatný výhled |
Výpadek kontroly nebo sledování dat | Data jsou dostupná, ale nedají se prohlížet v důsledku vynechávek, snížení pozornosti, rozptýlení pozornosti v důsledku konání více činností, velké pracovní vypětí |
Nesprávné vnímání interpretace dat | Data jsou nesprávně vnímána v důsledku ovlivnění prioritního očekávání nebo v důsledku rozptýlení |
Ztráta paměti | Zapomenutí informace důsledkem rušení v běžné praxi nebo důsledkem vysokého pracovního vytížení |
Úroveň 2 Chybné začlenění nebo pochopení informace | |
Chybný mentální model | Chybný mentální (vnitřní) model není schopný kombinovat informace pro dosažení cíle. Především ve spojení s automatickým modelem |
Použití nesprávného vnitřního modelu | Vnitřní model chování systému vede k nekorektnímu vyhodnocení situace |
Úroveň 3 Chyby v plánování budoucích stavů | |
Chybný mentální model | Mentální model neodpovídá skutečnosti |
Špatný odhad trendu aktuálního stavu | Aktuální stav je promítnut do budoucna ale nesprávně |
Tabulka 3: Taxonomie lidských chyb z pohledu uvědomování situace [14]
Spolehlivost systému je funkcí všech jeho komponent, které definují jednotlivé a specifické systémové operace. U složitých systémů, je nutné uvažovat stránky a aspekty, které s sebou přináší informační technologie a lidské interakce v systému. U mnoha systémů dochází k vzájemné interakci mezi člověkem a strojem. Jedním z nejdůležitějších příspěvků k pravděpodobnosti poruchy je událost způsobená člověkem [6]. Lidské činy mají na systém různé účinky [7]. Obrázek 4 znázorňuje interakce v systému člověk – stroj, je nezbytné uvažovat a zdůraznit následující:
Lidské činy mohou měnit spolehlivostní aspekty všech jeho komponent nebo subsystémů Si, do kterých je systém MMS rozdělen. Lidské selhání nebo chyba může pozměňovat a ovlivňovat tak elementární funkční operace. Pro vyhodnocování dílčích intenzit poruch ?i jednotlivých komponent systému Si a při respektování vlivu okolních podmínek na danou komponentu včetně lidského vlivu, je nutno zavést faktor hi, viz vztah (1), kde ?i0 představuje vlastní intenzitu poruch komponenty Si systému.
(1)
Obrázek 4: Lidské činy a spolehlivost systému MMS [6]
Člověk může být pokládán za autonomní subsystém H spolu s technologickým Sm či informačním subsystémem Si v rámci celého systému MMS. Spolehlivost lidského činitele je funkcí nejen intenzity poruch lidského subjektu determinované sociálními a psychologickými faktory, ale také schopností, interpretovat informace dodávané ostatními technickými subsystémy Si. Na základě této skutečnosti může být spolehlivost Rs systému MMS vyjádřena funkčním vztahem (2):
, kde (2)
Rs – představuje spolehlivost systému MMS,
Rm – je spolehlivost technologického neboli mechanického subsystému Sm,
Ri – je spolehlivost informačního softwarového subsystému Si ,
Rh – představuje účinky člověka v systému MMS a jeho vliv na spolehlivost systému.
Cílem predikce a hodnocení spolehlivosti lidského činitele je nejen zvyšování pohotovosti technických systémů, ale zejména dosažení vysokého stupně bezpečnosti v systémech MMS, snižování rizika havárií, odhalování možných potenciálních selhání lidí a zejména ochrana zdraví a života. Metodické postupy se neustále zdokonalují a tím se kvantifikace spolehlivostních parametrů přibližuje skutečnosti. Snahou je zejména vytvořit věrné modely lidských činností pro nejvyšší vědomostní kognitivní úroveň a tím zajistit úplný popis analyzovaného systému MMS.
Člověk ve většině systémů MMS zaujímá vedoucí nebo přímo řídící roli a tím určuje úroveň bezpečnosti systému. Je dobře známo, že selhání lidského činitele způsobuje až 80 % nestandardních stavů a proto je člověk z hlediska spolehlivosti právem považován za nejslabší článek v systému. Z tohoto důvodu je velmi žádoucí analyzovat chování člověka v systémech MMS a detekovat vlivy, které snižují jeho schopnosti plnit bezchybně požadované činnosti. K tomuto účelu lze využít kvantitativní hodnocení PSA nebo PRA založené na výpočtu pravděpodobnosti vzniku konkrétních lidských chyb. Nedílnou součástí tohoto hodnocení by ale mělo také být posouzení faktorů ovlivňujících lidskou spolehlivost, protože právě jejich působením může k selhání lidského činitele docházet.
[1] CARD, S.; MORAN, T.; NEWWLL, A. The Psychology of Human-Computer Interaction. Erlbaum : Hillsdale, 1983.
[2] OLSON, J. R.; OLSON, G. M. The growth of cognitive modeling in human computer interaction since GOMS. Human Computer Interaction, 1991, no 6, pp.21-30.
[3] BARTSCH, H. Vorlesungsmaterial. Cottbus : BTU Cottbus, 2001.
[4] RASMUSSEN, J. Information Processing and Human-machine Interaction : an Approach to Cognitive Engineering. New York : North-Holland, 1985.
[5] REASON, J. Human Error. Cambridge : Cambridge University Press, 1990.
[6] CHIODO, E.; PAGANO, M. Human reliability analyze bay random hazard rate approach., The International Journal for Computation and Mathematics in Electrical and Electronic Engineering, 2004, vol. 23, no. 1, pp. 66-78.
[7] HIDEKAVA YOSHIKAVA; WEI WU. An experimental study on estimating human error probability. Ergonomics, 1999, vol. 42, no. 11. ISSN 0014-0139.
[8] CHIODO, E.; GAGLIARDI, F.; PAGONO, M. Human reliability analyses by random hazard rate approach. IJCMEEE, 2004, vol.23, no 1, ISSN 0332-1649.
[9] STRÄTER, O. Investigations on the Influence of Situational Conditions on Human Reliability in Technical Systems. In Proceedings of the 13th Triennial Congress of the International Ergonomics Association. Tampere, 1997.
[10] ZIMOLONG, B. Fehler und Zuverlässigkeit. Göttingen : Verlag für Psychologie, 1990. In: C. F. Graumann et al. (Hg.), Enzyklopädie der Psychologie, Themenbereich D, Serie III, Bd. 2.
[11] HOLLNAGEL, E. Cognitive Reliability and Error Analysis Method - CREAM. New York : Elsevier, 1998. ISBN 0-08-042848-7.
12] SWAIN, A. D., GUTTMANM. E. Handbook of Human Reliability Analysis with Emphasis on Nuclear Power Plant Applications : NUREGKR-1275. Washington : US Nuclear Regulatory Commission, 222, 1983.
[13] SWAIN, A. D. Comparative Evaluation of Methods for Human Reliability Analysis. Köln und Garching : Gesellschaft für Reaktorsicherheit, 1989.
[14] LEIDEN, K.: LAUGHERY, K.R. A Review of Human Performance Models for thy Prediction of Human Error, Ames Research Center Moffett Field, CA 94035-1000, 2001.
[15] EMBREY, D. E.; HUMPHREYS, P.; ROSA, E. A.; KIRWAN, K. An Approach to Assessing Human Error Probabilities Using Structured Expert Judgment. Washington DC, 1984. Vol. I: Overview of SLIM-MAUD, Vol. II: Detailed Analyses of the Technical Issues, NUREG/CR-3518.
[16] VDI 4006 Blatt 2. Menschliche Zuverlässigkeit. 1998.
[17] VDI 4004 Blatt 1 (1986), Zuverlässigkeitskenngrößen, Übersicht.