הבנת הגורם האנושי במערכות קריטיות

שגיאות הפעלה במערכות קריטיות - בין אם בתחנות כוח גרעיניות, רובוטיקה כירורגית או בקרת תעופה - הן לעתים רחוקות תוצאה של רשלנות במקום, הן נובעות לעתים קרובות ממשקי אדם-מכונה (HMIs) אשר מכריחים את המפעילים לעבוד נגד התהליכים הקוגניטיביים הטבעיים שלהם.בסביבות הפעלה גבוהות של הנדסה שבה לחץ יחיד יכול להוביל לכישלון קטסטרופלי, עיצוב HMI אינו בגדר מותרות אלא אמצעי זהירות, כלומר, כלומר, כלומר, כלומר, כלומר, למקרים של מקרים של מקרים של ניסויים תעשייתיים, כלומר, כלומר, כלומר, כלומר, בתדירות גבוהה של ניסויים של מחלות מעבדה, או ירידה משמעותית של מחלות, ב- 60%, או ירידה משמעותית של גורמות לתאונות דרכים של מחלות של מחלות מעבדה, או גורמות לתאונות דרכים של גורמות לתאונות דרכים של גורמות לתאונות דרכים של גורמות לתאונות דרכים של גורמות לתאונות דרכים של מחלות אדם, כלומר, כלומר, כלומר, לתאונות דרכים של מחלות של מחלות של מחלות מעבדה, או גורמות להפחתה משמעותית של גורמות לתאונות דרכים של גורמות לתאונות דרכים של גורמות להפחתה משמעותית של גורמות לתאונות דרכים של גורמות לתאונות דרכים של גורמות להפחתה משמעותית של גורמות להפחתה משמעותית של גורמות לתאונות

הפסיכולוגיה של טעויות מטורפות: מדוע אנשים טובים מקבלים החלטות רעות

כדי לעצב יעיל HMIs, עלינו להבין קודם איך שגיאות לקרות.פסיכולוגיה קוגניטיבית מקטנת שגיאות לשני סוגים עיקריים: חלקים וטעויות. Slips להתרחש כאשר מפעיל מתכוון לעשות את הדבר הנכון אבל מבצע את הפעולה הלא נכונה - למשל, לחיצה על כפתור אדום במקום ירוק כי שניהם הם טעות חמורה.

הטיה קוגניטיבית משותפת שמחריף שגיאות כוללות:

  • (ב) ⁇ :0) הכוונה: 1 מפעילי קונסולת 1:1 מתואמים על שדה אזעקה או נתונים אחד תוך התעלמות מאחרים, במיוחד תחת לחץ.
  • (ב) ⁇ :0) ,[דרוש מקור]: [הה] [ה], החולקים מבקשים ראיות התומכות בפרשנות הנוכחית שלהם, תוך התעלמות מאינדיקטורים סותרים.
  • (ב) ,0) מבול: 1 מפעילי אופרות מאמינים שהמערכת נמצאת במצב אחד (למשל, ידני) כאשר היא למעשה אחרת (למשל, אוטומטית), המוביל להתנהגות בלתי צפויה.
  • (ב) ⁇ :0) מזכרים: 1FLT 1 Interfaces הדורשים מפעילים לזכור שלבים או ערכים במקום להציג אותם באופן חזותי להגדיל את שיעור השגיאה.

עיצוב HMI יעיל מקטין את ההטיות הללו על ידי ביצוע מידע באופן חטוף, מאורגן מבחינה הגיונית, ובלתי אפשרי להתערב במבט לאחור.

אסטרטגיות עיצוב HMI למזער שגיאות הפעלה

בעוד שסטנדרטים ספציפיים בתעשייה קיימים (למשל, ISA-101 עבור HMIs תעשייתי), כמה אסטרטגיות אוניברסליות חלות על פני תחומים קריטיים.למטה הם עמודי היסוד, הורחבו עם הדרכה מעשית ליישום.

פשטות וקלרנס: התרחקו מהרעש

במערכות קריטיות, כל פיקסל של נדל"ן מסך מתחרים על תשומת לבו של המפעיל. ממשק קלוטר עם שולחנות צפופים, ⁇ צבע מיותרים, או מפעילי כוחות גרפיים להוציא משאבים קוגניטיביים המסננים רעש.

  • (FLT:0) רק להראות מה נדרש למשימה הנוכחית או מודאר.FLT 1 השתמש בגילוי מתקדם - פקד מתקדם מאחורי תפריטים אלא אם כן המפעיל מבקש מהם במפורש.
  • (ב) ,0) תוויות שפה פשוטות (FLT:1) להימנע מרגנון, ראשי תיבות או קיצורים שאינם יכולים להיות מוכרים מיד תחת לחץ זמן.
  • (FLT:0Group) מידע הקשור ל-FLT:1 טמפרטורה של מיקום מתאמת יחד, אינדיקטורים ללחץ באזור נפרד, ואזהרות במיקום עקבי.
  • (ב) אין מקום לשגשוג אסתטי ב-HMI קריטי בטיחותי.

דוגמה בולטת אחת מגיעה מתאונה של שלושה מייל איילנד, שבה מפעילי היו המומים על ידי מאות אזעקה בו זמנית, רבים לא רלוונטי לכישלון בפועל. HMI פשוט כי עדיפות מידע באופן דינמי יכול למנוע בלבול. HMIs מודרניים ליישם עכשיו FLT:0alarm רציונליזציה FLT:1 - קבוצות וסינון אזעקה על ידי חומרת ומקור.

2.התמדה מעבר לממשק

מפעילי מפתחים מפות נפש של איך ממשק עובד.אם מיקום כפתור, צבע קידוד או דפוסי ניווט משתנים בין מסכים, המפעיל חייב לעצור וללמוד מחדש, הגדלת הזדמנות שגיאה פירושה:

  • מיקום:0 (Fixed Location for Critical Control)
  • (FLT:0) צבע צ'מה.FirLT:1 פירושו סכנה או אזעקה, צהוב פירושו זהירות או אזהרה, ירוק פירושו נורמלי או בטוח.לעולם אל תשתמש אדום עבור אינדיקטור רגיל.
  • (ב) אם נוסיף ערך טמפרטורה, 0 (Uniform Interaction Patterns) 1 (אם נצמד ערך טמפרטורה פותח גרף מגמה על מסך אחד, זה צריך לעשות את אותו הדבר על כל האחרים.
  • (ב) ,0) ,מנוח עקבי (FLT) השתמש במונח אחד למושג לאורך כל הדרך, אל תחליף בין "Fault", "Error" ו-"Malfunction" כאשר הם מתכוונים לאותו הדבר.

תעשיית התעופה כבר לאכוף עקביות באמצעות תקני עיצוב.לדוגמה, לכל מטוס בואינג 737 יש את אותה הפריסה של קוואדרנט לא משנה שינויים של חברת התעופה, צמצום שגיאות אימון צלב.

3.התאוששות ואישור: סגירת ה- Action Loop

אחת הטעויות הנפוצות ביותר של המפעיל היא "חשבתי שדחקתי אותו" תרחיש ללא משוב מיידי, לאמביע, מפעילי עשויים להמיט פעולה או לבצע אותה פעמיים.

  • (במאה אלפיות) ,0) , 000 ⁇ (במאה מילימטרים) ,(FLT:1 נדחה יותר מגורם שני למפעילים לתהות אם המערכת רשומה את הקלט שלהם.
  • (FLT:0) קליר ומבדילה.FLT:1 כפתור יכול לייצר שינוי חזותי (גבול מואר גבוה), לחץ על קקטוס (אם חומרה), וטון אודיטור (אם מתאים) עבור פקודות קריטיות, לדרוש אישור שני שלבים: הראשון להכיר בפעולה, ולאחר מכן לאמת עם כפתור שני, ייחודי או צו קולי.
  • (ב) [15] ,התרחשות עד שהזכירה: 1.10.10.10.10.3.10.3.10.3.10.3.I.A אזעקה ש-cancels לאחר חמש שניות ניתן להחמיץ.

דוגמה שלילית ידועה היא התרסקות טיסה 447 של אייר פראנס בשנת 2009, שם הטייסים קיבלו אזהרות דוכני ולא משוב ברור על אי ההסכמה המהירות האווירית. HMI עשיר משוב היה מדגיש את השגיאה המדויקת של החיישן באופן מיידי.

4.העדיפויות של מידע ביקורתי

לא כל המידע ראוי למשקל חזותי שווה.ברגע קריטי, המפעיל חייב לראות מיד מה חשוב ביותר.טכניקות כוללות:

  • (FLT:0) מיפוי מיפוי פשטות (FLT:1), גודל השימוש, בהירות צבע ומיקום כדי להדגיש נתונים עתירי גבוה.לדוגמה, אזעקה קריטית צריכה להיות כפולה בגודל הגופן של קריאה רגילה.
  • [הפסקה:0] ירארכיות של חיל האוויר (FLT:1 Define 3 רמות: חירום (פעולה מיידית), אזהרה (requiresמודעות), וייעץ (מידע חיצוני) משתמשים בצלילים נפרדים, צבעים, וקצב ההבזק לכל אחד.
  • (FLT:0) מידע דינמי המסנן.FIRLT:1 במהלך פעולה רגילה, להראות רק מסכים סיכום.כאשר מתרחשת אנומליה, להציג באופן אוטומטי את תת-מערכת מושפעת עם הפרמטרים הרלוונטיים שלה, דיכוי נתונים לא רלוונטיים.
  • (FLT:0) קווי בסיס אלימים (Valbaselines) 1hil צייר קו דק על גרפים אופנתיים המציגים את טווח ההפעלה הרגיל, כך המפעיל יכול מיד לראות כאשר ערך מתפתל.

בעיצוב מכשירים רפואיים, ההנחיות של ה- FDA על FLT:0 ,appapping גורמים אנושיים למכשירים רפואיים: 1 מדגיש כי אזעקה קריטית חייבת להיות מזוהה גם כאשר המפעיל אינו מסתכל ישירות על המסך - שימוש באזהרות או קדחתניות.

Redundancy and Fail-Safes: Engineering Safety Nets

אפילו ה-HMIs המוצבים ביותר לא יסלקו את כל השגיאות, לכן, הממשק חייב לכלול שכבות של הגנה שתופסות טעויות לפני שהן יפגעו.

  • דיאלוגים של אישורים לפעולות הרסניות.I.R.1] "אתה בטוח שאתה רוצה ליזום שתוקקת כור?פעולה זו אינה יכולה להיות בלתי מזוינת" אלא להיות מודע ל"עייפות מופרזת" – אם כל פעולה טריוויאלית דורשת אישור, המפעילים ילחצו על "בסדר".
  • (ב) אם רצף של צעדים חייב לקרות בסדר מסוים, ה- HMI צריך לאכוף את ההזמנה על ידי ניתוק של שליטה מחוץ לשעת חירום.
  • (FLT:0) בטיחות אוטומטית עולה על פני השטח.FIRLT:1; אם המפעיל אינו מגיב לאזעקה קריטית בתוך זמן מראש, המערכת צריכה לנקוט באופן אוטומטי פעולה בטוחה (למשל, לפתוח שסתום הקלה).
  • (ב) יכולות של LT:0 (Undo) שבהן בטוח.FLT:1, חלק מה-HMIs המודרניים מאפשרים למפעילים להפוך את הפיקוד האחרון בתוך חלון זמן קצר, בתנאי שהוא אינו פוגע בביטחון.

עקרונות עיצוב מתקדמים לדור הבא HMIs

האסטרטגיות לעיל הן בסיסיות, אבל ככל שהטכנולוגיה מתפתחת, גישות חדשות נוספות להפחית את שיעורי השגיאה. 3 מגמות מתעוררות ראויות לתשומת לב.

עיצוב ממשק אקולוגי (EID)

במקום להציג נתוני חיישן גולמי, EID מראה למפעילים ייצוג גרפי של המגבלות הגופניות של המערכת ומערכות היחסים.לדוגמה, במפעל כימי, דיאגרמה דמוית P&ID עם טמפרטורה חיה ועומס לחץ מאפשר למפעילים להבין מיד אם תהליך מתקרב למנה הקטנה התפעולית הבטוחה שלו.זה מקטין את העומס הקוגניטיבי של מדדים מרובים מעצימים.

הסתגלות וקונטקסט-מודע HMIs

רשתות חיישן מודרניות מאפשרות ל-HMIs לזהות את המשימה הנוכחית של המפעיל (למשל, סטארט-אפ, השבתה, פתרון בעיות) ולקבוע מחדש את התצוגה בהתאם.אם המערכת מזהה כי המפעיל נמצא באמצע רצף קריטי, זה עלול להסתיר תפריטים לא-מסוכנים ולהרחיב את הבקרה הרלוונטית.

קול וGSture Control with Haptic Feedback

בסביבות קריטיות (למשל, סוויטות כירורגיות או חדרי ניקוי סטריליים), מסכי מגע אינם מעשיים. HMIs מבוקרים ומבוססים על-ידי קול, בשילוב עם כפפות או פסים פשטיים, מאפשרים למפעילים להוציא פקודות מבלי לשבור את קו הראייה שלהם.אבל ממשקי קול מציגים מקורות שגיאה ייחודיים (מיסיונקוגניציה, רעש מגושם), ולכן כל פקודה חייבת להיות מוצגת על המסך וצריכה אישור צבאי (אוט).

מקרה מחקר: הפחתה של טעויות במפעל כוח HMI Redesign

שקול תחנת כוח MW-אש של 500 מגה-ואט אשר המקורי שלה מתוארך בשנות ה-90.אופרות נתקלו ברשת של ערכים נומרניים ללא מגמות גרפיות, לוחות אזעקה מרובים שהבינו בו-זמנית, ותכנית צבע מבלבלת שבה ירוק לפעמים התכוון "ריצה" ולפעמים התכוון "זמינות" לאחר תקרית ליד-טרף שבה מפעיל בטעות טורבינות עקב כפתור לא-מבול, המפעל מחויב לעתים לאסטרטגיות HMI המלאות לאחר אירוע.

שינויים מרכזיים כוללים:

  • החלפת כל תצוגות נומריות עם אנימציה מחקה דיאגרמות המציגות זרימת צינורות בפועל ועמדות שסתום.
  • יישום היררכיה אזעקה של שלוש רמות: אזעקה קריטית (התעלמה אדומה, קולנית), אזעקות עדיפות (צליל איטי, קבוע), וסימנים רגילים (כחול, שקט).
  • בירור שתי אצבעות על כל פקודה שתשנה מצב קריטי בטיחות (למשל פתיחת שסתום עקף קיטור).
  • הוספת מסך "מעבר" ייעודי שרק מראה את חמשת האזהרות המקדימות ביותר ואת אינדיקטורים ביצועי מפתח, עם תרגיל חד-פעמי לאחור למסךים מפורטים.

לאחר עיצוב מחדש, שגיאות המפעילות צנחו ב-73% במהלך 18 חודשים, והזמן הממוצע לאבחן אירוע חריג שקצר מ-4 דקות עד 90 שניות.הצמח משתמש כעת באותה פילוסופיה של HMI עבור יחידות טורבינות גז חדשות.

בדיקה ואימות HMI שלך לעדכון שגיאות

אסטרטגיות עיצוב לבד אינן מספיקות; ה-HMI חייב להיבדק בקפידה באמצעות שיטות של גורמים אנושיים.

  • (FLT:0) הערכה היררנית: מומחים בודקים את הממשק נגד היוריסטים המבוססים על שימושיות (למשל, עשרת העקרונות של נילסן) ומקרינים את האזורים הפוטנציאליים של טעויות.
  • (FLT:0) הליכה קוגניטיבית: FLT:1Builds לדמות את תהליך החשיבה של המפעיל עבור משימות מפתח, לבדוק אם הממשק מספק רמזים מתאימים בכל שלב.
  • (FLT:0) בדיקות יכולת עם מפעילי בפועל: מפעילי מיקום 1FIRECT 1 תרחישים מדומים (באמצעות לעגנות נאמנות גבוהה) ו למדוד את זמן השלמת המשימה, שיעורי השגיאה, ועומס עבודה סובייקטיבי.
  • (FLT:0) אימות מדרגה לסטנדרטים: FLT:1 עבור תעשיות קריטיות בטיחות, HMIs עשוי להיות צורך לעמוד בסטנדרטים כגון IEC 62366 (מכשירים רפואיים), ISO 11064 (עיצוב חדר שליטה), או ISA-101 (ממשקי מכונה אנושיים לאוטומציה של תהליך).

עבור מדריך מקיף על שיטות בדיקות של גורמים אנושיים, תוכנית הנדסת משאבי אנוש:0UL Human Factors EngineeringFIRLT:1 מספקת פרוטוקולים מתורבתים בתעשייה.

מסקנה: האדם במרכז

מיניזציה שגיאות מפעיל במערכות קריטיות אינה על הכשרת אנשים להיות זהירים יותר - זה על עיצוב ממשקים שמכבדים את המגבלות הקוגניטיביות של האדם.על ידי אימוץ פשטות, עקביות, משוב מיידי, עדיפויות מידע, והנדסת אדמוניות, ארגונים יכולים לבנות HMIs המדריכים את המפעילים כלפי פעולות נכונות ותופסים שגיאות לפני שהם מעודדים את הממשקים היעילים ביותר הם אלה שהופכים את הפעולות הנכונות והפעולות הלא נכונות או הלא אפשריות מאחורי האופטיקה, כמו כן, כלומר, לא לחשוב, כלומר, כלומר, כלומר, לא צריך להיות יותר, אלא אם הם אלה, כלומר, כלומר, כלומר, כלומר, לא לחשוב, לא בהכרח, כלומר, כלומר, כלומר, כלומר, לא לחשוב על הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים יותר, הוא יעיל יותר, הוא יעיל יותר, הוא יעיל יותר, הוא יעיל יותר, הוא יעיל יותר, הוא מסוגלות את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים את הממשקים