Spolehlivost a bezpečnost v systémech člověk – stroj

Úvod

Z historického vývoje bylo prokázáno, že bezpečnost a spolehlivost technických systémů může být rozhodující měrou ovlivněna jednáním lidí při řízení, regulaci nebo obsluze technických procesů a zařízení. Pro obsáhlou a úplnou bezpečnostní analýzu systému MMS je důležité analyzovat jak technické komponenty systému, tak i činnosti člověka v daném systému. Je nezbytné vycházet ze sledování systému jako celku, analyzovat i činnosti člověka a uvažovat o tom, jak lidský faktor ovlivňuje hodnocené technické parametry. Situace je blokově znázorněna na obrázku 1.

Obrázek 1: Lidská a technická spolehlivost v systému MMS [3]

Spolehlivost člověka v systému MMS je nutno vidět v souvislosti s technickým systémem [3]. Mezi spolehlivostí technických subjektů a spolehlivostí lidského subjektu jsou základní rozdíly především ve:

• způsobu zpracování informací,
• způsobu dosažení cíle.

Člověk zapojuje pro dosažení cíle nebo splnění úlohy aktivně svoje vědomí a vede své chování vždy cíleně. Na základě analýzy skutečného stavu může zvolit i jiné prostředky nebo postupy, než které mu byly předepsány či doporučeny. Pravděpodobnost chybného provedení konkrétní úlohy člověkem může být vysoká, ale přesto nemusí být snížena spolehlivost celého systému. Člověk má schopnost svoje jednání neustále kontrolovat a modifikovat, chybné kroky v jednání dokáže korigovat dříve, než dojde k negativnímu zapůsobení na systém.

V literárních zdrojích [2], [3] se objevuje definice spolehlivosti lidského činitele nejčastěji jako:

• schopnost lidí provést úlohu v daných podmínkách a v daném časovém intervalu v akceptovatelném rozsahu,
• způsobilost lidí v pracovním systému, přinášet do pracovního procesu vhodnou kvalifikaci a odpovídající fyzické a psychické výkonové předpoklady a tyto nechat účinně působit tak, aby dané sestavy úloh ve specifických podmínkách a v daném časovém prostoru mohly být provedeny v souladu s technickými, hospodářskými, humánními a ekologickými kritérii.

V definici termínu „spolehlivost lidského činitele“ se vychází z lidského práva na chybu. Lidské chyby lze definovat jako poruchy v prováděné činnosti. Člověk si chyby může a nemusí uvědomovat. Podle způsobu realizace jde o chyby způsobené buď nevědomou nepozorností, omylem z neznalosti nebo vědomým omylem. Příčiny lidského selhání mohou spočívat v chybném příjmu informace, chybném zpracování nebo nesprávné interpretaci informace.

1. Spolehlivost technické složky

Neexistuje jednotná a exaktní definice spolehlivosti. Podle spolehlivostních norem [16], [17] je spolehlivost chápána jako obecná vlastnost objektu spočívající v plnění požadované funkce při zachování hodnot stanovených provozních ukazatelů v daných mezích a v čase podle technických podmínek. Z pohledu čistě matematického je spolehlivost chápána jako pravděpodobnost, že činnost zařízení bude během určené doby a v daných provozních podmínkách  přiměřená účelu zařízení. V současné době se uznává komplexnější pojetí a spolehlivostí se rozumí soubor jistých vlastností výrobku, které zaručují splnění požadavků kladených na jeho řádnou činnost za daných pracovních podmínek. Jde zejména o provoz bez poruch, opravitelnost, udržovatelnost, skladovatelnost a další.

Pravděpodobnost poruchy Q(t)
Hustota pravděpodobnosti poruchy f(t)
Pravděpodobnost bezporuchového provozu R(t)
Intenzita poruch ?(t)
Střední doba bezporuchového provozu pro neobnovované výrobky TS (během této doby nenastane žádná porucha
Střední doba mezi poruchami u obnovovaných výrobků TSu obnovovaných výrobků s kumulovanou dobou provozu tp pro n vadných výrobků	,
Okamžitý součinitel pohotovosti KP – pravděpodobnost provozuschopného stavu (kumulativní doba provozu tp, kumulativní doba opravy to
Střední doba opravy TO pro n poruch
Střední frekvence oprav μ
Součinitel prostoje Kn
Součinitel technického využití Ktv s plánovanou dobou údržby tu

Tabulka 1: Spolehlivostní ukazatele technických systémů

Kvantitativní určení a stanovení bezpečnosti a pohotovosti technických systémů se provádí pomocí pravděpodobnostní analýzy bezpečnosti PSA (Probabilistic Safety Analysis). Vzhledem k tématickému zaměření článku na spolehlivost lidského činitele je uveden v tabulce 1. pouze základní přehled nejdůležitějších kvantitativních parametrů pro výpočet spolehlivostních ukazatelů technických zařízení.

2. Spolehlivost lidského činitele

Všechny živé bytosti patří do pravděpodobnostních systémů, jejich chování je předvídáno s určitou pravděpodobností podle předchozího stavu. Je zřejmé, že nejsložitějším živým systémem je člověk se svým mozkem a vědomím. Termín „spolehlivost lidského činitele“ [3] je definován jako pravděpodobnost, že osoba korektně vykoná konkrétní systémem vyžádané aktivity během dané časové periody bez použití extrémních činností, které by vedly k degradaci systému.

Metody zabývající se analýzou spolehlivosti lidského činitele vznikaly na základě potřeby popsat nekorektní lidské aktivity v systému MMS v kontextu pravděpodobnostního odhadu rizika PRA (Probabilistic Risk Assessment) a pravděpodobnostní analýzy bezpečnosti PSA (Probabilistic Safety Assessment). Jsou tudíž založeny na stejných matematických postupech, jaké se používají pro všeobecné spolehlivostní analýzy technických zařízení. Hlavní metody byly vyvinuty v polovině 80tých let jako následek obavy z neštěstí v roce 1979 v jaderné elektrárně Three Mile Island. V současné době jsou souborné analýzy a hodnocení lidského subjektu HRA (Human Reliability Assessment) v systémech MMS postaveny na detailním rozvržení funkcí, úkolů a zdrojů mezi člověkem a strojem. Cílem je identifikovat typy chybných činností člověka a kvantifikovat pravděpodobnost vykonání chybné operace.

2.1 Oblasti zájmů

Zájem analyzovat spolehlivost lidského činitele nastal zejména s rozvojem nukleárních aplikací. Bylo vysledováno, že 50 – 70% nahlášených chyb a závad na pracovních operačních systémech je způsobeno lidským činitelem. Od poloviny 80tých let byly metody a nástroje HRA transformovány přeneseny do vojenských a zbrojních systémů. V oblasti automatizace a řídící techniky se stal hlavním a klíčovým pravidlem či směrnicí konstrukce nebo vytváření takových systémů, které by byly nejen konkurence schopné a ekonomicky zajímavé ale především byly dokonalé po stránce kvality.

Systém řízení jakosti stanovuje cíle a dosažení cílů se standardním postupem děje prostřednictvím technických a ekonomických potřeb. Hodnocení rizika a bezpečnosti jsou v současné době hlavními ukazateli nebo indikátory pro návrh či plánování provozu systému a musí umožňovat splnění požadavků, reprezentovat a zahrnovat všechny nejnovější aspekty nových technologií. Indexy rizika nebezpečí a bezpečnosti všeobecně souvisí a jsou spojovány se spolehlivostní funkcí systému. Až do současnosti vědci soustřeďovali svoji pozornost výhradně na odhad spolehlivosti technologických systémů. V důsledku vypracování nových fyzikálních technologií a vytváření velmi složitých, komplikovaných a propracovaných modelů schopných simulovat dané systémy byly rozšířeny o nové poruchové a zranitelné systémové stavy. Vědecká komunita se shodla na tom, že příčiny poruch a následně i nehod primárně souvisí s aspekty, jejichž původ je fyzikální nebo lidský. Na základě tohoto přístupu se rozlišují základní skupiny příčin nehod jako jsou pracovní stres, pracovní prostředí a lidské jednání. [1], [2], [4].

Zájem o lidský subjekt a jeho působení v systémech souvisí a je v souladu rovněž s vývojem nových informačních technologií, které určují a přiřazují člověku nové podmínky, působení a vzájemnou interakci mezi člověkem a strojem. Z analýzy literárních pramenů jako např. [7], [8] je evidentní, že právě vzájemné interakce mezi člověkem a strojem jsou všeobecně a vcelku zanedbávány. A až v současné době, kdy existují analýzy a metody HRA používané v řídících provozech jaderných elektráren, ve vojenských aplikacích a v leteckém průmyslu, byly objeveny významné nedostatky v přístupech a získávání spolehlivostních údajů. Příčinou těchto nedostatků je právě lidský element, který nebyl důsledně zahrnut do vývoje spolehlivostních postupů [9],[10],[11].

2.2 Nutnost hodnocení a kvantifikace

Kvalita technického zařízení či výrobku je vyhodnocována spolehlivostními ukazateli a metodické postupy hodnocení spolehlivosti jsou dokonale propracovány. V systémech MMS je přítomen spolu s technickým zařízením i člověk a tedy je nutno jeho působení hodnotit a kvantifikovat tak, aby bylo možno určovat celkové spolehlivostní parametry systému.

Spolehlivost lidského činitele je aplikována hlavně v kontextu s hodnocením rizika u potencionálně nebezpečných systémů jako je provoz jaderných elektráren, chemických závodů, provoz hromadných dopravních prostředků, řízení letového provozu, příprava nebo řízení kosmických letů. Mnoho podrobných informací lze nalézt v publikacích autorů [12], [13], [15].

Kvantitativní hodnocení lidského chování a jednání v systémech MMS se stalo jedním z vědeckých aspektů a nedílnou součástí celkové bezpečnostní analýzy PSA systému [3], [10]. Pravděpodobnostní odhad lidské spolehlivosti HRA dává zejména informace o:

• velikosti bezpečnosti a pohotovosti technického systému se zřetelem na lidské zásahy,
• rozsahu a velikosti lidských chyb v porovnání s technickými chybami,
• jakou mírou se na zvýšení spolehlivosti nebo pohotovosti systému podílí technické vybavení nebo lidská obsluha systému, 
• možnostech, které vedou ke výšení spolehlivosti a bezpečnosti systému MMS,
• jaké zásahy prováděné člověkem se mají zlepšit, aby bylo dosaženo zvýšené spolehlivosti a pohotovosti daného systému s lidskou obsluhou,
• jaký vliv na lidskou spolehlivost mají systémové změny, ergonomický vzhled pracoviště (tvar, forma), úroveň a složitost technické dokumentace nebo změny v oblasti organizace práce.

Obrázek 2: Skupiny faktorů ovlivňujících lidskou spolehlivost [3]

Je známo, že jak na technický systém, tak i na člověka působí skupiny faktorů ovlivňujících výkon a majících za následek degradaci jeho schopností vykonávat požadovanou činnost [3]. Tyto faktory jsou znázorněny na obrázku 2.

Při vzájemné interakci člověka a technického zařízení je důležité z hlediska celkové bezpečnosti hodnotit spolehlivostní aspekty obou částí systému. K tomu je zapotřebí velmi dobře monitorovat celý systém včetně lidského chování v něm a na základě analýzy činností vytvořit hodnotící kritéria pro poruchové stavy. Metody HRA kladou důraz na hodnocení rizika a jeho minimalizaci, a proto musí být validní, tedy musí umožňovat správný odhad velikosti rizika. Toho je dosaženo testovacími a metodickými postupy jejichž výsledkem jsou validace rizika.

Nejčastěji jsou nekorektní lidské činnosti, chyby, omyly nebo nehody reprezentovány stromem událostí, viz obrázek 3, kde uzly A - D představují konkrétní událost, činnost nebo lidskou aktivitu, která má vždy dva rozdílné výsledky: úspěch nebo chybu. Zcela analogicky může uzel stromu událostí také reprezentovat funkci technického systému, určitou komponentu systému nebo interakci mezi operátorem a systémem. Tímto způsobem lze v systému MMS analyzovat a popisovat jak elementární lidské činnosti, tak komponenty technického systému a také jejich vzájemnou interakci [4].

Obrázek 3: Strom událostí [7]

Z pohledu metod PRA/PSA je potřeba vyhodnotit, zdali je pravděpodobné, že událost v systému MMS bude úspěšná nebo chybná. Cílem postupu je určit, s jakou pravděpodobností specifický očekávaný výsledek nebo konečný stav nastane. Pokud uzel představuje funkci, mechanický nebo elektrický díl systému, pravděpodobnost chyby může být v principu vypočítána pouze za pomoci inženýrských znalostí. Pokud uzel představuje interakci mezi operátorem a systémem, zařízením či procesem, inženýrské znalosti musí být doplněny o výpočet pravděpodobnosti, že i člověk může chybovat. V tomto případě je nutné aplikovat některou z metod pro analýzu lidské spolehlivosti HRA, která umožní výpočet pravděpodobnosti lidské chyby HEP (Human Error Probability) [10].

2.3 Taxonomie lidských chyb

Klasifikace lidských chyb jsou vytvořeny tak, aby ukazovaly podstatu, přibližovaly chápání a znalosti kognitivních procesů, při kterých dochází k lidským chybám. Diagnostika lidských chyb je založena na poznání lidského chování při sledovaných činnostech. V literárních pramenech lze nalézt velké množství modelů lidského subjektu a jeho projevů, které mají společný cíl a to umožnit hodnocení lidských aktivit v systémech MMS [4],[5],[8],[15].

Souhrnně tyto modely vycházejí ze:

• souborů činností, které jsou důležité zejména pro modely vycházející a využívající jako primární organizační strukturu sekvence lidských činností v systémech MMS,
• poznání chování člověka v systémech MMS, tím jsou charakteristické kognitivní modely jejichž úkolem je simulace mechanismů lidského chování tak, aby nejen popsaly, ale zejména zvýraznily a zdůvodnily chování člověka,
• souborů představ, které jsou implementovány do programů a pomocí počítačových algoritmů umožňují simulace procesů lidského myšlení.

Lidské chyby jsou identifikovány a odhadovány nejčastěji na základě analýzy dotazů nebo provádění speciálních pokusů v analyzovaném systému, v laboratořích a při simulacích reálného systému. Tabulka 2 udává přehled hodnot pravděpodobnosti lidských chyb při některých pracovních úlohách v závislosti na kognitivním zatížení člověka, které je častým zdrojem selhání lidského operátora [16]. Jelikož je pravděpodobnost vzniku lidské chyby závislá na konkrétním systému MMS, je potřeba níže uvedené hodnoty vnímat jako orientační.

Tabulka 2: Pravděpodobnosti lidských chyb v úlohách při různém kognitivním zatížení [16].

2.4 Úrovně uvědomění chyb

Chyby lidského operátora mají svoji podstatu a vycházejí ze situačního uvědomění [4], [14]. Při hodnocení lidské spolehlivosti v systémech MMS se proto vychází ze znalostí základní taxonomie chyb podle situačního uvědomění, která rozlišuje tyto následující úrovně chyb [5]:

• Úroveň 1 – vnímání elementů v okolí jako první krok v dosažení situačního uvědomění se vyžaduje vnímání stavu, symbolu, dynamiky důležitých elementů v okolí. Lidský operátor potřebuje přesně vnímat informace o svém stroji a jeho podsystémech. Stejně tak důležité je vnímání informací z okolního prostředí jako je stav aktuálních povětrnostních podmínek, komunikace a povely pro řízení letu.
• Úroveň 2 – schopnost porozumění aktuální situace, je založena na sloučení dílčích informací z úrovně 1 a na základě toho pak dochází k uvědomování souvislostí a spolu s předcházejícími znalostmi se vytváří poznání aktuální situace v celkovém kontextu, což je předpokladem pro dosažení konečného cíle. Operátor sestavuje množinu vzorů, ze kterých vychází při hodnocení vstupních dat a určuje dopad změn.
• Úroveň 3 – odhad a předpověď budoucího stavu, je schopnost představit si budoucí kroky a stavy okolí. Tato úroveň představuje nejvyšší úroveň situačního uvědomění, kdy operátor dosáhl takové znalosti stavu a dynamiky dílčích elementů systému, že má schopnost nejen porozumět aktuální situaci (úroveň 1, úroveň 2), ale také dokáže určit budoucí vývoj. Tuto schopnost operátor získá výcvikem a zkušenostmi.

Nejčastěji se vyskytující lidské chyby mající svůj původ v chybném vyhodnocení situace jsou uvedeny v tabulce 3.

Tabulka 3: Taxonomie lidských chyb z pohledu uvědomování situace [14]

3. Lidské činnosti a spolehlivost systému MMS

Spolehlivost systému je funkcí všech jeho komponent, které definují jednotlivé a specifické systémové operace. U složitých systémů, je nutné uvažovat stránky a aspekty, které s sebou přináší informační technologie a lidské interakce v systému. U mnoha systémů dochází k vzájemné interakci mezi člověkem a strojem. Jedním z nejdůležitějších příspěvků k pravděpodobnosti poruchy je událost způsobená člověkem [6]. Lidské činy mají na systém různé účinky [7]. Obrázek 4 znázorňuje interakce v systému člověk – stroj, je nezbytné uvažovat a zdůraznit následující:

Lidské činy mohou měnit spolehlivostní aspekty všech jeho komponent nebo subsystémů S_i, do kterých je systém MMS rozdělen. Lidské selhání nebo chyba může pozměňovat a ovlivňovat tak elementární funkční operace. Pro vyhodnocování dílčích intenzit poruch ?_i jednotlivých komponent systému S_i a při respektování vlivu okolních podmínek na danou komponentu včetně lidského vlivu, je nutno zavést faktor h_i, viz vztah (1), kde ?_i0 představuje vlastní intenzitu poruch komponenty S_i systému.

  (1)

Obrázek 4: Lidské činy a spolehlivost systému MMS [6]

Člověk může být pokládán za autonomní subsystém H spolu s technologickým S_m či informačním subsystémem S_i v rámci celého systému MMS. Spolehlivost lidského činitele je funkcí nejen intenzity poruch lidského subjektu determinované sociálními a psychologickými faktory, ale také schopností, interpretovat informace dodávané ostatními technickými subsystémy S_i. Na základě této skutečnosti může být spolehlivost R_s systému MMS vyjádřena funkčním vztahem (2):

, kde (2)

R_s – představuje spolehlivost systému MMS,

R_m – je spolehlivost technologického neboli mechanického subsystému S_m,

R_i – je spolehlivost informačního softwarového subsystému S_i ,

R_h – představuje účinky člověka  v systému MMS a jeho vliv na spolehlivost systému.

Závěr

Cílem predikce a hodnocení spolehlivosti lidského činitele je nejen zvyšování pohotovosti technických systémů, ale zejména dosažení vysokého stupně bezpečnosti v systémech MMS, snižování rizika havárií, odhalování možných potenciálních selhání lidí a zejména ochrana zdraví a života. Metodické postupy se neustále zdokonalují a tím se kvantifikace spolehlivostních parametrů přibližuje skutečnosti. Snahou je zejména vytvořit věrné modely lidských činností pro nejvyšší vědomostní kognitivní úroveň a tím zajistit úplný popis analyzovaného systému MMS.

Člověk ve většině systémů MMS zaujímá vedoucí nebo přímo řídící roli a tím určuje úroveň bezpečnosti systému. Je dobře známo, že selhání lidského činitele způsobuje až 80 % nestandardních stavů a proto je člověk z hlediska spolehlivosti právem považován za nejslabší článek v systému. Z tohoto důvodu je velmi žádoucí analyzovat chování člověka v systémech MMS a detekovat vlivy, které snižují jeho schopnosti plnit bezchybně požadované činnosti. K tomuto účelu lze využít kvantitativní hodnocení PSA nebo PRA založené na výpočtu pravděpodobnosti vzniku konkrétních lidských chyb. Nedílnou součástí tohoto hodnocení by ale mělo také být posouzení faktorů ovlivňujících lidskou spolehlivost, protože právě jejich působením může k selhání lidského činitele docházet.

Použitá literatura

[1] CARD, S.; MORAN, T.; NEWWLL, A. The Psychology of Human-Computer Interaction. Erlbaum : Hillsdale, 1983.

[2] OLSON, J. R.; OLSON, G. M. The growth of cognitive modeling in human computer interaction since GOMS. Human Computer Interaction, 1991, no 6, pp.21-30.

[3] BARTSCH, H. Vorlesungsmaterial. Cottbus : BTU Cottbus, 2001.

[4] RASMUSSEN, J. Information Processing and Human-machine Interaction : an Approach to Cognitive Engineering. New York : North-Holland, 1985.

[5] REASON, J. Human Error. Cambridge : Cambridge University Press, 1990.

[6] CHIODO, E.; PAGANO, M. Human reliability analyze bay random hazard rate approach., The International Journal for Computation and Mathematics in Electrical and Electronic Engineering, 2004, vol. 23, no. 1, pp. 66-78.

[7] HIDEKAVA YOSHIKAVA; WEI WU. An experimental study on estimating human error probability. Ergonomics, 1999, vol. 42, no. 11. ISSN 0014-0139.

[8] CHIODO, E.; GAGLIARDI, F.; PAGONO, M. Human reliability analyses by random hazard rate approach. IJCMEEE, 2004, vol.23, no 1, ISSN 0332-1649.

[9] STRÄTER, O. Investigations on the Influence of Situational Conditions on Human Reliability in Technical Systems. In Proceedings of the 13th Triennial Congress of the International Ergonomics Association. Tampere, 1997.

[10] ZIMOLONG, B. Fehler und Zuverlässigkeit. Göttingen : Verlag für Psychologie, 1990. In: C. F. Graumann et al. (Hg.), Enzyklopädie der Psychologie, Themenbereich D, Serie III, Bd. 2.

[11] HOLLNAGEL, E. Cognitive Reliability and Error Analysis Method - CREAM. New York : Elsevier, 1998. ISBN 0-08-042848-7.

12] SWAIN, A. D., GUTTMANM. E. Handbook of Human Reliability Analysis with Emphasis on Nuclear Power Plant Applications : NUREGKR-1275. Washington : US Nuclear Regulatory Commission, 222, 1983.

[13] SWAIN, A. D. Comparative Evaluation of Methods for Human Reliability Analysis. Köln und Garching : Gesellschaft für Reaktorsicherheit, 1989.

[14] LEIDEN, K.: LAUGHERY, K.R. A Review of Human Performance Models for thy Prediction of Human Error, Ames Research Center Moffett Field, CA 94035-1000, 2001.

[15] EMBREY, D. E.; HUMPHREYS, P.; ROSA, E. A.; KIRWAN, K. An Approach to Assessing Human Error Probabilities Using Structured Expert Judgment. Washington DC, 1984. Vol. I: Overview of SLIM-MAUD, Vol. II: Detailed Analyses of the Technical Issues, NUREG/CR-3518.

[16] VDI 4006 Blatt 2. Menschliche Zuverlässigkeit. 1998.

[17] VDI 4004 Blatt 1 (1986), Zuverlässigkeitskenngrößen, Übersicht.