Bengt Operatörsgränssnitt och Simulatorer - Uppsala universitet

övervaka systemet och bara reagera och handla när oväntade tillstånd eller rena fel
uppstår. Operatören å andra sidan vill känna till processens aktuella tillstånd för att kunna
avvärja eventuella problem innan de övergår i felaktigheter, och den enda metod som de
har att tillgå för att uppnå detta är att gripa in i processen då och då. På så sätt känner man
läget och vet att man kan påverka situationen i någon bestämd riktning. När dessa två
angreppssätt kombineras kommer de naturligtvis att leda till konflikter.
En till synes oförklarlig olycka med en färja har fått sin förklaring i automatiseringen.
Fjärden låg blank utan en krusning, ändå girade en färja, gick på grund och slog upp ett
stort hål i plåten. Endast tack vare kaptenens snabba ingripande klarade sig 200
passagerare utan skador. Autopiloten, som var i drift vid tillfället, krävde att varje
inprogrammerad manöver kvitterades och om inte någon kvitterade giren eller
hastighets/kursändringen fortsatte autopiloten på oförändrat sätt. Nu missade lotsstyrmannen
en signal, och vid nästa manöver som verkligen kvitterades girade alltså färjan på
ett till synes oförklarligt sätt. Denna typ av överraskningseffekt är vanlig om man genom
automatiseringen inte är helt på det klara med vilka moment som utförs av automatiken
just nu och vad som kommer att hända härnäst. Ovissheten kan göra att den som är satt
att övervaka systemet ingriper för att avvärja en som man tror felaktig manöver, som i
själva verket är korrekt.
Man brukar tala om "automation surprises", och med detta manar man att automatiken
gör saker som man inte förstår eller förväntade sig i den aktuella situationen. Ofta beror
detta på att automatiken inte är förstådd av operatören, den ingår inte i den mentala
modellen av den process man ska styra. Detta leder till att operatören inte kan förutsäga
vad som kommer att ske och blir osäker. En vanlig reaktion är då att stänga av
automatiken, om detta är tekniskt möjligt. Om automatiken är förståelig, "transparent",
kan man få mer av ett "samarbete" mellan en autopilot och den mänskliga operatören.
Barriärer
Man har ibland fört in begreppet barriär för att beteckna något som innebär ett hinder för
att fel ska kunna uppstå eller begås, vilka annars kan leda till incidenter eller olyckor. Det
är viktigt i ett system att det finns sådana barriärer av olika slag, som tillsammans bidrar
till spärrar mot fel och felbeteende. Det är också viktigt att konstruera system så att
behovet av barriärer minimeras, dvs så att systemet designas och konstrueras så att det
minimerar möjligheterna att begå fel, samt att systemet är förlåtande, dvs så att fel kan
ångras och åtgärdas och så att felen får mindre allvarliga konsekvenser.
Barriärer kan vara av olika slag, och några exempel är:
• Tekniken. Det bör finnas hinder från att begå fel inbyggt i systemets logik, t ex att det är
omöjligt att ge ett kommando som skulle vara farligt i en viss given situation eller ATCsystemet
som bromsar om föraren undlåter att göra det i tid.
• Informationssystemet. En operatör kan missa att ta fram viktig information i ett visst
läge. Systemet kan då med larm signalera att något sker som inte just nu är synligt.
Problemet kan också undvikas genom att man tänkt igenom vad som kan behövas och ser
till att all relevant information jämt är synlig. Speciellt måste säkerhetsrelaterad
information jämt vara synlig och tydlig.
• Kompetensen. Genom att ha kunskaper och färdigheter om agerande i kritiska
situationer minskas risken för felbeteende. Genom att utforma regelverk så att de blir
överskådliga, förståeliga och konsistenta ökas möjligheten för att de fungerar i praktiken.
Träning i simulatorer för att öva upp färdigheterna att hantera tänkbara situationer är ett
annat sätt.
• Arbetsorganisationen. Samverkan mellan olika personalkategorier, genom bra ledning,
attityder, samverkan i gruppen osv. kan risker för felagerande och undlåtenheter minskas.
-12-