Анализ надежности человека

8.4.1. Обоснование

Построение теоретических основ надежности человека выполняется с учетом технологии, принятой при рассмотрении надежности оборудования. Надежности отдельных компонентов системы объединяются в соответствии с ее конфигурацией и последовательностью взаимодействия компонентов. Различные функциональные цепочки моделируются с помощью дерева функциональных событий или дерева отказов системы. Надежности отдельных компонентов определяются иа основании произодст-венных прогнозов или сведений о количествах отказов, полученных по большой совокупности данных. Каждая возможная функциональная цепочка представляется как отдельная ветвь в дереве отказов системы. Надежности отдельных компонентов в каждой ветви объединяются по математическим законам (в зависимости от параллельной или последовательной конфигурации системы), что дает числовое выражение надежности для этой ветви дерева отказов и соответствующей ей последовательности событий.

С помощью АНЧ моделируют последовательность заданий аналогичным образом. Величины надежности человека для элементов заданий математически объединяются и дают вероятность ошибки для отдельного задания или их последовательности. Проведение систематического АНЧ дает возможность логически исследовать взаимосвязи в комплексе человек — машина, обнаружить потенциальные ошибки и определить относительные частоты возникновения конкретных сбоев при выполнении задания. Сочетая АНЧ с анализом надежности системы, можно оценить ущерб, наносимый системе ошибками человека.

Несмотря на то что рассмотренные комбинационные методики оценки надежности человека и оборудования очень сходны между собой и несложны, они в то же время имеют разное качество. Разработчики, изготовители и пользователи механизмов, узлов, оборудования и инструмента регистрируют данные об отказах, создавая таким образом базы данных. Поскольку отдельные узлы и модели оборудования эксплуатируются годами, базы данных об их отказах увеличиваются. Прогнозирование отказов, основанное на прошлом опыте, повышает надежность и точность работы механизмов. К сожалению, аналогичные данные о надежности человека отсутствуют. В очень немногих от-рапях промышленности фиксируют и накапливают сведения об ошибках своих рабочих, а если и фиксируют, то не публикуют их. Деятельность человека также сильно изменяется в зависимости от множества ФОР, по-разному влияющих на выпел-

374 Глава 8

нение различных заданий. Из-за отсутствия достоверной базы данных достаточного объема исследователи надежности человека вынуждены пользоваться лабораторными данными или собственными субъективными оценками. Более подробно проблема данных рассматривается в разд. 8.6.

8.4.2. Анализ и прогнозирование

Цель АНЧ — изучение системы человек—машина и оценка вероятности ошибки человека. Такой АНЧ может быть качественным или количественным. Качественный АНЧ применяется для уменьшения ущерба, наносимого системе ошибками человека, до приемлемого уровня. В своем простейшем виде качественный АНЧ может включать неформальный анализ задачи, оценку частоты возникновения одной и той же ошибки за данный период (месяц, год), оценку последствий или стоимость нанесенного ущерба и решение по возможному исправлению ошибки. Для анализа нескольких потенциальных ошибок может быть применена пяти- или семизначная шкала относительной вероятности. Такой подход может быть назван полуколичественным. С помощью количественного АНЧ оценивается влияние ошибки человека на систему путем определения ВОЧ и ИН для каждого отдельного элемента задачи и прогнозируется по абсолютной шкале общая вероятность отказа при выполнении данного задания. Количественный АНЧ можно использовать при вероятностном анализе риска (ВАР), когда полученные вероятности отказов для последовательностей действий сочетаются с вероятностями отказов для оборудования в дереве ошибок системы нли в дереве событий системы. По инициативе ядерной координационной комиссии результаты количественного АНЧ недавно были включены в ВАР для атомных станций с целью выяснения, какой из режимов работы станций представляет наибольшую опасность для общества. В работе [16], например, приведены результаты ВАР ядерной установки, полученные ядерной координационной комиссией по программе оценки надежности во времени..

Первое условие любого АНЧ независимо от методики его проведения — полное понимание действий, которые следует выполнить оператору, и их взаимосвязь с работой системы. Таким образом, АНЧ становится частью анализа системы человек — машина (АСЧМ) [6], который является универсальным методом идентификации и оценки существующих или потенциальных проблем деятельности человека в системе. Можно отметить следующие основные элементы АСЧМ:

1. Понять и описать функции и назначение системы. Исследователь должен получить полное представление о функциях

Ошибки человека и его надежность

37$

и назначении системы, а также о действиях людей, обеспечивающих ее функционирование. Необходимо установить порядки взаимодействий между человеком и машиной и между операторами. Для понимания или описания действия системы исследователю могут помочь карты технологического процесса.

2. Понять и описать критерии выполнения задачи. После идентификации действия или последовательности действий исследователь должен проанализировать саму задачу. Анализ задачи определяет особенности поведения операторов в системе человек —машина. Как установлено в разд. 8.2, задача связана с поведением во время работы, которое характеризует значащую рабочую функцию и способствует выполнению функции или назначения системы. Существует множество способов анализа задачи и зависимости от ее детализации. Однако все эти способы подразумевают описание действий на языке перцептивного, когнитивного и моторного поведения. Эти формы поведения анализируют затем на языке инициирующих признаков, требований к быстродействию, обратной связи, точности, связи, манипулированию и использованию органов управления, а также с точки зрения их отношения к другим задачам. Задачи анализируются по отношению к критериям их успешного выполнения, при этом оцениваются возможные затруднения.

3. Оценить характеристики, даваемые персоналом. На этом этапе оцениваются такие внешние ФОР, как качество воздуха, температуры, уровень шума, освещение и контроль. Источниками информации служат осмотр предприятия, беседы с администрацией, руководителями и рабочими на местах. Особый интерес представляют те характеристики рабочей ситуации, которые могут оказывать неблагоприятное воздействие на деятельность человека. Таким же образом выясняются уровень подготовки, опытность, тренированность и мотивации рабочих и обслуживающего персонала предприятия.

4. Анализировать задачи с точки зрения возможности ошибок человека. Способности и недостатки персонала следует сравнить с требованиями выполняемой задачи. Любое несоответствие между этими двумя наборами факторов увеличивает вероятность ошибки человека. Такое сравнение должен проводить специалист по человеческим факторам, причем желательно, чтобы он был знаком с конкретной рабочей ситуацией. Для исследователя лучший метод определения сложности задачи — самостоятельное выполнение ее с помощью письменной инструкции по эксплуатации. Другие эффективные методы — беседы с операторами, выполняющими задачи, и анализ сведений, полученных от рабочих. Дополнительную информацию можно получить, попросив операторов дать гипотетическое, однако достаточно реалистическое, истолкование рабочей ситуации.

376 Глава 8

5. Оценить вероятность потенциальных ошибок человека. На атом этапе АСЧМ выполняется количественный либо качественный АНЧ. Цель этого и следующего этапов — оценка важности каждой из ошибок, идентифицированных на этапе 4. Важность ошибки — функция частоты ее возникновения, возможностей ее исправления, тяжести вероятных последствий и стоимости мероприятий по устранению неполадок. С помощью АНЧ оценивается частота возникновения ошибки и выясняется возможность ее исправления прежде, чем система начинает испытывать последствия этой ошибки. В разд. 8.5 описаны некоторые методики АНЧ.

6. Оценить последствия ошибок человека. Здесь необходимо остановиться на одном из наиболее значительных факторов важности ошибки: ее последствий для системы. В промышленности ошибка при производстве или контроле качества может привести к выпуску негодной или нестандартной продукции. При производстве и эксплуатации ядерных силовых установок необнаруженная ошибка может привести к радиоактивному выбросу, а последовательность из нескольких ошибок может повлечь расплавление активной зоны реактора, как это случилось при аварии на Три-Майл-Айленд. Ошибки, влекущие за собой тривиальные последствия, не представляют интереса для администрации и часто остаются неисправленными. Некоторые системы оказываются нечувствительными к значительным изменениям ВОЧ при выполнении конкретных задач. В тех случаях, когда ВОЧ при решении задачи меняется и установлено ее влияние на систему, необходим анализ чувствительности системы.

7. Дать рекомендации по улучшению работы системы. На этом заключительном этапе даются рекомендации по увеличению надежности системы. Исследователь выявляет «важные» ошибки и вместе с системным экспертом формулирует решения по всему спектру проблем. Конечно, администрация с большей симпатией встречает те рекомендации, реализация которых не требует больших усилий и затрат. Рекомендации могут касаться улучшения окружающей среды, изменения задач с целью их упрощения, дополнительного контроля для повышения качества ремонта, улучшения подготовки операторов. Анализ работы системы в модифицированном (после выполнения рекомендаций) и первоначальном видах дает возможность оценить улучшение ее качества. Таким образом, методика АСЧМ может стать частью последовательного процесса усовершенствования системы человек—машина.

Ошибки человека и его надежность

8.4.3. История развития

Одним из первых применений АНЧ для изучения надежности системы человек—машина был анализ системы ядерного оружия воздушного базирования в 1952 г. в Сандийской национальной лаборатории. В качестве аппроксимации были приняты уровни ошибок человека при решении аналогичных задач в наземной и зенитной артиллерии, которые затем совместно с результатами по оборудованию и всей системе подставлялись в уравнения надежности. В связи с отсутствием данных об уровне отказов исследователи решили присвоить вероятности ошибки при решении наземных задач значение 0,01, а вероятности ошибки при выполнении задачи в воздухе — значение 0,02. В 1950-х АНЧ применялся для исследования важнейших задач, связанных с производством ядерного оружия. Хотя достоверность количественного аспекта исследований вызывала сомнения в связи с недостатком данных, качественный аспект внушал доверие и результаты могли применяться для сравнения альтернативных методов управления, что повышало надежность и безопасность системы.

В начале 1960-х усилия ученых были в основном направлены на развитие базы данных о надежности человека, известной под названием банк данных американских исследовательских институтов (АИИ) [17, 18]. В 1962 на ежегодном собрании Общества по человеческим факторам Рук [19] представил методику АНЧ (разработанную им и Суэйном) и ее применение для производственного тестирования. На этом же собрании Суэйн предложил обширный банк данных по ошибкам человека для оптимизации вновь разработанных количественных методик АНЧ. К 1964 изучением вопросов надежности человека занималось достаточно много ученых (на симпозиуме в Альбукерке собралось более 70 участников). На этом симпозиуме были представлены четыре различных направления исследования надежности человека:

1. Описание банка данных АИИ и его применение на основе простого правила произведения ошибок.

2. Методика оценки коэффициентов ошибок человека (МОКОЧ), разработанная Суэйном и Руком в Сандийской национальной лаборатории.

3. Получение оценок надежности с помощью компьютерных программ на основе метода Монте-Карло.

4. Использование оценок работы операторов, полученных экспертами фирмы «Аэроджет-дженерал корпорейшн», для калибровки банка данных АИИ при специальном применении.

Мейстер [20] дал оценку этим четырем направлениям и отметил нехватку данных о коэффициентах ошибок и других ха-

378 Глава S

рактеристиках действий человека-оператора. Он также обратил внимание на то, что в некоторых случаях вероятности отказов при выполнении задания принимаются равными произведению вероятностей отказов при выполнении элементов задания. Правило произведения вероятностей справедливо в случае полной независимости друг от друга задач-элементов. Это допущение не действительно, так как задачн-элементьг, выполняемые одним оператором или группой операторов, в конкретной ситуаш,.! в i.ipe' •, "• <-.^ i <■•.е¹ я взаимосвязаны. Опасность игнорирования ьзаиА;ос ,-.лп между чаоными задачами заключается в том, что результирующие произведения нескольких малых чисел всегда чрезвычайно невелики н дают чересчур оптимистическую оценку надежности человека. Анализируя надежность человека, всегда надо придерживаться более скромных прогнозов, так как тогда все основные несоответствия с действительностью выразятся в меньшем количестве ошибок.

Начальный период развития науки о надежности человека завершился в конце 1960-х несколькими значительными разработками. Альтман (см. [21]) в 1967 описа'л основополагающую схему классификации ошибок человека, включающую ситуационные и другие факторы, оказывающие влияние на деятельность человека. Спустя четыре месяца Мейстер (см. [22]) представил банк данных «Банкер-рамо», который в отличие от банка данных АИИ содержал главным образом сведения о надежности при решении задач в целом, а не отдельных элементов задачи.

В течение того же периода на нескольких научных симпозиумах отмечался прогресс в этой области. Суэйн [111 в 1967 разработал метод учета взаимосвязи явлений при АНЧ, Аналогичный метод предложил Уильяме (см. [23]) из фирмы «Мартин мариетта корпорейшн». Его метод сходен с МОКОЧ тем, что учитывает при оценке коэффициента ошибки человека влияние других случайных факторов.

В связи с недостатком объективных данных об ошибках человека при проведении АНЧ проверялись исходные данные экспертных оценок п^роятностей ошибки человека. Выяснилось, что эксперты не вполне владеют языком теории вероятностей. Они занимались сравнениями относительных величин, что упрощало задачу, но результаты измерений требовали корректировки с учетом величин абсолютной вероятности. Суэйн {24] предпринял попытку использовать данные экспертов и подходящую методику масштабирования для создания промежуточной линейной шкалы вероятностей ошибок при выполнении задачи, которую можно было бы калибровать по известным величинам ошибок. Другая методика возникла в результате экспериментов, выполненных по заказу ВВС США [7] с целью

Ошибки человека и его надежность

моделирования вероятности ошибок как функции времени выполнения задачи. Оказалось, что такое моделирование надежности (в зависимости от времени) осуществимо. В работе [25] можно найти более полный обзор ранних исследований надежности человека.

В начале 1970-х появились еще две передовые методологические разработки в области АНЧ. Суэйн и его коллеги развили МОКОЧ до такой степени, что методику можно было успешно применять для прогнозирования и принятия решений в промышленности. Сигель и др. [26, 27] провели многочисленные компьютерные эксперименты с различными имитационными моделями, изменяя в них величины ФОР и анализируя получаемые результаты.

В конце 1970-х и начале 1980-х в связи с международной заинтересованностью в безопасности и надежности атомной промышленности в США и Европе было исследовано несколько альтернативных подходов к рассматриваемой проблеме. Некоторые из них будут рассмотрены в следующем разделе. В обзоре [2] представлены публикации, касающиеся методик АНЧ, с 1970-х до 1984, а также сравнительный анализ методик, авторами которых являются Суэйн и Сигель.