Human-Centred Design in Aviation by Mauro Pedrali mauro.pedrali@tin.it Politecnico di Milano - Dipartimento di Ingegneria Aerospaziale, 24 Maggio, 2001

Sommario Introduzione: I fattori Umani User-Centred Design: Concetti principali Applicazioni in aviazione Interfacce utente Automazione Conclusioni

Cosa sono ? I Fattori Umani (o Ergonomia) possono essere definiti come quella Tecnologia multidisciplinare che si preoccupa della ottimizzazione delle relazioni tra l’uomo e le sue attività attraverso la sistematica applicazione delle scienze umane e dell’ingegneria dei sistemi (Edwards, 1972)

Cosa comprendono ? L’approccio ‘Fattori Umani’ è basato su varie discipline: psicologia cognitiva, clinica e sociale sociologia ed antropologia fisiologia, biologia e medicina ergonomia ingegneria

Caratteristiche Orientati alla risoluzione di problemi pratici Mirati all’utilizzo di concetti scelti sulla base della loro utilità Estesi oltre il posto di lavoro Ottimizzare: benessere dell’uomo sicurezza, ma anche appagamento come risultato dell’attività efficienza del sistema raggiungimento dell’obbiettivo tenendo conto dei costi

Aree di Applicazione Addestramento Analisi ‘Ex-post’ Analisi ‘Ex-ante’ Potenziamento Capacità ‘Non-Tecniche’ Analisi ‘Ex-post’ Eventi indesiderati ed Errori Umani Analisi ‘Ex-ante’ Predizione delle Prestazioni Umane Progettazione Sistemi automatici, Interfacce utente, Procedure ...

Human-Centred Design Progettazione Centrata sull’Uomo, ovvero, applicazione dell’approccio Human Factors alla Progettazione

Cos’è ? L’esperienza maturata nel passato a seguito di analisi di tipo ‘ex-post’ nell’interazione uomo sistema ha portato ad elaborare un approccio che ha come obbiettivo principale guidare i progettisti nella creazione di sistemi usabili

Modello concettuale SHEL (Edwards, 1972)

Hardware S H L E La totalità delle entità fisiche inanimate, come ad esempio edifici materiali, veicoli, equipaggiamenti, materiale e.g., torre di controllo, aerostazione, radar, aeromobile, cockpit, altimetro, radio, schermo radar, impianto di condizionamento

Software S H L E Regole e regolamenti, sia scritti (come le leggi e le procedure operative), sia comportamentali (come le abitudini di ogni individuo, di un gruppo o della società) che governano il modo in cui il sistema opera e in cui sono organizzate le informazioni

Liveware S H L E Tutto ciò che è umano, in altre parole gli operatori di un sistema e.g.: piloti, assistenti di volo, tecnici della manutenzione, controllori del traffico aereo, agenti di scalo, portabagagli, etc.

Environment S H L E Tutto ciò su cui il progettista non può avere nessun tipo di controllo caratterizzato non sono solo da condizioni fisiche, ma anche economiche, politiche e sociali

Usabilità sistema = Facilità d’uso Dipende dalle caratteristiche di Utente Compito Ambiente Requisiti fondamentali Efficacia Efficienza Soddisfazione International Standard Organisation norma ISO CD 9241, Part 11, Guidance on the specification and measures

Human-Centred Design Caratteristiche Coinvolgimento attivo dell’utente Accurata ripartizione funzioni/compiti tra utente e sistema Iterazione Progettazione multidisciplinare Fasi Definizione del contesto d’uso Specificazione delle esigenze dell’utente e dell’organizzazione Produzione di soluzioni di progettazione Valutazione

Coinvolgimento Natura ‘partecipativa’ approccio Inizialmente l'utente finale viene coinvolto per identificare: contesto d'uso compiti che dovranno essere eseguiti per mezzo del sistema Successivamente per testare il prototipo messo a punto sulla base delle informazioni raccolte

Ripartizione funzioni/compiti Specificare compiti, attività e responsabilità spettanti all'utente eseguiti automaticamente dal sistema Errato attribuire tutto al sistema, assegnando all’operatore le restanti funzioni Questa ripartizione deve basarsi su capacità, attitudini e le limitazioni degli utilizzatori rispetto al sistema in termini di affidabilità, accuratezza, velocità, flessibilità e costo economico

Iterazione Non è possibile stabilire con precisione fin dall'inizio le esigenze dell'utente solo grazie a ripetuti aggiustamenti successivi si arriva a capire esattamente quali necessità il sistema debba soddisfare Si riduce al minimo il rischio che il sistema finale non soddisfi le esigenze dei suoi utilizzatori favorire l'emersione di quei bisogni che sono difficili da esplicitare verbalmente per la apparente ovvietà

Multidisciplinare Utenti finali Acquirenti, manager degli utenti Specialisti del dominio di applicazione, analisti commerciali Analisti di sistema, ingegneri di sistema, programmatori Venditori, rappresentanti Progettisti di interfaccia utente, grafici Esperti di ergonomia e di fattori umani, esperti di interazione uomo-macchina Autori tecnici, personale di formazione e supporto

Definizione contesto d’uso Rappresentato da Utenti Caratteristiche: conoscenze, abilità, esperienza, istruzione, attributi fisici, abitudini e preferenze Compiti Obiettivi per cui si usa il sistema Ambiente Attributi dal punto di vista tecnico, legislativo, fisico, sociale, culturale e organizzativo

Specificazioni delle esigenze Caratteristiche della prestazione attesa dal nuovo sistema in rapporto agli obiettivi economici e finanziari Vincoli legislativi, compresi quelli che riguardano la sicurezza e la salute degli utenti diretti e indiretti Caratteristiche dell'eventuale cooperazione tra gli utenti e altri attori rilevanti Mansioni degli utenti, ovvero compiti specifici, attuale livello di benessere complessivo e motivazione Modalità di esecuzione del compito Progettazione e organizzazione del processo produttivo Gestione del cambiamento, ovvero caratteristiche della formazione e dei dipendenti coinvolti Fattibilità dell'utilizzo effettivo del prodotto e della manutenzione Progettazione dell'interfaccia uomo-macchina e della postazione di lavoro

Produzione di soluzioni 3 attività previste (a) Utilizzo della conoscenza già esistente in materia (b) Realizzazione di modelli, prototipi o strumenti di simulazione rendono più esplicite le decisioni di progettazione permettono di valutare diverse idee prima di scegliere quella migliore consentono di apportare delle modifiche al progetto durante le fasi iniziali (c) Test dei prototipi

Valutazione Obbiettivo fornire delle informazioni di ritorno che possano essere usate per migliorare il progetto valutare se gli obiettivi dell'utente e dell'organizzazione sono stati raggiunti monitorare l'utilizzo di lungo termine del sistema Le tecniche si differenziano per il grado di formalizzazione, rigore e coinvolgimento utente Non termina con la realizzazione del prodotto finale

Prototipi di interfaccia Iterazione Prototipi di sistema Sistema pronto per l’uso Progettazione e sviluppo Visualizzazione Prototipi di interfaccia utente Valutazione Requisiti del sistema Esigenze dell’utente Analisi dell’utente, del compito, e dell’ambiente

Un’altalena, o un ...

Applicazioni Interfacce utente Automazione Controllo Procedure ...

Progettazione ‘Human-Centred’ delle Interfacce utente Principi e Regole Progettazione ‘Human-Centred’ delle Interfacce utente

Principi Caratteristiche Indicazioni generali di alto livello, applicabili a molti ambiti dell'interazione uomo-macchina Raccomandazioni di tipo trasversale, che devono essere interpretate dal progettista in base al particolare contesto d'uso Richiedono uno sforzo al designer che voglia servirsene "ridurre il carico mentale dell'utente” "adeguare il linguaggio del sistema alle esigenze dell'operatore"

Regole Caratteristiche Indicazioni dettagliate di basso livello, applicabili ad ambiti ristretti dell'interazione uomo-macchina Richiedono uno sforzo interpretativo minimo da parte del progettista e possono derivare da teorie psicologiche o dall'esperienza pratica "collocare il pulsante 'esci' in basso a destra dello schermo” "cominciare la numerazione degli elementi di un insieme con '1'"

Pro & Contro Principi Regole A volte contraddittorie e sovrapponibili, e.g., Presentazione informazioni in base alla funzione rispettando l'ordine alfabetico tenendo conto della frequenza utilizzo o della importanza per l'utente Principi condensano in pochi punti gli aspetti rilevanti nella progettazione di un'interfaccia si applicano ad una maggiore quantità di casi

Interfaccia usabile Consistenza dell'interfaccia Feedback per l'utente Carico mentale dell'operatore Linguaggio dell'interfaccia Prevenzione e correzione degli errori

Consistenza Un sistema consistente si comporta in modo simile in situazioni simili La consistenza sollecita e favorisce l'uso di ragionamenti basati sull'analogia sia a livello di interfaccia sia, soprattutto, a livello funzionale i vari procedimenti da seguire per portare a termine compiti diversi si basano su una stessa logica per evitare confusioni all'utente e consentirgli un più rapido sviluppo di reazioni automatiche

Attributi Prevedibilità Familiarità Generalizzabilità caratteristica per cui l'utente ritiene di poter prevedere l'effetto delle sue azioni future basandosi sull'esperienza maturata durante le interazioni passate Familiarità proprietà che misura la correlazione tra la conoscenza già posseduta dall'utente e quella necessaria per procedere ad un'effettiva interazione Generalizzabilità proprietà del sistema per cui l'utente può estendere la conoscenza maturata in una specifica interazione ad altre situazioni simili

Mapping naturale Ovvero compatibilità di risposta le modalità di azionamento dei comandi sono progettate in analogia al tipo di risultati che questi producono e.g., innalzare un cursore genera la naturale aspettativa di incrementare la quantità di un qualcosa stereotipo: corrispondenza tra azionamento di un comando ed effetto prodotto, percepita come naturale dalla stragrande maggioranza dei soggetti di una data popolazione

Feedback Regola il rapporto comunicativo tra l'utente e la macchina Grazie all'informazione di ritorno che l'operatore può sapere se e come il suo comando è stato recepito e quindi può stabilire il successivo passo da compiere. Informa costantemente l'utente circa l'attività in corso non solo quando si presentano degli errori, ma anche durante la regolare interazione

Carico mentale ‘Costo Psicologico’ che l’operatore sopporta come conseguenza della sua occupazione Cause Situazione lavorativa (e.g. condizioni fisico ambientali, orari, strumenti di lavoro ), Fattori legati all’individuo (esperienza, salute, motivazione), Fattori sociali (grado di inserimento, famiglia) Come alleviarlo recupero mnemonico; abbinamento comando/funzione; pre-determinazione delle informazioni; riduzione delle informazioni

Linguaggio interfaccia Adeguarsi alla caratteristiche dell’operatore la terminologia, gli elementi iconici e quelli grafici devono tenere conto delle esigenze dell’utente sia fisiche, sia psicologiche e devono ispirarsi alle convenzioni dell'ambiente culturale cui egli fa riferimento Teoria della Gestalt tendenze organizzative innate, chiamate principi di raggruppamento, predispongono naturalmente l'uomo a considerare elementi di uno stesso gruppo quegli stimoli che presentano tra loro un rapporto di vicinanza, somiglianza, chiusura, continuità o comunanza

Errori "Se un errore è possibile, qualcuno prima o poi lo farà" (Norman, 1990) Prevenzione Raggruppare comandi in base: Funzione, Sequenza e Frequenza d’uso Evitare comandi troppo simili Ricorso a funzioni obbliganti Correzione “all’indietro”, “in avanti” (sforzo commisurato)

“Any task can be automated. The question is whether it should be ...” Wiener & Curry (1980). Flight-deck automation: Promises and Problems. Ergonomics, 23, pp. 995-1011

Automazione Posizionamento del problema Panorama storico dell’automazione Vantaggi e svantaggi Ruolo dell’Uomo e della Macchina Requisiti per un’automazione di tipo ‘human-centred’

Posizionamento del problema

Perché automatizzare ? Più automazione, Meno errori umani Punto di vista dell’industria e delle compagnie aeree Problemi di interazione tra operatore umano e automazione Risultati analisi di Incidenti ed Inconvenienti “… Automation does not eliminate human errors, but rather changes its nature and possibly increases the severity of its consequences ...” (Wiener, 1993)

Complessità Rende più difficile all'uomo, la comprensione, la modellazione (modello mentale) ed il richiamo alla memoria dei dettagli dell'automazione Rende più difficile il ricordare ciò che serve per spiegare il comportamento del sistema automatico Questo è specialmente vero quando una funzione automatica è utilizzata o richiamata solo in rare occasioni “… Apparent simplicity, real complexity” (Woods, 1996)

‘Coupling’ Relazioni, o interdipendenze interne, fra tutte le funzioni eseguite in maniera automatica. Queste interdipendenze sono raramente ovvie ... … molte non sono nemmeno trattate in manuali o in altre pubblicazioni accessibili agli utenti dei sistemi automatici La possibile sorpresa che gli operatori potrebbero mostrare per il comportamento del sistema in particolare modo se il modo di funzionamento del dispositivo è determinato da fattori contingenti e quindi appare, apparentemente, imprevedibile

Autonomia Comportamento autonomo, reale o apparente, della macchina Quando il comportamento autonomo è inaspettato, il controllore umano percepisce questo come animato ... … il sistema automatico appare guidato da una mente propria. L'essere umano deve decidere, talvolta velocemente, se il comportamento osservato è corretto o meno Questa decisione può essere difficile, in parte a causa del coupling e in parte perché può non esserci feedback adeguato

Assenza di feedback Situazione in cui l'automazione non comunica, o comunque comunica in maniera povera o ambigua sia quello che sta facendo, o perché lo sta facendo sia, in alcuni casi, perché sta per mutare il modo di operare all'interno di una certa funzione Senza questo feedback, l'operatore umano deve capire, facendo appello alla sua memoria o al modello che ha del sistema automatico, la ragione del comportamento osservato

Conseguenze Allontanamento dell’operatore umano (pilota, controllore, …) dalla macchina Minore coinvolgimento nella missione Perdita della consapevolezza della situazione spazio-temporale Non più ‘locus’ del controllo

Principi di Progettazione L’operatore deve ... avere la responsabilità per la sicurezza avere la relativa autorità di comando essere attivamente coinvolto essere adeguatamente informato essere in grado di monitorare i sistemi automatici che lo assistono Il sistema automatico deve … essere prevedibile controllare gli esseri umani deve conoscere le intenzioni degli altri componenti del sistema (operatori o sistemi che siano)

L’automazione in aviazione: dal dopoguerra ad oggi Panorama storico L’automazione in aviazione: dal dopoguerra ad oggi

4 generazioni

Evoluzione 1a Generazione 2a Generazione 3a Generazione 4a Generazione sistemi automatici semplici molti compiti manuali navigazione manuale 2a Generazione ridondanza dei sistemi navigazione automatica 3a Generazione sistemi digitali display grafici FMS allarmi integrati 4a Generazione fly-by-wire operazioni integrate dei sistemi

1a Generazione B707 DC-9 Comet DC-8

2a Generazione L-1011 B727 DC-10 B747

3a Generazione F-28 MD-11 A310

4a Generazione A330 B777

Caratteristiche 3 Strutture di controllo 3 Modelli di automazione interna (Inner loops) intermedia (Intermediate loops) esterna (Outer loops) 3 Modelli di automazione Automazione nel controllo Automazione nell’informazione Automazione nella gestione

… nel controllo Automazione che assiste o sostituisce l’equipaggio nel controllo e nella direzione dell’aeromobile Esempi: Flight Directors, VHF Omnidirectional Range (VOR) Distance Measuring Equipment (DME), Instrument Landing System (ILS), Integrated Flight Control Systems, Sidesticks, Full Authority Digital Engine Controllers (FADECs)

Inner & Intermediate loops

... nell’informazione Automazione mirata alla gestione e alla presentazione delle informazioni rilevanti all’equipaggio Esempi: Primary Flight Display (PFD), Navigation Display (NAV), Multi Function Display (MFD)

Glass cockpit

Primary Flight Display

Navigation Display

Multi Function Display

... nella gestione Automazione che permette il controllo tattico e, soprattutto, strategico di un'operazione Flight Management System

FMS - Funzioni Navigazione Valutazione prestazioni Pilotaggio Gestione strumenti elettronici Gestione unità di controllo Gestione input-output Esecuzione test Gestione del sistema operativo Honeywell FMS MD-11

Outer loops

COMPLESSITÀ CRESCENTE, CONTROLLO DIRETTO IN DIMINUZIONE

Dell’Automazione in Aviazione Vantaggi e Svantaggi Dell’Automazione in Aviazione

Luci ed Ombre Vantaggi / Benefici Svantaggi / Costi Sicurezza Affidabilità Economia Comfort Svantaggi / Costi Complessità Fragilità Opacità ‘Alla lettera’ Addestramento

Complessità Diversi ‘modi’ di funzionamento Accoppiamento (coupling) controllo tattico e gestione strategica del volo Grande flessibilità Interazione non chiara/ovvia all’operatore Modello mentale non corretto Uso improprio

L1011 vs A320 Lockheed L-1011 Airbus A-320 DUAL AXIS PITCH AXIS Approach Approach/land Go-around Take-off Turbulence PITCH AXIS Control wheel steering Altitude hold Vertical speed hold IAS hold Mach hold Altitude capture ROLL AXIS Heading select VOR hold R-nav coupling Localiser hold Lockheed L-1011 Airbus A-320 Autothrust Modes TOGA FLX 42 MCT CLB IDLE THR SPD/MACH ALPHA FLOOR TOGA LK Vertical Modes SRS DES OPEN CLB OPEN DES EXPEDITE ALT V/S-FPA G/S-FINAL FLARE Lateral Modes RWY NAV HDG/TRK LOC* LOC/APP NAV LAND ROLLOUT

Autopilota - ‘climb modes’ 24000 25000 26000 27000 26500 23000 CAPTURE VERTICAL SPEED 2 7 4 ALT 24000 25000 26000 27000 26500 23000 CAPTURE VERTICAL SPEED 2 7 6

Fragilità Funziona bene in condizioni normali ma presenta dei comportamenti indesiderati in prossimità di condizioni limiti Più un software è complesso più è difficile testarlo in tutto lo spettro operativo Solo alcune delle condizioni limiti possono essere valutate per la certificazione Ci possono essere situazioni che insorgono in maniera del tutto imprevista (Mulhouse-Habsheim, 1988, Air France A320)

Opacità “Cosa sta facendo ?”, “Perché lo sta facendo?”, “Cosa farà dopo?” Inadeguato modello mentale Complessità dell’automazione Addestramento inadeguato / insufficiente ‘Strong and silent” (Sarter and Woods, 1994) Complessità crescente  Difficoltà nel dare informazioni ovvie / non ambigue

‘Alla lettera’ L’automazione fa solo ed esattamente quello che le si dice di fare L’operatore può ‘ingannare’ l’automazione, ma lo fa a spese do un carico mentale maggiore e con la possibilità di commettere errori

Addestramento “How they operate”  “How to operate” Cambio di paradigma? Se l’operatore non possiede un adeguato modello mentale del sistema e su come il sistema lavora (quando lavora correttamente) a maggior ragione sarà più difficile capire quando il sistema non funziona correttamente

Altri problemi Fiducia (eccessiva) nell’automazione Automazione insensibile (Clumsy) Digitale vs. Analogico Autonomia completa dell’automazione Degrado delle capacità Coordinamento equipaggio Requisiti di monitoraggio Sistemi automatici e navigazione Sovraccarico di dati

Sostituibili ? Complementari ? Intercambiabili ? Ruoli Uomo e Macchina Sostituibili ? Complementari ? Intercambiabili ?

Controllore o Manager ? I piloti possono giocare una varietà di ruoli preferiscono operare con più ruoli Un ragionevole spettro di opzioni controllo/gestione deve essere fornito Maggior addestramento Più tempo per acquisire familiarità con le capacità dell’automazione Maggiori costi per le attrezzature

Responsabilità - Autorità Autorità di comando: può essere delegata, può essere limitata Responsabilità: non può essere delegata Se l’operatore ha la responsabilità, allora deve avere la conoscenza e l’autorità necessaria per restare al comando

Requisiti o Linee Guida Progettazione ‘Human-Centred’ dell’Automazione in Aviazione

Ricapitolazione Fattori comuni riscontrati negli incidenti Complessità Accoppiamento (Coupling) Autonomia Feedback inadeguato Caratteristiche associate all’utilizzo Fragilità Opacità ‘Alla lettera’ Insensibilità Sovraccarico di dati ...

L’operatore qualche volta non capisce ... … Cosa sta facendo l’automatismo … Perché lo sta facendo … Cosa farà dopo

Peculiarità linee guida Considerare tali linee guida come ‘a whole’ non solo come ‘stand-alone ’ ‘What to do (or not to do) ’ piuttosto che ‘how to do ’ Tipologia Raccomandazioni generali Raccomandazioni specifiche

Raccomandazioni generali Operatore sempre ... al comando coinvolto informato informato sul sistema Automatismi prevedibili monitori Mutua conoscenza di ogni agente Automazione, ma solo se … Automazione facile da insegnare apprendere utilizzare

“The Human Operator Must be in Command”

Al Comando Non affidare il comando all’automazione Autorità del comando legata alla Responsabilità Automazione non può gestire l’incertezza Autorità del comando compromessa se Ceduta, per indecisione, all’automazione o ad un altro uomo quando una decisione è necessaria (Portland, Oregon, 1978, United Airlines DC8) Piegata alle politiche e procedure di compagnia (Dryden, Ontario, 1989, Air Ontario F28) Degradata da decisioni progettuali (Toulouse, 1994, Flight Test A330)

“To Command Effectively, the Human Operator Must Be Involved”

Coinvolto Ruolo attivo nel controllo diretto dell’aeromobile e nella gestione delle risorse umane e tecniche Richiedere sempre dei compiti significativi che coinvolgano almeno una componente percettiva cognitiva psicomotoria

“To Remain involved, the Human Operator Must Be Appropriately Informed”

Informato Informazione adeguata sull’operazione automatica Maggiore coinvolgimento dell’operatore Decisioni prevedibili da parte dell’operatore Meno sorprese per l’operatore Contenuto e modalità di presentazione rafforzano le priorità di un compito

“The Human Operator Must Be Informed About Automated Systems Behaviour”

Informato sul sistema L’automatismo deve fornire informazioni sull’attività in corso, sulle attuali prestazioni e potenziali degradi Operatore deve conoscere Funzionamenti e malfunzionamenti del sistema per poter intervenire in tempo

“Automated Systems Must Be Predictable”

Prevedibile Come manager, l’operatore deve essere in grado di predire come le prestazioni dell’ aeromobile saranno influenzate da quel tipo di automatismo Al momento della selezione Per tutto il volo

“Automated Systems Must Also Monitor Human Operators”

Monitore Poiché l’uomo può commettere errori, è necessario che l’automazione li identifichi diagnostici gestisca corregga Arduo monitorare la presa di decisione

“Each Agent in an Intelligent Human-Machine System Must Have Knowledge of the Intent of the Other Agents”

Conoscenza mutua Condivisione delle intenzioni sia da parte dell’automazione sia da parte dell’uomo Agevolare la comunicazione delle intenzioni e proteggere dai ‘qui-pro-quo’ Strasbourg (1992), Air Inter - A320 Nagoya (1994), China Airlines, A300

“Functions Should Be Automated Only If There is a Good Reason for Doing So”

Automazione, solo se ... “… Tecnicamente e economicamente fattibile” “… Esiste la tecnologia per automatizzare una funzione che impedirebbe al pilota di superare, senza volerlo, i limiti di sicurezza” “… L’operatore può essere sempre in grado di sostituirsi all’automatismo”

Prima di automatizzare ... … Chiedersi “Perché questa funzione deve essere automatizzata?” “La nuova funzione automatizzata migliorerà le capacità del sistema o la consapevolezza dell’equipaggio?” “Non automatizzando, si migliorerebbero il coinvolgimento o la capacità di restare al comando ?”

“Automation Should Be Designed to Be Simple to Train, to Learn, and to Operate”

Facile da ... Insegnare, Apprendere, Utilizzare  Semplice, Trasparente e Intuitiva Deve essere pensata per essere utilizzata in condizioni difficili ed in un ambiente avverso da operatori stanchi e distratti con abilità medie

Raccomandazioni specifiche Comprensibile Non rimuovere l’uomo dal comando Mantenere/Aumentare consapevolezza Mai silente Facilitare interazione Uomo-Macchina Fiducia e Affidabilità

Raccomandazioni specifiche Controllo Autorità limitata Non limitare l’azione Offrire ampio spettro di possibilità Coinvolgere operatore Carico di lavoro Tollerante e resistente all’errore Informazione Enfasi e Importanza Avvertimenti e Allarmi Integrazione Gestione Nei limiti delle capacità umane

“Automated Systems must be Comprehensible”

Comprensibile Mantenere le operazioni dei sistemi e degli automatismi Semplici e Prevedibili limitando (in quantità) i modi di funzionamento riducendo la complessità ed il rischio di coupling Transizioni più veloci verso i nuovi sistemi Addestramento meno oneroso Accettazione utente

“Automation Must Insure That Operators Are Not Removed from the Command Role”

Non rimuovere l’uomo dal comando La crescente integrazione e coupling dei sistemi automatici rischia di bypassare l’operatore Mostrare le conseguenze di una scelta prima della sua accettazione Assicurarsi che l’operatore acconsenta ad eventuali cambiamenti prima di attuarli Permettere un minimo di negoziazione

“A Primary objective of Automation is to Maintain and Enhance Situation Awareness. All Automation Elements and Display Must Contribute to this Objective”

Mantenere/Aumentare Consapevolezza Elementi che concorrono: posizione, velocità, assetto, pericoli, stato di funzionamento ausili, ‘cosa fare dopo’ … Stabilire quale sia la forma e la rappresentazione migliore per rafforzare la consapevolezza della situazione spazio temporale

“Automation Must Never Be Permitted to Perform, or Fail, Silently”

Mai silente Se un’avaria di un automatismo non si manifesta esplicitamente mette l’intero sistema in pericolo Anche se si delega il controllo all’automatismo, l’operatore deve essere sempre a conoscenza Miami (1972), Eastern Air Lines L-1011

“Management Automation Should Make Human-Machine Systems Easier to Manage”

Facilitare HMI L’automatismo non deve rendere più complesso un compito di per sé facile Programmazione del FMS

“Designers Must Assume That Human Operators Will Rely on Reliable Automation, Because They Will”

Fiducia e Affidabilità La fiducia nei confronti di un sistema automatico aumenta con l’aumentare della sua affidabilità Tuttavia, se l’informazione è derivata o è il risultato di un processo, il progettista deve assicurarsi che i dati cui l’informazione è ricavata siano o visibili o accessibili per una verifica raw data vs. processed data

“Control Automation Should Be Limited in Its Authority “Control Automation Should Be Limited in Its Authority. It Must Not Be Permitted to Become Insubordinate”

Autorità limitata L’automatismo non dovrebbe mai permettere che il sistema giunga ad una situazione ‘difficile’ (che comprometta la sicurezza) da cui è difficile sottrarsi sia in modo automatico, perché potrebbe anche fallire per causa di un’avaria (fragilità) sia in modo manuale, perché la situazione potrebbe eccedere le capacità dell’operatore

“Designers Should Not Foreclose Pilot Authority to Override Normal Aircraft Operating Limits When Required for Safe Mission Completion”

Non limitare l’azione 2 filosofie a confronto Costruttore ‘A’ “L’automazione deve impedire che l’operatore agisca in modo da compromettere la sicurezza” Costruttore ‘B’ “L’operatore deve essere sempre in grado di sostituirsi all’automatismo”

“Automation Should Provide the Human Operator with an Appropriate Range of Control and Management Options”

Ampio spettro di possibilità L’automazione deve essere sufficientemente flessibile Gli operatori possono avere diverse esperienze Le condizioni operative possono variare Spettro non troppo ampio per non aumentare il carico di lavoro dell’operatore e la complessità del sistema

“Designers Should Keep Human Operators Involved in an Operation by Requiring of Them Meaningful and Relevant Tasks, Regardless of the Level of Management Being Utilised by Them”

Coinvolgere operatore Livelli di gestione strategica troppo spinti possono diminuire il coinvolgimento dell’operatore oltre limite desiderabile L’automazione deve essere progettata per minimizzare questo distacco in modo che l’operatore possa sempre reinserirsi nel loop in caso di avaria

“Aircraft Control Automation Should Be Designed to be of Most Help During Times of Highest Workload, and Somewhat Less Help During Times of Lowest Workload”

Carico di lavoro Il carico di lavoro varia in funzione delle fasi della missione in funzione delle caratteristiche dell’operatore L’automazione deve assecondare il carico di lavoro

“Aircraft and ATC Automation Should Be Designed Both for Maximum Error Resistance and Maximum Error Tolerance”

Resistente e Tollerante Automatismi e relative interfacce devono avere architettura semplice essere dotati display chiari e intuitivi fornire risposte non ambigue ai comandi Il sistema dovrebbe essere dotato di capacità di monitoraggio prevedere dei dispositivi di riconoscimento dell’errore e di correzione

“Emphasise Information in Accordance with Its Importance”

Enfasi e Importanza l’informazione più importante deve essere la più ovvia e più localizzata centralmente cambi/transizioni vs. staticità ridondanza d’informazioni simboliche forma, dimensione, colore, luminosità … informazioni tattili e uditive per rafforzare o sostituire quelle visive limitare uso di segnali acustici

“Alerting and Warning Systems Should Be as Simple and Foolproof as Possible”

Avvertimenti ed Allarmi Non devono essere ambigui l’operatore deve poterne identificare la causa Devono essere accompagnati, se possibile, da informazioni di tendenza non deve giungere inaspettatamente Evitare il rischio di falsi allarmi cfr. fiducia ed affidabilità degli automatismi

“Integration of Information Does Not Mean Simply Adding More elements to a Single Display”

Integrazione 1 + 1  2 All’operatore deve essere facilitato il compito di comprendere l’informazione In caso di cambiamento Preservare la familiarità con alcuni degli elementi Maggiore attenzione verso quei dati che possono cambiare

“Future Automation Must Insure That Control and Management Remain Within the Capabilities of the Human Operators Who Must Accomplish the Task if Automation Fails”

Nei limiti delle capacità umane “… advances in technology lead to a reduction in perceived risk, hence to behaviour that is closer to the limits of acceptable performance - thereby effectively reducing the margin for safety” (Hollnagel, 1993)

Per concludere ... “ The modern airplane is the product of a program of research, development, and refinement in detail that no other structure or mechanism has ever matched. The results have been so remarkable that there is always the danger of forgetting that these extraordinary craft still have to be operated by men, and that the most important test they have to meet is still that of being operable without imposing unreasonable demands or unnecessary strains on the flight personnel ” Edward P. Warner, citato da Ross McFarland, 1946

Riferimenti http://www.airdisaster.com/ http://aviation-safety.net/ Billings, C. E. (1997). Aviation Automation: The search for a Human-Centred Approach. Lawrence Erlbaum Ass., New Jersey, USA http://www.airdisaster.com/ http://aviation-safety.net/ http://www.airliners.net/