HUFAG Nieuwsbrief Inhoud 1 Van de voorzitter 2 De waarschijnlijkheid van een vliegerfout 3 Air Traffic Management: het ontwerpen van verbeteringen 5 Nieuwe markering van nooduitgangen in vliegtuigen bijna mogelijk 7 Minder is beter: ontwerp van een cockpit met drie beeldschermen
HUFAG Human Factors Advisory Group Stichting HUFAG Postbus 75654 1118 ZS Schiphol Fax: 050 309 46 75 t.a.v. Dhr. A. Droog Internet: www.hufag.nl E-mail:
[email protected]
8 Herfst 2003
Human Factors en ontwerp Een ingestorte steiger in de energiecentrale in Geertruidenberg, een frontale treinbotsing in Duitsland, een boot met toeristen die de wal van de Rijn oploopt. De oogst van één dag aan opmerkelijke ongevallen met ernstige gevolgen voor de betrokkenen. “Wat is daar nu weer misgegaan?” Hoe speelde menselijk handelen daarin een rol? De ‘of’-vraag vind ik eigenlijk overbodig. Aan ‘extreem laag water in de Rijn’ mag weinig te doen zijn, de beslissing om dan toch te varen wordt door een mens gemaakt. Statistieken binnen de luchtvaart wijzen in ongeveer 80% van de gevallen menselijk handelen als bijdragende factor aan ongevallen aan. Wat kunnen we doen om dat getal positief te beïnvloeden? Op de eerste plaats zorgen we er voor dat we de juiste mensen in dienst nemen (zie Nieuwsbrief Nr. 7) en dat we deze mensen adequaat opleiden (zie Nr. 6). En we zorgen voor een robuust ontwerp dat tolerant reageert op menselijke fouten door al in de ontwerpfase aandacht te besteden aan Human Factors. Ontwerp is het thema van deze Nieuwsbrief. Het is niet zo eenvoudig om te bepalen wat de kans is dat een vlieger een bepaalde bedieningsfout maakt. Ervan uitgaan dat de fout altijd (faalkans 100%) of nooit (faalkans 0%) gemaakt wordt lijkt absurd. Toch zit de praktijk er niet zo gek ver vanaf! De fabrikant wordt toegestaan aan te nemen dat de vlieger geen fout maakt. Gerard Temme gaat in zijn artikel in op de achtergronden hiervan, en geeft een richting aan waarin de situatie verbeterd zou moeten worden. Het tweede artikel, van Jurgen van Avermaete, beschrijft de systematiek waarmee Luchtverkeersbeveiliging verbeteringen ontwerpt en hoe human factors in het voorontwerp worden meege-
nomen. CONOPS is hier het sleutelwoord. Marnix van der Heijde gaat in het derde artikel in op het ontwerp van nieuwe pictogrammen voor gebruik in vliegtuigen. Deze nieuwe pictogrammen zijn gebaseerd op de bestaande ISO-eisen voor gebouwen, en je zou kunnen verwachten dat passagiers hier al redelijk bekend mee zijn. De zaak blijkt echter minder eenvoudig en het is soms weliswaar grappig maar in de kern van de zaak een uiterst serieuze aangelegenheid om te lezen over de veelheid aan interpretatiemogelijkheden voor pictogrammen die er op het eerste gezicht logisch uitzien. Tot slot een artikel van Antoine de Reus die schrijft over het Europese samenwerkingsproject NEWSCREEN waarin de haalbaarheid wordt onderzocht van een ‘glass cockpit’ met drie in plaats van zes schermen. Zeer interessant, ook vanwege de verbinding die wordt gelegd met het eerste artikel van deze nieuwsbrief. Vanuit het HUFAG-bestuur is helaas nog geen positiever geluid te horen over onze financiële situatie. Het blijft voorlopig lastig. Voorlopig geen invulling aan nieuwe plannen, maar de Nieuwsbrief blijft zo lang mogelijk buiten schot. In de afgelopen periode heeft het bestuur afscheid genomen van twee bestuursleden, Lou van Munster en Ronald van Gent. Twee HUFAG-mannen van een vroeg uur. We zullen hun strategisch denken en concrete raad missen en we hopen dat ze van iets grotere afstand ons toch blijven steunen. Vanaf deze plaats nogmaals hartelijk dank voor al die jaren belangeloze inzet! Jurgen van Avermaete voorzitter Stichting HUFAG
De waarschijnlijkheid van een vliegerfout Gerard Temme | IVW-DL Certificatie testvlieger
Figuur 1. ‘JAR 25.1309 Failure assessment’
Ernst van Faalgeval
Twee kanten aan de bediening van een systeem: het systeem en de bediening ervan. De kans op technisch falen van een systeem kan door de fabrikant vrij nauwkeurig worden geschat. Hoe groot echter is de kans op niet-technisch falen, met andere woorden op een menselijke bedieningsfout? Onderstaand artikel beschrijft een methode waarop deze kans en de gevolgen van fouten in de bediening in kaart kunnen worden gebracht met het oog op certificatie.
Catastrophic
FAIL
FAIL
FAIL
PASS
Hazardous
FAIL
FAIL
PASS
PASS
Major
FAIL
PASS
PASS
PASS
Minor
PASS
PASS
PASS
PASS
Probable 10-3
Remote 10-5
Extremely Remote 10-7
Extremely Improbable 10-9
Systeemfaalkans
De kans op een faalgeval kan een combinatie zijn van systeemfalen en een bedieningsfout. De kans op systeemfalen kan tegenwoordig redelijk nauwkeurig worden berekend. De kans dat degene die een systeem bedient, in dit geval de vlieger, een fout maakt is echter nog steeds een grote onbekende. De fabrikant mag in zijn analyse aannemen dat de vlieger in de benodigde selecties geen fouten maakt indien hij aannemelijk kan maken dat een bepaalde actie redelijkerwijs door een vlieger kan worden uitgevoerd. De praktijk is echter weerbarstiger dan de theorie. In circa 80 procent van de ongevallen is er een component van menselijk falen aan te wijzen. Aangezien de fabrikant toegestaan wordt om aan te nemen dat de vlieger geen bedieningsfouten maakt is er voor hem geen stimulans aanwezig om de Human Factors aspecten van een systeembediening te optimaliseren. Hierin zou verandering moeten komen. Dit betekent dat, afhankelijk van de bedieningsaspecten van een bepaald systeem, een schatting gemaakt moet worden van de kans op een menselijke fout.
2
Figuur 2. ‘Pass/Fail criterium vliegerfout’ Ernst van Faalgeval
Sinds lange tijd wordt tijdens het certificatieproces van transportvliegtuigen ieder systeem geanalyseerd met betrekking tot de mogelijkheid van falen en de daarbij behorende kansberekening. Dit gebeurt volgens het voorschift dat neergelegd is in Joint Aviation Requirements JAR 25.1309. De basis van dit voorschrift is dat er een inverse relatie moet bestaan tussen de ernst van een bepaald faalgeval en de kans van optreden (zie figuur 1).
Severe
FAIL
FAIL
PASS
Major
FAIL
PASS
PASS
Minor
PASS
PASS
PASS
likely
unlikely
very unlikely
Vliegerfaalkans
Bedieningsfouten kunnen als volgt worden ingedeeld: 1. Een foute bediening zonder enige aanleiding 2. Een foute reactie op een systeemfalen 3. Een foute bediening in combinatie met een niet gerelateerd faalgeval. Om de relatie met JAR 25.1309 niet te verbreken is ervoor gekozen om eerst de tweede categorie aan een nader onderzoek te onderwerpen. Een poging hiertoe is nog maar door weinigen ondernomen. Een uitzondering hierop was de, onlangs ter ziele gegane, vliegtuigfabriek FairchildDornier. De JAA had enige tijd geleden een ‘policy’ aangenomen (INT/POL 25/14) die de fabrikanten verplicht de Human Factors aspecten in de cockpit structureel te analyseren. FairchildDornier heeft vervolgens voor het 728 project een methode ontwikkeld om de kans op een vliegerfout te schatten, gebaseerd op de interface karakteristieken. De uitkomst hiervan was niet een ‘getal’ (bijvoorbeeld de kans op een vliegerfout per vlieguur) maar een indeling in drie categorieën. Het basisidee is als volgt (zie figuur 2):
Stap 1: Bepaal de invloed van een bedieningsfout De invloed is gedefinieerd als het verschil tussen de situatie van het vliegtuig met en zonder de bedieningsfout (conform een normale 1309 systeemanalyse). Dit kan zich uiten in een verlaging van de veiligheidsmarge, een verhoging van de werkbelasting of een wijziging van de classificatie in de 1309 systeemanalyse. Deel deze invloed in een van de volgende categorieën in: MINOR / MAJOR / SEVERE Stap 2: Bepaal de waarschijnlijkheid van de bedieningsfout De waarschijnlijkheid wordt o.a. bepaald door het aantal verdedigingslinies, safeguards, dat is aangebracht tegen foutieve bediening (guard over switch, twee-positie schakelaar in plaats van vier-positie schakelaar, handgeleiding naar de te bedienen schakelaar, herinnering door een waarschuwingssysteem dat een actie nog niet voltooid is, crew coördinatie procedure etc.) Deel de waarschijnlijkheid in een van de volgende drie categorieën in: Likely (geen safeguard) / Unlikely (een safeguard) / Very unlikely (twee safeguards)
HUFAG | Nieuwsbrief
Figuur 3. ‘Voorbeeld van de analyse van vliegerfouten’ Bedieningsorgaan
Systeemfalen
Vliegerfout
Effect op het vliegtuig
Foutherkenning
Ernst vliegerfout
Faalkans vlieger
Pass / Fail
System control by Cursor Control Device
Hydraulic 1 Temperature high
Closing Hydraulic Shut off valve 2 instead of 1
Closing the wrong valve is irreversible. All Engine pumps lost. Only electric pumps operative
Checklist item will not disappear with closing wrong valve
Major
Unlikely
PASS
System control by Cursor Control Device
Hydraulic 1 AC pump failure
Hydraulic 1 AC pump switched ON instead of OFF
None
Hydraulic 1 AC pump will still show FAIL status
Minor
Likely
PASS
Engine ON/OFF switch
Left Engine Failure
Shutting down Right Engine
Double engine failure
Total Thrust loss/ Emergency Electrical Power
Severe
Unlikely
FAIL
Stap 3: Bepaal, met gebruikmaking van het ‘pass/fail’ criterium, of de bedieningsaspecten van het systeem acceptabel zijn. Dit pass/fail criterium is zeer analoog aan dat van JAR 25.1309. Indien een systeem niet voldoet aan het criterium zal de fabrikant een extra verdedigingslinie tegen foutieve bediening moeten opwerpen. Indertijd is door de JAA, ter validatie van de methode, een aantal systemen aan deze analyse onderworpen (zie figuur 3). Een van de systemen die volgens de analyse niet voldeed aan het criterium was de motorbediening. Het bleek dat, in geval van motoruitval of motorbrand, de kans op het uitschakelen van de verkeerde (niet gefaalde) motor te hoog was in relatie tot het effect. Een extra verdedigingslinie was daarom noodzakelijk. Deze is gevonden in het verlichten van een ring rondom
de betreffende aan/uit schakelaar in geval van motoruitval of motorbrand (handgeleiding). Vermeldenswaard is hier dat Fokker dit al in de Fokker 100 had aangebracht, weliswaar niet op grond van een gestructureerde analyse, maar op grond van “engineering judgement”. De analysemethode blijkt dus waardevol te zijn om te voorkomen dat bepaalde aspecten vergeten worden. Enige tijd geleden is er in een samenwerkingsverband tussen IVW-DL en de FAA besloten om het NLR een opdracht te geven voor een studie die luidt: “An Analysis of flight crew response to system failures”. De ambitie hier is om een analysemethode te ontwerpen waarmee getalsmatig de kans op een bedieningsfout wordt bepaald. Als dat lukt dan zou de vliegerfout naadloos in de 1309 analyse meegenomen kunnen worden. Deze ambitie is erg hoog, maar het zou kunnen dat door het analyseren
Oplossing
Extra safeguard needed Add a lighted ring around applicable switch
Figuur 4. ‘Welke motor was ook al weer uitgevallen?’ van veel ongevallen en incidenten een dergelijke methode gevalideerd kan worden. Het is te hopen dat meer fabrikanten en instellingen het goede voorbeeld van Fairchild-Dornier volgen en aandacht besteden aan het ontwerpen van een analysemethode. In vergelijking kan dan bepaald worden welke methode de beste potentie heeft. ■
Air Traffic Management: het ontwerpen van verbeteringen Jurgen van Avermaete, Luchtverkeersleiding Nederland Verbeteringen in het Air Traffic Management systeem moeten doordacht worden ontworpen. Oplossingen voor problemen kunnen liggen in zowel verbeterde technologie als een andere rol voor de mensen in het systeem als verbeterde procedures. LVNL Nederland hanteert het CONOPS om bij de ATMontwikkelprocessen Mens, Machine en Procedure steeds beter met elkaar in balans te brengen.
Nr. 8 | Herfst 2003
Eén van de belangrijkste uitgangspunten van LVNL bij het verder ontwikkelen van haar Air Traffic Management (ATM) Systeem is het in samenhang beschouwen van ‘Mens, Machine en Procedure’ tijdens het ontwerpproces dat tot een verbetering moet leiden. Vanaf het eerste moment dat er gestudeerd wordt op een probleem tot en met het moment waarop de wijziging operationeel in gebruik wordt genomen, stuurt een
multidisciplinair team de ontwikkeling aan, waarbij dit team de balans tussen Mens, Machine en Procedure bewaakt en optimaliseert. De opdracht vanuit de ATM Systeem Visie aan het team is om het ATM Systeem met iedere stap ‘eenvoudiger te maken vanuit de mens gezien’. Dit zou kunnen worden bereikt door het toevoegen van techniek, bijvoorbeeld door het automatiseren van bepaalde taken, maar de oplossing zou
3
ook kunnen liggen in juist iets minder techniek in combinatie met een veranderde werkwijze, een wijziging in (AIP-) procedures en een op maat gesneden training voor de verkeersleider. Het vinden van het juiste evenwicht is de verantwoordelijkheid van het begeleidende team, waarin zowel technische als procedure en operationele experts zitting hebben als ook experts van de afdeling vakbekwaamheid. De ervaring leert dat we als experts op een bepaald vakgebied soms geneigd zijn om gewenste veranderingen aan het ATM Systeem te formuleren in termen van de beoogde oplossing in plaats van het gewenste doel. Ook klanten en onderzoeksconsortia lijken soms meer de beoogde techniek of procedure op het oog te hebben dan de prestatieverbetering die het ATM Systeem moet gaan leveren na doorvoering van de wijziging. Het nieuwe multi-lateratie systeem (invulling van de surveillancefunctie van A-SMGC) op Schiphol is niet neergezet om op de verkeerstoren een beter plaatje van het grondverkeer te hebben (wat wel een resultaat is), maar om de capaciteit voor afhandeling van het grondverkeer tijdens slecht-zicht omstandigheden te verhogen met gelijkblijvende veiligheid. Om dat doel te bereiken moet er meer gebeuren dan de introductie van nieuwe techniek alleen. Mens, Machine en Procedure moeten in balans worden ontwikkeld.
ten (doorlooptijd, kosten). Dit levert vier evaluaties op waarin de alternatieve oplossingen op hun merites worden beoordeeld en tegen elkaar worden afgewogen. Het is uiteraard mogelijk dat uiteindelijk op basis van de evaluaties besloten wordt géén van de alternatieve voorontwerpen door te zetten wanneer de kosten/baten verhouding negatief uitpakt. De belangrijkste functie van het CONOPS is om ervoor te zorgen dat niet “gesprongen” wordt van eis naar oplossing, maar dat wordt nagegaan en vastgelegd welke afwegingen tot welke keuzes leiden. Het opzetten van een CONOPS begint meestal niet volledig vanaf nul. Meestal leven er al ideeën over hoe de oplossing eruit zou kunnen zien. De werkwijze die gevolgd wordt om tot een CONOPS te komen dwingt ons echter om na te denken waarom we bepaalde dingen willen, en of er misschien nog andere oplossingen zijn waarmee we méér bereiken. Tegelijkertijd dient het CONOPS als communicatiemiddel tussen de verschillende disciplines onderling en tussen de ontwerpers en de eindgebruikers van de oplossing. Praten we over dezelfde problemen, en over dezelfde oplossingen? Overzien we alle consequenties van bepaalde keuzes, of vergeten we componenten? De keuze voor een bepaalde werkwijze heeft consequenties voor de techniek die nodig
is, en omgekeerd. LVNL heeft haar ontwikkelprocessen zo ingericht dat de eindgebruikers er gedurende de gehele looptijd van de ontwikkeling bij worden betrokken. Het CONOPS is zo opgezet, dat het voor ieder alternatief niet alleen de doorsnede maakt naar te bouwen Mens-Machine-Procedure componenten (functie-allocatie), maar daarnaast voor iedere betrokken functionaris de wijzigingen in SHEL-interfaces laat inventariseren. Op deze manier wordt getracht het zien van het systeem vanuit de mens die erin acteert te ondersteunen. Structuur De inhoud van het CONOPS valt uiteen in drie grote delen, zoals schematisch weergegeven in figuur 1. • Probleemstelling (P) • Analyse van de oplossingsrichtingen (F = functies B = building blocks) • Integratie van bouwstenen tot complete CONOPS-alternatieven (C = combinations) Probleemstelling Uit deze sectie zal blijken waarom de systeemeis is gesteld, mogelijk aangevuld met een overzicht van andere gerelateerde tekortkomingen of problemen van het huidige systeem. Het belangrijkste doel van de sectie is om het blikveld waarmee het CONOPS naar oplossingen zoekt niet op voorhand te eng te stellen, en om de kennis van het pro-
Figuur 1. ‘CONOPS’ Ontwikkelproces De eerste stap die LVNL in haar ontwikkelproces zet is het formuleren van de gewenste ATM Systeem verbetering in termen van systeemeisen en de bijbehorende ATM Systeem prestatie. De systeemprestatie wordt uitgedrukt in de kwaliteitskenmerken Veiligheid, Efficiency, en Milieu (VEM). Daarna start een studiefase waarin een aantal alternatieve voorontwerpen wordt gegenereerd. Deze alternatieve voorontwerpen worden beschreven in een document genaamd Concept of Operation (CONOPS). In feite gaat het hier om alternatieve invullingen van de Mens-MachineProcedure driehoek. De alternatieve ontwerpen worden geëvalueerd op een viertal criteria: 1) de verwachte VEMopbrengsten, 2) de acceptatie door de verkeersleider, 3) de juridische aspecten, en 4) de planning & control aspec-
4
HUFAG | Nieuwsbrief
bleem die expliciet dan wel impliciet bij de gebruikers van het ATM Systeem aanwezig is op tafel te krijgen. Analyse van oplossingsrichtingen Op basis van de probleemanalyse uit het eerste deel wordt in het deel Analyse van de oplossingsrichtingen een inventarisatie gemaakt van de mogelijke bouwstenen die ingezet kunnen worden om de bestaande problemen te verbeteren. De stappen die gezet worden om dit deel van het CONOPS van informatie te voorzien zijn bedoeld om het probleem duidelijk af te bakenen binnen de grenzen van het ATM Concept. Ook wordt in deze fase inzichtelijk gemaakt welk deelprobleem met welke oplossing kan worden aangepakt. Hierbij wordt nadrukkelijk gezocht naar verschillende alternatieve invullingen door na te gaan hoe de oplossing er uit zou zien wanneer óf een Mens, óf een Machine óf een Procedure de functie toegewezen zou krijgen. Deze sectie probeert af te dwingen dat verder gekeken wordt dan die ene voor de hand liggende oplossing. In dit deel wordt de volgende informatie vastgelegd: ATM functies/processen die worden beïnvloed: hierin wordt vastgelegd welke processen en/of functies van het bestaande ATM Concept worden geraakt door de verschillende deelproblemen uit de analyse.
Architectuur opties: voor ieder van de processen of functies die wordt geraakt worden oplossingen gezocht door functionaliteit toe te wijzen aan de component Mens, Machine of Procedure, of een combinatie daarvan. Integratie van bouwstenen tot CONOPS alternatieven In het derde deel van het CONOPS worden één of meer mogelijke oplossingen voor het totale probleem beschreven. De alternatieven verschillen in de bouwstenen (uit het tweede deel) die worden ingezet. De consequenties van het samenvoegen van bouwstenen worden voor de eerste keer inzichtelijk gemaakt door aan te geven welke interfaces ontstaan tussen Mens, Machine en Procedure componenten. Hiermee wordt een (rudimentaire) basis gelegd voor de requirements documenten die later in het ontwerpproces zullen worden opgesteld. Op basis van met name dit deel van het CONOPS zullen de analyses van haalbaarheid, kosten/baten en acceptatie worden uitgevoerd. Voor ieder van de aangeduide varianten wordt een beschrijving gegeven hoe het systeem er uit zal gaan zien als voor deze variant gekozen wordt. Hiermee wordt duidelijk gemaakt wat ieder van de componenten Mens, Machine en Procedure moet doen om het systeem te laten werken. Daarnaast worden expliciet (voor iedere functionaris) de wijzigingen aan de interfaces tussen de
componenten vastgelegd. Hierbij wordt het SHEL-model (zie HUFAG Nieuwsbrief 3) als checklist gebruikt. Er wordt geschetst wat zal veranderen tussen de Mens in het systeem en zijn/haar Machines, aan welke werkwijze en voorschriften de Mens in het systeem zich zal moeten houden, hoe de omgeving door middel van Procedures geregeld zal worden, hoe de mensen in het systeem zullen samenwerken enz. Conclusies ATM is een complex socio-technisch systeem waarvan de verbetering gebaat is bij een macro-ergonomische ontwerpfase gevolgd door een micro-ergonomische. De gelijktijdige opbouw van de deelsystemen “mens, machine en procedure” in onderlinge afstemming op elkaar leidt tot het beste resultaat. Dit artikel beperkte zich tot het LVNL-product CONOPS in de voorontwerpfase. Het wilde duidelijk maken dat aandacht voor de afstemming tussen mens, machine en procedure al in die fase van het ontwerpproces begint. Voor het ontwerpen van interfaces is het op dat moment nog veel te vroeg; deze komen in beeld wanneer de systemen daadwerkelijk ontworpen worden. ■
Nieuwe markering nooduitgangen in vliegtuigen bijna mogelijk Marnix van der Heijde, IVW-DL Cabin Safety Expert Het zal niet lang meer duren dat in vliegtuigen de eerste pictogrammen met witte figuurtjes op een groene achtergrond te zien zullen zijn als markering voor nooduitgangen. Op dit moment schrijft JAR-25 nog voor dat de nooduitgangen van vliegtuigen gemarkeerd moeten zijn met het woord “EXIT” in rode letters op een verlichte witte achtergrond. Het is toegestaan om daarnaast nog het woord “exit” in een andere taal te vermelden. Over het algemeen is dat de taal van het land waar
Nr. 8 | Herfst 2003
het vliegtuig geregistreerd staat. Het voorstel tot verandering van dit voorschrift, nl. NPA 25D-327, bevindt zich momenteel in het laatste stadium en wordt binnenkort als nieuwe regel in JAR-25 geïntroduceerd. Het voorstel houdt in dat als alternatief voor de taalmarkering de in dit artikel afgebeelde pictogrammen mogen worden toegepast op de daarvoor aangegeven plaatsen. Sinds de jaren ’90 wordt al op deze verandering aangedrongen door luchtvaartautoriteiten, vliegtuigbouwers,
luchtvaartmaatschappijen en cabinepersoneelorganisaties. Eén van de redenen is dat op taal gebaseerde markeringen tot verwarring kunnen leiden. Een voorbeeld daarvan is het gebruik van ‘NOTAUSGANG’ in een Duits vliegtuig. Passagiers kunnen dan denken dat er juist GEEN uitgang is. Met name Engelstaligen vatten dit soms op als ‘This is NOT an exit’. Daarnaast stond ook de rode kleur van de huidige bordjes ter discussie: de kleur rood kan worden opgevat als een indicatie van een onveilige plaats waar gestopt moet wor-
5
Figuur 1 ‘Exit Locator sign type 1’
Figuur 3 ‘Exit Marking sign’
Figuur 2 ‘Exit Locator sign type 2’
Figuur 4 ‘Exit sign at bulkhead/divider’
den. Bovendien hadden fabrikanten van met name kleinere vliegtuigen moeite om vliegtuigen te voorzien van tweetalige bordjes. In 1994 heeft de JAA Cabin Safety Study Group het onderwerp geadopteerd en een belangrijke impuls gegeven aan de ontwikkeling van de nieuwe regels. De pictogrammen zijn ontworpen door Aerospatiale op basis
van bestaande ISO-eisen voor gebouwen. Voor iedere categorie van locaties in het vliegtuig werd een aantal verschillende markeringen voorgesteld. De ontwerpen zijn vervolgens in 1995 en 1996 op Schiphol getest d.m.v. het afnemen van interviews onder passagiers uit zoveel mogelijk bevolkingsgroepen om de begrijpelijkheid van de afbeeldin-
gen vast te stellen. Hierbij waren zo’n 1000 passagiers betrokken. De verdeling van de respondenten was: OostEuropa (5%), Noord-Amerika (15%), Azië (10%), Afrika (5%), Latijns-Amerika (10%), Midden-Oosten (5%) en WestEuropa (verdeeld over de landen, in totaal 50%). Als eis voor de begrijpelijkheid werd de ISO-norm gehanteerd dat meer dan 66 % van de ondervraagden de afbeelding diende te begrijpen. Uit het onderzoek kwam naar voren dat sommige bordjes werden aangezien voor een toiletaanduiding, omdat ‘een man er in hoge nood naar toe rent.’ Er kwamen ook logische (maar onjuiste) reacties zoals: ‘de uitgang zal links zijn, want de man rent naar links’. Bij het bord met pijlen omhoog (dat zou moeten aangeven dat de uitgang verderop is) werden vaak opmerkingen gemaakt als: ‘het is een doorgang naar het upperdeck, net zoals in een dubbeldekker bus’ en ‘de nooduitgang bevindt zich in het plafond’.
Figuur 5 ‘NPA Pictorial Exit overview’
6
HUFAG | Nieuwsbrief
Het onderzoek in 1995 resulteerde erin dat twee van de drie soorten markeringen volgens de ISO standaard geaccepteerd konden worden: de markering boven het gangpad ter hoogte van de uitgangen (figuur 1 en 2) en boven de uitgangen zelf (figuur 3). De markering op de derde locatie (op een scheidingswand, om aan te geven dat de uitgang
zich verderop bevindt) diende te worden herontworpen (figuur 4), waarna in 1996 het onderzoek opnieuw heeft plaatsgevonden, waarbij tevens de begrijpelijkheid van de rode lettermarkering werd onderzocht. In figuur 5 schema is aangegeven waar de goedbevonden pictogrammen in het
vliegtuig mogen worden aangebracht. Tevens is aangegeven welk percentage van de ondervraagden de juiste betekenis herkende (minimaal was 66 % vereist). Helaas voldoet het bord met de pijlen omhoog niet aan de ISO standaard, maar vergeleken met de huidige borden met het woord “EXIT” is het een significante verbetering. ■
Minder is beter: ontwerp van een cockpit met drie beeldschermen Antoine de Reus, NLR, afdeling Human Factors
De Airbus A320 vliegtuigfamilie is al weer vijftien jaar zonder fundamentele wijzigingen in bedrijf. De twee sidesticks, behorende bij het eerste digitale fly-by-wire systeem in de commerciële luchtvaart, vormden in 1988 wellicht de belangrijkste innovatie in de cockpit. Bovendien namen zes beeldschermen de plaats in van tientallen losse instrumenten. Elektromechanische instrumenten vormen slechts de backup van beeldschermen. Het was de eerste echte ‘glass cockpit’ van Airbus en vormde de start van het familieconcept. In de A320 hebben de vliegers ieder twee beeldschermen voor zich: een Primary Flight Display (PFD) en een Navigation Display (ND). Het PFD presenteert parameters zoals snelheid, hoogte en de stand van het vliegtuig, het ND presenteert onder andere de positie van het vliegtuig en de route die gevolgd wordt. In het midden boven elkaar – en daarmee goed zichtbaar voor beide vliegers – bevinden zich het Figuur 1 - Bestaande Airbus A320 cockpit met zes beeldschermen.
Nr. 8 | Herfst 2003
Engine and Warning Display (EWD) en het System Display (SD). Het EWD presenteert de primaire motorparameters en verzorgt de warnings en cautions, inclusief de bijbehorende handelingen die de vliegers moeten uitvoeren. Het SD geeft schematisch een overzicht van de systemen aan boord van het vliegtuig. Recent zijn in de A320 familie beeldschermen op basis van LCD’s geïntroduceerd: zes LCD’s vervangen de zes CRT’s. De weergegeven informatie is op hetzelfde moment geoptimaliseerd voor de karakteristieken van de LCD’s. Een andere wijziging is de vervanging van drie elektromechanische stand-by instrumenten (stand, snelheid, hoogte) door een geïntegreerd stand-by instrument op basis van een LCD. Dat instrument heeft hetzelfde “uiterlijk” als de twee PFD’s, wat de overgang tussen PFD en stand-by informatie moet vereenvoudigen. Binnen het Europese samenwerkingsproject NEWSCREEN wordt de haalbaarheid onderzocht van een cockpit concept waarin de zes relatief kleine beeldschermen worden vervangen door drie grote LCD’s. Deze nieuwe beeldschermen moeten de kosten van aanschaf, onderhoud en vervanging verder verlagen en de inzetbaarheid van het vliegtuig (dispatchability) vergroten. Coördinator van het NEWSCREEN project is Thales Avionics uit Frankrijk, de leverancier van de LCD’s in de Airbus vliegtuigen. De belangrijkste verantwoordelijkheid van het NLR binnen het project is ontwerp en evaluatie van de mens-machine interface. Het nagestreefde cockpit concept bestaat uit drie schermen die in landschapformaat wor-
den gemonteerd: elke vlieger heeft slechts één scherm voor zich, terwijl het derde scherm zich in het midden bevindt. De Airbus A320 dient als test case en referentie. De compatibiliteit tussen de bestaande cockpit en het nieuwe concept was een belangrijke eis. De nieuwe cockpit zou moeten passen in het familieconcept van Airbus (cross crew qualification eis) en direct moeten aansluiten op bestaande avionica en systemen (retro fit eis). Allereerst zijn de verschillen in kaart gebracht tussen de bestaande cockpit en het nieuwe concept. Deze verschillen zouden invloed kunnen hebben op de presentatie van informatie richting de vliegers en op de bediening. Een aantal voorbeelden. De drie nieuwe beeldschermen hebben een afmeting van ongeveer 10.5 x 8.5 inch, terwijl de zes bestaande schermen ruim 6 x 6 inch zijn. Dit betekent dat bestaande displays op de nieuwe schermen in kleiner formaat moeten worden afgebeeld. Verder, als PFD en ND op één beeldscherm worden weergegeven is er ook geen natuurlijke separatie meer die de twee losse beeldschermen wel bieden. De displays zouden elkaar dus perceptueel kunnen beïnvloeden. Als laatste voorbeeld: omdat het middelste scherm ook in landschapformaat wordt gemonteerd, zullen EWD en SD naast elkaar in plaats van boven elkaar komen. De projectpartners hebben mogelijke faalgevallen van hun (deel)systemen in kaart gebracht. NLR heeft vervolgens een zeer nauwkeurige simulatie van de te presenteren informatie en zichtbare effecten van die faalgevallen gemaakt. Deze simulatie is geïntegreerd in een
7
Congressen
Colofon
International Aviation Safety and Security Conference IASS 2003 Olympia, London, 11-13 November 2003 2ndday (12. November): Human Factors in Aviation Safety and Security To register call: +44(0) 207 915 5134 E-mail:
[email protected]
6th International Australian Aviation Psychology Symposium Sydney, December 1-5, 2003. Australian Aviation Psychology Association (AAvPA) http://home.vicnet.net.au/~aavpa/
cockpit mock-up waarin de bruikbaarheid (usability) van de nieuwe mensmachine interface is onderzocht en waarin de ernst (criticality) van de diverse faalgevallen in kaart is gebracht. Daarbij is de methodiek gevolgd zoals beschreven in het artikel van Gerard Temme (in deze nieuwsbrief). De bediening van de beeldschermen speelde daarbij een grote rol. Denk daarbij bijvoorbeeld aan het aan- en uitschakelen, het regelen van de helderheid en het selecteren van weer te geven informatie. De resultaten van deze evaluatie met vliegers en systeemexperts zijn gebruikt om zowel de hardware als de mens-machine interface aan te passen. Dit proces heeft zich een aantal keren herhaald en het uiteindelijke resultaat is weergegeven in Figuur 2.
het ook mogelijk de bediening te vereenvoudigen. Het is daarmee een concept geworden dat inderdaad een verbeterde dispatchability biedt ten opzichte van de bestaande cockpit. En dat brengt ons weer terug bij de titel van het verhaal: minder is beter. Minder beeldschermen en toch een betere dispatchability. Maar ook: minder knoppen en toch een verbeterde usability. Het werk aan de mens-machine interface is op een realistische manier aangepakt, onder andere rekening houdend met de human factors interim policy (zie het artikel van Gerard Temme). Het resultaat is daardoor voor de industrie goed toepasbaar. De gevolgde praktische aanpak op het gebied van human factors is bovendien goed gevallen bij zowel Thales Avionics als Airbus.
Het concept omvat de bestaande displays en biedt daarnaast ruimte voor nieuwe, interactieve displays. Na het uitvallen van een deel van een scherm zorgt automatische reconfiguratie van informatie ervoor dat de belangrijkste informatie steeds beschikbaar blijft. Deze reconfiguratie is te realiseren door de extra ruimte die de grote schermen bieden en door verbeterde techniek. Hierdoor was
Is dit nu een concept dat Airbus binnenkort gaat aanbieden aan haar klanten? Het werk aan zowel de beeldschermen zelf als de mens-machine interface heeft dusdanig positief uitgepakt, dat een cockpit met drie beeldschermen heel haalbaar lijkt en duidelijke operationele voordelen kan bieden. Het is dus niet uitgesloten dat we over enige tijd een cockpit met ‘maar’ drie LCD’s in gebruik zien.
De HUFAG Nieuwsbrief wordt uitgegeven door de Stichting Human Factors Advisory Group. De nieuwsbrief verschijnt viermaal per jaar in een oplage van 750 exemplaren. De HUFAG Nieuwsbrief wordt gratis toegezonden aan belangstellenden. Alle informatie uit deze uitgave mag worden overgenomen mits volledig en met bronvermelding. Aan dit nummer werkten mee: Gerard Temme, Jurgen van Avermaete, Marnix van der Heijde en Antoine de Reus. Eindredactie: Klaas Zwart en André Droog Meningen of opvattingen in gesigneerde artikelen van niet HUFAGleden worden niet noodzakelijk gedeeld door de Stichting HUFAG. Het bestuur van de Stichting HUFAG bestaat uit: Jurgen van Avermaete (voorzitter), Hans Sypkens (vice-voorzitter), André Droog (secretaris), Lilian Biber-Klever (penningmeester), Robert van Gelder, Hans Huisman, Wouter Kunz, Simone Oudakker, Bert Ruitenberg, Rommert Soetendal en Klaas Zwart. Voor verdere informatie kunt u contact opnemen met Antoine de Reus, werkzaam bij de afdeling Human Factors van het NLR (
[email protected] of 020-5113641). ■
Figuur 2. Het cockpit concept met drie beeldschermen.
PFD
8
ND
EWD
SD
ND
PFD
HUFAG | Nieuwsbrief
