From Safety to Where...?

Prof.dr.ir. Max Mulder Aerospace Human-Machine Systems

From Safety to Where...?

Faculteit Luchtvaart- en Ruimtevaarttechniek

Intreerede

16 december 2009

From Safety to Where....?

Intreerede uitgesproken op 16 december 2009 door prof.dr.ir. Max Mulder ter gelegenheid van de aanvaarding van het ambt van hoogleraar in het vakgebied Aerospace Human-Machine Systems aan de Technische Universiteit Delft Faculteit Luchtvaart- en Ruimtevaarttechniek (LR)

From Safety to Where.... ? Just passing through, ‘till we reach the next stage. But just to where, well it’s all been arranged. Just passing through but the break must be made. Should we move on or stay safely away? © Joy Division, 1979

Mijnheer de Rector Magnificus, Leden van het College van Bestuur, Collegae hoogleraren en andere leden van de universitaire gemeenschap, Zeer gewaardeerde toehoorders, Dames en heren, De titel van mijn oratie is “From Safety to Where...?”, in goed Nederlands “Van Veiligheid, Waar naar toe...?” De rode draad van mijn verhaal behelst de vraag in hoeverre we de civiele luchtvaart nog veiliger kunnen maken, en zal zich richten op de rol van de mens en de automatisering. De vraag wat we kunnen automatiseren en wat niet, en wat voor gevolgen dat heeft voor de veiligheid, vormt de kern van mijn vakgebied Mens-Machine Systemen in Luchtvaart en Ruimtevaart.

Safety and the Human Factor Veiligheid, dat is de crux. De civiele luchtvaart heeft zich ontwikkeld tot veruit de meest veilige manier van transport.

Fig. 1

Deze grafiek (Fig. 1) toont het absolute aantal slachtoffers in de civiele luchtvaart gedurende de afgelopen 50 jaar, de balkjes, en het relatieve aantal slachtoffers per miljoen vluchten, de zwarte lijnen.[1] We zien dat er, over de hele 3

wereld gerekend, in totaal enkele honderden slachtoffers per jaar vallen, een aantal dat vrijwel onveranderd is. Maar wat deze grafiek niet laat zien, is dat sinds 1965 het volume in het luchtvaarttransport is ver-15-voudigd. Inmiddels is het vele malen veiliger om te vliegen dan auto te rijden. Hoe is de luchtvaart zo veilig geworden? Allereerst, het vergroten van de veiligheid heeft altijd bovenaan op de agenda gestaan. Ik noem de technologische ontwikkelingen, in de motoren, de materialen en de constructies, en de revolutie in de avionica. Het consequent doorvoeren van het ‘fail-safe’ principe, waarbij de voor de veiligheid cruciale elementen dubbel of zelfs driedubbel zijn uitgevoerd, heeft wezenlijk bijgedragen aan de veiligheid. Daarnaast de niettechnologische ontwikkelingen, die geleid hebben tot de unieke veiligheidscultuur in de luchtvaart. De strenge regelgeving en het invoeren en tot vervelens toe trainen van procedures. Het werken in team-verband in de cockpit, en tenslotte het mechanisme waarbij incidenten en fouten gemeld kunnen worden, meestal zonder directe repercussies, met als doel van de fouten te leren. Ook deze maatregelen, aanpalend voor mijn vakgebied, zijn buitengewoon belangrijk geweest. Maar gezien de tijd zal ik me beperken tot de techniek.

Fig.2

De menselijke factor wordt veelal als beperkend gezien in de luchtvaartveiligheid. Deze grafiek (Fig. 2) laat zien waarom. In het overgrote deel van de 4

gevallen wordt achteraf de oorzaak van een ongeval gelegd bij het foutief handelen van de bemanning, met cijfers die variëren tussen de 60 en 70 procent. [1] Dit gegeven wordt vaak geïnterpreteerd als volgt: “Mensen maken fouten, en om de luchtvaart veiliger te maken moet de rol van de mens worden geminimaliseerd”. Voordat ik hier verder op in ga, laten we eerst een voorbeeld bekijken van een mens-machine systeem in de luchtvaart. Hier zien we er één (Fig. 3): de cockpit, met displays, computers, de vele knoppen en stuurorganen waarmee de bemanningsleden het vliegtuig besturen. Andere voorbeelden zijn er ook, zoals de van de luchtverkeersleider op de grond, maar in het vervolg beperk ik me tot de cockpits van civiele vliegtuigen.

Fig.3

We zien niet alleen hoe complex het mens-machine systeem kan zijn, maar ook dat het flight deck een plaats is waar gewerkt wordt, met hier en daar een losliggend kladblok, en mappen meegenomen door de vliegers. Het lijkt wel een kantoor, en met de hoge graad van automatisering aan boord kun je tegenwoordig inderdaad spreken van een ‘airborne office’. Automatisering, het woord is weer gevallen. Het eerste wat mensen tegen me zeggen als ik ze vertel wat ik doe, is “goh, ik dacht dat dat allemaal al door computers wordt gedaan, binnenkort hebben we toch geen vliegers meer nodig??” Deze vraag, opgeteld bij het vermoeden van velen dat de luchtvaart ook inderdaad veiliger wordt als de cockpitbemanning verdwijnt, hoop ik in deze oratie te beantwoorden. Mijn stelling is dat we nog lang niet toe zijn aan honderd procent automatisering, en dat het nog enkele decennia zal duren voor we volledig onbemand kunnen gaan vliegen. Dat zeg ik, wetende dat er in de afgelopen tien jaar een enorme ontwikkeling is geweest op het gebied van de onbemande vliegtuigen, de UAVs, van een 5

bommenwerper als de X-47-B, tot de Predator, en wie kent onze eigen Delfly niet?[2] Daarnaast is de luchtvaart onbemand begonnen, want toen de broers Montgolfier in 1784 hun ballonnen testten, bestond de ‘bemanning’ uit een geit, een haan en een eend. Men had geen idee of deze dieren op grote hoogte zouden overleven, laat staan mensen, en pas na de eerste succesvolle vlucht durfde men het aan om zélf het luchtruim te gaan verkennen. Ik zal mijn vraag dus beter moeten formuleren, en die is dan: “Gaan we het ooit meemaken dat vliegtuigen onbemand passagiers gaan vervoeren?” Mijn verhaal bestaat grofweg uit twee delen. Allereerst zal ik kort de ontwikkelingen schetsen van de cockpit in de afgelopen honderd jaar, de rol van de automatisering daarin, en de gevolgen voor de vliegveiligheid. In het tweede deel zal ik laten zien wat nu precies de redenen zijn die ons ervan weerhouden om 100% automatisering in te voeren. Ik zal ook twee voorbeelden geven van het werk van mijn groep, dat als doel heeft de bemanning zo goed als mogelijk te ondersteunen.

Aerospace Human-Machine Systems Ik wil beginnen met de Wright brothers, twee fietsenmakers uit Dayton, Ohio, die op 17 december 1903 er als eersten in slaagden om een voertuig zwaarder dan lucht bemand, bestuurd, en voortgestuwd de lucht in te brengen. Hun fundamentele doorbraak lag in het ontwerp van de vliegtuigbesturing, die de vlieger in staat stelde het momentenevenwicht van het vliegtuig te bewaren, en effectief te besturen. Vrijwel alle vliegtuigen maken gebruik van het besturingsprincipe van de Wright brothers. Een tweede doorbraak volgde ruim 25 jaar later. In de vroege luchtvaart hadden vliegers meer vertrouwen in hun eigen kunnen dan wat de ingenieurs voor hen bedachten. Echter, bij vliegen onder slecht zichtcondities ging het veelal mis. En daarnaast bleek dat vliegtuigen manoeuvres kunnen uitvoeren die de waarneming van de mens ver te boven gaan, en leiden tot desoriëntatie en illusies.[3] Hier (Fig. 4) staat Jimmy Doolittle, waaghals, oorlogsheld, later opperbevelhebber van de Amerikaanse luchtmacht. Zo gaan die dingen. Op 24 september 1929 vloog hij de eerste vlucht op instrumenten. Zijn cockpit werd verduisterd en Doolittle moest voor de start, het opstijgen, het circuit vliegen en ook het landen, volledig vertrouwen op zijn instrumentenpaneel. 6

Fig. 4

Zijn vlucht was succesvol, en het tijdperk van het vliegen op instrumenten was begonnen. De kunstmatige horizon werd een vast, en wel het belangrijkste, onderdeel van de cockpit. De primaire vliegtuiginstrumenten zijn sinds die dagen vrijwel niet meer veranderd. De Tweede Wereldoorlog gaf de aanzet tot verdere ontwikkelingen. De schaalvergroting was ongeëvenaard. In een explosie van innovaties bleek dat de fysieke aanwezigheid van de bemanning aan boord een alsmaar beperkender factor werd in het vliegtuigontwerp. En niet alleen dat, veel systemen bleken voor mensen vrij lastig, zo niet onmogelijk te besturen. De roep om meer kennis en systematiek ten aanzien van wat mensen wel en niet kunnen, leidde tot de geboorte van mijn vakgebied: HUMAN-MACHINE SYSTEMS. Tom Sheridan, één van de oervaders van het vakgebied, maakte in 1985 onderscheid in grofweg drie periodes.[4] De eerste periode, die liep van 1940 tot 1955, kenmerkte zich door het doen van een groot aantal vooral empirische studies in de anthropometrie, de biomechanica, de menselijke waarneming, de omgevingseffecten, en werkbelasting. Om u een idee te geven van deze periode, laat ik u een fragment zien uit de film 7

“The Right Stuff”, uit 1983, die het verhaal vertelt van de selectie en opleiding van de eerste Amerikaanse astronauten, in het Mercury programma eind jaren 50 (Fig.5).

Fig. 5

De tweede periode, van ongeveer 1955 tot 1970, kenmerkte zich door de toepassing van verschillende in die tijd opkomende theoriëen over regeltechniek, signaal-detectie, en communicatie, op de mens. Men wilde het menselijk handelen op dezelfde manier beschrijven als de mechanische en electronische systemen waarmee men werkte. Norbert Wiener was in 1943 de eerste die de parallelen zag tussen de in die tijd opkomende analoge computers en meet- en regelsystemen, en het centraal zenuwstelsel van mens en dier, en zijn inzichten leidden tot het vakgebied van de cybernetica.[5] Ruim 20 jaar later was men in staat om de menselijke bestuurder te beschrijven als meet en regelsysteem. Duane McRuer (Fig. 6) was één van de belangrijkste pioniers, en zijn op empirisch onderzoek gebaseerde ‘regels’ ten aanzien van hoe de menselijke regelaar zich systematisch aanpast aan het te besturen systeem zijn van grote waarde gebleken.[6] We kunnen ermee redelijk voorspellen hoe het complexe, niet-lineaire, biologische systeem ‘mens’ zich aanpast. 8

Fig. 6

Terug naar de cockpit. Eind jaren 60 waren de meeste cockpits volgestouwd met veelal electromechanische instrumenten. Nieuwe vindingen in de communicatie en navigatie werden ingepast, en de enorme progressie in de meet-en regeltechniek in de jaren 50 en 60 leidde tot de eerste vormen van automatisering, echter vaak op ad-hoc basis, en de cockpit werd letterlijk dichtgepleisterd met allerlei soorten informatie. Het aantal vliegtuigongelukken daalde sterk, het percentage ongelukken waarvan men achteraf de schuld bij de vliegers legde, groeide. Belangrijkste oorzaak was de sterk toegenomen werkbelasting van de vliegers. De term “human error” deed zijn intrede, en vliegers werden in toenemende mate gezien als de zwakke link in de keten. De opkomst van de digitale computer eind jaren 60, begin jaren 70 stelde ingenieurs in staat om het probleem van de human error aan te pakken bij de kern, en een golf van automatisering overspoelde de cockpit in de twee decennia erna. De derde en laatste periode in mijn vakgebied begint dan ook rond 1970 en duurt tot op de dag van vandaag. Het kernwoord is: automatiseren, met als doel het vergroten van veiligheid, verlagen van werkbelasting, en kostenreductie door vermindering van het aantal bemanningsleden. In de komende sheets zal ik de ontwikkelingen samenvatten. 9

In de beginjaren was de vliegtuigbesturing volledig (en letterlijk) in handen van de piloot, en de belangrijkste interface met het vliegtuig waren de primaire instrumenten en de stuurknuppel. Zaken als communicatie, het in de gaten houden van terrein, verkeer en weer, waren een kwestie van goed luisteren en om je heen kijken. Reeds in de jaren 30 werden de nieuwere vliegtuigtypes uitgerust met stabilityaugmentation systemen, veelal omdat de oorspronkelijke ontwerpen slecht gedempt waren en voor de piloot lastig te besturen (Fig. 7).

Fig. 7

In de jaren 50 en 60 werden de automatic flight control systemen, in de volksmond de “automatische piloot”, volwassen. Het stelde de vliegers in staat om automatisch hun geplande route af te vliegen, aanvankelijk door met de hand de autopilots van tijd tot tijd nieuwe referenties of doelwaarden te geven. De belangrijkste interface was niet meer de stuurknuppel, maar het zogenaamde ‘mode control panel’. De vluchtoptimalisatie lag in de handen van de vliegers, die aan boord, aan de hand van tabellen, de optimale vlieghoogte, snelheid en motorinstellingen bepaalden. Maar de oliecrisis begin jaren 70 betekende dat het nog beter, nog efficiënter moest.

10

De ontwikkeling van het Flight Management System (FMS) maakte de automatisering van de vliegtuigbesturing vrijwel compleet.[7, 8] Het plannen, uitvoeren en optimaliseren wordt gedaan met en vooral dóór een computer, het FMS, die op zijn beurt continu de autopilots aanstuurt. Belangrijkste interface is een laptop achtig apparaat, de ‘command display unit’. Het programmeren van het FMS stelt vliegers in staat het vliegtuig vrijwel 100% automatisch van A naar B te laten vliegen. In de huidige praktijk gebeuren alleen het opstijgen en landen in sommige gevallen nog met de hand. Tenslotte, vanaf de jaren 70 werden geavanceerde waarschuwingssystemen ingevoerd, die de vliegers ondersteunen bij het op een systematische manier omgaan met externe factoren als terrein en ander verkeer. Kortom, er heeft een revolutie plaatsgevonden in de cockpit mens-machine interface. De “glass cockpit” is een sterk geautomatiseerde werkplek, en de piloot is meer en meer een supervisor geworden van een vrijwel volledig geautomatiseerd systeem. Ondanks deze succesvolle ontwikkelingen, is het totale aantal ongelukken door menselijke fouten niet noemenswaardig verminderd. Waren de cockpits vóór de automatiseringsrevolutie nog berucht vanwege hun hoge werkbelasting, de moderne cockpits hebben een nieuw en eigenlijk nog veel lastiger probleem ge-openbaard: een lage situation awareness. Nu zoveel geautomatiseerd is blijkt het voor de vliegers behoorlijk lastig om alles te overzien, en inzicht te hebben in wat er precies aan de hand is. En omdat de automatisering niet gemaakt is om met alle denkbare situaties rekening te houden, laat deze het soms afweten op momenten waarop de vlieger elke hulp kan gebruiken. Dat laat deze bekende cartoon zien (Fig. 8). Het vliegtuig wordt bestuurd door robots, de piloot zit achter glas en wordt pas tevoorschijn gehaald als er een noodgeval is. Zo had u de ‘glass cockpit’ vast nog niet gezien. De automatisering heeft dus duidelijk ook een aantal minder goede kanten, en enkele van de ‘ironies of automation’[9] zie je vrijwel elke maand wel een paar keer in de pers verschijnen. Allereerst het gebrek aan situation awareness, wel, iedereen heeft waarschijnlijk recent het bericht wel gelezen dat vliegers soms zelfs vergeten te landen.[10] Daarnaast is er de vraag of piloten, met al die automatisering om hen heen, nog wel zelf kunnen vliegen. Piloten die vooral ingezet worden voor lange vluchten, 11

Fig. 8

zijn van de 800 uur per jaar in de cockpit nog maar 3 tot 4 uur zelf aan het sturen. Als zelfs Airbus, altijd een promotor van verdere automatisering, toegeeft dat het twijfelt aan de proficiency van haar vliegers, is er echt een probleem.[11] From Safety to Where... ? We zijn beland in het tweede deel van mijn verhaal. Ik zal beginnen met de motivatie waarom we het relatief zo veilige systeem dat we nu hebben zullen moeten gaan aanpassen aan de eisen van een toekomstig transportsysteem. Allereerst kun je je afvragen of er wel iets veranderd moet worden, en zo ja, wat dan? Is het niet veel veiliger om niets te veranderen, nu het systeem blijkbaar zo goed voldoet. Natuurlijk, er gebeuren nog steeds ongelukken, mensen maken fouten, en elk ongeval is er één te veel. Maar waar gaan we heen met dit in wezen super-veilige systeem? Het antwoord is: we weten het niet. Een vertrekpunt is dat de luchtvaart wereldwijd blijft groeien, en al zijn de groeicijfers in het afgelopen jaar met de kredietcrisis in volle gang, naar beneden bijgesteld, een jaarlijkse groei van 5 procent betekent nog altijd een verdubbeling van het aantal vluchten in minder dan 15 jaar (Fig. 9).

12

In Europa spreek je dan van ruim 60,000 vluchten per dag, en dat terwijl het luchtvaarttransportsysteem met het huidige volume al dicht tegen haar grenzen aan zit.

Fig. 9

Programma’s als SESAR in Europa en NextGen in de Verenigde Staten zijn in het leven geroepen met grote ambities voor de komende 15-20 jaar.[12, 13] SESAR spreekt onder andere van het faciliteren van een verdriedubbeling van het verkeersvolume en een vergroting van de veiligheid met een factor 10. Hoewel beide programma’s verschillend zijn, hebben ze gemeen dat men voorziet dat de mens een centrale rol zal blijven spelen, als manager en decisionmaker. Men is echter nogal onduidelijk in hoe men precies deze rol ziet, en daar liggen denk ik grote kansen voor onze groep, daarover later meer. Gezien de centrale rol voor de mens in beide programma’s, kun je concluderen dat men gekozen heeft voor een variant waarin niet alles geautomatiseerd is. Alvorens in te gaan op het hoe en waarom van deze keuze, wil ik u een fragment van een film laten zien. In “2001 A Space Odyssey” van Stanley Kubrick, een film uit 1968, wordt het verhaal verteld van een ruimtemissie met aan boord van het ruimteschip een super-intelligente, haast menselijke computer, HAL 9000. HAL is verantwoordelijk voor vrijwel alles, en is een voorbeeld van een volledig geautomatiseerd systeem (Fig. 10). 13

Fig. 10

Wat context voor dit fragment: HAL 9000 heeft, buiten het medeweten van de bemanning om, een ander doel van de missie gekregen, en de film laat zien hoe koelbloedig de computer zich van de bemanningsleden ontdoet omdat hun handelen niet in lijn ligt met de missie van HAL. Het fragment begint op het moment dat er nog maar één bemanningslid over is. Natuurlijk, het gaat hier om science fiction. Er zijn echter meer voorbeelden te geven waarin men terugdeinst om alles in handen te geven van een apparaat, hoe intelligent of menselijk het ook is. Wij mensen houden van controle. Naast het feit dat het, ondanks de progressie in de kunstmatige intelligentie, tot dusver onmogelijk gebleken is om een dergelijk slim apparaat te maken, zijn er ook andere oorzaken waarom 100% automatisering nog ver weg ligt. Eén van de belangrijkste oorzaken is dat je een vliegtuig kunt karakteriseren als een open systeem. Een open systeem is een systeem waarbij de verschillende interacties met de buitenwereld moeilijk te beschrijven, laat staan te voorspellen zijn. Ter illustratie, een voorbeeld van een gesloten systeem, een wasmachine. Bij een wasmachine is de interactie met de omgeving zéér eenvoudig. Het heeft 14

stroom nodig, een water-invoer, en een water-uitvoer. De machine staat op een vaste plek, er wordt was in gedaan, een programma geselecteerd, en de was wordt automatisch gedaan. Kenmerkend voor een systeem als dit: voor alles dat onverhoopt mis kan gaan, is vooraf een simpele regel te bedenken om het probleem op te lossen.

Fig. 11

Bij vliegtuigen is dat totaal anders. Ik noem slechts vier voorbeelden van zaken die we niet of nauwelijks goed kunnen voorspellen (Fig. 11). Botsingen met vogels, het weer, het gedrag van passagiers, het voorkomen van ‘freak accidents’. Bij al deze zaken, komt het erop neer dat de bemanning moet ingrijpen, er is geen enkele automatisering beschikbaar of soms zelfs mogelijk om met veel van deze zaken om te gaan. Als voorbeeld het weer, waarbij de vliegers door middel van een geavanceerde weer-radar zich een beeld kunnen vormen van wat zich voor hen bevindt. Het weer ontwikkelt zich vaak razendsnel, op een onvoorspelbare manier, en er is op dit moment veel te weinig bekend over het weer om er een automatische beslissingsboom aan te hangen om de vliegers te ondersteunen bij het maken van de beslissing om dóór, over of langs het weer te vliegen. Hetzelfde geldt voor de passagiers, hoe een automaat te ontwerpen dat bij een hartaanval van een van de passagiers, rekening houdt met het belang van de 15

levens van de anderen? Het vereist de aanwezigheid van een mens om met deze zaken op een behoorlijke manier om te gaan. Denk aan HAL 9000. Kortom, er zijn naast de vele ethische, economische en juridische aspecten van verdere automatisering ook wel degelijk nog veel technologische hobbels die moeten worden genomen. We kunnen niet alles van te voren weten. Dus móet er iets intelligents mee om de gaten te dichten in onze kennis en redeneringen vooraf. Zolang de HAL 9000’s er nog niet zijn is de mens ons beste, zo niet enige, alternatief. Wellicht dat de ontwikkeling van de UAVs hier ons kan helpen, omdat het mislopen van een onbemande missie door foutieve of incomplete automatisering natuurlijk veel minder impact heeft dan wanneer dit met een passagierstoestel gebeurt. Met andere woorden, de UAV als platform om te leren hoe verder te automatiseren.

Fig. 12

Naar mijn idee is het daarom zo dat er, voorlopig althans, beter ingezet kan worden op het verbeteren van de ondersteuning van de bemanning. Het onderzoek van onze groep richt zich daarbij op twee aspecten, ingegeven door de twee belangrijkste taken van de bemanning: de mens als bestuurder, en de mens als supervisor (Fig. 12):

16

1. In het geval de automatisering faalt, en de vlieger de volledige verantwoor delijkheid krijgt voor het besturen van het vliegtuig, moet hij of zij goed voorbereid zijn. Training is essentieel. Daarnaast zijn er veel ontwikkelingen die de taak van het besturen vele malen gemakkelijker kunnen maken, zoals driedimensionale displays, en het gebruik van haptische regelsystemen. 2. In het geval de automatisering gewoon haar werk doet, is het onze taak om de automatisering zelf, of de communicatie ván de automatisering richting de vlieger, dusdanig te ontwerpen dat de situation awareness ten alle tijde zeer hoog is. Een manier om dit te bereiken is om het denkwerk, de cognitie, te delen met de bemanning, bijvoorbeeld door de ontwikkeling van ecolo gische interfaces. In het vervolg zal ik u twee voorbeelden geven van ons werk. Support the pilot: Improve Training In het eerste voorbeeld zal ik kort ons werk bespreken dat tot doel heeft trainingssimulatoren te verbeteren, dit om de proficiency van vliegers te verhogen. Eerst een filmpje waarin het helemaal mis dreigt te gaan met een landing met grote dwarswind. Het vliegtuig, een Airbus A320, komt, met zijn neus in de wind, schuin ten opzichte van de landingsbaan aan. Hoewel het volledig automatisch kan, vliegt de piloot hier met de hand, en hij of zij probeert kort voor het neerkomen het vliegtuig te laten roteren dusdanig dat het oplijnt met de landingsbaan. In dit geval gaan er veel dingen mis, en raakt het vliegtuig uiteindelijk ook met zijn linkervleugel de baan. Een onacceptabele vliegerfout. Vliegers worden in simulatoren zéér regelmatig getraind om deze landingen met harde dwarswind zelf uit te voeren. In de simulator, zoals hier SIMONA (Fig. 13), proberen we de vlieger zo goed als het kan de illusie te geven dat hij of zij daadwerkelijk in het echte vliegtuig zit. Deze illusie wordt bereikt door een zeer realistisch buitenzicht, en het laten bewegen van de simulator. De bewegingsaansturing is een roboticaprobleem, waarbij de belangrijkste vraag is welke bewegingen je moet aanbieden om de vliegerillusie te versterken. De bewegingsruimte is namelijk zeer beperkt. We moeten ons realiseren dat in het geval de vlieger vliegt, de besturing in handen is van een mens, die met zijn eigen sensoren, in het bijzonder het visuele en vestibulaire systeem, de beweging waarneemt. Het centrale zenuwstelsel verwerkt deze informatie en leidt tot een stuuractie. 17

Maar als de visuele en bewegingsstimuli in de simulator ánders zijn dan in de echte wereld, dan past de vlieger zich daaraan aan, en kun je je afvragen of de getrainde vliegerresponsie in de echte wereld wel voldoet.

Fig. 13

Fig. 14

18

Omdat we zo weinig weten over hoe nu precies de mens de informatie verwerkt, worden de bewegingssystemen van simulatoren op dit moment vooral op basis van subjectieve meningen van experts ingesteld. Doel van ons werk is om een objectieve methode te ontwikkelen voor deze instellingen, om zo de waarde van de training substantieel te vergroten. Daartoe werkt onze groep aan modellen voor het vlieger waarnemingsproces en stuurgedrag, waarbij de bijdragen van de verschillende elementen afzonderlijk worden geïdentificeerd, in speciaal daarvoor ontworpen stuurtaken.[14, 15, 16] Deze animatie laat zien wat er gebeurt (Fig. 14). Op de bovenste rij, links, zien we het display met daarop een signaal dat de bestuurder naar nul moet regelen. In het midden zien we de beweging (voor/ achter) van de sidestick, en rechts de beweging van de simulator met daarin de bestuurder. De onderste rij laat zien hoe we het analyseren. Links het stuursignaal en het visuele signaal dat we kunnen meten, in het tijdsdomein. Rechts een schatting, in het frequentiedomein, van de visuele en de vestibulaire terugkoppeling van de vlieger. Door het scheiden van de multimodale waarneming van de vlieger, kunnen we in detail analyseren hoe de piloot zijn gedrag aanpast als je de bewegingsinstelling van de simulator verandert.

Fig. 15

19

Door parameteridentificatie van de multimodale stuurmodellen kunnen we op een objectieve manier zien hoe deze aanpassing verloopt. We maken daarbij gebruik van kennis over de verschillende sensoren zoals die uit de fysiologie bekend zijn, en modelleren vooral de aanpassing van het centraal zenuwstelsel (Fig. 15). De metingen die we doen, leiden door toepassing van identificatietechnieken in het tijd- en frequentiedomein tot objectieve modellen die de aanpassing van de mens op de verschillende bewegingsstimuli beschrijven. In mijn VIDI project (Fig. 16) zijn we inmiddels in staat gebleken om dit stuurgedrag óók te meten in de echte vlucht, met het laboratoriumvliegtuig de Cessna Citation, zodat we nu een database hebben van pilootmodellen die beschrijven hoe piloten in de echte vlucht de bewegingsstimuli gebruiken.

Fig. 16

Door nu dezelfde meting exact na te doen in de simulator, krijgen we een idee hoe de vlieger zich heeft aangepast aan de beperkte motion die we kunnen aanbieden. Een volgende stap is dat we door middel van optimalisatie de bewegingsaansturing van de simulator dusdanig kunnen aanpassen dat het vliegergedrag in de simulator het gemeten gedrag in de werkelijke vlucht zo goed mogelijk benadert. 20

Op deze manier ontwikkelen we objectieve methodes om de bewegingsaansturing van simulatoren te verbeteren, zodat de vlieger zich in de simulator net zo gaat gedragen als in het echte vliegtuig, en dat de training in de simulator kwalitatief veel beter is. Uiteindelijk wordt dan bereikt dat de vliegertraining op een hoger niveau wordt getild, met positieve gevolgen voor de vliegvaardigheid van de vliegers, en dus de veiligheid.

Support the pilot: Share Cognition In het tweede voorbeeld, wil ik u een indruk geven van het werk dat wij doen aan andere vormen van automatisering, betere displays; dit om de situation awareness van vliegers op een hoger niveau te krijgen. Als voorbeeld kies ik het probleem van het behouden van voldoende afstand ten opzichte van andere vliegtuigen, een probleem dat bekend staat als separation assurance.[17] Ik zal eerst laten zien (een beetje gechargeerd) wat de huidige aanpak is van dit probleem. Stel, we hebben twee vliegtuigen, waarvan de posities en snelheden bekend zijn. Een computer kan berekenen wáár de vliegtuigen zich in de nabije toekomst zullen bevinden, en het punt bepalen waar de vliegtuigen elkaar het dichtste naderen, het Closest Point of Approach (CPA). Wanneer nu de minimale separatie bekend is, meestal een circelvormig gebied met straal 5 nautische mijlen, de protected zone geheten, kunnen we berekenen of de onderlinge afstand op het moment van de CPA kleiner is dan de minimale afstand. Een simpele regel kan dan bepalen of er in dit geval sprake is van een toekomstig conflict, deze regel (feitelijk de cognitie) kan worden geprogrammeerd in een boordcomputer, en wanneer zich een conflict voordoet kan de bemanning gewaarschuwd worden (Fig. 17). Dit is zoals veel van de automatisering aan boord nu werkt, en een belangrijk resterend probleem is dan hoe vervolgens de vlieger moet worden ingelicht, zodat men begrijpt wat er aan de hand is, en wat er gedaan kan worden. Naar ons idee, echter, is de keuze voor een representatie van hoe je automatiseert, en hoe je het vervolgens aan de vlieger presenteert, één en hetzelfde probleem. Je kunt problemen, ontstaan door onbegrip over complexe beslis21

singsalgoritmen die door ingenieurs in computers zijn gestopt, niet oplossen alleen door het maken van een betere interface.

Fig. 17

De interface en de automatisering zouden bij voorkeur gebaseerd moeten worden op één en dezelfde representatie. Opnieuw het voorbeeld van separatie. Stel, we hebben het eigen vliegtuig waarvan we de snelheid weten. Er is een ander vliegtuig in de omgeving waarvan we weten waar het is en hoe snel het vliegt. Dan kun je dit andere vliegtuig ‘virtueel stilzetten’ door de snelheidsvector ervan af te trekken. Dan moet je dat ook doen bij het eigen vliegtuig. Wat resulteert, is een relatieve snelheid van het eigen vliegtuig ten opzichte van het stilstaande andere vliegtuig, en het pad dat wordt afgelegd laat zien dat we hier inderdaad een conflict gaan hebben. Maar je kunt meer doen, want feitelijk leiden alle relatieve snelheden die liggen in de driehoek tussen het eigen vliegtuig en de protected zone van het andere vliegtuig tot een conflict. De taak van de vieger is niets anders dan de relatieve snelheid buiten het driehoekige gebied te krijgen. Een cruciale stap is hóe je dit zou kunnen visualiseren. Onze promovendus Stijn van Dam kwam met een geweldig idee, en die is het verplaatsen van de drie22

hoek over de snelheid van het andere vliegtuig.[18]

Fig. 18

In dat geval kan de bestuurder van het eigen vliegtuig in één oogopslag zien wat men kan doen met de eigen snelheid, om het conflict te vermijden (Fig. 18). In dit geval zou een kleine vermindering van de snelheid, of een geringe koerswijziging naar rechts, het conflict oplossen. Het mooie van deze representatie is dat het óók toestaat dat je grenzen aan de minimale en maximale snelheid van het eigen vliegtuig kunt toevoegen, waardoor uiteindelijk een klein driehoekig gebiedje ontstaat. Dit driehoekige gebiedje is niets anders dan een visualisatie van de beperkingen in de mogelijke keuzes voor snelheid en richting van het eigen vliegtuig ten gevolge van de aanwezigheid van het andere vliegtuig. Nog mooier is, is dat in deze representatie de aanwezigheid van andere vliegtuigen, en de beperkingen die die met zich meebrengen voor het eigen vliegtuig, direct en op dezelfde intuïtieve manier kunnen worden gevisualiseerd op één display.[18] Op deze wijze kan de vlieger direct zien, zelfs in deze vrij complexe situatie met drie andere vliegtuigen in de buurt, wat men kan doen. In dit geval is een kleine koerswijziging naar rechts voldoende om alle conflicten te vermijden, (Fig. 19). 23

Fig. 19

Deze manier van het interpreteren van verkeerssituaties kan ook dienen als basis van beslissingsbomen die men kan programmeren en implementeren in

Fig. 20

24

de boordcomputers. En wanneer deze dan hun waarschuwing afgeven, en een mogelijke resolutie, kan de vlieger in één oogopslag zien waar men aan toe is, of de automatisering werkt, en of er wellicht andere mogelijkheden zijn om het conflict op te lossen. Naar ons idee, zijn deze gelijktijdige ontwikkelingen in automatisering en interface, human-centered automation door ecologische interfaces, noodzakelijk voor het aanpakken van het probleem van de situation awareness. Experimenten die we doen in onze simulatoren, wijzen uit dat deze aanpak inderdaad veelbelovend is.[19, 20, 21] Ik heb met deze twee voorbeelden u een beeld willen geven van de werkzaamheden van mijn groep. Het is een buitengewoon fascinerend vakgebied, waar het uiteindelijk neerkomt op de twee klassieke uitdagingen die er zijn in de wetenschap (Fig. 20): 1. Binnen de manual control draait het om betere modellen van onszelf, de mens. En 2. Binnen de supervisory control draait het vooral om betere modellen van de wereld, geschikte representaties voor automatisering. Willen we verder komen met de veiligheid in de verkeersluchtvaart, dan zijn dit de twee paden die we moeten bewandelen. Toch, zoals gezegd, de automatisering schrijdt voort, en Airbus heeft aangekondigd dat haar nieuwste modellen zullen worden uitgerust met nieuwe modi van automatisering.[22, 23] Maar neemt u van mij aan, dit is het resterende “laaghangende fruit” in ons domein, wat misschien bepaalde problemen zal oplossen, maar nog lang niet betekent dat we in de toekomst zonder bemanning passagiers zullen gaan vervoeren. Het open karakter van vliegtuigen maakt het onmogelijk om alles van te voren te weten, en om op alles te anticiperen. Het ontwerpen voor het onbekende betekent dat er altijd zaken zullen zijn die we niet kunnen voorzien, en een intelligente entiteit vereisen aan boord om de situaties te doorzien en tot een goed einde te brengen. Slechts een doorbraak in de kunstmatige intelligentie zal dat kunnen verwezenlijken, maar eerlijk gezegd denk ik dat we eerder het probleem van de kernfusie

25

op zullen lossen, dan daadwerkelijk een HAL 9000-achtig apparaat in de cockpit zullen gaan zien. Mijn conclusie, koester de mens in de luchtvaart, want hij of zij is de belangrijkste garantie voor onze veiligheid!

University Life and Beyond Dames en heren, mijn verhaal is hiermee verteld, mijn stelling verdedigd. Ik wil de laatste minuten gebruiken om een aantal mensen te bedanken. Allereerst twee bijzondere collega’s, professor Bob Mulder en René van Paassen. Zonder hen had ik hier niet gestaan, het is zo simpel als dat. Professor Bob Mulder heeft me sinds 1989 ondersteund, begeleid, soms ook beschermd. Zijn enorme enthousiasme voor ons werk, zijn diepe inzichten in ons werkterrein, zijn grote ambities in, en visie op ons vakgebied hebben geleid tot een fantastische groep mensen met ongeëvenaarde faciliteiten. Het is een hele grote eer om hem als sectieleider te mogen opvolgen, en ik hoop nog lang met hem te blijven werken. Het succes van de mens-machine systemen groep, en als gevolg daarvan het instellen van deze hoogleraarpositie, is in belangrijke mate het gevolg geweest van de inspanningen van René van Paassen. De hoge kwaliteit van ons onderzoek, de reputatie van ons lab, het feit dat al onze faciliteiten draaien en op elkaar afgestemd zijn, het zijn allemaal zaken die terug te voeren zijn op de aanwezigheid van René, onze guru. Ik wil ook mijn andere collega’s in de sectie Besturing & Simulatie van harte bedanken. Ik ben de afgelopen jaren verwend geweest door een stel geweldige promovendi en post-docs, en een groot aantal buitengewoon getalenteerde studenten. Ik hoop dat ik jullie allemaal nog lang van dienst kan zijn! Ik wil het College van Bestuur bedanken, en ook in het bijzonder onze dekaan, professor Jacco Hoekstra, voor hun vertrouwen. Bijzondere dank voor mijn collega’s bij de afdeling Biomechanical Engineering van de faculteit 3ME, professoren Frans van der Helm en Peter Wieringa, voor hun steun en advies.

26

Tot slot, mijn ouders Ad and Wil Mulder, mijn liefste Loes, onze zoon Jonah, mijn familie en vrienden. De Beatles zongen al: “Love is all you need”. En zo is het. Ik heb gezegd.

27

References [1] Aviation Safety, “Statistical Summary of Commercial Jet Airplane Accidents - Worldwide Operations 1959-2008,” Technical Report July 2009, Boeing Commercial Airplanes, Seattle (WA) 98124-2207, USA, 2009, http:// www.boeing.com/news/technissues. [2] www.delfly.nl [3] Previc, F. H. and Ercoline,W. R., Spatial Disorientation in Aviation, American Institute of Aeronautics and Astronautics, Reston (VA), USA, Progress in Astronautics and Aeronautics, Volume 203 ed., 2004. [4] Sheridan, T. B., “Forty-five Years of Man-Machine Systems: History and Trends,” Proceedings of the second IFAC/IFIP/IFORS/IEA conference on Human-Machine Systems, Varese, Italy, 1985, pp. 1-9. [5] Wiener, N., Cybernetics or Control and Communication in the Animal and the Machine, The MIT Press and John Wiley & Sons, New York, 2nd ed., 1961, originally published in 1948. [6]

McRuer, D. T., Graham, D., Krendel, E. S., and Reisener Jr.,W., “Human Pilot Dynamics in Compensatory Systems. Theory, Models, and Experiments with Controlled Element and Forcing Function Variations,” Technical Report AFFDL-TR-65-15, Air Force Flight Dynamics Laboratory, Wright-Patterson AFB (OH), 1965.

[7] Fishbein, S. B., Flight Management Systems - The Evolution of Avionics and Navigation Technology, Praeger Publishers, Westport (CT), 2nd ed., 1995. [8] Kayton, M. and Fried, W. R., Avionics Navigation Systems, John Wiley & Sons, New York, 2nd ed., 1997. [9] Bainbridge, L., “Ironies of Automation,” Automatica, Vol. 19, No. 6, 1983, pp. 775-779. [10] http://www.theaustralian.com.au/business/aviation/us-pilots-forget-to land-plane-with-149-people/story-e6frg95x-1225790813366.

28

[11] http://www.flightglobal.com/articles/2009/09/09/331991/aa09-pilot handling-skills-under-threat-says-airbus.html. [12] SESAR Consortium, “SESAR - The ATM Target Concept (Deliverable D3),” Tech. rep., EUROCONTROL, Brussels (Belgium), 2007. [13] FAA, “FAA’s NextGen Implementation Plan,” Tech. rep., FAA, Washington (DC), USA, 2008. [14] Nieuwenhuizen, F. M., Zaal, P. M. T., Mulder, M., Van Paassen, M. M., and Mulder, J. A., “Modeling Human Multi-Channel Perception and Control Using Linear Time-Invariant Models,” Journal of Guidance, Control & Dynamics, Vol. 31, No. 4, 2008, pp. 999-1013. [15] Zaal, P. M. T., Pool, D. M., Chu, Q. P., Van Paassen, M. M., Mulder, M., and Mulder, J. A., “Modeling Human Multimodal Perception and Control Using Genetic Maximum Likelihood Estimation,” Journal of Guidance, Control & Dynamics, Vol. 32, No. 4, 2009, pp. 1089-1099. [16] Pool, D. M., Zaal, P. M. T., Van Paassen, M. M., and Mulder, M., “Effects of Heave Washout Settings in Aircraft Pitch Disturbance Rejection,” Journal of Guidance, Control & Dynamics, Vol. 33, No. 1, 2010, pp. 29-41. [17] Hoekstra, J. M., Designing for Safety: the Free Flight Air Traffic Manage ment Concept, National Aerospace Laboratory NLR, The Netherlands, November 2001. [18] Van Dam, S. B. J., Mulder, M., and Van Paassen, M. M., “Ecological Interface Design of a Tactical Airborne Separation Assistance Tool,” IEEE Trans actions on Systems, Man & Cybernetics, Part A, Vol. 38, No. 6, 2008, pp. 1221-1233. [19] Borst, C., Suijkerbuijk, H. C. H., Mulder, M., and Van Paassen, M. M., “Ecological Interface Design for Terrain Awareness,” The International Journal of Aviation Psychology, Vol. 16, No. 4, 2006, pp. 375-400. [20] Borst, C., Mulder, M., Van Paassen, M. M., and Mulder, J. A., “An Ecological Approach to Support Pilot Terrain Awareness After Total Engine Failure,” Journal of Aircraft, Vol. 45, No. 1, 2008, pp. 159-171.

29

[21] Mulder, M., Winterberg, R., Mulder, M., and Van Paassen, M. M., “Direct Manipulation Interface for Airborne 4-Dimensional Trajectory Planning,” International Journal of Aviation Psychology, in press. [22] http://www.flightglobal.com/articles/2009/08/15/330988/airbus-a350 could-be-equipped-with-automatic-emergency-descent.html. [23] http://www.eads.com/1024/en/investor/News_and_Events/news_ ir/2009/2009/20090820_airbus_aptas.html.

Figures and copyright Front page: two screenshots from “2001: A Space Odyssey”, by Stanley Kubrick (1968) © Metro-Goldwyn-Mayer, Warner Home Video. Fig. 5:

a screenshot from “The Right Stuff”, by Philip Kaufman (1983), © Warner Bros.,Warner Home Video.

Fig. 10:

a screenshot from “2001: A Space Odyssey”, by Stanley Kubrick (1968) © Metro-Goldwyn-Mayer, Warner Home Video.

30

Faculteit Luchtvaart- en Ruimtevaarttechniek Kluyverweg 1 2629 HS Delft Tel: 015-2789804