Ващенко Г.В., Добронец Б.С. Надежность информационных систем

Подождите немного. Документ загружается.

Глава 12

Влияние человека-оператора на

функционирование информационных

систем

Личные качества и недостаточные технологические знания исполните-

лей это — не только субъективные факторы, но и факторы, носящие соци-

альную окраску. Вопросы воспитания специалистов, соблюдения правил тру-

довой дисциплины, технической учебы и повышения квалификации, вопросы

самоконтроля и контроля выполняемых работ являются очень важными для

профилактики дефектов и возникающих по их причинам отказов.

Ошибки обслуживающего персонала, выход ИС из штатного режима экс-

плуатации в силу случайных или преднамеренных действий пользователей,

операторов или обслуживающего персонала — операторов (превышение рас-

четного числа запросов, чрезмерный объем обрабатываемой информации и

другие неоправданные действия), невозможность или нежелание обслужи-

вающего персонала выполнять свои функции приводят к чрезвычайно се-

рьезным последствиям. Это могут быть длительный простой в работе, ИС

искажение обрабатываемой информации и получение неверных результатов,

потеря информации, сбои в работе программ и оборудования, отказы обору-

дования.

Таким образом, поддержание высокой надежности работы ИС в целом

является важной и сложной инженерно-технической и социально-организа-

ционной задачей.

В разделе рассмотрен ряд вопросов теории эргатических систем: роль

оператора в системе “человек — машина — среда”, центральные понятия и

определения надежности оператора, характерные ошибки и отказы опера-

тивного персонала, методы повышения надежности оператора. Это позволяет

серьезно задуматься о возможных последствиях необученности, халатности

и недисциплинированности специалистов при проектировании, производстве

и эксплуатации сложных систем.

211

212 Влияние человека-оператора...

12.1. Роль оператора в системе “человек — машина —

среда”

Рассмотрение любой системы требует тщательного изучения всех ее раз-

нообразных компонентов и их взаимодействия — именно такой путь анализа

сложных систем получил название “системный анализ”. Заметим, что ком-

поненты системы могут иметь самую разнообразную природу (например, жи-

вую и неживую) и предназначение (управляющие и управляемые). Их соеди-

нение в целостную систему далеко не всегда возможно.

С одной стороны мы имеем техническую систему, объединяющую мно-

жество связанных и взаимодействующих друг с другом подсистем, механиз-

мов, агрегатов, трубопроводов и веществ. С другой стороны — человека, пред-

ставляющего собой биологическую систему, элементами которой являются

части тела, рецепторы (глаза, уши, кожа и др.), головной мозг. Отметим, что

человек и техническая система (как совокупность технологического обору-

дования) не взаимодействуют друг с другом непосредственно. Так, человек-

оператор никогда в процессе эксплуатации не соприкасается с ядерным ре-

актором и другим загрязненным оборудованием; значительная часть клапа-

нов, задвижек и другой арматуры регулируется дистанционно; и наконец,

сам оператор, сидя за щитом управления во время работы даже не видит

зал, в котором размещено оборудование АС. Взаимодействие человека с АС

составляет по сути еще один компонент системы. Этот компонент — матема-

тическая, физическая или какая-либо иная система знаний {интеллектуаль-

ная система), описывающая закономерности функционирования и управле-

ния АС. Данная система может быть как субъективной, отражающей опыт и

представление человека-оператора, так и объективной, являющейся форма-

лизованным обобщением проектирования, эксплуатации и анализа АС. Субъ-

ективная и объективная системы знаний в чем-то пересекаются, а в чем-то и

дополняют друг друга. Так, субъективное знание каждого конкретного чело-

века может оперировать неформализуемыми понятиями, слабо связанными

явлениями и высокой степенью неопределенности, что недоступно точному

объективному знанию, основанному на четких критериях и мерах (таких как

число) и воплощенному в виде систем автоматического управления.

Аналогичная картина наблюдается у летчика. В полете летчик непосред-

ственно не видит двигатель летательного аппарата, выпущенное или убранное

шасси, положение элементов, изменяющих траекторию движения летатель-

ного аппарата (рулей высоты и поворота, элеронов) и т.д. Летчик взаимо-

действует с оборудованием самолета дистанционно посредством различных

органов управления.

Надежность информационных систем 213

Итак, мы ввели в рассмотрение три крайне разнородных компонента

— технический, биологический и интеллектуальный, составляющие вместе

некий единый и целостный организм сложной системы. Серьезное изучение

подобного объекта не может обойтись лишь узкой теоретической и практиче-

ской базой — инженерной наукой, биологией, психологией и др., позволяющей

исследовать каждый из упомянутых аспектов в отдельности. Для качествен-

ного и эффективного решения системных проблем необходима единая ме-

тодологическая основа, объединяющая и систематизирующая рассмотрение

всех указанных компонентов (вообще, подобные “системные” науки сегодня

не редкость, например экология, объединяющая рассмотрение техники, че-

ловека и биогеосферы).

В нашем случае (соединения техники, биологии и психологии) такая на-

учная дисциплина получила название “Эргономика”. Впервые слово “эргоно-

мика”, происходящее от греческих слов ²ργoη — работа, действие и νoµoξ, —

закон, было сформулировано в 1857 г. Войтехом Ястшембовским, а аналогич-

ная область знаний в США и ряде других неевропейских стран была названа

“human factor — человеческий фактор”. Сегодня эргономика определяется как

междисциплинарная область науки и практики, направленная на интегра-

цию знаний о требованиях и нуждах человека в системе “человек—техника—

среда” при проектировании технических компонентов и рабочих систем (Дж.

Эк-лунд). Объектами исследований эргономики являются так называемые

эргатические системы или системы “человек—машина” (СЧМ) (в различных

источниках можно встретить другие, несущественно отличающиеся друг от

друга названия: человеко-машинные системы, системы “человек—техника”,

системы “человек—техника—среда” и др.). Дадим определение СЧМ.

В государственном стандарте [9] за этим термином закреплено довольно

узкое понятие: система “человек—машина” — это такая система, в которой

субъект труда находится не непосредственно у объекта труда, а удален от

него и осуществляет управление, используя информационную модель, т.е.

субъект управления — оператор.

Другое определение, данное известным американским исследователем в

области человеческого фактора Мэйстером, расширяет класс СЧМ и ука-

зывает на наличие у системы общей одной или нескольких целей: система

“человек—машина” — это организация, состоящая из операторов мужского

или женского пола, и машин, на которых они выполняют определенные дей-

ствия, обеспечивающие реализацию тех целей, ради которых и была разра-

ботана система.

Один из основателей отечественных эргономических исследований про-

фессор А.И. Губинский [26] рассматривает СЧМ как подмножество гумани-

214 Влияние человека-оператора...

стических систем, т.е. любых систем, в составе которых есть человек. Введя

понятие “эрготехнические (эргатические) системы”, он определяет их как

класс гуманистических систем “человек—техника”, состоящих из совокупно-

сти эргатических и неэргатических элементов, взаимодействие которых бла-

годаря деятельности эргатических элементов объединяется в единый целена-

правленный процесс функционирования, имеющий конечной целью получе-

ние конкретного продукта труда с заданным качеством.

Перечислим еще раз ключевые моменты, характеризующие СЧМ: соче-

тание человека и машины; особая роль человека; удаленность оператора от

объекта управления; целеустремленность и заданное качество функциониро-

вания. Отметим, что целью СЧМ “Атомная станция” является производство

энергии — тепловой и электрической. Эффективность функционирования АС

(т.е. способность достигать конечную цель) зависит от ее свойств, таких как

качество функционирования и управления, надежность и безопасность (в ря-

де работ по эргономике АС и другие промышленные системы рассматривают-

ся как имеющие две цели — производительность и безопасность, относитель-

ная значимость которых варьируется в зависимости от специфики системы).

Вообще, эргатические системы крайне разнородны и могут значительно

отличаться друг от друга размером (от системы “программист — персональ-

ный компьютер” до таких комплексов, как аэропорт или химический ком-

бинат), конечной целью, характером деятельности человека, требованиями,

предъявляемыми к качеству функционирования и т.д. Значимость каждого

из перечисленных признаков различна, в зависимости от характера и цели

исследования СЧМ. Одним из наиболее существенных критериев классифи-

кации СЧМ является вид конечной цели, определяющей поведение системы

(напомним, что СЧМ — целенаправленная система, целью которой является

получение некоторого продукта труда). Этот признак предлагается в качестве

основного критерия классификации, в соответствии с которым эргатические

системы делятся на:

• производственные, результатом функционирования которых является

новый материальный продукт (например: прокатный стан — стальной прокат;

строительный комплекс — жилой дом; угледобывающий комбайн — добытый

уголь);

• эксплуатационные, результатом функционирования которых является

новое состояние материального объекта (например: автомобиль — новое по-

ложение перевозимого груза в пространстве; противоракетная установка —

уничтоженная цель);

• информационные, продуктом труда в которых является новая инфор-

мация (например: система автоматизированного проектирования — проект;

Надежность информационных систем 215

автоматизированные системы управления предприятием или технологиче-

ским процессом — управляющая информация; система связи — переданная

информация).

Классификация сложных систем по данному признаку далеко не так од-

нозначна, как кажется на первый взгляд. Так, например, АС, с одной стороны

(в широком смысле), это типичная производственно-промышленная эргати-

ческая система, результатом функционирования которой является тепловая

и электрическая энергия, а эргатиче-ский элемент представлен эксплуатаци-

онным персоналом. С другой стороны, немного сузив задачу, мы опустимся

до рассмотрения АС как человеко-машинной системы, основу которой со-

ставляет лишь часть персонала — оперативная, на которую возложены наи-

более ответственные функции принятия решений. Этот персонал — операто-

ры блочного (БЩУ) и других щитов управления. Атомная станция (вернее,

ее информационная модель) воплощена для них в совокупности приборов и

дисплеев автоматизированной системы управления технологическими про-

цессами (АСУ ТП), поставляющих исходную технологическую информацию.

Продуктом труда системы “оператор — АСУ ТП — щиты управления” яв-

ляется управляющая информация, что свидетельствует о принадлежности

данной системы к классу информационно-управляющих СЧМ.

Классификация СЧМ не ограничивается рассмотренной схемой. Крите-

рием классификации может стать характер и форма операторской деятель-

ности, зависящие как от цели, так и от структурной организации системы.

Выделяются следующие основные категории операторов:

• оператор-технолог, непосредственно включенный в технологический

процесс и выполняющий известные процедуры управления в режиме реаль-

ного времени (операторы щитов управлении энергетическими, химическими

и другими производственными системами);

• оператор-диспетчер, осуществляющий централизованный контроль и

координацию различных явлений и событий, происходящих в реальном мас-

штабе времени (авиадиспетчер, железнодорожный диспетчер, диспетчеры энер-

гетических сетей);

• оператор-наблюдатель, следящий за состоянием процесса, непрерывно

протекающего в реальном масштабе времени, и его отклонениями от задан-

ного режима (оператор радиолокационной станции, рулевой, удерживающий

заданный курс);

• оператор-манипулятор, реализующий жестко заданные последователь-

ности механических воздействий на органы управления (оператор подготовки

информации на ЭВМ, оператор кассового аппарата, техник по обслуживанию

установки);

216 Влияние человека-оператора...

• оператор-исследователь, действия которого не регламентированы зара-

нее заданными инструкциями и базируются на понятийном мышлении (про-

граммист ЭВМ, экспериментатор, проектировщик системы автоматизирован-

ного проектирования);

• оператор-руководитель, выполняющий функции организационного и

директивного характера.

Конечно, подобная классификация условна, так как известны многочис-

ленные случаи, когда невозможно провести четкую грань между различными

типами операторов. Отметим, что все перечисленные виды деятельности при-

сутствуют на АС. Более того, один и тот же оператор (например, персонал

БЩУ) может выступать сначала в роли наблюдателя или манипулятора, вы-

полняющего рутинную работу, а затем и в качестве технолога или даже ис-

следователя, столкнувшегося с непредвиденной заранее ситуацией. Однако

основу деятельности персонала БЩУ составляет все-таки роль оператора-

технолога, представляющая наиболее значительный интерес для анализа.

Рассмотрим структуру СЧМ и ее компоненты. В начале раздела, а затем

и в определениях показаны основные структурные элементы СЧМ: человек

(биологический или эргатический компонент СЧМ) и машина (технический

компонент СЧМ). Машина при этом выступает в роли объекта управления

(ОУ), предназначенного для производства некоторого конечного продукта.

Субъектом управления является человек, выполняющий функции принятия

решений и выработки управляющих воздействий. В определении СЧМ так-

же отмечается, что человек удален от машины и взаимодействует с ней че-

рез некоторого посредника, олицетворяющего информационную модель ОУ.

Этим посредником является третий компонент СЧМ — человеко-машинный

интерфейс (ЧМИ), воплощающий интеллектуальную составляющую систе-

мы.

ЧМИ реализует двухстороннее общение человека с машиной, описывае-

мое следующей схемой. Характеристики и параметры функционирования ОУ

регистрируются с помощью датчиков, преобразующих информацию в элек-

трические сигналы. Часть полученных сигналов после некоторой формаль-

ной обработки (“Описание для автоматики”) направляется на входы систем

автоматического управления (САУ) и регулирования (САР). Последние реа-

гируют на поступившие сигналы немедленным жестко заданным откликом в

виде управляющих воздействий на ОУ. Вторая часть сигналов, также прой-

дя некоторую обработку, образует информацию (“Описание для человека”),

которая за тем поступает к системам отображения, преобразующим ее в при-

годную для человеческого восприятия визуальную, акустическую или так-

тильную форму. Оператор анализирует поступившую информацию, прини-

Надежность информационных систем 217

мает решение, сообразное текущему состоянию ОУ и поставленной задаче, и

воздействует на органы управления, преобразующие механические действия

человека в управляющие сигналы. Эти сигналы передаются автоматическим

системам или непосредственно к ОУ, изменяя его состояние. Информация об

изменившемся состоянии вновь поступает к человеку и автоматике и цикл

управления повторяется.

Рассмотренная схема функционирования позволяет говорить о СЧМ как

о системе с замкнутым контуром управления с обратной связью. Если точ-

нее, то в СЧМ выделяются два контура управления: контур автоматического

управления (ОУ ⇒ автоматика ⇒ ЧМИ ⇒ ОУ), реализующий формализуе-

мую часть функций управления; и контур ручного управления (ОУ ⇒ сред-

ства отображения ЧМИ ⇒ оператор ⇒ органы управления ЧМИ ⇒ ОУ),

действующий в трудно-формализуемых ситуациях.

Рассмотрим более подробно роль человеко-машинного интерфейса в СЧМ.

Очевидно, что ЧМИ нельзя считать лишь формально организованной сово-

купностью средств отображения информации (индикаторов и дисплеев) и ор-

ганов управления (кнопок и рукояток). По сути, ЧМИ распределяет функции

управления между человеком и автоматикой, а его основная задача — вза-

имная адаптация требований к управлению СЧМ и реальных возможностей

и способностей человека.

Поясним последнее утверждение на примере СЧМ “Атомная станция”.

Требования к управлению этой системой очень высоки ввиду ее чрезвычай-

ной сложности и особой специфики. Быстротекущие процессы, скорость ко-

торых превышает быстроту человеческой реакции, наличие загрязненных и

непригодных для жизнедеятельности рабочих зон, удаленность оборудова-

ния, огромное количество разобщенной неструктурированной информации,

необходимость гарантированной защиты от ошибочных управляющих дей-

ствий — все это делает невозможной работу человека без соответствующей

поддержки. На АС эта поддержка выражается в наличии САР, работающих с

быстротекущими процессами, организации дистанционного управления обо-

рудованием, введении защит и блокировок, автоматически срабатывающих в

аварийных ситуациях, концентрации информации и органов управления на

БЩУ, структурировании и удобном представлении информации с помощью

индикаторов, мнемосхем и дисплеев АСУ ТП. Все перечисленные средства

поддержки вместе образуют ЧМИ, посредством которого оператор управля-

ет атомной станцией. ЧМИ, по существу, является буфером между челове-

ком и машиной, организующим процесс управления таким образом, чтобы

его сложность (т.е. требования, предъявляемые к оператору) соответствова-

ла возможностям человека.

218 Влияние человека-оператора...

Сказанное свидетельствует о том, что качество управления СЧМ, силь-

но влияющее на эффективность ее функционирования, во многом зависит

от идеологии ЧМИ, и в частности — оптимальности распределения функ-

ций управления между человеком и автоматикой. Эта задача обычно первой

встает перед создателями сложной СЧМ. Интуитивно понятно, что задача

разделения функций заключается в том, чтобы решить — что в управлении

системой необходимо возложить на человека, а что можно доверить автома-

тическим устройствам. Сегодня в распоряжении разработчиков имеется два

типа автоматических устройств — с жестко заданной логикой функциони-

рования (САУ, САР) и с гибкой, программируемой логикой (компьютеры и

системы, выполненные на их основе).

Неоспоримыми достоинствами автоматики являются: высокое быстро-

действие и точность работы; длительный ресурс и продолжительность непре-

рывной работы; неограниченное число каналов параллельной обработки сиг-

налов; большой объем памяти; высокая надежность и жесткий самоконтроль.

Перечисленные качества в гораздо меньшей степени присущи человеку — он

быстро устает, его ресурсы (память, быстродействие) крайне ограничены, он

подвержен стрессам, его действия могут быть неточными, а работа в целом

менее надежной. Все это говорит в пользу полной автоматизации системы.

Однако основным ограничением автоматики является детерминирован-

ность алгоритма ее работы. Это означает, что все возможные действия долж-

ны быть заранее предусмотрены и описаны, но одним из признаков сложной

системы является тот факт, что ее поведение в некоторых случаях может

оказаться для нас неожиданным. Другими словами, для сложной системы

нет полностью адекватной модели, что в свою очередь делает невозможной

полную автоматизацию процесса управления и, следовательно, требует нали-

чия в контуре управления человека-оператора. Никакая автоматика сегодня

не может превзойти человека в его способности к быстрому изменению алго-

ритма управления, возможности прогнозировать развитие событий на осно-

ве собственного опыта и интуиции, способности ориентироваться в условиях

неполной или искаженной информации.

Итак, мы выделили первый фактор, влияющий на разделение функ-

ций: возможность формализованного детерминированного описания процес-

са управления (“Технологический” фактор). Руководствуясь этим критерием,

задачу распределения функций можно решить довольно просто. Нужно пе-

редать машине все то, что она способна выполнить, а остальное возложить на

человека. Подобный подход предполагает, что развитие технических возмож-

ностей компьютеров и программного обеспечения позволит автоматизировать

все большее число функций управления, постепенно вытесняя человека. Это

Надежность информационных систем 219

приведет к уменьшению нагрузки на оператора и численности оперативного

персонала, высвобождению операторов от многочисленных “мелких” забот,

исключению малозначащих ошибок и ряду других положительных резуль-

татов. Хотя оператор по-прежнему будет иметь высший приоритет, однако,

перестав быть постоянным активным участником процесса управления и на-

ходясь в роли пассивного наблюдателя, человек-оператор может стать источ-

ником серьезных инцидентов. Причиной этого явления служат негативные

психические состояния, вызванные монотонней, возникающей из-за недоста-

точной информационной и эмоциональной нагрузки. В условиях монотонно-

сти возможно понижение внимания оператора, снижение уровня квалифика-

ции из-за длительных периодов “безделья”, нежелание критически оценивать

ситуацию и свои действия. В результате — человек не всегда может переклю-

читься, собраться и принять правильное решение. Данный аспект автома-

тизации демонстрирует наличие еще одного важного фактора, подлежащего

учету при разделении функций: адекватность психофизиологическим особен-

ностям человека (“Психологический” фактор).

Выделенные два фактора (психологический и технологический) состав-

ляют лишь верхний уровень иерархии факторов, таких как объемы перера-

батываемой информации, скорости протекания процессов, сложность задач,

уровень профессиональной подготовки, личностные качества, мотивация и

др. Формирование оптимальных ролевых установок человека и машины в

СЧМ возможно лишь при условии комплексного анализа и учета всех этих

факторов.

Распределение ролей между человеком и автоматикой довольно часто

служит критерием классификации СЧМ. Так, в соответствии с этим крите-

рием, различают следующие виды эргатических систем:

• целеустремленные — системы, в которых процесс функционирования

определяется человеком;

• целенаправленные — системы, в которых на отдельных этапах или при

определенных режимах или условиях человек лишен возможности вмешаться

в процесс функционирования системы;

• целесообразные — системы, в которых человек не имеет возможности

управлять процессом функционирования, но за ним сохраняются функции

обеспечения процесса функционирования или прекращения его в случае ава-

рийных или непланируемых ситуаций.

В ряде работ предлагается различать СЧМ по достигнутой в них сте-

пени автоматизации, зависящей от того, кому — человеку или компьютеру

— предписано выполнение задачи или каждой из четырех фаз ее решения:

мониторинга, генерации решений, выбора решений и исполнения.

220 Влияние человека-оператора...

Итак

• СС представляют собой сложную целеустремленную СЧМ, объединя-

ющую технический, биологический и интеллектуальный компоненты;

• СЧМ является системой с замкнутым контуром автоматического и руч-

ного управления с обратной связью;

• ЧМИ предназначен для взаимной адаптации требований к оператору

и реальных возможностей человека;

• ЧМИ является отражением ролей человека и машины и воплощает

концепцию разделения между ними функций управления.

12.2. Основные понятия надежности оперативного пер-

сонала

Нет необходимости доказывать, что надежность оперативного персонала

(наряду с надежностью техники) является одним из важнейших процессуаль-

ных свойств, влияющих на качество, эффективность и безопасность работы

СС. Каким должен быть надежный оператор? Что следует понимать под на-

дежностью человека?

Традиционно, надежный оператор — это хороший оператор, который

пунктуально исполняет предписанный алгоритм деятельности. Это означа-

ет, что во всех потенциально возможных ситуациях у человека должны быть

четкие алгоритмы работы. Но почему бы в этом случае не заменить челове-

ка более надежной и неприхотливой машиной? Если мы все-таки оставляем

человека, то это автоматически означает, что мы допускаем наличие ситуа-

ций, не описанных в инструкциях или описанных в них неверно, сознательно

полагая, что в критических случаях оператор все-таки поведет себя незапла-

нированно. В чем же тогда состоит надежность оператора?

Надежный оператор может пунктуально, шаг за шагом выполнить ин-

струкцию, нигде не ошибившись, и при этом ... не достичь поставленной цели

(то ли инструкция была несовершенной, то ли что-то нужно было сделать

чуть-чуть лучше, быстрее или качественнее, чем это требует инструкция).

Считать ли этого оператора надежным?

Творчески мыслящий оператор может, нарушив инструкцию, проявить

изобретательность в сложной ситуации и оптимизировать устаревшую, по-

рой неверную процедуру (формально такие действия квалифицируются как

ошибки). Считать ли этого оператора ненадежным?

Два оператора примерно одинаково действуют, выполняя одну и ту же

процедуру, однако первый достигает “блестящего” результата, а второй — “так

себе”. Следует ли различать степень надежности этих операторов?