W.W. Verduyri
februari 1992
s-638'
TU
zina=
givgitU
TU Delft
I I Tedhnische Universiteit 'Delft
COMP LE X ITY
Witel YOU 1)0011.
UMbeRSTA lib
12©Kdu
chIns
an
Faculteit der VVerktuigbouwkunde en Maritieme Techniek Laboratorium Meet- erdRegeltechniek
e e a
Technische Universiteit Delft
Werktuigkundige Meet- en Regeltechniek
Schrijiver Verduyn
Titel
t
Complexiteit in mens-machiae al/stet-64nRapport nummer: S-638
Datum ; 29 februari. 1992
BERNOPTE SAMENVATT ING
Complexe systemen zijn meestal niet-lineair en kunnen gedrag vertonen, dat afwijkt van bekend gedrag, dat met lineaire modellen beschreven wordt. Het gedrag kan beheerst warden door periodieke of vreemde attractoren. Hoven-dien kunnen geschikte verstoringen leiden tot kwalitatief ander gedrag van
een systeem. ;II
In complexe mens-machine systemen kan de mens bijvoorbeeld bij storingen geconfronteerd warden met dergelijk op het eerste gezicht onverklaarbaar gedrag. be storing lijkt onoplosbaar,
Om bij toenemende complexiteit toch op verantwoorde wijze een systeem te
superviseren, is een structurele benadering vereist: de complexiteit van
het technische systeem moet gereduceerd warden, de kennis van de supervi-sor(s) moet verbeterd warden en/of de mens-machine interface moet
geoptima-liseerd warden.
Als hoofdpunten4geldeahlerbij
het aanbrengen van hierarchische structuren;
-
de ondersteuning van de supervisors) op het knowledge-basedbehavi-or niveau;
-f het opzetten van een goede taakallocatie tussea mens en computer.
Totaal aantai pagina"isq: 6-2
(ual
em-cv, 4-i,,o-te
1,4
C--6,Apicai
Lcce
6-ffk---
olLo.cc-L
c)24--(
7776e.,(1-7
O1-..
c- Ore O-tArkt.
9
ek-COMPLEXITEIT IN MENS-MAC
,SYSTEMEN
De afbeelding op het voorblad is ontleend aan (Pelitir Vulpiani,, 1988),
Z-638-i Samenvatting Abstract ! Opdracht i Voorwoord 1- Bnleiding 1.1 Doel en overzicht
1.2 Een complex probleem
Si iii iv v 1 1 2 2. Wat is complexiteit? 5 2.1 Geschiedenis 5
2..2 Kentering in het wetenschappelijk denken 6
2,3 Invloed van de tweede hoofdwet van de
thermodynamica 8
2.4 HiOrarchie in complexe systemen 10
2.5 Wat is complexiteit in technische systemen? 11
2.6 Meten van complexiteit 14
Hens
in
complexe systemen 153-1 (R)evolutie van mens-machine systemen 15
3.2 Supervisory control model Sheridan 16 3.3 Skill-, rule-, knowledge-based behavior model
Rasmussen 17
3.4 Intern model 20
3.5 Discussie . 20
A. Beheersen van complexiteit 25
4.1 Richting voor nplossingen
4.2 Ontwerpcomplexiteit verlagen 26
4.3 Regelcomplexiteit vergroten 28
4-4 Mens-machine interface verbeteren 30
5. Recapitulatie ?_9
Conclusies 42
Bijlage A 44
Literatuur 48
SAMENVATTING
Het gedrag van niet-lineaire systemen kan in het algemeen beschreven warden door een periodieke of chaotische baan in de toestandsruimte: ze tenderen niet naar evenwicht. Verder is het mogelijk dat de systemen door een ge-schikte verstoring een bifurcatie ondergaan en kwalitatief ander gedrag
gaan vertonen.
Dergelijk gedrag kan oak optreden bij technische systemen, die door toene-mende aantallen componenten met daartussen toenetoene-mende aantallen interacties
steeds complexer (lijken te) warden.
Dit gedrag is op grand van bekende, meestal lineaire, modellen, onvoorspel-baar. Met het toenemen van de complexiteit neemt de kans op onvoorspelbaax gedrag toe. Omdat de mens niet in staat is onvoorspelbare, ongewenste situ-aties te voorkomen, neemt de kans op ongelukken toe.
Het supervisory control model (Sheridan), het skill-, rule-, en knowledge-based behavior model (Rasmussen) en de interne representatie geven eer
indruk van de wijze waarop de mens complexe mens-machine systemen super-viseert. Overduidelijk is dat gedrag en taken van de mens niet los gezier
kunnen warden van de oprukkende automatisering.
Voor het beheersen van complexiteit in mens-machine systemen moet de aan-dacht gericht warden op vermindering van de complexiteit in het technische systeem, verbetering van de opleiding en training van de supervisor(s) en/ of verbetering van het ontwerp van de mens-machine interface.
Hierbij zijn de belangrijkste thema's:
het aanbrengen van hierarchische structuren in het technische
sys-teem en in de mens-machine interface en het aanbrengen van een
"losse" hierarchie in de personele organisatie.
m de ondersteuning van de supervisor(s) op het knowledge-based
behav-ior niveau, zowel bij trainingen als bij ontwerp van mens-machine
interfaces.
het opzetten van een goede taakallocatie tussen mens en computer: de
mens blijft eindverantwoordelijk en mag dus niet aan de computer
ondergeschikt gemaakt warden.
S -638 -ii
S-638-iii
ABSTRACT
The behavior of nonlinear systems generally may be described by a periodi-cal or chaotic trajectory in the phase space: they do not show a tendency
for equilibrium. In addition to this it is possible that due to appropriate fluctuations the systems experience bifurcations and subsequently show qualitatively different behavior.
Such behavior can also, be seen in technical systems. They (seem to) become more and more complex following the increasing amount of components and the
"growth of interactions between them.
On the basis, of known, usually linear models this behavior is
unpredicta-ble. With growing complexity the probability of unpredictable behavior
increases. The probability of accidents increases, because humans, are
unable to foretell unpredictable, undesirable situations.
The supervisory control model (Sheridan), the skill-, rule- and knowledge-based bahvior model (Rasmussen), and the internal model give an impression of behavior of the human supervisor in complex man-machine systems. It is
evident that human behavior and human tasks are tightly related to the
growing influence of automation.
The control of complexity in man-machine systems should be focused on
reducing the complexity of the technical system, improving the education and training of the supervisor(s) and/or improving the design of the man-,
machine interface.
The most important issues for further investigation into complex systems
area
the introduction of hierarchical structures in the technical system, and in the man-machine interface and of a loosely coupled hierarchi=
cal structure, in the organization of personnel.
the emphasis for supervisor 'support on the knowledge-based behavior level, both in training and in design of man-machine interfaces.
the set up of a good taskallocation between man and computer: man. remains responsible and should never be subordinate to computers.
ft*
TEJ Delft
Technische Universiteit Delft
juni 1992
Afstudeeropdracht voor de heer W. Verduyn
Minervalaan 34'
1077 PA Amsterdam
Faculteit der Werktuigbouwkunde en Maritieme Techniek
Vakgroep Meet- en Regeltechniek
Binnen de sectie Mens- Machine Systemen van de vakgroep Meet- en Regeltechniek wordt
onderzoek verricht naar het functioneren van de mens bij de supervisie van geautomatiseerde
systemen. Voor een optimal bedrijf van het
geautomatiseerde proces dient het interface
tussen de menselijke supervisor en het proces zo goed mogelijk aan de menselijke capaciteiten
aangepast te worden.
De taak van de menselijke supervisor wordt verzwaard door de hogere eisen die aan her
functioneren van het mens-machine systeem wordt gesteld, maar ook door het verminderde
contact van de supervisor met het proces. Zo wordt van de supervisor enerzijds verwacht dat
hij bij problemen in het bewaakte systeem, adequaat reageert, d.w.z. de foutieve situatie
onderkent, afdoende compenserende acties onderneemt, tot een juiste diagnose komt en de
fout corrigeert, maar anderzijds ontbeert hem de ervaring met het functioneren van het
bewaakte proces in afwijkende omstandigheden.
De complexiteit van het systeem met automatisering is van invloed op het functioneren van
de operator. Het begrip complexiteit wordt in de literatuur verschillend gebruikt. Het is
daarom wenselijk hiervan een overzicht te maken in de vorm van een literatuurscriptie.
In het vervolgonderzoek wordt van u verwacht dat u een studie maakt naar de door operators
gemaakte fouten bij het diagnostiseren van storingen in een technische centrale op schepen.
Bovendien client u een voorstel te maken voor een diagnoseondersteuning met als doel het
verbeteren van het diagnose gedrag. U kunt hierbij gebniik maken van een simulator van het
M-fregat die is opgesteld bij TNO/IZF en bij het
opleidingscentrum van de Marine te
Amsterdam.
Bij het uitvoeren van uw opdracht kunt u rekenen op de begeleiding van dr.ir. P.A. Wieringa
en van dr.ir. J .G.W Raaijmakers van TNO/IZF.
prof.dr.ir. FI.G. Stassen
c.c. dr. ir. P.A. Wieringa, dr. ft. J.G.W. Raaijmakers
VOORWOORD
Deze scriptie is tot stand igekomeri in de periode van september 1991 tot en
met februari 1992.
Bede dankzij de ruime, mondelinge omschrijving van de opdracht eind augus-tus door professor Stassen heb ik veel vrijheid gehad bij het uitvoeren van deze literatuurstudie; vrijheid in de keuze van onderwerpen over complexi-teit en vrijheid in tijd, wat mu j de mogelijkheid bood in eigen tempo naast
mijn dagelijks werk aandacht te besteden aan de literatuurstudie..
Bij het afronden van de scriptie zijn de kritische opmerkingen van mljp
vader en van Sander van Luik uiterst waardevol gebleken.
Amsterdam,: 29 februari 1992
INLEIDING
1;1 Doel en 'overzidht
De mens heeft zijn creativiteit steeds gebruikt en zal die blijven
gebrui-ken om systemen te ontwerpen, die steeds moeilijkere functies kunnen
vervullen of die bestaande functies op een eenvoudigere of snellere maniec
kunnen vervullen.
Op talloze plaatsen. in onder andere scheepvaart, luchtvaart, luchtverkeers-leiding, energieopwekking, intensive care en procesindustrie spelen mens en
techniek een rd l naast elkaar in zogenaamde mens-machine systemen.
Johannsen (1982) geeft de volgende definitie van een mens-machine systeem:
"Functional synthesis between a biological/psychological/social system (the man or group of people) and a technological system (the machine) character-ized' predominantly by the interaction and fundamental interdependence
be-tween these two."
Een mens-machine systeem is due opgebouwd uit een technisch systeem, een
mens (groep mensen) en de interface, die de interactie tussen mens en
technisch systeem verzorgt.
Door de ontwikkelingen op technisch (*pied is de mens in staat gebleken om steeds ingewikkeldere en grotere technische systemen op een adequate en
meestal verantwoorde wijze te ontwerpen en te bedienen.
Toch ontstaat er soms twijfel over de vaart van de ontwikkelingen. Gaan de
technische ontwikkelingen niet te snel voor de mens? Is de mens wel in
staat om hele complexe systemen te bedienen? Welke hulpmiddelen moeten de mens worden geboden om te werken in een complex systeem? Hoe kan de kans op
zeer ernstige ongelukken, bijvoorbeeld in een kerncentrale, geminimaliseerd worden? Is het wel verantwoord om complexe apparatuur voor DNA-onderzoek te ontwerpen of is de kans op missers, die maatschappelijk niet aanvaard zijn,
te groot?
Het doe], van dit literatuuronderzoek is een inventarisatie te maken
yin
invloeden en argumenten, die een rol spelen in complexe mens-machine syste-men, en richtingen voor het beheersen van de bijbehorende complexiteit aante geven.
Daartoe wordt in hoofdstuk 2 in eerste instantie ingegaan op het begrip complexiteit in algemene zin, dat onderwerp van onderzoek is in vele disci-plines, zoals biologie, ecologie, sociologie en economie. Daarbij komt de
rol van niet-lineaire dynamische systemen aan de orde. Vervolgens komt com=
plexiteit in technische systemen aan de orde.
De wijze waarop de mens taken vervult in complexe technische systemen wordt in hoofdstuk 3 aan de hand van een aantal modellen belicht. Verder wordt een aantal aspecten, dat met complexiteit en menselijke bedienaars te maken
heeft, besproken.
In hoofdstuk 4 wordt aangegeven op welke wijze de mens in staat moet worden geacht cm op een veilige en verantwoorde wijze om te gaan met complexe(r0
.S-639-4
systemen.
Hoofdstuk 5 bevat een recapitulatie van de onderwerpen die in de
hoofdstuk-ken 2, 3 en 4 de revue zijn gepasseerd.
In hoofdstuk 6 tenslotte staan de conclusies.
1.2 Een complex probleem [Perrow, 1984]
Unit 2 van de kerncentrale van Three Mile Island bij Harrisburg, Pennsylva-nia in de Verenigde Staten word in 1978 in bedrijf genomen.
In deze centrale zijn twee koelsystemen opgenomen:
Het primaire koelsysteem bevat radio-actief water met hoge tempera-tuur en druk, dat warmte uit de kern van de reactor afvoert.
Net niet-radio-actieve secundaire koelsysteem neemt warmte op uit het primaire systeem; het water in het secundaire koelsysteem wordt
omgezet in stoom. Die stoom wordt gebruikt om turbines aan te
drijven, die op hun beurt generatoren aandrijven voor de
electrici-teitsopwekking.
Op 28 maart 1979 om vier uur 's morgens werd de turbine, om voor de
operators onduidelijke redenen, gestopt door een automatische beveiliging. Later bleek, dat door een kleine lekkage water bij de bedieningsluchttoe-voer voor de twee voedingwaterpompen in het secundaire koelsysteem terecht
was gekomen, wat resulteerde in het stoppen van de pompen. De flow in het
secundaire koelsysteem werd toen nul, wat (automatisch) leidde tot flood-stoppen van de turbine.
Zonder verdere maatregelen zou de temperatuur in de reactor oplopen. Daarom kwamen automatisch twee nood-voedingwaterpompen in bedrijf, die koud water
uit een aparte tank het secundaire koelsysteem in moesten pompen. De
operators constateerden dat deze noodvoorziening werkte. Helaas stonden bij
beide pompen de perskleppen dicht, maar dat wist niemand op het moment van
inschakelen van de pompen.
Naar later bleek waren ze na eon reparatie bij een storing twee dagen
eerder per ongeluk dicht blijven staan. Operators verklaarden bij
hoorzit-tingen
dat het goed mogelijk is dat na vele reparaties, waarbij steedskleppen worden geopend en gesloten, een enkele klep in een foute stand
blijft staan, ook wanneer een logboek wordt bijgehouden.
Twee indicatoren in de controlekamer gaven aan dat de kleppen dicht stonden in plaats van open. De ene werd door een bordje "reparatiewerkzaamheden"
aan het oog onttrokken; de andere werd niet bekeken, want de operators
hadden geen enkele reden aan te nemen dat kleppen, die altijd open staan, gesloten waren. Pas na acht
minuten
kwamen ze erachter; veel schade wastoen al onherstelbaar.
Vanwege het ontbreken van koeling bij de reactorkern werden de regelstaven
in de kern neergelaten om neutronen te absorberen en de kernreactie te
laten stoppen. Dat gebeurde, maar de radio-actieve produkten in de kern geven dan nog zoveel warmte at, dat de kern gewoonlijk nog enkele dagen nagekoeld meet warden om druk en temperatuur van het primaire water niet te
S-638-2
ver te laten oplopen. maar dat nakoelen kon (nog) niet plaatsvinden, vanwege het ontbreken van secundaire koeling.
Uiteraard is er een beveiliging am druk- en temperatuurtoename in de kern te beperken. Een pilot-operated relief valve (PORV) moet openen bij een
bepaalde druk in de reactor, zodat primair water naar een aflooptank gaat. Die klep gaf nogal wat problemen omdat hij slechts weinig gebruikt werd en alleen maar zeer beet radio-actief water doorlaat.
De PORV mag niet te lang open blijven. Dan zou de druk te ver kunnen
zakken, zodat primair water gaat koken. De stoombellen kunnen minder goed warmte uit de uraniumstaven afvoeren, zodat plaatselijk hot spots ontstaan, waardoor de kernreactie weer kan beginnen.
De PORV bleef open staan: uiteindelijk verdween een derde deel van het
primaire water via deze klep uit de kern. Er was een indicator voor de
PORV, maar deze toonde slechts dat de klep een stuursignaal voor sluiten had gekregen. De operators concludeerden dat de klep gesloten was. Ze
hadden (nog) geen reden am te geloven dat de klep open was blijven staan en controleerden de werkelijke stand van de klep dus niet.
De operators wachtten op een toename van de druk in de reactor na het sluiten van de PORV, want de druk was snel gezakt na het openen van de
PORV. Pas na twee uur en twintig minuten vroeg een operator van de nieuwe ploeg zich af of de PORV wel echt gesloten was.
Met het wachten op de drukdaling zijn we pas 13 seconden na het uitvallen van de twee voedingwaterpompen. Net is goed mogelijk dat de operators zich
van geen enkele van de echte fouten bewust waren en geen verband zagen
tussen het stoppen van de turbine en het dalen van de druk in de reactor. Na deze 13 seconden startten twee noodpompen voor het primaire koelsysteem, een automatisch en een door tussenkomst van een operator. Twee minuten lang
leek het alsof de toestand in de reactor zich stabiliseerde.
De operators wisten nog steeds niet chat er geen water stroomde in het
secundaire systeem. Op een gegeven moment was het stilstaande secundaire water in de stoomgenerator stoom geworden, zodat er helemaal geen warmte meer uit de reactor werd afgevoerd.
Na twee minuten daalde de druk in de reactor scherp, waardoor een andere
beveiliging aansprak: onder hoge druk werd water in de reactor
geinjec-teerd, 4000 liter per minuut (HPI = high pressure injection).
HPI is niet ongevaarlijk: door plotseling toevoeren van koud water onder hoge druk kunnen haarscheurtjes in de reactor ontstaan of kan schade aan de
reactorkern optreden. Door het te lang in stand houden van HPI kan het
"expansievat", dat zich hoger dan de normaal met water gevulde reactor
bevindt en dat normaal een mengsel van water en stoom bevat, vol raken met water. Een optredende drukgolf in de kern kan dan niet door het stoomkussen opgevangen worden, waardoor het primaire leidingsystem kan beschadigen. Er stroomt dan primair koelwater weg, zodat er dan helemaal geen koeling meer is, met het risico van een meltdown. Overigens bestaat bij experts over de invloed van deze effecten geen consensus.
De operators keken naar twee drukmeters om het effect van HPI te zien: de ene drukmeter in het expansievat gaf aan dat de druk onrustbarend steeg, de
andere drukmeter in de reactor gaf aan dat de druk sterk daalde. flat was vreemd, want het expansievat en de reactor stonden in verbinding. Ben van de meters moest defect zijn. Maar welke?
Ale de meter van de reactor goed was, moest er een zeer ernstig probleem zijn, want dan zakte de druk terwijl er veel water geinjecteerd werd via
HPI en twee noodpompen in het primaire systeem. Ale de meter van het
expansievat goed was, kon een zeer ernstig probleem ontstaan ale HPI te
lang werd aangehouden (risico van meltdown),.
Ben van de operators besloot na twee minuten uit te gaan van een goede
drukmeting in het expansievat en de HPI te stoppen, want de procedures
benadrukten dat het expansievat nooit vol met water mocht raken. Bovendien kwam er nog genoeg water binnen via de twee noodpompen.
Nog steeds stond de PORV open en was er geen secundair water om warmte af te voeren. Na ruin twee uur werd de PORV gesloten, wat niet het einde van
het ongeluk betekende. Er kwamen nog een aantal storingen, maar uit
bovenstaande beschrijving is duidelijk geworden dat er veel gegevens, die
nauwelijks met elkaar te maken leken te hebben, op de operators afkwamen.
Voor de operators moet de situatie uiterst verwarrend zijn geweest: er
waren steeds veel akoestische en visuele alarmen. Daardoor kwam een hele stapel papier uit een printer, die op zich al dagen zo niet weken
bestude-ring zou vergen. Het is derhalve niet verwonderlijk dat die informatie in de eerste minuten niet gebruikt werd.
Bovendien ging de telefoon onophoudelijk: steeds werd van de operators
informatie gevraagd die ze niet hadden.
Of het ongeluk aan operators te wijten is geweest is uiterst twijfelachtig:
door vele ingewikkelde en ook onbegrijpelijke interacties van fouten, die niet direct met elkaar in verband leken te staan, waren de operators niet
in staat om de juiste beslissingen te nemen. De interne representatie
4(paragraaf 3.4) die ze van de installatie hadden was niet goed genoeg voor
adequaat handelen.
Gevoelsmatig kan gezegd worden dat de zich opstapelende, steeds weer nieuwe storingen voor de operators een complex probleem vormden. hit onderzoek is gebleken dat dit ongeluk niet alleen aan handelingen van de operators te wijten is geweest, maar ook aan het ontwerp van de regelkamer, de training van de operators en de gehanteerde procedures in de regelkamer en bij het
management INorros, Rukka, Wahlstrem), 1982].
flit is een van de bekendste ongelukken in een industridle installatie en er
zijn vele onderzoeken gedaan met als doel het voorkomen van een dergelijk
.ongeluk in de toekomst.
De belangrijkste vragen waarvoor men zich gesteld ziet zijn de volgende: Welke eigenschappen heeft een complex systeem? Hoe kan een ongeluk ale dit
voorkomen worden? Welke eisen moeten er gesteld worden aan installatie en
operators?
ris
2. WAT IS' COMPLEXITEIT?
Geschiedenis
In de nu klassiek genoemde wetenschsp ruwweg vanaf Isaac Newton (1642 -1727) - gaat men uit van de kracht van waarnemingen van de werkelijkheid. Net moet mogelijk zijn door good gekozen experimenten de wetmatigheden van de natuur to ontdekken en voorspellingen te doen over gedrag van systemen. Die kennis wordt vastgelegd in een model.
Ken van de belangrijkste eigenschappen van de Newtoniaanse wetenschap is de omkeerbaarheid (reversibiliteit) van de tijdrichting. In een eenvoudige
vergelijking voor de baan van een lichaam in een krachtenveld, bijvoorbeeld
het zwaartekrachtsveld, leidt het inverteren van de snelheid van het
lichaam tot een baan, die in het verleden is afgelegd.
Anders gezegd: als van een eenvoudig model, zoals een mathematische slinger waarop geen verstoringen ingrijpen, de parameters en de begincondities (de
positie en snelheid op een willekeurig moment) bekend zijn, dan is het
gedrag van het systeem niet alleen in de toekomst maar oak in het verleden volledig voorspelbaar. Net systeem heeft this een soort geheugen: het
"onthoudt" de beginconditie.
In het algemeen zullen behalve parameters en begincondities ook verstorin-gen en ingangssignalen optreden. Als die bekend zijn, dan zijn toekomstige toestanden te voorspellen en gepasseerde toestanden to berekenen.
an de klassieke wetenschap heeft men steeds getracht modellen te maken met gesloten formules, waarvoor dan oak nog een analytische oplossing bestond. Net lukte niet altijd om gesloten formules te vinden, zoals bij het op het eerste gezicht relatief eenvoudige "drie lichamenvraagstuk-, waarbij de,
onderlinge bewegingen van bijvoorbeeld zon, mean en aarde warden
beschre-ven.
Indien wel een gesloten beschrijving met een analytische oplossing wordt
vevonden, dan wordt het exact voorspellen van toekomstig gedrag beperkt
door een aantal factoren:
L. De begrenzing aan het aantal meetgegevens: bij een systeem vet veel
variabelen kunnen niet elle variabelen gemeten warden. Men moot dan overgaan tot statistische methoden, die leiden tot afwijkingen
tus-sen voorspeld en werkelijk gedrag.
De begincondities en de parameters van een systeem zijn nooit exact bekend vanwege de begrensde meetnauwkeurigheid van meetapparatuur.
11.
3. Veel modellen beschrijven gesloten systemen, systemen waarbij wel energie-, maar geen massatransport over de systeemgrens plaatsvindt-In de praktijk zijn er geen systemen die perfect gesloten zijn.
Net resultaat van deze beperkingen is pragmatisch determinisme (Kint,
1989), waarin bijna identieke oorzaken bijna identieke gevolgen hebben. De uit experimenten afgeleide modellen vertonen kwalitatief een zelfde gedrag
S-638-5, 2.1
als de geobserveerde werkelijkheid. De kleine kwantitatieve afwijkingen warden veroorzaakt door deze drie
beperkingen,
Maar worden met betereapparatuur steeds kleiner.
Zeer algemeen gesteld heeft de klassieke wetenschap zich vooral gericht op stabiliteit, evenwicht, orde, reversibiliteit en uniformiteit in gesloten
en lineaire systemen.
Kentering inlet wetenschappelijk denken
Tegenwoordig wordt meer en meet aandacht besteed aan instabiliteit, nietr
evenwicht, wanorde, irreversibiliteit en diversiteit in open en
niet-lineaire systemen [Prigogine, Stengers, 1984]. Het verschuiven van de
aandacht heeft onder meer de volgende vier vorzaken.
d.
Bijniet-lineaire
systemen kan een zeer kleine afwijking in debegincondities zeer grote en onvoorspelbare verschillen in gedrag tot gevolg hebben. Bijna identieke oorzaken hebben dan niet meer een bijna identiek gevolg.
2[1i Voor de meeste niet-lineaire beschrijvingen gelden geen analyiische
oplossingen. In modellen werd derhalve vaak gelineariseerd rond een werkpunt. Met de opkomst van de computer werd het in sommige
geval-len mogelijk niet-lineaire problemen door te
rekenen.
Op het eerste gezicht chaotisch gedrag kan toch geordend zijn. Bij langzaam verwarmen van een vloeistof tussen twee platen ontstaat een temperatuurgradient. Bij een zwakke gradient geschiedt warmteover-dracht door geleiding. Bij toename van de gradient ontstaat boven een drempelwaarde plotseling convectie. Dan ontstaan de zogenaamde
Benard cellen [Prigogine, Stengers, 1984]. Die cellen zijn
hexa-gonaal en regelmatig verdeeld. Binnen elke cel gaat de vloeistof in
het midden omhoog en aan de zijkant omlaag.
Dit gedrag is niet voorspelbaar met klassieke beschrijvingen, maar vertoont wel een soort
In de klassieke wetenschap ging men uit van conservatieve systemen die geen energie uitwisselen met de omgeving. bit is geen realis-tisch uitgangspunt. De tweede hoofdwet van de thermodynamica geeft
aan dat in alle processen sprake moet zijn van toename van entropie
(paragraaf 2.3)1.
Ingewikkelde systemen in onder meer de biologie, de economic en de techniek wisselen op grote schaal energie en informatie uit met de
omgeving.
be Fransman Henri Poincare (1854 - 1912) keek ale 4en van de eersten niet meer naar specifieke kwantitatieve oplossingen in de vorm van gesloten
formules, maar naar globale kwalitatieve oplossingen, die in meerdimensio-nale toestandsruimten beschreven kunnen worden (Kint, 1989).
In het algemeen kan het dynamische gedrag van een systeem beschreven worden door een kromme in de toestandsruimte_ be dimensie van die ruimte is gelijk
S-638-6 2.2
Inor
aan het aantal toestanderi van het systeem..
Net gedrag van een ,ongedempte slinger kan in een tweedimensionale
toe-standsruimte, met toestanden snelheid en uitwijking warden weergegeven
(zie figuur 2.1): bepaalde vaste combinaties van de twee toestanden komen
steeds terug; de slinger zal zich over een van de concentrische ern/peen
bewegen.
Bij een gedempte slinger zal de amplitude van de slingeringen afhemen tot de slinger stil hangt. De spiraalvormige krommen in figuur 2.1 convergeren naar het evenwicht in het midden van het toestandsvlak. Het punt wordt de attractor van het systeem
genoemd-Een attractor is een verzameling punten in de toestandsruimte, die door de baan van een dynamisch systeem asymptotisch wordt benaderd: het systeem wordt als het ware aangetrokken door de attractor en zal uiteindelijk in de toestand of toestanden terechtkomen, die de attractor in de toestandsruimte
aangeeft.
Elk systeem dat energie uitwisselt met de omgeving, een dissipatief
sys-teem, heeft een attractor. Bij de ongedempte slinger - een conservatief
systeem - bestaat geen attractor, de toestand van het systeem evolueert niet naar een bepaald evenwicht.
De attractor kan puntvormig zijn zoals bij de gedempte slinger. Een geiso leerde staaf met een niet-homogene temperatuurverdeling heeft oak een punt-vormige attractor: na verloop van tijd heeft de staaf een homogene tempera-tuurverdeling, een evenwicht bereikt.
Een attractor
kan
oak een periodieke baan doorlopen (limit cycle of perio-dieke attractor) of zelfs een chaotische, onvoorspelbare baan (vreemdeattractor). Een vreemde attractor
kan
alleen optreden in niet-lineairedynamische systemen met een dimensie groter dan twee OCasti, 1985].
In dissipatieve systemen met een vreemde attractor zijn alleen heden en verleden bekend, maar de toekomst niet. Een dergelijk systeem is zeer
gevoelig voor de beginsituatie.. Hoe dicht twee beginsituaties oak bij
elkaar in de buurt liggen, het gedrag van het systeem
kan
na korte tijdvolslagen enders zijn. Het systeem volgt een totaal andere baan door de
toestandsruimte.
In figuur 2.2 zijn een periodieke (links) en een vreemde attractor (rechts) weergegeven in een driedimensionale toestandsruimte. De figuren horen bij
dezelfde eenvoudige, niet-lineaire electronische oscillator ['Mullin, 19911,
Tig-uuY 2,1 Voorbeelden van toestandsruimten Kint, 19891
5-638-7 Jr gedempte &linger snefheid > uirtwiliktrig
De linker attractor geeft aan dat het systeem. onder bepaalde omstandigheden
een bean in de toestandsruimte periodiek doorloopt. De kromme is gesloten
en snijdt zichzelf niet.
De vreemde attractor wordt bijvoorbeeld na een verandering van lien an de
parameters doorlopen en is niet periodiek. Het systeem komt na verloop van tijd niet terug in de oorspronkelijke cyclus van toestanden. De ruimte, die gevuld wordt door de vreemde attractor, hoeft niet de hele toestandsruimte
te omvatten; in deze figuur vortht de vreemde attractor een !mart band.
2.3 Invloed van de tweed& hoofdwet van de thermodynamic&
Met het formuleren van de tweede hoof dwet van de thermodynamica in 1852'
kreeg men oog voor niet-omkeerbaarheid of irreversibiliteit, terwijl
daarvoor steeds uitgegaan was van de omkeerbaarheid van processen. Het
belangrijkste aspect van die wet is in systemen vindt altijd toename vah entropie (S), van wanorde plaats.
De entropietoename dS/dt is altijd positief of nul en is de som van de
entropietoename ten gevolge van de processen in het systeem (d/S/dt, altijd positief of nul) en van de entropietoename ten gevolge van uitwisseling van
energie tussen systeem en omgeving (1,S/dt, positief, negatief of nul).
Hoogwaardige energievormen boeten bij omzetting in aan kwaliteit ten gevol= ge van wrijving en warmteverliezen.
In formulevorme
as
= dE+ da
dt dt dt
Uit het altijd toenemen van entropie volgt een belangrijke conclusie: de
tijd kan nog maar in een richting verlopen, de richting van toenemende
entropie.
Bij reversibele processen hebben elle toestanden dezelfde entropie. Er is
dan voor geen enkele toestand voorkeur. Dit betekent dat de overgang van een begintoestand naar elke eindtoestand en de weg terug equivalent zijn. Terugkeer in de tijd is bij een irreversibel systeem onmogelijk, want het zou een afname van entropie betekenen, hetgeen in tegenspraak is met de
tweede hoofdwet.
De tweede hoofdwet betekent een "streven" naar uniformiteit, naar
vermin-deren van onderscheid binnen een systeem, een evolutie naar tthermisch) evenwicht.
Figuur 2,2 Een periodieke en een vreemde attractor in een driedimensio
nale toestandsruimte (Mullin, 19911
pond dezelfde tijd wordt men, zich echter ook steeds meer bewust van het evolueren van sociale en biologische systemen naar hogere organisatievor-men. Charles Darwin (1809 - 1882) formuleerde in 1859 in "On the origin of
species by means of structural selection" het ontstaan van steeds beter
georganiseerde, ingewikkeldere vormen van leven, waarin minder wanorde
voorkomt.
Dit lijkt in tegenspraak met de tweede hoofdwet, maar kan eenvoudig
verklaard worden. In een systeem (bijvoorbeeld een diersoort en de omge-ving) moet de entropie altijd toenemen (dS/dt > 0). De diersoort kan door evolutie een hogere organisatievorm met minder wanorde, dus een lagere
entropie, krijgen door entropie af te geven aan de omgeving (dA/dt < De entropie van het hele systeem neemt echter toe.
Voor onderzoek naar de stabiliteit van systemem kunnen gegeneraliseerde
krachten en fluxen worden beschouwd. Een kracht kan zijn een temperatuur-gradient, een flux de daardoor veroorzaakte warmtestroom. De entropiepro-duktie P = d/S/dt kan berekend worden als produkt van de gegeneraliseerde krachten en fluxen. Op grond van die entropieproduktie P onderscheidt men drie gebieden [Prigogine, Stengers, 19841.
Tvenwicht
In evenwicht zijn krachten, fluxen en de entropieproduktie P nul. Evenwicht is de toestand van maximale entropie S. Die maximale entropie fungeert als puntvormige attractor voor een niet-evenwicht situatie
Ouasi-evenwicht
In quasi-evenwicht zijn de krachten zwak, de fluxen lineaire functies van de krachten en de entropieproduktie P klein (Prigogine, Stengers, 1984)1. De attractor van quasi-evenwicht systemen blijkt P zelf te zijn. flit betekent <tat systemen in quasi-evenwicht tenderen naar een minimale entropieprodukr
tie.
Als, het systedm niet in een evenwichtstoestand kan komen, dan gaat het naar een toestand die daar het dichtst bij in de buurt komt. Vanwege de entro-pieproduktie blijven dissipatieve processen een rol spelen.
"Verrrvanevenwicht
In systemen ver-van-evenwicht zijn de fluxen niet-lineaire functies van de
krachten (Prigogine, Stengers, 1984). Tot op heden is geen uitdrukking
gevonden voor de entropieproduktie. Ver-van-evenwicht kan een systeem wel near een stationaire toestand evolueren, maar die wordt beschreven door een periodieke of een vreemde attractor.
Uit bijlage A blijkt dat voor systemen ver-van-evenwicht, in het
niet-lineaire gebied, de regels over stabiliteit en robuustheid voor verstorin-gen binnen het systeem of uit de omgeving zeer moeilijk te definieren zijn.
Door het veranderen van een parameter, bijvoorbeeld ten gevolge van een
storing, kan het systeem een zogenaamd bifurcatiepunt passeren, waarna het kwalitatief ander gedrag vertoont. Voor het bifurcatiepunt kan een perio-dieke attractor het gedrag beheersen na het bifurcatiepunt kan een vreemde
attractor het gedrag beheersen.
In de buurt van een bifurcatiepunt is een systeem extreem gevoelig voor
verstoringen, die door interne processen veroorzaakt warden, en voor
externe verstoringen. Bij het bifurcatiepunt "kiest" een systeem uit een aantal mogelijke evoluties, stabiel of instabiel. De keuze wordt mede
bepaald door verstoringen die net optreden op het moment dat het bifurca-tiepunt bereikt wordt. De keuze is echter onvoorspelbaar.
Een systeem hoeft niet een bifurcatiepunt te hebben. Naarmate een systeem ingewikkelder wordt, kunnen er meer bifurcatiepunten zijn.
De structuren, die kunnen ontstaan bij systemen ver-van-evenwicht, warden dissipatieve structuren genoemd. Voor de duidelijkheid: in quasi-evenwicht
is wel sprake van dissipatie, want er is steeds entropieproduktie, maar niet van dissipatieve structuren, want er treden geen bifurcaties op.
Een systeem na een bifurcatie heeft een lagere entropie dan voor een
bifurcatie; er is meer orde (Feistel, Ebeling, 1989]. Dit is in
overeen-stemming met de theorie van Darwin. De energie in het systeem na de
bifurcatie is van hoger gehalte, er is entropie afgegeven aan de omgeving.
2.4 Hierarchie in complexe systemen
Simon (1969) geeft aan dat complexe systemen kunnen ontstaan ali ze
hierarchisch zijn opgebouwd. Een hierarchisch systeem is een systeem dat een organisatievorm heeft, waarin elk subsysteem onder den subsysteem van
het hogere niveau valt.
Simon geeft voor het begrip voor het ontstaan van complexe structuren een parabel over twee horlogemakers, Tempus en Hora. Beiden maken dezelfde
horloges die uit duizend onderdelen bestaan.
Voor het maken van een compleet horloge moet Tempus alle duizend onderdelen samenvoegen. Hora maakt stabiele groepjes van tien onderdelen. Tien van deze groepjes voegt hij samen tot een subsysteem van honderd onderdelen en
tien van die sybsystemen vormen het complete horloge. Bij tussentijds
stoppen valt een werkstuk uit elkaar en moet er overnieuw warden begonnen. Als de kans op onderbreken van de werkzaamheden tijdens het assembleren van een onderdeel 0,01 is, dan maakt Hora 4000 maal zoveel horloges als Tempus.
De strekking van deze parabel is de volgende: complexe systemen zullen veel
smeller ontstaan als er stabiele tussenvormen bestaan dan als er geen stabiele tussenvormen zijn. De complexe systemen die ontstaan zijn
hierar-chisch. In de terminologie van de thermodynamica betekent dit:
Een complexere, hierarchische structuur kan ontstaan wanneer een
bifurcatiepunt gepasseerd wordt.
Net ontstaan van complexere en meer geordende structuren (minder
entropie) betekent dat de oorspronkelijke subsystemen entropie
afstaan aan de omgeving.
In een complex hierarchisch systeem komen veel interacties voor tussen
verschillende subsystemen, maar toch blijkt dat de systeemmatrix bijna als een diagonale matrix beschouwd kan warden: het systeem is zwak gekoppeld.
De interacties tussen subsystemen zijn klein ten opzichte van de
interac-ties binnen subsystemen.
Veel systemen, die door de mens als complex warden ervaren, hebben een
hierarchische structuur en de subsystemen vertonen veel minder interacties dan het maximaal mogelijke aantal. Misschien onttrekken complexe systemen, die niet hierarchisch zijn, zich aan het waarnemingsvermogen van de mens.
2.5 Wat is complexiteit in technische systemen?
Voor het voorkomen van steeds complexere technische systemen worden de volgende redenen aangevoerd [Scuricini, 1988; Stassen, 1992):
Betere materialen laten grotere krachten en fluxen toe, met alb
gevolg grotere versterkingsfactoren in systemen.
Het aantal terugkoppellussen neemt toe ten gevolge van de toename van het aantal verbindingen in systemen. Meer verbindingen kunnen een uitvloeisel zijn van scherpere veiligheids- of milieu-eisen.
De grote vlucht die informatieverwerking heeft genomen heeft het
mogelijk gemaakt zeer ingewikkelde regelstrategieen toe te passen.
Wat is complexiteit? Men zou kunnen denken dat complex ingewikkeld is. "Complexity is an obstacle to comprehension" [Meyer, 1988].
Een andere omschrijving geeft Scuricini [1988].
"Complex systems are the ones to
which
the newtonian paradigma does notapply". Complexe systemen kunnen niet met klassieke dynamica beschreven
worden.
De meeste definities benadrukken echter twee elementen: een complex systeem heeft veel onderdelen, die veel interacties vertonen. De definitie van
Simon [1969] geeft dat duidelijk weer:
"A complex system is a system made up of el large number of parts that
interact in a nonsimple way."
Scuricini geeft behalve een definitie oak een opsomming van de bestanddelen die bijdragen aan de complexiteit van een systeem.
Grote aantallen: totaal aantal elementaire componenten.
Diversiteit: aantal verschillende soorten componenten. Hierin most op grand van subjectieve overwegingen worden aangegeven wanneer twee componenten van een verschillende soort zijn.
Type componenten: hierin zit besloten welke functie door een bepaal-de component vervuld kan warbepaal-den.
Organisatie: meten van organisatie is moeilijk; vaak wordt in
complexe installaties gekeken naar efficientie ten aanzien van een belangrijke variabele, bijvoorbeeld door te kijken naar
CO2-uit-stoat.
S-638-11
,
etile
/ 41-
f
Uitgebreider dan Scuricini somt Perrow [1984] een aantal eigenschappen op
die complexe technische systemen wel en eenvoudige systemen niet of in
mindere mate hebben:
Eioenschappen complexe technische systemen
I. Onderdelen noodzakelijkerwijs dicht bij elkaar.
Gekoppelde stappen in processen in een vaste volgorde, geen andere manier cm het doel te bereiken, weinig tijd om fouten te herstellen. Defecte componenten niet te isoleren; het hele proces wordt
bein-vloed door een storing.
Gespecialiseerd personeel nodig, uitwisselbaarheid beperkt.
Onbedoelde en onvoorziene terugkoppelingen.
Veel parameters worden door regelingen beinvloed, risico voor (onbedoelde) interact ies.
Informatie over een systeem wordt vaak op indirecte wijze verkregen. Noodzaak voor een bepaalde grondstof, geen buffervoorraad achter de
hand te hoyden_
Perrow analyseert een groot aantal ongevallen aan de hand van complexiteit en onderscheidt daarbij twee variabelen: interactie en koppeling. Als 'den
van beide toeneemt, wordt de complexiteit groter.
Perrow meent dat in complexe systemen grote ongelukken onvermijdelijk zijn: meestal zullen enkelvoudige storingen optreden, maar onbedoelde, onvoor-ziene, onvoorspelbare, onverklaarbare en misschien gevaarlijke interacties
van meerdere (misschien op zichzelf maar kleine) storingen of defecten zullen onvermijdelijk leiden tot een ongeluk ale in Harrisburg.
Zo'n ongeluk noemt hij een 'normal accident', een ongeluk dat niet
veroor-zaakt wordt door een falende operator, een constructiefout of slechte
onderdelen,
maar door de
inherent aanwezige complexiteit. Een defecteafsluiter in een eenvoudig systeem leidt niet tot een ernstige ongeval, een defecte afsluiter in een complex systeem kan een ramp veroorzaken.
-111:s1
0-11n Naarmate de koppeling strakker is of naarmate er meer
interacties zijn, is de kans om een storing of fout te herstellen kleiner. Een storing in een
LP vliegtuig kan binnen enkele seconden onherstelbaar zijn. Een "storing"
titAP
binnen een universiteit, een complex onderwijssysteem, kan mogelijk na een
aantal dagen of weken nog hersteld worden.
Perrow geeft op grond van de mate van interactie en koppeling een indeling voor de organisatie van systemen in vier kwadranten:
Eenvoudige interactie, strakke koppeling (stuwdam,
elektriciteits-distributie, vliegtuig).
Gecentraliseerd gezag, bijvoorbeeld in de vorm van procedures, cm snel in te grijpen in een systeem dat een kleine reactietijd
toe-laat.
Complexe interactie, strakke koppeling (DNA-onderzoek,
kerncentra-les, chemische fabrieken).
Gecentraliseerd gezag om zonder vertraging in te grijpen in strak
gekoppelde systemen, gedecentraliseerd gedrag om at te wijken van vaste procedures bij niet-voorziene en om originele oplossingen
vragende storingen.
Eenvoudige interactie, losse koppeling (postkantoor, motorvoertuig). Gecentraliseerd of gedecentraliseerd gezag mogelijk vanwege losse koppeling, storingen kunnen van boven en van onder aangepakt warden.
4. Complexe interactie, losse koppeling (universiteit, overheidsinstel-lingen). Gedecentraliseerd gezag om interacties en losse koppeling te stimuleren: mensen kunnen dan informele wegen vinden.
Ruwweg komt het hierop neer: dear waar routinetaken een rol spelen la
gecentraliseerd gezag mogelijk, dear waar niet-routinetaken een rol spelen is gedecentraliseerd gezag nodig. De systemen in kwadrant 2 stellen tegen-strijdige eisen, wat de kans op een niet-optimale organisatie bijk een
bepaalde storing vergroot en dus de kans op ongelukken vergroot.
Overigens wordt in de systeemleer de term koppeling gebruikt voor statische interactie en de term interactie voor dynamische en statische wisselwerking (Stassen, 1992]. De term interactie zal hierna veer dynamische en statische
verbanden gebruikt worden.
De omschrijvingen van complexiteit van Simon, Scuricini en Perrow geven de
grote aantallen componenten en de ingewikkelde interacties als de twee
belangrijkste aspecten van complexiteit.
Casti [1986] beschouwt subjectiviteit ale extra aspect: complexiteit komt pas tot uiting ale er interactie plaatsvindt tussen twee systemen, bijvoor= beeld een complex technisch systeem en een waarnemer. In het algemeen is de
interactie tweerichtingsverkeer.
Casti onderscheidt twee soorten complexiteit: de complexiteit die het
systeem voor de waarnemer toont, de ontwerpcomplexiteit (design complexity) en de complexiteit die de waarnemer voor het systeem toont, de regelcom-plexiteit (control complexity),
Gottinger 1,1983) geeft de Nolgende definities:
"Design complexity is the complexity number associated with the transformation process in which full use of the system potential is
made.
"Control complexity is the complexity number which keeps the entire system or at least part of it under complete control."
Het beheersen van een complex systeem kan bereikt worden door de ontwerp-complexiteit zo te verlagen en/of de regelontwerp-complexiteit zo te verhogen dat
beide vormen van complexiteit gelijk worden [Casti, 19861.
Om dat te
bewerkstelligen, meet er een methode zijn om deze twee vormen van complexi= teit te bepalen. Een algemene methode daarvoor is er nog niet.
Een waatnemer is in het algemeen in staat om van een systeem meerdere
beschrijvingen te geven. Een systeem wordt door een waarnemer ale complexer
S-638-13
ervaren naarmate hij meer niet-equivalente, dus kwaIiiatief verschillende, beschrijvingen kan bedenken. Equivalent wordt in de matrixrekening ale
volgt omschreven: twee matrices zijn dan en slechts dan equivalent ale de rang van de matrices gelijk is.
Voor een waarnemer van een complex systeem is equivalentie van beschrijvin= gen niet zo eenvoudig te bepalen als de rang van een matrix. Een ervaren waarnemer kan meer orde aanbrengen in de verschillende beschrijvingen dan een onervaren waarnemer; hij kan op een hoger abstractieniveau verschillen
de beschrijvingen ale equivalent bestempeleri.
Twee systeembeschrijvingeh voor en na een bifurcatie zijn, kwalitatief
verschillend en zouden in matrixterminologie verschillende rang hebben en dus niet-equivalent zijn. Een systeem met meer bifurcaties kent derhalve meer niet-equivalente beschrijvingen en due een hogere complexiteit. Het systeemgedrag na een bifurcatie is kwalitatief enders dan voor de
bifurca-tie.
_
.2.4 Meten van complexiteit
Technici willen altijd graag een kwantitatieve waarde kunnen toekennen aan een variabele. Doel van het meten van complexiteit is om bij toenemende
complexiteit nieuwe problemen op gebied van spontaan gedrag, ontwerp, be-drijfsvoering, veiligheid en regeling van processen aan te kunnen pakken.
Complexiteit is vanwege subjectiviteit moeilijk te meten. Een bedieningspa-neel van een chemische installatie is voor een leek uitermate complex, voor een ervaren bedienaar niet. Daarnaast wordt het meten van complexiteit ook bemoeilijkt door het voorkomen van vele niet-lineaire vergelijkingen, die
het systeem beschrijven.
Meten van complexiteit zou wellicht tot redelijke resultaten kunnen leiden door de vier afzonderlijke bestanddelen van Scuricini (paragraaf 2.5) te
meten. Een groat aantal componenten hoeft Overigens niet op een complex
systeem te wijzen. Misschien geeft een goede kwalitatieve beschrijving wel
een betere indruk van de complexiteit.
Wellicht meet men zich voorlopig beperken tot het meten van complexiteit in specifieke situatiesip het bepalen van een algemeen geldend meetprincipe is
toekomstmuziek.
3. MENS IN COMPLEXE SYSTEMEN
(R)evolutie van tens-machine SiStemen
be interactie tussen mens en machine is langzaam gedvolueerd. Eerst handel-de handel-de mens op grond van directe waarneming van een proces door midhandel-del van gehoor, zicht en test. Met het groter worden van systemen ontstond behoefte aan instrumentatie: eerst kwamen er meters op de systemen zelf, later
gecentraliseerd, bijvoorbeeld op een controlepaneel. Lange tijd werd zo
elle informatie gepresenteerd: elke meter gaf een indicatie. be bedienaar beinvloedde zelf de variabelen, hij beyond zich als regelaar in een kring.
Vanaf de jaren veertig van deze eeuw echter werden de eisen hogerz men
moest rekening gaan houden met de beperkingen van de mens. Is de
presen-tatie van alle beschikbare informatie wel een waarborg voor optimale
prestaties van de mens in een proces met een groot aantal snel veranderende variabelen? Met de komst van de computer als hulpmiddel bij procesvoering ontstond de mogelijkheid (en moeilijkheid) van een bijna onuitputtelijke informatiestroom near de bedienaar. Keuzes moesten gemaakt worden welke informatie op een bepaald moment van belang was en welke niet.
In de jaren veertig, vijftig en zestig heeft het onderzoek zich toegespitst
op kwantitatieve beschrijvingen van de mens, die als een systeem werd
voorgesteld. Veel aandacht werd besteed aan analogieen met computers: het
brein van de mens ken een aantal bits per seconde verwerken en had een
bepaalde opslagcapaciteit.
Een andere groep modellen, die voornamelijk golden voor zeer specifieke
situaties als continu volgen van een bepaalde variabele, kwam uit de
servotechniek.
Het werd steeds duidelijker dat geen algemeen geldend kwantitatief model van het menselijk gedrag gemaakt zou kunnen warden vanwege de cognitieve, psychische en fysiologische eigenschappen van de mens, die moeilijk
allemaal te kwantificeren zijn. bat resulteerde vanaf begin jaren zeventig in een aantal kwalitatieve modellen.
Elkind (1990] geeft aan dat het combineren van elle bestaande kwantitatieve en kwalitatieve modellen in een soort megamodel voorlopig niet haalbaar is.
De overlappen in modellen of juist de gaten tussen modellen zijn nog te
groot. Bovendien moet betwijfeld worden of de huidige generatie computers een dergelijk megamodel aan zou kunnen.
be taak van de mens is langzaam verschoven van fysieke bedienaar (bijvoor-beeld kleppen bedienen) naar supervisor van een proces, waarin de computer veel handelingen uitvoert.
En de computer zal steeds meer taken uit gaan voeren, noewel de mens.,
bijvoorbeeld als bedienaar, maar ook ale ontwerper of als manager, eindver=
antwoordelijk zal blijven.
Voor een optimaal. ontwerp van de mens-machine interface, wat een integraal
S-638-15 3.1
deel van het systeemontwerp moet zijn, moeten de capaciteiten en
beper-kingen van de mens en de computer bekend zijn. Alleen dan is een goedE
taakafbakening tussen mens en computer mogelijk.
Daartoe zijn goede modellen van het menselijk gedrag nodig. In de volgende paragrafen komen drie belangrijke kwalitatieve modellen aan de orde.
3.2 Supervisory control model Sheridan
In veel processen in electriciteitscentrales, chemische fabrieken, intent sive care, lucht- en scheepvaart speelt de mens de rol van supervisor van een geautomatiseerde installatie. Sheridan beschrijft een model voor het gedrag van de mens als supervisor, waarvoor hij de volgende definitie geeft
[Sheridan, 1976]:
"Supervisory control is control by a human operator of a computer which at a lower level is controlling a dynamic system. In such systems, the compu-ter control normally operates continuously or at high data rates in loops closed through electromechanical sensors and motors. By contrast, the human operator normally signals or reprograms the computer intermittently or at a
much slower pace. The human operator handles the higher level tasks and
determines the goals of the overall system."
In het oorspronkelijke model onderscheidde Sheridan vier verschillende rollen voor de supervisor, later voegde hij daar een vijfde rol aan toe
[Sheridan, 1988]. In figuur 3.1 staat het model weergegeven. Plan
Plannen is bedenken wat er moet gebeuren, bijvoorbeeld om een ongewenste
situatie te voorkomen. Het gebeurt in een tempo dat door de supervisor
bepaald wordt. Hulp van een computer is mogelijk, maar niet noodzakelijk.
Teach
Onderrichten houdt in: aan de computer vertellen wat die gedurende een
bepaald tijdsinterval moet doen.
> PLAN what to have the system do
--).-TEACH the computer about objectives, conditions, action
I
steps, sensory function, contingencies
I AUTOMATIC
MONITOR EXECUTION
INTERVENE
if
necessary to control, reinstructLEARN from experience
Figuur 3.1 Vi t rollen bij supervisory control en hun samenhang
[Sheri-dan, 1988]
S-638-16
1-Monitor
Controleren wil zeggen: automatisch uitvoeren van taken door de computer in de gaten houden en attent zijn op het optreden van afwijkende toestanden
(of situaties die daartoe zouden kunnen leiden). Intervene
Intervenieren is het onderbreken van de automatische taakuitoefening door de computer of het geven van nieuwe instructies.
Learn
Leren wil zeggen: ervaring opdoen bij het optreden van onbekende situaties en het begrijpen van de uit te voeren taken.
Bij supervisie staat de mens buiten de regelkring, een computer neemt de regeling van een proces voor zijn rekening. Het is evident dat in proces-sen, waarin veel variabelen geregeld moeten worden, waarvan sommige met kleine tijdconstantes, de mens niet meer alle variabelen zelf kan regelen. Gebruik maken van de mogelijkheden van een computer voor de routinetaken is een noodzaak. De taak van de mens omvat vooral het halen van het gestelde
doel en het waar nodig ingrijpen in het proces, bijvoorbeeld bij een
storing.
3.3 Skill-, rule-, knowledge-based behavior model Rasmussen
Het skill-, rule-, knowledge-based behavior model van Rasmussen (1983)
beschrijft gedrag van een supervisor in een mens-machine systeem op drie niveaus (zie figuur 3.2).
GOALS KNOWLEDGE -BASED sE HAviOuR RULE - BASED BEHAVIOUR SKILL - BASED BEHAVIOUR. IDE NT! -F 'EATON DECISION OF TASK PLANNING SYMBOLS FEATURE FORMATION
44
S-638-17 ASSOCIA-TION STATE /TASK (SIGNS) STORED RULES FOR TASKS AUTOMATE() SENSOR MOTOR PAT TERNSFiguur 3.2 Drie prestatieniveaus van operators (Rasmussen, 1983)
SIGNS RECOG -NOON V SENSORY INPUT SIGNALS ACTIONS 43. 4. S.
-Skill-based behavior is gedrag dat vanwege de ervaring van de
operator automatisch wordt uitgevoerd op basis van de aangeboden
informatie. Dit gedrag komt voornamelijk voor bij eenvoudige, routi-nematige taken. Een voorbeeld is het op hoogte houden van een
sport-vliegtuigje.
Rule-based behavior is gebaseerd op regels en procedures. Door
herkenning van tekens wordt een verband gelegd met een uit te voeren actie. Een voorbeeld is een noodstopprocedure van een kerncentrale.
Knowledge-based behavior is gebaseerd op kennis en maakt gebruik van symptomen. De kennis van het systeem wordt gebruikt om in onbekende situaties, waarvoor geen regels bestaan, een actie te bedenken.
Er is niet altijd een scherp onderscheid tussen de drie categorieen. Een operator zal gedrag op een hoger niveau vertonen naarmate zijn bekendheid met het systeem of een specifiek probleem kleiner is; het gedrag is afhan-kelijk van de toestand van het systeem. Routinetaken worden nagenoeg auto-matisch uitgevoerd op skill-based behavior niveau, een operator zal vaak niet kunnen vertellen hoe hij een taak precies uitvoert. Ingewikkelde en onbekende storingen vereisen knowledge-based behavior.
Opdoen van kennis over een systeem verloopt in de richting van knowledge-naar skill-based behavior: het systeem is eerst onbekend, elks taak is
nieuw. Later worden taken bekender en minder ingewikkeld; het gedrag van de operator daalt naar rule- of skill-based behavior.
Rasmussen beschrijft in hetzelfde artikel vijf abstractieniveaus (figuur
3.3). Afhankelijk van de toestand van het systeem en de ervaring van de
supervisor zal er naar het systeem gekeken worden vanaf een bepaald
abstractieniveau. De operator moet kunnen overgaan van een hoger naar een
lager abstractieniveau (en omgekeerd).
FUNCTIONAL PURPOSE
PRODUCTION FLOW MODELS.
CONTROL SYSTEM OBJECTIVES ETC.
ABSTRACT FUNCTION
CAUSAL STRUCTURE. MASS. ENERGY
INFORmATION FLOW TOPOLOGY. ETC.
GENERALISED FUNCTIONS
°STANDARD' FUNCTIONS PROCESSES,
CONTROL LOOPS, NEAT-TRANSFER. ETC.
PHYSICAL FUNCTIONS
ELECTRICAL. MECHANICAL. CHEMICAL PROCESSES OF COMPONENTS AND EQUIPMENT
PHYSICAL FORM
PHYSICAL APPEARANCE AND ANATOMY.
MATERIAL FORM. LOCATIONS. ETC.
Figuur 3.3 Vijf abstractieniveaus, waarop een supervisor een systeem kan
beschouwen [Rasmussen, 1983]
Tabel 3.1 Verband tussen gedrag en taken [Stassen, 1990], verbeterde
versie
functionele doel: doel van systeem als geheel;
abstracte functie: causale structuur van systeem, bijvoorbeeld met
behulp van massa- of energiestromen;
gegeneraliseerde functie: functionele relatie onafhankelijk van
fysieke uitvoering, zoals bijvoorbeeld warmteoverdracht, regelkring; fysieke functie: functioneren van de fysieke componenten in bijvoor-beeld mechanische en chemische processen;
fysieke vorm: vorm en pleats van componenten.
Ale een systeem normaal functioneert en het gewenste eindprodukt levert, zal de operator op een hoog abstractieniveau naar de installatie kijken. De
operator onderscheidt dan weinig niet-equivalente beschrijvingen. Het
systeem is dan niet complex voor de operator.
Bij optreden van storingen kart de operator niet op een hoog abstractieni-veau blijven. Het doel van het systeem, leveren van een bepaald eindpro-dukt, wordt misschien nog wel gehaald, maar er functioneert een component
of een subsysteem niet optimaal. Hij meet afdalen (waarvoor geschikte beeldschermpresentaties beschikbaar moeten zijn) naar een lager niveau om de oorzaak van de storing te zoeken of verslechtering van de toestand te
voorkomen.
Op een lager abstractieniveau zijn meer niet-equivalente, kwalitatief
verschillende beschrijvingen te formuleren: het systeem lijkt complexer.
De modellen van Sheridan en Rasmussen vertonen overeenkomsten: de drie
lussen van de supervisietaak komen overeen met de drie niveaus van
Rasmus-sen.
In de binnenste lus controleert de mens de goede taakuitoefening door de computer. Dit is een routinetaak voor de supervisor, wat overeenkomt met
skill-based behavior.
In de middelste lus grijpt de mens in op de computergestuurde regeling op grond van aangeleerde regels (uit ervaring, handboeken). Dit is rule-based
behavior.
In de buitenste lus vertoont de supervisor knowledge-based behavior.
Daarbij besteedt hij aandacht aan doelstellingen van het systeem en aan
probleemoplossing.
In tabel 3.1 is het verband tussen de twee modellen weergegeven (Stassen, 1990]. Het aantal sterren geeft aan van hoeveel belang een bepaalde relatie in de tabel is. SEE, ABB en KBB zijn de afkortingen voor skill-, rule-, en
knowledge-based behavior. S-638-19 Human Operator Human Task Behavior Intervening Manual Control Supervisory control Interpreting Monitoring Teaching Fault 'Management Planning Optimization MB RBB
*It
I--Intern Model.
De menselijke supervisor is alleen in staat op een goede wijze zijn taak tilt te voeren als hij kennis heeft van de statische en dynamische eigen-schappen van het proces, van de taak die hij moet uitvoeren en van de statistische eigenschappen van de verstoringen die hij moet compenseren, dat wit zeggen als hij een interne representatie heeft van het systeem.
Moray [1990] definieert een interne representatie als volgt:
"A mental model is simply a model which is stored and used in the brain of An operator."
net model dat een onderzoeker maakt van die interne representatie noemt men het interne model OStassen, Johannsen, Moray, 1988].
De interne representatie heeft zeker bij complexe systemen een minder inge= wikkelde structuur dan het echte systeem, van het echte systeem afwijkende parameters, onvolledige kennis van de verstoringen en een beperkte nauwkeu=
righeid voor het waarnemen van gegevens.
Het doel van de interne representatie is mede om goede voorspellingen te kunnen doen. Die voorspelling kan benut warden voor een regelactie, die een ongewenste toestand voorkomt - in een technisch systeem bijvoorbeeld sn meltdown van een reactorkern, in een ecologisch systeem bijvoorbeeld het uitsterven van een walvissoort. Verschil tussen voorspeld en geobserveerd
gedrag kan een reden zijn om de interne representatie bij te stellen.
Het doel van een goede regelkamer is om de operator zo lang mogelijk in de
voorspellende mode te houden [Norros, Rukka, Wahlstrdm, 1982]. Ala de
operator niet meet kan voorspellen, omdat zijn interne representatie
net
meet aansluit (ingewikkelde storing, onervaren operator, even in sleepgevallen), dan moet hij overgaan tot terugkoppeling; hij kan
dan &dean
reageren op fouten die al opgetreden zijn: hij loopt achter de feiten aan. Dit is voor eenvoudige technische systemen meestal niet erg, maar voorcom-plexe vaak wel.
Men is erin geslaagd om redelijk tot goede atodellen van skill- en rule-based behavior te maken. Betrouwbare modellen van knowledge-based behavior zijn er nog niet. Het is de vraag of men ooit de manier van werken en den-ken van de mens op dat niveau in een model kan opnemen.
3.5 Discussiei
Complexiteit verhogend
nehalve de zaken die direct bijdragen aan complexiteit (grote aantallen componenten, veel interacties, subjectiviteit) zijn er veel aspecten die de complexiteit beinvloeden. Hieronder volgt een (niet uitputtend) overzicht.,
Beperkingen die door
lie
tijd warden opgelegd verhogen de complexitelt [Casti, 1986].
8-638-2a
3.4
3.5.1.
Len bepaalde tijdsdruk, die afwijkt van de normale werksnelheid
qbijvoorbeeld als plotseling een andere taak cm aandacht vraagt), verzwaart de organisatie van de taakuitvoering.
Bij optreden van dode tijd in een regelkring met terugkoppeling
wordt het moeilijker cm effecten van een regelactie van mens of
computer te onderscheiden van storingen, die tijdens de dode tijd op
het systeem inwerken.
Grote tijdconstanten maken een proces complexer fAttwood, 19747
Norros, Rukka, Wahlstrom, 19821.
Een systeem met grate tijdconstanten reageert langzaam op verstorin-en of regelacties. Net optredverstorin-en van everstorin-en nieuwe storing kan door het
uitdempen van een eerdere regelactie of verstoring heen lopen.
Derhalve meet een operator verschijnselen in het systeem ten gevolge van een storing kunnen onderscheiden van verschijnselen ten gevolge van een regelactie; dit vereist knowledge-based controle van
rule-based gedrag [Olsen, Rasmussen, 19890.
Wanneer een operator geen terugmelding krijgt van zijn prestatie, wordt hij onzekerder en ervaart hij het proces als complexer
(At-tweed, 1974].
Onzekere en moeilijk interpreteerbare data kunnen de zomplexiteit Nerhogen [Woods, 19881.
Data kunnen onzeker zijn door externe gebeurtenissen, indirecte
meetmethoden (het waterniveau in het expansievat in Harrisburg wordt
bepaald aan de hand van de druk, zie hoofdstuk 1), processen die
moeili5k te doorzien zijn, zoals sommige chemische processen. Soma moeten belangrijke variabelen geschat warden [Attwood,1974]. Data
kunnen moeilijk interpreteerbaar zijn, bijvoorbeeld door
niet-lineariteiten en tijdvertragingen.
Ss. De fysieke afstand tussen proces en operator is groots bet proces
vaak
onzichtbaar-De operator kan niet even snel kijken of de temperatuur in de
reactorkern echt te hoog is en of er echt radio-actief water geloosd wordt, omdat de controlekamer alleen beschikt over sensorinformatie en zich op een centrale plaats in de installatie bevindt.
SIDE. De mentale afstand tussen proces en operator wordt door verdergaande
automatisering grater. Maar vanwege de toenemende complexiteit meet de operator steeds meer weten van taak, proces en verstoring om goed te kunnen ingrijpen [Rasmussen, 1974].
Bij supervisory control voert de computer meer taken uit, zodat de operator minder direct bij het regelen van variabelen is betrokken.
Net risico bestaat dat de operator zo ver van het proces komt te
staan, dat hij niet of te langzaam problemen zal onderkennen en
oplossen, terwijl bij zeer complexe processen het voorkomen van een
p -638 -21
8.638-22
normal accident' uitermate belangrijk
6. Het maken van een verkeerde keuze door een operator kan zeer
ernsti-ge ernsti-gevolernsti-gen hebben. Deze druk, een vergroot risicon verhoogt de
complexiteit (Woods, 1988; Olsen, Rasmussen, 1989).
Een beslissing, die vaak in zeer korte tijd genomen Mdet wokden,
heeft bepaalde "kosten" (in de breedste zin van het woord). Het meewegen of de kosten aanvaardbaar zijn en de angst dat een foute
beslissing ernstige gevolgen kan hebben zijn complicerende factoren.
Operators hebben weinig ervaring met situatieS4 die een zeer kleind
kans van optreden hebben.
In voorziene en onvoorziene noodgevallen moet een operator zelf
terugkeren in het proces (piloot in een vliegtuig), terwijl hij dat slechts zeer zelden geoefend heeft of daadwerkelijk gedaan heeft. Voor de beste processen (weinig storingen) is goede training het hardst nodig, want daar heeft de operator de minste gelegenheid om
zijn interne representatie in de praktijk op peil te houden. Bij
trainingen komen overigens alleen de voorziene storingen aan bod, de onvoorziene kent niemand van te
voren-B. Onvoorziene storingen vereisen het overnemen van de ontwerptaak doer
de operator onder zware (tijds)druk (Olsen, Rasmussen, 19893.
Zeert onwaarschijnlijke storingen, die door de ontwerpers niet
voorzien zijn, moeten door de operator aangepakt worden, wat in het verlengde van de ontwerptaak ligt. Daartoe heeft de operator achter= grondinformatie nodig van systeem- en procedureontwerp.
9. De kens op adequaat ingrijpen kan verkleind worden door het ontstaan
van een hoge piekbelasting bij een operator ale na langdurig statio-nair bedrijf plotseling een ernstige storing optreedt. Trainingen
kpnnen dit maar ten dele ondervangen.
1,5.2. Taskallocatie.mens-computer
Een belangrijke vraag is: hoe ver moet de automatisering worden
doorge-4
voerd, hoe moeten de taken tussen mens en computer verdeeld wordenf
De bestaande automatisering
voert de meeste taken op het
skill-basedbehavior niveau zonder problemen uit- Taken zijn eenvoudig in algorithmem
te omschrijven.
Taken op het rule-based behavior niveau kunnen deels worden overgenomen door computers. Regels in de vorm van IF-THEN statements opgesteld door ervaren operators en/of ontwerpers kunnen worden ondergebracht in een
expertsysteem. Expertsystemen bevatten in aanleg this kennis van van te
voren voorziene mogelijke storingen.
Het blindelings uitvoeren van xegels is edhter niet voldoende. Voor
quaat handelen op knowledge-based behavior niveau moet de supervisor crea-tief denken, logisch redeneren, inspelen op nieuwe situaties, kortom cogni-tieve vaardigheden bezitten. Behalve goede kennis van de procedures moet hij oak begrip hebben van de effecten van zijn handelen en van interne en externe invloeden. Met de steeds verdergaande automatisering verschuiven de taken voor de operator naar het knowledge-based behavior niveau, op moei-lijke storingen, waarbij computers maar beperkte hulp kunnen bieden.
De modernste adaptieve computerhulpmiddelen, die leren op geond van erva
-ringen, zoals blackboard-systemen en neurale netwerken (paragraaf 4.4),
kunnen misschien uitstijgen boven bet rule-based behavior niveau, maar
warden nog niet vertrouwd voor een volledig automatische regeling. Men
denkt in het algemeen dat alleen de mens cognitieve vaardigheden bezit. Overigens is het de vraag of het verbeteren van computerhulpmiddelen zal
leiden tot het beschrijven van knowledge-based behavior of tot het reduce-ren van (delen van) knowledge- naar rule-based behavior (Stassen, 1990).
Stassen doet een aantal suggesties voor onderzoek on het functioneren een supervisor op het knowledge-based behavior niveau te ondersteunen met
behulp van een computer:
procedures baseren op symptomen;
---gebruiken van predictieve displays;
gebruiken van expertsystemen bij fault management;
toepassen van technieken zoals multi level flow modeling, waarin meer nadruk op relaties tussen componenten ligt dan in huidige
beschrijvingen (paragraaf 4.4).
Van belang voor een goede taakafbakening is dat computer en miens de
capaciteiten en beperkingen van mens en computer kennen; ze moeten een
model van elkaar hebben. De afbakening hoeft niet statisch te zijn, maar kan varieren afhankelijk van de situatie. Verder moeten beslissingen van een computer transparant zijn, opdat de mens de "gedachtengang" kan volgen en eventueel kan ingrijpen.
Enkele aspecten die meespelen bij de toewijzing van taken zijn effectivi=, teit, betrouwbaarheid, werkdruk en job satisfaction [Sheridan, Johannsen,
1976].
Het voorkomen van verveling en het geven van voldoende inhoud aan het
takenpakket zijo belangrijk. Voorkomen most warden dat de operator bij een
storing onverwacht en slecht geinformeerd zijn positie ale supervisor moat
verlaten en in de regelkring de taak over moet nemen. De taken moeten
afwisselend en voldoende uitdagend zijn, een stuk eigen verantwoordelijk= heid vragen, de mogelijkheid tot "on the job learning" bieden en het gevoel
geven, dat het werk tot een nuttig doe]. leidt (Engelstad, 1974].
De gedachte, dat de kans op ongelukken in een complex systeem af kan nemen door verder automatiseren, is gevaarlijk. Mogelijk vergroot het verder
au-tomatiseren juist de kans op een ongeluk. Het risico bestaat, dat de
compu-ter in een onvoorziene omstandigheid - er is geen vaste procedure - domweg
een bestaande procedure kiest, bijvoorbeeld uit een expertsysteem,
5-638-21
