Ontwerprichtlijnen en concepten voor mens-machine interfaces van complexe processen

Rapportnummer : S 610i Datum: 2 april 1992

Schrijver E.F.T. BuieII .Aantal pagina's:. 57

Ontwerprichtlijnen en concepten

voor mens-machine interfaces

van

complexe processen

Literatuurstudie

Abstract

Bij het besturen van een complex proces wordt de processupervisor

ondersteund via de mens-machine interface (MMIF). Deze literatuurstudie beschrijft de wijze waarop de MMIF procesinformatie moet presenteren am de kans dat de supervisor bij de uitvoering van zijn taak fouten maalct zoveel mogelijk te verkleinen. Procesinformatie moet altijd correct worden weergegeven en moet zo worden gepresenteerd dat direct (met een kleine mentale inspanning) hetfunctioneren van het proces !can warden afgelezen

(de wijze waarop de procesdoelen worden gerealiseerd). De MMIF

gebaseerd op een multilevel flowmodel van het proces en de ecologische MMIF visualiseren het functioneren van het proces ieder op eat eigen wijze. Traditionele MMIF's gaan veelal niet verder dan het juist weergeven van de momentane procestoestand; deze visualiseren het funetioneren van het proc,es niet.

1

Samenvatting

Het beheren van een complex proces, bijvoorbeeld een

kemcentrale of ten

luchtverkeersleidingscentrum, is niet eenvoudig. In geval een dergelijk sterk geautomatiseerd proces sterk verstoord raakt door bijv. een calamiteit of een verkeerde ingreep moet de supervisor die dit proces vanuit een regelkamer bestuurt snel, maar accuraat het hoofd bieden

aan ingewikkelde koppelingen binnen dit proces en onzekerheid in de gepresenteerde

procesinformatie. Daar door de supervisor gemaalcte fouten veelal verstrekkende gevolgen hebben is het zeer belangrijk de kans op het ontstaan van dergelijke fouten te verkleinen door de supervisor optimaal te ondersteunen bij het uitvoeren van zijn taak.

Deze ondersteuning is te realiseren via de mens-machine interface (MMIF), het instrument ("een beeldscherm met bedieningsorgaan") waarmee de supervisor (a) de procesinformatie kan opvragen die hij nodig heeft om het proces te kunnen regelen en (b) 'can ingrijpen op het

proces. In de literatuur komt naar voren dat de bruikbaarheid van de MMIF voor de

supervisor staat of valt met de juistheid van de _{weergegeven procesinformatie. Daarnaast,} blijkt de wijze waarop die informatie wordt gepresenteerd van wezenlijk belang: wanneer procesinformatie zo wordt gepresenteerd dat direct (met een ldeine mentale inspanning) het functioneren van het proces is af te leiden, volgen aanwijzingen voor regelacties logisch en stijgt het vertrouwen van de supervisor in de MMIF. Een dergelijke weergave van het functioneren van het proces vergroot bovendien het inzicht van de supervisor in de werking van het proces en kan worden gebruilct om hypothesen over bepaalde situaties te verifieren.. Traditionele MMIF's doen veelal niet meer dan het correct weergeven van de momentane waarden van de procestoestandsvariabelen. In de literatuur worden echter ook twee interface-concepten beschreven die trachten dergelijke informatie op de hierboven beschreven wijze in te bedden in een weergave van het functioneren van het proces:

1) De IVIMIF gebaseerd op een multilevel flowmodel _{van het proces presenteert (de} samenhang tussen) procesmodellen op verschillende

abstractieniveaus op het

ii beeldscherm in een zg. means-end hierarchie. Door in deze hierarchie af te dalen van

het hoogste naar het laagste abstractieniveau Ian de supervisor afleiden

hoe de

procesdoelen worden gerealiseerd. Door vanaf het abstractieniveau waar een probleem is ontstaan op te klimmen naar het hoogste abstractieniveau kunnen de gevolgen van

dit probleem voor de procesvoortgang worden

afgeleid.

Tijdens de eerste

experimenten met een dergelijke MMIF bleken onervaren supervisors binnen korte tijd in staat een diepgaand inzicht op te bouwen in het functioneren van het door hen bestuurde complexe proces (Praetorius en Duncan, 1991). Oorzaak en gevolgen van binnen het proces gedetecteerde problemen werden zeer snel achterhaald.

De ecologische MMIF integreert de modellen op verschillende abstractieniveaus _van

de means-end hierarchie van het proces op een beeldscherm tot een

groot overzichtsmodel en wel op een zodanige wijze dat de supervisor het functionerenvan het proces af kan lezen zoals bij dat van nature gewend is. Met een op idit concept ,gebaseerde MMIF zijn nog nauwelijks experimenten uitgevoerd..

-Inhoudsopgave

Samenvatting 2

Scriptieopdracht 4

Welding

6

Een gedragsanalyse van de processupervisor 8

2.1 Het model voor menselijk gedrag van Rasmussen 8

2.2

Toepassing van Rasmussens model voor menselijk gedrag op de

processupervisor 11

Een overzicht van de door de processupervisor gemaakte fouten 14

3.1 Fouten gemaakt bij leer- en aanpassingsprocessen 14

3.2 Fouten ontstaan door interactie tussen regelschema's 15

3.3 Fouten ontstaan door een tekort aan geheugen, ervaring, kennis, etc. 16 3.4 Fouten ontstaan door stochastisch variaties in het handelen van de

processupervisor 17

Ontwerprichtlijnen voor mens-machine interfaces van complexe

processen 18

4.1 De hardware van de mens-machine interface 18

4.2 De software van de mens-machine interface 20

4.2.1

Richtlijnen ter verkleining van de kans op de bij

leer- en

aanpassingsprocessen gemaalcte fouten 20

4.2.2 Richtlijnen ter verkleining van de kans op door interactie tussen

regelschema's ontstane fouten 24

4.2.3 Richtlijnen ter verkleining van de kans op door een tekort aan

geheugen, ervaring, kennis, etc. ontstane fouten 25

4.2.4 Richtlijnen ter verkleining van de kans op door stochastische variaties in het handelen van de processupervisor ontstane

fouten 28

Concepten voor mens-machine interfaces van complexe processen 31

5.1 De een-sensor-een-indicator interface 31

5.2 De interface gebaseerd op een multilevel flowmodel van het complexe

proces 33 5.3 De ecologische interface 45 Conclusies 54

Literatuurlijst

56 Inhoudsop gave 3 1.. -.

....-...

. .

... .

. . . . . . ...

TU Delft

Technische Universiteit Delft

december 1991

Afstudeeropdracht voor de heer E.F.T. Buiel ICalorama 56

2132 RB Hoofddorp

Faculteit der Werktuiybouwkunde en Mardierne Techniek

Vakgroep Meet- en Regeltechniek

Binnen de sectie Mens- Machine Systemen van de vakgroep Meet- en Regeltechniek wordt onderzoek verricht naar het functioneren van de mens bij de supervisie van geautomatiseerde systemen. Voor een optimaal bedrijf van het geautomatiseerde proces dient het interface

tussen de menselijke supervisor en het proces zo good mogelijk aan de menselijke

capaciteiten aangepast te worden.

De taak van de menselijke supervisor wordt verzwaard door de hogere eisen die aan het functioneren van het mens-machine systeem wordt gesteld, maar ook door het verminderde contact van de supervisor met het proces. Zo wordt van de supervisor enerzijds verwacht dat Mi bij problemen in het bewaalcte systeem, adequaat reageert, d.w.z. de foutieve situatie onderkent, afdoende compenserende acties onderneemt, tot een juiste diagnose komt en de Lout corrigeert, maar anderzijds ontbeert hij de ervaring met het functioneren van het bewaakte proces in afwijkende omstandigheden.

Oplossing van deze problematiek zou kunnen liggen in het volledig automatiseren van de bewakingsfuncties; bij de huidige stand van de techniek is dit echter niet mogelijk. De mens blijft nodig vanwege zijn creativiteit en flexibiliteit. Beter lijkt het de mens te ondersteunen met geautomatiseerde hulpmiddelen, bijvoorbeeld met een automatisch foutdetectie- en diagnose-systeem (FDD-systeem). Echter, voordat een FDD-systeem gelntroduceerd kan worden in de regellcamer is een uitgebreide evaluatie noodzakelijk.

Om het nut van FDD-systemen vast te stellen wordt er momenteel een regelkamer op de vakgroep gebouwd. In deze regellcamer kart een kerncentrale-simulatie bediend worden. Voor

de kerncentrale is een FDD-systeem ontwikkeld. De bedoeling is nu om via een serie

experimenten met operators het FDD-systeem te evalueren. Hierbij worden twee groepen operators met elkaar vergeleken: De ene groep moet de kerncentrale bedienen met een mens-machine interface zoals dat nu ook gebruikt wordt in een doorsnede-regellcamer, en de andere groep moet de kerncentrale-simulatie bedienen met een mens-machine interface waarin informatie die het FDD-systeem oplevert, verwerkt is.

Voor een goede evaluatie

is

het noodzakelijk dat beide interfaces

een bepaalde, regeltechnische en ergonomische basiseisen voldoen, waaronder:

de fouten, die in het proces optreden, moeten waarneembaar zijn, de bediening van het interface moet eenvoudig zijn,

Tijdens de literatuurstudie moeten de basiseisen geformtileerd worden. Vooriedere eis mot. beschreven worden hoe eraan voldaan kan worden.

Bij het uitvoeren van uw opdracht kunt ui rekenen op de dagelijlcse begeleiding van

drs. A. Sassen en dr.ir. P.A. Wieringa.

&Ir., PA. Wiefinga

namens prof.dr.ir. H.G. Stassen

Hoofdstuk

Inleiding

In de afgelopen twee decennia is het aantal complexe, high-tech werkomgevingen, zoals kemcentrales, luchtverkeersleidingscentra en flexibele fabricagesystemen (complexe, continue processen), gegroeid. Dergelijke dynamische systemen (met vaak grote tijdconstanten) zijn onderverdeeld in een groot aantal componenten, die op een ingewikkelde manier aan ellcaar zijn gekoppeld. Ze zijn sterk geautomatiseerd en worden door een supervisor in een speciale regelkamer bestuurd.1

be complexiteit van deze procesen stelt hoge eisen aan de superVisor (Vicente en Rasmussen,, 1990; Woods, 1987). Door de hoge mate van automatisering heeft deze nauwelijlcs een fysieke regeltaak, maar vooral een observatietaak (Icijken of alles naar wens verloopt). Deze

taak wordt bemoeilijkt door de onzekerheid in de gepresenteerde informatie over de

momentane procestoestand. Daamaast zijn - vanwege de ingewikkelde koppelingen bitmen deze processen - niet alle gevolgen van een (ergens in het proces ontstaan) probleem te achterhalen en niet alle effecten van een regelactie te voorspellen. Problemen en verkeerde regelacties hebben echter veelal wel grote gevolgen (grote risicofactor); in dergelijke situaties moet snel worden gehandeld (de supervisor moet beschikken over een groot improvisatie-vermogen).

Om grote ongelukken te voorkomen is het van essentieell belang dat de supervisor optimaal wordt ondersteund bij het beheren van een dergelijk complex proces. Deze ondersteuning is te realiseren via de mens-machine interface (MMIF): het medium tussen supervisor ("mens") en

het complexe proces

("machine"). Via dit medium !can de supervisor

(a) de

procesinformatie opvragen, die hij op een zeker moment nodig heeft om het proces te kunnen regelen, en (b) ingrijpen op het proces daar waar dat nodig is. De MMIF is zo te zien als het "raarn" in de regellcamer waardoor de supervisor uitldjict op het proces:

Er is en wordt onderzoek verricht naar de wijze waarop de supervisor via de MMIF geholpen kan worden bij het beheren van een complex proces. Aan de hand van de (in de literatuur beschreven) uitkomsten van dit onderzoek tracht deze scriptie die wijze vast te leggen: beschreven wordt welke procesinformatie op welke wijze in de regelkamer moet worden gepresenteerd om de !cans dat de supervisor fouten maakt bij het uitvoeren van zijn taak zo klein mogelijk te maken.

1

Vaak zijn in de regellcamer meerdere supervisors (operators) betrokken bij het

beheren van het proces. In deze scriptie wordt echter (algemeen) uitgegaan van een supervisor: de supervisor van het proces. Stellingen m.b t deze persoon lcunnen altijd worden doorgetroldcen.inaar leden van het ,operatorteam in de regelkamer.

6 Ontwerprichtlijnen et concepten voor,mens-machine :interfaces van complexe, processen: S 610

1

-Ms aanzet hiertoe wordt in hoofdstuk 2 het gedrag van de supervisor bij het beheren van een complex proces beschreven. Vervolgens geeft hoofdstuk 3 een overzicht van de herkomst van de fouten die de supervisor maalct bij het uitvoeren van zijn taalc. Uit deze fouten- en gedragsanalyse kan globaal worden opgemaakt welke procesinformatie op welke manier via de MMIF moet worden gepresenteerd. Hoofdstuk 4 geeft hiervoor een aantal algemene

richtlijnen. Aan de hand van deze richtlijnen wordt daama in hoofdstuk 5 een drietal

concepten voor mens-machine interfaces (d.w.z.

drie verschillende manieren om de

supervisor via de MMIF te helpen bij het beheren van een complex .systeem) geanalyseerd,

1nieI ding

OR2t7rri-.10,K

Hoofdstuk 2

Een gedragsanalyse van de processupervisor

Reason (1987) heeft een model afgeleid voor het gedrag van de supervisor bij het besturen van een complex systeem. Het fundament voor dit model wordt gevormd door Rasmussens model van het menselijk gedrag (Rasmussen, 1983 en 1987b). Alvorens Reasons model te bespreken (§2.2) wordt in §2.1 eerst het getlragsmodel van Rasmussen behandeld.

2.1 Het model voor menselijk gedrag van Rasmussen

Rasmussen (1983, 1987b) komt tot een driedeling van het menselijk gecirag: geclrag gebaseerd op verworven vaardigheden (skill-based gedrag) gedrag gebaseerd op in het verleden afgeleide regels (rule-based gedrag) gedrag gebaseerd op kennis (knowledge-based gedrag).

Hieronder worden de drie gedragsniveaus elk afzonderlijk beschreven (in figuur 2.1 is het verband tussen de niveaus weergegeven).

KNOwLEOGE - BASED BE KAviOuR RULE - BASED BE NA4/10044 SKILL - BASED BEHAVIOUR SYMBOLS FEATURE FORMATION 1GENII -F IC AT ION SENSORY INPUT GOALS DEC/540N OF TASK !SIGNS) PLANNING AU r ONIAT E SENSOR!. MOTOR PAT TERNS at SIGNALS V" ACHOtes

Figuur 2.1: Het model voor menselijk gedrag volgens Rasmussen (1983).

Gedrag gebaseerd op verworven vaardigheden

Dit eerste niveau omvat de activiteiten waarin de mens werkt ads een door sensoren (de zintuigen) ondersteunde motor. De door dit sensor-motor systeem uitgevoerde elementaire acties lopen vloeiend in ellcaar over volgens een uitgelciend programma: de skill-based routine.

De uitvoering

van deze routine (de verworven vaardigheid) is volledig

8 Ontwerprichtlijnen en con cepten voor rnens-rnachine interfaces van conzpleze processen - S 610 ASSOC IA - STORED

sioNs RECOG /ION RULES

NMON STATEhAsx FOP

geautomatiseerd; de mens is zich alleen bewust van het feit dat de routine wordt uitgevoerd, niet van de uitvoering van de elementaire opdrachten in de routine. Het is wel mogelijk randvoorwaarden mee te geven aan de uitvoering van de routine, bijvoorbeeld: "let op, de weg is glad".

Bij gedrag gebaseerd op verworven vaardigheden maakt de mens slechts nu en dan gebruik van regeling door terugkoppeling. De geleverde prestatie is met name gebaseerd op regeling door voorwaartskoppeling en hangt af van een flexibel en efficient intern model van de met de routine uit te voeren activiteit. De door de zintuigen gedane waarnemingen worden

gebruikt om dit model te optimaliseren.

Op deze manier werkt de mens als een continue multivariabele regelaar. De inputdata van deze regelaar zijn continu in de tijd en te wijzigen door de mens. Rasmussen duidt ze aan met de term signalen ("signals" in figuur 2.1). Uit signalen Ic.an geen "diepere betekenis" worden afgeleid; de data hebben slechts een fysische betekenis.

Gedrag _gebaseerd op in het verleden afgeleide regels

Op dit niveau worden de op skill-based niveau uit te voeren routines 'lit de stellingen

gehaald" en geactiveerd. Welke routines wanneer dienen te worden geactiveerd wordt opgemaakt uit in het geheugen opgeslagen regels. Deze zijn (in situaties waar de persoon mee bekend is) verlcregen uit eerdere ervaringen danwel uit kennis van andere personen, of zijn (in voor de persoon onbekende situaties) afgeleid na enig nadenken over de situatie (op het hoogste gedragsniveau).

Ben aantal regels is te combineren tot een procedure. Een typisch voorbeeld van het

uitvoeren van zo'n procedure is koken volgens een recept: de kok volgt stap voor stap (regel voor regel) de aanwijzingen in het recept en is zich [evens bewust van het volgen van deze aanwij zingen.

Daarmee is tevens het verschil aangegeven tussen een op het skill-based gedragsniveau uitgevoerde routine en een op het rule-based gedragsniveau uitgevoerde procedure: de regels volgens welke wordt gewerIct bij het uitvoeren van een procedure kunnen wel door de uitvoe-rende persoon worden gerecapituleerd, maar de elementaire opdrachten aangewend tijdens de uitvoering van een routine niet. Naarmate (door training) de ervaring met het gebruik van een bepaalde, rule-based procedure toeneemt, gaat de uitvoering ervan steeds meer lijken op die van een skill-based routine (overgang van rule-based ged rag naar skill-based gedrag). Inputs voor rule-based gedrag zijn tekens ("signs" in figuur 2.1). Ben teken vraagt om de uitvoering van een vooraf gedefinieerde actie (hier een skill-based routine). Tekens worden in het algemeen aangeduid met namen die verwijzen naar toestanden in de omgeving of doelen/taken van de persoon (externe referenties). Ze refereren niet naar systeemconcepten en representeren geen functionele informatie. Tekens zijn derhalve niet geschikt om nieuwe regels mee af te leiden of voorspellingen te doen in onbekende situaties.

Gedrag gebaseerd op kennis

In onbekende situaties, situaties dus waarin geen regels voor handen zijn, moeten nieuwe regels (procedures) worden afgeleid uit de kennis van de betreffende persoon. Dit afleiden van nieuwe regels vindt plaats via een denkproces op het hoogste niveau van menselijk gedrag, het op kennis gebaseerde gedrag. Inleiding voor dit denkproces is een analyse van de omgeving en de wensen van de persoon. Aan de hand van deze analyse kan het doel van het denkproces worden vastgesteld. Om dit doel te bereiken worden daarna diverse plannen uitgewerkt en uitgetest op de directe omgeving of de interne representatie die de persoon heeft van die omgeving. Dit proces wordt herhaald tot een bruikbaar plan is gevonden. Inputs voor het denkproces zijn symbolen ("symbols" in figuur 2.1). Deze_{geven function&} eigenschappen van de directe omgeving weer en refereren naar de interne representatie. Symbolen hebben dus interne referenties en lcunnen (in tegenstelling tot tekens) wel gebruikt worden als basis voor het denlcproces. In figuur 2.2 is het verschil tussen signalen, tekens en symbolen weergegeven met een voorbeeld: de flowmeter.

SIGNAL

- Keep at set point Use deviation as error steal

Track continuously

SION

Stereotype acts

SYMBOL

If. after calibration. is still

B. t.egin to read meter and

speculate functiOnally be leak) FLOW VALVE METER PiPE

Figuur 2.2: De aanwijzing van een flowmeter 'can worden opgevat als de weergave van een setpointafwijking (signaal), een aanwijzing voor het ondernemen van actie (teken) of weergave van een probleem (symbool).

10 Onnverprichtlijnen en con cepren voor awns-machine interfaces van cornplexe processen - S 610

If Valve Open If C. ok If D. adjust flow If Valve Closed If K, ok If B. recallbrate meter (could a

2.2 Toepassing van Rasmussens model voor menselijk gedrag op de processupervisor

De taak van de supervisor tijdens het beheren van een complex proces

bestaat uit het

uitvoeren van een aantal duidelijk omschreven deeltaken ("routine klussen") afgewisseld met het checken van de procesvoortgang. Uitgaande van een ervaren supervisor mag aangenomen worden dat deze in het uitvoeren van die voorgeprogrammeerde deeltaken genoeg ervaring heeft verworven om ze op het skill-based gedragsniveau te kunnen uitvoeren. Bij het nagaan van de procesvoortgang dienen momentaan echter ook de hogere niveaus van Rasmussens gedragsmodel te worden aangesproken: de supervisor moet nagaan of (a) ondernomen acties nog altijd volgens plan verlopen en (b) of met dit plan nog steeds de procesdoelen zijn te

verwezenlijken.

Figuur 2.3 geeft in een structuurschema een model van het gedrag van de supervisor bij de uitvoering van zijn taak weer (Reason, 1987). Het schema is verdeeld in drie delen: de drie

ROUTINE ACTIONS IN

FAMILIAR ENVIRONMENT AttntionI

upon proprm OK7 OK? SKILL -BASED YES NO CONSIDER MORE ABSTRACT RELATIONS BETWEEN STRUCTURE FUNCTION IS PROBLEM SOLVED? TES APPLY STORED RULE THEN (SC lion) KNOWLEDGE-BASED p-I Submmt alining. L-SIC. INFER DIAGNOSIS/ AND FORMULATE CORRECTIVE ACTION, APPLY ACTION GOAL STATE

Figuur 2.3: Schematische weergave van het gedrag van de supervisor bij de uitvoering van zijn taak (Reason, 1987).

Een gedragsanalyse van de processupervisor 11

PROBLEM NO CONSIDER LOCAL STATE INFORMATION IS PATTERN YES FAMILIAR? NO 141 I

niveaus van menselijk gedrag volgens Rasmussen. Uitvoering van de supervisortaak begint altijd op het skill-based gedragsniveau. Afhankelijk van de situatie wordt dan geschakeld met de hogere gedragsniveaus. De drie schakelingen tussen de verschillende gedragsniveaus worden hieronder beschreven.

Skill based gedrag to Rule based gedrag

Belangrijk kenmerk van het supervisorgedrag is dat, zodra er zich in het proces een situatie voordoet die de, door het huidige plan geactiveerde, skill-based routines niet aankunnen (ofwel als in figuur 2.3 een < OK? > check niet bevestigend kan worden beantwoord), _er eerst wordt overgeschakeld op rule-based gedrag (er }can vanuit het skill-based gedragsniveau dus niet direct worden geschakeld naar het knowledge-based gedragsniveau). Op dit niveau zoekt de supervisor eerst naar een reeds eerder gesignaleerd patroon in de informatie over de procestoestand (Reason: "Human beings are furious pattern matchers"). Indien dit is gevonden 'can de hierop van toepassing zijnde in het geheugen opgeslagen regel worden toegepast. Afhankelijk van het feit of toepassing van deze regel het probleem al dan niet oplost 'can worden teruggeschakeld op skill-based gedrag, danwel de cyclus nogmaals worden uitgevoerd.

Rule-based gedrag *0 Knowledge-based gedrag

lndien de supervisor geen bekend patroon in de procesinformatie Ian herkennen, of als geen van de toegepaste regels uit diens kennisreportoire (gekozen aan de hand van een - allicht vermeend - bekend veronderstelde toestand) het probleem oplost wordt overgeschakeld op knowledge-based gedrag. Hierbij

verschuift de aandacht van de supervisor van de

procestoestandsvariabelen naar de interne representatie van het proces. Daarin wordt gezocht naar analogieen met bekende situaties. De ontdelcicing van zo'n analogie levert vaak een aantal richtingen op waarin de oplossing voor het probleem moet worden gezocht ( < het ziet eruit als situatie A> < ik meet actie a eens proberen > ). Uit een zeer treffende analogie kan de supervisor een aantal nieuwe regels afleiden. Blijft deze treffende analogie zich openbaren, dan kan de supervisor terugvallen op rule-based gedrag om te trachten met de verworven kennis het probleem te verhelpen.

Knowledge-based gedraz > Skill-based g,edrag

Een op het knowledge-based gedragsniveau gevonden geschikte of ogenschijnlijk geschikte oplossing voor het probleem vormt de basis voor een nieuw actieplan met een nieuwe set van

skill-based routines. Dit plan Ian via de <Is het probleem opgelost? > route ( < Is the

problem solved? > in figuur 2.3) direct worden uitgevoerd op skill-based niveau.

Vaak is de supervisor geneigd een slechts voor een deel juiste oplossing te accepteren als voldoende voor dat moment, en zo het oplossen van het probleem voortijdig te beeindigen. Dit heeft tot gevolg dat na enige tijd opnieuw symptomen van problemen aan de oppervlalcte komen. De supervisor zal dan opnieuw moeten overga.an naar het rule-based gedragsniveau om te trachten nieuwe (deel)problemen (met ten opzichte van het vorige probleem gewijzigde

12 Ontwerprichthjnen encon cepten voor mens-machine interfacesvan completeprocessen - S 610

2

-tekens en symbolen) op te lossen. Op deze manier schuift de supervisor steeds langs de drie gedragsniveau's.

Hoofdstuk 3

Een overzicht van de door de

_{processupervisor gemaakte}

fouten

Volgens Rasmussen (1987a) is een fout de oorzaak van de afwijking van een standaard (hier de gewenste procestoestand). Deze oorzaak wordt gevonden door causaal terug te redeneren vanaf het moment waarop de afwijidng zichtbaar werd. Een fout wordt geaccepteerd als bekende en daarom redelijke verklaring voor de afwijking. Een belangrijke voorwaarde voor acceptatie van dew verldaring is dat er een middel bekend moet zijn _{om de afwijldng weg} te werken. 2

Wat is de herkomst van de fouten die de, supervisor tijdens het beheren _{van een complex} proces 'can maken? Rasmussen en Vicente (1989) onderscheiden vier foutcategorieen:

fouten gemaalct bij leer- en aanpassingsprocessen (§3.1) fouten ontstaan door interactie tussen regelschema's (§3.2)

fouten ontstaan door een tekort aan geheugen, ervaring, kennis, etc. (§3.3)

fouten ontstaan door stochastische variaties in het handelen_{van de supervisor (3.4)}

3.1 Fouten gemaakt bij leer- en aanpassingsprocessen

De aard van de door de supervisor uitgevoerde leer- en aanpassingsprocessen 'versdhillen per gedragsniveau. Zo ook de erbij gemaakte fouten.

Skill-based gedragsniveau:

Een leer- en aanpassingsproces op dit gedragsniveau bestaat uit het zo goal mogelijk instellen van de parameters van het sensor-motorsysteem ("afstemmen van de supervisor op de omge-ving"). Om dit goal te kunnen doen moet de supervisor eerst "kennis maken" _{met de door} de omgeving opgelegde randvoorwaarden waaronder het sensor-motor systeem de skill-based taak moet uitvoeren. Dit gebeurt veelal door het maken van fouten/bijna fouten (bijvoorbeeld lopen op ongelijke grond: east struikelen en dan_{pas het looptempo aanpassen). Het maken} van dergelijke fouten is een essentieel onderdeel van het instellen van het sensor-motor systeem en mag niet onmogelijk worden gemaalct.

14 Onnvermichtlijnen en concepten voor mens-machtne interfaces van complexe_{processen - S 610}

2

Het is daadwerkelijk van belang ook een niiddel om de afwijking weg te werken voor handen te hebben. Dit }can worden geIllustreerd aan de hand het voorbeeld van het uitvallen van een machine in een produktielijn. Hierbij wordt in het algemeen een defect onderdeel als boosdoener aangewezen. In sommige gevallen zal dit echter niet worden geaccepteerd, bijvoorbeeld als het onderdeel vaker uitvalt dan verwacht. In geval dient verder gezocht te worden naar de hoofdoorzaak (fout in het ontwerp van de produlctielijn?),

otir

Rule-based gedragsnive,au:

Op het rule-based gedragsniveau bestaat een leer- en aanpassingsproces uit een speurtocht

naar en de selectie van een procedure, die in de momentane

processituatie kan worden toegepast. Hierbij gemaakte fouten hebben te maken met het felt dat de supervisor, netals

ieder ander mens, Van nature geneigd is zo min mogelijk inspanning te doen om een bepaald doel te bereiken (de wet van de ldeinste inspanning; Rasmussen en Vicente, 1989). Vaak

wordt de te gebniken procedure geselecteerd op het moment dat

de ontvangen procesinformatie duidt op een bekend patroon. Dergelijke snelle beslissingen zijn veelal onvoldoende gefundeerd; ze zijn niet, of slechts gedeeltelijk, juist.

Wanneer de supervisor, op basis van een (vermeend) bekend verondersteld clatapatroon, een niet of nauwelijlcs op de situatie van toepassing zijnde procedure activeert, Ian het lang duren voordat de uitvoering van deze procedure wordt gestopt. Het vertrouwen van de supervisor in bekende patronen is nl. zeer groot. Zelfs als herhaaldelijk blijkt dat de geactiveerde procedure niet geheel voldoet zal de keuze voor deze procedure niet worden heroverwogerr

('stereotype fixation'; Rasmussen, 1987b). Knowledge-based gedragsniveau:

Op dit gedragsniveau bestaat een leer- en aanpassingsproces uit he ten van een aantal plannen die allicht een gesteld doel lcunnen bereiken, het ve5j.f6en van hypothesen, etc. Door de ontwerpers van het complexe proces wordt vaakveiwacht dat de supervisor deze plannen/hypothesen intern evalueert op diens intern

representatie van het proces. De

supervisor probeert dit redenatieproces echter v e vermijden door de plannen in pints van intern, d.w.z. op de interne representatie,

ist extern, d.w.z. op het proces, uit te

testen. Achteraf gezien blijkt vaak dat dergelijke oed doordachte, op het moment van uitvoe-ring belangrijke acties in werkelijkheid enorme vergissingen zijn geweest.

3.2

Fouten ontstaan door interactie tussen regelschema's

Zoals beschreven in hoofdstuk 2 moet de supervisor bij het regelen van het complexe proces zijn aandacht verdelen over een aantal verschillende deeltaken. Het uitvoeren van deze taken vraagt zowel skill-, rule- als knowledge-based gedrag; op hetzelfde moment kan op ieder gedragsniveau aan een andere deeltaak worden gewerkt. Tussen de regelschema's op dew gedragsniveaus (routines, procedures, analogieen) ontstaan zo zeer complexe interacties. Dit interactiepatroon bdinvloedt de geleverde prestatie en kan leiden tot het maken van fouten; Skill-based gedragsniveau:

Wanneer tegelijkertijd een aantal skill-based routines moet worden uitgevoerd is het niet mogelijk al die routines evenveel aandacht te geven; na activering van een routine verschuift de aandacht van de supervisor naar een ander deel van het proces. De zojuist geactiveerde routine wordt hierbij (voor enige tijd) aan zijn lot overgelaten (onbewust op de achtergrond uitgevoerd) en is daardoor gevoelig voor de activiteiten van andere routines. Vaak gebruikte routines lcunnen een istempel gaan drukken op de resulterende output van het sensor-motor

systeem; met name als de elementaire acties

uit

te voeren in dew routines deels

overeenkomen met die van (een aantal) andere uit te voeren routines.

Rule-based gedragsniveau:

Wanneer tegelijkertijd een aantal procedures actief zijn en er een nieuwe situatie ontstaat die vraagt om de toepassing van een andere procedure, wordt de keuze hiervan sterk beinvloed door die op dat moment actief zijnde procedures. De supervisor is geneigd het regelpatroon van de nieuwe procedure zoveel mogelijk overeen te laten komen met dat van de actief zijnde procedures ('stereotype takeover'). Dit 'can leiden tot activering van een procedure die van

toepassing lijkt op de nieuwe situatie, maar in werkelijkheid niet van toepassing is (Ras-mussen, 1987b).

Knowledge-based gedragsniveau:

Op het knowledge-based gedragsniveau wordt gezocht naar analogieen tussen situatiestilt het verleden en de huidige situatie (zie §2.2). Analogieen kunnen zo worden opgevat als de regelschema's op dit gedragsniveau.

In redenatieprocessen worden analogieen aan elkaar geknoopt ( < A is analoog

_{aan B>, <B}

is analoog aan C >, dus <A is analoog aan C > ). Dit }can leiden tot het afleiden van onjuiste

analogieen (bijvoorbeeld als de analogieen tussen A en B resp. B en C niet treffend, maar slechts vaag zijn).

3.3

Fouten ontstaan door een tekort aan geheugen, ervaring, kennis, etc.

Tedere mens is beperkt in zijn mogelijkheden: van een complex proces kunnen vaak niet alle aspecten door een supervisor worden bevat, doodeenvoudig omdat (a) deze daarvoor (nog) niet is uitgerust (gebrek aan kennis en ervaring: een "software" probleem) danwel (b) hem daarvoor de mentale capaciteiten ontbreken (gebrek aan intelligentie en/of geheugenruimte om intelligentie te benutten tijdens een redenatieproces: een "hardware" probleem). Deze gebreken kunnen leiden tot fouten:

Skill-based gedragsniveau:

Op dit gedragsniveau worden dergelijke fouten gelcaralcteriseerd door gebrelddge uitvoering van een skill-based routine. Typische symptomen zijn een gebrek aan precisie en een te trage uitvoering. Deze vinden van hun oorzaak in een gebrek aan ervaring met het werken met de routine, of overbelasting van de supervisor.

Rule-based gedragsniveau:

Gebrek aan geheugenruimte heeft tot gevolg dat zojuist afgeleide regels St meer kunnen worden opgeslagen tussen de reeds aanwezige kennis (in het "lange termijn geheugen") van de persoon. Deze regels zullen dus steeds opnieuw moeten worden afgeleid. Dit leidt tot vertraging. Te grote vertraging Ian afwijkingen van de gewenste procestoestand veroorzaken. Knowledge-based gedragsniveau:

Bij een gebrek aan intelligentie en/of gebrek aan geheugenruimte (werkgeheugen) om redenatieprocessen uit te voeren ("hardware" probleem) is het niet of slechts beperkt mogelijk om nieuwe kennis af te leiden. Daarnaast stellen tijdgebrek en een beperkte kennis van zaken ("software" probleem) ook een limiet aan de hoeveelheid nieuw af te leiden kennis. Dit heeft tot gevolg dat in een aantal onbekende situaties niet voldoende kennis 'can worden afgeleid

om een actieplan te kunnen ontwikkelen. De gewenste procestoestand kan dan niet worden gerealiseerd.

3.4 Fouten

ontstaan door

stochastisch variaties in het

handelen van

de processupervisor

In de vorige drie paragrafen zijn systematische fouten behandeld die de door de supervisor geleverde prestatie wezenlijk veranderen. Daarnaast ontstaan ook ongewenste situaties door stochastische variaties in het gedrag van de supervisor. Deze variaties worden hieronder voor elk gedragsniveau besproken.

Skill-based gedragsniveau:

Variaties in de aandacht van de supervisor voor het proces (bijvoorbeeld door

vermoeidheid of verveling).

Variaties in de instellingen van het sensor-motor systeem (de motorparameters) waarmee een skill-based routine wordt uitgevoerd. Deze veroorzaken variaties in de motoroutput (motorruis), zoals variaties in de uitgeoefende kracht, variaties in de precisie van bewegingen, etc.

Onjuiste plaatsbepaling (topographic misorientation; Rasmussen, 1987b): het verband tussen de omgeving van de supervisor en diens interne model van de omgeving is

(tij-delijk) zoek. Een voorbeeld uit het dagelijks leven is het kwijtraken van het

richtingsgevoel (denken naar het noorden te lopen, maar in werkelijkheid zuidwaarts lopen). In de situatie van de supervisor die een complex proces bestuurd 'can gedacht worden aan het wijzigen van setpoint B in de veronderstelling dat setpoint A wordt gewijzigd.

Rule-based ged rag sniveau:

Eerder afgeleide regels kunnen niet meer voor de geest worden gehaald of worden foutief gerecapituleerd. Typische voorbeelden zijn (Rasmussen, 1987b) het vergeten of onjuist weergeven van een alleenstaand feit (een feit dat geen deel uitmaakt van een groter geheel) en het niet uitvoeren van een deeltaalc die zijdelings van de hoofdtaak moet worden uitgevoerd (het uitvoeren van de deeltaak is niet noodzakelijk om de hoofdtaak af te ronden), bijvoorbeeld na reparatiewerlczaamheden vergeten het gere-pareerde systeem weer in de normale condities brengen.

Knowledge-based gedragsniveau:

Redenatiefoutjes binnen de interne representatie van het proces.

Hoofdstuk 4

Ontwerprichtlijnen voor mens-machine interfaces

van

complexe ptocessen

Dit hoofdstuk gaat in op het ontsverpen van een MMIF voor een complex proces. In §4.1 wordt kort de hardware van de MMIF beschreven. Vervolgens belicht §4.2 de software: _aan de hand van de gedrags- en foutenanalyse uit hoofdstuk 2 en 3 wordt antsvoord gegeven op

vragen in de trant van "Op welke manier moet informatie door de interface worden

weergegeven?", "Welke informatie moet beschikbaar zijn?" en "Hoeveel informatie moet. worden doorgegeven?"..

4.1 De hardware van de mens-machine interface

Via de MMIF wordt in twee richtingen informatie verzonden: van de supervisor naar het proces (informatie in de vorm van regelacties en vragen om specifieke procesinformatie) en van het proces naar de supervisor (specifieke procesinformatie, resultaten van regelacties en vragen om regelacties). Hieronder wordt beschreven op welke ,manieren in deze twee rich-tingen informatie 'can worden verzonden.

Informatietransport van het proces 'naar de supervisor

Specifieke procesinformatie, resultaten van regelacties en vragen om regelacties worden in het algemeen gepresenteerd op een beeldscherm (informatie opnemen met de ogen). Er kan

nog veel gewonnen worden door (ook) gebruik te maken van de mogelijkheden voor

informatkontvangst die de andere zintuigen ter beschiklcing stellen. Flier is echter nog weinig onderzoek naar gedaan (Vicente en Rasmussen, 1990).

Verschillende typen beeldschermen komen in aanmerking voor het weergeven yam

procesinformatie (Johannsen, Rijnsdorp en Tamura, 1985): Cathode Ray Tubes (CRT's),

plasma-beeldschermen en Liquid Crystal Displays (LCD's). CRT's worden het meest

toegepast. Het gebruik van dit type beeldscherm heeft nl. belangrijke voordelen boven het gebruik van een van de twee andere genoemde schermen:

Op CRT's is een groter aantal kleuren af te beelden. Daarnaast kan de

verlichtingssterkte van deze kleuren worden gevarieerd. Dit scala aan ldeuren kan bijvoorbeeld worden gebruikt bij het weergeven van verschillende trends in een grafiek: door iedere trend een andere kleur te geven kunnen deze goed van ellcaar worden onderscheiden. Wijziging van de verlichtingssterkte kart worden gebruilctom

een item op het scherm extra te benadrukken (een alarmmelding kan bijvoorbeeld in fel rood worden afgebeeld op het scherm).

CRT's zijn, goedkoper dan LCD's en plasma-schermen.

18 Onnverprichtlijnew

S

en.

pe,

de

ncepten voor mens-machine interfaces van cornplexe processen - S 610'

"tucLu.

Het belangrijkste nadeel van zowel CRT's als LCD's en plasma-schermen is de srechte leesbaarheid bij te sterke verlichting van de regellcamer. Hiermee Ian bij het ontwerp,van de regellcamer echter rekening worden gehouden ("blacklight").

Een CRT is geschikt voor toepassing in een MMIF,, wanneer aan de volgende eisen wordt voldaan:

Hoge beeldschermresolutie. Een hoge resolutie (d.w.z. een groot aantal beeldpunten op het scherm) maalct het mogelijk dat veel informatie in een keer op het scherm kan worden afgebeeld (zie ook §4.2.3, richtlijn 3.6a). In 1985 was maximaal een resolutie van 7 beeldpunten/mm mogelijk (normaal 3 tot 4 beeldpunten/mm).

Tekst op het scherm is goed leesbaar. Dit wordt mogelijk als de lettergrootte en de ruimte tussen de letters vrij instelbaar is.

Hoge beeldfrequentie. Normale CRT's hebben een beeldfrequentie van 50 tot 60 Hz. wtar (1.

Frequenties van 70 tot 80 Hz lcunnen echter ook worden gerealiseerd (na diverse tests

met piloten is voor de beeldfrequentie van de CRT's in de Airbus A310 70 Hz

7--gekozen)..

Informatietransport van de supervisor naar het proces

De supervisor moet op ieder moment eenvoudig en snel (met name in noodsituaties) toegang kunnen lcrijgen tot specifieke informatie over de actuele processituatie (de waarde van bepaalde procesvariabelen of een bepaalde afbeelding hiervan op het scherm). Nu is dew in het algemeen dermate ervaren in het uitvoeren van zijn taak, dat hij, al genoeg heeft aan korte (numerieke) commando's die de genoemde afbeeldingen en variabelen kunnen selecteren. Naast de supervisor maalct zo nu en dan echter ook ander personeel gebruik van de interface (bijvoorbeeld technici). Dew gebruikers beschikken over te weinig iervaring om met een .dergelijk selectiesysteem te kunnen werken; zij, lcunnen alleen .uit de voeten met. een .zeer ,gebruikersvriendelijke interfacebediening..

Er wordt veel werk gedaan om het onderhouden van de dialoog tussen proces en gebruiker zo gebruikersvriendelijk mogelijk te maken. Hieronder wordt een aantal manieren on informafie op te vragen opgesomd (Johannsen, Rijnsdorp en Tamura, 1985):

Menu technieken: af te beelden informatie }can worden geselecte,erd via het

,doorlopen van een aantal keuzemenu's. De keuzemogelijkheden in zo'n menu

verwijzen naar een brok informatie of een volgend sub menu. Indien erg vaak wordt verwezen naar submenu's ontstaat een trage dialoog tussen gebruiker en proces. In noodsituaties kan dit problemen opleveren.

De af te beelden informatie aanwkjzen op het scherm.. Dit kart, lop een ,aantal manieren worden gerealiseerd:

1)

"Touch screens": met een vinger wordt de plaats op het beeldscherm

aangewezen die correspondeert met de gewenste informatie. Op deze plaats onderbreekt de vinger een langs de beeldschermwand uitgezonden infrarode

of ultrasone stralenbundel. De MMIF !can de plaats van onderbreking

vaststellen en daaruit opmaken welke informatie moet worden afgebeeld (voordeel: directe selectie),.

23k Functietoetsen aanbrengen langs de onderlcant QC as) en een van de zijIcanten

(Y as) van het beeldscherm: met het indruldcen van een X toets en een Y toots

go

id-

Itt-fr%-e.

vt4)

AA,,st err- ,

Ontwerprichtlynen, voor mens-machine linterfaces van complexe processen 19

kan een plaats op het scherm (corresponderend met gewenste informatie) worden geselecteerd (voordeel: benadert de directe selectie van de "touch screens"; nadeel: om een Y toets in te drukken moet de arm van de supervisor

relatief een grote afstand overbruggen).

De if te beelden informatie op het scherm aanwijz,en met een lichtpen. De af te beelden informatie op het scherm aanwijzen met een muis. Voor het bewegen van de muis is in regellcamers echter Met altijd voldoende ruimte aanwezig.

De af te beelden informatie op het scherm aanwijzen met een Dit aanwijsorgaan neemt minder ruimte in beslag dan een muis.

De af te beelden informatie selecteren op een toetsenbord met voor elke

toestandsvariabele en iedere afbeelding een eigen functietoets. Bij complexe

processen kan een dergelijk toetsenbord erg groot worden. Het is dan nog maar nauwelijlcs mogelijk het bord voor het beeldscherm te plaatsen.

ctc-rk

"--- Lava-t- Ott. kAn in-Z44,I

4.2 De software van de mens-machine interface

Nog maar al te van worden MMIF's vrij inflexibel geprogrammeerd (Murphy en Mitchell, 1986). De beeldscherminhoud is voor het in gebruik nemen van de MMIF gedeflnieerd en naderhand niet meer te wijzigen. De supervisor kan niet bepalen welke informatie op het scherm wordt afgebeeld en de manier waarop deze wordt afgebeeld is ook niet vrij instelbaar;,. de interface is gebouwd vanuit de gedachten van de programmeur en niet vanuit die van de, gebruiker.

Een goede interface is geprogrammeerd naar de wensen van de supervisor. Informatie over de momentane toestand van het proces 'can - afhankelijk van het gedragsniveau, het risico behorend bij een uit te voeren deeltaak en de frequentie waarrnee die taak moet worden uitge-voerd - worden gepresenteerd op een aantal abstractieniveaus. Deze informatie is gestructu-reerd/samengesteld als aanvulling op het actieplan van de supervisor (de strategie om een

probleem op te lossen). Daarnaast kan zelf worden ingesteld hoe informatie en welke

informatie op het beeldscherm verschijnt. Bovendien wordt de supervisor geattendeerd op abnormale situaties, zodat deze zich bier nooit onterecht veilig kan wanen. (Murphy en Mitchell, 1986).

In deze paragraaf worden richtlijnen voor het ontwerpen van de software voor zo'n goede interface op een rijtje gezet; voor iedere foutcatagorie uit hoofdstuk 3 worden een aantal aanwijzingen gegeven die ertoe lcunnen bijdragen dat de kans op het optreden van idergelijke fouten wordt verldeind (0.2.1 - §4.2.4).

4.2.1 Richtlijileli ter itrkleining wan de kans op de bij leer- en aanpassingsprocessen gemaakte fouten

De supervisor gebruilct de door de MMIF gepresenteerde informatie om zijn interne representatie van het proces op te bouwen of verder te verbeteren. Hiertoe is het essentieel dat de momentane processituatie juist wordt weergegeven. Aileen dan kan, een correcte interne representatie worden gecreeerd.

40' ^Ontwerprichtlarzen en concepten voor ntens-machine interfaces van complexe,processen - 15,610

Ontwerprichllijnen voor mens-machine interfaces van complexe processen 21

IRV? "PIIMP4AVIVM

Richtlijn 1.1:

Om de supervisor te kunnen helpen een correcte interne representatie van het proces op te bouwen is hetnoodzakelijk dat het ontwerp van de MMIF word: gebaseerd op een (door de procesontwerpers verstrekte) duidelijke expliciete

beschnjving van tie werking van ha proces (Murphy enMitchell, 1986).

Alle door de interface gegeven commando's, instructies en

informatie over de

momentane procestoestand moeten in overeenstemming zijn met deze beschrijving. Om te voorkomen dat de supervisor te lang blijft vertrouwen op de doelmatigheid van een op een zeker moment uitgevoerd actieplan is het belangrijk dat wijzigingen in de omstandigheden waarbinnen dit plan moet worden uitgevoerd zo snel mogelijk worden waargenomen. Dan lcan tijdig worden nagegaan of dit plan in de nieuwe situatie nog wel in staat is de gestelde doelen te bereiken.

Richtliin 1.2:

De interface moet de supervisor helpen bij ha detecteren van wijzigingen iin de omstandigheden waarbinnen deze zijn actieplan(nen) uitvoert (Murphy en

Mitchell, 1986).

Afbeeldingen op het scherm waarin het verloop van bepaalde variabelen in de tijd is weergegeven kunnen helpen het detecteren van wijzigingen in de omstandigheAden te versnellen. De MMIF kan ook aangeven dat het waargenomen datapatroon niet overeenkomt met een bekend patroon.

Bij het observeren van het proces of het stellen van, een diagnose voor een probleem !can de supervisor zich te sterk gaan fixeren op een kleine groep toestandsvariabelen. Murphy en Mitchell (1986) duiden dit verschijnsel aan met de term 'cognitive tunnel vision'. De MMIF moet ervoor zorgen dat de supervisor niet "te ver deze tunnel inloopt", door voor te stellen ook eens naar andere toestandsvariabelen te kijken.

Richtlijn 1.3:

De MMIF moet de supervisor attenderen informatie op te vragen over tot op dat moment niet of nauwelijks beschouwde toestandsvariabelen (Murphy en Mitchell, 1986).

Het is echter niet precies duidelijk hoe dit moet worden ungevoerd. Indien bekend is over welke variabelen de supervisor de MMIF heeft "ondervraagd" zou de MMIF in

staat moeten zijn veranderingen in het observatiegedrag van de supervisor te

detecteren.

Zoals vermeld in §3.1 verkent de supervisor bij her aanleren van een skill-based taak de grenzen waarbinnen deze taak moet worden uitgevoerd. Om deze grenzen te leren kennen wordt geexperimenteerd met het overschrijden/benaderen ervan. Het malcen Nan. fouten is zo een essentieel onderdeel van idit leerproces.

Richtlijn 1,4:

Maak de tolerantiegrenzen waarbinnen skill-based taken nweten worden uitgevoerd zichtbaar op het beeldscherm. Zorg ervoor dat het overschnjden van deze grenzen waarneembaar is en het effect hiervan ongedaan is te maken (Rasmussen en Vicente, 1989).

Vooral wanneer verschillende procesparameters soortgelijke, maar wel degelijk verschillende tolerantiegrenzen hebben is het belangrijk deze grenzen zichtbaar te maken (Murphy en Mitchell, 1986), bijvoorbeeld als temperatuur A niet mag stijgen tot boven 100°C en temperatuur B niet mag zaldcen tot onder 100°C.

Op het rule-based gedragsniveau is het niet altijd direct mogelijk het resultaat van met het oog op de procesvoortgang uitgevoerde procedures waar te nemen. Eventuele ongewenste gevolgen van een tijdens de uitvoering gemaakte fout zijn soms pas met enige vertraging zichtbaar. Vaak is het dan te laat om dit effect nog ongedaan te lcunnen maken.

Richtlijn 1.5:

Mack (door terugkoppeling) de effecten

van met ha oog op

de procesvoortgang uitgevoerde procedures zichtbaar op het beeldscherm. Zo

de supervisor het hoofd bieden aan de tijdvertraging tussen de uitvoering van zo'n procedure en de waarneming van het uiteindelijk resultaat (Rasmussen en Vicente, 1989).

Vanwege de veiligheid is het noodzakelijk dat lcritische functies binnen het proces niet beinvloed worden door fouten begaan door mensen werkend bij het proces (maar buiten de regelkamer, bijvoorbeeld onderhoudspersoneel) of door het slecht/niet functioneren van bepaalde onderdelen. Daarom bevatten de uit te voeren procedures

vaak onderdelen die slechts

tot doel hebben de gevoeligheid voor dergelijke

gevaarlijke omstandigheden te verkleinen (veiligheidsmaatregelen); deze maatregelen hebben geen waarneembaar effect op de procestoestand.

Richtlijn 1.6:

De effecten van (onderdelen van) procedures die de procestoestand niet

beinvloeden dienen zichtbaar te zijn op het beeldscherm. Zo Ian de veiligheid in de gaten worden gehouden (Rasmussen en Vicente, 1989).

Fen voorbeeld: wanneer een bewakingssysteem signaleert dat onderhoudspersoneel zich tijdens de uitvoering van het proces te dicht bij een van de procesonderdelen bevind Ian de supervisor hierop worden gewezen via een (algemeen) alarm op het beeldscherm.

Bit het regelen van het proces en vooral bij het ermee leren werken (aanpassingsproces) is het belangrijk dat de supervisor zijn regelacties ziet als basis voor het functioneren van het proces. Op rule-based gedragsniveau ontvangen tekens moeten niet op zichzelf stain, maar worden ontvangen binnen een heldere context (Murphy en Mitchell,

1986); de aanwijzingen gebruikt om te kiezen tussen

22 Ontwetprichtlijnen en concepten voor mens-machine interfaces van complexe processen - S 610

verschillende altematieven voor actie moeten volgen uit bet fiinctioneren van de omgeving (= het proces, de context).

Richtlijn 1.7:

De interface moet een unielce gen op een

afbeelding tussen tekenr (aanwijzingen voor actie) en syrnbolen (beschn(ivingen van ha functioneren van het proces) weergeven (Rasmussen en Vicente, 1989).,

in een ,onbekende situatie evalueert de supervisor op het knowledge-based

gedragsniveau een aantal altematieven om te komen tot een voor dew situatie

geschikt actieplan. Hiertoe worden gedane veronderstellingen geverifieerd en een .aantal experimenten gedaan. Het is zaak te vermijden dat voor dergelijke experi-menten/verificaties gebruik wordt gemaakt van het complexe proces. Dit brengt nl. grote risico's met zich met en' !can leiden tot de in §3.1 beschreven (mogelijk niet te herstellen) fouten.

'RiChtlijn 1.87

De interface moet een aantal gereedschappen ter beschikking stellen die de supervisor in onbekende situaties kan gebruiken om experimenten uit te voeren

/

en hypothesen te testen zonder daarbij het proces zelf te gebruiken(Rasmussen en, Vicente, 1989)..

be voor

het testen van hypothesen

over de procestoestand

te gebruiken gereedschappen bestaan uit verschillende beeldschermcomponenten die exact de onbekende situatie weergeven. Afhankelijk van de situatie is het mogelijk willekeurige

combinaties van componenten te presenteren op het beeldscherm (Murphy en,

Mitchell, 1986).

Predictiedisplays vormen een zeer bruikbaar gereedschap bij het experimenteren op het knowledge-based gedragsniveau: de MMIF moet de effecten van bepaalde regelacties en de toekomstige procestoestand kunnen voorspellen. Deze voorzieningL kan gebruilct worden om het antwoord te vinden op vragen in de train van "Wat als 9 " (Murphy en Mitchell, 1986).

De over de procestoestand verlcregen informatie 'can mental op

verschillende-manieren worden gerepresenteerd. Bij het oplossen van problemen heeft de supervisor, de neiging zich te fixeren op den van deze representaties. Dit kan leiden tot een vemauwing van het gebied waarbinnen de oplossing van het probleem wordt gezocht. Richtlijn 1.9:

De MMIF moet de supervisor een aantal verschillende manieren om naar de procesinformatie te kijken ter beschikking stellen (Murphy en Mitchell, 1986). Zo zou de procestoestand zowel grafisch als in tabellen, met meer of minder oog voor details moeten kunnen worden weergegeven. Eigenlijk meet de manier van weergeven

en de mate van detaillering naar persoonlijke voorkeur kunnen worden ingesteld (de

Fr

supervisor zou bijvoorbeeld moeten lcunnen ldezen tussen presentatre van bepaalde gegevens in een lijngrafiek, in een staafdiagram of in een tabel).

De snelheid waarmee een probleem kan worden opgelost hangt af van de manier

waarop dit probleem wordt gepresenteerd: de door de supervisor gemaalcte

interpretatie en interne representatie van het probleem !can verstoord worden door misleidende aanwijzingen opgemaakt uit de gepresenteerde probleemstructuur. Om te voorkomen dat intern een te eenvoudige representatie van het probleem ontstaat en

slechts een oppervlaldcige oplossing lcan worden gegenereerd, geven Murphy en Mitchell (1986) de volgende richtlijn:

Richtlijn 1.10:

In het geval dat er een probleem is ontstaan moet de MMIF dit probleem op meerdere manieren kunnen weergeven (Murphy en Mitchell, 1986).

4.2.2 Richtlijnen ter verkleining van de kans, op door interactie tussen regelschema's,

ontstane fouten

Daar het bestuurde systeem sterk is geautomatiseerd is "de afstand tussen supervisor en regellcring" erg groot. Dit maakt het moeilijker de momentane processituatie te identificeren. Door het afleiden van onjuiste analogieen (zie §3.2)is bet mogelijk dat hierbij fouten worden gemaakt.

Richtlijn 2.1:

De interface moet de supervisor helpen bij het class ificeren van een ontstane situatie als routine, bekend, vooraf gepland of nieuw (Murphy en Mitchell, 1986).

Wanneer een onbekende situatie ontstaat (vooraf gepland of nieuw) kan de MMIF de supervisor melden dat het waargenomen datapatroon niet overeenkomt met ten bekend patroon (zie ook §4.2.1, richtlijn

Wanneer tegelijkertijd meerdere skiM-based routines worden uitgevoerd, lcunnen (zonder dat de supervisor zich dit bewust realiseert) de meest prominent aanwezige routines een stempel gaan drukken op de resulterende output van het sensor-motor systeem (zie §3.2). Om dit te voorkomen moet de supervisor de activiteiten van de actieve skill-based routines steeds in de gaten kunnen houden.

Rithtlijn 2.2:

De interface moet beschikken over overzichtsdisplays waarmee de activiteiten van skill-based routines kunnen worden geobserveerd (Rasmussen en Vicente,

1989).

Op het rule-based gedragsniveau moet voorkomen worden dat door onoplettendheid bekende procedures ten onrechte worden geactiveerd.

24 Ontwerprichtlijnen en concepten voor mens-naachine interfaces van cornplexe processen - S 610

3 Zie ook §4.2.1, richtlijn 1.7.

4 _{De wijze waarop deze richtlijn is geformuleerd komt niet strikt overeen met wijze}

waarop deze door Rasmussen en Vicente (1989) wordt geformuleerd. Zij schrijven voor dat de interne representaties van het proces op verschillende abstractieniveaus

(door hen onjuist aangeduid met de term 'mentale modellen') moeten worden

gevisualiseerd op het beeldscherm. Dit is echter onmogelijk: de ontwerper van een

MMIF kan slechts gissen naar de wijze waarop het proces in het hoofd van de

supervisor wordt gerepresenteerd, en kan die wijze dus zeker niet weergeven op het beeldscherm van de MMIF. Aangenomen is dat bedoeld wordt dat het beeldscherm een visualisatie meet bevatten van het beeld dat de ontwerper van de MMIF heeft van

de procesrepresentatie in het hoofd van de supervisor. Richtlijn 2.3:

lntegreer al de aanwijzingen voor het activeren van procedures op

een beeldschenn. Mask hierbij het verband tussen de vraag om een aktie en het momentane functioneren van het proces duidelijk 3 (Rasmussen en Vicente,

1989).

Op het knowledge-based gedragsniveau maalct de supervisor gebruik van meerdere interne representaties van het proces op meerdere abstractieniveaus. Om het afleiden van onjuiste analogieen tussen deze representaties te voorkomen, is het zaak het mentale procesmodel (het beeld dat de ontwerper van de MMIF heeft van de wijze waarop het proces in het hoofd van de supervisor wordt gerepresenteerd) op het beeldscherm te visualiseren. Analogieen kunnen dan binnen deze visualisatie worden afgeleid.

Richtlijn 2.4:

Visualiseer het mentale procesmodel op ha beeldscherm van de MMIF

(Rasmussen en Vicente, 1989). 4

4.2.3 Richtlijnen ter verkleining van de kans op door een tekort aan geheugen,

ervaring, kennis, etc. ontstane fouten

De supervisor moet niet worden belast met het observeren van het functioneren van het proces op een laag abstractieniveau (niveau van fysische procescomponenten); bij het checken van de procesvoortgang (zie §2.2) moet via een beschouwing van de actuele processtatus op een hoog abstractieniveau worden achterhaald of de gestelde doelen nog steeds (kunnen) worden gerealiseerd.

Richtlijn 3.1:

Het checken

van de procesvoortgang moet gebeuren op een hoog

abstractieniveau door observatie van een grafisch overzichtsscherm van het

proces. Op dit scherm moet de (verstoring van de) vervulling van de

procesfuncties worden weergegeven. Info rmatie afkomstig van lagere abstractieniveau.s vormt de input voor dit overzichtsscherm (Murphy en Mitchell, 1986).

Wanneer zich op het hoge abstractieniveau problemen voordoen moet op lagere abs-tractieniveaus kunnen worden bekeken in welke (fysische) componenten van het proces problemen zijn ontstaan. Op deze manier ontstaat een hierarchische organisatie van de interface.

Richtlijn 3.2:

De MMIF moet hierarchisch worden opgebouwd en wel zo dat de supervisor:

op een hoog abstractieniveau direct visuele representaties van de

processtatus kan manipukren

op een bag abstractieniveau direct de _6,sische componenten van het proces kan manipuleren

(Murphy en Mitchell, 1986).

Door het mogelijk maken van directe manipulatie wordt voorkomen dat het invoeren van de commando's om op een zeker abstractieniveau een onderdeel van het proces te manipuleren teveel inspanning vraagt. Syntactisch complexe commando's worden vermeden; elk commando heeft onmiddelijk een begrijpelijk effect op het door de supervisor beschouwde hierarchisch niveau.

Om het beschouwen en direct manipuleren van het proces op verschillende abs-tractieniveaus mogelijk te malcen moet informatie tussen absabs-tractieniveaus kunnen worden getransformeerd.

Rich tlijn 3.3:

Genereer regels

voor her transformeren

van procesinformatie tussen verschillende abstractieniveaus (Rasmussen en Vicente, 1989).

Aan de hand van dergelijke regels kan de MMIF hierarchisch worden opgebouwd.

Het opbouwen of verder verbeteren van de interne procesrepresentatie

is te

omschrijven als het integreren van nieuwe informatie met de (in het lange termijn geheugen opgeslagen) kennis, opgemaakt uit eerdere ervaringen met het regelen van

het proces. Dit inpassen van nieuwe informatie dient zo eenvoudig mogelijk te

worden gemaakt, opdat de supervisor niet onnodig wordt belast. Richtlijn 3.4:

De interface moet nieuwe info rmatie zodanig presenteren dat de supervisor deze eenvoudig kan inpassen tussen diens eerdere ervaringen met her regelen van her proces (Murphy en Mitchell, 1986).

De supervisor dient dus niet

te worden geconfronteerd met kolommen vol

ongeanalyseerde data; de MMIF moet voorafgaand aan de presentatie op het scherm

intern een analyse van de ruwe data uitvoeren. De resultaten hiervan moeten op een zodanige manier op het scherm worden afgebeeld dat de samenhang tussen de gepre-senteerde informatie direct duidelijk is. Dit kan bijvoorbeeld door de informatie gra-fisch weer te geven (plotten van trends) en koppen, labels en iopmerkingen toe te voegen (Murphy en Mitchell, 1986).

Bij het ontwerpen van een MMIF voor een al ienige tijd operationeel proces kan her opnemen van informatie verder worden vereenvoudigd door de supervisor "in zijni eigen lath" aan te spreken: in koppen, labels, opmerkingen, alarmmeldingen etc. moet de door het personeel gebruilcte terminologie voor namen van onderdelen van het pieces worden toegepast.

Bij het ontwerpen van een MMIF voor een nog niet

operationeel proces kunnen de ontwerpers zelf een efficiente terminolgie ontwiklcelen

(Johannsen, Rijnsdorp en Tamura, 1985).

Een praktisch voorbeeld: indien na analyse van de ruwe data blijkt dat regelalctie X moet worden uitgevoerd dient deze aktie duidelijk (in dagelijlcs taalgebruik) teworden beschreven. Daarnaast moet de reden voor de vraag om die alctie worden vermeld. Dus niet "Voer alctie ICrlOa uit", maar "Draai kraan 10 'dicht, want anders loopt het vat over". Het op deze wijze weergeven van aanwijzingen voor regelalcties vergroot het vertrouwen van de supervisor in de MMIF (Muir, 1987).

In principe is het mogelijk de MMIF oneindig veel informatie op het beeldscherm te

laten spuien. Al deze informatie }can echter nooit door de supervisor worden

verwerkt. Daarom moet de Ihoeveelheid gepresenteerde data worden beperkt:

Rich tl ij n 3.5:

De MMIF meet &leen die inforrnatie weergeven die de supervisor op een zeker

moment nodig heeft om het pro ces te kunnen beheersen (basisregel).

Daarnaact meet het echter wel mogelijk blijven de hoe veelheid informatie op ha scherm te vergroten of te verkleinen (Murphy en Mitchell, 1986).

Ms voorbeeld !can het.oplossen van ten omvangrijk probleem worden beschouwd. De hiervoor benodigde informatie ;can niet in een keer door de supervisor worden bevat. Daarom dient het probleem te worden opgedeeld in een aantal deelproblemen die afzonderlijk moeten worden opgelost. De uitsplitsing in deelproblemen meet zo worden gekozen dat de voor het oplossen van een deelprobleem benodigde informatie gemalckelijk door de supervisor kan worden bevat.

Variatie van de hoeveelheid informatie op het scherm is mogelijk door de supervisor te laten kiezen tussen de weergave van alle data, de weergave van een aantal data-monsters en het tonen van "uitzonderingsgevallen" binnen de data (naar keuze af te beelden in een tabel of graftek).

Murphy en Mitchell (1986) noemen een aantal middelen die de mentale belasfing van de supervisor bij het. observeren, van het proces verkleinen:,

Richtlijn 3.6a:

Maak ha aantal displays nodig voor ha vaststellen van (een gedeelte van) de procestoestand zo klein mogelijk. Als ha absoluut noodzakelijk is on veel

toestculdsvariabelen weer te geven, moeten deze zoveel mogelijk worden gellitegreerd op Een beeldsclzerrn (hierbij moet wel weer rekening worden gehouden met richtlijn 3.5: de supervisor Ian mar een beperkte hoeveelheid informatie opnemen, clus ook weer niet iteveel toestandsvariabelen op een display weergeven).

Richtlijn 3.6b:

In situaties waariit eeiz onderdeel van her proces zich correct ged'raagt is het niet nodig de waarden van de bij dit onderdeel horende toestandsvariabelen weer te geven. Volstaan kan worden met aan te geven dat dew de juiste orde van grootte he/then.

Itichtlijn 3.6c:

Mack de tijd die rzodig is on data re vergaren zo klein mogelijlc (door de tijd nodig om de toestand van een bepaalde variabele te identificeren zo klein .mogelijk te malcen komt tijd vrij voor het beldjken van andere variabelen).. Richtlijn 3.6d:

De MMIF moet een

schatting kurznen geven

van ha gedrag

van toestandsvariabelen in de toelcomst (predictiedisplays, zie ook §4.2.1, richtlijn 1.8). Zo komt de supervisor te weten of bepaalde variabelen zich in de nabije toekomst normaal zullen gedragen. Uit deze informatie kan worden opgemaalct of die variabelen de komende tijd moeten worden geobserveerd of niet. Wanneer een probleem de kop opsteekt is de supervisor vaak gedwongen snel te. handelen en beslissingen te nemen; er is weinig tijd om naar een geschilcte oplossing te zoeken. Om stress te voorkomen moet de MMIF hierbij helpen.

Riehtlijn 3.7:

De MMIF moet de supervisor een actual hulpmiddelen ter beschikking stellen, on sneller en eenvoudiger oplossingen voor problemen .te laymen vinden (Murphy en Mitchell, 1986).

Ten eerste moet de supervisor worden ontlast van secundaire taken nodig om het probleem op te lossen. De MMIF moet zorgen voor het verzamelen van data, het

converteren van data naar het gewenste abstractieniveau, en het genereren van

referentiedata nodig bij het oplossen van het probleem. Vervolgens moet deze infor-matie simultaan worden gepresenteerd in data/inforinfor-matie-stroomschema's die grafisch een duidelijk beeld geven van het te beschouwen deel van het proces (d.w.z. de anatomic, maar ook de functies van het te beschouwen deel). Onderdelen die niet correct functioneren moeten duidelijk worden aangegeven, evenals de mate waarin ze niet fun ctioneren.

r4(yeip.ip;

Vervolgens kan de interface een aantal hulpmiddelen ter beschildcing stellen die her oplossen van het probleem kunnen vereenvoudigen:

Controlelijsten: lijsten met verschillende punten die oorzaak kunnen zijn van het probleem ("checklists")

Oplossingen van problemen die zich in het verleden hebben voorgedaan: wanneer de MMIF alle door de supervisor uitgevoerde acties archiveert, kan deze in probleemsituaties worden gewezen op procedures die eerder bij

soort-gelijke problemen met succes zijn toegepast

Een dynamisch computermodel van het proces, waarmee mogelijke oplossin-gen kunnen worden geevalueerd

Hulp bij het nemen van beslissingen (beslissingsmodel)

De in richtlijn 2.4 (zie §4.2.2) genoemde visualisatie op het beeldscherm van

het mentale procesmodel verlicht de tijdens redenatieprocessen gedane

in spanningen.

In probleemsituaties geeft de interface een aantal waarschuwingen of alarmmeldingen. Zeker bij de hier beschouwde complexe processen 'can dit aantal snel oplopen. Wanneer teveel waarschuwingen en alarmmeldingen worden gegenereerd kan de supervisor deze niet meer verwerken. Vaak ontstaat dan de neiging deze meldingen te negeren, hetgeen kan uitmonden in een flinke vergroting van de problemen (de interface is dan in feite geen geschikte hulpbron meer voor de supervisor, maar slechts een hinderlijke "sta in de weg").

Rich tlij n 3.8:

In probleemsituaties moet de interface selectief zijn bij het geven van

waarschuwingen en alarmmeldingen (Johannsen, Rijnsdorp en Tamura,

1985)

De waarschuwingen en alarmmeldingen kunnen bijvoorbeeld worden ingedeeld op een aantal urgentieniveaus. Zo 'can een alarmmelding op het hoogste urgentieniveau worden weergegeven op alle mogelijke overzichtsschermen en aa.ngekondigd worden met een geluidssignaal. Een alarm op een lager urgentieniveau wordt dan daarintegen slechts gemeld op een aantal overzichtsschermen en wordt niet aangekondigd met een geluidssignaal. Minder belangrijke waarschuwingen of alarmen kunnen voor het 11

moment even terzijde worden geschoven

(niet worden doorgegeven via

het bl

interfacescherm).

4.2.4 Richtlijnen ter verkleining van de kans op door stochastische variaties in het

ouAA

handelen van de processupervisor ontstane fouten

kryptische omschrijvingen moeten worden teruggevonden in net geheugen.

Wanneer de supervisor na een melding van de MMIF niet precies weet wat van hem et' wordt verwacht, Ian het (zeker als de melding met onregelmatige tussenpozen op het

scherm verschijnt) lang duren voordat hi] een op de melding toepasbare procedure heeft gevonden. Vergissingen kunnen ontstaan wanneer complexe procedures of

4

17-7.-,711"

Richtlij n 4.1:

In een situatie die vraagt on een regelactie van de supervisor moet de MMIF de supervisor helpen bij her terugvinden in het lange tertnijn geheugen van de bij die situatie behorende regelprocedure (Murphyen Mitchell, 1986). Wanneer de namen en labels van displays de context weergeven waarbinnen de melding is gegeven, kunnen deze ervoor zorgen dat er een lichtje gaat branden bij de supervisor. Ook overzichtslij sten van procedures kunnen helpen bij het vinden van de toe te passen procedure..

Het terugvinden in het geheugen van Items, acties en data die geen deel tlitmaken van een groter geheel kan ook op een dergelijke manier worden ondersteund (Rasmussen en Vicente, 1989).

De MMIF moet de supervisor "walcker houden" bij het uitvoeren van zijn Mak.. Voorkomen moet worden dat de supervisor bij langdurige observatie van het proces verveeld om zich heen gaat lcijken en zijn waalczaamheid verliest. Dit lcan door de supervisor via de MMIF te attenderen op variabelen die gedurende langere tijd niet zijn geobserveerd; een remeclie die in §4.2.1 al is aangedragen ads oplossing vooreen ander probleem: het ontstaan van een 'cognitive tunnel vision' bij het observeren van het proces of het stele° van een diagnose voor een probleem (richtlijn 1.3).

Ontwerprichdijnen en concepten voor mens-machine interfaces van conzplexe pro cessen - S 610

1

1

Hoofdstuk 5

Concepten voor mens-machine interfaces van complexe

processen

In dit hoofdstuk wordt een drietal concepten voor mens-machine interfaces besproken: de zgn. "gen-sensor-an-indicator" interface (§5.1), de interface gebaseerd op een multilevel flowmodel van het proces (§5.2) en de ecologische interface (§5.3). Na de beschrijving van een concept wordt dit geillustreerd met een voorbeeld en geevalueerd aan de hand van de in hoofdstuk 4 gegeven ontwerprichtlijnen voor mens-machine interfaces.

5.1 De een-sensor-een-indicator interface

Beschrijving

De "een-sensor-een-indicator" (ESEI) interface (Goodstein, 1981) representeert het traditionele, tot op heden meest gebruikelijke interface-ontwerp. Een volgens dit concept ontworpen MMIF geeft simpelweg alle elementaire data weer die met een aantal sensoren worden gemeten binnen het proces (ruwe, onbewerkte data). Elke toestandsvariabele in het proces die direct kan worden gemeten krijgt een plaats op het beeldscherm. Wanneer de waarde van een toestandsvariabele een tolerantiegrens overschrijdt wordt de supervisor hierop geattendeerd (de

tolerantiegrenzen worden opgegeven door de

fabrilcanten

van de

verschillende procescomponenten). Dergelijke alarmmeldingen worden veelal op een tweede beeldscherm geplaatst.

Voorbeelden

In figuur 5.1 is een fictief voorbeeld van een strikt volgens het "een-sensor-een-indicator" principe ontworpen interface weergegeven (overgenomen uit Vicente en Rasmussen, 1990): een ESEI interface gebruikt bij het strilcken van een schoenveter met twee op afstand te bedienen robotarmen. Op het interfacebeeldscherm is de grootte van vijftien

toestandsvariabelen af te lezen: de posities van de schoen, de uiteinden van de twee

robotarmen en de twee uiteinden van de schoenveter t.o.v. een assenstelsel met X, Y en Z coordinaten. Deze informatie is in theorie voldoende om (in normale situaties) de schoen te kunnen strikken (al zal dit wel de nodige moeite kosten). Wanneer de veter is gebroken (in probleemsituaties) lijkt het echter praktisch onmogelijk dit probleem aan de hand van de informatie op het beeldscherm vast te stellen.

In figuur 5.2 is een overzichtsscherm van een ESEI interface voor een simulatie van een kerncentrale afgebeeld (Praetorius en Duncan, 1991). Dit scherm is een minder strikte interpretatie van het "een-sensor-een-indicator" principe. Het is een goed voorbeeld van de traditionele presentatie van een complex proces in de regellcamer: in een grafisch overzicht van het proces worden de momentane waarden van de toestandsvariabelen afgebeeld bij de

plaats waar

zij zijn

gemeten. Wanneer de waarde van een toestandsvariabele een

tolerantiegrens overschrijdt wordt de supervisor hierop ge,attendeerd via een alarmmelding.

tro`k

Figuur 5.1: Een "den-sensor-een-indicator interface gebruilct bij het strikken van een schoenveter (fictief voorbeeld).

PSYC power plAnt simulAtov. Time: MOM Trip: MOMMIL

Figuur 5.2: Overzichtsscherm van een "een-sensor-een-indicator" interface voor een simulatie van een kerncentrale (Praetorius en Duncan, 1990).