Prof. Dr. Gudela Grote, ETH Zürich VL Risikoverhalten in Arbeitswelt und Alltag FS 2009 Vorlesung Risikoverhalten in Arbeitswelt und Alltag FS2009 Teil

Prof. Dr. Gudela Grote, ETH Zürich

VL Risikoverhalten in Arbeitswelt und Alltag FS 2009

Vorlesung Risikoverhalten in Arbeitswelt und Alltag FS2009

Teil G. Grote

Prof. Dr. Gudela GroteDepartement Management, Technology, and Economics, ETH ZürichKreuzplatz 5, 8032 ZürichTel. 01- 632 7086/7078, e-mail: [email protected]; www.oat.ethz.ch



Übersicht – Vorlesungsteil Gudela Grote

21.4.09 Prozess- versus Arbeitssicherheit - Das Fallbeispiel BP Texas CityText: Grote, G. (2007). Arbeits- und Prozesssicherheit. In H. Schuler & Kh. Sonntag (Hrsg.), Handbuch der Arbeits- und Organisationspsychologie (pp. 155-162). Göttingen: Hogrefe.

28.4.09 Sichere Organisation I: Sicherheitsmanagementsysteme und SicherheitskulturText: Müller, S., Brauner, C., Grote, G. & Künzler, C. (1998). Sicherheitskultur - Spiegelbild des Risikobewusstseins. Zürich: Schweizer Rück.

5.5.09 Sichere Organisation II: Die Rolle von AufsichtsbehördenText: Kirwan, B., Hale, A. & Hopkins, A. (2002). Changing regulation. Amsterdam: Pergamon. Chap. 1 & 11.

12.5.09 Sichere Technik I – AutomationText: Grote, G. (2009). Management of uncertainty - Theory and application in the design of systems and organizations. London: Springer. Chap. 6.

19.5.09 Sichere Technik II – DatensicherheitText noch offen

Benotete Semesterleistung für diesen Teil: in 2-3er Gruppen einen Vorlesungstermin bearbeiten, d.h. Text vorher lesen, Fragen für die Vorlesung vorbereiten und nach der Vorlesung Zusammenfassung schreiben (wird – ggfs. korrigiert – an alle Teilnehmenden verteilt als Prüfungsvorbereitung)



Prozess- versus Arbeitssicherheit



Beispiel 1: Alitalia-Unfall am Stadlerberg, Nov. 1990

Absturz beim Anflug

È

Kopilot will durchstarten, Pilot verhindert das

Ï Î

Divergenz in Höhenanzeigern, Umschalten auf defektes Pilotgerät,

kein double check

Mitarbeiter der Flugsicherung überprüft Flughöhe nicht

È

Fehler im Funknavigationsempfänger des Piloten (Anzeige plus Warnzeichen für Defekte defekt!)

È

seit 1984 Information des Herstellers über Fehleranfälligkeit eines bestimmten Typs von Höhenmessern verfügbar, keine adäquaten Massnahmen bei Alitalia



Beispiel 2: Bauunfall



Anforderungen an menschliches Handeln aus Perspektive …

… Arbeitssicherheit

• Ziel ist der Schutz des Menschen vor Gefahren am Arbeitsplatz

• Sicherheit ist Sekundäraufgabe für Arbeitende mit Anforderungen an– Risikowahrnehmung

z.B. Beachten von Hinweistafeln

– Risikobezogenes Entscheidenz.B. Beurteilen von Sicherheitsvorrichtungen

– Vorbeugendes Handeln z.B. Tragen von Schutzkleidung

… Prozesssicherheit

• Ziel sind sichere Produktionsprozesse

• Sicherheit ist Teil der primären Ar-beitsaufgabe mit Anforderungen an– Risikowahrnehmung

z.B. Erkennen von Prozessabweichungen

– Risikobezogenes Entscheiden z.B. Abbruch eines Arbeitsprozesses

– Vorbeugendes Handeln z.B. Vorwarnen über Betriebsstörung



Risikowahrnehmung• Erkennen möglicher Schäden

– Beachten, Gewichten und Deuten von Hinweisen auf kritische Bedingungen– Beeinflussung durch Vorerfahrung, Erwartungen, Bedürfnisse etc.– Beschränkung durch begrenzte Aufnahmekapazität

• Wahrscheinlichkeitsbeurteilung– Überbewertung von Basiswahrscheinlichkeiten– Kognitive Heuristiken (z.B. Verfügbarkeit)– Abhängig von Kontrollerwartungen (z.B. unrealistischer Optimismus)– Abhängig von Nutzenbeurteilung (z.B. Risiko selbst als Nutzen)

• “Experten” vs. “Laien”– Unterschiedliche Gewichtung von quantitativer / qualitativer und von “objektiver” /

“subjektbezogener” Information









Gewohnheitsebene Regelebene Wissensebene

Art der Aktivität Gewohnheitshandlung Problemlösen auf derBasis gespeicherterRegeln

Problemlösen, bei demnicht auf bestehendeRegeln zurückgegriffenwerden kann

Aufmerksamkeits-fokus undKontrollmodus

auf Anderes als dieAufgabe gerichtet;automatische Prozesse

auf das Problem ge-richtet; automatischeProzesse

auf das Problem ge-richtet; bewusste,"begrenzt rationale"Prozesse

EinflusssituationalerFaktoren

personbezogene Faktoren sind dominant(Häufigkeit der Handlung / Regelanwendung)

hoch

BeispielefehlerauslösenderBedingungen

• Parallele Zielset-zungen

• Assoziation aufgrundgemeinsamerMerkmale

• Übervereinfachungvon Sachverhalten

• Verfügbarkeit vonLösungsmustern

• unvollständige Ent-scheidungsregeln

• Linearisierung vonProzessen

Leichtigkeit derFehlerentdeckung

schnelle und effektiveFehlerentdeckung

schwierige Fehlerentdeckung,oft nur durch Intervention von aussen

Individuelles risikobezogenes Entscheiden und Handeln: Kognitive Fehler (Reason 1990)





Zur Anzeige wird der QuickTime™ Dekompressor „TIFF (Unkomprimiert)“

benötigt.



Vorbedingungen Hohe KohäsionIsolationDirektive FührungHoher Zeitdruck

Symptome Illusion der EinstimmigkeitGefühl der UnfehlbarkeitZensur von AbweichlernStereotype über AussenstehendeKollektive Rationalisierung

Merkmale derEntscheidungsprozesse

Mangelhafte InformationssucheMangelhafte AlternativensucheSelektive Bewertung von AlternativenFehlende Planung von Konsequenzen

Massnahmen, umGruppendenken zu verhindern

• Offene Entwicklung und Bewertung vonAlternativen

• Ermutigung zu Kritik und Meinungsabwei-chungen

• Beizug von Experten• Institutionalisierung eines Advocatus diaboli

Kollektives risikobezogenes Entscheiden und Handeln: Gruppendenken (Janis, 1972)



Vorbeugendes Handeln - Aufrechterhalten der Motivation für Sicherheit als "Nichtereignis" am Beispiel Gehörschutz

Handlung Tragen von Gehörschutz Handlung Nichttragen von Gehörschutz

Wert des Handlungsergebnisses:

Vermeidung körperlicher Schädigung (+)

eingeschränktes Wohlbefinden (-)

Einschränkung bei der Erfüllung von Arbeitsanforderungen (-)

soziale Zugehörigkeit (+/-)

soziale Anerkennung (+/-)

Wert des Handlungsergebnisses:

körperliche Schädigung (-)

keine Einschränkung des Wohlbefindens (+)

keine Einschränkung bei der Erfüllung von Arbeitsanforderungen (+)

soziale Zugehörigkeit (+/-)

soziale Anerkennung (+/-)

Erwartung, dass Ergebnis eintritt, wird beeinflusst durch:

Wahrgenommene Gefährdung

Wahrgenommene Funktionalität des Schutzes (bzgl Sicherheit und Arbeitsanforderungen)

Tragekomfort / optische Gestaltung

soziale Normen

Führungsverhalten

Motivation für eine Handlung = Wert x Erwartung



Anforderungen an menschliches Handeln aus Perspektive …

… Arbeitssicherheit

• Ziel ist der Schutz des Menschen vor Gefahren am Arbeitsplatz

• Sicherheit ist Sekundäraufgabe für Arbeitende mit Anforderungen an– Risikowahrnehmung

z.B. Beachten von Hinweistafeln

– Risikobezogenes Entscheiden z.B. Beurteilen von Sicherheitsvorrichtungen

– Vorbeugendes Handeln z.B. Tragen von Schutzkleidung

• Sicherheitsmassnahmen– Mensch: Wissen über Gesundheitsge-fährdungen und

deren Vermeidung– Technik: Absicherung durch

Barrieren etc.– Organisation: Reglementierung

von Sicherheitsvorkehrungen

… Prozesssicherheit

• Ziel sind sichere Produktionsprozesse

• Sicherheit ist Teil der primären Ar-beitsaufgabe mit Anforderungen an– Risikowahrnehmung

z.B. Erkennen von Prozessabweichungen

– Risikobezogenes Entscheiden z.B. Abbruch eines Arbeitsprozesses

– Vorbeugendes Handeln z.B. Vorwarnen über Betriebsstörung

• Sicherheitsmassnahmen– Mensch: Fach- und Methoden-kompetenz– Technik: Absicherung durch Redundanzen und

Automation– Organisation: Reglementierung

von Arbeitsprozessen



Sichere Organisation I: Sicherheitsmanagementsysteme und Sicherheitskultur



Definitionen für Sicherheitskultur und Sicherheitsmanagement

• Safety culture: “that assembly of characteristics and attitudes in organizations and individuals which establishes that, as an overriding priority, nuclear safety issues receive the attention warranted by their significance” (INSAG, 1991)

• Safety management: “the safety management system comprises those arrangements made by the organization for the management of safety in order to promote a strong safety culture and achieve good safety performance” INSAG, 1999)



P o l i c y L e v e l

C o m m i t m e n t

S e l f - R e g u l a t i o n

D e f i n i t i o n o f r e s p o n s i b i l i t i e s

D e f i n i t i o n a n d C o n t r o l o f S a f e t y P r a c t i c e s

Q u a l i f i c a t i o n s a n d T r a i n i n g

R e w a r d s a n d S a n c t i o n s

A u d i t , R e v i e w a n d C o m p a r i s o n

C o m m u n i c a t i o n

R i g o r o u s a n d P r u d e n t A p p r o a c h

Q u e s t i o n i n g A t t i t u d e

M a n a g e r s '

C o m m i t m e n t

S t a t e m e n t o f S a f e t y P o l i c y

M a n a g e m e n t S t r u c t u r e s

R e s o u r c e s

I n d i v i d u a l s '

C o m m i t m e n t

Elemente von Sicherheitskultur nach INSAG (1991)



Merkmale sicherer Organisationen:Beschreibung von Sicherheitskultur oder Sicherheitsmanagement? (z.B. Cohen, 1977; Reason, 1993)

• Commitment des Management zur Sicherheit• Sicherheitsausbildung und -motivation• Sicherheitsgremien und - vorschriften• Unfallberichte• Angemessene Inspektionen und Kommunikation• Angemessene Vorschriften für Betrieb und Unterhalt• Gutgestaltete und funktionierende technische Anlagen• Gute allgemeine Ordnung



Organisationskultur"a pattern of basic assumptions - invented, discovered, or developed by a given group as it learns to cope with its problems of external adaptation and internal integration - that has worked well enough to be considered valid and therefore, to be taught to new members as the correct way to perceive, think, and feel in relation to those problems" (Schein, 1985)

Artefakte Sichtbare Strukturen und Prozesse in der Organisation(schwer zu entziffern)

WerteStrategien, Ziele, Philosopien (gültige Rechtfertigungen)

GrundannahmenUnbewusste, als selbstverständlich angenommene Glaubenssätze, Beurteilungen, Gefühle(primäre Quelle von Werten und Handlungen)



"Sicherheit durch menschliches Handeln"

Dezentrale Autonomie und Kontrolle: Förderung von Kompetenz und

Motivation für flexibles Handeln in komplexen Umwelten

"Sicherheit trotz menschlicher Fehler"

Zentrale Autonomie und Kontrolle: Reduktion von Handlungsspiel-

räumen durch Reglementierung und Automation

Sicherheitsfaktor?Risikofaktor?

Sicherheitsmassnahmen als Spiegel und Bestätigung von Menschenbildern

Bei allen Sicherheitsmassnahmen ist die richtige Balance zu finden.



Ein FallbeispielIn einer Produktionsanlage eines Petrochemiewerks wird Polyethylen aus in Isobutan gelöstem Ethylen unter hohem Druck und hoher Temperatur unter Zuhilfenahme verschiedener anderer Chemikalien, u.a. Hexan, in sogenannten Loop-Reaktoren hergestellt. Ein Operateur im Kontrollraum dieser Produktionsanlage überwacht den Reaktionsprozess in zwei solchen Reaktoren auf einer Reihe von Bildschirmen und Prozessschreibern. Mit Blick auf einen der Prozessschreiber erläutert einer seiner Schichtkollegen der Beobachterin: "Wenn diese beiden Kurven nicht mehr parallel laufen, ist Vorsicht geboten - wenn sie sich kreuzen, muss sofort der Prozess gestoppt werden." Bei den beiden Kurven handelt es sich um Messungen des Drucks im Reaktor und des Energieverbrauchs bei einer Gruppe von Pumpen; die Kreuzung der beiden Kurven zeigt eine Klumpung des Polyethylens an, wodurch einerseits der Druck im Reaktor steigt, andererseits mehr Energie nötig ist, um das fertige Produkt aus dem Reaktor zu pumpen. Neben den Prozessschreibern wurde auch ein Blatt Papier angeklebt, auf dem kritischen Werte für diese beiden Parameter stehen, unterschieden nach dem Wert, bei dem der Vorgesetzte zu unterrichten ist, und dem Wert, bei dem der Prozess abgestellt werden muss, was sofortiges Leeren des Reaktors und Spülen mit Wasser sowie einen mehrstündigen Produktionsunterbruch bedeutet. Eine Stunde später beginnen sich die beiden Kurven tatsächlich aufeinander zu zu bewegen. Der Operateur bemerkt dies sofort und verändert nach Überprüfung einiger anderer Kenngrössen die Sollwerte für den Produktionsstoff Hexan - er hat sich zusätzlich über die Hexan-Sollwerte in den Prozessvorschriften vergewissert -, wodurch das Prozessleitssystem den Zufluss des Stoffes reduziert und der Reaktor aufgrund des geringeren Reaktionsvolumens entlastet wird. Gleichzeitig hat der Operateur auch den Schichtführer informiert, der wenige Minuten später aus einer Sitzung heraus zu ihm kommt und auch während des weiteren Verlaufs der Störung anwesend ist. Die ersten Aktionen des Operateurs haben den Trend der Messgrössen noch nicht umgekehrt, erst weitere Reduktionen des Hexanzuflusses und schnelleres Entleeren des Kessels führen nach mehr als einer Viertelstunde wieder zu einer Normalisierung der Werte. Im Verlauf dieser Störung haben sich die beiden Kurven auf dem Prozessschreiber kurzfristig gekreuzt, im Vertrauen auf seine Fähigkeiten und unterstützt durch den Schichtführer hat sich der Operateur aber dagegen entschie-den, den Prozess gänzlich zu stoppen. Statt einen grösseren Produktionsausfall zu verursachen, hat er innerhalb einer halben Stunde den Prozess wieder weitgehend normalisiert, auch die Resultate der Qualitätskontrolle sind bald wieder positiv. Der Schichtkollege kommentiert "Ich hätte den Prozess ganz sicher gestoppt", dabei ist aber Bewunderung für die Kompetenz des Anderen zu spüren.

Hat der Operateur richtig gehandelt?



Organisationales Management von Unsicherheit (Grote, 2004, in press)

Minimierung von Unsicherheiten

• Komplexe, zentrale Planungssysteme

• Reduktion von operativen Handlungs-spielräumen durch Reglementierung und Automatisierung

• Störungen als zu vermeidende Symp-tome ineffizienter Systemgestaltung

Bewältigung von Unsicherheiten

• Planung als Ressource für situatives Handeln

• Fördern operativer Handlungsspiel-räume durch vollständige Aufgaben und laterale Vernetzung

• Störungen als Gelegenheit für Kompetenzerwerb/-einsatz und für Systemveränderungen

Bindung

Autonomie



Organisationales Management von Unsicherheit (Grote, 2004)

Minimierung von Unsicherheiten

• Komplexe, zentrale Planungssysteme

• Reduktion von operativen Handlungs-spielräumen durch Reglementierung und Automatisierung

• Störungen als zu vermeidende Symp-tome ineffizienter Systemgestaltung

Bewältigung von Unsicherheiten

• Planung als Ressource für situatives Handeln

• Fördern operativer Handlungsspiel-räume durch vollständige Aufgaben und laterale Vernetzung

• Störungen als Gelegenheit für Kompetenzerwerb/-einsatz und für Systemveränderungen

Bindung

Autonomie

Koordination via- technische Systeme- Standards/Programme- persönliche WeisungEffektiv bei wenig Unsicherheit

Koordination via- Pläne- gegenseitige Absprachen- KulturEffektiv bei viel Unsicherheit

Balance durch lose Kopplung Motivation durch Aufgabenorientierung

Autonomie höherer OrdnungFlexible Wechsel zwischen Organisationsformen

Kultur als Basis für Koordination/Integration



Soziotechnisches Modell der Sicherheitskultur (Grote & Künzler, 2000)

M a t e r i e l l e M e r k m a l e

d e r O r g a n i s a t i o n

I m m a t e r i e l l e M e r k m a l e

d e r O r g a n i s a t i o n

N o r m e n u n d G r u n d a n n a h m e n , d i e d i e I n t e g r a t i o n

v o n S i c h e r h e i t i n a l l e A r b e i t s p r o z e s s e f ö r d e r n

N o r m e n u n d G r u n d a n n a h m e n z u s o z i o t e c h n i s c h e n

G e s t a l t u n g s p r i n z i p i e n w i e A u t o m a t i o n s p h i l o s o p h i e u n d

U m g a n g m i t V e r t r a u e n / K o n t r o l l e

V e r a n k e r u n g d e r S i c h e r h e i t i n d e r A u f b a u - u n d

A b l a u f o r g a n i s a t i o n

G e m e i n s a m e O p t i m i e r u n g v o n T e c h n i k e i n s a t z u n d

A r b e i t s o r g a n i s a t i o n m i t d e m Z i e l d e r R e g u l a t i o n v o n

S c h w a n k u n g e n u n d S t ö r u n g e m a m E n t s t e h u n g s o r t

}

}

P r o a k t i v

S o z i o t e c h n i s c h i n t e g r i e r t

W e r t e b e w u s s t

s i c h t b a r , a b e r o f t n i c h t

e n t z i f f e r b a r

u n s i c h t b a r ,

s e l b s t v e r s t ä n d l i c h



Indikatoren im soziotechnischen Modell der Sicherheitskultur

• Individuelles und kollektives Sicherheitsbewusstsein als Handlungsbasis

• Fragende Grundhaltung bzgl. Praktiken und Leitlinien• Partizipation aller Betroffenen bei Entscheidungs- und Veränderungsprozessen• Reflexion der Balance von zentraler vs. dezentraler Kontrolle und Autonomie

(III) Wertebewusstes Handeln

• Kontrollierbare technische Systeme• Individuelle Motivation durch Aufgabenorientierung• Selbstregulation in kleinen Regelkreisen• Aufgabenangemessene technische und organisatorische Sicherheitssysteme

(II) Soziotechnisch integrierte Systemgestaltung

• Institutionalisierte kontinuierliche Verbesserungsprozesse• Erhebung von Negativ- und Positivindikatoren von Sicherheit• Ressourcenplanung als Verpflichtung zur Sicherheitsförderung• Strategische und operative Sicherheitsziele für alle Unternehmensbereiche

(I) Proaktive Sicherheitsförderung



Methode für die Beurteilung von Sicherheitsmanagement bei Swiss Re: Safety Management Audit in the Process Industries (SMAPI)

S M A P I - C h e c k l i s t

S a f e t y A w a r e n e s s

Q u e s t i o n n a i r e

F e e d b a c k - M e e t i n g R e p o r t

M a t e r i a l c h a r a c t e r i s t i c s

o f s a f e t y m a n a g e m e n t

b a s e d o n

e x p e r t i n t e r v i e w s a n d p l a n t i n s p e c t i o n

I m m a t e r i a l c h a r a c t e r i s t i c s

o f s a f e t y m a n a g e m e n t

b a s e d o n

s a f e t y - r e l a t e d p e r c e p t i o n s o f

m e m b e r s o f t h e o r g a n i z a t i o n i n

d i f f e r e n t d e p a r t m e n t s a n d o n

d i f f e r e n t h i e r a r c h i c a l l e v e l s



Basis für die Beurteilung von Sicherheitskultur: Vergleich der Urteile von Beschäftigten verschiedener Abteilungen und Hierarchiestufen

(1) Beurteilung von Sicherheitsmassnahmen

Formale Sicherheit

e.g. There are sufficient written procedures, checklists etc. to ensure process safety.

Gelebte Sicherheite.g. Proposals developed during safety meetings are swiftly implemented.

(2) Beurteilung von Sicherheitsstrategien

e.g. Plant personnel can intervene in automated processes to ensure quality and safety of production.vs.Plant personnel may not intervene in automated processes in order not to jeopardize safety.


VL Risikoverhalten in Arbeitswelt und Alltag FS 2009B

eis

pie

le F

rag

eb

og

en



Be

isp

iele

Fra

ge

bo

ge

n



Standardisierung als wesentlicher Teil von Sicherheitsmanagementsystemen

• Standards unterstützen koordiniertes Handeln ohne Notwendigkeit für explizite Koordination

• Standards unterstützen geteilte mentale Modelle der Situation und des angemessenen Handelns

• Standards reduzieren die bewusste individuelle Handlungsplanung• Standards können explizite Koordination in anomalen Situationen

verhindern

Welche und wieviele Standards sind nötig, um situatives, flexibles Handeln zu unterstützen ? (z.B. Landung Hudson River)



Typen von Regeln (Hale & Swuste, 1998)

• Ebene der Handlungsregulation: – Ziel (Regel definiert nur das Ziel, macht aber keine Aussagen darüber, wie

das Ziel zu erreichen ist)– Prozess (Regel beschreibt Prozesse, die nötig sind, um die korrekte Handlung

zu definieren)– Handlung (Regel scheibt eine konkrete operative Handlungsweise vor)

• Verbindlichkeit der Regel • Handlungsspielraum in der Ausführung der Regel • Verantwortungszuteilung • Ausnahmen der Regelanwendung • Begründung der Regel



Vorschriftenanalyse in einem Eisenbahn-unternehmen

Regelart Regeln Rangier-bewegungen

Neue Regeln Zugfahrten

Bisherige Regeln Zugfahrten

Anzahl Prozent Anzahl Prozent Anzahl Prozent

Gesamt 28 100 32 100 155 100

Zielregel 0 0 1 3 1 1

Prozessregel 6 21 9 28 19 12

Handlungsregel 22 79 22 69 135 87

Ratschlag 0 0 1 3 3 2

mit Spielraum 20 71 15 47 61 39

mit Verantwor-tungszuteilung

2 7 17 53 46 30

mit Ausnahme 7 25 6 19 34 22

mit Begründung 1 4 0 0 5 3



Prinzipien für die Förderung flexibler Routinen durch Regeln

• Festlegung der geforderten Balance zwischen Stabilität und Flexibilität– Beispiel Google versus Kernkraftwerk

• Ziel- und Prozessregeln für Flexibilität und Handlungsregeln für Stabilität– Beispiel Überwachung von Zugfahrten im Stellwerk

• Passung zwischen Verantwortung und Kompetenz für den Umgang mit Unsicherheit– Beispiel TCAS



Management von Unsicherheit in Organisationen (Grote, 2004; in press)

Stabilität

Flexibilität

Zentrale Planung

Hohe Standardisierung

Hoher Automationsgrad

Wenig operative Spielräume

Jede Organisation muss die richtige Balance zwischen Stabilität durch Minimierung von Unsicherheit und Flexibilität durch

Bewältigung von Unsicherheit finden.



Beispiel Überwachung von Zugfahrten im Stellwerk

Das richtige Funktionieren des Zuglenksystems und der Stellwerkautomatik ist durch den Fahrdienstleiter zu über-wachen. Nötigenfalls ist manuell einzugreifen.

Im Regelbetrieb kann auf die Überwachung verzichtet werden, sofern die Einhaltung der betrieblichen Vorgaben gewährleistet wird.

Zudem muss bei Störungen oder Ereignissen das Aufbieten der entsprechenden Dienste bzw. die Alarmierung sichergestellt sein.

(Auszug aus Fahrdienstvorschriften einer Eisenbahngesellchaft)



Beispiel Überwachung von Zugfahrten im Stellwerk

Das richtige Funktionieren des Zuglenksystems und der Stellwerkautomatik ist durch den Fahrdienstleiter zu über-wachen. Nötigenfalls ist manuell einzugreifen.

Im Regelbetrieb kann auf die Überwachung verzichtet werden, sofern die Einhaltung der betrieblichen Vorgaben gewährleistet wird.

Zudem muss bei Störungen oder Ereignissen das Aufbieten der entsprechenden Dienste bzw. die Alarmierung sichergestellt sein.

(Auszug aus Fahrdienstvorschriften einer Eisenbahngesellchaft)

Handlungsregel Stabilität

(mit Spielraum)

Zielregel Flexibilität

aber: unzureichende Passung Verantwortung-Untertsützung

Prozessregel Flexibilität



Beispiel TCAS


benötigt.


benötigt.



Sichere Technik I – Automation



Technikgestaltung in risikoreichen Arbeitssystemen

• Technische Sicherung kritischer Systemfunktionen (z.B. ABS)• Technische Redundanzen• Technische Hilfsmittel zur Verhaltensbeeinflussung (z.B.

Signale)• Ergonomie (Hardware und Software)



QuickTime™ and aTIFF (LZW) decompressor

are needed to see this picture.

Cockpit A320



Menschliche Fehler bei Incidents im AirbusMenschliche Fehler bei Incidents im Airbus

0 5 10 15 20 25 30 35 40 45

4 (2%)

6 (3%)

7 (3%)

8 (4%)

9 (4%)

15 (7%)

16 (7%)

19 (9%)

20 (9%)

35 (16%)

38 (18%)

39 (18%)

Sonstiges

Wahrnehmung

Interpretation

Selbstüberschätzung

Slips/ Lapses

Procedures

Planung/Timing

Entscheidung

System Operation

Crew Koordination

A/C-Handling

Situationsbewusstsein



Beispiel: Lack of Situation Awareness

• Crew ist sich nicht bewusst über V2• keine Bewusstheit über Power Setting (N1)• bemerkt Mode Change nicht• ist sich der niedrigen Rotationsrate nicht bewusst• bemerkt nicht, dass A/THR in Climb Thrust• sind sich nicht bewusst, im Leerlauf zu fliegen



Lack of Situation Awareness

fokussierte Aufmerksamkeit

mangelndes Feedback ATS

mangelndes Feedback Sidesticks

hohe mentale Belastung

Interpretationsfehler

informationelle Einflüsse

Zugrundeliegende Faktoren Hinweis auf Bedeutung der (un)ergonomischen Gestal-tung von Steuerelementen im Airbus



Technikgestaltung in risikoreichen Arbeitssystemen

• Technische Sicherung kritischer Systemfunktionen (z.B. ABS)• Technische Redundanzen• Technische Hilfsmittel zur Verhaltensbeeinflussung (z.B.

Signale)• Ergonomie (Hardware und Software)• Aufgabenverteilung Mensch-Technik



Menschliche Kontrolle in soziotechnischen Systemen

• Unabhängig vom Grad der Automatisierung soziotechnischer Systeme müssen Menschen die Verantwortung für ihr Funktionieren übernehmen.

• Um Verantwortung übernehmen zu können, müssen die Systeme für den Menschen kontrollierbar sein.

• Kontrolle beinhaltet die Durchschaubarkeit, Vorhersehbarkeit und Beeinflussbarkeit des Systems.



"(...) das automatische Kontrollsystem ist eingeführt worden, weil es die Aufgabe besser erfüllen kann als der Operateur, und doch wird vom Operateur verlangt, dass er das richtige Funktionieren des Systems überwacht. (...) wenn die Entscheidungen vollständig spezifiziert werden können, kann der Computer sie schneller treffen, unter Berücksichtigung von mehr Entscheidungen und genauer spezifizierten Kriterien im Vergleich zu dem, was ein Mensch könnte. Daher ist es unmöglich, dass der menschliche Operateur unmittelbar überprüfen kann, ob der Computer seinen eigenen Regeln korrekt folgt.

Ironien der Automation

Man kann deshalb vom Operateur nur erwarten, dass er die Entscheidungen des Computers auf einer Meta-Ebene überwacht, um festzustellen, ob die Entscheidungen des Computers 'akzeptabel' sind. Falls der Computer für die Entscheidungen eingesetzt wird, weil menschliche Urteilskraft und intuitives Schlussfolgern dem jewei-ligen Kontext nicht angemessen sind, fragt sich, welche der Entscheidungen akzeptiert werden sollte? Der mensch-liche Überwacher hat eine unmögliche Aufgabe erhalten." (Bainbridge, 1982)



Strategien für die Aufgabenverteilung zwischen Mensch und Technik

Allokationskriterium Menschenbild Technikbild AusdrücklichePlanung mensch-licher Aufgaben

Wirtschaftlichkeit Kostenfaktor nein

Maximale Automation Stör-/Risikofaktor Effizienz-/Sicherheitsfaktor

nein

Ausnutzung derLeistungspotenziale

konkurrierender Leistungsfaktor ja

Motivierende/menschengerechte Aufgaben

wertvolleRessource

Unterstützung desMenschen

ja

SituationsangepassteFlexibilität

wertvolle Ressource ja



Menschliche Fähigkeiten im Vergleich zu technischen Potentialen

Mensch besser als Maschine Maschine besser als MenschWahrnehmung schwacher und/oderunerwarteter Signale auch bei viel "Rauschen"

Wahrnehmung von vorher spezifiziertenSignalen auch ausserhalb menschlicher Sinne

(Wieder-)Erkennen komplexer Reizmuster inverschiedenen Situationen

Verarbeitung quantitativer Information nachvorgegebenen Regeln

Behalten von Prinzipien und Strategien,weniger Einzelinformationen, über lange Zeit

Behalten grosser Mengen von Detailinforma-tion

Erinnern relevanter Informationen einschliess-lich assoziativer Ketten

Abruf von Information nach vorgegebenenRegeln

Improvisation in "Not"-Situationen Zuverlässige Ausführung repetitiver Prozesse

Setzen von Prioritäten bei Überbelastung Aufrechterhaltung gleicher Leistung überlange Zeiträume und bei hoher Belastung

hochausgebildete Sensorik

ImprovisationsfähigkeitBewältigung von "ill-defined" Problemen

Geschwindigkeit

exakte Wiederholung ohne ErmüdungBewältigung von komplexen, aber "well-defined" Problemen



Kritik an der Vergleichsstrategie

• Mensch und Technik sind nicht quantitativ vergleichbar, d.h. die gleiche Funktion wird von Mensch und Technik qualitativ anders erfüllt.

• Mensch und Technik sind nicht austauschbar, sondern ergänzen sich, d.h. statt Entweder-Oder-Entscheiden bei der Funktionsverteilung ist die Interaktion von Mensch und Technik zu gestalten.

• Ausführungsbedingungen ergeben sich aus Wechselwirkungen zwischen Funktionen, d.h. Automatisierung einer Funktion beeinflusst Ausführung anderer Funktionen durch den Menschen.



Das Grundprinzip der Komplementarität

sondern als komplementäre Unterstützung der Stärken des Menschen und Kompensation seiner Schwächen

nicht als Konkurrent und nicht als Nachbildung des Menschen mit dem Ziel, ihn zu ersetzen,

d.h. Technik

Gestaltung der Interaktion von Mensch und Technikauf der Grundlage einer sich zu einer neuen Qualitätergänzenden Unterschiedlichkeit



Soziotechnische Systemgestaltung: Beispiel KOMPASS (Grote et al., 2000)

F u n k t i o n a l e I n t e g r a t i o n

R e l a t i v e U n a b h ä n g i g k e i t

A d ä q u a t e R e g u l a t i o n s m ö g l i c h k e i t e n

P o l y v a l e n z d e r M i t a r b e i t e r

A u t o n o m i e d e r A r b e i t s g r u p p e n

G r e n z r e g u l a t i o n d u r c h V o r g e s e t z t e

O R G A N I S A T I O NT E C H N I K

P r o z e s s t r a n s p a r e n z

D y n a m i s c h e K o p p l u n g

F l e x i b l e F u n k t i o n s v e r t e i l u n g

P a s s u n g A u t o r i t ä t / V e r a n t w o r t u n g

M E N S C H

G a n z h e i t l i c h k e i t

D e n k - u n d P l a n u n g s e r f o r d e r n i s s s e

A n f o r d e r u n g s v i e l f a l t

K o o p e r a t i o n s e r f o r d e r n i s s e

D u r c h s c h a u - u n d G e s t a l t b a r k e i t

L e r n - u n d E n t w i c k l u n g s m ö g l i c h k e i t e n

B e h i n d e r u n g s f r e i h e i t / Z e i t e l a s t i z i t ä t

K o m p e t e n z f ö r d e r u n g

f ü r

l o k a l e B e w ä l t i g u n g

v o n V a r i a n z e n

K o n t r o l l i e r b a r k e i t

d u r c h M e n s c h e n

M o t i v a t i o n d u r c h A u f g a b e n o r i e n t i e r u n g

S e l b s t r e g u l a t i o n

i n k l e i n e n R e g e l k r e i s e n



Beispiel aus KOMPASS: Informations- und Ausführungsautorität

Manuell

Manuell, technisch unterstützt

Manuell, technisch unterstützt und begrenzt

Automatisch, manuell bestätigt

Automatisch

Manuell, technisch begrenzt

Gestaltungsziel: Passung zwischen Grad an Informations- und Ausführungsautorität und zwischen Autorität und Verantwortung



Fortschritte arbeitswissenschaftlicher Designmethoden: Kontrollierbarere Systeme?

• Unfall- und Ereignisanalysen legen ein Nein nahe.• Mögliche Gründe:

– Systementwickler folgen den arbeitswissenschaftlichen Methoden nicht und beharren auf Annahmen zu

• Menschen als Risikofaktoren • Organisationen als geschlossenen technischen Systemen, in denen

Unsicherheit minimiert werden kann. – Kontrolle wird durch Vertrauen ersetzt.

• Aber: Trotz wachsender Komplexität menschliche Kontrolle immer wieder auf ähnliches Niveau eingependelt.

• Wird das auch mit noch höheren Komplexitätsgraden funktionieren?



Erweiterung: Systemdesign für partielle Nicht-Kontrollierbarkeit

• Information für menschliche Operateure zu den Grenzen der Kontrollierbarkeit (z.B. Airbus-Unfall Warschau)

• Durch Menschen nicht kontrollierbare Funktionen vollständig automatisieren ohne menschliche Back-up-Anforderung (z.B. TCAS)

• Verschiebung der Verantwortung für Systemsicherheit hin zu Betreiberorganisationen und Entwicklern

Documents

Prof. Dr. Gudela Grote, ETH Zürich VL Risikoverhalten in Arbeitswelt und Alltag FS 2009 Vorlesung Risikoverhalten in Arbeitswelt und Alltag FS2009 Teil