When automation fails, it often doe

When automation fails, it often does so without warning. This is a situation I have documented very thoroughly in my other books and many of my papers, as have many other people in the field of safety and automation. When the failure occurs, the human is “out of the loop.” This means that the person has not been paying much attention to the operation, and it takes time for the failure to be noticed and evaluated, and then to decide how to respond.
In an airplane, when the automation fails, there is usually con- siderable time for the pilots to understand the situation and re- spond. Airplanes fly quite high: over 10 km (6 miles) above the earth, so even if the plane were to start falling, the pilots might have several minutes to respond. Moreover, pilots are extremely well trained. When automation fails in an automobile, the person might have only a fraction of a second to avoid an accident. This would be extremely difficult even for the most expert driver, and most drivers are not well trained.
In other circumstances, such as ships, there may be more time to respond, but only if the failure of the automation is noticed. In one dramatic case, the grounding of the cruise ship Royal Majesty in
1997, the failure lasted for several days and was only detected in the postaccident investigation, after the ship had run aground, causing several million dollars in damage. What happened? The ship’s lo- cation was normally determined by the Global Positioning System (GPS), but the cable that connected the satellite antenna to the nav- igation system somehow had become disconnected (nobody ever discovered how). As a result, the navigation system had switched from using GPS signals to “dead reckoning,” approximating the ship’s location by estimating speed and direction of travel, but the design of the navigation system didn’t make this apparent. As a re- sult, as the ship traveled from Bermuda to its destination of Boston, it went too far south and went aground on Cape Cod, a peninsula jutting out of the water south of Boston. The automation had per- formed flawlessly for years, which increased people’s trust and re- liance upon it, so the normal manual checking of location or careful perusal of the display (to see the tiny letters “dr” indicating “dead reckoning” mode) were not done. This was a huge mode error failure.

Design Principles for Dealing with Error
People are flexible, versatile, and creative. Machines are rigid, pre- cise, and relatively fixed in their operations. There is a mismatch between the two, one that can lead to enhanced capability if used properly. Think of an electronic calculator. It doesn’t do mathemat- ics like a person, but can solve problems people can’t. Moreover, calculators do not make errors. So the human plus calculator is a perfect collaboration: we humans figure out what the important problems are and how to state them. Then we use calculators to compute the solutions.
Difficulties arise when we do not think of people and machines as collaborative systems, but assign whatever tasks can be auto- mated to the machines and leave the rest to people. This ends up requiring people to behave in machine like fashion, in ways that differ from human capabilities. We expect people to monitor ma- chines, which means keeping alert for long periods, something we are bad at. We require people to do repeated operations with the extreme precision and accuracy required by machines, again some- thing we are not good at. When we divide up the machine and human components of a task in this way, we fail to take advantage of human strengths and capabilities but instead rely upon areas where we are genetically, biologically unsuited. Yet, when people fail, they are blamed.
What we call “human error” is often simply a human action that is inappropriate for the needs of technology. As a result, it flags a deficit in our technology. It should not be thought of as error. We should eliminate the concept of error: instead, we should realize that people can use assistance in translating their goals and plans into the appropriate form for technology.
Given the mismatch between human competencies and tech- nological requirements, errors are inevitable. Therefore, the best designs take that fact as given and seek to minimize the opportu- nities for errors while also mitigating the consequences. Assume that every possible mishap will happen, so protect against them. Make actions reversible; make errors less costly. Here are key de- sign principles:

• Put the knowledge required to operate the technology in the world.
Don’t require that all the knowledge must be in the head. Allow for efficient operation when people have learned all the requirements, when they are experts who can perform without the knowledge in the world, but make it possible for non-experts to use the knowledge in the world. This will also help experts who need to perform a rare, infrequently performed operation or return to the technology after a prolonged absence.
• Use the power of natural and artificial constraints: physical, logical, semantic, and cultural. Exploit the power of forcing functions and natural mappings.
• Bridge the two gulfs, the Gulf of Execution and the Gulf of Evalua- tion. Make things visible, both for execution and evaluation. On the execution side, provide feedforward information: make the options readily available. On the evaluation side, provide feedback: make the results of each action apparent. Make it possible to determine the sys- tem’s status readily, easily, accurately, and in a form consistent with the person’s goals, plans, and expectations.

We should deal with error by embracing it, by seeking to under- stand the causes and ensuring they do not happen again. We need to assist rather than punish or scold.

Kết quả (Việt) 1:

Khi tự động hóa không thành công, nó thường như vậy mà không có cảnh báo. Đây là một tình hình tôi có tài liệu rất kỹ lưỡng trong cuốn sách của tôi và nhiều người trong số giấy tờ của tôi, như có nhiều người khác trong lĩnh vực an toàn và tự động hóa. Khi sự thất bại xảy ra, con người là "ra khỏi vòng lặp." Điều này có nghĩa rằng những người đã không trả tiền nhiều sự chú ý đến các hoạt động, và nó cần có thời gian cho việc không được nhận thấy và đánh giá, và sau đó quyết định làm thế nào để trả lời.
trong máy bay, khi tự động hóa không thành công, có thường là côn-siderable thời gian cho các phi công để hiểu tình hình và re-spond. Máy bay bay khá cao: hơn 10 km (6 dặm) ở trên trái đất, vì vậy ngay cả khi máy bay đã bắt đầu rơi xuống, các phi công có thể có vài phút để trả lời. Hơn nữa, Phi công được đào tạo rất tốt. Khi tự động hóa không thành công trong một ô tô, những người có thể có chỉ một phần nhỏ của một giây để tránh tai nạn. Điều này sẽ vô cùng khó khăn ngay cả đối với trình điều khiển đặt chuyên gia, và hầu hết các trình điều khiển được không được đào tạo tốt.
trong trường hợp khác, chẳng hạn như tàu, có thể là thêm thời gian để đáp ứng, nhưng chỉ khi sự thất bại của tự động hóa nhận thấy. Trong một trường hợp mạnh mẽ, nền tảng của hành trình tàu hoàng gia hùng vĩ ở
1997, sự thất bại kéo dài trong nhiều ngày và chỉ được phát hiện trong việc điều tra postaccident, sau khi con tàu đã chạy bị mắc cạn, gây ra nhiều triệu đô la thiệt hại. Điều gì đã xảy ra? Con tàu lo-cation bình thường đã được xác định bởi các Global Positioning System (GPS), nhưng cáp kết nối ăng-ten vệ tinh lên hệ nav-igation bằng cách nào đó đã trở thành bị ngắt kết nối (không ai bao giờ phát hiện ra như thế nào). Kết quả là hệ thống định vị đã chuyển từ việc sử dụng tín hiệu GPS để "dead reckoning," số vị trí của con tàu bằng cách ước tính tốc độ và hướng của du lịch, nhưng thiết kế của hệ thống định vị không thực hiện điều này rõ ràng. Như một re-ra, Khi con tàu đi du lịch từ Bermuda của nó đến Boston, nó đã đi quá xa về phía Nam và đã bị mắc cạn trên Cape Cod, một bán đảo nhô ra khỏi nước về phía nam của Boston. Tự động hóa có một - được hình thành hoàn hảo trong năm, giúp gia tăng sự tin tưởng của người dân và re-liance khi nó, do đó kiểm tra hướng dẫn sử dụng bình thường của vị trí hoặc sự nhìn chăm chú cẩn thận của màn hình (để xem các chữ cái nhỏ "dr" chỉ ra "dead reckoning" chế độ) đã không được thực hiện. Đây là một chế độ lớn lỗi thất bại.

nguyên tắc thiết kế để đối phó với lỗi
người dân rất linh hoạt, linh hoạt, và sáng tạo. Máy là cứng nhắc, trước cise, và tương đối cố định trong hoạt động của họ. Có là một không phù hợp giữa hai, một trong đó có thể dẫn đến tăng cường khả năng nếu sử dụng đúng cách. Hãy suy nghĩ của một máy tính điện tử. Nó không làm mathemat-ics như một người, nhưng có thể giải quyết vấn đề người có thể không. Hơn nữa, máy tính không làm lỗi. Do đó, con người cộng với máy tính là một sự hợp tác hoàn hảo: con người chúng ta tìm ra những gì đang có những vấn đề quan trọng và làm thế nào để nhà nước họ. Sau đó chúng tôi sử dụng máy tính để tính toán các giải pháp.
khó khăn phát sinh khi chúng tôi không nghĩ rằng người và máy móc như hệ thống hợp tác, nhưng chỉ định bất kỳ nhiệm vụ có thể là tự động-dính vào máy và để phần còn lại cho người dân. Điều này kết thúc lên đòi hỏi phải có người để hành xử theo máy như thời trang, theo những cách khác nhau từ khả năng của con người. Chúng tôi hy vọng mọi người để theo dõi ma-Trung Hoa, có nghĩa là giữ cảnh báo trong thời gian dài, một cái gì đó chúng tôi là xấu. Chúng tôi yêu cầu người dân để làm các hoạt động lặp đi lặp lại với cực kỳ chính xác và độ chính xác yêu cầu của máy, một lần nữa một số điều chúng tôi là không tốt tại. Khi chúng tôi chia lên các máy và các thành phần nhân của một nhiệm vụ bằng cách này, chúng tôi không tận dụng lợi thế của con người thế mạnh và khả năng, nhưng thay vào đó dựa vào khu vực nơi chúng tôi di truyền, sinh học phù hợp. Tuy vậy, khi những người thất bại, họ được đổ lỗi.
những gì chúng tôi gọi là "lỗi của con người" thường là chỉ đơn giản là một hành động của con người là không thích hợp cho nhu cầu của công nghệ. Kết quả là, nó lá cờ một mức thâm hụt trong công nghệ của chúng tôi. Nó nên không được nghĩ đến như là lỗi. Chúng tôi sẽ loại bỏ các khái niệm về lỗi: thay vào đó, chúng tôi nên nhận ra rằng mọi người có thể sử dụng hỗ trợ trong dịch mục tiêu và kế hoạch của họ vào các hình thức thích hợp cho công nghệ.
cho không phù hợp giữa con người năng lực và công nghệ-nological yêu cầu, lỗi là không thể tránh khỏi. Do đó, Các mẫu thiết kế tốt nhất đi thực tế như được đưa ra và tìm cách để giảm thiểu các opportu-nities cho các lỗi trong khi cũng giảm nhẹ hậu quả. Giả sử rằng mọi rủi ro có thể sẽ xảy ra, vì vậy bảo vệ chống lại họ. Thực hiện hành động thể đảo ngược; làm cho lỗi ít tốn kém. Dưới đây là nguyên tắc quan trọng de-dấu hiệu:

• đưa kiến thức cần thiết để vận hành công nghệ trên thế giới.
Không yêu cầu tất cả các kiến thức phải trong đầu. Cho phép cho hiệu quả hoạt động khi người đã học được tất cả các yêu cầu, khi họ là những chuyên gia những người có thể thực hiện mà không có kiến thức trong thế giới, nhưng làm cho nó có thể cho các chuyên gia không sử dụng những kiến thức trong thế giới. Điều này cũng sẽ giúp các chuyên gia những người cần phải thực hiện một hiếm, thường xuyên thực hiện hoạt động hoặc trở về công nghệ sau khi một sự vắng mặt dài.
• sử dụng sức mạnh của những hạn chế tự nhiên và nhân tạo: vật lý, hợp lý, ngữ nghĩa, và văn hóa. Khai thác sức mạnh của chức năng và ánh xạ tự nhiên.
• cầu hai vịnh, Vịnh thực hiện và Vịnh Evalua-tion. Làm những điều có thể nhìn thấy, cả hai để thực hiện và đánh giá. Ở phía bên thực hiện, cung cấp thông tin feedforward: làm cho các tùy chọn có sẵn. Ở phía bên đánh giá, cung cấp thông tin phản hồi: làm cho các kết quả của mỗi hành động rõ ràng. Làm cho nó có thể để xác định tình trạng sys-tem dễ dàng, dễ dàng, chính xác, và trong một hình thức phù hợp với mục tiêu của người, kế hoạch, và kỳ vọng.

chúng tôi nên giải quyết lỗi bằng cách theo đuổi nó, bằng cách tìm kiếm cho các nguyên nhân dưới đứng và đảm bảo họ không xảy ra lần nữa. Chúng tôi cần phải hỗ trợ thay vì trừng phạt hoặc scold.

Kết quả (Việt) 2:

Khi tự động hóa thất bại, nó thường làm như vậy mà không báo trước. Đây là một tình huống tôi đã ghi rất kỹ lưỡng trong cuốn sách khác của tôi và nhiều người trong số giấy tờ của tôi, như có nhiều người khác trong lĩnh vực an toàn và tự động hóa. Khi thất bại xảy ra, con người là "ra khỏi vòng lặp." Điều này có nghĩa rằng người đó đã không được chú ý nhiều đến các hoạt động, và phải mất thời gian cho sự thất bại để được chú ý và đánh giá, và sau đó quyết định làm thế nào để đáp ứng .
Trong một chiếc máy bay, khi tự động hóa không, thường có thời gian xây siderable cho các phi công để hiểu được tình hình và tái spond. Máy bay bay khá cao: trên 10 km (6 dặm) phía trên trái đất, vì vậy ngay cả khi máy bay đã bắt đầu giảm, các phi công có thể có một vài phút để trả lời. Hơn nữa, các phi công được đào tạo rất tốt. Khi tự động hóa không ở trong xe, người có thể chỉ có một phần nhỏ của một giây để tránh một tai nạn. Điều này sẽ vô cùng khó khăn ngay cả đối với người lái xe chuyên gia nhất, và hầu hết các trình điều khiển không được đào tạo tốt.
Trong những trường hợp khác, chẳng hạn như tàu, có thể có thêm thời gian để trả lời, nhưng chỉ khi sự thất bại của tự động hóa được chú ý. Trong một trường hợp kịch tính, các nền tảng của tàu du lịch Hoàng gia Hoàng trong
năm 1997, sự thất bại kéo dài trong nhiều ngày và chỉ được phát hiện trong cuộc điều tra postaccident, sau khi con tàu đã bị mắc cạn, gây ra nhiều triệu đô la thiệt hại. Những gì đã xảy ra? Của tàu lo dục đã được thường được xác định bằng hệ thống định vị toàn cầu (GPS), nhưng cáp kết nối ăng-ten vệ tinh cho hệ thống nav-igation bằng cách nào đó đã trở thành bị ngắt kết nối (không ai phát hiện như thế nào). Kết quả là, hệ thống định vị đã chuyển từ việc sử dụng tín hiệu GPS để "phán xét ​​kẻ chết," xấp xỉ vị trí của tàu bởi tốc độ và hướng đi ước tính, nhưng thiết kế của hệ thống định vị đã không làm cho rõ ràng này. Như một tái sult, như con tàu đi từ Bermuda đến đích của nó Boston, nó đã đi quá xa về phía nam và đi bị mắc cạn ở Cape Cod, một bán đảo nhô ra của miền Nam nước Boston. Tự động hóa có mỗi hình thành hoàn hảo trong nhiều năm qua, tăng niềm tin của người dân và tái liance trên nó, vì vậy việc kiểm tra hướng dẫn sử dụng bình thường của vị trí hoặc nhìn chăm chú cẩn thận của màn hình (để xem các chữ cái nhỏ xíu "dr" chỉ "phán xét ​​chết" chế độ) không được thực hiện. Đây là một thất bại lỗi chế độ rất lớn. Nguyên tắc thiết kế cho Đối phó với Lỗi dân linh hoạt, linh hoạt, và sáng tạo. Máy là cứng nhắc, trước cise, và tương đối cố định trong hoạt động của mình. Có một không phù hợp giữa hai, một trong đó có thể dẫn đến khả năng nâng cao nếu sử dụng đúng cách. Hãy suy nghĩ của một máy tính điện tử. Nó không làm Toán của ics như một người, nhưng có thể giải quyết vấn đề con người thì không. Hơn nữa, máy tính không làm lỗi. Vì vậy, cộng với con người tính là một sự hợp tác hoàn hảo: con người chúng ta tìm ra những vấn đề quan trọng và làm thế nào để nhà nước họ. Sau đó, chúng tôi sử dụng máy tính để tính toán các giải pháp. Những khó khăn phát sinh khi chúng ta không nghĩ về con người và máy móc như hệ thống hợp tác, nhưng chỉ định bất cứ nhiệm vụ có thể được tự động giao phối với các máy và để phần còn lại cho người dân. Điều này kết thúc đòi hỏi người ta cư xử trong máy như thời trang, theo những cách khác với khả năng của con người. Chúng tôi hy vọng mọi người theo dõi ma-Trung Hoa, có nghĩa là giữ cảnh báo trong thời gian dài, một cái gì đó chúng ta xấu. Chúng tôi yêu cầu mọi người làm các hoạt động lặp đi lặp lại với độ chính xác cực cao và độ chính xác theo yêu cầu của máy, một lần nữa một điều gì chúng tôi không giỏi. Khi chúng tôi chia ra các máy và các thành phần của con người một nhiệm vụ theo cách này, chúng ta không tận dụng những thế mạnh và khả năng của con người nhưng thay vì dựa vào khu vực mà chúng tôi có di truyền, sinh học không phù hợp. Tuy nhiên, khi mọi người không, họ đang đổ lỗi. Những gì chúng ta gọi là "lỗi của con người" thường chỉ đơn giản là một hành động của con người là không thích hợp cho các nhu cầu của công nghệ. Kết quả là, nó cờ thâm hụt trong công nghệ của chúng tôi. Nó không nên được coi là lỗi. Chúng ta nên loại bỏ khái niệm về lỗi:. Thay vào đó, chúng ta sẽ nhận ra rằng mọi người có thể sử dụng hỗ trợ trong việc chuyển mục tiêu và kế hoạch của họ vào các hình thức phù hợp với công nghệ Do không phù hợp giữa năng lực con người và yêu cầu công nghệ nological, lỗi này là không thể tránh khỏi. Vì vậy, thiết kế tốt nhất đi mà thực tế như được đưa ra và tìm cách giảm thiểu các cơ hội-nities cho các lỗi trong khi cũng giảm nhẹ hậu quả. Giả định rằng tất cả các rủi ro có thể sẽ xảy ra, do đó bảo vệ chống lại họ. Làm cho hành động đảo ngược; thực hiện sai sót ít tốn kém. Đây là những nguyên tắc de-dấu hiệu quan trọng: • Đặt những kiến thức cần thiết để hoạt động công nghệ trên thế giới. Không yêu cầu rằng tất cả các kiến thức phải ở trong đầu. Cho phép hoạt động hiệu quả khi người ta đã học được tất cả các yêu cầu, khi họ là những chuyên gia có thể thực hiện mà không có kiến thức trên thế giới, nhưng làm cho nó có thể cho các chuyên gia không sử dụng kiến thức trên thế giới. Điều này cũng sẽ giúp các chuyên gia, những người cần để thực hiện một hiếm, thường xuyên thực hiện hoạt động hoặc quay trở lại công nghệ này sau khi một sự vắng mặt kéo dài. • Sử dụng sức mạnh của những hạn chế tự nhiên và nhân tạo: vật lý, logic, ngữ nghĩa, và văn hóa. Khai thác sức mạnh của chức năng buộc và ánh xạ tự nhiên. • Cầu hai vịnh, vịnh Thực hiện và Vịnh ĐÁNH hóa. Làm cho mọi việc có thể nhìn thấy, cả hai để thực hiện và đánh giá. Về phía thực hiện, cung cấp thông tin feedforward: làm cho các tùy chọn có sẵn. Ở phía bên đánh giá, cung cấp thông tin phản hồi: làm cho kết quả của mỗi hành động rõ ràng. Làm cho nó có thể xác định tình trạng hệ thống của dễ dàng, dễ dàng, chính xác, và trong một hình thức phù hợp với mục tiêu của người đó, kế hoạch, và kỳ vọng. Chúng tôi phải đối phó với lỗi bằng cách chấp nhận nó, bằng việc tìm cách dưới đứng nguyên nhân và đảm bảo họ không xảy ra lần nữa. Chúng ta cần phải hỗ trợ chứ không phải là trừng phạt hay mắng.