Los desarrollos generales en microelectrónica y en la tecnología de sensores dan motivos para esperar que se pueda lograr una mejora en la seguridad laboral a través de la disponibilidad de detectores de presencia y aproximación confiables, resistentes, de bajo mantenimiento y económicos. Este artículo describirá la tecnología de sensores, los diferentes procedimientos de detección, las condiciones y restricciones aplicables al uso de sistemas de sensores, y algunos estudios y trabajos de estandarización realizados en Alemania.

Criterios del detector de presencia

El desarrollo y ensayo práctico de los detectores de presencia es uno de los mayores retos futuros de los esfuerzos técnicos para mejorar la seguridad laboral y la protección del personal en general. Detectores de presencia son sensores que señalan de forma fiable y segura la cerca de la presencia o acercamiento de una persona. Además, esta advertencia debe ocurrir rápidamente para que la acción evasiva, el frenado o el apagado de una máquina estacionaria puedan tener lugar antes de que se produzca el contacto previsto. El hecho de que las personas sean grandes o pequeñas, sea cual sea su postura o su forma de vestir no debería afectar a la fiabilidad del sensor. Además, el sensor debe tener certeza de funcionamiento y ser robusto y económico, de modo que pueda usarse en las condiciones más exigentes, como en obras de construcción y para aplicaciones móviles, con un mantenimiento mínimo. Los sensores deben ser como una bolsa de aire en el sentido de que no requieren mantenimiento y están siempre listos. Dada la renuencia de algunos usuarios a mantener lo que pueden considerar como equipo no esencial, los sensores pueden quedar sin servicio durante años. Otra característica de los detectores de presencia, mucho más solicitada, es que también detectan obstáculos distintos a los humanos y alertan al operador a tiempo para tomar medidas defensivas, reduciendo así costes de reparación y daños materiales. Esta es una razón para instalar detectores de presencia que no debe menospreciarse.

Aplicaciones de detectores

Innumerables accidentes mortales y lesiones graves que parecen actos del destino inevitables e individuales, pueden evitarse o minimizarse siempre que los detectores de presencia sean más aceptados como medida de prevención en el campo de la seguridad laboral. Los periódicos informan de estos accidentes con demasiada frecuencia: aquí una persona fue golpeada por un cargador que se movía hacia atrás, allí el operador no vio a alguien que fue atropellado por la rueda delantera de una pala mecánica. Los camiones que retroceden en las calles, las instalaciones de la empresa y las obras de construcción son la causa de muchos accidentes para las personas. Las empresas completamente racionalizadas de hoy en día ya no proporcionan copilotos u otras personas que actúen como guías para el conductor que está dando marcha atrás a un camión. Estos ejemplos de accidentes en movimiento se pueden extender fácilmente a otros equipos móviles, como carretillas elevadoras. Sin embargo, se necesita con urgencia el uso de sensores para prevenir accidentes que involucren equipos semimóviles y puramente estacionarios. Un ejemplo son las áreas traseras de las máquinas de carga grandes, que han sido identificadas por el personal de seguridad como áreas potencialmente peligrosas que podrían mejorarse mediante el uso de sensores económicos. Muchas variaciones de detectores de presencia se pueden adaptar de manera innovadora a otros vehículos y grandes equipos móviles para proteger contra los tipos de accidentes que se analizan en este artículo, que generalmente causan daños extensos y lesiones graves, si no fatales.

La tendencia de las soluciones innovadoras a generalizarse parecería prometer que los detectores de presencia se convertirán en la tecnología de seguridad estándar en otras aplicaciones; sin embargo, este no es el caso en ninguna parte. El avance, motivado por accidentes y daños materiales elevados, se espera en el seguimiento detrás de furgonetas de reparto y camiones pesados ​​y para las áreas más innovadoras de las “nuevas tecnologías”: las máquinas robotizadas móviles del futuro.

La variación de los campos de aplicación de los detectores de presencia y la variabilidad de las tareas, por ejemplo, tolerar objetos (incluso objetos en movimiento, bajo ciertas condiciones) que pertenecen a un campo de detección y que no deben disparar una señal, requieren sensores en los que “ La tecnología de evaluación "inteligente" apoya los mecanismos de la función del sensor. Esta tecnología, que es un tema para el desarrollo futuro, se puede elaborar a partir de métodos basados ​​en el campo de la inteligencia artificial (Schreiber y Kuhn 1995). Hasta la fecha, una universalidad limitada ha restringido severamente los usos actuales de los sensores. Hay cortinas de luz; barras de luz; esteras de contacto; sensores infrarrojos pasivos; detectores de movimiento por ultrasonido y radar que utilizan el efecto Doppler; sensores que miden el tiempo transcurrido de impulsos ultrasónicos, de radar y de luz; y escáneres láser. Las cámaras de televisión normales conectadas a monitores no se incluyen en esta lista porque no son detectores de presencia. Sin embargo, se incluyen aquellas cámaras que sí se activan automáticamente al detectar la presencia de una persona.

La tecnología de sensores

Hoy en día, los principales problemas de los sensores son (1) la optimización del uso de los efectos físicos (infrarrojos, luz, ultrasonido, radar, etc.) y (2) el autocontrol. Los escáneres láser se están desarrollando intensamente para su uso como instrumentos de navegación para robots móviles. Para ello se deben resolver dos tareas, en principio parcialmente diferentes: la navegación del robot y la protección de las personas (y materiales o equipos) presentes para que no sean golpeados, atropellados o agarrados (Freund, Dierks y Rossman 1993). ). Los futuros robots móviles no pueden conservar la misma filosofía de seguridad de "separación espacial de robot y persona" que se aplica estrictamente a los robots industriales estacionarios de hoy. Esto significa dar una gran importancia al funcionamiento fiable del detector de presencia que se va a utilizar.

El uso de “nuevas tecnologías” está muchas veces ligado a problemas de aceptación, y se puede suponer que el uso generalizado de robots móviles que puedan moverse y agarrar, entre personas en plantas, en áreas de tránsito público, o incluso en casas o áreas recreativas , sólo serán aceptados si están equipados con detectores de presencia muy desarrollados, sofisticados y fiables. Los accidentes espectaculares deben evitarse a toda costa para no agravar un posible problema de aceptación. El nivel de gasto actual para el desarrollo de este tipo de sensores de protección laboral no se acerca a tener en cuenta esta consideración. Para ahorrar muchos costes, los detectores de presencia deben desarrollarse y probarse simultáneamente con los robots móviles y los sistemas de navegación, no después.

Con respecto a los vehículos de motor, las cuestiones de seguridad han adquirido una importancia cada vez mayor. La seguridad innovadora de los pasajeros en los automóviles incluye cinturones de seguridad de tres puntos, asientos para niños, bolsas de aire y el sistema de frenos antibloqueo verificado por pruebas de choque en serie. Estas medidas de seguridad representan una porción relativamente creciente de los costos de producción. Los sistemas de sensor de radar y bolsas de aire laterales para medir la distancia con respecto al automóvil de adelante son desarrollos evolutivos en la protección de los pasajeros.

La seguridad externa de los vehículos de motor, es decir, la protección de terceros, está recibiendo una mayor atención. Recientemente, se ha requerido protección lateral, principalmente para camiones, para evitar que los motociclistas, ciclistas y peatones corran el peligro de caer debajo de las ruedas traseras. El siguiente paso lógico sería monitorear el área detrás de vehículos grandes con detectores de presencia e instalar equipos de advertencia en la parte trasera. Esto tendría el efecto secundario positivo de proporcionar la financiación necesaria para desarrollar, probar y poner a disposición sensores económicos de máximo rendimiento, autosupervisados, libres de mantenimiento y de funcionamiento fiable para fines de seguridad laboral. El proceso de prueba que acompañaría a la implementación amplia de sensores o sistemas de sensores facilitaría considerablemente la innovación en otras áreas, como palas mecánicas, cargadores pesados ​​y otras máquinas móviles grandes que retroceden hasta la mitad del tiempo durante su operación. El proceso evolutivo de robots estacionarios a robots móviles es un camino adicional de desarrollo para los detectores de presencia. Por ejemplo, se podrían realizar mejoras en los sensores que se utilizan actualmente en los transportadores de materiales de robots móviles o "tractores de piso de fábrica sin conductor", que siguen caminos fijos y, por lo tanto, tienen requisitos de seguridad relativamente bajos. El uso de detectores de presencia es el siguiente paso lógico en la mejora de la seguridad en el ámbito del transporte de materiales y viajeros.

Procedimientos de detección

Varios principios físicos, disponibles en relación con la medición electrónica y los métodos de autocontrol y, hasta cierto punto, los procedimientos informáticos de alto rendimiento, pueden utilizarse para evaluar y resolver las tareas mencionadas anteriormente. La operación segura y aparentemente sin esfuerzo de las máquinas automatizadas (robots) tan común en las películas de ciencia ficción, posiblemente se logrará en el mundo real mediante el uso de técnicas de imagen y algoritmos de reconocimiento de patrones de alto rendimiento en combinación con métodos de medición de distancia análogos a los empleados por los escáneres láser. Hay que reconocer la paradójica situación de que todo lo que parece sencillo para las personas es difícil para los autómatas. Por ejemplo, una tarea difícil como jugar al ajedrez de manera excelente (que requiere actividad del cerebro anterior) puede simularse y llevarse a cabo más fácilmente mediante máquinas automatizadas que una tarea simple como caminar erguido o llevar a cabo la coordinación mano-ojo y otros movimientos (mediados por cerebro medio y posterior). A continuación se describen algunos de estos principios, métodos y procedimientos aplicables a las aplicaciones de sensores. Además de estos, existe una gran cantidad de procedimientos especiales para tareas muy especiales que funcionan en parte con una combinación de varios tipos de efectos físicos.

Barreras y cortinas de barrera de luz. Entre los primeros detectores de presencia se encuentran las cortinas y barras de barrera de luz. Tienen una geometría de monitoreo plana; es decir, ya no se detectará a quien haya pasado la barrera. La mano de un operador, o la presencia de herramientas o piezas en la mano de un operador, por ejemplo, se pueden detectar de forma rápida y fiable con estos dispositivos. Ofrecen una importante contribución a la seguridad laboral de máquinas (como prensas y punzonadoras) que requieren que el material se introduzca a mano. La confiabilidad tiene que ser extremadamente alta estadísticamente, porque cuando la manecilla alcanza solo dos o tres veces por minuto, se realizan alrededor de un millón de operaciones en solo unos pocos años. El autocontrol mutuo de los componentes emisor y receptor se ha desarrollado a un nivel técnico tan alto que representa un estándar para todos los demás procedimientos de detección de presencia.

Esteras de contacto (esteras de interruptores). Existen tapetes y pisos de contacto tanto eléctricos como neumáticos, tanto pasivos como activos (bomba), que inicialmente se usaron en gran número en funciones de servicio (abridores de puertas), hasta que fueron reemplazados por detectores de movimiento. Un mayor desarrollo evoluciona con el uso de detectores de presencia en todo tipo de zonas de peligro. Por ejemplo, el desarrollo de la fabricación automatizada con un cambio en la función del trabajador, de operar la máquina a monitorear estrictamente su función, produjo una demanda correspondiente de detectores apropiados. La estandarización de este uso está muy avanzada (DIN 1995a), y las limitaciones especiales (diseño, tamaño, zonas "muertas" máximas permitidas) requirieron el desarrollo de experiencia para la instalación en esta área de uso.

Surgen posibles usos interesantes de las esteras de contacto junto con sistemas de robots múltiples controlados por computadora. Un operador cambia uno o dos elementos para que el detector de presencia recoja su posición exacta e informe a la computadora, que administra los sistemas de control del robot con un sistema integrado para evitar colisiones. En una prueba avanzada por el instituto federal alemán de seguridad (BAU), se construyó un piso de tapete de contacto, que consiste en pequeños tapetes de interruptores eléctricos, debajo del área de trabajo del brazo robótico para este propósito (Freund, Dierks y Rossman 1993). Este detector de presencia tenía la forma de un tablero de ajedrez. El campo de tapete activado respectivamente le indicó a la computadora la posición del operador (figura 1) y cuando el operador se acercó demasiado al robot, se alejó. Sin el detector de presencia, el sistema de robot no podría determinar la posición del operador y, por lo tanto, el operador no podría estar protegido.

Figura 1. Una persona (derecha) y dos robots en cuerpos envolventes computarizados

Reflectores (sensores de movimiento y detectores de presencia). Por meritorios que puedan ser los sensores discutidos hasta ahora, no son detectores de presencia en el sentido más amplio. Su idoneidad, principalmente por razones de seguridad laboral, para vehículos grandes y equipos móviles grandes presupone dos características importantes: (1) la capacidad de monitorear un área desde una posición y (2) funcionamiento sin errores sin necesidad de medidas adicionales en la parte de, por ejemplo, el uso de dispositivos reflectores. Detectar la presencia de una persona que entra en la zona vigilada y permanece parada hasta que esta persona se ha marchado implica también la necesidad de detectar una persona que permanece absolutamente inmóvil. Esto distingue a los llamados sensores de movimiento de los detectores de presencia, al menos en conexión con equipos móviles; Los sensores de movimiento casi siempre se activan cuando el vehículo se pone en movimiento.

Sensores de movimiento. Los dos tipos básicos de sensores de movimiento son: (1) "sensores infrarrojos pasivos" (PIRS), que reaccionan al cambio más pequeño en el haz infrarrojo en el área monitoreada (el haz detectable más pequeño es de aproximadamente 10^-9 W con un rango de longitud de onda de aproximadamente 7 a 20 μm); y (2) sensores de ultrasonido y microondas que utilizan el principio Doppler, que determina las características del movimiento de un objeto de acuerdo con los cambios de frecuencia. Por ejemplo, el efecto Doppler aumenta la frecuencia de la bocina de una locomotora para un observador cuando se acerca y reduce la frecuencia cuando la locomotora se aleja. El efecto Doppler hace posible la construcción de sensores de aproximación relativamente simples, ya que el receptor solo necesita monitorear la frecuencia de la señal de las bandas de frecuencia vecinas para detectar la aparición de la frecuencia Doppler.

A mediados de la década de 1970, el uso de detectores de movimiento se generalizó en aplicaciones de funciones de servicio, como abridores de puertas, seguridad antirrobo y protección de objetos. Para uso estacionario, la detección de una persona que se acercaba a un punto de peligro era adecuada para dar una advertencia oportuna o para apagar una máquina. Esta fue la base para estudiar la idoneidad de los detectores de movimiento para su uso en seguridad laboral, especialmente mediante PIRS (Mester et al. 1980). Debido a que una persona vestida generalmente tiene una temperatura más alta que el área circundante (cabeza 34 °C, manos 31 °C), detectar a una persona que se aproxima es algo más fácil que detectar objetos inanimados. Hasta cierto punto, las piezas de la máquina pueden moverse en el área monitoreada sin activar el detector.

El método pasivo (sin transmisor) tiene ventajas y desventajas. La ventaja es que un PIRS no aumenta los problemas de ruido y smog eléctrico. Para la seguridad contra robos y la protección de objetos, es particularmente importante que el detector no sea fácil de encontrar. Sin embargo, un sensor que es puramente un receptor difícilmente puede controlar su propia eficacia, que es esencial para la seguridad laboral. Un método para superar este inconveniente fue probar pequeños emisores de infrarrojos modulados (5 a 20 Hz) que se instalaron en el área monitoreada y que no activaron el sensor, pero cuyos haces se registraron con una amplificación electrónica fija ajustada a la frecuencia de modulación. Esta modificación lo convirtió de un sensor “pasivo” a un sensor “activo”. De esta forma también fue posible verificar la precisión geométrica del área monitoreada. Los espejos pueden tener puntos ciegos, y la actividad brusca de una planta puede desviar la dirección de un sensor pasivo. La Figura 2 muestra un diseño de prueba con un PIRS con una geometría monitoreada en forma de manto piramidal. Debido a su gran alcance, los sensores infrarrojos pasivos se instalan, por ejemplo, en los pasillos de las áreas de almacenamiento en estanterías.

Figura 2. Sensor de infrarrojos pasivo como detector de aproximación en una zona de peligro

En general, las pruebas mostraron que los detectores de movimiento no son adecuados para la seguridad laboral. El suelo de un museo nocturno no se puede comparar con las zonas de peligro en un lugar de trabajo.

Detectores de ultrasonidos, radares y de impulsos de luz. Los sensores que utilizan el principio de pulso/eco, es decir, mediciones de tiempo transcurrido de impulsos de ultrasonido, radar o luz, tienen un gran potencial como detectores de presencia. Con los escáneres láser, los impulsos de luz pueden barrer en rápida sucesión (generalmente de forma rotatoria), por ejemplo, horizontalmente, y con la ayuda de una computadora se puede obtener un perfil de distancia de los objetos en un plano que reflejan la luz. Si, por ejemplo, no solo se desea una sola línea, sino la totalidad de lo que se encuentra ante el robot móvil en el área hasta una altura de 2 metros, entonces se deben procesar grandes cantidades de datos para representar el área circundante. Un futuro detector de presencia “ideal” consistirá en una combinación de los dos procesos siguientes:

1. Se empleará un proceso de reconocimiento de patrones, que consiste en una cámara y una computadora. Este último también puede ser una “red neuronal”.
2. Se requiere además un proceso de escaneo láser para medir distancias; esto toma un rumbo en un espacio tridimensional a partir de una serie de puntos individuales seleccionados por el proceso de reconocimiento de patrones, establecido para obtener la distancia y el movimiento por velocidad y dirección.

La Figura 3 muestra, del proyecto BAU citado anteriormente (Freund, Dierks y Rossman 1993), el uso de un escáner láser en un robot móvil que también asume tareas de navegación (a través de un haz de detección de dirección) y protección contra colisiones para objetos en el entorno inmediato. vecindad (a través de un haz de medición terrestre para la detección de presencia). Dadas estas características, el robot móvil tiene la capacidad de conducción libre automatizada activa (es decir, la capacidad de conducir alrededor de obstáculos). Técnicamente, esto se logra utilizando el ángulo de 45° de rotación del escáner hacia atrás en ambos lados (hacia babor y estribor del robot) además del ángulo de 180° hacia el frente. Estos rayos están conectados con un espejo especial que actúa como una cortina de luz en el suelo frente al robot móvil (proporcionando una línea de visión desde el suelo). Si de ahí sale un reflejo láser, el robot se detiene. Mientras que los escáneres láser y de luz certificados para su uso en seguridad laboral están en el mercado, estos detectores de presencia tienen un gran potencial para un mayor desarrollo.

Figura 3. Robot móvil con escáner láser para uso de navegación y detección de presencia

Los sensores de ultrasonido y radar, que utilizan el tiempo transcurrido desde la señal hasta la respuesta para determinar la distancia, son menos exigentes desde el punto de vista técnico y, por lo tanto, se pueden producir de forma más económica. El área del sensor tiene forma de maza y tiene una o más mazas laterales más pequeñas, que están dispuestas simétricamente. La velocidad de propagación de la señal (sonido: 330 m/s; onda electromagnética: 300,000 km/s) determina la velocidad requerida de la electrónica utilizada.

Dispositivos de advertencia en la parte trasera. En la Exposición de Hannover de 1985, BAU mostró los resultados de un proyecto inicial sobre el uso de sensores de ultrasonido para asegurar el área detrás de vehículos grandes (Langer y Kurfürst 1985). Se instaló un modelo de tamaño completo de un cabezal sensor hecho con sensores Polaroid™ en la pared trasera de un camión de suministro. La figura 4 muestra esquemáticamente su funcionamiento. El gran diámetro de este sensor produce áreas de medición en forma de maza de ángulo relativamente pequeño (aproximadamente 18°), de largo alcance, dispuestas una al lado de la otra y configuradas en diferentes rangos máximos de señal. En la práctica, permite establecer cualquier geometría monitoreada deseada, que es escaneada por los sensores aproximadamente cuatro veces por segundo para detectar la presencia o entrada de personas. Otros sistemas de advertencia de área trasera demostrados tenían varios sensores dispuestos en paralelo individuales.

Figura 4. Disposición del cabezal de medición y área monitoreada en la parte trasera de un camión

Esta vívida demostración fue un gran éxito en la exposición. Mostró que la protección del área trasera de vehículos y equipos grandes está siendo estudiada en muchos lugares, por ejemplo, por comités especializados de las asociaciones comerciales industriales. (Berufsgenossenschaften), las aseguradoras de accidentes municipales (que son responsables de los vehículos municipales), los funcionarios de supervisión de la industria estatal y los productores de sensores, que habían estado pensando más en términos de automóviles como vehículos de servicio (en el sentido de centrarse en los sistemas de estacionamiento para proteger contra daños en la carrocería). De manera espontánea, se formó un comité ad hoc formado por los grupos para promover los dispositivos de advertencia en la parte trasera, que tuvo como primera tarea la elaboración de una lista de requisitos desde la perspectiva de la seguridad laboral. Han pasado diez años durante los cuales se ha trabajado mucho en la vigilancia de la zona trasera, posiblemente la tarea más importante de los detectores de presencia; pero aún falta el gran avance.

Se han realizado muchos proyectos con sensores de ultrasonido, por ejemplo, en grúas clasificadoras de madera en rollo, palas hidráulicas, vehículos municipales especiales y otros vehículos utilitarios, así como en carretillas elevadoras y cargadoras (Schreiber 1990). Los dispositivos de advertencia en el área trasera son especialmente importantes para maquinaria grande que da marcha atrás la mayor parte del tiempo. Los detectores de presencia por ultrasonidos se utilizan, por ejemplo, para la protección de vehículos especializados sin conductor, como las máquinas robotizadas de manipulación de materiales. En comparación con los topes de goma, estos sensores tienen un área de detección mayor que permite frenar antes de que se haga contacto entre la máquina y un objeto. Los sensores correspondientes para automóviles son desarrollos apropiados e implican requisitos considerablemente menos estrictos.

Mientras tanto, el Comité de Normas Técnicas del Sistema de Transporte de DIN elaboró ​​la norma 75031, "Dispositivos de detección de obstáculos durante la marcha atrás" (DIN 1995b). Los requisitos y las pruebas se establecieron para dos rangos: 1.8 m para camiones de suministro y 3.0 m (un área de advertencia adicional) para camiones más grandes. El área monitoreada se establece a través del reconocimiento de cuerpos de prueba cilíndricos. El rango de 3 m también es el límite de lo que actualmente es técnicamente posible, ya que los sensores de ultrasonido deben tener membranas metálicas cerradas, dadas sus duras condiciones de trabajo. Se están estableciendo los requisitos para el autocontrol del sistema de sensores, ya que la geometría monitoreada requerida solo se puede lograr con un sistema de tres o más sensores. La Figura 5 muestra un dispositivo de advertencia para el área trasera que consta de tres sensores de ultrasonido (Microsonic GmbH 1996). Lo mismo se aplica al dispositivo de notificación en la cabina del conductor y al tipo de señal de advertencia. El contenido de la norma DIN 75031 también se establece en el informe técnico internacional ISO TR 12155, "Vehículos comerciales: dispositivo de detección de obstáculos durante la marcha atrás" (ISO 1994). Varios productores de sensores han desarrollado prototipos de acuerdo con este estándar.

Figura 5. Camión mediano equipado con un dispositivo de advertencia en la parte trasera (foto de Microsonic).

Conclusión

Desde principios de la década de 1970, varias instituciones y fabricantes de sensores han trabajado para desarrollar y establecer "detectores de presencia". En la aplicación especial de "dispositivos de advertencia de la zona trasera" existen la norma DIN 75031 y el informe ISO TR 12155. En la actualidad, Deutsche Post AG está realizando una prueba importante. Varios fabricantes de sensores han equipado cada uno cinco camiones medianos con tales dispositivos. Un resultado positivo de esta prueba redunda en gran medida en interés de la seguridad laboral. Como se destacó al principio, los detectores de presencia en el número requerido son un gran desafío para la tecnología de seguridad en las muchas áreas de aplicación mencionadas. Por lo tanto, deben ser realizables a bajo costo si se quiere relegar al pasado los daños a equipos, maquinarias y materiales y, sobre todo, las lesiones a las personas, a menudo muy graves.

Atrás

Los dispositivos de control y los dispositivos utilizados para el aislamiento y la conmutación siempre deben discutirse en relación con sistemas tecnicos, término utilizado en este artículo para incluir máquinas, instalaciones y equipos. Todo sistema técnico cumple una tarea práctica específica y asignada. Se requieren dispositivos de conmutación y control de seguridad apropiados para que esta tarea práctica sea factible o incluso posible en condiciones seguras. Dichos dispositivos se utilizan para iniciar el control, interrumpir o retardar la corriente y/o los impulsos de energías eléctricas, hidráulicas, neumáticas y también potenciales.

Aislamiento y Reducción de Energía

Los dispositivos de aislamiento se utilizan para aislar la energía desconectando la línea de suministro entre la fuente de energía y el sistema técnico. El dispositivo de aislamiento normalmente debe producir una desconexión real inequívocamente determinable del suministro de energía. La desconexión del suministro de energía también debe combinarse siempre con la reducción de la energía almacenada en todas las partes del sistema técnico. Si el sistema técnico está alimentado por varias fuentes de energía, todas estas líneas de suministro deben poder aislarse de forma fiable. Las personas capacitadas para manejar el tipo de energía relevante y que trabajan en el extremo energético del sistema técnico, utilizan dispositivos de aislamiento para protegerse de los peligros de la energía. Por razones de seguridad, estas personas siempre comprobarán que no quede energía potencialmente peligrosa en el sistema técnico, por ejemplo, comprobando la ausencia de potencial eléctrico en el caso de la energía eléctrica. El manejo sin riesgos de ciertos dispositivos de aislamiento solo es posible para especialistas capacitados; en tales casos, el dispositivo de aislamiento debe ser inaccesible a personas no autorizadas. (Ver figura 1.)

Figura 1. Principios de los dispositivos de aislamiento eléctrico y neumático

El interruptor maestro

Un dispositivo de interruptor maestro desconecta el sistema técnico del suministro de energía. A diferencia del dispositivo de aislamiento, puede ser operado sin peligro incluso por "especialistas no energéticos". El dispositivo interruptor maestro se utiliza para desconectar los sistemas técnicos que no están en uso en un momento dado si, por ejemplo, su funcionamiento es obstaculizado por terceras personas no autorizadas. También se utiliza para efectuar una desconexión con fines de mantenimiento, reparación de averías, limpieza, reposición y reacondicionamiento, siempre que dicho trabajo pueda realizarse sin energía en el sistema. Naturalmente, cuando un dispositivo interruptor maestro posee además las características de un dispositivo seccionador, también puede asumir y/o compartir su función. (Ver figura 2.)

Figura 2. Ejemplo de ilustración de dispositivos de interruptores maestros eléctricos y neumáticos

Dispositivo de desconexión de seguridad

Un dispositivo de desconexión de seguridad no desconecta todo el sistema técnico de la fuente de energía; más bien, elimina energía de las partes del sistema críticas para un subsistema operativo en particular. Se pueden designar intervenciones de corta duración para subsistemas operativos, por ejemplo, para la instalación o el restablecimiento/reacondicionamiento del sistema, para la reparación de fallas, para la limpieza periódica y para los movimientos esenciales y designados y las secuencias de funciones requeridas durante el curso. de configuración, reinicio/reacondicionamiento o pruebas de funcionamiento. En estos casos, las instalaciones y los equipos de producción complejos no se pueden apagar simplemente con un dispositivo de interruptor maestro, ya que todo el sistema técnico no podría volver a ponerse en marcha donde se quedó después de que se haya reparado un mal funcionamiento. Además, el dispositivo interruptor maestro rara vez se encuentra, en los sistemas técnicos más extensos, en el lugar donde debe efectuarse la intervención. Así, el dispositivo de desconexión de seguridad está obligado a cumplir una serie de requisitos, como los siguientes:

• Interrumpe el flujo de energía de manera confiable y de tal manera que los movimientos o procesos peligrosos no se desencadenan por señales de control que se ingresan o generan erróneamente.
• Se instala precisamente donde se deben realizar interrupciones en áreas de peligro de subsistemas operativos del sistema técnico. Si es necesario, la instalación puede realizarse en varios lugares (por ejemplo, en varios pisos, en varias habitaciones o en varios puntos de acceso a maquinaria o equipo).
• Su dispositivo de control tiene una posición de "apagado" claramente marcada que se registra solo una vez después de que el flujo de energía se haya cortado de manera confiable.
• Una vez en la posición "apagado", su dispositivo de control se puede asegurar contra un reinicio sin autorización (a) si las áreas de peligro en cuestión no se pueden supervisar de manera confiable desde el área de control y (b) si las personas ubicadas en el área de peligro no pueden ver por sí mismas el controle el dispositivo de manera rápida y constante, o (c) si la regulación o los procedimientos de la organización exigen el bloqueo/etiquetado.
• Debe desconectar una sola unidad funcional de un sistema técnico extendido, si otras unidades funcionales pueden continuar trabajando por sí mismas sin peligro para la persona que interviene.

Cuando el dispositivo interruptor maestro utilizado en un sistema técnico determinado pueda cumplir todos los requisitos de un dispositivo de desconexión de seguridad, también puede asumir esta función. Pero eso, por supuesto, será un recurso fiable sólo en sistemas técnicos muy sencillos. (Ver figura 3.)

Figura 3. Ilustración de principios elementales de un dispositivo de desconexión de seguridad

Equipos de control para subsistemas operativos

Los equipos de control permiten que los movimientos y las secuencias funcionales necesarias para que los subsistemas operativos del sistema técnico sean implementados y controlados de forma segura. Es posible que se requieran dispositivos de control para los subsistemas operativos para la configuración (cuando se van a ejecutar pruebas); para la regulación (cuando se deban reparar fallas en el funcionamiento del sistema o cuando se deban eliminar obstrucciones); o propósitos de entrenamiento (demostración de operaciones). En tales casos, el funcionamiento normal del sistema no puede simplemente reiniciarse, ya que la persona que interviene estaría en peligro por movimientos y procesos provocados por señales de control introducidas o generadas erróneamente. Un equipo de control para subsistemas operativos debe cumplir con los siguientes requisitos:

• Debe permitir la ejecución segura de movimientos y procesos requeridos para los subsistemas operativos del sistema técnico. Por ejemplo, determinados movimientos se ejecutarán a velocidades reducidas, de forma gradual o con niveles de potencia más bajos (según corresponda), y los procesos se interrumpirán inmediatamente, por regla general, si el panel de control ya no está atendido.
• Sus paneles de control estarán ubicados en áreas donde su operación no ponga en peligro al operador, y desde donde los procesos controlados sean totalmente visibles.
• Si varios paneles de control que controlan varios procesos están presentes en una sola ubicación, estos deben estar claramente marcados y dispuestos de manera clara y comprensible.
• Los dispositivos de control de los subsistemas operativos solo deberían ser efectivos cuando el funcionamiento normal se haya desconectado de forma fiable; es decir, debe garantizarse que ningún comando de control pueda emitirse de manera efectiva desde el funcionamiento normal y anular el mecanismo de control.
• El uso no autorizado de los dispositivos de control para los subsistemas operativos debería poder evitarse, por ejemplo, exigiendo el uso de una clave o código especial para liberar la función en cuestión. (Ver figura 4.)

Figura 4. Dispositivos de actuación en los equipos de control para subsistemas operativos móviles y estacionarios

El interruptor de emergencia

Los interruptores de emergencia son necesarios cuando el funcionamiento normal de los sistemas técnicos podría dar lugar a peligros que ni el diseño adecuado del sistema ni la adopción de las precauciones de seguridad adecuadas pueden evitar. En los subsistemas operativos, el interruptor de emergencia suele formar parte del equipo de control del subsistema operativo. Cuando se opera en caso de peligro, el interruptor de emergencia implementa procesos que devuelven el sistema técnico a un estado operativo seguro lo más rápido posible. Con respecto a las prioridades de seguridad, la protección de las personas es una preocupación primordial; la prevención del daño material es secundaria, a menos que este último también pueda poner en peligro a las personas. El interruptor de emergencia debe cumplir los siguientes requisitos:

• Debe lograr una condición operativa segura del sistema técnico lo más rápido posible.
• Su panel de control debe ser fácilmente reconocible y colocado y diseñado de tal manera que pueda ser operado sin dificultad por las personas en peligro y también accesible por otras personas que respondan a la emergencia.
• Los procesos de emergencia que desencadena no deben generar nuevos peligros; por ejemplo, no deben liberar dispositivos de sujeción o desconectar dispositivos de sujeción magnéticos o bloquear dispositivos de seguridad.
• Después de que se haya activado un proceso de interruptor de emergencia, el sistema técnico no debe poder reiniciarse automáticamente mediante el reinicio del panel de control del interruptor de emergencia. Más bien, se debe requerir la entrada consciente de un nuevo comando de control de función. (Ver figura 5.)

Figura 5. Ilustración de los principios de los paneles de control en los interruptores de emergencia

Dispositivo de control de interruptor de función

Los dispositivos de control de interruptor de función se utilizan para encender el sistema técnico para el funcionamiento normal y para iniciar, implementar e interrumpir los movimientos y procesos designados para el funcionamiento normal. El dispositivo de control de interruptor de función se utiliza exclusivamente en el curso de la operación normal del sistema técnico, es decir, durante la ejecución sin interrupciones de todas las funciones asignadas. Es utilizado en consecuencia por las personas que ejecutan el sistema técnico. Los dispositivos de control del interruptor de función deben cumplir con los siguientes requisitos:

• Sus paneles de control deben ser accesibles y fáciles de usar sin peligro.
• Sus paneles de control deben estar dispuestos de manera clara y racional; por ejemplo, las perillas de control deben operar "racionalmente" con respecto a los movimientos controlados hacia arriba y hacia abajo, hacia la derecha y hacia la izquierda. Los movimientos de control ("racionales" y los efectos correspondientes pueden estar sujetos a variaciones locales y, a veces, se definen por estipulación).
• Sus paneles de control deberán estar rotulados de forma clara e inteligible, con símbolos que sean fácilmente comprensibles.
• Los procesos que requieren la atención completa del usuario para su ejecución segura no deben poder ser activados por señales de control generadas por error o por la operación inadvertida de los dispositivos de control que los gobiernan. El procesamiento de la señal del panel de control debe ser adecuadamente confiable y la operación involuntaria debe evitarse mediante un diseño apropiado del dispositivo de control. (Ver figura 6).

Figura 6. Representación esquemática de un panel de control de operaciones

Interruptores de monitoreo

Los interruptores de vigilancia impiden el arranque del sistema técnico mientras no se cumplan las condiciones de seguridad vigiladas e interrumpen el funcionamiento en cuanto deja de cumplirse una condición de seguridad. Se utilizan, por ejemplo, para monitorear puertas en compartimentos de protección, para verificar la posición correcta de los resguardos de seguridad o para asegurar que no se excedan los límites de velocidad o recorrido. Por consiguiente, los interruptores de vigilancia deben cumplir los siguientes requisitos de seguridad y fiabilidad:

• El dispositivo de maniobra utilizado para fines de vigilancia debe emitir la señal de protección de forma especialmente fiable; por ejemplo, se podría diseñar un interruptor de monitoreo mecánico para interrumpir el flujo de la señal automáticamente y con particular confiabilidad.
• La herramienta de conmutación utilizada con fines de supervisión debe funcionar de forma especialmente fiable cuando no se cumple la condición de seguridad (p. ej., cuando el émbolo de un interruptor de supervisión con interrupción automática se fuerza mecánica y automáticamente a la posición de interrupción).
• El interruptor de monitoreo no debe poder apagarse incorrectamente, al menos no sin querer y no sin esfuerzo; esta condición puede cumplirse, por ejemplo, mediante un interruptor mecánico controlado automáticamente con interrupción automática, cuando el interruptor y el elemento operativo están montados de forma segura. (Ver figura 7).

Figura 7. Diagrama de un interruptor con operación mecánica positiva y desconexión positiva

Circuitos de control de seguridad

Varios de los dispositivos de conmutación de seguridad descritos anteriormente no ejecutan la función de seguridad directamente, sino que emiten una señal que luego es transmitida y procesada por un circuito de control de seguridad y finalmente llega a las partes del sistema técnico que ejercen la función de seguridad real. El dispositivo de desconexión de seguridad, por ejemplo, provoca frecuentemente la desconexión de la energía en puntos críticos de forma indirecta, mientras que un interruptor principal suele desconectar directamente el suministro de corriente al sistema técnico.

Dado que los circuitos de control de seguridad deben transmitir señales de seguridad de forma fiable, se deben tener en cuenta los siguientes principios:

• La seguridad debe estar garantizada incluso cuando la energía exterior falta o es insuficiente, por ejemplo, durante desconexiones o fugas.
• Las señales de protección funcionan de manera más confiable al interrumpir el flujo de la señal; por ejemplo, interruptores de seguridad con contacto de apertura o contacto de relé abierto.
• La función protectora de amplificadores, transformadores y similares puede lograrse de manera más confiable sin energía externa; dichos mecanismos incluyen, por ejemplo, dispositivos de conmutación electromagnética o respiraderos que se cierran cuando están en reposo.
• No debe permitirse que las conexiones realizadas por error y las fugas en el circuito de control de seguridad den lugar a falsos arranques o impedimentos para la parada; particularmente en los casos de cortocircuito entre conductos de entrada y salida, fuga a tierra o puesta a tierra.
• Las influencias externas que afecten al sistema en una medida que no exceda las expectativas del usuario no deben interferir con la función de seguridad del circuito de control de seguridad.

Los componentes utilizados en los circuitos de control de seguridad deben ejecutar la función de seguridad de forma especialmente fiable. Las funciones de los componentes que no cumplan este requisito se implementarán disponiendo una redundancia lo más diversificada posible y se mantendrán bajo vigilancia.

Atrás

En los últimos años, los microprocesadores han jugado un papel cada vez mayor en el campo de la tecnología de seguridad. Debido a que las computadoras completas (es decir, la unidad central de procesamiento, la memoria y los componentes periféricos) ahora están disponibles en un solo componente como "computadoras de un solo chip", la tecnología de microprocesadores se emplea no solo en el control de máquinas complejas, sino también en salvaguardas de diseño relativamente simple. (por ejemplo, rejillas fotoeléctricas, dispositivos de control a dos manos y bordes de seguridad). El software que controla estos sistemas consta de entre mil y varias decenas de miles de comandos individuales y, por lo general, consta de varios cientos de ramas del programa. Los programas operan en tiempo real y en su mayoría están escritos en el lenguaje ensamblador de los programadores.

La introducción de sistemas controlados por computadora en el ámbito de la tecnología de seguridad ha ido acompañada en todos los equipos técnicos a gran escala no solo de costosos proyectos de investigación y desarrollo, sino también de importantes restricciones diseñadas para mejorar la seguridad. (La tecnología aeroespacial, la tecnología militar y la tecnología de energía atómica pueden citarse aquí como ejemplos de aplicaciones a gran escala). Hasta ahora, el campo colectivo de la producción industrial en masa ha sido tratado solo de manera muy limitada. Esto se debe en parte a que los rápidos ciclos de innovación característicos del diseño de máquinas industriales dificultan la transferencia, salvo de manera muy restringida, de los conocimientos que pueden derivarse de los proyectos de investigación relacionados con la prueba final de máquinas a gran escala. dispositivos de seguridad. Esto hace que el desarrollo de procedimientos de evaluación rápidos y de bajo costo sea un desiderátum (Reinert y Reuss 1991).

Este artículo primero examina las máquinas y las instalaciones en las que los sistemas informáticos actualmente realizan tareas de seguridad, utilizando ejemplos de accidentes que ocurren predominantemente en el área de protección de máquinas para describir el papel particular que desempeñan las computadoras en la tecnología de seguridad. Estos accidentes dan una idea de las precauciones que se deben tomar para que el equipo de seguridad controlado por computadora que actualmente se usa cada vez más no provoque un aumento en el número de accidentes. La sección final del artículo esboza un procedimiento que permitirá que incluso los sistemas informáticos más pequeños alcancen un nivel apropiado de seguridad técnica a un costo justificable y dentro de un período de tiempo aceptable. Los principios indicados en esta parte final se están introduciendo actualmente en los procedimientos de normalización internacional y tendrán implicaciones para todas las áreas de la tecnología de seguridad en las que las computadoras encuentran aplicación.

Ejemplos del uso de software y computadoras en el campo de la protección de máquinas

Los siguientes cuatro ejemplos dejan en claro que el software y las computadoras están entrando cada vez más en las aplicaciones relacionadas con la seguridad en el dominio comercial.

Las instalaciones de señalización de emergencia personal consisten, por regla general, en una estación receptora central y una serie de dispositivos de señalización de emergencia personal. Los dispositivos son transportados por personas que trabajan solas en el lugar. Si alguna de estas personas que trabajan solas se encuentra en una situación de emergencia, puede usar el dispositivo para disparar una alarma por señal de radio en la estación receptora central. Tal activación de alarma dependiente de la voluntad también puede complementarse con un mecanismo de activación independiente de la voluntad activado por sensores integrados en los dispositivos de emergencia personales. Tanto los dispositivos individuales como la estación receptora central suelen estar controlados por microordenadores. Es concebible que la falla de funciones individuales específicas de la computadora incorporada pueda conducir, en una situación de emergencia, a que no se dispare la alarma. Por lo tanto, se deben tomar precauciones para percibir y reparar a tiempo tal pérdida de función.

Las imprentas que se utilizan hoy en día para imprimir revistas son máquinas grandes. Las bandas de papel normalmente se preparan en una máquina separada de manera que se permita una transición sin problemas a un nuevo rollo de papel. Las páginas impresas se pliegan en una máquina plegadora y posteriormente se procesan a través de una cadena de otras máquinas. Esto da como resultado paletas cargadas con revistas completamente cosidas. Aunque tales plantas están automatizadas, hay dos puntos en los que se deben realizar intervenciones manuales: (1) en el enhebrado de las rutas del papel y (2) en la limpieza de obstrucciones causadas por rasgaduras de papel en puntos peligrosos de los rodillos giratorios. Por esta razón, la tecnología de control debe garantizar una velocidad de funcionamiento reducida o un modo de avance lento limitado en el tiempo o en el recorrido durante el ajuste de las prensas. Debido a los complejos procedimientos de dirección involucrados, cada estación de impresión debe estar equipada con su propio controlador lógico programable. Cualquier falla que ocurra en el control de una planta de impresión mientras las rejillas de protección están abiertas debe evitarse que provoque el arranque inesperado de una máquina parada o que la operación exceda las velocidades apropiadamente reducidas.

En grandes fábricas y almacenes, los vehículos robóticos guiados automatizados y sin conductor se mueven en pistas especialmente marcadas. Estas vías pueden ser transitadas en cualquier momento por personas, o los materiales y equipos pueden dejarse inadvertidamente en las vías, ya que no están separadas estructuralmente de otras líneas de tráfico. Por esta razón, se debe utilizar algún tipo de equipo de prevención de colisiones para garantizar que el vehículo se detenga antes de que ocurra una colisión peligrosa con una persona u objeto. En aplicaciones más recientes, la prevención de colisiones se efectúa por medio de escáneres ultrasónicos o de luz láser usados ​​en combinación con un parachoques de seguridad. Dado que estos sistemas funcionan bajo control informático, es posible configurar varias zonas de detección permanentes para que un vehículo pueda modificar su reacción en función de la zona de detección concreta en la que se encuentre una persona. Los fallos en el dispositivo de protección no deben provocar una colisión peligrosa con una persona.

Las guillotinas del dispositivo de control de corte de papel se utilizan para presionar y luego cortar pilas gruesas de papel. Se activan mediante un dispositivo de control a dos manos. El usuario debe alcanzar la zona de peligro de la máquina después de cada corte. Se utiliza una protección inmaterial, generalmente una rejilla de luz, junto con el dispositivo de control a dos manos y un sistema seguro de control de la máquina para evitar lesiones cuando se alimenta papel durante la operación de corte. Casi todas las guillotinas más grandes y modernas que se usan hoy en día están controladas por sistemas de microcomputadoras multicanal. Tanto el manejo a dos manos como la rejilla fotoeléctrica también deben garantizar un funcionamiento seguro.

Accidentes con Sistemas Controlados por Computador

En casi todos los campos de aplicación industrial, se reportan accidentes con software y computadoras (Neumann 1994). En la mayoría de los casos, las fallas de la computadora no provocan lesiones a las personas. Tales incumplimientos, en todo caso, sólo se hacen públicos cuando son de interés público general. Esto significa que los casos de mal funcionamiento o accidente relacionados con computadoras y software en los que se involucran lesiones a personas representan una proporción relativamente alta de todos los casos publicitados. Desafortunadamente, los accidentes que no causan mucha sensación pública no se investigan en cuanto a sus causas con la misma intensidad que los accidentes más prominentes, típicamente en plantas a gran escala. Por este motivo, los ejemplos que siguen se refieren a cuatro descripciones de fallos de funcionamiento o accidentes típicos de sistemas controlados por ordenador fuera del campo de la protección de máquinas, que se utilizan para sugerir lo que debe tenerse en cuenta cuando se hacen juicios sobre tecnología de seguridad.

Accidentes causados ​​por fallas aleatorias en el hardware

El siguiente percance fue causado por una concentración de fallas aleatorias en el hardware combinadas con una falla de programación: Un reactor se sobrecalentó en una planta química, por lo que se abrieron las válvulas de alivio, lo que permitió que el contenido del reactor se descargara a la atmósfera. Este percance ocurrió poco tiempo después de que se diera una advertencia de que el nivel de aceite en una caja de cambios era demasiado bajo. Una cuidadosa investigación del percance mostró que poco después de que el catalizador hubiera iniciado la reacción en el reactor, como consecuencia de lo cual el reactor habría requerido más enfriamiento, la computadora, sobre la base del informe de bajos niveles de aceite en la caja de engranajes, congeló todo. magnitudes bajo su control a un valor fijo. Esto mantuvo el flujo de agua fría a un nivel demasiado bajo y, como resultado, el reactor se sobrecalentó. La investigación posterior mostró que la indicación de niveles bajos de aceite había sido señalada por un componente defectuoso.

El software había respondido de acuerdo a la especificación con el disparo de una alarma y la fijación de todas las variables operativas. Esto fue consecuencia del estudio HAZOP (Hazards and Operability Analysis) (Knowlton 1986) realizado antes del evento, que requería que todas las variables controladas no se modificaran en caso de falla. Dado que el programador no conocía el procedimiento en detalle, este requisito se interpretó en el sentido de que los actuadores controlados (válvulas de control en este caso) no debían modificarse; no se prestó atención a la posibilidad de un aumento de la temperatura. El programador no tuvo en cuenta que después de haber recibido una señal errónea, el sistema podía encontrarse en una situación dinámica del tipo que requería la intervención activa de la computadora para evitar un percance. Además, la situación que condujo al percance era tan improbable que no había sido analizada en detalle en el estudio HAZOP (Levenson 1986). Este ejemplo proporciona una transición a una segunda categoría de causas de accidentes informáticos y de software. Son los fallos sistemáticos que están en el sistema desde el principio, pero que se manifiestan sólo en determinadas situaciones muy concretas que el desarrollador no ha tenido en cuenta.

Accidentes causados ​​por fallas operativas

En las pruebas de campo durante la inspección final de los robots, un técnico tomó prestado el casete de un robot vecino y lo sustituyó por uno diferente sin informar a su colega que lo había hecho. Al regresar a su lugar de trabajo, el colega insertó el casete equivocado. Dado que se paró junto al robot y esperaba una secuencia particular de movimientos de él, una secuencia que resultó diferente debido al programa intercambiado, se produjo una colisión entre el robot y el ser humano. Este accidente describe el ejemplo clásico de una falla operativa. El papel de tales fallas en mal funcionamiento y accidentes está aumentando actualmente debido a la creciente complejidad en la aplicación de mecanismos de seguridad controlados por computadora.

Accidentes causados ​​por fallas sistemáticas en hardware o software

Un torpedo con una ojiva debía haber sido disparado con fines de entrenamiento, desde un buque de guerra en alta mar. Debido a un defecto en el aparato impulsor, el torpedo permaneció en el tubo lanzatorpedos. El capitán decidió regresar al puerto de origen para rescatar el torpedo. Poco después de que el barco comenzara a regresar a casa, el torpedo explotó. Un análisis del accidente reveló que los desarrolladores del torpedo se habían visto obligados a construir en el torpedo un mecanismo diseñado para evitar que regresara a la plataforma de lanzamiento después de haber sido disparado y, por lo tanto, destruyera la nave que lo había lanzado. El mecanismo escogido para ello fue el siguiente: Tras el disparo del torpedo se comprobaba, mediante el sistema de navegación inercial, si su rumbo se había alterado en 180°. Tan pronto como el torpedo sintió que había girado 180°, el torpedo detonó inmediatamente, supuestamente a una distancia segura de la plataforma de lanzamiento. Este mecanismo de detección se activó en el caso del torpedo que no se había lanzado correctamente, con el resultado de que el torpedo explotó después de que el barco hubiera cambiado su rumbo 180°. Este es un ejemplo típico de un accidente que ocurre debido a una falla en las especificaciones. El requisito en las especificaciones de que el torpedo no debe destruir su propio barco si su rumbo cambia no se formuló con suficiente precisión; la precaución fue así programada erróneamente. El error se hizo evidente solo en una situación particular, una que el programador no había tenido en cuenta como una posibilidad.

El 14 de septiembre de 1993, un Lufthansa Airbus A 320 se estrelló mientras aterrizaba en Varsovia (figura 1). Una cuidadosa investigación del accidente mostró que las modificaciones en la lógica de aterrizaje de la computadora de a bordo realizadas después de un accidente con un Lauda Air Boeing 767 en 1991 fueron en parte responsables de este aterrizaje forzoso. Lo que sucedió en el accidente de 1991 fue que la desviación de empuje, que desvía una parte de los gases del motor para frenar el avión durante el aterrizaje, se había activado mientras aún estaba en el aire, lo que obligó a la máquina a caer en picado incontrolable. Por esta razón, se había incorporado un bloqueo electrónico de la desviación del empuje en las máquinas de Airbus. Este mecanismo permitió que la desviación del empuje entrara en vigor solo después de que los sensores en ambos juegos de tren de aterrizaje hubieran señalado la compresión de los amortiguadores bajo la presión de las ruedas al tocar tierra. Sobre la base de información incorrecta, los pilotos del avión en Varsovia anticiparon un fuerte viento lateral.

Figura 1. Lufthansa Airbus después del accidente en Varsovia 1993

Por esta razón, trajeron la máquina con una ligera inclinación y el Airbus aterrizó solo con la rueda derecha, dejando la izquierda soportando menos del peso total. Debido al bloqueo electrónico de la desviación del empuje, el ordenador de a bordo denegó al piloto durante nueve segundos maniobras que hubieran permitido al avión aterrizar con seguridad a pesar de las circunstancias adversas. Este accidente demuestra muy claramente que las modificaciones en los sistemas informáticos pueden conducir a situaciones nuevas y peligrosas si no se considera de antemano el rango de sus posibles consecuencias.

El siguiente ejemplo de mal funcionamiento también demuestra los efectos desastrosos que la modificación de un solo comando puede tener en los sistemas informáticos. El contenido de alcohol de la sangre se determina mediante pruebas químicas utilizando suero sanguíneo claro del que se han centrifugado previamente los glóbulos sanguíneos. El contenido de alcohol del suero es, por lo tanto, mayor (en un factor de 1.2) que el de la sangre total más espesa. Por esta razón, los valores de alcohol en suero deben dividirse por un factor de 1.2 para establecer las cifras de partes por mil legal y médicamente críticas. En la prueba entre laboratorios realizada en 1984, los valores de alcohol en sangre determinados en pruebas idénticas realizadas en diferentes instituciones de investigación utilizando suero debían compararse entre sí. Dado que solo se trataba de una cuestión de comparación, el comando de dividir por 1.2 se borró del programa en una de las instituciones durante la duración del experimento. Una vez finalizada la prueba entre laboratorios, se introdujo erróneamente en el programa en este punto un comando para multiplicar por 1.2. Como resultado, se calcularon aproximadamente 1,500 valores incorrectos de partes por mil entre agosto de 1984 y marzo de 1985. Este error fue crítico para la carrera profesional de los camioneros con niveles de alcohol en sangre entre 1.0 y 1.3 por mil, ya que una sanción legal de confiscación de la licencia de conducir por tiempo prolongado es consecuencia de un valor de 1.3 por mil.

Accidentes causados ​​por influencias de estrés operativo o estrés ambiental

Como consecuencia de una perturbación provocada por la recogida de residuos en la zona efectiva de una punzonadora y mordisqueadora CNC (control numérico computarizado), el usuario efectuó la “parada programada”. Mientras intentaba retirar los desechos con las manos, la varilla de empuje de la máquina comenzó a moverse a pesar de la parada programada y lesionó gravemente al usuario. Un análisis del accidente reveló que no se había tratado de un error en el programa. No se pudo reproducir el inicio inesperado. Se habían observado irregularidades similares en el pasado en otras máquinas del mismo tipo. Parece plausible deducir de estos que el accidente debió haber sido causado por interferencias electromagnéticas. Se informan accidentes similares con robots industriales en Japón (Neumann 1987).

Un mal funcionamiento en la sonda espacial Voyager 2 el 18 de enero de 1986 deja aún más clara la influencia de las tensiones ambientales en los sistemas controlados por computadora. Seis días antes del acercamiento más cercano a Urano, grandes campos de líneas en blanco y negro cubrieron las imágenes de la Voyager 2. Un análisis preciso mostró que un solo bit en una palabra de comando del subsistema de datos de vuelo había causado la falla, observada como las imágenes fueron comprimidas en la sonda. Lo más probable es que este bit se haya salido de su lugar dentro de la memoria del programa por el impacto de una partícula cósmica. La transmisión sin errores de las fotografías comprimidas de la sonda se efectuó solo dos días después, utilizando un programa de reemplazo capaz de pasar por alto el punto de memoria fallido (Laeser, McLaughlin y Wolff 1987).

Resumen de los accidentes presentados

Los accidentes analizados muestran que ciertos riesgos que podrían ser despreciados en condiciones de uso de tecnología electromecánica simple, ganan importancia cuando se utilizan computadoras. Los ordenadores permiten el procesamiento de funciones de seguridad complejas y específicas de la situación. Una especificación inequívoca, libre de errores, completa y verificable de todas las funciones de seguridad se vuelve especialmente importante. Los errores en las especificaciones son difíciles de descubrir y con frecuencia son la causa de accidentes en sistemas complejos. Los controles libremente programables generalmente se introducen con la intención de poder reaccionar de manera flexible y rápida al mercado cambiante. Sin embargo, las modificaciones, particularmente en sistemas complejos, tienen efectos secundarios que son difíciles de prever. Por lo tanto, todas las modificaciones deben estar sujetas a un procedimiento de gestión de cambios estrictamente formal en el que una separación clara de las funciones de seguridad de los sistemas parciales que no son relevantes para la seguridad ayudará a que las consecuencias de las modificaciones para la tecnología de seguridad sean fáciles de evaluar.

Las computadoras funcionan con bajos niveles de electricidad. Por lo tanto, son susceptibles a la interferencia de fuentes de radiación externas. Dado que la modificación de una sola señal entre millones puede provocar un mal funcionamiento, vale la pena prestar especial atención al tema de la compatibilidad electromagnética en relación con las computadoras.

El mantenimiento de los sistemas controlados por computadora se está volviendo cada vez más complejo y, por lo tanto, menos claro. La ergonomía del software del usuario y del software de configuración es, por lo tanto, cada vez más interesante desde el punto de vista de la tecnología de seguridad.

Ningún sistema informático es 100% comprobable. Un mecanismo de control simple con 32 puertos de entrada binarios y 1,000 rutas de software diferentes requiere 4.3 × 10¹² Pruebas para un control completo. A un ritmo de 100 pruebas por segundo ejecutadas y evaluadas, una prueba completa tardaría 1,362 años.

Procedimientos y Medidas para la Mejora de los Dispositivos de Seguridad Controlados desde Computador (PC)

Se han desarrollado procedimientos en los últimos 10 años que permiten el dominio de desafíos específicos relacionados con la seguridad en relación con las computadoras. Estos procedimientos se dirigen a las fallas de la computadora descritas en esta sección. Los ejemplos descritos de software y ordenadores en la protección de máquinas y los accidentes analizados muestran que la magnitud del daño y, por lo tanto, también el riesgo involucrado en diversas aplicaciones es extremadamente variable. Por lo tanto, es claro que las precauciones necesarias para la mejora de las computadoras y el software utilizado en tecnología de seguridad deben establecerse en relación con el riesgo.

La figura 2 muestra un procedimiento cualitativo mediante el cual se puede determinar la reducción de riesgos necesaria que se puede obtener mediante los sistemas de seguridad, independientemente del alcance y la frecuencia con que se produzcan los daños (Bell y Reinert 1992). Los tipos de fallos en los sistemas informáticos analizados en el apartado “Accidentes con sistemas controlados por ordenador” (anterior) pueden relacionarse con los denominados Niveles de Integridad de la Seguridad, es decir, las facilidades técnicas para la reducción del riesgo.

Figura 2. Procedimiento cualitativo para la determinación del riesgo

La Figura 3 deja en claro que la efectividad de las medidas tomadas, en cualquier caso dado, para reducir los errores en el software y las computadoras debe crecer con el aumento del riesgo (DIN 1994; IEC 1993).

Figura 3, Efectividad de las precauciones tomadas contra errores independientemente del riesgo

El análisis de los accidentes esbozados arriba muestra que la falla de las protecciones controladas por computadora es causada no solo por fallas aleatorias de los componentes, sino también por condiciones de operación particulares que el programador no ha tenido en cuenta. Las consecuencias no inmediatamente obvias de las modificaciones del programa realizadas en el curso del mantenimiento del sistema constituyen una fuente adicional de error. De ello se deduce que pueden existir fallos en los sistemas de seguridad controlados por microprocesadores que, aunque se produzcan durante el desarrollo del sistema, pueden dar lugar a una situación de peligro sólo durante su funcionamiento. Por lo tanto, se deben tomar precauciones contra tales fallas mientras los sistemas relacionados con la seguridad se encuentran en la etapa de desarrollo. Estas llamadas medidas para evitar fallas deben tomarse no solo durante la fase de concepto, sino también en el proceso de desarrollo, instalación y modificación. Ciertas fallas pueden evitarse si se descubren y corrigen durante este proceso (DIN 1990).

Como deja en claro el último percance descrito, la falla de un solo transistor puede conducir a la falla técnica de equipos automatizados altamente complejos. Dado que cada circuito individual está compuesto por muchos miles de transistores y otros componentes, se deben tomar numerosas medidas para evitar fallas a fin de reconocer tales fallas en el funcionamiento e iniciar una reacción apropiada en el sistema informático. La Figura 4 describe los tipos de fallas en los sistemas electrónicos programables, así como ejemplos de precauciones que se pueden tomar para evitar y controlar las fallas en los sistemas informáticos (DIN 1990; IEC 1992).

Figura 4. Ejemplos de precauciones tomadas para controlar y evitar errores en los sistemas informáticos

Posibilidades y perspectivas de los sistemas electrónicos programables en tecnología de seguridad

Las máquinas e instalaciones modernas son cada vez más complejas y deben realizar tareas cada vez más completas en períodos de tiempo cada vez más cortos. Por esta razón, los sistemas informáticos se han apoderado de casi todas las áreas de la industria desde mediados de la década de 1970. Este aumento en la complejidad por sí solo ha contribuido significativamente al aumento de los costos involucrados en la mejora de la tecnología de seguridad en tales sistemas. Si bien el software y las computadoras representan un gran desafío para la seguridad en el lugar de trabajo, también hacen posible la implementación de nuevos sistemas amigables con los errores en el campo de la tecnología de seguridad.

Un verso divertido pero instructivo de Ernst Jandl ayudará a explicar lo que significa el concepto amigable con los errores. “Lichtung: Manche meinen lechts und rinks kann man nicht velwechsern, werch ein Illtum”. (“Dilection: Muchos creen en la luz y no pueden ser intelcambiados, qué elol”.) A pesar del intercambio de cartas r y l, esta frase es fácilmente entendida por un humano adulto normal. Incluso alguien con poca fluidez en el idioma inglés puede traducirlo al inglés. Sin embargo, la tarea es casi imposible para una computadora traductora por sí sola.

Este ejemplo muestra que un ser humano puede reaccionar de una manera mucho más amigable con los errores que una computadora de lenguaje. Esto significa que los humanos, como todas las demás criaturas vivientes, pueden tolerar los fracasos remitiéndolos a la experiencia. Si uno mira las máquinas en uso hoy en día, puede ver que la mayoría de las máquinas penalizan las fallas del usuario no con un accidente, sino con una disminución en la producción. Esta propiedad conduce a la manipulación o evasión de las salvaguardas. La tecnología informática moderna pone a disposición de la seguridad en el trabajo sistemas que pueden reaccionar de forma inteligente, es decir, de forma modificada. Dichos sistemas hacen posible, por lo tanto, un modo de comportamiento favorable a los errores en las máquinas novedosas. En primer lugar, advierten a los usuarios durante una operación incorrecta y apagan la máquina solo cuando esta es la única forma de evitar un accidente. El análisis de los accidentes muestra que existe en esta área un potencial considerable para reducir los accidentes (Reinert y Reuss 1991).

Atrás

Un sistema automatizado híbrido (HAS) tiene como objetivo integrar las capacidades de las máquinas artificialmente inteligentes (basadas en tecnología informática) con las capacidades de las personas que interactúan con estas máquinas en el curso de sus actividades laborales. Las principales preocupaciones de la utilización de HAS se relacionan con la forma en que se deben diseñar los subsistemas humano y de máquina para hacer el mejor uso del conocimiento y las habilidades de ambas partes del sistema híbrido, y cómo los operadores humanos y los componentes de la máquina deben interactuar entre sí. para asegurar que sus funciones se complementen entre sí. Muchos sistemas automatizados híbridos han evolucionado como productos de aplicaciones de metodologías modernas basadas en información y control para automatizar e integrar diferentes funciones de sistemas tecnológicos a menudo complejos. HAS se identificó originalmente con la introducción de sistemas basados ​​en computadora utilizados en el diseño y operación de sistemas de control en tiempo real para reactores de energía nuclear, para plantas de procesamiento químico y para tecnología de fabricación de partes discretas. HAS ahora también se puede encontrar en muchas industrias de servicios, como el control del tráfico aéreo y los procedimientos de navegación de aeronaves en el área de la aviación civil, y en el diseño y uso de vehículos inteligentes y sistemas de navegación de carreteras en el transporte por carretera.

Con el progreso continuo en la automatización basada en computadoras, la naturaleza de las tareas humanas en los sistemas tecnológicos modernos cambia de aquellas que requieren habilidades perceptivo-motoras a aquellas que requieren actividades cognitivas, que son necesarias para la resolución de problemas, para la toma de decisiones en el monitoreo del sistema y para tareas de control de supervisión. Por ejemplo, los operadores humanos en los sistemas de fabricación integrados por computadora actúan principalmente como monitores del sistema, solucionadores de problemas y tomadores de decisiones. Las actividades cognitivas del supervisor humano en cualquier entorno HAS son (1) planificar lo que debe hacerse durante un período de tiempo determinado, (2) diseñar procedimientos (o pasos) para lograr el conjunto de objetivos planificados, (3) monitorear el progreso de procesos (tecnológicos), (4) “enseñar” al sistema a través de una computadora interactiva humana, (5) intervenir si el sistema se comporta de manera anormal o si las prioridades de control cambian y (6) aprender a través de la retroalimentación del sistema sobre el impacto de acciones de supervisión (Sheridan 1987).

Diseño de sistema híbrido

Las interacciones hombre-máquina en un HAS implican la utilización de bucles de comunicación dinámicos entre los operadores humanos y las máquinas inteligentes, un proceso que incluye la detección y el procesamiento de información y el inicio y ejecución de tareas de control y toma de decisiones, dentro de una estructura dada de asignación de funciones entre humanos y máquinas. Como mínimo, las interacciones entre las personas y la automatización deben reflejar la alta complejidad de los sistemas automatizados híbridos, así como las características relevantes de los operadores humanos y los requisitos de las tareas. Por lo tanto, el sistema automatizado híbrido se puede definir formalmente como un quíntuple en la siguiente fórmula:

TIENE = (T, U, C, E, I)

donde T = requisitos de la tarea (físicos y cognitivos); U = características del usuario (físicas y cognitivas); C = las características de automatización (hardware y software, incluidas las interfaces informáticas); E = el entorno del sistema; I = un conjunto de interacciones entre los elementos anteriores.

El conjunto de interacciones I incorpora todas las posibles interacciones entre T, U y C in E independientemente de su naturaleza o fuerza de asociación. Por ejemplo, una de las posibles interacciones podría involucrar la relación de los datos almacenados en la memoria de la computadora con el conocimiento correspondiente, si lo hay, del operador humano. las interacciones I puede ser elemental (es decir, limitado a una asociación uno a uno) o complejo, como implicaría interacciones entre el operador humano, el software particular utilizado para lograr la tarea deseada y la interfaz física disponible con la computadora.

Los diseñadores de muchos sistemas automatizados híbridos se enfocan principalmente en la integración asistida por computadora de máquinas sofisticadas y otros equipos como parte de la tecnología basada en computadora, y rara vez prestan mucha atención a la necesidad primordial de una integración humana efectiva dentro de tales sistemas. Por lo tanto, en la actualidad, muchos de los sistemas (tecnológicos) integrados por computadora no son totalmente compatibles con las capacidades inherentes de los operadores humanos expresadas por las habilidades y el conocimiento necesarios para el control y monitoreo efectivo de estos sistemas. Tal incompatibilidad surge en todos los niveles de funcionamiento humano, máquina y hombre-máquina, y puede definirse dentro de un marco de referencia del individuo y de toda la organización o instalación. Por ejemplo, los problemas de integración de personas y tecnología en empresas de fabricación avanzada ocurren al principio de la etapa de diseño de HAS. Estos problemas se pueden conceptualizar utilizando el siguiente modelo de integración de sistemas de la complejidad de las interacciones, I, entre los diseñadores del sistema, D, operadores humanos, H, o usuarios potenciales del sistema y la tecnología, T:

yo (H, T) = F [ Yo (H, D), Yo (D, T)]

donde I significa interacciones relevantes que tienen lugar en la estructura de un HAS dado, mientras que F indica relaciones funcionales entre diseñadores, operadores humanos y tecnología.

El modelo de integración del sistema anterior destaca el hecho de que las interacciones entre los usuarios y la tecnología están determinadas por el resultado de la integración de las dos interacciones anteriores, a saber, (1) aquellas entre los diseñadores de HAS y los usuarios potenciales y (2) aquellas entre los diseñadores. y la tecnología HAS (a nivel de máquinas y su integración). Cabe señalar que, aunque normalmente existen fuertes interacciones entre los diseñadores y la tecnología, solo se pueden encontrar muy pocos ejemplos de interrelaciones igualmente fuertes entre los diseñadores y los operadores humanos.

Se puede argumentar que incluso en los sistemas más automatizados, el papel humano sigue siendo crítico para el desempeño exitoso del sistema a nivel operativo. Bainbridge (1983) identificó un conjunto de problemas relevantes para la operación del HAS que se deben a la naturaleza de la automatización en sí, como sigue:

1. Operadores “fuera del lazo de control”. Los operadores humanos están presentes en el sistema para ejercer el control cuando es necesario, pero al estar "fuera del circuito de control" no pueden mantener las habilidades manuales y el conocimiento del sistema a largo plazo que a menudo se requieren en caso de una emergencia.
2. "Imagen mental" obsoleta. Es posible que los operadores humanos no puedan responder rápidamente a los cambios en el comportamiento del sistema si no han estado siguiendo muy de cerca los eventos de su operación. Además, el conocimiento de los operadores o la imagen mental del funcionamiento del sistema pueden ser inadecuados para iniciar o ejercer las respuestas requeridas.
3. Desaparición de generaciones de habilidades. Es posible que los nuevos operadores no puedan adquirir el conocimiento suficiente sobre el sistema computarizado logrado a través de la experiencia y, por lo tanto, no podrán ejercer un control efectivo cuando sea necesario.
4. Autoridad de automáticos. Si el sistema computarizado se ha implementado porque puede realizar las tareas requeridas mejor que el operador humano, surge la pregunta: "¿Sobre qué base debe decidir el operador que los sistemas automatizados están tomando decisiones correctas o incorrectas?"
5. Aparición de los nuevos tipos de “errores humanos” debidos a la automatización. Los sistemas automatizados dan lugar a nuevos tipos de errores y, en consecuencia, accidentes que no pueden ser analizados en el marco de las técnicas tradicionales de análisis.

Asignación de tareas

Uno de los temas importantes para el diseño de HAS es determinar cuántas y qué funciones o responsabilidades deben asignarse a los operadores humanos, y cuáles y cuántas a las computadoras. En general, hay tres clases básicas de problemas de asignación de tareas que deben considerarse: (1) la asignación de tareas de supervisor humano-computadora, (2) la asignación de tareas humano-humano y (3) la asignación de tareas de supervisión computadora-computadora. Idealmente, las decisiones de asignación deben tomarse a través de algún procedimiento de asignación estructurado antes de comenzar el diseño del sistema básico. Desafortunadamente, un proceso sistemático de este tipo rara vez es posible, ya que las funciones que se asignarán pueden necesitar un examen más detallado o deben llevarse a cabo de forma interactiva entre los componentes del sistema humano y de la máquina, es decir, mediante la aplicación del paradigma de control de supervisión. La asignación de tareas en los sistemas automatizados híbridos debe centrarse en el alcance de las responsabilidades de supervisión humana y de la computadora, y debe considerar la naturaleza de las interacciones entre el operador humano y los sistemas de soporte de decisiones computarizados. También se deben considerar los medios de transferencia de información entre las máquinas y las interfaces de entrada y salida humanas y la compatibilidad del software con las capacidades cognitivas humanas de resolución de problemas.

En los enfoques tradicionales para el diseño y la gestión de sistemas automatizados híbridos, se consideraba a los trabajadores como sistemas de entrada-salida deterministas, y había una tendencia a ignorar la naturaleza teleológica del comportamiento humano, es decir, el comportamiento orientado a objetivos que se basa en la adquisición de información relevante y la selección de metas (Goodstein et al. 1988). Para tener éxito, el diseño y la gestión de sistemas automatizados híbridos avanzados deben basarse en una descripción de las funciones mentales humanas necesarias para una tarea específica. El enfoque de “ingeniería cognitiva” (descrito más adelante) propone que los sistemas hombre-máquina (híbridos) deben concebirse, diseñarse, analizarse y evaluarse en términos de procesos mentales humanos (es decir, el modelo mental del operador de los sistemas adaptativos se toma en consideración). cuenta). Los siguientes son los requisitos del enfoque centrado en el ser humano para el diseño y la operación de HAS formulados por Corbett (1988):

1. Compatibilidad. La operación del sistema no debería requerir habilidades no relacionadas con las habilidades existentes, pero debería permitir que las habilidades existentes evolucionen. El operador humano debe introducir y recibir información que sea compatible con la práctica convencional para que la interfaz se ajuste a los conocimientos y habilidades previos del usuario.
2. Transparencia. No se puede controlar un sistema sin comprenderlo. Por lo tanto, el operador humano debe poder “ver” los procesos internos del software de control del sistema si se quiere facilitar el aprendizaje. Un sistema transparente facilita a los usuarios la construcción de un modelo interno de las funciones de control y toma de decisiones que el sistema puede realizar.
3. Choque mínimo. El sistema no debe hacer nada que los operadores encuentren inesperado a la luz de la información disponible para ellos, que detalla el estado actual del sistema.
4. control de perturbaciones. Las tareas inciertas (tal como se definen en el análisis de la estructura de elección) deben estar bajo el control de un operador humano con soporte informático para la toma de decisiones.
5. Falibilidad. Las habilidades y conocimientos implícitos de los operadores humanos no deben diseñarse fuera del sistema. Los operadores nunca deben ponerse en una posición en la que vean impotentes cómo el software dirige una operación incorrecta.
6. Reversibilidad de errores. El software debe proporcionar suficiente retroalimentación de información para informar al operador humano de las posibles consecuencias de una operación o estrategia en particular.
7. Flexibilidad operativa. El sistema debe ofrecer a los operadores humanos la libertad de compensar los requisitos y los límites de recursos cambiando las estrategias operativas sin perder el soporte del software de control.

Ingeniería Cognitiva de Factores Humanos

La ingeniería cognitiva de factores humanos se centra en cómo los operadores humanos toman decisiones en el lugar de trabajo, resuelven problemas, formulan planes y aprenden nuevas habilidades (Hollnagel y Woods 1983). Los roles de los operadores humanos que funcionan en cualquier HAS se pueden clasificar utilizando el esquema de Rasmussen (1983) en tres categorías principales:

1. Comportamiento basado en habilidades es el desempeño sensorio-motor ejecutado durante actos o actividades que tienen lugar sin control consciente como patrones de comportamiento fluidos, automatizados y altamente integrados. Las actividades humanas que entran en esta categoría se consideran una secuencia de actos hábiles compuestos para una situación dada. El comportamiento basado en habilidades es, por lo tanto, la expresión de patrones de comportamiento más o menos almacenados o instrucciones preprogramadas en un dominio de espacio-tiempo.
2. Comportamiento basado en reglas es una categoría de rendimiento orientada a un objetivo estructurada por el control de avance a través de una regla o procedimiento almacenado, es decir, un rendimiento ordenado que permite componer una secuencia de subrutinas en una situación de trabajo familiar. La regla generalmente se selecciona de experiencias previas y refleja las propiedades funcionales que restringen el comportamiento del entorno. El rendimiento basado en reglas se basa en conocimientos técnicos explícitos en lo que respecta al empleo de las reglas pertinentes. El conjunto de datos de decisión consta de referencias para el reconocimiento e identificación de estados, eventos o situaciones.
3. Comportamiento basado en el conocimiento es una categoría de actuación controlada por objetivos, en la que el objetivo se formula explícitamente sobre la base del conocimiento del entorno y los objetivos de la persona. La estructura interna del sistema está representada por un “modelo mental”. Este tipo de comportamiento permite el desarrollo y la prueba de diferentes planes bajo condiciones de control desconocidas y, por lo tanto, inciertas, y es necesario cuando las habilidades o las reglas no están disponibles o son inadecuadas, por lo que se debe recurrir a la resolución de problemas y la planificación.

En el diseño y gestión de un HAS se deben considerar las características cognitivas de los trabajadores para asegurar la compatibilidad de la operación del sistema con el modelo interno del trabajador que describe sus funciones. En consecuencia, el nivel de descripción del sistema debe cambiarse de los aspectos del funcionamiento humano basados ​​en habilidades a los basados ​​en reglas y conocimientos, y se deben usar métodos apropiados de análisis de tareas cognitivas para identificar el modelo de sistema del operador. Un tema relacionado en el desarrollo de un HAS es el diseño de medios de transmisión de información entre el operador humano y los componentes del sistema automatizado, tanto a nivel físico como cognitivo. Dicha transferencia de información debe ser compatible con los modos de información utilizados en los diferentes niveles de operación del sistema, es decir, visual, verbal, táctil o híbrida. Esta compatibilidad informativa asegura que las diferentes formas de transferencia de información requerirán una incompatibilidad mínima entre el medio y la naturaleza de la información. Por ejemplo, una pantalla visual es mejor para la transmisión de información espacial, mientras que la entrada auditiva puede usarse para transmitir información textual.

Muy a menudo, el operador humano desarrolla un modelo interno que describe el funcionamiento y la función del sistema de acuerdo con su experiencia, formación e instrucciones en relación con el tipo de interfaz hombre-máquina dado. A la luz de esta realidad, los diseñadores de un HAS deberían intentar construir en las máquinas (u otros sistemas artificiales) un modelo de las características físicas y cognitivas del operador humano, es decir, la imagen del sistema del operador (Hollnagel y Woods 1983) . Los diseñadores de un HAS también deben tener en cuenta el nivel de abstracción en la descripción del sistema, así como varias categorías relevantes del comportamiento del operador humano. Estos niveles de abstracción para modelar el funcionamiento humano en el entorno laboral son los siguientes (Rasmussen 1983): (1) forma física (estructura anatómica), (2) funciones físicas (funciones fisiológicas), (3) funciones generalizadas (mecanismos psicológicos y cognitivos). y procesos afectivos), (4) funciones abstractas (procesamiento de información) y (5) propósito funcional (estructuras de valores, mitos, religiones, interacciones humanas). Estos cinco niveles deben ser considerados simultáneamente por los diseñadores para asegurar un desempeño HAS efectivo.

Diseño de software del sistema

Dado que el software de computadora es un componente principal de cualquier entorno HAS, el desarrollo de software, incluido el diseño, las pruebas, la operación y la modificación, y los problemas de confiabilidad del software también deben considerarse en las primeras etapas del desarrollo de HAS. De esta manera, uno debería poder reducir el costo de la detección y eliminación de errores de software. Sin embargo, es difícil estimar la confiabilidad de los componentes humanos de un HAS debido a las limitaciones en nuestra capacidad para modelar el desempeño de tareas humanas, la carga de trabajo relacionada y los posibles errores. Una carga de trabajo mental excesiva o insuficiente puede conducir a una sobrecarga de información y al aburrimiento, respectivamente, y puede resultar en un desempeño humano degradado, lo que lleva a errores y aumenta la probabilidad de accidentes. Los diseñadores de un HAS deberían emplear interfaces adaptables, que utilizan técnicas de inteligencia artificial, para resolver estos problemas. Además de la compatibilidad hombre-máquina, debe tenerse en cuenta la cuestión de la adaptabilidad hombre-máquina entre sí para reducir los niveles de estrés que se producen cuando se pueden superar las capacidades humanas.

Debido al alto nivel de complejidad de muchos sistemas automatizados híbridos, la identificación de cualquier peligro potencial relacionado con el hardware, el software, los procedimientos operativos y las interacciones hombre-máquina de estos sistemas se vuelve fundamental para el éxito de los esfuerzos destinados a reducir las lesiones y los daños a los equipos. . Los peligros para la salud y la seguridad asociados con los sistemas automatizados híbridos complejos, como la tecnología de fabricación integrada por computadora (CIM), es claramente uno de los aspectos más críticos del diseño y la operación del sistema.

Problemas de seguridad del sistema

Los entornos automatizados híbridos, con su importante potencial de comportamiento errático del software de control en condiciones de perturbación del sistema, crean una nueva generación de riesgos de accidentes. A medida que los sistemas automatizados híbridos se vuelven más versátiles y complejos, las perturbaciones del sistema, incluidos los problemas de arranque y apagado y las desviaciones en el control del sistema, pueden aumentar significativamente la posibilidad de un peligro grave para los operadores humanos. Irónicamente, en muchas situaciones anormales, los operadores generalmente confían en el correcto funcionamiento de los subsistemas de seguridad automatizados, una práctica que puede aumentar el riesgo de lesiones graves. Por ejemplo, un estudio de accidentes relacionados con el mal funcionamiento de los sistemas de control técnico mostró que alrededor de un tercio de las secuencias de accidentes incluyeron la intervención humana en el circuito de control del sistema perturbado.

Dado que las medidas de seguridad tradicionales no se pueden adaptar fácilmente a las necesidades de los entornos HAS, las estrategias de control de lesiones y prevención de accidentes deben reconsiderarse en vista de las características inherentes de estos sistemas. Por ejemplo, en el área de la tecnología de fabricación avanzada, muchos procesos se caracterizan por la existencia de cantidades sustanciales de flujos de energía que los operadores humanos no pueden anticipar fácilmente. Además, los problemas de seguridad suelen surgir en las interfaces entre subsistemas, o cuando las perturbaciones del sistema progresan de un subsistema a otro. De acuerdo con la Organización Internacional para la Estandarización (ISO 1991), los riesgos asociados con los peligros debidos a la automatización industrial varían según los tipos de máquinas industriales incorporadas en el sistema de fabricación específico y con las formas en que el sistema se instala, programa, opera y mantiene. y reparado. Por ejemplo, una comparación de accidentes relacionados con robots en Suecia con otros tipos de accidentes mostró que los robots pueden ser las máquinas industriales más peligrosas utilizadas en la industria manufacturera avanzada. La tasa de accidentes estimada para los robots industriales fue de un accidente grave por 45 años-robot, una tasa más alta que la de las prensas industriales, que se informó que era de un accidente por 50 años-máquina. Cabe señalar aquí que las prensas industriales en los Estados Unidos representaron alrededor del 23 % de todas las muertes relacionadas con máquinas metalúrgicas durante el período 1980-1985, y las prensas eléctricas ocuparon el primer lugar con respecto al producto gravedad-frecuencia para lesiones no fatales.

En el dominio de la tecnología de fabricación avanzada, existen muchas piezas móviles que son peligrosas para los trabajadores, ya que cambian de posición de manera compleja fuera del campo visual de los operadores humanos. Los rápidos desarrollos tecnológicos en la fabricación integrada por computadora crearon una necesidad crítica de estudiar los efectos de la tecnología de fabricación avanzada en los trabajadores. Para identificar los peligros causados ​​por varios componentes de dicho entorno HAS, los accidentes pasados ​​deben analizarse cuidadosamente. Desafortunadamente, los accidentes que involucran el uso de robots son difíciles de aislar de los informes de accidentes relacionados con máquinas operadas por humanos y, por lo tanto, puede haber un alto porcentaje de accidentes no registrados. Las normas de salud y seguridad en el trabajo de Japón establecen que “los robots industriales no cuentan en la actualidad con medios fiables de seguridad y los trabajadores no pueden estar protegidos de ellos a menos que se regule su uso”. Por ejemplo, los resultados de la encuesta realizada por el Ministerio de Trabajo de Japón (Sugimoto 1987) de accidentes relacionados con robots industriales en las 190 fábricas encuestadas (con 4,341 robots en funcionamiento) mostraron que hubo 300 perturbaciones relacionadas con robots, de los cuales 37 casos de los actos inseguros resultaron en algunos casi accidentes, 9 fueron accidentes que produjeron lesiones y 2 fueron accidentes fatales. Los resultados de otros estudios indican que la automatización basada en computadora no necesariamente aumenta el nivel general de seguridad, ya que el hardware del sistema no puede hacerse a prueba de fallas mediante funciones de seguridad en el software de la computadora solamente, y los controladores del sistema no siempre son altamente confiables. Además, en un HAS complejo, uno no puede depender exclusivamente de dispositivos de detección de seguridad para detectar condiciones peligrosas y emprender estrategias apropiadas para evitar peligros.

Efectos de la automatización en la salud humana

Como se discutió anteriormente, las actividades de los trabajadores en muchos entornos HAS son básicamente aquellas de control de supervisión, monitoreo, soporte del sistema y mantenimiento. Estas actividades también se pueden clasificar en cuatro grupos básicos de la siguiente manera: (1) tareas de programación, es decir, codificar la información que guía y dirige la operación de la maquinaria, (2) monitoreo de los componentes de producción y control de HAS, (3) mantenimiento de los componentes de HAS para prevenir o aliviar el mal funcionamiento de la maquinaria, y (4) realizar una variedad de tareas de apoyo, etc. Muchas revisiones recientes del impacto del HAS en el bienestar de los trabajadores concluyeron que aunque la utilización de un HAS en el área de fabricación puede eliminar tareas pesadas y peligrosas , trabajar en un entorno HAS puede ser insatisfactorio y estresante para los trabajadores. Las fuentes de estrés incluyeron el monitoreo constante requerido en muchas aplicaciones HAS, el alcance limitado de las actividades asignadas, el bajo nivel de interacción de los trabajadores permitido por el diseño del sistema y los riesgos de seguridad asociados con la naturaleza impredecible e incontrolable del equipo. Si bien algunos trabajadores que participan en actividades de programación y mantenimiento sienten los elementos del desafío, que pueden tener efectos positivos en su bienestar, estos efectos a menudo se ven contrarrestados por la naturaleza compleja y exigente de estas actividades, así como por la presión. ejercida por la administración para completar estas actividades rápidamente.

Si bien en algunos entornos HAS los operadores humanos están alejados de las fuentes de energía tradicionales (el flujo de trabajo y el movimiento de la máquina) durante las condiciones normales de operación, muchas tareas en los sistemas automatizados aún deben realizarse en contacto directo con otras fuentes de energía. Dado que el número de diferentes componentes HAS aumenta continuamente, se debe hacer especial hincapié en la comodidad y la seguridad de los trabajadores y en el desarrollo de disposiciones eficaces para el control de lesiones, especialmente en vista del hecho de que los trabajadores ya no pueden mantenerse al día con la sofisticación y complejidad de tales sistemas.

Con el fin de satisfacer las necesidades actuales de control de lesiones y seguridad de los trabajadores en los sistemas de fabricación integrados por computadora, el Comité de Sistemas de Automatización Industrial de ISO ha propuesto una nueva norma de seguridad titulada "Seguridad de los sistemas de fabricación integrados" (1991). Esta nueva norma internacional, que se desarrolló en reconocimiento de los peligros particulares que existen en los sistemas de fabricación integrados que incorporan máquinas industriales y equipos asociados, tiene como objetivo minimizar las posibilidades de lesiones al personal mientras trabaja en un sistema de fabricación integrado o junto a él. Las principales fuentes de peligros potenciales para los operadores humanos en CIM identificados por esta norma se muestran en la figura 1.

Figura 1. Fuente principal de peligros en la fabricación integrada por computadora (CIM) (después de ISO 1991)

Errores humanos y del sistema

En general, los peligros en un HAS pueden surgir del propio sistema, de su asociación con otros equipos presentes en el entorno físico o de las interacciones del personal humano con el sistema. Un accidente es solo uno de los varios resultados de las interacciones hombre-máquina que pueden surgir en condiciones peligrosas; los accidentes cercanos y los incidentes con daños son mucho más comunes (Zimolong y Duda 1992). La ocurrencia de un error puede llevar a una de estas consecuencias: (1) el error pasa desapercibido, (2) el sistema puede compensar el error, (3) el error conduce a una falla de la máquina y/o al paro del sistema o (4) ) el error conduce a un accidente.

Dado que no todos los errores humanos que resultan en un incidente crítico causarán un accidente real, es apropiado distinguir aún más entre las categorías de resultados de la siguiente manera: (1) un incidente inseguro (es decir, cualquier ocurrencia no intencional independientemente de si resulta en lesiones, daños o pérdida), (2) un accidente (es decir, un evento inseguro que resulta en una lesión, daño o pérdida), (3) un incidente de daño (es decir, un evento inseguro que resulta solo en algún tipo de daño material), (4) un casi accidente o “casi accidente” (es decir, un evento inseguro en el que una lesión, daño o pérdida se evitó fortuitamente por un margen estrecho) y (5) la existencia de un accidente potencial (es decir, eventos inseguros que podrían haber resultado en lesiones, daños o pérdidas). , o pérdida, pero, debido a las circunstancias, no resultó ni siquiera en un casi accidente).

Se pueden distinguir tres tipos básicos de error humano en un HAS:

1. resbalones y lapsus basados ​​en habilidades
2. errores basados ​​en reglas
3. errores basados ​​en el conocimiento.

Esta taxonomía, ideada por Reason (1990), se basa en una modificación de la clasificación del desempeño humano de habilidad-regla-conocimiento de Rasmussen, como se describe anteriormente. En el nivel basado en habilidades, el desempeño humano se rige por patrones almacenados de instrucciones preprogramadas representadas como estructuras análogas en un dominio de espacio-tiempo. El nivel basado en reglas es aplicable para abordar problemas familiares en los que las soluciones se rigen por reglas almacenadas (llamadas "producciones", ya que se accede a ellas o se producen según sea necesario). Estas reglas exigen la realización de determinados diagnósticos (o juicios) o la realización de determinadas acciones correctoras, dado que se han dado determinadas condiciones que exigen una respuesta adecuada. En este nivel, los errores humanos se asocian típicamente con la clasificación errónea de situaciones, lo que lleva a la aplicación de una regla incorrecta o al recuerdo incorrecto de juicios o procedimientos consecuentes. Los errores basados ​​en el conocimiento ocurren en situaciones novedosas para las cuales se deben planificar acciones “on-line” (en un momento dado), utilizando procesos analíticos conscientes y conocimiento almacenado. Los errores en este nivel surgen de limitaciones de recursos y conocimientos incompletos o incorrectos.

Los sistemas genéricos de modelado de errores (GEMS) propuestos por Reason (1990), que intenta localizar los orígenes de los tipos básicos de errores humanos, se pueden utilizar para derivar la taxonomía general del comportamiento humano en un HAS. GEMS busca integrar dos áreas distintas de investigación de errores: (1) deslices y fallas, en los que las acciones se desvían de la intención actual debido a fallas en la ejecución y/o fallas en el almacenamiento y (2) errores, en los cuales las acciones pueden ejecutarse de acuerdo con el plan. pero el plan es inadecuado para lograr el resultado deseado.

Evaluación y Prevención de Riesgos en CIM

De acuerdo con la ISO (1991), la evaluación de riesgos en CIM debe realizarse para minimizar todos los riesgos y servir como base para determinar los objetivos y medidas de seguridad en el desarrollo de programas o planes tanto para crear un entorno de trabajo seguro como para garantizar la seguridad y la salud del personal también. Por ejemplo, los riesgos laborales en entornos HAS basados ​​en la fabricación se pueden caracterizar de la siguiente manera: (1) el operador humano puede necesitar ingresar a la zona de peligro durante las tareas de recuperación, servicio y mantenimiento de perturbaciones, (2) la zona de peligro es difícil de determinar, percibir y controlar, (3) el trabajo puede ser monótono y (4) los accidentes que ocurren dentro de los sistemas de fabricación integrados por computadora son a menudo graves. Cada peligro identificado debe evaluarse por su riesgo, y deben determinarse e implementarse las medidas de seguridad apropiadas para minimizar ese riesgo. Los peligros también deben determinarse con respecto a todos los siguientes aspectos de cualquier proceso dado: la unidad individual en sí; la interacción entre unidades individuales; las secciones operativas del sistema; y el funcionamiento del sistema completo para todos los modos y condiciones de funcionamiento previstos, incluidas las condiciones en las que se suspenden los medios de protección normales para operaciones tales como programación, verificación, resolución de problemas, mantenimiento o reparación.

La fase de diseño de la estrategia de seguridad ISO (1991) para CIM incluye:

• especificación de los límites de los parámetros del sistema
• aplicación de una estrategia de seguridad
• identificación de peligros
• evaluación de los riesgos asociados
• eliminación de los peligros o disminución de los riesgos tanto como sea posible.

La especificación de seguridad del sistema debe incluir:

• una descripción de las funciones del sistema
• un diseño y/o modelo del sistema
• los resultados de una encuesta realizada para investigar la interacción de diferentes procesos de trabajo y actividades manuales
• un análisis de secuencias de procesos, incluida la interacción manual
• una descripción de las interfaces con el transportador o las líneas de transporte
• diagramas de flujo de proceso
• planes de fundación
• planos de dispositivos de suministro y eliminación
• determinación del espacio necesario para el suministro y disposición de material
• registros de accidentes disponibles.

De acuerdo con la ISO (1991), todos los requisitos necesarios para garantizar una operación segura del sistema CIM deben tenerse en cuenta en el diseño de procedimientos sistemáticos de planificación de la seguridad. Esto incluye todas las medidas de protección para reducir eficazmente los peligros y requiere:

• integración de la interfaz hombre-máquina
• definición temprana de la posición de quienes trabajan en el sistema (en el tiempo y el espacio)
• consideración temprana de formas de reducir el trabajo aislado
• consideración de los aspectos ambientales.

El procedimiento de planificación de seguridad debe abordar, entre otros, los siguientes aspectos de seguridad de CIM:

• Selección de los modos de funcionamiento del sistema. El equipo de control debe tener provisiones para al menos los siguientes modos de operación: (1) modo normal o de producción (es decir, con todas las protecciones normales conectadas y en funcionamiento), (2) operación con algunas de las protecciones normales suspendidas y (3) operación en qué sistema o iniciación manual remota de situaciones peligrosas se previene (por ejemplo, en el caso de operación local o de aislamiento de energía o bloqueo mecánico de condiciones peligrosas).
• Formación, instalación, puesta en marcha y pruebas funcionales. Cuando se requiere que el personal esté en la zona de peligro, se deben proporcionar las siguientes medidas de seguridad en el sistema de control: (1) mantener para ejecutar, (2) dispositivo habilitador, (3) velocidad reducida, (4) potencia reducida y (5) ) parada de emergencia móvil.
• Seguridad en la programación, mantenimiento y reparación de sistemas. Durante la programación, solo el programador debe estar permitido en el espacio protegido. El sistema debe contar con procedimientos de inspección y mantenimiento para garantizar la operación prevista continua del sistema. El programa de inspección y mantenimiento debe tener en cuenta las recomendaciones del proveedor del sistema y las de los proveedores de varios elementos de los sistemas. No hace falta mencionar que el personal que realiza el mantenimiento o las reparaciones del sistema debe estar capacitado en los procedimientos necesarios para realizar las tareas requeridas.
• Eliminación de fallas. Cuando sea necesario eliminar la falla desde el interior del espacio protegido, debe realizarse después de una desconexión segura (o, si es posible, después de que se haya accionado un mecanismo de bloqueo). Deben tomarse medidas adicionales contra el inicio erróneo de situaciones peligrosas. Cuando puedan ocurrir peligros durante la eliminación de fallas en secciones del sistema o en las máquinas de sistemas o máquinas contiguas, estos también deben ponerse fuera de servicio y protegerse contra arranques inesperados. Por medio de señales de instrucción y advertencia, se debe llamar la atención sobre la eliminación de fallas en los componentes del sistema que no se pueden observar por completo.

Control de perturbaciones del sistema

En muchas instalaciones HAS utilizadas en el área de fabricación integrada por computadora, normalmente se necesitan operadores humanos con el fin de controlar, programar, mantener, preconfigurar, reparar o solucionar problemas. Las perturbaciones en el sistema conducen a situaciones que hacen necesario que los trabajadores ingresen a las áreas peligrosas. A este respecto, se puede suponer que las perturbaciones siguen siendo la razón más importante de la interferencia humana en CIM, porque los sistemas se programarán con mayor frecuencia desde fuera de las áreas restringidas. Uno de los temas más importantes para la seguridad de CIM es prevenir perturbaciones, ya que la mayoría de los riesgos ocurren en la fase de solución de problemas del sistema. La prevención de perturbaciones es el objetivo común en lo que se refiere tanto a la seguridad como a la rentabilidad.

Una perturbación en un sistema CIM es un estado o función de un sistema que se desvía del estado planificado o deseado. Además de la productividad, las perturbaciones durante la operación de un CIM tienen un efecto directo en la seguridad de las personas involucradas en la operación del sistema. Un estudio finlandés (Kuivanen 1990) mostró que aproximadamente la mitad de las perturbaciones en la fabricación automatizada reducen la seguridad de los trabajadores. Las principales causas de las perturbaciones fueron errores en el diseño del sistema (34 %), fallas en los componentes del sistema (31 %), errores humanos (20 %) y factores externos (15 %). La mayoría de las fallas de las máquinas fueron causadas por el sistema de control y, en el sistema de control, la mayoría de las fallas ocurrieron en los sensores. Una forma eficaz de aumentar el nivel de seguridad de las instalaciones CIM es reducir el número de perturbaciones. Si bien las acciones humanas en sistemas perturbados previenen la ocurrencia de accidentes en el ambiente HAS, también contribuyen a ellos. Por ejemplo, un estudio de accidentes relacionados con el mal funcionamiento de los sistemas de control técnico mostró que alrededor de un tercio de las secuencias de accidentes incluyeron la intervención humana en el circuito de control del sistema perturbado.

Los principales temas de investigación en la prevención de perturbaciones CIM se refieren a (1) las principales causas de las perturbaciones, (2) los componentes y funciones no confiables, (3) el impacto de las perturbaciones en la seguridad, (4) el impacto de las perturbaciones en la función del sistema, ( 5) daños materiales y (6) reparaciones. La seguridad de HAS debe planificarse al principio de la etapa de diseño del sistema, con la debida consideración de la tecnología, las personas y la organización, y ser una parte integral del proceso general de planificación técnica de HAS.

HAS Diseño: Desafíos Futuros

Para asegurar el máximo beneficio de los sistemas automatizados híbridos, como se mencionó anteriormente, se necesita una visión mucho más amplia del desarrollo de sistemas, que se base en la integración de personas, organizaciones y tecnología. Aquí se deben aplicar tres tipos principales de integración de sistemas:

1. integracion de personas, asegurando una comunicación efectiva entre ellos
2. integración humano-computadora, mediante el diseño de interfaces adecuadas y la interacción entre las personas y las computadoras
3. integración tecnológica, asegurando interfaces e interacciones efectivas entre máquinas.

Los requisitos mínimos de diseño para los sistemas automatizados híbridos deben incluir lo siguiente: (1) flexibilidad, (2) adaptación dinámica, (3) capacidad de respuesta mejorada y (4) la necesidad de motivar a las personas y hacer un mejor uso de sus habilidades, juicio y experiencia. . Lo anterior también requiere que se desarrollen estructuras organizacionales, prácticas de trabajo y tecnologías de HAS para permitir que las personas en todos los niveles del sistema adapten sus estrategias de trabajo a la variedad de situaciones de control de sistemas. Por lo tanto, las organizaciones, prácticas de trabajo y tecnologías de HAS deberán diseñarse y desarrollarse como sistemas abiertos (Kidd 1994).

Un sistema automatizado híbrido abierto (OHAS) es un sistema que recibe entradas y envía salidas a su entorno. La idea de un sistema abierto se puede aplicar no solo a las arquitecturas de sistemas y estructuras organizativas, sino también a las prácticas de trabajo, las interfaces humano-computadora y la relación entre las personas y las tecnologías: se pueden mencionar, por ejemplo, los sistemas de programación, los sistemas de control y Sistemas de Soporte a la Decisión. Un sistema abierto también es adaptativo cuando permite a las personas un alto grado de libertad para definir el modo de operar del sistema. Por ejemplo, en el área de fabricación avanzada, los requisitos de un sistema automatizado híbrido abierto se pueden cumplir a través del concepto de Manufactura integrada por humanos y computadoras (HCIM). Desde este punto de vista, el diseño de la tecnología debe abordar la arquitectura general del sistema HCIM, incluidos los siguientes: (1) consideraciones de la red de grupos, (2) la estructura de cada grupo, (3) la interacción entre grupos, (4) la naturaleza del software de soporte y (5) las necesidades técnicas de comunicación e integración entre los módulos de software de soporte.

El sistema automatizado híbrido adaptativo, a diferencia del sistema cerrado, no restringe lo que pueden hacer los operadores humanos. El papel del diseñador de un HAS es crear un sistema que satisfaga las preferencias personales del usuario y permita a sus usuarios trabajar de la forma que consideren más apropiada. Un requisito previo para permitir la entrada del usuario es el desarrollo de una metodología de diseño adaptativo, es decir, un OHAS que permita habilitar tecnología asistida por computadora para su implementación en el proceso de diseño. La necesidad de desarrollar una metodología para el diseño adaptativo es uno de los requisitos inmediatos para realizar el concepto OHAS en la práctica. También es necesario desarrollar un nuevo nivel de tecnología de control de supervisión humana adaptativa. Dicha tecnología debería permitir que el operador humano "vea a través" del sistema de control del funcionamiento del HAS, que de otro modo sería invisible, por ejemplo, mediante la aplicación de un sistema de video interactivo de alta velocidad en cada punto de control y operación del sistema. Finalmente, también es muy necesaria una metodología para el desarrollo de un soporte basado en computadora inteligente y altamente adaptable de roles humanos y funcionamiento humano en los sistemas automatizados híbridos.

Atrás