Wege aus der Ironie in Richtung ernsthafter Automatisierung

Dieser Text beschäftigt sich mit konzeptuellen Überlegungen und einem Vorgehensmodell zur systematischen Berücksichtigung des Faktors Mensch im Rahmen der Automatisierung von Aufgaben zur Überwachung und Steuerung sicherheitskritischer Prozesse. Gemeint sind Prozesse wie z. B. industrielle Fertigungsprozesse oder auch Fahrprozesse mit dem Auto oder Flugzeug. Der Mensch, um den es hier geht, ist (1) der menschliche Operateur, der unter Nutzung der Automatisierungssysteme den Fertigungsprozess überwacht, ggf. steuernd eingreift und Reparaturmaßnahmen in die Wege leitet, sowie (2) der menschliche Fahrer oder Pilot, der unterstützt durch Assistenzsysteme ein Fahrzeug oder Flugzeug steuert bzw. überwacht, wie dies von weitgehend autonome Autopiloten erledigt wird.¹ Die autonome Steuerung ist in Flugzeugen weit vorangeschritten, aber auch im Auto wird dies mit großer Wahrscheinlichkeit in absehbarer Zukunft Realität werden. Automatisierung wurde in der Vergangenheit und wird auch heute noch oft unter der Annahme betrieben, dass der Mensch das schwächste Glied der Kette ist und dass er deshalb nach und nach vollständig ersetzt werden muss. Dies hat zu einigen Ironien geführt, die eine neue Qualität von Fehlerarten hervorgebracht haben, die häufig lapidar als „Fehlbedienungen“ abgetan werden. Der Text zeigt auf, dass diese Ironien aus einer unzureichenden Auseinandersetzung mit dem Faktor Mensch resultieren. Es wird argumentiert, dass Automatisierung ohne Einbeziehung des Menschen nicht erfolgreich betrieben werden kann. Die Rolle des Menschen muss explizit gestaltet werden und diese Rolle wegentwickeln zu wollen ist keine Lösung. Der Text argumentiert für die Auflösung einer starren Zuweisung von Aufgaben auf Mensch und Maschine. Eine optimale Aufgabenaufteilung kann nicht a-priori festgelegt werden, sondern muss zu jedem Zeitpunkt anhand festgelegter Verteilungsstrategien auf Basis situativer Erfordernisse neu bestimmt werden. Diese Flexibilität kann durch eine neue Perspektive auf die Mensch–Maschine Beziehung unterstützt werden: das Mensch–Maschine Team (MMT). In diesem Team wird interagiert, um die Aufgaben gemeinsam zu bewältigen und es wird kommuniziert, um ein gegenseitiges Verstehen herzustellen. Der Entwicklungsgegenstand ist nicht mehr das Automatisierungssystem sondern das MMT. Die Teamperspektive stellt die Entwickler vor neue Entwurfsherausforderungen. Der Text zeigt, dass diesen mit einem ingenieurmäßigen modellbasierten Vorgehen begegnet werden kann. Abschließend wird innerhalb dieses Vorgehens exemplarisch die Methodik des Ecological Interface Designs für den Entwurf der Mensch–Maschine Schnittstelle vorgestellt.

Bainbridge hat 1983 in ihrem mittlerweile klassischen Beitrag die Ironien der Automatisierung von Überwachungs- und Steuerungsprozessen in der Industrie pointiert herausgestellt. Obwohl Bainbridge auf die Prozessindustrie fokussiert, führt sie bereits an, dass sich die Ironien auch in vielen anderen hochautomatisierten Bereichen wieder finden lassen. Das Dilemma der Automatisierung lässt sich beispielsweise sehr gut am Beispiel der Luftfahrt darstellen.

Die Automatisierung bestimmter Pilotenaufgaben erlebte in den 80er Jahren einen entscheidenden Auftrieb. Mit der Einführung der Boeing 767 im Jahre 1982 konnte die Arbeitslast im Cockpit so weit reduziert werden, dass statt der Drei-Mann-Besatzung nur noch zwei Piloten notwendig waren (Billings 1997). In diesen Anfängen der Cockpitautomatisierung wurde der Mensch als schwächstes Glied im Flugablauf betrachtet und es galt, seine Tätigkeiten so weit wie möglich durch Automatisierung zu ersetzen (Rüegger 1990). Nicht der Pilot, sondern das technisch Machbare stand im Vordergrund. Sicherheitssysteme, die riskante Manöver verhindern sollen, wurden eingebaut, z. B. Stallprotectionsysteme, um einen Strömungsabriss, und Speedprotectionsysteme, um zu hohe Geschwindigkeiten zu verhindern. Die menschliche Steuerung wurde mehr und mehr durch eine automatische Steuerung in Form von Autopiloten und Flight Management Systemen ersetzt, wobei sich die Rolle des Piloten vom aktiv Handelnden zum passiv Überwachenden wandelte. Die neue Rolle wird als Supervisory Control (Sheridan 1997) bezeichnet. Der Pilot programmiert und überwacht die Systeme, die für ihn die Steuerung des Flugprozesses übernehmen. Steuerungssysteme lesen den Zustand des zu steuernden Prozesses über Sensoren und manipulieren diesen über Aktuatoren.

Die Ironie beginnt damit, dass im Notfall von den Piloten verlangt wird, dass sie in die automatische Steuerung eingreifen und ggf. manuell übernehmen. Diese Sichtweise ist nicht konsistent mit der Vorstellung, dass der Mensch das schwächste Glied im Flugablauf ist. Besonders kritisch ist, dass die Piloten vor allem in Flugphasen entlastet werden, in denen die Arbeitslast ohnehin bereits gering ist, z. B. im wenig anspruchsvollen Streckenflug durch völlige Reduzierung des körperlich-handwerklichen Aufwands. In kritischen Phasen mit hoher Arbeitslast (z. B. beim Start- oder Landeabbruch) hingegen wird die Belastung durch die oft kontraintuitive Bedienung der Automatik verstärkt (Sarter und Woods 1995).

Diese Situation lässt sich in ähnlicher Weise auf alle hochautomatisierten Bereiche beziehen, in denen die Aufgabe darin besteht, einen Prozess (z. B. Fertigungsprozess, Fahrprozess, Stromversorgung) zu überwachen und zu steuern. Bainbridge (1983) zeigt vier Ironien der Automatisierung auf: Die Ironien zeigen, dass Entwickler dem Menschen implizit eine sehr wichtige Rolle auferlegen. Allerdings geschieht dies oft ohne sie/ihn mit geeigneten Mitteln auszustatten, die notwendig wären, um die Rolle zu erfüllen. Ein wichtiger Aspekt ist beispielsweise die Gestaltung der Mensch–Maschine Interaktion, um ein adäquates Situationsbewusstsein zu unterstützen. Hier müsste sichergestellt werden, dass der Operateur zu jedem Zeitpunkt die notwendige Information über den Zustand des Prozesses und die Kontrolleingriffe der Automatisierungssysteme in intuitiver Weise erhält. Der Trend geht eher dahin, dass der Mensch mehr und mehr aus der Kontrollschleife herausgenommen und eine zunehmende Distanz zum tatsächlichen Kontrollprozess geschaffen wird. Dadurch gehen praktische Kenntnisse darüber verloren, wie der Prozess zu steuern ist (Wiener und Curry 1980). Es findet eine Erosion manueller Fähigkeiten und intimer Kenntnisse über das Verhalten und die Steuerung der Prozesse statt. Diese Fähigkeiten und Kenntnisse sind aber essentiell, um in Störfällen effektiv eingreifen zu können.

Unbestritten ist sicherlich, dass die Einführung moderner Automatisierungssysteme zur Erhöhung der Sicherheit beigetragen hat. Dennoch muss festhalten werden, dass eine neue Qualität von Fehlern hervorgebracht wurde, die weitgehend ein Resultat der aufgezeigten Ironien sind. Stichwörter sind hier Automation Surprises (Sarter et al. 1997), Lack of Understanding (Endsley 1996), Mode Confusion (Norman 1981; Degani et al. 1999), Complacency (Parasuraman und Manzey 2010), Skill Degradation (Sherman 1997), Out-of-the-loop Effects (Endsley und Kiris 1995), Automation Misuse, Disuse, Abuse (Parasuraman und Riley 1997). In Unfall- und Vorfallberichten wird dann oft von „menschlichem Fehlverhalten“ oder „Fehlbedienungen“ gesprochen. Allerdings sind diese Fehler häufig nicht ursächlich auf den menschlichen Operateur zurückzuführen, sondern vielmehr auf ein Missverständnis menschlicher Fähigkeiten durch die Entwickler von Automatisierungssystemen bzw. auf eine unzureichenden Entwicklungsphilosophie kombiniert mit unvollständigen Entwicklungsprozessen und -werkzeugen, die den Faktor Mensch ignorieren oder nur unzulänglich berücksichtigen.

Wenn man akzeptiert, dass der Mensch eine entscheidende Rolle bei der Überwachung und Steuerung industrieller Prozesse spielt, dann muss man sich fragen, unter welchen Voraussetzungen er die Rolle bestmöglich ausfüllen kann. Bereits bei der Aufgabenaufteilung, also der Entscheidung, welche Funktionalität die Maschine haben soll, müssen (1) Fähigkeiten und Schwächen der menschlichen Operateure, (2) Möglichkeiten und Grenzen der Automatisierung sowie (3) das sinnvolle Zusammenspiel von Mensch und Maschine berücksichtigt werden.

Eine einfache Philosophie für die Automatisierung wäre, die Stärken sowohl der Menschen (what can men do better than machines) als auch der (zu entwickelnden) Maschinen (what can machines do better than men) zu analysieren und dann entsprechend die Aufgaben zuzuweisen (Fitts 1951). Fitts (1951) hat diese Stärken in einer Liste, die auch als MABA–MABA (Men Are Better At – Machines Are Better At) bezeichnet wird, zusammengefasst. Vereinfacht dargestellt sind demnach Menschen besser in vielen Aspekten der Entdeckung (kleinster Veränderungen), der Wahrnehmung, der Beurteilung, der Induktion, der Improvisation und des langfristigen Speicherns und Erinnerns von Information. Maschinen sind besser in vielen Aspekten der Geschwindigkeit, der Anwendung starker Kräfte, der Durchführung sich fortwährend wiederholender Aufgaben, der komplexen Berechnung/Deduktion, des Multitasking und des kurzfristigen Speicherns und Abrufens von Information. Beispielsweise zeigen zahlreiche Studien (siehe z. B. Warm et al. 1996), dass es für Menschen unmöglich ist, über lange Zeit aufmerksam einen Prozess zu überwachen, bei dem wenig passiert. Einige Studien weisen auf eine maximale Aufmerksamkeitsspanne von einer halben Stunde (Mackworth 1950). Menschen sind hingegen gut darin kreative Lösungen zu „erfinden“ in Situationen für die kein vorgefertigter Plan vorliegt. Diese Fähigkeit kann aber mit zunehmendem Zeitdruck abnehmen. Zeitdruck führt dazu, dass Menschen auf bewährte Lösungen bzw. einfache Heuristiken zurückgreifen (Simon 1955; Zsambok et al. 1992; Gigerenzer et al. 1999). Diese Heuristiken sind optimal angepasst an wiederkehrende Bedingungen. In völlig neuen Situationen können sie jedoch zu Fehlurteilen und gefährlichen Fehlhandlungen führen (Frey und Schulz-Hardt 1997; Javaux 1998; Lüdtke und Möbus 2004).

Nimmt man Fitts’ Liste wörtlich, dann würde man lediglich die Fähigkeiten automatisieren, bei denen Maschinen den Menschen überlegen sind und der Mensch würde weiterhin seine Stärken einbringen können. Diese Aufteilung würde akzeptieren, dass Menschen eine entscheidende Rolle spielen und in einigen Aspekten den Maschinen überlegen sind. Dennoch betrachtet Fitts diese Zuweisung als problematisch, weil weitere Faktoren eine entscheidende Rolle spielen, wie beispielsweise die Zufriedenheit, Motivation und auch das Ansehen sowie Selbstverständnis der involvierten Menschen. Weiterhin berücksichtigt diese starre Aufgabenaufteilung, immer noch nicht, dass Fähigkeiten sowohl der Menschen als auch Maschinen von der konkreten Situation abhängig sind, z. B. von den situativen Herausforderungen und der induzierten Aufgabenschwierigkeit bzw. der induzierten Arbeitslast. MABA–MABA berücksichtigt nicht, dass in Abhängigkeit von der Situation Maschinenaufgaben dynamisch vom Mensch übernommen werden müssen (oder umgekehrt) und dass hierfür ein adäquates Situationsbewusstsein geschaffen sowie adäquate manuelle Fertigkeiten erhalten werden müssen. Fitts’ Sichtweise behebt somit nicht die eingangs erläuterten Ironien der Automatisierung (Wiener und Curry 1980; Rouse 1981).

Eine möglicher Beitrag zur Lösung des Problems sind beispielsweise unterschiedliche Automatisierungsgrade (Parasuraman et al. 2000). Man spricht auch von adaptiver Automatisierung (Opperman 1994; Byrne und Parasuraman 1996). Die Grade in einem Steuerungssystem können sich von vollständig manuell bis vollständig autonom erstrecken. Dazwischen werden bestimmte Aufgaben vom Menschen und andere von der Maschine übernommen. Wesentlich dabei ist, dass die Aufteilung nicht fix sondern dynamisch ist. Abhängig von der Situation können Übergänge entweder automatisch durch die Maschine (z. B. Übergabe an den Menschen, wenn Performanzgrenzen der Automatik erreicht werden) oder durch den Menschen initiiert werden. Diese Aufteilung ermöglicht z. B. den Menschen bestimmte Aufgaben selbst zu übernehmen, um manuelle Fähigkeiten aufrecht zu erhalten.

Die Einführung gestufter Automatisierungsgrade schafft eine wesentliche Voraussetzung für den Ausweg aus dem Automatisierungsdilemma. Das Konzept sieht explizit vor, dass die Kontrolle zwischen Mensch und Maschine wechseln kann. Damit rückt neben der grundsätzlichen Aufgabenaufteilung die Gestaltung der Aufgabenübergabe in den Vordergrund. Wenn der Mensch in bestimmten Situationen übernehmen soll, dann muss er dazu auch in die Lage versetzt werden, z. B. indem er bei bestimmten Aufgaben ausreichend in der Kontrollschleife gehalten oder rechtzeitig in die Schleife zurückgeholt wird. Die Frage ist also, wieweit der Mensch in die Aufgabe eingebunden werden bzw. über den Aufgabenverlauf informiert werden muss, sodass er ausreichend Situationsbewusstsein hat, um ggf. einzugreifen. Es ist zu berücksichtigen, dass die reine Überwachung einer Aufgabe weniger Situationsbewusstsein schafft als die aktive Durchführung.

Was muss der Mensch über die Maschine und den aktuellen Zustand des Kontrollprozesses wissen? Wie kann die Maschine dieses Wissen an den Menschen geeignet kommunizieren? Diese Fragen verschieben den Fokus der Automatisierung von der reinen Betrachtung der technischen Funktionalität hin zur Betrachtung des Zusammenspiels zwischen Mensch und Maschine. Diese Fokusverschiebung erfordert ein neues Verständnis des Entwicklungsgegenstandes. Der Entwicklungsgegenstand ist nicht länger das isolierte Automatisierungssystem. Die im Folgenden beschriebene Teamperspektive nimmt das Konzept der dynamischen Aufgabenaufteilung auf und bietet eine vielversprechende wenn nicht sogar notwendige Voraussetzung für die Auflösung des Automatisierungsdilemmas.

Eine sinnvolle Perspektive auf die Automatisierung komplexer Aufgaben ist die Betrachtung von Mensch und Maschine als Team (Mensch–Maschine Team, MMT). Diese Perspektive wurde bereits von Christoffersen und Woods (2002) sowie von Klein et al. (2004) vertreten. Dabei werden Mensch und Maschine als Gesamtsystem verstanden. Gesamtsystem bedeutet, dass Mensch und Maschine gemeinsam eine Menge von Aufgaben bearbeiten, um ein gemeinsames Ziel zu erreichen. Unteraufgaben werden je nach den situativen Erfordernissen dynamisch auf Mensch und Maschine verteilt.

In einem guten Team liegt ein wesentlicher Schwerpunkt auf der Kommunikation zwischen den Teammitgliedern. Kenntnisse über Fähigkeiten, Aktivitäten, Rollen und Pläne der anderen sind essentielle Bestandteile eines guten Situationsbewusstseins innerhalb eines Teams. In einem Team unterrichten sich Teammitglieder über ihre Pläne und stimmen sich gegenseitig ab. Man weiß, was der andere vorhat, welche Rolle er im Gesamtsystem gerade spielt und welche er generell spielen kann. Es muss eine entsprechende Kommunikation stattfinden, um gegenseitiges Verstehen herzustellen.

Klein et al. (2004) postulieren zehn Herausforderungen für die Entwicklung von Automatisierungssystemen, die als Teamplayer agieren können. Diese Herausforderungen basieren auf der Annahme, dass Teammitglieder einen sogenannten Common Ground, also ein gemeinsames Verständnis der Arbeitssituation haben müssen. Dies beinhaltet beispielsweise, dass Maschinen die Operateure rechtzeitig informieren, wenn der Normalbetrieb des Prozesses ungewöhnliche Kontrolleingriffe erfordert und sich somit eine Störung abzeichnet. In diesen Situationen kann die Maschine den Menschen in die Kontrollschleife zurückholen und so ein Bewusstsein für die Kontrollsituation herstellen, welches durch reinen Informationsaustausch z. B. über Displays nicht vermittelbar ist. Auf diese Weise kann eine gemeinsame Problemlösung betrieben und ggf. ein Übernehmen durch den menschlichen Operateur vorbereitet werden.

Ein weiterer Aspekt der konsequenten Umsetzung des Teamkonzeptes beinhaltet, dass das Verhalten der Maschinen für den Menschen nachvollziehbar und vorhersagbar sein muss. Das bedeutet, dass die Automatik Methoden und Kriterien anwenden muss, die für die Operateure nachvollziehbar sind. Auch die Geschwindigkeit muss in bestimmten Situationen an die Verarbeitungsgeschwindigkeit der Menschen angepasst werden. Die Teamperspektive erfordert also in manchen Situationen Vorgehensweisen, die nicht maximal effizient sind, die aber wesentlich die Sicherheit des Gesamtsystems erhöhen (Bainbridge 1983). In der Gesamtbetrachtung führt dies zu einer stabileren Funktionalität des Gesamtsystems mit weniger Ausfällen und damit weniger Stillstand, sodass sich dieser Kompromiss letztendlich auszahlt.

Die Realisierung von MMTs erfordert eine neue Herangehensweise an die Entwicklung von Automatisierungssystemen. Nicht die einzelne Maschine sollte im Zentrum der Entwicklung stehen, sondern das Gesamtsystem. Das bedeutet, dass zunächst überlegt werden muss, welche Aufgaben das Gesamtsystem bearbeiten soll. Diese Aufgaben müssen in Teilaufgaben zerlegt und weiter spezifiziert werden. Strategien zur dynamischen Aufgabenallokation auf die einzelnen Akteure des Gesamtsystems müssen definiert und systematisch im Hinblick auf Lastverteilung und Sicherheit untersucht werden. Strategien zur Kommunikation zwischen Menschen und Maschinen müssen definiert und im Hinblick auf ein adäquates verteiltes Situationsbewusstsein analysiert werden.

Die Teamperspektive inklusive der dynamischen Aufgabenallokation stellt besondere Herausforderungen an die Entwickler. Die Dynamik der Systemkonfiguration (definiert beispielsweise durch: wer macht zurzeit welche Aufgabe, wer kann welche Aufgaben übernehmen, wer hat welche Information) bewirkt eine hohe Systemvarianz. Für die Evaluation des Systems bedeutet dies, dass eine sehr große Menge von Testszenarien bewältigt werden muss. Klassischerweise werden Human Factors Aspekte, also z. B. das Situationsbewusstsein der Operateure, durch Probandentest empirisch in Simulationen oder mittels Wizard-of-Oz Techniken (Dahlback et al. 1993) getestet. Die hohe Systemvarianz verlangt nach neuen Methoden, die ein effizienteres Vorgehen erlauben.

Die Entwicklung von Software für die technische Funktionalität wird in der Industrie im Falle sicherheitskritischer Anwendungen meist mit systematischen Ingenieurmethoden durchgeführt; das bedeutet: rigorose Modellierung von Anforderungen, formale Spezifikation der Funktionen, weitgehend formaler Test, ob die Spezifikation die Anforderungen erfüllt sowie Tests der Implementierung in bereits früh definierten Testszenarien und schließlich formale Sicherheitsanalysen (z. B. Fehlerbaumanalyse, Ereignisbaumanalyse). Die Mensch–Maschine Interaktion wird hingegen oft ad-hoc zum Schluss „draufgesetzt“ ohne eine auch nur im Ansatz vergleichbare systematische Vorgehensweise. Oft sind bereits die initialen Anforderungen unklar bzw. nur sehr abstrakt und unspezifisch formuliert. Das bedingt in der Praxis zum Teil ein ineffizientes Trial&Error-Vorgehen, bei dem Prototyen der Mensch–Maschine Interaktion iterativ ohne klaren Entwurfsprozess gebaut und dann getestet werden.

Dabei können Human Factors Aspekte von Mensch–Maschine Systemen, oder besser MMTs, ähnlich konsequent und systematisch entwickelt werden wie die technische Funktionalität. Hier bietet der Bereich des Cognitive Engineering adäquate Methoden und Werkzeuge. Cognitive Engineering ist eine wissenschaftliche Disziplin mit dem Ziel, Wissen und Techniken zur Unterstützung der Entwicklung von Mensch–Maschine Systemen nach kognitiven Prinzipien zur Verfügung zu stellen (Woods und Roth 1988). Das zugehörige Forschungsspektrum reicht von Studien zur empirischen Untersuchung kognitiver Prinzipien bis hin zur Entwicklung von Methoden und Werkzeugen zur Anwendung der Prinzipien. Es handelt sich um eine angewandte Disziplin, die auf Theorien und Methoden sowohl aus der Psychologie als auch aus der Informatik zurückgreift (Card et al. 1983). Cognitive Engineering legt Wert auf eine formale und weitgehend objektive Vorgehensweise. In der Praxis hängt die Anwendbarkeit der Methoden des Cognitive Engineering wesentlich davon ab, inwieweit sie zu den gängigen Methoden der technischen Entwicklung konsistent sind und sich in oder mit diesen integrieren lassen.

Im Folgenden wird ein Vorgehensmodell (vgl. Tab. 1, stark verkürzte Darstellung) skizziert, welches als Rahmen zur holistischen Entwicklung von MMTs und damit zur Integration der Entwicklung der Automatisierungssysteme und der Human Factors Aspekte verwendet werden kann.

Auf der obersten Ebene besteht das Vorgehensmodell aus den vier Bestandteilen MMT Komposition, MMT Kooperation, MMT Interaktion und MMT Schnittstelle. Jeder Bestandteil bezeichnet einen Entwicklungsgegenstand. Die Komposition bestimmt die generellen Aufgaben des MMT, die Anzahl und Typen der notwendigen Akteure (Operateure und Maschinen) und die Anzahl und Typen der notwendigen Ressourcen. Die Kooperation bestimmt, wer mit wem gemeinsam Aufgaben bearbeitet und wer ggf. Aufgaben von anderen Akteuren übernehmen soll. Die Interaktion bestimmt, welche Akteure miteinander über welche Inhalte mittels welcher Modalitäten kommunizieren. Die Schnittstelle bestimmt die konkrete Ausgestaltung der Interaktionsschnittstellen zwischen Mensch und Maschine (z. B. die Gestaltung grafischer Anzeigen), zwischen Mensch und Mensch (z. B. Verwendung normierter sprachlicher Formulierungen) sowie zwischen Maschine und Maschine (z. B. Verwendung von Netzwerkprotokollen). Die vier Entwicklungsgegenstände lassen sich unterteilen in die klassischen Entwicklungsphasen Anforderungsdefinition, Spezifikation, Implementation und Evaluation. Die folgende Tabelle zeigt typische Fragestellungen bzw. Entwicklungsschritte der einzelnen Phasen. Dabei sei darauf hingewiesen, dass die Phasen iterativ durchgeführt werden, wobei in jeder Iteration der Entwicklungsgegenstand (Komposition, Kooperation, Interaktion, Schnittstelle) weiter konkretisiert wird. Es handelt sich somit um ein spiralförmiges Vorgehensmodell.

Ein wichtiger Punkt ist die Einbindung der Operateure, z. B. durch Participatory Design (Yamauchi 2012) und Probandentests, in alle Phasen der Entwicklung. Aber im Falle sicherheitskritischer Anwendungen reicht dies nicht aus. Menschen können beispielsweise ihre Anforderungen und Vorlieben nennen, auf Basis von Erfahrungen Entwurfsideen einbringen und schließlich die Auswirkungen und Akzeptanz geplanter Entwicklungen abschätzen. Aufgrund der oben skizzierten Systemvarianz ist es jedoch höchst unwahrscheinlich, dass dabei alle Anforderungen und Auswirkungen aufgedeckt und bewertet werden können. Des Weiteren ist dieses Vorgehen sehr zeitaufwendig und kann nur wenige Male im Entwicklungsprozess praktiziert werden. Darüber hinaus gibt es bei der Überwachung und Steuerung industrieller Prozesse neben dem Operateur weitere wichtige Quellen zur Ermittlung von Anforderungen und Auswirkungen, beispielsweise den Arbeitskontext bzw. die Arbeitsdomäne, die Arbeitsaufgaben, die menschliche Informationsverarbeitung (Kognition), die menschliche Anthropometrie (physikalische und biologische Charakteristika) sowie relevante Human Factors Standards und Leitfäden. Deshalb soll im Folgenden in Ergänzung zur Einbindung der Operateure eine komplementäre modellbasierte Vorgehensweise vorgeschlagen werden.

Die Phase der MMT Anforderungsdefinition, Spezifikation, Implementation und Evaluation lassen sich durch modellbasierte Vorgehensweisen systematisch unterstützen. Mittlerweile gibt es erprobte und bewährte Techniken und Vorgehensweisen für die Modellierung von Mensch–Maschine Systemen, die sich kombiniert mit Participatory Design und Probandentests in der Praxis anwenden lassen. Ein modellbasiertes Vorgehens hilft dabei, die notwendigen Anforderungsarten systematisch, nachvollziehbar und eindeutig zu erfassen und auf Vollständigkeit, Widerspruchsfreiheit etc. zu analysieren. Bei der Spezifikation helfen Modelle, Entwurfsentscheidungen zu formalisieren und bereits in frühen Entwicklungsphasen gegeneinander anhand bestimmter (Human Factors) Metriken abzuwägen. Einige Werkzeuge bieten die Möglichkeit, Entwurfsspezifikationen (semi-)automatisch in Implementierungsbausteine zu übersetzen. Schließlich können Modelle angewendet werden, um implementierte Prototypen innerhalb einer Simulationsplattform zu testen. Im Rahmen des oben skizzierten Vorgehensmodells lassen sich unterschiedliche Modelltypen anwenden. In vielen Studien erprobt ist die Modellierung der Aufgaben, der Arbeitsdomäne, der menschlichen Informationsverarbeitung sowie der Funktionalität der Maschinen.

Ecological Interface Design (EID) ist eine Methode zur Modellierung von Arbeitsdomänen (Vicente und Rasmussen 1992; Vicente 2002; Burns und Hajdukiewicz 2004). Bei der Entwicklung von MMTs zur Überwachung und Steuerung industrieller Prozesse ist zunächst der Prozess ein wesentliches Element der Arbeitsdomäne, darüber hinaus gehören aus Sicht der Operateure auch die Automatisierungssysteme dazu. Während mit Aufgabenmodellen das Verhalten in wohldefinierten Situationen festgelegt wird, werden Arbeitsdomänenmodelle zur Unterstützung der Prozessüberwachung- und Steuerung in unerwarteten Situationen, wie z. B. bei unerwarteten Prozessstörungen, erstellt. In so einem Fall müssen die Operateure ein klares Verständnis des Prozesses haben, um den oder die Fehler zu detektieren, zu diagnostizieren und Reparaturmaßnahmen einzuleiten. Innerhalb des Vorgehensmodells (Tab. 1) eignet sich EID insbesondere, um Anforderungen für die MMT Schnittstellen abzuleiten. Dabei wird folgende Frage adressiert: Welche Informationen über die Arbeitsdomäne brauchen die Operateure und in welcher strukturellen Form sollten diese dargestellt werden? Hierbei wird dem Automatisierungsdilemma durch explizite Unterstützung eines adäquaten Situationsbewusstseins entgegengewirkt. Das Arbeitsdomänenmodell kann darüber hinaus im Rahmen der MMT Komposition als gemeinsame Grundlage für die Entwicklung sowohl der Automatisierungssysteme als auch des Trainingsmaterials für die Operateure verwendet werden. Damit wird ein weiterer wesentlicher Aspekt des Automatisierungsdilemmas adressiert: wenn Operateure die Systeme überwachen sollen (oder besser, innerhalb eines MMTs mit ihnen kooperieren sollen), dann müssen Mensch und Maschine auf demselben Verständnis des Prozesses aufbauen. Die Operateure werden dann die Vorgehensweise der Maschinen besser nachvollziehen können, was eine wesentliche Voraussetzung für die Realisierung eines funktionierenden MMTs ist.

Zur Modellierung der Arbeitsdomäne werden die Rahmenbedingungen und Prinzipien, auf denen der Prozess beruht, identifiziert und unter Verwendung spezifischer Strukturen beschrieben. Rahmenbedingungen und Prinzipien sind beispielsweise Naturgesetze, auf denen das System beruht, funktionale Zusammenhänge und organisatorische oder rechtliche Vorschriften. Das entstehende Modell beschreibt den Prozess aus einer zielorientieren Perspektive und wird von Anfang an so gedacht, dass es für Operateure nachvollziehbar ist und für das Ziel der Detektion und Analyse unerwarteter Ereignisse verwendet werden kann. EID basiert auf der Annahme, dass Operateure ein mentales Modell des Prozesses bilden. Aus der Analyse einer Vielzahl von Problemlöseprotokollen erfahrener Operateure wurde abgeleitet, dass die Struktur des mentalen Modells oft mehrere Abstraktionsebenen umfasst (Rasmussen 1985). Dabei werden auf höheren Abstraktionsebenen generische funktionale Zusammenhänge und auf unteren Ebenen deren konkrete Umsetzung durch physikalische Komponenten abgebildet. Mittels EID kann ein derart hierarchisches mentales Modell explizit modelliert und mittels geeigneter grafischer Darstellungsformen kommuniziert werden.

Im Folgenden wird zunächst die Abstraktionshierarchie detaillierter vorgestellt und anschließend aufgezeigt, wie sie sich nutzen lässt, um den Entwurf der Mensch–Maschine Schnittstelle anzuleiten.

Der Text stellt das Konzept des Mensch–Maschine Teams als Perspektive für die Automatisierung und möglichen Ausweg aus dem Automatisierungsdilemma vor. Hierbei ist weder das Automatisierungssystem noch der Mensch im Zentrum der Entwicklung, sondern das dynamische Zusammenspiel unterstützt durch eine adäquate Mensch–Maschine Kommunikation. Ein modellbasiertes Vorgehen kann helfen, die damit verbundenen Entwicklungsherausforderungen mit Ingenieurmethoden zu bewältigen. Die klassischen Ironien der Automatisierung werden dabei auf folgende Weise adressiert: An der Umsetzung eines modellbasierten Vorgehensmodells zur Entwicklung von Mensch–Maschine Teams arbeiten aktuell 31 Industrie- und Forschungspartner aus sieben Ländern in dem durch ARTEMIS (www.​artemis-ju.​eu) geförderten Projekt HoliDes (Holistic Human Factors and System Design of Adaptive Cooperative Human–Maschine Systems). Adressiert werden die Anwendungsbereiche Luftfahrt, Straßenverkehr, Leitstände und Medizin. Weiterführende Informationen zu dem Thema dieses Textes lassen sich auf der Webseite des Projektes www.​holides.​eu finden.