Risk Assessment in the Design phase of Maritime Autonomous Ships – A Human-centered approach

Abstract

Norsk sammendrag

Maritime Autonome Skips-System (MASS) er spådd å ha en betydelig innvirkning på shipping-industriens bærekraft med lovnader om grønnere og sikrere løsninger (se Fan et al. (2020); Porathe et al. (2018)). En av de største utfordringene med ny teknologi er dannelsen av nye risikomønstre og sårbarheter. Teknologier fungerer ikke i et vakuum, og automatiserte systemoperasjoner vil involvere menneskeelementet, da deres handling fortsatt representerer den siste og viktigste barrieren mot ulykker i sosiotekniske systemer. Dermed vil et betydelig bidrag til risikoer ligge i interaksjonen og samspillet mellom operatøren (menneskeelementet) og de teknologiske systemene. I overskuelig fremtid må en menneskelig operatør på en eller annen måte være "i loopen", overvåke operasjonen og være i beredskap for å ta over kontrollen fra et kontrollsenter (ofte referert til som et Shore Control Center (SCC)).

Det overordnede formålet med avhandlingen er å bidra med nødvendig kunnskap for utvikling av forbedrede metoder for risikovurderinger og risikoreduserende tiltak i designfasen av MASS. Målet er detaljert i tre delmål som adresseres i fem forskningsartikler. Artiklene har et tverrfaglig fokus og benytter kvalitative metoder med forskningssyntese som bærende metodikk. Hovedbidraget er et initielt rammeverk for en menneskesentrert risikoanalyse for designfasen av MASS.

I denne avhandlingen er nåværende metoder, verktøy og tilnærminger for risikoanalyse blitt gjennomgått for å vurdere deres anvendbarhet for MASS, spesielt i designet av brukergrensesnittet mellom menneske og maskin (HMI) i et SCC. Oppgaven utfordrer den tradisjonelle risikoforståelsen, der risiko defineres kvantitativt som produktet av sannsynlighet og konsekvenser. Med begrenset empirisk data om MASS-prestasjon og den komplekse og programvareintensive teknologien til MASS, er nøyaktige kvantitative risikovurderinger ikke mulig. I stedet er et bredere bilde som reflekterer ulike synspunkter, antagelser og tenkemåter, som fremhever hendelser, konsekvenser og usikkerheter, utforsket. Dette inkluderer aspekter knyttet til «Meaningful Human Control», «Human-centred Design» og tilnærminger innen Safety I, II og III.

Oppgaven problematiserer også at risikovurderinger ofte er isolert eller separert fra designprosessen. Den vanligste konsekvensen er at sikkerhet behandles som en bekreftelsesaktivitet etter faktum (Leveson & Thomas, 2018). Dette er typisk en summativ tilnærming til risikovurderinger, der fokus er å evaluere om et forhåndsdefinert sikkerhetsmål (risikoakseptkriterier) er oppfylt. Formativ analyse fokuserer derimot på prosessen, det vil si å forbedre kvaliteten på designet. Risikovurderinger kan forbedre forståelsen av systemet, sikkerhetskontrollene og farene for aktivitetene som undersøkes. Forskjellige risikovurderingsmetoder bør anvendes til forskjellige formål i forskjellige faser av designprosessen. Ved å fokusere på målet med å utføre en risikovurdering som et verktøy for å «designe for sikkerhet» og beslutningstaking i designfasen av MASS-konsepter, er hovedbidraget fra oppgaven et initielt rammeverk for en tverrfaglig risikovurdering som fokuserer på menneskelige aspekter.

Den menneskesentrerte risikoanalysen i designfasen av MASS er inspirert av scenarioanalysen i «Crisis and Operability»-studie (CRIOP). Risikoanalysen identifiserer sikkerhetsutfordringer ved å involvere sluttbrukeren, det vil si å inkludere operatørens perspektiv, og kan bidra til å avgjøre MASS-teknologisystemets og operatørenes roller, og hvem som har ansvar for å utføre ulike funksjoner i ulike operasjoner.

English summary Maritime Autonomous Surface Ships (MASSs) are said to have a considerable impact on the shipping industry's sustainability, promising greener and safer solutions (e.g., Fan et al. (2020); Porathe et al. (2018)). Technological developments within software and hardware have led to a rapid increase in automation in many systems and applications. However, because it will change the way work is done, the chance is that it will introduce new risks. One of the biggest challenges of new technologies is the creation of new risk patterns and vulnerabilities. Technologies do not operate in a vacuum, and highly automated system operations will involve the human element as their action still represents the final and most important barrier against accident occurrence in sociotechnical systems. Hence, a considerable contribution to risks will lie in the interaction between the human element as an operator and the technological systems. In the foreseeable future, a human operator must in some way be "in the loop," supervising the operation and on stand-by to take over control from a land-based control interface referred to as a Shore Control Centre (SCC).

The overall objective of the thesis is to provide necessary knowledge for the development of improved methods for risk assessments and mitigation in the design phase of MASS. The objective is detailed in three sub-objectives addressed in five research articles. The articles have an interdisciplinary focus and utilise qualitative methods with research synthesis as the bearing methodology.

In this thesis, current risk assessment methods, tools and approaches have been reviewed to evaluate their applicability for MASS, particularly in the design of the Human Machine Interface (HMI) at the SCC. The thesis challenges the traditional risk concept, where risk is defined quantitatively as a product of probability and consequences. With the limited empirical data on MASS performance and the complex and software-intensive technology of MASS, accurate quantitative risk estimations are not feasible. Instead, a broader picture reflecting different views, assumptions, and ways of thinking, highlighting events, consequences, and uncertainties has been explored. This includes aspects related to Meaningful Human Control, Human-centred Design, and approaches within Safety I, II and III.

The thesis also problematises that, too often, risk assessments are isolated or separated from the design or systems engineering process. The most common consequence is that safety is treated as an after-the-fact assurance activity (Leveson & Thomas, 2018). This is typically a summative approach to risk assessments, where the focus is to evaluate if a predefined safety target (risk acceptance criteria) is met. Formative analysis, on the contrary, focuses on the process, i.e., improving the quality of the design. Risk assessments can improve the understanding of the system, safety controls and hazards of the activities under investigation. Different risk assessment methods should be applied for different purposes at different phases of the design process. By focusing on the goal of carrying out a risk assessment as a tool for designing for safety, and decision making in the design phase of MASS concepts, the main contribution of the thesis is an initial framework for an interdisciplinary risk assessment focusing on human aspects.

The Human-centred Risk Assessment in the design phase of MASS is inspired by the Scenario Analysis from the Crisis Intervention and Operability Study (CRIOP) framework. The assessment identifies safety issues by involving the end-user, i.e., including the operators' perspective, and can contribute to determining the MASS technical system's and operators' roles and responsibilities in executing different functions across various operations and situations. A stepwise approach is described in the thesis, and a qualitative case study of applying the method on an HMI prototype in a SCC for an autonomous urban passenger ferry is presented.

In conclusion, this thesis contributes to advancing theory and practice by promoting an initial framework for a formative risk assessment where the operator capabilities are considered together with the capabilities and dependencies of the MASS technical system. Further research is, however, necessary for testing and further developing the method.