תופעת האילוצים הוירטואלים

אירועי כשל רבים הם תוצאה של מצב בו האילוצים אינם מוגדרים במפורש במסמכי הדרישות.

במקרים בהם מפרטי התפעול אינם כוללים פירוט של אילוצי האינטראקציה, נהוג לצפות מהמפעיל שיפעל על פי אילוצים וירטואלים. הכוונה היא לאילוצים אותם נוהגים ללמד בקורסי הדרכה, וללמוד מהנסיון בתפעול המערכות.

בעיית שלימות הגדרת האילוצים

בעיית שלימות הגדרת האילוצים זוהי נגזרת של בעיית שלימות המפרטים, המתייחסת להגדרת האילוצים.

הבעיה היא שמצפים מהמפעיל שיכיר את האילוצים הוירטואלים וינהג על פיהם, למרות שאינם מפורטים במסמכי התפעול.

הגדרת אילוצי האינטראקציה

אינטרקאציה תקינה נקבעת על פי חוקי התפעול. בהתאם, המצבים החריגים, שעלולים לגרום לכשל, מוגדרים כסטיות מחוקי התפעול.

דוגמאות

להלן רשימה של אירועי תאונה כתוצאה של כשל באינטראקציה:

• המיכלית Torrey Canyon - התכן איפשר ניתוק ההיגוי, פעולה רלבנטית לתרחיש תחזוקה בלבד. בחכמה לאחר מעשה, התכן יכול להגדיר אילוץ המונע ניתוק ההיגוי בתהליך שיוט נורמלי. את האילוץ אפשר לממש בדרך של הפרדה בין בקרי שיטת הניהוג, שהנגישות אליו גבוהה, לבין בקר כללי שמאפשר לקבוע את התרחיש הפעיל.
• טיסת CAL 140 בנגויה - התכן איפשר, אבל לא תמך, בהעברת המטוס למצב TO/GA במוד הטסה ידנית. בחכמה לאחר מעשה, התכן יכול הגדיר אילוץ שמייצר התרעה במקרה של נסיון להטסה במצב TO/GA כאשר הנחיתה היא במוד הטסה ידנית.
• התקלה בכור הגרעיני ב-TMI - התכן איפשר למפעיל לבצע פעילות תחזוקה בתרחיש של ייצור אנרגיה. בחכמה לאחר מעשה, התכן יכול להגדיר אילוץ המייצר התרעה במקרה של ביצוע פעולה כזו.
• טיסת אייר פרו 603 - המערכת איפשרה טיסה במצב בו חיישני מד הגובה היו מכוסים, לצורך תחזוקה. בחכמה לאחר מעשה, מחשב הטיסה יכול לבדוק את מצב פעילות החיישנים בשלב הבדיקות לפני המראה, ולהתריע במקרה של תקלה בחיישנים.