המדריך לתכן לאבטחת חסינות מערכות

תוכן העניינים

טעויות בחירה מתרחשות בשני שלבים:

יכולה לנבוע ממספר סיבות:

כולל העדר משוב מתאים לגבי הפעולה שהתבצעה בפועל.

המשוב נחוץ בכדי שהמפעיל יבחין בכך שביצע פעולה שגויה.

מניעת טעות בהפעלה להלן

יש לאפשר למפעיל לבחור אך ורק מתוך מבחר של אופציות שהן רלבנטיות למצב, על פי מודל האילוצים של תפעול המערכת.

באנקדוטה של החלפת בקרת חום בסדין חשמלי זוגי , המערכת איפשרה את ההחלפה. בתכן למניעת טעויות בחירה, שלט הבקרה צריך להיות מחובר עם כבל קצר, לפינה של הסדין הזוגה אותו הוא מבקר, כך שהחלפה כמעט ואינה מתאפשרת.

יש לספק למפעיל משוב, המציג בפניו את האפקט הצפוי כתוצאה מהבחירה.

בתאונת טביעת המיכלית Torrey Canyon, המכונה לא סיפקה משוב לגבי המשמעות של בחירת מצב ההיגוי השגויה
בתאונה ב-Cali, המפעיל בחר באות R והתכוון ל-Rozo, אבל המערכת הנחתה את המטוס לעבר אנטנת הרדיו של Romeo. המערכת לא סיפקה למפעיל משוב מספק, בכדי שיוכל להבחין בטעות.

קיימות מספר שיטות לגילוי טעויות בחירה, המבוססות על יתירות בהכנסת הנתונים.