La prévention d`erreur par la technique des «Fonctions de
Contents
1. lectriques des avions modernes lesquels maintiennent co te que co te l avion dans son domaine de vol autoris et n cessitent une adaptation des proc dures d entra nement des quipages 17 Enfin notons que le vocabulaire utilis entre les ergonomes et les concepteurs n est pas toujours quivalent Du point de vue de l ergonome une erreur a lieu d s le moment o s est form e une intention laquelle ne donne pas obligatoirement lieu une action sur le syst me Dans le cas o l utilisateur effectue tout de m me un d but d ex cution d une action erron e sur le syst me laquelle est bloqu e par une fonction de contrainte le concepteur parlera de pr vention d erreur 108 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 car celle ci n a pas atteint le noyau fonctionnel du syst me et n ouvre pas la voie une correction de la part de l utilisateur CONCLUSION Dans cet article nous avons d fini la technique des fonctions de contrainte comme dispositif de pr vention d erreur Nous avons montr ce que recouvre la notion de fonction de contrainte au travers d une classification de celle ci Nous avons ensuite propos un guide d usage de cette derni re Cependant notre approche est essentiellement technique ne dispense en aucun cas le concepteur d une appr2. conception d un exemple De petits avions sont utilis s couramment dans les a ro club par des pilotes occasionnels Ce type d avion du point de vue de sa motorisation se comporte un peu comme une voiture ancienne un bouton poussoir commande le d marreur et l allumage est prot g par une cl de contact En outre l arriv e d essence peut tre coup e par un robinet en cas de feu moteur L usage veut qu apr s chaque vol l arriv e d essence soit coup e afin d viter tout risque d incendie Cependant malgr l usage des check lists il s est av r qu un nombre significatif de 106 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 pilotes oubliaient d ouvrir le robinet lors du red marrage de l avion Sur de petits terrains d aviation il reste assez de carburant dans le carburateur et les tuyauteries pour permettre le roulage et un d but de d collage L avion peut ainsi se retrouver en vol tr s basse altitude sans moteur Une premi re r action ce probl me fut la diffusion de la consigne de ne jamais couper l essence les risques d incendie l arr t ayant moins de cons quences dramatiques qu un arr t moteur en vol Quelques ann es plus tard un constructeur a introduit un nouveau type de robinet d essence lequel int gre le bouton du d marreur masqu par
3. d un t l phone public la fin d une conversation Analysons le probl me L effet recherch est ici de forcer l utilisateur retirer sa carte Le contexte est la conversation t l phonique l issu de laquelle il doit retirer la carte Ainsi le contexte est d pendant d une action de l utilisateur sur le syst me le fait de raccrocher Ceci impose l interblocage comme type de contrainte La force de la contrainte peut tre ici totale le syst me n tant pas critique et de plus il n existe pas de cas ou il faille raccrocher le combin avec la carte ins r e Une contrainte apr s l action ne pouvant tre totale nous devons impl menter une contrainte avant l action de raccrocher c est dire forcer l utilisateur retirer sa 6 Actuellement ce probl me est partiellement r solu les t l phones actuels font retentir une s rie de bips environ deux secondes apr s que le combin ait t raccroch Si l utilisateur est press ces deux secondes suffisent pour qu il soit d j parti en oubliant sa carte Combin t l phonique T l carte carte avant de raccrocher ou bien emp cher de raccrocher si la carte est encore en place ce qui revient au m me Il suffit en fait de placer le lecteur de carte l emplacement de l couteur du combin t l phonique emp chant ainsi l utilisateur de raccrocher le combin si la carte est encore pr sente dans son lecteur Cf fig 4 X Pos
4. est impossible d activer une commande si l item de menu lui correspondant a t gris e Total transgressable l action peut s effectuer mais l utilisateur doit volontairement en prendre l initiative de transgresser une action jug interdite sauf cas exceptionnel par le concepteur Par exemple il est quasiment impossible d ouvrir la porte d un train si celui ci est en marche sauf en utilisant l ouverture d urgence laquelle est plomb e De m me il est toujours possible de retirer la disquette d un Macintosh avec un trombone d pli e Entrave l action est possible mais une difficult suppl mentaire a t volontairement ajout e Ainsi les bouteilles de produits dangereux peuvent tre ouvertes gr ce une m thode complexe qui n est pas la port e des enfants La Corbeille du Macintosh si elle contient des fichiers verrouill s peut tre vid e de force en appuyant simultan ment sur la touche option e Informatif l action est possible mais l utilisateur est inform qu il prend un risque le syst me lui laisse alors le choix de revenir sur sa d cision Le bouton d arr t de cam ras vid o professionnelles ou de photocopieurs est souvent prot g par un clapet qu il faut soulever pour pouvoir acc der l interrupteur De m me le Finder du Macintosh demande syst matiquement confirmation avant l arr t de la machine Relation temporelle La relation temporelle situe l action de la contrainte par r
5. la position ferm e du robinet Cf fig 2 Le constructeur a voulu emp cher les pilotes de d coller avec l essence ferm e Pour ce faire il a fallu lister toutes les t ches absolument n cessaires au d collage d un avion qui ne peuvent tre oubli es mettre le contact et appuyer sur le bouton du d marreur Ainsi le bouton du d marreur fut choisi comme fonction de contrainte obligeant le pilote ouvrir l arriv e d essence avant de faire d coller l avion Figure 2 Robinets d arriv e d essence ancien mod le en haut et nouveau mod le en bas ce nouvreau mod le poss de une fonction de contrainte qui oblige le pilote ouvrir l arriv e d essence pour pouvoir actionner le d marreur photographie en bas droite D marche de conception L exemple pr c dent dresse les grandes lignes de ce que peut tre la d marche d un concepteur face une d erreur possible de l utilisateur En effet le concepteur doit tout d abord identifier sans ambigu t la t che potentiellement g n ratrice d erreur dans notre exemple c est l oubli de l ouverture de l essence qui est incrimin e Il doit ensuite d finir l effet recherch sur cette t che i e s il faut forcer ou emp cher celle ci Dans notre exemple il s agit de forcer l ouverture de l essence Notons que cet effet recherch est li au choix initial de la t che g n ratrice d erreur En effet forcer l utilisateur sauvegarder un fichier avant de quitter e
6. probl me en ing nierie c est dire le besoin ponctuel du concepteur A Rizzo D Ferrante et S Bagnara ont propos une approche int ressante du traitement d erreur ils ont ainsi d fini sept recommandations 15 Cependant ces recommandations sont d ordre g n ral et n offrent pas de solution pr te l emploi Au contraire les notions d interblocage et de verrouillage propos s par D Norman apportent des exemples de solutions N anmoins elles ne permettent pas de savoir quelles raisons ont pouss les utiliser C est face ce double constat que dans un second temps nous avons cherch d finir un guide d usage des fonctions de contrainte l usage de l ing nierie des IHM CLASSIFICATION Notre classification se base sur quatre axes que nous supposons orthogonaux la force du blocage sa relation temporelle avec l action ex cut e par l utilisateur l effet recherch et enfin son type 5 No write since last change quit overrides 105 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 Force du blocage La force du blocage exprime la capacit de contrainte exerc e par le dispositif e Total l action ne peut pas s effectuer Par exemple il est impossible d ouvrir la porte d une machine laver tant que le tambour est en rotation De m me il
7. Canada ACM Press 1996 pp 267 268 13 Reason J Human error Cambridge University Press NewYork NY USA 1990 14 Reason J L erreur humaine Presses Universitaires de France Paris France 1993 15 Rizzo A Ferrante D et Bagnara S Handling Human Error Hoc J M Cacciabue P C et Hollnagel E Ed In Expertise and Technology Cognition amp Human Computer Interaction Lawrence Erlbaum Hillsdale NJ USA 1995 pp 195 212 16 Scapin D Guide ergonomique de conception des interfaces homme machine INRIA Rocquencourt Octobre 1986 Rapport technique 77 17 Tarnowski E Training Philosophy for Protected Aircraft in Emergency Situations FAST Airbus Technical Digest 23 October 1998 pp 2 9 18 Zapf D et Reason J T Introduction Human Errors and Error Handling Applied Psychology An International Review 43 4 1994 pp 427 432 109
8. Citons ici un exemple int ressant il s agit d un syst me de navigation par satellite destin l a ronautique Le syst me en question met quelques minutes pour se remettre en route C est pourquoi afin d viter une fausse man uvre entra nant une extinction pr matur e les concepteurs ont ajout un d lai lors de l extinction le pilote doit appuyer plus de trois secondes sur le bouton d extinction pour arr ter le syst me Au cours de cette proc dure d extinction l cran affiche un d compte afin d en informer le pilote Si le pilote rel che le bouton avant la fin du d compte le syst me reprend son fonctionnement normal dans l tat exact o il tait auparavant 2 Ce syst me de maintient obligatoire a t probablement pr f r une simple confirmation car une double erreur de doigt est toujours possible Plus proche de l informatique l ancestral diteur sous UNIX vi emp che l utilisateur de quitter le logiciel si le fichier en cours d dition a t modifi et non sauv De plus il informe l utilisateur du probl me rencontr par le message Pas de sauvegarde effectu e depuis la derni re modification l ordre quit passe outre Les verrouillages hors fonction lockout emp chent une action isol e d tre effectu e Dans le domaine de la s curit domestique on peut citer les portes de machines laver qui refusent de s ouvrir tant que le tambour est en rotation Le logiciel de lect
9. Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 La pr vention d erreur par la technique des Fonctions de Contrainte Francis JAMBON LISI ENSMA T l port 2 1 av Cl ment Ader B P 40109 86961 Futuroscope Chasseneuil Cedex France Francis Jambon ensma fr T l phone 33 0 5 49 49 80 70 T l copie 33 0 5 49 49 80 64 R SUM Nous pr sentons en suivant une approche technique une m thode de pr vention d erreur les fonctions de contraintes Ces fonctions visent bloquer les actions de l utilisateur en situation d erreur Dans un premier temps nous faisons un tour d horizon de la bibliographie sur le sujet puis nous proposons une classification des diff rents types de fonctions de contrainte que nous illustrons d exemples aussi bien tir s des syst mes risques que des logiciels grand public Nous proposons ensuite un guide d usage des fonctions de contrainte en ing nierie des IHM dirig e par les besoins des concepteurs Nous terminons l article par une discussion sur la n cessit d une approche ergonomique en amont de l usage des fonctions de contrainte Nous mettons en particulier l accent sur les besoins d information et d explication lors de la d tection d erreurs humaines MOTS CL S Fonction de contrainte d tection d erreur pr vention d erreur cl
10. apport celle de l utilisateur e Avant la fonction de contrainte s exprime avant que l utilisateur n ait pu agir sur le syst me Par exemple les d trompeurs utilis s en m canique emp chent le montage incorrect d une pi ce avant que celui ci ne soit effectivement r alis De m me les items de menus gris s ne permettent pas l utilisateur d activer la commande e Apr s la fonction de contrainte ne prend effet l issue de l action de l utilisateur Cette relation temporelle semble difficilement r alisable en m canique par contre elle est tr s utilis e en informatique Par exemple les syst mes d exploitation demandent g n ralement confirmation l utilisateur avant l initialisation d une disquette e Pendant la fonction de contrainte agit en m me temps que l utilisateur Sur certains avions les robinets d arriv s d essence et d huile sont mont s de telle fa on que l ouverture de l essence entra ne obligatoirement par le jeu d un ergot l ouverture de l huile en m me temps De m me certaines cases cocher li es sont activ es automatiquement par le syst me en m me temps que les actions de l utilisateur Effet recherch L effet recherch d termine le type de contrainte sur la ou les actions de l utilisateur e Emp cher la fonction a pour but de garantir la non ex cution d une action de l utilisateur Par exemple les extincteurs disposent d une goupille de s curit emp chant leur ut
11. assification guide d usage ing nierie des IHM INTRODUCTION L erreur humaine souvent qualifi e de faute est invoqu e r guli rement comme cause principale d accidents aux cons quences dramatiques dans les syst mes risques transports chimie nergie etc La lettre ouverte un futur ami de J L Nicolet A Carnino et J C Wanner 9 illustre cet tat de fait Ainsi la responsabilit d une catastrophe est attribu e presque exclusivement l op rateur final l humain qui a commis la derni re action ayant d clench l accident est bl m Cette attitude revient attribuer la responsabilit d une diffamation dans un article de presse aux marchands de journaux qui certes ont contribu sa diffusion mais n en sont pas les principaux responsables Cet tat d esprit tend se rar fier dans le cadre des syst mes risques En effet on reconna t aujourd hui l existence d erreurs latentes au sein des organisations au sens de J Reason 14 Chap 7 Parmi ces erreurs latentes la mauvaise conception de l interface homme machine du syst me ayant conduit favoriser l erreur de l op rateur final est ainsi mise en lumi re Cependant si le co t humain ou dans le meilleur des cas financier d une catastrophe incite les industries risques s int resser aux facteurs humains lors de la conception des syst mes cette d marche est difficilement admise par l industrie du logiciel non crit
12. dimension la plus difficile d terminer et doit s effectuer en collaboration avec des ergonomes Enfin la position de la contrainte est le plus souvent d termin e par les capacit s techniques du syst me Les dispositifs m caniques facilitent une fonction de contrainte avant l action souvent par le jeu d ergots Au contraire les dispositifs informatiques rendent plus difficile cette position il est en effet difficile de bloquer une souris ou un clavier sans dispositifs lectrom caniques complexes L action incrimin e est donc souvent bloqu e apr s avoir t effectu e par l utilisateur Cependant les items de menus gris s ou les boutons inactifs sont des fonctions de contrainte avant l action tr s facilement impl mentables Parfois l information n cessaire n est pas toujours disponible et le syst me doit au moment de l action se renseigner sur la validit de celle ci On obtient alors une contrainte post rieure l activation de l action 107 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 Information amp Explication Les fonctions de contrainte ont g n ralement un d faut majeur l utilisateur est bloqu mais parfois n en est pas inform et le plus souvent ignore quelle est la raison du blocage Le principe fondamental d une fonction de contraint
13. du facteur humain d veloppe des solutions techniques pragmatiques aux probl mes de facteurs humains sans pour autant en pouser et m me parfois en comprendre les fondements Malgr les nombreuses critiques que l on peut lui faire en particulier son manque d humanit elle a su se montrer d une r elle efficacit 102 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 Malgr ces critiques c est de cette derni re approche dont ce r clame cet article En effet et en connaissance de cause il propose une solution purement technique une probl me de facteur humain la d tection d erreur par l op rateur Cependant bien loin de n gliger les apports de l approche m dicale ou ergonomique les solutions techniques propos es ici doivent tre consid r es de la m me mani re que les bo tes outils en programmation des IHM ou les briques en construction de b timents un l ment indispensable mais qu il faut savoir utiliser pour obtenir un r sultat coh rent Un programmeur n a pas forc ment de comp tences en ergonomie tout comme un ma on en architecture Cet article se propose de dresser le portrait d une technique de pr vention des erreurs les fonctions de contraintes et d en proposer une taxonomie et un guide d usage Dans un premier temps partir d une
14. e ci Dans cet article nous nous int ressons principalement au diagnostic et plus pr cis ment la d tection Dans un premier temps nous d crivons quels sont les diff rents modes de d tection d erreur puis nous d taillons comment l environnement peut aider cette d tection Enfin nous nous int resserons plus particuli rement aux fonctions de contrainte Diagnostic d erreur D ion hensi Correction d erreur ti Plannification EEA Ex cution Figure 1 Traitement d erreur Fig traduite de 18 Modes de d tection d erreur Selon J Reason 14 Chap 6 l erreur d un op rateur peut tre d tect e selon trois principaux modes e __ L autocontr le permet l op rateur d effectuer un contr le r actif sur l tat du syst me C est un comportement dirig par l erreur l cart d tect entre l tat souhait et l tat observ est valu par l op rateur qui effectue en retour les actions n cessaires Ce type de processus est assez mal connu mais semble tre utilis dans le contr le de la posture les erreurs de la parole la d tection des actions non d sir es rat s de l action ou encore la r solution de probl me C est avant un mode de d tection interne l op rateur e La d tection par des tiers est au contraire le fait op rateurs externes l action initiale Ce mode de d tection est tr s fr quent dans le cas d erreur de diagnostic Dans une telle situation ce sont des
15. e est certes le blocage mais il n est pas rare de voir des utilisateurs utiliser la force brute afin de passer outre une fonction de contrainte Ainsi les lecteurs de disquettes sont r guli rement forc s par les d butants cherchant tout prix mettre la disquette dans le mauvais sens Le logiciel Eudora M par exemple inclut les deux informations de mani re astucieuse Si un utilisateur frappe une touche du clavier le son d alarme standard est mis chaque frappe clavier Cependant le r le de ce son est limit en effet il informe uniquement que l action de l utilisateur n a pas t prise en compte pas la cause de cette erreur Ainsi les concepteurs ont ajout une fen tre d explication Cf fig 3 qui ne se d clenche que lorsque le temps entre deux frappes est inf rieur un certain seuil synonyme que l utilisateur commence r diger une lettre Ce type de conception r v le une analyse fine de la t che de l utilisateur mais aussi un respect des r gles ergonomiques de conception classiques 16 Rlalheureuseeent personne mesi l coute pour le messes Yams pree bien arr ter de taper CE Figure 3 Message d alerte de Eudora lorsque l utilisateur entre des caract res non utilisables par le logiciel Exemple d application Appliquons maintenant la notion de fonction de contrainte un exemple de la vie courante il n est pas rare qu un utilisateur oublie sa carte puce dans le lecteur
16. esprits neufs non soumis aux m mes fixations que les op rateurs fautifs qui d tectent l existence de donn es contredisant le diagnostic initial e Les indications de l environnement permettent l op rateur de d tecter une erreur ou au moins de se rendre compte d une anomalie gr ce aux comportements perceptibles du syst me Ces comportements peuvent tre naturels au fonctionnement du syst me un r frig rateur qui ne fonctionne pas n est naturellement pas froid Ils peuvent aussi avoir t cr s dessein par le concepteur un automobiliste qui oublie ses phares allum s se fait habituellement rappeler l ordre lors de l ouverture de sa porti re gr ce un signal sonore Les indications de l environnement sont le mode de d tection d erreur qui nous int resse dans notre approche technique des facteurs humain En effet ce mode est le seul pouvoir tre introduit volontairement au cours du processus de conception d un syst me Il a donc un r le primordial en ing nierie des IHM destin es aux syst mes critiques Selon J Reason les indications de L ouvrage r f renc dans cet article est la traduction fran aise effectu e par J M Hoc de la version originale Human Error 13 103 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109
17. ilisation involontaire De m me il n est pas possible sur un Macintosh de mettre le disque contenant le syst me la Corbeille e Forcer la fonction a pour but d obliger l utilisateur ex cuter une action d termin e Ce type de contrainte est utilis pour les portes de secours o il n est possible de pousser la porte qu en appuyant sur une barre laquelle d clenche le penne de la porte Ce type d obligation se rencontre galement dans le cas des bo tes de dialogue modales o un seul bouton est disponible Type de blocage Le type de blocage d termine si celui ci met en jeu une ou plusieurs actions de l utilisateur sur le syst me e _ Verouillage la fonction a pour but de contraindre l utilisateur effectuer verrouillage en fonction ou ne pas effectuer verrouillage hors fonction une action isol e sur le syst me e _ Interblocage la fonction a pour but de forcer l utilisateur effectuer des actions modifiant l tat du syst me selon une s quence impos e Notons que cette distinction est parfois difficile En effet bloquer par un verrouillage en fonction un traitement de textes tant qu aucun fichier n est ouvert revient r aliser un interblocage entre les actions quitter et fermer ou sauvegarder USAGE EN ING NIERIE DES IHM Avant de pr senter notre guide de conception et afin d illustrer notre propos nous allons pr senter la r tro conception d un exemple tir de l a ronautique R tro
18. ique qui fait g n ralement porter le co t de l erreur sur l utilisateur final Par exemple le fichier d une lettre perdu par une secr taire brise au pire le calme d un bureau Pourtant le co t r sultant du temps perdu par celle ci est souvent du m me ordre de grandeur que le prix du logiciel incrimin Face l erreur humaine lorsque les op rationnels se rendent compte que la Blame and Train Philosophy 11 ou l automatisation syst matique 3 n apportent en fait que des progr s mitig s une approche prenant en compte les facteurs humains devient alors la seule issue L offre actuelle en termes de facteurs humains peut selon R Amalberti 1 se positionner en trois grand types d approches e L approche m dicale dans la lign e de la m decine du travail propose une vision tr s cibl e des probl mes par exemple la pr vention des Troubles Musculo Squelettiques Cette approche est indispensable mais difficile tendre aux aspects plus pluridisciplinaires des facteurs humains e L approche ergonomique quant elle fait figure de r f rence Par la richesse de ses multiples pratiques elle tend adapter l outil la variabilit humaine Cette derni re est accept e comme une richesse et non consid r e comme un probl me que l on doit canaliser tout prix e L approche technique enfin se donne pour finalit l augmentation des performances du couple homme machine Cette approche technique
19. ir la r ponse apporter au probl me d tect Ce type de r ponse est utilisable lorsqu il existe un nombre relativement faible de possibilit s Par exemple lors de l ouverture d un fichier de type inconnu le Finder du Macintosh propose une liste d applications possibles e L enseignement Teach me est un type de r ponse plus complexe impl menter il est utilis dans des syst mes d interrogation en langue naturelle le syst me demande l utilisateur de lui d finir tout mot absent de son vocabulaire jusqu ce que l ensemble des mots utilis s soient connus Les fonctions de contrainte La notion de fonction de contrainte semble avoir t introduite par C Lewis et D Norman dans l article Designing for Error 7 Cet article bien connu d finit la propri t de fonction de contrainte comme ce qui bloque la poursuite du comportement tant que le probl me n a pas t corrig Dans cet article C Lewis et D Norman se contentent de cette d finition et l illustrent par des exemples Parmi ces exemples ils citent les baillons d finis pr c demment De cette d finition tr s large spectre on peut relever deux points int ressants En premier lieu la notion de blocage est essentielle il d agit ici d interrompre brutalement le fil des actions de l utilisateur en cas d erreur ou plus g n ralement de probl me En second lieu la correction appara t comme une tape obligatoire car le fil de
20. l Journal of Human Computer Interaction 3 10 1998 pp 193 231 6 Lenman S et Robert J M A framework for error recovery In Proceedings of International Ergonomics Association 1EA 94 August 15 19 Toronto Canada International Ergonomics Association 1994 pp 374 376 7 Lewis C et Norman D A Designing for Error Norman D A et Draper S W Ed In User Centered System Design New Perspectives on Human Computer Interaction Lawrence Erlbaum Associates Hillsdale NJ USA 1986 pp 411 432 8 Mo J Crouzet Y Pelud L Mazet C et Peytavin A Tol rance aux erreurs d op rateur par le syst me technique le prototype THEOS In Proceedings of 11 Colloque National de Fiabilit amp Maintenabilit 29 Septembre 1 Octobre Arcachon France 1998 pp 38 47 9 Nicolet J L Carnino A et Wanner J C Catastrophes Non merci La pr vention des risques technologiques et humains Editions Masson Paris France 1990 10 Norman D A The design of every day things Doubleday Currency NewYork NY USA 1990 11 Norman D A Cognitive science in the cockpit Gateway Crew System Information Analysis Center University of Dayton Research Institute Il 2 Spring 1991 pp 1 6 12 P rez Qui ones M A et Sibert J L Negociating user initiated cancellation and interruption requests In Proceedings of Conference on Human Factors in Computing Systems CHI 96 14 18 April Vancouver
21. l environnement peuvent se voir selon trois axes les indices la r ponse des syst mes et les fonctions de contrainte La d tection partir d indices Lors d une activit de r solution de probl me J Reason signale que l environnement peut permettre l op rateur de d couvrir non pas une r elle erreur mais plut t un plan d actions sous optimal Il cite en particulier une exp rience personnelle o il a d retirer le cric de sous sa voiture pour s apercevoir une fois celle ci au sol que le d blocage des crous de ses roues tait plus ais Selon l auteur ce mode de d tection n est pas v ritablement une fonction de contrainte car l environnement lui a simplement donn une occasion de rejoindre un plan d action plus optimal Nous verrons que nous ne partageons pas tout fait ce point de vue La r ponse des syst mes C Lewis et D Normal 7 ont d fini six types de r ponses possibles d un syst me lors d une d tection d erreur e Les baillons GAG sont reconnus comme des fonctions de contrainte Leur r le est de bloquer tout comportement qui s carte des r ponses attendues Par exemple l insertion incorrecte l envers d une disquette 3 1 2 est impossible dans un lecteur classique car celle ci est bloqu e en cours de route par un dispositif m canique Les avertissements Warn pr viennent l utilisateur sans pour autant le bloquer Ce type de r ponse peut tre vu comme un ba llon m
22. oche ergonomique du probl me En outre les fonctions de contrainte ne sont qu une des multiples r ponses possibles face aux erreurs humaines comptons rapprocher ce travail dirig actuellement vers une seule technique de pr vention d erreur des notions de correction d erreur 4 6 et d interruption 12 dans le but de proposer une approche unifi e des techniques de pr vention limitation et correction d erreur BIBLIOGRAPHIE 1 Amalberti R Facteurs humains et industrie de haute technologie risques ne nous trompons pas de guerre In Proceedings of Ergonomie et informatique avanc e ErgolA 98 4 6 novembre Biarritz France 1998 pp 109 117 2 Garmin GPS90 Navigateur M Personnel Garmin International Mars 1995 Manuel d utilisation Part 190 00084 00 R vision A 3 Hollnagel E Warren C et Cacciabue P C Automation in aerospace and aviation applications Where are the limits In Proceedings of Human Machine Interaction and Artificial Intelligence in Aerospace HMI AI AS 93 Workshop September 28 30 Toulouse France 1993 4 Jambon F Taxonomy for Human Error and System Fault Recovery from the Engineering Perspective In Proceedings of International Conference on Human Computer Interaction in Aeronautics HCI Aero 98 May 27 29 Montr al Canada 1998 pp 55 60 5 Kolski C et Le Strugeon E A Review of Intelligent Human Machine Interfaces in the Light of the ARCH Model Internationa
23. od r En effet l utilisateur est libre de passer outre l avertissement Un exemple d avertissement bien connu est l utilisation du signal sonore d oubli des phares En informatique ces avertissements sont utilis s couramment afin de prot ger les actions jug es potentiellement dangereuses comme vider la corbeille e L inertie Do nothing est une r ponse silencieuse aux erreurs de l utilisateur le syst me ne fait rien Cette technique est utilis e dans le cadre de la manipulation directe o lorsqu une action sur un objet est invalide elle ne se fait tout simplement pas Tr s ais e impl menter l inertie a un d faut majeur elle laisse le soin l utilisateur de d couvrir ce qui ne va pas e L autocorrection Self correct est au contraire une r ponse active et m me parfois intrusive du syst me celui ci prend l initiative de modifier les entr es de l utilisateur dans le bon sens Le syst me doit obligatoirement disposer d une fonction d faire afin de permettre l utilisateur de rem dier aux ventuelles corrections non valides Ce type de r ponse est utilis dans certains diteurs comme par Les traductions ont t emprunt es 14 exemple MicrosoftIM Word98 pour corriger les fautes de frappe courantes ofre devient offre ou oeuf devient uf etc e Le dialogue Let s talk about it initi entre le syst me et l utilisateur doit permettre ce dernier de chois
24. quons que le domaine de la pr vention des erreurs en s curit industrielle utilise les fonctions de contrainte depuis semble t il des dizaines d ann es Les dispositifs utilis s sont tr s simples et se basent sur des syst mes m caniques lectrom caniques et parfois maintenant lectroniques En outre D Norman en s inspirant de ces m thodes utilis es en s curit industrielle d crit trois types de fonctions de contrainte les interblocages les verrouillages en fonction et hors fonction Nous les d taillons ci dessous en les illustrant d exemples tir s du domaine informatique Les interblocages interlock permettent d imposer une s quence entre deux actions de l utilisateur En s curit industrielle les interblocages permettent par exemple d obliger un op rateur couper l alimentation lectrique d un appareil avant de l ouvrir Certains Macintoshes sont fabriqu s de cette fa on il n est pas possible d ouvrir le bo tier sans avoir enlev le cordon d alimentation secteur Mais ce type de fonction de contrainte se retrouve galement dans nos interfaces homme machine l inactivation d une commande visible par le gris d un item de menu est une fonction de contrainte qui emp che l utilisateur d activer la commande par exemple tant qu un objet valide n a pas t pr alablement s lectionn Les verrouillages en fonction lockin maintiennent un syst me actif malgr la demande de l utilisateur
25. s actions ne peut continuer qu l issue ce cette correction D Norman quelques ann es plus tard 10 a propos une autre d finition quelque peu plus restrictive des fonctions de contrainte Une fonction de contrainte est ainsi d finie Les fonctions de contrainte sont une sorte de contrainte physique ce sont des situations dans lesquelles les actions subissent des contraintes de telle mani re qu un chec une tape emp che l tape suivante de se produire Cette d finition est plus restrictive au sens o l obligation de correction a disparu et la notion de comportement a t r duite la notion de t che Cependant nous retrouvons l id e essentielle du blocage 3 Traduction propos e dans 14 p 222 de something that prevent the behavior from continuing until the problem has been corrected in 7 p 420 4 Forcing function are a form of physical constraint situations in which the actions are constrained so that a failure at one stage prevent the step from happening 104 Jambon F La pr vention d erreur par la technique des Fonctions de Contrainte Onzi me conf rence sur l interaction Homme Machine IHM 99 Montpellier France 22 26 novembre 1999 p 102 109 A ce niveau il est possible de voir dans la fonction de contrainte une g n ralisation de la technique des d trompeurs lesquels sont tr s utilis s en m canique pour la pr vention des erreurs de montage En corollaire remar
26. st quivalent emp cher celui ci de quitter sans avoir sauvegard Le contexte d termine ensuite le type de la contrainte Deux cas se pr sentent e Le contexte est d pendant du syst me seul ou de l utilisateur seul Par exemple la rotation du tambour d une machine laver est seulement d pendante du programmateur de cette machine Dans ce cas le concepteur doit avoir recours un verrouillage e Le contexte est d pendant d une action de l utilisateur sur le syst me Dans ce cas le concepteur doit avoir recours un interblocage S il s agit d emp cher une action il lui faut d terminer dans quel contexte l action devient valide et forcer ou inciter l utilisateur modifier le contexte avant En corollaire s il s agit de forcer une action il lui faut trouver dans quel contexte l action devient invalide et obliger l utilisateur ex cuter son action avant le changement de contexte Puis la force du blocage doit tre ajust e au niveau de protection requis c est dire le plus souvent aux cons quences potentielles de l erreur Cette force doit aussi prendre en compte les cas exceptionnels un blocage total n est pas toujours justifi et peut m me parfois s av rer dangereux En outre la force doit tre choisie avec soin en fonction de l activit r elle de l op rateur une confirmation syst matique d une action r guli rement effectu n est plus lue La force de la contrainte est probablement la
27. tion du combin raccroch Figure 4 Application au cas du t l phone public Discussion Face aux erreurs humaines est apparue une classe d interfaces dites tol rant les fautes 5 p 212 lesquelles se basent habituellement sur un mod le de t che embarqu Ainsi J Mo et al 8 ont propos un syst me de pr vention des erreurs des utilisateurs qui dispose d un mod le des plans d action possible mais aussi d une liste des t ches activables par l op rateur en fonction de l tat du syst me Ce travail peut se voir comme une g n ralisation de la notion de fonction de contrainte Il montre galement l importance lors de la conception de l analyse de la t che de l utilisateur L int gration de dispositifs de protection contre les erreurs au sein d un syst me homme machine risques peut se voir au premier abord comme la solution miracle en termes de s curit En effet l op rateur est libre d agir avec le syst me sans automatisation abusive ni proc dures rallonges on lui permet m me de faire des erreurs mais on emp che sa b vue d tre catastrophique Cependant ce type de protection ne peut concourir la s curit que si les op rateurs sont conscients de l existence du syst me de protection et surtout sont capables d en comprendre la logique de fonctionnement en cours d action Ce probl me est illustr par les dispositifs de filets de protection utilis s en liaison avec les commandes de vol
28. tude bibliographique les diff rentes m thodes utilis es par un op rateur dans la d tection des erreurs sont pass es en revue partir d approches orient es ergonomie Puis les connaissances actuelles sur la technique des fonctions de contraintes sont d taill e en prenant le point de vue la fois de ergonomie mais aussi de ing nierie Dans un second temps et selon une approche purement technique une classification des fonctions de contrainte est propos e ainsi qu un guide d usage Enfin une r flexion sur les liens entre ergonomie et ing nierie est propos e sur l usage de cette technique de pr vention d erreur LA D TECTION D ERREUR L erreur est humaine et malgr tous nos efforts les erreurs des op rateurs sont in vitables Au del de ce constat n gatif nous posons que les erreurs sont aussi tout fait acceptables En effet de nombreux auteurs consid rent que les erreurs sont le prix payer pour l extraordinaire habilet et capacit d adaptation dont peut faire preuve l tre humain m me dans les conditions les plus difficiles l o la machine est prisonni re de sa logique limit e L occurrence des erreurs accept e la responsabilit du concepteur d un syst me risque consiste en minimiser les cons quences potentielles Selon D Zapf et J Reason 18 le traitement des erreurs peut se diviser en deux tapes essentielles Cf fig 1 le diagnostic de l erreur puis la correction de cell
29. ure de courrier lectronique Eudora en est un autre exemple lorsque l utilisateur s chine taper sur son clavier alors qu aucune fen tre n est m me d interpr ter les caract res le logiciel les ignore et pr vient l utilisateur par un son Synth se et critique En r sum la d tection d une erreur humaine peut s effectuer selon trois modes par autocontr le par l intervention de personnes tierces ou encore gr ce aux indications de l environnement Ces indications peuvent tre vues comme des fonctions de contrainte des indices ou tre une r ponse du syst me Ces trois dimensions ne sont pas orthogonales Par exemple les baillons sont une des r ponses possibles d un syst me mais sont galement une fonction de contrainte Lorsque l on d taille les fonctions de contrainte les verrouillages en fonction sont assez proches de la notion d inertie De plus un verrouillage emp chant de quitter une application tant qu un fichier n est pas sauvegard peut tre aussi vu comme un interblocage entre les actions sauvegarder et quitter C est pourquoi dans un premier temps nous avons cherch clarifier la notion de fonction de contrainte en proposant une classification Lorsque du point de vue d un concepteur l on s int resse la r ponse que peut avoir un syst me aux erreurs de l utilisateur ces classifications et exemples ne sont pas toujours directement utilisables car ils ne s int ressent pas au fond du
Download Pdf Manuals
Related Search