提高控制中心人可靠性的途径

        摘  要：从对影响人失误的因素分析出发，提出提高人的可靠性的基本途径是，合理设计人—机接口、人—环境接口、人—人接口，和采用容错设计、冗余设计等的可靠性设计技术。并给出了减少人失误的具体措施。

　　关键词：人的可靠性；人的失误；改善途径

　　现代生产过程自动化系统是以计算机为核心的集中控制系统。作业人员的主要任务是在控制中心（各类控制室、调度室及驾驶室等）对系统的运行情况进行监视和控制。因而控制中心系统的可靠性就具有特殊的重要性。任何工程系统实际上都是人机系统，人机系统的可靠性由机器的可靠性与人的可靠性组成。机器的可靠性已引起了设计者和使用者的充分重视，并已有了一整套的设计方法和分析计算方法。人在人机系统中占有主导地位，然而对人的可靠性的研究却严重滞后，并往往被忽视。

　　机器的可靠性通常采用可靠度（规定条件下、规定时间内完成规定功能的概率）、失效率（单位内失效的概率）及平均无故障工作时间（MTBF）来表示。对于人的可靠性则可近似地采用失效率的方式来表示，即单位时间内人（的）失误的概率。

　　人失误是指人未能实现规定的任务。人失误可能引起人机系统运行中的时间损失、机器损伤、人员伤亡和任务失败。美国三哩岛核电站事故是人的失误和硬件故障相结合的结果。对大量系统失效的分析表明，人的失误占有很大比例。在电子设备和飞机系统中，由人的失误引起的失效约为50%～70%。因而对人的失误因素及防止人失误措施的研究，已成为当今可靠性研究的重要课题。文中试图对提高控制中心系统人可靠性的途径作一分析。?

　　1影响人失误的因素

　　造成人失误的原因很多，概括起来是由于人的机能的不确定性与机器或环境等因素相作用而产生的，从人机工程角度可归纳为：内在因素与外部因素。

　　1.1 人失误的内在因素

　　由于操作者本身的因素，使之不能与机器系统相协调而导致失误。受人的生理、心理特点的制约，人的能力是有限度的，并往往带有随机性。能导致人失误的内在因素有：

　　a)生理因素：人体尺度、体力、耐力、视觉、听觉、运动机能、体质、疲劳等；

　　b)心理因素：信息传递与接受能力、记忆、注意、意志、情绪、觉醒程度、性格、气质、心理压力、心理疲劳、错觉等；

　　c）个体因素：年龄、文化、训练程度、经验、技术能力、应变能力、责任心、个性、动机等；

　　d)病理因素：各类慢性病、疾病初起、服药反应等。?

　　1.2 人失误的外部因素

　　外部因素是指，在系统设计（人机界面、工作环境、组织管理等）时，未很好地运用人机工程准则，致使系统设计本身潜伏着操作者失误的可能性。从人—机—环境系统着眼，影响人失误的外部因素有：

　　a)人—机接口：人机功能分配、显示系统、控制系统、报警系统、信息系统、通信系统和工作站等的设计，对人生理、心理特点的适应性；

　　b)人—环境接口：物理环境（例如，微气候环境、照明环境、声环境、空气品质、振动、粉尘，以及作业空间等）设计，对人和作业的适应程度；

　　c)人—人接口：指系统的组织管理工作设计。例如，作业时间、安排轮班作业、班组结构、工作流程、群体协同作业、操作规程、安全法规、技术培训、人际关系、企业文化、社会环境等，对人的作业的影响。

　　提高人可靠性的基本途径是合理设计人—机接口、人—环境接口和人—人接口，并采用某些可靠性设计技术（例如容错设计、冗余设计），使系统能适应人的生理、心理特点，减少人的失误。?

　　2容错设计

　　容错是指在出现有限数目的硬件或软件故障的情况，系统仍可连续正确运行的内在能力。从理论上讲，机器或系统的设计应不易造成人的错误，可是人的失误和认知的局限无法避免，因此有必要进行容错设计。容错（设计）方法则是根据人的失误倾向，设置各种支持系统，以容许或自动纠正这类错误的一种设计方法。

　　容错设计是以适当方式给使用者提供信息，使他们明了自己所面临的情况；或提供互锁、自动控制、操作员支持系统和误操作防止结构。有时也把冗余设计归入容错设计之中。

　　容错设计包括两个方面，一是为提高机器运行的可靠性而采取的容错技术，例如，数据通信中，采用纠错编码技术，以纠正传输过程中各种干扰导致的数据差错；二是为减少人的失误而采取的容错技术，本文主要介绍后者。?

　　2.1 提示和报警

　　a)提示系统：通过显示系统提示系统的主要参数是否接近于临界状态。提示的手段是多种多样的。例如，通过模拟显示器显示系统运行的各种参数是否接近或处于临界状态，通过适当的电路设计和软件设计，提示操作极限及操作约束条件；通过机械结构设计，对操作是否到位进行提示，如波段开关的弹性定位装置，按钮到位时的手感或声音提示等。

　　b)报警系统：这也是一种提示系统，它是为保证系统的安全，对系统各部分的运行状况进行自动监视，并由报警及紧急控制装置所构成的系统。?

　　2.2 互锁

　　可保证错误的操作对系统不起作用。互锁根据其约束条件可分为：

　　a)与门互锁：是指需有二个或二个以上的控制信息同时存在，才可能实现所需的控制；

　　b)顺序互锁：是指需按一定顺序进行控制才是有效的，违背规定顺序的操作将不起作用。

　　互锁可通过机械设计、电路设计和软件设计实现。?

　　2.3 自动控制和操作员支持系统

　　a)自动控制系统：在人机功能分配时，应考虑自动控制的范围和水平，尤其是那些要求快速、缓慢或复杂的控制、信息处理任务和保护人机安全的任务交给机器去自动执行。分配给人的任务是：必要的手动控制，包括自动控制的后备控制；高级思维处理任务，例如，诊断意外异常的和意外的运行工况和事件的起因，并作出纠正的决定。

　　b)操作员支持系统：对复杂系统应设立操作员支持系统以支持操作员完成高级思维处理任务。?

　　2.4 误操作防止结构

　　为防止操作中人的失误，在控制器系统设计中可采用误操作防止结构，以减少对控制器的误操作。

　　a)适宜的位置：控制器应正确定位与定向，使操作员不会无意触动它们，在任何作业（包括维护和保洁）过程中不会意外地被触动；

　　b)固定的保护结构：控制器可以安装在凹处、加屏障物、或用实物屏障包围；

　　c)可移动的盖板或挡板：控制器可以用能移动的屏障物盖住或挡住，例如，控制盖、带铰链的屏障物；

　　d)联锁控制器：为控制器提供联锁。例如，双重操作许可逻辑，顺序操作逻辑，使用两个独立的按钮等；

　　e)将控制器装上锁定装置，先解锁才能操作控制器；

　　f)驱动的优先性：安全系统动作信号必须优先于手动控制信号。例外情况应明确规定。?

　　3冗余设计

　　冗余是指为改善运行可靠性而引入重复或代替的系统元素，以确保该特定元素失效时，系统能继续运行。冗余系统也常称备份系统，当串联系统的可靠性设计不能满足预定要求时，可采用备份元素和备份系统的方法提高可靠性水平。

　　一般的冗余设计主要是指为提高机器运行可靠性而采取的冗余技术，这里主要是介绍为提高人监控系统的可靠性而采取的冗余技术。冗余设计中，哪些方面需采用冗余，哪些方面不需要冗余，以及冗余的量和规模等视具体设计对象的功能而定。下面提供一些可供参考的方面和方法。?

　　3.1 显示控制系统的冗余配置

　　a)凡是关键信息，应当显示足够的冗余信息，以便操作员能够对所显示的信息进行验证。

　　b)共享视觉显示装置的设置：共享视觉显示装置是指多个工作人员共同使用的视觉显示器。其显示内容是比较重要的，通过多人共同监视而实现冗余。这类共享显示有各类模拟屏和静态图屏、闭路电视监视器、投影屏、各类几人共享的屏幕显示器等。在现代的以计算机为中心的监控系统中，除了有共享显示屏外，还给每个操作员配置普通显示器，以便有效地进行监视，构成另一个层次的冗余。

　　c)控制器的冗余设置：主要包括，对自动控制的主要功能设置后备的手动控制；除了在控制室可实行集中控制外，在各设备上及就地工作站设有就地控制装置。?

　　3.2 报警及主要事件处理的冗余设置

　　a)报警的冗余设置：除了在控制室设有报警显示外，在相关的设备处（或附近）、在休息室、办公室、会议室等处，均可对同一报警内容设冗余报警（视报警内容的重要程度及相关程度而定）。另外安全标志的冗余设置是非常必要的。

　　b)险情信号的声光组合使用：光信号由视觉接受，信息表达方式多样，可接受量大，而得到普遍应用；声信号反应时间短、方向性不强，易于引起“无意注意”，并不受照明条件及可见度的限制，成为险情信号中不可缺少的组成部分。在多数情况下是二者并用。

　　c)主要事件处理的冗余设置：对主要事件除各相关操作员处有显示外，应在值长工作站上设置垂直显示面，用来显示有关图表或程序。如主要事件处理设施不在值长工作站区域内时，则应另行单独设置。与此同时，还应考虑增加额外人员所需的空间。?

　　3.3 工作组织及场地设置上的冗余

　　a)值长岗位的设置：虽然值长的主要职责有监视系统运行或监视操作员之分，但一般是二者兼而有之，也就是说对操作员的监控作业而言，值长处的监控是一种冗余设置。

　　b)辅助工作站的设置：为适应负荷高峰时处理超负荷任务的需要，可考虑设立辅助工作站，这工作站亦可供辅助操作员之用。

　　c)提供备份场地：应为临时工作人员（现场操作员、维修人员）提供适当的工作台面、座位，临时放置有关资料、衣物和安全帽之处，并为交接班人员考虑提供足够的活动场地。

　　d)今后的扩展：控制室的设计，应考虑今后扩建的可能。通常，根据实践，在设计寿命为10～20年的情况下，可留有25%（可用空间）的额外空间作为扩展用。?

　　4人机接口的可靠性设计

　　人机接口是操作者与“机器”系统之间的实体界面。从人的可靠性出发，就是“机器”的显示控制系统设计应符合人的生理、心理特点，以减少人的失误。?

　　4.1 显示控制系统设计的基本要求

　　显示控制系统设计的基本要求是准确地认读和操纵，形成最佳的人机交流系统。?

　　4.1.1显示器设计的基本原则

　　视觉显示信号应易于感知，它必须满足以下三个基本要求：

　　a)能见性：显示的目标易被觉察；

　　b)清晰性：显示目标不易被混淆；

　　c)可懂性：显示目标意义明确，易被迅速理解。?

　　4.1.2控制器设计的基本原则

　　控制器设计，应充分满足操作者在生产中能安全、准确、迅速、舒适地连续操作，为此需考虑：

　　a)控制器的结构与尺寸：应按人手的尺寸和操作方式确定形状和尺寸，其形状应尽量使手腕保持自然形态，以免产生疲劳；抓握部位不宜太光滑，也不宜太粗糙，既易抓稳，又不易疲劳；

　　b)操作反馈和操纵阻力：操作控制器时，应使操作者获得关于操作结果的信息，提高操作的准确性。反馈信息可通过设置的显示器，或到位时发出的卡嗒声，或阻力的变化来获得；操纵阻力也是一种反馈信息，可改善操作的准确度和速度，并可降低控制器对振动和过载力的敏感性，防止因无意触及而引起的偶发启动。?

　　4.1.3遵循公认惯例

　　在人机接口设计中，遵循公认的惯例是非常重要的。它包括控制器的动作方向，显示器指针和等效物的位移方向；各种颜色的意义。控制器的习惯响应实例，如图1所示：?

　　4.1.4显示器、控制器的布置

 

　　a)显示器、控制器的空间布置：视觉显示器和控制器应根据其重要性和使用频次，依次优先布置在良好视区和有效视区内；控制器应设置在人肢体功能可及范围之内。

　　b)显示器与控制器之间的协调性：通常显示器与控制器是联合使用的，二者在布局与组合上的协调，可减少人的信息加工和操作的复杂性，反应时间缩短，操作速度提高，操作者的培训时间缩短，显示器与控制器的协调性主要考虑下述因素：逻辑位置协调性，运动方向协调性，位移量的协调性和信息的协调性。?

　　4.2 编码与编组技术

　　为使显示控制系统中众多的显示器和控制器易于辨别，避免由于混淆而造成误读、误判、误操作，提高工作效率，应以适当的刺激为代码，对不同的显示信号和控制器进行编码，以示区别。下面给出的是各个单维的刺激编码，在实际应用中常采用多维（复合）编码，以提高众多信息的可分辨性。例如在控制器编码中，除用触觉编码外，还可附加文字标记或颜色编码等的视觉编码。?

　　4.2.1视觉编码

　　以视觉刺激要素为特征的编码方式有：字符编码；颜色编码：闪光编码；亮度编码；（几何）形状编码；位置编码；面积编码；线长编码，倾斜度编码等。?

　　4.2.2听觉编码

　　用不同的听觉刺激来表达不同的涵义。常用听觉编码要素有：音质编码；音频编码；声脉冲编码；声音强度编码；声源方向编码。

　　4.2.3触觉编码

　　对控制器的触觉编码主要有：形状编码；质地编码；位置编码；大小（尺寸）编码；操作方式编码（属运动觉）等。?

　　4.2.4显示器与控制器的编组技术

　　在屏和面板布局设计中，对显示器和控制器按一定逻辑关系编组，有利于减少失误和提高工作效率。编组应反映完成系统目标的需要，并与使用者思维方式的规律一致。可分别对显示器或控制器编组，也可将相关显示器与控制器同编于一组。

　　编组技术主要有：按功能或相互关系编组；按使用的顺序编组；按使用的频次编组；按优先性（即重要性）编组；模拟图式的编组。?

　　4.3 报警及紧急控制系统设计

　　报警系统是“机器”可靠性设计的组成部分，同时它也是人可靠性设计的组成部分，通过报警系统的提示，可减少人的失误。?

　　4.3.1报警信号的分类

　　根据险情对人影响的紧急程度和可能性，报警信号一般可分为三类：

　　a)预警信号；标志有险情的可能性或先兆，或表示机器某部分已处于超常状态，需注意或进行调整；

　　b)告警信号：标志险情即将或开始发生，对机器必须立即采取干预措施；

　　c)警报（紧急撤离）信号：标志险情已开始出现，工作人员应立即撤离现场。?

　　4.3.2报警系统设计要点

　　报警系统应易于感知。报警灯的亮度应高于一般信号灯、预警信号是黄色、告警信号是红色，告警与警报信号应采用闪光信号；险情听觉信号的声级应大于65dB，且超过环境噪声15dB以上，信号的脉冲重复频率及脉冲宽度应与环境噪声不同。?

　　4.4 妥善处理人机界面的心理负荷

　　4.4.1心理超负荷与负荷不足

　　人机界面的工作负荷设计应合理，超越了操作者的生理和/或心理机能的上限或下限，会形成超负荷和/或负荷不足。在控制中心一般不会有强的体力负荷，生理的负荷常表现为心理的负荷。心理负荷包括信号加工负荷与情绪两个方面。当人机系统中呈现的信息量较大时，操作者往往难以同时完成对全部信息的感知和加工，而出现感知信息的遗漏或感知错误，导致控制或决策失误，这种现象称为“心理超负荷”；相反，当信息呈现较少时，如在雷达监视中，操作者由于久久得不到目标信息的强化而处于一种单调枯燥、注意力容易分散的状况，表现出反应时间延长、反应敏感性较差，当真目标出现时，很可能发生漏报，这种现象称为“心理低负荷”（负荷不足）。只有让操作者处于中等心理负荷强度、才能取得较佳的结果。心理超负荷或心理负荷不足均会形成心理疲劳。

　　心理疲劳是指人肌肉工作强度不大，但由于神经系统紧张程度过高或长时间从事单调、厌烦的工作而引起的疲劳。它表现为，感觉体力不支、注意不集中、思维迟缓、情绪低落，并往往伴有工作效率降低，错误率上升等现象产生。?

　　4.4.2防止心理疲劳措施

　　a)合理分配监控信息量，使每个操作者处理的信息量不太多（免超负荷），也不太少（免负荷不足）；

　　b)信息形式与内容变换：如适时自动更换显示屏上的画面；

　　c)工作内容变换：如监视作业中，将监视显示器、记录、巡视等结合起来；

　　d)提供相邻操作者之间适当的接触交流的条件，减轻单调感或避免诱发精神疲劳；

　　e)合理安排休息时间（工间暂歇、工间休息）；

　　f)改善工作环境：科学地安排环境色彩、环境装饰和作业场所布局，适当播放音乐（乐曲而非演唱）对操作具有类似于“兴奋剂”的作用。?

　　5人—环境接口的可靠性设计

　　环境因素对操作者的影响主要表现在三个方面：安全、效率、舒适。舒适是追求的目标。某些不良的环境因素虽不致影响人的安全和健康，但产生的生理、心理反应可影响人的工作可靠性。例如，温度过高可使人产生不适感，易引起焦虑、烦燥、激动、动作不协调、自持力下降、精神松弛、注意力分散，从而易于产生失误；照度不足易引起视觉疲劳，影响对信号的感知的大脑思维的敏捷性，易于误判断和误操作；噪声可使人烦燥、易怒、多疑、乏力、多虑、压抑感、分散人的注意力，使人的行为处于不安全状态；杂乱和不洁净的工作场地，狭小、拥挤的工作空间，使作业者产生压抑、烦燥、紧张和混乱感，易于产生差错等等。

　　对视屏作业而言，尤其需防止眩光。由光源直射或反射而来的刺眼或耀眼的强烈光线，会使视觉功能降低，产生不适感，形成视觉疲劳，并使观察对象模糊不清。眩光使人烦恼、精神涣散、注意力不集中。作用于屏面的反射眩光还直接影响操作者对信息的读取。应采取防眩光措施，例如，在照明和布局设计中需注意窗户的位置，合理布置光源并采取必要的遮光措施；对显示器屏面进行防眩光处理（例如，漫射表面，防反射涂层，使用丝网、或滤光屏）等。?

　　6人—人接口的可靠性设计

　　提高人的可靠性的途径，除了上述的技术性措施外，另一个重要方面，就是从组织管理上采取措施，形成一个协调的人—人界面，使人处于一种良好心理状态之中，这是减少人失误的一种积极措施。?

　　6.1 操作规程设计

　　操作规程是规定为完成功能目标所需操作任务的一组文件。操作规程设计的合理性将直接影响操作者的工作效率和作业的可靠性。操作规程应与人机接口和预期的系统响应的要求相一致。操作规程的内容必须包括控制系统所执行的全部预期任务（包括对重大事件的处理措施）和功能。操作规程中规定的对工作人员所承担的功能目标的数目和工作负荷要求应不超过其能力限度；群体协同作业应协调；还应为人的本能差异留有足够的裕度（例如时间限制），并且考虑由于疲劳和警觉性下降等因素。?

　　6.2 人员选择与培训

　　每个人有不同的个体心理特征，它主要包括性格、气质和能力，例如，有的人心理素质强，有的人弱；有的人处理紧急情况能力强，而有些则是“易出事故的人”，关系到安全和要求有高度责任心的职业，应进行心理测试和选拔。

　　为使工作人员获得工作所必需的技能和知识应制定培训大纲。培训大纲应与操作规程和人机接口的要求相一致，应为操作员提供系统安全与可靠运行所需的技能与知识，包括处理非预期事件。培训不足或不当，以及经验不足等因素而导致的技术水平不高，是造成判断与操作失误的原因之一。?

　　6.3 管理因素造成工作者失误

　　计划不周、决策错误、监督检查要求不当、信息传达错误、劳动组织不严密等，管理上的漏洞极易导致作业中人的失误。

　　工作组织（人与人之间的关系和相互作用）和组织结构（职责、权限及相互关系）不明确、不严密等组织方面的情况，是造成人失误的潜在因素。例如，班组组织与人员配备，轮班作业和值班持续时间的安排，对工作程序和交接班的监督等，对群体协同作业的协调性影响甚大。?

　　6.4 群体凝聚力与人的可靠性

　　企业的群体凝聚力是企业对员工所产生的吸引力，其强弱程度取决于，个人需求（物质的和精神的）的满足和个体对群体的认同程度。认同是一种心理状态，常支配着一个人的动机、态度和行为。当个体对所处的群体及人际关系感到满足时，就会产生对群体的强烈的“归属认同”，就会对这个群体忠诚、为群体出力，自觉地遵守群体的规范；当个体对在群体中担任的角色表示满意时，就会产生“角色认同”，认为这类角色符合自己的愿望、有前途，于是能发挥人的主动性、积极性和创造性，使个人的潜力和能力得到最大的释放；如果一个群体中干群关系良好，彼此能互相关心、互相帮助、互相爱护，使个人与他人的喜努哀乐和行为发生共鸣，则形成群体中的“移情认同”，促使大家把力量凝聚在一点上。有了上述的认同，就会有工作的高品质、高可靠性。而欲取得实效，则需有正确的企业理念，建立合理的规章制度和奖惩制度，并伴以深入细微的思想工作。

　　总之，人的可靠性是人机系统可靠性的重要组成部分，必须引起系统的设计者、管理者和使用者的充分重视，并从技术上和组织管理上采取措施，以减少人的失误，提高系统运行的可靠性。??

　　参考文献

　　1 ISO/DIS 11064-1（1997）, Ergonomic principles of the design of control centres Part1. Principles for the design of control centres

　　2 ISO/WD 11064-5(1997), Ergonomic principles of the design of control centres Part5. Displays, controls, interractions

　　3 CIE/IEC 1771(1995), Nuclear power plants-Main control room-Verification and validation of design

　　4 GB/T 13630-92(eqv IEC964), 核电厂控制室的设计

　　5 GB/T 16251-1996（eqv ISO6385-1981）, 工作系统设计中的人类工效学原则

　　6 朱祖祥主编. 人类工效学. 杭州：浙江教育出版社，1994

　　7 曹琦主编. 人机工程. 成都：四川科学技术出版社，1991

　　8 马江彬主编. 人机工程学及其应用. 北京：机械工业出版社，1993