核电厂人机接口设计质量保证方法研究

吴 茜，张瑞萍，孟 光，吕爱国，叶 琳

（华龙国际核电技术有限公司，北京 100036）

0 引言

人机接口（Human-System Interface，下文缩写为HSI），是人与机器进行交互的操作方式，即用户与机器互相传递信息的媒介。核电厂主控室人机接口作为操纵员与核电站进行信息交互的主要媒介，其设计的人因工程学对操纵员执行效率乃至核电站的安全有着重要影响。国内《核动力厂设计安全规定》要求优化人员操作的设计，使人机界面对操纵员是“友好的”，人机接口必须设计成不但能够为操纵员提供全面而易处理的信息，并必须以限制人为差错的影响为目标[1]。

图1 人因工程过程总貌Fig.1 The process of human factors engineering

从人因角度而言，设计一个“好”（高质量）的HSI 通常不是一项简单或一蹴而就的任务，而是需要考虑很多人因参数。要满足每一个人因设计准则存在很多困难，很多情况下需要对人因原则的应用进行折中处理。

为了保障核电厂人机接口设计的高质量，本文在对人机接口设计与其它人因工程元素关系进行研究和分析的基础上，从审评方关注角度和行业内技术进展两个方面研究了人机接口设计问题及优化情况，梳理了人机接口设计方法。该方法针对核动力厂提出，对实验堆、普通电厂人机接口设计也有一定的参考意义。

1 核电厂人机接口设计介绍

核电厂人机接口的资源包括用于支持运行人员执行任务的显示、报警、控制、计算机化规程（CBP）以及其他各类HSI 实体配置，这些HSI 资源分布于主控制室（MCR）、远程停堆站（RSS）、技术支持中心（TSC）、应急指挥中心（EOC）以及就地控制站（LCS）上。

1.1 HSI设计任务及设计内容

HSI 设计的主要任务包括：

- 核电厂人机接口设计导则制定——开发适用于核电厂的人机接口设计导则，用于指导HSI 设计符合HFE 原则要求。

- 核电厂人机接口功能设计——根据核电厂功能需求，确定HSI 所需实现的功能。

- 核电厂人机接口设备设计——根据HSI 功能需求，确定具体的HSI 设备类型，建立HSI 设备清单，并完成各个HSI 资源的详细设计和集成。

- 核电厂重要控制点设计——确定各控制点（包括MCR、TSC、EOC、RSS、LCS）中HSI 设备的布置。

- 工作场所环境设计——保证HSI 所在场所的环境要求。

HSI 设计活动的内容包括：

- 核电厂人机接口设计导则的制定和修订。

- 所有控制点上的显示、控制、报警等HSI 资源的设计（包括常规仪控设备）。

- 就地控制站（LCS）上与风险重要活动（包括监视、操作、维修等）相关的HSI 资源设计。

- 基于显示屏的HSI 资源设计，包括实际的画面显示、控制、导航及访问信息所需的标准对话。

- 操纵员工作站和工作区的布置。

- 控制室及电厂设备上常规编码和标识。

- 环境因素（例如，气候环境、视觉环境、听觉环境等）。

- HSI 设计的测试和评估。

1.2 人机接口设计与人因工程的关系

核电厂人员对于核电厂的安全、可靠、有效运行起着重要作用，电厂人员和电厂工艺设备之间的实时过程控制接口是集成的人机接口中驱动图形显示设备的仪控设备，在这些人机接口的设计中应充分应用人因工程原则，优化人-机工效，以满足和提升核电厂的安全性和经济性指标。

人机接口设计的主要输入和影响人机接口设计过程和人机接口设计的假设和制约的第一项就是管理要求，即人因工程过程的设计需满足NUREG-0711 标准规定的人因工程设计过程的要求。

图1 为人因工程总貌，简要介绍了人机接口设计与其他人因工程要素之间的关系。

① 运行经验评审（OER）：用于识别历史控制室或HSI 设备中HFE 相关问题及经验，最新HFE 技术的调研，这些都可作为HSI 设计的输入。

表1 人机接口设计的审评关注点Table 1 Review of HSI design

② 功能需求分析与功能分配（FRA&FA）：功能需求分析（FRA）用于识别满足电厂运行和安全目标所需的必要功能，其结果作为功能分配活动的输入；功能分配（FA）将由功能分析确定的功能分配给人、机器或人与机器的组合来完成；FRA&FA 活动的输出作为任务分析（TA）的输入，进而识别出HSI 的任务支持要求。

③ 任务分析（TA）：用于识别完成这些任务所需的要求（即确定用于完成任务所需的显示、数据处理、控制、工作支持辅助等要求）。TA 的输出作为HSI 设计的输入。根据TA 分析识别出的任务支持接口要求，可以定义出HSI元素的清单及特性。

④ 人员配备与资质（S&Q）：S&Q 分析为控制室和工作站的布置提供输入，控制室的设计须考虑人员配备假设。

⑤ 重要人员动作分析：用于评估对电厂安全具有重要影响或潜在风险的人员动作，其分析结果可以提供一系列重要人员动作及其相关情景的清单。用于执行这些重要人员动作的HSI 需要在设计中进行特别考虑，以最大限度降低人员失误发生的可能性。

“部分/整体”途径中，分数被视作“部分事物”与“事物整体”所代表的两者间的一种数量关系.与之相对的，通过“测量”途径得到的分数，是通过“可公度性”的概念将两个整数的比定义为分数.无论“部分/整体”途径，还是“测量”途径，其所产生的分数始终未脱离整数概念的束缚.在“测量”途径产生分数所对应的古希腊时期，曾经爆发了著名的第一次数学危机.数学危机的产生是特殊历史背景下，人们对于数学认识的局限所致.而第一次数学危机的实质，是当时数学家的思维被错误的哲学所支配，他们认为“数”只能是正整数[18].由此可见，古希腊及更早时期的人们对于分数概念的认识，是受其对于“数”的认识所局限的.

⑥ HSI 设计须满足电厂各个系统的设计要求，包括系统所需实现的功能，以及系统的限制要求。

⑦ 规程开发：所有规程均需进行验证和确认（V&V），计算机化规程系统（CPS）作为人机接口系统的一部分，其与纸质版规程备份的V&V，将与HSI 系统的设计以及HF V&V 相结合。

通过介绍可知，以上7 项均为人机接口设计的输入，培训开发在其范围、内容与原则上也要与人机接口设计协调一致；人因验证和确认也包括人机接口任务支持验证（TSV）；设计实现活动作为V&V 的补充和延续也要考虑人机接口等。

人因工程贯穿于人机接口的整个设计过程，通过人因工程管理将人机接口的设计与电厂其它系统的设计结合成一个整体。

2 审评方关注角度分析

人因工程12 要素均对人机接口设计质量存在影响，为了深层剖析影响因素，提出保障人机接口设计质量的方法，本章节从审评方对人机接口设计的关注角度进行分析。

表2 人机接口相关问题及设计缺陷Table 2 HSI related problems and design defects

表1 汇总了审评方针对两个核电工程的人机接口设计审评关注点：

经统计，共性频发问题包括：

1）《任务分析实施计划》中任务分析的范围。

2）重要人员动作的任务分析的范围及分析方法。

4）人机接口的V&V 活动。

5）MTIS（维修试验检测监督）相关的任务分析方法及V&V 活动。

经分析，以上重点关注问题多为历史薄弱点（例如任务分析、重要人员动作分析），新增关注点包括针对“就地控制站”“技术支持中心”“应急指挥中心”进行的人因V&V 活动、MTIS 相关活动，以及采用不同的技术（采用数字化技术实现的人机接口）引入的新问题。这些问题需要在后续人机接口设计中重点关注。

3 行业内人机接口相关问题及优化情况

本章节对行业内近年来人机接口相关问题及优化情况进行了介绍，将频发问题及优化方案总结出来，以便人机接口设计领域进行借鉴和参考[2-4]。

表2 选取了具有代表性的几类人机接口：

① 其中，第一项为采用模拟技术的人机接口，此类设计缺陷普遍的人因优化原则为设置“保护和确认”等手段以防误动。

② 第二项为采用数字技术的显示和控制画面，通过以下手段改善人机界面不够友善的问题：

- 增加设定确认、修改执行确认、参数微调步长设定。

- 增加任务导向栏。

- 增加气泡标注功能等。

③ 第三项为采用数字技术的报警系统人机界面，通过报警抑制功能和组合报警显示功能两种方式进行优化。

④ 第四项为数字化事故规程配套画面，优化方案为：

- 优化界面布局及边界形式。

- 图形化显示重点参数（减少操纵员对于重要参数的认知负荷）。

- 精细化链接设计（解决数控系统界面调取占用操纵员大量认知负荷的问题）。

- 仪表故障智能辅助诊断。

- 重要状态参数智能辅助诊断（超控制预期或恶化时，对参数框激活动态提示）。

4 高质量的人机接口设计方法

人机接口设计过程中，其它人因工程要素的结果被用作开发控制室系统和人机接口资源的功能设计和导则文件的输入和基准，如图1 所示。人员配备的假设、运行经验评审、功能需求分析与功能分配，任务分析以及重要人员动作分析的结合，为确定支持人的功能和任务所需的人机接口要求提供了依据。产生的人机接口要求，将体现在人机接口资源的功能设计文件（如人机接口资源功能要求文件）和导则文件中。

图2 HSI设计流程图Fig.2 The flow chart of HSI design

4.1 人机接口设计依据及要求

HSI 设计的输入来源主要包括：

① HFE 大纲要求：以下元素的分析结果应作为HSI设计的要求进行考虑。

- 运行经验评审。

- 功能需求分析与功能分配。

- 任务分析。

- 人员配备及资质分析。

- 重要人员动作分析。

② 电厂系统设计要求。

③ 法规标准要求。

④ 电厂特殊要求。

HSI 设计活动的输出主要包括：人机接口设计导则、控制室设备布置图、盘台设备清单、盘面布置图、计算机画面设计文件、报警设计文件、计算机化规程设计文件。

4.2 设计过程

HSI 的设计过程通常分为以下几个步骤：

- 运行概念定义。

- HSI 总体设计。

- HSI 设计导则制定。

- HSI 详细设计和集成。

- HSI 测试和评价。

① 运行概念的定义

定义运行概念可以识别出人员动作与电厂自动动作之间的关系，从而为人员如何在HSI 资源上进行工作以及如何处理人员间协作活动提供详细描述。运行概念可以从总体上指导电厂仪控（I&C）平台、HSI、控制室的设计。

② HSI 总体设计

HSI 总体设计，将考虑以下方面的内容，以证明电厂的HSI 设计已采用了先进技术，用于支持人员效能：

- 设备布置，包括工作站、大屏幕显示以及相关人员的工作位置。

- 重要HSI 资源及其功能，例如报警、显示、控制、计算机化规程以及其它支持和辅助人员工作的设备。用于支持主控制室内或主控制室与远程停堆设施、技术支持中心（TSC）、应急指挥中心（EOC）、就地控制站之间人员协作与交流的技术。

③ 人机接口设计导则

制定适用于本项目的HSI 设计导则，涵盖HSI 设计范围内的所有HSI 资源，用于处理这些HSI 的形式、功能、运行以及与人员效能相关的操作环境。HSI 设计导则的编制将主要依照NUREG-0700 中的要求进行。

④ HSI 详细设计和集成

HSI 详细设计活动是在HSI 总体设计基础上进一步开展的HSI 细节设计，该过程可能需要反复进行。特别的，HSI 设计应考虑自动功能失效和显著I&C 降级的情况，并为I&C 和HSI 的降级提供探知能力（包括报警或其它信息）和后备手段（包括后备系统、人员的补偿动作及支持规程）。

HSI 详细设计和集成包括：主控制室设计、技术支持中心设计、应急指挥中心设计、远程停堆站、就地控制站。

⑤ 测试和评价

HSI 的测试和评价活动应适时地在HSI 的设计过程中开展，以支持HSI 的设计决策，确保HSI 的总体设计和详细设计能够有效支持人员效能。这些测试和评价活动主要包括折中评价和基于效能的测试等活动。

4.3 人机接口设计方法

国内《核动力厂设计安全规定》要求优化人员操作的设计，使人机界面对操纵员是“友好的”，人机接口必须设计成不但能够为操纵员提供全面而易处理的信息，并必须以限制人为差错的影响为目标。

从人因角度而言，设计一个“好”（高质量）的HSI，除了需要遵守设计依据和要求，严格按照设计过程实施外，还需重点考虑历史薄弱点，从新技术带来的问题出发。

图2 给出了HSI 设计流程图，为使核电厂人机接口设计质量得到保证，除严格执行上述流程外，在设计过程中，重点关注审评方反复提出的问题，弱化薄弱环节；在HSI详细设计和集成阶段，结合行业内人机接口相关问题及优化情况，重点考虑频发问题，充分借鉴优化方案。

5 结语

本文介绍了人机接口设计内容，在对人机接口设计与其它人因工程元素关系进行研究和分析的基础上，从审评方关注角度和行业内技术进展两个方面，研究了人机接口设计问题及优化情况，梳理了人机接口设计方法。该方法针对核动力厂提出，对实验堆、普通电厂人机接口设计也有一定的参考意义。