数字化核电厂班组SSA测度方法与实验研究

李鹏程，金 肖，张 力,3，陆文捷，王炎鑫，戴立操,*

(1.南华大学 人因研究所，湖南 衡阳 421001；2.南华大学 核科学与技术学院，湖南 衡阳 421001；3.湖南工学院 人因与安全工程研究院，湖南 衡阳 421002)

班组情景意识(TSA)对于高风险系统中班组任务的成功执行非常重要，因为像核电厂(NPP)这样的复杂工业系统，运行状态的监控和异常状态的处理都由班组完成。复杂任务由个人来完成可能负荷太大或太复杂，因此需要具有不同专业知识、技能和经验的人共同完成[1]。研究表明，像核电厂和空中交通管制(ATC)这样的复杂动态系统，其系统安全绩效更多地取决于班组绩效，而非个人绩效[2]，且班组绩效与TSA呈正相关关系[3-4]。从广义的角度看，TSA包括个体SA(ISA)、共享SA(SSA)和相互意识(MA)。但从狭义的角度看，TSA只指SSA，如Salas等[5]、Jones等[6]认为，TSA是班组成员在某一时间点对系统或组件状态的共同理解或达成的共识，即班组SSA，本文主要从狭义的角度来考虑。尽管当前在班组绩效[5，7]、班组情景意识[8-9]等方面进行了一些研究，但仍缺乏对TSA的有效和可靠测量[10]，特别是对数字化核电厂中操纵员和TSA的测量。为此，本文建立一种班组SSA测量方法，通过数字化核电厂的模拟机实验来测量班组SSA，并识别引起班组SSA水平低下的原因，从而有利于提升班组SSA水平及核电厂的安全水平。

1 班组SSA测量方法

1.1 获得班组SSA的原理

TSA示意图如图1所示，区域ABC是操纵员A、B、C的SSA。班组SSA依赖于班组ISA[5]，但更复杂，因为在特定情况下，并不是所有班组成员都需要了解所有共同信息[11]。在许多情况下，班组成员在执行特定任务过程中，需要依靠其他人员的协作来完成工作。当他们具有相同的任务要求时，两个班组成员之间的情景意识重叠越高则越重要。Saner等[9]指出，对于任何两个给定的班组成员，对他们的情景要素进行测量，并与真实情况进行比较，可对他们的SSA进行评价，如图2所示。由图2可知，当两个班组成员共同完成任务时，班组成员1理解正确的要素为X1、X3、X4、X6、X7、X8、X9，而成员2理解正确的要素为X1、X2、X4、X6、X8，则两者的交集为X1、X4、X6、X8，参考“真实情况”，去掉不必要的X8，最终得到两者SSA为X1、X4、X6。

图1 TSA示意图[12]

1.2 设计SA测量量表

针对核电厂不同的事故场景发展对应的SA测量量表，测量量表主要通过人因专家(4人)、模拟机培训中心教员(2人)及有经验的操纵员(6人)共同讨论进行构建。这些量表主要包括3部分：人口统计学问题项、SA相关要素测量项及行为形成因子(PSF)状态水平测量项。如在蒸发器传热管断裂(SGTR)模拟机实验中，针对子任务“隔离失效蒸发器”的SA测量量表列于表1(由于篇幅所限，只给出部分量表)。人口统计学问题项主要用来收集与操纵员的年龄、性别、工作经验等相关的数据。SA相关要素测量项主要测量操纵员对系统/组件当前状态的意识水平，包括的问题涉及3个层面，即对当前状态中要素的认识(第1层)、对当前状态的理解(第2层)及对未来状态的预计(第3层)。通过专家组判断，认为量表调查内容与测量目标高度一致，量表的效度满足要求，且通过不同时间段(相差两个星期)前后两次测量，各种量表的信度在0.8以上，p<0.01满足信度要求。PSF状态水平测量项主要用来辨识当前PSF对SA的影响。依据先前的研究[13-14]主要包括10个PSF，即班组的交流与合作水平、培训水平、程序的质量、人-机界面的质量、可用时间、系统自动化水平、任务的复杂性、压力水平、心智模型和状态模型。

图2 SSA计算的原理

1.3 测量步骤

迄今为止，经过广泛测试和验证的SA测量方法是情景意识整体评价技术(SAGAT)[15-16]，已被广泛应用于ISA和TSA测量。因此，本文基于SAGAT测量流程来测量操纵员的SA，主要实验步骤如下。

1) 实验培训。确定参与SA实验的操纵员后，对被试进行为期2 h的培训。向他们介绍实验目的、步骤、系统，不同角色的任务及如何完成问卷调查。培训期间，鼓励参与者提出任何问题，以确保他们完全理解实验流程并按实际要求进行操作。

2) 预先实验。培训结束后，进行1次预先实验，以验证他们对实验程序是否了解，并识别实验设计过程中可能存在的问题，测试实验的有效性和可信性。通过预先实验，可找出存在的问题并及时纠正。

3) 正式实验。实验组织者向被试进行相关说明。然后，模拟机培训中心的教员宣布实验开始。实验的风险场景由教员决定，在每个风险场景下，教员可根据实际情况将模拟机随机暂停，并将SA测量量表分发给被试进行填写。教员依据实际情况对测量结果进行评定。最后，依据ISA问卷调查的数据来计算班组SSA水平及操纵员自身估计的PSF状态水平等。

1.4 班组SSA计算方法

1) ISA计算方法

ISA是测量班组SSA的基础。由于测量量表中问题项都十分重要，故为了简化，假设所有测量量表中问题项具有一样的重要性。在每个停止点计算ISA水平。ISA水平等于暂停点SA问题项的正确数除以该点测量量表中SA问题项总数。其计算公式为：

(1)

其中：ISAikl为第i个操纵员在第k个实验场景中第l次暂停时的SA水平；Ci为第i个操纵员对测量量表中问题项回答的正确数；Tkl为第k个风险场景中第l次暂停测量量表中SA问题项总数。

同时，在实验过程中针对特定任务，要求被试对自身知识和经验水平(或称心智模型水平)、压力水平、状态模型水平(或称系统状态呈现的易识别性)等PSF状态水平进行评定，得到影响被试SA水平的PSF状态水平的评定结果。

2) 班组SSA计算方法

由班组SSA的定义可知，班组SSA就是班组成员共同对系统状态的一致认识。因此可认为班组SSA就是班组中ISA测量中的共同正确部分。但因有两个或更多班组成员共享他们的SA，所以1个班组SSA水平有很多可能性，且用SAGAT测量得到的班组SSA结果未考虑SA失误的恢复。因此，为了考虑失误恢复的情况，建立如下公式进行计算，分别对应SSA最小值(下边界)、最可能值和最大值(上边界)。

(1) SSA最小值

(2)

其中：X为整个班组成员共同正确的SA要素；Y为1次测量中所有测量要素的数量；SSAMin为整个班组成员中共同正确的SA。

(2) SSA最可能值

在1个SA测量量表中，对于同一问题项，存在1个或多个操纵员的答案正确，其余人员不正确，所以该问题项只是部分正确。关于这种情况，认为问题项的正确率是指同一问题项正确回答的操纵员人数除以班组成员总数。因此，SSA最可能值可表示为：

(3)

其中：SSAMPV为班组SSA最可能值；Ri为SA测量量表中每个问题项在班组中的正确率，如果所有操纵员回答都正确，则正确率为1；n为每个SA测量量表问题项总数；Tkj为第k个风险场景下第j次暂停时SA测量量表问题项数，即为n；ORt为班组中各成员SA测量量表正确率；m为班组人员的数量。

(3) SSA最大值

因为在班组中存在问询、交流和合作，所以他们可通过交流和讨论来纠正其他成员的错误。因此，如果考虑SA失误的恢复，可假设如果某个问题项只有1个操纵员能正确理解或回答正确，那么认为通过交流或失误恢复使得问题项将有可能在整个班组成员中得到纠正，从而达到所有人员的正确理解。SSA最大值表示为：

(4)

其中，Z为部分人员正确的SA问题项数。需要说明的是，由于一回路操纵员(RO1)、二回路操纵员(RO2)和协调员(US)的角色、权威程度和关注点的不同，US理解正确和RO1或RO2理解正确对于其他成员失误纠正的概率也会不同，但在本文中没有考虑，认为班组是一种没有权威、交流合作良好、开放的班组。

依据上述公式和实验数据，可算得每个班组SSA最小值、最可能值和最大值，可作为不确定性边界以供参考。

2 基于模拟机实验的班组SSA测量

2.1 模拟机实验概述

采用数字化核电厂全尺寸模拟机进行SA实验，共有15位有经验的操纵员参与实验。他们被分为5组，每组3人，即RO1、RO2和US的角色。参与实验的操纵员中，一般有6个月到5年以下数字化控制系统的操作经验，年龄在25～35岁之间(均值M=28.6，标准差SD=2.34)，所有被试人员祼眼视力和纠正视力正常，满足实验要求。主要进行的实验场景有SGTR事故、小破口失冷事故(SBLOCA)、主蒸汽管断裂(MSLB)事故及失去厂外电(LOOP)事故等。共进行16次实验，在每次实验中，随机暂停1～2次，采用对应的SA测量量表对操纵员的SA进行测量，以此来评定操纵员对当前机组/组件状态的把握情况，以确定他们的SA水平及PSF状态等级水平。

2.2 实验结果分析

1) ISA实验结果

根据获得的数据和式(1)，经过统计分析，得到不同风险场景下RO1、RO2及US的SA水平，结果列于表2。由表2可看出，RO1的SA水平与RO2的大致相同，但US的SA水平总体而言高于RO1和RO2的。通过与操纵员访谈，差异主要归因于操纵员不同角色的原因。当事件/事故发生时，RO1和RO2根据状态导向程序(SOP)实施事件/事故处理，他们分别关注于一回路和二回路，需要监控和执行其他一些非关键任务，影响了他们对关键任务的把握。但US主要负责收集更多信息以了解机组状态，并监视/监督一回路和二回路操纵员的重要操作。因此，这使US更为关注系统的主要状态，从而其SA水平高于RO1和RO2的。但不可否认，知识和经验丰富或工作认真的人，他们有更高的SA水平。

表2 不同类型操纵员在不同风险情景下的SA水平

另外从表2还可看出，对于不同的典型风险场景，MSLB事故中操纵员的平均SA水平最高，其次是SGTR事故，通过与操纵员回访，这主要归因于MSLB事故的症状比其他事故更明显，相对易于识别，但SBLOCA的症状不明显，辨识和诊断相对困难。LOOP事故的SA级别相对较低，主要原因是操作的复杂性和较少的模拟机培训和实践。此外，对于不同的操纵员，RO1最高SA水平是MSLB事故，最低的是SBLOCA。RO2最高SA水平是MSLB事故，最低的是LOOP事故。US最高SA水平是SGTR事故，最低的是SBLOCA。可看出，操纵员的SA水平在不同的风险场景下是不同的，这主要受任务的复杂性等PSF的状态水平不同的影响。

2) 班组SSA的实验结果

依据获得的模拟机实验数据和式(2)～(4)，可算得每个班组SSA的最小值、最可能值和最大值，结果列于表3。同样地，对于影响操纵员SA水平的PSF状态级别，也可由操纵员对PSF的评估结果，获得不同PSF状态级别的平均等级/值。由表3可见，各班组SSA的均值为0.797 1(最可能值)，但为保守估计，可采用最小值0.654 4。从绩效的角度看，操纵员的绩效水平相对较好，但从人因可靠性分析(HRA)角度来说，还需改进操纵员的SA水平。如果从SSA水平最大值的角度看，其值为0.964 7，属于好的班组SSA水平。因此，如果班组在事故处理过程中有良好的交流和合作，就会及时发觉和纠正对方的错误，那么最有可能达到班组SSA水平的最大值或可能更高。表4列出不同风险场景中SSA水平的比较。根据表4，最佳班组SSA水平(最可能值)是MSLB事故，其次是SGTR事故，最差的是SBLOCA。这也说明如果事故症状较为明显，操纵员的工作负荷较小，则班组SSA较高。从实验来看，更好的知识和经验水平也有更高的SA水平。

表3 班组SSA水平的相关数据

表4 不同风险场景中SSA水平的比较

3) 班组SSA的影响因素分析

图3 模拟机实验中的PSF评价结果

为了定量确定各种因素对SA的综合影响，每个PSF状态级别分为3个等级：好、中、差，对应的值为3、2和1。通过模拟机实验，共有48个样本，如果PSF处于最佳状态，可得到最高分，即48×3=144；如果全部处于中等，分数为48×2=96；如果每个PSF的级别较差，则得分为48×1=48。实验数据统计结果如图3所示。由图3可知，PSF中最差的是班组交流与合作水平，总得分为96分。导致这种情况的主要原因是受状态导向规程设计特征的影响，即核电厂数字化规程中规定的交流点较少、信息和风险提示不足等。同样，压力水平的总得分也同样低(96)，这主要是受事故的严重程度、任务复杂程度和有限的可用时间等因素的影响。数字化规程质量(99)、人-机界面质量(98)、自动化水平(98)等PSF的得分都不高，均属于中等水平(96)，因此需不断改进这些PSF状态水平以提高操纵员的SA水平。在模拟实验中，评价为良好的PSF是可用时间(107)、培训水平(120)及心智模型(130)，这表明在数字化核电厂中对操纵员的培训是较充分的，也非常重视操纵员的培训，系统设计给定的事故处理时间窗口也是较为充分的。但需要说明的是，由于不同的PSF对SA的影响程度不同，因此也需考虑PSF相对权重的影响。参考前期研究成果[14]，班组交流与合作水平(相对权重0.2)、培训水平(相对权重0.8)共同影响操纵员的心智模型；自动化水平(相对权重0.4)、人-机界面质量(相对权重0.6)共同影响状态模型；任务的复杂性(相对权重0.4)和可用时间(相对权重0.6)影响压力水平；人-机界面质量(相对权重0.3)和数字化规程质量(相对权重0.7)影响任务的复杂性；心智模型(相对权重0.5)、状态模型(相对权重0.2)和压力水平(相对权重0.3)共同影响SA水平。因此，需要重视这些重要的PSF，尽管他们状态水平有些相对较好(如培训水平)，但一旦状态水平不好，则对SA的影响非常大。

进一步，为了考虑PSF权重和状态水平的综合影响(或者说需要优先考虑提升的PSF)，建立如下公式进行识别：

PSFi=ci×(Nh-Ui)

(5)

其中：PSFi为第i个PSF影响的综合得分；ci为PSF的相对权重；Nh为每个PSF状态的最高得分(在此都是144)；Ui为第i个PSF状态的当前得分，Nh-Ui则表示距最好状态的距离。比如直接影响SA水平的影响因素有压力水平、状态模型和心智模型，对应的权重为0.3、0.2、0.5，则考虑权重和状态水平的影响结果如图4所示。从权重来看，影响SA的重要因素为心智模型，但这个因素状态水平已处于较好的状态，提升空间有限，因此从综合影响看，压力水平和状态模型的影响高于心智模型，表明尽管权重不大，但其等级较低，从而造成PSF的综合影响更大，应优先考虑进行状态水平提升。依据式(5)考虑根节点PSF的权重和状态水平的综合得分列于表5。由表5可见，各根节点PSF的影响优先级，需优先考虑提升的有培训水平、人-机界面质量、可用时间等。

图4 直接影响SA的PSF的综合影响

表5 根节点PSF的综合影响

3 结论与讨论

由于核电厂已从传统的模拟控制逐渐转变为数字化控制，这使得操纵员的SA问题更加突出。为识别操纵员的SA水平和班组SSA水平，建立了一种基于SAGAT的班组SSA测量方法，通过模拟机实验来测量班组SSA水平及其PSF状态水平，得到以下结论。

1) 在同一事故情景下，由于操纵员的角色不同，不同的操纵员具有不同的SA水平。一般来说，RO1和RO2主要根据程序来分别操作一回路和二回路，US负责理解机组状态，并监督和指导RO1和RO2的重要操作。因此，一般来说RO1和RO2的SA水平低于US的SA水平。

2) 对于不同的事故场景，其发生机制不同，影响操纵员的SA的情景环境不同，使得其SA水平不同。模拟机实验结果表明，如果事故症状相对更明显或培训更充分，则操纵员的SA水平较高，如MSLB事故和SGTR事故中操纵员的SA水平明显高于SBLOCA。

3) 建立了一种班组SSA计算方法，最可能的SSA用于表示班组的SSA水平，因为它可能更为客观且更接近实际的SSA水平值。一般来说，如果操纵员的SA水平较高，则班组的SSA水平也较高，因此有必要加强、提升个人的SA级别以提高SSA级别。然而虽然ISA水平很低，但有时SSA水平很高，这意味着ISA失误可通过良好的交流和讨论来纠正，从而提高班组的SSA级别。

4) 在模拟机实验中，通过操纵员的自评价，识别影响操纵员SA的PSF状态水平，因此核电厂管理者需不断提升状态水平较低的PSF，以提升核电厂的安全水平。同时也需考虑PSF的权重来综合考虑PSF对SA的影响，优先提升影响较大的PSF状态水平。

5) 本文基于成熟的SAGAT开发的数字化核电厂班组SSA测量技术，具有SAGAT的优点，如涉及SA的3个方面，经实验验证暂停不会影响被试的绩效，能客观地实时测量操纵员的SA水平等。但也有一些局限性，如要依据任务内容进行暂停而不是随机暂停，RO1、RO2和US测量量表内容一致而未严格区分，未系统考虑SSA水平高低对核安全的影响，因此这些需在以后的研究中进一步深入分析，使测量结果更加可靠。

尽管本文通过模拟机实验得到了一些有益的结果，但实验数量有限，需以后进行更多的实验使结果更加客观和可靠。