核电厂计算机化规程开发的人因工程活动方法研究

余周俊，吴 茜，刘一鸣

（华龙国际核电技术有限公司，北京 100036）

0 引言

计算机化规程系统在核电厂中的应用研究始于1980年代早期，1990年代末期才开始在核电厂主控制室采用电子显示屏显示运行规程[1]。计算机化规程有诸多优势，如计算机化规程能帮助操作员完成信息检索、操作过程监督、规程步骤检查等任务。从人因工程的角度考虑，相比纸质规程，虽然两者在情景意识和工作负荷方面的区别很小[2]，但计算机化规程系统可以显著提高操作员的人员效能，如减少操作时间及降低人为失误率[3,4]。1979年的三里岛事故是一个典型的由于规程和人机界面设计的不足，引发人为失误进而导致严重事故的例子。三里岛事故后，核工业业界开发了许多人机接口和操作员支持系统以减少人为失误。这些事实表明，人为失误对核电厂安全有重大影响，必需设计合理的人机接口和规程来减少人为失误。

人因工程目前已成为核电厂设计和安全评审必不可缺少的内容，被广泛应用于核电厂控制室的设计或重要的控制室设计改进的人机接口设计和验证与确认环节，但不常用于计算机化规程系统的设计，国内核电厂规程类问题占人因因子的比例近几年也在逐年上升[5]。为改善计算机化规程出现的人因工程问题，本文提出了计算机化规程系统开发的一种人因工程活动方法，并对开发过程中主要人因工程活动的应用过程进行说明，最后对各人因工程活动进行了总结。

1 计算机化规程存在的人因问题

随着各核电厂对人因工程的关注度普遍提高，虽然近年来人因事件占总体事件的比例在显著降低，但规程类问题占人因因子的比例却呈上升趋势。以国内某核电厂计算机化事故规程为例，通过开展模拟机复训、经验反馈、功能分析等活动，发现的人因工程类问题包括：

1） 画面设计影响工作效率

画面中的导航链接与操作员要执行的任务无关，而能够为操作员提供便捷的导航链接却没有在画面中添加，操作员需要通过点击多次链接进入目标画面。这不仅增加了画面调取时间，也增加了操作员的认知负荷，影响了工作效率。

2） 人因工程学考虑欠佳

画面中重要的信息、参数、报警没有充分利用颜色、图形、动画等方式以增加操作员的注意；画面布局未充分考虑操作员的视觉监视规律；画面设计未能充分考虑格式塔原理中相似性、接近性、分组、连续性等常用原则的影响。

3） 画面设计与规程功能的匹配性不好

计算机化规程的显示画面上存在多余信息。这些信息对于操作员执行规程功能来说是不必要的，在占用大量画面空间的同时，增加了操作员调取、管理上的工作负荷，且对操作员监视电厂状态存在一定的干扰。

2 计算机化规程开发的人因方法

为改善上文所述的计算机化规程人因工程类问题，需要考虑计算机化规程系统开发过程中的人因工程活动，建立一套有效的方法论和过程，以确保开发的计算机化规程满足人因原则和要求。

计算机化规程系统的开发，团队人员一般包括：具有数字化仪控项目经验的项目经理、仪控工程师、IT工程师、电厂运行专家、规程编写人员及软件开发人员等。电厂运行专家和规程编写人员提出一系列面向用户的需求，所有的需求将形成系统设计规范；仪控工程师和IT工程师搭建计算机化规程的系统架构，并充分考虑电厂仪控系统的优势和限制；软件开发人员在软件开发过程中采用敏捷开发方法，允许团队在早期阶段测试系统并确保产品不会丢失用户想要的需求。开发团队在项目的不同阶段将与电厂运行人员举行会议或研讨会，以获取用户反馈。

人因工程活动将与上述项目管理活动相结合，应用系统流程来记录和解决人因活动或软件开发测试产生的任何问题。计算机化规程系统的开发过程将关注为产品提供价值的人因活动，主要的人因工程活动包括：

1） 运行经验反馈。

2） 功能和任务分析。

3） 设计验证。

4） 集成系统确认。

2.1 运行经验反馈

核电厂的设计应适当考虑以往的运行经验和经验证的研究成果[6]。对核电厂规程的使用情况实施运行经验反馈，可以为计算机化规程系统的设计提供输入，以确保其当前设计避免以往设计中的任何负面特征，同时保留其正面特征[7]。

根据美国核管会（NRC）发布的人因工程评审大纲NUREG-0711，运行经验反馈的来源可包括[7]：

1） 先前电厂和系统。

2） 核工业业界公认的HFE问题。

3） 人机接口技术相关的问题。

4） 电厂人员识别的问题。

5） 重要人员动作相关的问题。

图1是实施运行经验反馈活动的流程。

按照图1描述的方法，根据核电厂运行规程运行经验反馈活动的来源，对搜集、识别、分析的运行规程相关人因工程问题进行了如下总结：

图1 运行经验反馈流程图Fig.1 Flow diagram of the OER（Operating Experience Review）process

a）核工业业界公认的运行规程HFE问题主要针对纸质规程，来源于NUREG/CR-6400及行业公开发表的相关研究[8-10]，部分主要结果见表1。

表1 核工业业界公认的运行规程HFE问题Table 1 Recognized industry HFE issues for procedure

b）人机接口技术相关的运行规程问题来源于国内已运行的核电机组，部分主要结果见表2。

表2 人机接口技术相关的运行规程问题Table 2 Related HIS（Human-Machine Interfaces）technology issues for procedure

2.2 功能和任务分析

计算机化规程系统功能和任务分析的目的是：通过识别和分析操作员及电厂其他人员使用运行规程时所需执行的功能和任务，确定计算机化规程系统的各项设计需求。

通过识别与分析，计算机化规程系统的通用功能包括：

1） 按照规程执行操作。

2） 监视电厂和系统的状态。

3） 监督上述两项通用功能。

4） 识别、实施、准许规程的修改及新规程的添加。

5） 规程的分配及存档。

根据以上通用功能涉及到的电厂人员（主控制室操作员、管理人员等）的不同角色，将通用功能划分为更详细的子功能。各子功能经识别和分析后，可得出各电厂人员完成分配给其功能所需执行的特定任务。这些特定任务将进一步形成计算机化规程具体的设计需求。功能和任务分析可确保在计算机化规程的设计过程中，将功能和任务需求转化为计算机化规程的系统特征。图2详细展示了计算机化规程设计需求开发的流程。

图2 计算机化规程设计需求流程图Fig.2 Specific requirements generation process for CPS

功能和任务分析的结果将为计算机化规程的设计需求奠定基础。表3列举了功能和任务分析所识别出的部分特定任务，以及如何将这些任务转化为计算机化规程系统的设计需求。

表3 任务分析转化为计算机化规程系统设计需求的例子Table 3 Example of design requirements for CPS driven from the task analysis

2.3 设计验证

对计算机化规程系统进行设计验证的目的是：确保其满足NUREG-0700（Rev.2）中规定的人因工程导则。

实施计算机化规程设计验证的流程如下：

1） 筛选适用的人因工程导则

NUREG-0700中的人机接口设计审查导则可分为4个部分，13个章节[11]，用于人机接口设计验证的人因工程导则有很多条，但并不是所有的导则都适用于计算机化规程。因此，进行设计验证前，需要首先从中挑选出合适计算机化规程设计验证的章节，并从相关章节的具体导则中筛选出一份检查清单，以提高设计验证人员的工作效率。针对计算机化规程，表4中NUREG-0700的第1、2、7、8章适用于其人机接口的人因设计验证。

表4 计算机化规程设计验证适用的人因工程导则Table 4 Applicable HFE guidelines for CPS design verification

2）执行设计验证

根据形成的检查清单，验证计算机化规程的人机界面是否符合人因工程导则的要求，评估验证结果是否满足用户的设计需求。验证结果需使用检查清单（图3）进行记录，对验证结果的分类及说明见表5。

表5 计算化规程设计验证的结果分类及说明Table 5 Classification and interpretation for the results of CPS DV（Design Verification）

图3 计算机化规程设计验证检查清单Fig.3 DV（Design Verification）checklist for CPS

3）管理人因不符合项

对于验证过程中发现的不满足项，需要形成人因不符合项（HED，Human Engineering Discrepancy），并通过记录、评估和处理、结果确认等过程进行管理。其目的是为了：①确定HED是否需要修正；②确定必须纠正的HED的解决方案；③确定HED解决方案已经实施。计算机化规程人机界面设计验证的HED表单如图4。

图4 计算机化规程设计验证HED表单Fig.4 HED form for CPS

2.4 集成系统确认

人因工程集成系统确认是人因验证与确认的重要组成部分，可以综合性地检验核电厂控制室系统的人因工程设计，支持对HSI设计、培训、规程开发进行有效评估，从而确保核电厂安全有效地运行[12]。因此，对计算机化规程系统进行该项活动，可以确认计算机化规程系统的人机界面是否能够支持操作员正确地执行操作规程，以最大程度地减少人为失误的可能性，提高人员效能，从而为电厂的安全运行做出贡献。

为分析和评估计算机化规程系统上述所要实现的目标，需要独立于设计的确认团队在全范围模拟机平台上收集适当的数据。表6是执行计算机化规程系统人因工程集成系统确认时，需要收集的数据。

表6 执行计算机化规程系统集成系统确认时需收集的数据Table 6 Data collected during the execution of the CPS ISV（Integrated System Validation）

3 结果分析

相关分析结果基于各人因工程活动，更重要的是，通过对人因工程各项活动的分析，将对计算机化规程系统设计规范中的各项需求产生更深的理解。

1） 运行经验反馈的结果基于核电厂以往使用运行规程所发现的问题，为计算机化规程系统提供关键的设计特征。

2） 功能和任务分析识别出计算机化规程系统的所有相关人员，提出大量新的设计需求，并可在早期的概念设计阶段集成软件和网络安全的需求。

3） 设计验证开发出的计算机化规程系统与具体的人因工程导则具一致性，以确保其设计是合适的。实际上，在计算机化规程系统的设计规范制定前就会考虑人因工程导则，而且会对设计规范与人因工程导则做一致性分析。

4） 当计算机化规程系统完成最终的设计开发并经验证后，集成系统确认将确保其人机接口的设计及其在控制室的实施允许操作员成功地执行分配给他们的任务。

4 结语

本文提出了计算机化规程系统开发的一种人因工程活动方法，建立了运行经验反馈、功能和任务分析、设计验证、验证与确认等关键人因工程活动的应用方法和过程，以确保开发的计算机化规程系统满足人因原则和要求。该人因工程活动方法对核电厂计算机化规程系统的开发具有一定参考意义。