Человеческий фактор. Том 4 - Сальвенди Г.
ISBN 5-03-001814-Х
Скачать (прямая ссылка):
Исследователи заметили, что одним из источников этих трудностей является «инфляция сигналов тревоги», т. е. большое количество тревожных сообщений, которые могут поступать одновременно. Инфляция сигналов тревоги характерна для случаев, когда: 1) оператор не может выделить наиболее важный сигнал тревоги при возможном большом количестве поступающих одновременно менее важных сообщений (высокий
Роль ЧФ в управлении атомными ЭУ
46$
уровень шума данных); 2) оператор не может на основании разнородных тревожных сообщений низкого уровня выработать точную оценку более высокого уровня для режима, действительно отклоняющегося от нормального.
Другой тесно связанный с первым источник трудностей — ложные сигналы тревоги, т. е. тревожные сообщения, которые не связаны с ненормальным режимом работы станции, по крайней мере для текущего состояния [85]:
«Операторы на всех станциях жаловались на большое количество ложных сигналов тревоги. Причины их появления были разными. На одной станции имелось «пустое», предположительно недействующее оповестительное устройство, которое случайно давало сигнал тревоги. Персонал, занимавшийся техническим обслуживанием н эксплуатацией станции, не мог определить его причину, но в каждом из таких случаев от персонала требовались усилия по распознаванию, заглушению сигнала и повторному включению сигнализации. Во многих случаях контрольные точки системы тревожной сигнализации, как было известно операторам, были слишком чувствительны к обычным переходным процессам. Вследствие этого небольшие отклонения от режима или переходные процессы, которые считались нормальными, включали систему тревожной сигнализации и создавали напряжение, хотя и не требовали никаких действий. Операции по техническому обслуживанию или калибровке систем часто приводили к возникновению ложных сигналов тревоги. Частые ложные сигналы тревоги притупляют бдительность операторов и снижают доверие к системе. Нередко операторы при таких сигналах сохраняли полное спокойствие и быстро распознавали их причины без лишних хлопот».
Связь одного тревожного сообщения с различными эксплуатационными ситуациями является одной из основных причин ложных сигналов, т. е. сообщения указывают на отклонения режима от нормального в одном контексте, но для других ситуаций то же самое состояние станции считается нормальным.
Третьим источником инфляции сигналов тревоги являются сигналы, которые реально регистрируют исполнение команды (например, на включение или выключение клапана). Часто сообщения о состоянии системы связаны с автоматическими изменениями ее состояния. Эти сообщения дают операторам очень полезные данные [48], например, потому, что они расширяют поле зрения или дают информацию об общем состоянии станции, и потому, что операторы нуждаются в подтверждении правильности реализующихся автоматических изменений состояния системы. Однако эти сообщения о состоянии системы не являются аварийными, если сам режим соответствует норме
464 Глава 11
(например, насос А выключен, но включается после поступления сигнала безопасности).
Выше было дано классическое описание проблемы тревожной сигнализации [83]. Однако ее можно также рассматривать как частный случай проблемы значимости данных [115]; действительно, чаще приходится иметь дело с избытком сообщений, чем с их недостатком.
Проблема значимости данных в рассматриваемом случае сводится к неспособности оператора обнаружить, обобщить и интерпретировать «правильные» данные в «нужный» момент времени (например, критическая информация не выделяется из информационного потока или не извлекается из данных, распределенных во времени или пространстве, или не наблюдается из-за неправильного понимания или ошибочных предположений). Эта проблема возникает в ситуациях, когда нужно обрабатывать большое количество потенциально полезных данных, чтобы обнаружить значимую для данного случая совокупность данных. Другими словами, большинство проблем обработки информации возникает опять-таки не из-за недостатка данных, а скорее из-за их избытка.
Эксплуатационный персонал в условиях динамического процесса должен выявлять и оценивать информацию и производить определенные ответные действия в случае ненормального режима. Эта задача обычно усложняется, поскольку:
1) значение конкретного сигнала тревоги зависит от ситуации (например, от режима работы станции, предыстории сообщения типа того, что было зарегистрировано на втором блоке Тримайл-Айлендской АЭС при утечке через дренажно-предохранительный клапан, и состояния других сообщений); 2) для оценки состояния процесса должны быть выбраны и обобщены отдельные сигналы тревоги, поскольку каждое сообщение является лишь частичным и косвенным указанием на отклонение режима от нормального (например, уровень воды в компенсаторе объема, меньший 17 %, является лишь одним из параметров, характеризующих ненормальную работу первичного контура). Это означает, что единичное возмущение может инициировать большое число сигналов «тревоги» и что данный сигнал может быть вызван многими возмущениями. Важным моментом проектирования системы тревожной сигнализации является разграничение между имеющимися данными и значением информации, которую оператор извлекает из этих данных (Смит [93], с. 296—297):
