人的余量：安全人机工程里一个被反复忽略的变量
控制室里的报警声已经响了四十分钟。
屏幕上十七条报警挤在同一屏。两条是真的偏差，十五条来自同一根变送器的抖动。他按了确认键。事后的事故报告里，这个动作被记作未按规定处置报警。
事情到这儿基本就结束了。报告归档，责任人处理，整改措施一栏写上“加强培训”。下一次，同一块屏幕，同一个人，同样的四十分钟。
工厂控制室声光报警面板与密集报警列表实拍
失误率不是一个人的属性
失误率不是一个人的属性
人因可靠性分析里有一类方法，THERP、HEART 都算，做法是把任务拆成动作序列，给每个动作配一个名义失误概率，再乘起来。数字看起来很干净。麻烦在于那是条件概率，而它的条件——时间余量、信息可见性、反馈的即时性——经常在评估时被当成常数，在现场却是变量。
时间余量充足时，熟练操作员的可靠性能高到让工程师放心。余量被压缩到某个位置，可靠性不是线性下滑。它断崖。
所以“加强培训”通常解决不了这类问题。培训提升的是技能上限，不改变带宽。一个人可以在考核里把规程背得一字不差，同时在凌晨三点面对十七条报警时做不出区分。
昼夜节律这件事被低估得厉害。夜班的人不是白班那个人的打折版本，是另一种状态的系统：唤醒水平低，注意力容易卡死，对单调信号的反应时间明显拉长，而且在主观上并不觉得自己变慢。排班表上两行字的改动，对事故率的影响可能大于一次全员培训。这话不好听，但数据一直是这个方向。
界面上的余量才可以被设计
设备不会因为你要求它“提高注意力”就改变，界面会。
人机功能分配是这里的老题目，也是难题。哪些交给机器，哪些留给人，答案不取决于技术能不能做，取决于异常发生时谁还有时间形成判断。控制器与显示器的空间对应关系、报警层级的数量、操作后的反馈在噪音和防护装备下是否仍然可感知——这些细节的累积效应，往往大于操作规程的措辞。
顺便说一句负荷测量。主观量表好用，但容易被事后合理化污染；心率变异性、眼动、皮电能在实验室给出漂亮的曲线，到了现场，个体差异和噪声会把信噪比吃掉大半。这些东西拿来理解趋势可以，拿来考核某个人，就是另一种形式的归因偷懒。
核电厂主控室操作员监视屏与人机界面布置照片
归因的漏斗
归因的漏斗
事故调查有一条隐蔽的漏斗。树状图往上追，追到某个环节就停住了——“操作人员违章操作”。再往上还有组织、排班、采购、变更管理，但那些不好写，写进去意味着责任分摊变复杂，也意味着要动一些不容易动的东西。
把人的失误当成终点，会带来一个副作用：信息开始隐藏。惩罚越重，越少有人报告未遂事件，而未遂事件是现场能拿到的、成本最低的学习材料。
不过这里得设个限。并非所有人因事件都能推给系统设计。确有明知规程而图省事、绕过联锁的行为，把它说成“被系统逼的”同样偷懒。区别在于两个问题：设计是否为违规提供了便利，以及违规发生之后是否存在拦截层。这两个问题的答案都指向设计，不指向道德评判。
自动化把人推到更难的岗位上
自动化把人推到更难的岗位上
自动化悖论说的是这个：常规工况被机器接走，留下的是异常。操作员的角色从持续操作者变成长期监控者，外加偶尔的应急处置者。而长期监控恰恰是人这种系统不擅长的任务形态——警觉性衰减、情境意识丢失、模式混淆。
于是出现一个反直觉的结果：自动化程度提高，不等于人的负担下降，有时只是把负担从体力挪到了判断，而判断这种能力恢复起来更慢。技能退化是慢性的，平时看不见，一旦需要手动接管，退化程度才暴露。
边界在哪？不是“人越少越安全”，也不是所有环节都该保留人工。可计算的部分是：从异常发生到必须处置的时限，与人重新建立情境意识所需的时间，两者之间还有没有余量。没有余量，自动化就是把人放在一个他接不住的位置上，然后再怪他没接住。
几条落地时会撞上的硬约束
时间余量比信息完整更靠前。关键操作的允许响应时间，应当大于人的感知、判断、动作时间之和，再加安全系数。要求三秒内确认六条信息，是设计错误，不是员工不够快。
报警分级要能对应到动作。如果不同级别的报警导向同一个处置动作，那分级就没有意义，只会训练出习惯性确认。人一旦养成闭眼按确认的习惯，再多的报警也只是背景音。
反馈必须在真实工况下可感知。噪音、手套、护目镜、振动，这些不是使用环境的附加项，是设计输入。
疲劳管理属于安全设计。把它放在人事或工会议题里讨论，等于把一个控制变量丢进了无法控制的抽屉。
验证要用全任务模拟。纸面确认与实操表现之间的距离，在应急场景里会被放大。仿真环境里跑通一遍，比会议室里签字确认有用得多。
这些约束都不新鲜。难的是它们在项目进度表上没有位置，在预算科目里没有行号。
安全人机工程真正能做的，也许只是把人从“必须完美”的位置上挪开一点。人总会出错，这个前提不需要论证。设计的目的不是让人不出错，是让人出错之后，还剩一点余地。