主题：【原创】工业控制的人机界面设计（上） -- 晨枫

Honeywell是一个很大的公司，不同的人从不同的角度了解Honeywell。Honeywell由三个大的部分组成：建筑空调，航空电子，工业自动化。关注家居的人们对Honeywell的暖风、空调控制比较熟悉，军迷们对Honeywell的飞行控制和玻璃座舱比较熟悉，但Honeywell的工业控制是很大的一块，从变送器到所谓集散控制系统（Distributed Control System，简称DCS）都做。航空领域在很多方面是技术的先导，在控制系统显示上也不例外。飞行员在遇到紧急情况的时候，有大量的信息需要处理，需要及时反应，否则飞机就可能掉下去。现代大型化工厂也面临同样的问题，对紧急情况处理不及的话，事故就可能发生，并迅速升级到不可收拾的程度。大型化工厂的恶性事故的后果绝对不比掉下一架飞机小。Honeywell在航空电子方面的经验使Honeywell在工业控制软环境设计方面具有独特的优势，从90年代开始，Honeywell借贯通航空电子和工业控制的优势，组织了一个“异常情况管理”（Abnormal Situation Management Consortium，简称ASM）的松散研究组织，专门研究控制系统MMI的问题。ASM通过对人机心理和工控环境的研究，发表了一系列MMI的设计原则，其中显示系统的色彩和画面设置是一个重要内容。

ASM的研究结果表明，斑斓的色彩和眩目的图形设计是工业控制的大敌。在天下太平的时候，这可能使画面看起来很有趣。但在紧急情况发生时，真正的警报信息可能就淹没在斑斓和眩目之中。事实上，航空界很早就开始向这个方向转移了。飞机座舱里除了各种仪表和开关外，指示灯也越来越多，提醒飞行员各个系统的工作情况和任何异常。习惯上，如果一个系统在运转，和这个系统相应的指示灯就是亮的；一旦系统停转，指示灯相应熄灭。以后开始用不同颜色区分不同的状态，绿色表示正常，红色表示故障，有时候还加上黄色，表示异常但还不到故障的地步。随着系统复杂程度迅速提高，座舱内很快就变成了灯的海洋，在工业界就被戏称为“圣诞树”。有些系统在正常的时候并不需要工作，或者只有在某种模式下才需要工作，比如起落架，着陆的时候不能放下起落架是要命的事，但在飞行的时候就不需要放下。如果不分状态，简单化以下，只能取保险的状态，也就是放下了是正常，不放下就是不正常。这样一来，起落架的指示灯倒有大半时间是红的。这样的系统多了，灯海里红的、绿的就不再容易分辨到底谁是真故障，谁是真正常。空客在设计A300的时候，就开始采用所谓的“暗舱”原则，正常的系统指示灯根本不亮，只有不正常的系统指示灯才亮，这样一下子就抓住飞行员的注意力，一边及时处理问题。

ASM将这个“暗舱”原则应用的工业过程控制人机界面设计中，也只着重显示异常系统。从这个原则出发，工控画面设计有几个原则：

1、背景使用最枯燥乏味的浅灰色或其他所谓的“中和色”

2、所有设备、管线、字符和静态画面元素使用中灰色，和背景有足够反差就够了，不用过于醒目，不必要地争夺注意力

3、尽量使用指针、水银柱等模拟式显示，降低对数字的依赖

4、只有动态数据、指针、水银柱采用较深的灰色

5、避免一切不必要的、纯粹为了好看的图形细节，比如三维的容器、渐变色、旋转的风扇叶片等

6、色彩只用于警告显示，红、黄、蓝或其他颜色只用于表示警告等级，不用于任何其他用处

7、设备的正常启动、停止不是警报，不用色彩表示，最多再深灰和浅灰之间切换，以避免和真正的警报混淆

使用这样的“暗舱”原则设计的工控画面在正常的时候是很乏味的一片灰色，但一旦出现异常，那几点“万绿丛中一点红”非常醒目，马上就抓住操作工的注意力，有利于得到及时处理。

由于这个设计原则和传统的工控画面太不相同，一开始实施的时候受到操作工的强烈反对，特别是有经验的老工人，最大的反对理由是：

1、传统的黑背景、彩色线条和色块更加醒目

2、传统的用颜色区分设备和状态更加醒目

实际上，这种传统恰好是ASM要根治的。黑背景是有原因的。过去显示技术不发达，色彩少，亮度低，反差不足，只好用黑色作背景，增加反差，增加可读性。这在早年的文字处理和DOS环境也是一样，WordStar就是黑底绿字，DOS到现在还是黑底白字。随着显示技术的进步，人们开始用浅色背景和深色字符，因为这样对眼睛比较舒服，可以长时间阅读。现在的文字处理或一般软件等已经基本看不到黑底白字了，个别网页依然用黑底白字（绿字、黄子、红字），阅览的人要不了多久就眼睛很不舒服，感到刺眼了。工控显示是一样的道理，除了习惯，没有理由采用黑底白字。事实上，采用浅色背景还有利于消除灯光或环境光线在屏幕上的反光，有利于增大室内光亮。人都喜欢在明亮的环境工作，昏暗的环境使人昏昏欲睡。采用浅色背景可以大大提高控制室内的明亮度。

用颜色区分设备和状态增加了很多并不提供额外信息的静态信息，等真正需要抓住操作工的警告色出现的时候，容易淹没在五颜六色之中，不利于及时发现和处理异常情况。

使用高亮度的浅色背景当然也是有代价的，代价就是显示器的寿命将要缩短，可能从一两年缩短到6-10个月。现在20英寸LCD显示器才200-300美元，这点代价对工业界来说微不足道。

在使用直观手段显示数据方面，ASM鼓励使用图形，包括一些平时不大常用的图形。人眼对数字的变化不敏感，但对于图形模式的变化很敏感。这就是人眼为什么容易识破伪装的道理，也是ASM鼓励使用图形而不是数字显示的道理。一个大型装置有成千上万个测量点，其中蕴涵了装置的健康状态和产能信息，在一个画面统统显示出来既不可能，也造成不可想像的信息过载（information overload）。有时有那么十几个实际过程参数可以直接表征装置的基本状态，有时需要通过PLS等数学方法将大量相关的信息提炼、浓缩成十几个“合成参数”用来检测。如果对这些关键参数进行标称化（normalization），叶就是除以正常值，这样正常的时候，标称化后的参数值就是1，小于1或大于1都是不正常的。这样的十几个参数可以用条形图表示，正常的时候是平顶的，哪一个太高或太低很容易看出来。但更有效的表示方法是用所谓的“蜘蛛网图”或极坐标图，每一条放射线代表一个标称化了的参数，正常的时候蜘蛛网是近乎圆的，一变形就代表出了问题，甚至还没有到告警的程度，就很容易抓住操作工的注意力。

解决了色彩的问题，下一个就是画面布局和联系的问题。这里有两个问题：

1、解决“隧道视野”的问题

2、解决画面切换的导航问题

ASM用一个全新的多层画面结构同时解决了这两个问题。这是一个通过视窗环境实现的多窗口显示体系在一个显示屏上同时显示4个窗口，每一个窗口有固定的位置、大小和功能。具体来说，两大主要显示左为系统级（相当于车间级）显示，比如化工厂的反应器系统、精馏塔系统等，右为单元设备级（相当于工段级），比如反应器系统里的进料泵和阀，精馏塔系统里的某一个塔及其附属设备。这两级显示以图形和字符为主，两级之间的关系犹如文件系统的目录树，系统级当然是根目录，单元装置级当然是子目录。图形表示设备和管线及其状态，字符表示具体数值和设备标号。为了避免画面过于拥挤，很多控制系统的状态参数（如手动/自动，初始化状态，设定值、过程测量值、控制输出等）不在主要画面上显示，但另外有所谓的“成组显示”（group display）专门显示若干相关的控制和监测回路的具体信息，如上述状态参数。这些成组显示也属于上述树结构，挂在单元装置级显示的下一层。但具体到每一个控制和监测回路，还有更多的具体信息，如控制律参数整定（还记得PID控制吗？）警告限、具体的回路组态等，这就需要另一个单回路显示（detail display）。点击任一画面上的任一控制或监测回路，这个回路的具体信息就在单回路显示里显示出来。成组显示和单回路显示以字符为主，没有多少图形。单回路显示有自己的专用记录仪显示，用于观察控制回路对设定值、测量值、控制输出的响应。另外还有一个公用的多笔记录仪显示，供操作工按需要增减记录参数。

各级显示画面上像Excel的spreadsheet一样，有一系列tab，每一个tab表明代表一个系统或单元装置，点击tab就自动调用相应的画面，点击系统级的tab连单元装置级的画面一起更新，单元装置级画面更新导致成组显示也更新，就像在文件系统里点击不同的层次的目录名一样。这从根本上解决了画面之间的导航问题。Tab还有另外一个作用：这个tab属下的回路中有进入警报状态的话，tab按警报等级自动改变颜色，操作工可以很直观地一下子就看到哪里出了问题，好及时处理。单回路显示没有tab，由点击别的画面来更新，或者手工输入回路名调用。

所有窗口的大小、功能和位置是固定的，这是为了在不同的班组之间避免混乱。一般避免使用弹出窗口，这是为了避免对重要信息的遮盖，如果经常需要移动弹出的窗口，一是增加不必要的麻烦，二是容易在紧张关头误事。

除了上述四窗口画面，还有一个分厂级的显示。这是一个操作工可以有效监控的最大范围了，更大的范围可能就力不能及了。这个显示不用于直接控制具体回路，只用于监视整体工况。和分厂级显示并行的是警报显示和重要记录显示（trends），用于把握大的动向。

这样的分级显示结构可以从分厂级到系统级到具体参数一目了然，窗口之间的逻辑关系十分清晰。所以控制台（control console）上，有多个控制站（control work station），一个控制站用于分厂级显示和警报显示，其它控制站分别就是这样一组四个窗口，几个控制站就可以监控一个分厂，两三个控制台就可以控制一个规模相当大的工厂。

就具体画面设计而言，分辨率和字符大小是很关键的。分辨率当然是越高越好，但字符就不是越小越好了。高分辨率容许减小字符尺寸，但以清晰可辨为度，而且要在一定的距离上清晰可辨。所以实际分辨率高到一定程度就不再有效果了。另一个是显示屏尺寸，当然也是越大越好，但在分辨率没有提高的情况下，增大显示屏只增加字符大小，并不能增加字符密度。另一方面，操作工的视野时有限的，很大但信息量并没有增加的显示屏徒然增加操作工扫视的距离和范围，因此也不是简单地越大越好。为了增加显示密度，显示屏可以上下两层叠起来，但要注意避免过分抬头，那样增加操作工颈部疲劳。较好的布置是下层在水平视线略下，可以不转动颈部就扫视全部；上层只须略微抬头，就可扫视全部。这个要求也限制了显示屏大小的选择。

工业控制人机界面从来不是一个单纯的软件问题，在办公室网络早已进入视窗时代时，工控的视窗环境不仅姗姗来迟，还拖着一大堆历史包袱。自从PC时代开始以来，办公室网络就是开放系统，系统更新的硬件软件当然有相当的成本，但和工业控制系统还是不能相提并论，加一块插板而可以和DCS通信的PC的价格高达四五万美元，插板之外的PC几乎可以白送。部分由于成本的原因，部分由于可靠性的原因，工业控制计算机系统经常在底层维持现有的硬件和软件，视窗环境和PC只是架在现有环境上的人机接口和网络接口，并部分承担一些计算任务。这就构成了混合系统：WINTEL（Windows和Intel的合称）的上层加工控专用底层，后者还常常是封闭系统，是厂家特有的，基本技术可以回溯到70-80年代。这些“老旧技术”装置在功能上十分可靠，人们对它们的性格也是熟门熟路，要在可靠性和性能价格比上全面超过它们很难，要全面取代它们在工业界有很大的阻力。然而，视窗环境的大量使用，对这些老旧技术装置带来了很大的挑战，其中最大的挑战是系统带宽。在Eithernet时代，100MBPS不是什么了不起的速度，但这些老式装置的带宽只有4MBPS，而且是专用通信协议，和开放系统并不相容。随着显示密度越来越高，先进控制系统的横向通信量越来越大，系统带宽成为越来越严重的瓶颈。这是系统进行结构性升级的一个重要动力，全面采用开放标准的Eithernet。不过这是说着容易做起来难，要做这样大规模的升级，整个工厂必须停工很长时间，在新系统上重新启动肯定会碰到大大小小的问题，所以实际升级成本不光是硬件、软件和人工，还要包括工厂的停工损失。

工业控制的人机界面设计是一个很不简单的问题。在视窗环境提供强大显示功能和人们对五色缤纷的软件环境习以为常的时候，要特别注意抵抗将工控MMI设计成游戏机界面的诱惑。工控MMI的第一任务是迅速、有效地引导操作工的注意力，使操作工可以有条不紊地按优先次序，及时处理最大量的问题。美观、有趣反而常常会不必要地在最不合时宜的时候分散操作工的注意力。

=======================

人机界面设计应该贴很多图的，但这离实际工作太近，不敢贴，只好“口说无凭”将就吧。还请原谅。