Технологическая сигнализация — это двоичные признаки, предназначенные для привлечения внимания и информирования операторов о дискретных событиях, происходящих на блоке. Согласно [31], эти события можно разделить на четыре категории:
события, связанные с достижением параметрами (температурой, давлением, уровнем, расходом) аварийных и предупредительных уставов;
события, состоящие в запрете или разрешении определенных действий (переключений, нормального вывода оборудования в ремонт и ввода в работу);
события, состоящие в срабатывании оборудования (срабатывание регуляторов, включение-отключение насосов, закрытие-открытие арматуры, наличие-отсутствие электропитания);
события, связанные с вызовом операторов к панелям, пультам, сборкам иди в помещения, в которых нет постоянного дежурного персонала.
Примерно половину общего объема сигнализации занимают обычно сигналы о событиях первого типа, третью часть - сигналы о событиях второго и третьего типа, 3-5% - сигналы вызова операторов, остальные табло сигнализации (5-10%) монтируются в качестве резервных. На примере энергоблока ВВЭР-1000 Калининской АЭС количественное соотношение сигнализации — 935:586:72:152.
Реакция операторов на сигнализацию различна. Так, появление некоторых сигналов - заранее ожидаемое нормальное явление, не требующее от операторов никаких действий. К таким сигналам относятся информационные сообщения, ложные сигналы и сигналы, спровоцированные действиями ремонтников или штатно протекающими переходными процессами. Другие сигналы игнорируются из-за их малой значимости, либо из- за того, что операторы ничего не могут сделать (например, когда их причина не может ‘быть устранена, пока блок не 'будет остановлен). Наконец, некоторые сигналы инициируют немедленные действия операторов или поиск дополнительной информации, для чего на блок отправляются обходчики или обслуживающий персонал, проводящий дополнительные осмотры и проверки оборудования на месте.
Сигнализация относится к той информации, о которой говорят «хорошая новость — это отсутствие новостей», т.е. ее отсутствие совпадает с образом безопасно работающей станции. Этот тезис положен в основу принципа «черной панели», декларирующего, что сигнализация не должна использоваться для оповещения о нормальной работе объекта, а должна предупреждать операторов о возникновении требующих вмешательства системных или эксплуатационных отклонений, способных оказать негативное воздействие на станцию и персонал. Иначе говоря, панель, информирующая о нормально работающем блоке, не должна содержать никаких ярких, светящихся, мигающих и привлекающих внимание элементов, т.е. быть «черной». Действительно ли это так на современных АЭС? Рассмотрим основные способы представления сигнализации, связанные с ней проблемы и методы их разрешения.
По модальности сигналы можно разделить на световые и звуковые. Звуковые сигналы, как правило, являются вспомогательными, не несут смысловой нагрузки и служат для привлечения внимания к световой сигнализации. В качестве звуковых сигналов обычно используется негромкий звонок, реже - сирена.
Световые сигналы отображаются с помощью табло, подсвечиваемых клавиш и индикационных ламп. Табло являются основным и наиболее распространенным средством отображения тревожной информации. На рис. 4.19 показан фрагмент панели 14- П БЩУ энергоблока с ВВЭР-1000 «малой» серии Калининской АЭС, на котором размещены табло, представляющие собой матрицы сигнальных элементов. Табло сигнализации обычно размещаются в верхней части панели по всему БЩУ.
Другим источником световых сигналов являются клавиши вызова экранных форматов на функциональной клавиатуре АСУ ТП. Клавиши вызова формата, содержащего отклонившийся параметр, подсвечиваются, выполняя роль «групповой» сигнализации. Метод групповой сигнализации [17] предполагает сигнализацию факта отклонения, по крайней мере, одного или нескольких параметров из определенной группы. Оператор, получив такое сообщение, может вызвать на экран требуемый формат, на котором отклонившиеся параметры выделяются цветом и/или миганием.
Индикационные лампы чаще всего встраиваются в показывающие приборы и загораются в случае выхода параметра, отображаемого данным прибором, за уставку. В некоторых случаях вместо индикационных ламп рядом с прибором размещаются 1-3 обычных сигнализационных табло с надписями.
Различаться могут и параметры световых сигналов - яркость, цвет, последовательность загорания и погашения, вид свечения (равномерное или мигающее). Мигающее свечение является наиболее сильным средством привлечения внимания. В зависимости от требуемой реакции оператора, применяются следующие алгоритмы выдачи сигналов:
- сигнал, не требующий непосредственной реакции со стороны оператора, вызывает загорание соответствующего табло, которое гаснет после исчезновения сигнала;
- сигнал, требующий от оператора выполнения некоторых действий, отображается на табло мигающим свечением с переходом на ровное свечение при исчезновении сигнала; гашение ровного свечения производит оператор;
- сигнал, требующий от оператора уведомления о приеме, отображается на табло мигающим свечением с переходом на ровное свечение после съема сигнала оператором; гашение ровного свечения производится после исчезновения сигнала.
Рис. 4.19. Фрагмент типового табло технологической сигнализации (в оригинале надписи выполнены «от руки» шрифтовым пером
Объем сигнализации стандартного БЩУ обычно составляет от 600 до 4 тыс. элементов. Так, расположенные только на панели БЩУ ВВЭР-440 табло сигнализации содержат около 1100 элементов, на БЩУ ВВЭР-1000 - около 1600 элементов, среди которых 730 - по первому контуру, 480 - по второму контуру, остальные — по системам безопасности, спецводоочистки и другим общестанционным системам. Хорошо это или плохо?
С одной стороны, информации никогда не бывает много - вряд ли найдётся оператор, не высказывающий пожелание об установке дополнительных точек сигнализации. С другой стороны, известно, что ЭБ АЭС представляет собой высокосвязную (с большим количеством непосредственных и опосредованных связей различной природы между подсистемами) и высокоскоростную (с малыми периодами технологических циклов - циркуляции воды, пара и других сред) систему. Любые возмущения в такой системе распространяются очень широко и быстро - от нескольких секунд до нескольких минут. Вследствие этого при серьезных инцидентах на АЭС в первые несколько минут инициируются более 100-150 тревожных сигналов. Лавинообразно добавляясь к примерно такому же количеству ранее горевших табло, они не привлекают внимание оператора, как это было задумано при проектировании системы сигнализации, а наоборот, рассеивают его, не позволяя персоналу сконцентрироваться на наиболее важной «критической» информации. В литературе это явление называют «инфляцией сигналов тревоги» (см. [94], т. 4, гл. 11).
Не только лавинообразная последовательность взаимозависимых событий может стать причиной инфляции тревожных сигналов. Не менее важными источниками негативных явлений, связанных с сигнализацией, являются неудачные эргономические решения, контрольно-измерительное оборудование и условия срабатывания сигнализации. Рассмотрим их более подробно.
Эргономика, пожалуй, является первым, наиболее «простым» и явно выраженным фактором, поддающимся сравнительно легкому объяснению и улучшению.
Неудачные эргономические решения для световой сигнализации (рис. 4.19) обычно связаны с: «нечитабельностью» надписей из-за неправильного выбора параметров шрифта, неудачности формулировок, отсутствия выделений семантически значимых элементов, неаккуратного «кустарного» изготовления, применения неподходящих устаревших приборов, материалов или техники изготовления, неэффективной подсветки и т.п.;
неадекватной функциональной и зрительной компоновкой, плохой планировкой элементов внутри табло, наличием «пустых» недействующих (резервных), однако занимающих место и иногда случайно срабатывающих оповестительных элементов.
Звуковая сигнализация также нуждается в эргономической проработке. Известно, что звук в условиях психической напряженности имеет высокую эмоциогенную силу. Поэтому к выбору громкости, тональности и других акустических параметров звуковых сигналов следует подходить очень осторожно.
Однако несмотря на кажущуюся простоту и очевидность, эргономические усовершенствования, направленные на изменение внешнего вида и компоновки сигнализации, непременно потребуют корректировки годами наработанных операторами субъективных зрительных и образных стереотипов, что может повлечь за собой непредсказуемые последствия. Такие усовершенствования должны быть либо чрезвычайно консервативными, либо сопровождаемыми переподготовкой и «привыканием» операторов.
Вторым источником проблем с сигнализацией является контрольно-измерительное оборудование. Отказы датчиков или линий связи, поставляющих исходную для сигнализации информацию, отказы устройств генерации сигнала, отказы ламп или звонка - все это может привести как к ложным срабатываниям, так и к отсутствию сигнала в то время, когда он необходим. Преодоление этой проблемы - чисто технический (хотя и весьма дорогостоящий) вопрос замены устаревшего оборудования на более технологичное и надежное.
Третьей, пожалуй, наиболее сложной в исследовательском плане проблемой, является формулирование условий срабатывания сигнализации. Элементарные условия, описывающие сигнализируемое событие, можно разделить на два типа:
условия, налагаемые на значения дискретных двоичных параметров (включено-выключено, открыто-закрыто, есть-нет и др.);
условия, налагаемые на значения непрерывных технологических параметров (температура, давление, расход и др.) (такие условия называются уставками).
Условия, упомянутые выше, могут с помощью операторов объединяться в логические выражения И/ИЛИ. Рассмотрим несколько примеров, характеризующих формулирование этих условий как весьма проблемную задачу.
Аварийные и предупредительные уставки обычно ориентированы на констатацию уже происшедших событий и являются нечувствительными к большинству процессов, характеризующихся небольшими отклонениями, но являющихся предвестниками серьезных ситуаций. Однако сужение уставочного «коридора» может вызвать срабатывание сигнализации из-за случайных небольших колебаний параметра или погрешности датчиков. Более того, если эти колебания циклические, то они будут сопровождаться еще и непрерывным потоком звуковых сигналов.
Обычно уставки задаются для одного режима работы блока - работы на номинальной мощности. Любое отклонение от него, в том числе и запланированное — обычные переходные процессы, испытания или проверки, вызывает многочисленную сигнализацию, не требующую никакой реакции со стороны операторов. В итоге, некоторые сигналы постоянно горят только из-за того, что блок или оборудование работает не в том режиме, который предполагался первоначально.
Дискретные признаки, такие как срабатывание различных устройств или их переход в нерегламентное состояние, также не всегда свидетельствуют об аварийной ситуации. Они могут быть инициированы штатными действиями ремонтников, обслуживающего персонала или самих операторов.
По оценкам, сделанным в работе [93], доля досаждающих неуместных тревожных сигналов на БЩУ составляет: в номинальном режиме - 3-5%, в пусковых режимах - 15-20% общего объема сигнализации. В качестве одного из способов преодоления этой проблемы на ряде зарубежных АЭС стали применять гибкие системы сигнализации, дающие операторам возможность самим устанавливать и корректировать некоторые уставки. В [139] обсуждается ряд приемов работы с такой сигнализацией, выработанных операторами. Вот три из них.
После превышения параметром верхней уставки операторы увеличивают ее, давая параметру «второй шанс». Если параметр продолжает расти, сигнализация, сопровождаемая звонком, сработает вновь - в ряде случаев это удобнее, чем постоянная проверка параметра для выяснения, растет ли далее его значение.
Иногда операторы используют сигнализацию в качестве «будильника». Выставив уставку на значение, при котором должно быть выполнено определенное действие, операторы ждут, чтобы сработал звуковой сигнал, вместо того, чтобы постоянно проверять по прибору, достигло ли его показание заданной величины.
Операторы также манипулируют уставками некоторых параметров, чтобы компенсировать отсутствие сигнализации по другим параметрам. Это делается путем изменения уставок параметра, коррелирующего с тем, за которым в действительности необходимо следить и регистрировать его нежелательные состояния.
