Erros de conceção de HMI: 10 falhas comuns e como corrigi-las

A maioria dos ecrãs HMI fracos falha das mesmas dez maneiras: excesso de cor, ecrãs que copiam o P&ID, gráficos 3D, texto que ninguém consegue ler a partir do painel, um estado «sem feedback» que não existe, alarmes sem prioridade, decoração que se mexe, navegação demasiado profunda, o mesmo objeto desenhado de forma diferente em cada ecrã e intertravamentos que o operador não vê. Nenhum precisa de software novo para ser corrigido. Cada um tem uma causa simples e um remédio simples, descritos abaixo com o guia que aprofunda o tema.

Os dez erros num relance

Cada linha é explicada mais abaixo. A coluna da direita dá a correção numa linha e o guia que trata o tema em profundidade.

Cor e gráficos (erros 1 a 4)

Estes quatro dizem respeito ao que o olho tem de filtrar antes de conseguir ler o ecrã. O desenho mostra duas vezes os mesmos equipamentos e os mesmos valores.

1. Excesso de cor

Porque falha. Se uma bomba é azul porque é uma bomba e um depósito é amarelo porque contém produto, a cor não transmite informação. Quando algo corre mesmo mal, o vermelho tem de competir com tudo o resto no ecrã, e os operadores aprendem a ignorar a cor.

O que fazer. Desenha todos os equipamentos, tubagens e etiquetas em cinzentos. Reserva a cor para o que muda: em marcha, sem feedback, manual, falha e prioridade de alarme, com um único significado fixo por cor em todo o projeto. O guia da paleta tranquila traz os valores.

2. Ecrãs que copiam o P&ID

Porque falha. Um P&ID documenta o processo para engenheiros: cada linha, válvula manual, purga, respiro e instrumento. Um ecrã de operador tem de responder a «o que se está a passar e o que posso fazer?». Se pões o desenho inteiro num ecrã, nada se destaca, o texto encolhe e a única maneira de encontrar um objeto é saber onde o engenheiro o desenhou.

O que fazer. Dá a cada ecrã uma só função. Mostra o fluxo principal, os equipamentos que o operador arranca, para ou vigia, e os poucos valores que importam. Deixa as válvulas manuais, as purgas e os instrumentos de reserva no P&ID e mantém as tags idênticas às do desenho para se poder cruzar a informação. O guia da hierarquia de ecrãs descreve os níveis, e símbolos de HMI explica porque um símbolo de HMI não é um símbolo de P&ID.

3. 3D, gradientes e fotorrealismo

Porque falha. Sombreados, biséis e depósitos renderizados acrescentam formas que o olho tem de ignorar antes de ler a que importa. Gastam ainda cor em decoração e ficam datados em poucos anos, ao contrário dos preenchimentos planos.

O que fazer. Usa contornos planos, a duas dimensões, com preenchimento liso. Se um cliente pedir uma vista geral realista, mantém-na fora dos ecrãs de trabalho do operador.

4. Texto demasiado pequeno para a distância

Porque falha. Os ecrãs desenham-se numa secretária e usam-se num painel, de pé, muitas vezes com luvas e pouca luz. O texto que se lê bem a 60 cm é uma mancha a 2 m, e um botão fácil de acertar com o rato é difícil de acertar com o dedo.

O que fazer. Não desças dos 14 px no texto corrente, usa texto maior para o que o operador tem de ler de relance e confirma com o tamanho real do píxel e a distância de visualização reais do painel, não com o monitor em que desenhas. Deixa um espaço entre botões que fazem coisas diferentes. A tabela de tamanhos está no guia da hierarquia de ecrãs.

Estado e alarmes (erros 5 a 7)

Estes três dizem respeito ao que o ecrã diz quando algo não está normal, que é o momento em que mais importa.

5. Sem estado «sem feedback»

Porque falha. Se o ecrã só segue o comando, um motor a que se mandou arrancar e que nunca confirmou a marcha parece exatamente um motor em marcha. O operador acredita que o processo avança quando não avança, ou o contrário.

O que fazer. Compara o comando com o feedback e dá à discrepância o seu próprio estado, amarelo na paleta tranquila. O símbolo mostra o que o equipamento está a fazer, não o que alguém lhe pediu. O guia dos 9 estados de motor lista os nove estados e o mapeamento para o PLC.

6. Alarmes sem prioridade

Porque falha. Se todos os alarmes parecem iguais, ou quase todos são vermelhos, o operador não sabe qual tratar primeiro. Uma lista em que tudo é crítico não transmite informação, e é muitas vezes sinal de que os alarmes nunca foram racionalizados.

O que fazer. Decide primeiro as prioridades (consequência e tempo de resposta) e atribui a cada uma uma cor e um segundo sinal, como o número no badge. Põe o badge sobre o equipamento e mantém visível por baixo o estado do próprio equipamento. Gestão de alarmes trata as prioridades e o ciclo de vida da ISA-18.2.

7. Animação decorativa

Porque falha. Ventoinhas que rodam, tubagens com fluxo animado e etiquetas intermitentes gastam a atenção do operador em coisas que não a pedem. Se metade do ecrã se mexe, uma alteração real passa despercebida, e o piscar é o sinal mais forte que um ecrã tem.

O que fazer. Anima só quando o movimento traz informação, por exemplo um alarme novo que ninguém reconheceu ou um motor que está a arrancar. Escreve no guia de estilo a lista dos significados animados e mantém-na curta. Tudo o resto fica parado. O guia da paleta tranquila trata o piscar permanente.

Estrutura e coerência (erros 8 a 10)

Estes três dizem respeito a como os ecrãs se encaixam uns nos outros, e são os que pioram à medida que o projeto cresce.

8. Navegação demasiado profunda

Porque falha. Se chegar à bomba que está em alarme custa cinco cliques por menus, cada clique a mais custa tempo precisamente quando não há tempo a perder. Um caminho difícil de memorizar é um caminho que ninguém percorre.

O que fazer. Aponta a dois cliques até ao que importa. Põe a navegação numa zona fixa, mostra sempre em que ecrã estás, evita becos sem saída e não navegues a partir de dentro de popups. Consulta o guia da hierarquia de ecrãs.

9. Mesmo objeto, aspetos diferentes

Porque falha. Se um ecrã desenha a bomba como um círculo e o seguinte como uma fotografia, ou uma unidade usa o verde para «em marcha» e outra para «disponível», o operador tem de reaprender cada ecrã. Cores diferentes para o mesmo significado é a versão perigosa.

O que fazer. Mantém um único conjunto de símbolos e um único faceplate por tipo de objeto, construídos com modelos e não com cópias, para que uma alteração se faça num só sítio. O guia de conceção de faceplates mostra a disposição, e o Symbol Builder exporta uma imagem por estado a partir de um só desenho.

10. Intertravamentos que o operador não vê

Porque falha. Um botão de Arranque que não faz nada e não dá explicação é o pior beco sem saída. O operador carrega outra vez e depois vai procurar a causa ao campo ou ao programa do PLC. O motivo é quase sempre um permissivo em falta, que o PLC conhece e o ecrã esconde.

O que fazer. Mostra os permissivos junto ao comando, cada um com o seu estado, e põe o botão a cinzento enquanto estiver bloqueado. Assim o operador vê ao mesmo tempo o estado e o motivo. A disposição está no guia de conceção de faceplates.

De onde vêm os erros

Raramente são descuidos. Quatro hábitos produzem a maioria:

• Começar pelo P&ID. Copiar o desenho é a maneira mais rápida de ter um primeiro ecrã e a mais lenta de ter um utilizável (erros 2, 4 e 8).
• Desenhar sem guia de estilo. Se paleta, tamanhos, símbolos e regras de animação não estiverem escritos antes do primeiro ecrã, cada ecrã inventa os seus (erros 1, 7 e 9).
• Rever na secretária. Um ecrã parece bem no monitor de quem o desenhou. Tem de ser avaliado à distância do painel e por alguém que não estava presente quando foi desenhado (erros 3, 4 e 10).
• Deixar os estados anormais para o fim. O ecrã normal leva toda a atenção; o «sem feedback» e a prioridade do alarme são acrescentados depois, ou nunca (erros 5 e 6).

O remédio para os quatro é o mesmo: escrever um guia de estilo de HMI curto antes de desenhar e rever com base nele. O guia da ISA-101 explica como a norma o enquadra, e ISA-101 vs ISA-18.2 vs ISA-5.1 mostra onde se encaixam à volta as normas de alarmes e de instrumentação.

Uma revisão de 15 minutos para qualquer HMI

Faz-a num simulador ou numa bancada de testes, nunca forçando sinais numa instalação em funcionamento.

1. Teste de semicerrar os olhos. Afasta-te e semicerra os olhos diante de cada ecrã. O olho cai sobre a única coisa que é anormal? Se não, vê os erros 1, 2 e 7.
2. Conta as cores. Lista todas as cores usadas em operação normal. O que passar do cinzento e do estado em marcha é candidato a sair.
3. Teste de distância. Olha para o ecrã à distância real do operador. Lêem-se as tags e os valores? Acertarias no botão mais pequeno com um dedo de luva?
4. Percurso de falhas. Pega num motor e faz com que pare, perca o feedback e dispare o relé térmico. Cada caso tem um aspeto diferente no ecrã?
5. Percurso de alarmes. Gera um alarme de cada prioridade. Distinguem-se sem depender só da cor e o estado do equipamento continua visível?
6. Contagem de cliques. A partir da vista geral, conta os cliques até três equipamentos ao acaso. Mais de dois merece correção.
7. Verificação de coerência. Abre o mesmo tipo de objeto em três sítios. Mesmo símbolo, mesmo faceplate, mesmas cores?
8. Verificação de comandos bloqueados. Procura um comando bloqueado neste momento. Consegues saber porquê sem sair do ecrã?

Perguntas frequentes

Continua a ler

• A paleta de cores tranquila para HMI — o que a cor significa e os antipadrões que a estragam.
• Hierarquia de ecrãs de HMI — níveis de visualização, navegação e tamanho do texto.
• Os 9 estados de motor que toda a HMI deve mostrar — incluindo o «sem feedback».
• Gestão de alarmes — as prioridades e como mostrá-las no ecrã.
• Conceção de faceplates de HMI — objetos coerentes e intertravamentos visíveis.
• ISA-101 vs ISA-18.2 vs ISA-5.1 — que norma responde a que pergunta.
• Pergunta à comunidade — um ecrã de HMI sobre o qual queres uma segunda opinião.