面向 HMI 工程师的报警管理

你可以画出世界上最平静、最符合标准的操作员画面，但如果底下的报警系统是坏的，它照样会失败。画面上的颜色纪律和逻辑中的报警纪律，是同一个项目的两端——而大多数工厂只做了前一半。

本指南讲的是报警这一半。它写给构建 HMI 的人，而不是过程安全部门：报警管理究竟对你有什么要求，哪些决定必须在你动笔画任何东西之前做出，以及报警优先级究竟该如何出现在画面上。

1. 失效模式：没人设计过报警

报警是控制系统中几乎从未被设计过的部分。符号会被评审。画面布局会被评审。报警则是被加上去的——一次一个，经年累月，由那周恰好在现场的人添加，通常是为了回应一次没人想重演的事故。

结果可以预见，而且跨行业惊人地一致：

• 报警泛滥。一次扰动触发一个报警，继而触发十二个连带报警，操作员来不及读完，更无法对其中任何一个采取行动。
• 长期挂起的报警。已经活动了数周的报警，因为状况是真实的，但没人能修。它们永久占据汇总列表，操作员学会了直接滚过去。
• 抖动报警。一个信号停在阈值附近，每小时产生数百次跳变。每一次都是噪声。
• 不是报警的报警。“3 号泵已启动。”没有任何异常；也没有任何事要做。这是一个事件，却被记录为报警，争夺同样的注意力。

衡量健康程度的常用指标是每位操作员的报警率。被广泛引用的 EEMUA 191 基准把大约每位操作员每天 150 条报警（约每小时六条）视为稳定运行中可管理的上限，“很可能可接受”的目标接近每十分钟一条，而扰动后十分钟内的硬性上限约为十条。大多数第一次自我测量的既有工厂发现自己的报警率是这个数字的好几倍。

把这些数字当作温度计，而不是设计目标。如果你的报警率是每天 2,000 条，问题不在于你需要删掉 1,850 条报警——而在于从来没人决定过，这座工厂里的报警是用来干什么的。

2. 能解决大部分问题的一条规则

ISA-18.2 把报警定义为一种可听或可见的手段，用于指示需要响应的设备故障、过程偏差或异常状况。“需要响应”这四个字承载了整份标准。

所以对每一个候选报警的检验只有一个问题，而且不是技术问题：

操作员应该对它做什么，他们有多长时间？

如果没有答案——没有动作，或者没人来得及执行的动作，或者本来就会自动发生的动作——那它就不是报警。它可以是一条日志、一条趋势、一张维护工单，或画面上的一个状态指示。这些都有用。但没有一个应该发出声音或占据报警横幅。

仅仅应用这条规则，不借助任何工具，通常就能去掉遗留报警清单的一大部分。也正是这条规则让 HMI 设计变得可行：留下来的报警足够少，可以在画面上诚实地表示。

3. ISA-18.2 生命周期，按你实际遇到的顺序

ISA-18.2（也作为 IEC 62682 发布）把报警管理框定为一个生命周期，而不是一份文件。作为 HMI 工程师，你会大致按以下顺序遇到这些阶段：

你不需要拥有整个生命周期。但你需要拒绝去猜测那些被跳过的部分：如果没人能告诉你某条报警的优先级和操作员该做什么，那是一项发现，而不是一个由你自己填补的细节。

4. 不吵架地分配优先级

优先级不是重要性，也不是严重程度。它是操作员响应的紧急程度，由两件事决定：什么都不做时后果有多糟，以及在后果到来之前操作员有多长时间。

一张后果/时间矩阵可以让讨论保持客观。典型的四级分配：

分布和定义同样重要。如果三分之一的报警是 P1，优先级方案就不携带任何信息——操作员无法在一份样样都严重的清单里分出轻重缓急。大约 5 / 15 / 80 是大多数报警理念追求的形态，在设计任何一个画面之前，值得先对照它检查你的清单。

P4 值得怀疑。实践中，大多数“信息报警”都是应该进日志或画面状态字段的事件。如果它从不需要响应，就该质疑它是否应该进入报警系统。

5. 在画面上显示优先级

现在轮到 HMI 部分。平静的 ISA-101 配色存在的意义，正是为了给报警颜色留出落脚之处。标准映射：

三条规则决定它们如何呈现：

颜色从来不是唯一的提示

大约每十二名男性中就有一人存在某种形式的色觉缺陷，而红/绿混淆是最常见的一种。每个报警指示都必须带有第二个非颜色提示：标记中的优先级数字（P1、P2）、独特的形状、位置或文字。一个红圈和一个橙圈如果只在色相上不同，对于相当一部分操作员来说，就是同一个圈。

报警附着在设备上，而不是放在旁边

操作员扫视流程图时，应该在一次注视中就能回答“哪里出了什么问题”。这意味着报警标记位于泵、阀门、电机之上——一个小的实心圆点，位于符号的固定一角，带有优先级文字。设备在下面继续显示自己的状态（运行、停止、无反馈）；标记是叠加的。

这就是为什么九种标准电机状态把“运行 + P1 报警”和“运行 + P2 报警”作为独立状态，而不是替换运行颜色：操作员需要同时知道这两个事实。

闪烁只表示未确认，别无他意

闪烁是你拥有的最昂贵的注意力信号，而且令人疲惫。把它保留给唯一一种含义：一条尚无人确认的新报警。一旦确认，标记变为常亮，并保持到状况消除。一个东西永远在闪的画面，已经教会了操作员忽略闪烁。

6. 报警系统需要的三种显示

1. 横幅。始终可见，出现在每个画面上，显示最高优先级的未确认报警——通常是最近的一两行。它无需导航就能回答“现在有什么不对吗？”
2. 汇总列表。可排序、可筛选的活动报警列表，包含优先级、位号、描述、时间和确认状态。默认排序应先按优先级再按时间——而不是只按时间，那会把一条 P1 埋在一堆 P3 之下。
3. 流程图标记。在工艺图上，如上所述。正是它把“LSHH-104 高高”变成“那个储罐，就在那边”。

第四种视图——报警历史/分析页面——用于工程而非运行，但你的报警率指标和问题点清单都来自这里，所以不要省略它。

7. 搁置、抑制和停用——要显示出来

每座真实的工厂都需要一种临时静默报警的方法：已知损坏的变送器、停机检修的单元、等待修复的滋扰报警。ISA-18.2 区分了这些机制，而对 HMI 来说，它们的重要后果是相同的：

被抑制的报警必须看得出被抑制了。绝不能让画面暗示一条静默的报警是健康的。

实际做法：被搁置的位号在流程图上保留一个弱化的标记，出现在汇总列表专门的“已搁置”筛选中，并带有到期时间。没有到期时间的搁置会变成永久抑制，工厂里那些“临时”停用了三年的仪表就是这么来的。

8. 在抖动到达画面之前消灭它

大多数报警噪声都可以在逻辑中修复，而且在那里比在 HMI 中修更便宜：

• 死区。报警在明显位于阈值内侧的数值处清除，而不是在阈值本身。量程的百分之几就能消除大部分振荡抖动。
• 开延时。状况必须持续一段规定时间才触发报警。两秒内自行消失的瞬态从来不需要操作员。
• 关延时。防止退出时的闪烁。
• 基于状态的抑制。一台停止的泵上的低流量报警不是信息，是噪声。抑制在当前设备状态下毫无意义的报警——并让这套逻辑显式且有文档，而不是隐藏的小手段。
• 首出 / 因果分组。当一个根事件必然产生十个连带报警时，呈现根本原因并折叠其余的。

这些是可用的杠杆最高的改动。仅死区和开延时两项，就常常能把工厂的报警率削减一半以上，而它们除了评审时间之外不花任何成本。

9. 该测量什么

没有数字就无法讨论报警质量。最小集合：

• 每位操作员每小时和每天的平均报警数——首要的健康数字。
• 十分钟窗口内的峰值速率——发现被平均值掩盖的泛滥。
• 前十大问题点——在大多数工厂，少数几个位号产生了全部报警的一大部分。修好其中十个，对日常体验的改变超过任何一次重新设计。
• 长期挂起报警的数量和时长——活动时间超过一个班次的报警。
• 优先级分布——与 5 / 15 / 80 的形态比较。
• 已搁置报警的数量和到期合规情况。

10. 本周就能用的清单

1. 导出报警清单。数一数。计算每位操作员的日报警率。
2. 对每条报警填三列：后果、操作员动作、响应时间。动作列为空的任何一条都是删除或降级的候选。
3. 按数量排出前十大问题点，用死区、开延时或基于状态的抑制修好它们。
4. 检查优先级分布。如果 P1 超过约 10 %，重新合理化。
5. 确认每个优先级在画面上都有独特的颜色和独特的非颜色提示。
6. 确认在你的 HMI 上闪烁只表示一种含义。
7. 确认被抑制和被搁置的报警能被看出来。
8. 如果还没有，给每个画面加上横幅。

常见问题

ISA-18.2 和 IEC 62682 是一回事吗？

实际上是——IEC 62682 是 ANSI/ISA-18.2 的国际采纳版本，所以按其中任一认证的工厂使用的是同一个生命周期。EEMUA 191 是另一份更早、更具规定性的指南，因其性能基准而被广泛使用。

我们应该有多少个优先级？

三或四个。三个（严重 / 高 / 低）对大多数工厂已经足够，也更容易一致地分配。超过四个，边界就不再站得住脚，这会把一切都推向顶端。

报警应该有声音吗？

P1 应该有，P2 通常也应该有，每个优先级声音不同，并且可以独立于确认进行消音。一个不确认就无法消音的声音信号，会教会操作员盲目确认。

如果工厂没有报警理念，HMI 设计者该怎么办？

写出最重要的两页：带响应时间的优先级定义，以及颜色/形状映射。让人签字。这不是一份完整的理念文件，但它让你的画面站得住脚，而且通常正是这座工厂需要的那颗种子。