2021 核电厂人因验证和确认

犌犅／犜４１１４５—２０２１

目次

前言…………………………Ⅲ

１范围………………………１

２规范性引用文件…………………………１

３术语、定义和缩略语………………………１

３．１术语和定义…………………………１

３．２缩略语………………２

４人因验证和确认总则……………………２

４．１活动和过程…………………………２

４．２Ｖ＆Ｖ范围…………………………３

４．３ＨＦＥ人机接口设计导则……………４

４．４测试设施……………４

４．５Ｖ＆Ｖ人员…………………………５

４．６特殊考虑……………６

５形成性验证和确认………………………６

５．１目的…………………６

５．２形成性Ｖ＆Ｖ策划…………………６

５．３过程和方法…………………………６

６人因工程设计验证………………………８

６．１目的…………………８

６．２过程和方法…………………………８

７人机接口任务支持验证…………………９

７．１目的…………………９

７．２过程和方法…………………………９

８集成系统确认……………９

８．１目的…………………９

８．２实施计划……………１０

８．３场景选择……………１０

８．４ＩＳＶ试验设施………………………１１

８．５参试者………………１１

８．６效能测量……………１２

８．７试验设计……………１３

８．８数据分析……………１４

８．９ＨＥＤ识别、记录和传递……………１５

８．１０ＩＳＶ结论…………………………１５

９设计实现…………………１５

Ⅰ

书

犌犅／犜４１１４５—２０２１

９．１目的…………………１５

９．２过程和方法…………………………１５

１０人因偏差解决…………………………１６

１０．１目的………………１６

１０．２过程和方法………………………１６

１１改进型新电厂的特殊考虑……………１７

１２电厂改造的特殊考虑…………………１８

１２．１改造项的人因风险等级…………１８

１２．２电厂改造人因Ｖ＆Ｖ策划………………………１９

１２．３电厂改造人因Ｖ＆Ｖ活动………………………２０

１３就地区域的特殊考虑…………………２１

１３．１概述………………２１

１３．２特殊考虑…………………………２１

附录Ａ（资料性）人机接口清单和特性描述……………２３

附录Ｂ（资料性）运行条件选取…………２４

附录Ｃ（资料性）人因不符合项分级原则和示例………２８

参考文献……………………２９

Ⅱ

犌犅／犜４１１４５—２０２１

前言

本文件按照ＧＢ／Ｔ１．１—２０２０《标准化工作导则第１部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由全国核仪器仪表标准化技术委员会（ＳＡＣ／ＴＣ３０）提出并归口。

本文件起草单位：上海核工程研究设计院有限公司、清华大学、苏州热工研究院有限公司、中广核工

程有限公司、中国核电工程有限公司、核工业标准化研究所。

本文件主要起草人：宋霏、王秋雨、张淑慧、王国强、李志忠、潘丹、高泉源、徐智、吴一谦、俞光卫、

邓士光、杜建、焦丽玲。

Ⅲ

犌犅／犜４１１４５—２０２１

核电厂人因验证和确认

１范围

本文件规定了核电厂人机接口集成系统人因验证和确认活动的准则和方法。

本文件适用于新建核电厂，以及在役核电厂人机接口集成系统改造。其他类型核动力厂的人机接

口集成系统可参照执行。

２规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于

本文件。

ＮＢ／Ｔ２０２７０人因工程在核电厂计算机化运行规程系统中的应用准则

３术语、定义和缩略语

３．１术语和定义

下列术语和定义适用于本文件。

３．１．１

验证狏犲狉犻犳犻犮犪狋犻狅狀

从人因工程的角度确定设计或实现满足规定的要求的过程和活动。

［来源：ＩＳＯ１１０６４７：２００６，３．７，有修改］

３．１．２

确认狏犪犾犻犱犪狋犻狅狀

从人因工程的角度确定设计或实现满足特定的用途或应用需求的过程和活动。

［来源：ＩＳＯ１１０６４７：２００６，３．６，有修改］

３．１．３

形成性验证和确认犳狅狉犿犪狋犻狏犲狏犲狉犻犳犻犮犪狋犻狅狀犪狀犱狏犪犾犻犱犪狋犻狅狀

通过收集客观证据来发现人机接口集成系统存在的问题，以改进设计的过程和活动。

３．１．４

总结性验证和确认狊狌犿犿犪狋犻狏犲狏犲狉犻犳犻犮犪狋犻狅狀犪狀犱狏犪犾犻犱犪狋犻狅狀

通过收集客观证据，对人机接口集成系统的设计和实现进行最后的符合性评估的过程和活动。

３．１．５

人机接口犺狌犿犪狀狊狔狊狋犲犿犻狀狋犲狉犳犪犮犲；犎犛犐

系统的一部分，用于人与系统交互以完成它们的功能和任务。

注１：系统指核电厂。

注２：在运行和控制中心，典型的人机接口有报警、显示、控制、规程（纸质的、计算机的）、通信等。

注３：在就地区域，典型的人机接口有就地控制盘／箱／柜、阀门、手套箱、出入口（设备上不同尺寸需要人局部或全

身通过的开口）、规程（纸质的、计算机的）、通信、标识等。

１

犌犅／犜４１１４５—２０２１

３．１．６

人机接口系统犎犛犐狊狔狊狋犲犿

人机接口及其所处的空间和环境。

注１：人机接口的组织形式及其所处空间的特性是影响人机接口使用的直接因素。例如，报警、指示、控制在控制

盘台上的布置特性、控制盘台和他设备在控制室中的布局特性、完成任务所需的移动和作业空间特性。

注２：人机接口所处的环境条件是影响人机接口使用的直接因素。例如温度、湿度、照明、噪声、通风等。

３．１．７

人机接口集成系统犎犛犐犻狀狋犲犵狉犪狋犲犱狊狔狊狋犲犿

由人机接口系统、任务和人员共同组成的集成系统。

３．１．８

运行和控制中心狅狆犲狉犪狋犻狅狀犪狀犱犮狅狀狋狉狅犾犮犲狀狋犲狉

对核电厂或其特定系统进行集中监控的控制中心，如主控制室、辅助控制室、就地控制站，以及对核

电厂运行进行监视并提供决策指导的设施，如技术支持中心、应急指挥中心。

［来源：ＩＳＯ１１０６４１：２０００，３．１、３．２、３．３、３．１０，有修改］

３．１．９

人因偏差犺狌犿犪狀犲狀犵犻狀犲犲狉犻狀犵犱犻狊犮狉犲狆犪狀犮狔；犎犈犇

人因偏差项

与人因基准存在偏离的人机接口集成系统设计项。

注：人因基准基于人因工程原则和要求、电厂性能准则要求、人员效能要求、用户偏好等建立。

［来源：ＩＳＯ１１０６４７：２００６，３．２，有修改］

３．１．１０

人因例外项犺狌犿犪狀犲狀犵犻狀犲犲狉犻狀犵犲狓犮犲狆狋犻狅狀

技术恰当性能被合理证明，判定为可接受的人因偏差项。

３．１．１１

人因不符合项犺狌犿犪狀犲狀犵犻狀犲犲狉犻狀犵狀狅狀犮狅狀犳狅狉犿犻狋狔

不能判定为人因例外项的人因偏差项。

３．２缩略语

下列缩略语适用于本文件。

ＣＯＰＳ：计算机化运行规程系统（ｃｏｍｐｕｔｅｒｉｚｅｄｏｐｅｒａｔｉｎｇｐｒｏｃｅｄｕｒｅｓｙｓｔｅｍ）

ＨＥＤ：人因偏差（ｈｕｍａｎｅｎｇｉｎｅｅｒｉｎｇｄｉｓｃｒｅｐａｎｃｙ）

ＨＦＥ：人因工程（ｈｕｍａｎｆａｃｔｏｒｓｅｎｇｉｎｅｅｒｉｎｇ）

ＨＳＩ：人机接口（ｈｕｍａｎｓｙｓｔｅｍｉｎｔｅｒｆａｃｅ）

ＩＳＶ：集成系统确认（ｉｎｔｅｇｒａｔｅｄｓｙｓｔｅｍｖａｌｉｄａｔｉｏｎ）

Ｉ＆Ｃ：仪表和控制（ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎａｎｄｃｏｎｔｒｏｌ）

ＳＧＴＲ：蒸汽发生器传热管破裂（ｓｔｅａｍｇｅｎｅｒａｔｏｒｔｕｂｅｒｕｐｔｕｒｅ）

Ｖ＆Ｖ：验证和确认（ｖｅｒｉｆｉｃａｔｉｏｎａｎｄｖａｌｉｄａｔｉｏｎ）

４人因验证和确认总则

４．１活动和过程

人因Ｖ＆Ｖ全面评估电厂ＨＳＩ集成系统设计是否符合ＨＦＥ设计准则，使电厂人员能成功完成其

２

犌犅／犜４１１４５—２０２１

任务，以达到安全和其他运行目标。Ｖ＆Ｖ活动贯穿于概念开发、需求开发、设计，以及设计实现全过

程，其概貌见图１。本文件将人因Ｖ＆Ｖ分为三个主要活动：形成性Ｖ＆Ｖ、总结性Ｖ＆Ｖ、ＨＥＤ解决。

随着设计的推进，形成性Ｖ＆Ｖ活动逐步过渡到总结性Ｖ＆Ｖ活动。

形成性Ｖ＆Ｖ（见第５章）主要目的是通过客观证据的收集和评估来发现存在的问题，以改进ＨＳＩ

集成系统的设计。应根据技术需求，考虑可用资源，综合不同的评估方法以制定适用特定项目的形成性

Ｖ＆Ｖ方案。

总结性Ｖ＆Ｖ是对ＨＳＩ集成系统的设计和实现进行最后的评估，应采用标准化的方法开展，以支

持项目的符合性评价和安全审评。总结性Ｖ＆Ｖ分为ＨＦＥ设计验证（见第６章）、ＨＳＩ任务支持验证

（见第７章）、ＩＳＶ（见第８章）、设计实现（见第９章）四个活动。ＨＦＥ设计验证和设计实现都是对ＨＳＩ

设计是否符合特定项目的ＨＦＥ技术要求进行评估，其差异在于前者主要依赖最终的设计文件或原型，

后者则基于实际的ＨＳＩ集成系统开展，两者具有延续性和互补性。ＨＳＩ任务支持验证是对ＨＳＩ是否支

持任务要求进行评估。ＩＳＶ采用基于效能的试验，对整个ＨＳＩ集成系统的最终设计是否满足效能要求

进行最终评估。

ＨＥＤ解决（见第１０章）为在Ｖ＆Ｖ活动中识别的ＨＥＤ得到满意评估和解决提供了合理的保证。

ＨＥＤ解决贯穿整个Ｖ＆Ｖ过程，与形成性Ｖ＆Ｖ和总结性Ｖ＆Ｖ存在迭代。对后续Ｖ＆Ｖ活动结果有

效性具有潜在影响的人因ＨＥＤ，应在受影响的Ｖ＆Ｖ活动开展之前得到解决。

图１人因犞牔犞概貌

４．２犞牔犞范围

ＨＳＩ集成系统涵盖ＨＳＩ系统、任务、人员（即最终用户）三个组成部分，见图２。开展具体Ｖ＆Ｖ活

动时，应从这三个维度对人因Ｖ＆Ｖ范围进行界定。

３

犌犅／犜４１１４５—２０２１

图２犎犛犐集成系统组成和犞牔犞范围

ＨＳＩ系统可从系统、不同层次的子系统，划分至无需进一步细分的ＨＳＩ特性。应根据具体Ｖ＆Ｖ

活动的特点，按需要的层次准确定义ＨＳＩ系统的范围，并详细描述其状态（ＨＳＩ清单和特性描述方法见

附录Ａ）。

在考虑任务序列特性的形成性Ｖ＆Ｖ、ＨＳＩ任务支持验证和ＩＳＶ中，除了ＨＳＩ清单和特性描述之

外，还应通过运行条件选取（见附录Ｂ）来进一步确定评估范围。新建核电厂设计和在役核电厂重大设

计改进可能涉及成百上千个独立的ＨＳＩ部件，对应的任务数量繁多，不可能对所有任务都进行评估。

运行条件选取提供了平衡多个因素以识别需评估的最优任务集的策略。

在基于ＨＳＩ设计导则（见４．３）的形成性Ｖ＆Ｖ、ＨＦＥ设计验证、设计实现，以及ＨＳＩ任务支持验证

中，对人员的考虑是隐含和抽象的。但在基于效能试验的形成性Ｖ＆Ｖ和ＩＳＶ中，应对人员配置、资质

和培训水平进行明确界定。应根据具体Ｖ＆Ｖ活动的特点确定人员配置、资质和水平要求。

４．３犎犉犈人机接口设计导则

ＨＦＥ人机接口设计导则（以下简称“ＨＳＩ设计导则”）的目的是为整个项目的ＨＳＩ系统提供一致的

设计方法，确保设计遵循了适当的人因要求、与人的能力相匹配，电厂运行安全性和可用性得到保证。

应对基于标准和文献的通用导则、当前工业运行实践和经验反馈、项目ＨＳＩ特点进行分析和权衡，

制定一份或多份项目特定的“样式导则”文件，以支持特定项目的ＨＳＩ设计，以及人因Ｖ＆Ｖ活动。

ＨＳＩ设计导则由设计活动开发，不属于人因Ｖ＆Ｖ的范围。但人因Ｖ＆Ｖ的经验反馈可为ＨＳＩ设

计导则的优化提供输入。

４．４测试设施

测试设施是用于替代Ｖ＆Ｖ系统设计的任何载体，按其特点可分为图纸、原型、模拟机和实际系统

四类，见表１。Ｖ＆Ｖ结果的全面性和可信性随着测试设施逼真度的增加而增加。逼真度包括完整性、

实体逼真度、功能逼真度、环境逼真度（如高噪声环境、高温、高湿度、照明不足等）、数据完整性逼真度、

数据内容和呈现逼真度、数据动态逼真度多个维度（见８．４）。测试设施的准备，应结合ＨＳＩ清单和特性

描述的要求开展。

４

犌犅／犜４１１４５—２０２１

表１测试设施

类型载体特点

ＨＳＩ设计文件

图纸照片、效果图二维的设计信息，不同类型的图纸、文件呈现设计特性的详细和逼真程度不一，

产品手册常需要多份资料才能“拼凑”出较为完整的ＨＳＩ特性

硬件类ＨＳＩ的原型可对布置、外形尺寸、动作模式等特性进行描述。标准化设

备可直接利用产品样本。对于非标设备，可依赖于缩放的或等比例的实体模

产品样本型。三维数字模型的可用程度与建模深度相关。

原型实体模型对于数字化控制室大量存在的软件类ＨＳＩ，界面原型能较好地模拟主要的呈现

三维数字模型和交互特性，但不必提供电厂动态参数的模拟（例如，虽然原型提供了数字显示

界面原型或趋势曲线，但这一数值是原型后台强制的，与电厂运行场景没有联系）。界面

原型可利用专业界面快速原型软件开发，也可利用目标平台开发

在静态特性上已较为完备，且具备模拟电厂动态参数响应的功能（部分范围或

模拟机工程模拟机全范围的）。ＩＳＶ应采用全范围培训模拟机，且其逼真度应达到ＩＳＶ试验的要求

全范围培训模拟机（见８．４）

对于运行和控制中心，实际电厂主要为设计实现提供支持。对于就地区域，基

于具体目的，就地ＨＳＩ在完全就位前也可为Ｖ＆Ｖ活动提供支持。

实际系统电厂ＨＳＩ集成系统实际电厂的优势是输入比设计阶段更多、更为直观，但缺点是识别到的ＨＥＤ的

改进空间一般局限在规程和培训领域

４．５犞牔犞人员

４．５．１资质和培训

Ｖ＆Ｖ活动的实施，除了ＨＦＥ专家，应根据需要安排具备不同技能和经验的专家共同参与，例如

ＨＳＩ专家、安全分析专家、人员可靠性专家、仪控专家、工艺系统专家、电厂运行专家、培训专家、模拟机

专家等。

应明确不同Ｖ＆Ｖ活动对人员资质的要求，如ＨＦＥ设计验证对人员知识背景和工作年限的具体

要求。

应为Ｖ＆Ｖ人员提供必要的培训，如为参与问卷调查的电厂运行专家提供专项培训，确保其掌握了

当前ＨＳＩ集成系统的必要信息；为参与形成性Ｖ＆Ｖ的设计人员提供ＨＦＥ理论方法和ＨＳＩ设计导则

的培训；为ＩＳＶ的试验实施或管理人员提供试验程序和数据记录的培训。

４．５．２独立性

应明确Ｖ＆Ｖ人员独立性水平要求，从而保证结果的客观性和公正性。

总结性Ｖ＆Ｖ团队应与设计团队保持独立。Ｖ＆Ｖ人员和设计人员可为同一组织工作，但Ｖ＆Ｖ

人员不应参与Ｖ＆Ｖ对象的设计工作，也不应对设计进度或财务绩效负责。Ｖ＆Ｖ人员不一定是ＨＦＥ

专职人员，可从其他设计团队调入，但其职责只能是对目标对象进行Ｖ＆Ｖ。

形成性Ｖ＆Ｖ团队除了独立Ｖ＆Ｖ人员，亦可安排设计人员参与，但设计人员不应主导或独立完成

具体Ｖ＆Ｖ活动。设计人员对系统了解更为深刻，在多专业交流中能提出有益的建议或方案。同时，设

计人员参与形成性Ｖ＆Ｖ能起到自查和培训作用，有助于提高后续设计的人因符合性。

人员独立性要求应完整覆盖各项Ｖ＆Ｖ活动及其具体环节。例如，ＨＥＤ解决中，人因例外项判定、

５

犌犅／犜４１１４５—２０２１

人因不符合项分级和判定是否需要解决、人因不符合项再验证和确认应由独立的Ｖ＆Ｖ人员实施，而

ＨＥＤ分析、人因不符合项解决方案开发和实施则需要设计团队的共同参与。

４．６特殊考虑

新建核电厂包括ＨＳＩ集成系统全新设计和改进设计两类情况，在役核电厂则包含形式不一的改

造。第５章～第１０章所述要求和指导完全适用于全新设计，其他情况可采用分等级的方式使用，改进

型项目的特殊考虑见第１１章，改造项目的特殊考虑见第１２章。

依据ＨＳＩ系统特点、任务复杂性、人员参与程度、所需的人员响应速度、人员失误对运行造成的后

果等因素，核电厂物理区域可划分为运行和控制中心区域、就地区域两类。第５章至第１０章所述要求

和指导完全适用于运行和控制中心的主控制室、辅助控制室，其他区域可采用分等级的方式使用。其

中，就地区域的特殊考虑见第１３章。

５形成性验证和确认

５．１目的

在电厂设计过程中开展形成性人因Ｖ＆Ｖ活动的目的如下。

ａ）改进ＨＳＩ集成系统设计，如：

１）在设计方案比较选择时，确保ＨＦＥ得到充分考虑；

２）对引入的新技术及其与已有系统的集成，开展系统的人因评估；

３）及时论证设计过程中的ＨＦＥ假设，降低设计的不确定性；

４）对ＨＳＩ设计导则未覆盖的设计特性，提供ＨＦＥ见解；

５）为ＨＦＥ需求或ＨＳＩ设计导则的传递和落实提供支撑手段。

ｂ）为总结性Ｖ＆Ｖ提供支持，如：

１）避免大量问题识别不及时造成解决困难；

２）全范围或部分范围基于效能的形成性Ｖ＆Ｖ活动，能提高ＩＳＶ的效率，降低ＩＳＶ的风险，

例如，优化运行条件选取的范围，为ＩＳＶ前提条件提供判断，以及为ＩＳＶ建立参考基

准等。

５．２形成性犞牔犞策划

项目开展ＨＦＥ策划时，应对形成性Ｖ＆Ｖ的必要性进行分析，确定本项目是否计划开展形成

性Ｖ＆Ｖ。

通常，形成性Ｖ＆Ｖ采用渐进、迭代的方式开展，其具体活动的目的、范围、时间节点应与项目阶段

相匹配，并与设计过程集成。除了按概念开发、需求开发、系统和子系统设计的节点策划形成性Ｖ＆Ｖ

活动，还可考虑下列维度：

———按测试设施逼真度，如图纸、原型、模拟机；

———按Ｖ＆Ｖ对象，如软控制器的设计、ＣＯＰＳ、显示画面结构和导航。

应为形成性Ｖ＆Ｖ制定详细计划，覆盖每项形成Ｖ＆Ｖ活动目的、范围、过程和方法等信息。

５．３过程和方法

验证是对是否正确地开展了设计进行评估，如显示画面的设计规范是否符合ＨＳＩ设计导则的要

求。确认则是对是否设计了正确的系统进行评估，如软控制器的设计方案是否能支持安全目标和可用

性目标的实现。在设计早期，因为活动可能会融合了两类目的，验证、确认往往难以清晰区分。越接近

设计后期，则能更为独立地开展验证、确认活动。为此，形成性Ｖ＆Ｖ有必要根据问题特点和设计阶段，

６

犌犅／犜４１１４５—２０２１

采用更为灵活的评估方法。

启发式评估、可用性评估、走查评估和试验评估均可应用于形成性Ｖ＆Ｖ。例如，启发式评估主要

通过专家评估法对集成系统的设计特性提供主观定性评估，而试验评估则基于任务序列的时间响应和

准确性对ＨＳＩ集成系统提供更为客观、系统的详细评估。对于难以独立支持一次Ｖ＆Ｖ活动的方法，

定义为辅助方法，一个辅助方法可配合多类主方法使用，详见表２。

表２形成性犞牔犞的方法

类型主方法辅助方法测试设施评估重点

启发式讨论

检查表法图纸设计特性

启发式评估专家评估法问卷调查原型（主观定性评估）

访谈

观察法

检查表法原型设计特性

可用性评估可用性试验法问卷调查模拟机（主观定性或定量评估）

访谈实际系统

观察法

有声思考法图纸

走查评估走查排演法检查表法原型任务序列特性

问卷调查实际系统

访谈

观察法

有声思考法图纸

试验评估基于效能的试验检查表法原型基于任务序列的

问卷调查模拟机时间响应和准确性

访谈

应尽可能采用定量和客观的指标。通常难以直接对安全性和可用性这类总体目标进行测量，为此

宜采用不同的指标对ＨＳＩ集成系统的不同方面进行评估。除了完成时间、正确率、频次这些通用指标，

还可考虑（但不限于）以下指标：

ａ）匹配性；

ｂ）效能改进特性（如有效性、效率、满意度）；

ｃ）工作负荷（或心理负荷、工作记忆负荷）；

ｄ）情境意识；

ｅ）团队协作；

ｆ）信任度；

ｇ）认知模型和可理解性；

ｈ）易操作性、可控性；

ｉ）易学性；

ｊ）生理因素（如视线位置和凝视时间、疲劳）等。

应根据对象的特点和评估的目标选取指标。例如，对显示画面导航结构进行评估的时候，除了导航

任务完成时间和正确率，还可采用位置感知满意度、视觉搜索效率作为指标。

７

犌犅／犜４１１４５—２０２１

除了目标电厂具有资质的运行人员，也可选择其他人员担任形成性Ｖ＆Ｖ的参试者，如正在接受培

训的运行人员或设计人员。但应对其对目标电厂的熟悉程度做出正确评估，以支持最终分析结论的准

确性。

形成性Ｖ＆Ｖ识别出的问题若不正式传递给ＨＥＤ解决活动，应证明项目已建立有效的人因问题

跟踪系统，识别的问题得到完整记录、分析和解决，ＨＳＩ集成系统设计得以优化。

６人因工程设计验证

６．１目的

ＨＦＥ设计验证从人的能力和局限性考虑ＨＳＩ系统的恰当性。ＨＦＥ设计验证的目的是确保ＨＳＩ

系统的最终设计符合ＨＳＩ设计导则的要求。

６．２过程和方法

ＨＦＥ设计验证的过程和方法如下。

ａ）获取ＨＳＩ设计导则：应收集适用于当前项目的“样式导则”文件或文件集。

ｂ）收集ＨＳＩ系统特性：通过ＨＳＩ清单和特性描述（见附录Ａ）明确要验证的对象及其特性，应选

择能代表当前最新设计状态且最为逼真的测试设施。

ｃ）匹配ＨＳＩ设计导则和ＨＳＩ系统特性间的对应关系：导则的某条要求可能适用于许多ＨＳＩ系

统对象，在验证前应对两者的对应关系进行梳理，明确验证项。

ｄ）将ＨＳＩ设计导则和ＨＳＩ系统的特性进行比较：对于通用属性（如菜单、特定静动态元素、某一

型号开关），可基于标准化对象附加实例取样的方式进行验证，对于特殊属性则应逐一验证。

应对导则某条要求在多个ＨＳＩ中应用的一致性进行评价。可根据各设计要素的成熟度从上

至下逐步推进ＨＦＥ设计验证活动，如先开展控制室整体布置、硬件ＨＳＩ特性、显示画面通用

特性的验证。

ｅ）识别ＨＥＤ。

１）当ＨＳＩ系统的某个特性偏离了导则要求时，应将其识别为一个ＨＥＤ。

２）只有完全符合ＨＳＩ设计导则的要求，即验证项的每个用例完全符合由导则确定的准则

时，才可判定为“通过”。若存在任何ＨＥＤ，无论是完全还是部分存在ＨＥＤ，都应判定为

“不通过”，识别为ＨＥＤ。

３）若采用取样的策略进行验证，应充分分析ＨＥＤ潜在的扩展问题。例如，识别出某一幅显

示画面数据呈现格式不恰当时，其他显示画面格式的使用也可能不正确，或者被观察到的

格式在所有地方的使用都不恰当。

ｆ）记录和传递ＨＥＤ：应定义格式化的方法，对识别的ＨＥＤ进行记录。记录应清晰标明相关的

验证对象，以及ＨＳＩ特性与特定导则的偏离情况。记录的ＨＥＤ将传递给ＨＥＤ解决活动。

ＨＥＤ的分析和纠正属于ＨＥＤ解决活动，见第１０章。

ｇ）ＨＦＥ设计验证的关闭：

１）若验证项基于设计文件和图纸即可关闭，如果当前条件不成熟不能进行验证或尚无法确

定最终结论，应评价为“待定”并持续跟踪直至可评价为“通过”或“不通过”。

２）若验证项还需要跟踪到设计实现阶段才能关闭，应传递到设计实现活动。

３）在具体项目中，应综合考虑ＨＳＩ系统固化情况以及后续设计实现活动的计划，明确ＨＦＥ

设计验证活动关闭的条件。

４）ＨＦＥ设计验证活动应与ＨＳＩ系统设计和实现过程紧密结合，应明确应对设计变更和工

程实现偏差的措施。

８

犌犅／犜４１１４５—２０２１

７人机接口任务支持验证

７．１目的

ＨＳＩ任务支持验证关注用于支持人员任务需求物项的可用性。ＨＳＩ任务支持验证的目的是确保

ＨＳＩ系统的最终设计能为人员提供执行任务所必需的报警、信息、控制和任务支持。

７．２过程和方法

ＨＳＩ任务支持验证的过程和方法如下。

ａ）确定场景：应通过运行条件选取（见附录Ｂ）确定人员任务需求，即场景。ＨＳＩ任务支持验证场

景的确定宜考虑与任务分析的延续性。

ｂ）收集ＨＳＩ系统特性：通过ＨＳＩ清单和特性描述（见附录Ａ）明确要验证的对象及其特性。应选

择能代表当前最新设计状态且最为逼真的测试设施。

ｃ）将人员任务需求和ＨＳＩ系统特性进行比较：ＨＳＩ任务支持验证的启动时间取决于项目特点、

任务分析方法和实施节点、形成性Ｖ＆Ｖ的范围和实施节点等因素。验证可采用分批的方式

开展，如根据设计成熟度和场景重要性，先开展安全直接相关以及运行经验反馈存在问题的

任务。

ｄ）识别ＨＥＤ。

１）执行任务所需的某个ＨＳＩ（某个必需的控制、显示或报警）不可用时，应识别为ＨＥＤ。

２）ＨＳＩ系统特性与人员任务需求不匹配（例如，显示画面给出了需要的电厂参数，但不满足

任务所需的参数范围或精度），应识别为ＨＥＤ。

３）存在不必要的ＨＳＩ，应识别为ＨＥＤ。对不必要的ＨＳＩ进行验证很重要，因为它会造成干

扰，并可能分散人员注意力，妨碍其选择适当的ＨＳＩ。然而，不必要ＨＳＩ的判定需要慎

重，避免由于下列原因造成误判：该ＨＳＩ在某个任务中是必需的，但该任务不在分析考虑

的范围内；分析不完整，忽略了该ＨＳＩ需求；该ＨＳＩ仅部分满足所确定的人员任务需求。

ｅ）记录和传递ＨＥＤ：应定义格式化的方法，对识别的ＨＥＤ进行记录。记录应清晰标明相关的

验证对象（ＨＳＩ和任务）以及ＨＥＤ的依据（ＨＳＩ的哪个方面不满足任务需求）。记录的ＨＥＤ

将传递给ＨＥＤ解决活动。ＨＥＤ的分析和纠正属于ＨＥＤ解决活动，见第１０章。

ｆ）ＨＳＩ任务支持验证的关闭：

１）对于当前条件不成熟不能进行验证或无法下最终结论的验证项，应评价为“待定”并持续

跟踪直至可评价为“通过”或“不通过”；

２）在具体项目中，应综合考虑ＨＳＩ系统和任务的固化情况，以及后续ＩＳＶ的范围和时间节

点，明确ＨＳＩ任务支持验证关闭的条件；

３）ＨＳＩ任务支持验证活动需要与ＨＳＩ系统设计和实现过程紧密结合，应明确应对设计变更

和工程实现偏差的措施。

８集成系统确认

８．１目的

ＩＳＶ采用基于人员效能和系统性能的试验对ＨＳＩ集成系统的设计进行确认，目的是确保ＨＳＩ集成

系统充分支持人员对电厂的安全运行，具体包括以下方面。

ａ）确认轮班班组的人员配备、成员的任务分配以及协作（包括内部以及内、外部人员之间的协作）

９

犌犅／犜４１１４５—２０２１

可接受，包括对最小人员配备、正常人员配备、最大人员配备和交接班的确认。

ｂ）确认设计能提供必需且恰当的报警、信息、控制和反馈，使得人员任务能成功完成，包括电厂正

常运行、瞬态、设计基准事故和选定的风险重要的设计扩展工况（由运行条件选取确定，见附录

Ｂ）。

ｃ）确认特定的人员任务可在符合时间和效能准则的情况下完成，并且人员情境意识水平较高，工

作负荷水平可接受（平衡了警觉性和负荷）。

ｄ）确认ＨＳＩ使人员失误最少化，并确保在失误发生时具有失误识别和恢复的能力。

ｅ）确认重要人员动作相关的效能假设。例如，属于电厂概率安全评价一部分的人员可靠性分析

包含了许多关于风险重要人员动作效能的假设。应对这些假设进行确认，包括关键序列的决

策和诊断过程，以及人员操作。应在概率安全评价最终定量化之前完成这项工作。

ｆ）确认人员在完成其任务时，能有效地在ＨＳＩ间（包括规程）进行切换，并且ＨＳＩ管理任务（如画

面配置、导航）不会造成人员注意力分散或负荷过度。

具体的确认目的应基于项目需求，结合实际场景和效能测量准则，采用系统的方法确定。

８．２实施计划

应为ＩＳＶ实施制定详细计划，明确ＩＳＶ的：

ａ）目的；

ｂ）场景信息，包括所采用的场景及其选择依据、与试验计划内容详细程度匹配的场景描述信息；

ｃ）测试设施及其符合性要求；

ｄ）参试者和试验人员的资质要求和培训计划；

ｅ）每个场景特定的效能指标，包括用于判断其“通过”或“不通过”的指标，以及用于对结果深入分

析的诊断评价指标；

ｆ）试验设计（包括场景分配、试验程序、培训安排、预试验等）；

ｇ）数据收集手段；

ｈ）数据分析方法；

ｉ）ＨＥＤ识别、记录和传递。

８．３场景选择

应通过运行条件选取（见附录Ｂ），从以下多个维度确定最终的场景。

ａ）电厂条件：

１）正常运行；

２）瞬态和事故；

３）Ｉ＆Ｃ和ＨＳＩ故障。

ｂ）人员任务：

１）重要人员动作、系统和事件序列；

２）保护动作的手动触发；

３）自动系统监视；

４）运行经验评审确定的困难任务；

５）规程指导的任务；

６）基于知识的任务；

７）人员认知活动；

８）人员交互。

ｃ）人员效能影响因素：

１０

犌犅／犜４１１４５—２０２１

１）高工作负荷；

２）工作负荷变化；

３）疲劳；

４）环境因素。

８．４犐犛犞试验设施

ＩＳＶ试验设施是用于实施ＩＳＶ评价的ＨＳＩ仿真系统。应在实施ＩＳＶ试验之前，核实试验设施是否

符合所要求的特性。

主控制室ＩＳＶ应采用全范围模拟机，应对下述特性是否符合要求进行核实。

ａ）完整性：试验设施能完全仿真替代集成系统。试验设施应不仅局限于试验场景特别要求的

ＨＳＩ系统，因为邻近的控制和显示可能影响操纵员对特定ＩＳＶ场景所需要的控制和显示的使

用方式。

ｂ）实体逼真度：试验设施的ＨＳＩ系统应能以较高的实体逼真度仿真参考设计，包括报警、显示、

控制、工作辅助工具、规程、通信设备、界面管理工具、布局和空间关系。

ｃ）功能逼真度：试验设施的ＨＳＩ系统的功能应能以较高的逼真度仿真参考设计，包括ＨＳＩ运行

模式（即人员选定模式后，可调用的功能发生变化）或电厂状态变化。所有ＨＳＩ功能都应

可用。

ｄ）环境逼真度：试验设施的环境应能以较高的逼真度仿真参考设计，包括预期的照明水平、噪声、

温度和湿度。例如，暖通系统、计算机和通信设备产生的噪声应在ＩＳＶ试验中进行模拟。

ｅ）数据完整性逼真度：提供给人员的信息和数据应完整展现由该设施监视和控制的电厂系统。

ｆ）数据内容和呈现逼真度：试验设施的数据内容应能以较高的逼真度仿真参考设计。信息和控

制的呈现应基于一个能准确反映参考电厂的基本模型。该模型应能为ＨＳＩ提供输入，以便

ＨＳＩ显示的信息与实际电厂运行时显示的信息准确匹配。

ｇ）数据动态逼真度：试验设施的数据动态特性应能以较高的逼真度进行仿真。工艺仿真模型应

能为ＨＳＩ提供输入，以保证信息流和控制响应的准确性以及响应时间的正确性。例如，提供

给人员的信息具有与实际电厂相同的时间延迟。

对于全范围模拟机无法支持的ＨＳＩ，如重要人员动作相关的或复杂的主控制室外的ＨＳＩ系统，如

需要及时和准确的人员操作，应使用仿真或实体模型来核实所需的人员效能是否能满足要求。若人员

任务重要度低或相关的ＨＳＩ复杂度不高，可基于分析来评价人员效能。

８．５参试者

ＩＳＶ试验参试者选择应满足以下要求。

ａ）参与ＩＳＶ试验的人员应能代表目标电厂的实际用户，其资质要求应与目标电厂运行资质要求

一致。如，主控制室ＩＳＶ应采用持证操纵员担任值长、反应堆操纵员和安全工程师，而不是正

在受训的待取证运行人员或工程人员。

ｂ）为正确反映人员差异，应对参试者进行取样。取样应反映样本来源群体的特性。应明确预期

会对系统性能变化产生影响的样本特性，取样过程应合理保证ＩＳＶ包含了该维度的变化。应

明确执照类型和资质、经验，以及一般的人口学特征等因素对样本代表性的影响。

ｃ）应覆盖最小人员配备水平、正常配备水平和最大配备水平。

ｄ）为保证结果的可信性，应避免使用以下人员：

１）设计组织的成员；

２）参与过相同试验场景的人员；

３）基于某些特性选择的人员，比如效能良好或经验丰富的班组。

１１

犌犅／犜４１１４５—２０２１

８．６效能测量

８．６．１类型

ＩＳＶ应使用一组有层次的效能指标，包括电厂性能（如功能、系统或设备的性能）和人员效能（如人

员任务效能、情境意识、认知负荷，以及人体测量／生理因素）。其目的是为确认集成系统设计提供充分

信息，并为评价效能偏差提供基准，从而确定改进需求。

应为每个特定的ＩＳＶ场景确定适用的效能指标，包括以下方面。

ａ）主任务指标。

１）对于每个场景，应确定完成场景目标必须执行的主任务，以便确定其测量指标。主任务是

指电厂人员在监督电厂过程中，行使其功能职责相关的任务，即监视、检查、场景评估、响

应计划和响应实施。对主任务的评价应足够详细，从而与任务需求相适应。例如，对一些

简单的场景，测量任务完成时间即可满足要求。对于复杂的任务，特别是基于知识的任

务，则更适合采用细致的分析，如确定任务的各个组成部分，即查找特定数据、进行决策、

采取行动和获取反馈。

２）为评价人员任务效能，选择的测量指标应能反映对于系统性能存在重要影响的任务因素，

如时间、准确性、频率、完成量、资源消耗量、参试者主观反馈、观察员对于行为的分类等。

３）主任务分析有助于识别疏忽型人员失误（未执行的主要任务）。此外，应识别和记录参试

者偏离了主任务的实际任务操作。这些操作应被用于识别意图型人员失误。

ｂ）次任务指标：次任务是指电厂人员与ＨＳＩ进行交互时必须执行的任务，如在计算机屏幕中利

用导航寻找所需画面并对ＨＳＩ进行配置。次任务效能指标应能反映ＨＳＩ运行时的具体需求，

如配置工作站的时间、显示画面间的导航，以及显示画面的操作（如变更显示类型和刻度设

置）。

ｃ）情境意识指标：情境意识是指电厂人员在任意给定时刻，对电厂参数的感知，对电厂工况的理

解，以及对电厂未来状态的预测与其实际状态的符合程度。

ｄ）工作负荷指标：工作负荷由体力负荷、认知负荷以及其他对电厂人员产生的需求组成。效能指

标应体现工作负荷或不同维度工作负荷的影响。

ｅ）人体测量和生理类指标：人体测量和生理类的因素包括信息的可视性、控制装置的可达性、控

制装置的操作便捷性等。这类设计特性大部分已由ＨＦＥ设计验证进行过评价。因此，应关

注仅能通过集成系统试验进行评价的设计特性，如人员在执行任务时有效使用各种控制、显

示、工作站或控制台的能力。

８．６．２特性要求

在确定最终采用的效能测量方法前，应对如下特性进行权衡：

———效度：一个测量指标应真实表征所要测量的效能因素；

———信度：测量应可复现，即同一环境条件下用相同的方法测量同一变量，应得到相同的测量结果；

———测量能力：测量范围、灵敏度、数据采样频率应与要被评价的效能维度相适应；

———侵入性：测量应尽可能少地改变参试者的心理或生理过程；

———客观性：测量应基于易观察到的现象。

８．６．３准则

应为每个测量指标确定特定的准则，用于判断效能是否可接受，并描述其基准。要求、基准、规范、

专家判断均可为制定效能指标的基础准则提供参考。

１２

犌犅／犜４１１４５—２０２１

应明确每个测量指标是通过性准则，即用来决定设计是否可通过确认；还是用于诊断存在的问题诊

断性准则，即用于更好地理解人员效能，以便对人员失误和ＨＥＤ进行分析。

８．６．４测量和记录

应明确获取这些测量数据的方法，如通过模拟机数据记录、参试者调查问卷或观察员的观察记录

等。应规定何时获取或记录每个测量指标的数据，如连续获取、在场景中的某个特定时刻或在场景结

束后。

８．７试验设计

８．７．１场景分配

应在班组间对场景进行均衡分配，为每个班组提供相似的、有代表性的场景。在ＩＳＶ中不宜将场

景随机分配给班组。只有参试者班组数量足够大时，随机分配才能有效控制偏差。

应平衡不同场景相对于参试者班组的出现顺序，以合理保证场景不会始终以相同的顺序出现。例

如，简单的场景不总是最先出现。

８．７．２试验程序

８．７．２．１程序内容

应采用详细、清晰的程序指导试验的实施，程序内容应覆盖以下方面。

ａ）班组与场景的匹配信息，以及场景出现顺序。

ｂ）用于参试者的详细说明资料。说明资料的形式和详略程度会对参试者任务完成效能造成影

响，应通过一致性的说明资料最小化这一偏差。

ｃ）为试验人员实施试验场景提供的特别指导，见Ｂ．４。

ｄ）在模拟机或试验出现问题时，何时和如何与参试者进行交互的指导。即使采用高逼真度的模

拟机，参试者仍可能遇到试验环境失真的情况，造成所关注任务的效能降低。应为试验实施者

提供处理此类情况的充分指导。

ｅ）关于何时、如何收集和储存数据的说明，例如：

１）模拟机；

２）特殊目的数据采集工具（如情境意识和工作负荷问卷，或生理测量仪器）；

３）摄像机（定位和视角）；

４）试验人员（如观察员的观察清单）。

ｆ）文档要求：

１）标识和维护试验记录文件，包括班组和场景的详细资料；

２）收集的数据；

３）试验实施人员建立的日志；

４）试验程序应详细说明日志需要记录的信息类型（例如何时进行试验、与试验程序的偏差及

偏差产生的原因、对于理解试验进展状态以及解释试验结果重要的任何不寻常的事件），

程序还应阐述何时记录各种类型的信息。

８．７．２．２避免偏差

试验程序应尽可能降低试验人员预期偏差或参试者响应偏差产生的可能性。

如果试验人员的预期对数据收集产生了系统化的影响，则可能引入偏差。预期可通过许多方式影

响效能。例如，试验人员可通过提供细微的线索或通过交流引导参试者，或者他们在评价参试者的效能

１３

犌犅／犜４１１４５—２０２１

时可能更倾向于反映有利设计的方面，而不是作为客观的观察者。

参试者响应偏差是指试验设计本身对参试者数据的获取产生了影响。响应偏差未必意味着参试者

的任何意图都不可信。试验环境可能影响参试者，使其无法完成试验目标。响应偏差可能以下列方式

出现：

———参试者可能希望影响输出结果，因而偏向于使产生的数据与他们所期望的结果相一致；

———参试者可能想要给出他们认为试验人员希望获取的数据；

———参试者可能试图了解效能如何在不同情况下发生变化，因此使数据与这种变化相一致；

———参试者可能想要表现得优秀，因为他们知道自己正在被观察。

８．７．３培训

８．７．３．１试验人员培训

对试验人员的培训应关注以下要点：

———试验程序的使用和重要性；

———未能准确地执行试验程序，或与参试者不恰当的交互，在数据中引入的偏见和错误；

———准确记录试验中发现的问题。

８．７．３．２参试者培训

对参试者培训的要求如下：

———对参试者的培训应与电厂人员接受的培训高度相似，培训应合理保证参试者对电厂设计、运

行、以及ＨＳＩ系统使用的了解与一名有经验的电厂人员相当；

———不能对参试者开展专门针对选定ＩＳＶ试验场景的培训；

———应提供一致的培训，以避免引入偏差；

———应使其效能趋于稳定，并在实际的ＩＳＶ试验之前进行测试。

８．７．４预试验

应在ＩＳＶ试验前进行预试验，以评估试验设计、效能测量和数据收集方法的正确性和充分性。

预试验不应使用ＩＳＶ试验的参试者。

应在正式试验开始前，解决预试验识别出的、对正式试验开展和结果评估有效性有不可接受影响的

问题。

８．８数据分析

应在试验完成后及时分析数据。数据分析应注意以下方面。

ａ）结合定量和定性的方法进行数据分析，建立所观察的效能数据与所建立的效能评价准则之间

清晰的关系。

ｂ）阐述试验数据的分析方法，包括用于判断每个给定场景是否成功的准则。

ｃ）对相互关联的测量结果的收敛效度进行评价，即预期用于评价同一个效能因素的测量指标之

间应具有一致性。例如，如果情境意识通过参试者问卷和观察员打分两种手段测量，结果应具

有一致性，否则应确定其原因。

ｄ）在解释试验结果时，应允许存在一定的误差容限（实际效能的变化可能大于观察到的试验效

能）。

ｅ）核实数据分析的正确性。这项工作应由原先执行分析工作之外的人员或小组承担，但可来自

同一个组织。

１４

犌犅／犜４１１４５—２０２１

８．９犎犈犇识别、记录和传递

以下情况应识别为ＨＥＤ：

ａ）不满足通过性准则；

ｂ）与诊断性准则存在偏离；

ｃ）试验人员、参试者的负面反馈和评价。

鉴于ＩＳＶ的综合性，ＩＳＶ识别的ＨＥＤ可能覆盖ＨＳＩ集成系统的某一个组成部分，或是多个组成部

分之间的交互。应定义格式化的方法，对识别的ＨＥＤ进行记录。记录应清晰标明相关的ＨＳＩ集成系

统组成部分，以及识别为ＨＥＤ的原因。记录的ＨＥＤ将传递给ＨＥＤ解决活动。ＨＥＤ的分析和纠正属

于ＨＥＤ解决活动，见第１０章。

８．１０犐犛犞结论

应对ＩＳＶ的计划、实施、分析和结论进行记录，特别是ＩＳＶ试验的统计和逻辑依据。ＩＳＶ结果的详

细程度，应能判断集成系统的效能在目前和将来都是可接受的，即确认试验能证明最终设计具备支持电

厂安全运行的能力。

应在文件中记录ＩＳＶ试验的局限性，以及这种局限性可能会对ＩＳＶ试验结论和设计实施产生的影

响。局限性可能包括：

ａ）难以控制的试验特性；

ｂ）试验场景和真实运行的潜在差异，例如试验不存在电厂效益和安全之间的冲突；

ｃ）经确认的设计和实际建成的电厂或系统之间的潜在差异，如果ＩＳＶ试验是基于差异信息可获

取的、实际建造中的电厂，或是基于参考电厂的确认结果的新电厂设计。

９设计实现

９．１目的

设计实现的目的是：

ａ）确保在已完成的Ｖ＆Ｖ活动中未涉及的设计特性，在设计实现中全部得到覆盖；

ｂ）证明最终的电厂与经过Ｖ＆Ｖ的设计是一致的，在实际电厂和工作环境中实现时，不存在非预

期的问题。

９．２过程和方法

设计实现的过程和方法如下。

ａ）ＨＥＤ识别：

１）可采用类似于ＨＦＥ设计验证的方法，基于实际电厂系统对Ｖ＆Ｖ活动中未涉及的设计特

性进行评价，识别ＨＥＤ；

２）对ＨＦＥ设计验证、ＨＳＩ任务支持验证、ＩＳＶ之后存在的变更，以及实际电厂系统、规程、人

员配备和培训相对于设计描述级文件出现的偏离进行评价，核实其并未引入新的ＨＥＤ。

ｂ）ＨＥＤ记录和传递：应定义格式化的方法，对识别的ＨＥＤ进行记录。记录的ＨＥＤ将传递给

ＨＥＤ解决活动。ＨＥＤ的分析和纠正属于ＨＥＤ解决活动，见第１０章。

ｃ）设计实现的关闭：明确设计实现活动关闭条件时，应充分考虑９．１中目标的实现情况。

１５

犌犅／犜４１１４５—２０２１

１０人因偏差解决

１０．１目的

ＨＥＤ解决活动负责对Ｖ＆Ｖ活动传递过来的ＨＥＤ进行分析、跟踪和解决。ＨＥＤ解决应：

ａ）对ＨＥＤ进行分析和评价，以确定是否需要纠正；

ｂ）对必须纠正的ＨＥＤ，确定解决方案；

ｃ）确保解决方案的完整实现。

ＨＥＤ解决宜与Ｖ＆Ｖ其他活动一起反复进行。

１０．２过程和方法

１０．２．１犎犈犇分析

在进行ＨＥＤ分析时，应关注以下方面。

ａ）人员任务和功能：ＨＥＤ对人员任务的影响，以及这些任务所支持的功能。ＨＥＤ的影响可通过

人员功能对于电厂安全的重要性（例如，失败的后果）以及ＨＥＤ对人员效能的累积效应（例

如，损害程度和可能的失误类型）进行判断。

ｂ）电厂系统：ＨＥＤ对电厂系统的影响，考虑这些系统的安全重要性、对事故分析的影响，及其与

电厂概率安全评价中风险重要序列之间的关系。ＨＥＤ对电厂安全和人员效能的潜在影响，可

部分地通过特定设备相关的电厂系统的安全重要性进行判断。

ｃ）ＨＥＤ的累积效应：ＨＥＤ分析应确定多个ＨＥＤ对电厂安全和人员效能潜在的累积作用。虽

然单个ＨＥＤ可能没有严重到需要纠正的程度，但多个ＨＥＤ的组合可能对设计的某一特性产

生严重损害电厂安全的作用，从而需要纠正。同样，如果单个电厂系统具有多个相关的ＨＥＤ，

并影响到多个ＨＳＩ，则应分析这些ＨＥＤ对于电厂系统运行可能的组合效应。

ｄ）ＨＥＤ的普遍效应：在解决特定ＨＥＤ的同时，应确定这一ＨＥＤ是否意味着存在潜在的普遍问

题。例如，若识别出与ＨＳＩ某一设计特性（如远距离停堆盘）相关的多个ＨＥＤ，也可能意味着

该设计特性存在其他问题，如设计程序和“样式导则”使用不一致。

１０．２．２人因例外项判定

在整个ＨＳＩ集成系统的背景下，若某项ＨＥＤ的技术恰当性能被证明为可接受的，则可判定为人因

例外项。技术恰当性的分析包括最新研究文献的结果、当前的实践经验、对多个方案的权衡研究、形成

性Ｖ＆Ｖ的评估等。

１０．２．３人因不符合项分级和判定是否需要解决

未通过人因例外项判定的ＨＥＤ定义为人因不符合项。

区分人因不符合项优先级时，应分析其对安全、经济性的影响。可针对不同优先级的人因不符合

项，制定不同的解决原则。人因不符合项分级原则和示例见附录Ｃ。

１０．２．４人因不符合项解决方案开发和实施

应确定纠正人因不符合项的解决方案，解决方案可涉及ＨＳＩ系统（包括规程）、培训多个方面。

在开发和实施解决方案时，不应独立地考虑人因不符合项，而应最大限度地考虑各个人因不符合项

之间可能存在的关系和相互影响。例如，如果单个电厂系统的ＨＳＩ与多个人因不符合项关联，则解决

方案应相互协调，从而提高整体的效能，并避免各个方案之间的冲突。与此类似，如果单个电厂系统与

１６

犌犅／犜４１１４５—２０２１

多个具有人因不符合项的ＨＳＩ关联，则每个解决方案应是相互协调的，使得设计结果更加完善，而不是

损害系统的运行。在某项特定的Ｖ＆Ｖ活动中，在识别所有人因不符合项之前，可先开发一部分人因不

符合项的解决方案。但前提是在实施解决方案之前，已经考虑了人因不符合项之间的潜在相互影响。

１０．２．５人因不符合项再验证和确认

应对解决方案的实施进行评价，以证明该人因不符合项已被解决，并确保未引入新的人因不符

合项。

通常，该评价过程应使用最初确定该人因不符合项的Ｖ＆Ｖ方法。例如，如果人因不符合项通过

ＨＦＥ设计验证确定，则评价解决方案时应采用相同的验证过程。然而，也可采用其他方法评价解决方

案是否满足要求。例如，若通过ＨＳＩ某方面的重大变更来同时解决多个人因不符合项，可对最终的

ＨＳＩ设计进行一次确认，确保变更的最终完整效果是可接受的。

１０．２．６犎犈犇解决的记录

应对每个ＨＥＤ解决的信息进行记录，记录应包括ＨＥＤ如下信息：

———编号；

———相关的人员任务和功能、电厂系统；

———判定为ＨＥＤ的原因；

———对累积效应、普遍效应的分析；

———人因例外项判定依据和结果；

———人因不符合项优先级；

———要否解决的判定依据和结果。

对于判定为需要解决的人因不符合项，还应记录：解决方案、再验证和确认的结果。

ＨＥＤ解决的记录可与人因问题跟踪系统结合。

１０．２．７犎犈犇解决的关闭

应核实人因Ｖ＆Ｖ所有活动识别出来的ＨＥＤ均已被充分考虑和应对，证明所有ＨＥＤ已被满意地

解决后，关闭ＨＥＤ解决活动。

对于在人因Ｖ＆Ｖ中确定不解决的人因不符合项，应妥善记录并传递到运行和维护阶段，供电厂改

造考虑。

１１改进型新电厂的特殊考虑

新建核电厂可分为ＨＳＩ集成系统全新设计、改进设计两种情况。

应为全新设计开展最为完整的人因Ｖ＆Ｖ活动，包括及时、充分的形成性Ｖ＆Ｖ，以及完整的总结

性Ｖ＆Ｖ。

改进型新电厂设计从ＨＦＥ的角度，相对参考电厂仅进行了有限的变更或优化，即当前电厂仅是某

“标准”电厂的“翻版”项目。若能为当前项目属于改进型新电厂进行论证并提供充分的理由，则可对人

因Ｖ＆Ｖ活动进行裁切。

设计变更管理是改进型新电厂项目判定的基础，差异分析和变更管理应覆盖４．２的范围。形成性

Ｖ＆Ｖ、ＨＦＥ设计验证、ＨＳＩ任务支持验证、ＩＳＶ裁切的程度，取决于：

———参考电厂Ｖ＆Ｖ活动的完整性和质量；

———变更和优化的范围和程度；

———运行经验反馈；

１７

犌犅／犜４１１４５—２０２１

———是否存在新的监管要求；

———是否存在新技术发展要求。

设计实现、ＨＥＤ解决与全新设计项目不存在差异。

１２电厂改造的特殊考虑

１２．１改造项的人因风险等级

电厂改造项目开展人因Ｖ＆Ｖ的必要性取决于改造是否对人员效能造成了影响。不同改造项目差

异较大，应有针对性地开展人因Ｖ＆Ｖ活动。图３描述了确定改造项的人因风险分析过程。

图３改造项的人因风险分析

若改造项对人员效能存在影响，则应从电厂安全性、电厂经济性（电厂运行、电厂可靠性和投资保

护）、人员风险三个方面对改造的人因风险进行综合分析。在对这三类风险分别分析的基础上，基于电

厂安全风险、经济风险和人员安全风险中的最高等级，可确定改造项初始人因风险等级，如表３所示。

表３改造项初始人因风险等级

电厂安全风险经济风险人员安全风险改造项初始人因风险等级

紧急停堆、主要设备损坏、长存在死亡、严重伤害，或严重１级人因改造项

高期停堆的放射性／严苛环境暴露风险（高风险）

电厂收益下降或同等的设备存在伤害、或放射性／严苛环２级人因改造项

中损失境暴露风险（中等风险）

３级人因改造项

低其他无人员安全影响（低风险）

确定改造项的初始人因风险等级后，可根据下列因素进行修正，以确定最终的人因风险等级。

ａ）范围：

１８

犌犅／犜４１１４５—２０２１

１）受影响ＨＳＩ的数量；

２）受影响的任务数量；

３）受影响的人员范围。

ｂ）复杂性：

１）被改造ＨＳＩ的复杂性，如：

———设计特性或设备级的改造，如修改设备标签、替换某一型号的控制器；

———系统级的改造，如将新的工艺系统引入主控制室、用ＣＯＰＳ替代纸质规程；

———整体性改造，如整个主控制室的数字化改造。

２）受影响任务的复杂性，如：

———改变任务执行顺序；

———改变任务执行的自动化水平；

———改变任务执行时的环境条件。

３）相关技术的复杂性，如用Ⅲ类ＣＯＰＳ替代纸质规程，相对于用Ⅰ类ＣＯＰＳ替代纸质规程

（ＣＯＰＳ分类按照ＮＢ／Ｔ２０２７０规定）。

ｃ）改造实施的方式，如：

１）完整的大型改造，以及很多小的改造组成的改造项目；

２）单次停堆期间的改造，以及多次停堆期间的改造；

３）同时保留新旧设备的改造（包括新的非功能性ＨＳＩ和旧的功能性ＨＳＩ并存），以及不保留

旧设备的改造。

ｄ）不确定性，如：

１）改造相关的经验水平，包括行业的和特定电厂组织的；

２）已有的人因分析和记录的完整性。

１２．２电厂改造人因犞牔犞策划

可根据改造项目特点确定是否开展形成性Ｖ＆Ｖ活动。

总结性Ｖ＆Ｖ可按表４进行策划。

表４改造项人因风险等级与犞牔犞活动

Ｖ＆Ｖ活动１级人因改造项２级人因改造项３级人因改造项

ＨＦＥ设计验证√√√

ＨＳＩ任务支持验证√√

ＩＳＶ√

设计实现√√√

ＨＥＤ解决√√√

Ｖ＆Ｖ活动的目标、范围、方法和深度可根据特定周期、特定改造对象特点单独定义，但应在整个改

造活动中实施统一的ＨＥＤ解决活动。

对于很多小改造组成改造项目或多周期电厂改造，应确保人因Ｖ＆Ｖ策划的完整性和一致性，为改

造中和改造后电厂的安全运行提供合理保障。

应充分识别新旧系统并存对人员效能带来的负面影响。

应覆盖运行和维修人员在电厂非停堆期间以及停堆期间使用的临时配置，以证实它们从工程和运

行角度看都是可接受的。

１９

犌犅／犜４１１４５—２０２１

１２．３电厂改造人因犞牔犞活动

１２．３．１虽然改造项的人因Ｖ＆Ｖ活动与新建核电厂类似，但不同Ｖ＆Ｖ活动也存在特殊的考虑。

１２．３．２ＨＦＥ设计验证和设计实现的特殊考虑如下：

ａ）验证范围可限定于被改造的ＨＳＩ系统，以及受改造影响的ＨＳＩ系统；

ｂ）应确保改造项都遵循了一致的ＨＦＥ原则和ＨＳＩ设计导则，从而保证旧系统和新系统之间，以

及新系统内的标准化和一致性；

ｃ）当相似ＨＳＩ的旧版和新版同时可用时，应能为两者在显示、操作方式上的协调提供合理保证，

以便交替使用它们时，人员效能不会受到影响；

ｄ）应采用一致的ＨＦＥ原则对临时配置进行验证，确保临时配置的设计遵循了良好的ＨＦＥ

原则；

ｅ）应清晰标识非功能状态的ＨＳＩ。

１２．３．３ＨＳＩ任务支持验证的特殊考虑如下。

ａ）应核实执行重要人员动作所需的ＨＳＩ具有一致性，且是标准化的。

ｂ）应核实新的系统满足明确的运行需求，并且不对现有系统造成干扰。例如，新ＨＳＩ的报警声

不应干扰操纵员处理更重要的报警。

ｃ）若存在未引起ＨＳＩ系统改造的电厂系统改造，应关注电厂系统改造是否带来了新的监测和控

制需求，并评价现有的ＨＳＩ设计是否能满足要求。

ｄ）若改造同时保留新旧ＨＩＳ。

１）不应要求人员在执行同一任务的不同部分时，既使用旧ＨＳＩ又使用新ＨＳＩ。

２）当设备控制可同时由多个不同的ＨＳＩ控制器实现时，应对其中的安全问题进行识别和解

决。例如，为了避免同时产生控制输入，可为控制同一设备的两个ＨＳＩ控制设备增设一

个选择开关。

３）对于改造，ＨＳＩ包含了不支持人员任务的信息、显示或控制可能难以避免。被永久禁止但

仍保留在原位（如该位置被弃用）的ＨＳＩ可能对人员效能产生负面影响（如阻碍了重要信

息的查看，或增加影响监视的视觉干扰），应对其进行识别和评估。评估可进一步结合其

他人因Ｖ＆Ｖ活动。

ｅ）应验证临时配置对预期任务的支持。

１）临时配置可包括与最终设计目的不同的ＨＳＩ，以及各自的初始目的以及组合后的预期目

的不同的ＨＳＩ和系统的配置组合。

２）对于每个临时ＨＳＩ配置来说，应鉴别人员的任务需求，并将其与所提供的信息和控制功

能相比较。例如，如果电厂系统的临时配置引入特殊的监控要求，应