Y1.04.2Limits of passive visual monitoring设计研究
单纯依赖人工盯屏不可靠
别名: 被动监视 · passive monitoring
概念解释
单纯人工盯屏是一种被动监视（passive monitoring）：人的主要任务是等待偶发变化而非持续操纵过程。它不可靠并非态度问题，而是持续注意、扫视覆盖和唤醒水平本身就有可预测的波动——把这种波动当作可以靠"认真"抵消的意志力问题，是最常见的误判。
机制
被动监视的失效有两条互相独立的路径，分别决定了不同的补救方向：
- 扫视覆盖会随屏幕数量稀释。 一个人要看的画面越多，分配到每一面屏、每个区域的驻留时间和复看间隔就越长；异常一旦出现在两次复看之间的窗口，就算最终视线扫过去了，外周视野的敏感度也不足以在没有运动提示的情况下把它捡起来。这条路径的关键变量是屏幕数与复看间隔，不是操作员是否"用心"。
- 自动化维持正常运行会稀释参与度（Bainbridge 提出的自动化悖论之一）：系统越是稳定运行，操作员越少有机会练习手动判断，直到自动化触到自身能力边界、把控制权突然交还给人——这正是操作员最缺乏当下态势的时刻，即脱离环路的性能问题（out-of-the-loop performance problem）。这一效应并非随可靠性单调恶化：可靠性持续偏高且几乎不出错的自动化最容易诱发脱离，而可靠性时高时低、偶尔出错的自动化反而迫使操作员保持核查习惯，脱离环路的风险更低。
两条路径分别对应"覆盖不到"和"看到了但反应不过来"，混在一起讨论会让补救措施找错靶子。
怎么研究
多屏监视场景可以用眼动记录量化兴趣区的驻留时间与复看间隔，判断在给定屏幕布局下异常窗口是否可能被跳过。自动化依赖与脱离环路的研究则操纵自动化的可靠性水平（持续高可靠、持续低可靠、可靠性波动三种条件），比较操作员在自动化失效瞬间的接管延迟与初始诊断错误率。
一个方法论上的注意点：多数复演研究的时长在一到两小时，且通常只安排一次自动化失效；真实岗位里自动化可能连续无故障运行数月，操作员积累的手动技能生疏和信任固化程度，很可能比实验室估计的更严重——单纯依赖短时复演的数据会低估现场风险。
边界
- 人工监视仍然不可替代的场合：识别自动化未被设计去识别的新颖模式、交叉核验传感器本身是否失真、在信息互相矛盾时做判断。结论不是"不该让人监控"，而是不能把无辅助的持续盯屏当成唯一的安全屏障。
- 脱离环路问题主要在自动化持续高可靠时最严重；如果某个岗位的自动化本身可靠性有波动，操作员的参与度问题通常没有这么突出，不必套用同一套补救方案。
- 如果任务仍保留一个动作—反馈闭环（操作员还需定期手动调整某个参数），被动监视的风险会显著降低；纯"只看不动手"的岗位才是这条机制描述的高风险对象。
- 现有证据大多来自流程控制和飞行模拟器的一到两小时复演，能否直接套用到完整的十二小时轮班尚不确定。
怎么落地
- 不要把任何单一危险源完全交给无辅助的人工盯屏；把可靠的自动检测和定期人工确认组合起来，并明确谁对哪块屏幕、哪类异常负最终责任，避免"以为对方在看"的覆盖空白。
- 把自动化的检测器健康状态和置信度做成可见信息，而不是让可靠性保持隐性——这是缓解"持续高可靠导致脱离"最直接的办法：让操作员知道系统什么时候不那么该被信任。
- 多屏、多操作员场景要显式分工覆盖范围，而不是默认"总有人会看到"；覆盖边界要写清楚，交接时逐条确认。
- 验证办法：做整班尺度的复演演练，在演练中安排至少一次自动化失效需要人工接管，记录从失效发生到操作员察觉、再到给出正确初步判断所用的时间，和一名刚接班、未产生依赖的操作员基线对比；差距越大，说明被动监视在这个岗位上作为安全屏障的失效程度越高。