Y3.09.1Continuous control-authority indication设计
当前控制权归属需要持续可见
别名: 控制权归属 · control authority
概念解释
控制权归属指的是此刻究竟是自动控制器、现场就地操作、远程工位、还是上级监控系统在决定某个输出。它需要持续可见，而不是只在切换那一刻提示一次，因为同一条操作指令在不同归属下的效果完全不同——在自动模式下写入的设定值可能被控制器忽略或排队等待，在现场手动模式下写入则可能立即执行，也可能覆盖掉其他工位刚发出的命令。
机制
控制权是一个随时间变化的动态状态，不是登录角色或权限等级那种相对静态的属性。切换、通信中断后的自动恢复、保护动作触发的强制接管，都会在没有人主动操作的情况下改变控制权归属。如果界面只在转换发生的瞬间弹出一次提示，操作者很容易在几分钟后就忘记当前状态，继续沿用切换前的行动模型去操作——他以为自己在写手动命令，实际上系统早已切回自动；他以为自动控制器在管着，实际上通信中断已经把控制权移交给了本地保护逻辑。持续显示把"归属"从一次性事件变成随时可查的状态，才能让操作者的心智模型和系统实际状态保持同步。
边界
复杂系统未必是整体"自动/手动"二选一，控制权可能按回路、按子系统分别分配，同一台装置里一部分回路自动、一部分回路手动是常态，用单一的全局标签概括会过度简化，反而掩盖真正需要关注的那几个回路的归属状态。另外，持续可见解决的是"知道谁在控制"的问题，不解决"谁应该有权控制"的问题——可见性本身不能替代权限校验，不能因为界面显示了归属就放松对越权操作的技术限制。
怎么落地
控制权的变化不应只留在触发它的那个工位，还要进入团队共享的总览视图，避免不同工位的人对同一个回路持有互相矛盾的归属认知——现场以为自己在控制，中控室却以为控制权还在自动。
- 在每个受控对象旁边，同时显示当前权威方、发出最近一条命令的来源、最近一次转换发生的时间、以及尚未生效的待处理命令；
- 跨工位、跨层级保持归属信息的呈现一致，不要中控室一种图标、现场移动终端又是另一种；
- 验证办法：制造一次无提示的自动切换和一次通信中断后的恢复，测试操作者能否在不依赖记忆的情况下，仅凭界面就正确预测"此刻我发出的指令会不会生效"。