塔里有人吗？

监视开门之前，知道该检查什么：有流程，若执行得当还有文字。事故之后，知道该做什么：打电话、维修、记录。而在这两者之间，观众正在穿行，信息却四散：一个操作员在音控，一个在入口，第三个从对讲机里听到了点什么。没有人掌握全局图像，尤其没有人看见下一步正在到来。

控制塔上的操作员看见一条过长的队伍正在形成：队伍是症状，它出现在延误原因之后十到十五分钟。他真正需要的是原因出现那一刻的原因，而他有手段：轻微加快演出，并让前一组更快地穿过各房间。

一条被看见的队伍，是一刻钟前错过的一次决策。

看见瓶颈演示场所是一条取材于

的沉浸式游线，设在一座废弃歌剧院及其被淹的地下：五号包厢、一间过厅、乘电梯下行、带吊灯的长廊、通往码头的楼梯、在立柱之间乘船横渡的湖、有管风琴的巢穴，然后上行。十三个房间，其运作方式并不是一条流水线。的游线。一座控制塔只有描述了两组之间那间空房

不是浪费空间，而是演出的一个组成部分：没有它，一组就会听见前一组的演出。这也是 Argus 不显示任何总体上座率的原因：每个房间说明谁在其中，但没有任何东西给游线打分，打分会把这段间隔读成浪费。推进以

六人一组为单位，一组一间房，并在两组之间留一间空房：正是这一点保证一组永远听不见前一组的演出。技术上这是闭塞分区运作：只有当下一间房已就绪，并且再下一间房空着时，一组才前进。同时在途的最多三组。有一支船队时，故障只是降级。只有一条船时，故障就是停摆。

只有一条。这不是缩减到一个单位的船队，而是另一种制度：它的循环——登船、横渡、下船、空载返回——单凭自身就决定了整条游线的节奏。每九分钟六个人，没有什么能更快。屏幕正是在这里派上用场。如果横渡延长三分钟，船返还的就少于送进去的：

什么也看不出来，一切都好，而队伍将在十分钟后诞生于登船码头。Argus 不说「登船码头满了」，它在还来得及的时候说循环已经劣化。而它所要求的决策不是修船，而是拉开发车间隔，一键即可完成。操作员唯一的手柄

「我知道情况正常」这是几乎所有仪表盘都弄错的区分，而代价高昂。操作员看着一块绿色的屏幕，感到安心，而他错了：采集在十分钟前就停了，屏幕上没有任何东西给他理由去怀疑。

最糟糕的屏幕不是显示报警的那一块。而是因为什么都收不到才是绿色的那一块。

状态

一个房间有权

说什么每个房间只显示一句话，而且始终是同一种说法，因为操作员不是在读屏幕，而是在辨认它：

「未检测到人员」

船还没有靠岸，它就永远不是「ready」，而且会报出还要多久才靠岸。这是唯一一处房间状态取决于载具的地方，也正是单一载具游线区别于其他所有游线之处。数据源丢失。没有绿色，也没有红色：全部未知，而且看得出来。

会杀死其余所有报警误报率是第一位的设计参数，排在美观之前，也排在功能之前。一场演出里三条毫无根据的报警，操作员就会条件反射地确认，看都不看。工具于是变得比没有更糟，因为它带来一种早已不存在的警觉感。

由此得出三条规则，而且切实遵守：一条报警以

可行的动作为前提，否则它只是信息，不该鸣响；恢复阈值不等于触发阈值，否则一个来回摆动的数值会摆一次就报一次；一个条件必须持续数秒才鸣响。日志在浅色底上，与平面图分开：看一份事件清单，不同于盯一张系统图。每一行都说明什么、何时、何处，以及该看哪一路摄像机。

这块屏幕里这是我们绝不让步的一点，与其在会议上发现，不如在这里读到。

Argus 不带任何急停、任何联锁，也不带任何一旦失效便会危及人身安全的功能。安全 PLC 始终是主；Argus 只读取、显示，并且只下达不产生任何约束的指令：启动一个效果、停止它、确认、切换演出模式。这不是被迫接受的限制，

而是使整体成为可能的前提。一块不触碰安全链的监视屏，运行在一台普通的 Ubuntu 服务器上，无需认证，可以在某个星期二早上更新而无人屏住呼吸。一旦软件进入那条链，行业、成本与节奏都会改变，并失去演进能力，而演进能力恰恰是人们对一件监视工具的期待。这在屏幕上看得见：安全相关的状态，比如浓雾所要求的火灾探测抑制，被单独框起并标注

只读。演示中的一个情景显示：雾已关闭而抑制仍然有效。Argus 发出提示，除了提示之外什么也做不了。那是消防系统的职责。操作员必须一眼看清自己不能屏幕里做什么。

环绕水池的防侵入地垫遵循同样的逻辑，而且是最能说明问题的例子：它接在安全链上，不接在 Argus 上。当有人把脚踏到不该踏的地方，船会自行停下。Argus 显示「已触发」，说明位置，打上时标，而不能下达任何指令。这正是人们对一块监视屏的期待：让一个事件变得可读，却绝不插在传感器与切断机构之间。

对于产生约束的指令，一块实体操作台仍是正确答案，我们把它作为明确分开的选配提供。按钮在黑暗中、在压力下也能盲摸到，而且不依赖一个已经卡死的浏览器。

摄像机在另一块屏幕上

Argus 不显示任何视频流，而且这是刻意的。一张运营平面图显示的状态精确到零点二秒；一路视频画面送到浏览器要滞后二到十秒。把两者并排摆放，等于把两个不同的瞬间当作同一个瞬间呈现，而且恰恰是在有人做决定的那一刻。

把屏幕分开，首先是把技术分开，滞后正是在那里消失的：一面原生视频墙能保持在零点二到零点三秒。因此 Argus 只负责说出该看哪一路摄像机，在平面图上，也在每一条报警上。已经装好的视频监控系统予以保留，连同它的访问权限和保存期限。

同一块屏，三米，或者六米

没有任何东西以像素为尺寸，一切都按屏幕比例。同一个页面既装得下十三英寸的笔记本，也装得下六十五英寸的监控屏，无需重画任何东西。因此您在演示中看到的，就是您将来在墙上得到的，尺寸除外：安装当天不会有坏惊喜。

话虽如此，站的位置不同，屏幕的读法也不同。一键即可在两种设置之间切换。「控制室」是工作仪器：密集、多数字，供熟悉游线的人在两三米外阅读。「厅内」面向六米和整个团队；它不只是把字放大，还会拿掉一些。门的循环、子系统的状态，所有技术细节都隐去，只留下可以据以决策的内容。

屏幕还必须在没有颜色时依然可读，这不是原则性的谨慎。每十二个男性中有一个难以区分绿与红。而我们所用的绿与琥珀色亮度几乎相同：对这些人而言，就像在黑白屏上一样，两者会变成同一个灰点。

因此每种状态除颜色之外还带一个形状：实心圆表示正常，三角表示注意，菱形表示严重，空心圆表示未知。颜色加快阅读，形状保证阅读。我们把屏幕转成灰度来验证：如果信息在那里仍然成立，说明它并不依赖颜色。

Argus 与Carbone, 其间与前后

在屏幕上看见的事故必须最终进入台账，否则三小时后就只能凭记忆讲述，时间是大概的，原因是拼凑的。一键即可把事故送往CARBONE，我们的运营台账，其中已经填好准确时间、区域，以及事发时的系统状态。

两件工具互相呼应：Carbone掌管开门、申报与闭馆，Argus 掌管其间。这是同一天，从它的两半来看。

一项量身定制的服务，不是货架上的软件

一座控制塔描述的是一个确定的场所。Argus 的区域、容量、节奏、效果与子系统都是配置，不是代码：平面图是您游线的矢量图，其中每一处空间都与该了解的信息相连。正是这一点使同一个引擎可以装在两个毫无共同之处的场所上。

因此投用从一次到场勘查、一次人流实测，以及一个我们在承诺之前总要提出的问题开始：今天是什么在驱动这些效果，出问题时又是什么切断一切？如果存在一条停机链，我们就把监视架在它之上。如果不存在，那就不再是同一个行当，也不是同一个预算，最好一开始就说明。

引擎盖之下

本地 Ubuntu 服务器，仅一路视频输出接到监控屏。没有云、无需注册账号、没有任何数据离开场地。以 Modbus TCP 或 OPC-UA 读取 PLC，用 OSC 输入对接演出控制，还有一个与其他连接器别无二致的模拟器：演示与实际安装跑的是同一个引擎。

屏幕方面，一台 65 英寸 4K 的 LCD 监视器适用到四米的阅读距离；更远就需要更大的。绝不用 OLED，如此静止的画面几个月就会烙印。也不用投影：系统图有九成是黑的，而投影会把黑抬成灰，恰好削弱报警的红。

您可以在上方打开的演示只是一个文件，没有服务器也没有外部依赖，其随机性可复现：每次会面它讲的都是同一个故事。