一种基于多主体的信息层次人机交互安全性建模方法与流程

[0001]
本发明提供一种基于多主体的信息层次人机交互安全性建模方法，能描述设备故障、环境扰动和人为失误3类因素及其耦合影响，能涵盖故障发生、传播和控制3个典型过程，属于人机交互安全性建模分析领域。


背景技术：

[0002]
航空技术的快速发展使单纯由于机械故障而诱发飞行事故的可能性不断降低。针对有人作战飞机等航空装备，人机交互的要求越来越高，人机交互故障的危险性越来越来大，并且飞机软硬件可靠性越来越高，人机交互故障已成为了航空人机系统整体安全性的薄弱环节。事故调查表明，人机交互故障的主要原因是人机交互过程中出现了认知失误，即情景意识(situation awareness,sa)问题。据美国空军首席科学家endsley统计，航空事故70％与人误相关，其中不能及时建立正确的情景意识占比达72％；据美国海军空战中心训练系统分部学者salas统计，舰载机人误相关的事故中88％可归因于情景意识问题。
[0003]
人机交互故障的发生受人-机-环因素及异常事件的耦合影响，现行的以潜在的失效模式及后果分析(failure mode and effects analysis，fmea)、事件树分析(event tree analysis,eta)和故障树分析(fault tree analysis,fta)为基础的“人机分离”的安全性分析方法，主要考虑事件的逻辑关系，属于静态分析方法，将人误等同于机器故障，没有深入到人机信息交互的机理层次，不能反映事故中人机系统综合的动态交互过程。虽然可以通过因果序列图对事故发展中的机器故障、人误以及情景环境的传播过程进行建模，但是这些经典的技术很难表示安全相关场景中个体的动态性及其之间的相关性，对于运行过程中的系统状态时变性及其影响也较少考虑。因而难以适用于复杂人机系统可靠性和安全性分析，往往存在异常事件组合“想不全”和可能后果“想不清”的问题，可能会残留于人机交互故障相关的重大安全隐患。
[0004]
基于主体的建模与仿真方法，主要通过构建具有自主推理和决策能力的主体，通过定义各主体之间的信息交互关系和行为模型，借主体的自主性行为，模拟真实系统中所有可能的要素，实现对人机交互系统的自底向上建模，继而通过仿真分析人机交互系统的特征和演化规律。多主体的研究目标便是在单个主体的自治性基础上，研究多主体的协商合作问题。在主体个体层面，信念-愿望-意图模型(belief-desire-intention,bdi)模型是主体智能行为实现的基础，在多主体系统中，牛津大学计算机科学系学者simon的有限性理论是多主体系统中各主体通过协商、合作等方式实现共同目标的理论基础，该理论认为，通过组织许多个体而形成的系统，个体无需具备各项技能，只需各司其职，通过合作、信息的流动等机制既可解决个体能力不足、学习能力有限的问题，同时又不会影响系统的整体功能实现。到目前为止，主体领域研究主要分为2个方向：一是基于单个主体的研究，该研究通过构建一个结构复杂、功能多样齐全的主体而形成一个系统；二是基于多主体的研究，多主体系统由多个具有独立结构和功能的主体组成，相对于单主体系统，多主体系统中的主体结构相对简单，完成任务的功能模块较为单一但更加细致，每个主体有自己的状态、数据、
信息和目标，但它的数据、信息和目标都是不全面的，无法通过自身的数据去完成某项任务，所以多主体系统中，只有各主体之间紧密协同合作，互通信息，才可完成多主体系统的全局任务或愿望。
[0005]
综上所述，基于多主体建模仿真方法，对于交互性、动态性和认知特性的描述能力强大，是研究复杂人机交互系统信息层次安全性和任务可靠度的有效途径。主体具有自治性、主动性、反应性以及社会性，在某一环境中，可以感知环境中所发生的事件信息，推理决策并通过执行器完成决策行为，能够自主地求解并完成任务。多主体是一组自治或者半自治的智能单元，通过交互、合作、协商、竞争等一系列的智能行为来做出决策，完成复杂的任务求解。多主体建模与仿真技术、被广泛用于复杂系统自底向上的建模及行为涌现性仿真。在复杂人机交互系统中，多人多机协同完成任务时常发生，因此适合于采用多主体仿真系统进行建模分析。


技术实现要素：

[0006]
(1)目的：
[0007]
本发明提供一种基于多主体的信息层次人机交互安全性建模方法，它根据多主体方法的思路与特征，重点关注情景意识和人机系统交互，针对信息层次人机交互及其失误演化过程，提出基于多主体的人机交互安全性模型方法和建模流程。该建模方法对于评估人机交互安全性和查找潜在风险的动态事件序列有着重要作用。
[0008]
(2)技术方案：
[0009]
本发明提供一种基于多主体的信息层次人机交互安全性建模方法，包括任务场景分析、风险识别与参数设置、主体识别及其交互关系确定和主体行为分析与建模四步。该方法基于情景意识和主体间的交互，分析信息层次的人机交互过程中的人为失误、环境扰动和机器故障等不确定因素及其耦合影响，建立信息层次人机交互安全性模型，并通过定性定量仿真输出人机交互过程的安全性指标和潜在风险的动态事件序列，对于提高人员绩效能力水平和增强人机系统和安全性有着重要作用。
[0010]
本发明一种基于多主体的信息层次人机交互安全性建模方法，其具体步骤如下：
[0011]
步骤一：任务场景分析，用于构建和分析任务场景，确定人机交互过程中的情景意识和交互序列；
[0012]
步骤二：风险识别与参数设置，分析和识别人机交互过程中潜在的人为失误、环境扰动和机器故障，确定情景意识建立时间和人为失误概率诸相关参数；
[0013]
步骤三：主体识别及其交互关系确定，根据人机交互过程，识别涉及的主体以及各主体之间的交互关系；
[0014]
步骤四：主体及其行为建模，设计人机交互过程中的各主体及各主体之间交互的模型，最后进行软件实现并进行定性定量仿真；
[0015]
通过以上步骤，基于主体的情景意识，分析了信息层次人机交互过程及其涉及的人为失误、环境扰动和机器故障；识别出了人机交互过程中涉及的主体及其交互关系；建立了多主体安全性模型，最终经定性定量仿真输出了人机交互过程的安全性指标和潜在风险的动态事件序列，解决了以往人机交互建模方法中，人机环要素耦合特性描述难的问题。
[0016]
其中，在步骤一中所述的“任务场景分析”，是整个多主体建模的基础，主要目的是
针对研究对象构建任务场景，并基于任务场景对系统及各主体展开任务、信息、功能分析，即确定具体的研究情景，以支持异常态下人机系统故障传播和控制的过程建模，包括以下步骤：
[0017]
步骤1)：确定人机交互过程中的情景意识序列
[0018]
本发明中的情景意识根据三层次模型分为感知、理解和预测过程，该模型在人机交互领域的工程分析和学术研究中均已获得广泛应用；结合当前人机系统中的环境和任务情景，确定操作人员主体需建立的情景意识，以及支持操作人员主体感知、理解和预测所需获得的信息，建立情景意识序列；
[0019]
步骤2)：确定人机交互过程中的操作序列
[0020]
这部分针对不同情境意识下的操作序列展开分析，通过目标、次目标、操作和计划的层次结构来描述所分析的活动，其最终结果是对任务活动的详细描述；将一个大的过程细分为一个个小的步骤，每一个步骤都描述出相应的操作规范及要求，即落实到具体的操作、操作执行的顺序、操作的执行人员以及操作结果的反馈形式。
[0021]
其中，在步骤二中所述的“风险识别和参数设置”，是对选择的任务场景进行人-机-环综合分析，分析系统可能出现的人误模式、机器故障和环境扰动，建立各异常事件的故障规律数据库，包括以下步骤：
[0022]
步骤1)：风险识别
[0023]
风险识别的目的是确定系统潜在的人为失误、机器故障和环境扰动诸不确定性因素，为后续各主体的故障模式建模打下基础；针对机器故障和环境扰动，主要根据具体的对象和研究范围确定；同时应确定其发生和变化方式，机器故障分为确定发生和随机发生两种，环境分为确定环境、随机变化的环境和随时间变化的环境；针对操作人员主体，应明确信息缺失、错误诸异常模式下情景意识失误模式以及人为操作失误模式；
[0024]
步骤2)：参数设置
[0025]
这部分是确定定量仿真中上述风险识别中得出的人为失误、机器故障和环境扰动诸不确定性因素的相关参数，同时还包括安全性判据等其他参数；其中机器故障和环境扰动参数包括，随机发生的机器故障和随机变化的环境的发生规律，随时间变化的环境的变化规律；人为失误参数包括情景意识参数和人为失误概率。
[0026]
其中，在步骤三中所述的“主体识别及其交互关系确定”，是针对研究对象选定任务场景，分析任务过程，梳理涉及的主体的操作行为和信息交互内容后，按功能抽象、聚合并确定主体和主体间的交互关系，包括以下步骤：
[0027]
步骤1)：主体识别
[0028]
在该分析阶段，主要目标是以多主体建模思想为基础，通常以功能为依据识别仿真系统中需要表现的实体、对象或其他模块，作为仿真系统中的主体；识别的原则是，根据研究问题的需要、分析问题的方式以及期望呈现的结果对系统进行抽象，并进行简化或细化处理；通过对研究系统中主体的识别，确定仿真系统中包含的主体类型，及其行为表现层次；
[0029]
步骤2)：交互关系确定
[0030]
本部分目的是确定，各主体间的交互关系，可以归纳为以下几种：
[0031]
(1)通信关系，表示两个主体之间可以进行通信，单向还是双向通信，可根据需要
进行定义；
[0032]
(2)信息关系，反应的是知识或信息上的依赖性，即主体1与主体2存在信息关系，则主体1与主体2传输过来的信息或指令会完全相信，不再检验过滤；
[0033]
(3)操作关系，表示两个主体之间的任务是依赖的，即主体1的任务依赖于主体2执行某项任务的结果进行决策与相应；
[0034]
(4)竞争关系，是指因为资源的不足或目标的互斥而导致两主体间相互竞争；
[0035]
(5)从属关系，若主体1从属于主体2，则主体1需响应主体2发送过来的指令或执行其下达的任务。
[0036]
其中，在步骤四中所述的“主体及其行为建模”，是分析确定各主体的状态、属性以及信念集等，以及各主体之间的功能、信息交互关系；该过程抽象提取的属性、信息等，与真实世界系统中的属性、信息并非完全一致，而是根据建模需要和建模语言要求进行转化并描述；包括以下步骤：
[0037]
步骤1)：人机环主体建模
[0038]
本发明根据人机交互过程中涉及的人机环三类主体的特性及其功能，给出了这三类主体的通用模型框架，该框架可以支持和指导人机环主体的设计与建模；
[0039]
操作人员主体模型框架中建立操作人员主体情景意识感知功能模块，通过获取其他主体传递的事件感知系统信息；在操作人员主体的决策层中，结合任务分析得到的人机交互规则建立主体知识库和规则库，构建主体决策模型；根据人误模式分析所得的人误类型设计人的响应输出，建立执行失误模式库，模式库中包含“风险分析”所得的人为失误模式，以及“参数设置”中相关的人误概率及其方法；
[0040]
机器主体在人机交互系统中，是功能的载体，人操纵的对象，即要给人提供任务相关信息，又要依据人的操作行为做出响应，另外，其功能、属性还可能会受到环境的影响；
[0041]
环境主体特指的是自然环境，在许多系统中，尤其是有人作战系统中，环境是一个不可忽略的因素；环境在人机交互系统中只是“自变量”，不受人以及机器的影响；环境主体将环境状态作为信息传递给人主体和机器主体，并通过各主体内部设定的影响机制实现对人的认知能力和机器的功能级别的改变；
[0042]
步骤2)：系统中主体交互行为建模
[0043]
这部分设计了系统中人机环三类主体的交互行为模型框架，全面分析了三类主体间的可能的交互关系，支持和指导主体间交互行为建模；在人机交互过程中，设备故障、环境扰动和人为失误三者以异常事件的方式，在人、机、环主体之间传递；在多主体模型中，环境扰动以事件的形式传递给机器主体，改变设备运行状态和故障率，加速设备故障的发生；设备故障和环境扰动等异常态以事件的形式传递给人主体后，改变人的注意力分配情况，造成sa延迟或错误，并改变执行失误概率，导致执行失误；人为失误最终以操作指令事件的形式传递给机器主体，改变设备功能状态，导致设备故障不断传播，使系统趋近危险边界。
[0044]
(3)功效、优点
[0045]
本发明提供了一种基于多主体的信息层次人机交互安全性建模方法，该方法能够分析各主体结构、行为和交互关系，建立人机环三类主体的通用模型；能够描述设备故障、环境扰动、人为失误3类因素及其耦合影响，实现故障发生、传播和控制过程的建模；能够建立基于情景意识的信息层次模型模和基于人因可靠性分析方法的人误概率的量化方法，支
持操作人员主体的建模；基于本方法建立的人机交互安全性模型，能够输出准确的人机交互安全性指标和全面的潜在风险动态事件序列。本发明所述建模方法科学，工艺性好，具有广阔推广应用价值。
附图说明
[0046]
图1本发明所述方法流程图
[0047]
图2发动机火警人机交互多主体模型框架
[0048]
图3发动机火正常报警时多主体人机交互模型
[0049]
图4发动机火警情景意识动态序列
[0050]
图5发动机火警灭火操作动态序列
[0051]
图中序号、符号、代号说明如下：
[0052]
图3中，圆角矩形框为主体，椭圆形框为计划，信封形框为事件；单向箭头“send”表示发送此事件，单向箭头“use”表示使用此计划，单向箭头“handle”表示处理此事件。
[0053]
图4中椭圆实线框代表未建立发动机着火情景意识；图4和图5中椭圆虚线框代表建立发动机着火的情景意识，为同一个节点；图4和图5中方框为节点。
具体实施方式
[0054]
本发明提供一种基于多主体的人机交互安全性建模方法，如图1所示；该方法依次按照下述四个步骤进行；本发明以复兴航空空难为背景，针对双发飞机起飞阶段出现单发火警后的应急处理过程，采用上述建模方法，建立基于多主体的人机系统信息层次人机交互安全性模型；模型对单发火警场景下飞行员的情景意识建立过程和应急操作流程进行安全性分析，输出情景意识建立时间和潜在风险的动态事件序列，以验证本发明的可行性和准确性。
[0055]
具体实施方案详述如下：
[0056]
步骤一：任务场景分析
[0057]
分为以下两个步骤：
[0058]
步骤1)：确定人机交互过程中的情景意识序列
[0059]
发动机着火对飞机飞行安全的影响十分显著，因此在飞机人机界面中设有明显直接的发动机火警报警装置，一般为颜色变化的报警模块。此报警模块通过温度传感器监测发动机状态，当发动机温度超过临界值时发出报警信号。飞行员发现发动机火警后，需观察其他仪表来识别着火的发动机，包括温度表和流量表。下面给出发动机火警下的情景意识建立过程：
[0060]
·
发现发动机火警报警；
[0061]
·
观察发动机温度表(温度超限)；
[0062]
·
观察发动机流量表(流量异常)；
[0063]
·
火情确认(确认非虚警)；
[0064]
·
识别着火发动机。
[0065]
步骤2)：确定人机交互过程中的操作序列
[0066]
当飞行员错误识别发动机发现发动机火警正常报警时，一般立即执行应急流程；
但是如果发动机火警在起飞时出现，飞行员应首先将飞机建立并稳定在安全爬升航径上，然后再执行应急流程。发动机火警应急流程包括：
[0067]
·
关断发动机(将发动机混合器控制杆置于关断位置)；
[0068]
·
释放灭火剂(释放置于发动机内壁固定式灭火瓶中的卤代烃物质)；
[0069]
·
关闭灭火剂；
[0070]
·
重启发动机。
[0071]
步骤二：风险识别与参数设置
[0072]
步骤1)：风险识别
[0073]
风险识别的目的是确定系统潜在的人为失误、机器故障和环境扰动等不确定性因素。本案例中，机器故障为发动机火警，为确定的发生场景触发事件；环境包括白天和黑夜，对操作人员的认知能力产生影响。
[0074]
情景意识失误分析如下：
[0075]
·
未发现此报警信号，未建立发动机火警情景意识；
[0076]
·
识别着火发动机错误，判断为2号发动机着火。
[0077]
发动机火警应急处置过程中飞行员可能出现人为失误模式如表1所示。
[0078]
表1发动机火警应急操作失误模式描述
[0079][0080]
步骤2)：参数设置
[0081]
这部分是确定定量仿真中上述风险识别中得出的人为失误、机器故障和环境扰动等不确定性因素的相关参数，同时还包括安全性判据等其他参数。因火警为场景的触发事件，所以不设置发生概率。同样的，环境仅包含白天和黑夜两类，在任务场景下不会发生变化，只能作为任务场景的设定条件，因此也不设置其变化规律。
[0082]
情景意识参数确定如下：本案例根据双发飞机火警告警相关界面，分析得到了飞行员发动机火警下注意力分配规律，具体参数如表2所示，表中n～(a,b)表示正态分布，a为均值，b为方差。
[0083]
表2各告警类型下注意力分配模型参数表
[0084][0085]
人为失误概率确定结果如表3所示。
[0086]
表3人为失误模式概率表
[0087][0088]
仿真系统以时间窗口为安全性判据，其中，发动机火警处理时间窗口与任务基本场景相关，规定如下：发动机火警正常报警，发动机火警真实发生，飞行员应在规定时间内完成火警识别和应急处理，保证安全，故规定时间窗口为34秒。
[0089]
步骤三：主体识别及其交互关系确定
[0090]
步骤1)：主体识别
[0091]
根据上述分析，双发飞机火警报警中涉及飞行员、飞机和环境三个对象，因此在系统中设置三个主体，分别为飞行员主体、飞机主体和环境主体。
[0092]
步骤2)：交互关系确定
[0093]
在发动机火警人机交互任务系统中，飞行员主体与飞机主体之间交互主要包括，飞机主体向飞行员主体提供报警信息、温度信息、流量信息以及操作有效性的相关信息，飞行员主体向飞机主体传递操作动作。因此飞行员主体和飞机主体之间的关系为通信关系和操作关系；环境主体与飞行员间的交互为，环境主体向飞行员主体发送环境状态。因此环境主体与飞行员主体之间的关系为信息关系。
[0094]
步骤四：主体及其行为建模
[0095]
这部分目的是建立发动机火警场景下各主体模型和主体间交互模型，模型框架如图2所示。
[0096]
步骤1)：人机环主体建模
[0097]
飞行员主体设计如下：飞行员主体(软件中定义为pilot主体，名称为“pilot”)是对飞行员的模拟，其主要的职责是，在发动机火警时，通过查看发动机火警报警模块、发动机温度表和发动机油量表等仪表发现火警、识别着火发动机并判断火警类型，并在确认发动机着火后，执行应急操作流程，关断发动机、打开灭火剂、关闭灭火剂，最后重启发动机。飞行员主体的属性和功能如下：
[0098][0099]
飞机主体设计如下：飞机主体(软件中定义为plane主体，名称为“plane”)是对现实世界双发飞机的模拟。其主要功能为：提供报警信息，提供参数信息，响应飞行员的操纵。
飞机主体的属性和功能如下：
[0100][0101][0102]
环境主体设计如下：环境主体(软件中定义为environment主体，名称为“environment”)是真实世界中环境变化规律的模拟。其主要功能为：向pilot主体发送环境状态(白天/黑夜)。环境主体的属性和功能如下：
[0103][0104]
步骤2)：系统中主体交互行为建模
[0105]
发动机火警正常报警时多主体人机交互模型如图3。在初始时，environment主体以“环境状态”事件向pilot主体发送环境状态，pilot主体利用“认知能力”计划确定情景意识时间分布和人为失误概率；plane主体以“发动机着火”事件向pilot主体发送正常报警信号，飞行员使用“火警信号感知”计划处理该事件；当查看报警信号的时间超过时间限度时，认为飞行员未发现火警报警，未处理发动机火警，发动机彻底失效，向plane主体发送“未发现火警”事件，终止仿真；当飞行员发现火警报警后，查看发动机温度表和流量表，能够正确识别着火发动机并排除虚警，向自身发送“发现火警”事件，建立发动机火警正常报警情景意识，并执行发动机火警应急流程。
[0106]“关闭发动机”、“开启灭火系统”、“关闭灭火系统”、“重启发动机”四个计划是pilot主体执行的发动机火警应急流程，以“停车指令”、“灭火指令”、“关灭火指令”和“重启指令”四个事件向plane主体发送操作指令。plane主体以“灭火开”计划处理“灭火指令”事件，当飞行员在关断发动机前灭火时引擎彻底失效，终止仿真。plane主体以“重启响应”计划处理“重启指令”事件，当飞行员在关闭灭火剂前重启发动机，操作无效。
[0107]
经定量仿真，得到起飞阶段发动机火警下正确情景意识建立时间均值如表4所示，与实验所得情景意识建立时间相比误差均小于20％。
[0108]
表4正确情景意识建立时间均值
[0109]
数据类型情景意识建立时间(t/s)误差(％)
实验数据13.86——仿真数据(白天)14.766.49仿真数据(黑夜)13.512.53
[0110]
经定量仿真，得到起飞阶段发动机火警下安全可靠度如表5所示，与实验所得安全可靠度相比误差均小于20％。
[0111]
表5安全可靠度对比结果
[0112]
数据类型安全可靠度误差(％)实验数据0.791——仿真数据(白天)0.89312.9仿真数据(黑夜)0.91215.3
[0113]
仿真模型采用定性仿真方法，经深度优先遍历得到发动机火警后故障演化动态序列，见图4和图5。仿真模型中共得到91条动态序列，其中包含23条不安全序列。经过对比分析，132次实验中118条与仿真所得序列一致，潜在风险的动态事件序列的一致性为89.4％。