CN108804771A - 一种用于分析和设计人机交互逻辑的离散事件系统方法 - Google Patents

Abstract

本发明属于人机交互技术领域，具体为一种用于分析和设计人机交互逻辑的离散事件系统方法。所述方法包含三个部分：结合对象系统流程图的离散事件系统自动机建模算法，对应增广自动机建模算法和基于增广自动机模型的人机交互逻辑改进算法。改进算法的思想是结合对象系统情况，对对象系统的每个离散状态进行分析，以确定不确定操作发生与否，并进行必要的报警，可增强系统的安全性和鲁棒性。

Description

一种用于分析和设计人机交互逻辑的离散事件系统方法

技术领域

本发明属于人机交互技术领域，具体为一种用于分析和设计人机交互逻辑的离散事件系统方法。

背景技术

人机交互是指人与系统之间使用某种对话语言，以一定的交互方式，为完成确定任务的人与系统之间的信息交换过程，人机交互功能主要依靠可输入输出的外部设备和相应的软件来完成。当前设计人机交互系统时通常以系统的功能需求为导向，构建系统的功能流程图，进而对对象系统进行功能实现，在系统实现过程中往往假设用户完全按照正确的方式进行人机交互，而忽略了用户本身操作的多样性与不确定性，以及用户的这些不确定操作对系统造成的影响，甚至安全隐患。本发明提出的用于人机交互逻辑设计的离散事件动态系统方法可用来分析用户操作的不确定性，并改善人机交互逻辑，降低甚至消除以往方法中存在的各种安全隐患。

发明内容

本发明的目的在于公开一种用于分析和设计人机交互逻辑的离散事件系统方法，主要内容包括：以对象系统的功能需求为导向建立功能流程图，在此基础上构建相应的自动机模型。基于自动机模型，分析用户操作的不确定性，并进而得到增广自动机模型，该模型包含用户所有可能的不确定操作。在此基础上，研究用户的不确定操作对人机系统产生的不同影响，据此改善人机交互逻辑，提高人机交互系统的安全性和鲁棒性。

系统自动机模型G＝(Q,Σ,δ,Γ)建立过程如下：

步骤1.定义用户的操作事件，其集合标记为Σ_p，根据实际系统中操作事件可否禁止，分为可控事件集合Σ_p,c和不可控事件集合Σ_p,uc；定义对象系统的数据流事件，其集合标记为Σ_m，因此人机交互系统的驱动事件集合为Σ＝Σ_p∪Σ_m。

步骤2.依据对象系统的功能流程图，明确并定义系统由事件驱动所能到达的所有状态，其集合标记为Q。

步骤3.定义变迁函数δ:Q×Σ→Q。变迁δ(q,σ)＝q'表示系统在q状态下由事件σ(σ∈Σ)驱动到达状态q'，以对象系统的功能流程图为基础，根据驱动事件集合Σ和状态集合Q定义功能流程图中蕴含的所有变迁。

步骤4.定义活动事件函数Γ:Q→2^Σ。Γ(q)表示当对象系统处于q状态时，功能流程图中允许发生的所有驱动事件的集合，称为q状态下的活动事件集合。

基于上述自动机模型，构建增广自动机G_ex＝(Q,Σ,δ∪δ_un,Γ∪Γ_un)，其算法如下：

步骤1.针对所定义的任意用户操作事件σ_p∈Σ_p，确定事件发生后的目标状态q_m，用户操作事件集合Σ_p中所有用户操作事件的目标状态集合标记为Q_m。

步骤2.给定任意状态q，针对用户的不确定操作事件σ_p∈Σ_p(也即在原自动机G＝(Q,Σ,δ,Γ)不属于集合Γ(q)中的用户操作事件，所有不确定操作事件集合标记为Γ_un(q))，定义不确定变迁δ_un(q,σ_p)＝q_m，q_m为其对应的目标状态。针对Γ_un(q)中所有不确定操作及其所对应的目标状态重复上述操作，完成所有不确定变迁的定义，进入步骤3。

步骤3.针对Q中每个状态重复步骤2的操作，直到Q中所有状态操作完毕。

在增广自动机模型的基础上，人机交互逻辑改进算法步骤如下：

步骤1.选择一个状态q∈Q，任意选择q状态下定义的不确定变迁δ_un(q,σ_p)＝q_m，根据以下四种情况分别进行处理：

1)若δ_un(q,σ_p)＝q_m在对象系统中违背硬件设定操作时序，则禁用该变迁；

2)若δ_un(q,σ_p)＝q_m，在对象系统中不发生状态迁移，则禁用该变迁；

3)若δ_un(q,σ_p)＝q_m在对象系统中会引起安全隐患，分下面两种情况进行处理：若事件σ_p∈Σ_p为可控事件，则禁用该变迁(并可在q状态下用户发生σ_p∈Σ_p操作时报警，提示该操作会产生安全隐患)；若事件σ_p∈Σ_p为不可控事件，则保留该变迁，将这些不可控变迁放在一个集合Γ_d中(并可在q状态下用户发生σ_p∈Σ_p操作时报警，提示该操作会产生安全隐患)。

4)若δ_un(q,σ_p)＝q_m不符合上述任意一种情况，则保留该变迁。

对q状态下所有新定义的不确定变迁重复上述操作，直至所有新定义的不确定变迁均操作完毕，进入步骤2。

步骤2.针对Q中每个状态重复步骤1，直到Q中所有状态操作完毕，输出改进后的增广自动机和集合Γ_d，该集合包含了所有具有安全隐患的系统变迁。

下面以汽车领域和安防领域的两个实施例对上述发明内容予以说明，但需要指出的是，上述发明内容并不限于上述两个应用领域。

附图说明

实施例1

图1纯电动汽车上下电系统流程图

图2钥匙开关结构图

图3纯电动汽车上下电系统自动机模型

图4增广自动机建模步骤2示例

图5纯电动汽车上下电系统增广自动机模型

图6人机交互逻辑改进算法步骤1示例

图7算法改进后得到的自动机模型

实施例2

图8门禁系统结构图

图9门禁系统流程图

图10门禁系统自动机模型

图11门禁系统增广自动机模型

图12门禁系统改进算法步骤1示例

图13算法改进后得到的自动机模型

具体实施方式

实施例1：

本文的一个实施例将参考图1到图7进行说明。图1所示为纯电动汽车上下电系统流程图，其过程为纯电动车的整车控制器接收并判断人给定的钥匙信号，从而控制整车进行相应操作，符合典型人机交互系统的要求。

纯电动车外设参数设置如下：钥匙分三挡，分别为OFF挡，ON挡，START挡。ON挡检测其上升沿与下降沿，START挡检测其脉冲信号且START挡具备自动复位功能。钥匙开关结构类似传统开关，如图2所示。图2表明在不破坏开关的前提下，钥匙信号的产生存在时序关系，START挡信号必须在发生ON挡上升沿信号之后发生，ON挡信号必须在系统启动最开始发生或者ON挡下降沿信号之后发生。

以系统流程图为基础，自动机建模过程如下：

第一步：按照系统自动机建模步骤1所述，定义系统驱动事件及事件对应物理意义如表1所示。

表1纯电动车上下电系统驱动事件

用户操作事件集合为Σ_p＝{α₁,α₂,α₃,μ₁,μ₂,μ₃}，可控事件为α₁,α₂,α₃。

系统数据流事件集合为Σ_m＝{λ₁,λ₂,λ₃,λ₄,λ₅,γ,t₁,t₂}。

驱动事件集合Σ＝Σ_p∪Σ_m。

第二步：按照系统自动机建模步骤2，定义系统经过事件驱动到达的状态如表2所示。

表2纯电动车上下电系统状态

系统状态序号	物理意义
		q1	整车关机状态
q2	低压上电状态
		q3	低压下电状态
q4	低压故障状态
		q5	高压上电状态
q6	高压故障状态
		q7	车辆就绪状态，车速等于0
q8	高压下电状态
		q9	整车睡眠状态
q10	运行故障状态
		q11	整车故障睡眠状态
q12	车辆行驶状态，车速不等于0

状态集合Q＝{q₁,q₂,q₃,q₄,q₅,q₆,q₇,q₈,q₉,q₁₀,q₁₁,q₁₂}。

第三步：按照系统自动机建模步骤3，定义系统状态变迁函数δ:Q×Σ→Q，以整车正常上电流程为例：系统从整车关机状态经钥匙ON挡上升沿驱动到达低压上电状态，此处定义系统状态变迁函数δ(q₁,α₁)＝q₂表示上述过程；系统从低压上电状态经钥匙START挡脉冲信号驱动到达高压上电状态，同理定义系统状态变迁函数δ(q₂,α₃)＝q₅；系统到达高压上电状态后，为保护驾驶员和车辆安全，必须检测到加速踏板没有踩下，系统才会给踏板供电使得车辆进入就绪状态，故此时定义系统状态变迁函数δ(q₅,μ₁)＝q₇。至此，事件串s＝α₁α₃μ₁表示系统从整车关机状态到整车就绪静止状态的系统上电流程。

按照上述方式，依据系统流程图1，构建完整的自动机模型。从该模型上可以看到，正常下电流程事件串s＝α₂t₁t₂，低压故障下电事件串s＝(λ₁/λ₃/λ₄)t₁，高压故障下电事件串s＝(λ₂/λ₃/λ₄/λ₅)t₁t₁，运行时故障下电事件串s＝γt₁t2。

第四步：按照建模步骤4，依据系统流程定义系统活动事件函数Γ:Q→2^Σ，以整车关机状态q₁为例，流程中限定关机状态下只有ON挡上升沿信号能改变系统状态进入低压上电状态，即定义活动事件集合Γ(q₁)＝{α₁}，同理依据流程图得到状态集合Q中所有状态的活动事件函数Γ:Q→2^Σ。

最终得到纯电动汽车上下电系统自动机模型G＝(Q,Σ,δ,Γ)，如图3所示。

增广自动机建模过程如下：

本实例主要研究纯电动汽车上下电系统，控制信号是钥匙信号。为了实例的简洁，此处Σ_p只考虑α₁,α₂,α₃，不考虑μ₁,μ₂,μ₃等三个操作。

第一步：按照增广自动机建模算法步骤1所述，对所有用户操作事件α₁,α₂,α₃，事件α₁的驱动意图是正常上低压电，则其目标状态为低压状态q₂；事件α₂的驱动意图是正常下电，则其目标状态为低压下电状态q₃或高压下电状态q₈，具体为哪个目标状态取决于发生α₂事件的状态是高压状态还是低压状态，即当发生状态为低压时，目标状态为低压下电状态q₃，当发生状态为高压时，目标状态为高压下电状态q₈；事件α₃的驱动意图是上高压电，则其目标状态为高压上电状态q₅，综上目标状态集合为Q_m＝{q₂,q₃,q₈,q₅}，如图4所示，目标状态标记为同心圆。

第二步：如图4所示，以状态q₈和状态q₁₂为例，说明增广自动机建模步骤2：选择状态q₈，此状态下的不确定操作有α₁,α₂,α₃，且q₈状态下系统处于高压状态，故根据不确定操作与目标状态的映射关系可得到不确定变迁δ_un(q₈,α₁)＝q₂，δ_un(q₈,α₂)＝q₈，δ_un(q₈,α₃)＝q₅；选择状态q₁₂，此状态下不确定操作有α₁,α₂,α₃，且q₁₂状态下系统处于高压状态，故根据不确定操作与目标状态的对应关系可得到不确定变迁δ_un(q₁₂,α₁)＝q₂，δ_un(q₁₂,α₂)＝q₈，δ_un(q₁₂,α₃)＝q₅。

第三步：按照增广自动机建模算法步骤3所述，对Q中所有状态重复步骤2操作，得到完整的增广自动机模型G_ex＝(Q,Σ,δ∪δ_un,Γ∪Γ_un)，如图5所示。

在上述增广自动机模型的基础上，人机交互逻辑改进算法如下：

第一步：以图6中的状态q₈和状态q₁₂为例，说明人机交互逻辑改进算法步骤1：

选择状态q₈，由于钥匙结构限定，发生α₂之后不能立即发生事件α₂和α₃，即符合人机交互逻辑改进算法步骤1中第1)种情况，故禁用不确定变迁δ_un(q₈,α₂)＝q₈和δ_un(q₈,α₃)＝q₅；不确定变迁δ_un(q₈,α₁)＝q₂不符合人机交互逻辑改进算法步骤1中四种情况的前三种情况，故保留该变迁，该变迁的实际物理意义为上下电系统处于高压放电阶段未结束时，用户重新操作钥匙开关使得系统重新上电。

选择状态q₈，由于钥匙结构限定，发生α₃之后不能立即发生α₁，即符合人机交互逻辑改进算法步骤1中第1)种情况，故禁用不确定变迁δ_un(q₁₂,α₁)＝q₂；状态q₁₂处于已经处于高压状态，发生α₃事件的意图是使得系统上高压电，而q₁₂状态已经处于高压状态，发生α₃事件无实际物理意义，即符合人机交互逻辑改进算法步骤1中第2)种情况，故禁用不确定变迁δ_un(q₁₂,α₃)＝q₅；状态q₁₂在上下电系统中表示车辆已上电且处于正常行驶状态，此时若发生α₂事件即用户进行下电操作，那会使得用户在短时间失去对车的控制，直接影响用户和车辆的安全，产生安全隐患，即符合人机交互逻辑改进算法步骤1中第3)种情况，故此时需禁用不确定变迁δ_un(q₁₂,α₂)＝q₈并报警提示用户此状态下该操作为危险操作。

第二步：按照人机交互逻辑改进算法步骤2所述，对Q集合中所有状态重复步骤1操作，经过人机交互逻辑改进算法改进后的增广自动机模型如图7所示。

实施例2：

本文的另一个实施例将参考图8到图13进行说明。图8所示为典型的门禁系统结构图。图9所示为门禁系统刷卡进门流程图，用户刷卡，读卡器接收并识别用户信息，控制门锁实现门的开关操作，是一个典型的人机交互系统。

根据系统流程图，通过以下步骤构建自动机模型：

第一步：按照系统自动机建模步骤1所述，定义系统驱动事件及事件对应物理意义如表3所示。

表3门禁系统驱动事件

用户操作事件集合为其中可控事件集不可控事件集

系统数据流事件集合为

驱动事件集合Σ＝Σ_p∪Σ_m。

第二步：按照系统自动机建模步骤2，定义系统经过事件驱动到达的状态如表4所示。状态集合Q＝{q₁,q₂,q₃,q₄,q₅}。

表4门禁系统状态

第三步：按照系统自动机建模步骤3，定义系统状态变迁函数δ:Q×Σ→Q。以门禁系统门锁打开流程为例：在初始关闭状态，可发生有效身份用户刷卡事件(也可发生无效身份用户刷卡事件)，在有效身份用户刷卡事件确认后，系统将打开门锁。因此系统状态变迁函数δ(q₁,α₁)＝q₂和δ(q₂,λ)＝q₃表示上述整个过程，即事件串s＝α₁λ描述了系统从初始状态到门锁打开状态的流程。按照上述方式，可进一步得到正常关门事件串无效身份用户刷卡被拒的事件串等系统可发生的事件序列和相应的状态变迁函数。

第四步：按照建模步骤4，依据系统流程定义系统活动事件函数Γ:Q→2^Σ。以初始状态q₁为例，流程中限定初始状态下只有刷卡信号(有效身份用户刷卡事件和无效身份用户刷卡事件)能改变系统状态，即定义活动事件集合同理依据流程图得到状态集合Q中所有状态的活动事件函数Γ:Q→2^Σ。

最终得到门禁系统自动机模型G＝(Q,Σ,δ,Γ)，如图10所示。

门禁系统的主要功能是防范无效身份用户的入侵。下面根据前面提出的分析和设计人机交互逻辑的DES方法对上述门禁系统进行研究，分析上述门禁系统能否达到需求。以图10所示自动机为基础，按照本专利所提出的方法构建该门禁系统的增广自动机模型。增广自动机建模过程如下：

第一步：按照增广自动机建模算法步骤1所述，对于操作事件α₁，α₂，事件α₁和的驱动意图是发出开门请求，①当用户身份合法时，门关闭状态下发生刷卡事件后其目标状态为有效身份用户刷卡信息确认状态q₂，门打开状态下发生刷卡事件后其目标状态为门打开状态q₃和门锁延时计时状态q₄，②当用户身份非法时，门关闭状态下发生刷卡事件后其目标状态为初始关闭状态q₁，门打开状态下发生刷卡事件后其目标状态为门锁延时计时完毕状态q₅，即立即发生关门事件；事件α₂和的驱动意图是进入门内，其目标状态为门锁延时计时状态q₄和门锁延时计时完毕状态q₅。

第二步：如图11所示，以状态q₂和q₅为例，说明增广自动机建模步骤2：选择状态q₂，此状态下的不确定操作有α₁,α₂,且q₂状态下系统处于有效身份用户刷卡信息确认状态，故根据不确定操作与目标状态的映射关系可得到不确定变迁δ_un(q₂,α₁)＝q₂， 选择状态q₅，此状态下不确定操作有α₁,α₂,且q₅状态下系统处于门锁延时计时完毕状态，故根据不确定操作与目标状态的对应关系可得到不确定变迁

δ_un(q₅,α₁)＝q₄，

第三步：按照增广自动机建模算法步骤3所述，对Q中所有状态重复步骤2操作，得到完整的增广自动机模型G_ex＝(Q,Σ,δ∪δ_un,Γ∪Γ_un)，如图11所示。

在上述增广自动机模型的基础上，人机交互逻辑改进算法如下：

第一步：以图12中的状态q₁,q₂和q₃为例，说明人机交互逻辑改进算法步骤1：

选择状态q₁，由于门未打开时无法发生进门事件，即符合人机交互逻辑改进算法步骤1中第1)种情况，故禁用不确定变迁

选择状态q₂，由于q₂状态下会立即触发λ开锁事件，故该状态下不可能发生用户操作事件，即符合人机交互逻辑改进算法步骤1中第1)种情况，故禁用不确定变迁δ_un(q₂,α₁)＝q₂，和该原理同样适用于q₅状态，因为该状态下会立即触发关锁事件。

选择状态q₃，该状态下发生α₁后不发生状态变迁，即符合人机交互逻辑改进算法步骤1中第2)种情况，故禁用不确定变迁δ_un(q₃,α₁)＝q₃；不确定变迁

的实际物理意义为门打开的情况下非法用户进门，会引起安全隐患，但是为不可控事件，故将该变迁保留并列入集合Γ_d中；不确定变迁

不符合人机交互逻辑改进算法步骤1中四种情况的前三种情况，故保留该变迁，该变迁的实际物理意义为门打开的情况下，有非法用户刷卡时，则立即关闭门锁。

第二步：按照人机交互逻辑改进算法步骤2所述，对Q集合中所有状态重复步骤1操作，经过人机交互逻辑改进算法改进后的自动机模型如图13所示。输出具有安全隐患的系统变迁集合

Claims (4)

1.一种用于分析和设计人机交互逻辑的离散事件系统方法，其特征在于，利用自动机的离散特性来分析设计人机交互逻辑；

首先以对象系统流程图为指导，基于对象系统及其流程图确定驱动事件、离散状态、状态变迁以及活动事件函数，并以此构建自动机模型用以描述对象系统运行流程；

然后依据对象系统原有流程设计确定用户的不确定操作和不确定变迁，建立增广自动机模型；

最后基于对象系统分析实际状态下不确定操作对对象系统带来的影响，并根据影响确定对用户不确定操作的控制策略，以此改进人机交互系统的逻辑功能。

2.根据权利要求1所述的用于分析和设计人机交互逻辑的离散事件系统方法，其特征在于，所述自动机模型G＝(Q,Σ,δ,Γ)构建过程如下：

步骤1.定义用户的操作事件，其集合标记为Σ_p，其中可控事件集合标记为Σ_p.c，不可控事件集合标记为Σ_p.uc；定义对象系统的数据流事件，其集合标记为Σ_m，因此人机交互系统的驱动事件集合为Σ＝Σ_p∪Σ_m；

步骤2.依据对象系统的功能流程图，明确并定义系统由事件驱动所能到达的所有状态，其集合标记为Q；

步骤3.定义变迁函数δ:Q×Σ→Q；变迁δ(q,σ)＝q'表示系统在q状态下由事件σ(σ∈Σ)驱动到达状态q'，以对象系统的功能流程图为基础，根据驱动事件集合Σ和状态集合Q定义功能流程图中蕴含的所有变迁；

步骤4.定义活动事件函数Γ:Q→2^Σ；Γ(q)表示当对象系统处于q状态时，功能流程图中允许发生的所有驱动事件的集合，称为q状态下的活动事件集合。

3.根据权利要求1所述的用于分析和设计人机交互逻辑的离散事件系统方法，其特征在于，所述增广自动机模型G_ex＝(Q,Σ,δ∪δ_un,Γ∪Γ_un,f,Q_m)构建过程如下：

步骤1.针对所定义的任意用户操作事件σ_p∈Σ_p，确定事件发生后的目标状态q_m，用户操作事件集合Σ_p中所有用户操作事件的目标状态集合标记为Q_m；

步骤2.给定任意状态q，针对用户的不确定操作事件σ_p∈Σ_p(也即在原自动机G＝(Q,Σ,δ,Γ)中没有定义的用户操作事件，所有不确定操作事件集合标记为Γ_un(q))，定义不确定变迁δ_un(q,σ_p)＝q_m，q_m为其对应的目标状态；针对Γ_un(q)中所有不确定操作及其所对应的目标状态重复上述操作，完成所有不确定变迁的定义，进入步骤3；

步骤3.针对Q中每个状态重复步骤2的操作，直到Q中所有状态操作完毕。

4.根据权利要求1所述的用于分析和设计人机交互逻辑的离散事件系统方法，其特征在于，所述人机交互逻辑改进算法，其算法流程如下：

步骤1.选择一个状态q∈Q，任意选择一个q状态下定义的不确定变迁δ_un(q,σ_p)＝q_m，根据以下四种情况分别进行处理：

1)若δ_un(q,σ_p)＝q_m在对象系统中违背硬件设定操作时序，则禁用该变迁；

2)若δ_un(q,σ_p)＝q_m，在对象系统中不发生状态迁移，则禁用该变迁；

3)若δ_un(q,σ_p)＝q_m在对象系统中会引起安全隐患，分下面两种情况进行处理：若事件σ_p∈Σ_p为可控事件，则禁用该变迁(并可在q状态下用户发生σ_p∈Σ_p操作时报警，提示该操作会产生安全隐患)；若事件σ_p∈Σ_p为不可控事件，则保留该变迁，将这些不可控变迁放在一个集合Γ_d中(并可在q状态下用户发生σ_p∈Σ_p操作时报警，提示该操作会产生安全隐患)；

4)若δ_un(q,σ_p)＝q_m不符合上述任意一种情况，则保留该变迁；

对q状态下所有新定义的不确定变迁重复上述操作，直至所有新定义的不确定变迁均操作完毕，进入步骤2；

步骤2.针对Q中每个状态重复步骤1，直到Q中所有状态操作完毕，输出改进后的增广自动机和集合Γ_d，该集合包含了所有具有安全隐患的系统变迁。