CN112784446A - 一种基于bdi的多主体全要素安全性建模方法 - Google Patents

Abstract

本发明提供一种基于BDI的多主体全要素安全性建模方法，其步骤如下：一：人机环要素分析；二：主体抽象及其交互关系确定；三：认知负荷评价；四：认知控制模式更新与人误概率计算；五：构建多主体交互模型并定性定量仿真。通过以上步骤，基于BDI理论，分析了人物场景中的要素；抽象出主体及其交互关系；评价主体的认知负荷；根据不同等级认知负荷动态更新认知控制模式、计算人误概率；建立了多主体交互模型，最终通过定性定量仿真输出人机交互过程的安全性指标和潜在风险序列，降低了复杂人机交互建模的难度，解决了人机环要素耦合特性难以描述的问题。

Description

一种基于BDI的多主体全要素安全性建模方法

技术领域

本发明提供一种基于BDI的多主体全要素安全性建模方法，它具体涉及多主体建模理论，以主体间的信息交互为核心，运用基于BDI的多主体理论对人、机器和环境进行建模，建立基于BDI的多主体全要素安全性模型，对人机交互系统整体的安全性具有十分重要的理论价值和现实意义，属于人机系统安全性领域。

[“BDI”是指：Believe-Desire-Intention，信念-愿望-意图模型，其中信念(Believe)指主体接收信息后的认知体系和判断；愿望(Desire)指主体为达到期望目标的可能路径集或任务的集合；意图(Intention)指为实现期望目标或完成任务而承诺执行的行为计划]

背景技术

人机系统安全技术，尤其是人机系统安全性建模关键技术的研究对于提高人机交互系统整体的安全性具有十分重要的意义。随着计算机技术的发展，利用仿真技术分析人机系统安全性成为一个重要的研究方向，其通过虚拟任务、虚拟环境和虚拟人员来模拟实际任务进程中系统风险场景。当人机交互关系过于复杂，难以利用现有逻辑关系来描述和分析时，就需要借助仿真分析方法对系统动态行为进行建模，同时自动获取系统的风险信息，降低分析人员的负担。仿真方法基于人的信息处理过程，需要对人机系统各要素构建细节丰富的数学子模型，并借助于各子模型的接口来充当人机交互耦合的桥梁，从而详细刻画人机交互过程。

常用的仿真分析方法主要包括离散动态事件树仿真、多主体仿真等。离散动态事件树仿真本质上能遍历风险场景，但容易出现事件树分支爆炸问题。此外，仿真模型的构建是一个耗时耗力的过程，尤其是考虑异常态的仿真模型的构建，不仅需要逐一对各类人为失误、故障或环境扰动等异常因素进行建模和注入，还需要对各种实验数据进行处理和工程分析，因而工作量浩大且通用性差，同时仿真结果难以进行校核。

多主体仿真认为复杂系统是由许多相互交互的主体构成的，其中主体可被定义为具有某种目的的自主活动的对象，它能够感知环境中所发生的事件信息，推理决策并通过执行器完成决策行为，能够自主地求解并完成任务；多主体是一组自治或半自治的智能单元，通过交互、合作、协商、竞争等一系列的智能行为来做出决策，完成复杂的任务求解。

BDI模型是主体智能行为实现的基础，即信念-愿望-意图模型。当前的主体模型研究侧重于描述信念、愿望和意图三层推理过程，向多主体扩展后，研究多主体群体的BDI模型，也因此BDI模型在多主体系统中备受关注。然而，当前BDI模型是感知-行为的反应式模型，难以描述人的情景意识建立和操作执行过程。

针对现有研究通常只考虑机器系统或人的详细建模，而很少考虑人机交互机理性的建模，环境更是被弱化处理，本发明提出了一种基于BDI的多主体全要素安全性建模方法。以信息层次人机交互过程为焦点，通过建立不同主体及其交互关系，来模拟人机系统中人员信息感知、方案选择和操作执行过程。同时采用模块化建模思想降低系统的复杂度，提高系统的可移植性和重设计能力。

发明内容

(1)目的：

本发明的目的在于提供一种基于BDI的多主体全要素安全性建模方法，克服已有仿真建模方法模型构建繁琐、通用性差以及仿真结果难以校核的问题。该模型以彼此交互的主体为支撑，以主体间局部的信息交互关系为研究切入点，充分考虑故障、人误和环境扰动等异常态的影响，为人机系统安全性建模提供坚实的基础。

(2)技术方案：

本发明的目的在于提供一种基于BDI的多主体全要素安全性建模方法，包括人机环境要素分析、主体抽象及其交互关系确定、认知负荷评价、认知控制模式更新与人误概率计算和构建多主体仿真模型五步。该方法基于BDI理论和主体间的交互，分析信息层次的人机交互过程中的人、机、环要素及失误模式，建立主体的抽象模型并确定主体间的交互关系，确定各阶段任务的认知资源需求，根据绩效形成因子(PSF)更新主体的认知控制模式并计算人误概率，通过建立多主体交互模型对人机交互过程进行定性定量仿真，输出安全性指标和具有潜在风险的动态事件序列。该方法对于建立人机系统安全性模型和安全性仿真具有重要作用价值。

本发明一种基于BDI的多主体全要素安全性建模方法，其具体步骤如下：

步骤一：人机环要素分析，用于确定任务场景中的要素和各个要素的失误模式；

步骤二：主体抽象及其交互关系确定，将真实任务交互场景中的人机环要素根据信息处理机制抽象成为独立主体，并根据人机交互机理确定主体间交互关系；

步骤三：认知负荷评价，根据执行动作所需认知资源类型和需求值，运用VACP模型计算当前主体的认知负荷等级，并判断是否发生认知过载；

[“VACP模型”是指：一种适用于串行任务的视觉-听觉-认知-运动(VisualAuditory Cognitive Psychomotor，VACP)的多资源理论评估模型]

步骤四：认知控制模式更新与人误概率计算，根据不同的认知负荷等级动态更新PSFs因子对认知功能的影响形式，从而实现认知控制模式的动态更新，同时调用人误概率方法确定各人误模式概率；

[“PSFs因子”是指：Performance Shaping Factor，是指绩效形成因子]

步骤五：构建多主体交互模型并定性定量仿真，根据主体间的信息交互关系构建多主体交互模型，对任务场景下的人机交互进行定性定量仿真；

通过以上步骤，基于BDI理论，分析了人物场景中的要素；抽象出主体及其交互关系；评价主体的认知负荷；根据不同等级认知负荷动态更新认知控制模式、计算人误概率；建立了多主体交互模型，最终通过定性定量仿真输出人机交互过程的安全性指标和潜在风险序列，降低了复杂人机交互建模的难度，解决了人机环要素耦合特性难以描述的问题。

其中，在步骤一中所述的“人机环要素分析”，是多主体全要素安全性建模方法的基础，主要目的是确定任务场景中的要素，并基于任务场景确定各个要素的失误模式，以支持异常态下人机系统安全性建模，包括以下步骤：

步骤1)：确定任务场景中的人机环要素

本发明中，根据任务场景中涉及的人员、机器和环境情况，确定人员的类型、数量、任务，机器和环境等要素；

步骤2)：确定人机环要素的失误模式

这部分参考传统的人因可靠性方法，根据认知模型确定人误模式；根据美国人Wickens的信息加工模型，人的认知行为是在认知过程的不同处理阶段调用不同的认知功能来处理接收信息的行为；CREAM方法中将人的操作行为分为协调、通信、对比、诊断、评估、识别、执行、保持、监视、观察、计划、记录、调整、扫视和检查这十五个类型，认知功能分为感知、决策和执行三个类型，每一种操作类型调用不同的认知功能，不同的认知功能对应着不同的人误模式；机器和环境的失效模式需根据任务场景具体分析；

[“Wickens”是指：信息加工模型的提出人，美国科学家]

[“CREAM”是指：Cognitive Reliability and Error Analysis Method，是指认知可靠性与失误分析方法]

其中，在步骤二中所描述的“主体抽象及其交互关系确定”，是对真实任务交互场景中各个人机环要素根据信息处理机制抽象成独立的主体，并根据人机交互机理确定主体间交互关系，包括以下步骤：

步骤1)：建立人机环主体通用模型

本阶段的目的是根据任务场景中确定的人机环要素，在信息层次上对每个要素进行抽象建模；具体地，将人、机、环三者分开建模，体现人机交互系统中真实的交互场景和交互关系；基于人机交互事故机理模型，将人分为感知、决策和执行三个模块构建；对人机交互界面或显示界面作为机器的独立模块或单独建模，体现人机交互过程中信息交互的关系以及人机交互的重要性与机理性；人机交互界面的独立处理，为人主体提供统一的信息传递接口，实现人机主体模型的组合与分离；对人机交互密切相关的子系统进行单独建模，有利于实现对关键功能模块的高度逼真仿真建模；本发明中所述的环境指自然环境，是单向影响、不可被改变的，人造环境是双向影响可被改变的；多主体系统可与外部模型或相关优化方法相结合；

步骤2)：确定人机环主体交互关系

人机环主体通用模型通过发送和接收事件来实现交互；具体而言，人主体利用改进BDI模型实现信息处理过程，即感知、理解&预测、响应，信息处理过程通过内部事件的形式传递，人主体与机器或环境主体通过外部事件的形式实现；机器主体模型通过设置的人机界面、操作系统和其他子系统，通过发送和接收事件，实现提供机器状态信息和响应操作指令；环境主体根据任务场景具体研究对象，设置扰动库，并以事件的形式发送给人主体和机器主体，实现对人的可靠性和机器的功能的影响。

其中，在步骤三中所描述的“认知负荷评价”，根据人员主体当前执行的动作所需认知资源类型和需求值更新认知资源向量，并根据VACP模型计算认知负荷，当负荷大于门限值时发生认知过载，同时调用认知控制模式更新模块，包括以下步骤：

步骤1)：确定任务的认知资源需求

在对认知负荷评价之前需要确定任务场景中不同任务的认知资源需求，通过任务分解法，将每个任务分解成子任务，继续将子任务分解为不能再分解的基本任务；对每个基本任务分析并确定认知资源需求，资源需求根据多资源理论分为感知资源、认知资源和动作资源，根据VACP模型分为视觉资源、听觉资源、认知资源和运动资源；

[“VACP”模型是指：一种适用于串行任务的视觉-听觉-认知-运动(VisualAuditory Cognitive Psychomotor，VACP)的多资源理论评估模型]

步骤2)：认知负荷更新量化模块

这部分设计了认知负荷评价模块，该模块能够评并行任务下的认知负荷水平，其中并行任务由异常环境和机器故障等异常态激发；当并行任务的某项活动被触发，该项活动所需的认知资源被占用，并在任务完成时被释放；任务模块实时更新并行任务冲突值，当发生认知过载时，暂停执行重要性小的任务，因此在对任务建模时需要对任务的重要性排序进行预先定义；建模时任务预先建立的活动、各活动的认知资源需求值和任务的重要性排序由任务分析得到；

知过载失误常常发生于多任务并行的场景，多任务通常包括主任务、次任务、临时任务等，本部分提供了两种量化认知负荷的方法：

(1)基于多资源理论的认知过载模型：任务的完成需要消耗感知、认知、动作等方面的资源，根据美国科学家Wickens提出的多资源理论模型可以确定两项并行任务的认知资源总需求，其为单项任务的基本认知资源需求与两项任务之间的认知资源冲突值之和；当并行任务的认知资源总需求超过7时，认为发生了认知过载失误；认知过载失误发生后，操作者会放弃执行部分任务及感知对应信息；

(2)基于VACP模型的认知过载模型：任务的完成需要消耗视觉、听觉、认知、运动等方面的资源，根据VACP模型可以确定多项并行任务的认知资源总需求，其为单项任务的认知资源需求之和；当并行任务的认知资源总需求超过8时，认为发生了认知过载失误；认知过载失误发生后，操作者会放弃执行部分任务及感知对应信息。

其中，在步骤四中所描述的“认知控制模式更新与人误概率计算”，根据不同的认知负荷等级动态更新PSFs因子对认知功能的影响形式，从而实现认知控制模式的动态更新，同时调用人误概率方法确定各人误模式概率，包括以下步骤：

步骤1)：构建认知控制模式更新模块

认知控制模式更新模块能够根据环境状态、机器故障和人员的认知负荷等级更新各PSFs因子对认知功能的影响形式(促进、抑制或无影响)，实现认知控制模式的动态更新，并根据认知控制模式确定认知延迟和操作误差等级；

步骤2)：构建人为失误概率确定模块

人为失误概率确定模块能够根据环境状态的改变和机器故障的发生，动态更新各PSFs因子的权重值，并调用人为失误概率算法确定各人误模式的概率。

其中，在步骤五中所描述的“构建多主体交互模型并定性定量仿真”，根据主体间的信息交互关系构建多主体交互模型，对任务场景下的人机交互进行定性定量仿真，输出人机交互过程的安全性指标和潜在风险的动态事件序列；

步骤1)：构建多主体交互模型

本发明将所构建的人机环通用主体、认知负荷更新量化模块、认知控制模式更新模块和人为失误概率确定模块，通过人主体内部交互关系和人机环主体外部交互关系，建立起人机环多主体交互模型，充分全面地描述了主体之间存在的复杂交互关系，为定性定量仿真提供载体；

步骤2)：定性定量仿真

本部分目的是排查人机交互系统风险路径和风险场景，并在风险路径和风险场景的基础上输出人机信息交互安全可靠度。

(3)功效、优点

本发明提供了一种基于BDI的多主体全要素安全性建模方法，该方法能够对人误场景中的人机环要素进行分析，对主体进行抽象并建立主体间的交互关系，通过认知负荷的量化更新、认知控制模式确定及人误概率计算支持人员主体建模，构建任务场景下的多主体交互模型，实现任务场景的定性定量仿真，输出人机交互潜在风险动态事件序列和安全性指标。该模型可以反映人机交互系统整体表现出来的涌现特征，自底向上描述系统的整体行为，降低系统复杂度，提高系统的可移植性和重设计能力；本发明所述方法科学，工艺性好，具有广阔推广应用价值。

本说明书中所涉及到的外文符号、代号归纳说明如下：

“BDI”是指：Believe-Desire-Intention，信念-愿望-意图模型，其中信念(Believe)指主体接收信息后的认知体系和判断；愿望(Desire)指主体为达到期望目标的可能路径集或任务的集合；意图(Intention)指为实现期望目标或完成任务而承诺执行的行为计划；

“VACP模型”是指：一种适用于串行任务的视觉-听觉-认知-运动(VisualAuditory Cognitive Psychomotor，VACP)的多资源理论评估模型；

“PSFs因子”是指：Performance Shaping Factor，是指绩效形成因子；

“Wickens”是指：信息加工模型的提出人，美国科学家；

“CREAM”是指：Cognitive Reliability and Error Analysis Method，是指认知可靠性与失误分析方法；

附图说明

图1是本发明建模方法流程图。

图2是本发明人机环交互关系示意图。

图3是本发明认知负荷评价模块示意图。

图4是本发明认知控制模式更新和人误概率计算模块示意图。

图中序号、符号、代号说明如下：

圆角矩形框为主体，椭圆形框为计划，信封形框为事件，柱状形框为信念集；单向箭头表示信息传递方向。

具体实施方式

本发明提供一种基于BDI的多主体全要素安全性建模方法，该方法一次按照下述五个步骤进行；本发明以复兴航空空难为背景，针对双发飞机起飞阶段出现单发火警后的应急处理过程，采用基于BDI的多主体全要素安全性建模方法，对单发火警场景下的飞行员、飞机和环境要素进行分析，并确定相应的失误模式；对场景下的要素抽象成为主体并确定要素之间的交互关系；对飞行员主体的认知负荷进行评价；更新飞行员主体的认知控制模式并计算飞行员主体的人误概率；最后建立单发火警场景下的多主体模型，对飞行员的应急操作流程进行安全性分析，输出潜在风险的动态事件序列和情境意识建立时间，以验证本发明的可行性和有效性。

本发明提供一种基于BDI的多主体全要素安全性建模方法，如图1所示，其具体实施方案详述如下：

步骤一：人机环要素分析

分为以下两个步骤：

步骤1)：确定任务场景中的人机环要素

本部分的目的是根据单发火警场景确定具体的人机环要素。具体的单发火警场景描述如下：

发动机着火严重影响飞机飞行安全，因此在飞机人机界面中设有明显直接的发动机火警报警装置，一般为颜色变化的报警模块。此报警模块通过温度传感器监测发动机状态，当发动机温度超过临界值时发出报警信号。飞行员发现发动机火警后，需观察其他仪表来识别着火的发动机。人机界面中设有发动机温度表，实时显示发动机温度，当出现火警时，通过观察发动机温度表可以识别出着火的发动机。同时，发生火警时，由于发动机的正常运转受到影响，其他部分参数也会显著变化(如发动机流量)，人机界面中流量表的设置实现了发动机火警报警的冗余设计并可用于识别由于温度传感器故障导致的虚警，增加安全裕度。

根据上述单发火警场景描述，在应急处理人机交互任务中，涉及到的人机环要素包括一名飞行员、一架飞机和人机所在的环境。

步骤2)：确定人机环要素的失误模式

这部分的目的是根据上述单发火警场景下的应急处理人机交互过程，确定每一个人机环要素的失误模式。

具体的应急处理人机交互过程包括：

·关断发动机(将发动机混合器控制杆置于关断位置)；

·释放灭火剂(释放置于发动机内壁固定式灭火瓶中的卤代烃物质)；

·关闭灭火剂；

·重启发动机。

在上述人机交互过程中仅涉及飞行员的失误模式，如表1所示。

表1发动机火警应急操作失误模式描述

步骤二：主体抽象及其交互关系确定

分为以下两个步骤：

步骤1)：建立人机环主体通用模型

根据上述分析，单发火警场景下的应急处理人机交互过程中涉及飞行员、飞机和环境三个主体，因此，在建立通用模型时需要分别建立这三个主体。

步骤2)：确定人机环主体交互关系

在上述任务场景中，三个主体之间存在不同的交互关系，需要逐一检查。飞行员主体与飞机主体之间的交互关系包括：飞行员向飞机主体提供操作动作，飞机主体向飞行员主体提供报警信息、温度信息、流量信息和操作有效性的相关信息，即飞机主体和飞行员主体之间存在通信和操作关系；飞行员和环境主体之间的交互关系包括：环境主体向飞行员主体发送环境信息，飞行员不向环境主体提供任何信息，因此飞行员主体和环境主体之间存在信息的传递；在此人机交互任务情境下，不考虑飞机主体和环境主体之间的交互关系，如图2所示。

步骤三：认知负荷评价

分为以下两个步骤：

步骤1)：确定任务的认知资源需求

该任务情景采用基于VACP模型的认知过载模型来确定任务的认知资源需求。基于对飞行员行为的研究并通过专家评估，VACP模型划定了4类认知行为的认知资源需求等级，每类认知行为对应的认知资源需求的范围为0(无需求)到7(最高需求)，具体如表2所示。

表2 VACP行为及资源需求描述表

根据任务序列和任务时间确定发动机火警应急操作认知资源需求，如表3所示。

表3发动机火警应急操作认知资源需求

步骤2)：认知负荷更新量化模块

根据任务时间线，可以确定各个时刻同时进行的认知行为及其所需的认知资源，并行任务的认知资源需求就是某时刻同时进行的认知行为所需的认知资源之和。当认知资源需求超过8时，认为并行任务的认知资源需求超过了人的认知能力，发生了认知过载失误。在进行表3中所述“观察发动机温度表”和“观察发动机流量表”两个紧急操作时，飞行员会出现认知过载失误。在常规操作与紧急操作之间，飞行员根据任务重要性确定紧急操作的重要性高于常规操作，则飞行员放弃常规操作从而仅执行紧急操作。当前任务执行完后，飞行员的认知资源得到释放，继续执行下一任务，而认知负荷模块进行一次更新并重新计算认知负荷，如图3所示。

步骤四：认知控制模式更新与人误概率计算

分为以下两个步骤：

步骤1)：认知控制模式更新

人主体的认知控制模式是由认知负荷、设备状态和情景环境等PSFs因子决定的。如图4所示，在单发火警场景下，飞机状态和情景环境相关的PSFs因子，由环境主体和飞机主体的状态决定。当环境或飞机状态发生变化时，向飞行员主体发送状态变化事件。飞行员以事件信息为输入，调用信念集，更新PSFs因子。认知负荷状态PSFs因子，则由任务管理模块实时更新的认知资源冲突值决定。当认知负荷状态变化时，发送内部事件，更新认知负荷PSFs因子。当PSFs因子更新时，飞行员主体调用认知控制模式更新算法更新当前认知控制模式，不同的认知控制模式对应不同的认知偏差。

步骤2)：人为失误概率确定模块

这部分内容根据PSFs因子动态计算相应动作的人为事故概率。根据发动机火警应急操作中不同的任务查询表4，确定PSFs因子权重，然后根据如下公式计算基本人为失误概率。

式中，HEP是估算出的人误概率，NHEP是名义人误概率，文中其数值取CREAM方法中所给定的参考值，如表5所示。PSF的值，在任务场景中，通常认为是固定不变的，所以在仿真中，根据表4中的参考值确定相关PSF权重值。

表1 PSF因子划分及调整权重表

表2名义人误概率参考值

最终确定的人为失误概率如表6所示。

表6人为失误模式概率表

由于环境状态的改变和飞机故障的发生，因此PSFs因子是动态变化的，通过调用图4所示的人误概率算法动态更新各个PSFs因子的权重值，并确定各人误模式的概率。

步骤五：构建多主体交互模型并定性定量仿真

分为以下两个步骤：

步骤1)：构建多主体交互模型

根据上述主体和模块，本部分通过构建各个主体和模块之间的关系来构建多主体交互模型。在任务初始时，环境主体和飞机主体分别将“环境状态”事件和“发动机着火”事件发送给飞行员主体，飞行员主体开始执行应急处理人机交互任务。飞行员主体通过调用认知负荷评价模块动态计算飞行员主体的认知负荷水平，并判断是否发生认知过载。飞行员主体认知负荷状态的变化、环境变化和飞机状态变化会引起PSFs因子的动态更新，使得飞行员主体调用认知控制模式更新算法和人误概率算法动态更新飞行员主体的认知控制模式和人误概率值。

步骤2)：定性定量仿真

本部分内容通过计算机进行定性定量仿真，确定发动机火警后故障动态演化序列和安全可靠度。

飞机主体将“发动机着火”事件发送给飞行员主体，飞行员主体使用“观察火警报警”计划处理该事件；当查看报警信号的超时后，仿真程序认为飞行员主体未发现“火警报警”事件且未处理该事件，发动机彻底失效。飞行员主体向飞机主体发送“未发现火警”事件，终止仿真；当飞行员主体发现火警报警后，分别使用“观察发动机温度表”和“观察发动机流量表”计划处理该事件，飞行员主体能够正确识别“火警报警”事件并排除虚警，向内部发送“火情确认”事件，并执行发动机火警应急流程。

“关断发动机”、“释放灭火剂”、“关闭灭火剂”、“重启发动机”四个计划是飞行员主体执行的发动机火警应急流程，以“关断发动机指令”、“释放灭火剂指令”、“关闭灭火剂指令”和“重启发动机指令”四个事件向飞机主体发送操作指令。飞机主体以“灭火剂释放”计划处理“释放灭火剂指令”事件，当飞行员在关断发动机前灭火时引擎彻底失效，终止仿真。飞机主体以“重启发动机”计划处理“重启发动机指令”事件，当飞行员在关闭灭火剂前重启发动机，操作无效。

仿真模型采用定性仿真方法，经深度优先遍历得到发动机火警后故障演化动态序列，部分结果如表所示。仿真模型中共得到91条动态序列，其中包含23条不安全序列。经过对比分析，132次实验中118条与仿真所得序列一致，潜在风险的动态事件序列的一致性为89.4％，发动机火警下安全可靠度如表5所示，与实验所得安全可靠度相比误差均小于20％。

附表1直升机单侧发动机火警场景下多主体定性仿真结果

表5安全可靠度对比结果

数据类型	安全可靠度	误差(％)
			实验数据	0.791	——
仿真数据(白天)	0.893	12.9
			仿真数据(黑夜)	0.912	15.3

本发明未尽事宜为公知技术。上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (6)

1.一种基于BDI的多主体全要素安全性建模方法，其特征在于：其具体步骤如下：

步骤一：人机环要素分析，用于确定任务场景中的要素和各个要素的失误模式；

步骤二：主体抽象及其交互关系确定，将真实任务交互场景中的人机环要素根据信息处理机制抽象成为独立主体，并根据人机交互机理确定主体间交互关系；

步骤三：认知负荷评价，根据执行动作所需认知资源类型和需求值，运用VACP模型计算当前主体的认知负荷等级，并判断是否发生认知过载；

步骤四：认知控制模式更新与人误概率计算，根据不同的认知负荷等级动态更新PSFs因子对认知功能的影响形式，从而实现认知控制模式的动态更新，同时调用人误概率方法确定各人误模式概率；

步骤五：构建多主体交互模型并定性定量仿真，根据主体间的信息交互关系构建多主体交互模型，对任务场景下的人机交互进行定性定量仿真。

2.根据权利要求1所述的一种基于BDI的多主体全要素安全性建模方法，其特征在于：

在步骤一中所述的“人机环要素分析”，是多主体全要素安全性建模方法的基础，目的是确定任务场景中的要素，并基于任务场景确定各个要素的失误模式，以支持异常态下人机系统安全性建模，包括以下步骤：

步骤1.1)：确定任务场景中的人机环要素

根据任务场景中涉及的人员、机器和环境情况，确定人员的类型、数量、任务，机器和环境要素；

步骤1.2)：确定人机环要素的失误模式

参考人因可靠性方法，根据认知模型确定人误模式；根据美国科学家Wickens的信息加工模型，人的认知行为是在认知过程的不同处理阶段调用不同的认知功能来处理接收信息的行为；CREAM方法中将人的操作行为分为协调、通信、对比、诊断、评估、识别、执行、保持、监视、观察、计划、记录、调整、扫视和检查这十五个类型，认知功能分为感知、决策和执行三个类型，每一种操作类型调用不同的认知功能，不同的认知功能对应着不同的人误模式，机器和环境的失效模式需根据任务场景具体分析。

3.根据权利要求1所述的一种基于BDI的多主体全要素安全性建模方法，其特征在于：在步骤二中所描述的“主体抽象及其交互关系确定”，是对真实任务交互场景中各个人机环要素根据信息处理机制抽象成独立的主体，并根据人机交互机理确定主体间交互关系，包括以下步骤：

步骤2.1)：建立人机环主体通用模型

根据任务场景中确定的人机环要素，在信息层次上对每个要素进行抽象建模；具体地，将人、机、环三者分开建模，体现人机交互系统中真实的交互场景和交互关系；基于人机交互事故机理模型，将人分为感知、决策和执行三个模块构建；对人机交互界面及显示界面作为机器的独立模块或单独建模，体现人机交互过程中信息交互的关系以及人机交互的重要性与机理性；人机交互界面的独立处理，为人主体提供统一的信息传递接口，实现人机主体模型的组合与分离；对人机交互密切相关的子系统进行单独建模，有利于实现对关键功能模块的高度逼真仿真建模；环境指自然环境，是单向影响、不可被改变的，人造环境是双向影响能被改变的；多主体系统能与外部模型及相关优化方法相结合；

步骤2.2)：确定人机环主体交互关系

人机环主体通用模型通过发送和接收事件来实现交互；人主体利用改进BDI模型实现信息处理过程，即感知、理解、预测、响应，信息处理过程通过内部事件的形式传递，人主体与机器及环境主体通过外部事件的形式实现；机器主体模型通过设置的人机界面、操作系统和其他子系统，通过发送和接收事件，实现提供机器状态信息和响应操作指令；环境主体根据任务场景具体研究对象，设置扰动库，并以事件的形式发送给人主体和机器主体，实现对人的可靠性和机器的功能的影响。

4.根据权利要求1所述的一种基于BDI的多主体全要素安全性建模方法，其特征在于：在步骤三中所描述的“认知负荷评价”，根据人员主体当前执行的动作所需认知资源类型和需求值更新认知资源向量，并根据VACP模型计算认知负荷，当负荷大于门限值时发生认知过载，同时调用认知控制模式更新模块，包括以下步骤：

步骤3.1)：确定任务的认知资源需求

在对认知负荷评价之前需要确定任务场景中不同任务的认知资源需求，通过任务分解法，将每个任务分解成子任务，继续将子任务分解为不能再分解的基本任务；对每个基本任务分析并确定认知资源需求，资源需求根据多资源理论分为感知资源、认知资源和动作资源，根据VACP模型分为视觉资源、听觉资源、认知资源和运动资源；

步骤3.2)：认知负荷更新量化模块

设计认知负荷评价模块，该模块能够评并行任务下的认知负荷水平，其中并行任务由异常环境和机器故障诸异常态激发；当并行任务的某项活动被触发，该项活动所需的认知资源被占用，并在任务完成时被释放；任务模块实时更新并行任务冲突值，当发生认知过载时，暂停执行重要性小的任务，因此在对任务建模时需要对任务的重要性排序进行预先定义；建模时任务预先建立的活动、各活动的认知资源需求值和任务的重要性排序由任务分析得到；

知过载失误常常发生于多任务并行的场景，多任务包括主任务、次任务、临时任务，提供了两种量化认知负荷的方法：

(1)基于多资源理论的认知过载模型：任务的完成需要消耗感知、认知、动作方面的资源，根据美国科学家Wickens提出的多资源理论模型能确定两项并行任务的认知资源总需求，其为单项任务的基本认知资源需求与两项任务之间的认知资源冲突值之和；当并行任务的认知资源总需求超过7时，认为发生了认知过载失误；认知过载失误发生后，操作者会放弃执行部分任务及感知对应信息；

(2)基于VACP模型的认知过载模型：任务的完成需要消耗视觉、听觉、认知、运动方面的资源，根据VACP模型能确定多项并行任务的认知资源总需求，其为单项任务的认知资源需求之和；当并行任务的认知资源总需求超过8时，认为发生了认知过载失误；认知过载失误发生后，操作者会放弃执行部分任务及感知对应信息。

5.根据权利要求1所述的一种基于BDI的多主体全要素安全性建模方法，其特征在于：在步骤四中所描述的“认知控制模式更新与人误概率计算”，根据不同的认知负荷等级动态更新PSFs因子对认知功能的影响形式，从而实现认知控制模式的动态更新，同时调用人误概率方法确定各人误模式概率，包括以下步骤：

步骤4.1)：构建认知控制模式更新模块

认知控制模式更新模块能够根据环境状态、机器故障和人员的认知负荷等级更新各PSFs因子对认知功能的影响形式，实现认知控制模式的动态更新，并根据认知控制模式确定认知延迟和操作误差等级；

步骤4.2)：构建人为失误概率确定模块

人为失误概率确定模块能够根据环境状态的改变和机器故障的发生，动态更新各PSFs因子的权重值，并调用人为失误概率算法确定各人误模式的概率。

6.根据权利要求1所述的一种基于BDI的多主体全要素安全性建模方法，其特征在于：在步骤五中所描述的“构建多主体交互模型并定性定量仿真”，根据主体间的信息交互关系构建多主体交互模型，对任务场景下的人机交互进行定性定量仿真，输出人机交互过程的安全性指标和潜在风险的动态事件序列；

步骤5.1)：构建多主体交互模型

将所构建的人机环通用主体、认知负荷更新量化模块、认知控制模式更新模块和人为失误概率确定模块，通过人主体内部交互关系和人机环主体外部交互关系，建立起人机环多主体交互模型，充分全面地描述了主体之间存在的复杂交互关系，为定性定量仿真提供载体；

步骤5.2)：定性定量仿真

排查人机交互系统风险路径和风险场景，并在风险路径和风险场景的基础上输出人机信息交互安全可靠度。

Images