从人类-自动化系统研究中学到的经验

于栖洋 译

随着用于汽车、航空、网络、机器人和其他应用的自主和半自主系统的开发，人类操作员有效监督并在需要时与它们互动的能力构成了一个重大挑战。存在一个自动化难题，即随着系统的自主性增加，可靠性和鲁棒性增加，人类操作员的情况意识则会降低，他们在需要时接管手动控制的可能性也会降低。人-自治系统监督模型集成了几十年来有关操作者状态感知、外部性能问题、监控和信任的相关自治研究，这些都是自动化难题背后的主要挑战。在与自主系统的交互中改善人类表现的关键设计干预措施被集成在模型中，其中包括自动化级别、自适应自动化和控制方法粒度的自动化界面特征和中央自动化交互范式。提出了人机界面设计的建议，并讨论了未来的研究方向。

 

关键词:自主性，人机交互，自动化程度，自适应自动化，信任，态势感知，警觉性，监控

 

引言

为了减少劳动力，增强人类能力，使人类更加安全，自主能力正在广泛应用于各种系统。在航空领域，无人驾驶飞行器正在开发中，用于交付货物、远程监视、在检测到即将发生碰撞时从飞行员手中接管控制权，并与有人驾驶的飞机合作。自动驾驶功能被添加到汽车上，可以自动停车，在车道内保持跟踪，并根据交通状况控制速度。能够在几毫秒内采取行动的自主系统正在成熟起来，能够应对网络攻击。自动机器人车辆正在开发，用于向偏远地区运送物资，修复跑道，以及从战场上找回阵亡士兵。目前正在开发更高级别的自治，以集成跨不同数据存储库的信息，创建实时健康监视，以及用于各种其他应用程序。

尽管自治系统将能够单独执行操作，但无论多么有能力，大多数自治系统仍然必须与充当监督控制者的人进行交互，这些人负责指导和监督它们的表现，或者需要时，作为与它们合作的队友。因此，创建有效的自治系统依赖于开发成功的人-自治团队。

在过去的40年里，很多与自主相关的研究都是在人机交互领域进行的。与自动化一样，系统自治的目标是在很少或不需要人工干预的情况下完成任务。认识到以前的自动化在实现这一目标方面的能力是有限的，自治这个术语最近变得更加流行。自治的设计目的是独立实现功能，在有限或不存在通信的情况下，在长时间的重大不确定性下表现良好，并具有补偿系统故障的能力，所有这些都无需外部干预(Krogmann, 1999年)。前几代自动化通常采用基于逻辑的编程，而今天的自治系统致力于利用计算智能和学习算法来更好地适应未预料到的和不断变化的情况(Krogmann, 1999年)。从这个意义上说，成功的自动驾驶可以被认为是精心的设计和高度的自动化——能够更好地适应更广泛的条件(美国空军，2015年)。这一概念与Hancock(2016年)的观点一致，他将自治描述为自动化的后期发展，后者在能力和范围上更加有限。尽管为了理解人们如何与这样的系统交互，本文将把这两个术语视为同义词，但在底层软件中，这两个术语之间存在某些技术差异，这些差异对人类使用的影响将在本文的最后进行讨论。

实际上，实现完全系统自治的目标是相当困难的，而且大多数系统将在相当长的一段时间内以某种程度的半自治存在，这将在后面的自动化级别方面进行更详细的讨论。因此，人与系统的自主性将继续需要互动，而能够支持这种团队合作的自主系统的开发应该基于人与自动化交互的详细研究基础。

在本文中，我将首先讨论系统自治给监督和指导自治的人类监督控制者带来的挑战。提出了一个人自治系统监督模型，该模型描述了系统自治特征与人类认知功能和表现之间的关系，以实现成功的监督和干预。然后更详细地讨论了模型的关键特性，包括人机界面和自动化范式的主要方面，包括自动化级别(LOA)、自适应自动化(AA)和控制粒度(GOC)。最后，提出了自主和半自主系统的设计指导方针，以及为支持更大的系统自治所需要的研究。

最大的挑战是:失去态势感知

引入自主软件后，人工操作员的一个重要作用就是对软件无法处理的情况进行监控和干预。不幸的是，迄今为止，大多数自动化系统都很脆弱，在其设计的范围内运行良好，但需要人工干预来处理其编程没有涵盖的情况(Woods & Cook, 2006年)，这种情况在未来至少会在某种程度上继续存在，直到开发出完全可靠和鲁棒的自治系统。这种自动化的脆弱性给人类操作员带来了挑战，他们可能没有意识到自动化的行为是错误的，或者不理解为什么。此外，当自动化突然将控制传递给可能没有准备好接管的人工操作员时，将发生意外的自动化转换。

例如，一架飞机从纽约拉瓜迪亚机场起飞后坠入河中，因为飞行员和副驾驶都没有意识到自动油门意外解除，导致起飞速度不足(国家运输安全委员会，1990年)。在另一个例子中，电网运营商未能意识到系统自动化已经停止工作，导致美国东北部发生大规模停电(美国加拿大电力系统停电工作组，2004年)。

自动化操作人员也发现，一旦他们意识到存在问题，系统很难理解。一架空客A330客机在巴西海岸附近海域坠毁，此前由于传感器堵塞导致驾驶舱自动化系统出现故障。困惑的飞行员从未正确诊断出潜在的问题，也没有意识到自己陷入了失速，导致机上所有人丧生(BEA, 2012年)。这些例子表明，尽管自动化可以在很多时候正常工作，但当它失败时，恢复手动控制的能力是至关重要的，而且可能只有几分之一秒可用。

这种外部循环(OOTL)性能问题给自治带来了重大挑战。人们在发现问题并进行有效干预时都很慢(Wickens&Kessel,1979年;Young,1969年)。Endsley和Kiris(1995年)论证了外部循环问题是由于在监督自动化时基本丧失了态势感知(SA)，这一发现已被许多研究证实(Kaber, Onal， & Endsley, 2000年;Li, Wickens, Sarter， & Sebok, 2014年;Manzey, Reichenbach， & Onnasch, 2012年;Sethumadhavan, 2009年)。当监督自动化发生时，低态势感知是由于三个主要机制:(a)自动化带来的信息表示的变化;(b)经营者的监视、警戒和信任;(c)经营者接触(Endsley & Kiris, 1995年)，接下来将对每一个进行更详细的描述。

自动化信息表示

许多自动化接口并不向操作员提供自动化状态所需的信息，而且通常很少对其控制的系统状态提供反馈。这些与接口相关的失败包括有意的设计决策删除需要的信息以及无意的删除。例如，随着F-16军用飞机的线控飞行控制的出现，触觉线索被意外地删除了(Kuipers,Kappers, van Holten, van Bergen， & Oosterveld, 1990年)，来自振动和气味的信息在过程控制操作的自动化中丢失了(Moray, 1986年)，auto-feathering自动化系统在商用飞机未能告诉飞行员关闭引擎(比林斯,1991年),在一架波音747飞机上,飞行管理系统为补偿引擎丢失而采取的行动，无意中掩盖了即将对飞行员失去控制的事实(国家运输安全委员会,1986年)。手动系统操作所需的关键信息以及评估自动化状态及其执行任务的能力所需的信息可能丢失或降级。许多自动化系统的透明度也很低，即其操作的可理解性和可预测性。

警惕、监控和信任

自动化通常需要大量的人工监控，而人们并不擅长这种技能，因为即使在很短的时间内，人们也会降低警惕性，自满或对自动化的过度依赖可能会加剧这个问题(Parasuraman & Riley, 1997年)。虽然自动化常常被引入以降低人类的工作负载，但Grubb、Miller、Nelson、Warm和Dember(1994年)表明，被动监控自动化的行为实际上可能是一种高工作负载的行为。(参见Hancock, 2013年，关于警惕性及其影响因素的更详细讨论。)

随着人们对自动化的信任度的提高，人们对自动化的监控程度也随之降低(Hergeth, Lorenz, Vilimek， & Krems, 2016年;Muir & Moray, 1996年)。信任可以被定义为“代理人在不确定和脆弱的情况下帮助实现个人目标的态度”(Lee & See,2004，第54页)。

对自动化的信任是基于(a)系统因素，包括系统有效性和可靠性、鲁棒性、对系统可靠性的主观评估、系统故障的近期性、系统可理解性和可预测性、及时性和完整性;(b)个人因素，包括执行任务的知觉能力、信任意愿和其他个人特征(如年龄、性别、文化和个性);(c)情境因素，包括时间限制、工作量、需要付出的努力和参加其他竞争任务的需要。(更详细的审查，参见Hoff & Bashir, 2015年，和Schaefer, Chen,Szalma， & Hancock, 2016年。)尽管这些因素可能都有一定作用，但元分析显示，系统因素(最显著的是系统可靠性和性能)对信任的总体影响最大，而个人和情境因素的影响要低得多(Hancock 等人，2011年)。

尽管有人担心运营商可能会过度信任自动化(Lee & See, 2004年)，但Moray和Inagaki(2000年)提出了一个令人信服的案例，即运营商采用了最优的注意力分配策略，在这种策略中，高度可靠的自动化不需要经常进行监控。由于操作员的注意力有限，这是应对超额需求的有效策略。然而，结果可能是缺乏对自动化系统的状态和它所管理的系统参数的情况感知。与这一发现一致，Wickens、Sebok、Li、Sarter和Gacy(2015年)开发并测试了一个自动化自满模型，该模型表明作业人员的监控绩效是基于信息的显著性，信息源的期望(随着变更率的降低和自动化的可靠性和性能的提高而降低)、监视信息源所需的工作以及任务对信息源的感知价值。

在一项分析研究中，竞争性任务的存在也被发现增加了对自动化的信任(Wickens & Dixon, 2007年)，从而将操作者的注意力从自动化上转移，减少了自动化功能的SA (Carsten, Lai, Barnard, Jamson， &Merat, 2012年;Kaber & Endsley, 2004年;Ma, SheikNainar， & Kaber, 2005年;Sethumadhavan, 2009年)。有趣的是，人类对自动化的信任的准确校准本身并不总是那么重要(Merritt, Lee, Unnerstall， & Huber, 2015年)。霍夫和巴希尔(2015)国家信任的程度影响运营商的实际依赖自动化程度的减轻操作员能够独立评估系统的性能,自动化的复杂性,新奇的情况下,操作员手动执行任务的能力,和操作者的决策自由。

参与:被动认知的挑战

与主动处理信息、手动执行相同任务相比，由于认知投入水平较低，操作员在充当自动化的被动监控器时很难完全理解发生了什么。积极地认知地参与一项任务可以提高一个人对该任务的理解和对关键信息的记忆。这一结果与生成效应(Slamecka & Graf, 1978年)和测试效应(Roediger & Karpicke, 2006年)相似，前者显示人们对积极从事的任务具有更好的记忆力，后者显示对被测试材料具有更好的记忆力。因为它要求人们以一种超越被动阅读或倾听的方式积极地使用信息。

Endsley和Kiris(1995年)能够排除自动化和非自动化条件下信息呈现的差异，发现被动处理导致SA较低。在有经验的空中交通管制员身上也发现了类似的结果(Endsley,Mogford, allendofer, Snyder， & Stein, 1997年;Endsley & Rodgers, 1998年;Metzger &Parasuraman, 2001)和其他自动化任务(Manzey等人， 2012年)。由于被动加工而导致的低SA的挑战为有效的人类自主交互造成了显著的障碍。

自动化的难题

这些综合挑战构成了一个基本的自动化难题:系统的自动化程度越高，自动化越可靠、越健壮，监督自动化的人工操作员就越不可能意识到关键信息，并在需要时接管人工控制。更多的自动化指的是对更多功能、更长的持续时间、更高级别的自动化以及包含更长的任务序列的自动化的自动化使用。

自动化难题可能会给驾驶和航空等关键安全系统的自动驾驶带来根本障碍。随着单个功能的自动化，以及这种自主性的可靠性的提高，对这些功能的关注将会减少，人工操作人员的SA将会降低，在意外自动化转换的情况下OOTL错误的可能性将会增加

人类自主系统监督模型

在人自主系统监督(HASO)模型中描述了造成自动化难题的因素之间的关系(图1)。总的来说，操作员在监督和干预自动化任务时的表现取决于他们的SA和工作量水平。作业者必须有足够的SA来认识到目前的情况超出了自动化能力的范围，或者目前的情况下自动化操作不正确，以便决定需要进行修井。此外，作业者必须有足够的时间和资源进行修井作业。提高自动化的可靠性(准确操作的能力)和鲁棒性(在各种可能条件下操作的能力)将减少对自动化性能(及其相关数据，如输入参数)的关注，这是由操作员的信任调节的。伴随着竞争任务和需求的存在。