0 引言

根据我国民航调查局统计，62%左右的民航飞行事故是由人为差错造成的。操作程序设计过程中的人机工效因素考虑不当，是引发人为差错的重要原因之一。对操作程序人机工效分析评估能够识别程序中存在的人机工效问题，指导操作程序的设计修改。当前操作程序的人机工效分析通常需要在程序设计完成后开展，例如程序设计完毕后编制决策/行动图，开展操作流程和时间的评估^[1]；借助实际测量操作时间，主观评测方法分析工作负荷、德尔菲法对操作程序进行综合评价^[2]。目前这种基于评估的设计方式要求程序设计完整后才能有效执行，带来了设计效率低下的问题，亟需一个在设计初期即能识别关键人机工效问题的飞行员操作流程设计方法。

利用模型化语言对飞行员操作程序设计进行表达是实现上述目标的一种途径。为了结合操作程序的计算机建模与工效分析，要求计算机建模工具能够满足操作任务的表达、控制和决策需求，Petri网是能够满足这个需求的工具之一^[3]。它的概念来源于1962年Petri发表的一篇博士论文^[4]，产生于计算机科学、自动控制和运筹学交叉的理论领域^[5]。Petri网能够对离散事件系统进行简单数学表示^[4，6]，被广泛应用于控制^[6]和制造系统^[7]。Levis及其同事的工作是军事任务中指挥和决策Petri网模型的一个例子^[8]；Rodriguez-Fernandez等使用Petri网建立操作程序的工作流模型，评估执行操作后的进度和花费的时间^[9]；刘宇婕、孙有朝等使用Petri网这一工具，分解飞机操作过程的要素、建模，并对人机交互过程进行工效分析^[10]。普通Petri网可应用于建模小系统，但面对大系统时，它的有效性会降低^[11]，无法建模涉及数据和时间的系统，难以在Petri网模型中实现实际结构的时间、颜色、随机元素、模糊逻辑和层次结构等^[12]。为了解决以上问题，发展出了着色Petri网（colored Petri net，简称CPN），它是Petri网使用得最广泛的扩展，能够对包含数据、层次和时间等元素在内的复杂系统进行建模^[3，13-17]，仿真任务网络中的着色标记即“结构化数据”的流动^[18]。从以上研究可见，Petri网已经是成熟的操作流程分析工具，将飞行员操作程序（pilot operation procedure，简称POP）的关键设计要素与着色Petri网的元素进行对应并建模，将工效分析指标在模型中以标记颜色的方式进行定义和计算，可实现操作程序的工效评估。

本研究在对飞行员操作程序的设计流程、设计要素及设计中的人机工效评估关键进行分析的基础上，结合Petri网基本原理识别POP设计要素与着色Petri网元素的对应关系，提出利用着色Petri网开展飞行员操作程序建模的设计方法，实现操作程序的模型化表达及关键人机工效评估。应用该方法，以某大型客机紧急下降程序为例，建立着色Petri网模型验证方法的合理性。

1 基本概念

1.1 Petri网基本原理

Petri网的定义如下^[19]：

Petri网（Petri net，简称PN）是一个五元组，PN=（P，T; F，W，M），称为有向网，简称网。其中P={p₁，p₂，······，p_m}表示库所（place）的有限集合，库所中包含若干标记（token）作为资源对象，T={t₁，t₂，······，t_m}表示变迁（transition）的有限集合。它的充分必要条件是：

P∩T=ø，即库所集合P和变迁集合T不相交；P∩T=ø，即库所集合P和变迁集合T不同时为空。

F∈（P×T）∪（T×P）为流关系，即弧集合。

dom（F）∪cod（F）=P∪T即没有孤立元素。其中，

dom（F）和cod（F）分别为F的定义域和值域。

W:F→{1，2，3...}表示权重函数。

M0:P→{1，2，3...}表示初始标记。

Petri网的发射规则定义如下：

对一个变迁T来说，当且仅当每个库所P中的标记数和颜色都满足弧函数w（p，t），这个变迁才是使能的。

使能的变迁可以发射（Fire）或不发射。

当发射一个使能的变迁T时，从T的每个输入库所P中删除w（p，t）个令牌，在T的每个输出库所P中添加w（p，t）个令牌。

着色Petri网在Petri网模型的基础上添加了颜色集、颜色函数、弧表达式函数、守护函数和初始化函数等元素^[19]。围绕标记着色提出一系列改动，让模型的表达能力极大扩展。标记通过着色可以表达更丰富的语义信息，弧函数可以对令牌进行选择，变迁守护函数可以控制发射条件，给模型带来更强的控制能力，实现复杂的分支选择和控制逻辑。

1.2 飞行员操作程序的设计与工效评估

飞行员操作程序是从人机界面去描述，说明飞机各个电子系统功能、操作与飞机状态、环境关系的技术文件，用于指导飞行员有效地完成对特定飞机的操作。飞行员操作程序设计指的是在飞机及其机载系统的要素基本确定的条件下，按照任务与场景分析、功能分析、功能分配、操作任务分析和绩效预测的流程，为其编制一套正确可靠的操作程序。飞行员操作程序评估是对已设计好的POP，按照一定的准则进行评估，以确定POP设计的好坏。两者密切相关嵌套，在设计过程中必须考虑评估准则，评估结果也可以作为依据对程序设计进行修改^[1]。人机工效评估是POP的评估中非常重要的部分之一，研究操作程序的设计是否与人的心理和生理特点相适应，提高人在执行操作程序时的绩效，维持和增进人和飞机的安全、健康和工作的舒适感。其中，操作时间和脑力负荷分析是POP人机工效评估的两大关键指标。

2 基于Petri网的操作程序设计方法

本章基于人因工程分析方法，将飞行员操作程序的设计确定为四个基本要素：飞行员、飞行员的状态（资源占用情况）、操作顺序和操作，识别它们与着色Petri网的基本元素的对应关系，提出基于着色Petri网的操作程序设计方法及着色Petri网模型的人机工效评估。

2.1 操作程序设计要素与Petri网元素的对应关系

通过任务和场景分析、功能分析、功能分配、操作任务分析后可得到操作程序设计时的关键要素^[20]，如图1所示。从任务和场景分析中梳理出飞机和飞行员的状态、资源，从任务场景分析、功能分析和操作任务分析中梳理出操作规则、顺序，从功能分配中梳理出飞行员和飞机，从操作任务分析中梳理出操作动作四个设计要素。

以上元素可以分别与着色Petri网的四个元素进行对应，用于建立POP的着色Petri网模型。对应关系如表1所示。

在Petri网模型中，库所用“○”表示，可用来描述系统当前的条件或状态；变迁用“▌”表示，它触发的条件是前端的库所中都有标记（token），而后端的库所中都没有标记，用于描述修改系统的事件、动作；弧用“→”表示，用于连接库所和变迁，弧上的函数可以表达变迁发生所需要的资源和条件，当弧从变迁指向库所时，该函数表达变迁发生后系统状态与资源的改变；标记用“●”或数字表示，它们在Petri网中会从一个库所经过变迁移动到下一个库所，用于表示资源或状态。

将标记用于表征飞机和飞行员的状态，记录操作时间，用标记的颜色表征飞行员的脑力负荷值（初始化为0）；把飞行员视作库所，用于容纳标记；操作步骤与变迁进行对应；用弧和弧函数决定标记流动方向、表达操作顺序，改变标记颜色，就能够建立所设计的操作程序模型。

2.2 基于着色Petri网的操作程序设计方法

如图2所示，PF_1与PF_2分别是同一套驾驶飞行员（pilot flying，简称PF）程序的两种设计方案，PM_3则是同一套PF操作程序的监测飞行员（pilot monitoring，简称PM）操作程序。当模型开始运行，标记在从前往后流动的过程中会被经过变迁加上本变迁发生的时间ti_i，被变迁后的弧函数赋予脑力负荷值（mental load）。每当进入非起始库所，就会被检查脑力负荷的弧函数检查是否过重，如果过重则会停止该流程的仿真；如果没有超标，则会被送入对应流程的下一个变迁中，重复以上过程。完成所有操作步骤后，在最终的库所P3中会展示所有操作流程的操作时间。

2.3 基于着色Petri网的操作程序人机工效评估方法

在本研究中，操作时间的计算依据模特法^[21]，把操作动作分解为各种简单行为，用单位时间的整数倍表达简单行为的操作时间，再加和简单行为得到操作步骤的总时间，检查完成操作所花时间是否满足任务场景要求。脑力负荷采用美国军方针对新武器系统的负荷预测开发的McCracken-Aldrich（M-A）负荷分析法^[22]，将操作步骤分解得到的简单行为归类至飞行员的各个通道（视觉、听觉、运动、认知等），对各个通道资源占用情况依据M-A负荷分析法给出的负荷值表进行脑力负荷赋值。当某一通道的负荷值大于7或所有通道的总负荷值超过8时，即认为作业人员超负荷工作^[22]。

应用模特法获取各个变迁的操作时间前，首先需要对该程序进行实操记录。分析实操记录，得到各个操作步骤动作分解和模特法动作单元代号，计算得到各个步骤的操作时间，即变迁发射时间，分析分解动作所占用通道的类型和方式。将模特法得到的变迁发射时间定义到网模型对应的变迁中，给标记的时间属性进行累加。再基于McCracken-Aldrich负荷分析法计算各个步骤的脑力负荷，将模特法得到的分解动作占用通道的类型和方式与负荷分析法列表给出的负荷值进行对应，对占用的通道赋予脑力负荷值，在弧函数中完成定义。过程如图3所示。

3 案例分析：以某大型客机紧急下降程序为例

本研究提出的方法适用于飞行员操作程序的设计初期，为便于说明设计方法的核心部分，即能够有效用于飞行员操作程序的模型化表达及关键工效评估，本研究以已设计定型的某大型客机的紧急下降程序为例，在CPN Tools软件中建立该程序的着色Petri网模型，获得其操作时间和脑力负荷，验证该方法用于开展飞行员操作程序设计的有效性。

3.1 基于着色Petri网的某大型客机紧急下降程序飞行员操作流程模型

依据表2给出网模型中部分元素与操作程序步骤的对应关系，结合图4所示的紧急下降程序流程图，建立图5所示的着色Petri网模型。为了更好地区分操作程序的不同分支，模型在变迁的命名中用前缀区分PF与PM的操作，后缀区分飞机的状态，即不同初始航迹高度或故障类型。

在图5 Petri网模型中的操作时间计算上，应用模特法分解各个动作，确定模特法代号，列表计算操作时间，分析所占用的通道及占用的方式；脑力负荷的计算上，应用McCracken-Aldrich负荷分析法，给操作程序所占用的通道进行脑力负荷赋值。以操作“PM精细调整下降第三步：应答机输入7700”为例，操作时间和脑力负荷的分析如图6所示。

将操作时间和脑力负荷在变迁和弧函数的定义中表达。如图7所示，PF初始下降第一步操作所需的时间是903 ms，在变迁上方的@符号后进行定义；脑力负荷是4，在变迁之后的弧函数上进行定义。完成全部变迁和弧函数的定义后，操作程序的着色Petri网模型建立就全部完成了。

对建立的模型输入高度分别为FL160（16 000 ft）、FL170（17 000 ft）、FL120（12 000 ft）、FL100（10 000 ft）的初始数据标记。着色Petri网模型会区分各个高度是否需要执行紧急下降程序，并计算出在各种情况下，PM、PF各自完成紧急下降程序的操作时间。并将飞行员执行某一操作的脑力负荷，和执行至当前步骤理论所需时间体现在当前步骤对应的变迁后的库所中。

例如，PF完成初始下降第一步操作：ALT旋钮外圈右旋，内圈左旋，拔（使操作生效）后飞行员的状态如图8所示。图中圈出的标记代表执行此操作时飞行员的脑力负荷为4，飞机的初始状态为FL170，执行的程序为紧急下降，所花的理论时间为2 193 ms。

在此值得指出的是，建立紧急下降程序的着色Petri网模型有以下几个要点：

飞行员执行紧急下降程序前首先需要判断当前航路高度。如果航路高度低于FL100，则不需要执行该程序。本研究中通过对网模型输入不同初始航路高度的标记（如图9所示）来模拟以上过程，当模型判断到当前航路高度不需要执行紧急下降程序时，就会让标记流向库所S1_2，不对操作程序进行分析。同样的，其他用于飞行员判断决策操作流程走向的飞机状态信息，如故障类型等，也给到标记颜色中，用于将标记导流至不同的流程分支，计算操作时间。

建立初始下降后，需要PF与PM两人同时在FMA上确定飞机状态信息，但PM初始下降操作所需时间短于PF所需时间。这意味着PM需要等待PF完成操作后，共同确认信息。“等待”这一过程在Petri网建模中视作变迁PM_t1_3。

飞行员执行操作时的脑力负荷在标记颜色的变化中体现。

3.2 基于着色Petri网模型输出的人机工效评估结果

3.2.1 操作时间

着色Petri网模型完成仿真后输出的部分结果如表3所示。本方法能够输出双人制机组操作程序所有分支的操作时间。

3.2.2 脑力负荷

以紧急下降程序中最长的分支“初始高度FL160的情况下，当前航路MEA＞FL100，且客舱释压类型为增压系统故障的PF操作”为例，可以列出作业人员在操作全过程中脑力负荷随时间的变化，如图10所示。由此可见，飞行员在执行紧急下降程序过程中的脑力负荷理论上都处在合理范围内，脑力负荷设计非常合理。

4 结论

本文基于着色Petri网、模特法和脑力负荷分析方法，提出基于着色Petri网实现飞行员操作程序的设计及操作程序的操作时间和脑力负荷评估的方法，并进行有效性验证。这一方法可以在操作程序设计的初期对其人机工效水平进行对比和评估，弥补德尔菲等分析方法只能在操作程序设计完成后进行，操作程序设计迭代成本较高的弊端。以后的研究应充分考虑飞行任务环境特点，采用针对性的方法将人体疲劳、舒适性能等更多人机工效分析要素纳入建模仿真的范围，扩展用着色Petri网分析操作程序人机工效的范围，提高分析效果。

参考文献