自动化控制切换过程中的接管可靠性：一种整合场景约束与人类性能影响因素的可解释分析框架

《RELIABILITY ENGINEERING & SYSTEM SAFETY》：Takeover reliability during automated control transitions: An explainable analytical framework integrating scenario constraints and human performance shaping factors

　　•提出了一种用于评估接管可靠性的可解释框架。•将场景因素与人类风险状态与可靠性相联系。•可解释的分析方法揭示了场景与风险之间的耦合机制。•HR-PSFs阈值有助于实施分级的运行可靠性干预措施。

引言
高度自动化的运输系统日益演变为复杂的人机系统，在这类系统中，自动化功能负责常规控制，而人类操作员则负责监控系统状态、检测异常情况，并在自动化达到其运行极限时进行干预[1]。在正常情况下，自动化可以提高轨迹精度、工艺稳定性以及运营效率。然而，它也通过将部分安全责任从持续的手动控制转移到监控、异常识别和控制过渡管理上，从而改变了运营风险的结构[2]。当环境干扰、系统异常或外部任务约束超出自动化范围时，操作员必须迅速重新进入控制环节并恢复系统稳定性。因此，高度自动化操作的可靠性与安全性不仅取决于正常条件下的自动化技术可靠性，还取决于在异常和过渡状态下人类恢复能力的可靠性[3,4]。

从自动化到人类操作员的控制过渡是安全关键系统中典型的动态可靠性问题。与常规手动操作不同，接管操作是在时间压力、不确定性、不断变化的任务约束以及信息不完整的情况下进行的[5]。在此过程中，操作员必须感知异常信号、了解当前系统状态、评估继续自动化控制的风险、选择适当的应对措施，并执行能够使系统恢复到安全稳定状态的控件操作。低效的接管可能导致干预延迟、过度控制输入、轨迹偏差、任务连续性丧失，甚至任务失败。因此，接管性能可以被视为自动化边界跨越事件期间人机系统可靠性的可观察表现[6]。在本研究中，接管性能被定义为在接管需求出现后，操作员在特定运行约束条件下识别任务要求、重新获得有效控制并保持任务连续性的能力质量[7,8]。

在高度自动化系统的可靠性与安全性分析中，一个关键挑战在于接管可靠性并非由单一的故障模式或单一的人类因素决定[9]。实际上，它是场景约束与操作员风险状态之间耦合的结果。接管场景定义了控制过渡发生时的外部和系统级条件，包括环境条件、任务阶段、自动化状态以及异常触发特征[10,11]。这些因素决定了可用信息、响应紧迫性、控制难度以及延迟或不当干预所带来的运营后果。同时，疲劳、认知负荷、情境意识以及分心等操作员状态则属于与人类相关的风险变量[12,13]。这些状态会影响监控可靠性、异常检测、决策质量以及控制执行效果[14]。从人类可靠性分析的角度来看，它们可以被理解为影响人类干预效果的可能性和严重程度的与人类相关的性能塑造因素（HR-PSFs）。

因此，与自动化控制过渡相关的风险无法仅通过技术故障或人类能力下降来完全解释[15]。相反，它应被视为自动化边界、运营环境以及操作员状态之间动态失衡的结果[16]。例如，在有明确提示的自动化脱离场景中，较高的分心程度可能影响有限，但当异常情况无明确提示且需要持续监控才能发现时，分心就可能变得十分关键[17]。同样，恶劣的环境条件可能不会直接降低接管性能，但会增加任务难度、降低信息清晰度或加剧认知和注意力负担，从而增加风险[18]。这些机制表明，接管可靠性具有情境依赖性、非线性特征以及交互驱动特性。因此，以可靠性为导向的安全评估需要一种分析框架，该框架能够超越对单一因素的测试，揭示场景因素与人类相关风险变量如何共同影响控制过渡的结果。

尽管现有研究已经探讨了自动化环境中的操作员性能，但仍存在一些局限性。首先，许多研究是从孤立的角度分析接管事件，如某种特定的故障类型、环境因素或任务阶段。这种碎片化的设计难以揭示多维度场景约束是如何共同影响接管可靠性的。其次，HR-PSFs通常被视为独立的性能预测因子，而它们的影响实际上可能是情境依赖的、非线性的，并且对阈值敏感。在不同的自动化边界条件下，相同程度的疲劳、认知负荷、分心或情境意识可能会带来不同的安全后果。第三，传统的统计模型虽然适用于假设检验，但在捕捉高维交互作用方面能力有限，而黑箱机器学习模型往往缺乏用于安全工程应用的可解释性。对于以可靠性为导向的决策支持而言，不仅需要预测接管性能，还需要识别关键风险因素、量化其敏感性、解释其交互机制，并确定干预的运营阈值。

为解决这些问题，本研究提出了一种用于评估自动化控制过渡期间人机系统可靠性的可解释分析框架。该框架围绕“接管场景、HR-PSFs、接管可靠性”这一分析链条构建。在这一链条中，接管场景被视为影响信息可用性、任务需求以及控制难度的运营约束。HR-PSFs代表操作员在接管前的状态及其对控制恢复可靠性的影响。接管性能则被视为人机自动化环境相互作用的与安全相关的结果。这种框架使得研究既能考察场景因素的直接效应，也能分析在不同运营条件下操作员风险如何通过交互机制影响接管可靠性。

在方法论上，所提出的框架整合了统计推断、机器学习预测、全局敏感性分析、局部可解释性分析以及非线性阈值识别。首先使用线性混合模型（LMM）来考察场景因素对接管可靠性及HR-PSFs的统计影响，同时考虑重复测量和个体差异。接着，利用表格先验数据拟合网络（TabPFN）在小样本表格数据条件下构建接管性能的预测模型。基于该预测模型，通过Sobol敏感性分析从全局方差分解的角度量化场景因素、操作员风险变量、个体特征以及接管前系统状态的主要效应和总效应。进一步运用SHapley加性解释（SHAP）分析来识别高影响力变量之间的关键特征贡献及交互结构。最后，使用广义加性模型来描述非线性的风险-响应关系，并确定HR-PSFs开始降低接管可靠性的运营阈值。通过这一综合流程，该框架既提升了预测精度，又增强了安全性可解释性，而这二者对于复杂人机系统中的可靠性评估和基于风险的干预都至关重要。

本研究的主要贡献有三方面。首先，它将高度自动化运输系统中的操作员接管问题重新定义为一个人机系统可靠性问题，将场景引发的约束、动态的操作员风险状态以及控制过渡性能纳入统一的安全分析框架之中。其次，它开发了一种可解释的建模流程，结合了混合效应统计推断、TabPFN预测、Sobol敏感性分析、SHAP交互解释以及基于广义加性模型（GAM）的阈值识别，从而同时提升预测精度和以可靠性为导向的可解释性。第三，它识别出了关键的场景因素、与人类相关的风险变量、交互机制以及运营阈值，这些都有助于在自动化运输系统中进行风险监测、设计自适应预警机制以及为操作员提供决策支持。

通过揭示自动化边界事件、运营场景以及操作员风险状态如何共同影响接管可靠性，本研究为复杂人机系统的安全评估提供了方法论和实证支持。这些研究结果有助于为高度自动化操作制定以可靠性为导向的监测和干预策略，因为在这些系统中，系统安全不仅取决于正常条件下的自动化性能，还取决于在异常过渡期间人类控制能否及时且可靠地恢复。

方法论
本研究开发了一种以可靠性为导向的分析框架，用以探究场景约束与人类相关的性能塑造因素如何共同影响高度自动化系统中的接管可靠性。如图1所示，该框架整合了四类信息：场景数据、系统状态数据、操作员状态数据以及个体特征数据。这些数据流被整合起来，用于量化操作员风险状态、预测控制过渡性能、识别关键因素。

验证案例与实验材料
本研究以高度自动化航空运输中的模拟接管作为所提出的以可靠性为导向的分析框架的验证案例。航空运营是一种具有代表性的安全关键人机系统环境，因为其具有高度的自动化依赖性、密集的信息流、严格的运营约束，以及对异常事件的高度敏感性。在这样的系统中，自动化边界跨越事件期间人类干预能力下降可能会危及飞行路径安全。

场景因素对接管可靠性的影响
本研究使用线性混合模型来分析场景引发的应力因素如何影响接管可靠性。以ATOPI作为因变量，天气状况、照明环境、飞行阶段、接管触发类型以及实验日期被作为固定效应，而参与者的个体特征则作为协变量。考虑到重复测量情况，参与者编号以及嵌套在参与者之下的实验 sessions被设定为随机截距。

讨论
本研究将操作员接管过程重新定义为高度自动化运输系统中一个至关重要的可靠性恢复过程。该框架并非将接管性能视为简单的行为结果，而是将其视为自动化向人工控制过渡期间接管可靠性的可观察指标。研究结果表明，接管可靠性下降是由于自动化边界特征、场景约束以及与人类相关的因素之间的耦合作用所导致的。

结论
本研究开发了一种可解释的可靠性分析框架，用于评估高度自动化运输系统中自动化向人工控制过渡期间的接管可靠性。该研究并未将接管性能视为简单的行为结果，而是将其视为当自动化达到或其运行边界变得模糊不清时，人类干预可靠性的可观察指标。研究通过一项有人参与的航空仿真实验对该框架进行了验证。

CRediT作者贡献声明
侯兴刚：撰写——初稿、方法论。苟冰晨：监督、概念构思。陈登凯：监督、形式分析。楚建杰：监督、方法论。马琳：可视化、验证、数据整理。段晓赛：方法论、调查、资金获取。
侯兴刚|苟冰晨|陈登凯|楚建杰|马琳|段晓赛