基于人因工程视角的民机驾驶舱告警系统研究综述

蒋 引 高 杉 谭 维, 2 汪 磊, 2

(1.中国民航大学飞行技术学院，天津 300300；2.中国民航航空公司人工智能重点实验室，天津 300300)

0 引言

民机驾驶舱告警系统指在飞机运行存在潜在危险的情况下，通过告警设备发出告警信息以引起飞行机组的注意，表明问题存在的原因，并依据飞机实际运行性能及所处飞行环境，尽可能向飞行机组提供建议指引的一种辅助系统[1]。面对错综复杂的飞行环境，机载驾驶舱告警系统能够帮助飞行机组及时发现隐患、排除故障和保障飞行安全。

人的因素被认为是目前飞行事故中最主要的原因[2]。事故调查统计显示，由机组原因造成的飞行事故占据事故总数的近三分之二[3]，飞行机组的非故意不安全行为是机组差错的主要类型，大多数非故意行为都可以归结为不恰当的驾驶舱人机交互的结果[4]。通过各机型的飞行机组操作手册我们发现，驾驶舱警戒、警告系统中单告警信号就多达400余种，如此巨大的信息量不仅会增加飞行员的工作负荷，而且会造成不必要的人为失误。事实上，由于驾驶舱告警原因而引发的航空事故也频频发生，例如秘鲁航空603号航班发生多处告警、法国航空407号航班由于自动驾驶突然断开导致的坠机事故、希腊太阳神航空522号航班由于飞行员未理解告警原因而导致坠机等。

人因工程学是研究人、机、环境系统总体性能优化的一门科学，随着自动化和信息技术的发展，它已经由最初的“人机交互”(Human Computer Interaction, 简称HCI)研究阶段逐步过渡到当前的“人与系统融合”(Human System Integration, 简称HSI)。现代人因工程理论认为，驾驶舱人因失误是结果而不是原因，其根源在于设计，许多事故是由于告警系统的不完善或没有遵循“以人为中心”的设计原则而导致的，即使经验丰富的飞行员面对复杂的驾驶舱环境也有犯错的可能，比如前面提到的空难事故以及近两年发生的波音737 MAX事故，飞控和驾驶舱系统未能给飞行员提供有效的告警和提示信息。人因工程专家Boy教授提出关注飞行机组与驾驶舱内部系统界面接口问题，认为驾驶舱人机交互应该遵循“以人为中心”的原则，在告警设计中应该从人因工程的角度充分考虑人-机-环境的交互作用[5]。

本文拟通过文献综述对国内外民机驾驶舱告警系统的研究和应用概况进行分析，结合适航条款和驾驶舱机组认知加工需求，基于人因工程领域的动态进展，提出民机驾驶舱告警系统未来发展的趋势和方向。

1 民机驾驶舱告警系统的发展演变

在上世纪民航飞机发展的早期阶段，驾驶舱告警范围局限，方式繁杂，仪表分散[6]，只能针对设备故障发出警告，同时飞机驾驶舱内空间有限，告警设备不完善，无法对飞机的运行场景提出实时建议或指导，无法及时给予飞行员警告，效率低下，急需改进。飞行事故频频发生使人们意识到机载告警的重要作用，更加重视对驾驶舱告警系统交互界面的设计，科学技术在众多领域的重大突破也促进了更为综合性告警系统的产生，到上世纪末期，告警系统已不仅具有单一的告警功能，而是逐渐和其他机载系统融合，共同为飞行安全提供保障。

近年来，世界上主流民航客机的中央告警系统可划分为以空客公司为主要代表的中央电子监控系统(Electronic Centralized Aircraft Monitoring，简称ECAM)与以波音公司为主要代表的发动机指示与机组警告系统(Engine Indication and Crew Alerting System，简称EICAS)。与空客ECAM相比，波音的EICAS系统更加注重机组的主观能动性和自主判断力。目前波音EICAS系统面临的主要挑战是，当EICAS产生关键警告时，机组在查找快速检查单(Quick Reference Handbook, 简称QRH)程序清单获取适用核对表[7]的过程中浪费大量时间，如何对告警信息进行优先级分配，及时引导飞行员注意到最主要的故障是告警系统设计的关键问题。自动飞行系统的广泛应用，为航空安全提供保障的同时也容易造成飞行员对自动驾驶的过度依赖[8]，2009年发生的美国科尔根航空3407号航班事故中，飞机失速导致失速警告被激活，并带动操纵杆振动。但操纵杆抖振被触发前，预警设计并未及时引起飞行员足够的警觉性，以致面对操纵杆突然抖动，机组没有过多反应时间及时做出操作程序予以应对。2013年发生的韩亚航空214号航班事件中，飞行员在进近着陆时速度过低，失速振杆器被激活，但飞行员意识到失速后已失去复飞的最佳时机。因此，如何设计提前预警，在飞机还未马上面临危险就向飞行员提供警告将是告警设计中亟待解决的一大难题。

当前，民航飞机已经形成比较成熟的告警系统以及相应的标准操作程序，告警系统技术也得到显著提高，告警范围更为全面，虚假警告以及误警率也显著降低，同时机载告警设备在人因工程设计方面的改善也在很大程度上降低了民机飞行员工作负荷，但现阶段的告警系统仍不具备机组在遇到任何情况时都能够及时处理、迅速排除特情的能力，也就是说，告警系统的设计在飞机驾驶舱中仍未达到一个最佳状态。2018年10月印尼狮航和2019年3月埃塞俄比亚航空相继发生波音737 MAX航班坠机事故，也从侧面说明了波音告警系统在多重告警设计方面尚待完善，机组成员在飞行中面临指示空速不一致、高度不一致、压差同时伴随抖杆器等情况被激活多重告警，机组必须自行评估多重故障情况，判断故障等级，选择最准确的操作程序和处置方案。因此，需要一种系统和方法，以便迅速、准确地向机组传达关键告警信息。

综合来看，告警系统逐步向告警信息集中化，告警功能综合化、智能化方向快速发展，旨在帮助飞行机组及时发现危险的同时，更为智能地提供有效的飞行安全指导建议，为减少飞行事故起到了重要指导作用。

2 告警方式的分类及研究应用进展

民机驾驶舱告警系统的告警方式按照类型划分包括听觉、视觉和触觉三类，一般以视觉信息为主，听觉、触觉为辅，下面从这三个类别分别阐述驾驶舱告警系统的研究和应用发展概况。

2.1 视觉告警

视觉是人类个体最主要的感觉通道，有80%以上的信息均是来自视觉上的感知[9]。视觉告警能及时获得驾驶员的高度关注，并提供关于各种紧急情景下的主动信息，不易导致机组人员误解，反映的告警信息量相对比较多，范围广。视觉告警主要通过警示灯、告警信息、显示器告警三种途径，结合不同颜色来准确定义不同级别的告警信息。

国内外诸多学者对视觉告警开展了很多基础性研究，朱祖祥[10]等人认为视觉告警信号主要应用于紧急情况，避免增加工作人员的视觉负荷，因此提出个人专用性的理念，为个性化的告警方式提供了可能性。Kiichi提出在汽车驾驶领域，将预警声音定位与视觉信息结合使驾驶员能够更快速地辨识视觉信息[11]。对于航空领域的民机驾驶舱告警方面，张博通过对比波音737和空客A320机型的告警设计，结合民机的三级告警设计方法，分析告警的定义、分级、颜色等方面，提出一种关于可视角度的主警告灯设计方案[12]。孙有朝等人结合眼动仪参数及权重，研究了飞机座舱低光照条件下对飞行员视觉功效的影响，提出了一种较为合适的光照强度：50Lux[13]。舒秀丽等人参照SAE相关标准，分别从三级视觉告警信号的设计进行分析，结合MIL-STD-1472F中对告警颜色的亮度、背景亮度做的规定，提出了设计驾驶舱内视觉告警信号的基本要求[14]。

在视觉告警中，主警告灯负责多个故障显示，但目前关于主警告灯和次一级的灯光或者声音告警的结合效果并没有学者进行深度研究，如果缺乏次级的辅助告警，可能会造成故障无法查明、错误判断等严重威胁安全的现象。

平视信息显示器(Head Up Display, 简称HUD)的出现成为民机驾驶舱中的视觉告警应用技术的重大突破，通过客机玻璃光学反射的特殊原理，将舱内重要仪表及告警信息投射在客机驾驶舱前方的透明玻璃面上，以有效减少飞行员低头查看飞行仪表的频次，提高飞行员情景意识、更直观精细的飞行操作提示和更高的全天候运行控制能力。此外，波音787系列导航显示器上的垂直状态显示器[15]，以及可在侧显示器上显示的机场滑行道地图都满足了飞行员在不同飞行阶段的信息需求，垂直状态显示器确保飞行员同时获得水平和垂直的导航信息，结合机场滑行道地图，为飞行员提供飞行各阶段的情境意识。

2.2 听觉告警

听觉告警是通过驾驶舱中的扬声器或机组人员的耳机中发出某种声音来告知飞行员此刻的飞行状态。

国内外学者对于听觉告警的研究主要集中于频度、响度、声刺激等声学参数[16-20]，在探究声学参数对告警感知影响方面已做有大量工作，基于上述研究基础在特定的驾驶舱工作环境之下的声学工效领域中，许嵩提出通过研究告警的听觉参数以及呈现方式，提出了声学告警今后的研究方向：不同信噪比对人的告警感知绩效的影响，中西方告警参数之间存在明显差异以及不同告警之间的相互影响作用[21]。张博基于适航规则和相关机型设计经验，提出驾驶舱内应采取的音调频率，使用规则及其语音告警的设计准则[5]。张彤等人对关于驾驶舱语音告警的最佳语速的研究分析表明，告警中的最佳语速为3.33字/s～5.34字/s[22]，最佳为4字/s。此外，驾驶舱中听觉告警涉及需要综合考虑机组人员的可理解度、反应时间以及错误率的权重问题[23]。

现阶段的驾驶舱语音多采用三维定位音频技术以达到有效告警，三维音频技术最初作用于美国军用战斗机中，后被应用于民用飞机3D告警系统中，利用声源定位作为引导视觉告警的辅助信息[24]，在低能见度、视野欠佳或视觉信息混杂的情况进一步明确故障位置，强化飞行员的识别故障认知意识。

2.3 触觉告警

触觉告警多采用物理触感、反馈杆力、震动等方式达到警示目的。在一些特定情况下，触觉告警的应用可以更有效地引起飞行员的注意力。

国外学者Simon C发明了一种专为飞行员设计的电子手表装置，该表提供了一种包括视觉、听觉和触觉能力的三种告警装置，具有多个定时器和告警指示的飞行监视装置，以故障安全的方式提醒飞行员注意多个顺序事件发生的时间，以满足飞行中的多个计时需求，并能够帮助飞行员意识到发动机运行的时间[25]。Salzer Yael[26]提出将驾驶员大腿位置安置驾驶舱内振动触觉显示器，通过组装在大腿上的振动触觉显示器可以实现垂直方向定向，其潜在应用可用于在垂直平面内向飞行员提供定向碰撞警报，这可以在视觉-听觉超载的驾驶舱环境中提供引起飞行员注意的更有效的告警方式。

综上可见，驾驶舱中触觉告警的应用还仅限于飞机失速的情况，当迎角传感器(AOA)达到预先设定值，触发抖杆器振动，引发失速告警。触觉作为人体五大感官中最为敏感的器官，其在飞机飞行告警方面的应用还有待我们深入研究。

此外，在告警系统设计方面，吴奇[27]等人通过视听辨析、视听告警双任务干涉系列实验，采集飞行员告警处理过程的信息，构建基于飞行员告警信息处理的认知和行为模型。国外学者PL尤因利用扩展卡尔曼滤波器实现飞行跟踪算法，计算飞机位置及间距，提出基于滤波算法的飞机信标防撞预警系统设计[28]。JM Noyes、AF Starr提出开发“以人为中心”的、具有容错能力并能积极帮助机组人员做出决策的飞行预警系统[29]；Dehais JM Merle通过实验测量机组对初始告警信号以及辅助告警信号的响应时间，确定机组反应时间间隔，并设计出一种机组人员未对警报做出反应的情况下能够实施自动回避操作的装置[30]，这些研究都为驾驶舱告警系统设计提供了有价值的思考。

3 民机驾驶舱告警系统需求分析

3.1 基于规章的驾驶舱告警系统设计需求

随着民用航空器的快速发展，机上各种电子设备日趋复杂，机内各种类型告警信号也日益增多，为了有效确保民用航空器在告警系统方面的安全性和适航性，各国适航管理部门分别制定了机载告警适航规章，国际上诸多适航规章都是以美国联邦航空发布的FAR-25部为参考。

FAR25-1309条款[31]中要求：飞机系统非正常或故障状况下的信息必须及时提供给飞行机组，以便机组人员在任何情况下能够察觉并响应。系统设计必须避免虚警和冗余性告警，机组告警信息按照优先级划分为需立即识别并马上处置的警告级、需立即识别并随后处置的警戒级、需机组成员意识到且可以稍后处置的提示级警告。告警优先级方面，视觉信息按照告警等级从上至下依次显示于显示屏内，构型告警优先于其他告警。听觉告警按照告警优先级进行排序和播报，同时间只允许存在一种听觉告警，必要时可中断当前告警，播报更高级别的听觉告警信息。对于告警颜色，规定警告状态用红色显示，警戒状态用琥珀色或黄色显示，正常状态用绿色显示，严格限制上述告警颜色用于驾驶舱内的其他用途。

上述规章条款的制订是以大量的人因实验研究结论为基础，但是适航规章只是对驾驶舱告警系统提出了基本要求，如何优化其设计还需不断去探索和完善。

3.2 基于信息加工的告警系统设计需求

飞行员处理驾驶舱告警的过程是一个信息处理的流程[32]，狮航、埃航两起波音737 MAX事故中，飞机迎角超过规定阈值，发出警告，同时导致波音737 MAX机型机动特性增强系统(MCAS)被激活，伴有抖杆器被激活、空速不可靠、高度不一致等其他多重告警。由于在对波音737 MAX设计中忽略了驾驶舱多重警告对于飞行员的人因影响，有限的心理资源和注意力导致飞行员在多重警告的情况下，无法分清任务的优先级，也就无法采取及时、适当的纠正措施。

Wickens信息处理模型(图1)可用于分析在多重故障情况下飞行员对告警信息加工、操作和决策过程的差错，并指导机载告警系统人机界面的设计。该模型从人类信息加工的一系列心理操作差错角度来分析人因差错，飞行员通过视觉、听觉、触觉获取飞行动态信息及其驾驶舱各类仪表信息[33]，包括告警指示信息，将接收到的信息进行分析，判断执行当前任务所需要的信息，依据信息分析结果，制定合理的行动方案，整个信息接收、分析、处理、决策、执行过程中注意资源以及记忆力始终起到关键的辅助作用[34-35]。因此，信息加工处理的过程影响并支配着飞行员的行为和动作，在驾驶舱告警系统设计过程中，需要对飞行任务的环境和具体程序进行深入分析，掌握不同告警信号的响应背景，只有选择和响应背景相匹配的感觉通道，执行任务中的飞行员才能够有效获取告警信息并及时处理。

图1 飞行员信息处理模型图

4 发展趋势展望

综上所述，目前驾驶舱告警系统虽然已经很先进，但是从人因工程视角来看，设计上的局限性仍然存在，特别是当飞行环境条件复杂多变、飞行任务多线程同时执行时，告警的及时性和可靠性还有很大的提升空间。在对告警系统适航规章解读的基础上，结合人因工程学的研究进展，对未来驾驶舱告警系统的发展趋势总结如下：

(1)从“自动化”向“自主化”告警过渡。现有的自动化告警系统在告警时大多是一种基于阈值数据触发的被动响应，未来的驾驶舱告警系统应该在综合机载和环境数据的基础上，引入人工智能算法，使得告警系统具备一定的“思考”能力和“自主化”告警功能，真正成为机组一员，为机组决策提供支持。

(2)设计“前置预警”以消除心理不应期的负面效应。现代飞机的自动化程度非常高，自动驾驶在为飞行员操作提供便捷的同时，也带来飞行员对自动驾驶过度信任的问题，突发情境下自动驾驶仪的断开告警或其它告警均会给飞行员带来“自动化惊吓(Automation Surprise)”，如果在告警设计者融入前置告警，给飞行员一定的心理准备时间，避开心理不应期的负面效应，将会避免由于“自动化惊吓”所带来的人因失误。

(3)设计个性化告警以提高告警区分度。“鸡尾酒会效应”说明个体对自我信息的加工具有独特优势[36]，而目前驾驶舱中的告警信息都是通用提示，如果融入个性化的告警信息(比如含有机组姓名的信息提醒)，机组自我信息加工的优势就会发挥作用，抵消机组在复杂情境下一部分或全部的“瞬脱”效应[37]。同时，个性化告警对机组区分相似告警具有积极作用。

(4)增加触觉告警的融合应用。在当前驾驶舱告警系统中，触觉类告警应用较少，而实际上人体对触觉刺激反应用时最短，在很多情况下都会存在视觉或听觉通道不可用、受限或过载的情况[38-39]，因此，未来的告警系统设计应充分考虑触觉。同时，并行跟踪多个视觉信息源的视觉注意力资源可能是有限的，如何将其转换为触觉模式(和多个模式)尚不完全清楚，但有一些迹象表明，触觉注意力可能同时指向多个位置，因而触觉告警有着更为广阔的探索和应用空间。

(5)加强告警阈值的实验研究及探索。告警阈值过大易造成告警不及时，飞行员反应时间过短；告警阈值过小易导致告警频次过多，产生虚警，致使飞行员大意而忽略重要告警信息，告警阈值的设定应该是基于大量实验数据，因此开展飞行情境下的告警阈值实验研究对改善驾驶舱告警系统设计显得尤为重要。

5 结论

驾驶舱内告警系统设计的合理性将直接关系到机组是否能及时注意到非正常飞机系统状态或运行状态并采取有效措施，智能化、人性化的告警系统是保障飞行安全的有力防线。

本研究通过梳理驾驶舱告警系统的发展历程、国内外学者对告警系统设计研究及告警技术的应用进展，对驾驶舱告警系统的适航规章进行解读，提出民机驾驶舱告警系统仍存在一些局限与不足。民机驾驶舱告警系统整体结构的设计必须要突出重点，在关键阶段抑制甚至忽略非重要告警信息，以便有效确保各种紧急情况飞行员能够及时获取最重要的告警信息，提高民用客机飞行安全。面对错综复杂的飞行环境，未来民机驾驶舱告警系统不仅需要做到及时告知飞行员危险存在的能力，更应该具备提示建议、化解危险的能力，同时优化多重告警优先级，使飞行员充分考虑到主警告产生的所有次要警告信息，确保飞行员能够及时辨别主警告，采取必要措施。