高杉，劉鵬

(浙江大學(xué) 心理科學(xué)研究中心，浙江 杭州 310000)

1 引言

汽車自動駕駛技術(shù)是道路交通領(lǐng)域最大的技術(shù)革新之一，該技術(shù)的實(shí)現(xiàn)有望大幅降低道路交通事故率以及事故嚴(yán)重性[1]。美國國際汽車工程師協(xié)會[2]根據(jù)駕駛自動化系統(tǒng)能夠執(zhí)行動態(tài)駕駛?cè)蝿?wù)的程度、在執(zhí)行動態(tài)駕駛?cè)蝿?wù)中的角色分配以及有無設(shè)計(jì)運(yùn)行條件限制，將駕駛自動化水平分為六個(gè)級別(L0-5)，如表1所示。在此基礎(chǔ)上，中國制定了相應(yīng)的國家標(biāo)準(zhǔn)[3]，將駕駛自動化的六個(gè)級別分別命名為應(yīng)急輔助、部分駕駛輔助、組合駕駛輔助、有條件自動駕駛、高度自動駕駛、完全自動駕駛。

表1 駕駛自動化分級國家標(biāo)準(zhǔn)[3]

汽車自動駕駛技術(shù)有望降低交通事故中人因失誤，但目前的動駕駛技術(shù)還不完善，其發(fā)展和應(yīng)用帶來了一系列前所未有的人因相關(guān)風(fēng)險(xiǎn)，造成了一些受到社會公眾廣泛關(guān)注的自動駕駛事故，如2018年Uber自動駕駛碰撞事故(導(dǎo)致一名行人死亡)。這類事故將會直接降低公眾對于汽車自動駕駛技術(shù)的接受程度和使用意愿，阻礙汽車自動駕駛技術(shù)的進(jìn)一步應(yīng)用和發(fā)展[4-6]。

盡管目前涉及到汽車自動駕駛(L3或以上)的事故數(shù)量還比較少，但提前建立事故預(yù)防措施，將安全關(guān)口前移十分必要。建立針對汽車自動駕駛事故的人因分析模型能夠有效對該類型事故中的人因風(fēng)險(xiǎn)進(jìn)行識別和預(yù)防。本研究基于人因分析和分類系統(tǒng)(Human Factors Analysis and Classification System,HFACS[7])，通過分析2018年Uber自動駕駛事故的致因因素，對HFACS進(jìn)行針對性地補(bǔ)充和完善，形成適用于汽車自動駕駛領(lǐng)域的人因分析和預(yù)防工具，為該領(lǐng)域的人因分析和預(yù)防提供理論模型和見解。

2 人因分析和分類系統(tǒng)(HFACS)

人因分析和分類系統(tǒng)[7](Human Factors Analysis and Classification System,HFACS)基于事故致因領(lǐng)域中的“瑞士奶酪”模型[8]，不僅包含了奶酪模型中的四個(gè)人為因素層級(組織因素、不安全監(jiān)管、不安全行為前提、不安全行為)，并且對每個(gè)層級進(jìn)行具體化分類，其模型框架如圖1所示。

圖1 HFACS框架

相較于其它的人因分析模型，HFACS有更為完善的組織和分類體系，對事故致因的識別和分類具有較高的適用性[9]。具體而言，利用HFACS能夠從系統(tǒng)外部的表層原因深入挖掘到系統(tǒng)內(nèi)部的深層原因[10]。因此，無論在事故分析還是預(yù)防方面，HFACS都具有較強(qiáng)的指導(dǎo)意義，目前已經(jīng)被廣泛應(yīng)用于事故預(yù)防、事故致因因素的識別與分類中。其中，應(yīng)用最早、最廣泛的領(lǐng)域是具備高度自動化系統(tǒng)的航空領(lǐng)域。國外如Daramola[11]利用HFACS分析了發(fā)生在尼日利亞的45起航空事故，發(fā)現(xiàn)技能型失誤、物理環(huán)境和監(jiān)督不充分是最主要的事故原因；Rashid等[12]針對由于維護(hù)不當(dāng)導(dǎo)致的直升機(jī)事故，通過對HFACS進(jìn)行修訂、擴(kuò)展后，基于804起由于維護(hù)不當(dāng)導(dǎo)致的直升機(jī)事故數(shù)據(jù)，發(fā)現(xiàn)維護(hù)流程、維護(hù)標(biāo)準(zhǔn)以及記憶錯(cuò)誤是造成該類事故的主要因素。國內(nèi)如羅曉利等[13]首次利用HFACS對民航飛行事故的原因進(jìn)行識別、分類與分析；潘衛(wèi)軍等[14]將HFACS應(yīng)用于分析跑道侵入事件中的人因問題并建立預(yù)防方案，為事故致因提供分析和分類標(biāo)準(zhǔn)；王家旭等[15]建立了航電試驗(yàn)機(jī)飛行試驗(yàn)領(lǐng)域的人因分析模型，提出該領(lǐng)域人因失誤發(fā)生的關(guān)鍵致因因素。

盡管目前人因工程領(lǐng)域開發(fā)和應(yīng)用的方法、模型對識別事故致因以及理解事故因果關(guān)系在理論上具有指導(dǎo)意義，但由于行業(yè)領(lǐng)域迅速發(fā)展，多種事故致因因素之間的非線性相互作用導(dǎo)致過去適用的方法可能并不能夠很好地適用于現(xiàn)在的事故分析和預(yù)防，其預(yù)防和分析效果已經(jīng)被減弱。因此，為了在不同的領(lǐng)域有效并全面地識別事故致因因素，部分研究對HFACS進(jìn)行了針對領(lǐng)域特點(diǎn)和發(fā)展現(xiàn)狀的改進(jìn)或補(bǔ)充，能夠快速形成適用于特定領(lǐng)域的事故致因因素識別和分類框架，如道路[16-17]、鐵路[18-19]、水運(yùn)[20-23]等。Zhang等[20]利用擴(kuò)展的HFACS(五個(gè)層級)和事故樹模型對破冰船碰撞風(fēng)險(xiǎn)進(jìn)行分析，構(gòu)建了針對冰封水域環(huán)境下的人因模型識別與分類框架，同時(shí)提出在特定領(lǐng)域中應(yīng)用HFACS對事故致因進(jìn)行分析時(shí)，應(yīng)該根據(jù)不同的研究對象對HFACS做適當(dāng)?shù)恼{(diào)整。Chauvin等[21]同樣利用具有五個(gè)層級的HFACS對海事事故報(bào)告和事故成因進(jìn)行分析，能夠從事故報(bào)告中有效識別和分類事故致因因素；Reinach和Viale[24]考慮了經(jīng)濟(jì)、法律、政策等因素，形成第五層級來完善HFACS對鐵路事故的致因分析。

作為不斷向完全自動化發(fā)展的汽車自動駕駛領(lǐng)域，目前還鮮有適用且完善的模型框架來為該領(lǐng)域事故的人因分析提供理論支撐。由于汽車自動駕駛的組織架構(gòu)、管理模式等與航空領(lǐng)域的飛機(jī)自動駕駛具有一定的相似性，因此，利用HFACS對汽車自動駕駛事故進(jìn)行致因分析，能夠有效降低事故分析過程中的主觀偏差、信息曲解或遺漏等人因失誤。應(yīng)基于汽車自動駕駛領(lǐng)域的行業(yè)背景，補(bǔ)充和完善HFACS，使其能夠更加適用于道路交通領(lǐng)域中的汽車自動駕駛?cè)艘蚍治觯瑸樵擃I(lǐng)域的事故分析和預(yù)防提供有效工具。

3 2018Uber自動駕駛汽車事故經(jīng)過

3.1 事故描述

2018年3月18日晚9點(diǎn)58分，一名女性安全駕駛員坐在一輛經(jīng)過改裝的Uber自動駕駛測試車(Volvo XC90 SUV,2017)駕駛座上，在亞利桑那州坦佩市的米爾街道(公共道路)向北行駛時(shí)與一名穿越該道路的女性行人相撞，造成該行人死亡，安全駕駛員沒有受傷。這輛測試車由Uber公司下屬的先進(jìn)技術(shù)團(tuán)隊(duì)(Advanced Technologies Group,ATG)負(fù)責(zé)運(yùn)營，配備自動駕駛系統(tǒng)功能。事故發(fā)生時(shí)，道路干燥，有路燈照明，自動駕駛系統(tǒng)(Automated Driving System,ADS)處于激活狀態(tài)。

事故發(fā)生前，安全駕駛員坐在自動駕駛車輛的駕駛位。自動駕駛已經(jīng)開啟，執(zhí)行既定測試路線的第二部分。在ADS控制車輛19分鐘后，測試車接近碰撞點(diǎn)，此時(shí)車速為72 km/h；同時(shí)行人開始推著一輛自行車橫穿馬路。根據(jù)ADS記錄的數(shù)據(jù)，碰撞發(fā)生前5.6秒，ADS首次監(jiān)測到目標(biāo)，但是將其歸類為車輛，然后在短時(shí)間內(nèi)將目標(biāo)分別識別為車輛、其他物體、自行車等。同時(shí)，ADS也沒有正確預(yù)測目標(biāo)的運(yùn)動路徑，因此也沒有降低車速。需要指出的是，測試團(tuán)隊(duì)為了測試的流暢性(避免可能的信號干擾)，在ADS測試期間禁用了測試車前裝的前向碰撞預(yù)警(Forward Collision Warning,FCW)與緊急制動(Automatic Emergency Braking,AEB)功能，取消了一層安全冗余。車內(nèi)攝像頭視頻與訪談記錄表明，碰撞前安全駕駛員曾多次將視線轉(zhuǎn)移至下方的中控臺位置(根據(jù)調(diào)查，當(dāng)時(shí)放置在中控臺的手機(jī)正在播放電視節(jié)目)，并停留較長時(shí)間。在碰撞發(fā)生前6秒安全駕駛員最后一次將視線轉(zhuǎn)移至中控臺，直到碰撞發(fā)生前1秒，安全駕駛員才將視線轉(zhuǎn)移回前方。ADS記錄的數(shù)據(jù)表明，碰撞前0.02秒安全駕駛員開始向左打方向盤，此時(shí)車速為63 km/h，隨后發(fā)生碰撞。本次碰撞事故發(fā)生前6秒的事件時(shí)間軸如圖2所示：

圖2 2018年Uber自動駕駛測試事故時(shí)間軸

3.2 安全駕駛員情況

安全駕駛員，女性，44歲，持有亞利桑那州D級駕駛執(zhí)照，自從2017年6月以來一直擔(dān)任Uber自動駕駛測試車輛的安全駕駛員。安全駕駛員的工作職責(zé)是觀察車輛運(yùn)行狀態(tài)并在平板電腦上記錄感興趣的事件，以及在發(fā)生緊急情況時(shí)立即接管車輛。根據(jù)ATG的記錄，該安全駕駛員在上路測試前，已經(jīng)完成了為期三周的培訓(xùn)以及復(fù)訓(xùn)。在完成培訓(xùn)后，她曾完成了73次自動駕駛道路測試，包括在事故道路上的自動駕駛測試。該安全駕駛員在工作期間沒有受到過任何處罰，并且在2017年第四季度曾受到過集體績效獎(jiǎng)勵(lì)。根據(jù)亞利桑那州的機(jī)動車記錄，近10年間，該安全駕駛員共有4次交通違規(guī)行為，其中發(fā)生在2016年4月的超速是距事故發(fā)生前最近的一次交通違章。

事故發(fā)生后，盡管ATG要求安全駕駛員在事故發(fā)生后接受藥物測試，但由于沒有辦法獲得血液樣本，實(shí)際上并沒有對安全駕駛員進(jìn)行藥物檢測，安全駕駛員的自我報(bào)告中也沒有提到任何影響其駕駛表現(xiàn)的健康問題。根據(jù)美國國家運(yùn)輸安全委員會(National Transportation Safety Board,NTSB)的調(diào)查員與安全駕駛員的訪談、手機(jī)記錄以及ATG員工工作記錄發(fā)現(xiàn)，本次駕駛過程中沒有出現(xiàn)疲勞駕駛的問題，但在碰撞發(fā)生前(晚上9點(diǎn)16分至9點(diǎn)59分之間，包括在開放道路上的39分鐘)，安全駕駛員的手機(jī)一直在播放電視節(jié)目。

3.3 行人情況

行人是一名49歲的女性，事故發(fā)生時(shí)正推著一輛自行車，由西向東穿越事故道路(如圖3)。事故發(fā)生后的血液檢測結(jié)果表明，該行人沒有喝酒，但在其血液中檢測到了甲基苯丙胺和大麻成分，可能降低了其感知和判斷能力，導(dǎo)致在車輛接近時(shí)仍橫穿馬路。

圖3 碰撞前安全駕駛員(左)與行人(右)的快照[25]

4 基于HFACS的事故致因識別與分類

本研究基于HFACS框架，結(jié)合汽車自動駕駛領(lǐng)域特點(diǎn)，對每個(gè)層級進(jìn)行具體化描述。同時(shí)，根據(jù)NTSB對2018年Uber自動駕駛測試碰撞事故的調(diào)查報(bào)告[26]，對該事故具體的致因因素進(jìn)行識別和分類，如表2所示；

表2 基于HFACS的Uber自動駕駛測試事故致因識別與分類

在汽車自動駕駛領(lǐng)域，同樣存在部分致因因素，在基本的HFACS框架中存在識別模糊或無法分類的問題，而且這些問題還會影響其他致因因素，因此其對于事故的重要性不可忽略。例如，無論從事故的潛在致因因素，還是NTSB給出的建議措施，都指出目前在汽車自動駕駛領(lǐng)域(L3及以上)缺乏相應(yīng)的法律和政策，造成了包括安全氛圍、安全監(jiān)督、組織過程等在內(nèi)的系統(tǒng)安全問題。因此，對于汽車自動駕駛事故的人因分析，基于航空領(lǐng)域的HFACS框架并不能夠完全適用。結(jié)合NTSB的事故調(diào)查報(bào)告，通過補(bǔ)充包括法律制定、監(jiān)督管理、行人情況在內(nèi)的其他因素，進(jìn)一步對原有HFACS無法分類或分類模糊的致因因素進(jìn)行識別和歸納，補(bǔ)充后的HFACS對汽車自動駕駛事故應(yīng)具有較好的適用性，如表3所示：

表3 其他事故致因因素的識別與分類

5 討論

奶酪模型中的事故鏈理論[8]認(rèn)為，只有同時(shí)構(gòu)成包括組織問題、不安全監(jiān)督、不安全行為的前提條件、不安全行為四個(gè)層級事故致因因素在內(nèi)的完整事故鏈條件下，事故才會發(fā)生。但目前相關(guān)事故的報(bào)道卻基本將責(zé)任歸因于與不安全行為直接相關(guān)的操作者身上，沒有深入挖掘組織內(nèi)部潛在的致因因素，如不良的安全文化、不足的安全監(jiān)管等，這不僅不利于事故預(yù)防，而且還會將事故責(zé)任過度歸因于操作者，影響公眾對事故的正確認(rèn)知[27]。實(shí)際上，相比于顯性的不安全行為，作為更高層級的立法空缺、監(jiān)管不足等因素造成的隱性風(fēng)險(xiǎn)可能會向下影響較低層級的事故致因因素，如構(gòu)成不安全行為的前提條件，進(jìn)而導(dǎo)致不安全行為，因此這些更高層級的致因因素對安全的威脅更大[28]。有研究表明，針對隱性風(fēng)險(xiǎn)進(jìn)行改善，能夠顯著降低風(fēng)險(xiǎn)。如Naevestad等[29]利用安全梯度方法表明每個(gè)層級安全文化得分的增加都能夠降低對應(yīng)因素的風(fēng)險(xiǎn)。基于HFACS，本次Uber自動駕駛事故分析結(jié)果也強(qiáng)調(diào)了法律、政策、組織因素等對于汽車自動駕駛安全的重要性[26]。

在汽車自動駕駛領(lǐng)域，目前還沒有一種完全適用的模型框架來指導(dǎo)事故致因分析。在汽車自動駕駛領(lǐng)域中利用HFACS作為一種事故致因的識別和分類工具，能夠快速借鑒航空領(lǐng)域成熟的應(yīng)用經(jīng)驗(yàn)。同時(shí)，結(jié)合領(lǐng)域背景，對HFACS進(jìn)行適當(dāng)?shù)难a(bǔ)充，能夠在汽車自動駕駛領(lǐng)域中快速形成一個(gè)相對完善的事故致因識別和分類標(biāo)準(zhǔn)，為汽車自動駕駛?cè)艘蚴д`的識別和預(yù)防提供必要的理論基礎(chǔ)。此外，也為政府監(jiān)督部門、企業(yè)管理人員提供一個(gè)科學(xué)、全面、快速、便捷的分析框架，盡可能避免因?yàn)榭紤]不全而造成遺漏、疏忽等失誤。

與此同時(shí)，HFACS也存在一定的不足。首先，HFACS屬于一種對人因失誤進(jìn)行概括性地識別和分類的工具，具體應(yīng)用到事故案例分析時(shí)，仍然存在一定的局限性。例如分類不準(zhǔn)確等，需要結(jié)合事故實(shí)際情況進(jìn)行進(jìn)一步的修正[20,21,24]。另外，模型中對于操作者的心理狀態(tài)分析過于粗略，并沒有深入考慮其行為決策過程中的心理復(fù)雜性，因此仍然屬于一種主觀的和定性的識別和分類方法。最后，盡管HFACS具有層級之間的邏輯關(guān)系，但缺乏具體致因因素之間的因果鏈分析，因此未來的事故分析與預(yù)防需要結(jié)合其他因果分析方法(如事故地圖[9]，事故樹[20]等)，進(jìn)一步提高分析和預(yù)防的效果。

本次Uber自動駕駛測試事故分析暴露出駕駛員在自動駕駛狀態(tài)下會出現(xiàn)警覺性下降、自動化自滿等不利于駕駛安全的人因問題。在完全自動駕駛商業(yè)化之前，人機(jī)共駕中由于長時(shí)間監(jiān)控ADS和道路情況，駕駛員的警覺性會下降，容易出現(xiàn)精神疲勞或分心[30]以及情境意識模糊[31]等不利于操作績效的現(xiàn)象。有研究發(fā)現(xiàn)，通過一些額外刺激，如在駕駛時(shí)聽音樂，適當(dāng)提高警覺度，能夠在枯燥任務(wù)中提高駕駛員的駕駛表現(xiàn)[32]。

6 結(jié)論

1)汽車自動駕駛事故的發(fā)生不僅僅是由于駕駛員的不安全行為，還與自動駕駛技術(shù)相關(guān)的法律政策、相關(guān)部門的安全監(jiān)督、車企的組織管理等因素有關(guān)；

2)基于Uber自動駕駛事故的HFACS框架能夠?yàn)槠囎詣玉{駛領(lǐng)域的事故致因分析提供一定的參考和借鑒意義；

3)人機(jī)共駕下的駕駛員自滿、分心仍然是影響自動駕駛安全的關(guān)鍵人因問題。