高杉，劉鵬

(浙江大學 心理科學研究中心，浙江 杭州 310000)

1 引言

汽車自動駕駛技術是道路交通領域最大的技術革新之一，該技術的實現(xiàn)有望大幅降低道路交通事故率以及事故嚴重性[1]。美國國際汽車工程師協(xié)會[2]根據(jù)駕駛自動化系統(tǒng)能夠執(zhí)行動態(tài)駕駛任務的程度、在執(zhí)行動態(tài)駕駛任務中的角色分配以及有無設計運行條件限制，將駕駛自動化水平分為六個級別(L0-5)，如表1所示。在此基礎上，中國制定了相應的國家標準[3]，將駕駛自動化的六個級別分別命名為應急輔助、部分駕駛輔助、組合駕駛輔助、有條件自動駕駛、高度自動駕駛、完全自動駕駛。

表1 駕駛自動化分級國家標準[3]

汽車自動駕駛技術有望降低交通事故中人因失誤，但目前的動駕駛技術還不完善，其發(fā)展和應用帶來了一系列前所未有的人因相關風險，造成了一些受到社會公眾廣泛關注的自動駕駛事故，如2018年Uber自動駕駛碰撞事故(導致一名行人死亡)。這類事故將會直接降低公眾對于汽車自動駕駛技術的接受程度和使用意愿，阻礙汽車自動駕駛技術的進一步應用和發(fā)展[4-6]。

盡管目前涉及到汽車自動駕駛(L3或以上)的事故數(shù)量還比較少，但提前建立事故預防措施，將安全關口前移十分必要。建立針對汽車自動駕駛事故的人因分析模型能夠有效對該類型事故中的人因風險進行識別和預防。本研究基于人因分析和分類系統(tǒng)(Human Factors Analysis and Classification System,HFACS[7])，通過分析2018年Uber自動駕駛事故的致因因素，對HFACS進行針對性地補充和完善，形成適用于汽車自動駕駛領域的人因分析和預防工具，為該領域的人因分析和預防提供理論模型和見解。

2 人因分析和分類系統(tǒng)(HFACS)

人因分析和分類系統(tǒng)[7](Human Factors Analysis and Classification System,HFACS)基于事故致因領域中的“瑞士奶酪”模型[8]，不僅包含了奶酪模型中的四個人為因素層級(組織因素、不安全監(jiān)管、不安全行為前提、不安全行為)，并且對每個層級進行具體化分類，其模型框架如圖1所示。

圖1 HFACS框架

相較于其它的人因分析模型，HFACS有更為完善的組織和分類體系，對事故致因的識別和分類具有較高的適用性[9]。具體而言，利用HFACS能夠從系統(tǒng)外部的表層原因深入挖掘到系統(tǒng)內部的深層原因[10]。因此，無論在事故分析還是預防方面，HFACS都具有較強的指導意義，目前已經(jīng)被廣泛應用于事故預防、事故致因因素的識別與分類中。其中，應用最早、最廣泛的領域是具備高度自動化系統(tǒng)的航空領域。國外如Daramola[11]利用HFACS分析了發(fā)生在尼日利亞的45起航空事故，發(fā)現(xiàn)技能型失誤、物理環(huán)境和監(jiān)督不充分是最主要的事故原因；Rashid等[12]針對由于維護不當導致的直升機事故，通過對HFACS進行修訂、擴展后，基于804起由于維護不當導致的直升機事故數(shù)據(jù)，發(fā)現(xiàn)維護流程、維護標準以及記憶錯誤是造成該類事故的主要因素。國內如羅曉利等[13]首次利用HFACS對民航飛行事故的原因進行識別、分類與分析；潘衛(wèi)軍等[14]將HFACS應用于分析跑道侵入事件中的人因問題并建立預防方案，為事故致因提供分析和分類標準；王家旭等[15]建立了航電試驗機飛行試驗領域的人因分析模型，提出該領域人因失誤發(fā)生的關鍵致因因素。

盡管目前人因工程領域開發(fā)和應用的方法、模型對識別事故致因以及理解事故因果關系在理論上具有指導意義，但由于行業(yè)領域迅速發(fā)展，多種事故致因因素之間的非線性相互作用導致過去適用的方法可能并不能夠很好地適用于現(xiàn)在的事故分析和預防，其預防和分析效果已經(jīng)被減弱。因此，為了在不同的領域有效并全面地識別事故致因因素，部分研究對HFACS進行了針對領域特點和發(fā)展現(xiàn)狀的改進或補充，能夠快速形成適用于特定領域的事故致因因素識別和分類框架，如道路[16-17]、鐵路[18-19]、水運[20-23]等。Zhang等[20]利用擴展的HFACS(五個層級)和事故樹模型對破冰船碰撞風險進行分析，構建了針對冰封水域環(huán)境下的人因模型識別與分類框架，同時提出在特定領域中應用HFACS對事故致因進行分析時，應該根據(jù)不同的研究對象對HFACS做適當?shù)恼{整。Chauvin等[21]同樣利用具有五個層級的HFACS對海事事故報告和事故成因進行分析，能夠從事故報告中有效識別和分類事故致因因素；Reinach和Viale[24]考慮了經(jīng)濟、法律、政策等因素，形成第五層級來完善HFACS對鐵路事故的致因分析。

作為不斷向完全自動化發(fā)展的汽車自動駕駛領域，目前還鮮有適用且完善的模型框架來為該領域事故的人因分析提供理論支撐。由于汽車自動駕駛的組織架構、管理模式等與航空領域的飛機自動駕駛具有一定的相似性，因此，利用HFACS對汽車自動駕駛事故進行致因分析，能夠有效降低事故分析過程中的主觀偏差、信息曲解或遺漏等人因失誤。應基于汽車自動駕駛領域的行業(yè)背景，補充和完善HFACS，使其能夠更加適用于道路交通領域中的汽車自動駕駛人因分析，為該領域的事故分析和預防提供有效工具。

3 2018Uber自動駕駛汽車事故經(jīng)過

3.1 事故描述

2018年3月18日晚9點58分，一名女性安全駕駛員坐在一輛經(jīng)過改裝的Uber自動駕駛測試車(Volvo XC90 SUV,2017)駕駛座上，在亞利桑那州坦佩市的米爾街道(公共道路)向北行駛時與一名穿越該道路的女性行人相撞，造成該行人死亡，安全駕駛員沒有受傷。這輛測試車由Uber公司下屬的先進技術團隊(Advanced Technologies Group,ATG)負責運營，配備自動駕駛系統(tǒng)功能。事故發(fā)生時，道路干燥，有路燈照明，自動駕駛系統(tǒng)(Automated Driving System,ADS)處于激活狀態(tài)。

事故發(fā)生前，安全駕駛員坐在自動駕駛車輛的駕駛位。自動駕駛已經(jīng)開啟，執(zhí)行既定測試路線的第二部分。在ADS控制車輛19分鐘后，測試車接近碰撞點，此時車速為72 km/h；同時行人開始推著一輛自行車橫穿馬路。根據(jù)ADS記錄的數(shù)據(jù)，碰撞發(fā)生前5.6秒，ADS首次監(jiān)測到目標，但是將其歸類為車輛，然后在短時間內將目標分別識別為車輛、其他物體、自行車等。同時，ADS也沒有正確預測目標的運動路徑，因此也沒有降低車速。需要指出的是，測試團隊為了測試的流暢性(避免可能的信號干擾)，在ADS測試期間禁用了測試車前裝的前向碰撞預警(Forward Collision Warning,FCW)與緊急制動(Automatic Emergency Braking,AEB)功能，取消了一層安全冗余。車內攝像頭視頻與訪談記錄表明，碰撞前安全駕駛員曾多次將視線轉移至下方的中控臺位置(根據(jù)調查，當時放置在中控臺的手機正在播放電視節(jié)目)，并停留較長時間。在碰撞發(fā)生前6秒安全駕駛員最后一次將視線轉移至中控臺，直到碰撞發(fā)生前1秒，安全駕駛員才將視線轉移回前方。ADS記錄的數(shù)據(jù)表明，碰撞前0.02秒安全駕駛員開始向左打方向盤，此時車速為63 km/h，隨后發(fā)生碰撞。本次碰撞事故發(fā)生前6秒的事件時間軸如圖2所示：

圖2 2018年Uber自動駕駛測試事故時間軸

3.2 安全駕駛員情況

安全駕駛員，女性，44歲，持有亞利桑那州D級駕駛執(zhí)照，自從2017年6月以來一直擔任Uber自動駕駛測試車輛的安全駕駛員。安全駕駛員的工作職責是觀察車輛運行狀態(tài)并在平板電腦上記錄感興趣的事件，以及在發(fā)生緊急情況時立即接管車輛。根據(jù)ATG的記錄，該安全駕駛員在上路測試前，已經(jīng)完成了為期三周的培訓以及復訓。在完成培訓后，她曾完成了73次自動駕駛道路測試，包括在事故道路上的自動駕駛測試。該安全駕駛員在工作期間沒有受到過任何處罰，并且在2017年第四季度曾受到過集體績效獎勵。根據(jù)亞利桑那州的機動車記錄，近10年間，該安全駕駛員共有4次交通違規(guī)行為，其中發(fā)生在2016年4月的超速是距事故發(fā)生前最近的一次交通違章。

事故發(fā)生后，盡管ATG要求安全駕駛員在事故發(fā)生后接受藥物測試，但由于沒有辦法獲得血液樣本，實際上并沒有對安全駕駛員進行藥物檢測，安全駕駛員的自我報告中也沒有提到任何影響其駕駛表現(xiàn)的健康問題。根據(jù)美國國家運輸安全委員會(National Transportation Safety Board,NTSB)的調查員與安全駕駛員的訪談、手機記錄以及ATG員工工作記錄發(fā)現(xiàn)，本次駕駛過程中沒有出現(xiàn)疲勞駕駛的問題，但在碰撞發(fā)生前(晚上9點16分至9點59分之間，包括在開放道路上的39分鐘)，安全駕駛員的手機一直在播放電視節(jié)目。

3.3 行人情況

行人是一名49歲的女性，事故發(fā)生時正推著一輛自行車，由西向東穿越事故道路(如圖3)。事故發(fā)生后的血液檢測結果表明，該行人沒有喝酒，但在其血液中檢測到了甲基苯丙胺和大麻成分，可能降低了其感知和判斷能力，導致在車輛接近時仍橫穿馬路。

圖3 碰撞前安全駕駛員(左)與行人(右)的快照[25]

4 基于HFACS的事故致因識別與分類

本研究基于HFACS框架，結合汽車自動駕駛領域特點，對每個層級進行具體化描述。同時，根據(jù)NTSB對2018年Uber自動駕駛測試碰撞事故的調查報告[26]，對該事故具體的致因因素進行識別和分類，如表2所示；

表2 基于HFACS的Uber自動駕駛測試事故致因識別與分類

在汽車自動駕駛領域，同樣存在部分致因因素，在基本的HFACS框架中存在識別模糊或無法分類的問題，而且這些問題還會影響其他致因因素，因此其對于事故的重要性不可忽略。例如，無論從事故的潛在致因因素，還是NTSB給出的建議措施，都指出目前在汽車自動駕駛領域(L3及以上)缺乏相應的法律和政策，造成了包括安全氛圍、安全監(jiān)督、組織過程等在內的系統(tǒng)安全問題。因此，對于汽車自動駕駛事故的人因分析，基于航空領域的HFACS框架并不能夠完全適用。結合NTSB的事故調查報告，通過補充包括法律制定、監(jiān)督管理、行人情況在內的其他因素，進一步對原有HFACS無法分類或分類模糊的致因因素進行識別和歸納，補充后的HFACS對汽車自動駕駛事故應具有較好的適用性，如表3所示：

表3 其他事故致因因素的識別與分類

5 討論

奶酪模型中的事故鏈理論[8]認為，只有同時構成包括組織問題、不安全監(jiān)督、不安全行為的前提條件、不安全行為四個層級事故致因因素在內的完整事故鏈條件下，事故才會發(fā)生。但目前相關事故的報道卻基本將責任歸因于與不安全行為直接相關的操作者身上，沒有深入挖掘組織內部潛在的致因因素，如不良的安全文化、不足的安全監(jiān)管等，這不僅不利于事故預防，而且還會將事故責任過度歸因于操作者，影響公眾對事故的正確認知[27]。實際上，相比于顯性的不安全行為，作為更高層級的立法空缺、監(jiān)管不足等因素造成的隱性風險可能會向下影響較低層級的事故致因因素，如構成不安全行為的前提條件，進而導致不安全行為，因此這些更高層級的致因因素對安全的威脅更大[28]。有研究表明，針對隱性風險進行改善，能夠顯著降低風險。如Naevestad等[29]利用安全梯度方法表明每個層級安全文化得分的增加都能夠降低對應因素的風險。基于HFACS，本次Uber自動駕駛事故分析結果也強調了法律、政策、組織因素等對于汽車自動駕駛安全的重要性[26]。

在汽車自動駕駛領域，目前還沒有一種完全適用的模型框架來指導事故致因分析。在汽車自動駕駛領域中利用HFACS作為一種事故致因的識別和分類工具，能夠快速借鑒航空領域成熟的應用經(jīng)驗。同時，結合領域背景，對HFACS進行適當?shù)难a充，能夠在汽車自動駕駛領域中快速形成一個相對完善的事故致因識別和分類標準，為汽車自動駕駛人因失誤的識別和預防提供必要的理論基礎。此外，也為政府監(jiān)督部門、企業(yè)管理人員提供一個科學、全面、快速、便捷的分析框架，盡可能避免因為考慮不全而造成遺漏、疏忽等失誤。

與此同時，HFACS也存在一定的不足。首先，HFACS屬于一種對人因失誤進行概括性地識別和分類的工具，具體應用到事故案例分析時，仍然存在一定的局限性。例如分類不準確等，需要結合事故實際情況進行進一步的修正[20,21,24]。另外，模型中對于操作者的心理狀態(tài)分析過于粗略，并沒有深入考慮其行為決策過程中的心理復雜性，因此仍然屬于一種主觀的和定性的識別和分類方法。最后，盡管HFACS具有層級之間的邏輯關系，但缺乏具體致因因素之間的因果鏈分析，因此未來的事故分析與預防需要結合其他因果分析方法(如事故地圖[9]，事故樹[20]等)，進一步提高分析和預防的效果。

本次Uber自動駕駛測試事故分析暴露出駕駛員在自動駕駛狀態(tài)下會出現(xiàn)警覺性下降、自動化自滿等不利于駕駛安全的人因問題。在完全自動駕駛商業(yè)化之前，人機共駕中由于長時間監(jiān)控ADS和道路情況，駕駛員的警覺性會下降，容易出現(xiàn)精神疲勞或分心[30]以及情境意識模糊[31]等不利于操作績效的現(xiàn)象。有研究發(fā)現(xiàn)，通過一些額外刺激，如在駕駛時聽音樂，適當提高警覺度，能夠在枯燥任務中提高駕駛員的駕駛表現(xiàn)[32]。

6 結論

1)汽車自動駕駛事故的發(fā)生不僅僅是由于駕駛員的不安全行為，還與自動駕駛技術相關的法律政策、相關部門的安全監(jiān)督、車企的組織管理等因素有關；

2)基于Uber自動駕駛事故的HFACS框架能夠為汽車自動駕駛領域的事故致因分析提供一定的參考和借鑒意義；

3)人機共駕下的駕駛員自滿、分心仍然是影響自動駕駛安全的關鍵人因問題。