2018年Uber自动驾驶汽车交通事故分析：基于人因分析与分类系统视角

高杉，刘鹏

(浙江大学 心理科学研究中心，浙江 杭州 310000)

1 引言

汽车自动驾驶技术是道路交通领域最大的技术革新之一，该技术的实现有望大幅降低道路交通事故率以及事故严重性[1]。美国国际汽车工程师协会[2]根据驾驶自动化系统能够执行动态驾驶任务的程度、在执行动态驾驶任务中的角色分配以及有无设计运行条件限制，将驾驶自动化水平分为六个级别(L0-5)，如表1所示。在此基础上，中国制定了相应的国家标准[3]，将驾驶自动化的六个级别分别命名为应急辅助、部分驾驶辅助、组合驾驶辅助、有条件自动驾驶、高度自动驾驶、完全自动驾驶。

表1 驾驶自动化分级国家标准[3]

汽车自动驾驶技术有望降低交通事故中人因失误，但目前的动驾驶技术还不完善，其发展和应用带来了一系列前所未有的人因相关风险，造成了一些受到社会公众广泛关注的自动驾驶事故，如2018年Uber自动驾驶碰撞事故(导致一名行人死亡)。这类事故将会直接降低公众对于汽车自动驾驶技术的接受程度和使用意愿，阻碍汽车自动驾驶技术的进一步应用和发展[4-6]。

尽管目前涉及到汽车自动驾驶(L3或以上)的事故数量还比较少，但提前建立事故预防措施，将安全关口前移十分必要。建立针对汽车自动驾驶事故的人因分析模型能够有效对该类型事故中的人因风险进行识别和预防。本研究基于人因分析和分类系统(Human Factors Analysis and Classification System,HFACS[7])，通过分析2018年Uber自动驾驶事故的致因因素，对HFACS进行针对性地补充和完善，形成适用于汽车自动驾驶领域的人因分析和预防工具，为该领域的人因分析和预防提供理论模型和见解。

2 人因分析和分类系统(HFACS)

人因分析和分类系统[7](Human Factors Analysis and Classification System,HFACS)基于事故致因领域中的“瑞士奶酪”模型[8]，不仅包含了奶酪模型中的四个人为因素层级(组织因素、不安全监管、不安全行为前提、不安全行为)，并且对每个层级进行具体化分类，其模型框架如图1所示。

图1 HFACS框架

相较于其它的人因分析模型，HFACS有更为完善的组织和分类体系，对事故致因的识别和分类具有较高的适用性[9]。具体而言，利用HFACS能够从系统外部的表层原因深入挖掘到系统内部的深层原因[10]。因此，无论在事故分析还是预防方面，HFACS都具有较强的指导意义，目前已经被广泛应用于事故预防、事故致因因素的识别与分类中。其中，应用最早、最广泛的领域是具备高度自动化系统的航空领域。国外如Daramola[11]利用HFACS分析了发生在尼日利亚的45起航空事故，发现技能型失误、物理环境和监督不充分是最主要的事故原因；Rashid等[12]针对由于维护不当导致的直升机事故，通过对HFACS进行修订、扩展后，基于804起由于维护不当导致的直升机事故数据，发现维护流程、维护标准以及记忆错误是造成该类事故的主要因素。国内如罗晓利等[13]首次利用HFACS对民航飞行事故的原因进行识别、分类与分析；潘卫军等[14]将HFACS应用于分析跑道侵入事件中的人因问题并建立预防方案，为事故致因提供分析和分类标准；王家旭等[15]建立了航电试验机飞行试验领域的人因分析模型，提出该领域人因失误发生的关键致因因素。

尽管目前人因工程领域开发和应用的方法、模型对识别事故致因以及理解事故因果关系在理论上具有指导意义，但由于行业领域迅速发展，多种事故致因因素之间的非线性相互作用导致过去适用的方法可能并不能够很好地适用于现在的事故分析和预防，其预防和分析效果已经被减弱。因此，为了在不同的领域有效并全面地识别事故致因因素，部分研究对HFACS进行了针对领域特点和发展现状的改进或补充，能够快速形成适用于特定领域的事故致因因素识别和分类框架，如道路[16-17]、铁路[18-19]、水运[20-23]等。Zhang等[20]利用扩展的HFACS(五个层级)和事故树模型对破冰船碰撞风险进行分析，构建了针对冰封水域环境下的人因模型识别与分类框架，同时提出在特定领域中应用HFACS对事故致因进行分析时，应该根据不同的研究对象对HFACS做适当的调整。Chauvin等[21]同样利用具有五个层级的HFACS对海事事故报告和事故成因进行分析，能够从事故报告中有效识别和分类事故致因因素；Reinach和Viale[24]考虑了经济、法律、政策等因素，形成第五层级来完善HFACS对铁路事故的致因分析。

作为不断向完全自动化发展的汽车自动驾驶领域，目前还鲜有适用且完善的模型框架来为该领域事故的人因分析提供理论支撑。由于汽车自动驾驶的组织架构、管理模式等与航空领域的飞机自动驾驶具有一定的相似性，因此，利用HFACS对汽车自动驾驶事故进行致因分析，能够有效降低事故分析过程中的主观偏差、信息曲解或遗漏等人因失误。应基于汽车自动驾驶领域的行业背景，补充和完善HFACS，使其能够更加适用于道路交通领域中的汽车自动驾驶人因分析，为该领域的事故分析和预防提供有效工具。

3 2018Uber自动驾驶汽车事故经过

3.1 事故描述

2018年3月18日晚9点58分，一名女性安全驾驶员坐在一辆经过改装的Uber自动驾驶测试车(Volvo XC90 SUV,2017)驾驶座上，在亚利桑那州坦佩市的米尔街道(公共道路)向北行驶时与一名穿越该道路的女性行人相撞，造成该行人死亡，安全驾驶员没有受伤。这辆测试车由Uber公司下属的先进技术团队(Advanced Technologies Group,ATG)负责运营，配备自动驾驶系统功能。事故发生时，道路干燥，有路灯照明，自动驾驶系统(Automated Driving System,ADS)处于激活状态。

事故发生前，安全驾驶员坐在自动驾驶车辆的驾驶位。自动驾驶已经开启，执行既定测试路线的第二部分。在ADS控制车辆19分钟后，测试车接近碰撞点，此时车速为72 km/h；同时行人开始推着一辆自行车横穿马路。根据ADS记录的数据，碰撞发生前5.6秒，ADS首次监测到目标，但是将其归类为车辆，然后在短时间内将目标分别识别为车辆、其他物体、自行车等。同时，ADS也没有正确预测目标的运动路径，因此也没有降低车速。需要指出的是，测试团队为了测试的流畅性(避免可能的信号干扰)，在ADS测试期间禁用了测试车前装的前向碰撞预警(Forward Collision Warning,FCW)与紧急制动(Automatic Emergency Braking,AEB)功能，取消了一层安全冗余。车内摄像头视频与访谈记录表明，碰撞前安全驾驶员曾多次将视线转移至下方的中控台位置(根据调查，当时放置在中控台的手机正在播放电视节目)，并停留较长时间。在碰撞发生前6秒安全驾驶员最后一次将视线转移至中控台，直到碰撞发生前1秒，安全驾驶员才将视线转移回前方。ADS记录的数据表明，碰撞前0.02秒安全驾驶员开始向左打方向盘，此时车速为63 km/h，随后发生碰撞。本次碰撞事故发生前6秒的事件时间轴如图2所示：

图2 2018年Uber自动驾驶测试事故时间轴

3.2 安全驾驶员情况

安全驾驶员，女性，44岁，持有亚利桑那州D级驾驶执照，自从2017年6月以来一直担任Uber自动驾驶测试车辆的安全驾驶员。安全驾驶员的工作职责是观察车辆运行状态并在平板电脑上记录感兴趣的事件，以及在发生紧急情况时立即接管车辆。根据ATG的记录，该安全驾驶员在上路测试前，已经完成了为期三周的培训以及复训。在完成培训后，她曾完成了73次自动驾驶道路测试，包括在事故道路上的自动驾驶测试。该安全驾驶员在工作期间没有受到过任何处罚，并且在2017年第四季度曾受到过集体绩效奖励。根据亚利桑那州的机动车记录，近10年间，该安全驾驶员共有4次交通违规行为，其中发生在2016年4月的超速是距事故发生前最近的一次交通违章。

事故发生后，尽管ATG要求安全驾驶员在事故发生后接受药物测试，但由于没有办法获得血液样本，实际上并没有对安全驾驶员进行药物检测，安全驾驶员的自我报告中也没有提到任何影响其驾驶表现的健康问题。根据美国国家运输安全委员会(National Transportation Safety Board,NTSB)的调查员与安全驾驶员的访谈、手机记录以及ATG员工工作记录发现，本次驾驶过程中没有出现疲劳驾驶的问题，但在碰撞发生前(晚上9点16分至9点59分之间，包括在开放道路上的39分钟)，安全驾驶员的手机一直在播放电视节目。

3.3 行人情况

行人是一名49岁的女性，事故发生时正推着一辆自行车，由西向东穿越事故道路(如图3)。事故发生后的血液检测结果表明，该行人没有喝酒，但在其血液中检测到了甲基苯丙胺和大麻成分，可能降低了其感知和判断能力，导致在车辆接近时仍横穿马路。

图3 碰撞前安全驾驶员(左)与行人(右)的快照[25]

4 基于HFACS的事故致因识别与分类

本研究基于HFACS框架，结合汽车自动驾驶领域特点，对每个层级进行具体化描述。同时，根据NTSB对2018年Uber自动驾驶测试碰撞事故的调查报告[26]，对该事故具体的致因因素进行识别和分类，如表2所示；

表2 基于HFACS的Uber自动驾驶测试事故致因识别与分类

在汽车自动驾驶领域，同样存在部分致因因素，在基本的HFACS框架中存在识别模糊或无法分类的问题，而且这些问题还会影响其他致因因素，因此其对于事故的重要性不可忽略。例如，无论从事故的潜在致因因素，还是NTSB给出的建议措施，都指出目前在汽车自动驾驶领域(L3及以上)缺乏相应的法律和政策，造成了包括安全氛围、安全监督、组织过程等在内的系统安全问题。因此，对于汽车自动驾驶事故的人因分析，基于航空领域的HFACS框架并不能够完全适用。结合NTSB的事故调查报告，通过补充包括法律制定、监督管理、行人情况在内的其他因素，进一步对原有HFACS无法分类或分类模糊的致因因素进行识别和归纳，补充后的HFACS对汽车自动驾驶事故应具有较好的适用性，如表3所示：

表3 其他事故致因因素的识别与分类

5 讨论

奶酪模型中的事故链理论[8]认为，只有同时构成包括组织问题、不安全监督、不安全行为的前提条件、不安全行为四个层级事故致因因素在内的完整事故链条件下，事故才会发生。但目前相关事故的报道却基本将责任归因于与不安全行为直接相关的操作者身上，没有深入挖掘组织内部潜在的致因因素，如不良的安全文化、不足的安全监管等，这不仅不利于事故预防，而且还会将事故责任过度归因于操作者，影响公众对事故的正确认知[27]。实际上，相比于显性的不安全行为，作为更高层级的立法空缺、监管不足等因素造成的隐性风险可能会向下影响较低层级的事故致因因素，如构成不安全行为的前提条件，进而导致不安全行为，因此这些更高层级的致因因素对安全的威胁更大[28]。有研究表明，针对隐性风险进行改善，能够显著降低风险。如Naevestad等[29]利用安全梯度方法表明每个层级安全文化得分的增加都能够降低对应因素的风险。基于HFACS，本次Uber自动驾驶事故分析结果也强调了法律、政策、组织因素等对于汽车自动驾驶安全的重要性[26]。

在汽车自动驾驶领域，目前还没有一种完全适用的模型框架来指导事故致因分析。在汽车自动驾驶领域中利用HFACS作为一种事故致因的识别和分类工具，能够快速借鉴航空领域成熟的应用经验。同时，结合领域背景，对HFACS进行适当的补充，能够在汽车自动驾驶领域中快速形成一个相对完善的事故致因识别和分类标准，为汽车自动驾驶人因失误的识别和预防提供必要的理论基础。此外，也为政府监督部门、企业管理人员提供一个科学、全面、快速、便捷的分析框架，尽可能避免因为考虑不全而造成遗漏、疏忽等失误。

与此同时，HFACS也存在一定的不足。首先，HFACS属于一种对人因失误进行概括性地识别和分类的工具，具体应用到事故案例分析时，仍然存在一定的局限性。例如分类不准确等，需要结合事故实际情况进行进一步的修正[20,21,24]。另外，模型中对于操作者的心理状态分析过于粗略，并没有深入考虑其行为决策过程中的心理复杂性，因此仍然属于一种主观的和定性的识别和分类方法。最后，尽管HFACS具有层级之间的逻辑关系，但缺乏具体致因因素之间的因果链分析，因此未来的事故分析与预防需要结合其他因果分析方法(如事故地图[9]，事故树[20]等)，进一步提高分析和预防的效果。

本次Uber自动驾驶测试事故分析暴露出驾驶员在自动驾驶状态下会出现警觉性下降、自动化自满等不利于驾驶安全的人因问题。在完全自动驾驶商业化之前，人机共驾中由于长时间监控ADS和道路情况，驾驶员的警觉性会下降，容易出现精神疲劳或分心[30]以及情境意识模糊[31]等不利于操作绩效的现象。有研究发现，通过一些额外刺激，如在驾驶时听音乐，适当提高警觉度，能够在枯燥任务中提高驾驶员的驾驶表现[32]。

6 结论

1)汽车自动驾驶事故的发生不仅仅是由于驾驶员的不安全行为，还与自动驾驶技术相关的法律政策、相关部门的安全监督、车企的组织管理等因素有关；

2)基于Uber自动驾驶事故的HFACS框架能够为汽车自动驾驶领域的事故致因分析提供一定的参考和借鉴意义；

3)人机共驾下的驾驶员自满、分心仍然是影响自动驾驶安全的关键人因问题。