卡車列隊(duì)行駛系統(tǒng)-Hazard分析概念

汽車運(yùn)輸公司不斷努力通過提高安全和運(yùn)營(yíng)效率以及減少燃料消耗來提高其生產(chǎn)力。減少空氣動(dòng)力阻力的方法之一是減少車輛之間的跟隨距離。然而，為實(shí)現(xiàn)高燃油效率而進(jìn)行足夠緊密的跟蹤，會(huì)引起對(duì)安全的影響問題。例如，在依靠人類駕駛員作為列隊(duì)行駛的概念中，如果列隊(duì)行駛的領(lǐng)先車輛（LVs）突然剎車，系統(tǒng)因某些故障而將控制權(quán)移交給駕駛員，那么列隊(duì)行駛車輛中的人類駕駛員可能沒有足夠的反應(yīng)時(shí)間來避免向前碰撞。行業(yè)利益相關(guān)者正在開發(fā)使用電子和氣動(dòng)控制、攝像頭、毫米波雷達(dá)、激光雷達(dá)、車對(duì)車通信和其他傳感器的系統(tǒng)，在概念上，使跟隨的車輛能夠與領(lǐng)先的車輛同步剎車和／或轉(zhuǎn)向，從而克服了人類反應(yīng)時(shí)間的一些限制。這個(gè)概念被稱為 ＂列隊(duì)行駛＂。遵循正式的危險(xiǎn)和安全分析方法可以幫助識(shí)別與這個(gè)概念相關(guān)的潛在風(fēng)險(xiǎn)，以及可以解決這些風(fēng)險(xiǎn)的潛在緩解方法。

卡車列隊(duì)行駛是使用各種通信和傳感器技術(shù)將兩輛或更多的卡車 ＂虛擬＂（或電子）連接起來，以及縮小列隊(duì)行駛單位之間的跟隨距離。列隊(duì)行駛的價(jià)值是，在高速公路上，列隊(duì)行駛中的卡車的空氣動(dòng)力學(xué)得到改善。在本研究確定和涉及的概念中，列隊(duì)行駛的卡車司機(jī)駕駛LV，設(shè)定列隊(duì)行駛的行駛路線并監(jiān)督其運(yùn)行。后面車輛（FV）的速度被自動(dòng)控制，以保持車輛之間的間隔；然而，F(xiàn)V的司機(jī)仍然完全負(fù)責(zé)監(jiān)測(cè)速度和間隔。

本項(xiàng)目的目的是通過使用既定的危險(xiǎn)和安全分析技術(shù)，提供對(duì)正在開發(fā)的重型卡車列隊(duì)行駛系統(tǒng)概念及其潛在安全影響的理解。

首先，進(jìn)行了市場(chǎng)評(píng)估，以總結(jié)技術(shù)的現(xiàn)狀并確定重型卡車列隊(duì)行駛系統(tǒng)的概念。市場(chǎng)評(píng)估表明，關(guān)于重型卡車列隊(duì)行駛系統(tǒng)的設(shè)計(jì)和操作的公共信息很少。一些系統(tǒng)有高層次的方框圖和簡(jiǎn)短的組件清單；然而，關(guān)于這些系統(tǒng)如何啟動(dòng)、形成和解散列隊(duì)行駛的信息并不充分。雖然這些信息很可能存在，但它是專有的，而且可能正在開發(fā)中，不一定可以公開。盡管缺乏關(guān)于系統(tǒng)操作的細(xì)節(jié)，但這些系統(tǒng)中的許多系統(tǒng)都有一個(gè)類似的高級(jí)架構(gòu)，是所有系統(tǒng)共同的。正如預(yù)期的那樣，市場(chǎng)評(píng)估證實(shí)沒有公開的關(guān)于重型卡車列隊(duì)行駛系統(tǒng)的危害或安全分析發(fā)表。

在市場(chǎng)評(píng)估之后，兩個(gè) ＂參考 ＂或原型的列隊(duì)行駛系統(tǒng)概念被開發(fā)出來，以代表一系列的性能能力和操作概念，分別成為危險(xiǎn)和安全分析的重點(diǎn)。這些系統(tǒng)被稱為2－車輛SAE L1級(jí)別（2V L1）和3－車輛SAE L2級(jí)別（3V L2）。2VL1系統(tǒng)概念被定義為一個(gè)雙車排，每個(gè)車排由一個(gè)牽引車－半掛車組合組成，每輛車上都有一個(gè)司機(jī)。FV自動(dòng)控制其速度，以保持與LV的緊密跟蹤距離。FV中的駕駛員負(fù)責(zé)在排隊(duì)的時(shí)候進(jìn)行轉(zhuǎn)向。該排有車輛間的通信，這有利于協(xié)調(diào)行動(dòng)，使車輛間的差距最小。這種能力對(duì)應(yīng)于SAE駕駛自動(dòng)化1級(jí)（來自SAE J30161）。3VL2系統(tǒng)的概念是類似的；然而，有三個(gè)單一的牽引車－半掛車。此外，該系統(tǒng)有速度和轉(zhuǎn)向控制，這相當(dāng)于SAE駕駛自動(dòng)化L2等級(jí)。這兩個(gè)概念2都被認(rèn)為是高級(jí)駕駛輔助系統(tǒng)（ADAS）的類型，并依賴于排隊(duì)單位中完全和持續(xù)關(guān)注的司機(jī)。

在定義了這些概念級(jí)排查系統(tǒng)后，進(jìn)行了危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估。在這項(xiàng)任務(wù)中，確定、分析和評(píng)估了潛在危險(xiǎn)事件的清單。作為危險(xiǎn)分析的一部分，制定了一份適用于代表性重型卡車列隊(duì)行駛概念（2VL1和3VL2）的全面危險(xiǎn)清單。這份清單是根據(jù)研究小組的排車經(jīng)驗(yàn)和專業(yè)知識(shí)，以及ATA、CVSA和SAE國(guó)際標(biāo)準(zhǔn)委員會(huì)成員的貢獻(xiàn)而制定的。在ISO 26262標(biāo)準(zhǔn)的指導(dǎo)下，對(duì)每個(gè)危險(xiǎn)進(jìn)行了評(píng)估，該標(biāo)準(zhǔn)為評(píng)估每個(gè)危險(xiǎn)的嚴(yán)重程度、暴露概率和可控性提供了一個(gè)框架。對(duì)每個(gè)危險(xiǎn)提出了潛在的設(shè)計(jì)、操作、維護(hù)和安全緩解措施，并對(duì)研究小組考慮的參考系統(tǒng)（2VL1和3VL2）評(píng)估了它們對(duì)已確定風(fēng)險(xiǎn)的影響（如第一章所述）。

最后，進(jìn)行了故障樹和預(yù)期功能安全（SOTIF，Concept Draw． （n．d．）的分析。故障樹分析（FTA）是對(duì)危險(xiǎn)分析的補(bǔ)充，它用自上而下的方法分析危險(xiǎn)，以確定可能導(dǎo)致不期望的系統(tǒng)狀態(tài)的較低層次的危險(xiǎn)和故障。通過FTA（SAE國(guó)際，2019），確定了兩個(gè)與安全相關(guān)的關(guān)鍵路徑事件：排隊(duì)中實(shí)施的碰撞緩解系統(tǒng)（CMS）的故障和訓(xùn)練不足的用戶對(duì)排隊(duì)系統(tǒng)的操作，對(duì)前一任務(wù)中的關(guān)鍵危險(xiǎn)進(jìn)行了FTA。CMS未能與參與排隊(duì)的車輛保持安全的跟車距離（即排隊(duì)的低速車與非排隊(duì)車輛之間或排隊(duì)的低速車與前方物體之間）被評(píng)估為排隊(duì)系統(tǒng)中最安全的設(shè)計(jì)元素。內(nèi)容管理系統(tǒng)與車輛集成，并直接與發(fā)動(dòng)機(jī)管理系統(tǒng)（EMS）以及制動(dòng)系統(tǒng)接口。在上述系統(tǒng)中，如果整合不充分或其中一個(gè)部件出現(xiàn)故障，就意味著發(fā)生碰撞的重大風(fēng)險(xiǎn)。幸運(yùn)的是，CMS可以通過驗(yàn)證和確認(rèn)（V＆V）進(jìn)行廣泛的測(cè)試，以證明該系統(tǒng)在設(shè)計(jì)的使用中被正確地整合。

列隊(duì)行駛系統(tǒng)的培訓(xùn)和操作不充分是通過FTA確定的另一個(gè)關(guān)鍵路徑事件。在確定了系統(tǒng)功能和駕駛員責(zé)任之間的關(guān)系后，駕駛員的表現(xiàn)對(duì)所考慮的排班概念的安全的關(guān)鍵性被放大了。以下事件被確定為潛在危險(xiǎn)情況的例子，可能是由于駕駛員培訓(xùn)不足和／或一個(gè)或多個(gè)列隊(duì)行駛車輛的駕駛員參與度不高而導(dǎo)致的：未能識(shí)別切入或潛在切入，未能在合格條件下脫離排隊(duì)，分心駕駛，駕駛員注意力不集中，以及其他未遵循的操作程序。人們認(rèn)識(shí)到，分心駕駛、駕駛員注意力不集中、不遵守操作規(guī)程、駕駛員培訓(xùn)不足等也適用于非列隊(duì)行駛的卡車運(yùn)輸。

與CMS的故障不同的是，測(cè)試司機(jī)（人）的錯(cuò)誤和實(shí)施適當(dāng)?shù)陌踩徑獯胧┮щy得多。在SAE駕駛自動(dòng)化L1級(jí)和L2級(jí)的系統(tǒng)中，人類駕駛員應(yīng)始終保持全神貫注，并隨時(shí)準(zhǔn)備在系統(tǒng)可能不再按預(yù)期運(yùn)行的情況下恢復(fù)控制，或不發(fā)出警告。與電子機(jī)械CMS的故障模式的離散數(shù)量相比，駕駛員必須面對(duì)的環(huán)境因素和使用場(chǎng)景的數(shù)量幾乎是無限的。人在回路中的系統(tǒng)需要安全緩解措施，如培訓(xùn)和操作程序，完全取決于人的遵守。

FTA是一種定量分析，考慮到不同列隊(duì)行駛系統(tǒng)制造商所使用的系統(tǒng)設(shè)計(jì)和部件的差異。使用系統(tǒng)設(shè)計(jì)中的部件的實(shí)際故障率可以用來確定整個(gè)系統(tǒng)的故障率。概率數(shù)據(jù)，如系統(tǒng)經(jīng)歷某種情況或操作條件的頻率，可用于計(jì)算整個(gè)系統(tǒng)的故障率。

SOTIF分析是針對(duì)每個(gè)排車系統(tǒng)功能進(jìn)行的，以確定排車時(shí)維持安全的關(guān)鍵功能。這種安全分析方法評(píng)估了由于預(yù)期行為的性能限制或用戶合理的可預(yù)見的誤用所引起的危險(xiǎn)而不存在不合理的風(fēng)險(xiǎn)。

SOTIF分析以ISO 21448《道路車輛－－預(yù)定功能的安全》標(biāo)準(zhǔn)為指導(dǎo)。對(duì)一個(gè)有代表性的排隊(duì)系統(tǒng)進(jìn)行SOTIF分析的一個(gè)挑戰(zhàn)是沒有一個(gè)實(shí)際的功能系統(tǒng)規(guī)范。由于這些是假設(shè)的概念系統(tǒng)，關(guān)于系統(tǒng)的功能和特定組件之間的關(guān)系的細(xì)節(jié)必須根據(jù)團(tuán)隊(duì)對(duì)排車的了解和公開的信息來生成。研究小組使用工程判斷來模擬一個(gè)真實(shí)世界的系統(tǒng)，以達(dá)到本研究的目的。假設(shè)列隊(duì)行駛系統(tǒng)集成商或制造商在開始SOTIF活動(dòng)之前就有這些文件。本報(bào)告中概述的方法可以作為執(zhí)行SOTIF的基線。

試圖確定已知的不安全條件，作為建立驗(yàn)證任務(wù)范例清單的基線。系統(tǒng)集成商需要進(jìn)一步開發(fā)驗(yàn)證用例方案，在真實(shí)世界環(huán)境中測(cè)試系統(tǒng)，以識(shí)別未知的不安全情況。這些意外情況的識(shí)別會(huì)增加已知不安全狀況的清單。這就重新開始了SOTIF分析過程，系統(tǒng)集成商隨后確定功能修改，以減少SOTIF風(fēng)險(xiǎn)，并創(chuàng)造新的已知不安全條件，在驗(yàn)證中測(cè)試。這種反饋循環(huán)提高了列隊(duì)行駛系統(tǒng)的安全性和可靠性。