這位司機駕駛的奔馳車無法退出定速巡航狀態,高速行駛了一百公里,期間多次嘗試撞擊大貨車的方法停車,最終通過奔馳車后臺的遠程遙終于停了下來。很多懂車的行家都說這是一個奇跡,車主的精湛車技和穩定心理素質,和警方快速有效的處置,是平安解除這個困境的關鍵。這個事故暴露了這臺車違背了“故障導向安全”(FailSafe)原則。國家標準GB/T2900.13—2008《電工術語可信性與服務質量》對“故障導向安全”設計給出的定義是:“防止產品因失效導致致命性故障的一種產品設計特性。”美國聯邦能源管理委員會對“故障導向安全”設計的定義是:“系統中任何元件的故障都會導致一個預定的安全的輸出狀態。”簡單的說,就是當系統發生故障的時候,應該將系統引導到一個更安全的狀態,而不是相反。舉例來說,機場的手推行李車,只有向下按行李車手柄,才能松開剎車推行。當你不慎跌倒時時,車不會沖出去撞人。超市的購物小車在上扶梯的時候,會自動卡住,除非你用力推,否則它會保持不動,不會一脫手就從上面滑下來。因停電等事故,導致電梯的曳引機失去動力,限速器和安全鉗就會動作,將轎廂卡停,而不會變成自由落體。樓房發生火災時會斷電,然后門禁系統應該全部打開,以利于居民及時逃離,而不是鎖死。同樣的,汽車的自動巡航系統應該處于“負觸發”的狀態,當所有系統都正常工作的時候,才能維持在自動巡航狀態,而檢測到任何故障的時候,都應該立即退出自動巡航系統。多年前我跟一家工業控制公司合作,研究過定速巡航的退出問題,初期的設計思路是采用雙重退出機制。當按下退出鍵后,兩套退出機制并行工作,即使一個機制出故障,那另外一個機子也能實現退出動作。但在工程中發現,導致某一退出機制失效的原因,往往會導致第二個退出機制也同時失效,這個思路并不可行。后來更改成了“負觸發”機制,自動巡航系統處于循環性退出的狀態,也就是說每隔30秒自動巡航系統就會退出,除非檢測到了所有系統都正常。這就保證了在出任何故障的時候,都會第一時間退出自動巡航的狀態,絕不至于出現長時間無法退出的情況。如果該車沒有改裝過,就說明奔馳汽車在自動巡航的退出方面,沒有實施“錯誤導向”的安全設計,這是一個重大的設計失誤。如果改裝過,就說明車主作死。
0有用
0踩
回復