Løpsk elbil – førerfeil eller selvkjørende bil?

Villmannskjøringen med Tesla i Bergen med full gass gjennom gater og over Torgalmenningen var en tankevekker. Etter det har det vært flere tilfeller da elbiler bare setter av gårde med gasspedalen i bunn. Det alvorligste hendte i parkeringshuset i Sandvika Storsenter i fjor, da en elbil tok av fra parkert stilling og kjørte rett gjennom en mur med døden til følge for føreren. Nå er obduksjonsrapporten etter dødsulykken klar og konkluderer med at dødsfallet skyldes skadene avdøde ble påført i ulykken. Det kan da utelukkes at han døde av et illebefinnende, og dette gir god grunn til å enda en gang se nærmere på årsaken til ulykken.

Den offisielle konklusjonen om årsaken til ulykken er at dette er en førerfeil: Ifølge bilens svarte boks har føreren trått gasspedalen i bunn og holdt den der i tre sekunder. Ved tekniske undersøkelser etter ulykken er det ikke funnet feil eller mangler ved bilen. Dette er et vanlig resultat for slike hendelser. Ved vurderingen av feilårsak er det da særlig viktig å se på hvilken utsagnskraft slike tekniske undersøkelser har, om de betyr at tekniske feil kan utelukkes, eller om funksjonsfeil kan opptre uten at de er registrert i bilens overvåkingsystem eller funnet ved funksjonsprøving i etterhånd.

En spesiell omstendighet ved denne ulykken er ikke tillagt vekt: Føreren måtte ta seg inn gjennom passasjerdøren, fordi førerdøren var blokkert av en annen bil.

Jeg vil derfor i det følgende ta opp faktorer som jeg mener er relevante for feilårsaken, og forsøke å vurdere sannsynlighet og utsagnskraft for disse. 

Egne erfaringer med funksjonsfeil og registrering av disse:

Biler har en god stund nå hatt et system som overvåker viktige komponenter og systemer, og lagrer data om feil i disse. Jeg har selv erfart flere tilfeller av feilfunksjon som ikke har blitt registrert i dette. Dette er ikke samme registreringsenhet som den som registrerer data etter en ulykke.

• Elektrisk personbil (demobil): Omfattende prøvetur i distriktet. Stopp for rødt lys i kryss på Bærumsveien, bilen i Drive og fotbremsen trykket inn. Bilen reagerte ikke da jeg ga gass, krevde fullstendig restart. Virket upåklagelig etterpå. Ingen feil registrert i bilens overvåkningssystem.
• Bensindrevet personbil med elektronisk styrt innsprøytnings­system: Under kjøring mistet motoren med uregelmessige og lange mellomrom plutselig trekkraften i 2–4 sekunder. Motoren virket da som motorbrems, en farlig situasjon i trafikk og på glatt føre. Prøvekjørt av merkeverkstedet. Ingen feil funnet eller registrert i bilens overvåkningssystem.
• Bensindrevet personbil med elektronisk styrt innsprøytningssystem, samme type motor som i tilfellet ovenfor: Første vinter i kaldt vær ved omtrent15 kuldegrader eller kaldere stoppet motoren hver gang etter ca. åtte minutter når den gikk over til tomgang på eller før rødt lys. Den kunne holdes i live ved å gi gass og bremse samtidig. Merkeverkstedet prøvekjørte og sjekket bilens overvåkingssystem. Ingen feil funnet. Jeg undersøkte etter hvert bilens luftmengdemåler av flaptypen, som viste seg å gå tregt i kaldt vær og derfor ga feil input til innsprøytningssystemet. Med tiden ble problemet mindre og forsvant.
• Dieseldrevet SUV med elektrisk servostyring: Servostyringen virket ikke etter parkering i over to timer ved 25 kuldegrader. Nær umulig å kjøre. OK igjen etter en pause på ca. en halv time etter kjøring, da motorvarmen hadde varmet opp hele motorrommet. Dette gjentok seg én gang. Merkeverkstedet sjekket bilens overvåkingssystem begge ganger etter at servoen virket som den skulle igjen. Ingen feil funnet.

Som beskrevet fant merkeverkstedet ikke i noen av disse tilfellene spor etter unormal oppførsel av bilen. Dette kan synes uventet, men ikke så merkelig når man ser nærmere på overvåkningen av driftssystemet i bilen. Feil på en enhet registreres når tilstanden til enheten er utenfor det som er definert som normalt for den. Om den periodevis gir feil data til styringssystemet så det reagerer feil, registreres dette ikke som en feil (teknisk svikt). En funksjonsprøve etter at feilen er observert, vil nødvendigvis heller ikke avsløre funksjonsfeil, siden omstendighetene da kan være vesentlig forskjellige fra da feilen ble observert, ref. tilfellet med servostyringen.

En konsekvens av at det ikke ble funnet tekniske feil, var at merkeverkstedet da heller ikke gjorde noe for å utbedre feilen, som f.eks. å skifte styrings­enheten for innsprøytningssystemet. Jeg er helt oppmerksom på at slike sporadiske feil som tilsynelatende går over av seg selv er omtrent umulig å oppdage, men de opptrer like fullt. 

Det kan derfor ikke konkluderes med at bilen var feilfri da hendelsen inntraff, og at den derfor måtte skyldes førerfeil. Jeg kan derfor ikke være enig i Volvos utsagn om at tekniske feil på ulykkesbilen ved bilen kan utelukkes. Dette kan ikke tillegges avgjørende vekt i vurderingen av feilårsaken til ulykken i dette tilfellet, og heller ikke i andre tilfeller der elbiler løper løpsk på en spontan og for føreren uønsket måte.

Er manglende bremsereaksjon fra førerens side et bevis på førerfeil?

Statens vegvesen sendte ut følgende melding etter ulykken: «Bilen hadde en hastighet på 62 kilometer i timen idet den traff murveggen. Gasspedalen var aktivert 100 prosent fra cirka 3 sekunder før kollisjonen. Bremsepedalen var ikke betjent de siste 5 sekundene før ulykken». 

Dette innebærer at føreren trår med full kraft på gasspedalen, så den er aktivert 100 prosent. Han blir paralysert og fortsetter å holde gasspedalen i bunn når bilen tar av med retning mot en mur. Han gjør ikke noe forsøk på å slippe gasspedalen eller å trå på bremsepedalen for å stoppe bilens ville fremferd. Dette er en beskrivelse av førernes reaksjon i flere tilfeller der elbiler har hatt lignende oppførsel.

Tre sekunder er en ganske lang reaksjonstid, og det er vel mot den menneskelige natur å overhodet ikke reagere i slik situasjon, spesielt om de selv har utløst den med å trykke på feil pedal. Her kunne det være på plass med en uttalelse fra en sakkyndig på menneskelig adferd.

Dødsulykken i Sandvika Storsenter – hva skjedde før ulykken?

Omstendighetene ved dødsulykken i Sandvika Storsenter er spesielle fordi føreren ikke kunne ta seg inn gjennom førerdøren. Dette kan ha påvirket det som skjedde etterpå. NAFs medlemsblad Motor gjorde ganske umiddelbart flere relevante praktiske forsøk for å finne hva som kan forklare det som hendte. Disse viste at føreren neppe hadde kommet i en slik posisjon at han kunne betjene gasspedalen da bilen tok av. Jeg har gjentatt noen av disse på egen elbil, riktig nok av et annet fabrikat, og i tillegg inspisert en bil av samme type som ulykkesbilen. Mine observasjoner er generelt sammenfallende med de Motor kom frem til.

Satt bilføreren i førersetet da bilen tok av?

Enken beskriver at det hadde parkert en annen bil så tett inntil deres bil at det ikke var mulig for føreren å ta seg inn gjennom døren på førersiden. Føreren tok seg derfor inn gjennom døren på passasjersiden for så å forsøke å ta seg over til førersetet. Enken forklarer at han klarte å få venstre ben over, men foten hang ned foran førersetet, og han nådde ikke pedalene. Førerdøren lot seg ikke åpne etter ulykken, men de fikk opp passasjerdøren. Der satt han – akkurat slik jeg (enken) hadde forlatt ham, med det ene benet over midtkonsollen.

Redningsmannskapene sa etter ulykken at føreren da befant seg i passasjersetet, uten at dette ble beskrevet i detalj. 

Senere undersøkelser viste at airbagen på passasjersiden var utløst, mens den på førersiden ikke var det. Airbagen på et vektbelastet sete utløses tilnærmet spontant når belastningen overstiger aktiveringsgrensen. Tidspunktet for utløsningen i forhold til når boksen registrerte betjening av gasspedalen er derfor svært viktig for å fastslå når i hendelsesforløpet føreren befant seg i passasjersetet. 

En mulig forklaring som er lansert, er at føreren satt skrevs over midtkonsollen, at han allerede hadde aktivert drivsystemet med å trå på bremsepedalen og sette girvelgeren i Drive, og deretter tro gasspedalen helt i bunn og holdt den der mens han støttet seg med en arm på passasjersetet. Det er vanskelig å se at dette er en sannsynlig teori for dette tilfellet. Hvorfor skulle føreren aktivere drivsystemet før han satt i førersetet? Ifølge enken nådde han ikke ned til pedalene når han satt på midtkonsollen. Gasspedalen på denne biltypen er ganske utilgjengelig om føreren ikke sitter i førersetet.

Hadde bilføreren gjennomført den definerte startprosedyren?

For å kunne kjøre en elbil, må drivsystemet først slås på. På mange nyere elbiler slås tenningen automatisk på når den elektroniske nøkkelen er inne i bilen. I tillegg må bremsepedalen holdes inne. Først da kan det velges et gir, for elbiler Drive (D) forover eller Reverse (R), som gjør kjøring mulig. Dette er en obligatorisk startprosedyre. Den må normalt være utført før motoren også kan aktiveres ved å trå på gasspedalen slik at bilen kan settes i bevegelse. 

Motor har gjort flere forsøk som gir informasjon om dette, og har rapportert det på sin nettside 5. desember 2024. Blant annet ble det testet om bilen ville kjøre selv om ingen satt i førersetet. Det gjorde den når drivsystemet ble aktivert via girvelgeren og en stang på bremsepedalen, og deretter aktivere motoren ved å trykke på gasspedalen med stangen. 

Bilen ga ingen alarm om manglende fører i førersetet. Fra et sikkerhets­synspunkt virker det noe merkelig at bilen kan kjøre uten at noen sitter i førersetet.

Motor opplyser at den svarte boksen ikke husker lenger tilbake enn fem sekunder før den registrerer en belastning som indikerer en ulykkes­situasjon. Vegvesenet anfører at «bremsepedalen ikke var betjent de siste 5 sekundene før ulykken». Det betyr at drivsystemet måtte ha blitt slått på før de siste fem sekundene om føreren hadde gjort det. Jeg har ikke sett at informasjon om klargjøring til kjøringen er dokumentert og analysert i detalj før det ble konkludert om feilårsaken.

Hva registrerer den svarte boksen?

Bilfabrikanten legger stor vekt på at den svarte boksen bare registrerer «sanne» data, dvs. data som viser hva som virkelig har hendt og hva som virkelig er gjort. 

Som nevnt tidligere husker denne boksen bare fem sekunder tilbake fra ulykken ble registrert. I dette tilfellet betyr det at den ikke inneholder informasjoner om hvordan dører ble åpnet og føreren tok seg inn. Mer viktig er det at det heller ikke er informasjon om at føreren aktiverte drivsystemet, og, i tilfelle, hvordan og når han gjorde det. Den husker heller ikke eventuelle unormale hendelser som inntraff rett før det tidsforløpet som er lagret.

Boksen mottar signaler fra de forskjellige styrings- og måleenhetene i bilen i den utstrekning disse er koblet opp mot den og registrerer data som funksjon av tid. Siden dette er et elektronisk styringssystem, er det rimelig å anta at signalene til boksen også er elektroniske (digitale), og at digitaliseringen har skjedd i underenhetene. At de data den svarte boksen lagrer er korrekte (sanne) avhenger da av at alle underenhetene leverer data som viser hva som virkelig har hendt. Det er svært god grunn til å se nærmere på dette. Noen eksempler på mulige kilder til feil og unøyaktigheter er listet i det følgende:

• Givere (sensorer) gir vanligvis analoge signaler. Disse kan digitaliseres i giverenheten eller sendes videre analogt. Givere kan gi unøyaktige signaler (forandring over tid, miljøpåvirkning) eller feile totalt et øyeblikk.
• Overføring av analoge signaler kan forstyrres av ytre påvirkninger (induksjon) og/eller forandringer i overføringsnettet (korrosjon, f.eks. i loddepunkter, strømlekkasje pga. forurenset og ledende vann).
• Styringssystemet, og dermed også registreringssystemet, kan være følsomt for spenningsvariasjoner (lav spenning, plutselige spenningstopper).

I jobbsammenheng har jeg erfaringer fra instrumentert tilstandskontroll av skipsmaskineri med både manuell og elektronisk datainnsamling (svart boks). Dette ble innledningsvis overvåket i sanntid ombord med inspeksjon og alternative måle- og analysemetoder. Både giverfeil og forstyrrelser på overføringen mellom giver og registrering ble registrert, og de kunne gi opphav til falske konklusjoner og alarmer.

Den svarte boksen registrerer data som funksjon av tid. Det betyr at data fra de forskjellige enhetene kan korreleres, slik at det er mulig å si noe om hvordan data fra en enhet kan påvirke responsen fra en annen, f.eks. signalet fra gasspedalen til motorstyring. Eventuelle tegn på forstyrrelser fra andre kretser må undersøkes, f.eks. spenningsvariasjoner. Det må også tas hensyn til eventuelle målefeil eller dataoverføringsfeil, og i hvilken retning slike ville påvirke beskjeden til andre enheter.

Det er ikke klart for meg om det er et lovpålagt minstekrav. I et nyere tilfelle i Australia registrerte den bare de siste fire sekundene, med den følge at pålastningsforløpet til 100 % gasspådrag ikke kom med.

Detaljerte undersøkelser må fortsette for mer sikker konklusjon om feilårsaken:

Jeg mener at det fortsatt er svært god grunn til å gå i dybden når det gjelder data fra den svarte boksen, spesielt signalet fra gasspedalen. Hvor ofte data ble samlet inn i den svarte boksen (samplingsfrekvens) er av betydning her. Den har blitt oppgitt som 1/10 sekund (10 Hz). Dette kan synes som en rask samplingsfrekvens, men er det ikke i forhold til å fange opp transienter og andre raske forløp. Dette kan medføre at slikt ikke blir registrert eller blir bare delvis registrert eller forvrengt.

Selv om den svarte boksen bare inneholder historiske data fra de siste fem sekundene før ulykken ble registrert, mener jeg mener også at det må undersøkes om det finnes flere data der som kan gi bedre grunnlag for konklusjoner om hva som er hendt og kaste mer lys over hva som årsaken til ulykken var. Et eksempel er data som viser hvor raskt gasspedalen ble aktivert, tiden fra den sto i hvilestilling til den var trykket helt i bunn. Et annet er eventuelle variasjoner i den elektriske spenningen i perioden. Det gjelder også data som kan gi mer informasjon om hvor føreren befant seg, hva han kan ha gjort og hva det er lite sannsynlig at han kan ha gjort. 

I tillegg må det gjøres en noenlunde rasjonell bedømming av hans oppførsel før ulykken. Her kan også tilsynelatende manglende data være viktige. Data fra bilens eget elektroniske overvåkingssystem vil sannsynligvis bare inneholde registrerte komponentfeil uten tidshistorie. Det er gjør at det ikke er mulig å finne funksjonsfeil ved å koble data fra senderenheter til mottagerenheter i sanntid. 

Det er merkelig at slike svarte bokser bare husker fem sekunder tilbake fra ulykkestidspunktet. Moderne datateknologi burde uten problemer kunne vedlikeholde et oppdatert minne som har mye lengre varighet enn dette. I dette tilfellet kunne det ha gitt flere faktiske data av betydning når det gjaldt når og hvordan drivsystemet ble aktivert. 

Som skrevet innledningsvis kan jeg på grunnlag av egne erfaringer ikke dele Volvos utsagn om at teknisk svikt ved bilen kan utelukkes, og at videre undersøkelser bare gir opphav til «uverifiserte påstander og spekulasjoner fra tredjeparter». 

Denne saken og andre lignende saker er for alvorlige til at de blir løst med raske og enkle konklusjoner.