之中。將開(kāi)發(fā)安全對(duì)策以將操作員危害的風(fēng)險(xiǎn)降低到可接受的低水平。
[0080] 系統(tǒng)接口：以下是物件和其周圍環(huán)境之間的一列接口。
[0081] 拖車車身/底盤(pán)-系統(tǒng)會(huì)被安裝到由車輛廠商制造的拖車內(nèi)。它包括拖車頂，側(cè) 壁，底板，和車架。拖車貨艙為貨物提供絕緣環(huán)境，以及供穿設(shè)纜索和管線的路徑。各種系 統(tǒng)元件依靠拖車車身和底盤(pán)提供機(jī)械安裝位置。
[0082] 牽引車臍帶纜（umbilical)-物件會(huì)通過(guò)標(biāo)準(zhǔn)的7路連接而連接到牽機(jī)車，并且 額外地可以利用專用的動(dòng)力和數(shù)據(jù)連接。通過(guò)與牽引車的連接，拖車會(huì)接收+12V的電力， 接地，和制動(dòng)信號(hào)，以及輔助功能（諸如遠(yuǎn)程信息處理和數(shù)據(jù)采集）可能需要的任何其他信 號(hào)。當(dāng)拖車連接到牽引車時(shí)，+12V的電力供應(yīng)會(huì)允許對(duì)系統(tǒng)電池組充電。制動(dòng)信號(hào)可用來(lái) 減少在制動(dòng)事件過(guò)程中從+12V的供電汲取電流，因?yàn)橥宪嚪辣乐苿?dòng)系統(tǒng)（ABS)可能需要 從該線路汲取大量電流。
[0083] 太陽(yáng)能電池板-物件可以從安裝在拖車頂上的太陽(yáng)電池板得到電力。這些供應(yīng) 的目的是當(dāng)拖車未連接到牽引車或者岸電時(shí)，保持電池的充電水平。
[0084] 岸電-當(dāng)插進(jìn)"岸電"的固定源時(shí)，物件可以從110V/220V供電汲取電力。這會(huì) 允許系統(tǒng)電池組充電。
[0085] 電池組-物件會(huì)利用一個(gè)或多個(gè)位于拖車車身或者底盤(pán)上的化學(xué)蓄電池。該供電 的額定電壓是12V。系統(tǒng)目前打算利用鉛酸電池化學(xué)，不過(guò)隨著先進(jìn)技術(shù)變得更經(jīng)濟(jì)，其他 電池技術(shù)也可以用在未來(lái)的改型中。
[0086] 加注口 -物件會(huì)連接到加注口，以允許操作員再充填液氮容器。
[0087] 熱界面-容器會(huì)從其環(huán)境接收熱，以便通過(guò)儲(chǔ)存的氮?dú)鈴囊后w到蒸氣的相變建 立內(nèi)部壓力。該壓力會(huì)驅(qū)動(dòng)液氮通過(guò)閥、管道、和噴霧器桿。拖車車身也會(huì)從環(huán)境接收熱能， 潛在的影響是改變呈現(xiàn)給TRU的熱負(fù)荷。
[0088] 容器通氣-容器會(huì)將過(guò)量的氮?dú)庹魵馀欧诺狡渲車h(huán)境中，以保持安全的系統(tǒng) 壓力。
[0089] 液氮分配-物件會(huì)將氮?dú)猓ㄗ鳛橐后w、蒸氣、或者混相流）分配到貨艙中。
[0090] 信息-系統(tǒng)通過(guò)視覺(jué)和聽(tīng)覺(jué)裝置提供信息給操作員。
[0091] 物件的元件
[0092] 液氮儲(chǔ)存容器。這是用不銹鋼部件構(gòu)造的雙壁真空絕熱容器。該容器包含建立并 調(diào)節(jié)其內(nèi)部壓力的裝置。液氮容器還會(huì)包含測(cè)量燃料液面高度的裝置。
[0093] 閥組件。閥系統(tǒng)與容器位于同一處，其中閥系統(tǒng)調(diào)節(jié)來(lái)自容器的液氮的流量以便 進(jìn)行冷卻、通氣和加燃料。機(jī)電閥被用于根據(jù)物件的電子控制系統(tǒng)的直接指令運(yùn)行，同時(shí)可 以使用手動(dòng)閥，用于維護(hù)、修理和緊急事件響應(yīng)的目的。
[0094] 噴霧器組件。一個(gè)或多個(gè)噴霧器組件（"噴霧器桿"）會(huì)被用于向貨艙提供氮?dú)狻?這些裝置被由鋁擠出或者裝配式結(jié)構(gòu)構(gòu)建而成，并包括當(dāng)液氮被噴入貨艙中時(shí)使其快速蒸 發(fā)為氣態(tài)形式的設(shè)計(jì)特征。
[0095] 管道。會(huì)提供金屬或者復(fù)合管，以便于液氮從容器到噴霧器組件的傳送。通常，該 管道的線路規(guī)劃會(huì)沿著拖車底部，通過(guò)拖車壁，以及在拖車內(nèi)部?jī)?nèi)。管道必須能夠抵抗內(nèi)部 包含的液氮提供的熱負(fù)荷，而且能與拖車的制造工藝兼容。
[0096] 通氣風(fēng)扇。位于噴霧器桿附近的通氣風(fēng)扇的任務(wù)是將新鮮空氣循環(huán)送入貨艙，以 便將氧濃度恢復(fù)到對(duì)操作員安全的水平。
[0097] 外部控制面板（ECP)。該模塊通過(guò)電子顯示器（諸如液晶顯示面板）將HMI呈現(xiàn) 給操作員，并將用戶請(qǐng)求傳遞到冷卻系統(tǒng)。操作員應(yīng)能對(duì)系統(tǒng)操作模式進(jìn)行編程，對(duì)與冷卻 參數(shù)有關(guān)的設(shè)定點(diǎn)進(jìn)行編程，并且接收與系統(tǒng)操作有關(guān)的信息。還可以獲得系統(tǒng)診斷信息， 以便進(jìn)行故障檢修和修復(fù)。數(shù)據(jù)接口（諸如USB連接）會(huì)被提供，以允許數(shù)據(jù)檢索和模塊 軟件的重編程。
[0098] 氧氣顯示面板（ODP)。該電子控制單元向用戶呈現(xiàn)界面，以便傳遞與貨艙中的氧氣 水平有關(guān)的信息。ODP還包括用于門(mén)閉鎖裝置的電子器件和機(jī)構(gòu)。
[0099] 動(dòng)力控制單元（PCU)。該電子控制單元的任務(wù)是管理系統(tǒng)的各種電源，以便保持適 當(dāng)?shù)碾姵爻潆姞顟B(tài)（SOC)，從系統(tǒng)電池為其他電子控制單元提供電力，控制機(jī)電閥，CAN總 線監(jiān)視，并根據(jù)傳感器數(shù)據(jù)和用戶指令做出操作決定。
[0100] 噴嘴單元（SNU)。這是從溫度傳感器獲得數(shù)據(jù)并在通氣循環(huán)過(guò)程中啟動(dòng)風(fēng)扇的電 子控制單元。該模塊位于噴桿組件中的其中一個(gè)附近。
[0101] 駕駛員燈面板（DLP)。該模塊使用一系列LED指示燈，其中LED指示燈放置成在駕 駛員后視鏡中可見(jiàn)。有關(guān)系統(tǒng)操作狀態(tài)的信息可以使用LED行為（顏色，閃爍相對(duì)一致的 照明，發(fā)光的燈的各種組合，等等）的組合來(lái)傳遞。
[0102] 02M。該模塊從一組氧氣傳感器采集數(shù)據(jù)，進(jìn)行補(bǔ)償、過(guò)濾和診斷，并經(jīng)過(guò)CAN總線 和離散信號(hào)線將計(jì)算值傳遞到0DP。
[0103] 氧氣傳感器。氧氣傳感器會(huì)被用來(lái)測(cè)量貨艙內(nèi)包含的空氣的實(shí)際的氧氣水平。傳 感器輸出可能需要對(duì)于環(huán)境溫度和大氣壓力的補(bǔ)償，并且在傳感器的使用期限內(nèi)通常需要 在幾個(gè)點(diǎn)處再校準(zhǔn)。在每個(gè)電力循環(huán)開(kāi)始時(shí)，這些傳感器需要預(yù)熱時(shí)間，以便穩(wěn)定在控制溫 度處。
[0104] 溫度傳感器。每個(gè)區(qū)域都會(huì)具有溫度傳感器，以測(cè)量貨艙的溫度?？梢蕴峁└郊?傳感器，來(lái)測(cè)量噴霧器桿出口附近的溫度，以檢驗(yàn)合適的液氮流量。也可以測(cè)量外部溫度， 以便建立合適的冷卻功能。
[0105] 大氣壓力傳感器對(duì)于不同的環(huán)境壓力，為了補(bǔ)償氧氣傳感器，以及為了提供有關(guān) 氮?dú)饬魉俚母郊有畔?，可以使用大氣壓力傳感器?br>[0106] CAN總線。系統(tǒng)內(nèi)的模塊會(huì)通過(guò)控制器區(qū)域網(wǎng)（CAN)而連接，以便傳遞數(shù)據(jù)和指 令。
[0107] 門(mén)傳感器。門(mén)傳感器用來(lái)測(cè)量貨艙門(mén)的狀態(tài)。
[0108] 緊急停止（E-stop)。如果在冷卻循環(huán)操作過(guò)程中有人，緊急停止或者E停止按鈕 用于立即停止液氮分配，并激活外部警報(bào)。
[0109] 安全鎖電磁線圈。安全鎖電磁線圈是一種機(jī)電裝置，當(dāng)ODP內(nèi)的模塊發(fā)出指令時(shí)， 其釋放安全鎖定元件并允許進(jìn)入貨艙。它包括多組機(jī)械開(kāi)關(guān)觸點(diǎn)，以確定鎖定元件的狀態(tài)。 [0110] 操作。經(jīng)由EPC HMI用操作員指令將系統(tǒng)置于冷卻模式。如果通過(guò)一系列自測(cè)， 并且貨艙門(mén)是閉合的且門(mén)鎖定裝置正確地可靠，系統(tǒng)就會(huì)開(kāi)始冷卻操作。溫度設(shè)定點(diǎn)以及 要求的冷卻緩變率和預(yù)設(shè)曲線，可以由操作員通過(guò)ECP而控制。如果冷卻功能由于任何數(shù) 量的可能的原因被禁止，那么ECP就會(huì)嘗試傳遞該信息給操作員，以便排除故障或者檢修。
[0111] 冷卻功能包括分配液氮到貨艙，以保持經(jīng)編程的溫度設(shè)置點(diǎn)。在該操作模式中，閥 工作周期會(huì)改變，以便提供所需體積的氮?dú)猓瑥亩峁┳銐虻哪芰縼?lái)冷卻貨物并補(bǔ)償通過(guò) 拖車壁的熱損失。反饋和前饋技術(shù)都可以用來(lái)確定閥工作周期，并且可以利用拖車型號(hào)和 冷卻系統(tǒng)性能來(lái)進(jìn)一步服務(wù)該目的。在多區(qū)域情況下，將使用合適的信息獨(dú)立地控制每個(gè) 區(qū)域的溫度。
[0112] -打開(kāi)貨艙門(mén)，液氮的分配就會(huì)停止，并且如果氧氣水平低于最小安全閾值，那么 通氣風(fēng)扇會(huì)通過(guò)貨艙門(mén)將新鮮空氣循環(huán)到貨艙中。直到確定貨艙的氧氣水平高于最小安全 閾值，ODP會(huì)通過(guò)聽(tīng)覺(jué)和視覺(jué)警告指示存在可能不安全的氧氣水平，并且門(mén)鎖不會(huì)按請(qǐng)求解 除。通氣會(huì)繼續(xù)，直到與環(huán)境互換了足夠的空氣。一旦氧氣水平回到安全狀態(tài)，通氣風(fēng)扇會(huì) 停止操作，ODP會(huì)指示已經(jīng)達(dá)到安全的氧氣水平，并且門(mén)鎖會(huì)依據(jù)操作員指令解除。
[0113] 通過(guò)再次緊固纜索門(mén)鎖并關(guān)閉貨艙門(mén)，冷卻功能可以再開(kāi)始。
[0114] 在冷卻系統(tǒng)的正常操作過(guò)程中可以連續(xù)監(jiān)視氧氣水平。
[0115] 補(bǔ)給燃料。補(bǔ)給燃料功能模式通過(guò)補(bǔ)充液氮的水平而有助于低溫冷卻系統(tǒng)的操 作。該模式可以在儲(chǔ)存或者冷卻模式期間通過(guò)激活液氮加注口附近的瞬時(shí)開(kāi)關(guān)并連接燃料 源（通常為定制設(shè)置的燃料供應(yīng)站，不過(guò)在開(kāi)發(fā)或者保養(yǎng)期間可能需要從流動(dòng)的卡車補(bǔ)給 燃料）而使用。
[0116] 在加燃料期間，操作員的任務(wù)是在燃料源和低溫冷卻系統(tǒng)之間建立物理連接，監(jiān) 視加燃料過(guò)程的進(jìn)程，停止加燃料后即與站點(diǎn)斷開(kāi)連接，并記錄與低溫冷卻系統(tǒng)操作有關(guān) (通常與操作時(shí)間和消耗的燃料的體積有關(guān)）的指標(biāo)。
[0117] 儲(chǔ)存。在儲(chǔ)存模式中，目標(biāo)是讓一段時(shí)間（通常表示為幾天或幾周的停機(jī)時(shí)間） 沒(méi)有使用的拖車的功耗最小化。在該操作模式中，拖車應(yīng)該被置于安全狀態(tài)，并且不需要保 持安全狀態(tài)的所有系統(tǒng)都應(yīng)該斷電，直到系統(tǒng)得到指令進(jìn)入不同的功能模式。
[0118] 維護(hù)/檢修。維護(hù)/檢修模式會(huì)用于檢索任何當(dāng)前的或者儲(chǔ)存的診斷故障代碼 (DTC)，并評(píng)定系統(tǒng)或者系統(tǒng)元件的性能?？梢约僭O(shè)檢修技師可能至少需要訪問(wèn)傳感器數(shù) 據(jù)，并且手動(dòng)激活諸如通氣風(fēng)扇，警告裝置，和閥之類的負(fù)荷。
[0119] 可預(yù)見(jiàn)的誤用。在低溫冷卻系統(tǒng)的設(shè)計(jì)和開(kāi)發(fā)中應(yīng)該考慮以下情形：
[0120] 人尋求涼爽環(huán)境。操作員或者在場(chǎng)的人常常會(huì)利用制冷拖車來(lái)讓個(gè)人舒適一些， 尤其在較溫暖的氣候中。對(duì)于現(xiàn)有的柴油機(jī)拖車制冷單元，這對(duì)操作員來(lái)說(shuō)存在最小的危 險(xiǎn)。在低溫直接注射系統(tǒng)中，以這種方式利用該系統(tǒng)的人很可能暴露于氧氣空竭的環(huán)境。
[0121] 超量填料。操作員有可能設(shè)法故意對(duì)系統(tǒng)進(jìn)行超量填料，以求獲得更大的可用的 最大行程。
[0122] 輔助制冷。操作員可能設(shè)法使用低溫冷卻系統(tǒng)來(lái)補(bǔ)充或者接替拖車停泊的建筑物 的暖通空調(diào)（HVAC)系統(tǒng)。該情形的例子將是在配送中心或者雜貨店停電的情況下企圖使 用拖車的冷卻系統(tǒng)。這種使用可能導(dǎo)致產(chǎn)生氧氣空竭的環(huán)境。
[0123] 安全目標(biāo)的概括-下面的列表是安全目標(biāo)的概括，必須滿足該安全目標(biāo)以規(guī)避 使系統(tǒng)用戶暴露于一個(gè)或多個(gè)危險(xiǎn)的不可接受的風(fēng)險(xiǎn)。必須防止操作員進(jìn)入氧氣空竭的貨 艙。系統(tǒng)決不能允許在有操作員存在時(shí)貨艙氧氣空竭。必須為操作員提供通過(guò)其抑制液氮 釋放的裝置。系統(tǒng)決不能允許在正常使用期間機(jī)械能從容器快速釋放。系統(tǒng)決不能允許在 交通事故期間機(jī)械能從容器快速泄漏。必須避免在正常操作期間機(jī)械能從貨艙快速釋放。
[0124] 對(duì)于操作員可進(jìn)入氧氣空竭的貨艙的情形，沒(méi)有安全特征的低溫冷卻系統(tǒng)將根據(jù) 操作員的能力來(lái)確定貨艙是否可以安全進(jìn)入。由于氧氣不足的影響可能使操作員喪失能 力，并且可能不加警告而出現(xiàn)，這明顯不是切實(shí)可行的解決方案，即便是對(duì)訓(xùn)練有素的操作 員來(lái)說(shuō)。決定需要用附加安全機(jī)構(gòu)來(lái)防止操作員進(jìn)入氧氣空竭的貨艙。
[0125] 對(duì)于涉及到將液氮排入以前處于安全氧氣水平的使用中的貨艙的情形，也許有理 由預(yù)期在沒(méi)有其他干擾的情況下操作員會(huì)留心氧氣不足的影響?？紤]到一般的工作環(huán)境在 拖車內(nèi)和其周圍存在大量活動(dòng)，因此僅僅依靠用戶來(lái)避免這一危險(xiǎn)是不合理的。決定需要 額外的安全機(jī)構(gòu)來(lái)防止將液氮排入以前處于安全氧氣水平的使用中的貨艙。
[0126] 對(duì)于涉及將液氮排入帶有鎖定的門(mén)的使用中的貨艙的情形，操作員可能不能對(duì)門(mén) 閂鎖機(jī)構(gòu)進(jìn)行定位并在故障容許的時(shí)間間隔內(nèi)正確地對(duì)其進(jìn)行操作。結(jié)果會(huì)是操作員可能 暴露于氧氣空竭的環(huán)境。決定需要額外的安全機(jī)構(gòu)來(lái)防止將液氮排入帶有鎖定的門(mén)的使用 中的貨艙。
[0127] 與機(jī)械能在門(mén)打開(kāi)期間從貨艙釋放相關(guān)的情形可通過(guò)非E/E裝置來(lái)解決。貨艙通 氣可以防止氮?dú)夥e聚和隨之而來(lái)的壓力上升。對(duì)于帶有外擺門(mén)的拖車，可以在貨艙門(mén)閂鎖 附近提供標(biāo)記來(lái)警告操作員這一危險(xiǎn)，并指示操作員在未閂鎖期間不要站在門(mén)口。如果實(shí) 施所描述的非E/E措施，則決定不需要附加的安全機(jī)構(gòu)。
[0128] 潛在的安全機(jī)構(gòu)
[0129] 氧氣監(jiān)視。在有理由預(yù)期操作員可能存在或者可能希望進(jìn)入貨艙的時(shí)間期間，可 以監(jiān)視貨艙的氧氣水平。這一技術(shù)在商業(yè)上可以以合理的成本獲得。有關(guān)氧氣水平的信息 可以通過(guò)串行總線或者離散信號(hào)路徑傳輸。這些技術(shù)可以使用電信號(hào)或者光信號(hào)。監(jiān)視氧 氣含量的做法本身不是完整的安全機(jī)制，因?yàn)檫€需要將信息提供給操作員，或者采取行動(dòng) 防止?jié)撛诓话踩牟僮鲉T活動(dòng)。
[0130] 閥監(jiān)視。通過(guò)監(jiān)視低溫控制閥的狀態(tài)，可以確定環(huán)境是否有變得對(duì)乘員不安全的 風(fēng)險(xiǎn)。如下所述，多種監(jiān)視技術(shù)是潛在可行的。直接監(jiān)視閥樞軸位置是可能的。這一技術(shù) 會(huì)允許系統(tǒng)確定閥是否正在被驅(qū)動(dòng)到開(kāi)啟位置，或者即使當(dāng)沒(méi)有施加動(dòng)力時(shí)，閥是否因機(jī) 械問(wèn)題而保持開(kāi)啟。對(duì)低溫閥的樞軸位置監(jiān)視未被廣泛應(yīng)用。直接監(jiān)視閥的電源是可能 的。這將允許ECU確定電力是否被無(wú)意中正施加到閥上并因此允許液氮的無(wú)意排放。其不 解決可能造成液氮排放的機(jī)械問(wèn)題。閥電源的電監(jiān)視通過(guò)典型的ECU診斷技術(shù)容易實(shí)現(xiàn)。 閥還可以通過(guò)測(cè)量溫度或者氧氣水平而間接監(jiān)視。溫度可以在閥的下游（要么在分配管道 內(nèi)，要么通過(guò)放在噴霧器桿排放位置附近的溫度探針）測(cè)量。當(dāng)系統(tǒng)不應(yīng)該主動(dòng)冷卻時(shí)，顯 著降溫可能表明液氮的無(wú)意排放。另外，當(dāng)系統(tǒng)不應(yīng)該主動(dòng)冷卻貨艙時(shí)，液氮的無(wú)意釋放可 以通過(guò)氧氣水平的降低來(lái)推斷。有關(guān)閥操作的信息可以通過(guò)串行總線或者離散信號(hào)路徑傳 輸。這些技術(shù)可以使用電信號(hào)或者光信號(hào)。監(jiān)視氧氣含量的做法本身不是完整的安全機(jī)制， 因?yàn)檫€需要將信息提供給操作員，或者采取行動(dòng)防止?jié)撛诓话踩牟僮鲉T活動(dòng)。
[0131] 乘員檢測(cè)?？梢员O(jiān)視貨艙是否存在操作員。技術(shù)包括利用可見(jiàn)光或者紅外光譜中 的信號(hào)的被動(dòng)檢測(cè)系統(tǒng)，以及利用超聲波或者激光發(fā)射器和檢測(cè)器的主動(dòng)檢測(cè)系統(tǒng)。由于 貨物通常是固定的并且通常比人體冷很多，因此如果操作員在移動(dòng)，應(yīng)該可以確定那個(gè)人 是否存在。潛在的缺點(diǎn)包括因貨物移動(dòng)而假觸發(fā)，以及貨物可能遮斷機(jī)構(gòu)"看見(jiàn)"乘員的能 力。緊急停止（E-stop)開(kāi)關(guān)可被考慮為乘員檢測(cè)裝置。這將取決于操作員察覺(jué)危險(xiǎn)狀況 潛在存在的能力。在系統(tǒng)正常操作期間，貨艙門(mén)的檢測(cè)可能被認(rèn)為是乘員檢測(cè)措施，因?yàn)槿?果門(mén)是開(kāi)著的，那么可以假定貨艙在使用中。做出相反的假定（即，如果門(mén)閉合，則貨艙未 在使用中）將依賴于在關(guān)門(mén)之前操作員對(duì)貨艙的檢查。有關(guān)乘員狀態(tài)的信息可以通過(guò)串行 總線或者離散信號(hào)路徑傳輸。這些技術(shù)可以使用電信號(hào)或者光信號(hào)。檢測(cè)乘員的做法本身 不是完整的安全機(jī)制，因?yàn)檫€需要將信息提供給操作員，或者采取行動(dòng)防止?jié)撛诓话踩?操作員活動(dòng)。
[0132] 氧氣不安全的警告。隨著氧氣監(jiān)視、閥監(jiān)視、和乘員檢測(cè)的某組合