1
| 本文作者： 新智駕 | 2018-05-29 16:22 |
雷鋒網(wǎng)新智駕按：本文是英特爾中國(guó)研究院針對(duì) Mobileye 所開發(fā)的一個(gè)名為 RSS（Responsibility Sensitive Safety）的責(zé)任敏感安全模型的技術(shù)解讀，里面涉及到自動(dòng)駕駛汽車的安全性問題以及自動(dòng)駕駛事故的責(zé)任判定問題。該模型對(duì)于相關(guān)從業(yè)者來說有一定借鑒意義，雷鋒網(wǎng)新智駕在此分享給各位。
另外，5 月 30 日，也就是明天，英特爾將攜手國(guó)內(nèi)大學(xué)、學(xué)術(shù)研究合作伙伴，共同宣布成立英特爾智能網(wǎng)聯(lián)汽車大學(xué)合作研究中心。屆時(shí)，英特爾無人駕駛解決方案首席工程師兼首席系統(tǒng)架構(gòu)師 Jack Weast 將接受雷鋒網(wǎng)新智駕的采訪，聊一聊 RSS 模型和自動(dòng)駕駛安全有關(guān)的話題。
提到英特爾的自動(dòng)駕駛技術(shù)，你可能首先會(huì)想到 Mobileye。
Mobileye 于 2017 年被英特爾公司以 153 億美元收購(gòu)。作為開發(fā)高級(jí)駕駛輔助系統(tǒng)（ADAS）的全球先行者，其目標(biāo)是開發(fā)和推廣以視覺為主的自動(dòng)駕駛技術(shù)。
基于多年在汽車輔助駕駛領(lǐng)域的成功經(jīng)驗(yàn)，Mobileye 開發(fā)了一個(gè)名為 RSS (Responsibility Sensitive Safety) 的責(zé)任敏感安全模型，以期通過數(shù)學(xué)的方式來界定“安全狀態(tài)”。在“安全狀態(tài)”中，無論其他車輛做出任何反應(yīng)，自動(dòng)駕駛汽車都不可能引發(fā)事故。
當(dāng)今社會(huì)對(duì)自動(dòng)駕駛汽車的接受程度依賴于一個(gè)最重要的因素：技術(shù)開發(fā)者衡量風(fēng)險(xiǎn)，確保安全的能力。但是，絕對(duì)的安全并不存在。如下圖所示，假設(shè)在高速路上，黃色車輛（自動(dòng)駕駛）行駛在中間車道，突然右側(cè)某輛車由于某種原因偏離當(dāng)前車道并撞向黃色汽車。此時(shí)，黃色汽車無論是加速、剎車，還是躲避到其他車道都可能會(huì)引起碰撞。那么，黃色車輛是否可以采取有效的方法來躲避碰撞？我們?cè)撊绾谓鉀Q這個(gè)問題？
或許最直接的反應(yīng)是不允許自動(dòng)駕駛汽車進(jìn)入這種場(chǎng)景，但這種場(chǎng)景在高速公路上很常見，不允許自動(dòng)駕駛汽車支持這種場(chǎng)景就意味著自動(dòng)駕駛汽車不可用。如果允許自動(dòng)駕駛汽車在這種場(chǎng)景使用，絕對(duì)的“安全”就不存在。那么，我們所謂的安全是指什么呢？
目前業(yè)界比較常用的一種方法是通過已經(jīng)測(cè)試了多少里程來從統(tǒng)計(jì)意義上證明安全。根據(jù)統(tǒng)計(jì)結(jié)果，目前人類駕駛汽車事故的死亡率是 10^-6 次/小時(shí)，如果想讓社會(huì)接受機(jī)器代替人類駕駛，那么比較合理的假設(shè)是死亡率要降低 3 個(gè)量級(jí)，即 10^-9 次/小時(shí)?？墒牵ＷC達(dá)到 10^-9 次/小時(shí)死亡率的安全性，大概需要 30 億英里的測(cè)試數(shù)據(jù)，而且每次軟件升級(jí)后都需要完成這個(gè)量級(jí)的測(cè)試，這顯然是不可能實(shí)現(xiàn)的。因此，嘗試使用數(shù)據(jù)驅(qū)動(dòng)的統(tǒng)計(jì)方法來保證安全性，聲稱隨著測(cè)試?yán)锍痰脑黾佣黾恿税踩缘恼f法并不嚴(yán)謹(jǐn)。
此外還有一種方法，被稱作最佳裝備論（Best Practice）。廠家宣稱自己擁有最好的傳感器、有冗余備份、高性能軟件、充分的驗(yàn)證、足夠多的里程……因此是“安全”的。但是，和里程統(tǒng)計(jì)論一樣，這種方法也不能充分證明其安全性，還會(huì)讓廠家走上軍備競(jìng)賽的不歸路，導(dǎo)致最終只是進(jìn)行了一場(chǎng)昂貴的科學(xué)實(shí)驗(yàn)。
因此，Mobileye 提出了 RSS（Responsibility Sensitive Safety）模型，其目標(biāo)是通過一些數(shù)學(xué)公式從理論上來保證自動(dòng)駕駛汽車的安全行駛，并通過形式化以下人類駕駛中比較具有主觀性的幾個(gè)常識(shí)確保自動(dòng)駕駛汽車永遠(yuǎn)不會(huì)主動(dòng)導(dǎo)致事故發(fā)生，這些常識(shí)包括：
1、什么是危險(xiǎn)情況？
2、什么是危險(xiǎn)情況下的正確反應(yīng)？
3、誰(shuí)要對(duì)事故負(fù)責(zé)？
RSS 模型要達(dá)到的目標(biāo)具有兩重含義：
1、自動(dòng)駕駛汽車本身不會(huì)導(dǎo)致事故（卷入事故和導(dǎo)致事故是完全不同的概念，如上文提到的例子，自動(dòng)駕駛汽車可能卷入事故，但它不是事故的責(zé)任方）；
2、自動(dòng)駕駛汽車應(yīng)該在其它車輛發(fā)生錯(cuò)誤時(shí)做出正確反應(yīng)。
RSS 要做的就是在事故發(fā)生前設(shè)定游戲規(guī)則，主要用于自動(dòng)駕駛系統(tǒng)中的決策部分，可以讓其它 OEM 廠家將此模型直接放入他們的決策系統(tǒng)，從而促進(jìn)行業(yè)標(biāo)準(zhǔn)，提高自動(dòng)駕駛的整體安全。
總的來說，RSS 通過形式化以下 4 個(gè)“常識(shí)”規(guī)則來確定“誰(shuí)需要對(duì)事故負(fù)責(zé)”：
1、追尾不是前車的責(zé)任，后車必須保持足夠的安全距離。
2、除非前車突然并線，紅車突然插入黃車的車道導(dǎo)致追尾，責(zé)任在紅車。
3、不要刻板地使用“路權(quán)”（“right-of-way”is given not taken）。如果某輛汽車違反了交通規(guī)則進(jìn)入自動(dòng)駕駛汽車擁有路權(quán)的道路，但自動(dòng)駕駛汽車有足夠的時(shí)間剎車避免事故，則它必須剎車，而不能由于自己的路權(quán)高而向前沖，否則就要承擔(dān)責(zé)任。
4、小心被遮擋區(qū)域，小孩可能會(huì)被前車遮擋。
既然 RSS 是形式模型，就必須符合如下標(biāo)準(zhǔn)，才能被稱之為一個(gè)好的形式模型：
合理性：當(dāng) RSS 模型認(rèn)為事故中自動(dòng)駕駛汽車沒有責(zé)任時(shí)，它必須符合人類判斷的常識(shí)
實(shí)用性：我們可以制定出一些不會(huì)導(dǎo)致事故的駕駛規(guī)則，即便事故發(fā)生，也可以明確不是自動(dòng)駕駛車輛的責(zé)任。比較極端的做法是車輛一旦遇到意外情況就立刻停止，但是這種車是沒用的，我們必須保證道路的通行能力。
安全距離
安全距離是指在最惡劣的情況下仍可以避免碰撞的距離。最惡劣的情況是指前車以最大剎車加速度開始剎車，后車發(fā)現(xiàn)后有一定的反應(yīng)時(shí)間，并在反應(yīng)時(shí)間內(nèi)仍以最大加速度前進(jìn)，然后改成以最小剎車加速度剎車，直到危險(xiǎn)解除。因此，最小安全距離的計(jì)算公式如下：
參數(shù)：Vf 前車速度，Vr 后車速度，反應(yīng)時(shí)間 ρ、最小剎車加速度 αmin,brake、最大剎車加速度 αmax,brake 以及最大加速度 αmax,accel
說明：
上述公式中的參數(shù)應(yīng)該是法規(guī)制定的合理值；
人類駕駛汽車和自動(dòng)駕駛汽車的參數(shù)可以不同。比如自動(dòng)駕駛汽車的反應(yīng)時(shí)間一般會(huì)比人類短，而且自動(dòng)駕駛汽車可以比人類駕車的剎車更有效。因此，自動(dòng)駕駛汽車的 αmin、brake 可以設(shè)置得更大些；
不同路況下可以設(shè)置不同的參數(shù)（濕滑路面、冰、雪等）。
相對(duì)行駛、橫向移動(dòng)等情況都會(huì)涉及不同的安全距離的計(jì)算方式，這里不再贅述。
路權(quán)
多條道路交叉或匯合時(shí)就會(huì)涉及到路權(quán)。有些道路的優(yōu)先級(jí)高于其他道路，在這些道路上行駛的汽車就擁有路權(quán)。RSS 模型涉及到部分場(chǎng)景的解決方法，后期仍然需要擴(kuò)展模型，并對(duì)安全距離的計(jì)算進(jìn)行必要調(diào)整。
為了更好地理解路權(quán)，我們需要先定義一個(gè)名詞：縱向順序（Longitudinal Ordering），用來代表距離交叉點(diǎn)的直線距離。如下圖所示，左圖中，在縱向順序上紅車在藍(lán)車前面，因?yàn)?Dred < Dblue；右圖反之。
和上文提到的公式化安全距離一樣，我們同樣可以定義多道路交叉時(shí)的縱向安全距離。如下圖所示，紅車擁有路權(quán)，優(yōu)先級(jí)高，那么藍(lán)車必須在進(jìn)入路口前的安全距離內(nèi)進(jìn)行剎車，從而保證紅車正常行駛。
如前文所述，RSS 并不是刻板地以路權(quán)做為唯一判斷，比如在下圖中，藍(lán)車來不及剎車闖入了紅車的車道，紅車也要采取剎車以避免碰撞。
甚至，RSS 模型還可以支持輕微橫向位移來避免撞擊，如下圖所示：
行人和遮擋
對(duì)于行人，首先需要明確行人的路線和優(yōu)先級(jí)。某些地方行人的路線很明確，如人行道或者交叉路口的斑馬線。這些地方自動(dòng)駕駛汽車在自己車道上行駛時(shí)，一般無需擔(dān)心行人會(huì)突然闖進(jìn)來，車有優(yōu)先權(quán)，但是也必須遵循靈活運(yùn)用路權(quán)的原則。
但在有些地方，如居民區(qū)內(nèi)，行人路線不明確，這時(shí)必須謹(jǐn)慎駕駛，給行人更高的優(yōu)先權(quán)?？紤]到人類的反應(yīng)時(shí)間大概是 500ms，最大加速度是 2m/s2（博爾特的加速度是 3.09m/s2）。那么，根據(jù)之前的公式，車輛與行人之間的安全距離是 50cm，行駛時(shí)必須保證處于這個(gè)安全距離之外。
另外，需要格外注意有遮擋的環(huán)境。下圖中的車輛正在通過一排停車位，一名兒童突然以速度 10km/h 的速度跑過來（比如在追球）。根據(jù)計(jì)算，10km/h 的速度必須要保持 15m 的安全距離才可能避免碰撞發(fā)生。但此時(shí)汽車側(cè)方的視野只有 0.3m，顯然無法滿足安全要求。在這種情況下，RSS 模型做了如下定義：
在車輛可以發(fā)現(xiàn)目標(biāo)的第一時(shí)間（Te）到反應(yīng)時(shí)間結(jié)束時(shí)（Te + ρ），車輛沒有加速，且到發(fā)生撞擊或者完全停下來的時(shí)刻（Ts），車輛一直以不低于αmin,brake的加速度在剎車；
從 Te 到 Ts 這段時(shí)間內(nèi)，車輛的平均速度低于行人的平均速度。
這種情況下車輛是沒有責(zé)任的。這個(gè)定義隱含的論點(diǎn)是：在發(fā)生撞擊的時(shí)刻，車輛的速度比行人的速度低，或者兩者都移動(dòng)得很慢，從而使撞擊的傷害降到最低。
語(yǔ)義描述
RSS 模型通過語(yǔ)義方式來描述測(cè)量結(jié)果、操作空間等，來指導(dǎo)無人駕駛汽車的規(guī)劃、感知和動(dòng)作。這種語(yǔ)義可以理解為我們學(xué)交規(guī)時(shí)的駕駛規(guī)范。例如，它不會(huì)做出這種描述：以當(dāng)前速度開 13.7 米，然后以 0.8m/s2 的加速度加速前進(jìn)，而是會(huì)發(fā)出語(yǔ)義指令，如“跟隨前車”或者“從左側(cè)超車”。
與人類駕駛類似，RSS 提供的這個(gè)語(yǔ)義模型，并不是加速度矢量的幾何運(yùn)算，而是關(guān)于縱向或者橫向目標(biāo)的描述。這對(duì)降低規(guī)劃的運(yùn)算復(fù)雜度（不會(huì)隨著時(shí)間或鄰車數(shù)量的增加而呈指數(shù)上升）、提升安全性和舒適性交互、以及傳感器融合方面都至關(guān)重要。由于采用了語(yǔ)義模型，離線驗(yàn)證數(shù)據(jù)庫(kù)只需要 10^5 量級(jí)的駕駛數(shù)據(jù)，就可以保證 RSS 模型達(dá)到死亡率 10^-9 次/小時(shí)的安全要求。
看完了上面的介紹，你是不是都 RSS 有了初步了解呢？RSS 模型的開發(fā)者，Amnon Shashua 教授（英特爾子公司 Moblieye 公司首席執(zhí)行官兼首席技術(shù)官）曾說： “世界上最優(yōu)秀的人類也無法避免超出他們控制能力的事故，自動(dòng)駕駛汽車亦然。但是最負(fù)責(zé)、最老練、最謹(jǐn)慎的司機(jī)，不太可能由于自己的過失導(dǎo)致事故，特別是像自動(dòng)駕駛汽車擁有 360 度視力和閃電般反應(yīng)速度的話。”他呼吁自動(dòng)駕駛產(chǎn)業(yè)和政策制定者“協(xié)同構(gòu)建標(biāo)準(zhǔn)，明確事故責(zé)任”，以促進(jìn) RSS 模型更加完善。
雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
