雷鋒網(wǎng)新智駕按：本文是英特爾中國(guó)研究院針對(duì) Mobileye 所開(kāi)發(fā)的一個(gè)名為 RSS（Responsibility Sensitive Safety）的責(zé)任敏感安全模型的技術(shù)解讀，里面涉及到自動(dòng)駕駛汽車(chē)的安全性問(wèn)題以及自動(dòng)駕駛事故的責(zé)任判定問(wèn)題。該模型對(duì)于相關(guān)從業(yè)者來(lái)說(shuō)有一定借鑒意義，雷鋒網(wǎng)新智駕在此分享給各位。

另外，5 月 30 日，也就是明天，英特爾將攜手國(guó)內(nèi)大學(xué)、學(xué)術(shù)研究合作伙伴，共同宣布成立英特爾智能網(wǎng)聯(lián)汽車(chē)大學(xué)合作研究中心。屆時(shí)，英特爾無(wú)人駕駛解決方案首席工程師兼首席系統(tǒng)架構(gòu)師 Jack Weast 將接受雷鋒網(wǎng)新智駕的采訪，聊一聊 RSS 模型和自動(dòng)駕駛安全有關(guān)的話(huà)題。

提到英特爾的自動(dòng)駕駛技術(shù)，你可能首先會(huì)想到 Mobileye。

Mobileye 于 2017 年被英特爾公司以 153 億美元收購(gòu)。作為開(kāi)發(fā)高級(jí)駕駛輔助系統(tǒng)（ADAS）的全球先行者，其目標(biāo)是開(kāi)發(fā)和推廣以視覺(jué)為主的自動(dòng)駕駛技術(shù)。

基于多年在汽車(chē)輔助駕駛領(lǐng)域的成功經(jīng)驗(yàn)，Mobileye 開(kāi)發(fā)了一個(gè)名為 RSS (Responsibility Sensitive Safety) 的責(zé)任敏感安全模型，以期通過(guò)數(shù)學(xué)的方式來(lái)界定“安全狀態(tài)”。在“安全狀態(tài)”中，無(wú)論其他車(chē)輛做出任何反應(yīng)，自動(dòng)駕駛汽車(chē)都不可能引發(fā)事故。

RSS 是什么？為什么需要 RSS？

當(dāng)今社會(huì)對(duì)自動(dòng)駕駛汽車(chē)的接受程度依賴(lài)于一個(gè)最重要的因素：技術(shù)開(kāi)發(fā)者衡量風(fēng)險(xiǎn)，確保安全的能力。但是，絕對(duì)的安全并不存在。如下圖所示，假設(shè)在高速路上，黃色車(chē)輛（自動(dòng)駕駛）行駛在中間車(chē)道，突然右側(cè)某輛車(chē)由于某種原因偏離當(dāng)前車(chē)道并撞向黃色汽車(chē)。此時(shí)，黃色汽車(chē)無(wú)論是加速、剎車(chē)，還是躲避到其他車(chē)道都可能會(huì)引起碰撞。那么，黃色車(chē)輛是否可以采取有效的方法來(lái)躲避碰撞？我們?cè)撊绾谓鉀Q這個(gè)問(wèn)題？

或許最直接的反應(yīng)是不允許自動(dòng)駕駛汽車(chē)進(jìn)入這種場(chǎng)景，但這種場(chǎng)景在高速公路上很常見(jiàn)，不允許自動(dòng)駕駛汽車(chē)支持這種場(chǎng)景就意味著自動(dòng)駕駛汽車(chē)不可用。如果允許自動(dòng)駕駛汽車(chē)在這種場(chǎng)景使用，絕對(duì)的“安全”就不存在。那么，我們所謂的安全是指什么呢？

目前業(yè)界比較常用的一種方法是通過(guò)已經(jīng)測(cè)試了多少里程來(lái)從統(tǒng)計(jì)意義上證明安全。根據(jù)統(tǒng)計(jì)結(jié)果，目前人類(lèi)駕駛汽車(chē)事故的死亡率是 10^-6 次/小時(shí)，如果想讓社會(huì)接受機(jī)器代替人類(lèi)駕駛，那么比較合理的假設(shè)是死亡率要降低 3 個(gè)量級(jí)，即 10^-9 次/小時(shí)?？墒?，要保證達(dá)到 10^-9 次/小時(shí)死亡率的安全性，大概需要 30 億英里的測(cè)試數(shù)據(jù)，而且每次軟件升級(jí)后都需要完成這個(gè)量級(jí)的測(cè)試，這顯然是不可能實(shí)現(xiàn)的。因此，嘗試使用數(shù)據(jù)驅(qū)動(dòng)的統(tǒng)計(jì)方法來(lái)保證安全性，聲稱(chēng)隨著測(cè)試?yán)锍痰脑黾佣黾恿税踩缘恼f(shuō)法并不嚴(yán)謹(jǐn)。

此外還有一種方法，被稱(chēng)作最佳裝備論（Best Practice）。廠家宣稱(chēng)自己擁有最好的傳感器、有冗余備份、高性能軟件、充分的驗(yàn)證、足夠多的里程……因此是“安全”的。但是，和里程統(tǒng)計(jì)論一樣，這種方法也不能充分證明其安全性，還會(huì)讓廠家走上軍備競(jìng)賽的不歸路，導(dǎo)致最終只是進(jìn)行了一場(chǎng)昂貴的科學(xué)實(shí)驗(yàn)。

因此，Mobileye 提出了 RSS（Responsibility Sensitive Safety）模型，其目標(biāo)是通過(guò)一些數(shù)學(xué)公式從理論上來(lái)保證自動(dòng)駕駛汽車(chē)的安全行駛，并通過(guò)形式化以下人類(lèi)駕駛中比較具有主觀性的幾個(gè)常識(shí)確保自動(dòng)駕駛汽車(chē)永遠(yuǎn)不會(huì)主動(dòng)導(dǎo)致事故發(fā)生，這些常識(shí)包括：

1、什么是危險(xiǎn)情況？

2、什么是危險(xiǎn)情況下的正確反應(yīng)？

3、誰(shuí)要對(duì)事故負(fù)責(zé)？

RSS 模型要達(dá)到的目標(biāo)具有兩重含義：

1、自動(dòng)駕駛汽車(chē)本身不會(huì)導(dǎo)致事故（卷入事故和導(dǎo)致事故是完全不同的概念，如上文提到的例子，自動(dòng)駕駛汽車(chē)可能卷入事故，但它不是事故的責(zé)任方）；

2、自動(dòng)駕駛汽車(chē)應(yīng)該在其它車(chē)輛發(fā)生錯(cuò)誤時(shí)做出正確反應(yīng)。

RSS 要做的就是在事故發(fā)生前設(shè)定游戲規(guī)則，主要用于自動(dòng)駕駛系統(tǒng)中的決策部分，可以讓其它 OEM 廠家將此模型直接放入他們的決策系統(tǒng)，從而促進(jìn)行業(yè)標(biāo)準(zhǔn)，提高自動(dòng)駕駛的整體安全。

RSS 的 4 個(gè)“常識(shí)”

總的來(lái)說(shuō)，RSS 通過(guò)形式化以下 4 個(gè)“常識(shí)”規(guī)則來(lái)確定“誰(shuí)需要對(duì)事故負(fù)責(zé)”：

1、追尾不是前車(chē)的責(zé)任，后車(chē)必須保持足夠的安全距離。

2、除非前車(chē)突然并線(xiàn)，紅車(chē)突然插入黃車(chē)的車(chē)道導(dǎo)致追尾，責(zé)任在紅車(chē)。

3、不要刻板地使用“路權(quán)”（“right-of-way”is given not taken）。如果某輛汽車(chē)違反了交通規(guī)則進(jìn)入自動(dòng)駕駛汽車(chē)擁有路權(quán)的道路，但自動(dòng)駕駛汽車(chē)有足夠的時(shí)間剎車(chē)避免事故，則它必須剎車(chē)，而不能由于自己的路權(quán)高而向前沖，否則就要承擔(dān)責(zé)任。

4、小心被遮擋區(qū)域，小孩可能會(huì)被前車(chē)遮擋。

既然 RSS 是形式模型，就必須符合如下標(biāo)準(zhǔn)，才能被稱(chēng)之為一個(gè)好的形式模型：

• 合理性：當(dāng) RSS 模型認(rèn)為事故中自動(dòng)駕駛汽車(chē)沒(méi)有責(zé)任時(shí)，它必須符合人類(lèi)判斷的常識(shí)

• 實(shí)用性：我們可以制定出一些不會(huì)導(dǎo)致事故的駕駛規(guī)則，即便事故發(fā)生，也可以明確不是自動(dòng)駕駛車(chē)輛的責(zé)任。比較極端的做法是車(chē)輛一旦遇到意外情況就立刻停止，但是這種車(chē)是沒(méi)用的，我們必須保證道路的通行能力。

RSS 的技術(shù)要點(diǎn)

安全距離

安全距離是指在最?lèi)毫拥那闆r下仍可以避免碰撞的距離。最?lèi)毫拥那闆r是指前車(chē)以最大剎車(chē)加速度開(kāi)始剎車(chē)，后車(chē)發(fā)現(xiàn)后有一定的反應(yīng)時(shí)間，并在反應(yīng)時(shí)間內(nèi)仍以最大加速度前進(jìn)，然后改成以最小剎車(chē)加速度剎車(chē)，直到危險(xiǎn)解除。因此，最小安全距離的計(jì)算公式如下：

參數(shù)：Vf 前車(chē)速度，Vr 后車(chē)速度，反應(yīng)時(shí)間 ρ、最小剎車(chē)加速度 α_min,brake、最大剎車(chē)加速度 α_max,brake 以及最大加速度 α_max,accel

說(shuō)明：

• 上述公式中的參數(shù)應(yīng)該是法規(guī)制定的合理值；

• 人類(lèi)駕駛汽車(chē)和自動(dòng)駕駛汽車(chē)的參數(shù)可以不同。比如自動(dòng)駕駛汽車(chē)的反應(yīng)時(shí)間一般會(huì)比人類(lèi)短，而且自動(dòng)駕駛汽車(chē)可以比人類(lèi)駕車(chē)的剎車(chē)更有效。因此，自動(dòng)駕駛汽車(chē)的 α_{min、brake} 可以設(shè)置得更大些；

• 不同路況下可以設(shè)置不同的參數(shù)（濕滑路面、冰、雪等）。

相對(duì)行駛、橫向移動(dòng)等情況都會(huì)涉及不同的安全距離的計(jì)算方式，這里不再贅述。

路權(quán)

多條道路交叉或匯合時(shí)就會(huì)涉及到路權(quán)。有些道路的優(yōu)先級(jí)高于其他道路，在這些道路上行駛的汽車(chē)就擁有路權(quán)。RSS 模型涉及到部分場(chǎng)景的解決方法，后期仍然需要擴(kuò)展模型，并對(duì)安全距離的計(jì)算進(jìn)行必要調(diào)整。

為了更好地理解路權(quán)，我們需要先定義一個(gè)名詞：縱向順序（Longitudinal Ordering），用來(lái)代表距離交叉點(diǎn)的直線(xiàn)距離。如下圖所示，左圖中，在縱向順序上紅車(chē)在藍(lán)車(chē)前面，因?yàn)?Dred < Dblue；右圖反之。

和上文提到的公式化安全距離一樣，我們同樣可以定義多道路交叉時(shí)的縱向安全距離。如下圖所示，紅車(chē)擁有路權(quán)，優(yōu)先級(jí)高，那么藍(lán)車(chē)必須在進(jìn)入路口前的安全距離內(nèi)進(jìn)行剎車(chē)，從而保證紅車(chē)正常行駛。

如前文所述，RSS 并不是刻板地以路權(quán)做為唯一判斷，比如在下圖中，藍(lán)車(chē)來(lái)不及剎車(chē)闖入了紅車(chē)的車(chē)道，紅車(chē)也要采取剎車(chē)以避免碰撞。

甚至，RSS 模型還可以支持輕微橫向位移來(lái)避免撞擊，如下圖所示：

行人和遮擋

對(duì)于行人，首先需要明確行人的路線(xiàn)和優(yōu)先級(jí)。某些地方行人的路線(xiàn)很明確，如人行道或者交叉路口的斑馬線(xiàn)。這些地方自動(dòng)駕駛汽車(chē)在自己車(chē)道上行駛時(shí)，一般無(wú)需擔(dān)心行人會(huì)突然闖進(jìn)來(lái)，車(chē)有優(yōu)先權(quán)，但是也必須遵循靈活運(yùn)用路權(quán)的原則。

但在有些地方，如居民區(qū)內(nèi)，行人路線(xiàn)不明確，這時(shí)必須謹(jǐn)慎駕駛，給行人更高的優(yōu)先權(quán)?？紤]到人類(lèi)的反應(yīng)時(shí)間大概是 500ms，最大加速度是 2m/s2（博爾特的加速度是 3.09m/s2）。那么，根據(jù)之前的公式，車(chē)輛與行人之間的安全距離是 50cm，行駛時(shí)必須保證處于這個(gè)安全距離之外。

另外，需要格外注意有遮擋的環(huán)境。下圖中的車(chē)輛正在通過(guò)一排停車(chē)位，一名兒童突然以速度 10km/h 的速度跑過(guò)來(lái)（比如在追球）。根據(jù)計(jì)算，10km/h 的速度必須要保持 15m 的安全距離才可能避免碰撞發(fā)生。但此時(shí)汽車(chē)側(cè)方的視野只有 0.3m，顯然無(wú)法滿(mǎn)足安全要求。在這種情況下，RSS 模型做了如下定義：

• 在車(chē)輛可以發(fā)現(xiàn)目標(biāo)的第一時(shí)間（Te）到反應(yīng)時(shí)間結(jié)束時(shí)（Te + ρ），車(chē)輛沒(méi)有加速，且到發(fā)生撞擊或者完全停下來(lái)的時(shí)刻（Ts），車(chē)輛一直以不低于α_min,brake的加速度在剎車(chē)；

• 從 Te 到 Ts 這段時(shí)間內(nèi)，車(chē)輛的平均速度低于行人的平均速度。

這種情況下車(chē)輛是沒(méi)有責(zé)任的。這個(gè)定義隱含的論點(diǎn)是：在發(fā)生撞擊的時(shí)刻，車(chē)輛的速度比行人的速度低，或者兩者都移動(dòng)得很慢，從而使撞擊的傷害降到最低。

語(yǔ)義描述

RSS 模型通過(guò)語(yǔ)義方式來(lái)描述測(cè)量結(jié)果、操作空間等，來(lái)指導(dǎo)無(wú)人駕駛汽車(chē)的規(guī)劃、感知和動(dòng)作。這種語(yǔ)義可以理解為我們學(xué)交規(guī)時(shí)的駕駛規(guī)范。例如，它不會(huì)做出這種描述：以當(dāng)前速度開(kāi) 13.7 米，然后以 0.8m/s2 的加速度加速前進(jìn)，而是會(huì)發(fā)出語(yǔ)義指令，如“跟隨前車(chē)”或者“從左側(cè)超車(chē)”。

與人類(lèi)駕駛類(lèi)似，RSS 提供的這個(gè)語(yǔ)義模型，并不是加速度矢量的幾何運(yùn)算，而是關(guān)于縱向或者橫向目標(biāo)的描述。這對(duì)降低規(guī)劃的運(yùn)算復(fù)雜度（不會(huì)隨著時(shí)間或鄰車(chē)數(shù)量的增加而呈指數(shù)上升）、提升安全性和舒適性交互、以及傳感器融合方面都至關(guān)重要。由于采用了語(yǔ)義模型，離線(xiàn)驗(yàn)證數(shù)據(jù)庫(kù)只需要 10^5 量級(jí)的駕駛數(shù)據(jù)，就可以保證 RSS 模型達(dá)到死亡率 10^-9 次/小時(shí)的安全要求。

看完了上面的介紹，你是不是都 RSS 有了初步了解呢？RSS 模型的開(kāi)發(fā)者，Amnon Shashua 教授（英特爾子公司 Moblieye 公司首席執(zhí)行官兼首席技術(shù)官）曾說(shuō)： “世界上最優(yōu)秀的人類(lèi)也無(wú)法避免超出他們控制能力的事故，自動(dòng)駕駛汽車(chē)亦然。但是最負(fù)責(zé)、最老練、最謹(jǐn)慎的司機(jī)，不太可能由于自己的過(guò)失導(dǎo)致事故，特別是像自動(dòng)駕駛汽車(chē)擁有 360 度視力和閃電般反應(yīng)速度的話(huà)?！彼粲踝詣?dòng)駕駛產(chǎn)業(yè)和政策制定者“協(xié)同構(gòu)建標(biāo)準(zhǔn)，明確事故責(zé)任”，以促進(jìn) RSS 模型更加完善。

雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。