0
雷鋒網(wǎng)按：Mobileye 最近發(fā)表的論文《On a Formal Model of Safe and Scalable Self-Driving Cars》（意為“論安全和可大規(guī)模部署自動駕駛汽車的形式化模型”）可謂一石激起千層浪，它觸動了整個自動駕駛行業(yè)的敏感神經(jīng)。
據(jù)雷鋒網(wǎng)了解，這篇論文引起的爭論核心問題是： Mobileye 斷言自動駕駛行業(yè)需要一個數(shù)學(xué)模型，只要自動駕駛汽車能遵守事先定好的清晰規(guī)則，就能一勞永逸的解決與自動駕駛汽車相關(guān)的交通事故問題。但是，這個方法真的有效嗎？
Mobileye 的論文一出，馬上引發(fā)了業(yè)內(nèi)大量的質(zhì)疑，比如“對一個行業(yè)來說，自己給產(chǎn)品定義什么是安全真的是個好主意嗎？”和“安全和所謂的責(zé)任劃分是一回事嗎？”
為了詳細求證，EE Times 專門聯(lián)系了多位學(xué)術(shù)專家，他們的研究領(lǐng)域橫跨機器人、嵌入式計算系統(tǒng)、自動駕駛汽車安全和人機交互等。在下文中，筆者總結(jié)了這些專家對 Mobileye 論文的剖析和他們對其中觀點的看法。此外，專家們還用自己獨特的視角為自動駕駛行業(yè)的發(fā)展指了路。
從學(xué)術(shù)界的反應(yīng)來看，他們最初對 Mobileye 論文的評價簡直可以說是超乎尋常的積極。他們贊賞 Mobileye 的勇氣，這家以色列公司敢于“自揭傷疤”，直陳自動駕駛行業(yè)的癥結(jié)所在，確實令人佩服。
在 Mobileye 的論文問題上，卡耐基梅隆大學(xué)的 Phil Koopman 教授表示：“總得來說，我認為這可以算是業(yè)界首創(chuàng)，它用一種近似于嚴酷的方式談?wù)摿舜蠹乙恢闭谡谘谘诘淖詣玉{駛汽車安全問題。未來，每輛上路的自動駕駛汽車都應(yīng)該清楚的知道到底什么可以做，什么不可以做。因此，我為這篇論文的作者鼓掌?！?/p>
杜克大學(xué)教授 Missy Cummings 同意這一觀點，她表示：“我很欣賞這篇論文，Mobileye 確實很有思想深度。”
不過，以上兩位教授還是覺得，Mobileye 的提議只是“第一步”。論文的內(nèi)容在現(xiàn)實世界執(zhí)行起來可能會有些困難，畢竟自動駕駛汽車在很長一段時間內(nèi)還是要在道路上與非自動駕駛汽車和諧相處。Mobileye 的安全定義還是要根據(jù)現(xiàn)實情況做出調(diào)整。
對于這篇論文的價值，Koopman 表示：“第一次就能有如此水準(zhǔn)確實不容易。不過，這并非最終定案。未來在找到最佳解決方案前，我們會繼續(xù)嘗試各種不同的方案?！?/p>
在解釋文中提到的“安全”概念時，作者拋出了“可驗證安全”的理念，如果按他們的方案走，至少自動駕駛汽車無需為事故負責(zé)。
杜克大學(xué)的 Cummings 教授指出，所謂的“可驗證安全”并非時髦新詞。多位學(xué)術(shù)專家已經(jīng)在自己的論文中提到了這一概念。
Cummings 認為，“可驗證安全”這一概念面臨的最棘手問題一直沒有改變，那就是“計算機科學(xué)家眼中的安全與測試工程師的可能對不上號?！?/strong>
無論是 Koopman 還是 Cummings 都表示，Mobileye 的假設(shè)我們不能理所當(dāng)然的接受，它需要承受來自各方的質(zhì)疑。Koopman 指出，如果把背景放在現(xiàn)實世界中，其中的一些假設(shè)會讓人震驚。
在 Cummings 看來，Mobileye 的假設(shè)可操作性較差，首先軟件錯誤就是我們無法承受的。而在論文中，有關(guān)安全問題作者這樣寫道：
“我們現(xiàn)在討論的是如何感應(yīng)出那些會導(dǎo)致不安全駕駛的錯誤。就像此前所說的，我們推崇的是可驗證安全。在這種指導(dǎo)思想下，自動駕駛汽車肯定不會主動引發(fā)事故。不過，硬件和軟件問題，如傳感器失靈和軟件錯誤可能還是會造成事故發(fā)生，而我們的終極目標(biāo)就是讓事故發(fā)生幾率最小化?！?/em>
Cummings 質(zhì)疑 Mobileye 的說辭，她認為軟件出錯誤的幾率可沒有論文中說的那么低。報告顯示，因為軟件問題造成的自動駕駛安全召回可是經(jīng)常發(fā)生。
Koopman 則更擔(dān)心激光雷達和毫米波雷達出問題。“我不敢相信激光雷達和毫米波雷達有論文中說的那么靠譜?！?/strong>他說道?！跋胱屓讼嘈牛琈obileye 必須在測試中證明這一點，而不是憑空臆想。同時，作者在論文中的推測也有許多是錯漏百出，而他們自己都沒感覺到。”
在 Koopman 看來，這是安全的基礎(chǔ)。此外，自動駕駛汽車廠商還要讓車輛時刻保持警惕，因為路上的“驚喜”可太多了。
對于 Mobileye 對安全的定義，Koopman 倒不怎么擔(dān)心?！罢撐闹薪o了前提，那就是我們對于責(zé)任劃分有個嚴格的定義，這樣才能最終讓自動駕駛汽車免受事故困擾。”Koopman 解釋道。
Koopman 還表示：“從系統(tǒng)的角度來看，這樣的假設(shè)確實是安全的保證。如果路上的所有車都能遵守這樣的規(guī)則，道路肯定會變的相當(dāng)安全?！?/p>
由于擔(dān)心 Mobileye 提議的可操作性差，Koopman 再次強調(diào)稱：“認識到它為什么行不通才是最重要的。當(dāng)然，從中我們還是能得出許多思考并學(xué)到很多經(jīng)驗。”
對于 Mobileye 的提議，Koopman 還有一層擔(dān)心，他怕自動駕駛汽車會學(xué)習(xí)與系統(tǒng)進行博弈。
在非自動駕駛時代，駕駛員成為老司機后總會找到交規(guī)的漏洞，偶爾占占漏洞的便宜也是人之常情。可以想象，那么聰明的自動駕駛汽車恐怕也會像人一樣耍花招。
一般情況下，大家都會擔(dān)心人類駕駛員“整”自動駕駛汽車，他們大可以找到自動駕駛汽車車流中的空位插進去，然后點幾腳剎車給自己留個大的行駛位。這樣一來，后面緊緊跟著的自動駕駛汽車可能就會出危險。不過，自動駕駛汽車可能也會以其人之道還治其人之身，畢竟機器學(xué)習(xí)系統(tǒng)“腦力”超強，找個漏洞可是易如反掌。如果我們不能提前預(yù)判，到時可就麻煩了。
當(dāng)然，Koopman 也說不清漏洞到底在哪，但他強調(diào)，這一問題必須得多加考慮。
在論文中，作者還大膽指出了自動駕駛的一些謬誤。雖然這一主題業(yè)界很少討論，但文章還是警告稱，大部分自動駕駛玩家使出的“蠻力”無法解決問題。
在論文中，作者寫道：
“眼下，大多數(shù)的方式都是在用‘蠻力’，它主要沿三個軸線發(fā)展：1.靠所謂‘計算密度’，也就是堆疊計算能力；2.靠高精地圖；3.靠傳感器規(guī)格的升級。這種方式看似可行，但在自動駕駛汽車的普及上卻成了阻礙，畢竟計算能力、高精地圖的繪制和維護、傳感器都是真金白銀才能換來的?！?/em>
這三種方案確實能幫我們接近自動駕駛，但想集齊這三顆“龍珠”幾乎是不可能的。在論文作者看來，缺乏安全和擴展性標(biāo)準(zhǔn)會將現(xiàn)在一心撲在自動駕駛上的汽車產(chǎn)業(yè)推向小眾，隨之而來的就是“自動駕駛行業(yè)的寒冬。”
這篇論文的目的是提供一個形式化模型，幫助業(yè)界將安全和規(guī)?；瘍蓧K拼圖一起放進自動駕駛汽車的版圖。當(dāng)然，其終極目標(biāo)還是讓全社會接受，并支撐未來全球數(shù)百萬輛自動駕駛汽車的安全運行。
靠“蠻力”的解決方案其實有些想當(dāng)然，特別是在對待測試的問題上。像 Waymo 和特斯拉這樣的公司，每次標(biāo)榜自家自動駕駛汽車的安全性時，首先就會提到它們積累的自動駕駛測試里程。
Mobileye 注意到，現(xiàn)在大多數(shù)開發(fā)者依賴的數(shù)據(jù)密集型驗證方式“并不可靠”。Koopman 同意這一點，他表示：“蠻力測試不會讓我們獲得充分的安全，自動駕駛汽車的普及也就成了空話?！?/p>
在“安全”的問題上，Koopman 和 Mobileye 站在了一起，他認為“如果你不能清楚準(zhǔn)確的解釋安全的意思，就不能斷言自己的自動駕駛汽車是否足夠安全。因此我認為安全的定義相當(dāng)重要?！辈贿^，Koopman 也批評了 Mobileye，他表示“安全與自動駕駛無責(zé)不能等同，但這是個合理的開頭，我們要以此為基礎(chǔ)不斷進步?！?/p>
當(dāng)然，即使搞清楚了到底什么是安全，自動駕駛汽車的癥結(jié)也沒有完全解開。Koopman 表示：“你還是得打造一個真正安全的系統(tǒng)（Mobileye 認為這意味著該系統(tǒng)永遠不會犯錯），它會努力避免犯錯，漏洞也不再是問題?！?/p>
Koopman 指出，Mobileye 的“形式化方式和數(shù)學(xué)證明”有自己的優(yōu)點，它大體上能被證明是對的。不過，其缺點也很明顯，那就是其背后藏著各種潛在假設(shè)，這些假設(shè)在現(xiàn)實世界中可能就行不通。
對自動駕駛行業(yè)來說，它首先需要討論的不只是灌入系統(tǒng)的是非觀，同時還得考慮解決方案在現(xiàn)實世界的可行性。
Koopman 表示：“駕駛中不犯錯可沒那么簡單，而司機的錯誤可能會影響到身邊的其他車輛。舉例來說，如果 Mobileye 想要讓自動駕駛汽車徹底免受事故困擾，它可能會故意修改程序，鉆交規(guī)的空子?！?/p>
總得來說，自動駕駛汽車與有人駕駛汽車的互動相當(dāng)關(guān)鍵，它也是這個行業(yè)成敗與否的壓倉石之一。
此外，Mobileye 在論文中給了一個方程式，它能算出兩輛車之間的安全距離。對此，Koopman 有自己的疑問，人類怎么可能憑肉眼和感覺精確的計算出這個距離到底有多遠呢？
對于該問題，Koopman 的解釋如下：
“如果自動駕駛汽車需要有個安全距離，那么在高峰期時其他車輛肯定不會浪費它周邊的寶貴地盤，在這樣的情況下一旦發(fā)生事故，是不是就意味著該人類司機倒霉？如果這樣的交規(guī)能出臺，恐怕會被罵死吧？”
在處理類似問題時，我們不能“很傻很天真”，認清現(xiàn)實做出相應(yīng)的妥協(xié)才能讓人類與機器人和諧相處。
“在實際駕駛中，我認為駕駛員的很多動作都是建立在對其他駕駛員行為的假設(shè)之上的。如果嚴格按照規(guī)則來走，自動駕駛汽車在非自動駕駛汽車的‘包圍’中可能會遇到麻煩?！盞oopman 補充?！皳Q句話來說，如果自動駕駛汽車經(jīng)常發(fā)生事故，抱怨人是沒用的，將‘黑鍋’甩在規(guī)則頭上顯然更合適?！?/p>
Cummings 則相信，在自動駕駛汽車正式上路前，該行業(yè)還有許多遺留問題需要一一解決。
最近，她還圍繞自動駕駛汽車的認證問題寫了一本書，有趣的內(nèi)容摘錄如下：
“如果對自動駕駛汽車的‘身體’進行評估，就會發(fā)現(xiàn)它們的視覺系統(tǒng)還是有很多弱點，這一論斷在日常的測試中也已經(jīng)得到了證實。這樣的問題不但是由于傳感器的限制，還在于軟件的后加工機制，它給黑客留了不少發(fā)揮空間。”
鑒于感知系統(tǒng)是自動駕駛汽車的心臟，一旦系統(tǒng)出了漏洞，會造成巨大的隱患，因此對系統(tǒng)進行詳盡的測試相當(dāng)重要。
除此之外，Cummings 還相信，人類駕駛員的知識體系也與安全駕駛息息相關(guān)，在自動駕駛汽車的感知系統(tǒng)無法判斷時，它將起到保駕護航的作用。
不過，在 Cummings 看來，最重要的還是危機處理能力，自動駕駛汽車必須在各種千鈞一發(fā)的危險情況下證明自己力挽狂瀾的能力。
“由于其感知系統(tǒng)弱點頗多，因此工程師和監(jiān)管者都必須熟知自動駕駛汽車上的概率算法到底如何感知并緩和危機?！盋ummings 補充道。
不過，這些問題也只是提出來罷了，畢竟能解決它們的“可解釋 AI”研究現(xiàn)在才剛剛起步。
Cummings 最擔(dān)心的還是行業(yè)最低安全標(biāo)準(zhǔn)的缺位，廠商們暫時還沒有著手進行極端情況的測試。
“在測試方案的制定上，我們還有許多工作要做。此外，人類在汽車和飛機上的駕駛經(jīng)驗也是自動駕駛汽車必須學(xué)習(xí)的。”Cummings 總結(jié)道。
雷鋒網(wǎng)推薦閱讀：
想靠數(shù)學(xué)模型解決自動駕駛時代的事故問題，Mobileye 的工程師思維“很傻很天真”？
Mobileye 論文下載地址：https://arxiv.org/pdf/1708.06374.pdf
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
