0
雷鋒網(wǎng)按：Mobileye闖紅燈之后，這些問題值得我們深思。
說到自動(dòng)駕駛，我們不得不提到Mobileye的大名。毋庸置疑，這家視覺技術(shù)公司堪稱行業(yè)翹楚。
前不久，Mobileye宣布將在耶路撒冷公路上開始測(cè)試多達(dá) 100 輛汽車，并邀請(qǐng)媒體試乘了Mobileye自動(dòng)駕駛汽車，該車內(nèi)部配備12臺(tái)攝像頭，但沒有其他傳感器。
毋庸置疑，這次媒體活動(dòng)對(duì)Mobileye是一個(gè)絕佳機(jī)會(huì)——展示其團(tuán)隊(duì)在自動(dòng)駕駛汽車開發(fā)方面的進(jìn)展，并公開解釋其稱為RSS框架（Responsibility-Sensitive Safety：責(zé)任敏感型安全框架）的汽車安全概念。很明顯，RSS框架的目標(biāo)是讓自動(dòng)駕駛汽車在公共道路上安全駕駛。
但出乎意料的是，在這次測(cè)試中，Mobileye自動(dòng)駕駛汽車居然在眾目睽睽之下闖了紅燈！
事情發(fā)生后，Mobileye CEO Shashua 也趕緊出面解釋，他表示，電視臺(tái)攝像機(jī)上的無線收發(fā)裝置產(chǎn)生了電磁干擾，直接影響了交通信
雖然Shashua 表示，Mobileye 已經(jīng)對(duì)這一問題進(jìn)行了修復(fù)。但這件事情告訴我們：自動(dòng)駕駛汽車行業(yè)仍然有很長一段路要走。
幾個(gè)月來，科技公司、Tier 1和汽車廠商一直在談?wù)摗皞鞲衅魅诤稀眴栴}，即結(jié)合不同的傳感器技術(shù)，幫助自動(dòng)駕駛汽車分辨出道路上突然出現(xiàn)的物體。 盡管在業(yè)內(nèi)，“傳感器融合”已經(jīng)變成了一個(gè)共識(shí)的趨勢(shì)，但業(yè)界并沒有驗(yàn)證傳感器是否能夠準(zhǔn)確地感知信息，更不用說多個(gè)傳感器感知的信息是否能夠在不出現(xiàn)任何軟件故障的情況下，正確融合。
如今，大多數(shù)從事完全自動(dòng)駕駛技術(shù)的公司都在大量應(yīng)用激光雷達(dá)傳感器技術(shù), 但是 Mobileye 還依然堅(jiān)持僅僅依靠攝像頭進(jìn)行導(dǎo)航。
不過，Mobileye公司的計(jì)劃并非一定要堅(jiān)持只依靠攝像頭來實(shí)現(xiàn)他們的完全自動(dòng)駕駛。恰恰相反, 他們測(cè)試一個(gè)只需攝像頭的系統(tǒng)只是為了驗(yàn)證其技術(shù)棧（智能互聯(lián)產(chǎn)品所需的整套全新的技術(shù)基礎(chǔ)設(shè)施）的安全性，這一步也正是他們?cè)谕耆詣?dòng)駕駛領(lǐng)域的“非主流”開發(fā)方法的一部分。
英特爾公司高級(jí)副總裁、Mobileye首席執(zhí)行官兼首席技術(shù)官Amnon Shashua在博客中寫道：“僅用攝像頭是我們實(shí)現(xiàn)我們稱之為‘真正的冗余’感應(yīng)的策略?！?/p>
他在博客中寫道：真正的冗余提供了兩大優(yōu)勢(shì)：
第一，驗(yàn)證感知系統(tǒng)所需的數(shù)據(jù)量會(huì)大大降低；
第二，在某個(gè)獨(dú)立系統(tǒng)發(fā)生故障的情況下，車輛可以繼續(xù)安全運(yùn)行， 而融合系統(tǒng)的車輛需要立即停止駕駛。
但是，Mobileye的終極目標(biāo)，并不是只有攝像頭的系統(tǒng)。 Mobileye的高級(jí)副總裁兼首席聯(lián)絡(luò)官Dan Galv表示：Mobileye計(jì)劃開發(fā)各種測(cè)試車輛，并在未來幾周內(nèi)添加不同類型的傳感器，包括雷達(dá)和激光雷達(dá)。這是開發(fā)的第二階段的計(jì)劃。
雖然在Mobileye最初的傳感器系統(tǒng)計(jì)劃中，傳感器相互獨(dú)立，每個(gè)傳感系統(tǒng)都可以支持完全自主駕駛。但是，Galves強(qiáng)調(diào)：“Mobileye‘不排除早期傳感器融合的想法’”。
對(duì)于業(yè)界對(duì)自動(dòng)駕駛早期與晚期傳感器融合的爭(zhēng)論，Galves早就意識(shí)到了。他說：“不管是早期和還是晚期的融合方法，我們都將進(jìn)行實(shí)驗(yàn)?！?/p>
值得注意的是，最新的Mobileye自動(dòng)駕駛測(cè)試車輛都配備了“安全信封”（a formal safety envelope）。
根據(jù)Galves的說法，Mobileye希望其完全自動(dòng)駕駛汽車可以比人為驅(qū)動(dòng)的車輛更快、更順暢、更經(jīng)濟(jì)地從出發(fā)地 A 點(diǎn)到達(dá)目的地 B 點(diǎn)，而且它可以駕馭任何路況。
另一個(gè)目標(biāo)是：無需在公共道路上進(jìn)行上億千米的驗(yàn)證測(cè)試，而是用一種理論驗(yàn)證的透明方法來實(shí)現(xiàn)比人為驅(qū)動(dòng)的汽車的安全性系數(shù)高 1000 倍的完全無人駕駛汽車。
他承認(rèn)這些條件中的一些相互沖突，他解釋說，Mobileye正在安裝兩個(gè)獨(dú)立的系統(tǒng)：基于強(qiáng)化學(xué)習(xí)的AI系統(tǒng)，該系統(tǒng)提出了自動(dòng)駕駛汽車的接下來的計(jì)劃；以及基于“安全層” 的正式確定性系統(tǒng)，其可以否定“不安全”的自動(dòng)駕駛決策。
換句話說，Mobileye并不完全信任AI來真正學(xué)習(xí)“魯莽”和“安全”之間的區(qū)別。
Galves表示：Mobileye并沒有花費(fèi)巨大精力來優(yōu)化AI算法，而是引入決策系統(tǒng)來補(bǔ)償“概率AI系統(tǒng)”。這個(gè)被Mobileye稱為“安全信封”的安全層扮演著“監(jiān)督”的角色，幫助自動(dòng)駕駛汽車分辨出安全與危險(xiǎn)之間的界限。
對(duì)于Shashua在博客中說“Mobileye將提出駕駛行為的系統(tǒng)與批準(zhǔn)（或拒絕）駕駛行動(dòng)的系統(tǒng)分離開來”的說法，卡內(nèi)基梅隆大學(xué)的安全專家Koopman表示：“這兩個(gè)系統(tǒng)一個(gè)像執(zhí)行者（Doer），一個(gè)像檢查者（Checker)?！?/p>
（來源: Edge Case Research)
根據(jù)Koopman的說法，執(zhí)行者系統(tǒng)負(fù)責(zé)實(shí)現(xiàn)正常的功能，而檢查系統(tǒng)負(fù)責(zé)安全。用Koopman的話來說，Mobileye的“安全信封”是“又一個(gè)眾所周知的安全技術(shù)”。
Koopman指出，使用已被充分理解和證明的安全技術(shù)是個(gè)好主意。他補(bǔ)充說：“這比創(chuàng)造一個(gè)新概念要好得多，因?yàn)樾赂拍钪锌赡艽嬖谏形窗l(fā)現(xiàn)的微妙缺陷。”
Koopman說，在創(chuàng)建模擬機(jī)器人系統(tǒng)時(shí)，他的研究團(tuán)隊(duì)采取了類似的方式。 在機(jī)器人系統(tǒng)的試驗(yàn)中，他發(fā)現(xiàn)了準(zhǔn)確感知很難實(shí)現(xiàn)。
在一篇采訪中, Koopman對(duì) Mobileye 在自己的安全性計(jì)算所基于的假設(shè)采取公開透明的態(tài)度，表示了贊揚(yáng)。不過，他也對(duì)于兩套傳感系統(tǒng)的故障率彼此相互獨(dú)立的假設(shè)，表示懷疑。
Koopman表示：很難相信激光雷達(dá)和雷達(dá)的故障率之間互不依賴，并且會(huì)像他們所解釋的那樣最終可以被證實(shí)。在自動(dòng)駕駛領(lǐng)域，僅僅依靠假設(shè)的系統(tǒng)是不夠的，這些假設(shè)必須首先被證實(shí)。但是我們現(xiàn)在就幾乎可以肯定的有些假設(shè)是錯(cuò)的, 作者可能甚至不知道他們當(dāng)時(shí)為什么會(huì)那樣假設(shè)。實(shí)際上，要實(shí)現(xiàn)真正的冗余是一個(gè)非常棘手的事情。在冗余的傳感器之間，即使有一個(gè)非常小的故障，也可能導(dǎo)致分析失效。
他在博客中寫道：根據(jù)Moibleye的邏輯，如果你用兩個(gè)完全獨(dú)立的傳感系統(tǒng)來感知一個(gè)人，那么感知一定不會(huì)失敗。如果任何一個(gè)傳感器感知到了這個(gè)人，那么它就會(huì)采取行動(dòng)進(jìn)行操作。 同時(shí)，由于獨(dú)立性，系統(tǒng)會(huì)認(rèn)為：如果兩個(gè)傳感器都沒感知到這個(gè)人，這種情況肯定是不成立的。 這是一個(gè)合理而常用的理論。
但問題是，如果兩個(gè)傳感系統(tǒng)由于某種原因而都沒有感知到這個(gè)人，那該怎么辦？ 如果這兩個(gè)傳感系統(tǒng)是光學(xué)傳感器，那么它們可能同時(shí)被路上的泥巴蓋住了，或是同時(shí)在圖書館功能上存在軟件缺陷，或是同時(shí)遇到電源故障，或是在訓(xùn)練時(shí)同時(shí)遭遇了未知的數(shù)據(jù)錯(cuò)誤。在這些情況下，兩個(gè)傳感系統(tǒng)可能都沒能感知到這個(gè)人。當(dāng)然，你可以嘗試減輕這些問題，但是要處理的東西太多了。
Koopman總結(jié)說：“簡而言之，完美的冗余是一件非常難以實(shí)現(xiàn)的事情。 值得注意的是，Mobileye將冗余和傳感器多樣性區(qū)分開來。 對(duì)他們來說，這是一個(gè)合理的事情，也是重要的考慮因素。 但這個(gè)事情，遠(yuǎn)遠(yuǎn)沒有這么簡單。
換句話說，不管是對(duì)于Mobileye，還是對(duì)于其他自動(dòng)駕駛行業(yè)玩家來說，要完美解決相關(guān)感知故障問題，仍然道阻且長。
去年秋天，Mobileye發(fā)表了一篇題為《安全和可升級(jí)的自動(dòng)駕駛汽車模型（On a Formal Model of Safe and Scalable Self-Driving Cars）》的技術(shù)論文。
這篇論文引起了爭(zhēng)議，因?yàn)樗鼣嘌?，這個(gè)行業(yè)需要一個(gè)數(shù)學(xué)模型，這樣在事故發(fā)生時(shí)，可以免除自動(dòng)駕駛汽車的責(zé)任。因此，自動(dòng)駕駛需要遵循一套“預(yù)先確定的錯(cuò)誤規(guī)則”。
目前，Mobileye正在開發(fā)一種數(shù)學(xué)公式模型，用于精確定義各種車輛在特定的碰撞事故中發(fā)生的故障。Mobileye在論文中有很大一部分都在闡述該公司制定的確切規(guī)則，這一規(guī)則被他們稱為 RSS 框架。這一框架規(guī)定了自動(dòng)駕駛環(huán)境和過程中各類事物的規(guī)則，比如跟隨距離、行走優(yōu)先權(quán)以及對(duì)被遮擋的物體怎樣保持警惕。
Mobileye 公司說，一旦有了這個(gè)模型，它們就可以從數(shù)學(xué)的角度證明，根據(jù)Mobileye的自動(dòng)駕駛導(dǎo)航算法所作出的對(duì)自動(dòng)駕駛汽車的操作指示不會(huì)導(dǎo)致碰撞等事故的發(fā)生。
學(xué)術(shù)界的安全專家們?yōu)镸obileye進(jìn)行了辯護(hù)，他們指出，自動(dòng)駕駛行業(yè)需要對(duì)自動(dòng)駕駛汽車的安全采取嚴(yán)格的措施，并贊揚(yáng)了Mobileye敢于嘗試解決棘手問題的態(tài)度。
Mobileye似乎以一種更溫和、更平易近人的方式來構(gòu)建RSS框架。Mobileye將RSS框架描述為“一種正式的、可驗(yàn)證的系統(tǒng)。RSS框架規(guī)范了在一系列復(fù)雜路況中的人類判斷，明確界定了什么是安全駕駛、什么是魯莽駕駛。
對(duì)于人類駕駛員來說，碰撞和其它事故責(zé)任的解釋并不是一成不變的。駕駛員的失誤，都是根據(jù)事件發(fā)生后不完整的信息和各類因素來判定的。
對(duì)于機(jī)器來說，這些定義可以是正式的、精準(zhǔn)的。機(jī)器擁有周圍環(huán)境的高度精確信息，機(jī)器知道其反應(yīng)時(shí)間和制動(dòng)力，并且永遠(yuǎn)不會(huì)分心、走神或是被干擾。通過機(jī)器，我們不需要在事后解釋其行為。
但是，就算我們假設(shè)這個(gè)數(shù)學(xué)模型是無可挑剔的，也并不能證明使用該模型算法的自動(dòng)駕駛汽車永遠(yuǎn)不會(huì)造成任何事故。因?yàn)樵撃Ｐ徒⑺诘募僭O(shè)是一個(gè)永遠(yuǎn)無法證明是現(xiàn)實(shí)的“現(xiàn)實(shí)世界”。另外，工程師在將理論模型轉(zhuǎn)化為工作代碼時(shí)難免會(huì)犯錯(cuò)誤。
Koopman表示自己非常贊同“執(zhí)行者”和“檢查者”的這種方式。但是，他解釋說：你需要一種方法來定義“安全”，這樣“檢查者”才能順利工作。要解決這個(gè)問題，就需要用到RSS框架。因此，RSS框架可以用來定義安全。
然而，Koopman并不清楚Mobileye對(duì)RSS框架的最新定義是否與去年秋天發(fā)表的技術(shù)論文中的RSS框架定義相同。
不過，Mobileye 對(duì)于 RSS 框架的定位不止于此，他們想要讓 RSS 框架最終成為現(xiàn)實(shí)世界測(cè)試的替代方案，他們聲稱利用這種方法無需進(jìn)行大量測(cè)試就可以證明一輛自動(dòng)駕駛汽車比人類駕駛者安全 1000 倍。然而，有很多自動(dòng)駕駛汽車可能會(huì)反映錯(cuò)誤的情況，這都沒有被 Mobileye 的理論模型考慮進(jìn)去。
Mobileye提出了兩個(gè)獨(dú)立的系統(tǒng)（—個(gè)是基于AI的駕駛系統(tǒng)，另一個(gè)是基于RSS框架的駕駛系統(tǒng)），那么這兩個(gè)系統(tǒng)分別在哪個(gè)硬件上運(yùn)行？雖然這兩個(gè)系統(tǒng)都可以在EyeQ系列芯片上運(yùn)行，但是可以合理地假設(shè)有兩個(gè)獨(dú)立的芯片在起作用。
Galves說，基于增強(qiáng)學(xué)習(xí)的駕駛系統(tǒng)由感知系統(tǒng)生成，只能在Mobileye的EyeQ系列芯片上運(yùn)行。但是，RSS框架可以在多種不同的硬件解決方案上實(shí)現(xiàn)。
他補(bǔ)充說：“這項(xiàng)功能非常重要，因?yàn)槲覀兿Ｍ鸕SS系統(tǒng)能夠成為自動(dòng)駕駛行業(yè)主導(dǎo)的標(biāo)準(zhǔn)。同時(shí)，我們需要保證整個(gè)行業(yè)不需要使用專門的Mobileye硬件或Mobileye駕駛系統(tǒng)算法，也能從RSS框架中獲益?！?/p>
Koopman同意Galves的觀點(diǎn)。讓“執(zhí)行者”和“檢查者”相互獨(dú)立的一個(gè)關(guān)鍵優(yōu)勢(shì)是“執(zhí)行者”算法在需要時(shí)可以繼續(xù)改進(jìn)，而不需要經(jīng)過重新驗(yàn)證的過程。同時(shí)，“檢查者”將在一個(gè)更高的安全集成水平（SIL）芯片上運(yùn)行，其駕駛系統(tǒng)算法可以與行業(yè)標(biāo)準(zhǔn)持平。
參考資料：
Doer/Checker for Safety Envelopes：https://youtu.be/pp_Tuu4Qzgg
Safety Envelopes：https://youtu.be/oIQDtprFhYY
論文 On a Formal Model of Safe and Scalable Self-Driving Cars 地址：https://arxiv.org/pdf/1708.06374.pdf
雷鋒網(wǎng)推薦閱讀：
Mobileye CEO 定義了全新的安全標(biāo)準(zhǔn)，它真的靠譜嗎？
Mobileye CEO Amnon Shashua撰文：數(shù)學(xué)模型如何規(guī)范自動(dòng)駕駛困境？
想靠數(shù)學(xué)模型解決自動(dòng)駕駛時(shí)代的事故問題，Mobileye 的工程師思維“很傻很天真”？
雷鋒網(wǎng)注：6 項(xiàng)會(huì)員專享特權(quán)，全年 100 期精華內(nèi)容，帶你深入淺出看懂自動(dòng)駕駛。如果想加入雷鋒網(wǎng)「新智駕會(huì)員計(jì)劃」，歡迎點(diǎn)擊鏈接 ：http://www.ozgbdpf.cn/aidrive/vip 或掃描海報(bào)下方二維碼了解詳情。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
