Mobileye闖紅燈之後，這些問題值得我們深思

說到自動駕駛，我們不得不提到Mobileye的大名。毋庸置疑，這家視覺技術公司堪稱行業翹楚。

前不久，Mobileye宣布将在耶路撒冷公路上開始測試多達 100 輛汽車，并邀請媒體試乘了Mobileye自動駕駛汽車，該車内部配備12台攝像頭，但沒有其他傳感器。

毋庸置疑，這次媒體活動對Mobileye是一個絕佳機會——展示其團隊在自動駕駛汽車開發方面的進展，并公開解釋其稱為RSS架構（Responsibility-Sensitive Safety：責任敏感型安全架構）的汽車安全概念。很明顯，RSS架構的目标是讓自動駕駛汽車在公共道路上安全駕駛。

但出乎意料的是，在這次測試中，Mobileye自動駕駛汽車居然在衆目睽睽之下闖了紅燈！

事情發生後，Mobileye CEO Shashua 也趕緊出面解釋，他表示，電視台錄影機上的無線收發裝置産生了電磁幹擾，直接影響了交通信号燈的收發機，導緻信号異常。雖然車輛已經準确判斷信号燈轉紅，但它卻無視了該資訊，直接按着收發機發出的信号行駛了。

雖然Shashua 表示，Mobileye 已經對這一問題進行了修複。但這件事情告訴我們：自動駕駛汽車行業仍然有很長一段路要走。

計算機視覺：目前的唯一方法

幾個月來，科技公司、Tier 1和汽車廠商一直在談論“傳感器融合”問題，即結合不同的傳感器技術，幫助自動駕駛汽車分辨出道路上突然出現的物體。 盡管在業内，“傳感器融合”已經變成了一個共識的趨勢，但業界并沒有驗證傳感器是否能夠準确地感覺資訊，更不用說多個傳感器感覺的資訊是否能夠在不出現任何軟體故障的情況下，正确融合。

如今，大多數從事完全自動駕駛技術的公司都在大量應用雷射雷達傳感器技術, 但是 Mobileye 還依然堅持僅僅依靠攝像頭進行導航。

不過，Mobileye公司的計劃并非一定要堅持隻依靠攝像頭來實作他們的完全自動駕駛。恰恰相反, 他們測試一個隻需攝像頭的系統隻是為了驗證其技術棧（智能互聯産品所需的整套全新的技術基礎設施）的安全性，這一步也正是他們在完全自動駕駛領域的“非主流”開發方法的一部分。

英特爾公司進階副總裁、Mobileye首席執行官兼首席技術官Amnon Shashua在部落格中寫道：“僅用攝像頭是我們實作我們稱之為‘真正的備援’感應的政策。”

他在部落格中寫道：真正的備援提供了兩大優勢：

第一，驗證感覺系統所需的資料量會大大降低；

第二，在某個獨立系統發生故障的情況下，車輛可以繼續安全運作， 而融合系統的車輛需要立即停止駕駛。

但是，Mobileye的終極目标，并不是隻有攝像頭的系統。 Mobileye的進階副總裁兼首席聯絡官Dan Galv表示：Mobileye計劃開發各種測試車輛，并在未來幾周内添加不同類型的傳感器，包括雷達和雷射雷達。這是開發的第二階段的計劃。

雖然在Mobileye最初的傳感器系統計劃中，傳感器互相獨立，每個傳感系統都可以支援完全自主駕駛。但是，Galves強調：“Mobileye‘不排除早期傳感器融合的想法’”。

對于業界對自動駕駛早期與晚期傳感器融合的争論，Galves早就意識到了。他說：“不管是早期和還是晚期的融合方法，我們都将進行實驗。”

我們能相信AI嗎？

值得注意的是，最新的Mobileye自動駕駛測試車輛都配備了“安全信封”（a formal safety envelope）。

根據Galves的說法，Mobileye希望其完全自動駕駛汽車可以比人為驅動的車輛更快、更順暢、更經濟地從出發地 A 點到達目的地 B 點，而且它可以駕馭任何路況。

另一個目标是：無需在公共道路上進行上億千米的驗證測試，而是用一種理論驗證的透明方法來實作比人為驅動的汽車的安全性系數高 1000 倍的完全無人駕駛汽車。

他承認這些條件中的一些互相沖突，他解釋說，Mobileye正在安裝兩個獨立的系統：基于強化學習的AI系統，該系統提出了自動駕駛汽車的接下來的計劃；以及基于“安全層” 的正式确定性系統，其可以否定“不安全”的自動駕駛決策。

換句話說，Mobileye并不完全信任AI來真正學習“魯莽”和“安全”之間的差別。

Galves表示：Mobileye并沒有花費巨大精力來優化AI算法，而是引入決策系統來補償“機率AI系統”。這個被Mobileye稱為“安全信封”的安全層扮演着“監督”的角色，幫助自動駕駛汽車分辨出安全與危險之間的界限。

一個是執行者（Doer），一個檢查者（Checker)？

對于Shashua在部落格中說“Mobileye将提出駕駛行為的系統與準許（或拒絕）駕駛行動的系統分離開來”的說法，卡内基梅隆大學的安全專家Koopman表示：“這兩個系統一個像執行者（Doer），一個像檢查者（Checker)。”

（來源: Edge Case Research)

根據Koopman的說法，執行者系統負責實作正常的功能，而檢查系統負責安全。用Koopman的話來說，Mobileye的“安全信封”是“又一個衆所周知的安全技術”。

Koopman指出，使用已被充分了解和證明的安全技術是個好主意。他補充說：“這比創造一個新概念要好得多，因為新概念中可能存在尚未發現的微妙缺陷。”

真正的備援

Koopman說，在建立模拟機器人系統時，他的研究團隊采取了類似的方式。 在機器人系統的試驗中，他發現了準确感覺很難實作。

在一篇采訪中, Koopman對 Mobileye 在自己的安全性計算所基于的假設采取公開透明的态度，表示了贊揚。不過，他也對于兩套傳感系統的故障率彼此互相獨立的假設，表示懷疑。

Koopman表示：很難相信雷射雷達和雷達的故障率之間互不依賴，并且會像他們所解釋的那樣最終可以被證明。在自動駕駛領域，僅僅依靠假設的系統是不夠的，這些假設必須首先被證明。但是我們現在就幾乎可以肯定的有些假設是錯的, 作者可能甚至不知道他們當時為什麼會那樣假設。實際上，要實作真正的備援是一個非常棘手的事情。在備援的傳感器之間，即使有一個非常小的故障，也可能導緻分析失效。

他在部落格中寫道：根據Moibleye的邏輯，如果你用兩個完全獨立的傳感系統來感覺一個人，那麼感覺一定不會失敗。如果任何一個傳感器感覺到了這個人，那麼它就會采取行動進行操作。 同時，由于獨立性，系統會認為：如果兩個傳感器都沒感覺到這個人，這種情況肯定是不成立的。 這是一個合理而常用的理論。

但問題是，如果兩個傳感系統由于某種原因而都沒有感覺到這個人，那該怎麼辦？ 如果這兩個傳感系統是光學傳感器，那麼它們可能同時被路上的泥巴蓋住了，或是同時在圖書館功能上存在軟體缺陷，或是同時遇到電源故障，或是在訓練時同時遭遇了未知的資料錯誤。在這些情況下，兩個傳感系統可能都沒能感覺到這個人。當然，你可以嘗試減輕這些問題，但是要處理的東西太多了。

Koopman總結說：“簡而言之，完美的備援是一件非常難以實作的事情。 值得注意的是，Mobileye将備援和傳感器多樣性區分開來。 對他們來說，這是一個合理的事情，也是重要的考慮因素。 但這個事情，遠遠沒有這麼簡單。

換句話說，不管是對于Mobileye，還是對于其他自動駕駛行業玩家來說，要完美解決相關感覺故障問題，仍然道阻且長。

RSS 架構

去年秋天，Mobileye發表了一篇題為

《安全和可更新的自動駕駛汽車模型（On a Formal Model of Safe and Scalable Self-Driving Cars）》

的技術論文。

這篇論文引起了争議，因為它斷言，這個行業需要一個數學模型，這樣在事故發生時，可以免除自動駕駛汽車的責任。是以，自動駕駛需要遵循一套“預先确定的錯誤規則”。

目前，Mobileye正在開發一種數學公式模型，用于精确定義各種車輛在特定的碰撞事故中發生的故障。Mobileye在論文中有很大一部分都在闡述該公司制定的确切規則，這一規則被他們稱為 RSS 架構。這一架構規定了自動駕駛環境和過程中各類事物的規則，比如跟随距離、行走優先權以及對被遮擋的物體怎樣保持警惕。

Mobileye 公司說，一旦有了這個模型，它們就可以從數學的角度證明，根據Mobileye的自動駕駛導航算法所作出的對自動駕駛汽車的操作訓示不會導緻碰撞等事故的發生。

學術界的安全專家們為Mobileye進行了辯護，他們指出，自動駕駛行業需要對自動駕駛汽車的安全采取嚴格的措施，并贊揚了Mobileye敢于嘗試解決棘手問題的态度。

Mobileye似乎以一種更溫和、更平易近人的方式來建構RSS架構。Mobileye将RSS架構描述為“一種正式的、可驗證的系統。RSS架構規範了在一系列複雜路況中的人類判斷，明确界定了什麼是安全駕駛、什麼是魯莽駕駛。

對于人類駕駛員來說，碰撞和其它事故責任的解釋并不是一成不變的。駕駛員的失誤，都是根據事件發生後不完整的資訊和各類因素來判定的。

對于機器來說，這些定義可以是正式的、精準的。機器擁有周圍環境的高度精确資訊，機器知道其反應時間和制動力，并且永遠不會分心、走神或是被幹擾。通過機器，我們不需要在事後解釋其行為。

但是，就算我們假設這個數學模型是無可挑剔的，也并不能證明使用該模型算法的自動駕駛汽車永遠不會造成任何事故。因為該模型建立所基于的假設是一個永遠無法證明是現實的“現實世界”。另外，工程師在将理論模型轉化為工作代碼時難免會犯錯誤。

RSS的作用

Koopman表示自己非常贊同“執行者”和“檢查者”的這種方式。但是，他解釋說：你需要一種方法來定義“安全”，這樣“檢查者”才能順利工作。要解決這個問題，就需要用到RSS架構。是以，RSS架構可以用來定義安全。

然而，Koopman并不清楚Mobileye對RSS架構的最新定義是否與去年秋天發表的技術論文中的RSS架構定義相同。

不過，Mobileye 對于 RSS 架構的定位不止于此，他們想要讓 RSS 架構最終成為現實世界測試的替代方案，他們聲稱利用這種方法無需進行大量測試就可以證明一輛自動駕駛汽車比人類駕駛者安全 1000 倍。然而，有很多自動駕駛汽車可能會反映錯誤的情況，這都沒有被 Mobileye 的理論模型考慮進去。

那麼RSS在哪裡運作？

Mobileye提出了兩個獨立的系統（—個是基于AI的駕駛系統，另一個是基于RSS架構的駕駛系統），那麼這兩個系統分别在哪個硬體上運作？雖然這兩個系統都可以在EyeQ系列晶片上運作，但是可以合理地假設有兩個獨立的晶片在起作用。

Galves說，基于增強學習的駕駛系統由感覺系統生成，隻能在Mobileye的EyeQ系列晶片上運作。但是，RSS架構可以在多種不同的硬體解決方案上實作。

他補充說：“這項功能非常重要，因為我們希望RSS系統能夠成為自動駕駛行業主導的标準。同時，我們需要保證整個行業不需要使用專門的Mobileye硬體或Mobileye駕駛系統算法，也能從RSS架構中獲益。”

Koopman同意Galves的觀點。讓“執行者”和“檢查者”互相獨立的一個關鍵優勢是“執行者”算法在需要時可以繼續改進，而不需要經過重新驗證的過程。同時，“檢查者”将在一個更高的安全內建水準（SIL）晶片上運作，其駕駛系統算法可以與行業标準持平。

原文釋出時間為：2018-05-29

本文作者：Misty

本文來自雲栖社群合作夥伴“

雷鋒網

”，了解相關資訊可以關注“

”。