Mobileye闖紅燈之後，這些問題值得我們深思

文 | Misty

來自新智駕（AI-Drive）的報導

新智駕按：Mobileye闖紅燈之後，這些問題值得我們深思。

說到自動駕駛，我們不得不提到Mobileye的大名。毋庸置疑，這家視覺技術公司堪稱行業翹楚。

前不久，Mobileye宣布將在耶路撒冷公路上開始測試多達 100 輛汽車，並邀請媒體試乘了Mobileye自動駕駛汽車，該車內部配備12台攝影頭，但沒有其他傳感器。

毋庸置疑，這次媒體活動對Mobileye是一個絕佳機會——展示其團隊在自動駕駛汽車開發方面的進展，並公開解釋其稱為RSS框架（Responsibility-Sensitive Safety：責任敏感型安全框架）的汽車安全概念。很明顯，RSS框架的目標是讓自動駕駛汽車在公共路線上安全駕駛。

但出乎意料的是，在這次測試中，Mobileye自動駕駛汽車居然在眾目睽睽之下闖了紅燈！

事情發生後，Mobileye CEO Shashua 也趕緊出面解釋，他表示，電視台攝影機上的無線收發裝置產生了電磁干擾，直接影響了交通信號燈的收發機，導致信號異常。雖然車輛已經準確判斷信號燈轉紅，但它卻無視了該資訊，直接按著收發機發出的信號行駛了。

雖然Shashua 表示，Mobileye 已經對這一問題進行了修複。但這件事情告訴我們：自動駕駛汽車行業仍然有很長一段路要走。

電腦視覺：目前的唯一方法

幾個月來，科技公司、Tier 1和汽車廠商一直在談論“傳感器融合”問題，即結合不同的傳感器技術，幫助自動駕駛汽車分辨出路線上突然出現的物體。 儘管在業內，“傳感器融合”已經變成了一個共識的趨勢，但業界並沒有驗證傳感器是否能夠準確地感知資訊，更不用說多個傳感器感知的資訊是否能夠在不出現任何軟體故障的情況下，正確融合。

如今，大多數從事完全自動駕駛技術的公司都在大量應用雷射雷達傳感器技術, 但是 Mobileye 還依然堅持僅僅依靠攝影頭進行導航。

不過，Mobileye公司的計劃並非一定要堅持隻依靠攝影頭來實現他們的完全自動駕駛。恰恰相反, 他們測試一個只需攝影頭的系統只是為了驗證其技術棧（智能互聯產品所需的整套全新的技術基礎設施）的安全性，這一步也正是他們在完全自動駕駛領域的“非主流”開發方法的一部分。

英特爾公司高級副總裁、Mobileye首席執行官兼首席技術官Amnon Shashua在部落格中寫道：“僅用攝影頭是我們實現我們稱之為‘真正的冗余’感應的策略。”

他在部落格中寫道：真正的冗余提供了兩大優勢：

第一，驗證感知系統所需的數據量會大大降低；

第二，在某個獨立系統發生故障的情況下，車輛可以繼續安全運行， 而融合系統的車輛需要立即停止駕駛。

但是，Mobileye的終極目標，並不是只有攝影頭的系統。 Mobileye的高級副總裁兼首席聯絡官Dan Galv表示：Mobileye計劃開發各種測試車輛，並在未來幾周內添加不同類型的傳感器，包括雷達和雷射雷達。這是開發的第二階段的計劃。

雖然在Mobileye最初的傳感器系統計劃中，傳感器相互獨立，每個傳感系統都可以支持完全自主駕駛。但是，Galves強調：“Mobileye‘不排除早期傳感器融合的想法’”。

對於業界對自動駕駛早期與晚期傳感器融合的爭論，Galves早就意識到了。他說：“不管是早期和還是晚期的融合方法，我們都將進行實驗。”

我們能相信AI嗎？

值得注意的是，最新的Mobileye自動駕駛測試車輛都配備了“安全信封”（a formal safety envelope）。

根據Galves的說法，Mobileye希望其完全自動駕駛汽車可以比人為驅動的車輛更快、更順暢、更經濟地從出發地 A 點到達目的地 B 點，而且它可以駕馭任何路況。

另一個目標是：無需在公共路線上進行上億千米的驗證測試，而是用一種理論驗證的透明方法來實現比人為驅動的汽車的安全性系數高 1000 倍的完全無人駕駛汽車。

他承認這些條件中的一些相互衝突，他解釋說，Mobileye正在安裝兩個獨立的系統：基於強化學習的AI系統，該系統提出了自動駕駛汽車的接下來的計劃；以及基於“安全層” 的正式確定性系統，其可以否定“不安全”的自動駕駛決策。

換句話說，Mobileye並不完全信任AI來真正學習“魯莽”和“安全”之間的區別。

Galves表示：Mobileye並沒有花費巨大精力來優化AI算法，而是引入決策系統來補償“概率AI系統”。這個被Mobileye稱為“安全信封”的安全層扮演著“監督”的角色，幫助自動駕駛汽車分辨出安全與危險之間的界限。

一個執行者（Doer），一個檢查者（Checker)？

對於Shashua在部落格中說“Mobileye將提出駕駛行為的系統與批準（或拒絕）駕駛行動的系統分離開來”的說法，卡內基梅隆大學的安全專家Koopman表示：“這兩個系統一個像執行者（Doer），一個像檢查者（Checker)。”

（來源: Edge Case Research)

根據Koopman的說法，執行者系統負責實現正常的功能，而檢查系統負責安全。用Koopman的話來說，Mobileye的“安全信封”是“又一個眾所周知的安全技術”。

Koopman指出，使用已被充分理解和證明的安全技術是個好主意。他補充說：“這比創造一個新概念要好得多，因為新概念中可能存在尚未發現的微妙缺陷。”

真正的冗余

Koopman說，在創建模擬機器人系統時，他的研究團隊采取了類似的方式。 在機器人系統的試驗中，他發現了準確感知很難實現。

在一篇採訪中, Koopman對 Mobileye 在自己的安全性計算所基於的假設采取公開透明的態度，表示了讚揚。不過，他也對於兩套傳感系統的故障率彼此相互獨立的假設，表示懷疑。

Koopman表示：很難相信雷射雷達和雷達的故障率之間互不依賴，並且會像他們所解釋的那樣最終可以被證實。在自動駕駛領域，僅僅依靠假設的系統是不夠的，這些假設必須首先被證實。

但是我們現在就幾乎可以肯定的有些假設是錯的, 作者可能甚至不知道他們當時為什麽會那樣假設。實際上，要實現真正的冗余是一個非常棘手的事情。在冗余的傳感器之間，即使有一個非常小的故障，也可能導致分析失效。

他在部落格中寫道：根據Moibleye的邏輯，如果你用兩個完全獨立的傳感系統來感知一個人，那麽感知一定不會失敗。如果任何一個傳感器感知到了這個人，那麽它就會采取行動進行操作。 同時，由於獨立性，系統會認為：如果兩個傳感器都沒感知到這個人，這種情況肯定是不成立的。 這是一個合理而常用的理論。

但問題是，如果兩個傳感系統由於某種原因而都沒有感知到這個人，那該怎麽辦？ 如果這兩個傳感系統是光學傳感器，那麽它們可能同時被路上的泥巴蓋住了，或是同時在圖書館功能上存在軟體缺陷，或是同時遇到電源故障，或是在訓練時同時遭遇了未知的數據錯誤。在這些情況下，兩個傳感系統可能都沒能感知到這個人。當然，你可以嘗試減輕這些問題，但是要處理的東西太多了。

Koopman總結說：“簡而言之，完美的冗余是一件非常難以實現的事情。 值得注意的是，Mobileye將冗余和傳感器多樣性區分開來。 對他們來說，這是一個合理的事情，也是重要的考慮因素。 但這個事情，遠遠沒有這麽簡單。

換句話說，不管是對於Mobileye，還是對於其他自動駕駛行業玩家來說，要完美解決相關感知故障問題，仍然道阻且長。

RSS 框架

去年秋天，Mobileye發表了一篇題為《安全和可更新的自動駕駛汽車模型（On a Formal Model of Safe and Scalable Self-Driving Cars）》的技術論文。

這篇論文引起了爭議，因為它斷言，這個行業需要一個數學模型，這樣在事故發生時，可以免除自動駕駛汽車的責任。因此，自動駕駛需要遵循一套“預先確定的錯誤規則”。

目前，Mobileye正在開發一種數學公式模型，用於精確定義各種車輛在特定的碰撞事故中發生的故障。Mobileye在論文中有很大一部分都在闡述該公司制定的確切規則，這一規則被他們稱為 RSS 框架。這一框架規定了自動駕駛環境和過程中各類事物的規則，比如跟隨距離、行走優先權以及對被遮擋的物體怎樣保持警惕。

Mobileye 公司說，一旦有了這個模型，它們就可以從數學的角度證明，根據Mobileye的自動駕駛導航算法所作出的對自動駕駛汽車的操作指示不會導致碰撞等事故的發生。

學術界的安全專家們為Mobileye進行了辯護，他們指出，自動駕駛行業需要對自動駕駛汽車的安全采取嚴格的措施，並讚揚了Mobileye敢於嘗試解決棘手問題的態度。

Mobileye似乎以一種更溫和、更平易近人的方式來構建RSS框架。Mobileye將RSS框架描述為“一種正式的、可驗證的系統。RSS框架規範了在一系列複雜路況中的人類判斷，明確界定了什麽是安全駕駛、什麽是魯莽駕駛。

對於人類駕駛員來說，碰撞和其它事故責任的解釋並不是一成不變的。駕駛員的失誤，都是根據事件發生後不完整的資訊和各類因素來判定的。

對於機器來說，這些定義可以是正式的、精準的。機器擁有周圍環境的高度精確資訊，機器知道其反應時間和製動力，並且永遠不會分心、走神或是被干擾。通過機器，我們不需要在事後解釋其行為。

但是，就算我們假設這個數學模型是無可挑剔的，也並不能證明使用該模型算法的自動駕駛汽車永遠不會造成任何事故。因為該模型建立所基於的假設是一個永遠無法證明是現實的“現實世界”。另外，工程師在將理論模型轉化為工作代碼時難免會犯錯誤。

RSS的作用

Koopman表示自己非常讚同“執行者”和“檢查者”的這種方式。但是，他解釋說：你需要一種方法來定義“安全”，這樣“檢查者”才能順利工作。要解決這個問題，就需要用到RSS框架。因此，RSS框架可以用來定義安全。

然而，Koopman並不清楚Mobileye對RSS框架的最新定義是否與去年秋天發表的技術論文中的RSS框架定義相同。

不過，Mobileye 對於 RSS 框架的定位不止於此，他們想要讓 RSS 框架最終成為現實世界測試的替代方案，他們聲稱利用這種方法無需進行大量測試就可以證明一輛自動駕駛汽車比人類駕駛者安全 1000 倍。然而，有很多自動駕駛汽車可能會反映錯誤的情況，這都沒有被 Mobileye 的理論模型考慮進去。

那麽RSS在哪裡運行？

Mobileye提出了兩個獨立的系統（—個是基於AI的駕駛系統，另一個是基於RSS框架的駕駛系統），那麽這兩個系統分別在哪個硬體上運行？雖然這兩個系統都可以在EyeQ系列芯片上運行，但是可以合理地假設有兩個獨立的芯片在起作用。

Galves說，基於增強學習的駕駛系統由感知系統生成，只能在Mobileye的EyeQ系列芯片上運行。但是，RSS框架可以在多種不同的硬體解決方案上實現。

他補充說：“這項功能非常重要，因為我們希望RSS系統能夠成為自動駕駛行業主導的標準。同時，我們需要保證整個行業不需要使用專門的Mobileye硬體或Mobileye駕駛系統算法，也能從RSS框架中獲益。”

Koopman同意Galves的觀點。讓“執行者”和“檢查者”相互獨立的一個關鍵優勢是“執行者”算法在需要時可以繼續改進，而不需要經過重新驗證的過程。同時，“檢查者”將在一個更高的安全集成水準（SIL）芯片上運行，其駕駛系統算法可以與行業標準持平。【完】

歡迎在新浪微博、網易號、今日頭條、天天快報、UC 頭條、搜狐號、一點資訊關注@新智駕。