2019年11月28日 | 没了安全保障，自动驾驶将一无是处

近日，美国国家运输安全委员会（National Transportation Safety Board，简称：NTSB）公布了对 2018 年美国亚利桑那州坦佩市一起自动驾驶汽车事故的最终调查结果，报告称“一系列的软件设计缺陷使得自动驾驶系统无法对违规横穿马路的行人作出正确反应，从而导致撞车事件发生。”

无辜的生命逝去理应得到缅怀，而“人为”的祸事更值得整个行业深刻反思。自动驾驶技术研发的初衷是为了大幅降低交通事故率，所以“安全”应该是贯穿这项新技术全生命周期的关键词：从系统开发设计到验证测试，再到自动驾驶汽车的商业化运营。此外，从技术创业公司到成熟的 OEM 和关键技术的各级供应商，制定可参考的、标准化的自动驾驶系统安全框架或指南是十分必要的事情。

7 月初，英特尔联合十家从事汽车制造和自动驾驶技术研发的企业，共同发布《自动驾驶安全白皮书》，提出“自动驾驶安全第一”框架。该框架以英特尔的责任敏感安全模型（RSS）为基础，能够为安全的自动驾驶汽车的设计、开发、验证和确认等各阶段提供指导。

英特尔联合十家从事汽车制造和自动驾驶技术研发的企业，共同发布《自动驾驶安全白皮书》

该白皮书主要由十二条安全自动驾驶汽车的指导原则以及践行该原则的必要步骤所构成。每一条原则均细化了安全的自动驾驶汽车所必备的一系列功能，并由此推导出了实现这些功能所必需的安全要素。其中，英特尔的 RSS 模型在“驾驶规划要素”的部分得到了重点强调。这一要素能够支持汽车制造商“创建一种零碰撞且合法的驾驶方案”，作为理解、预测和管理自动驾驶汽车行为方式并确保其遵守道路规则的一种手段，体现出了安全自动驾驶的最高原则。

英特尔的 RSS 模型在“驾驶规划要素”的部分得到了重点强调

RSS 模型推出于 2017 年，目的是为汽车行业提供一个“技术中立”的出发点，进而使全行业能够就自动驾驶汽车安全的具体定义与内涵达成一致。RSS 将人们对安全驾驶的概念具化为一个可验证的模型，该模型具有逻辑上可验证的规则，并为自动驾驶汽车的决策提供了一个“安全范围”。

“实现安全且负责的自动驾驶未来，关键所在，就是围绕自动驾驶汽车安全性开展行业协作并通过建立框架，来保障自动驾驶汽车的安全。”英特尔资深首席工程师兼英特尔子公司 Mobileye 自动驾驶汽车标准副总裁 Jack Weast 如是说，“这是一项具有开创性意义的工作，我们很荣幸能参与其中并作出贡献。我们也期待与更多的行业伙伴，围绕这一综合性框架以及英特尔的 RSS 模型，开展广泛合作。”

值得一提的是，该框架的提出将进一步推动 RSS 在全球范围内的推行和部署。目前，RSS 模型已经获得了科技公司百度、汽车零部件供应商法雷奥以及标准机构中国智能交通协会等组织的支持。

兼顾“安全”和“实用”

“利用自动驾驶技术来减少因交通事故而导致的伤亡”，但目前来看，恐怕要让人类彻底交出驾驶权之后，才可能实现“零碰撞零事故”的愿景。因为驾驶是一种风险相对很高的活动，事故有可能发生在自动驾驶汽车或人类驾驶汽车的任何一端。

理论上来看，搭载了摄像头、超声波、雷达等传感器的自动驾驶汽车，只要软件层不出错，在目标物感知和避障方面，机器应该是优于人的。但教会一辆自动驾驶汽车预测可能突然出现在车道中间的行人，依然是件很有挑战的事情。

自动驾驶汽车搭载的外部传感器布局图

人的直觉相对机器而言是有优势的。比如行驶在一个没有人行道的居民区里，安全起见，有些司机会自觉把车速降到 40 公里 / 小时以下。这并不是明文的交通规则强制要求的，但是常识教会人如何应对眼前的特殊场景。

但怎么才能让机器理解“小心驾驶”这个词的含义呢？这其实相当于把难题丢给了程序员，因为他们需要通过代码的方式将人类获得的常识进行编译，想方设法跨过横亘在人与机器两套思维系统中的鸿沟。最终通过数学公式化的表达，机器得到的指令可能只有“在住宅区行驶时保持安全速度”或“安全跟车距离”。

RSS 模型中对安全跟车距离的公式化定义

假设让一辆自动驾驶汽车保持 30 公里 / 小时的速度行驶，它走起来小心翼翼，尽力避开那些可能出现的事故风险。这种行为模式的确称得上是“谨慎驾驶”，但如此缓慢的速度对用户而言没有什么吸引力，也丧失了自动驾驶自身的实用性。而且表现过于谨慎的自动驾驶汽车还可能造成更严重的交通拥堵，甚至会因为表现“不正常”引发交通事故。

所以如何将人类的常识变成机器可以理解的语言，这本身十分困难。即便是将某些重要的安全规则编译为机器可执行的指令，在英特尔提出 RSS 模型之前，似乎也没有哪家公司针对这种人机思维隔阂的问题提出过可行性的解决方案。

再以跟车距离为例。

对人来说，哪怕是刚学会开车的新手，做到安全的跟车也不是件多难的事情。但如果把这个问题丢给计算机，可能就会因为要平衡各项因素而变得异常复杂。一套自动驾驶系统要做到安全跟车，既要考虑车速，不同道路的摩擦系数，还要考虑反应时间等等。所以工程师进行开发时，首要考虑的变量是：假设最坏的情况发生，自动驾驶汽车要保持怎样的距离才能最快刹停？

但问题是不同品牌的不同车型表现截然不同。比如某德系超跑的刹车性能参数是 12.57m/s2，而某日系车型则是 8.19m/s2。这个时候让自动驾驶汽车保持安全舒适的跟车距离就变得十分困难了。假设前车刹车性能更优，那一定要加倍小心才不会发生追尾事故。
与此同时，要设计出一套类人的自动驾驶系统并非不可能。只不过它势必会像人一样不能保证 100%的行

驶安全，而这样的系统显然是不会被大众所接受的。遗憾的是，目前整个业界也并没有给出一个合理的，可供自动驾驶汽车应用的跟车距离。虽然每条高速公路上都有明确的限速标志，但在这个问题上，各地的监管方并没有达成共识。

有意思的是，我们既希望自动驾驶汽车能够表现稳妥些，但关键时刻也希望它“不要怂”。确切地说我们希望机器能够像人一样开车，不闯祸的同时还能和其他道路使用者融洽相处。所以让自动驾驶汽车变成既安全又实用的存在，这绝非理论或哲学层面的讨论，而是如今自动驾驶系统开发人员正持续与之较量的技术和现实难题。

用数学公式定义安全

所以到底一套自动驾驶系统应该遵循怎样的设计规则才能做到比人类驾驶更安全？

纵观目前整个行业，英特尔可能是在自动驾驶汽车“安全与实用”问题上思考最多的一家科技公司，2017 年 10 月发布的责任敏感安全模型（RSS）是其目前大力推广的技术概念。英特尔认为自动驾驶汽车的决策必须符合人类判断的常识，因此将“危险情况”和“正确响应”等常识概念做了数学公式化设计，并建立了一个从数学上确保符合定义的系统，确保自动驾驶汽车不会招致车祸。

此前在接受媒体采访时，Jack Weast 曾指出，RSS 模型中对驾驶策略的定义是借助增强学习算法实现的，它的价值在于算法本身的奖励机制能够使计算机制定的驾驶策略更符合人类驾驶员的行为，因此可以做到定制化的应用。但由于整个 RSS 模型是借助数学公式来定义的，整个公式除部分定量外，其他都是可以根据不同国家交通情况进行自定义的变量，这也是为什么英特尔选择与清华大学、中科院自动化研究所合作的原因，即借助来自中国道路交通的数据集开发出适应中国驾驶环境的 RSS 模型。

不过 Weast 表示目前 RSS 仍无法覆盖所有的交通场景，所以需要车企、该领域的技术公司、监管部门以及其他相关各方一起对全自动驾驶汽车的安全验证框架做出有意义的讨论。

英特尔资深首席工程师兼英特尔子公司 Mobileye 自动驾驶汽车标准副总裁 Jack Weast

目前英特尔联合十家从事汽车制造和自动驾驶技术研发的企业，共同发布《自动驾驶安全白皮书》，提出“自动驾驶安全第一”框架，正是各方共同合作的初步成果。该框架以 RSS 为基础，目的是推动建立自动驾驶安全设计、开发、验证和确认等各阶段可参考的指导内容。

现在英特尔在以色列首都耶路撒冷开始进行搭载了 RSS 模型的自动驾驶路测，与百度和法雷奥正式签约，同时中国智能交通系统已批准成立工作组，负责将中国市场的 RSS 进行标准化。英特尔已经与世界各地政府和标准组织就 RSS 进行了交流，相信很快借助宝马、上汽等合作伙伴的力量，该模型也将很快在国内进行测试。
毋庸置疑，自动驾驶汽车一定要兼具安全和实用性。用户既要享受到舒适的乘坐体验，同时更要获得比人驾驶更高的安全体验。这需要整个行业参与者形成共识，“创造一种零碰撞且合法的驾驶方案”，作为理解、预测和管理自动驾驶汽车行为方式并确保其遵守道路规则的一种手段。

大数据的力量

建立了 RSS 模型，有了初期的合作伙伴，要真正实现安全的自动驾驶，还需要海量的数据进行对应研发的支持。英特尔希望对人类的驾驶数据进行分析并提取参数，随后应用至对应地区的自动驾驶软硬件系统开发当中。。

因为开车这件事其实映射出非常浓厚的国家文化，中国用户的开车方式一定和德国用户不同，所以对不同地区驾驶数据的研究最终会促进 RSS 模型的进一步优化和改善。

在刚刚过去的投资者峰会上，英特尔子公司 Mobileye 宣布与中国高端电动汽车品牌蔚来达成战略合作，双方将为中国和其他主要地区的消费市场开发高级别的自动驾驶汽车。与此同时，Mobileye 正在全球范围内建立商用的自动驾驶出租车车队。

之所以如此迅速投入到出行领域，在英特尔看来，通过重要的沙盒演练能够让基于自动驾驶的出行服务最终实现真正的商业化运营。而在极具挑战性的条件下（比如耶路撒冷、中国等地区错综复杂的交通状况）对车辆进行测试，能够让问题充分得到暴露，及早规避可能的安全隐患。

而最终英特尔希望整个行业能达成某些共识，让自动驾驶汽车的决策更符合人类判断的常识，开发出真正安全的自动驾驶系统。尽管很难，但作为首个提出“自动驾驶安全框架”概念的科技公司，这是一件值得挑战值得辛苦付出的事情。

需要指出的是，RSS 的独特优势在于，它能够让自动驾驶汽车天生拥有“老司机”般的驾驶能力，能够解决需要大量自动驾驶汽车行驶数据为基础，而仅凭几台测试车辆的力量却远远不够的难题。正如英特尔自动驾驶解决方案资深首席工程师兼首席系统架构师 Jack Weast 所说，“我们的全球合作伙伴采用 RSS 模型，并愿意在基于 RSS 模型的安全标准上投资，这说明，他们非常看好安全自动驾驶的未来前景。”

而在英特尔子公司 Mobileye 首席执行官兼首席技术官 Amnon Shashua 教授看来，“RSS 模型有能力成为自动驾驶安全的行业标准。通过在全球范围内的部署，英特尔进一步验证了 RSS 在应对不同地区路况时的可靠性。未来将进一步探索各地区的定制化发展路径，以此推动道路交通安全，推动自动驾驶落地。”