雷鋒網(wǎng)按：Mobileye 最近發(fā)表的論文《On a Formal Model of Safe and Scalable Self-Driving Cars》（意為“論安全和可大規(guī)模部署自動(dòng)駕駛汽車的形式化模型”）可謂一石激起千層浪，它觸動(dòng)了整個(gè)自動(dòng)駕駛行業(yè)的敏感神經(jīng)。

據(jù)雷鋒網(wǎng)了解，這篇論文引起的爭(zhēng)論核心問題是： Mobileye 斷言自動(dòng)駕駛行業(yè)需要一個(gè)數(shù)學(xué)模型，只要自動(dòng)駕駛汽車能遵守事先定好的清晰規(guī)則，就能一勞永逸的解決與自動(dòng)駕駛汽車相關(guān)的交通事故問題。但是，這個(gè)方法真的有效嗎？

Mobileye 的論文一出，馬上引發(fā)了業(yè)內(nèi)大量的質(zhì)疑，比如“對(duì)一個(gè)行業(yè)來說，自己給產(chǎn)品定義什么是安全真的是個(gè)好主意嗎？”和“安全和所謂的責(zé)任劃分是一回事嗎？”

為了詳細(xì)求證，EE Times 專門聯(lián)系了多位學(xué)術(shù)專家，他們的研究領(lǐng)域橫跨機(jī)器人、嵌入式計(jì)算系統(tǒng)、自動(dòng)駕駛汽車安全和人機(jī)交互等。在下文中，筆者總結(jié)了這些專家對(duì) Mobileye 論文的剖析和他們對(duì)其中觀點(diǎn)的看法。此外，專家們還用自己獨(dú)特的視角為自動(dòng)駕駛行業(yè)的發(fā)展指了路。

從學(xué)術(shù)界的反應(yīng)來看，他們最初對(duì) Mobileye 論文的評(píng)價(jià)簡(jiǎn)直可以說是超乎尋常的積極。他們贊賞 Mobileye 的勇氣，這家以色列公司敢于“自揭傷疤”，直陳自動(dòng)駕駛行業(yè)的癥結(jié)所在，確實(shí)令人佩服。

在 Mobileye 的論文問題上，卡耐基梅隆大學(xué)的 Phil Koopman 教授表示：“總得來說，我認(rèn)為這可以算是業(yè)界首創(chuàng)，它用一種近似于嚴(yán)酷的方式談?wù)摿舜蠹乙恢闭谡谘谘诘淖詣?dòng)駕駛汽車安全問題。未來，每輛上路的自動(dòng)駕駛汽車都應(yīng)該清楚的知道到底什么可以做，什么不可以做。因此，我為這篇論文的作者鼓掌。”

杜克大學(xué)教授 Missy Cummings 同意這一觀點(diǎn)，她表示：“我很欣賞這篇論文，Mobileye 確實(shí)很有思想深度?！?/p>

不過，以上兩位教授還是覺得，Mobileye 的提議只是“第一步”。論文的內(nèi)容在現(xiàn)實(shí)世界執(zhí)行起來可能會(huì)有些困難，畢竟自動(dòng)駕駛汽車在很長(zhǎng)一段時(shí)間內(nèi)還是要在道路上與非自動(dòng)駕駛汽車和諧相處。Mobileye 的安全定義還是要根據(jù)現(xiàn)實(shí)情況做出調(diào)整。

對(duì)于這篇論文的價(jià)值，Koopman 表示：“第一次就能有如此水準(zhǔn)確實(shí)不容易。不過，這并非最終定案。未來在找到最佳解決方案前，我們會(huì)繼續(xù)嘗試各種不同的方案。”

在解釋文中提到的“安全”概念時(shí)，作者拋出了“可驗(yàn)證安全”的理念，如果按他們的方案走，至少自動(dòng)駕駛汽車無需為事故負(fù)責(zé)。

杜克大學(xué)的 Cummings 教授指出，所謂的“可驗(yàn)證安全”并非時(shí)髦新詞。多位學(xué)術(shù)專家已經(jīng)在自己的論文中提到了這一概念。

Cummings 認(rèn)為，“可驗(yàn)證安全”這一概念面臨的最棘手問題一直沒有改變，那就是“計(jì)算機(jī)科學(xué)家眼中的安全與測(cè)試工程師的可能對(duì)不上號(hào)。”

必須對(duì)各種假設(shè)產(chǎn)生質(zhì)疑

無論是 Koopman 還是 Cummings 都表示，Mobileye 的假設(shè)我們不能理所當(dāng)然的接受，它需要承受來自各方的質(zhì)疑。Koopman 指出，如果把背景放在現(xiàn)實(shí)世界中，其中的一些假設(shè)會(huì)讓人震驚。

在 Cummings 看來，Mobileye 的假設(shè)可操作性較差，首先軟件錯(cuò)誤就是我們無法承受的。而在論文中，有關(guān)安全問題作者這樣寫道：

“我們現(xiàn)在討論的是如何感應(yīng)出那些會(huì)導(dǎo)致不安全駕駛的錯(cuò)誤。就像此前所說的，我們推崇的是可驗(yàn)證安全。在這種指導(dǎo)思想下，自動(dòng)駕駛汽車肯定不會(huì)主動(dòng)引發(fā)事故。不過，硬件和軟件問題，如傳感器失靈和軟件錯(cuò)誤可能還是會(huì)造成事故發(fā)生，而我們的終極目標(biāo)就是讓事故發(fā)生幾率最小化?！?/em>

Cummings 質(zhì)疑 Mobileye 的說辭，她認(rèn)為軟件出錯(cuò)誤的幾率可沒有論文中說的那么低。報(bào)告顯示，因?yàn)檐浖栴}造成的自動(dòng)駕駛安全召回可是經(jīng)常發(fā)生。

Koopman 則更擔(dān)心激光雷達(dá)和毫米波雷達(dá)出問題。“我不敢相信激光雷達(dá)和毫米波雷達(dá)有論文中說的那么靠譜?！?/strong>他說道。“想讓人相信，Mobileye 必須在測(cè)試中證明這一點(diǎn)，而不是憑空臆想。同時(shí)，作者在論文中的推測(cè)也有許多是錯(cuò)漏百出，而他們自己都沒感覺到?！?/p>

在 Koopman 看來，這是安全的基礎(chǔ)。此外，自動(dòng)駕駛汽車廠商還要讓車輛時(shí)刻保持警惕，因?yàn)槁飞系摹绑@喜”可太多了。

如何定義安全

對(duì)于 Mobileye 對(duì)安全的定義，Koopman 倒不怎么擔(dān)心?！罢撐闹薪o了前提，那就是我們對(duì)于責(zé)任劃分有個(gè)嚴(yán)格的定義，這樣才能最終讓自動(dòng)駕駛汽車免受事故困擾?！盞oopman 解釋道。

Koopman 還表示：“從系統(tǒng)的角度來看，這樣的假設(shè)確實(shí)是安全的保證。如果路上的所有車都能遵守這樣的規(guī)則，道路肯定會(huì)變的相當(dāng)安全?！?/p>

由于擔(dān)心 Mobileye 提議的可操作性差，Koopman 再次強(qiáng)調(diào)稱：“認(rèn)識(shí)到它為什么行不通才是最重要的。當(dāng)然，從中我們還是能得出許多思考并學(xué)到很多經(jīng)驗(yàn)。”

自動(dòng)駕駛汽車學(xué)習(xí)與系統(tǒng)博弈？

對(duì)于 Mobileye 的提議，Koopman 還有一層擔(dān)心，他怕自動(dòng)駕駛汽車會(huì)學(xué)習(xí)與系統(tǒng)進(jìn)行博弈。

在非自動(dòng)駕駛時(shí)代，駕駛員成為老司機(jī)后總會(huì)找到交規(guī)的漏洞，偶爾占占漏洞的便宜也是人之常情。可以想象，那么聰明的自動(dòng)駕駛汽車恐怕也會(huì)像人一樣?；ㄕ小?/strong>

一般情況下，大家都會(huì)擔(dān)心人類駕駛員“整”自動(dòng)駕駛汽車，他們大可以找到自動(dòng)駕駛汽車車流中的空位插進(jìn)去，然后點(diǎn)幾腳剎車給自己留個(gè)大的行駛位。這樣一來，后面緊緊跟著的自動(dòng)駕駛汽車可能就會(huì)出危險(xiǎn)。不過，自動(dòng)駕駛汽車可能也會(huì)以其人之道還治其人之身，畢竟機(jī)器學(xué)習(xí)系統(tǒng)“腦力”超強(qiáng)，找個(gè)漏洞可是易如反掌。如果我們不能提前預(yù)判，到時(shí)可就麻煩了。

當(dāng)然，Koopman 也說不清漏洞到底在哪，但他強(qiáng)調(diào)，這一問題必須得多加考慮。

“蠻力”解決不了問題

在論文中，作者還大膽指出了自動(dòng)駕駛的一些謬誤。雖然這一主題業(yè)界很少討論，但文章還是警告稱，大部分自動(dòng)駕駛玩家使出的“蠻力”無法解決問題。

在論文中，作者寫道：

“眼下，大多數(shù)的方式都是在用‘蠻力’，它主要沿三個(gè)軸線發(fā)展：1.靠所謂‘計(jì)算密度’，也就是堆疊計(jì)算能力；2.靠高精地圖；3.靠傳感器規(guī)格的升級(jí)。這種方式看似可行，但在自動(dòng)駕駛汽車的普及上卻成了阻礙，畢竟計(jì)算能力、高精地圖的繪制和維護(hù)、傳感器都是真金白銀才能換來的?！?/em>

這三種方案確實(shí)能幫我們接近自動(dòng)駕駛，但想集齊這三顆“龍珠”幾乎是不可能的。在論文作者看來，缺乏安全和擴(kuò)展性標(biāo)準(zhǔn)會(huì)將現(xiàn)在一心撲在自動(dòng)駕駛上的汽車產(chǎn)業(yè)推向小眾，隨之而來的就是“自動(dòng)駕駛行業(yè)的寒冬?！?/p>

這篇論文的目的是提供一個(gè)形式化模型，幫助業(yè)界將安全和規(guī)?；瘍蓧K拼圖一起放進(jìn)自動(dòng)駕駛汽車的版圖。當(dāng)然，其終極目標(biāo)還是讓全社會(huì)接受，并支撐未來全球數(shù)百萬輛自動(dòng)駕駛汽車的安全運(yùn)行。

靠“蠻力”的解決方案其實(shí)有些想當(dāng)然，特別是在對(duì)待測(cè)試的問題上。像 Waymo 和特斯拉這樣的公司，每次標(biāo)榜自家自動(dòng)駕駛汽車的安全性時(shí)，首先就會(huì)提到它們積累的自動(dòng)駕駛測(cè)試?yán)锍獭?/strong>

Mobileye 注意到，現(xiàn)在大多數(shù)開發(fā)者依賴的數(shù)據(jù)密集型驗(yàn)證方式“并不可靠”。Koopman 同意這一點(diǎn)，他表示：“蠻力測(cè)試不會(huì)讓我們獲得充分的安全，自動(dòng)駕駛汽車的普及也就成了空話?！?/p>

在“安全”的問題上，Koopman 和 Mobileye 站在了一起，他認(rèn)為“如果你不能清楚準(zhǔn)確的解釋安全的意思，就不能斷言自己的自動(dòng)駕駛汽車是否足夠安全。因此我認(rèn)為安全的定義相當(dāng)重要?！辈贿^，Koopman 也批評(píng)了 Mobileye，他表示“安全與自動(dòng)駕駛無責(zé)不能等同，但這是個(gè)合理的開頭，我們要以此為基礎(chǔ)不斷進(jìn)步?！?/p>

打造一個(gè)安全的系統(tǒng)

當(dāng)然，即使搞清楚了到底什么是安全，自動(dòng)駕駛汽車的癥結(jié)也沒有完全解開。Koopman 表示：“你還是得打造一個(gè)真正安全的系統(tǒng)（Mobileye 認(rèn)為這意味著該系統(tǒng)永遠(yuǎn)不會(huì)犯錯(cuò)），它會(huì)努力避免犯錯(cuò)，漏洞也不再是問題。”

Koopman 指出，Mobileye 的“形式化方式和數(shù)學(xué)證明”有自己的優(yōu)點(diǎn)，它大體上能被證明是對(duì)的。不過，其缺點(diǎn)也很明顯，那就是其背后藏著各種潛在假設(shè)，這些假設(shè)在現(xiàn)實(shí)世界中可能就行不通。

自動(dòng)駕駛行業(yè)的下一步

對(duì)自動(dòng)駕駛行業(yè)來說，它首先需要討論的不只是灌入系統(tǒng)的是非觀，同時(shí)還得考慮解決方案在現(xiàn)實(shí)世界的可行性。

Koopman 表示：“駕駛中不犯錯(cuò)可沒那么簡(jiǎn)單，而司機(jī)的錯(cuò)誤可能會(huì)影響到身邊的其他車輛。舉例來說，如果 Mobileye 想要讓自動(dòng)駕駛汽車徹底免受事故困擾，它可能會(huì)故意修改程序，鉆交規(guī)的空子?！?/p>

總得來說，自動(dòng)駕駛汽車與有人駕駛汽車的互動(dòng)相當(dāng)關(guān)鍵，它也是這個(gè)行業(yè)成敗與否的壓倉(cāng)石之一。

此外，Mobileye 在論文中給了一個(gè)方程式，它能算出兩輛車之間的安全距離。對(duì)此，Koopman 有自己的疑問，人類怎么可能憑肉眼和感覺精確的計(jì)算出這個(gè)距離到底有多遠(yuǎn)呢？

對(duì)于該問題，Koopman 的解釋如下：

“如果自動(dòng)駕駛汽車需要有個(gè)安全距離，那么在高峰期時(shí)其他車輛肯定不會(huì)浪費(fèi)它周邊的寶貴地盤，在這樣的情況下一旦發(fā)生事故，是不是就意味著該人類司機(jī)倒霉？如果這樣的交規(guī)能出臺(tái)，恐怕會(huì)被罵死吧？”

在處理類似問題時(shí)，我們不能“很傻很天真”，認(rèn)清現(xiàn)實(shí)做出相應(yīng)的妥協(xié)才能讓人類與機(jī)器人和諧相處。

“在實(shí)際駕駛中，我認(rèn)為駕駛員的很多動(dòng)作都是建立在對(duì)其他駕駛員行為的假設(shè)之上的。如果嚴(yán)格按照規(guī)則來走，自動(dòng)駕駛汽車在非自動(dòng)駕駛汽車的‘包圍’中可能會(huì)遇到麻煩?！盞oopman 補(bǔ)充?！皳Q句話來說，如果自動(dòng)駕駛汽車經(jīng)常發(fā)生事故，抱怨人是沒用的，將‘黑鍋’甩在規(guī)則頭上顯然更合適?！?/p>

Cummings 則相信，在自動(dòng)駕駛汽車正式上路前，該行業(yè)還有許多遺留問題需要一一解決。

最近，她還圍繞自動(dòng)駕駛汽車的認(rèn)證問題寫了一本書，有趣的內(nèi)容摘錄如下：

“如果對(duì)自動(dòng)駕駛汽車的‘身體’進(jìn)行評(píng)估，就會(huì)發(fā)現(xiàn)它們的視覺系統(tǒng)還是有很多弱點(diǎn)，這一論斷在日常的測(cè)試中也已經(jīng)得到了證實(shí)。這樣的問題不但是由于傳感器的限制，還在于軟件的后加工機(jī)制，它給黑客留了不少發(fā)揮空間?！?/em>

鑒于感知系統(tǒng)是自動(dòng)駕駛汽車的心臟，一旦系統(tǒng)出了漏洞，會(huì)造成巨大的隱患，因此對(duì)系統(tǒng)進(jìn)行詳盡的測(cè)試相當(dāng)重要。

除此之外，Cummings 還相信，人類駕駛員的知識(shí)體系也與安全駕駛息息相關(guān)，在自動(dòng)駕駛汽車的感知系統(tǒng)無法判斷時(shí)，它將起到保駕護(hù)航的作用。

不過，在 Cummings 看來，最重要的還是危機(jī)處理能力，自動(dòng)駕駛汽車必須在各種千鈞一發(fā)的危險(xiǎn)情況下證明自己力挽狂瀾的能力。

“由于其感知系統(tǒng)弱點(diǎn)頗多，因此工程師和監(jiān)管者都必須熟知自動(dòng)駕駛汽車上的概率算法到底如何感知并緩和危機(jī)?！盋ummings 補(bǔ)充道。

不過，這些問題也只是提出來罷了，畢竟能解決它們的“可解釋 AI”研究現(xiàn)在才剛剛起步。

Cummings 最擔(dān)心的還是行業(yè)最低安全標(biāo)準(zhǔn)的缺位，廠商們暫時(shí)還沒有著手進(jìn)行極端情況的測(cè)試。

“在測(cè)試方案的制定上，我們還有許多工作要做。此外，人類在汽車和飛機(jī)上的駕駛經(jīng)驗(yàn)也是自動(dòng)駕駛汽車必須學(xué)習(xí)的。”Cummings 總結(jié)道。

雷鋒網(wǎng)推薦閱讀：

想靠數(shù)學(xué)模型解決自動(dòng)駕駛時(shí)代的事故問題，Mobileye 的工程師思維“很傻很天真”？

Mobileye 論文下載地址：https://arxiv.org/pdf/1708.06374.pdf

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。