自動駕駛汽車時代的安全是有多安全

“我們不喜歡飛機(jī)艙意外出現(xiàn)漏洞；我們不喜歡橋梁坍塌；我們不喜歡核電站泄漏的放射性物質(zhì)。但是工程師們必須按照特定的規(guī)范設(shè)計東西，并且他們必須解決如何保證安全機(jī)制足夠安全的問題?！眹H風(fēng)險分析學(xué)會主席巴魯克·費斯科霍夫(Baruch Fischhoff)教授在著作《人類可接受風(fēng)險》中這樣描述。

在巴魯克·費斯科霍夫看來，“安全的定義并不是嚴(yán)格的工程術(shù)語，而是一個社會術(shù)語?！?/p>

而回到我們現(xiàn)在在談?wù)摰?a href="http://wenjunhu.com/tags/自動駕駛/" target="_blank">自動駕駛汽車時代，汽車工業(yè)，政府監(jiān)管者現(xiàn)在正在考慮的是：“安全有多安全？“

特斯拉現(xiàn)在看來仍然非常激進(jìn)。

公司CEO埃隆·馬斯克曾經(jīng)說過：“僅僅為了躲避批評或害怕卷入訴訟而保留提高安全性的功能，在道義上是錯誤的?！?/p>

對于此前發(fā)生的一起特斯拉車輛事故，特斯拉爭辯說，在明亮的天空下，司機(jī)和汽車都無法分辨或響應(yīng)一輛白色拖車在前方穿過馬路。

上周六，特斯拉正式向北美用戶推送“Navigate on Autopilot”，在原有的單車道自動駕駛和半自動變道的功能上，增加了半自動上下高速匝道功能。

全車搭載8個攝像頭、1個毫米波雷達(dá)和12個超聲波雷達(dá)。但目前使用岔路自動轉(zhuǎn)向和自動下匝道兩個功能，以及自動變道，都還需要駕駛員打轉(zhuǎn)向燈后車輛才能執(zhí)行。

馬斯克表示，在通過1000萬英里（約合1609萬公里）的測試確認(rèn)安全性滿足要求后，特斯拉會取消這一個步驟，讓整個流程更加便利。

但大多數(shù)機(jī)構(gòu)此后抨擊特斯拉的做法，“我們不認(rèn)為人類應(yīng)該被用作測試對象。汽車制造商需要在和消費者溝通系統(tǒng)能力和局限性方面做得更好。”

當(dāng)然，自動駕駛的安全性，來自于過去對交通事故數(shù)據(jù)的分析。鑒于大約94%的機(jī)動車碰撞是由于駕駛員失誤造成的，一般假設(shè)無人駕駛汽車將被證明是更安全的替代方案，比如駕駛員酒駕、分心、疲勞等等。

但實際上，今天自動駕駛面臨最大的問題是道路條件的變化。有經(jīng)驗的司機(jī)知道如何應(yīng)對各種情況和障礙，包括行人、自行車手和道路布局的變化。

近日，美國交通部負(fù)責(zé)政策的副部長Derek Kan表示，自動駕駛汽車制造商需要一個更好的標(biāo)準(zhǔn)來證明他們的產(chǎn)品是安全的。

在他看來，目前自動駕駛公司最廣泛使用的兩項指標(biāo)——行駛里程和人為干預(yù)頻率——不足以證明自動駕駛汽車的安全性。

其中最大的問題來自于這些指標(biāo)本身存在的缺陷。比如，每家自動駕駛公司的路測里程是“不平等的”。這些里程，有多少是在復(fù)雜街區(qū)，又有多少是在空曠的公路上？此外，對于每次人為接管介入的具體原因，其實不盡相同。

厄姆森也不贊成目前行業(yè)對自動駕駛系統(tǒng)成熟度的兩種衡量標(biāo)準(zhǔn)：汽車行駛了多少英里，以及人類安全駕駛員需要多久干預(yù)控制一次?！氨热?，識別紅綠燈或左轉(zhuǎn)箭頭，才是目標(biāo)。”這就是我們正在尋找的評估方法，我們關(guān)心在這些功能上的差距?！?/p>

作為自動駕駛初創(chuàng)公司Aurora的CEO，厄姆森表示“我認(rèn)為有很多人低估了自動駕駛系統(tǒng)的微妙和復(fù)雜?！痹趲ьI(lǐng)并幫助卡內(nèi)基·梅隆大學(xué)在Darpa挑戰(zhàn)賽贏得冠軍之后，厄姆森成為谷歌自動駕駛團(tuán)隊的創(chuàng)始成員，他一直呆到2016年。

在這個領(lǐng)域中，許多迫在眉睫的問題之一是如何向警惕的監(jiān)管者證明，自動駕駛車可以足夠安全地大規(guī)模部署。沒有真正的機(jī)制可以做到這一點，具體情況會因城市而異。

問題分成兩部分：首先是當(dāng)事情（故障）發(fā)生時，接下來會發(fā)生什么。比如，傳感器可能會崩潰，計算機(jī)可能會崩潰。然后，你為每種故障設(shè)置一個修正或響應(yīng)機(jī)制。汽車會靠邊停車，它會激活后備系統(tǒng)，它會告訴后臺人員，等等。

其次，我們需要證明當(dāng)一切都是正常工作時，系統(tǒng)工作的有多出色。這類似于統(tǒng)計學(xué)原理，比如我們識別了多少行人，識別了多少紅綠燈/左轉(zhuǎn)彎標(biāo)識等等。

目前來看，很多問題的解決是非常困難的，我們需要專注于一些關(guān)鍵問題，并不斷完善，這仍然需要很長時間。

今年10月，Waymo官方宣布旗下自動駕駛汽車在公共道路的測試?yán)锍掏黄?000萬英里。這個數(shù)字，為Waymo無人駕駛出租車車隊即將宣布正式開始商業(yè)化運營提供了非常漂亮的安全佐證。

有業(yè)內(nèi)人士質(zhì)疑，“簡單的里程積累，不意味著車輛就能夠處理各種各樣的突發(fā)路況。“

我們可以類比一下飛機(jī)的安全標(biāo)準(zhǔn)。飛機(jī)也同樣是大量的控制參數(shù)越來越多的依靠計算機(jī)軟硬件承擔(dān)，因此軟硬件產(chǎn)品的質(zhì)量和可靠性不僅影響到產(chǎn)品的性能，甚至?xí)＜帮w機(jī)的安全。

在大多數(shù)情況下，大家都承認(rèn)自動駕駛可能比一個（可能分心的）人類駕駛員更快地做出正確的決定。但是如果失敗了怎么辦？

與自動駕駛汽車相關(guān)的主要標(biāo)準(zhǔn)是ISO 26262。其目的是確保在整個汽車系統(tǒng)中進(jìn)行適當(dāng)?shù)陌踩芾?。ISO 26262的一部分是汽車安全完整性等級（ASIL）分類的優(yōu)先集合。

ASIL級別分類是由硬件故障（或控制硬件的軟件）在不同場景中造成的危害的嚴(yán)重程度所決定的，并且分為四個等級從A到D（最嚴(yán)格）。

遵從ISO 26262要求硬件和軟件被設(shè)計成安全的，例如使用回退路徑、自我監(jiān)控和冗余。硬件需要根據(jù)其運行的ASIL級別進(jìn)行測試。

軟件開發(fā)也有一個標(biāo)準(zhǔn)。汽車SPICE（ASPICE）是一個設(shè)計和評估汽車軟件開發(fā)過程的標(biāo)準(zhǔn)框架。

在汽車系統(tǒng)開發(fā)中，安全性、可靠性和可追溯性至關(guān)重要，因此是產(chǎn)品開發(fā)人員的主要關(guān)注點。相關(guān)的法規(guī)和指導(dǎo)方針包括IEC 61508、ISO 26262、ISO 15504（汽車SPICE）和用于安全關(guān)鍵型汽車軟件和設(shè)備開發(fā)人員的CMMI（能力成熟度模型集成）。

這些標(biāo)準(zhǔn)一般規(guī)定：對需求和過程的一致性、透明性和可追溯性的需求；全面風(fēng)險管理和質(zhì)量保證活動；有效和成熟的開發(fā)方法和流程的使用；對整個生命周期中的工件和過程進(jìn)行清晰的文檔化。

值得注意的另一個標(biāo)準(zhǔn)是IEEE 2020，本標(biāo)準(zhǔn)目前正在起草中。它指定的方法和指標(biāo)用于測試汽車圖像的質(zhì)量，以確保一致性和創(chuàng)建跨行業(yè)參考點。

目前，在行業(yè)內(nèi)沒有一致的方法來測量基于機(jī)器視覺的汽車圖像質(zhì)量。IEEE 2020將定義一套標(biāo)準(zhǔn)化的用于測量汽車相機(jī)圖像質(zhì)量屬性的客觀和主觀測試方法，并指定工具和測試方法。

顯然，從行業(yè)的技術(shù)和測試標(biāo)準(zhǔn)角度，還處于非常早期的階段。

此外，圍繞法律還有一整套問題，包括責(zé)任、網(wǎng)絡(luò)安全和隱私。

“重要的是，政府沒有試圖在監(jiān)管方面領(lǐng)先于技術(shù)?！币晃唤咏绹煌ㄕ咧贫ǖ娜耸勘硎?，“我們不知道正確的答案是什么。它的變化非常迅速，政府監(jiān)管也無法跟上。所以，現(xiàn)在最好的辦法就是觀察技術(shù)的發(fā)展，讓它在規(guī)范之前成熟一點?！?/p>

當(dāng)然，減少風(fēng)險通常意味著減少效益。比如，無人駕駛移動出行車輛的行駛速度控制在一個相對低速的狀態(tài)，但這并不符合出行商業(yè)模式要解決的痛點。

而如果沒有一個普遍接受的定義，什么是足夠安全的無人駕駛汽車，這條道路顯然變得是曲折前行。

“當(dāng)他們（自動駕駛系統(tǒng)）像十幾歲的司機(jī)時，我們是否允許他們在路上，或者我們等待他們像職業(yè)司機(jī)一樣好嗎？”其實，這樣的問題，就是之前人們在面對人工智能的時候，同樣需要面對的。