淺談自動(dòng)駕駛的安全性保障支柱

如果自動(dòng)駕駛汽車大規(guī)模實(shí)施將有可能產(chǎn)生巨大的經(jīng)濟(jì)和社會(huì)效益，包括大大減少交通死亡、傷害和擁堵等，并使所有人都能獲得更便宜、更靈活和更有生產(chǎn)力的交通工具。但自動(dòng)駕駛運(yùn)輸不僅僅是一種產(chǎn)品，而是一個(gè)行業(yè)。為了真正提高流動(dòng)性，汽車制造商、科技公司和政府監(jiān)管機(jī)構(gòu)必須聯(lián)合起來(lái)，建立一個(gè)整體的模式來(lái)支持這個(gè)行業(yè)。英特爾公司Mobileye，已經(jīng)為該模型開(kāi)發(fā)了一個(gè)創(chuàng)新框架。它圍繞兩個(gè)基本支柱：1 )可證明的安全性保證，2 )經(jīng)濟(jì)可擴(kuò)展性。本文向更多的讀者介紹該模型的安全保障支柱。后臺(tái)回復(fù)【RSS】可獲取相關(guān)白皮書。

目前，科學(xué)知識(shí)和工具已經(jīng)比較完善，可以開(kāi)發(fā)和部署完全自動(dòng)駕駛汽車(Autonomous Vehicles，簡(jiǎn)稱AVs)，它們?cè)谒星闆r下都不需要駕駛員(SAE L5)。這些交通工具如果大規(guī)模實(shí)施，有可能產(chǎn)生巨大的經(jīng)濟(jì)和社會(huì)效益，包括大大減少交通死亡、傷害和擁堵，并使所有人都能獲得更便宜、更靈活和更有生產(chǎn)力的交通工具。

但自動(dòng)駕駛運(yùn)輸不僅僅是一種產(chǎn)品，而是一個(gè)行業(yè)。為了真正提高流動(dòng)性，汽車制造商、科技公司和政府監(jiān)管機(jī)構(gòu)必須聯(lián)合起來(lái)，建立一個(gè)整體的模式來(lái)支持這個(gè)行業(yè)。

在英特爾公司Mobileye，我們相信我們已經(jīng)為該模型開(kāi)發(fā)了一個(gè)創(chuàng)新框架。它圍繞兩個(gè)基本支柱: 1 )可證明的安全性保證，2 )經(jīng)濟(jì)可擴(kuò)展性。如果對(duì)這兩個(gè)關(guān)鍵參數(shù)沒(méi)有一個(gè)清晰的模型，所有對(duì)AVs的投資都有可能會(huì)以一個(gè)非常昂貴的科學(xué)實(shí)驗(yàn)而告終。

與Mobileye的協(xié)作哲學(xué)相一致，我們?cè)诎l(fā)表的一篇學(xué)術(shù)論文中闡述并揭示了該模型的技術(shù)細(xì)節(jié)。今天，我們發(fā)表這篇文章是為了向更多的讀者介紹該模型的安全保障支柱。我們將在以后的文章中闡述經(jīng)濟(jì)可擴(kuò)展性支柱的概念。

計(jì)劃概述

我們認(rèn)為，汽車行業(yè)與全球標(biāo)準(zhǔn)機(jī)構(gòu)和監(jiān)管機(jī)構(gòu)合作建立安全驗(yàn)證的方法和標(biāo)準(zhǔn)非常重要。當(dāng)前，眾多國(guó)家都在進(jìn)行自動(dòng)駕駛汽車立法和新的USDOT自動(dòng)車輛指南，其中美國(guó)是領(lǐng)先的，現(xiàn)在是參與這些合作進(jìn)行下一步討論的絕佳時(shí)機(jī)。

我們提出的模型為設(shè)計(jì)和驗(yàn)證一個(gè)AV系統(tǒng)提供了一個(gè)詳細(xì)、實(shí)用和有效的解決方案，從而大大提高了安全性。以下是我們認(rèn)為下一步值得關(guān)注的領(lǐng)域的概要，以及我們提出的解決方案：

一套預(yù)先確定的規(guī)則，用于在AVs與人駕駛汽車發(fā)生碰撞時(shí)，快速、準(zhǔn)確地評(píng)估和確定責(zé)任：

未來(lái)幾十年，AVs將與人類駕駛的車輛共享道路。為了使AVs能夠發(fā)揮上述的安全性、移動(dòng)性和交通效率優(yōu)勢(shì)，它們需要以“正?！狈绞竭\(yùn)行(即不限于非常低的速度或僅限于遠(yuǎn)離其他車輛)。

圖1說(shuō)明了這一點(diǎn)。如果外面有人駕駛的汽車出了問(wèn)題，把AV撞上了，AV是沒(méi)有辦法避免碰撞的。但是這種情況一直在發(fā)生，所以即便我們禁止AV出現(xiàn)這種情況，那也是徒勞的。結(jié)論是，任何有用的AV都將涉及可能導(dǎo)致事故的情況，包括機(jī)械故障和外力。

圖1所示.中央的汽車不能保證絕對(duì)的安全

碰撞是怎么發(fā)生的？調(diào)查可能需要幾個(gè)月的時(shí)間。即使是由人駕駛的汽車造成的，也未必馬上就能弄清楚。并且由于涉及AV，公眾將會(huì)高度關(guān)注。

我們的解決方案是根據(jù)數(shù)學(xué)模型預(yù)先為故障設(shè)定明確的規(guī)則。如果規(guī)則是預(yù)先確定的，那么調(diào)查時(shí)間就會(huì)變得很短，而且是以事實(shí)為依據(jù)的，責(zé)任可以最終確定。當(dāng)這些事件不可避免地發(fā)生時(shí)，這將增強(qiáng)公眾對(duì)自動(dòng)駕駛車輛識(shí)別系統(tǒng)的信心，并澄清消費(fèi)者、汽車和保險(xiǎn)業(yè)的責(zé)任風(fēng)險(xiǎn)。

以下是實(shí)現(xiàn)這一目標(biāo)可能的方法：

我們的方法將事故責(zé)任人背后的“常識(shí)”形式化。它描述了我們?nèi)绾螌⒁唤M駕駛場(chǎng)景、優(yōu)先權(quán)、爭(zhēng)路/搶路的概念，速度，距離等方程形式化，并將它們組合成一個(gè)正式的數(shù)學(xué)模型來(lái)確定故障。

由于AV具有一組高度精確的傳感器，所以會(huì)有數(shù)據(jù)來(lái)評(píng)估碰撞發(fā)生前后的精確環(huán)境。結(jié)合確定故障的正式規(guī)則，這些數(shù)據(jù)可以用于快速確定責(zé)任。

故障的形式化模型允許創(chuàng)建決策(駕駛策略)軟件，以避免由AV系統(tǒng)引起的事故。它還能夠以有效的方式進(jìn)行驗(yàn)證。

AV具有360度的視野和快速的反應(yīng)時(shí)間，可以分析路況和可用的制動(dòng)功率，并且從不分心。鑒于此，加上形式化的模型來(lái)確定故障，AV開(kāi)發(fā)人員可以設(shè)計(jì)一個(gè)系統(tǒng)，軟件可以根據(jù)這個(gè)模型評(píng)估每個(gè)命令。

Mobileye設(shè)計(jì)了這樣一個(gè)系統(tǒng)，它被稱為責(zé)任敏感安全（RSS）。RSS確保從規(guī)劃和決策的角度來(lái)看，AV系統(tǒng)不會(huì)發(fā)布可能導(dǎo)致AV造成事故的命令。

該系統(tǒng)避免了大多數(shù)AV開(kāi)發(fā)人員似乎計(jì)劃的數(shù)據(jù)密集型驗(yàn)證過(guò)程，我們認(rèn)為這是不可行的（無(wú)論是在路上還是在模擬環(huán)境中執(zhí)行）。通過(guò)證明系統(tǒng)根據(jù)預(yù)先確定的數(shù)學(xué)規(guī)則對(duì)所有命令進(jìn)行計(jì)算，驗(yàn)證了該方法的有效性。

安全程度如何？我們的系統(tǒng)可以驗(yàn)證每十億小時(shí)駕駛對(duì)一個(gè)交通事故有三個(gè)數(shù)量級(jí)的改善。人類駕駛車輛的死亡率為每100萬(wàn)小時(shí)駕駛出現(xiàn)一次交通死亡事故（即美國(guó)每年交通死亡人數(shù)約為40人，2016年為4萬(wàn)人）。

我們不相信社會(huì)會(huì)接受造成事故的機(jī)器，除非可以證明死亡率大幅降低。

雖然RSS決策軟件的設(shè)計(jì)初衷是不允許AV系統(tǒng)做出導(dǎo)致事故的決定，但是仍然有可能由于傳感器系統(tǒng)的錯(cuò)誤而引起事故（即，關(guān)于用于作出決策的駕駛環(huán)境的信息）或出現(xiàn)機(jī)械故障。

我們提出了一種傳感器融合系統(tǒng)，它包括三個(gè)獨(dú)立設(shè)計(jì)的系統(tǒng)，每個(gè)系統(tǒng)依賴于不同的技術(shù)，分別為: 1 )攝像機(jī)，2 )高分辨率地圖，3 )雷達(dá)和激光雷達(dá)。

該系統(tǒng)可以通過(guò)一組非常合理的實(shí)際行駛里程數(shù)據(jù)(特別是10萬(wàn)小時(shí))來(lái)驗(yàn)證微小的錯(cuò)誤率(支持標(biāo)題中提到的比率)。

我們的安全方法細(xì)節(jié)

從本質(zhì)上講，RSS是一種實(shí)用的設(shè)計(jì)方法，然后有效地驗(yàn)證AV規(guī)劃/決策（駕駛策略）軟件的安全性。

只要AVs與人類司機(jī)共享道路，絕對(duì)安全是不可能的，但我們得首先將AV定義為不引起碰撞的安全。

為了證明AV不會(huì)引起碰撞，我們必須首先構(gòu)建一個(gè)數(shù)學(xué)模型，確定碰撞發(fā)生時(shí)的責(zé)任，使用一套完整的駕駛場(chǎng)景。本質(zhì)上，我們用數(shù)學(xué)方程來(lái)形式化“常識(shí)性的錯(cuò)誤”。我們可以肯定地設(shè)置這些方程，因?yàn)锳V將具有已知的反應(yīng)時(shí)間和已知的通過(guò)轉(zhuǎn)向和制動(dòng)進(jìn)行回避操縱的能力。

將這種責(zé)任模式形式化的強(qiáng)大結(jié)果是，它使我們能夠構(gòu)建車輛的決策軟件，以遵循這些精確的參數(shù)，不斷地評(píng)估這些規(guī)則，并且永遠(yuǎn)不會(huì)做出使車輛有引發(fā)碰撞風(fēng)險(xiǎn)的命令。

在實(shí)踐中，AV需要了解兩件事：

安全狀態(tài)：這是一種即使其他車輛采取不可預(yù)測(cè)或魯莽的行動(dòng)，AV也不會(huì)造成事故的狀態(tài)。

默認(rèn)緊急策略：這是一個(gè)概念，它定義了AV可以用來(lái)維護(hù)或返回到安全狀態(tài)的最激進(jìn)的規(guī)避動(dòng)作。

我們創(chuàng)造了“謹(jǐn)慎命令”一詞來(lái)表示維持安全狀態(tài)的整套命令。RSS設(shè)置了一個(gè)硬規(guī)則，即AV永遠(yuǎn)不會(huì)在謹(jǐn)慎的命令集之外發(fā)出命令。這確保了規(guī)劃模塊本身不會(huì)造成事故。

看一下以下的幾種情況：

為了說(shuō)明這一點(diǎn)，我們舉一個(gè)常見(jiàn)的例子。考慮這種情況，兩輛車在同一條車道上行駛，一輛車跟在另一輛車的后面。如果前車剎車，后車不能及時(shí)剎車，發(fā)生事故是后車的責(zé)任。如下圖所示，我們可以計(jì)算出后車（藍(lán)色）必須留給前車（紅色）處于安全狀態(tài)的精確通道距離。該計(jì)算依賴于某些變量的數(shù)據(jù)，例如兩輛車之間的速度差，這將由AV中的各種高精度的傳感器提供。

圖2.上述公式計(jì)算了后車與前車之間的安全縱向距離。

切入演習(xí)

以上是一個(gè)相當(dāng)簡(jiǎn)單的場(chǎng)景。它抓住了一個(gè)直觀的原理，即如果一輛后車撞上了一輛前車，總是后車的錯(cuò)。

RSS具備使用相同原則處理這種情況的良好能力?；谝唤M變量，可計(jì)算出AV周圍存在的安全通道。如果在碰撞發(fā)生前，人類駕駛的車輛（下圖）違反了這條通道，那就是這輛車的責(zé)任。相反，AV可以不斷地計(jì)算其他車輛周圍的安全通道，并且永遠(yuǎn)不會(huì)發(fā)出違反該空間的命令。

圖3 :計(jì)算出的車輛周圍的安全通道將確定切入機(jī)動(dòng)情況下的故障。

處理有限的感知和被遮擋的物體

當(dāng)人們指責(zé)事故時(shí)，一個(gè)非常常見(jiàn)的人類反應(yīng)是“但我看不到他/她”。一個(gè)常見(jiàn)的回答是“嗯，你應(yīng)該更加小心。" RSS的一個(gè)重要組成部分是，它形式化地定義了在視覺(jué)受限的情況下小心謹(jǐn)慎的含義。

考慮一下，下圖C0正試圖從停車場(chǎng)出來(lái)到一條街上，在這條街上，一棟大樓擋住了車輛的視線。人類司機(jī)的行為是慢慢地融入道路，獲得越來(lái)越多的視野，直到感知限制被消除。但是，司機(jī)做出了一些假設(shè)，比如交通的可能速度，以及交通流量將會(huì)在什么時(shí)候暴露出來(lái)。RSS計(jì)算最高合理速度的假設(shè)，稱為Vlimit (基于道路速度限制的動(dòng)態(tài))。有了這些信息，如果C0是AV，它知道它可以窺視多少，并且仍然給C1一個(gè)剎車的機(jī)會(huì)。如果C1比Vlimit快，并且發(fā)生碰撞，那就是C1的錯(cuò)誤。相反，如果C1是AV，則假定可能有一輛車看不到它并想要離開(kāi)停車場(chǎng)的車，它將會(huì)更加謹(jǐn)慎和更遠(yuǎn)地駛向中央車道。在任何一種情況下，規(guī)則都是清晰的，并且AV不會(huì)采取可能導(dǎo)致碰撞的命令，即使對(duì)象看不到它也是如此。

圖4. RSS包含對(duì)象（車輛，行人等）被其他對(duì)象遮擋（隱藏）的情況。

這種特殊的場(chǎng)景也與行人息息相關(guān)。行人意外事故的罪魁禍?zhǔn)讕缀醵际瞧嚕词蛊嚭芡聿拍芸吹叫腥说那闆r下也是如此。但也有例外，例如，在RSS理論模型下，AV存在這種可能性，一個(gè)行人可能從兩輛停著的車之間飛奔而出，速度達(dá)到一定的極限。RSS會(huì)管理AV的速度，這樣它就可以隨時(shí)剎車以避免與行人發(fā)生碰撞，除非行人的速度高于某極限速度（例如，行人能以超人的速度奔跑）。

將RSS擴(kuò)展到所有道路結(jié)構(gòu)

我們認(rèn)為，我們構(gòu)建的正式責(zé)任模型（以及相關(guān)的RSS軟件）涵蓋了一套全面的駕駛場(chǎng)景（白皮書附錄中包含了一個(gè)廣泛的范圍）。我們還非常愿意與監(jiān)管機(jī)構(gòu)和標(biāo)準(zhǔn)機(jī)構(gòu)接觸，這可能導(dǎo)致評(píng)估更多的情況。以下是RSS考慮的其他場(chǎng)景的幾個(gè)示例(并非詳盡) :

路線優(yōu)先——這一重要概念使RSS能夠涵蓋涉及多個(gè)道路幾何圖形在特定區(qū)域重疊的情況，例如高速公路合并道和環(huán)形路。在這些情況下，兩輛車必須在另一輛車的前方通道進(jìn)行切入才能合并。。在這種情況下，優(yōu)先車道上的車輛可以在不違反RSS的情況下進(jìn)行超車。哪條路線/車道具有優(yōu)先權(quán)可以通過(guò)交通標(biāo)志/法規(guī)來(lái)確定，這些標(biāo)志/法規(guī)將被納入我們稱為RoadBook的高清地圖中。

雙向交通——在雙向交通情況下，中心線提供了一個(gè)邊界，但當(dāng)一輛汽車越過(guò)中心線超車或倒車到停車位時(shí)，這自然會(huì)被違反。白皮書包含了一個(gè)關(guān)于RSS如何涵蓋這些類型的情況的章節(jié)。

紅綠燈——配有交通信號(hào)燈的交叉路口使用動(dòng)態(tài)路線優(yōu)先的概念進(jìn)行建模。換句話說(shuō)，根據(jù)交通信號(hào)燈，有些路線比其他路線優(yōu)先。

非結(jié)構(gòu)化道路——RSS還包括涉及停車場(chǎng)等非結(jié)構(gòu)化區(qū)域的場(chǎng)景。這里的關(guān)鍵概念是可預(yù)測(cè)性。AV像人類一樣可以根據(jù)當(dāng)前的軌跡預(yù)測(cè)在沒(méi)有車道標(biāo)記的環(huán)境中的車輛路徑。如果一輛車偏離了這個(gè)預(yù)測(cè)（通過(guò)改變航向），它必須有足夠長(zhǎng)的距離來(lái)讓迎面而來(lái)的汽車進(jìn)行調(diào)整。這個(gè)距離是可以計(jì)算出來(lái)的，如果改變航向的車輛違反了該距離，則是錯(cuò)誤的。

結(jié)論

Mobileye始終通過(guò)創(chuàng)新工程應(yīng)對(duì)挑戰(zhàn)，同時(shí)也非常注重驗(yàn)證安全性并以使客戶能承受的成本實(shí)現(xiàn)產(chǎn)品的能力。這是全球絕大多數(shù)汽車制造商選擇我們提供當(dāng)今尖端救生安全系統(tǒng)（如自動(dòng)緊急制動(dòng)）的關(guān)鍵原因?，F(xiàn)在，我們與可擴(kuò)展的專用計(jì)算平臺(tái)、定制數(shù)據(jù)中心、云計(jì)算和下一代通信領(lǐng)域的領(lǐng)先企業(yè)英特爾攜手合作，大幅拓寬ADAS功能并實(shí)現(xiàn)AV。

Intel和Mobileye已經(jīng)開(kāi)始與寶馬公司合作，開(kāi)發(fā)符合這些概念的AVs非排他性的平臺(tái)。這是合作伙伴包容性關(guān)系的一個(gè)例子，每個(gè)合作伙伴都有共同的愿景，即將安全放在首位。我們也清楚地認(rèn)識(shí)到，如果沒(méi)有一個(gè)真正可擴(kuò)展的經(jīng)濟(jì)模型，那么AVs的真正潛力將永遠(yuǎn)不會(huì)被大眾所體驗(yàn)。