與 Waymo 公司相反,Mobileye 公司提倡以一種以數(shù)學(xué)公式為理論基礎(chǔ)的方法來證明自己的汽車是安全的。Mobileye 公司的驗證計劃是，將自己的自動駕駛系統(tǒng)分成兩部分：感知部分和策略部分，然后對這兩者分別進行測試和驗證。

Mobileye，一家被英特爾公司去年收購的以色列自動駕駛汽車技術(shù)公司, 在 5 月 17 日宣布, 將在耶路撒冷公路上開始測試多達 100 輛汽車。但在一次由一家以色列電視臺實況轉(zhuǎn)播的測試中,他們的公眾示范車卻在一個紅燈路口發(fā)生闖燈失誤。

在面向汽車制造商的駕駛員輔助技術(shù)領(lǐng)域，Mobileye 公司是全球銷售最好的公司之一。Mobileye 公司本來是希望借助這次電視轉(zhuǎn)播向全世界證明，隨著世界一步步向完全自主駕駛汽車的時代發(fā)展, 該公司并沒有執(zhí)著于自己的老本行固步自封，而是緊跟完全自動駕駛發(fā)展的最新步伐。不過這次的紅燈路口事故表明,該公司在完全自動駕駛領(lǐng)域的技術(shù)可能已經(jīng)遠遠落后于像 Waymo 這樣的行業(yè)領(lǐng)導(dǎo)者。

圖 | Amnon Shashua, Mobileye公司聯(lián)合創(chuàng)始人兼CTO

如今，大多數(shù)從事完全自主駕駛技術(shù)的公司都在大量應(yīng)用激光雷達傳感器技術(shù),但是 Mobileye 公司還依然堅持僅僅依靠攝像頭進行導(dǎo)航。Mobileye 公司的計劃并非一定要堅持只依靠攝像頭來實現(xiàn)他們的完全自動駕駛。恰恰相反, 他們測試一個只需攝像頭的系統(tǒng)只是為了驗證其技術(shù)棧（智能互聯(lián)產(chǎn)品所需的整套全新的技術(shù)基礎(chǔ)設(shè)施）的安全性，這一步也正是他們在完全自動駕駛領(lǐng)域的“非主流”開發(fā)方法的一部分。

這種“非主流”方法首先在該公司去年 10 月發(fā)布的一份白皮書中得到概述, 隨后 Mobileye 公司的首席研究官阿農(nóng)?沙舒亞（Amnon Shashua）在自己博客文章中也詳細(xì)闡述了這一策略。

“我們希望我們的完全自動駕駛汽車可以比人為驅(qū)動的車輛更快、更順暢、更經(jīng)濟地從出發(fā)地 A 點到達目的地 B 點，而且它可以駕馭任何路況；我們的另一個目標(biāo)是，無需在公共道路上進行上億千米的驗證測試，而是用一種理論驗證的透明方法來實現(xiàn)比人為驅(qū)動的汽車的安全性系數(shù)高 1000 倍的完全無人駕駛汽車。”沙舒亞在博客中寫道。

這是一個大膽的挑戰(zhàn)目標(biāo)，人們都在懷疑到底有沒有可能實現(xiàn)。以下就是值得懷疑的幾點理由：

Mobileye公司希望用公式與模型進行安全性的證明

目前完全無人駕駛行業(yè)的領(lǐng)導(dǎo)者 Waymo 公司，已經(jīng)在超過 965 萬千米的道路上進行了測試, 而且基于在真實路況上測試收集到的數(shù)據(jù)，Waymo 公司進行了數(shù)億萬千米的模擬實驗。但 Mobileye 公司認(rèn)為, 這種做法不僅浪費時間，而且不太可能證明自己可以為完全無人駕駛提供足夠的安全保證。

與 Waymo 公司相反,Mobileye 公司提倡以一種以數(shù)學(xué)公式為理論基礎(chǔ)的方法來證明自己的汽車是安全的。Mobileye 公司的驗證計劃是，將自己的自動駕駛系統(tǒng)分成兩部分：感知部分和策略部分，然后對這兩者分別進行測試和驗證。根據(jù)其分類，感知部分會使用從傳感器提取它捕獲的原始數(shù)據(jù)，并給感知到的各個對象標(biāo)記上它的精確的三維坐標(biāo)。隨后, 策略部分根據(jù)這個已經(jīng)在各個三維地理位置標(biāo)記有無數(shù)對象的三維世界里計算并計劃導(dǎo)航路線。

“汽車傳感系統(tǒng)的錯誤更容易被驗證計算, 因為車輛傳感系統(tǒng)是可以不依賴于汽車的制動系統(tǒng)的, 因此我們可以通過離線數(shù)據(jù)來計算驗證發(fā)生嚴(yán)重的感知錯誤的概率?！鄙呈鎭啽硎?。

Mobileye 公司認(rèn)為，利用傳感器的冗余性來計算可以使傳感系統(tǒng)的驗證變得更加容易。他們的計劃是先開發(fā)一個僅使用攝像頭就可以安全自動駕駛的系統(tǒng), 然后再單獨開發(fā)一個系統(tǒng), 該系統(tǒng)僅僅使用激光雷達和雷達也可以安全自動駕駛。

Mobileye 公司解釋說，如果該公司可以做到這兩個系統(tǒng)中每個系統(tǒng)的傳感誤差都分別少于每 3 萬小時一次, 那么就可以得出這樣的結(jié)論,同時攜帶這兩種類型傳感器的自動駕駛系統(tǒng)傳感誤差將不超過 10 億（3 萬 × 3 萬≈10 億）小時一次。

但是這樣的解釋是基于兩個十分大膽的假設(shè)的，每一個假設(shè)都還遠遠沒有達到可以被證實的階段。

第一個假設(shè)就是，這兩個傳感系統(tǒng)的失效模式是彼此獨立互不依賴的，也就是說, 一個很有可能被基于攝像機的感知系統(tǒng)識別錯誤的場景，在被基于激光雷達的識別系統(tǒng)感知時，并不一定有更高的犯錯概率；反之亦然。但是對于 Mobileye 的這一假設(shè)，我們并不認(rèn)為其很有說服力。

“雷達一般在惡劣天氣條件下也可以繼續(xù)工作, 但卻有可能受到與實際場景不相關(guān)的金屬物體的影響而識別錯誤, 與此相反，攝像機很可能會在惡劣天氣中做出錯誤的感知判斷, 但不太可能受到任何金屬物體的影響?！盡obileye 公司在去年 10 月發(fā)布的白皮書這樣解釋。

“表面上看, 照相機和激光雷達有著共同的錯誤來源——都是因為受到大霧天氣、大雨和積雪的影響。然而, 相機和激光雷達的錯誤類型實際上是不同的。相機可能由于惡劣的天氣而沒有捕捉到某個前方路上的實物對象, 而激光雷達則可能會因為空氣中的粒子的反射現(xiàn)象在識別畫面上呈現(xiàn)一個實際上不存在的對象。不過，如果我們區(qū)分這兩種類型的錯誤, 兩個系統(tǒng)之間的近似獨立性仍然成立?！?/p>

很明顯, 不同類型的傳感器有不同的優(yōu)缺點, 因此使用多種不同類型的傳感器會給整個系統(tǒng)的安全性帶來有益的冗余。但是, 這些冗余并不意味著這些傳感器的失效模式是完全獨立互不相關(guān)的。而如果不是這樣的話, Mobileye 的每一個基于上面所說的每億萬公里分之一的錯誤率的數(shù)學(xué)運算都不再成立。

在一篇采訪中, 卡耐基梅隆的安全專家菲利普?考夫曼（Philip Koopman）對 Mobileye 在自己的安全性計算所基于的假設(shè)采取公開透明的態(tài)度，表示了贊揚。不過，他也對于兩套傳感系統(tǒng)的故障率彼此相互獨立的假設(shè)，表示懷疑。

“很難相信激光雷達和雷達的故障率之間互不依賴，并且會像他們所解釋的那樣最終可以被證實?！笨挤蚵↘oopman）說：“在自動駕駛領(lǐng)域，僅僅依靠假設(shè)的系統(tǒng)是不夠的，這些假設(shè)必須首先被證實。但是我們現(xiàn)在就幾乎可以肯定的有些假設(shè)是錯的, 作者可能甚至不知道他們當(dāng)時為什么會那樣假設(shè)。”

Mobileye 忽略了現(xiàn)實世界的復(fù)雜性

最后一點也是最讓我們擔(dān)心的一點：Mobileye 所建立的模型可能會作出根本不能描述真實世界的假設(shè)。

例如, Mobileye 的理論中用隱含著這樣的假設(shè)——將兩個傳感器系統(tǒng)融合在一起并不會引入任何新的錯誤源。但正如研究分析員山姆?阿布爾薩米得（Sam Abuelsamid）所指出的那樣, 這一假設(shè)很有可能是不成立的?！耙坏╅_始將多個東西結(jié)合在一起, 潛在的失效模式就會增加。”他說。

將激光雷達探測到的數(shù)據(jù)和相機捕捉到的數(shù)據(jù)結(jié)合在一起的這一過程被稱為傳感信息融合, 這一過程需要大量的代碼。阿布爾薩米得告訴我們, 更多的代碼行意味著更多出現(xiàn)錯誤的可能性?！皩嶒灲Y(jié)果所代表的現(xiàn)實中的復(fù)雜性也會以爆炸式的速度增長?！?/p>

同樣也是由于類似的原因，人們也在批判 Mobileye 公司的另一部分的驗證方法，也就是以自己創(chuàng)建的真實世界的三維模型為起點來決定自動駕駛汽車如何操作的軟件。

Mobileye 公司目前正在開發(fā)一種數(shù)學(xué)公式模型，用于精確定義各種車輛在特定的碰撞事故中發(fā)生的故障。Mobileye 公司在 10 月份發(fā)表的白皮書中有很大一部分都在闡述該公司制定的確切規(guī)則，這一規(guī)則被他們稱為RSS 框架（Responsibility-Sensitive Safety：責(zé)任敏感型安全框架）。這一框架規(guī)定了自動駕駛環(huán)境和過程中各類事物的規(guī)則，比如跟隨距離、行走優(yōu)先權(quán)以及對被遮擋的物體怎樣保持警惕。

Mobileye 公司說，一旦有了這個模型，它們就可以從數(shù)學(xué)的角度證明，根據(jù)它們公司的自動駕駛導(dǎo)航算法所作出的對自動駕駛汽車的操作指示不會導(dǎo)致碰撞等事故的發(fā)生。

但就算我們假設(shè)這個數(shù)學(xué)模型是無可挑剔的，也并不能證明使用該模型算法的自動駕駛汽車永遠不會造成任何事故。因為該模型建立所基于的假設(shè)是一個永遠無法證明是現(xiàn)實的“現(xiàn)實世界”。另外，工程師在將理論模型轉(zhuǎn)化為工作代碼時難免會犯錯誤。

不過這并不是要否定 RSS 框架在判斷一個自動駕駛系統(tǒng)的安全性方面的有用性。如果 Mobileye 只是想把這一框架應(yīng)用在安全性方面，那么這會是給自動駕駛領(lǐng)域的寶貴的貢獻。

但是 Mobileye 對于 RSS 框架的定位不止于此，他們想要讓 RSS 框架最終成為現(xiàn)實世界測試的替代方案，他們聲稱利用這種方法無需進行大量測試就可以證明一輛自動駕駛汽車比人類駕駛者安全 1000 倍。然而，有很多自動駕駛汽車可能會反映錯誤的情況，這都沒有被 Mobileye 的理論模型考慮進去。

Mobileye的商業(yè)模式也許才是它自己的致命弱點

我們懷疑 Mobileye 公司想方設(shè)法去盡量減少實際上路測試的一個原因是，大量的測試與 Mobileye 的商業(yè)模式不太吻合。Waymo 在這一方面提供了一個有用的對比。

Waymo 公司已經(jīng)在公共道路上進行了超過 965 萬千米的測試。去年秋天，該公司已經(jīng)對自己的系統(tǒng)有了足夠的自信，在測試中已經(jīng)不需要駕駛員在測試汽車中進行應(yīng)急處理（當(dāng)自動駕駛系統(tǒng)無法作出反應(yīng)時由駕駛員來補救）。該公司希望于今年晚些時候在鳳凰城地區(qū)推出自動駕駛汽車出租車服務(wù)。

Waymo 在安全性的驗證問題上的解決思路是極端漸進主義。該公司一開始只在一些自己精心挑選的天氣良好、道路標(biāo)志明顯的地區(qū)進行測試。隨著時間的推移和經(jīng)驗的積累，Waymo 逐漸升級了其車輛的軟件和傳感器，收集越來越多的地圖數(shù)據(jù)，便逐漸將測試擴展到新的更具挑戰(zhàn)性的操作環(huán)境。

圖 | 英特爾的子公司Mobileye的僅僅使用攝像頭的測試汽車

這個過程是一個持續(xù)的過程，即使是Waymo 在鳳凰城啟動自己最初的服務(wù)之后，這些測試還會繼續(xù)持續(xù)很長時間。因為如果 Waymo 公司認(rèn)為自己的汽車對于特定情況和地區(qū)（如積雪或密集的城市交通）沒有足夠的自信，他們將只能繼續(xù)投入足夠時間去進行更多的開發(fā)和測試，直到自己感到有把握之后，才會在那些地區(qū)提供服務(wù)。

但是在有些狀況中，不得不用數(shù)學(xué)方法證明一套自動駕駛技術(shù)在任何情況下都能完美地工作，Waymo 公司也可能會遇到這樣的情況。以目前的研發(fā)方法，Waymo 汽車可能只有在很多年之后才能在交通擁堵曼哈頓或冬天的明尼阿波利斯安全駕駛，不過 Waymo 公司有耐心，也等得起。因為在接下來的幾年里，Waymo 將可以輕松地在繁忙的太陽城郊區(qū)如鳳凰城、亞特蘭大、奧斯汀和拉斯維加斯等城市提供出租車服務(wù)，以確保公司有足夠的資金周轉(zhuǎn)。

但是對于 Mobileye 公司，這種測試方法并不可行。這家以色列公司同時還在為傳統(tǒng)的汽車制造商提供芯片、傳感器和軟件。據(jù) Mobileye 透露，目前已有來自 27 家不同汽車制造商的超過 1500 萬輛汽車使用 Mobileye 技術(shù)。

Mobileye 公司的技術(shù)不僅被用于日產(chǎn)汽車的先進駕駛輔助產(chǎn)品上，同時還被用于奧迪即將推出的 A8 汽車的駕駛輔助功能上。Mobileye 公司還為通用汽車的超級巡航技術(shù)提供照相機。此外，在開發(fā)自動駕駛技術(shù)方面，Mobileye 與寶馬和菲亞特克萊斯勒都有著廣泛的合作。據(jù)路透社的報道，Mobileye 已經(jīng)簽署了一項協(xié)議，將于 2021 年開始給一家尚未命名的汽車制造商的 800 萬輛汽車提供技術(shù)。

因此，如果 Mobileye 公司像 Waymo 計劃的那樣啟動出租車服務(wù)將是 Mobileye 自己的一次徹底轉(zhuǎn)變，這將有可能會疏遠當(dāng)前已有的客戶。Mobileye 需要一套新的開發(fā)及驗證策略，以適應(yīng)今后將汽車直接賣給客戶而非之前的汽車制造商的商業(yè)模式。

Mobileye 已經(jīng)或多或少地在白皮書中承認(rèn)了這個問題，不過他們認(rèn)為這是整個行業(yè)面臨的一個問題。

他們在白皮書中寫道：“到了自動駕駛汽車進行大規(guī)模生產(chǎn)的時候，可持續(xù)的用于驗證安全性的研發(fā)實驗成本和在任何地方都可以實現(xiàn)自動駕駛的能力（而不僅僅是選擇少數(shù)城市），也將會是維持業(yè)務(wù)的必要條件之一?！?/p>

其實 Mobileye 應(yīng)該想要表達的是，在任何地方都可以實現(xiàn)自動駕駛的能力是維持 Mobileye 自身商業(yè)模式的必要條件，因為 Mobileye 目前的業(yè)務(wù)主要是最終將自己的技術(shù)銷售給汽車制造商，而不是像 Waymo 公司所想的那樣創(chuàng)造出租車服務(wù)。

如果 Mobileye 想要它們的自動駕駛技術(shù)在任何地區(qū)都可以適用，那么公司將不得不意識到增量開發(fā)和廣泛大量的實際測試是不切實際的。舉例來說，Waymo 在十多年來一直在測試汽車，并且最近才開始認(rèn)真研究雪地路況的自動駕駛技術(shù)。如果 Mobileye 延續(xù)相同的軌跡，那么它很可能 2020 年前后都無法推出自己的首套完全自行駕駛技術(shù)。

因此，Mobileye 公司的領(lǐng)導(dǎo)層已經(jīng)確信，自己需要利用數(shù)學(xué)公式來證明和替代數(shù)百萬千米的現(xiàn)實世界測試，因為它的商業(yè)模式并沒有給它帶來很多好的選擇。但是，僅僅靠希望并不一定能夠使想法成真。