如果自動駕駛汽車大規(guī)模實(shí)施將有可能產(chǎn)生巨大的經(jīng)濟(jì)和社會效益，包括大大減少交通死亡、傷害和擁堵等，并使所有人都能獲得更便宜、更靈活和更有生產(chǎn)力的交通工具。但自動駕駛運(yùn)輸不僅僅是一種產(chǎn)品，而是一個行業(yè)。為了真正提高流動性，汽車制造商、科技公司和政府監(jiān)管機(jī)構(gòu)必須聯(lián)合起來，建立一個整體的模式來支持這個行業(yè)。英特爾公司Mobileye，已經(jīng)為該模型開發(fā)了一個創(chuàng)新框架。它圍繞兩個基本支柱：1 )可證明的安全性保證，2 )經(jīng)濟(jì)可擴(kuò)展性。本文向更多的讀者介紹該模型的安全保障支柱。后臺回復(fù)【RSS】可獲取相關(guān)白皮書。

目前，科學(xué)知識和工具已經(jīng)比較完善，可以開發(fā)和部署完全自動駕駛汽車(Autonomous Vehicles，簡稱AVs)，它們在所有情況下都不需要駕駛員(SAE L5)。這些交通工具如果大規(guī)模實(shí)施，有可能產(chǎn)生巨大的經(jīng)濟(jì)和社會效益，包括大大減少交通死亡、傷害和擁堵，并使所有人都能獲得更便宜、更靈活和更有生產(chǎn)力的交通工具。

但自動駕駛運(yùn)輸不僅僅是一種產(chǎn)品，而是一個行業(yè)。為了真正提高流動性，汽車制造商、科技公司和政府監(jiān)管機(jī)構(gòu)必須聯(lián)合起來，建立一個整體的模式來支持這個行業(yè)。

在英特爾公司Mobileye，我們相信我們已經(jīng)為該模型開發(fā)了一個創(chuàng)新框架。它圍繞兩個基本支柱: 1 )可證明的安全性保證，2 )經(jīng)濟(jì)可擴(kuò)展性。如果對這兩個關(guān)鍵參數(shù)沒有一個清晰的模型，所有對AVs的投資都有可能會以一個非常昂貴的科學(xué)實(shí)驗(yàn)而告終。

與Mobileye的協(xié)作哲學(xué)相一致，我們在發(fā)表的一篇學(xué)術(shù)論文中闡述并揭示了該模型的技術(shù)細(xì)節(jié)。今天，我們發(fā)表這篇文章是為了向更多的讀者介紹該模型的安全保障支柱。我們將在以后的文章中闡述經(jīng)濟(jì)可擴(kuò)展性支柱的概念。

計劃概述

我們認(rèn)為，汽車行業(yè)與全球標(biāo)準(zhǔn)機(jī)構(gòu)和監(jiān)管機(jī)構(gòu)合作建立安全驗(yàn)證的方法和標(biāo)準(zhǔn)非常重要。當(dāng)前，眾多國家都在進(jìn)行自動駕駛汽車立法和新的USDOT自動車輛指南，其中美國是領(lǐng)先的，現(xiàn)在是參與這些合作進(jìn)行下一步討論的絕佳時機(jī)。

我們提出的模型為設(shè)計和驗(yàn)證一個AV系統(tǒng)提供了一個詳細(xì)、實(shí)用和有效的解決方案，從而大大提高了安全性。以下是我們認(rèn)為下一步值得關(guān)注的領(lǐng)域的概要，以及我們提出的解決方案：

一套預(yù)先確定的規(guī)則，用于在AVs與人駕駛汽車發(fā)生碰撞時，快速、準(zhǔn)確地評估和確定責(zé)任：

未來幾十年，AVs將與人類駕駛的車輛共享道路。為了使AVs能夠發(fā)揮上述的安全性、移動性和交通效率優(yōu)勢，它們需要以“正常”方式運(yùn)行(即不限于非常低的速度或僅限于遠(yuǎn)離其他車輛)。

圖1說明了這一點(diǎn)。如果外面有人駕駛的汽車出了問題，把AV撞上了，AV是沒有辦法避免碰撞的。但是這種情況一直在發(fā)生，所以即便我們禁止AV出現(xiàn)這種情況，那也是徒勞的。結(jié)論是，任何有用的AV都將涉及可能導(dǎo)致事故的情況，包括機(jī)械故障和外力。

圖1所示.中央的汽車不能保證絕對的安全

碰撞是怎么發(fā)生的？調(diào)查可能需要幾個月的時間。即使是由人駕駛的汽車造成的，也未必馬上就能弄清楚。并且由于涉及AV，公眾將會高度關(guān)注。

我們的解決方案是根據(jù)數(shù)學(xué)模型預(yù)先為故障設(shè)定明確的規(guī)則。如果規(guī)則是預(yù)先確定的，那么調(diào)查時間就會變得很短，而且是以事實(shí)為依據(jù)的，責(zé)任可以最終確定。當(dāng)這些事件不可避免地發(fā)生時，這將增強(qiáng)公眾對自動駕駛車輛識別系統(tǒng)的信心，并澄清消費(fèi)者、汽車和保險業(yè)的責(zé)任風(fēng)險。

以下是實(shí)現(xiàn)這一目標(biāo)可能的方法：

我們的方法將事故責(zé)任人背后的“常識”形式化。它描述了我們?nèi)绾螌⒁唤M駕駛場景、優(yōu)先權(quán)、爭路/搶路的概念，速度，距離等方程形式化，并將它們組合成一個正式的數(shù)學(xué)模型來確定故障。

由于AV具有一組高度精確的傳感器，所以會有數(shù)據(jù)來評估碰撞發(fā)生前后的精確環(huán)境。結(jié)合確定故障的正式規(guī)則，這些數(shù)據(jù)可以用于快速確定責(zé)任。

故障的形式化模型允許創(chuàng)建決策(駕駛策略)軟件，以避免由AV系統(tǒng)引起的事故。它還能夠以有效的方式進(jìn)行驗(yàn)證。

AV具有360度的視野和快速的反應(yīng)時間，可以分析路況和可用的制動功率，并且從不分心。鑒于此，加上形式化的模型來確定故障，AV開發(fā)人員可以設(shè)計一個系統(tǒng)，軟件可以根據(jù)這個模型評估每個命令。

Mobileye設(shè)計了這樣一個系統(tǒng)，它被稱為責(zé)任敏感安全（RSS）。RSS確保從規(guī)劃和決策的角度來看，AV系統(tǒng)不會發(fā)布可能導(dǎo)致AV造成事故的命令。

該系統(tǒng)避免了大多數(shù)AV開發(fā)人員似乎計劃的數(shù)據(jù)密集型驗(yàn)證過程，我們認(rèn)為這是不可行的（無論是在路上還是在模擬環(huán)境中執(zhí)行）。通過證明系統(tǒng)根據(jù)預(yù)先確定的數(shù)學(xué)規(guī)則對所有命令進(jìn)行計算，驗(yàn)證了該方法的有效性。

安全程度如何？我們的系統(tǒng)可以驗(yàn)證每十億小時駕駛對一個交通事故有三個數(shù)量級的改善。人類駕駛車輛的死亡率為每100萬小時駕駛出現(xiàn)一次交通死亡事故（即美國每年交通死亡人數(shù)約為40人，2016年為4萬人）。

我們不相信社會會接受造成事故的機(jī)器，除非可以證明死亡率大幅降低。

雖然RSS決策軟件的設(shè)計初衷是不允許AV系統(tǒng)做出導(dǎo)致事故的決定，但是仍然有可能由于傳感器系統(tǒng)的錯誤而引起事故（即，關(guān)于用于作出決策的駕駛環(huán)境的信息）或出現(xiàn)機(jī)械故障。

我們提出了一種傳感器融合系統(tǒng)，它包括三個獨(dú)立設(shè)計的系統(tǒng)，每個系統(tǒng)依賴于不同的技術(shù)，分別為: 1 )攝像機(jī)，2 )高分辨率地圖，3 )雷達(dá)和激光雷達(dá)。

該系統(tǒng)可以通過一組非常合理的實(shí)際行駛里程數(shù)據(jù)(特別是10萬小時)來驗(yàn)證微小的錯誤率(支持標(biāo)題中提到的比率)。

我們的安全方法細(xì)節(jié)

從本質(zhì)上講，RSS是一種實(shí)用的設(shè)計方法，然后有效地驗(yàn)證AV規(guī)劃/決策（駕駛策略）軟件的安全性。

只要AVs與人類司機(jī)共享道路，絕對安全是不可能的，但我們得首先將AV定義為不引起碰撞的安全。

為了證明AV不會引起碰撞，我們必須首先構(gòu)建一個數(shù)學(xué)模型，確定碰撞發(fā)生時的責(zé)任，使用一套完整的駕駛場景。本質(zhì)上，我們用數(shù)學(xué)方程來形式化“常識性的錯誤”。我們可以肯定地設(shè)置這些方程，因?yàn)锳V將具有已知的反應(yīng)時間和已知的通過轉(zhuǎn)向和制動進(jìn)行回避操縱的能力。

將這種責(zé)任模式形式化的強(qiáng)大結(jié)果是，它使我們能夠構(gòu)建車輛的決策軟件，以遵循這些精確的參數(shù)，不斷地評估這些規(guī)則，并且永遠(yuǎn)不會做出使車輛有引發(fā)碰撞風(fēng)險的命令。

在實(shí)踐中，AV需要了解兩件事：

安全狀態(tài)：這是一種即使其他車輛采取不可預(yù)測或魯莽的行動，AV也不會造成事故的狀態(tài)。

默認(rèn)緊急策略：這是一個概念，它定義了AV可以用來維護(hù)或返回到安全狀態(tài)的最激進(jìn)的規(guī)避動作。

我們創(chuàng)造了“謹(jǐn)慎命令”一詞來表示維持安全狀態(tài)的整套命令。RSS設(shè)置了一個硬規(guī)則，即AV永遠(yuǎn)不會在謹(jǐn)慎的命令集之外發(fā)出命令。這確保了規(guī)劃模塊本身不會造成事故。

看一下以下的幾種情況：

為了說明這一點(diǎn)，我們舉一個常見的例子?？紤]這種情況，兩輛車在同一條車道上行駛，一輛車跟在另一輛車的后面。如果前車剎車，后車不能及時剎車，發(fā)生事故是后車的責(zé)任。如下圖所示，我們可以計算出后車（藍(lán)色）必須留給前車（紅色）處于安全狀態(tài)的精確通道距離。該計算依賴于某些變量的數(shù)據(jù)，例如兩輛車之間的速度差，這將由AV中的各種高精度的傳感器提供。

圖2.上述公式計算了后車與前車之間的安全縱向距離。

切入演習(xí)

以上是一個相當(dāng)簡單的場景。它抓住了一個直觀的原理，即如果一輛后車撞上了一輛前車，總是后車的錯。

RSS具備使用相同原則處理這種情況的良好能力?；谝唤M變量，可計算出AV周圍存在的安全通道。如果在碰撞發(fā)生前，人類駕駛的車輛（下圖）違反了這條通道，那就是這輛車的責(zé)任。相反，AV可以不斷地計算其他車輛周圍的安全通道，并且永遠(yuǎn)不會發(fā)出違反該空間的命令。

圖3 :計算出的車輛周圍的安全通道將確定切入機(jī)動情況下的故障。

處理有限的感知和被遮擋的物體

當(dāng)人們指責(zé)事故時，一個非常常見的人類反應(yīng)是“但我看不到他/她”。一個常見的回答是“嗯，你應(yīng)該更加小心。" RSS的一個重要組成部分是，它形式化地定義了在視覺受限的情況下小心謹(jǐn)慎的含義。

考慮一下，下圖C0正試圖從停車場出來到一條街上，在這條街上，一棟大樓擋住了車輛的視線。人類司機(jī)的行為是慢慢地融入道路，獲得越來越多的視野，直到感知限制被消除。但是，司機(jī)做出了一些假設(shè)，比如交通的可能速度，以及交通流量將會在什么時候暴露出來。RSS計算最高合理速度的假設(shè)，稱為Vlimit (基于道路速度限制的動態(tài))。有了這些信息，如果C0是AV，它知道它可以窺視多少，并且仍然給C1一個剎車的機(jī)會。如果C1比Vlimit快，并且發(fā)生碰撞，那就是C1的錯誤。相反，如果C1是AV，則假定可能有一輛車看不到它并想要離開停車場的車，它將會更加謹(jǐn)慎和更遠(yuǎn)地駛向中央車道。在任何一種情況下，規(guī)則都是清晰的，并且AV不會采取可能導(dǎo)致碰撞的命令，即使對象看不到它也是如此。

圖4. RSS包含對象（車輛，行人等）被其他對象遮擋（隱藏）的情況。

這種特殊的場景也與行人息息相關(guān)。行人意外事故的罪魁禍?zhǔn)讕缀醵际瞧?，即使汽車很晚才能看到行人的情況下也是如此。但也有例外，例如，在RSS理論模型下，AV存在這種可能性，一個行人可能從兩輛停著的車之間飛奔而出，速度達(dá)到一定的極限。RSS會管理AV的速度，這樣它就可以隨時剎車以避免與行人發(fā)生碰撞，除非行人的速度高于某極限速度（例如，行人能以超人的速度奔跑）。

將RSS擴(kuò)展到所有道路結(jié)構(gòu)

我們認(rèn)為，我們構(gòu)建的正式責(zé)任模型（以及相關(guān)的RSS軟件）涵蓋了一套全面的駕駛場景（白皮書附錄中包含了一個廣泛的范圍）。我們還非常愿意與監(jiān)管機(jī)構(gòu)和標(biāo)準(zhǔn)機(jī)構(gòu)接觸，這可能導(dǎo)致評估更多的情況。以下是RSS考慮的其他場景的幾個示例(并非詳盡) :

路線優(yōu)先——這一重要概念使RSS能夠涵蓋涉及多個道路幾何圖形在特定區(qū)域重疊的情況，例如高速公路合并道和環(huán)形路。在這些情況下，兩輛車必須在另一輛車的前方通道進(jìn)行切入才能合并。。在這種情況下，優(yōu)先車道上的車輛可以在不違反RSS的情況下進(jìn)行超車。哪條路線/車道具有優(yōu)先權(quán)可以通過交通標(biāo)志/法規(guī)來確定，這些標(biāo)志/法規(guī)將被納入我們稱為RoadBook的高清地圖中。

雙向交通——在雙向交通情況下，中心線提供了一個邊界，但當(dāng)一輛汽車越過中心線超車或倒車到停車位時，這自然會被違反。白皮書包含了一個關(guān)于RSS如何涵蓋這些類型的情況的章節(jié)。

紅綠燈——配有交通信號燈的交叉路口使用動態(tài)路線優(yōu)先的概念進(jìn)行建模。換句話說，根據(jù)交通信號燈，有些路線比其他路線優(yōu)先。

非結(jié)構(gòu)化道路——RSS還包括涉及停車場等非結(jié)構(gòu)化區(qū)域的場景。這里的關(guān)鍵概念是可預(yù)測性。AV像人類一樣可以根據(jù)當(dāng)前的軌跡預(yù)測在沒有車道標(biāo)記的環(huán)境中的車輛路徑。如果一輛車偏離了這個預(yù)測（通過改變航向），它必須有足夠長的距離來讓迎面而來的汽車進(jìn)行調(diào)整。這個距離是可以計算出來的，如果改變航向的車輛違反了該距離，則是錯誤的。

結(jié)論

Mobileye始終通過創(chuàng)新工程應(yīng)對挑戰(zhàn)，同時也非常注重驗(yàn)證安全性并以使客戶能承受的成本實(shí)現(xiàn)產(chǎn)品的能力。這是全球絕大多數(shù)汽車制造商選擇我們提供當(dāng)今尖端救生安全系統(tǒng)（如自動緊急制動）的關(guān)鍵原因?，F(xiàn)在，我們與可擴(kuò)展的專用計算平臺、定制數(shù)據(jù)中心、云計算和下一代通信領(lǐng)域的領(lǐng)先企業(yè)英特爾攜手合作，大幅拓寬ADAS功能并實(shí)現(xiàn)AV。

Intel和Mobileye已經(jīng)開始與寶馬公司合作，開發(fā)符合這些概念的AVs非排他性的平臺。這是合作伙伴包容性關(guān)系的一個例子，每個合作伙伴都有共同的愿景，即將安全放在首位。我們也清楚地認(rèn)識到，如果沒有一個真正可擴(kuò)展的經(jīng)濟(jì)模型，那么AVs的真正潛力將永遠(yuǎn)不會被大眾所體驗(yàn)。