雷锋网按：Mobileye闯红灯之后，这些成绩值得我们沉思。

说到自动驾驶，我们不得不提到Mobileye的大名。无须置疑，这家视觉技术公司可谓行业翘楚。

前不久，Mobileye宣布将在耶路撒冷公路上开端测试多达 100 辆汽车，并约请媒体试乘了Mobileye自动驾驶汽车，该车外部装备12台摄像头，但没有其他传感器。

无须置疑，这次媒体活动对Mobileye是一个绝佳时机——展现其团队在自动驾驶汽车开发方面的停顿，并地下解释其称为RSS框架（Responsibility-Sensitive Safety：责任敏感型平安框架）的汽车平安概念。很分明，RSS框架的目的是让自动驾驶汽车在公共路途上平安驾驶。

但出人意料的是，在这次测试中，Mobileye自动驾驶汽车竟然在众目睽睽之下闯了红灯！

事情发作后，Mobileye CEO Shashua 也赶忙出面解释，他表示，电视台摄像机上的无线收发安装发生了电磁搅扰，直接影响了交通讯 号灯的收发机，招致信号异常。虽然车辆曾经精确判别信号灯转红，但它却无视了该信息，直接按着收发机收回的信号行驶了。

虽然Shashua 表示，Mobileye 曾经对这一成绩停止了修复。但这件事情通知我们：自动驾驶汽车行业依然有很长一段路要走。

计算机视觉：目前的独一办法

几个月来，科技公司、Tier 1和汽车厂商不断在议论“传感器交融”成绩，即结合不同的传感器技术，协助自动驾驶汽车分辨出路途上忽然呈现的物体。 虽然在业内，“传感器交融”曾经变成了一个共识的趋向，但业界并没有验证传感器能否可以精确地感知信息，更不必说多个传感器感知的信息能否可以在不呈现任何软件毛病的状况下，正确交融。

如今，大少数从事完全自动驾驶技术的公司都在少量使用激光雷达传感器技术, 但是 Mobileye 还仍然坚持仅仅依托摄像头停止导航。

不过，Mobileye公司的方案并非一定要坚持只依托摄像头来完成他们的完全自动驾驶。恰恰相反, 他们测试一个只需摄像头的零碎只是为了验证其技术栈（智能互联产品所需的整套全新的技术根底设备）的平安性，这一步也正是他们在完全自动驾驶范畴的“非主流”开发办法的一局部。

英特尔公司初级副总裁、Mobileye首席执行官兼首席技术官Amnon Shashua在博客中写道：“仅用摄像头是我们完成我们称之为‘真正的冗余’感应的战略。”

他在博客中写道：真正的冗余提供了两大优势：

第一，验证感知零碎所需的数据量会大大降低；

第二，在某个独立零碎发作毛病的状况下，车辆可以持续平安运转， 而交融零碎的车辆需求立刻中止驾驶。

但是，Mobileye的终极目的，并不是只要摄像头的零碎。 Mobileye的初级副总裁兼首席联络官Dan Galv表示：M呼吁行业者在政府部门出台相关政策标准的之前，从业者一定要规范自己的行为准则健康有序的快速发展。obileye方案开发各种测试车辆，并在将来几周内添加不同类型的传感器，包括雷达和激光雷达。这是开发的第二阶段的方案。

虽然在Mobileye最后的传感器零碎方案中，传感器互相独立，每个传感零碎都可以支持完全自主驾驶。但是，Galves强调：“Mobileye‘不扫除晚期传感器交融的想法’”。

关于业界对自动驾驶晚期与早期传感器交融的争论，Galves早就认识到了。他说：“不论是晚期和还是早期的交融办法，我们都将停止实验。”

我们能置信AI吗？

值得留意的是，最新的Mobileye自动驾驶测试车辆都装备了“平安信封”（a formal safety envelope）。

依据Galves的说法，Mobileye希望其完全自动驾驶汽车可以比人为驱动的车辆更快、更顺畅、更经济地从动身地 A 点抵达目的地 B 点，而且它可以驾驭任何路况。

另一个目的是：无需在公共路途上停止上亿千米的验证测试，而是用一种实际验证的通明办法来完成比人为驱动的汽车的平安性系数高 1000 倍的完全无人驾驶汽车。

他供认这些条件中的一些互相抵触，他解释说，Mobileye正在装置两个独立的零碎：基于强化学习的AI零碎，该零碎提出了自动驾驶汽车的接上去的方案；以及基于“平安层” 的正式确定性零碎，其可以否认“不平安”的自动驾驶决策。

换句话说，Mobileye并不完全信任AI来真正学习“莽撞”和“平安”之间的区别。

Galves表示：Mobileye并没有破费宏大精神来优化AI算法，而是引入决策零碎来补偿“概率AI零碎”。这个被Mobileye称为“平安信封”的平安层扮演着“监视”的角色，协助自动驾驶汽车分辨出平安与风险之间的界线。

一个是执行者（Doer），一个反省者（Checker)？

关于Shashua在博客中说“Mobileye将提出驾驶行为的零碎与同意（或回绝）驾驶举动的零碎别离开来”的说法，卡内基梅隆大学的平安专家Koopman表示：“这两个零碎一个像执行者（Doer），一个像反省者（Checker)。”

（来源: Edge Case Research)

依据Koopman的说法，执行者零碎担任完成正常的功用，而反省零碎担任平安。用Koopman的话来说，Mobileye的“平安信封”是“又一个众所周知的平安技术”。

Koopman指出，运用已被充沛了解和证明的平安技术是个好主见。他补充说：“这比发明一个新概念要好得多，由于新概念中能够存在尚未发现的奇妙缺陷。”

真正的冗余

Koopman说，在创立模仿机器人零碎时，他的研讨团队采取了相似的方式。 在机器人零碎的实验中，他发现了精确感知很难完成。

在一篇采访中, Koopman对 Mobileye 在本人的平安性计算所基于的假定采取地下通明的态度，表示了赞扬。不过，他也关于两套传感零碎的毛病率彼此互相独立的假定，表示疑心。

Koopman表示：很难置信激光雷达和雷达的毛病率之间互不依赖，并且会像他们所解释的那样最终可以被证明。在自动驾驶范畴，仅仅依托假定的零碎是不够的，这些假定必需首先被证明。但是我们如今就简直可以一定的有些假定是错的, 作者能够甚至不晓得他们事先为什么会那样假定。实践上，要完成真正的冗余是一个十分顺手的事情。在冗余的传感器之间，即便有一个十分小的毛病，也能够招致剖析生效。

他在博客中写道：依据Moibleye的逻辑，假如你用两个完全独立的传感零碎来感知一团体，那么感知一定不会失败。假如任何一个传感器感知到了这团体，那么它就会采取举动停止操作。 同时，由于独立性，零碎会以为：假如两个传感器都没感知到这团体，这种状况一定是不成立的。 这是一个合理而常用的实际。

但成绩是，假如两个传感零碎由于某种缘由而都没有感知到这团体，那该怎样办？ 假如这两个传感零碎是光学传感器，那么它们能够同时被路上的泥巴盖住了，或是同时在图书馆功用上存在软件缺陷，或是同时遇到电源毛病，或是在训练时同时遭遇了未知的数据错误。在这些状况下，两个传感零碎能够都没能感知到这团体。当然，你可以尝试加重这些成绩，但是要处置的东西太多了。

Koopman总结说：“简而言之，完满的冗余是一件十分难以完成的事情。 值得留意的是，Mobileye将冗余和传感器多样性区分开来。 对他们来说，这是一个合理的事情，也是重要的思索要素。 但这个事情，远远没有这么复杂。

换句话说，不论是关于Mobileye，还是关于其他自动驾驶行业玩家来说，要完满处理相关感知毛病成绩，依然道阻且长。

RSS 框架

去年秋天，Mobileye宣布了一篇题为 《平安和可晋级的自动驾驶汽车模型（On a Formal Model of Safe and Scalable Self-Driving Cars）》 的技术论文。

这篇论文惹起了争议，由于它断言，这个行业需求一个数学模型，这样在事故发作时，可以免除自动驾驶汽车的责任。因而，自动驾驶需求遵照一套“事后确定的错误规则”。

目前，Mobileye正在开发一种数学公式模型，用于准确定义各种车辆在特定的碰撞事故中发作的毛病。Mobileye在论文中有很大一局部都在论述该公司制定确实切规则，这一规则被他们称为 RSS 框架。这一框架规则了自动驾驶环境和进程中各类事物的规则，比方跟随间隔、行走优先权以及对被遮挡的物体怎样坚持警觉。

Mobileye 公司说，一旦有了这个模型，它们就可以从数学的角度证明，依据Mobileye的自动驾驶导航算法所作出的对自动驾驶汽车的操作指示不会招致碰撞等事故的发作。

学术界的平安专家们为Mobileye停止了辩护，他们指出，自动驾驶行业需求对自动驾驶汽车的平安采取严厉的措施，并赞扬了Mobileye勇于尝试处理顺手成绩的态度。

Mobileye似乎以一种更平和、更咄咄逼人的方式来构建RSS框架。Mobileye将RSS框架描绘为“一种正式的、可验证的零碎。RSS框架标准了在一系列复杂路况中的人类判别，明白界定了什么是平安驾驶、什么是莽撞驾驶。

关于人类驾驶员来说，碰撞和其它事故责任的解释并不是原封不动的。驾驶员的失误，都是依据事情发作后不完好的信息和各类要素来断定的。

关于机器来说，这些定义可以是正式的、精准的。机器拥有四周环境的高度准确信息，机器晓得其反响工夫和制动力，并且永远不会专心、走神或是被搅扰。经过机器，我们不需求在预先解释其行为。

但是，就算我们假定这个数学模型是无可挑剔的，也并不能证明运用该模型算法的自动驾驶汽车永远不会形成任何事故。由于该模型树立所基于的假定是一个永远无法证明是理想的“理想世界”。另外，工程师在将实际模型转化为任务代码时难免会犯错误。

RSS的作用

Koopman表示本人十分赞同“执行者”和“反省者”的这种方式。但是，他解释说：你需求一种办法来定义“平安”，这样“反省者”才干顺利任务。要处理这个成绩，就需求用到RSS框架。因而，RSS框架可以用来定义平安。

但是，Koopman并不清楚Mobileye对RSS框架的最新定义能否与去年秋天宣布的技术论文中的RSS框架定义相反。

不过，Mobileye 关于 RSS 框架的定位不止于此，他们想要让 RSS 框架最终成为理想世界测试的替代方案，他们宣称应用这种办法无需停止少量测试就可以证明一辆自动驾驶汽车比人类驾驶者平安 1000 倍。但是，有很多自动驾驶汽车能够会反映错误的状况，这都没有被 Mobileye 的实际模型思索出来。

那么RSS在哪里运转？

Mobileye提出了两个独立的零碎（—个是基于AI的驾驶零碎，另一个是基于RSS框架的驾驶零碎），那么这两个零碎辨别在哪个硬件上运转？虽然这两个零碎都可以在EyeQ系列芯片上运转，但是可以合理地假定有两个独立的芯片在起作用。

Galves说，基于加强学习的驾驶零碎由感知零碎生成，只能在Mobileye的EyeQ系列芯片上运转。但是，RSS框架可以在多种不同的硬件处理方案上完成。

他补充说：“这项功用十分重要，由于我们希望RSS零碎可以成为自动驾驶行业主导的规范。同时，我们需求保证整个行业不需求运用专门的Mobileye硬件或Mobileye驾驶零碎算法，也能从RSS框架中获益。”

Koopman赞同Galves的观念。让“执行者”和“反省者”互相独立的一个关键优势是“执行者”算法在需求时可以持续改良，而不需求经过重新验证的进程。同时，“反省者”将在一个更高的平安集成程度（SIL）芯片上运转，其驾驶零碎算法可以与行业规范持平。

参考材料：

Doer/Checker for Safety Envelopes： https://youtu.be/pp_Tuu4Qzgg

Safety Envelopes： https://youtu.be/oIQDtprFhYY

论文 On a Formal Model of Safe and Scalable Self-Driving Cars 地址： https://arxiv.org/pdf/1708.06374.pdf

雷锋网引荐阅读：

Mobileye CEO 定义了全新的平安规范，它真的靠谱吗？

Mobileye CEO Amnon Shashua撰文：数学模型如何标准自动驾驶窘境？

想靠数学模型处理自动驾驶时代的事故成绩，Mobileye 的工程师思想“很傻很天真”？

雷锋网注：6 项会员专享特权，全年 100 期精髓内容，带你深化浅出看懂自动驾驶。假如想参加雷锋网 (大众号：雷锋网) 「新智驾会员方案」，欢送点击链接 ： https://www.leiphone.com/aidrive/vip   或扫描海报下方二维码理解概况。

。