兰德公司资深研究员：实现自动驾驶安全性的挑战 | 厚势

引子

位于美国加州圣莫尼卡市的兰德公司（RAND Corporation）是世界最负盛名的决策咨询机构，致力于解决公共政策领域的棘手问题。如今，针对自动驾驶汽车的法律法规的制定逐渐变成了公共政策领域的重要课题。

图 1  兰德公司自动驾驶政策资深研究员 Nidhi Kalra

尼迪·卡尔拉（Nidhi Kalra）是兰德公司的资深研究员，同时也是兰德公司旧金山湾区办事处的负责人。卡尔拉在自动驾驶政策方面有着 10 多年的研究经验，曾两次在美国国会组织的自动驾驶汽车政策法规听证会上出席陈述（testify）。

在卡尔拉看来，要真正实现自动驾驶汽车在大幅改善公共交通安全上的承诺，尚需克服以下两方面的挑战。

目前尚可靠且可行的方法，可在自动驾驶汽车被大规模使用前就验证其安全性能

道路考试并无法证明自动驾驶汽车的安全性

在美国，普通公民想取得驾驶执照，必须通过各州机动车管理局组织的道路考试，以评估该公民是否能在正常交通场景下完成特定的驾驶技能。但即便通过了路考，也并不能保证该公民就是一位未来不会出交通事故的安全驾驶员，他只是被认为足以授予驾照而已。

自动驾驶汽车也能在此类道路测试中证明自己可以实现基本的驾驶技能，但这并不能真正证明其安全性，因为这需要其在其所能遇见的所有交通场景下都表现出一贯的性能。

那为什么人类驾驶员不需要遍历所有驾驶场景呢？原因在于，人类举一反三的推理能力远超自动驾驶汽车的智能水平（这也是目前人工智能的研究方向之一——迁移学习），前者对于自己没有见过的交通场景也能自如应对，而后者通常是不知道如何处理的。

图 2  Google 自动驾驶汽车遇到的防洪沙袋

从某种程度上看，SAE Level 4 及以上的自动驾驶的是否能实现取决于所收集的大数据的完备程度。典型的反面例子是 2016 年 2 月发生的迄今唯一 一起 Google 自动驾驶汽车需要承担主动责任的交通事故：当时该车在道路上检测到一个 5 公斤大小的家庭防洪沙袋（如图 2 所示），由于数据库中以前没有这个东西，就试图换道绕过去，而不是像一般人类驾驶员那样直接压过去。由于该车没有方向盘，坐在车上的人员也无法人为控制方向，结果出了一次小事故。

这与其说这是由于无人车的判断出现了失误，不如说是数据的缺失，其完备性仍有待改善。因此，针对人类驾驶员的道路考试的数据样本实在太小，并不能验证自动驾驶汽车的安全性。

虽然大规模的道路测试可以使自动驾驶汽车的安全性能具有统计意义，但这在现实中并不可行

既然考验人类驾驶水平的道路考试并不能证明自动驾驶汽车的安全性，一个合理的替代方法便是，在真实的交通场景中广泛地对其进行测试，并分析其展示出的性能。

事实上，自动驾驶汽车的研发人员正是依靠这种方法来评估和改进他们设计的系统。通常的做法是，经过培训的操作人员坐在方向盘的后面，并时刻准备在故障事件（failure incident）即将发生前及时进行人工干预。事后，研发人员会分析该故障事件，以评估车辆在不干预的情况下会采取什么决策，以及该决策是否会导致碰撞或其它安全问题。

图 3  时任 Google 自动驾驶项目负责人的 Chris Urmson 出席国会听证会

在需要的时候，研发人员会将道路测试的数据提交给针对自动驾驶汽车立法的听证会。例如，Google 自动驾驶项目前负责人 Chris Urmson 就在 2016 年 3 月 5 日出席了美国国会组织的听证会，介绍了 Google 自动驾驶汽车的道路测试情况，如图 3 所示。

这种方法具有统计学方面的优点：有关测试里程的数量与道路类型的数据，以及有关车祸次数、受伤与死亡人数的数据，可以被用来评估自动驾驶汽车的安全性能。 然而，这种方法对于车辆上市前测试（pre-market testing）而言，可以说是不切实际的：即便由人类驾驶员造成的交通事故和伤亡人员的总的来看较高，但与他们的总行驶里程相比，这些故障事件的发生频率还是非常低的。

例如，美国人每天驾车行驶的里程有近 80 亿英里，换算下来每年将行驶 3 万亿英里。据美国交通统计局发布的官方数据， 2015 年美国交通事故死亡人数有 35092 人，受伤人数为 244 万人。换算下来，相当于美国所有车辆每行驶 1 亿里程，将造成 1.12 人死亡，78 人受伤。

图 4  证明 自动驾驶汽车安全性所需的测试时间

（车队规模：100辆测试车辆；测试时速：40 英里/小时；测试强度：每天 24 小时）

因此，鉴于目前造成伤亡的交通事故相比于总的车辆行驶里程，属于较罕见的意外事件，SAE Level 4 及以上的全自动驾驶汽车必须积累数亿英里，有时甚至是数百亿英里的测试里程，其数据才能具有统计学意义，从而证明其自动驾驶技术在减少伤亡方面的可靠性。然而即便是在较为激进的测试计划中，自动驾驶测试车队（100 辆自动驾驶汽车以 40 英里/小时的时速每天测试 24 小时）也需要花费数十年，甚至数百年的时间来积累上述所需的测试里程，如图 4 所示。

这对于计划在数年时间内将自动驾驶技术推向市场的相关厂商而言，这根本就是一个不可能完成的任务！事实上，目前道路测试做的最多的 Google 在 6 年时间内（2009 年到 2015 年）一共才只积累了 130 万英里的自动驾驶测试里程。但话又说回来，考虑到美国消费者地理位置分布广泛，且每个人的每天的驾驶里程普遍较多，一旦全自动驾驶汽车上市销售，其安全性能到底如何很容易就会被测试出来，然后被媒体曝光。如果安全方面的体验不佳，后果将是灾难性的。

用部分虚拟仿真测试来替代道路测试具有明显的优点，但其效果仍未得到验证

另一种方法是在部分模拟（Partial Simulation）环境中进行测试。例如，特斯拉在去年宣布，其在未来生产的所有汽车都将配备足以实现全自动驾驶功能的传感器套件和数据处理能力，包括其刚发布的平价电动汽车 Tesla Model 3 。但是，此功能目前还不会激活，而是将以「影子」模式（Shadow Mode）运行。

在该模式下，自动驾驶系统会收集传感器数据并作出驾驶决策，就好像是该系统在操控汽车一样，但事实上这些决策并不会被真正执行。与之相反，人类驾驶员仍会保持对汽车的操控权，且其作出的决策会被拿来与自动驾驶系统作出的决策作对比，以便检测该系统是否发出了错误的或异常的指令，而这些指令在整个测试车队出现的频率可以从侧面验证自动驾驶系统的性能。

事实上，特斯拉利用「影子」模式来改进自动驾驶系统的方法是典型利用强化学习（Reinforcement Learning）来训练数学模型以使其符合所描述对象的过程，这与 AlphaGo 的训练方法并无二致——计算机在没有人为给定方向的条件下，自己试着先走一步，然后有一个名为「代理」（Agent）的程序会告诉它这一步走的好不好（即会有反馈信息），如果走错了，「代理」会予以处罚，从而及时纠正错误方向。

图 5  订购量已达 50 万台的 Tesla Model 3 可为利用强化学习改进 Tesla Autopilot 收集大量数据

应用到 Tesla Autopilot 便是：如果它开得对，人就不干预；如果开错了，人会马上进行人工干预。即便 Autopilot 没有开启，「影子」模式仍然可以从人类驾驶员的决策中得到宝贵的反馈信息，将其与自身做出的虚拟决策作对比，从而不断改进自动驾驶系统的决策质量。就测试效果来看，由于测试车辆规模庞大，特别是等到 Tesla Model 3 大量上市后（如图 5 所示），这种方法可使自动驾驶汽车的安全性能在数月内就能够以具有统计意义的方式得到验证，而不是前文中提到的小规模车队所需要的数十年甚至数百年测试时间。

虽然以「影子」模式为代表的部分模拟方法一方面不会将早期用户以及公众置于危险境地，另一方面能使自动驾驶系统不断进行强化学习，从而不断改善安全性，但是其作为测试自动驾驶系统性能的一类通用方法的有效性，尚需进一步分析与验证。部分原因在于，此方法并不适用于尚未在市场上大规模出售配置了全自动驾驶所需硬件的汽车的厂商。

现存的功能安全标准并不适用于自动驾驶汽车

另一个问题是，针对自动驾驶汽车，现存的功能安全标准们是否还适用？例如，目前汽车行业正在使用的汽车电气和电子系统功能安全的国际标准 ISO 26262 。这些标准在设计之初，完全没有考虑过自动驾驶这一技术场景，将之强行套用会遇到多种困难，例如：

• 这些标准仅针对人类驾驶员可以介入并纠正错误的汽车，不适用不需要人工干预的 SAE Level 4 及以上的全自动驾驶汽车；

• 当系统输入值和输出值可以很明确地指定时（即进行过标定处理），这些标准能很好地工作，但当自动驾驶汽车中海量且不同类型的数据从传感器实时传输过来并需要对其进行传感器融合时，输入输出值是无法提前指定的；

• 将形式化分析应用于基于神经网络的机器学习方法是很困难的，因为该方法经常会制定出人类难以解释的决策规则，但机器学习是目前改进自动驾驶性能的核心技术。

当然，这并不意味着现存的功能安全标准完全没用，而是需要做进一步的工作来使其适应自动驾驶汽车所带来的独特挑战。

综上所述，目前汽车行业与政府部门都没有一种既切实可行又效果良好的方法来测试自动驾驶汽车的安全性。诸如「这款自动驾驶汽车有多安全？」之类的问题，在其被大规模使用之前是无法回答的。但这并不意味着自动驾驶汽车就该被禁止投入市场，因为该技术在较少交通事故伤亡方面的具有巨大的潜力。相反，这只是表明，在研发自动驾驶技术本身的同时，需要同时开发测试、验证其性能的方法。

对「自动驾驶汽车多安全才算够」尚无定论

即便目前尚不能完全验证自动驾驶汽车的安全程度，「自动驾驶汽车应该多安全才算够」这一问题仍然值得探究。某些人坚持认为，任何没有完全消除风险、在安全问题上有所妥协的产品都是不可接受的。此观点可能会引发的争论是：为什么人类经常犯错就是可以被原谅的，机器偶尔出几次错就不能忍呢？

一种合理的做法是，当自动驾驶汽车的驾驶水平被认定高于人类驾驶员的平均值之后，它们就应该被允许上路行驶。由此，不仅不会创造新增风险，还能减少伤亡数量。某些观点甚至认为，如果厂商可以将早期市场部署作为快速提高车辆安全性能的一种方式，即使自动驾驶汽车的安全性不如人类驾驶员的平均水平，也应该准许其上市。

图 6  Waymo 在美国死亡谷对其自动驾驶汽车 Pacifica 进行高温驾驶测试 

事实上，随着数据的积累，自动驾驶系统的安全性能只会稳步提升，直至远超平均水平。计算机的学习速度比人类快的多，特别是以车队为单位进行测试时，每辆车所收集的数据都会被其它汽车所借鉴。此外，除了安全方面的益处之外，在乘坐自动驾驶汽车时，人们可以在车上做许多比开车更有意义、更有趣的事情，如办公、购物、游戏等，老人、小孩、行动不便者等弱势群体也能借此享受平等的出行便利，这些益处或可覆盖安全方面的缺点。

小结

在「数据驱动」作为一切人工智能技术领域方法论基础的时代，由计算机来代替人类解决智能问题的通常做法是：收集尽可能完备的真实数据，然后借由强大的计算能力来得到数学模型的各个参数。在不涉及人身安全问题时，收集数据或许还不容易引发民众的抵触情绪，但汽车驾驶毕竟性命攸关。

由此，一方面，为了得到性能更好的自动驾驶模型以实现更高的主动安全性能，车辆必须上路测试以收集真实有效的数据，而这必定会在一定程度上影响自动驾驶汽车乘坐人员以及路上其它车辆的人身安全。另一方面，民众则会要求，只有自动驾驶汽车已经被证明是安全的，才可以上路行驶。

论述至此，在自动驾驶汽车商业化的过程中，各参与方又遇到了典型的悖论——「先有鸡还是先有蛋？」而这一切最终需要政府的立法机关作出抉择：是愿意承担一时的风险以换取未来长久的道路安全，还是安于现状，不做不错？

参考资料

• Nidhi Kalra. Challenges and Approaches to Realizing Autonomous Vehicle Safety. RADN Corporation. 2017/02/14

• Nidhi Kalra. Challenges and Approaches to Realizing Autonomous Vehicle Safety and Mobility Benefits. RADN Corporation. 2017/05/18 

• Myra Blanco, Jon Atwood, Sheldon Russell, etc. Automated Vehicle Crash Rate Comparison Using Naturalistic Data. Virginia Tech Transportation Institute. 2016/01

• Lee Gomes. Hidden Obstacles for Google’s Self-Driving Cars: Impressive Progress Hides Major Limitations of Google’s Quest for Automated Driving. Massachusetts Institute of Technology. 2014/8/28

作者：厚势分析师盖布林

转载请注明来自厚势和厚势公号：iHoushi

-END-

文章精选

企业家

智能驾驶

新能源汽车

项目和评论

厚

势

汽

车

为您对接资本和产业

新能源汽车 自动驾驶 车联网

联系邮箱

[e-mail]

点击「阅读原文」，发现更多精彩！