Mobileye CEO Amnon Shashua撰文：数学模型如何规范自动驾驶困境？

雷锋网按：Mobileye 前不久发表的论文《On a Formal Model of Safe and Scalable Self-Driving Cars》（意为“论安全和可大规模部署自动驾驶汽车的形式化模型”）可谓一石激起千层浪，它触动了整个自动驾驶行业的敏感神经。

据雷锋网了解，这篇论文引起的争论核心问题是： Mobileye 断言自动驾驶行业需要一个数学模型，只要自动驾驶汽车能遵守事先定好的清晰规则，就能一劳永逸的解决与自动驾驶汽车相关的交通事故问题。但是，这个方法真的有效吗？

责任敏感安全（RSS，Responsibility Sensitive Safety ）模型阐释了如何通过规范事故过错和车辆安全来推动自动驾驶行业发展。

英特尔高级副总裁、Mobileye CEO Amnon Shashua 近日撰文表示，责任敏感安全模型是一种催化剂，它能够推动行业组织、汽车制造商和监管机构进行跨行业讨论。

据雷锋网(公众号：雷锋网)了解，自发布以来，这篇论文受到了广泛肯定，但与此同时还存在一些问题。

其中一个关键问题是：人类判断出于法律、安全和文化等多方面考量，而RSS模型似乎只专注在法律层面。有人认为RSS旨在让制造商免于承担责任——“这是一种误解”， Shashua撰文给出了自己的解释。

RSS如何规范自动驾驶困境？

Shashua在文中指出：RSS规范了在一系列复杂路况中的人类判断。它明确界定了什么是安全驾驶、什么是鲁莽驾驶。对于人类驾驶员来说，碰撞和其它事故责任的解释不是一成不变的。驾驶员的失误，都是根据事件发生后不完整的信息和各类因素来判定的。

对于机器而言，这些定义可以是正式的、精准的。机器拥有周围环境的高度精确信息，机器知道其反应时间和制动力，并且永远不会分心、走神或是被干扰。通过机器，我们不需要在事后解释其行为。相反，我们可以对机器进行编程，使其遵循一个既定模式。

Shashua表示：RSS模型的核心，就是要把当今的驾驶困境形成书面文字，并把它放在特定语境中理解。

例如，并道和超车时的安全距离和安全车距；哪辆车超车并应由其保持安全距离；如何把路权融入模型；如何通过有限的感应来界定安全驾驶（比如，当行人从建筑或停泊的车后突然出现），等等。

显然，人类判断包含避免事故，而不仅仅是逃避责任。RSS旨在打下基础，在驾驶过程中设定人类判断的方方面面，其目标就是为自动驾驶汽车出具一份正式的“安全证明”。

RSS = 减少交通事故

RSS不做什么？Shashua在文中阐述了以下两点：

RSS不允许自动驾驶汽车做出导致碰撞的判断——即使自动驾驶汽车拥有路权。另一方面，RSS不允许自动驾驶汽车执行非法操作，例如：为了避免碰撞而跨过实线，或者为了避免危险而绕过并排停靠的汽车。它不允许自动驾驶汽车鲁莽行动，因为，这有可能会造成其它碰撞。

RSS不允许自动驾驶汽车通过造成轻微事故来避免另一起事故。换句话说，要想避免由人类驾驶员造成的碰撞，RSS模型允许自动驾驶汽车在不造成其它事故的前提下，采取任何行动（包括违反交通法规）。这种约束是恰当的，因为，对事故严重性的判断十分主观，很可能会忽略隐藏的关键变量，例如：一起看似“不太严重”的事故中，后座上有一个婴儿。

无论如何，如果社会允许通过一起碰撞而缓解另一起碰撞，那么，在某种情况下，它可通过“责任传递性”的概念添加到RSS公式中。这样，一起完整事故的责任就可以分配给启动连锁事件的车辆。我们决定，不在模型中加入这种可能性——尽管这是可以做到的。

 “拥有路权，而不是争抢路权”，这个常识性观念也是RSS的一部分。以穿越十字路口的汽车为例，路灯为车辆通行提供合法路权，但是，如果另一辆汽车闯红灯，就会挡住路口。在这种情况下，RSS并不为自动驾驶汽车提供权利，去撞击挡路的汽车。根据RSS，如果自动驾驶汽车这样做，那它就是过错方。

“软件能够做出最安全决策”

从逻辑上说，要想批判RSS模型，你必须找到一个事故场景。在这个场景中，RSS确定的责任与“常识性”人类判断不一致。

但在研究了国家高速公路交通安全管理局的各种撞车类型后（600万起撞车事故归纳为37种情景，覆盖所有这些事故的99.4%，全都符合RSS模型），Shashua称并没有发现这样的场景。

Shashua认为：软件能够做出最安全的决策。最关键的是，一个模型要想有用，人们就必须证明一种可能性，即开发出一种软件，它永远不会导致事故、同时还能维持正常交通运转。

还有一点不容忽视。人们必须证明，这一模型不会受到“蝴蝶效应”影响，即：目前一个看似无害的行为，将通过一系列行动，演变成灾难事件。

例如，一次具有侵犯性的并道，会导致后车刹车而滑入另一条车道，最终导致撞车。

自动驾驶如何获得认可？

Shashua 认为，Mobileye公布RSS模型，以此引发争辩、讨论和探索——这些都是通向正解的必经之路。

但现实情况却是，目前并没有RSS模型的替代方案。所以，在缺乏清晰模型的情况下，行业应该怎么做？仅仅是支持“最佳做法”？

这将转化成另一场争论——“我的自动驾驶汽车上的传感器比你的更多”，或“我们的测试项目里程数比你们更多”。

如果是在一个没有清晰模型来评估安全的世界中，这些量化声明，可能会保护自动驾驶汽车的开发者，但它们并不能保证安全。

更糟的是，它会使自动驾驶汽车过度设计、造价昂贵，以至于无法惠及普通人，尤其是最应该从中受益的弱势群体，例如老年人和残疾人，而我们期待自动驾驶能为他们提供灵活、可负担、安全、按需提供的交通方式。

只把RSS模型融入自动驾驶技术还不够。要想真正确保安全，透明度必不可少，并让社会接受“人类判断将被纳入自动驾驶决策”这一点。

Shashua指出：就汽车安全而言，精密设计的自动驾驶汽车，其安全性比人类驾驶汽车提高上千倍。要想为自动驾驶汽车成功上路做好准备，需要澄清许多问题。这些问题不只是技术创新，或者是对比不同公司的产品。

当然，对Moibleye提出的设想，也有来自业内人士的另外一种声音。他们认为：自动驾驶汽车的安全测试不能少，但这些测试不能靠处理器制造商的算法，毕竟这不符合社会的运转方式。

不过，在英特尔、在Moibleye看来，押注自动驾驶领域，是为了推动行业达成共识——绝对有必要把判断规则、责任和过错规范化，以实现对社会的巨大效益。RSS不是一个规避责任的模型，而是一个创新模型，其目的就是能够让自动驾驶汽车按照最高安全标准来运行。而自动驾驶要想获得成功，就要举整个生态系统之力，让科学实验进入真正的市场。

雷锋网推荐阅读：

想靠数学模型解决自动驾驶时代的事故问题，Mobileye 的工程师思维“很傻很天真”？

Mobileye 的安全模型理论到底行不行的通？看专家们如何解释

Mobileye CEO Amnon Shashua：如何让自动驾驶技术变成大规模落地的产品？

。