自动驾驶汽车大规模落地所面临的挑战

在今年1月的国际消费电子展（CES）上，Mobileye公布了一段未经剪辑的时长为25分钟的路测视频，展示了Mobileye自动驾驶汽车在耶路撒冷喧嚣街道上行驶的情景。我们发布这段视频的首要目的是提高自动驾驶的透明度，即便我们也想展示Mobileye的非凡技术，但比这更重要的是，我们想向世人展示自动驾驶汽车是如何运行的，因为只有这样，自动驾驶汽车才能赢得社会的信任。

为了进一步加深大家的理解，我想要再公布一段40分钟的视频，这段新的视频同样未经剪辑，记录了Mobileye的自动驾驶汽车在耶路撒冷街道上连续行驶160英里期间的情景。我们选择通过一架无人机来跟踪拍摄这段驾驶，以便大家对驾驶环境有更形象的认知，进而更好地理解自动驾驶汽车决策背后的逻辑。需要说明的是，驾驶过程中唯一受到人工干预的是在约20分钟左右，我们为无人机更换了电池。此外，我们还为视频配备了旁白，以详细介绍Mobileye的自动驾驶技术是在何处发挥作用，以及是如何处理驾驶过程中遇到的各种复杂情况的。

这段视频提供了个机会可以清楚地阐释Mobileye自动驾驶汽车的发展思考。据我们所知，Mobileye的方案是独一无二的，在自动驾驶行业的众多厂商中也是名列前茅的。我们的目标是解决自动驾驶汽车的规模化难题，而想要真正步入自动驾驶汽车的美好未来，也必须实现规模化。我们认为，自动驾驶汽车会首先以共享汽车，例如自动驾驶班车的形式实现，进而再在消费级自动驾驶乘用车上落地。在我看来，自动驾驶汽车规模化所面临的挑战主要集中在成本、高精地图的普及以及安全性上，在此想指出的是，安全性必须以非普遍认知的方式来决定软硬件的体系结构。

早在2017年，我们就基于两项观察
发布了我们对“安全”的定义。

首先，我们需要在驾驶策略规划之初就以正式的方式阐明“小心谨慎”的定义，并以此消除决策过程中因判断失误而导致的事故（例如因并道而引发的交通事故），而这最终将用以实现安全性与实用性之间的平衡。

Mobileye的责任敏感安全模型（RSS）主要围绕驾驶员的实际操作展开，通过诸如“路权是被赋予的，而不是争夺来的”这样的概念来建立度量参数，以便让自动驾驶汽车做出安全的决策。当然，这些参数是我们与管理机构和标准机构联合制定的。在这之后，RSS模型在可供假设的范围内假定了最坏的情况，即其他道路使用者会做出的最糟糕的动作是什么。这样一来，我们就不再需要对其他道路使用者的行为进行预测了。RSS的理论证明，如果自动驾驶汽车遵循该理论所规定的假设和行为，那么自动驾驶汽车的决策大脑就永远不会造成事故。也是从那时起，RSS在全球范围内得到了推广。

在2019年末，电气电子工程师协会（IEEE）组建了一个新的工作组，并委派了英特尔公司资深首席工程师Jack Weast担任该工作组的负责人，该工作组旨在开发用于自动驾驶汽车决策的标准——IEEE 2846。该工作组的成员大致能够代表整个自动驾驶行业。在我看来，这一迹象是令人安心的，因为这表明我们可以通过全行业的合作打造一个关键里程碑，以此推动全行业的进步，进而带动我们自身的发展。

我们发表的论文中的第二个观察对我们的系统架构产生了深远的影响。

也就是，即便机器人驾驶员的决策过程参考了诸如RSS的安全模型，但我们仍然有可能面临一种情况，也就是由感知系统故障而导致的交通事故。感知系统通常由摄像头、雷达和激光雷达构成，并通过软件将传感器的原始数据转换为“环境模型”，这其中尤其包括其他道路使用者的位置和速度。即使几率极小，但有一种可能是感知系统会忽略掉道路使用者和无生命障碍物等在内的相关物体的存在，或是错误地计算其尺寸，从而引发事故。

为了更好地理解这个问题，让我们做一个“粗略的”计算。

美国每年的累积驾车行驶里程约为3.2 万亿公里，其中，导致人员受伤的事故约为600万起。假设平均驾驶速度为每小时16公里，那么平均故障间隔时间（MTBF）为50,000小时。假设我们的自动驾驶汽车的MTBF比人类的MTBF高10倍、100倍或1,000倍（请注意，我们已经排除了“和人类一样好”的这种可能，因为我们必须做得更好），假设我们部署10万辆自动驾驶汽车作为自动驾驶班车进行规模化落地（这一数字与网约车厂商提出的数字相符，以这一数字来支持几十个城市的相关服务是合理的），假设每辆自动驾驶班车每天行驶5个小时，那么，如果MTBF设计提高10倍，大概每天会出一次交通事故；如果提高100倍，每周会出一次事故；如果提高1000倍，则是每个季度仅出一次事故。

从社会的角度来看，如果道路上行驶的所有汽车的MTBF都提高10倍，这将是一个巨大的成就；但从车队经营者的角度来看，无论从经济还是从舆论上出发，每天一次事故无疑是一个无法承受的结果。显然，如果我们的目标是自动驾驶汽车的规模化落地，那么下限就是MTBF必须提高1000倍。即便是这样，每个季度出一次事故还是令人神经紧张。

MTBF提高1000倍，相当于安全行驶5000万小时，大约行驶8亿公里。即使是为了验证MTBF而收集这么大的数据量也是很麻烦的，更不用说开发出能够满足这种MTBF的感知系统了。

以上就是我们首选系统架构的背景。为了让感知系统实现如此雄心勃勃的MTBF，就需要引入冗余——特别是系统冗余，而不是系统内部的传感器冗余。这就相当于你随身携带了一个iOS手机，一个安卓手机，并自问它们同时崩溃的概率是多少？这个问题的答案大概是每个设备自行崩溃概率的乘积。同样，在自动驾驶汽车领域，如果我们仅基于摄像头来构建完整的端到端自动驾驶，然后使用雷达/激光雷达构建完全独立的功能，那么我们就拥有了两个独立的冗余子系统。这就像随身携带两个不同系统的智能手机一样，两个系统同时遇到感知失败的可能性是非常小的。这与自动驾驶汽车行业其他厂商专注于“传感器融合的处理感知系统”的方式非常不同。

然而，与构建一个同时融合所有传感器数据的自动驾驶汽车相比，构建一个纯摄像头的自动驾驶汽车要困难得多。众所周知，摄像头很难被利用，因为它对深度（范围）的访问是间接的，是建立在诸如透视、阴影、运动和几何形状这样的线索之上的。在今年的CES上，我也详细阐述了Mobileye是如何构建纯摄像头（Vision Only）的自动驾驶汽车系统的。

让我们回到今天发布的视频上，这段视频很好地展示了我们Vision Only子系统的性能。在视频中可以看到，车里既没有雷达也没有激光雷达，实际上，这辆车由8个远距摄像头和4个停车摄像头提供感知支持，这些摄像头的信息被输入到仅由两个EyeQ®5芯片支持的计算系统中。此外，自动驾驶汽车还需要平衡敏捷性与安全性，而这两者的平衡则会通过RSS来实现。众所周知，耶路撒冷的街道极具挑战性，因为其他道路使用者往往非常自我，这也给自动驾驶汽车的决策模型带来了极大的挑战。