一次失誤告訴我們，Mobileye還需要解決哪些問題

06-03

來自專欄 DeepTech深科技

Mobileye，一家被英特爾公司去年收購的以色列自動駕駛汽車技術公司, 在 5 月 17 日宣布, 將在耶路撒冷公路上開始測試多達 100 輛汽車。但在一次由一家以色列電視台實況轉播的測試中, 他們的演示車輛卻闖了紅燈。

在面向汽車製造商的駕駛員輔助技術領域，Mobileye 公司是全球銷售最好的公司之一。Mobileye 公司本來是希望藉助這次電視轉播向全世界證明，隨著世界一步步向完全自主駕駛汽車的時代發展, 該公司並沒有執著於自己的老本行固步自封，而是緊跟完全自動駕駛發展的最新步伐。不過這次的紅燈路口事故表明, 該公司在完全自動駕駛領域的技術可能已經遠遠落後於像 Waymo 這樣的行業領導者。

圖 | Amnon Shashua, Mobileye 公司聯合創始人兼 CTO

如今，大多數從事完全自主駕駛技術的公司都在大量應用激光雷達感測器技術, 但是 Mobileye 公司還依然堅持僅僅依靠攝像頭進行導航。Mobileye 公司的計劃並非一定要堅持只依靠攝像頭來實現他們的完全自動駕駛。恰恰相反, 他們測試一個只需攝像頭的系統只是為了驗證其技術棧（智能互聯產品所需的整套全新的技術基礎設施）的安全性，這一步也正是他們在完全自動駕駛領域的「非主流」開發方法的一部分。

這種「非主流」方法首先在該公司去年 10 月發布的一份白皮書中得到概述, 隨後 Mobileye 公司的首席研究官阿農?沙舒亞（Amnon Shashua）在自己博客文章中也詳細闡述了這一策略。

「我們希望我們的完全自動駕駛汽車可以比人為驅動的車輛更快、更順暢、更經濟地從出發地 A 點到達目的地 B 點，而且它可以駕馭任何路況；我們的另一個目標是，無需在公共道路上進行上億千米的驗證測試，而是用一種理論驗證的透明方法來實現比人為驅動的汽車的安全性係數高 1000 倍的完全無人駕駛汽車。」沙舒亞在博客中寫道。

這是一個大膽的挑戰目標，人們都在懷疑到底有沒有可能實現。以下就是值得懷疑的幾點理由：

Mobileye公司希望用公式與模型進行安全性的證明

目前完全無人駕駛行業的領導者 Waymo 公司，已經在超過 965 萬千米的道路上進行了測試, 而且基於在真實路況上測試收集到的數據，Waymo 公司進行了數億萬千米的模擬實驗。但 Mobileye 公司認為, 這種做法不僅浪費時間，而且不太可能證明自己可以為完全無人駕駛提供足夠的安全保證。

與 Waymo 公司相反, Mobileye 公司提倡以一種以數學公式為理論基礎的方法來證明自己的汽車是安全的。Mobileye 公司的驗證計劃是，將自己的自動駕駛系統分成兩部分：感知部分和策略部分，然後對這兩者分別進行測試和驗證。根據其分類，感知部分會使用從感測器提取它捕獲的原始數據，並給感知到的各個對象標記上它的精確的三維坐標。隨後, 策略部分根據這個已經在各個三維地理位置標記有無數對象的三維世界裡計算並計劃導航路線。

「汽車感測系統的錯誤更容易被驗證計算, 因為車輛感測系統是可以不依賴於汽車的制動系統的, 因此我們可以通過離線數據來計算驗證發生嚴重的感知錯誤的概率。」沙舒亞表示。

Mobileye 公司認為，利用感測器的冗餘性來計算可以使感測系統的驗證變得更加容易。他們的計劃是先開發一個僅使用攝像頭就可以安全自動駕駛的系統, 然後再單獨開發一個系統, 該系統僅僅使用激光雷達和雷達也可以安全自動駕駛。

Mobileye 公司解釋說，如果該公司可以做到這兩個系統中每個系統的感測誤差都分別少於每 3 萬小時一次, 那麼就可以得出這樣的結論, 同時攜帶這兩種類型感測器的自動駕駛系統感測誤差將不超過 10 億（3 萬 × 3 萬≈10 億）小時一次。

但是這樣的解釋是基於兩個十分大膽的假設的，每一個假設都還遠遠沒有達到可以被證實的階段。

第一個假設就是，這兩個感測系統的失效模式是彼此獨立互不依賴的，也就是說, 一個很有可能被基於攝像機的感知系統識別錯誤的場景，在被基於激光雷達的識別系統感知時，並不一定有更高的犯錯概率；反之亦然。但是對於 Mobileye 的這一假設，我們並不認為其很有說服力。

「雷達一般在惡劣天氣條件下也可以繼續工作, 但卻有可能受到與實際場景不相關的金屬物體的影響而識別錯誤, 與此相反，攝像機很可能會在惡劣天氣中做出錯誤的感知判斷, 但不太可能受到任何金屬物體的影響。」Mobileye 公司在去年 10 月發布的白皮書這樣解釋。

「表面上看, 照相機和激光雷達有著共同的錯誤來源——都是因為受到大霧天氣、大雨和積雪的影響。然而, 相機和激光雷達的錯誤類型實際上是不同的。相機可能由於惡劣的天氣而沒有捕捉到某個前方路上的實物對象, 而激光雷達則可能會因為空氣中的粒子的反射現象在識別畫面上呈現一個實際上不存在的對象。不過，如果我們區分這兩種類型的錯誤, 兩個系統之間的近似獨立性仍然成立。」

很明顯, 不同類型的感測器有不同的優缺點, 因此使用多種不同類型的感測器會給整個系統的安全性帶來有益的冗餘。但是, 這些冗餘並不意味著這些感測器的失效模式是完全獨立互不相關的。而如果不是這樣的話, Mobileye 的每一個基於上面所說的每億萬公里分之一的錯誤率的數學運算都不再成立。

在一篇採訪中, 卡耐基梅隆的安全專家菲利普?考夫曼（Philip Koopman）對 Mobileye 在自己的安全性計算所基於的假設採取公開透明的態度，表示了讚揚。不過，他也對於兩套感測系統的故障率彼此相互獨立的假設，表示懷疑。

「很難相信激光雷達和雷達的故障率之間互不依賴，並且會像他們所解釋的那樣最終可以被證實。」考夫曼（Koopman）說：「在自動駕駛領域，僅僅依靠假設的系統是不夠的，這些假設必須首先被證實。但是我們現在就幾乎可以肯定的有些假設是錯的, 作者可能甚至不知道他們當時為什麼會那樣假設。」

Mobileye 忽略了現實世界的複雜性

最後一點也是最讓我們擔心的一點：Mobileye 所建立的模型可能會作出根本不能描述真實世界的假設。

例如, Mobileye 的理論中用隱含著這樣的假設——將兩個感測器系統融合在一起並不會引入任何新的錯誤源。但正如研究分析員山姆?阿布爾薩米得（Sam Abuelsamid）所指出的那樣, 這一假設很有可能是不成立的。「一旦開始將多個東西結合在一起, 潛在的失效模式就會增加。」他說。

將激光雷達探測到的數據和相機捕捉到的數據結合在一起的這一過程被稱為感測信息融合, 這一過程需要大量的代碼。阿布爾薩米得告訴我們, 更多的代碼行意味著更多出現錯誤的可能性。「實驗結果所代表的現實中的複雜性也會以爆炸式的速度增長。」

同樣也是由於類似的原因，人們也在批判 Mobileye 公司的另一部分的驗證方法，也就是以自己創建的真實世界的三維模型為起點來決定自動駕駛汽車如何操作的軟體。

Mobileye 公司目前正在開發一種數學公式模型，用於精確定義各種車輛在特定的碰撞事故中發生的故障。Mobileye 公司在 10 月份發表的白皮書中有很大一部分都在闡述該公司制定的確切規則，這一規則被他們稱為 RSS 框架（Responsibility-Sensitive Safety：責任敏感型安全框架）。這一框架規定了自動駕駛環境和過程中各類事物的規則，比如跟隨距離、行走優先權以及對被遮擋的物體怎樣保持警惕。

Mobileye 公司說，一旦有了這個模型，它們就可以從數學的角度證明，根據它們公司的自動駕駛導航演算法所作出的對自動駕駛汽車的操作指示不會導致碰撞等事故的發生。

但就算我們假設這個數學模型是無可挑剔的，也並不能證明使用該模型演算法的自動駕駛汽車永遠不會造成任何事故。因為該模型建立所基於的假設是一個永遠無法證明是現實的「現實世界」。另外，工程師在將理論模型轉化為工作代碼時難免會犯錯誤。

不過這並不是要否定 RSS 框架在判斷一個自動駕駛系統的安全性方面的有用性。如果 Mobileye 只是想把這一框架應用在安全性方面，那麼這會是給自動駕駛領域的寶貴的貢獻。

但是 Mobileye 對於 RSS 框架的定位不止於此，他們想要讓 RSS 框架最終成為現實世界測試的替代方案，他們聲稱利用這種方法無需進行大量測試就可以證明一輛自動駕駛汽車比人類駕駛者安全 1000 倍。然而，有很多自動駕駛汽車可能會反映錯誤的情況，這都沒有被 Mobileye 的理論模型考慮進去。

Mobileye的商業模式也許才是它自己的致命弱點

我們懷疑 Mobileye 公司想方設法去盡量減少實際上路測試的一個原因是，大量的測試與 Mobileye 的商業模式不太吻合。Waymo 在這一方面提供了一個有用的對比。

Waymo 公司已經在公共道路上進行了超過 965 萬千米的測試。去年秋天，該公司已經對自己的系統有了足夠的自信，在測試中已經不需要駕駛員在測試汽車中進行應急處理（當自動駕駛系統無法作出反應時由駕駛員來補救）。該公司希望於今年晚些時候在鳳凰城地區推出自動駕駛汽車計程車服務。

Waymo 在安全性的驗證問題上的解決思路是極端漸進主義。該公司一開始只在一些自己精心挑選的天氣良好、道路標誌明顯的地區進行測試。隨著時間的推移和經驗的積累，Waymo 逐漸升級了其車輛的軟體和感測器，收集越來越多的地圖數據，便逐漸將測試擴展到新的更具挑戰性的操作環境。

圖 | 英特爾的子公司 Mobileye 的僅僅使用攝像頭的測試汽車

這個過程是一個持續的過程，即使是 Waymo 在鳳凰城啟動自己最初的服務之後，這些測試還會繼續持續很長時間。因為如果 Waymo 公司認為自己的汽車對於特定情況和地區（如積雪或密集的城市交通）沒有足夠的自信，他們將只能繼續投入足夠時間去進行更多的開發和測試，直到自己感到有把握之後，才會在那些地區提供服務。

但是在有些狀況中，不得不用數學方法證明一套自動駕駛技術在任何情況下都能完美地工作，Waymo 公司也可能會遇到這樣的情況。以目前的研發方法，Waymo 汽車可能只有在很多年之後才能在交通擁堵曼哈頓或冬天的明尼阿波利斯安全駕駛，不過 Waymo 公司有耐心，也等得起。因為在接下來的幾年裡，Waymo 將可以輕鬆地在繁忙的太陽城郊區如鳳凰城、亞特蘭大、奧斯汀和拉斯維加斯等城市提供計程車服務，以確保公司有足夠的資金周轉。

但是對於 Mobileye 公司，這種測試方法並不可行。這家以色列公司同時還在為傳統的汽車製造商提供晶元、感測器和軟體。據 Mobileye 透露，目前已有來自 27 家不同汽車製造商的超過 1500 萬輛汽車使用 Mobileye 技術。

Mobileye 公司的技術不僅被用於日產汽車的先進駕駛輔助產品上，同時還被用於奧迪即將推出的 A8 汽車的駕駛輔助功能上。Mobileye 公司還為通用汽車的超級巡航技術提供照相機。此外，在開發自動駕駛技術方面，Mobileye 與寶馬和菲亞特克萊斯勒都有著廣泛的合作。據路透社的報道，Mobileye 已經簽署了一項協議，將於 2021 年開始給一家尚未命名的汽車製造商的 800 萬輛汽車提供技術。

因此，如果 Mobileye 公司像 Waymo 計劃的那樣啟動計程車服務將是 Mobileye 自己的一次徹底轉變，這將有可能會疏遠當前已有的客戶。Mobileye 需要一套新的開發及驗證策略，以適應今後將汽車直接賣給客戶而非之前的汽車製造商的商業模式。

Mobileye 已經或多或少地在白皮書中承認了這個問題，不過他們認為這是整個行業面臨的一個問題。

他們在白皮書中寫道：「到了自動駕駛汽車進行大規模生產的時候，可持續的用於驗證安全性的研發實驗成本和在任何地方都可以實現自動駕駛的能力（而不僅僅是選擇少數城市），也將會是維持業務的必要條件之一。」

其實 Mobileye 應該想要表達的是，在任何地方都可以實現自動駕駛的能力是維持 Mobileye 自身商業模式的必要條件，因為 Mobileye 目前的業務主要是最終將自己的技術銷售給汽車製造商，而不是像 Waymo 公司所想的那樣創造計程車服務。

如果 Mobileye 想要它們的自動駕駛技術在任何地區都可以適用，那麼公司將不得不意識到增量開發和廣泛大量的實際測試是不切實際的。舉例來說，Waymo 在十多年來一直在測試汽車，並且最近才開始認真研究雪地路況的自動駕駛技術。如果 Mobileye 延續相同的軌跡，那麼它很可能 2020 年前後都無法推出自己的首套完全自行駕駛技術。

因此，Mobileye 公司的領導層已經確信，自己需要利用數學公式來證明和替代數百萬千米的現實世界測試，因為它的商業模式並沒有給它帶來很多好的選擇。但是，僅僅靠希望並不一定能夠使想法成真。