Mobileye将自己的自动驾驶系统分成两部分

与 Waymo 公司相反,Mobileye 公司提倡以一种以数学公式为理论基础的方法来证明自己的汽车是安全的。Mobileye 公司的验证计划是，将自己的自动驾驶系统分成两部分：感知部分和策略部分，然后对这两者分别进行测试和验证。

Mobileye，一家被英特尔公司去年收购的以色列自动驾驶汽车技术公司, 在 5 月 17 日宣布, 将在耶路撒冷公路上开始测试多达 100 辆汽车。但在一次由一家以色列电视台实况转播的测试中,他们的公众示范车却在一个红灯路口发生闯灯失误。

在面向汽车制造商的驾驶员辅助技术领域，Mobileye 公司是全球销售最好的公司之一。Mobileye 公司本来是希望借助这次电视转播向全世界证明，随着世界一步步向完全自主驾驶汽车的时代发展, 该公司并没有执着于自己的老本行固步自封，而是紧跟完全自动驾驶发展的最新步伐。不过这次的红灯路口事故表明,该公司在完全自动驾驶领域的技术可能已经远远落后于像 Waymo 这样的行业领导者。

图 | Amnon Shashua, Mobileye公司联合创始人兼CTO

如今，大多数从事完全自主驾驶技术的公司都在大量应用激光雷达传感器技术,但是 Mobileye 公司还依然坚持仅仅依靠摄像头进行导航。Mobileye 公司的计划并非一定要坚持只依靠摄像头来实现他们的完全自动驾驶。恰恰相反, 他们测试一个只需摄像头的系统只是为了验证其技术栈（智能互联产品所需的整套全新的技术基础设施）的安全性，这一步也正是他们在完全自动驾驶领域的“非主流”开发方法的一部分。

这种“非主流”方法首先在该公司去年 10 月发布的一份白皮书中得到概述, 随后 Mobileye 公司的首席研究官阿农∙沙舒亚（Amnon Shashua）在自己博客文章中也详细阐述了这一策略。

“我们希望我们的完全自动驾驶汽车可以比人为驱动的车辆更快、更顺畅、更经济地从出发地 A 点到达目的地 B 点，而且它可以驾驭任何路况；我们的另一个目标是，无需在公共道路上进行上亿千米的验证测试，而是用一种理论验证的透明方法来实现比人为驱动的汽车的安全性系数高 1000 倍的完全无人驾驶汽车。”沙舒亚在博客中写道。

这是一个大胆的挑战目标，人们都在怀疑到底有没有可能实现。以下就是值得怀疑的几点理由：

Mobileye公司希望用公式与模型进行安全性的证明

目前完全无人驾驶行业的领导者 Waymo 公司，已经在超过 965 万千米的道路上进行了测试, 而且基于在真实路况上测试收集到的数据，Waymo 公司进行了数亿万千米的模拟实验。但 Mobileye 公司认为, 这种做法不仅浪费时间，而且不太可能证明自己可以为完全无人驾驶提供足够的安全保证。

与 Waymo 公司相反,Mobileye 公司提倡以一种以数学公式为理论基础的方法来证明自己的汽车是安全的。Mobileye 公司的验证计划是，将自己的自动驾驶系统分成两部分：感知部分和策略部分，然后对这两者分别进行测试和验证。根据其分类，感知部分会使用从传感器提取它捕获的原始数据，并给感知到的各个对象标记上它的精确的三维坐标。随后, 策略部分根据这个已经在各个三维地理位置标记有无数对象的三维世界里计算并计划导航路线。

“汽车传感系统的错误更容易被验证计算, 因为车辆传感系统是可以不依赖于汽车的制动系统的, 因此我们可以通过离线数据来计算验证发生严重的感知错误的概率。”沙舒亚表示。

Mobileye 公司认为，利用传感器的冗余性来计算可以使传感系统的验证变得更加容易。他们的计划是先开发一个仅使用摄像头就可以安全自动驾驶的系统, 然后再单独开发一个系统, 该系统仅仅使用激光雷达和雷达也可以安全自动驾驶。

Mobileye 公司解释说，如果该公司可以做到这两个系统中每个系统的传感误差都分别少于每 3 万小时一次, 那么就可以得出这样的结论,同时携带这两种类型传感器的自动驾驶系统传感误差将不超过 10 亿（3 万 × 3 万≈10 亿）小时一次。

但是这样的解释是基于两个十分大胆的假设的，每一个假设都还远远没有达到可以被证实的阶段。

第一个假设就是，这两个传感系统的失效模式是彼此独立互不依赖的，也就是说, 一个很有可能被基于摄像机的感知系统识别错误的场景，在被基于激光雷达的识别系统感知时，并不一定有更高的犯错概率；反之亦然。但是对于 Mobileye 的这一假设，我们并不认为其很有说服力。

“雷达一般在恶劣天气条件下也可以继续工作, 但却有可能受到与实际场景不相关的金属物体的影响而识别错误, 与此相反，摄像机很可能会在恶劣天气中做出错误的感知判断, 但不太可能受到任何金属物体的影响。”Mobileye 公司在去年 10 月发布的白皮书这样解释。

“表面上看, 照相机和激光雷达有着共同的错误来源——都是因为受到大雾天气、大雨和积雪的影响。然而, 相机和激光雷达的错误类型实际上是不同的。相机可能由于恶劣的天气而没有捕捉到某个前方路上的实物对象, 而激光雷达则可能会因为空气中的粒子的反射现象在识别画面上呈现一个实际上不存在的对象。不过，如果我们区分这两种类型的错误, 两个系统之间的近似独立性仍然成立。”

很明显, 不同类型的传感器有不同的优缺点, 因此使用多种不同类型的传感器会给整个系统的安全性带来有益的冗余。但是, 这些冗余并不意味着这些传感器的失效模式是完全独立互不相关的。而如果不是这样的话, Mobileye 的每一个基于上面所说的每亿万公里分之一的错误率的数学运算都不再成立。

在一篇采访中, 卡耐基梅隆的安全专家菲利普∙考夫曼（Philip Koopman）对 Mobileye 在自己的安全性计算所基于的假设采取公开透明的态度，表示了赞扬。不过，他也对于两套传感系统的故障率彼此相互独立的假设，表示怀疑。

“很难相信激光雷达和雷达的故障率之间互不依赖，并且会像他们所解释的那样最终可以被证实。”考夫曼（Koopman）说：“在自动驾驶领域，仅仅依靠假设的系统是不够的，这些假设必须首先被证实。但是我们现在就几乎可以肯定的有些假设是错的, 作者可能甚至不知道他们当时为什么会那样假设。”

Mobileye 忽略了现实世界的复杂性

最后一点也是最让我们担心的一点：Mobileye 所建立的模型可能会作出根本不能描述真实世界的假设。

例如, Mobileye 的理论中用隐含着这样的假设——将两个传感器系统融合在一起并不会引入任何新的错误源。但正如研究分析员山姆∙阿布尔萨米得（Sam Abuelsamid）所指出的那样, 这一假设很有可能是不成立的。“一旦开始将多个东西结合在一起, 潜在的失效模式就会增加。”他说。

将激光雷达探测到的数据和相机捕捉到的数据结合在一起的这一过程被称为传感信息融合, 这一过程需要大量的代码。阿布尔萨米得告诉我们, 更多的代码行意味着更多出现错误的可能性。“实验结果所代表的现实中的复杂性也会以爆炸式的速度增长。”

同样也是由于类似的原因，人们也在批判 Mobileye 公司的另一部分的验证方法，也就是以自己创建的真实世界的三维模型为起点来决定自动驾驶汽车如何操作的软件。

Mobileye 公司目前正在开发一种数学公式模型，用于精确定义各种车辆在特定的碰撞事故中发生的故障。Mobileye 公司在 10 月份发表的白皮书中有很大一部分都在阐述该公司制定的确切规则，这一规则被他们称为RSS 框架（Responsibility-Sensitive Safety：责任敏感型安全框架）。这一框架规定了自动驾驶环境和过程中各类事物的规则，比如跟随距离、行走优先权以及对被遮挡的物体怎样保持警惕。

Mobileye 公司说，一旦有了这个模型，它们就可以从数学的角度证明，根据它们公司的自动驾驶导航算法所作出的对自动驾驶汽车的操作指示不会导致碰撞等事故的发生。

但就算我们假设这个数学模型是无可挑剔的，也并不能证明使用该模型算法的自动驾驶汽车永远不会造成任何事故。因为该模型建立所基于的假设是一个永远无法证明是现实的“现实世界”。另外，工程师在将理论模型转化为工作代码时难免会犯错误。

不过这并不是要否定 RSS 框架在判断一个自动驾驶系统的安全性方面的有用性。如果 Mobileye 只是想把这一框架应用在安全性方面，那么这会是给自动驾驶领域的宝贵的贡献。

但是 Mobileye 对于 RSS 框架的定位不止于此，他们想要让 RSS 框架最终成为现实世界测试的替代方案，他们声称利用这种方法无需进行大量测试就可以证明一辆自动驾驶汽车比人类驾驶者安全 1000 倍。然而，有很多自动驾驶汽车可能会反映错误的情况，这都没有被 Mobileye 的理论模型考虑进去。

Mobileye的商业模式也许才是它自己的致命弱点

我们怀疑 Mobileye 公司想方设法去尽量减少实际上路测试的一个原因是，大量的测试与 Mobileye 的商业模式不太吻合。Waymo 在这一方面提供了一个有用的对比。

Waymo 公司已经在公共道路上进行了超过 965 万千米的测试。去年秋天，该公司已经对自己的系统有了足够的自信，在测试中已经不需要驾驶员在测试汽车中进行应急处理（当自动驾驶系统无法作出反应时由驾驶员来补救）。该公司希望于今年晚些时候在凤凰城地区推出自动驾驶汽车出租车服务。

Waymo 在安全性的验证问题上的解决思路是极端渐进主义。该公司一开始只在一些自己精心挑选的天气良好、道路标志明显的地区进行测试。随着时间的推移和经验的积累，Waymo 逐渐升级了其车辆的软件和传感器，收集越来越多的地图数据，便逐渐将测试扩展到新的更具挑战性的操作环境。

图 | 英特尔的子公司Mobileye的仅仅使用摄像头的测试汽车

这个过程是一个持续的过程，即使是Waymo 在凤凰城启动自己最初的服务之后，这些测试还会继续持续很长时间。因为如果 Waymo 公司认为自己的汽车对于特定情况和地区（如积雪或密集的城市交通）没有足够的自信，他们将只能继续投入足够时间去进行更多的开发和测试，直到自己感到有把握之后，才会在那些地区提供服务。

但是在有些状况中，不得不用数学方法证明一套自动驾驶技术在任何情况下都能完美地工作，Waymo 公司也可能会遇到这样的情况。以目前的研发方法，Waymo 汽车可能只有在很多年之后才能在交通拥堵曼哈顿或冬天的明尼阿波利斯安全驾驶，不过 Waymo 公司有耐心，也等得起。因为在接下来的几年里，Waymo 将可以轻松地在繁忙的太阳城郊区如凤凰城、亚特兰大、奥斯汀和拉斯维加斯等城市提供出租车服务，以确保公司有足够的资金周转。

但是对于 Mobileye 公司，这种测试方法并不可行。这家以色列公司同时还在为传统的汽车制造商提供芯片、传感器和软件。据 Mobileye 透露，目前已有来自 27 家不同汽车制造商的超过 1500 万辆汽车使用 Mobileye 技术。

Mobileye 公司的技术不仅被用于日产汽车的先进驾驶辅助产品上，同时还被用于奥迪即将推出的 A8 汽车的驾驶辅助功能上。Mobileye 公司还为通用汽车的超级巡航技术提供照相机。此外，在开发自动驾驶技术方面，Mobileye 与宝马和菲亚特克莱斯勒都有着广泛的合作。据路透社的报道，Mobileye 已经签署了一项协议，将于 2021 年开始给一家尚未命名的汽车制造商的 800 万辆汽车提供技术。

因此，如果 Mobileye 公司像 Waymo 计划的那样启动出租车服务将是 Mobileye 自己的一次彻底转变，这将有可能会疏远当前已有的客户。Mobileye 需要一套新的开发及验证策略，以适应今后将汽车直接卖给客户而非之前的汽车制造商的商业模式。

Mobileye 已经或多或少地在白皮书中承认了这个问题，不过他们认为这是整个行业面临的一个问题。

他们在白皮书中写道：“到了自动驾驶汽车进行大规模生产的时候，可持续的用于验证安全性的研发实验成本和在任何地方都可以实现自动驾驶的能力（而不仅仅是选择少数城市），也将会是维持业务的必要条件之一。”

其实 Mobileye 应该想要表达的是，在任何地方都可以实现自动驾驶的能力是维持 Mobileye 自身商业模式的必要条件，因为 Mobileye 目前的业务主要是最终将自己的技术销售给汽车制造商，而不是像 Waymo 公司所想的那样创造出租车服务。

如果 Mobileye 想要它们的自动驾驶技术在任何地区都可以适用，那么公司将不得不意识到增量开发和广泛大量的实际测试是不切实际的。举例来说，Waymo 在十多年来一直在测试汽车，并且最近才开始认真研究雪地路况的自动驾驶技术。如果 Mobileye 延续相同的轨迹，那么它很可能 2020 年前后都无法推出自己的首套完全自行驾驶技术。

因此，Mobileye 公司的领导层已经确信，自己需要利用数学公式来证明和替代数百万千米的现实世界测试，因为它的商业模式并没有给它带来很多好的选择。但是，仅仅靠希望并不一定能够使想法成真。