自动驾驶汽车时代的安全是有多安全

“我们不喜欢飞机舱意外出现漏洞；我们不喜欢桥梁坍塌；我们不喜欢核电站泄漏的放射性物质。但是工程师们必须按照特定的规范设计东西，并且他们必须解决如何保证安全机制足够安全的问题。”国际风险分析学会主席巴鲁克·费斯科霍夫(Baruch Fischhoff)教授在著作《人类可接受风险》中这样描述。

在巴鲁克·费斯科霍夫看来，“安全的定义并不是严格的工程术语，而是一个社会术语。”

而回到我们现在在谈论的自动驾驶汽车时代，汽车工业，政府监管者现在正在考虑的是：“安全有多安全？“

特斯拉现在看来仍然非常激进。

公司CEO埃隆·马斯克曾经说过：“仅仅为了躲避批评或害怕卷入诉讼而保留提高安全性的功能，在道义上是错误的。”

对于此前发生的一起特斯拉车辆事故，特斯拉争辩说，在明亮的天空下，司机和汽车都无法分辨或响应一辆白色拖车在前方穿过马路。

上周六，特斯拉正式向北美用户推送“Navigate on Autopilot”，在原有的单车道自动驾驶和半自动变道的功能上，增加了半自动上下高速匝道功能。

全车搭载8个摄像头、1个毫米波雷达和12个超声波雷达。但目前使用岔路自动转向和自动下匝道两个功能，以及自动变道，都还需要驾驶员打转向灯后车辆才能执行。

马斯克表示，在通过1000万英里（约合1609万公里）的测试确认安全性满足要求后，特斯拉会取消这一个步骤，让整个流程更加便利。

但大多数机构此后抨击特斯拉的做法，“我们不认为人类应该被用作测试对象。汽车制造商需要在和消费者沟通系统能力和局限性方面做得更好。”

当然，自动驾驶的安全性，来自于过去对交通事故数据的分析。鉴于大约94%的机动车碰撞是由于驾驶员失误造成的，一般假设无人驾驶汽车将被证明是更安全的替代方案，比如驾驶员酒驾、分心、疲劳等等。

但实际上，今天自动驾驶面临最大的问题是道路条件的变化。有经验的司机知道如何应对各种情况和障碍，包括行人、自行车手和道路布局的变化。

近日，美国交通部负责政策的副部长Derek Kan表示，自动驾驶汽车制造商需要一个更好的标准来证明他们的产品是安全的。

在他看来，目前自动驾驶公司最广泛使用的两项指标——行驶里程和人为干预频率——不足以证明自动驾驶汽车的安全性。

其中最大的问题来自于这些指标本身存在的缺陷。比如，每家自动驾驶公司的路测里程是“不平等的”。这些里程，有多少是在复杂街区，又有多少是在空旷的公路上？此外，对于每次人为接管介入的具体原因，其实不尽相同。

厄姆森也不赞成目前行业对自动驾驶系统成熟度的两种衡量标准：汽车行驶了多少英里，以及人类安全驾驶员需要多久干预控制一次。“比如，识别红绿灯或左转箭头，才是目标。”这就是我们正在寻找的评估方法，我们关心在这些功能上的差距。”

作为自动驾驶初创公司Aurora的CEO，厄姆森表示“我认为有很多人低估了自动驾驶系统的微妙和复杂。”在带领并帮助卡内基·梅隆大学在Darpa挑战赛赢得冠军之后，厄姆森成为谷歌自动驾驶团队的创始成员，他一直呆到2016年。

在这个领域中，许多迫在眉睫的问题之一是如何向警惕的监管者证明，自动驾驶车可以足够安全地大规模部署。没有真正的机制可以做到这一点，具体情况会因城市而异。

问题分成两部分：首先是当事情（故障）发生时，接下来会发生什么。比如，传感器可能会崩溃，计算机可能会崩溃。然后，你为每种故障设置一个修正或响应机制。汽车会靠边停车，它会激活后备系统，它会告诉后台人员，等等。

其次，我们需要证明当一切都是正常工作时，系统工作的有多出色。这类似于统计学原理，比如我们识别了多少行人，识别了多少红绿灯/左转弯标识等等。

目前来看，很多问题的解决是非常困难的，我们需要专注于一些关键问题，并不断完善，这仍然需要很长时间。

今年10月，Waymo官方宣布旗下自动驾驶汽车在公共道路的测试里程突破1000万英里。这个数字，为Waymo无人驾驶出租车车队即将宣布正式开始商业化运营提供了非常漂亮的安全佐证。

有业内人士质疑，“简单的里程积累，不意味着车辆就能够处理各种各样的突发路况。“

我们可以类比一下飞机的安全标准。飞机也同样是大量的控制参数越来越多的依靠计算机软硬件承担，因此软硬件产品的质量和可靠性不仅影响到产品的性能，甚至会危及飞机的安全。

在大多数情况下，大家都承认自动驾驶可能比一个（可能分心的）人类驾驶员更快地做出正确的决定。但是如果失败了怎么办？

与自动驾驶汽车相关的主要标准是ISO 26262。其目的是确保在整个汽车系统中进行适当的安全管理。ISO 26262的一部分是汽车安全完整性等级（ASIL）分类的优先集合。

ASIL级别分类是由硬件故障（或控制硬件的软件）在不同场景中造成的危害的严重程度所决定的，并且分为四个等级从A到D（最严格）。

遵从ISO 26262要求硬件和软件被设计成安全的，例如使用回退路径、自我监控和冗余。硬件需要根据其运行的ASIL级别进行测试。

软件开发也有一个标准。汽车SPICE（ASPICE）是一个设计和评估汽车软件开发过程的标准框架。

在汽车系统开发中，安全性、可靠性和可追溯性至关重要，因此是产品开发人员的主要关注点。相关的法规和指导方针包括IEC 61508、ISO 26262、ISO 15504（汽车SPICE）和用于安全关键型汽车软件和设备开发人员的CMMI（能力成熟度模型集成）。

这些标准一般规定：对需求和过程的一致性、透明性和可追溯性的需求；全面风险管理和质量保证活动；有效和成熟的开发方法和流程的使用；对整个生命周期中的工件和过程进行清晰的文档化。

值得注意的另一个标准是IEEE 2020，本标准目前正在起草中。它指定的方法和指标用于测试汽车图像的质量，以确保一致性和创建跨行业参考点。

目前，在行业内没有一致的方法来测量基于机器视觉的汽车图像质量。IEEE 2020将定义一套标准化的用于测量汽车相机图像质量属性的客观和主观测试方法，并指定工具和测试方法。

显然，从行业的技术和测试标准角度，还处于非常早期的阶段。

此外，围绕法律还有一整套问题，包括责任、网络安全和隐私。

“重要的是，政府没有试图在监管方面领先于技术。”一位接近美国交通政策制定的人士表示，“我们不知道正确的答案是什么。它的变化非常迅速，政府监管也无法跟上。所以，现在最好的办法就是观察技术的发展，让它在规范之前成熟一点。”

当然，减少风险通常意味着减少效益。比如，无人驾驶移动出行车辆的行驶速度控制在一个相对低速的状态，但这并不符合出行商业模式要解决的痛点。

而如果没有一个普遍接受的定义，什么是足够安全的无人驾驶汽车，这条道路显然变得是曲折前行。

“当他们（自动驾驶系统）像十几岁的司机时，我们是否允许他们在路上，或者我们等待他们像职业司机一样好吗？”其实，这样的问题，就是之前人们在面对人工智能的时候，同样需要面对的。