自动驾驶标准争夺，能否为“安全”埋单「GGAI视角」

随着行业沿着部署自动驾驶的道路继续前进，相关公司越来越认识到，有必要让人们相信，自动驾驶技术实际上是安全的。

这不是一项容易的任务，因此不同相关企业的联盟，开始联合起来开发标准，以定义应该如何开发和评估自动驾驶系统。

有机构报告称，消费者对汽车自动驾驶的偏好从4级下降到2级，而认为如果所有车辆都是全自动驾驶而不是人工驾驶，道路会更安全的受访者人数在2016年至2018年间也下降了18个百分点。

上周，两项类似的行业重大举措被发布出来。

一是，欧洲汽车供应商协会(CLEPA)决定让英伟达公司领导一个新的工作组，为联网和自动化汽车开发评估方法。

CLEPA成立于1959年，总部设在布鲁塞尔，有3000多家成员企业，覆盖几乎汽车供应链的所有产品和服务。其中许多技术，如安全带、安全气囊和ESP都是由CLEPA成员公司在欧洲开发的。

除了CLEPA，英伟达还与主要的国际组织合作，为自动化车辆制定标准和法规。这些组织包括国际标准组织(ISO)、联合国欧洲经济委员会(UNECE)、国家公路交通安全管理局(NHTSA)和自动化和测量系统标准化协会(ASAM)。

二是，包括Aptiv、奥迪、百度、宝马、大陆、戴姆勒、菲亚特克莱斯勒、HERE、英飞凌、英特尔和大众在内的11家公司联合发布了一份名为《自动驾驶安全第一》(SaFAD)的框架文件。

这份白皮书是一份相当详细的长篇文件，大致分为两部分。第一，设计安全定义了自动驾驶的范围要求，涵盖12个核心原则。包括操作设计领域、安全性、用户责任、用户和车辆发起的切换、数据记录等元素。

这部分基本上定义了一位自动驾驶系统开发人员从第一天开始需要考虑的所有因素。虽然引用了诸如ISO 26262之类的现有标准，但白皮书也提到，有必要制定远远超出现有标准的准则。

第二部分，同样是涉及到系统的验证和验证。其中一个附录涉及机器学习和更具体的深层神经网络，即如何确保它们被开发、部署和正确验证。

一、黑盒子效应

由于自动驾驶系统能够在没有人工干预的情况下运行，同时与行人、骑自行车的人、动物和其他人类驾驶的车辆共存，仅仅确保它们按设计的方式（ODD）运行是不够的。

比如，特斯拉的AutoPilot在用户手册中列明了可能的功能失效条件，但滥用功能的用户仍然不在少数。而汽车制造商有时候并不会按照某一个标准（实际上也没有现成的标准）设定功能失效的处置措施。

此外，作为自动驾驶核心感知和决策的人工智能和机器学习软件和算法极其复杂，目前它们还是一个“黑匣子”运行，因此需要对旨在确保其安全运行的标准进行测试。

事实上，到目前为止，自动驾驶模式下涉及事故大多是由软件和系统设计或工程缺陷引起的，而不是E/E错误。随着人工智能和深度学习的使用增加，验证软件功能安全性变得更加复杂。

比如，在深度学习中使用带标签的数据训练人工神经网络来解决问题。因此，当复杂自动化问题的解决方案建立在深度学习或机器学习的基础上，涉及到不确定的元素，并且难以检查正确性时，安全问题就变得越来越难以解决。

一个名为ISO 21448的新标准，即预期功能的安全性(SOTIF)，目前正在开发中。这个新标准的目标是确保即使在不可预见的情况发生和所有系统正常运行的情况下，也能避免不合理的风险。

例如，如果在车辆中运行的深层神经网络错误识别交通标志或道路上的物体，即使软件没有发生故障，也会造成不安全的情况。

定义这些条件很复杂，而代表美国参加ISO 26262和SOTIF的七名官方技术专家中，英伟达的代表占了两名。

最初打算作为ISO 26262的第14部分，但SOTIF标准的范围和复杂性，推迟了ISO 26262修订版的发布，以至于最终作为一个新的独立的SOTIF草案提交（ISO PAS 21448）。

系统工作的现实世界环境的可变性才是一个真正的挑战。因此，测试及验证需要同时包括道路、台架和仿真测试。由于目前大多数自动驾驶系统还包括机器学习和深度神经网络(DNN)的组件，这使得测试验证更具挑战性。

传统的软件架构使测试人员能够逐行进行测试，并最终理解代码中的每一个可能的路径。这甚至可以通过现代测试工具自动化。然而，DNN更像是一个黑盒，因此将其分解成可管理的块以便单独测试是很重要的。

最终，像自动驾驶这样复杂的系统不会针对所有可能的场景进行测试，尤其是那些不经常发生的场景，因此可能需要某种程度的统计分析，以确保存在“积极的风险平衡”。

最近发表在《Risk Analysis》杂志上的研究结果显示，如果自动驾驶汽车的安全性是人类驾驶汽车的4至5倍，那么人们愿意接受它。换句话说，他们应该能够减少75%到80%的死亡或受伤的危险，而这正是ISO 21448的目标。

二、测试及验证“新商机”

“我们的目标是，所有这些系统都要比人类驾驶员安全得多，尽管这一点还没有得到任何人的最终证明。”至少就目前而言，英伟达与CLEPA的合作似乎更侧重于测试及验证方面的问题。

为了加快无人驾驶汽车SOTIF的测试和验证，英伟达开发了号称世界上第一个功能安全的人工智能自动驾驶平台——英伟达Drive。

该架构使用冗余和多样的功能，使车辆能够安全运行。即使在发生与操作者、环境或系统有关的故障时，包括过程、技术和模拟系统在内的整体安全方法也旨在将风险降到最低。

虽然流程、处理器设计和功能是实现预期功能安全级别的关键，但该公司已将大部分开发工作集中在软件、人工智能算法和虚拟现实仿真上，以确保系统的SOTIF。

与SaFAD白皮书一样，英伟达认识到有必要审计代码、跟踪和道路测试，当然还有仿真。随着英伟达在其研发过程中强调DNNs用于感知甚至控制，仿真也相应地成为其工作的关键部分。

监管机构可以为边缘情况或其他情况设计特定的测试，这些情况在不危及其他道路使用者的情况下，很难在现实世界中重现。

目前，CLEPA工作组定义了一个开放的标准，用于创建仿真场景、描述道路拓扑表示、传感器模型、世界模型，以及行业的标准和关键性能指标，以推进自动驾驶车辆部署的验证方法。

此外，不仅仅是L3及以上自动驾驶，目前功能不断叠加升级的高级驾驶员辅助系统的试验场测试也已经远远不够。随着自动化水平的不断提高，需要以安全和可重复的方式对场景进行测试。

开发自动驾驶驾驶系统必须经历这样的过程，如软件仿真、硬件在环(HiL)、车辆在环(VIL)、室内实验室测试、室外测试场，最终在公共道路上进行大规模测试。

自动驾驶仿真市场的巨大需求吸引了许多汽车行业以外的企业的涌入。测试需要各种交通场景仿真工具和海量的场景库，这是一个全新的市场。

百度也曾表示，未来Apollo可能会通过出售高清地图、仿真平台、计算硬件ACU来获利，仿真平台将成为盈利点之一。而腾讯布局自动驾驶也明确，仿真平台是基本竞争力之一，仿真服务将是未来三大盈利引擎之一。