一次失误告诉我们，在 Mobileye 称霸自动驾驶之前，它还需要解决一些问题

原标题：一次失误告诉我们，在 Mobileye 称霸自动驾驶之前，它还需要解决一些问题Mobileye，一家被英特尔公司去年收购的以色列自动驾驶汽车技术公司, 在 5 月 17 日宣布, 将在耶路撒冷公路上开始测试多达 100 辆汽车。但在一次由一家以色列电视台实况转播的测试中,他们的公众示范车却在一个红灯路口发生爆炸事故。在面向汽车制造商的驾驶员辅助技术领域，Mobileye 公司是全球销售最好的公司之一。Mobileye 公司本来是希望借助这次电视转播向全世界证明，随着世界一步步向完全自主驾驶汽车的时代发展, 该公司并没有执着于自己的老本行固步自封，而是紧跟完全自动驾驶发展的最新步伐。不过这次的红灯路口事故表明,该公司在完全自动驾驶领域的技术可能已经远远落后于像 Waymo 这样的行业领导者。图 | Amnon Shashua, Mobileye 公司联合创始人兼 CTO如今，大多数从事完全自主驾驶技术的公司都在大量应用激光雷达传感器技术,但是 Mobileye 公司还依然坚持仅仅依靠摄像头进行导航。Mobileye 公司的计划并非一定要坚持只依靠摄像头来实现他们的完全自动驾驶。恰恰相反, 他们测试一个只需摄像头的系统只是为了验证其技术栈（智能互联产品所需的整套全新的技术基础设施）的安全性，这一步也正是他们在完全自动驾驶领域的“非主流”开发方法的一部分。这种“非主流”方法首先在该公司去年 10 月发布的一份白皮书中得到概述, 随后 Mobileye 公司的首席研究官阿农?沙舒亚（Amnon Shashua）在自己博客文章中也详细阐述了这一策略。“我们希望我们的完全自动驾驶汽车可以比人为驱动的车辆更快、更顺畅、更经济地从出发地 A 点到达目的地 B 点，而且它可以驾驭任何路况；我们的另一个目标是，无需在公共道路上进行上亿千米的验证测试，而是用一种理论验证的透明方法来实现比人为驱动的汽车的安全性系数高 1000 倍的完全无人驾驶汽车。”沙舒亚在博客中写道。这是一个大胆的挑战目标，人们都在怀疑到底有没有可能实现。以下就是值得怀疑的几点理由：·Mobileye公司希望用公式与模型进行安全性的证明目前完全无人驾驶行业的领导者 Waymo 公司，已经在超过 965 万千米的道路上进行了测试, 而且基于在真实路况上测试收集到的数据，Waymo 公司进行了数亿万千米的模拟实验。但 Mobileye 公司认为, 这种做法不仅浪费时间，而且不太可能证明自己可以为完全无人驾驶提供足够的安全保证。与 Waymo 公司相反, Mobileye 公司提倡以一种以数学公式为理论基础的方法来证明自己的汽车是安全的。Mobileye 公司的验证计划是，将自己的自动驾驶系统分成两部分：感知部分和策略部分，然后对这两者分别进行测试和验证。根据其分类，感知部分会使用从传感器提取它捕获的原始数据，并给感知到的各个对象标记上它的精确的三维坐标。随后, 策略部分根据这个已经在各个三维地理位置标记有无数对象的三维世界里计算并计划导航路线。“汽车传感系统的错误更容易被验证计算, 因为车辆传感系统是可以不依赖于汽车的制动系统的, 因此我们可以通过离线数据来计算验证发生严重的感知错误的概率。”沙舒亚表示。Mobileye 公司认为，利用传感器的冗余性来计算可以使传感系统的验证变得更加容易。他们的计划是先开发一个仅使用摄像头就可以安全自动驾驶的系统, 然后再单独开发一个系统, 该系统仅仅使用激光雷达和雷达也可以安全自动驾驶。Mobileye 公司解释说，如果该公司可以做到这两个系统中每个系统的传感误差都分别少于每 3 万小时一次, 那么就可以得出这样的结论,同时携带这两种类型传感器的自动驾驶系统传感误差将不超过 10 亿（3 万 × 3 万≈10 亿）小时一次。但是这样的解释是基于两个十分大胆的假设的，每一个假设都还远远没有达到可以被证实的阶段。第一个假设就是，这两个传感系统的失效模式是彼此独立互不依赖的，也就是说, 一个很有可能被基于摄像机的感知系统识别错误的场景，在被基于激光雷达的识别系统感知时，并不一定有更高的犯错概率；反之亦然。但是对于 Mobileye 的这一假设，我们并不认为其很有说服力。“雷达一般在恶劣天气条件下也可以继续工作, 但却有可能受到与实际场景不相关的金属物体的影响而识别错误, 与此相反，摄像机很可能会在恶劣天气中做出错误的感知判断, 但不太可能受到任何金属物体的影响。”Mobileye 公司在去年 10 月发布的白皮书这样解释。“表面上看, 照相机和激光雷达有着共同的错误来源——都是因为受到大雾天气、大雨和积雪的影响。然而, 相机和激光雷达的错误类型实际上是不同的。相机可能由于恶劣的天气而没有捕捉到某个前方路上的实物对象, 而激光雷达则可能会因为空气中的粒子的反射现象在识别画面上呈现一个实际上不存在的对象。不过，如果我们区分这两种类型的错误, 两个系统之间的近似独立性仍然成立。”很明显, 不同类型的传感器有不同的优缺点, 因此使用多种不同类型的传感器会给整个系统的安全性带来有益的冗余。但是, 这些冗余并不意味着这些传感器的失效模式是完全独立互不相关的。而如果不是这样的话, Mobileye 的每一个基于上面所说的每亿万公里分之一的错误率的数学运算都不再成立。在一篇采访中, 卡耐基梅隆的安全专家菲利普?考夫曼（Philip Koopman）对 Mobileye 在自己的安全性计算所基于的假设采取公开透明的态度，表示了赞扬。不过，他也对于两套传感系统的故障率彼此相互独立的假设，表示怀疑。“很难相信激光雷达和雷达的故障率之间互不依赖，并且会像他们所解释的那样最终可以被证实。”考夫曼（Koopman）说：“在自动驾驶领域，仅仅依靠假设的系统是不够的，这些假设必须首先被证实。但是我们现在就几乎可以肯定的有些假设是错的, 作者可能甚至不知道他们当时为什么会那样假设。”· Mobileye 忽略了现实世界的复杂性最后一点也是最让我们担心的一点：Mobileye 所建立的模型可能会作出根本不能描述真实世界的假设。例如, Mobileye 的理论中用隐含着这样的假设——将两个传感器系统融合在一起并不会引入任何新的错误源。但正如研究分析员山姆?阿布尔萨米得（Sam Abuelsamid）所指出的那样, 这一假设很有可能是不成立的。“一旦开始将多个东西结合在一起, 潜在的失效模式就会增加。”他说。将激光雷达探测到的数据和相机捕捉到的数据