與 Waymo 公司相反,Mobileye 公司提倡以一種以數學公式為理論基礎的方法來證明自己的汽車是安全的。Mobileye 公司的驗證計劃是，將自己的自動駕駛系統分成兩部分：感知部分和策略部分，然后對這兩者分別進行測試和驗證。

Mobileye，一家被英特爾公司去年收購的以色列自動駕駛汽車技術公司, 在 5 月 17 日宣布, 將在耶路撒冷公路上開始測試多達 100 輛汽車。但在一次由一家以色列電視臺實況轉播的測試中,他們的公眾示范車卻在一個紅燈路口發生闖燈失誤。

在面向汽車制造商的駕駛員輔助技術領域，Mobileye 公司是全球銷售最好的公司之一。Mobileye 公司本來是希望借助這次電視轉播向全世界證明，隨著世界一步步向完全自主駕駛汽車的時代發展, 該公司并沒有執著于自己的老本行固步自封，而是緊跟完全自動駕駛發展的最新步伐。不過這次的紅燈路口事故表明,該公司在完全自動駕駛領域的技術可能已經遠遠落后于像 Waymo 這樣的行業領導者。

圖 | Amnon Shashua, Mobileye公司聯合創始人兼CTO

如今，大多數從事完全自主駕駛技術的公司都在大量應用激光雷達傳感器技術,但是 Mobileye 公司還依然堅持僅僅依靠攝像頭進行導航。Mobileye 公司的計劃并非一定要堅持只依靠攝像頭來實現他們的完全自動駕駛。恰恰相反, 他們測試一個只需攝像頭的系統只是為了驗證其技術棧（智能互聯產品所需的整套全新的技術基礎設施）的安全性，這一步也正是他們在完全自動駕駛領域的“非主流”開發方法的一部分。

這種“非主流”方法首先在該公司去年 10 月發布的一份白皮書中得到概述, 隨后 Mobileye 公司的首席研究官阿農?沙舒亞（Amnon Shashua）在自己博客文章中也詳細闡述了這一策略。

“我們希望我們的完全自動駕駛汽車可以比人為驅動的車輛更快、更順暢、更經濟地從出發地 A 點到達目的地 B 點，而且它可以駕馭任何路況；我們的另一個目標是，無需在公共道路上進行上億千米的驗證測試，而是用一種理論驗證的透明方法來實現比人為驅動的汽車的安全性系數高 1000 倍的完全無人駕駛汽車。”沙舒亞在博客中寫道。

這是一個大膽的挑戰目標，人們都在懷疑到底有沒有可能實現。以下就是值得懷疑的幾點理由：

Mobileye公司希望用公式與模型進行安全性的證明

目前完全無人駕駛行業的領導者 Waymo 公司，已經在超過 965 萬千米的道路上進行了測試, 而且基于在真實路況上測試收集到的數據，Waymo 公司進行了數億萬千米的模擬實驗。但 Mobileye 公司認為, 這種做法不僅浪費時間，而且不太可能證明自己可以為完全無人駕駛提供足夠的安全保證。

與 Waymo 公司相反,Mobileye 公司提倡以一種以數學公式為理論基礎的方法來證明自己的汽車是安全的。Mobileye 公司的驗證計劃是，將自己的自動駕駛系統分成兩部分：感知部分和策略部分，然后對這兩者分別進行測試和驗證。根據其分類，感知部分會使用從傳感器提取它捕獲的原始數據，并給感知到的各個對象標記上它的精確的三維坐標。隨后, 策略部分根據這個已經在各個三維地理位置標記有無數對象的三維世界里計算并計劃導航路線。

“汽車傳感系統的錯誤更容易被驗證計算, 因為車輛傳感系統是可以不依賴于汽車的制動系統的, 因此我們可以通過離線數據來計算驗證發生嚴重的感知錯誤的概率。”沙舒亞表示。

Mobileye 公司認為，利用傳感器的冗余性來計算可以使傳感系統的驗證變得更加容易。他們的計劃是先開發一個僅使用攝像頭就可以安全自動駕駛的系統, 然后再單獨開發一個系統, 該系統僅僅使用激光雷達和雷達也可以安全自動駕駛。

Mobileye 公司解釋說，如果該公司可以做到這兩個系統中每個系統的傳感誤差都分別少于每 3 萬小時一次, 那么就可以得出這樣的結論,同時攜帶這兩種類型傳感器的自動駕駛系統傳感誤差將不超過 10 億（3 萬 × 3 萬≈10 億）小時一次。

但是這樣的解釋是基于兩個十分大膽的假設的，每一個假設都還遠遠沒有達到可以被證實的階段。

第一個假設就是，這兩個傳感系統的失效模式是彼此獨立互不依賴的，也就是說, 一個很有可能被基于攝像機的感知系統識別錯誤的場景，在被基于激光雷達的識別系統感知時，并不一定有更高的犯錯概率；反之亦然。但是對于 Mobileye 的這一假設，我們并不認為其很有說服力。

“雷達一般在惡劣天氣條件下也可以繼續工作, 但卻有可能受到與實際場景不相關的金屬物體的影響而識別錯誤, 與此相反，攝像機很可能會在惡劣天氣中做出錯誤的感知判斷, 但不太可能受到任何金屬物體的影響。”Mobileye 公司在去年 10 月發布的白皮書這樣解釋。

“表面上看, 照相機和激光雷達有著共同的錯誤來源——都是因為受到大霧天氣、大雨和積雪的影響。然而, 相機和激光雷達的錯誤類型實際上是不同的。相機可能由于惡劣的天氣而沒有捕捉到某個前方路上的實物對象, 而激光雷達則可能會因為空氣中的粒子的反射現象在識別畫面上呈現一個實際上不存在的對象。不過，如果我們區分這兩種類型的錯誤, 兩個系統之間的近似獨立性仍然成立。”

很明顯, 不同類型的傳感器有不同的優缺點, 因此使用多種不同類型的傳感器會給整個系統的安全性帶來有益的冗余。但是, 這些冗余并不意味著這些傳感器的失效模式是完全獨立互不相關的。而如果不是這樣的話, Mobileye 的每一個基于上面所說的每億萬公里分之一的錯誤率的數學運算都不再成立。

在一篇采訪中, 卡耐基梅隆的安全專家菲利普?考夫曼（Philip Koopman）對 Mobileye 在自己的安全性計算所基于的假設采取公開透明的態度，表示了贊揚。不過，他也對于兩套傳感系統的故障率彼此相互獨立的假設，表示懷疑。

“很難相信激光雷達和雷達的故障率之間互不依賴，并且會像他們所解釋的那樣最終可以被證實。”考夫曼（Koopman）說：“在自動駕駛領域，僅僅依靠假設的系統是不夠的，這些假設必須首先被證實。但是我們現在就幾乎可以肯定的有些假設是錯的, 作者可能甚至不知道他們當時為什么會那樣假設。”

Mobileye 忽略了現實世界的復雜性

最后一點也是最讓我們擔心的一點：Mobileye 所建立的模型可能會作出根本不能描述真實世界的假設。

例如, Mobileye 的理論中用隱含著這樣的假設——將兩個傳感器系統融合在一起并不會引入任何新的錯誤源。但正如研究分析員山姆?阿布爾薩米得（Sam Abuelsamid）所指出的那樣, 這一假設很有可能是不成立的。“一旦開始將多個東西結合在一起, 潛在的失效模式就會增加。”他說。

將激光雷達探測到的數據和相機捕捉到的數據結合在一起的這一過程被稱為傳感信息融合, 這一過程需要大量的代碼。阿布爾薩米得告訴我們, 更多的代碼行意味著更多出現錯誤的可能性。“實驗結果所代表的現實中的復雜性也會以爆炸式的速度增長。”

同樣也是由于類似的原因，人們也在批判 Mobileye 公司的另一部分的驗證方法，也就是以自己創建的真實世界的三維模型為起點來決定自動駕駛汽車如何操作的軟件。

Mobileye 公司目前正在開發一種數學公式模型，用于精確定義各種車輛在特定的碰撞事故中發生的故障。Mobileye 公司在 10 月份發表的白皮書中有很大一部分都在闡述該公司制定的確切規則，這一規則被他們稱為RSS 框架（Responsibility-Sensitive Safety：責任敏感型安全框架）。這一框架規定了自動駕駛環境和過程中各類事物的規則，比如跟隨距離、行走優先權以及對被遮擋的物體怎樣保持警惕。

Mobileye 公司說，一旦有了這個模型，它們就可以從數學的角度證明，根據它們公司的自動駕駛導航算法所作出的對自動駕駛汽車的操作指示不會導致碰撞等事故的發生。

但就算我們假設這個數學模型是無可挑剔的，也并不能證明使用該模型算法的自動駕駛汽車永遠不會造成任何事故。因為該模型建立所基于的假設是一個永遠無法證明是現實的“現實世界”。另外，工程師在將理論模型轉化為工作代碼時難免會犯錯誤。

不過這并不是要否定 RSS 框架在判斷一個自動駕駛系統的安全性方面的有用性。如果 Mobileye 只是想把這一框架應用在安全性方面，那么這會是給自動駕駛領域的寶貴的貢獻。

但是 Mobileye 對于 RSS 框架的定位不止于此，他們想要讓 RSS 框架最終成為現實世界測試的替代方案，他們聲稱利用這種方法無需進行大量測試就可以證明一輛自動駕駛汽車比人類駕駛者安全 1000 倍。然而，有很多自動駕駛汽車可能會反映錯誤的情況，這都沒有被 Mobileye 的理論模型考慮進去。

Mobileye的商業模式也許才是它自己的致命弱點

我們懷疑 Mobileye 公司想方設法去盡量減少實際上路測試的一個原因是，大量的測試與 Mobileye 的商業模式不太吻合。Waymo 在這一方面提供了一個有用的對比。

Waymo 公司已經在公共道路上進行了超過 965 萬千米的測試。去年秋天，該公司已經對自己的系統有了足夠的自信，在測試中已經不需要駕駛員在測試汽車中進行應急處理（當自動駕駛系統無法作出反應時由駕駛員來補救）。該公司希望于今年晚些時候在鳳凰城地區推出自動駕駛汽車出租車服務。

Waymo 在安全性的驗證問題上的解決思路是極端漸進主義。該公司一開始只在一些自己精心挑選的天氣良好、道路標志明顯的地區進行測試。隨著時間的推移和經驗的積累，Waymo 逐漸升級了其車輛的軟件和傳感器，收集越來越多的地圖數據，便逐漸將測試擴展到新的更具挑戰性的操作環境。

圖 | 英特爾的子公司Mobileye的僅僅使用攝像頭的測試汽車

這個過程是一個持續的過程，即使是Waymo 在鳳凰城啟動自己最初的服務之后，這些測試還會繼續持續很長時間。因為如果 Waymo 公司認為自己的汽車對于特定情況和地區（如積雪或密集的城市交通）沒有足夠的自信，他們將只能繼續投入足夠時間去進行更多的開發和測試，直到自己感到有把握之后，才會在那些地區提供服務。

但是在有些狀況中，不得不用數學方法證明一套自動駕駛技術在任何情況下都能完美地工作，Waymo 公司也可能會遇到這樣的情況。以目前的研發方法，Waymo 汽車可能只有在很多年之后才能在交通擁堵曼哈頓或冬天的明尼阿波利斯安全駕駛，不過 Waymo 公司有耐心，也等得起。因為在接下來的幾年里，Waymo 將可以輕松地在繁忙的太陽城郊區如鳳凰城、亞特蘭大、奧斯汀和拉斯維加斯等城市提供出租車服務，以確保公司有足夠的資金周轉。

但是對于 Mobileye 公司，這種測試方法并不可行。這家以色列公司同時還在為傳統的汽車制造商提供芯片、傳感器和軟件。據 Mobileye 透露，目前已有來自 27 家不同汽車制造商的超過 1500 萬輛汽車使用 Mobileye 技術。

Mobileye 公司的技術不僅被用于日產汽車的先進駕駛輔助產品上，同時還被用于奧迪即將推出的 A8 汽車的駕駛輔助功能上。Mobileye 公司還為通用汽車的超級巡航技術提供照相機。此外，在開發自動駕駛技術方面，Mobileye 與寶馬和菲亞特克萊斯勒都有著廣泛的合作。據路透社的報道，Mobileye 已經簽署了一項協議，將于 2021 年開始給一家尚未命名的汽車制造商的 800 萬輛汽車提供技術。

因此，如果 Mobileye 公司像 Waymo 計劃的那樣啟動出租車服務將是 Mobileye 自己的一次徹底轉變，這將有可能會疏遠當前已有的客戶。Mobileye 需要一套新的開發及驗證策略，以適應今后將汽車直接賣給客戶而非之前的汽車制造商的商業模式。

Mobileye 已經或多或少地在白皮書中承認了這個問題，不過他們認為這是整個行業面臨的一個問題。

他們在白皮書中寫道：“到了自動駕駛汽車進行大規模生產的時候，可持續的用于驗證安全性的研發實驗成本和在任何地方都可以實現自動駕駛的能力（而不僅僅是選擇少數城市），也將會是維持業務的必要條件之一。”

其實 Mobileye 應該想要表達的是，在任何地方都可以實現自動駕駛的能力是維持 Mobileye 自身商業模式的必要條件，因為 Mobileye 目前的業務主要是最終將自己的技術銷售給汽車制造商，而不是像 Waymo 公司所想的那樣創造出租車服務。

如果 Mobileye 想要它們的自動駕駛技術在任何地區都可以適用，那么公司將不得不意識到增量開發和廣泛大量的實際測試是不切實際的。舉例來說，Waymo 在十多年來一直在測試汽車，并且最近才開始認真研究雪地路況的自動駕駛技術。如果 Mobileye 延續相同的軌跡，那么它很可能 2020 年前后都無法推出自己的首套完全自行駕駛技術。

因此，Mobileye 公司的領導層已經確信，自己需要利用數學公式來證明和替代數百萬千米的現實世界測試，因為它的商業模式并沒有給它帶來很多好的選擇。但是，僅僅靠希望并不一定能夠使想法成真。