从737MAX谈汽车自动驾驶的人机交互

最近波音737MAX机型引发的事故令人惋惜和遗憾。事故中由于传感器故障飞机退出自动驾驶模式，而驾驶辅助系统又在飞行员手动飞行时干扰了其操作非预期地导致了事故。无形中为自动驾驶技术蒙上了一层阴影。今天随着小星一起聊聊汽车自动驾驶中的人机交互挑战吧。

在英特尔旗下Mobileye在CES2019的演讲中提出了除了常规功能安全以外的名义安全（Nominal Safety)概念。也就是安全设计不应该非预期地导致事故。它恰恰针对的就是汽车自动驾驶中的人机交互挑战。

↑英特尔旗下Mobileye提出了名义安全（Nominal Safety)概念

整个背景来源于瑞典政府提出的Vision Zero愿景，也就是2020年达到零伤亡事故的目标。为了实现这个愿景有两个途径。一个是严格交通规则，比如将城市道路限速从时速50公里降到30公里。很明显这将大大降低道路的通流能力。另一个途径就是增强驾驶辅助系统ADAS的能力从而避免事故。

而目前的AEB紧急刹车避免了约64%同向跟随追尾事故。但是还有一部分事故无法避免是因为AEB系统是一个紧急安全系统（通过1.5g的减速加速度紧急刹停）。并且这样的紧急安全措施可能在实际中产生蝴蝶效应导致后车的追尾或者连环事故。

↑RSS对人的合理响应共识做出了说明

而为了更有效的避免事故，具有预防特性的ADAS系统将是未来的发展方向。对应的ESC电子稳定系统就是一个典型的预防式安全系统。它只在车辆发生侧滑的时候介入。并且其干预是相对柔性的。大部分驾驶者不会有明显感知。而且如果用户需要，可通过一定的操作关闭ESC系统的干预。

Responsibility Sensitive Safety (RSS)责任敏感的安全机制。它的核心机制：

1. 说明了人如何理解“警示”。

2. 说明了怎样的基于事故的RSS决断可以达到避免事故目标并不被人感知。该种决断称为Utopia（也就是乌托邦，看来是一种理想化的结果）。

3. 说明了怎样的决断可以使的驾驶比较灵活，而不是过度保守而为了安全举步维艰寸步难行。

↑基于RSS决断机制的ADAS能否带来道路安全的革新相关论文

关于基于RSS决断机制的驾驶辅助系统ADAS能否带来道路安全的革新和零伤亡事故，英特尔旗下的Mobileye发表了相关论文进行论证。该论文说明了，通过数学公式的论证，相关的预防性刹车控制可针对不同刹车曲线切实可行的操作（更少为人感知）。并且在普遍基于RSS响应机制的环境下不会产生连环事故（更符合人的判断）。

↑基于RSS机制的预防式刹车控制系统的决断过程

RSS将分为两个阶段

阶段1--预防式刹车系统Automatic Preventive Braking (APB)

基于RSS机制的预防式刹车控制系统能够更好的应对目前ADAS驾驶辅助系统的设计难题--false positive虚报/false negative漏报之间的权衡。传统ADAS系统参照通行的安全规范必须偏向false negative，也就是宁愿漏报不要虚报。其背后是为了和现有的驾驶系统相兼容和保证可用性的妥协，但也造成了某些特定事故无法得到避免。

↑基于RSS决断的自动驾驶合流控制（顶视视角）

阶段2--全方位的事故避免系统

当车辆进一步配备了全方位的感知系统（360度摄像头和雷达/激光传感器）以及基于众包采集的高精度地图（crowd sourced HD map），采用RSS机制的ADAS/AD决断系统将能够理解人的响应共识，从而像人一样融入多样变化的路况。比如当交通合流的时候，RSS决断机制避免车辆在插队面前停滞不前，而是基于人对安全的共识平顺的让行和插入车流。

↑基于RSS决断的自动驾驶合流控制（车内视角）

如上介绍，我们讨论了名义安全概念如何避免安全设计非预期地导致事故以及RSS自动驾驶决断在实现零伤亡事故愿景的可行性。波音的事故让大家对自动驾驶技术给予了更多的关注。但我们不该杯弓蛇影而是用更全面的革新来应对挑战。更多信息可以观看如下英特尔旗下Mobileye的CES2019演讲视频。

参考文献：Vision Zero: Can Roadway Accidents be Eliminated without Compromising Traffic Throughput?