去年，Uber 無(wú)人駕駛測(cè)試車釀成的致死事故對(duì)整個(gè)行業(yè)的發(fā)展造成了不小的負(fù)面影響，在資本市場(chǎng)不景氣的情況下，明顯能感覺到自動(dòng)駕駛領(lǐng)域的投融資規(guī)?？s緊不少。美國(guó)國(guó)家運(yùn)輸安全委員會(huì)（National Transportation Safety Board，簡(jiǎn)稱 NTSB）經(jīng)過初步調(diào)查后指出，由于 Uber 禁用了自動(dòng)駕駛車輛的緊急制動(dòng)系統(tǒng)，從而導(dǎo)致悲劇發(fā)生。

一年多的時(shí)間過去了，NTSB 近日發(fā)布了一份新的報(bào)告（下載地址：http://1t.click/aXhd），稱「碰撞發(fā)生的五秒鐘之前，雷達(dá)已經(jīng)探測(cè)到了行人 Elaine Herzberg?！沟恍业氖?，一系列的軟件設(shè)計(jì)缺陷使得系統(tǒng)在撞向行人的前 0.2 秒才作出反應(yīng)，但一切為時(shí)已晚，事故不可避免地發(fā)生了。

2018 年 3月 發(fā)生在美國(guó)亞利桑那州坦佩市的 Uber 無(wú)人車致死案一度讓整個(gè)行業(yè)陷入停滯 | ABC 電視臺(tái)畫面截圖

這次無(wú)人車撞人事件去年五月發(fā)生在亞利桑那州的坦佩市，NTSB 的初期調(diào)查顯示，距碰撞發(fā)生還有 1.3 秒時(shí)，Uber 測(cè)試車輛的自動(dòng)駕駛系統(tǒng)決定需要緊急制動(dòng)提供輔助，但 Uber 卻禁用了測(cè)試車輛（Volvo XC90）的該項(xiàng)功能。Uber 給出的理由是：當(dāng)時(shí)車輛由車載計(jì)算機(jī)操控，這樣做的目的是為了降低車輛出現(xiàn)難以預(yù)測(cè)行為的可能性。

很明顯，Uber 自動(dòng)駕駛測(cè)試車的硬件并沒有出現(xiàn)問題，恰恰是設(shè)計(jì)存在缺陷的軟件導(dǎo)致了這起致死事故的發(fā)生。在這份 NTSB 的新結(jié)案報(bào)告中，它探尋了 Uber 無(wú)人駕駛系統(tǒng)軟件工作狀態(tài)的詳細(xì)信息，并解釋了釀成事故的重要原因。

追悔莫及

和絕大多數(shù)公司開發(fā)的軟件類似，Uber 的自動(dòng)駕駛系統(tǒng)遵循的也是「感知-決策-控制」的流程，先通過外部傳感器對(duì)識(shí)別的目標(biāo)進(jìn)行分類，繼而通過計(jì)算平臺(tái)決策出合理的行駛路線，最后執(zhí)行輸出的命令。只不過 Uber 的這套系統(tǒng)在坦佩市翻了個(gè)嚴(yán)重的錯(cuò)誤。

Uber 自動(dòng)駕駛測(cè)試車硬件搭載外部視圖 | NTSB 官方文件

NTSB 在報(bào)告中詳細(xì)地給出了精確到秒的時(shí)間線，以說明 Uber 自動(dòng)駕駛系統(tǒng)的軟件在車輛不斷靠近行人的過程中是如何思考的。當(dāng)時(shí) Elaine Herzberg 正推著自行車橫穿一條多車道的馬路，而她并沒有遵守交通規(guī)則，沿著人行橫道通過。

-- 距離碰撞還有 5.2 秒，系統(tǒng)將其判定為「其他」物體；

-- 距離碰撞還有 4.2 秒，Elaine 被識(shí)別為「車輛」；

-- 碰撞前 2.7~3.8 秒，系統(tǒng)對(duì) Elaine 的識(shí)別結(jié)果在「車輛」和「其他」之前搖擺不定；

-- 距離碰撞還有 2.6 秒，系統(tǒng)將 Elaine 和她的自行車識(shí)別為「自行車」；

-- 距離碰撞 1.5 秒，Elaine 被系統(tǒng)識(shí)別為「未知」；

-- 距離碰撞 1.2 秒，她又變成了「自行車」。

-- 距離碰撞還有 4.2 秒，Elaine 被識(shí)別為「車輛」；

-- 碰撞前 2.7~3.8 秒，系統(tǒng)對(duì) Elaine 的識(shí)別結(jié)果在「車輛」和「其他」之前搖擺不定；

-- 距離碰撞還有 2.6 秒，系統(tǒng)將 Elaine 和她的自行車識(shí)別為「自行車」；

-- 距離碰撞 1.5 秒，Elaine 被系統(tǒng)識(shí)別為「未知」；

-- 距離碰撞 1.2 秒，她又變成了「自行車」。

從這些描述中可以得到兩點(diǎn)重要信息：

一、 在任何時(shí)間節(jié)點(diǎn)，系統(tǒng)都沒有將 Elaine Herzberg 判定為「行人」。NTSB 表示，「軟件系統(tǒng)設(shè)計(jì)中并沒有考慮到不守規(guī)則、橫闖馬路的行人?！?/p>

二、 頻繁更改對(duì) Elaine Herzberg 識(shí)別的結(jié)果導(dǎo)致 Uber 的自動(dòng)駕駛系統(tǒng)無(wú)法準(zhǔn)確地計(jì)算出它的行駛軌跡，同時(shí)也沒有意識(shí)到她處在與車輛碰撞的路線中。按理說，無(wú)人車在識(shí)別到有物體進(jìn)入它的行駛路線之后，即便不確定這個(gè)物體是什么也應(yīng)該主動(dòng)進(jìn)行剎車。然而 Uber 的軟件設(shè)計(jì)邏輯并非如此。

二、 頻繁更改對(duì) Elaine Herzberg 識(shí)別的結(jié)果導(dǎo)致 Uber 的自動(dòng)駕駛系統(tǒng)無(wú)法準(zhǔn)確地計(jì)算出它的行駛軌跡，同時(shí)也沒有意識(shí)到她處在與車輛碰撞的路線中。按理說，無(wú)人車在識(shí)別到有物體進(jìn)入它的行駛路線之后，即便不確定這個(gè)物體是什么也應(yīng)該主動(dòng)進(jìn)行剎車。然而 Uber 的軟件設(shè)計(jì)邏輯并非如此。

在探測(cè)到目標(biāo)物之后，系統(tǒng)通過物體之前的位置來(lái)推算出其速度以及可能的行動(dòng)軌跡。「然而，假設(shè)感知系統(tǒng)對(duì)目標(biāo)物的識(shí)別結(jié)果改變后，相應(yīng)的對(duì)它行動(dòng)軌跡的推測(cè)也會(huì)重新來(lái)過?！筃TSB 報(bào)告指出。

所以實(shí)際來(lái)看，由于系統(tǒng)無(wú)法將 Elaine Herzberg 和她的自行車進(jìn)行分類，因此假設(shè)其處于靜止?fàn)顟B(tài)。這個(gè)結(jié)論從 NTSB 精確至秒的分析中也不難發(fā)現(xiàn)。

事故現(xiàn)場(chǎng)鳥瞰圖。通過標(biāo)注可以清晰地看到碰撞前 Uber 無(wú)人車與行人的相對(duì)距離 | 官方文件截圖

距離碰撞 4.2 秒~5.2 秒這個(gè)區(qū)間，Uber 的自動(dòng)駕駛系統(tǒng)將 Elaine 識(shí)別為「車輛」并認(rèn)為其是靜止的，因此不會(huì)進(jìn)入到車輛的行駛路線中。而很快系統(tǒng)又判定其正在移動(dòng)，但會(huì)保持在其現(xiàn)有的車道內(nèi)?？膳碌氖?，當(dāng)距離碰撞只有 2.6 秒的時(shí)候，系統(tǒng)才將其識(shí)別為「自行車」但依然認(rèn)定其會(huì)保持在自己的車道內(nèi)，這樣的錯(cuò)誤其實(shí)只要通過對(duì)比 Elaine 之前的位置數(shù)據(jù)就可以得到糾正。距離碰撞還有 1.5 秒，Elaine 開始變成「未知」，在機(jī)器的眼里她依然靜止。

最后，碰撞發(fā)生前的 1.2 秒，在 Elaine 開始進(jìn)入 Uber 測(cè)試車輛的行駛軌跡時(shí)，系統(tǒng)才意識(shí)到這場(chǎng)碰撞已「無(wú)法避免」。

躲不開的人禍？

在此前公布的行車記錄儀視頻中，肇事車輛的安全員當(dāng)時(shí)視線并未看向前方，但當(dāng)事人表示「自己并不是在玩手機(jī)，而是在監(jiān)控自動(dòng)駕駛系統(tǒng)的運(yùn)行情況」?？赡艽蠹叶即嬖谶@樣的疑問：即便當(dāng)時(shí)碰撞已經(jīng)無(wú)法避免，但假設(shè)系統(tǒng)能夠采取緊急剎車的措施，將車速降下來(lái)或許能夠救回 Herzberg 女士一條命。不過這樣的事情沒有發(fā)生呢？

碰撞前行車記錄儀記錄的畫面顯示，安全員處于驚慌狀態(tài)，沒有及時(shí)做出應(yīng)對(duì)措施 | 視頻截圖

NTSB 這樣解釋道：「當(dāng)自動(dòng)駕駛系統(tǒng)監(jiān)測(cè)到緊急情況時(shí)，它會(huì)立即執(zhí)行相應(yīng)的行動(dòng)抑制（action suppression）。通常這個(gè)過程只有一秒鐘，系統(tǒng)會(huì)及時(shí)發(fā)起剎車指令、重新計(jì)算規(guī)劃其他可行的路線或者由隨車的安全員進(jìn)行相應(yīng)的處理工作?！?/p>

但根據(jù) Uber 方面提供的信息，距碰撞發(fā)生還有 1.3 秒時(shí)，Uber 測(cè)試車輛的自動(dòng)駕駛系統(tǒng)決定需要緊急制動(dòng)提供輔助，但 Uber 卻禁用了測(cè)試車輛（Volvo XC90）的該項(xiàng)功能。它給出的理由是：當(dāng)時(shí)車輛由車載計(jì)算機(jī)操控，這樣做的目的是為了降低車輛因錯(cuò)誤的警報(bào)出現(xiàn)難以預(yù)測(cè)行為的可能性。

所以，在距碰撞發(fā)生不足 1 秒時(shí)，駕駛員才試圖操控方向盤來(lái)躲避行人，在碰撞發(fā)生后不到 1 秒的時(shí)間內(nèi)才開始踩下剎車，但一切為時(shí)已晚。

據(jù) NTSB 這份最終的調(diào)查報(bào)告稱，即便已經(jīng)錯(cuò)過了最后一秒鐘可以挽回的時(shí)機(jī)，Uber 的自動(dòng)駕駛系統(tǒng)也并沒有用全力剎車。對(duì)一場(chǎng)本來(lái)就無(wú)法避免的車禍而言，系統(tǒng)到最后都沒有盡全力采取措施，而此時(shí)車上的安全員也形同虛設(shè)，「安全」兩個(gè)字倒顯得有些諷刺。

2018 年，Business Insider 的記者 Julie Bort 在報(bào)道中曾對(duì) Uber 為何執(zhí)行如此的軟件設(shè)計(jì)策略進(jìn)行了分析和推測(cè)。她指出，「當(dāng)時(shí)團(tuán)隊(duì)正在為 Uber 新上任的 CEO 達(dá)拉·科斯羅薩西準(zhǔn)備試乘演示。高層要求工程師們?cè)O(shè)法改善之前出現(xiàn)的一些「不好的體驗(yàn)」。很快，Uber 就宣布禁用了車輛的自動(dòng)緊急制動(dòng)系統(tǒng)，保證了像急剎車或者急轉(zhuǎn)向這種令乘坐者不適的現(xiàn)象再也不會(huì)出現(xiàn)。」

只不過急轉(zhuǎn)向的功能最后又被重啟，但自動(dòng)緊急制動(dòng)系統(tǒng)依然被禁用著，直到 2018 年 3 月那場(chǎng)致死車禍的發(fā)生。

Uber 基于沃爾沃 XC90 車型改裝的自動(dòng)駕駛測(cè)試車搭載的傳感器配置圖 | 官方文件截圖

Uber 的自動(dòng)駕駛測(cè)試車隊(duì)都是由沃爾沃 XC90 車型改裝而成的，本身自帶了精密的緊急制動(dòng)系統(tǒng)。不幸的是，Uber 擅自決定在自動(dòng)駕駛系統(tǒng)開啟時(shí)將 XC90 的防碰撞功能關(guān)閉。其中一個(gè)原因，據(jù) NTSB 透露稱，是因?yàn)?Uber 安裝的尚處于試驗(yàn)階段的雷達(dá)傳感器使用了和沃爾沃自帶雷達(dá)相同的頻率，有產(chǎn)生互相干擾的風(fēng)險(xiǎn)。

而自從事故發(fā)生后，Uber 已經(jīng)重新對(duì)其后裝的雷達(dá)系統(tǒng)進(jìn)行了重新設(shè)計(jì)，以便在不同的頻率能夠保持正常工作。此外，Uber 也開始允許在測(cè)試其自動(dòng)駕駛技術(shù)時(shí)，將沃爾沃本身自帶的防碰撞系統(tǒng)設(shè)置于開啟狀態(tài)。

就軟件設(shè)計(jì)存在的缺陷，Uber 也表示對(duì)其中不合理的地方進(jìn)行了修正。首先，緊急事件發(fā)生時(shí)，剎車前不再設(shè)置一個(gè)「行為抑制」的緩沖時(shí)間；其次，進(jìn)行目標(biāo)物監(jiān)測(cè)時(shí)，假設(shè)系統(tǒng)對(duì)目標(biāo)物的分類發(fā)生變化時(shí)，不會(huì)將其過往的位置數(shù)據(jù)丟棄，試圖從根本上杜絕這類事件的再次發(fā)生。

亡羊補(bǔ)牢

這其實(shí)并不是 Uber 無(wú)人車第一次闖禍。

根據(jù) NTSB 提交的調(diào)查報(bào)告顯示，在坦佩市發(fā)生撞人事件之前，2016 年 9 月至 2018 年 3 月之間，Uber 的自動(dòng)駕駛測(cè)試車輛造成過 37 次碰撞，其中有兩次是撞車事故。另外還有 25 起追尾，剩下 8 起則是剮蹭事故。在 NTSB 看來(lái)，一方面是自動(dòng)駕駛軟件系統(tǒng)設(shè)計(jì)存在缺陷，另一方面 Uber 并沒有制定完備的安全計(jì)劃。盡管該公司設(shè)有專門的安全團(tuán)隊(duì)，但缺乏安全指導(dǎo)文件且無(wú)安全運(yùn)營(yíng)部門。Uber 承認(rèn)其在這次嚴(yán)重人身事故發(fā)生前并沒有制備完善的安全計(jì)劃，直到 2018 年 11 月才發(fā)布了第一份安全報(bào)告。

這是一個(gè)開發(fā)安全無(wú)人駕駛車輛的通用框架，涵蓋了自動(dòng)駕駛系統(tǒng)測(cè)試以及功能安全等在內(nèi)的折疊步驟圖，點(diǎn)擊可以看到 Uber 在車輛安全測(cè)試上的步驟及細(xì)節(jié) | 官方網(wǎng)站截圖

前不久，Uber 成立了自動(dòng)駕駛安全與責(zé)任咨詢委員會(huì)（SARA），關(guān)注這項(xiàng)技術(shù)在面向大眾過程中產(chǎn)生的潛在危險(xiǎn)。此外，今年 7 月中旬，Uber 還公布了業(yè)界第一個(gè)自動(dòng)駕駛汽車安全框架，涵蓋了自動(dòng)駕駛系統(tǒng)測(cè)試以及功能安全等在內(nèi)的多個(gè)安全環(huán)節(jié)，通過折疊框架圖的形式展現(xiàn)出 Uber 在車輛安全測(cè)試上的細(xì)節(jié)。

事故之后，Uber 或許對(duì)自動(dòng)駕駛有了新的思考，而無(wú)論是自身安全機(jī)制的持續(xù)改善還是增設(shè)外部審查機(jī)構(gòu)避免矯枉過正，這些近似亡羊補(bǔ)牢之舉對(duì)整個(gè)行業(yè)朝著正確的方向推進(jìn)，大有裨益。

2018 年底，Uber 自動(dòng)駕駛測(cè)試重啟。在一篇官方發(fā)布的博客文章里，Uber 高級(jí)技術(shù)部門（Advanced Technology Group，簡(jiǎn)稱 ATG）埃里克·梅霍夫（Eric Meyhofer）詳細(xì)介紹了 Uber 新實(shí)施的安全保障措施，例如針對(duì)安全手動(dòng)駕駛和監(jiān)控系統(tǒng)的培訓(xùn)計(jì)劃，該系統(tǒng)可在駕駛員將視線移開道路時(shí)發(fā)出提醒?！肝覀兓藥讉€(gè)月的時(shí)間在封閉道路上測(cè)試，并完成了漫長(zhǎng)的內(nèi)部審查。」梅霍夫強(qiáng)調(diào)稱。

Waymo 自動(dòng)駕駛測(cè)試正逐步進(jìn)入真正「無(wú)人」階段，無(wú)疑它同樣面臨著很大的安全風(fēng)險(xiǎn)。而進(jìn)行到這個(gè)階段，技術(shù)已經(jīng)不再是桎梏自動(dòng)駕駛邁向商業(yè)化量產(chǎn)的單一因素，技術(shù)之外似乎要更關(guān)注有關(guān)「人」的問題。強(qiáng)調(diào)安全怎么都不為過。