自動(dòng)駕駛汽車(chē)（AV）已經(jīng)在美國(guó)多個(gè)城市的公共街區(qū)和道路上行駛。監(jiān)管者和公眾是否有理由相信這些車(chē)輛的安全性和可靠性？我們沒(méi)有得到足夠的信息可以信任任何開(kāi)發(fā)AV的公司，這主要是因?yàn)樨?fù)責(zé)汽車(chē)安全的機(jī)構(gòu)正給予這些公司免于審查的權(quán)利。

監(jiān)管機(jī)構(gòu)和其他感興趣的行業(yè)觀察者唯一可獲得的“安全”信息是公司向NHTSA提交的報(bào)告，你可以在NHTSA的網(wǎng)頁(yè)上找到VSSA（Voluntary Safety Self-Assessment）文檔。

秉承著“創(chuàng)新”的口號(hào)，NHTSA沒(méi)有要求公司報(bào)告任何特定數(shù)據(jù)，更不用說(shuō)標(biāo)準(zhǔn)化格式的數(shù)據(jù)了。（但NHTSA確實(shí)提供了Voluntary Guidance和VSSA模板。）VSSA，如名稱(chēng)所示，是自愿的自我評(píng)估。公司甚至沒(méi)有義務(wù)提交VSSA。

與此形成鮮明對(duì)比的是，F(xiàn)DA（Federal Drug Administration）和FAA（Federal Aviation Administration）要求相關(guān)公司在產(chǎn)品上市之前證明其符合嚴(yán)格的行業(yè)標(biāo)準(zhǔn)。

對(duì)此，Semicast Research的首席分析師Colin Barnden說(shuō)：“FDA不允許利用隨機(jī)的路人開(kāi)發(fā)新藥，F(xiàn)AA也不允許在人口密集的地區(qū)進(jìn)行測(cè)試。”他強(qiáng)調(diào)說(shuō)：“在相同的路段反復(fù)行駛，雖沒(méi)有發(fā)生任何事故，也不能證明一項(xiàng)新技術(shù)的安全性。NHTSA（和州監(jiān)管機(jī)構(gòu)）有責(zé)任確保公眾的安全，而不應(yīng)該成為在未經(jīng)同意的受試者身上進(jìn)行測(cè)試的實(shí)驗(yàn)技術(shù)的推動(dòng)者。”

行業(yè)仍處在泡沫中
無(wú)論從哪方面來(lái)看，美國(guó)的AV行業(yè)都處于泡沫之中。

首先，AV公司可以使用自己的標(biāo)準(zhǔn)和程序有效地對(duì)自動(dòng)駕駛汽車(chē)進(jìn)行自我認(rèn)證。其次，他們沒(méi)有義務(wù)提交VSSA。第三，一些AV開(kāi)發(fā)公司甚至沒(méi)有在報(bào)告中提及任何與安全相關(guān)的行業(yè)標(biāo)準(zhǔn)，包括ISO 26262（功能安全）、ISO 21448（預(yù)期功能的安全）和ANSI/UL4600。即使碰巧引用了這些標(biāo)準(zhǔn)，他們也只是順帶一提而已。

只有少數(shù)公司提交了報(bào)告。截至2021年4月28日，已有55家公司從加州的DMV獲得了自動(dòng)駕駛汽車(chē)（由安全駕駛員進(jìn)行監(jiān)控）測(cè)試的許可。迄今為止，在這55家公司中，只有15家公司向NHTSA提交了VSSA。

總共提交了24個(gè)VSSA文件歸檔。造成數(shù)量差異的原因有兩個(gè)，并非所有在美國(guó)進(jìn)行測(cè)試的公司都在加州進(jìn)行測(cè)試，其次是有兩家公司提交了兩份VSSA報(bào)告。

EE Times檢查了AV公司在NHTSA網(wǎng)站上提交的每個(gè)VSSA。每家公司都在談?wù)?ldquo;挽救生命”。他們指出“贏得公眾信任”很重要。每個(gè)公司都說(shuō)“透明度”是其發(fā)布安全報(bào)告的目標(biāo)。

由于這種自我評(píng)價(jià)缺乏嚴(yán)謹(jǐn)性，因此我們決定創(chuàng)建一個(gè)記分卡，盡可能辨別每家花時(shí)間提交VSSA的公司“認(rèn)真對(duì)待安全性”真正意味著什么。我們的審查非常強(qiáng)調(diào)公司采用的行業(yè)標(biāo)準(zhǔn)（例如ISO 26262、ISO 21448或ANSI/UL 4600）的方法，因?yàn)槊總€(gè)標(biāo)準(zhǔn)都有其作用，并且所有標(biāo)準(zhǔn)都適用于任何AV。（編者注：請(qǐng)參閱最后列出的記分卡）

在24份安全報(bào)告中，有3份報(bào)告根本沒(méi)有提及任何行業(yè)標(biāo)準(zhǔn)。他們是Zoox（已被亞馬遜收購(gòu)）、Local Motors和蘋(píng)果。

歐洲公司寶馬、奔馳和博世則相反，它們是行業(yè)標(biāo)準(zhǔn)的重要推動(dòng)者。


在這兩個(gè)極端情況之間的眾多變化中，許多VSSA申報(bào)者提到了ISO 26262，但都沒(méi)有聲稱(chēng)其車(chē)輛符合該標(biāo)準(zhǔn)。

#ISOwashing
正如Edge Case Research的CTO Philip Koopman所指出的那樣：“許多VSSA都表示了對(duì)某種標(biāo)準(zhǔn)的支持，卻并沒(méi)有真正致力于做提到標(biāo)準(zhǔn)中的任何特定工作。含糊不清的聲明，相當(dāng)于挑選了一些標(biāo)準(zhǔn)，但并沒(méi)有真正告訴我們公司在安全方面正在做什么。”他稱(chēng)其為“#ISOwashing”。

例如，Waymo在其2020年9月的安全報(bào)告中未提及任何標(biāo)準(zhǔn)。Waymo加強(qiáng)了其系統(tǒng)安全計(jì)劃，說(shuō)：“作為2015年第一家完成在公共道路上進(jìn)行全自動(dòng)駕駛的公司，我們已在Waymo編寫(xiě)了自己的腳本。”

2020年10月發(fā)布的附帶文件“Waymo’s Safety Methodologies and Safety Readiness Determinations（30頁(yè)）”中，該公司引用了許多標(biāo)準(zhǔn)，并解釋了為什么它們不完全依賴(lài)這些標(biāo)準(zhǔn)。

有關(guān)ISO 26262，他們提到說(shuō)：

“ISO 26262為Waymo的危害分析過(guò)程提供了重要的見(jiàn)解。但Waymo并不嚴(yán)格或僅依賴(lài)于ISO 26262的原則，該原則并非完全適合L4 ADS（Automated Driving）。”

Koopman說(shuō)：“在解釋這樣的陳述時(shí)要考慮它說(shuō)了什么和沒(méi)說(shuō)什么，這很重要。”

Koopman的解讀說(shuō)：“Waymo似乎表示他們注意ISO 26262第3部分中涉及危險(xiǎn)和風(fēng)險(xiǎn)分析的部分。但由于這不是最合適的選擇，因此他們不依賴(lài)它。沒(méi)有說(shuō)的是他們是否考慮過(guò)ISO 26262的其他部分。”

他補(bǔ)充說(shuō)：“同樣沒(méi)有說(shuō)到的是，他們說(shuō)不出他們真正依賴(lài)的原則，因?yàn)樗麄兯坪鯇?duì)完善的ISO 26262功能安全標(biāo)準(zhǔn)中的原則并不滿意。”

他總結(jié)道：“現(xiàn)實(shí)是，ISO 26262應(yīng)該適用于其車(chē)輛的許多方面，就像適用于任何其他車(chē)輛一樣。由于ISO 26262是可定制的，因此很難理解為什么他們不對(duì)其進(jìn)行調(diào)整以滿足其需求。”

然后就是Argo AI的情況。該公司在最近發(fā)布的安全報(bào)告中寫(xiě)道：“我們的系統(tǒng)工程方法基于兩個(gè)關(guān)鍵的ISO標(biāo)準(zhǔn)：ISO 26262和ISO21448。”

Koopman說(shuō)：“盡管這種表述似乎是出于好意，但讀者卻無(wú)法了解具體含義。”他承認(rèn)：“它確實(shí)給人的印象是同時(shí)符合這兩個(gè)標(biāo)準(zhǔn)，但如果那是真的，他們?yōu)槭裁床挥?符合’這一詞呢？我認(rèn)為他們會(huì)就安全性提出最強(qiáng)有力的真實(shí)主張，要么是“符合”，要么是不太流行的“跟隨（follow）”。如果他們提出的主張比這兩個(gè)詞中的任何一個(gè)都弱，他們就不應(yīng)期望獲得信任。”

Argo AI的一位發(fā)言人說(shuō)：“盡管我們的安全案例尚未完成，但我們的意圖是遵守法規(guī)，這就是為什么我們以這種方式編寫(xiě)聲明的原因。”

現(xiàn)有標(biāo)準(zhǔn)是否使AV行業(yè)參與者認(rèn)為這些法規(guī)與他們?cè)贚4/L5中尋求的“自動(dòng)駕駛”無(wú)關(guān)？

Koopman明確表示：“ISO 26262解決了功能安全問(wèn)題，應(yīng)在L4/L5車(chē)輛中占有一席之地。對(duì)于L4/L5還需要SOTIF/ISO 21448和系統(tǒng)級(jí)別的安全（ANSI/UL 4600）。你需要將所有這些內(nèi)容都包括在內(nèi)。”

目前在AV測(cè)試中，沒(méi)有監(jiān)督，也無(wú)需驗(yàn)證，一個(gè)基本問(wèn)題是，如何確保AV在道路上普及之前的安全，這成為了一個(gè)難題。

盡管存在競(jìng)爭(zhēng)激烈且不一致的AV標(biāo)準(zhǔn)，最近英特爾的Jack Weast（也是即將出臺(tái)的IEEE P2846標(biāo)準(zhǔn)的主席）說(shuō)：“最近存在一個(gè)解決方案：接受專(zhuān)家學(xué)者、工程師、OEM和行業(yè)代表共同制定技術(shù)中立的安全標(biāo)準(zhǔn)所采用的方法。”（Assumption for Models in Safety-Related Automated Vehicle Behavior）

Weast并不孤單。

鑒于該行業(yè)本身花費(fèi)了大量的工程資源來(lái)創(chuàng)建這些標(biāo)準(zhǔn)，Koopman問(wèn)：“為什么他們不遵循這些標(biāo)準(zhǔn)呢？”

在所有提交VSSA的AV公司中，英偉達(dá)的出現(xiàn)令人驚訝。這表明英偉達(dá)渴望開(kāi)發(fā)一個(gè)AV平臺(tái)（配備其強(qiáng)大的SoC和AV軟件堆棧），OEM可以簡(jiǎn)單地把它直接部署到車(chē)輛上。

英偉達(dá)在其安全報(bào)告中寫(xiě)道：“Nvidia Drive架構(gòu)使OEM能夠制造和部署符合NHTSA建議的例如ISO 26262和ISO/DIS 21448、NCAP要求的自動(dòng)駕駛汽車(chē)和卡車(chē)。”


我們發(fā)現(xiàn)英偉達(dá)的說(shuō)法有點(diǎn)問(wèn)題。英偉達(dá)尊重ISO 26262，并不意味著搭載英偉達(dá)芯片的AV必須符合ISO 26262。

Koopman說(shuō)：“是的，‘功能’意味著要由客戶決定是否來(lái)遵守。”他解釋說(shuō)，例如，如果英偉達(dá)出售一種讓客戶“在仿真中”符合21448的方法，那就引出了最終產(chǎn)品在現(xiàn)實(shí)世界中是否符合21448的問(wèn)題。

Koopman補(bǔ)充說(shuō)：“除了英偉達(dá)之外，我們還看到零散的有關(guān)ISO 26262一致性的聲明，但他們實(shí)際上只是在談?wù)撔酒?，甚至不是所有硬件?rdquo;

安全報(bào)告只是營(yíng)銷(xiāo)手冊(cè)而已
閱讀完24份安全報(bào)告，不可避免地會(huì)讓人覺(jué)得這些基本上就是營(yíng)銷(xiāo)手冊(cè)。

Barnden指出，它們是“完全可互換的”。如果Motional、Waymo和Zoox從他們的報(bào)告中刪除公司名稱(chēng)，那我就分不清誰(shuí)是誰(shuí)了。

問(wèn)題不僅僅在于報(bào)告中陳列出了大量精致的圖片，而是缺乏技術(shù)上的實(shí)質(zhì)性內(nèi)容。Barnden說(shuō)：“我不清楚用什么標(biāo)準(zhǔn)來(lái)衡量過(guò)去12個(gè)月的進(jìn)展，也不清楚明年發(fā)布的新安全報(bào)告中哪些信息將發(fā)生重大變化。無(wú)休止地重復(fù)‘安全’一詞本身并不能保證產(chǎn)品或工藝的安全。”

就拿Waymo為例，Barnden說(shuō)：“2020年，Waymo向加州DMV提供的報(bào)告中寫(xiě)道在628,839英里行駛里程中出現(xiàn)了21次脫離，約每30,000英里1次脫離。但正如我們?cè)谧罱囊曨l中所看到的，號(hào)稱(chēng)‘完全無(wú)人駕駛’的Waymo被一個(gè)雪糕筒難倒了。還有一次，車(chē)輛在高速公路上倒車(chē)完全阻塞了一條車(chē)道，迫使其他車(chē)輛只能繞道行駛。這是Waymo在亞利桑那州錢(qián)德勒附近的主要測(cè)試區(qū)域進(jìn)行的。實(shí)際上，脫離報(bào)告是沒(méi)有意義的。這些車(chē)輛顯然還不夠安全，無(wú)法在沒(méi)有人類(lèi)安全駕駛員的情況下在公共道路上行駛。”（Barnden指的是JJRick最近在油管上傳的視頻。）

Waymo的案例
考慮到Waymo自2015年以來(lái)就開(kāi)始進(jìn)行測(cè)試了，令人驚訝的是，它的robotaxi仍然會(huì)被雪糕筒所迷惑，這在現(xiàn)在似乎很難被視為是edge case了。

Waymo曾被公認(rèn)為AV行業(yè)的領(lǐng)導(dǎo)者，但近幾個(gè)月來(lái)已經(jīng)失去了六位高管。這樣的人員外流難免引起人們的擔(dān)憂。

這使我們回到了原來(lái)的觀點(diǎn)。我們對(duì)Waymo Driver取得的進(jìn)展真正了解多少？Waymo的安全報(bào)告沒(méi)有透露任何信息，因此觀察者只能依靠油管等渠道獲得碎片信息，這顯然不能完全讓人放心。

沉重的長(zhǎng)尾
對(duì)于許多AV開(kāi)發(fā)人員來(lái)說(shuō)，他們還需要很長(zhǎng)時(shí)間才能推出完全自動(dòng)駕駛汽車(chē)。安全報(bào)告不僅應(yīng)包括其安全聲明，還應(yīng)包括他們所面臨的挑戰(zhàn)以及計(jì)劃如何應(yīng)對(duì)這些挑戰(zhàn)。

Kodiak聲稱(chēng)更多的測(cè)試?yán)锍滩灰欢ǖ扔诟叩陌踩?。該公司在安全?bào)告中寫(xiě)道：“當(dāng)然，這種嚴(yán)謹(jǐn)?shù)姆椒ㄒ馕吨?，我們記錄的測(cè)試?yán)锍炭赡苡肋h(yuǎn)不會(huì)像我們的競(jìng)爭(zhēng)對(duì)手那樣多。我們不認(rèn)為里程數(shù)少是一種風(fēng)險(xiǎn)，而是我們對(duì)安全承諾的標(biāo)志。”

Aurora對(duì)此表示贊同。“……我們將真實(shí)世界的測(cè)試視為一種機(jī)制，用于驗(yàn)證和提高更快的離線測(cè)試的保真度。這種策略使我們能夠控制測(cè)試車(chē)隊(duì)的規(guī)模。我們通過(guò)追求里程質(zhì)量超過(guò)數(shù)量來(lái)限制測(cè)試車(chē)輛的行駛距離；也就是說(shuō)，我們尋求有意義的里程，而不僅僅是追求大量的里程。”

關(guān)于edge case研究的重要性，Koopman指出，問(wèn)題不僅僅在于需要解決的意外事件（不安全事件）的發(fā)生頻率。更重要的是特定場(chǎng)景的特征，意外全都不同。Koopman說(shuō)，如果問(wèn)題很多，那么解決所有問(wèn)題將需要很長(zhǎng)時(shí)間。你極有可能永遠(yuǎn)不會(huì)觸及到那里。

Koopman在論文中寫(xiě)道：

“制造安全的自動(dòng)駕駛汽車(chē)不僅需要針對(duì)實(shí)際操作場(chǎng)景進(jìn)行廣泛的訓(xùn)練和測(cè)試，而且還需要應(yīng)對(duì)不確定性?，F(xiàn)實(shí)世界中可能會(huì)出現(xiàn)許多罕見(jiàn)但危險(xiǎn)的事件，這表明在遇到新的、不可預(yù)見(jiàn)的情況時(shí)，這些系統(tǒng)必須具有很好的魯棒性。

從觀察到的道路數(shù)據(jù)中歸納出各種不同類(lèi)型的異常情況將會(huì)有所幫助。但是，來(lái)自現(xiàn)實(shí)世界的大量的意外分布可能會(huì)導(dǎo)致不可能使用簡(jiǎn)單的drive/fail/fix開(kāi)發(fā)過(guò)程來(lái)實(shí)現(xiàn)可接受的安全性。

自動(dòng)駕駛汽車(chē)需要在處理新情況方面具有魯棒性，并且還另外需要一種方法來(lái)檢測(cè)它們是否遇到了意外情況，以便在不確定情況下保持安全。”

拜登政府
NHTSA對(duì)汽車(chē)業(yè)的放任態(tài)度是眾人皆知的。幾十年來(lái)，該機(jī)構(gòu)的利益一直與OEM和科技公司完全一致。

拜登政府對(duì)解決自動(dòng)駕駛汽車(chē)安全問(wèn)題一無(wú)所知。新任運(yùn)輸部長(zhǎng)Pete Buttigieg是否會(huì)引導(dǎo)NHTSA邁向新的方向？例如，使科技公司和OEM的AV安全聲明更加透明和負(fù)責(zé)？

第一個(gè)線索可能就會(huì)出現(xiàn)在NHTSA對(duì)上屆政府發(fā)布的有關(guān)ANPRM（Advance Notice of Proposed Rulemaking）中收集的公眾意見(jiàn)做出的回應(yīng)。評(píng)議期于4月1日結(jié)束。

當(dāng)被問(wèn)及時(shí)間表時(shí)，NHTSA表示可能會(huì)在“審閱公眾對(duì)ANPRM關(guān)于自動(dòng)駕駛系統(tǒng)（ADS）安全原則的評(píng)論后作出答復(fù)”。

然后，該機(jī)構(gòu)將確定后續(xù)步驟。“NHTSA未來(lái)12個(gè)月的監(jiān)管計(jì)劃將于今年春季晚些時(shí)候在半年一次的監(jiān)管行動(dòng)統(tǒng)一議程中公布。”目前還沒(méi)有公布。

一場(chǎng)災(zāi)難性事件
許多AV行業(yè)的觀察者都知道，這個(gè)新興行業(yè)離政府最終決定執(zhí)行最嚴(yán)格的規(guī)定只差一個(gè)新聞事件。

正如Barnden指出的那樣：“如果一輛AV測(cè)試車(chē)輛撞死了一個(gè)行人或兒童，那將直接指向拜登總統(tǒng)。”他指出，當(dāng)暴露出MCAS（Maneuvering Characteristics Augumentation System）設(shè)計(jì)中的基本缺陷時(shí)，整個(gè)波音737 Max機(jī)隊(duì)都被FAA停飛。“這里的安全問(wèn)題很明確，那么為什么AV行業(yè)卻要免責(zé)呢？對(duì)于一個(gè)行業(yè)來(lái)說(shuō)，要’挽救生命’而實(shí)際上卻在危及生命是站不住腳的。政治風(fēng)險(xiǎn)是巨大的，政府需要立即意識(shí)到這點(diǎn)并發(fā)揮決定性的領(lǐng)導(dǎo)作用。”

行業(yè)已經(jīng)有了先例。Uber的致命事故后促使SAE開(kāi)發(fā)了SAE J3018，這是L3/4/5自動(dòng)駕駛系統(tǒng)原型的安全道路測(cè)試指南。

在Uber致命事故發(fā)生的一年后，一個(gè)僅接受邀請(qǐng)的汽車(chē)行業(yè)組織AVSC（Automated Vehicle Safety Consortium）開(kāi)始“根據(jù)措施和措施的類(lèi)型，記錄并公開(kāi)與車(chē)內(nèi)安全駕駛員相關(guān)的最佳做法。SAE自動(dòng)駕駛辦公室主任Ed Straub表示。他將AVSC的任務(wù)描述為“為SAE L4和L5自動(dòng)駕駛汽車(chē)贏得公眾的信任”。所有AVSC成員都在針對(duì)各種應(yīng)用進(jìn)行道路ADS測(cè)試。

但問(wèn)題是：當(dāng)AV公司開(kāi)始向城市和州尋求在公共道路上測(cè)試AV的許可時(shí)，為什么當(dāng)?shù)乇O(jiān)管機(jī)構(gòu)不要求AV運(yùn)營(yíng)商遵守J3018標(biāo)準(zhǔn)？

Straub說(shuō)：“我無(wú)法對(duì)不同州和城市的做法發(fā)表評(píng)論。”他推測(cè)，對(duì)標(biāo)準(zhǔn)的認(rèn)識(shí)可能還沒(méi)有滲透到“可能將其用作參考的合適人選”。

但他也為汽車(chē)行業(yè)的立場(chǎng)進(jìn)行了辯護(hù)：“SAE國(guó)際標(biāo)準(zhǔn)是自愿性的，并且已經(jīng)使用了一百多年的歷史，除非在FMVSS之類(lèi)的法規(guī)中明確引用。”他指出，“與自動(dòng)駕駛相關(guān)的技術(shù)和測(cè)試以前所未有的速度變化。因此，開(kāi)放的行業(yè)標(biāo)準(zhǔn)很難跟上步伐...由于自愿性行業(yè)標(biāo)準(zhǔn)邀請(qǐng)所有感興趣的利益相關(guān)者來(lái)制定它們，因此它們可能需要更長(zhǎng)的時(shí)間才能制定出來(lái)。“要求”遵守的法規(guī)（例如FMVSS）可能需要更長(zhǎng)的時(shí)間。”

下表是由EE Times編制的。GPR（Glossy Pix Ratio）是報(bào)告中專(zhuān)門(mén)展示圖片的頁(yè)數(shù)與文本頁(yè)數(shù)之比。因此，與頁(yè)數(shù)較少但GPR較低的報(bào)告相比，頁(yè)數(shù)較高且GPR較高的報(bào)告可能包含的信息更少。

接下來(lái)的四列統(tǒng)計(jì)了任何給定報(bào)告中包含“標(biāo)準(zhǔn)”或提及特定標(biāo)準(zhǔn)的次數(shù)。