軟件系統(tǒng)要負(fù)相當(dāng)大的責(zé)任。

去年 3 月份 Uber 自動(dòng)駕駛測試車在亞利桑那 Tempe 市的那場致命事故依然令人記憶猶新。經(jīng)過 20 個(gè)月的漫長調(diào)查，美國全國運(yùn)輸委員會(huì)（NTSB）今天又公布了一份新報(bào)告，其中一些細(xì)節(jié)真是令人感覺細(xì)思極恐。

去年 5 月份 NTSB 就曾發(fā)布過一份初步報(bào)告，當(dāng)時(shí)它們就指出事故的元兇是軟件故障，而非硬件問題。今天，NTSB 終于用一份新報(bào)告結(jié)束了這場馬拉松式事故調(diào)查，詳實(shí)還原了事故發(fā)生前的最后幾秒。原來，那輛撞死 Elaine Herzberg 測試車上的雷達(dá)在事故發(fā)生前 5 秒就探測到有行人經(jīng)過了，但在軟件設(shè)計(jì)上的一系列失誤還是讓自動(dòng)駕駛系統(tǒng)慢了半拍，直到碰撞發(fā)生前 0.2 秒才踩了急剎。

錯(cuò)誤分類闖下大禍


與大多數(shù)自動(dòng)駕駛軟件類似，Uber 的軟件工作時(shí)也要試圖對探測到的物體進(jìn)行分類，將它們定義為汽車、自行車、行人或其它物體。隨后，軟件會(huì)根據(jù)分類計(jì)算并預(yù)測物體的行進(jìn)速度及可能的運(yùn)動(dòng)軌跡。不幸的是，這套系統(tǒng)在 Tempe 的事故中徹底“崩掉了”。

在這份最終報(bào)告中，NTSB 用時(shí)間線列出了軟件最后幾秒鐘到底在“想些什么”。面對遠(yuǎn)離人行道且推著自行車前行的 Herzberg，測試車為什么沒能及時(shí)停下來？
1. 碰撞發(fā)生前 5.2 秒，系統(tǒng)將 Herzberg 劃歸為“其它”物體。
2. 碰撞發(fā)生前 4.2 秒，系統(tǒng)又將 Herzberg 重新歸類為“車輛”。
3. 碰撞發(fā)生前 3.8-2.7 秒的時(shí)間段中，軟件的分類功能在“車輛”與“其它”的分類結(jié)果中跳動(dòng)了好多次。
4. 碰撞發(fā)生前 2.6 秒，系統(tǒng)又變了，將 Herzberg 和她的自行車識(shí)別為“自行車”。
5. 碰撞發(fā)生前 1.5 秒，Herzberg 被識(shí)別為“未知物體”。
6. 碰撞發(fā)生前 1.2 秒，她居然又被識(shí)別成了“自行車”。

這里有兩個(gè)值得注意的點(diǎn)。

首先，碰撞發(fā)生前的幾秒里，軟件居然從未將 Herzberg 分類為“行人”。NTSB 指出，這是因?yàn)?ldquo;Uber 在進(jìn)行系統(tǒng)設(shè)計(jì)時(shí)根本就沒考慮過那些不遵守交規(guī)過馬路的行人。”

第二，一直變來變?nèi)サ姆诸愖?Uber 的軟件無法準(zhǔn)確計(jì)算 Herzberg 的軌跡，誰知她正好走在了測試車的行車路線上。你可能會(huì)覺得，既然自動(dòng)駕駛系統(tǒng)探測到了物體，不就應(yīng)該及時(shí)剎車嗎？可惜，Uber 的軟件不是這樣工作的。

具體來說，Uber 的系統(tǒng)會(huì)利用探測到的物體位置推測其速度及未來軌跡。不過，NTSB 在報(bào)告中指出，“如果感知系統(tǒng)一直改變對物體的分類，那么軟件就不再考慮物體的追蹤歷史了，這樣容易造成判斷軌跡時(shí)的混亂。”

在現(xiàn)實(shí)中，如果系統(tǒng)無法識(shí)別 Herzberg 和她的自行車是什么，系統(tǒng)就會(huì)覺得她處在靜止?fàn)顟B(tài)。

碰撞發(fā)生前 5.2-4.2 秒的時(shí)間段中，系統(tǒng)將 Herzberg 識(shí)別為“車輛”，因此判斷她處于靜止?fàn)顟B(tài)，也不會(huì)出現(xiàn)在測試車的行進(jìn)路線上。電光火石之間，系統(tǒng)更改了分類結(jié)果，并且意識(shí)到 Herzberg 正在移動(dòng)，但預(yù)測她會(huì)繼續(xù)保持現(xiàn)有路線。

碰撞前 2.6 秒再次將她分類為“自行車”時(shí)，系統(tǒng)再次預(yù)測 Herzberg 會(huì)繼續(xù)保持現(xiàn)有路線。顯然，系統(tǒng)犯下了大錯(cuò)，因?yàn)樗鼪]法參考追蹤歷史了。碰撞前 1.5 秒時(shí)，Herzberg 又成了“未知物體”，而且狀態(tài)繼續(xù)是“靜止”。
碰撞前 1.2 秒時(shí)，她進(jìn)入了測試車的行車路線，系統(tǒng)這才意識(shí)到事故就要發(fā)生了。

“動(dòng)作抑制”

到了這個(gè)節(jié)骨眼上，想避免事故也不現(xiàn)實(shí)了，但一腳重剎也許能最大限度的減小對 Herzberg 的傷害，可惜她運(yùn)氣不夠好。

對于該問題 NTSB 解釋稱：

“當(dāng)系統(tǒng)探測到緊急情況時(shí)，它會(huì)啟動(dòng)動(dòng)作抑制。這是個(gè)需要花費(fèi) 1 秒鐘時(shí)間的過程，自動(dòng)駕駛系統(tǒng)會(huì)抑制計(jì)劃好的剎車，此時(shí)系統(tǒng)會(huì)核實(shí)探測到危險(xiǎn)的性質(zhì)并計(jì)算出一個(gè)替代方案，或者直接將車輛操控權(quán)交還給安全司機(jī)。”

Uber 表示，公司“在系統(tǒng)中加入動(dòng)作抑制程序是因?yàn)閾?dān)心試驗(yàn)性質(zhì)的自動(dòng)探測系統(tǒng)頻繁誤報(bào)，給車輛帶來一些不必要的緊急機(jī)動(dòng)。”

這樣來看，Uber 測試車的救命剎車在碰撞前 0.2 秒才踩下去，不過已經(jīng)于事無補(bǔ)了。

NTSB 還指出，即使已經(jīng)晚了 1 秒鐘，系統(tǒng)也沒有來個(gè)全力剎車。因?yàn)樵?Uber 的設(shè)定中，如果事故能避免，車輛就要全力剎車，但如果避無可避，它們則更傾向于讓車輛逐步慢下來并提醒安全駕駛員緊急接管。

去年，Business Insider 的 Julie Bort 也曾給出過自己的調(diào)查報(bào)告，她詳細(xì)分析了 Uber 這樣設(shè)計(jì)自動(dòng)駕駛軟件的原因：當(dāng)時(shí) Uber 自動(dòng)駕駛團(tuán)隊(duì)正忙著準(zhǔn)備給新任 CEO Dara Khosrowshahi 展示自家自動(dòng)駕駛汽車的風(fēng)采呢，因此主管要求工程師優(yōu)化乘坐體驗(yàn)。所以，為了讓 Khosrowshahi 坐得舒服些，Uber 的自動(dòng)駕駛系統(tǒng)上線時(shí)沃爾沃 XC90 自帶的 ADAS 功能（比如自動(dòng)剎車或緊急變線等）會(huì)自動(dòng)關(guān)閉。

當(dāng)然，這背后還有其他原因，比如 Uber 雷達(dá)與自帶雷達(dá)處于同頻率的問題，這樣很容易有干擾。

致命事故發(fā)生后，Uber 對自家雷達(dá)進(jìn)行了重新設(shè)計(jì)，這樣在測試時(shí)就能有個(gè)雙保險(xiǎn)了。此外，Uber 還對軟件進(jìn)行了重新設(shè)計(jì)，緊急情況下再也沒有“動(dòng)作抑制”了。同時(shí)，在物體分類改變時(shí)，軟件也不會(huì)再無視過去的位置數(shù)據(jù)了。