自動駕駛汽車（AV）已經(jīng)在美國多個城市的公共街區(qū)和道路上行駛。監(jiān)管者和公眾是否有理由相信這些車輛的安全性和可靠性？我們沒有得到足夠的信息可以信任任何開發(fā)AV的公司，這主要是因為負責汽車安全的機構(gòu)正給予這些公司免于審查的權(quán)利。

監(jiān)管機構(gòu)和其他感興趣的行業(yè)觀察者唯一可獲得的“安全”信息是公司向NHTSA提交的報告，你可以在NHTSA的網(wǎng)頁上找到VSSA（Voluntary Safety Self-Assessment）文檔。

秉承著“創(chuàng)新”的口號，NHTSA沒有要求公司報告任何特定數(shù)據(jù)，更不用說標準化格式的數(shù)據(jù)了。（但NHTSA確實提供了Voluntary Guidance和VSSA模板。）VSSA，如名稱所示，是自愿的自我評估。公司甚至沒有義務(wù)提交VSSA。

與此形成鮮明對比的是，F(xiàn)DA（Federal Drug Administration）和FAA（Federal Aviation Administration）要求相關(guān)公司在產(chǎn)品上市之前證明其符合嚴格的行業(yè)標準。

對此，Semicast Research的首席分析師Colin Barnden說：“FDA不允許利用隨機的路人開發(fā)新藥，F(xiàn)AA也不允許在人口密集的地區(qū)進行測試。”他強調(diào)說：“在相同的路段反復(fù)行駛，雖沒有發(fā)生任何事故，也不能證明一項新技術(shù)的安全性。NHTSA（和州監(jiān)管機構(gòu)）有責任確保公眾的安全，而不應(yīng)該成為在未經(jīng)同意的受試者身上進行測試的實驗技術(shù)的推動者。”

行業(yè)仍處在泡沫中
無論從哪方面來看，美國的AV行業(yè)都處于泡沫之中。

首先，AV公司可以使用自己的標準和程序有效地對自動駕駛汽車進行自我認證。其次，他們沒有義務(wù)提交VSSA。第三，一些AV開發(fā)公司甚至沒有在報告中提及任何與安全相關(guān)的行業(yè)標準，包括ISO 26262（功能安全）、ISO 21448（預(yù)期功能的安全）和ANSI/UL4600。即使碰巧引用了這些標準，他們也只是順帶一提而已。

只有少數(shù)公司提交了報告。截至2021年4月28日，已有55家公司從加州的DMV獲得了自動駕駛汽車（由安全駕駛員進行監(jiān)控）測試的許可。迄今為止，在這55家公司中，只有15家公司向NHTSA提交了VSSA。

總共提交了24個VSSA文件歸檔。造成數(shù)量差異的原因有兩個，并非所有在美國進行測試的公司都在加州進行測試，其次是有兩家公司提交了兩份VSSA報告。

EE Times檢查了AV公司在NHTSA網(wǎng)站上提交的每個VSSA。每家公司都在談?wù)?ldquo;挽救生命”。他們指出“贏得公眾信任”很重要。每個公司都說“透明度”是其發(fā)布安全報告的目標。

由于這種自我評價缺乏嚴謹性，因此我們決定創(chuàng)建一個記分卡，盡可能辨別每家花時間提交VSSA的公司“認真對待安全性”真正意味著什么。我們的審查非常強調(diào)公司采用的行業(yè)標準（例如ISO 26262、ISO 21448或ANSI/UL 4600）的方法，因為每個標準都有其作用，并且所有標準都適用于任何AV。（編者注：請參閱最后列出的記分卡）

在24份安全報告中，有3份報告根本沒有提及任何行業(yè)標準。他們是Zoox（已被亞馬遜收購）、Local Motors和蘋果。

歐洲公司寶馬、奔馳和博世則相反，它們是行業(yè)標準的重要推動者。


在這兩個極端情況之間的眾多變化中，許多VSSA申報者提到了ISO 26262，但都沒有聲稱其車輛符合該標準。

#ISOwashing
正如Edge Case Research的CTO Philip Koopman所指出的那樣：“許多VSSA都表示了對某種標準的支持，卻并沒有真正致力于做提到標準中的任何特定工作。含糊不清的聲明，相當于挑選了一些標準，但并沒有真正告訴我們公司在安全方面正在做什么。”他稱其為“#ISOwashing”。

例如，Waymo在其2020年9月的安全報告中未提及任何標準。Waymo加強了其系統(tǒng)安全計劃，說：“作為2015年第一家完成在公共道路上進行全自動駕駛的公司，我們已在Waymo編寫了自己的腳本。”

2020年10月發(fā)布的附帶文件“Waymo’s Safety Methodologies and Safety Readiness Determinations（30頁）”中，該公司引用了許多標準，并解釋了為什么它們不完全依賴這些標準。

有關(guān)ISO 26262，他們提到說：

“ISO 26262為Waymo的危害分析過程提供了重要的見解。但Waymo并不嚴格或僅依賴于ISO 26262的原則，該原則并非完全適合L4 ADS（Automated Driving）。”

Koopman說：“在解釋這樣的陳述時要考慮它說了什么和沒說什么，這很重要。”

Koopman的解讀說：“Waymo似乎表示他們注意ISO 26262第3部分中涉及危險和風(fēng)險分析的部分。但由于這不是最合適的選擇，因此他們不依賴它。沒有說的是他們是否考慮過ISO 26262的其他部分。”

他補充說：“同樣沒有說到的是，他們說不出他們真正依賴的原則，因為他們似乎對完善的ISO 26262功能安全標準中的原則并不滿意。”

他總結(jié)道：“現(xiàn)實是，ISO 26262應(yīng)該適用于其車輛的許多方面，就像適用于任何其他車輛一樣。由于ISO 26262是可定制的，因此很難理解為什么他們不對其進行調(diào)整以滿足其需求。”

然后就是Argo AI的情況。該公司在最近發(fā)布的安全報告中寫道：“我們的系統(tǒng)工程方法基于兩個關(guān)鍵的ISO標準：ISO 26262和ISO21448。”

Koopman說：“盡管這種表述似乎是出于好意，但讀者卻無法了解具體含義。”他承認：“它確實給人的印象是同時符合這兩個標準，但如果那是真的，他們?yōu)槭裁床挥?符合’這一詞呢？我認為他們會就安全性提出最強有力的真實主張，要么是“符合”，要么是不太流行的“跟隨（follow）”。如果他們提出的主張比這兩個詞中的任何一個都弱，他們就不應(yīng)期望獲得信任。”

Argo AI的一位發(fā)言人說：“盡管我們的安全案例尚未完成，但我們的意圖是遵守法規(guī)，這就是為什么我們以這種方式編寫聲明的原因。”

現(xiàn)有標準是否使AV行業(yè)參與者認為這些法規(guī)與他們在L4/L5中尋求的“自動駕駛”無關(guān)？

Koopman明確表示：“ISO 26262解決了功能安全問題，應(yīng)在L4/L5車輛中占有一席之地。對于L4/L5還需要SOTIF/ISO 21448和系統(tǒng)級別的安全（ANSI/UL 4600）。你需要將所有這些內(nèi)容都包括在內(nèi)。”

目前在AV測試中，沒有監(jiān)督，也無需驗證，一個基本問題是，如何確保AV在道路上普及之前的安全，這成為了一個難題。

盡管存在競爭激烈且不一致的AV標準，最近英特爾的Jack Weast（也是即將出臺的IEEE P2846標準的主席）說：“最近存在一個解決方案：接受專家學(xué)者、工程師、OEM和行業(yè)代表共同制定技術(shù)中立的安全標準所采用的方法。”（Assumption for Models in Safety-Related Automated Vehicle Behavior）

Weast并不孤單。

鑒于該行業(yè)本身花費了大量的工程資源來創(chuàng)建這些標準，Koopman問：“為什么他們不遵循這些標準呢？”

在所有提交VSSA的AV公司中，英偉達的出現(xiàn)令人驚訝。這表明英偉達渴望開發(fā)一個AV平臺（配備其強大的SoC和AV軟件堆棧），OEM可以簡單地把它直接部署到車輛上。

英偉達在其安全報告中寫道：“Nvidia Drive架構(gòu)使OEM能夠制造和部署符合NHTSA建議的例如ISO 26262和ISO/DIS 21448、NCAP要求的自動駕駛汽車和卡車。”


我們發(fā)現(xiàn)英偉達的說法有點問題。英偉達尊重ISO 26262，并不意味著搭載英偉達芯片的AV必須符合ISO 26262。

Koopman說：“是的，‘功能’意味著要由客戶決定是否來遵守。”他解釋說，例如，如果英偉達出售一種讓客戶“在仿真中”符合21448的方法，那就引出了最終產(chǎn)品在現(xiàn)實世界中是否符合21448的問題。

Koopman補充說：“除了英偉達之外，我們還看到零散的有關(guān)ISO 26262一致性的聲明，但他們實際上只是在談?wù)撔酒踔敛皇撬杏布?rdquo;

安全報告只是營銷手冊而已
閱讀完24份安全報告，不可避免地會讓人覺得這些基本上就是營銷手冊。

Barnden指出，它們是“完全可互換的”。如果Motional、Waymo和Zoox從他們的報告中刪除公司名稱，那我就分不清誰是誰了。

問題不僅僅在于報告中陳列出了大量精致的圖片，而是缺乏技術(shù)上的實質(zhì)性內(nèi)容。Barnden說：“我不清楚用什么標準來衡量過去12個月的進展，也不清楚明年發(fā)布的新安全報告中哪些信息將發(fā)生重大變化。無休止地重復(fù)‘安全’一詞本身并不能保證產(chǎn)品或工藝的安全。”

就拿Waymo為例，Barnden說：“2020年，Waymo向加州DMV提供的報告中寫道在628,839英里行駛里程中出現(xiàn)了21次脫離，約每30,000英里1次脫離。但正如我們在最近的視頻中所看到的，號稱‘完全無人駕駛’的Waymo被一個雪糕筒難倒了。還有一次，車輛在高速公路上倒車完全阻塞了一條車道，迫使其他車輛只能繞道行駛。這是Waymo在亞利桑那州錢德勒附近的主要測試區(qū)域進行的。實際上，脫離報告是沒有意義的。這些車輛顯然還不夠安全，無法在沒有人類安全駕駛員的情況下在公共道路上行駛。”（Barnden指的是JJRick最近在油管上傳的視頻。）

Waymo的案例
考慮到Waymo自2015年以來就開始進行測試了，令人驚訝的是，它的robotaxi仍然會被雪糕筒所迷惑，這在現(xiàn)在似乎很難被視為是edge case了。

Waymo曾被公認為AV行業(yè)的領(lǐng)導(dǎo)者，但近幾個月來已經(jīng)失去了六位高管。這樣的人員外流難免引起人們的擔憂。

這使我們回到了原來的觀點。我們對Waymo Driver取得的進展真正了解多少？Waymo的安全報告沒有透露任何信息，因此觀察者只能依靠油管等渠道獲得碎片信息，這顯然不能完全讓人放心。

沉重的長尾
對于許多AV開發(fā)人員來說，他們還需要很長時間才能推出完全自動駕駛汽車。安全報告不僅應(yīng)包括其安全聲明，還應(yīng)包括他們所面臨的挑戰(zhàn)以及計劃如何應(yīng)對這些挑戰(zhàn)。

Kodiak聲稱更多的測試里程不一定等于更高的安全性。該公司在安全報告中寫道：“當然，這種嚴謹?shù)姆椒ㄒ馕吨覀冇涗浀臏y試里程可能永遠不會像我們的競爭對手那樣多。我們不認為里程數(shù)少是一種風(fēng)險，而是我們對安全承諾的標志。”

Aurora對此表示贊同。“……我們將真實世界的測試視為一種機制，用于驗證和提高更快的離線測試的保真度。這種策略使我們能夠控制測試車隊的規(guī)模。我們通過追求里程質(zhì)量超過數(shù)量來限制測試車輛的行駛距離；也就是說，我們尋求有意義的里程，而不僅僅是追求大量的里程。”

關(guān)于edge case研究的重要性，Koopman指出，問題不僅僅在于需要解決的意外事件（不安全事件）的發(fā)生頻率。更重要的是特定場景的特征，意外全都不同。Koopman說，如果問題很多，那么解決所有問題將需要很長時間。你極有可能永遠不會觸及到那里。

Koopman在論文中寫道：

“制造安全的自動駕駛汽車不僅需要針對實際操作場景進行廣泛的訓(xùn)練和測試，而且還需要應(yīng)對不確定性?，F(xiàn)實世界中可能會出現(xiàn)許多罕見但危險的事件，這表明在遇到新的、不可預(yù)見的情況時，這些系統(tǒng)必須具有很好的魯棒性。

從觀察到的道路數(shù)據(jù)中歸納出各種不同類型的異常情況將會有所幫助。但是，來自現(xiàn)實世界的大量的意外分布可能會導(dǎo)致不可能使用簡單的drive/fail/fix開發(fā)過程來實現(xiàn)可接受的安全性。

自動駕駛汽車需要在處理新情況方面具有魯棒性，并且還另外需要一種方法來檢測它們是否遇到了意外情況，以便在不確定情況下保持安全。”

拜登政府
NHTSA對汽車業(yè)的放任態(tài)度是眾人皆知的。幾十年來，該機構(gòu)的利益一直與OEM和科技公司完全一致。

拜登政府對解決自動駕駛汽車安全問題一無所知。新任運輸部長Pete Buttigieg是否會引導(dǎo)NHTSA邁向新的方向？例如，使科技公司和OEM的AV安全聲明更加透明和負責？

第一個線索可能就會出現(xiàn)在NHTSA對上屆政府發(fā)布的有關(guān)ANPRM（Advance Notice of Proposed Rulemaking）中收集的公眾意見做出的回應(yīng)。評議期于4月1日結(jié)束。

當被問及時間表時，NHTSA表示可能會在“審閱公眾對ANPRM關(guān)于自動駕駛系統(tǒng)（ADS）安全原則的評論后作出答復(fù)”。

然后，該機構(gòu)將確定后續(xù)步驟。“NHTSA未來12個月的監(jiān)管計劃將于今年春季晚些時候在半年一次的監(jiān)管行動統(tǒng)一議程中公布。”目前還沒有公布。

一場災(zāi)難性事件
許多AV行業(yè)的觀察者都知道，這個新興行業(yè)離政府最終決定執(zhí)行最嚴格的規(guī)定只差一個新聞事件。

正如Barnden指出的那樣：“如果一輛AV測試車輛撞死了一個行人或兒童，那將直接指向拜登總統(tǒng)。”他指出，當暴露出MCAS（Maneuvering Characteristics Augumentation System）設(shè)計中的基本缺陷時，整個波音737 Max機隊都被FAA停飛。“這里的安全問題很明確，那么為什么AV行業(yè)卻要免責呢？對于一個行業(yè)來說，要’挽救生命’而實際上卻在危及生命是站不住腳的。政治風(fēng)險是巨大的，政府需要立即意識到這點并發(fā)揮決定性的領(lǐng)導(dǎo)作用。”

行業(yè)已經(jīng)有了先例。Uber的致命事故后促使SAE開發(fā)了SAE J3018，這是L3/4/5自動駕駛系統(tǒng)原型的安全道路測試指南。

在Uber致命事故發(fā)生的一年后，一個僅接受邀請的汽車行業(yè)組織AVSC（Automated Vehicle Safety Consortium）開始“根據(jù)措施和措施的類型，記錄并公開與車內(nèi)安全駕駛員相關(guān)的最佳做法。SAE自動駕駛辦公室主任Ed Straub表示。他將AVSC的任務(wù)描述為“為SAE L4和L5自動駕駛汽車贏得公眾的信任”。所有AVSC成員都在針對各種應(yīng)用進行道路ADS測試。

但問題是：當AV公司開始向城市和州尋求在公共道路上測試AV的許可時，為什么當?shù)乇O(jiān)管機構(gòu)不要求AV運營商遵守J3018標準？

Straub說：“我無法對不同州和城市的做法發(fā)表評論。”他推測，對標準的認識可能還沒有滲透到“可能將其用作參考的合適人選”。

但他也為汽車行業(yè)的立場進行了辯護：“SAE國際標準是自愿性的，并且已經(jīng)使用了一百多年的歷史，除非在FMVSS之類的法規(guī)中明確引用。”他指出，“與自動駕駛相關(guān)的技術(shù)和測試以前所未有的速度變化。因此，開放的行業(yè)標準很難跟上步伐...由于自愿性行業(yè)標準邀請所有感興趣的利益相關(guān)者來制定它們，因此它們可能需要更長的時間才能制定出來。“要求”遵守的法規(guī)（例如FMVSS）可能需要更長的時間。”

下表是由EE Times編制的。GPR（Glossy Pix Ratio）是報告中專門展示圖片的頁數(shù)與文本頁數(shù)之比。因此，與頁數(shù)較少但GPR較低的報告相比，頁數(shù)較高且GPR較高的報告可能包含的信息更少。

接下來的四列統(tǒng)計了任何給定報告中包含“標準”或提及特定標準的次數(shù)。