大量自动驾驶车开上美国街头，监管机构对其安全性睁一只眼闭一只眼

自动驾驶车(Autonomous vehicles；AV)已经融入于美国各城市的公共街区和道路(图1)。这是否意味着，监管机构和社会大众应该相信这些车辆是安全可靠的？实际上，并没有足够的信息显示，我们可以开始信任任何一家开发AV技术的公司或自驾车，然而，负责车辆安全的监管机构却已经在发放免审查的通行证给科技公司和AV制造商。

监管机构和关注该领域的业界观察家们唯一可取得的“安全”信息，就是车辆开发业者提交给美国国家运输安全委员会(National Transport Safety Board，NHTSA)的报告。在NHTSA网站上搜寻“Voluntary Safety Self-Assessment ”(自愿性安全自评估，VSSA)就可以找到这些文件。

为了支持“创新”，NHTSA并未要求各家业者提交任何特定的数据，更不用说采用标准格式的数据了。不过，NHTSA其实提供了自愿评估指南(Voluntary Guidance)和VSSA样版(VSSA Template)。顾名思义，VSSA是一种自愿性的自我评估。各业者甚至并未被要求提交VSSA，因此许多公司当然也就不“自找麻烦”了。

这与美国食品药物管理局(FDA)和联邦航空总署(FAA)形成了鲜明的对比，FDA和FAA均要求药品供应商和飞机制造商在产品推出之前证明产品符合严格的产业标准。

Semicast Research首席分析师Colin Barnden指出：“FDA并不允许随机找个人来测试新药，FAA也不容许在人口稠密地区进行飞机测试。”他强调，“永远行驶在相同的路线上，虽然没发生任何不好的事情，也没有人被撞身亡，并不能证明一项新技术是安全的。NHTSA (和各州监管机构)有责任确保大众的安全，而不是推动实验性的新技术在未经同意的人身上进行测试。”

图1：AV已经穿梭于美国各城市的公共街区和道路。

(来源：Argo AI)

AV泡沫化

从各方面来看，美国的AV产业正处于泡沫之中。

首先，AV制造商可以用自家标准和程序对其AV进行自我认证。其次，他们并未被要求提交VSSA。第三，有些AV制造商甚至未能在其报告中提及任何涉及安全的业界标准，如ISO 26262 (功能安全)、ISO 21448 (预期功能安全)和ANSI/UL 4600，即使碰巧引用了这些标准，也只是顺带提过。

只有少数公司选择提交报告。截至2021年4月28日，有55家公司获得了加州监理所(DMV)核发的AV测试执照(由驾驶监控)。在这55家公司中，迄今也只有15家向NHTSA提交了VSSA。

NHTSA目前总共收到了24份VSSA文件。这两个数字之所以不同，有两个原因：在美国进行测试的公司并不一定都在加州测试，而且还有两家公司提交了两份VSSA报告。

《EE Times》查阅了AV开发人员在NHTSA网站上提交的每一份VSSA。每家公司都提到了“拯救生命”，均表示“赢得社会大众的信任”很重要，也都指出“透明度”是他们发布安全报告的目的。

由于这类冠冕堂皇的词汇并不够严谨，我们决定建立一个记分卡(表1)，希望能够辨别哪些用心提交VSSA的公司确实在“谨慎关注安全性”。我们的检查主要侧重于每家公司如何使用业界标准(例如ISO 26262、ISO 21448或ANSI/UL 4600)——因为每项标准各司其职，并且都适用于所有的AV。

这24份安全报告中也有极端情况，其中有3份报告根本没有提及任何业界标准，分别来自Zoox——现在隶属于亚马逊(Amazon)、Local Motors和苹果(Apple)。

与此完全相反的是欧洲汽车制造商BMW、奔驰(Mercedes-Benz)和博世(Bosch)，他们都是业界标准的重要推手。

图2：测试目标及其相应的测试平台与系统要素。

(来源：Safety Self-Assessment Report)

除了这些极端例子，还有各种特别的状况，许多VSSA提交者虽然提到了ISO 26262，却并未声明其车辆符合该标准。图2显示测试目标及其相应的测试平台和系统要素。

#ISO洗脱

正如Edge Case Research共同创办人兼技术长、卡内基梅隆大学(Carnegie Mellon University，CMU)教授Philip Koopman指出的，“许多VSSA都提到了标准，但却没有真正承诺要按标准来做。含糊其词地挑拣零碎的标准片段，并不能真正表明这些公司在安全方面做了些什么。”他将这种情况称之为“#ISO洗脱”(#ISOwashing)。

例如，Waymo并未在其于2020年9月的安全报告中提及任何标准，但却如此吹捧其系统安全计划：“作为2015年第一家在公共道路上完成全自动驾驶的公司，我们编写了Waymo自己的剧本。”

Waymo在2020年10月发布了一份长达30页的档案“Waymo’s Safety Methodologies and Safety Readiness Determinations Waymo”(Waymo安全方法论和安全准则)中，引用了大量标准并解释尚未完全符合这些准则的原因。

针对ISO 26262：

ISO 26262为Waymo的危险分析流程提供了重要的依据。然而，Waymo并未严格遵从ISO 26262标准，因为它并不完全适合L4 ADS (自动驾驶系统)。

对此，Koopman说：“在解读这样的声明时，思考它说了什么和没说什么都很重要。”

Koopman解释，“Waymo的意思是他们比较重视ISO 26262的第3部份，关于危险和风险分析，但因为无法完美契合而未完全遵从。不过，他们并未提及是否考虑ISO 26262的其他部份。”

他补充说：“他们也未说明实际上遵循什么样的准则，因为他们似乎对业已成熟的ISO 26262功能安全标准中那些规则不太满意。”他总结道，“现实情况是，ISO 26262应该可以用于其车辆的很多功能，就像用于其他任何车子一样。ISO 26262是可以量身打造的，很难理解他们为什么不对其进行调整以符合自家的需求。”

还有一个例子是Argo AI，该公司在最近发布的安全报告(Safety Report)中写道：“我们的系统工程设计建立在两个关键的ISO标准之上：ISO 26262和ISO 21448。”

Koopman指出：“虽然态度看起来还不错，但读者根本不明白他们实际上想表达什么。”他承认，“这句话给人的印象肯定是他们符合这两项标准，但如果真的符合标准，为什么不直接说‘符合’(conform)二字呢？我认为他们并未就安全问题​​做出最真实的声明，要不就说‘符合’或是较不那么正式的‘遵从’(follow)用语。否则，哪怕发出的声明再慎重，也得不到人们的信任。”

《EE Times》编辑曾经联系Argo AI解释其声明，该公司的一位发言人说，“我们的目的在于符合安全标准，但由于尚未完成安全测试，因此在声明中采用了那样的措词。”

是不是因为存在一些因素，使得AV产业人士对现有标准有一些看法，认为这些标准与其于第4级(L4)和第5级(L5)追求的车辆「自主性」没有任何关系呢？Koopman明确表示：“ISO 26262解决了功能安全问题，值得在L4/L5车辆中占一席之地。但L4/L5还需要涵盖更多的预期功能安全(SOTIF/ISO 21448)和系统级安全(ANSI/UL 4600)，所有这些内容都需要涵盖。”

由于目前的AV测试还无需进行监督、验证或校验，如何在AV大量上路之前确保其安全性，形成了一个难解之谜。

尽管有些现有的AV标准相互竞争且不一致，英特尔(Intel)首席工程师Jack Weast最近在一篇的文章中写道：“这个问题还是可以解决的，即采纳专家们(如学者、工程师、汽车制造商和业界代表)的方法，他们已经齐心协力制订出技术中立的安全标准。”Jack Weast同时也是IEEE P2846标准主席。

事实上，Weast并不是唯一这样认为的人。

由于产业本身已经花费了大量的工程资源来建立这些标准，Koopman反问道：“还有什么理由不遵循这些标准呢？”

在提交VSSA的AV公司中，辉达(Nvidia)的出现令人稍感意外，但这也展现了Nvidia在开发AV平台(完整结合其强大的SoC和AV软件堆栈)的雄心，并便于让车辆制造商轻松地将该平台应用在自家的AV车辆中。图3为Nvidia安全报告的截图。

Nvidia在其安全报告中写道：“Nvidia Drive架构使车辆制造商能够制造并部署功能安全的AV和卡车，并符合ISO 26262和ISO/DIS 21448、NHTSA推荐规范，以及全球NCAP要求等国际安全标准。”

图3：Nvidia在其安全报告中声明符合ISO 26262和ISO/DIS 21448等国际安全标准。

(来源：Nvidia Self-Driving Safety Report)

然而，我们发现这家GPU巨擘的声明中也存在一点争议。Nvidia声明符合ISO 26262，但并不意味着使用Nvidia芯片的AV就一定符合ISO 26262标准。

Koopman对此看法表示认同：“没错，这取决于客户实际上是否符合标准。”他解释说，如果Nvidia提供的方案只是让客户在“模拟”中符合21448标准，那就回避了最终产品在现实世界中是否符合21448标准的问题。

Koopman补充道，“除了Nvidia，我们还看到了一些业者宣称符合ISO 26262的声明，但他们实际上只提到了芯片，甚至并未包含所有硬件。”

安全报告流于广告文宣？

看着这24份安全报告，不可避免地会有一种印象，即这些报告更像是公司的营销宣传册。

Barnden指出，这些所谓的安全报告“完全可以互换”。“如果我收到来自Motional、Waymo和Zoox的文案，不去看公司名称的话，我根本无法区分它们有何不同。”

问题不仅在于报告中华而不实的图片过多，同时也欠缺实质的技术内容。Barnden说：“我看不出哪些指标可以衡量过去12个月取得的进展，也搞不清楚明年发布的新安全报告中会有哪些重大变化。无止境地重复‘安全’这个词并不能使产品或流程变得安全。”

以Waymo为例。Barnden说：“2020年，Waymo向加州DMV报告在628,839英哩行驶里程内发生了21次‘解除自驾’(disengagement)，平均大约每30,000英哩发生一次。但正如我们在最近的一段视频中看到的，一辆‘完全无人驾驶’的Waymo车子竟然被一个静止不动的交通锥给弄迷糊了。在Waymo位于亚利桑纳州钱德勒(Chandler, Az)附近的主测试区内，这辆AV居然在高速公路上倒车，致使一条车道完全堵塞，迫使人类驾驶绕道而行。事实上，‘解除自驾’报告毫无意义。如果未能搭配经过训练的人类安全驾驶员，这些车辆在公共道路上行驶显然还不够安全。”

Waymo案例

Waymo自驾车自2015年即已上路行驶，但令人惊讶的是其无人驾驶出租车仍然会因为一个交通路锥而混淆——这似乎很难被界定为一起“边缘案例”(edge case)。

最近几个月，曾经被视为AV产业领导者之一的Waymo有六名高阶主管出走，包括首席执行官、首席财务官、财务主管、制造主管、安全总监，以及系统安全主管。可以理解的是，人才的大量外流引起了人们的顾虑，也让硅谷流言四起。

这让我们又回到了原点。我们对Waymo Driver取得的进步真正了解多少？Waymo的安全报告显然没有透露多少消息，这似乎也让人不能安心。

重尾分布

AV开发商还需要多久才能推出完全的AV？这一时间一再推迟。安全报告不仅是业者的安全声明，同时也应该包括所面临的挑战，以及计划如何因应。

Kodiak即曾公开表示，测试里程数更长并不代表更安全。他们在其安全报告中如此写道：“当然，在这种思想的指导下，我们可能永远不会像一些竞争对手那样测试那么多的里程。虽然我们所测试的里程数较少，但并不存在风险，相反地，这是对安全性的一种承诺。”

Aurora对此表示同意。“……我们将实际测试视为一种手段，用来验证并提高快速脱机测试的精确性。这一策略使我们能够控制上路测试的车队规模。我们追求的是里程质量而不是数量，因而节制了测试车辆的行驶里程；换句话说，我们追求的是有意义的里程，而不仅简单地累积大量里程。”

谈到极端案例研究的重要性，Koopman指出，困难之处不仅在于发生(需要处理的)意外事件(即不安全事件)的频率，更重要的是需要处理的都是一些什么样的意外事件，这些意外事件都是不同的。Koopman说，如果意外事件数量过多，则需要很长时间才能解决所有问题，而且很可能永远都解决不完。

Koopman在他的文章中这样写道：

设计安全的AV不仅需要针对实际行驶场景进行大量的训练和测试，还必须处理各种不确定性。现实世界中可能会出现许多罕见的危险事件，在遇到不可预见的新情况时，系统需要保持稳健。

根据获得的道路数据进行总结，然后假设可能出现的各种异常情况，这肯定会有所帮助。然而，现实世界的意外事件通常呈重尾分布(heavy tail distribution)，因此可能无法使用简单的“驾驶/故障/修复”开发流程来实现所需的安全性。

在遇到新的情况时，AV需要具备足够的处理能力，同时还要求一种能够检测是否遇到意外状况的方法，这样才能在面对不确定性时仍保持安全。

拜登政府

NHTSA对汽车产业的放任态度早已是声名狼藉。几十年来，NHTSA的利益一直与汽车制造商和科技公司挂钩。

美国拜登政府(The Biden Administration)也没有提出任何处理AV安全问题的办法。新任交通部长Pete Buttigieg是否能带领NHTSA做出改变呢？例如，让科技公司和汽车制造商发布的AV安全声明更加透明和可靠？

NHTSA在特朗普政府时期曾发布“Advance Notice of Proposed Rulemaking (ANPRM) on autonomous driving systems”(关于自动驾驶系统的新规预告)来收集公众意见，收集日期截至4月1日。预计NHTSA在响应公众意见时，会出现改变的信号。

而当被问及何时对公众意见给出答复时，NHTSA回复《EE Times》说“待审核所收到针对ANPRM有关自动驾驶系统(ADS)安全原则的公众意见后便会有答案”。

NHTSA将在之后再决定其下一步计划。她说：“至于未来12个月的监管计划，NHTSA会在春季末的半年度监管行动统一议程中公布。”但该计划至今尚未公布。

非得等到灾难事件发生后…

许多AV产业观察家都清楚，可能要等到这个刚起步的产业发生一场灾难性的事件，才会促使政府终于做出决定，实施更严格的规则。

正如Barnden所指出的，“如果一辆正在测试的自驾车撞死了一个行人或一个孩子，那么舆论将直接指向美国总统拜登(President Biden)。”他指出，当年波音737 Max操控特性增益系统(MCAS)设计中的根本缺陷被暴露之后，所有波音737 Max飞机都被FAA停飞了。“AV的安全问题也显而易见，为什么还要发放免验通行证给AV开发商呢？汽车产业在大声疾呼‘拯救生命’的同时实际上又在危害生命，这是不可理喻的。其政治风险巨大，政府需要立即醒悟并展现果断的领导力。”

这种事情已经有先例。在Elaine Herzberg被优步(Uber)自动驾驶测试车撞死“一年多”之后，美国汽车工程师学会(SAE)终于采取行动，更新了SAE J3018 (首次发布于2015年3月)，即SAE L3/4/ 5 AV安全上路测试指南。 SAE的一位发言人表示，这“更有效反映了AV上路进行性能测试时的安全需求”。

她解释说，业界在测试由ADS操作的车辆方面已经积累了很多实际经验，J3018标准在更新时结合了这些经验，现在已经兼容于相关的SAE国际标准。

与此同时，在Uber发生致命事故一年之后，一个仅限受邀成员加入的汽车产业组织——AV安全联盟(AVSC)，也开始“利用联盟成员采用的测试方法和流程，记录并公开有关车内人类测试驾驶的最佳经验”，SAE自动化办公室主任Ed Straub表示。他介绍说，AVSC的使命是“建立公众对SAE L4/L5 AV的信任”。所有AVSC成员都在为各种车辆应用进行ADS道路测试。

但问题是，当AV业者向各州、各大城市申请在公共道路上试驾AV的执照时，为什么当地监管机构不要求AV营运商符合J3018标准？

Straub说：“我无法了解各州或各城市的做法。”他推测，真正需要使用这一标准作为参考的人可能还不知道有这项标准的存在。

但他也理解汽车产业的做法：“SAE国际标准已经存在上百年了，它是自愿性质的，除非像FMVSS一样在法规中明确规定。”他指出，“自动驾驶技术和相关测试以前所未见的速度发展，因此，很难要求开放的产业标准跟上步伐……因为自愿性质的产业标准是邀请所有感兴趣的各界来制定的，所以需要较长的时间。那些强制要求满足的法规(如FMVSS)则可能需要更长时间。”

说真的，花了时间和资源为所有成员制订安全标准，却不强制要求遵循这些标准，这是什么样的产业？道路规则适用于所有人，唯独汽车制造者例外，这究竟是怎么回事？

****************************************

下表由《EE Times》编制。“Glossy Pix Ratio”(GPR)是安全报告中宣传性图片页数与文本页数之比。 虽然一份安全报告中的页数较多，但如果GPR也较高，其中包含的信息可能比页数较少但GPR较低的报告包含的信息更少。

其后的四列计算报告中包含“标准”一词或提及某种特定标准的次数。“VSSA分数”(VSSA Score)则是对“VSSA”的评估。

表1：VSSA安全报告评分。

(参考原文：The Road Has Rules But Not So Much For AV Makers，by Junko Yoshida)

本文同步刊登于EDN Taiwan 2021年7月刊杂志

责编：Luffy Liu