【自动驾驶行业观察】Mobileye RSS

本文中的PPT源自Shashua教授2018年3月在德国Dresden的一场讲演。为了访问Mobileye官网上的相关信息，请访问Mobileye的官网以获取详细内容。本文在此基础上做了些笔记整理。

另外值得参考的是Mobileye的RSS安全模型究竟有哪些技术要点这篇学术文章

Mobileye于2017年由英特尔公司完成以153亿美元收购。作为开发高级驾驶辅助系统（ADAS）的全球领军者，在技术研发方面其目标是以视觉感知为核心研发和推广基于视觉的自动驾驶系统。

凭借多年积累的丰富经验，在汽车辅助驾驶领域取得了显著成就的Mobileye公司 team successfully developed the RSS (Responsibility Sensitive Safety) model, a responsibility-sensitive safety framework. The aim of this framework is to mathematically define "safe conditions" so that even if other vehicles respond in any way, the autonomous driving system can always avoid an accident.

论文下载地址戳这里

RSS是什么？为什么需要RSS

当前时代背景下，在全球范围内自动驾驶汽车的普及程度受到一个关键因素的影响：技术开发者在评估风险并确保安全方面的能力。然而，在理论上绝对的安全是不可能存在的。如图所示的情景中，在中间车道上行驶着一辆蓝色车辆（自动驾驶系统），如果右侧某辆车因故偏离当前车道并撞向黄色背景的车辆，则蓝色车辆无论是加速还是刹车都会引发碰撞风险；此外它也有可能选择转向到旁边的车道但依然可能会与黄色车辆发生碰撞因此在这种情况下是否存在一种有效的方法可以让蓝色车辆规避这种潜在的风险呢我们需要找到一种有效的解决方案来解决这一问题

或许最直接的做法是不让自动驾驶车辆进入这一情况，在高速公路上这类情景普遍存在。禁止自动驾驶技术在这类情况下应用就意味着这类技术无法被使用。如果允许这些技术在这类环境下运行……则绝对的安全性将不复存在。那么我们所说的'安全'到底指的是什么呢？

业界普遍采用的方法是基于已积累行驶里程的数据进行统计分析来评估安全水平。根据统计结果，在人类驾驶条件下每年每百万英里（Mile）的安全事故死亡率为10^{-6次（即每一百万英里仅发生一次事故）。如果想使机器驾驶获得社会的认可与接受度，则合理的设想是将事故死亡率降至当前水平百万分之一（即10}-9次/小时），这相当于约需三百亿英里的行驶里程作为测试基础。然而每次软件升级均需重新积累相应规模的数据作为新的测试基准。因此仅靠数据驱动的方法来提升安全性并不可靠

此外还有一种方法被称为Best Practice（最佳装备论）。该方法声称拥有最先进的传感器系统，并配备充足的冗余备份系统；采用最高水平的高性能软件平台；经过全面而彻底的技术验证；并且具备足够的使用里程记录等支持材料。因此被视为一种安全的方法。然而与里程统计论类似的方法虽然声称具备这些优势但也无法充分证明其安全性 更可能导致厂家陷入军备竞赛的竞争中 并最终仅通过高昂的成本进行了一次 pricey scientific experiment

Mobileye从AEB测试中汲取了灵感,尽管AEB关注的问题主要集中在FN上,但FP同样不容忽视.因为首先,FP的安全影响相对较小,其次,这一问题对驾驶体验有着显著的影响,AES公司致力于优化这一指标.

为此起见, Mobileye研发了RSS (Responsibility Sensitive Safety)模型.该模型的目标在于利用一系列数学公式来进行理论上的安全性验证.此外,为了防止自动驾驶汽车主动引发事故,该方案还采用了以下人类驾驶中的若干共性原则:

1. 什么是危险情况？
2. 什么是危险情况下的正确反应？
3. 谁要对事故负责？

RSS模型要达到的目标具有两重含义：

1. 自动驾驶汽车本身没有能力造成事故发生（卷入事故发生与直接导致事故发生是两个完全不同的概念。如同前面所举的例子，在某些情况下自动驾驶车辆可能会被认定为涉及事故发生（即卷入了），但这并不意味着它们在事故发生时通常不被视为责任方）。

2. 自动驾驶汽车应该在其它车辆发生错误时做出正确反应

其主要功能是在事故先兆阶段制定相应的规则框架，在事故先兆阶段制定相应的规则框架...

RSS的四个“常识”

总的来说，RSS通过形式化以下4个“常识”规则来确定“谁需要对事故负责”：

1. 追尾责任不在前行车辆；后方车辆应确保与前方有足够的安全间距。
2. 仅当前行车辆紧急偏离道路时才可能出现此类追尾事故；因此责任应归于引发偏离行为的车辆。
3. 不应机械地使用"right-of-way"（将之视为固定属性）；若某辆车违反交通规则进入自动驾驶者享有road priority的道路但自动驾驶者拥有充足减速时间从而规避事故则其必须采取减速措施而不能因享有的优先权高而继续前行否则将需承担相应责任。
4. 注意避免视线受阻以免小孩因被前车遮挡而发生意外风险。

既然RSS是一个形式化的模型，则它必须满足一系列标准才能被视为一个高质量的形式模型。

• 合理性 ：当RSS模型判定事故中自动驾驶汽车无过错时，则该结论必须满足常识性的判断标准。
  • 实用性 ：我们能够制定一系列既安全又实用的驾驶规定，在事故发生时也能明确排除自动驾驶的责任感。
    比较激进的做法是车辆在遇到异常情况时立即停止运行，但这种措施显然不可取；我们需要确保道路交通能力不受影响

这里阐述了几个核心要素：可能性边界、危害事件、危害触发条件、适当措施及责任划分。

安全距离

在极端情况下保持足够的安全距离以避免碰撞是非常重要的。极端情况下指的是前车在紧急刹车时采取最大制动力度并立即开始刹车后车在发现危险后会有一定的时间做出反应在此期间它仍会以最大的加速度行驶直到完全停止之后才转变为最小制动力度以确保安全距离的维持因此最小安全距离的计算公式如下

参数定义如下：前方车辆速度Vf和后方车辆速度Vr共同决定反应时间ρ；同时受到最小制动力度αmin,brake和最大制动力度αmax,brake的影响；此外还与系统内的最大加速能力αmax,accel相配合运作。

说明：

-上述公式中的参数应该是法规制定的合理值。

与传统的人类驾驶相比，自动驾驶汽车在多个技术参数上具有显著差异。例如，在反应速度方面，自动驾驶系统通常表现得更为迅速，并且其制动反应能力同样更为出色。此外，在设计刹车控制系统时，默认值应适当调高以确保更高的安全性。

-不同路况下可以设置不同的参数（湿滑路面、冰、雪等）。

该段公式用于计算同方向行驶车辆的安全间距。当存在反方向行驶时，则表示有对向车辆驶来的场景。安全距离计算公式如下：

因实施并线导致的追尾事故发生时，在现阶段的交通法规中同样遵循这一原则指出该责任归于实施并线的车辆。然而这种观点并不意味着自动驾驶技术就可以完全免责，在基于感知-决策-执行器（RSS）模型的研究中发现不仅要看旁边车道是否有足够距离让旁边的车辆能够插入到当前车前方并且采取紧急制动措施还可以推断出自动驾驶汽车也需要采取相应的制动措施以避免碰撞事故的发生

这里的负号是因为定义方向的原因，其实最后都是加的绝对值。

路权

在多条道路交叉或汇合时会涉及路权

在多条道路交叉或汇合时会涉及路权

为了深入理解路权这一概念, 我们需要明确术语'纵向顺序'的概念, 其定义为沿直线到交叉点的距离. 如图所示, 左图中红车处于领先位置, 因为Red's distance is shorter than Blue's; 右图则相反.

与上文中提出的公式化安全间距相似，在多条道路交叉的情况下我们也可以制定纵向的安全间距标准。如图所示，在这种情况下蓝车拥有优先权且具有更高的优先级那么红车应当在进入路口之前的一定安全区间内进行减速操作以确保蓝车能够正常通行。

如前所述，在传统的基于路权的方法中存在局限性。例如，在图中所示的情况下, 红色车辆未能及时刹车导致闯入蓝色车辆所在的车道, 而蓝色车辆也进行了必要的刹车操作以防止碰撞的发生. 此外, RSS模型还具备一定的弹性, 即使存在轻微的横向偏移也能有效规避碰撞风险.

交通信号灯和空旷的道路

行人和遮挡

对行人而言, 首要任务是明确其路径及其优先等级. 在一些区域中, 行人路径较为明确. 例如, 在人行道或交叉路口设置斑马线的地方, 自动驾驶车辆在专用车道运行时, 通常情况下无需担心行人突然进入. 车辆拥有优先权, 必须遵守交通规则.

在一些区域中发现，在某些地方行人的路径不够清晰。因此，在这些区域中驾驶员需格外小心，并将行人排在前车位置以确保他们的安全。考虑到一般成年人的人类反应时间为约500毫秒左右（即半秒），以及博尔特的最大加速度约为3.09米每二次方秒（虽然博尔特的速度极快），车辆与行人的最小安全距离大约为五十厘米（即半米）。因此，在行驶过程中应当始终保持足够的间距以避免追尾事故的发生。

另外

从车辆检测到目标的一刻起至反应时间内结束时，在这段时间内车辆并未采取加速措施；同时，在直到发生碰撞或完全停止那一刻（Ts）之前的过程中，则是以至少αmin,brake的加速度进行刹车动作。

-从Te到Ts这段时间内，车辆的平均速度低于行人的平均速度。

在这种情况下,车辆并未承担相应责任。这一定义所蕴含的核心观点是:当碰撞发生时,若车辆的速度低于行人,或两者运行速度均较缓慢,则碰撞所带来的伤害程度将得到最大程度地降低。

在这些不确定性高，视眼有限的场景，基本上都是要考虑 worst case。

对于可靠性，Mobileye使用了NHTSA的场景进行测试，cover了99.4%的碰撞情况。

在可用性方面展开讨论时会发现Shashua对此进行了有趣地阐述，并提及了'蝴蝶效应'这一概念。具体来说，在这种情况下你需判断是否存在由不同个体或系统组成的独特关系组合。然而从计算层面难以验证相应的响应方案的有效性。例如你可以检验是否涉及不同的关系组合但若这些组合仅由单个车辆构成则难以满足需求；而当组合涉及任意车辆时同样无法满足计算上的可行性要求。

有效的安全验证能够确保系统的稳定性运行。遵循RSS合理响应机制的驾驶策略不会将事故推咎于自身，并通过恰当规避措施避免了事故的发生。这正是RSS的核心理念：即便他人 myself惹事也无须承担任何过错责任。

与AEB类似的是，在Mobileye看来，只需要确保规划工作即可；因为OEM负有责任确保先前的感知模块已经完成。

需要注意的是，在RNSS中并不是直接制定驾驶策略本身，并非直接制定驾驶策略

与此同时，在定义危险情境、正确反应以及事故责任划分等方面，RSS遵循人类驾驶员的常识而非仅靠法律法规；Mobileye正努力推行RSS模型，并希望在行业界、政策制定者以及学者等社会团体间达成共识。