图灵奖得主Joseph Sifakis：为何自动驾驶如此困难？

图灵奖得主Joseph Sifakis

为何制造自动驾驶汽车，以及值得信赖的自主系统如此困难？

在我看来，自主系统对实现工业物联网愿景而言至关重要。因为市场需求，自主系统应运而生，它让现有系统变得更为自动化，并通过自主智能逐步取代人类操作员。自主系统与游戏NPC或智能个人助理截然不同，自主系统可以管理可能冲突目标的动态变化集，可以应对复杂、无法预测的网络物理环境的不确定性，最终还将实现与人类智慧的和谐相处与协调合作，形成的“共生”自主。

今天，为了实现自主系统的愿景，我们需要从单一任务、单一目标、单一领域系统转变到集成众多协调任务的反应性/主动性智能系统，如自动驾驶汽车，智能电网，智能工厂等。

自动驾驶“为时过早”

目前来看，自动驾驶汽车是个非常热门的话题，大型科技公司和汽车企业积极参与并投入巨资，但关于自动驾驶汽车“即将到来”的乐观预测却是错误的。

埃隆·马斯克也承认：“现实世界人工智能的问题必须解决，才能进行无人监督的、全面的自动驾驶工作”。对自动驾驶汽车前景的过度乐观导致了他们认知上出现了一些错误，这些错误反映了他们对问题的本质和潜在的技术难题缺乏认识。

现有的两种不同技术方法都无法应对自主系统的挑战。一种是传统的关键系统工程，我们已经将这种方法应用到飞行控制器生产系统之中，但该方法并不适用于自动驾驶汽车。而大型科技公司采用了的产业端到端的人工智能解决方案却不能提供强有力的可信度。

如果能成功构建自主系统，自主交通系统将会极大地缩小机器和人类智慧之间的差距。且目前实现起来还有些困难，我们需要新的科学和工程基础来实现这个愿景。

为何制造自动驾驶汽车如此困难？首先要了解自主智能体的概念，自主智能体是一个主动的系统，不断与新环境进行交互。图示的汽车中有内部环境和外部环境。传感器将感官信息发送给情景意识模块，并根据环境语义模型进行情景分析，知识管理模块为分析提供支持，为决策模块提供决策支持，最终决策模块向车辆执行器发出指令并进行执行动作。这一架构让车辆实现在长距离道路上自动驾驶的功能。

知识管理模块很重要，有了知识，AI才能有更高的能力去理解人类可能永远遇不到的情况，但这在今天并不实用。

汽车工程师学会（SAE）提出的自动驾驶等级表更好地解释了自动化和自主之间的区别。从L0开始，L0代表的就是非自动驾驶，L5代表的就是全自动驾驶。L0至L2是自动化的级别，拥有高级驾驶辅助功能，但责任主体依然是驾驶员。L3级起，汽车会主动监督环境，被称为“监控自主”的自动驾驶。还有“区域自主”自动驾驶，即在受控的环境下进行自动驾驶。以及L5级“完全自主”自动驾驶。

需要强调的是，SAE等级表造成了很多误解，它仅仅表明了从自动高级驾驶辅助系统到自动驾驶系统的过渡可以通过升级自主级别来进行从自动化数据系统过渡到自动驾驶系统是可以渐进的。但人们却没有看到L2和L3等级之间的巨大差距。

事实上，用L3级自动驾驶系统监控环境这个想法很危险，当紧急情况下自动驾驶系统要求人类干预时，人类应该有足够的信息和充足的时间来了解情况并采取行动。所以这不仅是人机交互问题，还是一个把人的责任转移到机器上的问题。

同样，L4和L5级之间也有很大差距，但由于L4级别是“区域监控”自动驾驶，在限定的区域环境中，外部环境比较容易预测，并且可以使用各种仪器来提高感知质量，相信很快就会实现，例如高速路上的卡车队列驾驶。

打造混合架构自主系统

增加整体置信度

现有两种途径来打造自助系统，一种是基于模型的关键系统工程，根据标准制定，从需求出发设计系统，设计架构，设计模型并进行编码，随后测试。该方法可以提供证明该系统是安全的证据。但基于模型的范式被自动驾驶所需自主系统的复杂性和多样性打败了。这也是为什么，端到端机器学习技术无法保障绝对的安全，但是行业还是要采取这种技术。

今天，我们拥有构建值得信赖的自主系统的专业知识，也拥有大型科技公司的端到端解决方案。我们应该构建混合架构，充分从每种方法中汲取精华之处。对这种混合架构系统的某些组件，我们必须使用机器学习、神经网络技术，但至于诸如决策等其他方面，我们可以使用基于模型的技术来解决问题。

如何以最佳的方式组合这些方法是一个开放性的问题，另一个非常开放的问题是怎么验证自动驾驶汽车是不是足够安全？

“我们模拟了100亿英里的自动驾驶里程，来保证自动驾驶系统的安全”，类似的信息或许十分常见，但这些论点是基于一些统计结果形成的。问题是模拟时，模拟英里跟“真实英里”效果是不是一样？让自动驾驶汽车在理想高速路条件下行驶数百年都不会发生事故，而模拟究竟能涵盖多少种情况？我们需要证据。

还有一点要强调，那就是神经网络机器学习技术也可能被愚弄。最近，特斯拉的自动驾驶系统把月亮误认为是黄色交通指示灯，为什么这从来不会发生在人类身上？

人类的理解能力结合了从传感器水平到思维语义模型的自下而上的推理，以及从语义模型到感知水平的自上而下的推理，因为我们的脑海里有这个世界的语义模型。如果我们看到一张被雪覆盖的红绿灯的照片，就会推断这是一个被雪覆盖的红绿灯。但对机器来说，你得训练它在各种情境、各种不同天气条件下识别红绿灯。

如果我们看到一张父亲背着孩子的照片，不用解释谁是父亲谁是孩子，人类同样具备把象征知识结合来理解世界的能力。这是如今自主系统所缺失的。我们需要开发“自学系统”，可以构建基于环境的渐进式语义模型。对此，机器学习远远不够，还需要结合推理技术，而这是一个难题。

所以，构建可信赖的自动驾驶系统不仅仅关乎智能，也涉及到很多非常重要的系统工程问题。应采取混合设计的方法，但挑战之处在于将符号知识和非符号知识联系起来，例如将感官信息和环境模型联系起来。并且我们还需要优秀的仿真模拟系统和测试技术来进行全局系统验证。另外，应该依靠隐式或显式系统模型上定义的标准进行技术可靠性的安全评估。

最后，我想说的是自动化系统和自主系统之间存在很大的差距，这两者之间无法逐渐转化，高级驾驶辅助系统无法逐渐发展为自动驾驶系统。尽管如此，由于情景意识和环境的可预测性有所提升，自主系统的复杂性大大降低，自动驾驶并不是不可能实现，只可能是需要花费大量时间，出产新的科学成果、开发新的工程技术才能实现这一愿景。

来源丨2021世界智能网联汽车大会、智能网联汽车杂志
记者 | 温昕
编辑丨谭科兆
审核 | 詹可凡