以色列自动驾驶技术公司Mobileye去年被英特尔(Intel)收购。该公司周四宣布，将在耶路撒冷的道路上测试多达100辆汽车。但在与以色列电视台记者的一次演示中，该公司的演示车闯了红灯。
Mobileye是向汽车制造商销售驾驶辅助技术的全球领导者。通过本周的声明，Mobileye希望发出这样的信号:随着世界转向全自动驾驶汽车，它不会被甩在后面。但这一红灯错误表明，该公司的技术可能远远落后于Waymo等行业领导者。
尽管大多数研发全自动驾驶技术的公司都大量使用了激光雷达传感器，但Mobileye正在测试完全依赖摄像头导航的汽车。Mobileye并不一定计划推出自动驾驶技术。相反，测试一个只有摄像头的系统是该公司验证其技术堆栈安全性的非正统方法的一部分。
“我们的目标是一辆比人类驾驶的汽车更快、更平稳、更便宜地从a点到达B点的交通工具;可以在任何地理位置操作;与人类驾驶的汽车相比，它实现了可验证的、透明的1000倍安全改进，而无需在公共道路上进行数十亿英里的验证测试，”Shashua周四写道。
这是一个大胆的断言。我们怀疑这是不是真的。
该行业的领导者Waymo专注于积累超过600万英里的道路测试里程，并根据这些真实测试中收集的数据进行数十亿英里的模拟测试。但Mobileye辩称，这种方法既浪费，又不太可能提供足够的安全证据。
相反，Mobileye提倡一种更形式化的方法来证明它的汽车是安全的。Mobileye公司设想将自动驾驶系统分为感知和政策两部分，然后分别进行测试和验证。
感知系统接收原始的传感器输入，并将其转换成具有精确三维坐标的标记对象。然后，政策系统利用这个被标记的三维世界，并计划如何在其中导航。
该公司认为，通过利用传感器冗余，验证传感系统变得更加容易。Mobileye的计划是开发一个系统，可以只使用摄像机安全地导航，然后单独开发一个系统，可以只使用激光雷达和雷达安全地导航。Mobileye辩称，如果该公司能够证明，每3万个小时中，每一个系统的感知误差出现的频率低于1次，那么它就可以得出结论:同时使用两种传感器的系统，其错误出现的频率应该不超过3万*3万=~ 10亿小时。
但这一论点基于两个大的假设，而这两个假设是否正确还远未可知。
第一个假设是两个传感系统的失效模式是独立的，也就是说，欺骗基于相机的系统的情况并不比一般情况更容易欺骗基于lidar的系统，反之亦然。我们不认为Mobileye对这个命题的论证很有说服力:
称:“雷达在恶劣天气条件下也能工作，但可能会因为与之无关的金属物体而失效，而相机受恶劣天气影响，但不太可能受金属物体影响。”从表面上看，摄像机和激光雷达有共同的错误来源——都受到雾天、大雨和雪的影响。然而，相机和激光雷达的错误类型是不同的——相机可能会因为恶劣的天气而错过目标，而激光雷达可能会因为空气中粒子的反射而探测到幽灵。既然我们已经区分了这两种类型的错误，近似的独立性仍然可能成立。
显然，不同类型的传感器有不同的优点和缺点，所以使用多种类型的传感器可以为您提供有益的冗余。但要说这些传感器的失效模式是完全独立且不相关的，则是一个更大的飞跃。如果它们不是，那么Mobileye的每错误十亿英里的数学计算就不起作用了。
在去年10月接受EE times采访时，卡内基梅隆大学的安全专家菲利普·库普曼(Philip Koopman)称赞了Mobileye在设定假设时的透明度。然而，他对传感器故障是独立的这一假设表示怀疑。
Koopman说:“很难相信光雷达和雷达失效的独立性会像讨论中假设的那样有效。”“有些人必须在实践中证明他们是正确的，而不是想当然地认为他们是正确的。几乎可以肯定，有些假设是错误的，而作者甚至没有意识到他们所做的。”
最后一点才是我们真正担心的:Mobileye的模型可能做出的假设并不能真正描述现实世界。
例如，Mobileye隐含地假设将两个传感器系统融合在一起不会引入任何新的误差来源。但正如Navigant Research分析师山姆•阿布萨米德(Sam Abuelsamid)向我们指出的那样，这不太可能是真的。
“如果你开始把多种因素结合起来，你就会开始成倍增加潜在的失败模式，”他说。
将激光雷达和相机数据融合在一起——这一过程被称为传感器融合——本身就需要大量的代码。“更多的代码行意味着更多的bug机会，”Abuelsamid告诉我们。“因此，测试的实际复杂性开始再次爆发。”
类似的批评也适用于Mobileye验证其另一半自动驾驶技术的计划——该计划软件从一个世界的三维模型开始，并决定做什么。
Mobileye说，一旦它有了这个模型，它就可以从数学上证明，它的规划算法永远不会采取行动，导致它在事故中出错。
但即使假设这个模型的数学是完美的，它也不能证明使用这个模型的汽车永远不会造成事故。该模型可能会对现实世界做出一些假设，但在现实中并不成立。或者工程师在将理论模型转换为工作代码时可能会出错。
这并不是否认RSS框架可能是一种有用的方法来推断自治系统的安全性。如果这些都是Mobileye正在做的，那将是一个有价值的贡献。
但Mobileye公司将这一模型定位为广泛的真实世界测试的替代方案，声称它可以在不需要广泛测试的情况下证明汽车的安全性是人类驾驶员的1000倍。然而，在Mobileye的理论模型中，自动驾驶汽车失败的方式有很多。
我们怀疑Mobileye正在寻找减少路上测试的方法的一个原因是广泛的测试不太适合Mobileye的商业模式。Waymo在这里提供了一个有用的对比。
Waymo已经在公共道路上进行了超过600万英里的测试，去年秋天，它对自己的技术有足够的信心，开始让安全驾驶员离开自己的汽车。该公司希望今年晚些时候在凤凰城地区推出自动出租车服务。
Waymo对安全验证问题的解决方案是极端渐进主义。该公司开始在一些精心挑选的地区进行测试，这些地区气候宜人，道路标识清晰。随着时间的推移，Waymo逐步升级了其车辆的软件和传感器，收集了越来越多的地图数据，并逐步扩展到新的、更具挑战性的操作环境。
这是一个正在进行的过程，在Waymo在凤凰城推出其初始服务后还将持续很长一段时间。如果Waymo对自己的汽车能否应对特定情况(比如下雪或城市交通拥堵)没有信心，那么在有时间进行更多的开发和测试之前，它就不会在具备这些条件的地区提供服务。
这意味着Waymo不需要在数学上证明它的技术在任何情况下都能完美地工作。Waymo汽车要想在曼哈顿的交通堵塞或明尼阿波利斯的冬天安全行驶，可能还需要很多年，但Waymo有足够的耐心。在接下来的几年里，Waymo可以很容易地在菲尼克斯、亚特兰大、奥斯汀和拉斯维加斯等阳光地带城市的郊区建立出租车服务。
但这种方法并不是Mobileye真正的选择。这家以色列公司的业务是向传统汽车制造商提供芯片、传感器和软件。根据移动眼的数据，已经有来自27个不同的汽车制造商的1500万辆汽车在使用移动眼技术。
Mobileye的技术为日产的高级驾驶员辅助产品propilot Assist提供了动力，也为奥迪即将推出的A8提供了驾驶员辅助功能。Mobileye公司为通用汽车公司的超级巡航技术提供摄像机。在开发自动驾驶技术方面，Mobileye与宝马(BMW)和菲亚特克莱斯勒(Fiat Chrysler)有着广泛的合作。
周四，路透社报道称，Mobileye公司已经签署了一项协议，从2021年开始向一家未透露名称的汽车制造商再提供800万辆汽车的技术。
因此，像Waymo计划做的那样，推出出租车服务将是Mobileye的一个根本性转变，可能会疏远现有客户。Mobileye需要一个适合传统汽车业务模式的开发和验证策略，即直接向客户销售汽车。
Mobileye应该说的是，能够到处开车是维持Mobileye业务的必要条件，它的基础是向汽车制造商销售技术，而汽车制造商最终会向客户销售汽车——这不是像Waymo这样正在创建出租车服务的公司的要求。
而且，如果Mobileye需要它的技术开箱即用，“无所不在”，那么它将看到增量开发和广泛的实际测试是不现实的，这是有道理的。例如，Waymo在过去10年的大部分时间里一直在测试自己的汽车，直到最近才开始认真研究如何驾驭雪。如果Mobileye遵循同样的轨迹，它可能要到本世纪20年代下半期才能推出其首个完全自动驾驶技术单元。
因此，该公司的领导层已经确信，它可以大量依赖正式的数学证明来替代数百万英里的真实测试，因为它的商业模式没有给它留下很多好的选择。但希望这是真的并不能使它成为现实。
