机器可没那么聪明 自动驾驶如何安全验证？

【河南汽车在线】库普曼作为一名从事相关开发的计算机工程师，却对机器学习在无人驾驶汽车应用的本质有了质疑，为什么呢？

    现在有一种观点认为：汽车制造商很难证明自家无人驾驶汽车的安全性，因为这些汽车依靠的智能核心都是——机器学习。

    “你不能直接假设机器学习肯定能起到作用。”来自卡内基梅隆大学，从事汽车行业的一位计算机科学家菲利普·库普曼（Phillip Koopman）对此提出了自己的看法。

    2014年时曾有一家市场研究公司预测，无人驾驶汽车的市场规模到2030年时将达到870亿美元。面对无数必须克服的技术障碍，包括谷歌、特斯拉、Uber在内的很多公司目前都着力于辅助驾驶或者全自动驾驶领域的研究，并在多个方面已经取得了实质性的成果。

    库普曼是在这群庞大的研究人员中，为数不多的几位质疑机器学习本质的研究人员。他认为这一做法，使得自动驾驶汽车的安全验证变得极具挑战性。

    他指出，传统上是由工程师根据需求编写代码，然后进行测试，以检验程序是否能够满足既定需求。但是机器学习，即让计算机理解掌握事物复杂性的过程不是那么简单。举个例子，要求处理一天中某一场景在不同时间段拍摄的图片，识别其中重要的对象，比如人行横道和停止标识。库普曼解释道：“机器学习中最困难的事情，是你不知道如何编写需求。”

    人工智能并非万金油

    很多年前，工程师们意识到，传统的软件算法根本无法解决相机的图像分析问题。他们转而提出机器学习算法，通过用大量的案例训练来创造数学模型，以解决特定的任务。

    工程师们提供很多已经标注的例子来说明哪些是停止标识，哪些不是。然后利用算法对这些图像进行关键要素的剥离，提取典型特征，并建立相应模型。当后续计算机碰到新的图像时，它就可以使用之前训练得出的模型对新图像进行处理，然后预估图像中哪些包含停止标识，哪些没有。

    “这是归纳学习存在的固有风险和失效模式，” 库普曼说：“如果你观察模型内部想了解它具体是什么样子的，你会发现全部都是统计数据。这就是一个黑匣子。你无法精确的知道它到底学到了什么。”

    接下来举一个更具体的例子。想象一下，你在测试无人驾驶汽车，希望它能学会如何避让行人。所以你让一个穿着橙色安全衫的人站在车附近，然后让车自由学习。它可能被训练识别手、胳膊或者是腿，也可能被训练去识别橙色安全衫。

    或者说得更精确一点，想象你在夏天对无人驾驶汽车进行训练时，当时没有人戴帽子。等到它后来在路上碰到一个戴帽子的路人时，它一定会认为是看到了一个怪胎。而在进行算法训练时，“有无限种事物可以拿来使用”库普曼解释道。

    谷歌的研究人员曾经利用人工神经网络识别哑铃。而作为一种常见的机器学习模型，人工神经网络能够模拟人脑中的神经元网络的运作机理。令人惊讶的是，只有当图片中哑铃和手臂同时出现时，它才能将其中的哑铃识别出来。

    库普曼同时指出，安全验证中很多其他的问题，比如用太多类似的数据训练和测试算法。就像一场反复背诵卡片再检查的考试。

    他说，如果Uber将无人驾驶汽车放置于随机某一城市中，汽车没有经过当地计算机地图的详尽磨练，也许它们没办法像预期的那样正常工作。有一个简单的解决方法：如果只是在匹兹堡市中心（Uber已经绘制过地图）进行训练和运营，那么倒是可能没什么问题，但是需要注意这是有限度的。

    还有一大挑战就是需要确保系统感知到的细小变化不影响算法对障碍物的识别。比如雾霾或者灰尘等。2013年的一个研究发现，通过改变图像中的个别像素点，虽然肉眼无法察觉，却可以成功欺骗一个机器学习算法，导致它把一辆校车判断为不是校车。

    “你永远不会把这样的机器学习算法用在一架飞机上，因为你无法证明该系统是正确的。而飞机如果没有通过独立的安全测试，是不能起飞或降落的。”Roy指出，想测试自动驾驶汽车可能会遇到的所有场景（比如发生爆炸，或者是一架飞机正好坠毁在前面）是非常困难的。“但是，你必须有能力应对所有可能到来的风险，”他说。

    亟待出台的独立安全检查规程和标准

    库普曼希望汽车制造商们能够向某个独立机构展示，为什么他们认为自己的系统是安全的。“我不太迷信于他们的话，”他说。

    特别是，他希望汽车公司能解释算法的特性，以及不同场景下训练和测试数据的代表性。最重要的是，为什么他们对车辆拟运行的环境模拟是安全的。如果工程团队在无人驾驶汽车模拟行驶100亿英里没有发生任何问题，尽管车子没有看到一切，那么工程师同样可以做出判断，认为任何其他的场景不会经常发生。

    就在上个月，美国高速公路安全管理局NHTSA发布了自动驾驶汽车指导方针，但是其中独立安全测试只是可选项。

    库普曼指出，考虑到公司的交货期限及成本目标，有时候一些安全隐患会被省略。比如1986年的美国宇航局“挑战者”号事故。对一个小风险的忽视导致航天飞机升空73秒后爆炸，7名宇航员全部遇难。

    他认为，独立的安全检查是有必要的，即使不公布具体算法是如何工作的。航空工业有在航空公司工作的工程代表，让他们签署保密协议是常规的标准做法。“我不是说要告诉他们应该怎么做，但是应该有一些透明度，” 库普曼说。