文丨Mobileye CEO Ammon Shashua教授

为了赢得汽车市场份额，Mobileye将开放架构。

在以色列Mobileye总部英特尔公司高级副总裁、英特尔子公司Mobileye首席执行官兼首席技术官向智驾君表示，“在今年12月Mobileye推出的EyeQ5芯片将是开放架构的，到时我们的客户，如宝马、克莱斯勒就可以在芯片上编写自己的代码，自己来做融合。”

Mobileye的构架是建立在不同的模块上的。

其中一个模块是感知，微处理器会不断处理传感器传递过来的信息，而微处理器通过处理数据来解读周围的环境，例如：其他车辆的位置、行人的位置、交通指示灯和交通指示牌等物体的信息。

这个系统是关闭的。

Mobileye也没有理由说为什么要开放这个系统，就像Gmail的系统也是关闭的一样。

这就是Mobileye处理视觉信息的算法。

另外是融合和驾驶决策的算法，就融合方面，Mobileye把雷达和激光雷达等传感器收集的信息进行融合。

接下来是最复杂的部分，即驾驶决策，驾驶决策指的是车辆自己的行驶判断。一旦车辆明白了周围的环境，它需要判断采取什么样的措施，比如：是否需要变道？是否继续行驶？是否达到了安全距离？如果要变道的话，需要超越哪辆车？需要给哪辆车让行？

这一套算法分成两个部分，一个是负责决策执行的算法，另一个算法是保证决策后的行驶安全模式。

在这部分，整个行业仍然是不透明的状态。比如Waymo的汽车，你并不知道决策后面的方案细节。比如汽车变道，是否有相关的测量方式来衡量驾驶员小心还是不小心？

而Mobileye则是唯一一家决定对外公布开放文件的公司，这就是Mobileye的RSS（Responsibility Sensitive Safety 责任敏感安全模型）。

Mobileye希望通过建立数学公式的手段，来使得自动驾驶汽车有能力判断自身的安全状态。

Ammon Shashua认为这是整个行业内的一大革命举措。

为什么呢？

因为当人们在谈自动驾驶的时候，通常会想到技术，以及计算机视觉和人工智能算法是如何工作的？

如何进一步加强机器学习和深度网络？

自动驾驶汽车其本身实际是一台机器，而这台机器有可能会威胁到人们的生命。那么我们要对社会如何交代？如何处理这台机器给社会带来的影响？

你不能仅仅说这台机器应该遵纪守法。为什么不能这样说呢？

因为如果我们仔细研读的话，你会发现有一些法律法规是写的非常明确的，但是其中有一条则是有很大的解读空间，即“注意义务”（duty of care）。

这条法律规定人们必须要履行相应的注意义务。虽然有法律规定，但是你也有注意义务。

如何理解保持注意（义务）则是开放的。

其定义与社会规范有关，与判例有关，比如之前发生过某事件，法官是如何裁量判决的，这将成为后面案件参考的判例。

但是我们不可能在还未把法阐释清楚前，就让一台机器上路行驶。

例如，我换道，然后一辆车从后面撞了我的车，那么两方将会各执一词。我会说对方开车不专心，对方会指责是我开车鲁莽大意，而只有法官才能够最终裁定。法官会问我如何理解“保持注意”，并看我的解读是否符合社会规范。

Ammon Shashua认为，我们必须要提前防范，必须把这一操作进行公式化，必须明确地界定出“保持注意”的意义。

这一解读应当有三个纬度。

第一，合理性。即要满足人们对“保持注意”的理解，满足人们对“保持注意”的判定，而不是天方夜谭地疯狂定义。

第二，有效性。因为可能我们有了一个合理的定义，但是这个定义可能是完全无用的。举个例子，假设我想变道，现在我们规定一个听起来还不错的定义：在我变道的时候，其他道行驶的车辆都不允许改变速度，不应该受到我变道的影响。这一定义貌似听起来挺好的，挺“小心”的。但是这样的话，在中国你不可能变道，在以色列也不可能变道。

为什么呢？因为实际变道的时候，其他车辆必须减速让你插入换道。所以我们有可能做出了一个无用的定义。这也就是为什么我说有效性是第二个纬度。

第三，纬度是可验证的，效率上必须可以进行验证。即必须把我下的定义同机器进行实际结合，验证我的定义是否正确和有效。我必须证明没有蝴蝶效应。

什么是蝴蝶效应呢？

蝴蝶效应指的是我现在做一个很小的无心之举，通过系统中其他动作的作用，最后导致了一场事故。这场事故最终发生的原因其实是因为我开始时一个小小的无心之举。如果类似事件真的会发生，就意味着我在验证我的动作时，我必须推算出未来。

举一个蝴蝶效应定义的例子。假设在我所作的定义里面有这样一条规定，如果我后方的车辆离我太近，那我就提速。

现在后方的车辆离我非常近，我立马提速。这听起来很合理，很多人也确实这样做。但是如果我们对这一定义进行验证的话，我们会发现没办法验证。

因为我们必须推算未来，那么多重因素和事件都会牵涉其中。所以每一个做出的定义，必须合理、有效且能够通过数学的形式进行验证。

Ammon Shashua说，Mobileye是自动驾驶行业最“开放”的公司，因为我们相当于在业内奠定了一块基石，帮助推动整个行业的发展。我们现在同主机厂合作，同行业供应商合作，同美国甚至中国的监管机构进行合作。

百度4个月前正式宣布采用Mobileye的RSS模型。我们正在做的是开放的、透明的、并有利于整个自动驾驶行业发展的事。因为如果没有这些的话，没有哪一家车企或技术供应商敢让这台机器上路，否则一旦发生了事故，我们怎么办。

当然，Ammon Shashua教授提到这个RSS让我们想到阿西莫夫机器人三定律，是不是代表着自动驾驶汽车也需要这么一个机器人三定律。是不是整个产业要对安全策略有一个共识？

RSS是基于模型的思维，与统计性思维不同。

统计性思维想的是我要如何说服社会相信我的机器是安全的。为此我会开很长的里程，比如我让车队开1000万公里、1亿公里，没有发生事故。

里程越长，我的系统也更成熟。这种统计性思维的问题在于，只有在你证明你的数量级比人类更有优势的情况下，该系统才能真正发挥作用。

这方面的问题在于你需要收集的数据量将是非常庞大的。

我们来看看人类的数据。人类开车一小时内死亡的概率是三百万分之一，这个是人类的数据。

现在假设我们希望结果提高10倍？

有一篇中国的报告称说只有在车辆表现比人类好100倍的时候，社会才会开始接受自动驾驶。那么现在我们假设成100倍。这就意味着要开1亿小时。

假设一个小时开30公里，那么行驶的距离共计30亿公里。这完全是不可行的。统计性思维的第二个问题在于它不是透明的、不是公开的。

如果发生了事故的话，我不知道怎么解释事故发生的原因，因为它是一个黑匣子，只有数据。而我们的是基于模型的思维，每一个部分都是开放透明的，你能完全理解车辆为什么做出这种判断决策，每一步都经过数学验证的，完全开放。要获得社会信任的话，透明是非常重要的。

那么如何应对监管机构呢？

监管机构有两个监管方面的极端，一是过度监管，即监管方想要的超过了技术公司能够提供的，于是监管方不断给技术公司施压，这可能会毁掉整个行业。

二是无监管或非常少的监管，即只用通过非常少或基础的准备，车辆就可以上路行驶了。

这是美国的方式。

美国监管方称我们不想干扰科技革命，所以我们不会过度监管；而我们又不是真正地懂技术，我们也不知道如何监管。

所以我们只颁布非常基本的准则，科技公司自己去试，毕竟也是你们科技公司自己的生意。那么结果是什么呢？

如果发生了事故，是你公司自己的责任。机器和人类之间发生的事故会引起社会很大的关注。所以我们认为，正确的定位应该在这里。不是过度监管。

“这里”指的是同监管者一起对“注意义务”进行定义。

例如，这个定义的内涵是什么？为什么我们要“保持注意”？

这是因为我们在做一件事情的时候，我们并不知道其他人在干什么，这就导致了不确定性。那么我们如何解决这个问题呢？

我们要对其他人会做什么进行合理的假设，并在此前提下对可能发生的事情做最糟糕的假设。

举个例子，假设我在开车，我前面有一辆车，我需要跟它保持安全距离，为什么呢？

因为我做了一个最糟糕的假设，就是前面的车瞬间破成碎片，保持安全距离可以保护我不受前车碎片伤害。

现在我还需要假设它的破断拉力是多大。如果它的破断拉力是无穷大的，那么车应该基本就是停止不动的，而我需要保持的安全距离则太过于长，并没有任何实际意义，因为其他车辆总会超过我。

所以我需要假设下前车最大的破断拉力，是0.6G？还是0.8G？这些就是我们做的假设。而我们还要同监管方共同探讨这些假设，因为这些假设都是我们建立的开放模型的一部分，帮助我们实现三个纬度的考量，并优化“注意义务”的定义。

同监管方就“注意义务”的定义达成一致意见：这是很困难的。

为什么呢？

因为律师更倾向法律的开放解读，这也就是为什么我们有法官、法院。监管机构是律师，如果我们逼他们把法律的定义进行模式化，肯定会遭到他们的拒绝。如果发生事故的话，他们希望你能去法院解决，这也是法院存在的原因。

所以我们必须得让监管者认识到，不这样做就会走向两个极端，一个是过度监管毁掉整个行业，一个这是监管过少造成行业难以发展，或者有了初步的发展，但是发生几起事故之后，行业死亡。

前两天有一个非常重要的新闻，那就是Mobileye和大众宣布共同合作首个自动驾驶网约车服务（也可称为出行即服务，MaaS）。这个项目的重点在于，以色列将推出全球第一个由政府参与的自动驾驶MaaS项目。政府提供其监管架构，支持MaaS发展。以色列政府承诺将成立专门的委员会，开始讨论监管壁垒和研究相关事项。

这才是这个项目真正的重要之处。

特别之处并不是在以色列落地MaaS，在任何国家，美国、欧洲并没有什么差异。不同之处在于每个国家监管方式是不同的。

美国的方式是，你想做就去做吧，我们不会阻止你；欧洲的方式是重重监管，所以整个行业很难真正起步。

以色列的方式则是，我们希望能够促进MaaS的发展，我们是一个面积很小的国家，我们是一个创新力很强的国家，我们甚至希望能够在监管上进行创新。

所以我们在做的不仅是技术创新，更是监管创新。我们称为“创新型监管”（制度创新）。这就是以色列在做的，这就是为什么这个合作项目如此重要。

我相信中国现在的思维也是一样的，虽然我们两国的规模不一样，但是中国现在的思维也是要不断进行创新。

Ammon Shashua想强调的是，创新不仅仅是技术上的，也是监管（制度）上的。我们要做律师们之前很少做的事情。

这就是我们称的新的“学科”。为什么是新的“学科”呢？是因为这个部分如果要给出一个合理的定义的话，哲学家和律师们可以做到。

要给出一个有用的定义，哲学家、律师、心理学家可以做到；这个部分主要是数学构成，需要非常严密的数学逻辑来证明归纳原则的准确性。

我把这三个部分合在一起称为“法规科学”（regulatory science）。

这是一门把法律和高等数学结合在一起的学科。我们这样做是为了实现我们的目标。这是Mobileye正在做的一个非常具有创意的方式。

也是从第一个“封闭”的问题开始，其实整个行业是“封闭”的，我们公司是“开放”的，我们同行业伙伴和监管者一起开放合作。

在以色列宣布的这个项目其实是整个全球方式中的一部分，要做的是拥抱监管机构，让他们认识并参与进来。

Ammon Shashua认为如果一个国家的监管者没有这种思维的话，那个国家是没办法做无人驾驶的。它会朝着两个监管极端发展，而这两个极端都会毁掉无人驾驶行业。

Ammon Shashua称，“保障”这个词其实有点复杂。并不是科技公司想要政府给予保障，科技公司想做的是去澄清什么世按照驾驶规则行驶的意义。

当然，遵照法规意味着不能跨过双实线，不能闯红灯，这些都是非常清楚的。但是法律规定说要“小心”，要“保持注意”。这什么意思？

这就是监管应当入手的地方。

用模式正式界定“保持注意”的含义。而要做到这种界定则非常复杂，这就需要我们提到的三个纬度。这是其中最最复杂的部分，要解释“保持注意”的定义，并确保其定义是可验证的。这便是我们将其称为“法规科学”的原因。它不仅是法律，它是法律加数学。

但我们在谈论安全时，共有两种形式的安全，而很多人常把两者混为一谈。一是，功能安全－FUSA（functional safety），二是，名义性安全（nominal safety）。

功能安全指的是确保整个系统是否完整？是否有程序故障？是否有硬件故障？

如果有的话，是否可以弥补？

这就意味着你必须把一些部分扩大备份处理，这样一旦一个零件出现问题的话，有备份方案可以替代上去。

这包括辅助信道、故障安全操作、在不同的芯片上将核心功能进行备份。这些简称为SOBD，都是自动驾驶文化当中确保安全的组成部分。

RSS是名义性安全，指的是系统的设计。即在开始设计系统的时候要确保不会给社会造成安全事故隐患，这与备份或冗余系统并不一样。我在变道的时候撞车了，这与冗余系统无关。事故发生是要么是因为我决策失误，要么是对方决策失误，而不是冗余系统的关系。

这是与系统的设计挂钩的。我是如何设计系统规则的？我是如何估测危险的？以及在估测之后采取什么措施？

所以这并不是功能安全，RSS是名义性安全。人们还尚未探讨过名义性安全。在汽车行业，人们还是关注数据，崇尚开的里程越长越好。但是这个方法是不对的，它既不透明，而且你还需要行驶30亿公里，这完全没有意义。

我们来看看价值链。这是价值链，这部分是硅＋软件。硅也就是我们EyeQ家族芯片，就自动驾驶而言是我们的EyeQ5芯片。

软件是感知，或者我们称为计算视觉；传感器融合；驾驶决策，既驾驶时做的决定，我们称为驾驶决策；地图，设计高清地图，既你开车时在手机上看到了各种线，这就是预测模拟出的交通地图实况。

就软件角度来说，这是端对端的，从传感到动作，我们在这里加上车辆控制。当我们同主机厂合作时，我们有时候提供全套解决方案，有时候只提供部分解决方案，比如只提供感知的方案，主机厂自己做融合。

这种情况下价值链只延伸到了芯片。这部分是开源计算的。我们的一些客户购买我们感知处理的芯片，然后自己开发融合方案。

另外一条价值链的模式是包括上述全部，再加上硬件子系统。他们购买的不是原始芯片，而是从感知到行驶决策的硬件打包产品。相当于一块硬件，你可以假设有台电脑，你购买的硬件可以插入电脑。

第三种模式是全套硬件，好比负责所有内容的整一台电脑。

第四种模式是加上传感器，摄像头、雷达和激光雷达。可以是我们从第三方采购的雷达和激光雷达，或者是未来我们自己设计制造的雷达和激光雷达

Mobileye现在是英特尔的一部分，英特尔比之前单枪匹马的Mobileye要实力雄厚得多。

英特尔有自己的硅光子生产线，可以生产雷达所需的芯片。该生产线还有一个负责雷达通讯的部门，可以调整来做汽车视觉雷达。

Ammon Shashua：所以展望未来，我们有能力自己生产传感器。