专访丰田研究所负责人Gill Pratt：自动驾驶面临的挑战及现实问题

雷锋网按：在2015年的DRAPA（美国国防先进研究项目局）机器人挑战赛结束之后，Gill Pratt推动了丰田研究所（Toyota Research Insititue，简称TRI）在美国的成立。这个研究所将在未来五年的时间里投入10亿美元，用来研究机器人和人工智能。

如同外界预期的那样，TRI将主攻自动驾驶技术：丰田与其他汽车厂商一样，对如何利用自动系统让汽车变得更安全、更高效以及更舒适非常感兴趣。

IEEE Spectrum在CES期间采访了Gill Pratt，探讨了以下话题：

• 没有哪家厂商的自动驾驶技术接近Level 5；

• 对自动驾驶技术过度信任的两难困境；

• 怎样的自动驾驶汽车才算足够好？

• 机器学习以及“The Car Can Explain”项目；

• 模拟人类司机可能会做出的疯狂行为；

• 计算机硬件需要一场革命；

• 人和机器：到底谁该守卫谁？

雷锋网对采访内容做了不改变愿意的编译。

1. 没有哪家厂商的自动驾驶技术接近Level 5

问：在丰田新闻发布会上，您说Level 5级别（SAE）的自动驾驶“只是一个美好的目标，不管是汽车界还是IT界，没有哪家公司的自动驾驶技术接近这一级别。”这和我们在展会上听到和看到的完全不一样，更不用说我们最近看到的各种宣传演示视频。

Pratt：最重要的是要理解并不是所有的路况都相同。大多数时候，我们的路况并不复杂，因此现在的自动驾驶技术能够让我们时不时打个盹，走走神或者聊聊天。但有些路况可能很复杂，现有的技术应付不了。

我们需要关注的是：这种情况出现的概率——能否确保汽车在给定的路线上，全程自主操控而没有任何问题。Level 5要求汽车在任何情况下都不需要人类介入。

因此当一家公司说，“我们可以在这片绘制的区域实现全自动驾驶，我们几乎为每一个区域都绘制了地图”，这并不意味着Level 5。实际上，这是Level 4。如果碰到这样的情况，我会继续追问，“不论白天、晚上，不论什么天气，不论什么交通状况吗？”

你会发现这个分级概念有点模糊，并没有很清晰的界定。Level 4或者“完全自动驾驶”这样措辞的问题在于，它概念特别宽泛。

比如，我的车能够在一条专属车道上实现全自动驾驶，这与火车在轨道上行驶并没有太大差别。而雨天在罗马混乱的马路上行驶则是一件完全不同的事，因为这要难得多。

“完全自动驾驶”这个词汇的意义太过宽泛，你必须问清楚，“真正的意思是什么？什么才是实际情况？”通常你会发现他口中的“完全自动驾驶”有诸多限制，比如车流、天气、白天还是夜晚等等。

2. 对自动驾驶技术过度信任

问：这些信息给消费者带来了期望值的问题，他们每天都听到这些新词汇、新概念，却不知道它们到底意味着什么。

Pratt：你说的很对。作为消费者，我们喜欢自己在脑海里建立一个模型，来预测这种自动驾驶技术到底有多好。这种模型往往是带个人感情的：我们只会关注某些事情，而自动驾驶技术的不完善可能会被选择性地忽视，这让我们要么过度信任，要么低估自动驾驶的能力。

丰田认为，对消费者进行教育，并让他们真正了解技术的局限性非常重要。整个业界需要共同努力，从客户的角度出发，确保他们真正了解自动驾驶汽车的好处，以及它能做什么、不能做什么。这样消费者就不会盲目信任自动驾驶。

过度信任是另一个大问题，一旦你将车销售给消费者，当后者在适宜环境下体会到自动驾驶的种种好处，你就很难再影响他们。

随着自动驾驶汽车技术的提升，需要人类介入的情况会越来越少，这将加剧过度信任的问题。因为用户会这样说，“它之前不需要我接手，现在也不需要，未来也没有这个必要。”

从某些方面来说，最糟糕的情况是：一辆自动驾驶汽车每行驶20万英里才需要人类接手一次，而一个平均行驶里程为10万英里的普通司机则很难遇到需要自己接管的情况。但有时，当汽车突然发出预警，提示需要司机接手，对于一个已经很久没有碰到过这种情况的司机来说，可能会因为完全信任汽车，而疏于准备。

因此，我们也担心：我们做得越好，过度信任带来的问题就会越大。

3. 自动驾驶汽车需要比人类司机更懂驾驶，那怎样才算是足够好？

问：你认为Level 5级别的全自动驾驶现实吗？或者说可能吗？

Pratt：我认为是可能的，目前我们的标准参考的是人类司机的标准。

我在发布会上也提出了这个问题：“我们应该使用怎样的标准来判断这个系统要达到什么水平？”我认为这是非常重要的，但现在还没有答案。目前，自动驾驶汽车离“完美”还需要很长时间，因此不可能完全避免事故的发生。

如果自动驾驶系统的驾驶水平比人类好10%，社会能接受吗？还是说要好10倍才会被社会接受？我不知道。

老实说，作为技术工作者，我们并不能告诉大众这个问题的答案，这个角色是属于政府、属于每一个将会被影响的人。“能够拯救一个生命才算足够好。”或者说，“只有当它比人类驾驶好10倍时，我们才会接受它。”我不确定。但我认为，在有答案之前，我们必须非常谨慎：不要引入不符合社会预期的技术。

在谈到自动驾驶汽车安全时，我有时也会和别人一样，试图证明“就算自动驾驶汽车将安全系数提高了1%，我们也应该推广它。”从理性的角度来看，这是正确的，但也是一件感性的事情。

人类并不理性：如果将空难作为类比，毫无疑问，飞机是最安全的旅行方式，你应该永远不需要担心空难。但飞机也可能会失事。当看过空难之后，我们的恐惧会被放大，然后开始担心自己搭乘的飞机是否也会失事。

理性地说，这种担忧毫无意义：汽车的事故率要比飞机高得多，但是只要飞机失事就会被占据新闻头条，最后，我们开始担忧飞机而不是汽车。

对于人类驾驶造成的事故，我们可能会想，“这可能发生在我身上，我也可能犯这样的错。”如果是一台机器，我担心人们并不会因此产生同理心，因为他们只会希望这台机器是完美、不会出错的。我们知道，AI系统，特别是基于机器学习的AI系统，并不是十全十美、毫无缺点的。

由于通过传感器获取的外部信息维度太大，汽车会接收以前从未训练过的信息，我们期望它能够根据这些信息对周围环境做出合理认知。

每隔一段时间，当我们取得新进展时，就可能因为认知系统的错误，导致事故发生。当事故发生后，我们能够说什么？我们又要责怪谁？我们不知道这个答案，但这是一个非常重要的问题。

4. 机器学习以及“The Car Can Explain”项目

问：前谷歌自动驾驶汽车负责人、现TRI CTO James Kuffner在CES上谈到了云机器人。自动驾驶汽车不可能完全避免事故，但是每当事故发生之后，汽车厂商能否查出事故的原因，并及时给推送软件更新，防止此类事故再次发生？

Pratt：我认为这是很有可能的。

实际上，如果做不到这一点才会让人惊讶。我们有非常详细的驾驶日志，来记录车祸时的情况。你问了一个很有趣的问题：我们能够找到真正的事故原因吗？

为什么说有趣呢？因为机器学习系统，特别是深度学习，虽然有很强悍的性能表现，但实际上它并不会通过分析得出答案，也正是如此，才让寻找事故的原因变得非常困难。

我们在MIT以及其他地方都有研究，希望能够在这方面取得进展。目前我们资助MIT教授Gerald Sussman的一个项目——“The Car Can Explain”，就在做这一方面的研究。

日志就在那里，但是谁才应该为错误负责？这是一个更难的问题。我们能做些什么来确保这种错误不会再次发生？“我今天修补了这个漏洞，明天又修补了另一个漏洞......”但是这个系统太过庞大，很多地方都可能会出现问题。

事实证明，测试、测试、测试是最重要的事情。在全球范围内，汽车行驶的总里程约为10万亿公里。因此，如果你只测试几百公里，它很难覆盖到所有情况。你需要通过另一种方式来提升它的能力，解决这个问题——加速模拟测试就是其中关键一环。我们不会模拟那种完美情况：风和日丽、交通顺畅，我们要模拟的是恶劣的天气和环境。

Rod Brooks有句话说的很对：“模拟是通往成功的必经之路”。同时，我们很清楚模拟的种种缺陷，因此我们也做了很多路测来验证模拟的结果。我们也会使用模拟器测试一些不属于常规测试的项目，这些项目很可能是事故发生的原因。

比如，当一辆自动驾驶汽车碰到路怒症司机，就算那个司机不遵守规则，不按常理出牌，自动驾驶系统也需要做出正确的决策。

我们不会在现实中反复测试这种情况，因为大多数时候都是以撞车而收场。我们会隔一段时间测一次，同时，通过模拟来增强自动驾驶系统的性能，不过这个模拟的过程非常困难。最终，这将我们带到了另一个领域：形式化方法（formal methods，适合于软件和硬件系统的描述、开发和验证）。

我们希望将模拟和形式化方法结合起来，但最终还是需要路测。深度学习是很了不起的方法，但是它并不能保证所有输入和决策行为都是正确的，想要确保它们都正确也是一件非常困难的事情。

5. 模拟人类司机可能会做出的疯狂行为

问：不论是什么级别的自动驾驶汽车，对于它们来说，人类都是最不可控的因素。每次路测，都会遇到各种人类行为，你们是如何模拟这些只有人类才会做的疯狂的事情？

Pratt：其实这和我们模拟天气或交通状况类似。想要完全模拟人类的行为很难，因为每个人都不一样，存在太多可能性，但我们认为这在某种程度上是可行的。

作为一个司机，我们可以利用心智理论（一种能够理解自己以及周围人类心理状态的能力）想象其他司机驾驶时的行为。

首先，在自己的头脑里模拟一遍，比如当我们碰到“four way stop”（每个方向都有停车标志的十字路口）时，假如我是司机，会怎么做？心智理论意味着模拟是一件可能的事情，因为我们能够通过建立统计模型来预测其他人会有怎样的行为。

问：有时候，人类作出的反应并不一定就是安全的行为。你们如何教一辆汽车在这样的环境下做决策？

Pratt：这是一个很有趣的问题。

当你在高速公路上行驶时，如果最高限速是55英里/小时，你是会开到55英里/小时？还是和周围司机差不多的速度？什么才是最安全的？

我不想给出一个官方回答，但这是一个难题，我们也与丰田法务部门探讨过这个问题。他们也认为很难给出一个确定答案。

6. 计算机硬件需要一场革命

问：在新闻发布会之后，您提到了一些关于如何为电动汽车中的车载计算机供电以及如何散热是一个大难题。我们一直专注于自动驾驶汽车在决策制定方面遇到的困难，但还有哪些方面也是需要我们弄清楚的？

Pratt：我喜欢这个领域，是因为我身后有一支专攻硬件的队伍。

过去，我研究过神经生理学。计算效率非常重要，我们大脑的功耗只有50瓦，然而大部分的自动驾驶系统功耗高达几千瓦。我们大脑不止在处理驾驶这一件事情，而是会同时思考其他事情。或许，真正分配给驾驶的也就10瓦。

目前我们还不知道给自动驾驶汽车配备多高的计算性能才算是合适的。很有可能，我们将计算性能提高10倍，自动驾驶系统的性能并不会提升10倍，而只是有明显改善。如果我们将计算性能提高100倍，或许自动驾驶系统仍然有提升空间，并有所改善。

自动驾驶系统的性能会持续提升，但我不知道这会是一条怎样的增长曲线。因此，除了软件、测试等工作，我们还需要重新设计计算机硬件，让它变得和我们的大脑一样高效。

至于你提到的其他需要解决的问题，我认为传感器还有很大的发展空间。

激光雷达确实很不错，但是还有很大的改善空间。比如，采样密度仍然较低，在探测远处的汽车时，并不能和人类视觉相提并论。又比如，对于Level 3级别的自动驾驶汽车来说，需要预留时间让司机作出反应——除非你的传感器能够探测到并理解远方发生的事情，否则不可能提前提醒你。

此外，传感器还需要便宜、防震，并且能够持续工作10到20年。大多数人认为汽车的质量不高，实际上是非常高的。我曾经在DRAPA做过很多军用规格的产品，但是想要达到与汽车相当的质量是非常困难的。

比如摄像头，汽车可能需要在沙漠或者阿拉斯加等不同的环境中行驶，那么就会有盐、锈等腐蚀性物质，甚至屏幕被灰尘覆盖等各种情况。因此想要保证汽车传感器在不同的环境下持续正常工作，这是相当困难的。

我认为，这个领域的技术人员普遍有一个共同的愿望，那就是媒体、特别是公众能够更好地被教育，真正理解这个行业正在发生的事情。比如像“完全自动驾驶”这种措辞就很容易被误解。“完全”意味着什么？其实有很多意思。

因此最好不要说，“因为我们想要挽救生命，所以我们需要自动驾驶汽车”。其实还有很多辅助人类司机的方法。大多数时候这些辅助系统不会被激活，只会偶尔给个警告或提示，如果有必要的话，再从司机那里接管汽车。这种系统不需要所有情况都能胜任，只需要能处理最坏的情况就可以了。

7. 人和机器：到底谁该守卫谁？

问：目前机器擅长的往往是人类不擅长的，比如需要时刻集中精神，注意前方的车辆，或者车道。这种说法对吗？

Pratt：很正确，人和机器是互补的：机器能够一直保持警惕，不会疲倦，人类则擅长处理复杂的情况，这正是机器的弱点。那么，我们怎样才能让这两者互补，而不是互相冲突？换一种思考方式就是：到底谁该扮演守护者的角色？是自动驾驶系统，还是人类？

目前想要让机器守护人类需要达到的标准还很高，我们的目标是让人类最终并不需要再担忧什么，把一切交给AI就好。这也是为什么丰田会采取齐头并进的模式。

很多公司来CES参展其实都是来卖车、卖技术的，但丰田并不需要推销，我们希望利用这个机会来教育用户。

问：目前NHTSA（美国国家公路交通安全管理局）只划分了4个等级，对吗？

Pratt：是的。NHTSA只有4个等级，但是SAE（Society of Automotive Engineers，美国汽车工程师学会）非常聪明，他们将Level 4进一步划分成Level 4和Level 5。Level 5在何时何地都不需要人类接管，而Level 4在某些情况下需要人类接管。除此之外，他们在本质上是相同的。

虽然SAE的划分没什么问题，但一直被大众误解。目前，很多Level 2都被称作Level 3，这其实是错误的。而Level 3的关键在于不需要人类一直监管。

问：当司机不能接管时，是否有备用计划（Plan B）？我记得Freightliner在介绍他们的自动驾驶卡车时说：如果司机不接管，就会直接停在高速公路上，因为它不知道该怎么做。

Pratt：在SAE的分类里，并没有提及备用计划，比如当车必须停下来时，应该停靠在哪里。我在新泽西州长大，那里的很多高速公路都没有可以停靠的地方，那么你要怎么做？这也是难点之一。

此前，有人建议说可以通过远程操控来解决：当自动驾驶汽车陷入困境的时候，它就会自动转接到某个呼叫中心的远程司机，让他接管。首先，这必须要有足够快速、稳定的网络，还要没有黑客，没有自然灾害。最重要的是，一个在呼叫中心的工作人员能够瞬间作出反应，接管并处理问题吗？人类不可能一直保持警惕，这是人类的弱点。人类也不擅长及时并正确地处理突发事件。

我并不是说这完全不可能，而是这个过程可能非常困难。