浅谈：责任敏感安全模型RSS

技术的进步总是令人深受鼓舞，这一点，从自动驾驶汽车的技术发展成果上就能充分感受到。不过，对于自动驾驶行业来说，真正决定其未来发展的首要因素，还是自动驾驶的安全问题。但是，什么程度的安全才是真正的安全？如何确保自动驾驶汽车的安全性？如何放心地让自动驾驶汽车与人类驾驶汽车并肩而行？这一系列的安全问题，都是自动驾驶得以实现真正落地前要解决的必要问题。基于此，如何验证自动驾驶的安全性，就成为了解决这些问题的关键切入点。

在英特尔看来，自动驾驶行业亟待一个统一的标准去规范和保证自动驾驶的安全性，这样才能确保行业得以健康、高效地驶向未来。

现有的验证方法不能满足实际要求

自动驾驶包含了感知、规划和行动这三个层面。感知，即感知汽车内部和周边的整个环境，并采集原始数据。现阶段，已经有很多技术能够验证并确保感知的准确性。其次是规划，即分析原始数据，规划策略以及做出决策。最后是行动，即执行规划，控制加速、制动和转向等。在这三个层面中，规划是保障自动驾驶安全的重要内容，因为这不仅是实现A点到B点的复杂任务，还要涉及到自动驾驶汽车与路面上其他汽车关系的处理，以及如何证明其是可验证的安全。

目前，业界有的机构使用统计学的方法来验证自动驾驶汽车的安全性，即用里程数来验证安全。这就意味着，假如要行驶300亿英里才能够证明很低的致死率的话，那么就相当于人类要在一年的365天里每天开24小时的汽车才能够得以验证。而一旦自动驾驶汽车的一条软件编码出现了变化，那么该汽车就要重新进行安全性验证。此外，如果这300亿英里都是在无人的、平直的路面上行驶而得来，这也不能证明该自动驾驶汽车就能安全应对复杂的现实路况。显而易见，这样的验证方法是一种不切实际而且也难以承担的方法。

业界还存在的另一种验证方法，就是基于人工智能的规划算法。人工智能在推动自动驾驶的技术发展上做出了很大贡献，尤其是在感知、认知方面。但是，在验证自动驾驶安全性上，人工智能存在着四个突出的问题：首先，人工智能是概率性的，它只能为自动驾驶汽车该如何采取行动提供最优推测，但是不能百分之百确保这是正确的行为；其次，人工智能无法被充分验证，因为总是会有一个全新的它原来没有接触过的环境场景出现；再次，人工智能由数据驱动，它的决策效果取决于训练时所用数据的质量，我们并不能简单的以一千万英里或者两千万英里来划定其数据质量的界限；最后，人工智能算法本身无法被正式验证，它仅限于统计学论据。因此，如果让人工智能去做规划，会带来两个直接的影响，一是行动过于保守，导致自动驾驶汽车无法从一地到达另一地；第二，需要大量的计算，这意味着需要使用运算速度为100 TOPS的昂贵硬件。而这样的自动驾驶汽车难以实现量产，因为普通大众根本负担不起。

RSS，验证自动驾驶安全性的全新选项

英特尔和其子公司Mobileye发现，人类在安全驾驶上的本能概念和想法其实非常有效，基本上可以保障人类在各种驾驶情况下的安全性。因此，英特尔与Mobileye从原生的角度切入，把人类关于安全驾驶的概念和理念转化成一整套的数学公式，于2017年提出了一个开放、透明、可验证的形式化模型——责任敏感安全模型（ RSS，Responsibility Sensitive Safety）。

RSS是行业规范自动驾驶安全的技术中立型起点，分两部分运行来为自动驾驶汽车的人工智能决策功能提供“安全信封”，第一部分是定义“危险情况”，第二部分是定义“恰当响应”。RSS将人们对安全驾驶的概念转化为可验证的模型，配备逻辑上可验证的规则，定义恰当的响应行为，以确保自动驾驶汽车做出安全决策，并避免陷入由其他车辆导致的危险情况，例如：始终与前车保持安全的车距、不要刻板地使用路权等。RSS实际上是在规划层面上增加了权威性的非专有安全与透明层，来检查开发商驾驶策略（规划）软件做出的决策，是实现规划安全性的保证。简而言之：路线规划或许能够帮你一路向前，而RSS则能助你一路平安。

由于RSS是可以被验证的，因此，可以通过开放、可衡量的指标来解决统计学验证所带来的挑战。此外，RSS还能兼容任何正在规划中的自动驾驶解决方案。值得一提的是，当RSS 能够成为全行业接受和通用的公开标准之后，企业只要分享与RSS相关的数据即可，并不存在泄露核心知识产权的问题。

RSS有望成为自动驾驶行业的安全性标准

英特尔与Mobileye的一百辆自动驾驶汽车已经在耶路撒冷开始了第一阶段的测试，证明了RSS模型的安全性。之后，英特尔和Mobileye还会在美国做相应的路测，而使用了Mobileye技术的宝马自动驾驶汽车也将会在中国展开路测。

目前，RSS在自动驾驶安全配置方面的价值和重要作用已经得到了百度的充分认可。百度将在其Apollo开源项目及Apollo Pilot商用项目中部署RSS模型。目前，Apollo项目已拥有116家全球合作伙伴。百度与Mobileye还将针对中国市场独特的驾驶风格和路况，共同验证RSS模型，并根据合作中的新发现，更新完善RSS模型。

冰冻三尺，非一日之寒；滴水石穿，非一日之功。只有当自动驾驶汽车能够以数量级的水平大幅提升安全性并拯救生命时，社会才会接纳它们。因此，规范和保证自动驾驶的安全性需要整个生态系统共同努力。以RSS为参考框架，英特尔需要并欢迎政府、监管部门、标准制定机构以及学术界彼此密切沟通合作，从而找到一种开放、透明和可验证的自动驾驶汽车安全解决方案。