一辆车测试多少英里才安全?

自动驾驶汽车(av)的可靠安全测试之路正在向左移动。标准组织正在开始发布功能安全标准，这可能会验证什么是安全的机器学习即使在硬件或软件从验证测试中发布之前，自动驾驶汽车试点应用程序也将在交通状况中发挥作用。

这种方法在soc中已经实现了一段时间，在产品发布之前，会对数万个可能的用例运行模拟。但在汽车行业或任何安全关键应用领域，这代表着一种全新的方法。

“据估计，要实现全自动驾驶，你需要行驶80亿到100亿英里。Mentor是西门子旗下的企业西门子PLM软件公司总裁兼首席执行官。“没有人会开80亿到100亿英里。我看过一篇文章，说有一家公司处于领先地位，因为他们已经驾驶了近900万英里。我不相信任何人处于领先地位。关键在于如何利用软件来验证这些边缘情况，因为我们可以运行这些边缘情况，并开始迭代，使用编程方法达到数十亿英里的目标。”

上个月，Waymo做到了正是这样．许多公司正在推出工具，比如以色列初创公司Foretellix，可以在同一模拟决策点的数千个变化中收集单个自动驾驶汽车行为的微小变化。从那里，他们可以得出一个有足够的统计有效性的结果来作为一个答案。

与此同时，英特尔和包括宝马、大众、奥迪和大陆集团在内的其他10家公司联合发布了一份名为“安全第一的自动驾驶“该文件基本上是一份大纲和一套功能安全定义，以及背景背景和要求的测试程序，没有这些，就不可能知道何时已经进行了足够的测试。”

“我问人们的问题是，‘你们的测试覆盖计划是什么国家仪器．“你怎么知道你已经测试够了?”我在小组讨论中得到的一个答案是，你永远不会完成测试，这只是一个一般性的陈述，而不是一个政策。但这是很多人的想法。”

定义安全
无休止的道路测试里程挑战是基于人类在每次造成伤亡的事故中驾驶的道路英里数，并由此推断出一个统计假设，即自动驾驶汽车必须行驶数百万英里才能积累足够的安全驾驶里程，从而在统计上不太可能测试自动驾驶汽车是不安全的。

Smith说:“在某种程度上，我们将不得不就测试用例是什么达成一致，并以这种方式进行测试。”“问题将是，‘这些测试需要由外部组织来完成吗?或者人们可以自我测试并记录他们的依从性吗?’”

这基本上就是人们一直在做的事情。

该公司高级首席工程师杰克·韦斯特(Jack Weast)表示:“最大的缺失是对自动驾驶汽车安全驾驶意味着什么的正式定义，因为坦率地说，没有这个定义，你就没有东西可以衡量或测试。英特尔他是MobilEye公司负责自动驾驶汽车标准的副总裁英特尔2017年收购)．“现有的监管指导，或缺乏——以及现有的行业标准ISO 26262甚至新兴的标准，SOTIF和UL4600都是必要的，但还不够。”

在美国，“安全”的汽车是指符合联邦机动车安全标准(FMVSS)，这是由美国国家公路交通安全管理局(NHTSA)制定的法规。其中包括一辆安全汽车必须配备的所有设备，比如方向盘和刹车踏板，以及在转动方向盘或踩下刹车时必须发生的事情。不过，它并没有过多地介绍高级驾驶辅助系统或自动驾驶的电子设备，因为FMVSS编写的时代，汽车的唯一运行方式是由人来控制。NHTSA多年来一直承诺更新FMVSS，但尚未发布任何涉及自动驾驶汽车或高级驾驶辅助系统的法规，尽管它已经推出了三个迭代版本的FMVSS自愿准则．

Strategy Analytics汽车互联移动业务主管罗杰•兰托特(Roger Lanctot)表示，科技行业正在采取行动，通过分享有关问题的一些数据来弥补这一差距。“在FMVSS的被动安全方面，NHTSA已经尽了最大努力。”

行业细分
事实上，NHTSA正在讨论如何处理“主动安全”，Lanctot说，他指出了电子智能制动、车道保持、自动泊车和其他先进的驾驶辅助功能。NHTSA的行动速度不够快，但这个行业也相当分散。

他说:“现在有6家模拟游戏公司崭露头角，也有联盟，但各有各的优势。”“英特尔与一些与它有合作关系的公司一起提出了这个提议。英伟达表示，他们正在与欧洲的一个组织合作。福特和大众正在各自努力。通用和丰田也是如此。但他们正朝着自己的方向前进，努力实现完全自主。谁能负担得起呢?Robotaxi吗?你还不如买一辆豪华轿车。看看这个问题。 Cars shouldn’t hit things. There is technology to address that, but no business case for safety. Some of the alliances might come together, but there’s no big incentive. The auto industry is traditionally pretty standoffish about things like this.”

其他人也同意。“有很多关于用例需求和工程活动的讨论，”库尔特·舒勒(Kurt Shuler)说Arteris IP．“但当涉及到功能安全和安保等问题时，情况因部落而异。他们有相似的语言，但他们并不总是在谈论相同的事情或相同的意思。”

在线更新基本上可以在汽车中产生不同的行为，这加剧了这种情况。

舒勒说:“汽车公司可以发布新软件，创造出具有新个性的新车。“在过去，在你推出软件之前，你必须做大量的测试。现在，现实世界的测试可能是有效测试它的唯一方法。”

定义问题
这表明需要一组更好的定义。“关键是能够正式定义你希望这些东西如何驾驶，在这个城市，在这个国家，安全驾驶对自动驾驶汽车意味着什么。有了这个正式的定义，你就有了一个非常正式可核查的韦斯特说。“所以现在你把它构建到设计中，从验证的角度来看，你是在匹配实现与规范的匹配程度，这是一种完全不同于仅仅验证的方法。”

安全的正式定义必须是第一步。“这完全不同于说‘我做了一些东西，我不知道它是否安全，因为我无法进行任何正式验证，因为它都是基于人工智能，这是无法解释或可验证的。所以让我收集统计证据，让我更有信心，我所建立的是安全的，’”韦斯特说。

可以说，汽车制造商在安全问题上已经竞争了100年，现在才学会如何在安全问题上合作。大多数的合作和努力都是围绕着构建测试和验证规范来解决一些问题，比如为什么审查ml驱动的自动驾驶应用程序的行为并确保其安全运行很重要，即使它的硬件没有故障，软件也没有错误。

韦斯特说:“你仍然可以拥有一辆ASIL D自动驾驶汽车(满足自动驾驶系统的书面功能安全要求)，它会撞到任何地方的物体和人。”“你可以进行完全符合UL 4600标准的安全评估。所以这可能比你从别处得到的信息要好得多。但你仍然不能说报告是正确的。”

未来还有更多标准
道路测试模拟和场景提供商Metamoto的首席执行官Chad Partridge表示:“虽然关于NHTSA和标准的讨论很多，但自动驾驶汽车的验证过程仍处于相当早期的阶段。”Metamoto与Foretellix合作，为客户提供自动驾驶汽车安全性能的统计分析。“但监管的创可贴对我们来说不一定是什么大事。公司仍在推进他们的验证过程，客户也在根据他们自己的需求定义他们自己的验证过程。但他们做的事情都不一样。没有太多的标准化。”

标准化可能需要一段时间，但很多标准工作正在进行中，而且越来越多的人接受安全验证是一件大事，对汽车行业的任何销售人员都有利。

该委员会联合主席韦斯特表示:“汽车工程师学会(SAE)验证与验证工作组已经开始正式定义安全原则，这是迈向自动驾驶汽车整体测试评估方法的第一步。”

-Ed Sperling对本文也有贡献。