去年，Uber 無人駕駛測試車釀成的致死事故對整個行業的發展造成了不小的負面影響，在資本市場不景氣的情況下，明顯能感覺到自動駕駛領域的投融資規模縮緊不少。美國國家運輸安全委員會（National Transportation Safety Board，簡稱 NTSB）經過初步調查後指出，由於 Uber 禁用了自動駕駛車輛的緊急制動系統，從而導致悲劇發生。

一年多的時間過去了，NTSB 近日發佈了一份新的報告（下載地址：http://1t.click/aXhd），稱「碰撞發生的五秒鐘之前，雷達已經探測到了行人 Elaine Herzberg。」但不幸的是，一系列的軟件設計缺陷使得系統在撞向行人的前 0.2 秒才作出反應，但一切為時已晚，事故不可避免地發生了。

這次無人車撞人事件去年五月發生在亞利桑那州的坦佩市，NTSB 的初期調查顯示，距碰撞發生還有 1.3 秒時，Uber 測試車輛的自動駕駛系統決定需要緊急制動提供輔助，但 Uber 卻禁用了測試車輛（Volvo XC90）的該項功能。Uber 給出的理由是：當時車輛由車載計算機操控，這樣做的目的是為了降低車輛出現難以預測行為的可能性。

很明顯，Uber 自動駕駛測試車的硬件並沒有出現問題，恰恰是設計存在缺陷的軟件導致了這起致死事故的發生。在這份 NTSB 的新結案報告中，它探尋了 Uber 無人駕駛系統軟件工作狀態的詳細信息，並解釋了釀成事故的重要原因。

追悔莫及

和絕大多數公司開發的軟件類似，Uber 的自動駕駛系統遵循的也是「感知-決策-控制」的流程，先通過外部傳感器對識別的目標進行分類，繼而通過計算平臺決策出合理的行駛路線，最後執行輸出的命令。只不過 Uber 的這套系統在坦佩市翻了個嚴重的錯誤。

NTSB 在報告中詳細地給出了精確到秒的時間線，以說明 Uber 自動駕駛系統的軟件在車輛不斷靠近行人的過程中是如何思考的。當時 Elaine Herzberg 正推著自行車橫穿一條多車道的馬路，而她並沒有遵守交通規則，沿著人行橫道通過。

-- 距離碰撞還有 5.2 秒，系統將其判定為「其他」物體；
-- 距離碰撞還有 4.2 秒，Elaine 被識別為「車輛」；

-- 碰撞前 2.7~3.8 秒，系統對 Elaine 的識別結果在「車輛」和「其他」之前搖擺不定；
-- 距離碰撞還有 2.6 秒，系統將 Elaine 和她的自行車識別為「自行車」；
-- 距離碰撞 1.5 秒，Elaine 被系統識別為「未知」；
-- 距離碰撞 1.2 秒，她又變成了「自行車」。

從這些描述中可以得到兩點重要信息：

一、在任何時間節點，系統都沒有將 Elaine Herzberg 判定為「行人」。NTSB 表示，「軟件系統設計中並沒有考慮到不守規則、橫闖馬路的行人。」
二、頻繁更改對 Elaine Herzberg 識別的結果導致 Uber 的自動駕駛系統無法準確地計算出它的行駛軌跡，同時也沒有意識到她處在與車輛碰撞的路線中。按理說，無人車在識別到有物體進入它的行駛路線之後，即便不確定這個物體是什麼也應該主動進行剎車。然而 Uber 的軟件設計邏輯並非如此。

在探測到目標物之後，系統通過物體之前的位置來推算出其速度以及可能的行動軌跡。「然而，假設感知系統對目標物的識別結果改變後，相應的對它行動軌跡的推測也會重新來過。」NTSB 報告指出。

所以實際來看，由於系統無法將 Elaine Herzberg 和她的自行車進行分類，因此假設其處於靜止狀態。這個結論從 NTSB 精確至秒的分析中也不難發現。

距離碰撞 4.2 秒~5.2 秒這個區間，Uber 的自動駕駛系統將 Elaine 識別為「車輛」並認為其是靜止的，因此不會進入到車輛的行駛路線中。而很快系統又判定其正在移動，但會保持在其現有的車道內。可怕的是，當距離碰撞只有 2.6 秒的時候，系統才將其識別為「自行車」但依然認定其會保持在自己的車道內，這樣的錯誤其實只要通過對比 Elaine 之前的位置數據就可以得到糾正。距離碰撞還有 1.5 秒，Elaine 開始變成「未知」，在機器的眼裡她依然靜止。

最後，碰撞發生前的 1.2 秒，在 Elaine 開始進入 Uber 測試車輛的行駛軌跡時，系統才意識到這場碰撞已「無法避免」。

躲不開的人禍？

在此前公佈的行車記錄儀視頻中，肇事車輛的安全員當時視線並未看向前方，但當事人表示「自己並不是在玩手機，而是在監控自動駕駛系統的運行情況」。可能大家都存在這樣的疑問：即便當時碰撞已經無法避免，但假設系統能夠採取緊急剎車的措施，將車速降下來或許能夠救回 Herzberg 女士一條命。不過這樣的事情沒有發生呢？

NTSB 這樣解釋道：「當自動駕駛系統監測到緊急情況時，它會立即執行相應的行動抑制（action suppression）。通常這個過程只有一秒鐘，系統會及時發起剎車指令、重新計算規劃其他可行的路線或者由隨車的安全員進行相應的處理工作。」

但根據 Uber 方面提供的信息，距碰撞發生還有 1.3 秒時，Uber 測試車輛的自動駕駛系統決定需要緊急制動提供輔助，但 Uber 卻禁用了測試車輛（Volvo XC90）的該項功能。它給出的理由是：當時車輛由車載計算機操控，這樣做的目的是為了降低車輛因錯誤的警報出現難以預測行為的可能性。

所以，在距碰撞發生不足 1 秒時，駕駛員才試圖操控方向盤來躲避行人，在碰撞發生後不到 1 秒的時間內才開始踩下剎車，但一切為時已晚。

據 NTSB 這份最終的調查報告稱，即便已經錯過了最後一秒鐘可以挽回的時機，Uber 的自動駕駛系統也並沒有用全力剎車。對一場本來就無法避免的車禍而言，系統到最後都沒有盡全力採取措施，而此時車上的安全員也形同虛設，「安全」兩個字倒顯得有些諷刺。

2018 年，Business Insider 的記者 Julie Bort 在報道中曾對 Uber 為何執行如此的軟件設計策略進行了分析和推測。她指出，「當時團隊正在為 Uber 新上任的 CEO 達拉·科斯羅薩西準備試乘演示。高層要求工程師們設法改善之前出現的一些「不好的體驗」。很快，Uber 就宣佈禁用了車輛的自動緊急制動系統，保證了像急剎車或者急轉向這種令乘坐者不適的現象再也不會出現。」

只不過急轉向的功能最後又被重啟，但自動緊急制動系統依然被禁用著，直到 2018 年 3 月那場致死車禍的發生。

Uber 的自動駕駛測試車隊都是由沃爾沃 XC90 車型改裝而成的，本身自帶了精密的緊急制動系統。不幸的是，Uber 擅自決定在自動駕駛系統開啟時將 XC90 的防碰撞功能關閉。其中一個原因，據 NTSB 透露稱，是因為 Uber 安裝的尚處於試驗階段的雷達傳感器使用了和沃爾沃自帶雷達相同的頻率，有產生互相干擾的風險。

而自從事故發生後，Uber 已經重新對其後裝的雷達系統進行了重新設計，以便在不同的頻率能夠保持正常工作。此外，Uber 也開始允許在測試其自動駕駛技術時，將沃爾沃本身自帶的防碰撞系統設置於開啟狀態。

就軟件設計存在的缺陷，Uber 也表示對其中不合理的地方進行了修正。首先，緊急事件發生時，剎車前不再設置一個「行為抑制」的緩衝時間；其次，進行目標物監測時，假設系統對目標物的分類發生變化時，不會將其過往的位置數據丟棄，試圖從根本上杜絕這類事件的再次發生。

亡羊補牢

這其實並不是 Uber 無人車第一次闖禍。

根據 NTSB 提交的調查報告顯示，在坦佩市發生撞人事件之前，2016 年 9 月至 2018 年 3 月之間，Uber 的自動駕駛測試車輛造成過 37 次碰撞，其中有兩次是撞車事故。另外還有 25 起追尾，剩下 8 起則是剮蹭事故。在 NTSB 看來，一方面是自動駕駛軟件系統設計存在缺陷，另一方面 Uber 並沒有制定完備的安全計劃。儘管該公司設有專門的安全團隊，但缺乏安全指導文件且無安全運營部門。Uber 承認其在這次嚴重人身事故發生前並沒有製備完善的安全計劃，直到 2018 年 11 月才發佈了第一份安全報告。

前不久，Uber 成立了自動駕駛安全與責任諮詢委員會（SARA），關注這項技術在面向大眾過程中產生的潛在危險。此外，今年 7 月中旬，Uber 還公佈了業界第一個自動駕駛汽車安全框架，涵蓋了自動駕駛系統測試以及功能安全等在內的多個安全環節，通過摺疊框架圖的形式展現出 Uber 在車輛安全測試上的細節。

事故之後，Uber 或許對自動駕駛有了新的思考，而無論是自身安全機制的持續改善還是增設外部審查機構避免矯枉過正，這些近似亡羊補牢之舉對整個行業朝著正確的方向推進，大有裨益。

2018 年底，Uber 自動駕駛測試重啟。在一篇官方發佈的博客文章裡，Uber 高級技術部門（Advanced Technology Group，簡稱 ATG）埃裡克·梅霍夫（Eric Meyhofer）詳細介紹了 Uber 新實施的安全保障措施，例如針對安全手動駕駛和監控系統的培訓計劃，該系統可在駕駛員將視線移開道路時發出提醒。「我們花了幾個月的時間在封閉道路上測試，並完成了漫長的內部審查。」梅霍夫強調稱。

Waymo 自動駕駛測試正逐步進入真正「無人」階段，無疑它同樣面臨著很大的安全風險。而進行到這個階段，技術已經不再是桎梏自動駕駛邁向商業化量產的單一因素，技術之外似乎要更關注有關「人」的問題。強調安全怎麼都不為過。