Uber无人车致死案结果公布 把问题归咎于Uber的安全文化

美国国家运输安全委员会（National Transportation Safety Board，NTSB）今天公布了它对一起涉及Uber测试机器人车和Elaine Herzberg的致命车祸的调查结果。不出所料，他们把问题归咎于Uber的安全文化，安全驾驶员在驾驶途中观看流媒体视频节目，以及在一定程度上归咎于行人的状态受损。

最值得注意的是，之前有报道称，Uber系统无法识别人行横道外的行人，这一报道需要进行更正。事实并非如此，尽管这个问题存在缺陷，但它们在这起事故中没有造成任何不良影响。

NTSB主席Robert Sumwalt表示：“自动驾驶系统以及车辆驾驶员的不当行为都是更深层次问题的征兆，这些问题表露出来的是Uber ATG时代存在的无效安全文化。”

外媒在这个报告发表之前也作出了一系列新闻报道，听证会还透露了一些书面报告中没有强调的细节。

可能事故原因报告

国家交通安全委员会对可能原因的最终裁决将主要责任归咎于安全驾驶员的疏忽。

导致Uber缺乏安全文化的原因在于：对安全驱动程序的监控不力以及缺乏应对自动化自满的对策，此外他们还将第三个原因归咎于行人过马路的障碍，以及亚利桑那州和联邦政府在监管方面的失责。

最值得注意的是，他们并没有将技术故障归咎于崩溃的原因。这是一个正确的原因裁定——尽管所有经过测试的车辆通常都比Uber更好，但它们的缺陷会导致安全驾驶者疏忽大意，而将这些缺陷归咎于根本就是要以这种方式进行的测试。

人为过失

报告指出，当涉及到人为过失时，Herzberg的血液中有“高浓度的甲基苯丙胺”，超过药物剂量的10倍，这会改变她的感知能力。她体内还有大麻残留。直到撞车前一秒，她才向右看向迎面驶来的车辆。

也有证据表明，安全驾驶员确实拿出了手机，并在上面播放电视节目，在驾驶过程中有34%的时间低头看手机，在碰撞前6秒到1秒有整整5秒钟的“一瞥”。

虽然Uber录制了安全驾驶员的视频，但他们从未审查过该司机的视频，以发现她违反了禁止使用手机的政策。该驾驶员没有受到训斥，还在这段路上开了73次车。

虽然每辆车里都有一台供操作人员使用的小型平板电脑，但操作非常简单，就像其他导航电脑一样，只显示导航路线，而且输入源很少。

美国国家运输安全委员会没有将这些干扰归因于这款平板电脑，Uber称其设计的平板电脑用户体验符合NHTSA的车内用户体验指南。也有一些团队在报告异常情况时使用语音系统而不是触摸系统以避免分心。

机器过失

更多关于Uber系统如何处理行人的细节也被披露。早期的报告（包括我自己的一些报告）指出，该系统无法将人行横道外的障碍物归类为行人。这是不正确的，尽管真相更令人困惑。它从来没有把她归类为行人，可能是因为她是在骑自行车。让作者感到困惑的是，在系统的目标分配模块中提到了潜在的失败，但实际上并没有发生。

当一个机器人汽车系统识别出一个障碍物时，它会试图预测障碍物可能移动的方向，并以此估计出障碍物的“目标”。例如，行人在人行横道上可能有过马路的目标，车道上的汽车或自行车很可能会继续沿着那条车道行驶，当然也有可能会换车道。

Uber的一个缺陷是，它的系统不会将“过马路”作为目标分配给不在人行横道上的行人。如果他们发现有一个行人，那么他们并不会认为她是在过马路。

相反，她被归类为车辆、骑自行车的人或未知的障碍物。这些对象的目标猜测是不同的，并且在许多情况下基于对象过去的移动历史，这就是为什么在重新分类后忘记过去的历史是真正的技术错误。每次它对她进行重新分类时，都必须在没有过去记录的情况下预测她的动作，因此它无法理解，不管她是谁，她正在过马路，而且准备进入他们的车道。

缺少“对象持久性”仍然是比分类错误更大的错误。分类错误在机器人汽车系统中经常发生，但是由于系统在不知道它是什么的情况下跟踪和目标移动，这应该可以减轻分类错误。Uber没有做到这一点。

更多的细节透露了沃尔沃标准自动紧急制动系统的禁用与SUV。沃尔沃系统有自己的雷达，与Uber的雷达频率相同，因此不能同时使用。后来，他们重新调整了其中一个雷达，使两个系统都能工作。

自动化自满

人们关注的焦点是人类在监控自动化系统方面的表现，以及人们变得自满和惫懒的趋势。这是具有一定自动化程度的交通方式中的一个共同因素。

Uber从未审查过安全司机的视频，也很少查看其他人的视频，但现在有第三方对安全驾驶员进行抽查，以发现类似的问题。

现在，Uber和其他公司使用自动系统来跟踪司机的视线，以确保他们的眼睛一直盯在路上，甚至在他们太过远离道路时保持警惕。Uber也已经重新启用了两名安全驾驶员设置。

一个有趣的数据显示，Uber在Tempe有40辆测试车，254名操作人员。这使得他们想换成一个安全驾驶员而不是两个安全驾驶员的想法令人困惑，他们似乎有足够多的人手在每辆车里放两个人。

虽然一般来说两个安全驾驶员比一个安全驾驶员好，可以防止这类事故的发生，但我现在认为，对一个安全驾驶员进行计算机监控实际上可能已经足够了。

特斯拉自动驾驶仪的驾驶员没有接受过培训，通常是独自驾驶，他们的记录表明，让一个人来监督一个像样的自动系统，会产生足够的安全记录。一个受过训练的安全驾驶员，加上自动监控，应该会做得更好。

政策问题

正如之前报道的那样，Uber ATG糟糕的安全文化——或者在某些情况下，缺乏安全文化——招致了很多批评。根据Robert Fox的报告，他们没有一个适当的框架来降低风险，他们有糟糕的政策和程序，以及对汽车运营商的糟糕监督。据报道，Uber已经解决了很多这样的问题，目前只做了非常有限的测试——仅仅是绕着总部一英里的环路，时速限制在25英里。

NTSB的Enzar Becic报告了目前适用于测试机器人汽车公司的非常基本的规则，特别是在亚利桑那州，它对测试安全驾驶员的团队没有要求。国家公路交通安全管理局的规定要求进行选择性的安全评估，但只有16家公司提交了一份评估报告，但有超过64家公司在加州注册。

该公司董事长Sumwalt称赞了Uber在他们的调查中提供的合作，并对特斯拉未能提供帮助、被迫退出他们的一项调查的方式进行了一些有力的抨击。Sumwalt说，他喜欢Uber的首席执行官“没有挂断我的电话”，这强烈地暗示Elon Musk可能在谈话中挂断了他的电话。

更多关于技术故障的说明

在我之前关于Uber死亡的报告中，我对两个新的技术细节进行了大量讨论，即Uber系统的配置无法识别人行横道外道路中间的行人。更重要的是，他们的目标跟踪系统有一个缺陷，每次重新分类一个目标时，它都会忘记过去的经验教训。许多其他媒体也对这些问题进行了报道，其中大多数都把重点放在行人身份识别问题上。

尽管我已经非常清楚地表明，这些技术问题虽然是系统设计和编码糟糕的标志，但并不是事故的主要原因，但读者并不会这么想。因此，有必要重申的是，据我所知，所有的机器人车队都存在这样的问题，即系统不能正确地在其视图中对事物进行分类，这使得安全驾驶员必须不时地接手以防止事故的发生。

对于全新的项目，这可能是一个非常频繁的事件，只要有一个训练有素的和细心的安全驾驶员在那里，这就是没有问题的。

虽然我们可以也应该对Uber软件的低质量提出批评，但我怀疑任何一个项目都经历过一个非常早期的阶段，在这个阶段，他们的系统不成熟，容易出现这样的问题，而这些问题是由安全驾驶员正确处理的。

如果这些车队中的任何一辆车有一名安全驾驶员坐在那里看视频，就像这里所说的，这些车可能会发生事故，如果情况不对，可能会致命。

虽然这并不是优步的借口，但他们也确实运气不太好。一般情况下，行人在人行横道外的高速公路上过马路时，会尽量小心谨慎，我们从小就被教导要“过马路前向两边看”。

从表面上看，车祸发生在一个星期天的深夜，发生在一条几乎空无一人的道路上，正是这样一种情况：人们通常会提前很好地听到任何驶近的汽车，并定期检查右侧是否有迎面而来的车辆，这是非常明显的，因为它的前灯——即使在周边的视野中也很明显。

Herzberg在撞击前的一秒钟左右，斜着穿过飞机。美国国家运输安全委员会的调查人员将此归因于她体内的冰毒。他们不知道她血液中的浓度是上升，由于最近服用了大剂量药物，改变了感知，还是下降从而引起不寻常的情绪。

据报道，这个地点的行人穿过人行横道很少见，尽管由于音乐会的原因，那天晚上行人更多了些。但也没有在这个地点发生的另一起行人事故的记录。

当然，这并不意味着无人驾驶汽车和安全驾驶员不必对人行横道外的行人视而不见。尽管大多数行人都比较谨慎，但还是有这种情况存在。事实上，亚利桑那州71%的行人撞击事件发生在十字路口之外。

那摄像头呢？

关于计算机视觉和摄像头在Uber致命事件中的作用，人们仍有疑问。美国国家运输安全委员会的报告说，除了注意到在这次事故中不会起作用的近距离摄像头没有使用外，几乎没有任何关于车内摄像头系统的内容。

大多数自动驾驶汽车设计使用3种不同的系统来检测前方道路上的行人。激光雷达是最可靠的，并被所有主要的自动驾驶汽车公司所使用，除了特斯拉。雷达也很好，但对一个没有朝你或远离你的行人来说，效果不太好。

在这种情况下，Herzberg穿过街道，因此垂直于汽车移动。雷达仍能看到她，但提供的信息少得多。因为Uber的软件不断对她进行重新分类，忘记了之前学过的东西，雷达也不擅长提供详细的水平位置，所以它对于注意到她正在横穿马路并不那么有用。

摄像透应该在这里起到有用的作用。虽然计算机视觉不具备你从激光雷达和雷达获得的100%确定距离的知识，但它可以很好地识别出某物是什么，所有的团队都训练他们的系统识别行人，有人认为是骑自行车的人。

Uber的系统从来没有这么做过。但是，虽然激光雷达很难识别像行人骑自行车这样的物体，特别是在远距离下——在你靠近之前，它只是一个分散的点团——这是摄像头应该更好地拍摄的东西。

然而，美国国家运输安全委员会的报告对视觉感知系统所见只字不提。

是它吗？它只是没有很好的功能吗？像所有其他的技术问题一样，它们排在安全驾驶问题之后，但是对于我们这些希望了解程序员会犯什么样的错误以及如何避免这些错误的人来说，它们仍然很有趣。

视觉系统的一个问题是如何在夜间工作。普通摄像头无法同时获得明亮物体，如汽车前大灯、路灯和前大灯照明的物体，和阴影中物体的良好图像。Herzberg在灯光下进进出出，而常规的行车记录仪视频显示，普通摄像头的性能很差。

这就是为什么机器人汽车团队一直在积极开发“高动态范围”相机方法，以提高视觉效果。一种方法是使用两个或更多的摄像头，每个摄像头设置在不同的曝光水平，以获得阴影和良好照明区域的良好图像。一种更便宜的方法是让一台摄像头在每隔一帧的明亮和黑暗曝光之间切换。这些技术应该能让Uber车上的许多摄像头拍出道路和Herzberg的良好图像，即使是在晚上。

董事会成员Jennifer Homendy对缺乏关于测试的法规提出了强烈的批评，她认为应该有更多的联邦和州法规来对这些车辆进行测试。她对国家公路交通安全管理局的规定表示担忧，这些规定目前相当少。

它们是最小的，因为国家公路交通安全管理局和各州已经意识到，他们还不具备管理仍在发展和不断变化的技术的技能。尽管如此，NTSB认为NHTSA应该强制提交安全计划报告。

报告结论

以下是最终调查结果，来自最终报告。

1、A.驾驶执照、自动驾驶系统操作经验或知识；B.驾驶执照、自动驾驶系统操作经验或知识；C.车辆的机械状况。

2、对车祸事故的紧急反应是及时和充分的。

3、该行人在夜间面对驶近的车辆前以及没有人行横道的地方过马路时的不安全行为违反了亚利桑那州的法规，这可能是由于吸毒导致的感知和判断能力下降。

4、Uber Advanced Technologies Group没有充分管理其自动驾驶系统的功能限制所带来的预期安全风险，包括该系统在此次撞车事故中无法正确分类和预测行人过马路中间街区的路径。

5、自动驾驶系统的设计中，只有在不可避免的碰撞的紧急情况下才会阻止刹车，这增加了在公共道路上测试自动驾驶系统的安全风险。

6、因为Uber Advanced Technologies Group的自动驾驶系统正在开发中，存在相关的限制和故障预期，这些限制在多大程度上构成了安全风险，取决于安全冗余和三种旨在降低与在公共道路上测试自动驾驶系统相关的安全风险的缓解策略。

7、Uber Advanced Technologies Group在不完全更换其功能的情况下停用了沃尔沃前方碰撞警告和自动紧急制动系统，减少了一层安全冗余，增加了在公共道路上测试自动驾驶系统的风险。

8、Uber Advanced Technologies Group在事故后做出了改变，如在自动驾驶系统（ADS）运行期间提供沃尔沃的前方碰撞警告和自动紧急制动，增加了一层安全冗余，降低了在公共道路上测试ADS的安全风险。

9、如果车辆安全驾驶员注意到了，她很可能有足够的时间发现并对过路行人做出反应，以避免撞车或减轻影响。

10、车辆安全驾驶员长时间的视觉分散，是典型的自动化自满效应，导致她未能及时发现行人，避免碰撞。

11、Uber Advanced Technologies Group没有充分认识到自动化自满的风险，也没有制定有效的对策来控制导致车祸的车辆操作员脱离接触的风险。

12、虽然在Uber高级技术组测试车中安装人机界面降低了自动化监控任务的复杂性，撤换第二个车辆安全驾驶员的决定增加了对唯一安全驾驶员的任务要求，也减少了安全冗余，从而将在公共道路上测试自动驾驶系统的风险降至最低。

13、尽管Uber Advanced Technologies Group有办法追溯监控车辆操作员的行为及其遵守操作程序的情况，但它很少这样做；而在自动驾驶系统测试期间，该公司决定撤换第二名车辆安全驾驶员，加剧了公司监管不力的不利影响。

14、Uber Advanced Technologies Group在测试自动驾驶系统的过程中，在事故发生后加入了第二个车辆安全驾驶，并对安全驾驶员的注意力进行实时监控，这表明该公司开始解决导致事故的监管缺陷。

15、Uber Advanced Technologies Group的安全文化不健全造成了一些状况，包括对车辆安全驾驶员的监管不到位，这些状况导致了撞车事故的发生，特别是车辆安全驾驶员在撞车过程中注意力分散。

16、Uber Advanced Technologies Group实施安全管理系统的计划，以及事故发生后公司对车辆安全驾驶员监管的改变，开始解决导致事故发生的安全风险管理方面的缺陷。

17、National Highway Traffic Safety 4 Administration将强制提交的安全自我评估报告（目前是自愿的）及其评估提供了一个统一的、最低水平的评估，可以帮助各州制定有关自动车辆测试的法律。

18、事故发生时，亚利桑那州缺乏一个以安全为中心的自动驾驶系统（ADS）测试应用程序审批流程，事故发生后，该州一直没有开发这样一个流程，这表明该州在提高ADS测试安全性和保护公众方面存在缺陷。

19、考虑到缺乏联邦安全标准和评估协议自动驾驶系统，以及美国国家公路交通安全管理局的安全自我评估过程不足，与自动车辆测试相关的要求可以通过在授予测试许可证之前实施彻底的应用和审查过程来提高此类测试的安全性。