去年在美國亞利桑那州發生的自駕車撞人致死事故，讓當紅的自動駕駛技術蒙上陰影。那樁事故在變化快速的科技世界，似乎就像其他舊聞一樣被大多數人淡忘；但對安全專家──美國卡內基美隆大學(Carnegie Mellon University)副教授、Edge Case Research共同創辦人──Phil Koopman來說，那場悲劇啟發了新的研究，讓他對那些進行自駕車測試的公司是否設計了有效的安全測試平臺產生疑問。

提及過往媒體對該意外事故的狂熱報導，以及那些社交媒體上的「事后諸葛」言論，Koopman特別想問的問題是：「我們真的學到正確的教訓了嗎？」

他在日前于美國底特律舉行的年度汽車產業大會SAE WCX (World Congress Experience)上發表了一篇題為「在公開道路進行自駕車測試的安全論據考慮」(Safety Argument Considerations for Public Road Testing of Autonomous Vehicles)」的論文，共同作者為Beth Osyk，探討「在公開道路上進行自駕車測試是否足夠安全的影響因素；」他表示，其目標是提供素材，以作為「能確保自駕車道路測試項目安全性之穩固起點。」

無用的「事后諸葛」言論

雖然在去年Uber自駕車撞人致死事故之后，有不少分析其中問題所在的輿論出現，Koopman指出其中數個他認為「對改善自駕車(AV)測試毫無幫助」的響應，包括：

• 爭論延遲自駕車的實現是不負責任而且可能致命(這種論據來自于堅信「在自駕車技術完善之前就先布署相關技術，終將能拯救更多生命」…)；

• 討論哪個人有錯(是受害者的錯還是Uber安全駕駛員的錯？)；

• 試圖找出為何自動駕駛技術失效。

在談到第三點時，Koopman特別表示：「我們都知道今日的自動駕駛車輛不成熟，這也是為什么我們要進行測試；沒有人應該對自動駕駛技術的失效感到驚訝。」

建立一個安全案例

雖然「模擬、封閉道路測試以及公開道路測試各自的恰當比例是一個有爭議的問題，」Koopman坦承：「在某個時間點，任何自動駕駛車輛會必須要進行某種形式的道路測試。」考慮到這種不可避免性，Koopman認為自駕車產業應該要專注在「如何最大程度降低其他用路人面臨風險的可能性。」

在他的論文中強調，需要以「由證據支持的結構化書面論據」，為自駕車測試操作員建立安全案例(safety case)；范例結構包括：

• 及時的監督者回應(Timely supervisor responses)；

• 充分的監督放寬(Adequate supervisor mitigation)；

• 恰當的自動駕駛失效概略(An appropriate autonomy failure profile)。

Koopman表示，對自駕車業者來說，收集自動駕駛測試車輛的道路上表現資料至關重要；原因有數個，包括人類保持警覺性的時間有限──從15到30分鐘，還有「監督者中輟」──當安全觀察員因為不安全事件幾乎沒有發生而感到無聊時會有這種傾向。而有關這類資料收集的一個更大問題是：哪些才是正確的數據？

「解除自駕」的迷思

根據美國加州法令，于該州公開道路執行自駕車測試者，需要公開駕駛里程數以及人類駕駛員被迫取回控制權的頻率，也就是某個被稱之為「解除自駕」(disengagement)的危機時刻。

加州車輛管理局(DMV)將解除自駕定義為「當自動駕駛技術被偵測到故障時停用自動駕駛模式，或是車輛的安全操作員要求該自駕車的測試駕駛員脫離自動駕駛模式、對車輛采取立即性的手動控制。」但Koopman斷然指出：「解除自駕是錯誤的安全測試指標，」因為這傾向于巧妙地鼓勵測試操作員最小化其人為干預，而這就可能導致不安全的測試。

目前的現實情況是缺乏從自駕車測試產生的可用數據；如Koopman在論文中所寫：「目前針對自動駕駛車輛測試公布的指標，大部份與測試的后勤工作相關，例如車輛布署數量、駕駛里程數。最被廣泛報導的統計資料是所謂的解除自駕報告，這不是建立安全性的充分依據。」

今日之解除自駕數據經常是由媒體以及自我推銷的自駕車業者引用，以作為評判自駕車成熟度──通常被視為有如自駕車賽馬──的指標。這種方法是有誤導性的，因為任何努力認真打造更安全自駕車的工作，解除自駕數據必須要是能改善技術的指標，而非用以宣傳在安全競賽中的勝利。Koopman接受EE Times訪問時表示：「在測試的早期階段，有越多次解除自駕越好，因為可以藉此判別設計缺陷。」

Koopman表示，解除自駕──無論是全面爆發的危機或者只是曇花一現──能指向一個機械錯誤或者是人為疏忽；換句話說，你需要將每一個事件、事故或未遂事故，當作測試項目安全程序中的一次失敗。「除了解決任何表面癥狀，判別并修正所有安全問題的根源非常重要。」

各家自駕車業者的每次解除自駕行駛里程數。（來源：Statista）

人為因素

最后，要審慎考慮人為因素。Koopman表示，試想自駕車沿著一個熟悉的路線在一致的駕駛情況下進行測試，隨著時間越長，車上的駕駛員──試圖將誤報自駕解除情況減至最少──將會了解車輛的一般行為，并只會在不尋常事件發生或是出現明顯、迫切的危險時才進行干預；而他指出，像這樣的正常情況或許會像人類行為，是存在風險的。

「監督者可能沒有關于自動駕駛系統內部實際上發生什么的準確模型，」Koopman指出，在這個等式中的人無法診斷系統中的「潛在失誤」，而那種失誤「僅是還沒有被激發。」一點在此刻還未能燎原的星火，可能不會被注意到。

監督退化低谷。（來源：Phil Koopman）

簡而言之，讓我們面對現實：人類無法非常妥善地監督自動駕駛。

當然，假設受過良好訓練的監督者只因為被指示要保持警覺就能百分之百專注，是不切實際的。Koopman指出：「可靠的安全論據必須要允許而且放寬監督者專注力降低、分心甚至可能在測試中打瞌睡的可能性；」如果自動駕駛技術的設計沒有留下發生錯誤的余裕，可以想見會有多么嚴重的災難可能發生。

回顧去年的Uber事故，輿論應該對自駕車業者提出的問題，不應該是關于Level 4自駕車多快能上市，他們應該要求知道那些孜孜不倦的自駕車推廣者能為他們的道路測試，建立多強──或是多弱──的安全案例。