Uber無人車致死案細節：人為失誤 可能再次發生

• 2019 年 11 月 21 日
• 資訊

美國國家運輸安全委員會（National Transportation Safety Board，NTSB）今天公布了它對一起涉及Uber測試機器人車和Elaine Herzberg的致命車禍的調查結果。不出所料，他們把問題歸咎於Uber的安全文化，安全駕駛員在駕駛途中觀看流媒體影片節目，以及在一定程度上歸咎於行人的狀態受損。

最值得注意的是，之前有報道稱，Uber系統無法識別人行橫道外的行人，這一報道需要進行更正。事實並非如此，儘管這個問題存在缺陷，但它們在這起事故中沒有造成任何不良影響。

NTSB主席Robert Sumwalt表示：“自動駕駛系統以及車輛駕駛員的不當行為都是更深層次問題的徵兆，這些問題表露出來的是Uber ATG時代存在的無效安全文化。”

外媒在這個報告發表之前也作出了一系列新聞報道，聽證會還透露了一些書面報告中沒有強調的細節。

可能事故原因報告

國家交通安全委員會對可能原因的最終裁決將主要責任歸咎於安全駕駛員的疏忽。

導致Uber缺乏安全文化的原因在於：對安全驅動程式的監控不力以及缺乏應對自動化自滿的對策，此外他們還將第三個原因歸咎於行人過馬路的障礙，以及亞利桑那州和聯邦政府在監管方面的失責。

最值得注意的是，他們並沒有將技術故障歸咎於崩潰的原因。這是一個正確的原因裁定——儘管所有經過測試的車輛通常都比Uber更好，但它們的缺陷會導致安全駕駛者疏忽大意，而將這些缺陷歸咎於根本就是要以這種方式進行的測試。

人為過失

報告指出，當涉及到人為過失時，Herzberg的血液中有“高濃度的甲基苯丙胺”，超過藥物劑量的10倍，這會改變她的感知能力。她體內還有大麻殘留。直到撞車前一秒，她才向右看向迎面駛來的車輛。

也有證據表明，安全駕駛員確實拿出了手機，並在上面播放電視節目，在駕駛過程中有34%的時間低頭看手機，在碰撞前6秒到1秒有整整5秒鐘的“一瞥”。

雖然Uber錄製了安全駕駛員的影片，但他們從未審查過該司機的影片，以發現她違反了禁止使用手機的政策。該駕駛員沒有受到訓斥，還在這段路上開了73次車。

雖然每輛車裡都有一台供操作人員使用的小型平板電腦，但操作非常簡單，就像其他導航電腦一樣，只顯示導航路線，而且輸入源很少。

美國國家運輸安全委員會沒有將這些干擾歸因於這款平板電腦，Uber稱其設計的平板電腦用戶體驗符合NHTSA的車內用戶體驗指南。也有一些團隊在報告異常情況時使用語音系統而不是觸摸系統以避免分心。

機器過失

更多關於Uber系統如何處理行人的細節也被披露。早期的報告（包括我自己的一些報告）指出，該系統無法將人行橫道外的障礙物歸類為行人。這是不正確的，儘管真相更令人困惑。它從來沒有把她歸類為行人，可能是因為她是在騎自行車。讓作者感到困惑的是，在系統的目標分配模組中提到了潛在的失敗，但實際上並沒有發生。

當一個機器人汽車系統識別出一個障礙物時，它會試圖預測障礙物可能移動的方向，並以此估計出障礙物的“目標”。例如，行人在人行橫道上可能有過馬路的目標，車道上的汽車或自行車很可能會繼續沿著那條車道行駛，當然也有可能會換車道。

Uber的一個缺陷是，它的系統不會將“過馬路”作為目標分配給不在人行橫道上的行人。如果他們發現有一個行人，那麼他們並不會認為她是在過馬路。

相反，她被歸類為車輛、騎自行車的人或未知的障礙物。這些對象的目標猜測是不同的，並且在許多情況下基於對象過去的移動歷史，這就是為什麼在重新分類後忘記過去的歷史是真正的技術錯誤。每次它對她進行重新分類時，都必須在沒有過去記錄的情況下預測她的動作，因此它無法理解，不管她是誰，她正在過馬路，而且準備進入他們的車道。

缺少“對象持久性”仍然是比分類錯誤更大的錯誤。分類錯誤在機器人汽車系統中經常發生，但是由於系統在不知道它是什麼的情況下跟蹤和目標移動，這應該可以減輕分類錯誤。Uber沒有做到這一點。

更多的細節透露了Volvo標準自動緊急制動系統的禁用與SUV。Volvo系統有自己的雷達，與Uber的雷達頻率相同，因此不能同時使用。後來，他們重新調整了其中一個雷達，使兩個系統都能工作。

自動化自滿

人們關注的焦點是人類在監控自動化系統方面的表現，以及人們變得自滿和憊懶的趨勢。這是具有一定自動化程度的交通方式中的一個共同因素。

Uber從未審查過安全司機的影片，也很少查看其他人的影片，但現在有第三方對安全駕駛員進行抽查，以發現類似的問題。

現在，Uber和其他公司使用自動系統來跟蹤司機的視線，以確保他們的眼睛一直盯在路上，甚至在他們太過遠離道路時保持警惕。Uber也已經重新啟用了兩名安全駕駛員設置。

一個有趣的數據顯示，Uber在Tempe有40輛測試車，254名操作人員。這使得他們想換成一個安全駕駛員而不是兩個安全駕駛員的想法令人困惑，他們似乎有足夠多的人手在每輛車裡放兩個人。

雖然一般來說兩個安全駕駛員比一個安全駕駛員好，可以防止這類事故的發生，但我現在認為，對一個安全駕駛員進行電腦監控實際上可能已經足夠了。

特斯拉自動駕駛儀的駕駛員沒有接受過培訓，通常是獨自駕駛，他們的記錄表明，讓一個人來監督一個像樣的自動系統，會產生足夠的安全記錄。一個受過訓練的安全駕駛員，加上自動監控，應該會做得更好。

政策問題

正如之前報道的那樣，Uber ATG糟糕的安全文化——或者在某些情況下，缺乏安全文化——招致了很多批評。根據Robert Fox的報告，他們沒有一個適當的框架來降低風險，他們有糟糕的政策和程式，以及對汽車運營商的糟糕監督。據報道，Uber已經解決了很多這樣的問題，目前只做了非常有限的測試——僅僅是繞著總部一英里的環路，時速限制在25英里。

NTSB的Enzar Becic報告了目前適用於測試機器人汽車公司的非常基本的規則，特別是在亞利桑那州，它對測試安全駕駛員的團隊沒有要求。國家公路交通安全管理局的規定要求進行選擇性的安全評估，但只有16家公司提交了一份評估報告，但有超過64家公司在加州註冊。

該公司董事長Sumwalt稱讚了Uber在他們的調查中提供的合作，並對特斯拉未能提供幫助、被迫退出他們的一項調查的方式進行了一些有力的抨擊。Sumwalt說，他喜歡Uber的首席執行官“沒有掛斷我的電話”，這強烈地暗示Elon Musk可能在談話中掛斷了他的電話。

更多關於技術故障的說明

在我之前關於Uber死亡的報告中，我對兩個新的技術細節進行了大量討論，即Uber系統的配置無法識別人行橫道外道路中間的行人。更重要的是，他們的目標跟蹤系統有一個缺陷，每次重新分類一個目標時，它都會忘記過去的經驗教訓。許多其他媒體也對這些問題進行了報道，其中大多數都把重點放在行人身份識別問題上。

儘管我已經非常清楚地表明，這些技術問題雖然是系統設計和編碼糟糕的標誌，但並不是事故的主要原因，但讀者並不會這麼想。因此，有必要重申的是，據我所知，所有的機器人車隊都存在這樣的問題，即系統不能正確地在其視圖中對事物進行分類，這使得安全駕駛員必須不時地接手以防止事故的發生。

對於全新的項目，這可能是一個非常頻繁的事件，只要有一個訓練有素的和細心的安全駕駛員在那裡，這就是沒有問題的。

雖然我們可以也應該對Uber軟體的低品質提出批評，但我懷疑任何一個項目都經歷過一個非常早期的階段，在這個階段，他們的系統不成熟，容易出現這樣的問題，而這些問題是由安全駕駛員正確處理的。

如果這些車隊中的任何一輛車有一名安全駕駛員坐在那裡看影片，就像這裡所說的，這些車可能會發生事故，如果情況不對，可能會致命。

雖然這並不是優步的借口，但他們也確實運氣不太好。一般情況下，行人在人行橫道外的高速公路上過馬路時，會盡量小心謹慎，我們從小就被教導要“過馬路前向兩邊看”。

從表面上看，車禍發生在一個星期天的深夜，發生在一條幾乎空無一人的道路上，正是這樣一種情況：人們通常會提前很好地聽到任何駛近的汽車，並定期檢查右側是否有迎面而來的車輛，這是非常明顯的，因為它的前燈——即使在周邊的視野中也很明顯。

Herzberg在撞擊前的一秒鐘左右，斜著穿過飛機。美國國家運輸安全委員會的調查人員將此歸因於她體內的冰毒。他們不知道她血液中的濃度是上升，由於最近服用了大劑量藥物，改變了感知，還是下降從而引起不尋常的情緒。

據報道，這個地點的行人穿過人行橫道很少見，儘管由於音樂會的原因，那天晚上行人更多了些。但也沒有在這個地點發生的另一起行人事故的記錄。

當然，這並不意味著無人駕駛汽車和安全駕駛員不必對人行橫道外的行人視而不見。儘管大多數行人都比較謹慎，但還是有這種情況存在。事實上，亞利桑那州71%的行人撞擊事件發生在十字路口之外。

那攝影機呢？

關於電腦視覺和攝影機在Uber致命事件中的作用，人們仍有疑問。美國國家運輸安全委員會的報告說，除了注意到在這次事故中不會起作用的近距離攝影機沒有使用外，幾乎沒有任何關於車內攝影機系統的內容。

大多數自動駕駛汽車設計使用3種不同的系統來檢測前方道路上的行人。光學雷達是最可靠的，並被所有主要的自動駕駛汽車公司所使用，除了特斯拉。雷達也很好，但對一個沒有朝你或遠離你的行人來說，效果不太好。

在這種情況下，Herzberg穿過街道，因此垂直於汽車移動。雷達仍能看到她，但提供的資訊少得多。因為Uber的軟體不斷對她進行重新分類，忘記了之前學過的東西，雷達也不擅長提供詳細的水平位置，所以它對於注意到她正在橫穿馬路並不那麼有用。

攝像透應該在這裡起到有用的作用。雖然電腦視覺不具備你從光學雷達和雷達獲得的100%確定距離的知識，但它可以很好地識別出某物是什麼，所有的團隊都訓練他們的系統識別行人，有人認為是騎自行車的人。

Uber的系統從來沒有這麼做過。但是，雖然光學雷達很難識別像行人騎自行車這樣的物體，特別是在遠距離下——在你靠近之前，它只是一個分散的點團——這是攝影機應該更好地拍攝的東西。

然而，美國國家運輸安全委員會的報告對視覺感知系統所見隻字不提。

是它嗎？它只是沒有很好的功能嗎？像所有其他的技術問題一樣，它們排在安全駕駛問題之後，但是對於我們這些希望了解程式設計師會犯什麼樣的錯誤以及如何避免這些錯誤的人來說，它們仍然很有趣。

視覺系統的一個問題是如何在夜間工作。普通攝影機無法同時獲得明亮物體，如汽車前大燈、路燈和前大燈照明的物體，和陰影中物體的良好影像。Herzberg在燈光下進進出出，而常規的行車記錄儀影片顯示，普通攝影機的性能很差。

這就是為什麼機器人汽車團隊一直在積極開發“高動態範圍”相機方法，以提高視覺效果。一種方法是使用兩個或更多的攝影機，每個攝影機設置在不同的曝光水平，以獲得陰影和良好照明區域的良好影像。一種更便宜的方法是讓一台攝影機在每隔一幀的明亮和黑暗曝光之間切換。這些技術應該能讓Uber車上的許多攝影機拍出道路和Herzberg的良好影像，即使是在晚上。

董事會成員Jennifer Homendy對缺乏關於測試的法規提出了強烈的批評，她認為應該有更多的聯邦和州法規來對這些車輛進行測試。她對國家公路交通安全管理局的規定表示擔憂，這些規定目前相當少。

它們是最小的，因為國家公路交通安全管理局和各州已經意識到，他們還不具備管理仍在發展和不斷變化的技術的技能。儘管如此，NTSB認為NHTSA應該強制提交安全計劃報告。

報告結論

以下是最終調查結果，來自最終報告。

1、A.駕駛執照、自動駕駛系統操作經驗或知識；B.駕駛執照、自動駕駛系統操作經驗或知識；C.車輛的機械狀況。

2、對車禍事故的緊急反應是及時和充分的。

3、該行人在夜間面對駛近的車輛前以及沒有人行橫道的地方過馬路時的不安全行為違反了亞利桑那州的法規，這可能是由於吸毒導致的感知和判斷能力下降。

4、Uber Advanced Technologies Group沒有充分管理其自動駕駛系統的功能限制所帶來的預期安全風險，包括該系統在此次撞車事故中無法正確分類和預測行人過馬路中間街區的路徑。

5、自動駕駛系統的設計中，只有在不可避免的碰撞的緊急情況下才會阻止剎車，這增加了在公共道路上測試自動駕駛系統的安全風險。

6、因為Uber Advanced Technologies Group的自動駕駛系統正在開發中，存在相關的限制和故障預期，這些限制在多大程度上構成了安全風險，取決於安全冗餘和三種旨在降低與在公共道路上測試自動駕駛系統相關的安全風險的緩解策略。

7、Uber Advanced Technologies Group在不完全更換其功能的情況下停用了Volvo前方碰撞警告和自動緊急制動系統，減少了一層安全冗餘，增加了在公共道路上測試自動駕駛系統的風險。

8、Uber Advanced Technologies Group在事故後做出了改變，如在自動駕駛系統（ADS）運行期間提供Volvo的前方碰撞警告和自動緊急制動，增加了一層安全冗餘，降低了在公共道路上測試ADS的安全風險。

9、如果車輛安全駕駛員注意到了，她很可能有足夠的時間發現並對過路行人做出反應，以避免撞車或減輕影響。

10、車輛安全駕駛員長時間的視覺分散，是典型的自動化自滿效應，導致她未能及時發現行人，避免碰撞。

11、Uber Advanced Technologies Group沒有充分認識到自動化自滿的風險，也沒有制定有效的對策來控制導致車禍的車輛操作員脫離接觸的風險。

12、雖然在Uber高級技術組測試車中安裝人機介面降低了自動化監控任務的複雜性，撤換第二個車輛安全駕駛員的決定增加了對唯一安全駕駛員的任務要求，也減少了安全冗餘，從而將在公共道路上測試自動駕駛系統的風險降至最低。

13、儘管Uber Advanced Technologies Group有辦法追溯監控車輛操作員的行為及其遵守操作程式的情況，但它很少這樣做；而在自動駕駛系統測試期間，該公司決定撤換第二名車輛安全駕駛員，加劇了公司監管不力的不利影響。

14、Uber Advanced Technologies Group在測試自動駕駛系統的過程中，在事故發生後加入了第二個車輛安全駕駛，並對安全駕駛員的注意力進行實時監控，這表明該公司開始解決導致事故的監管缺陷。

15、Uber Advanced Technologies Group的安全文化不健全造成了一些狀況，包括對車輛安全駕駛員的監管不到位，這些狀況導致了撞車事故的發生，特別是車輛安全駕駛員在撞車過程中注意力分散。

16、Uber Advanced Technologies Group實施安全管理系統的計劃，以及事故發生後公司對車輛安全駕駛員監管的改變，開始解決導致事故發生的安全風險管理方面的缺陷。

17、National Highway Traffic Safety 4 Administration將強制提交的安全自我評估報告（目前是自願的）及其評估提供了一個統一的、最低水平的評估，可以幫助各州制定有關自動車輛測試的法律。

18、事故發生時，亞利桑那州缺乏一個以安全為中心的自動駕駛系統（ADS）測試應用程式審批流程，事故發生後，該州一直沒有開發這樣一個流程，這表明該州在提高ADS測試安全性和保護公眾方面存在缺陷。

19、考慮到缺乏聯邦安全標準和評估協議自動駕駛系統，以及美國國家公路交通安全管理局的安全自我評估過程不足，與自動車輛測試相關的要求可以通過在授予測試許可證之前實施徹底的應用和審查過程來提高此類測試的安全性。