小米事故的提醒：自动化的尽头不是无人化

晨枫

4 Q4 Y, S$ N/ b( S无人化包括无人的操作环境，也包括有人但人处于撒手不管的操作环境。
3 o, Y( b  N" q( d- }
小米SU7事故很惨烈，三个女孩子在如花年华死于非命，非常可惜。人们都在谈论如何吸取教训，但关注点似乎集中在如何从技术上增加判读前方路障的可靠性。这当然是需要的，但在大方向上误入歧途了。
# v$ U- |( r; `' W" ~! J
* Z/ q: U0 c  ^5 d- ~( X$ |4 R技术永远在进步，问题也永远在复杂化。单纯依靠技术，只能跟在问题后面解决，永远是被动的。需要解决的问题其实在于人。自动化程度越高，人的作用越重要。这似乎是反常识的，但这是工业自动化几十年来最大的经验教训。
8 {" B' A) [; k* F0 J) U
1 P% \) G. u) g再先进的自动化系统也只能针对已知场景，意外场景的出现永远是不灭的可能性。假设智驾能做到99.99%，万分之一的故障率已经非常厉害了。但是仅仅上海一个城市，每天在路上跑的车辆至少几百万辆次，万分之一的故障率意味着每天可能有几百辆汽车因为智驾故障而发生事故，这是不可接受的高事故率。这还只是上海，放到全国，每天可能就智驾事故上万了，这是绝对不可接受的高事故率。
% o( h. e  ^1 ?$ t0 s7 G! A
/ S6 l& B0 u1 V; _自动化系统能对已知和常见的场景进行有效处理，但意外场景发生后，自动化系统首先要能正确识别已经超出自己的能力范围，其次要为人工接管提供最有利的条件。需要以最符合人类思维和操作习惯的方法实现人工接管，而不是以自动化系统的设计便利出发。比如说，驾车人手动转动方向盘就自动切除NOA，这是很自然的人工接管方式。但需要转动多少才切除，这是一个问题。转动量太小就切除的话，可能正常行驶中的抖动都会触发误动作；太大才切除的话，启动死区太大，延误人工接管。另设NOA开关的话，动作明白无误，但多一步步骤，紧急时可能忘记或者摸不到而误事，不符合人工接管的便利性和直观性要求。转动方向盘和踩动刹车同时发生，人工接管的意图就更加明确，这时不顾刹车和转向死区，可以直接切除NOA而较小误操作可能。特别大的震动可能依然会误触发，但震动那么大，也不该再NOA了。

但在人工接管的情况下，自动化系统到底是彻底撒手，还是继续辅助？辅助到什么程度？这是对小米事故里AEB作用的质疑，其实也是工业上自动化系统降级为人工控制时的常见问题。从人类操作习惯来说，“我只要你切除我要你切除的，其他的继续保持自动控制”。问题是，系统如何判断哪些是需要切除的，哪些是需要保留的？而且人工-自动混合控制比全自动控制更复杂，混合的方式有无穷无尽的组合，还像团队协作时需要和一个摸不透在想什么的人紧密配合一样的问题，容易打架。
9 v1 g  u+ ]+ v& o" r
回到AEB，在理论上，AEB可以全时工作，无论NOA是否工作。但这要求前方探测高度可靠、精确，而且包罗万象，而不是现在这样在设计上就排除对水马、动物、锥桩等的反应。而且不能依靠单一传感器，单点故障造成AEB误触发，在高速公路上莫名其妙紧急刹车，危害极大。
9 W4 h( f$ A% W; D7 U7 U' r
很多人非常正确地指出：L2只是辅助驾驶，不是自动驾驶。其实，即使到L3，人的作用依然关键，实际上对人的要求更高了，而不是更低了。

" }) y9 F# D! a9 `# V6 A高度自动化意味着两件事：
1 `8 d8 ]" d" `
# p, V" F$ m% K9 F! [3 e+ t4 N1、操作人/驾车人对周围的常见场景的观察和反应钝化了。一是看不过来，二是反正有自动化系统照管着，不需要保持敏锐。
2、一旦进入意外场景，对人类的挑战有两部分：a）意识到自动化系统靠不住需要时间，b）连自动化系统也解决不了，一定是高挑战场景，平时已经手生了，高挑战场景几乎必然手忙脚乱，或者坐以待毙。
- ~8 S. d. S% s2 I$ G- z  `
* g& g6 A2 z, D! p/ f. t难说小米事故里，最后一秒钟里，驾车的女孩是否有这样的问题，但这个问题在工业上屡见不鲜，无数事故报告都指向同一个问题：操作工临危慌乱，动作变形，加剧事故。

8 v: P# P$ b+ [9 |; \* i0 |& l工业上痛定思痛，开始广泛使用仿真系统训练，作用有两个：
. {4 n0 W# y8 o* Y# g
1、在正常情况下，培养良好、规范、一致的操作动作
2、在意外情况下，培养辨明情况、正确反应的肌肉记忆

$ z3 ?1 \& w& M. w9 O0 w7 \! i. k大型化工厂开停车是几年一次的事情，这是非常规但计划内的；过程意外则是时不时的，这是彻底意外的。操作工在上岗前，需要几个月的仿真培训，熟悉各种规范和应急响应，考核通过才能上岗。上岗后，每隔一定时间（一般是一两年）要重新到仿真系统上复习和重考，考核通过才能再次上岗。
) f) K+ D5 R* s6 \; ~
! S  f6 t: H: [现在汽车越来越复杂，尤其是智驾出现之后。驾校毕业就一劳永逸，在全机械时代是可行的，反正新老汽车技术对于驾车人来说没有本质差别，老司机拿到什么车都基本上能不看说明书就上路。但智驾发达后，连面板操作都不一样了，需要熟悉的地方就多了，至少需要人讲一讲。
# t4 Z6 ^' J% \5 T! e2 S
最大的问题还在于智驾。什时候管用，什么时候需要人工接管，接管后系统是彻底撒手不管还是继续保留部分辅助功能，这些一方面需要国家标准统一规范，另一方面需要适当的训练资质才能有效使用。
$ i" o  y" k8 v4 f/ E
好在智驾是可以激活或者关闭的。或许应该实行分级驾照。驾校毕业获得基本驾照，可以全人工驾驶。年度仿真考核通过的，获得使用智驾资格。驾照资格与车钥匙实现某种绑定，这在电子钥匙时代是可以实现的。也可以普通车钥匙与刷卡开锁智驾相结合。代用、冒用的可能总是存在，责任最终在于人，人要作死，天也没办法。
6 w1 R7 I6 j: X" c
4 \7 J* }' o& s+ y. N! |从智驾谈开去，广义的自动化、AI化都有相似的问题。人才是最终负责的，完全“信赖”自动化和AI害人害己。

4 R; L' \) Y# v/ `对于能人，要懂得“人驾驭自动化，而不是自动化驾驭人”，只有懂得、干得比自动化更多，才能驾驭得动自动化；对于懒人，用不动就别瞎用，否则害人害己。最低限度，要在能可靠控制自动化万一不灵时造成损害，才用自己并不熟悉的自动化。比如说，扫地机器人可能把房间弄得乱七八糟，但这样的后果还是自己能处理的，那就不必对扫地机器人有多深刻的理解才能用，直接用就是了。但对智驾能干什么、不能干什么、干不了的时候自己能不能接管没把握，还是别瞎碰为好。