自治的承诺
在阅读本文所需的时间中，全世界将有 20 人死于车祸。自动驾驶汽车 （AV） 可以消除大屠杀。但安全仅仅是个开始。Robocars 可以驱动低效的地层，节约能源，并更好地利用当今的拼车车道。
由于我们不需要在司机附近存放车辆，我们可以把城市停车场变成公园和车库，变成生活空间。自治将使数百万人能够实现广泛的旅行。机器人车将为那些不能开车的人带来机动性和自由。它可以使许多方式使生活更美好、更有效率。
我等不及一辆小汽车在家接我，带我上班，同时与所有其他车辆合作，消除交通。这是一个引人注目的，看似接近的愿景。所有的炒作都有很好的理由。我们需要自治，我们需要它很快。
但是，有现实。做司机能做的一切的机器人车还需要几年甚至几十年的时间。我们在许多环境中取得了巨大的进步。但现实世界中有这么多的”角案例”，以至于真正的自主运作仍然遥不可及。
但这并不意味着我们必须等待几年。关键是要放弃完美的人替代司机的目标。如果我们增加车辆外协助，则有解决最棘手的问题的解决方法。现在是时候采取在许多其他行业验证的系统方法，并着手。
新汽车竞赛
自治并不是影响运输业的唯一障碍。电动汽车 （EV） 的性能优于污染较低的燃气发动机，同时使新进入者具有更低的门槛。未来十年将提供飞行通勤交通工具。
5G 连接和快速嵌入式处理器提供从上到下对大量计算的访问。拼车应用程序和租用的滑板车已经取代了公共交通。智能城市交通、交通管制和超环路就在拐角处。业界从未出现过任何接近这种程度的颠覆。变革的速度和广度使得上个世纪的马到车过渡看起来有些古怪。
所有这些变化将深刻地重塑汽车竞争格局。数十年来，传统的 OEM 在驾驶员体验、发动机性能和造型方面展开竞争。在一个没有司机、没有引擎、没有汽车所有权的世界里，这些因素都无关紧要。
更糟糕的是，传统的OEM优势也无关紧要。正规的”第1-2-3层”供应链没有降低成本，而是难以协调软件接口，从而减缓了开发速度。依靠发动机专业知识阻碍了电动汽车的创新。数十年来磨练的能力和流程，甚至品牌都不再有帮助。
新的竞争基础日益明确：软件和连接它需要在线。连接将通过”空中”（OTA）更新来加快新功能，提供持续的产品数据，并启用新的共享车辆业务模式。从现在开始，连接最好的软件会获胜。
任何改变都比自治更深刻。发展自主性的因素没有比向其他行业学习更重要的因素了。虽然这是我们的道路的新事物，但自主技术在飞行无人机、机器人、水下车辆和军事系统方面已经发展了多年。
这些系统带来了激光雷达等传感器、快速分布式软件设计以及远程操作的丰富经验。自微处理器问世以来，外部开发的技术将首次成为汽车竞争的主要驱动力。
实际自治需要远程操作
Telsa 的”自动驾驶仪”模式解除了驾驶员的许多职责，使通勤更加轻松，提高了安全性。这很好，但它并没有从根本上改变经济。消除停车或启用共享机器人轴会带来巨大的经济利益。当车内有人时，自动驾驶可以减轻压力。驾驶没有人的汽车可以省钱，这改变了游戏规则。
然而，在很多年，会有AV无法理解的情况。安全并不完美，但很快就会比人类好（见盒子）。不过，只要有施工区或事故现场无法导航，我们也不能卡住 AV 阻塞交通。
所以，我们需要一种方法来拯救他们。公司越来越意识到，救援车辆的最佳方式是通过远程控制或”远程操作”来协助车辆。当一辆长袍卡住时，它会通知控制中心。在那里，人类操作员可以访问传感器和摄像头，分析情况，并提供帮助。
一种方法是允许远程操作员驾驶车辆，也称为”实时”远程操作。这需要与操作员进行实时视频通信，并将低延迟控制信号反馈给 AV。这将需要一个非常快速，可靠，无延迟的网络。当 5G 真正可用时，这可能很实用。今天，这将很难。
从火星漫游者手册（和许多其他机器人研究人员，包括作者）中获取一页就更实用了：通过给出方向比提供实时反馈更容易远距离控制。在这种情况下，这意味着查看场景并指明要遵循的路径（”战略”远程操作）。这适用于更低的带宽和更高的延迟。毕竟，这是美国宇航局如何驾驶机器人在火星上，尽管30分钟的延迟。
建筑
因此，战略远程操作将实现第一个实际 AV。这需要车内控制和远程监督。大多数体系结构不考虑密切连接这些系统的含义AV 需要车辆、控制中心和云的一致架构。
车载设计
AV 通过将传感器连接到高性能处理器，并从那里控制算法来引导车辆（参见典型的车载软件图）。早期的进入者，如Waymo和特斯拉建立了一切从零开始。最近，生态系统正在演变，以创造成堆的技术。最著名的是：
- ROS，机器人操作系统。ROS在研究界很受欢迎。有许多工具、驱动程序和服务可供选择，包括传感器型号、车辆模拟器和用于开发自主性可视化工具的可视化工具。ROS及其组件被成千上万的机器人研究人员使用。ROS 是一种研究工具。最新版本 ROS2 取代了弱通信代理，但整个系统不适合生产汽车。
- 自动SAR。与 ROS 相比，AUTOSAR 的目标是生产。AUTOSAR 发展为 OEM 向供应商指定零件的实用方式。AUTOSAR 指定的远不止软件体系结构;它定义了从供应商获取类似零件的多个报价所需的大多数所有内容。AUTOSAR”经典”早于智能控制，过于严格，无法处理诸如自主等高级软件。其新版本 AUTOSAR 自适应提高了灵活性。几家公司现场提供 AUTOSAR 开发工具包和工具。
虽然它们在能力和最终用途上差别很大，但这些主要是车载技术。他们努力帮助用户连接和理解传感器集、算法和控制。
系统必须融合感应、感知和规划来确定操作。然后，它通过硬件平台接口控制车辆。最近的设计结合了多个生态系统的组成部分，包括开放源码技术，如ROS和阿波罗，以及AUTOSAR等行业标准。
控制中心设计
控制中心也面临软件环境的挑战。某些系统支持数百人监控具有数十万个组件和变量的大型系统。
许多系统动态变化，因此数据流必须能够快速重新配置。在某些中心，每个操作台都有独特的角色。在许多其他车站，在到达时分发工作，根据需要改变功能。控制中心需要可靠、灵活、快速地访问庞大的数据集。
AV 车队的控制中心需要监控数千辆汽车。当需要注意时，它将分配给操作员。操作员可以请求实时传感器馈送、历史信息以及车辆状态和路由。因此，每个工作站都需要从整个系统访问大多数任何数据，而无需提前预测需要哪些特定信息虽然 AV 队列案例将面临独特的挑战，但这些类型的控制中心需求是许多系统的典型需求。
云呢？
云计算彻底改变了企业软件。它提供看似无限的存储和计算，成本极低。许多人自然认为许多或大多数 AV 功能应在云中运行。
但是，云在自治中的作用经常被夸大了。依靠云连接实现控制或安全功能需要将所有传感器信息发送到云，处理这些信息，并将其快速返回车辆，以便对外部事件做出反应。即使云设施可用，这也需要延迟保证和预留的计算带宽，远远超出可能的功能。
这没有什么意义;没有充分理由将 TB 的传感器数据流式传输到云中。其中大部分是视频和雷达的无趣的场景。此外，车辆所需的处理大多是在具有许多内核的 GPU 芯片中完成的最大数值计算。云的中心位置、弹性通用计算和存储的优势在 AV 中根本不值。
另一方面，边缘系统非常适合这个问题。实时反应需要专用的本地 CPU 和资源。边缘 CPU 正在迅速获得处理所有传感器信息所需的功能。因此，在可预见的未来，核心AV算法将继续在车辆上运行。
尽管如此，云仍然扮演着重要的副角色。例如，AI 算法通过处理”训练集”来学习，这是存在一些有趣操作（如困难情况或意外）的时间片段。深度学习的工作原理（大致）通过采取这些培训集，让人或其他系统确定在这种情况下该怎么做，然后使用它作为AI的”教训”。此培训最好在中央离线进行，而不是实时进行。
因此，AI汽车不学习自己;他们从中央来源获得经过培训的 AI 结果。如果 AV 体验了一个有趣的场景，它将成为一个训练集并影响 AI。因此，每个AV都从其他AV的经验中学习。整个车队从每个事件中学习。然后，整个舰队会随着时间的推移而提高。
云还可以访问所有车辆和控制中心。因此，它是运行车队管理软件、收集和传播道路状态以及派遣现场人员到车辆的正确位置。
底线是云是 AV 系统的关键部分。但这不是关键的扶持技术。关键技术在汽车和控制中心。
5G 可以提供帮助吗？
部署时，5G 旨在提供 5ms 延迟和极高的吞吐量。这是一个诱人的能力。尽管如此，5G的拥护者正在努力寻找令人信服的用例。许多建议用途用于运输和 AV，包括：
- 在云中执行车辆控制
与基于车辆的控制软件，云没有优势。
- 即使没有专用车道，战略性地控制交通也会大大增加高速公路的吞吐量，减轻我们的交通噩梦。车辆到车辆和基础设施通信甚至有一天可能消除对红绿灯的需求，因为交叉路口变成了自动螺纹机。这些都是迷人的未来能力。但是，我们首先需要基本操作。
从这些潜在的用途来看，5G 似乎不是 AV 的关键技术。近期车辆不可能依靠离车系统进行控制和安全。这只是因为连接和远程处理系统不够可靠。
更大的因素是，车载系统越来越有能力处理这些功能，车辆设计师完全控制。5G 可在局部传感失败的情况下增强安全性。车辆需要首先学会处理当地问题。因此，5G应视为未来的”好有”，而不是目前的扶持基础设施。
不断发展的架构
那么，我们如何将它整合成一个可扩展的”未来证明”架构呢？
在车辆内部，行业正在迁移以采用称为数据分发服务 （DDS; 参见框）的通用连接标准。例如，最新版本的 ROS （ROS2） 和 AUTOSAR 自适应版本（自 18.03 起）使用 DDS。他们选择DDS是因为它的灵活性、性能以及可靠的操作。
DDS 在车载和控制室使用案例方面都得到了很好的验证级别之间的数据路由有助于构建可靠的大规模基础结构。
DDS 也用于数百种自动驾驶汽车设计。DDS 专为自主系统而发展，首先用于高端飞行系统，以及越来越多的地面、空间和水下车辆。它具有自主系统需要的许多功能，包括实时交付、对交付服务质量 （QoS）的广泛控制、网络和位置透明度以及可扩展性。它自动发现数据源和数据需求，以快速直接发送所有信息，并支持数百个平台。围绕 DDS 的整合意味着它是新设计的最小风险选择。
DDS 也是许多运营控制中心的主要通信架构。例如，大多数海军舰艇的作战管理行动中心、大多数无人机地面控制系统、NASA KSC 的发射控制发射室以及大型水电站的电力监控控制室。在运输方面，DDS 监控列车系统、地铁、空中交通管制和机场地面系统。
DDS 处于良好的位置，可承担自主系统的远程操作用例。它同时处理控制中心和车辆外壳。
以数据为中心意味着车辆可以在城市中移动，而不会影响操作或代码，即使车辆的 IP 地址发生更改也是如此。当汽车或操作员检测到有趣的情况时，深度传感器信息可以很容易地作为学习培训集传输到云中。新车、算法、操作员和其他参与者可以随时来来。以数据为中心还有助于容错、可用性、扩展和安全性。
超越汽车的自主性
自治就在眼前。有一个陷阱：它不能用传统的汽车结构来完成。围绕自主的炒作假设这只是一个车内问题。这种兴奋停止了;直到 AIs 的能力要强得多，自动驾驶车辆将需要远程协助。
因此，自治是一个分布式系统问题，至少包括车辆、云和控制中心。由于系统由它们如何共享信息来定义，因此成功需要一个可以将所有部分捆绑在一起的体系结构。
幸运的是，汽车自主性可以利用许多多年来构建自主系统的行业的经验。在车辆中，重点是高速连接、可靠性和 AI 集成。控制中心需要一致的数据模型、对多种类型的数据的动态访问以及快速响应。
DDS 标准源自自主系统，是车载框架和控制中心的明确领导者。其最大优势是可扩展性、实时性能和软件集成。通过提供一致的系统范围数据模型，它支持构建自主分布式系统…超越汽车所有其他（包括面向消息的中间件 （MOM）、面向服务的体系结构 （SOA） 和远程过程调用 （PRC）））直接连接活动实体。在每一个中，应用程序相互交互。使用这些体系结构强调活动实体及其交互方式。大型分布式系统很快变得难以管理。
DDS 是一个连接框架，它有一个协议。但是，更重要的是，DDS是一个以数据为中心的体系结构。它实现了一个简单的概念：共享的”全球数据空间”。这仅仅意味着所有数据似乎都在本地内存中的每个设备和算法内。当然，这是一种错觉;所有数据不能无处不在。DDS 的工作原理是跟踪哪个应用程序需要哪些数据，了解何时需要这些数据，然后交付这些数据。
因此，虽然所有数据并非无处不在，但任何应用程序需要的任何数据都保证能够按时出现在本地内存中。应用程序只与自己的本地内存数据空间交谈，而不是彼此。这是数据中心的本质：在任何时候，以相同的方式，通过每个设备和每个算法，以相同的方式”即时”本地访问绝对的任何东西。这是一个优雅而强大的概念。
DDS 是定义虚拟分布式共享内存或以数据为中心的分布式体系结构的标准。DDS 了解进出每个数据对象的数据类型和控件。从概念上讲，所有系统数据似乎几乎都是”内部”系统中的每个应用程序，因此很容易共享信息。
DDS 控制使用”服务质量”（QoS） 参数进出此内存。它们指定与数据的所有必需交互，包括流速、延迟和可靠性。没有服务器或对象或特殊位置。由于 DDS 应用程序仅与共享分布式内存交互，因此它们独立于其他应用程序的编写方式、它们使用的处理器、语言或操作系统、它们居住的位置或执行时间。结果是一个简单的、自然并行的软件体系结构，具有统一的数据模型，用于共享系统信息。
由于每个应用程序实际上只与内存对话，因此 DDS 会跨越时间、空间和流来分离。时间分离意味着没有依赖启动或联接序列。空间分离意味着数据可能来自任何物理位置，因此生产者和消费者可以透明地驻留在 ECU、车载中央处理器或云中。流分离意味着每个应用程序都可以以任何更新速率、任何网络、任何语言以及无可靠性保证请求相同或不同的数据DDS 检查所有这些因素并确定是否可以传递数据。如果没有，它将标记错误。但是，如果是这样，DDS 将直接透明地将数据传递到应用程序的本地内存。结果是优雅的系统范围数据共享，而不依赖于物理实现。
盒子：逼真的安全
我的第一份工作是汽车防撞。在发生事故时保护乘客是一项崇高的追求，我们已经取得了巨大的进步。现代汽车采用多级安全气囊、侧碰撞保护、碰撞吸收结构、儿童座椅和皮带预紧器。这些东西有帮助，但汽车并没有安全。以每小时35英里的速度撞墙，更不用说每小时70英里，只是把太多的能量倾泻到车辆和乘客中。在车祸中保护脆弱的身体部位就像试图跳下建筑物而不洒上一盘酒杯一样。崩溃保护是错误的路径。
高级驾驶员辅助系统 （ADAS） 试图使驱动程序变得更好。较新的车辆可以自动刹车，将您推入车道，并警告您注意盲点。但是人们发短信、喝酒、争吵、入睡、打电话、跑灯、冒险、快速和以惊人的规律性通过停车标志。关于人类驱动程序，唯一可靠的事情是它们不可靠。因此，人们造成94%的致命碰撞。在人类的控制下，没有通往更好安全的明显途径。
因此，如果ADAS不能使司机足够好，人们反而能让机器人更好地驾驶吗？特斯拉采取这种方法，让汽车的自主控制，但期待可选的人覆盖。这与ADAS正好相反，而且很有意义。机器人车捕捉所有通常的情况，让司机只处理角落案件。这当然不是理想的，因为当汽车大部分时间都处理一切时，人的反应会变慢。这就是说，特斯拉在自动驾驶仪已经有一个40%的安全记录比其他车辆 – 一个巨大的胜利！不幸的是，这并不能使空车运营取得巨大的经济胜利。所以，它不是一个完整的解决方案
这就引出了一个显而易见的问题：我们能否使 AV 足够安全？即使整体安全记录更好，每次AV崩溃都是头版新闻。对于任何”新”事物来说，这是不可避免的。但它确实强调了一个真实的观点：不切实际的期望可能比不成熟的技术更成为问题。是的，机器人会犯人们永远不会犯的错误。目标不能是开发自动驾驶汽车，这些汽车绝不会将卡车误认为是桥桥，也不会撞上穿越没有交叉的地方的自行车。
人们也犯许多错误，机器人永远不会犯。”足够好”的衡量标准应该仅仅是维持比人类更好的事故率。毕竟，如果你能在汽车里比在出租车里安全两倍，你宁愿去拿哪一个？对自主性的不信任主要是对我们驾驶能力的傲慢评估：85%的司机认为他们高于平均水平尽管犯了错误，但机器人在统计上将很快比人类好。
底线，让我们根据结果而不是偏见来判断。我们应该放弃对机器人必须完美，甚至不要犯明显错误的期望。衡量标准应”比人类好”。不幸的是，这是一个非常低的酒吧。我们可以通过在车内有司机时允许超车来增强安全性。我们可以把每一次事故都当作所有车辆的新学习。但是，关掉可怕的新闻图像：当没有司机的机器人和有司机的汽车一样好时，这应该足够了。