Intel a proposé des règles mathématiques de sécurité pour les véhicules sans pilote au lieu de former le réseau neuronal

Fig. 1. Un véhicule sans pilote dans le centre ne peut rien faire pour garantir la sécurité. Dans le cas d'actions inappropriées d'un conducteur humain à partir d'une voiture voisine, un accident est inévitable, puis une enquête d'un mois sur un accident avec une attention particulière de la presse sur l'accident, où "le pilote automatique a tué l'homme". Aucune formation préalable du réseau neuronal ne permettra de sécuriser la machine dans une telle situation. La seule solution au problème est de prévoir au préalable des règles de circulation pour les robots afin d'exclure en principe l'occurrence d'une telle situation.

Au cours des dernières années, les constructeurs automobiles et les sociétés informatiques ont fait la course pour la première fois pour développer un véhicule entièrement sans pilote qui peut fonctionner sans intervention humaine dans n'importe quelle situation (SAE niveau 5). La distribution massive de ces voitures promet d'énormes avantages économiques et sociaux pour la société humaine, parmi lesquels une réduction spectaculaire des décès sur les routes, une diminution du nombre de personnes handicapées, un système de transport plus flexible et efficace accessible à tous.

Il semble que les constructeurs automobiles et les sociétés informatiques actuels qui participent à la course technologique perçoivent le véhicule sans pilote comme un produit - et pensent principalement au développement du marché, et non à la coopération avec d'autres constructeurs automobiles. Mobileye, récemment acquis par Intel, a des perspectives différentes. Elle rappelle à tous les participants à la «compétition capitaliste» qu'un robocar n'est pas seulement un produit, mais une industrie où des règles communes doivent être développées. À cette fin, la société a développé le premier cadre mathématique au monde pour la sécurité garantie des véhicules sans pilote (pdf) . Le cadre a été présenté au World Knowledge Forum à Séoul, en Corée du Sud, par le professeur Amnon Shashua, qui est le PDG de Mobileye et vice-président senior d'Intel.

Naturellement, Mobileye / Intel a son propre intérêt. L'élaboration de normes mondiales pour les automobiles peut apporter plus de bénéfices que la production de ces automobiles elles-mêmes.

Pour que l'industrie du transport sans pilote se développe avec succès, les efforts conjoints des constructeurs automobiles, des entreprises technologiques et des régulateurs gouvernementaux sont nécessaires. Ensemble, ils doivent élaborer un modèle d'interaction commun qui soit commun à tous. Mobileye a créé un cadre mathématique pour un tel modèle générique. Il est décrit en détail dans un article scientifique . Le cadre repose sur deux principes fondamentaux:

1. Garanties de sécurité éprouvées.
2. Évolutivité économique.

Mobileye estime que sans un modèle clair décrivant ces deux paramètres critiques, tous les efforts pour créer des voitures autonomes deviendront inutiles, c'est-à-dire que les robots se transformeront simplement en une expérience scientifique coûteuse.

Les garanties de sécurité standard prouvables sont l'ensemble minimal d'exigences que doit respecter tout véhicule sans pilote et une description de la manière de s'y conformer.

Évolutivité économique - une exigence conçue pour garantir que les solutions d'ingénierie développées sont vraiment capables de s'adapter à des millions de voitures, et de ne pas glisser à nouveau dans le créneau universitaire, étant d'intérêt uniquement pour la recherche scientifique. Cela s'est déjà produit dans l'histoire du développement de l'intelligence artificielle et de la vision industrielle. Parmi les chercheurs occidentaux, il y a le terme "hiver de l'IA" (hiver de l'IA). Par cela, ils signifient généralement les décennies d'inaction presque complète qui ont suivi l'échec de la recherche sur l'intelligence artificielle au début des années 80. L'échec était inévitable parce que les chercheurs avaient initialement fixé des objectifs inatteignables et exagéré le battage médiatique.

Il existe une opinion selon laquelle le développement de véhicules sans pilote peut suivre le même scénario: les développeurs de cette technologie promettent des perspectives trop brillantes, qui pourraient se transformer en une déception de la société et la cessation du financement de l'industrie si les développeurs ne peuvent pas produire un résultat qui répond à ces attentes.

Pour éviter que cela ne se produise, vous devez réfléchir à l'avance à toutes les questions lors de l'élaboration du cadre, y compris l'évolutivité économique.

Les développements existants ne répondent pas précisément à ces deux critères importants - les garanties de sécurité standard prouvables et les exigences d'évolutivité économique. Heureusement, l'industrie comprend maintenant les problèmes possibles - et nous avons une chance de prévoir des options pour résoudre les problèmes éventuels à l'avance.

Les experts de Mobileye sont critiques sur la façon dont les ingénieurs de développement de véhicules sans pilote essaient maintenant de résoudre les problèmes de sécurité en utilisant des méthodes statistiques. Assez prétendument pour rouler un certain (grand) kilométrage pour former le réseau neuronal - et cela garantit la sécurité de la voiture dans presque toutes les situations. Mais il convient de noter tout de suite qu'il est théoriquement impossible d'atteindre une sécurité absolue, car de nombreux accidents se produisent en raison de la faute d'autres usagers de la route, et le sujet lui-même n'a aucun moyen d'influencer la situation (comme illustration, voir Fig.1 ci-dessus). Autrement dit, de cette manière, il est impossible d'atteindre un niveau zéro d'incidents, mais seulement de le réduire à un niveau socialement acceptable.

Mobileye en donne un exemple. Il est raisonnable de supposer que pour parvenir à un consensus public sur le remplacement des véhicules guidés par des drones, le taux de mortalité sur les routes devrait diminuer de trois ordres de grandeur. Supposons que la probabilité de mourir dans un accident en conduisant une personne soit de 10 à ⁶ par heure (ce chiffre est proche de la réalité). Ensuite, pour une «sécurité garantie», nous devons réduire cette probabilité dans les véhicules sans pilote à 10 ⁻⁹ par heure (c'est aussi un vrai chiffre tiré de l'industrie aéronautique: il correspond à la probabilité de séparation involontaire de l'aile de l'avion du fuselage pendant le vol).

Ainsi, afin de garantir la probabilité statistique d'un taux de mortalité aussi faible de 10 ⁻⁹ par heure, vous devez évidemment collecter 10 ⁹ heures de données expérimentales, ce qui correspond à une collision d'environ 45 milliards de kilomètres.

De plus, dans le cas d'un système de nombreux agents qui réagit avec le monde extérieur et les personnes vivantes (conducteurs et piétons), nous ne pouvons pas utiliser de simulateurs virtuels, car un algorithme d'action n'a pas encore été créé (et il est peu probable qu'il soit créé à l'avenir) et, par conséquent, , un simulateur du comportement d'un conducteur ou d'un piéton imprévisible. En d'autres termes, tout changement dans le logiciel de gestion nécessitera une collecte supplémentaire de données expérimentales - 45 milliards d'heures supplémentaires pour s'adapter au modèle statistique.

Au final, la formation d'un système de sécurité sur un réseau neuronal à l'aide des données collectées souffrira inévitablement d'un manque d'interprétabilité et d'explicabilité. Si le pilote automatique abat un piéton avec une issue fatale - vous devez trouver la raison et expliquer la cause exacte de l'accident, ce qui doit être corrigé dans le système afin que cela ne se reproduise plus. Malheureusement, la «boîte noire» du réseau de neurones ne fournit pas d'explication claire et compréhensible dans de telles situations.

Les véhicules sans pilote devront partager la route avec les gens au cours des prochaines décennies, de sorte que chaque modèle doit tenir compte de la nature imprévisible des personnes. De plus, les pilotes automatiques devront s'adapter au cours des premières décennies à un style de conduite que les gens considèrent comme «normal».

Lors du développement d'un modèle de sécurité garantie, il convient de garder à l'esprit que tout véhicule peut à tout moment subir des dommages mécaniques ou être exposé à des forces externes. Bien qu'il soit impossible de prévoir pleinement tous les scénarios d'un éventuel accident, il est possible de minimiser la probabilité de tels scénarios et la mortalité prévue par heure de conduite.

Mobileye propose de mettre en œuvre un cadre avec un ensemble de règles basées sur des modèles mathématiques. Ils protégeront les constructeurs automobiles eux-mêmes de la censure publique en cas d'accident mortel impliquant des véhicules sans pilote - et de tels incidents sont inévitables.

Mobileye a développé un système appelé Responsibility-Sensitive Safety (RSS) . Il garantit qu'en termes de prise de décision, le système de pilote automatique n'émettra jamais de commande qui pourrait conduire au fait que le robocar provoquera un accident. À cette fin, les concepts «Safe State» et «Cautious Commands» ont été introduits dans le modèle, qui garantissent que la voiture ne dépasse pas les limites d'un état sûr.

Le système RSS se distingue par le fait qu'au cours de son développement, il a abandonné l'approche traditionnelle avec l'analyse de nombreuses conditions et l'analyse intensive d'une grande quantité de données sur la situation actuelle - cela n'est tout simplement pas possible à la fois dans les conditions routières réelles et dans la simulation. Au lieu de cela, chaque action du pilote automatique est vérifiée en temps réel pour la conformité avec des formules mathématiques simples. La puissance de calcul des ordinateurs modernes est suffisante pour effectuer de tels calculs en temps réel. Par exemple, sur la fig. La figure 2 montre la formule de calcul de la distance de sécurité par rapport au véhicule qui précède avec un conducteur en direct s'il n'y a pas de connexion sans fil et de coordination des actions selon le protocole d'intercommunication V2V avec cette voiture.


Fig. 2. La formule pour calculer la distance de sécurité entre les voitures

Selon Mobileye, les règles mathématiques développées réduiront les décès sur les routes de trois ordres de grandeur lors du passage aux véhicules sans pilote. Si maintenant la mortalité est de 1 personne par million de kilomètres parcourus, alors dans les transports sans pilote, elle sera de 1 personne par milliard de kilomètres. Pour le système de transport américain, cela signifie une diminution de la mortalité d'environ 40 000 personnes par an (statistiques pour 2016) à environ 40 personnes par an.

Il faut garder à l'esprit que les accidents et les décès causés par les drones sont toujours possibles en cas de dommages mécaniques, de défaillance des capteurs d'un véhicule sans pilote et d'autres dysfonctionnements. Néanmoins, une réduction de trois niveaux de la mortalité devrait montrer de manière convaincante à la société les avantages du transport sans pilote.


Fig. 3. Les couloirs de sécurité calculés autour de la voiture détermineront le coupable lors des manœuvres et des coupes

Un véhicule sans pilote (voiture bleue sur la figure 3) sait clairement quels couloirs doivent être observés devant le véhicule devant et devant le véhicule. Si un conducteur humain s'introduit dans ce couloir, par exemple par l'avant (c'est-à-dire que l'UAV se coupe), et en raison d'un freinage soudain, l'UAV entre en collision avec la voiture par derrière, puis en cas d'accident, une voiture rouge avec un conducteur humain au volant sera le coupable.


Fig. 4. Le système RSS prend même en compte les situations où des objets (voitures, piétons, etc.) sont fermés par d'autres objets

Mobileye suggère d'utiliser le système Sensor Fusion, basé sur trois systèmes développés indépendamment, où chacun s'appuie sur trois technologies différentes: une caméra, une carte haute résolution et un radar lidar.

Lors du calcul de l'état de sécurité et des actions prudentes correspondantes, le modèle mathématique RSS prend en compte, entre autres, les situations où des objets (voitures, piétons, etc.) sont fermés par d'autres objets. Par exemple, sur la fig. 4 la voiture quitte prudemment le parking en tenant compte de la vitesse maximale possible ( $$$V_ {limit}$) voiture sur la route.

Si de telles règles sont codées en dur dans le programme de pilote automatique, l'enquête sur les incidents impliquant des véhicules sans pilote deviendra simple, courte et factuelle, et la responsabilité des accidents pourra être établie avec précision et définitivement. De telles règles, selon l'entreprise, augmenteront la confiance du public dans les véhicules sans pilote. Tout le monde saura qu'il existe des règles immuables auxquelles toute voiture avec pilote automatique obéit. Comme les trois lois de la robotique Isaac Asimov, uniquement pour les règles de circulation.