Отчет Waymo о безопасности беспилотных автомобилей

Команда Waymo (которая занимается беспилотным автомобилем от Google) выпустила подробный отчет о своих тестах в Финиксе, штат Аризона. В этих отчетах описываются несколько лет их работы и более 9 миллионов километров пробега. В отчетах представлены просто невероятные показатели безопасности, исходя из которых им стоит начать разворачивать свои продукты в больших масштабах (по крайней мере, в малозагруженных городских и пригородных зонах вроде Чендлера, штат Аризона).

Этот отчет примечателен по нескольким причинам:

1. Он невероятно прозрачен – такого мы еще не видели ни у одной команды. В сущности, остальным компаниям брошена перчатка – если их отчеты не будут столь же прозрачны, ты мы будем предполагать, что у них все не столь хорошо.
2. У них есть возможность писать столь прозрачные отчеты ввиду того, что у них отличные показатели безопасности. На почти 10 миллионов км пробега у них приходится 30 тревожных сигналов без ожидаемых травм, 9 сигналов с потенциальными травмами и 8 со срабатыванием подушки безопасности (вероятность получения травмы в этих случаях оценивалась в 10%, то есть серьезные травмы ожидались лишь в 2 случаях). Водители-люди получили бы порядка 6 травм.
3. Waymo утверждают, что во всех дорожных происшествиях виноваты другие водители/участники дорожного движения.
4. В отчетах не приводится ни одного происшествия с участием одного транспортного средства (вроде выезда с дороги), а такие происшествия часто происходят при участии живых водителей.
5. Если считать в масштабах страны, 9.8 миллионов километров пробега под управлением хороших водителей должны привести к 40-60 происшествиям, из которых большинство будут малозначительными, 22-27 потребуют страхового возмещения, о 12 будет сообщено в полицию и примерно 6 приведут к травмам. Благодаря отсутствию аварийных ситуаций за время, сравнимое с 8 человеческими жизнями, Waymo значительно превосходит «человеческую» езду – даже в таких простых местах как Чендлер.

Авария с участием автомобиля от Waymo без водителя-испытателя. В заднюю часть беспилотной машины врезался автомобиль, водитель которого не сбросил скорость.

Отметим, что 62% описанных событий и вовсе не происходили. Как правило, водители-испытатели брали управление на себя, а тщательный анализ в симуляторах позволял сделать вывод, что без водителя безопасности произошел бы определенный «контакт». Инженеры Waymo изучают все потенциальные столкновения, чтобы оценить общее количество аварий, которые могут произойти без водителя за рулем (беспилотные автомобили Waymo проехали 104 000 км без водителей-испытателей. Одна из аварий произошла именно с таким автомобилем, которому врезались в заднюю часть во время торможения). 18 аварий были реальными, 29 – оценены в симуляторах.

47 аварий на 9.8 миллионов километров (или 209 000 километров на аварию) – эта оценка немного лучше той, что мы делали для людей, если речь идет об учете всех аварий (включая те контакты, которые не причиняют значимого ущерба и о которых не узнают полиция и страховые компании). Инженеры Waymo учитывали контакты пешеходов с их автомобилем и даже водителей, которые намеренно подрезали их машины, чтобы проверить их. Число 47, упомянутое выше, было бы лучше оценки аварийности людей, если бы половина из этих 47 контактов произошла по вине Waymo.

Эти оценки не совсем корректны, поскольку у нас нет данных о достаточно спокойных пригородах Финикса. Ездить там проще (поэтому компания выбрала их в качестве первого шага), так что если мы аварийность улучшится вполовину или на треть (по сравнению с более сложными зонами), результаты будут впечатлять.

Ниже я расскажу о ряде частных случаев и некоторых утверждениях. Компания Waymo также выпустила новый документ, описывающий их технические процессы и принципы безопасности. Этот документ представляет собой скорее новую версию прошлого, и великих откровений в нем нет. Впрочем, это все равно хороший пример прозрачности, возможно ему стоить посвятить отдельную статью.

Неужели они и правда ни в чем не виноваты?

Waymo считает, что все инциденты связаны с неправильными действиями других сторон. Большая часть этих происшествий не доходила до полиции с формальными обвинениями. При чтении описаний может показаться, что в некоторых авариях все же виновата Waymo, так что компания использует формулировку «почти все инциденты». Так, например, их машина действительно врезалась в автомобиль, который ее подрезал и затормозил без причины, но компания считает, что это было сделано намеренно.

Как бы то ни было, можно выделить два основных фактора отказа. Во-первых, в 29 смоделированных авариях водитель-человек мог бы спасти положение, хотя вина лежала на других участниках движения. В самом деле, люди часто предотвращают аварии, которые могут быть спровоцированы другими водителями. Конечно, ПО от Waymo есть куда расти – оно все еще работает не так хорошо, как водители-испытатели. Waymo утверждает, что их испытатели прошли дополнительные курсы подготовки, и их навыки вождения заметно превосходят среднестатистические. Я прошел их курс 8 лет назад, и в него входили специальные программы по безопасному вождению, предотвращению несчастных случаев и многому другому. Полагаю, сейчас эти курсы стали еще лучше.

Все это здорово, к этому надо стремиться, но это не та планка, которую нужно ставить, когда речь идет о первой версии продукта. Водители-испытатели Waymo (их двое) не ведут машину, они просто сидят, будучи готовыми взять управление на себя. Чтобы быть готовыми к потенциально опасным ситуациям они следят за дорогой (и консолью ПО) пристальнее всех остальных водителей. Надеюсь, алгоритмы в системах Waymo будут учиться на всех смоделированных контактах и делать выводы из действий пилотов-испытателей, чтобы водить так же, как они.

Возможно самый жуткий пример связан с автомобилем, который ехал по встречной полосе навстречу лобовому столкновению с машиной Waymo. В симуляции машина от Waymo полностью остановилась в своей полосе, но все равно была ударена встречным автомобилем (компания не раскрывает каким образом удалось избежать столкновения в реальности – возможно водитель-испытатель совершил маневр, на который ПО бы не пошло, а может водитель другой машины пришел в себя и свернул в свою полосу).

Водитель, который едет по встречной полосе, выезжает на полосу движения машины от Waymo – симуляция лобового столкновения.

Возможно, в некоторых инцидентах Waymo все же отчасти виновата. В двух смоделированных авариях машина Waymo ударила другие автомобили. В одном из случаев беспилотный автомобиль перестроился в полосу, в которой другая машина совершала обгон, превышая скорость на 48 км/ч. В другом случае беспилотный автомобиль перестраивался в левую полосу для поворота и врезался в машину, которая пролезла в эту полосу чуть раньше. Несмотря на то, что эти водители, безусловно, нарушали правила, Waymo могла бы улучшить обнаружение объектов, находящихся позади (вероятно, компания это уже сделала).

Машина Waymo врезалась в заднюю часть автомобиля, который подрезал ее и резко затормозил без причины. Вероятно, кто-то «игрался» с беспилотной машиной, чтобы проверить ее – и делал это плохо (такое изредка случается, но мы знаем не обо всех случаях. Обычно водитель-испытатель немедленно вмешивается).

Второй же вопрос заключается в следующем: стало ли необычное и консервативное поведение беспилотных автомобилей «причиной» некоторых из этих аварий – не потому, что система что-то делала неправильно, а из-за повышения вероятности человеческих ошибок. Люди ожидают от других водителей определенных действий, а роботы могут их не совершать, что может удивить других участников движения. Все 15 раз, когда в машину от Waymo врезались сзади, были виноваты другие водители, но некоторых из этих аварий могло бы не произойти, если бы манера езды беспилотного автомобиля была более агрессивной.

Также было несколько инцидентов, в которых автомобиль Waymo поворачивал направо, и что-то побуждало водителей позади него попытаться обогнать его справа. Из-за этого происходили боковые столкновения. Люди не ожидают, что кто-то будет проходить правый поворот по правой стороне – это могло вызвать у других водителей агрессию, приводившую к аварии (в которой все еще виноват именно водитель-человек). Все это напоминает мне о первой (и единственной?) аварии, в которой была виновата Waymo – их машина попыталась обойти автобус справа, как это часто делают люди в широких полосах для правых поворотов.

Однажды автомобиль от Waymo резко затормозил после того, как начал поворачивать налево – в результате в него врезалась сзади машина, которая шла слишком близко.

Waymo утверждает, что им нужны были такие случаи, и что вряд ли подобных ситуаций будет много, но исключать их полностью нельзя. Как бы то ни было, 200 000 км на аварию примерно сопоставимы с человеческим вождением (по некоторым оценкам даже чуть лучше), и этому есть подтверждения. Более того, даже если мы будем считать, что Waymo виновата в некоторых из аварий, перечисленных выше, они все равно врезаются реже, чем люди.

Это всего лишь пригородный Финикс

Существует мнение, что если у Waymo все «получилось» в пригородном Финиксе, то далеко не факт, что их система будет работать достаточно безопасно в центре Сан-Франциско или более сложных городах вроде Бостона, Нью-Йорка или Мумбаи. Конечно, нельзя думать, что вы просто перевезете туда машину, загрузите в нее новую карту и все будет работать. Еще многое предстоит сделать.

Компания Cruise, которая проводит тесты в центре Сан-Франциско, давно заявляла, что сперва хочет решить более сложную задачу. Пока неясно сколько еще времени потребуется Cruise, чтобы развернуться там, и сколько времени потребуется Waymo, чтобы выйти в свет. Waymo длительное время проводила тесты в пригороде Сан-Франциско/Кремниевой долине (там базируется компания) и проводила несколько испытаний в центре Сан-Франциско.

Впрочем, в мире много мест, не сильно отличающихся от Финикса, так что если Waymo еще немного поработает, то сможет покрыть весьма значительный пласт территорий. Следует также отдать должное Cruise. Даунтауны – главный рынок для такси, а сервис пригородных поездок, неспособный добраться до центра, находится в неудобном положении. Waymo об этом прекрасно знает, так что гонка продолжается. Когда они вырастут, они будут учиться еще быстрее.

Для обозначения своих зон обслуживания Waymo использует карты, в то время как Tesla пытается автомобиль, который ездит на основе самых базовых карт. Подход Waymo позволяет компании значительно опережать Tesla, машины которой пользуются картами и не могут без них работать. Это не очень большая проблема для такси, потому что у них есть ограниченная зона обслуживания, покрытая картами. Проблема в том, что Tesla продает автомобили клиентам, которые будут на них ездить повсюду. Составление карт стоит денег, но оно явно дешевле строительства и содержания дорог. Если у вашей компании достаточно большой объем предоставляемых услуг, стоимость составления карты в пересчете на клиентский пробег незначительно. Более того, вы получите дополнительную добавленную стоимость и ускорите свое развитие на рынке.

У Waymo также есть оперативный центр, сотрудники которого следят за беспилотными машинами без водителей и дают им подсказки в непонятных (для систем) ситуациях. Сотрудники операционного центра не могут удаленно управлять автомобилями, а потому не могут предотвращать аварии. Помимо того, что они помогали избегать неправильных действий в сложных ситуациях, если бы у них была возможность осуществлять удаленное управление, они могли бы сыграть определенную роль в поддержании хороших показателей безопасности.

Достаточно ли данных?

Автомобили Waymo не попадали в серьезные аварии, и компания отрицает свою вину даже в незначительных инцидентах. Отчасти дело может быть в том, что их машины стараются ездить по дорогам с ограничением в 72 км/ч (или ниже), а также стараются пользоваться преимуществом простоты езды по пригороду, о котором шла речь выше. Поскольку несчастные случаи со смертельным исходом происходят в среднем происходят каждые 120 млн. километров (и каждые 290 млн. километров при езде по автостраде), можно утверждать, что 9.6 млн. километров пробега недостаточно для того, чтобы сделать выводы о смертности. В статье 2016 года от Rand утверждается, что для доказательства безопасности езды нужны миллиарды километров пробега (на этой неделе Rand опубликовали исследование, несколько смягчающее эту оценку).

Лучший подход – подходить не с точки зрения «доказательства безопасности», а количественно определять низкие риски (это близнец безопасности). При принятии решения о появлении и внедрении роботизированных автомобилей обществу нужно будет убедиться в приемлемости рисков, а не сводить их к нулю или стремиться к абсолютным доказательствам. В частности, важно понимать, что почти всегда в жизни не просто приемлемо, но и необходимо идти на риск – это может позволить получить значительную выгоду (особенно если выгода заключается в значительном снижении рисков в будущем).

Таким образом, Waymo не может утверждать, что их автомобили будут попадать в несчастные случае со смертельным исходом реже, чем каждые 120 млн, километров, поскольку у компании есть данные всего о 9.6 млн. километров (или 32 млн, если считать другие тестовые зоны, а также миллиарды километров пробега в симуляторах). Впрочем, компания может вполне обоснованно заявить, что риски значительной опасности их автомобилей достаточно низки. Кроме того, это быстро стало бы ясно по наносимому вреду (даже минимизированному).

С другой стороны, риски и опасности человеческого вождения хорошо известны, и они достаточно высоки. С каждым годом развертывание систем беспилотной езды откладывается все дальше, и тем дольше сохраняются все эти риски – с ужасными последствиями в виде 40 000 смертей в США каждый год. Ожидание определенности становится похожим на безумие, потому что мы уже прекрасно понимаем, насколько опасна альтернатива.

Будет это Cruise, Waymo или еще кому-то удастся провести поездки по оживленным городам с приемлемыми рисками, мы не хотим откладывать наступление этого дня. Все это стоит небольшого риска. Подумайте о том, что каждый, кто превышает скорость (то есть почти все) подвергает себя и всех остальных гораздо большему риску чем системы беспилотной езды, а ведь единственная выгода всех этих людей – попасть куда-либо на минуту раньше.

Что касается водителей-людей, то для них у нас есть тест DMV – полчаса вождения, и можно получить права. Мы идем на это, хотя знаем, что новоиспеченные водители-подростки куда более опасны, чем взрослые. Мы наверняка не уверены в том, что они «достаточно безопасны» (на самом деле, мы почти уверены, что это не так). В самом деле, поскольку за время, в пересчете равное восьми человеческим жизням, машины Waymo не совершали ошибок, приводящих к серьезным происшествиям, ни один человек пока не сравнится с ними по безопасности езды. Люди могут совершать серьезные ошибки, провоцировать серьезные аварии, явно обозначать свою опасность – и при этом сохранять свои водительские права.

Реальность такова, что мы (как общество) должны быть готовы пойти на разумные риски и позволить разработчикам делать то, что кажется очень рискованным, в небольших масштабах. Таким образом, когда они добьются значительных успехов и развития, им удастся значительно снизить риски в глобальных масштабах. Риски, на которые они пойдут на первых этапах, будут связаны с малыми автопарками и ограничены изначально. Но суть в том, что Waymo удалось доказать – больших рисков тут нет.

Зеленый свет для Waymo

Вскоре Waymo сделает доступными для широкой публики свои услуги в Чендлере. Их автомобили можно будет использовать как Uber, зачастую даже без водителя. Компания собирается вернуть всех пилотов, как только во всех транспортных средствах появятся антивирусные барьеры. Думаю, они готовы пойти дальше и выпустить все свои машины без водителей.

(Компания считает, что то, что она сделала в Аризоне – это уже реальное развертывание. Waymo позволила участникам тестовой кампании Waymo One Beta приглашать своих друзей, хотя им все еще нужно будет получить разрешение от Waymo, поскольку на этих новых участников не будет распространяться NDA. Я же считаю, что реальное развертывание выглядит как Uber – любой может скачать приложение и поехать. Впрочем, это очень сложно, поскольку компанию могут просто завалить запросами)

Близки ли к таким успехам другие команды? Мы не знаем. Столь подробных данных еще никто не публиковал. Перчатка брошена. Если Cruise, Zoox, Argo, Tesla и другие хотят сказать, что они в игре, то им нужно опубликовать такие же данные. Если они этого не сделают, то мы можем предположить, что они по какой-то причине этого боятся. Раскрывать внутренние секреты не требуется. Из данных можно извлечь ряд полезных выводов, и всем стоит ими делиться на благо отрасли.

Будет ли Waymo в развертывании столь смела, как описывалось выше? Вероятно, нет. Как я часто говорил, «людям не хочется умирать от рук роботов». Мы бы предпочли, чтобы нас убил пьяница. Мы ожидаем от машин-роботов совершенства, которое они не могут обеспечить, хотя от водителей-людей мы этого не ждем. Для людей риски, связанные с развертыванием систем Waymo, не прости низки, они ниже, чем риски их самостоятельной езды. И я говорю не только о сегодняшнем обществе. Предположим, что Waymo будет расти в зависимости от сроков запуска, и что если они запустятся через месяц, то еще через месяц компания значительно вырастет. Тогда математика подсказывает нам, что риск, который они предотвратят, на самом деле равен совокупности всех рисков людей, которые ездили самостоятельно все то время, пока Waymo была небольшой компанией, и он же будет равен рискам всех поездок за тот месяц, за который компания станет действительно большой. Если Waymo удастся взять на себя до 10% всех поездок в США, то откладывание развертывания на месяц будет приводить к 80 000 аварий и 250 смертям из-за того, что все эти люди будут ездить сами, а не пользоваться беспилотными машинами Waymo. И так каждый месяц задержки.

Откладывание развертывания Waymo аморально, как и любые регуляции, которые будут мешать компании.

• Первая в России серийная система управления двухтопливным двигателем с функциональным разделением контроллеров
• В современном автомобиле строк кода больше чем…
• Бесплатные онлайн-курсы по Automotive, Aerospace, робототехнике и инженерии (50+)
• McKinsey: переосмысляем софт и архитектуру электроники в automotive