«Этот грузовик, – писал Браун на YouTube, – вообще не видел мою Tesla. Я тоже, честно говоря, не смотрел в этом направлении… Опасность осознал только тогда, когда Тесси включила звуковой сигнал “Немедленно возьмите управление”… Это была ошибка второго водителя… Тесси прекрасно справилась… Я впечатлен. Молодец, Илон!»
Генеральный исполнительный директор Tesla Илон Маск увидел ролик и поместил ссылку на него в твиттере, так что его увидели миллионы подписчиков. Браун был в восторге. «@elonmusk заметил мой ролик, – писал он со своего аккаунта @Nexuinnovations. – Мои тесты, поездки, разговоры увидело и услышало так много людей, я на седьмом небе!»
В первую неделю мая 2016 года Браун отправился в Орландо. Вместе с семьей он собирался отдохнуть и посетить Disney World. В ту субботу, седьмого мая, он решил съездить на рабочую площадку в Седар-Ки, штат Флорида. Закончив дела там, он направился на своей Tesla к месту следующей встречи, на этот раз – в Северной Каролине. По мнению следователей, он ехал по дороге штата Флорида номер 24 (SR 24) до города Бронсон, где повернул на восток на дорогу U.S. 27A, которая вскоре превратилась в обычную дорогу с двумя полосами в каждую сторону и разделителем посередине, какие часто встречаются в сельской местности, с поворотами налево и пересечениями со второстепенными дорогами. Автомобиль оттуда может въехать на трассу, только остановившись у знака «Движение без остановки запрещено». Из 41 минуты, которые Браун провел на SR 24 и U.S. 27A, автопилот был задействован в течение 37. За это время было семь случаев, когда программное обеспечение Tesla сообщало водителю о необходимости взять управление при помощи визуальных и звуковых сигналов. Согласно отчету NTSB, руки Брауна при этом находились на руле всего 25 секунд.
Браун повернул на дорогу U.S. 27A примерно через 35 минут с момента отъезда. Спустя 4 минуты он увеличил скорость до 74 миль в час (ограничение скорости на U.S. 27A составляет 65 миль в час). Через одну минуту и 51 секунду, в условиях хорошей видимости, Браун и Tesla достигли верхней точки подъема, и в то же самое время седельный тягач с полуприцепом выехал со второстепенной дороги на U.S. 27A. Tesla не остановилась, даже не сделала попытки затормозить. Автомобиль Брауна ударил полуприцеп в пространство между тягачом и колесами. Его нижней частью с Тесси сорвало крышу. Подушки безопасности не сработали, поскольку скорость оставалась прежней. Машина прошла под трейлером, съехала с трассы направо и, проскочив несколько лужаек и заборов, наконец врезалась в столб и остановилась. Браун погиб мгновенно еще при первом ударе.
Трагическая смерть Брауна стала первым значительным кризисом, который довелось пережить мобильной революции, кризисом, вызванным сомнениями в ее безопасности. Мало кто услышал об аварии сразу после того, как она случилась. Прошло больше чем полмесяца, прежде чем люди осознали, насколько важно разобраться до конца в причинах трагедии. В конце июня NHTSA начало расследование этого инцидента с целью установить виновника. Понимал ли автопилот, что авария неминуема? Предупредил ли он водителя? Если да, почему тот оказался неспособен предотвратить столкновение? А если не предупредил, то почему?
Поиском причин гибели Джошуа Брауна занимались многие. Дорожная полиция штата Флорида, NHTSA, NTSB, многие медиа опрашивали свидетелей и искали любую другую информацию, пытаясь восстановить последовательность событий. Поучаствовать умудрилась даже Комиссия по ценным бумагам и биржам (Secutites and Exchange Commission, SEC), направившая в Tesla запрос, известила ли она своевременно инвесторов об аварии. Фрэнк Баресси, водитель грузовика, выехавшего на дорогу перед машиной Брауна, заявил репортерам, что ее не видел.
NHTSA в ходе расследования смоделировало происшествие и пришло к выводу, что Браун мог видеть грузовик свыше десяти секунд перед ударом. Но отсутствие тормозного следа показывает, что водитель не отдавал себе отчета в неизбежном столкновении, а последующее расследование заключило, что «Браун не предпринял никаких действий, чтобы избежать аварии: не тормозил и не пытался отвернуть». Вывод был очевиден: Браун настолько доверял возможностям автопилота своей «Тесси», что совершенно не следил за дорогой.
Но почему тогда автопилот не заметил приближающийся грузовик? Следователь NHTSA Карим Хабиб подтвердил, что автоматическая система экстренного торможения не выдавала никаких предупреждений перед ударом. На что же годится технология, не способная остановить машину перед огромным тягачом с полуприцепом, который даже водитель мог видеть минимум десять секунд?
Летом того же года сотрудники Tesla, выступая перед Комитетом по энергетике и торговле Конгресса США, заявили, что у компании есть два возможных объяснения происшедшему. Первое: радар и камера не увидели яркой белой поверхности грузовика на фоне неба, поскольку день был солнечный. Второе: датчики все же зарегистрировали грузовик, но посчитали его безопасным препятствием, например нависающим над проезжей частью дорожным знаком или мостом.
Последующие разбирательства со стороны NTSB и NHTSA показали, что примененная в Tesla система автономного вождения просто не была рассчитана на ситуации, когда автомобиль приближается к другим транспортным средствам со стороны бортов. Она предназначалась для автомагистрали с четко обозначенными полосами, оснащенной въездами и съездами, где стены, экраны или зеленые насаждения отсекают все, что могло бы двигаться перпендикулярно траектории управляемого автомобиля. Подобные условия можно встретить, например, на шоссе между штатами. Вывести машину на подобную магистраль и только потом включить автопилот было обязанностью человека. Автопилот же предназначался только для того, чтобы избавить водителя от рутины управления на шоссе, то есть был аналогичен круиз-контролю. Частично его функционирование строилось на умении классифицировать объекты, находящиеся вокруг автомобиля. Он был обучен распознавать изображение тысяч грузовиков и легковых машин сзади. Важно, что на момент аварии с участием Брауна система в принципе не умела распознавать их в профиль. Да и зачем? Система шоссе между штатами, для которой разрабатывался автопилот, специально строилась так, чтобы на ней не было перекрестков. Представить себе сценарий, в котором в поле зрения датчиков оказывается борт другого автомобиля, было сложно.
На момент аварии Tesla использовала в автопилоте компоненты, произведенные израильской фирмой Mobileye NV, специализирующейся на передовых решениях для помощи водителю на дороге. Ее продукт Mobileye EyeQ3, применявшийся Tesla, не защищал от столкновений двух типов – как раз тех, которые имеют тенденцию происходить на перекрестках. В первом транспортное средство движется перпендикулярно управляемому автомобилю и оказывается на его пути, а во втором – выполняет поворот налево и опять-таки пересекает траекторию машины с автопилотом. Как говорит отчет NHTSA, «изображение, задействованное в ДТП во Флориде (то есть борт трейлера) не содержало препятствия с точки зрения набора данных Mobileye EyeQ3».
Поэтому следователь NHTSA заключил, что технология Tesla работала в принципе нормально. «Возможности системы соответствуют наиболее передовым, имеющимся в отрасли», – писал он. Причина аварии состоит в том, что «торможение перед препятствием, пересекающим траекторию управляемого транспортного средства, как это имело место в ДТП во Флориде, лежит за пределами заложенных в систему возможностей». То же самое было верно в отношении и всех остальных систем помощи водителю, помимо продукта Tesla. Ни один из продуктов Mobileye, применяемых другими автопроизводителями, то есть системы, установленные на Infiniti Q50, Mercedes-Benz S65, BMW 50i, Audi A7, Volvo XC60, не защитил бы в подобных обстоятельствах.
Иными словами, ситуацию можно было описать так: Tesla предлагает потребителю продукт, неспособный предотвратить ДТП двух важнейших типов. Она предпринимает шаги, чтобы защитить себя от юридической ответственности. Например, инструкция предупреждает, что один из компонентов Autopilot под названием Autosteer разработан только для использования «на автомагистралях и дорогах с ограниченным числом въездов под непрерывным контролем водителя». Но сколько владельцев в самом деле видели это предупреждение? Как позже заметил член NTSB Кристофер Э. Харт, «оно дается без учета того очевидного факта, что практически никто из владельцев автомобилей и еще меньшее число людей, владельцами не являющихся, читает инструкцию. Некоторые, может быть, заглядывают в нее дважды в год – когда нужно перевести часы на летнее время и обратно». Если бы Tesla доносила информацию об ограничениях на автономное вождение способом, имеющим больше шансов достичь адресата, это было бы совсем другое дело.
По моему мнению, сама Tesla заложила в своей технологии многие предпосылки этой аварии. Одна из них и наиболее очевидная – это само название продукта: Autopilot. Уже после этих печальных событий аналитик Morgan Stanley Адам Джонас предложил компании перестать использовать это слово, «поскольку оно потенциально создает проблему потребительских ожиданий и может привести к моральному ущербу». Посвященный защите прав потребителей журнал Consumer Reports задался вопросом, не пытается ли Tesla «создать у покупателей опасную иллюзию, что машина способна к полностью автономному управлению».
«Многие автопроизводители внедряют подобные полуавтономные решения в свои машины, но Tesla ведет себя гораздо агрессивнее остальных, – писал Consumer Reports. – Это единственный производитель, позволяющий владельцам не держать руки на руле в течение значительного времени, и недавняя катастрофа с летальным исходом ясно подчеркивает все заложенные в такую политику риски». Consumer Reports, так же как и Джонас, призвал Tesla перестать называть систему Autopilot.
Помимо неудачного выбора названия, Tesla недостаточно информировала владельцев о заложенных в систему ограничениях. Со стороны водителя разумно предполагать, что автомобиль, способный адекватно вести себя в пробке на шоссе, может должным образом отреагировать на такое крупное препятствие, как тягач с полуприцепом. На момент аварии с участием Брауна Tesla говорила, что ее продукты автономного управления предназначены для использования на шоссе с ограниченным числом въездов. Поскольку Браун, по-видимому, активировал автопилот как на SR 24, так и на U.S. 27А, ни одна из которых дорогой с ограниченным количеством въездов не является, он определенно не был в курсе этого запрета.
В-третьих, в случае с Брауном ситуация особенно непростительна, поскольку сам Маск делал перепост его видео. На том, которое он перепостил, машина в самом деле движется по дороге с ограниченным количеством въездов. Знал ли Маск, что аккаунт Брауна на YouTube содержит другие ролики, где Браун пользуется автопилотом на узких, извилистых двухполосных дорогах, для которых система не предназначена? Перепост даже одного видео Маском мог быть воспринят как знак одобрения всем предыдущим действиям Брауна.
Оглядываясь назад, я прихожу к выводу, что со стороны Tesla было предельно неосмотрительно выпускать на рынок систему, позволяющую водителю подолгу не держать руки на руле, но при этом неспособную защитить от аварий нескольких типов, важных для тех дорог, на которых водитель эту машину использует. Ролики Брауна на YouTube означают, что в компании о попытках применения автопилота на не предназначенных к тому дорогах знали.
Всего через несколько недель после того, как происшествие с Брауном стало достоянием гласности, поставщик компонентов для систем автономного управления, Mobileye, разорвал отношения c Tesla. Причиной послужило, как пояснил председатель совета директоров и технический директор Амнон Шашуа, «пренебрежение ограничениями на продукт, наложенными из соображений безопасности».
Решение Mobileye, примененное Tesla в разбившемся автомобиле Model S, «не предназначено для обработки всех возможных аварийных ситуации безопасным образом, – сказал Шашуа в интервью Reuters. – Как ни крути, это система помощи водителю, а не управления без водителя». Последние слова мне хотелось бы особо подчеркнуть.
Шашуа заявил, что из-за аварии Брауна и повышенного внимания к ее причинам со стороны специалистов и прессы его компания вынуждена реагировать на противоречивые заявления Tesla – в частности, он напомнил, как Маск и его фирма хвастались автономными возможностями технологии, в то же время предупреждая владельцев не сводить глаз с дороги и не снимать рук с рулевого колеса. «Если компания с нашей репутацией будет и дальше ассоциироваться с подобным пренебрежительным отношением к ограничениям, наложенным из соображений безопасности, то в долгосрочной перспективе это плохо скажется как на нас, так и на отрасли в целом. Скажется очень вредно».
Для полемики между крупными компаниями это обвинение было необычно жестким и конкретным. Tesla заявила, что Mobileye якобы просто узнала о том, что Tesla собирается выпустить на рынок систему компьютерного зрения собственной разработки, и раздражена этим. Ответ Mobileye был весьма болезненным. В ее пресс-релизе говорилось, что еще в 2015 году, за год до гибели Джошуа Брауна, Шашуа выражал Маску свои «опасения относительно безопасности» системы в режиме «без рук». «После личной встречи, – говорилось в релизе Mobileye, – генеральный директор Tesla подтвердил, что активация автопилота будет возможна, только когда водитель держит руки на рулевом колесе». Даже после этого Mobileye продолжала просить Tesla занять более сдержанную позицию в маркетинге Autopilot.
На той же самой неделе, когда компании Tesla и Mobileye обменивались словесными ударами, первая из них провела обновление программного обеспечения Autopilot с целью заставить водителей внимательнее следить за дорогой. Например, если автомобиль двигался со скоростью свыше 70 км в час больше минуты и других машин перед ним не было, звучал сигнал, напоминающий положить руки на рулевое колесо. Если водитель трижды игнорировал предупреждение в течение часа, автопилот отключался до парковки автомобиля. Маск заявил, что это обновление, также расширявшее возможности радара, могло бы предупредить гибель Брауна. Сомнительно, впрочем, что беспокойство Mobileye и других информированных наблюдателей могло бы быть этим удовлетворено.
Из гибели Джошуа Брауна я сделал несколько выводов. Tesla вообще и Илон Маск в частности известны привычкой обещать больше, чем возможно, а делать меньше, чем обещано. Их история с автопилотом укладывается в эту тенденцию. Будучи горячим сторонником технологии автономного управления, я рад, что Ларри Пейдж и Сергей Брин начали финансировать ее разработку задолго до того, как Илон Маск задумался об автоматизации автомобилей. Google испытывала свои машины на дорогах общего пользования семь лет без единой аварии по их вине. Когда авария все же произошла, дело ограничилось помятым крылом на скорости 3 км в час. Такой результат оказался возможен только благодаря культуре безопасности, принятой в Chauffeur, и исключительной команде водителей-испытателей и инженеров. Маск и Tesla вывели на рынок свою систему Autopilot в октябре 2015 года, и меньше чем через семь месяцев она записала на свой счет ДТП со смертельным исходом. Можете представить себе, как развивались бы события, если бы это случилось в Google в первые семь месяцев с момента начала испытаний в 2009 году? Ни столпотворения желающих на рынке автономной мобильности, ни энтузиазма вокруг технологии – ничего этого бы не было.
К счастью, раздражение общественности из-за той катастрофы не достигло того уровня, которого мы опасались. На самом деле каждый раз, когда самоуправляемый автомобиль оказывается участником аварии с жертвами, трезвая оценка обстоятельств происшествия регуляторами и на удивление взвешенное освещение в медиа позволяют превратить кризис в шанс донести до общественности информацию об ограничениях технологии автономного управления и о выгодах, которые она сулит.
Работа продолжается
Ничего не закончилось, пока и в самом деле не закончилось.
Йоги Берра
В октябре 2017 года, ровно в десятую годовщину победы на DARPA Urban Challenge, Университет Карнеги – Меллона пригласил членов своих команд, работавших над созданием самоуправляемых автомобилей, в Питтсбург, чтобы отметить этот юбилей. Кроме того, для всех участников это была прекрасная возможность поговорить в рабочих группах о прошлом, настоящем и будущем автономной технологии. Ред Уиттакер был так любезен, что пригласил меня на эту встречу. Она прошла прекрасно и завершилась приемом в Консерватории Филипса. Для меня, а также для людей типа Урмсона и Салески она дала возможность оглянуться и задуматься, как далеко мы ушли, насколько продвинулись по избранному когда-то пути.
Один из самых приятных моментов для Уиттакера в роли распорядителя на приеме наступил тогда, когда заслуженный профессор робототехники сообщил, что Спенсер Спайкер нашел решение загадки двенадцатилетней давности: из-за каких же неполадок в двигателе Highlander пришел третьим на соревнованиях DARPA Grand Challenge в 2005 году.
Несколькими днями ранее Спайкер чистил мотор, чтобы машину не стыдно было выставить в кампусе во время встречи. Он случайно нажал коленом на электромагнитный фильтр, предназначенный для защиты системы зажигания от помех, и двигатель заглох. Странно, подумал Спайкер. Покопавшиь в механизме какое-то время, он выяснил, что именно фильтр, видимо, пострадавший от переворота машины, и вызывал неустойчивую работу двигателя. Уиттакер вручил Урмсону тот самый фильтр, небольшую деталь, размером меньше кубика Рубика. «Если бы знать это двенадцать лет назад», – сказал он. Затем он посмотрел на человека, который когда-то был его начальником, и улыбнулся: «Но не думаю, что я стал бы что-то менять. В конце концов, для нас все обернулось к лучшему».
Тот же вывод я отнес и к самому себе. В те времена, когда проходили соревнования (да и в последующие годы тоже), инженеры, работавшие над самоуправляемыми автомобилями и другими проектами, призванными сократить нерациональное использование ресурсов в автомобилестроении или трансформировать индивидуальную мобильность, часто испытывали разочарование, поскольку общество в целом и автомобильная индустрия в частности не желали или не могли увидеть перспективы их работы. Я тоже чувствовал разочарование, когда, например, мне сокращали бюджет на перспективные исследования или пресса не понимала предназначения концепт-кара.