安全性(Safety)是自动驾驶的首要目标和追求，但是在如下图所示的复杂场景中，人类司机会做出违反道路交通规则的限制的危险驾驶行为，从而达到快速通行的目的。对于自动驾驶车辆来说，如何在保证安全性的前提下，也能够处理如此复杂的道路交通环境呢？
1、如何定义车辆的安全驾驶能力(Driving Safely)
1.1 Miles Driven定义安全驾驶能力
一种常见的理论是自动驾驶汽车安全行驶的里程越多，它就越安全。但事实上，你在简单道路场景(右图)上安全行驶数十亿公里，也不能代表它能在复杂道路场景(左图)安全运行一公里；所以安全行驶里程数不足以成为界定自动驾驶安全能力的指标。
1.2 Disengagement定义安全驾驶能力
另一种常见的理论是自动驾驶车辆接管次数(Disengagement)越少，它安全驾驶的能力就越强。但是这种理论与Miles Driven理论一样，也与区域场景的复杂度(不同的位置、不同的时间等)有很大关系。选择简单的场景的路段，车辆接管次数就少；反之接管次数就多。所以接管次数(Disengagement)也不能成为衡量自动驾驶安全能力的指标。
1.3 Rules Obey定义安全驾驶能力
Rules Obey的理论认为：只要把所有的道路交通规则数字化，然后严格的保证按照交通规则驾驶，就可以达到安全驾驶的目标。但事实上，如下图所示，两辆车按照交通规则都拥有路权，即使它们各自严格按照道路交通规则行驶，交通事故也难以完全避免。
1.4 Collision Avoid定义安全驾驶能力
Collision Avoid理论的支持者认为：自动驾驶车辆在任何时候任何场景下都应该避免任意类型的碰撞事故。但是事实上，这种理论太过理想化。但如下图所示，如果自动驾驶车辆处于所有车辆的中间，这种事故无论如何都难以避免，即使是经验丰富的人类司机也难以处理这种场景。
2、Mobileye RSS模型定义车辆安全驾驶能力
我们如何找到一种衡量车辆安全驾驶能力的方法呢？我们可以看看人类司机是如何驾驶的？因为经验丰富的人类司机在没有酗酒、没有玩手机、集中注意力开车的时候，都是非常好的安全驾驶者。
我们对人类司机的驾驶行为进行分析，可以发现，人类司机的行为可以分为两部分:
1）遵守客观的交通规则 。比如按照红绿灯指示在路口停止线前停车，遵守道路限速约束，不能压黄线等等。这部分很容易理解，也很容易转化为机器可理解、可执行的控制指令。
2）遵守隐含的交通规则。仅仅严格按照客观的交通规则行驶是不够的，除了客观的交通规则之外，在人类司机的头脑中有另一套交通规则：与前车保持安全的距离；在视野受限的场景中小心驾驶；在快车道中不要开的太慢等等。这些规则不仅抽象，而且有的也跟地域、国家有关，比如同样在中国安全驾驶的行为到了美国可能就不一定属于安全驾驶了。
我们的挑战在于如何将这些隐含的规则数字化，转化成机器可解释、可执行的控制指令，并且能够适应地域和文化的差异。为了解决这一问题，Mobileye提出了责任敏感安全模型(Responsibility Sensitive Safety，RSS)。
责任敏感安全模型(Responsibility Sensitive Safety，RSS)将这些隐含的规则数字化，并在自动驾驶的Decision-Making模块中检查这些规则以达到与人类一样的安全驾驶的效果；同时RSS也提供了一种安全驾驶能力衡量的Benchmark，政府或者其它社会组织可以利用它来衡量自动驾驶车辆的安全自动驾驶能力，当车辆可以处理指定的RSS集合的时候，就可以认为它符合安全驾驶的能力，就可以给它颁发牌照，反之就禁止它上路。
RSS包含三个部分:什么是危险场景；什么情况下触发危险场景；应该对危险场景做出何种响应；通过对驾驶场景的描述，它提供了一种车与车、车与人、车与环境之间安全交流的一种途径，保障了车辆的安全驾驶。
下面是Mobileye提出的五条安全驾驶的逻辑规则：
这五条规则对于人类驾驶司机应该都比较熟悉了，基本都是人类司机安全驾驶的基本规则。要与前车保持车距，避免追尾；安全的进行车道汇入或者换道行为；不要违规占用其它车辆的路权；在视觉受限的区域保持小心驾驶；如果能够在不造成新的事故的条件避免当前可能发生的碰撞事故，Do It！
我们把这些隐含的交通规则转换成机器可理解的、参数可调的安全模型，从而指导车辆安全驾驶。
3、责任敏感安全模型(Responsibility Sensitive Safety)
Responsibility Sensitive Safety(RSS)的定义可以分为三个部分：1、Formalize Safety Driving。安全驾驶行为需要定义在车辆周围的横向和纵向的安全距离。与人类司机一样，人类司机在驾车时，它也要时刻注意自己前后左右的车距，当有其它车辆插入或者前车加速时，他会采用减速刹车等行为来维持安全车距。2、Identity Dangerous Situation。定了车辆横向和纵向的安全距离之后，就可以定义什么是危险的驾驶场景，以及何时启动应对危险驾驶场景，如何应对危险驾驶场景。3、Execute Appropriate Response。执行对应的危险场景应对策略，恢复到安全驾驶场景。
如何定义安全驾驶呢？以跟车为例，在前车突然刹车的场景，后车应该保持多大的车距才能避免发生碰撞事故呢？要保证在前车以最大的刹车的情况下，仍能避免碰撞的发生。如下的公式所示。
危险场景如何定义？当横向或者纵向的距离小于阈值，就意味危险场景要出现了，这时候就要需要触发该安全模型的Response避免危险模型出现。
执行Reponse避免危险场景出现。对于上图所示的车辆汇入的场景，后车的Reponse为减速允许灰车汇入进来，从而解决化解可能出现的危险，达到安全驾驶的目的。
4、Gap Between Life Safety And Psychological Safety
RSS从技术上解决了Life Safety的问题，它们可以避免自动驾驶车辆发生交通事故，避免出现碰撞其它车辆或者行人。但是Psychological Safety也同样重要，因为如果乘客不信任我们的自动驾驶车辆，或者由于难以忍受的驾乘体验而不愿乘坐自动驾驶车辆，自动驾驶仍然难以大规模部署或者普及。
据统计，75%的被采访的美国乘客表示，它们害怕乘坐自动驾驶汽车。里面的原因可能在于，他们有了不舒服的乘坐体验，但是他们又不了解造成这些不舒服的原因，所以觉得难以完全信任自动驾驶汽车，毕竟这是让他们把自己的生命放心的交给一台机器。Mobileye对自动驾驶的乘客做了很多调研，以便查清楚到底需要做那些事情才能解决乘客对自动驾驶的信任问题。
经过调查发现，人们对于自动驾驶的不信任原因主要集中在如下七个方面：
比如，人们可能认为自己是经验丰富的老司机，能够处理任何复杂的情况，很难相信一台机器能比自己开车开的更好；另一方面他们的又能够理性的认为，机器开车从不会疲惫，不会被别的手机或者其它的东西导致不专心。一些乘客认为需要尽可能展示给它所有的信息，让自己能够知道车辆到底看到了什么，它是怎么处理的，它的处理是否可靠；另一方面，海量的信息又让乘客难以承受等等。
基于这些调研结果，引入RSS Concept Experience来搭建Life Safety和Psychological Safety之间的桥梁，让乘客能够信任我们的自动驾驶系统，从而可以放心的乘坐自动驾驶车辆，而不用担心他们的生命安全。
乘客如何能够信任自动驾驶系统，如何能够知道车辆在安全行驶呢。如下图所示，乘客可以随时看到车辆当前的状态和目前生效的RSS模型，随时了解车辆做什么，为什么这么做(How It Works VS Proof it Works)。
当车辆处理完突发事件之后(比如避让突然闯入的行人的急刹等)，会在RSS HMI的右上角回放刚刚发生的状况，告诉乘客为什么会产生这种不舒服的驾驶行为，车辆是如何处理这种场景的。让乘客能够了解车辆的工作机制，同时又不至于需要时时关注，被繁杂的自动驾驶输出信息所累(Make Me Aware VS Unberden me from being Aware)。
通过诸如此类的方法和手段，RSS可以很好的解决Psychological Safety的问题
