5月20日，图灵奖得主Joseph Sifakis应邀做客华东师大大师讲堂，为师生们带来了题为“Autonomous Systems-A Rigorous Architectural Characterization（自主系统——严谨的架构描述）”的学术报告，与师大师生及业界人士畅谈如何理解“自主系统”。

中科院院士、华东师大计算机科学与软件工程学院院长何积丰主持该项活动。

2007年，Joseph Sifakis被美国计算机协会（ACM）授予有“计算机界的诺贝尔奖”之称的图灵奖，以表彰其在模型检查理论和应用方面做出的卓越贡献。Joseph Sifakis是法国国家科研中心荣誉研究员、格勒诺布尔市Verimag实验室创始人，法国科学院院士、法国国家工程院院士、欧洲科学院院士、美国艺术与科学学院院士及美国国家工程院院士。研究领域主要包括系统设计的基本概念和应用，主要专注于系统设计的形式化，即根据特定的要求实现可信赖、最优化且构造正确的系统。

Joseph Sifakis首先介绍了自主系统的概念和基本组成（“智能体” Agent ，“对象” Object，“环境”Environment），提出“自主”是实现物联网愿景的关键所在。所谓“自主”，即在将智能服务更好地集成于系统的同时，最大限度地减少人为干预。通过使用温控系统、自动控制列车、象棋机器人等常见的应用实例，Joseph Sifakis解释了自主系统如何“自主”实现既定目标，并基于自主系统的发展现状，提出了下一代自主系统的主要特征以及面临的制约与挑战。

Joseph Sifakis着重讲述了他提出的一种结合系统构架模型和智能体模型的通用计算模型，该模型可以调理自主系统中“智能体” (Agent) 和“对象” (Object) 的关系，使得系统在不同的突发环境条件下，能够独立实现动态、可重构的多模式协调，从而自主完成任务。Joseph Sifakis提出的通用模型结合了五个维度，分别是感知、知识库、目标管理、规划和自适应，这五个维度构成了“自主复杂性”的概念。随后，他以美国汽车工程师学会（SAE）对自动驾驶的6个不同程度的自动化分级为例，形象对比了机器自主和人类辅助机器自主之间的差距，说明了构建自主系统的难度。

Joseph Sifakis 从自主复杂性、设计复杂性、反应复杂性和架构复杂性等方面，讨论了自主系统面临的复杂性问题。在他看来，严格的自主系统设计应该重视准确性并严格遵循开发流程，以达到“可信赖”(Trustworthiness) 的目标。在自主系统的构建中，不论是人工智能还是机器学习技术，都是不可或缺的，但现有的机器学习技术在模型的正确性证明方面仍有局限性。

同时，Joseph Sifakis 对其研究成果进行了概述：“自主”作为一种广泛的智能，不应只局限于特定的实现技术，而应强调系统的功能设计；“可信赖”的自主系统构建远远超过目前人工智能系统所面临的挑战，并发起了对下一代自主系统标准的讨论。

演讲结束后，现场师生进行了踊跃提问，如如何看待最近的波音737-MAX自动驾驶功能异常；智能化算法愈加复杂的情况下，如何保证机器学习的安全性；采用何种模型来规约“知识”，以及未来实现实时自动系统的关键是什么等问题，Joseph Sifakis都给予了耐心细致的回答。

大师与师大师生的对话：

客座教授Jean Raymond Abrial院士（2016年国家国际科技合作奖和2018年政府友谊奖获得者）：最近关于波音737-MAX自动驾驶功能异常，使用您的通用计算模型是否可以解决或者处理这个问题？如何从科学和经济学的角度来考量这个问题？

Joseph Sifakis：这是个非常好的问题。从已有先例来看，如今工程师在设计系统时较少考虑人和系统的交互，这是个非常重要的问题。在自动系统中，要通过人和系统的合作共同完成同一个任务。系统可以整合复杂的场景信息，然后将控制权交给人。有些人认为与其关注人和系统共同控制的自动驾驶（自动化级别较低的驾驶），还不如全自动驾驶。在未来，如果人们都拥有全自动车辆，处理起来跟简单，我也认为的确如此。

马利庄教授（国家杰出青年科学基金获得者）：我们正在做关于智能机器的研究，也和自动驾驶紧密相关。自动驾驶很复杂，需要越来越智能的算法，并且要求它可以自修改，而算法也越来越复杂，怎么保证它的安全性？

Joseph Sifakis：这也是我讲座中最原始的问题，正是因为系统有越来越多危险因素，所以要把大型的问题分解成子问题来解决，就像智能体架构图所展示的认知模块，反映模块等模块，系统输入通过多个模块得到输出。我的看法是，我们需要机器学习方法，去探测和分类信息，以在决策中保证安全。

李钦副教授：您采用哪种模型来规约知识（knowledge）？

Joseph Sifakis：首先要清楚什么是知识，知识有哪些类型。典型的知识是一些假设，用来解释知识；而数学意义上的知识是更高层次的知识，对于知识的认知，类似于“我知道一个事实”。机器学习的知识是介于典型知识和认证过的知识之间。它的问题在于，AI系统可以预估一些可能现象，但是难以解释它是如何得出结论的，这是个黑盒（Black Box）问题。

张民副教授：您以为形式化方法在自治系统的开发中应起到什么样的作用，自治系统的可靠性需要什么样的新的形式化方法？

Joseph Sifakis：首先我们应该回答什么是形式化方法。形式化方法是验证模型是否满足某种特性，而自治系统或者智能系统的特点是没有模型，没有模型，我们能验证什么呢，基本是没有希望的。我们需要找到目标系统的一些基本规律，才能理解这个黑盒的行为，在一定程度上可以提高其可解释性。

曹桂涛副院长：我想代表学生问您一些问题，要如何找到自己感兴趣的领域？以何种态度对待科研才能提升我们的科研能力，甚至像您这样获得图灵奖呢？

Joseph Sifakis：实际与理论脱节是有一定的危险的，尤其在高校当中更存在危险。有人认为软件工程与计算机科学之间关系不大，但其实不是这样。如果你和如今的软件工程师交流，你就会发现他们对程序间的差异并不十分了解。在企业界，开发系统往往十分迅速，较为仓促。而对我来说，系统工程及软件工程中一个极其重要的观念就是要能确认，任何好的系统都需要建立在一个好的架构之上。学生应该要学会如何设计好的结构，当然这需要大量的、持续的练习。我认为对当今学生们而言，他们所面临的挑战不是如何成为一个好的程序设计员，而是如何成为一个好的系统工程师。

许巾一（学生）：您认为异构计算，算法优化，和将来可能到来的计算机体系结构革命，三者中哪一种会成为未来实现实时自主系统的关键？

Joseph Sifakis：要设计控制目标与时间的自动控制器，问题有两个，第一个是如何管理目标以找到最佳可行目标，需要选择目标并制定方案，来确定如何解决问题。第二个是对于优化问题，要有经过计算的方案。如果有了方法，那么对于GPU就需要一个媒介来告诉你可以使用快速计算设备进行加速，例如FPGA。但这样的实时操作会造成一些问题，谷歌的技术员们也一直在进行研究，寻求最佳解决方案。这往往需要长时间的训练，但一旦对系统进行训练，实时响应就没有问题了。

王宏泽（学生）：关于自动驾驶系统，目前主流的方法是基于深度学习的。然而也有一些团队致力于使用形式化方法来实现自动驾驶系统。请问您如何看待这种基于形式化的方法？您认为他们能够成功吗？

Joseph Sifakis：基于形式化方法实现自动驾驶系统的努力是值得肯定的，有价值的。但是我们应该结合深度学习和形式化方法。如果能够拥抱AI，我觉得他们会成功的。