Waymo无人车报告：通往自动驾驶之路

　　前不久，Waymo（前Google自动驾驶项目）向美国交通部提交了一份43页的安全报告，这份报告详细说明了Waymo如何装备和训练自动驾驶车辆，从而避免驾驶中的一般和意外情况发生。这份报告是Waymo以第一视角，对自己自动驾驶技术的最完整解读。Waymo可能最快今年11月上线自动驾驶打车服务。在自动驾驶走向商业化之际，Waymo的这份报告不仅是对自己八年开发的总结，也彰显了它对自己及新技术的信心。或许我们将迎来一个自动驾驶的新世界，这份报告则是一个起点。 　　以下是Waymo报告完整中文版，由雷锋网作者张驰、李秀琴、张梦华、李天使、高宇、Brian Chan、陈浩、张丹丹、刘聪联合编译。 　　以下为报告全文： 　　自动驾驶汽车能够改善道路安全并给上百万人提供新的移动出行方式。不管是上下班通勤、接送孩子上学还是挽救生命，全自动驾驶车辆都有着巨大的潜能——因为它能使人们的生活变得更好。 　　安全是Waymo的核心任务，这也是我们在八年前就成立谷歌自动驾驶项目的目标。 　　每年，全世界有120万生命死于交通事故。在美国，这种因事故死亡的数量还在增加。 一个常见的现象是94%的交通事故都是由人为失误造成的。我们相信，Waymo的技术每年可以拯救上千个在交通事故中失去的生命。 　　我们对安全的承诺反映在我们所做的每一件事情中，从谷歌的文化到如何设计和测试这项技术。在Waymo自动驾驶技术的安全报告里，我们详细阐述了Waymo的工作：安全。 　　这个关于安全系统的概论强调了Waymo自动驾驶汽车在350万英里实测所积累的数据里程，以及在上千万英里的模拟驾驶中所学到的重要经验和教训。 　　Waymo的安全报告也影响了美国交通厅发布的联邦政策框架：《自动驾驶系统2.0： 安全驾驶的愿景》（Automated Driving Systems 2.0: A Vision for Safety ）。交通厅的框架列出了12点安全设计元素，并鼓励各公司测试并且部署各自的自动驾驶系统来解决相应的领域。 　　在这个报告中，我们将列出与每一个安全设计元素相关的流程以及他们是如何支撑整个自动驾驶车辆的研发、测试和部署的。 　　全自动驾驶汽车只有在安全的情况下才会被大众的所接受。这也是为什么我们一直以来都在研究安全课题。总而言之，我们的自动驾驶汽车将实现更安全的交通和更多样的机动性，以此来更好的服务广大民众的需求。 　　报告内容主要分为五部分： 　　一、系统安全程序：安全的设计 　　二、Waymo的自动驾驶车辆如何运作 　　三、测试及验证方法：确保车辆安全有效 　　四、与人群安全互动 　　五、总结 　　作为第一家在公共道路上完成自动驾驶的公司，Waymo一切都得自己来。 　　在Waymo成立之初，我们建立了自己的系统安全计划，这一安全理念一直根植在我们的技术测试和开发流程中。这个项目是一个全面并且稳健的，我们称之为：安全设计。 　　安全设计意味着我们从地面上考虑安全性，并将安全性纳入每一个系统层级和每一个开发阶段，从设计到测试和验证。这是一个多管齐下的方法，建立在包括航空航天，汽车最佳实践和防御系统等多个行业中。 　　根据这些实践，我们对自动驾驶车辆的各个部件进行了强有力的测试，以确保所有子系统作为完整的自驱动系统集成时，能够安全地运行。 　　这个方法还可以帮助我们验证车辆是否作为全自动驾驶汽车安全地行驶在道路上。同时我们还可以了解系统部件、子系统或其他方面的任何变化或故障，以及在整个自动驾驶系统中所引起的变化。 　　这个过程激发了Waymo许多关键安全功能的产生，包括冗余的关键安全系统，使车辆在技术故障时安全停止，随着多传感器的使用和广泛开展的测试程序，以使我们进行快速的技术改进。 　　Waymo的系统安全解决方案 　　我们的系统安全计划涉及5个不同的安全领域：行为安全、功能安全、碰撞安全、操作安全和非碰撞安全。每一个领域都需要各种测试方法的组合，这些测试方法可以让我们验证全自动驾驶汽车的安全性。 　　行为安全 　　行为安全是指车辆在道路上的行驶决策和行为。正如人类驾驶员，自动驾驶车辆也要遵守交通规则，必须在各种情况下安全地导航——无论是预料中的还是意外的。 　　Waymo运用功能分析、仿真工具和道路驾驶，以充分了解在我们的业务设计领域提出的挑战，并制定安全要求和多管齐下的测试和验证过程。 　　功能安全 　　功能安全旨在确保我们的车辆安全运行，即使有系统缺陷或故障。这意味着要建立备份系统和冗余机制来处理意外情况。 　　例如，我们所有的自动驾驶车辆都配备了第二台计算机——在主计算机出现故障时可立刻接管车辆，使车辆安全停车（即最小风险条件）。我们的每一辆车都有备用转向和制动，整个系统还有其他许多冗功能。 　　碰撞安全性 　　碰撞安全性，即耐撞性，是指车辆通过各种措施保护车内乘客的能力，从保护车内人员的结构设计到具有座椅约束和安全气囊的功能，以减轻伤害或防止死亡。 　　碰撞安全性是由美国联邦机动车辆安全标准（FMVSS）定义的，由美国国家公路交通安全管理局（NHTSA）发布。汽车厂商必须证明他们的基础车模型满足FMVSS要求。 　　操作安全 　　操作安全是指我们的车辆和乘客之间的互动。有了操作上的安全，我们可以确保消费者在自动驾驶车辆中拥有安全舒适的体验。 　　我们建立安全产品的方法是通过危险分析、现有安全标准、广泛测试和各种行业的最佳实践而得知的。例如，通过我们早期的乘坐项目（在4节中进一步介绍），我们已经开发和测试了一种能使乘客可以清楚地表明目的地，指挥车辆靠边停车，并联系Waymo的用户界面。 　　非碰撞安全 　　我们针对可能与车辆相互作用的人群进行物理上的安全处理。例如，电子系统或传感器的危害，可能会对乘员、车辆技术人员、驾驶员、急救人员或旁观者造成伤害。 　　安全流程 　　为了减少潜在的内部风险，必须在设计中强调安全性，然后进行验证以证明安全风险已降低到可以确定的水平。 　　我们的方法从识别危险场景和潜在风险的缓解措施开始。这些措施可以采取多种形式，如软件或硬件的要求、设计建议、程序控制或额外的分析建议。 　　我们使用各种风险评估方法，如预先危险性分析、故障树，设计失效模式及后果分析（DFMEA）。这个连续过程与正在进行的工程和测试活动以及安全工程分析密切相关。 　　风险分析过程有助于我们识别自动驾驶系统的体系结构、子系统和组件的需求。这些安全要求是从一系列子系统和系统分析技术、各种系统工程过程以及联邦和州的法律法规中发展起来的。分析还支持Waymo的行为安全测试需求发展，以及系统如何检测和处理故障。 　　Waymo在公共道路、闭合环、以及模拟驾驶环境上都进行了广泛的测试。我们使用从这次测试中收集到的信息，以及对国家碰撞数据和自然驾驶的研究，为潜在危险提供更多的分析。 　　来自这些工具的组合在Waymo对系统准备就绪的理解中起着重要作用。基于这一认识，我们能够全面分析和评估系统安全性，然后才可以在公共道路上进行全自动驾驶操作。 　　与现在汽车采用的技术不同，如自适应巡航控制或者车道保持系统，需要驾驶员不断监控。Waymo自动驾驶系统的开发则基于无人参与。Waymo的自动驾驶系统包含软硬件，当集成到汽车中，就能执行所有的驾驶功能。 　　用自动驾驶的行话来说，Waymo的自动驾驶系统在特定地理区域和特定条件下，可以完成整个动态驾驶任务，人类驾驶员不需要提供操作。 　　这种技术在国际汽车工程师学会（SAE International）的定义上来看，属于自动驾驶系统的Level 4级别，即在任何系统故障事件中，我们的技术可以为车辆提供安全制停的能力，实现最小的安全风险。 　　与Level 1、Level 2、Level 3这些较低级别的自动驾驶系统不同，Level 4级别可在任何系统故障的情况下，给车辆安全制停的能力，而无需人类驾驶员接管。 　　全自动驾驶：让人类一直保持“乘客”身份 　　高级驾驶员辅助技术是Waymo团队探索的首批技术。2012年，我们开发并测试了Level 3自动驾驶系统，该系统可以让车辆在单车道的高速公路上实现自动驾驶，但过程仍然需要人类司机的接管。在内部测试中，我们还发现人类过于依赖这项技术，而没有仔细监控路况。 　　当驾驶员辅助技术变得更加先进时，人类经常被要求在几秒钟内由「乘客」转向「司机」，但在更具挑战性或更复杂的情况下，这些场景用得很少。车辆承担的任务越多，这一过渡阶段就越来越复杂。 　　避免这个转接过程带来的问题，也是Waymo正在开发全自动驾驶汽车的部分原因。我们的技术将关注所有驾驶，让人类在车内保持「乘客」身份。 　　目标和事件检测响应：车辆传感器 　　为了满足自动驾驶的复杂需求，Waymo开发了一系列传感器，让自动驾驶汽车无论是在白天还是夜晚，都能实行360°监控，且视野面积可达3个足球场那么大。 　　这种多层传感器套件可以无缝协同工作，绘制出整个视野的3D图像，并显示动态和静态物体，包括行人、自行车、来往车辆、交通指示灯、建筑物和其他道路特征。 　　LiDAR（光检测和测距）的日夜工作，可在每秒内输出数百万个360°的激光脉冲，测量反射到表面并返回车辆所需的时间。 　　Waymo的系统包括内部开发的三种类型激光雷达：短程激光雷达可以让车辆持续不断地观察和监控；高分辨率的中程激光雷达；新一代功能强大的长距离激光雷达，视线面积可达三个足球场。 　　视觉（照相机）系统 　　我们的视觉系统包括，用于观察世界的照相机，该相机可像人类一样观察世界，同时具有360°视野，而人类只有120°视野。由于Waymo的高分辨率视觉系统能检测到色彩，它可以帮助系统发现交通指示灯、施工区、校车和应急车辆的灰灯。Waymo的视觉系统由多套高分辨率相机组成，以便在长距离、日光和低亮度的情况下也能很好的工作。 　　雷达系统 　　一般而言，雷达使用波长来感知物体和运动。这些波长能够在诸如雨滴等物体的周围进行传播，从而可以让雷达在雨、雾、雪天气中都发挥效果。Waymo的雷达系统具有连续的360°视野，可以跟踪车辆的前后方和两侧过路车辆的行驶速度。 　　补充传感器 　　Waymo还有一些额外的传感器，包括音频检测系统，该系统可以听到数百英尺远的警车和紧急车辆发出的警报声，以及GPS，它可以补充车辆对其地理位置的了解。 　　Waymo自动驾驶软件 　　自动驾驶软件就是车辆的「大脑」。它让来自传感器的信息变得有意义，这个「大脑」还能利用这些信息帮助车辆做出最佳驾驶决策。 　　Waymo已经花了八年的时间来打造和完善这些软件，并在其中使用了机器学习和其他先进工程技术。经过多年的精心设计和测试，Waymo已经收获了数十亿英里的模拟驾驶，以及超过350万英里的道路驾驶经验。 　　同时，我们的系统还对这个世界拥有很深的语境理解，这也是区分Level 4自动驾驶技术的关键部分。 　　Waymo的自动驾驶软件，不只是检测其他物体的存在，还要真正理解这个物体是什么，它可能做出哪些举止，以及如何影响我们的车辆在路上的行为。这就是Waymo的车辆如何在全自动模式下实现安全驾驶。 　　鉴于我们的软件由不同部分组成，在这里Waymo将细介绍三个重要组件：感知、行为预测和规划。 　　感知 　　感知是Waymo软件用于检测和分类道路对象的一部分，同时还可用于估算速度、航向和加速度。我们的自动驾驶软件可以从Waymo的传感器获取无数细节，并将它们变成一个实时视图。 　　感知有助于车辆区分行人、骑自行车者、摩托车手、车辆和其他物体等等。它也能区分诸如传输信号之类的静态物体的颜色。对于这些物体，感知能让我们的系统在语义上了解周围车辆的情况——无论交通灯是绿色的，车辆是否亮起，车道是否被阻挡，都能知晓。 　　行为预测 　　通过行为预测，我们的软件可以对道路的每个对象的意图进行建模、预测和理解。由于Waymo已经拥有数百万英里的驾驶里程经验，在面对不同的道路对象可能做出的行为时，我们的车辆已经构建了高精准度的模型。 　　例如，我们的软件了解到，行人、骑自行车者、摩托车手可能看起来相似，但在行为上则有很大差异。行人可能比骑自行车者、摩托车手速度都要慢，但都有可能突然转向。 　　规划 　　我们的规划软件会考虑到从感知和行为预测两个程序中收集到的所有信息，并为车辆绘制好路径。依据我们的经验，最好的司机往往是防御型的司机。这也是为什么我们会训练防御型驾驶行为。比如远离其他司机的盲点区域，给骑自行车者和行人留出额外的空间。 　　Waymo的规划软件会优先考虑这几步。例如，如果自动驾驶软件认为前面的车道由于施工而关闭，并预测车道上的自行车会移动，那么规划软件可以做出决定，以便提前给骑自行车者减速或腾出空间。 　　依据道路经验，我们还完善了驾驶体验，以确保车辆中的乘客在路上是平稳而舒适的。对于其他道路使用者来说，也是自然和可预测的。 　　设计运行范围（operational design domain，简称ODD），是指自动驾驶系统可以安全运行的条件。Waymo的范围就包括地理位置、道路类型、速度范围、天气、时间、国家和地方性交通法律法规。 　　事实上，自动驾驶的ODD可能是非常有限的。例如，白天的温带气候条件下的一条低速公共街道或私人场地（如商业园区）的单程固定路线。然而，Waymo的目标在于可以在广泛的地理区域内、在各种条件下导航城市街道。我们的车辆已经具备在恶劣天气下驾驶的能力，如中雨，白天和夜间都能正常工作。 　　Waymo的系统也被设计为不能在未经批准的设计运行范围之外运行。例如，乘客不能选择我们认可的地理位置之外的目的地，我们的软件不会创建在「地理围栏」区域以外的路线。 　　类似地，我们的车辆也被设计为自动检测可能会影响其ODD以内的安全驾驶的突然变化，例如，暴风雪天气，以让车辆及时安全制停（即达到最小风险条件）直至行驶条件得以改善。 　　Waymo的车辆还需遵守其地理区域范围内的联邦、州政府和当地的法律。经法律要求，这些要求中的任何变化，都被视为我们系统中的安全要求，包括相关的速度限制、交通指示和信号。 　　在我们的车辆驶入新区域之前，我们的团队会逐一了解任何独特的道路规则或驾驶习惯，以及时更新软件，并让车辆能够安全做出响应。例如，加利福尼亚和德克萨斯州，就自行车道上如何进行右转弯则有不同规则。 　　与此同时，Waymo的ODD还将不断发展。我们的最终目标是开发完全自动驾驶技术，从而可以让人类在任何时间、任何地点，任何情况下都能自由的从A地到往B地。 　　随着我们系统功能的不断增长和验证，我们还将不断扩大设计运行范围，将我们的技术带给更多的人。 　　最小风险状况：确保车辆能够过渡到安全停止状态 　　对于低等级自动驾驶水平的车辆，当道路环境过于复杂，超出车辆处理能力或车辆本身出现故障时，需要由人类驾驶员执行对车辆的控制。 　　作为全自动驾驶汽车，Waymo的技术必须要具备足够的鲁棒性以能够独自处理这些状况的能力。 　　如果我们的自动驾驶车辆不能继续一段计划中的行程，它必须有能力进行安全停止，即被称作“最小风险状态”或“回退”。 　　这可能包括以下情况：自动驾驶系统感知到故障、车辆发生碰撞、环境条件的改变，导致在设定的设计运行环境内可能影响驾驶安全等。 　　Waymo的系统被设计为自动检测每一个上述场景。除此之外，我们的系统每秒钟运行上千次，检查系统，并发现系统错误。同时Waymo系统配备了一系列对关键系统（如传感器系统、计算系统和制动系统）的冗余设计。 　　我们的车辆响应随以下因素的不同而有所区别，包括：道路类型、目前交通状况、技术故障严重程度等。根据这些因素，系统将确定一个适当的响应动作以保证车辆和乘客的安全，包括靠边停车或安全停止。 　　车辆冗余-安全至上的自动驾驶系统备用计算系统 　　备用计算系统总是在后台运行，目的是当它检测到主计算系统故障时，控制车辆执行安全停止。 　　备用制动系统 　　如果主制动系统出现故障，我们有一个完整的备用制动系统能够立即生效。当故障发生时，主制动系统、备用制动系统均可以让车辆执行安全停止。 　　备用转向系统 　　备用转向系统有独立的控制器和独立的电源供应，以执行冗余的转向可控制。对主转向系统、备用转向系统，其中之一发生故障时，另一个均能够执行车辆的转向操作。 　　备用电源系统 　　对于每个关键的驱动系统提供两个独立的电源供应。这些独立的电源供应确保了我们车辆的关键驱动组件在发生单电源故障或电路中断时仍然可用。 　　备用碰撞检测和碰撞规避系统 　　多个碰撞检测和碰撞规避系统能够不间断的扫描车辆前后的物体，包括行人、自行车和其它车辆。在极少数情况下，当主系统对行驶路径中的物体没有检测到或没有响应时，这些备用系统能够控制车辆减速或停止。 　　冗余的惯性测量系统：对进行车辆定位 　　冗余的惯性测量系统能够帮助车辆准确地追踪它的行驶轨迹。主惯性测量系统、冗余惯性测量系统相互反复核对，并在其中一个系统检测到故障时由另一个系统执行车辆定位。 　　数据记录和事故后的行为 　　Waymo自动驾驶技术永远不会停止进步。Waymo有一个强大系统来收集和分析现有上路车辆所产生的数据。对从一辆车中学习到的任何有用经验，我们会同时体现在整个车队中。 　　Waymo的系统能够检测到碰撞的发生，并将自动通知Waymo后台运营中心，在那里我们训练有素的专家可以启动碰撞后响应程序，包括与执法人员和急救人员进行沟通，并派人员到现场。我们的运营中心也有乘客支持专家，他们可以通过车载音响系统直接与乘客沟通。 　　在碰撞发生后，我们可以分析所有可用的数据，包括视频和其他传感器数据，以评估可能导致这一事故的原因。同时，我们可以做出任何适当的软件更改，并相应地升级车队中每辆车。任何影响车辆安全的隐患都会被修复，同时在车辆升级前我们会进行安全测试。 　　自动驾驶车辆的网络安全 　　Waymo已经开发了一个健全的识别、划分优先级并降低网络安全威胁的流程。我们的安全实践是建立在谷歌的安全流程基础之上，遵循NHTSA及Auto-ISAC发布的指导策略。 　　为了进一步提升网络安全性，Waymo还加入了Auto-ISAC，这是一项旨在加强全球汽车行业网络安全意识和协作的行业行动计划。 　　如何建立自动驾驶车使用的地图 　　在自动驾驶车辆上路前，我们的地图团队会首先使用测试车辆的传感器来创建高度详细的3D地图。这些地图不同于基本的卫星图像或在线地图。 　　相反，Waymo的地图给汽车提供了对于物理环境的深刻理解：道路类型、道路的距离、尺寸和其他地貌特征。 　　我们使用这些数据并添加凸显的信息，包括交通控制信息，如人行横道的长度、红绿灯的位置、相关标识等。 　　通过安装在车上的地图，Waymo的系统会重点关注环境动态变化的部分，如其他道路使用者。我们的系统交叉引用实时传感器数据和车载3D地图以检测道路变化。 　　如果一个道路的变化被检测（如前方发生碰撞导致一个十字路口拥堵），我们的汽车可以在设计运行环境内对路径进行重新规划，并通知后台运营中心，让其他车辆可以避免在该地区行驶。 　　在这种情况下，地图不仅作为参考点添加到我们的软件，同时也向系统提供重要的信息反馈。这些详细的自定义地图提供了对每个行驶位置的全面的理解。再加上我们对于系统的的深入了解，Waymo能够确保车辆只在设计运行环境内使用。 　　Waymo实现安全的方法 　　1. 构建可验证的软件和系统 　　2. 对通信进行加密和验证 　　3. 为关键系统构建冗余的安全措施 　　4. 限制关键系统之间的通信 　　5. 提供及时的软件更新 　　6. 对安全威胁建模并优先考虑 　　我们从实体车辆的内部和外部对自动驾驶系统的所有潜在安全访问点进行了全面审查，并采取措施限制这些接入点的数量和功能。 　　这首先要与我们的汽车厂商合作伙伴合作，以确定和减轻基础车辆的漏洞。我们在软件设计和汽车设计过程中充分考虑已知的威胁，以确保我们的系统和车辆设计能够对抗这些威胁。 　　新软件版本需通过同行评审和验证过程。我们的风险分析和风险评估过程旨在识别和降低这些风险，包括那些与网络安全有关的风险。在Waymo的设计中，安全性至关重要，如转向、制动、控制器与外界通信隔离。 　　我们同时也考虑无线通信的安全。Waymo的车辆不依赖于一个固定的连接来保持安全性。在路上行驶时,所有的车辆和Waymo的通信（如：冗余的连接）会加密，包括那些Waymo运营支持人员和乘客的通信。车辆可以同我们的运营中心通信以收集更多的路况信息, 而同时我们的车辆在实时执行驾驶任务。 　　这些保护措施有助于防止那些对自动驾驶汽车有物理访问权限的人，包括乘客和附近的恶意者。我们有不同的机制来观察异常行为和内部机制来分析这些事件。 　　如果我们意识到有人试图破坏车辆安全性，Waymo将会触发公司级别的事件响应程序，包括评估、遏制、恢复和补救。 　　Waymo的技术经过了广泛测试，包括公开道路，封闭道路和模拟等，这使得系统的每个部分在运行时都有效，可靠和安全。 　　Waymo自动驾驶汽车由三个主要子系统组成，它们都经过了严格的测试： 　　车辆本身，由OEM认证； 　　内部硬件，包括传感器和计算机； 　　自动驾驶软件，用于做出驾驶决策。 　　上述子系统组合成全自动驾驶车辆，然后作进一步测试和验证。对硬件和软件进行整体测试，可以确保自动驾驶车辆符合我们为系统设定的所有安全要求。 　　车辆安全 　　Waymo目前的自动驾驶汽车，是由2017年款的克莱斯勒Pacifica混合动力Minivan改装的，加入了自动驾驶系统。这些改装的车辆通过了菲亚特克莱斯勒（FCA）的认证，符合所有适用的联邦机动车辆安全标准（FMVSS）。 　　自动驾驶硬件测试 　　在FCA和Waymo的技术合作中，Waymo的自动驾驶系统（包括传感器和硬件）与FCA提供的改装的Pacifica Minivan进行了整合。 　　为了保证两者整合的效果，Waymo在FCA的测试的基础上，还进行了数千次额外测试。这些测试包括了私人测试场景，实验室和模拟等情景，可以评估车辆的每个安全功能，比如制动器、转向，以及锁、前灯和门等物理控制。 　　通过测试，我们可以确保车辆在手动模式，自动驾驶模式（有测试司机在方向盘后）和全自动驾驶模式（车辆中没有人）的安全。总得来说，测试的目的是保证加入自动驾驶系统后车辆能安全运行。 　　自动驾驶软件测试 　　与硬件一样，自动驾驶软件也遵循“安全设计（Safety by Design）”的原则。Waymo严格测试了软件的各个组件，包括感知、行为预测和规划以及整体软件。 　　我们的技术会不断学习和提高。软件的每一次更新都经历了严格的发布过程。每个更新都会经过模拟测试，封闭路段测试和公共道路测试。 　　模拟测试 　　在模拟中，我们会严格测试任何修改和更新，然后再部署到车辆中。我们还找出了车辆在公共道路上遇到的最具挑战性的情况，并将其数字化为虚拟场景，供自动驾驶软件在模拟中练习。 　　封闭路段测试 　　新软件会首先推送到少数几辆车，以便有经验的驾驶员在私人场地中测试。我们可以在不同的车辆上使用不同版本的软件，从而测试新的或特定的功能。 　　现实世界测试 　　一旦确认软件如预期一样良好，我们就开始在公共道路上测试。开始会很小心，在自动驾驶车可以安全且持续按预定路线行驶后，才会将软件更新推送到整个车队。在公共道路上行驶的距离越多，就越能监控和评估软件的性能。 　　随着驾驶里程的增长，我们会进一步完善驾驶体验和更新软件。这种持续的反馈过程使我们对系统建立了信心，也让车辆能达到SAE Level 4级的自动驾驶水平。 　　模拟器：虚拟世界帮助车辆学习高级的现实世界驾驶技巧 　　Waymo的模拟器可以在每个新软件版本里回放我们在真实世界里驾驶的数据，还可以针对我们的软件构建全新的现实虚拟场景进行测试。 　　每天有多达25000辆虚拟的Waymo无人车在模拟器中驾驶高达八百万英里的里程，来巩固已有的技能和测试新商务技能，从而帮助车辆安全地在现实世界中驾驶。 　　举个例子：有一个左转黄灯在亚利桑那州梅萨的南隆摩街和西南大街的拐角处闪着。 这种类型的路口对于人类和无人车来说都是棘手的，因为司机在进入五个方向的路口后，要在车流里找到缝隙通过。 过早左转可能会造成危险，太晚转弯可能会阻碍交通。 　　模拟器能够让我们有很多次机会练习这种单一情况来精通一个技能。 　　我们用强大的定制传感器套件构建了具有相同的尺寸、车道线、路肩和交通信号灯的虚拟路口。 　　在模拟器中，我们可以专注于最具挑战性的路口而不是单一的高速公路，比如闪着黄灯的左转路口、犯错的司机和不按规则出牌的自行车。 　　第二步：驾驶、驾驶、驾驶 　　在模拟器里，我们可以让车队中不同的车辆在相同的驾驶条件下通过同一个路口很多次。 如上图，我们正在模拟自动驾驶汽车通过的一个路口。 　　随着这个闪黄色的左转路口在虚拟世界中被数字化，我们的软件可以练习这个场景数千次。 每当我们更新软件时，我们都可以在各种驾驶条件下测试软件对同一路口的改变。 　　这就是为什么我们能够在闪黄灯的路口自然地向前挪动车辆，并插入到复杂的车流中。 此外，在模拟中我们可以在遇到的每个闪黄灯的路口练习这个新技能，以便更快地迭代这个软件。 　　第三步：创造大量的变化 　　接下来，我们可以通过这个棘手的左转来探索无数种可能性。 　　通过一个叫“模糊”的过程，我们改变车流的速度和交通信号灯的时间，以确保无人车仍然可以找到安全的车距。 通过添加模拟行人、摩托车变道甚至慢跑者过马路，现场可以变得更繁忙和更复杂，看他们如何影响我们的无人车。 　　第四步：验证和迭代 　　如今，我们的无人车已经学会了如何自信地在闪着黄灯的路口左转。 　　这个新技能成为了我们永久知识库的一部分，与车队中的每一辆车共享。 反过来，我们将使用现实世界的驾驶和我们自己封闭式测试场地来验证模拟器里的经验，然后循环又从第一步开始。 　　正常驾驶的行为能力 　　完全自动驾驶的车辆必须能够处理在同一业务设计领域内所有人类驾驶员所期望的日常驾驶任务。 　　这意味着自动驾驶系统需要证明他们具有足够的技能，或者说“行为能力”，这对预期的地点和操作条件是必需的。 　　美国运输部（DOT）已经建议，Level 3，Level 4和Levle 5级（SAE）自动驾驶应该能够证明至少28项核心竞争力，易满足加州合作伙伴先进交通技术研究所（PATH）在加州大学伯克利分校交通运输研究院的研究成果。 DOT还鼓励公司“在考虑所有已知行为能力下，对自动驾驶系统的设计，测试和验证”。 　　Waymo的安全计划则在广度和深度上扩展了28项核心竞争力，我们在复杂性方面测试了大量的场景变化，确保我们的系统能够安全地处理现实环境的挑战。 另外，我们已经确定了更多的类别来扩展最初的28个核心竞争力。 　　对于每个能力，Waymo团队在封闭场景和模拟器上创建了各种各样的单项测试。例如，为了测试Waymo的左转能力，我们搭建了数十个现实生活中的情形，并测试我们的车辆能否适当地作出反应。 我们把有挑战性的变量带进普通道路练习，包括多条线路的车流、用大卡车挡住车辆的视野等。 　　我们在每一种场景中还使用模拟器来创建数百种不同的变化。通过虚拟测试，我们还可以创建辆左转的全新场景，以便我们进一步测试此技能。 　　随着我们扩展业务设计领域，核心竞争力的数量可能会增加（例如在北美地区开展业务，我们的系统必须能够安全地在雪中行驶），并且每个类别中的测试数量可能会扩大以包含更多复杂独特的场景。 　　虽然这种情景测试可以展示我们软件的核心驾驶技巧，但这些能力需要转化到现实世界。所以这只是一个起点，接下来我们的需要把模拟验证的结果用来测试我们车辆的硬件和软件，然后进行软硬件无缝整合，以便它在公共的道路上驾驶，在现实交通状况下展现Waymo自动驾驶汽车的能力。 　　在封闭设施进行现场测试 　　Waymo在加利福尼亚州专门为测试需求而设计和建造了一个占地91英亩的私有封闭式测试设施。 　　这个绰号为“城堡”的私有设施就像一个模拟城市，包括从高速公路、郊区车道到铁路道口。 我们的团队使用这些设施来验证新软件，然后再将其更新到我们在道路上的车队。 　　我们还可以在这些场地创造出有挑战性或罕见的路况，以便我们的车辆获得在特殊情况下的经验。 　　我们能够在封闭道路中进行数千个“结构化测试”，重新创建用于学习和测试的特定场景。为了帮助我们的模拟器获得素材，我们在Castle设置了超过20000个模拟场景。 　　每个场景都重新创造了一个我们想要练习的驾驶状况，比如一个心急的驾驶员快速变道，或者一个突然从停在路边的汽车上下车的人，这可能在公共道路上很久才能见一次。 　　我们已经重现了人们从路边的帐篷或移动厕所里走出来，玩滑板的人躺在他们的滑板上，并在传感器前扔了一堆纸等情况。 　　这种“结构化测试”是加速技术进步和确保车辆在日常驾驶和具有挑战性的驾驶状况下的安全性的关键。 　　测试完底层车辆、自动驾驶系统和软件之后，我们测试了整体的自动驾驶汽车，包括封闭道路上的防撞测试，可靠性和耐久性测试，以及测试驾驶员坐在方向盘后面的道路测试。 　　公开道路测试 　　Waymo 有一个综合性的道路测试项目，过去8年中一直在不断更新改进。 　　这是非常重要的一个环节，它可以帮助我们验证技术，发现新的具备挑战性的解决方案，不断开发新的技能。道路测试需要有经过高度训练的驾驶员坐在车上，来保证其安全性。 　　我们的测试驾驶员经过大量专业训练，了解整个驾驶系统，以及如何在公开道路上监控汽车安全行驶。同时，他们也学习了防御驾驶课程。经过这些训练，在公开道路上测试车辆时，驾驶员可以监控系统状况，在需要时及时控制车辆。 　　道路测试中，每周行驶的成千上万英里里程都用在了软件评估上。我们监控系统，确保其有效展示车辆行为特征。之后，我们再寻找可以建构这种特征的解决方案，以促成更稳定的驾驶。 　　实际场景测试则提供了一个连续的反馈环路，可以帮助我们持续更新系统。工程师们监控真实场景的解决方案、调整软件、更新驾驶系统，进而完成这些改变。 　　反复测试后，再在公开道路上确认，这帮助我们在扩展车辆能力操作设计的同时，也更安全地测试了自己的能力。 　　过去8年，Waymo 在美国4个州进行了测试，在20多个城市里实现了自动驾驶——从晴朗的凤凰城，一直到多雨的柯克兰，整个过程中积累了超过350万英里的自动驾驶数据。每到一个新的地方，我们就可以获得多种不同道路环境、街景和驾驶习惯的经验。 　　比如，在凤凰城，我们得以测试传感器和软件在沙漠环境下的反应，包括极端温度和扬尘情况。另外，我们还学习如何让新型交通工具更持久地驾驶，例如浇水车在路中间浇水的时候，速度可从3英里/小时提高到45英里/小时。奥斯汀有水平交通信号灯，柯克兰则提供了更多湿润气候下的经验。 　　在新的城市，我们每天都会遇到还不习惯在路上看到自动驾驶汽车的人。我们从这些不同的人群中得到很多新鲜的视角和观点——人们使用自动驾驶汽车的意愿，他们如何看待自动驾驶汽车等等，这些人可以为我们发展和更新自动驾驶技术提供很多指引。 　　极端温度下的自动驾驶 　　在极端寒冷和非常炎热的温度下，我们的自动驾驶车辆也需要可靠并且安全地运行。Waymo工程师研发了自动驾驶的硬件和软件，由此创造了一整套可以在极端环境下可靠运行的系统。 　　高温对所有的现代科技提出了挑战。电子设备，例如手机，当在烈日下使用，可能过热而关机。然而，我们的自动驾驶系统在炎热环境下也必须安全工作。 　　我们的车辆装有一个特殊的冷却系统，能让这些电子设备在非常高的温度下也能工作，比如发动机运转在最大功率以及系统在最大能耗的情况。Waymo的工程师在一个几乎能模仿各种天气情况的风洞进行了大量实验，包括地球上曾记录的最高温度。 　　除了风洞测试，我们也在美国三个最热的地方也测试了我们的自动驾驶车辆：拉斯维加斯，戴维斯丹以及死亡峡谷。 　　戴维斯丹位于亚利桑那和内华达州的边境，有漫长陡峭的沙漠公路可以在烈日下行驶。拉斯维加斯可以让我们在烈日下无数停停走走的城市拥堵路况下测试我们的车辆。死亡峡谷则拥有地球上官方记载的最高温度134℉（57℃）。 　　在测试中我们密切的监视着系统温度，每秒记录超过200个不同的温度点，来验证我们的自主开发的传感器套装和算法正常工作。 　　测试车辆防撞能力 　　除了测试核心能力，我们的工程师也在不同的情景下进行了防撞测试（附录8记载了Waymo防撞测试情景）。 　　Waymo在私有测试道路上完成了上千次的防撞测试。每一次测试都在不同的驾驶情况下进行，让我们的分析汽车的反应。我们用仿真器来测试这些情景并改善总体软件能力。 　　我们从大量数据中了解应该测试哪种碰撞，包括我们的分析，例如NHTSA的致命碰撞数据库，我们在自动驾驶汽车方面的广泛经验，来扩展到NHTSA的37个预碰撞情景。我们也测试了其他情景，例如其他道路使用者造成了潜在的危险情况，比如车辆突然驶离了车道，大型车切入目标车道，摩托车进入道路，行人乱穿马路等等。 　　2015年，NHTSA发布了最常见的预碰撞场景的数据。例如，仅仅4种碰撞目录就涵盖了84%的碰撞情形：后端碰撞，车辆转弯或者穿过十字路口，车辆驶下路沿，车辆变道。因此，防止或者缓和此类的碰撞是我们测试项目的重要目标。 　　自动驾驶车辆和传统车辆一样，必须可靠运行。这意味着车辆和每一个零部件必须在极端环境和整个生命周期内都能正常运行。 　　Waymo工程师设计了独特的应力测试。利用疲劳物理知识来加速在车辆和其零部件上的环境应力，我们把真实生活中几年的使用周期压缩到几天或者几周的测试。 　　我们让零部件在紫外线辐射中进行暴晒，用强力水枪进行轰炸，把车浸在几乎零度的水桶中，在充满盐雾的房间里慢慢腐蚀，摇晃并强有力震动，在潮湿的空间里几星期的加热，冷冻。 　　我们分析任何类型的失效并改进设计来增加零件的可靠性，监视每个传感器的健康程度和车辆自身，从而可以在问题出现之前发现并解决潜在危险。 　　我们的车辆被设计成自动驾驶，因此用户界面的设计考虑的是乘客，而非驾驶员。 　　这也是我们开发特殊的车内内容和用户界面的原因。这能帮助乘客理解Waymo的自动驾驶车辆在道路上正在做的事情，让乘客知道例如选择目的地，靠边停车，并在需要的情况下和Waymo支持热线联系。 　　除了为乘客提供安全且直观的日常出行方案，Waymo为应对紧急情况开发了流程。例如，我们的车辆不仅可以发现碰撞并且对在路上的紧急车辆做出反应，而且我们和法律部门以及第一援助人员，这些可能和我们车辆联系的机构进行了培训。 　　最后，自动驾驶的潜力只有通过增加公众的认知和认可才能完全实现。今年10月，Waymo启动了“让我们谈论自动驾驶”——世界上最大的关于自动驾驶的公共教育活动。 　　通过和国家和地区安全组和高级团体的伙伴合作，我们希望让公众参与进来，并让公众了解这种技术的工作原理，以及自动驾驶技术背后的巨大益处。 　　Waymo的早期试驾者项目 　　我们希望了解一辆自动驾驶汽车如何满足人们的日常交通需求，无论是作为私人用车还是共享用车，或是让大众出行更加便宜。这也是为什么在今年4月，我们在凤凰城启动了早期骑行者项目，这也是第一辆Waymo自动驾驶汽车的公众试验。 　　我们的试乘者来自不同的人群，从有青少年的家庭，到年轻的工作者。他们用我们的车辆来满足日常需求，从上下班，到带孩子去参加足球练习。让早期使用者学习如何使用车辆至关重要，我们的研究团队和使用者紧密联系，为他们提供项目信息，告诉他们如何使用车辆以及如何提供反馈。 　　在过去的100年，当车辆被设计时，总是假定有一个人类驾驶员。试乘着的体验告诉我们，人们希望如何和车辆互动，以及作为乘客而非驾驶员的乘坐体验。他们的经历帮助我们创造了一种更直观且更方便的车内体验。 　　行驶体验 　　Waymo的用户体验由4个主要原则主导：给予乘客一次无缝出行所需的信息；帮助乘客预期将要发生的事情；积极主动沟通车辆对路况的反馈；帮助乘客与车辆安全共存。 　　我们希望乘客了解车辆正在接受的信息，以及采取相应行动的原因。每辆车提供了乘客贯穿行程的有用的视觉和听觉信息，帮助他们了解车辆和其他道路使用者正在采取的行动。在Waymo自动驾驶车中，有一个显示屏来提供视觉驾驶信息，例如目的地、当前车速、车辆选择的路线。声音系统则为乘客提供相关通知。 　　我们已经为试乘者和车辆互动提供了多种的方式，如按下物理按钮，移动App和和Waymo行驶支持专家通话。 　　让Waymo车辆更容易使用显示 　　Waymo乘客显示屏幕显示了重要的交通信息，例如目的地、到达时间。它也显示了静态的道路元素，例如交通灯，停车信号牌，以及一些环境中的动态元素，例如车辆，自行车以及行人。 　　如此，乘客可以理解车辆正在感知并且回应这些元素，从而对车辆的能力更有信心。 　　启动行车按钮 　　无论何时，使用者都可以用App或者车内的按钮来开始行程 　　靠边停车 　　车辆有一个靠边停车按钮，当按钮被按下，车辆会找到一个附近安全的地点来停车。 　　移动App 　　Waymo早期用户项目的参与者，在Wayo车辆里用一个移动App，可以发起目的地的需求。这款App也能让用户给予使用反馈和联系Waymo寻求支持。 　　行驶支持小组 　　Waymo创建了一个用户支持小组来回答早期用户的的问题。通过在车内的按钮、电话移动App，就可以联系这些专家。 　　无障碍性：为现今无法驾驶的人们提供机会 　　我们相信，Waymo的技术具有为世界各地的人们完善安全性和机动性的潜能。从一开始，Waymo一直在聆听残障人士人群的声音并与之合作、共事。 　　我们持续了解到不同驾驶者特有的需求。同时，我们所了解的这些需求将构成新的特性，而这些特征将使得长期以来不得不依赖于他人的人们获得经验。 　　我们也知道，我们无法独立完成我们的目标。Waymo致力于与合作伙伴合作，打造能够服务于更多人群的车辆平台和解决方案。 　　我们正在构建一款直观、便捷的移动应用程序。专为使用Android TalkBack, iOS VoiceOver及其它无障碍服务人士所设计。 　　语音提示及工具 　　视力障碍的驾驶者需要我们将车辆定位在出发地点。我们正在探索具体的“寻路”功能，包括驾驶者能够让车辆提供语音以帮助他们引导车辆行驶的方式。可在移动App中打开附加的语音提示，同时，可在车内使用，让驾驶者了解他们的旅程情况。 　　盲文标签 　　我们的自动驾驶车辆中的行驶按钮伴有盲文标签，让视障驾驶者能够启动车辆，靠边停车，或是致电与能够为其提供更多协助和信息的操作人员进行通话。这些按键也可以在移动App中使用。 　　视频显示 　　在通过每一个行驶阶段，聋哑及听力障碍的驾驶者可以通过屏幕视频提示，了解车辆情况。 　　无障碍的驾驶帮助我们采用对话形式的驾驶帮助，通过车内的视频显示或音频让所有驾驶者获得所有驾驶的能力。 　　Wammo的自动驾驶车辆可实现与执法人员及现场急救员的互动。使用我们定制的传感器套件，包括音频检测系统，我们的软件可以鉴别附近的消防车，检测其闪烁的灯光，可在数百英尺远的地方听到警报声。音频传感器能够识别警报声可能来源的方向，提高车辆安全和及时响应的能力。一旦检测到紧急情况发生，我们的车辆能够及时做出响应，靠边停车或立即停车。 　　Waymo还会提供我们所测试的每一座城市的政府信息，并提供一系列交通管理机制。在一些城市，Waymo还进行现场培训，帮助警察和其他紧急援救人员在紧急情况下，鉴别我们的车辆。 　　我们计划持续开展这类现场培训，同时，我们计划扩大培训范围，从而让我们的车辆更智能。 　　与亚利桑那州钱德勒警察局进行测试 　　我们已经同亚利桑那州钱德勒警察局和消防部门进行合作，对我们的自动驾驶小型货车进行紧急车辆测试。当地警车、摩托车、救护车、救火车及非标示特殊作业车辆追踪、通过并引导我们的车辆时，强大的传感器套件，包括远程音频检测系统，可以观测到这些车辆。我们的传感器可以采集各种速度、距离和角度的数据——构建一个视觉和声音库，这将有助于我们的车辆在道路上遇到紧急车辆时做出安全反应。 　　五、总结 　　八年来，Waymo一起专注于一件事：让全自动驾驶技术成为现实。我们严守安全设计，公司文化也将安全，以及安全之上的开放沟通置于核心位置。Waymo的所有人都希望实现这一目标，让自动驾驶对每个人来说都安全可用。 　　这份报告总结了我们为确保全自动驾驶车辆安全部署所做的努力。这项新技术能提升道路安全，提供新的出行选择，我们对此感到很兴奋。