規(guī)劃

　　我們的規(guī)劃軟件會考慮到從感知和行為預(yù)測兩個程序中收集到的所有信息，并為車輛繪制好路徑。依據(jù)我們的經(jīng)驗，最好的司機(jī)往往是防御型的司機(jī)。這也是為什么我們會訓(xùn)練防御型駕駛行為。比如遠(yuǎn)離其他司機(jī)的盲點(diǎn)區(qū)域，給騎自行車者和行人留出額外的空間。

　　Waymo的規(guī)劃軟件會優(yōu)先考慮這幾步。例如，如果自動駕駛軟件認(rèn)為前面的車道由于施工而關(guān)閉，并預(yù)測車道上的自行車會移動，那么規(guī)劃軟件可以做出決定，以便提前給騎自行車者減速或騰出空間。

　　依據(jù)道路經(jīng)驗，我們還完善了駕駛體驗，以確保車輛中的乘客在路上是平穩(wěn)而舒適的。對于其他道路使用者來說，也是自然和可預(yù)測的。

設(shè)計運(yùn)行范圍：確保車輛在特定條件下可安全運(yùn)行

　　設(shè)計運(yùn)行范圍（operational design domain，簡稱ODD），是指自動駕駛系統(tǒng)可以安全運(yùn)行的條件。Waymo的范圍就包括地理位置、道路類型、速度范圍、天氣、時間、國家和地方性交通法律法規(guī)。

　　事實上，自動駕駛的ODD可能是非常有限的。例如，白天的溫帶氣候條件下的一條低速公共街道或私人場地（如商業(yè)園區(qū)）的單程固定路線。然而，Waymo的目標(biāo)在于可以在廣泛的地理區(qū)域內(nèi)、在各種條件下導(dǎo)航城市街道。我們的車輛已經(jīng)具備在惡劣天氣下駕駛的能力，如中雨，白天和夜間都能正常工作。

　　Waymo的系統(tǒng)也被設(shè)計為不能在未經(jīng)批準(zhǔn)的設(shè)計運(yùn)行范圍之外運(yùn)行。例如，乘客不能選擇我們認(rèn)可的地理位置之外的目的地，我們的軟件不會創(chuàng)建在「地理圍欄」區(qū)域以外的路線。

　　類似地，我們的車輛也被設(shè)計為自動檢測可能會影響其ODD以內(nèi)的安全駕駛的突然變化，例如，暴風(fēng)雪天氣，以讓車輛及時安全制停（即達(dá)到最小風(fēng)險條件）直至行駛條件得以改善。

　　Waymo的車輛還需遵守其地理區(qū)域范圍內(nèi)的聯(lián)邦、州政府和當(dāng)?shù)氐姆?。?jīng)法律要求，這些要求中的任何變化，都被視為我們系統(tǒng)中的安全要求，包括相關(guān)的速度限制、交通指示和信號。

　　在我們的車輛駛?cè)胄聟^(qū)域之前，我們的團(tuán)隊會逐一了解任何獨(dú)特的道路規(guī)則或駕駛習(xí)慣，以及時更新軟件，并讓車輛能夠安全做出響應(yīng)。例如，加利福尼亞和德克薩斯州，就自行車道上如何進(jìn)行右轉(zhuǎn)彎則有不同規(guī)則。

　　與此同時，Waymo的ODD還將不斷發(fā)展。我們的最終目標(biāo)是開發(fā)完全自動駕駛技術(shù)，從而可以讓人類在任何時間、任何地點(diǎn)，任何情況下都能自由的從A地到往B地。

　　隨著我們系統(tǒng)功能的不斷增長和驗證，我們還將不斷擴(kuò)大設(shè)計運(yùn)行范圍，將我們的技術(shù)帶給更多的人。

　　最小風(fēng)險狀況：確保車輛能夠過渡到安全停止?fàn)顟B(tài)

　　對于低等級自動駕駛水平的車輛，當(dāng)?shù)缆翻h(huán)境過于復(fù)雜，超出車輛處理能力或車輛本身出現(xiàn)故障時，需要由人類駕駛員執(zhí)行對車輛的控制。

　　作為全自動駕駛汽車，Waymo的技術(shù)必須要具備足夠的魯棒性以能夠獨(dú)自處理這些狀況的能力。

　　如果我們的自動駕駛車輛不能繼續(xù)一段計劃中的行程，它必須有能力進(jìn)行安全停止，即被稱作“最小風(fēng)險狀態(tài)”或“回退”。

　　這可能包括以下情況：自動駕駛系統(tǒng)感知到故障、車輛發(fā)生碰撞、環(huán)境條件的改變，導(dǎo)致在設(shè)定的設(shè)計運(yùn)行環(huán)境內(nèi)可能影響駕駛安全等。

　　Waymo的系統(tǒng)被設(shè)計為自動檢測每一個上述場景。除此之外，我們的系統(tǒng)每秒鐘運(yùn)行上千次，檢查系統(tǒng)，并發(fā)現(xiàn)系統(tǒng)錯誤。同時Waymo系統(tǒng)配備了一系列對關(guān)鍵系統(tǒng)（如傳感器系統(tǒng)、計算系統(tǒng)和制動系統(tǒng)）的冗余設(shè)計。

　　我們的車輛響應(yīng)隨以下因素的不同而有所區(qū)別，包括：道路類型、目前交通狀況、技術(shù)故障嚴(yán)重程度等。根據(jù)這些因素，系統(tǒng)將確定一個適當(dāng)?shù)捻憫?yīng)動作以保證車輛和乘客的安全，包括靠邊停車或安全停止。

車輛冗余-安全至上的自動駕駛系統(tǒng)

備用計算系統(tǒng)

　　備用計算系統(tǒng)總是在后臺運(yùn)行，目的是當(dāng)它檢測到主計算系統(tǒng)故障時，控制車輛執(zhí)行安全停止。

備用制動系統(tǒng)

　　如果主制動系統(tǒng)出現(xiàn)故障，我們有一個完整的備用制動系統(tǒng)能夠立即生效。當(dāng)故障發(fā)生時，主制動系統(tǒng)、備用制動系統(tǒng)均可以讓車輛執(zhí)行安全停止。

備用轉(zhuǎn)向系統(tǒng)

　　備用轉(zhuǎn)向系統(tǒng)有獨(dú)立的控制器和獨(dú)立的電源供應(yīng)，以執(zhí)行冗余的轉(zhuǎn)向可控制。對主轉(zhuǎn)向系統(tǒng)、備用轉(zhuǎn)向系統(tǒng)，其中之一發(fā)生故障時，另一個均能夠執(zhí)行車輛的轉(zhuǎn)向操作。

備用電源系統(tǒng)

　　對于每個關(guān)鍵的驅(qū)動系統(tǒng)提供兩個獨(dú)立的電源供應(yīng)。這些獨(dú)立的電源供應(yīng)確保了我們車輛的關(guān)鍵驅(qū)動組件在發(fā)生單電源故障或電路中斷時仍然可用。

備用碰撞檢測和碰撞規(guī)避系統(tǒng)

　　多個碰撞檢測和碰撞規(guī)避系統(tǒng)能夠不間斷的掃描車輛前后的物體，包括行人、自行車和其它車輛。在極少數(shù)情況下，當(dāng)主系統(tǒng)對行駛路徑中的物體沒有檢測到或沒有響應(yīng)時，這些備用系統(tǒng)能夠控制車輛減速或停止。

冗余的慣性測量系統(tǒng)：對進(jìn)行車輛定位

　　冗余的慣性測量系統(tǒng)能夠幫助車輛準(zhǔn)確地追蹤它的行駛軌跡。主慣性測量系統(tǒng)、冗余慣性測量系統(tǒng)相互反復(fù)核對，并在其中一個系統(tǒng)檢測到故障時由另一個系統(tǒng)執(zhí)行車輛定位。

數(shù)據(jù)記錄和事故后的行為

　　Waymo自動駕駛技術(shù)永遠(yuǎn)不會停止進(jìn)步。Waymo有一個強(qiáng)大系統(tǒng)來收集和分析現(xiàn)有上路車輛所產(chǎn)生的數(shù)據(jù)。對從一輛車中學(xué)習(xí)到的任何有用經(jīng)驗，我們會同時體現(xiàn)在整個車隊中。

　　Waymo的系統(tǒng)能夠檢測到碰撞的發(fā)生，并將自動通知Waymo后臺運(yùn)營中心，在那里我們訓(xùn)練有素的專家可以啟動碰撞后響應(yīng)程序，包括與執(zhí)法人員和急救人員進(jìn)行溝通，并派人員到現(xiàn)場。我們的運(yùn)營中心也有乘客支持專家，他們可以通過車載音響系統(tǒng)直接與乘客溝通。

　　在碰撞發(fā)生后，我們可以分析所有可用的數(shù)據(jù)，包括視頻和其他傳感器數(shù)據(jù)，以評估可能導(dǎo)致這一事故的原因。同時，我們可以做出任何適當(dāng)?shù)能浖?，并相?yīng)地升級車隊中每輛車。任何影響車輛安全的隱患都會被修復(fù)，同時在車輛升級前我們會進(jìn)行安全測試。

自動駕駛車輛的網(wǎng)絡(luò)安全

　　Waymo已經(jīng)開發(fā)了一個健全的識別、劃分優(yōu)先級并降低網(wǎng)絡(luò)安全威脅的流程。我們的安全實踐是建立在谷歌的安全流程基礎(chǔ)之上，遵循NHTSA及Auto-ISAC發(fā)布的指導(dǎo)策略。

　　為了進(jìn)一步提升網(wǎng)絡(luò)安全性，Waymo還加入了Auto-ISAC，這是一項旨在加強(qiáng)全球汽車行業(yè)網(wǎng)絡(luò)安全意識和協(xié)作的行業(yè)行動計劃。

如何建立自動駕駛車使用的地圖

　　在自動駕駛車輛上路前，我們的地圖團(tuán)隊會首先使用測試車輛的傳感器來創(chuàng)建高度詳細(xì)的3D地圖。這些地圖不同于基本的衛(wèi)星圖像或在線地圖。

　　相反，Waymo的地圖給汽車提供了對于物理環(huán)境的深刻理解：道路類型、道路的距離、尺寸和其他地貌特征。

　　我們使用這些數(shù)據(jù)并添加凸顯的信息，包括交通控制信息，如人行橫道的長度、紅綠燈的位置、相關(guān)標(biāo)識等。

　　通過安裝在車上的地圖，Waymo的系統(tǒng)會重點(diǎn)關(guān)注環(huán)境動態(tài)變化的部分，如其他道路使用者。我們的系統(tǒng)交叉引用實時傳感器數(shù)據(jù)和車載3D地圖以檢測道路變化。

　　如果一個道路的變化被檢測（如前方發(fā)生碰撞導(dǎo)致一個十字路口擁堵），我們的汽車可以在設(shè)計運(yùn)行環(huán)境內(nèi)對路徑進(jìn)行重新規(guī)劃，并通知后臺運(yùn)營中心，讓其他車輛可以避免在該地區(qū)行駛。

　　在這種情況下，地圖不僅作為參考點(diǎn)添加到我們的軟件，同時也向系統(tǒng)提供重要的信息反饋。這些詳細(xì)的自定義地圖提供了對每個行駛位置的全面的理解。再加上我們對于系統(tǒng)的的深入了解，Waymo能夠確保車輛只在設(shè)計運(yùn)行環(huán)境內(nèi)使用。

Waymo實現(xiàn)安全的方法

1. 構(gòu)建可驗證的軟件和系統(tǒng)
2. 對通信進(jìn)行加密和驗證
3. 為關(guān)鍵系統(tǒng)構(gòu)建冗余的安全措施
4. 限制關(guān)鍵系統(tǒng)之間的通信
5. 提供及時的軟件更新
6. 對安全威脅建模并優(yōu)先考慮

　　我們從實體車輛的內(nèi)部和外部對自動駕駛系統(tǒng)的所有潛在安全訪問點(diǎn)進(jìn)行了全面審查，并采取措施限制這些接入點(diǎn)的數(shù)量和功能。

　　這首先要與我們的汽車廠商合作伙伴合作，以確定和減輕基礎(chǔ)車輛的漏洞。我們在軟件設(shè)計和汽車設(shè)計過程中充分考慮已知的威脅，以確保我們的系統(tǒng)和車輛設(shè)計能夠?qū)惯@些威脅。

　　新軟件版本需通過同行評審和驗證過程。我們的風(fēng)險分析和風(fēng)險評估過程旨在識別和降低這些風(fēng)險，包括那些與網(wǎng)絡(luò)安全有關(guān)的風(fēng)險。在Waymo的設(shè)計中，安全性至關(guān)重要，如轉(zhuǎn)向、制動、控制器與外界通信隔離。

　　我們同時也考慮無線通信的安全。Waymo的車輛不依賴于一個固定的連接來保持安全性。在路上行駛時,所有的車輛和Waymo的通信（如：冗余的連接）會加密，包括那些Waymo運(yùn)營支持人員和乘客的通信。車輛可以同我們的運(yùn)營中心通信以收集更多的路況信息, 而同時我們的車輛在實時執(zhí)行駕駛?cè)蝿?wù)。

　　這些保護(hù)措施有助于防止那些對自動駕駛汽車有物理訪問權(quán)限的人，包括乘客和附近的惡意者。我們有不同的機(jī)制來觀察異常行為和內(nèi)部機(jī)制來分析這些事件。

　　如果我們意識到有人試圖破壞車輛安全性，Waymo將會觸發(fā)公司級別的事件響應(yīng)程序，包括評估、遏制、恢復(fù)和補(bǔ)救。

三、測試及驗證方法：確保車輛的性能與安全

　　Waymo的技術(shù)經(jīng)過了廣泛測試，包括公開道路，封閉道路和模擬等，這使得系統(tǒng)的每個部分在運(yùn)行時都有效，可靠和安全。

Waymo自動駕駛汽車由三個主要子系統(tǒng)組成，它們都經(jīng)過了嚴(yán)格的測試：

車輛本身，由OEM認(rèn)證；
內(nèi)部硬件，包括傳感器和計算機(jī)；
自動駕駛軟件，用于做出駕駛決策。

　　上述子系統(tǒng)組合成全自動駕駛車輛，然后作進(jìn)一步測試和驗證。對硬件和軟件進(jìn)行整體測試，可以確保自動駕駛車輛符合我們?yōu)橄到y(tǒng)設(shè)定的所有安全要求。

車輛安全

　　Waymo目前的自動駕駛汽車，是由2017年款的克萊斯勒Pacifica混合動力Minivan改裝的，加入了自動駕駛系統(tǒng)。這些改裝的車輛通過了菲亞特克萊斯勒（FCA）的認(rèn)證，符合所有適用的聯(lián)邦機(jī)動車輛安全標(biāo)準(zhǔn)（FMVSS）。

自動駕駛硬件測試

　　在FCA和Waymo的技術(shù)合作中，Waymo的自動駕駛系統(tǒng)（包括傳感器和硬件）與FCA提供的改裝的Pacifica Minivan進(jìn)行了整合。

　　為了保證兩者整合的效果，Waymo在FCA的測試的基礎(chǔ)上，還進(jìn)行了數(shù)千次額外測試。這些測試包括了私人測試場景，實驗室和模擬等情景，可以評估車輛的每個安全功能，比如制動器、轉(zhuǎn)向，以及鎖、前燈和門等物理控制。

　　通過測試，我們可以確保車輛在手動模式，自動駕駛模式（有測試司機(jī)在方向盤后）和全自動駕駛模式（車輛中沒有人）的安全?？偟脕碚f，測試的目的是保證加入自動駕駛系統(tǒng)后車輛能安全運(yùn)行。

自動駕駛軟件測試

　　與硬件一樣，自動駕駛軟件也遵循“安全設(shè)計（Safety by Design）”的原則。Waymo嚴(yán)格測試了軟件的各個組件，包括感知、行為預(yù)測和規(guī)劃以及整體軟件。

　　我們的技術(shù)會不斷學(xué)習(xí)和提高。軟件的每一次更新都經(jīng)歷了嚴(yán)格的發(fā)布過程。每個更新都會經(jīng)過模擬測試，封閉路段測試和公共道路測試。

模擬測試

　　在模擬中，我們會嚴(yán)格測試任何修改和更新，然后再部署到車輛中。我們還找出了車輛在公共道路上遇到的最具挑戰(zhàn)性的情況，并將其數(shù)字化為虛擬場景，供自動駕駛軟件在模擬中練習(xí)。

封閉路段測試

　　新軟件會首先推送到少數(shù)幾輛車，以便有經(jīng)驗的駕駛員在私人場地中測試。我們可以在不同的車輛上使用不同版本的軟件，從而測試新的或特定的功能。

現(xiàn)實世界測試

　　一旦確認(rèn)軟件如預(yù)期一樣良好，我們就開始在公共道路上測試。開始會很小心，在自動駕駛車可以安全且持續(xù)按預(yù)定路線行駛后，才會將軟件更新推送到整個車隊。在公共道路上行駛的距離越多，就越能監(jiān)控和評估軟件的性能。

　　隨著駕駛里程的增長，我們會進(jìn)一步完善駕駛體驗和更新軟件。這種持續(xù)的反饋過程使我們對系統(tǒng)建立了信心，也讓車輛能達(dá)到SAE Level 4級的自動駕駛水平。

　　模擬器：虛擬世界幫助車輛學(xué)習(xí)高級的現(xiàn)實世界駕駛技巧

　　Waymo的模擬器可以在每個新軟件版本里回放我們在真實世界里駕駛的數(shù)據(jù)，還可以針對我們的軟件構(gòu)建全新的現(xiàn)實虛擬場景進(jìn)行測試。

　　每天有多達(dá)25000輛虛擬的Waymo無人車在模擬器中駕駛高達(dá)八百萬英里的里程，來鞏固已有的技能和測試新商務(wù)技能，從而幫助車輛安全地在現(xiàn)實世界中駕駛。

　　舉個例子：有一個左轉(zhuǎn)黃燈在亞利桑那州梅薩的南隆摩街和西南大街的拐角處閃著。 這種類型的路口對于人類和無人車來說都是棘手的，因為司機(jī)在進(jìn)入五個方向的路口后，要在車流里找到縫隙通過。 過早左轉(zhuǎn)可能會造成危險，太晚轉(zhuǎn)彎可能會阻礙交通。

　　模擬器能夠讓我們有很多次機(jī)會練習(xí)這種單一情況來精通一個技能。

模擬器如何工作

第一步：從視覺世界開始
*我們可以重建一個非常詳細(xì)的虛擬現(xiàn)實版本東部山谷

　　我們用強(qiáng)大的定制傳感器套件構(gòu)建了具有相同的尺寸、車道線、路肩和交通信號燈的虛擬路口。

　　在模擬器中，我們可以專注于最具挑戰(zhàn)性的路口而不是單一的高速公路，比如閃著黃燈的左轉(zhuǎn)路口、犯錯的司機(jī)和不按規(guī)則出牌的自行車。

第二步：駕駛、駕駛、駕駛

　　在模擬器里，我們可以讓車隊中不同的車輛在相同的駕駛條件下通過同一個路口很多次。 如上圖，我們正在模擬自動駕駛汽車通過的一個路口。

　　隨著這個閃黃色的左轉(zhuǎn)路口在虛擬世界中被數(shù)字化，我們的軟件可以練習(xí)這個場景數(shù)千次。 每當(dāng)我們更新軟件時，我們都可以在各種駕駛條件下測試軟件對同一路口的改變。

　　這就是為什么我們能夠在閃黃燈的路口自然地向前挪動車輛，并插入到復(fù)雜的車流中。 此外，在模擬中我們可以在遇到的每個閃黃燈的路口練習(xí)這個新技能，以便更快地迭代這個軟件。

第三步：創(chuàng)造大量的變化

　　*通過“模糊”過程我們可以改變這些虛擬街道上各種物體的速度、軌跡和位置

　　接下來，我們可以通過這個棘手的左轉(zhuǎn)來探索無數(shù)種可能性。

　　通過一個叫“模糊”的過程，我們改變車流的速度和交通信號燈的時間，以確保無人車仍然可以找到安全的車距。 通過添加模擬行人、摩托車變道甚至慢跑者過馬路，現(xiàn)場可以變得更繁忙和更復(fù)雜，看他們?nèi)绾斡绊懳覀兊臒o人車。

第四步：驗證和迭代

　　*為了使場景更加復(fù)雜，我們可以添加原場景不存在的車輛、行人和騎自行車的人

　　如今，我們的無人車已經(jīng)學(xué)會了如何自信地在閃著黃燈的路口左轉(zhuǎn)。

　　這個新技能成為了我們永久知識庫的一部分，與車隊中的每一輛車共享。 反過來，我們將使用現(xiàn)實世界的駕駛和我們自己封閉式測試場地來驗證模擬器里的經(jīng)驗，然后循環(huán)又從第一步開始。

正常駕駛的行為能力

　　完全自動駕駛的車輛必須能夠處理在同一業(yè)務(wù)設(shè)計領(lǐng)域內(nèi)所有人類駕駛員所期望的日常駕駛?cè)蝿?wù)。

　　這意味著自動駕駛系統(tǒng)需要證明他們具有足夠的技能，或者說“行為能力”，這對預(yù)期的地點(diǎn)和操作條件是必需的。

　　美國運(yùn)輸部（DOT）已經(jīng)建議，Level 3，Level 4和Levle 5級（SAE）自動駕駛應(yīng)該能夠證明至少28項核心競爭力，易滿足加州合作伙伴先進(jìn)交通技術(shù)研究所（PATH）在加州大學(xué)伯克利分校交通運(yùn)輸研究院的研究成果。 DOT還鼓勵公司“在考慮所有已知行為能力下，對自動駕駛系統(tǒng)的設(shè)計，測試和驗證”。