Waymo的使命
Google Waymo曾向美国交通部提交了一份43页的安全报告，报告中详细说明了Waymo如何装备和训练自动驾驶车辆，从而避免驾驶中的一般和意外情况发生。这份报告对Waymo的自动驾驶技术进行了详细的解读，希望能够对自动驾驶从业者带来一些启发。
三
、
测试及验证方法
：
确保车辆的自动驾驶性能及安全性
Waymo车辆并不完全依赖于GPS功能，车辆将交互参照预先绘制的地图与实时传感器数据，在对两者进行比对后，确定车辆在的位置。
在开车前，Waymo团队首先会打造详尽的3D高清地图，突出显示道路剖面图（road profiles）、路缘石（curbs）及人行道、车道标志、斑马线（crosswalks）、停车牌及其他道路情况。
Waymo自动驾驶汽车的传感器和软件持续的扫描周围300米范围内的环境信息:行人、车辆、机动车辆、非机动车辆、道路施工、道路障碍物等；并不断的从红绿灯颜色和铁路交叉道口的临时Stop Sign不断读取交通控制信息；
此外，车载系统还将从铁路道口交叉栅门（railroad crossing gates）识别临时性停车的信号。Waymo旗下测试车辆的扫描半径为300米，其探测领域相当于三个足球场大小，可实现全方位覆盖。
Waymo的软件可基于道路上各动态目标的当前速度及行动轨迹，预测到其未来的动向，甚至能分清车辆与骑行者或行人间的差别。该软件利用从其他道路使用者处获得的信息，预计可能存在的多种行驶路径。该软件还将道路的变化情况也纳入其考量范围（如车道发生交通拥堵），并预测路面情况将对测试车辆周边的其他目标产生何种影响。
该软件考量这类信息的方方面面，试图寻找一种适合车辆采用的方法与行驶路径。Waymo软件可选定精确的驾驶轨迹、车速、车堵及确保道路安全所需的转向操控。因为这类车辆将持续监控环境，预判车辆周边其他道路使用者的驾驶行为，能够对变道作出快速响应并确保变道期间的安全性。
Waymo系统安全计划：设计保证安全（Safety by Design）
作为第一家在公共道路上实现完全自动驾驶的公司，Waymo唯有靠自己的拼搏。在公司成立之初，公司就建立了自己的系统安全计划（System Safety Program），将这一安全理念根植于技术测试和开发流程中。该项目采用一个综合性、稳健的方法，Waymo将其称之为：设计保证安全。
“设计保证安全”意味着Waymo从最底层的系统级开始考虑安全性，并将安全性纳入各系统层级与各个开发阶段，确保从设计到测试、验证，在整个过程中始终贯彻安全性这一核心理念。该方法还借鉴了从航空航天、汽车及国防等行业中的最佳实践（best practice）。
在遵守这类最佳实践后，Waymo对自动驾驶车辆各个部件进行了大量测试，确保在整合到整套自动驾驶系统后，所有的子系统均能够安全地运行。
该方法还有助于验证全自动驾驶车辆上路行驶时的安全性。同时，Waymo还可以了解系统部件、子系统或其他方面的任何变化或故障会对在整个自动驾驶系统中造成何种影响。
该进程还将影响Waymo的各个安全功能，其中就包括：冗余临界安全系统（redundant critical safety system），使车辆在遇到技术故障时，可采用安全的方式停车。车辆可借助具有功能互补的各传感器的协同配合，使传感器的视场重叠。此外，公司还开展了大量的测试项目，有助于对旗下技术进行快速调整及升级，进而提升车辆的安全性。
Waymo的系统安全计划涉及5个截然不同的安全领域：行为安全性、功能安全性、碰撞安全性、操作安全性和非碰撞安全性。上述各领域都需结合各种测试方法，旨在验证完全自动驾驶车辆的安全性。
指车辆在道路上的行驶决策和行为。自动驾驶车辆也需要遵守交通规则，必须在各种驾驶情境（不论是该情景是预期内还是预期外的）为用户提供导航，确保驾驶安全性。
Waymo
运用各类功能性分析
、
仿真工具和路测
，
确保充分了解在业务设计领域内出现的各类挑战
，
并制定安全性要求
，
采用多管齐下的测试和验证过程
。
其旨在确保
Waymo
车辆在系统存故障或失效时的安全操控
，
这意味着要建立备份系统和冗余机制来应对车辆的意外状况
。
例如，Waymo旗下的所有自动驾驶车辆均配备了辅助计算机（secondary computer），可在主计算机出现故障时代替其接管车辆的操控，实现车辆的安全停车（即：最小风险条件）。旗下各车辆均配备了备用转向及制动系统，整个系统还有其他多层冗余。
即耐撞性，是指车辆通过各种措施保护车内乘客的能力，借助结构性设计来保护车内人员，提供座椅约束装置（seat restraints）及安全气囊，减轻车内人员的伤亡程度。
在美国，碰撞安全性被纳入到美国联邦机动车安全标准（Federal Motor Vehicle Safety Standards，FMVSS）中，该标准由美国国家公路交通安全管理局（NHTSA）发布。为此，各大车企务必要证明其基础车型符合FMVSS的相关要求。
指车辆和乘客之间的交互（人机交互）。当确保操作安全性后，Waymo才能确保为消费者带来自动驾驶车辆所提供的安全而舒适的体验。公司旨在打造安全的自动驾驶车辆，借助危险分析、现有安全标准、大量的自动驾驶测试及从各行业借鉴而来的最佳实践来实现。公司还将采取各项举措，如公司提供的前期试驾乘坐体验项目（在第4节中将进一步介绍）。此外，公司已研发了一款用户界面，使乘客能清楚地了解其目的地，指挥车辆靠边停车，并联系Waymo获取技术辅助。
针对可能与车辆相互作用的人群，Waymo旨在提供身体上的安全防护。例如，电子系统或传感器所带来的危害，上述设备或将对乘客、汽车技工、驾驶员、急救人员或旁观者造成身体伤害。
Waymo在系统安全计划内设定了安全进程，确保车辆的安全性。需要制定所需的安全要求，旨在从企业内部减少潜在的风险，务必在设计时再度强调安全性，然后进行验证及确认，证明安全风险已降低至所确定的水平。
首先，从识别危险场景入手，然后再确定潜在风险的相关规避措施。这些措施可以采取多种形式，如软件或硬件的要求、软硬件的设计建议、程序控制（procedural controls）或其他的分析建议。
公司还采用了各种风险评估方法，如：预先危险性分析（preliminary hazard analysis）、故障树，设计失效模式及后果分析（DFMEA）。该持续性过程与现行的工程及测试活动、安全工程分析密切相关。
危险分析过程有助于识别自动驾驶系统架构、子系统和组件的相关要求，这类安全性要求通过一系列子系统及系统分析技术、各种系统工程设计进程及美国联邦及各州法律法规的要求来制定而成。这类分析还对Waymo的行为安全性测试要求以及系统如何检测和处理故障提供支持。
基于Waymo的系统架构及要求，公司在公共道路、闭合环境及模拟驾驶情景内进行了大量的测试。借助从上述测试、国家碰撞事故数据及从驾驶研究中采集到的信息，Waymo为潜在危险提供更多的分析。
Waymo多管齐下，获得了大量的专业技术知识，在理解Waymo的系统中起到了重要作用。基于这一认识，公司能够全面分析并评估系统的安全性，然后才可以在公共道路上进行完全自动驾驶车辆的操作。
完全自动驾驶系统与当前在售车辆车载系统不同，其车辆的驾驶操控无需驾驶员的介入，与当前车辆所车采用的自适应巡航控制或者车道保持系统也有不同，因为后者需要驾驶员持续监控。Waymo的系统涉及软件及硬件，当其被整合到车辆后，可执行所有的驾驶功能。
用自动驾驶的行话来说，在特定地理区域和特定条件下，Waymo的自动驾驶系统可完成整套动态驾驶任务，无需人类驾驶员介入操作。
这种技术可被归类到国际汽车工程师学会（SAE International）定义的4级自动驾驶系统中，若遇到任何系统故障，Waymo的技术可实现车辆的安全停靠，将安全风险降至最低。
与1-3级自动驾驶分级不同，4级自动驾驶可在系统发生任何故障时实现车辆的安全停靠，而无需人类驾驶员接管车辆的操控。
先进驾驶辅助技术是Waymo团队开发的首批技术。2012年，公司开发并测试了3级自动驾驶系统，该系统可让车辆在单车道的高速公路上实现自动驾驶，但测试期间，仍需要驾驶员挤介入操作。在内部测试中，公司还发现人类过于依赖这项技术，并未仔细地监控路况。
当驾驶辅助技术变得越发先进时，通常要求驾驶员在数秒内完成从乘客到驾驶员的角色转换，但通常是在更具挑战性或更复杂的情况下，这类场景很少。车辆承担的任务越多，这一过渡阶段就越来越复杂。
为使驾驶员双手得以脱离方向盘，不必再介入车辆操作，Waymo正在开发完全自动驾驶车辆。公司技术将关注驾驶的全过程，使用户在车内成为纯粹的乘客。
为满足自动驾驶的复杂需求，Waymo开发传感器矩阵，可实现360度全景探查及监控，不论白天或黑夜，且视野面积可达3个足球场那么大。
这类多层级传感器套件可以无缝协同工作，绘制出清晰的3D全景图像，显示行人、自行车、来往车辆、交通指示灯、建筑物和其他道路特征等动态及静态目标。
LiDAR（光检测和测距）可全天候工作，每秒可发射数百万个360°全景激光脉冲，测量反射到表面并返回车辆所需的时间。
Waymo的系统包括内部开发的三种类型激光雷达：1. 短程激光雷达，可使车辆持续不断地获得车辆周边环境；2. 高分辨率的中程激光雷达；3. 新一代功能强大的长距离激光雷达，视线面积可达三个足球场。
Waymo视觉系统包括，用于观察世界的摄像头，同时具有360°全景视野，相较之下，但人类的视野却只有120°。由于Waymo视觉系统分辨率高，可探查不同的颜色，因而能帮助系统识别交通指示灯、施工区、校车和应急车辆的闪光灯。Waymo的视觉系统由多套高分辨率摄像头组成，以便在长距离、日光和低亮度等多种情境下完成协作。
雷达利用波长来感知物体及其运动，这类波长穿透雨滴等目标物，从而使得雷达在雨、雾、雪等天气中都发挥效果。Waymo的雷达系统具有连续的360°视野，可追踪前后方和两侧过路车辆的行驶速度。
辅助传感器（Supplemental Sensors）
Waymo还提供了部分辅助传感器，包括：音频检测系统，该系统可以听到数百英尺远的警车和急救车辆所发出的警报声；而GPS可以补充为车辆对其自身的地理定位提供辅助。
Waymo自动驾驶软件
自动驾驶软件就是车辆的“大脑”，使得传感器采集的信息变得有意义，这个“大脑”还能利用这些信息帮助车辆做出最佳驾驶决策。
Waymo已经花了八年的时间来打造并完成这类软件，并运用了机器学习及其他先进的工程技术。经过多年的精心设计和测试，Waymo的模拟驾驶里程数已高达数十亿英里，自动驾驶路测里程数也超过了350万英里。
Waymo的系统可实现对这个世界深度情境理解，这也是区分Level 4自动驾驶技术的关键部分。
Waymo的自动驾驶软件，不只是检测其他物体的存在，还能真正理解这个物体本身，可能会做出的举止以及对车辆上路驾驶行为所造成的影响，此即为Waymo车辆在全自动模式下实现安全驾驶的方式与原理。
鉴于Waymo软件由不同部分组成，在这里Waymo将细介绍三个重要组成部分：感知、行为预测和规划软件。
感知是Waymo软件的功能组成之一，可用于检测道路对象并对其分类，同时还可用于估算速度、航向和加速度。公司的自动驾驶软件可从Waymo的传感器获取无数详细信息，并将其转化为实时视图。
感知有助于车辆区分行人、骑行者、摩托车手、车辆等，还能区分诸如交通信号等静态物体的颜色。对于这些物体，感知使Waymo系统能从语义方面了解车辆周边的情况，如：交通灯是否为绿色，车辆是否启动并行进，车道是否堵塞，上述一切尽在掌握。
通过行为预测，软件可对道路的各对象的意图进行建模、预测及理解。由于Waymo已拥有数百万英里的驾驶里程经验，在面对不同的道路对象可能做出的行为时，Waymo旗下的车辆已构建了高精准度的建模。
从软件了解到，行人、骑自行车者、摩托车手可能看起来相似，但在行为上则有很大差异。行人可能比骑自行车者、摩托车手速度都要慢，但其都有可能突然转向。
Waymo的规划软件会考量从感知和行为预测两个程序中所采集集到的所有信息，并为车辆绘制好路径。依据经验，最好的司机往往是具有防范意识的司机，这也是Waymo会训练防御型驾驶行为的原因。例如：远离其他司机的盲点区域，给骑行车者和行人留出额外的空间。
Waymo的规划软件会优先考虑这几步。例如，如果自动驾驶软件认为前面的车道因施工而关闭，并预测到车道上的自行车会移动，那么规划软件可以做出决定，以便提前给骑自行车者减速或腾出空间。
依据道路经验，Waymo还完善了驾驶体验，以确保车辆中的乘客在路上是平稳而舒适的。对于其他道路使用者来说，也是自然和可预测的。
运行设计域（operational design domain，简称ODD）是指自动驾驶系统可安全运行的条件。Waymo的范围包括：地理位置、道路类型、速度范围、天气、时间、国家及当地交通法律法规。
事实上，自动驾驶的ODD可能是非常有限的。例如，在白天的温度气候条件下，在一条低速公路道路或私人场地（如商业园区）划出一条固定的单程路线。然而，Waymo旨在提供更为广阔的设计域，可为日常驾驶任务提供支持。为此，公司研发新的自动驾驶技术，可在更广泛的地理区域内为车辆提供全天候的城市道路导航服务。Waymo车辆设计使其能在恶劣天气下驾驶，如：中雨、白天和夜间都能正常工作。
Waymo的车载系统设计使其无法在未经批准的运行设计域外行驶。例如，乘客无法选择除认可的地理位置外的地方作为其目的地，车载软件不会在“地理围栏”区域以外地方创建驾驶路线。
同样，Waymod 车辆设计使其能自动检测到其运行设计域内可能会影响安全驾驶的突发情况（如：暴风雪天气），以便使车辆及时安全制停直至行驶条件得以改善。
Waymo的车辆还需遵守其地理区域内的联邦、州政府和当地的法律。法律要求及要求中的任何变化都被视为系统中的安全要求，其涉及相关的速度限制、交通指示和信号。
在车辆驶入新区域之前，Waymo团队会逐一了解任何独特的道路规则或驾驶习惯，及时更新软件，并让车辆能够采取安全的应对方式。例如，加利福尼亚和德克萨斯州，自行车道上进行右转弯的规则存在不同。
与此同时，Waymo的ODD还将不断发展，最终目标是开发完全自动驾驶技术，从而可以让人类在任何时间、任何地点，任何情况下都能自由的从A地到往B地。
随着系统功能的不断提升及验证通过，Waymo还将不断扩大设计运行域，将Waymo的技术带给更多的人。
最小风险状况（回退，fallback）：确保车辆能够过渡到安全停靠状态
自动驾驶级数较低车辆依赖于驾驶员重新接管车辆的操作，当驾驶情景的复杂程度较高，将超出车载系统的应对能力。当自动驾驶技术遇到故障时，驾驶控制权也将重新回到驾驶员手中。
作为全自动驾驶汽车，Waymo的技术必须足够强大，才能独自处理这类复杂的驾驶情景。若自动驾驶车辆无法继续完成计划中的行程，其务必拥有安全停车的能力，即被称作“最小风险状态”或“回退”。
这可能包括以下情境：自动驾驶系统出现故障、车辆发生碰撞、环境条件的改变，进而导致在设定的运行设计域内或将对车辆的驾驶安全性产生影响。
Waymo的系统设计旨在自动检测各个上述场景。此外，系统的检查频率可达上千次/秒，旨在发现系统故障。同时，Waymo系统专为关键系统（如：传感器系统、运算系统及制动系统）提供了一系列冗余设计。
Waymo车辆可根据驾驶情境中的道路类型、当前的交通状况及不同程度的技术故障作出不同的应对，视具体因素而定，系统作出适当的应对，确保车辆及乘客的安全，包括：靠边停车或安全停靠。
车辆冗余——关键性安全系统（Safety-Critical Systems）
车载备用运算系统始终在后台运行着，当检测到主计算系统发生故障时，该系统将负责接管车辆的控制操作，以便实现安全停靠。
如果主制动系统出现故障，Waymo提供的整套备用制动系统将立即生效。当故障发生时，主制动系统、备用制动系统均可实现车辆的安全停靠。
备用转向系统拥有一套冗余驱动电机系统，并配置了独立的控制器及电源。若转向系统或备用转向系统中，另一系统均能够执行车辆的转向操作。
可为各个关键驱动系统提供两个独立的电源，后者可确保Waymo车辆的关键驱动组件在发生单电源故障或电路中断时仍然可用。
含碰撞检测及碰撞规避系统在内的多个备用系统可持续扫描车辆前后的物体，包括：行人、骑行者及其它车辆。若主系统未探查到行驶路径中的目标物（极少数情况），这类备用系统可控制车辆，逐步减速直至安全停靠。
冗余惯性测量系统（redundant inertial measurement system）可帮助车辆准确地追踪其道路行驶轨迹。主惯性测量系统、冗余惯性测量系统可交互核对，若探查到其中某个系统存在故障，则由另一个系统执行车辆定位。
Waymo自动驾驶技术将持续改进，永不停步。Waymo系统功能强大，可采集当先上路行驶车辆所产生的数据并加以分析。公司可吸取从某辆车上获得的经验教训，加以改进后可运用于整个自动驾驶测试车队。
Waymo系统可检测到碰撞的发生，并自动向Waymo后台运营中心发送通知。随后，训练有素的Waymo专家们可启动碰撞后响应程序，包括：与执法人员和急救人员进行沟通，并派人员到现场。Waymo运营中心还配有乘客支持专家，他们可以过车载音响系统与乘客直接沟通。
在碰撞发生后，公司将分析所有可用的数据，包括：视频数据及其他传感器采集到的数据，评估后确认可能的事故原因。同时，团队还将软件进行适当的调整，对整个车辆的车载系统进行必要的升级。凡是影响车辆安全的隐患都会被修复，在车载系统升级前，还会进行必要的安全测试。
Waymo已研发一套健全的应对流程，旨在对网络安全威胁加以识别、划分优先级及规避。Waymo的安全实践是建立在谷歌安全流程基础之上，遵循NHTSA及Auto-ISAC发布的指导策略。
为进一步提升未来的网络安全最佳实践，Waymo还加入了Auto-ISAC，这是一项旨在加强全球汽车行业网络安全意识和协作的行业性举措。
在自动驾驶车辆上路前，Waymo的地图团队首先利用测试车辆的传感器来创建高清3D地图，这类地图与基础级卫星图像或在线地图截然不同。相反，Waymo的地图使车载系统能够深刻理解相关的物理环境：道路类型、道路的距离、尺寸和其他地形地貌特征。
Waymo利用这类数据并凸显交通控制信息，如：人行横道的长度、红绿灯的位置、相关标识等。借助车载显示屏上显示的地图，Waymo的车载系统会重点关注车辆周边环境的动态变化，如：其他道路使用者的相关信息。Waymo系统采用交互参照传感器采集的实时数据及车载3D地图，旨在探查道路的变化。
若探查到道路的变化（如：前方发生碰撞事故，导致十字路口拥堵），Waymo的自动驾驶车辆可在运行设计域内对路径进行重新规划，并告知后台运营中心，使其他车辆在行驶时避开该拥堵区域。在这种情况下，地图不仅作为作为成为车载软件的参照点，还向车载系统提供重要的信息反馈。
这类详细的定制版地图使Waymo团队能够全面了解各行驶位置的道路情况。Waymo的车载系统的深度理解能力极为出色，可确保Waymo车辆仅在运行设计域内开展路测。
Waymo从车辆内部和外部同时着手，对所有自动驾驶系统的潜在安全访问点进行了全面审查，并采取措施，限制这些接入点的数量及功能。
首先，Waymo与车企等伙伴方开展合作，确定和减少基础车辆的漏洞数量。在进行软件设计及汽车设计过程中，Waymo全面考虑了所有已知的威胁，确保车载系统及车辆设计能应对这类威胁。
公司还通过同行评审及验证过程对软件进行调整升级，发布新版的车载软件。Waymo还采取了风险分析及风险评估过程，旨在识别并降低这类风险，包括那些与网络安全有关的风险。在Waymo的设计中，转向、制动、控制器等Waymo车辆的安全关键性系统均与外部通信隔断。例如：关键性安全运算可测试车辆的运动及动向，车载3D地图则受到屏蔽保护，无法通过车载无线连接接系统进行访问。
Waymo还考虑到了无线网络通信的安全性。Waymo车辆并不依赖于一个固定连接，确保车载无线网络的安全性。在上路行驶时，所有车辆与Waymo间的通信（如：冗余的蜂窝连接）均采取加密方式，Waymo运营支持人员与乘客间的通信也同样如此。车辆还能与Waymo的运营中心，采集更多的路况信息，Waymo车辆则始终负责执行驾驶任务。
上述防护措施有助于防范那些对自动驾驶汽车拥有访问权限的人，包括：乘客和附近怀揣恶意的人（malicious actors），旨在防止其对车辆进行恶意破坏或篡改其网络安全设置。公司提供多样化的机制来监察这类异常行为，并通过内部机制来分析这类事件。
若Waymo意识到，有人试图破坏车辆的安全性，公司将会启用公司级事件响应程序，其内容涉及评估、遏制、恢复和补救等措施。
三、测试及验证方法：确保车辆的自动驾驶性能及安全性
Waymo采用路测、封闭赛道（closed course）及模拟测试等手段，对其技术进行了大量的测试，确保各系统组成部分在运行设计域内运行时，均功能正常、安全可靠。
Waymo的自动驾驶车辆由三个主要的子系统组成，且各自都通过了严苛的测试：
2. Waymo内部硬件，包括：车载传感器及计算机；
3. Waymo自动驾驶软件，用于作出所有的驾驶决策。
结合上述子系统后就形成了全集成式自动驾驶车辆，随后再对该车辆做进一步测试及验证。对硬件和软件进行整体测试，确保自动驾驶车辆符合Waymo为车载系统所设定的所有安全要求。
Waymo直接与旗下供应商及分包商接洽，确保系统部件符合相关的性能、安全性及可靠性要求。公司对这类供应商采用失效模式与效应分析(Failure Mode and Effects Analysis)及风险评估进程中，致力于确认与制造工艺、独立部件亦或是部件整合到子系统时可能存在的风险。Waymo在产品制造期间就监控旗下产品的部件性能，并开展持续的可靠性测试，确保其符合设计规格及安全要求，然后在将其整合到旗下车辆中。
Waymo采用的多层级安全性措施受到了NASA火星漫游者（Mars Rover）的影响，两者采用同类的系统工程设计，NASA计划的实质是在远离地球数百万英里的火星上开展自动驾驶车辆路测。
首先，Waymo对各个系统部件进行测试，仔细检查了各个独立的摄像头，前者将组成自动驾驶车辆的视觉系统。此外，Waymo还对线缆、接口等零部件进行检测，确认其运转是否符合设计规程的要求。然后，再将各个摄像头进行设备整合，呈现环装结构（ring formation）配置，并检查各摄像头的角度及方向，以便实现360度全景视野。此外，Waymo会测试整个视觉系统，并将装配的摄像头纳入到自动驾驶系统内，工程师们会进行相应的测试，确保各个传感器能协同配合，且功能运转正常。
在将新视觉系统配置到某台自动驾驶测试车辆并进行路测前，受限会在另一个测试级下进行设备运行检测，确认视觉系统可正常发挥功效，并在各类不同照明条件下，执行探查交通灯、探查行人及识别交通锥（construction cones）。
待通过上述测试后，视觉系统才被纳入到自动驾驶系统内，留待路测时使用。
Waymo当前款自动驾驶路测车辆采用了2017款克莱斯勒Pacifica混动Minivan并加以改装，随后又配置了Waymo的自动驾驶系统。FCA出售给Waymo的改装车辆均通过其官方认证，且符合所有适用的美国联邦机动车安全标准（FMVSS）。
在FCA和Waymo的技术合作中，Waymo自动驾驶系统（含传感器及硬件）与FCA提供的改装的Pacifica Minivan实现设备整合。
为确保两者整合的效果，Waymo将自动驾驶系统整合到FCA的改装车辆上并组建自动驾驶测试车队。Waymo还进行了数千次的测试，涉及私人测试赛道、实验室测试和模拟测试等情境，旨在评估车辆的制动器、转向装置，以及锁、前灯和门等物理控制各个安全功能。
通过测试，Waymo可确保车辆在手动模式、自动驾驶模式（司机坐在方向盘后）及完全自动驾驶模式（车辆无人）的安全性。总体上，该测试旨在确保纳入自动驾驶系统后，车辆可实现安全行驶。
与硬件测试一样，自动驾驶软件也须遵循“安全保证设计（Safety by Design）”的原则。Waymo严格测试了该软件的各个组件，包括：感知、行为预测、规划及整套软件。
Waymo的技术会不断学习及提高。软件的每一次更新都经历了严格的发布过程。公司定期升级软件，以便其适用于各个运行设计域。每次更新都会经过模拟测试、封闭赛道测试和公共道路测试。
在模拟测试中，Waymo会对任意改动及更新进行严格地测试，然后再将其配置到车辆中。公司还挑选出车辆在公共道路上遇到的最具挑战性的情况，并将其数字化，转化为自动驾驶软件的虚拟情境，供模拟测试使用。
首先，会将新版软件更新到少数几辆车中，以便有经验的驾驶员在私人场地中测试。Waymo可以在不同的车辆上使用不同版本的软件，从而测试新的或特定的功能。
现实世界驾驶测试（Real-World Driving）
当软件运行与预期一致时，公司就开始在公共道路上开展车辆的路测。一开始会采取小范围测试，自动驾驶车辆务必要证明，其可预定路线行驶并确保安全性后，才会对整个车队开展软件更新。公共道路上行驶里程数越高，监控并评估软件性能的机会就越多。
随着驾驶里程数的增长，Waymo会进一步完善驾驶体验并更新车载软件。这类反馈回路（feedback loop）是持续性的，增强了团队的信心，坚信Waymo的软禁能在运行设计域内采取积极应对及响应，使车辆能达到SAE的4级自动驾驶水平。
模拟：虚拟世界是如何帮助车辆学习先进的现实世界驾驶技巧的？
Waymo的模拟器可在各个新软件版本里回放在真实世界里对驾驶里程数，还能构建符合实际的全新虚拟场景，用于车辆的模拟测试。
每天有2.5万多辆虚拟的Waymo自动驾驶车辆在模拟器中执行模拟测试，其驾驶里程数高达800万英里，旨在改进现有的驾驶技能及性的熟练操作，从而确保车辆在现实世界中的安全行驶。
举个例子：在亚利桑那州梅萨（mesa）的南隆摩街和西南大街的拐角处，有一个箭头标识的黄灯正在闪烁，示意车辆进行左转。
然而，这类十字路口的标识对于人类和自动驾驶车辆而言都是棘手的，因为驾驶员务必将车辆驶入五车道路口，然后要在车流里找到缝隙并通过。左转过早可能会造成危险，与迎面车辆相撞。左转过晚可会阻碍交通，令后方驾驶员不满。
针对这类在现实世界中常见的交通情景，模拟器提供很多次练习机会，以便自动驾驶系统最终掌握这一转弯技能。
Waymo采用了功能强大的定制版传感器套件，打造了一款虚拟现实情境，完美呈现各个交通路口、车道、路缘石、交通灯等，其尺寸与现实世界中目标物一致。在模拟中，Waymo关注于最具挑战性的人机交互，如黄色的闪光等信号、开错路的驾驶员或不守交通规则的骑行者们，而不仅仅只关注于高速公路测试里程数。
团队将这个黄色的左转闪光灯进行数字化，纳入到虚拟世界中，借助Waymo软件持续不断地练习该驾驶情景，测试数量高达数千次。每当更新软件时，Waymo都可在各种驾驶条件下测试同一路口的改变。
这就使车辆可在闪黄灯的路口自然地向前挪动，并融入到复杂的车流中的原因了。此外，在模拟中，团队可在穿过的各个设有黄色闪光灯的路口反复练习这项新技能，以便提升软件的运行速度。
接下来，通过这个棘手的左转来探索数千种驾驶情境及对应的假设（What ifs）。
通过名为“模糊（fuzzing）”的进程，可改变车流的速度及交通信号灯的时间，确保自动驾驶车辆仍能保持安全的车距。新增模拟行人、摩托车变道、慢跑者过马路等情境后，可使模拟情境内的交通状况变得更繁忙、更复杂，并观察上述因素将如何Waymo测试车辆的驾驶。
成功：
自动驾驶车辆已续到如何自信地应对黄色转向灯所带来的车辆转向操作。该项新技能成为了知识库的一部分，可与车队中的所有车辆共享。反之，Waymo将借助现实世界的路测及封闭赛道来验证模拟器里的经验，然后再次循环上述流程步骤。这类模拟里程数将队团队研究加以引导，最终确保在现实世界中长达数百万英里的路测安全性。
完全自动驾驶车辆务必要在相同运行设计域内应对人类驾驶员每天会遇到到的各类驾驶情境，这意味着自动驾驶系统需要证明其具有适用的技能，或“行为能力（Behavioral competencies）”，这对既定位置及运行条件而言，是不可或缺的条件。
美国交通部（DOT）已建议，（SAE）3至5级自动驾驶车辆应证明至少28项核心竞争力，前者是加州先进交通技术合作伙伴（PATH）在加州大学伯克利分校交通运输研究院的研究成果。DOT还鼓励各公司在设计、测试及验证自动驾驶系统时要考虑所有的行为胜任力”。
Waymo的安全计划则从广度及深度两方面上拓展了这28项核心竞争力，提升了其数千种测试场景的复杂性，确保Waymo的系统能安全地应对来自现实环境的挑战。此外，公司在最初的28个核心竞争力基础上进行了拓展，新增了诸多分类。
对于各项胜任力，Waymo团队在封闭赛道及模拟器上，创建了各种各样的单项测试。例如，为测试Waymo的左转能力，团队搭建了数十个现实生活中的情境，测试旗下车辆能否作出适当的反应。Waymo把有挑战性的变量带进常规道路练习，包括：多条线路的车流、用大卡车挡住车辆的视野等。
针对每个测试场景，Waymo采用了模拟器创建数百种不同的情境变化。借助虚拟测试，Waymo团队还可创建辆左转的全新场景，以便进一步测试此技能。
随着运行设计域的扩展，核心竞争力的数量或将增加（例如：在若在北美各州实现全年驾驶，系统务必要确保车辆可雪中安全行驶），且各类别中的测试数量可能会随之增长，纳入更多特有的或复杂的测试情境。
虽然这种情境测试可展示Waymo软件的核心驾驶技巧，但这类能力需要转化到现实世界中。所以，这只是一个起点，接下来需要获得模拟验证的结果，并将硬件及软件整合到车辆上，在现实交通状况下展现Waymo自动驾驶汽车的能力。
Waymo在加州专门为测试需求而设计建造私人封闭式测试赛道，其占地91公顷。这个昵称为“城堡（Castle）”的私有设施就像一个模拟城市，内设高速公路、郊区车道及铁路道口。Waymo团队使用这些设施来验证新软件，然后再将其更新路测车队中。并搭建具有挑战性的亦或是罕见的驾驶情境，以便获得所需的驾驶经验。
公司能够在封闭道路中进行数千次“结构化测试”，重新创建学习和测试用特定场景。为帮助拟器获取素材，Waymo在Castle内设置了2万多个模拟情境。
每个情境均可重新创造了一个用于想要练习的驾驶状况，如：一个心急的驾驶员快速变道，或者有人突然从停靠车辆下车，这类情况或许在公共道路上要很久才能遇到一次。
Waymo已经重现了人们从路边的帐篷或移动厕所里走出来，玩滑板的人躺在他们的滑板上，并在传感器前扔了一堆纸等各类情境。
这类“结构化测试”是加速技术进步的关键，还能确保车辆在日常驾驶及具有挑战性的驾驶状况下的安全性。
测试完基础型车辆、自动驾驶系统及软件后，Waymo测试了全集成式自动驾驶汽车，涉及封闭道路上的防撞测试、可靠性和耐久性测试以及测试驾驶员坐在方向盘后面的道路测试。
Waymo有一个综合性的道路测试项目，过去8年中持续不断地更新改进。这是非常重要的一个环节，可帮助验证研发的新技术，发现新的挑战性情境并研发新技能。
要推动道路测试，首先需要有经过高强度培训的驾驶员。在车辆路测时，驾驶员务必坐在车上，确保车辆的安全性。Waymo测试驾驶员需经过大量专业训练，了解整个驾驶系统，以及如何在公开道路上监控汽车安全行驶。同时，他们还要学习了防御型驾驶课程。经培训后，在公开道路上测试车辆时，驾驶员可以监控系统状况，在需要时及时控制车辆。
道路测试项目中，每周数万英里的测试里程数均被用于软件评估。Waymo负责监控系统，确保证明其性能胜任力。此外，公司还在寻找可建构这种特征的解决方案的驾驶情境，进而促成更为稳定的驾驶。
实时世界路测可提供了一个连续的反馈环路，可帮助Waymo持续细化系统。工程师们监控真实场景的解决方案、调整软件、更新驾驶系统，进而完成这些调整改变。Waymo采用这一迭代法，进行反复的测试后再在公开道路上验证该技术，帮助Waymo在扩展车辆能力操作设计的同时，采用更安全的方式测试车辆的性能。
在过去的8年中，Waymo在美国4个州内20多个城市开展了自动驾驶路测，从晴朗的凤凰城一直到多雨的柯克兰，自动驾驶测试里程数已积累了超过350万英里。每到一个新的地方，公司就可以获得多种不同道路环境、街景和驾驶习惯的经验。
比如，在凤凰城，Waymo可在沙漠环境下测试传感器及软件，包括：极端温度和扬尘条件下。此外，公司还学习如何引导新型交通工具，如：浇水车在路中间浇水的时候，速度可从3英里/小时可提高到45英里/小时，应如何引导其洒水作业。奥斯汀首次提供有横向交通信号灯，柯克兰则提供了更多的湿润气候。
在新城市内，Waymo每天都会遇到对自动驾驶车辆不太习惯的人们，并从这类不同的人群中得到获得新鲜的视角和观点，如：人们希望如何使用自动驾驶汽车？他们如何看待自动驾驶汽车？这些人可为Waymo发展和更新自动驾驶技术提供很多指引。
在极寒与极热条件下，需要Waymo自动驾驶车辆各项功能运转正常及车辆驾驶的安全性。Waymo工程师研发了自动驾驶软硬件，创造了一整套可在极端条件稳定运行的系统。
高温对所有的现代科技提出了挑战，如手机等电子设备，在烈日下使用时，可能因过热而关机。然而，公司务必确保自动驾驶系统在炎热环境下也能安全工作。
Waymo车辆配有特殊的冷却系统，可确保电子设备酷热环境下也能正常工作，即使在发动机全功率、系统满负荷运转时也不例外。
Waymo的工程师在一个风洞装置（wind tunnel）内进行了大量的测试，前者几乎可模拟各种天气情况，包括：地球上有史以来的最高温度。除风洞测试外，Waymo还在美国三处最热的地方测试其自动驾驶车辆：拉斯维加斯、戴维斯丹及死亡峡谷。
戴维斯丹位于亚利桑那和内华达州的边境，有漫长陡峭的沙漠公路，Waymo选择在烈日下进行路测。拉斯维加斯则可让测试团队在烈日下经历无数次停停走走的城市拥堵路况，该在情境下测试车辆。死亡峡谷的温度是134℉（57℃），该温度是地球上官方记载的最高温度。
在测试中，Waymo密切监视着系统温度，每秒记录可获得200多个不同的温度点，来验证自主开发的传感器套装及算法能否正常工作。
除测试核心的行为胜任力外，Waymo的工程师还在不同的情景下进行了防撞测试。
Waymo在私有测试道路上完成了数千次的防撞测试，每一次测试都在不同的驾驶情况下进行，便于测试团队分析自动驾驶车辆的应对。测试团队用模拟器对这类情境进行进一步测试，提升软件的总体能力。
Waymo从大量数据中了解应该测试哪种碰撞，包括：公司对NHTSA的致命碰撞数据库的分析、在自动驾驶车辆领域的广泛经验，将NHTSA的37个预碰撞情景加以扩充。团队还测试了其他情境，如：其他道路使用者可能造成的潜在危险情况，比如车辆突然驶离了车道、大型车切入目标车道、摩托车进入机动车道、行人乱穿马路等。
2015年，NHTSA发布的数据展示了最常见的预碰撞场景。例如，仅仅4种碰撞目录就涵盖了碰撞情形的84%：后端碰撞（追尾）、车辆转弯或者穿过十字路口、车辆沿路边行驶及车辆变道。为此，预防或规避这类碰撞是测试项目的重要目标。
自动驾驶车辆和传统车辆一样，务必确保其能可靠运行，这意味着车辆和各零部件务必能在极端环境及车辆的整个生命周期内运转正常。
Waymo工程师设计了独特的应力测试，利用物理性能疲劳度来提升车辆车辆及其零部件上的环境应力，测试团队将把真实生活中长达数年的使用周期压缩到数日或者数周内进行测试，确认车辆的性能。
首先，使零部件暴晒于紫外线辐射中，随后用强力水枪进行冲刷，将车辆浸在几近零度的水桶中、令其在充满盐雾的车间内慢慢腐蚀，借助强力晃动，使车辆摇晃及震颤，最后将其置于潮湿的空间内进行加热及冷冻，时间长达数周。
若出现失效，将进行设计改动，提升零部件的可靠性。该团队还监测各传感器及车辆本身的状态，在其出现问题前加以识别并解决潜在故障。
Waymo车辆的设计定位为自动驾驶车辆，用户界面的设计考量应关注乘客，而非驾驶员。
这是Waymo研发具体的车载功能及用户界面的原因，旨在帮助乘客理解Waymo自动驾驶车辆上路行驶的具体内容，让乘客选择目的地、靠边停车并在需要时与Waymo支持热线联系，获取所需的支持。公司了解当前交通领域存在的挑战，特别是可访问性的相关挑战。公司致力于研发多种方案，为各类用户提供便捷。
除为乘客提供安全、直观的日常出行方案外，Waymo还开发了流程，以便应对紧急情况。例如，不仅Waymo车辆能探查到碰撞并对路上的紧急车辆作出应对。此外，公司还与法律部门及现场急救人员进行了培训，前者可能会与Waymo车辆发生接触。
最后，自动驾驶的潜力只有在逐步获得公众的认知及认可后才能完全实现。今年10月，Waymo启动了“让我们谈论自动驾驶（Let’s Talk Self-Driving）”——全球最大的自动驾驶相关的公共教育活动。
通过与国家、地区安全小组及资深团体的伙伴合作，Waymo希望能有更多的公众参与进来，使其了解自动驾驶技术的工作原理及其背后的巨大利益。
公司希望了解自动驾驶汽车是如何满足人们的日常通勤需求的，无论其是作为私人用车，还是共享用车亦或是令民众的通勤出行更为便捷，这也是Waymo于今年4月在凤凰城启动了早期骑行者项目的原因。此外，这也是Waymo自动驾驶车辆的首次公开试验。
Waymo的试乘者来自不同的人群，从带着青少年前来的家庭到年轻的工作者，他们用Waymo的自动驾驶车辆来实现其每日活动，包括上下班、到带孩子去参加足球练习等。重要的是，工人人员要让他（她）们学习如何操作车辆，Waymo的研究团队与使用者保持密切的联系，为其提供项目信息、告知其如何使用车辆并提供反馈。
在过去的100年里，进行车辆设计时，总是假定车内将配置一名人类驾驶员。本次试驾体验活动将告知Waymo工作人员，人们想要如何与车辆实现互动，他们将以乘客的立场提出建议。他们的试乘体验及反馈将帮助Waymo打造一种更直观、更方便的车内体验。
Waymo的用户体验设定了4大主要指导原则：1. 给予乘客无缝出行所需的信息；2. 帮助乘客预期将要发生的事情；3.积极主动地沟通车辆对道路事件的应对及反馈；4. 帮助乘客与车辆的安全共存。
提供给乘客音频及视觉信息可帮助Waymo了解预期步骤，提醒其注意系安全带等安全防护措施，并允许其与Waymo试乘辅助人员实现通信。
Waymo还想要乘客们意识到车辆的感知功能及其采取具体操作的原因。各测试车辆在试乘全程中为乘客们提供了有用的视觉及音频信息，帮助其了解周边其他车辆及道路使用者们的当前操作。测试车辆均配置了多款显示屏，可提供可视化的试乘信息，如：目的地、当前车速、车辆选取的既定路线等。音频系统还将向所有试乘人员提供音频通知及操作提示。
若遇到关键性安全事件，显示屏及音频系统将提供具体的可视化及语音提示，视具体情况而定。Waymo旨在设计多种途径，实现试乘者与车辆的人际交互，如：按下按钮、采用手机App及与Waymo试乘服务支持的专家们沟通。
Waymo乘客显示屏可显示目的地、到达时间等重要信息，其还提供交通灯、停车信号牌等静态道路要素的可视信息。此外，显示屏还提供了车辆、骑行者及行人等车辆周边环境中的动态要素。
试乘者们借助该方式理解车辆的感知功能及应对，从而对自动驾驶车辆的性能产生信心。
准备就绪后，试乘者可利用App或者按下车内的按钮来开始其行程。
车辆有一个靠边停车（Pull Over）按钮，当按下该按钮后，车辆将会找到最近的安全停靠点，使试乘者在到达目的地前先完成车辆的安全停靠。
Waymo早期试乘者项目的参与人，可在Wayo自动驾驶测试车辆内利用移动App，要求车辆驶向目的地。该款App还能令用户给予使用反馈并和联系Waymo寻求相关支持。
Waymo创建了一个试乘者支持小组，旨在为早期试乘者答疑解惑。试乘者们可通过在车内的按钮、电话App联系这些专家，从而获得技术支持。专家们将在试乘过程中或遇到突发情况时给予试乘者们相关的技术辅助。
Waymo相信其技术潜能巨大，可为全球各地的人们提供安全的出行服务。从一开始，Waymo一直在聆听残障人士人群的心声，并与其共同致力于车辆的研发。
公司持续不断地了解到各类试乘者们的不同需求，并利用所获得的反馈及心得打造新的特色功能，使哪些残障人士也能体验自动驾驶车辆的试乘。
但Waymo也明白，紧靠公司自身是无法达成上述目标的。为此，公司与与合作伙伴合作，打造能够服务于更多人群的车辆平台及解决方案。
研发中的辅助功能（Accessibility Features）
Waymo正在构建一款直观、便捷的手机应用，专为使用Android TalkBack、iOS VoiceOver及其它访问服务而设计。
存在视力障碍的试乘者需要协助将车辆定位在出发地点。公司正在探索具体的“寻路（wayfinding）”功能，包括：驾驶者可让车辆提供语音辅助，帮助其引导车辆行驶；可在手机App中打开新增的语音提示，该服务可在车内使用，助其了解其旅程情况。
Waymo自动驾驶车辆中的各行驶按钮（ride buttons）伴有盲文标签，使得存在视障的驾驶员能够完成启动车辆、靠边停车等操作，亦或是与操作人员通话，后者将向其提供进一步的辅助及信息。手机应用中也有提供这类功能键。
在通过各个行驶阶段，聋哑及存在听力障碍的驾驶者可通过屏幕上的可视提示，了解车辆的周边状况。
Waymo采用对话形式的驾驶辅助，借助车载视频显示或音频提供各类试乘者所有的驾驶功能。
Waymo的自动驾驶车辆可实现与执法人员及现场急救员的互动。使用含音频检查系统在内的Waymo定制版传感器套件后，Waymo软件可鉴别附近的消防车、检测闪光灯，可在数百英尺远的地方听到警报声。音频传感器可识别警报声并预判可能的声源方向，提升车辆的安全性与及时响应能力。检测到紧急情况后，Waymo车辆可作出及时响应，靠边停或停靠在路边。
Waymo在多个城市中开展过自动驾驶路测，公司将简单介绍各当地政府的信息，并提供一系列沟通方式，以便达成一致。在一些城市，Waymo还进行现场培训，帮助警察及其他紧急援救人员在紧急情况下鉴别Waymo车辆的身份。
公司计划持续开展这类现场培训并扩大培训范围，因为其车辆的功能越发强大，而运行设计域也有所增强。
Waymo已与亚利桑那州钱德勒警察局及消防部门开展合作，测试其自动驾驶车辆。当地警车、摩托车、救护车、救火车及非标示特殊作业车辆追踪、通过并引导Waymo车辆时，含远程音频检测系统在内的强大传感器套件可观测到上述各类车辆。Waymo传感器可在各种速度、距离和角度下完成数据采样，构建视觉及声音库，在道路上遇到紧急车辆时，这将有助于Waymo车辆做出安全响应。
这8年多来，Waymo始终专注于做一件事：让完全自动驾驶技术成为现实。Waymo“设计保证安全”这一准则，公司文化也将安全性放到核心位置，并多次公开强调安全性的重要性。Waymo的全体员工希望能实现这一目标，借助自动驾驶技术，确保车辆及人员的安全性，并为用户提供便利。
微信扫码咨询专知VIP会员