Waymo的系统安全解决方案

　　我们的系统安全计划涉及5个不同的安全领域：行为安全、功能安全、碰撞安全、操作安全和非碰撞安全。每一个领域都需要各种测试方法的组合，这些测试方法可以让我们验证全自动驾驶汽车的安全性。

行为安全

　　行为安全是指车辆在道路上的行驶决策和行为。正如人类驾驶员，自动驾驶车辆也要遵守交通规则，必须在各种情况下安全地导航——无论是预料中的还是意外的。

　　Waymo运用功能分析、仿真工具和道路驾驶，以充分了解在我们的业务设计领域提出的挑战，并制定安全要求和多管齐下的测试和验证过程。

功能安全

　　功能安全旨在确保我们的车辆安全运行，即使有系统缺陷或故障。这意味着要建立备份系统和冗余机制来处理意外情况。

　　例如，我们所有的自动驾驶车辆都配备了第二台计算机——在主计算机出现故障时可立刻接管车辆，使车辆安全停车（即最小风险条件）。我们的每一辆车都有备用转向和制动，整个系统还有其他许多冗功能。

碰撞安全性

　　碰撞安全性，即耐撞性，是指车辆通过各种措施保护车内乘客的能力，从保护车内人员的结构设计到具有座椅约束和安全气囊的功能，以减轻伤害或防止死亡。

　　碰撞安全性是由美国联邦机动车辆安全标准（FMVSS）定义的，由美国国家公路交通安全管理局（NHTSA）发布。汽车厂商必须证明他们的基础车模型满足FMVSS要求。

操作安全

　　操作安全是指我们的车辆和乘客之间的互动。有了操作上的安全，我们可以确保消费者在自动驾驶车辆中拥有安全舒适的体验。

　　我们建立安全产品的方法是通过危险分析、现有安全标准、广泛测试和各种行业的最佳实践而得知的。例如，通过我们早期的乘坐项目（在4节中进一步介绍），我们已经开发和测试了一种能使乘客可以清楚地表明目的地，指挥车辆靠边停车，并联系Waymo的用户界面。

非碰撞安全

　　我们针对可能与车辆相互作用的人群进行物理上的安全处理。例如，电子系统或传感器的危害，可能会对乘员、车辆技术人员、驾驶员、急救人员或旁观者造成伤害。

安全流程

　　为了减少潜在的内部风险，必须在设计中强调安全性，然后进行验证以证明安全风险已降低到可以确定的水平。

　　我们的方法从识别危险场景和潜在风险的缓解措施开始。这些措施可以采取多种形式，如软件或硬件的要求、设计建议、程序控制或额外的分析建议。

　　我们使用各种风险评估方法，如预先危险性分析、故障树，设计失效模式及后果分析（DFMEA）。这个连续过程与正在进行的工程和测试活动以及安全工程分析密切相关。

　　风险分析过程有助于我们识别自动驾驶系统的体系结构、子系统和组件的需求。这些安全要求是从一系列子系统和系统分析技术、各种系统工程过程以及联邦和州的法律法规中发展起来的。分析还支持Waymo的行为安全测试需求发展，以及系统如何检测和处理故障。

　　Waymo在公共道路、闭合环、以及模拟驾驶环境上都进行了广泛的测试。我们使用从这次测试中收集到的信息，以及对国家碰撞数据和自然驾驶的研究，为潜在危险提供更多的分析。

　　来自这些工具的组合在Waymo对系统准备就绪的理解中起着重要作用。基于这一认识，我们能够全面分析和评估系统安全性，然后才可以在公共道路上进行全自动驾驶操作。

二、Waymo自动驾驶汽车是如何工作的？

自动驾驶系统

　　与现在汽车采用的技术不同，如自适应巡航控制或者车道保持系统，需要驾驶员不断监控。Waymo自动驾驶系统的开发则基于无人参与。Waymo的自动驾驶系统包含软硬件，当集成到汽车中，就能执行所有的驾驶功能。

　　用自动驾驶的行话来说，Waymo的自动驾驶系统在特定地理区域和特定条件下，可以完成整个动态驾驶任务，人类驾驶员不需要提供操作。

　　这种技术在国际汽车工程师学会（SAE International）的定义上来看，属于自动驾驶系统的Level 4级别，即在任何系统故障事件中，我们的技术可以为车辆提供安全制停的能力，实现最小的安全风险。

　　与Level 1、Level 2、Level 3这些较低级别的自动驾驶系统不同，Level 4级别可在任何系统故障的情况下，给车辆安全制停的能力，而无需人类驾驶员接管。

全自动驾驶：让人类一直保持“乘客”身份

　　高级驾驶员辅助技术是Waymo团队探索的首批技术。2012年，我们开发并测试了Level 3自动驾驶系统，该系统可以让车辆在单车道的高速公路上实现自动驾驶，但过程仍然需要人类司机的接管。在内部测试中，我们还发现人类过于依赖这项技术，而没有仔细监控路况。

　　当驾驶员辅助技术变得更加先进时，人类经常被要求在几秒钟内由「乘客」转向「司机」，但在更具挑战性或更复杂的情况下，这些场景用得很少。车辆承担的任务越多，这一过渡阶段就越来越复杂。

　　避免这个转接过程带来的问题，也是Waymo正在开发全自动驾驶汽车的部分原因。我们的技术将关注所有驾驶，让人类在车内保持「乘客」身份。

目标和事件检测响应：车辆传感器

　　为了满足自动驾驶的复杂需求，Waymo开发了一系列传感器，让自动驾驶汽车无论是在白天还是夜晚，都能实行360°监控，且视野面积可达3个足球场那么大。

　　这种多层传感器套件可以无缝协同工作，绘制出整个视野的3D图像，并显示动态和静态物体，包括行人、自行车、来往车辆、交通指示灯、建筑物和其他道路特征。

LiDAR（激光雷达）系统

　　LiDAR（光检测和测距）的日夜工作，可在每秒内输出数百万个360°的激光脉冲，测量反射到表面并返回车辆所需的时间。

　　Waymo的系统包括内部开发的三种类型激光雷达：短程激光雷达可以让车辆持续不断地观察和监控；高分辨率的中程激光雷达；新一代功能强大的长距离激光雷达，视线面积可达三个足球场。

视觉（照相机）系统

　　我们的视觉系统包括，用于观察世界的照相机，该相机可像人类一样观察世界，同时具有360°视野，而人类只有120°视野。由于Waymo的高分辨率视觉系统能检测到色彩，它可以帮助系统发现交通指示灯、施工区、校车和应急车辆的灰灯。Waymo的视觉系统由多套高分辨率相机组成，以便在长距离、日光和低亮度的情况下也能很好的工作。

雷达系统

　　一般而言，雷达使用波长来感知物体和运动。这些波长能够在诸如雨滴等物体的周围进行传播，从而可以让雷达在雨、雾、雪天气中都发挥效果。Waymo的雷达系统具有连续的360°视野，可以跟踪车辆的前后方和两侧过路车辆的行驶速度。

补充传感器

　　Waymo还有一些额外的传感器，包括音频检测系统，该系统可以听到数百英尺远的警车和紧急车辆发出的警报声，以及GPS，它可以补充车辆对其地理位置的了解。

Waymo自动驾驶软件

　　自动驾驶软件就是车辆的「大脑」。它让来自传感器的信息变得有意义，这个「大脑」还能利用这些信息帮助车辆做出最佳驾驶决策。

　　Waymo已经花了八年的时间来打造和完善这些软件，并在其中使用了机器学习和其他先进工程技术。经过多年的精心设计和测试，Waymo已经收获了数十亿英里的模拟驾驶，以及超过350万英里的道路驾驶经验。

　　同时，我们的系统还对这个世界拥有很深的语境理解，这也是区分Level 4自动驾驶技术的关键部分。

　　Waymo的自动驾驶软件，不只是检测其他物体的存在，还要真正理解这个物体是什么，它可能做出哪些举止，以及如何影响我们的车辆在路上的行为。这就是Waymo的车辆如何在全自动模式下实现安全驾驶。

　　鉴于我们的软件由不同部分组成，在这里Waymo将细介绍三个重要组件：感知、行为预测和规划。

感知

　　感知是Waymo软件用于检测和分类道路对象的一部分，同时还可用于估算速度、航向和加速度。我们的自动驾驶软件可以从Waymo的传感器获取无数细节，并将它们变成一个实时视图。

　　感知有助于车辆区分行人、骑自行车者、摩托车手、车辆和其他物体等等。它也能区分诸如传输信号之类的静态物体的颜色。对于这些物体，感知能让我们的系统在语义上了解周围车辆的情况——无论交通灯是绿色的，车辆是否亮起，车道是否被阻挡，都能知晓。

行为预测

　　通过行为预测，我们的软件可以对道路的每个对象的意图进行建模、预测和理解。由于Waymo已经拥有数百万英里的驾驶里程经验，在面对不同的道路对象可能做出的行为时，我们的车辆已经构建了高精准度的模型。

　　例如，我们的软件了解到，行人、骑自行车者、摩托车手可能看起来相似，但在行为上则有很大差异。行人可能比骑自行车者、摩托车手速度都要慢，但都有可能突然转向。