规划

　　我们的规划软件会考虑到从感知和行为预测两个程序中收集到的所有信息，并为车辆绘制好路径。依据我们的经验，最好的司机往往是防御型的司机。这也是为什么我们会训练防御型驾驶行为。比如远离其他司机的盲点区域，给骑自行车者和行人留出额外的空间。

　　Waymo的规划软件会优先考虑这几步。例如，如果自动驾驶软件认为前面的车道由于施工而关闭，并预测车道上的自行车会移动，那么规划软件可以做出决定，以便提前给骑自行车者减速或腾出空间。

　　依据道路经验，我们还完善了驾驶体验，以确保车辆中的乘客在路上是平稳而舒适的。对于其他道路使用者来说，也是自然和可预测的。

设计运行范围：确保车辆在特定条件下可安全运行

　　设计运行范围（operational design domain，简称ODD），是指自动驾驶系统可以安全运行的条件。Waymo的范围就包括地理位置、道路类型、速度范围、天气、时间、国家和地方性交通法律法规。

　　事实上，自动驾驶的ODD可能是非常有限的。例如，白天的温带气候条件下的一条低速公共街道或私人场地（如商业园区）的单程固定路线。然而，Waymo的目标在于可以在广泛的地理区域内、在各种条件下导航城市街道。我们的车辆已经具备在恶劣天气下驾驶的能力，如中雨，白天和夜间都能正常工作。

　　Waymo的系统也被设计为不能在未经批准的设计运行范围之外运行。例如，乘客不能选择我们认可的地理位置之外的目的地，我们的软件不会创建在「地理围栏」区域以外的路线。

　　类似地，我们的车辆也被设计为自动检测可能会影响其ODD以内的安全驾驶的突然变化，例如，暴风雪天气，以让车辆及时安全制停（即达到最小风险条件）直至行驶条件得以改善。

　　Waymo的车辆还需遵守其地理区域范围内的联邦、州政府和当地的法律。经法律要求，这些要求中的任何变化，都被视为我们系统中的安全要求，包括相关的速度限制、交通指示和信号。

　　在我们的车辆驶入新区域之前，我们的团队会逐一了解任何独特的道路规则或驾驶习惯，以及时更新软件，并让车辆能够安全做出响应。例如，加利福尼亚和德克萨斯州，就自行车道上如何进行右转弯则有不同规则。

　　与此同时，Waymo的ODD还将不断发展。我们的最终目标是开发完全自动驾驶技术，从而可以让人类在任何时间、任何地点，任何情况下都能自由的从A地到往B地。

　　随着我们系统功能的不断增长和验证，我们还将不断扩大设计运行范围，将我们的技术带给更多的人。

　　最小风险状况：确保车辆能够过渡到安全停止状态

　　对于低等级自动驾驶水平的车辆，当道路环境过于复杂，超出车辆处理能力或车辆本身出现故障时，需要由人类驾驶员执行对车辆的控制。

　　作为全自动驾驶汽车，Waymo的技术必须要具备足够的鲁棒性以能够独自处理这些状况的能力。

　　如果我们的自动驾驶车辆不能继续一段计划中的行程，它必须有能力进行安全停止，即被称作“最小风险状态”或“回退”。

　　这可能包括以下情况：自动驾驶系统感知到故障、车辆发生碰撞、环境条件的改变，导致在设定的设计运行环境内可能影响驾驶安全等。

　　Waymo的系统被设计为自动检测每一个上述场景。除此之外，我们的系统每秒钟运行上千次，检查系统，并发现系统错误。同时Waymo系统配备了一系列对关键系统（如传感器系统、计算系统和制动系统）的冗余设计。

　　我们的车辆响应随以下因素的不同而有所区别，包括：道路类型、目前交通状况、技术故障严重程度等。根据这些因素，系统将确定一个适当的响应动作以保证车辆和乘客的安全，包括靠边停车或安全停止。

车辆冗余-安全至上的自动驾驶系统

备用计算系统

　　备用计算系统总是在后台运行，目的是当它检测到主计算系统故障时，控制车辆执行安全停止。

备用制动系统

　　如果主制动系统出现故障，我们有一个完整的备用制动系统能够立即生效。当故障发生时，主制动系统、备用制动系统均可以让车辆执行安全停止。

备用转向系统

　　备用转向系统有独立的控制器和独立的电源供应，以执行冗余的转向可控制。对主转向系统、备用转向系统，其中之一发生故障时，另一个均能够执行车辆的转向操作。

备用电源系统

　　对于每个关键的驱动系统提供两个独立的电源供应。这些独立的电源供应确保了我们车辆的关键驱动组件在发生单电源故障或电路中断时仍然可用。

备用碰撞检测和碰撞规避系统

　　多个碰撞检测和碰撞规避系统能够不间断的扫描车辆前后的物体，包括行人、自行车和其它车辆。在极少数情况下，当主系统对行驶路径中的物体没有检测到或没有响应时，这些备用系统能够控制车辆减速或停止。

冗余的惯性测量系统：对进行车辆定位

　　冗余的惯性测量系统能够帮助车辆准确地追踪它的行驶轨迹。主惯性测量系统、冗余惯性测量系统相互反复核对，并在其中一个系统检测到故障时由另一个系统执行车辆定位。

数据记录和事故后的行为

　　Waymo自动驾驶技术永远不会停止进步。Waymo有一个强大系统来收集和分析现有上路车辆所产生的数据。对从一辆车中学习到的任何有用经验，我们会同时体现在整个车队中。

　　Waymo的系统能够检测到碰撞的发生，并将自动通知Waymo后台运营中心，在那里我们训练有素的专家可以启动碰撞后响应程序，包括与执法人员和急救人员进行沟通，并派人员到现场。我们的运营中心也有乘客支持专家，他们可以通过车载音响系统直接与乘客沟通。

　　在碰撞发生后，我们可以分析所有可用的数据，包括视频和其他传感器数据，以评估可能导致这一事故的原因。同时，我们可以做出任何适当的软件更改，并相应地升级车队中每辆车。任何影响车辆安全的隐患都会被修复，同时在车辆升级前我们会进行安全测试。

自动驾驶车辆的网络安全

　　Waymo已经开发了一个健全的识别、划分优先级并降低网络安全威胁的流程。我们的安全实践是建立在谷歌的安全流程基础之上，遵循NHTSA及Auto-ISAC发布的指导策略。

　　为了进一步提升网络安全性，Waymo还加入了Auto-ISAC，这是一项旨在加强全球汽车行业网络安全意识和协作的行业行动计划。

如何建立自动驾驶车使用的地图

　　在自动驾驶车辆上路前，我们的地图团队会首先使用测试车辆的传感器来创建高度详细的3D地图。这些地图不同于基本的卫星图像或在线地图。

　　相反，Waymo的地图给汽车提供了对于物理环境的深刻理解：道路类型、道路的距离、尺寸和其他地貌特征。

　　我们使用这些数据并添加凸显的信息，包括交通控制信息，如人行横道的长度、红绿灯的位置、相关标识等。

　　通过安装在车上的地图，Waymo的系统会重点关注环境动态变化的部分，如其他道路使用者。我们的系统交叉引用实时传感器数据和车载3D地图以检测道路变化。

　　如果一个道路的变化被检测（如前方发生碰撞导致一个十字路口拥堵），我们的汽车可以在设计运行环境内对路径进行重新规划，并通知后台运营中心，让其他车辆可以避免在该地区行驶。

　　在这种情况下，地图不仅作为参考点添加到我们的软件，同时也向系统提供重要的信息反馈。这些详细的自定义地图提供了对每个行驶位置的全面的理解。再加上我们对于系统的的深入了解，Waymo能够确保车辆只在设计运行环境内使用。

Waymo实现安全的方法

1. 构建可验证的软件和系统
2. 对通信进行加密和验证
3. 为关键系统构建冗余的安全措施
4. 限制关键系统之间的通信
5. 提供及时的软件更新
6. 对安全威胁建模并优先考虑

　　我们从实体车辆的内部和外部对自动驾驶系统的所有潜在安全访问点进行了全面审查，并采取措施限制这些接入点的数量和功能。

　　这首先要与我们的汽车厂商合作伙伴合作，以确定和减轻基础车辆的漏洞。我们在软件设计和汽车设计过程中充分考虑已知的威胁，以确保我们的系统和车辆设计能够对抗这些威胁。

　　新软件版本需通过同行评审和验证过程。我们的风险分析和风险评估过程旨在识别和降低这些风险，包括那些与网络安全有关的风险。在Waymo的设计中，安全性至关重要，如转向、制动、控制器与外界通信隔离。

　　我们同时也考虑无线通信的安全。Waymo的车辆不依赖于一个固定的连接来保持安全性。在路上行驶时,所有的车辆和Waymo的通信（如：冗余的连接）会加密，包括那些Waymo运营支持人员和乘客的通信。车辆可以同我们的运营中心通信以收集更多的路况信息, 而同时我们的车辆在实时执行驾驶任务。

　　这些保护措施有助于防止那些对自动驾驶汽车有物理访问权限的人，包括乘客和附近的恶意者。我们有不同的机制来观察异常行为和内部机制来分析这些事件。

　　如果我们意识到有人试图破坏车辆安全性，Waymo将会触发公司级别的事件响应程序，包括评估、遏制、恢复和补救。

三、测试及验证方法：确保车辆的性能与安全

　　Waymo的技术经过了广泛测试，包括公开道路，封闭道路和模拟等，这使得系统的每个部分在运行时都有效，可靠和安全。

Waymo自动驾驶汽车由三个主要子系统组成，它们都经过了严格的测试：

车辆本身，由OEM认证；
内部硬件，包括传感器和计算机；
自动驾驶软件，用于做出驾驶决策。

　　上述子系统组合成全自动驾驶车辆，然后作进一步测试和验证。对硬件和软件进行整体测试，可以确保自动驾驶车辆符合我们为系统设定的所有安全要求。

车辆安全

　　Waymo目前的自动驾驶汽车，是由2017年款的克莱斯勒Pacifica混合动力Minivan改装的，加入了自动驾驶系统。这些改装的车辆通过了菲亚特克莱斯勒（FCA）的认证，符合所有适用的联邦机动车辆安全标准（FMVSS）。

自动驾驶硬件测试

　　在FCA和Waymo的技术合作中，Waymo的自动驾驶系统（包括传感器和硬件）与FCA提供的改装的Pacifica Minivan进行了整合。

　　为了保证两者整合的效果，Waymo在FCA的测试的基础上，还进行了数千次额外测试。这些测试包括了私人测试场景，实验室和模拟等情景，可以评估车辆的每个安全功能，比如制动器、转向，以及锁、前灯和门等物理控制。

　　通过测试，我们可以确保车辆在手动模式，自动驾驶模式（有测试司机在方向盘后）和全自动驾驶模式（车辆中没有人）的安全。总得来说，测试的目的是保证加入自动驾驶系统后车辆能安全运行。

自动驾驶软件测试

　　与硬件一样，自动驾驶软件也遵循“安全设计（Safety by Design）”的原则。Waymo严格测试了软件的各个组件，包括感知、行为预测和规划以及整体软件。

　　我们的技术会不断学习和提高。软件的每一次更新都经历了严格的发布过程。每个更新都会经过模拟测试，封闭路段测试和公共道路测试。

模拟测试

　　在模拟中，我们会严格测试任何修改和更新，然后再部署到车辆中。我们还找出了车辆在公共道路上遇到的最具挑战性的情况，并将其数字化为虚拟场景，供自动驾驶软件在模拟中练习。

封闭路段测试

　　新软件会首先推送到少数几辆车，以便有经验的驾驶员在私人场地中测试。我们可以在不同的车辆上使用不同版本的软件，从而测试新的或特定的功能。

现实世界测试

　　一旦确认软件如预期一样良好，我们就开始在公共道路上测试。开始会很小心，在自动驾驶车可以安全且持续按预定路线行驶后，才会将软件更新推送到整个车队。在公共道路上行驶的距离越多，就越能监控和评估软件的性能。

　　随着驾驶里程的增长，我们会进一步完善驾驶体验和更新软件。这种持续的反馈过程使我们对系统建立了信心，也让车辆能达到SAE Level 4级的自动驾驶水平。

　　模拟器：虚拟世界帮助车辆学习高级的现实世界驾驶技巧

　　Waymo的模拟器可以在每个新软件版本里回放我们在真实世界里驾驶的数据，还可以针对我们的软件构建全新的现实虚拟场景进行测试。

　　每天有多达25000辆虚拟的Waymo无人车在模拟器中驾驶高达八百万英里的里程，来巩固已有的技能和测试新商务技能，从而帮助车辆安全地在现实世界中驾驶。

　　举个例子：有一个左转黄灯在亚利桑那州梅萨的南隆摩街和西南大街的拐角处闪着。 这种类型的路口对于人类和无人车来说都是棘手的，因为司机在进入五个方向的路口后，要在车流里找到缝隙通过。 过早左转可能会造成危险，太晚转弯可能会阻碍交通。

　　模拟器能够让我们有很多次机会练习这种单一情况来精通一个技能。

模拟器如何工作

第一步：从视觉世界开始
*我们可以重建一个非常详细的虚拟现实版本东部山谷

　　我们用强大的定制传感器套件构建了具有相同的尺寸、车道线、路肩和交通信号灯的虚拟路口。

　　在模拟器中，我们可以专注于最具挑战性的路口而不是单一的高速公路，比如闪着黄灯的左转路口、犯错的司机和不按规则出牌的自行车。

第二步：驾驶、驾驶、驾驶

　　在模拟器里，我们可以让车队中不同的车辆在相同的驾驶条件下通过同一个路口很多次。 如上图，我们正在模拟自动驾驶汽车通过的一个路口。

　　随着这个闪黄色的左转路口在虚拟世界中被数字化，我们的软件可以练习这个场景数千次。 每当我们更新软件时，我们都可以在各种驾驶条件下测试软件对同一路口的改变。

　　这就是为什么我们能够在闪黄灯的路口自然地向前挪动车辆，并插入到复杂的车流中。 此外，在模拟中我们可以在遇到的每个闪黄灯的路口练习这个新技能，以便更快地迭代这个软件。

第三步：创造大量的变化

　　*通过“模糊”过程我们可以改变这些虚拟街道上各种物体的速度、轨迹和位置

　　接下来，我们可以通过这个棘手的左转来探索无数种可能性。

　　通过一个叫“模糊”的过程，我们改变车流的速度和交通信号灯的时间，以确保无人车仍然可以找到安全的车距。 通过添加模拟行人、摩托车变道甚至慢跑者过马路，现场可以变得更繁忙和更复杂，看他们如何影响我们的无人车。

第四步：验证和迭代

　　*为了使场景更加复杂，我们可以添加原场景不存在的车辆、行人和骑自行车的人

　　如今，我们的无人车已经学会了如何自信地在闪着黄灯的路口左转。

　　这个新技能成为了我们永久知识库的一部分，与车队中的每一辆车共享。 反过来，我们将使用现实世界的驾驶和我们自己封闭式测试场地来验证模拟器里的经验，然后循环又从第一步开始。

正常驾驶的行为能力

　　完全自动驾驶的车辆必须能够处理在同一业务设计领域内所有人类驾驶员所期望的日常驾驶任务。

　　这意味着自动驾驶系统需要证明他们具有足够的技能，或者说“行为能力”，这对预期的地点和操作条件是必需的。

　　美国运输部（DOT）已经建议，Level 3，Level 4和Levle 5级（SAE）自动驾驶应该能够证明至少28项核心竞争力，易满足加州合作伙伴先进交通技术研究所（PATH）在加州大学伯克利分校交通运输研究院的研究成果。 DOT还鼓励公司“在考虑所有已知行为能力下，对自动驾驶系统的设计，测试和验证”。