Google Waymo自动驾驶安全技术报告(二)

Waymo的技术在公开道路上、封闭测试场、仿真器进行了普遍的测试，因此能够保证自动驾驶系统的每一部分在其ODD内都有强大、可靠、安全的处理能力。

Waymo的自动驾驶系统由三个相互独立、严格测试的子系统组成：

1）通过OEM认证的基础车辆系统；

2）传感器和计算机等内部硬件系统；

3）作出全部驾驶决策的自动驾驶软件系统；

这些子系统组合起来构成一个完整的自动驾驶系统，而后咱们对其进行进一步的测试和验证。对各个系统的测试和验证能够确保自动驾驶车辆知足咱们对系统设定的全部安全要求。

3. Testing and Validation Methods

3.1 基础车辆系统的测试验证

Waymo的当前的自动驾驶车辆是2017年克莱斯勒-帕西菲卡混合动力小型货车的改进版，咱们将自驾系统集成到其中。菲亚特克莱斯勒汽车公司(简称“FCA”)出售给咱们的改进型2017年克莱斯勒-帕西菲卡混合小型货车已得到联邦机动车辆安全标准(FMVSS)认证，该标准规定了美国机动车辆或机动车辆设备的安全性能要求。

3.2 传感器和硬件系统的测试验证

1）构建安全可靠的供应链系统

Waymo与供应商和分销商共同保证系统组件的性能、安全、质量和可靠性。咱们将供应商提供的系统组件引入到故障模式、影响分析(FMEA)和风险评估过程当中，并在与其它子系统进行集成时，检测识别其在制造过程、独立系统或其它系统集成时的潜在安全风险。咱们监控产品制造过程当中各个子部件的表现，并进行持续的可靠性测试，以确保它们在集成到咱们的车辆中以前知足设计指望和安全要求。

2）Testing At Every Level

咱们多层次的安全测试方法受到美国宇航局发射火星探测器的工程经验的影响(火星探测器是在距离地球数百万英里的地方运行的一种自动驾驶车辆)。

这种方法意味着咱们须要对最底层的组件进行分析和测试，以确保咱们最关键的系统的性能和可靠性。例如，咱们的视觉(摄像头)系统在安装到车辆系统后，要在实验室中进行100屡次单独的测试。

首先，咱们对组成视觉系统的各个摄像头、电缆和链接器等部件进行检查，以确保每一个部件都符合设计规范。当相机完成集成以后，咱们再次进行测试，将每一个摄像头组装成一个环形，将它们校准后一块儿工做，检查每一个摄像头的角度和方向结合在一块儿是否可以构成360度全景。

而后进行整个相机系统的测试。组装好的摄像机被添加到自动驱动系统中，由咱们的工程师进行测试，以确保不一样传感器可以像一个传感器同样协同工做。

在使用这种新的视觉系统上路以前，咱们执行诸如在各类照明条件下看到交通讯号灯、检测行人和发现建筑工地等任务以确认视觉系统正在发挥做用。全部测试经过以后，视觉系统做为自动驾驶车辆的一部分才被容许上路。

3）硬件系统测试

经过FCA和Waymo之间的技术合做，咱们设计并在由FCA提供的改进型克莱斯勒-帕西菲卡混合小型货车上集成了Waymo的自动驾驶传感器和硬件系统。为了确保咱们已经将自动驾驶系统正确地集成到了克莱斯勒-帕西菲卡混合动力小型货车中，Waymo对集成的小型货车在私人测试道路、实验室以及模拟器上进行了数千次附加测试，用于评估车辆从制动、转向、前照灯和车门物理控制等安全功能。经过这些测试，咱们能够确保车辆在手动模式，有测试驾驶员的状况下自动驾驶模式以及在车内没有人的状况下彻底自动驾驶模式等全部场景下的安全运行。

3.3 自动驾驶软件系统测试

咱们的自动驾驶软件也是以咱们的安全设计理念为指导，不断严格地测试软件的各个组成部分，包括感知、行为预测和规划等。软件的每一次更改都必须经过模拟测试、封闭道路测试和公共道路驾驶测试。

Simulation Testing

咱们肯定车辆在公共道路上遇到的最具挑战性的状况，并将其转换为虚拟场景，以便自动驾驶软件在仿真器中不断验证。

Closed-Course Testing

新版自动驾驶软件首先被推送到几辆车上，最有经验的驾驶员就能够在咱们的私人测试道路上进行测试。咱们能够为不一样的车辆使用不一样版本的软件，以便测试新的研发功能或特定功能。

Real-World Driving

一旦咱们确认自动驾驶软件运行符合预期，咱们就开始在公共道路上部署新的软件。首先小范围测试，自驾车辆必须证实它们可以安全、始终如一地按预约路线行驶后，咱们将软件更新推送到整个车队。随着自动行驶里程的增长，咱们根据车辆的运行反馈持续的改进咱们的驾驶方式和软件系统。

3.4 仿真系统

Waymo的模拟器能够重现咱们使用每个新软件版本的真实世界驾驶行为，还能够为咱们的软件构建全新的虚拟场景以供测试。天天多达25000辆虚拟Waymo自动驾驶车辆在仿真器中行驶800万英里，验证旧技术改进，测试新技术效果，帮助自动驾驶车辆安全的在现实世界驾驶。

例如在亚利桑那州梅萨市的南隆摩街和南部西大街的拐角处，有一个黄色的闪烁箭头表示左转，这种类型的交叉口对人类和自动驾驶车辆来讲都很棘手，驾驶员必须进入五车道交叉口，而后在迎面而来的车辆中找到一个间隙，过早的左转可能会对迎面而来的车辆形成危险，过晚的左转可能会使后面的驾驶员感到不满。仿真模拟让咱们把这样的一次真实世界的遭遇变成成千上万的练习和掌握技能的机会。

How Simulation Works

Step 1：Start with a Highly-Detailed Vision of the World

咱们构建了一套包含车道、路缘、交通灯、交叉路口等在内的虚拟副本，在仿真中，咱们能够将注意力集中在最具挑战性的场景上，如黄色信号灯闪烁、逆行的车辆司机或快速骑行的自行车手，而不只仅是单调的累积公路里程。

Step 2: Drive, Drive, and Redrive

当闪烁的黄色左转在虚拟世界中数字化后，咱们的软件能够成千上万次的调试验证这个场景。每次更新软件时，咱们均可以在不一样的驾驶条件下在同一个交叉口测试验证。这就是咱们如何教会咱们的车辆在黄灯闪烁的状况下天然向前，并插入到迎面而来的车流中。此外，咱们能够在已经遇到的每个闪烁的黄色闪烁灯的场景上测试这个新技能，以便更快地升级改进咱们的软件系统。

Step 3: Create Thousands of Variations

接下来，咱们可经过一个称为”fuzzing”的过程来探索闪烁黄灯相似的数千种不一样的变异场景。咱们改变迎面驶来的车辆的速度和交通灯的时间，以确保咱们的车辆仍然能在交通流中找到安全的间隙；经过增长模拟行人、摩托车分隔车道，甚至慢跑者在街道上之字形穿行等等。全部这些均可以让场景变得更加复杂，看看这会如何改变自动驾驶系统的响应方式。

Step 4: Validate and Iterate

咱们的自动驾驶汽车已经学会了如何自信地在一个闪烁的黄色箭头路口行驶，这项新技术就成为咱们永久性知识库的一部分，在整个车队的全部车辆中共享。而后咱们将使用真实世界的驾驶测试和封闭道路测试来验证是否与仿真场景驾驶行为相符。仿真和真实的驾驶行为交互迭代验证，一块儿实现自动驾驶的目标：在现实世界中，实现数十亿英里的安全和稳定驾驶。

3.5 Field Tests at Our Closed-Course Facility

Waymo在加利福尼亚州创建了一个占地91英亩的私人封闭式自动驾驶测试设施，专门为咱们本身独特的测试需求而设计和建造。这座被称为“Castle”的私人建筑就像一座模拟城市，包括从高速路到郊区车道再到铁路交叉口的全部场景。咱们的团队在新软件发布到咱们的车队以前，使用这些封闭场景的测试设施来测试验证新软件。此外，咱们利用封闭自动驾驶场地构建有挑战性或者罕见的道路场景，以帮助咱们的自动驾驶系统获取相应的驾驶经验。在封闭场地中，咱们可以从新建立特定的学习和测试场景，而且对其进行数千次“结构化测试”。为了增强仿真测试的效果，咱们在”Castle”封闭场地中建立了20000多个模拟场景，每个是咱们想要驾驶场景的再现：一个咄咄逼人的司机从车道上疾驰而出，或者一个行人忽然从一辆停着的车旁出现，这些场景在公共道路上可能须要数十万英里的行驶距离才能遇到一次。此外还有人们从帆布袋或便携式厕所里跳到路边，滑板运动员躺在滑板上在传感器前扔纸堆等场景，这种“结构化测试”对于加速咱们的技术进步和确保咱们的车辆在平常和具备挑战性的驾驶环境中的安全相当重要。

3.6 Behavioral Competencies for Normal Driving

彻底自动驾驶车辆必须可以在ODD内处理全部人类驾驶员指望的平常驾驶任务。美国交通部建议3级、4级和5级自动驾驶车辆应可以演示至少具有28项核心能力，Waymo在广度和深度上扩展了28项核心能力，并且咱们测试了数千种复杂场景变化，确保咱们的系统可以安全的应对现实环境的挑战。

对于每一个能力，Waymo的团队建立了各类各样的单独测试，在咱们的封闭场地中反复模拟运行。例如，为了测试咱们进行无保护左转的能力，咱们设计了几十种真实状况(包括多车道迎面而来的车辆、大卡车挡住咱们的视野、短红绿灯场景下的转弯等等)，并测试咱们的车辆是否作出了适当的反应。

对于每个场景，咱们都使用模拟器来建立相同场景的的数百种变化。经过咱们的虚拟世界测试，咱们还能够建立全新的无保护左转场景，以便进一步测试这种技能。随着咱们ODD的扩展，核心能力的数量可能会增长(例如，要在美国北部各州整年驾驶，咱们的系统必须具有在雪地中安全驾驶的能力)，而且每一个类别中的测试数量可能会随着更独特或更复杂的场景而增长。

3.7 Testing the Fully Integrated Self-Driving Vehicle

在分别对基础车辆系统、自驱动系统和软件系统进行测试后，须要对集成的完整自动驾驶车辆进行测试。这些测试包括封闭式道路避碰测试、可靠性和耐久性测试，以及训练有素的测试驾驶员进行实际道路测试。

Testing on Public Roads

Waymo有一个全面的公路测试流程，这个流程在八年的时间中通过了不断改进和完善。这是自动驾驶的一个关键步骤，使咱们可以验证咱们已经开发的技能，发现新的挑战场景和开发新的驾驶能力。

实际公路测试的安全性始于严格培训的司机，咱们的测试驾驶员接受了普遍的课堂培训，了解整个系统的运行流程，以及如何在公路上安全监控车辆(包括参加防护性驾驶课程)。通过培训后，咱们的驾驶员在道路测试时负责监控系统，并在须要时，接管车辆的控制权。

咱们每周进行数万英里的开放道路测试，用于评估咱们的软件系统，以确保它们展现出人类司机的行为能力。真实世界测试提供了一个连续的反馈循环，让咱们不断地完善咱们的系统。这种公共道路测试验证的迭代方法有助于咱们安全的扩展咱们的ODD和技术能力。

3.8 Real-World Experience

在过去的八年中，Waymo在美国四个州，20多个城市测试了咱们的自动驾驶车辆。从亚利桑那州的凤凰城到华盛顿州的多雨柯克兰市累计行驶了350多万英里。当咱们扩展到新的测试地域时，咱们可以在不一样的道路环境、街景和驾驶习惯中收集更多的驾驶经验。例如，在凤凰城驾驶使咱们可以在沙漠条件下测试传感器和软件，包括极端温度和空气中的灰尘；咱们学会了如何处理特殊类型的车辆(好比在道路中间喷洒植物的洒水车，以3英里/小时的速度在45英里/小时的道路上行驶)；在奥斯汀第一次遇到了水平交通讯号；在柯克兰遇到了潮湿天气的场景。

在每个新城市，咱们都会遇到不习惯天天看到自动驾驶汽车的人，这也让咱们可以了解人们对于自动驾驶汽车的见解：好比人们但愿如何使用自动驾驶汽车；他们对自动驾驶有什么见解；以及更多的人一块儿告诉咱们如何开发和改进自驾技术。

咱们的自动驾驶汽车须要在极端寒冷和高温下可靠、安全地运行。高温给全部现代技术带来了挑战，手机等平常电子产品在阳光下使用时会过热并关闭，然而，咱们的自动驾驶系统须要在高温条件下安全运行。咱们的汽车配备了一个特殊的冷却系统，可让它们在很是热(即便发动机在满功率运行，系统在满负荷运行)的温度下工做。咱们的工程师在风洞中进行了普遍的测试，几乎能够模拟任何天气条件，包括有史以来地球上最热的温度。

除了风洞测试，咱们还在美国三个最热的地方测试了咱们的自动驾驶汽车：拉斯维加斯、戴维斯大坝和死亡谷。位于亚利桑那州和内华达州边界的戴维斯大坝，有一段陡峭的沙漠公路，容许咱们在炎热的太阳下驾车；拉斯维加斯大道让咱们能够在酷热繁忙的街道上测试咱们的系统；死亡谷拥有地球官方记录的最高温度134华氏度的记录。

在测试过程当中，咱们会密切监控咱们的系统，每秒进行200屡次不一样的测量，以确认咱们的内部传感器套件和计算可以正常工做。

3.9 Testing Crash Avoidance Capabilities

除了测试核心行为能力外，咱们的工程师还跨各类场景进行碰撞避免测试。Waymo在咱们的私人测试道路上完成了数千次防撞测试，每一个单独的测试都会重现一个独特的驾驶场景，并容许咱们分析车辆的响应，而后咱们使用模拟器进一步测试这些场景，并改进咱们的总体软件能力。

咱们从各类不一样的来源学习要测试的碰撞，其中包括咱们对NHTSA致命车祸数据库，以及利用咱们丰富的自驾车辆操做经验来扩展NHTSA的37个车祸前场景。咱们还测试了其余道路使用者形成潜在危险状况的状况，例如车辆忽然从车道上驶出，大型车辆横穿目标车道，摩托车穿越交通，行人乱穿马路。

2015年，国家公路交通安全管理局公布了最多见车祸前情景分布的数据。例如，其中四类车祸占了总车祸场景的84%：追尾事故(rear end crashes)、在交叉口转弯或者交叉行驶(vehicles turning or crossing at an intersection)、在道路边缘行驶的车辆(vehicles running off the edge of the road)以及变换车道的车辆(vehicles changing lanes)。所以，避免或减轻这些类型的事故是咱们测试的一个重要目标。

3.10 Hardware Reliability and Durability Testing

自动驾驶车辆和传统车辆同样，必须可靠运行，这意味着车辆及其每一个单独部件必须在极端环境条件下和车辆的整个使用寿命内正常工做。

Waymo工程师利用对物理故障的了解设计了独特的压力测试，加速了对咱们的车辆及其各个部件的环境测试，咱们将多年的实际使用压缩为几天和几周的测试。好比咱们用紫外线照射咱们的部件，用强大的喷水器轰击它们，把它们浸入几乎冻结的水缸中，在充满盐雾的房间中腐蚀它们，用强大的震动震动它们，而后在特定温度和湿度下加热和冷冻它们数周。咱们分析任何测试中发生的故障并进行设计改进，以提升组件的可靠性。咱们监控每一个传感器和车辆自己的健康情况，以便在潜在故障发生以前识别和修复它们。

---

我的博客网站地址: http://www.banbeichadexiaojiubei.com