前不久，Waymo（前Google自动驾驶项目）向美国交通部提交了一份43页的安全报告，这份报告详细说明了Waymo如何装备和训练自动驾驶车辆，从而避免驾驶中的一般和意外情况发生。这份报告是Waymo以第一视角，对自己自动驾驶技术的最完整解读。
据雷锋网了解，Waymo可能最快今年11月上线自动驾驶打车服务。在自动驾驶走向商业化之际，Waymo的这份报告不仅是对自己八年开发的总结，也彰显了它对自己及新技术的信心。或许我们将迎来一个自动驾驶的新世界，这份报告则是一个起点。
以下是Waymo报告完整中文版，由雷锋网(公众号：雷锋网)作者张驰、李秀琴、张梦华、李天使、高宇、Brian Chan、陈浩、张丹丹、刘聪联合编译。
以下为报告全文：
自动驾驶汽车能够改善道路安全并给上百万人提供新的移动出行方式。不管是上下班通勤、接送孩子上学还是挽救生命，全自动驾驶车辆都有着巨大的潜能——因为它能使人们的生活变得更好。
安全是Waymo的核心任务，这也是我们在八年前就成立谷歌自动驾驶项目的目标。
每年，全世界有120万生命死于交通事故。在美国，这种因事故死亡的数量还在增加。 一个常见的现象是94%的交通事故都是由人为失误造成的。我们相信，Waymo的技术每年可以拯救上千个在交通事故中失去的生命。
我们对安全的承诺反映在我们所做的每一件事情中，从谷歌的文化到如何设计和测试这项技术。在Waymo自动驾驶技术的安全报告里，我们详细阐述了Waymo的工作：安全。
这个关于安全系统的概论强调了Waymo自动驾驶汽车在350万英里实测所积累的数据里程，以及在上千万英里的模拟驾驶中所学到的重要经验和教训。
Waymo的安全报告也影响了美国交通厅发布的联邦政策框架：《自动驾驶系统 2.0： 安全驾驶的愿景》（Automated Driving Systems 2.0: A Vision for Safety ）。交通厅的框架列出了12点安全设计元素，并鼓励各公司测试并且部署各自的自动驾驶系统来解决相应的领域。
在这个报告中，我们将列出与每一个安全设计元素相关的流程以及他们是如何支撑整个自动驾驶车辆的研发、测试和部署的。
全自动驾驶汽车只有在安全的情况下才会被大众的所接受。这也是为什么我们一直以来都在研究安全课题。总而言之，我们的自动驾驶汽车将实现更安全的交通和更多样的机动性，以此来更好的服务广大民众的需求。
报告内容主要分为五部分：
一、系统安全程序：安全的设计
二、Waymo的自动驾驶车辆如何运作
三、测试及验证方法：确保车辆安全有效
四、与人群安全互动
五、总结
全网唯一完整译文 | Waymo无人车报告：通往自动驾驶之路
一、Waymo的系统安全程序–安全设计
作为第一家在公共道路上完成自动驾驶的公司，Waymo一切都得自己来。
在Waymo成立之初，我们建立了自己的系统安全计划，这一安全理念一直根植在我们的技术测试和开发流程中。这个项目是一个全面并且稳健的，我们称之为：安全设计。
安全设计意味着我们从地面上考虑安全性，并将安全性纳入每一个系统层级和每一个开发阶段，从设计到测试和验证。这是一个多管齐下的方法，建立在包括航空航天，汽车最佳实践和防御系统等多个行业中。
根据这些实践，我们对自动驾驶车辆的各个部件进行了强有力的测试，以确保所有子系统作为完整的自驱动系统集成时，能够安全地运行。
这个方法还可以帮助我们验证车辆是否作为全自动驾驶汽车安全地行驶在道路上。同时我们还可以了解系统部件、子系统或其他方面的任何变化或故障，以及在整个自动驾驶系统中所引起的变化。
这个过程激发了Waymo许多关键安全功能的产生，包括冗余的关键安全系统，使车辆在技术故障时安全停止，随着多传感器的使用和广泛开展的测试程序，以使我们进行快速的技术改进。
Waymo的系统安全解决方案
我们的系统安全计划涉及5个不同的安全领域：行为安全、功能安全、碰撞安全、操作安全和非碰撞安全。每一个领域都需要各种测试方法的组合，这些测试方法可以让我们验证全自动驾驶汽车的安全性。
行为安全
行为安全是指车辆在道路上的行驶决策和行为。正如人类驾驶员，自动驾驶车辆也要遵守交通规则，必须在各种情况下安全地导航——无论是预料中的还是意外的。
Waymo运用功能分析、仿真工具和道路驾驶，以充分了解在我们的业务设计领域提出的挑战，并制定安全要求和多管齐下的测试和验证过程。
功能安全
功能安全旨在确保我们的车辆安全运行，即使有系统缺陷或故障。这意味着要建立备份系统和冗余机制来处理意外情况。
例如，我们所有的自动驾驶车辆都配备了第二台计算机——在主计算机出现故障时可立刻接管车辆，使车辆安全停车（即最小风险条件）。我们的每一辆车都有备用转向和制动，整个系统还有其他许多冗功能。
碰撞安全性
碰撞安全性，即耐撞性，是指车辆通过各种措施保护车内乘客的能力，从保护车内人员的结构设计到具有座椅约束和安全气囊的功能，以减轻伤害或防止死亡。
碰撞安全性是由美国联邦机动车辆安全标准（FMVSS）定义的，由美国国家公路交通安全管理局（NHTSA）发布。汽车厂商必须证明他们的基础车模型满足FMVSS要求。
操作安全
操作安全是指我们的车辆和乘客之间的互动。有了操作上的安全，我们可以确保消费者在自动驾驶车辆中拥有安全舒适的体验。
我们建立安全产品的方法是通过危险分析、现有安全标准、广泛测试和各种行业的最佳实践而得知的。例如，通过我们早期的乘坐项目（在4节中进一步介绍），我们已经开发和测试了一种能使乘客可以清楚地表明目的地，指挥车辆靠边停车，并联系Waymo的用户界面。
非碰撞安全
我们针对可能与车辆相互作用的人群进行物理上的安全处理。例如，电子系统或传感器的危害，可能会对乘员、车辆技术人员、驾驶员、急救人员或旁观者造成伤害。
安全流程
为了减少潜在的内部风险，必须在设计中强调安全性，然后进行验证以证明安全风险已降低到可以确定的水平。
我们的方法从识别危险场景和潜在风险的缓解措施开始。这些措施可以采取多种形式，如软件或硬件的要求、设计建议、程序控制或额外的分析建议。
我们使用各种风险评估方法，如预先危险性分析、故障树，设计失效模式及后果分析（DFMEA）。这个连续过程与正在进行的工程和测试活动以及安全工程分析密切相关。
风险分析过程有助于我们识别自动驾驶系统的体系结构、子系统和组件的需求。这些安全要求是从一系列子系统和系统分析技术、各种系统工程过程以及联邦和州的法律法规中发展起来的。分析还支持Waymo的行为安全测试需求发展，以及系统如何检测和处理故障。
Waymo在公共道路、闭合环、以及模拟驾驶环境上都进行了广泛的测试。我们使用从这次测试中收集到的信息，以及对国家碰撞数据和自然驾驶的研究，为潜在危险提供更多的分析。
来自这些工具的组合在Waymo对系统准备就绪的理解中起着重要作用。基于这一认识，我们能够全面分析和评估系统安全性，然后才可以在公共道路上进行全自动驾驶操作。
全网唯一完整译文 | Waymo无人车报告：通往自动驾驶之路
二、Waymo自动驾驶汽车是如何工作的？
自动驾驶系统
与现在汽车采用的技术不同，如自适应巡航控制或者车道保持系统，需要驾驶员不断监控。Waymo自动驾驶系统的开发则基于无人参与。Waymo的自动驾驶系统包含软硬件，当集成到汽车中，就能执行所有的驾驶功能。
用自动驾驶的行话来说，Waymo的自动驾驶系统在特定地理区域和特定条件下，可以完成整个动态驾驶任务，人类驾驶员不需要提供操作。
这种技术在国际汽车工程师学会（SAE International）的定义上来看，属于自动驾驶系统的Level 4级别，即在任何系统故障事件中，我们的技术可以为车辆提供安全制停的能力，实现最小的安全风险。
与Level 1、Level 2、Level 3这些较低级别的自动驾驶系统不同，Level 4级别可在任何系统故障的情况下，给车辆安全制停的能力，而无需人类驾驶员接管。
全自动驾驶：让人类一直保持“乘客”身份
高级驾驶员辅助技术是Waymo团队探索的首批技术。2012年，我们开发并测试了Level 3自动驾驶系统，该系统可以让车辆在单车道的高速公路上实现自动驾驶，但过程仍然需要人类司机的接管。在内部测试中，我们还发现人类过于依赖这项技术，而没有仔细监控路况。
当驾驶员辅助技术变得更加先进时，人类经常被要求在几秒钟内由「乘客」转向「司机」，但在更具挑战性或更复杂的情况下，这些场景用得很少。车辆承担的任务越多，这一过渡阶段就越来越复杂。
避免这个转接过程带来的问题，也是Waymo正在开发全自动驾驶汽车的部分原因。我们的技术将关注所有驾驶，让人类在车内保持「乘客」身份。
目标和事件检测响应：车辆传感器
为了满足自动驾驶的复杂需求，Waymo开发了一系列传感器，让自动驾驶汽车无论是在白天还是夜晚，都能实行360°监控，且视野面积可达3个足球场那么大。
这种多层传感器套件可以无缝协同工作，绘制出整个视野的3D图像，并显示动态和静态物体，包括行人、自行车、来往车辆、交通指示灯、建筑物和其他道路特征。
全网唯一完整译文 | Waymo无人车报告：通往自动驾驶之路
LiDAR（激光雷达）系统
LiDAR（光检测和测距）的日夜工作，可在每秒内输出数百万个360°的激光脉冲，测量反射到表面并返回车辆所需的时间。
Waymo的系统包括内部开发的三种类型激光雷达：短程激光雷达可以让车辆持续不断地观察和监控；高分辨率的中程激光雷达；新一代功能强大的长距离激光雷达，视线面积可达三个足球场。
视觉（照相机）系统
我们的视觉系统包括，用于观察世界的照相机，该相机可像人类一样观察世界，同时具有360°视野，而人类只有120°视野。由于Waymo的高分辨率视觉系统能检测到色彩，它可以帮助系统发现交通指示灯、施工区、校车和应急车辆的灰灯。Waymo的视觉系统由多套高分辨率相机组成，以便在长距离、日光和低亮度的情况下也能很好的工作。
雷达系统
一般而言，雷达使用波长来感知物体和运动。这些波长能够在诸如雨滴等物体的周围进行传播，从而可以让雷达在雨、雾、雪天气中都发挥效果。Waymo的雷达系统具有连续的360°视野，可以跟踪车辆的前后方和两侧过路车辆的行驶速度。
补充传感器
Waymo还有一些额外的传感器，包括音频检测系统，该系统可以听到数百英尺远的警车和紧急车辆发出的警报声，以及GPS，它可以补充车辆对其地理位置的了解。
Waymo自动驾驶软件
自动驾驶软件就是车辆的「大脑」。它让来自传感器的信息变得有意义，这个「大脑」还能利用这些信息帮助车辆做出最佳驾驶决策。
Waymo已经花了八年的时间来打造和完善这些软件，并在其中使用了机器学习和其他先进工程技术。经过多年的精心设计和测试，Waymo已经收获了数十亿英里的模拟驾驶，以及超过350万英里的道路驾驶经验。
同时，我们的系统还对这个世界拥有很深的语境理解，这也是区分Level 4自动驾驶技术的关键部分。
Waymo的自动驾驶软件，不只是检测其他物体的存在，还要真正理解这个物体是什么，它可能做出哪些举止，以及如何影响我们的车辆在路上的行为。这就是Waymo的车辆如何在全自动模式下实现安全驾驶。
鉴于我们的软件由不同部分组成，在这里Waymo将细介绍三个重要组件：感知、行为预测和规划。
感知
感知是Waymo软件用于检测和分类道路对象的一部分，同时还可用于估算速度、航向和加速度。我们的自动驾驶软件可以从Waymo的传感器获取无数细节，并将它们变成一个实时视图。
感知有助于车辆区分行人、骑自行车者、摩托车手、车辆和其他物体等等。它也能区分诸如传输信号之类的静态物体的颜色。对于这些物体，感知能让我们的系统在语义上了解周围车辆的情况——无论交通灯是绿色的，车辆是否亮起，车道是否被阻挡，都能知晓。
行为预测
通过行为预测，我们的软件可以对道路的每个对象的意图进行建模、预测和理解。由于Waymo已经拥有数百万英里的驾驶里程经验，在面对不同的道路对象可能做出的行为时，我们的车辆已经构建了高精准度的模型。
例如，我们的软件了解到，行人、骑自行车者、摩托车手可能看起来相似，但在行为上则有很大差异。行人可能比骑自行车者、摩托车手速度都要慢，但都有可能突然转向。
规划
我们的规划软件会考虑到从感知和行为预测两个程序中收集到的所有信息，并为车辆绘制好路径。依据我们的经验，最好的司机往往是防御型的司机。这也是为什么我们会训练防御型驾驶行为。比如远离其他司机的盲点区域，给骑自行车者和行人留出额外的空间。
Waymo的规划软件会优先考虑这几步。例如，如果自动驾驶软件认为前面的车道由于施工而关闭，并预测车道上的自行车会移动，那么规划软件可以做出决定，以便提前给骑自行车者减速或腾出空间。
依据道路经验，我们还完善了驾驶体验，以确保车辆中的乘客在路上是平稳而舒适的。对于其他道路使用者来说，也是自然和可预测的。
全网唯一完整译文 | Waymo无人车报告：通往自动驾驶之路
设计运行范围：确保车辆在特定条件下可安全运行
设计运行范围（operational design domain，简称ODD），是指自动驾驶系统可以安全运行的条件。Waymo的范围就包括地理位置、道路类型、速度范围、天气、时间、国家和地方性交通法律法规。
事实上，自动驾驶的ODD可能是非常有限的。例如，白天的温带气候条件下的一条低速公共街道或私人场地（如商业园区）的单程固定路线。然而，Waymo的目标在于可以在广泛的地理区域内、在各种条件下导航城市街道。我们的车辆已经具备在恶劣天气下驾驶的能力，如中雨，白天和夜间都能正常工作。
Waymo的系统也被设计为不能在未经批准的设计运行范围之外运行。例如，乘客不能选择我们认可的地理位置之外的目的地，我们的软件不会创建在「地理围栏」区域以外的路线。
类似地，我们的车辆也被设计为自动检测可能会影响其ODD以内的安全驾驶的突然变化，例如，暴风雪天气，以让车辆及时安全制停（即达到最小风险条件）直至行驶条件得以改善。
Waymo的车辆还需遵守其地理区域范围内的联邦、州政府和当地的法律。经法律要求，这些要求中的任何变化，都被视为我们系统中的安全要求，包括相关的速度限制、交通指示和信号。
在我们的车辆驶入新区域之前，我们的团队会逐一了解任何独特的道路规则或驾驶习惯，以及时更新软件，并让车辆能够安全做出响应。例如，加利福尼亚和德克萨斯州，就自行车道上如何进行右转弯则有不同规则。
与此同时，Waymo的ODD还将不断发展。我们的最终目标是开发完全自动驾驶技术，从而可以让人类在任何时间、任何地点，任何情况下都能自由的从A地到往B地。
随着我们系统功能的不断增长和验证，我们还将不断扩大设计运行范围，将我们的技术带给更多的人。
最小风险状况：确保车辆能够过渡到安全停止状态
对于低等级自动驾驶水平的车辆，当道路环境过于复杂，超出车辆处理能力或车辆本身出现故障时，需要由人类驾驶员执行对车辆的控制。
作为全自动驾驶汽车，Waymo的技术必须要具备足够的鲁棒性以能够独自处理这些状况的能力。
如果我们的自动驾驶车辆不能继续一段计划中的行程，它必须有能力进行安全停止，即被称作“最小风险状态”或“回退”。
这可能包括以下情况：自动驾驶系统感知到故障、车辆发生碰撞、环境条件的改变，导致在设定的设计运行环境内可能影响驾驶安全等。
Waymo的系统被设计为自动检测每一个上述场景。除此之外，我们的系统每秒钟运行上千次，检查系统，并发现系统错误。同时Waymo系统配备了一系列对关键系统（如传感器系统、计算系统和制动系统）的冗余设计。
我们的车辆响应随以下因素的不同而有所区别，包括：道路类型、目前交通状况、技术故障严重程度等。根据这些因素，系统将确定一个适当的响应动作以保证车辆和乘客的安全，包括靠边停车或安全停止。
车辆冗余-安全至上的自动驾驶系统
备用计算系统
备用计算系统总是在后台运行，目的是当它检测到主计算系统故障时，控制车辆执行安全停止。
备用制动系统
如果主制动系统出现故障，我们有一个完整的备用制动系统能够立即生效。当故障发生时，主制动系统、备用制动系统均可以让车辆执行安全停止。
备用转向系统
备用转向系统有独立的控制器和独立的电源供应，以执行冗余的转向可控制。对主转向系统、备用转向系统，其中之一发生故障时，另一个均能够执行车辆的转向操作。
备用电源系统
对于每个关键的驱动系统提供两个独立的电源供应。这些独立的电源供应确保了我们车辆的关键驱动组件在发生单电源故障或电路中断时仍然可用。
备用碰撞检测和碰撞规避系统
多个碰撞检测和碰撞规避系统能够不间断的扫描车辆前后的物体，包括行人、自行车和其它车辆。在极少数情况下，当主系统对行驶路径中的物体没有检测到或没有响应时，这些备用系统能够控制车辆减速或停止。
冗余的惯性测量系统：对进行车辆定位
