Waymo 发布了从 2 亿英里自动驾驶里程中总结出的 10 条人工智能经验教训

Waymo 2亿英里自动驾驶里程背后令人不安的教训

每一家自动驾驶公司最终都不得不面对来自买家或监管机构的一个令人不适的问题：如果该系统真的像演示中展示的那样强大，为什么从一个城市扩展到另一个城市需要数年而非数月的时间？ Waymo在周三发布的一篇博客文章中，比以往的公开声明更直接地回答了这个问题。文章公布了十条具体的工程原则，这些原则源自超过2亿英里的完全自动驾驶里程——这是该领域任何公司目前所能宣称的最大真实世界运行数据集。这十条原则中蕴含的答案，正是买家们极少愿意听到的： 真正的难点从来不是在演示中证明汽车能够自主驾驶，而是构建多层验证与治理体系，使公司有足够的信心永久撤除安全驾驶员。

Alphabet旗下的自动驾驶子公司Waymo在美国多个大都市区运营着全无人驾驶的机器人出租车服务，并于本周披露将进军慕尼黑，作为其首个欧盟市场。这一细节使得这篇侧重方法论的文章在发布时机上，不仅体现了纯粹的思想领导力，更具有一定的战略意义。 一家向新监管辖区扩张的公司显然有动力公开且详细地展示其技术细节，以证明其扩张决策基于可重复、可审计的流程，而非仅凭某个城市的运营记录所建立的信心。 结合此次扩张来看，这十条经验教训与其说是面向普通受众的科普，不如说是一份技术公信力文件，旨在向监管机构、保险公司和企业合作伙伴证明：Waymo的安全论证在该公司建立初期运营记录的美国市场之外同样成立。

传感器冗余是一种设计理念，而非物料清单中的单项

Waymo的首个且最广为人知的

其核心原则在于：仅靠摄像头是不够的，只有激光雷达、雷达和摄像头协同工作，才能为安全关键型系统提供所需的冗余和互补感知能力。 这一观点并非新鲜事，Waymo多年来一直以此对抗仅依赖摄像头的竞争对手，但该公司本周的表述将其与故障模式覆盖范围的关联性阐述得更为明确，而非单纯强调原始传感精度： 每种传感器在不同条件下表现各异：摄像头在低光或强光眩光环境下性能会下降，雷达在密集干扰物中表现不佳，激光雷达在强降水条件下效果受限；而融合这三种传感器的系统则不存在单一的环境故障点，不会导致其整体感知画面在毫无征兆的情况下瞬间恶化。 对于评估任何自动驾驶系统的买家而言——无论是机器人出租车平台，还是需要做出安全相关决策的工业自动导引车（AMR）——其实际启示在于：对传感器冗余的主张应从故障模式层面进行审视，具体询问哪些条件会导致哪种传感器性能下降，而非将其视为一个泛泛的“多传感器”勾选项而直接采信。

第二项原则是，高精度地图仍作为 Waymo 所称的“心理记忆”层提供重要价值，这与业内另一种主流观点相悖——即端到端学习驾驶最终将使详细的预先地图变得不再必要。 Waymo的立场是：正是在实时感知最不可靠的情况下——例如能见度低、交叉路口几何结构特殊、临时标线令人困惑的施工区域——地图才能发挥关键作用。它作为一种先验预期，供实时感知系统进行校验，而非让车辆盲目遵循的僵化脚本。 这与纯粹的端到端方法有着本质不同的设计理念，也部分解释了为何Waymo历来按城市逐一扩展的速度，比采用无地图方法所能达到的速度要慢：为每个新的运营区域构建和维护这样的预先映射数据，本身就是一项重大且持续的工程投入，其规模随

地理覆盖范围，而非一次性成本。

整合优于模块化，以及“不盲信模型”的纪律

Waymo的第三项原则认为，数量较少但规模更大的整合式基础模型，在规模化应用时优于由窄领域专用模型组成的模块化集合，这与一种直观的工程直觉相悖——即把一个棘手的问题分解为更小、可独立验证的部分，应该更安全且更容易调试。 Waymo的论点是：整合能够捕捉跨域上下文信息，而模块化管道在每次交接边界处都会丢失这些信息。单独构建和验证的感知模块与规划模块，虽然各自在孤立状态下都能表现良好，但组合后却可能产生不安全的行为——这种行为无法被任一模块自身的测试套件检测到，因为故障仅在它们相互交互时才会显现。

这种整合使得第四项原则——即“黑箱系统不可接受，每个驾驶决策都需要独立的验证层”——比在完全模块化架构中更难实现；而Waymo愿意承担这一额外的工程负担，正是该博文中最具启示性的细节之一。 该公司描述了一种监控层，该层会独立于生成输出结果的模型，将整合模型的输出结果与物理定律及交通法规约束进行比对。与单纯信任经过充分验证的模型输出相比，这种安全架构在实质上截然不同，且成本更高。对于任何评估人工智能驱动的物理系统（无论是机器人系统还是其他系统）的采购团队而言， 是否存在一个与主要决策模型不存在共同故障模式的独立验证层，比主要模型本身的复杂程度更具安全差异性意义——因为如果没有这个独立验证层，即使是一个训练有素的模型，无论能力多强，仍然是一个单点故障。

模拟、批判与制度化的纪律

怀疑论

第五和第六项原则——闭环仿真（即模拟交通状况会对车辆自身的行为作出反应） 以及一种自动化的“AI评论家”系统——该系统持续分析数百万英里的驾驶数据，在潜在风险模式引发事故前将其揭示出来——这些原则描述了一种安全验证方法：将车队自身积累的经验视为持续审计的输入，而非公司定期回顾的静态训练数据集。 这一区别在运营层面至关重要：因为仅在预定重新训练间隔内从数据中学习的系统，可能在数月内携带潜在故障模式而不被察觉，直到汇总统计数据中才显现出来；而持续的自动化评估则旨在在更短的时间窗口内发现相同的模式。 Waymo 将这种持续评估与闭环模拟相结合——在该模拟环境中，系统会根据车辆的实际行为做出真实反应，而非简单重播固定的、 预先录制的场景），使该公司能够对罕见故障模式的假设进行压力测试，而无需等待积累足够的实际行驶里程——毕竟某些事件可能每行驶几百万英里才发生一次，仅凭统计数据难以形成有意义的样本。

第七项原则指出，当视觉-语言模型与传感器融合相结合时（该公司内部称之为“快慢架构”），可增强推理能力。这是十项原则中概念上最具雄心的，也是与整个行业推动基于基础模型的驾驶系统发展最直接相关的一项。 “快-慢”架构有意识地借鉴了双加工认知理论：一个快速、反射性的层以实时控制所需的速度处理常规驾驶决策；而另一个较慢、更深思熟虑的推理层——其运作方式更接近语言模型处理模糊情境的方式——则负责应对真正新颖的情况，这些情况是纯反应式系统难以安全处理的。该架构是

Waymo试图在不牺牲行驶车辆日常控制所需的确定性、低延迟响应的前提下，获取大型模型在其他领域所展现的泛化优势——这一平衡问题，整个自动驾驶行业仍在积极探讨，而非Waymo所声称已彻底解决的。

治理才是真正的瓶颈，而非技术

在第八和第九项原则中，Waymo的这篇博文最明确地传达了面向监管机构和企业合作伙伴的信息，而非面向普通技术受众。 Waymo 描述了一个正式的、定量的治理框架，该框架在做出任何扩展决策、移除安全驾驶员、进入新城市或扩展运行设计域之前，会评估系统是否已展现出充分的就绪状态；同时还描述了一个持续的“数据飞轮”，该飞轮将数据采集、标注、重新训练和验证作为一个常态化的运营流程循环进行，而非周期性的项目。 这两项原则共同描绘了一家将扩张步伐建立在治理门槛之上，而非仅依赖工程信心来决定的组织。对于像欧盟这样的新监管管辖区而言，这种立场比单纯的技术安全论据更具说服力——因为评估新型技术的监管机构通常更倾向于被一个经过验证、 可重复的决策流程，而非那些他们难以通过独立手段验证的原始性能统计数据。

第十条也是最后一条原则——即真正的自动驾驶无可替代，且升级版驾驶辅助系统不能作为真正第4级自动驾驶成熟度的有效替代指标——是Waymo最尖锐且最具竞争意味的主张，也是对那些通过逐步推出功能更强大的驾驶辅助产品来逐步实现完全自动驾驶的竞争对手的隐性反驳。 Waymo的论点是，如果一个系统是基于“人类驾驶员始终可用”这一假设设计的，那么

与从一开始就完全不设人类备用方案的系统相比，采用备用方案的系统会形成不同的工程习惯，其安全架构中也蕴含着不同的潜在假设；而且，当驾驶辅助系统的性能指标开始接近真正自动驾驶系统时，这些差异并不会就此消失。 这一论点是否成立，可能会遭到那些追求渐进式发展路径的竞争对手的质疑，但这是一种逻辑自洽且可证伪的立场，而非营销噱头。它为正在评估不同自动驾驶供应商的买家提供了一个值得深思的具体架构问题：该系统是从设计之初就完全不依赖人类介入，还是在原本以人类介入为核心构建的系统上，后来才添加了完全自动驾驶功能？

值得带到慕尼黑的信号

Waymo在确认进军欧洲新市场的同一周公布如此详尽的工程细节，绝非偶然。2亿英里的运行记录是该公司目前最有力的证据，证明其“十项原则”框架所构建的系统，即使没有人类作为后备，也能赢得监管机构和公众的信任， 将这一框架明确阐述出来——而非将其作为隐藏在安全统计数据背后的隐含主张——是该公司的一场刻意押注：技术透明度将比仅凭“黑匣子”式安全记录更快地推动新的监管审批流程。 试想一下这个未被写入报道的故事：黄昏时分，一辆Waymo自动驾驶汽车在雨中的慕尼黑十字路口行驶，一辆有轨电车横穿其路径，一名骑行者从地图团队从未完全建模的自行车道并入主路，而独立验证层在该事件成为头条新闻之前，及时捕捉到了主模型遗漏的细节——从而使其仅作为明年安全报告中的脚注而非头条新闻。 正是这种不起眼、无形的“拦截”——而非又一个里程数里程碑——才是这十项原则真正旨在保障的核心。

免责声明：本文仅供一般信息参考，不构成

投资、法律或采购建议。读者在做出商业决策前，应通过原始来源核实相关细节。