Waymo召回3791辆自动驾驶车辆：机器人出租车误闯洪水路段始末

Waymo召回事件：一辆机器人出租车误闯洪水路段

Alphabet旗下自动驾驶公司Waymo近日宣布召回其自动驾驶软件，原因是该软件未能阻止车辆驶入洪水淹没的道路。此次召回涉及3,791辆搭载Waymo第五代和第六代系统的车辆，再次将自动驾驶系统在极端天气下的决策短板推到了聚光灯下。

根据Waymo向美国国家公路交通安全管理局（NHTSA）提交的缺陷报告，一辆无人乘坐的Waymo机器人出租车在行驶途中"遭遇了一段无法通行的洪水路段"，车辆并未及时停车或绕行，而是继续驶入积水区域。这一事件直接触发了本次软件召回。

召回涉及3791辆车，OTA远程修复成亮点

涉及车辆与系统版本

本次召回覆盖了Waymo目前运营的第五代和第六代自动驾驶系统，共计3,791辆车辆。Waymo的自动驾驶系统经历了多次迭代演进。第五代系统（Driver 5th Gen）搭载于捷豹I-PACE电动SUV上，采用了29个摄像头、激光雷达和雷达传感器的融合方案，感知范围可达300米以上。第六代系统则是Waymo与吉利合作开发的全新平台，基于极氪车型打造，传感器成本大幅降低的同时感知能力进一步提升，被视为Waymo实现规模化商业运营的关键一步。这两代系统共同构成了Waymo在旧金山、凤凰城、洛杉矶等城市提供Waymo One机器人出租车服务的核心技术平台，召回规模几乎涵盖了其全部运营车队。

软件召回而非硬件召回

此次召回的核心问题出在自动驾驶软件的环境感知与决策模块——系统未能正确识别洪水路况并做出安全响应。按照正常逻辑，自动驾驶系统检测到前方道路被水淹没时，应当自动绕行或靠边停车，但这套软件在面对洪水场景时出现了判断盲区。

好消息是，这是一次软件召回，Waymo可以通过OTA（Over-The-Air）远程更新的方式完成修复，车辆无需返回维修中心。OTA远程更新技术最早广泛应用于智能手机系统升级，后被特斯拉引入汽车行业并逐渐成为行业标准。其核心原理是通过蜂窝网络或Wi-Fi将软件更新包推送至车辆端，由车载计算平台完成下载、校验和安装。对于自动驾驶车辆而言，OTA不仅可以修复软件缺陷，还能持续优化感知算法、更新高精地图数据和改进决策逻辑。与传统汽车召回需要车主将车辆送至经销商维修不同，OTA召回可以在数小时内覆盖整个车队，极大降低了时间和经济成本。不过，OTA也带来了网络安全方面的新挑战，如何防止更新过程被恶意篡改是行业持续关注的议题。这种处理方式既高效又低成本，也是软件定义汽车时代召回模式的一个典型案例。

极端天气仍是自动驾驶的技术硬伤

洪水、暴雨、大雪——传感器的噩梦

洪水、暴雨、大雪等极端天气条件一直是自动驾驶技术最棘手的挑战之一。具体来说，这类场景给自动驾驶系统带来了三重困难：

• 传感器性能大打折扣：雨水飞溅和路面积水会严重干扰激光雷达（LiDAR）和摄像头的感知精度，导致障碍物检测和路面识别出现偏差。激光雷达通过发射激光脉冲并测量反射时间来构建周围环境的三维点云地图，是当前L4级自动驾驶系统最核心的传感器之一。然而，LiDAR在极端天气下存在显著局限：暴雨中的雨滴会散射激光信号，产生大量"噪声点"，使系统误将雨幕识别为障碍物；积水路面会像镜面一样反射激光，导致地面检测失效；大雾和扬尘则会严重缩短有效探测距离。为应对这些挑战，Waymo等公司采用多传感器融合策略——将LiDAR与毫米波雷达（不受雨雾影响但分辨率较低）、摄像头（提供语义信息但受光照影响大）的数据进行互补融合，以提高恶劣天气下的感知鲁棒性。但此次洪水事件表明，即便是多传感器融合方案，在某些极端场景下仍存在感知盲区。

• 路面状况难以判断：洪水会彻底改变道路的可通行性，而水深无法仅凭视觉传感器准确估算，这对决策系统构成了极大考验

• 训练数据严重不足：极端天气在自动驾驶训练数据集中占比极低，属于典型的"长尾场景"，模型在这些边缘情况下的泛化能力天然偏弱。在机器学习领域，"长尾分布"指的是大量低频事件的集合——单个事件发生概率极低，但种类繁多，总量可观。对自动驾驶而言，日常晴天城市道路驾驶属于"头部场景"，训练数据充足，模型表现优异；而洪水、冰雹、野生动物横穿公路等属于"长尾场景"，在数十亿英里的训练数据中可能仅出现寥寥数次。这导致模型在这些场景下缺乏足够的学习样本，泛化能力不足。业界目前主要通过仿真模拟（如Waymo的Simulation City平台可生成数十亿虚拟驾驶场景）、对抗性训练和域自适应等技术来弥补长尾数据的不足，但从仿真到真实世界之间的"sim-to-real gap"仍然是尚未完全解决的技术难题。

安全冗余机制亟待加强

此次事件中，涉事车辆恰好处于无人乘坐状态，没有造成人员伤亡。但换个角度想，如果车内坐着乘客，驶入洪水区域的后果可能相当严重——车辆熄火被困、乘客面临溺水风险，这些都不是小概率事件。

这给整个自动驾驶行业敲了一记警钟：在极端场景下，系统应当建立更强的安全冗余机制，宁可误判导致绕远路，也不能冒险通行未知路况。安全冗余（Safety Redundancy）是航空航天领域的经典设计理念，核心思想是通过多层独立的安全保障机制确保单点故障不会导致灾难性后果。在自动驾驶领域，安全冗余通常体现在三个层面：感知冗余（多种传感器交叉验证）、计算冗余（主备双计算平台，主系统故障时备用系统接管）和决策冗余（当系统置信度低于阈值时自动触发最小风险状态MRC，如靠边停车）。Waymo的系统设计中包含了"最小风险条件"（Minimal Risk Condition）机制，即当系统判断无法安全继续行驶时，会自动将车辆引导至安全位置停靠。但此次洪水事件暴露的问题恰恰在于，系统未能将洪水路段识别为需要触发MRC的危险场景，说明安全冗余机制的触发条件覆盖面仍需扩展。

主动召回背后：行业监管与公众信任

Waymo主动报告释放积极信号

Waymo选择主动向NHTSA报告缺陷并发起召回，而不是等到监管机构介入后才被动应对。在自动驾驶行业仍处于建立公众信任的关键窗口期，这种透明、负责的做法对整个行业的长期发展是有益的。相比之下，隐瞒问题或拖延处理只会加剧公众对无人驾驶技术的不信任。

NHTSA持续收紧自动驾驶监管

NHTSA近年来明显加大了对自动驾驶车辆的监管力度，不仅要求企业主动报告涉及自动驾驶系统的事故和缺陷，还对多家公司展开了调查。美国国家公路交通安全管理局（NHTSA）是美国联邦层面负责汽车安全监管的核心机构。2021年6月，NHTSA发布了Standing General Order（SGO），要求所有配备L2级及以上自动驾驶或高级驾驶辅助系统的车辆制造商和运营商，在事故发生后24小时内报告涉及严重伤亡的事故，并在30天内报告其他相关事故。截至目前，NHTSA已对特斯拉Autopilot、通用Cruise、Waymo等多家公司展开过正式调查。2024年，Cruise因其机器人出租车在旧金山拖拽行人事件被NHTSA罚款并暂停运营许可，成为行业标志性监管案例。此次Waymo主动报告缺陷的做法，与Cruise当时被指隐瞒事故细节形成了鲜明对比，也反映出行业在监管压力下正逐步走向更高的透明度。此次Waymo召回事件将成为监管机构评估自动驾驶技术成熟度的又一个重要参考案例，也可能推动更细化的极端天气测试标准出台。

总结：自动驾驶离"全天候运营"还有多远？

这次Waymo软件召回事件说明了一个现实：自动驾驶技术距离真正的"全天候、全场景"商业运营仍有明显差距。在日常通勤、城市道路等常规场景中，Waymo的机器人出租车已经积累了数百万英里的安全行驶记录，表现甚至优于人类驾驶员。但一旦遇到洪水、冰雪、沙尘暴等长尾场景，系统的鲁棒性就暴露出了短板。

对Waymo来说，能够通过OTA快速修复问题本身就是技术实力的体现。但更关键的课题在于：如何从根本上提升自动驾驶系统对极端场景的感知和应对能力？这不仅关系到Waymo能否继续扩大运营版图，也将决定整个自动驾驶行业何时能真正赢得公众的广泛信任。

核心要点

• Waymo召回涉及3,791辆搭载第五代和第六代系统的自动驾驶车辆的软件
• 召回原因是无人驾驶车辆误闯洪水淹没路段，系统未能正确识别危险路况
• 此次为软件召回，可通过OTA远程更新修复，无需车辆返厂
• 极端天气条件下的环境感知与决策仍是自动驾驶技术的重大挑战
• Waymo主动向NHTSA报告体现了行业透明度，有助于建立公众信任