——无人驾驶汽车的启示
| 导读 本文不是一篇无人驾驶技术综述，也不试图比较 Waymo 与 Tesla 谁更先进。它借无人驾驶讨论一个更一般的问题：当外部世界高度不确定，甚至错误概率本身也无法可靠计算，而系统又必须立即给出一个确定行动时，这个确定行动凭什么可信？本文以 Waymo 为主要样本，以 Tesla、监管和真实事故为对照，检验“从不确定输入到确定行动”这根箭头。文章关注的不是某一家公司是否更先进，而是一个更一般的可验证问题：当事实验证和概率验证都不足以支撑行动时，产生行动的判断制度本身能否被检查、限制、推翻和重新授权。 无人驾驶把这个问题推到了极端。道路上的下一秒没有一个预先写好的答案，但汽车不能因此拒绝决定。到了具体时刻，它必须刹车或不刹车、继续或停车、维持权限或降级。外部世界是不确定的，机器最后却必须给出确定行动。真正困难的不是“机器能不能把未来预测准确”，而是：在一个无法完全预测的世界里，人类凭什么允许机器作出确定行动？ |
一、Waymo 真正解决的是：自己在什么条件下有资格行动
Google 在 2009 年启动自动驾驶项目，2016 年将其独立为 Alphabet 旗下的 Waymo；2018 年起推出 Waymo One 商业约车服务，2020 年进一步向公众开放无车内安全员的付费无人驾驶服务。[1] 经过十多年的迭代，Waymo 已经积累了大规模无安全员道路运行数据。
但如果只看里程，很容易错过 Waymo 真正重要的地方。它并没有试图证明一件实际上无法证明的事情：汽车以后永远不会发生事故。它真正建立的是另一种安全逻辑：先限定系统有资格工作的条件，再用测试、仿真、故障分析、道路数据和安全论证说明，在这些条件下，没有证据表明系统存在不可接受的不合理风险；然后进行有限部署，再让现实运行继续检验原来的判断。
这里最基本的概念是运行设计域（Operational Design Domain，ODD；本文简称“边界”）。[2] 无人驾驶系统并不是说“我能够处理现实世界中的一切道路和一切情况”，而是先说明自己在哪些地理区域、道路类型、速度范围、天气和交通条件下工作。
这件事看似普通，其实很重要。运行设计域并没有消灭不确定性，它首先承认机器的知识和能力存在边界。真正成熟的安全系统首先做的，不是扩大自己的能力叙事，而是规定自己在什么条件下有资格行动。
二、不确定性真正改变的，是机器拥有多少行动权
汽车中的程序可以按照确定规则执行，但它所面对的世界并不确定。传感器只能得到现实世界的一部分信息；对其他道路参与者未来行为的预测也只能是概率性的；即使软件没有错误，硬件仍然可能故障。所以无人驾驶真正的安全问题并不是“有没有不确定性”，而是“不确定性出现以后，机器还可以做什么”。
信息越充分、场景越熟悉、剩余能力越强，系统可以拥有较大的行动空间；反过来，一旦感知能力下降、环境异常、系统故障或者风险无法可靠判断，机器的行动权限就应当随之收缩。用本文的话压缩，就是：不确定性越高，行动权限越低。
例如，车辆发生故障以后，安全并不意味着立即停在原地。高速公路中间突然停车，本身就可能制造新的危险。真正需要判断的是：在当前故障状态下，车辆还保留哪些能力，周围交通环境怎样，继续移动和立即停车分别会造成什么后果，然后选择当时能够实现的较低风险状态。
所以“最小风险状态”从来不等于“零风险状态”。机器必须不断回答的不是“什么动作绝对正确”，而是“在我现在掌握这些证据的情况下，我还有资格做什么”。
三、安全判断本身也必须接受验证
无人驾驶无法依靠一种测试方法证明安全。真实道路能够提供最直接的证据，但极端事故太少，仅靠道路里程很难覆盖；仿真能够重复危险场景，却也可能带有模型误差；封闭场地可以精确复现问题，却无法复制整个开放世界；事故统计本身还受到地区、道路类型、时间和报告口径影响。
因此，Waymo 采用安全论证（Safety Case）。[3] 它不是简单给出一个安全分数，而是要求一个重要安全主张能够向下追溯：为什么相信这个主张，依赖哪些证据，这些证据本身是否可信，是否存在尚未解决的反例和残余疑虑。
这件事的意义在于，验证对象发生了变化。最初我们验证的是汽车，接下来还必须验证：证明汽车安全的那套论证本身可靠吗？
安全工程领域发展的安全保证论证 2.0（Assurance 2.0）进一步引入“反驳项”（defeaters），主动寻找能够削弱或推翻原有结论的证据或理由。[4][5] 一个好的安全论证，不只是搜集“支持我”的材料，还必须认真记录“为什么我可能是错的”。
在一个高度不确定的世界里，安全并不是把所有疑虑消除以后才成立。真正重要的是：疑虑有没有被发现和记录，它们会不会改变当前权限；以后出现新证据时，原有结论能不能被重新打开。
四、连错误概率都算不清时，就必须控制真实世界暴露
很多风险问题可以用概率讨论，但这里必须先做一个区分：可量化但误差较大、模型不确定性、分布外风险、尾部风险和深度不确定性，并不是同一件事。本文所讨论的，是其中概率分布本身难以可靠建立、而系统仍然必须行动的情形，以及与它相邻的状态。
一个从未出现过的新场景到底多久出现一次？一种新的组合风险到底多危险？新的软件版本会不会与某种特殊天气共同产生问题？如果仍然强行给出一个貌似精确的概率，只是在制造虚假的确定性。
这时，控制暴露本身就成为安全工具。新的软件、新的城市、新的运行范围，不必一开始就无限开放。可以先限制区域、车辆数量、道路类型和运行规模，让现实世界提供新的证据，再决定是否扩大。因此，真实运行不仅是产品部署，也是验证过程的一部分。[2]
这意味着安全体系不能以“第一次判断绝不会错”为前提。它必须保证：即使初始判断存在偏差，风险暴露仍受到限制；新事实出现以后，系统能够降权、停止、召回，甚至重新回到未知状态。
“验证通过”因此不应被理解成永久标签。更准确的说法是：在某一个版本、某一组运行条件和某一组现有证据下，当前可以接受这个结论。版本变了、运行环境变了，或者新的事故证据出现了，原来的“安全”完全可能重新变成“未知”。
五、Waymo 和 Tesla 走的是两条路线，但最终回答的是同一个问题
Tesla 走的是另一条道路。它拥有很强的整车制造能力、低成本硬件路线和巨大的现实车队，同时也积累了大量完全自动驾驶监督版（FSD Supervised）运行数据。[6] 这些数据当然有价值。
但从可验证角度看，有一条边界不能跨过去：监督版完全自动驾驶的安全数据不能自动等同于真正无人监督的无人驾驶出租车数据。原因很简单，在监督模式下，人类驾驶员仍然是整个安全系统的一部分。一个本来可能造成事故的判断，如果被驾驶员及时接管，最后可能不会表现为事故。
如果用本文同一把尺子评价 Tesla，未来真正需要观察的也不只是事故率，而是无人监督系统的资格边界如何定义、行动权限如何随不确定性收缩、现实暴露如何分级，以及新事实出现后如何降权和重新授权。
这并不是否定 Tesla。Waymo 值得尊敬的是，它把一个几乎没有先例的开放世界安全问题，经过十几年一步一步做成了可以现实运营、部分结果已经接受独立统计检验、并能够持续纠错的体系。Tesla 值得尊敬的则是，如果它最终在真正无人监督条件下通过同样严格的安全验证，它的软硬件一体化和制造能力有可能把自动驾驶进一步压缩成可以大规模复制的工业产品。
两家公司走的是不同路线，但对于本文讨论的可验证安全，它们最终必须回答同一个问题：在未来无法完全预测的世界中，凭什么允许机器行动？
六、企业的安全判断，不能直接变成社会的风险授权
一家企业可以建立自己的安全论证（Safety Case），可以成立安全委员会（Safety Board），也可以认为某个版本已经不存在不可接受的不合理风险。但企业不能因此自动获得决定“社会应该接受多少残余风险”的权力。所以，企业判断和公共授权之间还需要监管。
本文监管部分主要以美国为样本。美国国家公路交通安全管理局（National Highway Traffic Safety Administration，NHTSA）负责车辆安全、缺陷调查和召回；州一级监管机构管理测试和部署许可；加利福尼亚州公用事业委员会（California Public Utilities Commission，CPUC）管理商业载客资格；美国国家运输安全委员会（National Transportation Safety Board，NTSB）负责重大事故的独立调查和安全建议。
加州近年的自动驾驶规则越来越强调安全论证、生命周期管理和持续监测。[7] 这说明，完整的安全体系并不是企业内部验证结束以后就完成，而是包括企业验证、第三方审核、监管授权、有限部署、现实运行和再次监管。
但监管批准也不等于真理。监管者同样面对信息不对称、技术变化过快、软件复杂度过高和事故数据不足等问题。验证判断制度本身，并不意味着寻找一个不会犯错的“最终验证者”，而是把企业判断、第三方审核、公共授权和现实结果拆开，使不同主体能够相互校验、相互限制。
七、真实事故，是对判断制度最重要的压力测试
近年的几个 Waymo 事件很有代表性，因为它们暴露的并不只是“汽车有没有看见东西”，而是判断制度中的不同环节。
2026 年 4 月 20 日，Waymo 一辆空车在圣安东尼奥遇到不可通行的道路积水。NHTSA 的召回文件记载，系统已经检测到前方积水“可能无法通行”，车辆减速后仍继续进入；Waymo 随后收紧高风险积水条件下的运行范围，并由安全委员会决定召回。[8] 这里的问题不是没有识别风险，而是：已经识别了风险以后，为什么行动权限没有进一步收缩？
2026 年 4 月至 5 月，Waymo 在凤凰城和旧金山湾区发生多起车辆进入封闭或施工车道的事件。召回文件把问题归因于两类机制：未能识别施工区域，或者在多种风险并存时不当地优先处理其他高速公路风险。[9] 这说明机器面对多个安全目标时，不仅要识别风险，还必须决定风险之间的优先级。
校车事件又提出了另一类问题。NTSB 的公开调查材料描述了这样一个过程：车辆先停车，随后向远程协助（Remote Assistance）询问前方是否是一辆正在显示停车信号的校车；远程人员给出否定回答，车辆随后重新起步。[10] 调查尚未完成，因此现在不能提前判断最终责任。
但无论最终责任如何，这一序列至少说明：信息输入本身可能改变机器对外部状态的定义，而状态定义又可能改变行动权限。人类介入因此也必须成为验证对象，而不能被当作天然的安全阀。信息权、状态定义权、判断权、授权权和执行权，并不是同一件事。一个人没有方向盘，并不代表他没有控制力；如果他的输入能够改变机器对现实的解释，他仍然可能改变机器的行动。
八、现实数据支持 Waymo，但不能替代机制验证
从结果看，Waymo 目前已经得到相当有力的独立支持。美国公路安全保险协会（Insurance Institute for Highway Safety，IIHS）在 2026 年公布的一项研究使用约 5000 万英里无人驾驶运行数据，并与同城市、同时期的人类驾驶事故进行匹配。结果显示，Waymo 按行驶里程计算的警察可报告事故率比匹配的人类驾驶低 68%，伤害事故率低 81%。[11]
这是重要证据。它说明 Waymo 的安全体系并不只是纸面工程，而已经在现实道路中产生了可以观察到的结果。但这种结果不能被解释成“Waymo 的安全问题已经解决”。总体事故率下降，不等于每一种风险都已经被理解。校车、儿童、施工区、极端天气、基础设施失效以及大规模车队同时进入异常状态，仍可能暴露出总体统计难以发现的结构性问题。
因此，一个成熟的安全体系既要看总体结果，也要看局部机制。现实结果已经形成较强支持，与制度细节仍不能被外部完整复算并不矛盾：前者检验结果，后者检验产生结果的判断制度。
九、从外部可验证角度看，仍有几根箭头没有完全闭合
经过十多年的迭代，公开证据已经对 Waymo 在现有运行边界内的总体安全表现形成了相当强的支持，这本身非常难得。但作为外部观察者，我们仍无法复算其完整安全论证、内部阈值和全部运行数据；从外部可验证角度看，至少还有几根箭头没有完全闭合。
第一根是风险接受阈值。科学能够帮助我们估计某种伤害发生的概率和严重程度，却不能单独回答一个规范问题：多低的风险才算社会可以接受？所谓“没有不合理风险”，最后仍然包含价值判断。可验证方法不能替代价值选择，但可以要求价值判断被明确表达、与公共授权相对应，并能够被问责。
第二根是第一次暴露应该有多大。如果面对一种尚未充分观察的风险，错误概率本身都不知道，那么第一次究竟允许多少辆车、多少里程、多少真实公众暴露？Waymo 已经有明显的渐进部署制度，但公开信息还不足以让外部观察者完整复算“现有证据强度”与“允许部署规模”之间的对应关系。
第三根是扩大权限的条件。什么时候可以从一个城市扩大到另一个城市？从一种道路扩展到另一种道路？从一个软件版本迁移到下一个版本？旧证据不能全部作废，否则系统永远无法扩张；但旧证据也不能无限继承，否则新的风险变化会被隐藏。
第四根是远程协助。外界已经知道，远程协助不是远程驾驶，而主要提供上下文和建议。但真正评价这套机制，还需要知道它被请求的频率、错误率、错误建议改变车辆状态的概率，以及大规模系统异常出现时的等待时间分布。
第五根是从单车安全走向系统安全。一辆汽车在异常情况下停车，很可能是安全行为；如果几百辆汽车在同一场大停电或城市基础设施异常中同时停车，原本正确的局部行为就可能制造新的系统风险。因此，未来真正需要验证的已经不仅是一辆汽车，而是车辆、车队、远程支持、云端系统、道路基础设施和应急体系构成的整体。
十、无人驾驶真正扩展了“可验证”这个概念
无人驾驶给可验证思想带来的最大变化，不是增加了一套汽车安全术语，而是迫使可验证对象继续上移。
对于确定问题，我们可以直接追问事实真假。一笔交易是否发生、一项资产是否存在、一个账本是否一致，原则上都存在可以不断逼近的事实答案。对于不确定问题，我们无法要求判断永远正确，但可以验证判断依据是什么、概率如何形成、误差可能有多大。
无人驾驶提出了更困难的第三种情况：有些问题不仅未来不确定，连错误概率本身也无法可靠确定，但系统又不能拒绝行动。此时，真正需要验证的就不再只是结论，而是产生这个确定行动的判断制度本身。
如果再压缩，在这种必须行动的情况下，至少可以继续检查四件事：资格边界是否明确；权限是否随证据和不确定性变化；现实暴露是否有上限；什么条件会使旧结论重新打开，并触发降权、停止或再授权。
这一判断并非建立在理论真空中。鲁棒决策（Robust Decision Making，RDM）、信息差距决策理论（Info-Gap）、安全保证论证 2.0（Assurance 2.0）、适应性管理的双环学习，以及德国和日本的自动驾驶安全研究，都分别处理了深度不确定性、残余疑虑、持续更新或制度学习等问题。[12]-[18] 本文并不试图取代这些理论，而是尝试把其中分散的方法压缩到同一条可验证主线上：当不确定输入必须产生确定行动时，可验证对象需要从事实、判断继续上移到产生判断的制度本身。
由此，可验证思想仍然保留两条高层规则，并在第二条规则下进一步展开：
确定问题，验证真假。
不确定问题，验证判断依据及其错误概率。
当错误概率也无法可靠确定，但现实又必须给出确定解时，验证不能停在“错误概率无法确定”这一结果上，还要继续验证产生行动的判断制度本身。
无人驾驶并不能证明这种制度性展开已经适用于一切领域。医疗急救、电网调度、金融紧急干预等问题仍需要分别验证。但无人驾驶至少构成了一次很强的压力测试：当一个不确定问题不能停留在“不知道”，而必须在现实中形成确定行动时，验证对象就需要从判断及其错误概率，继续延伸到产生行动的判断制度。
可验证思想的价值，不是把不确定性消灭，而是使一个必须在不确定条件下作出的确定决定，仍然能够被检查、被限制、被推翻，也能够被不断修正。
参考文献
[1] Waymo. Autonomous Driving Technology – Learn more about us. Waymo corporate history/timeline. https://waymo.com/about/
[2] Favaro, F., Schnelle, S., Fraade-Blanar, L., Victor, T., Peña, M., Webb, N., et al. “Determining Absence of Unreasonable Risk: Approval Guidelines for an Automated Driving System Release.” SAE International Journal of Connected and Automated Vehicles, 9(4), 2026. DOI: 10.4271/12-09-04-0026.
[3] Schnelle, S., Favaro, F. M., Fraade-Blanar, L., Wichner, D., Broce, H., Miranda, J. “Assessing a Safety Case: Bottom-up Guidance for Claims and Evidence Evaluation.” Waymo Research, 2026. https://waymo.com/research/assessing-a-safety-case-bottom-up-guidance-for-claims-and-evidence/
[4] Bloomfield, R., Rushby, J. “Assessing Confidence with Assurance 2.0.” arXiv:2205.04522, 2022.
[5] Bloomfield, R., Netkachova, K., Rushby, J. “Defeaters and Eliminative Argumentation in Assurance 2.0.” arXiv:2405.15800, 2024.
[6] Tesla. FSD (Supervised) Evidence Dashboard, 2025 data. https://www.tesla.com/fsd-evidence-dashboard
[7] California Department of Motor Vehicles. California Autonomous Vehicle Regulations; Final Statement of Reasons, 2026. https://www.dmv.ca.gov/portal/vehicle-industry-services/autonomous-vehicles/california-autonomous-vehicle-regulations/
[8] National Highway Traffic Safety Administration. Part 573 Safety Recall Report 26E026, Waymo LLC, May 6, 2026. https://static.nhtsa.gov/odi/rcl/2026/RCLRPT-26E026-6527.pdf
[9] National Highway Traffic Safety Administration. Part 573 Safety Recall Report 26E035, Waymo LLC, 2026. https://static.nhtsa.gov/odi/rcl/2026/RCLRPT-26E035-7637.pdf
[10] National Transportation Safety Board. HWY26FH007, “Automated Driving System-Equipped Vehicle Passed School Bus Loading Student Passengers,” March 3, 2026. https://www.ntsb.gov/investigations/Pages/HWY26FH007.aspx
[11] Insurance Institute for Highway Safety. “Waymo’s driverless cars crash less often than people,” July 23, 2026. https://www.iihs.org/news/detail/waymos-driverless-cars-crash-less-often-than-people
[12] Lempert, R. J. “Robust Decision Making (RDM).” In Decision Making under Deep Uncertainty: From Theory to Practice. Springer, 2019, pp. 23-51.
[13] Ben-Haim, Y. “Info-Gap Decision Theory (IG).” In Decision Making under Deep Uncertainty: From Theory to Practice. Springer, 2019.
[14] Williams, B. K., Brown, E. D. “Double-Loop Learning in Adaptive Management: The Need, the Challenge, and the Opportunity.” Environmental Management, 62, 995-1006, 2018.
[15] Burton, S., McDermid, J. A. “Closing the gaps: Complexity and uncertainty in the safety assurance and regulation of automated driving.” Fraunhofer / University of York, 2023. DOI: 10.24406/publica-1795.
[16] Adee, A., Munk, P., Gansch, R., Liggesmeyer, P. “Uncertainty representation with extended evidential networks for modeling Safety of the Intended Functionality (SOTIF).” ESREL/PSAM 2020. DOI: 10.3850/978-981-14-8593-0_5737-cd.
[17] 北岛创、中村弘毅、村田智良、田口研治、ウォレン郁恵：《自動運転の安全性評価フレームワーク（Ver.3）の安全論証構造分析》，JARI Research Journal, JRJ20241203, 2024年12月。
[18] 日本自动车工业会（JAMA）：《自動運転の安全性評価フレームワーク Ver.4.0》，2025年12月。https://www.jama.or.jp/operation/safety/automated_driving/pdf/framework_ver_4_0.pdf
