人类能信任自主系统吗？一个图灵奖得主与曹操出行RoboX的答案

作者｜西西弗柿

编辑｜无心插柳柳橙汁

问你一个问题，你害怕坐无人驾驶的汽车吗？

试想一个极端场景，一辆没有司机开的车，方向盘系统转，刹车系统踩，左边是突然横穿的行人，右边是一辆压着实线变道的小电驴，全靠系统做出决定，刹车还是转向，转向的幅度多大。

这种车，把安全保障做到何种程度，你才敢放下顾虑，把生命托付给它？

第一种答案，是TA“过往已经安全行驶了1000万公里”的数据保障，第二种，是TA“从根源上就杜绝了做出不安全行为”的结构性、机制性保障。

显然，后者更靠谱，毕竟，即使TA已经安全行驶了1000万公里，也不能保障第1001万公里不会出事。

遗憾的是，当下自动驾驶行业的主流叙事正是第一种逻辑，厂商默认“跑得越多越安全”，用测试里程、事故率等指标来建立信心。这显然不是一个能让乘客安心的回答。

第二种逻辑，则关乎图灵奖得主约瑟夫·希发基思（Joseph Sifakis）大半生研究的核心问题上：安全如何被验证，自主系统凭什么赢得人类的信任？

近日，曹操出行宣布，Sifakis正式受邀出任AI创新中心首席科学顾问。

至此，一家把安全可信作为RoboX战略底层能力的出行科技公司，与一位较真的学者双向奔赴，在可信自主系统和Robotaxi规模化运营等问题上，形成了罕见的契合。

用半生时间

Sifakis探寻“自主可信系统”

Sifakis几十年的研究道路，其实一直围绕一个问题展开，机器变得越来越复杂，人类怎么确认它是可靠的？信任的依据究竟是什么？

上世纪80年代，Sifakis踏入模型检测领域，彼时计算机系统远谈不上“自主”，但并发系统的复杂度已足以令人头疼：

多个进程同时运行，交互路径呈指数级增长，某些错误仅在特定条件下触发，连复现都极为困难。

问题在于，如何验证“这个系统绝不会出错”？

靠测试，肯定测不完，那能不能把这个系统抽象成一个数学模型，然后自动检查它会不会进入某些危险状态？

比如，会不会死锁，会不会违反某个安全条件，会不会在某种情况下走到一个不该走的位置。

基于此，Sifakis开始进入模型检测理论的研究。

通俗地说，模型检测做的是这样一件事：用数学方法穷举一个系统所有可能的状态，检查有没有任何一个状态违反了预设的安全属性。

如果有，找到了，这就是Bug。如果没有，系统才是安全可靠的。

这就是模型检测的迷人之处，它不是等事故发生以后再去复盘。它是在系统还没真正出事之前，就问一句：

如果所有可能性都摊开看，这里面有没有一条路会通向危险？

这跟当时主流的“测试”思路有根本性的不同。测试只能发现错误，不能证明“没有错误”。

模型检测可以在给定模型和安全属性下，证明系统不会违反这些属性。两者的差距，不是一个量级的。

这套方法很快走出实验室。芯片设计、航空软件、通信协议认证——凡是出了错就难以挽回的领域，模型检测成为工业级验证的重要基础技术。Intel利用它发现芯片设计中的逻辑缺陷，空客则借助它提升飞控软件等安全关键系统的验证可靠性。

2007年，Sifakis与另外两位独立提出类似理论的学者一同获得图灵奖。

此后，Sifakis的研究重心转向了更加棘手的领域。

模型检测擅长解决“有限状态系统”的验证问题，芯片设计、通信协议、嵌入式软件，这些系统的行为空间是封闭的、可枚举的。

但“自主系统”完全不同：它面对的是一个开放、动态、充满不确定性的世界，传感器噪声、多智能体交互、人类参与……这些要素如何被形式化？

Sifakis的解法是BIP框架（Behavior-Interaction-Priority）：

一套系统级的设计与验证语言，把复杂的自主系统拆成“行为-交互-优先级”三层抽象。每一层都能被形式化验证，组合之后，整个系统依然是可证明安全的。

这个思路，他后来概括为Safe-by-Construction：安全不是事后检测出来的，是在构造系统的时候就种进去的。

换一种方式理解，把造系统比作盖楼，测试-迭代的逻辑，相当于“先盖起来用着，哪里裂了就补哪里”，多数时候灵，但碰上地震就不好说。

Safe-by-Construction的逻辑，相当于“在画图纸的阶段，就用数学证明了这栋楼在所有可能的受力条件下都不会倒塌”。

一个是靠“运气”和“经验”，一个是靠“证明”。

Sifakis团队已将这套方法直接用于自动驾驶碰撞避免控制器的设计，使控制逻辑能够在明确假设条件下接受数学证明，而非仅依赖大量测试验证。

Robotaxi

成为Sifakis理论最强试炼场

自动驾驶行业现在理解的安全，到底是什么？

打开任何一家自动驾驶公司的宣传材料，你大概率会看到这样的表述：“累计测试里程超过X千万公里”“实测事故率低于人类驾驶员”等等。

这些都是事实没毛病，但仔细想想，这些数据能证明什么？它们证明的是：到目前为止，没出大事。不是“未来也不会出大事”。

这就是测试-迭代逻辑的致命短板。

Safe-by-Construction的思路正好相反。

它叩问的不是“这辆车跑了多少公里没出事”，而是“这辆车的控制系统，是否保证了，在所有可能的交通场景下，都不会做出违反安全约束的决策？”

好比你问一个司机驾驶技术咋样，他说“我开了二十年车没出过事故”，这是统计安全观。另一个司机说“不管遇到什么路况，我的车该怎么刹车，系统在设计阶段就算好了，不靠我的反应速度”，这是构造安全观。

前者的信心是脆弱的，一次事故就足以崩塌了，后者的信心是结构性的，它不依赖过去怎么样，而是依赖“这个系统本质上是否靠谱”。

这套方法论在Robotaxi领域，找到了它迄今最大体量的现实验证场。

图灵奖得主与曹操出行RoboX

双向奔赴

曹操出行的RoboX战略，恰好提供了这样一个“靶场”。

为什么这么说？

首先，供需高度契合。曹操出行RoboX战略的核心是“智能定制车辆、智能驾驶技术、智能运营”三位一体生态，要让Robotaxi成为可以被监管接受、被保险理解、被用户长期信任的服务，重中之重是解决安全性验证和监管认证问题。

这个过程中，Sifakis的Safe-by-Construction就不是一个学术概念，它会变成曹操出行构建可信自动驾驶能力的一种方法论支撑。

不止于此，Safe-by-Construction要求系统从设计之初就把安全“构造”进去，而曹操出行，恰好拥有从底层硬件到上层运营的完整控制权。

背靠吉利整车制造能力，用于RoboX的车辆可以是“为自动驾驶而设计”的，从线控底盘的冗余、制动转向的故障安全机制，每一个硬件决策都可以提前嵌入安全边界，这给了Safe-by-Construction一个更深的“施工面”。

运营闭环的完整性，同样是曹操出行的独特优势。大多数公司只控制单车决策，对调度和运营策略没有话语权，但曹操出行本身是出行平台，拥有完整的派单、补能、车队管理系统，可以同时在三个层面做形式化设计和验证。Sifakis的BIP框架强调“行为-交互-优先级”三层协同，类比到Robotaxi，就是单车决策、多车调度、全局安全策略。

更关键的是规模。曹操出行的目标是2030年部署10万辆Robotaxi和10万辆Robovan。从100辆到10万辆，规模跃升会带来全新的失效模式——调度死锁、多车交互冲突、边缘场景的指数级增长。这些问题靠堆里程永远追不上，却正是形式化验证方法论最需要被检验、也最能发挥价值的维度。

对Sifakis来说，曹操出行同样是一个罕见的机遇。曹操出行将未来发展目标定位为物理AI移动科技平台，这个定位，和Sifakis近年研究的核心转向不谋而合。从芯片验证到数万辆Robotaxi的并发运营，他半生追问的问题，第一次有机会在物理世界的最大规模运营上得到验证。某种意义上，这也是形式化验证方法论第一次真正进入物理AI的核心战场。

曹操出行邀请Sifakis加盟，其实也给行业吃下了定心丸。

它表明曹操出行并未将RoboX仅仅视作概念包装，而是在安全认证、系统架构、运营调度、监管沟通、用户信任这些“慢变量”上提前建立壁垒。

这条路并不好走，但正因为难，才值得做。一旦这条路跑通了，我们再坐进Robotaxi，就不用提心吊胆了，而是可以打个盹、甚至直接睡一觉。

回到开头那个问题：你害怕坐无人驾驶的汽车吗？

也许，真正能打消这份顾虑的，不是一份更长的里程报告，而是有人能站出来说清楚：这套系统，我们从设计之初就对关键控制逻辑进行了数学证明。

Sifakis花了数十年建立这套证明方法。曹操出行正在把它带入真实运营的车队。当物理AI开始在真实世界大规模执行任务，如何证明它足够安全，是这个时代绕不开的问题。答案还在路上，但方向，对了。