没有方向盘之后，无人驾驶靠什么保证安全？

本文首发于智驾最前沿微信公众号，2026年9月，特斯拉开始在美国奥斯汀有限区域提供Cybercab乘坐服务。

这辆车没有方向盘，也没有加速和制动踏板，特斯拉官方将其定义为按照完全自动驾驶来设计的产品。

当方向盘这一安全保障消失后，无人驾驶靠什么保证安全？

01

取消方向盘

是不是少了一道兜底？

方向盘和踏板本身就不是自动驾驶安全的核心，它们真正重要的地方在于提供了人工接管能力。

在L2辅助驾驶中，自动驾驶系统可以负责转向、加速和制动，但驾驶员始终是最后的责任主体。系统遇到自己无法处理的情况，可以要求驾驶员接管。

而Cybercab的设计完全不同。

特斯拉官方资料显示，Cybercab的两个座位都不是驾驶位，车内没有方向盘、加速踏板和制动踏板。

图片源自：网络

这意味着系统不能再将将驾驶员接管作为解决异常情况的常规方案，自动驾驶系统也必须承担更多原本由驾驶员承担的安全职责。

这也是为什么无人驾驶安全不能只看车辆平时能不能正常行驶，还要看系统发现自己处理不了问题之后，会怎么做。

02

真正的安全能力

是知道什么时候不能继续开

无人驾驶首先需要明确自己的能力边界。

自动驾驶领域一般用ODD（运行设计域）描述系统能够安全工作的条件，其中包括道路类型、地理区域、速度范围、天气和昼夜等。

NHTSA（美国国家公路交通安全管理局）在其自动驾驶政策指南中也把ODD列为核心安全要素之一。

中国同样将ODD作为自动驾驶安全管理的核心要素。

工业和信息化部组织制定的《智能网联汽车自动驾驶系统设计运行条件》（GB/T 45312—2025）推荐性国家标准，已将设计运行范围列为自动驾驶系统设计运行条件的第一层级基础元素。

2026年7月发布的《智能网联汽车 自动驾驶系统安全要求》（GB 44721—2026）强制性国家标准，更进一步为L3、L4级自动驾驶产品明确了统一的安全准入基线。

ODD这个概念对没有方向盘的车辆尤其重要。

因为车辆不可能在任何道路、任何天气和任何突发情况下都保持相同的自动驾驶能力。

真正重要的是，系统能不能识别当前环境是否仍然处于自己的能力范围内。

比如道路突然施工，原有通行路径被封闭；天气或者光照条件发生明显变化；某个传感器出现异常，导致感知能力下降。这时候系统不能继续假设自己和正常状态下一样可靠。

这就需要它先判断自身状态，再决定继续驾驶还是退出当前任务。

这就是OEDR（目标与事件检测及响应）和Fallback（故障回退）真正重要的地方。NHTSA在其自动驾驶政策指南中也建议系统能够识别系统故障、性能下降或者超出ODD的情况，并采取相应的最小风险状态。

对于没有驾驶员的车辆，这个过程尤其关键。

因为系统不能简单地把问题抛给乘客，而需要自己完成风险控制。

03

系统失效之后

车辆怎么把自己停下来？

这也是无人驾驶和普通辅助驾驶在安全设计上的一个关键区别。

如果L2系统出现问题，驾驶员可以接管车辆。但对于Cybercab这种没有方向盘的车辆，系统出现关键故障之后，需要自己完成Fallback，也就是进入最小风险状态。

简单来说，就是车辆不能继续正常完成驾驶任务时，要采取一个风险更低的状态（如减速并在合适的位置停车）。

NHTSA早期的自动驾驶政策指南中已经明确提出，高自动化车辆即使没有可用的人类驾驶员，也应该能够在无法安全运行时自行进入最小风险状态。

中国的强制性国家标准同样对最小风险策略提出了明确要求。

《智能网联汽车自动驾驶系统安全要求》（GB 44721—2026）规定，L4级自动驾驶系统应在必要时自动执行最小风险策略，不依赖车内驾驶员兜底。

标准要求系统在各类场景下执行动态驾驶任务的安全要求，并明确最小风险策略的触发和执行要求。

图片源自：网络

这里有一个容易被误解的地方需要说明下。

安全降级不是出了故障就停车这么简单。

不同故障对车辆能力的影响不同。有些故障并不会影响车辆继续安全行驶，有些则可能直接影响关键驾驶功能。因此系统需要判断故障到底影响了什么，以及车辆还能不能继续运行。

如果关键感知、计算或者车辆执行能力已经不足以支持安全驾驶，就需要采取更加保守的动作。

而且这个过程不能停留在软件层面。

自动驾驶系统判断应该停车，还需要制动、转向、供电和计算等车辆系统真正把这个动作执行出来。

因此无人驾驶的安全设计不仅是AI模型的问题，还涉及车辆控制和关键系统的故障检测、冗余以及失效后的安全状态。

这也是为什么当没有方向盘后，整车安全架构要求会更高的原因。

04

乘客不负责开车

但仍然需要安全接口

没有方向盘，也不意味着乘客完全无法干预车辆。

特斯拉最新的《Cybercab乘客指南》显示，乘客可以通过车内触控界面请求车辆靠边，也可以联系Robotaxi支持。

Cybercab还配备了车内双向通信设备，在乘客主动请求支持或者系统自动检测到安全事件时，相关音频可以被传输给特斯拉，支持人员可以查看事件附近的录音并提供帮助。

图片源自：网络

这里同样需要把两个概念分开。

乘客的应急操作，不等于驾驶员接管。

乘客不能像驾驶员一样控制方向、油门和刹车。它提供的是一套面向异常情况的人机交互和求助机制。

特斯拉还为Cybercab准备了针对事故处理的急救人员交互方案和紧急响应资料，说明无人驾驶车辆的安全边界并不只存在于车内算法，还包括车辆发生异常之后与乘客、道路救援以及应急人员之间如何衔接。

05

最后的话

判断Cybercab这样的车辆是否足够安全，不能简单看它有没有方向盘，也不能因为它取消了方向盘，就认为它已经解决了所有无人驾驶安全问题。

方向盘取消之后，真正被拿掉的是人工接管这一层。

此时车辆就必须通过ODD管理、环境和自身状态监测、故障检测、Fallback、车辆执行冗余以及应急交互等机制，把原本由驾驶员承担的安全职责重新分配出去。

至于它在更大范围、更复杂环境下能否长期保持这样的安全能力，则需要真实运营数据和持续监管来验证。

事实上，Cybercab开始在奥斯汀有限区域运营后，NHTSA已经在9月4日针对特斯拉的车辆自认证启动Audit Query（审查调查），要求审查其证明Cybercab符合联邦机动车安全标准所依据的技术数据和认证流程。

所以，没有方向盘并不是无人驾驶安全的证明，而是对车辆提出了更严格的要求。

因为从这一刻开始，车辆不能再期待一个人随时坐在里面替它收拾残局。

它必须学会在正常情况下自己驾驶，在能力下降时自己识别，在无法安全驾驶时自己降级，并最终把车辆带入一个风险更低的状态。

这才是没有方向盘之后，真正值得讨论对问题。