当L4不再讲故事，安全必须自证

2026年3月31日晚，武汉数十辆Robotaxi集体停摆在道路中间。官方通报为系统故障。乘客被困最长近两小时，SOS按钮无人响应，客服电话无人接听，最终由交警现场救援脱困。

这起事件很快淡出公众视野，但它引发的行业震荡远未平息。

331事件后，地平线创始人余凯仍坚持此前的判断：3年脱手开（Hands-off），5年闭眼开（Eyes-off），10年随心开（Mind-off）。按这个节奏，2028年实现百分之百脱手，2030年L4闭眼开，2035年完全随心。

一边是现实的警示，一边是技术的雄心。矛盾吗？不矛盾。余凯说的是技术上限；事件暴露的是安全底线。上限在加速，底线在收紧，两条线正在同时逼近。

而一个更根本的转变正在发生：L4不再靠故事赢得信任，它必须学会自证安全。

Corner Case不是技术问题，是安全准入

余凯有一个残酷的判断：真实世界的数据红利已经吃完了。

自动驾驶的真正瓶颈，恰恰是那些低频但致命的场景：路边临停车突然开门、电动车从盲区窜出、暴雨中红绿灯失灵……这些你遇不到，但遇到就是事故。顶级团队进一步进阶，必须更多依靠仿真，而不是真实世界数据。不是真实数据没用了，是"低垂的果实"大家都已经摘完了。

卓驭科技CEO沈劭劼提出了不同的思路。网上有大量行车记录仪的Corner Case（长尾场景）数据，稀奇古怪的都有，关键是模型“得吃得进去”，不能因为传感器参数差异就让训练效果变差。

原生多模态基座模型的意义就在这里，通过更多"处境"学会知识，而不是依赖昂贵的数据标注。

两条路线看似分歧，本质是同一个问题：如何在不把试错放到真实道路上的前提下，穷尽足够多的长尾场景？

小马智行的"世界模型2.0"走的是余凯那条路，虚拟环境自学习训练，主动构建大量特殊姿势的行人模型。文远知行的GENESIS通用世界模型，也是在仿真中处理低概率边缘场景。

技术方向可以有争议，但安全准入门槛没有商量。

100辆车、半年运营和百万公里MPI

2026年5月17日轩辕论坛，文远知行CEO韩旭说了一段让同行不太舒服的话：中国真正有资格说做L4的，只有三家，文远知行、小马智行、百度。

他给出的资格赛标准：至少100辆纯无人Robotaxi，公开安全运营半年，无重大事故。MPI（安全接管里程）要达到100万公里接管一次。"如果你没有达到百万公里级的MPI，就别说自己是在做无人驾驶。"韩旭的原话。

同一场论坛，余凯补了一刀："靠一个buzz word（流行黑话）赢了，时间肯定很短；靠5000个ideas（魔鬼细节）累加起来，才有护城河。"

此前的行业安全事件，暴露出系统性风险。云端出问题，车辆选择最小风险的原地停车，但配套应急预案却没有跑通。说明整套系统远没有到可以规模化的成熟度。而韩旭划的那条“100辆纯无人、半年运营”的资格线，本质上是要求赛道玩家证明：你的5000个ideas不是PPT上的，是跑在路上的。

安全不是算法，是系统工程

头部企业怎么搭安全体系？小马智行CEO彭军在5月30日深圳未来汽车先行者大会上给出了一份比较完整的答案。

所谓"1+8"大安全体系，单车安全只是冰山一角，真正的安全必须延伸到云端、网络、运营、应急全链条。

·算法端，世界模型2.0用虚拟环境自学习训练，把低概率长尾场景放到仿真里跑。驾驶的核心是理解其他道路使用者的意图并作出反应，语言模型对车端推理算力消耗太高，世界模型和生成数据更适合训练阶段，让系统在虚拟环境中处理Corner Case，而不是把试错放到真实道路上。

·硬件端，三层冗余防线。正常驾驶层、故障降级靠边停车层（含高速寻出口）、极端失效下车道内紧急停驻层。每一层都意味着独立的供电、制动和通信链路。这是从航空业搬过来的安全架构。

·运营端，覆盖云端调度、网络防线（抗DDoS等）、地勤与网格员快速响应。

彭军也承认，高标准监管将加速行业分化，"淘汰不具备相应能力的参与者，并进一步提高新进入者的行业门槛"。严监管对头部有利。

沈劭劼的判断异曲同工："无论怎么降维打击，聊天机器人可以犯错，但自动驾驶出来撞两次车就拜拜。"在物理世界摸爬滚打出来的安全准出机制、底线思维的工作文化，是云端巨头短时间内无法逾越的壁垒。

量化红线：从鼓励试错到先立规

2026年4月之后，围绕L4和Robotaxi的安全议题，监管逻辑发生了根本性转变。不是简单的"收紧"，而是从"鼓励试错"转向"先立规、后发展"。

深圳走在最前面。5月27日，深圳出台五项硬措施：穿透式数据管控、企业自查、事故30分钟上报、整改须封闭测试加专家评审。更关键的是深圳智能网联监管平台2.0，每秒监测42项智能驾驶数据，对11类风险事件自动预警；构建了"三级事件、四级指数、五维评估"的安全评价体系，预警准确率95%以上，事故全息还原时间从数小时缩短至15分钟。平台已接入29家企业2026辆车。

北京的方向不同但同样坚决。2025年4月实施的《北京市自动驾驶汽车条例》，首次允许L3级个人乘用车上路，同时细化了事故责任划分。L4级车辆事故，车辆所有人、管理人承担赔偿责任；L3级则仍是驾驶人承担。7月1日生效的深圳管理条例修订版，也沿用了同样的责任分层逻辑。谁负责，不再是一笔糊涂账。

全国层面，2026年7月1日正式实施的GA/T 2388-2026《智能网联汽车道路测试与示范应用安全通行规范》，明确了6条量化红线。转向灯提前3秒开启；纵向减速度不超过4m/s²；横向加速度不超过3m/s²；与行人保持1米以上距离；停车距停止线不超过1.5米；路边停车距路缘石不超过30厘米。每一条都有数字，不再是“合理时间”“安全距离”这种模糊表述。

此外，2027年7月拟实施的《智能网联汽车自动驾驶系统安全要求》强制国标，将明确ISMR（投放后监测报告）法定义务，要求车企对车辆全生命周期持续负责。

Safety Case：从"过了测试"到"自证可信"

中国汽车工程学会院士李骏在CICV 2026上给出了一个判断：2026年是全球自动驾驶安全监管的结构性拐点，ADS正式进入Safety Case时代。

Safety Case不是简单的功能安全叠加，而是一套覆盖设计、开发、验证、运行、监管全生命周期的结构化安全论证体系。企业必须清晰回答：在ODD（设计运行域）内为何安全、论据是什么、支撑数据是什么、残余风险是什么。

翻译成白话：过去是"我过了测试所以我安全"，现在是"你得自己证明你安全，而且证明过程必须结构化、可追溯"。

这是航空、核电领域的成熟安全管理逻辑被引入汽车行业。监管逻辑从"符合条款"转向"自证可信"，从清单式审核转向系统性论证。

余凯说3年脱手、5年闭眼、10年随心。但闭眼开的前提不是算法够快，而是安全底座够硬。韩旭的百万公里MPI、彭军的"1+8"体系、深圳的监管平台2.0、公安部的6条量化红线、Safety Case的全生命周期论证，全都在回答同一个问题：当你闭上的不是自己的眼睛，而是把命交给一套系统的时候，这套系统凭什么让你放心？

当L4不再讲故事，安全必须自证。规模化在加速，安全底线在收紧。两条线同时逼近，才是一个行业从青春期走向成年的标志。