埃隆·马斯克：特斯拉自动驾驶

2019年4月，Lex Fridman 和他在 MIT 的团队发布了一篇论文，研究司机使用特斯拉 Autopilot 时的“功能性警觉”。他们收集了超过18900次 Autopilot 接管行为的视频数据，逐帧标注：系统退出那一刻，司机有没有把注意力放回路面，有没有能力接住方向盘。

结论和过去几十年关于自动化与人类警觉性的文献预测相反。这些司机保持了功能性警觉，没有出现人们担心的那种滑坡：自动化越强，人越走神。

论文发布后，特斯拉团队主动联系了 Lex，提出让他在播客里跟埃隆·马斯克聊一次。Lex 接受了，条件是问题自己定，公开什么内容也自己定。他后来在节目开头说，最终没有删掉任何有实质性的部分。

两人在一件事上分歧明确：基于摄像头的驾驶员监控，到底有没有用。Lex 的立场是，实施得当的话，这类监控在短期和长期都有益。马斯克的立场是，只要 Autopilot 的统计安全性远远超过人类，人的介入本身反而会拉低安全水平。

这个分歧几乎贯穿了整场对话。马斯克用了好几个类比来支撑自己的判断，其中一个是电梯。

两台革命同时发生：电动化，和自动化

把时间拨回2014年，Autopilot 的硬件第一次装进特斯拉的车里。马斯克对这件事的愿景，要放进一个更大的判断里才看得懂。

他认为汽车行业同时发生两场革命。一场是电动化，另一场是自动化。在他的推演里，未来任何一辆没有自动驾驶能力的车，实用性都会变得像马一样。“并不是说完全没用，只是变得稀有，变得有点小众。”今天还有人养马，那是有意为之。自动驾驶普及之后，还有人坚持自己开车，也会变成一种刻意选择。

他甚至给这件事标了价：一辆自动驾驶汽车的价值，可能是没有自动驾驶汽车的五到十倍。这个判断至少覆盖未来五年，也许十年。

从这个前提出发，要不要参与自动化革命，从产品层面的选择变成了生死层面的选择。不参与，你的车相对对手就会变得没用。

仪表盘上那个渲染视图，是一次健康检查

Autopilot 早期有一个很有意思的设计决定：在仪表盘上、在 Model 3 的中控屏上，把传感器看到的世界渲染出来。车道线、周围的车、红绿灯，以矢量的形式画在屏幕上。

这个决定背后是什么考虑？Lex 问。

马斯克的回答很直接：整个显示的意义，是给这辆车的现实感知做一次健康检查。车从摄像头、雷达、超声波、GPS、IMU 收集信息，把信息渲染进矢量空间，变成一个个带属性的对象。你坐在车里，往窗外看一眼，再看一眼屏幕，就能确认这辆车到底知不知道周围发生了什么。

“这对让人理解系统、跟系统融为一体，是很有力量的。”

Lex 追问：有没有考虑过把不确定性也展示出来？计算机视觉在路上是有概率的，边缘检测、目标检测，底层都带着一组概率。把人眼看不到的那层不确定性画出来，能不能帮普通人建立对计算机视觉的直觉？

马斯克说他自己的车一直开调试视图。调试视图有两种。一种是增强视觉，在识别到的物体周围画框、打标签。另一种内部叫 visualizer，把所有传感器输入汇总成矢量空间表示，不显示任何图像，只显示车对世界的坐标级理解。

他觉得第二种对普通人太难了。“他们根本不知道自己在看什么。”所以最终呈现给普通用户的，是优化过的那一版。得让一个完全不懂计算机视觉的人，看一眼屏幕就知道车懂不懂。

开发版是另一回事。马斯克自己的车跑开发版，能看到全部调试信息。“那些东西对大多数人来说就是天书。”

99% 的数据握在一家手里

聊到资源分配，Lex 把 Autopilot 拆成三块：算法、数据、硬件。钱和时间都有限，怎么分？

马斯克的回答里跳出一个数字。

特斯拉当时的车队每天自动汇入海量数据。路上大约有40万辆车，每辆装了8个朝外的摄像头、1个雷达、通常12个超声波传感器，外加 GPS 和 IMU。这个规模正在逼近50万辆。

他补了一句：不确定全世界还有多少辆在路上跑的车装了同等规格的传感器套件，但如果超过5000辆，他会很意外。

换句话说，这个星球上99%的自动驾驶真实路况数据，握在一家公司手里。

这个数字不一定精确到小数点，量级上的差距是实打实的。别的厂商要么车队太小，要么传感器配置不一样，要么数据不上传。数据飞轮一旦转起来，落后的一方很难靠单纯的工程能力追回来。

数据进来之后，还得有算力处理。特斯拉花了大约三年，做出自研的 FSD 芯片（Full Self-Driving Computer），处理能力是当时车上那套系统的整整一个数量级。替换方式简单得很：把旧电脑拔下来，插上新电脑，就完了。老车主也能换。

马斯克说，他们现在还在摸这块芯片的能力边界。让所有摄像头跑满帧率、跑满分辨率、甚至不做图像裁剪，即便只用其中一颗芯片，依然有余量。

FSD 计算机其实是两台计算机，两颗系统级芯片，完全冗余。马斯克的描述很形象：你基本可以一枪打穿这个系统的任何部位，它照样工作。

Lex 问：这两颗芯片是完全一样的副本，还是像冗余架构那样各自做不同判断？

马斯克说纯粹是冗余，没有双系统交叉验证那套设计。他打了个比方：双引擎飞机，两个引擎都工作时状态最好，但只靠一个也能安全飞。眼下他们压根没摸到性能上限，所以没必要把功能分散到两颗芯片上，直接各跑一份完整副本就行。

凡是人要出手的地方，都记成系统的错

深度学习的好处是数据越多效果越好。真正值钱的数据，是那些罕见场景。

Lex 提到他听过马斯克讲“脱离”（disengagement）这个时刻的重要性。马斯克顺着往下讲了两类数据。

一类是正向样本。比如想搞清楚穿越一个复杂路口的最优轨迹，那就去找那些全程没有人工干预的片段。系统看到这样的路况，做出了这样的走线，结果很顺。把海量同类路口的成功样本收集起来，从中提炼出“看起来像这样的时候，就这么走”。

另一类是反向样本。司机接管，原因未必是图方便，也可能是真的从 Autopilot 手里抢回了控制权。

马斯克给出了一句很有杀伤力的判断：

把所有输入都当成错误。只要用户需要做任何输入，那这个输入就是错误。（埃隆·马斯克）

这个视角很硬。它把所有人类介入默认标记为系统失败，然后倒逼系统去追问：为什么会发生这次介入。

Lex 立刻提出了一个反驳。有时候司机接管只是因为想下高速，这是导航决策，Autopilot 当初就不负责这个。这也能算错误吗？

马斯克的回答是，这个问题会随着 Navigate on Autopilot 的发布基本消失。自动变道、超车、下匝道、走高速互通，绝大部分接管动机都会被消解掉。

Lex 说，人们没意识到这是多大的一步。

马斯克说，你开一次就懂了。

从打灯变道，到自己找最快的车道

回顾 Autopilot 的历史，哪几步算得上真正的跃迁？

马斯克挑了当时刚发布的那个版本：Navigate on Autopilot，不需要司机确认的自动变道。

它做的事情不只是导航，还包括主动寻找最快的车道。前面有慢车，它自己超过去。到了该下的出口，它自己下。遇到高速互通，它自己走。

再往前一步是红绿灯识别。这个功能最早只给一个警告，而在马斯克自己开的开发版上，车已经能在红绿灯前完全停下，再自己起步。

把这些拼在一起，全自动驾驶的轮廓就出来了。

那最大的技术障碍是什么？

马斯克的回答是，他其实不觉得还有硬件层面的障碍。FSD 计算机已经在量产，只要下单买 Model S、Model X 或者 Model 3 并选装全自动驾驶套件，拿到的就是这颗新电脑。基础算力够了，剩下的就是打磨神经网络和控制软件，而这些都能通过 OTA 推送完成。

他在即将到来的投资者日上准备强调的一点是：现在正在生产的车，用现在正在生产的硬件，就已经具备全自动驾驶的能力。

“具备能力”这个词值得掰开看。硬件是那块难换的部分，软件可以一点点升级。能力会随软件迭代大幅提升，可靠性会随之提升，然后拿到监管批准。

由此他抛出了整场对话里最有冲击力的一句商业判断：

如果你今天买一辆特斯拉，我相信你买的是一项增值资产，而不是贬值资产。（埃隆·马斯克）

这话在汽车行业里几乎是异端。车从来都是落地就掉价的消耗品。如果一辆车能通过软件升级获得新能力，甚至在未来某天自己出去跑网约车赚钱，它的资产属性就变了。

软件边际成本接近于零，整个逻辑才立得住。

高速上已经很爽，城市才是硬骨头

软硬件路线清楚了，剩下那段路有多难走？

马斯克说，高速上用 Autopilot 的体验已经非常好了，对生活质量的改变是彻底的。接下来要做的是把这套能力延伸到城市街道：识别红绿灯、穿越复杂路口，然后搞定复杂的停车场。

他描述了一个场景：车自己从一个车位开出来找你，哪怕停车场像个迷宫。它把你送到门口，然后自己去找车位停下。

Lex 说，光停车场这一项的价值就很大。人手动停车时的烦躁程度是实打实的，这块的自动化收益相当可观。

至少六个月内，还得检测你的手在不在方向盘上

话题转向人类。Lex 提到当时那些号称 Level 4 的玩家，Waymo 之类的，技术上算自动驾驶，设计哲学却不同，几乎全都有安全员在监控系统。

特斯拉的全自动驾驶，会不会在很长一段时间里仍然需要人类监督？能力足够强，仍然需要一个人像安全员一样盯着？

马斯克给出了一个时间尺度：至少六个月内，还是需要检测手在方向盘上。

真正的变量在监管。一辆车要比人类安全多少倍，才允许不监控？这个问题值得公开辩论，也需要大样本，需要统计上足够高的置信度，证明这辆车显著比人安全，并且加一个人进来不会实质性地改变安全水平。

他给了一个粗略的数字：可能需要比人类安全200%到300%。

怎么证明？看事故率。每英里事故数、碰撞数、死亡数。死亡是重要指标，但死亡样本太少，达不到统计显著性。碰撞样本多得多，可以先评估碰撞概率，再单独评估受伤概率、永久性伤害概率、死亡概率。每一项都得显著优于人类，大概两三倍那个量级。

Lex 问，跟监管机构能进行健康的对话吗？

马斯克的回答带着一点无奈。监管机构对那些能产生新闻的事件，注意力分配是失衡的。

美国每年大约有4万起汽车死亡事故。如果其中4起跟特斯拉有关，它拿到的报道量可能是其他厂商的一千倍。

“这背后的心理机制其实很有意思，但我们今天大概没时间聊这个。”

18900 次接管，和一份让马斯克想反驳的论文

Lex 把话题拉回自己的研究。他和 MIT 团队从 Autopilot 三年前首次公开推送时就开始收集数据，记录司机的面部视频和身体姿态。

马斯克说他在推特上引用过论文摘要里的一句话，所以至少扫过一眼。

Lex 开始讲结论：在他们采集的数据里，18900 次 Autopilot 脱离，逐次标注司机能否及时接管。结果是，这些司机保持了功能性警觉，接管时人是在场的，眼睛是看着路的。

这跟大量关于自动化与警觉性衰减的文献预测相反。

但样本有限，只是一小部分司机。Lex 主动提出一个批评：会不会存在一小撮特别负责任的司机，恰恰是他们的警觉性不会随 Autopilot 使用而下降，从而让整体数据显得乐观？

马斯克的回应是，这个争论很快会被扫进历史。

系统进步太快。如果一件事已经比人安全好几倍，那么加一个人进来，对安全的影响是有限的，甚至可能是负的。

Lex 确认了一遍：所以即使有一部分人出现警觉性衰减，也不会影响整体安全统计？

马斯克说是的，这个转折点会来得非常快，也许今年年底，最晚明年。到那时候，人类介入反而会降低安全。

他又回到电梯。

过去电梯里有操作员，你不被允许自己进电梯扳那个杆子在楼层之间移动。现在没人想要电梯操作员，因为自动停靠的电梯比人安全得多。反过来，让一个随机的人在电梯里握着一根大杆子，在楼层之间移动轿厢，那才叫危险。

摄像头监控之争：两种判断，都很自洽

Lex 承认马斯克的类比有力量，但他还是要把自己的立场摆出来。他算法层面最着迷的问题之一，是基于摄像头的驾驶员感知：判断司机在看哪里、认知负荷多高、身体姿态如何。业界也有很多人相信，摄像头驾驶员监控是必须的。

马斯克的回应可以拆成一个条件句：

如果你的系统错误率低于人类水平，那么驾驶员监控有意义。如果你的系统已经显著比人更可靠，监控就没多大帮助。

他再次搬出电梯。你真想要一个人握着一根大杆子，随机地在楼层之间操作吗？他更信任按钮。

这一段是两人分歧最清晰的地方，谁也没说服谁。Lex 在节目开头就说明了这一点，他在意的是把两种判断都摆出来，让听众自己判断。

为什么特斯拉让 Autopilot 哪儿都能开

另一个早期设计选择是运行设计域（ODD），也就是 Autopilot 到底允许在什么范围内启用。

Lex 拿凯迪拉克的 Super Cruise 做对照。那套系统被严格限制在特定类型的高速公路上，地图测绘做得非常细，测试也很充分，适用范围比特斯拉窄得多。

两种哲学各有代价。特斯拉这种宽 ODD，好处是司机能更早探索系统的边界，配合仪表盘上的感知渲染，慢慢建立对系统能力的理解。代价是，你基本上让司机在任何能识别出车道的路上都能开启它。

这是有意为之吗？

马斯克没有正面回答，他把话题落在一个更大的判断上：

说实话，让一个人手动驾驶一台两吨重的死亡机器，这件事本身就很疯狂。（埃隆·马斯克）

他说，未来的人回头看会难以置信：那时候居然允许任何人开着这种两吨重的死亡机器，想去哪去哪。就像电梯曾经允许你扳着杆子随便停，甚至停在两层楼之间。

在未来人眼里，人类自己开车会显得像一件荒唐事。

马斯克绕开了 ODD 的权衡，把问题提到另一个层面：在他眼里，真正的风险基准落在人类驾驶本身有多危险上，Autopilot 该在哪开启只是次要问题。

对抗样本：同时教它“是车”和“绝对不是车”

当时有几个黑客用对抗样本骗过了 Autopilot，让它做出异常反应。神经网络对输入的微小扰动非常敏感，这几乎是这类系统的通病。整个行业能防住吗？

马斯克的回答很干脆：能。

理由是攻击的门槛。神经网络本质上是一堆矩阵运算，攻击者必须非常懂行，基本要逆向工程出这些矩阵是怎么搭起来的，然后精心构造一个能让矩阵运算结果偏一点点的输入。

防守方要做的事情简单得多。加一层识别，把看起来像矩阵攻击的输入排除掉。

训练数据的构造方式才是重点：

你其实要同时教它什么是车，以及什么绝对不是车。这是两件不同的事。（埃隆·马斯克）

把对抗样本作为负样本喂进去，模型就学会了排除。这套思路在工程上确实成立，虽然学术界对对抗鲁棒性的争论远没有结束，马斯克的表述明显偏向乐观一端。

AGI 还差几个关键想法，但会来得很快

从 Autopilot 往外跳一层：现在的深度学习方法，离通用智能还有多远？需要全新的想法，还是现有路线能走到？

马斯克说，还需要几个关键想法。

紧接着补了一句：它会来得非常快，快到我们可能得考虑该怎么办，如果那时候我们还有得选的话。

他提醒别把窄 AI 和通用智能混为一谈。让车识别车道线、在城市里导航，跟通用智能是两件非常不同的事。就像烤面包机和计算机都是机器，复杂度完全不在一个层级。

Lex 问：你确信自己能造出世界上最好的烤面包机吗？或者说，世界上第一辆真正的自动驾驶汽车？

马斯克的回答罕见地直白：

就目前来看，这盘棋像是已经将军了。除非我变得自满或者过度自信，否则这就是它现在看起来的样子。我可能是错的，但看上去特斯拉确实远远领先于所有人。（埃隆·马斯克）

“game, set, match”，他说这个词的时候没加太多修饰。

物理视角的爱，和模拟之外

最后一个问题很柔软。我们会不会造出一个我们能爱、它也以深刻的方式爱回来的系统？像电影《她》那样。

马斯克的回答没走情感路线，走的是物理。

他说这样的系统完全有能力让你相信你爱上了它，说服力会非常强。至于这算不算“真的”爱，那是个形而上的问题，情感和思想是否存在于另一个领域，他说他不知道。

他的训练背景是物理，所以他倾向从物理角度看：

如果它爱你的方式让你分辨不出真假，如果不存在任何可执行的检验能让你区分，那么就没有区别。（埃隆·马斯克）

他把这跟模拟假说连了起来。也许不存在任何测试能区分真实世界和模拟世界，那么从物理的角度看，两者就是一回事。

不过他补了一个反向可能：也许有办法测出自己在模拟里。也完全可能，一旦模拟中的实体找到了检测模拟的方法，模拟本身会重启、暂停或者换一个新的，把这个错误修正掉。

Lex 最后问：假如你造出了一个 AGI，你有机会问它一个问题，你会问什么？

马斯克的答案只有一句：

模拟之外是什么？（埃隆·马斯克）

这场对话真正留下的东西

六年过去，回头看这场2019年的对话，有些判断被验证了，有些被推迟了。

FSD 芯片确实量产了，老车主确实能换。数据规模的优势确实存在，特斯拉车队积累的里程至今仍是一个难以追赶的数字。Navigate on Autopilot 确实释放了高速场景，自动变道、自动超车、自动下匝道都成了标配体验。

“今年年底或者最晚明年，人类介入会降低安全性”这个时间点，没有兑现。城市街道、复杂路口、停车场，这几块硬骨头比当时预估的要难啃得多。Robotaxi 的落地时间表一再后移，监管审批的节奏也远比技术演示慢。

马斯克在那场对话里最核心的方法论，倒是一直没变：把所有人类输入当成错误，然后倒逼系统去消灭这个错误。 这个思路解释了特斯拉为什么坚持纯视觉、为什么坚持宽 ODD、为什么不给方向盘加更多传感器。它是一条自洽的工程路线，代价是把所有不确定性都押在系统足够好这一件事上。

而 Lex 提出的那个问题，在这六年里没有被回答掉，反而越来越重要：当系统只在99%的情况下比人可靠，剩下的1%该由谁来兜底？摄像头看着司机，到底是一种有效的冗余，还是一种心理安慰？

这个问题没有标准答案，它取决于你信不信那条指数曲线会一直陡下去。

马斯克信。他在对话里说得很清楚，从 FSD 芯片上看到的改进速度是指数级的。

这场对话的价值落在它把两种判断世界的框架摆得很清楚：一种相信技术曲线的斜率会解决一切社会学问题，一种相信人在回路里的位置需要被认真设计。两者都能自洽，冲突点在时间尺度上。

如果你想从这场对话里拿走点能用的东西，可以试试这几条：

• 遇到任何“人机协作”的系统，先问一句：这个环节里人的输入，被当成帮助还是被当成错误。这两种默认设定会导向完全不同的产品设计。
• 评估一项自动化技术时，别只看它平均表现，去看它在长尾场景里的接管率，以及接管那一刻人有没有能力接住。功能性警觉可以被设计，也会被消耗掉。
• 判断一个技术判断靠不靠谱，看它有没有明确的时间边界和可证伪的指标。“安全200%到300%”这种数字比“会非常安全”有用得多，即便最后没兑现，也能用来校准。
• 当你听到“增值资产而不是贬值资产”这类判断时，先去找它的前提：有没有一样东西是买回来之后能持续变好的。软件定义的产品里，这个前提才成立。
• 对媒体放大效应保持警觉。4万起死亡事故里4起属于某家厂商，它拿到的报道量可能是一千倍。这条提醒自己别让新闻频率替代风险频率，跟替谁辩护无关。
• 如果你在做需要人监督的系统，别只优化系统本身。同步设计“人什么时候必须介入、介入时能看到什么”这两件事，否则系统越强，人的位置越模糊。