自动驾驶的未来不在“L几”,而在安全边界和责任归属
过去几年，汽车自动驾驶几乎被一个词定义——"L几"。从"L2"到"L3"，再到"L4"、"L5"，每一级跃升都被包装成技术里程碑，每一次分级调整都能引发一轮融资热潮。车企在发布会上反复强调"我们达到了L2+""明年将实现L3量产"，仿佛自动驾驶的终极答案就藏在这套由SAE International制定的分级体系里。但如果我们退后一步，冷静审视这个行业正在发生的事，一个越来越清晰的判断是：自动驾驶的未来，并不在"L几"，而在安全边界与系统责任。
一、"L几"叙事的局限性
SAE J3016标准将自动驾驶分为"L0"到"L5"六个等级，核心依据是"谁在什么时候控制什么"。这套框架在行业早期确实起到了重要的沟通作用——它让工程师、监管者和公众有了一个共同的参考系。但问题在于，"L几"本质上是一个能力描述框架，而非安全保障框架。"L3"和"L4"之间看似只差一级，实则横跨了一道巨大的法律与伦理鸿沟：当系统请求接管而人类未能及时响应时，责任由谁承担？"L3"的答案模糊不清，"L4"则明确归于系统。这种"差一级"的表述，掩盖了背后极其复杂的责任分配问题。更现实的是，"L几"正在成为营销话术的温床。消费者听到"L2.9""L2.999"时，很难不产生"这几乎就是自动驾驶了"的错觉。而事实上，这些非标准表述背后，系统的实际能力边界可能并无本质差异。分级体系的初衷是厘清能力，结果却在制造认知混乱。
二、安全边界：比"能做什么"更重要的问题是"不能做什么"
真正决定自动驾驶能否大规模落地的，不是系统"最高能开到什么水平"，而是系统在哪些场景下必须退出、如何优雅地退出、退出后如何保证安全。这就是安全边界（Safety Boundary）的核心含义。一个成熟的自动驾驶系统，首先必须诚实。它需要精确知道自己的感知能力在暴雨天气下的衰减幅度，需要知道复杂路口无保护左转时的决策置信度阈值，需要知道当传感器部分失效时系统还能维持多长时间的降级运行。这些"知道自己不知道"的能力，远比在理想条件下跑出漂亮的测试里程更难获得，也更有价值。Waymo和Cruise在旧金山运营中积累的数据表明，真正拉开差距的不是"系统在99%的场景下表现多好"，而是"系统在1%的极端场景下如何处理"。每一次脱离（disengagement）背后的根因分析，每一次边缘场景（edge case）的系统性收录与回归验证，才是安全能力积累的真实路径。换言之，安全边界的清晰度，才是衡量自动驾驶成熟度的真正标尺。
三、系统责任：从"人机共驾"到"责任归属"
如果说安全边界解决的是技术问题，那么系统责任（System Responsibility）解决的则是法律与社会信任问题。当前"L2"系统的责任归属非常明确：驾驶员全权负责。但"L3"引入了一个前所未有的中间态——系统在特定条件下承担驾驶任务，但人类仍需作为"后备"。这种"系统开车、人兜底"的模式，在理论和实验室里可以自洽，在真实道路和法律实践中却充满张力。德国《自动驾驶法》（Autonomous Driving Act）走在了前面。2021年通过的这项法案，明确允许"L4"车辆在特定区域内商业化运营，并规定了技术监督员（Technical Supervisor）的职责边界——监督员不需要持续监控，但必须在系统告警后及时介入。更重要的是，法案明确了当系统处于激活状态时，运营方承担主要责任。这是一个关键转向：责任从"驾驶员"转移到了"系统提供方"。随之而来的，是整套合规要求的升级——系统设计必须可验证、运行数据必须可审计、安全论证必须可追溯。这不再是"把车造好"的问题，而是"建立一套可问责的工程体系"的问题。
四、从"分级思维"到"保障思维"
行业正在经历一个范式转换：从"分级思维"走向"保障思维"（Assurance Mindset）。分级思维问的是：我们到了"L几"？下一步怎么到"L几"？保障思维问的是：我们的系统在哪些场景下是安全的？这个安全声明有证据支撑吗？当系统出错时，后果是否可控？这两者之间的差别，类似于"考试分数"和"能力认证"的区别。前者追求的是数字上的跃升，后者追求的是在关键场景下的可靠表现。欧盟的ADS（Automated Driving System）型式认证框架已经体现了这种转变。它不再简单地按"L几"分类审批，而是要求企业对ODD（Operational Design Domain，运行设计域）进行精确定义，并对每个ODD内的安全目标进行论证。你的系统可以在高速公路上实现完全自动驾驶——很好，但你需要证明的不是一个"L几"标签，而是"在高速公路ODD内，系统能够将风险降低到社会可接受水平"的完整安全论证。- 研发重心将从"能力拓展"部分转向"边界验证"——更多资源将投入到场景库建设、仿真测试、故障注入测试和预期功能安全（SOTIF）分析中。
- 商业模式将从"卖功能"转向"卖服务+承担风险"——当责任明确归属于系统提供方时，自动驾驶公司将从一次性硬件/软件销售转向持续运营服务模式，因为只有持续运营才能覆盖长期责任风险。
- 监管逻辑将从"准入审批"转向"全生命周期监管"——系统上线不是终点，OTA升级后的安全验证、运行数据的持续监测、事故根因的公开透明，将成为常态化监管要求。
五、结语：重新定义"进步"
"我们实现了L3"不是终点，"我们在定义的安全边界内，以可验证的方式承担系统责任"才是。这不是文字游戏。当行业不再执着于"L几"标签，而是老老实实地回答"我们的系统在什么条件下安全、出了事谁负责、证据在哪里"这三个问题时，自动驾驶才真正从实验室走向了社会。安全边界的每一次精确划定，系统责任的每一次清晰归属，都比任何一个"L几"跃升更接近自动驾驶的本质。未来的赢家，不会是那些喊出最高"L几"口号的公司，而是那些把安全边界画得最清晰、把系统责任扛得最扎实的公司。
