作者｜西西弗柿
编辑｜无心插柳柳橙汁
问你一个问题，你害怕坐无人驾驶的汽车吗？
试想一个极端场景，一辆没有司机开的车，方向盘系统转，刹车系统踩，左边是突然横穿的行人，右边是一辆压着实线变道的小电驴，全靠系统做出决定，刹车还是转向，转向的幅度多大。
这种车，把安全保障做到何种程度，你才敢放下顾虑，把生命托付给它？
第一种答案，是TA“过往已经安全行驶了1000万公里”的数据保障，第二种，是TA“从根源上就杜绝了做出不安全行为”的结构性、机制性保障。
显然，后者更靠谱，毕竟，即使TA已经安全行驶了1000万公里，也不能保障第1001万公里不会出事。
遗憾的是，当下自动驾驶行业的主流叙事正是第一种逻辑，厂商默认“跑得越多越安全”，用测试里程、事故率等指标来建立信心。这显然不是一个能让乘客安心的回答。
第二种逻辑，则关乎图灵奖得主约瑟夫·希发基思（Joseph Sifakis）大半生研究的核心问题上：安全如何被验证，自主系统凭什么赢得人类的信任？
近日，曹操出行宣布，Sifakis正式受邀出任AI创新中心首席科学顾问。
至此，一家把安全可信作为RoboX战略底层能力的出行科技公司，与一位较真的学者双向奔赴，在可信自主系统和Robotaxi规模化运营等问题上，形成了罕见的契合。
用半生时间
Sifakis探寻“自主可信系统”
Sifakis几十年的研究道路，其实一直围绕一个问题展开，机器变得越来越复杂，人类怎么确认它是可靠的？信任的依据究竟是什么？
上世纪80年代，Sifakis踏入模型检测领域，彼时计算机系统远谈不上“自主”，但并发系统的复杂度已足以令人头疼：
多个进程同时运行，交互路径呈指数级增长，某些错误仅在特定条件下触发，连复现都极为困难。
问题在于，如何验证“这个系统绝不会出错”？
靠测试，肯定测不完，那能不能把这个系统抽象成一个数学模型，然后自动检查它会不会进入某些危险状态？
比如，会不会死锁，会不会违反某个安全条件，会不会在某种情况下走到一个不该走的位置。
基于此，Sifakis开始进入模型检测理论的研究。
通俗地说，模型检测做的是这样一件事：用数学方法穷举一个系统所有可能的状态，检查有没有任何一个状态违反了预设的安全属性。
如果有，找到了，这就是Bug。如果没有，系统才是安全可靠的。
这就是模型检测的迷人之处，它不是等事故发生以后再去复盘。它是在系统还没真正出事之前，就问一句：
如果所有可能性都摊开看，这里面有没有一条路会通向危险？
这跟当时主流的“测试”思路有根本性的不同。测试只能发现错误，不能证明“没有错误”。
模型检测可以在给定模型和安全属性下，证明系统不会违反这些属性。两者的差距，不是一个量级的。
这套方法很快走出实验室。芯片设计、航空软件、通信协议认证——凡是出了错就难以挽回的领域，模型检测成为工业级验证的重要基础技术。Intel利用它发现芯片设计中的逻辑缺陷，空客则借助它提升飞控软件等安全关键系统的验证可靠性。
2007年，Sifakis与另外两位独立提出类似理论的学者一同获得图灵奖。
此后，Sifakis的研究重心转向了更加棘手的领域。
模型检测擅长解决“有限状态系统”的验证问题，芯片设计、通信协议、嵌入式软件，这些系统的行为空间是封闭的、可枚举的。
但“自主系统”完全不同：它面对的是一个开放、动态、充满不确定性的世界，传感器噪声、多智能体交互、人类参与……这些要素如何被形式化？
Sifakis的解法是BIP框架（Behavior-Interaction-Priority）：
一套系统级的设计与验证语言，把复杂的自主系统拆成“行为-交互-优先级”三层抽象。每一层都能被形式化验证，组合之后，整个系统依然是可证明安全的。
这个思路，他后来概括为Safe-by-Construction：安全不是事后检测出来的，是在构造系统的时候就种进去的。
换一种方式理解，把造系统比作盖楼，测试-迭代的逻辑，相当于“先盖起来用着，哪里裂了就补哪里”，多数时候灵，但碰上地震就不好说。
Safe-by-Construction的逻辑，相当于“在画图纸的阶段，就用数学证明了这栋楼在所有可能的受力条件下都不会倒塌”。
一个是靠“运气”和“经验”，一个是靠“证明”。
Sifakis团队已将这套方法直接用于自动驾驶碰撞避免控制器的设计，使控制逻辑能够在明确假设条件下接受数学证明，而非仅依赖大量测试验证。
Robotaxi
成为Sifakis理论最强试炼场
自动驾驶行业现在理解的安全，到底是什么？
打开任何一家自动驾驶公司的宣传材料，你大概率会看到这样的表述：“累计测试里程超过X千万公里”“实测事故率低于人类驾驶员”等等。
这些都是事实没毛病，但仔细想想，这些数据能证明什么？它们证明的是：到目前为止，没出大事。不是“未来也不会出大事”。
这就是测试-迭代逻辑的致命短板。
Safe-by-Construction的思路正好相反。
它叩问的不是“这辆车跑了多少公里没出事”，而是“这辆车的控制系统，是否保证了，在所有可能的交通场景下，都不会做出违反安全约束的决策？”
好比你问一个司机驾驶技术咋样，他说“我开了二十年车没出过事故”，这是统计安全观。另一个司机说“不管遇到什么路况，我的车该怎么刹车，系统在设计阶段就算好了，不靠我的反应速度”，这是构造安全观。
前者的信心是脆弱的，一次事故就足以崩塌了，后者的信心是结构性的，它不依赖过去怎么样，而是依赖“这个系统本质上是否靠谱”。
这套方法论在Robotaxi领域，找到了它迄今最大体量的现实验证场。
图灵奖得主与曹操出行RoboX
双向奔赴
曹操出行的RoboX战略，恰好提供了这样一个“靶场”。
为什么这么说？
首先，供需高度契合。曹操出行RoboX战略的核心是“智能定制车辆、智能驾驶技术、智能运营”三位一体生态，要让Robotaxi成为可以被监管接受、被保险理解、被用户长期信任的服务，重中之重是解决安全性验证和监管认证问题。
这个过程中，Sifakis的Safe-by-Construction就不是一个学术概念，它会变成曹操出行构建可信自动驾驶能力的一种方法论支撑。
不止于此，Safe-by-Construction要求系统从设计之初就把安全“构造”进去，而曹操出行，恰好拥有从底层硬件到上层运营的完整控制权。
背靠吉利整车制造能力，用于RoboX的车辆可以是“为自动驾驶而设计”的，从线控底盘的冗余、制动转向的故障安全机制，每一个硬件决策都可以提前嵌入安全边界，这给了Safe-by-Construction一个更深的“施工面”。
运营闭环的完整性，同样是曹操出行的独特优势。大多数公司只控制单车决策，对调度和运营策略没有话语权，但曹操出行本身是出行平台，拥有完整的派单、补能、车队管理系统，可以同时在三个层面做形式化设计和验证。Sifakis的BIP框架强调“行为-交互-优先级”三层协同，类比到Robotaxi，就是单车决策、多车调度、全局安全策略。
更关键的是规模。曹操出行的目标是2030年部署10万辆Robotaxi和10万辆Robovan。从100辆到10万辆，规模跃升会带来全新的失效模式——调度死锁、多车交互冲突、边缘场景的指数级增长。这些问题靠堆里程永远追不上，却正是形式化验证方法论最需要被检验、也最能发挥价值的维度。
对Sifakis来说，曹操出行同样是一个罕见的机遇。曹操出行将未来发展目标定位为物理AI移动科技平台，这个定位，和Sifakis近年研究的核心转向不谋而合。从芯片验证到数万辆Robotaxi的并发运营，他半生追问的问题，第一次有机会在物理世界的最大规模运营上得到验证。某种意义上，这也是形式化验证方法论第一次真正进入物理AI的核心战场。
曹操出行邀请Sifakis加盟，其实也给行业吃下了定心丸。
它表明曹操出行并未将RoboX仅仅视作概念包装，而是在安全认证、系统架构、运营调度、监管沟通、用户信任这些“慢变量”上提前建立壁垒。
这条路并不好走，但正因为难，才值得做。一旦这条路跑通了，我们再坐进Robotaxi，就不用提心吊胆了，而是可以打个盹、甚至直接睡一觉。
回到开头那个问题：你害怕坐无人驾驶的汽车吗？
也许，真正能打消这份顾虑的，不是一份更长的里程报告，而是有人能站出来说清楚：这套系统，我们从设计之初就对关键控制逻辑进行了数学证明。
Sifakis花了数十年建立这套证明方法。曹操出行正在把它带入真实运营的车队。当物理AI开始在真实世界大规模执行任务，如何证明它足够安全，是这个时代绕不开的问题。答案还在路上，但方向，对了。