汽车行业经过百余年的积累，防呆设计与安全标准早已相当成熟。然而如今一些国产新能源车型却在极简化美学的营销包裹下，对底层安全的把控有所松动。日前夜间高速的一起“误关大灯”事件就把问题暴露无遗：车主只是让系统关闭阅读灯，结果车机越权把外部大灯也一起熄灭。当车主惊呼要重新开灯时，语音助手却冷冷答复“暂时还不会”。事发后厂商迅速道歉，并连夜推送 OTA，将通过语音关闭大灯的权限锁死。
不少人把这看作语音识别不准的初级 Bug，修个补丁就能解决。但从底层架构的角度来看，这并非单纯的识别问题，而是对汽车安全框架的严重违规。
在正规的底层架构中，系统是严格分区的，可以简单理解为分为座舱域与控制域。座舱域负责空调、音乐、氛围灯、座椅按摩等功能，哪怕车机出现 Bug、死机甚至屏幕黑屏，也不应影响安全驾驶。控制域则掌控发动机/电机启停、大灯开关、转向、制动、挡位等，构成绝对的安全底线。
理论上，车机系统只能操作与驾驶安全无关的选项；涉及行车安全的底层硬件权限，应该在物理层或系统底层就被严格隔离，不能对座舱域开放写入权限。竟然把大灯这类要命的开关权限暴露给车机里的语音助手，这相当于让前台接待直接拿到公司核心金库的钥匙，事后要承担的风险并非小事。
从事后给出的修复看，似乎并未从根本上重新划分两大域，很大概率只是对语音系统设置了不执行某些指令的黑名单。也就是说，程序员是在代码里写了一个“遇到关闭大灯就拒绝执行”的条件。但语言表达太丰富，光靠黑名单很难全面封堵：你堵住了“关闭大灯”的直述，但并不能堵住“关闭所有灯光”之类的变体，也挡不住语音识别把“阅读灯”听成“全车灯光”的误判。用黑名单来堵漏洞，永远会有被绕开的边。
看到这儿，不禁感慨：幸好这套语音系统还没有全面接入现阶段流行的大模型。若一旦引入发散性思维的大模型，黑名单就很难写死。无论你设了多少提示词护栏，用户一句离奇的指令，模型也可能出于更好的“用户体验”去执行，哪怕代价是把大灯也关了。到那时，工程师要被这个问题折腾到脱发。
如今的新兴车企，为了追求所谓极简的大屏和“全场景”语音，疯狂砍掉实体按键，把所有控制权都塞进看似聪明的车机系统。却忘了那些铿锵有声的物理按键、那套几十年未出错的机械拨杆，存在的并非因为技术落后，而是在系统崩溃、极端时刻为驾驶者留下最后一次自救的机会。
造车不是写个应用、Bug 可以热修；在时速百公里的黑夜里，生命没有重启键。
全部评论 （0）