本文来自微信公众号： 新周刊 ，作者：萧奉，编辑：腾宇
汽车智能化应该以安全为基础，不能以安全为代价。这本应该是设计的铁律，但层出不穷的相关事件让我们有理由警惕，车机系统是不是正在走向一条本末倒置的路——
不应该把关乎人命的汽车，变成连逻辑隔离都做不到的试验品,如果车机系统面对复杂问题时只能说“暂时还不会”，就别强行上岗。
“打开车灯！”
“暂时还不会哟。”
年度最让人哭笑不得的对话产生了。
最近，一位网友正在没有路灯的高速公路上开车，他觉得车里的阅读灯晃眼睛，语音下令“关闭所有阅读灯。”
谁承想，他车里那个标榜智能、实则智障的车机，瞬间关掉了所有灯光，包括前大灯，前方突然一片漆黑。
车主一时惊慌失措，口头下令打开大灯，此时语音助手卖萌，说“不会哟”，汽车随即在黑暗中砰一声撞上了路沿围栏。万幸的是没出人命。
（图/中国新闻网）
这是一辆领克Z20汽车。同样作为Z20的车主，看到事故，我倒吸一口冷气。刚刚从春运的高速上下来，如果遇到这种情况，我能及时反应吗？我一车大小能平安无事吗？
夜间驾车上高速，一辆灯光明亮、安全可靠的汽车，是保命的存在。特别是在没有路灯的高速公路上，你必须高度注意路面情况。现在，你的车倒成了“猪队友”，差点害你丢了性命。
一天之后，2月26日晚，领克汽车副总经理穆军在微博紧急发文，承认这是一次“语音误操作控制关闭大灯”，表示已通过OTA云端推送更新，禁止在行驶状态下通过语音关闭大灯。
（图/社交媒体平台截图）
解决问题还算迅速及时。评论里有读者点赞：“还好是领克，换别的牌子估计还得拖个一年半载的。”但一个更高赞的评论说得好：“换别的牌子不会有这么降智的操作。”
嘴炮归嘴炮，我可不敢担保其他汽车不会出现类似的低级错误。领克汽车的老板李书福也说过，现在电动汽车的安全隐患，一定大于内燃机汽车。
在“2024中国汽车重庆论坛（CACS 2024）上，李书福说：“传统内燃机汽车经过一百多年的持续进步，其安全技术已经在实践中得到反复验证。电动汽车的大规模应用还没有在实践中反复验证，存在许多不确定可能性，无论是续航里程焦虑、自燃风险挑战、高压漏电风险、基础设施配套，还是保险费率上涨、残值较低等等，与传统内燃机汽车相比存在许多可改善的空间。”
当然，行业现状不能为领克这个低级错误找补，该道歉道歉，该整改整改，该赔偿赔偿。
语音识别错误，怪车主太笨？
那么，这个全网群嘲的低级错误到底是怎样发生的？
新周刊之前曾经在一篇评论（没门把手，没实体按键，反人类的汽车设计不想忍了）里指出，现在的新能源汽车正在努力变成一部“带轮子的手机”或一间“移动的智能起居室”，盲目追求极简主义和科技感，大量取消物理按键，恨不得把所有功能都塞到一块大屏幕里，或者交给了那个经常听不懂人话的语音助手。最夸张的是特斯拉汽车，连换挡都放到车机屏幕里，真是嫌屏幕指纹不够多啊。
（图/社交媒体平台截图）
在语音控制大灯这件事上，行业内其实没有统一的规范。有些车允许语音开关大灯，但设置了“防呆”机制——比如只能在P挡静止时操作。有的车挂上D挡后也可以用语音控制大灯，但车跑起来后不能通过语音关灯。
领克这次事故，可能是因为一个bug。看到视频后，不少领克车主和极氪车主跑到自己车上测试，结果发现：在正常说“关闭大灯”时，行车情况下，是不会关大灯的，这个逻辑没有问题；一旦说“关闭所有灯”，就会把大灯一起关掉。事故中车主说的是“关闭所有阅读灯”，这个“所有”导致了大灯关闭，造成了事故。
这么糟糕的逻辑对冲，在严谨的汽车工程中简直不可思议。
（图/社交媒体平台截图）
可是，既然行车中正常说“关闭大灯”是无效的，那么这个大聪明车机，是怎么把“关闭所有阅读灯”理解成“关掉大灯”并在行驶状态下执行了？
作为Z20车主，我相信这个车是无辜的，它自己也不想那么智障。
搞笑的是，居然还有一些网友认为，驾驶员的应急反应能力不行啊，处理方式太业余啦，怎么还在用在语音控制开灯呢，就不会拉灯光拨杆强行开远光灯吗，就不会刹车然后点亮双闪？
真是大聪明，还秀起车技优越感来了。下一步难道要责怪车主怎么不知道翻翻手套箱，拿出手电筒来照明了吗？
汽车工程师博主@CarEngineer何先生指出：在功能安全范畴内，近光灯属于ASIL B级别的安全件，它的底线是：绝不能在夜间行车时，违背驾驶员的意志熄灭。领克车机把“关阅读灯”听成“关大灯”，是不折不扣的功能设计失效。
ASIL即车辆安全完整性等级（automotive safety integrity level），按安全风险程度分为ABCD四级，A级最低，D级最高。B级为中低等，如前大灯双侧失效。
看起来不算很严重？其实在功能安全（ISO 26262）标准中，近光灯属于核心安全件。虽然单侧失效可能被划分为ASIL B，但在“高速公路行驶且无路灯”这种极端环境下，双侧前大灯同时熄灭导致的后果是极为严重，且驾驶员几乎不可控的。在行业标准中，这种失效场景往往被定义为ASIL D，也就是最高安全等级。这意味着，系统必须具备极高的可靠性，绝不允许因为一段模糊的语音指令就失控。
普通车主不是汽车工程师，问AI吧：在无路灯的高速公路上，因车机系统误将“关掉所有阅读灯”识别为“关掉大灯”，导致前大灯双侧失效，属于什么程度的故障，后果可能是什么？
Gemini说，领克Z20这种情况下的故障，必须视为最危险的工况，极易让人恐慌而操作失当（如猛打方向盘），导致高能碰撞或翻车。
AI还提到，领克汽车的事故是因为出现了一个不该犯的错误：车机语音识别系统越级干预了ASIL级系统。像汽车前大灯这样的控制系统，它的安全标准必须考虑“如果坏了怎么保证不死人”。
在成熟的安全架构中，哪怕语音系统误发“关闭”指令，执行端的网关也必须进行状态校验。比如监测到车速大于0或环境光线极暗时，应自动封死“关灯”操作。
问题来了，现在新能源汽车的语音助手，厂商有没有考虑过，如果坏了怎么保证不出事啊？
智能不能越过安全的边界
有的安全规范，其实就是常识而已。汽车安全工程里有一条金科玉律：“如果一项新技术可能产生哪怕极其微小的预见性负面影响，也绝不应该被安装。”现在有的车企似乎把这条准则抛到脑后了。
汽车智能化是好事，但过度智能化，可能会把驾驶变成玩命的试验。
在本次事故里，最令人哭笑不得的是，当驾驶者再次下令开启大灯，AI语音助手不但没有立即执行，不但慢了几拍，还试图幽个默：“暂时还不会哟。”
不会就闭嘴，把应该有的物理按键都还回来。这不是一句玩笑话，也不是无聊的复古念头。生死关头，容不得这种荒谬的非确定性延迟，后果谁都承担不起。目前欧盟新车安全评鉴协会（E-NCAP）已经明确，从2026年起，如果车辆没有为大灯、雨刷、转向灯等核心功能提供独立的物理拨杆或按键，将无法获得五星安全评级。
汽车AI语音助手的出现，本意是为了解放司机的双手。毕竟一辆车有那么多功能，也不能每个功能都放一个物理按键。问题在于，语音助手能控制什么、不能控制什么，这个应该有清晰和严格的边界。
无论语音识别技术如何发展，我们必须假定，它永远不可能100%准确识别所有语音指令。中国方言众多，加上人们普通话标准程度不一、汽车行驶时的环境噪音、多人同时下达语音指令等问题，语音识别不准甚至错误是完全有可能的。
领克Z20行驶在高速上。（图/作者供图）
在这个情况下，将核心安全件与语音交互强行挂钩，同时没有对极端情况的防范措施，也没有保底的物理按键可以使用，等于给车辆埋下了一颗随时爆炸的雷。
为什么现在越来越多人呼吁汽车驾驶舱回归物理按键？这不是汽车设计的倒退，而是回归驾驶习惯和操作直觉。汽车毕竟还是一个由人来操控的机器，人机工程学要求控制界面必须直观、透明、具备故障鲁棒性（robustness音译，意指遇到异常或危险情况仍能保持系统的正常运行）。
老派的物理按键，驾驶者即便闭着眼也能摸得到。按键有明确的物理反馈，谁都能记住怎么操作，并且第一时间反应过来。如果灯光控制被深埋进车机屏幕二级菜单或依赖语音识别时，这种直观性就瓦解了。一旦语音识别延迟、误判或失效，可能就是要命的事。
创新是好事，但是在现在的一些新能源汽车里，有的改动和功能只是为创新而创新，完全是伪创新、坏创新。就像在领克Z20事故中，当我们习惯了语音操控，出现危险情况时，很可能不知道或者想不起还有其他物理操控方式。
汽车智能化的方向，第一要义本来就是安全，其他功能都是基于安全之上的扩展。但现在很多时候变成了安装一个无所不能的AI语音助手，美其名曰智能座舱。说实在的，我们在汽车上，绝大多数时候也许真的没那么需要一个假装幽默的陪聊机器人。就让我们安安静静开车，开开心心听歌，行不行？