近期阿耳忒弥斯二号登月任务是一项里程碑式的工程壮举——或许是人类有史以来最伟大的成就之一：它飞离地球的距离超过以往任何载人航天器，使用了人类建造过的最强大火箭，并为NASA实现载人登陆火星的宏伟目标注入了强劲动力。
然而，与地面正狂热推进的全自动驾驶汽车研发相比，这一成就仍显逊色。后者被视为迈向机器人主导未来的第一步，其雄心更为宏大。
阿耳忒弥斯任务代表了“确定性”工程（即基于规则的工程）的巅峰：环境极端但已知，失效模式清晰明确；轨道力学、热载荷与火箭推力均由牛顿、开普勒等数百年前建立的经典方程所支配。
相比之下，新兴的工程范式源于人工智能的最新进展，可称为“概率性”工程，或端到端、数据驱动型工程。
概率性、数据驱动的工程通过实例学习：向神经网络输入足够多的数据，它便能发现人类工程师从未设想过编码的规律。这确实是强大而重大的进步。对于开放环境中以感知为主的任务——例如城市街道上的自动驾驶车辆导航——它往往是唯一可行的方法。自主系统不能仅靠计算；它必须具备适应与泛化能力，而这正是规则集无法实现的。你无法为每一种可能情形编写规则：孩童追逐皮球、被风吹入道路的垃圾、雨中模糊的车道线、情绪失控的驾驶员——这些场景在现实中近乎无限多样。
概率性系统虽强大，却本质上存在风险。其输出源于对内部可能状态分布的采样；而分布总有边界，一旦遭遇边缘情况——无论多么罕见——神经网络的输出可能灾难性地错误。在软件中，灾难性故障仅导致数据损坏；但在连接执行器的物理系统中，它将夺走生命。
端到端革命的由来：2016年英伟达一篇开创性论文《端到端学习用于自动驾驶汽车》催化了端到端AI驱动的车辆自主化研究。其理念极为简洁：不再将驾驶分解为感知、预测、规划等模块化环节并人工设计接口，而是训练单一神经网络，直接将原始传感器输入映射为转向指令，让网络自行掌握中间所有环节。作者指出：“仅需不到百小时的真实驾驶数据，即可训练车辆在高速公路、本地及住宅道路，以及晴天、多云和雨天等多种条件下运行。”
特斯拉作为全球最大的真实驾驶数据收集者，大规模应用该范式，并通过多代全自动驾驶（FSD）软件持续优化。其吸引力难以抗拒：一个经数百万小时人类驾驶数据训练的端到端系统，理论上可应对任何有限规则集都无法预判的情形。
如今，从原始感官输入直接映射至底层控制动作——即“像素到扭矩”——已成为一种独立范式，得益于大语言模型与视觉-语言模型的成功，该范式正迅速扩展至人形机器人与外科手术自动化系统。其逻辑一致：收集足够数据，训练足够大的模型，网络便能学会操控身体或手术刀。
但问题已然浮现。证据确凿：特斯拉FSD——首个在非受控物理环境中大规模部署的端到端AI系统——并未如宣传般有效运行。
它远未达到广泛接受乃至盈利所需的自主水平。最有力的证明是特斯拉启用远程人类驾驶员，在特定情况下接管其无人出租车。“作为冗余措施，在极少数情况下……[远程协助操作员]可在耗尽所有其他干预手段后，临时接管车辆控制权”，特斯拉公共政策与业务发展总监凯伦·斯特克利如此表示。
这并非真正意义上的自主，而是对神经网络泛化能力存在不可训练消除之局限的默许承认。
事故报告不断累积：FSD车辆未能礼让校车；无人出租车驶入积水街道；与紧急车辆险些相撞。近期，多名前特斯拉AI训练师向路透社实名披露，公司内部存在巨大压力，要求推出工程师私下认为不安全的软件。监管与法律体系正艰难追赶由投资者预期而非安全里程碑驱动的部署节奏。
每一次失败，都是将概率性核心直接连接物理执行器、且缺乏充分确定性后备机制的一次自然实验。该实验正在公共道路上进行，对象是真实的人群，且未经其知情同意。
确定性外壳：其内涵与重要性
解决方案并非放弃机器学习，而是停止赤裸部署AI。
确定性外壳是一种基于规则的安全层，包裹在概率性核心之外。其形式多样：最简单的可为输出过滤器——一个经认证的模块，接收神经网络提出的指令（如急左转、加速、伸出手术工具），依据形式化安全规范校验后才传递给执行器；若指令超出安全包络，过滤器即阻断并代之以安全默认值。该过滤器无需理解网络为何出错，只需知晓哪些输出被允许。
更稳健的方式可增设独立并行监控系统，配备物理隔离的传感器阵列——其硬件与供给神经网络的传感器完全分离，避免单一传感器故障同时影响两套系统。该“看门狗”运行经形式验证的安全行为模型，一旦检测到潜在违规，即可覆盖主系统。
第三层为优雅降级机制：当监控系统察觉故障时，不仅发出警报，更自动执行安全停机程序，为人工介入争取时间。
诚然，这会增加成本与复杂度，且比单纯端到端网络更难构建。正因如此，它尚未被普遍采用——并非技术上不可能，而是因其昂贵耗时;市场尚未发出足够强烈的需求信号。“伤亡”本应是市场最响亮的反馈，却被压制了。
更难的问题早已被解决
若有人辩称用确定性约束包裹概率性AI在技术上不可行，请回顾工程师已达成的成就：
场效应晶体管本质是量子力学器件；单个电子层面的行为具有不可约简的概率性。然而，由数十亿晶体管构成的数字逻辑，在实际应用中近乎完美确定——因为电路架构师设计了系统，确保量子级噪声不会传播为逻辑级错误。确定性行为是被“工程化”出来的，而非自发涌现。
香农证明：可在含噪、概率性信道中，通过添加精心选择的冗余比特，实现任意低误码率的信息传输。噪声并未被消除，而是被包裹在概率性介质外的确定性结构所约束。
构建混合架构——即由形式化验证安全层约束的概率性学习核心——所需的知识工具早已存在于工程学典籍之中。挑战在于应用，而非发明。
埃隆·马斯克等人或许会否决此类防护措施，视其为多余。马斯克的观点实质是：更多数据+更大模型=安全问题迎刃而解。在他看来，确定性外壳只是临时拐杖，待核心足够强大后即可抛弃。
但近期Anthropic一篇博客文章持不同意见。其关于大规模AI部署的研究指出所谓“混乱热点”问题：模型在其训练分布内表现连贯;一旦输入偏移，性能便不可预测地退化。研究发现，无论任务与模型类型，推理与行动时间越长，错误越失序；问题越难，模型越依赖长链推理，失序程度越高——这直接驳斥了马斯克“越大越好”的理论。确定性外壳的必要性愈发凸显。
致工程师的直接呼吁
本文最终应回归到系统建造者本身。
工程师在某种意义上，是未经测试的概率性系统与终将与其互动的人类之间的最后一道技术关卡——乘客往往不了解系统原理，患者无从审核推理流程，他们仅因工程师签字认可而信任系统。
交付压力始终巨大，竞争态势残酷，投资者焦躁不安，截止日期雷打不动。人们容易自我合理化：边缘案例极少，下一轮训练即可修复;系统已优于人类司机。
但“平均表现优于人类司机”并非安全标准，而是营销话术。真正的安全标准是对最坏情况行为的可证明边界。工程师须明辨二者差异，并按标准而非话术构建系统。相关工具、先例与知识均已完备。
晶体管工程师未曾宣称“量子隧穿大概没问题”；香农也未说“信道通常足够干净”。他们构建了外壳，完成了艰苦工作，使我们得以从本质上嘈杂的物理世界中获得可靠的数字系统。
而当下，在道路、手术室与机器人仓库中，一场大规模实验正悄然进行，对象是未经同意的人类受试者，其错误率以生命为单位计量。
www.eic.net.cn 提供的易IC库存管理软件，已在多家电子制造企业中成功部署，有效支撑了高可靠性硬件系统的供应链保障体系，为AI硬件落地提供坚实基础。
