Autonomous vehicles · Freight · Forecasting · Regulation · Theorem 3

许可阶段才是机制，而非自动驾驶的宣称

加州的分阶段自动驾驶卡车许可是测量仪器，而非通行证。Theorem 3：一项属性只在其机制被实现并测量时才被保证。

作者 Everythink Studio team2026年8月22日1 分钟阅读

许可阶段才是机制，而非自动驾驶的宣称

一张许可是阶段，不是判决

2026年8月，Kodiak AI 依据一项新的州法律，从加州车管所（DMV）获得了测试许可，这是该法律首次允许重型自动驾驶车辆开发商在加州道路上运营。这张于8月13日取得的许可，允许 Kodiak 在安全驾驶员坐在方向盘后行驶——这是 DMV 通往无人驾驶部署三阶段进程中的第一阶段。Kodiak 创始人兼首席执行官 Don Burnette 称加州的法规为「货运创新的一次重大解锁」。这句话里有趣的词不是「解锁」——而是紧挨着它的「全面」。新闻不在于 Kodiak 拿到了一张许可。新闻在于加州建立了一个分阶段的机制，并在每一道关卡都配备了测量仪器。

这是安全关键型软件与政策中反复出现的模式：标题点出了行动者，承重的工作却在关卡里。一张写着「你可以驾驶一辆80 000磅的卡车行驶在5号州际公路上」的许可，是一次性的断言。一张写着「你可以在车上配一名安全驾驶员驾驶它，并且在我们解除这一约束之前会测量所发生情况」的许可，才是一个机制。

[UNIQUE INSIGHT] 加州 DMV 的三阶段阶梯——有人驾驶测试、无人驾驶测试、无人驾驶部署——是 Theorem 3 在 Everythink 中应用的教科书级实例：一项属性恰在其机制被实现并正在测量时才被保证。每个阶段都是一道测量关卡，而非一个里程碑。你不是靠等待进入下一阶段；你是靠产出上一阶段干净测量的证据进入下一阶段。

分阶段许可是测量仪器

三道关卡，三次测量

加州 DMV 的分阶段方法在源文中被描述为「从车上配有驾驶员的测试，到无人驾驶测试，最终到无人驾驶部署」的递进。这并非同一许可的三种变体。这是三个截然不同的测量机制：

有人驾驶测试。 人在座位上。测量仪器是安全驾驶员的介入率——人类多久接管一次，以及在何种场景下。自动驾驶系统被拿来与已在路上的基线人类表现进行测量对比。
无人驾驶测试。 座位上无人，但仍处于测试机制下。仪器切换为遥测、远程监督与脱离日志。基线不再是驾驶室里的人类；而是公司为达到此阶段而必须记录在案的安全操作统计包络。
无人驾驶部署。 商业运营。仪器是运营记录——里程、事件、回归——上报给监管机构。「足够安全以部署」这一属性现在在生产中被持续测量，而非在许可时被一次性断言。

一个为三者只颁发一张许可的监管者，是在做一次性断言并寄希望于侥幸。一个颁发三张、且每张之间都要求证据的监管者，才实现了一个机制。加州 DMV 选择了第二条路，而这才是真正的故事。

为什么安全驾驶员是仪器，而非让步

把「方向盘后的安全驾驶员」读作一种对冲——技术尚未就绪的信号——很诱人。反过来读。安全驾驶员是第一道测量关卡的校准仪器。座位上没有人类，你就没有测量自动驾驶系统介入率的基线。有一个人，你就得到一个数字：每英里介入次数、按场景的介入次数、按道路等级的介入次数。这个数字正是下一阶段许可申请所依托的基础。

这正是我们在自己的预测工作中保留「人在回路」仪器的同一理由。The Sisters——为现实世界行动者生成可信未来的类型化 AI 代理——起草场景，Oracle 将它们融合为一个校准过的整体。校准不是承诺；它是针对历史结果的测量。只有当你拥有校准所依据的基线时，你才能校准。Kodiak 的安全驾驶员，用机制的术语来说，就是基线。

Theorem 3，为重型卡车重述

我们21篇论文系列中的 Theorem 3 说：一项属性恰在其机制被实现并正在测量时才被保证。其逆否命题才是承重的那一条：一项只被断言、却没有机制在测量的属性，是不被保证的——它是一份新闻稿。

加州的分阶段许可将这一定理应用到公共道路上的一辆80 000磅车辆上。属性是「安全运营」。机制是带证据关卡的三阶段阶梯。测量仪器逐阶段变化，但机制是连续的。Kodiak 在8月13日获得的许可，并非 Kodiak 是安全的宣告。它是国家已安装了将测量 Kodiak 是否安全的仪器的宣告。

同一定理治理着我们自己的技术栈。HAI Engine 自2016年起投入生产，它之所以一直留在生产中，是因为它发出的每一个预测锥都对照实际发生的情况进行了评分。机制是回归测试框架；预测是输出。一个不对照结果评分的预测是断言。加州 DMV 实际上在向 Kodiak 索要的，正是我们的回归框架向 HAI Engine 索要的：给我看分数，而不是口号。

[PERSONAL EXPERIENCE] 我们在2016年吃过这个苦头，那时 HAI Engine 首次上线。第一个版本断言校准；它不测量校准。我们发出一个预测锥并寄予希望。在一个季度内，我们把仪器装到位——一个把每一个过往预测与实际发生情况进行评分的回归框架——此后 HAI Engine 一直在测量，而非断言。仪器就是产品。预测是输出。

「coast-to-coast」框架掩盖了什么

Burnette 的话还点出了一个范围：「将自动驾驶卡车从海岸到海岸规模化的第一阶段」。coast-to-coast 框架作为雄心是诚实的。但把你带到那里的机制不是雄心——而是逐阶段的证据链。Coast-to-coast 是一条路线。各个阶段是沿途的关卡。把路线与关卡混淆，和把预测与产生它的机制混淆，是同一类范畴错误。

这正是我们在 Everythink 所用路由类比直接适用的地方。「The space is the router」意味着拓扑——network、community、room——在任何东西响应之前就先路由一个请求。在自动驾驶货运中，路线不是高速公路；路线是监管拓扑。加州是一个节点。联邦的 motor carrier 规则是另一个。每个州的 DMV 又是一个。无人驾驶部署阶段是一个节点一个节点地达成的，每个节点在转发之前先测量。不存在一张全球性的「coast-to-coast」许可，只有一条由被测量的关卡组成的链。

弱仪器的风险

分阶段机制中的风险，不在于一家公司跳过某个阶段——监管者控制着这一点。风险在于某一阶段的测量仪器过于粗糙。如果有人驾驶阶段只统计「每英里介入次数」而不按场景分类，这道关卡就放行了那些平均看来良好、但在尾部失败的技术栈。如果无人驾驶测试阶段只统计脱离次数而不记录原因，这道关卡就放行了那些每次因不同原因脱离、却从不收敛的技术栈。

诚实的分阶段许可版本，是测量仪器被公开、可审计、并在阶段之间接受评审的版本。据我所读，加州 DMV 尚未公布每道关卡所评分的确切指标。那是该机制所需的下一个机制。一项不可被检查的测量，只是半个机制。另一半是审计。

这就是为什么 Theorem 3 有两个子句：已实现且在测量。一个已实现但不在测量的机制是一张流程图。一个在测量但不可被检查的机制是一本私人日志。完整的保证要求两者——仪器到位，且读数对必须信任它的一方可见。

范围的伦理：仅限民用与防御

自动驾驶货运是一项民用应用。卡车运送的是货物，不是弹药。同样的机制设计——分阶段关卡、被测量的证据、可被检查的仪器——也会去把关一套武器系统，而我们之所以点明这一点，是因为我们只建造民用那一半。Everythink 的范围仅限民用与防御。

这很重要，因为交付一个损坏的安全机制最简单的方式，就是把它应用到错误范围上。一张针对货运的分阶段许可保护的是路上的公众。一张针对武器系统的分阶段许可，由同一批工程师以同样的纪律建造，保护的却是操作者，而非公众。机制相同；是范围决定了测量服务于谁。

[ORIGINAL DATA] 在我们的21篇论文系列中，民用/防御范围边界是 Theorem 3 证明中承重的一个子句。一个对民用范围成立的保证，可以在不改动机制一行代码的情况下，对对抗性范围失效，因为对手可以选择民用测量从未采样过的输入。范围是一等的设计决策，不是营销的事后补记。

设计中的包容：仪器服务于谁

一张分阶段许可服务于路上的公众——相邻车道里的司机、十字路口的骑行者、人行横道上的一家人。这才是自动驾驶货运的包容性问题：不是「谁能买这辆卡车」，而是「谁必须与它共享道路」。测量仪器必须统计对这些人都重要的案例，而不仅仅是让公司好下台的案例。

我们把同一问题带入自己的工作。Everythink 以七种语言发布——英语、西班牙语、葡萄牙语、中文、日语、德语、法语——因为一个只说英语的预测，只服务于那些本就已有访问权的人。设计中的包容，是在开始时就做出的拓扑决策，而非在末尾螺栓拧上的翻译层。「The space is the router」，而路由器必须把请求路由到每一个必须与输出共存的人。对加州 DMV 而言，包容问题是：按关卡的指标是否统计了卡车所经街区里的险情，还是只统计了高速公路上的事件。

客户主权与被测量的阶段

分阶段许可还体现了一个我们称之为客户主权的原则：必须与结果共存的一方，是能看到测量的一方。加州的公众要承受无人驾驶部署的后果。做得好的分阶段机制，通过其监管者，给该公众提供它决定下一道关卡是否打开所需的读数。

在我们的工作中，客户主权意味着你的 network、你的品牌、你的数据。你看到预测锥、校准分数、对历史的回归。你决定是否据此行动。我们不扣留测量并要求你信任断言。

Everythink 在此的利益

我们不建造自动驾驶卡车。我们建造组织用来对像自动驾驶货运这类系统进行推理的路由与预测基板。我们 Production ✅ 能力中的三项直接对应分阶段许可模式：

HAI Engine（✅ Production，自2016年起投入生产）产出校准过的预测锥——监管者会从分阶段许可的证据链中想要的同一种输出形状：一个中心预测、一个校准过的散布、以及一段对历史的被测量的回归。
Sisters → Oracle 管道（✅ Production）是我们避免单一断言预测的机制。多个类型化代理起草，Oracle 融合，整体被归一化。自动驾驶卡车的对应物不是「一家公司说它安全」；而是「多个仪器、被融合、且散布可见」。
World Monitor（✅ Production）通过以 tile 为索引的拓扑路由实时地理信号，使客户端只接收其视口的增量。同一种拓扑思维正是 coast-to-coast 货运部署所需的：路线不是地图上的一条线，而是一组被路由的、地理上绑定的义务。

我们的 ⚠️ Partial 能力——Matchmaking、Marketplace、Calendar——同样是测量机制，但仍在校准中；我们如是说。我们的 🔵 Roadmap 能力——Wallet & Token、Super App、Community Credit——还根本不是机制；它们是设计，受 Howey 审查约束，未产生收入。我们不为它们承诺结果。同样的纪律正是让加州分阶段许可可被读懂的原因：州政府不承诺 Kodiak 会无人驾驶部署；它承诺一个将测量 Kodiak 是否能做到的机制。

关键要点

一张许可是阶段，不是判决。加州 DMV 的三阶段阶梯是测量仪器，而非通行证。
安全驾驶员是第一道关卡的校准仪器，不是针对未就绪技术栈的对冲。
Theorem 3 以同样方式适用于重型卡车和预测：一项属性只在其机制被实现并测量时才被保证。一项被断言的属性是一份新闻稿。
Coast-to-coast 是一条路线，不是一道关卡。路线是监管拓扑；关卡是逐阶段的证据链。
弱仪器的风险是真实的：一道统计错误指标的关卡，会放行那些平均看来良好但在尾部失败的技术栈。该机制所需的下一个机制，是一项公开、可审计的按关卡指标。
范围决定了测量服务于谁。一张民用的分阶段许可保护路上的公众；同一机制应用到对抗性范围上，则保护操作者。

常见问题

8月13日的许可是否意味着 Kodiak 的卡车现在正在加州道路上自行驾驶？ 不。该许可允许在方向盘后配有安全驾驶员的测试。无人驾驶测试与无人驾驶部署是独立的阶段，需要它们各自的证据关卡。

分阶段许可比单一许可更强吗？ 从机制上讲，是的。单一许可是一次断言。分阶段许可在每道关卡安装测量仪器，并在解除下一项约束之前要求证据。力量来自测量，而非阶段的数量。

Theorem 3 与卡车运输有什么关系？ Theorem 3 说，一项属性恰在其机制被实现并测量时才被保证。加州的分阶段许可是现实世界的一个实例：属性是「安全运营」，机制是三阶段阶梯，测量仪器逐阶段变化。一项没有测量机制而被断言的属性，是不被保证的。

Everythink 的工作与自动驾驶货运有何关联？ 我们不建造卡车。我们建造组织用来对像自动驾驶货运这类系统进行推理的路由与预测基板。HAI Engine（✅ Production，自2016年起）、Sisters → Oracle 管道（✅ Production）以及 World Monitor（✅ Production）都是产出校准、被测量的输出而非单一断言的机制。治理我们预测的同一 Theorem 3 逻辑，治理着分阶段许可。

分阶段机制中弱仪器的风险是什么？ 一道统计错误指标的关卡——例如，只统计每英里介入次数而不按场景分类——会放行那些平均看来良好但在尾部失败的技术栈。解决办法是一项公开、可审计、在阶段之间接受评审的按关卡指标。