对于自动驾驶系统，大部分人往往只关注到上层端到端模型或者其模块化实现在复杂道路场景下的效果，而忽略了下层的控制器、运行时验证、安全监测、后备安全策略等模块的作用。用Tesla FSD v12的案例宣称“神经网络取代传统软件”，恰恰忽略了自动驾驶系统这座冰山水面下的巨大体量。在面对复杂多变的道路场景时，我们必须在“神经网络无所不能”的惊叹中深思如何工程化地构建一个具有韧性的自动驾驶系统。韧性关注的是自动应对并从意外事件中恢复的能力。无论是单车智能还是多车智能，提升自动驾驶系统韧性需要构建能够主动缓解驾驶风险、快速恢复、并在复杂条件下持续有效运行的系统，而这往往需要发挥自动驾驶系统这座冰山水面下模块的作用。

神经网络本质上是具有“直觉”的概率模型，其“黑盒”特性导致难以进行严格的形式化验证来保证永不犯错，引入了不稳定的安全隐患。例如，一张精心设计的贴纸便可能诱导自动驾驶车辆撞墙，这种失败模式在逻辑清晰的传统软件中几乎是不可想象的。其次，神经网络的能力受限于数据。端到端自动驾驶模型善于从海量历史样本中学习模式，但在突发少见的驾驶场景下难以应对风险。最后，也是最深层的挑战，是价值对齐的鸿沟。我们无法用一个完美的目标函数来定义复杂、多变的人类价值观。因此，寄希望于一个概率模型能够领悟安全、公平等驾驶原则是不太实际的。

当我们将视野从单一车辆扩展到由多辆自动驾驶汽车组成的交通流时，会发现一系列全新的、更为复杂的系统性问题。

例如，在一个没有交通信号灯的十字路口，四辆自动驾驶汽车从不同方向同时到达，每一辆都依据“礼让右侧来车”的保守策略决定等待，但由于所有车辆都在等待其他车辆先行，结果所有车辆都陷入了无限的等待，整个路口交通瘫痪。除此以外，还有多种自动驾驶车流整体失效的场景。当多个以自我为中心、缺乏系统级协调的自动驾驶汽车在共享资源（如交叉路口）上交互时，即使它们遵循着各自看似合理的局部规则，也可能导致系统性的灾难后果，比如车流死锁或者车辆碰撞。

这种局部合理但全局失效的例子暴露出单个神经网络缺乏系统级协调能力。这并非一个简单的AI问题，即使将再多V2V数据输送到神经网络，也不能确保多车间行为的有序性。协同不是简单的感知增强问题，而是超越个体视角的、非局部的分布式决策和系统级冲突解决，这正是软件系统擅长解决的范畴。车联网（V2X）技术使得车辆之间、车辆与基础设施之间能够交换信息，为协同驾驶提供了可能。我们设想一个未来交通系统，其中路口部署了路侧单元（RSU）充当交通协调者。每辆车为自己规划路径，但在靠近路口时，会将当前状态（位置、速度、意图）通过V2X通信上报给RSU，由RSU负责车流的整体调度与协调。这样一个复杂的车路云系统可以有效缓解上文提到的失效场景，增强多车自动驾驶的韧性。

通过单车与多车自动驾驶场景下的案例研究，我们可以发现：AI的“直觉”需要由软件系统来驾驭。无论是为单个神经网络模型的轨迹规划提供运行时验证与后备策略系统，还是为多车协同中的死锁困境提供仲裁的分布式调度系统，其核心都是软件工程的系统性思维。

过分强调端到端自动驾驶模型将彻底取代传统软件的激进观点，是对技术本质和工程实践的误解。在可预见的未来，神经网络既无法也不应单独取代传统软件。真正可靠的自动驾驶系统，应源于神经网络与软件系统的深度融合：神经网络提供强大的感知能力与直觉判断，软件系统则通过软件工程方法为系统提供确定性和可验证性保障。在这一融合过程中，软件工程师的角色也在转变——不再只是代码的编写者，而是成为系统架构师，运用系统性思维将神经网络这一强大的智能化部件安全地嵌入到可靠的软件框架中，构建出真正可信的自动驾驶系统。