2026年2月，上海蔚来汽车有限公司宣布召回超过24万辆汽车，原因是“软件问题可能导致特定条件下出现短时间的仪表及中控屏黑屏”。国家市场监管总局的召回公告里，这个表述清晰明确——黑屏期间无法为驾驶员提供必要的车辆信息及功能，存在安全隐患。
仪表黑了，驾驶员至少知道自己“看不见了”。但有一种故障更隐蔽、更突然：你开着车，路上明明空空如也，车子却像见了鬼一样，突然给你来一脚猛烈的自动急刹。车主们管这叫“幽灵刹车”。
仪表黑屏是“看得见”的召回，而“幽灵刹车”背后辅助驾驶系统的逻辑缺陷，正在成为行车安全那颗“看不见”的隐形炸弹。当蔚来的NOP+领航辅助功能，在高速路上无缘无故从120km/h急刹到80km/h时，安全边界到底在哪里？责任又该算谁的？
九江的刘先生向媒体求助时，情绪仍难平复。他今年1月购买了一辆蔚来L60乐道电动汽车，提车1个多月内，就遭遇了两次“幽灵刹车”。根据刘先生提供的行车记录仪，第一次是在高速上，车辆在手动驾驶模式下，无缘无故突然自动触发紧急制动，车速从72km/h骤降至38km/h。
售后专员检查后台数据后，给刘先生的答复是“未发现异常”，仅以“偶发现象”回应，建议继续使用。
然而“偶发”很快变成了第二次。刘先生驾车载着妻子和两个女儿由安徽返回江西途中，车辆再次无故发生“失控乱刹车”，车速从52km/h直接降至7km/h。这次后果严重得多——造成妻子二次伤害，卧病在床长达一周时间；一名女儿头部撞伤，怀疑轻微脑震荡，头晕导致两天无法正常上学。
刘先生要求退车或换车，遭到了车企的拒绝。蔚来乐道江西区域销售服务人员对于两次高速“惊魂制动”的解释是“特例”。刘先生为此到南昌六七趟，但售后人员并未拿出妥善的解决方案。车企最后同意以“关怀名义”给予20张换电券或车企商城2万积分补偿。
这并非孤立事件。另一位蔚来车主在京哈高速使用NOP领航辅助时，车辆在超越右侧超长货车（13米以上）时，短时间内发生了三次“幽灵刹车”。刹车过程时速从105km/h骤降至84-85km/h，期间无旁车侵入本车道。车主分析，这种急减速极易引发后车追尾，驾驶员需立即接管踩油门提速。
在车主投诉平台上，“幽灵刹车”已成为智能驾驶功能用户投诉的“重灾区”。这不是某个品牌的独有问题，而是整个行业在从“辅助”走向“信任”过程中遭遇的普遍性障碍。
辅助驾驶系统的工作，可以简化为“感知-决策-执行”三个步骤。蔚来NOP+依赖的是传感器融合方案，摄像头、毫米波雷达等多双“眼睛”协同工作，实时感知周围环境。
问题就出在这些“眼睛”可能产生错觉，以及背后“大脑”的逻辑判断过于保守或存在漏洞。
毫米波雷达可能遭遇“幽灵反射”陷阱。它通过发射77GHz电磁波并分析反射信号来探测障碍物，但在特定场景下会制造虚假目标：高速公路护栏反射率超过90%，可能被雷达误判为“静止障碍物”；隧道中雷达波发生多次反射，可能形成“虚拟障碍物”；对速度低于5km/h的物体探测精度下降，可能将路边共享单车与地面静态物体的反射信号混合，生成“移动障碍物”假象。
摄像头则面临“视觉错觉”困境。逆光眩光时，强光直射产生的光晕可能遮挡前方车辆轮廓识别，系统误判为“障碍物消失-突然出现”；桥梁投影或树木枝叶阴影，可能被算法识别为“路面凹陷”或“障碍物”；沥青路面裂缝或水泥路面接缝的纹理与减速带相似，摄像头可能将其误判为“需要减速的障碍物”。
更关键的是决策逻辑的“过度敏感”。为追求“零漏报”，车企普遍采用“宁错勿漏”的算法策略。时间碰撞阈值这个核心参数，部分车型设定得过于激进。比如前向碰撞预警，行业平均在TTC小于2.5秒时触发，但部分车型设定为小于3.0秒，导致在跟车距离较近时频繁预警甚至制动。
一位行业人士分析，“当前主流的驾驶辅助系统，主要使用摄像头和毫米波来进行感知，但摄像头识别精确度较低，难以区分和天空颜色较为接近的物体；毫米波雷达的识别精度更高，但对于静止物体敏感度较低，并且无法准确识别塑料、布料等材质的物体。”
当传感器“看错”，算法又“想错”时，“幽灵刹车”几乎不可避免。
对比蔚来因仪表黑屏召回24万辆汽车的果断，辅助驾驶“幽灵刹车”这类问题为何鲜见正式召回？这里有个根本性的定性难题。
传统的汽车召回制度，主要针对不符合强制性标准，或存在可明确复现的、可能导致事故的缺陷。仪表黑屏属于这类问题：现象明确，后果直接，修复方案清晰。
但“幽灵刹车”等辅助驾驶逻辑缺陷，性质完全不同。它具有强烈的间歇性与场景特定性——并非每次都会发生，难以在测试环境中稳定复现。刘先生的车第一次和第二次“幽灵刹车”间隔了一个多月，场景也不尽相同。
更重要的是责任重叠。目前所有辅助驾驶功能都要求驾驶员全程监控、随时接管。当发生“幽灵刹车”或相关事故时，车企很容易将原因归咎于“驾驶员未及时接管”。这种“责任共担”模式，为车企提供了规避完全责任的空间。
现行智能汽车相关安全标准，特别是针对软件逻辑缺陷的认定和处置流程，尚未完全成熟。功能性软件缺陷因其特性，更容易被界定为“体验问题”、“需要持续优化的功能项”，而非必须立即召回的“安全缺陷”。
于是，一个吊诡的局面出现了：可能导致严重追尾事故的“幽灵刹车”，在法律和监管框架下，其“缺陷”性质的认定反而比仪表黑屏更困难、更模糊。
远程升级技术本应是智能汽车时代的一大福音。蔚来对仪表黑屏问题的处理，正是通过OTA免费升级软件至Aspen3.5.6、Alder2.1.0或更高版本。对于那些无法通过OTA技术升级的车辆，再通过服务中心联系用户实施召回。
OTA的优势显而易见：快速响应、降低用户返厂成本、持续优化体验。但这也创造了一个潜在的监管灰色地带。
车企完全可以通过一次“悄悄的”OTA升级，修复本应召回的严重安全缺陷。用户收到一个“提升系统稳定性”的更新提示，点击确认，问题解决了。但这样做避免了公开承认问题、避免了承担召回成本，更重要的是避免了品牌声誉损失。
修复过程的不透明性随之而来。用户可能根本不知道这次升级具体修复了何种安全风险，他们的知情权在便捷性的名义下被削弱。
更棘手的是责任追溯困难。问题在云端被修复，物理证据缺失。如果未来发生相关事故，调查机构很难还原升级前的系统状态，为责任鉴定带来巨大挑战。
对此，监管部门已经开始行动。2025年2月25日，工业和信息化部与市场监管总局联合发布了《关于进一步加强智能网联汽车产品准入、召回及软件在线升级管理的通知》，明确要求“企业实施OTA升级活动消除缺陷、实施召回的，应按照召回法规组织实施，并需提前备案，不得通过OTA方式隐瞒缺陷”。
此外，国家强制标准GB44496-2024《汽车软件升级通用技术要求》已于2026年1月1日起实施，对OTA升级包的测试验证、升级过程可靠性及用户告知等提出了明确技术要求。
法规在完善，但执行和监管的力度，仍需时间检验。
面对“幽灵刹车”这类系统性风险，各方需要重新思考安全边界的划定方式。
对车企而言，责任必须进阶。仅仅满足现有“合规”要求远远不够，需要建立更高阶的功能安全与预期功能安全体系。更重要的是公开透明——明确告知用户系统的能力边界在哪里，哪些场景下可能失效，已知的风险点是什么。把选择权和知情权真正交还给用户。
标准与法规需要加速完善。呼唤更细致、更具强制性的智能驾驶软件安全评估标准与缺陷认定程序。什么样的软件问题必须触发召回？什么样的OTA升级需要提前备案、接受监管？这些都需要清晰的可操作性规定。
监督与问责需要新模式。第三方独立测试、数据黑匣子的规范化分析、更严格透明的事故调查机制，这些都应该成为行业标配。当发生涉及辅助驾驶的事故时，车企提供的“解读数据”不应是最终答案，原始数据、算法决策日志都应在监管下接受检验。
用户教育当然重要，但不能将安全责任过度转移给用户。告知用户“需要随时准备接管”是一回事，但因此将所有系统缺陷导致的风险都归咎于用户“接管不及时”，则是另一回事。
“幽灵刹车”现象深刻地揭示了一个趋势：智能汽车的核心风险，正在从传统的硬件故障，向软件逻辑缺陷迁移。仪表黑屏看得见、摸得着，而辅助驾驶的逻辑缺陷，如同藏在代码深处的“隐形炸弹”，更隐蔽、更突然，也更需要警惕。
蔚来等走在技术前沿的车企，在追求领航辅助功能领先的同时，必须将系统性软件安全置于真正的首位。这不仅仅是技术问题，更是责任伦理问题。
在“软件定义汽车”成为现实的今天，安全需要被重新定义。它不应再仅仅是车辆的固有属性，而应是一个贯穿设计、开发、验证、运行、升级、监管全生命周期的动态过程。一次OTA升级或许能暂时修补某个特定漏洞，但唯有健全的标准、透明的机制和严肃的问责，才能构筑起真正可靠的安全防线。
当软件掌控了车辆的加速、转向和制动，我们该如何监督那些看不见的代码安全？一次OTA升级，就能解决所有问题吗？
全部评论 （0）