本书聚焦“当汽车获得理解力之后，人与车的关系应该被如何重新设计”这一核心命题，书中系统构建了从意图理解到安全落地的完整理论框架。全书分为三部分：第一部分“断裂”从认知科学出发，论证传统“人编码指令、机器解码执行”的交互契约为何在智能化时代结构性失效；第二部分“建构”沿意图建模、多模态感知、端侧推理、Agent 工程、生成式界面到确定性约束六个环节，给出了一条从“理解用户”到“安全行动”的完整工程链路；第三部分“共生”探讨信任校准与人的主体性保护，回答了AI 能力持续提升背景下人应该出现在哪些位置的问题。书中融合信息论、认知科学、控制论等跨学科工具，既提供可量化的数学框架与决策模型，也包含面向量产落地的工程方案与伪代码参考实现。
本书适合智能座舱与智能驾驶领域的系统架构师、产品经理、AI 工程师阅读，也可供车企技术管理者与战略决策者参考，同时适合人机交互、认知科学、人工智能等方向的高校师生作为研究与教学参考用书。

序言
自序
前言 契约、超载、与一个从未被回答的问题
第1 篇
断裂—— 旧秩序为什么走不下去了
第1 章 注意力的物理学：汽车交互为什么是最难的HMI 问题/ 002
1.1 三个不应该发生的事故/ 002
1.2 注意力不是隐喻，是物理量/ 006
1.3 三代交互的认知成本审计/ 011
1.4 认知围城与四条设计律令/ 017
1.5 本章的方法论说明/ 021
本章回顾/ 022
第2 章 涌现的代价：大模型改变了什么，又破坏了什么/ 023
2.1 能力图谱：大模型到底解锁了什么/ 024
2.2 风险矩阵：大模型在汽车上的特有失败模式/ 029
2.3 部署约束：一张速查地图/ 035
2.4 “应该/ 不应该用大模型”的诊断清单/ 037
2.5 概率- 确定性边界的形式化定义/ 038
2.6 概率智能与确定性规则的共存架构/ 039
本章回顾 / 040
第3 章 行业坐标：智能座舱的四种路线与三个悖论/ 042
3.1 四种策略路线的特征光谱/ 042
3.2 三个结构性悖论/ 045
3.3 产业链关键节点的策略分析/ 048
3.4 中国市场的特殊坐标/ 050
3.5 本书的立场：为什么选择“意图原生”/ 051
本章回顾/ 052
第2 篇
建构——造一个理解人的机器
第4 章 意图的数学：如何建模“用户到底想要什么”/ 054
4.1 意图熵：给“模糊”一个精确的名字/ 054
4.2 多模态观测：信道容量的叠加/ 062
4.3 意图对齐的动态过程：序贯决策建模/ 067
4.4 新范式的架构骨架/ 072
4.5 落地的三级台阶/ 074
本章回顾/ 079
第5 章 感知的边界：在噪声、振动与隐私红线之间读懂人/ 082
5.1 听觉信道：远不止“语音识别”/ 083
5.2 视觉与车辆状态信道：从传感器到意图的漫长旅途/ 088
5.3 隐私红线：全书第二条不可逾越的红线/ 092
5.4 传感器方案的决策框架/ 096
5.5 多人感知：从单用户假设到多乘员现实/ 098
本章回顾/ 100
第6 章 推理的基础设施：算力、延迟与面向未来的架构/ 101
6.1 算力地形图：当前SoC 的运行能力/ 102
6.2 端云决策矩阵/ 106
6.3 OS 层的最小改造/ 110
6.4 面向未来的架构弹性/ 115
6.5 跨域算力共享：座舱与ADAS 的算力池化/ 119
本章回顾 / 122
第7 章 Agent 工程：从理解到行动/ 124
7.1 翻译器与行动者/ 124
7.2 车载Agent 的工具集/ 126
7.3 自主性分级：A0~A5 / 131
7.4 记忆与个性化/ 134
7.5 最小可行Agent / 136
7.6 多人意图仲裁：从单用户Agent 到家庭Agent / 138
本章回顾/ 142
第8 章 表达的工程学：生成式界面与人格设计/ 144
8.1 视觉表达：生成式用户界面是约束满足问题/ 145
8.2 言语表达：人格工程/ 156
8.3 环境表达：空间叙事/ 164
8.4 视觉与言语的协同输出/ 167
8.5 禀赋效应与数字离别/ 169
本章回顾/ 170
第9 章 确定性的代价：如何给概率AI 套上
工程缰绳/ 171
9.1 确定性需求光谱：D1~D4 / 172
9.2 三道防线/ 176
9.3 全链路安全审视/ 181
9.4 测试与验证/ 184
9.5 标准与合规：直面差距/ 188
9.6 OTA 安全验证与持续监控/ 190
9.7 规则与AI 的边界判定清单/ 192
本章回顾/ 193
第3 篇
共生——人与理解自己的机器如何相处
第10 章 信任工程/ 196
10.1 信任的理论基础/ 197
10.2 信任校准的四种设计模式/ 202
10.3 共享控制设计空间/ 206
10.4 信任度量体系/ 213
10.5 信任在中国市场的特殊维度/ 217
本章回顾/ 218
第11 章 人的位置：当机器真的理解你之后/ 220
11.1 能力替代的认知代价/ 221
11.2 应该在哪里故意保留人的参与/ 225
11.3 个性化的边界/ 229
11.4 设计原则：技术的终极使命/ 231
11.5 当驾驶不再是主任务：L4+ 场景的交互范式/ 233
11.6 前方的路：三维展望/ 236
本章回顾/ 240
尾声 方向盘与最后的翻译/ 242
附 录/ 247
附录A 核心概念词典/ 247
附录B 技术缩写速查表/ 251
附录C 推荐阅读/ 255
附录D 技术底色速查/ 256
附录E 端到端案例穿越/ 259
附录F 参考实现伪代码/ 262
参考文献/ 263
致谢/ 264

契约、超载、与一个从未被回答的问题
一个每天发生三千万次的场景
深秋的傍晚，一位驾驶员坐进智能电动汽车的驾驶座。一天的工作刚刚结束。接下来，在真正驶出停车场之前，一场密集而无声的人机谈判即将展开。
先调导航。中控屏在夜间模式下亮度偏高，驾驶员眯着眼在应用列表里找到导航图标，点进去，输入地址。输入法联想弹出三个选项，手指在第二行和第三行之间犹豫了一下，点错了，回删，重新选择。
然后处理座舱环境。车内有点闷，想开启空调并设定24℃。在仪表台下方的触控面板上调整温度——面板没有实体旋钮，需要低头看着才能准确点触加号按钮。
最后调节后视镜。右侧外后视镜的角度上次被别人调过，摸到门板上的调节拨杆，凭手感左右拨动，同时扭头看后视镜的画面，反复微调了三次。
三个独立的任务，三套不同的交互逻辑，视线多次从前方转移到屏幕或面板上。车还没驶出停车场。
这不是一个关于“车机不好用”的抱怨，也不是某个特定品牌的负面案例。每天有数千万的驾驶员在重复几乎相同的流程。人不笨，车也没有故障。问题出在一个更深的地方：整个交互架构的底层假设——“人负责把意图翻译成机器能理解的操作”——正在有条理地超载。
关于注意力发生了什么，驾驶员还没有驶上道路，还没有面对任何交通状况，只是在“告诉机器我想要什么”这件事上，就消耗了四十多秒的注意力——这恰好是驾驶任务最核心的不可再生资源。
而真正的危险藏在这些“小事”的缝隙里。某个瞬间，手机亮了一条消息通知，目光不自觉地偏移了两秒——车轮已经压上了路沿。安全系统发出一声短促的蜂鸣。
四十四秒的人机谈判，加上隐微的分心——构成了一个从未被正式诊断的综合征。它每天都在每一个停车场、每一条主路上发生。它不够戏剧性，所以不会上新闻；但它足够普遍，足够影响数千万人的驾驶质量和出行安全。
本书的起点，就是这四十四秒。
一份一百四十年的契约
1886 年，卡尔·本茨驾驶他的三轮汽车驶上曼海姆的街道。彼时，人与机器之间的关系极其透明：人拨动转向杆，车改变方向；人拉下制动手柄，车减速停车。机器是手臂和腿脚的延伸——一个忠实的、完全不需要理解指令含义的执行器。
用控制论的语言来说，人类是编码器，机器是解码器，通信信道就是方向盘、踏板和拉杆。编码器负责将意图（“我想左转”）转化为操作（逆时针旋转方向盘90°），解码器负责将操作转化为物理运动（前轮偏转）。这份契约的精妙之处在于：编码成本极低。当一辆车只有转向、制动和加速三个核心功能时，驾驶员只需要几个小时就能建立起完整的操作心智模型——每个输入与输出之间存在确定的、线性的、可预测的因果关系。
这份契约此后一百四十年没有被打破——只是编码语言在不断升级。机械拉杆变成了实体按钮，实体按钮旁边加上了液晶仪表，液晶仪表进化为中央触控屏，触控屏旁边又分出了语音控制通道。每一次升级都扩展了信息传递的带宽，但传递的方向始终是单向的：人编码指令，机器解码执行。机器从不需要“理解”人想做什么，它只需要识别哪个按钮被按下了、一段语音匹配了哪个命令槽位。
问题是，这份契约有一个隐含的可行性前提：编码指令的认知成本足够低。
当一辆车只有三十个可交互功能时，这个前提成立——每个旋钮和按键都有固定的物理位置，驾驶员用几周的肌肉记忆就能将整套操作词典“写入”长期记忆。但今天的一辆量产智能电动车，可交互功能超过三百个，并且每一次空中下载更新（Over-the-Air， OTA）推送都可能改变功能的位置、层级和交互逻辑。操作词典的复杂度已经远远超出了人类工作记忆的容量——认知心理学家GeorgeMiller（1956）著名的“7±2”研究早已告诉我们这个上限。
三十个功能和三百个功能之间不是量变，是质变。当编码成本开始与驾驶任务争夺同一个不可扩展的认知资源——注意力——旧契约就不是“不够好”，而是结构性地不可持续。前文提及的四十多秒，就是一个人在用当代的认知带宽去偿还一份1886 年签署的契约债务。
从反转契约到重建契约
2022 年末，大语言模型以一种令整个技术界措手不及的方式，展示了一种此前仅存在于科幻叙事中的能力：从模糊的、不完整的、充满歧义的人类自然语言中，推断出说话者的意图。
这不是“更好的语音识别”。语音识别解决的是声学信号到文字的转写——属于信号处理问题；意图推断解决的是文字背后那个未被说出的需求——属于语义理解问题。“有点冷”不是一个需要被识别得更精确的语音指令，而是一个需要被理解的意图信号——它可能意味着调高空调温度、关闭车窗或开启座椅加热，取决于当时的车内温度、车窗状态、用户的历史偏好，甚至用户在过去十分钟内是否提到过“感冒”这个词。
对大多数行业而言，大模型是一个强大的效率工具——写稿更快、编程更快、检索更快。但对汽车座舱而言，大模型触及的是一个更根本的层面：如果机器有能力推断人的意图，那么“人必须精确编码每一道指令”这个延续了一百四十年的预设，就可以被取消了。
但“取消”不等于“替换”。
将一个基于概率的智能系统嵌入一个要求确定性安全的工程环境，其复杂度远超“把语音助手做得更聪明”。概率意味着模型会犯错——它可能把“有点热”理解为“打开天窗”；它可能在用户说“关闭所有灯”时，将语义范围从阅读灯扩展到前照灯，在深夜的高速路上制造致命黑暗；它可能在驾驶员只是叹了口气时，将呼吸声误识别为语音唤醒指令，自作主张地切换驾驶模式。
这就是本书所要处理的核心工程矛盾：概率智能的能力天花板与确定性安全的刚性底线之间的结构性张力。化解这种张力不能靠回避——“不让AI 控制任何安全相关功能”等于放弃了大模型最有价值的应用场景；也不能靠盲信——“AI 足够好了就不会出错”是没有工程根据的乐观。唯一可行的路径是在每一层技术栈上精确地划定概率与确定性的边界——哪些决策可以交给概率模型去优化，哪些决策必须由确定性规则来兜底。
这个路径要求我们重建从感知到推理到表达的整个技术栈，并在每一层回答一个没有现成标准答案的问题：边界应该画在哪里？
本书回答什么
本书不是AI 理论科普读物——它假定读者至少具备基础的技术素养。
本书不是人机交互的百科全书——它不带你快速了解人机交互的方方面面。
本书不是用户体验设计指南——它不教你怎么画交互原型。
它试图回答一个目前没有一本书系统回答过的问题：
当汽车获得“理解力”之后，人与车的关系应该被如何重新设计？
这个问题的答案需要同时满足三方面的合法性：认知科学上成立（人的注意力和信任有硬约束）、工程上可行（在量产车的算力和延迟条件下可实现）、产业上可持续（不依赖某个短期技术窗口或某个厂商的独家方案）。
全书沿三大主题展开：
第1 篇“断裂”（第1~3 章）：为什么旧秩序走不下去了。从认知科学的硬约束（注意力不可压缩）到大模型的能力与代价（涌现≠可靠），再到整个行业的策略分野（四种路线与三个悖论）——建立充分的问题意识，才能理解后续各章为什么以它们的方式展开。
第2 篇“建构”（第4~9 章）：新秩序如何从零搭建。这6 章覆盖了一个完整的技术链路，意图的数学——如何用信息论把“用户到底想要什么”变成可计算的量；感知的边界——在噪声、振动和隐私红线之间，信号从哪里来；推理的基础设施——算力怎么分配、延迟怎么控制、面向未来的架构怎么演进；Agent工程——从“理解”到“行动”，自主性每升一级，工程复杂度呈指数增长；表达的工程学——生成式界面怎么做、AI 人格怎么设计、多模态输出怎么协调；确定性的代价——如何在一个概率系统之上构建安全保障，即规则层、测试策略、标准差距。
第3 篇“共生”（第10 章、第11 章）：人与理解自己的机器如何相处。信任不是“有就好”——过度信任和信任不足同样危险——这个心理变量需要工程级的精密校准（第10 章）。当AI 好到开始替代人的判断时，人应该出现在哪些位置——这个问题有可量化的认知科学后果，不只是伦理修辞（第11 章）。
三条技术主线
如果将上述三部分内容的骨架进一步抽象，本书在技术层面贡献了三条可独立使用、但彼此纵向咬合的主线：
主线一：一套理解意图的数学框架。以Shannon 信息论为基础，定义“意图熵”作为衡量人机交互不确定性的核心量。将信息论（信道容量、互信息、最大熵原理）与认知科学（Wickens 多重资源理论、Endsley 情境意识模型）融合，构建了从信号采集到意图推断的完整数学模型。核心成果是D1~D4 确定性需求光谱和意图熵阈值公式——它们为“这个功能AI 能不能自己执行”提供了可量化的判定工具。
主线二：一条从意图到行动的完整工程链路。意图建模（第4 章，贝叶斯推断+ 马尔可夫决策过程〔Markov Decision Process，MDP〕策略优化）→多模态感知（第5 章，语音/ 视觉/ 控制器局域网〔Controller Area Network，CAN〕总线，信道容量与切换策略）→端侧推理基础设施（第6 章，Roofline 模型、量化压缩、KV-cache 管理、算力调度）→ Agent 工程（第7 章，A0~A5 自主性分级、Function Calling、MCP 协议、记忆管理）→表达工程（第8 章，GenUI = AI 选择+ CSP 布局引擎、计算机即社会行动者〔Computers Are Social Actors，CASA〕人格参数化、环境表达通道）→确定性约束（第9 章，三道防线——置信度校准→规则引擎→人在回路）。这6 章覆盖了一个工程师从“拿到意图模型”到“交付可上车功能”所需的每一个关键决策节点。
主线三：一个技术与人之间的信任- 控制协议。信任工程（第10 章，Lee &See + Hoff & Bashir 信任模型、六维度量化框架、共享控制连续谱）→人的主体性保护（第11 章，Csikszentmihalyi 心流理论应用、自我效能感的AI 干预边界、L4+ 场景下的注意力自主权）。终极论点是AI 在座舱中的角色是放大人的能力，而非替代人的判断——这个立场不是修辞口号，而是由第1 章的认知约束、第4章的信息论和第10 章的信任动力学共同推导得出的工程结论。
三条主线可以独立阅读（分别服务于算法研究者、系统工程师和产品/ 战略决策者），但它们的真正价值在于交叉：主线一的数学框架为主线二的每个工程模块提供了判据输入，主线二的工程约束为主线三的信任校准提供了技术底座，主线三的人文结论反过来为主线一的“边界应该画在哪里”提供了价值锚点。
阅读路径建议
不同背景的读者可以选择不同的阅读路线，详见表0-1。
表0-1　阅读路线推荐
你的角色 推荐路径 核心收获
技术负责人/ 架构师 全书顺序阅读 从认知约束到系统架构的完整推导链
产品经理/ 体验设计师 序言→第1 章→第3 章→第4章→第7 章→第8 章→第10 章 意图建模+ 行业坐标+ 表达设计+ 信任校准
高管/ 战略决策者 序言→第3 章→第9 章→第10章→第11 章→尾声 行业路线判断+ 安全合规+长期竞争壁垒
AI / NLP 工程师 第2 章→第4 章→第6 章→第7章→第9 章→附录F 大模型在车载场景的特殊工程约束和参考实现
学术研究者 第1 章→第4 章→第10 章→第11 章→附录C 认知科学框架+ 信息论建模+ 信任模型+ 参考文献
关于本书的方法论
本书坚持框架优先于技术细节的原则。每一章交付的核心产出是一个分析框架或决策模型——而非某个特定技术方案的使用说明。框架比技术方案更持久：两年后的LLM 架构可能面目全非，但“如何在安全约束下划定概率与确定性的边界”这个问题的结构不会改变。
本书将跨学科方法视为推导工具而非装饰性点缀，在论证过程中使用了认知科学（Wickens 多重资源理论、Endsley 情境意识模型、Bainbridge 自动化讽刺）、信息论（Shannon 信息熵、最大熵原理）、控制论（MDP、CSP）、社会心理学（Lee & See 信任模型、CASA 范式）的经典成果。这不是为了显示“博学”——每一次引用都是因为那个理论工具能帮助我们推导出一个在纯工程视角下推导不出的结论。每个核心论点都标注了理论来源，让专业读者可以验证、质疑和延伸。
在案例引用和数据处理上，本书在多处使用匿名案例（“某车企”“某品牌”）。这些案例基于笔者的行业观察和公开信息整合，个别细节经过脱敏处理。它们的价值不在于指向特定品牌，而在于揭示一类共性问题的结构。本书引用的量化数据分为三类：一是有明确学术出处的研究数据，二是来自行业报告或公开报道的数据，三是基于笔者从业经验的合理估算（以“据行业实践估计”或类似措辞标注）。第三类数据提供数量级参考，不应被视为精确测量。
核心术语速览
相关术语及释义见表0-2。
表0-2　相关术语及释义
术语 释义
A0~A5 本书定义的Agent 自主性级别。A0（仅展示）→ A5（自主行动，人仅监督）
Agent 智能体：能自主感知、规划并执行多步骤任务的AI 系统
CSP 约束满足问题（Constraint Satisfaction Problem），在多项约束下求解可行方案的数学框架
D1~D4 本书定义的确定性需求光谱。D1（建议类，可容忍错误）→ D4（安全关键类，零容忍，纯规则兜底）
GenUI 生成式用户界面（Generative UI），由AI 根据情境实时生成的界面，区别于预设的静态图形用户界面（Graphical User Interface，GUI）
HMI 人机界面（Human-Machine Interface），人与机器之间传递信息的所有通道总称
LLM 大语言模型（Large Language Model），通过海量文本训练获得语言理解与生成能力的AI 模型术语释义
MCP 模型上下文协议（Model Context Protocol），AI 模型与外部工具之间的通信标准
RAG 检索增强生成（Retrieval-Augmented Generation），让模型先检索再生成以降低幻觉率
SOTIF 预期功能安全（Safety of The Intended Functionality），ISO 21448 标准
TEE 可信执行环境（Trusted Execution Environment），芯片级隔离区域，保护敏感数据处理意图熵
本书核心概念：用信息论度量用户意图不确定性的指标，交互的目标是以最
少认知代价降低意图熵
完整概念词典见附录A，非AI 背景读者的技术底色速查见附录D。
在阅读正文之前，请最后记住一件事：这不是一本关于“让车更聪明”的书。
这是一本关于“当车获得理解力之后，人的位置在哪里”的书。
区别在于——前者的终点是一个更强大的产品；后者的终点是一种更合理的关系。
我们开始。