王琦：开发自动驾驶技术要承担怎样的产品责任？
The following article is from 科技组织与公共政策研究 Author 王琦
作者 | 王琦 北京航空航天大学法学院助理教授
民法研究中心副主任、北大法律信息网签约作者来源 | 《中德法学论坛》第16辑上卷法律出版社2019年出版，第73-98页感谢作者授权推送一、导论
（一）背景
自动驾驶机动车已经成为全球瞩目的科技发展方向。世界主要工业国家纷纷重拳出击，期望能在这一潜力巨大的新兴领域占得先机。不仅机动车行业巨头如宝马、福特、沃尔沃、戴姆勒、大众、丰田、通用、特斯拉迅速跟进，而且新兴互联网企业如谷歌、百度也利用自身在软件开发、数据处理方面的长处强势涌入。另外，许多交通运输服务企业也在加紧测试自驾系统，国外起步较早的如优步的自动驾驶服务方案，国内深圳则启动了名为“阿尔法巴”的智能驾驶公交系统的试运行。我国同样瞄准这一领域，将自动驾驶列入国家级别的工业战略，期望发挥自身优势实现“弯道超车”。
（二）无人驾驶不等于无人负责：基于侵权法上机动车三元责任体系的分析
随着自动驾驶技术的逐步走近，在大众媒体中越加频繁地见到谁为自动驾驶或者无人驾驶机动车引发的交通事故负责的疑问，甚至还有人将其称为“法律的灾难”。但只要我们切近观察侵权法，就会发现这种担忧在侵权法上并不成立。机动车是一个危险源或者说责任源的复合体，我国侵权法细致地区分了同一机动车上不同层次的三种危险源，并为每层危险都设定了一项相应的责任基础，由此形成“侵权法上机动车的三元责任体系”，如下：
上述三种责任在主体上可能是同一的，也可能相互分离，这取决于机动车的使用关系是否发生移转变化。但是，没有任何一台机动车能脱离这三类责任组成的责任之网，也就是说，即便是一辆无人驾驶的机动车，也有为之负责的“机动车一方”、交往安全义务人、生产者和销售者等。所以对自动驾驶机动车并不存在什么侵权法上的根本漏洞或者空白。自动驾驶机动车对侵权法的真正挑战毋宁在于，随着智能系统对驾驶任务的逐步介入直至完全接管，人类对机动车的支配和常规性的安全保障义务在机动车危险源中的地位不断下降，而机动车产品缺陷的地位则不断上升。自动驾驶技术将机动车产品责任的重要性凸显到一个前所未有的程度，并且作为一种新技术也确实给迄今为止的产品责任提出了一系列难题，本文将尝试对这些难题作出探究和解答。
（三）机动车的自动化程度分级和本文研究对象的明确
自动驾驶不能和无人驾驶划上等号。自动驾驶是无人驾驶的上位概念，无人驾驶指的是最高级别的自动驾驶机动车，即自动化程度已高到无需人类驾驶员即可完成全部驾驶任务的机动车。正确理解自动驾驶的第一步是明确自动驾驶的分级，目前世界上影响力最大的是美国汽车工程师学会（SAE）制定的分级体系，这几乎是事实上的国际通行标准。该体系共分6等，如下：
其中L0级指的是传统机动车，即不具有自动驾驶功能的机动车，显然仅具参照系意义。L1属于驾驶辅助层级，本质上也不构成“自动驾驶”。真正的自动驾驶，即（部分）车辆操作任务可由独立于人类驾驶员的智能系统承担，首先出现于L2级。目前消费市场上机动车的主流处于L0到L1之间，L2在部分豪华或者说高端车型上获得配备，最广为人知的当属特斯拉的自动驾驶系统“Autopilot”，除此之外很多车企也都在其高档产品上引入了相似功能，如通用的“Super Cruise”系统、沃尔沃的“Pilot Assist”系统。L3级别的机动车则刚刚实现量产进入消费市场。至于L4和L5级则离消费市场依然非常遥远。鉴于现在市面上见到的所谓自动驾驶机动车绝大多数最高也只能达到L2级，因此本文所谓的自动驾驶机动车是从L2级别开始的自动驾驶机动车。就产品责任而言，明确自动驾驶级别的意义首先在于，对不同级别的自动驾驶机动车存在不同的安全期望，因此适用不同的产品缺陷标准，对此下文将详论。
（四）产品责任的一般规则与本文结构说明
关于产品责任的一般规则，无论在司法实务还是学理上都是清晰的。按照通说，产品责任属于无过错责任，其责任成立的前提在法释义学上可以被区分为必要要件和阻却要件两部分，前者集中规定于《产品质量法》第41条第1款，后者集中规定于同条第2款。
按照《产品质量法》第41条第1款，产品责任成立的必要要件包括三部分即：（1）“产品缺陷”：产品投入流通时存在缺陷；（2）“损害结果”：人身权益、他人财产遭受损害；（3）“因果性”：产品缺陷与损害结果之间存在因果联系。按照同条第2款，阻却要件（免责事由）有三类，即（1）未将产品投入流通；（2）产品投入流通时，引起损害的缺陷尚不存在；（3）将产品投入流通时的科学技术水平不能发现缺陷存在。确定了必要要件和阻却要件，同时也就明确了证明负担分配：受害方对责任成立的必要要件承担证明负担，相对方对责任成立的阻却要件承担证明负担。一个全景展示可见位于文末的附表3。
限于篇幅，本文不可能讨论产品责任的所有问题，而且自动驾驶机动车也不是在所有问题上都有特殊性，以下将挑选自动驾驶机动车在产品责任框架下的特殊或者重难点问题加以研究。第一个问题是，自动驾驶机动车究竟是一种怎样的产品（见本文第2部分）？第二个问题是，谁应当对自动驾驶机动车承担产品责任（见本文第3部分）？第三个问题是，在什么情况下可以认定自动驾驶机动车具有产品缺陷（见本文第4部分）？第四个问题是，自动驾驶机动车进入公共道路测试在产品责任视野下有何种法律意义（见本文第5部分）？
二、自动驾驶机动车作为产品
按照《产品质量法》第2条第2款，“本法所称产品是指经过加工、制作，用于销售的产品”。显然这一形式化的定义既涵盖传统机动车也涵盖自动驾驶机动车，需注意的是自动驾驶机动车的结构特性。
（一）自动驾驶机动车作为软硬件的复合体
相较于传统机动车，自动驾驶机动车的结构特性体现在软硬件结合（所谓的“嵌入式系统”，embedded system），其运作也基于软硬件的协作。概略而言，硬件设备上预存了智能软件和基础数据；运行时，智能系统借助GPS和电子地图进行定位并了解相关区域的交通情况，在此基础上规划和调整路线；行进中，雷达、激光测距仪、摄像头持续探知周围环境并反馈给智能系统，智能系统对获得的数据进行汇总后作出整体判断和决策。
宏观来看，在信息化、电子化的当代，软硬结合并非个别现象，而毋宁说已经成为高端工业产品的标准形态（例子：计算机、智能移动电话）。具体到自动驾驶技术，软件（算法）更是在自动驾驶的感知、融合、反应、规划、决策等各个阶段都发挥着关键作用，可以说是对自动驾驶机动车安全性影响最大的因素。因此自动驾驶机动车的危险不仅源于其硬件部分的缺陷，更源于其软件部分的缺陷。这些都要求产品责任意义上的产品概念外延不限于纯硬件，而应涵盖此类软硬结合的嵌入系统，特别是其中的软件部分。
在实务上，软件属于产品责任意义上的产品已为多件司法判决所肯定。直接与车载软件相关的一则判例如下：
例：“软件作为产品”：机动车发生重大事故致驾驶者死亡，鉴定指出，汽车正面安全气囊本应打开起到防护作用但却并未打开。而后发现，该车属于召回产品，召回的原因是安全气囊控制单元的软件参数设置问题，可能导致前部安全气囊无法正确开启。法院肯定机动车因软件问题存在产品缺陷，判机动车生产者承担责任。
因此，机动车的产品缺陷不限于硬件，同样也包括运行于其上的软件。另外需注意的是，自动驾驶机动车软件除了“驾驶相关部分”，还包括“非驾驶相关部分”，如车载娱乐软件和车载互联网信息软件，这些也属于机动车的一部分。总结而言，自动驾驶机动车作为产品是软硬件的复合体，其中每一部分都在产品责任的适用范围内。
（二）特殊问题：云端软件和数据作为产品部件
随着作为工业和社会基础设施的高速移动通信网络（如5G技术）的发展，将软件安装或者将数据存储在本地硬件上的必要性将越来越低。完全可以设想，自动驾驶机动车生产者——比如出于便利更新和维护的考虑——将某些软件、数据部分或全部保存于云端服务器，由智能系统在需要时借助高速网络调用。这提出的问题是，云端的软件、数据是否构成机动车的一部分？
答案是肯定的，具有决定意义的并非软件、数据的物理存储位置，而是这些对象能否为机动车所调取并作用于机动车的功能和安全性。因此如果借助高速通信网络，智能系统能像调用本地对象那样调用云端对象，那么云端对象和本地对象一样都是机动车整体的一部分。更进一步而言，高速通信技术的发展要求我们更新对产品存在状态的认识，即一个产品的全体组件无需集中于同一物理空间，而可以分散于不同地点并经由通信网络联结在一起。
三、产品责任主体
（一）立法规定的直接责任主体：生产者、销售者
立法规定的直接责任主体是生产者和销售者，而且即便销售者能够指明生产者或者生产者身份信息是公开的，销售者也需先行对受害者承担责任（《产品质量法》第43条第1句）。实务上普遍允许受害方将生产者和销售者作为共同被告起诉，这对受害方的求偿和案件事实的查明通常都是有利的。
（二）司法认可的主体：准生产者、进口者
司法对产品责任的主体范围作出了两方面的扩展。一方面涉及“准生产者”，即虽然并未实际生产产品，但是通过名称、商标或者其他具有区分度的标识表明自己为生产者的主体。这一现象通常基于现代工业界中流行的“贴牌生产模式”（OEM）而出现，即商标权利人（贴牌者）将自己的商标或其他标识用于他人（实际生产者）生产的产品，因此在外看来，贴牌者是产品的生产者（即所谓的“准生产者”）。《最高人民法院关于产品侵权案件的受害人能否以产品的商标所有人为被告提起民事诉讼的批复》（法释[2002]22号）确认准生产者需承担产品责任。
“贴牌生产”模式在机动车行业同样存在。如果甲公司允许乙公司在后者生产的自动驾驶机动车上使用前者的名称，一旦机动车出现缺陷引发产品责任，那么甲（作为准生产者）应和乙（作为实际生产者）共同承担。
另一方面的扩展涉及进口商。在贸易全球化的时代，进口商从国外进口机动车并在国内销售，这十分常见。为了强化对本国国民的保护，应当将进口商纳入产品责任的主体范围，由此国民无需在陌生之国提起诉讼，而可以在本国直接向进口商主张权利。司法上对食品质量案件已经基本建立了进口商担责的规则，这一规则应类推适用于机动车产品责任案件。
（三）零部件生产者与成品生产者之间的关系
1. 一般规则：共同担责
在现代工业的分工体系下，机动车产业形成了鲜明的“上下游产业链”。整车生产者无可避免地需要使用上游企业生产的产品，此时不仅机动车整车是产品，而且零部件（硬件和软件）也是产品，同样处于产品责任的适用范围之内。如果零部件出现缺陷导致损害发生，并且零部件的生产者同整车的生产者不同，那么零部件生产者也需承担责任。
关于整车生产者和零部件生产者之间的责任分担，由于法律对此并无连带责任的特殊规定，故而应当适用多数侵权责任人的一般规则，即“能够确定责任大小的，各自承担相应的责任；难以确定责任大小的，平均承担赔偿责任”（《侵权责任法》第12条）。参照最高院《关于审理人身损害赔偿案件适用法律若干问题的解释》第3条第2款，责任大小应以过失程度、原因力比例为标准确定。
另外，由于零部件已被整合入成品之中，成品生产者应当对零部件的缺陷担责（“成品生产者的整体责任”）。当零部件生产者无法查明或者没有支付能力时，成品生产者应当对受害方承担全部责任。之后成品生产者有权向零部件生产者追偿，实证法基础为《产品质量法》第43条第2、3句的类推适用。
2. 下位情形：自动驾驶软件提供者作为零部件生产者
自动驾驶目前面临的最大难关不在于硬件生产，而在于自动驾驶的软件系统开发以及数据收集。可以说，机动车工业历经百余年的发展到今天，能够制造机动车硬件的大小企业有很多，但能够进行自动驾驶软件系统开发的企业则寥寥无几（通常是新兴互联网企业）。一旦自动驾驶系统软件开发成熟，基于软件的可复制性和对硬件的兼容性，很可能会出现一家软件开发者授权多家机动车制造企业使用的情形。这一现象对现代消费者毫不陌生，微软的Windows操作系统和谷歌的Android操作系统都采用了此种授权许可模式。微软和谷歌的成功案例已经预示了这种模式的有利前景：一方面软件开发者能有效提升自家软件的市场份额，另一方面传统车企尤其是欠缺研发能力的中小型企业能够逾越无法独立克服的技术鸿沟，迅速推出产品参与市场竞争，而且双方都能够专注于自己擅长的领域，避免跨界风险。
回到产品责任的框架下，此种经营模式将凸显软件开发者的责任问题。借助上文所厘定的成品生产者与零部件生产者间的关系，这一问题得以迎刃而解，即机动车车企是成品生产者，软件开发者则是零部件（自动驾驶软件系统）的生产者，他们之间同样适用上文论述的共同担责规则。在某些情况下，甚至可以考虑将硬件生产者和软件开发者认定为自动驾驶机动车的“共同生产者”（Mithersteller），比如当双方合作开发并因此对产品质量有大体相同的影响力时。
四、自动驾驶机的产品缺陷
（一）基础观念：缺陷作为不合理的危险
缺陷概念在《产品质量法》第46条中有一个法定定义，即“本法所称缺陷，是指产品存在危及人身、他人财产安全的不合理的危险；产品有保障人体健康和人身、财产安全的国家标准、行业标准的，是指不符合该标准”。理解这一条必须区分该条的两个分句。
在自动驾驶机动车领域，该条第2分句的价值很有限，因为我国现行国家标准《机动车运行安全技术条件》（GB 7258-2017）是为传统机动车设计的，专门针对自动驾驶机动车的标准尚未出台。其次，即便出台专门国家标准，这些公法-行政法性或者技术性规范也不具有决定意义，而仅具有指南意义。毋宁说，机动车符合上述标准不过意味着一种“无缺陷推定”，受害人可举证推翻该推定，法院也可作出相反的认定，这符合学理和判决上的通说观点。
该条第1分句则揭示了，法律并不要求排除全部危险，这种要求不过是一种乌托邦式的幻想。法律要求生产者消除的仅仅是“不合理的危险”，司法判决通常将其从正面角度描述为“一般使用者（消费者）或者善良人可以合理期待的安全性”。至于哪些情况属于不合理的危险，这需要回到产品缺陷三大类型的框架下来分析，即“制造缺陷”、“设计缺陷”和“警示说明缺陷”。
（二）制造缺陷
制造缺陷意味着产品虽然设计上没有缺陷，但在制作过程中出现了问题，使得产品偏离了设计方案或者说未达到设计者规定的安全程度。制造缺陷可能发生于单个产品，也可能发生于同一或者若干批次制作的产品。实务中因制造缺陷而生的产品责任案件为数不少。
自动驾驶机动车的制造过程——和任何一个产品的制造过程一样——都不可能完美无瑕，因此同样可能出现制造缺陷。由于硬件和软件的制造过程不同，前者发生制造缺陷的几率要远大于后者，所以制造缺陷最可能发生于自动驾驶智能系统使用的硬件，主要是各类型的雷达（激光雷达、超声波雷达、毫米波雷达）、传感器、摄像头等。软件部分制造缺陷可设想的例子如软件首次安装或者事后升级时出现错误，例如安装不完整或者安装了错误的版本，又或者在安装过程中感染了电脑病毒、恶意软件等。
（三）设计缺陷
1. 概说
设计缺陷意味着产品早在构思设计时就出现了问题，以至于按照此设计生产的产品具有不合理的危险。和制造缺陷一般限于单个或者单批次产品不同，设计缺陷往往波及所有按照此设计生产的产品。如果同一产品设计为不同的生产者所使用，那么缺陷的影响面就更大。这种情况尤其出现于软件设计缺陷，例如甲公司将自己开发的自动驾驶软件系统授权给多家机动车厂商使用，如果该软件发生设计缺陷，那么全部厂商的产品就都会因此具有不合理的危险。
2. 设计缺陷的两步判断
设计缺陷的判定素来是一个难点。自动驾驶机动车的设计缺陷尤其有特殊性，这首先是因为自动驾驶功能的分级化导致了安全期望（缺陷标准）的分级化。因此对自动驾驶机动车设计缺陷的判断应分为两步进行，第一步是确定应适用的安全标准，这一步的关键是查明机动车的自动化级别（“级别判定”）；第二步是判断机动车的表现是否不符合适用于该级别的安全标准（“表现判定”），这一步的关键是找到正确的参照对象。
（1）第一步——“级别判定”：因自动化级别而异的安全标准
对不同自动化程度的机动车有不同的安全期望。自动化程度越高，越不依赖人类驾驶员，安全性期待也就越高，相应地，产品责任上的缺陷标准也就越严格。因此对一台自动驾驶机动车，必须首先根据其所属的自动化级别明确应适用的缺陷标准。
例：“特斯拉美国致死案”：2016年9月，Joshua Brown 在其驾驶的特斯拉Model S轿车上开启了Autopilot系统，开启后机动车一般处于L1（驾驶辅助），最高能到L2级别（部分自动驾驶）。系统要求启动后人类驾驶员必须随时准备接管操作，并且需要始终将手放在方向盘上。由于一定技术原因，系统没能识别出前方一辆处于横穿公路位置的拖挂货车，而驾驶员本来完全能注意到前方的车，但却由于分心未及时发现。最终两车相撞，导致Joshua Brown死亡。此案中的特斯拉机动车自动化程度较低，对L2级别的自动驾驶机动车而言，需要人类驾驶员始终监控驾驶环境和及时作出反应并不意味着不合理的风险，所以该车并不因此具有缺陷。
推而言之，一台宣称已经达到L4甚至L5级别的机动车，如果在这种情景下未能做出恰当反应，则应当认定其具有设计缺陷，因为L4和L5级别机动车必须具备自主监控驾驶环境的能力。反过来，如果L2级别的机动车在启动自动驾驶功能后，不能以有力方式提醒驾驶员保持对驾驶环境的注意，或者不能应驾驶员的要求即时交回控制权，那么对其则存在认定设计缺陷的可能。
（2）第二步——“表现判定”：同合适的参照对象加以比较
第二步判断的原理是“比较法”，首先需找到与涉案机动车具有可比性的对象作为参照系。如果事故发生的原因仅仅涉及自动驾驶机动车的个别功能组件，如紧急制动系统或者避让系统，那么参照系是一种合理设计的相应功能系统。如果这个参照物在相同情景下能正常运作并避免事故发生或者减少事故损失，而涉案机动车的相应组件不能，那么一般可以认定设计缺陷。
如果事故原因涉及自动驾驶的整体环境观察和决策反应（通常出现于L3及以上级别的机动车），那么参照对象是一个具有平均技术水平、驾驶经验和专注程度的人类驾驶员（“平均人类标准”）。如果同一场景下人类驾驶员的表现能更好地满足安全性期望，比如说能完全避免事故发生或者至少降低损失，那么一般应认定机动车存在设计缺陷。换句话说，高级别的自动驾驶机动车在安全性上必须至少不逊色于平均水平的人类驾驶员，才能表明自身没有设计缺陷。
需指出的是，“平均人类标准”在适用上又有修正的必要。因为人毕竟是一种生物，其能力受到生物性的种种限制，比如视觉有赖足够的光线，身体会疲倦或者突发疾病，作出反应需要一定时间等。这类生物性的限制对机械系统自然是不存在的。因此，在对自动驾驶机动车运用平均人类标准时，应当将这些生物性的限制因素刨除出去。也就是说，即便某种生物性限制可以降低对人类驾驶员的安全期望，但通常却不足以降低对自动驾驶机动车的安全期望。
另外需要强调的是，“平均人类标准”不过是高级别自动驾驶机动车缺陷标准的下限。如果机动车生产者向用户承诺了更高的安全性（比如通过产品宣传），那么则应适用更严格的缺陷标准，这是因为生产者对产品的展示足以影响用户对产品的安全期望。将产品缺陷标准和生产者的市场宣传行为相挂钩，也将发挥对生产者的行为引导作用，由此生产者在开展商业宣传时必须更慎重地权衡利弊：如果他将产品的安全性说得越高，那么产品的缺陷标准也就越严格，他的责任风险也就越大。
3. 自动驾驶机动车版本的“电车难题”
“电车难题”（Trolley Problem）起初是伦理学领域的一个专业问题，尔后经由大众媒体的传播获得了较高的社会知名度，自动驾驶技术又为这一问题带来了新的争议点。在长期的讨论和传播中，“电车难题”产生了很多变种，但基本情境是相同的：一列电车前方的轨道上有多名被捆绑无法脱身的人，如果要救这些人，唯一的选择是搬动道岔使得电车转入另一条轨道，那条轨道上只有一名被捆绑的人。此时应当如何抉择？可以为了拯救多数人的生命而牺牲少数人的生命吗？
自动驾驶机动车版本的电车难题首先对机动车生产者提出了挑战，也就是说，生产者针对电车难题这类情景应该为自动驾驶智能系统设计怎样的决策程序？是应该让机动车保持原有的行进路线，哪怕多人会因此丧生？还是应该改变路线，尽管这样会牺牲个别人？究竟哪种设计经得起法律的检验，从而表明机动车没有产品责任意义上的缺陷？道德哲学家可以就电车难题无休止地思考和争辩下去，但法律人却不享有这份自由闲裕，法律人必须为之提供一个兼具正当性和可操作性的方案。本文以下将勾勒出一种可主张的解决方案的轮廓。
首先应将视角拓宽，将电车难题的前阶段即形成阶段纳入观察和评判。对此，上小节提出的“平均人类标准”指明了基本的思考方向。需要问的是，一个平均水平的人类驾驶员究竟会否陷入这样一种困境。如果两相对比，人类驾驶员能从一开始就避免陷入电车难题的困境，而自动驾驶机动车却基于先前的一系列决策陷入困境，这就构成了机动车存在设计缺陷的有力证据。
如果查明，即便人类驾驶员也无法避免陷入电车难题困境，那么先前所描绘的抉择难题也就摆在我们面前，此时简单设想一名人类驾驶员作为参照对象并不能带来多大帮助，因为对人类而言在此困境中同样没有显而易见的答案，因此我们必须诉诸基础性的价值作出权衡和论证。本文所支持的立场是，生产者应当为机动车配备选择较小人员伤亡的决策机制，对此有两种论据。
第一种论据是侵权法中的“损失最小化”原则和避免损失扩大义务。在侵权法的视野下，最理想的状态自然是完全避免损失发生，但如若损失的发生是既成事实或者无可避免，侵权法并不消极无为，而是向相关方积极提出避免损失扩大的要求。据此，针对电车难题这类损失发生无可避免的情景，生产者负有的法律义务是，使机动车采取一切可能措施将损失后果降低，这意味着只要存在减小损失的选项，生产者就应当使机动车执行这一选项。这一结果在笔者看来具有自明的正当性，凭什么说那种置减小损失的选项不顾放任损失扩大的设计更符合侵权法的价值目标和社会的安全期望呢？！
另外一种颇具新意的论证由德国法学家Gerhard Wagner提出，他在讨论中引入了罗尔斯构想的“无知之幕”（veil of ignorance）作为论据。对存在重大意见分歧和尖锐利益冲突的公共问题，无知之幕可以起到辅助分析和决断的作用。具体而言，将公共交通全体参与人的代表置于“无知之幕”后，然后组织他们商议，就电车难题应该为自动驾驶机动车设计怎样的决策程序？由于“无知之幕”的作用，每个人既不知道自己的一切个人信息，也不知道自己在“电车难题”情景中扮演何种角色。让我们推测“无知之幕”后的代表会如何思考自己在电车难题中的处境并作出怎样的选择。
首先，代表们无法确定自己是威胁方即自动驾驶机动车一方，还是被威胁方如自行车骑手、普通行人；其次，他们也无从知晓，如果自己处于被威胁地位，自己究竟是多数人一方，还是少数人一方。在这种情况下，代表们商议的结果显而易见：他们会选择较小人员伤亡的方案。原因不难理解，如果代表设想自己处于威胁一方，那么无论是出于情感怜悯还是出于对损害后果的功利计算，“两害相权取其轻”，他们都会选择使更少的人受到伤害；如果代表设想自己处于被威胁一方，而又无法确定自己究竟属于多数方还是少数方时，合理的选择依然是保存多数方，因为这样获救的人更多，那么他本人或者他所在乎的人幸存的几率也就越大。
其次，人员损失大小的计算本来是一个相当复杂的问题，对此我们只需回忆法律上关于“同命是否同价”的争论，那么自动驾驶系统该使用何种标准来比较人员损失的大小呢？“无知之幕”下的代表们同样能对此商议得出答案。基于无知之幕的作用，代表们在确定人员损失大小时会采取一种生命平等的立场，因为无知之幕将代表们的年龄、性别、国籍、受教育程度、收入、职业等一切差异性因素全部遮蔽，因此即便代表想对某一群体作出特殊对待，他们也无法确定，自己将从这一特殊待遇中受益或是遭受不利。按照这一立场，在比较损失大小时，需要并且可能考虑的仅仅是原子式的生命数量，这不仅契合民事主体地位平等原则（《民法总则》第4条），而且也将算法设计需注意的变量减少到易于处理的程度。
综上，如果自动驾驶机动车无可避免地陷入电车难题式的抉择困境，那么一种无缺陷的设计应当以损失最小化为决策目标，而损失大小的基本标准是生命数量的多少。
4. 软件设计缺陷的两类情形
（1） 严重编程错误
自动驾驶系统的软件程序——和其他软件程序一样——无法绝对避免编程错误。有数据统计，即便是中等复杂程度的软件开发，在5万至10万行的程序语句范围内就有约150至300个编程错误，像自动驾驶系统这样高度复杂的软件必定错误数量更多。因此必须首先明确，并非任何一种编程错误都意味着软件系统具有设计缺陷，因为鉴于软件开发的特性，人们可以合理期待于生产者的不是完美的即零错误的软件，而是相对安全的即能够避免严重编程错误的软件。所谓的严重编程错误，是足以导致自动驾驶系统死机或者崩溃，并由此引发交通事故的错误。
为了避免严重编程错误，生产者需要权衡，即要么将软件完善到有极大把握消除严重编程错误的程度再推出，要么针对严重编程错误引发的系统崩溃预设应急反应程序，一种可设想的应急程序基于“最小风险原则”，即系统只要探知到哪怕是最小风险就应立即启动保护模式，比如将车停泊至一个安全区域。
（2） 黑客入侵
机动车的智能网联化同样使得黑客入侵成为可能。对自动驾驶机动车这一直接关系人身安全的对象，用户可以合理地期待，智能系统依照其设计即具有抵抗未授权人操纵的能力。如果软件系统具有漏洞，而黑客利用漏洞控制了自动驾驶机动车，这就意味着一种软件设计缺陷。在迄今为止的司法实务中，与上述情形最接近的案件类型涉及第三人入侵数据信息系统。尽管法院在此类案件中通常态度比较谨慎，但是已经存在令数据信息系统的管理者对第三人入侵承担责任的判决，例如未知的第三人利用伪造的储蓄卡从银行系统盗刷钱款，导致真正的储蓄人遭受损失，法院认定银行应承担相应责任；又如POS机交易系统遭黑客修改数据，款项因此未进入真正收款人的账户，法院判决交易系统管理者向真正收款人承担责任。此类裁判结果对产品责任具有可参考性。
（四）警示说明缺陷
生产者必须对产品的使用方式作出易于理解的说明，同时还必须对产品的风险给出充分的警示。一种产品即便没有制造缺陷和设计缺陷，也会因为缺乏恰当的警示说明而具有不合理的危险。司法判决对警示说明缺陷的内涵作出了很大的丰富和扩展。一般规则可直接适用于自动驾驶机动车，例如需说明的不仅是产品正确的使用方式，还包括常见的错误使用方式及其可能的后果和补救措施；如果产品的特定部分需要专门维护又或者禁止改装，那么这也必须向用户说明；另外，说明警示的措辞行文必须令一个普通消费者即不具有机动车专业知识之人也能理解。下文再挑选自动驾驶机动车具有特殊性的两点加以说明。
1. 要点Ⅰ：未准确说明机动车的自动化级别作为警示说明缺陷
不同级别的自动驾驶机动车有不同的操作方式，对人类驾驶员的要求也有很大差别，所以生产者必须准确说明机动车所属的自动化级别。生产者不得为了宣传故意夸大机动车的自动化级别，这极易导致用户不当使用。例如特斯拉迄今为止在美国的两起致死事故，事后调查都发现，事故发生时驾驶者并未按照系统要求将手放在方向盘上。最可能的原因是，用户过于信赖系统的自动化功能因此未在驾驶上尽必要的注意，其根源则是生产者“过度宣传”导致使用者放松警惕。司法实务中具有可比性的案例涉及电动自行车（非机动车）超标至机动车而生产者未作出相应警示说明的情形。
例：“电动自行车超标”：生产者在产品说明中将最高时速和重量都已到机动车标准的电动自行车描述为“非机动车”。由于非机动车和机动车的潜在危险性和驾驶方式有重大区别，法院认定产品在警示说明上有缺陷，诱导使用者错误操作，生产者因此需对事故损害承担产品责任。既然生产者将“机动车”标为“非机动车”构成警示说明缺陷，那么与之相类似，将自动化级别较低的机动车标为级别较高的机动车同样构成警示说明缺陷，其共同特征在于，产品的警示说明未能准确描述（甚至遮蔽了）产品的正确操作方式和真实危险程度。
进一步而言，对不同级别的机动车，生产者不能仅是泛泛地说明其一般性风险，而必须有的放矢地指出该级别机动车的特殊风险。比如对L2、L3级别的机动车，生产者应当通过警示说明使用户完全清楚自动驾驶功能的有限性，即用户要么需自始至终监控驾驶环境，要么需准备随时应系统要求介入。对L4级别的机动车而言，这类机动车虽然已具有高度自动化功能，但限于特定道路环境（如高速公路）；针对于此，生产者必须向用户强调自动驾驶功能的场地受限性，并应当在系统中加入相应的提醒程序，每次在机动车即将离开这类道路前，系统应当及时提醒用户接手操作。
2. 要点Ⅱ：对不合理危险的警示说明不足以免责
需强调的是，警示说明并不能排除对产品的安全制造与合理设计义务。也就是说，只有在合理危险范围内，尽到警示说明义务才有免责效果。在不合理危险的范围内（即存在制造缺陷或设计缺陷时），即便生产者作出警示说明，也没有免责效果。这也意味着，生产者不能将机动车依其自动化级别应承担的驾驶任务通过警示说明又转嫁给用户，或者通过作出警示说明来推卸机动车理应提供的安全保障。
五、自动驾驶机动车上道测试的两个特殊问题
（一）简述
自动驾驶技术的研发一般要求在进行一定里程的封闭道路测试后，再进行开放空间即真实道路上的测试，以便于生产者积累数据，改善算法。自2017年年末起，以北京为先，我国多地（上海、重庆、深圳、福建等）出台了关于自动驾驶机动车上道测试的规范性文件。北京又率先于2018日3月22日向百度颁发了自动驾驶测试用临时号牌，并在北京经济技术开发区、顺义区和海淀区确定了33条约105公里的首批开放测试道路，之后上海、福建也颁发了测试牌照。2018年4月11日，工信部、公安部、交通运输部三部委公布了《智能网联汽车道路测试管理规范（试行）》（以下简称三部委《路测规范》），从此我国的自动驾驶机动车路测从地方上升到中央层面，有望在全国范围内铺开。鉴于自动驾驶技术开发的高难度，可以预见，在未来相当长的一段时间内，自动驾驶技术都将处于或者说停留于上道测试阶段。在这段时间内，自动驾驶机动车首先是作为测试车而非上市销售商品获得现实影响力和进入法律的规制视野，因此机动车上道测试值得一番专门探究。
自动驾驶机动车进入公共交通空间测试将对产品责任提出两个重要问题。第一个问题是，上道测试的自动驾驶机动车虽然尚未开始销售，但是否同样属于投入流通的产品（并因而有产品责任的适用）？当第一个问题获得肯定时（本文即采此立场），第二个问题随之而来，即如果测试车在软硬件部分来源不同，究竟谁才是该车的生产者（并因而成为产品责任的首要责任主体）？
（二）投入流通问题：上道测试机动车作为投入流通的产品
1. 基于“投入流通”一般判准——“厂门理论”的论证
产品责任最关键的时间点是“投入流通”，这首先体现在，产品责任成立的三类阻却要件（免责事由）全部系于“投入流通”这一时间点之上，尤其是逆推《产品质量法》第41条第2款第1项可以得知，只有投入流通的产品才能引发产品责任。问题是，什么情况下构成“投入流通”？
如果认为自动驾驶机动车直到正式获批上市销售才算投入流通，那么显然对上道测试车不存在产品责任。但这种认识并不正确，因为按照产品责任的一般原理，决定是否投入流通的关键事由本来就不是获得监管机关批准上市，而是产品基于生产者的意愿离开生产者的支配领域，或者更形象地说,投入流通意味着生产者自愿让产品通过其“厂门”（所谓的“厂门理论”，Werktortheorie）。由此可见“投入流通”要件有二，其一是“离开生产者的支配领域”，其二是“自愿性”。由此观之，上道测试的自动驾驶机动车已经符合这一标准，因为一方面公共道路显然在生产者的“厂门”之外，即不属于生产者的支配领域；另一方面，这种情况下机动车离开生产者的支配领域——和被盗、被抢时不同——是基于生产者意愿发生的。
另外，虽然通常产品投入流通的标志性现象是，生产者将产品交付给处于商品交换链条另一环的一方（可以是最终的消费者，也可以是销售者）。而自动驾驶机动车在上道测试时却并未出现这一现象，在测试时，机动车上要么没人，要么仅有测试主体雇佣的安全员或者测试驾驶员，这些人员一般是作为测试主体的雇员而非作为普通消费者出现。但这并不妨碍将上道测试机动车评价为投入流通，这是由自动驾驶技术的独特性决定，因为自动驾驶的作用就体现在降低甚至消除驾驶任务对人类的依赖，所以无论什么人在车上本质上不影响机动车的安全性或者说危险性。如果我们将生产者自愿使产品风险越过自己支配领域的边界扩张至其他领域作为投入流通的前提，那么上道测试的机动车无疑已经满足这一前提。
2. 进一步的论证
关于上道测试机动车构成投入流通的产品，下文还将提出两种论证。
（1）基于横向比较的论证：“相似对象，相似对待”
第一种论证是基于“横向比较”的“相似对象，相似对待”：一台自动驾驶测试机动车只要进入开放道路，对整个交通系统和其他交通参与人而言，其影响力、致害可能性与一台普通机动车已经没有根本差别。基于这一相似性，测试机动车应该和普通机动车一样被置于产品责任的辐射下。
（2）基于纵向比较的论证：“举轻以明重”
第二种论证是基于“纵向比较”的“举轻以明重”：假如在未来自动驾驶机动车获得批准上市销售，显然那时的自动驾驶机动车的危险性要低于现在的测试用车，因为自动驾驶技术会随着发展更臻成熟。既然危险程度更低的成熟品的生产者都需承担产品责任（“轻”），那么危险程度更高的试验品的生产者就更应承担产品责任（“重”）。
3. 法政策上的权衡折中
测试车被（例外性）允许在不成熟状态就进入公共空间，是因为考虑到这虽然会带来特殊的危险，但自动驾驶作为一种具有公共效用并最终能使得社会全体成员获益的科学技术，应得到政策上的鼓励和支持，这要求社会成员在安全方面作出一定的让步。但正因为已作出了让步，就更应当对让步作出“补偿”，而补偿的一种主要方式即是在允许测试车上道的同时张开产品责任的保护网。一旦自动驾驶机动车造成交通事故，受害人可以按照产品责任来求偿，由于产品责任是无过错责任，对受害方来说举证负担最轻因而最有利。
最后，施以产品责任也不会给测试主体带来过重的或者超出预期的负担，因为一方面单个主体只允许测试数量较少的机动车，另一方面测试主体一般必须为测试机动车购买专门保险，如三部委《路测规范》要求测试者提供每车不低于五百万元人民币的交通事故责任保险凭证或不少于同一数额的保函，北京和上海的地方规范也都作出了相同要求。
（三）责任主体问题：测试主体作为生产者
由于自动驾驶技术与算法、数据、网络紧密相关，这一领域的活跃者不仅有传统机动车厂商，还有新兴互联网企业，尤其是在搜索引擎技术方面有着深厚积累的企业，国际上的代表是谷歌，国内的代表则首推百度，北京的首批测试牌照甚至就颁给了百度。由于这些互联网企业本身并不生产机动车，所以为了进行测试要么需和机动车企业合作，要么直接改造现有机动车。随着测试的铺开，可以预见测试机动车的来源会更加复杂和多元化。
举例而言，百度改造大众牌的一辆机动车并用于测试，此时谁是测试机动车的生产者，是百度还是大众？这一问题其实等同于另一问题，即在原来不具备自动驾驶功能的机动车上安装自动驾驶系统是否带来质变使得该车成为另外一个产品？
答案是肯定的。因为按照产品责任的一般规则，对预先完成的产品（作为零部件）按照特定构思加以组装（Assembling）也是一种生产，其成果是一种独立的产品（成品）。上面的例子正是这样一种情况，这种组装行为足以使得组装者（上例中即百度）成为测试机动车的生产者。因此，只要测试主体对机动车进行了针对于自动驾驶上道测试目的的专门组装，那么无论原车来源为何，测试主体都基于组装行为成为测试车的生产者。
六、结语
最后将产品责任的成立以图表形式总结如下，本文论述的有关要点也嵌入表中并在脚注里标明在文中的论述位置。表中所有法条指的都是《产品质量法》的条文。
责任编辑 | 刘卓知
审核人员 | 张文硕
本文声明 | 本文章仅限学习交流使用，如遇侵权，我们会及时删除。本文章不代表北大法律信息网（北大法宝）和北京北大英华科技有限公司的法律意见或对相关法规/案件/事件等的解读。
▼往期精彩回顾▼王琦：民法新发现——法律行为的效果范畴北航王琦：江歌案二审，刘鑫的上诉理由有依据吗？
北航王琦：罪恶要根除，创伤要抚平——如何增强对被拐卖妇女儿童的民法救济力度？
王琦：最高法新规织密中小企业法治保护之网
王琦：社交平台有义务治理网络暴力 | 对寻亲男孩事件的思考王健：法律硕士入学考试制度到了不得不改变的时候了
车浩：法学教育与开卷考试
车浩：学习法律就像学习一门新的语言，要打好基础多训练
关注下方公众号，获取更多法律信息
点击「在看」，就是鼓励