王莹 | 法律如何可能？——自动驾驶技术风险场景之法律透视

点击蓝字关注本公众号，欢迎分享本文

法律如何可能？         ——自动驾驶技术风险场景之法律透视

作者：王莹，中国人民大学法学院副教授、硕士生导师，中国人民大学刑事法律科学研究中心副教授，中国人民大学未来法治研究院副院长。

来源：《法制与社会发展》2019年第6期。由于篇幅所限，刊物在此推送未加注释版本，请广大读者前往本刊物网站下载全文阅读。（本文责任编辑：石晶）

摘 要：

自动驾驶技术的融合带来了参与主体与行为主体多元化、因果链条的延长与责任界限的模糊等问题，形成了“没有马车夫的马车”与责任真空、人机共驾与掌控悖论、两难困境与编程迷局三大典型的自动驾驶技术风险场景。以法律与科技融合的视角对自动驾驶技术风险场景进行法律透视，聚焦其中法律与科技的冲突关系，可以得出以下应对新兴交通风险场景的法律方案与基础性思考：随着自动驾驶技术的进一步融合及该技术级别的提高，自动驾驶系统将扮演交通法律关系的重要角色，责任框架的重心应向该驾驶系统的掌控者转移。与自动驾驶系统技术自主性伴生的是极端偶发不可预见的风险，对此应引入可允许的风险理论，以衡平自动驾驶技术风险与科技创新、社会整体福祉提升与个体利益保护之间的紧张关系。

关键词：自动驾驶；技术风险融合；掌控悖论；两难困境；可允许的风险

随着人工智能科技革命中自动驾驶技术的演进，人类社会的交通图景已经发生深刻的变革。“自主驾驶”、“自动驾驶”、“无人驾驶”等概念日渐成为公众关注的焦点，也成为世界各国立法机构议事日程的热门关键词。自动驾驶系统作为人机交互的界面与终端，必然带来管辖权限与责任界分的困惑。这引发了国内外学者关于自动驾驶系统、驾驶员、车辆保有人、制造商（包括车辆制造商、系统开发者和编程人员）责任配置的激烈争论。上述研究大多采取传统法教义学的进路，即根据现行侵权法、产品责任法及刑法的规定对其进行自动驾驶环境下的可适用性检验。本文尝试以科技与法律融合的视角，在勾勒出自动驾驶技术路线图的基础上，阐述自动驾驶技术的风险场景与法律困境，探讨对这一新兴交通风险的法律规制方案。

一、自动驾驶技术：技术融合与风险融合

自动驾驶在二十世纪中叶只是未来主义者和科幻小说狂热分子所幻想的画面。1958年，美国迪斯尼公司的《美国神奇高速公路》电视片展现了在仅输入目的地的情况下，自动驾驶汽车即可在高速公路彩色标线指引下行驶的未来科技画面。直至二十世纪八十年代，电脑技术的迅速发展使自动驾驶逐渐成为可触摸的现实。自动驾驶技术主要经历了基础研究、挑战项目、商业开发三个发展阶段。基础研究阶段的标志性突破是卡内基梅隆大学的NavLab实验室在1986年推出了第一辆现代意义上的自动驾驶汽车。在挑战项目阶段，以2004年至2007年美国国防高级研究计划局（DARPA）举办的三届DARPA大挑战赛（Grand Challenges）为契机，自动驾驶感知系统与算法技术获得长足进展。这些技术使得自动驾驶汽车探测路面其它交通参与人、障碍物以及遵守交通规则成为可能。商业开发阶段始于2009年第三届DARPA“城市挑战赛”冠军Thrun与谷歌合作建立的自动驾驶汽车项目。该项目使自动驾驶技术从大学实验室被带到商业领域中。2012年5月，谷歌获得美国内华达州汽车管理局颁发的世界首个自动驾驶执照。近年来，我国的自动驾驶商业应用也逐渐拉开序幕。2016年12月19日，香港铁路有限公司南港岛线首次将自动驾驶技术引入地铁运营项目。2017年12月2日，深圳市首批智能公交车试运营。百度与金凯龙客车合作研发的全球首款L4级量产自动驾驶小巴“阿波龙”于2018年7月正式下线，据称，该车将在2019年底实现小批量生产并随后在2020年底进行量产。

目前处于商业开发阶段的自动驾驶汽车是指智能网联汽车（intelligent and connected vehicle，ICV），即搭载先进的车载传感器、控制器、执行器等装置，融合现代通信与网络技术，实现车与X（车、路、人、云等）进行智能信息交换、共享，具备复杂环境感知、智能决策、协同控制等功能，能够安全、高效、舒适、节能行驶，并最终实现替代人为操作的新一代汽车。智能网联汽车在国外监管机构对分级式自动驾驶的概念界定模式中属于高度自动化或全自动化驾驶汽车。例如，国际自动机工程师学会（SAE）的SAE International J3016标准包括L3—L5级别，德国联邦道路工程研究所的分级标准包括部分自动化（teilautomatisiert）、高度自动化(hochautomatisiert）以及全自动化（vollautomatisiert）级别。自动驾驶汽车的特征是利用自动驾驶系统对路况环境的感知监控，自动实现纵向、横向操纵，可以在必要时切换为驾驶员控制模式或完全不依赖驾驶员控制模式。 

为了实现上述功能，自动驾驶汽车需要综合运用感知技术、信息与通讯技术以及算法决策技术等，自动驾驶在这种意义上是一系列融合的技术框架。2017年中国汽车工程学年会发布的《节能与新能源汽车技术路线图》明确指出，智能网联汽车技术路线的重点在于，开展以环境感知技术、高精度定位与地图、车载终端机人机接口（HMI）产品、集成控制及执行系统为代表的关键零部件技术研究，以多源信息融合技术、车辆协同控制技术、通信与信息交互平台技术、电子电气架构、信息安全技术、人机交互与共驾驶技术、道路基础设施、标准法规等为代表的共性关键技术研究。

自动驾驶融合的技术主要包括如下类型：第一，环境感知技术，包括利用机器视觉的图像识别技术，利用雷达(激光、毫米波、超声波)的周边障碍物检测技术，多源信息融合技术，传感器冗余设计技术等。第二，智能决策技术，包括危险事态建模技术，危险预警与控制优先级划分，群体决策和协同技术，局部轨迹规划，驾驶员多样性影响分析等；传感信息采集包括冲突避让、路径导航与规划的算法决策。第三，控制执行技术，包括面向驱动/制动的纵向运动控制，面向转向的横向运动控制，基于驱动/制动/转向/悬架的底盘一体化控制，融合车联网(V2X)通信及车载传感器的多车队列协同和车路协同控制等。第四，V2X通信技术，包括车辆专用通信系统，实现车辆信息共享与协同控制的通信保障机制，移动自组织网络技术，多模式通信融合技术等。信息通讯技术能够使得车辆与车辆、车辆与基础设施进行信息交流，补充传感器的信息缺漏并对地理信息进行更新。

德国维尔兹堡大学机器人法研究所所长埃里克·希尔根多夫教授对自动驾驶技术的特征进行了如下概括：“自动化驾驶技术的发展不能脱离其他技术领域特别是机器人、自动化和传感器技术领域的发展，整体而言不能脱离信息与通信技术的发展而独立存在。因此，这些领域的法律分析与评价在得以必要的修正后，都可以用来解决自动化驾驶的问题。主题融合意味着技术融合：涉及自动系统及其法律问题的讨论通常也包含了自动化交通工具的法律问题……这场即将到来的道路交通领域技术变革的核心特征可以概括为如下四个概念：自动化（Automatisierung）（对人为掌控的进一步脱离）、网络化(Vernetzung）（整体网络中畅通的信息交流）、关怀性（Fuersorglichkeit）（技术系统了解用户的优先选择并且对此主动积极反应）以及普适性（Ubiquitat）（相应的技术几乎到处可供使用）。由此，道路交通也被纳入‘物联网’(Internet der Dinge）的一部分。”

自动驾驶技术融合也带来了参与主体与行为主体（汽车整车生产商、自动驾驶系统不同模块与功能的制造商与提供商、驾驶员、智能网联服务提供者等）的多元化、因果链条的延长与责任界限的模糊等问题。自动驾驶技术的应用将导致交通事故的风险场景变迁。自动驾驶汽车作为“轮子上的电脑”，具有高速运转的特性，因此，其兼具传统工业时代的机械性物理性风险与信息时代的风险融合的特征。自动驾驶技术的风险融合带来了不同的交通风险场景，现阶段主要的技术风险在这些场景中被更直观地呈现。下文将结合不同的风险场景对自动驾驶法律规制展开探讨。

二、自动驾驶技术的风险场景及法律困境

（一）“没有马车夫的马车”与责任真空

汽车作为“没有马的马车”在过去一个世纪给我们的道路景象与个人的自我流动性带来了革命性改变，它在改变了我们的城市、景观的同时也改变了我们的经济与法律。如今，“没有马车夫的马车”成为新的版本，由此引发了关于风险与法律责任的思考。发生这一变化的背景是，驾驶过程的自动化不断促使驾驶的控制权由驾驶员转向汽车。有条件自动化的L3级自动驾驶系统能在某些条件下同时进行部分驾驶操作与驾驶环境监控，但驾驶员必须能够请求自动驾驶系统重新获得对车辆的控制。而高度自动化的L4级自动驾驶系统可以进行驾驶操作和环境监控，人类驾驶员不需要获得车辆控制权，但自动驾驶系统仅能在特定环境和特定条件下操作。高级别自动驾驶技术几乎完全不依赖驾驶员的介入与操作，由此引发了关于自动驾驶系统是否具有法律主体地位及谁是自动驾驶的责任主体的思考。

1. 自动驾驶系统的民事法律主体地位

2017年2月16日，欧洲议会通过的《就机器人民事法律规则向欧盟委员会的立法建议(2015/2103(INL)》认为，现今具备深度学习能力与自主性的机器人能够从经验中学习并作出“准独立”的决策。该能力使其越来越接近于能够与环境发生交互并且作出重大改变的智能体(agents)，从而考虑赋予具有深度学习能力和自主性的最复杂的智能机器人以“电子人格”(Electronic Person)的法律地位和责任主体地位。其主要原因在于，在“感知—思考—行动”基础上的智能机器人具有技术上的“自主性”，即可以被界定为在外部世界作出独立于外在控制或影响的决定并予以实施的能力，这一自主性具有纯技术本质，且这种自主性程度取决于机器人被设计成可与环境进行交互的复杂程度。而这种技术上的自主性在可见的未来都不过是高度自动化的机器对人类亲自掌控的逐步脱离，与规范意义上的自主性不可同日而语。规范意义上的自主性是指行为或责任主体认识、理解并控制自己行为的能力。而机器学习与深度学习技术虽然被赋予了强大的环境感知能力（感知技术）与决策能力（决策与控制技术），但并不具有类似于人的自主性与自决权。

（１）感知技术

在自动驾驶感知模块中，较为常用的是深度学习的卷积神经网络方法。该方法模拟人类的眼睛，采用空间结构和算法模仿人类观察事物的过程。尤其是在模式分类领域中，运用该技术可以直接输入原始图像，不需对原始图像数据进行复杂的特征提取和数据重建，该技术解决了在传统方法中需要人为地对图像进行特征设置的问题，因而被广泛应用。但是，这种感知仅仅是物理意义上的感知或察觉，不同于人类视觉的社会感知，即并不能在感知的同时进行物理与社会意义的理解与预测。例如，Uber自动驾驶测试车辆轧死骑自行车的人这一事故的原因是，车辆的摄像头与激光雷达感知器虽然感知到骑自行车的人的存在，却无法根据其表情、动作等预测其下一步的行动，误以为骑车人会停留而继续行驶。

（２）决策与控制技术

虽然自动驾驶具有算法决策功能，能够根据行车目标、车辆状态及环境信息等，通过状态机、决策树、深度学习、增强学习等决策方法决定采用哪种驾驶行为，但这种 “感知—思考—行动”功能是独立或分布式的功能模块，而非像人类那样由视觉信息经过视觉神经元传递到大脑皮层，大脑皮层迅速作出分析与理解并发出对运动神经的信息，进而作出动作的整体而流畅的反应过程。即使以神经网络为代表的机器学习算法被越来越多地应用在无人驾驶自主决策，例如，Bojarski以高性能GPU和并行计算工具CUDA作为基础，基于驾驶模拟器，利用卷积神经网络(CNN)对前置摄像头获取的图像进行训练，构建直接输出方向盘转角的端到端的决策系统，改变了传统的环境感知—信息融合—自主决策的分布式流程，使得中间过程的人为分解行为和指标制定被略去，从而提升决策系统的性能，但由于人工智能缺乏对社会环境的情绪感知能力，因而在可见的未来中很难使其感知社会。

虽然自动驾驶系统通过高度复杂的电脑运算整合分析内部车辆操作数据与传感器收集的外部环境数据，在此基础上进行决策并激活相应自动化的操作，但是这似乎也无法被视为自动驾驶系统的意思表达与行为。一方面，传统的意思表达概念以人的意识能力为基础。另一方面，虽然在新兴人工智能技术环境下社会减少了对意思表示的上述前提条件要求，但究竟智能机器的行为或动作属于谁的意思表示也值得探讨。例如，基于风险理念，意思表示应该归属于对智能机器具有控制能力的人。虽然智能机器程序的设计者由于机器学习技术的运用对其不再具有完全的控制，但智能机器显然对其自身也没有这种完全的控制能力。因此，自动驾驶算法的路径规划与纵横向操纵、变道也不应被视为其意思表示或者法律上的行为。欧盟的最新发展动向也表明了上述观点：2018年12月，欧盟委员会任命的人工智能高级别专家组提交的可信赖人工智能伦理准则草案放弃了欧洲议会《就机器人民事法律规则向欧盟委员会的立法建议》赋予人工智能电子人格的做法，认为人工智能就其开发与使用来说都不具有自我目的，人工智能仅仅是提升人类福祉的工具，其并非法律主体，而是法律客体。

2. 自动驾驶系统的刑事责任主体地位

是否被作为刑事责任主体归责，涉及自动驾驶系统或者更广泛意义上的智能系统是否具有罪责能力，而罪责能力的基础是意志自由。根据关于罪责的传统观点，只有当行为人具有负责任的、道德的自我决定能力，依据应然的法规范调整自己行为时，才能够具有罪责能力。如上所述，虽然高级别自动驾驶系统借助大数据与深度学习等技术感知模块与决策模块能够感知环境信息并进行路径规划，但其无法理解这些信息的社会意义并进行合法行为与非法行为的决断。其有限的自主学习不过是程序与算法的预先设定，并不是意志自由的体现。即使绕过存在学意义上的意志自由争论，自动驾驶系统也不具有刑事责任主体地位。根据规范责任论，责任是实施合法行为的他行为可能性，自动驾驶系统的“感知—决策—控制”任一模块发生问题都可能导致碰撞而引发刑事责任。硬件的技术故障（如摄像头的镜头故障、控制模块的传感功能故障）原则上是可以避免的，可以认为上述事故发生时具有他行为可能性。但在这些情形下，与其认定自动驾驶系统的他行为可能性与罪责，不如直接认定各相关参与人（如摄像头或者刹车系统的生产商）的他行为可能性与罪责。更加棘手的是，自主学习系统在运作过程中的错误是否能够被避免或排除往往很难确定。“主动式制动系统以内部逻辑芯片组与汽车摄像镜头采集的实时图像数据为基础做出自主决策判断，但基于非结构化环境的复杂性，图像数据以多样化和不可预测的形式呈现，同时预先确保每一种状态都包含在系统内部也是不可能的，无可避免的，智能汽车的主动式制动功能时常超脱出工程师预期”。因此，自动驾驶汽车行驶环境的开放性、复杂性及信息数据的非结构化使得偶发的事故错误更无法避免，使得自动驾驶系统的他行为可能性及罪责问题更值得怀疑。

（二）人机共驾与掌控悖论

大数据、自主学习、深度学习、神经网络算法为传统车辆、医疗器械等机械赋能，它们改变了车辆、医疗器械的纯工具与客体地位，也将传统机械时代人与车辆简单的“控制与被控制”的关系过渡到分享控制权的互动情境。正如马长山教授所指出的，“在可见的未来，服务机器人、医疗机器人、投顾机器人、陪伴机器人、情侣机器人将会大量涌现，并承担起劳动替代、任务合作、智能决策、‘情感’互动等角色，人机共处随之成为生产生活关系的常态”。由于自动驾驶呈现出传统工业时代的机械性物理性风险，信息网络时代的信息风险与物联网时代的机械、信息风险迭加的特性，而上述风险又具有场景的开放性特征，这使得自动驾驶的人机互动成为一个攸关个人甚至公共安全的问题。与上述物联网时代的其它人机互动情境相比，自动驾驶的人机互动显然更加复杂而敏感。

根据国际自动机工程师学会的分级标准（SAEJ3016标准），自动驾驶技术的等级分为无自动化(Level 0)、驾驶员辅助(Level 1)、部分自动化(Level 2)、有条件自动化( Level 3)、高度自动化(Level4)，以及完全自动化(Level 5)。目前，市场上绝大部分量产汽车都处于L0或L1级，特斯拉的ModelS/X、 沃尔沃的XC90等仍介于L2与L3级之间。谷歌公司近年来申请专利的情况也表明了人机共驾技术是自动驾驶汽车产业化过程的重要一环。由于人机共驾在可见的未来将以自动驾驶技术的形式表现，如何在自动驾驶系统与人类驾驶员之间进行驾驶权的界分，并在此基础上进行妥当的责任分配，就成为自动驾驶法律规制的重要议题。

1. 人机共驾驾驶权分配的基础框架

自动驾驶技术的进化为人机共驾提供了技术基础，因此，自动驾驶技术等级是探讨人机共驾驾驶权分配的基础。在L0级驾驶技术条件下，驾驶员全程掌控汽车，在行驶过程中可以得到警告和保护系统的辅助，具有全权的驾驶权。在L1级自动驾驶技术条件下的自动化包括一个或多个特定的控制系统（多个控制功能独立发挥作用），在这些控制系统的辅助下，驾驶员可以让渡一些驾驶权，或者自动化系统可以在某些常规驾驶情景下或汽车发生碰撞时为驾驶员提供额外的控制能力（如动力控制器在紧急情况下的辅助功能），但驾驶员始终处于驾驶的中心位置，仍牢牢掌控着驾驶权。在L2级驾驶技术条件下，驾驶员可以在特定驾驶环境下放弃汽车控制操作，但驾驶员仍对道路交通情况监控和驾驶控制负责，系统可以在没有提前警告的情况下将车辆控制权转移给驾驶员，因此，驾驶员仍然掌控驾驶权。例如，L2级驾驶技术的典型情形是，驾驶员利用自适应巡航控制与车道保持系统的功能组合暂时放弃亲自操作驾驶，但仍需时刻保持警觉。L3级自动驾驶技术使得驾驶员能够高度依赖自动驾驶系统进行环境感知与监测，在某些路况或环境下可以不用完全掌控所有攸关安全的功能，在发生自动驾驶系统无法胜任的情况时，该系统能够提醒驾驶员对车辆进行控制。L4级自动驾驶技术在特定条件下能够感知、监测环境并完全掌控所有与安全有关的驾驶功能，但在该特定驾驶环境改变时仍需进行人与车的驾驶权移转。

可见，随着自动驾驶技术级别的增加，自动驾驶系统的控制权逐渐增加而人类驾驶员的控制权逐渐减少，甚至人类驾驶员的控制权在完全自动驾驶环境下被完全排除。严格说来，L3级别及L3级别以上才产生驾驶权分配问题，L3级别以下并没有自动驾驶系统与人类驾驶员驾驶权分配的问题，人类驾驶员始终绝对掌握驾驶权。自动驾驶技术的分级划定了人机共驾驾驶权分配的框架基础，但同时也带来了驾驶权分配的冲突与困惑。L3级别的感知技术、决策与控制技术赋予了自动驾驶系统自主性，提供了脱离人力掌控的物质基础，但一方面由于自动驾驶系统本身存在系统边界（如在雨雪极端天气下传感器失灵），另一方面基于上述自动驾驶风险迭加及道路交通带来的风险开放性特征，其无法排除突然出现交通障碍的可能性（如飞来的石块）。自动驾驶系统可能会存在无法胜任的情况，故仍需要人类驾驶员及时介入取得驾驶权。但这种驾驶权的切换必须在理想的状态下完成，其一方面要求自动驾驶系统总是能够及时识别其无法胜任的情况并及时发出控制请求，另一方面要求人类驾驶员总是能够迅速对控制请求进行回应并重新取得驾驶控制。只要欠缺任一要件，驾驶权就无法被成功切换。而由于驾驶权切换的时刻往往是千钧一发的危险情境，不成功切换极易引发严重的交通事故。

目前，由于L3级别的自动驾驶技术并不成熟，仍处于路测和大规模产业化的前夜，因此，上述第一个理想状态仍未实现，目前的路测数据仍然不能够解决系统边界的问题。第二个理想状态也违反心理学的反应时间与人类的本性。就反应时间而言，弗吉尼亚理工大学交通学院研究显示，L3级自动驾驶汽车司机回应接管车辆请求的平均时间是17秒，在此时间段内，一辆时速105千米的车辆已经开出494米的距离。就人类的本性而言，当人们看到技术有效时会倾向于信任技术，并在心理上抽离技术运作的过程从而无法再及时介入，即使人们仍然在场，也属于典型的管理学上的责任分散(Spilit Responsibility)或工程学上的自动化偏见（Automation Bias）现象。

2. 掌控悖论

2017年6月，德国颁布的《道路交通法（第八修正案）》试图通过对高度或完全自动驾驶汽车的性质及驾驶员权利义务进行界定为人机共驾问题提供解答。《道路交通法（第八修正案）》新增的第1a条第2款规定：“高度或完全自动驾驶汽车是拥有技术设备以实现下述功能的车辆：1.为完成驾驶任务（包括纵向和横向导轨），能在车辆启动后控制车辆；2.在高度或完全自动驾驶功能控制车辆的过程中，能够遵循规范车辆行驶的交通法规；3.可以随时被驾驶员手动接管或关停；4.可以识别由驾驶员亲自控制驾驶的必要性；5.能够以听觉、视觉、触觉等可被感知的方式向驾驶员提出由驾驶员亲自控制驾驶的要求，并给驾驶员预留接管车辆的充足时间；6.指出违背系统说明的使用。自动驾驶汽车的制造商必须在系统说明中作出有约束力的声明，表明其汽车符合前述条件。”

该修正案第1b条还规定了启用自动驾驶系统时驾驶员的权利和义务：“驾驶员可以在驾驶期间借助高度或全自动驾驶功能抽离对交通状况的关注和对车辆的控制，但必须时刻保持警觉，以便能够履行下述义务：1.当高度或全自动驾驶系统提出要求时；2.当他必须认识到或者基于明显的情况（offensichtliche Umstnde）必须认识到高度或全自动驾驶系统不再具备符合功能的使用条件时”。

上述立法规定一方面允许应用符合功能条件的自动驾驶系统，另一方面又较为谨慎地对该系统的技术成熟度与安全性予以保留，并引入了高度或全自动化自动驾驶汽车驾驶员的全程警觉义务和在系统发出驾驶控制请求时的接管义务。这一规定受到德国学者与公众的质疑，他们认为，赋予驾驶员更加严格的义务违背自动驾驶技术发展的初衷。全程警觉与接管义务的设置实际上并不符合L3级以上的自动驾驶技术的设定，因为L3级自动驾驶感知技术能够通过算法决策完成主要驾驶功能并感知与监控交通状况，且能够在自动驾驶系统无法处理的情况下提醒驾驶员对车辆进行控制。如果要求驾驶员全程保持警觉并随时准备接管车辆，则极大消弱了自动驾驶系统的技术应用优势。对自动驾驶系统正常运营的怀疑也违反了交通领域所通行的信赖原则，即一方交通参与人在自觉遵守注意义务的情况下可以信赖其他交通参与人也会遵守注意义务。

另外，在上述规定中接管驾驶权的具体时点与方式并不明确。虽然法条规定了在特定的条件下驾驶员必须接管，但如何理解“明显的情况”与“必须认识”的意义？“目前尚不清楚是否需要驾驶员始终监控系统——那么如未及时识别交通标识，就视为明显情形，或者只需要驾驶员偶尔监控系统——那么仅如突发的降雪情形，就视为明显情形。最终若驾驶员在高度或者全自动驾驶期间完全不用监控，那么‘如车内所有警示灯闪烁’才为明显情形”。

人机交互、驾驶权共享的风险场景让我们看到，面对新兴技术的风险，法律可能会显得犹疑不决与自相矛盾。技术的发展实现了人类身体操作的部分解放，驾驶员得以向自动驾驶汽车交出部分驾驶权，但法律仍从公共政策决策角度基于风险厌恶而未立即拥抱这种解放，而是仍然一般性地规定严格的注意义务。只有当自动化车辆在较长时间无差错行驶以后，足够多的判例能够支持对自动驾驶技术的信赖时，才有可能通过个案的方式降低对驾驶员注意义务的要求。埃里克·希尔根多夫教授将这种技术与法律之间的冲突称为“掌控悖论（Kontrolledilemma）”，即虽然机器技术上脱离掌控是可能的，但法律仍然不放松人类对机器掌控的要求。

(三)两难困境与编程迷局

自动驾驶领域最受学界与媒体关注的一个话题是所谓自动驾驶汽车的两难困境问题：自动驾驶汽车高速行驶至某事故路段时发现两名事故受害者倒在道路中央，自动驾驶系统来不及刹车停止，唯一可以避免碾过两名受害者的选择就是向左前方转向，但将撞上左前方的第三名行人并致其重伤或死亡。这种困境不仅存在于经典的刑法教课书案例中（如德国刑法中的扳道工案和有轨电车案），也存在于传统的道路交通环境中。而自动驾驶汽车所面临的问题相较于传统车辆更加尖锐与棘手，其原因有二：第一，人类驾驶员的反应时间较长，从发现道路中央的受害者到采取行动几乎没有思考的时间，因而往往不存在违反注意义务的情形，即使撞死了两名行人也属于意外事件。第二，即使存在足够的反应时间，人类驾驶员为了保全自己决定直行撞死两名受害者或左转撞死一名行人，也可能因为属于德国《刑法》第35条第1款第1句规定的紧急避险情况而被免责。但自动驾驶系统则不同，自动驾驶系统用0.2秒即可通过传感器感知紧急情况，且这种反应不依赖直觉，而是通过事先编程来决定价值优先次序。如此一来，在生命与生命之间的取舍取决于两难困境中编写自动驾驶碰撞回避的算法程序。这种编程成为极端敏感的问题，也引发了公众对自动驾驶技术的争议甚至恐惧，因此，自动驾驶技术被污名化处理，自动驾驶碰撞回避的算法程序被视为“死亡算法”。这种编程迷局主要体现在对以下三种程序类型的选择。

1.功利主义程序

功利主义者会基于利益最大化的考虑选择撞向损害较小的一方，也就是允许汽车左转撞伤或撞死一名行人。这种单纯衡量受害人数量的所谓最优化模式违反了宪法的人格尊严至上与生命权绝对保护原则，与现行法律理论框架无法兼容。

自动驾驶系统的生产商在自动驾驶系统中设置碰撞回避程序致人重伤或死亡的行为不仅不能被免责，甚至还有可能以故意杀人罪与故意毁坏财物罪被追责。在具体危境下发生事故时，撞伤他人或毁坏财物是优先选择程序的实现，驾驶员对此并没有行为控制和意思支配。因此，驾驶员并不能被追责，责任就转移到自动驾驶系统中碰撞回避程序的提供者身上。虽然自动驾驶系统的生产商在事故发生时并不在场，也对具体的碰撞情形及具体的事故受害者一无所知，但这并不影响其被追究刑事责任。此时也不适用紧急避险，因为紧急避险适用的前提条件之一是拯救的利益必须要大于牺牲的利益，而基于宪法人格尊严至上与生命权绝对保护原则，生命的价值无法被量化比较大小。

2. 自我牺牲程序

该程序将自动驾驶汽车的驾驶员或乘客视为风险创设者而要求其承担风险，因此，算法程序被设置为优先牺牲驾驶员或乘客。由于自动驾驶汽车的驾驶员或乘客已经从自动驾驶中获利，所以其不应当在危急形势下利用技术优势以牺牲无关第三人的生命为代价而保全自己的生命，因而优先选择保护路面上的行人。该程序设置显然也经不起推敲：第一，引入自动驾驶技术的首先是自动驾驶系统或车辆的生产商，创立风险者并不是使用自动驾驶技术的驾驶员或者乘客；第二，该程序设置不利于自动驾驶技术的推广，这种自我牺牲程序的设置将大大降低车辆销量及大众对自动驾驶技术的消费兴趣。

3. 掷骰子程序

在两难困境中，无论算法程序如何选择都不能免除责任，因此，应当放弃编写程序任由事态发展，即在自动驾驶汽车直行撞向两名行人，或者在两边人数相同的情况下设置掷骰子程序进行随机选择。但这种逃避主义的方案显然违背人类理性的要求，并且即使设置这种程序似乎也无法免于刑法上不作为的可罚性。

在宪法人格尊严至上与生命权绝对保护原则的指导下，并在刑法上牺牲少数人的生命以拯救多数人不能被排除违法性的犯罪论体系内，如何对自动驾驶系统的碰撞回避程序进行正当化说明，是自动驾驶技术对现行法律理论框架提出的挑战。两难困境使得在其它领域同样存在的数字化生活世界的基本问题变得更加尖锐：利益冲突在个人利益与整体社会福利之间的抉择被预先程序化，在某些情况下，预先估算好的行为准则剥夺了实现个人利益甚至生存利益的机会。迎接这场挑战的学者尝试提出免责事由说、义务冲突说等理论，但这些理论似乎在为传统的刑法教义学开辟新战场，而无法为新兴自动驾驶技术提供真正可行的法律解决方案。

鉴于自动驾驶两难困境所引发的法律困境与公众的关注，该问题成为德国自动驾驶伦理委员会讨论的主要议题之一。该委员会于2017年6月发布的《自动网联驾驶伦理委员会报告》确立了自动驾驶的20条伦理准则。该准则区分了真正与不真正的两难困境。在不真正的两难困境中，即两个方向的碰撞对象都为财物（财物—财物）或者一个方向的碰撞对象是财物而另一个方向的碰撞对象是人（财物—人身）的情形，倡导损害最小化原则：在两个方向的碰撞对象均为财物时，优先保护价值较高的财物；在一个方向的碰撞对象为财物另一个方向的碰撞对象为人身时，优先保护人身。在真正的两难困境中，即两个方向的碰撞对象都是人员（生命—生命）的情形，禁止根据人员特征（年龄、性别、身体或精神状况）进行量化选择（第8条），一般性地编写选择保护人员数量较多的一方的程序是可以接受的，但不应牺牲未参与创设自动驾驶风险的人员（第9条）。该伦理准则一方面一般性地许可选择碰撞人数较少一方的算法程序，另一方面禁止算法程序选择牺牲自动驾驶的非参与方，这似乎是功利主义程序与自我牺牲程序的综合路线。但一般性地以受害人数量进行衡量的功利主义程序如何在现行法律理论框架下被证立，似乎并非该伦理准则所关心的问题。

三、法律如何可能？——几点基础性思考

与自动驾驶技术融合特性相伴而生的是传统的工业时代的机械性物理性风险与信息时代的风险融合，这形成了上述典型的自动驾驶技术的风险场景。面对这些风险场景，法律如何可能？下文将尝试拓展现有法律理论框架，并对风险场景中的法律困境进行基础性思考。

（一）自动驾驶事故责任重心的转移：自动驾驶系统掌控者

在高级别自动驾驶的环境下，究竟谁是自动驾驶系统的责任主体，谁应当对自动驾驶技术发生的交通事故负责？由于自动驾驶系统并不具有自我目的，仅是具有自我学习能力的算法程序，因此不具有法律主体地位，不能成为民事法律主体与刑事责任主体。但不容忽视的是，自动驾驶的技术融合特性使其成为一个具有统一功能的整体，能够协调感知、决策、控制功能，在与乘驾人员及行人或其它交通参与人的交往中以一个整体的形态出现。这或许是电子人格说及刑事责任主体说的理据。此外，我们的社会与法律文化倾向于在冲突或纠纷中寻找一个独立的主体或者相对方以对其进行权利主张。随着自动驾驶技术的进一步融合及自动技术级别的提高，可以想象自动驾驶系统作为整体参与到交通法律关系之中。鉴于自动驾驶系统本身在可见的未来都不可能具有法律主体地位，可以考虑将自动驾驶系统背后的人，即对自动驾驶系统数据及数据处理具有控制能力的人（此处被称为自动驾驶系统的掌控者）作为核心的主体，统一对外承担责任。自动驾驶系统的掌控者可能是自动驾驶系统的开发者及使用维护者。当事故发生时，事故受害人首先向其追责，然后再根据不同功能模块提供者的过错（即违反注意义务）在内部进行追责。这种解决方案并非赋予自动驾驶系统电子人格法律主体地位，而是将责任归属给一个功能整体，其背后是一系列相关人员的行为和义务。这种方案可以绕过电子人格的争论，便于受害者追责并减轻其举证责任。

确立自动驾驶系统的掌控者在归责与追责中具有中心地位，能够缓和人机共驾之间的矛盾。由于自动驾驶系统在驾驶任务与风险控制中占据越来越重要的地位，应当被分配更大的权限与责任。而对于人类驾驶员，仅需要在传统的过错责任框架下追究其违反注意义务或错误操作自动驾驶系统的过错责任，原则上不再额外增加其在自动驾驶系统监控方面的注意义务。此外，在无法清晰界定哪一方违反注意义务的情况下，采取有利于人类驾驶员的原则，推定自动驾驶系统违反注意义务，由其运营者承担责任。这种方案一方面更符合自动驾驶技术，尤其是Ｌ3级别以上的高级别自动驾驶技术的设定与宗旨，另一方面有利于督促自动驾驶系统开发者与运营者履行技术安全方面的谨慎义务并鼓励其不断进行技术革新。

（二）衡平风险与创新的理论工具：可允许的风险理论

笔者虽然提倡自动驾驶系统的掌控者处于被归责的核心地位，但这并不等于要求其承担过于严格的责任或过重的注意义务。追究过错责任与产品责任，需要考虑自动驾驶技术的现实。对于在开发或使用自动驾驶系统时无法具体预见的，自动驾驶系统自主学习过程中产生的风险，不能要求自动驾驶系统的掌控者承担过错责任或者产品责任。如上所述，人工智能系统具有技术自主性，这是人工智能系统与传统软件最本质的区别。传统软件执行软件程序指令的过程是“条件输入—结论输出”的过程，即机械性、直线性的“条件—结论选择过程”，而人工智能系统作为“条件—结论算法”运用推理—统计方法与数学概率公式（概率学逻辑）进行学习与决策。这就使得人工智能系统成为非线性的随机复合体，不能排除偶然性结论。算法编程人员无法完全理解自动驾驶自主学习与决策的过程，也无法预见算法所有的结论。因此，在事先不能完全排除自动驾驶系统算法的偶然性结论的情况下，不能要求算法编程人员或系统开发人员具有注意义务。即使该偶然的算法结论引发事故并造成损害，只要算法程序系统符合一般的技术安全要求，就不应将罕见的偶然性损害归责给上述人员。

在现代风险社会中，由于自然科学的未知因素与不透明性，每个社会主体不得不作出充满风险的决定。这意味着，要求个人在行为时作出完全没有风险的决定和行为往往是不可能的，程序员在编写自动驾驶算法或者开发自动驾驶系统时，无法排除系统自我学习和决策的所有风险。现代社会的法律也无法绝对排除风险，只能将风险限制在可允许的范围内。因此，应当引入德国学者倡导的可允许的风险理论，衡平自动驾驶技术风险与科技创新之间的紧张关系。现代科技发展不断提高生产效率，也不断开启新的风险源。由于任何技术革新都蕴含着风险，正如没有完美的人，也不存在完美的系统。在享受自动驾驶技术带来的技术优势的同时，不能将该技术无法避免的罕见风险转嫁给该技术的研发者、提供者。因此，有必要引入可允许的风险理论限制技术开发人员的注意义务范围，基于自动驾驶整体在安全性与社会利益方面的巨大技术优势而容忍极端情况下的低概率的技术边界问题及两难困境下的无法避免的损害。前述德国《自动网联驾驶伦理委员会报告》第3条指出：“防止事故是指导原则，但考虑到基本的风险利益收支平衡，在技术上无法避免的剩余风险并不妨碍自动驾驶的推行。”而这种风险范围可以被允许到何种限度，或者说可允许的风险的具体适用性条件是什么，则需要在自动驾驶技术发展过程中“技术性”地予以解答，需要在积累路测数据、改进深度学习算法的过程中探索制定自动驾驶系统的稳定性技术标准，将该标准作为判断可允许风险的技术性依据。

（三）技术规制的方法论：法律与科技融合的进路

自动驾驶法律事前规制的对象是技术风险，事后归责的对象是技术风险的实现，即（民法意义上的）损害或（刑法意义上的）法益侵害，因此，自动驾驶技术的原理与本质是自动驾驶法律的法现实。“代码即法律”的理论在网络法学中已成为至理名言，在人工智能法学中，人们对于“算法即法律”的思想也逐步达成共识。除了事后的矫正正义，即从责任角度预防技术风险带来的损害，行业技术标准作为事前的规制工具也发挥着不可忽视的风险规制作用。在自动驾驶领域，美国国家高速公路安全管理局（NHTSA）推行的自动驾驶技术分级标准及联邦机动车安全标准（Federal Motor Vehicle Safety Standards，FMVSS），国际自动机工程师学会制定的自动驾驶技术分级标准（SAEJ3016）等行业技术标准对自动驾驶技术风险的定义及描述具有指导意义。

自动驾驶法律研究与法律制定需要以理解技术为前提，在对自动驾驶两难困境场景的探讨中，完全陶醉于传统刑法教义学的修辞而脱离自动驾驶技术原理与语境，或者在对责任的探讨中拘泥于现行法律侵权责任、产品责任等的语词边界而不敢逾越雷池半步，不啻于在传统法律的舒适区内刻舟求剑。对技术的观照不仅需要在一般性的可允许的风险理论中被考虑，也需要在多方参与主体的具体权利、义务安排中被贯彻。因此，法律不能罔顾自动驾驶技术现实，一厢情愿地进行理想化的权限界分。理解自动驾驶技术的原理与风险特征，理性应对自动驾驶汽车的风险场景，探讨衡平风险与科技创新的中庸之道，是人工智能科技革命与自动驾驶技术进步为法学提出的划时代任务。

点击二维码关注法制与社会发展微信公众平台

指导老师：苗炎

公号推送编辑：朱欣格

点击阅读原文入本刊官方网站获取全文

http://fzyshfz.paperonce.org