作者 |王琦 北京航空航天大學法學院助理教授
民法研究中心副主任、北大法律資訊網簽約作者
來源 | 《中德法學論壇》第16輯上卷
法律出版社2019年出版，第73-98頁
感謝作者授權推送
無人駕駛不等于無人負責，侵權法上現有機動車三元責任體系即“機動車一方責任”、“交往安全義務責任”、“産品責任”已足以覆寫自動駕駛機動車。但自動駕駛技術使得上述責任體系中産品責任的重要性不斷凸顯。
自動駕駛機動車作為産品是軟硬體的複合體。責任主體不限于立法規定的直接責任主體即生産者和銷售者，還包括司法認可的主體即準生産者和進口商。
生産者既指整車（成品）生産者，也指零部件生産者，後者尤其包括自動駕駛軟體系統的提供者。産品缺陷的三大類型——“制造缺陷”、“設計缺陷”、“警示說明缺陷”需要被細化和擴充，以回應自動駕駛機動車的特殊性。出于測試目的上道行駛的機動車已滿足“投入流通”的要求，足以引發産品責任。
一、導論
（一）背景
自動駕駛機動車已經成為全球矚目的科技發展方向。世界主要工業國家紛紛重拳出擊，期望能在這一潛力巨大的新興領域占得先機。不僅機動車行業巨頭如寶馬、福特、沃爾沃、戴姆勒、大衆、豐田、通用、特斯拉迅速跟進，而且新興網際網路企業如谷歌、百度也利用自身在軟體開發、資料處理方面的長處強勢湧入。另外，許多交通運輸服務企業也在加緊測試自駕系統，國外起步較早的如優步的自動駕駛服務方案，國内深圳則啟動了名為“阿爾法巴”的智能駕駛公交系統的試運作。大陸同樣瞄準這一領域，将自動駕駛列入國家級别的工業戰略，期望發揮自身優勢實作“彎道超車”。
（二）無人駕駛不等于無人負責：基于侵權法上機動車三元責任體系的分析
随着自動駕駛技術的逐漸走近，在大衆媒體中越加頻繁地見到誰為自動駕駛或者無人駕駛機動車引發的交通事故負責的疑問，甚至還有人将其稱為“法律的災難”。但隻要我們切近觀察侵權法，就會發現這種擔憂在侵權法上并不成立。機動車是一個危險源或者說責任源的複合體，大陸侵權法細緻地區分了同一機動車上不同層次的三種危險源，并為每層危險都設定了一項相應的責任基礎，由此形成“侵權法上機動車的三元責任體系”，如下：
上述三種責任在主體上可能是同一的，也可能互相分離，這取決于機動車的使用關系是否發生移轉變化。但是，沒有任何一台機動車能脫離這三類責任組成的責任之網，也就是說，即便是一輛無人駕駛的機動車，也有為之負責的“機動車一方”、交往安全義務人、生産者和銷售者等。是以對自動駕駛機動車并不存在什麼侵權法上的根本漏洞或者空白。自動駕駛機動車對侵權法的真正挑戰毋甯在于，随着智能系統對駕駛任務的逐漸介入直至完全接管，人類對機動車的支配和正常性的安全保障義務在機動車危險源中的地位不斷下降，而機動車産品缺陷的地位則不斷上升。自動駕駛技術将機動車産品責任的重要性凸顯到一個前所未有的程度，并且作為一種新技術也确實給迄今為止的産品責任提出了一系列難題，本文将嘗試對這些難題作出探究和解答。
（三）機動車的自動化程度分級和本文研究對象的明确
自動駕駛不能和無人駕駛劃上等号。自動駕駛是無人駕駛的上位概念，無人駕駛指的是最進階别的自動駕駛機動車，即自動化程度已高到無需人類駕駛員即可完成全部駕駛任務的機動車。正确了解自動駕駛的第一步是明确自動駕駛的分級，目前世界上影響力最大的是美國汽車工程師學會（SAE）制定的分級體系，這幾乎是事實上的國際通行标準。該體系共分6等，如下：
其中L0級指的是傳統機動車，即不具有自動駕駛功能的機動車，顯然僅具參照系意義。L1屬于駕駛輔助層級，本質上也不構成“自動駕駛”。真正的自動駕駛，即（部分）車輛操作任務可由獨立于人類駕駛員的智能系統承擔，首先出現于L2級。目前消費市場上機動車的主流處于L0到L1之間，L2在部分豪華或者說高端車型上獲得配備，最廣為人知的當屬特斯拉的自動駕駛系統“Autopilot”，除此之外很多車企也都在其高檔産品上引入了相似功能，如通用的“Super Cruise”系統、沃爾沃的“Pilot Assist”系統。L3級别的機動車則剛剛實作量産進入消費市場。至于L4和L5級則離消費市場依然非常遙遠。鑒于現在市面上見到的所謂自動駕駛機動車絕大多數最高也隻能達到L2級，是以本文所謂的自動駕駛機動車是從L2級别開始的自動駕駛機動車。就産品責任而言，明确自動駕駛級别的意義首先在于，對不同級别的自動駕駛機動車存在不同的安全期望，是以适用不同的産品缺陷标準，對此下文将詳論。
（四）産品責任的一般規則與本文結構說明
關于産品責任的一般規則，無論在司法實務還是學理上都是清晰的。按照通說，産品責任屬于無過錯責任，其責任成立的前提在法釋義學上可以被區分為必要要件和阻卻要件兩部分，前者集中規定于《産品品質法》第41條第1款，後者集中規定于同條第2款。
按照《産品品質法》第41條第1款，産品責任成立的必要要件包括三部分即：（1）“産品缺陷”：産品投入流通時存在缺陷；（2）“損害結果”：人身權益、他人财産遭受損害；（3）“因果性”：産品缺陷與損害結果之間存在因果聯系。按照同條第2款，阻卻要件（免責事由）有三類，即（1）未将産品投入流通；（2）産品投入流通時，引起損害的缺陷尚不存在；（3）将産品投入流通時的科學技術水準不能發現缺陷存在。确定了必要要件和阻卻要件，同時也就明确了證明負擔配置設定：受害方對責任成立的必要要件承擔證明負擔，相對方對責任成立的阻卻要件承擔證明負擔。一個全景展示可見位于文末的附表3。
限于篇幅，本文不可能讨論産品責任的所有問題，而且自動駕駛機動車也不是在所有問題上都有特殊性，以下将挑選自動駕駛機動車在産品責任架構下的特殊或者重難點問題加以研究。第一個問題是，自動駕駛機動車究竟是一種怎樣的産品（見本文第2部分）？第二個問題是，誰應當對自動駕駛機動車承擔産品責任（見本文第3部分）？第三個問題是，在什麼情況下可以認定自動駕駛機動車具有産品缺陷（見本文第4部分）？第四個問題是，自動駕駛機動車進入公共道路測試在産品責任視野下有何種法律意義（見本文第5部分）？
二、自動駕駛機動車作為産品
按照《産品品質法》第2條第2款，“本法所稱産品是指經過加工、制作，用于銷售的産品”。顯然這一形式化的定義既涵蓋傳統機動車也涵蓋自動駕駛機動車，需注意的是自動駕駛機動車的結構特性。
（一）自動駕駛機動車作為軟硬體的複合體
相較于傳統機動車，自動駕駛機動車的結構特性展現在軟硬體結合（所謂的“嵌入式系統”，embedded system），其運作也基于軟硬體的協作。概略而言，硬體裝置上預存了智能軟體和基礎資料；運作時，智能系統借助GPS和電子地圖進行定位并了解相關區域的交通情況，在此基礎上規劃和調整路線；行進中，雷達、雷射測距儀、攝像頭持續探知周圍環境并回報給智能系統，智能系統對獲得的資料進行彙總後作出整體判斷和決策。
宏觀來看，在資訊化、電子化的當代，軟硬結合并非個别現象，而毋甯說已經成為高端工業産品的标準形态（例子：計算機、智能行動電話）。具體到自動駕駛技術，軟體（算法）更是在自動駕駛的感覺、融合、反應、規劃、決策等各個階段都發揮着關鍵作用，可以說是對自動駕駛機動車安全性影響最大的因素。是以自動駕駛機動車的危險不僅源于其硬體部分的缺陷，更源于其軟體部分的缺陷。這些都要求産品責任意義上的産品概念外延不限于純硬體，而應涵蓋此類軟硬結合的嵌入系統，特别是其中的軟體部分。
在實務上，軟體屬于産品責任意義上的産品已為多件司法判決所肯定。直接與車載軟體相關的一則判例如下：
例：“軟體作為産品”：機動車發生重大事故緻駕駛者死亡，鑒定指出，汽車正面安全氣囊本應打開起到防護作用但卻并未打開。而後發現，該車屬于召回産品，召回的原因是安全氣囊控制單元的軟體參數設定問題，可能導緻前部安全氣囊無法正确開啟。法院肯定機動車因軟體問題存在産品缺陷，判機動車生産者承擔責任。
是以，機動車的産品缺陷不限于硬體，同樣也包括運作于其上的軟體。另外需注意的是，自動駕駛機動車軟體除了“駕駛相關部分”，還包括“非駕駛相關部分”，如車載娛樂軟體和車載網際網路資訊軟體，這些也屬于機動車的一部分。總結而言，自動駕駛機動車作為産品是軟硬體的複合體，其中每一部分都在産品責任的适用範圍内。
（二）特殊問題：雲端軟體和資料作為産品部件
随着作為工業和社會基礎設施的高速移動通信網絡（如5G技術）的發展，将軟體安裝或者将資料存儲在本地硬體上的必要性将越來越低。完全可以設想，自動駕駛機動車生産者——比如出于便利更新和維護的考慮——将某些軟體、資料部分或全部儲存于雲端伺服器，由智能系統在需要時借助高速網絡調用。這提出的問題是，雲端的軟體、資料是否構成機動車的一部分？
答案是肯定的，具有決定意義的并非軟體、資料的實體存儲位置，而是這些對象能否為機動車所調取并作用于機動車的功能和安全性。是以如果借助高速通信網絡，智能系統能像調用本地對象那樣調用雲端對象，那麼雲端對象和本地對象一樣都是機動車整體的一部分。更進一步而言，高速通信技術的發展要求我們更新對産品存在狀态的認識，即一個産品的全體元件無需集中于同一實體空間，而可以分散于不同地點并經由通信網絡聯結在一起。
三、産品責任主體
（一）立法規定的直接責任主體：生産者、銷售者
立法規定的直接責任主體是生産者和銷售者，而且即便銷售者能夠指明生産者或者生産者身份資訊是公開的，銷售者也需先行對受害者承擔責任（《産品品質法》第43條第1句）。實務上普遍允許受害方将生産者和銷售者作為共同被告起訴，這對受害方的求償和案件事實的查明通常都是有利的。
（二）司法認可的主體：準生産者、進口者
司法對産品責任的主體範圍作出了兩方面的擴充。一方面涉及“準生産者”，即雖然并未實際生産産品，但是通過名稱、商标或者其他具有區分度的辨別表明自己為生産者的主體。這一現象通常基于現代工業界中流行的“貼牌生産模式”（OEM）而出現，即商标權利人（貼牌者）将自己的商标或其他辨別用于他人（實際生産者）生産的産品，是以在外看來，貼牌者是産品的生産者（即所謂的“準生産者”）。《最高人民法院關于産品侵權案件的受害人能否以産品的商标所有人為被告提起民事訴訟的批複》（法釋[2002]22号）确認準生産者需承擔産品責任。
“貼牌生産”模式在機動車行業同樣存在。如果甲公司允許乙公司在後者生産的自動駕駛機動車上使用前者的名稱，一旦機動車出現缺陷引發産品責任，那麼甲（作為準生産者）應和乙（作為實際生産者）共同承擔。
另一方面的擴充涉及進口商。在貿易全球化的時代，進口商從國外進口機動車并在國内銷售，這十分常見。為了強化對本國國民的保護，應當将進口商納入産品責任的主體範圍，由此國民無需在陌生之國提起訴訟，而可以在本國直接向進口商主張權利。司法上對食品品質案件已經基本建立了進口商擔責的規則，這一規則應類推适用于機動車産品責任案件。
（三）零部件生産者與成品生産者之間的關系
1. 一般規則：共同擔責
在現代工業的分工體系下，機動車産業形成了鮮明的“上下遊産業鍊”。整車生産者無可避免地需要使用上遊企業生産的産品，此時不僅機動車整車是産品，而且零部件（硬體和軟體）也是産品，同樣處于産品責任的适用範圍之内。如果零部件出現缺陷導緻損害發生，并且零部件的生産者同整車的生産者不同，那麼零部件生産者也需承擔責任。
關于整車生産者和零部件生産者之間的責任分擔，由于法律對此并無連帶責任的特殊規定，故而應當适用多數侵權責任人的一般規則，即“能夠确定責任大小的，各自承擔相應的責任；難以确定責任大小的，平均承擔賠償責任”（《侵權責任法》第12條）。參照最高院《關于審理人身損害賠償案件适用法律若幹問題的解釋》第3條第2款，責任大小應以過失程度、原因力比例為标準确定。
另外，由于零部件已被整合入成品之中，成品生産者應當對零部件的缺陷擔責（“成品生産者的整體責任”）。當零部件生産者無法查明或者沒有支付能力時，成品生産者應當對受害方承擔全部責任。之後成品生産者有權向零部件生産者追償，實證法基礎為《産品品質法》第43條第2、3句的類推适用。
2. 下位情形：自動駕駛軟體提供者作為零部件生産者
自動駕駛目前面臨的最大難關不在于硬體生産，而在于自動駕駛的軟體系統開發以及資料收集。可以說，機動車工業曆經百餘年的發展到今天，能夠制造機動車硬體的大小企業有很多，但能夠進行自動駕駛軟體系統開發的企業則寥寥無幾（通常是新興網際網路企業）。一旦自動駕駛系統軟體開發成熟，基于軟體的可複制性和對硬體的相容性，很可能會出現一家軟體開發者授權多家機動車制造企業使用的情形。這一現象對現代消費者毫不陌生，微軟的Windows作業系統和谷歌的Android作業系統都采用了此種授權許可模式。微軟和谷歌的成功案例已經預示了這種模式的有利前景：一方面軟體開發者能有效提升自家軟體的市場佔有率，另一方面傳統車企尤其是欠缺研發能力的中小型企業能夠逾越無法獨立克服的技術鴻溝，迅速推出産品參與市場競争，而且雙方都能夠專注于自己擅長的領域，避免跨界風險。
回到産品責任的架構下，此種經營模式将凸顯軟體開發者的責任問題。借助上文所厘定的成品生産者與零部件生産者間的關系，這一問題得以迎刃而解，即機動車車企是成品生産者，軟體開發者則是零部件（自動駕駛軟體系統）的生産者，他們之間同樣适用上文論述的共同擔責規則。在某些情況下，甚至可以考慮将硬體生産者和軟體開發者認定為自動駕駛機動車的“共同生産者”（Mithersteller），比如當雙方合作開發并是以對産品品質有大體相同的影響力時。
四、自動駕駛機的産品缺陷
（一）基礎觀念：缺陷作為不合理的危險
缺陷概念在《産品品質法》第46條中有一個法定定義，即“本法所稱缺陷，是指産品存在危及人身、他人财産安全的不合理的危險；産品有保障人體健康和人身、财産安全的國家标準、行業标準的，是指不符合該标準”。了解這一條必須區分該條的兩個分句。
在自動駕駛機動車領域，該條第2分句的價值很有限，因為大陸現行國家标準《機動車運作安全技術條件》（GB 7258-2017）是為傳統機動車設計的，專門針對自動駕駛機動車的标準尚未出台。其次，即便出台專門國家标準，這些公法-行政法性或者技術性規範也不具有決定意義，而僅具有指南意義。毋甯說，機動車符合上述标準不過意味着一種“無缺陷推定”，受害人可舉證推翻該推定，法院也可作出相反的認定，這符合學理和判決上的通說觀點。
該條第1分句則揭示了，法律并不要求排除全部危險，這種要求不過是一種烏托邦式的幻想。法律要求生産者消除的僅僅是“不合理的危險”，司法判決通常将其從正面角度描述為“一般使用者（消費者）或者善良人可以合理期待的安全性”。至于哪些情況屬于不合理的危險，這需要回到産品缺陷三大類型的架構下來分析，即“制造缺陷”、“設計缺陷”和“警示說明缺陷”。
（二）制造缺陷
制造缺陷意味着産品雖然設計上沒有缺陷，但在制作過程中出現了問題，使得産品偏離了設計方案或者說未達到設計者規定的安全程度。制造缺陷可能發生于單個産品，也可能發生于同一或者若幹批次制作的産品。實務中因制造缺陷而生的産品責任案件為數不少。
自動駕駛機動車的制造過程——和任何一個産品的制造過程一樣——都不可能完美無瑕，是以同樣可能出現制造缺陷。由于硬體和軟體的制造過程不同，前者發生制造缺陷的幾率要遠大于後者，是以制造缺陷最可能發生于自動駕駛智能系統使用的硬體，主要是各類型的雷達（雷射雷達、超音波雷達、毫米波雷達）、傳感器、攝像頭等。軟體部分制造缺陷可設想的例子如軟體首次安裝或者事後更新時出現錯誤，例如安裝不完整或者安裝了錯誤的版本，又或者在安裝過程中感染了電腦病毒、惡意軟體等。
（三）設計缺陷
1. 概說
設計缺陷意味着産品早在構思設計時就出現了問題，以至于按照此設計生産的産品具有不合理的危險。和制造缺陷一般限于單個或者單批次産品不同，設計缺陷往往波及所有按照此設計生産的産品。如果同一産品設計為不同的生産者所使用，那麼缺陷的影響面就更大。這種情況尤其出現于軟體設計缺陷，例如甲公司将自己開發的自動駕駛軟體系統授權給多家機動車廠商使用，如果該軟體發生設計缺陷，那麼全部廠商的産品就都會是以具有不合理的危險。
2. 設計缺陷的兩步判斷
設計缺陷的判定素來是一個難點。自動駕駛機動車的設計缺陷尤其有特殊性，這首先是因為自動駕駛功能的分級化導緻了安全期望（缺陷标準）的分級化。是以對自動駕駛機動車設計缺陷的判斷應分為兩步進行，第一步是确定應适用的安全标準，這一步的關鍵是查明機動車的自動化級别（“級别判定”）；第二步是判斷機動車的表現是否不符合适用于該級别的安全标準（“表現判定”），這一步的關鍵是找到正确的參照對象。
（1）第一步——“級别判定”：因自動化級别而異的安全标準
對不同自動化程度的機動車有不同的安全期望。自動化程度越高，越不依賴人類駕駛員，安全性期待也就越高，相應地，産品責任上的缺陷标準也就越嚴格。是以對一台自動駕駛機動車，必須首先根據其所屬的自動化級别明确應适用的缺陷标準。
例：“特斯拉美國緻死案”：2016年9月，Joshua Brown 在其駕駛的特斯拉Model S轎車上開啟了Autopilot系統，開啟後機動車一般處于L1（駕駛輔助），最高能到L2級别（部分自動駕駛）。系統要求啟動後人類駕駛員必須随時準備接管操作，并且需要始終将手放在方向盤上。由于一定技術原因，系統沒能識别出前方一輛處于橫穿公路位置的拖挂貨車，而駕駛員本來完全能注意到前方的車，但卻由于分心未及時發現。最終兩車相撞，導緻Joshua Brown死亡。此案中的特斯拉機動車自動化程度較低，對L2級别的自動駕駛機動車而言，需要人類駕駛員始終監控駕駛環境和及時作出反應并不意味着不合理的風險，是以該車并不是以具有缺陷。
推而言之，一台宣稱已經達到L4甚至L5級别的機動車，如果在這種情景下未能做出恰當反應，則應當認定其具有設計缺陷，因為L4和L5級别機動車必須具備自主監控駕駛環境的能力。反過來，如果L2級别的機動車在啟動自動駕駛功能後，不能以有力方式提醒駕駛員保持對駕駛環境的注意，或者不能應駕駛員的要求即時交回控制權，那麼對其則存在認定設計缺陷的可能。
（2）第二步——“表現判定”：同合适的參照對象加以比較
第二步判斷的原理是“比較法”，首先需找到與涉案機動車具有可比性的對象作為參照系。如果事故發生的原因僅僅涉及自動駕駛機動車的個别功能元件，如緊急制動系統或者避讓系統，那麼參照系是一種合理設計的相應功能系統。如果這個參照物在相同情景下能正常運作并避免事故發生或者減少事故損失，而涉案機動車的相應元件不能，那麼一般可以認定設計缺陷。
如果事故原因涉及自動駕駛的整體環境觀察和決策反應（通常出現于L3及以上級别的機動車），那麼參照對象是一個具有平均技術水準、駕駛經驗和專注程度的人類駕駛員（“平均人類标準”）。如果同一場景下人類駕駛員的表現能更好地滿足安全性期望，比如說能完全避免事故發生或者至少降低損失，那麼一般應認定機動車存在設計缺陷。換句話說，進階别的自動駕駛機動車在安全性上必須至少不遜色于平均水準的人類駕駛員，才能表明自身沒有設計缺陷。
需指出的是，“平均人類标準”在适用上又有修正的必要。因為人畢竟是一種生物，其能力受到生物性的種種限制，比如視覺有賴足夠的光線，身體會疲倦或者突發疾病，作出反應需要一定時間等。這類生物性的限制對機械系統自然是不存在的。是以，在對自動駕駛機動車運用平均人類标準時，應當将這些生物性的限制因素刨除出去。也就是說，即便某種生物性限制可以降低對人類駕駛員的安全期望，但通常卻不足以降低對自動駕駛機動車的安全期望。
另外需要強調的是，“平均人類标準”不過是進階别自動駕駛機動車缺陷标準的下限。如果機動車生産者向使用者承諾了更高的安全性（比如通過産品宣傳），那麼則應适用更嚴格的缺陷标準，這是因為生産者對産品的展示足以影響使用者對産品的安全期望。将産品缺陷标準和生産者的市場宣傳行為相挂鈎，也将發揮對生産者的行為引導作用，由此生産者在開展商業宣傳時必須更慎重地權衡利弊：如果他将産品的安全性說得越高，那麼産品的缺陷标準也就越嚴格，他的責任風險也就越大。
3. 自動駕駛機動車版本的“電車難題”
“電車難題”（Trolley Problem）起初是倫理學領域的一個專業問題，爾後經由大衆媒體的傳播獲得了較高的社會知名度，自動駕駛技術又為這一問題帶來了新的争議點。在長期的讨論和傳播中，“電車難題”産生了很多變種，但基本情境是相同的：一列電車前方的軌道上有多名被捆綁無法脫身的人，如果要救這些人，唯一的選擇是搬動道岔使得電車轉入另一條軌道，那條軌道上隻有一名被捆綁的人。此時應當如何抉擇？可以為了拯救多數人的生命而犧牲少數人的生命嗎？
自動駕駛機動車版本的電車難題首先對機動車生産者提出了挑戰，也就是說，生産者針對電車難題這類情景應該為自動駕駛智能系統設計怎樣的決策程式？是應該讓機動車保持原有的行進路線，哪怕多人會是以喪生？還是應該改變路線，盡管這樣會犧牲個别人？究竟哪種設計經得起法律的檢驗，進而表明機動車沒有産品責任意義上的缺陷？道德哲學家可以就電車難題無休止地思考和争辯下去，但法律人卻不享有這份自由閑裕，法律人必須為之提供一個兼具正當性和可操作性的方案。本文以下将勾勒出一種可主張的解決方案的輪廓。
首先應将視角拓寬，将電車難題的前階段即形成階段納入觀察和評判。對此，上小節提出的“平均人類标準”指明了基本的思考方向。需要問的是，一個平均水準的人類駕駛員究竟會否陷入這樣一種困境。如果兩相對比，人類駕駛員能從一開始就避免陷入電車難題的困境，而自動駕駛機動車卻基于先前的一系列決策陷入困境，這就構成了機動車存在設計缺陷的有力證據。
如果查明，即便人類駕駛員也無法避免陷入電車難題困境，那麼先前所描繪的抉擇難題也就擺在我們面前，此時簡單設想一名人類駕駛員作為參照對象并不能帶來多大幫助，因為對人類而言在此困境中同樣沒有顯而易見的答案，是以我們必須訴諸基礎性的價值作出權衡和論證。本文所支援的立場是，生産者應當為機動車配備選擇較小人員傷亡的決策機制，對此有兩種論據。
第一種論據是侵權法中的“損失最小化”原則和避免損失擴大義務。在侵權法的視野下，最理想的狀态自然是完全避免損失發生，但如若損失的發生是既成事實或者無可避免，侵權法并不消極無為，而是向相關方積極提出避免損失擴大的要求。據此，針對電車難題這類損失發生無可避免的情景，生産者負有的法律義務是，使機動車采取一切可能措施将損失後果降低，這意味着隻要存在減小損失的選項，生産者就應當使機動車執行這一選項。這一結果在筆者看來具有自明的正當性，憑什麼說那種置減小損失的選項不顧放任損失擴大的設計更符合侵權法的價值目标和社會的安全期望呢？！
另外一種頗具新意的論證由德國法學家Gerhard Wagner提出，他在讨論中引入了羅爾斯構想的“無知之幕”（veil of ignorance）作為論據。對存在重大意見分歧和尖銳利益沖突的公共問題，無知之幕可以起到輔助分析和決斷的作用。具體而言，将公共交通全體參與人的代表置于“無知之幕”後，然後組織他們商議，就電車難題應該為自動駕駛機動車設計怎樣的決策程式？由于“無知之幕”的作用，每個人既不知道自己的一切個人資訊，也不知道自己在“電車難題”情景中扮演何種角色。讓我們推測“無知之幕”後的代表會如何思考自己在電車難題中的處境并作出怎樣的選擇。
首先，代表們無法确定自己是威脅方即自動駕駛機動車一方，還是被威脅方如自行車騎手、普通行人；其次，他們也無從知曉，如果自己處于被威脅地位，自己究竟是多數人一方，還是少數人一方。在這種情況下，代表們商議的結果顯而易見：他們會選擇較小人員傷亡的方案。原因不難了解，如果代表設想自己處于威脅一方，那麼無論是出于情感憐憫還是出于對損害後果的功利計算，“兩害相權取其輕”，他們都會選擇使更少的人受到傷害；如果代表設想自己處于被威脅一方，而又無法确定自己究竟屬于多數方還是少數方時，合理的選擇依然是儲存多數方，因為這樣獲救的人更多，那麼他本人或者他所在乎的人幸存的幾率也就越大。
其次，人員損失大小的計算本來是一個相當複雜的問題，對此我們隻需回憶法律上關于“同命是否同價”的争論，那麼自動駕駛系統該使用何種标準來比較人員損失的大小呢？“無知之幕”下的代表們同樣能對此商議得出答案。基于無知之幕的作用，代表們在确定人員損失大小時會采取一種生命平等的立場，因為無知之幕将代表們的年齡、性别、國籍、受教育程度、收入、職業等一切差異性因素全部遮蔽，是以即便代表想對某一群體作出特殊對待，他們也無法确定，自己将從這一特殊待遇中受益或是遭受不利。按照這一立場，在比較損失大小時，需要并且可能考慮的僅僅是原子式的生命數量，這不僅契合民事主體地位平等原則（《民法總則》第4條），而且也将算法設計需注意的變量減少到易于處理的程度。
綜上，如果自動駕駛機動車無可避免地陷入電車難題式的抉擇困境，那麼一種無缺陷的設計應當以損失最小化為決策目标，而損失大小的基本标準是生命數量的多少。
4. 軟體設計缺陷的兩類情形
（1） 嚴重程式設計錯誤
自動駕駛系統的軟體程式——和其他軟體程式一樣——無法絕對避免程式設計錯誤。有資料統計，即便是中等複雜程度的軟體開發，在5萬至10萬行的程式語句範圍内就有約150至300個程式設計錯誤，像自動駕駛系統這樣高度複雜的軟體必定錯誤數量更多。是以必須首先明确，并非任何一種程式設計錯誤都意味着軟體系統具有設計缺陷，因為鑒于軟體開發的特性，人們可以合理期待于生産者的不是完美的即零錯誤的軟體，而是相對安全的即能夠避免嚴重程式設計錯誤的軟體。所謂的嚴重程式設計錯誤，是足以導緻自動駕駛系統當機或者崩潰，并由此引發交通事故的錯誤。
為了避免嚴重程式設計錯誤，生産者需要權衡，即要麼将軟體完善到有極大把握消除嚴重程式設計錯誤的程度再推出，要麼針對嚴重程式設計錯誤引發的系統崩潰預設應急反應程式，一種可設想的應急程式基于“最小風險原則”，即系統隻要探知到哪怕是最小風險就應立即啟動保護模式，比如将車停泊至一個安全區域。
（2） 黑客入侵
機動車的智能網聯化同樣使得黑客入侵成為可能。對自動駕駛機動車這一直接關系人身安全的對象，使用者可以合理地期待，智能系統依照其設計即具有抵抗未授權人操縱的能力。如果軟體系統具有漏洞，而黑客利用漏洞控制了自動駕駛機動車，這就意味着一種軟體設計缺陷。在迄今為止的司法實務中，與上述情形最接近的案件類型涉及第三人入侵資料資訊系統。盡管法院在此類案件中通常态度比較謹慎，但是已經存在令資料資訊系統的管理者對第三人入侵承擔責任的判決，例如未知的第三人利用僞造的儲蓄卡從銀行系統盜刷錢款，導緻真正的儲蓄人遭受損失，法院認定銀行應承擔相應責任；又如POS機交易系統遭黑客修改資料，款項是以未進入真正收款人的賬戶，法院判決交易系統管理者向真正收款人承擔責任。此類裁判結果對産品責任具有可參考性。
（四）警示說明缺陷
生産者必須對産品的使用方式作出易于了解的說明，同時還必須對産品的風險給出充分的警示。一種産品即便沒有制造缺陷和設計缺陷，也會因為缺乏恰當的警示說明而具有不合理的危險。司法判決對警示說明缺陷的内涵作出了很大的豐富和擴充。一般規則可直接适用于自動駕駛機動車，例如需說明的不僅是産品正确的使用方式，還包括常見的錯誤使用方式及其可能的後果和補救措施；如果産品的特定部分需要專門維護又或者禁止改裝，那麼這也必須向使用者說明；另外，說明警示的措辭行文必須令一個普通消費者即不具有機動車專業知識之人也能了解。下文再挑選自動駕駛機動車具有特殊性的兩點加以說明。
1. 要點Ⅰ：未準确說明機動車的自動化級别作為警示說明缺陷
不同級别的自動駕駛機動車有不同的操作方式，對人類駕駛員的要求也有很大差别，是以生産者必須準确說明機動車所屬的自動化級别。生産者不得為了宣傳故意誇大機動車的自動化級别，這極易導緻使用者不當使用。例如特斯拉迄今為止在美國的兩起緻死事故，事後調查都發現，事故發生時駕駛者并未按照系統要求将手放在方向盤上。最可能的原因是，使用者過于信賴系統的自動化功能是以未在駕駛上盡必要的注意，其根源則是生産者“過度宣傳”導緻使用者放松警惕。司法實務中具有可比性的案例涉及電動自行車（非機動車）超标至機動車而生産者未作出相應警示說明的情形。
例：“電動自行車超标”：生産者在産品說明中将最高時速和重量都已到機動車标準的電動自行車描述為“非機動車”。由于非機動車和機動車的潛在危險性和駕駛方式有重大差別，法院認定産品在警示說明上有缺陷，誘導使用者錯誤操作，生産者是以需對事故損害承擔産品責任。既然生産者将“機動車”标為“非機動車”構成警示說明缺陷，那麼與之相類似，将自動化級别較低的機動車标為級别較高的機動車同樣構成警示說明缺陷，其共同特征在于，産品的警示說明未能準确描述（甚至遮蔽了）産品的正确操作方式和真實危險程度。
進一步而言，對不同級别的機動車，生産者不能僅是泛泛地說明其一般性風險，而必須有的放矢地指出該級别機動車的特殊風險。比如對L2、L3級别的機動車，生産者應當通過警示說明使使用者完全清楚自動駕駛功能的有限性，即使用者要麼需自始至終監控駕駛環境，要麼需準備随時應系統要求介入。對L4級别的機動車而言，這類機動車雖然已具有高度自動化功能，但限于特定道路環境（如高速公路）；針對于此，生産者必須向使用者強調自動駕駛功能的場地受限性，并應當在系統中加入相應的提醒程式，每次在機動車即将離開這類道路前，系統應當及時提醒使用者接手操作。
2. 要點Ⅱ：對不合理危險的警示說明不足以免責
需強調的是，警示說明并不能排除對産品的安全制造與合理設計義務。也就是說，隻有在合理危險範圍内，盡到警示說明義務才有免責效果。在不合理危險的範圍内（即存在制造缺陷或設計缺陷時），即便生産者作出警示說明，也沒有免責效果。這也意味着，生産者不能将機動車依其自動化級别應承擔的駕駛任務通過警示說明又轉嫁給使用者，或者通過作出警示說明來推卸機動車理應提供的安全保障。
五、自動駕駛機動車上道測試的兩個特殊問題
（一）簡述
自動駕駛技術的研發一般要求在進行一定裡程的封閉道路測試後，再進行開放空間即真實道路上的測試，以便于生産者積累資料，改善算法。自2017年年末起，以北京為先，大陸多地（上海、重慶、深圳、福建等）出台了關于自動駕駛機動車上道測試的規範性檔案。北京又率先于2018日3月22日向百度頒發了自動駕駛測試用臨時号牌，并在北京經濟技術開發區、順義區和海澱區确定了33條約105公裡的首批開放測試道路，之後上海、福建也頒發了測試牌照。2018年4月11日，工信部、公安部、交通運輸部三部委公布了《智能網聯汽車道路測試管理規範（試行）》（以下簡稱三部委《路測規範》），從此大陸的自動駕駛機動車路測從地方上升到中央層面，有望在全國範圍内鋪開。鑒于自動駕駛技術開發的高難度，可以預見，在未來相當長的一段時間内，自動駕駛技術都将處于或者說停留于上道測試階段。在這段時間内，自動駕駛機動車首先是作為測試車而非上市銷售商品獲得現實影響力和進入法律的規制視野，是以機動車上道測試值得一番專門探究。
自動駕駛機動車進入公共交通空間測試将對産品責任提出兩個重要問題。第一個問題是，上道測試的自動駕駛機動車雖然尚未開始銷售，但是否同樣屬于投入流通的産品（并因而有産品責任的适用）？當第一個問題獲得肯定時（本文即采此立場），第二個問題随之而來，即如果測試車在軟硬體部分來源不同，究竟誰才是該車的生産者（并因而成為産品責任的首要責任主體）？
（二）投入流通問題：上道測試機動車作為投入流通的産品
1. 基于“投入流通”一般判準——“廠門理論”的論證
産品責任最關鍵的時間點是“投入流通”，這首先展現在，産品責任成立的三類阻卻要件（免責事由）全部系于“投入流通”這一時間點之上，尤其是逆推《産品品質法》第41條第2款第1項可以得知，隻有投入流通的産品才能引發産品責任。問題是，什麼情況下構成“投入流通”？
如果認為自動駕駛機動車直到正式獲批上市銷售才算投入流通，那麼顯然對上道測試車不存在産品責任。但這種認識并不正确，因為按照産品責任的一般原理，決定是否投入流通的關鍵事由本來就不是獲得監管機關準許上市，而是産品基于生産者的意願離開生産者的支配領域，或者更形象地說,投入流通意味着生産者自願讓産品通過其“廠門”（所謂的“廠門理論”，Werktortheorie）。由此可見“投入流通”要件有二，其一是“離開生産者的支配領域”，其二是“自願性”。由此觀之，上道測試的自動駕駛機動車已經符合這一标準，因為一方面公共道路顯然在生産者的“廠門”之外，即不屬于生産者的支配領域；另一方面，這種情況下機動車離開生産者的支配領域——和被盜、被搶時不同——是基于生産者意願發生的。
另外，雖然通常産品投入流通的标志性現象是，生産者将産品傳遞給處于商品交換鍊條另一環的一方（可以是最終的消費者，也可以是銷售者）。而自動駕駛機動車在上道測試時卻并未出現這一現象，在測試時，機動車上要麼沒人，要麼僅有測試主體雇傭的安全員或者測試駕駛員，這些人員一般是作為測試主體的雇員而非作為普通消費者出現。但這并不妨礙将上道測試機動車評價為投入流通，這是由自動駕駛技術的獨特性決定，因為自動駕駛的作用就展現在降低甚至消除駕駛任務對人類的依賴，是以無論什麼人在車上本質上不影響機動車的安全性或者說危險性。如果我們将生産者自願使産品風險越過自己支配領域的邊界擴張至其他領域作為投入流通的前提，那麼上道測試的機動車無疑已經滿足這一前提。
2. 進一步的論證
關于上道測試機動車構成投入流通的産品，下文還将提出兩種論證。
（1）基于橫向比較的論證：“相似對象，相似對待”
第一種論證是基于“橫向比較”的“相似對象，相似對待”：一台自動駕駛測試機動車隻要進入開放道路，對整個交通系統和其他交通參與人而言，其影響力、緻害可能性與一台普通機動車已經沒有根本差别。基于這一相似性，測試機動車應該和普通機動車一樣被置于産品責任的輻射下。
（2）基于縱向比較的論證：“舉輕以明重”
第二種論證是基于“縱向比較”的“舉輕以明重”：假如在未來自動駕駛機動車獲得準許上市銷售，顯然那時的自動駕駛機動車的危險性要低于現在的測試用車，因為自動駕駛技術會随着發展更臻成熟。既然危險程度更低的成熟品的生産者都需承擔産品責任（“輕”），那麼危險程度更高的試驗品的生産者就更應承擔産品責任（“重”）。
3. 法政策上的權衡折中
測試車被（例外性）允許在不成熟狀态就進入公共空間，是因為考慮到這雖然會帶來特殊的危險，但自動駕駛作為一種具有公共效用并最終能使得社會全體成員獲益的科學技術，應得到政策上的鼓勵和支援，這要求社會成員在安全方面作出一定的讓步。但正因為已作出了讓步，就更應當對讓步作出“補償”，而補償的一種主要方式即是在允許測試車上道的同時張開産品責任的保護網。一旦自動駕駛機動車造成交通事故，受害人可以按照産品責任來求償，由于産品責任是無過錯責任，對受害方來說舉證負擔最輕因而最有利。
最後，施以産品責任也不會給測試主體帶來過重的或者超出預期的負擔，因為一方面單個主體隻允許測試數量較少的機動車，另一方面測試主體一般必須為測試機動車購買專門保險，如三部委《路測規範》要求測試者提供每車不低于五百萬元人民币的交通事故責任保險憑證或不少于同一數額的保函，北京和上海的地方規範也都作出了相同要求。
（三）責任主體問題：測試主體作為生産者
由于自動駕駛技術與算法、資料、網絡緊密相關，這一領域的活躍者不僅有傳統機動車廠商，還有新興網際網路企業，尤其是在搜尋引擎技術方面有着深厚積累的企業，國際上的代表是谷歌，國内的代表則首推百度，北京的首批測試牌照甚至就頒給了百度。由于這些網際網路企業本身并不生産機動車，是以為了進行測試要麼需和機動車企業合作，要麼直接改造現有機動車。随着測試的鋪開，可以預見測試機動車的來源會更加複雜和多元化。
舉例而言，百度改造大衆牌的一輛機動車并用于測試，此時誰是測試機動車的生産者，是百度還是大衆？這一問題其實等同于另一問題，即在原來不具備自動駕駛功能的機動車上安裝自動駕駛系統是否帶來質變使得該車成為另外一個産品？
答案是肯定的。因為按照産品責任的一般規則，對預先完成的産品（作為零部件）按照特定構思加以組裝（Assembling）也是一種生産，其成果是一種獨立的産品（成品）。上面的例子正是這樣一種情況，這種組裝行為足以使得組裝者（上例中即百度）成為測試機動車的生産者。是以，隻要測試主體對機動車進行了針對于自動駕駛上道測試目的的專門組裝，那麼無論原車來源為何，測試主體都基于組裝行為成為測試車的生産者。
六、結語
自動駕駛機動車确實是一個具有時代意義的新事物，但在法律伴随人類文明發展走過的漫長歲月中，自動駕駛機動車不是法系統遇到的第一個也絕不會是最後一個新事物。自近代以來，法律尤其是侵權法已經不止一次地成功應對了新科技帶來的沖擊。我們完全可以相信，面對蓬勃興起的自動駕駛技術，具有學習能力的法系統将不負期望，在履行保護共同體成員使命的同時，兼顧促進科技發展的目的，最終引導自動駕駛（以及其他人工智能技術）走上增進社會福祉的道路。基于以往的經驗，勝任這一任務的關鍵是，法系統必須直面自動駕駛技術的挑戰，抓住契機進行學習，這既要求司法者和研究者充分激活和開發現有規範庫藏的潛力，也要求立法者在必要時進行立法或修法，引入全新規範資源。經過這一交鋒式的學習過程，法系統——像從以往無數次學習過程中受益的那樣——将迎來自身規範能力的提升。
最後将産品責任的成立以圖表形式總結如下，本文論述的有關要點也嵌入表中并在腳注裡标明在文中的論述位置。表中所有法條指的都是《産品品質法》的條文。
-END-
責任編輯 | 劉卓知
稽核人員 | 張文碩
本文聲明 | 本文章僅限學習交流使用，如遇侵權，我們會及時删除。本文章不代表北大法律資訊網（北大法寶）和北京北大英華科技有限公司的法律意見或對相關法規/案件/事件等的解讀。
▼