王乐兵：自动驾驶汽车的缺陷及其产品责任 | 清华法学202002

　　【作者】王乐兵（对外经济贸易大学法学院讲师，法学博士）

　　【来源】北大法宝法学期刊库《清华法学》2020年第2期（）。因篇幅较长，已略去原文注释。

　　内容提要：自动驾驶汽车的驾驶安全需要自动驾驶技术自身的安全和一系列配套条件的实现。但因为人工智能的非理性特征、“算法黑箱”、既有设备技术条件的限制、“人机混合驾驶”、自动驾驶汽车与传统机动车并存等问题的存在，自动驾驶汽车的驾驶安全根本无从保障。从当前的技术条件来看，自动驾驶车辆存在制造、设计和警示三方面的缺陷，但其认定方法并不一致。对于设计缺陷的认定，应当融入部分过失责任的要素，以鼓励生产者持续提高自动驾驶技术的安全性能。缺陷认定中对生产者过失因素的考量并不影响产品责任的严格责任本质，自动驾驶汽车生产者仍需要对源自车辆硬件和软件的各类缺陷所导致的损害承担严格产品责任。《产品质量法》应当借鉴制造缺陷、设计缺陷和警示缺陷的功能性分类，并细化其认定标准，实现消费者保护和鼓励技术创新的平衡。

　　关键词：自动驾驶；严格责任；“风险—效用标准”；设计缺陷；算法黑箱

　　一

　　2016年1月，一辆特斯拉轿车在京港澳高速河北邯郸段撞上一辆正在同向车道前方行驶作业的道路清扫车，司机高某不幸身亡。经交警认定，司机高某对追尾事故负主要责任。事后，司机高某的父母将生产商特斯拉公司告到法院，要求其承担产品责任。在审理过程中，法院委托的鉴定机构通过读取特斯拉公司提供的行车数据，确认司机高某当时开启了自动驾驶系统，并直接导致了事故发生。由此，该案成为全球第一例因自动驾驶汽车致人死亡而导致的产品责任诉讼案件。同年5月，在美国佛罗里达州，驾驶员驾驶同款汽车，在开启自动驾驶功能后观看电影，因自动驾驶系统未能识别出突然进入车道的白色车辆，致使发生碰撞事故，驾驶员当场死亡。在此之后，意大利、美国蒙大拿州、加利福尼亚州和我国北京陆续发生了几起因开启自动驾驶（Autopilot）系统而引发的交通事故，并导致了人身财产损失。连续发生的事故，使得消费者对自动驾驶车辆的安全性产生了疑问，也使自动驾驶汽车的产品责任问题浮出水面。

　　与传统的产品责任案件不同，自动驾驶汽车致人死亡的侵权案件呈现一些新的特征：相比于传统汽车，自动驾驶汽车因其软、硬件的合成而使其制造技术和使用更加复杂，风险因素增加；人工智能驾驶系统使得汽车的控制权和驾驶决策从驾驶员部分甚至全部转移给了驾驶软件；相比于硬件缺陷，自动驾驶汽车的软件和算法缺陷更为隐蔽，但其造成的损害后果却更为严重、更加具有不可预防性。但是，如何认定自动驾驶汽车的缺陷在我国当前法律体系中仍属空白，导致对其生产者适用产品责任极富争议。自动驾驶汽车的产品缺陷应当采用何种标准进行认定？作为人工智能应用的典型代表，自动驾驶汽车的软件和算法缺陷能否适用产品责任？《产品质量法》的修改和民法典“侵权责任编”的制定应当如何回应人工智能对产品责任的影响？当前国内学界对自动驾驶汽车交通事故责任进行了较多研究，并对高度或完全自动驾驶汽车的产品责任问题进行了初步探讨；但对“人机混合”模式下部分自动驾驶汽车的产品责任未予以系统深入的研究。有鉴于此，本文以当前国内外发生的部分自动驾驶汽车致人死亡案件作为切入点，结合《产品质量法》修改和民法典“侵权责任编”的制定，系统分析自动驾驶汽车的产品缺陷及其产品责任的适用问题，为自动驾驶技术的发展提供确定的法律预期，保护消费者的合法权益，亦为立法如何回应人工智能的挑战提供系统的思考视角和经验借鉴。

　　二

　　在我国当前的法律规范框架下，并无对自动驾驶汽车产品缺陷责任的特殊规定；“民法典侵权责任编草案”基本沿袭了现行《侵权责任法》和《产品质量法》的相关规定，未就其做出更细致的规定。对于传统汽车，其当然属于《产品质量法》规定的“产品”之范畴；主管机关亦颁布了《缺陷汽车产品召回管理规定》等配套规范，旨在确保产品安全、维护消费者合法权益。然而，人工智能和大量软件、程序在自动驾驶汽车上的应用，使其获得了不同于传统汽车的特性，由此产生的问题是人工智能技术在汽车上的应用，是否会改变汽车的“产品”属性及其产品缺陷的认定，从而会影响到其责任的承担？为了避免“人工智能法学研究中的概念附会”问题，本文先对自动驾驶汽车的技术特征与法律性质进行分析，避免对人工智能技术不切实际的空想，以便为其缺陷认定和产品责任分析提供扎实的基础。

　　（一）自动驾驶汽车的安全性能与其设计本旨

　　与传统汽车不同的是，自动驾驶汽车主要是通过集成化的、系统性的驾驶取代传统的个性化色彩突出的驾驶习惯，通过大数据和系统化的驾驶行为避免驾驶员的各类错误，实现其防止碰撞和预防交通事故的首要目标。不同于传统汽车，自动驾驶汽车不再强调驾驶车辆的操控性和驾驶乐趣，而是更注重车辆能否将乘客安全地送达目的地这一实用性目标。寓于实用性目标的车辆安全性，理应成为自动驾驶汽车行业发展的根本要求，只有在确保车辆安全使用的前提下，才能谈及其合法性和商业推广，否则，其不仅不能实现其所被期待实现的目标，反而对人类生命健康安全形成巨大威胁。

　　为了实现这一目标，自动驾驶汽车融合了人工智能发展的技术成果，确立了“感知—规划—行动”的设计逻辑：整套的感知系统收集外部世界以及车辆与其周边环境关系的各类实时数据；其软件算法则对传感器收集到的数据进行解读和分析，如根据道路图片规划线路、根据雷达数据分析其他车辆的行为等。自动驾驶系统利用收集到的各类信息做出自动驾驶车辆的驾驶决策，如加速、刹车、变向等，并转化为车辆控制系统的可执行命令。自动驾驶技术涵盖了高性能复杂嵌入式系统、人工智能芯片及算法、高速网络、海量数据收集、处理和计算、云机协同等诸多技术，从而构建一个集环境感知与认知、动态规划与决策、行为控制与执行等多项功能于一体的综合智能系统。值得注意的是，自动驾驶技术广泛应用并实现其安全目标需要一系列技术前提：①物联网的普及和智能网联，即通过人工智能和大数据的广泛应用，实时收集自动驾驶车辆和各类驾驶环境数据；②公路的智能化改造，从而可以实时监测道路交通环境，并实时分享；③车辆的智能化，使自动驾驶汽车成为一个个移动的“智能体”，通过训练人工智能的自我学习和适应能力，各“智能体”可以协调各自行驶线路、速度、相互间距离等，自主应对各类路况和突发情况，实现交通流量优化并避免交通事故。

　　但是，因为相关大数据技术基础设施的滞后，其仅仅实现了车辆的部分智能化，物联网和公路的智能化改造均未实现，致使自动驾驶技术应用的基础场景缺失，无法实现驾驶数据的快速收集、分析和共享，难以做出保证驾驶安全的决策，理想和现实之间存在难以逾越的技术鸿沟，而这对自动驾驶汽车的安全性能构成了根本性挑战。即使在车辆的智能化方面，不管是自动驾驶的感知识别系统、决策系统、软件算法还是运算能力，在当前的技术条件下，其仍然存在诸多无法克服的各类内在风险。

　　首先，就其感知系统而言，其可以通过视觉感知（摄像头和视觉传感器）、激光感知（激光雷达）和微波感知（如毫米波雷达）等三种代表性技术完成对驾驶环境的识别和监测，识别道路状况（如坡度、障碍物、坑洞、拐弯或绕道等）、交通状况（路线标志、信号灯、限行限速、拥堵、事故等）、道路上的其他车辆和行人、天气条件等，从而代替驾驶人的感知。因为配备了先进的感知设备，其所能感知的距离更远、对环境的变化更敏感，也不会像人类一样感到疲倦、不会受到光线和雨雾等天气因素的影响，因此，自动驾驶车辆的感知系统相比人类具有优势。但是，从当前的技术发展角度来看，以上三类感知技术各有优点和缺点，如视觉感知容易受到光照和运动速度的影响，因此在强光和高速公路上行驶时，无法进行有效感知，并且其当前仅能用于识别特定目标（如人脸、文字、指纹等），尚无法胜任复杂环境下的全要素识别任务，这也是为何佛罗里达州自动驾驶事故发生的主要原因；而激光传感器和微波感知毫米波雷达则无法感知无距离差异的平面内目标信息，无法有效应对复杂的城区驾驶环境，因此其无法识别静止物体或低速行驶（如低于30km/小时）的车辆、偏航的车辆、路坑等，而这恰恰是河北邯郸事故的主要原因。由此可见，当前自动驾驶的感知和识别技术，均无法有效的识别所有影响驾驶安全的要素，因此需要融合当前的几种感知技术，并且辅以车辆定位导航技术，以更好地确定车辆的位置、速度、航向等。即使如此，也不能保证对相关物体完全实现有效识别。相对而言，人眼识别更加有效，相关障碍（尤其是不能被机器有效识别的障碍）均可被人眼有效识别并避免事故的发生。一个不能有效识别驾驶障碍的自动驾驶汽车，根本无法做出安全有效的驾驶决策，这一问题将从根本上动摇自动驾驶系统的安全性基础。

　　其次，就其决策系统而言，因为计算机芯片更加先进，自动驾驶系统的决策系统数据处理能力相比人类明显更为强大，决策反应更为迅速，电脑算法可以综合各类因素，如车辆速度、其他车辆的位置和行为方式、障碍物的位置和轨道灯，通过迅速地评估、比较、选择并最终做出最佳的决策，因此可以有效避免人类的犹豫、惊慌、计算失误等因素导致的错误决策和事故。与此同时，在当前的技术条件下，人工智能也具有明显的缺陷：①其基础算法无法像人类一样富有经验并可以完全理解其所感知到的各类数据；在某些感知挑战赛中，参赛队提供的算法对超市货架上的物品甚至不能达到80%的准确率，因此需要不断地完善电脑算法以便更加准确地侦测、识别和定位各类物体。②人工智能的学习能力需要不断进行训练和培养，但对人工智能深度学习的能力培养很大程度上体现了开发者的知识积累程度和价值观，甚至带有其在现实世界中的歧视和偏见，具有很大的局限性。如当前的自动驾驶系统对静止物体或低速行驶车辆的识别问题，因为环境中静止的物体很多，受限于识别能力和数据处理能力，车载雷达和电脑无法处理，因此当前的自动驾驶系统被设计为主要识别移动的物体、而无法识别静止或低速移动的物体，这也是为什么当前的自动驾驶系统均要求驾驶者始终保持对车辆的控制。这一问题在“河北邯郸案”中体现的很明显，其感知系统已经识别了这些情况，只是分析和决策系统决定忽略，不采取行动，最终导致事故发生。这一设计虽然大大减轻了机器的学习压力，但也表明了设计者对消费者安全的漠视。此即机器学习过程的不透明所导致的常人难以知晓的“算法黑箱”，但这一安全隐患通常不为普通消费者所知。人工智能的算法缺陷使得消费者对智能机器的控制力下降，因为普通消费者根本不了解其所深藏的算法缺陷，从而使得其行为具有更大程度的不可预测性。

　　从上述分析可知，自动驾驶系统的感知、识别和决策系统并非完美；受制于当前技术发展的不完备性和成本因素，当前的自动驾驶系统无法有效处理影响驾驶安全的各类因素，甚至某些因素因为经济和效率原因而被设计者所刻意忽略，再加上行业从业人员的刻意误导宣传，自动驾驶汽车的安全隐患被人为掩盖了，严重违背了产品的设计伦理和法律伦理。

　　（二）自动驾驶汽车与“产品”的界定

　　对于产品责任法意义上的“产品”，通常系经过加工、制作用于销售的各类有形动产，原则上不动产和无形动产不能作为《产品质量法》规范的产品。从比较法上看，部分国家有将部分不动产、电力以及软件作为产品对待的做法。自动驾驶汽车的一大特征是由软件或程序代替驾驶员做出驾驶决策，并且因为人工智能的发展使其可以基于其算法而具有自主学习和决策能力。随着软件在传统汽车上的应用愈发重要，与软件和电子器件有关的机动车缺陷导致汽车召回的数量日益增加；而自动驾驶汽车上融合了更多复杂技术，其所安装的软件的缺陷将直接影响到汽车功能的发挥和驾驶安全。随着从传统车辆向自动驾驶车辆的转变和车辆智能化程度的提升，事故更多源自产品软件或“算法”缺陷而非驾驶员的错误，因此生产者是否应当承担软件缺陷所导致的产品责任？

　　首先，对于软件程序等智力产品是否构成“产品”及其生产者是否承担产品责任，我国《产品质量法》《消费者权益保护法》等均未明确规定。从比较法上看，各国产品责任法中的“产品”原则上仅面向各类有形动产；而计算机软件虽然是自动驾驶汽车的重要构成部分，但其并非经过加工的有形产品，故而缺陷理论能否适用于（自动驾驶汽车的）软件或者算法错误存在争议。例如书籍可以被视为产品，但书籍中包含的信息则不能视为产品，因为作者所表达的观点是知识产权所保护的对象。典型的例子诸如包含错误信息的导航软件和地图，因为导航软件的错误指示，导致飞机坠毁；以及与波音737-MAX的“机动特性增强系统（MCAS）”，该软件本来是为了应对因更换发动机所可能导致的飞机失速问题，但因为传感器的错误导致软件错误启动，并最终致使飞机坠毁。在Aetna Cas.& Sur. Co.v. Jeppesen & Co.一案中，法院认为，导航图主要是根据其物理特征而非其所包含的信息内容进行使用，因为“‘降落坐标’是由联邦航空管理局以表格形式规定的，杰普森公司（Jeppesen）获得了联邦航空管理局的表格并将其信息描绘在图标上，此即杰普森公司的产品”，并且驾驶员对导航图的依赖直接导致了事故的发生。但亦有法院拒绝此种推理，其认为杰普森公司的图标不过是将政府降落程序中的文本的再出版，其将政府程序中的文本转化为图标形式，并且表明该图标包含了所有必要信息。得克萨斯州上诉法院在Way v. Boy Scouts of America一案中认为，在事故发生时，导航自身被直接用于飞机的操作，不精确的数据直接导致了飞机事故的发生，就像损坏的罗盘或不精确的高度仪导致飞机坠毁一样。因此，借鉴上述论证逻辑，鉴于自动驾驶软件核心角色，其直接导致了事故的发生，因此自动驾驶软件可以被视为产品进而适用严格责任。

　　将软件视为产品的第二个理由是，若软件在市场上进行大规模的批量销售，则该软件应当被视为“商业软件”，进而应当被视为产品，因为商业软件具有批量生产和规模化销售、生产者处于控制风险的较好地位和具有分摊产品事故费用的较强能力等特点；当其缺陷导致消费者受到损害时，应当适用严格的产品责任；这一观点也被《美国统一商法典》所采纳。商业软件区别于专门为满足特定消费者（尤其是企业）需求而开发的软件，后者应当被视为服务，因为该软件系根据客户要求而量身定做的，需满足特定的技术要求并须提供培训、维护等配套服务。通过商业软件与服务软件的区分，并将商业软件作为产品对待，可以有效地实现对消费者的保护。从消费者的角度而言，将软件视为产品并对其缺陷适用严格责任将鼓励生产者进行充分的检测以便在该软件投入市场之前阻止可能存在的缺陷，而不是寄希望于消费者在使用过程中发现其存在的漏洞并向其报告。随着软件缺陷所导致的人身损害日益增加，我国《产品质量法》必须考虑是否以及在何种程度上将产品责任适用于软件缺陷，从而实现保护消费者和鼓励技术进步的平衡。

　　将软件视为产品的第三个理由是，软件构成了特定产品的一部分或者说是“固有软件”，并直接塑造了该产品的核心性能和特征，如安装了自动驾驶软件的汽车。其最典型的特征是内置于该产品之中，成为产品具有特定性能的基础要素或前提。亦因此，消费者并不完全知晓内置于车辆的各类软件。实际上，软件对于车辆安全的重要性在传统车辆中也日益重要，某些品牌车辆内置的程序编码已经超过了飞机，与车辆集成电子部件和软件相关的车辆缺陷是近些年车辆召回的主要原因，如通用在2016年召回了360万辆汽车，原因是其行车电脑会导致气囊和安全带发生故障。作为生产者内置于车辆内的软件，包括产品销售之后下载或更新的软件，其均体现了生产者对产品功能和安全的控制，并对消费者的人身财产安全具有重大影响；相比于传统车辆，自动驾驶车辆涉及更多复杂的技术集成，更容易受到内置软件缺陷的影响；如果因为软件存在缺陷导致产品致人损害，则应当视为该产品自身缺陷所导致的损害、应由生产者或销售者承担严格责任；至于生产者与该软件的提供者或设计者之间因该软件缺陷引发的纠纷，应当由双方根据其既有合同约定进行解决，不应当影响到消费者向生产者主张产品责任。预置于车辆内的软件已经成为车辆的的一部分，使其获得了自动驾驶这一功能，彻底改变了车辆的特性，因此，软件缺陷应当被视为产品缺陷，生产者和销售商应当承担相关产品缺陷责任。

　　综上，自动驾驶技术的发展阶段与其设计所要求的安全目标之间仍然存在较大距离。虽然自动驾驶系统主要体现为机器学习，但自动驾驶软件在车辆上的广泛安装和使用使其成为自动驾驶车辆的固定构成部分，是自动驾驶车辆区别于传统车辆的核心特征之所在，因此，自动驾驶软件所具有的缺陷应当被视为自动驾驶车辆自身的产品缺陷，并非生产者所提供的满足特定消费者需求的“服务”，应当由《产品质量法》予以调整和规范。

　　三

　　即使将自动驾驶软件视为产品，其缺陷受到产品责任的调整，但在缺陷的具体认定上仍面临诸多挑战和困难。作为一项新事物，自动驾驶技术的产生和发展使得车辆缺陷的来源更加多元化、缺陷认定更加复杂、判断标准更加多元，凸显了我国当前《产品质量法》修改的必要性和紧迫性。

　　（一）《产品质量法》缺陷认定标准及其问题

　　对于产品“缺陷”的认定，我国《产品质量法》第46条采用了“不合理危险”和“不符合国家、行业法定标准”二个标准。然而，这种缺陷判断标准却存在二个深刻的内在缺陷。

　　首先，在这二个认定标准之间存在适用方面的矛盾，即作为裁判者的法官在判断争议产品是否具有缺陷时，其倾向于优先寻找国家或行业标准而非直接判断产品是否具有不合理危险。实践中经常存在情况是，受制于技术发展水平、标准制定和修改的滞后性等因素，某些产品即使符合国家或行业标准，亦可能存在危及人身财产安全的不合理危险，尤其是当符合法定标准的产品不符合社会普遍公认的安全性时。因此，简单地直接适用“国家或行业标准”判断产品是否存在缺陷极易导致生产者以其产品符合法定标准而免责，致使生产者和消费者之间的权利义务关系失衡，不利于消费者权益保护。因此，认定是否存在缺陷的最终标准应当是产品是否具有“不合理危险”，而不管其是否符合国家法定标准。但这种做法亦有其现实的合理性，即“不合理危险”标准的抽象性使得裁判者无法像判例法国家的法官一样去发展一系列具体的规则保障法律适用的统一性和准确性，也无法规范自由裁量权的行使。因此，适用法定标准成了裁判者的次优选择。但这种次优选择显然违反了产品缺陷认定的科学逻辑，也明显不利于消费者权益保护。

　　其次，缺陷作为普通产品责任构成要件的逻辑基础，其存在源自这样一种强烈的推定：即在生产过程中必然存在过失。但是，很多产品的特性恰恰系其风险和效用的集合点，如果彻底消除风险，则该产品也就丧失了其效用。因此，各国侵权法均将产品的风险限定在“不合理危险”。而在具体认定何为“不合理危险”时，在产品责任法的发展过程中发展出了不同的标准。如早期各国大多坚持消费者期待检验标准，如《欧洲经济共同体产品责任指令》第6条规定：“如果产品不能提供人们有权期待的安全性，即可认定该产品存在缺陷。”英国1987年《消费者保护法》亦采取了这一标准，我国《产品质量法》第46条也深受消费者期待理论的影响。当消费者就特定产品支付了相应价格后，其有权利合理地期待其所购买的产品可以安全地发挥产品性能而不会造成不合理的损害，此即合理的消费者期待标准得以建立的前提。由此可见，该合理期待指向的是产品的性能，而通常不考虑生产者行为是否具有合理性，体现了严格产品责任的逻辑，而且其主要指向经过制造、加工之后的产品自身，因此主要适用于传统的制造缺陷。

　　但是，随着技术的发展和产品复杂性的增加，产品安全更多受到其设计和警示缺陷的影响，传统的制造缺陷所占比例越来越小。但是设计缺陷和警示缺陷的认定标准和参考因素完全不同于制造缺陷：制造缺陷主要源自产品的生产过程中对设计的背离，生产者没有按照设计标准进行生产，此类缺陷的认定可以根据客观标准直接认定；而如下文所述，对于设计缺陷和警示缺陷，更多的体现为生产者的过失，因此对于此类缺陷的认定更关注生产者基于当时的技术发展水平，在设计过程中对消费者安全的合理关注。持续的技术进步和生产方式的改进，意味着典型的制造瑕疵在将来将持续减少；而与此同时，设计缺陷和警示缺陷的数量将随之增加。

　　其三，对于产品缺陷的判断及其类型化，当前各国已经发展出了不同的立法模式。一种是单纯以“不合理危险”或“消费者合理期待”作为缺陷的判断标准，如欧洲1985年《缺陷产品指令》《美国侵权法重述（第二版）》等，我国《产品质量法》也奉行此种模式。另一种是纯粹的类型化模式，即不再强调产品具有不合理危险或者不符合消费者期待，而是单纯对各种缺陷进行类型化规定。《美国侵权法重述（第三版）》完全放弃了不合理危险这一标准，而是根据具体缺陷的类型判断产品是否具有缺陷，即制造缺陷、设计缺陷和警示缺陷。这种功能性的缺陷分类和认定标准，使得缺陷的判断更具有客观性和可操作性，对于我国而言，可以超越当前关于缺陷判断标准二元化的相关争议，但如何借鉴这一新的缺陷判断模式仍应当结合具体实践进行综合考量，而自动驾驶汽车的产品缺陷恰恰提供了一个绝佳的观察视角。

　　（二）自动驾驶汽车的缺陷及其判断

　　自动驾驶技术的出现，使得驾驶错误的来源从驾驶员（可能存在疲劳驾驶、注意力不集中、性格毛躁冒进、处置紧急路况时的犹豫或随意等错误）转向了设计和制造自动驾驶汽车的生产者。如前所述，在当前的技术条件下，自动驾驶汽车的感知、识别和决策系统等均存在不同程度的技术不成熟情况，从而影响到了驾驶安全。结合前文所述自动驾驶汽车的技术特征，本文在此结合案件实际详细分析自动驾驶汽车的制造缺陷、设计缺陷和警示缺陷及其认定标准。

　　1.制造缺陷

　　制造缺陷主要是指在制造和销售产品的过程中，产品偏离其预期设计的情况，即使生产者在制造和推广产品时已尽到所有可能的注意。对于制造缺陷而言，不管生产者的质量控制是否满足合理性标准，只要存在产品缺陷，其即应当承担严格责任。典型的制造缺陷如物理上有缺陷、产品被损害或未被正确安装。有学者武断地认为“制造缺陷不太可能适用于自动驾驶汽车”，但这种论断与实践存在严重不符。实际上，不管自动驾驶汽车的技术如何先进和复杂，其仍有出现制造缺陷的可能，只不过其制造缺陷的判断相对容易罢了，即：只要发现产品偏离其设计的情形，就可以对其生产者提起制造缺陷之诉，如车辆摄像头、传感器、雷达等感知系统功能障碍或者安装错误，从而导致无法发现周围的物体、行人或车辆进而发生碰撞，这将构成制造缺陷的直接证据。但是，当自动驾驶汽车发生事故、没有直接证据证明存在特定瑕疵时，如果原告能够举证证明其在正常使用期间发生故障，则可推定瑕疵的存在。

　　如前所述，因为激光雷达、毫米波雷达和摄像头等感知识别方式均存在其短板，故当前的自动驾驶车辆均同时集成安装了上述三类传感设备，从而扬长避短、共同探测各类影响驾驶安全的因素。但是从河北邯郸和佛罗里达发生的事故来看，驾驶人使用了自动驾驶系统掌控车辆后，其雷达和摄像头在其有效识别距离和安全刹车距离内均未识别出前方的风险障碍物（如车道内的垃圾清扫车、拐弯车辆等），未能在逆光环境下对横穿马路的大货车做出有效识别，导致事故发生，设备的功能障碍表明其存在明显的制造缺陷。

　　2.设计缺陷

　　设计缺陷主要是指生产者或销售者对产品导致损害的可预见风险本可以通过采纳合理的替代设计而减少或避免，但因为疏忽没有采纳该替代设计而使产品具有不合理危险。设计缺陷意味着其整个生产线存在缺陷，因此根据该缺陷设计生产出来的同一类产品均具有此类内在的危险或缺陷。与制造缺陷仅仅关注产品自身性能相比，设计缺陷的判断需要综合多种因素对产品设计进行复杂的“消费者期望”或“风险—效用”分析，这些要素包括自动驾驶技术的社会效益和成本，替代设计的技术可得性及其成本等。只有在综合考虑这些因素的基础上，才能够对自动驾驶技术的风险和效用做出相对全面客观的评估，进而判断其是否具有缺陷。但是，对这些因素的考量更关注生产者的行为而非产品的自身性能。

　　首先，如前所述，从自动驾驶技术的设计初衷和其当前的实际技术发展阶段来看，二者之间存在巨大的鸿沟：其设计目标是通过所有车辆均互联互通实现数据共享，从而使车辆做出最佳的驾驶决策，减少交通事故和人身伤亡；因此，有学者认为自动驾驶汽车的有用性远远超过其所带来的风险和成本，自动驾驶汽车的事故发生率远远低于人工驾驶汽车，目前很难找到自动驾驶技术的替代品，因此，原告很难以设计缺陷为由起诉生产者；但从其技术发展现状来看，不仅自动驾驶车辆因为物联网发展的滞后未能实现车辆之间的数据共享，而且因为自动驾驶车辆和人工驾驶车辆的并存，致使驾驶环境更加复杂，反而增加了自动驾驶的风险，这也是为何当前的事故多发生在自动驾驶车辆和人工驾驶车辆之间的原因。因此，对自动驾驶汽车风险、收益的比较，不能漫无边际地着眼于毫无实证研究支撑的、片面的宏观分析和价值选择，而是应当尊重当前的技术发展状况。

　　其次，因为技术的不完备性，当前自动驾驶汽车均要求驾驶员始终保持对车辆的控制。由此，有美国学者认为，对于配备2级或3级驾驶辅助系统的车辆所导致的事故，原告不能主张车辆具有设计瑕疵，因为知情的驾驶员具有车辆类型的选择权，消费者选择具有不合理危险的部分自动驾驶车辆，排除了其主张设计缺陷的基础，法院可以驳回此类诉讼主张。

　　但本文认为，这种强行将责任推给消费者的行为是经不起推敲的。原因是：①从产品设计角度来看，尽管当前的自动驾驶车辆均要求驾驶员将手放在方向盘上，否则自动驾驶系统会提供可视化警告并将车辆逐渐减速，直到车辆检测到手重新放在方向盘上。但从涉案车辆的情况来看，生产者并未对驾驶人可能放弃对车辆的控制的情形进行充分的预估并作出相应的安全预案，如对长时间不控制方向盘的行为没有提供警示，也没有如其使用说明所说的进行减速或停靠操作。而这种“替代设计”并非现行技术不能解决，因此，涉案车辆存在明显的设计缺陷。②就自动驾驶汽车的产品设计而言，不仅包括其外观、功能、整体结构、材料、加工工艺、安全防护设计等，还包括做出驾驶决策的自动驾驶系统所配置的算法和程序。但是，当前的自动驾驶软件系统的设计存在严重的设计安全漏洞或“算法黑箱”问题，即自动驾驶软件的设计者刻意忽略了某些对人身财产安全具有重要影响的要素，故而其算法运行过程中也不再考虑这些安全隐患。当前的自动驾驶汽车之所以不能识别静止物体或低速行驶的车辆，是出于驾驶效率的考虑，即如果将所有的静止物体均视为障碍物而进行刹车或降速的话，则车辆将无法有效行驶，为此其软件程序设计者选择了忽略静止物体和低速行驶物体。这种“弱人工智能”自身的函数设定决定了其内在的设计缺陷，无法有效识别驾驶环境中的风险，这也是为何当前的自动驾驶车辆均要求驾驶员保持对车辆进行控制的原因。

　　利用“风险—效用”标准认定自动驾驶系统的设计缺陷，不仅要认识到其对人类社会所带来的收益，更应当清醒地认识到其技术局限性以及对人类生命财产安全的巨大威胁。从上述分析来看，其社会效益的评估失于抽象宏观而忽略了微观层面上该技术自身的不成熟性和潜在风险。来自于自动驾驶软件的设计缺陷或“算法黑箱”，使自动驾驶汽车本质上具有不安全性，相比于某些人类驾驶错误的可修正性，自动驾驶软件的设计错误或算法黑箱所造成的损失具有不可避免性。对于其软件设计中的明显漏洞，应当直接认定为设计缺陷；而对于具有深度自主学习能力的人工智能，其算法和决策行为必须能够可解释，否则应当认定其具有设计缺陷。

　　3.警示缺陷

　　与设计缺陷紧密相关的是警示缺陷，主要是指产品所导致的可预见的损害风险本可以通过由生产者或销售者提供合理的指导教育（instruction）或警示（warning）而减少或避免，但因为说明或警示不充分致使产品产生不合理的危险。教育或者警示主要指向生产者的行为，而非产品本身，因此对警示缺陷的认定应当根据一般人的理性标准，判断警示是否足够具体和明确，从而使产品的普通消费者知晓相关危险。因此，生产者在提供教育或警示方面的过失对于判断警示缺陷具有决定意义。但是，生产者的警示义务仅限于“预见其正常使用的可能结果或者其能够合理预测的用途”，其没有义务对粗心的消费者就产品明显的内在危险进行教育，也没有义务就销售时无法预见到的危险进行警示。

　　作为一种新产品，即使其被正确设计，自动驾驶汽车的驾驶性能对某些消费者而言仍是模糊的。比如，“自动驾驶”（Autopilot）这种表述对不同的消费者具有不同的含义，消费者是否能够了解自动驾驶技术的不同分级以及（部分）自动驾驶技术的局限？其是否了解相关操作行为的严重后果？尤其是对于刚刚进入中国市场的自动驾驶车辆而言。从一种驾驶模式向另一种驾驶模式的转变产生了在传统车辆中不存在的安全问题。在自动驾驶和人工驾驶并存的现状下，因为生产者对“自动驾驶”的过度宣传、驾驶人的麻痹大意以及其对自动驾驶的逐步信任而未能实现对车辆的随时接管；车辆持续处于自动驾驶状态将会使驾驶员放松注意力并过度依赖自动驾驶系统，其注意程度甚至不如其驾驶纯粹的人工驾驶车辆时，驾驶环境变得更加复杂，影响驾驶安全的因素因此大量增加而非减少，进一步加剧了自动驾驶的安全风险。因此，自动驾驶技术不仅不能减少交通事故的发生，甚至成为道路风险的新来源。

　　对于自动驾驶汽车而言，其警示的重点应当放在自动驾驶系统软件或算法上，生产者必须对人工智能做出驾驶决策的原理和方式、其潜在的驾驶风险做出明显地警示并提供相应的指引。对当前的自动驾驶车辆而言，其通常要求“驾驶员始终将手放在启动的机动车上，保持对车辆的控制，随时准备接管车辆”，那么，对于没有将手放在方向盘上对车辆进行控制并因此在事故中伤亡的驾驶员，是否可以向生产者主张警示缺陷责任？还是将全部责任归于没有及时刹车的驾驶员从而使生产者免责？一个有趣的事实是，在出现一系列伤亡事故后，涉案的汽车生产者均将“自动驾驶”改为了“自动驾驶辅助”，虽然其英文表述仍使用“Autopilot”。这从某种程度上印证了其可能存在夸大宣传的嫌疑。对产品进行虚假陈述或夸大宣传的生产者将会催生应予保护的消费者合理期待。因此，对产品安全进行虚假或夸大宣传的生产者应当承担产品（警示）缺陷造成的损害。但是，生产者并未对自动驾驶系统软件的“算法黑箱”进行警示和说明，从而使消费者对人工智能产生了盲目的自信。这恰恰构成了驾驶员放弃控制车辆的主要原因。

　　设计缺陷和警示缺陷在某些情况下可以相互转化。《美国侵权法重述》（第三版）规定，“说明和警告可能会无效，因为产品使用者可能无法充分获得、不注意，或者可能没有充分的动力去遵循说明或留心警告。”因此，“当可以采取更安全的设计从而避免相关风险时，生产者被要求采取更安全的设计而非采取单纯的警告，以避免此类重大风险。”不采取合理的安全容错设计的生产者，应当承担因此产生的人身损害的侵权责任。因此，生产者不能仅仅警告驾驶员保持“警醒”并承担因驾驶辅助系统导致的驾驶责任，其必须采用针对驾驶辅助系统的容错设计，从而减少驾驶员的错误。尽管自动驾驶汽车的生产者均对驾驶人监控驾驶系统的义务进行了提示，但是此种义务并不能直接等同于法律上的义务。因此，在自动驾驶模式下，若系统未向用户发出警示和接管请求而发生事故，便可排除用户过失，直接推定产品存在缺陷而成立产品责任。

　　（三）产品缺陷判断的标准和衡量要素：过失的复兴

　　如前所述，制造缺陷主要源自生产者质量管理体系不完善，使产品在物理上偏离了其既定设计，使消费者对产品性能的期望落空。因此，不管生产者控制产品质量的努力是否符合“合理性标准”，只要存在制造缺陷，生产者或销售商即应承担严格产品责任。对产品的制造缺陷适用严格责任使得受害人免于证明生产者的过失，促进了生产者在产品安全方面的投资，防止了对具有不合理风险的产品的消费和不必要的风险的产生。

　　相比于关注产品性能和特征的制造缺陷，设计缺陷的认定更关注生产者的行为。《美国侵权法重述》（第三版）§2（b）（c）关于设计缺陷、警示缺陷的规定与过失责任的目标相同，在利用“风险—效用”标准判断产品是否具有设计缺陷时，主要利用传统过失责任中的“合理性标准”确定产品是否有设计或警示缺陷，核心在于对生产者在设计和销售产品时达到最佳（而非最高）程度的注意。因此，对制造缺陷施加严格责任的正当性基础并不适用于设计缺陷和警示缺陷。因为设计缺陷的产生和存在取决于产品设计者对于安全、效用、成本、美观、经济性及市场需求等多种因素的综合考量。过于安全的产品对生产者和消费者并不一定有益，如时速20公里的汽车，因此需要确定产品的最佳安全水平。确定适宜的设计安全水平与确定生产者合理的质量控制水平不同，对于后者，生产者清楚地知道特定数量或比例的产品具有缺陷、会导致无辜的消费者受损；而合理设计的产品仍然具有风险，因为这些风险无法以合理的成本从产品设计中消除。因此，为了使侵权责任体系更加公平有效，必须对产品设计的风险和收益根据其已知的风险和风险预防技术进行平衡。如果要求生产者对不可预见的风险承担责任，则会导致生产者对产品安全进行过度投资。因此，《美国侵权法重述》（第三版）对设计缺陷和警示缺陷的要求仅仅为可合理预见的缺陷风险。因此，设计缺陷和警示缺陷不再关注产品本身，而是转向关注生产者行为的合理性，从而使其具有了更多可归责性和过失责任的韵味。

　　正因为在缺陷认定和归责原则上对于过失因素的纠结，反映了产品责任是一个介于过失责任和担保责任之间的一个离散的侵权法领域。因此，为了免于纠缠于既有的理论分类，《美国侵权法重述》（第三版）的§1和§2直接根据具体的缺陷类型确定其法律责任，只要满足其规定的功能性要件，法院即可利用过失、严格责任或产品担保责任这些术语要求生产者承担产品责任，而不再考虑是否具有过失的问题。《美国侵权法重述》（第三版）的相关评论更是直接揭示了立法者的本意：“本条以及本章其他条款的规定界定了产品缺陷造成的损害的侵权责任基础。这些规则是以功能性的方式被规定，而非根据传统的学理分类做出规定。基于产品缺陷做出的请求权必须满足§2（a）（b）（c）三款及本章其他规则的规定的前提条件。只要满足这些前提条件，过失责任或严格责任等理论分类即可被用于提起侵权请求权之诉。”由此可见，设计缺陷和警示缺陷的认定上融入了过失责任的因素；而一旦认定产品具有缺陷，则直接要求生产者或销售者承担严格产品责任。

　　小结：《产品质量法》第46条确立的判断产品是否存在缺陷的“不合理危险”标准和“违反国家、行业标准”在面对人工智能产品时，已经显现出其不适应性和缺乏可操作性，高度复杂的技术产品的缺陷的认定远超传统工业产品，且设计和警示缺陷的判断方法完全迥异于制造缺陷，使得利用统一的“缺陷”概念规范缺陷认定和责任的做法变得在事实上不再可行。就此而言，对不同种类的“缺陷”做功能性的类型化规定、并采纳相应不同的认定标准，是我国《产品质量法》相关规则修改的一种更现实的改革路径，也更加有助于我国高科技产品和技术的创新和发展。

　　四

　　自动驾驶技术的发展，削弱了人类在驾驶行为中的角色和作用，降低了驾驶员对车辆的控制程度；有学者认为，自动驾驶技术的发展，尤其是具有深度自主学习能力的自动驾驶系统的开发，人工智能车辆获得了所谓的“工具性人格”。但是，自动驾驶车辆技术的不完备性使得其自身的风险并没有得到有效控制，甚至在特定环境下被放大。根据前述对自动驾驶汽车不同类型缺陷的判断标准，诸多与生产者过失有关的因素被纳入到立法和司法过程之中，产品缺陷（尤其是设计和警示缺陷）的认定促使法律和法官的关注重点从产品性能转向生产者和销售者的行为，从产品的物质层面转向产品的软件程序和算法设计，客观上使作为严格责任的产品责任发生了潜在的嬗变。由此产生的问题是：自动驾驶车辆的深度自主学习能力是否可以免除生产者的产品责任？法律可否要求人工智能自身承担相关损害赔偿责任？严格责任能否被严格地、无差别地适用于自动驾驶汽车的产品侵权责任？

　　（一）自动驾驶汽车的主体性问题

　　对于生产者和销售者作为产品责任的承担主体，在我国《产品质量法》上并无争议。但随着人工智能技术的深度发展，智能机器人在某些情况下已经具备了民事主体身份，如沙特在2017年10月赋予了智能机器人索菲亚以公民身份。此外，人工智能机器人逐渐被用于计算保险费率、参加围棋竞赛、提供律师服务、作出投资决策等不同具有挑战性的活动。相比之下，自动驾驶领域智能机器人的主体地位问题并未引起太多关注。但其所存在的问题并无二致。即如果智能机器人的行为引发损害，谁将承担相应的责任？对于智能机器人的在民法中的法律地位，一直有为“人”还是“物”的争议。肯定说认为，随着人工智能技术的发展，机器人的智能程度将达到与人类媲美甚至超越人类的程度，其因此具备了自主学习和决策的能力，因此可以通过人格拟制的方式赋予其主体资格，并应当承担其行为的相应法律责任；而否定说则认为智能机器人的属性是工具，不具有自我意识和人类理性，不具备人的社会性，不能在社会关系中形成自己的意志，因此无法赋予其法律上的主体人格。此外，有学者认为，在人工智能时代，伦理性不再是智能机器人是否能够成为民事主体的必要条件，智能机器人本质是为人类生产生活服务的工具，因此应当在此限度内承认其有限的法律人格（如享有财产权），即所谓的“工具型人格”，承担相应的权利义务，并以保险制度作为其工具型人格的责任支撑。

　　不管是否承认其主体资格，问题的关键是人工智能的存在是否以及应否影响到法律责任的承担？如在金融投资领域，智能投顾的产生，致使原先以金融从业人员为义务对象的法律体系实际上被架空，由此产生的问题是原先由自然人投资顾问所承担的法律义务是否可以转移给智能投顾自身？更重要的问题是，通过承认人工智能的主体资格，并将相关法律义务和责任转移给人工智能，导致从业者（如制造智能机器人的生产者、提供投资顾问服务的券商、提供法律服务的律师事务所等）变相地逃避相关责任。而对于自动驾驶汽车来讲，如果将自动驾驶汽车致驾驶员死亡的责任归于自动驾驶汽车软件或算法，其将无法切实保障消费者的人身安全。对于自动驾驶人工智能的主体资格，可以从技术和法律二个角度分别展开论述。

　　从技术的角度来看，自动驾驶技术有初级驾驶辅助、部分自动驾驶、高度自动驾驶和完全自动驾驶等不同技术等级。发展自动驾驶技术的目的并非打造可以享受自主驾驶乐趣的机器，而是要发展更具效率、更能作出准确判断的驾驶辅助运算系统。从自动驾驶人工智能所赖以实现的技术来看，所谓具有深度自主学习能力的人工智能其本质上是依靠大数据、概率统计以及日益增长的运算能力实现对驾驶行为及其规律的重复性归纳，但并不能完全揭示其本质或内在规律，尤其是其缺乏人类的创造性思维，无法在既有信息和数据的基础上创造性地解决未知问题、无法创造新知识。算法赋予了智能机器人自我深度学习的能力，但是算法本身体现了人类自身的专业知识、职业伦理和利益衡量，并将人类在这些方面的错误和瑕疵转移给了机器。因此，从技术上来看，智能机器人深受自然人或其开发者的影响，无法自主决定其学习方式、学习内容和最终目的。

　　从法律的角度而言，作为没有自我意识和自我意志，缺乏人类理性且具有伦理问题的智能机器，其并不具有人类的知识、经验、推理能力和道德能力，不具备人类在社会中生活并构建和参与各类法律关系的能力。智能机器人之所以做出各类有社会意义并能接受社会评价的行为，本质上仍是人类行为的延伸，因为其行为从形成到决策均受制于人类预先设置的程序步骤、行为模式和决策结果，即使是具有深度自主学习能力的人工智能，其算法也是人类设计而非自发形成和进化的结果，反映了人类的知识积累水平和价值取向，人工智能的未来命运仍然取决于人类而非人工智能自身。与此同时，人工智能的主体资格不能通过类推适用法人的拟制人格而获得，这是因为法人从事的行为旨在构建各类社会关系尤其是财产交往关系，其因此可以接受法律的调整和规范，而人工智能机器人所从事的通常并不具有社会交往意义，通过赋予其责任财产进而给予其拟制人格而从事社会交往行为有违伦理，因为这种财产的存在目的仅仅是为智能机器人所造成的各类损害充当责任财产，并不具有普通法人的盈利或慈善等目的；同时，即使对智能机器人课以相关责任，也无法发挥侵权责任法的预防损害和惩戒功能，仅能实现有限程度内的损害填补功能，因为人工智能机器人并不具有道德感和羞耻心，其行为的修正只能通过其开发者修改其算法或程序设计。

　　具体到自动驾驶汽车而言，其作为具有一定自主决策和行为能力的智能机器人，其驾驶行为系基于软件或算法的设计而产生，体现的是产品设计者的技术考量、行为模式和价值伦理选择，不具有自主意识和自我意志。从这个角度来讲，不管自动驾驶汽车处于何种技术阶段，其只能停留在“产品”的范畴内，无法具有自主意识并获取所谓的主体资格或所谓的“工具型人格”，自动驾驶汽车自身不能成为法律责任的主体。正如有学者所批评的那样，人工智能法律人格问题是个彻底的伪问题。因此，当驾驶人因为自动驾驶汽车自身原因而遭受损害时，只能向生产者或销售者主张相关的产品责任，生产者或销售者不能以自动驾驶汽车的所谓主体资格而主张免除自己的责任或者将相关责任转移给保险人。问题的关键是，作为一项发展中的复杂技术，生产者应当在多大范围内承担相应的法律责任？更具体的讲，其除了对产品硬件缺陷承担产品责任外，是否需要对产品的软件、程序或算法缺陷承担严格产品责任？

　　（二）生产者的过失、严格责任及其范围

　　就产品责任的归责原则而言，不管是我国的《产品质量法》《侵权责任法》，还是在国外比较法上，均普遍承认生产者应当对产品缺陷承担无过错责任。但是，如前所述，我们注意到在设计缺陷和警示缺陷的认定方面，过失的因素被纳入到缺陷的认定过程中。实际上，过失从来未曾脱离出“缺陷”的概念范畴，因为缺陷本身即系产品自身的不合理风险，而非指产品的所有风险；而在界定“不合理”时，则通常需要综合平衡生产者和消费者双方之间的注意义务和过失，即因为技术的不完善，产品的使用者和生产者对于产品安全相互负有义务，即生产者应当对产品可预见的损害负责，理性的用户应以合理的方式使用产品。因此，理性的消费者不会期望生产者会生产超出当前技术水平安全要求的产品，也不会期望生产者会对其在使用产品时的过失行为或不可预见的行为负责。但本文并不因此认为应当将自动驾驶车辆的产品责任适用过错归责原则，原因有三：

　　第一，从过失责任自身来讲，其主要关注行为或者说行为人做出合理行为的理性能力，要求行为人具有普通人的知识、经验和水平，因此，过失责任对于在平均能力以下的人来讲，也是一种严格责任。但在法律的视角下，个人的特殊特征无法作为决定其实际智力状态的依据。无人驾驶技术无须绝对安全，其只需要比人类表现的更好或更安全即可。一旦计算机比人类驾驶车辆更加安全，则该计算机即应成为新的“理性人”或注意标准，这意味着法官将不再根据一个理性人的行为判断被告的行为，而是根据计算机的行为判断被告是否具有过失。鉴于人工智能潜在的远超过人类的体力与智力，其过失的判断应当根据当时技术水平的发展状况来判断，而不应以传统民法上普通的理性人作为判断标准。由此可知，当把当前技术发展水平作为判断产品是否具有缺陷的标准时，其意味着生产者必须在此范围内对产品的安全负责。这也是为何在产品缺陷的认定方面，设计缺陷和警示缺陷更关注生产者的行为，关注其是否尽到了保障消费者人身财产安全的义务，从而促使法律的关注重点转向生产者的过失而不再是产品的性能或质量。

　　但是，对过失的讨论也仅仅能局限于对缺陷的认定上，在具体的责任归责原则上，只要确认产品存在缺陷，并且缺陷和消费者遭受的损害存在因果关系，就应当要求生产者对此承担严格责任，不再考虑其是否有过错。作为自动驾驶车辆的生产者，其应该能够预见到消费者会以各种方式操控汽车，尤其是会在一定时间内由自动驾驶系统完全掌控汽车，其非常清楚以此种方式使用产品时的各种风险，对于此种风险其应当给予充分的警示并且采取必要的替代设计进行预防，从而尽最大可能确保消费者人身财产安全。只要没有尽到此种义务并切实落实到对产品性能的改进与警示的完善上，生产者就应当就此承担严格责任。此外，过失责任对某些小型生产者过于宽松，其可以借口忽略了相关风险或没有采取足够的预防措施作为抗辩。过失责任重点考察生产者的行为，因此容易导致实力不足的生产者借口改善设计或警示的经济负担过重而免除其责任。而关注产品自身而非生产者行为的严格责任，可以使作为被告的生产者达到改产品被制造时相关制造行业的相关知识的专家水准。技术通常被认为是自动驾驶汽车的赋能者。严格产品责任将促使自动驾驶系统被负责任地使用并持续地得到改进。事实上，为了缓和消费者担忧，生产者们已经意识到他们对自动驾驶汽车的驾驶行为负有法律上的责任，通过承担车辆运行所导致的法律责任，生产者向消费者提供了关于其产品安全性的信号。

　　第二，当前，自动驾驶的技术原理和最新进展尚未被大众普遍理解、其安全水平并未经过有效地检验，与之形成鲜明对比的是生产者、销售商、新闻媒体、监管者以及部分研究人员对自动驾驶技术的安全、经济收益和行业发展前景进行了不切实际地宣传和夸大。因此，有必要对其施加严格责任以促使所有利益相关方采取更负责任的行为保护消费者安全。

　　从驾驶安全角度来讲，自动驾驶技术的采用使得驾驶环境更加复杂、驾驶安全面临更多挑战。人工驾驶汽车之所以事故频发，是因为驾驶员驾驶习惯、个人身体和精神状况、道路状况、天气情况以及诸多偶然因素所导致的驾驶环境的复杂性所造成的。在自动驾驶汽车诞生后，驾驶环境的复杂性并未改观，甚至因为人类驾驶决策与自动驾驶汽车识别能力和算法之间的并存而加剧了驾驶环境的复杂性，因此增加了事故概率和驾驶员伤亡的概率。与无人驾驶技术在飞机、轮船和轨道交通中的应用不同，其在普通机动车领域的应用所面临的技术难度和风险要远远高于前者。与此同时，相比于初级自动驾驶和完全自动驾驶车辆，部分自动驾驶车辆的技术风险要更高，一方面其要求驾驶员时刻保持对车辆的控制，但同时自动驾驶会极大地懈怠驾驶员的精神注意力，使其盲目信任智能软件而在驾驶过程中可能分心做其他事情，从这个角度讲，部分自动驾驶汽车的这种技术要求是违背普通人的驾驶习惯和人性的，极易引发事故。驾驶员对车辆的不完全控制和自动驾驶技术的缺陷叠加在一起，使得事故发生的原因和可归责性更加复杂，但也从另一个侧面表明了对生产者施加严格责任的必要性，以促使其改善设计理念、加快技术更新。受制于数据、确定性、不完全信息、可预测性和适用范围等问题，当前技术条件下的人工智能显然无法实现在日常驾驶环境下的完全自动驾驶，而这与当前某些厂商的宣传是截然相反的。

　　从当前社会对自动驾驶技术的态度来看，政府、企业和研究者纷纷看好其发展前景。但是，对于自动驾驶汽车的发展前景，普通民众要比监管者谨慎得多。美国自动驾驶协会2016年3月做的一项调查表明，3/4的美国驾驶员在驾驶自动驾驶汽车时感到害怕，只有1/5的受访者信任自动驾驶汽车；而英国的一项调查也表明大多数英国公民在自动驾驶汽车里面感到不舒服，超过3/4的驾驶员仍想控制方向盘。因此，关于自动驾驶汽车的讨论在很大程度上被误导了，关键的问题并不是计算机或人工智能是否完美，而是其是否比人更安全？尤其是当自动驾驶系统存在某些设计缺陷时，人类有没有机会方便地修正此类错误，还是必须以牺牲驾驶员和路人的生命为代价促进生产者进行技术改进？法律制度的设计不能受行业利益的绑架和蛊惑，产品责任制度设计的出发点和最终目标是通过对生产者施加严格责任而促使其提高产品质量、保证消费者人身财产安全，就此而言，宏观层面上行业发展的问题不是产品责任制度的首要考虑目标。因此，那种通过分析传统人工驾驶状态下事故发生率、伤亡人数以及导致的经济损失数额，并与当前自动驾驶汽车所导致的事故数量和损失数额进行比较，并认为自动驾驶汽车总体上比人工驾驶汽车更加安全的观点是毫无价值的。因为严格产品责任关注的是生产者是否为改进产品设计和安全水平尽到了最大努力，从而使消费者的生命安全在交通事故中得到最大程度的保护，两个问题不能混为一谈。

　　第三，“算法黑箱”和人工智能自身方法论的根本缺陷是对自动驾驶汽车产品责任实行严格责任的另一个正当理由。

　　在当前的技术条件下，自动驾驶技术的根本安全缺陷主要来自自动驾驶系统的软件或算法的不可控性或曰不可解释性。有学者认为，完全自动驾驶汽车通过其算法做出驾驶决策，而算法的不透明性产生了其行为及后果的不可控性，进而使得算法与人的行为分离，导致人的行为与引发的责任的分离，因此生产者不能对机器决策承担法律责任；不管在生产者和软件设计者之间如何分配责任，两者均认为软件缺陷所导致的损害系不可预见的损害风险，故而无法像其他普通制造或设计缺陷一样要求生产者对此负责。亦有学者提出，在从传统车辆向自动驾驶车辆的过渡中，随着车辆自动驾驶程度的提高，车辆控制权的更多的转向自动驾驶系统，因驾驶员过错而导致的事故越来越少，事故的发生更多由产品缺陷导致，因此，生产者应当承担这一责任。实际上，当前发生的自动驾驶产品事故，无一不与其内在的算法缺陷具有不可避免的关联。相比于传统的物理缺陷，人工智能所可能存在的软件或算法缺陷更加隐蔽，其所造成的危害更难以预防并且危害程度更大。人工智能在自动驾驶汽车上的应用，使得生产者对其自动驾驶汽车产品性能的控制力也发生了下降，集中表现为产品使用中新的风险的产生和因此带来的产品性能的不可预测性，因为设计者的各种认知局限在很大程度上限制了机器的学习和认知能力，技术上的局限性实际来自设计者的授意或者疏于注意。

　　更重要的是，人工智能所面临的最重要的挑战恰恰来自人工智能自身的方法论，即大数据技术和概率统计方法：一方面当前的驾驶数据尚未完全实现互联共享，无法收集更全面的数据，同时其所收集到的数据均为“生数据”，包含了大量虚假甚至错误的信息，因此机器学习对生数据的理解和加工的稳健性（Robustness）较差，容易使人工智能走向错误或歧途；另一方面概率统计本身只能通过大量的数据抽取出重复出现的特征，或者说统计关联性，而非事物或行为的本质特征，其发现的是关联关系，并不一定是因果关系。深度学习区分物体的依据是重复的模式，而人类大脑区分物体的依据是语义上的特征，两者有本质的区别。因此，在人工智能输入的数据和其输出的答案之间，存在着我们无法洞悉的“隐层”或曰“黑箱”（black box），其具有不可解释性。从其技术本质来讲，这种预测性算法的决策过程依赖数据与推断结果之间的相关性而非事务内在的、本质上的因果关系，具有以过去推断未来、以实然推断应然，其忽略了人类决策过程中的诸多道德、伦理、情感以及其他偶然性因素，同时算法本身也体现了科学家的武断、企业家对经济利益的追逐和对消费者权益的漠视，它们仍无法摆脱商业、政治、强势价值观等力量操控，故而其适用具有很大的局限性。从算法的工作原理来看，其决策机制根本无法适用于复杂的驾驶环境，否则必然导致严重的损害后果。

　　由是之故，在欧盟最新发布的“可信赖的人工智能伦理指导”（Ethics Guidelines for Trustworthy AI）中要求人工智能的决策过程、输入和输出的关系都应该是可解释的，即AI据以做出决策的数据和过程（包括数据的收集、标记和所使用的算法）可以被人类所理解和回溯。当AI对人类生活具有重大影响时，可以要求对其决策过程进行适当的解释，并且这种解释应当与被受影响的利益相关者（如普通民众、监管者或研究者）的专业水平相适应。由此可见，算法自身的决策程序和结果不确定性并不意味着风险的不可预测性，与之相反，这些风险都是可以预见的，而对于可预见的风险采取放任的态度，使得生产者以算法的不可预测性或不可解释性来免责不具有伦理的正当性。有学者曾形象地将算法借助技术优势凌驾于人类之上的现象称为“算法权力”，但这种权力必须应当受到约束和规范，因为相比于人工智能技术的发展，人类的主体尊严和生命安全具有更加根本的重要性。在对算法规制甚至重于数据保护的今天，除了公共权力的监管，对算法缺陷施加严格责任是最有效的规制方式。

　　作为自动驾驶系统的核心部分，其据以做出驾驶决策的算法设计必须接受严格的伦理和法律检验。一个最典型也最极端的例子是当自动驾驶系统面临不可避免的交通事故时，其应当选择撞击行人还是紧急刹车或转向（导致自动驾驶汽车自身或其乘客受伤）；算法的设计者可以通过“碰撞最佳算法”将损失最小化，该算法可以决定撞谁或者撞什么，从而产生最小程度的损害。而在决定如何做才能使损失最小时，出发点的不同将会产生不同的结果：如果算法的设计者遵循“绝对自我保护算法”，则其将优先降低对车辆自身及其乘客的损伤，为此其将决定撞向前方的行人（如推着婴儿车的年轻妈妈和车里的婴儿）；在选择撞击对象时，其选择带头盔的摩托车驾驶者还是未带头盔者；其选择撞击安全系数更高（同时价格也更高）的汽车还是安全系数更低（同时价格也更低）的汽车？不仅在对外部第三人关系上，而且在涉及自动驾驶汽车的安全行驶方面，自动驾驶系统的算法都将对驾驶员（消费者）的安全产生根本影响。算法的不同设计风格（稳健谨慎或积极果断）、所遵循的不同价值原则，将会导致其在不同的驾驶环境下产生不同程度的风险。但不管如何，“算法”总是产品生产者精心设计的结果，因此生产者必须对因算法缺陷导致的损失负严格责任。

　　综上，不管自动驾驶汽车的发展处于何种技术阶段，其在本质上都不会具有自然人的理性和意志，其软件设计程序和算法自身决定了其作出的决策并非基于理性而是大数据和超级运算的结果，其反应的是产品生产者和设计者的意志，因此仍未脱离“产品”的范畴，生产者不能借人工智能的所谓“工具型人格”而逃避自己的产品责任。在当前的技术发展水平和复杂的驾驶环境下，自动驾驶汽车各类硬件、软件和算法均无法确保行驶的安全，尤其是其算法的内在缺陷，更加隐蔽也更加难以被消费者所知晓和理解，而生产者对此明明知情却仍然将此类存在固有缺陷和危险的产品投入市场。就此而言，对自动驾驶汽车的严格责任不仅适用于其硬件缺陷，也必须适用于其软件或算法缺陷，从而鼓励负责任的生产和销售行为。产品设计缺陷和警示缺陷认定中对生产者过失因素的考量只能影响法官对产品是否存在缺陷的判断，以免过于任意的缺陷认定标准对技术改进和创新造成法律障碍，而一旦被认定为产品存在缺陷，则生产者或销售者即应当承担严格产品责任。而这也符合我国产品责任的设计逻辑，即作为严格责任的产品责任，通常不考虑生产者的主观上过失，其内在逻辑并不取决于生产者的过失，而是源自生产者对造成损害的产品缺陷承担最终责任。

　　五

　　本文基于当前部分自动驾驶技术的现实约束对其产品缺陷及其责任归责原则进行了深入的技术和法律层面的分析。自动驾驶面临的既有技术条件和驾驶环境约束、其深度自主学习能力的非理性本质和“算法黑箱”等问题表明，自动驾驶汽车仍然面临着硬件的技术局限和算法的应用局限，其当前仍具有根本性的安全缺陷。

　　而在判断自动驾驶汽车的缺陷方面，我国《产品质量法》确立的“不符合国家、行业标准”和“不合理危险”的二元标准对于高度技术合成和高度智能化的自动驾驶汽车具有明显的不适应性。对此，应当充分借鉴制造缺陷、设计缺陷和警示缺陷的功能性分类，并根据相应的认定标准对其是否具有缺陷进行认定。具体而言，传统的制造缺陷可以根据客观标准即产品是否与设计相符进行判断；而设计缺陷则须更多利用“风险—效用标准”平衡设计的各种要素，进而判断生产者的设计过失和设计缺陷的存在，警示缺陷亦应遵循类似的路径。但是，过失只对设计缺陷和警示缺陷的认定具有意义，其并不影响生产者的责任承担或归责原则。

　　对于自动驾驶汽车生产者的责任而言，鉴于自动驾驶技术不可消除的固有风险，作为这种风险的来源，生产者应当对此承担严格的产品责任，这种严格责任并不因在判断产品的设计缺陷和警示缺陷时，立法转向关注生产者的行为是否有过失而不考虑产品的质量或性能本身而有任何变化，也不会因为适用“消费者期望标准”或“风险—效用标准”而有实质性的不同。即只要确认自动驾驶车辆存在产品缺陷，其生产者即应承担产品责任。此举维系了产品责任作为一种严格责任的归责体系，但同时也考虑到了高度复杂的高科技产品技术发展的现实需要，可以鼓励生产者以更加先进、合理的技术防范可能的风险，而对于拒不改善设计和制造工艺，继续生产、销售缺陷产品的生产者，必须其对其适用严格责任以实现对消费者人身财产安全的有效保护。

　　作为自动驾驶汽车的重要组成部分，其预置的软件（包括算法）应当被视为“产品”，因此，生产者应当就因软件或算法缺陷而导致的损害承担严格责任。当前的人工智能算法的工作原理（概率统计和大数定理）表明，机器学习从本质上完全不同于人类的理性学习，其并不能发现驾驶的本质并据此做出安全的驾驶决策，因此，人工智能技术无法在本质上确保驾驶安全。自动驾驶汽车不因人工智能技术的使用而改变其产品性质，人工智能及深度学习算法的应用，并未使自动驾驶汽车获得所谓的人工智能人格，在当前讨论高度自动驾驶汽车的产品责任甚至自动驾驶汽车的主体性问题纯粹是学者的臆想或者“AI浪漫主义”。当前产业界、学界和监管者对于自动驾驶技术的发展愿景显得过于乐观，忽视了其固有风险，放任未经过安全检验和具有根本安全缺陷的产品在市场上流通，体现了生产者对消费者生命财产安全的漠视。自动驾驶技术的发展必须遵守严格的机器伦理，最大程度体现对消费者生命安全和健康的尊重，如消费者有权获得算法解释、有权退出算法决策。法律制度必须为发展可信赖的人工智能提供激励，使其既符合伦理、也符合法律之规定。因此，自动驾驶汽车的产品缺陷必须含括其算法或软件缺陷，进而适用严格的产品责任，以鼓励生产者关注驾驶安全。

　　我国《产品质量法》的修改和民法典《侵权责任编》的制定，应当充分考虑以自动驾驶技术为代表的人工智能对产品责任制度的冲击和影响，应当考虑在坚守产品严格责任的归责体系的前提下，采纳制造缺陷、设计缺陷和警示缺陷的功能性分类，确立相应的缺陷判断标准，综合考虑多种因素判断缺陷之存在，使缺陷的认定更具有可操作性，平衡好消费者保护和鼓励技术进步之间的关系，为持续的技术革新预留必要的法律制度空间，使《产品质量法》能够有效应对未来以人工智能为代表的各类技术创新带来的挑战。

　　《清华法学》2020年第2期要目

　　1.不可放弃的权利：它能成立吗？

　　陈景辉（5）

　　2.功能主义刑法解释的体系性控制

　　劳东燕（22）

　　3.论追诉时效的溯及力及其限制

　　袁国何（50）

　　4.论共犯脱离基准：因果关系切断说的重构

　　姚培培（71）

　　5.自动驾驶汽车的缺陷及其产品责任

　　王乐兵（93）

　　6.论金融法下功能监管的分业基础

　　郑彧（113）

　　7.环境行政公益诉讼中行政不作为的审查基准

　　王清军（129）

　　8.知识产权侵权法定赔偿制度的异化与回归

　　和育东（143）

　　9.从君主命令到令、律之别

　　——先秦法律形式变迁史纲

　　朱腾（157）

　　10.古代中国上访的道理、法理与今鉴

　　李平（187）

　　《清华法学》由中华人民共和国教育部主管，清华大学主办，清华大学法学院《清华法学》编辑部编辑，双月刊，逢单月15日出版。清华法学秉承清华大学自强不息，厚德载物，行胜于言之精神，《清华法学》以严谨求实自律为办刊宗旨，以开放的姿态，预留佳圃，敬候国手佳作。

　　责任编辑：李泽鹏

　　审核人员：张文硕