自动驾驶撞上法律:事故之后,谁来负责?一篇关于智能驾驶事故、保险与监管的美国法路线图

自动驾驶汽车路线图：州侵权责任、汽车保险与联邦安全监管

［美］马克·A. 盖斯特费尔德 著　近海来信 译

▌ 译者说明

本文据 Mark A. Geistfeld, A Roadmap for Autonomous Vehicles: State Tort Liability, Automobile Insurance, and Federal Safety Regulation, 105 California Law Review 1611 (2017) 译出。

▌ 作者简介

▌目录

▌导论

▌ 一、自动驾驶技术的制造商责任结构

▌ 二、自动驾驶汽车事故中的制造商侵权责任

▌ 三、遭黑客攻击的汽车事故中的制造商责任

▌ 四、通过协调各州侵权法与联邦安全监管降低不确定性

▌ 结论

—— 译文正文 ——

▌ 摘要

目前，绝大多数机动车交通事故都源于驾驶员失误。自动驾驶汽车一旦摆脱人类驾驶员，便有望避免成千上万起死亡事故和严重人身伤害。因此，从安全角度看，推动这项技术发展具有相当充分的理由。过去十年间，自动驾驶技术已经取得重大突破；但与此同时，制造商在事故发生后究竟可能承担何种责任，仍普遍缺乏确定答案。这种不确定性被认为正在拖慢技术发展的速度。由于美国各州侵权法规则表面上并不一致，制造商很难评估自身在全国市场中的责任风险。也正因各州法律规则分散不一，联邦层面对自动驾驶汽车进行安全监管的呼声随之高涨。

这种不确定性看似源于这样一种困难：人们试图预判旧技术时代的侵权规则将如何适用于自动驾驶这一新技术。本文则试图说明，只要以多数州已经普遍采纳的成熟侵权法为基础，再辅之以两项新的联邦安全监管规则，便可以形成一套较为完整的监管方案，并在很大程度上消除目前笼罩在这一新兴技术之上的高成本法律不确定性。

事实上，技术本身在很大程度上已经化解了最棘手的侵权法难题，而既有分析往往忽略了这一点。自动驾驶汽车将把人类驾驶员分散化、个体化的驾驶行为，转化为一种集体化、系统化的驾驶形态。换言之，一个单一的“驾驶员”——也就是车辆操作系统——将统摄整个自动驾驶车队，并决定每一辆车如何完成动态驾驶任务。当功能正常的操作系统导致事故发生时，涉事车辆并不是处在一个孤立的个人驾驶场景中，而是处在一种系统化驾驶状态之中。因此，对其进行评价时，不应局限于单起事故的具体情境，而应考察整个车队的运行数据。总体运行数据能够化解许多原本难以处理的侵权法问题。

最重要的是，如果上市前的总体测试数据足以表明，功能正常的自动驾驶车队安全性至少达到传统汽车的两倍，那么制造商就应被认为已经履行了关于操作系统合理安全编程或设计的侵权法义务。为了避免因这类汽车发生事故而承担责任，制造商还必须就其固有事故风险向消费者作出充分警示。这里的风险同样关乎系统化驾驶的整体表现，因此也应以总体运行数据作为适当衡量标准。基于这些数据，汽车保险公司可以计算出与风险相匹配的年度保险费。制造商只要向消费者披露这一保险费，便可视为已经履行关于固有事故风险的警示义务，从而消除功能正常的自动驾驶汽车发生事故时制造商责任的最后一项来源。

在此基础上，各州侵权法长期积累的经验，还可以为联邦层面关于自动驾驶技术合理安全性的监管规则提供指引。前述分析所依赖的，正是美国各州普遍采纳的侵权法规则。少数未采纳多数做法的州，可能会得出不同结论。为了确保制造商在全国市场中面对统一义务，美国国家公路交通安全管理局可以制定两项联邦监管规则；这两项规则均可顺畅纳入其既有监管思路之中。它们分别对应两项侵权法义务：充分的上市前测试义务，以及固有事故风险说明义务。此类联邦规则将在很大程度上保留侵权法的作用，因为在多数州，遵守联邦监管规则也会同时满足相应的侵权法义务；而在其余州，相关侵权请求则会因联邦法的默示优先效力而被排除。由此，联邦统一性的利益可以得到实现，同时又能尽可能减少对各州侵权法的替代，从而较为妥当地解决联邦主义层面的难题。

各州侵权法还可以在若干重要情形中补充联邦监管规则，由此形成一套完整的监管方案。在这一法律框架下，对于一辆符合监管要求的自动驾驶汽车，制造商只有在以下情形中才会承担侵权责任：第一，物理硬件故障导致事故发生，此时适用严格产品责任；第二，操作系统因编程错误或第三方黑客攻击而发生故障，此时同样适用严格责任，但黑客攻击情形中存在一项重要限制；第三，制造商未能采用合理安全的设计，或者未能提供足以保障汽车安全投放使用的充分警示，此时构成普通产品责任请求；第四，制造商在设计汽车及其操作系统时，未能平等对待消费者与第三人，此时构成普通过失请求。此外，制造商若未遵守联邦监管规则，也会因“违法即过失”而承担侵权责任。上述潜在责任并不会带来过度的不确定性。自动驾驶汽车完全可以通过一种既能确保合理安全、又不妨碍这项救生技术发展的方式加以监管。

▌ 导论

自动驾驶汽车将是一项具有颠覆意义的技术。它不仅会使人类从驾驶任务中解放出来，还将推动私人汽车所有权向商业化汽车共享服务迁移，改变城市与郊区生活的运行逻辑及其基础设施；而就本文所关切的问题而言，最重要的是，它将大幅减少道路交通中的伤亡。

2013 年，美国国内机动车交通事故共造成 32,719 人死亡，另有 230 万人受伤。这些事故每年造成的经济损失估计高达 2,420 亿美元，折合美国每人 784 美元；除此之外，因生活质量下降和生命损失而产生的非经济损失，则高达 5,940 亿美元。到 2016 年，交通事故死亡人数急剧上升，估计达到 40,200 人；专家认为，这一增长在一定程度上可归因于分心驾驶。美国国家公路交通安全管理局在一项针对个案的细致研究中发现，“94% 的事故都可以追溯到人的选择或错误”。

自动驾驶汽车当然无法消除所有事故，但它们应当能够显著提升机动车安全水平。根据一项预测，若到 2040 年自动驾驶汽车得到广泛普及，单车事故发生频率可能下降 80%。另一项预测则估计，当道路上 90% 的车辆都实现自动驾驶时，美国每年将减少 21,700 起交通死亡事故。自动驾驶汽车将挽救生命，并避免更多伤害；因此，推动这项技术广泛部署，在安全层面具有相当充分的理由。

这项技术正在迅速发展。2016 年 9 月，汽车共享服务公司 Uber 开始在匹兹堡投入使用自动驾驶汽车，但“由于这些车辆在许多情况下仍然需要人类介入”，车内前排仍配备一名安全驾驶员。在 2017 年底特律车展上，Waymo——也就是原先谷歌的自动驾驶汽车部门——展示了一款由菲亚特克莱斯勒制造、并安装 Waymo 自动驾驶设备的小型厢式车，由此展现了科技企业与汽车制造企业之间开展战略合作的可能性。

随着自动驾驶汽车在道路上日益普及，事故数量的大幅下降，也将显著降低个人汽车保险的成本和需求。不过，其他保险业务需求的上升，可能在一定程度上抵消个人汽车保险需求的下降。随着市场转向汽车共享和按需出行，商业险可能占据更大份额；随着车辆作出越来越多决策，制造商的潜在责任也会增加。制造商责任一旦增加，大概也会相应提高其对责任保险的需求，从而进一步改变整个保险市场的结构。

制造商可能承担的责任范围，也会对正在形成的自动驾驶技术市场产生重大影响。在涉及自动驾驶汽车的事故中，谁应当承担责任？尽管制造商、保险公司、新闻媒体和学者都提出过这个问题，却始终没有一个简单答案。因而，技术通常被描述为自动驾驶汽车的助推器，而责任则常常被描述为障碍。

当然，制造商最终仍会采用自动驾驶技术——其中的商业利益实在太大。但制造商潜在责任范围的高度不确定性，仍可能阻碍自动驾驶汽车的广泛部署。市场从传统汽车转向自动驾驶汽车的速度，取决于消费者为采用这项新技术所必须支付的价格。至少基于两个原因，制造商责任方面的系统性法律不确定性会提高自动驾驶汽车的成本，进而推高价格，并压低消费者对这项技术的需求。

可以预测的风险，与真正的不确定性，二者有根本不同：前者可以借助可靠概率加以计算，后者则不能。制造商在评估自动驾驶汽车潜在责任时，面对的正是同一类型的问题。与生产和商业销售自动驾驶汽车的成本一样，制造商的责任成本也会直接影响利润。制造商究竟应当为其预期责任计入多少价格？由于无法依据可靠统计数据作出判断，制造商只能作出最优估计。估计过高，会人为抬高自动驾驶汽车相对于其他汽车的价格，从而压缩总体需求，并最终影响利润；估计过低，则无法覆盖实际成本，同样会削减利润。

制造商可以通过责任保险缓释风险。责任保险之所以有效，是因为不同制造商的个别责任风险，能够在投保人共同体中相互平衡。然而，如果各方对基础责任规则本身就存在根本分歧，那么这种不确定性就是系统性的，无法通过保险机制中个体风险的汇聚而被消除。不确定性的成本反而会转嫁给保险公司，导致保险公司在本可针对同等预期责任总额收取的价格之上，进一步抬高保险费。因而，无论是通过提高保险成本，还是通过提高制造商的资本成本，责任方面的系统性不确定性都可能显著推高自动驾驶汽车价格，并不必要地延缓其广泛部署。

即便某一项侵权规则的确能够消除这一层面的不确定性，另一层面的不确定性仍然存在。当一个法律问题可能以若干种相当不同的方式被合理解决时，这个问题便尚无定论。侵权法问题越困难，法院在最初处理时越可能作出错误判断。而且，法院还必须分别在各州侵权法体系之下处理同一问题，这又进一步放大了发生法律错误的可能性。

制造商如今正面临这些形式的系统性法律不确定性。迄今为止，学者们已经形成一项共识：一旦人类驾驶员被排除在驾驶任务之外，责任便会在产品责任法意义上转移至制造商，而多数侵权诉讼也将围绕设计缺陷或警示缺陷展开。然而，超出这些共识之后，既有预测便开始分道扬镳。设计缺陷或警示缺陷请求究竟应当如何构造？这类责任会不会成为制造商的常见责任？自动驾驶汽车一旦发生事故，是否当然意味着其设计存在缺陷？在这些案件中，制造商究竟需要作出何种警示？围绕这些及相关问题，学者们给出了相当不同的答案。

这种不确定性在很大程度上源于驾驶活动本身的复杂性。道路并不只是由规则与设计构成的系统；它同时也是一个社会场域。在那里，数以百万计的人每天进入其中，只受到相当宽松的行为参数约束，仿佛置身于一个巨大的社会实验场，各种尚未被完整描绘、也很少被真正理解的互动机制都在其中发生作用。这些复杂互动极大增加了驾驶活动的不确定性，也有助于解释为什么人为错误会成为如此多交通事故的根本原因。

在自动驾驶汽车的世界里，驾驶员失误将被消除，但人为错误问题并不会随之消失。决定自动驾驶汽车驾驶表现的是计算机软件。驾驶行为一旦被编码，错误的来源便从人类驾驶员转移到那些编写、设计和制造自动驾驶汽车的人身上。自动驾驶汽车不可能绝对安全；它们终究会在某些时候发生失效。鉴于驾驶活动的复杂性，以及将这种行为编码时不可避免的内在限制，法院又如何能够可靠判断：一辆正常运行的自动驾驶汽车发生事故，究竟是否源于足以使制造商承担责任的缺陷？

问题的相当一部分答案，恰恰存在于自动驾驶的基本技术之中；这种技术以既有分析尚未指出的方式，简化了侵权法问题。今天的驾驶行为在根本意义上是个体化的：每辆车的事故风险，主要取决于各自驾驶员的行为，因此事故分析也必须逐案展开。自动驾驶汽车则会把这种个体化驾驶行为转化为一种集体化、系统化的形态。实际上，整个车队都将由一个单一的“驾驶员”引导；这个“驾驶员”就是决定某一类自动驾驶汽车如何执行驾驶任务的硬件和软件。本文称其为车辆的“操作系统”。

只要车辆搭载的是同一操作系统，它们便会以系统化方式执行同一动态驾驶任务。传统汽车事故需要逐案考察驾驶员行为；与此大不相同的是，功能正常的操作系统所驱动的自动驾驶汽车一旦发生事故，就应当放在搭载同一操作系统的整个车队的系统化表现之中加以评价。既有分析在很大程度上没有看到系统化驾驶如何改变侵权法上的考察方式，这也解释了为什么当前的责任问题看起来如此困难，并且充满不确定性。

▌ 一、自动驾驶技术的制造商责任结构

自动驾驶汽车可以沿着两条路径发展。第一条路径，是在传统汽车既有自动化系统的基础上逐步升级，使人类驾驶员能够将更多动态驾驶任务交由系统完成。第二条路径，则是不再配置人类驾驶员，直接投放自动驾驶车辆，再逐步扩展其适用场景。两类技术在人对车辆的控制与车辆自主运行之间形成不同的衔接关系，也因此会对制造商的法律责任产生不同影响。

（一）传统机动车中的驾驶辅助系统

驾驶辅助系统被嵌入传统机动车之中，能够在特定运行条件下接管一项或多项动态驾驶任务。防抱死制动系统、电子稳定控制系统、泊车辅助系统、自适应巡航控制系统、车道偏离预警系统和前方碰撞预防系统，都属于这一技术谱系。其他基于现有驾驶辅助系统的扩展技术也即将出现，例如通过紧急转向避免碰撞的辅助系统，在能见度不佳的天气条件下识别对向来车和行人的辅助系统，以及提升交叉路口安全性的辅助系统。

这些技术改善的是驾驶员与车辆之间的互动方式，使驾驶员能够更好地控制车辆，或者更便利地操作车辆，但并没有从根本上改变驾驶员与车辆在执行动态驾驶任务时各自扮演的角色。人类仍然坐在方向盘后面。因此，配备驾驶辅助系统的车辆，并没有制造出与未配备此类技术的传统车辆根本不同的责任问题。

不过，随着驾驶辅助系统进一步发展，安全问题的性质很可能发生变化。第 2 级和第 3 级驾驶辅助系统都会在自动驾驶与传统驾驶之间形成一个转换界面，也就是人类从自动驾驶车辆手中接过动态驾驶任务的节点。从一种驾驶模式切换到另一种驾驶模式，会带来一种传统车辆所没有的安全问题。这些车辆持续处于自动运行状态，可能使坐在方向盘后面的人产生松懈，也可能使其对驾驶辅助系统形成过度依赖。

对于如何应对这一问题，制造商目前并无共识。谷歌和沃尔沃认为，最安全的路径是绕过第 2 级和第 3 级驾驶辅助系统，转向完全自动驾驶汽车；其他制造商则试图通过在第 2 级和第 3 级驾驶辅助系统中引入容错规划来减少这些错误。所谓容错规划，是指能够处理计划执行者一定偏差或错误的一类规划。这些技术能否达到合理安全，取决于容错设计是否足以帮助确保坐在方向盘后面的人在必要时接管驾驶任务。

这一安全问题，已经在 2016 年 5 月的一起事故中浮现。当时，约书亚·布朗驾驶一辆特斯拉 Model S 电动轿车，车辆处于自动驾驶模式，最终发生事故并导致布朗死亡。这是已知第一起涉及自动驾驶汽车的致命事故。按照特斯拉的说法，车辆当时正在一条分隔式高速公路上行驶，自动辅助驾驶功能已经开启；随后，一辆牵引挂车垂直穿越高速公路，横在 Model S 前方。自动辅助驾驶系统和驾驶员都没有注意到明亮天空映衬下白色牵引挂车的侧面，因此车辆未能制动。

这些措施是否足以确保坐在方向盘后面的人保持警觉？还是说，这起事故的全部或部分责任，应当归咎于布朗未能及时手动刹车？这些问题具有新颖性，因为未配备第 2 级或第 3 级驾驶辅助系统的传统车辆发生事故时，并不会引发这些问题。然而，责任问题本身并不新。

成熟的侵权法规则早已要求制造商采用容错型产品设计。制造商如果未能采用合理安全的容错设计，就要对由此造成的人身损害承担侵权责任。这一规则完全能够处理驾驶辅助系统的设计应当如何回应下述可预见风险：技术可能使驾驶员产生松懈或分心。侵权法上的审查，需要进行成本—收益分析，即所谓风险—效用测试；按照这一测试，只要某项安全功能的成本低于其相应安全收益，产品设计就应纳入该安全功能。

例如，机器制造商可以向消费者发出警示——“请勿接触本机器外露的运动部件”——也可以直接在设计中加入防护罩，以防使用者无意间接触到机器的运动部件。如果防护罩是降低该风险的成本有效方法，那么仅仅提供警示的制造商，就会因设计缺陷而承担责任。同样，制造商不能只是警告驾驶员在驾驶辅助系统提示接管时保持警觉；只要采用驾驶辅助系统的容错设计是降低驾驶员失误风险的成本有效方法，制造商就必须采用这种设计。

因此，尽管驾驶员失误风险仍然存在，严格产品责任并不会迫使制造商放弃驾驶辅助系统的进一步技术开发。相反，这些技术的制造商必须设计车辆操作系统，使其能够应对自动驾驶与人工驾驶转换处可预见发生的人类错误。

（二）无需人类驾驶员介入的自动驾驶技术

一旦自动驾驶技术完全接管动态驾驶任务，法律分析上便出现一个分水岭。一辆汽车之所以是“自主”的，是因为它可以在没有人类协助的情况下行驶；甚至可以在车内没有任何人的情况下行驶。这种自主性的界定在侵权法上十分重要，因为一个人只有在行使自主行动能力时，才可能承担侵权责任。当车内人员不再执行动态驾驶任务时，人类驾驶失误便不再是事故原因。相反，车辆如何执行驾驶任务，将成为审查的焦点。

然而，车辆本身并不能为其运行表现承担法律责任；毕竟，它并不真正具有法律意义上的自主行动能力。于是，问题就成为：谁应当对车辆运行负责？是产品消费者，即车主以及可能的使用者？还是制造商，以及分销链条中的其他主体？自动驾驶汽车提出的法律责任问题，与传统汽车所涉及的问题有根本差别。

为了缓解消费者的疑虑，领先的制造商已经承认，它们要对自动驾驶汽车的驾驶行为承担法律责任。沃尔沃、谷歌和戴姆勒旗下梅赛德斯—奔驰均承诺，如果其车辆造成事故，它们将承担责任。这些制造商承认自己对自动驾驶汽车的运行承担法律责任，实际上是在向消费者传递安全信号。

尽管目前尚无成熟判例体系明确承认制造商会因软件缺陷承担侵权法义务，这一侵权法义务本身仍然没有太大疑问。操作系统的编码或设计，决定的是一项产品——机动车——的运行表现。无论产品设计采取何种形式，制造商都有责任确保该设计使产品以合理安全的方式运行。在造成人身损害的案件中，这一侵权法义务要求制造商为操作系统采用合理安全的设计；经济损失规则，或者免除制造商责任的合同条款，都不能否定这一义务。

然而，承担运行责任，并不意味着一旦发生事故便当然承担法律责任。法律责任至少取决于两个条件：一是侵权法义务的存在，二是该义务被违反。人类驾驶员要为自己在方向盘后的行为负责，但这并不意味着只要卷入事故便必然承担责任。对于负责自动驾驶汽车如何执行动态驾驶任务的制造商而言，情形同样如此。

与配备驾驶辅助系统的传统汽车相比，操作者与自动驾驶汽车之间的互动关系，提出的是一个相对容易处理的安全问题。人类操作者向车辆输入目的地信息。只有当该目的地要求车辆驶入超出其安全运行参数的环境时，这一行为才可能具有不合理危险。在不久的将来，自动驾驶汽车只能在特定环境条件下安全运行。因此，为确保合理安全，制造商必须警示消费者：自动驾驶汽车适合在何种条件下投入运行。只要制造商充分告知车内人员适当运行条件，并通过程序设定使车辆能够拒绝进入不安全环境的运行指令，制造商便履行了其侵权法义务。

一辆被适当投入运行的自动驾驶汽车，仍可能因许多原因发生事故。就侵权法而言，制造商责任仅限于由车辆运行近因造成的事故。车辆只是卷入事故，并不足以满足这一要求。制造商责任以及由此产生的潜在法律责任，只限于自动驾驶汽车的驾驶行为可预见地创设风险，并因该风险实现而导致的事故。

▌ 二、自动驾驶汽车事故中的制造商侵权责任

一旦操作者已经适当地启用自动驾驶汽车，制造商便成为车辆驾驶表现的主要责任主体。数百年来，侵权法一直要求制造商和其他产品销售者确保产品以合理安全的方式运行。今天，最重要的义务，是严格产品责任规则。按照该规则，产品的商业销售者要对因产品缺陷这一近因所造成的人身损害承担严格责任。法院最终采纳了一种三分法，将产品缺陷区分为制造缺陷、设计缺陷和警示缺陷。

所谓制造缺陷，又称构造缺陷，是指产品即便在生产和销售过程中已经尽到一切可能注意，仍然偏离其预定设计。这类缺陷偏离了设计规格，只存在于异常产品中，而这些异常产品本不应通过质量控制标准。对于这类缺陷产品的商业销售者，多数州都会要求其承担严格侵权责任。

在自动驾驶汽车中，这类缺陷通常并不指向执行动态驾驶任务的软件。车辆操作系统可能因为某个输入错误而存在编程漏洞，但这类代码仍属于操作系统的一部分，也就是车辆设计的一部分。凡是搭载该操作系统的车辆，都会包含同一编码错误；这与只影响个别产品的制造缺陷不同。因此，制造商因制造缺陷承担责任的范围，大体上限于操作系统硬件的质量控制问题，包括摄像头、激光雷达、普通雷达，以及其他未能按照设计要求运行的物理部件。

就自动驾驶汽车硬件而言，责任规则同传统机动车物理部件缺陷所适用的规则并无差别。制造商不仅十分熟悉这类责任，而且可以通过采取质量控制措施、购买保险来覆盖剩余责任，从而在很大程度上控制其制造缺陷责任风险。这一严格产品责任规则已经相当成熟，并不大可能成为阻碍自动驾驶汽车发展的法律不确定性来源。

（一）由编程漏洞导致的事故

设想这样一种情形：软件中存在某一编程错误或漏洞，导致操作系统崩溃，进而导致车辆发生事故。在这类案件中，原告并不需要具体指出是哪一处编码错误；他可以仅仅根据操作系统异常运行的方式，证明设计存在缺陷。

根据《侵权法重述第三版》，当产品运行表现通常只有在产品存在缺陷时才会发生，并且在该具体案件中，并非完全由销售或分销时既存产品缺陷之外的其他原因造成时，产品运行表现本身就足以替代对缺陷的直接证明。由于这类案件中的缺陷是从产品异常表现中推论出来的，《侵权法重述第三版》把这种表现称作“故障”。无论使用何种名称，这一被广泛采纳的规则都会使制造商因产品故障承担责任。

据此，如果某一编码错误导致操作系统崩溃，并进一步导致自动驾驶汽车发生事故，便可认定存在故障。编码错误使操作系统无法实现其明确预设的功能，即执行动态驾驶任务；制造商因此要对事故承担责任。故障本身便足以证明缺陷存在。按照严格产品责任规则，只要缺陷作为近因造成了人身损害，即使制造商在产品准备和销售过程中已经尽到一切可能注意，仍须承担责任。

（二）由正常运行的操作系统导致的事故

除非技术已经达到完美状态，否则自动驾驶汽车的操作系统必然会以一种并非完全安全的方式被设计或编码。即便程序并不存在错误或漏洞，车辆仍可能遭遇编码时未曾预见的情形，并因此以某种方式执行动态驾驶任务，最终导致事故发生。在这类案件中，制造商是否承担责任，取决于这样一个问题：功能正常的操作系统的设计缺陷是否构成该事故的近因。

对于产品设计缺陷究竟应当适用消费者期待测试、风险—效用测试，还是二者的某种组合，法院之间一直存在分歧。然而，只要消费者期待测试得到恰当界定，设计缺陷规则之间表面上的差异便会在很大程度上消失。无论某一州采用消费者期待测试、风险—效用测试，还是二者的某种组合，责任审查最终都可以化约为两个不同问题：第一，自动驾驶汽车发生事故是否属于故障；第二，一辆并未发生故障的汽车是否仍具有不合理危险或缺陷设计。只要其中任一条件成立，制造商就要对由功能正常的操作系统作为近因导致的事故承担责任。

1. 产品故障与产品警示的作用

如果功能正常的操作系统作为近因导致自动驾驶汽车发生事故，这种表现——也就是事故本身——能否构成应当承担责任的故障？故障的界定，需要参照产品的预期运行表现。因此，责任问题取决于法院如何表述一种期待：功能正常的操作系统应当如何为自动驾驶汽车执行动态驾驶任务。

就操作系统设计而言，最一般性的目标是使自动驾驶汽车安全抵达指定目的地。许多制造商已经提出实现零伤亡的目标。基于自动驾驶汽车操作系统的这一编码目标，任何事故都可以被认为是车辆明示意图功能的失败，并由此构成产品故障，使制造商承担严格责任。

这一结论并非毫无争议。相当多数州会以消费者期待测试来处理这个问题。普通消费者至少会期待产品不发生故障。适用消费者期待测试，并不要求普通消费者理解产品背后的技术机制；他只需要对相关产品运行表现形成充分期待即可。当自动驾驶汽车最初进入商业市场时，普通消费者大概可以期待，它至少应当像人类驾驶员驾驶的汽车一样安全。随着消费者积累自动驾驶汽车使用经验，他们对安全性的期待也会发生变化。技术进一步发展，将使自动驾驶汽车更加安全；于是，那些仍然发生的例外事故，就更可能被视为一种故障。

若如此理解，严格产品责任规则在适用上便具有高度不确定性，这也解释了为什么人们普遍担忧自动驾驶汽车制造商可能面临的责任风险。考虑到潜在责任范围极为巨大，这种不确定性尤其危险——制造商可能对所有事故负责，从而产生一种足以阻碍这项减损事故技术广泛部署的成本。

然而，如果制造商履行一项独立的侵权法义务，这种不确定性便可以消除。当产品创设了普通消费者并不充分知晓、且会实质影响其产品使用决策的可预见伤害风险时，制造商负有警示该风险的义务。如果制造商就一辆安全设计的自动驾驶汽车仍不可避免或固有存在的可预见事故风险，向消费者作出充分警示，制造商也就可以在故障规则之下避免因这些事故承担责任。

这种警示义务并不会在制造商销售或者以其他方式商业分销自动驾驶汽车后终止。自动驾驶汽车的制造商将与车辆保持无线连接，向消费者传达新的警示几乎没有成本。与传统产品相比，履行售后警示义务的负担显著降低，因此对自动驾驶汽车而言，这项义务具有相当的合理性。

2. 设计缺陷与上市前测试的作用

即便产品按照警示所说明的方式运行，且不存在其他故障，消费者通常仍会独立期待产品设计本身具有合理安全性。警示只是帮助确定消费者对于产品实际运行方式的最低安全期待；这种期待不同于一种更高要求的期待，即产品本应如何运行。如果产品设计使产品以不合理危险的方式运行，实际表现通常会违背消费者关于产品本应如何运行的合理期待，从而使该设计构成缺陷。

风险—效用测试是一种成本—收益审查，要求采用一切成本或负效用低于相应风险降低幅度或安全收益的设计改进。全国绝大多数法院在评价功能正常的自动驾驶汽车设计时，都会适用实质上相同的责任规则。制造商责任方面真正可能存在的不确定性，并不在于规则本身，而在于法院将如何适用这一规则。

既有争论往往预设自动驾驶汽车的操作系统，仅仅是通过规则式或符号式人工智能预先编程完成的。这种人工智能由“如果—则”命令构成。双方争议的，是法院应当如何在所谓边缘场景中适用风险—效用测试。所谓边缘场景，是指难以预见却可能造成灾难性后果的异常情境。

这一预设是错误的；而这一错误，将从根本上改变自动驾驶汽车操作系统的风险—效用分析。自动驾驶汽车主要并不是依靠一系列预先编写的计算机规则来决定何时、何地转向、加速或制动。相反，这类系统通常使用机器学习算法；这些算法通过分析安全驾驶样本接受“训练”，并从这些样本中自动概括出有效驾驶的核心模式。

机器学习对于如何将风险—效用测试适用于操作系统的设计或编程，具有重要意义。针对编码本身进行风险—效用审查，只能限于那些约束或引导机器学习的规则。除这些规则之外，自动驾驶汽车的行为应当被理解为长期而多样化学习过程的结果。因此，在这些案件中，自动驾驶汽车运行是否合理，并不取决于对编码本身进行风险—效用审查。真正适当的问题应当是：操作系统是否已经获得足够学习经验，从而能够以合理安全的方式驾驶车辆。

当自动驾驶汽车首次进入市场时，如果车辆已经经过充分的上市前测试，那么其操作系统便应当具备足够学习经验。除那些引导或约束机器学习的规则之外，功能正常的操作系统是否存在设计缺陷，完全取决于此前测试是否充分。

（三）导致第三人受害的事故

到目前为止，上述分析只关注制造商对消费者——也就是自动驾驶汽车所有者及使用者——遭受人身损害时所承担的侵权责任。然而，事故也可能伤害第三人，例如行人，或者其他车辆中的乘客。在人身损害案件中，制造商的侵权法义务同时涵盖消费者和第三人。

先看操作系统的设计或编程。为了教会操作系统如何驾驶，程序员会向软件输入大量交通情境，并为每一种情境指定正确反应；随后，机器学习算法通过统计分析，确定实现预期结果的最佳方式。那么，在自动驾驶汽车不可避免将要发生事故，并且可能同时伤害消费者和第三人的情境中，什么才构成正确反应？车辆操作系统在保护一方而可能牺牲另一方利益时，应当被指令采取何种行动？

这个问题已经引起广泛公众关注，部分原因在于它牵涉著名道德难题“电车难题”的一种版本。适用于自动驾驶汽车时，电车难题便成为操作系统设计中的一个挑战：当自动驾驶汽车为了避免撞上另一辆汽车或行人，必须让车内乘客面临严重伤害风险时，什么才是正确反应？

这个问题虽然复杂且极具思想吸引力，却并不新颖。运动型多用途汽车与普通汽车相撞时，也会涉及同样问题。消费者可能为了避免自己乘坐轿车时面临更高受伤风险，而选择购买更大、更重、对他人更危险的车型。消费者选择可能刺激制造商采用对第三人具有不合理危险的产品设计，从而在公路上制造一场“军备竞赛”。

过失责任规则为制造商如何设计自动驾驶汽车以保护第三人，提供了明确指引。第三人会因车辆行驶而受到可预见威胁，因此制造商在设计车辆时所负有的合理注意义务，也涵盖第三人。为了履行这一义务，制造商必须平等地考量第三人利益，不能因其希望满足消费者对产品的需求，就对第三人利益作不同对待。因而，制造商在最初编码或训练自动驾驶汽车操作系统时，必须使所谓“正确反应”平等对待消费者与第三人。

例如，一辆传感器显示车内只有一名乘客的自动驾驶汽车，必须转向以避免撞上一群行人，即便这样做可能使唯一乘客面临严重伤害。如果操作系统的正确反应不是这样设定，那么其编程或设计就会不合理地优先保护单名车内乘客，而牺牲人数更多的行人。制造商因此将对行人遭受的伤害承担过失责任。为避免承担责任，制造商必须把自动驾驶汽车的操作系统设计成：无论潜在受害者是车内乘客还是第三人，都应当在任何给定事故中尽量减少预期伤害。

（四）以总体性能指标履行侵权法义务

一旦我们认识到自动驾驶汽车的系统化驾驶如何影响侵权法审查，成熟侵权法义务便能够解决原本棘手的责任问题。不过，这一结论并不当然说明，制造商能够有把握地评估自身责任风险。由于这些义务都是围绕系统化驾驶来界定的，制造商可以借助操作系统可识别的总体性能指标来履行这些义务。再次说，自动驾驶汽车的系统化驾驶能够解决侵权法难题。

1. 充分的上市前测试

上市前测试除了能够发现导致操作系统崩溃的编程错误之外，还会为机器学习创造机会，使操作系统的安全表现得以不断提升。所谓充分的上市前测试，必须能够表明：自动驾驶汽车在首次进入商业市场时，已经能够以合理安全的方式运行。

在市场从传统汽车过渡到自动驾驶汽车的阶段，有一个清晰基准，可以使制造商确定地履行这一侵权法义务。只要将传统汽车与尚不完美但更安全的自动驾驶汽车之间的风险—效用权衡纳入考虑，如果既有驾驶经验表明，操作系统相较传统汽车至少能将事故率降低一半，那么功能正常的自动驾驶汽车就必然能够被认定为以合理安全的方式行驶。

评价操作系统表现时，不能简单追问：在本案情境中，人类驾驶员会如何反应？这种追问没有把自动驾驶汽车避免了哪些由人类驾驶员造成的事故纳入考虑。当功能正常的操作系统正在从事系统化驾驶时，任何个案中的表现，都必须借助总体运行数据加以评价；这种数据所比较的，是其系统性运行表现与传统汽车系统性运行表现之间的差异。

如果自动驾驶汽车将传统汽车事故率降低一半，那么在同样条件下，它预计造成的致命事故数量也会减少一半。若继续测试的最高预期安全收益，只是避免这些自动驾驶汽车自身可能造成的剩余事故，而最低预期成本则是延迟投放本可避免的传统汽车事故，那么继续测试并不当然具有正当性。因此，只要自动驾驶汽车经测试已经达到传统汽车两倍的安全水平，制造商便可以确定地表明：功能正常的操作系统具有合理安全性，并不存在设计缺陷。

这一 50% 的阈值，是在当前市场从传统汽车向自动驾驶汽车过渡的条件下推导出来的。随着市场走向成熟，自动驾驶汽车成为常态，比较基准也将需要调整。但就目前而言，以传统汽车作为评价自动驾驶汽车安全收益的基准，是可以成立的。

2. 关于固有事故风险的充分警示

即使经过充分上市前测试，并且被适当地投入使用，功能正常的操作系统仍可能导致车辆发生事故。消费者并不清楚这类事故究竟会在什么情形下发生。因此，基础侵权法义务要求制造商就以下固有且可预见的风险作出充分警示：功能正常的自动驾驶汽车仍可能发生事故。

答案仍然来自自动驾驶汽车的系统化驾驶。整个车队的总体驾驶表现，为汽车保险公司计算车辆承保成本提供了必要数据。保险费正是以车辆固有且可预见的事故风险为基础。因此，制造商可以通过披露保险费的方式，充分警示消费者注意这一风险。

警示的功能，是使使用者和消费者知道产品风险的存在及其性质，从而使其能够通过适当行为，或者通过选择不使用、不消费该产品，来避免损害。制造商的一般警示义务，会体现为一组关于充分警示各项特征的更具体的规则和标准；这些规则和标准服务于同一目标，即降低普通消费者为阅读、记住并遵循警示所必须承担的信息成本。

基于同样理由，制造商可以通过披露自动驾驶汽车保险费的方式，履行其关于固有事故风险的警示义务。设想一名消费者正在决定购买 A 品牌还是 B 品牌自动驾驶汽车。两者除各自操作系统不同外，其他方面完全相同。假设 A 品牌售价 30,000 美元，年度经风险调整保险费为 2,500 美元；B 品牌售价 31,000 美元，经风险调整保险费为 1,000 美元。消费者可以轻易判断，从安全角度看，B 品牌更优，因为仅第一年总成本即为 32,000 美元，低于 A 品牌的 32,500 美元。这种简单的价格比较，使消费者能够就不同自动驾驶汽车合理安全设计中固有的相对风险作出良好判断。

如果制造商直接披露年度经风险调整保险费，消费者就可以用更简单、更准确的方式作出同一决定。相比于一种理论上也应引导普通消费者作出同样安全决定的一般警示，制造商的披露大幅降低了信息成本，因此足以满足其关于固有事故风险的侵权法警示义务。

通过披露自动驾驶汽车年度经风险调整保险费，制造商便可就固有且可预见的事故风险向消费者作出充分警示。该保险费建立在整个车队的集体事故经验之上，而这种经验又能够充分反映车队中每一辆车造成事故的固有风险。自动驾驶汽车的系统化驾驶提供了一项确定的性能衡量标准，足以满足制造商的侵权法义务，并由此消除这一责任形态作为重大法律不确定性来源的可能。

▌ 三、遭黑客攻击的汽车事故中的制造商责任

与其他构成物联网的产品一样，配备自动驾驶技术的机动车，也可能遭到未经授权的第三人访问或攻击。如果自动驾驶汽车不能抵御网络攻击，第三人便可能通过侵入操作系统取得未经授权的控制。黑客随后可能向车主索要赎金，以使车辆重新恢复完整功能；也可能恶意干扰驾驶，从而给乘客造成身体危险。一旦黑客攻击或者其他类型的网络攻击导致车辆发生事故，人们便不可避免地会转向这样一个问题：制造商是否应当承担责任。

基于若干已经相当成熟的理由，制造商的侵权法义务当然包括车辆网络安全。黑客攻击已十分常见；这意味着，非法第三方行为所造成的风险是可以预见的，制造商因此负有保护消费者免受可预见损害的义务。真正困难的问题并不是制造商是否负有义务保护其机动车免受黑客攻击这类非法网络攻击，而是这一义务的实质内容。

前文已经说明，对于一辆功能正常的自动驾驶汽车发生事故，制造商可以通过充分的上市前测试，以及就固有且可预见的事故风险作出充分警示，来履行其侵权法义务。然而，与自动驾驶汽车功能正常的操作系统既往事故经验不同，既往遭黑客攻击的发生率，并不能作为预测未来攻击的充分可靠指标。充分的上市前测试，以及关于固有事故风险的警示，并不能使制造商免于因遭黑客攻击车辆发生事故而承担侵权责任。

在上市前测试阶段，自动驾驶汽车的使用范围有限，大概也并不那么吸引黑客。一旦汽车被商业化投放，非法获利的可能性便会显著增加，车辆也将成为对黑客更有吸引力的目标。即使某辆汽车在上市前测试阶段从未被黑客攻破，它在大规模进入市场之后，仍然可能暴露出脆弱性。

如果操作系统的设计未能合理抵御网络攻击，那么在风险—效用测试之下，该系统即构成缺陷，制造商将对由此导致的事故承担责任。如果不能证明存在缺陷，那么遭黑客攻击车辆发生事故本身，并不会当然产生责任。

不过，缺陷也可以通过故障规则加以证明。制造商显然无意让车辆受未经授权的第三人控制；普通消费者大概也期待，决定车辆驾驶行为的是操作系统，而不是黑客。遭黑客攻击的汽车的这种表现，似乎构成一种产品故障；如果由此发生事故，制造商便可能承担严格责任。这种责任形态对原告而言可能特别有力，对制造商而言则尤其令人担忧。

（一）遭黑客攻击的汽车事故作为产品故障

配备自动驾驶技术的机动车，其运行过程由复杂且相互关联的系统共同支配；因此，要识别并解决可能导致车辆发生事故的问题，严格的质量控制不可或缺。质量控制失败，也常常是产品故障的根本原因。由于自动驾驶汽车事故与其他类型产品故障表面上存在相似之处，这类事故无疑会迫使法院更加清晰地说明：究竟何种产品运行表现才构成应适用严格责任的故障。

产品故障的经典例子之一，是汽水瓶爆炸。普通消费者并不期待产品设计绝对安全，而只是期待设计具有合理安全性。合理安全并不是绝对安全。对于质量控制系统，普通消费者也抱有同样期待。他并不期待完美无缺，而只是期待这瓶汽水已经通过合理安全、虽不完美的质量控制系统。若要说一个爆炸的汽水瓶挫败了消费者期待，这种异常表现就必须归因于制造商未能在质量控制中尽到合理注意。

严格责任的正当理由，在于执行制造商采取合理安全质量控制系统这一义务存在困难。对于大规模生产的产品，制造商为确保产品质量可以采取的合理安全措施，往往复杂且难以用可靠证据进行独立评价。因而，合理质量控制的期待，虽然产生了重要安全义务，却不是消费者能够充分执行的。严格责任规则则能够解决这一证明难题，并由此执行合理安全质量控制的期待。

产品并不只是因为造成损害就必然发生故障；所以，这一规则并不是一种绝对责任规则。例如，一辆传统汽车发生普通事故之后，制造商通常不会把这一型号车辆撤出市场；知情消费者也不会因此放弃购买该车。传统汽车事故通常并不会表明车辆存在缺陷。而操作系统因为计算机漏洞或者第三方黑客攻击，未能以其预定方式运行，并可预见地造成安全问题；在这种情形下，如果仅适用难以充分执行的过失责任规则，就可能无法对制造商形成充分的安全约束。因而，操作系统因计算机漏洞或者第三方黑客攻击而未能按预定方式运行，可以形成缺陷推论，即产品故障，并为适用严格责任提供正当理由。

（二）将责任限制为过失责任的可能性

如果制造商已经就相关产品运行表现作出充分警示，便可避免因产品故障承担严格责任。然而，制造商能否就黑客攻击风险作出充分警示，是另一个问题。与功能正常的自动驾驶汽车仍可能发生事故这一固有风险不同，制造商无法可靠判断当前网络攻击风险。充其量，制造商只能警示消费者：操作系统可能被黑客攻破。

对于一些法院而言，这种警示或许已经足够；但另一些法院也很容易得出相反结论。如果消费者只是被告知车辆可能被黑客攻击，那么普通消费者未必会自然认为，黑客攻击的发生属于预期产品运行表现，而不是产品故障。仅仅警示车辆可能被黑客攻击，并不能充分说明这一风险究竟有多大，以及该车相较竞争车型是否更容易遭受攻击。法院可能认定，这类警示并不排除陪审团作出如下判断：遭黑客攻击车辆发生事故，构成产品故障。

不过，发生故障的产品并不必然适用严格责任。按照已经被广泛采纳的《侵权法重述第二版》第 402A 条严格产品责任规则，其评论 k 将“不可避免不安全产品”排除在严格责任之外。该项豁免建立在一个政策判断之上：严格责任可能扰乱药品和疫苗供应，从而削弱这类产品促进公共健康和安全的潜力。

这一理由显然与自动驾驶技术有关。与血液和药品一样，自动驾驶汽车促进公共安全。自动驾驶汽车之所以可能在故障规则之下适用严格责任，是为了克服证明过失责任的证据困难，并由此通过责任成本促使制造商采用合理安全的质量控制系统。如果严格责任规则在必要时反而会损害同样的公共健康与安全关切，那么它就应当退让。依同样理由，法院可以认定，在黑客攻击风险方面，自动驾驶汽车属于“不可避免不安全产品”。如果法院作出这一认定，制造商就不因这类故障承担严格责任，而只承担普通过失责任。

当然，这一结论取决于若干目前难以回答的问题。黑客攻击风险是否类似于新型血源性疾病所造成的风险？黑客攻击严格责任是否会造成广泛且在很大程度上不可避免的责任？抑或，黑客攻击更类似于普通质量控制疏漏，所涉及的是一种可以通过尽到合理注意而充分降低的风险？市场是否确实容易受到这一问题影响，以及法院是否会据此将评论 k 适用于自动驾驶汽车，目前基于这些和其他理由尚不清楚。这类问题表明，网络安全是自动驾驶汽车系统性法律不确定性的一项潜在来源。

▌ 四、通过协调各州侵权法与联邦安全监管降低不确定性

除网络安全问题，以及充分证明自动驾驶汽车相对安全性能所需满足的测试条件问题之外，制造商并不会面对高度不确定的侵权责任形态。然而，这种安全监管方式仍会产生其他不确定性及其相应成本。前文关于责任的结论，既不可避免地带有预测性质，又建立在多数州已经采纳的侵权法规则之上；而有些州可能采用略有不同，甚至显著不同的规则。即便全国各地法院最终以相同方式解决这些责任问题，侵权诉讼通常也成本高昂，并且往往在民事司法体系中推进缓慢。诉讼费用、时间成本以及法院之间可能发生分歧，正说明为什么在这一领域，另一种监管路径会如此具有吸引力。

为了填补这一空白，各州立法者已经开始处理自动驾驶汽车监管问题。然而，以州层面监管法为基础的方案，会造成与州侵权法方案同样棘手的问题：当前主要困难在于克服五十个州在许可、汽车标准、监管和隐私保护方面各有偏好所造成的监管碎片化。汽车制造商和软件开发者在不同州面对彼此冲突的规则和监管要求。这会使创新更加复杂，因为制造商希望面向全国市场乃至国际市场生产汽车和卡车。法律责任和数据保护方面也需要更高程度的明确性。处理这些问题，将有助于制造商部署新技术，并推动交通领域的经济增长。

州监管法潜在的差异，会进一步加剧州侵权法已经制造的系统性不确定性，从而强化统一联邦监管的理由。美国国家公路交通安全管理局显然敏锐意识到了这些问题。该机构提出的政策，是在任何可能的地方促进并鼓励那些具有拯救生命潜力的技术的发展和部署，并使用一切可用工具判断新技术的安全潜力，消除可能妨碍或者延迟技术创新实现其安全潜力的障碍。

国家公路交通安全管理局希望推动自动驾驶汽车既快速又安全地部署，这一计划值得肯定；但它也面对艰巨的难题。市场已经开始把自动化安全技术嵌入机动车之中，而这一趋势大概只会进一步加速。机动车类型繁多，安全功能数量庞大，这使国家公路交通安全管理局不可能对整个产品市场进行全面监管。安全问题的规模，要求形成一种同时依赖联邦监管法与各州侵权法的方案。

国家公路交通安全管理局进一步承认，分配侵权责任的规则和法律，可能会对消费者接受高度自动化车辆的程度，以及其部署速度产生重大影响。五十个州及美国其他司法辖区之间法律和监管规则彼此不一，可能延缓这些具有潜在救生价值的技术的广泛部署。正因为制造商应当能够专注于打造统一的高度自动化车辆车队，而不是为了满足各州不同要求而开发五十个不同版本，该局才强烈鼓励各州允许美国交通部独自监管高度自动化车辆技术及车辆性能。然而，该局同时也确认，各州保留其在车辆许可与登记、交通法律及其执行、机动车保险和责任制度方面的传统职责。

这一拟议监管方案显然存在一个问题。基于全国统一性的迫切需要，国家公路交通安全管理局强烈鼓励各州允许联邦层面独自监管高度自动化车辆技术的安全性能；但该局同时又设想，各州将保留自己的侵权责任制度。产品责任是一种要求相当高的安全监管形式，涉及制造缺陷、设计缺陷和警示缺陷。那么，各州如何既保留这一责任制度，又把唯一监管权限让渡给国家公路交通安全管理局？为了在全国范围内实现统一，各州侵权法必须以某种方式同联邦监管体系妥善协调。

为了实现其目标，即形成一套全国统一的监管制度，同时允许各州在侵权法方面保留其传统职责，国家公路交通安全管理局可以借助各州严格产品责任规则，为联邦监管规则提供依据。只要联邦监管规则建立在那些能够满足多数州相应侵权法义务的安全措施之上，该局便可以充分顾及各州在侵权法方面的重要利益。联邦监管规则之所以能够实现所需程度的监管统一，原因同时涉及州侵权法和联邦宪法法理：前者体现为监管合规抗辩，后者体现为默示优先适用原则。各州侵权法则可以在若干重要情形中补充联邦监管规则，从而形成国家公路交通安全管理局所设想的那种完整监管方案。

如前所述，既有制度对于驾驶辅助系统的持续发展，并不构成明显障碍；因此，监管问题主要集中在无人驾驶车辆所提出的新安全问题上。最重要的问题，是自动驾驶汽车功能正常的操作系统可能导致车辆发生事故。制造商首先必须向消费者警示车辆可以安全投入使用的条件，并且必须设计操作系统，以防止车辆被投入不安全的运行条件。为履行剩余侵权法义务，并由此避免因这类事故承担责任，制造商必须使车辆接受充分的上市前测试，并就一辆被适当部署且功能正常的车辆仍可能发生事故这一固有风险作出充分警示。这两项侵权法义务，都可以成为联邦监管规则的基础。随后，各州侵权法可以执行这些监管规则，并填补联邦方案中的空隙。由此形成的制度，是各州严格产品责任法与联邦监管法的复合体；在其中，汽车保险则提供了联邦监管规则所要求的信息披露中的关键组成部分。

（一）要求操作系统进行上市前测试与售后更新的联邦监管规则

国家公路交通安全管理局的监管规则主要体现为安全标准；这些标准为机动车设定最低性能要求。为了避免阻碍创新，该局不能规定制造商应当如何通过其产品设计、开发和生产过程来满足这些要求。制造商则自行认证其产品符合强制性性能标准。

依据这一法定权限，国家公路交通安全管理局可以设计并实施新的标准，监管高度自动化车辆的初始测试和部署。对于这类车辆的安全部署而言，一套严格测试制度至关重要；它能够提供充分数据，以判断安全性能，并帮助各级政策制定者就部署问题作出知情决定。除发现可能导致操作系统发生故障的编程错误之外，大规模上市前测试还将生成机器学习所需经验，从而提升操作系统的安全性能。

同侵权制度相比，国家公路交通安全管理局更适合确定评价自动驾驶汽车安全性能所需的适当测试条件。测试需要哪些道路条件？车辆应当在高速公路和城市环境中各行驶多少英里？一个操作系统必须累计多少总行驶里程，才能生成足够可靠的事故数据？还需要哪些其他指标，才能充分衡量安全性能？侵权制度会通过当事人围绕法院面前具体请求所进行的对抗性举证来解决这些问题。相比之下，国家公路交通安全管理局则可以通过行政规则制定程序，运用其专业知识，对这些事项作出综合处理。

然而，在一个重要方面，相应侵权法标准仍应为国家公路交通安全管理局提供指引。若自动驾驶汽车相较传统汽车至少将事故率降低一半，那么在侵权法意义上，其操作系统必然是合理安全的，或者说并不存在缺陷。这一性能标准的理由，可以从相应侵权法义务中推导出来；在风险—效用测试之下，该义务并不要求进行更广泛的测试。在这一节点继续追求更高安全性，反而会自我挫败：更广泛测试所产生的负效用或者安全成本——即救生技术被延迟部署——将超过其相应风险降低或者安全收益——即操作系统通过机器学习所实现的安全性能提升。

这项上市前测试要求，是一个最低性能标准——操作系统仍然可以继续改进——并且显然符合国家公路交通安全管理局减少交通事故以及交通事故所造成死亡和伤害的法定使命。

这类联邦监管规则还可以解决侵权请求提出的一个困难问题：评价自动驾驶汽车相对安全性能时，应当采用何种基准？如果原告把自动驾驶汽车的安全性能，同其他制造商已经商业化投放的、设计合理的自动驾驶汽车进行比较，这一基准会使自动驾驶汽车商业投放中的先行者获得相当大的竞争优势。为了使新进入者能够充分进入这个正在形成的新兴市场，监管方案应当以传统汽车作为参照，评价自动驾驶汽车的安全性能。

随后，国家公路交通安全管理局还可以在上市前测试要求之外，补充一项售后义务：当安全或者网络安全关切提出要求时，制造商必须更新操作系统。车辆一经商业化投放，车队的机器学习将大幅提升操作系统的安全性能。这类强制更新，可以通过空中下载更新或其他方式实现。

（二）要求产品警示的联邦监管规则

国家公路交通安全管理局提出的监管方案，包括产品警示或说明；这些警示或说明，应当使车辆的人类驾驶员或操作人员能够轻易理解每一个高度自动化车辆系统的能力与局限。这些披露要求背后的基本理由，在侵权法中也可以得到确认：侵权法同样要求制造商承担此类警示义务。

为了使消费者了解自动驾驶汽车的驾驶能力与局限，产品警示必须充分披露一项固有风险：功能正常的操作系统仍可能导致车辆发生事故。制造商可以通过披露该车辆年度经风险调整保险费，来履行这一侵权法义务；其中，针对车辆碰撞损失的承保成本，应当同针对人身损害的承保成本分别列示。这种披露同样能够服务国家公路交通安全管理局的政策目标，并可以被设定为一项监管要求。

这种强制披露的监管逻辑，与联邦监管规则要求部分电器制造商披露产品年度能耗成本的理由相似。基于这些强制披露，消费者在比较两台不同冰箱时，可以轻易同时比较其购买价格和能源成本。要求披露自动驾驶汽车年度经风险调整保险费，也会产生类似的市场机制。在其他条件相同的情况下，经风险调整保险费最低的车辆，将比其竞争车型更安全。通过价格比较，消费者可以轻易比较不同自动驾驶汽车的相对安全性能；这将形成市场压力，促使制造商进一步提升车辆安全性能，以降低保险费，并增强车辆在市场中的竞争力。

这一方案依赖制造商同保险业共享性能数据；而数据共享正是国家公路交通安全管理局拟议监管框架的另一项支柱。制造商通过共享关于自动驾驶汽车安全性能的相关事故数据，将使保险业能够为该车辆设定经风险调整保险费。随后，对这些保险费的强制披露，将帮助公众更好理解高度自动化车辆技术如何转化为安全驾驶行为。数据共享将使保险业成为联邦监管制度的一个组成部分。

（三）联邦法与州法的协调

由于担心侵权法要求不确定且各州之间存在差异，许多人主张以联邦法排除这些州法要求，从而使制造商在全国市场中接受统一监管。正如前文所说明的，国家公路交通安全管理局可以通过监管上市前测试和产品警示的方式，满足关于功能正常的自动驾驶汽车发生事故时制造商责任的侵权法义务。这一责任问题，是制造商目前面对的最重要法律不确定性来源。通过在很大程度上消解这种不确定性及其相关成本，上述监管规则将促进自动驾驶汽车的安全部署，并以适当方式协调联邦监管法与州侵权法。

1. 联邦监管法与州侵权法的重叠

出于制度间礼让，即便法院并无法定义务必须如此，只要某项立法政策决定同侵权请求提出的问题有关，法院通常也会予以尊重。例如，如果驾驶员违反交通法规超速行驶，法院会将该违法行为视为违法即过失，即便该法规并未明文要求这一结果。法院这样做，是因为它尊重立法机关关于特定情境下合理安全车速的政策判断。

作为普通法尊让原则的体现，法院会考察制造商遵守联邦安全监管规则，是否构成对侵权请求的完整抗辩。除非监管规则所依据的立法政策决定，已经完整解决了该侵权请求所提出的问题，否则，即使法院充分尊重这些政策决定，仍必须作出独立的侵权法判断。

如果某项制定法或监管规则建立在已经完整解决侵权请求的安全判断之上，那么监管合规便构成完整抗辩。法院尊重这类监管规则中体现的立法政策决定，即可完整确定被告的侵权法义务，而无需再作独立侵权法判断。遵守该监管规则的被告，也就必然满足了相应侵权法义务。

同样的结论，也适用于这样一项联邦监管规则：它要求上市前测试表明，自动驾驶汽车相较传统汽车至少将事故率降低一半。该监管要求在某种意义上是最低标准，因为制造商当然可以把车辆做得更加安全。但就侵权法而言，这项监管规则并不是最低标准。只要上市前测试显示车辆相较传统汽车至少将事故发生率减半，制造商便必然履行了其侵权法义务。制造商遵守这类监管规则，即构成对相应侵权请求的完整抗辩。

同样的结论，也适用于要求制造商披露自动驾驶汽车年度经风险调整保险费的联邦监管规则。从某种意义上讲，该规则确立的仍然只是最低标准，因为制造商可以提供更多同安全有关的信息。但就侵权法而言，遵守该规则，也将完整履行制造商关于功能正常的操作系统可能导致车辆事故这一固有风险的相应警示义务。因而，监管合规同样构成对此类侵权请求的完整抗辩。

联邦法优先适用，建立在联邦法优先于州法这一宪法地位之上。一项联邦监管规则可以通过授权监管方案的明示法律文本，或者通过默示方式，排除或者取代州法。默示优先适用发生在这样一种情形中：遵守州法所施加的侵权义务，可能产生与联邦法目标相冲突的结果。

本文所提出的关于上市前测试和自动驾驶汽车经风险调整保险费披露的联邦监管规则，属于最优标准，而非最低标准。按照国家公路交通安全管理局的说法，其政策目标，是由联邦独占性地监管自动驾驶汽车的安全性能，从而形成全国统一的监管体系，以促进这一救生技术得到合理安全的部署。同时，该局还有一项政策目标，即保留州侵权法的传统作用。本文所提出的监管规则同时推进了这两个政策目标；正因如此，就默示优先适用而言，这些监管规则体现的是最优标准。

2. 联邦监管法与州侵权法的相互补充

国家公路交通安全管理局无法全面监管自动驾驶技术的全部安全方面。该局资源有限，应当把资源投入最具安全潜力的技术。联邦监管制度由此留下的空隙，将由州侵权法填补；州侵权法对制造商施加多种义务，要求其提供合理安全或者不存在缺陷的产品。在监管资源稀缺的世界里，州侵权法是联邦监管不可或缺的补充。二者结合，才能形成一套全面监管自动驾驶技术安全性能的制度。

州侵权法还可以通过提供强有力的执行机制，进一步补充联邦监管制度。侵权法可以通过责任压力促使制造商遵循有关自动驾驶汽车安全性能的监管建议。例如，为降低操作系统故障导致事故的风险，国家公路交通安全管理局建议制造商为车辆采用一种退至最低风险状态的机制；该机制应当通过设计预定功能，使车辆即便在电气、电子或机械故障，或者软件错误发生时，也能被置于安全状态。如果发生故障的车辆没有进入安全状态，并因此发生事故，该故障将使制造商承担严格侵权责任；这会通过预期责任成本对所有制造商形成约束，促使其按照国家公路交通安全管理局的建议，采用有效的退至最低风险状态机制。

反过来，联邦法也可以补充州侵权法，帮助澄清侵权请求原本会提出的问题。一个典型例子，是制造商在设计车辆时的侵权法义务：它必须平等对待消费者与第三人的利益。如果联邦监管规则要求相关算法以透明方式开发，并考虑自动驾驶汽车行为对他人的后果，那么，当法院需要审查某一自动驾驶汽车设计是否使第三人面临不合理危险时，侵权法审查就会大为简化。

按照这一方案，在产品安全运行表现最重要的若干方面，自动驾驶汽车制造商将在全国市场中接受统一监管。这些事项上的唯一监管权将属于国家公路交通安全管理局；但联邦制度仍会保留州侵权法，因为其强制性性能标准源自相应侵权法义务，并且在其他方面也依赖侵权法作为必要补充。联邦法与州法可以协同运作，全面监管自动驾驶技术。

▌ 结论

除其他影响之外，正在兴起的自动驾驶汽车技术，还将深刻扰动侵权法实践。目前，州法院中的多数侵权案件都涉及汽车事故，并通常主张事故由驾驶员过失造成。自动驾驶汽车通过排除人类驾驶员，将消除这类侵权请求。取而代之的是，制造商将对自动驾驶汽车的驾驶表现负责，并可能因事故承担责任。自动驾驶汽车将改变侵权案件的构成和数量，使案件类型从普通的过失请求，大规模转向以产品责任为基础的请求。

这一变化不可避免地会对产品责任规则体系形成压力。关于自动驾驶汽车发生事故时制造商责任范围可能有多大，各方本就存在分歧；而美国各州侵权制度之间潜在的差异，又会进一步放大这种分歧。制造商无法评估自己在全国市场中的潜在责任和其他侵权法义务，因而面对一种过度不确定的法律环境；这种环境会增加成本，并可能妨碍这一救生技术的出现。

为解决这一问题，国家公路交通安全管理局已经宣布一种策略：颁布全国统一的安全监管规则，并使其同州侵权制度和保险制度并行运作。由于这一策略仍在形成之中，它尚未得到完整说明；但它已经提出一组显而易见的问题：州侵权法究竟扮演什么角色？如何确保它同联邦监管法得到充分协调？保险又应当发挥什么作用？国家公路交通安全管理局目前提出的监管路径，并没有清楚解决这些问题，反而似乎只是在加深不确定性。

或许带有某种讽刺意味的是，一旦我们考察这项技术为何会导致自动驾驶汽车发生事故，便会发现，这些问题在很大程度上可以由技术本身来解决。

和传统汽车一样，硬件故障可能导致自动驾驶汽车发生事故。也和传统汽车一样，这些缺陷将使自动驾驶汽车制造商承担严格责任，并由此通过责任成本促使其采用合理安全的质量控制方法。所有由车辆硬件缺陷导致的事故，都可以清楚纳入既有责任制度。

其余案件，涉及由操作系统软件组件导致的事故。正如硬件会发生故障，自动驾驶汽车的软件也可能发生故障。编程错误或漏洞可能导致操作系统死机，进而导致车辆发生事故。和硬件故障一样，这些缺陷将使自动驾驶汽车制造商承担严格责任，并由此通过责任成本促使其对车辆程序设计采用合理安全的质量控制方法。

最紧迫的问题，也是可能造成重大法律不确定性的来源，在于功能正常的自动驾驶汽车发生事故时制造商是否承担责任。当功能正常的操作系统导致事故发生时，车辆所从事的是一种系统化驾驶行为；这种行为可以通过整个车队的总体运行数据加以评价。按照被广泛采纳的产品责任规则，如果数据显示自动驾驶汽车至少达到传统汽车两倍的安全水平，那么功能正常的操作系统的编程或设计，就必然满足其侵权法义务；由此，设计缺陷便不再是这些案件中制造商责任的潜在来源。

为了避免因功能正常的自动驾驶汽车作为近因导致事故而承担责任，制造商还必须就这种固有产品风险向消费者作出充分警示。再次说，事故涉及的是系统化驾驶行为，因此总体运行数据为制造商履行侵权法义务提供了确定方法。这些数据将使保险公司能够基于车辆底层系统性事故风险，确定为该车辆承保所需的保险费。制造商向消费者披露这一经风险调整保险费，即可履行其关于固有事故风险的警示义务，从而消除功能正常的自动驾驶汽车发生事故时制造商责任的最后一项来源。

这些责任分析建立在全国各地广泛采纳的侵权规则之上。未采纳多数做法的州，可能会得出不同结论。为了确保制造商在全国市场中面对统一义务，国家公路交通安全管理局可以采纳两项清楚契合其拟议监管路径的监管规则；二者分别源自制造商充分测试车辆、以及就固有事故风险作出警示的相应侵权法义务。

制造商只要遵守这两项联邦监管规则，在多数州即可依据监管合规抗辩，避免因功能正常的自动驾驶汽车发生事故承担侵权责任；在其余州，则可依据默示优先适用原则取得同样结果。这些监管规则将在保留绝大多数州侵权法的同时实现全国统一，从而为联邦主义问题提供一种最优解决方案。

在可预见的未来，自动驾驶汽车仍将与人类驾驶员共用道路。自动驾驶汽车最初商业化投放后，将会有一个过渡期；在这一时期，人类驾驶员有时难以预判自动驾驶汽车的驾驶行为，并由此发生事故。一辆符合监管要求且功能正常的自动驾驶汽车，可预见地创设了此类事故风险。因此，自动驾驶汽车将构成这类事故的近因。不过，这种固有事故风险已经被纳入自动驾驶汽车相对安全性能之中，并相应地由本文拟议的监管要求加以处理：即充分的上市前测试，以及披露用于承保固有事故风险的经风险调整保险费。如果车辆设计在其他方面已经平等顾及其他机动车驾驶员等第三人的利益，那么，一辆符合监管要求且功能正常的自动驾驶汽车，即便以其运行为近因导致其与传统汽车发生事故，也不会使制造商承担侵权责任。

剩余唯一重大的制造商潜在责任，涉及网络安全。一辆自动驾驶汽车如果因为第三方侵入操作系统而发生事故，并未按照预期或意图运行。该故障将使制造商承担严格责任，尽管这一问题目前仍不完全清楚。网络安全的复杂性，常常使过失责任难以成立；因此，严格责任对于有效执行合理安全要求具有必要性。然而，责任范围可能极其广泛，尤其在黑客攻击出于恐怖主义动机时更是如此。出于严格责任可能过度威胁市场稳定的担忧，法院可能限制制造商责任，使其仅承担过失责任，尽管这种做法会伴随证明困难。这一结果远非确定；因此就目前而言，制造商应当预期：如果操作系统因黑客攻击发生故障并导致事故，制造商将承担严格责任。

在这一法律框架内，符合监管要求的自动驾驶汽车，只有在下列情形中才会使制造商承担侵权责任：第一，物理硬件故障导致事故发生，此时适用严格产品责任；第二，操作系统因编程错误或者第三方黑客攻击而发生故障，此时同样适用严格责任，但黑客攻击情形中存在一项重要限定；第三，制造商未能采用合理安全的设计，或者未能提供充分警示以保障车辆安全投放使用，此时构成普通产品责任请求；第四，制造商在设计车辆时未能平等对待消费者与第三人，此时构成普通过失请求。此外，制造商未遵守联邦监管规则的，也会因“违法即过失”而承担侵权责任。这些责任安排一方面能够通过责任成本对制造商形成约束，促使其确保自动驾驶汽车的驾驶表现具有合理安全性，并使消费者能够充分理解相关风险；另一方面，又不会带来过度的不确定性。自动驾驶汽车的责任治理路径，由此已较为清晰。

▌ 译后说明