自动驾驶汽车编程者的刑事责任——以规定参数进行紧急避险的角度

[德]黎安·沃尔娜

一、导论(1)译者注：本文译自德语论文“Die strafrechtliche Verantwortung des Programmierers im Notstand für Vorgaben an autonome Fahrzeuge”，已得获作者的翻译和发表授权，系全球首发。

当前，人们都相信，道路交通自动化的趋势已无法阻挡。(2)Sander/Hollering, NStZ 2017, 193 (202 ff.).在德国，有关的交通测试项目(3)http://www.spiegel.de/auto/aktuell/karlsruhe-testfeld-fuer-autonomes-fahren-eroeffnet-a-1206008.html (18.12.2018).早已启动，新的汽车工厂已经建立，(4)http://media.daimler.com/marsMediaSite/de/instance/pictur e/Weltpremiere-der-Factory-56--die-modernste-Automobilproduktion-der-Welt.xhtml?oid=33462647 (18.12.2018).自动(包括部分自动)驾驶功能也早已成为现实。该功能旨在降低乃至完全排除(发生事故的)危险，其目标是风险“零愿景”(Vision Zero)。(5)Sander/Hollering, NStZ 2017, 193.从马到“没有马车夫的马车”(6)Gless/Janal, JR 2016, 561.这一自动化进程需要我们从实践、技术、法律、法学理论、伦理道德各方面做出回应。

有关民法、保险法和公法(附条件许可)上的问题直到现在仍是争论的焦点。(7)Gless/Janal, JR 2016, 561.对此，需要提到一个前提：随着修订后的《维也纳道路交通公约》(1968年通过)于2016年在德国被批准适用，(8)Lutz/Tang/Lien-kamp, NZV 2013, 57.(9)Balke, SVR 2018, 5 (6).(10)Internationales Übk. v. 8.11.1968.以及2017年德国《道路交通法》(11)Gesetz v. 16.6.2017, BGBl. I 2017, S. 1648 (Nr. 38).的第8次修正，德国的道路已受许可达到第4级自动化，只要司机能进行超驰控制(übersteuern)。(12)Balke, SVR 2018, 5 (6).完全自动驾驶汽车(至少第5级)的到来已经可以预见。立法者至今还未注意到法律责任转移的必要性，在当前的法律规定下，驾驶人承担了驾驶风险，(13)§§ 1a Abs. 2 S. 2 i.V.m. Abs. 2 S. 1 Nr. 6.机动车所有人承担了责任风险。(14)§ 7 StVG gilt fort.这是因为他们是受益人。(15)Armbrüster, ZRP 2017, 83 (84).随着相应的长远要求(保护附带产生的监控数据和证据保全数据)的产生，罪责问题应由所谓的黑匣子系统(事故数据记录器)去解决。

自从2016年(16)Kuri, heise v. 4.7.2016.发生一起特斯拉汽车造成的死亡交通事故，以及2018年(17)Unfall mit Radfahrerin v. 18.3.2018.又发生一起优步(Uber)汽车造成的死亡交通事故至今，广大公众也提出了越来越多的相关刑事责任的问题。在2016年的事故中，特斯拉自动驾驶系统将一个白色的牵挂型卡车误认为一个高挂的广告牌。在试图穿过它的过程中，驾驶室被撞裂，从而导致了驾驶员的直接死亡。在2018年的事故中，一辆优步自动驾驶汽车在黑暗中未能注意到马路上的一位49岁的妇女(其推着自行车从左到右横穿街道)，并且由于刹车不及撞倒了她。当时，驾驶人已经来不及采取措施来干涉汽车了。

自动驾驶系统参与下的刑事责任应当如何(重新)划分，这一点存在争议。(18)Balke, SVR 2018, 5 (7).此问题的解决方案决定了经济(汽车工业)长远发展上的可获利性。(19)Hilgendorf, in: Hilgendorf (Fn. 6), S. 143 (144, 172).制造商想知道，如何进行编程和监管，何种条件下会产生产品缺陷，何时会构成刑事责任，以及自动驾驶的一般性风险从何而来。因为编程的核心是在环境识别中学习如何做出反应，而这些反应在细节上并非总是可以具体预见的。最终，针对“智能代理人”(20)Gless/Weigend, ZStW 126 (2014), 561.本身的刑法问题会被人们加以思考。(21)Susanne Beck, in: Beck/Meier/Momsen (Hrsg.), Cybercrime und Cyberinvestigations, Neue Herausforderun-gen der Digitalisierung für Strafrecht, Strafprozessrecht und Kriminologie, 2015, S. 9.一个问题总是会被提出来：对过失标准而言，这个“教义学车轮”是否必须重新设计。(22)Hilgendorf (Fn. 6), S. 9 (20), der selbst für die Anhebung des Fahrlässigkeitsmaßstabs auf eine grobe Fahrlässigkeit plädiert. Vgl. hierzu insb. Susanne Beck, in: Hilgendorf (Fn. 6), S. 117.

然而，对于上述问题需要一个答案，即自动驾驶系统的编程者必须并且应当有认识地、有意识地预先设定哪些程序；此外，核心问题是，当他(她)只能从两种可能性中选择一种去解决冲突时，其如何选择呢？这两种可能性都会导致编程者不想发生的结果，因为任何一种让他人付出代价的选择都属于困境情形(Dilemma-Situation)。(23)Lat. dilemma (Fangschluss), Synonym: Zwickmühle (Kluge, Etymologisches Wörterbuch der deutschen Sprache, 2015, S. 144, hier aber als Zwangslage bezeichnet).如何处理它，在道德、伦理、技术、法律、教义学上都是比较困难的。因此，德国交通部设立了一个伦理委员会，其在2017年6月发布了一份报告，其中提出了汽车交通自动化和网络化需要遵守的20条伦理规则。(24)Ethik-Kommission Automatisiertes und Vernetztes Fahren“ (Fn. 6).

迄今为止，试图找到一种在刑法教义学上令人满意的解决方案是徒劳的。(25)Sander/Hollering, NStZ 2017, 193 (202 ff.).从飞机击落案到卡尔内阿德斯之板(das Brett des Karneades)，从赫鲁施卡(Hruschka)(26)Hruschka, in: Canaris/Diederichsen (Hrsg.), Festschrift für Karl Larenz zum 80. Geburtstag am 23. April 1983, 1983, S. 257 (261).提到的“易北河旧隧道”(Elbtunnel)涉及的不作为义务以及“随机数生成器”(Zufallsgenerator)到典型的“扳道工”案，(27)Siehe unten III. 2. b).均讨论了这一问题。自动驾驶系统的编程问题引发了学界对紧急避险权(28)Weigend, ZIS 2017, 599 m.v.N. in Fn. 3.(击落飞机的许可性)大量的讨论，并且围绕该权利有大量相关的文献发表。问题的焦点在于，是什么因素将自动化乃至自主运行驾驶系统的编程者与扳道工区别开来。因为这两者都以程序的设定(即道岔杆)预先规定了结果。本文第二部分将简短考察一下扳道工本身(可以说是“1.0”)，接下来将在第三部分对编程者(“4.0”)进行关键性的讨论。这表明(亦是本文最初的动机)，在自动驾驶汽车的编程中不会产生不作为的义务冲突。(29)Weigend, ZIS 2017, 599.本文第四部分的结论对认定刑事责任而言是有积极意义的，对汽车工业而言却是有警醒意义的。

二、“扳道工1.0”

卡尔·恩吉施(Karl Engisch)曾提到一个由汉斯·韦尔策尔(Hans Welzel)在1951年详细讨论的“扳道工案”，(30)Welzel, ZStW 63 (1951), 47 (51 ff.).该案的定性至今都是毫无争议的。他设想的案例(即本部分的第一部分)阐述了德国《刑法》针对困境情形所采取的解决方案的根据(即本部分的第二部分),人们一般都不愿抛弃这种解决方案，更确切地说，大多数人还不愿尝试去提出现实性的解决方案：(31)Hörnle/Wohlers, GA 2018, 12.立法者规避性地颁布了《德国航空安全法案》第14条第3款，(32)Gesetz v. 11.1.2005, BGBl. I 2005, S. 78.该法案致力于研究“容许的风险”(33)Hilgendorf (Fn 18), S. 143 (164 ff.).或在规范上冲突的、同位阶的救助利益。(34)Weigend, ZIS 2017, 599.

1.一个经典案例

典型的扳道工案涉及如下情形：山谷中，一辆载重货车朝着另一辆载人客车飞奔。如果这辆货车行驶在既定轨道上，“将撞上那辆载人客车，导致很多人死亡。一名铁路工作人员眼见灾难将至，在千钧一发之际转换道岔，将该货车转到另一条单独的侧线上，而这条侧线上恰好有几名工人正在给货车卸货。碰撞之下，正如铁路工作人员所预见，导致3名工人死亡”。(35)Welzel, ZStW 63 (1951), 47 (51).

对扳道工可罚性的检验结果是3次符合故意杀人罪的构成要件(德国《刑法》第212条)。根据当前的通说，转换道岔的行为无法阻却违法。由于欠缺正在发生的不法侵害，可排除成立正当防卫(德国《刑法》第32条)。相反，紧急避险的情形(德国《刑法》第34条)发生了：这辆货车对客车内人的生命而言构成危险，只有将该货车转到那条单独的侧线上，才能防止危险(此即困境)。然而，保护的利益(车内人的生命)如果不明显优越于侵害的利益(3名工人的生命)，违法阻却事由则不存在。因为根据通说，人的生命在质量(轨道工与乘客)和数量(50名与3名)上都是无法衡量的，(36)Joerden (Fn. 6), S. 73 (76).确切地说，每个人的生命都是独立的(德国《基本法》第1条第1款第1句)。

根据德国《刑法》第35条，由于扳道工既没有救他自己也没有救他亲近的人，而是救了车上的陌生人，减免罪责的紧急避险不成立。此案例在刑法总论课程中是不可或缺的，因为该案被视为人类(在这类可以理解的紧急情况下)寻求超法规之减免罪责的紧急避险的典型案例。根据判例和刑法理论，当行为人身处一个没有出路的悲剧情形中，并且拒绝了所有的免责事由之后，其无视法律的要求，为了保护其他人的身体、生命或自由免受一个巨大危险而实施了一个违法行为，这种情形可类推德国《刑法》第35条予以减免罪责。(37)Joerden (Fn. 6), S. 73 (77).虽然有利于行为人的类推是允许的，但这种类推却损害了德国《刑法》第35条第1款第1句原本的价值判断(减免罪责仅旨在保护近亲属或行为人自己)。但是，无论如何，行为人只是可以被原谅的，他的行为仍然是可以被起诉的以及违法的。每种减免罪责的可能性都受到限制，因为其不适用于行为人(违反义务地)对自己制造危险的情形(类推德国《刑法》第35条第1款第2句)。(38)Engländer, ZIS 2016, 608 (609 f.).

如果扳道工没有转换道岔并且放任事态发展，尽管一般人都能预见到火车上乘客的可悲的死亡结果，但是扳道工的行为是合法的，亦是合法的替代性选择。甚至认为扳道工具有保证人地位时，要求他转换道岔(其导致无辜侧道工人牺牲结果)也是没有期待可能性的。合法性来源于德国《刑法》第34条规定的违法阻却原则。这是因为，如果保护的法益明显具备优越性，为了避免危险而积极侵害其他法益就极其例外地受到许可，否则行为人必须选择不作为。(39)Joerden (Fn. 6), S. 73 (77), dort in Fn. 6.扳道工如果不转换道岔，那就正好做到了这一点。

2.教义学上的根据及解决方案

解决该案的决定性根据，也被德国交通部设立的伦理委员会予以证实了，其成为德国教义学上解决方案的前提。人们只能通过目前提出的解决方案来指明存在的漏洞。寻找一种教义学上的解决方案时，我也不想质疑这些基本原理本身。(40)Hilgendorf (Fn. 18), S. 143 (149 f., S. 153).在此，我们寻找的首先是一种教义学上的解决方案。这些基本原理随后才能(亦即留待将来完成的工作)被重新究根问底。

扳道工案的解决方案和类似的困境情形来源于欧洲人的形象(Menschenbild)理论和与之相应的、特定的人性尊严观，(41)Hilgendorf (Fn 18), S. 143 (154).正如希尔根多夫(Hilgendorf)所强调的(他随后提出的解决方案却偏离了这一点)。个人(每个人的)的生命被赋予最大的优先性。

人性尊严观不允许对人的生命进行衡量。救助多数人的生命不能阻却牺牲一个无辜者生命的违法性。否则，人们在紧急情形中必然可以为了救助5个人，而将一个健康(无辜)的人变为心、肺、肾、肝的捐献者。(42)Bsp. nach Joerden (Fn. 6), S. 73 (80).就此而言，对上述情形的讨论不同于英美法系中某些功利主义理论的讨论，其中讨论最多的当属“电车难题”。(43)Vgl. nur Foot, in: Foot (ed.), Virtues and Vices, 1978/2003.

有人(包括约尔当(Joerdan))稍微改变了一下扳道工案的案情，因为这样更接近于我们的编程者情形，并且也能将车上遭遇危险的人考虑进去，另一种源于非功利主义理论的根据由此明确地产生了：约尔当所提的案例中，山谷中那辆未载人的货车并未撞上一辆满座的客车，而是撞翻了一辆载5人的货车。此情形类似于我们的自动驾驶汽车。如果扳道工不转换道岔，将撞上的是载有5人的弹药车，而转换岔道将撞上的是5名轨道工，那么，这辆货车就会立即撞上那辆弹药车。

初看起来，扳道工在此可以选择不遵守人的生命不可衡量的教义学原理，他想救这两群人中的哪5个呢：每个人都在车上或轨道上。这两种情况都是等价的。如果两个积极作为(干预)的义务中的任何一个义务都要求行为人不去履行另一个义务，他却始终选择不作为，同时他想根据德国《刑法》去合法地实施自己的行为。他这样做的理由可简化为：他不应“决定命运”(Schicksal spielen)。这种非功利主义的理论关心的不是结果(5个人与5个人)而是义务。根据“本质存在”(so-sein)，一个行为的价值或者无价值必然根据其导致的结果而被规定为第二位。(44)Joerden (Fn. 6), S. 73 (81).扳道工不应伤害5名轨道工。积极侵害第三人利益的行为，根据德国法律，只有在保护的利益明显优越于侵害的利益时，才例外地阻却违法。如果它们等价时，则不能阻却。(45)Siehe oben II. 1.紧急情形下为救助多数人而牺牲少数人的决定无论如何都是不能减免罪责的。允许积极作为(Tätigwerden)是不可想象的。(46)Dass sich - insoweit in rechtsvergleichender Perspektive - andere Rechtsordnungen mit einer eher utilitaristischen Ausrichtung gerade auch um die Konsequenzen bemühen, hat seinen Grund auch darin, dass dann nicht zwischen rechtfertigender und entschuldigender Notstandslage differenziert wird, sondern (allgemein) aufgrund Notstands Eingriffsrechte gewährt werden. Entsprechend kritische Ansätze gibt es auch in der deutschen Diskussion. Will man zwischen Eingriffsrecht und Eingriffsduldung (Duldung als bloßes Verständnis gegenüber dem Eingriff) differenzieren - und das ist richtig - kann es eine Eingriffserlaubnis nur bei (wesentlichem) Überwiegen geben.

三、已编程的“扳道工4.0”

将扳道工的情形转移到编程者身上，受到一些人的激烈拒绝，(47)Hilgendorf (Fn 18), S. 143-175.却受到另一些人的支持。(48)Joerden (Fn. 6), S. 73 (82 ff.).可转移性本身(本部分中的第一部分)和结果的正当性都受到争论，因为编程者情形所具备的多样化和整体上的困境需要新的解决方案(本部分中的第二部分)。

1.基本情形的转移

很明显，在完全自动化的道路交通中，完全自动驾驶汽车也可能陷入紧急避险情形。只要将来人们所实施的易出错的行为依然发生在道路交通中，就无法避免这一点。(49)Joerden (Fn. 6), S. 73 (82), an.因为即使所有的系统都合秩序地运行着，对每一辆自动驾驶汽车而言，传感器、高精度道路地图的读取、通过“数据云”和“学习”型认知反应(Reaktionswissen)所获取的信息三者之间的复杂协作，都是必要的。当重型卡车被当作广告牌出现，当行人被忽视——如同本文开头所提到的案例中的那样，(50)Unter I.或者，由于一个不可预见的障碍的发生而导致困境情形发生。

例如，行驶中的自动驾驶汽车面临5名突然跑进车道的年轻人，只有右转才能避免在交通流中撞死他们，但这必然又会轧死一名带着孩子的母亲。在此，典型的扳道工情形出现了。

为了给自动驾驶汽车预先设定一条出路，预测性地考虑到上述情形的编程者面临的问题是，他应该做什么？扳道工情形的解决方案也适用于编程者：法律要求他不进行躲避，以避免那位母亲和小孩的死亡结果。已编程的自动驾驶汽车及其驾驶人以及那五位青少年都不能以牺牲母亲和小孩生命为代价去救助其他生命。其理由也并不在于，被想象出来的这位驾驶人，处于将轧倒母亲和小孩这种紧急情形时，如果决定根据德国《刑法》第35条第1款第1句进行自救，或根据通说超法规地救助5名青少年，可减免罪责。

因为每次减免罪责都只适用于处于悲剧情形中并承受极大精神压力而实施违法行为的人。然而，对抽象地预测和考虑该情形而实施行为的“扳道工4.0”而言，事实恰好不是这样，它违反了这条基本命令——对此不去干预并允许牺牲母亲和孩子，是不可取的。一种合法的编程算法(不干预)应始终优先于违法的编程算法。(51)Joerden (Fn. 6), S. 73 (87).因为，这导致在困境情形中，已编程的算法必定控制自动驾驶汽车撞向5名青少年，尽管这是合法的，却是不太令人满意的，还得继续找寻出路。

首先，这是由于基本情形的可转移性总体上已受到怀疑：只有扳道工在具体情形中处于极大的精神压力，编程者通过清晰的计算事先采取预估性行动；扳道工只是规则运用者，编程者却事先设定了规则；因为扳道工在具体情形中为了救助多数人而牺牲少数人，无视法律的预先规定而无法减免罪责，编程者对此在没有角色分工的情形下预先在总体上设定了风险最小化规则，这有助于使造成的损害尽可能小，甚至小到能阻却违法。(52)Hilgendorf, (Fn 18), S. 143 (160 ff.).

上文中讨论到的这些根据(53)Oben II. 2.应受到明确的否定。以下论断是正确的：编程者做出决定时，被害人和被救助人的身份尚未确定。同样正确的论断还有：编程者并未处于紧急情形中，所以不会遭受伴随而来的压力。然而，他和扳道工一样，都只是法律适用者。仅因身份尚未确定且编程者整体上致力于使危险最小化，他也不能因此而变成凌驾于法律之上的人。一条允许(！)编程者可通过牺牲少数人去保护多数人的规则，必须由立法者(规则制定者)事先颁布。不久前立法者面对类似的困境情形已做出具体尝试，即制定《德国航空安全法案》第14条第3款，(54)Gesetz v. 11.1.2005, BGBl. I, S. 78 erlaubte: unmittelbare Einwirkung mit Waffengewalt“.许可击落恐怖分子的飞机(Terrorflugzeug)，由于德国联邦宪法法院的反对，该尝试理所当然地失败了。这是因为，一部授权杀死无罪之人(即使是在紧急情况下)的法律，并且为了保护他人将这些无罪之人的生命物化，同时剥夺他们作为救助行动对象的权利，这些在德国《基本法》第1条第1款第1句的效力下完全是不可想象的。(55)BVerfG, Urt. v. 15.2.2006 - 1 BvR 357/05 = BVerfGE 115, 118 (151 ff., 154, 157, 165).不能将该条款事先颁布给编程者。冷静地看，允许编程者这样做会导致人的生命具备可量化性。如果我们否定对人的生命进行量化，就不能对“扳道工4.0”减免罪责。否则，就需要对根据进行重新定位。

2.对“扳道工4.0”的压力测试—区分方案

在某种程度上，一般的编程者情形必须通过“麋鹿测试”。考虑到技术创新的特殊性，须尝试通过“容许的风险”这一形象(Figur)去限定制造商、编程者和驾驶人的责任(下文中的第一点)，尽管这并非是导致法律后果的原因所在。已编程的困境情形尤其适合于这样一种古老的思想游戏(Gedankenspiel)：如果编程者既不可以杀死X也不可以杀死Y(下文中的第二点)，不作为义务就发生冲突了。最后需要厘清的是，飞机遭遇紧急情形时，如果在危险区域选择降低损害是现实可行的，此时，对编程算法进行选择是否允许？(下文中的第三点)(56)BVerfGE 115, 118 [157].

第一，编程是“容许的风险”吗？

针对责任限制这个关键词，成问题的是，具体的编程结果究竟能否作为个人作品归责于驾驶人(或制造商、经营者和编程者)呢？因为随着自动驾驶汽车融入道路交通，所有的交通参与者发生交通事故的一般性风险已大为降低，事实上法益被侵害的危险也非常小，例外情形下的危险可能只存在于以下情形，即排除归责的容许的风险。(57)Hilgendorf, Sachverständigenaussage vor dem Ausschuss für Wirtschaft und Medien, Infrastruktur, Bau und Verkehr, Energie und Technologie des Bayrischen Landtags, 17. Wahlperiode, 38. Sitzung am 29.10.2015, S. 50.这里当然还存在着若干疑问，特别是“容许的风险”的体系性定位不明。(58)Lackner/Ku?偨hl, Strafgesetzbuch, Kommentar, 29. Aufl. 2018, Vor § 32 Rn. 29.如果忽略一些基本的争论并检验编程者应对困境情形的具体决定，可以明确的是，容许的风险并未解决我们的问题，而是最多根据编程考虑了剩余风险(verliebenes Restrisiko)。

编程者在具备认识和意志的情形下进行以下编程——自动驾驶汽车应当躲避并撞死母亲和小孩而非5名年轻人，对此，他作为“扳道工4.0”既不能被阻却违法，也不能被减免罪责，(59)Dazu oben II. 1.问题在于，在此情形下，根据容许的风险，其行为是否作为例外仍然是合法的。容许的风险成为违法阻却的根据并不是异常的，其作为原则以暂时逮捕(根据德国《刑事诉讼法》第127条第1款第1句)和推定的承诺为基础。瓦尔特·格洛普(Walter Gropp)曾简要地发问：这是否能帮助不可避免的容许构成要件错误获得违法阻却？(60)Gropp, in: Bode/Wrage/Jakowczyk (Hrsg.), Festschrift für Gerhard Wolf zum 70. Geburtstag, 2018 (im Druck), S. 203 (206 ff.).这种案例类型(Fallgruppe)具备共同点：总有可信的客观原因(Sachgrund)去支持行为人不受刑事处罚，这种关于行为人的真实情况是无法查明的，但根据实际情况是存在行为必要性(Handlungsbedarf)的。此外，传统违法阻却规则的解决方案是无法令人满意的。(61)Gropp (Fn. 59), S. 206 ff.尽管关于编程者编程的真实情况无法查明，并且解决困境情形的行为必要性是存在的，但是，在所有预先规定的风险最小化情形中，这种情况发生的可能性是极低的。编程者可能提出唯一可信的客观原因是，他始终在寻找解决方案并想给该困境预先找一条出路。但这是不够的。

这是因为，这条出路只是以侵害其他的个人权利为代价并通过编程来实现的，因此，根据传统规则是违法的。这一点恰好不是令人不满意的，却是正确的。谁主张这条出路，就会违反人的生命所具备的不可量化性。

编程者在具备认识和意志的情形下进行以下编程——如果唯一的选择是不能撞死无辜的第三人，自动驾驶汽车就不应当避让，那么，撞死汽车前的5名青少年的刑事责任问题依旧存在。如果不避让行为没有导致车前的行人受伤，而是导致汽车内的驾驶员受伤(极端情况下导致其死亡)，就像约尔丹所提到的案例那样，这同样存在问题。(62)Dazu oben II. 2. c).然而，正如扳道工案那样，如果唯一的选择是不作为，而不去轧倒母亲和小孩，那么不进行导致避让的编程正是合法的选择。(63)Dazu oben II. 1.对此，编程者实施的是合法的行为。容许的风险这种理论不再需要用到了。(64)Hilgendorf (Fn. 18), S. 143 (169).

对归责进行限定的情形，就像埃里克·希尔根多夫(Eric Hilgendorf)所计划的那样，(65)Hilgendorf (Fn. 18), S. 143 m.w.N.原本应属于在实践中占优势的情形，在这些情形中编程者预先正确地规定了编程算法，但是在具体情形中自动驾驶汽车却错误地以一个困境为根据并忽略了一些选择。随后(只)需要检验一下，编程者是否缺乏避免权限(Vermeidemacht)去选择不避让并造成相应的损害。这是因为，随着自动驾驶汽车的推广，完全放弃所有相关的安全保障收益，代价可能是很高的，仅因为基于编程对驾驶人或第三人可能造成的侵害未被完全排除，(66)Engländer, ZIS 2016, 608 (617 f.).才能运用容许的风险理论对构成要件结果排除归责。对困境情形本身和自动驾驶汽车所必要的规定参数(Vorgabe)而言，这一点并不适用。

第二，救助利益的冲突是困境情形吗？

我们可进一步来思考救助行为的合法性。从编程者的视角看，困境情形被视为“两个(这是假定的，还在遥远的将来)不作为义务的冲突”。(67)Weigend, ZIS 2017, 599 (603).正如魏根特(Weigend)的简要论述：“根据一般性的杀人禁令，他(编程者)既不可以对自动驾驶汽车进行编程去撞死X(如X1和X2，前述案例中是X1-X5)，也不可以撞死行人Y(母亲和小孩)。(68)Weigend, ZIS 2017, 599 (603).正确的论断是，编程者完全不可进行编程使自动驾驶汽车杀死任何一个人。这条一般性的杀人禁令适用于他自己也适用于其他任何人。既不可杀死X1、X2、X3等，也不可杀死Y，这些不作为义务是平行存在的。编程者完全不可这样做。他能通过“不编程”来履行此义务。这看上去像发生了(不作为)义务冲突，事实上却没有。因为编程者为了救助X1-X5免于死亡，甚至必须向自动驾驶汽车直接发出以下行为命令：“紧急制动”“避让”“避免碰撞”。如果他不作为(不编程)，就不能救助这些人的生命。这种作为义务只能以违反对母亲和小孩的不作为义务为代价，才能得以实现，因为救助X1-X5的唯一可能性是遵守向右避让的命令，其等同于做出“杀死母亲和小孩”的命令，这是不被允许的。

如果人们像乌尔弗里德·诺伊曼(Ulfrid Neumann)那样根据其目的规范地评价这些基本义务，就可以绕开对作为与不作为进行区分。这关系到力求不撞死X1-X5以及母亲和小孩的情形下编程者的等价救助利益。(69)Neumann (Fn. 33), S. 429 f.结果是，编程者实施合法的行为，不管他满足了两个“救助利益”中的哪一个。正如魏根特所言，编程者可以启动一个随机数生成器(尽管很难发生)，面对困境去随机决定今天谁正好被杀死，因为所有的人都不会同时得到救助。(70)Weigend, ZIS 2017, 599 (603).谁赞同这种规范化的处理方式，就必须做好准备去承受其结果。这在法学理论(Rechtstheorie)上意味着，以行为目的(Handlungsziel)即以救助为核心并根据结果主义(konsequentialistisch)而非道德主义(deontologisch)去看待结果。基于规范上的利益评价，选择权具备变异性，这就不再取决于“本质存在”。编程者可以制造伤害并且为了避免危险合法地牺牲无辜的第三人。这照样适用于“扳道工1.0”，他通过轧倒5名轨道工人的方式救助了车上的5个人，而没有让车驶向那辆弹药车。(71)Joerden (Fn. 6), S. 73 (80).这种规范化的处理方式应被否定，因为其必然违反相关的根据。谁不赞同这一点，就必须(首先)讨论一下相关的根据而非教义学。

第三，危险最小化：困境中降低危险的选择

当前的系列测试(Testreihe)中缺乏科勒(Kohler)于1915年所构想出的驾驶人案中的那种检验，最近英国人重新提到了该案：“驾驶人面对一个问题，即一辆驶向人群的汽车无法在短距离内停下，由此他只能选择直行、左转或者右转。然而，无论他做出何种决定，都会不可避免地撞死人群中某个人。”(72)Kohler, ARSP 8 (1915), 411 (431 f.).要将上述情形转移到编程者身上，就要问一下，他可否为了防止撞到人群或者说为了将危险最小化而预先在程序上规定一种回避绕行的方式。这样操作虽然无法救助人群中所有的人，但能救助尽可能多的人。

上述案例的解决方案可由扳道工情形的原则推导出来。区别在于，所有的人一开始就身处危险区域。自动驾驶系统的编程者已尽其所能履行作为义务，通过躲避去尽可能避免造成死亡。只有当编程者同时具有不作为义务(不能通过防止损害来牺牲第三人)时，他采取躲避一般才被禁止。这些情形被当作所谓的“危险共同体”得到讨论：几个人都处于共同的生命危险中，此时行为人面临一个选择：通过其不作为去杀死所有的人，或通过杀死一个人去救助其余的人。(73)Perron, in: Schönke/Schröder, Strafgesetzbuch, Kommentar, 29. Aufl. 2014, § 34 Rn. 24 m.w.N.根据通说，为了救助危险共同体中的其他人而杀死当中任何一个人都是违法的，因为行为人救助一个濒死的人时，必定以他人承受负担为代价去做出一个选择。如果有人不同意功利主义的论据，这原则上是正确的，也就是说，在分离连体双胞胎、保护精神病人免遭大屠杀或登山者共同体这些情形下都不受制于救助机会的分配。(74)Koch, GA 2011, 135.

就当前具体的“扳道工4.0”这一编程者情形而言，还要注意的是：针对道路交通，编程时应在整体上遵循危险最小化和避免碰撞的原则。然而，如果除了危险之外没有其他的障碍，自动驾驶汽车还面临着一条命令——采取躲避行为和避免碰撞，这实际上是无法实现的，于是可想而知，针对已发生的损害，又一次需要通过容许的风险理论去限定过失责任。对此值得一篇新的论文来详细论述。

四、结论

对汽车工业和将来的用户而言，当今的教义学结论听上去是不那么舒服的。该结论是令人警醒的，却也是简单的：编程者在紧急避险中可以做的与扳道工一样少。编程者不可转换道岔，不能牺牲无辜的第三人。编程者进行紧急避险时，也不可再提出以下根据：他是在极大的精神压力情形中如此而为。另一条规则——例如无条件地保护乘客，缺乏教义学上的根据。

任何人选择了自动驾驶汽车，就相当于声明其同意下列事项：在极不可能但无法完全排除其可能性的困境情形(自动驾驶汽车只能履行两个义务中的一个)中，预先编程不能允许编程者为了保护等价利益或乘客的这种利益，而去侵害原本安全的第三人。

相反，任何人通过容许的风险或救助利益的“随机数生成器”这类理论，允许编程者牺牲无辜的第三人，那么他就打开了潘多拉魔盒。甚至每个人都可能问一下自己，他(她)是否还想身处道路上？或者我们是否真的想解决这个已明确产生并且相当有必要的、针对生命保护可量化性的根据讨论(无论是根据个案基础还是根据实证调查结果(75)Hörnle/ Wohlers, GA 2018, 12 (29 ff.).)(Grundlagendiskussion)？

(王德政(76)王德政，四川师范大学法学院讲师，四川大学刑事政策研究中心研究员。译，俞婷(77)俞婷，上海师范大学哲学与法政学院研究生。校)