自动驾驶与乘客优先

陈景辉

随着各个国家的交通管理部门允许自动驾驶汽车的路测，自动驾驶已经成为我们真实生活场景中的一部分，这离“大规模设计、制造、销售和使用”仅一步之遥。虽然自动驾驶汽车所带来的好处是显而易见的，例如降低交通事故率、减少人员伤亡、减轻环境污染、缓解交通拥堵等，但只要自动驾驶汽车仍然会不可避免地引发碰撞，一般民众、社会舆论和理论家的关注焦点，就会迅速集结到这件事情上来，尤其是涉及生命损失的碰撞。生命损失既是一个道德上至关重要的话题，也是一个法律必须回应的话题。

与传统驾驶方式引发的交通事故不同，自动驾驶的独特之处在于：它预先被设置了某种“道德算法”，以决定自动驾驶汽车在碰撞事故中的决策，而传统交通事故通常只能归因于人类驾驶者的过失，甚至只是意外。这个特殊性严重改变了讨论的结构：传统交通事故的核心是责任的承担与分配，这主要是个法律性质的问题；但自动驾驶问题的核心，必将从责任的分配转移至生命安全的分配上，这主要是个道德问题，而法律的话题被降级为派生性的第二顺位问题。〔1〕John Tasioulas, “First Steps Towards an Ethics of Robots and Artificial Intelligence” 7 Journal of Practical Ethics 65 （2019）.

具体来讲，当自动驾驶汽车不可避免地发生涉及生命损失的碰撞事故时，自动驾驶汽车（道德算法）应当如何选择？它应当选择撞谁？谁又应当为这场碰撞事故负责？这篇文章不可能讨论以上问题的所有侧面，它将围绕着某种特定主张而展开：由于自动驾驶汽车的道德算法取代了人类驾驶者，人类驾驶者就只是自动驾驶汽车中的乘客，他似乎与撞谁和谁负责这两件事都没有关系，于是就会引出“乘客应当优先获得保护”的原则。那么，这个原则成立吗？

一、由驾驶者到纯粹的乘客

一开始的问题是：传统的人类驾驶者如何与自动驾驶行为完全切割开来？这依赖于两个条件：一个是技术性条件，即完全自动驾驶技术〔2〕完全自动驾驶的汽车，指的是L4 和L5 两个等级的自动驾驶技术。参见中国的分级标准和技术要求，来源：http://www.miit.gov.cn/n1146290/n1146402/c7797460/content.html，2020 年4 月25 日访问。将他变成了与动态驾驶行为无关的（纯粹）乘客；另一个是道德性条件，即乘客或车主无法决定自动驾驶汽车道德算法的设定。

先来看技术性条件。文中所讨论的“自动驾驶汽车”，仅指L4-L5 等级的自动驾驶技术，而不包括L0-L3 等级的自动驾驶技术。主要原因在于，这涉及到底谁在控制自动驾驶汽车的问题。在L0-L3等级的自动驾驶技术中，传统的驾驶者至少仍是动态驾驶行为的参与者甚至还是操控者，于是他就仍然与交通事故和驾驶责任有所关联。然而，在L4-L5 等级的自动驾驶技术的应用中，动态驾驶行为完全由汽车本身所掌控，人类驾驶者只是一个睡在后座的乘客（passenger）而已。由于自动驾驶汽车中只有乘客而没有驾驶者，因此动态驾驶行为就交由一套道德算法来控制，以决定在特定情形中驾驶行为的选择；尤其是在涉及不可避免的生命损失的碰撞中，由道德算法来决定到底牺牲哪一方。〔3〕参见陈景辉：《算法的法律性质：言论、商业秘密还是正当程序？》，载《比较法研究》2018 年第2 期。由于导致特定方生命受损的结果，并不是由驾驶者（乘客）来决定的，所以他就处在碰撞事故和碰撞结果之外；至少表面看起来，他也就处在碰撞责任之外。

然而，单独强调自动驾驶的技术性条件，其实并不能真正切断乘客与驾驶行为之间的关联：如果关于决定在涉及生命损失情形之下撞谁的道德算法仍然是多样的且可由乘客（车主）个人设定或选择，那么车主或乘客也要对相应的损害结果承担责任；因为如果他选择或设定了其他的算法，那么损害结果将会明显不同。

现在请想象一个场景：自动驾驶汽车需要在杀死一个儿童和杀死一个老人之间进行选择，并且车主选择了优先保护儿童的道德算法，于是它最终杀死了老人以避免撞死儿童。一旦发生这种情形，那么车主将无法与这场交通事故切割，因为是“他的选择”导致了老人的死亡，否则死亡者可能就是他人而非此人；进而，车主也就需要为老人的死亡承担责任，尽管未必是全部责任。综上，如果车主可选择自动驾驶汽车的道德算法，那么他至少会以间接的方式与交通事故有关。〔4〕车主当然会提出不同的意见，例如他会主张：我选择了特定道德算法的自动驾驶汽车与我选择了出租车公司的特定车辆，这二者之间并没有实质区别；既然没有区别，并且我与后一种交通事故无关，也不需要负责，所以我当然也就与前一种交通事故无关，同样也不需要负责。反对者可能辩驳说：自动驾驶汽车是你的，但出租汽车并不是你的，所以还是跟你有关系，你还是需要负责。

因此，要想彻底切割乘客与自动驾驶行为之间的关系，就必须反对乘客就道德算法做个人偏好式的选择或设定。那么，有什么样的理由来反对道德算法个人设定呢？一个基本的思考是：由于道德算法的个人伦理设定（personal ethics setting）存在明显的道德缺陷，以至于自动驾驶的道德算法，最终只能是强制性的伦理设定（mandatory ethics setting）。如果这个思考是成立的，那么自动驾驶汽车的道德算法，就不能由乘客来选择设定。既然它不是乘客个人选择的结果，并且动态驾驶行为也不是由乘客决定的，于是乘客就与安装了该种算法的自动驾驶汽车所引发的交通事故彻底失去了关联，当然也就无需为此负责。

反对个人伦理设定的核心理由，由如下五个关联部分组成：〔5〕Jan Gogoll & Julian Müller, “Autonomous Cars: in Favor of a Mandatory Ethics Setting” 23 Science & Engineering Ethics 681-700 （2017）.（1）群体由各自持有不同道德观念的个体成员组成，他们既可能是自利（私）的，也可能是利他的，也可能是公共利益考量优先的；（2）由于特定群体中一定会存在道德上自私的主体，自私主体必然会选择最有助于自身安全的道德算法；（3）那些并非自私的道德主体，如果选择利他的或者公共利益考量优先的算法，那么无论他们是行人还是乘客，一旦与安置自私道德算法的汽车碰撞，他们的安全将会受到自私算法的更大威胁；（4）为了自己的安全着想，最理性的做法是，他们同样会选择最有助于自身安全的道德算法，也就是自私的道德算法；（5）将这些条件叠加在一起，必将以为这意味着，个人化的伦理设定一定会导致“囚徒困境”，于是每个人的安全都处在比过去更大的危险当中。因此，为了避免囚徒困境，强制性的伦理设定就成了唯一的选择。

稍做总结：既然传统人类驾驶者完全被自动驾驶技术所取代，成为睡在后座上的乘客，那么他就与动态驾驶行为失去了直接的联系，也就与自动驾驶汽车所引发的交通事故失去了直接的联系；同时，既然决定自动驾驶汽车在事故中应该撞谁的道德算法是车主所无法人为选择的，那么车主（人类驾驶者）就与这种类型的交通事故失去了间接的关联。既然人类驾驶者与自动驾驶的事故，不存在直接和间接的联系，那么他也就应当被排除在事故责任之外。

二、相互竞争的原则：乘客优先还是最小损害？

现在请考虑“大树案”。〔6〕例子改编自，Bert I. Huang, “Law’s Halo and the Moral Machine” 119 Columbia Law Review 1814-1815（2019）.未来的某一天，一辆自动驾驶汽车正在路上以正常速度行驶，车主正在后座熟睡，一棵大树突然遭到雷劈，倒在汽车行驶正前方的路中央，自动驾驶的人工智能系统（可以叫它“查理”）面对三种选择：情形一，查理决定汽车向左转，但那条路上有一群事先已经申请了路权的示威者，并且汽车的转向将会杀死这群人；情形二，查理决定向右转，但那会使得汽车进入自行车道，并杀死一名自行车骑手；情形三，为避免情形一和情形二，查理决定继续向前，但这会杀死后座熟睡的车主。在面对这种无法避免的情形时，查理到底应该怎样做？查理的制造者应该为查理制定怎样的“道德算法”？

一般会认为，查理如何做出选择，依赖于两个相互竞争的基本原则的最终结论。〔7〕Bert I. Huang, “Law’s Halo and the Moral Machine” 119 Columbia Law Review 1812-1813 （2019）.第一，乘客（车主）优先原则，即查理应当在优先保护乘客的基础上，再来决定到底是杀死一个骑手还是另外一群人（以下简称“优先原则”）。如果优先原则成立，那么查理就只能在情形一和情形二中选择，它绝对不能选择情形三。〔8〕并且基于第七节中讨论的电车难题，恰当的做法就是情形二。第二，最小损害原则，即查理不能将乘客的安全放置在优先地位，而是需要将乘客（车主）、车手和那群人一同纳入考量，从中来找到最小的损害。如果最小损害原则是成立的，那么被优先原则率先排除的情形三，反而可能是查理应当做出的选择，因为至少在仅需要考虑人数这个要素时，情形三与情形二中牺牲的人数完全一样。

以上两个原则之间的唯一区别在于：是否在一开始就赋予乘客优先保护的地位？或者说得复杂一点，如果自动驾驶汽车的道德算法遵循最小损害原则，那么它就要在碰撞事故所涉各方之间始终保持中立；如果遵循乘客优先原则，那么它就要在一开始选边站，率先将乘客排除在牺牲者的名单之外，然后在余下的其他各方之间保持中立。“保持中立”的意思，并不是说每一方都是不可牺牲的，而是说每一方在一开始都是可被牺牲的。至于最终会选择哪一方来做牺牲，这就涉及“最小损害判断标准”的争论：功利主义的信徒经常会将“人数（数量）”当作这样的标准，但功利主义的反对者〔9〕这表明，最小损害原则不等于功利主义的标准，它们之间是蕴含与被蕴含的关系。所以，反对乘客优先原则，不等于同意功利主义的道德算法。可能会采取康德式的标准或罗尔斯式的标准。〔10〕Derek Leben, “A Rawlsian Algorithm for Autonomous Vehicle” 19 Ethics & Information Technology 107-115（2017）.

显然，如果最小损害原则是成立的，那么它就排除了乘客优先原则，但反过来的说法并不成立；也就是说，乘客优先原则其实并不排斥最小损害原则，而是把它当作一个次要原则吸收进来。具体来讲，乘客优先原则在确保乘客的优先地位之后，还是得依赖最小损害原则选出适当的被牺牲者；否则，即使排除了情形三，查理应当如何在剩余两个情形中进行选择，这仍然是不清楚的。

相较于乘客优先原则与最小损害原则之间的争论，哪种最小损害的判断标准——功利主义的、康德式的、罗尔斯式的或者其他别的主张——最终成立的问题，既是一个独立的话题，也是一个依附性话题。说它是独立的，是因为关于最佳最小损害标准的讨论，可以独立于以上两个原则单独进行；说它是依附性的，是因为即使刚才那个独立的讨论得出了可靠、正确的结论，但是它也必须依附于以上两个原则之间争论的最终结果，才能发挥实践意义。如果最小损害是最佳判断标准的结论一旦得出，它就会自动成了自动驾驶汽车道德算法所必须遵循的原则，那么这实际上等于预设了乘客优先原则的失败。所以，讨论乘客优先原则和最小损害原则哪个成立，是在实践中适用最小损害判断标准的先决条件。

也可以这样说，由于这篇文章的任务是反省和批评乘客优先原则，因此关于最小损害标准问题这件事情，它将保持中立的态度，即它既不支持也不反对各种具体的判断标准，无论是功利主义的、康德式的、罗尔斯式的或者其他别的主张，也不讨论特定判断标准所可能遇到的难题。〔11〕例如，查理需要在两个摩托车骑手之间进行选择，一个骑手戴了头盔，一个骑手未戴头盔，在最小损害原则之下，它撞谁才能满足这个原则的要求？就碰撞责任的最小损害而言，由于未戴头盔者存在行为瑕疵，撞他将会降低自动驾驶的责任；但由于他未戴头盔，撞击可能会给他带来更大的人身损害。相反，就人身的最小损害而言，撞击戴头盔者才能满足要求；但因为他戴了头盔反而遭到了撞击，这就是在惩罚遵守规则者，这种情形会进一步激励规则违反者，并因此会付出更多的社会代价。See Noah J. Goodall, “Ethical Decision Making during Automated Vehicle Crashed” 2424 TransportationResearch Record 58-65（2014）.不过，为了简化讨论，也为了行文方便，文中还是预设了“人数”这个功利主义式的判断标准（以下简称“数量原则”），但这并不表示对于该判断标准的支持。

三、乘客优先的根据

现在的问题是：为什么要赋予乘客优先获得保护的地位？有什么样的理由来支持优先保护乘客呢？一个最直观的支持性理由来自于由“乘客地位”展开的推演：由于完全自动驾驶汽车取代了传统的人类驾驶者，并且关于撞谁的道德算法并非任由乘客人为选择，于是人类驾驶者就变成了在汽车后座沉睡的“纯粹的乘客”，他就如同公共汽车或者出租车中的乘客一样。作为一名纯粹的乘客，一方面，他是碰撞事故中的无辜者，所以不应当被牺牲；另一方面，公共汽车和出租车在通常情况之下，应当优先保障乘客安全。将这两个部分结合起来，似乎就能证明乘客优先的原则。

然而，这个论证并不充分：一方面，公共汽车和出租车并不一定是乘客优先的，尤其是面对公共安全与乘客优先的矛盾——例如，刹车失灵的公共汽车将会撞击广场上的人群时，乘客并不必然拥有优先地位。另一方面，更重要的是，即使自动驾驶汽车将车主变成了纯粹的乘客，并且是事故中的无辜旁观者，但是优先原则中被允许牺牲的那些人，他们同样也是无辜的旁观者。如果他们因为是旁观者且有理由被牺牲，那么同样作为旁观者的乘客，自然也应该在被牺牲的候选者之列；换句话说，既然都是无辜的旁观者，那么就无法依据“无辜旁观者”这个唯一的理由，而只是“单独”赋予乘客优先获得保护的地位。这表明，优先原则并不是乘客地位论证的合理结论，它能得出的结论只能是“所有”无辜旁观者都应当被优先保护，但这显然与优先原则矛盾。因此，这种乘客地位的论证，最多只是优先原则的部分根据而已，于此之外还必须寻求更强的支持性理由。

一个最常见的支持性理由，是所谓的“市场论证”，即如果自动驾驶汽车的道德算法（查理）不优先保护乘客的安全，那么就不会存在自动驾驶汽车的购买和使用，也就不存在自动驾驶汽车的消费市场，最终将使得这项技术所带来的各项优点消失殆尽。反过来说，为了获取自动驾驶技术所带来的各项好处，就必须使得自动驾驶汽车被市场化，而这要求赋予乘客优先保护的地位。

乘客优先的市场论证，获得了经验研究的倾力支持：〔12〕J. Bonnefon, A. Shariff & I. Rahwan, “The Social Dilemma of Autonomous Vehicles” 352 Science1 573-1576 （2016）.在面对自动驾驶汽车引发的碰撞时，受调查者在不涉及自己时，基本上认同功利主义的做法，即他们认同对多数人生命的保护。然而，同样的受调查者，在被问及他们自己会购买何种自动驾驶汽车时，大部分会选择对自己保护最多的设计——乘客优先。被调查者在这里的态度转变，其实很容易理解：没人愿意购买随时可能杀死自己的自动驾驶汽车。因此，如果自动驾驶带来的各项改善是值得追求的，那么这必然需要依赖自动驾驶汽车的市场化（大规模设计、制造、销售和使用），但如果不确立乘客优先的原则，那么就没有（足够的）购买者，市场化也就无从谈起。

然而，即使承认市场论证是合理的，它仍然会引发一些疑虑，如工具化的问题。〔13〕参见陈景辉：《法律的内在价值与法治》，载《法制与社会发展》2012 年第1 期。由于用以支持优先原则的市场论证有可能会将优先原则矮化为工具性的原则，即优先保护乘客只是为了获取自动驾驶技术的好处的工具而已。如果优先原则只有工具上的重要性，那么它也会带有工具性的缺陷，即如果有其他的工具能够更好实现那些自动驾驶的好处，那么优先原则其实并不见得真的值得坚持。工具化疑虑，其实代表对市场论证的某种不满：市场论证的强度真的能匹配乘客论证的要求吗？说得明确一点，市场化的考量能够用来辩护生命的损失吗？为了获得自动驾驶的那些好处，值得付出生命的损失吗？生命损失的代价是不是过大了？

如果你同意人的生命是一种至关重要的价值，那么你就会认为，应当为乘客优先寻求更强的支持性理由。一个主要的可行思考方式是，论证乘客与自动驾驶汽车之间存在某种特殊的关联，以至于必须要给予乘客优先保护的地位。这就是所谓的“乘客特殊地位论证”，即乘客是自动驾驶行为中的特殊主体。因为这个特殊地位，所以只有乘客应当受到优先的保护。这等于说，不仅仅只是因为乘客的地位，也不仅仅是因为市场化的需要，而是因为自动驾驶车与乘客存在的特殊联系，所以要求乘客优先的原则。

问题是：乘客拥有什么样的特殊地位，以至于应当获得优先的保护？一个简单的回答可能是这样的：与其他可能被牺牲的无辜者明显不同，乘客在自动驾驶汽车之内，而其他无辜者在自动驾驶汽车之外；并且，由于自动驾驶汽车的工具性任务，就是为车主服务以将他们安全送至目的地，但自动驾驶汽车并不以服务于其他人的安全为目的。因此，一旦发生碰撞时，保障车主的安全是自动驾驶汽车的主要义务，保障其他人安全只是次要义务，所以车主（乘客）在安全上就具有优先的地位。

这个论证类似于道德哲学中“行动者中立”（agent-neutral）与“行动者相关”（agent-relative）的区分。〔14〕Thomas Nagel, Equality and Partiality, Oxford University Press, 1991, pp. 10-20.例如，当两个人同时身处险境，而我只能救助其中之一时，我应该救谁？如果两个人跟我没有特殊关系，那么救其中的任何一个都是合理的，此时就是行动者中立的情形；然而，如果其中之一是我的朋友，那么我选择救助自己的朋友，而不是任意选择，就被认为是合理的，因为此时我的行动理由是行动者相关的。同理，如果把刚才这段话中的“我”替换成自动驾驶汽车，〔15〕你当然可以反驳说，自动驾驶汽车并不是行动者，否则“它”就是人了。不过，这篇文章所提供的反驳，并不需要借助以上看法，所以仅此存而不论。将“朋友”替换成“乘客”，一旦自动驾驶汽车的碰撞无法避免时，车主（乘客）优先获得安全保障，看起来就受到了行动者相关理由的支持。

然而，“车内和车外”这个不同真有如此重要的意义以至于能够支持优先原则的成立？这当然是个合理的质疑。优先原则的支持者，可能需要寻找到更强的理由，或者是因为自动驾驶汽车是乘客所有的，或者是因为自动驾驶汽车是乘客“合法占有”的，等等。不过，这篇文章并不想在“自动驾驶汽车与乘客存在何种特殊联系”的问题上着墨太多，这会陷入“这种关系真的如此重要吗”之类的琐碎论证中。所以，文章将会采取一种“结构式的讨论”，即先假设存在某种特殊关系——无论它是什么，然后再去讨论这种说法本身将会遭遇到何种无法克服的难题，以至于必须放弃乘客优先原则。

四、市场论证与责任问题

本节主要用来检讨市场论证，但其目的并不是要证明市场论证本身是错误的，而是要证明市场论证本身并不必然蕴含优先原则这个内容，并且这主要是个关于碰撞责任的讨论。简单说，市场论证是说：由于自动驾驶汽车必然会带来降低交通事故率、减少人员伤亡、减轻环境污染、缓解交通拥堵等显而易见的好处（goods），并且这些好处是在道德上值得追求的，因此自动驾驶汽车的市场化就成为一项“道德任务”。市场论证对优先原则的支持逻辑是：由于那些好处值得追求，这就需要自动驾驶汽车的市场化，而市场化就需要购买和使用；然而，如果不确立乘客优先的原则，那么没人愿意购买杀死自己的产品，所以就必须确立乘客优先原则。

虽然以上推论在表面上是合适的，然而一旦涉及碰撞责任问题，它将会遭遇严重困难。关键的问题是：乘客要不要承担碰撞责任？或者说，优先原则中是否包括乘客免于承担责任的部分？这涉及对责任的两种不同理解。〔16〕Peter Cane, Responsibility in Law and Morality, Hart Publishing, 2002, chapter 3.第一，道德责任（moral responsibility），即某人在道德上需要为某种不利后果负责。这通常需要考虑两个要素：其一，因果关系的要素，即该不利后果是否由某人基于自由意志（free will）而做出的行动所引发？其二，由该人承担责任是否具有批评、指责、抱怨等方面的道德意义？例如，疯子之所以对于其杀人行为不承担责任，是因为他没有自由意志，并且由其承担责任也无法展现上述道德意义。第二，作为分配的责任（liability），即一旦出现某种不利后果，那么应当如何在相关各方之间进行分配，并且使这种分配是合理的？例如，出现了自然灾害，那么除了受害者本人，还需要以“社会责任”的方式来进行救济。必须注意，这两种责任分配的主要差别在于：后者并不需要因果关系的存在——例如，社会并不是自然灾害的发起者，责任者也并不因为承担责任而遭受道德上的指责——例如，社会并不因为承担责任而应当被批评。

现在就可以来思考乘客优先与责任的问题了。由于自动驾驶汽车所引发的碰撞事故与乘客的自由意志无关，并且优先原则给予乘客优先获得保护的地位，所以乘客就被彻底排除在碰撞事故的道德责任之外。〔17〕Tripat Gill, “Blame It on the Self-Driving Cars: How Autonomous Vehicles Can Alter Consumer Morality” 47 Journal of Consumer Research 273 （2020）.现在，请考虑由谁来承担碰撞的责任。由于自动驾驶汽车是制造商生产出来的产品，并且，假设自动驾驶汽车本身无法承担责任，〔18〕即使承认自动驾驶汽车本身拥有自由意志，但在目前的讨论框架之下，让“它”承担责任也很难具有道德意义。那么碰撞事故的道德责任就只有一个唯一的责任者，这就是制造商。也就是说，在乘客优先原则之下，制造商成了碰撞事故之道德责任的唯一合适的承担者。并且，由于自动驾驶汽车与制造商之间是产品制造与被制造的关系，这很容易就成为一种制造商的产品责任问题。就目前而言，法学界对于自动驾驶汽车的讨论，基本上遵循了以上这个思路。〔19〕例如，冯珏：《自动驾驶汽车致损的民事侵权责任》，载《中国法学》2018 年第6 期。

然而，如果说为了自动驾驶汽车的市场化，就必须赋予乘客优先的地位；但是让制造商成为唯一的责任者，这同样也将被市场论证所反对。理由非常简单。如果由制造商承担所有的责任，并且涉及生命损失的责任是极为严重的，那么由制造商承担如此严重的碰撞责任，还会有自动驾驶汽车的设计和制造吗？显然不会，面对如此严重的责任负担，制造商远离这个产业大概是唯一理性的选择。〔20〕Alexander Hevelke & Julian Nida-Rümelin, “Responsibility for Crashes of Autonomous Vehicles: An Ethical Analysis” 21 Science and Engineering Ethics 619-630 （2015）.如果缺乏制造商的参与，同样也就没有了自动驾驶汽车的市场，因此市场论证本身也将否定由制造商承担全部责任的结论。通俗一点讲，由于市场是由生产和消费两个环节组成的，如果消费环节支持乘客的优先地位，那么生产环节就会支持制造商的优先地位，所以同时赋予乘客和制造商优先地位才是合理的结果，而不是只将这种地位单独赋予乘客。

与此同时，将自动驾驶汽车的责任视为一种产品责任，这也会与产品责任的一般理论矛盾。即使承认产品责任是成立的，还会遇到谁负担产品责任的问题。最清楚的一点在于：一旦产生碰撞事故且乘客是被损害者，那么由制造商承担责任就是合理的，因为这受到了优先原则的支持；并且，这反过来意味着，在碰撞事故中导致乘客之外的人被牺牲，也被优先原则所支持。既然导致他人死亡获得了优先原则的支持，并且这一切已经事先被所有人所知晓，那么生产商就等于落实了所有的义务要求；既然生产商已经实现了所有义务，那么再以“不合理危险”与“不符合法定标准”等标准，来追究生产商的产品责任，〔21〕参见王乐兵：《自动驾驶汽车的缺陷及其产品责任》，载《清华法学》2020 年第2 期。这样的做法还有合理的基础吗？

反对者可能会这样说：碰撞中谁优先受保护与谁应当承担责任，这是两个完全不同的问题。表面上看，的确如此。然而，如果责任问题的最终答案只能是制造商，那么它就会与市场论证这个支持乘客优先的理由发生矛盾：为了市场化的需要，不能让制造商承担所有碰撞责任，否则就不会有自动驾驶汽车的设计和制造了。这两个话题，还是以曲折的方式发生了关联。另一个反对意见可能就此发出：市场论证只是不允许由制造商承担“全部责任”，而没说不能由它承担使得设计和生产自动驾驶汽车成为可能的“部分责任”。

这样的做法当然可能是合理的，但是此时的“责任”已经不是在道德意义上的责任，而只是不利后果分配意义上的责任了。并且，既然市场论证可能会同意制造商承担部分这种意义的责任，那么市场论证同样不会反对乘客也是这种责任的承担者之一，当然另外一个责任的分担者就是社会。如此一来，就如同传统的交通事故责任一样，乘客（传统的驾驶者）、制造商和社会就同时都是责任的分担者。这个结果表明，从责任分担的角度看，自动驾驶汽车实际上并没有对法律制度提出根本性的挑战。〔22〕参见陈景辉：《人工智能的法律挑战：应该从哪里开始？》，载《比较法研究》2018 年第5 期。但这个结论仍然会对优先原则产生某种程度上的威胁：如果优先原则就等于赋予乘客某种特殊保护的地位，但是这种优先地位未在责任问题上有所反映，这合理吗？或者说，如果乘客和制造商在责任上拥有相同地位，那么如何证明乘客在碰撞中的独特地位呢？无论怎样回答这些问题，最终都会回到“乘客特殊地位”的论证。

五、到底谁是“乘客”？

刚才这段讨论的目的，并不在于证明市场论证是错误的，而只是说市场论证对优先原则的支持，其实经不起仔细的追问。这就迫使问题的焦点回到“乘客特殊地位论证”上来，它看起来才是支持优先原则的主要理由。如前所述，乘客的特殊地位论证（以下简称“乘客论证”），并不仅仅意味着在自动驾驶的时代，传统的人类驾驶者只是自动驾驶汽车中的乘客，因为单纯依赖于这个无辜者的角色，并不能证明他优先于其他的无辜者——行人或骑手——获得保护。此外，乘客论证中，一定包含着“乘客占据某种特殊地位”这个部分，只有这样才能得出优先原则成立的结论。接下来的三节，就开始直面乘客论证，以最终证明它是错误的。而本节的主要任务，是去讨论一个经常被忽略的问题：到底谁是“乘客”？

这个问题的答案，难道不是一目了然的吗？身处自动驾驶汽车中的所有人不都是乘客吗？如果情形的确如此，并且假设优先原则是成立的，那么即使自动驾驶汽车中乘客少于车外的行人，也应当优先保护乘客的安全，因为乘客优先的地位不受人数多少的影响。

然而，问题是：优先原则是否要求在自动驾驶汽车的所有“乘客”之间再进行进一步的区分？也就是说，一旦面对“只会导致乘客生命损失”的碰撞时，是否应当在乘客中再进一步区分出“车主乘客”与“其他乘客”?

请考虑“大树—车主案”：一棵大树突然被雷劈倒在路中央，查理将不可避免地撞到大树。此时，自动驾驶汽车中一共载有四位乘客：车主坐在传统的驾驶位，此外还有其他三个乘客。查理有三个选择：选择一，左转方向，其他三人将会因撞击大树死亡，但车主将会活下来；选择二，右转方向，车主将会死亡，但其他三人将会活下来；选择三，不改变方向而只是紧急刹车，汽车依然惯性向前，这样的话，包括车主在内的前排两名乘客将会死亡，而后排的另外两名乘客将会活下来。面对这种不涉及路人的生命损失情形，查理应该如何选择？

如前所述，优先原则实际上是个“乘客优先+人数衡量”的复杂原则；也就是说，在保护乘客优先的同时，查理应当选择人数最少的牺牲者。然而，这个原则中所包含的“数量”因素，通常所指的只是汽车之外无辜者的人数，它同样适用于车内乘客人数吗？假设优先原则并不区分车主乘客与其他乘客，那么“数量”将同样适用于车内乘客的生命损失，于是查理的选择就很容易做出，也即就被牺牲人数而言，优先顺序显然是“选择二＞选择三＞选择一”，选择二将会因为牺牲的人数最少而成为最佳方案。

但选择二当中的唯一被牺牲者，其身份非常特殊：他不仅仅如同其他三人一样，是汽车的乘客，而且同时他还是车主。“车主”的这个身份，给了他某种特殊的地位吗？他能够因为车主身份而被优先保护吗？换句话说，如果优先原则同样要求优先保护车主乘客，那么“数量因素”本身就会再次丧失意义。在这种只涉及乘客生命损失的情形中，优先顺序显然将会变成“选择一＞选择二＞选择三”。因为，虽然选择一牺牲的人数最多，但它是唯一能够满足车主优先要求的；同时，由于选择二和选择三都导致了车主的死亡，但选择二导致的牺牲人数更少，所以它就成为次优选择。〔23〕现在，可以直接舍弃选择三了，因为无论在何种情形之下，它都不会是最佳的方案。

目前遇到的问题是这样的：选择一和选择二到底哪个最佳？对这个问题的回答，将会构成一个对于乘客论证的严格检验。如果乘客论证是成立的，那么优先原则也将成立，乘客将会因为特殊地位而获得优先保护；也就是说，有理由在乘客和旁观的无辜者之间做出区分，并优先保护乘客，而不是无辜者。同理，如果乘客论证是成立的，那么就有理由对车内的乘客做进一步的区分，区分出车主乘客与其他乘客，〔24〕为简化论证，本节将不讨论车主不在车内的情形时，依据跟车主是否存在特定关系及其亲疏远近，并进一步区分出“亲近乘客”与“一般乘客”。也不讨论另外一种独特的情形：如果自动驾驶汽车在“车主”和“车主家人（例如他的儿子）”之间选择牺牲后一方，那么车主本人将如何自我遣责并极端厌恶自动驾驶汽车。并导致优先保护车主乘客而不是其他乘客的结果。如果车主乘客并没有理由获得优先保护，那么优先原则将会存在问题；如果车主乘客不优先于其他乘客，那么凭什么说乘客优先于无辜的路人？优先原则将会彻底失去理由。

现在需要回答乘客论证了。乘客论证认为，相对于其他旁观的无辜者，自动驾驶汽车的乘客拥有某种特殊的地位，所以他应当首先获得保护，尽管这将会导致无辜者的死亡。并且，这个理由的核心类似于“行动者相关”的理由，即自动驾驶汽车与乘客之间存在特殊关系，类似于我与朋友之间的关系；因此，在面对着朋友和其他人同时落水并只能选择其一施救的情形时，优先拯救朋友的生命是道德上允许的，所以我的行为并不应当遭受道德指责。同理，在只涉及乘客生命损失的情形时，由于车主乘客与自动驾驶汽车之间存在着类似的特殊关系，所以优先保护车主乘客，而不是其他乘客的生命，这看起来也是道德允许的。

表面上看，这个结论受到了日常实践的支持。在传统的驾驶方式中，如果刚才的状况发生在车主驾车的情形下，车主通常会做下意识的自我保存式选择，所以经常会发生类似于选择一的情形。“副驾驶的位置最不安全”，就成了人们经验法则中的一部分。然而，这并不等于说，车主牺牲其他乘客保护自己的行为，就是道德上所允许的，它最多是道德上可理解的。也就是说，人们通常会理解车主的下意识选择，并且可能说“这就是人性”；但这并不意味着，车主的行为因此就具备“道德上的可允许性”。〔25〕“道德上的可允许性”概念，See T. M. Scanlon, Moral Dimensions: Permissibility, Meaning, Blame, Harvard University Press, 2008, pp. 9-10.

道理非常简单。当我是车主并搭载三位乘客时，我与他们之间就存在某种特殊的“安全保障”关系，即我要保证他们而不是别人的安全。即使这三位乘客与我事先并没有特殊的身份关系，例如不是我的亲属或朋友，但仅仅因为“我同意他们而不是别人搭我的车”这个事实就足以建立起来这种特殊联系（简称“搭车原则”）。这非常类似于出租车或公共汽车的司机，在面对只涉及车内成员的碰撞事故中，承担必须优先保护车内乘客安全的照顾义务。此时，出租车或公共汽车的乘客，就有理由要求司机优先保护他们的安全，而不是优先保护司机本人的安全。由此得到的结果是：搭车原则要求赋予乘客而不是司机优先获得保护的地位。

刚才这个结论意味着什么？它意味着，在传统的驾驶方式中，只有选择二——司机以自己的死亡保护了其他乘客，才是道德所允许的行动。现在需要考虑自动驾驶的情形，依据优先原则，车主乘客应当优先于其他乘客获得保护。现在，一个明显的矛盾出现了：到底是车主乘客优先还是其他乘客优先？显然，依据自动驾驶的优先原则，车主乘客优先于其他乘客；但是，依据传统驾驶的搭车原则，其他乘客优先于车主乘客。反对者可能认为，搭车原则只是一个适用于传统驾驶行为的原则，它已经被自动驾驶汽车全面改变了，所以还是车主乘客优先于其他乘客。但这是真的吗？在遭遇非致命的身体损失时，其他乘客不可以抱怨说“这是你的车，所以你应该优先保护我的安全”？如果在非致命损失时，其他乘客都可以做出这样的谴责，那么在致命损失发生后，其他乘客的亲属难道不能以更严厉的方式进行谴责吗？

换个思考的方向，车主乘客此时可以回应说“这是我的车，所以应该优先保护我”。如果车主乘客的回答是成立的，又意味着什么呢？很显然，市场论证就会重新回来：如果自动驾驶汽车只是优先保护车主乘客，那么除了车主乘客之外，还有人会愿意跟车主一同乘坐吗？谁会乘坐一辆在碰撞中会优先杀死自己的自动驾驶汽车呢？如果每一辆自动驾驶汽车中都只有一名车主乘客，自动驾驶技术带来的那些好处还有吗？〔26〕这非常类似于“限号”的做法，原本是为了减少交通拥堵和环境污染，但是这会导致人们购买第二辆车，使得那个目的落空。

当然，反对者仍然可以说：以上这些讨论，都只是消极性（negative）的论证，它最多只能说车主乘客优先是有疑问的，但要彻底证明车主乘客不拥有优先地位，并且进一步否认优先原则，这必然需要一个积极性（positive）的论证；甚至，只要对优先原则做某些范围上的限定，例如，只有在涉及乘客与无辜路人的碰撞中才能使用这个原则，以上的追问就会变得没有意义。其实，刚才的讨论都是语带保留的，因为要彻底击败优先原则，的确需要一个积极论证，这正是下两节的任务。

六、制造损害与任由损害〔27〕本节讨论受刘叶深：《电车难题：一个多维组合方案》（未刊稿）启发，仅此致谢！

如前所述，依照乘客优先的原则，一旦自动驾驶汽车遭遇必须在无辜路人与乘客之间选择的致命碰撞时，它应当优先保护乘客的安全，即使这会付出无辜路人死亡的代价。同理，如果乘客优先的地位足以确立，那么车中乘客就有理由被区分为车主乘客与其他乘客，并且当面对必须在其中做选择的致命碰撞时，自动驾驶汽车必须优先保护车主乘客的安全。反过来讲，如果自动驾驶汽车不优先保护车主乘客，那么它也就没有理由优先保护乘客，于是乘客优先原则就是错误的。那么，自动驾驶汽车能不能优先保护车主乘客呢？

请考虑下面三种涉及死亡的情形。〔28〕前两个例子来自如下作品：Kai Draper, “Rights and the Doctrine of Doing and Allowing” 33 Philosophy & Public Affairs 253（2005）.第一，英雄情形。假设一支被涂满致命毒药的箭正在射向张三，而你正在张三身旁，你知道除非你挡在张三面前，否则他必死无疑。此时，如果你这样做了，那么你就是舍己为人的英雄；但你什么都没做，于是张三最终被毒箭射死。第二，人肉盾牌情形。假设一支被涂满致命毒药的箭正在射向你，你知道除非有人挡在你的面前，否则你必死无疑；此时，张三正好在你的身边，于是你就将张三拉到自己的身前充当挡箭牌，最终张三因为中箭死亡，但你活了下来。第三，躲避（蹲下）情形。假设一支被涂满致命毒药的箭正在射向你，并且你的身后就站着张三，你为了自保而快速蹲下来，于是张三被这支毒箭射死。

在这三种涉及张三死亡的情形中，你要对张三的死负责吗？你的选择是道德上可谴责的吗？有两种情形的答案十分明显：在英雄情形中，即使你没有选择挡在张三的身前，这最多只能说你不是个英雄，但却不能说你需要为张三的死负责，他的死与你无关；在人肉盾牌的情形中，你却需要为张三的死负责，因为如果你不将张三拉到身前，那么张三就不会死。这两种情形，分别对应道德哲学中“制造和任由损害”（doing and allowing harm）的区分。〔29〕Kai Draper, “Rights and the Doctrine of Doing and Allowing” 33 Philosophy & Public Affairs 253（2005）.其中，在英雄情形中，你的行为最多只是任由损害（的发生），即你只是“任由”张三死亡；但是在人肉盾牌情形中，你的行为就属于制造损害，你的行为（将张三拉到身前）“制造”了张三的死亡。之所以要区分任由损害与制造损害，是因为在涉及“与你相关的死亡”时，任由损害发生具有道德上的可允许性，但制造损害却是道德所不允许的，因而是道德上错误的。

说了这样一段与自动驾驶看似无关的内容，是因为如果在“大树—车主案”中，优先保护车主乘客而导致其他乘客死亡的情形，属于任由损害的发生，那么它就是道德所允许的，因此优先原则就会成立；反之，如果其他乘客的死亡属于制造损害，那么就没有理由给予车主乘客优先地位。有一点非常清楚，以其他乘客的死亡来确保车主乘客的安全，显然不同于英雄情形中你的不作为。但这能否反向证明，它就等于你将张三拉到身前来代替自己的死亡？这就需要借助刚才还提到的第三种情形。如果优先保障车主乘客的安全更加类似你的躲避（蹲下）行为，而不是将张三拉到身前的行为，并且如果躲避情形只是任由损害的发生，那么优先原则也将具有道德的可允许性，它的成立就没有什么道德困难。

为什么会认为车主优先类似于躲避而不类似于人肉盾牌呢？主要是在外观上，张三是否“卷入”到毒箭的伤害中。非常明显，在人肉盾牌的情形中，只有“你”被卷入到毒箭的伤害中，如果你不将张三拉到身前，那么他绝对不会死，因为他并不在毒箭的线路上。但是在自动驾驶汽车发生只涉及乘客的碰撞时，所有的车内乘客都已经受到了碰撞的威胁，也可以说，他们都卷入到汽车碰撞的伤害中。问题是，躲避情形中的你和张三，也一同卷入到伤害中了吗？这看起来是矛盾的，一方面，站在你身后的张三，也在毒箭的行进线路上，所以可以说是卷入了；但另一方面，如果你不蹲下或离开，张三就不会被毒箭射死，所以他好像又没卷入其中。这个矛盾其实不难解决，所谓“卷入伤害”，指的是“卷入伤害事件中”，而不是“卷入事实上的伤害中”或者“就是被伤害者”。〔30〕Warren S. Quinn,“ Actions, Intention, and Consequences: the Doctrine of Doing and Allowing” 98 The Philosophical Review 292-293（1989）.由此就可以说，张三在躲避情形中的确“卷入”了伤害。

但这是否就能将乘客优先与躲避情形等同起来？还是不行。这是因为两者之间存在一个至关重要的区别：是否将另一方的死亡当作自己获得安全的工具？这个关键性的区别，体现在一个非常细微的地方，即张三或者其他乘客死亡时间的问题上。简单说，车主优先原则的结果，一定是其他乘客死亡之后车主才安全；但躲避情形中，却是你先安全，然后张三才死。〔31〕用专业一点的语言讲，由于你蹲下的举动，既不是发起也不是维系伤害，所以你的举动与张三死亡之间没有关系，所以它顶多算得上是任由损害发生。由于你的安全发生在张三死之前，所以他的死并不是你安全的工具；但是车主的安全发生在其他乘客死亡之后，所以其他乘客的死亡就是车主安全的工具。显然，在死亡与安全的先后顺序上或者说在是否将其他人的死亡当作你安全的工具上，车主优先更加类似于人肉盾牌而不是躲避情形；并且，由于人肉盾牌是典型的制造损害，所以不具备道德上的可允许性，那么车主优先同样也将是道德上错误的。如果在不涉及路人死亡的碰撞事故中，车主乘客并不具有相对于其他乘客的优先地位，那么优先原则就很难成立了。

七、三选项的电车难题

以上两节主要讨论的是：如果优先原则是成立的，那么乘客就在自动驾驶中具有特殊的地位，并且这会反映在未涉及无辜路人的碰撞中，车主乘客也应当优先于其他乘客获得保护。然而，由于搭车原则蕴含了车主对其他乘客安全的照顾义务，以及车主优先将会制造对其他乘客的损害，所以车主乘客的优先地位是缺乏根据的。

然而，对于后一方面的论证，存在一个貌似严厉的反驳：如果不将车主乘客的安全放置在优先地位，那么不就等于将车主的安全当作其他乘客安全的工具吗？因为在时间顺序上，这将导致车主乘客先死，其他乘客然后安全的结果；如果“其他乘客先死，车主乘客然后安全”是将其他乘客的生命当作工具，那么“车主乘客先死，其他乘客然后安全”就是将车主的生命当作工具，这同样也是道德上不允许的。这个批判是不是合理，要看反面的主张是什么。如果反对车主优先和乘客优先的目的，是为了得出“其他人优先”的结论，那么这个批判就是合理的；如果是为了得出“优先原则错误”的结论，那么这个说法就是不合理的。请一定注意第二节中的说法：与乘客优先对立的最小损害原则，不是要在可能的牺牲者之间选边站，而是要保持中立的态度；换言之，反对乘客优先，不等于承认“乘客之外的另外一方优先”。所以，这个反驳就是不合理的，因为它误解了最小损害原则的宗旨。

现在，就可以回到电车难题了。肯定有读者会困惑：为什么这篇讨论自动驾驶的文章，没有按照惯例谈论“电车难题”呢？尽管存在着关于“两者是否真的类似”的不同看法，〔32〕例如，Sven Nyholm & Jillis Smids, “The Ethics of Accident-Algorithms for Self-Driving Cars: an Applied Trolley Problem” 19 Ethical Theory & Moral Practice 1275-1289 （2016）.但电车难题的答案似乎对自动驾驶问题有所帮助。电车难题的标准情形有两个，一个是“司机”版本：一辆刹车失灵的有轨电车在轨道上疾驰，司机只有两个选择，要么保持前进方向，这将会撞死主轨上的五个人；要么改变方向，这将撞死支轨上的一个人。通常认为，在这种情形中，〔33〕并不是每种一人换多人的情形都是道德允许的——例如，杀死一个人并将他的各项器官移植给五个需要的人，以挽救这五个人的生命，这种做法被认为缺乏道德上的可允许性。司机转动方向撞死一个人以替代五个人的死亡，是道德所允许的。〔34〕Philippa Foot, “The Problem of Abortion and the Doctrine of Double effect”, in her Virtues and Vices, Oxford University Press, 2002, pp. 19-32.另一个是具有同样意义的“旁观者”版本：如果不是司机，而是一个可以改变轨道的旁观者，搬动了手柄使电车撞死支轨的一个人以换取主轨上五个人的生存，这种做法也是道德所允许的。

从这两个版本的电车难题出发，由于司机转动方向和旁观者改变轨道的行为是道德允许的，并且牺牲者只在五个人和一个人之间做选择，如果可以将自动驾驶汽车的乘客类比于电车司机或旁观者，他们就被率先排除于可牺牲者的行列，这就会得出“优先原则”所要求的效果。例如，在大树案中，由于情形一会导致一群人的死亡，而情形二只会导致一名骑手的死亡，所以查理应当按照情形二行事。由于优先原则也会导致情形二的结果，既然得出的结果是一样的，那么电车难题就被视为是优先原则的支持性理由。以上就是在自动驾驶汽车问题中讨论电车难题的主要原因之一。

然而，问题在于：电车难题是个“双选项难题”，而自动驾驶汽车碰撞问题是个“三选项难题”。这就存在两种可能：第一，如果自动驾驶碰撞问题可以化约为双选项的电车难题，那么乘客优先就获得了证明；第二，如果因为三选项和两选项的区别而无法做化约，那么电车难题就与自动驾驶碰撞问题没有关系。不过，在此之外，还存在第三种可能，这就是电车难题在本质上就是个三选项难题，〔35〕电车难题是三选项难题还是两选项难题，严重关系到答案的合理性。坚持它是个双选项难题的看法，参见F. M. Kamm, The Trolley Problem Mysteries, Oxford University Press, 2016, pp. 22-38.因此电车难题与自动驾驶汽车的碰撞就是同类性质的问题，并且前者的答案适用于后者，且它并不支持优先原则。

幸运的是，反复折磨道德哲学家几十年的电车难题，在2008 年被改进为同样问题结构的但却更为合理的三选项难题。〔36〕Judith Jarvis Thomson, “Turing the Trolley” 36 Philosophy & Public Affairs 364-371 （2008）.它的旁观者版本是这样的：一辆刹车失灵的电车高速行进，可以改变轨道的旁观者有三个选择：选择一，他什么也不做，这将导致主轨的五个人死亡；选择二，他搬动手柄将电车引向左边的支轨，这将导致一名无辜者死亡；选择三，他搬动手柄将电车引向右边的支轨，这将导致旁观者自己的死亡。它的司机版本类似：选择一，如司机什么都不做会导致主轨的五个人死亡；选择二，司机左转方向盘，这将导致左边支轨的一名无辜者死亡；选择三，司机右转方向盘，这将导致电车沿着右边支轨撞到一面墙并使得司机本人死亡。

由三选项的电车难题得出的答案有两个：第一，在旁观者版本中，由于道德并没有要求旁观者以自己死亡的代价拯救主轨上的五个人，因此也就没有理由要求以左边支轨一个人死亡的代价拯救主轨上的五个人，所以旁观者并没有理由改变电车轨道。换言之，除非道德要求旁观者以自己死亡的代价拯救主轨上的五个人（选择三），否则选择二就是道德所不允许的。第二，在司机版本中，由于司机本身就是威胁，因此他不但如同旁观者版本一样不能做出选择二，因为那仍然是道德所不允许的；而且，他还必须做出选择三，即以自己的死亡替代主轨五个人的死亡，如果必须得付出死亡这个代价的话。

现在，三选项的电车难题与大树案的三选项对应在一起了。并且，如果优先原则是成立的，那么它们将会得出不同的结论。在大树案中，优先原则在一开始就将乘客排除在死亡名单之外，所以它的最终结果就是牺牲一名无辜者（骑手）。然而，这个结论，一方面，与旁观者版本的电车难题不一致，因为其结论是不应当牺牲无辜者，除非有同样的理由牺牲旁观者自己；另一方面，它也与司机版本的电车难题不一致，因为其结论是应当牺牲卷入其中的司机本人。自动驾驶汽车中的乘客，要么被等同于纯粹的旁观者，要么被等同于传统的人类驾驶者（司机）；所以，它要么没有理由牺牲包括乘客在内的所有旁观者，要么只有理由牺牲司机。无论最终的结论是哪个，乘客优先获得保护的原则都必然是错误的。

八、结论

这篇文章是批判性的，它的目的只是为了证明，自动驾驶汽车的乘客优先原则是错误的，即使这个原则相当符合日常直觉。用来支持优先原则的市场论证，同样会将制造商排除在外，并且还会导致责任分配的不公平，所以它无法证明乘客的优先地位。用来支持优先原则的乘客论证，存在三个严重的难题：其一，它会与搭车原则矛盾，会不合理地放弃车主的必要照顾义务；其二，这会导致车主乘客以其他乘客的生命作为保障自己安全的工具；其三，改进的电车难题的答案也与优先原则矛盾。所以，乘客优先原则就是错误的，最小损害原则才是正确的；至于哪种最小损害的判断标准是成立的，就不是这篇文章的任务了。