内容摘要：自动驾驶汽车的发展让紧急避险权获得了一个新的视角。本文讨论了自动驾驶汽车的紧急避险权的相关案例，并就其合法化和免责问题提出了若干解决方案。

关键词：自动驾驶 紧急避险 合法化 免责

一、老问题的一个新视角

献给瑙曼(Ulfrid Neumann)的这篇文章，是要向他的学术研究工作致以亲切的问候和崇高的敬意。瑙曼一直孜孜不倦地研究刑法中的紧急避险问题。[1]对这个数世纪以来一直讨论的“悲剧性选择”及其刑法后果的问题，现在可能还没有真正地找到新的根本性思想，因为2001年九一一袭击事件以及旧版《航空安全法》第14条第3款[2]在法律上解决恐怖主义劫机的失败尝试，使这个主题的出版物大大增加了。[3]

“自动驾驶”汽车的发展，确实让紧急避险权获得了一个新的视角。“自动驾驶”汽车，是由预先安装的不同(自动)程度的算法而不是由坐在驾驶位的人来操控的、在交通线路上行驶的机动车。[4]这里的问题是：应当怎样来处理多人陷于危险而没有可能把所有人救起的情形。这些问题情形的典型是威尔泽尔(Welzel)所构想的“扳道工案(Weichensteller-Fall)”。[5]迄今为止，这些问题一直是在一个人必须突然并毫无准备地对他人的命运作出决定这个视角下讨论的：货列快速向一群人而来，扳道工必须在数秒之内搞清楚：他是听任货列冲向这群人、不管不顾，还是把火车转轨让其冲向本不涉此险情而正在另一轨道上工作的扳道工(他自己可能因此受到刑罚处罚)。对于完全自动控制的汽车而言——尽管它的实际投入使用还不现实，但已经是下面讨论的基础了——当此危机惊现，车上的乘客无论如何都不再有任何决定可能性；车驶向何方，(车置)编程早就设定好了。由此，刑事可罚性的可能性，就从驾驶人员转移到给汽车预置了操控算法的别的人员，即编程员、生产者以及经销商，这里的每个人都明知其编程而研发和营销这种汽车并让其上路。[6]为行文简便计，这些人在下文中总括于“生产者”[7]这一概念下。

二、问题案例

我们假设生产者有责任心，他想给汽车编程，即使存在危急情形行驶也不违反刑法规则。他就要考虑：对于能够想到的一系列碰撞(冲突)情形，应当给汽车设定什么样的反应。原则上，当然是给汽车安装编程以便它能以最快的路径到达给定的目标；与此同时，又能避开障碍而不危及乘客(以及其他由于冲撞所涉及的人)的健康和生命。不过，对于如下的情形，则可能要求修正这个基本规则：

1.失去意识的X躺在了车道上，车若撞上去，就会轧死他。[8]但该车(别无选择)只能[9]以此方式才能避开他：驶向并轧死不在专用车道(而在人行道)上的行人Y。

2.如上例1，但有两个失去意识的人(X1和X2)倒在了车道上，车若撞上去这两个人都会被轧死。

3.失去意识的X倒在了车道上；车只能以此方式才能避开他：迎着一面水泥墙开去，因而车上的乘客P被撞死。

为了能够给这种汽车在这些设想到的冲撞情形设定合法的预案，生产者将会首先以人驾驶汽车时实际遇到的类似情形的解决办法为标准：方向盘前的人所作的行为决定，如果是法秩序所允许的，那么相似设计的算法所导致的决定肯定同样是合法的解决办法。

三、可能的解决办法(一)合法化

1.汽车驾驶人员的紧急避险

对于在案例1的冲撞情形中的驾驶人员来说，一般会认为：汽车打转向而轧死行人Y，根据德国《刑法典》第34条，无论如何都不能合法化；而这个结论就来自这个规范的条文：只有权衡冲突的利益，“所保护的利益明显重大于所损害的利益”，这个规范才给予(行为)合法化。没有任何方面的理由能够支持这个假设：X的生命比Y的生命更值得保护。只有当无过错陷入冲撞(冲突)情形的驾驶人员，对(不可能刹得住的！)汽车的驶向不予干预，而是向X轧去，他(别无选择、只能如此)的行为才是合法的。

此外，在案例2的情形——两个人(X1和X2)可能得救——德语文献中占绝对优势的观点反对把驾驶员的如此行为合法化：驾驶员把方向打向Y，而Y的死保全了两条性命。[10]为了论证这个与直觉相悖的结论，所提到的论据主要有两个：其一是，除在德国《刑法典》第34条明文规定的情形外，不作为义务(“不许杀人！”)比作为义务(“救X1和X2!”)更为重要；[11]其二是，每个人的生命都有最高价值，不可以用他人的(包括生命)利益为对价来进行“结算(换算)”。[12]

不过，这些论据并不是不可反驳的。至于(同等级的法益方面)不作为义务原则上优先于作为义务，有人质疑的正是：在德国《刑法典》第13条的适用范围内，立法者把这两种义务做了原则上同等重要的看待。[13]根据第13条，人们可以推导出保证人有既可履行作为义务也可履行不作为义务的选择权：比如，扳道工看见自己的小孩因驶近的货列而有生命危险而把火车转轨向另一轨道上作业的扳道工的行为，肯定是容许的(或者至少不存在禁止)；另一方面，也不禁止他牺牲自己的小孩放任火车开过来。[14]

不过，反对——即便在我们的第2个案例中——这种自由主义的解决办法的，是禁止对人生命的“结算(换算)”，这种禁止的最终原因是人的尊严这一基本原则。[15]不过，针对这种每个人的生命绝对不可触犯，赫恩勒(Hoernle)——根据英美国家完全支持人的生命可以在量上进行权衡的观点[16]——正确地否定了国家有尽最大可能有效保护每个公民的生命的责任；[17]此外，所有的人有同等价值这一《基本法》第1条第1款背后的思想，也考虑了比较存活者数量的情况。[18]

瑙曼(Ulfrid Neumann)反对对人的生命进行数量权衡，和别的学者一样，他主要是基于这样的考虑：法不能要求人为他人而牺牲自己的生命。[19]此外，他还认为这里关乎的不是人命的结余，而是关乎每个人的生命利益；多个人生命的丧失，即便能叠加出一个总损失来，也不可能存在一个承担总损失的总主体。不是每个人生命(不可估量)的无限价值，而是不允许对许多条人命相加，阻止了多条比一条人命更重的可能性。[20]

然而，在悲剧性选择的情形，为什么不应“允许”这种相加，还有其他的论证。与瑙曼(Neumann)在结论上相一致，策莫曼(Zimmermann)就提出了一个(被认为有说服力的)与这个复杂问题的当前解决相反的办法，[21]他指出：一个人虽然能确定，是他的出行自由还是他对汽车的财产权价值更高；但是对一个人来说，“多条生命的拥有、保有或者丧失”，不可能是“任何可获得的增值”，这样，具体的个人就不可能考虑“无知之幕背后”的利益比较。[22]确实，谁也不可能认为自己有多条性命，并据此做出选择，在本文所述的相关情形中也同样如此。在不确定的情形下，具体的个人必须就保全自己唯一的生命做出选择：他属于可能要做出牺牲的较小的群体，还是属于要受到救助的较大的群体。在这个问题上，他能够权衡机会与风险。[23]不得不承认，在进行这种计算(盘算)时很难发现救助机会和被害风险之间可用数字表达的确定比例关系，在此关系中，可以期待的是多人(与他们伴随的肯定是不同的风险和被害人意愿)的共识：可以把这种比例关系规定为一项有约束力的规则。但是，如果人们为了让一万人获救，必须杀死一个人，那么，严格的禁止权衡以至放任一万人去死，也可能在虚拟的谈判中由最少数的(无论如何都不是理性的)参与者达成契约表示同意。[24]为合法化的紧急避险所做的权衡，在什么范围和程度上也能适用于自动驾驶汽车的编程？在思考这个问题之前，我们还应当观察一下“防御性紧急避险”的特殊情形。如今，大多数学者肯定了在此情形为救另一个人(或者行为人自己)而牺牲一个人的合法性，只要不存在其他的选项。[25]根据没有明文规定的防御性紧急避险规则，一个人(即便不是由于违法的行为)若是他人生命的危险源，就可以牺牲这个人。[26]自动驾驶汽车也可能遇到这种情形，比如，案例3中无意识晕倒在道路上的人，若被看作对(清除)乘客P的危险负有责任，在此情形就允许车子轧过晕倒在道路上的X，因为若不如此，死的必定是P。但是，这种“负有责任的问题(管领问题)”，其决定也取决于规范上的权衡，[27]可能很难预先予以确定并把对此情形的反应设定在汽车的算法中。处在(自动驾驶)汽车车道上的X，究竟是由于自我责任的醉酒，是由于突发心梗，还是一名执勤警官，汽车的传感器根本不能确定。因此，在汽车的编程中就描写不出防御性紧急避险的特殊前提条件。

2.生产者的紧急避险

正如我们已看到的，紧急避险情形驾驶人员突出地面临这样的选择：要么让事件自然地发生，要么控制性地采取措施(避开)。因为法秩序一般会优先维护现状，[28]鼓励在冲突情形中的驾驶员不要主动而动，而要履行其不作为义务；只有当他通过其行为能够保护明显大于所损害的利益时，《刑法典》第34条才允许他“通过自己的行为决定参与者的命运(Schicksal zu spielen)”。

负责自动驾驶汽车的编程的生产者，则处于另一番境地：从生产者来看，根本没有汽车采用的“自然”道路，也不存在他可以或者必须听其自然的“命运”。同样，几乎不存在一个处在危险中的人和另一个处境安全的人(并且因此他的利益可能享有优先权)。生产者更多的是自行创设汽车将会遵守的规则，并以此把生存机会分配给之后偶遇的人。因为，根本不存在“本质上”预先标识的、汽车本该采用的并且必须通过“转向(方向舵：Lenkimpuls)”才能驶离的道路，[29]它也不是——如希尔根多夫(Hilgendorf)所说的——“系统选择决定之前，生存机会就已进行了不均匀分配”。[30]因为“这个系统”选择决定的只是什么是符合生产者预先安装的算法的。也就是说，所涉人员的生死在生产汽车之时就“在无知之幕后”选择决定了，而且在此阶段已分配了生存机会。[31]

与此相反，恩格兰德(Englaender)认为，作为驾驶员的人的决定情形和自动驾驶汽车的编程人员的决定情形没有任何区别，因此主张对这两者适用同样的刑法规范。这是因为：首先，在规则设定(安装、确定)时，就已选定了这两个情形中的正确行为；其次，一旦出现特定的两难困境并适用规则时，就确定了这两个情形的角色分配。他认为，虽然驾驶员还能够规避规范上给出的决定准则，但这就相当于：自动驾驶汽车由于某个缺陷而不能正确执行编程预设(给定的规则)。[32]然而，在我看来，这种论据没有清楚地认识到：对情形的判断，关键的并不是规则的存在(或不存在)，而是事件流程的事实性(实际)控制操纵。传统汽车的驾驶员通过判例或许知道德国《刑法典》第34条及其解释，也或许不知道；但这并不关键，把我们前面案例中刹不住的汽车转向行人Y，是由司机“亲手”控制的。假若他这么做了，他并没有偏离“编程”，这或许正如有缺陷的自动驾驶汽车，于两难困境中，在两种糟糕的解决办法中选择了其一。这也就解决了恩格兰德(Englaender)的第二个不同意见：汽车的生产者在根据抽象特征编程的时候，就已经决定了在所预见的冲突状况中应当牺牲哪个人或者哪一些人；相反，驾驶员看见的是眼前的人，并且他要根据具体的情形，作出自己的决定。

3.义务冲突

鉴于决定情形之间的重大差别，德国《刑法典》第34条的规则不宜适用于自动驾驶汽车，因为这个规则是为在“自然出现的”生命危险和由行为人新引起的生命危险之间做选择所设置的。[33]其实，自动驾驶汽车的生产者处于可以称作两种(假定的、尚在遥远的未来的)不作为义务冲突的情形：根据一般的杀人禁止，生产者既不可以给汽车这样编程：轧死X(或者X1和X2)，也不可以这样编程：轧死行人Y。但是，生产者必须对此冲突的情形向汽车提供某种解决的办法，因此生产者就处在一种不可避免的义务冲突之中。[34]对此情形，瑙曼(Ulfrid Neumann)早在2001年[35]就提出了正确的解决办法：这里不适用德国《刑法典》第34条，因为这个规定的前提是作为义务(Handlungspflicht)与不作为义务的冲突，而可以适用的则是对两个作为义务的冲突所提出的规则。根据作为义务冲突的解决规则，当生产者履行了较高等级的义务，行为人的行为就可以合法化；[36]如果这些义务——正如在我们的案例1中一样——是相同等级的，那么，行为人就可以在其中做任意选择；只要他履行了两个义务中的一个，[37]就没有实现任何不法。[38]

对于生产者，这就意味着，他必须给自动驾驶汽车如此编程：在案例2的冲突情形，驶向行人Y，而不轧到地上躺着的X1和X2。[39]对于案例1——在此情形必须牺牲两个交通参与者中的一个——对于此一驶向，还是另一驶向，法律上根本没有预先规定；在此正确的做法或许是，把这种“决定”交给随机生成器(随机生成程序)。[40]

下来要考虑的就是案例3，活下来的只可能有一个，要么是躺在车道上的X，要么是车上的乘客P。对于生产者，两个互斥的不作为义务还是在此碰到了一起：生产者既不可给汽车如此编程：牺牲(乘客)P，也不可如此编程：轧死X。在此人们想必也会认为：这个冲突情形也应当交给随机生成器解决。

其他优先规则的论据，也被引入了讨论：比如，希尔根多夫(Hilgendorf)就要求[41]给汽车如此编程：“在所有情形下都要保护车上的乘客”。如果汽车向地面上的一群人驶来，“无论是伦理上还是法律上，都不要求毁掉驶临的汽车(比如通过转向而撞向水泥桩，或者通过自我破坏的自毁机制)，即便获救的人数超过受害(乘客)的人数”。[42]对于这个结论，希尔根多夫(Hilgendorf)是以存在一种“对称的危险共同体”以及这样的思考来论证的：车上的乘客没有义务牺牲他们自己的生命。此外，安装“自毁机制”的义务，无论是对于这种汽车的生产者还是使用者，几乎都是不可期待的。[43]与此相反的是格雷斯(Gless)和闫娜尔(Janal)的观点：[44]对于自动驾驶汽车，编程员们面临的问题是：他们是应当认可乘客的活命意愿呢(站在乘客的活命意愿这边呢)，还是应当接受客观上理性权衡的观点。对于后者，所说的是这样的权衡：机器人汽车(Roboterauto)的乘客已经享有了(便利和)好处；“为什么在紧急状态时他们还可再次让(没有参与道路交通的)第三者为他们的技术优势承担代价呢？”

事实上，支持希尔根多夫(Hilgendorf)要求的有利于乘客的优先规则的，首先是经济原因：这个优先规则会明显提高自动驾驶汽车的销售机会，而为迫近的碰撞情形安装的自毁机制，绝不可能是促销的特别细节配置。相反，从规范的观点看，对自动驾驶汽车，根本没有令人信服的理由来如此编程：即便必须为此牺牲不特定(任意)大多数他人的性命，在任何情形下仍要绝对保护乘客。当然，乘客也没有“自我受害”的任何法律义务——而且，在自动驾驶汽车里，也不要求他们有任何这样的决定。另一方面，他们知道所安装的算法(运算法则)(或者至少他们可能被告知了这个方面的信息)，并且明知使用“机器人汽车”时伴随着什么样的风险。他们不能指望自动驾驶汽车提供他们(其他的)各种舒适之外，还为其在冲撞情形下提供绝对的生命保障。

无论如何，对于必须预先考虑两难困境的生产者来说，在编程的时候起决定作用的不可能是客户关系，而只能是所涉被害人的数量。[45]这就是说：必须如此来安装汽车，在只有自毁才可避免与车外的人相撞的情况下，必须对车外要撞上的人数与陷入生命危险的乘客人数进行权衡。如果生命受到危险的“外面的”人数多过乘客，那就必须牺牲乘客。对于人数相同的情形——根据上面提出的规则，在此情形由行为人自由决定——人们毕竟乐意安装乘客优先的编程。

(二)免责

最后，还应当简要地问一下：对于否定了合法化的情形，是(有帮助的)免责的紧急避险的基本原则(德国《刑法典》第35条)还是超法律的免责的紧急避险基本原则，可以适用于这里关注的两难困境？不过，这在原则上就是可疑的(不确定的)，因为在此肯定不涉及驾驶员的这种情形：如果该驾驶员试图自己活命或者保全自己的健康而牺牲他人，法秩序可能会宽恕他；[46]而自动驾驶汽车的生产者并不处于这样一种已现实存在的紧急状态。对于生产者来说，这种汽车的买主(无论如何)也不是德国《刑法典》第35条意义上“有亲密关系的亲近之人”。[47]

但是，可以考虑的是，在具体的两难困境中给定的超法律的免责的紧急避险的“前效应”，这种紧急避险绝大程度上可以认作是德国《刑法典》第35条的类推。[48]不过，这个法概念，虽然在为救许多人的生命而击落被劫持的民用飞机的语境下得到了详尽讨论，但并没有形成鲜明的轮廓。尤其有争议的是：它是可以适用于所有“悲剧性选择(tragic choice)”的情形，[49]还是只可适用于不对称的危害情形，即部分当事人不可避免地丧失生命的情形。[50]只有当人们认为是第一种情形时，这里才考虑超法律的免责的紧急避险，因为正如在有了许多讨论的“(渡船)船夫案”[51]中，自动驾驶汽车与行人冲撞的时候，原则上(涉及的)当事人每个人都有可能得救——只不过不是所有人；即所涉及的是一个“对称的”紧急避险状态。事实上，一些学者主张：当没有过错的行为人自己面对一种情形：为挽救(明显)更多[52]数量的其他人，他必须不可避免地牺牲掉一个或多个人时，就要类推适用德国《刑法典》第35条。因为对行为人而言，要帮助需要救助的人这个内在的、无私的意愿，可能和对于自己亲属的救助义务一样迫切，而履行救助亲属的义务本身，根据德国《刑法典》第35条就能免除牺牲无辜第三者的责任。在此情形，既要救许多人的性命，同时又不牺牲任何人的性命，对于行为人来说，可以看作是不可期待的。[53]

对于驾驶员，也可能出现这种例外情况。恩格兰德(Englaender)构想了这样一个案例：若一辆大货车撞上一辆校车，会撞死许多小学生。驾驶员只有把大货车开上人行道，牺牲道上的行人，才会防止撞上校车。[54]但是，即便在此情形中承认大货车驾驶员是超法律的免责的紧急避险[55]——那么给自动驾驶的大货车预先安装了相应编程的生产者，也能以此免责事由作为自己免责的根据吗？反对的观点认为：生产者本人，并没有处在危害行为(轧死行人)和危害更大的不行为(撞上校车)之间迫在眉睫的良心冲突；[56]对于生产者来说，汽车的编程更多的是在各不相同而且完全抽象的人之间，以冷静的考虑分配尚在远处的生存机会。

尽管如此，还是可以把超法律的免责的紧急避险基本思想用于这种汽车的生产者：正如在特定情况下不可能期待大货车驾驶员“出于原则”而不采取为拯救多数人而牺牲一个人的措施那样，相应的汽车编程，对于生产者同样是不可期待的——因为他必须肯定：他注意到了，在两难困境中许多人必死无疑，尽管他们(如果以一个或者少数人的性命为代价)原本可能得救。[57]因为超法律的免责的紧急避险处在合法化的门槛—只是不被“禁止计算人命”这一主流观点所认可——在更为宽容的观点中，预先对不可期待情形中的合法决定加以编程，其本身已经可以被视为得到允许了。[58]

结　论

这些思考支撑起了上面所发现的自动驾驶汽车编程规则的可信性，这些规则简要

总结如下：

1.如果只存在这样的选择：要么(致命地)撞上较少数的人，要么(致命地)撞上较多数的人，那么要选择撞上尽可能少数人的路径。这也适用于冲撞及于车上乘客的情形。

2.如果只存在这样的选择：必须(致命地)撞上若干人数相同的人群中的一个，那么汽车的冲撞路径应听天由命。如果相撞的若干人群中有一个人群是车上的乘客，那么采取的就应当是不牺牲乘客的冲撞路径。

作者：托马斯·魏根特，德国科隆大学法学院刑法学和刑事诉讼法学教授。樊文，中国社会科学院法学研究所刑法研究室副主任、中国社会科学院国际法研究所国际刑法研究中心主任。

来源：《中国应用法学》2019年第4期，本文注释因排版原因略去，完整版本请查看原文。敬请谅解！