自动驾驶汽车系统服务商的产品责任

自动驾驶系统是自动驾驶汽车的“心脏”，也是自动驾驶汽车区别于传统机动车的根本特征。当前，自动驾驶技术飞速发展，行业分工逐渐细化，形成自动驾驶系统发展新业态，拥有先进软件技术的自动驾驶系统服务商逐渐成为新主角。在行业发展中，自动驾驶系统服务商与最终出厂商逐渐形成多种合作模式：有系统服务商即为最终出厂商的“一体化模式”，也有系统服务商与传统车企共同出厂的“合作生产模式”，还有传统车企购买系统服务的“供应商模式”。

而很多自动驾驶汽车交通事故都是由于自动驾驶系统故障或算法缺陷造成的，这便涉及很多法律问题，例如自动驾驶系统可否适用产品责任，产品缺陷如何认定，如何证明自动驾驶系统缺陷与损害之间存在因果关系，不同合作模式下系统缺陷的产品责任主体是否有所不同，以及一般产品责任免责事由能否适用于自动驾驶系统服务商产品责任等。本文将就自动驾驶汽车系统服务商的产品责任问题展开研究，针对目前多种合作模式下自动驾驶系统服务商适用产品责任的挑战，尝试在既有法律体系框架内提出应对思路。

一、自动驾驶系统缺陷的判断

产品质量法第四十六条规定：“本法所称缺陷，是指产品存在危及人身、他人财产安全的不合理的危险；产品有保障人体健康和人身、财产安全的国家标准、行业标准的，是指不符合该标准。”也就是说，现行法律中对产品缺陷采用的是“不合理危险”与“不符合国家、行业法定标准”两个标准。由于目前在自动驾驶系统领域，尚未出台强制性国家标准，只能从“不合理危险”标准入手进行自动驾驶系统缺陷的判断。根据缺陷产生的原因不同，可将自动驾驶系统缺陷类型化为设计缺陷、制造缺陷、警示缺陷三种。

1.设计缺陷。自动驾驶系统中的设计缺陷是指自动驾驶系统的设计方案存在不足，导致生产出的同一类产品均具有危及他人人身、财产安全的不合理危险。设计缺陷是目前最常出现的自动驾驶系统缺陷。

在司法实践中，对自动驾驶系统中设计缺陷的判断，可将“不合理危险”进一步细化，以“消费者合理期待标准”进行衡量。该标准主张在正常使用的情况下，若产品不能满足消费者对产品安全的合理预期，则该产品具有缺陷。在自动驾驶系统领域，自动驾驶汽车的第一要义为安全，消费者对其合理期待是自动驾驶系统具有等同甚至高于人类驾驶员的操作能力，可以实现安全便捷的行车目标。故而若自动驾驶系统未能满足消费者对安全行车的合理期待，则应认定该系统具有设计缺陷。例如，自动驾驶系统易受侵入性攻击便是其设计缺陷的明显体现。若自动驾驶汽车因自动驾驶系统被第三人恶意入侵而发生机动车交通事故，应认定自动驾驶系统存在设计缺陷，此时自动驾驶系统服务商应承担产品责任。系统服务商承担责任后，可依据民法典第一千二百零四条的规定，向有关第三人追偿。

采用“消费者合理期待标准”，可有效降低受害人的举证难度，有利于受害人权益的保障。同时，使用该标准无需更多地披露消费者与驾驶有关的信息和自动驾驶系统的既有算法，有利于保护消费者的个人信息和自动驾驶系统服务商的商业秘密，更好地平衡消费者与自动驾驶系统服务商之间的关系，促进自动驾驶系统的良性发展。

2.制造缺陷。制造缺陷主要指设计与实物间的“偏差”。换言之，制造缺陷是制造商在生产过程中违反既定的设计标准或生产规格所导致的产品缺陷。在自动驾驶系统领域，制造缺陷主要体现在以下几方面：一是自动驾驶系统硬件部分。自动驾驶系统不仅包括控制系统，还包括诸如传感器、雷达等硬件，传感器、雷达等硬件进行外部信息的搜集，其作用堪称自动驾驶系统的“眼睛”。由于这些硬件是自动驾驶系统的组成部分，若硬件缺陷致自动驾驶系统难以发挥其原有设计作用，此时应认为自动驾驶系统存在制造缺陷。二是自动驾驶系统软件部分。软件缺陷多体现为设计缺陷，唯有一种情况下应视为其存在制造缺陷，即自动驾驶系统数据从系统生产者处迁移至单个自动驾驶系统中时发生的数据拷贝不完全或数据拷贝错误，并基于此导致自动驾驶系统与原有设计存在偏差。

3.警示缺陷。警示缺陷是指虽然产品设计合理，但由于缺乏足够的说明与警示而导致产品不具有合理的安全性能。在自动驾驶领域，警示义务具体包括：自动驾驶系统的参数配置方法、自动驾驶系统运行的前提条件及其局限性、使用人对于自动驾驶系统运行的监督观察范围、应对运行中自动驾驶系统失灵的方法、自动驾驶系统维护和升级的方法等。此外，除了告知自动驾驶系统的正确使用方法外，生产者还要对可预见的可能的错误使用或操作予以警示。同时，当时科学技术水平所能预见的自动驾驶系统的潜在风险以及规避这些风险的合理方法，也属于需要告知的事项。生产者未尽到或者未全面尽到上述告知义务的，可认定存在自动驾驶系统的警示缺陷。

二、因果关系中的举证责任

一般产品责任的因果关系证明通常采取“谁主张，谁举证”的证明责任规则，即应由消费者证明缺陷与损害之间存在因果关系，而生产者、销售者仅就是否存在免责事由承担举证责任。但自动驾驶系统具有高度专业性，且很多系统数据存放于生产者处，若要求受害人举证证明缺陷与损害之间具有因果关系，将导致其举证不能进而承担败诉风险。

笔者认为，在自动驾驶系统服务商产品责任案件中，对于因果关系的举证责任可采用最终结果“推定”的方式，即受害人只要举证证明：（1）存在损害；（2）产品存在缺陷；（3）并无产品缺陷外的其他原因，例如使用不当等，即可认为消费者已尽到证明责任，此时由生产者证明不存在因果关系。此种规则是基于生产者与消费者间的信息高度不对称、且生产者持有大量数据资料以及先进技术的现实情况，通过制度设计推动生产者回溯事故，促进案件事实的查清，同时有利于降低消费者的维权成本，维护消费者合法权益。

三、自动驾驶系统产品责任主体的确定

虽然产品质量法并未明确软件或算法能否被认定为“产品”，但目前司法实践中已有案例认为“软件”可适用产品责任。实务中的争议点为，自动驾驶系统的生产者应为最终将车辆投入市场的生产者还是系统服务商。对此，应视自动驾驶汽车最终出厂商与自动驾驶系统服务商之间的交易模式而进行区分处理。

目前，自动驾驶汽车研发模式可分为三种：一是车辆主体制作与系统研发一揽子解决的“一体化模式”；二是大型科技公司依托技术优势与传统车企的整车制造技术进行强强联合优势互补的“合作生产模式”；三是系统提供商仅作为供应商参与到自动驾驶汽车项目中，消费者购买自动驾驶汽车时并不知晓系统服务商的具体信息的“供应商模式”。

对于第一种与第三种合作模式，自动驾驶系统服务商并未“显名”，即在车辆中并未明示具体的系统提供商，此时应由最终生产商承担责任。主要理由有三个：一是自动驾驶系统也是自动驾驶汽车的一部分，自动驾驶系统与车辆发动机等一样，均为自动驾驶汽车不可分割的一部分，且正是自动驾驶系统的加入使得自动驾驶汽车具备了区别于传统汽车的显著特征。系统缺陷只是车辆故障的具体原因之一，最终投入市场的生产商应为此承担相应的生产者责任。

二是在此种情况下是由最终生产者对该车辆进行设计统筹及最终生产的全流程把控，与“合作生产模式”不同的是，第一种、第三种合作模式中系统服务商仅是提供自动驾驶解决方案，在合作中处于供应商地位，对最终整合产品无控制力。此时自动驾驶系统服务商不应作为产品责任主体。

三是最终生产商在进行赔偿后，可依据其与系统服务商所签订的合同或已有约定进行追偿，其权益也可得到维护。综上，在系统服务商仅进行自动驾驶系统方案设计且未在车辆及宣传材料中存在明显标识、传统汽车制造商进行最终生产销售的模式下，应由最终生产商承担生产者责任。

对于自动驾驶汽车系统与最终生产商处于平等的合作模式之下，自动驾驶系统服务商在车辆上具有明显标识，两者通过“强强联合”进行自动驾驶汽车的生产与销售行为，自动驾驶系统服务商应承担产品责任。换言之，自动驾驶系统服务商应就系统缺陷与最终生产商承担不真正连带责任。主要理由为：一是此时系统服务商已摆脱传统意义上的“零部件供应商”地位，获得了对最终产品的一定控制力。二是《最高人民法院关于产品侵权案件的受害人能否以产品的商标所有人为被告提起民事诉讼的批复》已经明确：“任何将自己的姓名、名称、商标或者可资识别的其他标识体现在产品上，表示其为产品制造者的企业或个人，均属于《中华人民共和国民法典》和《中华人民共和国产品质量法》规定的‘生产者’。”根据该批复，在车辆上进行明确标识的系统服务商也应被视作生产者，承担相应的产品责任。此种安排基于司法实践现状，赋予“合作开发模式”下的自动驾驶系统服务商与最终出厂商相同的法律地位，要求其承担产品责任，为消费者维权提供更多的选择权。

同时，通过针对不同合作模式分设不同的责任承担制度，有利于更好地引导自动驾驶行业发展，促进行业技术升级与改进。

四、严格限制免责事由的适用

产品质量法第四十一条规定生产者享有三种免责事由：一是未将产品投入流通的；二是产品投入流通时，引起损害的缺陷尚不存在；三是将产品投入流通时的科学技术水平尚不能发现缺陷的存在的。

第一种免责事由“产品尚未投入流通”，系指该产品尚未被投入市场，例如该自动驾驶汽车仅在内测阶段。在自动驾驶系统服务商产品责任的司法实践中，该免责事由争议较少，在此不再赘述。

第二种免责事由“产品投入流通时尚无缺陷”，系指生产者在将产品投入流通时并不存在缺陷，缺陷可能是由于后续销售者在销售过程、产品在投入运输过程、消费者在使用过程的不合理行为等原因所致。在自动驾驶领域，该项免责事由的特殊性在于，生产者能否以自动驾驶的“深度学习”特性为由，主张在产品投入流通时尚无缺陷，后续缺陷是由于消费者使用过程中系统的深度学习所致？对此，笔者认为，不可否认，自动驾驶系统的深度学习可以实现通过消费者的使用行为对系统进行一定的变更。但应注意的是，自动驾驶系统是由生产者（最终出厂者、系统服务商）设计的，生产者可通过算法预先设置相应的“行为清单”，规定自动驾驶汽车应为或不应为某些行为，诸如自动驾驶汽车应严格遵守交通规则，或自动驾驶汽车不得危害行人安全等，即使自动驾驶汽车进行后续深度学习，也不得变更既有的逻辑规则。由此出发，在司法实践中可将“产品投入流通时的缺陷尚不存在”这一免责事由进行限缩解释，只有缺陷明显是由使用者或销售者的不当行为所致时，生产者才可主张该免责事由。

第三种免责事由“将产品投入流通时的科学技术水平尚不能发现缺陷的存在”，又称发展风险抗辩。发展风险抗辩作为免责事由，可在一定程度上缓和产品责任的严格责任属性，通过引入现有科技水平来划分合理风险与不合理风险，平衡自动驾驶领域生产者与消费者间的利益，实现保护消费者合法权益与鼓励技术创新的双重目的。由此，在自动驾驶系统缺陷产品责任中，也应适用发展风险抗辩。但在实践中，应注意以下几点：

一是发展风险抗辩仅适用于设计缺陷与警示缺陷。制造缺陷是制造过程中的问题，与系统所用的科学技术无关。

二是“产品投入流通时”的判断时间点，应进行广义解释。一般而言，“产品投入流通时”是指产品初次投入流通，即生产者将产品投入市场。但在自动驾驶系统领域，与传统产品不同的是，自动驾驶系统会基于使用数据的不断扩大、算法设计的不断优化等原因进行升级，较之之前版本，新系统已发生很大变化，此时应理解为系统服务商将新的“产品”投入市场。换言之，系统升级的时间也应被认定为“产品投入流通时”。

三是“最高科学技术水平”的标准，即自动驾驶汽车生产者必须采用最先进技术水平仍不能发现缺陷存在。采用此标准可有效避免生产者利用行业惯例水平逃脱产品责任，也可促使生产者以最高标准为参照，积极进行技术升级，更有效地减少产品事故的发生。

（作者单位：苏州大学）