汽车智能化的道路_智能汽车、自动驾驶汽车安全监管研究
汽车智能化的道路：智能汽车、自动驾驶汽车安全监管研究
翁岳暄 〔德〕多尼米克·希伦布兰德
摘 要：近年来，“功能汽车”正呈现出向“智能汽车”逐渐进化的革命性趋势，其原因在于智能汽车对非结构化环境的高适应性。从安全监管角度来看，功能汽车的车用电子控制系统具有高度可预见性，因此功能汽车之ECU嵌入式控制单元对于环境的理解程度十分接近地面实况。然而，德国TüV安全认证机构的研究报告指出这一切将可能不再适用在智能汽车上面，特别是当驾驶辅助系统开始展现一些（半）自动行为以后。除“智能汽车”之外，无人介入的“自动驾驶汽车”亦将引发更多关于安全监管和道德伦理等问题，因此有必要以自动化伴随的“开放组织风险”为中心，来贯穿这股科技变革的起点（“智能汽车”）和终点（“自动驾驶汽车”），并分析其潜在安全隐患以及治理之道。
关键词：智能汽车；自动驾驶汽车；开放组织风险；安全监管；机器人法律中图分类号：U492.8；文献标识码：A；文章编号：1003-9945(2014)04-0632-24
作者简介：翁岳暄(1981-)，欧盟FP7机器人法律项目专家组法律顾问(中国)，北京大学互联网法律中心项目官员，法学博士；主要研究方向：知识产权战略研究、专利法、网络法、法律信息学、机器人与自动化安全监管。
〔德〕多尼米克·希伦布兰德(Dominic Hillenbrand)，日本早稻田大学理工学术院笠原博德研究室洪堡-JSPS外国人特别研究员，德国卡尔斯鲁厄理工学院工学博士；主要研究方向：嵌入式系统、低功耗计算、计算机架构、系统软件开发、可重构系统。
632
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
目 次
一、汽车的智能化 634
二、政策视角下对智能汽车、自动驾驶汽车的安全监管分类 637
三、开放组织风险产生的汽车安全监管隐患 640
（一）“授权控制”—自动驾驶汽车 641
（二）“共同控制”—先进驾驶辅助系统 643
四、综合讨论：“黑匣子”事故记录器与汽车安全监管 650
633
科技与法律2014年第4期
一、汽车的智能化
随着时间的推移，计算机逐渐从独立单机转换为便于携带的智能手机、平板电脑与其它嵌入式系统，而现代生活中的许多机械物件早已由这些系统负责操控。以汽车为例，每一部汽车约有介于50至100个嵌入式控制单元（Electronic Control Unit，以下简称ECU），这些车用电子控制单元不仅负责控制车窗升降的电动马达，也控制启用安全气囊以及车辆稳定的电子安全系统。近年来我们正目睹当代“功能汽车”(Feature Car)逐渐进化为“智能汽车”(Smart Car)的潮流，而这股革命性趋势的原因就在于智能汽车对非结构化环境的高适应性。
从安全监管的角度来看，功能汽车的车用电子控制系统具有高度可预见性，例如，部分电子稳定控制系统在相关物理模型被充分理解同时装配精确传感器读数之前提下其安全性容易被验证，因此功能汽车之ECU嵌入式控制单元对于环境的理解程度十分接近地面实况(Ground Truth)。然而，德国TüV安全认证机构的研究报告指出这一切将可能不再适用在智能汽车上面，特别是在当驾驶辅助系统(Driver Assistance Systems)开始展现一些（半）自动行为以后。1今日的驾驶辅助系统的性能表现已经达到相当高的水平，例如日产汽车的智能防撞机能2与奔驰汽车的自动刹车系统，3后者甚至已能随时付诸生产线进入市场。而为了能够实现这些（半）自动行为，必须使ECU嵌入式控制单元理解自由流动的交通的动态，而对比目前汽车使用的传感器包含摄像镜头、雷达、激光雷达（Light Detection And Ranging，简称LiDAR）、超声波，以及上述传感器的组合来采样周遭环境的数据。
1.See Bernd Spanfelner, Detlev Richter, Susanne Ebel, Ulf Wilhelm, Wolfgang Branz, CarstenPatz
(2012) Challenges in Applying the ISO 26262 for Driver Assistance Systems, T ec. R ep. 1 (2012), http://www.ftm.mw.tum.de/uploads/media/28_Spanfelner.pdf (last visited Mar. 10, 2014).
2.See VikneshVijayenthiran, Watch Nissan’s New Autonomous Safety System in Action, W ash. p osT
(Oct. 17, 2012), https://www.360docs.net/doc/963429731.html,/cars/watch-nissans-new-autonomous-safety-system-in-action-video/2012/10/17/5061beb2-184a-11e2-a346-f24efc680b8d_story.html (last visited Mar. 10, 2014).
3.See M eRcedes-B enz, pRe-saFe? B Rake: T he a nTicipaToRy B Rake, https://www.360docs.net/doc/963429731.html,/dc
com/0-5-1210220-1-1210348-1-0-0-1210338-0-0-135-0-0-0-0-0-0-0-0.html (last visited Mar.
10, 2014). See also VikneshVijayenthiran, Mercedes-Benz Celebrates 10 Years of Its PRE-SAFE Technology,M https://www.360docs.net/doc/963429731.html,, https://www.360docs.net/doc/963429731.html,/news/1081418_mercedes-benz-celebrates-10-years-of-its-pre-safe-technology (last visited Mar. 10, 2014).
634
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
和功能汽车搭配的电子稳定控制系统所需数据（“转向角度”与“车轮转动速度”）相比，智能汽车所使用的数据还需另外经过一道高阶诠释判读的程序，而且对数据的诠释是交由软件来处理的，4在数据诠释的基础上软件进一步做出对不久将来的预测以及规划相应的行动。5这些变量是多种多样的，其中也包含了理解驾驶的意图和对其他驾驶行为的预期。以智能防撞机能为例，特别是在高速运行情况下很明显地规划的错误或对传感器读数错误的诠释解读将为交通驾驶与乘客招来致命的结果，最糟的情况甚至驾驶辅助系统可能促使或直接导致交通意外事故。
这些情景也衍生出许多新问题，例如“是否可能判断车辆在事故中所占有的失误比重”、“谁应当承担责任”。除了这几个问题之外，半自动系统也伴随着一些道德伦理的问题。2013年11月马自达CX-5 SUV在一场户外自动防撞安全系统测试的过程中出现失误，撞上一旁护栏，造成车上2人受伤送医。67和马自达的“第二类错误”(False-Negative)事件相比，丰田在2012年则出现过另一起关于自动制动系统“急刹车”的“第一类错误”(False-Positive)。当系统侦测来自旁边车道车辆车体反射的散射波时可能错误地判断前方有障碍物，而自动地启动制动功能。8
除了半自动式主动安全系统“智能汽车”之外，无人介入全自动的“自动驾驶汽车”(Robo-Car)也将引发更多关于安全监管和道德伦理等问题。谷歌在2010年宣布他们的自动驾驶汽车项目，他们相信开发无人驾驶车将会是一种有
4.See NicoKaempchen, Klaus C.J. Dietmayer, Fusion of Laserscanner and Video for Advanced
Driver Assistance Systems, ieee i nT’l c onF. on i nTelligenT T Ransp. s ys. 103, http://vts.uni-ulm.de/docs/2007/5958/vts_5958_7991.pdf.
5.S ee Meng Lu, KeesWevers, Rob van der Heijden, Technical Feasibility of Advanced Driver
Assistance Systems (ADAS) for Road Traffic Safety, 28 T Rans. p lanning & T ech. 167, 167-168 (2005), https://www.360docs.net/doc/963429731.html,/doi/abs/10.1080/03081060500120282.
6.See Unsigned Editorial, Mazda's SUV with Auto Stop System Crashes in Test D rive, Injuring 2,
n https://www.360docs.net/doc/963429731.html,, https://www.360docs.net/doc/963429731.html,/html/newsdesk/article/105328.php (last visited Mar. 10, 2014).
7.See マツダ新車試乗会で事故＝ブレーキ自動制御機能の体験中－フェンス衝突、2人け
が、時事ドットコム(Nov. 11, 2013)，https://www.360docs.net/doc/963429731.html,/jc/zc?k=201311/2013111100676 (last visited Mar. 10, 2014).
8.See Unsigned Editorial, Toyota R ecalls 20,000 Crown, Lexus Cars Over Flaw, M aRkeT
W aTch, https://www.360docs.net/doc/963429731.html,/story/toyota-recalls-20000-crown-lexus-cars-over-flaw-2013-06-26 (last visited Mar. 10, 2014).
635
科技与法律2014年第4期
效提升行车安全与效能的解决方案，例如自动驾驶汽车的投入应用有减低交通事故的死亡率的潜在可能性。9直到2012年8月，谷歌的自动驾驶汽车已达成30万英里零事故的纪录。10
在欧洲，2010年意大利帕尔玛大学(University of Parma)VisLab实验室发起了VIAC(VisLab International Autonomous Challenge)自动驾驶汽车挑战。他们组织一列车队在2010年7月20日这一天由帕尔玛出发，其中4辆车搭载GPS与GOLD 障碍物与车道侦测系统以支持在公共道路的自动驾驶，经过13,000公里的漫长路程，车队在2010年10月28日成功抵达上海世博会欧洲馆区。11电气和电子工程师协会（Institute of Electrical and Electronics Engineers，简称IEEE）预测到2040年全世界将有75%的车辆采取自动驾驶的运行模式，12因此作者认为智能汽车是这股科技变革的起点，而自动驾驶汽车则是变革的终点。自动驾驶汽车拥有复杂的传感及决策能力，它们不仅能达到智能汽车的感知程度，并且还能展现更高程度的自律性，以在非结构化环境中进行规划。
目前有许多国家正尝试推动自动驾驶汽车成为竞争型产业，例如日本首相曾经宣示要将高新自动驾驶技术作为其经济政策的一部分，包含许多措施来鼓励日本汽车产业发展此技术。13美国国家公路交通安全管理局（National Highway Traf fi c Safety Administration，以下简称NHTSA）也发动了针对未来10年自动驾驶汽车进行早期部署与立法的大型计划。14对于发展国内自动驾驶汽车产业而言，安全监管和法律议题—特别是智能汽车与自动驾驶汽车的相关民事责任将逐渐显露其重要性。
9.See Sebastian Thrun, What We’re Driving at, g oogle o FFicial B log, http://googleblog.blogspot.
com/2010/10/what-were-driving-at.html (last visited Mar. 10, 2014).
10.See Chris Urmson, The self-driving car logs more miles on new wheels,g oogle o FFicial B log,
https://www.360docs.net/doc/963429731.html,/2012/08/the-self-driving-car-logs-more-miles-on.html (last visited Mar. 10, 2014).
11.See Jason Barlow, From Italy to China on autopilot, W iRed, https://www.360docs.net/doc/963429731.html,/magazine/
archive/2010/12/start/from-italy-to-china-on-autopilotf (last visited Mar. 10, 2014).
12.See Doug Newcomb, You Won't Need a Driver's License by 2040, CNN (Sept. 18, 2012), http://
https://www.360docs.net/doc/963429731.html,/2012/09/18/tech/innovation/ieee-2040-cars (last visited Mar. 10, 2014). 13.See Unsigned Editorial, Abe Rides Around Tokyo in Self-Driving Vehicles, j apan T oday (Nov.
13, 2013),https://www.360docs.net/doc/963429731.html,/category/politics/view/abe-rides-around-tokyo-in-self-driving-vehicles (last visited Mar. 10, 2014).
14.See KPMG, s elF-dRiving caRs: T he nexT RevoluTion 22 (2013), https://www.360docs.net/doc/963429731.html,/Ca/en/
IssuesAndInsights/ArticlesPublications/Documents/self-driving-cars-next-revolution.pdf.
636
637
汽车智能化的道路：智能汽车、自动驾驶汽车安全监管研究
翁岳暄 〔德〕多尼米克·希伦布兰德二、政策视角下对智能汽车、自动驾驶汽车的安全监管分类
从汽车电子控制系统发展进程（见图1）我们可以观察出一种汽车自动化层次不断地在提升之中的趋势。虽然在19世纪“机械汽车(Mechanic Car)”之自动化应用仅仅限于利用简单的蒸汽阀机构来提升发动机的运转效能，但是计算机科学的出现使得20世纪中期以降采用ECU 电子控制单元辅助行车稳定性的“功能汽车”获得快速的发展，例如1958年的“电子巡航控制系统”(Cruise Control)、151971年的“ABS 防抱死制动系统”(Anti-Lock Braking System)16和“TRC 循迹控制系统”(Traction Control System)、171987年的“ESC 电子稳定程序”(Electronic Stability Control)、181995年的“ACC 自适应巡航控制系统”(Adaptive Cruise Control)、191998年的“EBA 紧急制动援助系15. See c Ruise c onTRol , https://www.360docs.net/doc/963429731.html,/wiki/Cruise_control (last visited Mar. 16, 2014).16. See a nTi -lock B Raking s ysTeM , https://www.360docs.net/doc/963429731.html,/wiki/Anti-lock_braking_system (last visited Mar. 16, 2014).17. See T RacTion c onTRol s ysTeM , https://www.360docs.net/doc/963429731.html,/wiki/Traction_control_system (last visited Mar. 16, 2014).18. See e lecTRonic s TaBiliTy c onTRol , https://www.360docs.net/doc/963429731.html,/wiki/Electronic_stability_control (last visited Mar. 16, 2014).19. See a dapTive c Ruise c onTRol , https://www.360docs.net/doc/963429731.html,/wiki/Autonomous_cruise_control_system (last
visited Mar. 16, 2014).
科技与法律2014年第4期
统”(Emergency Brake Assist)。20
近年来，科技的突破性发展使得功能汽车的“反射式智能”(Action Intelligence)进一步跃升为“自律式智能”(Autonomous Intelligence)，21并且促使功能汽车逐渐进化成为新一代的“智能汽车”，其中两个显著的例子是2003年的“ABA主动制动辅助系统”(Active Brake Assist)22与2010年的“LCS车道变换辅助系统”，23和功能汽车相比，不同之处在于它们表现出对非结构化环境(Unstructured Environments)的高适应性。顺着这股发展潮流我们可以预见的是近期内运用先进驾驶辅助系统道路安全的“智能汽车”将逐渐普及，而汽车智能科技最后的终点则是跳脱出电脑对驾驶员的辅助，进入完全自动化无人驾驶的“自动驾驶汽车”。
为了避免技术上的混淆而造成政策制定上不必要的困扰，美国国家公路交通安全管理局利用0至5不同的自动化级别来区分自动驾驶技术：24
(1)0级，代表没有任何自动化技术。
(2)1级，“特殊功能自动化”：汽车需搭载至少一项基础安全装置，比如电子稳定控制系统。
(3)2级，“组合功能自动化”：汽车至少要集成2项高级控制功能，比如奔驰的带转向辅助功能的增强版限距控制系统。
(4)3级，“有限的自动驾驶”：例如谷歌无人自动驾驶车，在特定道路上可以自动驾驶但偶尔需要驾驶介入。
(5)4级，“完全的自动驾驶”：驾驶者在任何时间都不需对汽车进行控
20.See e MeRgency B Rake a ssisT, https://www.360docs.net/doc/963429731.html,/wiki/Emergency_brake_assist (last visited
Mar. 16, 2014).
21.See Yueh-Hsuan Weng, Chien-Hsun Chen & Chuen-Tsai Sun, Toward the Human-Robot Co-
Existence Society: On Safety Intelligence for Next Generation Robots, 1 i nT’l j. s oc. R oBoT 267, 274 (2009), https://www.360docs.net/doc/963429731.html,/weng_yueh_hsuan/1.
22.See M eRcedes-B enz, a cTive B Rake a ssisT, https://www.360docs.net/doc/963429731.html,.au/content/australia/
mpc/mpc_australia__website/en/home_mpc/truck_home/home/trucks/actros/telligent_systems.
fb0010.html (last visited Mar. 16, 2014).
23.See B OSCH, L ANE C HANGE A SSIST,https://www.360docs.net/doc/963429731.html,/en/com/
component_com/SF_PC_DA_Lane-Assist_SF_PC_Driver-Assistance-Systems_1858.
html?compId=2880 (last visited Mar. 16, 2014).
24.See Adam Fisher, Inside Google's Quest to Popularize Self-Driving Cars, p opulaR s ci. (Sept.
18, 2013), https://www.360docs.net/doc/963429731.html,/cars/article/2013-09/google-self-driving-car (last visited Mar.
10, 2014).
638
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
制，例如美剧“霹雳游侠”(Knight Rider)中的KITT汽车。25
相较于美国NHTSA的5级分类，日本筑波大学机械安全学者稻垣敏之(Toshiyuki Inaba)主张人类处理信息的过程可以分为4个主要阶段，分别是：26
(1) “知觉”(Sentience)：人类对外在真实环境的感知以及传送感知信息到脑部的过程。
(2) “状况认识”(Situation Understanding)：指大脑进一步处理与判读获取的信息。
(3) “行为选择”(Behavior Selecting)：依个人情况在所处环境中做出决定。
(4) “行为执行”(Behavior Execution)：完成决策后的执行阶段。
美国NHTSA分类第2级的“组合功能自动化”可用于支持人类信息处理的“状况认识”并且在某些场合下辅助“行为选择”，而第3级、第4级的“有限的自动驾驶”和“完全的自动驾驶”则以辅助人类的“行为选择”和“行为执行”为主，这在安全监管上的意义为前者属于一种人类与机器的“共同控制”(Shared Control)状态，但后者则是人类将若干权限授予机器自主执行驾驶行为的“授权控制”(Authorized Control)。
首先，自动驾驶汽车属于“授权控制”模式，授权控制指人类驾驶移转控制权限给机器并且交由机器依照自身的决策判断来执行任务。例如，机器车搭配自动驾驶系统可以自动运行抵达目的地，全程不需要人类的介入。参考图1自动驾驶汽车依照授权程度的不同，可区分为“暂时自动驾驶系统”(Temporary Autopilot)、“半自动驾驶系统”(Semi Autopilot)与“全自动驾驶系统”(Full Autopilot)。“暂时自动驾驶系统”，顾名思义，是指系统仅在短时间内接收驾驶的控制权限，驾驶仍然控制着方向盘、踏板、仪表板的指示信号等。“半自动驾驶系统”，有别于前者，提供驾驶有限的控制，例如刹车踏板。“全自动驾驶系统”则负责所有的驾驶决策判断，在通常情况下传统人类驾驶角色在机器运行过程中无任何置喙余地。我们必须注意的是授权控制模式的自动驾驶系统已经达到稻垣人类信息处理指标的“行为选择”，预测接收数据的基础上机
25.See kiTT-k nighT i ndusTRies T Wo T housand, https://www.360docs.net/doc/963429731.html,/wiki/KITT (last visited
Mar. 16, 2014).
26.参见〔日〕稲垣敏之(2012)人と機械の共生のデザイン-「人間中心の自動化」を探る、
東京：森北出版社，pp. 85。
639
科技与法律2014年第4期
器能自行进行决策，产生自主行为。在此情况下，机器与人的关系已经不是单纯的电脑辅助人类驾驶而已。
自动驾驶汽车科技将非常适合用于运送目前在社会上因为身体特殊情况而不适合开车的民众，例如，因为严重的视力问题或其他身体缺陷导致无法正常驾驶车辆上路的人。V olvo已经决定投入自动驾驶汽车科技的研发生产，并且预定于2017年在瑞典哥特堡(Gothenburg)市内及周边进行自动驾驶汽车的户外公共道路环境实证测试。27无独有偶，日产也有发展自动驾驶汽车产业的打算，28但是除了目前《维也纳道路交通公约》(Vienna Convention on Road Traf fi c)第8条明令禁止无人自动驾驶车上路之外，不明确的交通责任与产品责任皆为阻碍自动驾驶车进入市场的制度性屏障。
智能汽车搭载半自动先进驾驶辅助系统，它属于“共同控制”(Shared Control)的“人类—机械”合作模式。共同控制指人类和机械同时共享驾驶控制权限，例如，某些搭载主动式制动系统的智能车可以在无人为干涉的情况下基于自身判断下达启动制动的指令。功能汽车仅达到稻垣人类信息处理过程指标的“知觉”，而智能汽车则达到“状况认识”和“行为选择”，例如，主动式制动系统的运作必须机器理解外在环境状况后再做出预测，以协助人类的驾驶行为。然而，在“共同控制”中机器的自动决策行为是否优先于人类的驾驶行为? 或者它们仅被允许用来“辅助”人类驾驶行为?这也是“人类—机械”合作模式所伴随的一个争议性问题。
三、开放组织风险产生的汽车安全监管隐患
根据调查，加拿大多伦多大学Alison Smiley和荷兰格罗宁根大学Karel A. Brookhuis教授发现高达90%的车祸发生起因与人为疏失有关，例如疲劳、注意
27.See Lucas Laursen, Volvo to Test Self-Driving Cars in Traffic, ieee s pecTRuM, http://spectrum.
https://www.360docs.net/doc/963429731.html,/tech-talk/green-tech/advanced-cars/volvo-to-test-selfdriving-cars-in-traffic#.Up-Vr1KXlak.facebook (last visited Mar. 16, 2014).
28.See Philip E. Ross, Nissan Says: Leave the Driving to Us,ieee s pecTRuM, http://spectrum.ieee.
org/tech-talk/green-tech/advanced-cars/nissans-ghosn-says-leave-the-driving-to-us (last visited Mar. 16, 2014).
640
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
力不集中、出现睡意等，29汽车智能化的动机除了提升驾驶效能以达到节能减碳目的外，30最主要的目标就是藉由安全性之提升来降低车祸事故发生频率。自动驾驶汽车的争议在于交通事故侵权责任风险的承担从驾驶着被移转到制造商身上。此外，如果汽车制造商不能证明智能汽车和自动驾驶机器车无“不合理的危险”并且善尽一切注意义务的话，制造商甚至可能还必须负担产品责任。
然而上述制度性障碍只是问题表层，笔者认为智能汽车安全监管最根本的问题还是在于我们对于这种高新科技的技术风险一无所知。美国MIT麻省理工学院教授Nancy G. Leveson指出“先进驾驶辅助系统”(Advanced Driver Assistance Systems, ADAS)的安全性问题不在个体程序部件，而是在系统的整合上，31德国TüV安全认证机构的一份研究报告则指出当“驾驶辅助系统”(Driver Assistance Systems)开始展现一些（半）自动行为以后有时会伴随若干不稳定的“非必要系统行为”(Unwanted System Behaviors)，在严重的情况下将出现威胁到人身安全的后果。32
究竟系统安全性和个体安全性有何不同? 非必要系统行为与“开放组织风险”有何关系? 这些技术风险问题如何影响到未来汽车交通侵权责任、保险和产品责任的发展? 本节尝试分别从“授权控制”（自动驾驶机器车）、“共同控制”（先进驾驶辅助系统）等角度切入，分析汽车智能化所伴随的若干安全监管隐患。
（一）“授权控制”—自动驾驶汽车
谷歌自动驾驶汽车安全项目主管Ron Medford指出谷歌在自动驾驶技术业务的主要目标和发展方向是研发NHTSA分类的第四级“完全的”无人自动驾驶汽
29.See Alison Smiley & Karel A.Brookhuis, Alcohol, Drugs and Traf fi c Safety, in R OAD U SERS AND
T RAFFIC S AFETY 83, 83-104 (Talib Rothengatter & Rob A. de Bruin eds., 1987), http://trid.trb.
org/view/284992.
30.See https://www.360docs.net/doc/963429731.html,., T Ruck p laToon d eMo R eveals 15% B uMp in F uel e conoMy, http://articles.sae.
org/11937 (last visited Mar. 10, 2014).
31. See Nancy G. Leveson, System Safety in Computer-Controlled Automotive Systems, sae
c ongRess 4, https://www.360docs.net/doc/963429731.html,/papers/sae.pdf (last visite
d Mar. 10, 2014).
32. See Bernd Spanfelner, Detlev Richter, Susanne Ebel, Ulf Wilhelm, Wolfgang Branz, CarstenPatz,
Challenges in Applying the ISO 26262 for Driver Assistance Systems, T ech. R ep. 1 (2012), http://www.ftm.mw.tum.de/uploads/media/28_Spanfelner.pdf (last visited Mar. 10, 2014).
641
科技与法律2014年第4期
车，33然而在缺乏对汽车制造商提供选择性免责的情况下，自动驾驶汽车制造商将面临过重的法律责任承担。
美国加州大学伯克利分校PATH项目研究员Nidhi Kalra以《美国侵权法》(Tort Law)为例，当自动驾驶汽车（第三级）发生车祸时相关事故受害者可能对车辆所有人或驾驶者主张之侵权责任—共有“疏忽”(Traditional Negligence)、“无过错责任”(No-Fault Liability)和“严格责任”(Strict Liability)等三种。34由于自动驾驶汽车以授权控制方式运行，车内驾驶者能做的事情其实相当有限，同时自动驾驶汽车可望大幅降低小规模的车祸事故（这在今日车祸总数中占大多数），因此违反“合理的注意义务”(Reasonable Care)而构成疏忽过错责任的几率并不大。35其次，目前美国/加拿大有12个州/省在车祸诉讼和保险理赔上采用无过错责任，根据这些州的立法规定除非伤害达到一定程度的门槛(Qualitative Threshold)，车祸事故受害者也无法透过侵权法体系提出诉讼。36最后，万一自动驾驶汽车的运行构成了极端危险(Ultrahazardous)的活动, 则受害者可对车辆所有人、驾驶者或制造商主张严格责任。Kalra认为严格责任适用于自动驾驶汽车的机会不大，因为现在只是技术发展阶段，待未来正式上市前汽车制造商必然会投入许多时间提升安全性，使其不至于发生重大危害。37在疏忽责任来源大幅减少，重大极端危险的严格责任不太可能发生的情况下，似乎无过错责任对于自动驾驶汽车的事故处理而言是个较理想的选项。采用无过错责任，保险公司的功能将更为显著，这种处理模式不但可减轻自动驾驶汽车的驾驶者所面临的责任风险，同时在车祸事件发生率大幅降低的前提下
33.See Adam Fisher, Inside Google's Quest to Popularize Self-Driving Cars, p opulaR s ci. (Sept.
18, 2013), https://www.360docs.net/doc/963429731.html,/cars/article/2013-09/google-self-driving-car (last visited Mar.
10, 2014).
34.See Nidhi Kalra, James Anderson, Martin Wachs, Liability and Regulation of Autonomous
Vehicle Technologi es, c al. paTh R es. R ep., UCB-ITS-PRR-2009-28, at 17 (2009), http://www.
https://www.360docs.net/doc/963429731.html,.
35.See Nidhi Kalra, James Anderson, Martin Wachs, Liability and Regulation of Autonomous
Vehicle Technologi es, c al. paTh R es. R ep., UCB-ITS-PRR-2009-28, at 19 (2009), http://www.
https://www.360docs.net/doc/963429731.html,.
36.具体有：Florida, Hawaii, Kansas, Kentucky, Michigan, Minnesota, New Jersey, New York,
North Dakota, Ontario, Pennsylvania, Saskatchewan。
37.See Nidhi Kalra, James Anderson, Martin Wachs, Liability and Regulation of Autonomous
Vehicle Technologi es, c al. paTh R es. R ep., UCB-ITS-PRR-2009-28, at 22 (2009), http://www.
https://www.360docs.net/doc/963429731.html,.
642
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
无过错责任保险的成本也将下降，保险公司亦从中受惠。但是问题在于汽车制造商的责任似乎加重了，授权控制的自动驾驶汽车将导致汽车制造商同时面临交通事故责任以及产品责任的双重压力。
（二）“共同控制”—先进驾驶辅助系统
Strategy Analytics的研究主管Riches指出先进驾驶辅助系统(ADAS)和HEV/EV是近年来汽车电子市场中发展最快速的热门技术领域，仅在2012年上半年度就达到20%以上的成长率。38理论上先进驾驶辅助系统的普及对于驾驶安全和稳定性应当有许多好处，例如人类的驾驶行为在很大程度上必须仰赖视觉，39而因视线上一时不注意所导致的车祸事故也十分常见。40名誉教授David Shinar指出一般车祸事故可以区分为三类起因：(1)驾驶者（包含失误与身体缺陷）；(2)环境；(3)汽车产品缺陷等因素，41而透过先进驾驶辅助系统与人类之间的共同控制可望能有效地减低来自驾驶者的车祸风险。荷兰代尔夫特理工大学(TU Delft)助理教授J.C.F. de Winter认为和传统人类手动驾驶相比，先进驾驶辅助系统共同控制驾驶活动的优势体现在“更精确的路径追踪”、42“减少跟车过程中的距离变异”、“减少控制活动”、43“减少工作
38. See i an R iches, a uToMoTive a dv anced d RiveR a ssisTance s ysTeMs: c hallenges & o ppoRTuniTies,
B usiness p ResenTaTion 6 (2013), https://www.360docs.net/doc/963429731.html,/gtc/2013/presentations/
S3413-Advanced-Driver-Assistance-Systems-ADAS.pdf.
39.See Sivak Sivak, T he i nFoRMaTion ThaT d RiveRs u se: is iT i ndeed 90% v isual?, 25 p eRcepTion
1081, 1081–1089 (1996), https://www.360docs.net/doc/963429731.html,/pubmed/8983048.
40.See Jing-Shiarn Wang, Ronald R. Knipling & Michael J. Goodman, The Role of Driver in
Attention in Crashes; New Statistics from the 1995 Crashworthiness Data system, 40Th a nn.
p Roc. a ss’n FoR The a dv anceMenT oF a uToMoTive M edicine 377, 377–392 (1996), https://www.360docs.net/doc/963429731.html,/departments/Human%20Factors/driver-distraction/PDF/Wang.PDF.
41.See David Shinar, Aggressive Driving: The Contribution of the Drivers and the Situation, 1
T Ransp. R es. p aRT F: T RaFFic p sychol. & B eha v. 137, 137-160 (1998), http://www.sciencedirect.
com/science/article/pii/S1369847899000029.
42.See Thorsten Brandt, Thomas Sattel & Michael B?hm, Combining Haptic Human Machine
Interaction with Predictive Path Planning for Lane-Keeping and Collision Avoidance Systems, ieee i nTelligenT v ehicles s yMp 582, 582-587 (2007), https://www.360docs.net/doc/963429731.html,/stamp/stamp.
jsp?arnumber=04290178. See also Benjamin A.C. Forsyth & Karon E. MacLean, Predictive Haptic Guidance: Intelligent User Assistance for the Control of Dynamic Tasks, ieee T Rans.
v is.c oMpuT. g Raphics 103, 103-113 (2006), https://www.360docs.net/doc/963429731.html,/pubmed/16382612. 43.S ee Mark Mulder, Max Mulder, René van Paassen & D. A. Abbink, Hapticgas Pedal Feedback,
51 e RgonoMics1710, 1710 (2008), https://www.360docs.net/doc/963429731.html,/pubmed/18941976.
643
科技与法律2014年第4期
量、反应时间变快以及更好的次级任务表现”44等方面。45
但J.C.F. de Winter也提到共同控制模式的缺点，如果系统对驾驶察觉的风险以一种不准确的方式表现，那这将减少人类乘车的舒适感。46荷兰格罗宁根大学Brookhuis教授则指出当系统自动化程度越高，人类操作者可能反而扮演更加重要的角色。47Brookhuis引用英国伦敦大学学院心理系教授Bainbridge的观点，他给定的前提是“通常的操作以自动方式执行，异常的情况出现时则必须藉由人力来解决”。但由于自动化过于普及，使得操作经验受到局限，当人类面临异常情况时将需要一些特殊的行动方案，同时在时间的压力下也将使得人类无法以最佳的途径来解决问题。监督自动化系统运作过程必须仰赖先前的人类操作者所具备的经验和技能，然而我们难以预期下一代的操作者或驾驶者能够拥有这些技能。48一个具体事例是根据飞行员的陈述，他们认为虽然自动化减少了他们的工作负担，但却对他们的飞行职业技能产生负面影响。49相对于自动驾驶汽车，“授权控制”的交通事故责任出现一种由驾驶者转向汽车制造商的趋势，笔者认为先进驾驶辅助系统—“共同控制”模式下驾
44.See Paul Griffiths & R. Brent Gillespie, Sharing Control between Human and Automation Using
Haptic Interface: Primary and Secondary Task Performance Benefits, 47 j. h uMan F acToRs & e RgonoMics s oc. 574, 574 (2005), https://www.360docs.net/doc/963429731.html,/pubmed/16435698. See also Mark Mulder, S Kitazaki, S Hijikata, Max Mulder, René van Paassen & Erwin R Boer, Reaction-Time Task During Car Following with a n Active Gas Pedal, p Roc. 2004 ieee i nT.
c onF. on s ysTeMs, M an & c yBeRneTics 2465, 2467 (2004), https://www.360docs.net/doc/963429731.html,/xpls/abs_
all.jsp?arnumber=1400700.
45.See Joost C.F. de Winter & Dimitra Dodou, Preparing Drivers for Dangerous Situations-A
Critical Reflection on Continuous Shared Control, 2011 ieee i nT. c onF. on s ysTeMs, M an &
c yBeRneTics 1050, 1050 (2011), https://www.360docs.net/doc/963429731.html,/xpls/abs_all.jsp? arnumber=6083813
&tag=1.
46.See Joost C. F. de Winter, Max Mulder, M. M. van Paassen, David A. Abbink & Peter A.
Wieringa, A Two-Dimensional Weighting Function for A Driver Assistance System, ieee T Rans.
s ysT., M an, c yBeRB. B, c yBeRn., 189-195 (2008), https://www.360docs.net/doc/963429731.html,/pubmed/ 18270090.
47.See Karel A. Brookhuis, Dick de Waard & Wiel H. Janssen, Behavioural Impacts of Advanced
Driver Assistance Systems-An Overview, 1 e uR. j. T Rnsp. & i nFRasTRucTuRe R es. 245, 250 (2001), http://www.ejtir.tbm.tudelft.nl/issues/2001_03/pdf/2001_03_02.pdf.
48.See Lisanne Bainbridge, Ironies of Automatio n, 19 a uToMaTica775, 776 (1983), http://www.ise.
https://www.360docs.net/doc/963429731.html,/nsf_itr/794B/papers/Bainbridge_1983_Automatica.pdf.
49.See Andrew J. McClumpha et al., Pilots' Attitudes to Cockpit Automation, p Roc. oF The h uMan
F acToRs & e RgonoMics s oc. a nn. M eeTing 107, 107-111 (Sept., 1991), https://www.360docs.net/doc/963429731.html,/
content/35/2/107.full.pdf.
644
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
驶者不仅要掌握道路周围环境的实时状况，同时还要留意车体本身是否有异常情形，最终将加重驾驶者在交通事故中的注意义务。
另一方面，先进驾驶辅助系统的技术风险也是安全监管必须加以考虑的问题。戴姆勒集团(Daimler AG)汽车安全项目主管Schwarz指出“ABS防抱死制动系统”与“ESC电子稳定程序”的安全性在今日的汽车消费市场已经广泛地获得确认，但“先进驾驶系统”仍存在许多问题，例如：它们具备合理可预见的安全性吗？如何判断制造商已经善尽注意义务？是否有公认的系统验证方式？Schwarz并指出对于智能汽车之安全性确保，除了考虑到汽车产品通常运行时的安全性之外，另外还必须注意到产品“犯错”的可能性。50
CogniVue产品营销工程师Jeffrey强调为了避免产品责任的承担，先进驾驶辅助系统供应商必须在产品设计及制造的过程中就考虑安全问题，而不是等到事故发生后再来处理，至于实践先进驾驶辅助系统安全性确保的方式为遵守新ISO 26262（即道路车辆功能安全标准）。51一台传统功能汽车通常包含50-100个ECU电子控制组件嵌入于其中，而“功能安全”(Functional Safety)对于汽车的重要性在于需要一个整合性标准吸收来自电子组件、软件、硬件等不同层面的风险。目前最具代表性的汽车功能安全标准应属IEC 61508（即安全相关电力/电子/可编程电子系统功能的安全标准）。52当代功能汽车的安全性主要是结合固有安全设计和功能安全的方式来确保，功能安全扮演的角色是透过与制动系统与方向舵系统(Steering System)相连的反射电脑控制单元来抑制风险。然而面向下一代智能汽车的安全性确保，一个明显的趋势是固有安全设计和功能安全两者的权重正在快速地改变之中。2011年11月发布的新ISO 26262（即道路车辆功能安全标准）是全球第一个针对大批量产品的功能安全标准，53从中不难看出当智能汽车开始展现出对非
50.See Jürgen Schwarz, Designing Safe Automated Driving Functions-Challenges from the Legal
Framework, DAIMLER 19 (2012), http://ec.europa.eu/transport/themes/its/events/doc/2012-06-13-workshop/8-schwarz_daimler_highly_automated_driving_legal_aspects_2011_06_13.pdf. 51. See Tina Jeffrey, The Challenges of Developing Advanced Driver Assistance Systems,
n eWelecTRonics (Nov. 7, 2013), https://www.360docs.net/doc/963429731.html,/electronics-blogs/the-challenges-of-developing-advanced-driver-assistance-systems/57515 (last visited Mar. 10, 2014).
52.参见〔日〕藤田嘉美、藤川博己(2009)自动车与机能安全，相模原：TriFoglio出版社，pp. 66。
53.See ISO 26262, https://www.360docs.net/doc/963429731.html,/wiki/ISO_26262 (last visited Mar. 15, 2014).
645
科技与法律2014年第4期
结构化环境的高适应性以后，功能安全对于维持人类和机器共存的必要性。
MIT教授Nancy G. Leveson指出先进驾驶辅助系统的安全性问题不在个体程序部件，而是在系统的整合上，54德国TüV安全认证机构的一份研究报告则指出当驾驶辅助系统开始展现一些（半）自动行为以后有时会伴随若干不稳定的“非必要系统行为”，在严重的情况下将出现威胁到人身安全的后果。德国TüV专家组提到现在的ISO 26262与IEC 61508标准其实并未完整地考虑先进驾驶辅助系统的功能安全，“ABS防抱死制动系统”与“ESC电子稳定程序”是在充分了解环境物理模型的基础上运作的，但是新一代先进驾驶辅助系统必须借由雷达、图像、超声波等传感器和外在复杂环境互动。智能汽车为了在行驶过程中辅助人类，必须不断地让系统自行诠释从外界接收的传感器数据，这并非仅仅简单地处理数据变数导入复杂模型。借由基础诠释，智能汽车将能够预测驾驶与交通环境中其他对象的行为，尽管不见得是正确的，但对于先进驾驶辅助系统的实时自主行为却是不可或缺的，然而在一些极端情况下错误的假设却可能导致威胁人身安全的“非必要系统行为”之安全隐患。55就安全性确保方面，传统工业机器人和自律型服务机器人在风险产生之间的最大区别是前者与安全规格（宽松）有关，而后者则结合了开放组织风险与安全规格。“开放组织风险”(Open-Texture Risk)，以语言为例，自然语言中的任何字词都有其核心意义，但语言开放组织的特质却使其诠释伴随着特定知识领域、不同观点、时期而呈现出若干差异性，这种特质也时常造成法律语言诠释上的模糊性以及不确定性。对服务机器人之自律行为的风险评估(Risk Assessment)势必也将面临类似的困境，即“尽管对于危险源有个大概的认知，但是其范围难以清晰地加以定义”，而产生的潜在性额外风险就是所谓的“开放组织风险”。56
这种新形态的“开放组织风险”来自于智能机械与非结构化环境中的互
54.See Nancy G. Leveson, System Safety in Computer-Controlled Automotive Systems, sae
c ongRess4 (Mar., 2000), https://www.360docs.net/doc/963429731.html,/papers/sae.pdf (last visite
d Mar. 10, 2014).
55.See Bernd Spanfelner, Detlev Richter, Susanne Ebel, Ulf Wilhelm, Wolfgang Branz & Carsten
Patz, Challenges in Applying the ISO 26262 for Driver Assistance Systems 1, 1 (2012), http:// www.ftm.mw.tum.de/uploads/media/28_Spanfelner.pdf (last visited Mar. 10, 2014).
56. See Y ueh-Hsuan Weng, Chien-Hsun Chen & Chuen-Tsai Sun, The Legal Crisis of Next Generation
Robots: On Safety Intelligence, i nT’l c onF. on a RTiFicial i nTell. & l.(ICAIL) 205, 207 (2007), https://www.360docs.net/doc/963429731.html,/citation.cfm?id=1276358 (last visited Apr. 1, 2014).
646
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
动，以智能汽车为例，主动式制动系统以内部逻辑芯片组与汽车摄像镜头采集的实时图像数据为基础做出自主决策判断，但基于非结构化环境的复杂性，图像数据以多样化和不可预测的形式呈现，同时预先确保每一种状态都包含在系统内部也是不可能的，无可避免地，智能汽车的主动式制动功能时常超脱出工程师预期。57
除了智能汽车的“共同控制”之外，自动驾驶汽车的“授权控制”一样包含开放组织风险之安全隐患。瑞士洛桑联邦理工学院(EPFL)机器人学家Vasic 与Billard提到，自动驾驶汽车运行环境是高度动态的，许多物体信息并不存在汽车内部地图之中，同时也无法预先建模，这导致它们的存在充满相当不确定性。58当自动驾驶汽车系统启动后，原则上人类并不参与驾驶过程，自动驾驶汽车以区域实时GPS数据以及透过机械感知采集到的环境信息为基础进行独立决策判断，因此其开放组织风险高度集中于稻垣分类的“行为选择”阶段，例如，为了能够顺利地到达目的地，谷歌无人驾驶车必须具备某种程度的机器学习机制来确保汽车可以动态地独立做出如右转、左转、加速、紧急停车等决策判断，一旦这种独立判断出现重大错误将可能对车内外人员造成严重物理伤害。
然而，智能汽车的一个重大安全隐患在于现行风险评估机制对于危险源界定有其限度，非结构化环境的“模型失真”(Modeling Error)也可能造成开放组织风险。这种情况和传统技术风险在硬件的“随机失误”(Random Failure)以及软件的“系统失误”(System Failure)有所区别。592012年，斯巴鲁(Subaru)汽车推出一款搭配主动式制动以及车道偏离警示等功能的先进驾驶辅助系统“Eyesight”，该系统透过安装在挡风玻璃后方的两个立体摄像镜头采集图像数据，并且配合图像处理软件分析采集的数据以实现多样性的功能，例如ACC自
57.翁岳暄：《服务机器人安全监管问题初探—以开放组织风险为中心》，北京大学法学
院博士研究生学位论文，2014年5月，页162。
58.See Milos Vasic & Aude Billard, Safety Issues in Human-Robot Interactions, p Roc. oF The
2013 ieee i nT’l c onF. R oBoTics & a uToMaTion(icRa) 197, 203 (2013), http://lasa.epfl.ch/ publications/uploadedFiles/VasicBillardICRA2013.pdf.
59.参见〔日〕藤田嘉美、藤川博己(2009)自动车与机能安全，相模原：TriFoglio出版社，pp.
73。See also Bernd Spanfelner, Detlev Richter, Susanne Ebel, Ulf Wilhelm, Wolfgang Branz & Carsten Patz, Challenges in Applying the ISO 26262 for Driver Assistance Systems 1, 2 (2012), http://www.ftm.mw.tum.de/uploads/media/28_Spanfelner.pdf (last visited Mar. 10, 2014).
647
科技与法律2014年第4期
适应巡航控制(Adaptive Cruise Control)、制动辅助与车道偏离警示。在时速30千米/小时上限范围内如果驾驶未回应系统警示的话，主动式制动辅助将可自动地停止车辆的行进。同时在改变车道却未闪转向灯或者车辆在道路标志间摇摆的情况下系统将给予驾驶车道偏离警示，后者状况通常与驾驶充满睡意有关。60斯巴鲁在操作手册中载明“EyeSight”先进驾驶辅助系统的若干操作限制。首先，由于系统以一对立体摄像镜头作为主要传感器，因此系统必须仰赖适当亮度照明与通畅视野，例如在光度过强或过低的环境下可能导致“EyeSight”系统无法正常运作。“EyeSight”操作手册中提到如果周遭只有单一颜色或者通过旗帜、某种植被、陡坡时系统亦可能无法正常运作。61作者猜测“EyeSight”系统的限制是因为图像处理算法事先对于立体摄像镜头的图像数据进行预处理的结果。如果周遭环境颜色一致（如雪景）或者更一般地，如果图像传感器呈现低对比，那么“边缘检测算法”(Edge Detection Algorithms)将可能产生不当割裂车道、行人、车辆轮廓，导致该“轮廓”进一步地被其它算法处理以及分类的错误。
斯巴鲁表示陡坡对于其“EyeSight”系统将是一大挑战，因为系统内部的其它高阶算法可能错误地理解这种“非正常”的状态，尽管预处理过的影像数据可能无瑕疵。虽然更高级的先进驾驶辅助系统还可结合其他多种传感器，例如摄像机与雷达，62并且透过较佳品质的数据来提升算法对图像的“理解”，但以目前技术水平要求算法正确地“分类”与“理解”所有可能的驾驶情况仍然是十分困难的。这将可能导致“第二类错误”的发生，例如路上行人无法被先进驾驶系统辨认出来以致制动系统未能及时启动，63以及较少被公开提及的“第一类错误”，例如主动式制动系统无缘由地突然启动等安全隐患。
60.See S UBARU-E YE S IGHT T ECHNOLOGY, http://www.subaru.ca/WebPage.aspx?WebSiteID=282&Web
PageID=18112 (last visited Mar. 10, 2014).
61. See s uBaRu, a BouT e ye s ighT-o WneR M anual4, https://www.360docs.net/doc/963429731.html,/proxy/68554/pdf/
ownerManual/068554_2013_Legacy/MSA5M1318A_3.pdf (last visited Mar. 10, 2014). 62. See A UTO E XPRESS, N EW S-C LASS TO D RIVE ITSELF (2011), https://www.360docs.net/doc/963429731.html,/mercedes/
s-class/35181/new-s-class-drive-itself (last visited Mar. 10, 2014).
63. See V OLVO, ボルボの考える自動運転：社会と生活者、その両者への貢献 (2013), http://
https://www.360docs.net/doc/963429731.html,/jp/top/about/news-events/pages/default.aspx?itemid=164 (last visited Mar.
10, 2014).
648
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
全世界第一部由ISO组织制定用来确保人类与机器人能够碰触彼此、共享空间的ISO 13482服务机器人安全标准之召集人Gurvinder Virk教授表示，虽然近年来已出现一种“人机共工”的工业机器人合作式系统，但是实际投入与人类合作生产的应用范围却非常小，主要原因在于安全隐患背后的庞大法律责任。64同理，智能汽车制造商亦可能因为安全隐患而考虑限制汽车能力，最后导致高新科技无法充分地投入社会中。
在“共同控制”中“人类—机械”合作模式所伴随的主要争议性问题在于“机器的自动决策行为是否优先于人类的驾驶行为?”或者“它们仅被允许用来辅助人类驾驶行为?”。这也是目前法律责任判断界限不明情况下，相关制造商在生产智能汽车时倾向限制汽车的自主行为以避免出现相关法律责任的争议。
以奔驰(Mercedes-Benz)推出的PRE-SAFE?主动式制动安全系统为例，PRE-SAFE?系统必须随车启动并且在时速30千米/小时公里以上的条件下提供防护功能，但无法依驾驶的喜好选择关闭。PRE-SAFE?系统是一种自动紧急制动系统，它使用雷达协助辨识重要情况。在时速介于30公里至200公里之间，汽车前方200米的范围皆被雷达扫描确认是否有障碍物存在。在撞击的2.5秒之前驾驶会收到警告讯号，如果在这个阶段驾驶踩了制动踏板，不论驾驶踩踏的力道多少汽车将自动地传送所需的足够制动力道以维持安全的停止（如果物理条件允许）。但假如紧急情况持续发生且驾驶并未及时做出任何反应，那么在撞击发生前1.5秒汽车自行启动部分制动并且收紧安全带以准备承受冲撞。如果PRE-SAFE?系统判定冲撞是无可避免的，车辆将采用最大的制动力道来尽可能减低速度所造成的冲击。这个例子也恰巧反映了“共同控制”的设计思维仍停留在驾驶者必须负担主要法律责任，如果缺乏进一步对于法律责任的问题梳理以及考虑提供制造者适当的免责条件，那么人类和机器人的共同合作模式将不会出现有更有效的利用。65
64.参见翁岳暄、Gurvinder Virk、杨书评：《人类—机器人共存的安全性：新ISO 13482服务
机器人安全标准》，载张平(主编)：《网络法律评论》2014年第17卷，北京：北京大学出版社（即将出版）。
65.D AIMLER, PRE-SAFE? B RAKE: T HE A NTICIPATORY B RAKE, https://www.360docs.net/doc/963429731.html,/dcc
om/0-5-1210220-1-1210348-1-0-0-1210338-0-0-135-0-0-0-0-0-0-0-0.html (last visited Mar. 16, 2014).
649
科技与法律2014年第4期
四、综合讨论：“黑匣子”事故记录器与汽车安全监管
2007年Jean Bookout在奥克拉荷马州驾驶一部丰田Camry轿车，汽车却突然加速冲撞到路边堤防，造成82岁的驾驶者Jean Bookout受伤以及同车70岁的乘客Barbara Schwarz死亡之结果。该事件随即进入司法诉讼并且在2013年10月24日由美国奥克拉荷马法院陪审团判定丰田汽车败诉并且要求丰田汽车必须给予两位受害者各150万美元赔偿（以下简称“丰田案”）。66
该案件值得注意之处在于这是美国第一起汽车制造商因为电子控制系统设计缺陷被判败诉的案件。67NHTSA专家组认为“丰田案”的起因可能和电子节气门控制系统失灵有关，68换句话说，“Gas-by-Wire”的功能汽车有时因为软件错误而导致安全事故的发生。虽然“丰田案”只是一起功能汽车的事故，但是当我们将它套用在智能汽车或自动驾驶汽车上时将导致更严重的法律责任的问题出现，因为自动驾驶汽车需要比“Gas-by-Wire”更高阶的“Drive-by-Wire”，其范围包含制动、油门加速、方向盘操控等等。
对于智能汽车、自动驾驶汽车的安全隐患，虽然有不少人认为在产业发展初期可以采用召回制度，一面将智能汽车技术准入市场，一面将有安全隐患的车辆召回来提升汽车安全性。但作者认为召回制度或许存在道德缺口，例如在“丰田案”中的汽车制动曾经无预警地启动，但是并未被该公司召回。理论上汽车制造商可以发起自愿性的召回声明给其顾客来说服政府。当公开召回(Public Recall)启动即表示政府认为这是一个严重问题，法官很可能将公开召回视为一种已证明的产品缺陷。召回原本是立意良善的一种制度，但是当自动化风险偏向制造商之后，他们将可能因为成本效益分析以及和竞争对手抢占初期
66. Bookout v. TOYOTA Motor Corp., Case No. CJ-2008-7969 (Okla. Dist. Ct., Oct. 24, 2013).
See Jaclyn Trop, Toyota Agrees to Settlement in Fatal Acceleration Crash, n.y. T iMes (2013-10-25), https://www.360docs.net/doc/963429731.html,/2013/10/26/business/toyota-agrees-to-settlement-in-fatal-acceleration-crash.html?_r=0 (last visited Mar. 10, 2014). See also Junko Yoshida, EE Times Community Weighs in on Toyota Case, ee T iMes (2013-11-07), https://www.360docs.net/doc/963429731.html,/document.asp?doc_ id=1320013&page_number=2&piddl_msgpage=2#msgs (last visited Mar. 10, 2014).
67. See Junko Yoshida, Why Toyota’s Oklahoma Case is Different, ee T iMes (Nov. 25, 2013), http://
https://www.360docs.net/doc/963429731.html,/author.asp?section_id=36&doc_id=1319910 (last visited Mar. 10, 2014).
68. See Junko Yoshida, Toyota Case: Single Bit Flip That Killed, ee T iMes (Nov. 25, 2013), http://
https://www.360docs.net/doc/963429731.html,/document.asp?doc_id=1319903 (last visited Mar. 10, 2014).
650
汽车智能化的道路：翁岳暄 〔德〕多尼米克·希伦布兰德
智能汽车、自动驾驶汽车安全监管研究
“蓝海市场”69的情况下而不愿意轻易承认错误。
在智能汽车、自动驾驶汽车仍充满安全隐患的产业初期，作者认为除了召回制度以外，“黑匣子”(Black Box)事故记录器对于智能汽车安全监管将能发挥相当之功用。一般人对于黑匣子的刻板印象总是投射在民航机用的事故记录器，加拿大工程顾问Correia指出世界第一个民航机用事故记录器(Flight Data Recorder)是在1953年推出的，但世界最早的事故记录器却是1921年推出、用于重型卡车的“行车记录仪”(Tachograph)。70以和福特、通用等大型汽车公司保持密切合作的车用事故记录器制造商Vetronix公司产品为例，其“黑匣子”事故记录器运作模式分为两部分：(1)当事故发生，由位于汽车安全气囊的模组记录撞击实证数据；(2)利用CDR系统(Crash Data Retrieval)采集模组内贮存的数据并进行分析。71国际道路联盟(International Road Federation, IRF)则说明车用黑匣子的应用价值包含：(1)提供警方需要的车祸数据；(2)提供交通监管单位事故起因的相关信息；(3)提供保险公司费率方案调整与改进的基础；(4)提供医疗保健监管单位伤害情况回报以及态样的识别。72
欧盟大型道路安全计划“Project VERONICA”73所建议的车用黑匣子规格则是以传感数据存储在缓冲器的模式为基础(Sensor Data Buffer)，这表示旧数据将被新数据永久地覆盖。但是当符合特定条件，例如，事件的严重程度达到某种门槛，黑匣子将马上“冻结”缓冲器内的数据，如此被保存的数据将可提供作为事故调查或研究分析之用，被黑匣子保存的范围包含事故发生前约30秒以
69.百度百科：《蓝海市场》，资料来源：https://www.360docs.net/doc/963429731.html,/view/2200261.htm，访问时
间：2014年3月10日。
70. See Joe T. Correia, Ken A. Iliadis, Ed S. McCarron & Mario A. Smolej, Utilizing Data from
Automotive Event Data Recorders, p Roc. oF The c anadian M ulTidisciplinaRy R oad s aFeTy
c onF., at 1 (2001), https://https://www.360docs.net/doc/963429731.html,/url?sa=t&rct=j&q=&esrc=s&source=web&cd=
1&ved=0CCkQFjAA&url=http%3a%2f%2fwww%2enhtsa%2egov%2fDOT%2fNHTSA%2fN RD%2fArticles%2fEDR%2fPDF%2fResearch%2fUtillizing_Data_from_Automotive_Event_ Data_Recorders%2epdf&ei=WsU6U73oEIXniAfr-YC4Aw&usg=AFQjCNHf23DOa8H7Ma-K501-xG6IBd2wWA.
71. See v eTRonix c oRpoRaTion & c Rash d aTa R eTRiev al s ysTeM, v eTRonix c Rash d aTa R eTRiev al
s ysTeM 1, 5 (2009), https://www.360docs.net/doc/963429731.html,/tsc/2009documents/VETRONIX.pdf.
72.See i nTeRnaTional R oad F edeRaTion(i ndia), R oad a ccidenT d aTa R ecoRdeR 1, 14 (2010), http://
www.irfnet.ch/files-upload/radar/RADaR_Presentation.pdf.
73.中国日报网：《欧盟拟为公交车辆装“黑匣子”》，载《中国日报网》2010年7月21日，
资料来源：https://www.360docs.net/doc/963429731.html,/language_tips/news/2010-07/21/content_11032137.
htm；更新日期：2010年7月21；访问时间：2014年3月10日。
651