华政学报 | 朱振 生命的衡量——自动驾驶汽车如何破解“电车难题”
生命的衡量
——自动驾驶汽车如何破解“电车难题”
作者简介
朱振 吉林大学理论法学研究中心，法学院教授，吉林大学全面依法治国研究中心研究员，法学博士
目 次
一、视角与难题：碰撞选择在伦理和法理上的真正挑战
二、自我保存：从个体选择到制度确认
三、再访权利的边际限制：电车难题的法哲学解决方案
四、可允许的危险、伤害与碰撞选择
五、结语
摘 要
自动驾驶系统的碰撞伦理是一个新的理论和实践难题，其中真正的两难困境是人的碰撞选择。人的碰撞选择就是生命的衡量，这也是电车难题的核心所在。有人驾驶汽车的碰撞选择依赖于司机的即时判断，而自动驾驶汽车的碰撞选择依赖于事先的算法设计，算法必须要对各种可能的情况事先做出道德与法律判断。自动驾驶系统视角相当于电车难题中的旁观者视角，即第三人称视角；它既是外在观察者，又是事件的参与者，并对结果产生根本影响。法教义学的制度设计取决于道德哲学关于价值冲突的解决方案，碰撞伦理的关键在于确立如下优先次序：第一，自动驾驶系统的乘客应该受到优先保护，他们不应当成为首先被牺牲的对象；第二，自动驾驶系统的算法程序不应当为避免碰撞而选择人数更少的对象；第三，在只付出合理代价并带来更大社会善的情形下，该算法程序也可以对乘客施加可允许的伤害。
关键词
电车难题 碰撞伦理 消极权利
作为一项融合了多种高科技手段的新型人工智能技术，自动驾驶系统替代人类驾驶员是一个逐步实现的 。实际上，现今我们在技术 层面还无法做到完全的自动驾驶，只能是部分的自动驾驶。完全的自动驾驶就是美国道路交通安全局定义的第四阶段：加速、操控方向盘、刹车全部由系统控制，无需驾驶人员进行任何操作。甚至在接近完全自动驾驶的准自动驾驶阶段，自动驾驶系统的算法程序设计就开始面对一个类似于“电车难题”的独特问题，即碰撞选择。本文的讨论限定在接近完全自动驾驶系统上，因为不完全的自动驾驶意味着人类驾驶员要随时掌控汽车，这将导致碰撞选择的规则设定和责任承担过于复杂，不利于对碰撞核心问题的讨论。
自动驾驶的碰撞难题涉及复杂的选择：物与物的碰撞、人与物的碰撞和人与人的碰撞。根据普遍接受的碰撞伦理，两个碰撞对象都为财物的，优先保护价值高的财物；在人与物的碰撞情形中，优先保护人。这两种类型的碰撞属于不真正的两难困境，真正的两难困境涉及人的碰撞选择。人的碰撞选择就意味着生命的衡量，这也是电车难题的核心所在，于是破解自动驾驶系统算法设计的“电车难题”就是本文的主要任务。
富特（Philippa Foot）在20世纪60年代一篇讨论堕胎的著名论文中提出了后来被称为“电车难题”（The Trolley Problem）的假想案例：一辆失控的电车即将撞向轨道上的五个人，避免撞死这五个人的唯一办法是司机把电车转向另一条轨道，并且撞死岔道上的另一个人，而这个人在所有的道德相关性方面与五人中的每一个都是平等的。这是一个比较初级的电车难题，卡姆（F. M. Kamm）又称为“电车司机的两项选择案例”。在自动驾驶即将到来的时代，道德哲学上的这个著名难题已不再只是一个思想实验，而成为自动驾驶系统需要面对的现实困境。因为再完善的自动驾驶技术也可能面临极端情况下的碰撞选择，是牺牲自己还是选择撞人，是撞一个人还是多个人、老人还是小孩、遵守规则者还是不遵守规则者……这些都涉及选择的道德与法律难题。将来商业化的自动驾驶汽车一定会面临这些难题，因此未雨绸缪的碰撞伦理难题引起了社会和学界的广泛关注，道德和法律决策将如何抉择是一个需要研究的重要课题。
当然，本文并不是要单纯重复道德哲学关于电车难题的已有讨论成果，而是要在自动驾驶的语境中重新构造电车难题，并提炼自动驾驶之电车难题的核心问题；并在此基础上，引入哲学上关于电车难题之碰撞选择的道德原则，为讨论自动驾驶的碰撞伦理与法律规制提供背景与讨论的基础，因为任何研究都必须建立在已有的基础之上。但关键是，我们要找出自动驾驶和电车难题的差异，看一看这些熟悉的道德哲学原理怎么样适用于自动驾驶领域，而不是简单移植。此外，碰撞伦理不仅涉及道德价值的排序，而且也和法律制度设计紧密相关。人类驾驶员即使为了自保而造成了事故，可以基于法律上的紧急避险只承担有限的侵权责任而免于刑事处罚。但是自动驾驶系统重构了人机模式，我们需要重新建立关于责任的理论与制度。尽管制度设计不是本文讨论的重点，但是自动驾驶碰撞伦理与法理却是建立相关制度的理论前提。
一、视角与难题：碰撞选择在伦理和法理上的真正挑战
在对“电车难题”的大量讨论中，尽管学者们对这一用法的含义有不同的界定，而且这一难题也发展出了各种各样的类型，但是它有两个基本形态：一是电车司机能否改变电车方向，二是旁观者能否改变方向，各种变体基本都是围绕这两种基本形态发展出来的。一开始本文就简述了司机的两项选择案例，这是电车难题的一种基础版本；另一个基础版本是汤姆森的“道岔旁的旁观者”（Bystander at the Switch）案例：司机看到前面轨道上有五个人，他踩了刹车，而刹车失灵，所以他晕倒了。你可以搬动岔道扭转电车方向，当然这会杀死一个人。从提出这个案例开始，汤姆森明确地限缩了“电车难题”的含义，即这一难题排除了司机选择的难题，而专指旁观者是否可以改变电车方向这一令人困惑的难题。这两种版本的电车难题各自发展出众多不同的改进形式以验证道德理论，这一划分其实是两种看待问题的视角的划分。司机和旁观者的身份、位置以及与事件的关联度等都存在很大差异，同样在讨论是否能够改变电车方向问题时，正是上述差异导致了非常不同的结论。我们在直觉上会认为，自动驾驶汽车面临的碰撞难题非常类似于电车难题，那么这里的碰撞难题类似于哪一种形态的电车难题呢？或者说它们之间存在哪些类似点和不同点？
我们先看它们之间的相似点。在视角上，第一种类型的电车难题类似于有人驾驶汽车，而无人驾驶汽车更类似于汤姆森所界定的旁观者的电车难题。旁观者似乎可类比于制造商及其算法设计者，因为他们看待这个问题的视角更像是一种超然的态度，而不像人类驾驶员那样要身临其境去做决定。而且人类驾驶员一定会做出有利于自己的决定，而算法设计必然要进行通盘考虑。电车司机所面临的情况与有人驾驶汽车的司机所面临的碰撞难题是高度类似的，所以刑法教科书会通过有轨电车案来讨论刑法中的紧急避险行为。最高级别的自动驾驶系统没有司机这个角色，所有人都是乘客；而自动驾驶汽车的乘客对碰撞行为基本置身事外，他（她）不能做出任何决定或行为，所以这里的乘客与汤姆森所举的司机死亡后乘客来接管并做决定的例子是完全不同的。做出决策的是事先已经确定碰撞选择顺序的制造商及其算法设计者，其地位类似于第二类电车难题中的旁观者，他可以改变事件的进程；如果旁观者没有做任何事，就相当于放任电车继续前行。
但旁观者的电车难题与自动驾驶的碰撞难题也存在着比较大的差异。第一，电车难题是两项选择案例，而碰撞难题严格来说是三项选择案例。后者在面对避免碰撞五人的选择时，既可以转向而撞向一人，也可以选择伤害乘客的方式来避免撞向五人，这也是一种选择。第二，旁观者与电车事件是不相关的，与五人所受到的电车威胁也没有必然关系，因此旁观者可以持一种相对超然的态度。无论是在两项选择还是在三项选择的旁观者电车难题中，旁观者的放任本身似乎不会产生道德上的争议，因为他本来就是局外人。而在自动驾驶的碰撞难题中，制造商或算法设计者是深度参与其中的，不做选择或不做改变也是一种选择，而且具有重要的道德意义。第三，严格说来，自动驾驶的碰撞选择既是旁观者视角的也是局内人视角的，自动驾驶的算法程序实际上承担了司机的角色，是以一种相对超然的态度承担了司机的角色。这有点类似于卡姆所说的“旁观司机的两项选择案例”（Bystanding Driver Two Options Case），旁观司机这个身份也面临着要么任由五人死亡要么杀死一人的艰难选择，尽管二者也存在微妙差异。
其实我们也可以虚构一个带有三个选项的电车难题案例来进一步融合上述第一种差异，然后再结合基础电车难题，以验证我们的道德与法律哲学理论。令人赞叹的是，汤姆森设计了这样一种案例，即“旁观者三项选择”（Bystander’s Three Options）案例：“这个旁观者可以通过两种方式来搬动岔道。如果他搬向右边，那么电车就会转向右边的轨道岔道上，从而杀死一名工人。如果他搬向左边，那么电车就会转向左边的轨道岔道上。旁观者自己站在轨道左侧的岔道上，而电车一旦驶向左侧他自己将会被撞死。或者，他当然可以袖手旁观，任由五个工人死去。”于是，旁观者可做出的三项选择就是：第一，袖手旁观，任由五人死亡（选择一）；或者第二，把岔道搬向右边，杀死一人（选择二）；或者第三，把岔道搬向左边，杀死自己（选择三）。
旁观者的三项选择案例似乎更加类似于自动驾驶的碰撞伦理所面临的艰难选择，但深究起来，它们之间也有一个非常重大的差别，即旁观者的第三种选择即自我牺牲是自愿做出的。但是碰撞难题如果选择牺牲或伤害乘客却不存在自愿与否的问题，制造商或算法设计者置身于事件之外，尽管并不置身于责任之外。这是一种表面的不同，实际上这两种情形都是以一种超然的视角来讨论道德原则的选择问题，而不是从第一人称视角来讨论是否自愿的问题。它们都是在讨论应否牺牲旁观者自己或自动驾驶汽车中的乘客，而不是就某个乘客或旁观者是否自愿进行实证调查。除此之外，二者的出发点还是一致的：思想实验的关键在于验证理论。除了袖手旁观之外，旁观者的其他两种选择并不是完全独立的，选择三的辩护理由会影响选择二，这也是我们首先要讨论汤姆森三项选择案例的理由。关于这一点，本文接下来的两个部分还要进行更为详尽的讨论。
总结来看，自动驾驶的三项选择难题吸收了富特的电车难题、汤姆森的两项旁观者难题以及后来的三项选择旁观者难题，而成为一种新型“电车难题”。这种“新”体现在：第一，自动驾驶系统既是旁观者视角的，又是司机视角的，是融合了两种视角的系统；第二，这种相对超然的视角确保决策者不会涉及自我牺牲或自我伤害的问题；第三，司机的替代身份又决定了选择三的理由会严重影响决策者的其他判断；重要的是第四，自动驾驶系统的算法程序并不是由单一角色的利益决定的，而是体现为一种运用公共理性的融贯的哲学论证。所以这是一种新型的电车难题，自动驾驶汽车的制造商或算法决定者要做出的选择直接指向三个对象：乘客、直接碰撞对象和可选择的碰撞对象。但是这三种对象在道德相关性是不一样的，乘客具有优先性，它在道德相关性的所有方面与其他两个选择对象是不平等的。除乘客之外的可选择的碰撞对象在道德相关性方面也可能存在差异，但这种差异是否足够大以至于会影响我们的碰撞选择，则是需要进一步认真考虑的问题。无论如何，除去乘客，自动驾驶的碰撞选择基本就变成了一个旁观者视角的电车难题。
由此可见，不同的视角会产生不同的难题。自动驾驶系统的视角是复合型的，而且其可选择的碰撞对象在道德相关性方面也存在差异。与传统的人类驾驶汽车相比，自动驾驶汽车取消了司机的角色，它自己变成了“司机”和车辆一体的存在。司机变成了传统意义上的乘客，所有人都成为乘客。司机的角色和任务被替代了，但不是被取消了。人类司机转化成了乘客，所以起到替代作用的算法程序也要优先考虑乘客要是处在司机的位置上会做出的选择。这不仅仅是一种角色替代，更重要的是要置身于这个角色感同身受地推理，否则作为乘客的司机没有必要去接受自动驾驶而使自己的生命健康受到危害。从公平的角度讲，这一要求是合理的。而且自动驾驶作为一款人工智能产品，保护作为消费者的乘客的生命安全也是一项基本义务。
所以，关于乘客的碰撞选择是讨论整个自动驾驶碰撞伦理的前置问题；于是整个碰撞伦理需要解决两大难题：一是隧道难题，即自动驾驶汽车中的乘客在与路人的冲突中，谁优先受到保护的问题；二是电车难题，即在不可避免的碰撞行为中，能否基于某些客观的标准（比如人数、年龄、性别、社会地位、遵守规则/不遵守规则者、外在于/内在于该碰撞行为者）进行选择。然而，解决这两个难题都不能依赖于人类驾驶员在碰撞发生时做出的直觉选择，而必须依赖事先的算法设计；这不是一道真正的选择题，而是事先就给出了答案。这也就意味着，我们无法回避艰难的伦理和法律选择困境，而必须尝试走出这一困境并做出理性的选择。下文先讨论第一个难题，这是自动驾驶汽车商业化的第一个障碍。
二、自我保存：从个体选择到制度确认
汤姆森版旁观者电车难题中的选项三类似于有人驾驶汽车中司机面临的“隧道难题”（The Tunnel Problem），米勒（Jason Millar）把它改造成了一个自动驾驶版的隧道难题：“莎拉正坐在一辆自动驾驶汽车上沿着一条单行山路行驶，这辆车正快速接近一条狭窄的隧道。就在进入隧道之前，一个孩子跑进了车道，并在车道中央绊倒，有效地堵住了隧道的入口。汽车不能及时刹车以避免撞车。它只有两个选择：撞死孩子；或转到隧道某一侧的墙上，从而杀死莎拉。它继续向前，牺牲了孩子。”在隧道难题中，优先保护驾驶员或乘客，这几乎是没有争议的；或者对于一个理性人来说，这一方案是无法拒绝的。算法设计者取代了司机的角色，原来的司机变成乘客，算法的选择要充分考虑乘客的利益和想法。隧道难题本来只是涉及司机个体的选择，这一选择的理由及其合理性需要在自动驾驶情形中得到一种制度上的确认。
本文提出三个理由来反对通过伤害或牺牲乘客来解决碰撞难题：一是因为优先保护乘客符合利己主义的道德观，这不仅是一种主观的偏好，还建立在自我保存的原则之上，正是后者构成了法律规则的基础；二是从反面来说，自我牺牲是超越职责之外的个人美德，但不是一个基本的道德义务，尤其不适合作为法律和伦理规则的基础；三是从后果主义来考虑，自动驾驶汽车的产业化是一个更大的社会善好，拒绝自我牺牲式的选择是实现这一善好的必要条件。
首先，让我们考察一下作为一项社会事实的“自我保存”对于优先保护乘客并建立相关道德和法律规则的意义。利己主义（egoism）既可以是描述性的，也可以是规范性的；前者指的是心理学的利己主义，后者指的是伦理学的或理性的利己主义。无论是哪种形式的利己主义都是为了其自身的福祉或让行动最大化其利益。但是哈特的自我保存理论既不是对这种普遍心理状态的描述，也不是做一种单纯的规范性判断，而是从对自然法之自然目的论的解读中得出“自我保存”这一自明之理的。哈特指出：“人类行为的合宜目的是生存，这一不言而喻的假定依赖于如下简单的偶然事实，即大部分人在大部分时间都希望继续生存下去。”这就抛弃了自然法在目的论观念上的较有争议的部分，而立足于这一非常薄弱的自然事实上。更为关键的是，这一做法与法律和道德规则的存在紧密关联，而不单纯是一种心理学、社会学或其他社会科学的分析。于是哈特在“自我保存”这一基础上构想了五个自明的原则作为自然法最低限度的内容，其中之一就是有限的利他主义（limited altruism）。
在伦理学上，利他主义指的是：“当行为被一个有益于某人（为了这个人的目的）而不是其自身的欲望所激发时，这一行为通常被描述为利他主义的。”利他主义也分为强的利他主义和弱的利他主义两种类型，并不必然要包含自我牺牲，自我牺牲也许是最强的利他主义行为。人类介于极端的利他（这样的社会无需规则）和极端的自私（这样的社会也不可能有规则）之间，所以就需要规则对人的行为进行规制。所以，一个正常的社会是不能要求以规则的形式来实现自我牺牲的，这是一个过高的美德要求，正如富勒所指出的：“法律没有办法强迫一个人达致他的才智所能允许的卓越程度。”就自动驾驶汽车的碰撞难题而言，在让每个人进行选择的时候，基本都首先会做出有利于自己的选择，这就是一种有限利他主义的体现。
其次，自我牺牲是一个伦理美德而不是一个道德义务的要求。汤姆森本人就是从这个角度论述的，而且得到了卡姆的支持。汤姆森和卡姆共同认为，旁观者在道德上不会被要求去牺牲生命以拯救五个人，这样做将会是利他主义的；而且卡姆还补充道：这种做法是分外的或超义务的（supererogatory）。显然，自付代价是一个过高的道德要求。它只能作为一种美德来表扬，甚至都不能作为一种美德来提倡。多数情况下，自我牺牲一般发生在负有职责义务的场合，比如基于某种身份（消防员、警察等）而产生的义务，它来自某种制度性安排；除此之外就属于罗尔斯意义上的份外行为（supererogatory actions），它大大超出了自然责任的要求。自付代价不是一个人的义务或责任，对此罗尔斯指出：“尽管我们有一个自然责任去产生极大的善（比如说，如果我们能够相对容易地做到这一点），但是当我们自己要付出很大成本时，就被解除了这一责任。”这也正如卡姆在评论汤姆森时所说的，汤姆森的看法依据的是非后果主义伦理理论的另一个方面：“总的来说，一个人没有义务要让自己付出极端的代价去做会产生最大善好的事情，即使这样做并不会违反任何边际约束。”
最后，从后果主义来说，如果不优先保护乘客的生命与健康，那么这将成为自动驾驶技术商业化的重大障碍。风险本身并不构成限制技术商业化的主要因素，只要风险本身是可控的，就可以满足商业化的要求。有人驾驶汽车在风险上和造成的社会后果上远远高于无人驾驶，也一样在商业化运用，因为这符合市场化或商业化的基本要求。如果自动驾驶汽车在遇到隧道难题时先牺牲乘客，那么它恐怕永远都无法商业化，因为这样的产品是没人敢用的。
三、再访权利的边际限制：电车难题的法哲学解决方案
显然，优先保护乘客似乎合理，因为不能假设他会选择自我牺牲；从一个公平的角度出发而言，每个人都不愿做出自我牺牲，除非得到他的同意。三项选择案例确实不同于两项选择案例，因为“自付代价”这一因素的加入严重影响了我们接下来所探究的碰撞选择的理由。下文将重点研究道德哲学关于电车难题的诸多争议，并在批判的基础上尝试提出基于法哲学的自动驾驶系统电车难题的解决方案。
（一）伤害的边际约束与可允许的伤害原则在旁观者三项选择案例中，要做出选择的是那个旁观者本人；如果他可以正当地不愿选择撞向自己，那么他可以正当地改变电车方向而撞向另外一个无辜的人吗？实际上在这一案例中，除了袖手旁观，其余的两种选择在理由上是高度关联的，汤姆森就是从这个角度深刻论证了旁观者只能袖手旁观，而不能使其他人付出他自己都不愿付出的代价。根据卡姆的解读，这一论证似乎是形式上的，即诉诸一种论证上的平等原则。因为三项选择的案例不同于两项选择的案例，这种不同不仅在于添加了一个选项，更在于添加的这个选项会影响其他选择的理由。也就是说，选项三可以正当地不被采纳，但它的存在会影响选项二。比如在三项选择案例中，在自己和他人之间要进行平等对待这一形式原则，就会要求也不可以正当地采纳选项二。而没有选项三时，该案例就是一个普通的电车难题，无需遵循上述原则，转而会考虑其他的原则；因此一般认为，可以为了更大的善好而以某种特定的方式牺牲一个人。
三项选择案例中的旁观者在道德重要性上似乎与其他人是不同等的，因为有一项选择涉及旁观者的自我牺牲，所以该选项的加入影响了其他选择。而优先保护自动驾驶汽车中的乘客也类似于这样一个有着道德重要性的因素，那么这一形式原则会不会影响对自动驾驶汽车碰撞伦理的思考呢？无论是作为一项道德原则还是作为一项法律原则，对生命权本身的衡量都需要经过慎重考虑；因为一般认为生命权是平等的，而且这种平等是绝对的。汤姆森后来的看法是旁观者不可以为了救五个人而杀死一个人，而且这一点与关于旁观者应是否自我牺牲的讨论紧密关联；而且她还认为，无论是旁观者的两项选择案例还是三项选择案例都是如此。其主要理由是，旁观者本人和被选择的那个工人都无需为了救那五个人而付出代价：“如果旁观者想要付出代价，他就必须自己来付出这个代价。我强调一下：如果旁观者不想自己付出代价，并因此也将不会自己付出代价，那么他就必须让这一代价不发生在任何人身上。然而，假如最终证明旁观者只有‘旁观者’案例所描述的两个选项。旁观者仍然不可以搬动岔道以至于杀死工人，因为他和工人都无需为了救那五个人而付出这样的代价；因此，既然旁观者自己不能付出这一代价（不管他愿不愿意），他必须放任五个人去死。”
汤姆森改变了她以往的看法，她曾经赞同旁观者可以获得允许去改变电车方向。总体上说，汤姆森的看法属于少数派。许多人认为可以允许，这也符合大多数人的直觉。卡姆批评了汤姆森的这一看法，其反对意见集中在两个方面：一是对平等主义的方法论提出质疑，从选项三到选项二的平等主义推导过程是存在问题的，也就是说类比的对象存在偏差；二是从实质上说，如果存在一个自足的理由能够切断从选项三到选项二的推导过程，那么我们就可以基于独立而自足的理由说，旁观者可以做出第二种选择。实际上这种理由是存在的，那就是卡姆所说的“可允许的伤害原则”。通过这一切断，卡姆实际上把三项选择难题又变为了两项选择难题；从这一点我们也许可以看出，旁观者的三项选择难题不具有独立的意义，最后又返回到传统的旁观者难题。在更为深入地讨论自动驾驶汽车特有的碰撞难题之前，我们先概述一下卡姆对汤姆森的反对意见。
根据汤姆森的看法，旁观者自己不愿付出代价，那么就无法正当地让其他人付出同样的代价。在方法论的意义上，这是一个同等条件下的比较问题，涉及我们对公正的理解。卡姆把这一点概况为汤姆森的“非正当性”论证（“indecency” argument），表面上类似于科恩（Gerald Cohen）所提出的一种论证。科恩讨论了一个谁可以批评谁的问题，或谁有资格可以批评谁，这涉及对平等对待的不同理解。根据卡姆的总结，科恩的看法是：如果甲做错了事，那么就不再有资格责备乙做了同样的事，即使乙也错了，而且除了甲之外的任何人都可以责备乙。实际上，这与汤姆森的推理逻辑显然存在微妙的差异，这需要我们考虑哪一种推理逻辑更合理。关于这种差异，卡姆指出：“科恩关注的是，在其他条件不变的情况下，一个人已经做或正在做某事，那么他是否有资格谴责其他人做了同样的事情；或者，当这个人自己正在拒绝或已经拒绝做某事，那么他是否还能要求其他某人做这件事。科恩的关切可能蕴含着，在其他条件不变的情况下，当旁观者在三项选择案例中正在、已经或将会拒绝自愿献出他自己的生命时，旁观者谴责其他某人拒绝自愿地献出生命或要求他自愿地献出生命，这是不合理的或不被允许的。相比之下，汤姆森所希望谴责为不合理、不被允许的行为是：当旁观者将不会或也不想自愿献出自己的生命时，在未经他人同意的情况下夺走其生命。”
我们可以这样概括科恩和汤姆森的推理差异：前者是，一个人自己不愿自愿做出牺牲，那么就不能要求其他人自愿做出牺牲，否则就是不合理的；后者是，一个人自己不愿自愿做出牺牲，那么就不能夺取其他人的生命。前一个推理的要求是比较低的，也可以说是在一个人自己和其他在道德重要性上同等的人之间的平等要求，即在利他主义方面要同等对待；而后一个推理在所类比的两件事上确实不在一个层面上，是不对等的。所以卡姆认为，即使汤姆森所说的不能夺取其他人的生命是可允许的，其好的理由也不能说是一个人自己不想付出代价。借用舍弗勒（Samuel Scheffler）的主张，这种不可允许性奠基在不为最大化善而付出代价的以行动者为中性的特权（theagent-centered prerogative）上，而这种特权最终奠定在行动者的自主性上。但是这种自主性是有限制的，有时候以某种特定的方式要求某人并使其付出代价并未违背他的自主性。实际上，卡姆一再指出，如果有自足的理由，那么即使一个人自己不愿付出代价，这个代价一样可以强加到其他人身上。
卡姆认为，富特的司机电车难题和汤姆森的旁观者电车难题都属于电车难题的范围，无论司机还是旁观者都可以扭转电车方向牺牲一个人来拯救五个人的生命。在推导这一结论的过程中，卡姆做出了一个关键的区分，即因果关系与非因果性关系（或构成性关系）。这是一个非常细致的区分，但它是否具有重要的道德意义，下文再做讨论，现在先举两个例子来更好地理解这一区分。我们可以设想解决电车难题的两种方案，一种是两辆电车案例（Two Trolleys Case），另一种是爆炸电车案例（Bomb Trolley Case）。前者是说，在轨道上有第二辆电车，可以使第一辆将要撞死五人的电车偏离轨道，但结果会把另一个人撞死；后者是说，可以引爆一枚炸弹致使电车偏离五个人，但是炸弹会炸死另外一个人。这两种方式都是不能被允许的，因为它们都包含了直接导致其他人死亡的后果，卡姆把这种手段与死亡后果之间的直接关系称为一个因果关系（a causal relation），把间接关系称为一个非因果关系或构成性关系（a constitutive relation）。与上述两个案例不同，电车司机和旁观者就可以扭转电车方向，因为五个人得救只是这种行为的纯粹非因果性对应物（the mere noncausal flip side）。
显然，五个人得救所造成的后果是会撞死另外一个人，但这个人的死亡与拯救五个人的生命之间不具有直接的因果关系，它不是拯救行为所使用之手段的组成部分，只是这一手段产生的不利后果。既然同样都是后果，那么它们在“后果”的特定意义上就是可衡量的。卡姆认为，推倒胖子阻挡电车案例和外科医生器官移植案例都可以依据这一原则得到完美解释。据此，卡姆推导出了她的“可允许的伤害原则”（Principle of Permissible Harm，简写为PPH）：“如果更大的善或其一部分（或将这些善作为一个非因果性对应物的手段）甚至直接导致较小的损害，这些行动也是可允许的。即便产生更大善的纯粹手段（像那枚炸弹或第二辆电车）至少会直接导致较少的伤害，这些行动也是不被允许的；此外，即便纯粹手段造成了更少的伤害（比如把人推倒在电车的前面），而这些伤害是产生更大善的纯粹手段，这些行动也是不被允许的。”这也许就是卡姆对所谓电车难题之谜的最终实质性解答，这是一个融合了后果主义与非后果主义的方案，但最终还是坚持了人是目的这个义务论道德的基本立场，尽管这个方案允许在符合边际约束的情况下对人的伤害。
（二）非利他主义之普遍化的理论价值
卡姆长期研究电车难题，设计了很多精巧的案例，这些案例提供了各种极端的情景来激发我们的直觉并验证相关的道德理论；尽管学界对道德哲学的这一作业方式存在着很多争议，但卡姆确实对电车难题提出了自己独到的解释模式和解决方案。关于自动驾驶汽车碰撞伦理的有意义的解决方案必须从思考卡姆的理论开始，这是我们绕不过去的。那么卡姆的原则是否能够解决我们这里所讨论的自动驾驶汽车的碰撞难题呢？接着上文所着重讨论的平等推理和可允许的伤害这两个论题，下文继续探究这两个结论能够为自动驾驶的碰撞伦理提供什么样的启发。这里提出两个相关的问题：一是，自动驾驶系统优先保护乘客的理由对于相关的碰撞选择会产生什么样的影响？二是，自动驾驶系统的碰撞难题基本不存在卡姆所说的拯救五人的善果成为碰撞选择的因果性对应物，那么PPH能够有效解释自动驾驶系统在人数上的碰撞选择（即选择人数小的那一方）吗？我们先来解答第一个问题。
前文已经论及，自动驾驶系统中的乘客和汤姆森的旁观者在道德重要性上不同于其他可选择的碰撞对象，且制造商或算法设计者看待问题的视角也不完全等同于旁观者与司机中的任何一个。自动驾驶算法程序的视角类似于一种超然的态度，但不是一种事不关己的纯描述态度，而是深度参与其中的。这一态度必须尝试找到一种客观的、普遍能接受的方案，而不是某个个人视角（比如司机或旁观者）的方案；此外，它最起码是一个理性人没有理由拒绝的方案，尽管不一定是可接受的方案。总之，制造商及其算法决策者需要提出普遍、中立、理性的制度性判断，而不是个人的判断。这将会影响我们判断乘客之外的碰撞对象的选择理由，每个人都有可能既在某种条件下成为乘客，而在另一种场合下成为其他被选择的碰撞对象；而不像在电车难题或旁观者难题中，司机或旁观者的身份是固定的。
根据科恩的对等观点，旁观者不愿选择扭转电车使自己付出代价，那么他也不可以要求其他人变换轨道冲向他人自己。这种对等的要求是非常低的，实际上又回到了问题的起点，旁观者依然要面临是否扭转电车撞向那一个工人的难题。当然另一方面，这种对等的要求也蕴含了一个道德原则：被选择的少数一方也无需被认为是利他主义者，“如果旁观者不放弃其生命是可允许的，那么他应该承认，在另一条轨道上的人不放弃其自己生命也是可允许的。”如果我们把这个旁观者替换为算法设计者，那么我们可以正当地认为，乘客无需成为一个利他主义者，这一点依然适用于其他的可选择对象，他们不放弃生命也是可以允许的。这一点有两个方面的意义：一是积极的，即被选择的碰撞对象可以进行抵制，这一点卡姆曾反复强调；二是消极的，即他们的生命权本身值得切实尊重。由此可见，卡姆把汤姆森的看法与科恩进行类比似乎并没有什么道理，汤姆森应该不会反对卡恩的这一类比方式；但是汤姆森的结论显然要比科恩的立场强得多，即一个人不愿自付代价，那么也不能强制其他人自付代价，我们在直觉上完全可以接受这一结论。在自动驾驶方面，乘客不想也不能自付代价，这一点对于扭转碰撞的方向有无影响呢？这是我们要重点考虑的问题。
卡姆在评论汤姆森的三项选择电车难题时认为，“一般来说，人们不能从一个三项选择案例中的结论推导出一个两项选择中的结论。”卡姆试图切断三项选择案例分析对于两项选择案例结论的影响，其实汤姆森的意图并非如此，她认为她并不依赖于人们能够做出这一推理的任何一般性命题：“事实上，我提出三项选项案例主要是为了更生动地提供理由来说明，在两项选择的案例中，旁观者不被允许杀死工人；也就是说，无论是旁观者还是工人，都不需要付出拯救那五个人的代价。”所以，除非旁观者自付代价，否则他不能让工人（这里的工人特指被选择自付代价的那个人）来承担这个代价；这不仅适用于三项选择案例，也适用于两项选择案例。我们有充分的理由认为，这一推理也适用于自动驾驶的情形：算法既占据了司机的位置，也拥有旁观者的视角，如果乘客是非利他主义的，那么其他可选择的碰撞对象也是非利他主义的；如果乘客不想自付代价，那么可选择的人数较少的一方也不能为了拯救更多人而自付代价，否则就是不公平的。这最终还根源于算法的选择不是基于直觉的感性的判断，而是一种深思熟虑的哲学判断。在结论上，这一判断即使是反直觉的，也应当坚持这一判断的合理性，因为它体现了非利他主义之普遍化的理论价值。
（三）回到权利：为何伤害是不可允许的其实对汤姆森观点真正提出挑战的是卡姆的PPH，这一原则对于自动驾驶的碰撞伦理问题也最具有意义。因为卡姆的PPH是一个一般性的理论命题，既适用于司机的电车难题，也适用于旁观者的电车难题，而自动驾驶汽车恰恰融合了这两种视角。卡姆认为，如果有自足的理由来辩护，即使不经工人同意也可以强加伤害，那么这一伤害本身也是合理的，而且还不违背非后果主义的边际约束。从理论上说，卡姆的这一推理思路没有问题，确实没有任何一个义务论的原则是绝对的，包括汤姆森所提出的旁观者和工人都不能自付代价。关键是卡姆的这一结论是否是合理的，尤其是那个自足的理由到底是不是自足的。其实卡姆并没有清晰说明其所谓的自足理由指的是什么，从其论述似乎可以总结说，自足的理由包含了两点：一是人是目的的根本立场；二是可以实现更大的善。作为一种非后果论的论证模式，卡姆的第二个理由其实是对第一个原则立场的限制；而在某种意义上，是汤姆森坚定捍卫了第一个原则立场。确实，卡姆提出的精巧理论做出了微妙却具有重要道德意义的区分。更大的善总归是一件好事，这个善的实现并不以某人的死亡作为直接手段，而只是一个间接的结果而已。这个结果是为了实现更大的善所付出的必要代价，这个代价是可以得到辩护的。接下来本文讨论两个有意义且相关的问题：一是，上述的理由二对于理由一的原则立场是不是一种不可承受的伤害？二是，由此卡姆的PPH能够有意义地适用于自动驾驶汽车的碰撞选择吗？
托马斯•胡尔卡（Thomas Hurka）专门评述了卡姆的可允许的伤害原则，他举了一个军事轰炸的例子来说明这一原则可能存在的问题。有一所敌方的兵工厂成了轰炸目标，但轰炸必然会波及平民。按照卡姆的原则，如果平民是被弹片击中的，那么轰炸在道德上就是不被允许的；而如果平民是被轰炸工厂的构件击中的，那么平民的死亡就是可允许的。这种区分在理论上是真实存在的，也许具有一定的道德意义。但实际上，我们在直觉上不会觉得这种区分有什么重要的道德意义，正如胡尔卡所指出：“不管战争中附带伤害的道德的最终含义是什么，我都不会认为其中的任何东西要取决于平民是否被一种飞行物体而不是另一种飞行物体杀死。我也不认为世界上的军事机构有一种强烈的义务去开发那些只会间接地杀死平民的武器，即用这些武器要去爆炸的目标而不是用武器自己的爆炸力量置平民于死地。即使卡姆的原则在电车案例中产生了有吸引力的结果，但在这里似乎极不合情理。”所以谢利•卡根（Shelly Kagan）认为，卡姆从事的大部分工作只是一种心理学重构（psychological reconstruction），即仅仅是在解释我们直觉判断上的一些差异。而且卡根认为，卡姆所作出的那些关键区分实际上不具有重要的道德意义，也不必然符合每一个人的直觉。他赞同汤姆森的看法，保留道义论并放弃在标准电车难题中可以改变方向的直觉判断：“或许我们会选择接受一个原则，（粗略地说）它完全排除杀害无辜者。如果这样一个原则能够被赋予一个合理的根本理由，那么这可能会容纳足够多的直觉来满足我们，即使它并不符合所有的直觉。”在这两位评论者看来，作为一个重要的原则，PPH基本没有道德上的重要意义；而且用这一原则来解释一些复杂的社会现实问题，还会得出一些奇怪的并不符合道德直觉的结论。
自动驾驶中的碰撞选择基本不会涉及为拯救更多生命而使其他人作为手段的情况，那些复杂的电车难题设计都不会在自动驾驶领域出现，可以说自动驾驶碰撞伦理完全处于卡姆PPH的覆盖范围内。但是在对自动驾驶碰撞问题的直觉理解上，我们会觉得这一原则所依赖的那一重要区分并不具有卡姆所宣称的重要道德意义。在根本上，被选择的碰撞对象还是被作为手段来使用了，因为这一碰撞行为并没有获得他们的同意，也不能假设他们都是利他主义者。卡姆提到其界定边际约束时充分考虑到了消极权利问题：“在其他地方，我支持对强加代价（或损害）的限制，赞同未经一个人同意不得强加代价的消极权利，并辩护了限制和特权之间的关联。然而我认为，当没有人将会或被要求将代价强加到自己身上时（尽管他将代价强加到自身是可允许的），强加代价到其他人身上有时在道德上是可允许的。”显然，卡姆考虑到了这种消极权利的存在，但是他对消极权利之重要性的考虑似乎还不够，于是她得出了“未经允许就把代价强加到其他人身上有时在道德上是可允许的”结论。汤姆森在评论的最后部分指出，我们也许可以深入研究一种理论，来找到类似问题的答案，就是权利理论。
汤姆森只是提到了这一点，而未做进一步的论述，只是说这是另一个场合的论题。实际上，权利理论也许是讨论自动驾驶系统碰撞伦理的一个有用的理论，这实际上和富特的早期论述在本质上是一样的，只是富特采用的术语是义务。接下来本文尝试在这一思路上推进对问题的思考，并期望得出与卡姆不一样的结论。
在直觉上人们就可以感觉到，电车难题和器官移植难题在道德上是有微妙差异的，而且伦理学上源远流长的“双效原则”（Doctrine of Double Effect）似乎也可以解释其中的差异，但是富特借鉴法哲学关于积极权利（积极义务）和消极权利（消极义务）的区分重新思考了这个问题。富特引了萨尔蒙德（Salmond）在其《法理学》中的一段话作为其分析的概念基础：“积极权利与积极义务相对应，是指这样一个权利，即义务人为了权利人的利益将会采取某种积极的行动。消极权利与消极义务相对，是指这样一个权利，即受约束者将会避免采取某种行动来侵害权利人。前者是一个积极受益的权利；而后者仅仅是一个不受损害的权利。”富特据此认为，电车司机面对的是两个消极义务的冲突，因为避免伤害五个人和避免伤害一个人都是其义务；在二者不能兼顾时，显然他只能选择最少的伤害。而在外科医生的器官移植案例中，外科医生面临的是消极义务（不杀死一个健康的人）和积极义务（帮助五位病人）之间的冲突，而消极义务要优先于积极义务，所以他只能放任五个人的死亡。
在富特的思考中，电车难题不存在放任的可能，两个消极义务是同等的；而只有在器官移植案例中才有放任的情况存在，因为外科医生对于整个事件来说是没有卷入的，在道德上他可以放任。在后一个案例中，积极救助的义务是比较弱势的，不能让救助者付出过高的代价。既然两个义务的性质都是消极的，那么它们之间就没有性质的不同；在考虑的分量上，“后果”就成为一个重要的衡量因素，所以他在两个消极义务之间进行了比较，认为可以进行后果主义衡量。既然两个消极义务本无优先性可言，那就应该取消对人数少的消极义务。富特是从司机的角度来说的，所以他选择了消极义务；而卡姆是从被撞者角度来说的，所以他选择了消极权利。权利义务是相对的，所以她们的论证思路和论证理由都是一样的，这样我们就需要看一下：他们的消极权利（或消极义务）在道德相关性方面是一样重要（或平等）的吗？
富特提出了一个有价值的解决方案，到现在为止还一再被拿出来讨论。这一解决方案到现在之所以还有价值，就是因为它所依赖的消极/积极权利（义务）的分类依然是有效的，尽管我们需要根据新的情形和理论的发展进行更为详细而精致的阐释。具体到自动驾驶系统的碰撞难题，这一解决方案依然是有价值的。而且为了使论题集中，我们只讨论即将被碰撞的是五人，而可选择的碰撞对象是一人的情形，以便于检验道德和法律原则的可适用性。在富特看来，无论是五人还是一人，他们都是平等的消极权利或消极义务。起码卡姆认为，可选择的那个人也享有消极权利，只是这个消极权利并不具有绝对的优先性而已。结合自动驾驶的碰撞伦理问题，其实这个判断在两个方面都是不准确的，其实我们面临着更为复杂的情形，具体分析如下。
那五个人也许并不完全处于一种消极权利（或消极义务）的地位，他们是基于某种偶然的事实首先被卷入了这一碰撞事故之中，其原因也许是机械故障（比如刹车失灵）、传感器故障或人工智能的判断失误等。这种卷入在道德上具有一定的意义，在某种程度上我们甚至可以说，自动驾驶如果不做选择也只是放任碰撞的发生。而放任与有意促成某种碰撞，还是存在道德差异的。尽管这种放任并不是完全基于外科医生视角的放任（因为医生基本独立于整个事件，他只负有有限的积极救助义务），但二者还是具有比较大的相似度；因为自动驾驶的算法程序出错是一个概率问题，一旦出错它就负有比较强的积极救助义务，这种义务强于医生的义务。
所以，自动驾驶系统算法程序似乎同时负有消极义务和积极义务，消极义务意味着不能侵害五人的生命权，但是这一说法似乎也没有多大的意义，因为在具体的场景中碰撞事实几乎是不可避免的。而积极义务意味着自动驾驶汽车算法系统要想办法履行积极的救助义务，我们要重点考察这种积极义务的强度，而作为比较的就是其他路人之权利的强度。作为碰撞可选项的路人（无论是遵守规则者还是不遵守规则者）其实都不是整个事件的直接相关方，即不是直接卷入事件者；只是作为一个偶然的事实，他可能成了被选择的对象，但在道德上他的利益不应该被优先牺牲。可以说，他享有一个比较典型的消极权利，自动驾驶负有一个纯粹的消极义务。所以在这时，自动驾驶系统的积极义务的强度要弱于这种典型的消极权利的强度，以牺牲一人为代价来救助五人是没有道理的。
四、可允许的危险、伤害与碰撞选择
需要指出的是，上述讨论不应构成在法律上禁止自动驾驶的理由，因为我们讨论的都是非常极端的情况。有足够的理由表明，无人驾驶在可能造成的伤害上要远远优于有人驾驶。“自动驾驶汽车的驾驶更为合理是因为它能够快速地进行风险和利益分析，这比一个自私、疲惫的醉汉的决策要好很多；自动驾驶拥有360度的感知器，掌握的信息也更全面。”无论是隧道难题，还是电车难题，都属于法律上可允许的风险；再附之于制造商的严格法律责任，以及碰撞伦理的可接受性，自动驾驶的碰撞难题无论在理论上还是法律制度设计上，都可以得到妥善解决。
有人驾驶汽车发生事故是一个概率问题，所以人类发明了保险制度以降低人的非理性行为对人类生活的影响；无人驾驶汽车虽然大大降低，甚至消除了由于各种非理性行为发生事故的可能性，但是由于感知和信息整合系统而发生事故的情况也可能出现。但法律对它们的认识和对待措施是不一样的，以往的侵权法和道路交通安全法对于碰撞问题基本只关注责任的分配，而不会关注碰撞选择，碰撞选择甚至都不会成为一个问题。因为人的碰撞选择是没法预测的，做出什么样的选择都有可能。人类驾驶员出于保护自己的本能，在遇到事故时会在瞬间依赖于直觉而选择一个碰撞对象；但这个“瞬间”对于智能化的自动驾驶来说却是一个充分的时间，它可以充分地感知相关信息并做出判断。这使得碰撞选择不再依赖于直觉，而依赖于事先深思熟虑的算法计算。所以，以前的法律关注碰撞之后的责任划定，而现在的法律除了关注责任划分，更关注碰撞的选择顺序。
正因为自动驾驶汽车的制造商或算法程序设计者处于旁观者的中立或超然地位，乘客也可以成为一个选择对象。尽管在所有的可选对象中，乘客具有更为重要或优先的道德地位。这就说明，乘客并不像有人驾驶汽车中的司机那样可以是完全自利的，因为几乎没有任何人愿意自付代价。但是在自动驾驶领域，情况发生了变化。如果只是让乘客付出比较小的代价而作为被选择的碰撞对象以实现更大的社会善好，那么这应当是合理的。因为相对路人，乘客会有比较好的安全保障措施，比如汽车一般都有用来保障安全的防撞措施。此外，汽车本身就是一个危险物品，因此这种合理性还来自乘客本来就是自动驾驶的受益人，根据谁受益谁担责的一般法理，让乘客承担较为轻微的伤害也是合理的。我们也可以说，这是卡姆的可允许的伤害原则在另一个层面的运用，即适用到乘客身上；但这种适用的边际约束是，只能施加可允许的合理代价。
由此，我们可以尝试提出一个具有法理意义的伦理指南，以解决自动驾驶碰撞选择的优先次序。这个指南只是指导性的，用来指导立法而已。德国就制定了一个类似的伦理指南，试图对价值冲突的解决给出一个优先次序。结合上文的全部论述，我们可以总结出这样一个框架性次序：第一，自动驾驶系统的乘客应该受到优先保护，他们不应当成为首先被牺牲的对象；第二，自动驾驶系统的算法程序不应当为避免碰撞而选择人数更少的对象；第三，在只付出合理代价并造成更大社会善好的情形下，也可以对乘客施加可允许的伤害。
五、结 语
自动驾驶汽车的碰撞伦理是一个新的理论和实践难题。有人驾驶汽车依赖于人的即时判断，责任追究也要考虑主观上的可归责性；而自动驾驶碰撞难题的解决依赖于事先的算法，而算法必须要对各种可能的情况事先做出道德与法律的判断。有人驾驶的碰撞选择采取的是电车难题中的司机视角，即第一人称视角；而自动驾驶碰撞选择采取的是电车难题中的旁观者视角，即第三人称视角。他既是外在观察者，又是事件的参与者，并对结果产生根本影响。电车难题是一个思想实验，自动驾驶碰撞伦理相当于这一思想实验的部分现实化，尤其是这一思想实验所确立的一些道德原则对于思考自动驾驶碰撞伦理极有启示意义。法教义学上的制度设计取决于道德哲学上关于价值冲突的解决方案，而自动驾驶碰撞难题的关键在于解决生命权之间的冲突。解决的途径不能依赖于民意测验的报告，只能取决于深思熟虑的哲学论证。但二者并非截然对立，如果哲学论证也能得到实证数据的支持，那么这无疑会使哲学论证更为强而有力。
自动驾驶系统以一种超然的态度取代了司机的位置，这一定位决定了自动驾驶系统应优先保护乘客，他们不应首先被牺牲掉；其次，自动驾驶系统的算法程序不应当为了拯救多数人而牺牲少数人，似乎更不应为了拯救少数人而牺牲多数人，也许放任才是唯一的选择；最后，对乘客施加伤害也是可允许的，只要相应的代价是合理的，并能带来更大的社会善好。
完全的自动驾驶系统把电车难题现实化了，并且创造了人类驾驶不会出现或不被重视的伦理困境。但是长期来看，我们还是应当致力于对伦理难题的技术消除，而不是苦苦追寻终极的道德或法律解决方案。套用一句关于语言哲学之功能的评价，我们可以说，在很多领域，技术的发展不是解决了，而是取消了道德困境。比如，如果自动驾驶车辆的安全性达到甚至超过民航客机的水准，那么我们关于碰撞伦理的讨论似乎也没有必要了；因为碰撞事故发生的概率实在是太小了，几乎不会影响到人们的正常生活，以至于人们就慢慢忽略了这一困境的存在。
（责任编辑：马长山）
（推送编辑：曹艳琴）
本文原载于《华东政法大学学报》2020年第6期。编辑部在线投稿系统已更新，欢迎学界同仁登录journal.ecupl.edu.cn惠赐大作！
推荐阅读