フォルクスワーゲンはディーゼル・ディフィートデバイスをソフトウェアガバナンスの説明責任テストにした

概況

• 確認された技術的引き金は、二重条件のエンジン制御動作であった。特定のディーゼル車は公的な排出ガス試験に関連する条件を認識し、通常の運転とは異なる排出ガス制御を行った。米国環境保護庁（EPA）によると、影響を受けた2.0リッター車は通常運転で最大40倍の窒素酸化物を排出した。正確な倍率は車両、走行ルート、エンジン世代、管轄区域によって異なり、すべての影響を受けた車に普遍的な倍率ではない。
• フォルクスワーゲン AG の米国における刑事司法取引は、同社が認めた行為の最も強力な内部年表を提供している。同社はディフィートデバイスの開発と繰り返しの虚偽認証、司法妨害、虚偽申告による輸入を含む共謀を認めた。この法人処分はすべての従業員の有罪判決や、すべての取締役が同時に同じ事実を知っていたという認定ではない。
• 直接的な根本原因は偶発的なコーディング欠陥ではなかった。ソフトウェアは認証の境界で製品目標と排出ガス目標を調整するために使用され、路上では異なる動作状態を残していた。寄与要因には、集中化されたキャリブレーション権限、製品制約、設計とコンプライアンス試験の分離の弱さ、不透明なソフトウェアの繰り返し認証、管理エスカレーションの失敗、規制当局への誤解を招く説明、記録の不適切な保存が含まれる。
• 独立したポータブル測定による試験が制御ループを破った。国際クリーン交通評議会（ICCT）の委託による2014年のウェストバージニア大学の研究では、試験した2台の車両で路上と実験室での窒素酸化物の大きな差異が発見された。CARB（カリフォルニア大気資源局）と EPA は試験を繰り返し、証拠に合致しない説明を却下し、後年次モデルの認可をこの不一致の解決にかかる条件とした。外部チームが予想される実験室サイクルを繰り返すのではなく、運転環境を変えたことで検出が成功した。
• 法的結果は分けて考えなければならない。米国の刑事認諾、大気清浄法同意判決、FTC（連邦取引委員会）の消費者命令、ドイツの民事判決、カナダの有罪答弁、オーストラリアの同意に基づく裁判所宣言、欧州連合の法的解釈は、それぞれ異なる法律に基づき異なる問題に答えるものである。和解は必ずしもすべての申し立てを認めるものではなく、後の実走行排出ガス規則や裁判所の解釈は、当初の認証試験であるかのように扱われるべきではない。
• 回復策は、車両の買い取り、承認された排出ガス改良、消費者補償、環境緩和、ゼロエミッション投資、民事制裁金、外部監視下のコンプライアンス変更を組み合わせた。FTC は、米国の消費者に95億ドル以上が返還され、対象車両の88％以上に関連する支払いが行われたと報告している。これは強力な救済証拠であるが、世界的な修理の分母ではなく、すべての改良車両がその後の寿命にわたって同一の性能を発揮するという証明でもない。
• 永続的な決着には、機械的に検証可能な証拠が必要である：バージョン管理されたキャリブレーションロジック、指名された承認者、補助排出戦略の明示的な目録、ランダム化された実世界条件下での独立試験、実行可能な構成への規制当局のアクセス、フリートテレメトリーまたは統計的に有意な使用中サンプリング、車両コホートごとの修理完了、保護されたエスカレーションと未解決の技術的例外に関連する取締役会報告。ポリシー数や完了した監視期間は関連性があるが、観察された行動が最終的な管理である。

ソフトウェアは規制上の表明を実行可能にした

排出ガス認証証明書は、車両タイプが法的に指定された条件下でどのように挙動するかについての表明である。ソフトウェア定義のパワートレインにおいて、その表明は部分的に実行可能である。センサー入力がエンジン制御ユニットに入り、キャリブレーションマップと条件付きロジックが排気ガス再循環、燃料噴射、過給圧、リーン NOx トラップ再生、選択触媒還元などの制御動作を選択し、物理的な排気がテールパイプから出る。もしコードが承認環境を認識し、そこでだけクリーンなモードを選択するなら、認証ファイルと路上製品はもはや同じシステムを記述していない。

EPA の現在のフォルクスワーゲン違反に関する説明は、影響を受けたフォルクスワーゲン、アウディ、ポルシェ車のソフトウェアが排出ガス試験を検出し、試験中は完全な排出ガス制御を起動し、通常運転ではその効果を低下させたと述べている。同庁は特定の2.0リッター車で最大40倍、特定の3.0リッター車で最大9倍の基準超過を特定している。これらは影響を受けた米国グループに関する庁の説明であり、フォルクスワーゲンが後に世界全体で特定した1100万台すべてに一つの排出率を割り当てる根拠ではない。

ソフトウェア機能とディフィートデバイスの区別は技術的であると同時に法的である。現代のエンジンは温度、負荷、速度、部品保護に応じて制御を変えなければならない。条件性は正常である。説明責任の失敗は、条件が通常使用で合理的に予想される状況下で排出ガス制御の効果を低下させ、それが合法的に開示または正当化されず、納品された製品が他の方法では達成できなかった認証を可能にする場合に現れる。したがって、禁止される行為は抽象的な最適化ではない。それは、企業が規制当局と顧客に対して正確な動作説明を負っている境界を越えた、統制されていないまたは違法な最適化である。

これが、この事件を数行の悪意のあるコードに還元できない理由である。コードは仕様化、実装、キャリブレーション、統合、テスト、製品リリース、年式をまたいだ継承、認証車両への組み込み、フィールドでのサービス、当局への説明の各段階を経なければならなかった。各段階には責任者と挑戦の機会があった。ソフトウェアガバナンス分析は、なぜそれらのゲートが乖離を明らかにする代わりに強化したのかを問う。

実務的な管理は分散していたが、メーカーがシステム境界を掌握していた

フォルクスワーゲン AG は、中核製品プログラム、エンジン目標、ソフトウェアリリース、キャリブレーションリソース、車両が該当基準を満たしているという表明を管理していた。ブランドおよび地域エンティティはその製品を現地の認証と顧客に接続した。アウディの担当者は認められた米国のデュアルモードロジックの歴史において重要な役割を果たし、外部エンジニアリング会社 IAV も2.0リッター作業に参加した。司法省は後に、IAV の有罪答弁と3500万ドルの刑事解決を発表した。サプライヤーや請負業者の参加は、統合された車両を正確に認証する車両メーカーの義務を移譲するものではない。

エンジニアはアルゴリズム、キャリブレーションマップ、試験認識、実装に対する直接的な実務管理を持っていた。監督者は設計制約、人員配置、技術的決定、承認を管理していた。製品安全、環境、規制チームはエスカレーションと開示を管理していた。認証担当者は申請と証明を管理していた。法務および記録担当者は、捜査または訴訟が予見可能になった時点での保存を管理していた。上級幹部は目標、紛争解決、製品が約束された性能と排出ガスの組み合わせを満たせないという証拠への対応を管理していた。監査役会と取締役会は、すべてのキャリブレーションテーブルをレビューすることを期待されていなかったが、ガバナンス、リスク報告、結果を管理していた。

規制当局は別個の管理層を保持していた。EPA と CARB は認証要件を定義し、情報を要求し、確認試験と使用中試験を実施し、証明書を保留し、是正措置を命令し、違反を執行できた。欧州の型式認証当局および他の国の規制当局は異なる法令と試験制度の下で運営されていた。彼らの管理は結果的ではあったが不完全であった：彼らはフォルクスワーゲンのコードを書かず、内部意思決定を継続的に観察せず、すべてのソフトウェア戦略を自動的に受信しなかった。

所有者は、救済措置が利用可能になった後、任意の改造のために車両を提示するか、買い取りを受け入れるかを管理していた。ディーラーは改造を実施し、取引を記録した。いずれのグループも、開示前に隠されたモードロジックを発見したり、フリート全体を独自に検証したりできなかった。説明責任は、最終的に車両を所有した者に割り当てられるべきではない。それは、隠された条件、認証声明、そしてその両方に挑戦するために必要な証拠に対する権限に従うべきである。

2006年から2008年：製品制約がガバナンスの決定に変わった

フォルクスワーゲンが認めた米国の司法取引と事実の陳述書は、2.0リッタープログラムの始まりを説明している。2006年、エンジニアはより厳しい窒素酸化物制限の下で米国市場向けの新しいディーゼルエンジンを開発していた。同社は排出ガス規則を満たしつつ、他の設計、コスト、性能特性を維持できる車両を望んでいた。認められた事実によると、エンジニアは課せられた制約の中で必要な組み合わせを達成できず、アウディのデュアルモードコンセプトに基づくソフトウェアを使用して試験を認識し、排出ガス挙動を変更した。

これが最初の決定的な説明責任ポイントである。選択された設計範囲内でのエンジニアリング上の不可能性は、四つの正当な対応を生み出すことができる：ハードウェアの変更、商業目標の緩和、プログラムの遅延、または合法的な規制経路の模索。また、観察可能な試験を製品に合格させることで隠すこともできる。どの選択肢が選ばれるかは単なるエンジニアリング問題ではない。コスト、スケジュール、市場ポジショニング、法的コンプライアンスが競合する要件であるため、これは資本配分と製品ガバナンスの決定である。

事実の陳述書は、担当者が異議を唱え、上司が継続を指示したと述べている。さらに、ソフトウェアは米国の対象2.0リッター車において、2009年モデルイヤーから2016年モデルイヤーまで搭載されたと述べている。フォルクスワーゲンが司法取引のために法人の事実が真実であると認めたため、この年表は法人の認容である。これは、エンジン開発のすべての人が参加した、法的分析を知っていた、またはすべての下流結果を理解していたという主張を許すものではない。

隠されたトレードオフはまた保証を変えた。従来の排出ガス試験は、代表的な車両が制限内で所定のサイクルに従うかどうかを問う。製品がサイクルを認識できるようになると、試験に合格することは認識が機能することの証拠となり、通常使用のコンプライアンスの証拠ではなくなる。その場合、管理は一段階上に移らなければならない：レビューアーは条件付きロジック、隠れた前提を変えるテスト、プログラム目標を達成しようとするチームからの組織的独立性にアクセスする必要がある。それらの管理のいずれも生産を止めるほど強力ではなかった。

2009年から2012年：ソフトウェアが不透明なまま認証が繰り返された

各モデルイヤーについて、米国の適合証明書を求めるメーカーは関連する排出ガス制御システムを説明し、コンプライアンスを実証しなければならなかった。フォルクスワーゲンの車両は実験室試験に合格し、「クリーンディーゼル」の提案で市場に投入された。コードの二重動作により、その繰り返しの成功は誤解を招くものとなった：認証車両は予想される試験ではクリーンに動作したが、通常使用の制御は効果が低かった。繰り返しは問題の規模を拡大したが、誤った自信も生み出した可能性がある。以前の各証明書は次の申請を検証しているように見えた。

米国の有罪答弁が重要なのは、技術的違反以上のものを解決したからである。2017年3月10日、フォルクスワーゲンは三つの重罪で有罪を認めた：米国を欺く共謀、電信詐欺と大気清浄法違反；司法妨害；虚偽申告による輸入。同社はこれにより、単なる孤立したソフトウェア不適合だけでなく、繰り返しの表明と隠蔽について刑事責任を受け入れた。

認証管理は複数の層で失敗した。ソフトウェア目録は、モード切り替えを暴露するのに十分な規制当局向けの説明を生み出さなかった。コンプライアンス試験は認識可能なほど予測可能だった。独立したエンジニアリング上の挑戦は、ランダム化された条件下での路上試験を強制しなかった。認証サインオフは、ソフトウェア所有者からの未開示の試験認識戦略がないことについての消極的保証を要求しなかった。経営陣はプログラムを変更することで当初の制約を解決しなかった。

マーケティングは第二の表明を追加した。証明書は規制当局の法的試験に答える；広告は製品が日常生活で何を意味するかを顧客に伝える。連邦取引委員会（FTC）は後に、環境および低排出ガスに関する主張が購入者を欺いたと主張した。FTC フォルクスワーゲン事件記録には、告訴状、命令、関連資料が含まれている。和解命令は消費者請求を解決し、すべての購入者が見たすべての広告を個別に審理された認定に変換することなく救済を課した。

2012年から2014年初頭：ハードウェア障害が隠された状態を明らかにし、より良い偽装を促した

ソフトウェアの例外はしばしば物理的な痕跡を残す。フォルクスワーゲンが認めた事実の陳述書によると、特定の2.0リッター車は2012年頃に排気システムのハードウェア障害を経験した。エンジニアは、一部の車両が路上走行中にクリーンなシャシダイナモメータモードのままであり、そのように継続的に動作するように設計されていなかった部品に追加のストレスをかけていると推定した。したがって、異常は製品に、その長期路上運転が意図された設計範囲外である状態が含まれていることを明らかにした。

2012年7月の会議で、司法取引記録で特定された上級担当者にディフィートデバイスとハードウェア障害の説明がもたらされた。認められた説明によると、さらなる隠蔽が奨励された。エンジニアは後に、ストリートモードで開始し、ステアリングホイール角度認識を含むシャシダイナモメータ条件を識別した後に切り替えることで試験認識を改善した。既存の車両はソフトウェアアップデートを受け取った。これはコンプライアンスの意味での是正ではなかった。隠されたモードが偶発的にアクティブのままになるリスクを減らしつつ、規制上の欺瞞を維持した。

このエピソードは根本原因分析にとって重要である。システムは自身の隠された行動の悪影響を検出した。説明責任のあるプロセスは、コンプライアンスインシデントを開始し、影響を受けたソフトウェアを保存し、それを使用するすべての車両と証明書を特定し、通常の路上排出ガスを試験し、独立した法務および規制機能に通知し、さらなるリリースを停止しただろう。代わりに、フィードバックは状態検出を改善するために使用された。監視信号は制御障害の最適化への入力となった。

これは、期間中のすべてのサービスアップデートが不適切であったことや、すべてのハードウェア障害がディフィートデバイスの動作を証明したことを意味するものではない。確認された事実は、司法取引で説明された特定の障害と対応に関する法人の認容である。支持される組織的推論は、ソフトウェア変更管理が独立したコンプライアンスではなく製品継続性に合わせられていたということである。すべてのエンジニアの目的に関するより強い主張は記録を超えるだろう。

2014年5月：独立した路上試験が観測可能なシステムを変えた

決定的な外部信号は、実験室と路上の挙動を比較するために設計された小規模な研究から来た。国際クリーン交通評議会はウェストバージニア大学の代替燃料・エンジン・排出ガスセンターに委託し、ポータブル排出ガス測定装置を使用して米国認証の三台の軽量ディーゼル車を試験した。2014年5月30日の報告書は、事前定義された高速道路、都市、郊外、田舎のルート、延長走行、および CARB のエルモンテ施設でのシャシダイナモメータ作業を説明している。

二台の車両は、実験室認証サイクルでは基準を満たしながら、路上で大きな窒素酸化物の超過を示した。報告書は、リーン NOx トラップ車で15倍から35倍、選択触媒還元車の一台で5倍から20倍の倍率を事前定義ルートで説明している；三台目の車両は概ね基準以下または同等であった。この研究はディフィートデバイスを特定したり、責任を割り当てたり、世界的な被害を推定したりしなかった。その証拠力はパターンから来た：高い路上排出ガスはすべてのディーゼル技術に不可避ではなく、二台の高排出車は既知の実験室サイクルで異なる挙動を示した。

外部研究者が成功したのは、環境を変えたからである。ポータブル機器が実際の道路を試験の一部にした。複数のルートが速度、負荷、地形を変えた。比較車両は、測定方法がコンプライアントな挙動を観測できることを示した。したがって、この研究は、合格した実験室結果が通常使用の適切な代理であるという仮定に挑戦した。

限られたサンプルは特徴であり限界でもある。三台の車両で世界のフリート分布を推定することはできない。しかし、それは規制当局のフォローアップを必要とする十分に重大な仮説を生成できる。リスクガバナンスは検出感度と最終的な定量化を区別すべきである。信頼できる外れ値は、集団推定を支持するずっと以前に調査を正当化できる。

2014年から2015年9月：規制当局の粘り強さが不一致を開示に変えた

CARB と EPA は路上試験結果を独自の作業と情報交換でフォローアップした。フォルクスワーゲンは技術的説明を提供し、2014年後半に発表された自主リコールを実施した。ソフトウェアアップデートが排出ガス不一致に対処するものとして提示された。CARB は改造車両を試験し、窒素酸化物の超過を引き続き観測した。提案された説明と救済策は結果に適合しなかった。

CARB の2015年9月18日の使用中コンプライアンスレターはこの経過を再構成している：使用中研究の受領、確認試験、技術的原因に関する議論、リコールとリコール後の評価。CARB と EPA が2016年モデルイヤーのディーゼル車の認証は適切な説明なしには進められないと明確にした後、フォルクスワーゲンが2015年9月に二番目のキャリブレーションの存在と動作を開示したと記録している。

EPA の2.0リッター車に対する違反通知は、2009年から2015年モデルのフォルクスワーゲンおよびアウディのディーゼル車に、試験条件を検出し通常運転中に排出ガス制御の効果を低下させるソフトウェアが含まれていたと主張した。通知段階ではこれらは規制上の主張であった。フォルクスワーゲンの後の有罪答弁と認められた事実は米国の中心的な行為を確認し、同意判決は民事請求を解決した。

この年表は効果的な挑戦がどのようなものかを示している。規制当局はリコールが発表されたという理由だけで米国らしいソフトウェア修正を受け入れなかった。彼らは修正後の出力を測定し、未解決の不一致を保持し、開示をビジネスクリティカルな承認に結びつけた。検出管理は、証拠、権限、締切が収束したときにのみ機能した。早期開示は過剰排出の期間を短縮しただろう；粘り強さの低い規制当局は別のモデルイヤーを認証していたかもしれない。

2015年9月から11月：可視化されたイベントがエンジンと国境を越えて拡大した

2015年9月18日、EPA と CARB は2.0リッター違反を公に発表した。CARB のEPA との共同発表は、最初の通知で約48万2000台の米国乗用車を説明し、その時点で車両は運転しても合法であると強調した。公的な引き金は、リーダーシップの変更、販売停止、調査、および範囲の急速な拡大を生み出した。

フォルクスワーゲンの9月22日の臨時開示は、EA 189エンジンタイプで顕著な試験対路上の不一致が発見され、世界全体で約1100万台の車両が影響を受けていると述べた。同社の2015年次報告書は、その母集団をエンジンサイズ、ブランド、地域ごとに内訳し、引当金、リコール、訴訟、不確実性を記録している。これはフォルクスワーゲンが報告したことの一次証拠であり、すべての推定値や法的結果の独立した検証ではない。

EPA は11月2日に、特定の3.0リッターのフォルクスワーゲン、アウディ、ポルシェ車に関する別の通知を発行した。同庁は、フォルクスワーゲンの当局者が後に、該当するディフィートデバイスが2009年以降すべての米国3.0リッターディーゼルモデルに存在していたと通知したと述べている。2.0リッターと3.0リッターのシステム、母集団、救済策は同一ではなかった。それらは単一のソフトウェアバージョンや排出係数にまとめられるべきではない。

世界の数字も米国の執行母集団とは異なる意味を持っていた。約1100万台は主に世界全体の EA 189エンジン管理ソフトウェアを指していた。後の米国解決策における約59万台には、米国基準の対象となる2.0リッターおよび3.0リッター車が含まれていた。異なる管轄区域は、異なる認証手続き、排出ガス制限、法的定義、リコール権限、消費者救済策を持っていた。規模は確認されているが、法的な統一性は確認されていない。

引き金、直接的な根本原因、寄与要因は分けて考えなければならない

引き金は、認証された実験室挙動と通常路上排出ガスとの間に公に確認された乖離であり、最終的に試験認識ソフトウェアにまでさかのぼった。直接的な技術的根本原因は、公式試験用に低排出キャリブレーションを選択し、その外では効果の低い状態を選択するエンジン制御戦略であった。直接的なガバナンスの根本原因は、選択された制約がそうでなければ該当する米国排出ガス要件を満たせない製品を提供する方法として、その戦略の承認であった。

いくつかの要因が根本原因を置き換えることなく寄与した。製品目標はハードウェアとキャリブレーションの選択肢を制約した。ソフトウェア権限は納品責任のあるチームに集中していた。コンプライアンス担当者は設計からの実証可能な独立性を欠いていた。承認試験は予測可能だった。認証は実行可能条件を暴露しない表明に依存していた。同じ種類の試験の繰り返し合格は保証債務を生み出した。ハードウェア障害はモード認識を洗練する理由として扱われた。管理エスカレーションは合法的解決を強制しなかった。説明とリコールアップデートは規制当局の時間を消費したが不一致を解消しなかった。記録は後に破棄され、法人司法取引における妨害罪を生み出した。

文化はしばしば言及されるが、それは管理に変換されるべきである。「圧力」の説明は、目標、業績評価、または決定権が合法的代替案を実質的に利用不能にした場合にのみ意味を持つ。「サイロ」は、キャリブレーション、耐久性、認証、路上試験データを調整しなければならない責任者がいなかった場合にのみ意味を持つ。「発言」の弱さは、異議が追跡可能な独立したレビューなしに却下される可能性があった場合にのみ意味を持つ。これらは検証可能な命題である。

証拠は、フォルクスワーゲンのすべての従業員が欺瞞を受け入れたとか、ディーゼル技術自体が不正を必要としたという主張を支持しない。WVU 研究での比較車両は、技術的不可避性を否定する一つの理由である。また、記録は一つの国家規制システムが行為を引き起こしたことを証明していない。予測可能な試験は機会を生み出したが、メーカーは正確な認証と合法的な通常使用挙動に対して責任を負い続けた。

検出は予想される試験の外で成功し、企業内部では失敗した

内部検出にはいくつかの機会があった。コードレビューは試験認識を特定できた。キャリブレーション比較は二つの実質的に異なる排出状態を示せた。ランダム化された路上試験は高い窒素酸化物を再現できた。ハードウェア耐久性分析はなぜクリーンな状態が持続できなかったかを暴露できた。認証レビューは補助戦略の完全な目録を要求できた。従業員の異議は独立した停止を引き起こせた。どれもプログラムを終了させなかった。

外部検出は、ポータブル測定、比較試験、規制当局の実験室、認証レバレッジを組み合わせた。WVU チームは、製品が異なる挙動をすることを確立するためにソースコードへのアクセスを必要としなかった。CARB は、リコール後の車両が依然として説明に一致しないと主張する前に、個々の意図を証明する必要はなかった。EPA は米国通知を発行する前に世界のフリート推定を必要としなかった。

この経過は保証の階層を示唆している。第一に、ブラックボックステストはルート、温度、始動、ステアリング、加速、テスト順序を変えるべきである。第二に、ホワイトボックスレビューは排出ガス制御効果を変更できるすべての入力を列挙するべきである。第三に、バイナリおよびキャリブレーションハッシュはレビューされた成果物を生産車両に結びつけるべきである。第四に、使用中監視は経年車とサービスアップデートをテストするべきである。第五に、独立した機能は製品プログラムの許可なしに不一致を調査するべきである。

検出証拠は否定的決定も保存すべきである。戦略がエンジンを保護するために合法であると判断された場合、記録は差し迫った危険、動作範囲、検討された代替設計、例外が必要以上に広くない理由を述べるべきである。後の欧州司法裁判所の解釈は狭い例外の重要性を確認しているが、ガバナンス原則はより一般的である：文書化されていない条件性は価格設定されていないコンプライアンス負債である。

対応は販売を停止し救済策を生み出したが、回復には異なる証明が必要だった

初期対応には、公的開示、リーダーシップの変更、販売停止措置、認証申請の撤回または延期、技術調査、リコール計画が含まれた。これらの措置は追加のエクスポージャーを減らしたが、設置された母集団を修復したり、所有者に補償したりしなかった。対応証拠は、企業が展開中の事件を封じ込めたかどうかに答える。回復証拠は、車両、人々、環境被害が対処されたかどうかに答える。

米国では、単一の技術的修正が責任を持って想定できなかったため、回復はエンジン世代ごとに分割された。EPA の民事和解記録は、商業からの撤去または承認された改造目標の少なくとも85％、別途カリフォルニア目標、目標未達に対する財務的結果、消費者プログラム、27億ドルの緩和信託と3.0リッター車に2億2500万ドル、20億ドルのゼロエミッション投資、第三部分和解に基づく14.5億ドルの大気清浄法民事罰を説明している。

裁判所承認の同意判決コレクションは、詳細な義務のための管理ソースである。同意判決は交渉された条件の下で民事請求を解決する。それらは司法命令であるが、その成立はすべての申し立てが審理されたことを意味しない。それらは意図的に異なる救済策を組み合わせている：車両レベルの救済は将来の過剰排出を減らし、補償は消費者の損失に対処し、緩和はすでに放出された汚染に対して他のソースからの削減を代替し、罰則は罰し抑止する。

いずれの措置も他の措置の代わりにはならない。買い取りは車両を除去するが、それ自体で過去の汚染に対してコミュニティを補償しない。ソフトウェア修正は排出ガスを削減できるが、メンテナンスや性能を変える可能性があり、耐久性試験が必要である。支払いは所有者を補償するが、環境回復を確立しない。ガバナンス改革は再発リスクを減らすが、エンジンを修復しない。説明責任には、各義務に対する個別の完了証拠が必要である。

消費者救済は測定可能であり、その米国範囲内で異常に完全であった

FTC 命令は、対象となる米国の所有者とリース利用者に、エンジン世代と修理の利用可能性に応じて選択肢を与えた。多くの2.0リッター車では、所有者は買い取りを受け入れるか、車両を維持して承認された修正と補償を受け取ることができた。一部の3.0リッター世代にはコンプライアントな修理経路があった；古い車両は適切な修正が利用できない場合に買い戻される可能性があった。ローン、リース、農村部アクセス、請求管理規則が実務上の障壁に対処した。

FTC の2020年最終状況報告書は、被告が消費者に95億ドル以上を返済し、対象の「クリーンディーゼル」車両の88％以上に関連する支払いを行い、プロセスを完了して救済策を選択した適格消費者の86.2％が買い取りまたは早期リース終了を選択したと述べている。報告書はまた、独立した請求監督者によって分析されたデータに基づいて、管理の正確性と適時性を評価している。

これらの結果は、大規模な救済メカニズムが機能した強力な証拠である。その範囲は保持されなければならない。95億ドルの数字は、報告書によるとボッシュが支払った3億ドル以上を除外している。支払い率は修理率と同じではない。買い取り、リース終了、修正は異なる結果だからである。報告書は米国命令に対処しており、すべての国での補償ではない。参加はまた、個別の紛争がないことを証明するものではない。

2.0リッターFTC 命令に対する2016年の連邦裁判所の承認は、プログラムを提案された救済から執行可能なプロセスに移行させた。この手続き上の区別は重要である。見出しの和解額は最大または構造化された義務を表し、最終報告書は実際のプログラム結果を記録する。設計と実行を評価するには両方が必要である。

技術的修理は意図から想定されるのではなく、世代ごとに承認されなければならなかった

排出ガス修正はそれ自体が安全性およびコンプライアンスに関連するソフトウェアである。それは禁止されたロジックを削除し、実際の動作全体で窒素酸化物を削減し、車載診断を維持し、ハードウェアを保護し、燃費、性能、信頼性、メンテナンスへの影響を開示しなければならない。修正を単に条件を削除するパッチとして扱うことは、当初のガバナンスエラーを繰り返すことになるだろう。

EPA と CARB は段階的に修正を承認した。2015年モデルイヤーの Generation 3 2.0リッター車に対する2017年1月の承認は、ソフトウェアとハードウェアの作業、初期ソフトウェアフェーズに続く追加ソフトウェアと排出ガス構成部品の交換を必要とした。後の2018年4月の承認レターは、その救済策の別の部分の承認を記録している。

規制当局はすべての提案を承認したわけではない。特定の Generation 1 2.0リッター変速機制御ユニット修正に対する EPA の2017年11月の部分的不承認は、回復が承認ゲートを保持していたことを示している。提案された修正の拒否された構成要素は、すべての救済策が失敗したという証拠ではない。それは、規制当局がフォルクスワーゲンの提出を十分として扱うのではなく、和解基準に対して提案をテストしたという証拠である。

耐久性は別個の疑問のままである。承認は指定された試験、エンジニアリング提出、保証に基づく。完了は車両記録に基づく。長期的な有効性は、走行距離、経年、サービス、多様な気候の後の使用中データを必要とする。公的な和解記録は承認された設計とプログラム実行の意味のある証拠を提供するが、影響を受けるすべての車両とすべての修正後排出ガス結果に関する現在のグローバルに調和されたデータセットを公開していない。

環境救済策は、消費者修理が過去の排出ガスを元に戻せないことを認識していた

窒素酸化物は二酸化窒素、地上レベルオゾン、粒子状物質に寄与する。EPA は曝露を喘息の悪化や他の呼吸器・心血管系影響と関連付け、子供、高齢者、屋外労働者、心臓病や肺疾患を持つ人々にリスクが高まるとしている。特定の健康結果を一つの車両に割り当てることは、曝露と因果分析なしにはできないが、フリート規模の過剰排出は集団レベルの環境負荷を生み出す。

したがって、米国の同意判決は対象車両を超えた緩和に資金を提供した。信託は州、準州、コロンビア特別区、適格部族が重量級ディーゼル源、バス、機関車、海洋機器、その他の適格源を交換または動力転換することを可能にする。この設計は基本的な回復限界を認識している：すでに放出された排出ガスは呼び戻せない。同等以上の削減は、監査可能なプロジェクトの下で他の場所で生み出されなければならない。

緩和資金は環境利益の自己執行証明ではない。受益者はプロジェクトを選択し、適格支出を文書化し、必要な場合は古い機器を交換または廃棄し、結果を報告しなければならない。モデル化された削減は、ベースラインエンジン使用、代替技術、プロジェクト寿命、二重計数に対する執行に依存する。和解額は確認されているが、実現されたトン数は受益者と受託者の証拠を必要とするプログラム結果である。

ゼロエミッション投資は異なる根拠を持つ。それは、車両がより低排出であると信じて購入した消費者の市場影響に対処するためのインフラ、アクセス、意識向上を支援する。それは緩和支出に追加され、一つの汚染除去総額として説明されるべきではない。また、後の電気自動車投資は、当初のソフトウェア制御が修理されたことの証明として扱われるべきではない。一つは市場と技術の救済策であり、もう一つは製品コンプライアンス管理である。

責任管理マップ：権限は証拠と停止権に結びつけられなければならない

この事件の管理マップは、単なる組織タイトルではなく実務的な権限を特定する場合にのみ有用である。

すべての行には停止権が必要である。コメントできてもリリースを遅らせられないレビューアーは独立した管理ではない。製品チームに依存して唯一の説明を得る規制当局の連絡担当者は消極的保証を提供できない。集計された法的引当金のみを受け取る取締役会は、技術的例外が未解決のままかどうかを見ることができない。管理は、誰が認証を停止できるか、どの証拠が停止を開始するか、どのように解除されるか、誰がオーバーライドをレビューするかを指定しなければならない。

刑事、民事、規制、私的な結果は異なる質問に答える

フォルクスワーゲンは有罪答弁の後、2017年4月21日に連邦裁判所で量刑を受けた。裁判所は28億ドルの刑事罰、3年間の保護観察、独立した企業コンプライアンスモニターを受け入れた。これは会社の刑事責任に関する裁判所の処分である。起訴されただけの人に対する刑事責任を確立するものではなく、すべての所有者に対する民事損害賠償を決定するものでもない。

民事解決は異なる法令と救済策に対処した。大気清浄法判決は車両、環境緩和、罰則、予防的管理を扱った。FTC 命令は申し立てられた欺瞞的マーケティングと消費者損失に対処した。税関および財務請求は2017年の広範な解決の一部を形成した。民間のクラス和解は公的命令と調整された。一つの手段からの数字は、重複、最大額対支払額、地理的範囲を確認せずに別の手段と組み合わせるべきではない。

個人の結果も正確なラベルを必要とする。フォルクスワーゲンの元従業員2名が米国で有罪を認め量刑を受けた；他の人々は起訴された。起訴は申し立てであり、有罪判決で解決されない限り無罪の推定を伴う。法人の責任は、引き渡し、証拠、または別個の法的基準が個人の事件を未解決のままにする場合でも確立されうる。

米国の解決は、フォルクスワーゲンが詳細な事実の陳述書を認めたため、異常に強力である。それでも管轄区域固有である。文書は法的用語と排出ガス基準を米国法の下で明示的に枠付けている。それはすべての国の刑事、行政、消費者、証券法の下での自動的な責任認定として使用されるべきではない。

世界的な説明責任は、法律、手続き、救済策が均一でなかったため差異が生じた

カナダは別個の刑事結果を提供している。カナダの環境犯罪者登録は、フォルクスワーゲン AG が規定の排出ガス基準に適合しない車両の不法輸入に関する58件の罪状で有罪を認め、2020年1月に1億9650万カナダドルの罰金を支払うよう命じられたことを記録している。その処分は記録されたカナダの犯罪に対して権威がある；それは米国の罪状の補足でも世界的な判断でもない。

オーストラリアでは、連邦裁判所がフォルクスワーゲンがコンプライアンスに関する虚偽の表明を行い消費者法に違反したとする同意に基づく宣言を行った。オーストラリア競争消費者委員会（ACCC）の公式事件概要は、裁判所が1億2500万オーストラリアドルの罰金を課し、フォルクスワーゲンが57,000台以上の車両の供給と輸入の承認を求める際に二重モードソフトウェアの不開示を認めたと述べている。同意の文脈とオーストラリアの法定根拠は可視のままでなければならない。

ドイツの民事法は別のタイプの説明責任を生み出した。2020年のディーゼル事件で、ドイツ連邦最高裁判所は試験台を認識し低窒素酸化物挙動を選択するソフトウェアを説明した。その2020年7月30日の判決概要は、購入者の損害賠償請求を以前の却下後のさらなる処理のために差し戻した。これはフォルクスワーゲングループ全体の刑事判決ではなく、ドイツの購入者の結果は請求のタイミング、車両、使用相殺、その他の事実に依存する。

フォルクスワーゲンの2024年法的リスク報告書は、なぜ世界的に決着が宣言できないかを示している。複数国での継続中の訴訟、年末時点のディーゼル関連訴訟および法的リスク引当金約6億ユーロ、開示された偶発負債40億ユーロ（主に投資家請求）を報告している。これらは不確実性の下での会社の会計上の見積もりであり、最終的な損害賠償の認定ではない。

欧州法は、後の基準を過去に投影できない理由を示している

欧州規則715/2007は、限られた例外を条件として、通常使用条件下で排出ガス制御の効果を低下させるディフィートデバイスをすでに禁止していた。公式規則は、感知されたパラメータとその排出ガス制御への影響を通じてディフィートデバイスを定義していた。その法的テキストは、その日付と範囲に従って適用可能であり、欧州分析の適切な出発点である。

2020年12月、欧州連合司法裁判所は C-693/18 で規則を解釈した。判決は、実質的に、承認手続き中に排出ガス制御性能を体系的に改善する装置は、単にエンジンの経年劣化や詰まりを防ぐという理由だけでは正当化できず、エンジン保護例外は厳格に解釈されなければならないと判断した。これは EU 法の権威ある解釈であるが、予備判決手続きは参照された法的質問に答えたものであり、すべての所有者の損害を計算したものではない。

欧州連合はその後、ポータブル測定システムを使用した実走行排出ガス（RDE）手続きを実施した。委員会規則2016/427は、RDE 要件と新規承認への適用規則を説明している。これらの手続きは、通常の運転を観測可能にすることで試験環境を改善した。それらは、フォルクスワーゲンが当初直面した認証サイクルであるかのように説明されたり、後の測定プロトコルの遡及違反を主張するために使用されたりするべきではない。

正しい区別はより狭い。当初の行為は、当時の車両に適用される法律、認証、表明に基づいて評価される。後の判決は、手続き的に関連する場合、既存の規定を権威を持って解釈できる。後の試験規則は管理の改善を示し、その有効日に従って適用される。これらのカテゴリーを分離することで、過少説明責任と遡及的過大評価の両方を避けることができる。

支持される推論、未解決の疑問、申し立ての境界

確認された事実には、WVU の路上試験結果、EPA と CARB の措置、フォルクスワーゲンの約1100万台の開示、同社の米国有罪答弁と認められた事実、裁判所に入力された民事命令、記録された消費者支払い、承認および却下された救済措置、カナダの有罪答弁、オーストラリアの同意宣言が含まれる。規制当局の調査結果と裁判所の処分は、それらを行った機関に帰属される。

最も強力に支持される推論は、ソフトウェア、製品、コンプライアンスのガバナンスが、通常の運転にわたる合法的な挙動を実証するのではなく、既知の承認プロセスを通過することに合わせられていたため、ディフィートデバイスが存続したということである。その推論は、認められた起源、繰り返しの認証、2012年のハードウェアフィードバック、2014年の洗練、2015年の開示の経過に基づいている。それはすべての上級リーダーの私的な精神状態についての憶測を必要としない。

未解決の疑問が残っている。公開資料は、すべてのブランドと管轄区域で各ソフトウェアバージョンをレビューした人物の完全な、未編集の地図を提供していない。それはすべての内部モニターテストやすべての推奨事項を明らかにしていない。それは現在の登録状況を伴う単一の世界的な修理完了分母を確立していない。それは各コミュニティに対して直接測定された健康結果を生み出していない。それはすべての投資家および消費者訴訟を最終的に解決していない。

当事者の申し立てはラベル付けされたままでなければならない。有罪判決を受けていない人々に対する告発は申し立てのままである。民事告訴は、認められるか、裁定されるか、和解されるまで、政府または私的な請求を述べる。フォルクスワーゲンの取締役の知識に関する年次報告書の立場は、財務報告管理の下での会社の声明であり、独立した免除ではない。逆に、承認を伴わない和解は、申し立てられた行為が発生しなかったことの証明ではない。手続き上の形式は証拠の一部である。

反事実は管理を特定するが、代替歴史の確実性ではない

最も初期の反事実は技術的かつ商業的である。製品リーダーシップが2006年の制約に対してハードウェア、コスト、性能、または発売時期を変更することで対応していたなら、米国プログラムはコンプライアントであったかもしれないし、同じ形で発売されなかったかもしれない。記録はこれらのガバナンス選択の実行可能性を原則として支持するが、合法的な再設計の正確な製品、販売、または排出ガス結果を確立しない。

第二の反事実は独立したレビューに関する。排出ガス制御を変更するすべての条件を挙げたコード目録と、エンジンプログラム外のレビューアーおよびリリース停止が組み合わされば、認証前にデュアルモードを暴露した可能性が高い。これは強力な予防反事実である。なぜなら、動作はコード化され繰り返されたからである。それでも、経営陣が別の対応を見つけるよりもプログラムをキャンセルしたことを証明できない。

第三は試験に関する。発売前のランダム化されたポータブル路上試験は、実験室対路上の乖離を何年も早く観測できた。2014年の研究は検出能力を示しているが、より初期の車両、機器、ルートは異なる測定値を生み出した可能性がある。防御可能な主張は検出の加速であり、保証された日付ではない。

第四は2012年のハードウェア障害に関する。予期しないクリーンモード動作を報告可能なコンプライアンスインシデントとして扱うことは、車両母集団レビューと規制当局への開示を強制できた。それはおそらく継続的な認証の期間を短縮しただろう。それは回避された正確な車両数、排出ガス、消費者損失を確立できない。

第五は2014年の対応に関する。規制当局が初めて路上データを提示したときに、不一致を解決しない説明やリコールの代わりに完全な開示を行っていれば、調査の遅延を減らせた。早期の封じ込めは追加のモデルイヤーの暴露を止められた可能性がある。いかなる反事実も、フリート活動、大気化学、曝露、救済のタイミングに関する仮定なしに、正確な回避された健康結果を計算できない。

ガバナンス改革は実質的であったが、認証は永久的な証明ではない

米国の刑事および民事解決は、外部監視と特定の予防的管理を課した。EPA の和解概要によると、フォルクスワーゲンは排出ガスコンプライアンスを試験する担当者と車両を設計する担当者を分離し、大気清浄法運営委員会を設置し、トレーニングを改善し、内部通報メカニズムを作り、独立したコンプライアンス監査人を保持しなければならなかった。刑事司法取引は、不正防止および環境コンプライアンスを監視するモニターを追加した。

フォルクスワーゲンは2020年9月にモニターシップの完了を発表した。そのモニターシップ終了記録は、独立モニターが対象エンティティが不正防止および環境違反を防止・検出するためのプログラムを設計・実装したことを認証し、技術開発、ガバナンス、リスク管理、コンプライアンス、法務機能への変更があったと述べている。ポルシェ AG とポルシェカーズノースアメリカはそのモニターシップ認証の範囲外であり、重要な範囲制限である。

同社はまた、独立コンプライアンス監査人の最終民事監査の結果を公表した。フォルクスワーゲンの2020年7月のリリースは、最終報告書が新たな違反を発見せず、レビューされたエンティティが第三部分同意判決の下での義務を満たしたと述べている。これは裁判所命令の下での独立監査人の結論を報告するため、裏付けのない自己評価よりも強い。しかし、公開アクセスと範囲は、完全な再現可能な試験アーカイブと比較すると依然として限られている。

モニターの非公開資料は透明性の境界を示している。後の司法省のモニター報告書の開示に関する訴訟の概要は、広範なインタビュー、会議、方針レビュー、推奨事項、観察を記録しつつ、合法的な編集に対処している。監視は独立していても、部外者がその証拠を再生できないままにすることができる。完了は定義された期間の満足を証明するが、リスクの永久的な除去ではない。

永続的な修理証拠は、行動、権限、フリート結果をテストしなければならない

説明責任のある決着パッケージには、少なくとも6つのリンクされた証拠セットが含まれるべきである。第一はソフトウェアの来歴：ソースコミット、ビルド環境、キャリブレーションパッケージ、署名者、レビューア、プロダクションハッシュ、排出に影響を与えるすべての条件の機械可読目録。第二は法的マッピング：各戦略を要件、開示例外、または規制当局の承認に結びつける。第三は試験範囲：実験室サイクル、ランダム化サイクル、路上ルート、温度・高度範囲、経年、診断挙動、統計的サンプリング根拠。

第四はフリート回復：エンジン、モデルイヤー、地域ごとの元の適格母集団；買い取り；廃車；輸出；承認された修正；失敗または取り消された修正；到達不能な所有者；現在の登録；残りの未処理車両。パーセンテージには分母と日付が必要である。消費者プログラムの下で支払われた車両は自動的に修理済みとしてカウントされるべきではない。買い戻された車両は、処分ルールが満たされるまで除去されたとしてカウントされるべきではない。

第五は環境性能：測定された修正前後の窒素酸化物、保証故障、経年車再試験、ベースライン付き信託プロジェクト削減。モデル化された便益は測定されたテールパイプ結果と区別されるべきである。第六はガバナンス運用：提出された異議、停止された問題、期限切れの例外、規制当局への開示、独立試験の失敗、取締役会レビュー。カウントはプログラムとリリースで正規化されるべきであり、増加した報告が誤って増加した不正行為と誤解されないようにする。

これらの記録は安定した識別子で接続されるべきである。認証は正確な実行可能ソフトウェアを指すべきである。ディーラー修正は承認されたパッケージを指すべきである。試験結果は車両構成と走行距離を識別すべきである。法的例外はそれがカバーするコードパスを識別すべきである。取締役会ダッシュボードは、集計されたコンプライアンストレーニングのみを表示するのではなく、未解決の高リスク戦略を公開すべきである。トレーサビリティはポリシーと管理の違いである。

説明責任の調査結果

フォルクスワーゲンのディフィートデバイスは、単にソフトウェアが実験室試験を欺いた事例ではなかった。それは、機関が実験室試験に、自らが観察しようとする真実を定義させることを許した事例であった。コードはその選択を具体化したが、製品目標、承認権限、繰り返しの認証、限られた独立試験、エスカレーションの失敗、遅れた開示がそれを永続させた。外部の路上試験は、真実が測定される条件を変えたため成功した。

したがって、責任は階層化されているが拡散してはいない。フォルクスワーゲン AG は、有罪答弁ならびに民事および規制上の解決によって確立された法人の説明責任を負う。エンジニア、監督者、管理者、請負業者、地域エンティティ、取締役会、規制当局、ディーラー、所有者は異なる形の管理を持っていたが、同等の知識や権限を持っていたわけではない。個人の責任は個人の事件の処分に依存する。規制上の弱点はメーカーの義務を消し去らない。消費者の所有は隠されたコードの責任を移譲しない。

回復証拠は実質的である：巨額の消費者救済、車両買い取りと承認された修正、環境緩和、ゼロエミッション投資、罰則、ガバナンス要件、独立監査、完了したモニター期間。世界的な訴訟と会社報告の引当金は、法的および財務的な境界が何年も後に依然として活動中であることを示している。公的証拠は米国のプログラム実行に対して最も強力であり、車両結果の単一の世界的な説明と永続的な実世界性能については弱い。

永続的な基準は行動的である。コンプライアントな車両は、ルート、ステアリング入力、温度、テスト順序、観察者が変わってもコンプライアントであり続けなければならない。コンプライアントな機関は、コードが隠す前に実現不可能な製品目標を表面化し、異議を保存し、独立したレビューアーに停止権を与え、重要な戦略を開示し、日付付きの分母に対して修理を証明しなければならない。ソフトウェアが試験官を認識できる場合、説明責任は、製品も組織もルールがいつ適用されるかを選択できないようにすることから始まる。