筑波大学人工知能科学センター
チュートリアルセミナー
２０１８年６月２６日

SAE J3016の自動運転レベル定義に潜む課題とその解消
筑波大学 副学長・理事
稲垣 敏之
inagaki.toshiyuki.gb@un.tsukuba.ac.jp
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html

自動運転による交通事故・渋滞の低減
路車間通信

サグ部での渋滞緩和

ＧＰＳ
路車間通信

自律センサによる追突・衝突防止

右折時衝突防止

車車間通信

見えない人や車との衝突防止

次世代公共交通システム
スムーズな加減速、乗客転倒防止

統合的・有機的な運行

交通流整流、定時運行

事故低減
運転負荷軽減Cyber Agent

乗降時間短縮乗降安全性向上ひとくちに「自動運転」といっても、形態は多種多様

Photo: BMW

Photo: Zoox

Phot: Volvo自動運転レベル (Levels of Driving Automation: LoDA)
ドライバーは動的運転タスクの一部を担当 （環境及びシステムの監視ならびに必要に応じての介入はドライバーの役目）

1

DriverAssistance

特定の運行設計領域においてシステムは横方向又は縦方向のいずれか

2

Partial Driving
Automation

特定の運行設計領域においてシステムは横方向及び縦方向の車両運動一方の車両運動制御を担当。ドライバーは動的運転タスクの残余分を担当。

制御を担当。 ドライバーは動的運転タスクの残余分と監視制御を担当。

システムは動的運転タスクのすべてを担当

ConditionalDriving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。

4

High Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。

5

Full Driving
Automation

運行設計領域に限定されることなく、システムが全ての動的運転タスクを

3

作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドライバーはその要請に適切に対応すること。

作動継続が困難なときも、システム自身で適切に対応。

担当。作動継続が困難なときも、システム自身で適切に対応。

(SAE 2016)

レベル２の自動運転 (LoDA ２)
システム： 縦方向制御と横方向制御の両方を担当。
ドライバー： 走行環境監視を含め、動的運転タスク残余分を担当。
監視制御
 人が何をなすべきかを決め、システムに指示 システムは、人の指示に沿って制御を実行
 人は、システムによる制御が適切かどうかを継続的に監視
Photo: BMW

システムの動作原理、能力限界、サブシステム間の相互干渉等に関する正確な理解が必要

Human-MachineInterface (HMI) のデザインが鍵注意喚起も警報も出ていないから大丈夫？

システム

止まれ・・・
ドライバー
本当に車は来ない？

 システムは作動している？
していない？

（Inagaki 2010; 稲垣 2012)機械の能力限界が分からないと・・・

割込もうとしている車がいるぞ。
ACC はそろそろ減速するかな。

オートメーション
サプライズ

ACC はなぜ減速しないのだ？

実は、ACC には割込み車は見えない
Why does
ACC

accelerate now?

 能力限界はどこにある？

（Inagaki 2010; 稲垣 2012)

人が見ているもの機械が見ているもの

B
ACC はA車を追従しているはずだから、まもなく減速するだろう

A

実は、ACC が見ているのは B車

ACC は、なぜ今加速するのだ？

オートメーションサプライズ 状況認識を共有できている？

（Inagaki 2010; 稲垣 2012)

「人が見ているもの ＝ 機械が見ているもの 」 だが・・・
両者で「ものの考え方」が違うと、オートメーション・サプライズ

制動で衝突回避しよう

操舵で衝突回避しよう これから何をしようと考えている？
（意図）（Inagaki 2010; 稲垣 2012)レベル３の自動運転 (LoDA ３)
システム： 特定の運行設計領域において、すべての動的運転タスクを担当。作動継続が困難なときは、十分な時間余裕をもってドライバーに運転交代を要請。
ドライバー： システムの要請に適切に対応すること。
 ドライバーは結果予見、結果回避の義務から解放されているのか？

 過失責任を問われることもあるのか？
 システムの運転交代要請に適切に対応するよう人に求めるのは妥当か？
Photo: Volvo 「いつ運転交代要請（request to intervene: RTI）が出ても対応できるようにしていること」と言われて、仕事に集中／リラックスできる？
何のための自動化？ 誰のための自動化？

運転主体の交代： 権限委譲（trading of authority）（１）人から機械への権限委譲？ 機械から人への権限委譲？
（２）権限委譲の要否と実行タイミングを決定するのは人？ 機械？
機械に割当てられたタスク

時刻１

人に割当てられたタスク

縦方向制御

横方向制御
機械から人への権限委譲

時刻２人から機械への権限委譲

時刻３

縦方向制御

縦方向制御

横方向制御

横方向制御

（Inagaki 2003; Inagaki & Sheridan 2012; 稲垣 2012)

機械の判断による、機械から人への権限委譲は成功するとは限らない
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

www.franceculture.fr/sciences/les-pilotes-en-cause-dans-le-crash-du-vol-af447-rio-paris機械から人への権限委譲を行うためのRTIをデザインする
ドライバー： 運転操作は行わず、走行環境の監視もしていない。
システムから運転交代を求められたとき、瞬時に状況を見極め、適切に車両を制御できる？

RTI(request to intervene)?

RTI に対して適切に対応してくれればよいのだが・・・

RTI を発してもドライバーが対応してくれなかったら・・・

自動化レベル (Levels of Automation: LoA)
人に
最終決定
権機
械に
最終決定
権
(Sheridan 1992; Inagaki et at. 1998)

自動化レベル１： ナイトビュー（１）

システムの支援なしに、すべてを人間が決定・実行

状況理解に有用な情報は提供するが、何をすべきかについて助言はしない。行為実行に関する支援もしない。

車載の暗視カメラで捕らえた前方映像を解析し、その中に歩行者が映っていることを検知したとき、歩行者に枠をつけてディスプレイに表示（注意喚起）

自動化レベル４： TCAS
(4)

システムは可能な選択肢のうちからひとつを選び、それを人に提案。それを実行するか否かは、人が決定。

機械は助言をするが、場合によっては、人は助言を無視できる
Climb, Climb
TCAS

TCAS の回避アドバイザリを受けたパイロットは、自動操縦システムを解除し、手動により回避操作を実行自動化レベル５： Advanced TCAS
(５)

システムはひとつの案を人に提示。
人が了承すれば、システムが実行。

機械からの提案に賛成ならば、人は、その実行を機械に指示Climb が妥当です。
実行してよろしいですか？

Advanced
TCAS

パイロットが「OK」ボタンを押すと、システムが回避操作を開始

自動化レベル６： 急減圧検知時の自動降下(6)

システムはひとつの案を人に提示。
人が一定時間以内に実行中止を指令しない限り、システムはその案を実行。
機械が人に提案を行ったとき、 限られた時間内 に人が明確な拒否を表明しない限り、機械はその提案を実行① システムが客室急減圧を検知② システムは乗員に告知し、緊急降下のカウントダウン開始③ カウントダウン終了までに乗員が拒否権を発動しなければ、システムは緊急降下を実行(Flight International, 18-24 Aug 2009)

自動化レベル 6.5： 車線逸脱防止システム(6.5) システムはひとつの案を人に提示すると同時に、その案を実行。
機械は、自分の意図を人に伝えると同時に、それを実行
クルマが車線を逸脱しそうになると、警報と表示でドライバーに知らせると同時にステアリングを修正するトルクを発生

自動化レベル 6.5： ATS-P(6.5) システムはひとつの案を人に提示すると同時に、その案を実行。
機械は、自分の意図を人に伝えると同時に、それを実行
停止信号からの距離に応じた許容走行速度
列車速度

許容走行速度を越えると自動的にブレーキ作動

地上装置

停止信号

自動化レベル７： エンジン推力不均衡の補償(7)システムがすべてを行い、何を実行したか人に報告。

機械がよいと思ったことは、即時実行。人へは事後報告のみ③②① 第2エンジン（右主翼側）故障①② 左右エンジンの推力不均衡により機首が右に振れる③ TACが方向舵を制御して機首を左に向ける力を作り、②の力を打消して機首の振れを抑制③TAC (thrust asymmetrycompensation)

運転交代要請（RTI）メッセージのデザイン代替案
基本形（SAE J3016）： T秒以内に運転を交代してください
他のメッセージの可能性は？

自動化レベル（LoA）を参考に考案すると・・・
以下のような代替案が・・・

LoA 5 RTI

運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します

LoA 6 RTI

T秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください

LoA 6.5 RTI 直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです運転交代要請（RTI）が無視／拒否されたら？
Baseline 「T 秒以内に運転を交代してください」

SAE J3016

無視： T 秒後にシステム解除。その後の車両は無制御状態

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」
無視： T 秒経過後もドライバーによる運転行動が確認できないため、システムが最小リスク状態へ向けて制御継続

LoA 6「T 秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」
無視： T 秒後にシステム解除。その後の車両は無制御状態
拒否： システムが最小リスク状態へ向けて制御継続

LoA 6.5 「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」
無視： RTI 発出直後にシステム解除。その後の車両は無制御状態

効用関数を用いた RTI メッセージデザインの比較(Inagaki & Sheridan 2018)レベル３の自動運転は実現すべき目標たり得ず
U(LoA 6.5) < U(Baseline) < U(LoA 6) < U(LoA 5)•LoDA 3 with Baseline RTI は非合理的•LoDA 3 with LoA 5 RTI が最適だが、 もはや LoDA 3ではない•

LoDA 3 with LoA 5 RTI は、 LoDA 4 にも一致しない•

前２項は、 SAE J3016 （2016年版）の不完全性を示唆•

LoDA 3 with LoA 5 RTI は、2014年版 High Automation
T Inagaki & TB Sheridan (2018).
A critique of the SAE conditional driving automation definition, and ananalyses of options for improvement. Cognition, Technology & Work.
http://link.springer.com/article/10.1007/s10111-018-0471-5

SAE J3016 の2014年版と2016年版は似て非なるもの
2014年版

2016年版

SAE J3016の2016年版の不完全性を解消するには【方法１】【方法２】 LoDA ３の定義改訂SAE J 3016 ２０１６年版
LoDA 1

Driver Assistance

LoDA 2

Partial Driving
Automation

LoDA 3

Conditional Driving
Automation

L
High Automation(2014)
LoDA 4High Driving
Automation

LoDA 5Full Driving
Automation

特定の運行設計領域においてシステムがすべての動的運転タスクを担当。作動継続が困難なとき、システムは十分な時間余裕を持ってドライバーに運転交代を要請。
ドライバーがシステムの要請に対応しないときは、システムが車両を最少リスク状態に誘導（現在）
特定の運行設計領域においてシステムが全ての動的運転タスクを担当。 作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドラ
イバーはその要請に適切に対応すること。

機械が人を知る：ドライバーモニタリング「ドライバーの状態を監視し、不適切な状態になっている場合は注意喚起／警告する」 ということだが・・・

LoDA 2（例） 視線 監視制御を行っているか否かを知る上で重要 意識の脇見との判定に個人の特性を反映できる？

LoDA 3（例） 視線
 視線を前方に向けることが求められていないなかで、「不適切状態」との判定の基準は何？

注意喚起／警告する？ 事態が改善しないときは？

LoDA 2LoDA 3

 注意喚起／警告を続ける？

 注意喚起／警告の意味はある？

 一定時間が経過した時点で自動走行機能を停止させる？

 LoDA 3 ではドライバーに周辺監視義務はないはず 機械の判断による機械から人への権限委譲

 一定時間が経過した時点で自動走行機能を停止させる？

 それを判断し実行する権限を機械に与えてよいのか？

 機械の判断による機械から人への権限委譲

 車両無制御状態の可能性

 車両無制御状態の可能性

レベル３の自動運転にドライバーモニタリングは必要か？
 特定の運行設計領域においてシステムがすべての動的運転タスクを担当。

 作動継続が困難なとき、システムは十分な時間余裕を持ってドライバーに運転交代を要請。
 ドライバーがシステムの要請に対応しないときは、システムが車両を最少リスク状態に誘導。
LoDA 3

この機能を備えていればよいのでは？

【双対制御論的アプローチ】
 作動継続が困難なとき、システムは運転交代を要請するとともに減速
 一定時間経過後もドライバーの運転行動（減速、操舵等）が見られないときはシステムが車両を最少リスク状態に誘導。
システムによる「減速」の２つの目的： （１） 安全制御
（２） ドライバー状態の推定

基盤研究（S）ウェブサイト
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html【基礎編】
1-1 監視制御とは
1-2 監視制御における人の役割
1-3 監視制御は楽ではない
2-1 航空機の自動化の光と影（１）負担軽減と安全性・利便性・快適性の向上
2-2 航空機の自動化の光と影（２） 人と高度技術システムのミスマッチ
3-0 状況認識とは何か ― 身近な例で説明すると
3-1 気づき（レベル１の状況認識）の失敗
3-2 原因特定（レベル２の状況認識）の失敗
3-3 予測（レベル３の状況認識）の失敗
4-0 人の情報処理過程とヒューマンエラー
4-1 知覚の失敗
4-2 状況理解の失敗
4-3 行為選択の失敗
4-4 行為実行の失敗
4-5 状況認識の失敗とヒューマンエラー
5-1 知覚・状況理解・行為選択・行為実行の支援：
自動車の場合5-2 知覚・状況理解・行為選択・行為実行の自動化：
航空機の場合6-0 人間中心の自動化
7-0 信頼・不信・過信

7-1 信頼7-2 不信
7-3 過信7-4 ヒューマンマシンインタフェースのデザインで配慮すべきこと
8-1 機能配分 （１）静的機能配分
8-2 機能配分 （２）動的機能配分
8-3 権限共有と権限委譲 （１）権限共有
8-4 権限共有と権限委譲 （２）権限委譲
9-1 自動化レベル
9-2 アダプティブオートメーション
9-3 アダプティブオートメーションのための権限委譲
9-4 権限委譲をデザインする （１）平常時における権限委譲
9-5 権限委譲をデザインする （２）緊急時における権限委譲
9-6 権限委譲をデザインする （３）最適な自動化レベルの選択
10-1 機械はヒューマンエラーを防止できるか（１）補完の権限
10-2 機械はヒューマンエラーを防止できるか（２）抑止の権限

基盤研究（S）ウェブサイト
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html【自動運転編】
１ 「自動運転編」をはじめるにあたって
1-1 賢い機械
1-2 何のための自動化？
1-3 ひとくちに「自動運転」というものの
２ 自動運転レベル：NHTSAによる分類と定義
2-1 レベル１の自動運転
2-2 レベル２の自動運転
2-1 レベル３の自動運転
2-2 レベル４の自動運転
2-1 レベル０の自動運転
３ 自動運転レベル：SAEによる分類と定義（2014年版）
3-1 レベル１の自動運転
3-2 レベル２の自動運転
3-3 レベル３の自動運転
3-4 レベル４の自動運転
3-5 レベル５の自動運転
3-6 見落とされた自動運転レベル

４ 自動運転レベル： SAEによる分類と定義（2016年版）
4-1 レベル１の自動運転
4-2 レベル２の自動運転
4-3 レベル３の自動運転
4-4 レベル４の自動運転
4-5 レベル５の自動運転
4-6 見落とされた自動運転レベル
５ システムからドライバーへの権限委譲のための
ＲＴＩ のデザイン
5-1 レベル１の自動運転
5-2 レベル２の自動運転
5-3 レベル３の自動運転
5-4 レベル４の自動運転
5-5 レベル５の自動運転

６ SAE J3016 の自動運転レベルには不備がある
6-1 RTI のメッセージデザインを評価する
6-2 RTI のメッセージデザインの期待効用
6-3 RTI のメッセージデザインのうち最適なもの
6-4 SAE J3016 の自動運転レベル定義には不備がある
6-5 SAE J3016 の自動運転レベル定義の不備を解消するには