科研費基盤研究（S） 「人の認知・判断の特性を考慮した自動走行システムと法制度の設計」 2019シンポジウム
2019年9月3日

社会受容性のある自動運転の実現に向けた未解決課題への挑戦
筑波大学 副学長・理事

稲 垣 敏 之inagaki.toshiyuki.gb@un.tsukuba.ac.jp
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html

自動運転レベル （Levels of Driving Automation： LoDA)
ドライバーは動的運転タスクの一部を担当 （環境及びシステムの監視ならびに必要に応じての介入はドライバーの役目）

1

DriverAssistance

特定の運行設計領域においてシステムは縦方向又は横方向のいずれか一方の車両運動制御を担当。ドライバーは動的運転タスクの残余分を担当。

2

Partial DrivingAutomation

特定の運行設計領域においてシステムは縦方向及び横方向の車両運動制御を担当。 ドライバーは動的運転タスクの残余分と監視制御を担当。

システムは動的運転タスクのすべてを担当

3

Conditional
DrivingAutomation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。
作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドライバーはその要請に適切に対応すること。

4

High Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。
作動継続が困難なときも、システム自身で適切に対応。

5

Full Driving
Automation

運行設計領域に限定されることなく、システムが全ての動的運転タスクを担当。作動継続が困難なときも、システム自身で適切に対応。
(SAE 2016; 2018)

本日の講演で取り上げるテーマ
1. ミニマム・リスク・マヌーバ機能を備えたレベル３の自動運転（LoDA ３）は、レベル４の自動運転（LoDA ４）と等価であるとの意見があるが、本当にそうだろうか？
2. レベル２の自動運転（LoDA ２）においては、ドライバーにハンズ・オン（ハンドル保持）を求めるべきであるとの意見があるが、本当にそうだろうか？
3. レベル２の自動運転あるいはレベル３の自動運転においては、ドライバーモニタリングを行う必要がある（との意見があるが、本当にそうだろうか？

本日の講演で取り上げるテーマ
1. ミニマム・リスク・マヌーバ機能を備えたレベル３の自動運転（LoDA ３）は、レベル４の自動運転（LoDA ４）と等価であるとの意見があるが、本当にそうだろうか？
2. レベル２の自動運転（LoDA ２）においては、ドライバーにハンズ・オン（ハンドル保持）を求めるべきであるとの意見があるが、本当にそうだろうか？
3. レベル２の自動運転あるいはレベル３の自動運転においては、ドライバーモニタリングを行う必要がある（との意見があるが、本当にそうだろうか？

レベル３の自動運転 (LoDA 3)
システム： 走行環境の監視を含め、全ての動的運転タスクを担当。
作動継続が困難なとき、十分な時間余裕をもってドライバーに運転交代を要請。
ドライバー： システムの要請に適切に対応すること。

 「十分な時間余裕」とは、どれくらいの時間長のこと？

Photo: Volvo システムがドライバーに運転交代を要請してしまえば、一定時間経過後、システムは「役目は果たした」として自律的に機能停止してよい？

運転交代要請（RTI）が発せられたとき
ドライバー： 運転操作は行わず、走行環境の監視もしてこなかった。
そのなかでシステムから運転交代を求められたとき、瞬時に状況を見極め、適切に車両を制御できるか？

RTI(request to intervene)?

RTI に対して適切に対応してくれればよいのだが・・・

RTI を発してもドライバーが対応してくれないかも・・・

RTI メッセージのデザインは一意的ではない
基本形（SAE J3016）： 「T秒以内に運転を交代してください」
T秒が経過した時点で、システムは自動走行モードを解除他のメッセージもあり得るのでは？

自動化レベル（LoA）のリストを参考にすると・・・
いくつかの代替メッセージが見つかる

LoA 5 RTI

運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します

LoA 6 RTI

T秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください

LoA 6.5 RTI 直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです（参考） 自動化レベル (Levels of Automation: LoA)
人に最終決定権
機械に最終決定権(Sheridan 1992; Inagaki et at. 1998)

（参考）ドライバーがRTI に対応しなかったら？
基本形 「T秒以内に運転を交代してください」

SAE J3016

無対応： T秒後にシステム解除。その後、車両は無制御状態

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」
無対応： T秒経過後もドライバーの運転行動が確認できないため、システムが最小リスク状態へ向けて制御継続

LoA 6「T秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」
無対応： T秒後にシステム解除。その後、車両は無制御状態
拒否権： システムが最小リスク状態へ向けて制御継続

LoA 6.5 「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」
無対応： RTI 発出直後にシステム解除。その後、車両は無制御状態

RTI メッセージの最適デザイン
運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します（LoA 5 RTI）

所定時間経過後も、運転者が運転を引継いだことが確認できないとき・・・

システムは「権限委譲は不可能」と判断し、自身の機能範囲内で車両停止へ向けて制御を実行(Inagaki & Sheridan 2018)

J3016 による LoDA 3 の定義は改訂が必要
特定の運行設計領域においてシステムがすべての動的運転タスクを担当。作動継続が困難なとき、システムは十分な時間余裕を持ってドライバーに運転交代を要請。
ドライバーはその要請に適切に対応すること。
【赤字部分をつぎのように改訂】
ドライバーがシステムの要請に対応しないときは、システムが車両を最少リスク状態に誘導すること。
ミニマム・リスク・マヌーバ（MRM）「自動運転車の安全技術ガイドライン」 （国交省 2018年9月)

MRM 機能を備えた LoDA 3 は、LoDA 4 と等価か?
 レベル３の自動運転では、システムの作動継続が困難なとき、システムはドライバーに運転交代を要請。ドライバーには、その要請に適切に対応することが求められている。
 本来なら、事態に対応すべき責務を負うドライバーが何らかの理由でその責務を果たせないときにシステムがやむなく実行する緊急避難的な対応策がMRM。このことは、MRMの完全性と最適性を期待するものではない。
 一方、レベル４の自動運転では、システムの作動継続が困難なときでも、システムは、人の関与を求めることなく、システム自身で適切に対応することが求められる。すなわち、システムの対応には、完全性と最適性が求められる。
 以上のことから、MRM機能を備えたレベル3の自動運転は、レベル4の自動運転と等価なものではない。

本日の講演で取り上げるテーマ
1. ミニマム・リスク・マヌーバ機能を備えたレベル３の自動運転（LoDA ３）は、レベル４の自動運転（LoDA ４）と等価であるとの意見があるが、本当にそうだろうか？
2. レベル２の自動運転（LoDA ２）においては、ドライバーにハンズ・オン（ハンドル保持）を求めるべきであるとの意見があるが、本当にそうだろうか？
3. レベル２の自動運転あるいはレベル３の自動運転においては、ドライバーモニタリングを行う必要がある（との意見があるが、本当にそうだろうか？

レベル２の自動運転 (LoDA 2)
システム： 縦方向と横方向の車両運動制御を担当。
ドライバー： 動的運転タスク残余分と監視制御を担当。
【監視制御 （supervisory control）】
 人が何をなすべきかを決め、システムに指示（最終決定権を持つのは、人） システムは、人から受けた指示に従って制御を実行
 人は、システムが指示どおり適切に制御を行っているかどうかを継続的に監視。状況に応じて適時に介入

Photo: BMW

LoDA 2のドライバーには hands-on を求める？
 システムの横方向制御に影響する力をかけないように注意しながら長時間にわたってハンドルを握るのは負担大では？
 ハンドルを緩く把持するにとどめてきたドライバーが意図せず瞬間的に大きな力をかけたとき、もし、システムに「人の操作入力を優先するしくみ」が備わっていたら、システムが横方向制御を停止させることはないか？
 一方、「人の不適切な操作入力を無視するしくみ」が備わっていたら、システムの横方向制御を修正しようとするドライバーの意図が無視されることはないか？
 ドライバーの主体性維持は、human-computer interaction のデザインで実現可能
 よって、レベル2の自動運転では、ドライバーに hands-off を認めてよいのではないか。

本日の講演で取り上げるテーマ
1. ミニマム・リスク・マヌーバ機能を備えたレベル３の自動運転（LoDA ３）は、レベル４の自動運転（LoDA ４）と等価であるとの意見があるが、本当にそうだろうか？
2. レベル２の自動運転（LoDA ２）においては、ドライバーにハンズ・オン（ハンドル保持）を求めるべきであるとの意見があるが、本当にそうだろうか？
3. レベル２の自動運転あるいはレベル３の自動運転においては、ドライバーモニタリングを行う必要がある（との意見があるが、本当にそうだろうか？

LoDA 2 におけるドライバーモニタリング
 ドライバーが監視制御を行うことはレベル２の自動運転の大前提 ドライバーが適切に監視制御の任に当たっているか否かを確認するためのドライバーモニタリングは必要

Photo: BMW ただし、ドライバーモニタリング用の特別なセンサは不要。
車両制御用データを取得するためのセンサがあれば十分。
 鍵を握るアイデアは、双対制御（dual control）。
運転支援の文脈での成果は、（Saito, Itoh & Inagaki 2016） 以下では、ドライバーに hands-on を求める場合と、hands-off を許す場合に分けて議論

LoDA 2： hands-on （1）システムによる横方向制御が、自律的に車線中央の走行を維持しようとするタイプである場合
 hands-on であっても、ドライバーは居眠りをする場合がある。
低覚醒のなかでふと眼を開けたとき、無意識的にハンドルを細かく動かす 上記現象により操舵角の標準偏差が一定の値を超えたとき、システムは「ドライバーは監視制御の任に当たっていない恐れあり」と判断し減速（双対制御の1段目の制御）
 アクセルペダルを踏んで減速を止めさせようとする「介入」操作が一定時間見られないとき、システムは、「ドライバーは監視制御の任に当たっていない」と判断し減速・停止（2段目の制御）

LoDA 2： hands-on （2）システムによる横方向制御が、左右の車線区分線を超えないようにする lane centering system ほど強いタイプではない場合
 hands-on であっても、ドライバーは居眠りをする場合がある。
ハンドルを握ったまま居眠りに陥ると、トルクに偏りが出るため車両は車線中央から外れていく 車線逸脱の可能性が検出されると、システムは「ドライバーは監視制御の任に当たっていない恐れあり」と判断し、車線区分線に沿って走行するよう車両を制御（双対制御の1段目の制御）
 ドライバーが車両を車線中央に戻そうとするしないまま一定時間が経過すると、 システムは「ドライバー監視制御の任に当たっていない」と判断し減速・停止（2段目の制御）

LoDA 2： hands-off （1）システムによる横方向制御が、自律的に車線中央の走行を維持しようとするタイプである場合
 human-in-the-loop のデザインのもと、ドライバーからシステムに対し、「システムが何をすべきか」を指示させる方式を採用。
そのため、システムは、ドライバーに指示内容を問いかけ ドライバーからの応答がない／応答が遅れるといった場合、システムは「ドライバーは監視制御の任に当たっていない恐れあり」と判断し減速（双対制御の1段目の制御）
 アクセルを踏んで減速を止めさせようとする「介入」操作が一定時間見られないときは、システムは「ドライバーは監視制御の任に当たっていない」と判断し減速・停止（2段目の制御）

LoDA 2： hands-off （2）システムによる横方向制御が、自律的に車線中央の走行を維持しようとするタイプである場合
 ドライバーが居眠りをしている、あるいは眠気と戦っている等、ドライバーが監視制御の任に当たっていない場合であっても、表面的には車両挙動に不都合は見られない。しかし、監視制御が適切に行われていない以上、リスクが現存
 そこで、システムは時折、車両に「正常からの微小な逸脱」を発生させ（双対制御の1段目の制御）、ドライバーの状況認識の適切さを試す
 ドライバーが「正常からの微小な逸脱」へ修正をかけようとする
ことがなければ、システムは「ドライバーは監視制御の任に当たっていない」と判断し減速・停止（2段目の制御）

LoDA 3 におけるドライバーモニタリング
 「システムが運転交代を要請した時、ドライバーが直ちに対応できる状態にあるか否かを調べる必要がある」という主張がなされているが・・・
 RTIに迅速に対応できる状態にあるか否かは、いつ調べる？
 システムが完全に正常な時であっても調べる？
 まもなくRTI発出が予測される時であっても調べる？
 RTIに迅速に対応できる状態にないと判定されたときは？
 注意喚起／警告を発する？
 それにもかかわらず改善が見られないときは？
 それでもなおRTIを発しなければならないときは？

LoDA 3 におけるドライバーモニタリング（続き）【問題１】 ドライバーがシステムからのRTIに対応できる体勢にないため、注意喚起／警報を発して改善を図ってきたが、状況は変わらない。そのような状況のなかで、RTIを発出しなければならない状況になってきたが、RTIは発出してよいか？いけないか？
【問題２】 ドライバーがシステムからのRTIに対応できる体勢になかったため、注意喚起／警報を発して改善を図った結果、先刻、ドライバーはRTIに対応できる体勢にあるとの評価を得た。そのような経緯があったなかで、RTIを発出しなければならない状況になってきた。「先刻」はすでに「過去」であり、現在を保証するものではないが、このままRTIは発出してよいか？
ドライバーがRTIに対応できないときはシステムのMRMによって安全を担保するのであるから、ドライバーモニタリングは不要参考文献
Saito, Y., Itoh, M. & Inagaki, T. (2016). Driver assistance system with a dual
control scheme: Effectiveness of identifying driver drowsiness and preventing lane
departure accidents. IEEE Trans. Human-Machine Systems, 46(5), 660-671
Inagaki, T. & Sheridan, T. (2018). A critique of the SAE conditional driving
automation definition, and an analyses of options for improvement. Cognition,
Technology & Work. DOI: 10.1007/s10111-018-0471-5.

国土交通省自動車局 （2018）. 自動運転車の安全技術ガイドライン.
SAE (2018). Taxonomy and Definitions for Terms Related to Driving
Automation Systems for On-Road Motor Vehicles. Surface Vehicle
Recommended Practice, J3016.

基盤研究（S）による研究成果・解説・講演資料等
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html