日本機械学会 交通・物流部門
講習会「交通・物流機械の自動運転２０１８」
東京理科大学 森戸記念館 ２０１８年１０月２６日

自動運転におけるヒューマンファクター的課題

筑波大学 副学長・理事

稲 垣 敏 之inagaki.toshiyuki.gb@un.tsukuba.ac.jp
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html

航空機における自動化の進展
1900年代初頭は、操縦の困難さをパイロットの練度で克服• パイロットの負担が大• ヒューマンエラーが入り込む余地
解決策のひとつは、操縦操作の自動化

飛行管理も自動化 （機体重量や気象条件に合った離陸速度・上昇速度・巡航高度・降下開始点等の決定）• 年間飛行時間 800-900時間の国際線パイロットの場合、手動操縦は 3時間程度

高い知能と自律性を備えた機械がもたらす光と影（１）離陸フェーズのみ
自動化不能

自動化
離陸100万回あたりの全損事故件数

1950年代： 40便以上
2000年代： 1便未満

(Boeing 2016)

高い知能と自律性を備えた機械がもたらす光と影（２）• 賢い機械
– 状況センシング– 状況理解– 何をなすべきかを決定し、実行

状況認識の喪失
機械への過信と不信の交錯
オートメーションサプライズ（稲垣 2012）

状況認識: ３つのレベル
レベル１： 何かが起こっていることに 気づく
レベル２： その 原因を特定 できる
レベル３： これからの事態の 推移が予測 できる（Endsley 1995）

機械の状況判断・意図が分からないまま、機械を信頼オートパイロットがなぜこんなことをするのか私にはわからない。
でも、オートパイロットはわかったうえでやっているのだろう。
（FAA 1995)

監視制御システムによる制御の適切性を常時監視し、必要に応じて介入システムを正しく理解し適切に使うための教育・訓練が不可欠自動化はパイロットの技量を低下させる？
• スキポールで、トルコ航空 1951 便が墜落 （2009.02）• ブラジル沖大西洋上で、エールフランス 447 便が墜落 （2009.06）• サンフランシスコで、アシアナ航空 214 便が着陸失敗 （2013.07）

Photo: CNN

グラスコクピット機におけるヒューマンファクター課題
1. 自動化システムの機能や論理が分かりにくい（状況認識の喪失、オートメーションサプライズ、教育訓練の長時間化）
2. 自動化システムの作動状態が分かりにくい（状況認識やモード認識の喪失、等： 不十分なHMI設計も一因）
3. 自動化システムの使用により、本来低いワークロードがさらに低減（退屈、危機感の喪失）
4. 自動化システムの使用により、本来高いワークロードがさらに増大（無理な決定や行動、及びそれに伴うヒューマンエラーの誘発）
5.

自動化システムを使うべきであるのに、使おうとしない（不信、規則違反）

6.

自動化システムを使ってはいけないときに、使おうとする（過信、過度の依存、規則違反）

7.

自動化システムを使用し続ける間に技量の低下が起こる？
（アップセットリカバリ能力の低下・欠如？）

ひとくちに「自動運転」といっても、形態は多種多様

Photo: BMW

Photo: Volvo

Photo: Zoox

自動運転レベル （Levels of Driving Automation： LoDA)
ドライバーは動的運転タスクの一部を担当 （環境及びシステムの監視ならびに必要に応じての介入はドライバーの役目）

1DriverAssistance

特定の運行設計領域においてシステムは縦方向又は横方向のいずれか一方の車両運動制御を担当。ドライバーは動的運転タスクの残余分を担当。

2

Partial Driving
Automation

特定の運行設計領域においてシステムは縦方向及び横方向の車両運動制御を担当。 ドライバーは動的運転タスクの残余分と監視制御を担当。

システムは動的運転タスクのすべてを担当

3

ConditionalDriving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。
作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドライバーはその要請に適切に対応すること。

4

High Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。
作動継続が困難なときも、システム自身で適切に対応。

5

Full Driving
Automation

運行設計領域に限定されることなく、システムが全ての動的運転タスクを担当。作動継続が困難なときも、システム自身で適切に対応。
(SAE 2016)

レベル２の自動運転 (Partial Driving Automation)
システム： 縦方向と横方向の車両運動制御を担当。
ドライバー： 動的運転タスク残余分と監視制御を担当。
【監視制御 （supervisory control）】
 人が何をなすべきかを決め、システムに指示 システムは、人の指示に沿って制御を実行

Photo: BMW 人は、システムによる制御が適切かどうかを継続的に監視。
場合に応じて適時に介入システムの動作原理、能力限界、サブシステム間の相互干渉等に関する正確な理解が必要

HMI のデザインが鍵

 ドライバーが監視制御をしていないと思えるときはどうする？

レベル３の自動運転 (Conditional Driving Automation)
システム： 走行環境の監視を含め、全ての動的運転タスクを担当。
作動継続が困難なとき、十分な時間余裕をもってドライバーに運転交代を要請。
ドライバー： システムの要請に適切に対応すること。
 「十分な時間余裕」とはどれくらい？
 運転交代を要請して一定時間経過後システムは機能停止してよい？
 レベル３の自動運転の狙いは何？
Photo: Volvo 「システムの手に余るときは、人に対応させよう」という設計思想は妥当か？
 ドライバーは、結果予見義務／結果回避義務（過失責任）から解放されているのか？

運転主体の交代： 権限委譲（trading of authority）（１）誰から誰への権限委譲？
（２）権限委譲の要否と実行タイミングを決定・実行するのは誰？
機械に割当てられたタスク
時刻１

人に割当てられたタスク

縦方向制御

横方向制御
機械から人への権限委譲

時刻２人から機械への権限委譲

時刻３

縦方向制御

縦方向制御

横方向制御

横方向制御

（Inagaki 2003; Inagaki & Sheridan 2012; 稲垣 2012)

機械の判断による、機械から人への権限委譲は成功するとは限らない
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

www.franceculture.fr/sciences/les-pilotes-en-cause-dans-le-crash-du-vol-af447-rio-paris機械から人への権限委譲を行うためのRTIドライバー： 運転操作は行わず、走行環境の監視もしていない。
システムから運転交代を求められたとき、瞬時に状況を見極め、適切に車両を制御できる？

RTI(request to intervene)?

RTI に対して適切に対応してくれればよいのだが・・・

RTI を発してもドライバーが対応してくれなかったら・・・

自動化レベル (Levels of Automation: LoA)
人に最終決定権
機械に最終決定権(Sheridan 1992; Inagaki et at. 1998)

運転交代要請（RTI ）メッセージのデザイン
基本形（SAE J3016）： Ｔ秒以内に運転を交代してください
他のメッセージの可能性は？

自動化レベル（LoA）を参考に考案すると・・・
以下のような代替案が・・・

LoA 5 RTI運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します

LoA 6 RTI

Ｔ秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください

LoA 6.5 RTI 直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです運転交代要請（RTI ）が無視／拒否されたら？
Baseline 「T 秒以内に運転を交代してください」

SAE J3016

無視： T 秒後にシステム解除。その後の車両は無制御状態

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」
無視： T 秒経過後もドライバーによる運転行動が確認できないため、システムが最小リスク状態へ向けて制御継続

LoA 6「T 秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」
無視： T 秒後にシステム解除。その後の車両は無制御状態
拒否： システムが最小リスク状態へ向けて制御継続

LoA 6.5 「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」
無視： RTI 発出直後にシステム解除。その後の車両は無制御状態

効用関数を用いた RTI メッセージデザインの比較(Inagaki & Sheridan 2018)レベル３の自動運転は実現すべき目標たり得ずU(LoA 6.5) < U(Baseline) < U(LoA 6) < U(LoA 5)•

LoDA 3 with Baseline RTI は非合理的•LoDA 3 with LoA 5 RTI が最適だが、 LoDA 3の範疇外•

LoDA 3 with LoA 5 RTI は、 LoDA 4 にも一致しない•

前２項は、 SAE J3016 （2016年版）の不完全性を示唆•

LoDA 3 with LoA 5 RTI は、2014年版 High Automation
T Inagaki & TB Sheridan (2018).
A critique of the SAE conditional driving automation definition, and ananalyses of options for improvement. Cognition, Technology & Work.
http://link.springer.com/article/10.1007/s10111-018-0471-5

効用最大（リスク最小）の RTI運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します （LoA 5 RTI）

10秒経過後も、ユーザーが運転していることを確認できない

システムは「権限委譲は不可能」と判断し、自身の機能範囲内で車両停止へ向けて制御を実行
上記形態は、「レベル３の自動運転」の範疇外
レベル３の自動運転は、実現すべき目標として妥当か？
(Inagaki & Sheridan 2018)

SAE J3016の2016年版の不完全性を解消するには【方法１】【方法２】 LoDA ３の定義改訂

SAE J 3016 ２０１６年版
LoDA 1

Driver Assistance

LoDA 2

Partial Driving
Automation

LoDA 3

Conditional Driving
Automation

LHigh Automation(2014)
LoDA 4High Driving
Automation

LoDA 5Full Driving
Automation

特定の運行設計領域においてシステムがすべての動的運転タスクを担当。作動継続が困難なとき、システムは十分な時間余裕を持ってドライバーに運転交代を要請。
ドライバーがシステムの要請に対応しないときは、システムが車両を最少リスク状態に誘導（現在）
特定の運行設計領域においてシステムが全ての動的運転タスクを担当。 作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドラ
イバーはその要請に適切に対応すること。

自動運転車の安全技術ガイドライン（２）自動運転システムの安全性⑤ レベル３の自動運転車については、次の要件を満たす自動運転システムであること。
 設定されたODDの範囲外となった場合や自動運転車に障害が発生した場合等、自動運転の継続が困難であるとシステムが判断した場合において、運転者に対し介入のための警告（運転権限の委譲）を行うこと
 運転者に運転権限が委譲されるまでの間、システムの機能を維持又はシステムの機能を制限した状態でシステムの稼働を継続させるフォールバック（縮退運転）を行うことにより、安全に自動運転を継続すること
 システムから運転者に運転が引き継がれたか否かを判別することができること
 システムから運転者に運転が引き継がれない場合において、車両を自動で安全に停止させるミニマム・リスク・マヌーバー（MRM）を設定すること（国交省 2018）レベル３の自動運転におけるドライバーモニタリング
ドライバーがシステムから運転操作を引継ぐことができる状態にあるか否かを監視し、必要に応じて注意喚起／警報を発する」方式が検討されているが、それでもドライバーの状態が改善されなかったらどうする？
 「対応しないのはドライバーの責任」 と考えてRTI を発出
・・・ ドライバーが対応しなければ、車は無制御状態へ
 RTI を発出するのをあきらめて、システムが対応・・・ LoDA 4
 RTI を発出し、ドライバーが対応しなければ、システムが対応
・・・ LoDA 3 ＋ LoA 5 RTI
いずれの方式でも、ドライバーモニタリングは不要では？

レベル４の自動運転 (High Driving Automation)
システム： 全ての動的運転タスクを担当。
作動継続が困難なときも、システム自身で適切に対応。
 「システムだけで対応できる」とは、「ドライバーに関与させない」こと？
 何が起こっているか、システムがどのように対応しようとしているか等はドライバーに知らせる？ 知らせない？
Photo: Volvo【移動サービスへの応用可能性】
 道路交通に関する条約（ジュネーブ条約）との整合性を図った
うえで、限定的な地域において無人自動運転移動サービスを実現させることができれば、高齢者のモビリティ向上へ・・・自動運転における人と機械の協調と共生（１）Photo: BMW

Photo: Volvo

Photo: Zoox

• 自動運転レベルが高いものが「レベルが高い」のではない• ドライバーの役割と責任を、社会やドライバーは認識すべし• 監視制御は、楽な仕事ではないのだが・・・• 高機能なシステムの動作原理や能力限界を知らないと、システムを正しく監視することはできないのだが・・・• 権限の的確な引継ぎには、瞬時の状況判断が不可欠だが・・・

自動運転における人と機械の協調と共生（２）HMI が提供すべきものは・・・

機械と状況認識を共有できる手がかり
機械の判断の根拠が分かる手がかり
機械の意図が分かる手がかり
機械の能力限界を知る手がかり
機械の作動状態が分かる手がかり（Inagaki 2010; 稲垣 2012)

不適切な信頼（不信／過信）の低減
過信に基づく依存（過度の依存）の低減
モード認識喪失やオートメーションサプライズの低減

さらに踏み込んでいうならば・・・

自然な形でドライバーモニタリングの役割を担う HMI と制御系の構築

レベル３以上の自動運転の実現を目指すときの法律上・運用上の課題
1. ドライバーには、どのようなセカンダリアクティビティ（運転以外の行為）を認めるか
2. 自動運転システムを使用して走行中の車両が規範を遵守するものであることをどのように担保するか
3. 自動運転システムを使用して走行中の車両が規範を逸脱した際のペナルティのあり方をどのように考えるか
4. 自動運転システムを使用して走行中のデータの保存とその利用はどうあるべきか
5. 他の交通主体との関係はどうあるべきか
6. 自動運転に関する社会受容性をどのように醸成するか