日本地下鉄協会 平成２７年度講演会
弘済会館
平成２８年１月２５日

高度自動化がもたらすものと求めるもの
ー 交通分野における人と機械の共生に向けて ー

国立大学法人筑波大学 副学長・理事

稲垣 敏之
inagaki.toshiyuki.gb@u.tsukuba.ac.jp
http://www.css.risk.tsukuba.ac.jp

自動運転への関心が高まっているが・・・

Photo: BMV

Photo: Volvo

Photo: Zoox

自動運転による交通事故・渋滞の低減
サグ部での渋滞緩和

路車間通信

ＧＰＳ
路車間通信

自律センサによる追突・衝突防止

右折時衝突防止

車車間通信

見えない人や車との衝突防止

次世代公共交通システム
スムーズな加減速、乗客転倒防止

統合的・有機的な運行

交通流整流、定時運行

事故低減
運転負荷軽減Cyber Agent

乗降時間短縮乗降安全性向上航空機における自動化の進展
1900年代初頭は、操縦の困難さをパイロットの練度で克服• パイロットの負担が大• ヒューマンエラーが入り込む余地
解決策のひとつは、人が担当している機能の自動化

操縦操作の自動化だけでなく、飛行管理（機体重量や気象条件に合った離陸速度・上昇速度・巡航高度・降下開始点等の決定）も自動化• 長距離路線を担当しているパイロットの年間飛行時間が800-900 時間とすると、そのパイロットが自ら操縦を担当しているのは、3時間程度
・・・ 自動化できていないのは離陸フェーズだけ（稲垣 2012）

自動化の進展は安全性の向上に貢献
離陸100万回あたりの全損事故件数(1959-2014) を見ると・・・

1950年代： 40便以上
2000年代： 1便未満

(Boeing 2014)

高い知能と自律性を備えた機械がもたらす光と影• 賢い機械
– 状況センシング– 状況理解– 何をなすべきかを決定し，実行

状況認識の喪失
機械への過信と不信の交錯
オートメーションサプライズ

状況認識の３つのレベル
レベル１： 何かが起こっていることに 気づく
レベル２： その 原因を特定 できる
レベル３： これからの事態の 推移が予測 できる（稲垣 2012）

１．多機能インタフェースによるエラーの誘発

HDG-V/S / TRK-FPA
モード切替
プッシュボタン(稲垣 2012)

２．人と機械の「意図の対立」
異なる意図のもとで制御された水平安定版と昇降舵

水平安定板
コンピュータの意図＝上昇（水平安定板を前傾）

昇降舵
パイロットの意図＝降下（昇降舵を後傾）

たがいに妨害(稲垣 2012)

３．自動化システムへの過信と不信の交錯： GPWS
「いざというときは警報を発して教えてくれる」はずだが・・・
Terrain,Terrain

Whoop, Whoop,
Pull up!

過信

警報なし

不信

GPWS 非装備

CFIT(Controlled Flight
Into Terrain)
事故

警報の遅れ，乗員の不適切な対応

４．自動化システムによる「異常の隠蔽」
強力な制御能力を持ちながらも寡黙な自動化システム

万事順調

自動化システム

情報バリア

制御対象
（異常）
コマンド

(稲垣 2012)

５．高機能システムのわかりにくさ
機械のものの見方・考え方

人のものの見方・考え方

何が起きているのだ？

AをやるならBも必要だな

情報バリア
制御対象

タスク A + B

タスク B

++

タスクAを指令(稲垣 2012)

高度自動化がもたらす「人の周辺化」


自動化システムの制御論理が複雑
様々なシステム間で相互作用

状況認識の確保が難しい(Billings 1997)

ACCは作動しているものと思っていたが・・・
高速域 ACCなら先行車ロストでも制御継続• 作動状態（オン／オフ）を誤解• 作動モードを誤解（モードコンフュージョン）
低速域ACCなら先行車ロスト時に制御解除

注意喚起も警報も出ていないから大丈夫？

システム

止まれ

・・・
ドライバ
本当に車は来ない？

 システムは作動している？
していない？

（Inagaki 2010; 稲垣 2012)

情報が複数とおりに解釈できると・・・

システム

止まれ

右から車が来ます！
ドライバ
この車のこと？
まだ後から別の車が来る？

 システムの判断の根拠は何？

（Inagaki 2010; 稲垣 2012)

人が見ているもの

機械が見ているもの

B
ACC はA車を追従しているはずだから、まもなく減速するだろう

A

実は、ACC が見ているのは B車

ACC は、なぜ今加速するのだ？
オートメーションサプライズ 状況認識を共有できている？

（Inagaki 2010; 稲垣 2012)

「人が見ているもの ＝ 機械が見ているもの 」 だが・・・
両者で「ものの考え方」が違うと、オートメーション・サプライズ

制動で衝突回避しよう

操舵で衝突回避しよう これから何をしようと考えている？
（意図）（Inagaki 2010; 稲垣 2012)機械の能力限界が分からないと・・・

割込もうとしている車がいるぞ。
ACC はそろそろ減速するかな。

オートメーション
サプライズ

ACC はなぜ減速しないのだ？

実は、ACC には割込み車は見えない
Why does
ACC

accelerate now?

 能力限界はどこにある？

（Inagaki 2010; 稲垣 2012)人と機械の共生に必要な２種類の HMI（１） Human Machine Interface
人が機械を知る
機械が何を考え、何をしようとしているかが分かる
機械への過信・不信の防止– 機械と 状況認識を共有 できる手がかり– 機械の 判断の根拠 が分かる手がかり– 機械の 意図 が分かる手がかり– 機械の 能力限界 を知る手がかり– 機械の 作動状態 が分かる手がかり（Inagaki 2006, 2008; 稲垣 2012)人と機械の共生に必要な２種類の HMI（２） Human-Machine Interaction
機械が人を知る
人の心身状態や環境条件に応じて人への支援形態を変える（例） 人による制御が適切に行われなければ、機械が介入して安全を担保する– 人と機械の役割を固定化せず、動的に変更– 人と機械が権限と責任をどのように共有し、どのようなときに権限を一方から他方へ委譲するか– 機械がその判断をしてもよいか、人でなければならないか（Inagaki 2003; 稲垣 2012)

権限委譲(1) 誰から誰への権限委譲？
人が担当

機械が担当

人から機械への権限委譲

機械から人への権限委譲(2) 権限委譲を決定・実行するのは誰？
-人- 機械
要注意（Inagaki 2003; Inagaki & Sheridan 2012; 稲垣 2012)

人の判断による権限委譲
ACC を使用して先行車を追従中、隣接車線から割込意図を示す車に気づき、ACC を解除。その車の割込みを許して車間間隔を調整した後、再び ACC をエンゲージ。

１．先行車追従

ACCの役割ドライバーの役割

縦方向制御

横方向制御

２．割込車を検知しACCをOFFに権限委譲

３．割込完了を確認しACCをONに権限委譲

４．割込車追従

縦方向制御

縦方向制御

横方向制御

横方向制御

機械の判断に基づく権限委譲
鉄道:

ATS-P

自動車: Advanced Emergency Braking System(AEBS)
先行車への衝突が切迫しているにも関わらずドライバがブレーキ操作を行わないとき、シートベルトを巻上げて自動的にブレーキ

航空機: Thrust Asymmetry Compensation(TAC)
エンジン推力のアンバランスから生じるロール／ヨーのつり合いを監視しており、不つり合いが生じたときにラダーを制御

自動運転のレベル (SAE: 2014)
走行環境を監視するのはドライバ

1

DriverAssistance

システムが縦方向制御あるいは横方向制御の一方を担当。
ドライバは、システムが担当しない運転操作を担当。

2

PartialAutomation

システムが縦方向制御と横方向制御のいずれも担当。
ドライバは、システムが担当しない運転操作を担当。

走行環境を監視するのはシステム

3

Conditional
Automation

システムが車両制御のすべてを担当。システムがドライバに制御の交代を求めたいときは、十分な時間余裕をもってドライバに要請。ドライバはその要請に適切に対応。

4

High
Automation

システムが車両制御のすべてを担当。システムからの制御の交代を要請に対するドライバの対応がないとき、システ
ムは車両制御を継続。

5

Full
Automation

ドライバが対応可能なすべての道路条件、走行環境条件のもとで、システムがすべての車両制御を担当。

レベル１の自動運転 （Driver Assistance）
システムが縦方向制御あるいは横方向制御の一方を担当。
ドライバは、走行環境を監視しながら、システムが担当しない運転操作を担当。
ACC ：縦方向制御

ドライバ： LKA を利用しながら横方向制御。
必要に応じてシステムの制御に介入システムの動作原理や能力限界に関する正確な理解が必要レベル２の自動運転 （Partial Automation）
システムが縦方向制御と横方向制御のいずれも担当。
ドライバは、走行環境を監視しながら、システムが担当しない運転操作を担当。
システム： ACC、LCS、AEBS、ESC 等を駆使しながら車両を制御
ドライバ： システムを監視。
必要に応じて制御に介入
 システムの動作原理や能力限界に関する正確な理解が必要
手放し運転中であっても、いつでも介入できる姿勢

 サブシステム間の相互干渉にも留意が必要（今の免許制度で大丈夫？）レベル２の自動運転において、ドライバは・・・

Photo: BMW

監視制御（supervisory control）• 人が何をなすべきかを決めてそれをシステムに指示。
• システムはその指示に沿って制御を実行。
• 人はシステムによる制御が適切なものかどうかを監視。

監視制御： 身体には楽だが、精神的には辛い(b)

(a)

計画

教示

監視介入

学習(c)

「監視」のむずかしさ– 高信頼のシステムゆえ、トラブル発生は稀– 万一の事象の発生に備えての「監視」は単調で退屈「介入」のむずかしさ– 異常発生時には、不十分な時間と情報のもとでも、適時の「介入」が必要– 「想定外事象」に対する手順書はない（稲垣 2012）

レベル２の自動運転に必要なものは監視制御を楽しいものに変える HMI•

つぎのような手がかりを与える HMI が欲しい
–
–
–––

•

機械と状況認識を共有できる手がかり
機械の判断の根拠が分かる手がかり
機械の意図が分かる手がかり
機械の能力限界を知る手がかり
機械の作動状態が分かる手がかり

ドライブを続ける中で、機械のことが自然に分かるようになる–––

不適切な信頼（不信／過信）の低減
不適切な依存（過度の依存）の低減
モード認識喪失やオートメーションザプライズの低減

レベル３の自動運転 （Conditional Automation）
システムは、走行環境を監視しながら車両制御のすべてを担当。
システムがドライバに制御の交代を求めたいときは、十分な時間余裕をもってドライバに要請。ドライバは、その要請に適切に対応。

運転していないが、監視はしている

運転しておらず、監視もしていないレベル３の自動運転において、ドライバは・・・「移動時間を有効に活用できますよ」

Photo: Volvo• 結果予見、結果回避の義務からも解放される？
• 事故が起こっても過失責任を問われることはないのか？
• いつでもシステムからの運転交代要請に対応できるようにしている状況で、仕事に集中／リラックスできる？

レベル３の自動運転における制御の引継ぎシステムは、走行環境を監視しながら車両制御のすべてを担当。
システムがドライバに制御の交代を求めたいときは、十分な時間余裕をもってドライバに要請。ドライバは、その要請に適切に対応。
10秒後に自動モードを解除します。
制御を引継いでください

制御権をシステムから人へ円滑・安全に移したい機械から人への制御の引継ぎは失敗することがある
エールフランス447便（A330-200）墜落（2009.06）
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

システムはどのようにドライバへ制御の引継ぎを要請？
1. 「10秒後にシステム機能限界の発生が予測されます」と注意喚起（LOA=4）
2. 「10秒後にシステム機能限界の発生が予測されます。今、自動モードを解除してよろしいですか？」と提案（LOA=5）
3. 「10秒後にシステム機能限界の発生が予測されます。その時点で自動モードを解除します」と宣言（LOA=6）運転から解放されたドライバは監視もしていないかもしれない

4. 「自動モードを解除しました」と事後報告（LOA=7）5. 自動モードを解除しても何も知らせない（LOA=9）(1) コンピュ－タの支援なしに、すべてを人が決定・実行。
(2) コンピュ－タはすべての選択肢を提示し、人はそのうちのひとつを選択して実行。
(3) コンピュ－タは可能な選択肢をすべて人に提示するとともに、ひとつを選んで提案。それを実行するか否かは、人が決定。
(4) コンピュ－タは可能な選択肢の中からひとつを選び、それを人に提案。
それを実行するか否かは、人が決定。

人に最終決定権あり

自動化レベル (LOA)(5) コンピュ－タはひとつの案を人に提示。人が了承すれば、コンピュ－タが実行。

人が一定時間内に実行中止を指令しない限り、コンピュ－タはその案を実行。
(6.5) コンピュ－タはひとつの案を人に提示すると同時に、その案を実行。
(7) コンピュ－タがすべてを行い、何を実行したか人に報告。
(8) コンピュ－タがすべてを決定・実行。人に問われれば、何を実行したかを報告。
(9) コンピュ－タがすべてを決定・実行。何を実行したかを人に報告するのは、報告の必要性をコンピュ－タが認めたときのみ。
(10) コンピュ－タがすべてを決定し、実行。

(Sheridan 1992; Inagaki et at. 1998)

機械に最終決定権あり(6) コンピュ－タはひとつの案を人に提示。

システムはどのようにドライバへ制御の引継ぎを要請？
1. 「10秒後にシステム機能限界の発生が予測されます」と注意喚起（LOA=4）
2. 「10秒後にシステム機能限界の発生が予測されます。今、自動モードを解除してよろしいですか？」と提案（LOA=5）
3. 「10秒後にシステム機能限界の発生が予測されます。その時点で自動モードを解除します」と宣言（LOA=6）
4. 「自動モードを解除しました」と事後報告（LOA=7）
運転していないし監視もしていない

5. 自動モードを解除しても何も知らせない（LOA=9）システムからの制御交代要請にドライバが応えないとき
1. されます」と注意喚起（LOA=4）
2. 「10秒後にシステム機能限界の発生が予測されます。今、自動モードを解除してよろしいですか？」と提案（LOA=5）
ドライバから「了解」が得られないとき、権限委譲は不可能と判断し、システムはその機能の範囲内で車両制御を継続運転していないし監視もしていない

レベル４の自動運転（High Automation）

レベル５の自動運転 （Full Automation）
ドライバが対応可能なすべての道路条件、走行環境のもとでシステムがすべての車両制御を担当。
有人運転ではあるが、「ドライバ」が乗らない車（ロボットタクシー）
ウィーン条約（ジュネーブ条約）との関係をどのように整理？
車両の運転者は、正当な注意義務を適正に行使でき、いかなる操作であっても必要なものはいつでも実行できるよう、車両を常に制御できていなければならない

ドライバの権限と責任【ドライバ主権】
運転はあくまでもドライバが主体となって行うもの
道路交通に関するウィーン条約第8条（運転者）
１ あらゆる走行中の車両か連結車両には、運転者がいなければならない。
５ 運転者は、いついかなるときも、車両を制御できなければならない。

第13条（速度と車両間の距離）
１ 車両の運転者は、正当な注意義務を適正に行使でき、いかなる操作であっても、必要なものはいつでも実行できるよう、つねに車両を制御できていなければならない。

上のような考え方で、本当にドライバを救えるのか？

自動運転における「ドライバ」の位置づけは・・・

Photo: Google

・ 「タクシーの乗客」のように、何をしていてもよいのか？
・ システムを監視する責任を負っているのか？
・ いざというときには自動運転への介入が求められるのか？
・ 特別な講習・訓練・運転免許が求められるのか？
・ 従来の運転免許でよいのか？
鉄道： 「運転士は列車に乗っていなければならないか？」人間中心の自動化： 航空分野
人間は運航安全に最終責任を負う。
したがって： 人間は指揮権を持たねばならない。
そのためには：（１） 人間は決定に直接関与していなければならない。
（２） 人間には情報が適正に提供されなければならない。
（３） 自動化システムの様子を人間がモニタできるようになっていなければならない。
（４） 自動化システムも人間をモニタできるようになっていなければならない。
（５） 自動化システムの行動は人間にとって予測可能なものでなければならない。
（６） 人間と自動化システムはたがいに相手の意図を知ることができなければならない。
(Billings 1997)

人と機械の共生をデザインする上での視点：（１） 時間余裕
Descend,Descend

警報が発せられてから回避
操作実行までの時間余裕
15~35 秒20~30 秒
Terrain,Terrain

Whoop, Whoop,
Pull up!

1~2 秒

人と機械の共生をデザインする上での視点：（２） 運転者の知識・技量の質• 交通移動体の運転者– 職業運転者（例） パイロット、電車の運転士、バス／トラックのドライバなど– 非職業運転者 （例） 一般乗用車のドライバなど• 非職業運転者に対して仮定できないもの– 自動化システムに関する詳細な知識– 高度な運転技量– 定期的・継続的な教育・訓練（１）、（２）： 航空機を対象とした「人間中心の自動化」と、自動車を対象とした「人間中心の自動化」は、同一ではない

鉄道運転士にとって状況認識の確保はむずかしい
前方に注意していても、遠くまで見通せるわけではない－ 線路上の障害物に気づく頃には衝突が不可避という場合も・・・－ 衝突回避の手段は制動のみ （「操舵による回避」は不可能）－ それだけに、走行環境に関する十分な情報が必要
運転士には十分な情報は提供されている？
－ 航空機に対する前方障害物は、他の航空機、脅威となる地形
TCAS

他の航空機の位置・動静、衝突回避操作などを提示

EGPWS

脅威となる地形の位置、衝突回避操作などを提示－ 今の鉄道の運転席では、車両や機器の状態の表示が主体
・ 走行環境や他の列車に関する情報はほとんどない航空機衝突防止システム（TCAS）

機能強化型対地接近警報システム（Enhanced GPWS）
電波高度

気圧高度
飛行位置
(GPS)

エアデータ

Enhanced GPWS
空港データ
ベース

地形データ
ベース

(Bresley &Egilsrud 1997)

航空、自動車、鉄道の比較：（１）自動運転の形態


自動車： 以下の形態は、状況に応じて使い分けられる
 レベル１ （Driver Assistance）
 レベル２ （Partial Automation）
 レベル３ （Conditional Automation）
 レベル４ （High Automation）
 レベル５ （Full Automation）



航空機： 自動操縦にはさまざまなモードがあるが、それらは状況に応じて使い分けられる



鉄道： 以下の形態のうちのひとつが選択され、固定化される
 半自動列車運転 （Semi-automated Train Operation）
 添乗員付き自動列車運転 （Driverless Train Operation）
 自動列車運転 （Unattended Train Operation）
鉄道における自動運転の形態の選択は、重い課題

航空、自動車、鉄道の比較：（２）自動運転システムと直接的に対峙するのは？
自動車： 自分自身での移動目的を持っている人 高齢等の理由により運転したくない人
 移動に制約や支障を抱えている人 移動中の時間を運転以外のことに使いたい人 運転は嫌いではないが、疲労等で運転したくない時がある人

航空機： 移動目的を持っている人の目的を達成させる人 パイロット

鉄道： 移動目的を持っている人の目的を達成させる人
 列車に乗務している運輸係員
航空機、鉄道では、移動体の利用者（乗客）は、自動運転システムの効用や問題点を実感できない航空、自動車、鉄道の比較：（３）移動目的を持つ人は移動体が自動運転されることに納得できる？
自動車： 移動目的を持っているのはドライバ自身
 自動化の効用（負担軽減、安全性向上、経費節減等）とコスト（システムを利用するための教習・訓練の受講等）のトレードオフの評価・判断に依存

航空機： 移動目的を持っているのは乗客 自動化の効用（定時性、安全性、快適性）とコスト（自動化起因の危険性）のトレードオフの評価・判断に依存

鉄道： 移動目的を持っているのは乗客
 第１項目は航空機に同じ
 危険な乗客の排除や非常事態への対応体制に満足するか 非常時に乗客は運行者への協力が求められるか等に依存

鉄道: 第２項目について航空機と同程度の信頼獲得が必要。
第３項目は「乗客」の定義を変えるものゆえ、検討は慎重に。