日本交通心理学会第８３回大会
自動車教習所セミナー
２０１８年６月１５日

人と機械の共生のデザイン
自動運転システムとドライバーの関係

筑波大学副学長・理事 稲垣 敏之
inagaki.toshiyuki.gb@un.tsukuba.ac.jp
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html
http://www.css.risk.tsukuba.ac.jp

先進安全自動車（ASV）推進計画 1991～①ドライバーの過信②運転支援システムの複合化③ドライバー異常時対応システム

代表的なASV技術 （その１）代表的なASV技術 （その2）代表的なＡＳＶ技術 （その２）
自動運転による交通事故・渋滞の軽減
サグ部での渋滞緩和

路車間通信

ＧＰＳ
路車間通信

自律センサによる追突・衝突防止

右折時衝突防止

車車間通信

見えない人や車との衝突防止

自動運転を活用した次世代都市交通
スムーズな加減速、乗客転倒防止

統合的・有機的な運行

交通流整流、定時運行

事故低減
運転負荷軽減Cyber Agent

乗降時間短縮乗降安全性向上航空機における自動化の進展
1900年代初頭は、操縦の困難さをパイロットの練度で克服• パイロットの負担が大• ヒューマンエラーが入り込む余地
解決策のひとつは、操縦操作の自動化

飛行管理も自動化 （機体重量や気象条件に合った離陸速度・上昇速度・巡航高度・降下開始点等の決定）• 年間飛行時間 800-900時間の国際線パイロットの場合、手動操縦は 3時間程度

高い知能と自律性を備えた機械がもたらす光と影（１）離陸フェーズのみ
自動化不能

自動化
離陸100万回あたりの全損事故件数

1950年代： 40便以上
2000年代： 1便未満

(Boeing 2016)

高い知能と自律性を備えた機械がもたらす光と影（２）• 賢い機械
– 状況センシング– 状況理解– 何をなすべきかを決定し、実行

状況認識の喪失
機械への過信と不信の交錯
オートメーションサプライズ（稲垣 2012）

状況認識の３つのレベル
レベル１： 何かが起こっていることに 気づく
レベル２： その 原因を特定 できる
レベル３： これからの事態の 推移が予測 できる（Endsley 1995）ひとくちに「自動運転」といっても、形態は多種多様

Photo: BMW

Phot: Volvo

監視制御

エールフランス447便

タクシーの乗客
Photo: Zoox

自動運転レベル (Levels of Driving Automation: LoDA)
ドライバーは動的運転タスクの一部を担当 （環境及びシステムの監視ならびに必要に応じての介入はドライバーの役目）

1

DriverAssistance

特定の運行設計領域においてシステムは横方向又は縦方向のいずれか

2

Partial Driving
Automation

特定の運行設計領域においてシステムは横方向及び縦方向の車両運動一方の車両運動制御を担当。ドライバーは動的運転タスクの残余分を担当。

制御を担当。 ドライバーは動的運転タスクの残余分と監視制御を担当。

システムは動的運転タスクのすべてを担当

Conditional
Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。

4

High Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。

5

Full Driving
Automation

運行設計領域に限定されることなく、システムが全ての動的運転タスクを

3

作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドライバーはその要請に適切に対応する必要あり。

作動継続が困難なときも、システム自身で適切に対応。

担当。作動継続が困難なときも、システム自身で適切に対応。

(SAE 2016)

レベル２の自動運転 (LoDA ２)
システム： 縦方向制御と横方向制御の両方を担当。
ドライバー： 走行環境監視を含め、動的運転タスク残余分を担当。
監視制御
 人が何をなすべきかを決め、システムに指示 システムは、人の指示に沿って制御を実行
 人は、システムによる制御が適切かどうかを継続的に監視
Photo: BMW

システムの動作原理、能力限界、サブシステム間の相互干渉等に関する正確な理解が必要

Human-MachineInterface (HMI) のデザインが鍵システムの作動／不作動は明確に分かる？

2006年9月、 Boeing 737 とEmbraer Legacy がアマゾン上空で衝突(Flight International,6 December 2008)• Legacy のトランスポンダーは standby モード（送受信機能喪失）• 「TCAS OFF」 は表示されたが、目立たない白字表示• Boeing 737 と Legacy に搭載されていた TCAS は、いずれも相手機の存在を知ることができない状態
TCAS 警報が発せられないまま、２機が衝突

システムの状況判断と意図は明確に分かる？

止まれ

システム
右からの交差車両の通過を待ちます（注） ADAS であれば、「右から車が来ます」

ドライバー
眼前の車のこと？
まだ後から別の車が来る？

（Inagaki 2010; 稲垣 2012)機械の能力限界は明確に分かる？
過信

割込んでくる車がいるぞ。

オートメーション
サプライズ

ACC はそろそろ減速するはずだが・・・

実は、ACC には

Why does ACC
acceleratenow?
割込み車は不信

なぜ減速しない?!

見えない（Inagaki 2010; 稲垣 2012)機械の意図とその背景は明確に分かる？
オートパイロットはなぜこんなことをする？
私にはわからない。
でも、オートパイロットはわかったうえでやっているはず。

（FAA 1995)

 監視制御： システムによる制御が適切かどうか継続的に監視。
必要に応じて適時に介入
 定期的なシステム機能・原理等の教育と使用法の訓練

航空機の自動化は LoDA 2 と同等

パイロットは安全運航の責を負い、システム状態と飛行環境を監視
定期的なシステム機能・原理等の教育、使用法の訓練を受ける
クルマの自動運転のための教育・訓練や免許制度は？

レベル３の自動運転 (LoDA ３)
システム： 特定の運行設計領域において、すべての動的運転タスクを担当。作動継続が困難なときは、十分な時間余裕をもってドライバーに運転交代を要請。
ドライバー： システムの要請に適切に対応すること。
 ドライバーは結果予見、結果回避の義務から解放されているのか？
 過失責任を問われることもあるのか？
 システムの要請に適切に対応するよう人に求めるのは妥当か？
Photo: Volvo 「いつ運転交代要請（RTI: request to intervene）が出されても対応できるようにせよ」と言われて仕事に集中／リラックスできる？
何のための自動化？ 誰のための自動化？

運転主体の交代： 権限委譲（trading of authority）（１）誰から誰への権限委譲？
（２）権限委譲の要否と実行タイミングを決定・実行するのは誰？
機械に割当てられたタスク
時刻１

人に割当てられたタスク

縦方向制御

横方向制御
機械から人への権限委譲

時刻２人から機械への権限委譲

時刻３

縦方向制御

縦方向制御

横方向制御

横方向制御

（Inagaki 2003; Inagaki & Sheridan 2012; 稲垣 2012)

機械の判断による、機械から人への権限委譲は成功するとは限らない
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

www.franceculture.fr/sciences/les-pilotes-en-cause-dans-le-crash-du-vol-af447-rio-paris

機械の判断に基づいて発出される RTI にドライバーが対応するとは限らない
ドライバー： 運転操作は行わず、走行環境の監視もしていない。
システムがドライバーに運転交代を求めたとき、瞬時に状況を見極め、制御を引継がねばならない。
10秒後に自動走行モードを解除します。
運転を交代してください

120 km/h なら 333 m 走行／10秒
60 km/h なら 167 m 走行／10秒?
RTI に対応してくれないときはどうする？

自動化レベル (Levels of Automation: LoA)
人に最終決定権
機械に最終決定権(Sheridan 1992; Inagaki et at. 1998)

自動化レベル４： 空中衝突防止システム(4)システムは可能な選択肢のうちからひとつを選び、それを人に提案。それを実行するか否かは、人が決定。

機械は助言をするが、場合によっては、人は助言を無視できる回避アドバイザリ
Climb, Climb

TCAS

脅威機

自動化レベル５： Advanced TCAS
(５)

システムはひとつの案を人に提示。
人が了承すれば、システムが実行。

機械からの提案に賛成ならば、人は、その実行を機械に指示
Climb が妥当です。
実行してよろしいですか？

パイロットが「OK」のボタンを押すとシステムが回避操作を開始

AdvancedTCAS
脅威機

自動化レベル６： 急減圧検知時の自動降下(6)

システムはひとつの案を人に提示。
人が一定時間以内に実行中止を指令しない限り、システムはその案を実行。

機械が人に提案を行ったとき、 限られた時間内 に人が明確な拒否を表明しない限り、機械はその提案を実行① システムが客室急減圧を検知② システムは乗員に告知し、同時に緊急降下のカウントダウン開始③ カウントダウン終了までに乗員が拒否権を発動しなければ、システムは緊急降下を実行(Flight International, 18-24 Aug 2009)

自動化レベル 6.5： 車線逸脱防止システム
LoA 6.5

システムはひとつの案を人に提示すると同時に、その案を実行

機械は、自分の意図を人に伝えると同時に、それを実行
クルマが車線を逸脱しそうになると、警報と表示でドライバーに知らせ、それと同時にステアリングを修正するトルクを発生する

自動化レベル 6.5： ATS-P(6.5)

システムはひとつの案を人に提示すると同時に、その案を実行。

機械は、自分の意図を人に伝えると同時に、それを実行

停止信号からの距離に応じた許容走行速度

列車速度

許容走行速度を越えると自動的にブレーキ作動

地上装置停止信号自動化レベル７： エンジン推力不均衡の補償(7)システムがすべてを行い、何を実行したか人に報告。

機械がよいと思ったことは、即時実行。人へは事後報告のみ③②①① 第2エンジン（右主翼側）故障② 左右エンジンの推力不均衡により機首が右に振れようとする③ TACが方向舵を制御して機首を左に向ける力を作り出して②の力を打消し，機首の振れを抑制③TAC(thrust asymmetry compensation)機械から人へ権限委譲を行いたいときのメッセージは？
SAE J3016

基本形「T 秒以内に運転を交代してください」

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」

LoA 6「T 秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」

LoA 6.5「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」

システムからの運転交代要請が無視／拒否されると・・・
基本形「T 秒以内に運転を交代してください」
T 秒後にシステム解除。その後の車両は無制御状態

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」
T 秒経過後もドライバーによる運転行動が確認できないため、システムが最小リスク状態へ向けて制御継続

LoA 6「T 秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」
無視： T 秒後にシステム解除。その後の車両は無制御状態
拒否： システムが最小リスク状態へ向けて制御継続

LoA 6.5「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」
RTI 発出直後にシステム解除。その後の車両は無制御状態

レベル３の自動運転は実現すべき目標たり得ず
U(LoA 6.5) < U(Baseline) < U(LoA 6) < U(LoA 5)•

LoDA 3 with Baseline RTI は非合理的•LoDA 3 with LoA 5 RTI が最適だが、 LoDA 3とは言えない•

LoDA 3 with LoA 5 RTI は、 LoDA 4 とも言えない•

前２項は、 SAE J3016 （2016年版）の不完全性を示唆•

LoDA 3 with LoA 5 RTI は、2014年版 High Automation•

LoDA 3 を 2014年版 High Automation を包含するよう再定義、又は LoDA 3 と LoDA 4 の間にHigh Automation 挿入が必要(Inagaki & Sheridan 2018)

SAE J3016の2014年版と2016年版はいずれも不完全
SAE J 3016 ２０１４年版

SAE J 3016 ２０１６年版

Driver Assistance

LoDA 1

Driver Assistance

LoDA 2

Partial Automation

LoDA 2

Partial DrivingAutomation

LoDA 3

ConditionalAutomation

LoDA 3

Conditional Driving
Automation

LoDA 4High Automation

LoDA 1

L
High Automation(2014)High Driving Automation (2016)

LoDA 4High Driving
Automation

LoDA 5

LoDA 5Full Driving
Automation

Full Automationレベル４の自動運転 (LoDA 4)
システム： 特定の運行設計領域において、すべての動的運転タスクを担当。作動継続が困難なときも、ドライバーの手助けを求めることなく、システム自身で適切に対応。
（注） 運行設計領域の範囲から出るときは、ドライバーが運転を引継ぐ必要あり。
 「システムだけで対応できる」ことは、「ドライバーに関与させない」ことを意味するのか？
 何が起こっているか、システムはそれにどのように対応しようとしているか等はドライバーに知らせるべきか、知らせる必要はないか？
Photo: Volvoレベル５の自動運転 (LoDA 5)
システム： 運行設計領域に限定されることなく、すべての動的運転タスクを担当。作動継続が困難なときも、システム自身で適切に対応。
有人運転ではあるが、いわゆる「ドライバー」が乗らない車
車載 AI が「ドライバー」として操縦

ウィーン条約（ジュネーブ条約）との関係をどのように整理？
車両の運転者は、正当な注意義務を適正に行使でき、いかなる操作であっても必要なものはいつでも実行できるよう、車両を常に制御できていなければならない
Photo: Google

完全自動運転であれば HMI は不要？


「ドライバーとのインタフェース技術が意味をなさなくなる」

「完全自動運転が実用になると、クルマがやり取りする相手はドライバーではなく、乗客になる」といった意見もあるが・・・

Photo: Zoox

Photo: Google「タクシードライバー」への信頼が前提

自動運転システムの利用には、それなりの心構えが必要

Photo: BMW

Photo: Volvo

 監視制御は、楽な仕事ではない 高機能なシステムの動作原理や能力限界を知らないと、システムを正しく監視することはできない
 権限の的確な引継ぎには、瞬時の状況判断力が不可欠 自動運転の活用には、ドライバーも社会も意識改革が必要

人が機械を知る
そのためにHMI が提供すべきものは・・・






機械と状況認識を共有できる手がかり
機械の判断の根拠が分かる手がかり
機械の意図が分かる手がかり
機械の能力限界を知る手がかり
機械の作動状態が分かる手がかり（Inagaki 2010; 稲垣 2012)

不適切な信頼（不信／過信）の低減
過信に基づく依存（過度の依存）の低減
モード認識喪失やオートメーションサプライズの低減

機械が人を知る：ドライバーモニタリング「ドライバーの状態を監視し、不適切な状態になっている場合は注意喚起／警告する」 ということだが・・・

LoDA 2

 視線
 監視制御を行っているか否かを知る上で重要 意識の脇見は？

LoDA 3

 視線
 視線を前方に向けていることは求められていないのでは？
 何のための LoDA 3 ？

注意喚起／警告で事態が改善しないときはどうする？

LoDA 2LoDA 3

 注意喚起／警告を続ける？

 注意喚起／警告は意味を持つ？

 一定時間が経過した時点で自動走行機能を停止させる？

 LoDA 3 ではドライバーに周辺監視義務はないはず 機械の判断による機械から人への権限委譲

 一定時間が経過した時点で自動走行機能を停止させる？

 それを判断し実行する権限を機械に与えてよいのか？

 機械の判断による機械から人への権限委譲

 車両無制御状態の可能性

 車両無制御状態の可能性

何のための自動運転？ 誰のための自動運転？
 自動運転がドライバーにもたらすもの− 自動運転のレベルに依存− 誰を対象とするかに応じて適切な自動運転のレベル選定− 自動運転レベルが高いものが「レベルが高い」のではない

 自動運転がドライバーに求めるもの− 自動運転のレベルに依存− ドライバーの役割を社会・ドライバーが認識する必要メーカーが想定するドライバーが考える「ドライバーの役割」「ドライバーの役割」