自動走行システムのデザインと法制度に関するシンポジウム
基盤研究（S)「人の認知・判断の特性と限界を考慮した自動走行システムと法制度の設計」主催
２０１８年３月２日

何のための自動運転？ 誰のための自動運転？
筑波大学副学長・理事

稲垣 敏之

1. 自動運転のレベル定義：
SAE J3016 の2014年版と2016年版は似て非なるもの
2. SAE J3016 の2014年版と2016年版の不完全性
3. レベル3の自動運転は実現すべき目標たり得ず
4. ドライバーモニタリングの落とし穴
5. 自動運転における人と機械の協調と共生航空機における自動化の進展
1900年代初頭は、操縦の困難さをパイロットの練度で克服• パイロットの負担が大• ヒューマンエラーが入り込む余地
解決策のひとつは、操縦操作の自動化

飛行管理も自動化 （機体重量や気象条件に合った離陸速度・上昇速度・巡航高度・降下開始点等の決定）• 年間飛行時間 800-900時間の国際線パイロットの場合、手動操縦は 3時間程度

高い知能と自律性を備えた機械がもたらす光と影（１）離陸フェーズのみ
自動化不能

自動化
離陸100万回あたりの全損事故件数

1950年代： 40便以上
2000年代： 1便未満

(Boeing 2016)

高い知能と自律性を備えた機械がもたらす光と影（２）• 賢い機械
– 状況センシング– 状況理解– 何をなすべきかを決定し、実行

状況認識の喪失
機械への過信と不信の交錯
オートメーションサプライズ（稲垣 2012）

状況認識の３つのレベル
レベル１： 何かが起こっていることに 気づく
レベル２： その 原因を特定 できる
レベル３： これからの事態の 推移が予測 できる（Endsley 1995）

自動化はパイロットの技量を低下させるか？
エールフランス447便（A330-200）墜落 （2009.06）
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

www.franceculture.fr/sciences/les-pilotes-en-cause-dans-le-crash-du-vol-af447-rio-paris

機械への過信はリスクを過小評価させる？
オートパイロットはなぜこんなことをする？
私にはわからない。
でも、オートパイロットはわかったうえでやっているはず。

（FAA 1995)

 監視制御： システムによる制御が適切かどうか継続的に監視。
必要に応じて適時に介入
 定期的なシステム機能・原理等の教育と使用法の訓練

ひとくちに「自動運転」といっても、形態は多種多様

Photo: BMW

Phot: Volvo

監視制御

エールフランス447便

タクシーの乗客
Photo: Zoox

SAE 2014自動運転レベル (Levels of Driving Automation: LoDA)
走行環境を監視するのはドライバ

1

DriverAssistance

システムが縦方向制御あるいは横方向制御の一方を担当。
ドライバーは、システムが担当しない運転操作を担当。

2

PartialAutomation

システムが縦方向制御と横方向制御のいずれも担当。
ドライバーは、システムが担当しない運転操作を担当。

走行環境を監視するのはシステム

Conditional
Automation

システムが車両制御のすべてを担当。システムがドライバーに制御の交代を求めたいときは、十分な時間余裕をもってドライバーに要請。ドライバーはその要請に適切に対応。

4

HighAutomation

システムが車両制御のすべてを担当。システムからの制御の交代を要請に対するドライバーの対応がないとき、システムは車両制御を継続。

5

FullAutomation

ドライバーが対応可能なすべての道路条件、走行環境条件のもとで、システムがすべての車両制御を担当。

3(SAE 2014)

SAE 2016自動運転レベル (Levels of Driving Automation: LoDA)
ドライバーは動的運転タスクの一部を担当 （走行環境監視はドライバーの役目）

1

DriverAssistance

システムは縦方向制御／横方向制御のいずれか一方を担当。
ドライバーは動的運転タスクの残余分すべてを担当。

2

Partial Driving
Automation

システムは縦方向制御と横方向制御の両方を担当。
ドライバーは動的運転タスクの残余分すべてを担当。

システムは動的運転タスクのすべてを担当

Conditional
Driving
Automation

システムは動的運転タスクのすべてを担当。ユーザーに運転交代を求めたいときは、時間余裕をもってユーザーに要請。
ユーザーは、システムの要請に適切に対応すること。

4

High Driving
Automation

システムは動的運転タスクのすべてを担当。システム／車両の故障や想定作動環境からの逸脱等が発生しても、システムはユーザーの手助けを求めることなく適切に対応。

5

Full DrivingAutomation

あらゆる道路条件、走行環境条件下で、システムは動的運転タスクのすべてを担当。

3(SAE 2016)

SAE J3016の2014年版と2016年版は似て非なるもの
2014年版

2016年版

SAE J3016の2014年版と2016年版はいずれも不完全
SAE J 3016 ２０１４年版

SAE J 3016 ２０１６年版

Driver Assistance

LoDA 1

Driver Assistance

LoDA 2

Partial Automation

LoDA 2

Partial Driving
Automation

LoDA 3

ConditionalAutomation

LoDA 3

Conditional Driving
Automation

LoDA 4High Automation
LoDA 4High Driving
Automation

LoDA 5Full Driving
Automation

LoDA 1LoDA 5Full Automationレベル３の自動運転 (Conditional Driving Automation)
システム： 走行環境の監視を含め、すべての動的運転タスクを担当。ユーザーに運転交代を求めたいときは、時間余裕をもってユーザーに要請。
ユーザー： システムの要請に適切に対応すること。
 ユーザーは結果予見、結果回避の義務から解放されているのか？
 過失責任を問われることもあるのか？
 システムの要請に適切に対応するよう人に求めるのは妥当か？
Photo: Volvo 「いつ運転交代要請（RTI: request to intervene）が出されても対応できるようにせよ」と言われて仕事に集中／リラックスできる？
何のための自動化？ 誰のための自動化？

運転主体の交代： 権限委譲（trading of authority）（１）誰から誰への権限委譲？
（２）権限委譲の要否と実行タイミングを決定・実行するのは誰？
機械に割当てられたタスク
時刻１

人に割当てられたタスク

縦方向制御

横方向制御
機械から人への権限委譲

時刻２人から機械への権限委譲

時刻３

縦方向制御

縦方向制御

横方向制御

横方向制御

（Inagaki 2003; Inagaki & Sheridan 2012; 稲垣 2012)

機械の判断による、機械から人への権限委譲は成功するとは限らない
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

www.franceculture.fr/sciences/les-pilotes-en-cause-dans-le-crash-du-vol-af447-rio-paris

機械の判断による、機械から人への権限委譲
ユーザー： 運転操作は行わず、走行環境の監視もしていない。
システムがユーザーに運転交代を求めたとき、瞬時に状況を見極め、制御を引継がねばならない。
10秒後に自動走行モードを解除します。
運転を交代してください

10秒間で120 km/h なら 333 m 走行
60 km/h なら 167 m 走行

システムから人へ権限を円滑・安全に移行させたいRTI は機械の判断に基づいて発出される以上、ドライバーが対応するとは限らないのでは？
T Inagaki & TB Sheridan (2018). A critique of the SAE conditional driving
automation definition, and an analyses of options for improvement.
Cognition, Technology & Work. (DOI: 10.1007/s10111-018-0471-5)“Intervene and resume
driving within T sec time.”?
“Interveneand resume
driving within
T sec time.”

What happens if thedriver failed to react tothe RTI?

LoDA 3 - Conditional driving automation
The automated driving system performs the entire DDT withthe expectation that the DDT fallback-ready user is receptive toautomation-issued RTI and will respond appropriately.

Basic model in J3016The system disengages an appropriate timeafter issuing an RTI.
Question:
Is it sensible for the system to disengage an appropriate
time after issuing an RTI?

自動化レベル (Levels of Automation: LoA)
人に最終決定権
機械に最終決定権(Sheridan 1992; Inagaki et at. 1998)

自動化レベル４： 航空機の空中衝突防止システム(4)システムは可能な選択肢のうちからひとつを選び、それを人に提案。それを実行するか否かは、人が決定。

機械は助言をするが、場合によっては、人は助言を無視できる回避アドバイザリ

TCAS

Climb, Climb

TCAS

脅威機

自動化レベル５： Advanced TCAS
(５)

システムはひとつの案を人に提示。
人が了承すれば、システムが実行。

機械からの提案に賛成ならば、人は、その実行を機械に指示
Climb が妥当です。
実行してよろしいですか？

パイロットが「OK」のボタンを押すとシステムが回避操作を開始

Advanced
TCAS
脅威機

自動化レベル６： 急減圧検知時の自動降下(6)

システムはひとつの案を人に提示。
人が一定時間以内に実行中止を指令しない限り、システムはその案を実行。

機械が人に提案を行ったとき、 限られた時間内 に人が明確な拒否を表明しない限り、機械はその提案を実行① システムが客室急減圧を検知② システムは乗員に告知し、同時に緊急降下のカウントダウン開始③ カウントダウン終了までに乗員が拒否権を発動しなければ、システムは緊急降下を実行(Flight International, 18-24 Aug 2009)

自動化レベル 6.5： ATS-P(6.5)

システムはひとつの案を人に提示すると同時に、その案を実行。

機械は、自分の意図を人に伝えると同時に、それを実行

停止信号からの距離に応じた許容走行速度

列車速度

許容走行速度を越えると自動的にブレーキ作動

地上装置

停止信号

自動化レベル７： エンジン推力不均衡の補償(7)システムがすべてを行い、何を実行したか人に報告。

機械がよいと思ったことは、即時実行。人へは事後報告のみ③②①① 第2エンジン（右主翼側）故障② 左右エンジンの推力不均衡により機首が右に振れようとする③ TACが方向舵を制御して機首を左に向ける力を作り出して②の力を打消し，機首の振れを抑制③TAC(thrust asymmetry compensation)機械から人へ権限委譲を行いたいときのメッセージは？
SAE J3016

基本形「T 秒以内に運転を交代してください」

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」

LoA 6「T 秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」

LoA 6.5「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」

システムからの運転交代要請が無視／拒否されると・・・
基本形「T 秒以内に運転を交代してください」
T 秒後にシステム解除。その後の車両は無制御状態

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」
T 秒経過後もドライバーによる運転行動が確認できないため、システムが最小リスク状態へ向けて制御継続

LoA 6「T 秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」
無視： T 秒後にシステム解除。その後の車両は無制御状態
拒否： システムが最小リスク状態へ向けて制御継続

LoA 6.5「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」
RTI 発出直後にシステム解除。その後の車両は無制御状態

効用関数を用いた RTI デザインの比較： Part 1(Inagaki & Sheridan 2018)レベル３の自動運転は実現すべき目標たり得ず
U(LoA 6.5) < U(Baseline) < U(LoA 6) < U(LoA 5)•LoDA 3 with Baseline RTI は非合理的•

LoDA 3 with LoA 5 RTI が最適だが、もはや LoDA 3ではない•LoDA 3 with LoA 5 RTI は、 LoDA 4 にも一致しない•

前２項は、 SAE J3016 （2016年版）の不完全性を示唆•

LoDA 3 with LoA 5 RTI は、2014年版 High Automation•

LoDA 3 を 2014年版 High Automation を包含するよう再定義、又は LoDA 3 と LoDA 4 の間にHigh Automation 挿入が必要(Inagaki & Sheridan 2018)

効用関数を用いた RTI デザインの比較： Part 2(Inagaki & Sheridan 2018)

安全制御（safety control）の即時適用は有用か？

(Inagaki & Sheridan 2018)

安全制御の即時適用を組合せた RTI デザインの比較

Utility of RTI with
automatic
safety control

LoA 6.5
SC

LoA 6 LoA 5SC
SCBaseline
SCLoA 5SCbetterifa<bUtility of RTI without
automatic
safety control

LoA 6.5

Baseline

LoA 6

LoA 5

ifa>bbetter(Inagaki & Sheridan 2018)

SAE J3016の2014年版と2016年版はいずれも不完全
SAE J 3016 ２０１４年版

SAE J 3016 ２０１６年版

Driver Assistance

LoDA 1

Driver Assistance

LoDA 2

Partial Automation

LoDA 2

Partial Driving
Automation

LoDA 3

ConditionalAutomation

LoDA 3

Conditional Driving
Automation

LoDA 4High Automation

LoDA 1

L
High Automation(2014)High Driving Automation (2016)

LoDA 4High Driving
Automation

LoDA 5

LoDA 5Full DrivingAutomation

Full Automationレベル２の自動運転 (Partial Driving Automation)
システム： 縦方向制御と横方向制御の両方を担当。
ドライバー： 走行環境監視を含め、動的運転タスク残余分を担当。
【監視制御 （supervisory control）】
 人が何をなすべきかを決め、システムに指示 システムは、人の指示に沿って制御を実行
 人は、システムによる制御が適切かどうかを継続的に監視。
場合に応じて適時に介入
Photo: BMW

まじめに監視制御を行っているか？
「ドライバーモニタリングが必要」

ドライバーモニタリングの落とし穴「ドライバーの状態を監視し、不適切な状態になっている場合は注意喚起／警告する」 ということであるが・・・

LoDA 2

 視線
 監視制御を行っているか否かを知る上で重要 意識の脇見は？

LoDA 3

 視線
 視線を前方に向けていることは求められていないのでは？
 何のための LoDA 3 ？

注意喚起／警告で事態が改善しないときはどうする？

LoDA 2LoDA 3

 注意喚起／警告を続ける？

 注意喚起／警告は意味を持つ？

 一定時間が経過した時点で自動走行機能を停止させる？

 LoDA 3 ではドライバーに周辺監視義務はないはず 機械の判断による機械から人への権限委譲

 一定時間が経過した時点で自動走行機能を停止させる？

 それを判断し実行する権限を機械に与えてよいのか？

 機械の判断による機械から人への権限委譲

 車両無制御状態の可能性

 車両無制御状態の可能性

RTI を出したいときにドライバーの状態が適切であると思えないときはどうする？

LoDA 3
Photo: Volvo 「対応しないのはドライバーの責任」 と考えてRTI を発する？
 ドライバーが対応しない可能性
 RTI を発出するのをあきらめて、システムが対応する？
 J3016 (2016) LoDA 4 に相当
 RTI を発出し、ドライバーが対応しなければシステムが対応？
 J3016 (2014) High Automation に相当自動運転における人と機械の協調と共生（１）Photo: BMW

Photo: Volvo

Photo: Zoox

• 自動運転レベルが高いものが「レベルが高い」のではない• 自動運転レベルではなく、モードと呼ぶべきではなかったか• 監視制御は、楽な仕事ではない• 高機能なシステムの動作原理や能力限界を知らないと、システムを正しく監視することはできない• 権限の的確な引継ぎには、瞬時の状況判断力が不可欠• ドライバーの役割と責任を社会やドライバーが認識すべし自動運転における人と機械の協調と共生（２）HMI が提供すべきものは・・・






機械と状況認識を共有できる手がかり
機械の判断の根拠が分かる手がかり
機械の意図が分かる手がかり
機械の能力限界を知る手がかり
機械の作動状態が分かる手がかり（Inagaki 2010; 稲垣 2012)

不適切な信頼（不信／過信）の低減
過信に基づく依存（過度の依存）の低減
モード認識喪失やオートメーションサプライズの低減

さらに踏み込んでいうならば・・・

自然な形でドライバーモニタリングの役割を担う HMI と制御系の構築

基盤研究（S）ウェブサイトの充実： 今後の予定
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html【基礎編】
1-1 監視制御とは
7-1 信頼1-2 監視制御における人の役割
7-2 不信1-3 監視制御は楽ではない
7-3 過信2-1 航空機の自動化の光と影（１）負担軽減と7-4 ヒューマンマシンインタフェースのデザインで安全性・利便性・快適性の向上
配慮すべきこと2-2 航空機の自動化の光と影（２） 人と高度技術
8-1 機能配分 （１）静的機能配分
システムのミスマッチ
8-2 機能配分 （２）動的機能配分
3-0 状況認識とは何か ― 身近な例で説明すると
8-3 権限共有と権限委譲 （１）権限共有
3-1 気づき（レベル１の状況認識）の失敗
8-4 権限共有と権限委譲 （２）権限委譲
3-2 原因特定（レベル２の状況認識）の失敗
9-1 自動化レベル
3-3 予測（レベル３の状況認識）の失敗
9-2 アダプティブオートメーション
4-0 人の情報処理過程とヒューマンエラー
9-3 アダプティブオートメーションのための
4-1 知覚の失敗
権限委譲
4-2 状況理解の失敗
9-4 権限委譲をデザインする （１）平常時に
4-3 行為選択の失敗
おける権限委譲
4-4 行為実行の失敗
9-5 権限委譲をデザインする （２）緊急時に4-5 状況認識の失敗とヒューマンエラー
おける権限委譲5-1 知覚・状況理解・行為選択・行為実行の支援：
9-6 権限委譲をデザインする （３）最適な自動車の場合自動化レベルの選択
5-2 知覚・状況理解・行為選択・行為実行の自動化：
10-1 機械はヒューマンエラーを防止できるか
航空機の場合（１）補完の権限
6-0 人間中心の自動化
10-2 機械はヒューマンエラーを防止できるか
7-0 信頼・不信・過信（２）抑止の権限
さらに、【自動運転編】 （本編とコラムによって構成）、【講演スライド集】 を準備中

T. Inagaki & T.B. Sheridan (2018).
A critique of the SAE conditional driving automation
definition, and an analyses of options for improvement.
Cognition, Technology & Work.
DOI: 10.1007/s10111-018-0471-5

Open Access: Freely accessible to any user.
http://link.springer.com/article/10.1007/s10111-018-0471-5