自動車技術会2016年フォーラム
Cars that think and communicate
2016年5月27日

自動運転における人と機械のインタフェースとインタラクション
筑波大学 副学長・理事

稲垣 敏之
inagaki.toshiyuki.gb@u.tsukuba.ac.jp
http://www.css.risk.tsukuba.ac.jp

自動運転レベル (Levels of Driving Automation)
走行環境を監視するのはドライバ

1

DriverAssistance

システムが縦方向制御あるいは横方向制御の一方を担当。 ドライバは、システムが担当しない運転操作を担当。

2

PartialAutomation

システムが縦方向制御と横方向制御のいずれも担当。
ドライバは、システムが担当しない運転操作を担当。

走行環境を監視するのはシステム

Conditional
Automation

システムが車両制御のすべてを担当。システムがドライバに制御の交代を求めたいときは、十分な時間余裕をもってドライバに要請。ドライバはその要請に適切に対応。

4

High
Automation

システムが車両制御のすべてを担当。システムからの制御の交代を要請に対するドライバの対応がないとき、シス
テムは車両制御を継続。

5

FullAutomation

ドライバが対応可能なすべての道路条件、走行環境条件のもとで、システムがすべての車両制御を担当。

3

レベルの欠落(SAE 2014)

レベル２の自動運転 （Partial Automation）
システム： 縦方向制御と横方向制御を担当
ドライバ： 走行環境監視、システムが担当しない運転操作を担当
監視制御
 人は、何をなすべきかを決め、システムに指示 システムは、人の指示に沿って制御を実行
 人は、システムによる制御が適切かどうかを監視
Photo: BMW

システムの動作原理、能力限界、サブシステム間の相互干渉等に関する正確な理解が必要

Human-Machine Interface(HMI) のデザインがポイント

システムの作動／不作動は明確に分かるか？

2006年9月、 Boeing 737 とEmbraer Legacy がアマゾン上空で衝突(Flight International,
6 December 2008)• Legacy のトランスポンダーは standby モード（送受信機能喪失）• 「TCAS OFF」 は表示されたが、目立たない白字表示• Boeing 737 と Legacy に搭載されていた TCAS は、いずれも相手機の存在を知ることができない状態
TCAS 警報が発せられないまま、２機が衝突

システムの状況判断と意図は明確に分かるか？

止まれ

システム
右からの交差車両の通過を待ちます（注） ADAS であれば、「右から車が来ます」

ドライバ
眼前の車のこと？
まだ後から別の車が来る？

（Inagaki 2010; 稲垣 2012)機械の能力限界は明確に分かるか？
過信
割込んでくる車がいるぞ。

オートメーション
サプライズ

ACC はそろそろ減速するはずだが・・・

不信

実は、ACC には

Why does ACC
acceleratenow?
割込み車はなぜ減速しない?!

見えない（Inagaki 2010; 稲垣 2012)

機械が状況をどのように認識しているか明確に分かるか？

B
ACC はA車を追従しているはずだから、まもなく減速するはず

ACC は、なぜ今加速するのだ？

A

実は、ACC が見ているのは B車

オートメーション
サプライズ

追従走行の target を明示できれば・・・（Inagaki 2010; 稲垣 2012)機械の意図、その意図の背景が明確に分かるか？
なぜオートパイロットがこんなことをするのか私にはわからない。
でも、オートパイロットはわかったうえでやっているはずだよね。

（FAA 1995)

インフラ協調による安全運転支援システムに係るHMIの配慮事項(1) 作動状況の確認

ドライバがシステムの作動状況や支援内容を確認できるよう配慮する。

ドライバにとって分かりやすく、(2) 分かりやすい情報伝達 使いやすいシステムであるとともに、安心して使えるよう配慮する。
(3) 確実な情報伝達

安定した情報伝達となるよう配慮する。

(4) 緊急度の容易な理解

ドライバが支援レベル（警報、注意喚起及び情報提供）を容易に理解できるよう配慮する。

(5) 過信・不信の防止

ドライバがシステムに過度な依存や不信を招かないよう適正な信頼が得られるように配慮する。

監視制御の負担を軽減する HMI「HMI の配慮事項」だけでは十分ではなく・・・







機械と状況認識を共有できる手がかり
機械の判断の根拠が分かる手がかり
機械の意図が分かる手がかり
機械の能力限界を知る手がかり
機械の作動状態が分かる手がかり（Inagaki 2010; 稲垣 2012)

不適切な信頼（不信／過信）の低減
過信に基づく依存（過度の依存）の低減
モード認識喪失やオートメーションザプライズの低減

さらに踏み込んでいうならば・・・

自然な形でドライバモニタリングの役割を果たす HMI を作りたいレベル３の自動運転 （Conditional Automation）
システム： 走行環境を監視しながら車両制御のすべてを担当。
ドライバに制御の交代を求めたいときは、十分な時間余裕をもってドライバに要請。
ドライバ： システムからの要請に適切に対応。
 結果予見、結果回避の義務から解放されているのか？
 事故が起こっても過失責任を問われることはない？
 法学者の間での合意は取れている？
Photo: Volvo いつでも運転交代要請に対応できるようにしながら、リラックス／仕事に集中できる？

制御の引継ぎを行うには工夫が必要
ドライバ： 運転操作には関与せず、周辺監視すらしていない。
システムがドライバに制御の交代を求めたとき、瞬時に状況を見極め、制御を引継がねばならない。
10秒後に自動モードを解除します。
制御を引継いでください

120 km/h なら 333 m
60 km/h なら 167 m

システムから人へ制御権を円滑・安全に移したい機械から人への制御の引継ぎは失敗することがある
エールフランス447便（A330-200）墜落（2009.06）
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

（判断・操作の） 自動化レベル (Levels of Automation: LOA)

(3) コンピュ－タは可能な選択肢をすべて人に提示するとともに、ひとつを選んで提案。それを実行するか否かは、人が決定。
(4) コンピュ－タは可能な選択肢の中からひとつを選び、それを人に提案。
それを実行するか否かは、人が決定。

人に最終決定権(1) コンピュ－タの支援なしに、すべてを人が決定・実行。
(2) コンピュ－タはすべての選択肢を提示し、人はそのうちのひとつを選択して実行。

(5) コンピュ－タはひとつの案を人に提示。人が了承すれば、コンピュ－タが実行。

人が一定時間内に実行中止を指令しない限り、コンピュ－タはその案を実行。
(6.5) コンピュ－タはひとつの案を人に提示すると同時に、その案を実行。
(7) コンピュ－タがすべてを行い、何を実行したか人に報告。
(8) コンピュ－タがすべてを決定・実行。人に問われれば、何を実行したかを報告。
(9) コンピュ－タがすべてを決定・実行。何を実行したかを人に報告するのは、報告の必要性をコンピュ－タが認めたときのみ。
(10) コンピュ－タがすべてを決定し、実行。
(Sheridan 1992; Inagaki et at. 1998)

機械に最終決定権(6) コンピュ－タはひとつの案を人に提示。

自動化レベル４： 航空機の空中衝突防止システム(4)コンピュ－タは可能な選択肢のうちからひとつを選び、それを人間に提示。それを実行するか否かは人間が決定。

回避アドバイザリ

TCAS

Climb, Climb

TCAS

脅威機
機械は助言をするが、場合によっては、人は助言を無視できる自動化レベル６： 急減圧検知時の自動降下(6)コンピュ－タはひとつの案を人間に提示。
人間が一定時間以内に実行中止を指令しない限り、コンピュ－タはその案を実行。
① システムが客室急減圧を検知② システムは乗員に告知し、同時に緊急降下のカウントダウン開始③ カウントダウン終了までに乗員が拒否権を発動しなければ、システムは緊急降下を実行

操作開始の遅れ
機械が人に提案を行ったとき、限られた時間内 に人が明確な拒否を表明しない限り、機械はその提案を実行

自動化レベル 6.5： ATS-P(6.5)

コンピュ－タはひとつの案を人間に提示すると同時に、その案を実行。

列車速度

速度照査パターン（停止信号からの距離に応じた許容走行速度）
許容走行速度を越えると自動的にブレーキ作動

地上装置

停止信号

機械は、自分の意図を人に伝えると同時に、それを実行自動化レベル７： エンジン推力不均衡の補償(7)コンピュ－タがすべてを行い、何を実行したか人間に報告。

③②①① 第2エンジン（右主翼側）故障② 左右エンジンの推力不均衡により機首が右に振れようとする③ TACが方向舵を制御して機首を左に向ける力を作り出して②の力を打消し，機首の振れを抑制③Thrust Asymmetry compensation(TAC)

機械がよいと思ったことは、即時実行。人へは事後報告

システムは、ほどなく機能限界を迎えると予測している。
運転操作に関与せず、周辺監視すらしてこなかった人にシステムは何と言って制御の引継ぎを要請すればよい？
どのようなメッセージを発すればよい？

システムから人へ制御権を円滑・安全に移したいシステムから人への権限委譲の自動化レベル
1. 「10秒後にシステム機能限界の発生が予測されます」と注意喚起（LOA=4）
2. 「10秒後にシステム機能限界の発生が予測されます。自動モードを解除してよろしいですか？」と提案（LOA=5）
3. 「10秒後にシステム機能限界の発生が予測されます。その時点で自動モードを解除します」と宣言（LOA=6）
4. 「自動モードを解除しました」と事後報告（LOA=7） ・・・ 気づかなければ無制御状態運転しておらず、監視もしていない

5. 自動モードを解除しても何も知らせない（LOA=9） ・・・ 気づかなければ無制御状態

システムが制御を引継ぐようドライバに求めてもドライバが対応しようとしないとき
1. す」と注意喚起（LOA=4）
2. 「10秒後にシステム機能限界の発生が予測されます。自動モードを解除してよろしいですか？」と提案（LOA=5）
ドライバから「了解」が得られないとき、権限委譲は不可能と判断し、システムはその機能の範囲内で車両制御を継続

レベル４の自動運転 （High Automation）
運転しておらず、監視もしていない「10秒遅れでの緊急モードへの移行」と見ることもできる機能限界を迎えることをシステムが予測したとき、システムは直ちに「緊急モード」へ移行する。ただし、ドライバは、いつでもシステムの制御に介入できる。
機能限界が予測されたため、緊急モードに移行します。
ただし、自分で対応できると思った場合は、そのようにしていただいて結構です。
SAE の自動運転レベル定義には含まれていない missing level自動運転レベル (Levels of Driving Automation)
走行環境を監視するのはドライバ

1

DriverAssistance

システムが縦方向制御あるいは横方向制御の一方を担当。 ドライバは、システムが担当しない運転操作を担当。

2

PartialAutomation

システムが縦方向制御と横方向制御のいずれも担当。
ドライバは、システムが担当しない運転操作を担当。

走行環境を監視するのはシステム

Conditional
Automation

システムが車両制御のすべてを担当。システムがドライバに制御の交代を求めたいときは、十分な時間余裕をもってドライバに要請。ドライバはその要請に適切に対応。

4

High
Automation

システムが車両制御のすべてを担当。システムからの制御の交代を要請に対するドライバの対応がないとき、システムは車両制御を継続。

5

FullAutomation

ドライバが対応可能なすべての道路条件、走行環境条件のもとで、システムがすべての車両制御を担当。

3レベルの欠落(SAE 2014)

レベル５の自動運転 （Full Automation）
システム： ドライバが対応可能なすべての道路条件、走行環境のもとで、すべての車両制御を担当。
有人運転ではあるが、いわゆる「ドライバ」が乗らない車 車外の「ドライバ」が操縦
 車載 AI が「ドライバ」として操縦

ウィーン条約（ジュネーブ条約）との関係をどのように整理？
車両の運転者は、正当な注意義務を適正に行使でき、いかなる操作であっても必要なものはいつでも実行できるよう、車両を常に制御できていなければならない
Photo: Google

完全自動走行では、HMIは不要か？
•「ドライバとのインタフェース技術が意味をなさなくなる」•「完全自動運転が実用になると、クルマがやり取りする相手はドライバではなく、乗客になる」といった意見もあるが・・・

Photo: Zoox

Photo: Google

ドライバへの信頼が前提

設計思想を語れるメーカーであるか？
 「この車の HMI は、
 なぜ、このようなデザインになっているのか、 なぜ、そのようなデザインでなければならないのか、
 その背景にあるのは、どのような考え方（理論）か」
明確なことばを用いて論理的に整然と語っているか 「いいものを作れば、黙っていても人はわかってくれる」 ??
日本が舞台なら、ある程度通じるかもしれないが・・・
海外を意識するなら、設計思想を明確に語る必要あり参考文献
稲垣 (2012). 人と機械の共生のデザイン, 森北出版.
国交省自動車交通局先進安全自動車推進検討会（2011）. インフラ協調による安全運転支援に係るHMIの配慮事項について, 先進安全自動車推進計画報告書 (pp. 85-87).
Inagaki, T. (2003). Adaptive automation: Sharing and trading of control. In E.
Hollnagel (Ed.), Handbook of Cognitive Task Design, Chapter 8 (pp. 147-169),
Lawrence Erlbaum Associates.
Inagaki, T. (2006). Design of human-machine interactions in light of domaindependence of human-centered automation, Cogn. Tech. & Work, 8(3), 161-167.
Inagaki, T. (2010). Traffic systems as joint cognitive systems: Issues to be solved
for realizing human-technology coagency, Cogn. Tech. & Work, 12(2), 153-162.
Inagaki, T. & Sheridan, T. (2012). Authority and responsibility in human-machinesystems: Probability theoretic validation of machine-initiated trading of authority.
Cogn. Tech. & Work, 14(1), 29-37.
Inagaki, T., Moray, N., & Itoh, M. (1998). Trust, self-confidence and authority inhuman-machine systems, Proc. IFAC Int. Symposium on Analysis, Design andEvaluation of Man-Machine Systems, Kyoto, Japan (pp. 431-436).
SAE (2014). Taxonomy and Definitions for Terms Related to On-Road motor
Vehicle Automated Driving Systems. Surface Vehicle Information Report, J3016.
Sheridan, T.B. (1992). Telerobotics, automation, and human supervisory control.
MIT Press.