技術の壁と法律の壁！
レベル4に対応した自動運転技術の現状と法律対応
２０１９年４月１９日

レベル２～４の自動運転技術開発の現状と技術的課題
筑波大学 副学長・理事

稲 垣 敏 之inagaki.toshiyuki.gb@un.tsukuba.ac.jp
http://css.risk.tsukuba.ac.jp/project/kakenhiS.html

知覚・認知・判断・操作で発生する様々な失敗

知覚• 見落とし、聞き落とし• 能力の限界で見えない、聞こえない• 実体のないものが見える、
聞こえる

認知判断

操作

• 情報の意味が理解できない（知識ベースミステイク）• 不適切な行為を選択（知識• 意図せぬ行為による置換（スリップ）• 過去の経験を誤用（ルールベースミステイク)

ベースミステイク、ルールベースミステイク）• 不適切な不作為（リスクの過小評価）• 手順の一部の欠落や失念（ラプス）• 行為実行不能（能力の限界）（稲垣 2012）

航空機における自動化の進展
1900年代初頭は、操縦の困難さをパイロットの練度で克服• パイロットの負担が大• ヒューマンエラーが入り込む余地
解決策のひとつは、操縦操作の自動化

飛行管理も自動化 （機体重量や気象条件に合った離陸速度・上昇速度・巡航高度・降下開始点等の決定）• 年間飛行時間 800-900時間の国際線パイロットの場合、手動操縦は 3時間程度

高い知能と自律性を備えた機械がもたらす光と影

離陸フェーズは自動化不能

自動化
離陸100万回あたりの全損事故件数

1950年代： 40便以上
2000年代： 1便未満

(Boeing 2016)

高い知能と自律性を備えた機械がもたらす光と影（続き）• 賢い機械
– 状況センシング– 状況理解– 何をなすべきかを決定し、実行

状況認識の喪失
機械への過信と不信の交錯
オートメーションサプライズ（稲垣 2012）【状況認識】 ３つのレベル
レベル１： 何かが起こっていることに 気づく
レベル２： その 原因を特定 できる
レベル３： これからの事態の 推移が予測 できる（Endsley 1995）

機械の状況判断・意図が分からないまま、機械を信頼
オートパイロットがなぜこんなことをするのか私にはわからない。
でも、オートパイロットはわかったうえでやっているのだろう。
（FAA 1995)

パイロットは、システムによる制御が適切か否か、常時監視し、必要に応じて介入
そのため、システムの機能・原理等を正しく理解するための教育とシステムを適切に使用するための訓練を受けているのだが・・・

空中衝突防止装置は作動していると思っていたが・・・

2006年9月、 Boeing 737 とEmbraer Legacy がアマゾン上空で衝突(Flight International,6 December 2008)• Legacy のトランスポンダーは standby モード（送受信機能喪失）• 「TCAS OFF」 は表示されたが、目立たない白字表示• Boeing 737 と Legacy に搭載されていた TCAS は、いずれも相手機の存在を知ることができない状態
TCAS 警報が発せられないまま、２機が衝突

オートメーション・サプライズ
1994年6月、着陸復行後のエンジン故障を模擬したテスト飛行中、A330が離陸後まもなく異常な機首上げを起こし、墜落 (Toulouse)
1. 離陸6秒後、オートパイロット （AP) をエンゲージ– 6000 ft/min で上昇開始– AP には｢高度 2000 ft でのレベルオフ」がセット– AP は「高度 950 ft でレベルオフ操作を開始する必要がある」と判断し、各時刻における上昇率を計算
2. 離陸8秒後、AP はレベルオフ操作を自動的に開始するモード(ALTSTAR mode) に入った

オートメーション・サプライズ（続き）
3. 機長はALTSTAR モードに入ったことに気がつかないまま、エンジン故障を模擬する操作– エンジン１基では高々 2000 ft/min の上昇– AP は、すでに計算しておいた各時刻における上昇率を確保しようとした– AP による機首上げの開始
4. 離陸16秒後、ピッチ角は30度– ｢いったい何が起こっているのだ？」– ｢これはおかしい」と AP を解除 (ピッチ角31.6度）– 推力の不均衡から機体は左に傾斜したまま、墜落

人と機械の「意図の対立」

水平安定板
コンピュータの意図＝上昇（水平安定板を前傾）

昇降舵
たがいに妨害パイロットの意図＝降下（昇降舵を後傾）

自動化はパイロットの技量を低下させる？
• スキポールで、トルコ航空 1951 便が墜落 （2009.02）• ブラジル沖大西洋上で、エールフランス 447 便が墜落 （2009.06）• サンフランシスコで、アシアナ航空 214 便が着陸失敗 （2013.07）

Photo: CNN

自動運転による交通事故・渋滞の低減
サグ部での渋滞緩和

路車間通信

ＧＰＳ
路車間通信

自律センサによる追突・衝突防止

右折時衝突防止

車車間通信

見えない人や車との衝突防止

次世代公共交通システム
スムーズな加減速、乗客転倒防止

統合的・有機的な運行

交通流整流、定時運行

事故低減
運転負荷軽減Cyber Agent

乗降時間短縮乗降安全性向上ひとくちに「自動運転」といっても、形態は多種多様

Photo: BMW

Photo: Volvo

Photo: Zoox

自動運転レベル （Levels of Driving Automation： LoDA)
ドライバーは動的運転タスクの一部を担当 （環境及びシステムの監視ならびに必要に応じての介入はドライバーの役目）

1

DriverAssistance

特定の運行設計領域においてシステムは縦方向又は横方向のいずれか一方の車両運動制御を担当。ドライバーは動的運転タスクの残余分を担当。

2

Partial Driving
Automation

特定の運行設計領域においてシステムは縦方向及び横方向の車両運動制御を担当。 ドライバーは動的運転タスクの残余分と監視制御を担当。

システムは動的運転タスクのすべてを担当

3

Conditional
Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。
作動継続が困難なとき、システムは十分な時間余裕をもってドライバーに運転交代を要請。ドライバーはその要請に適切に対応すること。

4

High Driving
Automation

特定の運行設計領域においてシステムが全ての動的運転タスクを担当。
作動継続が困難なときも、システム自身で適切に対応。

5

Full Driving
Automation

運行設計領域に限定されることなく、システムが全ての動的運転タスクを担当。作動継続が困難なときも、システム自身で適切に対応。
(SAE 2016; 2018)レベル２の自動運転 (LoDA 2)
システム： 縦方向と横方向の車両運動制御を担当。
ドライバー： 動的運転タスク残余分と監視制御を担当。
【監視制御 （supervisory control）】
 人が何をなすべきかを決め、システムに指示 システムは、人の指示に沿って制御を実行

Photo: BMW 人は、システムによる制御が適切かどうかを継続的に監視。
場合に応じて適時に介入システムの動作原理、能力限界、サブシステム間の相互干渉等に関する正確な理解が必要

HMI のデザインが鍵

 ドライバーが監視制御をしていないと思えるときはどうする？

航空機の自動化はレベル２の自動運転と同等

 定期的なシステム機能・原理等の教育と使用法の訓練を受ける
パイロットですら高度自動化システムを持て余す、となると・・・ 自動運転車の免許制度（教育・訓練）はどのようにすべき？

注意喚起も警報も出ていないから大丈夫？

システム

止まれ・・・
ドライバー
本当に車は来ない？

 システムは作動している？
していない？

（Inagaki 2010; 稲垣 2012)

人が見ているもの

機械が見ているもの

B
ACC はA車を追従しているはずだから、まもなく減速するだろうA

実は、ACC が見ているのは B車

ACC は、なぜ今加速するのだ？
オートメーションサプライズ 状況認識を共有できている？

（Inagaki 2010; 稲垣 2012)

「人が見ているもの ＝ 機械が見ているもの」 だが・・・
両者で「ものの考え方」が違うと、オートメーション・サプライズ

制動で衝突回避しよう

操舵で衝突回避しよう これから何をしようと考えている？
（意図）（Inagaki 2010; 稲垣 2012)機械の能力限界が分からないと・・・

割込もうとしている車がいるぞ。
ACC はそろそろ減速するかな。

オートメーション
サプライズ

ACC はなぜ減速しないのだ？

実は、ACC には割込み車は見えない
Why does
ACC

accelerate now?

 能力限界はどこにある？

（Inagaki 2010; 稲垣 2012)レベル2の自動運転におけるドライバーモニタリング
 ドライバーによる監視制御は、レベル２の自動運転の必須要件 この要件が満たされているか否かを知る手がかりのひとつは「視線」
 「意識の脇見」は検出可？
 「まじめに監視制御を行っていない」と判定されたときは？
 注意喚起／警告を発する
 注意喚起／警告を発しても状況が改善されないときは？
 注意喚起／警告を発し続ける？
 一定時間経過時に自動走行機能を停止？
 人の許可を取らず、機械の判断でそれを実行？
 車両が無制御状態になる可能性はない？

レベル３の自動運転 (LoDA 3)
システム： 走行環境の監視を含め、全ての動的運転タスクを担当。
作動継続が困難なとき、十分な時間余裕をもってドライバーに運転交代を要請。
ドライバー： システムの要請に適切に対応すること。
 「十分な時間余裕」とはどれくらい？
 運転交代を要請して一定時間経過後システムは機能停止してよい？
 レベル３の自動運転の狙いは何？
Photo: Volvo 「システムの手に余るときは、人に対応させよう」という設計思想は妥当か？
 ドライバーは、結果予見義務／結果回避義務（過失責任）から解放されているのか？

運転主体の交代： 権限委譲（trading of authority）（１）誰から誰への権限委譲？
（２）権限委譲の要否と実行タイミングを決定するのは誰？
機械に割当てられたタスク
時刻１

人に割当てられたタスク

縦方向制御

横方向制御
機械から人への権限委譲

時刻２人から機械への権限委譲

時刻３

縦方向制御

縦方向制御

横方向制御

横方向制御

（Inagaki 2003; Inagaki & Sheridan 2012; 稲垣 2012)

人の判断による権限委譲（例） 離陸時は人間が操縦。
機体が安定すると、コンピュータに操縦を委任。
必要に応じてオートパイロットを解除して、人が操縦。
（例） ACC で走行中、割込みの気配を示す車に気づく。いったん ACC を解除し、割込み車との間隔を適切にした後、再び ACC をエンゲージ。

機械の判断による、機械から人への権限委譲は成功するとは限らない
高高度を飛行中に対気速度に矛盾が生じ、オートパイロット解除。
その後のパイロットの操作が不適切であったため異常姿勢に陥り、墜落。

www.franceculture.fr/sciences/les-pilotes-en-cause-dans-le-crash-du-vol-af447-rio-paris機械から人への権限委譲を行うためのRTIドライバー： 運転操作は行わず、走行環境の監視もしていない。
システムから運転交代を求められたとき、瞬時に状況を見極め、適切に車両を制御できる？

RTI(request to intervene)?

RTI に対して適切に対応してくれればよいのだが・・・

RTI を発してもドライバーが対応してくれなかったら・・・

自動化レベル (Levels of Automation: LoA)
人に最終決定権
機械に最終決定権(Sheridan 1992; Inagaki et at. 1998)

自動化レベル４： 空中衝突防止システム(4)システムは可能な選択肢のうちからひとつを選び、それを人に提案。それを実行するか否かは、人が決定。

機械は助言をするが、場合によっては、人は助言を無視できる回避アドバイザリ
Climb, Climb

TCAS

脅威機

自動化レベル５： Advanced TCAS
(５)

システムはひとつの案を人に提示。
人が了承すれば、システムが実行。

機械からの提案に賛成ならば、人は、その実行を機械に指示
Climb が妥当です。
実行してよろしいですか？

パイロットが「OK」のボタンを押すとシステムが回避操作を開始

AdvancedTCAS
脅威機

自動化レベル６： 急減圧検知時の自動降下(6)

システムはひとつの案を人に提示。
人が一定時間以内に実行中止を指令しない限り、システムはその案を実行。

機械が人に提案を行ったとき、 限られた時間内 に人が明確な拒否を表明しない限り、機械はその提案を実行① システムが客室急減圧を検知② システムは乗員に告知し、同時に緊急降下のカウントダウン開始③ カウントダウン終了までに乗員が拒否権を発動しなければ、システムは緊急降下を実行(Flight International, 18-24 Aug 2009)

自動化レベル 6.5： 車線逸脱防止システム
LoA 6.5

システムはひとつの案を人に提示すると同時に、その案を実行

機械は、自分の意図を人に伝えると同時に、それを実行
クルマが車線を逸脱しそうになると、警報と表示でドライバーに知らせ、それと同時にステアリングを修正するトルクを発生する

自動化レベル 6.5： ATS-P(6.5)

システムはひとつの案を人に提示すると同時に、その案を実行。

機械は、自分の意図を人に伝えると同時に、それを実行

停止信号からの距離に応じた許容走行速度

列車速度

許容走行速度を越えると自動的にブレーキ作動

地上装置

停止信号

自動化レベル７： エンジン推力不均衡の補償(7)システムがすべてを行い、何を実行したか人に報告。

機械がよいと思ったことは、即時実行。人へは事後報告のみ③②① 第2エンジン（右主翼側）故障② 左右エンジンの推力不均衡により①機首が右に振れようとする③ TACが方向舵を制御して機首を左に向ける力を作り出して②の力を打消し，機首の振れを抑制③TAC(thrust asymmetry compensation)

運転交代要請（RTI ）メッセージの候補群
基本形（SAE J3016）： T秒以内に運転を交代してください
他のメッセージの可能性は？

自動化レベル（LoA）を参考に考案すると・・・
以下のような代替案の存在が判明

LoA 5 RTI

運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します

LoA 6 RTI

T秒以内に運転を交代してください。交代できない／
交代したくない場合は拒否権を発動してください

LoA 6.5 RTI 直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです運転交代要請（RTI ）が無視／拒否されたら？
Baseline 「T秒以内に運転を交代してください」

SAE J3016

無視： T秒後にシステム解除。その後の車両は無制御状態

LoA 5「運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します」
無視： T秒経過後もドライバーによる運転行動が確認できないため、システムが最小リスク状態へ向けて制御継続

LoA 6「T秒以内に運転を交代してください。交代できない／交代したくない場合は拒否権を発動してください」
無視： T秒後にシステム解除。その後の車両は無制御状態
拒否： システムが最小リスク状態へ向けて制御継続

LoA 6.5 「直ちに運転を交代してください。今、まさに自動走行モードを解除しようとしているところです」
無視： RTI 発出直後にシステム解除。その後の車両は無制御状態

効用関数を用いた RTI メッセージデザインの比較(Inagaki & Sheridan 2018)

効用関数を用いた RTI メッセージデザインの比較（続き）
U(LoA 6.5) < U(Baseline) < U(LoA 6) < U(LoA 5)•

LoDA 3 with Baseline RTI は非合理的•LoDA 3 with LoA 5 RTI が最適だが、 LoDA 3の範疇外•

LoDA 3 with LoA 5 RTI は、 LoDA 4 にも一致しない•

前２項は、 SAE J3016 （2016年版）の不完全性を示唆•LoDA 3 with LoA 5 RTI は、2014年版 High Automation
T Inagaki & TB Sheridan (2018).
A critique of the SAE conditional driving automation definition, and ananalyses of options for improvement. Cognition, Technology & Work.
http://link.springer.com/article/10.1007/s10111-018-0471-5

運転交代要請 (RTI) メッセージの最適デザイン
SAE J3016 「T秒以内に運転を交代してください」
T秒が経過した時点で、システムは自動走行モードを解除

事故発生リスクを最小にする RTI
運転を交代してください。運転が引継がれたことが確認でき次第、自動走行モードを解除します（LoA 5 RTI）

所定時間の経過後も、運転者が運転を引継いだことが確認できないなら・・・

システムは「権限委譲は不可能」と判断し、自身の機能範囲内で車両停止へ向けて制御を実行(Inagaki & Sheridan 2018)

J3016 におけるレベル3 の定義は改訂が必要【定義改訂案】【現在の定義】 （SAE J3016）

特定の運行設計領域においてシステムがすべての動的運転タスクを担当。作動継続が困難なとき、システムは十分な時間余裕を持ってドライバーに運転交代を要請。
ドライバーがシステムの要請に対応しないときは、システムが車両を最少リスク状態に誘導

特定の運行設計領域においてシステムがすべての動的運転タスクを担当。作動継続が困難なとき、システムは十分な時間余裕を持ってドライバーに運転交代を要請。
ドライバーはその要請に適切に対応すること。

ミニマム・リスク・マヌーバ（MRM）「自動運転車の安全技術ガイドライン」 （国交省自動車局 2018.09)

レベル３の自動運転におけるドライバーモニタリング
 「システムが運転交代を要請した時、ドライバーが直ちに対応できる状態にあるか否かを調べる」
 「ドライバーが運転を引き継げる体勢にないと判断された時は、注意喚起／警告を発する」という方式が検討されているが・・・

 RTIに迅速に対応できる状態にあるか否かは、いつ調べる？
 システムが完全に正常な時であっても調べる？
 監視義務はないドライバーの状態を知る手掛かりは何？

 RTIに迅速に対応できる状態にないと判定されたときは？
 注意喚起／警告を発する？
 それでも改善が見られないときは？
 やがて、RTIを発しなければならなくなったときは？

レベル３の自動運転におけるドライバーモニタリング（続き）
ドライバーは「システムからの運転交代要請」に対応できる体勢にないことから、注意喚起／警報を発して改善を図ってきたが、状況は変わらない。
さて、RTIを発出しなければならない状況になった。
RTIを発出してよいか？発出してはいけないか？

 「対応しないのはドライバーの責任」 と考えてRTI を発出・・・ ドライバーが対応しなければ、車は無制御状態へ
 RTI を発出するのをあきらめて、システムが対応
・・・ LoDA 4
 RTI を発出し、ドライバーが対応しなければ、システムが対応
・・・ LoDA 3 ＋ LoA 5 RTI
いずれの方式でも、ドライバーモニタリングは不要では？

レベル４の自動運転 (LoDA 4)
システム： 全ての動的運転タスクを担当。
作動継続が困難なときも、システム自身で適切に対応。
 「システムだけで対応できる」とは、「ドライバーに関与させない」こと？
 何が起こっているか、システムがどのように対応しようとしているか等はドライバーに知らせる？ 知らせない？
Photo: Volvo【移動サービスへの応用可能性】
 道路交通に関する条約（ジュネーブ条約）との整合性を図った
うえで、限定的な地域において無人自動運転移動サービスを実現させることができれば、高齢者のモビリティ向上へ・・・

レベル４の自動運転による移動サービス
ラストマイル自動運転

中山間地域における道の駅を拠点とした自動運転サービス
写真・図の出典： 国交省

 運行設計領域（ODD: operational design domain）の適切な設定に基づく個別具体的議論が肝要

限定地域における無人自動運転移動サービス

過疎地域等での公共交通の路線廃止の動き⇒ 高齢者等の移動困難者の移動手段の確保は喫緊の課題



有効な策のひとつが、限定地域における無人自動運転移動サービス
 「無人」とは、「車内にはドライバーがいないこと」。 ただし、車両外にドライバーの役割を果たす者（遠隔監視・操作者）がいる。
 車両外に遠隔監視・操作者がいる自動運転システムを「遠隔型自動運転システム」とよぶ。
 遠隔型自動運転システムを活用した移動サービスを「無人自動運転移動サービス」とよぶ。
 「無人自動運転移動サービス」では、車内にドライバーがいないことから、「レベル4の自動運転」とみなす流儀がある。
 サービスの対象となるエリア（例）•••比較的交通量が少なく見通しの良いエリア
市街地でも、歩行者・二輪車等の飛出しが発生しにくいエリア
比較的走行環境が単純なエリア

限定地域における無人自動運転移動サービス（続き）


現時点における無人自動運転移動サービスの姿 低速（10～30 km/h)。予め定められた特定ルートのみで運行
 搭乗可能な乗客は少人数。特定の場所で乗降 運行は天候条件のよい日中に限定
 運行状況は、遠隔監視・操作者が監視。
••

運行中の車両の走行環境が「運行設計領域（ODD）」を超える／超えそうな場合、車両は速やかに運行を中止。
その後、遠隔監視・操作者が限定的な運行を行う／サービス提供業者が対応（車両に駆けつける、等） 遠隔型自動運転システムの課題
 １人の遠隔監視・操作者は２台以上の自動運転車を監視できる？
 遠隔監視・操作者に届く映像には「通信遅延」があり、当該者が送信した制御コマンドが車両に届くまでにも「通信遅延」がある
 遠隔監視・操作者の知識・技量は、これに対応するに十分か？
 遠隔監視・操作者に提供される画像は、正確な状況理解を助ける？

電子牽引による後続無人隊列走行システム
先頭車両（有人）
電子連結

２台目（無人）電子連結

３台目（無人）最高速度は 80 km/h。被牽引車は２台まで。車間は 10m。隊列の全長は最長で 56m。

運送業における運転者不足 ⇒ １人の運転者で複数台のトラックを運行し、運行の高効率化を実現したい

有人の牽引車の後方に１台または複数台の無人の被牽引車を電子的に連結（車両間を通信等により接続）して走行



高速道路上で運用。複数車両が通常運転で隊列形成エリア（サービスエリア等）まで走行し、牽引車の運転者の操作により電子的に結合



被牽引車は牽引車と適切な車間、横方向位置を保ちながら走行するが、「被牽引車は自動運転車ではない」（将来的には、レベル４の自動運転）

電子牽引による後続無人隊列走行システムの機能
1. 走行時の安全性を担保するために、システムを構成する主要要素（隊列システムコンピュータ、情報通信装置、操舵アクチュエータ、主制動装置等）は2重系以上の多重系とするなど冗長性を有すること。
2. 車車間通信システムによる堅ろうで運行に十分耐える電子連結を前提に、被牽引車は牽引車に対して適切な車間距離と横方向の距離（牽引車の軌跡に対する被牽引車の横方向の誤差は± 50cm 以内）を保持し走行。
車間距離センサとしては、ミリ波レーダ、３Dライダ、高精度GPS等。
白線・先行車認識は、カメラ、３Dライダ、高精度GPS等を活用。

3. 電子牽引による後続無人隊列では、2台目以降は「牽引車両」の概念で扱うため、運転の責任は先頭車の運転者にある。
4. 牽引車は、被牽引車から送られた側方・後方映像を運転者に表示する画像表示装置を装着すること（後側方視界の確保）。
5. 牽引車及び被牽引車は、車線変更時において周辺車両、障害物等を検知するため、レーダやカメラ等のセンサを有すること。

電子牽引による後続無人隊列走行システムの機能（続き）
6. 牽引車及び被牽引車は、他車両の割込みを検知する機能を有すること。
（ただし、これは万一の場合への配慮であり、電子牽引による後続無人隊列は「牽引車両」の概念で扱うため、割込みされない車間距離での走行が基本）

7. 牽引車は、割込みが発生した場合、自動的に車速を一定速度以下に制限する等の縮退運転の機能を有していること。
8. 牽引車及び被牽引車は、割込み車両の安全な離脱を促す機能を有していること（MRMによって被牽引車を即時停止させることは、交通流の円滑さや安全の確保の観点から好ましいとは限らない）。割込み車両の離脱後は通常運転に復帰。
9. 被牽引車は、システムが作動限界を超えた場合又は故障により隊列の維持が困難になった場合に作動するMRMを有していること。
10. 牽引車は、システム作動限界や故障の発生時に自動的に車速を一定速度以下に制限する等の縮退運転の機能を有することが望ましい。
11. 被牽引車は、隊列維持が困難になるような故障（全通信手段の遮断等）又は異常（タイヤのパンク等）の発生時に作動するMRMを有していること。

自動運転における人と機械の協調と共生（１）Photo: BMW

Photo: Volvo

Photo: Zoox

• 自動運転レベルが高いものが「レベルが高い」のではない• 自動運転レベルではなく、モードと呼ぶべきではなかったか• 監視制御は、楽な仕事ではない• 高機能なシステムの動作原理や能力限界を知らないと、システムを正しく監視することはできない• 権限の的確な引継ぎには、瞬時の状況判断力が不可欠• ドライバーの役割と責任を社会やドライバーが認識すべし自動運転における人と機械の協調と共生（２）HMI が提供すべきものは・・・






機械と状況認識を共有できる手がかり
機械の判断の根拠が分かる手がかり
機械の意図が分かる手がかり
機械の能力限界を知る手がかり
機械の作動状態が分かる手がかり（Inagaki 2010; 稲垣 2012)

 不適切な信頼（不信／過信）の低減
 過信に基づく依存（過度の依存）の低減
 モード認識喪失やオートメーションサプライズの低減
さらに踏み込んでいうならば・・・

自然な形でドライバーモニタリングの役割を担う HMI と制御系の構築

参考文献
稲垣 (2012). 人と機械の共生のデザイン， 森北出版.
Inagaki, T. (2003). Adaptive automation: Sharing and trading of control. In E.
Hollnagel (Ed.), Handbook of Cognitive Task Design, Chapter 8 (pp. 147-169),
Lawrence Erlbaum Associates.
Inagaki, T. (2010). Traffic systems as joint cognitive systems: Issues to be solved
for realizing human-technology coagency, Cogn. Tech. & Work, 12(2), 153-162.
Inagaki, T. & Sheridan, T. (2012). Authority and responsibility in human-machine
systems: Probability theoretic validation of machine-initiated trading of authority.
Cognition, Technology & Work, 14(1), 29-37.
Inagaki, T. & Sheridan, T. (2018). A critique of the SAE conditional driving
automation definition, and an analyses of options for improvement. Cognition,
Technology & Work. DOI: 10.1007/s10111-018-0471-5.
国土交通省自動車局 （2018）. 自動運転車の安全技術ガイドライン.
SAE (2018). Taxonomy and Definitions for Terms Related to Driving Automation
Systems for On-Road Motor Vehicles. Surface Vehicle Recommended Practice,J3016.