SOTIFについて
AI時代の安全性概念

SOTIF
Safety Of The Intended Function
意図された機能の安全性
ISO/PAS 21448:2019

意図された機能の安全性とは？

機能安全とは？
機能：E/Eシステム（コンピュータ等の電⼦機器を含んだ装置）で実装される機能（例：⾃動緊急ブレーキ）
機能安全：機能が機能不全のふるまいをすることにより引き起こされるハザードが原因となる，不合理なリスクの不在

コンピュータで実装する機能が故障しないことで保たれる安全のこと

機能安全とは？
IEC 61508
機能安全（E/E/PE）

IEC 62061

ISO 26262

IEC 62278

機械の安全

⾃動⾞の機能安全

鉄道への応⽤

⾃動⾞分野の機能安全は
ISO 26262で規定されている

⾃動⾞はたくさんのE/Eシステムで制御されている

ADAS（先進運転⽀援システム）
ACC（Adaptive Cruise Control System:アダプティブクルーズコントロール）
FCW（Forward Collision Warning:前⽅衝突警告）
AEBS（Advanced Emergency Braking System：衝突被害軽減制動制御装置）

TSR（Traffic Sign Recognition：交通標識認識）
LDW（Lane Departure Warning：⾞線逸脱警報）
LKAS（Lane Keeping Assist System：⾞線逸脱防⽌⽀援システム）

ECUは⾃動⾞1台あたり数⼗個

AEBS（緊急ブレーキ）
⾞がいる！

危害（Harm）なし

AEBS（緊急ブレーキ）
ECUが故障機能の故障（意図しない機能）による危害

AEBS（緊急ブレーキ）
⾬で⾞を認識できない

性能の限界（意図された機能＝故障なし）
による危害

AEBS（緊急ブレーキ）
⾞がいる！

AEBSシステム
トリガーとなる事象：

ハザードの可能性となる動作：

ハザード：

危害：

空き⽸が落ちている

誤認識によるブレーキ指⽰

急ブレーキ

後続⾞の追突性能の限界（意図された機能＝故障なし）
による危害

テスラ社による死亡事故（2016年5⽉）

著作権に関わるため図は⾮掲載

性能の限界（意図された機能＝故障なし）
による危害

出典｜⼩林雅⼀，AIが⼈間を殺す⽇，集英社，2017

SOTIF
Safety Of The Intended Function
意図された機能の安全性
ISO/PAS 21448:2019

意図された機能の安全性とは？

SOTIF（ISO/PAS 21448:2019）とは？

The absence of unreasonable risk due to hazards
resulting from functional insufficiencies of theintended functionality or by reasonably foreseeablemisuse by persons is referred to as the Safety Of
The Intended Functionality (SOTIF).

機能不全，⼈の誤使⽤によるリスクが対象

ハザードとなる動作
危害なし

⾞がいる！

危害あり

⾬で⾞を認識できない

ECUが故障⾞がいる！

ハザードの可能性となる動作が危害を招く

システムがハザードとなる動作をするとき機能には何が起きているのか？

機能安全とSOTIF
故障あり• 故障− ランダムハードウェア− システマティック

機 能E/Eシステムハードウェア
ソフトウェア

故障なし• 性能の限界− 多数のセンサや多様な環境条件による頑強性の不⾜− 複雑なアルゴリズム（機械学習など）による正しい状
況認識の不⾜• ⼈の誤使⽤− ドライバーの注意⽋如

機能安全（ISO 26262）

SOTIF（ISO/PAS 21448:2019）

故障あり／なし
ハザードの可能性となる動作の原因となる

STAMPの対象
故障のシナリオ

⾮安全のシナリオ

AC

故障／安全

B

故障なし／⾮安全
故障＆⾮安全

SOTIF

機能安全

SOTIFは故障なし／⾮安全が対象

機能安全とSOTIF
IEC 61508
機能安全（E/E/PE）

ISO 26262

ISO/PAS 21448

⾃動⾞の機能安全

⾃動⾞のSOTIF

機能安全とSOTIFは相補的

SOTIF（ISO/PAS 21448:2019）の構成
1

Scope

2
3

Normative references
Terms and definitions

4

Overview of this document’s activities in the development process

56Functional and system specification (intended functionality content)
Identification and Evaluation of hazards caused by the intended functionality

78

Identification and Evaluation of triggering events
Functional modifications to reduce SOTIF related risks

910

Definition of the verification and validation strategy
Verification of the SOTIF (Area 2)

1112

Validation of the SOTIF (Area 3)
Methodology and criteria for SOTIF release

Annex

A−G

シナリオの4つのエリア

著作権に関わるため図は⾮掲載

出典｜ISO/PAS 21448:2019, Figure 7, p. 7

⾮安全を無くしたい4つのエリアの進展

著作権に関わるため図は⾮掲載

出典｜ISO/PAS 21448:2019, Figure 8, p.8

エリア2 → エリア1
エリア3 → エリア2

SOTIF（ISO/PAS 21448:2019）の構成
1Scope23

Normative references
Terms and definitions

4Overview of this document’s activities in the development process

56

Functional and system specification (intended functionality content)
Identification and Evaluation of hazards caused by the intended functionality

78

Identification and Evaluation of triggering events
Functional modifications to reduce SOTIF related risks

910Definition of the verification and validation strategy
Verification of the SOTIF (Area 2) 想定内

1112Validation of the SOTIF (Area 3) 想定外
Methodology and criteria for SOTIF release

Annex

A−G

規格実施の流れ

著作権に関わるため図は⾮掲載

出典｜ISO/PAS 21448:2019, Figure 9, p. 9

まとめ• SOTIF（ISO/PAS 21448）：意図された機能の安全性• 機能：E/Eシステムで実装される機能• 機能安全（ISO 26262）：E/Eシステムに故障がある場合• SOTIF：E/Eシステムに故障がない場合− 性能の限界（機能不⼗分）− ⼈の誤使⽤（合理的に予⾒できる）

ありがとうございました