テクニカル・サマリー：自動運転時代におけるISO 26262の再構築

問題提起

ISO 26262規格は、道路車両における機能安全のための包括的なフレームワークを提供しているが、その根本は人間が運転することを前提としたパラダイムに基づいている。そのリスク評価モデルは、重大度（Severity: S）、露出度（Exposure: E）、および制御可能性（Controllability: C）という3つのパラメータに依存している。「制御可能性」というパラメータは、特に、人間が適時な反応を通じて危険事象を軽減できる確率を推定するものである。

このドライバー中心の仮定は、人間による介入が利用できないSAEレベル4およびレベル5の自動運転車（AV）においては無効となる。その結果、従来の制御可能性の指標をドライバーレスのシステムに直接適用することはできない。本論文は、既存の規格には、ドライバー不在の状況下で「制御可能性」を分解・定量化するための体系的な手法が欠けていることを指摘しており、ハザード軽減と状況制御の評価方法をどのように再解釈すべきかという課題を提示している。

手法

著者らは、ISO 26262への手法的な拡張として、「制御可能性」というプレースホルダーを、監査可能かつ測定可能な2つのサブ次元、すなわち**転送可能性（Transferability）と予測可能性（Predictability）**へと分解することを提案している。これらの次元は、既存のISO 26262のプロセスを置き換えるのではなく、補完し、かつISO/PAS 21448（SOTIF）と整合するように設計されている。

1. 転送可能性（システムレベルの能力）

転送可能性は、制御可能性を「人間の反応」から「システムの能力」へと再定義する。これは、プライマリ・オートノミー（主たる自律走行）から専用のフォールバック（代替）メカニズムへの、安全かつ適時な移行を実行する能力として形式的に定義される。これは、新たなハザードを導入することなく、故障許容時間間隔（FTTI）内に最小リスク状態（Minimal-Risk Condition）を達成する能力を指す。

• 定式化: 転送可能性（$T$）は、以下の演算環境の関数としてモデル化される：$T = T(o, f, s, m, \tau_{FTTI})$。ここで、$o$は運行設計領域（ODD）のスライス、$f$は故障ファミリー、$s$はシーンの状態、$m$は最小リスク操作（MRM）のクラス、$\tau_{FTTI}$は時間間隔である。
• エビデンス・タプル ($E_T$): クレーム（主張）は、検出レイテンシ、開始レイテンシ、MRM成功時間、停止ゾーンへの適合性、および信頼区間を伴う要求あたりの成功確率を記録した特定の「エビデンス・タプル」によって裏付けられる。
• 設計値と達成値のギャップ ($\Delta T$): 本論文では、アーキテクチャ上のフォールバックの主張（$T_{designed}$）と、シーン条件付きの達成可能な能力（$T_{achievable}$）を区別するための指標を導入している。ギャップ $\Delta T = T_{achievable} - T_{designed}$ は、順序尺度（$T_0$から$T_3$）に基づいて計算され、環境的または文脈的な制限によって性能が設計上の期待を下回る箇所を特定する。
• 分類: 転送可能性は、特定のODDスライスおよび故障ファミリーを条件とした、MRM成功確率の下限信頼界に基づき、4つのレベル（$T_0$–$T_3$）に分類される。

2. 予測可能性（外部相互作用の次元）

予測可能性は、自動運転車と外部の道路利用者（歩行者、自転車、他のドライバー）との間の相互作用の安全性を扱う。これは、外部エージェントが自らの応答を決定しなければならない前に、観察可能な動き、信号、およびコンテキストに基づいて、自動運転車の近い将来の挙動をどの程度予見できるかを定量化するものである。

• 定式化: 予測可能性は、期待される運動の参照モデル（$p_{ref}$）と、目標推論のためのオブザーバーモデル（$p(g | \xi_{0:t}, c, a)$）を介して定義される。
• ベクトル・モニター ($M_P$): 予測可能性は、以下の4つの診断チャネルを通じて評価される：
  1. 文脈適合性 ($Q_{conf}$): 軌道が宣言された参照分布にどの程度適合しているかを測定する。
  2. 意図の明瞭性 ($S_{intent}$): シャノン・エントロピーに基づき、オブザーバーによる目標推論における曖昧さの減少量を定量化する。
  3. 信号の一貫性 ($S_{signal}$): 方向指示器、ブレーキランプ、および実際の運動の間の整合性を評価する。
  4. 運動学的驚愕 ($S_{kin}$): 説明のつかない急激な動き、急ブレーキ、またはためらいを検知する。
• 集計: これらのチャネルは、単一のチャネルの失敗が全体のクラスを低下させるという「ワーストチャネル・ルール」を用いて、順序クラス（$P_0$–$P_3$）へと集計される。

3. 統合された強化された制御可能性 ($C_u$)

本論文は、転送可能性（$T$）と予測可能性（$P$）を合成することにより、ドライバーレスの文脈における制御可能性（$C_u$）の統一的な計算方法を提案している。

• 合成ルール: 著者らは、加算ペナルティ・ルール $C_u = \min(3, T + \Delta P)$ を提案している。ここで、$\Delta P$ は予測可能性クラスから導出されるペナルティである。
• 統合: この統一されたクラス $C_u$ は、標準的な重大度および露出パラメータとともに、追加のエビデンスとしてハザード分析およびリスクアセスメント（HARA）に報告される。これは、ASIL決定を置き換えるものではなく、シナリオ条件付きの監査可能なデータによってASIL決定に情報を与えるものである。

主な貢献

本論文は、主に3つの手法的な貢献を行っている。

1. 転送可能性の定式化: 故障許容時間間隔に対する最小リスク操作（MRM）の性能を評価することにより、ドライバーレスの文脈における制御可能性の概念を拡張し、「設計値と達成値」のギャップ（$\Delta T$）を導入することで、フォールバックの主張を検証可能かつ追跡可能にした。
2. 予測可能性の確立: 予測可能性を外部の道路利用者の安全性の定量的な次元として定義し、期待される運動パターンへの適合性と、意図伝達の明瞭性の両方を捉え、4つのチャネルを持つベクトル・モニターによってサポートしている。
3. 検証手法: 転サー可能性のための故障注入テストや、予測可能性のための人間観察研究（または較正されたオブザーバーモデル）を含む、具体的な受け入れ基準と検証方法を提案し、これらをISO 26262およびSOTIFの安全ライフサイクル内での検証可能な指標として採用できるようにしている。

結果と提案フレームワーク

本論文は、特定の車両への展開に関する経験的な実験結果を示すものではなく、むしろ理論的かつ手続き的なフレームワークを確立するものである。「結果」とは、提案された定義、数学的定式化、および統合ポイントである。

• 分類表: 論文は、転送可能性（$T_0$–$T_3$）および予測可能性（$P_0$–$P_3$）の非規範的な報告クラスを定義している（例：$T_0$はシームレスでフェイルオペレーショナルな遷移を必要とし、$P_0$はすべてのチャネルが較正された範囲内に留まることを必要とする）。
• 統一マッピング: マッピング表（表IV）は、$T$と$P$の組み合わせがどのように統一された制御可能性クラス（$C_0$–$C_3$）をもたらすかを示しており、ISO 26262の順序スケーリングを維持している。
• ISO 26262への修正: 著者らは、ISO 26262のパート1からパート10にわたる具体的かつ簡潔な修正案を概説している。これには、転送可能性と予測可能性の定義の追加、$T$と$P$の格付けを記録するためのHARAの更新、および、学習信号と安全エビデンスの間の循環依存を避けるためのプランナー設計に対する独立したモニターの要求が含まれる。

重要性と主張

本論文は、そのフレームワークが、高度に自動化された（レベル4）および完全自動運転（レベル5）システムの安全性を認証するための、スケール可能でエビデンスに基づいた経路を提供するものであると主張している。その重要性は以下の点にある：

• 規格の維持: ISO 26262の構造と意図を維持しつつ、その適用範囲をドライバーレスシステムへと拡張しており、全く新しい規格を必要としない。
• 学際的な架け橋: 予測可能性（外部の人間による理解）と転送可能性（内部のシステム制御）の両方を定量化することにより、機能安全（ISO 26262）とSOTIF（ISO 21448）を調和させている。
• 検証可能性: $\Delta T$やベクトル・モニター $M_P$ のような測定可能な指標を導入することで、フォールバックや相互作用の主張を、特定のODDスライスに対して検証可能かつ追跡可能にし、不透明で集約的な安全主張から脱却させている。
• 独立性: 論文は、プランナーの設計と安全エビデンスは独立していなければならないことを強調している。予測可能性の指標を学習報酬として使用することは、安全ケースのエビデンスとしての妥当性を損なってはならない。

著者らは、これらの提案は規格団体への研究上の推奨事項であり、規範的な要求事項を構成するものではなく、また雇用主のコンプライアンス姿勢を反映するものではないことを明示している。また、数値目標はシナリオごとに異なり再較正が必要であること、および、高い転送可能性や予測可能性のスコアに基づいてASIL要件を緩和することを提案するものではないといった限界についても認めている。