自動運転車は本当に人間が運転する車よりも安全でしょうか？

自動運転車は、人工知能技術の最もエキサイティングで影響力のある応用例の 1 つです。

米国だけでも、毎年35,000人以上が自動車事故で亡くなっています。自動運転車は理論上、人間の運転手よりも素早く反応でき、飲酒運転やメールの送信、疲労も起こさないため、車両の安全性を大幅に向上できるはずだ。この技術は、高齢者や運転が困難な人にとって、移動をより自立的かつ便利にすることも約束している。

過去3年間で、自動運転車業界には2,500億ドルを超える投資が行われてきました。

業界内の各自動運転車タイプの分野における代表的な企業は次のとおりです。

• 配達ロボット: Gofurther.ai、Idriverplus、Kiwibot、Neolix、Nuro、Refraction.ai、Scout (Amazon)、Serve Robotics、Starship Technologies、Unity Drive、Yours Technology。
• シャトルとバス: Auto (Ridecell)、Baidu、Beep、Coast Autonomous、e.Go、EasyMile、Local Motors、Milla Pod、May Mobility、Navya (SoftBank)、Ohmio、Optimus Ride、Sensible4、TransDev、Venti Technologies、Voyage (Cruise)、Yutong。
• タクシー: Argo、Aurora、AutoX、Baidu Apollo、Cruise、Didi Chuxing、Dongfeng、Hyundai、Motional、Pony.ai、Waymo、WeRide、Zoox (Amazon)。
• トラック: Aurora、Daimler、Einride、Embark、Gatik、Ike (Nuro)、Inceptio、Kodiak Robotics、Locomation、Plus.ai、Pony.ai、Volvo、Tesla、TuSimple、Udelv、UPS、Waymo、Zipline。
• 消費者向け車両: Apple、Aurora、Baidu、BMW、Cruise、Daimler、Ford、Honda、Huawei、Hyundai、Kia、Mazda、Nissan、Peugeot、SAIC、Subaru、Tata Elxsi、Tesla、Tencent、Toyota、Volkswagen、Volvo。

しかし、自動運転車は本当に安全になるのでしょうか?

自動車業界が直面している最大の課題は、主にエッジケースによって引き起こされる予期しない状況です。実際、こうした特殊なケースに対処しようとする 2 つの新しい自動車安全規格、ISO 26262 と UL 4600 が存在します。

ただし、これらの規格は必須ではなく、規制当局は自動運転車がこれらの規格やその他の自動運転業界固有の規格に準拠することを要求していません。さらに悪いことに、以下で説明するように、一部のタイプの自動運転車はこれらのエッジケースに対処できない可能性があると考える十分な理由があります。

自動化レベル

まず、「自動運転」とは何かを定義しましょう。米国自動車技術協会は、自動運転技術を次のように 6 つのレベルに定義しています。

• L0: 人間のドライバーがすべての運転機能を制御する
• L1: ある程度の運転支援（アダプティブクルーズコントロールや車線維持/中央維持など）
• L2: 部分的に自動運転（アダプティブクルーズコントロールと車線中央維持の両方を使用）ですが、ドライバーは制御を維持する必要があります（ハンドルに手を置き、ルートに目を向け、またはその両方）。
• L3: 条件付き自動運転（一定の条件下では、運転者はハンドルから手を離して自分の作業を行うことができるが、車両からの指示があれば制御に介入する必要がある）
• L4: 高度に自動化された運転（指定された市街地の道路やキャンパス内の道路など、特定のシナリオではドライバーが制御に介入する必要がない）
• L5: 完全自動運転（人間の介入は不要）

L3-5 は自動運転システム (ADS) と考えられており、ドライバーは道路に注意を払う必要はありません。レベル 3 では、ドライバーは本を読んだり映画を見たりできますが、車両が要求した場合は 10 ～ 60 秒以内に車両の制御を引き継ぐ必要があります。レベル 3 の車両の大きな問題は、ドライバーが運転を引き継ぐ 10 秒間の移行期間中に衝突が発生する可能性があることです。そのため、レベル 3 の車両には、10 秒間の引き継ぎによって事故が発生しない ODD を組み込む必要がある場合があります (低速の高速道路の渋滞シナリオなど)。

レベル 4 とレベル 5 の違いは、レベル 4 の車両は運用設計ドメイン (ODD) 内の自動運転モードに制限されることです。ODD には通常、制限された地理的領域 (都市内の指定された一連の道路など) が含まれ、天候、時間帯、降水量、道路の勾配や曲率などの要因に基づく制限が含まれる場合があります。レベル 5 の車両は制限なくどこにでも移動でき、理論的には一般消費者向け車両や商用トラックの有効な代替品となります。

テスラなど、現在路上を走っている多くの一般向け車両には運転支援機能が搭載されています。車両を車線の中央に保ち、自動的に加速およびブレーキをかけることができます。しかし、運転手がこれらの車両を運転しながら本を読んだり映画を見たりするのは安全ではありません。運転手は常に道路を監視し、いつでも制御できるように準備しておかなければなりません。これらはレベル 2 の車両であり、ADS とは見なされません。運転手は道路に注意を払い、すぐに運転を引き継ぐ準備をしておかなければなりません。

たとえば、先週、ニューヨークのフリーウェイをオートパイロット モードで運転していたとき、私のテスラが大きな段差にぶつかりました。私のテスラは急に方向転換して「ディンディンドン」という音を立てました。それは「スティーブ、あなたは自分で運転してください」という意味だったので、私は車を自分の車線に戻すために素早く反応しなければなりませんでした。

レベル2の車両が抱える問題の一つは、「完全自動運転」などのマーケティング用語がドライバーを騙して危険な行動を取らせる可能性があることだ。2021年4月に誰も運転していなかったテスラの事故で実際に起きたことだ。

大きな問題: エッジケース

運転中、人々は常識的な推論を使って、さまざまな予期せぬ状況に対処します。たとえば、鹿が高速道路に飛び出してきたり、洪水で道路が通行困難になったり、通行不能になったり、凍った坂を登ろうとして車が横滑りしたりします。

運転教習所では、こうした起こりうるすべてのエッジケースについて学ぶわけではありません。代わりに、私たちは日常の常識的な推論スキルを使用して、行動と結果を予測します。道をボールが転がっていくのを見たら、ボールを追いかけている子供に注意を払うべきだと分かります。前方の車が急ハンドルを切るのを見ると、運転手が酔っているか、テキストメッセージを送信している可能性があると分かるので、私たちは運転行動を変えます。

残念ながら、人間の常識的な推論能力を自動車や汎用コンピュータに組み込む方法を知っている人は誰もいません。 ADS 開発者は、常識的な推論機能の代わりに、あらゆる可能性のあるシナリオを予測してプログラムする必要があります。機械学習は、メーカーがあらゆる状況を予測し、考えられるあらゆるシナリオのトレーニング例を提供するのに役立ちます。

さらに悪いことに、こうしたエッジケースの数は数百万、あるいは数十億に上ります。誰でも、少なくとも一度は普通ではない運転体験をしたことがあるでしょう。世界には14億人のドライバーがいます。このようなエッジケースが 14 億ある場合、どうすればすべてを識別できるのでしょうか?対応するプログラミングを取得することは言うまでもありませんか?

ADS が常識的な推論を使用してこれらすべてのエッジケースを処理できない場合、ADS は本当に人間のドライバーよりも安全でしょうか?

常識的推論の重要性はODDに関連している

レベル 4 の車両は、自動運転を可能にするために特定の ODD に制限されています。これにより、ODD のないレベル 5 の車両と比較して、エッジ ケースの数が大幅に減少する傾向があります。たとえば、企業のキャンパス内では、非常に遅いレベル 4 のポイントツーポイント シャトルが見られることがあります。

これらの車両は、2 つの場所を結ぶ単一の道路上で予期しない状況が発生する可能性はそれほど高くないため、多くのエッジ ケースに遭遇する可能性は低くなります。万が一何かが起こったとしても、シャトルは非常にゆっくり走行するため、乗客や歩行者への危険はほとんどありません。

奇妙なことに、特定の市街地道路に限定されたレベル 4 の自動運転タクシーは、企業のシャトルよりも多くのエッジ ケースに遭遇しますが、消費者向け車両が遭遇する可能性のあるエッジ ケースの数には遠く及びません。走行領域を特定の道路に限定することで、非常に詳細な地図（信号や工事現場の詳細が豊富に記載されたもの）を維持できます。

対照的に、レベル 5 の車両は、世界中のすべての道路、または少なくとも消費者が所在する国のすべての道路で自動運転できなければなりません。ワシントンポスト紙は、米国だけで100万本以上の道路があると計算している。

そのため、フェニックス、サンフランシスコ、その他多くの都市で、多くの ADS 開発者が自動運転タクシーをテストしています。テストのほとんどは、危険な状況ではすぐに車両を運転できるように準備された安全ドライバーによって監視されていました。しかし、制限された ODD 条件下での無人運転テストはわずかしか実施されていません。自動運転車は人間と同じように「世界を見る」わけではありません。ADS のもう 1 つの問題は、コンピューター ビジョン システムは、人間が通常認識する状況に惑わされる可能性があるため、エラーが発生しやすいことです。

例えば、研究者らは、速度制限標識をわずかに変更するだけで、機械学習システムを騙して、標識の速度が時速35マイルではなく85マイルであると認識させることができることを実証した。同様に、一部のハッカーは明るい色のステッカーを使って偽の車線を作成し、テスラのオートパイロットを騙して車線を変更させている。

どちらの場合も、変更によって車は騙されたが、人は騙されなかった。さらに、悪意のある人物が車やトラックを騙して道路から外れさせたり、障害物に衝突させたりする方法は数多くあります。

自動運転車が世界を見る方法と人間が世界を見る方法には多くの違いがあり、これらの違いはハッカーに悪用される可能性をはるかに超えた懸念を引き起こします。

たとえば、現実世界では、多くのテスラの所有者が、車が影（木の枝など）を実際の物体として認識することがよくあると報告しています。ウーバーの試験車両が歩行者をはねて死亡させた事件では、車両の物体認識ソフトウェアが歩行者を最初は未知の物体として分類し、次に車両として分類し、最後に自転車として分類した。皆さんがどう思うかは分かりませんが、歩行者や運転手、車両など、道路上の歩行者やその他の物体を 100% 正確に識別できないのはひどいことだと思います。

テストが重要な理由

ADS は人間のドライバーよりも安全であると信じる十分な理由が数多くありますが、ADS は人間のドライバーほど安全ではないと懸念する十分な理由も数多くあります。

規制の観点から言えば、人間のドライバーよりも安全であることを証明することなく、肯定的な根拠のみに基づいて ADS を道路に導入する自由を ADS 開発者に与えるのは愚かなことです。しかし、規制当局がまさにやっていることはそれです。

米国道路交通安全局 (NHTSA) の立場は次のとおりです。

自動運転車の安全上の利点は非常に重要です。自動運転車が人命を救い、負傷を減らす可能性は、重大な悲劇的な事実から生まれています。それは、重大な衝突事故の 94% が人為的ミスによって引き起こされているということです。自動運転車は、衝突事故から人為的ミスを排除する可能性を秘めており、運転手や乗客だけでなく、自転車や歩行者の保護にも役立つだろう。米国では毎年 35,000 人以上が自動車関連の事故で亡くなっているという事実を考えると、運転支援技術がいかに多くの命を救うことができるかがわかってきます。

NHTSAは2020年12月にADS安全フレームワークの提案を発表したが、国家運輸安全委員会（NTSB）から「義務的な安全自己評価報告要件が欠如しており、NHTSAが報告書の妥当性を評価するプロセスが欠如している」と批判された。

公開文書から取得した画像

NTSBはまた、連邦規制がないため、各州が独自の規制を策定していると指摘した。例えばアリゾナ州は規制が最も少なく、NTSBはこれが2018年にUberのADSによる歩行者死亡事故の少なくとも一因になったとしている。

フロリダ州法 316.85 では、自動運転車の運行が明確に許可されており、運転者は自動運転車に乗っている間は道路に注意を払う必要がない (例えば、運転者は映画を見ることができる) と明記されています。また、ドライバーの関与なしに自動運転車両を運転することも明示的に許可されています。

規制では、自動運転機能の前提条件としてメーカーが安全性試験に合格することを要求していない。自動車、トラック、バス、タクシー会社が準備が整ったと判断すれば、自動運転車のテストと販売が自由に行えるようになる。私はフロリダに家を持っているのですが、これは怖いです。他の多くの州でも、事前の安全基準を必要とせずに自動運転車の導入を奨励しています。

ADS安全基準

自動運転車には、3 つの異なる種類の安全性テストが必要です。

最初のテストは、AV の意思決定メカニズムに情報を提供するすべてのコンポーネントが適切に機能していることを確認することです。 1年前、台湾で、オートパイロットモードのテスラ モデル3が時速70マイルで横転したトラクタートレーラーに衝突した。この事故は、車の前方センサーアレイのソフトウェアの不具合により自動ブレーキが正常に作動しなかったことが原因であると伝えられている。この種の障害を防ぐには、センサーのテストで十分です。

Waymo (Google) は、各カメラを車に搭載する前にテストし、車に搭載した後に再度テストし、最後に歩行者を検知する機能など、カメラに関連するさまざまな機能をテストしていると報告しています。

ISO 26262 規格は、自動車業界でソフトウェア エラーやハードウェア障害のテストに広く採用されています。センサーやその他のコンポーネントが設計どおりに動作していることを確認します。

2 番目のタイプの安全性テストは、車両が遭遇すると予想されるさまざまな現実世界のシナリオに対処できることを実証するように設計されています。 2016年にNHTSAはテストすべき36のシナリオを概説したが、それは完全なリストではないと指摘した。

シナリオ例には以下が含まれます。

• 速度制限の変更や速度勧告を検知して対応する
• 高速合流を実行する（例：高速道路）
• 低速車線合流の実行

Waymo は、カリフォルニア州の 113 エーカーの施設にある運転シミュレーターと閉鎖されたコースでこれらのシナリオやその他のシナリオをテストし、その後、安全ドライバーを運転席に座らせて実際の路上でテストします。

エッジケースのテスト

実行する必要がある 3 番目のタイプの安全性テストは、システムがトレーニングまたはプログラムされていない予期しない状況に直面したときに安全に対応できるかどうかを分析することです。

業界では、このタイプの安全性テストをサポートするために 2 つの標準を開発しました。ISO 21448 (SOTIF (意図された機能の安全性) とも呼ばれる) は、レベル 1 および 2 の車両用に設計されていますが、ADS にも使用できます。UL 4600 は、ADS 専用に設計されています。これらの標準では、開発者が既知のエッジ ケースをリストしてテストすることが求められます。ただし、どちらの標準も未知のエッジケースをテストしないため、ADS の安全性レベルを判定することはできません。

では、未知のエッジケースをどのようにテストするのでしょうか? これを行う 1 つの方法は、離脱データを使用することです。カリフォルニア州では、多くのメーカーがサンフランシスコなどの都市で自動運転タクシーのテストを行っている。車両はレベル 4 モードで動作し、ODD は特定の市街地道路に限定されますが、レベル 2 車両と同様に、非常に警戒心の強い安全ドライバーがすぐに運転を引き継ぐ準備ができています。車両に問題が発生した場合、セーフティドライバーが運転を引き継ぎます。これを解除といいます。

人間が事故を起こすまでに平均して何マイル移動するかはわかっています。すべての解除が事故につながると仮定すると、解除率は人間（より具体的にはタクシー運転手）の事故率と比較することができます。残念ながら、自動運転車が安全性を証明するために走行する必要がある距離を見積もるのはそれほど簡単ではありません。

RANDコーポレーションは2016年に、これには何億マイルもの自律走行が必要だと推定したが、これは非現実的だ。しかしそれ以来、ウェイモ単独で2,000万マイル以上の自動運転テストを記録している。

もう 1 つの問題は、特定の ODD を伴う人間のドライバーによる事故に関する統計がないことです。 ただし、少なくとも特定の ODD の ADS 事故率を人間のドライバーの全体的な事故率と比較することはできます。人間の運転手による事故の 90% は人為的ミスによって引き起こされていることを考えると、高度な ODD 統計を使用したとしても、ほとんどの事故は人為的ミスによって引き起こされるため、全体の事故率からそれほど逸脱しない可能性があります。

最後の懸念は、ADS テスト中に発生した解除の多くが事故に至らなかったことです。多くの解除は、ODD ではない道路を通行する必要があるなどの、無害な理由で発生します。それでも、ADS テスト プロセスを強化して、ある程度の比較を可能にすることは可能です。

たとえば、オーロラの安全ドライバーは、事故を防ぐために解除した時間を記録します。同様に、Argo は分離イベントからのセンサー データを記録し、アナリストが分離イベントを確認できるようにします。 Waymo は、解除センサー データを使用してシミュレーションで解除状態を再現し、安全ドライバーが解除していなかった場合に車両が衝突したかどうかを判断します。

Aurora、Argo、Waymo などの企業は、レベル 4 の車両 (主に自動運転タクシー) をテストしています。レベル 5 の一般向け車両の場合、環境が多岐にわたることと、安全ドライバーを乗せてこれらの車両をテストすることが難しいため、解除データの分析はより困難です。ただし、レベル 2 ADS を使用する場合、消費者向け車両には実際には安全ドライバーがおり、その安全ドライバーは消費者自身です。

実際、一部の消費者向け車両では、かなりの数の解除が記録されています。たとえば、テスラがオートパイロット モードになっているときに人間のドライバーが制御を引き継ぐと、これは解除として記録され、テスラ本社に報告されます。しかし、私の知る限り、テスラはこのデータを規制当局と共有していません。それでも、一般向け自動車メーカーは、解除の原因を記録する責任を持つ安全ドライバーに自社の車両をテストさせることができ、規制当局は ADS 開発者にそのデータを共有するよう要求できる。

自動運転システム (ADS) は、人間が他の作業 (本を読むなど) をしている間、自動車、タクシー、バス、その他の車両を運転するように設計されています。レベル 3 およびレベル 4 ADS には、天候、時間帯、降水量、道路の勾配や曲率、その他の要因に基づいて制限された地理的領域や制限が含まれる可能性がある、限定された運用設計ドメイン (ODD) があります。レベル 5 の車両はどこでも動作でき、ODD はありません。

ADS は人間のドライバーよりも安全であると想定する十分な理由があります。結局、彼らは決して疲れず、運転中にテキストメッセージを送り、飲酒運転をします。

安全性がさらに向上することはないと考える十分な理由もあります。常識をコンピューターに組み込む方法を知っている人は誰もいません。ただし、ADS では、発生する可能性のあるすべての予期しない状況 (エッジ ケース) に対処するために常識的な推論が必要です。常識的な推論機能がなければ、ADS は、ADS ソフトウェアに明示的にコード化されているエッジ ケース、または ADS が処理するようにトレーニングされているエッジ ケースのみを処理できます。 ADS エンジニアが予期していなかったエッジケースが発生すると、事故や交通渋滞が発生する可能性があります。

現実には、ADS は一部の ODD (時速 5 マイルで単一の道路を往復する会社のシャトルなど) では安全かもしれませんが、他の ODD (広い地域をあらゆる気象条件でカバーするタクシー サービスなど) では十分に安全ではないか、レベル 5 の自律性を実現できない可能性があります。

米国および世界中の規制当局は、事故率の低減や高齢者や障害者の移動性の向上など、ADS 技術の潜在的な利点から、ADS 技術の市場投入を急いでいます。たとえば、米国道路交通安全局 (NHTSA) は、ADS 機能のテストは必要ないと考えていると述べています。一部の ADS は、特定の ODD に対して安全であると認定されます。一部の ADS は、他の ODD やレベル 5 の運転には安全性が十分でないことが判明する場合があります。

ADS が公道で使用できるようになる前に、ADS 開発者は、特定の ODD において ADS が少なくとも人間のドライバーと同程度に安全であることを実証する必要があるのではないでしょうか。規制の欠如により、私たちの道路は大規模な実験となり、悲惨な結果をもたらす恐れがあります。