安全でスケーラブルな自動運転車の形式的モデルについて
1分まとめ
RSS（Responsibility-Sensitive Safety）は、自動運転の安全を数学的に検証可能な形式モデルとして定義し、統計的検証では10^-9の致死率保証に10^9時間が必要なのに対し、セマンティックな行動空間とPACセンシングにより10^5時間のオフライン検証で達成できると主張している。
- RSSは「Duty of Care」を数学的に形式化し、事故の責任帰属を明確にしたホワイトボックス安全モデルである。
- 統計的検証で10^-9の致死率を保証するには10^9時間（約30億マイル）の走行が必要だが、RSSは10^5時間のオフライン検証で足りると主張している。
- セマンティック行動空間の導入により、プランニングの探索空間を約10^4に削減した。
- 本論文は理論と数学的証明に基づく提案であり、実車・シミュレーションによる実験的検証は含まれていない。
- 日本の自動車メーカーにとって、ISO 26262の機能安全と並ぶ「ノミナル安全」の標準化議論の出発点となった。
課題
既存の安全検証は、走行距離・介入回数・シミュレーション・シナリオ列挙のいずれも統計的保証に非現実的なデータ量を要求する。Lemma 1は、発生確率p1の事象を1/p1個のサンプルで検証すると、定数確率で事故ゼロのシステムと区別できないことを示す。10^-9の致死率を保証するには、平均30mphとして約30億マイル（10^9時間）の走行が必要になる。さらにコード変更のたびに再検証が必要で、実質的に不可能である。既存の機能安全（ISO 26262）はハードウェア故障を対象とし、マルチエージェント環境での運転ロジックの安全性（ノミナル安全）の標準は存在しない。
提案手法
RSSは5つのコモンセンスルール——追突しない、無謀な割り込みをしない、優先権は与えられる、視界不良に注意、事故を回避できるなら回避する——を数式で形式化する。具体的には、応答時間ρのもとで、前車がamax,brakeで制動し、自車がρ秒間amax,accelで加速した後にamin,brakeで制動したときに衝突しない距離を安全距離と定義する（Lemma 2）。危険状況に入った時点をDanger Thresholdとし、そこからの適切な応答を定義することで、全車両が遵守すれば衝突が起きないことを帰納法で証明する（Lemma 5）。さらにセマンティックな行動空間（横方向の目標数16、縦方向の相対目標48など）を導入し、プランニングの探索空間を約10^4に削減する。センシングにはPACモデルを適用し、測定誤差の影響を安全に関連づける。
評価と結果
実車・シミュレーション実験はなく、理論的証明と計算量の見積もりが結果である。主要な定理として、同方向の最小安全縦距離（Lemma 2）、対向方向の安全距離（Lemma 3）、横方向の安全距離（Lemma 4）を導出する。全車両が適切な応答を守れば衝突が起きないことを示し（Lemma 5）、オクルージョン下でも同様に成立することを証明する（Lemma 6、Corollary 2）。セマンティック行動空間のサイズは約10^4であり、幾何学的行動の全探索（100^T、T=10なら10^20）に比べて計算量が指数関数的に削減されると主張する。
安全検証アプローチの比較
| アプローチ | 必要データ量 | 主な問題点 |
|---|---|---|
| 走行距離ベース | 10^9時間（約30億マイル） | コード変更ごとに再検証が必要 |
| 介入回数ベース | 定義次第で変動 | ケースの難易度分布が偏る |
| シミュレーション | 30億マイル相当 | シミュレータ自体の検証が困難 |
| シナリオベース | 全シナリオの列挙 | 汎化保証が弱い |
| RSS（提案） | 10^5時間のオフライン検証 | パラメータは規制当局との協議が必要 |
安全検証に必要なデータ量の比較
新規性
安全を「責任の帰属」という法的概念から形式化し、マルチエージェント環境でも数学的に検証可能なモデルにした点が新規性である。各車両が独立に守れる「適切な応答」を定義したことで、証明の帰納構造が可能になり、既存の統計的検証や機能安全とは異なるパラダイムを提示した。
限界
著者はパラメータ値（amax,brake、amin,brake、ρなど）の決定を規制当局との協議事項とした（Remark 2）。論文から読み取れる制約として、(1)理論提案のみで実車・シミュレーションによる実験的検証がない、(2)安全距離の前提は前車がamax,brakeを超える制動をしないことだが、実世界でそれを保証できない、(3)オクルージョン時の「非現実的状況」の判定に必要な速度限界値の具体的な算定方法が示されていない、(4)評価用のデータセットや実装の公開がない。後続研究によってRSSの拡張や実装が進められたが、本論文単独では実証性が限定的である。
産業へのインパクト
本論文は、自動運転の安全性を統計的指標ではなく形式的モデルで議論する枠組みを確立した。「30億マイル問題」の指摘は、データ駆動アプローチへの批判として広く引用され、後の安全標準化議論の出発点となった。日本の自動車メーカーにとっては、ISO 26262の機能安全（ハードウェア故障）とは独立に、運転ロジック自体の安全性（ノミナル安全）を保証するための議論の土台として重要である。ただし、パラメータ値や実装詳細は規制との協議事項とされたため、本論文単体で実装可能な仕様ではなく、その後の標準化プロセスを待つ必要があった。