NHTSAは、自動運転車の安全基準を策定しています

: (NHTSA) . , EE Times . NHTSA , « » .



NHTSAが発行したこの文書は、無人機の将来に関する経営陣の見解を反映しています。以下の表は、自動運転システムの基本的な安全原則をまとめたものです。左側の列は、NHTSAによって発行されたドキュメントの要約です。中央には基本情報の要約があり、右側の列にはこの要約への追加がリストされています。この記事では、60ページ以上を8ページに圧縮することができました。

概要

ドキュメントへの注釈は、ADS（Ride Automation System）を、すべての運転機能を実行するハードウェアとソフトウェアの組み合わせとして定義しています。当局は、安全基準の策定は、連邦車両の安全規制の策定とは完全に異なることを強調しています。



ADS安全基準の基礎は、自動運転技術の進歩とさまざまな革新の出現への期待に基づいています。事務局は、時期尚早の制限的規制を導入することにより、潜在的な進歩を妨げないようにしたいと考えています。

ADS開発

ADSの開発は本格化しており、この分野のソリューションは常に進化しています。 2020年7月、NHTSAは、40の州とコロンビア特別区での路上テストとそのようなシステムの開発を支援しました。この地域のテスト活動の主要な中心地の1つはカリフォルニアです。66社が公道でADS（テストドライバー）を使用して車両をテストする許可を取得しています。



ADSの開発は、オープンロードテストから始まりません。初期のプロトタイプテストの多くは、シミュレートされた環境または密室で行われます。公道での試験は、リスクを評価する工学的分析と安全性分析の後に実施されます。これらのリスクに対処するために、緩和戦略が開発されています。開発プロセスは通常、反復的で循環的であることに注意することが重要です。開発者は、シミュレーションから屋内トラックテスト、ロードテスト、そして最後にソリューションの展開に移行することはありません。



代わりに、開発者は開発プロセス全体でソリューションをシミュレートして、現実の世界ではめったに見られないシナリオの経験を積みます。同様に、トラックテストは、製品が特定の成熟度に達する前に公道でテストするのが危険なまれなシナリオをテストするように設計されています。これらのテスト手順は、ロードテストと並行して使用されます。



路上テストで得られた経験は、多くの場合、シミュレーション環境やテストトラックで再利用され、システムを改良します。言い換えれば、車両が公道でのテストに合格したからといって、車両自体またはADSが展開に近づいていることを意味するわけではありません。逆に、車がシミュレーションやトラックでテストされた場合、これは道路でテストすることが安全でないことを意味するものではありません。

ADSの潜在的なメリット

NHTSAの使命は、教育、研究、ガイダンス、安全基準および規制を通じて、人命を救い、怪我を防ぎ、交通事故のコストを削減することです。 ADSは、人的エラーや誤った決定の結果を防止、軽減、軽減するこれらのシステムの可能性を考えると、管理者が多くの課題に対処するのに役立ちます。この可能性は、気晴らし、健康状態の悪化、倦怠感、誤った決定、交通違反など、人的要因の特性に関連しています。これらすべての機能は、発生する多くの事故で大きな役割を果たします。さらに、ADSは、障害を持つ人々や運転できない人々の移動性を高めることにより、アクセシビリティを向上させることができます。また、ADSはさまざまなプロセスの効率を向上させることができます。自動運転トラックの一部または全部を、旅行中に作業したり、護送船団を編成したりできるようにします。そのため、NHTSAは、ADSの開発とテストに重点を置き、ソリューションの展開に至るまで、すべての段階でセキュリティを監視しています。

過度の規制を取り除きたいという願望

今日、FDAの規制の多くは、通常の手動制御のないADS車両に焦点を合わせています。これらのルールは、既存の標準を編集することによって作成されており、大幅な改善が必要になる場合があります。異なるADSセキュリティ要件は、該当する標準で要求される特定のコンポーネントのインストールがオプションであることを意味する場合があります。このようなコンポーネントの例には、バックミラー、ダッシュボード、および一部のディスプレイが含まれます。

ADSのセキュリティ標準の必要性

通常、NHTSAは、規制が必要な側面を特定することにより、新しい基準を推進するプロセスを開始します。これらはセキュリティ要件です。この部門は、事故の統計やその他の入手可能な情報を分析して、その規模の定性的評価の問題を特定します。



次に、Officeは、これらの問題に対する潜在的な解決策または対策を調査し、問題に対処するか、それに関連するリスクを軽減するためのパフォーマンス特性または要件を作成します。



さらに、メーカーは、（選択した）合理的な手段によってソリューションを独自に認証する必要があります。つまり、自動車がすべての要件と規制に準拠していることを確認する必要があります。最後に、NHTSAは、承認されたテスト手順を使用して、車両または車両機器の適合性を評価します。



ADSはまだ開発中です-成熟したすぐにリリースできるソリューションは存在しません。したがって、満たすことができる安全要件を決定するために使用できる道路でのこれらのシステムの使用経験に関するデータはありません。また、これらのシステムのパフォーマンスのどの側面を規制する必要があるかも不明です。どの要件が合理的、実行可能、適切であるかは明確ではなく、最小パフォーマンスしきい値もありません。また、NHTSAが意図した安全基準を検証するためにテストできる成熟したADSソリューションを搭載した車両もありません。



NHTSAは、ADS車両の配備を不必要に妨げる規制を発行しようとはしていません。そのような規制は、交通安全を非常に改善できる有望な技術の開発を妨げる可能性があるためです。



ただし、NHTSAは現在、利害関係者と協力して、車両の要件を満たし、開発者の取り組みの成功を測定するセキュリティフレームワークの開発を開始できます。この構造は、セキュリティの革新に対処できるように十分な柔軟性も必要です。



NHTSAは、少なくともこれらのシステムのライフサイクル全体を通じて、ADSメーカーが製品を評価および実証するために従う安全基準とガイドラインの開発に取り組んでいます。さらに、Officeは、セキュリティ制御を簡素化するだけでなく、エンジニアリングおよび技術メトリックの形成と実装のための最適な管理メカニズムの開発を目指しています。

安全システム：工学的評価

経営陣は、ADSの開発者とともに、自動運転安全システム構造の設計に備えるために多くの研究を実施しました。このセクションでは、これらの取り組みについて簡単に説明します。

主なADSセキュリティ機能

ADSのコア機能は、運転の4つのコア側面である知覚、認識、計画、および制御を反映しています。 ADSを搭載した車両用のセンサーのセットには、カメラ、レーダー、LIDAR、GPSデバイス、V2VおよびV2X接続用のインターフェース、およびその他の多くのテクノロジーが含まれます。検出には、車両の移動方向に重点を置いて環境をスキャンすることも含まれます。



認識には、静的な標識とセンサーによって検出された物体（道路の境界、マーキング、標識）の検出と識別が含まれ、物体は動いている可能性があります（車両、自転車、歩行者）。認識は、衝突のリスクをもたらす可能性のあるさまざまなオブジェクトの動作を予測するために必要な情報をADSに提供します。認識システムはまた、運転のすべての機能と側面を正常に実行するために必要な情報をADSに提供します。



計画とは、目的地までのルートを計画して追跡するADSの機能です。スケジューリング機能は、知覚および認識システムに大きく依存しています。



ステアリングには、計画された経路をたどるために適切な信号（ステアリング、加速、ブレーキ）を送信することによる旅行計画の実施が含まれます。管理には、車両および環境データの継続的な収集と分析に基づいて、必要に応じて計画を調整することも含まれます。

その他のセキュリティ機能

ADSのセキュリティは、システムの機能と機能、および車内外の人々との相互作用に大きく依存しています。



車両の安全性に関連する側面の1つは、乗客、他の車両、および交通中の人々、特に脆弱な道路利用者と通信する能力です。人々と車両の相互作用は、ADSの安全性、およびそのようなシステムの一般の受け入れに影響を与えると予想されます。もう1つの重要な側面は、ADS自体または車両内の他のシステム内の障害を正確かつ確実に検出するADSの機能です。 ADSは、問題や障害（セーフモードや緊急シャットダウンなど）を検出するように設計されたさまざまなモードを安全に切り替えることができる必要もあります。



ADS操作の安全性と信頼性に影響を与える可能性のある側面のリストには、次のものも含まれます。

• 問題が発生した場合のシステムパフォーマンスの低下の特定
• システム要件が削減されたパフォーマンスモードの削減
• 出発地から目的地までの乗客または商品の輸送の主なタスクを完了する
• 緊急サービス（消防士、緊急サービス、法執行機関を含む）からのメッセージの認識と適切な対応
• 無線でソフトウェアアップデートを受信、ダウンロード、監視する
• システムのメンテナンスとキャリブレーションの実行
• サイバーセキュリティリスクの排除
• バックアップシステムの可用性。

当局はまた、安全法の下では、その権限は車両の安全に限定されていると述べています。Officeは、その範囲外のプライバシーとサイバーセキュリティを規制する権限を与えられていません。

連邦工学基準の開発

NHTSAの最も重要な安全パフォーマンスプロジェクトの1つは、経営陣のInstant Safety Metric（ISM）です。この指標を説明するドキュメントは2017年に公開されました。ISMは、車両自体と他の道路利用者が移動できるすべての経路を評価し、特定の期間内に考えられるアクション（方向転換、ブレーキ/加速）を考慮して、衝突につながる可能性のある経路の組み合わせを計算します。



更新されたアプローチであるMPrISM（Predictable Instant Security Metric Model）は、ISMに基づいており、このメトリックを評価する方法を補完します。MPrISMは、監視対象の車両アクションの範囲を調べ、問題の車両が最もよく反応し、残りの参加者が最も反応が悪いというシナリオに従って、事故の結果を計算します。

検討中の他の措置

2018年、ランド研究所は、ADSを搭載した車両の部分的な安全性評価スキームを提案するレポートを発表しました。このプロジェクトの一環として、ランドはADSセキュリティを評価および測定する方法と、システムが学習または理解したことを伝達する方法を研究しました。ランドのレポートは、企業とそのテクノロジー全体のセキュリティを測定するという問題も提起しています。



Nvidiaは、Safety Force Field（SFF）と呼ばれるプロジェクトを公開しました。これは、シミュレーションを通じて安全性を評価するための計算方法であると主張しています。 SFFは、ADSが環境を正常に監視していて、許容できない方法で動作していないかどうかを通知します。 SFFの目標は事故を防ぐことであり、システムは環境を分析し、他の道路利用者の行動を予測するための運転方針を確立することによってこれを達成することを目指しています。この分析に基づいて、システムは、事故につながる可能性のある、または事故の発生に寄与する可能性のある危険な状況の作成を回避するための潜在的なアクションを識別します。



Mobileye（Intelの一部門）は、RSS（Responsibility Sensitive Safety）と呼ばれるシステムを公開しています。 RSSは、マルチエージェントセキュリティ（特定の環境での複数の独立した道路利用者の安全な操作と相互作用）に関する問題を解決します。 RSSは、マルチエージェントの安全性の数学モデルであり、通常の行動の期待内で動作しているときに事故の可能性を最小限に抑えるような方法で他の道路利用者と対話するときに、合理的な運転慣行を組み込んでいます。この方法は、優先順位のルールを考慮して構築されており、物体を避け、すべての方向で安全な距離を維持します。 Mobileyeはまた、システムが特別な交通状況（信号機との交差点）も考慮に入れていると主張しています。明確な構造がなく、歩行者（または他の道路利用者）が関与する事故のない道路。



RSSと2つの独立した冗長システムを使用した戦略に関するCES2021での同社のプレゼンテーションを考慮すると、NHTSAはMobileyeをさらに検討する可能性があります。

ADS業界のセキュリティ基準

SOTIF（ターゲット機能のセキュリティ）またはISO 21448は、ISO 26262と連携して機能し、製造業者が開発プロセス中のさまざまなリスクを評価および軽減するのに役立ちます。 ISO 26262は障害のリスクを減らすことを目的とし、IS021448は予測可能なシステムの誤用を減らすことを目的としています。



ISO 21448は、情報認識が重要な役割を果たす機能（および、特に緊急システムに関しては、複雑なセンサーと処理アルゴリズムを使用して情報認識が提供されるシステム）を評価することを目的としています。 SOTIFは、ISO26262で指定されている障害には適用されません。



UL 4600は、ADSの開発においてメーカーが使用することを目的とした技術標準であり、そもそもメーカー向けに開発されました。



Officeは、規制またはガイドラインに基づいて、ADSの新しいドラフトセキュリティ要件を作成する際に、これらすべての標準の使用を検討しています。既存の規制は、重要な運転機能に関連する多くの重大な安全上の問題に対処するのに適切でない場合があります。NHTSAは、これらの標準をシステムに実装するためにどのように適合または変更（またはそのまま）できるかについてのコメントと提案を収集しています。これにより、管理者はADSの最小パフォーマンス要件を記述したり、満たす必要のあるシステムセキュリティしきい値を設定したりできます。セキュリティ法の要件を満たします。

セキュリティプロジェクトの開発への自発的な参加

NHTSAは、データを収集または生成するためにいくつかの手段を講じることができます。

• ADS

利用可能なメカニズムのセットは、大きく2つのカテゴリに分類できます。（1）開発者の警戒を強化するための監視、影響、および/または報酬の自発的な対策。 （2）規制メカニズム。最初のカテゴリには、自主的な開示、新車アセスメントプログラムへの参加、およびガイドラインに従うことが含まれます。 2つ目は、現在の法律およびその他の必須要件を含みます。 AV 2.0



レポートは、ADSの設計、開発、およびテストに関する 利害関係者のガイダンスを提供します。このドキュメントでは、開発者がソリューションを開発およびテストする際に考慮すべき12のセキュリティ面を特定します。



AV 2.0では、セキュリティの自主的自己評価（VSSA）の概念も導入されています。これは、開発者が次のことを一般に示すことを奨励することを目的としています。ADSのセキュリティの側面を分析する。米国運輸省と協力する。自己評価手段と業界の安全基準を順守します。 ADSを透過的にテストして展開することにより、一般の信頼と受け入れを求めます。 （ 自主的な安全自己評価| NHTSAを参照）



事務局は、自主的な自己評価措置は、セキュリティに対する非開示アプローチを実証する企業にとって重要なツールであると考えています。 2021年1月の時点で、26の開発者と自動車メーカーが自主的な自己評価プログラムを受け入れており、業界全体のかなりの部分を占めています。



透明性を促進するもう1つの自主的な評価ツールは、全国のさまざまな活動を含むNHTSA自動運転車のテストイニシアチブであるAVTestです。これらの活動の一環として、NHTSA、州および地方政府は、そのパフォーマンスに関するデータを共有しています。 AV Test Webサイトも作成され、企業は自社の車両に関する情報（テスト結果を含む）を共有できます。ウェブサイトが利用可能になりました： AVTESTイニシアチブ|自動車両追跡ツール| NHTSA



考慮される管理メカニズムの1つのタイプは、「安全ケース」の開発を促進するためのガイドラインの使用です。 NHTSAによって発行された文書は、安全性の理論的根拠を「システムが特定の環境の特定のアプリケーションに対して安全であるという説得力があり、理解可能で、有効な議論を説明する構造化された議論」と定義しています。 NHTSAの作業の文脈では、「有効」という言葉は「検証可能」を意味します。この管理メカニズムは他のメカニズムよりも迅速に実装でき、開発者は基本的な運転機能を実行しながらADS機能を文書化する柔軟性を得ることができます。



ADSコンピテンシーアセスメントをNCAPに追加することもできます。ただし、既存の規制レーン横断テストは、完全な評価には十分ではありません。このようなテストは、NCAP内で消費者情報を収集するための有用な基礎を提供できます。このスコアは、変動する環境で運転しているとき（サポートされているエリアで操作しているとき）のADSのパフォーマンスを測定するために使用できます。テストには、道路利用者（ダミー、歩行者、自転車）との複雑な相互作用のチェックを含める必要があります。また、テストでは、合格した方法の違いを説明する記録を保持する必要があります。 ADSを搭載したすべての車両は、衝突を回避し、事故に巻き込まれるリスクを最小限に抑え、運転制限（加速/減速および絶対速度制限）に準拠することが期待できます。テストは、人間のドライバーの運転免許試験のようなものでなければなりません。



NCAPからのデータにより、消費者は新車の安全性を比較し、情報に基づいた購入決定を下すことができます。



ADS技術の開発のこの段階では、規制当局の介入が必要となる可能性のある領域が明確ではないため、安全性のしきい値は不確実なままです。これが、NHTSAが要件ではなく自主的なアドバイスを通じて安全性の向上に努めている理由です。事務局はまた、コメントを求め、質問します。エンジニアリングおよびテクノロジーアプローチマニュアルの開発は、このプロジェクトに最も適切な方法ですか。

安全基準の規制：要件を形成するためのメカニズム

NHTSAは、ADS規制が最終的に必要になると考えており、これらの規制を実施する方法を模索しています。リコールキャンペーンの大部分は、既存の規制とは関係のないセキュリティ上の欠陥に関連しています。

義務的な報告と開示

管理では、例外が発生した場合にデータの開示と送信を義務付ける必要があります。そのような免除の例は、Nuro車両を40 km / hの制限速度から免除する請願です（この車両は電動でADSを装備しています）。このデータを開示するための条件のリストには、クラッシュレポートの送信、定期的なレポート、サイバーセキュリティ、およびその他の多くの要件が含まれます。

セキュリティ標準を実装する権限

1966年の安全法は、NHTSAに、「交通事故の数とそれに起因する死傷者の数を減らす」という幅広い自動車安全義務を与えています。



特に、「自動車の安全性とは、自動車の設計、設計、特性から生じる不当なリスクや、運転以外の安全性から人々を守る側面を意味します。」



NHTSAは、車両とその機器の安全基準を発行する場合があります。これには、基準を満たしていない、または運用上のリスクがある車両のリコールキャンペーンやトラブルシューティング要件が含まれる場合があります。準拠車をすべての州で販売できるように、安全基準は国全体で一貫している必要があります。



安全基準は、衝突回避（100シリーズ）、衝突耐性（200シリーズ）、衝突後耐性（300シリーズ）の3つのカテゴリーに分類されます。 連邦自動車安全基準-ウィキペディア。



NHTSAは、ADS規制がいつか必要になると考えているため、当局は規制を実施する方法を検討しています。代理店は、ADS車両の特異性を考慮して、新しい安全基準を開発したり、既存の基準を変更したりできます。



通常、部門は2つの方法でその権限を使用しました。

• または、安全要件を満たすために標準に従って実証済みのテクノロジーを実装すること、およびテクノロジーを最小要件に調整することを企業に義務付けること。
• または、最小限のセキュリティ要件で自発的に導入されたテクノロジーを規制する

ADSへの連邦セキュリティ基準の適用

事務局は、車両内のADSと意思決定システム間の通信により、システムが設計されている領域を考慮して、ADS操作の安全性を評価する必要があると考えています（5レベル未満の自動化システムに関して） 。



州および地方自治体も交通安全を確保する上で重要な役割を果たしています。このような当局は、ADSを搭載した車両の新しい交通規則を確立することができます。

急速な技術進歩による安全基準の改革

車両の機能と機能がソフトウェアによってますます定義および制御されるにつれて、車両は、車両のライフサイクル全体を通じて更新を通じて変化し、改善され続けるでしょう。車両システムの変更が速いほど、規制要件が開発とイノベーションを妨げるリスクが高くなります。冗長な障壁を取り除くための規制プロセスのペースが遅いことも、安全革新の導入を遅らせる可能性があります。



ADSが新世代の標準やその他のセキュリティルールを必要とする場合、それらは法律で定義されたフレームワーク内で記述でき、ソフトウェアとハ​​ードウェアに関連付けられたADSを現在の状態にすべきではありません。



言い換えれば、NHTSAは、現在の車両で使用されている特定の技術が将来使用されると想定してはなりません。将来の標準（特に特定のテクノロジーの使用を必要とするもの）を作成するための優れたアプローチは、特定のシステムの特性ではなく、客観的な機能に焦点を当てることです。



次世代の安全基準は、ADSに必要な車両、センサー、ソフトウェア、およびその他のテクノロジーのメーカーに、規制を継続的に修正する必要なしに、ソリューションを変更および改善する柔軟性を提供する必要があります。

規制へのさまざまなアプローチ：ADS

NHTSAは、ADS規制への可能なアプローチのために3つのオプションを提供します。

• , , . .
• , , . , RSS Mobileye, SFF Nvidia MPrISM.
• , . . , ADS.

NHTSAは、庁のリソースが限られており、ADS技術とビジネスモデルが絶えず進化しているため、安全規制方法の段階的な開発を楽しみにしています。



Officeはすでに監視とガイダンスの実装に取り​​組んでいます。これには、開示要件や、すべてのADS開発者にとって重要な主要なセキュリティの側面の強調が含まれます。必要に応じて、代理店は、リスクを最小限に抑え、技術知識ベースを拡張する方法で、限定的な展開またはテストを可能にするために、標準の免除を提供します（提供します）。

管理メカニズムの設計、評価、および選択で考慮される重要な要素

コメンテーターがNHTSAに上記の管理メカニズムへの有用な洞察を提供するのを助けるために、これらのメカニズムの長所と短所を調べるときに経営陣が考慮する重要な要素を強調しました。

• 一貫性と信頼性の高いセキュリティ。各製造業者の方法が要件の全体的なレベル（文書を含む）および標準化された最小レベルの安全性を満たすべきかどうかを客観的に評価するための基準を設定する必要があります。
• . NHTSA , . ( ) , .
• . ADS , , .
• . , , .
• . , NHTSA , , , .
• . NHTSA . , , , , .
• . , , NHTSA , .
• リソース要件。追加の安全性の観点から測定すると、ROI（たとえば、利用可能なリソースの効率的な使用）は、メカニズムを選択し、NHTSAがどの安全機能を強調するかを決定するときに特に重要です。

NHTSAの業界への質問

NHTSAは、業界の代表者に25の質問を提出し、ADS安全規制の枠組みを開発する際に当局がどのように取り組むべきかについて専門家の意見を集めました。質問の半分以上は安全基準自体に関するものです。7つの質問は行政上の取り決めに関連し、さらに4つの質問はNHTSAの任務に関係しています。

---

• コントローラーを機能的に分離したデュアル燃料エンジン用のロシア初のシリアル制御システム
• 現代の車では、コードの行数が...
• - Automotive, Aerospace, (50+)
• McKinsey: automotive