「この車はレベル2だから半分自動運転」「レベル3はレベル2より少し賢い」と考えると、本質を外す。SAE J3016の0〜5は、センサー数、AI精度、運転できる道路の広さを点数化したランキングではない。ある機能が作動している瞬間に、走る・曲がる・止まる・周囲を監視する・限界時に安全へ持っていく仕事を、人とシステムのどちらが担うかを分類した共通言語である。

同じ車にレベル0の自動緊急ブレーキ、レベル2の高速道路支援、限定条件でレベル3の渋滞時機能が同居し得る。車両全体へ永久に一つのレベルが貼られるわけではない。本稿ではレベル表を暗記せず、動的運転タスク（DDT）、運行設計領域（ODD）、フォールバック、運転者監視、安全評価を一本の責任線として理解する。

ステレオカメラ式運転支援システムを搭載したスバルWRX S4現行ADAS搭載車の例

画像: Subaru WRX S4 2.0GT-S EyeSight(Tokumeigakarinoaoshima, CC BY-SA 4.0)、Wikimedia Commons。車両前部の外観写真であり、自動運転レベルやシステム内部を写真だけで特定するものではない。

30秒で分かる結論

1. レベルを決める四つの質問

SAE自動運転レベル0から5の責任分担レベル0から2では人が監視し、レベル3から5ではシステムが運転環境を監視する。フォールバックとODDの違いを示す。 作動中にDDTと周辺監視を担うのは誰か Level 0–2：人が運転する支援機能を常時監督し、必要なら即座に操作 Level 3–5：システムが運転する作動中はADSが周辺監視を含むDDTを実行 L0警報・瞬間介入人：操舵＋加減速人：監視 L1操舵 OR 加減速人：残りの操作人：監視 L2操舵 AND 加減速人：監督人：フォールバック L3ADS：全DDT人へ介入要求人：応答準備 L4ADS：全DDTADS：フォールバック限定ODD L5ADS：全DDTADS：フォールバック全条件 Driver support featuresAutomated driving features同じ車でも、作動中の「機能」ごとにレベルが決まる

図1 — SAE J3016の核心はL2とL3の境界にある。操舵量ではなく、作動中に周囲を監視してDDTを完結する主体が変わる。

レベル判定は次の四問で整理できる。

  1. 横方向（操舵）と縦方向（加速・制動）の持続的制御を誰がするか。
  2. 物体・事象を検出し、応答するOEDRを誰がするか。
  3. 機能が限界へ達したとき、DDTフォールバックを誰がするか。
  4. 作動できるODDは限定されるか。

DDTには操舵、加減速だけでなく、車線変更、信号への応答、障害物回避などリアルタイムの操作・戦術が含まれる。目的地選択のような戦略は通常DDTに含めない。OEDR（Object and Event Detection and Response）は、対象を見つけるだけでなく、それに応答するところまでを指す。

ODD（Operational Design Domain）は「高速道路、昼間、降雨量、速度、地理領域、路面、通信可否」など機能が使える条件の集合である。条件ベクトルxに対し、作動可否を

ODD(x)=\bigwedge_i c_i(x)

とみなせる。一つでも必須条件c_iが偽なら、作動開始を拒否するか、安全に終了しなければならない。

2. Level 0：自動化なしでも介入はあり得る

レベル0は運転者が操舵と加減速を持続的に行う。前方衝突警報、車線逸脱警報、死角警報に加え、自動緊急ブレーキ（AEB）のような瞬間的介入もこの範囲に入る。ブレーキが自動で動いたからレベル1とは限らない。「持続的な運転操作」か、危険時だけの短い介入かが境界になる。

現行ADASではカメラで車線と対象を分類し、ミリ波レーダーで距離・相対速度を測り、TTCを推定する。

TTC=\frac{d}{v_{ego}-v_{target}}

接近していない場合や相手が加速する場合には単純TTCが不安定なので、加速度、横方向侵入、路面摩擦を含む予測が必要だ。不要な急制動も追突を招き得るため、見逃し率だけでなく誤作動率も安全指標になる。

3. Level 1：横か縦のどちらかを支援

持続的に操舵または加減速の一方を支援する。Adaptive Cruise Control（ACC）は前車との距離と速度を保ち、Lane Centeringは車線中央へ操舵する。片方をシステムが担当しても、残りと周辺監視は運転者の仕事である。

ACCの単純な目標車間距離は

d_{des}=d_0+T_hv

で表せる。d_0は停止時余裕、T_hはtime headway、vは自車速度。雨や下り坂で制動距離が増えるなら、T_hを固定値にせず路面推定と連動させる。レベル分類は同じでも、安全性能はセンサー範囲、制御限界、運転者への表示で大きく変わる。

4. Level 2：操舵と加減速を同時支援、それでも人が運転

高速道路で車線中央を保ち、前車へ追従する機能は典型的なレベル2である。ハンズオフが許容される設計でも、アイズオフとは限らない。SAEの表ではレベル0〜2はDriver Supportであり、運転者が機能を継続監督する。

現行の例としては、メーカー各社の高速道路支援、渋滞支援、ナビ連動車線変更がある。ただし商品名だけからレベルや使用条件を推定せず、取扱説明書の対象道路、速度、天候、監視要求を確認する。同じ商品名でも地域、年式、ソフトウェア版で機能が違う。

Driver Monitoring System（DMS）は顔向き、視線、瞼、頭部姿勢、ステアリング操作などから監視状態を推定する。単純な注意スコアを

S=w_gG+w_hH+w_eE+w_tT

と置いても、サングラス、逆光、個人差、カメラ遮蔽がある。DMSは責任を運転者へ押し付ける道具ではなく、機能設計が要求する監督可能性を確認し、警告・段階停止へつなぐ安全部品である。

5. Level 3：作動中はシステムが運転し、限界時は人へ要求

レベル3ではADSが限定ODD内でDDT全体とOEDRを担当する。運転者は常時の周辺監視から外れ得るが、介入要求（Request to Intervene）へ応答する準備が必要である。この境界が難しい。人は別作業から道路状況を再構築し、何が起きたか理解して操作を再開しなければならない。

危険までの余裕T_{hazard}は、少なくとも

T_{hazard} > L_{detect}+L_{decide}+L_{notify}+T_{human}+T_{actuate}+T_{margin}

を満たす必要がある。T_{human}は警報音へ反射的に触る時間ではなく、視線復帰、状況認識、操作選択までを含む。平均値だけでなく、高齢者、眠気、二次タスク、夜間など分布の裾を評価する。

介入要求を出せば責任が瞬時に移るわけではない。要求が届かない、運転者が応答しない、急病で応答できない場合を設計に含める。最小リスク操作としてハザード点灯、緩やかな減速、車線内停止、可能なら路肩退避を選ぶが、後続交通と道路形状によって安全な動作は異なる。

6. Level 4：限定ODD内で人に頼らず完結

レベル4は限定ODD内でADSがDDTとフォールバックを担う。無人シャトル、限定区域のロボタクシー、鉱山や物流ヤードの無人搬送が典型的な設計対象になる。人が介入しなくても、ODD逸脱や故障時に最小リスク状態へ到達できることが必要だ。

遠隔支援があっても、通信断で即危険になるならフォールバックを遠隔者へ依存している。遠隔者が経路候補や意味情報を助言するRemote Assistanceと、操舵・制動を連続操作するRemote Drivingを区別し、遅延、帯域、オペレータ一人当たり車両数、サイバー攻撃を評価する。V2X入門で扱う通信は状況認識を拡張できるが、単一障害点にしない。

7. Level 5：人が運転できる全条件という概念

レベル5は特定ODDへ限定されず、人が運転できる道路・環境条件でADSが運転する分類である。「地球上のどんな場所でも走る」という意味ではなく、通常の道路車両として人が対応できる範囲が基準になる。それでも雪で消えた車線、未舗装路、警察官の手信号、工事現場、災害、地域固有の慣習まで扱う必要があり、きわめて広い問題である。

2026年時点で消費者が購入し、あらゆる公道条件をレベル5で走れる車は存在しない。NHTSAも、現在消費者が利用できる高い自動化機能でなお運転者の関与が必要と説明している。将来予測と市販機能の説明を混ぜないことが重要だ。

8. レベルと安全を混同しない

SAEレベルは「誰が何をするか」を説明し、衝突確率、冗長度、認識精度を直接評価しない。安全評価は別に必要である。

機能安全とSOTIF

ISO 26262の機能安全は、センサー断線、CPU故障、ビット反転、アクチュエータ故障などE/Eシステムの故障から生じる危険を扱う。一方ISO 21448（SOTIF）は、部品が故障していなくても、濃霧で認識できない、学習データにない対象を誤分類するなど、意図した機能の性能限界から生じる危険を扱う。

両方に加えてサイバーセキュリティが必要だ。攻撃者が地図、GNSS、CAN、V2X、OTA更新を操作すれば、正常な部品が危険な指令を実行する。セキュアブート、署名更新、ネットワーク分離、鍵管理、侵入検知、インシデント対応を車両寿命全体で維持する。

冗長性は同じものを二つ置くだけではない

カメラ二台は同じ逆光で同時に見えなくなる可能性がある。多様化には、カメラ、LiDAR、レーダーの異なる物理原理、独立電源、異なる推定経路を使う。ただし異種センサーでも同じ時刻同期や地図を共有すれば共通原因故障が残る。

9. 安全評価を数に落とす

単純な走行距離だけでは、まれな危険事象を現実的な期間に観測できない。そこで実交通ログから重要シナリオを抽出し、パラメータを変えたシミュレーション、SIL/HIL、テストコース、公道を組み合わせる。

衝突の手前の連続指標としてTTC、Post-Encroachment Time、必要減速度を使う。相対距離d、相対速度\Delta v>0に対し、停止までに必要な一定減速度の概算は

a_{req}=\frac{(\Delta v)^2}{2d}

である。路面摩擦から利用可能な減速度a_{avail}を見積もり、a_{req}/a_{avail}の余裕を見る。数字一つでは、横方向回避、後続車、歩行者の挙動を表せないため、シナリオと併記する。

シナリオはFunctional→Logical→Concreteへ具体化する。たとえば「歩行者横断」を、速度範囲、遮蔽物、照度、路面、飛び出し時刻の論理範囲へ展開し、最後に具体値をサンプリングする。失敗に近い領域を探索するimportance samplingやfalsificationを使うと、均一ランダムより効率よく弱点を探せる。

指標には少なくとも次を含める。

10. 現行ADASを正しく比較する方法

車種表に「L2」「L3」とだけ書くと重要な差が消える。機能単位で次を並べる。

項目 確認内容
ODD 道路種別、地理範囲、速度、天候、昼夜、工事
運転者の役割 常時監視、前方注視、ハンズオン、介入要求への応答
制御範囲 車線維持、追従、車線変更、合流、信号、駐車
センサー カメラ、レーダー、LiDAR、超音波、地図、V2X
フォールバック 運転者、車線内停止、路肩退避、遠隔支援
更新 OTA対象、版管理、機能追加でODDが変わるか

ACCとレーンセンタリングを同時に使う高速道路支援は一般にレベル2で、運転者が監視する。限定条件でADSが全DDTを担い、介入要求を出す機能はレベル3になり得る。限定エリアの無人移動サービスはレベル4になり得る。名称ではなく、取扱説明書、認可条件、作動中の責任分担を確認する。

11. 面白い境界事例

自動駐車はレベル4になり得るか

駐車場という狭いODDで、人が周囲を監視せず、応答しなくてもシステムが安全停止できるなら、低速でもレベル4になり得る。速度や技術の派手さではなく役割分担で決まる例である。

AEBが強力でもレベル0なのはなぜか

AEBは衝突直前に強い制動を出せるが、通常走行を持続的に担当しない。瞬間介入の強さは自動運転レベルと別軸である。

レベル2でハンドルから手を離せるのに、なぜ運転者なのか

手の位置ではなく、誰が周辺を監視し、失敗を補うかで決まる。視線監視付きハンズオフL2もあり得るが、機能が認識できない対象を運転者が見つけ、操作する責任は残る。

12. 開発・評価チェックリスト

  1. 機能ごとにDDT、OEDR、フォールバックの担当を文章で決める。
  2. ODD条件を機械判定できる量へ変換し、センサーで観測できない条件を洗い出す。
  3. ODD境界へ近づく予告時間と、誤判定時の最小リスク操作を定義する。
  4. L2なら監督可能性とDMS、L3なら介入要求と人の状況復帰分布を試験する。
  5. 故障、性能限界、攻撃を別のハザードとして分析し、共通原因を探す。
  6. シミュレーション、HIL、閉鎖コース、公道の結果を同じシナリオIDで追跡する。
  7. OTA後に安全主張、ODD、取扱説明、学習モデル、地図版の整合を再確認する。

まとめ

SAEレベル0〜5は、クルマの賢さを一列に並べる階段ではない。作動中の機能について、横・縦制御、周辺監視、フォールバック、ODDを人とシステムのどちらが担うかを明確にする分類である。最大の境界はレベル2と3の間にあり、レベル2では人が運転し、レベル3ではADSが作動中のDDTを担う。

数字の大小より、ODDの狭さ、限界の検出、移行時間、最小リスク状態、検証証拠を読むべきだ。そうすれば「自動運転」という曖昧な宣伝語を、センサー・制御・人間・制度の具体的な責任へ分解できる。

参考資料

#SAE J3016 #自動運転レベル #ADAS #ODD #DDT #フォールバック #機能安全 #SOTIF