この記事は2018年2月に配信した有料メールマガジンを無料公開したものです。
2016年5月7日、アメリカ・フロリダ州で自動運転中のテスラ･モデルSに乗るドライバーが大型トレーラーと衝突し死亡した。この事故は、ドライバーがテスラの運転支援システム「オートパイロット」を作動させた状態での史上初の重大事故として注目を浴びた。
そして2017年9月17日に、アメリカ合衆国における輸送に関わる事故調査の原因究明、対策を研究し、将来の事故を防止する目的で勧告等を行なう独立国家機関の国家運輸安全委員会（National Transportation Safety Board：NTSB）が、このテスラ・モデルSの事故に関する公式の事故調査報告書を発表した。
事故の要因として、ドライバーが「オートパイロット」に過度に依存し、結果的に交通環境に注意していなかったことが挙げられ、NTSBは自動車メーカーに対し、運転支援機能の利用条件をドライバーに守らせる安全対策を求めている。
テスラが採用した「オートパイロット」とは
テスラ・モデルSは2014年秋からモービルアイ製（2017年10月からはインテル傘下）の高精度カメラとボッシュ製のミリ波レーダー、6個の超音波センサーを装備するようになり、他車両、走行車線、道路標識などが検知できるようになった。
そのためアダプティブクルーズコントロール、車線逸脱警報などの機能に加え、「オートパイロット」という機能も採用した。このオートパイロットは、50km/h以上で作動させると、前走車に追従走行するレベル2の運転支援システムとして機能する。つまり、前走車へ加減速しながらの追従走行、障害物に対する自動ブレーキ、車線を維持するための自動操舵、ドライバーがウインカーレバーを押すと自動レーンチェンジなどが行なわれる。
テスラはハンズフリーのドライブができるシステムとして「オートパイロット」という名称を採用したのだ。日本では2016年1月から、モデルSにこの「オートパイロット」のソフトウエアの提供を開始した。この自動運転ソフトウエアはベースになるカメラ、ミリ波レーダーを装着した既存モデルに常時接続通信を利用してダウンロードし、インストールをするという方式で導入している。
日本でのオートパイロットの搭載にあたり国交省の認可を得て、自動運転時にはステアリングから手を離した状態での運転も認められている。走行する道路も高速道路、自動車専用道路から幹線道路まで適合している。
オートパイロット・モードのスイッチを入れ、メーターパネルにステアリングのマークが表示されればシステム任せの手放し運転が可能で、他社のシステムでは10～20秒間手放し状態になると警告が表示される。そして、最終的にシステムはキャンセルされるが、テスラの場合は15分間ほど経過しないと警告は表示されずシステムの自動キャンセルもナシとなっていた。もちろん、ドライバーがブレーキを踏む、あるいはステアリングを操舵すれば機能はキャンセルされる。
またオートレーンチェンジ機能は、ACCが稼働している状態でウインカーを操作すると、主として超音波センサーで隣の車線の交通状況を確認し、自動操舵によりレーンチェンジが行なわれる。このオートレーンチェンジは、アメリカではステアリングにまったく触れずに自動で車線を変更することが許されているが、その他の国では、各国の規制に合わせてステアリングを軽く触っている必要があるとされていた。
言い換えると、アメリカではモデルSは「オートパイロット」、ハンズフリー・ドライブが可能だったのだ。そのため、モデルSのユーザーの多くは、手放しの自動運転を州間高速道路や幹線道路でその機能を享受した。
事故の状況
問題となる事故は、2016年5月7日の午後4時半頃にフロリダ州の幹線道路で発生した。幹線道路を左折（日本では右折に相当する）するセミ・トレーラー（日本では大型トレーラーに相当）に対して、直進してきたジョシュア・ブラウン氏が運転するテスラ・モデルSがトレーラーの荷台の右側面に衝突し、そのままトレーラーの床面を通過する形になったため、キャビン部分が圧壊しドライバーは死亡。またモデルSはそのまま走り続けて、道路外で停止した。
ちなみにテスラ・モデルSのボディサイズは全長4979mm、全幅1950mm、全高1435 mm
だが、トレーラーの荷台部分の地上高（クリアランス）は1037mmで、荷台のコンテナの地上から1433mmの部分にえぐれた傷跡が残されていた。
不幸なことに、モデルSのショルダー部はトレーラーの床下を抵抗なく潜り込み、ちょうどボンネットより上のキャビン部がコンテナに激突した形となった。そのため、キャビン部は完全に圧壊している。
この道路の制限速度は65マイル(104km/h)であったが、解析されたECUのイベントレコーダーによれば、モデルSはノーブレーキで、74マイル（119km/h）の車速で衝突している。ドライバーは、オートパイロットを作動させており、衝突の瞬間まで衝突警報システムは警報を出さず、自動緊急ブレーキも作動しなかったことが確認された。
衝突に至るまで、直進するモデルSと左折しようとするトレーラーの間には十分な距離があったが、オートパイロットはトレーラーを検知できなかった。またドライバーには過度な疲労や飲酒、薬物は判定できず、車両の機械的な故障などが発生したデータ、証拠はなかった。
そのため、もしドライバーがオートパイロットを作動していても、走行状態を正常にモニターしていれば、システムではトレーラーを検知できなくても自らブレーキを掛け、あるいはステアリングを操作して事故を回避できたと考えられる。
しかし、直接的な理由は不明だが、オートパイロットを作動させたドライバーは前方を見ていなかったため衝突を回避できなかったのだ。想像される理由としては居眠りやDVDを見ていたなどが上げられているが、事故報告書ではそれは特定されていない。
ドライバーがオートパイロットのシステムを過信して運転に注意を払っていなかったことが直接的な事故原因と結論された。
なおテスラの自動緊急ブレーキやオートパイロットのシステム、設計内容などは事故後に検証されている。レーダー＋カメラの統合システムで、オートパイロットの作動状態に関わらずスイッチONで機能する。ドライバーはこのスイッチのON/OFF をダッシュボード中央のディスプレイの支援システムの項目から操作できるようになっている。しかしこのスイッチがOFFでもクルーズコントロールがONとなっていれば、障害物に接近しすぎるようになるとドライバーに警報を出するようになっている。
レーダーとカメラによる自動ブレーキ回避システムは、カメラとレーダーの両方が障害物の認識をしなければ自動ブレーキとして作動しないようになっていた。テスラのカメラは、モービルアイの 「EyeQ3」とその画像認識ソフトであったが、このシステムが、トレーラーの荷台部分の光の反射により認識できなかった、あるいは物体形状を認識するのに時間がかかった結果、自動ブレーキが作動しなかったと考えられている。
事故報告書の結果
NTSBは、「高速道路でのオートパイロットは数万人の命を救うポテンシャルを持っているが、完全に実現するまでは人間が安全に運転しなくてはならない。今回の事故の原因は限られた状況で限られた機能を果たすように設計されたシステムであるにもかかわらず、運転以外のことに注意をそらす余地をドライバーに与え過ぎた」と表明した。
NTSBはテスラのオートパイロットのようなレベル2以上の運転支援システムで、ドライバーが周囲をモニターする義務を放棄する対策として様々な安全勧告を出した。ドライバーが運転に注意を払っているかどうかを把握するためには、ハンドルの動きを検知するだけでは不十分だとし、自動車メーカーに次のような安全対策を求めている。
ドライバーの状態を検知し警告するモニタリング機能（カメラで監視するなど）の開発と、自動運転機能が利用条件を満たした状況でのみ使用可能とするセーフガード機能の導入を求めている。
ドライバーがステアリングを操作しているかどうかを判定する操舵トルク検知システムは安価なドライバー状態推定技術だが、ドライバーが周囲を見なくてもステアリングを僅かにを動かせばシステムをだませてしまうため、よそ見をしていないかとか、眠っていないか？などドライバーをカメラでモニターする監視技術が求められているのだ。
テスラ社は、事故以後はステアリングからの手放しが一定時間を経過すると、オートパイロットのシステムがキャンセルされるように変更し、さらにその後はモービルアイのカメラに変えて、フロントの3カメラを含む360度をカバーする8個のカメラによるサラウンド・カメラシステムに変更。フロントカメラは中距離、長距離の2種類を採用し、前方の望遠距離は250mに達する。
また前方レーダーの性能もグレードアップし、雨や霧での性能が向上し、前走車の前を走行するクルマを検知することもできる。さらにクルマの全周に配置された12個の超音波センサーも、これまでの2倍の距離の物体を検知できるもの、とされている。こうしたセンサーからの情報は最新世代のNVIDIA製のGTUタイタン･スーパーコンピュータにより処理され、その能力は従来のコンピュータの40倍の演算能力を持ち、レベル4の自動運転モードもカバーできるとされている。なおテスラはこうした次世代システムを「オートパイロット ハードウエア2」と名付けている。
日本ではテスラの事故を受けて、国交省・自動車局は、「テスラ社製のオートパイロット機能を含め、現在実用化されている自動運転機能は、運転者が責任を持って安全運転を行なうことを前提とした運転支援技術であり、運転者に代わってクルマが責任を持って安全運転を行なう、完全な自動運転ではない。このため、運転者は、その機能の限界や注意点を正しく理解し、機能を過信せず、責任を持って安全運転を行なう必要がある」というコメントを発表している。
レベル3の高度運転支援システムでは、高速道路などではステアリングの手放し自動運転が可能になるが、その場合でもドライバーは常に運転状況を監視する義務がある。またもしドライバーがその義務を無視することがモニターシステムで検知されると、自動運転システムは自動的にキャンセルされるようになっている。つまり自動運転システムとドライバーモニタリングはセットになっているのだ。
一方で、ボルボ社はこうした組み合わせによるレベル3のシステム開発を飛ばして、ドライバーの注意義務のないレベル4の完全自動運転を目指すことを明言している。
手放し運転が可能な高度運転支援システムの技術は、一方で依然としてドライバーの運転に関わる注意義務が付随しており、そうしたシステムと人間との関わりを包括したシステムの概念の確立と、法的な整備がこれからの課題となっていることをこの事故報告書から読み取ることができる。
