一言でいうと
事故が起きていないことは、安全が証明されたことにはならない。
何が起こりうるかを列挙し、それぞれに対策があると示し、その示し方を第三者が点検できる形にする。この一連の作業が安全の証明である。誰がそれを行うのかが問題になる。
何を解決するために生まれた考え方か
「これまで事故を起こしていません」という説明は、直感的には安心できる。だが統計としては弱い。走った距離が短ければ、事故が起きていないのは当然だからである。
この問題を数字で示した研究がある。2016年のRAND研究所の報告は、自動運転の信頼性を走行距離だけで示すのに何マイル必要かを試算した。
走行距離だけでは示せない
| 何を示したいか | 必要な走行距離 | 100台での換算 |
|---|---|---|
| 人間の死亡事故率と同等であることを、故障ゼロ・95%信頼度で示す | 2億7,500万マイル | 約12.5年 |
| 人間の死亡事故率を20%の精度で推定する | 88億マイル | 約400年 |
| 人間より20%改善したことを95%信頼水準・検出力80%で示す | 110億マイル | 約500年 |
| 報告された負傷事故が人間水準であることを示す | 390万マイル | 約2か月 |
この3つの数字は、別々の問いに対する答えである
「110億マイル」だけが引用されることが多いが、これは人間より20%改善したことを実証するという、最も厳しい問いに対する数字である。混同しないよう、必ず問いとセットで扱う必要がある。
また、この試算には前提がある。人間側の実績値を不確実性のない既知の値として扱うこと、車両群が同一条件で走ること、そしてソフトウェアの改変を考慮しないことである。
最後の前提は重要である。実際の自動運転システムは継続的に更新される。ある版で蓄積した走行距離は、次の版では原理的に無効になる。この点で、RANDの試算は楽観的すぎるという指摘もある。
では何を証明するのか
走行距離で示せないなら、別の方法が要る。現在の枠組みは、次の3つを組み合わせる。
1. 起こりうることを列挙する（ハザード分析）
どういう状況で、何が起きると、どういう危険につながるかを洗い出す。ここには2種類の危険がある。
| 危険の種類 | 例 | 扱う規格 |
|---|---|---|
| 壊れたときの危険 | センサが故障する。計算機が停止する。電源が落ちる | ISO 26262（機能安全）。現行は2018年版 |
| 壊れていないのに危ない | 認識の性能が足りない。想定していない状況に出会う | ISO 21448（SOTIF）。2022年版 |
この区別は実務上とても重要である。「機能安全に対応しています」という説明は、後者について何も言っていない。自動運転で問題になる多くは、故障していないのに起きる。
2. 対策があることを示す（安全論証）
列挙した危険それぞれに対して、なぜ対策が十分なのかを文書にする。この文書を安全論証（Safety case）と呼ぶ。
構造は3層である。最上位に主張があり、それを支える論証があり、論証を支える証拠がある。主張だけでも、証拠だけでも足りない。両者がつながっていることを第三者が辿れる形にする。
この考え方を規格にしたものが UL 4600 である。現行は2023年3月17日発行の第3版。技術中立で、特定のアルゴリズムを規定せず、何を主張しなぜそれが成り立つかを網羅的に問う形式を採る。
2026年6月に採択された国連の協定規則第185号も、この構造そのものを要求している。
3. 市場に出した後も見続ける（監視と報告）
設計時の想定は、実際の運行で外れる。だから運行を始めた後も性能を監視し、安全に関わる事象を調べ、当局に報告し、その結果を危険の洗い出しに戻す。国連の枠組みではこれをISMR（市場導入後監視）と呼ぶ。
安全を管理する組織の仕組みそのものをSMS（安全管理システム）と呼び、定期的な独立監査を含む。
誰が確認するのか
自己評価と第三者評価はまったく別のものである
安全論証は、開発した側が自分で書く文書である。だから構造上、自分の主張を支える証拠だけを集めやすい。この弱点は安全論証という手法そのものに内在している。
現在、第三者による評価は存在する。認証機関が特定企業の安全論証やプロセスを評価した例が公表されている。ただしその多くはベンダーが費用を払って依頼した評価であり、評価の範囲も基準もベンダーとの合意で決まる。報告書は原則として非公開である。
衝突安全のように、独立機関が自ら市販品を買い、公開された手順で試験し、結果を強制的に公表する仕組みは、2026年7月時点で自動運転には存在しない。Euro NCAP が評価しているのは、運転者が常に責任を持つレベル2の支援システムまでである。
「人間より安全」という主張の読み方
実運用データによる比較は行われている。ある事業者は無人運行5,670万マイルの分析で、負傷報告事故が79%少ないと報告している（95%信頼区間 71〜85%）。
ただしこの論文は、著者自身が限界を明記している。人間側との調整要因が無限にあること。多重比較の補正を行っていないこと。重傷以上の結果は自動運転側の観測が2件しかないこと。そして事故への寄与を評価していないため、因果的な解釈ができないことである。
この種の主張を受け取ったときは、次の4点をセットで確認する。どの事故種別か、どの地域か、人間側の数字をどう揃えたか、信頼区間はどれくらいか。地域によって結果は大きく変わりうる。
代理指標での立証は十分か
死亡事故で統計的な差を示すのが困難なら、より頻度の高い負傷事故で比べればよい、という考え方がある。これは実際に行われている。
一方で反論もある。負傷事故が減っても死亡事故が減るとは限らない。死亡事故は高速道路・高速度域・夜間・悪天候に偏っており、これらは現在のロボタクシーの走行範囲から多くが外れている。走る場所が人間と違う以上、比較には交絡が残る。
このサイトは、この論点について結論を書かない。決着していないと書く。
発注・検討するときの確認点
「安全論証の最上位の主張を一文で示してください。目次だけでも見せていただけますか」
- こう答えられたら安心してよい
- 目次が示され、主張・論証・証拠の階層になっている。証拠として具体的な試験結果が参照されている。
- これは危険信号
- 文書名だけが示され、目次が出てこない。中身が規格名の列挙で終わっている。
「機能安全とSOTIFの両方に対応していますか。それぞれの適用範囲を分けて説明してください」
- なぜこれを聞くのか
- ISO 26262 は壊れたときの安全、ISO 21448 は壊れていないのに危ない場合を扱う。別の規格であり、両方が必要である。
「第三者評価を受けている場合、費用は誰が負担し、評価範囲は誰が決めましたか。不適合と判断された項目はありましたか」
- なぜこれを聞くのか
- 依頼者が範囲を決めた評価と、独立機関が自ら行った評価では、意味が違う。
出典
一次情報を優先している。「区分」は、その資料が発行機関自身の公表物（一次）か、第三者による索引・複製（ミラー）か、解説（二次）かを示す。リンク切れに備え、発行者・文書名・日付を本文でも残している。
- RAND Corporation（Kalra, N. & Paddock, S. M.）／査読版は Transportation Research Part A 94:182–193Driving to Safety: How Many Miles of Driving Would It Take to Demonstrate Autonomous Vehicle Reliability?（RR-1478-RC。人間の死亡事故率と同等を故障ゼロ・95%信頼度で示すには2億7,500万マイル、20%改善の実証には110億マイル）https://www.rand.org/content/dam/rand/pubs/research_reports/RR1400/RR1478/RAND_RR1478.pdf
- 国際標準化機構（ISO）ISO 26262-1:2018 Road vehicles — Functional safety（第2版。第3版が改訂作業中）https://www.iso.org/standard/68383.html
- 国際標準化機構（ISO）ISO 21448:2022 Road vehicles — Safety of the intended functionality（SOTIF）https://www.iso.org/standard/77490.html
- UL Standards & EngagementANSI/UL 4600 Standard for Evaluation of Autonomous Products, Edition 3https://www.shopulstandards.com/ProductDetail.aspx?productId=UL4600_3_S_20230317
- 国際標準化機構（ISO）ISO/TS 5083:2025 Road vehicles — Safety for automated driving systemshttps://www.iso.org/standard/81920.html
- Safety-Critical Systems Club（SCSC）Assurance Case Working GroupGoal Structuring Notation Community Standard Version 3（SCSC-141C）。国際規格ではなくコミュニティ標準であるhttps://scsc.uk/r141C:1
- United Nations NewsNew global rules clear the road for driverless vehicles（WP.29 第199回会合での採択。支持した主要市場と主な要求を記載）https://news.un.org/en/story/2026/06/1167797
- Waymo（企業公式ホワイトペーパー）Waymo Safety Case Approach（ハザードをアーキテクチャ・挙動・運用の三層に分解し、ISO 26262／ISO 21448にマッピング）https://storage.googleapis.com/waymo-uploads/files/documents/safety/Waymo%20Safety%20Case%20Approach.pdf
- Kusano, K. D. ほか／Traffic Injury Prevention（査読誌）Comparison of Waymo Rider-Only Crash Rates by Crash Type to Human Benchmarks at 56.7 Million Miles（負傷報告事故79%減など。著者自身が多重比較補正の未実施、重傷以上の観測が2件のみ、事故への寄与を評価していないことを限界として明記）https://www.tandfonline.com/doi/full/10.1080/15389588.2025.2499887
- Euro NCAPAssisted Driving gradings（評価対象はACCとレーンセンタリングによるレベル2支援システムであり、運転者は常に責任を持ち関与し続ける必要があると明記）https://www.euroncap.com/en/ratings-rewards/assisted-driving-gradings/
- Koopman, P. & Wagner, M.／SAE World Congress（査読）Challenges in Autonomous Vehicle Testing and Validation（SAE 2016-01-0128）https://saemobilus.sae.org/articles/challenges-autonomous-vehicle-testing-validation-2016-01-0128
- 国際標準化機構（ISO）ISO/PAS 8800:2024 Road vehicles — Safety and artificial intelligence（車両内AI要素の出力の不十分性を扱う。PAS＝公開仕様書であり完全な国際規格ではない）https://www.iso.org/standard/83303.html
最終更新日：2026年7月30日。このページの記述は同日時点で確認したものである。