GREEN TECHNOLOGY. BLUE
会社サイトへ戻る

冗長設計とフェイルオペレーショナル

「冗長化しています」は4つの別々の話である。どれが二重で、どれが二重でないかを分けて聞く。

一言でいうと

運転者がいない車では、何かが壊れたときに人が引き継ぐことができない。そこで壊れても機能が残る設計が要る。これを冗長設計という。

ただし「冗長化しています」という一言は、実際には4つの別々の話をまとめてしまっている。操舵、制動、電源、演算である。どれが二重でどれが二重でないかは、設計上まったく別の問いである。

何を解決するために生まれたか

人が運転する車にも、壊れたときの備えはある。ブレーキが片方の系統だけ効かなくなっても止まれるように、国連規則第13-H号は二次制動の性能を定めている。主制動装置が故障したとき、二次制動で妥当な距離内に停止できることを求める規定である。

ただしこの発想には前提がある。異常に気づいて対応する人が運転席にいるという前提である。効きが悪くなったブレーキを踏み増すのも、片流れするハンドルを持ち直すのも、人がやる。

運転者がいない車では、この前提が消える。壊れたことに気づく主体も、対応する主体も、機械の側に移る。「止まれる」だけでは足りず、「止まるまで走り続けられる」ことが要る場面が出てくる。高速道路の走行車線の真ん中でハンドルが利かなくなったとき、必要なのは即座の停止ではなく、路肩まで自力で移動してから止まることである。

この「壊れた後も一定時間は機能を続ける」という考え方が、フェイルオペレーショナルと呼ばれるものである。従来の「壊れたら安全側に止める」というフェイルセーフとは、目的が違う。

仕組み

操舵・制動・電源・演算の4つの仕事を横に並べ、それぞれに主系と予備系の枠を積み上げた構造図。予備系の枠は破線で描かれ、有無を確認する対象であることを示している操舵ハンドルを切る仕事主系予備系（有無を確認）制動止める仕事主系予備系（有無を確認）電源電気を供給する仕事主系予備系（有無を確認）演算考える仕事主系予備系（有無を確認）この4つそれぞれについて、予備系があるか、その予備系は何をどこまでできるかを個別に確認する。「システム全体を冗長化しています」という説明は、4つのどれの話なのかを示していない。
図：冗長化は4つの仕事それぞれについて別々に問う。まとめて「冗長です」と言える設計上の単位は存在しない。

冗長化の対象は、車が走るために必要な仕事の単位で分かれる。それぞれ独立に設計され、独立に壊れる。

表：冗長化の4つの対象と、それぞれで問われること。
対象主系が失われたとき何が要るか確認する内容
操舵車線内にとどまる、または路肩へ寄せるだけの操舵能力予備系で車線変更まで可能か、直進維持だけか
制動停止させるだけの制動力予備系の減速度、主系との独立性（油圧・電気・機械のどこが共通か）
電源操舵・制動・演算を動かし続ける電力予備電源の容量と持続時間、どの系統まで給電されるか
演算停止までの経路を決め、実行する計算能力予備計算機の機能範囲（本番と同等か、停止専用か）

冗長には「常に動いている」型と「必要になったら動く」型がある

2つの系を常に並行して動かし、食い違いが出たら検出する方式と、普段は待機していて主系の異常を検知してから起動する方式がある。後者はコールド冗長と呼ばれる。

この違いは切り替えにかかる時間に直結する。待機していた系を起動するには時間がかかり、その間は制御が途切れる。査読論文は、ISO 26262 が定義する emergency operation の定義と例がコールド冗長を前提としていると指摘している。

国連規則が求める「最小リスク操作」の中身

国連規則第157号（自動車線維持システム）は、故障したときに何をすべきかを具体的に書いている。この規則の対象は限定的だが、「壊れたとき何をするか」を規則の水準で書いた数少ない例として参照する価値がある。

同規則は2021年1月22日に発効した。原版の最高作動速度は60km/hだったが、改訂により乗用車等で130km/hまで拡大され、自動車線変更も認められた。この改訂の発効時期は「2023年1月」までしか確認できず、日付は特定できなかった。

できること／できないこと

できること

  • 主系が失われた後も、安全な場所まで移動してから停止する
  • 壊れたこと自体を検知して、あらかじめ決めた手順に移る
  • 物理的に独立した経路（別の電源、別の配線、別の計算機）を用意して、同時故障の確率を下げる
  • 国連規則第157号のように、停止までの減速度や表示を規則の水準で定める

できないこと

  • 共通の原因による同時故障を防ぐこと（共通の設計上の欠陥、共通のソフトウェア、共通の較正データ、共通の電源母線）
  • 「冗長がある」という事実だけで、その冗長が実際に働くことを示すこと
  • 予備系が主系と同じことをできると仮定すること（多くの予備系は停止専用である）
  • ISO 26262 に準拠していることをもって、フェイルオペレーショナルであると示すこと

トレードオフ

二重化すれば部品点数、重量、消費電力、価格がすべて増える。低速の小型車両では、冗長系を積む余地そのものが乏しい。

ISO 26262 は「fail-operational」を定義していない

提案書でしばしば「ISO 26262 に基づいて開発しているので冗長です」という説明が現れる。この2つは直接にはつながらない。

ISO 26262-1:2018 が定義する用語は safe state（安全状態）、emergency operation（緊急動作）、degradation（縮退） である。fail-operational という語は、この規格の用語として定義されていない。

ISO 26262 は開発の進め方を定めるプロセス規格であり、どこを二重化せよという設計要求を出す規格ではない。したがって「ISO 26262 準拠」は冗長構成の有無を何も述べていない。準拠の主張と冗長の主張は、別々に確認する必要がある。

フェイルセーフとフェイルオペレーショナルの違い

フェイルセーフは、壊れたら安全な側に倒す設計である。多くの場合は停止する。

フェイルオペレーショナルは、壊れた後も機能を続ける設計である。目的は「今すぐ止まること」ではなく「止まってよい場所まで行くこと」にある。

どちらが適切かはODDで決まる。低速で歩道に隣接する構内では、その場での停止が最も安全なことが多い。高速道路の本線上では、その場での停止が最も危険なことがある。「フェイルオペレーショナルです」と言われたら、それが必要なODDなのかを先に確かめる。

実際に使われている例

メーカーが自社で公表している構成を挙げる。ここに書くのは各社が自社の文書で明示的に述べている内容だけであり、記載がない項目は「ない」ことを意味しない。

Waymo

Zoox

最新の資料ほど技術の詳細が減ることがある

上記のZooxの記述は Safety Report Volume 2.0（2021年）に基づく。2024年の Volume 3.0 では、これらのハードウェア冗長の詳細は扱われていない。

資料が新しいほど詳しいとは限らない。過去に公開された技術資料が、その後の版で落ちることがある。ベンダーに資料を求めるときは、最新版だけでなく過去の版も含めて出してもらうとよい。

ステアバイワイヤ（機械的結合のない操舵）

ハンドルと車輪をつなぐ機械的な軸をなくし、電気信号で操舵する方式である。冗長設計が成立の前提になる。

確認できなかったこと

このページを書くにあたって調べたが、一次資料で確認できなかった事項である。推測では書かない方針のため、そのまま記す。

  • 国連規則の本文PDFは、UNECE公式サイトが継続的に403を返すため取得できなかった。規則の条文はEU官報（ミラー）と国連条約寄託者ページ（一次）に依拠している
  • 国連規則第157号の改訂の正確な発効日。UNECEの発表は「2023年1月」とのみ記す
  • 国連規則第13-H号 附属書3の二次制動の性能数値（減速度・踏力）。附属書本文を取得できなかった
  • 国連規則第79号 04系改訂そのものの発効日（補足第6版の2025年1月10日は確認済み）
  • ISO/TS 5083:2025 と ISO/PAS 8800:2024 がフェイルオペレーショナルや縮退運転をどう扱っているか。両規格ともスコープ本文にこれらの語は現れず、本文は非公開である
  • あるドイツのメーカーが公表しているとされる冗長構成の内容。ページの存在と掲載日は確認できたが本文を取得できず、内容を一切検証できていないため記載しない
  • 米国に操舵の機械的結合を義務づける現行のFMVSS規定があるか。該当規定は見つからなかったが、全条文を網羅していないため「存在しない」とは書けない

安全保証の観点

冗長設計は、安全論証の中では「主張を支える証拠」の位置にある。冗長系があること自体が結論ではなく、「この故障が起きてもこの被害には至らない」という主張を支える一要素にすぎない。

したがって確認すべきは、冗長系の有無ではなく次の3点である。

  1. どの故障を想定しているか。想定していない故障には冗長系は働かない
  2. その故障を検知できるか。検知できなければ切り替えは起きない。冗長系があっても使われない
  3. 切り替えが実際に働くことを、どう確かめたか。試験の回数と条件、実走行での作動記録

米国の規則は、冗長性を要求していない

米国では、運転者のいない車両に対して制動や操舵の冗長性を義務づける連邦規則は確認できなかった。

  • 2020年2月11日、NHTSAはNuroに一時免除を付与した。その官報告示に制動・操舵・電源・演算の冗長構成は記載されていない
  • 2022年3月30日公布の最終規則は、手動操作装置のない車両向けに乗員保護基準の用語を整理したが、制動・操舵の冗長性については定めていない
  • 2026年6月26日に公示されたFMVSS第135号（制動）のADS対応改正案にも、制動ペダルのない車両に冗長制動を義務づける提案は含まれていない
  • 2026年7月30日、NHTSAはZooxに年2,500台・2年間の商用配備を認めたと発表し、あわせて免除手続の簡素化を示した

つまり冗長構成は現時点でメーカーの自主的な設計判断であり、規制上の要求ではない。「規則を満たしています」は「冗長です」を意味しない。発注する側が契約で求めなければ、確認されないままになりうる。

発注・検討するときの確認点

  1. 「冗長化しているのは、操舵・制動・電源・演算のうちどれですか。冗長化していないものを挙げてください」

    なぜこれを聞くのか
    4つすべてを名指しで答えられるのが正常である。「システム全体を冗長化しています」「二重系です」としか答えないことがある。どこが冗長でないかを言えない場合、実態を把握していないか、示したくないかのどちらかである。国連規則第157号も故障検知時の動作を求めており、どの故障を検知できるかは設計上必ず定義されているはずの事項である。

  2. 「走行中に主計算機または主操舵が完全に停止したとき、車両はどこにどうやって止まりますか。停止までの秒数と減速度を教えてください」

    なぜこれを聞くのか
    「安全に停止します」だけの回答では判断できない。国連規則第157号は最小リスク操作中の減速要求を原則4.0m/s²以下とし、ハザード点灯と停止までを規定している。数値と時間が出てこない場合、または「路肩に寄せます」と言うのに予備系で車線変更ができるかを説明できない場合は、設計が詰まっていない可能性がある。

  3. 「その冗長系が実際に作動した記録を提出できますか。試験での作動回数と結果、実走行での作動記録の両方です」

    なぜこれを聞くのか
    冗長構成を公表している事業者でも、作動実績のデータは公表していない。「試験済みです」で終わらせず、試験報告書と第三者検証の有無を確認する。提出できない場合、その冗長系は「積んであるが検証されていない」可能性がある。

  4. 「ISO 26262 準拠とのことですが、それはプロセスの話ですか、冗長構成の話ですか。冗長構成の根拠は別に示してください」

    なぜこれを聞くのか
    ISO 26262 は fail-operational という語を用語として定義していない。定義しているのは safe state・emergency operation・degradation である。「ISO 26262 準拠だから冗長」という説明は論理的につながらない。この指摘に対して構成図や設計文書で答えられるかどうかで、相手の理解の深さが分かる。

混同されやすい用語

表：このページで扱った語と、混同されやすい語。詳しい定義は用語集にある。
この語別のこの語違い
フェイルセーフフェイルオペレーショナル前者は壊れたら安全側に止める設計。後者は壊れた後も一定時間機能を続ける設計。必要なほうはODDで決まる
冗長（redundancy）多様性（diversity）同じものを2つ持つのが冗長。あえて違う原理・違う実装のものを持つのが多様性。共通原因の故障に効くのは後者である
ISO 26262 準拠冗長構成がある前者は開発プロセスの規格に沿ったという主張。後者は設計の構成の話。前者は後者を意味しない
二次制動冗長制動前者は国連規則第13-H号が定める、主制動故障時に妥当な距離で止まる能力。後者は用語として規則上の定義がなく、各社の使い方が異なる
安全状態（safe state）最小リスク状態前者はISO 26262の用語で、危険がないと判断される系の状態。後者は自動運転の文脈で、車両が最終的に落ち着く物理的な状態を指す

出典

一次情報を優先している。「区分」は、その資料が発行機関自身の公表物（一次）か、第三者による索引・複製（ミラー）か、解説（二次）かを示す。リンク切れに備え、発行者・文書名・日付を本文でも残している。

  1. 国連欧州経済委員会（UNECE）／EU官報 [2025/3]UN Regulation No 79 — Uniform provisions concerning the approval of vehicles with regard to steering equipment（04系改訂・補足第6版。ハンドルと車輪の間に機械的結合のない操舵系を認め、機械式以外の伝達装置の故障を運転者に警告することを求める）発効 2025年1月10日／区分：ミラー／参照日 2026年7月30日https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:42025X0003
  2. 国際連合事務局（条約寄託者）Status of UN Regulation No. 79（多数国間条約寄託者一覧 XI-B-16-79）原規則の発効 1988年12月1日／区分：一次／参照日 2026年7月30日https://treaties.un.org/doc/Publication/MTDSG/Volume%20I/Chapter%20XI/XI-B-16-79.en.pdf
  3. 国際連合事務局（条約寄託者）Status of UN Regulation No. 157（多数国間条約寄託者一覧 XI-B-16-157）発効 2021年1月22日／区分：一次／参照日 2026年7月30日https://treaties.un.org/doc/Publication/MTDSG/Volume%20I/Chapter%20XI/XI-B-16-157.en.pdf
  4. 国連欧州経済委員会（UNECE）／EU官報 [2021/389]UN Regulation No 157（ALKS）5.4.2.3・5.4.4.1.1・5.5.1・5.5.2・5.5.4：故障検知時は直ちに移行要求を出し、重大な故障では最小リスク操作を即時開始してよい。減速要求は原則4.0m/s²以下、ハザードを点灯し、車両を停止させ、手動入力なしに再発進してはならない発効 2021年1月22日／区分：ミラー／参照日 2026年7月30日https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:42021X0389
  5. 国連欧州経済委員会（UNECE）UN Regulation extends automated driving up to 130 km/h in certain conditions（原版の上限60km/hを130km/hに拡大し、自動車線変更を認める改訂。発効時期は「2023年1月」とのみ記載され、日付は特定できない）発効時期 2023年1月（日付は確認できない）／区分：一次／参照日 2026年7月30日https://unece.org/sustainable-development/press/un-regulation-extends-automated-driving-130-kmh-certain-conditions
  6. 国連欧州経済委員会（UNECE）／EU官報 [2023/401]UN Regulation No 13-H — 乗用車の制動装置（5.1.2.2：主制動装置の故障時に二次制動で妥当な距離内に停止できること。5.2.2.6：一部が故障しても健全な部分が二次制動相当の性能で停止させること）官報掲載 2023年（発効日は確認できない）／区分：ミラー／参照日 2026年7月30日https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:42023X0401
  7. 国際標準化機構（ISO）ISO 26262-1:2018 Road vehicles — Functional safety — Part 1: Vocabulary（第2版・33頁。safe state／emergency operation／degradation を定義する。2024年7月8日に改訂対象と決定）発行 2018年12月／区分：一次／参照日 2026年7月30日https://www.iso.org/standard/68383.html
  8. Kilian ほか／IEEE Access, vol.10, pp.47557–47569（査読誌）Emergency Operation in the Power Supply Domain According to ISO 26262（ISO 26262 が定義するのは safe state・emergency operation・degradation であり、その定義と例はコールド冗長を前提としていると指摘）2022年／DOI 10.1109/ACCESS.2022.3170903／区分：二次／参照日 2026年7月30日https://doaj.org/article/5bff2130904941259b4f027322f343cb
  9. 国際標準化機構（ISO）ISO/TS 5083:2025 Road vehicles — Safety for automated driving systems2025年（月日は確認できていない）／区分：一次／参照日 2026年7月30日https://www.iso.org/standard/81920.html
  10. 国際標準化機構（ISO）ISO/PAS 8800:2024 Road vehicles — Safety and artificial intelligence（車両内AI要素の出力の不十分性を扱う。PAS＝公開仕様書であり完全な国際規格ではない）2024年12月13日／区分：一次／参照日 2026年7月30日https://www.iso.org/standard/83303.html
  11. 米国運輸省道路交通安全局（NHTSA）／連邦官報Nuro, Inc.; Grant of Temporary Exemption for a Low-Speed Vehicle With an Automated Driving System（Docket NHTSA-2019-0017。免除対象条項は記載されるが、制動・操舵・電源・演算の冗長構成は記載されていない）官報掲載・決定 2020年2月11日／区分：一次／参照日 2026年7月30日https://www.federalregister.gov/documents/2020/02/11/2020-02668/nuro-inc-grant-of-temporary-exemption-for-a-low-speed-vehicle-with-an-automated-driving-system
  12. 米国運輸省道路交通安全局（NHTSA）／連邦官報Occupant Protection for Vehicles With Automated Driving Systems（最終規則 RIN 2127-AM06。手動操作装置のない車両向けに乗員保護基準の用語を整理したが、制動・操舵の冗長性については定めていない）公布 2022年3月30日／施行 2022年9月26日／区分：一次／参照日 2026年7月30日https://www.federalregister.gov/documents/2022/03/30/2022-05426/occupant-protection-for-vehicles-with-automated-driving-systems
  13. 米国運輸省道路交通安全局（NHTSA）／連邦官報Federal Motor Vehicle Safety Standards; Modernization of FMVSS No. 135 To Accommodate ADS-Equipped Vehicles（NPRM, RIN 2127-AN00。制動ペダルのない車両に冗長制動を義務づける提案は含まれていない）官報掲載 2026年6月26日／意見期限 2026年7月27日／区分：一次／参照日 2026年7月30日https://www.federalregister.gov/documents/2026/06/26/2026-12981/federal-motor-vehicle-safety-standards-modernization-of-fmvss-no-135-to-accommodate-ads-equipped
  14. 米国運輸省道路交通安全局（NHTSA）Cutting Red Tape to Safely Fast-Track Automated Vehicle Innovation（Zoox に年2,500台・2年間の商用配備を認めたと発表。AVEP と Part 555 免除手続を簡素化し、AVEP を国内車両にも拡大）発表 2026年7月30日／区分：一次／参照日 2026年7月30日https://www.nhtsa.gov/press-releases/cutting-red-tape-safely-fast-track-automated-vehicle
  15. Waymo LLC（arXiv:2011.00054 に掲載）Waymo's Safety Methodologies and Safety Readiness Determinations（冗長な制動・操舵アクチュエータの搭載を要件に定め、主計算機の故障時に安全停止させる別系統の計算機と冗長電源系を採用したと記載）公開 2020年10月／区分：一次／参照日 2026年7月30日https://arxiv.org/pdf/2011.00054
  16. Waymo LLC（企業公式）Self-Driving Car Technology for a Reliable Ride（「完全な二次制動系」「独立コントローラと別電源を持つ冗長駆動モータ系」「重要システムごとの独立電源」を掲げる）日付表示なし／参照日 2026年7月30日／区分：一次／参照日 2026年7月30日https://waymo.com/waymo-driver/
  17. Waymo LLC（企業公式）Building in layers of safety in a self-driving car（主計算機が停止した稀な場合に備えた予備計算機を搭載し、その役割は安全な路肩停車や停止に限られると記載）公開 2016年12月13日／区分：一次／参照日 2026年7月30日https://waymo.com/blog/2016/12/building-in-layers-of-safety-in-self/
  18. Zoox, Inc.（企業公式）Zoox Safety Report Volume 2.0（制動系を2つの独立ECUで制御し電動パーキングブレーキを第3の冗長とする、前後輪操舵で片端故障時も走行継続、高電圧バッテリー2系統、Executive Motion Unit と Backup Motion Unit による冗長演算を記載）2021年（月日は確認できない）／区分：一次／参照日 2026年7月30日https://www.datocms-assets.com/106048/1696536139-zoox_safety_report_volume2_2021_v2.pdf
  19. Zoox, Inc.（企業公式）Zoox Safety Report Volume 3.0 — Operational Safety（Volume 2.0 にあったハードウェア冗長の詳細は扱われていない）2024年／区分：一次／参照日 2026年7月30日https://zoox.com/common/files/zoox-safety-report-volume-3-0-published-2024.pdf
  20. Robert Bosch GmbH（企業公式）Steer-by-wire（製品ページ。ハンドルと操舵ラックの機械的結合を完全に廃すと記載。公表される冗長性の記述は「冗長なデータ・電源供給」のみ）日付表示なし／参照日 2026年7月30日／区分：一次／参照日 2026年7月30日https://www.bosch-mobility.com/en/solutions/steering/steer-by-wire/
  21. ZF Friedrichshafen AG（企業公式）Start of series production for Steer-by-Wire steering at Chinese car manufacturer NIO（NIO ET9 向けに「冗長化された操舵ギヤアクチュエータ」を供給すると記載）発表 2025年2月17日／区分：一次／参照日 2026年7月30日https://press.zf.com/press/en/releases/release_81601.html
  22. 国家市場監督管理総局・国家標準化管理委員会（帰口：工業和信息化部）GB 17675-2025《汽车转向系 基本要求》（自動車操舵系 基本要求）発布 2025年12月2日／実施 2026年7月1日／区分：一次／参照日 2026年7月30日https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=31A8C8FEC38342D2FE8F3F2ECEDFB53F
  23. 中国工業和信息化部（起草：上海汽車集団ほか）強制性国家標準《汽车转向系 基本要求》（意見募集稿）編制説明（4.3.3.3：動力源／給電故障後も10km/h・半径20mで8の字を24回できること。4.3.3.6：故障後は10km/h以下への減速または停止という安全状態に入ること）作成 2025年7月／区分：一次／参照日 2026年7月30日https://wap.miit.gov.cn/cms_files/filemanager/1226211233/attach/20257/d5b77015e339488fac545b592b928bcb.pdf
  24. 国際標準化機構（ISO）ISO 26262-1:2018 Road vehicles — Functional safety（第2版。第3版が改訂作業中）2018年12月17日／区分：一次／参照日 2026年7月30日https://www.iso.org/standard/68383.html

最終更新日：2026年7月30日。このページの記述は同日時点で確認したものである。

関連するページ