一言でいうと
「この車は安全である」という主張を、根拠と証拠の連なりとして文書にしたものである。
主張だけでは足りず、証拠だけでも足りない。両者がつながっていることを第三者が辿れる形にする必要がある。国連の新しい規則でも求められている。
何を解決するために生まれたか
安全の示し方には2つの流儀がある。ひとつは、試験項目を規定して合格すれば安全とみなす方式である。もうひとつが、「なぜ安全と言えるのか」を論証として文書化させる方式である。
自動運転で後者が採られたのには理由がある。技術が急速に変わる領域では、固定的な試験項目を規定するとすぐ陳腐化する。加えて、走行距離だけでは安全を統計的に示せないという問題がある。
そこで「何を根拠に安全だと言っているのか」を可視化させる形式が選ばれた。
仕組み
構造は3層である。最上位に主張（claim）があり、それを支える論証（argument）があり、論証を支える証拠（evidence）がある。
この考え方を規格にしたものが UL 4600 である。版と発行日は次のとおりである。
| 版 | 発行日 |
|---|---|
| 第1版 | 2020年4月1日 |
| 第2版 | 2022年3月15日 |
| 第3版（現行） | 2023年3月17日 |
この規格は技術中立で、特定のアーキテクチャやアルゴリズムを規定しない。かわりに多数の論点チェックリストを提供し、何を主張しなぜそれが成り立つかを網羅的に問う。
論証の記法としては GSN（Goal Structuring Notation） が広く使われている。現行はコミュニティ標準の第3版（文書番号 SCSC-141C、2021年）である。ISO/IEC等の国際規格ではなく、コミュニティ標準である点は重要である。
できること／できないこと
できること
- 安全の主張と、その根拠と証拠の関係を可視化する
- 新しい技術にも適用できる（技術中立であるため）
- 第三者が論証の内部整合性を点検できる形にする
- 規制当局・保険・事故調査に対して、根拠を示して応答する
できないこと
- 論証の前提が現実と合っているかを、論証自身で検査すること
- 「十分な論証」の閾値を規格から読み取ること（規格に書かれていない）
- 確証バイアスを構造的に防ぐこと
- 記法を統一すること（GSNは国際規格ではない）
トレードオフ
安全論証は確証バイアスに弱い
安全論証は、開発した側が自分で書く文書である。だから構造上、自らの主張を支える証拠だけを集める形になりやすい。
加えて「十分な論証」の閾値が規格に書かれていない。査読も監査も、論証の内部整合性は検査できるが、論証の前提が現実と合っているかは検査しにくい。
この批判は、安全論証という手法そのものに内在するものであり、研究の分野でも古くから議論されている。
実際に使われている例
2026年6月に採択された国連の枠組みは、この構造を規制として直接要求している。要求の柱は次のとおりである。
| 項目 | 内容 |
|---|---|
| 安全論証 | 主張・論証・証拠の構造化された集合により、不合理なリスクがないことを示す |
| 安全管理システム（SMS） | 開発・生産・配備・配備後の全ライフサイクルを対象とする安全管理体制。定期的な独立監査を含む |
| 市場導入後監視（ISMR） | 使用過程での性能監視、安全に関わる事象の調査、当局への報告、知見のハザード同定へのフィードバック |
| 試験の信頼性 | シミュレーション・テストコース・実路試験の組み合わせで、その妥当性を示す |
| ODD宣言とデータ記録 | 運行設計領域の明確化と、自動運転用のデータ記録装置 |
| 性能水準 | 注意深く有能な人間の運転者と同等以上 |
企業側の実例も公表されている。ハザードを「アーキテクチャ上のもの」「挙動上のもの」「運用上のもの」の三層に分解する枠組みである。そのうえで ISO 26262 と ISO 21448 にマッピングし、受け入れ基準を定義する。証拠として次を併用する構成になっている。シミュレーション、再構成したシナリオ、10年超の実路運用データ、そして人工のドライバーモデルを用いた回避シナリオ試験である。
シミュレーション単独での論証は提示されていない点は注目に値する。
安全保証の観点
関連する規格の位置づけを整理する。
| 規格 | 扱う範囲 | 状況 |
|---|---|---|
| ISO 26262 | 電気電子系の故障による危険（機能安全） | 2018年の第2版が現行。第3版が改訂作業中 |
| ISO 21448（SOTIF） | 故障していないのに生じる危険（性能限界、想定外の状況） | 2022年版が現行 |
| ISO/TS 5083 | レベル3・4を対象に、設計・検証・妥当性確認・市場投入後の活動 | 2025年発行。技術仕様書。前身は ISO/TR 4804:2020 |
| UL 4600 | 自律製品の安全評価。安全論証ベース | 第3版（2023年3月17日）が現行 |
| ISO/PAS 8800 | 車両内AI要素の出力の不十分性、系統的誤り、ハードウェア故障 | 2024年12月13日発行。PASであり完全な国際規格ではない |
ISO/TS 5083 は、ISO 26262 と ISO 21448 を置き換えるものではない。その上に積み上げる形で、自動運転に固有のガイダンスを追加するものと説明されている。
発注・検討するときの確認点
「安全論証の最上位の主張を一文で示してください。その主張を支える論証は何本あり、それぞれどの証拠に紐づいていますか。目次だけでも開示できますか」
- なぜこれを聞くのか
- 目次の構造を見れば、論証として組まれているのか、規格名の列挙で終わっているのかが分かる。
「UL 4600 への適合をどう扱っていますか。自己宣言ですか、第三者による評価を受けていますか。評価機関名と評価範囲を示してください」
- なぜこれを聞くのか
- 自己宣言と第三者評価は別物である。範囲が全体か一部かも確認する。
「国連の枠組みが要求する安全管理システムと市場導入後監視について、体制のどの部分が整っており、どこが未整備ですか。安全に関わる事象を検知してから当局へ報告するまでの手順と所要時間を説明してください」
- なぜこれを聞くのか
- 2026年6月に採択された枠組みは、これらを要求項目に含めている。
混同されやすい用語
| この語 | 別のこの語 | 違い |
|---|---|---|
| 安全論証 | 安全報告書 | 前者は主張・論証・証拠の構造を持つ。後者は試験結果の集約であることが多い |
| SMS（安全管理システム） | 安全論証 | 前者は組織の仕組み、後者は特定の製品についての論証。国連の枠組みは両方を求める |
| 第三者評価 | 自己宣言 | 前者は外部機関が評価する。ただし多くは依頼者が費用を負担し範囲も合意で決まる |
出典
一次情報を優先している。「区分」は、その資料が発行機関自身の公表物（一次）か、第三者による索引・複製（ミラー）か、解説（二次）かを示す。リンク切れに備え、発行者・文書名・日付を本文でも残している。
- UL Standards & EngagementANSI/UL 4600 Standard for Evaluation of Autonomous Products, Edition 3https://www.shopulstandards.com/ProductDetail.aspx?productId=UL4600_3_S_20230317
- Safety-Critical Systems Club（SCSC）Assurance Case Working GroupGoal Structuring Notation Community Standard Version 3（SCSC-141C）。国際規格ではなくコミュニティ標準であるhttps://scsc.uk/r141C:1
- 国際標準化機構（ISO）ISO/TS 5083:2025 Road vehicles — Safety for automated driving systemshttps://www.iso.org/standard/81920.html
- 国際標準化機構（ISO）ISO 26262-1:2018 Road vehicles — Functional safety（第2版。第3版が改訂作業中）https://www.iso.org/standard/68383.html
- 国際標準化機構（ISO）ISO 21448:2022 Road vehicles — Safety of the intended functionality（SOTIF）https://www.iso.org/standard/77490.html
- 国際標準化機構（ISO）ISO/PAS 8800:2024 Road vehicles — Safety and artificial intelligence（車両内AI要素の出力の不十分性を扱う。PAS＝公開仕様書であり完全な国際規格ではない）https://www.iso.org/standard/83303.html
- United Nations NewsNew global rules clear the road for driverless vehicles（WP.29 第199回会合での採択。支持した主要市場と主な要求を記載）https://news.un.org/en/story/2026/06/1167797
- GlobalAutoRegs（UNECE文書の索引サービス）ECE/TRANS/WP.29/2026/137「Automated Driving Systems: Proposal for a new UN Regulation」（協定規則第185号の提案文書。対象 M1–M3・N1–N3・L6・L7）https://globalautoregs.com/documents/42313
- Waymo（企業公式ホワイトペーパー）Waymo Safety Case Approach（ハザードをアーキテクチャ・挙動・運用の三層に分解し、ISO 26262／ISO 21448にマッピング）https://storage.googleapis.com/waymo-uploads/files/documents/safety/Waymo%20Safety%20Case%20Approach.pdf
- RAND Corporation（Kalra, N. & Paddock, S. M.）／査読版は Transportation Research Part A 94:182–193Driving to Safety: How Many Miles of Driving Would It Take to Demonstrate Autonomous Vehicle Reliability?（RR-1478-RC。人間の死亡事故率と同等を故障ゼロ・95%信頼度で示すには2億7,500万マイル、20%改善の実証には110億マイル）https://www.rand.org/content/dam/rand/pubs/research_reports/RR1400/RR1478/RAND_RR1478.pdf
- UNECE（国連欧州経済委員会）New Assessment/Test Method for Automated Driving (NATM) Master Document, WP.29-187-08e（ECE/TRANS/WP.29/2022/58）。仮想試験ツールチェーンの精度を実世界との比較で評価すべきと規定し、妥当性確認に用いたシナリオを超える外挿の根拠づけを要求https://unece.org/sites/default/files/2022-05/WP.29-187-08e.pdf
- Euro NCAPAssisted Driving gradings（評価対象はACCとレーンセンタリングによるレベル2支援システムであり、運転者は常に責任を持ち関与し続ける必要があると明記）https://www.euroncap.com/en/ratings-rewards/assisted-driving-gradings/
最終更新日：2026年7月30日。このページの記述は同日時点で確認したものである。