自動運転システムのための意図した機能の安全性（SOTIF）

自動運転のトラブルは機器故障だけでなく悪天候や未知の道路状況によって引き起こされます。SDVSafety は ISO 21448 SOTIF と最小リスク操舵を解説します。

知覚の不確実性とセンサー性能限界の克服

ISO 26262 が内部障害を扱うのに対し、ISO 21448 は環境や機能自体の限界によるハザードを対象とします。未知の空間での動的リスク評価が不可欠です。

Core Engineering Areas

• ISO 21448 SOTIF：意図した機能の安全性工学の実践 — ISO 26262 は「ハードウェアや回路が壊れなければ安全」という前提に立ちます。しかし、夕日の逆光でカメラが白飛びしたり、濡れたガードレールの反射波でミリ波レーダーが誤検知した場合、ハードウェア故障がゼロであっても車は危険な誤判断を下します。ISO 21448（SOTIF）は、このような「性能限界による未知かつ危険な領域（Unknown-Unsafe）」を体系的に最小化するための規格です。
• 運行設計領域（ODD）の動的境界制御と最小リスク機動（MRM）の実装 — いかなる自動運転システムも、あらゆる天候と道路環境で完璧に走れるわけではありません。運行設計領域（ODD）は、認可された降雨量限界、速度域、高精度マップ対応区間などの境界条件を厳密に定義します。吹雪や道路工事で ODD の境界を逸脱した場合、システムは直ちに最小リスク機動（MRM）を発動し、路肩への安全停止を自律実行します。
• ニューラルネットワーク安全モニター：実行時における分布外（OOD）異常検知の実現 — 自動運転の認識に使われるディープニューラルネットワークはブラックボックスであり、全く未学習の危険な物体に対しても「99% の確率で安全」と過信した誤出力を下すリスクがあります。OOD（分布外）安全モニターは、中間特徴量空間におけるマハラノビス距離やエネルギースコアを常時算出し、学習データと乖離した未知の視覚入力をミリ秒単位で検知して安全装置を作動させます。

Technical Articles

• SOTIF 対機能安全：なぜ自動運転において ISO 26262 だけでは不十分なのか
• レベル 3 自動運転における最小リスク機動（MRM）：高速道路での安全路肩退避の実践
• 車載 Vision Transformer のための実行時分布外（OOD）異常検知アーキテクチャ

Related Cluster Architecture Specifications

• AutomotiveSDV — Full SDV Stack & Reference Architecture
• A2HCard — Agent-to-Human (A2H) Interface Cards & In-Cabin Autonomous Interaction Manifests
• A2HumanCard — Standardized In-Vehicle AI Agent Capability Discovery, Trust & Authorization Cards
• AIDrivenSynBio — AI-Driven Synthetic Biology for Automotive In-Cabin Air Purification, Bio-Engineered Pathogen Scavengers & Molecular Biosensors