Part 1 · 確率・統計

1.8 稀な事象の統計

事故ゼロで、何km走れば十分か

読了目安 8分前提：1.3 確率分布（ポアソン分布）▶ 動画（約5分）

この回で分かること

「事故ゼロ」が示すこと・示さないこと を説明できる
3の法則 で、必要な無事故走行距離をすぐに見積もれる
走行試験だけで安全性を示すのが難しい理由と、SOTIFでの対策の方向を説明できる

直感で理解する

ある自動運転車が、テストコースと公道で合計10万km走り、事故は一度も起きませんでした。「この車の事故率はゼロ」と言ってよいでしょうか。

答えは「言えない」です。仮にこの車の本当の実力が「10万kmに1回」事故を起こす程度だったとしても、10万km走って たまたま事故ゼロで終わる確率は約37% もあります。3回に1回以上は「事故ゼロ」になってしまうのです。

では、どこまで走れば「少なくとも10万kmに1回よりは安全」と言えるでしょうか。走る距離を伸ばすほど、「実力は10万kmに1回なのに、それでも事故ゼロ」という偶然は起きにくくなります。

本当の事故率が目標ちょうどの車でも、目標距離の1倍を走っただけでは37%の確率で事故ゼロに終わる。3倍走ると、その確率は5%まで下がる。

目標距離の3倍を走っても事故ゼロなら、「もし実力が目標ぎりぎり（またはそれより悪い）なら、こんな結果は5%以下の確率でしか起きない」と言えます。これが、信頼度95% で「目標より安全」と主張するための条件です。

3の法則（rule of three）
目標が「X km に1件以下」なら、無事故で 3X km 走れば、信頼度95%でその目標を満たしていると言える。

数式で確かめる

事故のように「一定の割合で、互いに無関係にランダムに起きる事象」の回数は、ポアソン分布 で表せます（1.3）。1kmあたりの事故率を $\lambda$（ラムダ）、走行距離を $d$、事故の件数を $N$ とすると、事故件数の平均は $\lambda d$ で、事故が0件で終わる確率は次の式になります。

$$P(N = 0) = e^{-\lambda d}$$

$e \approx 2.718$ はネイピア数と呼ばれる定数です。ここでは $e^{-1} \approx 0.37$ と $e^{-3} \approx 0.05$ の2つだけ覚えておけば十分です（グラフの37%と5%）。

本当の事故率が目標値 $\lambda_0$ だったと仮定して、「それでも事故ゼロになる確率」が5%以下になる距離を求めます。

$$e^{-\lambda_0 d} \le 0.05 \quad\Longrightarrow\quad d \ge \frac{-\ln 0.05}{\lambda_0} \approx \frac{3.0}{\lambda_0}$$

$1/\lambda_0$ は「1件あたりの距離」X のことなので、$d \approx 3X$。これが3の法則の正体です。信頼度を変えると係数が変わり、90%なら約2.3、99%なら約4.6になります。

目標（1件あたりの距離）	必要な無事故走行距離（信頼度95%）
10万kmに1件	約30万km
100万kmに1件	約300万km
1億kmに1件	約3億km
米国の死亡事故率 1億マイルに1.09件 ≈ 約1.5億kmに1件	約4.4億km （約2.75億マイル・地球約1万1千周）

計算してみよう

発展：途中で事故が起きたら？

走行中に事故が起きた場合も、目標を満たしていると言える可能性はあります。ただし必要な距離は増え、係数「3」が次のように大きくなります（信頼度95%）。

観測された事故件数 k	0件	1件	2件	3件
必要距離（目標距離 X の何倍か）	3.0	4.7	6.3	7.8

一般には カイ二乗分布 を使った次の式で求めます。k = 0 のとき $\chi^2_{0.95}(2)/2 \approx 3.0$ となり、3の法則と一致します。

$$d \ge \frac{\chi^2_{0.95}(2k+2)}{2\lambda_0}$$

SOTIFの規格 ISO 21448 でも、同様の統計的な考え方で、妥当性確認に必要な走行距離（時間）を見積もる例が示されています。詳しくは 5.5 で扱います。

発展：事前の根拠を走行実績で更新する

3の法則は「走る前は何も知らない」という立場の計算です。1.2 のベイズの定理を使うと、走る前にもっている根拠（分析やシミュレーション、前のシステムの実績）を事前の見込みとして入れ、走行実績で更新できます。いちばん簡単な形は、事前の根拠を「$d_0$ km 走って事故 1 件と同じ重さ」と表す方法です。このとき、無事故で $d$ km 走ったあとの事故率の上限（信頼度95%）は次のようになります。

$$\lambda \le \frac{3}{d_0 + d}$$

$d_0 = 0$（根拠なし）なら、3の法則そのものです。目標が「1 億 km に 1 件以下」なら、3の法則では 3 億 km の無事故走行が必要ですが、事前の根拠が「2 億 km 走って 1 件」に相当すると言えるなら、実走行は 1 億 km で足ります。途中で事故が起きたときは、上の表と同じように係数が 4.7、6.3 … と増えます。

大事なのは、$d_0$ を大きく見積もれば、必要な距離はいくらでも減らせてしまうことです。事前の根拠が本当に「何 km 相当」なのかを、第三者に説明できる形で示す必要があります（→ 5.10）。シミュレーションの結果をどこまで実走行の代わりにできるか（5.7）、ソフトウェアの更新で前の実績がどこまで引き継げるか（下の「接点」）も、この $d_0$ の見積もりの問題です。

まとめ

事故ゼロは「事故率ゼロ」の証明ではない。目標距離の1倍を走っただけの事故ゼロは、37%の確率で偶然起きる
3の法則：目標「X kmに1件以下」を信頼度95%で示すには、無事故で約 3X km
人間並みの安全性を実走行だけで示すには数億kmが必要。だからSOTIFでは、シナリオやシミュレーションを組み合わせる

確認クイズ

Q1. 目標「100万kmに1件以下」を信頼度95%で示すには、無事故で何km走ればよい？

約300万km。3の法則で 3 × 100万km です。

Q2. ある車が50万km走って事故ゼロでした。信頼度95%で言える事故率の上限は？

3 ÷ 50万km ＝ 100万kmあたり6件。つまり「約17万kmに1件より悪くはない」までしか言えません。「50万kmに1件以下」とは言えない点に注意しましょう。

Q3. 目標「10万kmに1件以下」で試験中、事故が1件起きました。合計何km走って1件のままなら、信頼度95%で目標達成と言える？

約47万km。事故1件のときの係数は約4.7なので、4.7 × 10万km です。事故ゼロなら30万kmで済んだので、1件の事故で必要距離が1.6倍近くに増えます。

もっと知りたい人へ

次の回：1.9 極値と裾の重い分布
関連：1.2 条件付き確率とベイズの定理、4.1 自動運転レベルとODD、5.5 受入れ基準と妥当性確認目標
解説動画：YouTube（約5分）（静止画のスライドと音声で要点を説明。英語版の記事には英語の動画があります）
参考文献
- N. Kalra, S. M. Paddock, Driving to Safety: How Many Miles of Driving Would It Take to Demonstrate Autonomous Vehicle Reliability?, RAND Corporation, RR-1478-RC, 2016.
- J. A. Hanley, A. Lippman-Hand, “If nothing goes wrong, is everything all right? Interpreting zero numerators,” JAMA, 249(13), 1983.