5.3 機能不十分とトリガー条件
逆光・豪雨・見慣れない物体
この回で分かること
- 機能不十分 の2つの種類（仕様の不十分・性能の不十分）と、それを表に出す トリガー条件 を、例とともに説明できる
- 条件の分類とシステムの部品を掛け合わせた探し方と、条件ごとの検出率と信頼区間による確かめ方を説明できる
- 組み合わせで現れるトリガー条件（ペアワイズ試験）や、性能の境界と ODD の関係を、簡単な計算で確かめられる
直感で理解する
5.1 で見たように、SOTIF では、故障していないのに起きる危険の元を 機能不十分 と呼び、それを表に出すきっかけを トリガー条件 と呼びます。機能不十分には2つの種類があります。
| 種類 | 意味 | 例 |
|---|---|---|
| 仕様の不十分 | 機能の仕様（何を、どう扱うか）に、考えていない状況がある | 工事現場の誘導員の手の合図を仕様で扱っていない／車線は必ず白線で描かれていると仮定している |
| 性能の不十分 | 仕様どおりに作っても、センサ・認知・操作の性能が足りない | 逆光でカメラが歩行者を見逃す／霧で LiDAR の届く距離が短くなる／濡れた路面で止まるまでの距離がのびる |
トリガー条件を体系的に探すために、よく使われる分類があります。
| 分類 | トリガー条件の例 | 表に出やすい機能不十分 |
|---|---|---|
| 環境（天候・光） | 豪雨、霧、雪、低い太陽の逆光、トンネルの出入り口の明暗 | カメラ・LiDAR の性能の低下 |
| 道路とその周り | 消えかけた車線、工事区間、急なカーブ、鏡のように光る濡れた路面 | 車線の認識、自己位置推定 |
| ほかの交通参加者 | 急な割り込み、ルールと違う動き、見通しの悪い場所からの飛び出し | 予測・計画の仕様と性能 |
| 物体 | 見慣れない形の車両、落下物、動物、路面に描かれた絵 | 物体検出（学習データにない） |
| 自車の状態 | センサの汚れや雪の付着、センサの向きのずれ、重い荷物 | センサ全体、操作 |
| 人（運転者・周り） | 運転支援の過信、表示の見落とし | 誤使用、表示・警告の仕様 |
探し方の基本は、この分類とシステムの部品（センサ・認知・予測・計画・操作）を掛け合わせた表を作り、「この部品は、この条件でどう弱るか」を一つずつ考えることです。そこに、過去の事故やリコールの情報、専門家の知見、走行データの分析を組み合わせます。見つかった候補は、本当に危険な振る舞いにつながるかを試験で確かめます。
図のカメラは 7.5 mm/h で要求（95%）を下回り、4.1 で例に挙げた ODD の上限（10 mm/h）の内側に入っています。これは「ODD の中に性能の不十分がある」ことを意味し、対策が必要です。
数式で確かめる
① 条件ごとに分けて確かめる
トリガー条件は、条件ごとに性能を測ることで見つかります。雨の強さで分けて、歩行者の検出率を試験した例です。区間は 1.6 の \(\hat{p} \pm 2\sqrt{\hat{p}(1-\hat{p})/n}\) で求めています。
| 条件 | 検出数 / 試行数 | 検出率 | 95% 信頼区間 |
|---|---|---|---|
| 雨なし | 1,960 / 2,000 | 98.0% | 97.4〜98.6% |
| 雨 5〜10 mm/h | 380 / 400 | 95.0% | 92.8〜97.2% |
| 雨 10 mm/h 以上 | 180 / 200 | 90.0% | 85.8〜94.2% |
| 全体 | 2,520 / 2,600 | 96.9% | — |
全体の 96.9% だけを見ると、要求の 95% を満たしているように見えます。ところが雨 10 mm/h 以上では、信頼区間の上端（94.2%）でも要求を下回っていて、はっきりとトリガー条件です。雨 5〜10 mm/h は区間が 95% をまたいでいるので、試験を増やして確かめる必要があります。平均は弱い条件を薄めてしまう（2.8）ので、条件ごとに分けて見ることが基本です。
② 組み合わせで現れるトリガー条件
1つずつなら問題がなくても、重なると問題になることがあります。夜だけなら検出率 96%、雨だけでも 96% と、どちらも要求を満たすのに、雨の夜には 85% まで下がる、といった例です（濡れた路面にヘッドライトが反射するなど）。こうした組み合わせを見逃さないには、条件を組み合わせて試験する必要があります。6つの条件がそれぞれ3段階あると、すべての組み合わせは
です。すべてを走行試験するのは大変ですが、「どの2つの条件の組み合わせも、少なくとも1回は試す」だけなら、ずっと少なくて済みます。2つの条件の段階の組は \(\binom{6}{2} \times 3^2 = 15 \times 9 = 135\) 通りで、1回の試験で 15 組を同時に試せるので、少なくとも 135 ÷ 15 ＝ 9 通り、うまく並べれば十数通りの試験で、すべての組を一度ずつ試せます。これを ペアワイズ試験（組み合わせ試験）と呼びます。ソフトウェアの不具合の多くは、少数の条件の組み合わせで起きることが知られており、その考え方を使います。
③ 性能の境界と ODD
図のカメラの検出率を、雨の強さ r（mm/h）の式で近似すると
です。要求の 95% を下回り始めるのは、98 − 0.4r ＝ 95 から r ＝ 7.5 mm/h です。ODD の上限（10 mm/h）より手前なので、対策を選びます。
- ODD を狭める：雨の上限を 7.5 mm/h に下げる（4.1）
- 性能を上げる：LiDAR やレーダーと組み合わせる（4.3 のフュージョン）
- 振る舞いを変える：雨が強いときは速度を落とし、見逃しても止まれる余裕をつくる（4.5）
どれを選ぶかは、使える場面の広さと、実現にかかる手間との釣り合いで決めます。なお LiDAR は約 18 mm/h で要求を下回りますが、ODD の外なので、この ODD の中では問題になりません。
実務との接点
- 表を使って抜けを減らす：部品 × 条件の分類の表で一つずつ確かめます。過去の事故・リコール・ヒヤリハットの記録も、候補を探す入力になります。→ 5.4 ハザード分析
- 仕様の不十分は「書かれていないこと」：手信号、緊急車両、路上の催し物など、仕様にない場面は試験も作られません。仕様や ODD を読み合わせ、「この場合はどうする？」と問いかけるレビューが有効です。→ 4.1
- データから見つける：性能を条件ごとに分けて、下がる条件を探します。誤りの原因は、説明の技術（3.9）で手がかりを得られます。→ 2.8、3.9
- 見つけたら判断して記録する：対策するか、残る危険として受け入れるかを受入れ基準で判断し、既知の危険の一覧（5.2 の領域2）に記録します。→ 5.5 受入れ基準と妥当性確認目標
- 意図的な条件との境目：自然に起きる条件は SOTIF、わざと作られた模様や信号は頑健性やサイバーセキュリティ（3.8・4.7）の対象です。どちらで扱うかを決めて、抜けを防ぎます。→ 3.8、4.7
まとめ
- 機能不十分には、仕様の不十分（考えていない状況がある）と性能の不十分（性能が足りない）があり、トリガー条件がそれを表に出す
- トリガー条件は、条件の分類 × システムの部品の表や、条件ごとに分けた性能の測定で探す。全体の平均は弱い条件を薄めるので、信頼区間とあわせて条件ごとに確かめる
- 1つずつなら問題なくても、組み合わせで現れる条件がある（ペアワイズ試験）。性能の境界が ODD の中にあれば、ODD を狭める・性能を上げる・振る舞いを変える、のいずれかで対策する
確認クイズ
Q1. 次は仕様の不十分と性能の不十分のどちら？ （a）工事現場で誘導員が手で合図しているが、機能の仕様にその場面がない （b）霧で LiDAR の届く距離が短くなり、止まるのが間に合わない
（a）仕様の不十分、（b）性能の不十分です。
Q2. 雨 10 mm/h 以上の条件で、歩行者を 300 回中 282 回検出しました。検出率と 95% 信頼区間は？ 要求 95% を下回ると言える？
検出率は 94%、区間は 94% ± 2√(0.94 × 0.06 / 300) ≈ 94% ± 2.7%、つまり約 91.3〜96.7% です。区間が 95% をまたいでいるので、下回ると言い切るには試験を増やす必要があります。
Q3. 5つの条件がそれぞれ4段階あるとき、すべての組み合わせは何通り？ どの2つの条件の組も一度ずつ試すには、少なくとも何通りの試験が必要？
すべての組み合わせは 4⁵ ＝ 1,024 通りです。2つの条件の段階の組は \(\binom{5}{2} \times 4^2 = 10 \times 16 = 160\) 通りで、1回の試験で 10 組を試せるので、少なくとも 16 通りが必要です。
Q4. ③のカメラ（p(r) ＝ 98 − 0.4r）で、要求が 96% だったら、何 mm/h から要求を下回る？
98 − 0.4r ＝ 96 から r ＝ 5 mm/h です。要求が厳しくなるほど、トリガー条件の境界は弱い雨の側に移ります。
もっと知りたい人へ
- 次の回：5.4 ハザード分析
- 関連：5.1 SOTIFとは、5.2 4つの領域、4.1 自動運転レベルとODD、4.3 センサとフュージョン（センサの得意と苦手）、1.6 推定と信頼区間、2.8 データの分け方と分布シフト、3.9 説明可能性（XAI）
- 用語集：機能不十分、トリガー条件、ペアワイズ試験、危険な振る舞い、運行設計領域（ODD）
- 解説動画：YouTube（約5分）（静止画のスライドと音声で要点を説明。英語版の記事には英語の動画があります）
- 参考文献（規格の内容はこの回で要約して説明しています。正確な定義や要求は原文を確認してください）
- ISO 21448:2022, “Road vehicles — Safety of the intended functionality.”
- ISO 34503:2023, “Road Vehicles — Test scenarios for automated driving systems — Specification for operational design domain.”
- D. R. Kuhn, D. R. Wallace, A. M. Gallo, “Software Fault Interactions and Implications for Software Testing,” IEEE Transactions on Software Engineering, 2004.