ISO/PAS 8800:2024―Safety and artificial intelligence 安全性と人工知能―量産向け自動車開発へのAI適用

はじめに

近年、自動車業界においてもAI技術の革新が進んでいます。例えば、対話型AI音声アシスタント、先進運転支援システムにおけるAIによる判断、制御など、AIの量産向けの車両への導入がすでに広がっています。
また、今後は市場投入後も機能を更新し続けることで、ユーザーに新たな価値および体験を提供し続けることが期待されるSDV（Software Defined Vehicle）においても、AIの活用が進むと考えられます。車両がドライバーのニーズを的確に理解し販売後も機能・パラメータを更新・最適化提案する機能の実現や、それらのシステムの設計・開発プロセスにおいてAIを活用して効率的かつ効果的に自動車／車載システムを機能向上していく仕組みの構築など、車両および車両開発におけるAI活用が大きく注目されています。

これから自動車／車載システム開発へのAI導入はますます加速することが想定されますが、一方で、高い安全性が常に求められる車載システム開発において、機械学習モデルなどのAI関連情報を含めた設計情報を適切に管理・運用し、どのように安全性を担保し続けるかが大きな課題となっています。

こうした中、ISOは新たな安全規格となるISO/PAS 8800 Safety and artificial intelligence（安全性と人工知能）を2024年12月13日に発行しました。ISO/PAS 8800はAI技術を使用する安全関連システムに適用され、特に量産車両に搭載される電気／電子（E/E）システムにおけるAIシステムの使用方法に関するガイダンスを提供しており、ISO 26262やISO 21448などの安全規格で規定される管理アプローチを調整あるいは拡張することでAI安全管理のフレームワークを定義しています。

本稿では、ISO/PAS 8800で定義されるAI安全管理のフレームワークに関し、特に以下の内容について整理します。

• ISO/PAS 8800の概要
• ISO/PAS 8800と各種安全規格との関係性
• 量産向け車載システム開発におけるAI適用の主な課題と対策

ISO/PAS 8800と安全規格との関係

ISO 26262およびISO/PAS 8800の適用対象の区別

ISO 26262シリーズはシステムの故障に起因する危険事象の発生を防止することを目的とした安全規格ですが、ISO/PAS 8800はISO 26262シリーズと組み合わせて適用されることが意図されています。

図表3に示すように、ISO/PAS 8800は、AIシステム（1つ以上のAIモデルを使用するアイテムまたはその要素）の安全性に焦点を当てたうえで、ISO 26262で定義されるアイテム（車両レベルの機能）を構成する「AIシステム」および、AIシステムを構成する「AIモデルもしくはAIモデルを含むAIコンポーネント」を適用対象としています。一方、「非AIシステムおよびそのエレメント」や、「AIモデルではないもしくはAIモデルを含まないAIコンポーネント」に関しては既存のISO 26262シリーズを適用するよう区別されています（図表3）。また、特に機械学習（ML：Machine Learning）におけるISO 26262適用に関してはAnnex C：「MLのためのISO 26262ギャップ分析」にMLを用いたシステムの安全性を確保するための追加的なガイダンス／推奨事項が記載されています。本文から直接的な参照はありませんが、機械学習に関しては車載ソフトウェア開発における体系的アプローチおよびアセスメントモデルを定義したAutomotive-SPICEバージョン4.0のプロセス参照モデルにも「MLE:機械学習エンジニアリングプロセス」として要件が追加されており、AIシステムの開発・運用においてはこれらを組み合わせて適用することで、より安全性の高いシステムの実現が期待されます。

図表3：ISO 26262および ISO/PAS 8800の適用対象の区別

各種安全規格における因果関係チェーンに関する用語のマッピング

ISO 26262とは別に、2022年に発行したISO 21448 SOTIF（Safety of the intended functionality:意図した機能の安全性）は、システムの故障がない状態における危険事象の発生を防ぐことを目的としており、ISO 26262を補完する安全規格と位置づけられます。ISO/PAS 8800では、これらISO 21448/ISO 26262で示されるハザード（危害になり得る原因）発生に至るまでの因果関係チェーンにおける各種用語のマッピングを示すとともに、AIシステムにおけるエラーの概念、故障モデルおよび因果モデルを示しています（図表4）。

「AIトリガー条件」は、機能不全あるいは欠陥に繋がり、その結果「寄与AIエラー」あるいは「AIエラー」を引き起こします。「車両レベルでの望ましくない安全関連動作」は、ISO 21448/ISO 26262でそれぞれ定義される「RFIM防止問題（Reasonably Foreseeable Indirect Misuse：合理的に予見可能な間接的誤用）」、「車両レベルでの危険な動作」あるいは「ハザードを起こす誤動作」を総称する用語として使用されます。

図表4：因果関係チェーンにおけるISO 21448およびISO 26262シリーズとISO/PAS 8800の用語対応

まとめ

本稿では、ISO/PAS 8800の文書構成や既存の安全規格（ISO 26262, ISO 21448）との関連性について概要を整理するとともに、特徴的な章である7章の「AI安全管理」および8章の「AIシステムの保証論」について紹介し、AIシステム開発における課題について考察しました。上記で述べた課題のほか、図表5で示すとおり、自動車システムの開発においては、本稿で取り上げたISO 26262やISO 21448の安全規格のみならず、関連する法規や標準文書への対応も必要となるため、包括的な視点から取り組むことが求められます。

図表5：関連する代表的な法規および標準文書