研究活動紹介
商用車の機能安全におけるコントローラビリティ評価の事例
－商用車の制動失陥に関するコントローラビリティ評価の実験－
2025 年 2025 巻 9 号 論文ID: JRJ20250902
詳細
2025 年 2025 巻 9 号 論文ID: JRJ20250902
商用車のブレーキに関する電気・電子制御システムは機能安全規格ISO 26262の適用対象である．中型トラックに搭載されるブレーキシステムをベースに前輪／後輪の制動力が低下する状態となる車両を用いて，制動失陥時の実験参加者のコントローラビリティ評価を行った．本報告の実験条件においては中型トラックのコントローラビリティはC3クラス（コントロール困難）となり，大型トラックと同様であることがわかった．
1. はじめに
商用車のブレーキシステムには，一般的にアンチロックブレーキシステム（ABS: Antilock Brake System）や電子制御制動力配分システム（EBD: Electronic Brake Force Distribution）などの電気・電子制御システム（E/Eシステム）が適用されている．これらE/Eシステムは機能安全規格ISO 262621) の適用対象であり，自動車安全度水準（ASIL: Automotive Safety Integrity Level）を決定するために走行中のブレーキ系E/Eシステムの故障による制動失陥のハザード[危険]（意図通りに止まれない）で衝突事故が想定される場合のリスク評価が必要となる．このリスク評価は，ISO 26262にもとづき，ハザード分析およびリスクアセスメント（三つのパラメータ；エクスポージャ評価，コントローラビリティ評価，シビアリティ評価から成るHARA: Hazard Analysis and Risk Assessment）を実施する必要がある．
本報告では商用車に制動失陥ハザードが発生した場合のドライバによるコントローラビリティ（ハザードが発生したときに危害を回避・制御できる可能性）評価について述べる．従来，乗用車における同様のハザードのコントローラビリティ評価はブレーキ倍力装置のブレーキアシスト力が低減した場合のドライバのコントローラビリティについて実車を用いて実施2) されている．また，大型トラックでは，全ての制動を空気圧で制御するフルエアブレーキシステムベースに前輪／後輪の2系統で構成される仮想ブレーキシステムを構築し，制動失陥時には後輪が失陥し前輪のみで制動する状態となる車両について，実車を用いたコントローラビリティ評価3) を実施している．本報告では，主に中型トラックに搭載される空気油圧複合式ブレーキ（エアオーバーハイドロリックブレーキ）システムをベースに前輪／後輪のエア圧を調整できるシステムを構築し，E/Eシステムの故障時を想定して前輪／後輪の制動力が低下する状態となる車両を用いてコントローラビリティ評価を行い，コントローラビリティクラスを判定するとともに，制動失陥に関するコントローラビリティ評価実験の知見と事例を紹介する．
2. 実験方法
2.1 コントローラビリティクラスの考え方
図1は，HARAにおける エクスポージャ（E）評価，コントローラビリティ（C）評価，シビアリティ（S）評価の考え方を示したものである．コントローラビリティの評価方法については2.2節で詳細に説明するが，図2に示される中型トラックにおいて制動失陥のハザーダスイベント発生時のドライバのコントローラビリティを，「前方停止車両などへの衝突による危害回避性」として評価する．また，ISO 26262-3，Annex B，Table B.6のドライバコントローラビリティのクラス1) を参照し，実車による制動失陥の実験結果の判断基準を以下として検討した．
・C0：通常のコントロール可能
・C1：ドライバの99%超が危害を回避できる
・C2：ドライバの90%から99%が危害を回避できる
・C3：ドライバの90%未満が危害を回避できる（コントロール困難）
なお，エクスポージャ（曝露率）は，例えば車両の周辺環境（一般道）や走行状態（制動中）などのシチュエーションの確率（E0～E4）を表す．また，シビアリティはハザードの結果起こりうる危害の危害度（S0～S3）を表す．これらについては規格に記載されるテーブルなどを参照できる．
図1 HARAにおけるE評価，C評価，S評価の考え方
図2 制動失陥実験の概要（イメージ）
2.2 制動失陥実験の概要
本実験では，中型トラックにおける制動系統の失陥時におけるドライバの挙動（失陥の認知および衝突回避の有無）を調査し，HARAにおけるコントローラビリティクラスの判定を導出することを目的として，実験参加者（ドライバ）による制動実験を実施した．
実験には，ブレーキ系統の前後のエア圧を調整することにより制動失陥を任意に発生できるように改造した中型トラックを用いた．実験参加者には指定されたコースを当該車両で走行してもらい，制動が正常な状態と前／後輪の制動力が低下した制動失陥状態の2条件下において，前方の障害物（模擬停止車両）との衝突をブレーキペダル操作のみによって回避できるか否かを調査し，コントローラビリティの評価を実施した．
制動が正常な状態においては，図2に示した速度の青実線のように，ブレーキを踏み込むことで通常通りに減速して衝突を回避することが可能である．一方，制動失陥状態では，図中の緑の範囲で示す様に実験参加者はブレーキペダルの初期踏み込み後に制動の異常を認知し，追加の踏む込み操作（踏み増し）を実施してフルストロークまで踏み込む（踏み抜き）ことで衝突を回避できる．なお，ブレーキの異常への気づきが遅れた場合や，踏み増しが不十分な場合（赤の範囲）には衝突の回避が困難となる．このような一連のブレーキ操作によって危害を回避可能か否かがコントローラビリティクラスの判定となる．さらに，事前に制動失陥があることを実験参加者に警告した場合に衝突回避率の変化についても検討を行った．
2.3 制動失陥実験シナリオ
制動失陥に関する実験シナリオを図3に示す．本シナリオは，走行速度として速度40 km/h（一般道路を走行中に，交差点の信号が赤で前方停止車両があり，停車しなければならない），速度80 km/h（高速道路を走行中に，ETCゲート付近に前方停止車両があり，停車しなければならない）の二つを設定し，ブレーキのE/Eシステム故障により制動失陥が発生し十分減速できず前方停止車両に衝突する危害の回避を評価するものである．このような二つのHARAシナリオについて停止指示位置（実験参加者へ制動開始を促す位置）を設定した．
図3 制動失陥ハザードのシナリオ概念図
2.4 実験条件
停止指示位置は，前方停止車両との車間距離（図3）で設定することとし，実験参加者がブレーキペダルを踏み込むまでの反応時間（0.8 s），法規ブレーキ応答時間（0.6 s），ならびにトラックの主制動装置故障時の平均飽和減速度注1) 2.2 m/s2を勘案し，車両が移動する距離の合計から算出した．この算出結果から停止指示位置を設定した結果，表1に示すように，走行速度40 km/h では43 m，80 km/h では143 mとなった．
表1 停止指示位置の算出結果
| 条件 | 走行速度 | 停止指示位置の内訳 |
停止指示位置 （距離の合計） |
||
|---|---|---|---|---|---|
| 反応時間 0.8 s |
応答遅れ 0.6 s (法規条件) |
停止までの制動距離 平均減速度：2.2 m/s2 |
|||
| 停止指示位置 | 40 km/h | 9 m | 6 m | 28 m | 43 m |
| 80 km/h | 18 m | 13 m | 112 m | 143 m | |
2.5 実験車両
実験車両は図4に示すように，中型トラック（4 t積車，4輪で後輪駆動）をベースに，正常／失陥を助手席から任意に操作できる切替えバルブ（モジュレータ）を設置して，前後ブレーキのエア圧を調整し，ブレーキの失陥状態を再現可能とするような改造を行なった．
・実験前に積載荷重（半積載）の位置を調整し，失陥時に法規減速度が2.2 m/s2～2.5 m/s2になるようにした注2）．
・実験参加者の制動開始については車室内にランプを装着し，停止指示位置に達した時にランプが点灯するようにして指示した．
・主な計測項目として速度，車間距離，車両減速度，ブレーキペダルストローク，ブレーキペダル踏力，ブレーキ温度センサ，光電センサ（制動開始位置検出）を計測した．
図4 車両と改造内容
2.6 実験コースおよび手順
実験コースレイアウトを図5に示す．実験車は，スタート位置から発進し，定速走行にてマーカ通過（停止指示位置を通過する）時にブレーキ操作許可合図（ランプ点灯）を出して，実験参加者に制動を促した．コースの終点には障害物（模擬停止車両）を設置した．
本実験での実験手順を表2に示す．速度40 km/hおよび速度80 km/hの2条件に対して，正常，失陥および失陥警告の三つのパターンで実験を行う注3）．
・正常：制動が正常な状態（最大減速度: 5 m/s2）
・失陥：前／後輪の制動力が低下した制動失陥状態（減速度: 2.2 m/s2～2.5 m/s2），事前に制動失陥があることを実験参加者に警告せず（警告なし）
・失陥警告：前／後輪の制動力が低下した制動失陥状態（減速度: 2.2 m/s2～2.5 m/s2），事前に制動失陥があることを実験参加者に警告している状態（警告あり）
図5 コースレイアウト
表2 実験手順
| 実験順番 | 速度 | 実施項目 | 失陥の警告 | 最大減速度 | 停止指示位置 |
|---|---|---|---|---|---|
| 1 | 40 km/h | 正常 | － | 5 m/s2 | 43 m |
| 2 | 失陥 | 警告なし | 2.2 m/s2～2.5 m/s2 | ||
| 3 | 失陥警告 | 警告あり | |||
| 4 | 80 km/h | 正常 | － | 5 m/s2 | 143 m |
| 5 | 失陥 | 警告なし | 2.2 m/s2～2.5 m/s2 | ||
| 6 | 失陥警告 | 警告あり |
2.7 実験参加者
本実験は23人の実験参加者（車両メーカ従業員）を対象にインフォームド・コンセントを行った上で，本実験の趣旨を説明して同意を得た実験参加者のみ実施した．性別は男性22名，女性1名からなり年齢は20代から60代で，平均年齢は42歳であった．
3. コントローラビリティの実験結果と考察
3.1 実験結果
3.1.1 ブレーキ波形
中型トラックの速度40 km/hでの正常，失陥，失陥警告でのブレーキ波形比較の一例を図6に示す．この例では，正常，失陥，失陥警告ともに衝突を回避できている．速度波形について正常時（青太実線）は平均減速度3.2 m/s2で速度が低下し，停止指示位置から車両停止までの時間は4.2 sであった．失陥時（緑太実線）は平均減速度2.2 m/s2で速度が低下し，車両停止までの時間は5.8 sであり, 停止指示位置通過後1.15 s付近で失陥に気づいてブレーキを踏み増し，踏み抜きして衝突を回避しているが，失陥により停止までの時間が正常時よりも長いことがわかる．失陥警告時（燈太実線）は平均減速度2.3 m/s2, 車両停止まで5.4 sであり，事前に失陥を警告した効果により失陥時と比較するとブレーキストロークや減速度の立ち上がりが早く，停止までの時間が失陥より短いことがわかる．また，失陥時のブレーキペダルストローク（緑破線）をみると，実験参加者は停止指示位置の通過後にブレーキペダルを踏み込み，すぐに異常に気が付いてブレーキペダルを踏み増し，さらに最大減速度までブレーキペダルを踏み抜いている．したがって，これらブレーキ波形は図2で検討した実験シナリオと同様の線図が得られていることを確認できた．
図6 中型トラックの速度40 km/hでの正常，失陥，失陥警告のブレーキ波形比較の一例（全て回避した例）
3.1.2 コントローラビリティクラス
表3に中型トラックのコントローラビリティクラスの判定結果，および2016年度に実施した大型トラックの判定結果3) を比較して示す．速度40 km/hでの中型トラックにおけるコントローラビリティクラスの判定は，失陥時C3（実験参加者22人中12名が回避できず回避率45%で90%未満）となった．この結果から，法規条件（2.2 m/s2）における制動失陥時のコントローラビリティクラスは大型トラックと同様にC3となった．
また，失陥警告については，失陥時（警告なし）よりも回避率の向上が見られ，警告の効果は認められるが，コントローラビリティクラスとしては失陥時と同じC3（失陥警告時は22人中4名が回避できず回避率82%で90%未満）となった．
表3 速度40 km/hでの制動失陥のコントローラビリティクラスまとめ
| 速度40km/h | 中型トラック（2024年度） | 大型トラック（2016年度） | ||||
|---|---|---|---|---|---|---|
| 正常 | 失陥 | 失陥警告 | 正常 | 失陥 | 失陥警告 | |
| 回避者（人） | 22/22 | 10/22 | 18/22 | 25/25 | 16/25 | 22/25 |
| 回避率（%） | 100 | 45 | 82 | 100 | 64 | 88 |
| Cクラス | ---※ | C3 | C3 | --- | C3 | C3 |
※ ---: 正常時はCクラスの判定をしない．
速度80 km/hでの中型トラックにおけるコントローラビリティクラスの判定は，表4に示すように失陥時は（C3）（実験参加者16人中5名が回避できず回避率69%で90%未満）となった．この結果から，法規条件（2.2 m/s2）における制動失陥時のコントローラビリティクラスは大型トラックと同様に（C3）となった．
また，失陥時の警告については，失陥時（警告なし）よりも回避率の向上が見られ，警告の効果は認められるが，コントローラビリティクラスとしては失陥時と同じ（C3）（失陥警告時は16人中4名が回避できず回避率75%で90%未満）となった．
表4 速度80 km/hでの制動失陥のコントローラビリティクラスまとめ
| 速度80km/h | 中型トラック（2024） | 大型トラック（2016） | ||||
|---|---|---|---|---|---|---|
| 正常 | 失陥 | 失陥警告 | 正常 | 失陥 | 失陥警告 | |
| 回避者（人） | 16/16 | 11/16 | 12/16 | 24/24 | 11/24 | 13/15 |
| 回避率（%） | 100 | 69 | 75 | 100 | 46 | 87 |
| Cクラス | ---※1 | （C3）※2 | （C3） | --- | C3 | （C3） |
※1 ---: 正常時はCクラスの判定をしない．
※2 (C3): ISO 26262-3では20名以上の実験参加者が求められ，速度80 km/hでは参加者数が満たされていないため本報告では（ ）を付けて記載する．
3.2 考察
中型トラック（制動失陥時には前輪／後輪の制動力が低下する状態）と2016年度に実施した大型トラック（制動失陥時には後輪が失陥し前輪のみで制動する状態）の制動失陥時のブレーキ波形の違いについて考察する．
中型トラックでは失陥時にブレーキペダルストロークが65%程度まで踏み込まれて平衡状態になり，最大減速度2.2 m/s2～2.5 m/s2が発生している（図6）．中型トラックに搭載される空気油圧複合式ブレーキシステムでは，エア圧を調整して前後ブレーキ失陥状態を作り出しており，減速度の波形（緑細実線）ではABS作動時にみられる減速度の上下振動が見られないため，ABSが作動する領域に至っていないことがわかる．一方，図7に示す大型トラックの一例では後輪ブレーキの失陥（制動力無し）により，ブレーキペダルを踏み抜いた際に前輪のみに制動力が生じる．このため，ABS作動時にみられる減速度（緑細実線）の上下振動が見られ，前輪のABSが作動する領域に至っていたことがわかる．
本報告の実験では，中型トラックのブレーキ故障時の車両としての減速度は2.2 m/s2であるためコントローラビリティクラスは大型トラックと同様にC3となったが，大型トラックの実験結果との詳細な比較から前輪と後輪の失陥のさせ方が，ブレーキ波形やABS作動の有無などに影響を及ぼすことがわかった．大型トラックの実験では減速度の波形からABS作動開始時をブレーキペダルの踏み抜き点と判断できるが，ABSが作動しない中型トラックでは踏み抜きの判断が難しい．本実験においては，中型トラックの減速度が最大となる点をブレーキペダルの踏み抜き点としており，これらに関連するブレーキペダル踏み抜き時の反応時間やTTC（衝突余裕時間）などのデータを検討する際に留意する必要がある．
図7 大型トラックの速度40 km/hでの正常，失陥，失陥警告のブレーキ波形比較の一例（全て回避した例）
制動失陥時のコントローラビリティクラス判定は，本実験条件下では中型トラックは，大型トラックと同様にC3となったことから，コントローラビリティの評価結果には商用車の車型やブレーキシステムの違い等による影響は少ないと考えられる．
一方，図1に示した商用車走行中のHARAシナリオのシチュエーションに関するエクスポージャの調査5) では，一般道を速度40 km/hで走行中に制動する際の減速度は1.0 m/s2より小さかった．つまり，一般的な商用車ドライバは本報告の実験条件に比べて十分に余裕をもった車間距離から低い減速度で停止している．実際に十分に余裕をもって停止できると考えられる障害物までの距離を60 mに設定し，速度40 km/hでの実験を実施すると実験参加者全員（16名）が回避できる結果となった．このため，一般的な商用車ドライバの制動開始タイミング（停止指示位置）で実験を行った場合には，コントローラビリティクラスはC2以下の判定結果になるものと推定される．
4. まとめ
本報告では，中型トラックの制動に関するE/Eシステム故障による制動失陥のハザーダスイベントを想定した実車実験を実施した．この結果から，本報告の実験条件においては中型トラックの制動失陥時のコントローラビリティクラスは大型トラックと同様にC3となることがわかり，コントローラビリティクラス評価の判断材料が得られた．また，本結果を参照してASIL評価が可能となった．さらに，大型トラックの実験結果との詳細な比較から実験車の前輪／後輪の失陥のさせ方が制動時のブレーキ波形やABS作動の有無などに影響を及ぼすことがわかった．
今後，商用車に新たな制動システムが搭載される場合には，これらの実験手法や条件を参照することにより，ISO 26262に関する制動失陥のコントローラビリティ評価を実施できると考えられる．
