01 バーに通知したりします。すると、ドライバーが新たに生じたこの 状態に対応しなければならず、それが緊急事態であれば車を止め ることが必要になります。システムがリセット、または完全に無効 化されれば、それは安全状態に移行したと見なされます。この ようなシステムをフェイルセーフシステムと呼びます。 フェイルセーフシステムのソフトウェアは、指定された許容時間内 にハードウェアとソフトウェアのフォールトを検出しなければなり ません。特定のソフトウェア機能に対するデッドラインモニタリン グ、あるいは受信したデータの整合性や最新性の追加のチェック （E2E ：エンドツーエンド保護）といったメカニズムがよく使用 されます。 故障時の運転の継続 コーヒーを淹れて一服することがドライバーに許されるのであれ ば、バックアップソリューションとして彼らをあてにすることは できず、そこには電子的な代替機能が必要になります （図1 ） 。 このようなシステムでは、各チャンネルがそれぞれのフォールトを 自ら検出できることが前提条件です。フォールトが発生すると、 有効だったチャンネルが無効化され、 2番目のチャンネルがその 高速道路を時速100キロで走行するキャンピングカー。ドライ バーは運転席にはおらず、奥の方でコーヒーを淹れています。 車は自動制御されているのです。このシナリオは今のところは フィクションですが、これが現実になる日もそう遠くありません。 ただし、これを可能にするには、まだ多くの変更が車両システム に必要です。センサーを増やして環境を適切に認識する必要が あるのに加え、制御装置（ECU）を高速通信で接続し、そこから 得られる膨大な情報を処理しなければなりません。しかし、それ で十分なのでしょうか。たとえばソフトウェア開発にはどのよう な影響が考えられるでしょうか。単にこれまでと同じ開発でよい のでしょうか。 今日、車両に搭載されているシステムは、そのほぼすべてが単一 チャンネルで動作する設計となっています。単一チャンネルで あるということは、センサーからロジック、そしてアクチュエー ターに至るチェーン内の要素の1つにフォールトが発生すれば、 そのシステム全体が機能しなくなることを意味します。センサー やマイクロコントローラーなどの二重化による冗長化は行われて いますが、その目的はあくまでもこのチェーンのフォールトを確実 に検出することであり、フォールトを検出すれば、通常はその ECUをリセットしたり、システム全体のスイッチを切り、ドライ 自動運転の進歩に伴い、システムとそのハードウェア、そしてソフトウェアにはさらに高い信頼性が求められるようになりました。特に ソフトウェアについては、現在自動車業界で確立されている方法でこれに対応するのは非常に困難です。今後セーフティケースを作成して いくには、どういった議論、手法、エビデンスが必要なのでしょうか。そしてそれは、 AUTOSARベーシックソフトウェアにどのような影響 を与えるのでしょうか。 自動運転の飛躍的進歩に求められる 将来性を考慮したAUTOSARベーシックソフトウェア 自動車の未来のための安全ソフトウェア
