コラム第939号：「自律型ロボットとの共生社会におけるデジタルフォレンジックス」

第939号コラム：丸山　満彦監事（PwCコンサルティング合同会社　パートナー）
題：自律型ロボットとの共生社会におけるデジタルフォレンジックス

1．一台の自律型ロボットの事故から…
“深夜二時ごろ、物流倉庫の倉庫群に隣接する構内私道で、一人の男性が配送ロボットと接触し、搬送先の病院で死亡が確認された…”

自律型ロボットは配送だけでなく、警備、清掃、点検、見守りなど、さまざまな人間が行動する現場に広がっていくと考えられています。こうした共生が社会に根付くかどうかは、ロボットが事故を起こさないことだけでなく、事故が起きた際に何が起きたのかを説明できるかどうかにも懸かっているように思います。

上記の想定の事故は、単純な機械故障ではありません。例えば、事故を起こした配送ロボットは、物流事業者であるD社が保有・運用していますが、その車体はA社製です。経路選択や群制御の中核ロジックはB社のクラウドAI基盤に依存し、ロボット間通信にはC社の回線が用いられていた、ということはあり得る話ですね。

図1：想定の事故に係る全体像

2．データは複数企業に分散する
事故調査担当者が事故直後に駆けつけ、A社、B社、C社、D社に対して、関連ログの保全と提出を要請したとしましょう。A社が持っていたのは、機体内のセンサー値、制御コマンド、異常検知イベントなど、ロボット単体の状態を示すログ。B社は扱っているロボット群全体の経路最適化や優先度制御に関するクラウド側の処理ログを保有していたが、リアルタイム性能を優先した設計上、すべての中間計算結果を長期間保存していたわけではなかった。C社も通信の疎通状況や品質情報は保持していたが、事故直前のやり取りを完全な形で再現できるほど高粒度のログを長期保存していたわけではなかった。D社は、配送指示、停車履歴、遅延情報、遠隔監視者の介入有無など、業務運用上の管理ログであった。

各社が、それぞれの業務目的のために必要なログを保存していたとしても、目的、形式や保存期間も異なっているため、どうしてその事故が起こり、誰がどのような責任をおっているのかを見極めることが困難であるという状況になりそうです。つまり、システム全体でどのようなログをどのように保存をしておくかを定義しておくことが重要なのかもしれません。表１に事故調査で必要と思われるログとそのログの関係者を一覧にまとめてみました。

表1：事故調査で必要と思われるログとそのログの関係者

3．ログは単純にはつなぎ合わせられない
たとえ、全ての関係者から必要なログが揃ったとしてもそれで終わりではありません。これらのログを単純に並べても、すぐに全体像が把握できるわけではなさそうです。A社の機体ログはミリ秒単位で記録されていたが、D社の運行管理ログは秒単位。B社のクラウドログはUTC基準、D社の監視ログはローカル時刻、C社の通信品質ログは別系統の時刻同期に基づいていたということはありえます。事故直前の1秒未満の挙動を追うには、こうした差は無視できません。GPSやPTP(高精度時刻同期プロトコル)によってミリ秒〜マイクロ秒単位の同期は技術的には十分可能であり、これは技術の限界というより、複数事業者間で誰がその導入コストと調整の音頭を取るかという、運用面、制度面の問題といえそうです。また、ログ項目の意味も統一されていない可能性もあります。A社にとっての「停止」は制御命令を意味するが、D社にとっての「停止」は業務上の配送中断を指しているという状況です。言葉は同じでも、示す内容が異なるとログを繋げることはできません。

4．AIの判断は、後から説明できるとは限らない
B社からの情報取得にも現実的な問題がありえます。例えば、知的財産やセキュリティ上の理由でクラウド側のモデル更新履歴や意思決定ロジックの詳細には、限定的にしか開示しないかもしれませんよね。また、群制御の一部はオンラインで動的に重み付けが変わる仕組みであり、事故時点で「なぜその判断になったか」を、人間が理解可能な形でそのまま再現できるようには設計されていないように思います。入力と出力のログは残っていても、その間の内部状態を調査向けに人間が分かる形で保存しているとは限りません。なお、この点に関する規制については後掲のNoteを参照してください。

5．事前の制度設計
法政策上の論点は、こうした状態を個別企業の努力に委ねてよいのかという点です。自動車や航空の分野では、事故後の検証を可能にするため、一定のログ装置や報告義務、調査手続が制度として整えられてきました(自動運転に特化したログ装置の国際標準化も現在進行中である。Note参照)。これに対し、自律型ロボットは、製品安全、通信、個人情報保護、AIガバナンスが別々の法制度のもとで扱われがちであり、複数事業者を横断するログ標準という観点からの制度設計は、自動車分野ほどには進んでいません。もっとも、あらゆる自律型ロボットに一律に高水準のログ義務を課すことは現実的ではないでしょう。人の生命や身体への影響度に応じて義務の水準を段階化する発想(EU AI法が高リスクAIシステムに限ってログ義務を課しているのはその一例で。前掲Note参照)が現実的のように思います。

また、事故時の責任ルールを整えることに加えてそのルールが実効的に機能するために、事故調査に必要なログをどの粒度で、どの期間、どの主体が保存すべきかについて、一定の標準や最低要件を設けることも重要となるでしょうね。重要な判断に関わるイベントログの保存、時刻同期方式の標準化、複数事業者間での共通ログ項目の定義、重大事故発生時の保全義務、そして第三者機関による限定的アクセスの仕組みなどは、法令、ガイドライン、契約実務のいずれのレベルでも具体化が必要になると思います。営業秘密や個人情報の保護はもちろん重要ですが、それを理由に事故後の原因究明が実質的に不可能になるのであれば、社会実装を支える信頼は構築されないと思います。

ただし、ルールは複雑になるほど事業者の対応コストを押し上げ、かえって実効性を損ないかねないため、対象はリスクに応じて絞り込み、項目自体もできる限り単純明快にするのが肝要だと思います。

6．フォレンジックス可能性を社会インフラとして捉え直す
この事例が示しているのは、自律型ロボットが社会実装される時代におけるデジタルフォレンジックスの重要性と困難性です。困難性は、責任関係の複雑性だけに依存するわけではなさそうですね。必要なログが複数の主体に分散し、異なる目的で保存されているため、事故の全体像を一つの時系列として再構成すること自体が難しい。だからこそ、法政策の役割は、事故後に責任を配分することだけではなく、そもそも事故後に事実を追える状態そのものを事前に制度として作っておくことにあると思われます。自律型ロボットの普及が本格化する前に、ログ設計とフォレンジックス可能性を、社会インフラの一部として捉え直す必要があるのかもしれませんね。人がロボットと安心して共生できる社会は、ロボットが事故を起こさないようにするだけでなく、事故が起きた際に何が起きたかを説明できる制度の整備によって支えられるのでしょう。ただし、その制度はリスクに応じたものであるべきで、かつ制度はできる限りシンプルにすべきでしょう。なおEUでは2026年末までに関連制度の国内法化が進むようですので、この分野における国際的な足並みの差は、今後数年のうちに顕在化していきそうですね。

【Note】制度動向について
上記4節の課題はこの1〜2年で、事故後の技術的再構成を可能にする制度的な布石が徐々に打たれ始めている。

民事訴訟:EU製造物責任指令(PLD)の全面改正 ― Directive (EU) 2024/2853(2024年10月採択、同年12月8日発効)は、被害者が説得力ある主張を行った場合に被告(製造業者等)へ証拠開示を義務付け、立証が著しく困難な場合は裁判所が欠陥・因果関係を推定できる規定も新設した。2026年12月9日以降の製品に適用され、EU加盟国は同日までに国内法化が必要。「営業秘密を理由に原因究明を妨げてはならない」という主張は、EUでは既に訴訟手続として実装段階にある。

AI規制:EU AI法によるログログの事前義務化 ― EU AI法(Regulation (EU) 2024/1689)第12条は、高リスクAIシステムに稼働全期間のイベントログ自動ログ機能を義務付ける。物流ロボットの群制御AIが該当すれば、B社の「限定的にしか開示できない」という説明はEU域内では通用しにくくなる。

自動車のログ装置:WP.29によるDSSAD/EDR国際基準化 ― UNECE WP.29では、作動状態ログ装置(DSSAD)とイベントデータレコーダ(EDR)の国際基準策定が2024年3月から進み、2026年半ばの完了が目標。複数事業者・複数国にまたがるログ標準化が自動車分野では実行可能であることを示す実例である。

制度の対象