1. 航空機基準「$10^{-9}$」の壁：自動車の機能安全と何が決定的に異なるのか
都市上空を数分間隔で交差するエアモビリティ構想において、機体開発者が直面する最大の壁はバッテリーのエネルギー密度ではなく、「型式証明（TC: Type Certificate）を取得するための確率論的安全目標」です。
地上を走行する自動運転車（ISO 26262 ASIL-D基準）では、システム異常が発生した際に「ハザードランプを点灯して路肩に減速・緊急停止する（Fail-Safe/Fail-Silent）」というミニマム・リスク・マニューバ（MRM）が成立します。しかし、高度300m〜500mの都市上空を飛行するeVTOLにとって、空中で機能を停止することは即座に致命的な墜落を意味します。
📊 自動車 vs 民間航空機・eVTOLの安全要求比較
| 比較項目 | 自動運転車 (ISO 26262 ASIL-D) | 民間航空機・認証eVTOL (FAR/JAR 25/27) | 信頼性ギャップ・工学的要求 |
|---|---|---|---|
| 許容破滅的故障率 | $10^{-8}$ / 稼働時間（1億時間に1回） | $10^{-9}$ / 飛行時間（10億時間に1回） | 10倍の厳格性（空中では停止不能） |
| 安全退避戦略 | Fail-Safe / Fail-Silent（路肩緊急停止） | Fail-Operational（飛行・着陸継続） | 単一障害による制御喪失を完全禁止 |
| 推進・操舵冗長性 | 二重化電源・二重巻線モータ | 8〜16基DEP分散推進 ＋ 2oo3アビオニクス | ローター複数基停止でも水平飛行継続 |
| 車載・機内通信 | CAN-FD / 車載Ethernet | 確定性TSN（IEEE 802.1Qbv）/ ARINC 664 | ジッター < 1µs、マイクロ秒単位で保証 |
FAA（米国連邦航空局）やEASA（欧州航空安全機関）、CAAC（中国民用航空局）が定める耐空性基準において、乗客および地上の第三者に致命傷を与える「破滅的事故（Catastrophic Condition）」の発生確率は$10^{-9}$/飛行時間未満（10億時間に1回以下）に抑えられなければなりません。
この数値を満たすためには、機体を構成するあらゆるコンポーネント（推進系、電源、通信バス、アビオニクス、センサー）から単一障害点（SPOF: Single Point of Failure）を数理的・物理的に100%排除することが求められます。
2. DEP（分散電気推進）アーキテクチャ：機械的SPOFの根絶とトルクベクタリング
従来のヘリコプターが抱えていた最大の構造的弱点は、推進力と揚力のすべてを単一のメインローターと複雑な機械伝達機構に依存していた点です。
致命的単一障害点（SPOF）の連鎖
- 主減速ギアボックス: 歯車欠損や焼き付きが即座にメインローター停止に直結
- スワッシュプレート: 複雑な機械リンクが破断すれば操縦不能で墜落
- 単一動力依存: タービン停止時は過酷なオートローテーション頼み
DEP（分散電気推進）による完全冗長化
- 8〜16基独立ローター: 機械的トランスミッションを全廃しダイレクト駆動
- 高圧独立マルチDCバス: 4〜8系統の完全分離電源で電力喪失を局所化
- ミリ秒トルクベクタリング: ローター2〜3基停止でも対角推力で姿勢維持
ヘリコプターでは、メインローターの角度を周期的に変化させる「スワッシュプレート」や、エンジンの高回転を減速する「ギアボックス」に亀裂や焼き付きが生じると、瞬時に飛行不能に陥ります。
これに対し、eVTOLが採用するDEP（Distributed Electric Propulsion：分散電気推進）は、機械的なギアや可変ピッチ機構を廃止し、複数の独立した小型電動ローターを翼面や機体フレームに分散配置します。
📊 推進システムのアーキテクチャ比較
| 項目 | 従来の小型ヘリコプター | 民生用大型ドローン | 認証グレードeVTOL (DEP) |
|---|---|---|---|
| 動力源 | 単発/双発タービンまたはレシプロ | 単一LiPoバッテリー | 高圧独立マルチDCバス（4〜8系統） |
| アクチュエータ | スワッシュプレート＋油圧ピストン | 4〜6基の汎用BLDCモータ | 8〜16基の航空級FOC二重巻線PMSM |
| 単一障害点 (SPOF) | ギアボックス、ローターハブ等多数 | フライトコントローラ、電源基板 | ゼロ（全系統物理・電気的完全分離） |
| ローター破損耐性 | 破損時は即座にオートローテーション | 1基停止で墜落リスク極大 | 2〜3基が同時停止しても水平飛行・着陸可能 |
| 制御応答周期 | 10Hz〜20Hz（機械リンケージ遅延） | 50Hz〜100Hz（PWM制御） | 1000Hz（CAN-FD / TSN確定性制御） |
動的トルクベクタリングによる姿勢維持アルゴリズム
万が一、強風や鳥衝突（バードストライク）によって右翼側のローター2基が空中停止した場合、DEP制御アルゴリズムはミリ秒単位で残存ローターの出力（回転数）を再配分します。
各モータに直結された二重巻線インバータがFOC（磁界配向制御）により瞬時にトルクを増減させ、失われた揚力とヨー方向のモーメントを対角・隣接ローターの差動トルクで相殺。パイロット（または自律操縦システム）が操縦桿を激しく修正することなく、機体の姿勢安定性を自動で回復します。
3. 2oo3多数決冗長型アビオニクス：異種ハードウェアとフォールト隔離
推進系がどれほど物理的に冗長化されていても、それらを統括するフライトコントロールコンピュータ（FCC: Flight Control Computer）が1台でも誤作動を起こせば機体は制御を失います。ここで導入されるのが、宇宙往還機や原子力プラントで培われた「2oo3（2-out-of-3: 3者中2者合致）多数決冗長アビオニクス」です。
2oo3（2-out-of-3）多数決冗長アビオニクス
異種CPUアーキテクチャと光ファイバーCCDLによるミリ秒多数決コンセンサス網
Channel A: ARM Cortex-R8
ロックステップ機能付き高信頼性リアルタイムプロセッサ。確定論的航空制御タスクを並列実行。
Channel B: 航空認証 RISC-V Safety Core
完全検証済みオープン命令セット。ARM系と共通のシリコンエラッタ・最適化バグを完全に排除。
Channel C: 独立 FPGA / PowerPC
ハードウェアステートマシン構成。2対1の多数決判定ゲートにより異常チャネルを1ms以内に物理切断。
共通要因故障（CCF）を打破する「異種多重化」
同一メーカーの同一CPUを3台並べただけでは、シリコンチップの微細構造に潜む未知のエラッタや、共通のコンパイラ最適化バグによる「同時クラッシュ（Common Cause Failure: 共通要因故障）」を防ぐことができません。
そのため、認証グレードのeVTOLアビオニクスでは「異種ハードウェア・ダイバーシティ」が徹底されます。
- Channel A: ARM Cortex-R8（ロックステップ機能付き高信頼性プロセッサ）
- Channel B: 航空認証済みRISC-V Safety Core（オープン命令セットによる完全検証コア）
- Channel C: 独立したFPGA / PowerPCベースのハードウェアステートマシン
3つのチャネルは光ファイバーCCDL（Cross-Channel Data Link）を介してミリ秒単位で演算結果（目標舵角・スラスト指令値）を照合します。宇宙線や電磁ノイズによって1基のメモリに単一ビット反転（SEU: Single Event Upset）が生じ、異常値が出力された場合、残る2基の多数決一致によって異常チャネルは1ミリ秒以内に制御権を剥奪され、システムから切り離されます。
4. 1000Hz確定性TSNネットワークとDO-178C Level A検証スタック
多重化されたセンサー、FCC、インバータを結ぶ機内データ通信には、極めて高い帯域幅と絶対的な時間確定性が求められます。
確定性TSNネットワーク（IEEE 802.1Qbv）機内ドメイン分離
時分割多元接続（TDMA）とハードウェア隔離によるクリティカル航空データ保護
フライトコントロール・ドメイン
FCC × 3基 ── TSN ── DEPインバータ・モータ群。ジッター1µs未満、帯域保証タイムスロットで直結。
ミッション・知覚センサ・ドメイン
4D-LiDAR、ミリ波レーダー、対地対空データリンク。ハードウェア・ゲートウェイで制御系と完全物理隔離。
キャビン＆テレメトリ・ドメイン
乗客用ディスプレイ、衛星LTE通信、UTM運航管理。一方向データダイオード通信でサイバー侵入を阻止。
Time-Sensitive Networking（TSN）がもたらす決定論的制御
従来の航空機で主流だったARINC 429（最大通信速度100kbps）では、数十基のモータ状態や高精度LiDAR点群データをリアルタイムに伝送することは不可能です。
eVTOLでは、イーサネット規格を拡張したTSN（Time-Sensitive Networking：IEEE 802.1Qbv / 802.1CB）が採用されています。時分割多元接続（TDMA）により、飛行制御パケットのための専用タイムスロットをマイクロ秒単位で厳密にスケジューリング。一般のデータトラフィックがどれほど混雑しても、姿勢制御コマンドはジッター1µs未満、遅延100µs以内で確実にアクチュエータへ到達します。
📊 航空機内通信規格と機能安全特性の比較
| 規格名 | 最大帯域 | レイテンシ / ジッター | 冗長化方式 | 主な適用領域 |
|---|---|---|---|---|
| ARINC 429 | 100 kbps | 数ミリ秒 / 非確定 | 単一方向ポイント・ツー・ポイント | 従来型固定翼機の計器通信 |
| CAN-FD | 5 Mbps | 100µs〜1ms / 衝突制御あり | デュアルバス切り替え | 車載制御、一部ドローン |
| ARINC 664 (AFDX) | 100 Mbps | < 1ms / 仮想リンク帯域保証 | デュアルネットワーク並列送信 | ボーイング787、エアバスA350 |
| TSN (IEEE 802.1Qbv) | 1 Gbps〜10 Gbps | < 10µs / 確定性（ジッター < 1µs） | IEEE 802.1CBフレーム複製・即時除去 | 次世代認証eVTOL統合アビオニクス |
DO-178C Level A：ソフトウェア完全性への要求
ソフトウェア面では、航空宇宙規格の頂点に位置するDO-178C Level Aが課されます。
- MC/DC（Modified Condition/Decision Coverage）100%: ソースコード内のすべての論理条件が、独立して判定結果を変化させ得ることをテストで網羅的に証明。
- 形式検証（Formal Verification）: 数学的手法を用いて、デッドロックやバッファオーバーフローが理論上100%発生しないことを証明。
- 動的フォールトインジェクション試験: 飛行シミュレータ上で意図的に通信断絶やパケット破損、メモリビット反転を注入し、2oo3アビオニクスが正常に縮退運転へ移行できるかを検証。
5. 世界の型式証明（TC）進捗と商業化へのロードマップ
航空機の型式証明（TC）は、「工業製品として商業運航を許可する」ための国家機関による最終関門です。現在、中国、米国、欧州においてそれぞれ異なるアプローチで実用化基準が策定されています。
📊 主要地域におけるeVTOL型式証明と技術アプローチ
| 地域・航空当局 | 主な認証基準・枠組み | 主要プレイヤーと技術アプローチ |
|---|---|---|
| 中国 (CAAC) | CCAR-21 / CCAR-23（先行商用枠組み） | 億航智能（EHang EH216-S） が世界初の無人自律飛行TC取得済み。低空経済特区でのエアタクシー・観光ルート先行運航を推進。 |
| 欧州 (EASA) | SC-VTOL（$10^{-9}$/h 耐空性基準の厳格適用） | リリウム（Lilium）、ボロコプター（Volocopter） 等が審査中。大型旅客機と同等の極限安全要求を課す。 |
| 米国 (FAA) | Part 21.17(b) パワードリフト新規制 | ジョビー（Joby Aviation）、アーチャー（Archer） 等が審査中。パイロット搭乗モデルから段階的に自律運航へ移行する方針。 |
中国のCAACは、EHang EH216-Sの型式証明取得に見られるように、都市間コリドーや観光ルートを限定した「自律型無人eVTOL」の先行認証で世界をリードしています。
一方、EASAのSC-VTOL規格や米FAAの枠組みは、当初はパイロット搭乗を前提としつつ、1000Hz TSNや三重化アビオニクスを義務付けることで、将来的な無人エアタクシー運行へのスムーズな移行パスを設計しています。
さらに、地上側ではUTM（Unmanned Traffic Management：無人航空機運航管理システム）とのリアルタイム暗号化テレメトリが不可欠です。機体のバッテリー残量、モータ健全性、気象レーダー情報が5G/衛星リンクを通じて地上管制センターへ常時ブロードキャストされ、空中交通のデコンフリクション（衝突回避）が自律的に実行されます。
6. 結論：都市上空を拓くのは「信頼性工学の極致」
eVTOLがもたらす都市交通革命の本質は、空を飛ぶ機体の奇抜なデザインや最高速度ではありません。その真価は、「自動車の電動化技術（高出力PMSM・高圧バッテリー）と、航空宇宙の極限信頼性工学（2oo3多数決冗長・確定性TSN・DO-178C Level A）が完全に融合したこと」にあります。
「eVTOLの本質は奇抜なデザインではなく、自動車の超高密度電動化技術と航空宇宙の極限信頼性工学が融合した点にある。機械的SPOFを全廃し、シリコンのエラーをマイクロ秒で封じ込めるアーキテクチャこそが日常の公共交通への決定打となる。」—— 次世代エアモビリティ航空安全設計思想
機械的な単一障害点（SPOF）をDEP分散推進によって物理的に排除し、シリコンの微細エラーを三重化アビオニクスがマイクロ秒で封じ込め、確定性ネットワークがミリ秒単位のトルクベクタリングを支える——この堅牢な安全アーキテクチャの確立こそが、SFの夢物語だった「空飛ぶクルマ」を、人類が日常的に命を預けられる次世代の公共交通インフラへと変貌させる決定打となっています。
コメント
...