複合系の本質：危険性、事故、そして人間の適応

複合系（複雑で相互に関連するシステム）は本質的に危険であり、その性質上回避が不可能です。交通システムや医療、電力発電など、興味深い分野すべてに危険性が内在しています。プロセス自体は不可減的に危険ですが、危険への曝露頻度を変化させることが「防御策」創出の駆動力となります。

以下に複合系の特性、事故メカニズム、そして安全性の本質について整理しました。

1. 複合系の防御構造と故障の性質

複合系は故障に対して大規模かつ成功した防御を構築されていますが、完全な安全性は得られません。

多層的な防御システム

• 技術的コンポーネント: 予備システムや機器の「安全機能」など。
• 人的コンポーネント: 研修、知識の共有など。
• 組織的・制度的コンポーネント: 方針、手順、認証、業務規則、チーム研修など。
• 防御の役割: これらの措置は、事故から運営を逸らすための「シールド（盾）」として機能します。

大惨事の発生メカニズム

• 多重故障の必要性: 単一のポイントの故障だけでは大惨事は起こりません。防御網は通常機能しており、システム運営は成功しています。
• 小規模故障の結合: 小さく無害に思える複数の故障が結合することで、システム事故への「機会」が創出されます。
  • 各々の小故障は惨事発生には必要ですが、それ単体では事故を許可しません。
  • 顕在的な事故よりも多くの故障機会は存在しますが、大半は意図された安全コンポーネントで遮断され、一部は運用者によってブロックされます。

潜伏故障と劣化

• 変化し続ける混合物: システム内部には常に変化する「潜伏故障」の混合物が存在します。
  • 複雑さゆえに複数の欠陥を持ちながら動作することは不可能ではありませんが、個々の欠陥では失敗を引き起こすのに不十分です。
  • 技術変化や組織変化により、故障の状況は絶えず変化しています。
• 劣化状態での運行: 複合系は本質的に「故障した系」のように動作します。
  • システムが機能し続けるのは、極めて多くの冗長性と、欠陥がある中でも人間がそれを制御できる能力によるものです。
  • 事故レビューでは、事故直前に大惨事を招く可能性が高かった「プロト・アクシデント（予兆事故）」が歴史的に見られることが指摘されます。

2. 事故分析の限界とバイアス

事故後に「根本原因」を追究したり、人間の行動を評価したりする際、いくつかの本質的な誤解やバイアスが存在します。

「根本原因」への帰属は本質的に誤り

• 単一原因の不存在: 顕在故障には複数の欠陥が必要であるため、事故には孤立した単一の「原因」は存在しません。
• 寄与要因の結合: 事故には複数の不十分な要因がありますが、これらが相互に結合されて初めて事故を創出します。
• 社会的ニーズ: 「根本原因」という推論に基づく評価は、技術的理解ではなく、特定の局所的な事象への責任追及という社会的・文化的ニーズを満たすために行われることが多いです。

後見バイアス（Hindsight Bias）の問題

• 結果の歪み: 事故の結果が分かると、当時に実践者に対して実際よりも突出して目立っていた要因が見えてしまいます。
  • これは ex post facto（事後）分析の不正確さを意味します。
  • 実践者は「当然」失敗を予見していたように見え、実際の不確実性が無視されます。
• 認知的特性: これは医学や技術的な判断の特性ではなく、過去の出来事の原因に関する人間の認知全般の特性です。

シャープエンドでの行動と曖昧さ

• 二重の役割: 実践者は「生産者」と「失敗への防衛者」の二重の役割を同時に担っています。
  • 外部者は、平時は生産的役割、事故後は防衛的役割が強調される傾向にあり、両者が常に同時に行われていることを誤解しがちです。
• ギャンブルとしての行動: すべての実践者の行動はギャンブルであり、不確実な結果の面前で行われています。
  • 事故後には「過ち」と見なされますが、成功した結果もまたギャンブルの結果です。
  • この逆説的な側面は広く認識されていません。
• 組織的な曖昧さ: 組織は生産目標やコスト、リスク許容度について意図的に曖昧です。
  • システムの最前線（シャープエンド）での実践者の行動が、これらの全ての曖昧さを解決します。

3. 安全性の本質と人間の専門性

安全性は製品を買えるものではなく、システム全体の特性として創出されます。

安全性の創出

• 創発的特性: 安全性はシステムの特性であり、個々の部品や組織部門には存在しません。購入も製造もできません。
• 動的なプロセス: 安全性は原料のように操作できず、絶え間ないシステム変化に伴って常に変化しています。
• 人による創造: 事故のない運営は、許容性能の範囲内にシステムを維持するために働く人々の活動の結果です。
  • 大半は表面的にシンプルですが、トラブルフリーではない状況に適応することで刻一刻と安全が創出されます。
  • 新しい組み合わせやゼロから (de novo) の新手法が生まれることもあります。

人間の専門性と適応

• 再構築: 実践者と管理部門は、生産最大化と事故最小化のためにシステムを積極的に再構築します。
  • 適応策の例:
    1. 脆弱部の再設計（故障曝露低減）。
    2. 高需要領域へのリソース集約。
    3. 撤退または回復経路の提供。
    4. パフォーマンス変化の早期検出手段の設定。
• 絶えず変化する専門性:
  • 技能向上と洗練はシステム機能の一部です。
  • システム内には、異なるレベルの専門性を有する実践者と研修生が常に共存しています。
  • 課題: 限られた専門性を最も困難なニーズとして活用する必要性、および将来に向けて専門性を開発する必要性が存在します。

4. 変化と新しい失敗形式

信頼性の高いシステムへの移行や技術革新は、新たなリスクを生む可能性があります。

• トレードオフの存在:
  • 顕在事故（低重大度・高頻度）を減らすための変化（新技術導入）が、新たな低頻度だが高重大度の失敗の機会を生み出すことがあります。
  • 理解しやすい失敗を排除し高精度パフォーマンスを獲得する過程で、大規模な惨事への新しい経路が導入されます。
• 事前の不可視性:
  • 新しい失敗形式は事前に認識難しく、注意は有益な特性に向けられがちです。
  • 低頻度であるため、複数のシステム変化が積み重まるまで事故に至ることも多く、技術による寄与を見極めるのが困難になります。

5. 結論：なぜ「原因」を追うべきではないか

• 防御策の限界: 事故後の処置（「人間の過ち」に対する対策）は、活動への妨害を前提としており、再発防止にほとんど寄与しません。
  • 実際には潜伏故障のパターンが絶えず変化しており、同様の事故確率は既に極めて低くなっています。
  • 安全向上ではなく、システムのカップリングと複雑性を増大させ、事故経路の検出・遮断を困難にします。
• 失敗との親密な接触:
  • 危険を認識し許容性能範囲内に保つには、失敗と親密な接触が必要です。
  • 「エッジ・オブ・ザ・エンベロープ（限界）」を識別できるシステムこそが、ロバストなパフォーマンスを生みます。
  • オペレーターは本質的に危険なシステムにおいて、全体的に望ましいパフォーマンスにつながる方法で危険性に出会い、理解することが期待されます。
  • 改善された安全性は、オペレーターへの危険性の較正された視点と、「エッジ」移動の理解を提供することによって実現されます。