第 6 回横幹連合コンファレンス
2015.12.5-12.6 名古屋工業大学

レジリエンスへの科学的アプローチ○丸山 宏（統計数理研究所）
A Scientific Approach to Resilience* Hiroshi Maruyama (The Institute of Statistical Mathematics)
Abstract－ Some systems are resilient (and thus sustainable) while others are not. Our question is, are there
common features that make systems more resilient? By investigating many different domains we are trying tounderstand the science behind resilience. Following the tradition of science, we first categorize various resilientand non-resilient systems into taxonomy and make a catalogue of resilience strategies. Then we propose amathematical model to represent resilience and draw some implications from it.
Index terms－ Resilience, Sustainability, Interdisciplinary research

はじめに図を持たないものと，サイバー攻撃・テロ・戦争など攻撃者による意図的なものがある．意図を持たない擾
乱は，システムの状態や目的に関わらず，一定の確率生態システム，工学システム，社会システムなど，分布によってランダムに生じると考えられることがで様々な領域において，擾乱に対して弾力的(レジリエンきる．一方，意図的な攻撃は，その目的に従って，シト)であり，生き残るシステムもあれば，生き残ることステムの最も脆弱な点を突くなど創造的かつ最適化さができずに消えてなくなっていくシステムもある．レ
れたものとなる．
ジリエントなシステムとそうでないシステムの間には
頻度どのような違いがあるのだろうか？ 我々は，システム
擾乱には，高頻度で起きるものもあれば，極めて稀なのレジリエンスを科学的に解明するため，情報・シスものもある．WHOによれば，2010年には全世界で124
テム研究機構の領域横断的研究プロジェクト「システ1万人が交通事故で死亡したという．交通事故は被害者
ムズ・レジリエンス」を2012年に立ち上げた ．本稿でにとって致命的な脅威であり，これだけの高い頻度では，その4年間にわたるプロジェクトにおける主要な成起きるからには，何らかの対策を施さなければならな果[1]を概括する．
い．一方，1,000メガトンクラスのエネルギーを持つ隕
科学の伝統に従って，我々は(1)既存のシステムを観石衝突は1万年から10万年の頻度で起きると考えられ察し，分類することによってその原理的な性質を導くている．しかし，このように極めて稀な事象に対してのと共に，(2)レジリエンスに関して数理的なモデルを備えることは，コスト的に合わないかもしれない．こ作り，そのモデルから理論的な性質を導く，という２のような場合は，リスクを認識した上で敢えて対策をつのアプローチを取った．本稿では次章で前者の結果として様々なレジリエンスのタクソノミについて述べ， しない，という選択もありうる．
予測可能性
それらに対して有効な戦略を3章で議論する．
4章では， 擾乱を予測できる場合がある．近年では台風の進路はそれらの知見にもとづいてレジリエンスの理論的なフかなりの精度で予測できるものの一つである．台風のレームワークを提案しその意味するところについて述
上陸地点が予測できれば，水害が予想される地域からべる．の事前の避難を行うことができる．一方，地震につい
2 タクソノミては，長期的な時間軸において統計的な予測はできるが，特定の大規模地震の時刻と震源を事前に予測する
レジリエンスは文脈に依存する概念である．あるシことは難しい．このような場合，レジリエンス戦略のステムがレジリエントである，と言うときに，それが主眼は，予測に基づく事前準備ではなく，事象発生後どういう擾乱に対してなのか，対象とするシステムはの緊急対応と回復に充てられることになるだろう．
何か，どのステークホルダの観点からなのか，など様々

継続時間な状況によって見方が変わる．従って，我々はまず，擾乱はその発生から終了までの継続時間に大きなバリレジリエンスの文脈を定義しなければならない．多くエーションがある．落雷はその発生から終了までが極のレジリエンスに関する先行研究を調査した結果，めて短時間であり，その間に何か対応できる可能性は
我々はレジリエンスの文脈は，少なくも1)擾乱のタイ小さい．一方，地球温暖化のような擾乱では，その継プ，2)対象とするシステム，3)回復のタイプの３つの続時間が極めて長い．事象の継続時間が長ければ，そ軸に整理することができると考える．
それらについて， の発生を検出して対応することは，有効なレジリエン以下に見ていく．
ス戦略となる．この事象継続時間は，絶対的な長さではなく，対応スピードとの相対的な長さであることに注意されたい．
地震は比較的継続時間が短い事象だが，2.1 擾乱のタイプ
それでも震源における地震発生から，対象となる地域に地震波が達するまでには距離に応じて数秒から数分
意図の有無の時間差がある．
擾乱には地震・台風・津波など自然災害のように，意
内部性
1
自然災害や意図的な攻撃などの擾乱はシステムの外
http://systemsresilience.org/

1

部から来る．一方，システムの内部から発生する脅威もある．Per Bakらは，有名な「砂山モデル」で，単調に複雑さを増していくシステムは自己崩壊することを示した[5]．2008年に発生した金融危機は典型的な内部崩壊の例である．
2.2 対象システム
レジリエンスのタクソノミの2つ目の軸は，対象となるシステムそのものである．

等以上である限り，異なる構造に変化することも可能である．
適応的レジリエンス
状況によっては，システムはその機能や目的を失ったとしても，別の機能・目的を持った新たなシステムとして生まれ変わった時に，少なくともあるレベルの同一性を維持できればレジリエントであると考えることもできる．

3

レジリエンス戦略

システムをレジリエントにする戦略は様々なものが対象領域考えられる．我々は，それらの戦略を，Fig.1に示すレレジリエンスは様々な対象領域で研究されている．
ジリエンス・サイクルに沿って整理する．
生態学，生物学，金融，社会コミュニティ，組織などである．
粒度
レジリエンスを語る時に，個別の個体を対象とするのか，個体の集合として考えるのか，で粒度の差がある．心理学におけるレジリエンスは，個人の心がいかに精神的外傷から回復するかについて考える．一方，社会におけるレジリエンスでは，個人の生存も重要であるが，社会全体の存続が主眼となる．生態学におけるレジリエンスでは，系が多数の種からなり，そのうちの幾つかの種が滅亡しても，系全体が存続すればそれはレジリエントな生態系と考えるのが一般的である．
このように「誰にとってのレジリエンスか」という観点は，特に多様なステークホルダが絡む社会システムのレジリエンスにとって重要な観点となる．
能動性
Fig. 1: Resilience Cycle
生物や生態系などのシステムは，擾乱に対する回復
3.1 設計時のレジリエンス戦略のメカニズムを内在的に持ち，自律的にレジリエントだと言える．
地球上の生物はおよそ40億年前に発生し，自然に発生した生態系等を除き，多くのシステムはその後何度も絶滅の危機に瀕したが今でもその子孫はシステム設計時にレジリエントになるよう意図的に設存続している．これを我々は受動的レジリエンスと呼計されている．設計時に組み込まれるレジリエンス戦
ぶ．一方，社会システムや企業などは，その維持に人
略には以下の様なものがある．
間の知的作業による介入が強く関わっている．人間の冗長性
知的作業が介入することによって擾乱に対応するとき， 
冗長性戦略にはいくつかのパターンがある．マージ
我々はこれを能動的レジリエンスと呼ぶ．
ンの増大は，より高い津波に耐える防潮堤を作る，な
機能あるシステムは，明確にその目的関数を持っている． ど，想定する擾乱を大きくし，それに耐えるシステムとする，という考え方である．多重化は，データセン
企業の業績は，売上高や利益など，少数の明確に定義ターにおいて電源やネットワークをバックアップするされた指標で評価できる．一方，社会コミュニティの系統を準備するなど，システムの運用に不可欠なリソように，多数のステークホルダがいて，システム全体ースが擾乱によって失われないようにする．相互運用の目的関数がはっきりしない場合もある．
性は，多重化と似ているが，複数のサブシステムのバックアップ資源の相互運用性を向上させることにより，2.3 回復のタイプより少ないバックアップ資源で多重化の効果を出す．
多様性
システムがレジリエントであるとは，擾乱に対して多様性は，想定できない擾乱に対して，システムの何らかの回復が行われるということである．この回復一部がダメージを受けたとしても，他の部分が生き残についてもいくつかのタイプが考えられる．
ることによってシステムの存続を図るのに有効な戦略
構造的レジリエンスである．多様性を導入する方法にも，いくつかのパタシステムが擾乱の前と全く同じ構造に戻る時に，こーンがある．多様性指標管理は，組織においてマイノ
れを構造的レジリエンスと呼ぶことにする．工学的シリティ従業員の割合を管理することによって，直接的ステムにおいて，破損した部品を交換することがこれに多様性を維持するなど、多様性指標を管理する考えにあたる．
方である．
ポートフォリオは，多様性指標管理の中で，機能的レジリエンス
特に金融の世界で使われる概念である．このため，間システムが機能を維持するためには，必ずしも擾乱接的に多様性を導入するための戦略として，収穫逓減前と同じ構造に戻る必要はない．システムの機能が同則の効果があることが知られている[1]．
ことができる．大型の台風が来ることがわかれば事前
資源・管理の分散化に公民館に集まるなど早期避難ができる．テロの危険
一般に，資源や管理が集中化しているシステムは全が高まったと判断すれば，警戒レベルを上げてより適体最適化がしやすいが，一旦中枢部分が壊れるとシス切に攻撃を検出したりタイミングよく対応したりするテム全体が存続の危機に陥る．分散化システムはよりことができる．
障害に強い。例えば，インターネットは（DNSなど一部を除き）分散システムとして設計されているために， 3.4 緊急時のレジリエンス戦略ネットワークの一部が失われたとしても柔軟に機能を回復することができる．
特に人命が関わるような事象の場合は，発生直後に
リスク転移特に必要な打ち手がある．これらを緊急時レジリエン比較的頻度が高く，生起確率やその期待損失がよくス戦略と呼ぶ．
わかっている擾乱に対しては，保険をかけるなどして， 擾乱の検出・損害評価
そのリスクを他者に転移することは有効な戦略である．
まずは発生した擾乱を検出しなければならない．擾
3.2 運用時のレジリエンス戦略システムが構築され，運用が始まった後でも，その通常運用時に適用されるレジリエンス戦略がある．
訓練
地震や火災など想定される災害に対して，その準備態勢を整えるために訓練を行うことは広く行われている．訓練には，事前に通告して行うスケジュールされた訓練と，抜き打ちで行う訓練がある．Googleなどのデータセンターにおいては， “Game Day”と称して抜き打ちで意図的に障害を注入する訓練も行っている．
マネジメントサイクル
システムが運用されていくと，当然その環境も変化するし，構成メンバーが変化する．また，工学システ
ムの場合は部品が劣化するなどの変化が生じる．これらの経時変化に対して，システムの本来設計された機能を維持するためには，PDCAサイクルを回すことが必須である．
効率化
擾乱が起きた場合，システムがその維持のために必要とする資源の供給がストップすることがある．このため，システムは通常運用時には，システムのアウトプットを最大化するような効率化を行い，できるだけ多くの予備資源を蓄積することが有効である．国であれば国民1人あたりGDP，企業であれば1株あたり利益のような指標が用いられる．
抑止
意図的な攻撃に対しては，抑止戦略も効果がある．
抑止に役立つのは，早期警戒や防護手段を見せることで攻撃が成功しないだろうと思わせることや，法的な制裁や，報復手段を持つことによって，攻撃を思いとどまらせるなどの方法がある．
3.3 早期警戒に関するレジリエンス戦略
擾乱がやってくることがわかれば，実際の擾乱が来る前にできることがある．

擾乱の予測
擾乱の予測には，データ収集とその分析が重要である．データ収集には，様々なセンサーネットワークが使われる．また，擾乱の予測には，数理的な予測モデルを作り，シミュレーションを行う．
早期対策
擾乱が予測される場合は，それに応じて対策を取る

乱の検出には，予測と同様にデータの収集とその分析が必須である．状況認識(Situational awareness)は，システムのデータの収集とそれに基づく分析を指す言葉として使われる．さらに，損害が起きた場合には，その損害の評価をすることが大切である．
ダメージコントロール
擾乱が検出され，被害が出たことがわかれば，次に行うことはそれ以上の被害拡大を避ける必要がある．
これがダメージコントロールである．ダメージコント
ロールには，いくつかの方策がある．原子力発電所のECCS(緊急炉心冷却装置)のようにシステムを自動停止するのはその一つである．また，コンピュータネッ
トワークがウィルスによって攻撃された際に，侵入を受けたマシンをネットワークから切り離すなど，被害を受けた部分を正常な部分から切り離す分離(Isolation)も重要な戦略である．
ポリシーの切り替え
緊急時には，システムの優先順位が変わることがある．通常時には，個人情報の保護は重要だが，ひとたび人命が関わる状況になれば，個人情報を保護するよりも人命を救助するほうを優先しなければならない．
このためには，個人情報保護のポリシーを一時的に切り替えなければならないかもしれない．

現場のエンパワメント
どんなに周到に準備をしていても，実際に緊急事態になると，想定していないことが起きるものである．
現場では，その場の状況に応じて臨機応変に対応する必要がある．このためには，現場で危機対応を行う第一応答者(first responder)がかなりの自由裁量を任されている必要がある．
3.5 回復時のレジリエンス戦略
人命に関わる緊急期が過ぎると，システムは回復期に入る．回復時には，以下の戦略が有効である．
資源割当の最適化
災害の復興などにおいては，その情報伝達の混乱から，必ずしも必要な資源が必要な場所に届かないことがある．資源を有効に，かつタイムリーに配送するためには，十分な情報の収集と，資源割当の最適化を行う必要がある．
利他主義
災害の際に，多くの人々が自分の利益を後回しにして他人を助けることで，コミュニティ全体の復興が進む例が複数報告されている．このように，非常時に利他的な行動を生み出す土壌を醸成しておくのもレジリエンス戦略といえる．
境界拡大
ある対象システムを回復しようとするとき，多くの外部システムに依存していることが判明し，結局のところより広いスコープのシステムの回復全体を考えなければならないことがある．広域災害時に企業の回復を考える際，企業そのものだけでなく，サプライチェーンを構成する取引先や，地域の市場の回復も同時に考えなければならないことなどが，それにあたる．状
況に応じて，システムの境界を柔軟に考えなければならないことがわかるだろう．
3.6 イノベーション時のレジリエンス戦略
システムに擾乱があったとき，それはリスクでもあるが，同時にシステムを再構成し，より良いシステムに発展させるチャンスでもある．我々はこれを，通常の回復によるレジリエンスを表現する “bounce back”という言葉に対して， “bounce forward”という言葉で表現することがある． “Bounce forward”のための戦略もいくつか考えることができる．
事後調査
擾乱が起きた後，事後調査を行い，その一連の事象，状況や意思決定の推移を再構成し，何が想定外だったのか，何がうまく行き，何がうまく行かなかったのかを調査することは，将来のシステムの設計のために重要な情報となる．
合意形成
コミュニティのように多くのステークホルダが関与するシステムでは，システムをどのようなものに“bounce forward”させるかには，ステークホルダの合意形成が必要である．住民参加で都市計画を考える参加型企画(participatory planning)という考え方は，合意形成の一つの方略である．また，法制度における共同規制(co-regulation)の考え方も，合意形成の一つの形であると言える．このような合意形成に使えるテクノロジーとしては，様々な選択肢の帰結をシミュレーションによって可視化する，などの方略がある．
研究開発投資
組織や社会が長期的にイノベーションを起こし，よりレジリエントになっていくためには，研究開発投資が有効な戦略の一つであることは改めて言うまでもないことだろう．
3.7 メタ戦略
以上，様々なレジリエンス戦略を概括したが，これらの戦略は常に有効であるとは限らない．それぞれの文脈に応じて，効果のある戦略もあれば，そうでない戦略もある．このため，我々は戦略選択の支援ツールとして，レジリエンスの文脈と戦略との対応表を作成しようとしている(Fig. 2)．これはまだ作業中の表であるが，一つのメタ戦略を示すものと言える．
また，戦略の間にはトレードオフがある．冗長性や多様性はコストのかかる戦略であり，そのためにシステムの効率が犠牲になり，有事に必要な資源の蓄積が足りなくなることもある．ダメージを受けた地域の分離は全体を救うには有効な手段だが，同時にその地域の住民には過剰な負担を強いることになる．これらのトレードオフを，どのようにバランスするかは，メタ戦略であり，我々としては今後の課題と考える．
4レジリエンスの数理モデル

複雑かつ大規模なシステムのレジリエンス性を評価するためには，汎用的な数理モデル上で様々な動的特性を解明する計算論的手法が不可欠である．我々は，計算機科学の知見を元に，レジリエンスの数理モデルを提案し，そこから論理的に導かれるいくつかの性質について議論する．
4.1 SR Model
我々は Fig. 3 に示すようにシステムの状態が，有限の記述で表現できると仮定する．このことは，システムの状態を長さ n のビット列で表すことができる，と言い換えることができる．システムは，2n 通りの異なる状態を持つことができる．
システムはある時点で，環境に適応している．環境への適応性は，これらのビット列に対する制約という形で表現することにする．環境（制約）C は，システ
ムの状態空間の部分集合として表す．一般にシステムの状態 s の環境 C に対する適応度はシステムの状態空間における適応度関数で定義できる．ここでは説明を簡略化するため，状態 s が環境 C に適応 (s∈C)していFig. 2: Taxonomy-Strategy Matrix

るかまたは不適応（s∉C）であるかの２値を考慮する適応度関数を考えることにする．システムの状態 s が環境 C に適応しているとは，s∈C が成り立つと定義する．
さて，環境 C が変化して，C'になったとしよう．もし，今のシステム状態 s が新たな環境に適応していない，すなわち s∉C'とする．その場合，システムは新しい環境に適応すべく，システム状態を変化させなければならない．例えば，一度に１ビットを反転させて s∈C'になるにはどれだけのステップがかかるか，という問題を考えよう．もし，環境の変化に対して常に kステップ以内で s∈C'とすることができれば，このシステムは k-レジリエントと呼ぶことにする．
これは非常にシンプルな数理モデルであるが，我々はこの考えを拡張してレジリエンスの数理モデル
SR-Model を構築した[2]．このモデルでは，レジリエンスは，外界の擾乱とシステム管理者の対応が交互に行われる，2 プレイヤーのゲームの軌跡(System StateTrajectory, SST)として解釈される(Fig. 4). この軌跡のコスト(あるいはコストの移動平均)がある閾値を超えない場合，システムはこの軌跡に関してレジリエントだったと定義する．

Fig. 4: Resilience as Two-Player Game
4.2 レジリエンスの指標
このモデルから得られる帰結の一つは，レジリエンスの指標に関するものである．レジリエンスの指標としてよく知られているのは，Bruneau による，ResilienceTriangle というものである(Fig. 4)．これは，起きた事象に対して，システムのパフォーマンスを計測し，本来あるべきパフォーマンスとの差を積分したもの(図でいえば三角形の部分の面積)をレジリエンスの指標とするものである．これを，事後レジリエンス指標(performance metric)と呼ぶ．Fig 4 における軌跡に対してコスト関数を割り当てることに相当する．
事後レジリエンス指標は，起きてしまった事象に対してシステムのレジリエンスを評価するのには使えるが，将来起きうる事象に対して，システムがレジリエントにふるまうかについての知見を与えてくれるわけ
事後レジリエンス指標(performance metric)
過去に生起した事象実証された指標
客観的絶対的指標

事前レジリエンス指標(competency metric)
将来の事象想定上の指標(しばしば)主観的相対的指標(「システム Aのほうがよりレジリエント」)
一つのタイムライン複数のタイムラインを考慮
Table 1: Performance Metric vs Competency Metricではない．我々が欲しいのは多くの場合，将来に起きうる事象に対して，システムがレジリエントであるかどうかの指標である．これを我々は事前レジリエンス指標(competency metric)と呼ぶ．事前レジリエンス指標を客観的に求めることは難しい．将来にどのような事象が生起するかわからないからである．このため，事前レジリエンス指標は多くの場合，ドメインに依存した主観的な指標となる．例えば都市におけるレジリエンスの評価においては，市民一人あたりの GDP，教育水準，失業率などの指標を組み合わせて，どの都市が将来の擾乱に対してよりレジリエントであるかを判断する，ということが行われている．このため，事後レジリエンス指標と事前レジリエンス指標を明確に結びつけることができない．
我々の SR-Model を用いると，事前レジリエンス指標は，「起きうるすべての将来に対しての事後レジリエンス指標の最大値」のような形で，事後レジリエンス指標と事前レジリエンス指標の間の関連付けを行うことができる．もちろん，このためには「起きうるすべての将来事象」を数え上げられることが前提となる．
4.3 レジリエンスの時間地平線
このモデルから理論的に得られる一つの帰結は，レジリエンスを語るには，有限の時間地平線を設ける必要がある，ということである．Fig. 4 において，外界の擾乱とシステムの回復が，それぞれシステムのコストを 50%の確率で+1, -1 すると仮定する．
そうすると，システムのコストの軌跡はランダムウォークとなる．

Fig. 4: Resilience Triangle
Fig. 5: Prob. Dist. of Cost of Random Walkランダムウォークの結果，コストが最終的に取る値は，このランダムウォークを無限回試行すれば初期コストを中心とした正規分布になることが知られている．
このことは，どんな有限の閾値を設定しても，時間軸を無限に取る限り，ゼロでない確率でシステムのコストが閾値を超えることを意味する．したがって，時間軸を無限に取る限り，レジリエンスを保証するシステムは実現できないことが理論的に示される．
レジリエンスを実際に議論する時には，時間地平線について意識することは少ないと思われるが，我々が狙うレジリエンスとは，次の 10 年なのか，100 年なのか，1,000 年なのか，というタイムスケールを意識してレジリエンスを議論することが重要である，というのが我々の数理モデルから言えることの一つである．
5終わりに様々なシステムのレジリエンスに関して，その科学的なアプローチについて議論した．レジリエンスの科学的解明には，多くの分野の知見を統合した学際的研究が不可欠であり，この分野の発展を期待したい．

謝辞
本プロジェクトは，情報・システム研究機構の新領域融合センターの活動の一環として，統計数理研究所，国立遺伝学研究所，国立情報学研究所他のメンバーとともに実施しているものである．プロジェクトをサポートしていただいた情報・システム研究機構の北川機構長と，プロジェクトを実施してくださったメンバーに感謝する．

参考文献
1) Hiroshi Maruyama and Kazuhiro Minami. Towards
Systems Resilience. Innovation and Supply ChainManagement. 7(3), 2013.
2) Nicolas Schwind, Tenda Okimoto, Katsumi Inoue, Hei
Chan, Tony Ribeiro, Kazuhiro Minami, and Hiroshi
Maruyama. Systems Resilience: a Challenge Problem
for Dynamic Constraint-Based Agent Systems. In Proceedings of the 12th International Conference on Autonomous Agents and Multiagent Systems (AAMAS),
May, 2013.