リスク分析･評価手法について

2018.9.28
NTTセキュアプラットフォーム研究所
五郎丸秀樹

Copyright©2018 NTT corp. All Rights Reserved.

索引

1. 社会セキュリティとリスクの関係
2. リスクとは
3. リスク分析評価手法について

Copyright©2018 NTT corp. All Rights Reserved.

2

１．社会セキュリティとリスクの関係
リスク対応

本発表の箇所

インシデント発生

危機対応

復旧
時間

ISO31000 リスクマネジメント

ISO22301
事業継続マネジメントシステム

IEC/ISO31010
リスクアセスメント技法

ISO22320
緊急事態管理-危機対応
ISO22325
緊急事態管理能力の評価

・・・

・・・

ISO31000
ISO22301
リスクアセスメント
リスク特定
リスク分析
リスク評価

リスク対応

４～６章
モニタリング及びレビュー

コミュニケーション及び協議

範囲，状況，基準

Action

Check

Plan

８章

Do

ISO22320
緊急事態管理危機対応

記録及び報告Copyright©2018 NTT corp. All Rights Reserved.

3

２．リスクとは• 「リスク」の言葉自体がリスク– 不明瞭で似た意味の言葉が多い• Risk（リスク）: 自由意思で冒す危険「イタリア語：危険を冒す」「ラテン語：勇気をもって試みる」「アラビア語：明日の糧」
危険（人や物を形容的に示す言葉）の一般的な用語

DangerHazardRisk（リスク）

偶発性の強い避けがたい危険。
負傷的損失・自然界の力差し迫った進行中の危険。経済的損失

Peril

現実的で予測可能な危険。
自ら冒す危険「これとこれがハザードだ（ハザードは数えられる。損害発生の可能性を高める条件）」「リスクが高い、低い（リスクは損害発生の可能性）」「ペリルは、事故や災害が現実に発生し避難が求められているもの（損害を現実に生じさせる作用）」「危険な動物」「危機が迫る」危機（人の立場・環境などを示す言葉）、事象、災害

Incident
emergency
Crisisdisaster
catastrophe

Copyright©2018 NTT corp. All Rights Reserved.

4

２．リスクとは• 分野や時代によって使われ方が違う
– 分野
•
•
•
•
•
•

社会リスク：事業継続の中断・阻害による損失
情報リスク：情報（紙も含む）の機密性、完全性、可用性の損失
サイバーリスク：情報システムの可用性の損失
製品安全リスク：製品安全の損失
環境リスク：環境の悪化
金融リスク：投機により損失にも利得にもなりうる

負の影響
正の影響

– 時代
•

昔は限られた分野のみ使用
–
–
–

•

ISO/IECGuide73：2002のリスクの定義–•

1960年代以前では、宇宙開発、軍事産業などごく限られた分野でだけ使用
1960年代末から米国国防省（DOD)の規格MIL-STDシリーズが産業界で活用
1970年代に商用原子力施設の安全を評価するためにリスクアセスメントが実施「事象の発生確率と事象の結果の組み合わせ」» 備考１ 用語「リスク」は一般的に少なくとも好ましくない結果を得られる可能性がある場合にだけ使われる

ISOGuide73：2009のリスクの定義–「諸目的に対する不確かさの影響」» 備考1 影響とは、期待されていることから良い方向・悪い方向へ逸脱すること

国際標準規格の最新版の汎用的な「リスク」を使用する
Copyright©2018 NTT corp. All Rights Reserved.

5リスクの定義（ISO 31000)• リスク
目的に対する不確かさの影響

影響
乖離
期待

対象

目的

不確かさ

好ましい方向乖離
好ましくない方向• 注記１ 影響とは、期待されていることからかい（乖）離することをいう。影響は、好ましい方
向、好ましくない方向および両方に進み、そして「機会と脅威」へと導いたり創造したり帰着したりすることがある。
• 注記２ 目的は、異なった側面とカテゴリーがあり、異なったレベルで設定されることがある。
• 注記３ リスクは、リスク源、起こり得る事象、それらの結果、そしてそれらの起こりやすさとの組み合わせによって表現されることが多い。
Copyright©2018 NTT corp. All Rights Reserved.

6リスクの定義（ISO 31000)【リスクの因果関係】
因果リスク源 それ自体又はほかとの組み合わせ

事象

目的

結果

影響
＋/－

因果

起こりやすさによって、リスクを生じさせる力を潜在的にもっている要素

ある一連の周辺状況の出現又は変化

目的に影響を与える事象の結末• 注記１ 影響とは、期待されていることからかい（乖）離することをいう。影響は、好ましい方
向、好ましくない方向および両方に進み、そして「機会と脅威」へと導いたり創造したり帰着したりすることがある。
• 注記２ 目的は、異なった側面とカテゴリーがあり、異なったレベルで設定されることがある。
• 注記３ リスクは、リスク源、起こり得る事象、それらの結果、そしてそれらの起こりやすさとの組み合わせによって表現されることが多い。
Copyright©2018 NTT corp. All Rights Reserved.

7

３．１ 各業界の状況
航空業界

原子力業界

人的要因による分析評価手法をいち早く開発し大きく発展した・4M-4E
・RCA(根本原因分析)
・SHEL
・ASRS(航空安全報告システム)

炉心溶解に至る確率を計算する
ためリスク評価としてHRA(人間
信頼性解析）が発展

・HRA [THERP, ATHEANA]
・HPES，J-HPES・H2-SAFER

医療業界 専門化・分業化により適用が遅れていたが，医療の実態に合わせ変更した分析評価手法が使われ始めた
化学プラント業界 規格などで分析評価手法として
HAZOPが推奨されていたため定着した
自動車業界 規格などで分析評価手法として
FMEAが業界で推奨されていたため定着した．

・VA-RCA・Medical-SAFER
・HAZOP・相対危険度分析手法
・チェックリスト法
・PHA
・FMEA
・FTA
・HAZOP
Copyright©2018 NTT corp. All Rights Reserved.

8

３．１ 各業界の状況
航空業界

・4M-4E
人的要因による分析評価手法を ・RCA(根本原因分析)
・SHEL
いち早く開発し大きく発展した各業界で重視している箇所に合わせて独自に発展
・ASRS(航空安全報告システム)・航空業界：人と環境（他の人，機械など）
原子力業界
・HRA [THERP, ATHEANA]
炉心溶解に至る確率を計算する
・原子力業界：人の過誤率
・HPES，J-HPESためリスク評価としてHRA(人間・医療業界：人的要因の特定
・H2-SAFER
信頼性解析）が発展
・化学プラント業界：正常時からの逸脱の有無
医療業界 専門化・分業化により適用が遅れ ・VA-RCA
・自動車業界：評価対象（ハードウェア，業務のプロセス等）ていたが，医療の実態に合わせ・Medical-SAFERなど
変更した分析評価手法が使われ始めた
化学プラント業界 規格などで分析評価手法として
HAZOPが推奨されていたため定着した

・HAZOP・相対危険度分析手法
・チェックリスト法
・PHA

50種類以上存在し、乱立状態
自動車業界 規格などで分析評価手法として
FMEAが業界で推奨されていたため定着した．

・FMEA・FTA
・HAZOP
Copyright©2018 NTT corp. All Rights Reserved.

9

３．２ 分類について
IEC/ISO 31010

ISO 31000

リスクアセスメント
リスク特定
リスク分析
リスク評価

リスク対応
記録及び報告モニタリング及びレビュー

コミュニケーション及び協議

範囲，状況，基準

分析評価手法ブレーンストーミング
構造化又は半構造化インタビュー
デルファイ法
チェックリスト
予備的ハザード分析（PHA）
HAZOP スタディーズ
ハザード分析及び必須管理点（HACCP）
環境リスクアセスメント（毒性リスクアセスメント）
構造化“Whatif”技法（SWIFT）
シナリオ分析
事業影響度分析（BIA）
根本原因分析（RCA）
故障モード・影響解析（FMEA）
故障の木解析（FTA）
事象の木解析（ETA）
原因・結果分析（CCA)
原因影響分析（特性要因図（魚骨線図））
防護層解析（LOPA）
決定木解析
人間信頼性分析（HRA）
ちょう（蝶）ネクタイ分析
信頼性重視保全（RCM）
スニーク回路解析（SCA）
マルコフ解析
モンテカルロシミュレーション
ベイズ統計及びベイズネット
FN 曲線
リスク指標
リスクマトリックス
費用／便益分析（CBA）
多基準意思決定分析（MCDA）

手法は31種類

Copyright©2018 NTT corp. All Rights Reserved.

10

３．２ 分類について
IEC/ISO 31010
IEC/ISO31010の分類は不十分

分析評価手法ブレーンストーミング
構造化又は半構造化インタビュー
デルファイ法
チェックリスト
予備的ハザード分析（PHA）• リスクアセスメントの種類として6種類、リスク特定の方法 HAZOP スタディーズ
ハザード分析及び必須管理点（HACCP）
として3種類示しているが、全 環境リスクアセスメント（毒性リスクアセスメント）
構造化“Whatif”技法（SWIFT）てに適用しているわけではな シナリオ分析
事業影響度分析（BIA）
い。
根本原因分析（RCA）• リスク特定の適用性について 故障モード・影響解析（FMEA）
故障の木解析（FTA）「適用不可」の部分もあるが、 事象の木解析（ETA）
内容を見ると必ずしも適用不 原因・結果分析（CCA)
原因影響分析（特性要因図（魚骨線図））
防護層解析（LOPA）
可とは限らない（例えばRCA 決定木解析
では背後要因を調べる営み 人間信頼性分析（HRA）
ちょう（蝶）ネクタイ分析
であり、他の手法との違いが 信頼性重視保全（RCM）
スニーク回路解析（SCA）
必ずしも明確ではない）。
マルコフ解析
モンテカルロシミュレーション
ベイズ統計及びベイズネット
FN 曲線
リスク指標
リスクマトリックス
費用／便益分析（CBA）
多基準意思決定分析（MCDA）

リスクアセスメントの種類

リスク特定方法

適用性

支援法
洗出し法
機能分析
シナリオ分析
支援法

証拠に基づく方法
系統的アプローチ
・帰能的推論法
系統的アプローチ

推奨

系統的アプローチ

シナリオ分析

可
不可
推奨

機能分析
系統的アプローチ
シナリオ分析
管理策のアセスメント
支援法
管理策のアセスメント
機能分析

可
推奨
可
不可
推奨
不可
推奨
可

統計的手法

不可
可
推奨
可

Copyright©2018 NTT corp. All Rights Reserved.

11

３．２ 分類について
事故の誘発度（Coupling：システム内機能の結合度)を縦軸に，システムの管理難易度（Manageability）※1を横軸にして「対象サービス」と「24種類の手法」を図で分類
Hollnagelの分類†
事故が
拡大し
易い

事故が
拡大し
難い

②③
①
扱い易い

①事故が拡大し難く，かつ扱い易いシステム
対象：郵便局や製造業など
手法：FMEA, FTA, RCA, J-HPES 等②事故が拡大し易く，かつ扱い易いシステム
対象：ダムや電車など
手法：ATHEANA, AcciMap 等③事故が拡大し易く，かつ扱い難いシステム
対象：原子力発電所や金融相場など
手法：FRAM, STAMP等

扱い難い※1：管理難易度 ＝ 精密度（Description） × 不安定度（Instability) × 理解難度（Comprehensibility)（精密度：単純⇔複雑，不安定度：安定⇔不安定，理解難度：判り易い⇔判り難い）†：下記参考文献を基に発表者が手を加えて記述した。
・Erik Hollnagel, Josephine Speziali: Study on Developments in Accident Investigation Methods: A Survey of the State-of-the-Art (2008),
Copyright©2018 NTT corp. All Rights Reserved. 12
https://hal.archives-ouvertes.fr/hal-00569424/document

３．２ 分類について

尾崎らの分類†①③②④①：THERPなどのHRA②：ETA, FTA, VTA③：ガイドライン評価やチェックリスト④：なぜなぜ分析（RCA）

定量・定性を縦軸に，事前・事後を横軸に分析評価手法を分類†：下記参考文献を基に発表者が手を加えて記述した。
・尾崎禎彦，大井 忠：原子力プラント運転・保守におけるヒューマンエラー評価技術に関する研究-分析・評価ツール-，福井工業大学研究紀要 第41号(2011).

Copyright©2018 NTT corp. All Rights Reserved.

13

３．２ 分類について
IEC/ISO 31010
分析評価手法Hollnagelの分類

ブレーンストーミング
構造化又は半構造化インタビュー
デルファイ法
チェックリスト
予備的ハザード分析（PHA）
HAZOP スタディーズ
ハザード分析及び必須管理点（HACCP）
環境リスクアセスメント（毒性リスクアセスメント）
構造化“Whatif”技法（SWIFT）
シナリオ分析
事業影響度分析（BIA）
根本原因分析（RCA）
故障モード・影響解析（FMEA）
故障の木解析（FTA）
事象の木解析（ETA）
原因・結果分析（CCA)
原因影響分析（特性要因図（魚骨線図））
防護層解析（LOPA）
決定木解析
人間信頼性分析（HRA）
ちょう（蝶）ネクタイ分析
信頼性重視保全（RCM）
スニーク回路解析（SCA）
マルコフ解析
モンテカルロシミュレーション
ベイズ統計及びベイズネット
FN 曲線
リスク指標
リスクマトリックス
費用／便益分析（CBA）
多基準意思決定分析（MCDA）

Hollnagelは24種類，
IEC/ISO 31010では31種類の手法を挙げているが，重なっている手法は4種類であること

Copyright©2018 NTT corp. All Rights Reserved.

14

３．２ 分類について
IEC/ISO 31010
分析評価手法Hollnagelの分類との殆どがHRA

ブレーンストーミング
構造化又は半構造化インタビュー
デルファイ法
チェックリスト
予備的ハザード分析（PHA）
HAZOP スタディーズ
ハザード分析及び必須管理点（HACCP）
環境リスクアセスメント（毒性リスクアセスメント）
構造化“Whatif”技法（SWIFT）
シナリオ分析
事業影響度分析（BIA）
根本原因分析（RCA）
故障モード・影響解析（FMEA）
故障の木解析（FTA）
事象の木解析（ETA）
原因・結果分析（CCA)
原因影響分析（特性要因図（魚骨線図））
防護層解析（LOPA）
決定木解析
人間信頼性分析（HRA）
ちょう（蝶）ネクタイ分析
信頼性重視保全（RCM）
スニーク回路解析（SCA）
マルコフ解析
モンテカルロシミュレーション
ベイズ統計及びベイズネット
FN 曲線
リスク指標
リスクマトリックス
費用／便益分析（CBA）
多基準意思決定分析（MCDA）

尾崎らの分類

尾崎らやIEC/ISO 31010ではHRAとして一括りにまとめているが，HollnagelはHRA
を細かく分けている．

Copyright©2018 NTT corp. All Rights Reserved.

15

３．２ 分類について
JIS Q 31010

Hollnagelの分類

チェックリスト
予備的ハザード分析（PHA）
ブレーンストーミング
構造化又は半構造化インタビュー
デルファイ法
構造化“Whatif”技法（SWIFT）
人間信頼性分析（HRA）
シナリオ分析
環境リスクアセスメント（毒性リスクアセスメント）
事業影響度分析（BIA）
故障の木解析（FTA）
事象の木解析（ETA）
原因・結果分析（CCA)
故障モード・影響解析（FMEA）
信頼性重視保全（RCM）
スニーク回路解析（SCA）
HAZOP スタディーズ
ハザード分析及び必須管理点（HACCP）
防護層解析（LOPA）
ちょう（蝶）ネクタイ分析
マルコフ解析
モンテカルロシミュレーション
ベイズ統計及びベイズネット
根本原因分析（RCA）
原因影響分析
決定木解析
FN 曲線
リスク指標
リスクマトリックス
費用／便益分析（CBA）
多基準意思決定分析（MCDA）

分析評価手法の適切な分類は存在しない
尾崎らの分類分類する評価者の観点の違い• 粒度が異なる• 取り上げる手法の範囲が異なるとの殆どがHRACopyright©2018 NTT corp. All Rights Reserved.

16

３．３ 歴史的背景• 産業事故における主要な要因• 昔は技術的要因（機械の故障等）が主．今は大幅に減少• ヒューマンファクターズが現在の要因の主流• 組織要因による事故が増加し，安全管理が必要
FTA
HAZOP
FMEA

FMECA

技術
RCA
THERP

ATHEANA

ヒューマンファクターズ
（ヒューマンエラー）
CREAM

組織
FRAM

1979
スリーマイル
島原発事故

1986
スペースシャトル
チャレンジャー爆発事故
チェルノブイリ原発爆発事故

事故（Accident)における各要因の割合 （１９６０年～２０１０年）††：下記参考文献を基に発表者が手を加えて記述した。
Copyright©2018 NTT corp. All Rights Reserved.
Erik Hollnagel : On How (Not) To Learn from Accidents,
http://www.uis.no/getfile.php/Konferanser/Presentasjoner/Ulykkesgransking%202010/EH_AcciLearn_short.pdf

17

不安

３．３．１ 技術の時代• 時代：18世紀後半～• 事故の捉え方• 「技術（機械）自体に問題がある」という産業革命以来の見方。
– 産業革命以前は自然災害が死亡事故の主流• 主な評価分析手法– FMEA（FMECA),HAZOP,FTA 【信頼性工学で使用されている手法】– 主に軍事・宇宙航空分野で使用
FMEA(Failure mode and effects analysis：故障モード・影響解析）– 故障モード※1からのボトムアップで，その影響を明らかにする技法• 単独故障モードの特定だけ使用可能．複合故障モードの特定には使用不可
作業要素（サブ
故障モード
影響
プロセス）
購入リスト 1.1要求者から必要品を買わ1.1a購買者の内容の聞き漏れ
作成
要望を聞く
ないこと
単位作業

影響解析
重要度
頻度 影響度 検知度 （RPN)
5

4

3

60

対策概要

対策番
号

最後に復唱

A.1.1.1※1：故障モードとは，故障している，又は正しく動作していないと観測される状態である。例えば，断線，短絡，折損，摩耗，特性の劣化など（JIS Q 31010:2009, JIS Z8115:2000)
Copyright©2018 NTT corp. All Rights Reserved.

18

参考：HAZOP†• HAZOP（Hazard and Operability Studies）– 設計・運転上の意図からの「ずれ」すなわちプロセス異常をほぼ自動的に想定• HAZOP ガイドワードと呼ばれる7種類の手引き用語を使用
HAZOPガイドワード例

HAZOP実施例†：下記参考文献を基に発表者が手を加えて記述した。
・日本規格協会. リスクマネジメント‐リスクアセスメント技法 JIS 31010:2010. 日本規格協会, 2010.
・土屋 仁：HAZOPを用いた医療事故分析，鈴鹿医療科学大学大学院(2014)，http://www.suzuka-u.ac.jp/information/bulletin/pdf/2014/15_01_tuchiya.pdf
Copyright©2018 NTT corp. All Rights Reserved.

19参考：FTA†• FTA (Fault Tree Analysis)– 上位（ハザード）から論理展開し因果関係（発生要因）を明示する手法• その発生が好ましくない事象について、発生経路、発生要因及び発生確率をフォー
ルトの木を用いて解析

FTA実施例†：下記参考文献を基に発表者が手を加えて記述した。
・日本規格協会. リスクマネジメント‐リスクアセスメント技法 JIS 31010:2010. 日本規格協会, 2010.
Copyright©2018 NTT corp. All Rights Reserved.

20

３．３．２ ヒューマンファクターズの時代• 時代：1950年代～• 事故の捉え方– 技術からヒューマンエラーへ• 技術が発達し技術的要因が減り，ヒューマンエラーに焦点が当たっていった• ヒューマンエラーは「人はエラーを起こす」という考え方

安定

不安

Copyright©2018 NTT corp. All Rights Reserved.

21

参考：ヒューマンエラー
基本的なエラーの範囲•

Swainの形態別定義†–

オミッションエラー•

意図しない行為

スリップ（やり間違い）実行すべきことをしない– コミッションエラー
注意不足•
実行すべきでないことをする（強い習慣による）侵入
オミッション（必要なことをしない）
逆に実施（順序や位置を逆にする行為）
注文間違い（順序間違い）
時機を誤る（タイミング違い）
記憶の間違い計画した行為を省略（抜け）進捗の見失い意図の度忘れ

不安全行為
ラスプ（やり忘れ）

意図した行為
ミステイク（意図の誤り）

ルールベースのミステイク
良いルールの誤用（不適切な状況で適用された健全な規則）
悪いルールの適用（不健全な規則の適用）
知識ベースのミステイク
多くの可変的な形（規則が適用されていない状況での判断誤り，不十分な知識や経験）

日常的な違反例外的な違反破壊活動行為バイオレーション（規則違反）

Reasonの不安全行為の定義††：下記参考文献を基に発表者が手を加えて記述した。
・James Reason: Human Error, Cambridge University Press (1990).
・ Swain, A. D. & Guttmann, H. E. : Handbook of Human Reliability Analysis with Emphasis on Nuclear Power Plant Application, U.S. NRC-NUREG/CR-1278 (1980).
Copyright©2018 NTT corp. All Rights Reserved.

22

３．３．２ ヒューマンファクターズの時代• 時代：1950年代～• 事故の捉え方– 技術からヒューマンエラーへ• 技術が発達し技術的要因が減り，ヒューマンエラーに焦点が当たっていった• ヒューマンエラーは「人はエラーを起こす」という考え方

不安

安定– ヒューマンエラーからヒューマンファクターズへ• ヒューマンファクターズは「人はシステムの一部」という考え方
Management
管理

Liveware
人間
Media
環境

Environment
環境

Software
ソフトウェアMachine
機械・モノ
Hardwareハードウェア人はシステムの一部
1979年
スリーマイル島原発事故

人よりも周りの影響が大きいCopyright©2018 NTT corp. All Rights Reserved.

23

３．３．２ ヒューマンファクターズの時代
PRA(Probabilistic Risk Assessment：確率的リスクアセスメント）の１つ• HRA（Human Reliable Analysis：人間信頼性解析） 「人的過誤率」とも呼ばれている– 第一世代HRA：THERP(1983）

人間はシステムの一部••

HEP(Human error probability:ヒューマンエラー確率）をPSF(Performance shaping
factor:行動形成要因）で補正
行動上のエラーのみに焦点を当てている（問題分析のエラーや認知的ミステイクを無視）– 第二世代HRA：ATHEANA(1996)
人間は正しいが状況に依存••PSF(行動形成要因）が主。HEP＝P(エラー｜状況）・P(状況）1979年のスリーマイル島の原発事故の反省から問題分析のエラーや認知的ミステイクも
焦点

Management
管理

Liveware
人間
Media
環境

Environment
環境

Software
ソフトウェアMachine
機械・モノ
Hardwareハードウェア

人よりも周りの影響が大きい人は正しく行動
Copyright©2018 NTT corp. All Rights Reserved.

24参考： THERP†• Technique for Human Error Rate Prediction(1983）– 第一世代HRAであり、HEP(Human error probability:ヒューマンエラー確率）をPSF(Performance shaping factor:行動形成要因）で補正• 行動上のエラーのみに焦点を当てている（問題分析のエラーや認知的ミステイク
を無視）– 系統的人間信頼性評価: ヒューマンエラーの発生確率を予知し、ヒューマンエラー単独またはマンマシンシステムの劣化を評価すること• 炉心溶融に至るケースをFTAで洗い出し，そのイベントへのヒューマンエラー確率の寄与をTHERPで評価し、炉心溶融の発生確率(10-5/炉心年を目安）を求めている
標準HEP(normal-HEP)
PSFによる修正
基本HEP(basic-HEP：BHEP)
EFによる修正BHEP／EF ≦ HEP ≦ BHEP×EF
Basic HEP：基本HEP

Error Factor：エラー補正因子

ヒューマンエラー確率のデータベースの例†：下記参考文献を基に発表者が手を加えて記述した。
・尾崎禎彦，大井 忠：原子力プラント運転・保守におけるヒューマンエラー評価技術に関する研究-分析・評価ツール-，福井工業大学研究紀要 第41号(2011).
・高野研一: 「安全率を考える」第５ 大規模システムと安全率, “ J. of the Jpn. Landslide Soc”., Vol.44 No.6 421 pp.78-83 (2008).
Copyright©2018 NTT corp. All Rights Reserved.

25参考：人よりも周りの影響の方が大きい• 基本的帰属錯誤 対応バイアス– 内的な性格に帰属→他人の行動• お年寄りに席を譲る

あの人は親
切な人だ

– 他人は「あの人は親切な人だ」– 本人は「親切だから譲った，のではなく，困っている人がいたから譲った」• 行為者観察者効果 認知バイアス

困っている人がいたから譲った– 外的なものに帰属→自分の行動– 見る人の立場によって変わってくる（記憶・知覚 認知バイアス），• 毎回遅刻する人

あの人はだらしない人だ– 他人は「あの人はだらしない人だ」– 本人は「バスがなかなか来なかった」
バスが来なかったから乗り遅れた他人に対しては、気質的または個性的な面を重視しすぎて、状況的な面を軽視しすぎる傾向
Copyright©2018 NTT corp. All Rights Reserved.

26

３．３．３ 安全管理の時代

1979年
スリーマイル島原発事故

１９８６年
スペースシャトルチャレンジャー爆発事故
チェルノブイリ原発爆発事故• 時代：1995年代～• 事故の捉え方– 「個人から組織へ（組織事故）」– 「要素機能の不具合から複雑な要素機能間の共鳴へ（機能共鳴型事故）」

組織

組織事故
主な手法：
AcciMap (1997)， HFACS(2003)
Copyright©2018 NTT corp. All Rights Reserved.

27

参考：AcciMap†• 事故原因がシステム全体に渡るときに，それを視覚的に表現する事故分析法– 時間とともに経済的・生産性圧力がどのように業務遂行に影響し，システムの防御性や業務遂行の減退をもたらす，という組織事故の考え．

†：下記参考文献を基に発表者が手を加えて記述した。
・ポール・サイモン他5名、小松原明哲訳：事故分析のためのヒューマンファクターズ手法、海文堂出版、2016
Copyright©2018 NTT corp. All Rights Reserved.

28

参考： HFACS †• Human Factors Analysis and Classification System• 組織の４つのレベルにおける失敗モード分類を提供する（不安全行為、不安全行為の前提要因、不安全な監督要素、そして組織の影響要素）– Wiegmann and Shappell (2003)は、スイスチーズモデルが航空事故分析のモデルとして使えるように、モデルの各レベルの問題形態の詳細分析を検討し、Reasonのモデルと航空事故報告の分析に基づき、HFACSを開発

4つのレベルの細分化
組織的影響レベルでは３つのカテゴリーが用いられる• リソースマネジメント（例えば、要員配置・配員、過度なコスト削減、貧弱な設計）• 組織風土（例えば、組織構造、運営方針、組織文化）• 組織プロセス（例えば、時間圧、指示命令、リスク管理）
不安全な管理・監督カテゴリーは４つの管理システムの問題により構成される。
• 不十分な管理・監督• 不適切なオペレーション計画• 既知の問題修正の失敗• 監督上の違反
不安全行為を起こす背後要因のレベルは３つのカテゴリーから成る。
• オペレーターの状態（不適切な心的状態、不適切な生理的状態、
身体的・精神的限界）• 環境要因（物理的環境、技術的環境）• 人員要因（CRM (Crew Resource Management例えばチーム
ワークやリーダーシップの欠如),人的レディネス（例えば不十分な訓練や、貧弱な食習慣））
不安全行為にはエラーと違反があり、３つの基本的なエラータイプが定義されている。
• 技能エラー• 判断エラー• 知覚エラー
違反は• 日常的違反• 例外的違反†：下記参考文献を基に発表者が手を加えて記述した。
・ポール・サイモン他5名、小松原明哲訳：事故分析のためのヒューマンファクターズ手法、海文堂出版、2016

Copyright©2018 NTT corp. All Rights Reserved.

29

３．３．３ 安全管理の時代

1979年
スリーマイル島原発事故

１９８６年
スペースシャトルチャレンジャー爆発事故
チェルノブイリ原発爆発事故• 時代：1995年代～• 事故の捉え方– 「個人から組織へ（組織事故）」– 「要素機能の不具合から複雑な要素機能間の共鳴へ（機能共鳴型事故）」

組織

組織事故
主な手法：
AcciMap (1997)， HFACS(2003)

複雑・緊密

機能共鳴型事故
主な手法：
STAMP(2002)，FRAM(2004)
Copyright©2018 NTT corp. All Rights Reserved.

30参考：FRAM†
Functional Resonance Accident Model– E.Hollnagelが提案した事故分析モデル．RCA(根本原因分析：例えば連関図，
時系列図，FTA,TVA等）の手法では分析しきれない「機能共鳴型事故」に対応するため．
– システムを構成する機能同士の変動がどのように連鎖し，共鳴して事故が起こるかという状況を表すモデル– FRAMの基本記号は，入力（Input）から入った情報が人間の行動や機能の働きの結果，出力（Output）となって出されるという流れ

機能の六角形表現
FRAM分析結果例†：下記参考文献を基に発表者が手を加えて記述した。
・三角竜二：エラーマネジメントに関する調査研、究第２グループエラーマネジメント研究会平成１９年度活動報告（2008).
Copyright©2018 NTT corp. All Rights Reserved.

31

参考：STAMP/STPA†• STAMP（Systems-Theoretic Accident Model and Process）： システム理論に基づく事故
モデル• STPA（STAMP based Process Analysis）：STAMPに基づく安全解析法• システムを構成するサブシステムやコンポーネントに不具合がなくとも，サブシステムやコン
ポーネントの組み合わせによって全体のシステムにおける不具合が発生するという機能共鳴型事故の考え．

Control Structure

ガイドワードから非安全制御動作（UCA)を特定

コンポーネント間のデータの授受を識別

1. “Not Provided”必要なコントロールアクションが供給されない
2. “Incorrectly Provided”誤った⾮安全なコントロールアクションが供給される
3. “Provided Too Early, Too Late, or Out of Sequence”意図しないタイミ
ングで供給される
4. “Stopped Too Soon”途中で⽌まる（または必要以上に⻑く実施される）Control Loop Diagram
ハザード要因（HFC)を特定†：下記参考文献を基に発表者が手を加えて記述した。
・IPA:はじめてのSTAMP/STPA～システム思考に基づく新しい安全性解析手法～、2016
Copyright©2018 NTT corp. All Rights Reserved.

32

３．４ 事故のモデル– 「複雑な要素機能の共鳴が事故を起こす」– 「事故は個人よりも組織の影響が大きい」– 「人が事故を防ぐ」

複雑・緊密

事故要因は個人から組織へ
機能共鳴による事故
ノーマルアクシデント・組織事故

組織人が事故を防ぐ
うまくいくことを増やす
高信頼性組織、安全文化、レジリエンス工学

Copyright©2018 NTT corp. All Rights Reserved.

33

３．４ 事故のモデル
1. ノーマル・アクシデント理論（NAT: Normal Accident Theory（1984））– システムにとってアクシデントは避けられないシステムの固有の特性– 1979年のスリーマイル島の原発事故がきっかけ。事故をもたらした組織的要因の解明のため。

2. 高信頼性理論（HRT: High Reliability Theory（1980年代後半））– NATに対抗する理論。バークレー・グループとWeick & Sutcliffeの研究が有名．
– 事故の危険性が高い状況下にあっても高い信頼性を保っている組織（HROs)の分析

3. 安全文化– 安全文化の概念は1986年のチェルノブイリ事故に関するIAEAの事故調査から生み出された– Reason:「組織事故」（1997）において、理想的な安全文化は、経営トップの性格やその時の経営状態にかかわらず，安全性を最大にするという目標に向
かってシステムを動かし続けるエンジンのような役割を果たすもの。

4. レジリエンス工学（2006）– 人間工学におけるレジリエンス。レジリエンスとは、予期できなかった条件下でも、求められるオペレーションを継続可能にする本質的能力。
– うまくいかない事象を減らす事よりも、うまくいく事象の数を増加させること
Copyright©2018 NTT corp. All Rights Reserved.

34

参考：ノーマル・アクシデント理論†• Normal Accident Theory (NAT)– システムにとってアクシデントは避けられないシステムの固有の特性••

複雑さ（Complex)と事故の拡大し易さ（Tight)がアクシデントを引き起こす
ノーマルとは、アクシデントの頻発性や予測可能性の意味ではなく、システムにとって避けられない、という意味– Charles Perrow が唱えた理論。1979年のスリーマイル島の原発事故がきっかけ
線形（単純）

相互作用

複雑

事故が拡大し易い

事故の誘発度（Coupling：システム
内機能の結合度)を縦軸に，システ
ムの複雑度（Interaction:相互作用）を横軸にして各システムを４つ
に分類

事故が拡大
し難い

システムの誘発度と複雑度の図†下記の参考文献を基に発表者が手を加えて記述した。
・藤川なつこ: 高危険組織の構造統制と組織化―ノーマル・アクシデント理論と高信頼性理論の統合的考察ー、経済科学第60巻3号, pp.51-69 (2013).
・ Erik Hollnagel, Josephine Speziali: Study on Developments in Accident
Investigation Methods: A Survey of the State-of-the-Art (2008),
https://hal.archives-ouvertes.fr/hal-00569424/document
・Charles Perrow: “Normal Accidents: Living With High-Risk Technologies(Princeton Paperbacks)”, Princeton Univ Pr(1998).

Copyright©2018 NTT corp. All Rights Reserved.

35

参考：高信頼性組織†• 高信頼性組織（HROs ：High−Reliability
Organization)

HROｓの特徴– 定義は「つねに過酷な条件下で活動しながらも事故発生件数を相応量以下に抑えている組
織」– 2つの潮流• Roberts(バークレーグループ）– 高信頼性の実績を残す組織を取り上げ、ノーマルアクシデントの課題を解決できていることを示した※2。

•

Weick & Sutcliffe– 人の多様性を推奨する文化（直接のコミュニケーションと多種多様な人たちからなる作業）によって、シス
テムの多様性に対処できることを示した。

†：下記参考文献から一部抜粋し転記した。
・藤川なつこ: 高危険組織の構造統制と組織化―ノーマル・アクシデント理論と高信頼性理論の統合的考察ー、経済科学第60巻3号, pp.51-69 (2013).
・長谷川尚子：不測の事態を抑止し， 対処できる組織の要件〜高信頼性組織レジリエンス，
安全文化を踏まえて〜，REAJ誌2014Vo..36.No.2, pp.113-120 (2014).
・中西晶：高信頼性組織への招待、REAJ誌、Vol.34 No.5 (2012)

Copyright©2018 NTT corp. All Rights Reserved.

36

参考：安全文化（Reason)†• 安全文化（Safety Culture)

Reasonによる安全文化– 理想的な安全文化••

経営トップの性格やその時の経営状態にかかわらず， 安全性を最大にするという目標に向かってシステムを動かし続けるエンジンのような役割を果たす.
このエンジンの駆動力は， リスクに対して継続的に注意を向け，警戒を怠らないこと– 警戒状態を継続するのに最も良い方法••

安全情報システムを構築して正しい種類のデー
タ（ヒヤリハット事象や軽微な事象）を集め，重大な兆候の定期的なチェックや，教訓の収集・分析・普及を行うこと

– 背景
•
•

表面的なエラーや故障だけではなく，組織要因が関与して発生（特にチェルノブイリ事故）
組織事故：長年の安全性軽視や工程優先などの組織要因によって「潜在条件のぬけ道」を通じて徐々に防護が無力化し，不安全行為が引き金となって防護が崩壊し，大惨事を引き起こす†：下記参考文献から一部抜粋し転記した。
・長谷川尚子：不測の事態を抑止し， 対処できる組織の要件〜高信頼性組織レジリエンス， 安全文化を踏まえて〜，REAJ誌2014Vo..36.No.2, pp.113-120 (2014).

Copyright©2018 NTT corp. All Rights Reserved.

37

参考：レジリエンス工学†• Resilience Engineering

能力を実現するための4つの基軸– 組織がトラブルを回避するために．a．悪いことが起きないようにする，b．悪いことが悪化しないようにする，c ．起こってしまった悪いことからリカバリーする，ための能力を指す（Westrum）．
– 目的は、うまくいかない事象を減らす事
よりも、うまくいく事象の数を増加させること– 第一人者： Erik Hollnagel– 人間工学におけるレジリエンスは，2000
年初頭頃か ら 「レジリエンス工学（Resilience Engineering）」として提唱された．
Respond
Learn

Monitor

すべきことを知る
起こったこと
注目すべき
を知る
ことを知る

Anticipate

予期するも
のを知る

レジリエンスの４つのコーナーストーン†：下記参考文献から一部抜粋し転記した。
・長谷川尚子：不測の事態を抑止し， 対処できる組織の要件〜高信頼性組織レジリエンス， 安全文化を踏まえて〜，REAJ誌2014Vo..36.No.2, pp.113-120 (2014).
・Erik Hollnagel他3名： “ Resilience Engineering in Practice: A Guidebook”, Ashgate Publishing Limited(2010).
Copyright©2018 NTT corp. All Rights Reserved.

38

３．４ 事故のモデル• 単純線形モデル†– Heinrichのドミノモデル（1930）、連鎖モデル（Sequential Model)とも呼ばれる• 事故は１つの根本原因からの連続的な失敗から発生– RCA、FMEAやFTAはこのモデルに近い分析評価手法• 単一故障（１つの根本原因）に対応．
– 途中で失敗を断ち切ることで事故を防ぐ– 複数同時故障には対応していない．

事故発生

事故回避

†：下記参考文献を基に発表者が手を加えて記述した。
H.W. Heinrich: Industrial Accident Prevention, 3rd edition, McGraw-Hill Book
Company Inc (1950).
Copyright©2018 NTT corp. All Rights Reserved.

39

３．４ 事故のモデル• 複雑線形モデル†– Reasonのスイスチーズモデル（1990）とも呼ばれる• 事故は複数の防護壁の劣化– AcciMap (1997)， HFACS(2003)はこのモデルに近い分析評価手法• 組織事故を想定（複数同時事故）– システムや要素の相互間の複合要因による機能共鳴型事故には十分対応していない．

事故発生†：下記参考文献を基に発表者が手を加えて記述した。
James Reason :Human error: models and management, British Medical Journal 320(7237), pp.768-770 (2000).

Copyright©2018 NTT corp. All Rights Reserved.

40

３．４ 事故のモデル• 非線形モデル†– 機能共鳴モデルやシステミックモデル とも言われている• STAMP，FRAMがこのモデルに対応可能な分析評価手法である
1. 各要素機能が動的に変動．
2. 変動周期が共鳴し3. 安全限界を超えた大きな変動により事故が発生
ポジティブ

要素機能の変動機能
ネガティブ

見えない機能要素や知らない機能要素

時間

安全限界

事故・ 障害発生

システ ム機能の変動システムの要素機能†：下記参考文献を基に発表者が手を加えて記述した。
古田一雄: レジリエンス工学 残留リスクにどう向き合えばいいのか、 総合資源エネルギー調査会原子力の自主的安全性向上に関するWG 第6回会合資料４、http://www.meti.go.jp/committee/sougouenergy/denryoku_gas/genshiryoku/anzen_wg/pdf/006_04_00.pdf Copyright©2018 NTT corp. All Rights Reserved.

41

End

Copyright©2018 NTT corp. All Rights Reserved.

42