講 座Lecture「安全率を考える」第５回

Returning to the fundamentals of safety factor No．
５

５．大規模システムと安全率
Large scale complicate system and its safety factors

キーワード：大規模システム，確率的安全評価，組織要因，ヒューマンファクター
Key words：large scale system, probabilistic safety assessment, organizational factor, human factor
高野研一Ken-ichi TAKANO／慶応義塾大学Keio University

５．
１ はじめにスや違反（不安全行為）が引き金となってはいるが，こ近年発生した大規模プラントおよび大規模システムのの行為を引き起こした背景を探っていくと組織要因の問事故を俯瞰すると，システムそれ自身が持つ安全裕度に題に突き当たる。すなわち，経営層，管理層が進めた安問題のあった事例もあるが，それを取り巻く社会環境，全体制の緩慢な後退，工程管理・手順管理の形骸化，教組織（運用）環境，人的過誤が間接的に関わった事例が育の欠如，工程優先の職場風土など組織の安全文化に係圧倒的に多い。原子力業界で最大の事故であるチェルノブイリ原子力発電所事故は，当時のソビエト連邦の社会的疲弊，組織風土が引き起こしたことが広く認識され，表−１ 最近の大規模システムヒューマンファクターが関与した事故の要因

国際原子力機関はその報告書の中で組織における安全文化の重要性を説いている１）。このように，設備システム（ハード）の健全性を維持するためには，運用主体である組織および従業員の健全性が確保されて始めて可能となることから，設備システムと運用システムの双方を合わせて全体をシステムとして捉え，その安全性を考える必要がある。
図−１には原子力発電所等での過去の大事故をその発生時刻に着目して整理したものである。この一例でも分かるとおり，事故の発生時刻が夜半の作業者の覚醒水準がもっとも下がる時期（眠気の強い時期）と一致するな
ど運用する人・組織の問題が大きく関与していることを示唆する証拠は多い２）。
また，表−１に，組織の運用環境や人的過誤が関与したと思われる事故について，その問題点を列挙した３）。
インタフェースの不整合，規則違反，安全意識の低さなどが指摘されている。同じように，我が国で１９９９年から多発した大規模な事故についても，顕在的には人間のミ

図−１ 原子力等の大規模システムにおける事故の発生時刻

７８J. of the Jpn. Landslide Soc., Vol.44, No.6416 (2008)

わる問題点があったとされている。いくつかの具体的な見做される悪い慣行の横行，スペースシャトルでは打ち事故例を紹介する。

上げ予定日に間に合わせるための過密なスケジュールと職員の超過勤務，中華航空では自動操縦装置についてのスリーマイル島事故（１９７９）原子炉スクラム後の加圧器逃し弁の開固着（開いたま訓練などであるが，これらは，単純なヒューマンエラー

まになること。ただし，表示ランプは閉を示していた。）とは片づけられない面を含んでいる。これらを俯瞰するに気付かず（排気管温度の読み違い），また，加圧器のと，設備システムの安全率ばかりでなく，人・組織の安水位高の警報により，満水になることを恐れ（事実は水全率も同時に考慮することの重要性が理解できるであろ位が極端に低下していた。また，水位計はタグに隠れてう。

いた。
），自動的に起動した非常用高圧注入系を停止して５．
２ 大規模システムにおける安全率の考え方しまった。また，炉心冷却のための一次冷却材ポンプも大事故とそうでない事故の違いは，その影響の大小の停止してしまったため，炉内にダメージが発生した。運みである。影響の大小はその設備，システムが持つ潜在転員の過誤の背景には，以前から指摘されていた加圧器的な危険性の大小によって決定されるため，人・組織サ逃し弁の不調が早期に是正されなかったこと，運転ク

イドから見れば，その発生プロセスに大きな違いはない。

ルー全員が同じ精神状態（不安から恐怖）に陥ってしまっ

ただし，安全防護のためのバリアが全部崩壊してしまったこと，同時多発した警報（クリスマスツリー状態）なたケースと何枚かあるいは最後の一枚が残ったケースでどインタフェースの不備など，が指摘されている。

は，不適切な事象の連鎖の度合いは異なる。このように，

 羽田沖日航機墜落（１９８２）

不適切な事象の連鎖は確率的なものであり，偶然が支配パイロットの精神管理の不備により，着陸直前に逆噴する領域であることから，両者に本質的な違いはない。

射により海中に墜落したものである。健康診断での精神米国原子力運転協会（INPO）では，これまでの原子力状態のチェックが重要なことが示唆された。

発電所の顕在事象とニアミス事象の原因要素および状況

 大韓航空機撃墜（１９８３）

要素を比較した結果について述べ，両者に統計的に有意

フライト前の慣性航法装置への入力ミスが直接のきっな違いがないことを示している４）。

かけとなったが，その後，航路の逸脱に気付かず，また，しかしながら，大事故は一端発生すると甚大な被害をソ連戦闘機による示威行為へまったくレスポンスしな与える可能性があるので，特に原子力分野ではその防止かった。また，戦闘機側もスパイ機と民間航空の識別不に万全を期している。いわゆるラスムッセン報告に始ま十分（同形の航空機があった）なまま，撃墜してしまっる一連の確率論的安全評価では，炉心溶融（炉内構造物た。航路逸脱に気付かなかった原因として，コックピッが溶ける状態となり甚大な被害が想定される。映画「チャト内でのトランプ遊びに興じ，航路のチェックがおろそイナシンドローム」で想定された）に至る確率をヒューかになっていたとの推測も捨てきれない（過去に同様のマンエラー率を考慮して計算している。これは，炉心溶事例があった）。

融に至るケースをフォールトツリーで洗い出し，そのイ スペースシャトルチャレンジャー（１９８６）
打ち上げ日程が決められていたことから，それによるタイトなスケジュールによる超過勤務，組識内部の異常確認報告の取扱い，設計ミスなどの要因が重なって，燃ベントへの人的過誤率の寄与をTHERPと呼ばれる手法で評価することにより，その発生確率を求める手法である５）。
この手法の経緯を簡単に紹介すると以下の通りである。

料シール用のOリング（前から問題が指摘されていた）

炉心溶融確率は，原子力プラントの個々の機器の故障率のリークが発生した。発射当日の現地の気温がその耐寒などに基づき膨大な計算により炉心溶融確率を算出した

温度以下に下がっているという事実を見逃してしまった

ラスムッセン報告５）の公表を契機としている。しかしなためである。その結果，水素ガスが漏れ，発射直後の爆がら，この確率論的安全評価（PRA：Probabilistic Safety発に至ってしまった。

Assessment）による炉心溶融確率が低すぎるのではな 中華航空機名古屋空港墜落事故（１９９４）

いかとする反論がルイス報告６）によってなされた。その副操縦士が再着陸モード（ゴーイングアラウンドモー

根拠は，異常時オペレータ過誤率が低すぎること，共通ド）の解除方法を知らなかったため，自動操縦装置と手要因故障（同じ要因により複数の機器が故障すること）

動コントロールがコンフリクトを起こし，墜落に至ってが考慮されていないこと，などであったが，特に，人間しまった。パイロットの訓練と自動操縦装置の設計コン信頼性の評価があいまいであることが強く認識された。

セプトが問われた。

これにより，人間信頼性評価の再検討の機運が高まり，
SNLのSwain７）が中心となって，人間信頼性の評価を重このような過去の事故を見てくると，そこには何らか点的に実施し，NUREG／CR−１
２７８として発表した。この組識要因が絡んでいることが分かる。スリーマイル島の報告では人間の過誤率がオペレータの精神作業負荷

では故障修理がうやむやになっていたこと，羽田沖では（Mental workload）などのPSF（人間行動形成要因：Per-

従業員の精神面での健康管理，大韓航空では規則違反とformance Shaping Factors）に依存して変化すること，

J. of the Jpn. Landslide Soc., Vol.44, No.6417 (2008)

７９講 座人間信頼性の評価のベースとしてTHERP（系統的人間勢などの影響を受けやすい組織要因が，長い年月に渡り，信頼性評価：Technique for Human Reliability Analy-

潜在条件の抜け道を通って，幾重もの防護層が弱体化しsis）と呼ばれる手法を開発したこと，人間の指標的過た状態を作り出し，ある不安全行動が引き金となって事誤率（PSFを考慮しないベースとなる過誤率）を膨大な故が発生するという図式である１５）。このような傾向は実データや実験データを整理してデータベース化したこ

様々な製造装置やプラントなどの技術システムが複雑かとなどにより，高い評価を得ている。現在，人間信頼性つ大規模化したばかりでなく，社会情勢の変化により，を評価する手法として，De−BDA（詳細ブロック解析

それらを運用する社会システムや管理システムも遅まき

８，９）

図 ： Detailed block diagram analysis ） ， SLIM −ながら変貌を遂げつつあることと無縁ではないであろう。

MAUDE（成功尤度指標法：Success Likelihood Index

つまり，システムが複雑化・大規模化すれば，その信頼１０）

Methodology） ，SHERPA（系統的人的過誤低減予測性・安全性を維持するために前述の深層防護（多重防護）

手法：Systematic Human Error Reduction and Predic-の考え方を導入せざるを得なくなる。これらの複数の防１１）tion Approach） など多くの手法が用いられているが，護層に偶然あるいは意図的な欠陥が生じると，その防護依然としてダイナミックな運転操作中の人的過誤率およ層の数が多く，相互作用も複雑になりやすいため，十分び人間信頼性の算定には問題を残している。一方，最新な検査や監視が行き届かなくなる。また，防護層の弱体のPSAの実施手順書としてNUREG／CR−２３００１２）が，ま化，無力化が意図的に組織のコンセンサスが得られる形

１３）

た過誤率データベースとしてNUREG／CR−４０
１０ が用で実行されれば，ますます押し止めることは難しくなる。

意されるに至り，実在の原子力発電所の炉心溶融確率が５．
３ 人・組織を考慮した安全率の考え方の導入算定され，その値はおよそ１炉年あたり１０−４〜１０−６の間組織要因が大きくクローズアップされたのは，旧ソビ１４）に分布している （図−２参照）。我が国の安全審査でエト連邦で１９８６年に発生したチェルノブイリ事故である。

は，１０−５以下を目安とするガイドラインが制定されつつこの事故は，当時書記長であったゴルバチョフ大統領にあり，ここに大規模システムの安全率の考え方の基本がグラスノスチ（情報伝達と公開）を決断させ，情報の公ある。

開と情報共有の重大さを示すとともに，組織としての意

しかしながら，最近の事故を俯瞰すると，このPSA思決定や管理など組織要因の与える影響の大きさを全世の想定範囲では不十分なことが次第に認識されつつある。

界に警告した出来事であった。当時，事故の主席調査官

すなわち，想定した工学的安全設備は組織によって健全であるバレリ・レガソフ（Valeri Legasov）は，１９８６年に運営され，人的過誤も違反や規則無視などのケースは９月，ウィーンのIAEAで開催された国際会議の席上で，簡単に考慮できないため，いわば性善説にのっとった運事故の原因は運転員のエラーと規則違反であるといい用を前提としている。１９９９年以降に発生した我が国の事きった。しかし，２年後の１９８８年４月，彼はアパートの故はこのような性善説だけでは解決できない多くの問題バルコニーで自殺したが，「チェルノブイリ事故についを抱えることとなった。作業者の単純なエラーや作業特て，私は明確な結論を下した。それは，何年もの間，打有の要因ばかりでなく，それを取り巻く組織要因や意図ち続いた我が国経済政策の貧困がこの事故を引き起こし的過誤を考慮して始めて確率論的安全評価が意味を持つたということである。
」と自らの思いをテープレコーダーものとの捉え方が定着してきた。このように，表面的なに託した１５）。

エラーや故障だけではなく，組織要因が関与して発生す

この事故の教訓を図−４のように整理すると，人と組る事故を，英国のリーズンは組織事故と呼び，その発生過程を図−３のようにモデル化した。すなわち，社会情図−２ 確率論的安全評価（PSA）による米国発電所の炉心溶融確率の評価値

８０

図−３ 組織事故の発生過程
長年の安全性軽視や工程優先などの組織要因が「潜在条件のぬけ道」を通じて徐々に無力化し，不安全行為が引き金となって防護が崩壊し，大惨事を引き起こす４）

J. of the Jpn. Landslide Soc., Vol.44, No.6

418 (2008)

織，人と社会，組織と社会の領域に多くの教訓が残されとによって特徴づけられる。
」と定義している１５）。

たと考えられる。また，前述した通り，JCO臨界事故をここに示した重大事故および無事故企業の共通点から振り返るとき，この教訓が今日においても尚，残された分かることは，組織としての安全に対する取組み姿勢が課題を提起していることに気づく。IAEAは，これを解日常管理，従業員の安全意識，さらには，行動にどの程決するためのパラダイムとして安全文化の重要性を提唱

度浸透しているかが明暗を分けるということである。ま１）

し，次のように定義した 。「．
．
．
．
安全に係わる諸問題にた，組織事故をくい止めるには，組織としての安全に対対して最優先で臨み，その重要性に応じた注意や気配りする取組み姿勢とその浸透具合を定期的に監視し，問題を払うという組織や関係者個人の態度や特性の集合体」。

が見つかれば是正するシステムが必要となる。

また，英国HSEは１９９３年，さらに具体的アクションに踏そのような組織の健全性を定期的にチェックし，是正み込み，「組織の安全文化とは，組織の健全性・安全性するシステムの一例として電力中央研究所が開発した安プログラムへの参画，および形式と効率を決定する個人全診断システムを紹介する。
５．
４ 組織の安全診断システム
この安全診断システムは図−５に示すように診断対象とする事業所の従業員（サンプリングあるいは全数調査）に診断用のアンケート（質問紙）に回答してもらい，その結果を集約・分析することにより診断結果を提供する形式である。診断は，別途，当所が実施した様々な産業界における診断結果の業界ごとのリファレンス（標準値：業界平均，標準偏差）と比較することによりなされる。現在までに，当所がこのリファレンスを有する産業界は，建設，化学，繊維，製造（自動車・機械），食品，および電力（発電・電力輸送・配電）の各業界である。

１．組織要因が事故の上流側の極めて重要な原因となることが初めて公に認められたのは，
１９８７年のカーフェリー，ヘラ
ルド・オブ・エンタープライズ号転覆に関するシーン判決とされている４）。ここで会社上層部の基本的な誤りが判決文に加えられた。一般には，組織安全性に関連する潜在的リスクに対する教育・訓練の徹底
２．人間への負担軽減や危険を察知させる観点からのHMI設
計
３．安全確保の障害となるような指示・命令には従わない風土
醸成
４．潜在的リスクを閉じ込めるための規則・設備の整備
５．生産性圧力に屈しない許可・承認を必要とする強固な管理システム
６．安全意識が欠如した状態での職務遂行意識の高さむしろ危険であることを理解させる教育
７．発生した事象から学び，それを教訓として広く対策を徹底できる体制
８．事故は起こらないという幻想を捨て，情報公開に基づく有効な規制
９．新たな試験・改良には多角的な検討を行う管理システム
１０．組織のセクショナリズムを排し，情報伝達・コミュニケーションを促進する活動

また，診断結果により，後に示す重要な安全要因から構成される安全プロフィール上の弱点が指摘される形式になるため，それを補う安全性向上の戦略および具体化した安全プログラムを提示できる。さらに，安全活動を強化した結果として，事業所全体の安全レベルが向上したか否かを知るためには，もう一度この安全診断システムにより判定することができる。以下に安全診断システムの内容と機能について説明する。
５．
４．
１ 安全診断アンケートの内容
安全診断システムでは，従業員に回答してもらうアン

図−４ チェルノブイリ事故の４つの側面（設備・人・組織管理・社会）から見た１０の教訓の位置付け

ケート様式が中心となる。このアンケート様式の質問項とグループの価値観，態度，能力，行動パターンから生それぞれの項目が個々の要因を的確に表現しているかまれるものである。ポジティブな安全文化を持つ組織は，（代表性）を確保する必要がある。ここでは，組織の構相互信頼に基づいたコミュニケーション，安全の重要性

造について，谷口ら６），および渡辺ら７）が示した安全パに関する共通した認識，予防対策の有効性を確信するこ

フォーマンスを頂点とした組織の階層構造を土台として，目には，その項目が全体をカバーしているか（網羅性），

図−５ 安全診断システムの全体構成と診断方式

J. of the Jpn. Landslide Soc., Vol.44, No.6

419 (2008)８１

講 座作成したものであり，組織の健全性と安全文化の浸透度の事故率などとの相関である。このように，アンケート合いを測定するための１２２の質問から構成されている。

により，評価したい外的な基準が明確に定義されている

５．
４．
２ 分析方法のであれば，この値とアンケートによる得点との相関を業界平均との比較・有意差分析による評価
本診断システムでは，多くの産業界のリファレンス取り，この相関係数を妥当性係数とする。
実際のアンケート調査やテストで妥当性係数は０．
８を上回ることはないデータ（業界平均）をすでに取得していることから，新ようである（理論的には妥当性係数は０．
７５を越えない）。

規の診断対象事業所で得られたデータはこのリファレン

しかしながら，０．
３以下では疑問が残るとされている。

スデータと比較することにより評価できる。評価は，リしたがって，０．
４−０．
７の間であればおおむね妥当性係数

ファレンスデータとの有意差分析を行い，対象事業所のとされる１６）。

アンケート結果の各質問項目ごとに業界平均と比べた優劣を評価できる。

 安全プロフィールによる評価

本診断システムの目的は安全診断であり，客観的に定められた基準として，ある産業界の複数の事業所における設備災害（故障，トラブル等），労働災害（怪我，中本システムの質問項目は，１２２項目であるが，これを安毒等）の発生率（件／年）の３年間の平均値を取り上げ全上同じジャンルに入る項目２０群にグループ分けした

た。これらの事業所の設備・労働災害発生率を調べ，ア（図−６参照）。これにより診断対象とした事業所では安ンケート調査結果から得られる代表的指標である第一因全上の弱点がどこにあるかを把握することができる。

子の主成分得点（総合的安全指標）との相関を分析した

 総合的安全指票による評価

アンケート全体の傾向を把握し，安全を目に見えるものとするためには，事業所の安全レベルをできるだけ一つの数値で定量化することが望ましいと考え，得られた結果，表−２の通り，多くの産業界で有意な相関関係が認められた。以上から本診断システムの妥当性は実際のデータにより確認されている１７），１８），１９）。
５．
５ おわりに全質問項目の結果を主成分分析した。その結果，いわゆ以上の通り，設備システムおよび人・組織システムのるアベレージング軸と呼ばれる安全上主要な要因が第一双方を全体システムとして捕らえた場合の個々の安全性主成分に集中することがわかり，これを総合的安全指標を評価する方法について述べた。設備の信頼度では，確と名付けた。図−７に示すように，自事業所がリファレ率論的安全評価について解説し，組織の信頼度では，安ンスとした同じ業界の各事業所群のどこに位置している全診断システムを紹介した。このように，全体システムかを把握することができる。の健全性をチェックする手法が今後の事故防止には不可

５．
４．
３ 安全診断アンケートの妥当性欠であり，安全率についてもこの２つの側面からの評価安全診断として，アンケート調査が測るべき対象をどが求められることになるであろう。また，安全率は安全の程度正確に測っているかを示す指標が妥当性である。のマージンとも考えられるが，組織の安全性にはこの考妥当性の概念には様々なものがあるが，ここでは基準関え方は適用しにくいのも事実である。相対的に同種企業連妥当性を取り上げる。基準関連妥当性とは，外的な行の上位何％に入ることを目標とするなど組織の自律的な動基準と呼ばれ，一般的にテスト得点（主成分得点など取組みの中で目標を定めることになる。すなわち，人・の合成得点を含む）と客観的に定められた基準との相関

組織の健全性には閾値を設定することができないため，係数で表される。大学入学センター試験などで評価した

ここまでは安全であるという線引きが難しいことも影響

いのは，入学後の成績との相関である。運転者適性試験している。また，大規模システムのハード側についてもで知りたいのは，実際の運転技術，すなわち免許取得後確率的事象であるため，安全率というよりも，安全目標

図−６ 安全プロフィール（２０群）による診断対象事業所の診断結果

８２J. of the Jpn. Landslide Soc., Vol.44, No.6420 (2008)

図−７ 総合的安全指標による診断対象事業所の安全レベル評価
表−２ 各種産業界における総合的安全指標と災害発生率の相関分析（相関性により総合的安全指標が高ければ災害発生が少ないことが示される）という考え方を取り入れざるを得ないのが現状である。
参考文献
１）IAEA. Summary Report on the Post Accident Review Meeting on the Chelnobyl Accident, Safety Series No．
７５−INSAG−１, IAEA, Vienna Sept.１９８６２）Light Science, Inc. Lighted visor explanation materials. ５９３Massachusetts Avenue, Boxborough, MA０１
７１９,１９９２３）電力中央研究所編． 人間と技術の調和に向けて ．電中研レビュー，N０．
３２，１９９５４）INPO. An analysis of root cause in 1983 significant event reports. INPO−８４−０２７. Atlanta, Ga.,１９８５.
５）U. S. Nuclear Regulatory Commission. Reactor safety study−
An assessment of accident risks in U. S. commercial nuclearpower plant. NRC, WASH−１４００, NUREG−７５／０１４,１９７５６）Luwis, HW, et al. Risk assessment review group report tothe Nuclear Regulatory Commission NRC, NUREG／CR−０４００,１９７８７）Swain, AD. Handbook of human reliability analysis with emphasis on nuclear power plant applications. NUREG／CR−１２７８,１９８３８）林 喜男．人間信頼性工学−人間エラーの防止技術．海文堂出版，東京，１９８４９）行待武生，飛岡利明．人間−機械系の定量的信頼性解析の一技法−Detailed block diagramの事例研究．人間工学，１９，１９７−２０４，１９８３１０）Embrey, DE. et al. SLIM−MAUD : An approach to assessing human error probabilities using structured expert judgment. NUREG／CR−３５１８, NRC,１９８４１１）Embrey, DE. SHERPA : A systematic human error reduction
and prediction approach. Proc. Int. Mtg. on Advances in human factors in nuclear power systems,１８４−１９３,１９８８１２）US. NRC. PRA−procedure guide : a guide to the perform-J. of the Jpn. Landslide Soc., Vol.44, No.6421 (2008)

ance of probabilistic risk assessment for nuclear power
plants final report. NRC, NUREG／CR−２３００,１９８３１３）Comer, MK. and Donovan, MD. Specification of a human reliability data bank for conducting HRA segment of PRA for
nuclear power plants, NUREG／CR−４０１０, NRC,１９８５１４）Liparulo, N. J., Burns, N. L., Hitcher, M. J. and Mink, F. J. Enhancing design and operation, PRA. Nuclear Enginerring International,１９８８１５）Reason, J. Managing the risk of organizational accidents. Ashgate, Aldershot, １９９７（邦訳：組織事故，塩見監修，高野・佐相訳 日科技連出版社，１９９９）
１６）辻 新六，有馬昌宏．アンケート調査の方法．朝倉書店（東京），１９９４１７）IAEA. INSAG−７, The Chelnobyl Accident : Updating on INSAG−１, Safety Series No．
７５−INSAG−７, IAEA, Vov.１９９２１８）高野研一，津下忠史，長谷川尚子，廣瀬文子，佐相邦英．意識面組織面からみた安全診断システムの構築．診断に必要な機能および診断結果の妥当性の検討−，電力中央研究所 研
究報告 S０１００２，２００１１９）廣瀬文子，長谷川尚子，津下忠史，佐相邦英，高野研一．意識面組織面からみた安全診断システムの構築．安全診断手法の妥当性検討のためのケースステディー−，電力中央研究所
研究報告 S０１００３，２００１２０）佐相邦英，長谷川尚子，廣瀬文子，津下忠史，早瀬賢一，高野研一．意識面組織面からみた安全診断システムの構築．技術系企業への適用上のknow−howについて−，電力中央研究所 研究報告 S０２００１，２００２２１）長谷川尚子，廣瀬文子，早瀬賢一，佐相邦英，高野研一．意識面組織面からみた安全診断システムの構築．電力産業以外の産業への適用性の検討−，電力中央研究所 研究報告
S０３００２，２００３（原稿受付２００８年２月２０日，原稿受理２００８年２月２０日）

８３