解説論

文

自動化による安全性の向上：
ヒューマンファクタの視点からの考察
Improvement of Safety Through Automation:
Discussions from Human Factors Points of View
稲垣敏之 Toshiyuki INAGAKI

アブストラクト

高い知能と自律性を持つ機械は，ヒューマンマシンシステムの安全性，効率性，快適性の向上に貢献しているが，人との間に不整合をもたらすこともある．本稿では，人と機械が「自然」な形で共生できるシステムを実現するための課題を，具体例に即して考察する．
キーワード

ヒューマンマシンシステムの安全性，自動化の皮肉，状況認識，オートメーションサプライズ，人間中心の自動化，権限の所在，過失論

1．はじめに技術の進歩は，状況を認知・解析し，今何をなすべきかを

2．航空機における自動化
2.1

進展の歴史

決め，更にそれを実行に移すことができる機械（自動化システム）を出現させた．このような高い知能と自律性を持つ機

1900 年代初頭に登場したころの航空機は，熟練したパイ械が，ヒューマンマシンシステムの安全性，効率性，快適性

ロットにしてようやく操縦することができるものであった．

に貢献してきたことは論を待たない．しかし同時に，これら飛行の安定性を確保することは難しく，パイロットに大きなの自動化システムと人との間には，当初予期しなかったよう負担がかかっていただけでなく，わずかな操作ミスでも事故な不整合が発生していることも事実である．早くから高度自に至る代物であったといわれている．

動化を指向してきた航空分野では，（1）多機能インタフェー

そのような中で，飛行中の機体姿勢を安定化させるためにスによるエラーの誘発，（2）人と機械の意図の対立，（3）自動ジャイロ装置を使用することが考えられるようになった．こ化システムへの不信と過信の交錯，（4）自動化システムによれが，オートパイロットの始まりである．1933 年には 18 時

る「異常の隠ぺい」，（5）高機能システムの「分かりにくさ」な

間 49 分（距離にして 24,957km）に及ぶ無着陸飛行が実現されどが知られている ．

たが，それはオートパイロットの存在を抜きにして語ること（1）

また，航空機では「事故原因の 70 〜 80% はヒューマンエ

はできない（3）．

ラー」（2）といわれるが，事故の背景には，人の特性を十二分

第 2 次世界大戦中のジャイロ技術の進歩は，パイロットにに考慮しなかったデザインに問題があったのではないかと思

方位及び姿勢に関する正確な情報を提供することを可能にしわれるケースも少なくない．

た．これは，パイロットにとって，疲労と手動操縦の負担を徹底的な教育・訓練を受ける航空機のパイロットでさえ上大きく軽減するものであったといわれている．ただし，この述の問題（1）〜（5）から完全には逃れることができないといころのオートパイロットが果たしていた機能は，飛行姿勢にう事実は，自動化のあり方について検討しなければならない「ずれ」が生じたとき，補助翼，昇降舵，方向舵などを自動的

課題が多いことを示している．

に操作して元の姿勢に戻すという空間軸に対する機体姿勢維

本稿では，人と機械が「自然」な形で協調（共生）できるシ

持，すなわちインナーループコントロールにとどまっていた．

ステムを実現する上で検討していかなければならない問題や

しかし，第 2 次世界大戦後に大きな転機が訪れる．それを課題について，具体的な事例を取り上げながら考察する．

もたらしたものは電子技術の進展である．1950 年代には，地上の無線標識施設からの信号を取り込んで精密な操縦を行えるようになり，空港との位置関係を把握しながらの飛行や，一定の角度を維持しながらの滑走路へ向けての進入降下が可（5）能になった（4），．アウターループコントロールの実現である．

稲垣敏之

正員：フェロー 筑波大学大学院システム情報工学研究科リスク工学専攻
E-mailinagaki@risk.tsukuba.ac.jp
Toshiyuki INAGAKI, Fellow (Department of Risk Engineering, Faculty of Systems andInformation Engineering University of Tsukuba, Tsukuba-shi, 305-8573 Japan)
Fundamentals Review Vol.2 No.2 pp.00-00 2008 年 10 月

20

一方，航空機の機能向上とともに，インナーループコント
ロールにも高い精度が要求されるようになる．一例を挙げよう．航空機は速度が増すと揚力が増加する．そのため，水平飛行を保つには操縦輪を前に押さなければならない．しかし，Fundamentals Review Vol.2 No.2

トスロットルを介して航空機を制御することができる．自律

TERRAINTERRAIN

Whoop, Whoop
PULL UP!

的な情報収集・解析，意思決定，制御実行能力を備えた自動化システムは，もはやパイロットの助手というより，パイロッ
トと同格の存在であるといってよい．
緊急時のパイロット支援機能にも様々なものがある．降下率が大きすぎたり，着陸しようとしているわけでもないのに航空機が地表に接近したりしている場合に警報を提示する対地接近警報装置（Ground Proximity Warning System; GPWS）（図1）や，自機と衝突の危険がある航空機の接近を検知したと
き，パイロットに相手機の位置や自機との高度差を表示し，衝突を避けるための回避操作を提示する航空機衝突防止装置

図1（Trafﬁc alert and Collision Avoidance System ; TCAS）（図 2）は，

対地接近警報装置

速度が臨界マッハ数を超えると，機首下げモーメントが発生

音声や視覚情報でパイロットに操縦の助言を与える緊急時支するため，今度は逆に操縦輪を引かなければならない．ある

援機能の典型である（6）．

ところを境にして操作が全く逆になることは，パイロットにとって大いなる脅威であった．その不安と負担を軽減したの

2.2

自動化の進展の背景にあったもの

が，ピッチトリムコンペンセータ（あるいは，マックトリマー）である．この装置は，パイロットの指示を待たずに自動的に昇降舵の操舵力を補正し，人工的に機体の安定性を正にする

これほどの自動化が進められてきた背景には何があったのだろうか．
前節の説明で述べたように，機能の自動化を可能にする基ものである．
1960 年代になると，半導体技術の進歩のもとで，オートパ
イロットをはじめとする自動化システムの機能が向上した．

盤技術の存在あるいは開発が大きな役割を演じていることは明らかであろう．

例えば，オートパイロットは経路制御だけでなく，指定速度

人間を支援するという観点からは，操縦に係る困難さやパに応じて推力を自動的に調整するオートスロットルを利用しイロットのワークロードを軽減したいというものであろう（5）．

た制御が実現できるようになった．また，オートパイロット，

当初の航空機の操縦の難しさは既に述べたとおりであるが，オートスロットルと計器着陸システム（着陸進入中の航空機

その後も，輸送に関するニーズの高まりの中で大型化，高速に対して指向性電波を発射し，滑走路への進入を指示する地化が進む航空機を長時間・長距離にわたって操縦することは上装置）が連携すれば，進入，フレア（接地前の機首上げ），容易なものではなかった．自動化技術の導入により，できる

接地も自動的に行えるようになった．ここまでに見てきたもだけパイロットの負担を軽減し，同時に，パイロットの錬度のは，「制御」の側面からの自動化技術の進展である．

のみで操縦の困難さを克服しなければならないといった状況

1980 年代後半に登場したグラスコクピット機と称されるを打開しようとする動きは自然なものであった．

航空機では，主要計器情報がディスプレイに統合表示される

これは，ヒューマンエラーによる事故を軽減するためにもヒューマンインタフェース技術の採用に特徴があるが，自動重要である．ワークロードが高すぎたり，操縦・操作が本質化についても一層の進展が見られ，「飛行管理・性能管理」に的に難しかったりするものであれば，ヒューマンエラーが入関する多彩な機能が実現されている．すなわち，機上の自動り込む余地がある．そのようなことを回避する一つの方法は，化システム（コンピュータ）は，飛行ルート，飛行性能，エン人が担当している機能あるいはタスクを自動化することであジン性能に関するデータベースを持ち，機体重量，外気温度，る．ただし，自動化がワークロード軽減あるいはヒューマン

気圧，風などの情報をもとに，離陸速度，上昇速度，巡航速度，

エラー低減につながったかといえば，異論がないわけではな

高度，降下開始地点などを計算し，オートパイロットやオーい，このことについては後述する．
なお，「人の機能を機械で代替する」ことは，かつて，「いつエラーを犯すかもしれない人間はシステムから排除した方“Adjust Vertical Speed, Adjust”がよい」との考え方から実行されようとしたことがある．それは，技術の進歩とともに機械の信頼性が向上したことにも起因している．ただ，信頼性に欠ける人間をシステムから排“Climb, Climb”

除する意味での自動化の試みは失敗に終わった．システム設計においては，設計者の予想を超える状況が発生し得ることを念頭に置いておかなければならない．では，もしそのような事態が発生したときにはだれが対処できるのだろう．実は，その場でシステムの操作・操縦にあたっている人間にその役

図2

航空機衝突防止装置

Fundamentals Review Vol.2 No.2

割を期待せざるを得ない．すなわち，人間はシステムにとっ21

て欠くことのできない存在となる．これを「自動化の皮肉」（7）という．

（例えば，2006 年の全損事故発生率は 0.65）（8）．
しかし，この数字を見ても手放しで喜んでいるわけにはい

自動化を進展させてきた背景には，経済的な要因もある．

かない．後に述べるように，高度な自動化と知能化が進んだ

例えば，グラスコクピット機では，飛行ルート，飛行性能，

グラスコクピット機では，かつての素朴な航空機では考えら

エンジン性能に関するデータ，機体重量，外気温度，気圧，れなかったような事故が起こることがあるからである．

風などの情報をもとに，離陸速度，上昇速度，巡航速度，高度，降下開始地点などを最適化することができるが，これは燃料

3.2

影の側面

消費を最小限に抑えるためには不可欠である．また，グラス
コクピット機では 2 名のパイロットによる乗務形態を実現し2.1 に述べた自動化の進展によって出現したのは，「人がているが，乗員編成の削減も経済的側面抜きに考えることは何をなすべきかを決め，それをコンピュータに指示し，そのできない．

指示に沿ってコンピュータが適切な制御を実行しているかど
うかを人が監視する」というシステム制御形態である．この3．自動化の試みは成功しているか ?

形態は監視制御（human supervisory control）と呼ばれ（9），交通
移動体や原子力プラントなど，現在の社会の様々な領域で見

3.1

光の側面

ることができる．
監視制御の形態は，制御に係る人の肉体的なワークロード

人を支援して快適性や安全性を向上させると同時に，経済的にも効率化を目指してきた自動化であったが，その試みは基本的には成功しているといってよい．

を軽減するものの，心的なワークロードまで軽減できるとは限らない点に注意する必要がある．
航空機の場合であれば，パイロットは，オートパイロット

航空機のエンジンは，少しでもタイミングを計り損ねるとなどの自動化システム（コンピュータ）が自分の指示どおり始動に失敗していた時代があったが，今ではボタン一つで各に制御を行っているか，機体や自動化システムのどこかに異エンジンを始動させることができる．離陸の際に前縁フラッ常が発生していないかなど，長距離・長時間のフライトの間

プやスラットなどの操縦翼面が正しい位置にセットされていじゅう，気を配り続けなければならない．数十年前の航空機なければ警報（テイクオフ・ウォーニング）で知らせてくれ

ならいざしらず，高い信頼性を誇る現在の機体では異常が発る．飛行中の機体を安定させる操作のうち，人が苦手であっ生するのはまれである．

たり人に大きな負担をかけたりするものはオートパイロット

一方，ひとたび異常が発生すると，迅速かつ的確な対応がなどのシステムが対応してくれる．自動化がもたらした恩恵

求められ，緊張度もワークロードも急変する．また，異常では，列挙の暇がないほどである．

もないものを「異常だ」と判断して不適切な対応をとっても，（4）
人にできないことをやってのける「自動化システムの傑作」

それがもたらす経済的・時間的損失は小さいとは限らない．

は，自動着陸システムである．パイロットの操縦であれば代更に，2.2 で述べた「自動化の皮肉」と呼ばれる現象も，監替空港へ向かわざるを得ないような気象条件（例えば，高度視制御を難しいものにしている．なぜシステムを完全自動化

100 フィートまで降りてきても滑走路や灯火が見えない，ああるいは無人化せず，人をシステム内に残したか．それは，るいは滑走路視程が 1,200 フィートを下回る状況）であってシステム設計者の予想を超えた状況が発生したとき，システ

も，このシステムであれば機体を安全に着陸させることがでムのオペレータが「システム設計の不備を補う」（10）必要があ

きる．予定した目的地に到着できることは，乗客にとってなるためであった．既に述べたように，システムは自ら収集しによりのことであるが，運航計画を変更しなくてもよいこと

た情報に基づいて状況を判断し，「必要だ」と考える操作があは，エアラインにとってもありがたいことである．

れば，その操作を自律的に実行できる能力を備えている．そ

安全性を事故の観点で調べてみよう．「10 万 km 当り」のよの推論に必要な複雑な知能や仕組みを考案・実現したのはシ

うに，基準走行距離の中での事故発生件数によって事故発生

ステム設計者（人）である．システムオペレータは，ものの見率を定義する自動車とは異なり，航空機では，「100 万回離陸方・考え方や経験が異なっていて不思議ではない他人（シス当り」（同じことだが，100 万便当り）での事故発生件数によっ

テム設計者）と同じようにものを見，考えることが要求されて「事故発生率」を定義する．これは，航空機の事故発生は時ることになる．しかし，どれほど教育を受け，訓練を積んだ

間的に一様ではないこと，すなわち，最も高速で飛行していとしても，他人の思考を完全に模擬・再現できるようになる

る巡航時の事故は全事故の 1 割程度であり，事故の約半数がことはない．

離陸時あるいは着陸時に起こっていることを反映している．
さて，ボーイング社や IATA による事故統計物理学，情報工学，応用数学の分野で顕著な業績を残されによれば，た高橋秀俊東大名誉教授は，かつて「人間の特性 8 箇条」を示1950 年末には 100 万便当り 40 便以上が全損事故を起こしていされたことがある（表 1）．それに照らし合わせてみれば，ほたが，60 年代から 70 年代にかけて急速に減少した．西側で製

とんど起こることもない「異常」を探し求めて計器類を監視し造された最大離陸重量 15t 以上の民間航空ジェット機の 2000

続け，異常があれば，複雑なシステムの因果関係を的確に把年代以降の全損事故発生率は，100 万便当り 1 便未満である

握した上で，システム設計者と同じ思考形態で自動化システ

（2），
（8）

22

Fundamentals Review Vol.2 No.2

間の特性８箇条
表1 人
人間の特性
8 箇条

表１

第１条 人間は気まぐれである
第２条 人間は 怠け者である
第３条 人間は不注意である
第４条 人間は根気がない
第５条 人間は単調を嫌う
第６条 人間はのろまである
第７条 人間は論理的思考力が弱い
第８条 人間は何をするか分からない

ムの行動・意図を予測し，システムの制御に介入したり，状況に即した新たな指示を自動化システムに与えたりするなど

80% は，「異常があるにもかかわらず，全く気が付かない」レ
ベル 1 の状況認識の失敗であった．この圧倒的な割合には驚かざるを得ない．ちなみに，「異常が発生していることには気付いたものの，何が異常の原因であるかが分からない」というレベル 2 の状況認識の失敗は約 17 %，「異常の原因は分かったが，まだ対応しなくても大丈夫だろう」といった予測の誤り（レベル 3 の状況認識の失敗）は約 3 % にすぎなかったと報告されている（12）．

4.2

レベル 1 の状況認識の失敗

異常があることに対する「気付き」が失われる様子を三つの具体例に沿って考えてみよう．

の迅速な対応が求められる監視制御は，システムを操作・操縦する人にとって厳しい制御形態といえなくもない．

4．どのような状況で事故が発生するのか

4．2．1

モードコンフュージョン

モードコンフュージョン（mode confusion）は，レベル 1 の
状況認識喪失ケースの典型であり，グラスコクピット機が時折直面する問題の一つである．
「モード」は，コンパクトな

自動化の進んだ航空機がどのようにして事故に至ったかを空間の中に多くの機能を実現しようとしたときに用いられる調べてみると，人と高度な技術との間に様々な不整合がある

が，人は自動化システムに対して，「モード A のもとでの指示」

ことに気付く．それらの不整合は何通りかにタイプ分けする
ことができるが（1），ここでは「状況認識の失敗」の観点から考察してみることにしよう．

を与えたつもりでいても，モード選択を誤っていることに気付かないと，自動化システムは「モード B のもとでの指示」であると解釈し，指示内容を実行することがある．例 1 は，モード選択の誤り以外には，どこにも問題のなかった航空機が山

4.1

状況認識

に激突し，乗員乗客 96 名中 87 名が死亡した事故事例である．

状況認識（situation awareness）（11）は日常用語としても使用されていることばであるが，表 2 に示す三つのレベルを識別しておくと，議論の精密化を図ることができる．
何か変だということに気付くことができると，「レベル 1 の状況認識が獲得できた」という言い方をする．その奇妙な現象（あるいは異常）をもたらしている原因が何であるかを特定

例1

1992 年 1 月，ストラスブールに向かっていたエアバス A320 が，空港の手前 10.5 マイルに位置する山に激突した．パイロットは「降下角 3.3 度」を自動化システムに指示したつもりでいたが，実は「降下率 3,300 フィート／分」を指示したことになったのではないかと考えられている（13）．

することができれば，レベル 2 の状況認識が獲得できたことになる．そして，今，ある行動を取ればどのような結果がもたらされるか，その行動を取らなければ，これからどのような事態に移っていくかが予測できれば，レベル 3 の状況認識が獲得できたといい，状況認識は完璧なものとなる．
さて，「レベル 3 の状況認識まで達成するのは難しい場面もあるかもしれないが，何か変なことが起こったら，それに気付く（レベル 1 の状況認識）ことくらいは簡単だろう」と考え

ちなみに，例 1 のように，本来なら健全に飛行を続ける
ことができる航空機が地表面や水面に衝突する事故を CFIT
（Controlled Flight Into Terrain）と称する．墜落すべきでない航空機の墜落ほど悲劇的なものはない．1997 年から 2006 年までに CFIT で 1655 名が死亡しているが，これは機体制御不能による墜落事故での死者数 1643 名をしのぐ数字である．

たいところであるが，現実はそうではない．機体が異常な状4．2．2

態にあっても，人はそれに気づかないことがある．例えば，
表２ 状況認識の３つのレベル
1986 〜 1992 年までに発生した航空インシデントにおける状

自 動 化 シ ス テ ム は， 時 に「 寡 黙 で， 力 持 ち（silent and況認識の失敗 169 例を調べた研究（12）によれば，169 例の約表2

状況認識の三つのレベル（11）レベル１： 何かが起こっていることに気付く

寡黙で力自慢な自動化システム

strong）」と言い表されることがある．これは，自動化システ
ムが制御対象に生じた異常を覆い隠すほど強いフィードバッ
ク制御をかけることができるものの，その制御がどれほど骨の折れるものであっても，その苦労や困難さを人に伝えようとしないため，人がよほど注意深く監視していない限り，制

レベル２： その原因を特定できる

御対象に発生した微小な異常に気付くことは難しいことをいレベル３： これからの事態の推移が予測できるう．これもレベル 1 の状況認識の失敗であり，例 2 はその典型である．

Fundamentals Review Vol.2 No.2

23

ず，「満足されていない」と誤った判断をする場合を「不信」
例2

1985 年 2 月，自動操縦によってサンフランシスコ（distrust）と称する．一方，客観的には満足されていないはず沖を巡航中のボーイング 747 で，右主翼外側のエンジンの要件に対して「満足されているはずだ」との判断を下す場

が不調になった．エンジンの再始動には，いったん自動合が「過信」（over-trust）である．いずれも，「不適切な信頼」

操縦を解除して高度を下げる必要があった．しかし機長（mistrust）の例である．

はオートパイロットに操縦を任せたまま，エンジンの再なお，「依存」（reliance）という用語は，時に「システムに始動を試みていた．そのうち，速度が低下してきたため，依存するようなことがあってはならない」というように否定

オートパイロットのモードを変更して速度の増大を図ろ的な意味合いで用いられることがあるが，この用法は必ずしうとするが，速度の低下は止まらない．手動操縦に切りも正しくない．
「信頼に値するものに対する依存」は当然の行

替えようとオートパイロットを解除したとたん，機体は為あるいは判断であり，ワークロード軽減の観点からも正当

大きく傾き，ついには裏返った状態で落下していった．

なものである．あってはならないものは，「信頼に値しない

左右の推力不均衡による右方向への機首偏位を解消する

ものに対する依存」，あるいは「適正レベルを超えた過度の依ため，オートパイロットが左主翼を下げる力を加えてい存」である．まさに例 3 は，針路前方の急峻な地形の検出能力たことでかろうじて水平飛行が保たれていたが，オートを持っていない古典的な GPWS の能力を過大評価した結果，パイロット解除によってその力が一度に失われたためで「危険な地形が出現すれば，警報を発して知らせてくれるはある（14）．

ず」として，十分な能力を持たない警報システムに危険検知をゆだねてしまった点で，過度の依存が見られる．

4．2．3

自動化システムへの過信

対地接近警報装置（GPWS）は，パイロットの状況認識を支

4.3

レベル 2 の状況認識の失敗援するための自動化システムであるが，その能力をパイロッ
トが過信すると，迫り来る危険に気が付かないまま山に激突

異常（あるいは眼の前で起こっている現象）がどのような原することが起こる．ここでいう過信とは，能力の過大評価に因によるものかを特定できないという「原因特定の失敗」につ基づく「過度の信頼」である．

いて，自動化システムが関連した具体例を見てみよう．

例3

10 年ほど前までの GPWS は，地表面からの高度の4．3．1

自動化システムの分かりにくさ

急激な減少を検知すると「降下率が過大である」と判断し自動化システムには，自律的に判断・行動できるものがあて「Pull Up（操縦輪を引け）」などの音声警報を発するもるが，判断が高度であればあるほど，その行動はユーザであのであった．このタイプの GPWS は，高度が変化する様るオペレータには分かりにくいものとなる．

子に基づいて警報を生成する仕組み上，機体針路前方に

例えば，人が自動化システムに「タスク 1」の実行を指示し突如として切り立った山や崖が現れるような地形にはほたとしよう．自動化システムは，「タスク 1 をするなら，タス

とんど無力である．しかし，パイロットが，「危険な地

ク 2 も同時にした方がよかろう」と気を利かせることができ形があれば GPWS が教えてくれるはず」との期待を抱き，るが，そのようなことを予想もしていない人は，いったい何十分な警戒心を持たないまま飛行を続けていると，CFITが起こっているのか，状況が把握できないことにもなりかねに至ることがある．

ない．人が自動化システムの行動に驚かされる現象は，オートメーションサプライズ（automation surprise）と呼ばれる（16）．

ちなみに，人が自動化システムに対して「信頼（trust）」を抱

次の例はその一つである．

くためには，表 3 に示す四つの次元のすべてが満足される必要があると考えられている（15）．すなわち，四つの要件のうち

例4に満足されないものがあれば，そのシステムへの信頼は磐石て離陸直後のエンジン故障を模擬したテスト飛行を行っなものとはいえない．

ている中，離陸 6 秒後（毎分 6,000 フィートで上昇中）に

表 3 の要件が客観的には満足されているにもかかわら
３ 3信頼
表表の４つの次元（15）
信頼の四つの次元
基礎： 自然界の法則や社会の秩序に合致している
能力： 常 に安定的かつ望ましい行動や性能 が期待できる
方法： 行動を実現するための方法，アルゴリズム，ル－ルが理解できる
目的： 上記の 背後にある意図・動機 が納得できる

24

1994 年 6 月，エアバス A330 がトゥールーズにおいオートパイロットがエンゲージされた．あらかじめオー
トパイロットには高度 2,000 フィートでのレベルオフ（水平飛行への移行）がセットされていたため，オートパイ
ロットは，「滑らかなレベルオフのためには，高度 950フィートで操作を開始する必要がある」と計算し，離陸8 秒後にレベルオフを開始するモードに入った．しかし，乗員はこのことに気付かないまま，エンジン故障を模擬すべく，一つのエンジンを停止させた．これによって推力が減少し，上昇率は毎分 2,000 フィートに低下した．
しかし，オートパイロットは当初の予定を達成しようと

Fundamentals Review Vol.2 No.2

機首を上げた．ピッチを増しながらの上昇で速度は下がる「人間中心の自動化」 （5）航空におけ「人間中心の自動化」
表 4 表４
航空における

り続ける中，パイロットは，「いったい何が起こっているのだ !」と叫んでいる．ピッチ角が 31 度を超えたとき，
パイロットは手動操縦に切り替えたが，もはや姿勢回復はできず，失速し，墜落した（17）．
4．3．2

自動化システムへの不信

たとえ「奇妙な現象」が起こっても，それに対して「合理的」な説明を付けることができれば，それで納得する．それは人間が共通に持つ性質の一つであり，プロフェッショナルの世界でも起こり得る．仮に，自動化システムに対する不信感があると，正しい警報が出ていても，自分の都合に合わせて解釈してしまうことが起こる．実際，CFIT の中には，GPWS が警報を発しているにもかかわらず，「このようなところで警報が鳴るはずがない」といいつつ，何の回避操作もとらないまま墜落した例がある．

4.4

レベル 3 の状況認識の失敗

眼前で起こっている異常に気付き，その原因がどこにあるかも分かったとしても，これから自分が取ろうとする行動がどのような事態をもたらす可能性があるのかまで的確に予測できるとは限らない．自動化システムが関連するものとしては，次のような事例がある．
例5

1994 年 4 月，名古屋でエアバス A300-600R が墜落した．滑走路へ向けて降下を続けているうち，パイロッ
トがゴーレバーを指に引っ掛けてしまったため，オートパイロットは着陸復行を開始した．パイロットは，オー
トパイロットが着陸復行モードになっており，それが自分の意図に合わないものであることを知りつつも，その人 は ， 航 空 シ ス テ ムの 安 全 の た め ， 最 終 の 責 任 を 負 う ．
それ ゆ え ，
•
•
•
•
•
•
•
•
•

人に指揮権がなければならない．
指揮を効果的に行うために，人は直接的に関与できなければならない．
人 が 直 接 関 与 す る に は ， 人 に 情 報 が 提 供 され ね ば な ら な い ．
機能を自動化してよいのは，適切な理由がある場合に限る．
人は自動化システムをモニタできるようになっていなければならない．
それゆえ，自動化システムは予測可能でなければならない．
自動化システムはオペレータ（人）をモニタできるようになっていなければならない．
シ ス テ ムを 構 成 す る 各 要 素 は ， 他 の 要 素 の 意 図 に 関 す る 知 識 を 持 って いなければならない．
自動化は，簡単に学べ，簡単に使えるようにデザインされていなければならない．

に与える」と表現されることもあるが，これは，「人は，航空システムの安全のため，最終の責任を負う」ことからの帰結
であるといえる．
飛行中の航空機にトラブルが発生したとしよう．地上からの支援・助言も得られるであろうが，異常を抱えた機体を無事に着陸させるまで，あらゆる手段を講じて戦い続けなければならないのはパイロットである．それまでにだれも経験したことがないような異常であれば，対応する緊急時の操作手
順が定まっているはずはなく，パイロットは，自らの知識と技量を総動員して事態に対処しなければならない．そのようなときに，パイロットの判断・行動が機械によって妨げられることがあってはならないという考え方が，最終決定権を人に与えることの背景にある．
表 4 に記された「人は自動化システムをモニタできるようになっていなければならない」，「自動化システムは予測可能でなければならない」といった要件からも，4．に述べたよ
うな自動化システムにかかわる問題を解消したいとの企図が読み取れるであろう．

モードを解除せず，ただ，機体を着陸させようと操縦輪

6．自動車の分野ではを抑えつけるだけであった．すなわち，着陸復行モードを解除しないことが何をもたらすのかを十分に理解・予測することができなかった．「降下させよう」とするパイ
ロットの昇降舵への制御入力と，「上昇させよう」とする
オートパイロットの水平安定板への制御入力を同時に受ける形になった機体は，やがて失速し，墜落した（18）．

5．問題解決への手がかり
積極的に自動化を進めてきた航空分野ではあったが，不適
切な自動化は乗員のモチベーションや技量を損ない，ひいては安全性も低下させる要因ともなり得ることは，早く指摘されていた．実際，1980 年代半ばごろには，既にコクピットの自動化のあり方に関する研究が現れている．そのような数多くの研究による「結論」の一つが，表 4 に示す「人間中心の自動化」である（5），（19），（20）．
ここで示された「人間中心の自動化」の根幹をなすものが，「人に指揮権を与える」との考え方である．「最終決定権は人Fundamentals Review Vol.2 No.2

人と自動化技術のかかわりが重要な問題となるのは，航空機に限ったことではない．自動車分野でも，国土交通省の先進安全自動車（Advanced Safety Vehicle;ASV）推進計画（21）等を通じて，様々な先端技術（22）の導入が進展しているが，安全と快適を確保するために，人の特性を踏まえた上で，どこまで自動化を進めるかが重要なポイントとなっている．
自動車に搭載されている自動化システムの例として，アダ
プティブクルーズコントロール（ACC）やレーンキーピングア
シスト（LKA）を考えてみよう．
ACC は，ドライバーによって希望車速が設定されると，その車速を維持するような制御を行う高速道路走行用のシステムである．設定車速よりも遅い速度で走っている先行車を検出したとき，ACC はドライバーが希望する車間距離を保ちながらの追従制御を行えるよう，速度を自動的に調整する機能を持っている．
LKA は，カメラで車線を示す白線を感知し，ドライバーが25

レーンの中央を走行しやすいように（具体的には，現在の地

7.1

情報提供

点から 30 メートルほど先でレーン中央を走っているように）
ステアリング制御を行う機能を持っている．

「情報提供」とは，オペレータの求めなどに応じて，状況

ACC や LKA は，運転にかかわるドライバーのワークローの理解あるいは意思決定に資する情報をコンピュータがオペドを軽減しようとするものであり，人にできないことができ

レータに提示することをいう．例えばオペレータが車のドラるといったたぐいのシステムではない．

イバーであるケースなら，目的地までの経路情報を提示する

人にはできないことを見事にやってのける自動化システム

ことなどが該当する．

の代表は，横滑り防止装置（Electronic Stability Control；ESC）
であろう．これは，急なステアリング操作を行ったとき，あ

7.2

注意喚起

るいは滑りやすい路面を走行しているときにセンサが車の横滑りを検知すると，四つの車輪の各々に対するブレーキ力を「注意喚起」とは，コンピュータが収集した情報・データ

適切に制御したりエンジン出力を制御したりして，車のスピをもとに状況を解析し，その状況の中でオペレータが留意

ンやレーンからの逸脱を防止する機能を持っている．車輪ごしておくべきことを知らせるものである．例えば，「暗闇のとに異なる制動力を加えることなど，ブレーキペダルを一つ

中，100m 先にいる歩行者」を検出したとき，ディスプレイ上しか与えられていないドライバーにはできることではない．

に「枠」などを表示して歩行者の位置を示すものが典型例であ

このような ESC が安全に貢献していることは直感的にも想る．ただし，ドライバーに，「減速せよ」あるいは「ステアリ像ができることであろうが，定量的には次のようなデータがングを切れ」といった具体的な操作を指示することはしないある．すなわち，ESC の搭載により，単独事故は 35%，正面のが，「注意喚起」レベルの特徴である．

衝突事故は 30% 低減できているとのことである．また，ESC
は，一般道において 32%，高速道路では 53% の事故を削減し

7.3

警報提供

ているとの報告（23）もある．
人にできない能力を持つという意味では，夜間走行時に肉これに対し，「警報提示」レベルになると，危険回避に必要

眼では検出しにくい（あるいはできない）ところにいる歩行者

な具体的行動がオペレータに指示される．航空機でいえば，を，人が発する熱を検知したり，近赤外光を照射したりする

空中衝突あるいはニアミスの可能性があると TCAS が判断しことで見つけ出すシステムもある．

たときに発せられる「Climb，Climb!（上昇せよ !）」という回避アドバイザリ（Resolution Advisory;RA）や，地表面への異常な7．
「人間中心の自動化」の枠組みでの支援

接近を検出したときに GPWS が発する「Pull Up!（操縦輪を引け !）」などがここでいう警報である．自動車では，先行車へ

航空機や自動車などの交通移動体に限らず，工学的なシス
テムの操縦・運転は，認知，判断，操作の繰り返しである．

の急接近が検出されたときに，「ブレーキをかけよ !」という意味で発せられる音声などが該当する．

その中で最も基本となるのが認知である．すなわち，認知が正しくないときに，正しい判断や操作を期待することはでき

7.4

それらの支援だけで万全かない．しかし，人の認知はいつも正しいとは限らない．例えば自動車運転の場合に認知の対象となるものは，道路形状，

ここまでの三つのレベルでは，最終決定権は人が持ってお路面状態，車の混み具合，他車両，歩行者，ハードウェア（自り，その意味で，「人間中心の自動化」の枠組みに完全に合致

分の車），自動化システムの動作状況など多岐にわたるが，したものといえる．例えば，TCAS が「Climb，Climb!」と指示

これらすべてに同時に注意を向けることは不可能である．ししても，「上昇するのは危険である」とパイロットが判断すれかも注意力を持続させることは，人の不得意とするところでば，パイロットは TCAS の RA に従わなくてもよいことになっある．

ている．これは，わずかではあるものの，TCAS の判断能力

そのような特性を持つ人（オペレータ）に対して，「人間中に限界があることを反映している．ただし，2001 年 1 月に発心の自動化」の視点に即して支援することを考えてみよう．

生した焼津上空でのニアミス事故以降は，基本的には TCAS

オペレータへの支援レベルは，「情報提供」，「注意喚起」，「警の指示に従うこととされている．

報提示」，「制御介入」の 4 種に大別することができる

．

（21）
，
（24）

さて，ここで考えてみるべきことは，「最終決定権は，いついかなる場合でも，人に与えておくのが適切か」ということである（25）．
「状況の認識が的確であれば，その状況の中で何をなすべきかはおのずと分かる」とされる．しかし，状況が理解できても，あるいはなすべきことが分かっていても，それをタイムリーかつ確実に実行できるとは限らない．
自動車の正面衝突と追突事故 359 件において，ドライバー
がどのようにして衝突を回避しようとしたかを調べた研究が26

Fundamentals Review Vol.2 No.2

あるが，ブレーキによる回避行動もステアリングによる回避

めの「人間中心の自動化」と同じものである必要はない．これ

行動もできないまま事故に至ってしまったケースが 40% 近くらのことについては，既に別のところ（25），（26）で論じているのあったことが報告されているで参照されたい．

．この例は，緊急性の高い状（26）

況に置かれた人を救うには，更に踏み込んだ支援が必要であ8．人と機械を調和させる

ること物語っている．

7.5

制御介入

8.1

機能配分

第 4 の支援レベルとしての「制御介入」は，人に要求するに

人と機械の間での役割分担を定めることを「機能配分」と呼は無理がある場合に発動される機械による支援である．すな

ぶ．ヒューマンマシンシステム設計における重要な課題の一

わち，制御介入が適当であるかどうかは，機械の判断によっつである．古典的な機能配分は，次の 3 通りに分類できる（28）．

て行われる．その意味で，「制御介入」による支援は，普通の意味での「人間中心の自動化」からは外れたものであるといえ（1）考察の対象となる機能ごとに人間と機械の能力を比較し，優れた能力を持つ方に当該機能を割り当てる方式

る．
しかし，制御介入は安全性の向上に重要な役割を果たす．6．
で述べた横滑り防止装置（ESC）（22）は典型である．更に，先行車への衝突の危険性を警報で知らせたにもかかわらずドラ
イバーがブレーキ操作を行わないときは，自動的に制動をかけ，衝突による被害を可能な限り低減しようとする自動化シ（comparison allocation）（2）自動化できる機能はすべて自動化し，それ以外のものを人間に割り当てる方式（left-over allocation）（3）システム開発コストを最小化できるように人と機械に機能を割り当てる方式（economic allocation）

ステムもある．プリクラッシュセイフティシステム（PCS）（22）と呼ばれるものである．衝突の危険性が検知されてから，回いずれも「だれが，何をするのか」を決めるものであるが，避操作を行うまでにドライバーに与えられる時間がほんの数

ひとたび定めた配分は未来永劫変更されることはないため，

秒であるというケースがあり得る自動車では，自動化システ

静的機能配分と呼ばれる．

ムによる制御介入は，なくてはならないものである．ただし，

このうち，（2）または（3）では，人の特性を考慮することな

そのような自動化システムの機能を過信したり，過度に依存

く機能配分が定められることから，人は自分に割り当てられしたりすることがあっては困るという考え方もある．

た役割を快く感じなかったり，割り当てられた機能すべてを「最終決定権をパイロットに与える」ことを前提とする航正確に認識・記憶しておくことが困難になったりすることが空機の場合でも，実は，機械の判断による制御介入は安全性ある．

の確保に用いられている．既に述べたマック・トリマーもまた，（1）にも欠点がある．個々には人が優れているタス

そうであるが，ボーイング 777 に装備された推力非対称補償

クであっても，そのようなタスクを複数個同時に担当しなけ（Thrust Asymmetry Compensation；TAC）も機械の判断によっればならない状況では必ずしも人の優位性が保証できないこて制御介入を行うシステムである．双発機でありながら，
ジャと，タスク担当が長時間に及ぶときは，様々な要因によってンボと称されるボーイング 747 に匹敵する，あるいは時にそ

作業の質や効率が低下し得ることなどである．

れをしのぐ大型機であるボーイング 777 のエンジンは巨大でこのことは，単に「だれが，何をするのか」を決めるのではある．そのため，離陸滑走中に片方のエンジンが故障したな

なく，「だれが，何を，いつするのか」を決める動的な機能配

ら，推力のアンバランスによって生じるヨー・モーメントは分の考え方が重要であることを示している．

パイロットの手に余るほど大きいといわれる．TAC は，左右そのような動的な機能配分の中でとりわけ重要なものは，エンジンの推力の差が定格推力の約 10% を超えたとき，自動人のワークロードは適正であるか，パフォーマンスは適切に的にラダー（方向舵）を制御する機能を持っており，滑走路

維持されているか，人やシステムを取り巻く周囲の環境変逸脱を防ぐ上で重要な役割を果たしている（6）．

化，人の能力限界などを考慮に入れて機能配分を変化させる
もの，すなわち適応的機能配分（アダプティブオートメーショ

7.6 「人間中心の自動化」の精密化
今までの議論で明らかなように，「人間中心の自動化」は，ン）（29），（30）である．

8.2

権限

精緻な理論のレベルには到達していない．解釈次第では，表4 に示された「人間中心の自動化」を実現するための各要件間

ミクロ的に見れば，アダプティブオートメーションでは，に矛盾や不整合が生じることがある．また，どのような応用

時に人が担当していたタスクを機械に移す，あるいはその逆分野を対象としているかによって，その分野にふさわしい「人向きの受け渡しが行われる．このように，一方の主体が行っ間中心の自動化」は異なり得ることにも注意が必要である．

ていたタスクを，ある時点で他方の主体に譲り渡すことを，

例えば，自動車のための「人間中心の自動化」は，航空機のた

そのタスクに関する権限委譲という．

Fundamentals Review Vol.2 No.2

27

8.3
時刻 １

人 が 担当機 械 が担 当

安全の確保「システムの安全を確保する」という観点から，権限委譲を
機械の判断で行ってもよいかどうかを，図 4 に沿って考察し人から機械へてみよう（31）．
あるヒューマンマシンシステムにおいて，オペレータが直時刻 ２面している「状況」を一つ想定しよう．その状況の中でのオペ
レータの行為は，次の 3 種類のうちのいずれかである．
機 械 から 人へ（H1）その状況では，必ず実行しなければならないもの

時刻 ３（H2）その状況では，行っても，行わなくても，いずれで
もよいもの
図3

権限委譲

さて，人と機械が担当している各タスクについて，「当該タスクの権限委譲を行う必要はあるか．行うとすれば，それはいつか」を決める権限は，いったいだれが持つのだろうか．
人でなければならないのだろうか，それともコンピュータであってもよいのだろうか．
基本的には，権限委譲ロジックはプロダクションルール
の形式で表現することができる．このことは，「権限委譲の要否の判断とその実行はコンピュータに任せる」（machineinitiated trading of authority）といってもよいように思えるが，
実はそれほど単純な問題ではない（30）．
その理由の第 1 は，信頼性である．コンピュータが決して故障しないという保証はなく，センサからのデータが常に正確な情報であるという保証もない．それでもあえてコン
ピュータに権限を与えるならば，人はコンピュータの動作が正しく行われるか否かを常に監視していなくてはならない．
すなわち，本来なすべきタスクに加えて，人はコンピュータを監視するために新たなワークロードを課されることにな
る．
第 2 の理由は，思想あるいは信条的なものである．「最終決定権を人間に与えることはヒューマンマシンシステム設計における大前提」と考える人たちにとっては，コンピュータに決定権を与えることなど，到底認められるところではない．
一 方， 権 限 委 譲 を い つ 行 う べ き か を 人 に 決 定 さ せ る（human-initiated trading of authority）ことにも問題がないわけではない．「課せられたワークロードが過大である，あるい（H3）その状況では，決して行ってはいけないもの
一方，表 4 の「人間中心の自動化」で述べているように，「コ
ンピュータがオペレータをモニタできるようになっている」
ものとしよう．オペレータの行為に対するコンピュータの判
断は，次の 2 通りのうちのいずれかである．
（C1）オペレータの行為が検出された（C2）オペレータの行為は検出されていない
図 4 における領域 A は，「直面している状況の中で，オペレー
タはなすべきことをしていない」とコンピュータが判断するケースを示している．先行車が急減速しているので，直ちにブレーキをかけなければならないのだが，ドライバーのブ
レーキ操作がまだ検出されないといったケースである．ドラ
イバーはわき見をしていて，先行車の急減速に気付いていな
いのかもしれない．あるいは，先行車が急減速するのを見てパニック状態になり，ブレーキ操作ができないのかもしれな
い．このようなとき，ドライバーに指示されていないからという理由で，コンピュータはブレーキもかけずに，ただ傍観していてよいのだろうか．それとも，自らの判断で緊急ブレー
キをかける（ブレーキ操作に関する権限を，人からコンピュー
タに委譲させる）ことが適当なのだろうか．
図 4 における領域 B は，「直面している状況の中で，決してやってはいけないことをオペレータがしている」とコンピュータが判断するケースである．隣のレーンを背後から高直面する状況のなかでのオペレータの行為

はタスク遂行に許される時間的余裕が十分ではない状況は，人にとって過酷な環境である．パフォーマンスが低下するだ

その状況では，必ず実行しなければならないもの

ステムの安全性が損なわれる可能性もある」といった理由から，権限委譲のアイデアが生まれてきたのであった．しかるに，本来のタスクに加えて，「自らのワークロードは過大であるか」，「機械に自分が担当しているタスクのうちの幾つかを渡すべきか」，「渡すとすれば，いつ，どのタスクを渡すべきか」の判断を人間に要求することは，その人のワークロー

オペレータをモニタしている
コンピュータによる判断

けでなく，ヒューマンエラーも誘発しかねないことから，シ

その状況では，行っても，行わなくてもよいもの「行為が検出された」

その状況では，
決して行ってはならないものB

A「行為は検出されていない」ドを軽減したいという，権限委譲の趣旨に反することになる．
図4

28

機械の判断による権限委譲

Fundamentals Review Vol.2 No.2

もあるであろうし，「以前も同じような状況で誤報があった
支援システムには見えないもの支援システムに
見えるもの

人に

見える

もの

人には

見えない

もの

①

②

「ものの考え方」が人と機械で異なっていると，｢ オ ート メ ーシ ョ ン
サプライズ」「システムには見えない」
ことが分かるようになっていなければ，｢過信」，いずれ｢不信」③④

提供された情報の真偽が確認できないと，「不安」や「不信」

が・・・」などといった不信が頭をよぎることもあるかもしれない．

10．あとがき人を支援することを使命とする機械が高度な知能と自律性を獲得してきた過程を振り返りつつ，自動化技術の光の側面と影の側面についての考察を進めてきた．また，人と機械が「対立の構造」に陥るのではなく，互いに能力の限界を補い合いながら，長所を伸ばし合えるようなヒューマンマシンシ

図5

限りある能力の組合せ

速で接近する車があるのに，ドライバーが車線変更をしようとしていることが検出されるといったケースである．現在の自動車技術では，ドライバーのステアリングにはかかわりな
く，車輪の向きを制御することが可能であるが，「不適切な車線変更」が行われようとしたとき，コンピュータがそれを阻止する（ステアリングに関する権限を，人からコンピュー
タに委譲させる）ことは許されるだろうか．

9．限りある能力の組合せ
人にも，人を支援しようとする機械にも，おのずと能力には限界がある．
「目」でものを見るというケースを取り上げて，人と支援システムの視認能力の組合せを示したものが図 5 である（24）．人にも見えず，支援システムにも見えない領域 4 は対象外として，その他の三つの領域について考察してみよう．
支援システムとそのユーザ（人）の能力が一致している領域
1 は理想的と思われるかもしれない．しかし，たとえ「同じもの」を見ても，「支援システムがどう考えるか（あるいは，支援システムの設計者が，そのシステムにどのように考えさせようと考えたか）」は，「ユーザがどう考えるか」と一致するとは限らない．特に，支援システムが自律的な判断・制御能力を持つものであれば，そこに組み込まれている「ものの考え方」が極めて複雑なものであったり，ユーザと異なっていた
りした場合は，「なぜ今，こんな制御をするのだ !」とユーザが叫びたくなるようなオートメーションサプライズが起こり得る．
領域 2 では，「支援システムには見えていない」ことをユー
ザが知ることができるようになっていなければ，ユーザは，「支援システムがきちんと教えてくれる（あるいは，対応してくれる）はず」との過信に陥ることがある．しかし，期待していた機能が果たされないことを一度でも経験すると，それは，支援システムに対する不信をもたらすことになり得る．
では，領域 3 ではどうだろう．「人には見えないところにある危険を知らせる」という能力を売り物にする支援システム
が，「危険あり !」の情報を提供してくれたとしよう．ユーザ
は，自らの目でその危険（すなわち，提供された情報の真偽）を確認することはできない．「本当か ?」との不安を抱くこと

Fundamentals Review Vol.2 No.2

ステムを実現していくために，今，何が課題となっているかを明らかにしようとしたが，あえて結論めいたものは示さなかった．
それらの問題はいずれも深い検討を必要とするものであり，限られた紙面の中で議論し尽くすことは到底できることではない．読者諸賢とともに，更なる考察を深めていくことができるきっかけとなれば幸いである．
なお，最近，2001 年 1 月の焼津上空でのニアミス事故について，管制官の過失責任を認定する判決が示された．ヒューマンファクタの視点からは，人に対して異様に厳しい判決ではないかとも思われるものである．
過失とは，法律が要求している注意に反するという意味での不注意（注意義務違反）であり，行為者の「結果予見義務」と「結果回避義務」とから成る．「意識を集中しておれば結果の発生を予見でき，その予見に基づいて結果の発生を回避できたはずであるが，意識の集中を欠いたために結果を予見せず，結果を回避できなかった」ならば，過失責任が問われる．
しかし，過失を巡っては，「不注意で結果を予見しなかった
ことに過失の本質がある」とする旧過失論，「結果の予見可能性があったとしても結果回避義務を果たしている限りは過失犯が成立しない」とする新過失論，具体的な結果の予見可能性は要求せず，「何かよくないことが起こるかもしれないといった漠然とした危惧感があるなかで，その危惧感を払拭す
る結果回避措置をとらなかったなら過失犯が成立する」と考える新・新過失論など，視点を異にする学説があって相互に対立が見られる．
一方，ヒューマンマシンシステムの分野では，事故を未然防止できなかった理由を，「状況認識が適切でなかった点」に求めることがある．状況認識に三つのレベルが定義できることは，既に述べたとおりである．
制御対象となるシステム（例えば，交通移動体）の複雑化・高速化は，状況認識に許される時間を短くしているだけでない．自動化システムの高機能化・高度自律化は，異常の知覚（レベル 1 の状況認識）を難しくするだけでなく，異常原因の特定（レベル 2 の状況認識）も困難なものにしている．このことは，必然的に，レベル 3 の状況認識の獲得を難しくしている．
すなわち，過失責任を問うための構成要件である「結果予見」
が，実は本質的に難しいものであることを示唆している．
人に対して過失責任を問うことは，時には必要かもしれな29

い．しかし，現在のシステムの複雑さを考えたとき，安易に過失を問うことは適切ではない．
人が過失責任を問われかねないような状況に追い込まれたとき，その状況から救うことができるような自動化システムの実現は考えられないだろうか．
文献（1） 稲垣敏之 , “ヒューマン・マシン・システム - 高信頼性が損う
安全性 ,” システム／制御／情報（システム制御情報学会誌）,
vol. 41, no 10, pp. 403-409, 1997.
（2） Boeing Commercial Airplanes, Statistical Summary of Commercial
Jet Aircraft Accidents, 2007.
（3） 渡利邦宏 , “航空機操縦装置の進化と自動化 ,” 航空運航システ
ム研究会雑誌 ,no. 20,pp. 39-48,2004.
（4） 塚原利夫 , “航空機における機器の発達と操縦の安全確保―
ヒューマンファクターとのかかわり ,” 航空運航システム研究
会雑誌 ,no. 20,pp. 49-57,2004.
（5） ICAO, Human factors training manual, Doc 9683-AN/950, 1998.
（6） 稲垣敏之 , “絶対安全への挑戦 : 人を支援する知的技術 ,” 人工知能誌 , vol. 17, no. 6, pp. 732-737, 2002.
（7） L. Bainbridge, “Ironies of automation,” Automatica, vol. 19, no. 3,
pp. 775-779, 1983.
（8） 松本理一郎 , “IATA 安全報告 2006 ―世界の航空安全の状況（1）,” 安全飛行 , no. 249,pp. 6-12,2007.
（9） T.B. Sheridan, Telerobotics, Automation, and Human Supervisory
Control, MIT Press, 1992.
（10） J. Rasmussen and L.P. Goodstein, “Decision support in supervisory
control,” Proc. IFAC Man-Machine Systems, pp. 79-90, 1985.
（11） M.R. Endsley, “Towards a theory of situation awareness in dynamic
systems,” Hum. Factors, vol. 37, no.1, pp. 32-64, 1995.
（12） D.G. Jones and M.R. Endsley, “Investigation of situation awarenesserrors,” Proc. 8th Intʼ l Symp. Aviation Psychology, pp.746-751,
1995.
（13） P. Sparaco, “Human factors cited in French A320 crash,” Aviation
Week and Space Technology, pp. 30-31, Jan. 3, 1994.
（14） 岡野正治 , 事故のモンタージュ V, 全日空総合安全推進委員会 ,pp.51-82, 1993.
（15） J.D. Lee and N. Moray, “Trust, self-confidence, and operatorsʼ
adaptation to automation,” Int. J. Hum.-Comput. Stud., vol. 40, pp.
153-184.
（16） N.B. Sarter,D.D. Woods, and C.E. Billings, “Automation surprises,”in Handbook of Human Factors and Ergonomics, 2nd Ed., G.
Salvendy, Ed. pp. 1926-1943, Wiley, 1997.
（17） D. Hughes and M.A. Dornheim, “Accidents direct focus on cockpit
automation,” Aviation Week and Space Technology, pp. 52-54, Jan.
30, 1995.
（18） 航空事故調査報告書 , 中華航空公司所属エアバス・インダス
トリ - 式 A300B4-622R 型 B1816, 1996.
（19）D.D. Woods, “The effects of automation on humanʼ s role:
Experience from non-aviation industries,” in Flight Deck
Automation: Promises and Realities, S. Norman and H. Orlady,Eds., NASA CP-10036, pp.61-85, 1989.
（20） C.E. Billings, Aviation Automation - The Search for a HumanCentered Approach, LEA, 1997.
（21） 例えば , 国土交通省自動車交通局ホームページ , 第 4 期先進安
全自動車推進計画 .
（22） 例えば ,（ 社）自動車工業会 , “車両の安全性向上への技術” ,http://www.jama.or.jp/safe/technique/（23） 自動車技術会 , “2030 年自動車はこうなる - 第 2 部 ,” 技術分野の専門家が描く『自動車技術発展シナリオ』,p. 36, 2007.
（24） 稲垣敏之 , “運転支援とセンシング : 支援がもたらす新たな課
題 ,” 自動車技術 , vol. 61, no. 2 , pp. 4-9, 2007.
（25） 稲垣敏之 , “リスク環境における人と知能機械の協調をデザイ
ンする ,” 信学誌 , vol. 89, no. 12, pp. 1026-1031, Dec. 2006.
（26） 交通事故総合分析センター , 交通事故例調査・分析報告書 ,2003.
（27） T. Inagaki, “Design of human-machine interactions in light ofdemain-dependence of human-centered automation,” Cognition

30

Technology & Work, vol. 8, no. 3, pp. 161-167, 2006.
（28） W.B. Rouse, “Adaptive aiding for human/computer control,” Hum.
Factors, vol. 30, no. 4, pp. 431-443, 1989.
（29） M.W. Scerbo, “Theoretical perspectives on adaptive automation,”in Automation and Human Performance, R. Parasuraman and M.
Mouloua, Eds., pp. 37-63, LEA, 1996.
（30） T. Inagaki, “Adaptive automation: Sharing and trading of control,”in Handbook of Cognitive Task Design, E. Hollnagel, Ed., pp.
147-169, LEA, 2003.
（31） T. Inagaki and T.B. Sheridan, “Authority and responsibility inhuman-machine systems: Is machine-initiated trading of authority
permissible in the human-centered automation framework?” Proc.
Applied Human Factors and Ergonomics 2008 , 10 pages in CDROM, 2008.
（平成 20 年 7 月 8 日受付 平成 20 年 7 月 11 日最終受付）

稲垣敏之（正員：フェロー）

昭 49 京大・工・機械卒．昭 54 同大学院博士課程了．
同年ヒューストン大．昭 55 筑波大，現在，教授．工博．
システム信頼性・安全性，人間機械共生系の研究に従事．IEEE Reliability Society Japan Chapter Chair， リ ス
ク研究ネットワーク（NOE）会長等を歴任．現在，国土交通省 ASV 推進検討会委員，等．平 6 システム制御
情報学会論文賞，平 10 ヒューマンインタフェース学会論文賞，平 16 自動車技術会秋季大会優秀講演発表
賞，等各受賞．

Fundamentals Review Vol.2 No.2