REAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

ヒューマンマシン共生のための知性と信頼
Trust and Intelligence for Human-Machine Symbiosis
稲垣 敏之
Toshiyuki Inagaki
要旨
人間と機械の間にはさまざまな不整合が生じている．機械の知性に対する不信や過信はそのような例である．本稿では，他者の知性への信頼や依存の観点から，ヒューマンマシンシステムにおける人間と機械の共生のあり方について考察する．

１．はじめに

２．ヒューマンマシンシステム

われわれの身の回りには，「知性」を備え一般にヒューマンマシンシステムと称さたさまざまな機械やシステムがある．設計れるものは，図１に示すように，人間と制段階で作りこまれただけの，もはや成長し御対象の間にいくつかのコンピュータ（あない知性もあれば，人間とのインタラクシるいは自動化システム）が介在する構造[1]ョンを重ねていくうちに，その人間の色にを持っていることが多い．コンピュータは染まっていく柔軟な知性もある．人間の機

人間の機能の一部を代替あるいは拡張する能を代替あるいは拡張するために作り出さ機械であり，人間からの指示を受けたり人れたこのような機械やシステムは，個人と間 に 情 報 を 提 供 す る 役 割 を も つ HIC

しての人間のみならず，組織や社会に多大（Human-Interactive Computer）と，人間にな恩恵を与えてきた．

指示された目標を達成するためのフィード

しかし，人間と機械の間にはさまざまなバック制御を担当する TIC（Task-Interactive

不整合が生じる．機械の知性に対する不信Computer）に分けて考えると便利である．

や過信はそのような例である．これらの現このようなシステムにおける人間の仕事

象は，機械やシステムの構築技術が未熟では，「何をなすべきかを決め，それをコンピあるから生じるのではない．むしろ，高度ュータに指示し，その指示に沿ってコンピな技術の導入が現在の不整合を促進したり，ュータが適切な制御を実行しているかどう新たな問題を創出しているようにも思われかを監視すること」といえる．これは，部る．

下（コンピュータ）に命じた仕事をはたし

本稿では，異なる知性に対する信頼や依て部下が的確に行っているかどうか，上司存の観点から，ヒューマンマシンシステム（人間）が見守っている様子に類似していにおける人間と機械の共生のあり方についる．このことから，図１に示した形態を人て考察する．

間による監視制御（human supervisoryREAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）の意味するところを明らかにしておこう．
このことばは使いやすいため，乱用され過TICぎるきらいがあるが，表１に示すような３

制御対象
HIC

TICつのレベル[2]を持つと考えることができる．
どのレベルで状況認識が喪失されるかに

図 1．

監視制御モデル

ついては興味深いデータがある．1986 年から 1992 年の間に発生した航空インシデンcontrol）と称する．

トからパイロットの状況認識エラーを抽出

航空機や原子力プラントは，監視制御がした報告があるが，それによれば，抽出さ行われるシステムの典型例であるが，一般れたエラー169 個のうち 80.2％がレベル１，家庭にある機器類も監視制御と無縁ではな

16.9％がレベル２，2.9％がレい．例えば，プログラム可能なオーディオ

ベル３で発生しているという[3]．異常原因

機器や，洗濯物の素材に応じた洗い方を指の同定やその後の事態の推移を正確に予測定したいとき，あらかじめ用意されたメニすることが無理であっても，せめて「異常ューにない独自の洗い方をユーザーが細かが発生したとき，直ちにそれに気づく」とく指定できる全自動洗濯機などを使う場面いう，最低限の要求を満たすことが，なぜは，監視制御であると考えて良い．

これほど難しいのであろうか．

監視制御は，人間の肉体的負担を軽減す状況認識を阻害する要因の考察に際してるものではあるものの，心的負担まで軽減は SHELL モデル[4]が有用である．SHELLできるとは限らない．達成すべき目標は単モデルは，パイロット（ライブウェア：Ｌ）

純明快であっても，その実現には複雑な仕と，それを取り囲むソフトウェア（Ｓ），ハ事をいくつかこなさなければならないこと

ードウェア（Ｈ），環境（Ｅ），運航に関わもある．監視制御では，それらの仕事系列る他の人間（Ｌ）との相互関連を表現するを部下（コンピュータ）に任せることになために考え出された．人間にとってソフトるが，上司（人間）は進捗状況をつねに正ウェアやハードウェアがわかりにくいもの確に把握していなければならない．「能力であったなら，奇妙な現象が発生しても直のある部下であるからおそらく間違いはな

ちに原因を特定することは難しい．環境にいだろう」と思いつつも，気を抜くことは許されない．不適切な点が出てきたときに

表１

状況認識の 3 つのレベル[2]訂正・修正の指示が遅れると，当初目標の---------------------------------------------------------

達成がおぼつかなくなるだけでなく，重大レベル１：な損失を蒙ることにもなりかねないからで何らかの異常が起こっていることに気づくことある．的確な状況認識を保ち続けることがレベル２：

その異常の原因を同定できること

監視制御の成否の鍵を握る．しかし，状況レベル３：

これから事態がどのように推移して認識を阻害する要因は多様である．
ここで，状況認識（situation awareness）

いくか予測できること---------------------------------------------------------REAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

も不確定要素が入ることは避けられない．

H

チームを組んでいる人間であっても，コミュニケーションが成立しなければ，相手が何を考えているか必ずしも正確には把握できない[5]．SHELL モデルに沿って実際の事

SLE故を調べてみると，事故の発端や遠因，そして次第に最終的局面へと至る過程で，何Lに関する状況認識がどのように失われていったかを記述することができる．
しかし，高度自動化の進んだ現在の航空

図 2．

C-SHELL モデル

機でコンピュータが果たす役割は，SHELLモデルが提案された時期に比べて格段に大ったりする．これらの支援によって救われきくなっており，もはや SHELL モデルではた例は少なくない．それほど，コンピュー十分な記述ができないこともわかってくる．

タの知性は人間にとって信頼できるものとコンピュータは，ほとんど人間と同等なエなっている．その一方で，警報はつねに正ージェント的性格を持つ，いわば「第３のしいとは限らず，プロテクション機能が人ライブウェア」とも呼べる存在にまで成長間の自由を束縛する厄介者のように思えるしており，あたかも自ら意思を持っている場合もある．このようなことを経験すると，かのように，S, H, E, L, L のいずれとも相互疑念や不信を抱くことにもなる．他者の知作用を持つことができる．時には，コンピ性に対する信頼が過大であっても過小であュータの自律的行動が機体の異常を隠蔽しっても，ヒューマンマシンシステムの安全たり，人間の知らぬ間に制御モードを変え性は損われる．

ることがあり，レベル 1 の状況認識喪失の要因となっている．1990 年にバンガロール

３．信頼を得るには？

空港[6]，また 1992 年にはストラスブール空警報や自動化システムに対して人間が抱港近辺で墜落したエアバス A320 の事故[5] [7]く信頼（trust）は，人間に対する信頼と本などはその典型である．このことから筆者

質的には同じであり，つぎの４つの要件がは，コンピュータ（Ｃ）を明示的に意識しある[8] ．

た C－SHELL モデル（図２）[6]を提案して（１）基礎：自然界を支配する法則や社会いる．の秩序に合致していること

コンピュータの「知性」は，人間を支援（２）能力：終始一貫して，安定的かつ望するために設計者によって付与されたもの

ましい行動や性能が期待できである．その支援は，異常や危険が察知さることれたときにそれを人間に知らせる警報であ（３）方法：行動を実現するための方法，ったり，システムが危機的状況に陥るのをアルゴリズム，ル－ルが理解で未然に防ぐようなプロテクション機能であきること

REAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）（４）目的：上記の背後にある意図・動機が納得できるものであることのことによって，本来の自分の任務が疎かになり，事故が発生することも起こる．実

すなわち，「つねに一貫した動作を反復際，1992 年ストラスブールでのエアバスするものであっても，それを支える論理がA320 墜落事故では，なかなか所定のコース誤っているものは信頼できず，また，たとに乗れない機長の技量に不信を抱いた副操

え論理的な誤りはなくても，正しい目的意

縦士が機長の操縦に気を取られ，飛行状況識に支えられていると思えないものは信頼を把握するための手順である高度，降下率，できない」ということができる．

速度のコールアウトを怠った様子が見られ航空機に搭載されている対地接近警報装る[10]．

置 GPWS（Ground Proximity Warning System）

相手に対する信頼が確立すると，相手のを例にとると，これは航空機が地表面や水行動をモニターする頻度が減るのがふつう面に衝突するのを防止しようとする意図をである．完全に相手に任せきりという状況持っている（図３参照）から，（４）は満たも起こりうる．相手が信頼に値するものでされる．しかし，（２）は完全に満足されるあれば，相手に任せきりにすることは正しわけではない．GPWS は切り立った崖の検い判断である．しかし，complacency とよば知は不得意であり，地形によっては不要なれる状況に陥ると，安全上，重大な問題が警報を発するからである．

生じる．

また，オートパイロットやオートスラス

complacency は，警戒心が欠如し，本来払トなどを駆使してみごとに操縦するコンピうべき注意を払っていない状況をいう[11]．

ュータの能力は，誰もが認めるところであすなわち，信頼に値しないものを信頼してるが，パイロットたちに，「いったいこいつしまう誤り，すなわち過信である．制御対は何をしているのだ？」，「つぎは何をやる象がどのような状態にあるかを常時監視すつもりだ？」と言わせるようなこともある

る単調さに飽き，「いままでの実績が示す[9]ように，このプラントの信頼性は高い．お．コンピュータの「意図」が人間に理解そらく今日も何も問題は起こらないだろう．

できていないからである．
相手が信用できないときは，頻繁に相手万一，不具合が生じたとしても，そのときの行動をチェックしなければならない．こは警報が鳴るはずだ」というケースは，complacency の典型である．警報システムにTerrain,Terrain

Whoop, Whoop,Pull up!

全権を委ねているうちに，その警報システ
ムが欠報モード故障に陥り，完全に状況認識を喪失したまま事故に至った事例[12]は，さまざまな分野で見ることができる．

４．警報への信頼と依存
図 3．

地表接近率が大きい場合のGPWS 警報音声

警報は状況認識支援の重要な道具であるが，つねに正しいとは限らない．対地接近REAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

警報装置（GPWS）が 1970 年代半ばに導入

現在では，地形データベースを備え，前方された頃は，誤報の多いシステムであった．の障害物の認識能力を高めた機能強化型「狼が来た！」と騒ぎ立てた少年がそのう（Enhanced）GPWS の配備が進められていちに信用されなくなったように，GPWS がる．

警報を発しても，「いつもの誤報だろう」とひとくちにヒューマンマシンシステムの放 置 す る 現象 が 見 ら れる よ う に なっ た ．

オペレータと言っても，パイロットのよう「高価だが，信用できない GPWS など搭載に，厳しいトレーニングを積んでいることする必要はない」との経営判断を下すエアを仮定できるオペレータもいれば，一般のラインも出現した．GPWS を搭載しない航車のドライバーのように，必ずしも専門的空機を運航しているエアラインは世界で数な知識や高度な技量を持つことが保証されパーセントに過ぎないが，正常な機体がパていないオペレータもいる．後者のオペレ

イロットも気づかないまま地表や水面に激ータの場合，誤報と欠報の２つの故障モー突する CFIT（Controlled Flight Into Terrain）

ドをもつ警報システムに対して，どのよう事故の約 3 割は，それらのエアラインが起な信頼を感じるだろうか．筆者らは，先行[13]．

車が急減速したことを検知すると，警報を一方，危険が迫っているときに GPWS が発してドライバーにブレーキをかけるよう警報を発しないことがある．従来の GPWS注意を促す仮想的な車間警報システムを構は鉛直方向の地表面を検知することで「降築し，警報の故障モードが人間に及ぼす影下率が過大であるか」などを計算する方式

響を調べてみた[14]．

こしている（図４）をとっているため，機体針路前方に切り立実験で用意した環境はつぎの２種類であった山や崖が突如として現れる場合にはほる．（１）誤報環境：もし正しくない警報がとんど無力である．また，フラップを出し，発生するとすれば，それが誤報である可能

車輪を下ろした状態で緩やかに降下してい性は，欠報である可能性より高い．しかし，る場合は「この機体は着陸しようとしてい欠報モード故障が決して起こらないというる」と判断し，針路が滑走路へ向かってい保証はない．
（２）欠報環境：もし正しくななくても警報は出ない．これらは，いわばい警報が発生するとすれば，それが欠報でGPWS の知性の限界を示すものといえよう．

ある可能性は，誤報である可能性より高い．
しかし，誤報モード故障が決して起こらないという保証はない．なお，誤報環境，欠警報なし

GPWS 非装備

報環境のいずれにおいても，実験中に発せられる警報の９割は正報である．
正報が発せられてからブレーキをかける

警報の遅れ，乗員の不適切な対応までに要した時間（反応時間とよぶ）を上述の２つの環境下で測定して解析したとこ
ろ，被験者は２つのグループに分かれた．

図 4．

CFIT 事故と GPWS

すなわち，「欠報環境における正報への反REAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

応時間が，誤報環境における正報への反応グループＢの被験者は警報システムに依存時間より短く，しかもその差が統計的に有していなかったが，警報に必ずしも不信を意である被験者」からなるグループ１と，抱いていたとはいえない．「欠報環境で発「欠報環境における正報への反応時間と，せられる警報は正報である可能性が高い」

誤報環境における正報への反応時間の間に性質を利用しているからである．このこと統計的に有意な差が認められなかった被験が，「欠報環境における正報への反応時間者」からなるグループ２である．さらに，が，誤報環境における正報への反応時間よグループ１の反応時間はグループ２の反応り短い」という結果をもたらしたものと考時間に比べて短く，しかもその差は統計的えられる．に有意であることが確かめられた．

上記の実験結果は，｢高信頼性をもつ警報

また，この実験では，「車間警報システムシステムの実現は，メーカーの願いでありをあてにしていたか」どうかを被験者にた誇りでもあるが，仮にユーザーがその警報ずね，システムへの依存性の観点から被験システムを信頼するあまり依頼心を抱くと，者をグループ分けした．｢信頼できるものとかえって緊急を要する場面での状況認識なして，警報システムをあてにしていた｣といらびに対応が遅れることも起こりうる｣こ

う被験者をグループＡ，｢警報システムに依とを示唆している．「信頼しつつも適度な存せず，自分で状況を把握しようとした｣警戒を怠らない」ことの重要性を意味するという被験者をグループＢとした．

が，はたして現実には容易なことといえる

正報への反応時間と，警報システムへのだろうか．警報システムと人間の間で主客依存性という，２つの異なる観点からのグ転倒が起こらないこと，これが監視制御形

ループ分けであるが，興味深いことに，グ態を持つヒューマンマシンシステムの基本

ループ１とグループＢが被験者集合として的要請である．

一致し，グループ２とグループＡが一致した．このことは，つぎのように解釈できる．
警報システムに依存していたグループＡ

５．警報の真偽が即座に判定できない
ときは？

（あるいは２）は，警報を受けてから先行警報が発せられたとき，正報か誤報か，車が減速しているかどうかを確認し，必要即座に判断できない場合がある．ある程度ならブレーキをかける．したがって，誤報の時間をかけての情報収集や，事態の進展環境，欠報環境のいずれでも正報への対応を見守ることが許されるなら，結局は警報のしかたは同じである．の正誤が判断できるようになる．しかし，一方，警報システムに頼らないグループ

十分な時間的余裕がないときはどうすればＢ（あるいは１）は，先行車が減速していよいのだろうか．答えはそれほど単純ではるかどうかをつねに自らモニターしているない．「自分で確信が持てないときは，警報ため，警報が発せられてから状況を判断しを信用する」という，いわば倫理的に正しようとするグループＡ（あるいは２）の被いことがつねに良いとはいえないからであ験者より素早い対応が可能となる．さらに，る．

REAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

このことを明らかにするため，筆者は，が判断できない場合は，必ずしも「自分では確証が持てなくても，ともかくTP 方策が良いとは限らない．誤っ警報が鳴っているのだから，警報が正しいた回避操作のために指定航路を外ものとして対応する」Trustful Policy（TP 方れると，管制が当該機を直ちに元策）と，「警報が鳴っていても，自分で正しの航路に戻すことは難しくなる．

いと確認できないのだから警報が誤りであ

特に混雑する空域では，管制の制ると見なす」Distrustful Policy（DP 方策）の御を受けられない状況で，周辺の比較を試みた[15]．対象としたのは，航空機すべての機とのコンフリクトを避における代表的な 3 種の警報，（１）対地接けつつ飛行を続けることは，決し

近警報装置 GPWS の｢プルアップ｣警報，てたやすいことではない．

（２）航空機衝突防止装置 TCAS（Traffic（３）離陸滑走時の「エンジン故障」警

Alert and Collision Avoidance System）の回避

告メッセージ の正否が判断できアドバイザリ（Resolution Advisory）（図５），ない場合は，DP 方策を採るべきで（３）離陸滑走時の「エンジン故障」警告ある．たとえエンジン故障が離陸（caution）メッセージ であり，警報が発せ決心速度Ｖ１より手前で発生した

られたとき正報あるいは誤報の条件つき確としても，判断に躊躇しているう率，人間が警報を正しく識別する確率，識ちに時間が経過する．この状況で別を誤る確率，警報の正誤判断に躊躇

TP 方策を用いると，離陸中止操作（１）採るべきである．TP 方策によって不必要なゴーアラウンドをしたとの開始がＶ１を越える可能性が生じる．

しても経済的損失を蒙るだけだが，なお，（１）と（３）は現在のエアライン

DP 方策を採用してそのまま降下を各社が採用している方策と一致する．特に続けると地表に激突する可能性が（３）はいわゆる Go-Mindedness とよばれ増大し，危険回避操作の時間的余る概念を支持する結果となっている．しか裕がなくなる場合がある．

し，（２）については種々議論のあるところ（２）TCAS の回避アドバイザリの正否であり，今後さらに詳細な検討を行う必要であろう．

CLIMB, CLIMB, CLIMB

６．人間と機械の分権協調警報システムにいかなる知性を付与するかは，今後も挑戦的な課題であり続ける．
しかし，警報は，あくまで人間自身に状況

自機
TCAS II 装備

侵入機
TCAS II 非装

図 5．

TCAS による回避アドバイザリ（上昇）を正しく認識させるための情報の提供である．重要な情報を提示しても，人間がその価値を理解しなかったり，情報を見落としたりするようなことがあれば，元も子もなREAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

指示を与えていくが，切迫する時間のなかい．
このようなとき，システム信頼性・安全で，とても一人でさばききれない．「何をす性に関心のある読者諸賢なら，警報に対応れば良いのかわかっているなら，いちいちする素振りを見せない人間にかわって，自人に命令されるまでじっとしていないで，動化システムに安全を確保させれば良いで自分でさっさとやってくれよ！」と怒鳴りはないかとお考えになるのではなかろうか．

たくなる．

しかし，昨今の流行りでもある「人間中心人間と自動化システムから成るシステムの自動化」は，人間からの指示なしに自動でも，基本的には同じである．コンピュー化システムが勝手に行動するしくみを是とタのように高い知性をもつ機械なら，なおしない．「最終決定権を持つのは人間でなさらそうであろう．どちらか一方に権限をければならない」という思想[16] [17]だからである．

固定するのではなく，眼前に迫った状況に応じて，両者で権限や責任を分担する分権

もし，人間中心の自動化が「いついかな協調形態を考えておく必要があるのではな

る場合でも最終決定権は人間に与えられるいだろうか．表２に示す「自動化レベル」

べきである」とする主張であるなら，このは，権限や責任の分担にさまざまな形態が考え方はあまりにも頑ななものであるといありうることを示している[1]．もちろん，わざるを得ない．システムに異常が生じた

表２に示されたもの以外にも，意味のある状況では，危険を回避するためになすべき形態がありうることには注意しておく必要ことは多い．しかも，状況の把握，意思決がある．

定，操作・行動に許される時間は必ずしも十分ではない．高い信頼性を誇っていたシ

表２

自動化レベルステムの異常であれば，オペレータは平穏-------------------------------------------------------------------な状況から突如として戦場に放り出された(1)

ようなものである．パニックに陥ったとしても不決定し，実行．
(2)

思議ではない場面で，それでもなお，すべての決断，操作は人間が行うべきなのだろ

コンピュ－タはすべての選択肢を提示し，人間はそのうちのひとつを選択して実行．

(3)

うか．

コンピュ－タは可能な選択肢をすべて人間に提示するとともに，そのひとつを選んで提案．

人間の組織で考えてみよう．何人かの部下を持つ上司がいたとする．突然，この組

コンピュ－タの支援なしに，すべてを人間がそれを実行するか否かは人間が決定．
(4)コンピュ－タは可能な選択肢の中からひとつ織の存亡に関わる事態が生じた．迅速かつを選び，それを人間に提案．

的確な対応が求められている．しかし，有それを実行するか否かは人間が決定．

能な部下たちは，事態を分析してさまざま(5)な案を進言してくるものの，上司から指示を受けるまで全く行動を起こそうとしない．
上司も有能であるから，つぎつぎに決裁し，コンピュ－タはひとつの案を人間に提示．人間が了承すれば，コンピュ－タがそれを実行．

(6)

コンピュ－タはひとつの案を人間に提示する．
人間が一定時間以内に実行中止を指令しないREAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

限り，コンピュ－タはその案を実行．

性的に議論しても意味がないことを示してコンピュ－タがすべてを行い，何を実行したいる．すなわち，制御対象，起こりうる異か人間に報告．

常などを具体的に設定し，危険を回避する

コンピュ－タがすべてを決定・実行する．人ためのタスク系列を明確にした上で，シス間に問われれば，何を実行したか人間に報告．

テムの安全確保の観点から人間と自動化シ

コンピュ－タがすべてを決定・実行する．何

ステムの分権協調形態を定量的に解析するを実行したか人間に報告するのは，その必要ことで，はじめて議論の精密化が可能であ性をコンピュ－タが認めたときのみ．

る．事故が発生したときに現れるような，コンピュ－タがすべてを決定し，実行．

「自動化するか，しないか」などの単純な-------------------------------------------------------------------

議論からは，もはや卒業しても良い時期で(7)

(8)

(9)

(10)

ある[9]．
「人間中心の自動化」が主張するように人間に最終決定権を与えておこうとするな

７．さらなる発展を目指してら，自動化レベルは最高でも５に留めてお現在の技術で実現されている多くのシスかなければならない．しかし，筆者の研究テムは，基本的に極めて高い信頼性を有しグループが，航空機の離陸継続・中断の意ている．故障が起こるとしても稀であり，思決定や仮想プラントの制御を例に，数理いつどこで起こるか予測するほうが難しい．

モデルならびに認知工学的実験によって解

このような状況で，ほとんど起こりもしな

析したところによれば，レベル６以上の自い異常に備え，いつでも直ちに対応できる動化がシステムの安全性を確保するうえでように監視を続けなければならない．監視不可欠であることが判明している[18,19]．

制御で人間に課せられた重要な任務とはいまた，図１に示したような制御対象，２え，監視業務は単調であり，退屈を伴う．

種類のコンピュータ（TIC, HIC），中央制御

しかも，いざというときになると，一挙に室オペレータ，フィールドオペレータから緊張は高まり，抽象的かつ論理的思考も要成る監視制御系として原子力プラントをモ求される．監視制御は，実は人間に不向きデル化し，プラント異常が発生したときのな形態であるといってよいのではないだろ

対応手順の自動化を検討してみた

[20]

．機器

うか．

故障や診断の誤りなどを考慮して，異常へ

このような中で，人間と知能機械が単にの対応に必要な時間の期待値や人間のワー「共存」するだけでなく，たがいに他者のクロードなどを最小にするためには，自動弱点を補い，他者の長所を進展させていく化レベル６が最適であるという結果が得ら「共生」形態を実現しようとするとき，両れた．ここでも，いわゆる「人間中心の自者がたがいの意図を正しく認識できるしく動化」の理念から外れる結果が得られたこみを考案することが重要である．過去の航とになる．

空事故では，自動化システムの自律行動が，これらのことは，「人間と機械のどちらパイロットの状況認識を混乱させるオートに最終決定権を与えるか」については，定メ ー シ ョ ン ・ サ プ ラ イ ズ （ automationREAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

surprises）現象[21]が見られる．いかに高い知す？，計測と制御，37(8), 572-577 (1998).

性を持っていても，たがいの意図が了解で[10] 前根：事故のモンタージュ VII,きていないところに信頼は生まれない．さ空(1998).

らに，信頼を醸成しつつも過信を招かない[11] Moray & Inagaki: Laboratory studies of

ようにすることは，決して易しいことではtrustない．しかし，高い信頼が警戒心を損い，automated systems, Trans. Inst MC, 21(4/5),

安全を脅かす事態に至ることだけは，なん

203-211 (1999).

としても避けなければならない．信頼と警[12] 稲垣：ヒューマン・マシン・システム

戒心の絶妙なバランス，ヒューマンマシン――高信頼性が損う安全性：システム／制システムの安全確保の課題である．

御／情報，41(10), 403-409 (1997).

betweenhumansand全日machinesin[13] Bresley & Egilsrud: Enhanced Ground

参考文献

Proximity Warning System, Safety Bird, 33,[1] Sheridan: Supervisory Control, Handbook

12-22 (1997).

of Human Factors, Wiley, 1295-1327 (1997).

[14] Inagaki & Yokoba: Trust in and reliance on[2] Endsley: Towards a Theory of Situation

an automated warning with two failure modes:

Awareness in Dynamic Systems; HumanObservations from a viewpoint of situation

Factors, 37(1), 32-64 (1995).

awareness, Proc. HPSAA, 82-87 (2000).

[3] Jones & Endsley: Investigation of Situation
Awareness Errors; Proc. 8thInternational[15] Inagaki & Parasuraman: Probabilistic
analysis of human interaction with automatedSymposium on Aviation Psychology, 746-751

alerts, Proc. 5th PSAM, 2405-2410 (2000).

(1995).

[16] Woods: The effects of automation on[4] Hawkins: Human Factors in Flight, 2nd Ed.,

human's role; NASA CP-10036, 61/85 (1989).

Avebury Technica (1993).

[17] Billings: Aviation Automation, LEA[5] 稲垣：ヒューマンマシンシステムにおけ(1997).

るチームの功罪，日本原子力学会第１１回[18] Inagaki: Situation-adaptive autonomy for

ヒューマンマシンシステム研究夏期セミナ

time-critical takeoff decisions, Internationalー, 15-25 (2000).

Journal of Modelling and Simulation, 20(2),[6] 稲垣：状況認識喪失の多様性，ヒューマ

175-180 (2000).

ンインタフェース学会誌，2(1),33-35(2000).

[19][7] 稲垣：誰のための自動化？，計測と制御，

automation, trust, and self-confidence in fault

32(3), 181-186 (1993).

management of time-critical tasks, Journal of[8] Lee & Moray: Trust, control strategies andExperimental Psychology: Applied, 6(1), 44-58

allocation of function in human machine(2000).

systems;[20] Furukawa, Niwa, & Inagaki: Levels ofErgonomics,

35(10),

1243-1270

Moray,

Inagaki,&Itoh:

Adaptive(1992).

automation in emergency operating procedures[9] 稲垣：「人間中心の自動化」は何をめざ

for a large-complex system: ProbabilisticREAJ 誌 2001 Vol. 23, No. 2, pp. 167-175（通巻 110 号）

analysis on human-automation collaboration,
Proc. HCI 2001 (to appear).
[21] Sarter, Woods, & Billings: Automation
Surprises, Handbook of Human Factors, Wiley,
1926-1943 (1997).