計測と制御

第 32 巻第3号

pp. 181-186

1993 年 3 月

誰のための自動化？
稲垣

１．

はじめに人は誤るを常とする．人はエラ－を起こさないよう努力する．それでもエラ－は起こる．エラ－の形態，発生状況も様々である．
閉じかけたドアを無理に開けてエレベ－タに乗り込んで階数ボタンを押した途端，それが目的階ではなく途中の階のボタンであったことに気がつく．やがてその階でエレベ－タは停止するが，誰も降りず，誰も乗り込まない．乗り合わせた人々の視線を感じて，何やら罪を犯したかのようないた
たまれない気になる．
「押し間違えた階数ボタンをクリアする undo 機能がついていたら．．
．」と恨めしく思う．このような経験をお持ちの方もおられるのではないだろうか．
われわれのまわりは，便利になった様々な機械がある．実際に使っている（あるいは使いこなせる）人がいるのだろうかと思われるほどの多種多様の機能を誇るものもある．リモコン操作ができるものも多い．
活用するか死蔵するかは別として，多くの家庭には同じようなデザインのリモコンが２個や３個はある．
しかし，これらの機器のなかには，ユ－ザ－の立場に立って設計したのだろうかと考えてしまうものもある．筆者の家のエアコンは「リモコンで操作できる」ようになっている．あるときリモコンの電池が用をなさなくなった．予備の電池がなかったの敏之でエアコン本体の強制スイッチを入れた．
さて室温を設定しようとしたが，本体のどこを探しても室温調節のつまみがない．そのエアコンは「リモコンで操作しなければならない」ものだったのである．
人間はエラ－を起こすが，絶対に故障しない機械も存在しない．機械に不都合が生じたなら，人間はそれを何らかの工夫で補おうとする．人間の工夫が入る余地を残さない設計は，よい設計と言えるだろうか．
われわれの社会には多くの自動化システムがある．技術の進展につれて機械の故障が少なくなり，人間のエラ－が目立つようになる．いつエラ－を起こすかわからない
人間に代えて，その役割を自動化システムで代替しようとする動きは自然なものであった．
自動化には，人間が行うには危険で不向きな「極限作業」をロボットに代行させようという面もあるが，人間の関与を減らしてシステム全体の信頼性・効率を高めたいとするところに，システムの自動化への大きな動機づけがあった．
しかし，人間（オペレ－タ）はいまだにこれらのシステムの中に存在する．オペレ－タの存在が不可欠であるとさえ言われている．なぜだろうか．そこには，システムの設計時の予想を越える状況が発生したときにはオペレ－タが対処してくれるとの期待がある．
必ずしも信頼性が高いとはいえない人間

計測と制御第 32 巻第3号

pp. 181-186

1993 年 3 月を排除しようと導入された自動化システムに乗り，階数ボタンを押した．エレベ－タ

だが，オペレ－タにシステム設計の不備をを降りて事務室へ入ろうとしたが，ドアは補うことを要求する．かくして，人間は自開かないし，廊下の様子も何やら違う．
「お動化システムにとって欠くことのできないかしい」と思いつつもドアを開けようとし存在となる．これを「自動化の皮肉」1)といているうちに，そこは事務室のある９階でう．

はなく，８階であることに気がついた．エ

自動化システムが人間の関与を必要とす

レベ－タに乗ったとき，時間に気をとられるなら，人間と自動化システムの調和のとていたため，つい自分の部屋のある８階のれた関係をいかに実現するかが重要な課題

ボタンを押していたのであった．となる．

例１のエラ－は，「乗っ取り型エラ－」とよ

本稿では，ヒュ－マン・エラ－の様々なばれ，本来意図していた行為が日常的に頻形態を人間の認知レベルとの関連から概観繁に実行される行為によって置換されてしし，現在の自動化システムが抱える問題点まうものである．

を明らかにする．また，マン・マシン・シ（例２）１９９２年１月，エアバス A320

ス テ ムをモ デ ル化し た 監視制 御機がストラスブ－ル空港１６km 手前の山(supervisory control) 2) の概念を述べ，人に墜落する事故があった．A320 機は統合型間と自動化システムの協調と調和のありか

ディジタル電子技術に基づくグラス・コク

た に つ い て ， 自 動 化 レ ベ ル (levels of

ピット機である．事故後の調査では，パイautomation) の観点から考察する．

ロットが，空港への進入角度を指示する「降２．

人間の行為とヒューマン・エラー

ヒュ－マン・エラ－には様々な形態があ下角度」と，１分間の降下高度を指示する「降下率」を間違って入力したのではないかとの疑いがもたれている．

り，その分類法も一通りではない．代表的A320 機では，降下角度と降下率は，モ－ドなものに，(1) オミッションとコミッションをボタンで切り替えて同じ装置から入力すへの分類を基本とする方式 3),4)，(2) スリッる設計になっている．パイロットは降下角プとミステイクへの分類を基本とする方式

度のつもりで「３．３（度）」と入力したが，4),5)降下率入力モ－ドになっていたため，コンなどがある．本稿では後者の分類法にしたがう．
スリップは，ほとんど定型化された動作

ピュ－タは「３３（００フィ－ト／分）」と解釈したと考えられている 6)．

をあまり意識せずに行ううちに，当初の意

例２のエラ－は「モ－ドエラ－」とよば図とは異なったことをしてしまうエラ－でれ，いくつかの操作モ－ドを持つ装置におある．スリップにはいくつかの形態がある

いて，あるモ－ドでの行為が，別のモ－ド5)．以下に２通りの例を揚げる．

ではまったく異なる意味として解釈される（例１）筆者はある日，講義をすること場合に起こる．になっている教室へ向かっているとき，学一方，ミステイクとは，意図したとおり生に配付する資料のうちの１枚をコピ－しに行為が実行されるが，意図そのものが不てこなかったことに気がついた．急いでコ適切であったり誤っているような場合のエ

ピ－機のある事務室へ戻ろうとエレベ－タラ－をいう．すなわち，ミステイクは思考計測と制御

第 32 巻

第3号pp. 181-186

1993 年 3 月のエラ－である．

ベ－スの３つの認知的階層に分けて捉らえ

ミステイクの典型例は，手許にある様々ることを提唱した．

な情報に基づいてシステムの状態を判定しスキル・ベ－スの行為とは，感覚系を通ようとするとき，因果関係の解釈を誤ったして情報が入力されたとき，ほとんど意識り，本来考慮に入れなければならない要因することなく円滑に行われる日常的あるいのすべてを網羅できなかったときに起こる．

は熟練の域に達した行為である．

（例３）スリ－マイル島原子力発電所のル－ル・ベ－スの行為とは，「ＨならばＣ」

事故において，加圧器水位計は「１次冷却の形態で記述されたプロダクション・ル－水の水位が高い」ことを示し，他の計器はルに基づくものをいう．ここでは眼前の状「炉心圧力は低い」ことを示したときがあ

況がどのプロダクション・ル－ルの前件った．ふつう，これらの現象は両立しない．

（Ｈ）に該当するかの判断が行われ，選ば加圧器水位が上昇を続けると，いずれソリれたル－ルの後件（Ｃ）が実行される．

ッド（完全満水）になる．オペレ－タはソ馴染みがない状況に対しては，過去の経リッドを恐れ（そのように訓練されていた），験やノウハウに基づく適切なプロダクショ

緊急炉心冷却装置への信号をバイパスさせン・ル－ルが存在しない．そこで仮説を立るという，（結果から見れば）誤った措置をて，現在の状況が説明できるかどうかを検とった．実際は，加圧器逃がし弁の開固着証する．仮説が妥当でないと判断されればのために１次冷却水は失われつつあり，加別の仮説を立てる．こうして現在の状況が圧器逃がし弁の方へ向かう１次冷却水によ同定されたなら，それに基づいて何をどのって，水位が高く見せかけられたのであっようになすべきかを決定する．このような，た 7)．

対象に関する概念的・構造的モデルに基づ

オペレ－タは，加圧器逃がし弁が開いてく行為を知識ベ－スの行為とよぶ．

いるとは考えもしなかった．パネル上の表

ル－ル・ベ－スと知識ベ－スの行為には

示ランプが「閉」を示していたからである．

「思考」が関与するが，スキル・ベ－スのしかし，この「閉」表示は「弁を閉じるた行為にはその直接的関与は見られない．こめの信号が送られた」ことを示すものであのことから，行為に関する誤りとしてのヒり，「弁が閉じている」ことを示すものでは

ュ－マン・エラ－についても，思考が関与なかった．オペレ－タはそのようなインタしているかどうかを区別して議論することフェ－ス設計になっていることを知っていができる．

たが，緊張が高まった状況では心理的に視Reason 4) は，ヒュ－マン・エラ－を単に野が狭くなり，「弁が開いている可能性はな

スリップとミステイクに２分するのは不十いか」と考えてみることはできなかった．

分とし，思考の直接的関与がないスキル・

ミステイクの背景には，システムの複雑

ベ－ス・スリップ，思考が関与するル－ル・さ，マン・マシン・インタフェ－スの不適

ベ－ス・ミステイクと知識ベ－ス・ミステ

切な設計，不完全な訓練，社会的・時間的イクの３種類に分類することを提案してい圧力など，様々な問題がある．

る．

ところで Rasmussen 8),9)

は，人間の行為

先の例１や例２はスキル・ベ－ス・スリ

をスキル・ベ－ス，ル－ル・ベ－ス，知識ップである．例３にはル－ル・ベ－ス・ミ

計測と制御第 32 巻第3号

pp. 181-186

1993 年 3 月

ステイクと知識ベ－ス・ミステイクが混在

か，「人間を主とし，自動化システムを従としている．

位置づける」かによって，様相は大きく異３．

技術中心の自動化と人間中心の自動化なる．
人間と自動化システムを同列に考えると，「自動化できるところは自動化し，どのよ

現在の多くのシステムは高度に自動化されうに自動化すればよいか明確でないところ，ている．しかし，システムの中から人間があるいは自動化のコストが高すぎるところいなくなったわけではない．オペレ－タは，は人間に任せる」ことになる．これを「技自動化システムが目的どおりに正しく作動術 中 心 の 自 動 化 」 (technology-centered

しているかを常に監視し，異常が発見されautomation) 11) という．

た場合には適切な措置を施すうえで重要な技術中心の自動化では，困難な仕事を人存在である．すなわち，オペレ－タはシス間に割り当てるにもかかわらず，人間の特テム設計者の補完的任務を負う 1)．

性を考慮したシステム設計は十分にはなさ

複雑なシステムであればあるほど，そのれない．すでに航空機，生産システム，原設計には多くの困難が伴う．設計者は予め

子力プラント，銀行情報システムなど様々システムが運用される間に起こりうる様々な分野で，技術中心の自動化による人間とな状況を想定し，そのすべてに対処できる機械の不整合の問題が指摘されている 11)．

ように設計しなければならない．しかし，これに対し，人間を主，機械を従と規定起こりうるすべての状況を予想することはすると，「自動化システムは，人間にとって一般に不可能であり，実際，「予期しなかっ透明度が高い(transparent)21) なもの，かつた」状況も発生する．必然的に，設計者の使いやすいものでなければならない．また，予想を越えた状況に対処する役割を果たす

人間が必要とする支援を提供できるものでものとして，オペレ－タには重大な任務がなければならない」という，「人間中心の自与えられる．設計段階では予想できなかっ動化」(human-centered automation) 11) のた状況においてオペレ－タがシステムを救考え方に至る．その基本となる「人間中心った例は，原子力プラント 4)や航空機 10) なの設計」(human-centered design)

どでも報告されている．と実際例については，本号 Rouse 氏の解説

こうして，人間の関与を排除しようとしつつも，本質的な点で人間の存在を仮定しなければならない，「自動化の皮肉」が現出の概念

記事 22)を参照されたい．

４．

監視制御モデルする．いまや「自動化するか，否か」を議

人間と自動化システムが共存するシステ論してもそれほど有益ではない．
「いかに自ムは，図１に示す監視制御モデル 2),12) で記動化するか」を考察することが課題となる．

述できる．ここでは，コンピュ－タを２種人間と自動化システムが共存するシステ類のコンピュ－タ，すなわち，ヒュ－マン・ムを構成するにあたって重要となるのは，インタラクティブ・コンピュ－タ (HIC) と人間と自動化システムとの関係をどのようタスク・インタラクティブ・コンピュ－タに捉らえるかである．すなわち，「人間と自(TIC) に分け，各々の役割分担を明確にし動化システムを同等なものと位置づける」ている．

計測と制御第 32 巻第3号

pp. 181-186

1993 年 3 月

HIC は中央制御室やコクピットなど，オスクは，つぎの５種類に分けられる．

ペレ－タの身近にあり，（a）オペレ－タ・(1) 何をどのように行うべきかを決める．こコマンドを解釈し，コマンド実行手順をれを「計画」とよぶ．

TIC に伝達，（b）TIC からの制御対象状態(2) 計画内容を HIC に指示する．これは「教に関する種々の信号を解釈し，オペレ－タ示」とよばれ，コマンドの送信あるいはプへ情報提示，（c）オペレ－タ意思決定支援，ログラミングによって行われる．などを司る．すなわち，HIC は制御対象の(3) 適切に，かつ予定どおりに自動化システモデル／知識ベ－スを持つ．

ムによる制御が行われているか，また，異TIC は一般に制御対象の近くにあり，常が発生していないかどうかを「監視」すHIC から指示されたタスクの達成を目標に，る．

対象への制御を行う．ここで，TIC と制御(4) 目標が達せられたとき，あるいは異常事対象の間にフィ－ドバック・ル－プが構成態が検出されたとき，直ちに「介入」してされているところにポイントがある．

自動制御モ－ドを解除し，新たな目標を設

本来，監視制御モデルは，月面上の移動定して HIC に指示する．

体を地球上から制御するテレオペレ－ショ(5) 次回同じことをするなら，どのようにすンを想定して提唱されたが，生産プロセス，るのがよいか，経験をもとに将来へ向けた原子力プラント，航空機など，現在のマン・「学習」を行う．

マシン・システムの多くはこのモデルで記述することができる．オペレ－タは制御対

これら５種類の行為の時間的流れを図２に示す．

象から離れた中央制御室あるいはコクピッ

ル－プ(a) は，自動化システムの監視を続トにおり，自らの感覚器官を通して直接的けているうちにある現象に気がついたとき，に制御対象の状態を感知することはできず，それが何によるものかを知ろうとして，改ディスプレイや計器盤を通して，対象シスめて注意を向けて監視を続ける様子を表す．

テムの状態を間接的に知ることになる．ここのル－プでは，注目すべき現象を見落との状況は，テレオペレ－ションと本質的にすスキル・ベ－ス・スリップや，眼前の現変わらない．

象を誤った現象にマッチングさせるル－

監視制御系におけるオペレ－タの主なタ

ル・ベ－ス・ミステイクなどが起こりうる．

計測と制御第 32 巻

第3号

pp. 181-186

1993 年 3 月

(b)
(a)

計画

教示

介入

監視学習(c)

図 2 オペレータの行為の多重ループ構造
ル－プ(b) は，何らかの異常を検知して自人間に提示するとともに，その中のひとつ動制御モ－ドを解除した後，どのように事を選んで提案する．それを実行するか否か態に対処すべきか新たな目標を自動化シスは人間が決定する．

テム指示し，それが実行される過程を監視(4) コンピュ－タは可能な選択肢の中からする様子を表す．ここで異常診断に誤りがひとつを選び，それを人間に提案する．そあれば，ル－ル・ベ－ス・ミステイクある

れを実行するか否かは人間が決定する．

いは知識ベ－ス・ミステイクが発生する．

(5) コンピュ－タはひとつの案を人間に提ル－プ(c) は，経験から学んだことが次回示する．人間が了承すれば，コンピュ－タの計画立案に活かされる様子を表す．計画はそれを実行する．

立案および学習は知識ベ－スの行為である(6) コンピュ－タはひとつの案を人間に提ことから，このル－プで発生するエラ－は示する．人間が一定時間以内に実行中止を

知識ベ－ス・ミステイクが主となる．

指令しない限り，コンピュ－タはその案を５．

人間と機械の責任分担とその柔軟化実行する．
(7) コンピュ－タがすべてを行い，何を実行したか人間に報告する．

人間と自動化システム（特にコンピュ－(8) コンピュ－タがすべてを行う．人間に問タ）の役割分担の形態は，監視制御モデル

われれば，何を実行したか人間に報告する．

における「自動化レベル」の観点から考察(9) コンピュ－タがすべてを行う．何を実行することができる．

したか人間に報告するのは，報告すべきで自動化レベルとしては，ふつう，つぎのあるとコンピュ－タが判断したときに限ら１０通りのレベルが考えられている 12),13)．

れる．

(1) コンピュ－タの支援なしにすべてを人(10) コンピュ－タがすべてを行う．

間が行う．

上に示したリストは，考えられる自動化(2) コンピュ－タはすべての選択肢を提示レベルをすべて網羅したものではない．現する．人間はそのうちのひとつを選択して実に即した詳細な状況設定を行えば，上に実行する．

示したもの以外の自動化レベルを見出すこ(3) コンピュ－タは可能な選択肢をすべてとも可能である．

計測と制御第 32 巻

第3号

pp. 181-186

1993 年 3 月

現在の多くのシステムでは，「決定に関するときは，音声警告を発してパイロットに知権限・最終責任は人間にある」13),14) とされらせる設計（自動化レベル（４））になってる．これは人間中心の自動化システムにといるものもあるが，グラス・コクピット機っては大前提となり，人間と機械を同列にのひとつであるマグダネル・ダグラス

扱う技術中心の自動化システムにおいてす

MD11 は，ウィンドシアが検出されたときら，このことが仮定されている．

はコンピュ－タが自動的に危険回避コ－ス「決定の権限および最終責任を人間に与えをとるように設計されている 12) ．これは自る」のは当然であり，コンピュ－タに主導動化レベルとしては（７）に相当する．

権を与えたレベル（６）以上の自動化など

このように危険回避操作がル－ル・ベ－ス

考える必要もないと思われるかもしれない．

的行為として記述できるものは，必ずしもしかし，ほんとうにそうだろうか．

「それを実行する時点」においてコンピュ

既に見たように，人間は様々な状況のもと－タは人間の了承を求めなくてもよいのでで様々なエラ－を犯す．それらのうちにははないだろうか．必要がある場合に対して人間に責任を帰して良いエラ－もあるが，のこのようなコンピュ－タの行為は「事前「被告席に座るのはデザインである」5)に」・許可できるものであり，人間中心のとの指摘もあるように，マン・マシン・イン自動化には矛盾しない．

タフェ－スを含めたシステム設計に起因す

予期しない状況はまれにしか起こらないが，るエラ－もある．時間的余裕がない場合にいったんそれが起こると，人間のワ－クロはエラ－の発生傾向はさらに助長される．

－ドは急激に増加し，認知レベルも，それそこで，緊急度の高さなど，状況によってまでのスキル・ベ－スあるいはル－ル・ベ

自動化レベルを柔軟に切り換えることがで－スの認知レベルから，より高度かつ抽象きる設計が考えられないだろうか．筆者ら的な知識レベʜ汲ﾖと移行しなければならは，システム安全性の観点から，状況に応ない．しかし，それを迅速・円滑に行うこじて自動化レベルを切り換えることの有効とは容易ではない．

性を簡単な数学モデルを用いて証明したがこのようなとき，自動化システムは単に「警15)，実際のシステムにもその例を見ること報を出して事足れり」とするのではなく，ができる．

困難な状況に追い込まれている人間の肩代運輸省や自動車メ－カ－が２１世紀初頭のわりをする行動をとってもよいのではない実用化を目指している「先進安全自動車」

だろうか．それができてはじめて人間と自では，衝突の危険が予測されるにもかかわ動化システムの調和と協調が実現されるよらずドライバ－の適切な操作がない場合は，うに筆者には思われる．

自動的に車を止めたり最適な回避手段をとるシステムの開発を目標にしている 16)．この衝突回避装置の自動化レベルは（７）で

６．

あとがき

現在の自動化は「完全な自動化に見せかある．

けた不完全な自動化」11) である．事故が起同様の例は航空機にも見られる．周知のよ

これば，「状況判断を誤り初歩的なミスを犯うに，ウィンドシアは航空機の安全運航にした」オペレ－タはその責を問われる．し危害を及ぼす．ウィンドシアが検出された

かし，「オペレ－タの判断に誤りがあった」

計測と制御第 32 巻第3号

pp. 181-186

1993 年 3 月と言えるのは，われわれがすべての経過と

5) D.A. Norman: The Psychology of

結果を知っているからであり，オペレ－タ

Everyday Things, Basic Books (1988) あの「誤判断」の中には，彼らが置かれた状

るいは（野島久雄訳） 誰のためのデザイ況では「合理的」と考えざるを得ないもの

ン？, 新曜社(1990)も多い．

6)「決定に関する権限・最終責任は人間にあフェイスと人間，予防時報１７０，５(1992)

る」とされるが，オペレ－タの責任を問う

7) 柳田邦男：恐怖の２時間１８分，文芸春に相応しい環境はまだ整えられていない．

秋 (1983 )人間の特性に合致したシステム設計やマ

8) J. Rasmussen: Skills, Rules andン・マシン・インタフェ－ス 17) ，オペレ－

Knowledge: Signals, Signs and Symbols

タ支援技術，人間と機械の役割分担の適正and化 18),19),20)

Performance Models, IEEE Trans. SMC,などについて，さらに研究を積

赤木昭夫：安全の鍵をにぎるインタ－

OtherDistinctions

inHuman

み重ねる必要がある．

13-3, 257/267 (1983)

本稿では，「決定に関する権限・最終責任は9) J. Rasmussen: Information Processing

人間にある」ことを前提としつつもその形

and

式的解釈にこだわらず，自動化レベルを状North-Holland (1986)

況に応じて切替えることの可能性を考察し

10) 加藤寛一朗：墜落，講談社 (1990)

たが，レベル（６）以上の自動化の実現に

11) D. Woods: The Effects of Automation

は，センサシステムの高信頼性が前提とな

onる．また，「オペレ－タのエラ－をコンピュ

Non-Aviation Industries. In S.D. Norman,－タが検出・補償できるか」という問題にH.W.

も関連する．人間と機械の調和と協調を目

Automation:

指すには，まだ多くの課題が山積しているNASA CP-10036, 61/85 (1989)

ようである．

12)

参 考 文 献Human-Machine

Human'sRole:

OrladyT.B.

Interaction,Experience(eds.),

FlightPromises

andSheridan:

from
Deck

Realities,

Telerobotics,Automation, and Human Supervisory
Control, MIT Press (1992)

1)L. Bainbridge: Ironies of Automation.

13) S.K. Card: Human Factors andIn J. Rasmussen et al (eds.), New

Artificial Intelligence. In Hancock andTechnology and Human Error, Wiley,Chignell (eds.), Intelligent Interfaces,271/283 (1987)

North-Holland, 27/48 (1989) あるいは（認2) T. Sheridan: Supervisory Control. In G.

知科学研究会訳）知的インタフェイス，海Salvendy (ed.), Handbook of Human

文堂

Factors, Wiley, 1243/1268 (1987)

14) G. Johannsen: Fault Management,3) 幸田，井上：ヒュ－マン・エラ－の評価

Knowledge Support, and Responsibility

方法，計測と制御，３０－７，６２３／６

in Man-Machine Systems. In Wise and３０(1991)

Debons4) J. Reason: Human Error, Cambridge

FailureUniversity Press (1990)

205/209 (1987)(1991)(eds.),

Information

Analysis,

Systems:Springer-Verlag,

計測と制御15)

第 32 巻T.

第3号

Inagaki,

Human-Computer

pp. 181-186

G.

1993 年 3 月

Johannsen:Interactionand19) G. Johannsen: Towards a New
QualityofAutomation

Coopereation for Supervisory Control of

Man-Machine Systems,

Large-Complex Systems.

28-2, 355/375 (1992)

In Pichler andin

Complex

Automatica,

Moreno Diaz (eds.), Computer Aided

20) A.L. Levis, N. Moray: Task Allocation

System Theory - EUROCAST'91 (Lecture

Problems and Discrete Event Systems,

Notes

Preprints IFAC Symposium on Analysis,inComputerScience585),

Springer-Verlag, 281/294 (1992)

Design and Evaluation of Man-Machine16) 「21 世紀の安全車」，6 月 30 日朝日新Systems (1992)

聞 (1992)21) 海保，原田，黒須：認知的インタフェ

17)

K.J.

Vicente,J.

Rasmussen:－ス，新曜社 (1991)

Ecological Interface Design: Theoretical

22)

Foundations, IEEE Trans. SMC, 22-4,

Design: Concept and Methodology, 計測

589/606 (1992)と制御，３２－３(1993)

18)

Balancing Automation and Human

Action in Nuclear Power Plants, IAEA
(1991)

W.B.

Rouse:

Human-Centered