日本交通科学協議会誌 vol. 9, No. 1, pp. 11-20, 2010

人と機械の協調における安全と安心―人間中心の自動化の視点からの考察―
稲垣敏之
筑波大学大学院システム情報工学研究科

交通移動体をはじめとする人間機械系の安全性を確保するうえで，高い知能と自律性を備えた自動化シス
テム（知能機械）はもはや欠かすことができない存在である．しかし，人と高度技術システムのミスマッチともいえる要因でさまざまな事故が起こっていることもまた事実である．本論文では，人と機械が自然な形で協調できるシステムを実現するには，システム設計にどのような視点が求められているかを考察する．特に，「人間中心の自動化」における未解決の問題のなかから人と機械の間での権限委譲を取り上げ，安全確保の名目のもとで「機械が人の意向に逆らう」ことは許容されるか等を論じる．また，信頼（過信，不信）に関わる問題も人と機械が協調するシステム形態において慎重な検討が必要な課題である．本論文では，「運転支援システムを導入すると過信が生じるのではないか」との議論に潜む落とし穴を明確にし，これからの人と機械の協調のあり方を考察する．
キーワード： 権限と責任，人間中心の自動化，状況認識，信頼と過信

Safety and Peace of Mind in Human-Machine Collaborations- Discussions from Human-Centered Automation Points of View Toshiyuki INAGAKI
School of Systems and Information Engineering, University of Tsukuba

Human-centered automation is an approach to realize a work environment in which humans and machines collaborate
cooperatively. It is usually claimed that, “the human must have final authority over the automation.” However, we ask
ourselves whether the statement must hold at all times and on every occasion. This paper argues that authority tradingfrom humans to automation may be indispensable for assuring safety of human-machine systems, and that amachine-initiated automation invocation may be required even in the human-centered automation. This paper also
discusses a research question, “Can humans be complacent when various support functions are provided with by smart
machines?”, and argues that humans may not always trust in machines overly, even when the machines are smart andreliable.
Keyword: Authority and responsibility, human-centered automation, situation awareness, trust and over-trust１．高い知能と自律性を持つ機械技術の進歩は，状況を理解し，今何をなすべきかを決め，それを実行に移す能力を備えた自動化シス
テムを出現させた．例えば航空機の自動化システム
は，初期は姿勢制御のみを行うものであったが，今や機体重量や気象条件等に応じて最適な速度や高度を決め，飛行全体を計画する能力も備えている．離陸時こそパイロットが操縦するものの，滑走路を離れた後は，所定高度への上昇，長時間にわたる巡航，目的地へ向けての降下，人の操縦であれば代替空港
へ向かわざるを得ない気象条件の中での着陸に至る全過程を担当することができる．
このような高い知能と自律性を持つ機械が交通移動体の安全性・効率性・快適性に貢献してきたことは疑いようがない．実際，1950 年末頃の航空機の全損事故発生率は 100 万便あたり 40 便以上であったが，自動化システムの機能が向上した 60 年代から 70 年
代にかけて全損事故発生率は急速に減少した．2000
年代以降，全損事故発生率は 100 万便あたり 1 便未満となっている 1)．
２．人と高度技術システムのミスマッチ
その一方で，高度な自動化と知能化が進んだ航空
機では，かつての素朴な航空機では考えられなかったような事故が起こることがある．そのような事故の背景には，（１）多機能インタフェースによるエラ
ーの誘発，（２）人と機械の意図の対立，（３）自動化システムへの不信と過信の交錯，（４）自動化シス
テムによる「異常の隠蔽」，（５）高機能システムの「わかりにくさ」がもたらすオートメーション・サ
プライズ（automation surprise）等がある 2)．このことは，人と高度技術システムにミスマッチがあることの証左といえよう．
「事故原因の 70～80％はヒューマンエラー」1)といわれるが，人の特性を十分考慮しなかったデザインに問題があったケースもないわけではない．徹底的な教育・訓練を受けるパイロットでさえ「人と高度技術システムのミスマッチ」から逃れることができないという事実は，まさに高度技術システムと人の関わりのデザインがいかに難しいかを語っている．
３．状況認識交通移動体の運転や操縦は，知覚，認知，判断，操作の繰り返しである．ここで，知覚とは，感覚器官を通して外部から入手した情報を中枢で処理することをいう．また，認知とは，得られた情報が何を意味しているかを理解することであり，「状況理解」といい換えることもできる．さらに，判断とは，直面している状況への対応に必要な行為を選択すること，すなわち「行為選択」である．そして，操作とは，「行為実行」である．
自動車の運転を例にとると，自分の車の周辺に他の車や歩行者がいないか，路面が濡れたり凍結した
りしていないかなどに気を配り，他車や歩行者がいるときは動静を予測し，安全運転のために何をしなければならないかを考え，状況に最も適した操作を実行する．これが，知覚・認知・判断・操作のサイクルの一例である．ただし，これらは必ずこの順番で起こるとは限らない．例えば，すでに獲得した情報を用いて状況を理解しようとしてもそれがうまくいかない場合は，追加的に他の情報を獲得しようと，
知覚フェーズに戻ることもあり得る．
さて，状況理解（認知）が正しくなければ，それに引き続く行為選択（判断）や行為実行（操作）は正しくありようがない．自分が置かれた状況に関する把握や理解を表すことばに「状況認識」がある．
状況認識（situation awareness）については，表１のような３レベルを識別するのがふつうである 3)．

表１ 状況認識の３つのレベル---------------------------------------------------------------レベル１：何かが起こっていることに気づく
レベル２：その原因を同定できる
レベル３：これからの事態の推移が予測できる----------------------------------------------------------------まず，何か変だということに気づく（レベル１）．
そして，その現象の原因が何であるかを特定する（レベル２）．さらに，今，ある行動を取ればどのような結果がもたらされるか，その行動を取らなければどのような事態になるかを予測する（レベル３）．レベ
ル３までの状況認識が達成できていることが，合理的な意思決定の前提となる．
４．状況認識の失敗
4-1 レベル１の状況認識の失敗「何か変なことが起こったら，それに気づくこと（レベル 1 の状況認識）くらいは簡単だろう」と考えたいところだが，実は「気づき」は意外に難しい．
現在の社会には，人と知能機械が共存するシステム
が少なくないが，そのようなシステムにおけるレベル１の状況認識の失敗（気づきの失敗）には，知能機械が持つ高い自律性，ヒューマン・インタフェー
ス設計の不備，知能機械の能力の過大評価，環境変化に対する警戒心の欠如などが関与している 4), 5)．
4-2 レベル２の状況認識の失敗「異常発生には気づいたものの，異常の原因が分からない」というケースがレベル２の状況認識の失敗（原因特定の失敗）である．原因特定の失敗には，いくつかのタイプがある 4), 5)．
（１）ある現象が起こったとき，それを引き起こす
原因についての知識が十分あるにもかかわらず，「現象→原因」の形で記述される診断ルールのうち，その場面に該当しないものを適用する．
（２）眼前の「現象」が，その人にとっては「未知の現象」であり，何を意味しているのかよく分からない．知能機械の「ものの見方・考え方」が人と異なることによって発生するオートメーション・サプ
ライズも，このタイプである．
（３）眼前の（奇妙な）現象に対して，「合理的」と思える（実は誤った）説明をつけて自らを納得させる．これは，人の特性に関わるものである．知能機
械からのメッセージを無視したり，自分に都合良く解釈したりするケースが該当する．
4-3 レベル３の状況認識の失敗
眼前で起こっている異常に気づいており，その原因も分かっているにもかかわらず，状況に潜むリス
クを過小評価し，「まだ対応しなくても大丈夫だろう」と思ってしまうケースは，典型的なレベル３の
状況認識の失敗（予測の失敗）である．知能機械とのインタラクションのなかで，これから自分が取ろうとする行動がどのような事態をもたらすのかを的確に予測できないときにも起こり得る 4), 5)．
５．支援の時間的多層構造
状況が正しく把握できておれば，その状況において何をなすべきか，なすべきでないかの判断は難し
くない．しかし，現実には，人が長時間にわたって
適正な状況認識を保ち続けることは容易ではない．
そのことを念頭に置くと，交通移動体の運転や操縦にあたる人を適切に支援するには，支援機能に対して表２に示すような時間的多層構造を導入することは自然であろう 6)．

表２ 支援の時間的多層構造-------------------------------------------------------------------第 1 層： 見えないもの（見えにくいもの）の可視化など，
人の「知覚機能拡大」．
第２層： 運転に対して障害あるいは危険をもたらす可能性があるものが検出されたとき，それらの存在を知らせ，状況の理解を支援する「注意喚起」．
第３層： 直面する状況の中で必要と考えられる操作が行われていない（遅れている）ことを何らかの技術で検知したとき，当該操作を求める「警報提示」．
第４層： 警報提示にもかかわらず当該操作が行われない（遅れている）ことが検知されたとき，機械が人に代わって操作を実行する「制御介入」．

-------------------------------------------------------------------例えば，暗い夜道を走行しているとき，暗視カメ
ラでとらえた前方画像がそのままディスプレイに表示されるなら，この場合の支援は，知覚機能拡大である．知覚機能拡大型の支援では，システムの独自判断は一切加えられない．
もし，前方に歩行者がいることをシステムが検知したとする．このとき，暗視画像中の歩行者に枠をつけてディスプレイ表示するなら，その支援は注意喚起である．ただし，システムとしては，歩行者の存在を教えるだけで，「だから，何をせよ」といったような特定の行為を指示することはない．
さらに接近していくうちに，「このままでは人に衝突する恐れがある」と判断したシステムが，「減速せよ」という意味で音あるいは音声を発したとする．
このときの音・音声は，減速行動を要求する警報である．しかし，その行為をシステムが代行することはない．
システムが，「これ以上ブレーキ操作が遅れると，もはや人への衝突が避けられない」との判断に基づ
き自動的に減速するならば，それは「制御介入」である．
表２に示した知覚機能拡大，注意喚起，警報提示，制御介入の４つは，国土交通省先進安全自動車（ASV）プロジェクト 7)等で議論されている「４つの支援レベル」に対応している．
ところで，制御介入については，一部に実用化された技術もあるものの，一般には，そのレベルまで踏み込んだ支援を提供することには，国交省や警察庁は躊躇しているように思われる．その背景には，
つぎのような問題がある．

（１）ソフトウェア／ハードウェアの信頼性（２）運転に関する「ドライバ主権」の考え方（３）ドライバの心に生ずる「過信」への恐れ（１）の「信頼性（reliability）」の問題は自明であるので，（２）と（３）に焦点を絞り，それぞれを６節と７節で論じることにする．
６．ドライバ主権
6-1 人間中心の自動化（２）の「ドライバ主権」は，「運転はあくまでもドライバが主体となって行うものである」7)ことを主張する，いわゆる「人間中心の自動化」に沿った考え方である．
「人間中心の自動化」は，古くから航空分野における重要テーマであり，1980 年代から議論が重ねられてきた 8), 9)．その結果は，「運航安全に関する責任は人間にある．したがって，責任を負っている人間には最終決定権を与えておかなければならない」という考えを基盤に，
表３のように纏められている 10)．
表３ 航空分野における人間中心の自動化---------------------------------------------人は，航空システムの安全のため，最終の責任を負う．
それゆえ，•人に指揮権がなければならない．

•

指揮を効果的に行うために，人は直接的に関与できなければならない．

•

人が直接関与するには，人に情報が提供されねば
ならない．

•

機能を自動化してよいのは，適切な理由がある場
合に限る．

•

人は自動化システムをモニタできるようになっていなければならない．

•

それゆえ，自動化システムは予測可能でなければ
ならない．

•

自動化システムはオペレータ（人）をモニタできるようになっていなければならない．

•

システムを構成する各要素は，他の要素の意図に関する知識を持っていなければならない．

•

自動化は，簡単に学べ，簡単に使えるようにデザインされていなければならない．

---------------------------------------------ただ，「人間中心の自動化」には，未解決の問題もある．例えば，表３は，「人間は指揮権を持たねばならない」としているが，「いついかなる場合でもそうあるべき」なのか，「ある一定の条件が満たされる場
合はその限りではない」のかは明確ではない．
また，「自動化システムは人間をモニタできるようになっていなければならない」との主張も，人の行為に不都合が検出されたとき，「警告を発して人に注意を促すにとどめるべき」なのか，「必要に応じて自動的に介入し，人の行為の不都合を是正する措置を講じることを許す」のかは明示していない 11)．
実は，これら２つの問題は，自動車の場合には安全確保の成否の鍵を握るきわめて重要なものであり，
いつまでも未解決のまま放置することは許されない．
6-2 安全確保の視点から権限を考察すると自動車の衝突事故では，有効な手段を何も講じな
いまま（すなわち，ステアリングでの回避も行わず，ブレーキもかけないまま）障害物にぶつかっていく
ケースが少なくない 12)．障害物への急接近が検知されたとき，システムは「減速せよ」と警報を発するだけでよいのだろうか．減速するか否かの判断をドライバに任せる考え方は，「人に権限を与える」ものであるが，本当にそれでよいのだろうか．
ヒューマン・マシン・システムでは，人が担当していたタスクを機械に移す，あるいはその逆向きの受け渡しが行われることがある．このとき，一方の主体が行っていたタスクを，ある時点で他方の主体に譲り渡すことを，タスクに関する「権限委譲」13),14)という．では，人と機械が担当している各タスクについて，「タスクの権限委譲を行う必要はあるか．
行うとすれば，それはいつか」を決める権限は誰が持つのだろうか．人でなければならないのだろうか，
それともコンピュータであってもよいのだろうか．
この問題を「システムの安全確保」の視点から考察してみよう．
ドライバが直面している「状況」をひとつ想定するとき，その状況の中でのドライバの行為は，つぎの３種類のうちのいずれかに分類される（図１）15)．
（D１）必ず実行しなければならないもの（D２）行っても，行わなくてもよいもの（D３）決して行ってはいけないもの
また，表３に述べられていたように，「コンピュー
タがドライバをモニタできるようになっている」ものとすると，ドライバの行為に対するコンピュータの判断は，つぎの２通りのうちのいずれかである．
（C１）ドライバによる当該行為が検出された（C２）ドライバの当該行為は検出されていない

図１

機械の判断による権限委譲

図１における領域 A は，「直面している状況の中で，ドライバはなすべきことをしていない」とコンピュータが判断するケースを示す．先行車が急減速しているので，直ちにブレーキをかけなければならないのだが，ドライバのブレーキ操作が検出されないというケースである．ドライバは脇見をしており，先行車の急減速に気づいていないのかもしれな
い．あるいは，先行車が急減速するのを見てパニッ
ク状態になり，ブレーキ操作ができないのかもしれない．このようなとき，ドライバに指示されていな
いからといって，コンピュータはブレーキもかけず
傍観していてよいのだろうか．それとも，自らの判
断で緊急ブレーキをかける（ブレーキ操作に関する権限を，人からコンピュータに委譲させる）ことが適当なのだろうか．ここで，機械が自律的に安全制御を行うことは，「ドライバの操作の欠落部を機械が補う」ことであることに注意すれば，そのような場
面で「機械に権限を与える」ことには，さほどの違和感は覚えないものと思われる．なお，コンピュー
タが自らの判断で自動的に減速するシステムはすでに実用化されているが，厳密な意味では旧来の「人間中心の自動化」の枠から外れたものである．
一方，図１における領域 B は，「直面している状
況の中で，決してやってはいけないことを人がしている」とコンピュータが判断するケースである．隣接レーンを背後から高速で接近する車があるのに，ドライバが車線変更をしようとしているといったケースである．現在の自動車技術では，ドライバのス
テアリングにはかかわりなく，車輪の向きを制御することが可能であるが，「不適切な車線変更」が行われようとしたとき，コンピュータがそれを阻止する（ステアリングに関する権限を，人からコンピュー
タに委譲させる）ことは許されるだろうか．このような場面で，「ドライバの行為を機械が完全に抑制・阻止する」ハード・プロテクションの考えかたを採るべきか，「ドライバは何らかの意図を持って行おうとしているのであろうから，それが状況にそぐわない行為であることのみをドライバに知らせればよく，それをオーバーライドしてドライバが当該行為を続けることを認める」ソフト・プロテクションの考え方を採るべきかは，議論が分かれるところである．
なお，コンピュータが自らの判断でプロテクションをかけてドライバの「不適切な行為」を抑制しようとするシステムも，「人間中心の自動化」の枠には収
まらないものである．
７．過信
7-1 信頼の４つの次元
Lee & Moray 16) は，人がシステム（機械）に対して抱く信頼（trust）は，人に対する信頼と本質的に同じであるとし，表４に示すような４つの要件を示した．すなわち，４つの要件のうちに満足されないものがあれば，システムへの人の信頼は磐石とはいえない．
表４ 信頼の４つの次元-----------------------------------------------------------------------（１）基礎： 自然界を支配する法則や社会の秩序に合致している（２）能力： 終始一貫して安定的かつ望ましい行動や性能が期待できる（３）方法： 行動を実現するための方法，アルゴリズム，
ルールが理解できる（４）目的：上記の背後にある意図，動機が納得できる---------------------------------------------------------------------------

物理法則に従っている｢工学的システム」では（１）は成立していると考えてよい．
（２）－（４）をわか
りやすく表現するなら，「つねに一貫した動作を反復するものであっても，それを支える論理が誤っているものは信頼できず，また，たとえ論理的な誤りはなくても，正しい目的意識に支えられていると思えないものは信頼できない」ということができる．
表４の要件が客観的には満足されているにも関わらず，「満足されていない」と誤った判断をする場合を「不信」（distrust）と称する．一方，客観的には満足されていないはずの要件に対して「満足されているはずだ」との判断を下す場合を「過信」（over-trust）という．いずれも，「不適切な信頼」（mistrust）の例である 17)．

なお，
「依存」
（reliance）という用語は，ときに「システムに依存するようなことがあってはならない」というように，過信と同じ意味合いで用いられることがあるが，この用法は正しくない．「信頼に値す
るものに対する依存」は当然の行為あるいは判断であり，ワークロード軽減の観点からも正当なものである 18)．あってはならないものは，「信頼に値しな
いものに対する依存」である．「信頼」に対して適否を区別したように，「依存」に対しても適否を区別することが肝要である．
7-2 運転支援システムの導入は過信を招くか
運転支援システムといっても，平時に作動するものもあれば，緊急時に作動するものもある．
「平時に作動するシステム」は，自動車でいえば， ACC（Adaptive Cruise Control：指定速度での定速走行機
能と，先行車との車間距離を維持・制御する機能を持つ），航空機でいえばオートパイロットなどに典型を見ることができる．一方，「緊急時に作動するシス
テム」の例としては，自動車では，衝突被害軽減ブ
レーキ（Pre-Crash Safety：先行車との衝突を予測して警報を発し，衝突が避けられない場合に被害軽減のための制動制御を行う）19)，航空機では TAC（ThrustAsymmetric Compensation：離陸滑走中のエンジン故
障によって生じるヨー・モーメントを自動的に補正する機構）など 20) が典型である．
平時に作動するシステムは，さまざまな機能を提供することによって，人の負担軽減を図ろうとするものが多い．人がこれらのシステムに「達成すべき
目標（ゴール）」を指示すれば，システムは状況をセンシング・理解したうえで，ゴールを達成するのに必要な操作を自律的に実行する能力を持っている．
これらのシステムが知的なものであればあるほど，
人はそのシステムを信頼し，依存するようになるのは自然なことである．
すでに述べたように，「人がシステムに依存するのは良くない」と考えるのは必ずしも正しくない．
「適
正な信頼に基づく依存」は咎められるべきものではなく，むしろ合理的なものである．問題となるのは，「過信に基づく依存」である．
さて，「平時に作動するシステムに対して，過信（あるいは過信に基づく依存）は起こり得るだろうか」と問われたとすると，その答えは肯定的なものとな
ろう．過信の可能性が否定できない理由として，例
えばつぎの２つをあげることができる．
第１は，「平時に作動するシステム」であるがゆえに，人はそのシステムが「知的に振る舞う」様子を何度も繰り返して見ることができるという点である．
システムの振る舞いを日常的に眺めているうちに，「A のような場面では，システムは B のように振舞う」といったように，人は自分の体験を通じてシス
テムのメンタルモデルを構築していく．日常に遭遇するさまざまな場面のなかでシステムが見せる挙動に満足感を覚えるようになると，人は「システムに任せて安心」という気持ちを抱くであろう．しかし，いかに日常的とはいえ，過去に遭遇した場面と寸分
たがわぬものばかりが現れるわけではない．場面 Aに似ているが，実はそれとは本質的に異なる A*が出現することもある．人は，いつもの場面 A だと思ってシステムに任せるかもしれない．しかし，A*がシステムの能力を超えるものだったらどうだろう．
「シ
ステムが対応してくれるはず」と思っていても，システムは人が期待したとおりの機能を発揮することはない．
第２の理由としては，「システムの挙動が自分の想像（期待）していたものとは違うといった事態が生じたとしても，人がそれに対応できるだけの十分な
時間的なゆとりがある」という，「平時」が持っている本質的な特徴をあげることができる．
では，「緊急時に作動する（はずの）システム」に対する過信は発生するのだろうか．これについては，
慎重に検討したうえで答えを出す必要があるが，過信が生じたとしても，「平時に作動するシステム」に対する過信ほどの頻度は持たないのではないかと考えられる．その理由は，少なくとも２つある．
第１は，「緊急時に作動するシステム」が本当に作動する場面に人が遭遇する機会は少ないことである．
「緊急時に作動する」ように設計されているとは聞いている（あるいは，知っている）としても，自分の眼で見る（体験する）機会が少ないものに対して，人は「任せて安心」と感じるだろうか．
第２は，もし万一，「システムの挙動が自分の想像（期待）していたものとは違うといった事態が生じたなら，もはや人がそれに対応できるだけの十分な
時間的なゆとりはない」という，「緊急時」の本質的特徴があげられる．極論すれば，「自分の命をかけてまで，システムに頼ろうと考える人はいるのか」と言い表すこともできる．
ここまでは，平時に作動するシステムと緊急時に作動するシステムとを対比的に考察したが，実は同様の議論はあるひとつのシステムに対しても展開することができる．実際，伊藤 21), 22)は「追突回避自動ブレーキ機能」を取り上げて，作動頻度が高い場合と低い場合とで，その機能に対する信頼の醸成過程が異なる（したがって過信に至る可能性も異なる）
ことを指摘している．加えて，運転支援システムが複数のドライバ支援機能から構成されているような場合は，作動頻度が高い機能に対して形成された信頼や過信が，作動頻度が高くない（低い）機能への信頼や過信にどのような影響を及ぼすかを調べておく必要があるとの指摘も行っている 21), 22)．
８．限りある能力の組み合わせ
人にも，人を支援しようとする機械にも，能力に限界がある．
「眼」でものを見るというケースを取り上げて，人と支援システムの視認能力の組合せを示したものが図２である 23)．

図２ 限りある能力の組み合わせ
支援システムと人の能力が一致している領域①は理想的のように見えるが，「同じもの」を見ても，「支援システムがどう考えるか」は，「人がどう考えるか」と一致するとは限らない．支援システムに組込まれている「ものの考え方」が複雑なものであったり，人と異なっていたりした場合はオートメーション・
サプライズが起こり得る．
領域②では，「支援システムには見えていない」ことを人が知らなければ，人は，「支援システムが教えてくれる（対応してくれる）はず」との過信に陥る．
しかし，期待した機能が果たされなかったケースを一度でも経験すると，不信が芽生える．
領域③で，「人には見えない危険を検知する」能力を持つ支援システムが「危険」を伝えても，人に，情報の真偽判定の手だてがなければ，「本当か？」との不安や不信を抱くことになる．

９．安全と安心の鍵を握る２つの HMI
自動化と知能化が進んだ交通移動体におけるさま
ざまな事故は，機械が何をしようとしているのか，
なぜそれをしようとしているのか，ほんとうに機械にはそれができるのか，などを人が正しく理解できなかったことが背景要因となっている場合がある．
このような問題の解消には，「人が機械を知る」手立てとしてのヒューマン・マシン・インタフェース（HMI）設計が重要な役割を演じる．例えば，（１）機械の判断の根拠がわかる情報（２）機械の意図を理解する手がかり情報（３）人と機械の状況認識共有を助ける情報（４）機械の能力限界を知る手がかり情報
等を人に分かりやすく提示することができれば，人は機械の意図や「ものの考え方」を容易に理解でき，機械の能力を過大にも過小にも評価することなく，機械とのチームワークを遂行できることになる．すなわち，ヒューマン・マシン・インタフェースの意
味での HMI は，人が機械とチームを組む上での安心（あるいは安心感）の醸成に欠かせない．
一方，人の特性は時間の経過のなかで大きく変動
する．いつもならできることが，あるときにはできないこともある．昔ならできたことが，今はできないというケースもあろう．このことは，「機械が人に提供する支援は，状況によって変わるべき」と考えることの根拠になる．機械が人の状態に合わせて支援形態を変えるには，「機械が人を知る」必要がある
が，現在のセンシング技術はそれを可能にしている
6), 24), 25), 26)．交通環境やドライバの様子をモニタしな
がら，状況に応じて人への支援形態を変えることは，「人がどのような状況にいるとき，機械は何をすればよいか．おそらく，人はそれに迅速に対応できるだろう．もし，人の対応に遅れが見られるようなら，機械はどのように対処することにしようか」といった，「人と機械のキャッチボール」をデザインすることにほかならない．これはヒューマン・マシン・イ
ンタラクションの意味での HMI であり，人の安全を確保するための砦の役割も演じることになる．
近年，安全と安心は，「安全・安心」のようにひとくくりで用いられることも多いが，上に述べたことは，安全と安心は視点の異なる概念であることを示している．なお，「安全．でも，安心できない…」27)との中谷内のことばは，そのことを端的に言い表している．

１０．法と高度技術システムのミスマッチ
2001 年 1 月の焼津上空でのニアミス事故について，管制官の過失責任を認定する判断が，2008 年 4月に東京高等裁判所によって示された．その判決は，便名の言い間違いを糾弾し，「初歩的誤り」といったことばを用いるなど，ヒューマンファクターズの視点からは異様とも不適切とも思える点がいくつかある．ただ，ここでは，「人間中心の自動化」の視点か
ら，法と高度技術システムのミスマッチともいえる問題を指摘しておきたい．
過失とは，法律が要求している注意に反するという意味での不注意（注意義務違反）であり，行為者の「結果予見義務」と「結果回避義務」とから成る．
「意識を集中しておれば結果の発生を予見でき，その予見に基づいて結果の発生を回避できたはずであるが，意識の集中を欠いたために結果を予見せず，結果を回避できなかった」ことが認められたとき，過失責任が問われる（厳密には，過失をめぐっては，
旧過失論，新過失論，新・新過失論など，視点を異にする学説があって相互に対立があるが，本稿ではそこには立ち入らない）．
すでに論じてきたように，自動化システムの高機能化・高知能化・高度自律化などは，制御対象（交通移動体）や自動化システムのなかで起こりつつある異常への気づき（レベル１の状況認識）を難しくするだけでなく，異常原因の特定（レベル２の状況認識）も困難なものにしている．必然的に，その後の事態の推移予測（レベル３の状況認識）も難しいものとなる．
状況認識の確保の難しさと，過失責任の構成要件のつながりを示したものが図３である．図３は，過失責任を問うための構成要件である「結果予見」は，高度技術システムの登場によって，実は本質的に難しくなっている可能性があることを示している．

「運航安全の責任は人が負う」ことは「人間中心の自動化」の前提にもなっている．しかし，時間的多層構造を持つ支援形態を考察する必要性が示しているように，つねに人が権限を持って指示を与える
ことができる状況ばかりではない．すなわち，人に過失責任を問うことは，ときには必要であろうが，現在の高度技術システムの複雑さを考えたとき，人の過失をいかに問うべきかは，実はきわめて難しい問題である．
法理論の研究者・実務者には，高度技術システム
が遍在しなかった時代に定められた法によって，高度技術システムとのインタラクションのなかでのオペレータ（人）の過失を裁くというミスマッチが起
こっていないかを検証し，高度技術システムがもたらしている光の面と影の面を適切に考慮できる法のすがたを考えてみていただけるとありがたい．
参考文献
1) Boeing Commercial Airplanes, Statistical Summary ofCommercial Jet Aircraft Accidents, 2007.
2) 稲垣敏之,「ヒューマン・マシン・システム－高信頼性が損う安全性」，システム／制御／情報（システム制御情報学会誌）, 41(10), 403-409, 1997.
3) Endsley, M, “Towards a Theory of Situation Awareness inDynamic Systems,” Human Factors, 37(1), 32-64, 1995.
4) 稲垣敏之，「自動化による安全性の向上：ヒューマンフ
ァクターの視点からの考察」，Fundamentals Review, Vol. 2,
No. 2, pp. 20-30, 2008.
5) 稲垣敏之，「人と高度技術システムのミスマッチ」，鈴木勉編著，リスク工学概論，第 5 章（pp. 84-103），コロナ
社，2009．
6) T. Inagaki, “Smart collaborations between humans andmachines with mutual understanding,” Annual Reviews inControl, vol. 32, pp. 253-261, 2008.
7) 例えば，国土交通省自動車交通局ホームページ，第 4期先進安全自動車推進計画．
8) Woods, DD., “The effects of automation on human’s role:
Experience from non-aviation industries,” In S. Norman & H.
Orlady (Eds.). Flight Deck Automation: Promises and Realities,
NASA CP-10036, pp.61-85, 1989.
9) Billings, C.E., Aviation Automation － The Search for a
Human-Centered Approach, LEA, 1997.

図３

状況認識と過失責任の構成要件

10) ICAO, Human factors training manual. Doc 9683-AN/950,
1998.
11) 稲垣敏之，「リスク環境における人と知能機械の協調

をデザインする」，電子情報通信学会誌, vol. 89, no. 12, pp.

27) 中谷内一也，「安全．でも，安心できない…信頼をめ

1026-1031, 2006.

ぐる心理学」,ちくま新書，2008.

12) 交通事故総合分析センター，交通事故例調査・分析報
告書, 2003.
13) Sheridan, T.B., Telerobotics, Automation, and Human
Supervisory Control. MIT Press, 1992.
14) Inagaki, T. “Adaptive automation: Sharing and trading ofcontrol,” In E. Hollnagel (Ed.) Handbook of Cognitive Task
Design, pp. 147-169, LEA, 2003.
15) Inagaki, T. & Sheridan, T.B., “Authority and responsibility
in human-machine systems: Is machine-initiated trading ofauthority permissible in the human-centered automation
framework?” Proc. Applied Human Factors and Ergonomics
2008, 10 pages in CD-ROM.
16) Lee, J. & Moray, N., “Trust, control strategies andallocation of function in human machine systems,” Ergonomics,
35(10), 1243-1270, 1992.
17) Parasuraman, R., & Riley, V., “Humans and automation:
Use, misuse, disuse, abuse,” Human Factors, 39(2), 230-253,
1997.
18) Moray, N. & Inagaki, T., “Attention and complacency,”
Theoretical Issues in Ergonomics Science, Vol. 1, No. 4, pp.
354-365, 2001.
19) 例えば，（社）自動車工業会，“車両の安全性向上への技術”，http://www.jama.or.jp/safe/technique/20) 稲垣敏之，「絶対安全への挑戦：人を支援する知的技
術」，人工知能学会誌, Vol. 17, No. 6, pp. 732-737, 2002.
21) 伊藤誠ほか，「追突回避支援に対する過信とその防止」，
第 17 回交通・物流部門大会講演論文集, pp. 439-442, 2008.
22) 伊藤誠，「システムに対する過信の虚と実」，電子情報通信学会技術研究報告「安全性」, Vol. 109, No. 151, pp.
21-24, 2009.
23) 稲垣敏之，「運転支援とセンシング：支援がもたらす新たな課題」，自動車技術, vol. 61, no. 2 , pp. 4-9, 2007.
24) 伊藤誠ほか，「体圧センサ情報に基づくドライバーの副次行動検出」，日本交通科学協議会誌，Vol. 7, No. 2, pp.
17-26, 2008.
25)

Itoh, M. & Inagaki, T., “Effects of non-driving cognitive

activity on driver's eye movement and their individual
difference,” J. Mechanical Systems for Transportation andLogistics, Vol. 1 No. 2, pp. 203-212, 2008(4).
26) Itoh, M., “Real time inference of driver's intent via
analyses of pressure distribution on the seat,” Proc. 4th
Embedded Real Time Software, 7 pages in CD-ROM, 2008.