システム／制御／情報，Vol．41，No．10，pp．403-409，1997

ヒューマンマシンシステム：高信頼性が損なう安全性
筑波大学電子・情報工学系
稲垣敏之

ヒュ－マン・マシン・システム，特に原１．はじめに子力プラント，化学プラント，航空機，生「どのようにすれば，信頼性の低い要素産システムなど大規模なものは，コンピュを用いて信頼性の高いシステムを構成する－タを核とする様々な自動化システムによことができるか」を原点として，信頼性工って制御されている．その意味で，これら学の歴史は始まった．今では，複雑で多様のシステムは，非コヒレント性を持つと言な機能を持ち，しかも信頼性の高い大規模える．しかし，それをはるかに越える多くなシステムが身近な存在となっている．シの側面も持っている．

ステムを構成する要素の中には「エ－ジェシステムを構成する要素間の緊密なカッント」と呼べるものさえ存在し，システムプリングにより，単一の要素に生じた状態の機能を十二分に発揮できるような様々なの変化は，システムの広範囲にわたって伝工夫もこらされている．

播する．しかし，どこへどのように伝播し，しかし，最先端の科学技術が駆使され，伝播先でどのような反応が起こるのかを正

高い信頼性を誇るこのようなシステムに，確に見極めることは難しい．伝播の影響は，なおも事故は発生している．どこに問題がただちに顕在化するとは限らず，長い潜伏あるのだろうか？

期間を伴うこともある４）．後に述べるよう

１９６０年代半ば頃から７０年代前半にに，事故は必ずしも要素の故障が引き金にかけて研究が進展した信頼性理論は，数学なるとは限らず，全く故障がなくても事故的に美しい体系を持つ．ここで考察の中心が起こることすらある．ヒュ－マン・マシになったシステムは，システム構成要素のン・システムの信頼性・安全性の確保は最故障がいくつか重なると，システム故障が重要課題のひとつではあるものの，従来の発生するという，単調性を基盤に置いたコシステム信頼性理論では，まだ十分にカバ１）

ヒレント・システムであった ．７０年代－されていない領域であると言えよう．

も末になると，必ずしも単調性が満たされ航空分野のヒュ－マン・ファクタ研究かないシステムを考察する必要性が指摘されら提唱された SHELL モデル５）では，ヒュ－るようになった．正常な要素の存在がシス

マン・マシン・システムにおいて，人間（ラテム故障に寄与するシステムがそれであり，イブウェア：L）は，ソフトウェア（S），ハ２）

非コヒレント・システムと呼ばれる ．セ－ドウェア（H），環境（E），他の人間たち

ンサ情報に基づきコンピュ－タが対象を制（L）に取囲まれていると考える．これらの御するシステムは，基本的には非コヒレン

要素相互間の接面（インタフェ－ス）に不ト・システムである３）．

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

万事順調

情報バリア
自動化システム
制御対象（異常）

コマンド

第1図

自動化システムによる異常の隠蔽

整合があれば，それが事故を引き起こす原

機体重量，外気温度，気圧，風などの情報因となりうる．本稿では，要素間のインタをもとに，離陸速度，上昇速度，巡航速度，フェ－スの不整合が，いかにシステムの状

高度，降下開始地点などを計算し，オ－ト・態の認識や直面している状況の把握を困難

パイロットやオ－ト・スロットルを介してにするかを，いくつかの航空事故事例をも航空機を制御することができる．とに考察し，ヒュ－マン・マシン・システ

これらの自動化システムが運航の安全性ムの信頼性・安全性の向上へ向けた課題を向上に寄与していることは，事故統計６）か明らかにする．

ら読み取ることができるが，その一方で，

２．ポ－カ－フェイスの自動化システム
現在の航空機には，さまざまな自動化シ自動化システムの高信頼性，多機能性，自律性ゆえの新しい問題が生じていることも事実である７）－９）．

ステムが装備されている．例えば，飛行姿人間の指令に基づいてコンピュ－タがシ勢に「ずれ」が生じると，補助翼，昇降舵，ステムを制御する形態を監視制御１０）と呼方向舵などを自動的に操作して元の姿勢にぶ．コンピュ－タがシステムを制御してい戻すオ－ト・パイロット，希望速度を指定るときの人間の役割は，目的通りの制御がすれば，加速度，減速度を感知してスラス行われているかどうかの「監視」と，異常ト・レバ－を自動的に調整するオ－ト・ス発生や目的達成時での「介入」である．現

ロットル，これらを結合させて，進入，フ在の航空機も，監視制御モデルで説明する

レア（接地前の機首上げ），接地を自動的にことができる．

行い，悪天候下での着陸も可能にする自動航空機は，離陸フェ－ズを除けば，巡航着陸装置などがある．ここでは，コンピュから着陸に至るまで，自動化システムに担－タは「制御装置」として重要な役割を演当させることができる．自動化システムは，じている．

ひとたび人間から指令を受けると，長時間グラス・コクピット機では，コンピュ－にわたり，さまざまなタスクを自律的に実タは「飛行管理装置」あるいは「性能管理行することができる．制御対象としての航装置」として，より大きな役割を果たして空機の信頼性は向上し，もはや異常や故障いる．すなわち，飛行ル－ト，飛行性能，は稀にしか発生しない．このような状況で，エンジン性能に関するデ－タベ－スを持ち，コンピュ－タによる制御の様子の監視を続システム／制御／情報，Vol．41，No．10，pp．403-409，1997

けることは，単調で退屈なものとなる．

できることをいう１２）．適確な状況認識は，制御装置としての自動化システムは，機監視制御における重要課題である．現在起体に生じた異常を隠蔽するほどの強力な制こっている現象が自分の目的にどのような御能力を持つ．その異常に対抗するために，影響を及ぼすかを把握し，「介入すべきか，自動化システムがどれほど大きなフィ－ド放置して良いか」を判断しなければならな

バック制御をかけているかは，よほど注意

い．介入のタイミングや新しく設定されるしないと自ら制御操作を行わない人間にはゴ－ルの適否も，すべて状況認識の可否に実感することはできない（第 1 図）．このこかかっている．とは，１９８５年，サンフランシスコ沖を状況認識を阻害する要因は，人間一般の第４エンジン故障のまま自動操縦モ－ドで特質によるもの，インタフェ－ス設計に関航行していた B747 が，オ－ト・パイロット連するものなど，多様である．例えば，人を解除した途端，ほとんど機体が裏返った

間には，嬉くない情報は無視しようとする

格好で 10,000m 失速降下した事故にも現わ性質がある．対地接近警報装置（GPWS）は，れている

１１）．

着陸状態でもないのに航空機が地表に接近

自動化システムが長時間にわたり多くのしたり，降下率が大きすぎるなど，何通りタスクをこなし，異常が発生しても与えらかのパタ－ンを検知したとき，音声と警報れた命令を守ろうと，黙々と困難な仕事に灯で操縦士に注意を促す装置であるが，警立ち向かっているとき，人間は蚊帳の外に報が出ても，「これは誤報だ」と言いつつ，いる．自動化システムの意図を解しかね，何の回避操作もしないまま墜落した例があ

往々にして「いったい何をしているのだ？」

る１３）．

「なぜこんなことをしているのだ？」「つぎシステムが長い間トラブルもなく稼働しは何をするつもりだ？」などのことばが発ていると，「このシステムは安全だ」という

９）

せられる ．

妙な安心感が生まれ，警戒心の欠如

複数の自動化システム間で多様な相互作（complacency）１４），１５）が起こる．これは，用があり，それぞれの自動化システム自体遭遇する可能性のあるリスクの過小評価やが複雑な動的システムであると，自動化シ軽視・無視につながる．なお，信頼性の実ステムに対するメンタルモデルの構成は困績がなくても安全を過信することもあり，難になる．加えて，自動化システムの動作豪華客船事故になぞらえ，タイタニック効状況を知らせる情報のフィ－ドバックが欠果１５）と呼ばれている．

落すると，人間は「状況認識」を喪失する．

３．状況認識とは？

インタフェ－ス設計に関しては，情報フィ－ドバックの質が問われる．システム状
態を表わす情報は，「提供すればそれで良ヒュ－マン・ファクタを扱う論文によくい」のではなく，人間に明確に訴える力が

現 わ れ る キ － ワ － ド に situation

なくてはならない．空間的・時間的に散乱

awareness がある．日本語では「状況認識」

したデ－タを人間自身が統合しなければなと訳されることが多いが，「何かが起こってらないようでは，正確な状況認識はおぼついる」ことに気づき，「何が原因で起こった」かない．

かを把握し，「これからどうなる」かを予測

コンピュ－タ依存型の多機能インタフェシステム／制御／情報，Vol．41，No．10，pp．403-409，1997－スにおける「モ－ド」の多用も状況認識

事故のあらましはつぎのようなものであるを阻害する９）．モ－ドは，ひとつの目的を

１７），１９）－２１）．

達成するにしても，場面や好みなどに応じ離陸６秒後，オ－ト・パイロットがエンて，実行手段の使い分けができるように導ゲ－ジされた．オ－ト・パイロットは離陸・入されたものである．例えば，航空機の降着陸復行モ－ドにあり，「高度 2,000ft のレ下時は，毎分何フィ－ト（ft）降りるかをベル・オフ（水平飛行）」がセットされてい指定する「降下率モ－ド」，降下径路が水平た．乗客を載せない機体は軽く，毎分方向となす角を指定する「降下角モ－ド」

6,000ft の割合での上昇が始まった．オ－などが利用できる．

ト・パイロットは「水平飛行へ円滑に移行モ－ドが複数存在すると，実行時の柔軟するには，高度 950ft でレベル・オフ操作性は高まるが，モ－ドの認識を誤る可能性を開始する必要がある」と計算し，離陸８も高くなる．降下角モ－ドと降下率モ－ド

秒後，その操作を自動的に開始するモ－ドを誤認した１９９２年１月のエアバス（ALTSTAR モ－ド）に入った．このとき，

６）

A320 事故１

オ－ト・パイロットは，各時刻で上昇率はは有名であるが，モ－ド理解１７）いくらでなければならないかを計算し，表多様なモ－ドの中にはふだん使わないもを作成していた．毎分 6,000ft の上昇率がのもあり，すべてのモ－ドのメンタル・モ確保できた時点で計算されたこの表が，後デルが正確に構成できるとは限らない．
「いに問題を起こすことになる．

失敗による航空事故は，この他にも多い．

つ，どのような状況で，どのモ－ドを使う

機長は，オ－ト・パイロットが ALTSTAR モべきか，どのようにそのモ－ドを設定すれ－ドに入ったことに気づかないまま，左エばよいか，状況変化に応じて，いつ新しいンジンをアイドルに絞り，エンジン故障をモ－ドに変更すればよいか」を判断するこ模擬した．エンジン１つ（A330 は双発機）

１８）．インタフェ－ス設計に配慮

では毎分 2,000ft の上昇しかできなくなっがなければ，「どのモ－ドが今アクティブなたが，オ－ト・パイロットは，表に記載さのか」わからないこともある．

れたとおりの上昇率を確保しようと，機首とは難しい

４．オ－トメ－ション・サプライズを上げた．ピッチ角が 30 度に近づいた離陸
16 秒後，「いったい何が起こっているの上に述べた状況は，人間がモ－ド切替えだ？」との機長の声が録音されている．ピを指示する場合の話である．しかし，設計ッチ角が 31.6 度がなった頃，「これはおか段階でプログラムされた指示に基づき，人しい」と言って手動操縦に切替えたが，推間の意図せぬ時にコンピュ－タがモ－ドを力の不均衡から大きく左に傾斜した機体を変えることもある．

立て直すことはできなかった．

１９９４年６月３０日，トゥ－ル－ズで上の例では，機長の指示を待たず，自動テスト飛行中のエアバス A330 が，離陸まも的に ALTSTAR モ－ドに切替わっており，あなく異常な機首上げを起こして墜落した．

たかもコンピュ－タが，人間の意図や指令

このときは，オ－ト・パイロットによる操とは全く独立に，自らの意思に沿って行動

縦のもとで，着陸復行後のエンジン故障をしているかのように見える（第 2 図）．操縦模擬したテストが行われようとしていた．

士の立場から見たとき，これをオ－トメー

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

いったい何が起きているのだ？

AをやるならBも必要だな

情報バリア

制御対象

タスク B

タスク A + B++

第2図

タスクAを指令気を利かせる自動化システム－ シ ョ ン ・ サ プ ラ イ ズ （ automation

状況認識を喪失させる．制御対象が複雑化surprise）２２）－２５）という．オ－トメ－シ

すると，長時間にわたる状態把握が困難とョン・サプライズもモ－ド理解に関する困なり，「重要なパラメ－タの監視は警報シス難さに起因するものであり，自動化システテムに任せよう．異常が起これば，警報でムに対する設計者のメンタルモデルとユ－鳴るはずだ」ということにもなりかねない．

ザ－（操縦士）のメンタルモデルとの間の人間と警報システムの主客転倒である．すギャップによって生じる．上述の事故は，なわち，人間は，補佐役であるはずの警報自動化システムの意図を人間に明確に伝えシステムに判断を仰ぐことになる．確かにる情報フィ－ドバックの欠落を示すものと警報システムの信頼性は向上していると言も言える．

え，決して故障しないとは言いきれない．

トゥ－ル－ズの事故には，自動化システ
２０）

１９８７年８月，デトロイト・メトロポ．A330

リタン空港を離陸した DC-9 は，十分な高度には，人間が機体を失速させようとしても，が得られず，滑走路端前方にある照明灯に許容範囲を越える操作はコンピュ－タが阻衝突して墜落した．離陸時には当然出され止する機能が備わっている．異常な機首上ているはずのフラップとスラットが出ていげを抑制する機能もそのひとつであるが，なかったためである．ふつう，離陸時にこALTSTAR モ－ドのなかではその機能は働かれらが出ていないときは，「フラップ」「スなかった．また，このモ－ドでは，オ－ト・ラット」という音声警報が出る．この警報

スロットルが速度を制御していることが前

システムの信頼性は高く，乗員の支持を得提とされているが，エンジンひとつでは，ているとされるが，このケ－スでは不作動

その仮定は満たされなかった．

故障を起こした２６）．人間の警戒心が欠如しムの論理の不備も関連している

いわゆる故障や異常とは異なり，オ－トているなかで，警報システムの欠報モ－ドメ－ション・サプライズは，条件が整えば故障が起こると，重大事故に至る典型例で確定的に発生する．

ある．

５．人間と警報システムの主客転倒

６．どこも故障していないのに！

警報システムの過信も，警戒心を失わせ，健全な航空機が地表面や水面に衝突する

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

事 故 を CFIT （ controlled flight into

ない．地表面への接近の様子や降下率の大terrain）と呼ぶ．CFIT も，状況認識の喪

きさは，コクピット内の計器情報から知る失が関連して発生する

２７）．

ことはできる．危険が予想される事態にな

１９９５年１２月，マイアミからカリ（コれば警報も出る．しかし，「計器に表示されロンビア）へ向けて飛行していた B757 がる高度や降下率の数値デ－タを頭の中で統CFIT を起こした合して機体の状況を思い描く」ことを人間

２８）．出発が遅れていたことに加え，着陸滑に強要するのではなく，「機体が降下してい走路が変更されたため，乗員は一層時間的る様子を，地表面との相対関係の変化とし余裕を失い，為すべきいくつかの操作を実てグラフィカルに表示する」ことで乗員の行しなかった．さらに，管制官は「カリへ状況認識を支援する方式が研究されているの飛行」を許可し，「ツルアの無線標識（VOR）

２９）．

通過時に連絡せよ」と指示したが，機長はまた，GPWS の警報が出ても，回避操作が「カリへの直行」を指示されたと勘違いし遅れたり，「これは誤報だろう」と思って対た．また，機長は勘違いのまま復唱したが，応しなかった事故が多数存在することから，管制官はそれを訂正しなかった．コンピュ「緊急性の高い危険回避操作の自動化」も－タに「カリへの直行」を入力したため，検討されている２７）．それに関連して問題にツルア VOR はディスプレイに表示されななってくるのが，判断と操作に関する権限かった．乗員はツルア通過に気がつかないの所在である．

まま，つぎの目標地点ロゾ(Rozo)の識別符号のつもりでコンピュ－タに「Ｒ」と入力したところ，機体は左旋回を始めた．コン

７．コンピュ－タは人間に反抗するのか？

ピュ－タのデ－タベ－スには，ロゾは１９９４年４月，名古屋でのエアバス「ROZO」として登録されており，「Ｒ」は，A300-600R の墜落では，操縦士が着陸を試進行方向左手の地点ロメオを表わしていたている際，オ－ト・パイロットは着陸復行からである．乗員はオ－ト・パイロットのモ－ドにセットされており，操縦士は最後

意図がわからず，「今，どこにいるのだ？」までモ－ドを修正しなかった３０）．これはモ「どちらへ向かって飛んでいるのだ？」と－ド理解不足が関与する事故だが，「コンピ叫びつつ，状況を把握しようと模索するう

ュ－タが人間に反抗した」として論議を呼ちに山岳地帯に迷い込んだ．そのうち GPWSんだ事故でもあった．

が警報を発したが，回復操作は間に合わなかった．

人間とコンピュ－タによる制御が「並列的」に行われる場合，「オ－ト・パイロット

この事故は，複数の人間によるエラ－のの制御を人間がアシストする（supervisory

同時発生は稀ではないこと，顕在化しにくoverride という）」ときのように，両者のい不具合（地名と識別符号との，誤解を招目的が同一であれば良いのだが，目的や意きかねない対応づけ）の恐ろしさを物語っ図が異なっていると問題が起こる．各エ－ている．

ジェントにとっては，他のエ－ジェントのGPWS が装備されるようになって CFIT は制御は「外乱」であり，それを打ち消すた減少した．しかし，皆無になったわけではめに，さらに大きな制御入力を加えること

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

自動化システムが想定している制御系
目標姿勢１ ≠ 目標姿勢２

目標姿勢

パイロットが想定している制御系

自動化システム

目標姿勢
機体

パイロット

第3図

目的を共有しない他者の存在のもとでの制御になる（第 3 図）．名古屋での事故はこの形

は「速度が V1 に達する前なら No Go（離陸態である．オ－ト・パイロットは，機体を中止），V1 後なら Go（離陸継続）」である．

上昇させるべく水平安定

No Go のときの標準手順は，「スラスト・レ板を制御し，操縦士は，機体を降下させるバ－を絞り，フル・ブレ－キをかけ，スポべく昇降舵を制御した３０）．

イラを立て，スラスト・リバ－サ－をかけしかし，オ－ト・パイロットのこの行為る」ことであり３１），事態の認知・判断・操は，人間に対する「反抗」ではない．オ－作に許される時間は数秒である３２）．V1 付

ト・パイロットは人間から指示された「古近の速度では１秒あたり 250ft 程度走行すい命令」（着陸復行）に忠実に従っている．

る３３）ため，躊躇は許されない．

一方の人間は，自分が与えた古い命令を取離陸滑走中には，エンジン火災，タイヤり消すことなく，それと正反対の「新しい破損，鳥の衝突，計器や警報灯の誤作動な意図」（降下）を形成し，実行しようとした．

どの事象も起こりうるが，機体速度が同一「人間に古い命令を取消させるのを妨げたでも，Go か No Go かは生起事象に依存する．のは何だったのか？」を問わず，反抗的に「RTO による事故の 80%は，離陸を継続して見える行為に目を奪われると，ヒュ－マおれば防げたであろう」と言われる．しかン・マシン・システムの本質を見誤る．

し，「どの事象が発生したのかを見極め，機８．緊急時の意思決定・操作を人間に要求できるか？

体速度を勘案して Go/No Go を決断し，必要な操作を行う」ことに，数秒しか与えられていない．これは，ほとんどスキルベ－ス

１９９６年６月，福岡空港で発生したの行為に対する許容時間であるように思え

DC-10 機 の 離 陸 中 断 （ RTO: Rejected

るが，要求されているタスクは，ル－ルベ

Takeoff）事故は，人間とコンピュ－タの間－スあるいは知識ベ－スの世界に属するもでの判断・操作に関する権限を考察するうのである．

えで，重要な問題を提起している．離陸滑離陸の自動化の可否について，「完全に自走中にエンジンが故障したとき，基本的に動化する」か，「すべてを人間に任せる」か，

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

二者択一的な観点から議論されることがあると言えないことはもちろんである．制御る．しかし，自動化システムやセンサ系が対象，警報システム，自動化システム等の絶対に故障しないと仮定するのは非現実的信頼性を考慮しつつ，高度自動化の有効性であり，「いつどのような事象が発生しても，と人間の受容・依存を，認知心理学・認知Go/No Go の判断・操作を正しく，かつ瞬時工学的実験を通じて，ヒュ－マン・マシン・に完了せよ」と人間に要求するのも苛酷にシステムという全体的な枠組みから検討す過ぎよう．完全自動化，完全手動化，そのることも重要である．システム構成要素のいずれにも長所・短所がある以上，定性的動特性を表現する数理モデルを集めただけな議論だけでは不十分である．すなわち，では，人間の感情の動き（不信と過信の交機材の信頼性，機体速度，認知・判断・操錯・共存など）も含めた，ヒュ－マン・マ

作に許容される時間の長さ，人間の特性（判シン・システム内部の複雑な相互作用３５）－断の誤りや，瞬時の判断に対する躊躇の発３９）生），判断・操作の誤りに伴うリスクなどを考慮した数理モデルを構成し，Go/No Go の判断・操作を人間が行うのか自動化システ
ムに任せるのかを，状況に応じて使い分ける方式

３４）を定量的に解析してみる必要もを表現し尽くせるとは限らない．

９．ト－タル・システムの安全性向上へ向けて
現在のヒュ－マン・マシン・システムは，制御対象の信頼性は高く，それを支える自動化システム群（制御装置や管理システム）あるのではないだろうか．
また，すべての判断・操作を人間が担当も多機能性と高信頼性を誇っている．もちする形態を踏襲するにしても，支援形態にろん全く故障しないシステムなどありえな工夫が必要である．現在は，エンジン故障いから，信頼性設計，信頼性管理，保全ななど「発生事象」が提示されるが，それがどが引き続き重要な役割を演じることは論

Go を意味するのか No Go であるのかは状況を待たない．しかし，人間の信頼性や機材に依存する．「Go」「No Go」など，「判断その信頼性を個々に取り出して解決を計ろうのもの」を提示する方式

３４）の検討も必要であろう．
ウィンドシアの回避についても同様であとしても，うまくいく保証はない．かえってヒュ－マン・マシン・システムの安全の低下につながる可能性すらある．

る．現在は，ウィンドシアが検知されたと最先端技術を駆使したシステムは，人間き，「ウィンドシア！」との音声警報を出さに対する負担の軽減を目指していたはずでれ，操縦士がそれに基づいて回避操作を行あるが，実現されたシステムは誰にでも使うのがふつうである．しかし，ウィンドシえるものではない．使用法の訓練だけでなアの回避は一刻を争う．操縦士による認

く，デザイン・コンセプトを理解するため知・操作よりも早く対応できる「ウィンドの教育・訓練３０）も必要となるなど，一層シア自動回避システム」に対応させるか，の負担が強いられている．これからのシス

やはり操縦士に対応させるべきかは，議論

テムには，目的とする機能や高信頼性の実の分かれるところである．ここでも何らか現にとどまらず，制御対象ならびに自動化の数理解析が必要となる．

システムに対するメンタルモデルの構築を

ただし，数理的アプロ－チがすべてであ支援する工夫が必要である１５），４０）－４３）．

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

メンタルモデルの外在化，アフォ－ダンス４

probabilistic analysis of noncoherent fault

４）trees; IEEE Trans. Rel., Vol.29, pp.354-360が利用できるインタフェ－ス等の可否が，ヒュ－マン・マシン・システムの安全性に(1980)大きく関与する時代となっている．

3) T. Inagaki aand E.J. Henley: Probabilistic

ただし，システム設計における「独自性」

evaluation and prime implicants and top-eventsや「新規性」には注意が必要である．同一

for non-coherent systems; IEEE Trans. Rel, Vol.の目的を実行するための操作がシステムに

29, No. 5, pp. 361-367 (1980)

よって異なることは安全性を損うことにも

4) J. Reason: Human Error, Cambridge

なり，自動化システムとのインタフェ－ス

University Press (1990)

に関する設計の多様性は両刃の剣である．

5) F. Hawkins: Human Factors in Flight, 2nd

何らかの「標準化」を考えてみる必要があ

Ed., Avebury Technical (1993)

ろう．

6) Statistical Summary of Commercial Jet「判断・操作に関する権限を人間とコンAircraft Accidents, Boeing (1995)

ピュ－タの間でどのように共有・配分する

7) E.L. Wiener: Human factors of advancedか」も微妙な問題である．
「人間に最終決定technology ("glass cockpit") transport aircraft;

権を与え，コンピュ－タは人間に従属させNASA TR-177528 (1989).

るべきである」４５），４６）という理念のもと

8)

D.A.

Norman:The'problem'withinappropriate

feedback

andに「人間中心の自動化システム」づくりがautomation:進められているが，信頼性・安全性の立場

interaction, not 'over-automation'; Phil. Trans.

からは楽観できない点もある．すなわち，R. Soc. Lond, B327, pp. 585-593 (1990)

人間にすべての権限を与えることは，その9) N. Sarter and D.D. Woods: Strong, silent,

人間を厳しい環境に置くことでもある．事and out-of-the-loop; CSEL 95-TR-01, The Ohio

故は単一の原因では起こらず，時として複State University (1995)

雑な様相を呈するが，「状況を適確に把握し

10) T.B. Sheridan: Telerobotics, Automation,ておれば，事故は回避できたはずだ」と，

and Human Supervisory Control, MIT Press

オペレ－タが責任を問われることにもなり(1992)

かねない．状況認識の難しさはすでに見た

11) 岡野：事故のモンタ－ジュ，全日空，5，

とおりである．特定のオペレ－タの責任に

pp.51-82 (1993)

問題を帰着させることは易しい．しかし，

12) M.R. Endsley: Toward a theory of situation「人間中心のシステム」の理念が，人間をawareness in dynamic systems; Human Factors,追い込むことに利用されるようなことがあVol. 37, No. 1, pp. 32-64 (1995)ってはならない．

13) 川端：タイ航空 A310(CFIT 事故)；安全参 考 文 献

飛行，No. 179, pp.7-20 (1996)
14) R. Parasuraman, et al: Performance１ ） R. Barlow and F. Proschan: Statisticalconsequences

Theory of Reliability and Life Testing, Rinehart

complacency"; Int. J. Aviation Psychology, Vol.

and Winston (1975)

3, pp.1-23 (1993)

2) T.L. Chu and G. Apostolakis: Methods for15) N.G. Leveson: Safeware - System Safety

ofautomation-induced"

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

and Computers, Addison-Wesley (1995)

属 エ アバス ・ インダ ス トリ－ 式

16) 稲垣：誰のための自動化？；計測と制A300B4-622R 型 B1816 (1996)

御，Vol. 32, No. 3, pp. 181-186 (1993)

31) RTO におけるヒュ－マン・パフォ－マ17)

Dramatic

incidents

highlightmode

ンスについて; 安全飛行，No. 161, pp. 34-48

problems in cockpits; AWST, pp. 57-59, Jan 30(1993)(1995)

32) RTO: Takeoff Safety; Flight Safety, No. 84,

18) N. Sarter and D.D. Woods: How in theNo. 85 (1992), No. 86, No. 87 (1993)

world did we ever get into that mode? ; Human

33) RTO に潜む Risk とその回避; Safety Bird,Factors, Vol. 37, No. 1, pp. 5-19 (1995)

No. 3, No. 4, No. 5 (1989)

19)

Accidents

directfocusoncockpit

34) T. Inagaki: To go or not to go: Decision

automation; AWST, pp.52-54, Jan 30 (1995)

under time-criticality and situation-adaptive20) Modern cockpit complexity challenges

autonomy for takeoff safety; Proc. IASTED

pilot interfaces; AWST, pp. 60-63, Jan 30

Int'l(1995)

Conf. Applied Modelling & Simulation (1997)

21) 石橋：望ましい航空機の自動化；TFOS

35) J. Lee and N. Moray: Trust, control

Journal，No. 13, pp. 11-23 (1997)

strategies and allocation of function in human-22) C.D. Wickens: Designing for situation

machine systems; Ergonomics; Vol.35, No.10,

awareness and trust in automation; Proc. IFAC

pp.1243-1270 (1992)

Integrated Systems Engineering, pp. 77-82

36) N. Sarter and D.D. Woods: Autonomy,(1994)

authority, and observability; Proc. IFAC MMS,

23) N. Sarter, and D.D. Woods: Pilot interaction

pp. 149-152 (1995)

with cockpit automation; Int. J.

37) T. Inagaki: Situation-adaptive responsibility

Aviation Psychology, Vol.2, No.4, pp.303-321

allocation for human-centered(1992)

automation; 計 測 自 動 制 御 学 会 論 文 集 ,24) N. Sarter, and D.D. Woods: Pilot interaction

Vol.31, No.3, pp. 292-298 (1995)

with cockpit automation II; Int. J. Aviation38) M. Itoh and T. Inagaki: Human-interface

Psychology, Vol.4, No.1, pp.1-28 (1994)

design for situation awareness; Proc. 5th IEEE

25) Studies highlight automation 'surprises';

RO-MAN'96, pp. 478-483 (1996)

AWST, pp. 48-49, Feb 6 (1995)

39) T. Inagaki and M. Itoh: Trust, autonomy,

26) 岡野：事故のモンタ－ジュ，全日空，

and authority in human-machine systems:

１，pp. 270-291 (1990)

Situation-adaptive coordination for system27) W.B. Scott: New research identifies causes

safety; Proc. CSEPC 96, pp.176-183 (1996)

of CFIT; AWST pp.70-71, Jun 17 (1996)40) E. Hollnagel: Human Reliability Analysis

28) Recovered FMC memory puts new spin on-Context and Control, Academic Press (1993)

Cali accident; AWST, pp.58-61, Sep 9 (1996)

41) J. Rasmussen, et al: Cognitive Systems

29) Incident reveal mode confusion; AWST, p.

Engineering, Wiley (1994)

56, Jan 30 (1995)

42) J. Flach, et al: Global Perspectives on the30) 航空事故調査報告書: 中華航空公司所

Ecology of Human-Machine Systems,

システム／制御／情報，Vol．41，No．10，pp．403-409，1997

Lawrence Erlbaum Association (1995)
43)R.

Parasuraman

Automation

andandHuman

M.

Mouloua:Performance,Lawrence Erlbaum Association (1996)44) 佐々木：アフォ－ダンス；新しい認知の理論，岩波書店(1994)45) D.D. Woods: The effects of automation onhuman's role; NASA CP-10036, pp. 61-85(1989)
46) C.E. Billings:

Human-centered aircraft

automation; NASA TM-103885 (1991)