【NR05】危機管理学 複雑系における失敗の理論 ノーマル・アクシデント理論、スイスチーズモデル

はじめに

NR04では、高信頼性組織論（HRO）を扱った。本稿は、その第四の各論として、複雑系における失敗の理論——チャールズ・ペローのノーマル・アクシデント理論と、ジェームズ・リーズンのスイスチーズモデル——を掘り下げる。特に、ペローの理論は、NR04で扱ったHRO理論と、事故の不可避性をめぐって、対照的な立場を取ることで知られている。

ペローのノーマル・アクシデント理論

スリーマイル島事故という契機

社会学者チャールズ・ペローは、1979年のスリーマイル島原子力発電所事故の分析に、参加を求められたことを、きっかけとして、1984年、著書『ノーマル・アクシデント——高リスク技術と共に生きる』を発表した[1]。専門家たちは、それまで、深刻な原子炉事故の可能性は、極めて小さいと論じてきたが、ペローは、これに反して、事故は、ほぼ不可避であると論じた[2]。ペローによれば、それは、スリーマイル島で起きた、特定の事象の組み合わせのためではなく、そもそも、原子炉というシステムの性質そのものに、事故の可能性が、組み込まれていたためであった[2]。

複雑性と結合度という、2つの次元

ペローの理論の核心は、事故の空間を規定する、2つの相互作用する変数——結合（カップリング）と相互作用——にある[3]。相互作用は、線形（単純）か複雑かに区分される。結合は、遅延を許容しない、不変の連鎖・わずかな余裕しかない、密結合か、その逆の性質を持つ、疎結合かに区分される[3]。ペローは、この2つの軸を用いて、システムを分類する枠組みを構築した[3]。

「ノーマル・アクシデント」という概念

ペローは、相互作用的な複雑性と、密結合というシステムの特性が、不可避的に事故を生み出すのであれば、それを「ノーマル・アクシデント」あるいは「システム・アクシデント」と呼ぶことが、正当化されると論じた[4]。単一の、独立した、孤立した障害は、「個別の（discrete）」障害と呼ばれる。冗長なサブシステムは、主要な方法が機能しない場合に備えた、代替手段としてのバックアップを提供する[5]。2つ以上の個別の障害が、予期しない形で相互作用しうるシステムは、「相互作用的に複雑」であると記述される[5]。多くの場合、この予期しない相互作用は、冗長であるはずのサブシステムにも、影響を及ぼしうる[5]。

原子力発電への、厳しい評価

ペローの分析対象となった、二十数種類のシステムの中で、原子力発電所は、最も密な結合と、最も複雑な相互作用を持つものとして、位置づけられた[6]。ペローは、「スリーマイル島規模の、より深刻な事故が、これまで起きていないのは、単に、それが起きるだけの十分な時間が、まだ経過していないからにすぎない」と結論づけた[6]。この著書が出版されたのと同じ1984年12月、インドのボパールで、化学工場の大惨事が発生し、その後、1986年1月にはチャレンジャー号爆発事故、同年4月にはチェルノブイリ原発事故が続いた[7][1]。

NR04との接続——HRO理論との、理論的な対立

ペローのノーマル・アクシデント理論は、NR04で扱った、HRO理論と、事故の不可避性をめぐって、しばしば対立する立場として、位置づけられる【推論】。HRO理論が、複雑で危険なシステムであっても、マインドフルな組織化を通じて、高い信頼性を達成しうることを、実証的に示そうとするのに対し、ペローのノーマル・アクシデント理論は、相互作用的な複雑性と密結合という、システムの構造的な特性そのものが、いかなる組織的な努力によっても、完全には克服できない、事故の可能性を、組み込んでいると論じる。この対立は、安全研究の分野において、組織の努力によって事故を防げるとする楽観的な立場（HRO）と、システムの構造そのものに事故の不可避性を見出す、より悲観的な立場（ノーマル・アクシデント理論）との間の、継続的な論争として、位置づけられている。

リーズンのスイスチーズモデル

1990年の著書と、10年にわたる形成過程

心理学者ジェームズ・リーズンは、1990年、著書『ヒューマンエラー』を発表した[8]。ただし、いわゆる「スイスチーズモデル」として広く知られる、視覚的な表現そのものは、単独の発明ではなく、10年にわたる、複数の研究者の協働を経て、形成されたものであった[9]。

3つの構成要素——常在病原体、多層防御、スイスチーズ

スイスチーズモデルの形成には、3つの主要な要素が、それぞれ異なる貢献者から、寄与している。第一に、リーズン自身が1988年に展開した、「常在病原体」の比喩——能動的な誤りと、潜在的な誤りを区別する、概念的な枠組みである[9]。第二に、原子力技術者ジョン・レスールが持ち込んだ、「多層防御（defence in depth）」という発想である[9]。第三に、ロブ・リーが、1990年代初頭に提案した、「スイスチーズ」の比喩そのものであり、システムにおける防壁を、チーズの層として、その弱点を、穴として、視覚的に表現するものであった[9]。これら3つの要素が組み合わさることで、リーズンは、ヒューマンエラーという、心理学的・ミクロな焦点から、事故についての、システム的・マクロな可視化へと、視座を移していった[9]。

「潜在的誤り」から「潜在的条件」へ——用語の精緻化

1993年以降、レスールは、「潜在的誤り（組織的な失敗を指す語）」を、「潜在的条件（latent conditions）」という語へと、置き換えることを提案した[10]。この変更は、ある時点における効率的な意思決定が、別の時点・場所において、負の結果をもたらしうるという事実——こうした意思決定は、その時点では、誤りとは言えず、単に不確実性の下で行われたものにすぎない、という理解——を、反映するものであった[10]。この用語の精緻化は、スイスチーズモデルの図解そのものも、1990年代を通じて、4回以上、改訂されるという経過を伴った[9]。

組織の意思決定が、事故の第一の原因であるという視座

リーズンは、1990年の著書において、「システム・アクシデントは、その主要な起源を、設計者・高水準の（企業・工場レベルの）経営上の意思決定者による、誤りうる決定に持つ」と述べている[11]。この視座においては、現場における能動的な誤りは、それ自体が原因というより、より根底にある、欠陥を抱えたシステムの、兆候・トークンとして、理解される[11]。

複雑系における失敗の理論と、交通・物流分野

ペローのノーマル・アクシデント理論、リーズンのスイスチーズモデルは、いずれも、鉄道の運行管理システムのような、複雑で相互接続された、交通インフラの分析に、直接的な示唆を与える【推論】。ペローの枠組みに照らせば、密なダイヤ編成（密結合）と、複数路線の相互乗り入れ（相互作用的な複雑性）を特徴とする、都市鉄道網は、まさに、ペローが「事故を組み込まれたシステム」として警告した、条件に近い性質を持つ可能性がある。一方、リーズンのスイスチーズモデルは、現場の運転士・保線係員の、個々の判断の誤りだけを追及するのではなく、その誤りを許容してしまった、組織的な意思決定・防御層の欠落にまで、遡って分析することの重要性を、示唆している。

おわりに

本稿は、ペローのノーマル・アクシデント理論（複雑性と結合度という2軸、スリーマイル島事故という契機、原子力発電への厳しい評価）、そして、NR04のHRO理論との理論的対立を整理した上で、リーズンのスイスチーズモデル（10年にわたる、レスール・リーとの協働による形成過程、潜在的誤りから潜在的条件への用語の精緻化）を検討した。次稿NR06では、NRシリーズの最終回として、危機時の意思決定——カネヴィン・フレームワーク（AFN02）との接続——を扱う。

主要先行研究

Perrow（1984、1999）、Reason（1988、1990）[1][8][9]。

参考資料一覧

1. 「Normal Accidents」英語版ウィキペディア。1984年出版の経緯、ペローの結論について。
2. 「Normal Accidents: Living with High-Risk Technologies」Goodreads書評。TMI事故分析への参加、事故の不可避性についての結論について。
3. 「Normal Accidents: Living with High-Risk Technologies」MIT ESD.83講義資料。結合・相互作用という2つの変数の定義について。
4. 「Normal Accidents – Psych Safety」。「ノーマル・アクシデント」概念の定義について。
5. 「Normal Accidents by Charles Perrow」（Ohio大学書評）。個別障害と相互作用的複雑性の定義について。
6. 「Safetymatters: Normal Accidents by Charles Perrow」。原子力発電への評価、TMI規模の事故に関する結論について。
7. 「AI Research Considerations for Human Existential Safety」arXiv掲載論文。1984年出版と、後続する技術災害（ボパール、チャレンジャー、チェルノブイリ）について。
8. Reason, J. (1990). Human Error. Cambridge University Press.
9. 「Good and bad reasons: The Swiss cheese model and its critics」ScienceDirect。スイスチーズモデルの10年にわたる形成過程、常在病原体・多層防御・スイスチーズという3要素、それぞれの貢献者について。
10. 「Human Error and Defense in Depth: From the ‘Clambake’ to the ‘Swiss Cheese’」Springer。「潜在的誤り」から「潜在的条件」への用語変更（1993年以降）について。
11. 「Revisiting the ‘Swiss Cheese’ Model of Accidents」EUROCONTROL。組織の意思決定が事故の主要な起源であるという、リーズンの視座について。

用語集

• ノーマル・アクシデント理論, Normal Accident Theory, NAT, —: 相互作用的な複雑性と密結合という特性を持つシステムでは、事故が近似的に不可避であるとする、ペローの理論。
• 相互作用的複雑性, Interactive Complexity, —, —: 2つ以上の個別の障害が、予期しない形で相互作用しうる、システムの特性。
• 密結合, Tight Coupling, —, —: 遅延を許容せず、不変の連鎖と、わずかな余裕しか持たない、システムの結合の性質。
• スイスチーズモデル, Swiss Cheese Model, SCM, —: システムにおける複数の防御層を、穴の空いたチーズの層として表現する、リーズンの事故モデル。
• 常在病原体, Resident Pathogens, —, —: 能動的な誤りと、潜在的な誤りを区別する、リーズンが1988年に展開した比喩。
• 潜在的条件, Latent Conditions, 潜在的誤り, —: ある時点での意思決定が、別の時点・場所で負の結果をもたらしうる、システムに内在する脆弱性。1993年以降、この用語へと精緻化された。

Claude ログ

正確な典拠を確認してから執筆する。ジェームズ・リーズンのスイスチーズモデルについても確認する。十分な資料が集まった。NR05を執筆する。整合性を確認する。引用番号[1]〜[11]の連番、全HTMLタグの対応が一致した。NR05を執筆した。

主な内容

• ペローのノーマル・アクシデント理論：1979年スリーマイル島事故分析への参加という契機、1984年著書の出版経緯、複雑性（線形/複雑）と結合度（密/疎）という2軸の枠組みを整理。「個別障害」と「相互作用的複雑性」の区別、原子力発電所が最も密結合・複雑相互作用を持つという厳しい評価、そして1984年出版と同年〜1986年に続いたボパール・チャレンジャー・チェルノブイリという後続事故を紹介
• NR04との理論的対立（本稿の核心）：HRO理論（組織的努力で高信頼性を達成できるとする楽観的立場）と、ノーマル・アクシデント理論（システムの構造そのものに事故の不可避性を見出す悲観的立場）という、安全研究における継続的な論争として明示的に位置づけた
• リーズンのスイスチーズモデル：1990年『ヒューマンエラー』出版という起点を示しつつ、「スイスチーズモデル」という視覚的表現自体は単独の発明ではなく、10年にわたる3者の協働の産物だったという、興味深い形成史を明示——①リーズン自身の「常在病原体」比喩（1988年）、②原子力技術者ジョン・レスールの「多層防御」概念、③ロブ・リーが提案した「スイスチーズ」の比喩そのもの
• 用語の精緻化：1993年以降の「潜在的誤り」から「潜在的条件」への変更——その時点では誤りではなく不確実性下の意思決定だった、という理解の反映——という、重要なニュアンスを整理
• 交通・物流への接続：密なダイヤ編成と相互乗り入れを持つ都市鉄道網を「事故を組み込まれたシステム」の条件に近いものとして、また現場の判断ミスを組織的意思決定にまで遡って分析する視座を、それぞれ【推論】タグ付きで提示

引用[1]〜[11]、参考資料一覧・用語集も本文に組み込み済み。全HTMLタグの対応を確認済み。

SNSリード文

「スイスチーズモデル」は、実は一人の発明ではなく、心理学者・原子力技術者・もう一人の研究者、3者の10年にわたる協働の産物でした——ペローのノーマル・アクシデント理論と、NR04のHRO理論との理論的対立を整理。密結合と相互作用的複雑性という2軸で、都市鉄道網のリスクを読み解く回です。（135文字）

タイトル案

1. スイスチーズモデルは、実は3人の協働作品だった
2. 事故は防げるのか、組み込まれているのか——HROとの対立
3. 「潜在的誤り」から「潜在的条件」へ——用語が変わった理由

次はNR06（危機時の意思決定：カネヴィン・フレームワークとの接続）の執筆に進んでよいか、確認したい。これでNRシリーズも最終回となる。