Comments
Description
Transcript
安全文化―セーフティ・マネジメントとレジリアンス・エンジニアリング
第Ⅰ部 20周年記念講演集 基調講演１ 「安全文化−セーフティ・マネジメントとレジリアン ス・エンジニアリング」 エリック・ホルナゲル博士（Dr. Erik Hollnagel） パリ国立高等鉱業学校（MINES Paris Tech）産業安全主任教授 エリック・ホルナゲル氏：皆さん、こんにちは。本日の ATEC 創立20周年記念航空安 全フォーラムに講演者としてお招きいただき、誠に光栄です。このような非常に重要 なフォーラムが開催されることは、実に素晴らしい取り組みであると思います。 (Slide 1) さて、今日は皆さんに次の３つのテーマでお話したいと思います。それは 安全文化、安全マネジメント、そしてレジリアンス・エンジニアリングです。また、 その中で安全の歴史についても例を挙げて、簡単に説明したいと思います。というの は、現在私達にとって歴史から学ぶことが重要であるからです。どのようにして今の 状態にたどりついたのか、なぜ今のようなやり方をするのか、なぜ今のような見方で 安全をとらえるのかが歴史から分かります。 (Slide 2) さて、現在、安全分野で私達が直面している状況は、概ね次のようなもの です。まずいことが起きている。起こらないはずだったことが起きている。悪い結果 をもたらす好ましくない、厄介なことが起きている。そしてこのようなことが起こる と、当然私達はその原因を究明しようとします。なぜなら、原因を突き止められれば、 それに対して何か手を打てることが分かっているからです。振り返ってみると、これ まで私達はさまざまな観点から原因を考え、また原因を探ってきました。過去何百年 もの間、技術的な不具合が追求されていました。技術的な原因でマイナスの事態が生 じると説明されてきたのです。そして近年では人による失敗、すなわちヒューマン ファクターの観点から原因が探られています。また、もっと最近になって、組織の失 敗、すなわち組織的要因が考えられることが明らかになりました。 3 第Ⅰ部 20周年記念講演集 そしてどこにも原因が見つけられなかったときは、欧米の言い回しになりますが、 それは神のなせる業、不可抗力なのです。今ではあまり歓迎されない言い方なので めったに使いませんが、300年から400年前までは「神の御業」 、 「不可抗力」という説明 が普通にされていました。 (Slide 3) さて、産業安全を考える場合、大きく次の３つの時代で説明することがで きます。これは1998年に Andrew Hale と Jan Hovden が論文で提唱したものです。 両氏は、産業安全の最初の時代を「技術の時代」と呼びました。事実上、18世紀中頃が その始まりであるとされています。1769年にジェームズ・ワットが低圧蒸気機関の発 明で特許を取得したため、しばしばこの年が産業革命の始まりであるとされます。し かし基本的に、産業革命が始まった時点で安全を考慮する必要性が生じていたので す。 それ以前は、家内工業が中心でした。工場も大企業も公共交通機関もなかったの で、一般市民が安全に対して大きな関心を寄せることはありませんでした。しかしそ の後の発展を経て、鉄道分野で初めて重要な法律が米国で制定されました。これは興 エリック・ホルナゲル博士 4 第Ⅰ部 20周年記念講演集 味深い点です。というのは、鉄道が最初の公共交通機関であり、事故が起こる可能性 がある最初の産業システムであったからです。このような理由から、私は1893年に注 目しました。 1931年には、産業災害防止に関する重要な本が初めて出版されました。ずいぶん昔 のことです。そして1950年頃に情報技術革命、いわゆる IT 革命が起こり、デジタル コンピュータが発明されたほか、人工知能学とその制御理論、情報理論が確立されま した。さらにその少し後にトランジスタが開発され、当然のことながら産業と産業に おける仕事に飛躍的な変化がもたらされました。IT 革命は、いわば産業における地 殻変動だったのです。 興味深いのは、20世紀半ばまできちんとやり方を定めた解析手法がほぼ存在しな かったことです。リスク分析などありません。事故調査は何件か行われていました が、そう多くはありませんでした。実は、皆さんの多くがご存知のフォールトツリー （故障の木）も1961年に登場し、初めての解析手法として大変広く知られるようになっ たのです。 ですから、200年もの間、正式なリスク評価手法がないままに産業で技術が利用され てきました。これは面白い点です。皆さんは、なぜ20世紀半ばまでに評価手法ができ なかったのかと思うでしょう。私の考えですが、コンピュータ革命が起こり、非常に 複雑なシステムを構築できるようになって初めて、リスク評価が可能になったのだと 思います。それまでは、情報は電線を経由して送信しなければならず、情報処理能力 は非常に限られており、単純な論理処理しかできなかったため、複雑なシステムを構 築することには限界がありました。情報を収集し、コンピュータで処理し、それを利 用するという技術の世界の性質を変えてしまうような多大な可能性を私達が手にした のは、1940年代以降のことだったのです。 このような技術の時代を迎えて、その後ますます多くの手法が登場します。しか し、概ね順調であったのは1979年、ここまでです。多くの方が、あるいは原子力発電 に携わる方であれば、1979年という数字にすぐに思い当たるでしょう。正確には1979 年３月28日です。この日、アメリカのスリーマイル島で事故が起こりました。この事 故が起こるまで、人々は技術リスクが評価されていれば、技術が十分に機能し、その 5 第Ⅰ部 20周年記念講演集 技術にまったくリスクがないと確信されていれば、自分達は安全だと考え、信じてい ました。しかしスリーマイル島の事故の後、人々は技術の安全評価に欠けている点が あると気付いたのです。それはもちろん、今でいうヒューマンファクターズです。 (Slide 4) したがって、1979年３月28日が産業安全の第二の時代、すなわちヒューマ ンファクターズの時代の始まりとなりました。この時代では、ヒューマンファクター に起因する失敗で、マイナスの事態が生じる可能性があるといいます。つまり、技術 が失敗してマイナスの事態が生じるかもしれない、ヒューマンファクターに起因する 失敗でマイナスの事態が生じるかもしれないというのです。この点で、先ほど触れた スリーマイル島の事故は、その後に大きな影響をもたらした出来事であったといえま す。第二の時代が始まってから、人々は人間の信頼性評価やヒューマンファクターを 含めたリスク評価を行うようになり、再び状況をコントロールできていると考えるよ うになりました。 (Slide 5) その後、第三の時代が始まるほど劇的な変化ではありませんでしたが、さ らに発展がありました。そして、1980年代の終わりから90年代の始めにかけて、産業 安全の第三の時代と Andrew Hale と Jan Hovden が呼ぶところの安全マネジメント の時代を迎えます。この時代は、組織的要素の時代、組織の失敗の時代ともいえるで しょう。なぜなら、実は人々は第二の時代が始まってすぐに、ヒューマンファクター を加味するだけでは不十分である、組織的要素も考慮しなければならないと気付いた からです。 ですから、いま分かっていることとして、安全を考える場合、技術的要素、ヒュー マンファクター、組織的要素に着目しなければなりません。これは事故を調査する場 合も、リスクを特定しようとする場合も同様です。ここに、いくつか重要な出来事を 挙げます。2003年のスペースシャトル・コロンビア号の事故、そしてもちろん1986年 のチャレンジャー号の事故。また、同じく1986年のチェルノブイリ原発事故。今年に は、エールフランス447便の事故も起こっています。これは、エールフランスの航空機 がブラジルからフランスに向かう途中、大西洋に墜落したもので、なぜ起こったのか いまだに正確には分からない未解決の事故です。 (Slide 6) 6 しかし、このように産業安全の歴史を振り返ると、人々がさまざまな方法 第Ⅰ部 20周年記念講演集 によって安全を確保し、システムの安全性を確立しようとしてきたことが分かりま す。技術の時代には、安全性における主な解決策は排除と防御でした。排除とは、事 故調査の後、あるいはリスク評価によってリスクが確認されたら、それを取り除こう とすることです。すなわち、システムの再構築や他の設備の導入を試みることです。 そしてリスクを排除することが不可能な場合、それに対して自衛します。これは、技 術上の失敗や技術的要因の可能性を考える場合、実に道理にかなっています。 実際には、スリーマイル島の事故が起こる前から、ヒューマンファクターも考慮さ れるようになっていました。1945年頃からです。当初、ヒューマンファクターに対す る解決策は設計でした。システムの設計や再設計、特にヒューマン・マシン・インタ フェースやヒューマン・マシン・インタラクションの設計が行われました。 また、ヒューマンファクターに対するもう1つの解決策として、自動化がありまし た。オペレータ、パイロットあるいは機長に問題があることが分かったら、ヒューマ ンファクターを排除するために自動化を試みます。ある意味、自動化は問題を確実に 排除するための手段でした。 スリーマイル島の事故が起こった1979年以降、ヒューマンファクターズに基づくア プローチにおいて、第三のツールが使われるようになりました。それは人間の信頼性 評価、信頼性分析です。人をリスク要因として捉えること、人の行動をリスク要因と して分析すること、人がミスや間違いをする可能性を計算する試みです。 第三の時代には、また違った解決策が用いられました。２つの主な手法があります が、１つは HRO と呼ばれる「高信頼性組織」というものです。これは、1980年代後半 から1990年代初頭にアメリカで展開された１つの概念で、現在でも非常に根強いもの です。主に、カリフォルニア大学バークレー校で展開されました。そして、もう１つ の主流であった解決策は、安全文化の確立です。安全文化については、今日の後ほど のプレゼンテーションで詳しくお聞きになることでしょう。実は、安全文化は1986年、 チェルノブイリ原発事故の後に見解として、説明として用いられた概念です。この事 故の直後に、国際原子力機関（IAEA）がオーストリアのウィーンで会議を開き、事故 について協議するとともに、安全文化という言葉を紹介して初めてその意味を定義し たのです。 7 第Ⅰ部 20周年記念講演集 しかしここから、ある特定の種類のリスクに注目すると、特定の解決策に偏りがち であることが分かります。リスクをどのように捉えるかと、自分が効果的であると確 信する手法によってどのようにそのリスクに対処するかには、関連性があるのです。 (Slide 7) さて、現在2009年に私達が置かれている状況ですが、安全に取り組む上で 利用可能な数多くの理論、モデル、手法があります。しかし、事実上そのすべてが「マ イナスの事態が生じる」という見方をしています。失敗や失敗が起きるメカニズム、 間違いが起きるメカニズム、不具合が起きるメカニズムについては、多くの理論やモ デルが構築されています。私達は、マイナスの事態が生じるのは人が犯した誤りのせ いであり、技術的な不具合のせいであり、あるいは文化、すなわち安全文化や組織文 化の失敗のせいであるということができます。 しかし、概して安全分野のツールの大半が「マイナスの事態が生じる」という見方 で作られています。マイナスの面に注目するように作られているのです。ですから、 マイナスの事態は非常によく説明できます。このことは実に多くの書籍で取り上げら れており、ご存知のように多くの学術誌でも論じられています。何千件という論文も 発表されています。このように、現在私達は物事を否定的に見ることには非常に長け ています。 ところで、１つ変化したものがあります。ちょうど産業安全の３つの時代を考える と、ある時代から次の時代に移行したのは、技術が変化し、産業が変化し、私達を取 り巻く世界が変化して、簡単に言えばより複雑になったからです。 (Slide 8) この観点から、1980年代における安全やリスクの対処方法について見てみ ましょう。1984年を例に挙げます。これは、ジョージ・オーウェルの小説「1984年」に ちなんだわけではなく、この年にチャールズ・ペローが「ノーマルアクシデント （Normal Accidents） 」という本を出版したからです。つまり、多くの人にとって、 1984年は安全の歴史における非常に重要な年なのです。しかし厳密に1984年とせず、 80年代の初頭、今から約25年前について考えます。 当時の安全について考えたとき、あるいは当時の人々が安全について考えたとき― 私はその時期にすでに安全分野の研究に携わっており、皆さんの多くまたは一部の方 8 第Ⅰ部 20周年記念講演集 もそうであったと思いますが―今でいう「シャープエンド」に焦点が当てられました。 シャープエンドとは、90年代の初めに登場した言葉ですが、今では一般的に使われて おり、職場や実際に業務を行う現場の実務者を指します。つまり、物事が起こる場所 であり、人々が結果にさらされる場所です。自分が業務の一環として行ったことの直 接的な結果を目の当たりにする場所です。また当時、ヒューマン・マシン・インタラ クションやヒューマン・コンピュータ・インタラクション、マン・マシン・システム、 人間の信頼性評価などに関する理論が展開されました。私達はそこにある具体的な状 況を見ることで、何が起こったかを説明しようとし、リスクを評価しようとしました。 1984年には、これが妥当なやり方でした。 1984年、または1980年代初頭を振り返ると、ある１つの理由によって、現在とは根 本的に異なる状況であったことに気が付くでしょう。それは、コンピュータ技術の利 用です。もっと正確に言うと、当時は、コンピュータ技術の利用は限られたものでし た。メインフレームコンピュータや、ミニコンピュータはありましたが、パーソナル コンピュータの登場によって大きな変化が起こったのです。当時、コンピュータは少 数の人だけが利用し、扱えるものでしたが、パソコンの登場によって、誰もが利用し、 扱えるものになりました。これによって、仕事も大きく変わりました。コミュニケー ションの方法が変わったともいえます。80年代を思い出してみると、当時はテレ ファックスやテレックス、そしてもちろん手紙や電話を使っていました。それだけで した。電子メールはありません。ウェブもインターネットもありません。無線通信は 非常に限られたものでした。ですから、あまり複雑な技術システムを構築することが できず、実際に業務の状況を見るというのが道理にかなったやり方でした。 (Slide 9) これに対して現在の状況を見てみると、仮に業務を理解しようとする場合、 それはマイナスの事態が生じる場合でも、業務に伴う潜在的なリスクを考える場合で も、いわゆるシャープエンドだけでなく、もっと広い範囲に目を向ける必要がありま す。いわば物の見方を広げる、視野を拡大するということです。 さて、その拡大の１つ目は水平的拡大です。この図から水平という表現を使いまし た。システムのライフサイクルの観点から見た拡大です。現在の具体的な業務の状況 を見るだけでは、十分ではありません。その前、すなわちライフサイクルの前段階で 起こったことに注目しなければなりません。また、この後に何が起こったか、この後 9 第Ⅰ部 20周年記念講演集 にシステムで何が起きているか、ライフサイクルの下流にも注目する必要があるかも しれません。つまり、業務とは時間軸のある一点で切り出せるものではないのです。 その前の段階からの長い、経時的な範囲を持つものなのです。 ２つ目は、ここにあるような垂直的拡大です。私達は、業務の状況だけに注目でき ないことが分かっています。業務を左右する他の条件、人々が利用する技術、システ ムのインフラなども考慮する必要があります。また、システムや業務状況の管理、ス ケジュール調整、リソース配分、教育訓練や再教育の実施、資格認定などについても 考えなければなりません。私達は、時間軸の特定の一点で起こることは、それ以前に 起こったこと、さらにその後組織の上位レベルで起こることと相関関係にあることを 理解する必要があります。そして、組織の下位レベルで起こることと関連付けなけれ ばならないのです。 そして最後に、３つ目はプロセスの統合という意味での拡大です。上流、下流とい う言葉がよく使われます。つまり、以前に―これは時間的にではなく、業務の前工程、 上流で何が起こったのか、そして下流で何が起こるのかを考える必要があるのです。 今起こっていることでどのような影響が起こるかを考えます。 業務の状況を見る場合、現在でもシャープエンドに注目する必要があります。それ も、私がこの図で説明しようとしているように、もっと広い観点から見なければなり ません。そしてここからいえることは、実務者の業務を極めて詳細に―これは完全に 細部までということではなく、適度に詳しくという意味で―説明することは可能かも しれませんが、その一方で、視点が広くなるほど説明しなければならないことが増え、 具体性が欠けてしまいます。つまり、システムに曖昧さが残るのです。業務の状況が 完全に説明されない、分からないこと、説明できないことがあるといった状況になり ます。常に少々の不確実性は伴います。それは深刻な影響をもたらすほど大きなもの ではなくても、何とも言えない、何とも説明できない不確実な部分が少し残るのです。 (Slide 10) お話したように、ヒューマンファクターズの時代から安全マネジメント の時代への移行を促した最後の大きな変化は、あまりにも大きくて私達がいまだに抱 え、その解明に取り組んでいるものです。安全文化、組織文化、組織の失敗という概 念の導入につながったその重大な出来事とは、1986年に起こった２つの悲惨な事故、 10 第Ⅰ部 20周年記念講演集 すなわちスペースシャトル・コロンビア号の爆発と、チェルノブイリ原発事故です。 先ほどふれたように、同じ年に IAEA がウィーンで専門家会議を招集し、安全文化は、 人の行動を理解しようとする際に考慮しなければならない重要な概念であるという提 言をまとめました。 1986年に規定されたこの定義は、安全文化が何たるかを説明した非常に素晴らしい ものであると思います。IAEA は次のように述べました。「安全文化とは、組織およ びその構成員の特性と姿勢の総体であり、これによって、原子力発電所における安全 上の問題に対して相応の関心が確実に寄せられる」。つまり、基本的に「安全文化と は、安全上重要な事柄に対して人々が十分な関心を寄せるように図ること」なのです。 理論的には類語の反復に聞こえますが、それはさておき、理にかなった良い定義であ ると思います。重要な視点を提示しています。 (Slide 11) さて、1986年以降、安全文化や組織文化について多くの文献が出されてい ます。最近になってからは、道理の通ったという意味で「公正な文化」という概念が 重視されています。また、安全分野の専門家以外にも安全文化に取り組んできた人た ちがいます。たしかに長年の間、組織の研究者も安全文化について研究しています。 これは1996年の文献の引用ですが、エドガー・シェインの研究はそのさらに前から行 われており、チェルノブイリ原発事故よりも前にさかのぼります。 しかし、安全文化を考えるとき、私達が真に取り組んでいるのは、現場の人の状況 を理解することです。現場の人や何かをやっている人の状況を考えるとき―それは、 仕事でなくてもよいのですが、産業の場合、それは道路での運転のしかたでもよいで すし、通りの横断のしかたや自宅での仕事のしかた、スポーツのやり方でもよいで しょう。１ついえることは、人は実際に何かをやっているということです。実際に何 をやっているのか、どのようにやっているのか。道を歩くときや動き回るときに、私 達はどの程度注意を払うでしょうか。そこには非常に大きな違いがあることが分かり ます。 その１つは行動、さまざまな条件下での実際の行動です。これは予想していた条件 と、予想外の条件の両方を含みます。予想と少し違う状況であることが分かったとき に、私達はどうするでしょうか。これが、安全文化の成果が問われる瞬間です。 11 第Ⅰ部 20周年記念講演集 もう１つは人々が、私達が何を考え、信じているかということです。つまり、どの ような仮説や推量、リスクに対する考え方を持つかということです。これはもちろん 個人で持つものですが、集団にも存在します。組織で働く者として特定の信念や価値 観を共有し、それを業務にも反映させようとするのです。このように、人々の世の中 に対する見方や考え方、どのように物事をなすべきかという価値観と、その行動には 関連性があります。 当然、これはさほど不可解なことではありません。私達の行動は世の中に対する見 方や考え方、何を重要視し、何を重要視しないかということと関係しています。 しかし、ここで第三の要素が出てきます。組織的側面、すなわち安全文化や組織文 化です。なぜなら、私達が働く会社や業界、組織には何らかの価値観があります。そ こには方針があり、目標があり、理念があります。そして、組織は人々が確実にその 理念や方針にしたがって行動するように図ります。その最もよく知られたものは、も ちろん「安全第一」です。安全は最も重要なものなのです。 つまり、組織は教育訓練、方針の設定、コミュニケーション、作業環境や社会環境 の設計などさまざまな方法によって、人々の実際の価値観に影響を与えて、理念や方 針に沿った行動をするように図ります。これが基本的な論点です。そして問題は、う まくいかないときの言い訳として、あるいは潜在的なリスクを検討する手段として安 全文化を利用したくても、何が起こるのかあまり正確に予測できないことが問題だと 気づきます。機械とスイッチと配管があり、配管の中に作動油が流れているというも のではないのです。因果関係があることは分かっても、明確な関係性はないのです。 はるかに難しいことなのです。非常に重要な側面なのですが、少なくとも工学的な思 考法と比較した場合、幾分曖昧なものになります。 (Slide 12) 安全文化については多くの議論や研究者による文献がありますが、有名 なものの１つにアメリカの社会学者ロン・ウェストラムによる組織文化の５つの分類 があります。私は文献の全体には目を通していませんが、基本的な考え方として、組 織文化は非常に悪い状態、同氏がいうところの「重症な文化（pathological culture） 」 病んだ文化から、非常に良い状態、いわゆる「活力のある文化（generative culture） 」 「前向きな文化（proactive culture） 」まで変化する可能性があるということです。こ 12 第Ⅰ部 20周年記念講演集 の分類をもとに、組織文化を説明してみましょう。重症な文化では、「捕まらない限 り、知ったことか。何も起こらない限り、知ったことか。それでいいのだ」となるの に対して、活力のある文化では、 「安全は私達にとって１番重要なものであり、活動に おいて絶対不可欠なものだ」となります。また、その中間にあたる「数量判断ができ ている文化（calculative culture） 」では、 「異常を調べよう。このリスクを取る価値が あるのか、安全に対してこれだけの投資をする価値があるのか、計算してみよう。こ れなしで済ませられないだろうか」と考えます。このように、皆さんがおそらくこれ までに目にしてきたさまざまな文化は、この非常に知られた手法によって分類するこ とが可能です。 (Slide 13) 安全文化について考えるとき、当然のことながら私達の頭にはすぐに文 化の指標のことが思い浮かび、どのようにして状況を把握するかを考えます。組織や 人が関与する事故では ―事実上、すべての事故になりますが― 非常に多くの場合、 人の話に頼らなければなりません。人を数値化することはできないため、証拠が必要 です。ですから、人から情報と証拠を集める必要があります。つまり、尋ねなければ ならないのです。そして、実際に何が起こったのかを話してもらいたければ、その人 たちを安心させなければなりません。話した内容によって起訴されることはないと信 じてもらわなければならないのです。これが、公正な文化という概念につながりま す。 たとえばイギリスの航空管制公社（NATS）では、方針書の中で「公正な文化」につ いて取り上げ、 「NATS は“公正な”報告文化の維持に取り組み、引き続き安全上のす べてのインシデントが報告、調査されるように尽力する。さらに、 “公正な”安全文化 の確立に努め、安全上のインシデントおよび懸念事項が障害なくかつ率直に報告され るように促進する」と述べています。これはある意味、安全文化と組織文化において 公正な状況を確保する必要があると認識したことで、得られた結果です。そうするこ とで、安全マネジメントに必要な情報を収集することができます。なぜなら、自分の 行動について黙っていたり、違った理由を説明したりすると、安全マネジメントが極 めて困難になるからです。 (Slide 14) 安全や安全マネジメントについて考えると、実際のところ安全とは何で あるのかという疑問に行き着きます。一般に、安全とはマイナスの事態によって説明 13 第Ⅰ部 20周年記念講演集 されます。事実、安全確保とは「何が安全であるか」ではなく、 「何が不安全であるか」 をもとに方法を見つけることです。これをこちらのグラフで説明します。ごくありふ れたグラフです。さまざまなグラフがありますが、たとえばよく知られているのは、 機体の全損事故に関するボーイングの統計曲線です。基本的には、安全に対する取り 組みを強化すれば、それだけマイナスの事象、つまり事故は少なくなるというもので す。事故やインシデントが少なくなれば死亡者も減り、労災休業日数も減り、品質ト ラブルなども少なくなります。これは当然の妥当な考え方です。これこそが、私達が やろうとしていることです。私達はマイナスの事態を少なくしようとしているので す。 しかし、制御理論的および実務的な観点から見た場合、問題は、仮にすべてが首尾 よくいった場合、しばらくすると評価対象がなくなるということです。制御技術者な ら誰もが分かっていることですが、何もフィードバックがなく、現状を評価すること ができないと、プロセスをコントロールできません。実に単純なことです。ですか ら、私達に本当に必要なものは安全の尺度である、それも安全の向上に着目するもの であって、低下が対象ではないと言えるでしょう。しかし、マイナスの側面に目を向 けると、評価基準は低下の度合いになってしまいます。 (Slide 15) このような視点をいくらか変えるために、安全とは実はプロセスの管理 やコントロールと同じであると考えてみましょう。私達は、プロセスがどのようなも のであるか、あまり分かっていませんが、結果―正確には、何が悪い結果であるかは 分かっています。悪い結果とは、失敗や事故などです。しかし、安全確保をプロセス のコントロールとして捉えると、次のような推測ができます。たとえば私達は皆、あ るいは大半の人が車の運転のしかたを知っています。そのプロセスも分かっていま す。車がどのようにして動くのか、どのようにすれば車を制御できるのか分かってい ます。さらに、目的地も分かっています。どこに行きたいのか、どこに到着したいの か分かっています。そして、どのようにして車の動きを制御するのか、どのようにし て速度や進行方向を維持するのかも分かっています。ですから、実に上手に運転する ことができます。 また、飛行機の操縦を例に挙げると、まずプロセスは分かっています。どうすれば 飛行を継続できるか分かっています。目的地も分かっています。機体を飛行させて、 14 第Ⅰ部 20周年記念講演集 特定の場所に、おおむね正しい時間に着陸させなければなりません。操縦の方法も分 かっています。パイロットは高度な訓練を受けて、機体を操縦するための高い技術を 習得しています。また、パイロットを支援する多くの自動装置があり、航空管制官が います。しかし、これは非常によく制御されたプロセスです。安全に飛行できます。 ここでも飛行機が飛んでいます。私は飛行機で来日しますし、ヨーロッパ中を飛行機 で移動します。皆さんもおそらく世界中を飛行しており、制御された安全なプロセス であることをご存知でしょう。 安全をプロセスとして捉え、同じ質問をしてみましょう。私達は、どのようなプロ セスをコントロールしようとしているのでしょうか。真に安全を確保するものは何な のでしょうか。答えは「よく分かりません」。このような問いに明確な答えはないの です。では、安全の目標とは何でしょうか。これも残念ながら、あまりはっきりとし た答えはありません。一般的にはリスクや事故の削減とされていますが、これはあま り良い答えだとは思えないのです。そして最後に、どのようにして安全をコントロー ルするのでしょうか。これも、安全のプロセスが分からないので、非常に難しいで しょう。利用可能な、標準的な防護装置や仕組みと言えるものはいくつかあります が、それらの有効性に確信がありません。ここに問題があります。 (Slide 16) これを別の角度から見てみると、安全とはプロセスのコントロールであ るといえます。動きを制御することなのです。旅のようなものだともいえます。これ はあまり見慣れないものですが、フィンランドの群島の海図です。さて、この航路で 船を操縦するためには、いまどこにいるのか、すなわち現在地を知る必要があります。 現在地が分からないと、何をするべきか分かりません。右舵を切るべきなのか左舵な のか、速度を上げるべきか下げるべきなのか決めることができません。 目的地も知っておく必要があります。そうしなければ、周りにあるのは島だらけと 分かった場合、次にどこに行きたいのかが分かりません。ですから、目的地を決める 必要があります。また、船の操縦性能を知り、制御しなければなりません。いつ、ど のようにして舵を切るのか知っておく必要があります。これは、大型船ではたやすい ことではありません。このように、安全マネジメントは旅に似ています。問題は、旅 をするのに現在地や目的地が分かっていないこと、旅先周辺の分かりやすい地図がな いことです。当然、これは旅人にとってあまりよい状況ではありません。 15 第Ⅰ部 20周年記念講演集 (Slide 17) 私の主張は、物の見方を変えるべきだいうことです。起こりうることを 簡単な方法で分類すると、このように２つの次元で表すことができます。横軸は、物 事が起こる予測可能性、または発生確率です。左側には、予測可能性や発生確率が非 常に低い事象がきます。本当に起こるのか誰も分からないことです。右側には、予測 可能性や確実性が非常に高い事象がきます。起こると強く確信していることです。ま た縦軸は、悪い事象から良い事象までを示し、中間が中立的なものです。つまり、上 の方が肯定的な意味を持つ良い結果で、逆に下の方は否定的な意味を持つ、悪い結果 となります。 さて、従来我々は安全のどのような側面に注目してきたでしょうか。それは事故で す。つまり、予測可能性が比較的低く、不確実性が比較的高く、結果が悪い、つまり 起きてほしくない事象です。 かなり後になって、事故だけではなく、インシデントにも注目しなければならない ことを学びました。インシデントとは、事故ほど深刻ではない事象です。中には、い わゆるニアミス、ヒヤリハットも検討すべきだという人さえいます。ニアミスとは実 際の事故ではないが、状況が違って悪ければ、事故になった可能性がある事象を指し ます。さて、ここで見落とされているのがうまくいっていることです。しかし、皆さ んが組織を構築したり、職場環境を設計したり、航空会社を経営したり、航空会社の 整備・修理部門を運営したり、何らかの事業を営む立場であったら、貴方が最も関心 を払うのは、どうやって目的どおりの正常な結果を達成するかということでしょう。 もちろん望ましくない事態、事故を発生させない用にすることにも注意を払うことで しょうが、実際には主たる関心は、正常な結果を達成することにあります。 (Slide 18) ここで、３つ目の次元を加えてみましょう。ややこしい図で申し訳あり ませんが、ここに三つ目の軸があるのがお分かりいただけると思います。102、104、 106と数字を並べています。これはめったに起こらないという意味で、珍しい事象に あたります。109、1010 と好きなだけ大きな指数を設定することができます。その場 合、実に頻度の高い事象になります。私が言いたいのは、このグラフは平面ではなく、 凹凸のある地形であるということです。ここ右上が頂点です。ここの事象は、他より も10万倍、100万倍、それ以上に高い頻度で起きます。こちらがいつも起きてほしい事 象で、下のこちらが起きてほしくない事象です。しかし問題は、右上の領域を発生さ 16 第Ⅰ部 20周年記念講演集 せたいのであれば、なぜこの領域に注目しないのかということです。左下の事象を防 止することだけ考えていれば右上の正常な結果が確実に起きるでしょうか。それと も、正常な結果をもたらすのは何かを併せて検討するべきなのでしょうか。 (Slide 19) この図を使って、別の角度から見てみましょう。円グラフを書いて緑を 成功、赤を失敗とした場合、10-4、すなわち１万分の１を図示したつもりでも、それは 目くらましにすぎません。なぜなら、円グラフで１万分の１を示そうとしても、図の 上では見えないからです。この赤い線は誇張したものです。しかし、一般的な安全調 査や安全活動ではこの１万分の１に着目します。この部分を調査し、理解しようとす るのです。理論やモデルを構築し、リスク評価を行って、その他のことは無視します。 私達はそれを当然だと思っていますが、そうではありません。 安全こそ我々が作り上げるものであり、ここで申し上げたいことは、安全とはマイ ナスの事象がいくつ減少したかで決まるものではなく、変動する条件下で成功を実現 する能力のことだということです。安全とはグラフの緑の部分であり、赤の線は安全 でなかったところ、安全が実現できなかった領域のことです。この緑の安全の領域こ そが研究すべき点です。理解し、評価し、モデル化し、分析しようと努力すべき点な のです。 (Slide 20) 私達は、このような状況に直面しています。これは、本当は目に見えるも のである。見ることができる。毎日目にし、見えているはずのものである。基本的に は目に見えないものなのです。いや、すみません。間違いですね。これは目に見えな いものです。見えるはずなのにあまりにも頻繁に起こるため、目に入らなくなってし まい、見ていないものです。いつも身の回りにあって、注意を払っていないものです。 これが目に見えるのは、正常な状態と著しく異なり、目立つからです。人の気持ちや 習慣とは、普段とは異なるもの、背景とは異なるものに目が向くようにできています。 普段どおりのものは目に入らないのです。しかし重要な点は、安全分野ではこのよう な目に見えないものを見えるようにし、自然に、容易に見えるものだけに注目しては ならないということです。 (Slide 21) このように、私達が議論しているのは、あるいは私が述べようとしている のは、安全の定義を変えるべきだということです。従来の定義では、安全は悪い結果、 17 第Ⅰ部 20周年記念講演集 マイナスの事態によって評価され、安全の目的は、できる限り失敗や故障をなくすこ とでした。しかし私が言いたいのは、プラスの面にも注目すべきだということです。 悪いことだけでなく、うまくいくことにも目を向けるべきです。なぜなら、はるかに 多くの事態は悪化するのではなく、うまくいきます。そして、安全とは、条件が変わっ ても成功を実現する能力であると再定義するべきでしょう。 私達は失敗や故障をなくそうと努力するのではなく、それだけではなく、事態を改 善し、強化し、力強いものにする取り組みが必要です。この力強くすることをレジリ アンスといいます。さて、ここで１つ問題となるのが、レジリアンスが何であるかを 定義することが非常に難しいということです。教科書で明確に定義されているもので はありません。２、３の言葉で説明できるものではないのです。 (Slide 22) しかし、いわゆるレジリアンスやレジリアンス・エンジニアリングには土 台があります。レジリアンスは４つの前提に基づいています。第一の前提は、既にお 話したことですが、常にシステムの仕様が曖昧で、それゆえに業務遂行の条件も十分 に明確化されていないことです。業務を行うにあたって、その実施すべき内容や条件 を完全に詳細に説明することはできません。実際に行うまで、完全に詳細は分からな いのです。複雑なプロセスではなく、単純な製造プロセスであれば可能かもしれませ んが、大概不可能です。ですから、常にほんのわずかな不確実性が伴います。非常に わずかなものかもしれませんが、必ず存在します。 これはつまり、人は単純に規則に従っていては業務を遂行できないということで す。状況に合わせるために、調整したり適合したり、成長したり、やることを変えた りしなければならないのです。そして、これは必ず起こることです。なぜなら、荷物 搬送のような作業であれば、システムを設計して自動化できますが、日常生活や日常 業務で自動化されたシステムは、ごくわずかしかありません。 第二の前提は、マイナスの事態が生じる場合、それは失敗や故障が原因の場合もあ れば、そうでない場合もあるということです。たとえはっきりとした明確な原因がな くても、失敗する場合があります。システムが複雑なためにうまくいかないのです。 それぞれの点にごくわずかな不正確性があり、それが予期しない形で組み合わさる場 合があります。 18 第Ⅰ部 20周年記念講演集 第三の前提は、この第二の前提ゆえに、過去を振り返って何が起こったかを確認し、 原因を特定して解消するだけでは安全マネジメントを実現できないという点です。前 を見なければなりません。将来に目を向けて、先のことを考える必要があります。ど のような失敗が起こるかだけでなく、変動要因がどのような予期しない形で積み重な るかも想像する必要があります。 第四の前提は、第三の前提と同時進行的になりますが、安全を本業から切り離して 単独で考えることはできないという点です。これは、良い結果を重要視することに伴 うものです。安全とはうまくいっていることであって、マイナスの事態を避けること ではありません。つまり、安全とビジネスは表裏一体の関係にあります。 (Slide 23) 以上が、いわゆるレジリアンス・エンジニアリングの前提となるものです。 現時点では、これがレジリアンスの活用における定義となります。レジリアンスと は、何かが起こる前にシステムがやるべきことを調整し、何かが起こっている最中や 事後は、状況が予想したものであっても、予想外のものであっても、その機能を継続 することができる能力を意味します。ここで予想外の状況とは、想定しなかったマイ ナスの状況とプラスの状況の両方です。もっと具体的に説明すると、レジリアンス、 すなわち「しなやか」であるためには、個人としてあるいは組織、システムとして次 の４つの能力を持つ必要があります。 １番目の能力は、何かが起こったときに反応できることです。何かが起こったら反 応し、対応しなければなりません。これは基本的なことです。反応もしくは対応でき ないと息絶えてしまいます。事業から撤退するか、倒産寸前かです。反応は基礎的な 能力です。あらゆる生命体が反応します。反応しなければならないのです。 ２番目の能力は、状況をモニターして何が重要であるかを理解できることです。こ れから何が起こるのか、このすぐ後、これから30分などの短い間に何が重要になるの かを判断できなければなりません。当然、モニターすることで反応力も向上します。 そうでなければ、単なる後追い型の反応です。後追い型の反応では不十分であること は明らかです。 モニタリングに加えて、予測も必要です。これは、現在の状況だけでなく、将来に 19 第Ⅰ部 20周年記念講演集 も目を向けるということです。２年先、10年先を考えるのです。50年後に何が起こる か想像し、理解を試みるのもよいでしょう。環境や法制や国政の変化、人々の安全に 対する見方やテクノロジーの変化を予測し、それに対して備える必要があります。 そして最後に、４番目は学習能力です。これは非常に重要です。過去の出来事、悪 い結果だけでなく、良い結果からも学ぶ必要があります。失敗と同様に、成功からも 学べなければなりません。失敗だけから学んでいても、決して本当に良い状態にはな れないのです。成功からも学ぶ必要があります。以上が、レジリアンスを構成する４ つの要素、４つの能力です。そして、レジリアンス・エンジニアリングとは、レジリ アンスの設計方法です。いかにシステムの反応力を高めるか、モニタリング力を高め るか。いかにシステムや組織の予測力を高めるか、学習能力を高めるかなのです。 (Slide 24) このすべてを実践するためには、実務者を受けとめ、理解しなければなり ません。たとえシステムや組織に関する議論であっても、結局は人に関わる問題だか らです。組織は、多くの人の集合体です。私達はこの部屋に集まっていますが、組織 とはいいません。講演を聴き、人と出会い、何かを学んだり議論したりするという共 通の目的を持ってここに会しているのでしょうが、軽い集まりにすぎません。組織と は呼ばないのです。しかし、業界や組織、事業で起こることは、すべて人によるもの です。 (Slide 25) そして人の行動に注目すると、それぞれの成果は２つの側面で説明する ことができます。１つ目は効率です。物事を成し遂げること、時間に間に合うように 仕事をすることです。そのためには過剰にリソースを使わず、いかなる危険も冒さな いので、十分な品質が確保されます。これが効率的に仕事をするということです。私 達は皆、効率的でありたいと思い、雇用主からそうあるように求められます。私達は 皆、雇用主から効率性を求められます。 もう１つは、私達は何かをするときに完璧でなければならないということです。完 璧さとは、それをやっても安全だという確信があり、そのやり方が分かっており、そ のための正しいツールと資材、リソースがあり、実施するのに適切な状況であるとい うことです。たとえば保守作業をするときには、電源を切ろうと考えます。自宅のテ レビを修理しようと思ったら、最初に壁のコンセントを抜く必要があります。そうし 20 第Ⅰ部 20周年記念講演集 なければ、作業上危ないからです。また、副次的な影響や望ましくない結果が生じな いようにします。これが完璧であるということです。そして、私達は何をやる場合に も、ある程度完璧さを追及しなければならず、またある程度効率性も実現しなければ なりません。 ここで問題は、完璧さにも効率性にも時間とリソースが必要であることです。お分 かりのように、私達はたいていリソースが不足しており、特に十分な時間がありませ ん。ですから、完璧さと効率性のバランスを取る必要があります。そして、十分な時 間がないときには何かを削らなければなりませんが、一般に効率性の方が重視される ことから、残念ながら完璧さが犠牲になります。 (Slide 26) さて、人の行動や思考方法に目を向けたとき、何かをやっている最中の人 はよく次のように言います。 「これは良さそうだ」 、「たいして重要なことではない」 、 「たいていこれで大丈夫。確認はいらない」 、 「昨日うまくいったから、今朝も大丈夫」 、 「今までに何回もやっていて、やり方は分かっている」 、 「細かいところに時間をかける 必要はない」 、 「前に誰かが確認したか、この後誰かが確認するだろう」 、 「この方がずっ と早い」 、 「これをやらなければならないが、ちょうどよい道具がない」。これらは、い わば経験則です。人々が近道として利用する原則、経験則、指針なのです。このよう なことが、あらゆる状況ですべての人に見られます。しかし、だからこそ私達は物事 を進めることができるのです。このような対応によって完璧さを妥協することで、わ ずかな時間が得られます。非効率な点が減り、効率が上がります。だから、物事を進 められるのです。 (Slide 27) 問題は、自分１人ではないということです。１人で仕事をするというこ とはありません。仕事では私の前工程にも、後工程にも他の人がいます。たとえば私 が非常に周到で、念入りに作業を行う性格であれば、 「この装置がある、この資料があ る、このデータがある。でも作業を始める前に正しいか確認しよう」と考えるでしょ う。そして、何かを作るときに「これを他の人に渡す前に、すべて問題ないかもう１ 度確認しよう」と思うでしょう。一方、私が「これをやらなければならないが、少し 時間が足りない。私にこれをくれた人はとても几帳面だから、全部チェックをしてい てすべて大丈夫なはずだ。私の次の人もとてもきちんとしているから、必要なチェッ クを全部するだろう。だから、私はチェック作業を少し省いてもいい。このまま次に 21 第Ⅰ部 20周年記念講演集 回そう」と考える可能性もあります。すべての人がこのタイプでなければ、物事はう まくいきます。しかし、誰もがこのタイプであると、作業上のわずかな不正確さや調 整が積み重なって増幅し、システム全体に蔓延して予想外の結果をもたらすおそれが あります。 (Slide 28) これが、私が提唱する ETTO 原理です。ETTO とは「Efficiency（効率 性）と Thoroughness（完璧さ）のトレードオフ」を意味します。基本的な考え方は、 人の行動にはすべて、常に完璧さと効率性のバランス、トレードオフが求められると いうものです。最大限、あるいは最適な状態で効率性を確保し、かつ最適に完璧さを 達成するのに十分な時間はありません。バランスを取る必要があります。私達は、日 常生活でバランスを取ることを求められます。 重要な点は、これが正常な状態であるということです。失敗ではないのです。 ヒューマンエラーでも、誤りでもありません。これがなすべき正しいことなのです。 誰もがやっています。そうでなければ、物事は機能しません。しかし、時としてこれ が望ましくない結果につがなる場合があります。ですから、効率性と完璧さのトレー ドオフ、動詞風に言うと「ETTO する」ことが原因で、事態は良くも悪くもなるので す。 (Slide 29) ここにレジリアンスを組み込んで一緒に考えると、次のように言えます。 レジリエントである、すなわち「しなやか」であるためには、反応し、モニターし、 予測し、学習できなければなりません。しかし、１人で反応とモニタリングと予測と 学習に時間を費やすことはできません。それだけの十分な時間はないので、優先順位 をつける必要があります。反応は他のどんな要素よりも重要です。それは間違いあり ません。なぜなら、たとえば道路を渡るときに、すべての時間をかけて何が起こるか 予測だけをしていたら、車にはねられてしまいます。反応しなければなりませんし、 おそらくモニタリングもできなければなりません。個人では、反応とモニタリングが 最も重要な要素であると言えます。ですから、レジリアンス・エンジニアリングの観 点では、個人で真にレジリアンスを実現することはできません。個人では、それだけ の時間がないのです。 (Slide 30) 22 幸いなことに、私達は組織に属しています。組織では、あるグループが反 第Ⅰ部 20周年記念講演集 応を担当し、別のグループがモニタリングを担当することができます。そしてまた別 のグループ、シンクタンクやスタッフが将来の予測をします。学習を担当するグルー プも別にいます。このように組織では業務上、４つの能力に十分注意を払うことがで きるため、トレードオフの必要がありません。しかし、忘れてはならないのが、それ ぞれの能力の範囲内ではトレードオフがあるという点です。なぜなら、たとえば予測 の担当者はその予測という業務の中で、効率性と完璧さのトレードオフをします。反 応の担当者にも、反応において効率性と完璧さのトレードオフがあります。これはま さに、自分１人では時間が足りないためにトレードオフを余儀なくされるのと同じ状 況です。 (Slide 31) こちらの図をご覧いただきたいのですが、当然のことながら、この４つの 能力は互いに独立したものではありません。相互に依存しています。この図は変わっ た形をしていますが、私達の取り組みを表したものです。基本的な考え方として、た とえば、学習したことがモニタリングに対するインプットになります。すなわち、何 を重要とみなすかというインプットになるのです。過去に起こったことを学習するこ とで、何に注目するかが決まります。そして、潜在性―何が起こるかを予測すること で、どのように注目するかが決まります。このように４つの能力には依存関係がある のです。それも、単にインプットとアウトプットという箱が並んでいるのではなく、 もう少し複雑な関係にあります。こちらの図は詳しく説明しませんが、レジリアンス を４つの個々の能力としてではなく、それを組み合わせた能力の集合体として説明す ることができないか、と考えているわけです。 (Slide 32) 私が言いたいのは、安全マネジメントからレジリアンス・マネジメントへ の移行、すなわちレジリアンスをマネージしようということです。レジリアンス・マ ネジメントが目指すのは、うまくいくことを増やすことです。悪いことを減らすこと ではありません。うまくいくことに目を向け、もっと多くのことがうまくいくように 努力するのです。ここに天秤がありますが、うまくいくことが増えると矢印がこちら の方に動き、より安全な状態になります。 もちろんうまくいかないことを減らしても、安全になることはお分かりでしょう。 しかし、うまくいくことを増やそうとする方が良いと思います。その方が前向きで す。悪いことだけに注目するのではなく、全体のパフォーマンスに目を向けたいもの 23 第Ⅰ部 20周年記念講演集 です。 (Slide 33) 私がお伝えしたかった安全に対する二つの見方についてまとめると、一 つ目は従来の伝統的な見方、もう一つはレジリアンスという見方です。スライドに使 うイラストを探しているときに、伝統的な見方を示すものを見つけました。このいわ ゆる蝶ネクタイモデルです。 （スライド33の左上図中心を指して）一般に、ここが重大 な出来事にあたります。専門的にいうと、フォールトツリーの頂上事象です。また、 ここが解析の出発点にあたります。そして結果として、このような蝶ネクタイの形を した図が出来上がります。私も今日はネクタイではなく、蝶ネクタイで来ればよかっ たですね。さて、これが伝統的な物事の見方です。どのようにして安全を確保するか というと、フォールトツリー上で事態が悪化することを避け、イベントツリーに列挙 された悪い結果に対して自衛するのです。つまり、まさしく後追い型の反応となりま す。 一方、レジリアンスによるアプローチでは、瑣末なことではなく、有効なことに目 を向けようとします。基本的には、どうすれば事態がうまくいくか、どうすれば事態 を改善できるか、どうずればさまざまな状況で確実に成果を挙げることができるかを 考えようとします。安全マネジメントでは、目に見えるうまくいかないことに焦点を 当てます。レジリアンス・マネジメントでも、目に見えるうまくいかないことに注目 しますが、一方で、目に見えないうまくいくことにも注目するのです。そのような取 り組みの中で私が思い出すのが、偉大な武士である宮本武蔵の言葉です。 「五輪書（地 之巻） 」の中に、 「目に見えぬところを悟って知ること」という言葉があります。これ は、安全分野においても非常に重要なことであると思います。見えないところに目を 向けてみましょう。見えないところを見ること、を身につけることによってのみ、私 達は安全性を高めることができるのです。 (Slide 34) 私の講演は以上です。ご清聴ありがとうございました。 司会：ホルナゲル先生、どうもありがとうございました。それでは質問を受け付けた いと思います。なおご質問時にはお名前と所属をお願いします。 質問者：ATEC の谷と申します。レジリアンス・エンジニアリングとか ETTO とい 24 第Ⅰ部 20周年記念講演集 うのは、おそらく、いま我々が一所懸命取り組んでおります Safety Management System / SMS のさらに一歩先を行く安全に関する考え方、対応の仕方ではないかと 理解しております。伺ったお話しだけではレジリアンス・エンジニアリングの具体的 なイメージが湧かないものですから、私なりに理解したところをお話しして、コメン トを伺いたいと思います。 例えばインシデントが発生したとき、つまり事故には至らないが何か不安全な出来 事があった場合、これまではインシデントの原因を究明して再発防止策を立て安全向 上を図るアプローチが主流だった訳ですが、その際になぜインシデントに留まったの か、なぜ事故に至らなかったのか、おそらくそこに抑制力、抑止力、あるいはつっか い棒になるものがあったのではないかという気がします。それらを検証して、システ ムを補強していくことで安全をさらに向上するという考え方かと受け止めています。 これもレジリアンス・エンジニアリングあるいはマネジメントの一つと言ってよろし いのでしょうか？ ホルナゲル氏：ご質問ありがとうございます。簡潔にお答えするとしたら、当然イン シデントにも目を向けるべきです。しかし、レジリアンス・エンジニアリングの立場 では、インシデントだけを見るべきではないと思います。正常なパフォーマンスにも 目を向けるべきです。正常な行動、正常なオペレーションにも注目するべきです。な ぜ、正常なオペレーションをしているのか理解しなければなりません。厳密に手順に したがっているからといって、オペレーションは正常に機能しません。それが正常に 会場風景 25 第Ⅰ部 20周年記念講演集 機能するのは、私達が判断によって手順を適用し、適合させ、調整することができる からです。日々あらゆる状況で、正常な業務によって多くの小さな問題が解消されて います。レジリアンス・エンジニアリングでは、それがどのようにして行われるかを 理解することが求められます。なぜならそれがうまくいかないとき、すなわち私達が 瑣末な不正確性や失敗に対処できなくなったときに、インシデントや事故が起こる可 能性があるからです。 質問：日本航空の高橋と申します。ご講演の中の ETTO に関してお尋ねします。 我々エアラインは日々の運航をダイヤどおり提供できるよう努力している訳ですが、 その中でタイムプレッシャーが背景・背後にあるようなヒューマンエラーが、コク ピット・クルー、キャビン・クルー、グラウンド・クルーを問わず発生することがあ ります。ETTO の考え方やレジリアンス・エンジニアリングを適用するということ で、こういうヒューマンエラーを減らすことは可能なのでしょうか？ ホルナゲル氏：はい。可能であると思います。レジリアンス・エンジニアリングや ETTO の原理を活用すれば、実務者たちがどんな場合に適応行動を取るかが分かるよ うになるからです。お話したように、私達は日常生活のすべての行動において、あら ゆる点で常に状況に応じた軌道修正をします。しかし、タイムプレッシャーや生産上 のプレッシャーが高まり、通常よりも若干大幅な、あるいは若干異なる形での応用動 作を余儀なくされる場合があります。これを ETTO の原理から見ると、どのような 状況でこうした修正を行うかが分かってきます。中でも、誰かは状況に適応する行動 を取ったが他の人々もその「誰か」と同様にタイムプレッシャーを受けている場合、 彼らは自分たち以外の人々が取った適応行動を認識してそれに合わせた応用動作をす ることができなくなります。こうなると事態は悪化の一途を辿り、エスカレートして しまいます。 これを ETTO の観点から見ると、状況に適応する行動は場当たり的に行われるも のではなく、系統的に実行されていることが分かります。それぞれの状況で合理的に 行われているのです。このことを理解しさえすれば、どのような状況で問題が拡大し て顕著になり、悪影響を及ぼしかねない事態に発展するかが見えてきます。 26 第Ⅰ部 20周年記念講演集 講師プロフィール エリック・ホルナゲル博士（Dr. Erik Hollnagel） パリ国立高等鉱業学校（MINES Paris Tech）産業安全主任教授 Erik Hollnagel 博士は、デンマーク出身、現在パリ国立高等鉱業 学校（MINES Paris Tech）の産業安全主任教授であり、ノル ウェー科学技術大学（NTNU）の客員教授も兼任。 デンマーク、ノルウェー、フランス、イギリス等の大学、研究所 において原子力発電、航空宇宙、ソフトウエア エンジニアリン グ、医療、地上交通を含む多くの領域を対象とした研究に従事。 専門分野は、産業安全、レジリアンス エンジニアリング（Resilience Engineering） 、事故調 査、認知システム技術、認知人間工学など。 広範囲の著述があり著者または編集者として17冊の著書を刊行、うち３冊はレジリアンス エンジニアリングに関するもの。 最新の著書は「The ETTO Principle: Why things that go right, sometimes go wrong. (2009, Ashgate)」 （ETTO= Efficiency-Thoroughness Trade-Off） 。 27 第Ⅰ部 20周年記念講演集 ATEC ウェブページに、スライドの和訳版を掲載しています。 http://www.atec.or.jp/Forum_09_Hollnagel_J.pdf Slide 1 Slide 2 28 第Ⅰ部 20周年記念講演集 Slide 3 Slide 4 29 第Ⅰ部 20周年記念講演集 Slide 5 Slide 6 30 第Ⅰ部 20周年記念講演集 Slide 7 Slide 8 31 第Ⅰ部 20周年記念講演集 Slide 9 Slide 10 32 第Ⅰ部 20周年記念講演集 Slide 11 Slide 12 33 第Ⅰ部 20周年記念講演集 Slide 13 Slide 14 34 第Ⅰ部 20周年記念講演集 Slide 15 Slide 16 GOALS: 35 第Ⅰ部 20周年記念講演集 ! ! Slide 17 ! ! Slide 18 36 第Ⅰ部 20周年記念講演集 Slide 19 -㧠 -4 ! ! Slide 20 37 第Ⅰ部 20周年記念講演集 Slide 21 Slide 22 38 第Ⅰ部 20周年記念講演集 Slide 23 Slide 24 39 第Ⅰ部 20周年記念講演集 Slide 25 Slide 26 40 第Ⅰ部 20周年記念講演集 Slide 27 Slide 28 41 第Ⅰ部 20周年記念講演集 Slide 29 Slide 30 42 第Ⅰ部 20周年記念講演集 Slide 31 T T T T Slide 32 43 第Ⅰ部 20周年記念講演集 Slide 33 Slide 34 44