※当記事はModern Times 2022年7月に公開された記事の再掲載です。

危険性の議論が続いているなかで起きた、チャレンジャー号爆発事故

1986年1月末、フロリダ州ケープカナベラルのケネディ宇宙センターから打ち上げられたスペースシャトル・チャレンジャー号は、発射直後に大爆発を起こし、乗組員7名が全員死亡するという大惨事になった。事故後設置された事故調査委員会は、ファインマン（R.Feynman）といった著名な物理学者を含んでいたが、事故原因として、補助ロケットの接合部分を密閉する、いわゆるOリングが損傷し、爆発につながったという調査結果を公表した。ファインマンがテレビの前で実際にその材料を冷水の中に入れて見せるといったパフォーマンスを行ったことも、広く知られている。

コロンビア大学のヴォーン（D.Vaughan）は、組織とその逸脱行為に関心がある社会学者だが、この爆発事故について10年余りの時間をかけ、多くの関係者に詳細な聞き取りを行った。そこで分かったことは、このOリングの脆弱性については、NASAと製造を担当したサイオコール社の間で長年の論争があり、打ち上げ直前にもその危険性についての議論が続いていたという点である。

ヴォーンの研究は、この問題が単にロケットの特定部位の技術的問題に留まらず、関係する組織内外の意思決定や組織文化、更に組織的逸脱といった問題にも深く関係していると明らかにした点で、関連分野の研究者に大きな衝撃を与えた。今回の安部元首相狙撃殺害事件の報に接して最初に思い出したのは、このヴォーンの労作である。

たいていの議題はルーチンとして処理される

組織がその内的な欠陥によって生み出す事故のことを「組織事故」と呼ぶ。この研究分野では、リーズン（J.Reason）のいう「スイスチーズモデル」という考え方がよく知られている。組織には害をもたらす可能性がある危険物を防ぐ防御壁のようなものが複数あるのが普通だが、それらには所々穴があり、危険物がその一つを通過しても、別の壁がそれを阻止してくれる。しかしたまに複数の壁の穴の位置が一致してしまうと、危険物はそうした穴を貫通し、結果それが事故につながるという考え方である。この穴の開き方がスイスチーズのそれに似ているというので、こういう名称がついている。

この話は組織安全の分野では有名だが、もとをたどれば、防御壁とその穴という考えのルーツは、これも組織論で有名な、意志決定の「ゴミ箱モデル」という、ある種の古典的理論の応用である。この議論は、もともと大学の教授会にヒントを得たものだそうだが、そこでの経験を言えば、たいていの議題（イシュー）はルーチンに属することが多く、それがいちいち全員を巻きこんだ議論になることは稀である。ゴミ箱モデルでは、「問題」も「解」もひとまずは選択機会という名のゴミ箱に投入され、ある程度までやり過ごせられることになる。そして、どうしてもそれを処理しなければならないときになって、はじめて処理がなされるという理論である。

筆者の所属していた部局では、参加人数が三桁になるので、たいていは沈黙による了承という形で会議は粛々と進む。ただし、たまに特に重要な案件については、複数の発言者によって意見が交わされることもある。こうした状況を、論者たちはイシューがゴミ箱におかれる状態と表現し、課題によっては、それが明示的に処理される場合もある。このモデルのポイントは、たいていの意志決定はルーチンとして処理されるが、たまに分析的、反省的な議論がなされるという点である。

人は合理的であるからこそ、議論を受け流す

この議論は、直接的にはサイモン（H. Simon） の限定合理性、つまり我々の意志決定は部分的な計算による限定的な合理性に基づく、という考え方に由来するとされる。我々が、遭遇するすべての課題について同じレベルで吟味（計算）していたら、時間は無限に必要である。そこで現実には、吟味は局所的にとどまるという話である。ここから、一部の吟味と残りのルーチンによる処理という図式が得られるが、実はこの考え方は、前に「あいまいの政治学」でも紹介した、プラグマティズム哲学の創設者パース（C.S.Peirce）のそれが基本的な大源流だと筆者は考えている。

パースの主張はもともとデカルトの『我思う、故に我あり』という主張に対する反論としてなされたもので、我々は最初から「思う」わけではなく、始まりはむしろ「信念」にあり、それが何かの障害に直面した時に、初めてある種の懐疑としての「思う」こと、あるいは「考える」という状態に至るというものである。この図式はのちにデューイ（J.Dewey）によって、生体一般と環境との関係に置き換えられ、環境との関係が安定している安定的な状況と、その間に齟齬が存在する問題状況という図式に発展するが、この図式のバリエーションは様々なところに存在する。

例えば、かつて人工知能分野で話題になった「フレーム問題」というのは、人工知能が計算すべきものと、そうでないものを区別できないことで計算量爆発に至るという問題と読み替えることができる。また、一時期注目を浴びた複雑系の経済学でも、合理的計算の限界という観点から、こうしたパース的観点に近い議論、つまり計算が必要な領域とルーチンの領域の並立という枠組みが主張されていた。実際、われわれの日常生活でも、すべてのことに同じ負荷で向き合うというのはあり得ない。特定の案件に注意を集中して、他はいわば受け流すはずである。

防御壁が多重に存在しても、どこかに「穴」がある

さて前述したゴミ箱モデルは、こうした認識論的前提をもとに定式化されているが、この解決すべきイシューを危険物、あるいはリスク要因と読み替えると、組織事故のモデルになるという点が重要である。後者にいう防御壁とは、それを吟味する過程、つまり前者の言い方ではイシューをゴミ箱に入れる過程である。特定のリスク要因を十全に吟味し、排除できれば、事故防止になる。それが防御壁の役割だが、ゴミ箱モデルが主張するように、全てのイシューが吟味されるわけではなく、むしろ多くのイシューはルーチンとして吟味されないという点に留意すべきである。これが、防御壁には複数の穴が開いているという意味である。

現実には、特定のリスク要因については、組織も警戒して様々な吟味を行う仕組みがあり、それが「防御壁が多重に存在する」という意味である。だが、それでも穴は常に存在するから、それらが連続すると、危険物は防御壁を貫通して、事故という形で顕在化する。

例えば、筆者がかつて調査した救命救急センターでは、特定の薬剤に関しては何段階もの厳密な管理態勢が敷かれており、その数量については、2人の看護師が何段階かのチェックを行うという仕組みがあった。ところがある時、ある薬剤（アンプル）の数量が記録と一致しないという出来事があった。これだけ厳重な管理態勢を敷いているのに、そうした不一致が起こるということは、どこかに（ここでの言い方をすれば防御壁の）「穴」があることになる。というので、それが判明した日は、シニアの看護師を中心に、ほとんど関係者総出での大がかりな「捜査」になった。書類に記された、しばしば読み取りにくいサインを手がかりに立ち会ったスタッフを呼び出し、詳細な聞き取りが行われたのである。結果分かったことは、この薬剤はふたつで一セットになっているが、これを2個と数えるか、1個と数えるかで曖昧な点があり、一部のスタッフがそれを数え間違えたのである。一日かけてやっと一件落着となった。

何も機能しなかった安倍元首相の警護

ここでの教訓は、これだけ厳密に制度を作っても、どこに落とし穴があるかは事前には分からないという点である。同病院で関係する医療安全委員会の見学が許された時、様々な「ヒヤリ・ハット」ケース、つまり大きな事故には至らなかったが、ちょっと危なかったという事例の報告を聞くことができた。その中には、大事には至らなかったが、薬剤の誤処方や、患者の人違いといったケースが報告されていた。前者の薬剤に関しては、薬局における似たような名前の薬、例えばサイレースとセレネースがアイウエオ順ということで近傍に置かれているために間違いやすくなる、という指摘があった。また後者では、患者本人に名前を確認しても、手術前で動転しているために、間違った名前で呼ばれてもハイと答えてしまう場合もあるということが分かった。こちらは、患者自身に自分の名前を言ってもらうという形に改めることで、こうしたリスクを防止しようとしていたのである。

こうした防御壁とその穴、それを貫通することによる組織事故という観点からいうと、今回の安倍元首相殺害事件は、まさに組織事故の典型のような事例である。筆者は要人警護の専門家ではないが、既に指摘されている多くの専門的コメントを読むと、機能すべき多重の防御壁がほとんど何も機能していなかったという印象を受ける。講演者の背後に警護の死角を作らない、不信な動きに瞬時に反応する、あるいは異常時には身を挺して要人を守る、といったいわば現場での基礎的な防御壁が、何も機能していなかったようなのである。またサイバーセキュリティを研究している知り合いの院生が指摘したように、これが単独犯ではなく、複数犯による計画（例えば爆弾テロ）だったとしたら、事件後の対応も全く不十分だったという。つまりもう一つ必要な防御壁も機能していなかったのである。

警護の失態は「気のゆるみ」で片付くものではない

技術的なリスクが高いが、低い事故率を誇っているような組織についての研究成果を概観した経営学者のワイク（K.Weick）は、安全を「ダイナミックな無風状態」という面白い言い方で表現している。安全は一見無風状態に見えるが、それは水面下のダイナミックな努力の「結果」であって、原因ではない。しかし現実には、この取り違えは頻繁に起こる。何も起こらない状態が続くと、こうしたダイナミックな努力がなくても、そうした無風状態が持続できるという錯覚が起きる。インフラの安定稼働時には、たいていのユーザーがその補修やメンテナンスには全く興味を持たないというのと同じである。

前に「インフラ美学」のすすめでも紹介したように、STS研究者のスター（S.L.Star）は、インフラは壊れた時にのみその存在が可視化すると指摘している。同様に、防御壁は、それが機能しない時に初めてその機能不全が顕在化する。だがその機能不全の根が想像以上に深いことがあるのは、チャレンジャー号爆発事故の原因が単にOリングの劣化という点に留まらず、それを放置した組織全体にかかわる問題だったというケースを見ても明らかである。また病院でのヒヤリ・ハット事例が示すように、そうした事故は、見えない誤差や瑕疵の長時間の累積を露わにするものなのである。

我々が目撃した大事件は、さまざまな要因の複雑な累積の結果生じたものだろう。これは単に要人警護における気のゆるみといった表面的な問題だけでなく、さまざまな分野に波及する深刻な組織論的問題を含んでいる可能性があるのだ。

参考文献
塩沢由典(1998) 『市場の秩序学』筑摩書房
福島真人(2022)『学習の生態学－実験、リスク、高信頼性』筑摩書房
J・G・マーチ、J・P・オルセン　遠田雄志、アリソン・ユング 訳(1986)『組織におけるあいまいさと決定』有斐閣
ジェームズ・リーズン(1999)『組織事故－起こるべくして起こる事故からの脱出』日科技連出版社
カール・E. ワイク、キャスリーン・M. サトクリフ(2002)『不確実性のマネジメント―危機を事前に防ぐマインドとシステムを構築する』ダイヤモンド
Vaughan, D. (1996) The challenger launch decision : risky technology, culture, and deviance at NASA, University of Chicago Press.