明治大学理工学部機械工学科(兼 )大学院安全学専攻

杉本　旭

安全の真髄～世界に通用する安全の技術規格を作る～

平成２３年明治・長岡共同講演会

2011年 12月23日

迷宮入り／迷宮入り直前の災害原因調査（１）

○ロボットローダーによる挟まれ死亡事故

○NC型天井走行ロボットの挟まれ死亡事故

○自動倉庫のリミットスイッチ異常による暴走事故

○ケーソン工事中の潤滑油燃焼によるガス中毒

○東京湾岸工事コンクリートミキサーによる二人死亡事故

○900トン液圧プレスの不意起動による二人死亡の事故

○焼成炉爆発事故

○トンネル工事（山形県）でのメタン放出による爆発 火災･　　赤字は、国際規格の安全原則を適用すれば防げる事故

2

事故は、責任を伴う安全は、事故の責任を事前の責任で果たす

正当な安全は、不慮の結果（ accident）の被害者と加害者の両方を助ける

安全の共通の原理

○ボイラー煙道中爆発事故

○プラスティック廃棄物リサイクルプラント火災

○製麺機の刃の不意の回転事故

○CNC旋盤のノイズ暴走による死亡事故

○ゴミのパック用プレスのドアスイッチ異常による重

症事故

○原子力プラント事故（アスファルト火災、他 )

○自動車のデジタル化に伴う暴走事故

○その他

迷宮入り／迷宮入り直前の災害原因調査（２）

3

モノづくりには、安全の原理が存在する

安全の第一義的責任（計画責任）はトップにある

技術者はトップの責任に安全の原理を以て応える責任がある

Responsibility

労働者は、残る危険性について、説明を受ける権利がある。

Accountability

4

計画の安全（責任）マネジメント（リスクの安全）

事前の安全（責任）設計者、インテグレータ

・機械・システム・工程の設計

使用の安全（責任）（安全作業、保全、非常停止）

事後の責任（保険・救済、見直し）

P

A

C

D

Risk-based safety

安全を計画し

安全を準備し

安全を実行し

安全を反省する

計画反省

実行 : Design ：Control-base safetySafety of use 安全の設計原則

リスク

危険側故障

ヒューマンエラー

Accident

安全は、正しいクローズドシステムPDCA

許容リスク

安全確認の原理（安全の設計原則）

★危険を伴う行為：　　　安全確認⇒運転 OK　　　　　安全が確認できない（不安）⇒運転を停止する　　　　★安全装置（安全確認用センサ）はフェールセーフとする　　（安全装置の正常性は、危険 /故障⇒機械の運転停止）

○安全は確認して、改めて「安全」と認められる

○安全が確認できないとき（不安）、危険と見なす

不安→「危険」とみなす→ 徹底して賭けを回避する

5

賭けなし 賭けな

し

なぜ、「賭けなし ! 」：State of artとしての不確定 (Accident）が最後に残るから

安全には、最高度の努力（ Best effort）と最高度の成果（ State of the art）があって、不慮の結果 Accidentが受け入れられる

「安全確認→運転 OK 」の原則

安全は、最高度のクローズドシステム

機械の運転

人間 ・ 機械

安全のとき

安全が確認できないとき　（停止安全）

図１　「止まる安全」の確保　　　（「止まる」で保障される安全は確定論）

（確認安全）

停止無条件安全 ( 確定論 )

合目的的安全（確定論 )

賭けをしない⇒徹底的に安全確認

安全は確認すること

安全は止まること

6

危険側障害

安全側障害

故　障

図１ 安全側と危険側の障害

(Fault)

停止

(Failure to danger)

フェールセーフシステム

(Safe condition)

7

安全装置は、故障しない（信頼性の追求： Best-effort）　　　　　　　　　　　　　さらに故障しても、安全側（安全性の追求： State of the art)　　　

危険側故障は、許されない

安全の裏の原理：危険側故障を人間に押し付けない

多重系 (redundancy) も多様系(diversity）も危険側故障は防げない。

混迷する日本のモノづくり

8

電気洗濯機（脱水槽）による指切断事故に注意

平成 20年 9月 10日

電気洗濯機を使用している際、洗濯・脱水槽が完全に停止する前に洗濯物を取り出そうとして、衣類に指に絡まり、指を切断する事故が発生していること受け、経産省では、電気洗濯機の脱水槽を使用するに当たっては十分に注意するとともに、脱水中に蓋をあけても 15 秒以内に脱水槽が停止しない場合には、早急に修理を依頼するよう求めている。

9

危険側故障の問題をユーザに委ねている

図 11　電気系停止に基づく洗濯機と機械系停止確認に基づく洗濯機

(a)日本式電気洗濯機蓋を開くと洗濯機は停止して蓋内部で作業ができる。蓋を閉じると可動部を動かすことができる。(インターロック付ガード： (ISO12100-1)(保障：蓋を開けると停止する＝前提：故障を許さない）

(b) 欧州要求の電気洗濯機蓋内部の可動部が停止すると内部で錠が解錠され、蓋を開けることができる。蓋を閉じると洗濯機を起動することができる。( 施錠式インタトック付ガード： ISO12100-1)(保障：停止なしでは開かない、また開けなくてもよい

危険側故障：「賭け」を含む

安全側故障：「賭け」を含まない10

欧州式：止まらないとカバーが開かない。　　

図　リスク評価による安全対策のカテゴリーの設定

危険性のカテゴリー

安全対策のカテゴリー

安全対策の性能評価リスク分析の結果

災害回避の困難性Ｐ

I

II

III

VI

V

Ｎ

Ｎ

( Ｎ ) Ｎ

Ｎ

Ｎ

Ｍ+

Ｍ-

ab

c

d

e

開始点

（危険源）

Ｓ 1（軽傷）

Ｆ 1

頻度

Ｐ 1( 小 )

Ｐ 2(大 )Ｓ 2

（重傷）Ｆ 2

（頻繁）

（希）

傷害のひどさＳ

Ｐ 2(大 )

Ｐ 1( 小 )

Ｆ

Ｂ １ ２ ３ ４

リスクグラフ法による安全カテゴリーの選定

日本式の場合11

図　リスク評価による安全対策のカテゴリーの設定

危険性のカテゴリー

安全対策のカテゴリー

安全対策の性能評価リスク分析の結果

災害回避の困難性Ｐ

I

II

III

VI

V

Ｎ

Ｎ

( Ｎ ) Ｎ

Ｎ

Ｎ

Ｍ+

Ｍ-

ab

c

d

e

開始点（危険源）

Ｓ 1（軽傷）

Ｆ 1

頻度

Ｐ 1( 小 )

Ｐ 2(大 )Ｓ 2

（重傷）Ｆ 2

（頻繁）

（希）

傷害のひどさＳ

Ｐ 2(大 )

Ｐ 1( 小 )

Ｆ

Ｂ １ ２ ３ ４

リスクグラフ法による安全カテゴリーの選定

欧州式の場合

日本の洗濯機は欧米の 1000 倍危険

12

日本の洗濯機は危険側故障の責任を人間に押し付けている。

安全確認センサの条件：許可には誤りが許されない

運転命令

安　全判断

実行

（ａ）安全確認型インターロック

許可

（安全確認型センサ）

危　険判断

否定

（ｂ）危険検出型インターロック

（危険検出型センサ）

禁止運転命令

停止

安全確認型の故障→停止（安全側）

危険検出型の故障→実行（危険側：賭け）13

安全確認型と危険検出型との違いを見分けよ！

火災報知器は危険検出型の欠陥をもつ

火災報知機

煙、熱、温度、赤外線等を検知して「火災」を通報する。

危険検出型の欠点火事のセンサは、「火事」を通報できない。一緒に燃えているから

欠点を保全（人間）で保全 !!!

安全確認型（技術）に改善

グリ－ンランプの点滅

14

地震センサ各種

地震を検出してプラントを停止するシステムに、危険検出型の欠陥がない

か !!!加速度センサーで、 P/S 波を検出してマイコンで地震判断。設定加速度を任意に変更可能

危険検出型の欠点地震のセンサは、「地震」を通報できない。地震で壊れているから

欠点を保全（人間）で保全 !!!

安全確認型（技術）に改善

15

危険側故障を、人間に押し付けてはならない。

○JR 西日本脱線事故○東京ジョイポリス転落事故○森ビル自動ドア挟まれ事故○ブリジストン溶接作業による火災事故○耐震強度偽造問題○ナショナル石油温風器中毒事故○パロマ湯沸し器の一酸化中毒事故○ふじみ野園の幼児のプール事故○シンドラーエレベータ事故○幼児のシュレッダー事故○原発の臨界 トラブル隠し、データ捏造･○ジェットコースター事故○産業用ロボットの連続死亡事故○発火する家電製品、電気洗濯機の事故○蒟蒻ゼリーによる幼児死亡○中華航空那覇空港爆発炎上○エスカレータによる子供の事故、逆走事故○スピニング・コースター転落事故〇福島原発の ECCS 喪失、外洋への放射能汚染放出

日本のモノづくりに問われる「権威」

16

モノづくりの安全 (事前責任）は、マネジメント（計画の安全 :リスク）設計者（準備の安全：危険側故障）

使用者（実行の安全：ヒューマンエラー）衡平性（ Equity）の責任に委ねられる。

モノづくりには、安全の設計原理が存在する

安全確認→流通 OK　（欧州認証制度）これを無視すれば、グローバルな流通ができない

安全確認→運転 OK　（安全な機械の条件）これを無視すれば、機械が動かせない

　　　　　何かおかしい日本の安全　（１）

○氷河特急（スイス）、事故後 2日目にして運転再開 !!!○こんにゃくゼリーが、なぜ禁止できない？ ( 幼児の安全）　　欠陥なき危険物こそ、説明責任（警告）の責任と最高度の　　　　管理が必要。○エレベータは建築基準法、海外に輸出できない（リレベル）○小さくてもリスク、なぜ、敢えて安全・安心というのか。○欧米の（非懲罰）航空安全報告制度、米国毎年 3万件、　　欧州 4万件、危険→事故 accident( ﾘｿｰｽ )の共有、　　技術者間で共有。○同制度、日本では 40 件、事故の原因調査は責任追及。　　欧米では再発防止が目的

安全の原理・原則の欠如

18

驚き！スイス「氷河特急」の素早い運転再開？事故原因は？　　とても不思議なこと！！　スイスの観光列車「氷河特急」今月 23日に悲惨な事故を起こして、その原因究明もされないまま、 2日後の 25日、運転が再開された。 お国替われば……と言うが、まことに不思議としか言いようがない。日本じゃ、とても考えられない事である

スイス列車運行再開 戸惑いの声（ NHK7/26）

原因も責任も不明なまま、２日後に運転再開、なぜ

過失の運転士を助けてあげての雰囲気、なぜ案の定、有罪ながら、執行猶予付きの判決

　　　　　何かおかしい日本の安全　（２）

○最高の技術と品質、　　海外に受け入れられず（新幹線、原子力技術）○高品質を誇るわが国の自動車、認証するのはドイツ？○ハヤブサは技術者にとってロマンティックな成功ではダメ　　 ( 信頼性が最優先）

○サービスロボットのグローバルな産業化、足踏み状態〇個人当たり GDPが 19位 (2009年 ), 24位（ 2010年）〇日本の原発の稼働率 (65%)は、 IAEA加盟国の最低　　（アメリカ 90%、韓国 90%、フィンランド 98%)○日本は、なぜ、安全後進国といわれるのか。○世界に通用しないルールでモノを作るな !!!

日本はなぜ、安全後進国と言われるのか

http://k1fighter2.hp.infoseek.co.jp/hinkon/GDP_hitori.htm

日本の 1人当たりＧＤＰ、Ｇ７で最下位、ＯＥＣＤで 19位に転落 Populat.

Mio.Per.GDP/Person1Mio.US$(ND1004)

IMDRanking2010

1 Switzerland 7.5 65,344 42 Denmark 5.5 62,3173 Holland 16.5 52,690 124 Sweden 9.2 52,004 65 Finland 5.3 51,450 196 Austria 8.3 49,542 147 Australia 21.1 49,313 58 Belgium 10.6 47,582 259 USA 311.7 46,336 3

10 France 62 45,993 2411 Canada 33.3 45,087 712 Germany 82.3 44,442 1613 England 61.2 43,837 2214 Singapore 4.6 39,383 115 Italy 59.6 38,63616 Japan 127.7 38,271 2717 Spain 44.5 36,05218 Korea 48.1 19,296 2319 Taiwan 23 17,478 820 Czech 10.5 16,881 29

20NPO T.KabeⒸ 世界の動き2010　

21

世界の原発の稼働率アメリカ　　　１０４基　　９０％フランス　　　　６０基　　７５％日本　　　　　　５４基　　６５％韓国　　　　　　２８基　　９０％カナダ　　　　　１８基　　７５％フィンランド　　　５基　　９８％世界　　　　　５３１基

２０１０年、UAE向け受注競争、韓国に敗北（日米コンソシアム）

事例６　原子力プラント

図　緊急時の原子炉運転制御

図　原子炉の安全確認システム A

C

B1

B3B2止める

冷やす閉じ込める

止まる冷える

閉じ込まる

22

　　危険検出型：危険のとき頑張るActive safety(止める )

　　　安全確認型：危険のとき頑張らないPassive safety（止まる）

固有安全は世界の常識～ Inherent safety～

Inherent Characteristics :方向は安全側だが、状態は安全ではない

　反応材の温度効果　　　　　　　　　　　　　ボイドによる反応度　　　　　　　　　　　ドップラー効果　　　　　　　　　　　　　　　　　　　燃料の減少　　　　　　　　　　　　　　　 　燃料に伴うゼノン（Ｘｅ）の発生　　　 　　　　　　　　　　（全余剰反応度）

表 3.1　 110万 KW級 BWRの余剰反応度の補償

反応度の内訳　　　　　　　　　　　 反応度の大きさ（％⊿Ｋ）

５２１２３　　　（１３）　

石川、原子炉の暴走、日刊工業新聞社 ,p１７１

23

安全の大前提：想定される事故を想定通りに防ぐための知識体系（組織体系）

○事故は、責任を伴う。○事故は、経験に基づいて想定され、　 Riskによって予測され（計画ベース；マネジメント）　安全が設計され（ルールベース；設計者）　安全の限界が実行される（実行ベース；使用者）。○事前の責任 (安全）は知恵に求め、　　　　　　　知恵なき安全は事後の責任を負う。　　

安全の原理（思索１）

事故の結果責任を、　 ×事後責任（刑罰・倍賞）で取るか？　○事前の（安全）で取り、残りの責任　　　を保険（ Accident）でとる。

事後の責任を事前に取れ !!!　　　安全→（限界 Accident）→保険

時間

God調和と一致

（アプリオリ）

責任 Responsibility 何に「応答」？･･･

予測回避

法規制

応答Compliance

安全規格

応答

ISO/IEC認証

Accountability

CSR

応答Stewardship

事故

罰金，刑罰、賠償，補償，慰謝料不名誉，信頼喪失

結果責任(Responsibility)

応答

人間の社会的善（倫理 責任感）･

安全原理Equity

PLP PL

TOP

24

マネジメント (社会的責任）：Risk-based responsibility

安全は、事故の責任を事前にとること正当な保険設計者：

事後の責任を事前に取れ !!!　　　安全→（限界）→保険

事故

エネルギ

原因

Fig.スイスチーズ モデル･

事故は偶然が重なって起こる→事故

○事故はいくつかの要因が偶然につながって起きる○人の要因、設備の要因、環境の要因等からなる○偶然の重なりである限り、事故は予測できない○人のミス、機械の故障は防げないから絶対安全はない

起こった事故 Accidentは、予測が可能となる。

事故 Accidentは、 1回だけ許される。無責任な運転再開を許さない。

事故

エネルギ

原因

防護の欠陥の穴

運転要求

安全の条件

エネルギ

許可実行

適合の穴

１ ２ ３ ４(安全 )

ネガティブなスイスチーズモデル (事故）

ポジティブなスイスチーズモデル (安全）

運転要求

Fig.安全のスイスチーズ モデル･

○安全に偶然はない。 (事故 Accidentは偶然）○「安全」がすべてそろわない限り、運転は許可されない○事故は確率論（偶然）、安全は確定論（絶対安全）○安全は、想定された事故を想定の通り防ぐ

適合安全の条件 エネルギ

許可

実行

OKの穴

安全 OKが揃って→実行許可

１ ２ ３ ４Certification

ValidationVerificationConfirmation

( 改めて）安全確認の原理

★危険を伴う行為：　　　安全確認⇒運転 OK　　　　　安全が確認できない（不安）⇒運転を停止する　　　　★安全装置（安全確認用センサ）はフェールセーフとする　　（安全装置の正常性は、危険 /故障⇒機械の運転停止）

○安全は確認して、改めて「安全」と認められる

○安全が確認できないとき（不安）、危険と見なす

不安→「危険」とみなす→ 徹底して賭けを防ぐ

28

賭けなし 賭けな

し

最善であっても不確定 Accidentが残るだから、「最善」を受け入れる。

危険側の誤り (故障 )を使用者に押し付けない

図　受容リスクの条件（安全の定義）　　 Safety: Freedom from unacceptable risk　受容可能リスクとは、許容リスクと Accident

判断受容

　 Risk AccidentInsurance

許容リスク ALARP

Accidentの条件

事前責任 Responsibility

危険回避操作Human error

ﾏﾈｼﾞﾒﾝﾄ

設計者

使用者

Accepted

危険側故障を使用者に押し付けない

○”accident”には、社会的に共通の認識が存在する○被害者が受け入れる○消費者も被害も受け入れる○保険が救済を引き受ける○安全規格が標準化の対象として受け入れる○許容リスクを受容リスクとして受け入れる○認証機関が「認証」の判断基準として受け入れる○WTOが自由貿易の条件として受け入れる○安全工学が工学原則の前提として受け入れる○法令（広義の安全配慮技義務）が受け入れる○法令（労働安衛則）が、事業主の第一義的責任として認める○CSRは、事後の無責任から解放される条件として追及する○ジャーナリストは、逆に、 accidentでないと受け入れない○事故 accidentなら「赦す」は、安全文化も受け入れる

事故 accident( 「偶然」の意味あり）となれば：

○事故 accidentなら、～加害者と被害者との間で衡平 (equity）

～○事故ａｃｃｉｄｅｎｔなら、

～メーカーとユーザーの間で衡平 (equity)～

○事故 accidentなら、～保険による正当な救済・補償が適用～○「事故 accidentならば→許容」には、～広く、共通の認識が存在する～

安全に対する思考停止〇高信頼性（確率論）

〇行政による指示〇低リスク

○現場への責任依存

31

驚き！スイス「氷河特急」の素早い運転再開？事故原因は？　　とても不思議なこと！！　スイスの観光列車「氷河特急」今月 23日に悲惨な事故を起こして、その原因究明もされないまま、 2日後の 25日、運転が再開された。 お国替われば……と言うが、まことに不思議としか言いようがない。日本じゃ、とても考えられない事である

スイス列車運行再開 戸惑いの声（ NHK7/26）

原因も責任も不明なまま、２日後に運転再開、なぜ

過失の運転士を助けてあげての雰囲気、なぜ案の定、有罪ながら、執行猶予付きの判決事故 accidentの条件

○事故に対する事前の責任を果たすマネジメント○危険側故障を使用者に課さない設計○危険回避を引き受ける運転者

○事故を accidentと判断する第三者認証

Accidentの運転再開条件○安全確認→運転許可の条件に戻し、第三者認証から改めて安全確認を受ける。

(積極的）安全の原理

★機械の運転：　　　安全確認⇒運転 OK　　　　　安全が確認できない（不安）⇒停止

○安全は確認して、改めて「安全」と認められる

○安全が確認できないとき（不安）、危険と見なす

不安→徹底的に賭けを回避

32

「止まる安全」を最優先

○生産の原則｢止まる安全 →先手を打って止まらないようにする｣

もう一度「安全の原理」

「安全確認→運転 OK 」の条件を追及して、稼働率 UP

図　安全確認型システムの生産稼働率の変化

（ｂ）機械Ａの停止回数

（ａ）稼働率

92/4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8

59

24

38 39 38

50

2521

27

0 0 0 0 0 0 0０

１０

２０

３０

４０

５０

６０

月

92/4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 月

改善工事終了

キックオフ曲線

稼働率％

100

95

90

85

安全確認システム始動

停止

(

回／月

）

止めないでトラブル処理 不安で止める（賭けなし）

33

安全確認型システム導入の経緯と効果１． TQCの一環として トラブルの多い生産システムを優先し､て安全確

　　認型システム導入の対象とした．

２．周辺に徹底して固定ガード インターロックガードを設置し､た．イン　

　　ターロックガードには 欧州規格による､ 安全スイッチ、電磁

ロック式

　　ガード（停止確認センサ連動 )、カテゴリー 4の光線式安

全装置を

　　用いた．

３．トラブル処理のために作業者が進入する場合 システムの側､で強

　　制的に停止するようにした．

４．これまで小さなトラブルの処理は停止しないでやっていたので､　　改善後は 仕事がやり難い と不満があったが 慣れてくる､｢ ｣ ､と こ､　　れでないと安心して仕事ができないという風に変わった．

まず、安全に関する不安を解消

34

５．トラブル処理 ( 運転停止 )をコンピュータで監視し トラブル､に関

　　する情報を生産技術の側にフィードバックした．

６．改めて多くのシステムの不調が明らかになり 技術の側で一つ､一

　　つ改善を行った．

７．稼働率が低下し (93％→ 88％ )、その後 順調に改善され､( ４ヵ月

　　後に 88％→ 93％ )、最終的にはほとんど停止しなくなった

　　 (99.3％ )。

８．システムの運転速度を３０％向上させたので、経済的効果が大

　　きかった．

９．改善提案が９倍に増加した（機械側は停止、人間の側は停止阻

　　止の役割を分担）。

改めて、止まる不安に挑戦

改めて、生産性の向上

労働の質の向上

35

研究背景

一般的な安全の考え方

リスク安全

リスク安全は、小さな確率で起こる事故を受容する。

少なくとも致命的な事故だけは絶対に予測し回避する。

実行

原発安全の考え方

致命的な事故が含まれる（確率論）

確率 (リスク）に依らない制御安全（確率論）予測回避

原子力プラントの致命的事故が明らかに含まれる→固有安全（ inherent-safety）

臨界（ function）

目的制御

状態のinherency

intention

self-regulating characteristics (inherency)

(方向のinherency）

unintention 調整制御

実は、 quasi-safe condition

the-safe-condition　　　　（固有安定状態）

状態 ( 温度、圧力 )

時間

（調整制御）

０

超臨界

feedbackcontrol

（目的制御） function

selfregulating chara.

regulationcontrol

（禁止範囲）

制御棒

方向の inherency

(ECCS)

Se

Sc

Ex

（崩壊熱 /冷却）

（ the-quasi-safe-condition）

冷温安定

致命的事故

ベント（ドップラー効果）（ボイド効果）

＋－ 臨界中性子

＋

暴走－

ボイド効果

自己調整特性Self-regulating characteristic

Inherency

Inherently safe control

・調整制御（ regulation control）3つの Inherency

　・自己制御性（ self regulating characteristic）　・状態遷移の固有性 （ inherent driving

force ）　・安全状態での固有安定性 （ inherency ）以上で安全を考えるべきである。誤制御を抑える inherencyが重要である。冷温安定状態の問題 (quasi safe condition)

A. 安全性を向上させると効率が低下する。B. 規制を強化すると創意工夫がなくなる。C. 監視を強化すると士気が低下する。D. マニュアル化すると自主性を失う。E. フールプルーフは機能低下を招く。F. 責任をキーパーソンに集中すると、集団はばらばらとなる。G. 責任を厳密にすると事故隠しが起こる。H. 情報公開すると過度に保守的となる。

消極的安全から積極的安全へ～消極的安全とモラルハザード～

（原子力安全委員会 ウラン加工工場臨界事故調査委員会報告 Ⅷ 1999 年）

指摘された二律背反事項：

日本の安全は消極的安全 (いやいやの安全）

「安全確認→運転 OK 」は積極的安全

「安全確認→運転許可」の原則に基づく健全な安全状態を積極的に確保する制御を行う。

積極的安全：安全確保→高稼働率の達成

消極的安全から「積極的安全」へ

目的制御

inherency

intention

安全確認→運転許可に基づく運転許可条件の生成

危険 /不安調整制御

止まる安全

健全性維持（安全）

45

世界の原発の稼働率アメリカ　　　１０４基　　９０％フランス　　　　６０基　　７５％日本　　　　　　５４基　　６５％韓国　　　　　　２８基　　９０％カナダ　　　　　１８基　　７５％フィンランド　　　５基　　９８％世界　　　　　５３１基

２０１０年、UAE向け受注競争、韓国に敗北

（日米コンソシアム）

グローバル安全：「安全確認→運転 OK 」の条件を

徹底的に追求して稼働率 UP!!!

シンドラエレベータ事故第三者認証製品（ドイツ）、

どうなってるの？

46

責任所感・釈明

①Good engineering practice

④Certification②PLP(Duty-circle closed)

⑤Social benefit

③State-of-art

（シンドラーエレベーター社ホームページより）

47

① Good engineering practice

③ Certification

④ Social benefit

② State-of-art

⑤ Root-cause

PL Compensation

PLP (PL Prevention)

Society on Risk-based Safety

図１　事故の責任と釈明（シンドラーエレベータ社の例）

機能的最善

安全の技術的最善

グローバル認証

ベネフィット

再発防止

PLP ：設計者の事前責任

事後責任 PL

48

「シンドラー製のエレベータ、 3000台を調査したところ、 27台に修理が必要な故障が見つかりました。中には、扉が閉じているにもかかわらず、開いていると認識して動かなくなるような安全上問題となる故障も見つかりました。」

７月７日の夜７時のニュース

シンドラー社製エレベータの場合、扉が開いているにもかかわらず、閉じている（安全）と認識して動いてしまったために事故が発生したはずである。

～ NHKのこのニュースには、「安全側の故障」と「危険側の故障」の区別ができないという幼稚さに、報道関係者の無責任を感じざるを得ない～

50

失敗学は、〇失敗学は現実には結果責任に関わる衡平性が解けない。

安全学は、〇マネジメントは、事故を想定する。〇設計者は、想定された「事故」の安全を想定する。　つまり、物理学，科学、論理的に捉え、予測を可能とする。〇安全を確認できること。　つまり、安全の予測状態をあえて作り出すことができる。〇これには明らかに限界がある。　つまり、この限界を認め合うことができること。　つまり、事前の認証、妥当性確認が必要

失敗学から安全学へ

リスクアセスメントは、失敗学の普遍性を要求

安全に対する思考停止〇高信頼性（確率論）

〇行政による指示〇低リスク

○現場への責任依存

51

○エラーやニアミスを包み隠さず報告するような　　報告する文化○安全規則違反や不正安全行動を放置すること　なく罰すべき所は罰するような正義の文化○必要に応じて命令形態などを変えることができ　るような柔軟な文化○安全に関わる情報を学び取る学習する文化

J.Reason （組織事故）安全文化を有する組織の定義

Darmstadt工科大学　 Alfred Neudorfer博士は、長岡技大システム安全系客員教授でもあるが、彼は、次のように述べている。

安全の主役はあくまでも現場の労働者である。機械設計者は、彼らの安全な使用（ Safety of use)を助けるために事前に準備する立場である。彼らに安全な使用を求めるのは、設計によって全ての危険が取り除かれることはなく、安全な使用の条件を、設計者は、彼らに提示しなければならないからである。

機械安全では、設計で確保できなかった危険を、安全管理に委ねる。つまり、委ねられた危険の管理能力が前提である。日本は安全管理に特に優れた能力を持っている。 KYTは、設計で確保できなかった危険に対処する優れた安全管理手法である。我が国（ドイツ）では、日本と比べて安全管理が弱体であり、安全が設計に強く依存している。使用安全が十分当てにできないために、全体の安全レベルが抑えられているのである。

安全は、設計で残された危険を安全な使用でどのように対処できるかにかかっている。有能な安全管理部門を有する日本は、安全の先進国になるだろう。 10年後には、きっと、我が国（ドイツ）から多くの人が、日本に安全を学びに来ることになるでしょう。

事故 accident←責任 responsibility

被害者（労働者）

加害者（設計者）

事故→責任→ sanction

（合意／受容）→（事故）

経営者 (CSR ：安全マネージメント）

保険（偶然の事故）

自由貿易（グローバル安全：流通認証）

安全行政 (刑法、民法、行政法）

国民（安全文化）

理論なき実践は危うい、　　　　　　実践なき理論は空しい。

原理なき安全は、空しく、また危うい。

安全工学

53

************************************************杉本　旭　（すぎもと　のぼる） 明治大学大学院理工学研究科新領域創造専攻〒 214-8571 川崎市多摩区東三田 1-1-1電話 :044-934-7194Mail-to:sugmac@meiji.ac.jp

自宅　〒 184-0012　東京都小金井市中町 2-20-28-309Mail-to:maconobo@est.hi-ho.ne.jp************************************************

ご清聴ありがとうございました。

54