[ Home > 電気製品の EMC／安全適合性 > EMC+Compliance Journal より ]
翻訳: T.Sato
安全工学の世界では、 より良く知っているべき筈の最上級の行政官や当局規制者からさえも、 しばしば次のように言われている： 「電磁干渉によって安全問題が引き起こされ得るという証拠は持っていない。」 彼らが伝えようとしていることは： 「従って問題はない。EMIはインシデントを引き起こさない。」
これは、政治家、役人、そしてその他の人々が、 実在よりも知覚が重要な人に対して良く用いている、 虚偽の「証明の不在は不在の証明」の論拠の一例である。 この短い記事の目的は、それに出会った時、 このタイプの偽りの論拠を認識し、反撃できるようにすることである。
この誤った論拠は、一見した時にはその正当性を考えないほど自明に見えるので、 しばしば用いられ、あるいは受け入れられている。 だが、安全工学においては厳しい物理的現実を考慮しなければならないので、 全て大丈夫だという暖かくてふわふわとした感覚を与え、あるいは コストの節約を正当化するように思えるのでそれを信じたい場合にも、 誤った陳述と偽りの論拠 ――これと同様の―― を認識できなければならない。
「証明の不在は不在の証明ではない」と最初に書いたのは、 William Cowper (1731 - 1800) であった [5]。 残念ながら、200年後でさえも、より良く知っていると我々が信頼する人々が、 依然としてこの基本的な過ちをおかしている。
この論拠における単純な過ちは、その陳述を行なった人々は 実際に何らかの証拠を見付けようとしたという暗黙の仮定である。 我々は彼らは自分が喋っていることについて知っているものと仮定するが、 往々にしてそうではない。 はっきりとした問題が見付かったと誰も言わなかったというだけで、 問題は存在し得ないことを意味するかのように我々に伝えようとする。
従って、そのコツは、誰かが「証明の不在」の論拠を用いようとした時、 単に、不在の証拠の主張のために どのような実際の根拠を持っているのかを尋ねることである。 ほとんど全ての場合、彼らの答えは、徹底的な調査の試みがなかったことを、 往々にして調査が全く行なわれなかったことを、明らかにするであろう。 その証拠がないのは、誰も何も見なかったからである！ 勿論、証拠が何もないことは何も証明できず、 William Cowper が 200年以上前にそうしたように、 「証明の不在は不在の証明ではない」と言うことができる。
時には、その返事は、調査が行なわれたというものである。
だが、大抵は、 それは非常に徹底的なものではなかったことがわかるであろうから、 「ああ、調査したよ」のような返事にだまされず、 その手法と得られた生データを見せるように頼む。 実際のデータ (技術者が集めた) によって否定されているにもかかわらず、 特に問題の証拠はなかったとその結論 (役人が書いた) で言明されている 政府のレポートを見たことがある！ 「証明の不在」の論拠は虚偽であり、 これはトップの安全専門家に良く知られており、 以下にそのいくつかを引用する。 Henry Petrowski 教授は、 その設計の不備が最終的に莫大なコストとともに明らかになるまで 適切であると「知られていた」工学的テクニックのいくつかの現実の例を、 New Scientist [6] に書いている。
彼は「成功はしばしば設計の潜在的な不備を隠す。 その不備が検出されない、あるいはその兆候が無視される期間が長くなると、 その見かけ上成功したシステムが、そのように見え、 またそのように主張される傾向が強くなる。」 と [6] に書いている。 これは、「使用実績による証明」として知られている、 安全への真の影響とは無関係にコストを節約するという、 もう１つのありふれた管理方針の偽りを暴露する。 これは19世紀には受け入れられるルールであったかも知れないが、 我々の現代的な、複雑な電子時代では、 それは虚偽の「証明の不在は不在の証明」の論拠のもう１つの変種に過ぎない。
Petrowski教授の例の１つは、彼が次のように言っている [6]、 スペースシャトル・コロンビアの悲劇である： 「2003年まで、スペースシャトルの発射のほとんど全ては、 外部タンクからの断熱材の脱落を伴っていた。 これが宇宙機に顕著な損傷を引き起こさなかったという事実は、 その種の事象を飛行を中止させないもののカテゴリーに入れた。」
「コロンビアが一方の翼の先端に致命的な裂け目を生じた時、全てが変わった。 断熱材の脱落は通常の運用の一部となっていたので、 コロンビアは2003年2月に再突入が許可される前に充分に検査されなかった。 一部の『慎重過ぎる』技術者がNASAに警告しようとしていたことを、 その劇的な失敗のみが議論の余地なく明らかにした。」
発射の際にスペースシャトルに当たった断熱材のかたまりが 問題を引き起こしたという証拠はなかったので、 NASAのマネジメントは、これは スペースシャトルの設計に問題がなかったことを「証明」したと仮定していた。 スペースシャトルの設計は「使用実績により証明済み」とみなされたので、 彼らは適切な調査を行なう手間はかけなかった。 だが、実際にいくらかの調査を行なう手間をかけた時 (勿論、コロンビアの悲劇の後で)、 その非常に脆い耐熱タイルに当たった断熱材が 実際に破局を引き起こし得たことを見出した。
[6] は次のように結んでいる： 「技術の暗がりやブラックボックスに潜む失敗の可能性を知ることが 公衆の関心事となっており、この事実を強く意識し続けることが、 設計、建造、そして規制に関係する全ての者の義務である。 工学的失敗について偏執的になるべきではないが、 作られたものについての健全な懐疑主義、 そして見かけ上の成功が目前の失敗を隠し得ることに気付くことは、 これらの構造の状況を、それを用いる人々の安全が誰の手にあるかを 関係者に常に知らせる筈である。」 この記事の最初のドラフトは、 「証明の不在」の論拠のヘルスケア産業における使用についての、 私のいくつかの経験を含んでいた。 製造物責任の裁判について私が最近読んだものは、 彼らはそれよりも良く知らず、弁護士、判事、そして陪審員が 「証明の不在は不在の証明」と「使用実績による証明」の論拠を受け入れる 傾向があるので、法律が必要な罰を与えていないことを明らかにする。 残念ながら、その記事は大き過ぎたので、切り詰めなければならなかった。
「証明の不在は不在の証明を意味する」 のタイプの論拠の背後にある虚偽を理解することで、 曖昧な政治家、役人、そしてマネージャを非常に速やかに見抜くことができ、 そのような人々がそのように主張する時に しっかりとした、本物の、そして意味のあるどのような証拠を持っているかを 尋ねないメディアレポータに悩まされるようになる。
人々が「証明の不在」の論拠の致命的な不備を理解し、 それでもそれを使う時、彼らは我々の知覚を操作しようとしている。 「ぺてん師」は、そのような人々のあまり上品でない説明である。 人々がそのような論拠を用いる時に 自分が言っていることを本当に信じている場合、 それはほぼ同程度に信頼される筈である。
「証明の不在は不在の証明を意味する」の論拠の虚偽を理解すると、 ハイテクの製品やシステムを それらが充分に安全であるように設計しようとする時、 代わりに何をすべきかという疑問が生じる。
製品やシステムを安全にするためには IEC/EN 60950 や IEC/EN 61010-1 やその他の多くの公表された安全規格の １つを適用することだけが必要であると考えたならば、 安全工学の理解をより深い、最新のものとする必要がある。
これらの安全規格のほとんど全ては、 リスクマネジメントのアプローチが必要となる、 誤動作に伴う安全上のリスクを特にカバーしていない。 大抵は、感電や火災のような基本的な安全の問題を扱うだけである。
電子デバイスは時とともに複雑化しており、 それらが組み込まれているモジュールやユニット、 そしてそれらが走らせるソフトウェアも複雑化しており、 システムを作るための機器の相互接続が増加し、 「システムのシステム」を作るためのシステムの相互接続が増加しているので、 電子技術が許容できない安全上のリスクを生じないことを確かとする困難は 指数的に増大している。
この複雑さの増大は、用いられる安全工学テクニックが充分に良く働き、 将来も同様に良く働き続けると、無条件で仮定すべきでないことを意味する。
技術が変化した時、過去の経験が将来の良いガイドとなるとは限らない。
だが、電子工学においては、技術は変化し続けている。 従って、「証明の不在」の論拠が 実際の適切なデータに正しく基づいているとしても、 新しい技術と複雑さの増大のため、 次のプロジェクトでもそうであるとは限らない。
例えば、自動車安全の現在の発展の１つは、車両が問題を起こした時、 カーブの向こうにいる、あるいは霧の中にいるために その問題を見ることができない接近する車両の速度を自動的に制御する、 車両間ワイヤレス通信の使用である。 これは複雑なシステムのシステムであり、 車は消費者向け製品であるので、最低のコストの技術を用いるだろう。 心配？ そうだろう！ 複雑なデバイス、機器、そしてシステムに対処するために必要な手法は 安全リスクマネジメントとして知られており、 これについてはそのマーフィーの法則との関係 ――そしてその背後にある工学的現実―― も議論する将来の記事で書こうと思う。
とりあえずは、上の話題に関係する、 さらに数人の安全専門家からの引用を示しておくことにする。
[7] から： 「新しい技術は、我々のシステムに未知のものを、 そして未知の未知さえをももたらす。」 「我々は、もはや商業的な、あるいは科学的な使用の前に その潜在的な挙動とリスク全てを理解するために システムや設計を慎重に試験するという贅沢を持たない。」 ‥‥ 「デジタル技術は工学のほとんどの分野で静かな革命を起こしたが、 システム工学とシステム安全工学技術は歩調を揃えていない。 デジタルシステムは、 アクシデントの性質を変える新たな『故障モード』をもたらす。 個々のコンポーネント故障に対抗するためのコンポーネントの複製 (すなわち冗長化) のような、 電気機械コンポーネントで働いたアプローチの多くは、 デジタルシステムやソフトウェアの使用によって生じるアクシデントの 制御のためには不充分である。」 ‥‥ 「この状況は新しいものではない： 歴史を通じて、発明と新しい技術は科学的基盤と工学的知識に先行するが、 その結果は常に科学と工学が追い付くまでの リスクとアクシデントの増大であった。」
[8] から、もう少し学術的な言い方で： 「暗黙のうちに、安全工学は、確率が、 確率論的モデルによって特徴付けられる偶然の不確定性、 すなわち『ランダム性』を反映することを仮定する。 さらに、暗黙的に、過去の故障の挙動が将来の良い予測となる、 エルゴード性を仮定する。‥‥ だが、多くの場合、知識的な不確定性、 すなわちシステムや確率論的モデルの不完全な知識に直面する。 言い替えると、我々は、その確率密度関数(PDF)の形状を、 あるいはその平均値さえも知らない。」
[2] "Functional Safety Requires Much More Than EMC Testing", Keith Armstrong, EMC-Europe 2004 (6th International Symposium on EMC), Eindhoven, The Netherlands, September 6-10 2004, ISBN: 90-6144-990-1, pp 348-353.
[3] "EMC in Safety Cases \u2014 Why EMC Testing is Never Enough", Keith Armstrong, EMC-UK 2007 conference, Newbury, UK, Defence & Avionics session, Wednesday 17th October 2007.
[4] "Why EMC Immunity Testing is Inadequate for Functional Safety", Keith Armstrong, 2008 IEEE International EMC Symposium, Detroit, USA, August 18-22 2008, ISBN 978-1-4244-1699-8. A longer version of this paper is being serialised in five parts by Automotive Design Europe, www.automotivedesign-europe.com.
[5] Antony Anderson, presentation to the 20th Conference of the Society of Expert Witnesses, Alexander House, Wroughton, 16th May 2008, www.sew.org.uk. Antony is a forensic engineer and expert witness, antony.anderson@onyxnet.co.uk.
[6] "When Failure Strikes", Henry Petrowski (Alexandar S. Vesic Professor of Civil Engineering and a Professor of History at Duke University, NC, USA) New Scientist, 29 July 2006, page 20. Also at: http://www.newscientist.com/channel/opinion/mg19125625.600-the-success-that-allows-failure-to-strike.html.
[7] "A New Accident Model for Engineering Safer Systems", Nancy Leveson (Professor of Aeronautics ands Astronautics, Massachusetts Institute of Technology, MIT, Boston, USA), Safety Science, Vol.42, No.4, April 2004, pp.237-270, http://sunnyday.mit.edu/accidents/safetyscience-single.pdf. Ms Leveson's biography is at http://sunnyday.mit.edu.
[8] "Risk, Uncertainty, Software and Professional Ethics", John McDermid (Professor of Safety Engineering at the University of York, Head of the Department of Computer Science, Head of the High Integrity Systems Engineering Group, and an Independent Safety Assessor), Safety-Critical Systems Club Newsletter, January 2008, Volume 17 No.2, pp 5-8, http://www.safety-club.org.uk/main.html?opt=Publications
これは、EMC+Compliance Journal に掲載された記事を、 その許諾を得て T. Sato が翻訳したものです。 この翻訳については、原著者らはいかなる責任も持ちません。 これについての意見、質問などは VEF00200@nifty.com (T.Sato) 宛にお送り下さい。
Last update: 2009-05-02