明治大学理工学部機械工学科 ( 兼 ) 大学院安全学専攻 杉本 旭

1. 2011年12月23日 平成２３年明治・長岡共同講演会 安全の真髄 ～世界に通用する安全の技術規格を作る～ 明治大学理工学部機械工学科 (兼)大学院安全学専攻 杉本　旭

2. 迷宮入り／迷宮入り直前の災害原因調査（１）迷宮入り／迷宮入り直前の災害原因調査（１） ○ロボットローダーによる挟まれ死亡事故 ○NC型天井走行ロボットの挟まれ死亡事故 ○自動倉庫のリミットスイッチ異常による暴走事故 ○ケーソン工事中の潤滑油燃焼によるガス中毒 ○東京湾岸工事コンクリートミキサーによる二人死亡事故 ○900トン液圧プレスの不意起動による二人死亡の事故 ○焼成炉爆発事故 ○トンネル工事（山形県）でのメタン放出による爆発･火災 　　赤字は、国際規格の安全原則を適用すれば防げる事故 事故は、責任を伴う 安全は、事故の責任を事前の責任で果たす 正当な安全は、不慮の結果（accident）の 被害者と加害者の両方を助ける 安全の共通の原理

3. 安全の第一義的責任（計画責任）は トップにある 迷宮入り／迷宮入り直前の災害原因調査（２） ○ボイラー煙道中爆発事故 ○プラスティック廃棄物リサイクルプラント火災 ○製麺機の刃の不意の回転事故 ○CNC旋盤のノイズ暴走による死亡事故 ○ゴミのパック用プレスのドアスイッチ異常による重症事故 ○原子力プラント事故（アスファルト火災、他) ○自動車のデジタル化に伴う暴走事故 ○その他 技術者はトップの責任に 安全の原理を以て応える責任がある Responsibility 労働者は、残る危険性について、 説明を受ける権利がある。 Accountability モノづくりには、安全の原理が存在する

4. 計画の安全（責任） マネジメント（リスクの安全） 安全を計画し Risk-based safety 許容リスク リスク P 計画 反省 安全は、正しいクローズドシステム PDCA 事前の安全（責任） 設計者、インテグレータ ・機械・システム・工程の設計 事後の責任 （保険・救済、見直し） A 安全を準備し D 安全を反省する Accident 危険側故障 Design： 実行: C Control-base safety Safety of use 安全の設計原則 使用の安全（責任） （安全作業、保全、非常停止） 安全を実行し ヒューマンエラー

5. 安全確認の原理 （安全の設計原則） 「安全確認→運転OK」の原則 ○安全は確認して、改めて「安全」と認められる ○安全が確認できないとき（不安）、危険と見なす 不安→「危険」とみなす →徹底して賭けを回避する 安全は、最高度のクローズドシステム なぜ、「賭けなし!」： State of artとしての不確定(Accident）が最後に残るから 賭けなし ★危険を伴う行為： 　　　安全確認⇒運転OK 　　　安全が確認できない（不安）⇒運転を停止する ★安全装置（安全確認用センサ）はフェールセーフとする 　　（安全装置の正常性は、危険/故障⇒機械の運転停止） 賭けなし 安全には、最高度の努力（Best effort）と 最高度の成果（State of the art）があって、 不慮の結果Accidentが受け入れられる

6. 安全のとき （確認安全） 機械の運転 人間 ・ 機械 安全が確認できないとき 　（停止安全） 停止 安全は 確認すること 安全は 止まること 図１　「止まる安全」の確保 　　　（「止まる」で保障される安全は確定論） 賭けをしない⇒徹底的に安全確認 合目的的安全（確定論) 無条件安全(確定論)

7. 危険側障害 (Failure to danger) 故　障 フェールセーフシステム (Fault) 安全側障害 (Safe condition) 停止 図１安全側と危険側の障害 危険側故障は、許されない 安全の裏の原理： 危険側故障を人間に押し付けない 多重系(redundancy)も多様系(diversity）も危険側故障は防げない。 安全装置は、故障しない（信頼性の追求：Best-effort） 　　　　　　　　　　　　　さらに 故障しても、安全側（安全性の追求：State of the art)

8. 日本製がシンガポールに輸出できない 混迷する日本のモノづくり 設計の一般原則の欠如

9. 平成20年9月10日 電気洗濯機（脱水槽）による指切断事故に注意 電気洗濯機を使用している際、洗濯・脱水槽が完全に停止 する前に洗濯物を取り出そうとして、衣類に指に絡まり、指を 切断する事故が発生していること受け、経産省では、電気洗 濯機の脱水槽を使用するに当たっては十分に注意するととも に、脱水中に蓋をあけても15秒以内に脱水槽が停止しない場 合には、早急に修理を依頼するよう求めている。 危険側故障の問題をユーザに委ねている

10. 欧州式： 止まらないとカバーが開かない。　　 • 日本式電気洗濯機 • 蓋を開くと洗濯機は停止して蓋内部で作業ができる。 • 蓋を閉じると可動部を動かすことができる。 • (インターロック付ガード：(ISO12100-1) • (保障：蓋を開けると停止する＝前提：故障を許さない） 危険側故障：「賭け」を含む (b) 欧州要求の電気洗濯機 蓋内部の可動部が停止すると内部で錠が解錠され、 蓋を開けることができる。蓋を閉じると洗濯機を起 動することができる。 (施錠式インタトック付ガード：ISO12100-1) (保障：停止なしでは開かない、また開けなくてもよい 安全側故障：「賭け」を含まない 図11　電気系停止に基づく洗濯機と機械系停止確認に基づく洗濯機

11. リスクグラフ法による安全カテゴリーの選定 安全対策の性能評価 リスク分析の結果 安全対策のカテゴリー 危険性のカテゴリー ４ Ｂ １ ２ ３ a Ｓ1（軽傷） Ｎ I + Ｍ b Ｐ1(小) 開始点 II Ｎ Ｆ1 （希） c Ｐ2(大) （危険源） III (Ｎ) Ｎ Ｓ2 d Ｐ1(小) （重傷） Ｎ VI Ｆ2 e Ｐ2(大) （頻繁） Ｎ V 傷害のひどさ - Ｓ Ｍ 頻度 日本式の場合 災害回避の困難性 Ｆ Ｐ 図　リスク評価による安全対策のカテゴリーの設定

12. リスクグラフ法による安全カテゴリーの選定 安全対策の性能評価 リスク分析の結果 日本の洗濯機は欧米の1000倍危険 安全対策のカテゴリー 危険性のカテゴリー ４ Ｂ １ ２ ３ a Ｓ1（軽傷） Ｎ I + Ｍ b 開始点 Ｐ1(小) II Ｎ Ｆ1 （希） 日本の洗濯機は危険側故障の責任を 人間に押し付けている。 c Ｐ2(大) （危険源） III (Ｎ) Ｎ Ｓ2 d Ｐ1(小) （重傷） Ｎ VI Ｆ2 e Ｐ2(大) （頻繁） Ｎ V 傷害のひどさ - Ｓ Ｍ 頻度 欧州式の場合 災害回避の困難性 Ｆ Ｐ 図　リスク評価による安全対策のカテゴリーの設定

13. 安全確認型と危険検出型との違いを見分けよ！安全確認型と危険検出型との違いを見分けよ！ 運転命令 判断 許可 安　全 実行 （安全確認型センサ） （ａ）安全確認型インターロック 安全確認型の故障→停止（安全側） 運転命令 判断 禁止 危　険 停止 （危険検出型センサ） 否定 危険検出型の故障→実行（危険側：賭け） （ｂ）危険検出型インターロック 安全確認センサの条件：許可には誤りが許されない

14. 火災報知器は危険検出型の欠陥をもつ 煙、熱、温度、赤外線等を 検知して「火災」を通報する。 グリ－ンランプの点滅 危険検出型の欠点 火事のセンサは、「火事」を通報で きない。一緒に燃えているから 火災報知機 安全確認型（技術）に改善 欠点を保全（人間）で保全!!!

15. 地震を検出してプラントを停止するシステムに、危険検出型の欠陥がないか!!!地震を検出してプラントを停止するシステムに、危険検出型の欠陥がないか!!! 加速度センサーで、P/S波を検 出してマイコンで地震判断。 設定加速度を任意に変更可能 危険検出型の欠点 地震のセンサは、「地震」を通報で きない。地震で壊れているから 地震センサ各種 危険側故障を、人間に押し付けてはならない。 安全確認型（技術）に改善 欠点を保全（人間）で保全!!!

16. 日本のモノづくりに問われる「権威」 モノづくりの安全(事前責任）は、 マネジメント（計画の安全:リスク） 設計者（準備の安全：危険側故障） 使用者（実行の安全：ヒューマンエラー） 衡平性（Equity）の責任に委ねられる。 ○JR西日本脱線事故 ○東京ジョイポリス転落事故 ○森ビル自動ドア挟まれ事故 ○ブリジストン溶接作業による火災事故 ○耐震強度偽造問題 ○ナショナル石油温風器中毒事故 ○パロマ湯沸し器の一酸化中毒事故 ○ふじみ野園の幼児のプール事故 ○シンドラーエレベータ事故 ○幼児のシュレッダー事故 ○原発の臨界･トラブル隠し、データ捏造 ○ジェットコースター事故 ○産業用ロボットの連続死亡事故 ○発火する家電製品、電気洗濯機の事故 ○蒟蒻ゼリーによる幼児死亡 ○中華航空那覇空港爆発炎上 ○エスカレータによる子供の事故、逆走事故 ○スピニング・コースター転落事故 〇福島原発のECCS喪失、外洋への放射能汚染放出 モノづくりには、安全の設計原理が存在する 安全確認→流通OK　（欧州認証制度） これを無視すれば、グローバルな流通ができない 安全確認→運転OK　（安全な機械の条件） これを無視すれば、機械が動かせない

17. 　　　　　何かおかしい日本の安全　（１） ○氷河特急（スイス）、事故後2日目にして運転再開!!! ○こんにゃくゼリーが、なぜ禁止できない？(幼児の安全） 　　欠陥なき危険物こそ、説明責任（警告）の責任と最高度の　　 　　管理が必要。 ○エレベータは建築基準法、海外に輸出できない（リレベル） ○小さくてもリスク、なぜ、敢えて安全・安心というのか。 ○欧米の（非懲罰）航空安全報告制度、米国毎年3万件、 　　欧州4万件、危険→事故accident(ﾘｿｰｽ)の共有、 　　技術者間で共有。 ○同制度、日本では40件、事故の原因調査は責任追及。 　　欧米では再発防止が目的 安全の原理・原則の欠如

18. 原因も責任も不明なまま、２日後に運転再開、なぜ原因も責任も不明なまま、２日後に運転再開、なぜ スイス列車運行再開 戸惑いの声（NHK7/26） 過失の運転士を助けてあげての雰囲気、なぜ 驚き！スイス「氷河特急」の素早い運転再開？事故原因は？　　 とても不思議なこと！！ スイスの観光列車「氷河特急」今月23日に悲惨な事故を起こして、その原因究明もされないまま、2日後の25日、運転が再開された。 お国替われば……と言うが、まことに不思議としか言いようがない。日本じゃ、とても考えられない事である 案の定、有罪ながら、執行猶予付きの判決

19. 　　　　　何かおかしい日本の安全　（２） ○最高の技術と品質、 　　海外に受け入れられず（新幹線、原子力技術） ○高品質を誇るわが国の自動車、認証するのはドイツ？ ○ハヤブサは技術者にとってロマンティックな成功ではダメ (信頼性が最優先） ○サービスロボットのグローバルな産業化、足踏み状態 〇個人当たりGDPが19位(2009年),24位（2010年） 〇日本の原発の稼働率(65%)は、IAEA加盟国の最低 　　（アメリカ90%、韓国90%、フィンランド98%) ○日本は、なぜ、安全後進国といわれるのか。 ○世界に通用しないルールでモノを作るな!!! 日本はなぜ、安全後進国と言われるのか

20. 日本の1人当たりＧＤＰ、Ｇ７で最下位、ＯＥＣＤで19位に転落日本の1人当たりＧＤＰ、Ｇ７で最下位、ＯＥＣＤで19位に転落 http://k1fighter2.hp.infoseek.co.jp/hinkon/GDP_hitori.htm

21. 世界の原発の稼働率 アメリカ　　　１０４基　　９０％ フランス　　　　６０基　　７５％ 日本　　　　　　５４基　　６５％ 韓国　　　　　　２８基　　９０％ カナダ　　　　　１８基　　７５％ フィンランド　　　５基　　９８％ 世界　　　　　５３１基 ２０１０年、 UAE向け受注競争、韓国に敗北 （日米コンソシアム）

22. 事例６　原子力プラント B InherentCharacteristics : 方向は安全側だが、状態は安全ではない 3 B 止める 冷やす 閉じ込める 止まる 冷える 閉じ込まる 2 表3.1110万KW級BWRの余剰反応度の補償 反応度の内訳　　　　　　　　　　　 反応度の大きさ（％⊿Ｋ） C ５ ２ １ ２ ３ 　　　（１３）　 　反応材の温度効果　　　　　　　　　　　　 　ボイドによる反応度　　　　　　　　　　 　ドップラー効果　　　　　　　　　　　　　　　　　　 　燃料の減少　　　　　　　　　　　　　　　 　燃料に伴うゼノン（Ｘｅ）の発生　　　 　　　　　　　　　　（全余剰反応度） 　　危険検出型： 危険のとき頑張る Active safety(止める) 　　　安全確認型： 危険のとき頑張らない Passive safety（止まる） B 1 図　原子炉の安全確認システム A 石川、原子炉の暴走、日刊工業新聞社,p１７１ 固有安全は世界の常識 ～Inherent safety～ 図　緊急時の原子炉運転制御

23. 安全の原理（思索１） 安全の大前提： 想定される事故を想定通りに防ぐための知識体系 （組織体系） ○事故は、責任を伴う。 ○事故は、経験に基づいて想定され、 Riskによって予測され（計画ベース；マネジメント） 　安全が設計され（ルールベース；設計者） 　安全の限界が実行される（実行ベース；使用者）。 ○事前の責任(安全）は知恵に求め、 　　　　　　　知恵なき安全は事後の責任を負う。　　 事故の結果責任を、 ×事後責任（刑罰・倍賞）で取るか？ 　○事前の（安全）で取り、残りの責任 　　　を保険（Accident）でとる。 事後の責任を事前に取れ!!! 　　安全→（限界Accident）→保険

24. 人間の社会的善 （倫理･責任感） PL PLP 予測回避 安全規格 CSR 法規制 時間 安全原理 Equity 事故 結果責任 応答 応答 応答 応答 罰金，刑罰、 ISO/IEC 認証 Compliance 賠償，補償，慰謝料 Stewardship 不名誉，信頼喪失 Accountability 責任Responsibility･･･何に「応答」？ マネジメント(社会的責任）： Risk-based responsibility 安全は、事故の責任を事前にとること (Responsibility) 正当な保険 設計者： 事後の責任を事前に取れ!!! 　　安全→（限界）→保険 God 調和と一致 （アプリオリ） TOP

25. エネルギ 事故は偶然が重なって起こる→事故 原因 事故 起こった事故Accidentは、 予測が可能となる。 Fig.スイスチーズ･モデル 事故Accidentは、1回だけ許される。 無責任な運転再開を許さない。 ○事故はいくつかの要因が偶然につながって起きる ○人の要因、設備の要因、環境の要因等からなる ○偶然の重なりである限り、事故は予測できない ○人のミス、機械の故障は防げないから絶対安全はない

26. エネルギ 防護の欠陥の穴 原因 事故 運転要求 ポジティブなスイスチーズモデル(安全） エネルギ 適合の穴 ネガティブなスイスチーズモデル(事故） 実行 許可 (安全) １ ２ ３ ４ 安全の条件

27. Fig.安全のスイスチーズ･モデル 適合 安全の条件 エネルギ OKの穴 実行 許可 運転要求 １ ２ ３ ４ Certification Validation Confirmation Verification ○安全に偶然はない。(事故Accidentは偶然） ○「安全」がすべてそろわない限り、運転は許可されない ○事故は確率論（偶然）、安全は確定論（絶対安全） ○安全は、想定された事故を想定の通り防ぐ 安全OKが揃って→実行許可

28. (改めて）安全確認の原理 ○安全は確認して、改めて「安全」と認められる ○安全が確認できないとき（不安）、危険と見なす 不安→「危険」とみなす →徹底して賭けを防ぐ 賭けなし ★危険を伴う行為： 　　　安全確認⇒運転OK 　　　安全が確認できない（不安）⇒運転を停止する ★安全装置（安全確認用センサ）はフェールセーフとする 　　（安全装置の正常性は、危険/故障⇒機械の運転停止） 賭けなし 危険側の誤り(故障)を使用者に押し付けない 最善であっても不確定Accidentが残る だから、「最善」を受け入れる。

29. 事前責任Responsibility Accepted ﾏﾈｼﾞﾒﾝﾄ 許容リスクALARP 設計者 受容 判断 Accidentの条件 使用者 Risk Accident Insurance 危険回避操作 Human error 危険側故障を使用者に押し付けない 図　受容リスクの条件（安全の定義） Safety: Freedom from unacceptable risk 　受容可能リスクとは、許容リスクとAccident

30. 事故accident(「偶然」の意味あり）となれば： ○”accident”には、社会的に共通の認識が存在する ○被害者が受け入れる ○消費者も被害も受け入れる ○保険が救済を引き受ける ○安全規格が標準化の対象として受け入れる ○許容リスクを受容リスクとして受け入れる ○認証機関が「認証」の判断基準として受け入れる ○WTOが自由貿易の条件として受け入れる ○安全工学が工学原則の前提として受け入れる ○法令（広義の安全配慮技義務）が受け入れる ○法令（労働安衛則）が、事業主の第一義的責任として認める ○CSRは、事後の無責任から解放される条件として追及する ○ジャーナリストは、逆に、accidentでないと受け入れない ○事故accidentなら「赦す」は、安全文化も受け入れる 安全に対する思考停止 〇高信頼性（確率論） 〇行政による指示 〇低リスク ○現場への責任依存 ○事故accidentなら、 ～加害者と被害者との間で衡平(equity）～ ○事故ａｃｃｉｄｅｎｔなら、 ～メーカーとユーザーの間で衡平(equity)～ ○事故accidentなら、 ～保険による正当な救済・補償が適用～ ○「事故accidentならば→許容」には、 ～広く、共通の認識が存在する～

31. 原因も責任も不明なまま、２日後に運転再開、なぜ原因も責任も不明なまま、２日後に運転再開、なぜ 過失の運転士を助けてあげての雰囲気、なぜ 案の定、有罪ながら、執行猶予付きの判決 事故accidentの条件 ○事故に対する事前の責任を果たすマネジメント ○危険側故障を使用者に課さない設計 ○危険回避を引き受ける運転者 ○事故をaccidentと判断する第三者認証 スイス列車運行再開 戸惑いの声（NHK7/26） 驚き！スイス「氷河特急」の素早い運転再開？事故原因は？　　 とても不思議なこと！！ スイスの観光列車「氷河特急」今月23日に悲惨な事故を起こして、その原因究明もされないまま、2日後の25日、運転が再開された。 お国替われば……と言うが、まことに不思議としか言いようがない。日本じゃ、とても考えられない事である Accidentの運転再開条件 ○安全確認→運転許可の条件に戻し、 第三者認証から改めて安全確認を受ける。

32. もう一度「安全の原理」 (積極的）安全の原理 ○安全は確認して、改めて「安全」と認められる ○安全が確認できないとき（不安）、危険と見なす 不安→徹底的に賭けを回避 「止まる安全」を最優先 「安全確認→運転OK」の条件 を追及して、稼働率UP ★機械の運転： 　　　安全確認⇒運転OK 　　　安全が確認できない（不安）⇒停止 ○生産の原則 ｢止まる安全｣→先手を打って止まらないようにする

33. 92/4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 止めないでトラブル処理 不安で止める（賭けなし） 100 稼働率％ 95 （ａ）稼働率 90 キックオフ曲線 85 月 安全確認システム始動 59 改善工事終了 ６０ 50 停止(回／月） ５０ 39 38 38 ４０ 27 25 （ｂ）機械Ａの停止回数 24 ３０ 21 ２０ １０ 0 0 0 0 0 0 0 ０ 92/4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 月 図　安全確認型システムの生産稼働率の変化

34. 安全確認型システム導入の経緯と効果 １．TQCの一環として､トラブルの多い生産システムを優先して安全確 　　認型システム導入の対象とした． ２．周辺に徹底して固定ガード､インターロックガードを設置した．イン　 　　ターロックガードには､欧州規格による安全スイッチ、電磁ロック式 　　ガード（停止確認センサ連動)、カテゴリー4の光線式安全装置を 　　用いた． ３．トラブル処理のために作業者が進入する場合､システムの側で強 　　制的に停止するようにした． ４．これまで小さなトラブルの処理は停止しないでやっていたので､ 　　改善後は､｢仕事がやり難い｣と不満があったが､慣れてくると､こ 　　れでないと安心して仕事ができないという風に変わった． まず、安全に関する不安を解消

35. ５．トラブル処理(運転停止)をコンピュータで監視し､トラブルに関５．トラブル処理(運転停止)をコンピュータで監視し､トラブルに関 　　する情報を生産技術の側にフィードバックした． ６．改めて多くのシステムの不調が明らかになり､技術の側で一つ一 　　つ改善を行った． ７．稼働率が低下し(93％→88％)、その後､順調に改善され(４ヵ月 　　後に88％→93％)、最終的にはほとんど停止しなくなった (99.3％)。 ８．システムの運転速度を３０％向上させたので、経済的効果が大 　　きかった． ９．改善提案が９倍に増加した（機械側は停止、人間の側は停止阻 　　止の役割を分担）。 労働の質の向上 改めて、止まる不安に挑戦 改めて、生産性の向上

36. 研究背景

37. 原発安全の考え方 一般的な安全の考え方 致命的な事故が含まれる（確率論） リスク安全 実行 （確率論） 予測回避 確率(リスク）に依らない制御安全 リスク安全は、小さな確率で起こる事故を受容する。 少なくとも致命的な事故だけは絶対に予測し回避する。 原子力プラントの致命的事故が明らかに含まれる →固有安全（inherent-safety）

38. self-regulating characteristics (inherency) 臨界（function） 目的制御 調整制御 unintention intention (方向のinherency） the-safe-condition　　　　（固有安定状態） 状態のinherency 実は、quasi-safe condition

39. 状態(温度、圧力) 超臨界 致命的事故 （禁止範囲） ベント （ドップラー効果） （ボイド効果） Se self regulating chara. 方向のinherency Sc （調整制御） (ECCS) 制御棒 regulation control （目的制御） function Ex feedback control （崩壊熱/冷却） 冷温安定 （the-quasi-safe-condition） ０ 時間

40. Inherency － ボイド効果 暴走 中性子 ＋ 臨界 ＋ － 自己調整特性 Self-regulating characteristic

41. Inherently safe control ・調整制御（regulation control） 3つのInherency 　・自己制御性（selfregulating characteristic） 　・状態遷移の固有性 （ inherent driving force ） 　・安全状態での固有安定性 （ inherency ） 以上で安全を考えるべきである。 誤制御を抑えるinherencyが重要である。 冷温安定状態の問題(quasi safe condition)

42. 消極的安全から積極的安全へ ～消極的安全とモラルハザード～ 日本の安全は消極的安全(いやいやの安全） 指摘された二律背反事項： （原子力安全委員会 ウラン加工工場臨界事故調査委員会報告 Ⅷ 1999 年） A. 安全性を向上させると効率が低下する。 B. 規制を強化すると創意工夫がなくなる。 C. 監視を強化すると士気が低下する。 D. マニュアル化すると自主性を失う。 E. フールプルーフは機能低下を招く。 F. 責任をキーパーソンに集中すると、集団はばらばらとなる。 G. 責任を厳密にすると事故隠しが起こる。 H. 情報公開すると過度に保守的となる。 「安全確認→運転OK」は積極的安全

43. 消極的安全から「積極的安全」へ 「安全確認→運転許可」の原則 に基づく健全な安全状態を 積極的に確保する制御を行う。 積極的安全： 安全確保→高稼働率の達成

44. 安全確認→運転許可に基づく 運転許可条件の生成 健全性維持（安全） 目的制御 調整制御 危険/不安 intention 止まる安全 inherency

45. 世界の原発の稼働率 アメリカ　　　１０４基　　９０％ フランス　　　　６０基　　７５％ 日本　　　　　　５４基　　６５％ 韓国　　　　　　２８基　　９０％ カナダ　　　　　１８基　　７５％ フィンランド　　　５基　　９８％ 世界　　　　　５３１基 ２０１０年、 UAE向け受注競争、韓国に敗北 （日米コンソシアム） グローバル安全： 「安全確認→運転OK」の条件を 徹底的に追求して稼働率UP!!!

46. シンドラエレベータ事故 第三者認証製品（ドイツ）、 どうなってるの？

47. 責任所感・釈明 （シンドラーエレベーター社ホームページより） ③State-of-art ①Good engineering practice ②PLP(Duty-circle closed) ④Certification ⑤Social benefit

48. Society on Risk-based Safety 事後責任PL PL Compensation PLP (PL Prevention) 機能的最善 ① Good engineering practice 安全の技術的最善 ② State-of-art PLP： 設計者の事前責任 グローバル認証 ③ Certification ベネフィット ④ Social benefit ⑤ Root-cause 再発防止 図１　事故の責任と釈明（シンドラーエレベータ社の例）

49. ７月７日の夜７時のニュース 「シンドラー製のエレベータ、3000台を調査したところ、27台に修理が必要な故障が見つかりました。中には、扉が閉じているにもかかわらず、開いていると認識して動かなくなるような安全上問題となる故障も見つかりました。」 シンドラー社製エレベータの場合、扉が開いているにもかかわらず、閉じている（安全）と認識して動いてしまったために事故が発生したはずである。 ～NHKのこのニュースには、「安全側の故障」と「危険側の故障」の区別ができないという幼稚さに、報道関係者の無責任を感じざるを得ない～

50. 失敗学から安全学へ 安全に対する思考停止 〇高信頼性（確率論） 〇行政による指示 〇低リスク ○現場への責任依存 失敗学は、 〇失敗学は現実には結果責任に関わる衡平性が解けない。 安全学は、 〇マネジメントは、事故を想定する。 〇設計者は、想定された「事故」の安全を想定する。 　つまり、物理学，科学、論理的に捉え、予測を可能とする。 〇安全を確認できること。 　つまり、安全の予測状態をあえて作り出すことができる。 〇これには明らかに限界がある。 　つまり、この限界を認め合うことができること。 　つまり、事前の認証、妥当性確認が必要 リスクアセスメントは、失敗学の普遍性を要求