Digital Human Symposium 2009 March 4th, 2009 ヒューマンエラー対策の技術 Technology to prevent human error in office 中田亨*a Toru Nakata *a [email protected] 1. ヒューマンエラーの考え方 1.1. ヒューマンエラー問題の広がりヒューマンエラーを専門とする工学者が、従来はそれほど縁の無かった、金融や医療業界から相談を受けることが増えている。金融では、業務でのヒューマンエラーはリスクの一種であるとして、その統制を徹底するように当局に迫られている。医療ミスは、人命に関わりかねないが、その根絶は多忙で複雑な医療業務において容易ではない。訴訟リスクを恐れて医師が減り、ますます現場が多忙になるという悪循環の危険が指摘されている。ヒューマンエラーは、業種を選ばない。大事故の例を少々挙げよう。 ◇ 証券会社が、株数と株価を取り違えた取引注文をしてしまい、数百億円を損してしまう。 ◇ 病院にて、患者に薬剤を投与する際に、胃管と静脈点滴の管とを取り違えて薬剤を注入し、患者は死亡。（現在は、管の直径を点滴官と胃管とで違えるという「フール・プルーフ（うっかり防止対策）」が普及しつつある。） ◇ 管制官から離陸許可を受けたものと勘違いして、飛行機が勝手に発進し、他機と衝突する。（史上最悪の死者数を出した一九七七年テネリフェ空港事故。） 1.2. 文明の利器が被害を拡大するヒューマンエラーのもう一つの特徴として、巨大な被害が発生しえることが挙げられる。前述の例のように、大量の注文が指先ひとつでできるコンピュータシステムや、大人数を載せられる飛行機といった「文明の利器」を使っているために、ワンミスだけで会社が傾きかねないほど甚大な被害が発生することもありえる。昔は、ヒューマンエラーは地味な存在であった（図１参照）。もちろん人間の間違いによる事故は起こっていたが、それ以上に機械の故障や工学的に未知の現象による大事故が目立っていた。しだいに、故障対策技術が成熟し、どの産業業種においても、非人為の事故件数は概ね頭打ちになる。一方、人為ミスは機械が複雑化したためにむしろ増え、その被害を文明の利器が拡大しているのが現状である。波及効果１９７０年ごろ機械故障未知現象ヒューマンエラー機械故障未知現象ヒューマンエラー機械故障未知現象ヒューマンエラー５０年前まで現在なまじ自動化したので被害が大きい図１．ヒューマンエラーが事故原因の主役に *a : (独) 産業技術総合研究所デジタルヒューマン研究センター 1.3. ヒューマンエラーを防ぐ３つの能力実は厳密に言えば、「エラー」という言葉は使うべきではない。エラーは事故の原因でなく、事故の見た目にすぎない。代わりに「不確実性」の概念を使うべきである。不確実性は、データにも、事務処理作業にも、ソフトウエアにも、ハードウエアにも、必ず存在すると覚悟すべきである。不確実性を許容範囲内にコントロールすることこそが技術の主眼である。ＤＶＤに少し埃が付いていても視聴できるデッキで無ければ売れない。ヒューマンエラーをコントロールするためには、３つの能力を構築すべきである（表参照）。異常検知力が一つ目。事故になる未然に、危険を見つけ、警告を発せられる能力である。例えば、先の冷凍餃子中毒事件では、餃子の中に毒が混入していることを見抜ける体制になっていなかった。このように異常検知力が不足すれば事故が起こる。したがって異常検知力向上が最重要である。第二の力は、異常源逆探知能力。どこが異常の始まりかを判定できる能力である。トレーサビリティとも言う。異常源逆探知能力が不足していると、事故復旧コストが膨大になる。よって異常検知力に次ぐ重要度がある。餃子事件でいえば、多段階の検査と、作業履歴の保全が十分だったなら、餃子にいつどこで毒が入ったかを判定でき、原因究明と、不良品の範囲の特定、再発防止策の立案が的確かつ早期にできたであろう。第三の力は、確実実行能力である。なるべく不良品を作らずに作業をこなせる能力である。確実実行能力はランニングコストに直結するので平常時に注目を引く。不良品を作らない作業員は、優秀に見える。確実実行能力の過大視には、我々が抱いている「無謬への尊敬心」も一役かっている。我々は、誤字が一つも無い手紙を見れば感動し、長台詞を淀みなく吐き出す名優を尊敬する。とはいえ、現代の産業の現場では、確実実行能力と異常検知力とは異なるものであり、相関すらしないと考えるべきである。幾多の工程に分かれ、多数の要因が関与する業務では、「上から流れてきた作業を迅速かつ完全にこなす」ことがベストとは限らない。餃子を速く包めば良いのではない。異変が無いか検査し、作業履歴を記録することに時間をかける作業員こそ表彰すべきである。徒然草の「吉田と申す馬乗り」も同じ意見である。表１．ヒューマンエラーを防ぐ３つの力意味不足だと対策優先度異常検知力作業内容に異常が潜伏していることを検知できる能力事故頻発大異常源逆探知力どこからが異常かを逆探知できる能力事故復旧コストが跳ね上がる中確実実行能力少ない失敗率で作業を実行できる能力通常作業のランニングコストが増加小 2. 防止策の技法実務担当者の間では、ヒューマンエラーの防止は難しいと考えられている。万里の長城も穴が一箇所あれば無用の長物。防御策の構築とは、全ての穴をふさぐという骨の折れる地道な作業である。ヒューマンエラー防止策は、リスクの洗い出し、方針の決定、防止策の定石の適用という３段階の検討を行い導入する。 2.1. リスクを洗い出す業務で起こりえる事故を想定する手法として、きっかけ演繹法（イベント・ツリー・アナリシス、ＥＴＡ）と、結果帰納法（フォールト・ツリー・アナリシス、ＦＴＡ）とがある。きっかけ演繹法とは小さな出来事が大事故に発展するスキがあるか探し、見付かればそれをふさぐ対策を検討するものである。まず、業務環境で起こりえる小さな異変を思い浮かべ、図の左方に書く（図２）。次に、それが引き起こし得る出来事を右に書き出し、その出来事が引き起こすより深刻な事態をさらに右方に列挙する。こうして大事故への道を見つける。ただし、この方法は考え出すとキリが無いという欠点がある。 2.2. 多面的に防止策を考えるヒューマンエラー事故の防止策として、最もありがちなものは従業員を指導し注意徹底するという訓導策である。しかし本当に、ミスの原因は人の注意力不足なのだろうか。現実の事故は、使いにくい道具を使わされる多忙な職場で起こっている。作業員の注意力だけに頼るには無理がある。問題を多面的に捉えて、防止策を選ぶことが肝要である（図４参照）。桶屋が例えば、間違いＦＡＸによる情報漏洩という事儲かるけが故に対してはこう考える。「しなくて済む方法」としては、ＦＡＸ使用の廃止。「作業手順の改良」仮設物の風が吹くと工期遅れとしては、複数人によるＦＡＸ番号確認。「道具倒壊装置の改良」としては、番号管理が簡単明解なＦ欠航荷物遅れＡＸ機への買い換え。「やり直し可能化・致命傷波浪回避」としては、ＦＡＸ文面の暗号化。奥の手の「問題現象の有効活用」に、重要なＦ塩害ＡＸ送付を速達書留郵便に切り替える策がある。これはコストはかかるが、我が社は情報セキュリ図２．きっかけ演繹法(ETA)の例ティに金を掛けているというアピールになる。 2.3. 防止策の定石破棄し忘れ機密情報にヒューマンエラー事故防止には異常検知力が接触可能パスワード無し最重要であると前回述べた。作業員の異常検知力機密情報を向上させる方法には、次の常套策がある。漏洩送付先誤認 1. 正常使用強制法：作業員が非正規な使用を誤メール漏洩ルーすると作業を止める仕掛け。例えば、電車風呂敷残業トが存在鞄紛失の操縦レバーは両手で握っていないとブ渉外業務レーキがかかる。 2. 小事故誘導法：作業員が漫然としていると、図３．結果帰納法(FTA)の例小さな事故を起こし、それで異変に気付かせ、大事故には至らせない仕掛け。例えば住宅街問題現象のしなくて済むの入り口には道路が盛り有効活用問題の捉え方方法を考える上げてあり、速度超過の「前提条件「認識の車は通るときに飛び上がの問題だ」問題だ」る仕掛け。「やり方の作業手順「致命的で 3. 興味向上法：作業に楽しの改良問題問題だ」なければ可」さや美しさを与え、退屈しないようにする。例え「やり直せ「道具と装置ば田植え歌。茶道の作法ればよい」の問題だ」も美の追究欲求を刺激する。ソフトウエア改良復旧手段充実ハードウエア改良 4. 達成感保留法：人は「よし終わった」と感じると、図４．問題を多面的に捉える特定の事故を防ぐ目標がはっきりしているなら、結果帰納法の方が効率的である。結果帰納法では、まず防ぐべき惨事を右方に書く（図３）。次いで、きっかけ演繹法の逆の要領で、その事態が成立するための条件を左方に書いていく。作成した図を見て、大惨事の成立条件を把握し、条件を崩すように策を構じる。結果帰納法の欠点は、想定した惨事以外は検証できないことである。非常用装備 5. 6. 7. 8. 9. その後の処理をおろそかにする。よって、達成感を感じさせる手順は最後に置くべきである。例えば、銀行のＡＴＭは引き出しの際、現金を作業の最後で出す。先に出すと、通帳やカードを取り忘れる客が続出する。五感総動員法：作業で五感を多彩に使うと、脳全体が刺激され注意力と記憶力が向上する。例えば、指差喚呼では、手足を動かし声を上げるので、漫然状態にならない。なぞらえ法：作業状態をなぞらえる物体を使って勘違いを防ぐ。食堂の食券はその例である。ゾーニング法：人・モノ・作業の場所を指定し、流れを統制する策。具体的には、入口と出口の峻別、逆流の不許可、滞留物置き場の指定等。道具の勝手な持ち運びを許さないので、必然的に浄机が保たれる。衛生、紛失防止、防犯に顕著な効果がある。二人作業班法：一人が質問を発し、他方がそれに答えることで状況確認を確実にする。ソフトウエア製作でのペア・プログラミングが代表例。社会化法：作業者に顧客が身近にいることを意識させ、おろそかな仕事をしにくくさせ、技量の向上心を刺激する。例えば、客から見えるキッチンでは料理人は手を抜きにくい。生産者の名前が見える野菜、銘の入った美術品などは、あえて顕名にすることで仕事に責任と誇りを持たせる効果がある。 3. 年金はなぜ消えた？事務ミスに関係する事件で、最も広範囲に影響を及ぼしているものは年金記録問題であろう。しかし、これは特殊例とは言えない。年金システムは、極めて高性能なシステムである。だが、昔ながらのシステムにありがちなことだが、ヒューマンエラーに対する免疫には欠けている。「システムに信頼性がなくてよいなら、それ以外のどんな目標でも満たせる」（ワインバーグ）の格言のとおりである。高度経済成長期に電算化されたシステムの多くは、年金システムに似た欠点を抱えている。よって、他山の石とすべく、この問題の原因を分析してみよう。 3.1. ミス発覚の遅さと書類保管期限の短さ年金データを入力する時にミスがあっても、それが露見までに数十年の時が流れる。記録ミスがあっても、そんなに昔のことは、他に証拠書類もないし、記憶も定かでない。ミス修正は困難を極めている。一般に、データの入力時点と使用時点との間には潜時期間がある。潜時が長いと事故の元凶となる。時の流れは、情報をバックアップする証拠を消し、記憶も消す。また、すぐに発覚しないことで、同種の入力ミスが蓄積されがちである。潜時は工夫で縮められる。データの権利者がいつでもデータを見られる体制にし、また権利者に定期的に状況報告を発送することで潜時問題は解消される。教訓：顧客自身の情報は顧客に見せること。 3.2. データ表示の読みにくさ上記の反省に立って、最近、各自の年金データを記した「年金特別便」が送付された。しかし、これには加入期間は書いてあるが、欠けている期間は即座に読み取れないという苦情が付いた。文書のレイアウトは、見つけたいものが一目で確実に読み取れなければならない。それでも年金特別便はデータ体裁を整えた方であり、年金システムが見せるデータはもっと読みにくい。パンチカード時代の遺風で、やたらと数字符号化されており、例えば、データ項目「７」にデータ「２」などと記録されている。こんな符号で読み書きするのでは、ミスしても当然である。他にも昔のコンピュータの旧弊が残存している。かつて、データはラインプリンタによって、行ごとに打ち出された。すると表２のような行方向に引きずられた表示になる。しかしこの印字レイアウトは見づらい。表３のように、データ項目別に列を整理すれば読解は圧倒的に簡単・確実になる。４月５月産地量産地福島 124 山形６月量産地 287 秋田合計量 111 表２．合計計算が難しいレイアウト ? 月産地量４月福島 124 ５月山形 287 ６月秋田 111 合計 ? 2 3 1 5 4 6 表３．改良したレイアウト図６．欄の読み落としが発生しやすいレイアウトこの例のように、書式の工夫で読みやすさが飛躍的に向上することをポップアウト効果という。ポップアウト効果を利用した傑作例が米国の通関申告カードである（図５）。欄が縦一列に並べてあるので、次に書く欄が簡単に見つけられる。悪い例は図６のような非直線的な配置であり、書き漏らしを誘発する。図７のように直線配置に直すべきである。また、通関カードでは記入欄以外の地に色が塗ってある。空欄があるとそこだけが白く残り目立つので、書き漏らしに気づきやすい。さらなる工夫として、イエス・ノーのチェック欄の左右位置が揃えてある。通関申告を要するイエス回答があると、そこだけ左に飛び出しているので、簡単に発見できる。これら工夫によって、不慣れな旅行者でも書き漏らし無く記入できる。税関職員も大量の申告書の中から対応すべきものだけを拾い上げることができる。教訓：人間の注意力はレイアウト次第。 1. お名前 2. ご住所 3. 国籍 4. 商用旅行? Yes No 5. 食品携行 ? Yes No 6. 大金携行? Yes No 7.所持金額 $ 図５．米国通関申告カードの概略 1 4 2 3 5 6 図７．欄配置の改良 3.3. フールプルーフ不足フールプルーフとは、人間のミスを無害化する仕掛けのことである。データ入力はミス多発作業であり、フールプルーフ無しでは成り立たない。年金システムはこの点でも問題があり、氏名が欠けた年金記録という極端な例までが見つかっている。本来なら、氏名が無い異常なデータはシステムが受け入れないように設定すべきであった。現代の技術定石では、入力方法にはウィザード形式を使うことになっている。コンピュータの方から、入力すべき項目を順に聞いてくるので、入力漏れがない。また入力事項の確認には、コンピュータに人工音声で読み上げさせるとよい。目視確認と聴覚確認を併用すると勘違いが減る。これは前回紹介した五感総動員法である。なお、フールプルーフ策が万全と思えても、顧客が自身のデータを観察できる体制は必要である。顧客は、データの正解を知っており、データにミスが無いかに最も関心を持っているからである。教訓：データはまちがいを含んでいる。