A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

あなたは、巨大な宇宙船や忙しい空港のような複雑な機械が、なぜ時として墜落・衝突してしまうのかを理解しようとしていると想像してください。長い間、安全の専門家たちは、これらの機械をドミノ倒しのように見てきました。彼らは、「もし一つのドミノが倒れたら（ミスが発生したら）、それが次のドミノを倒し、最終的に列全体が崩れ落ちる」と考えていました。これは「加法的（additive）」な見方と呼ばれます。つまり、すべての小さなミスを足し合わせることで、総体的な危険を見つけ出そうとする考え方です。しかし、現実の世界はもっと混沌としています。時には、二つの小さなミスが単に足し合わされるだけでなく、掛け合わされる（乗算される）ことがあります。それは、重曹と酢を混ぜ合わせるようなものです。それぞれは無害ですが、組み合わさると巨大な泡の爆発を引き起こします。これは「非加法的（non-additive）」または「共鳴的（resonant）」なリスクと呼ばれます。

私たちが目にしているこの論文は、複雑なシステム（航空業界など）が予期せぬ事態にどのように対処するかを研究する「レジリエンス・エンジニアリング」という分野のものです。この分野では、FRAM（機能共鳴分析法）と呼ばれるツールを使用しています。これは、システムが行うべきあらゆる仕事をマッピングし、それらがどのように相互作用するかを描き出すものです。FRAMが抱えていた大きな問題は、物事が「どのように悪化し得るか」の図を描くことには長けているものの、「それがどれほど深刻か」という数値を与えることが極めて苦手だったことです。それは、嵐の地図は持っているものの、風速を測る方法を持っていないようなものです。この論文は、**チョケ・インテグラル（Choquet integral）とスゲノ・メジャー（Sugeno measures）**という高度な数学を取り入れることで、この問題を解決しようとしています。これらは、単に数字を足すのではなく、あるミスが他のミスをいかに悪化させるか、あるいは逆にミス同士が打ち消し合うこともあるということを理解する、非常に賢い計算機のようなものです。著者たちは、この「爆発的な」ミスの組み合わせに、精密な数値を割り当てることができるのか？という問いに挑んでいます。

論文の核心： 「爆発」を計算する計算機

著者であるジョアン・ギリェルメ・ファウラーとモアシル・マシャード・カルドーゾ・ジュニオールは、このFRAMのマップと特殊な数学を組み合わせた新しいフレームワークを構築しました。彼らはこれを**チョケ・スゲノ・フレームワーク（Choquet–Sugento Framework）**と呼んでいます。単に「ミスA ＋ ミスB ＝ 災難の日」と言うのではなく、彼らの新しい手法は、「ミスAとミスBは、互いにどれほど増幅し合うのか？」と問いかけます。

これをテストするために、彼らは非常に具体的でリスクの高い空港業務のデジタルモデルを作成しました。それは、**「飛行機が着陸または離陸している間に、車両が横断するための滑走路を確保する」**という業務です。これは、地上車両と空飛ぶ機械が出会ってはならない、危険なダンスのようなものです。彼らはこの新しい数学を用いて、過去40年間に起きた3つの実際の航空事故を分析しました。

1. アエロフロート3座352便（1984年）： ロシアで、飛行機が滑走路上の整備車両に衝突。
2. LATAM航空ペルー2213便（2022年）： リマでの離陸中に、飛行機が消防車に衝突。
3. ジャズ航空646便（2026年）： ニューヨーク（ラガーディア）での着陸中に、飛行機が消防車と衝突。

彼らが発見したこと： 「チームワーク」に隠された危険

この論文が発見した最も刺激的な事実は、従来の数学では膨大な量の危険性を見逃しているということです。

著者たちが従来の「加法的」な数学（ミスを単純に足し合わせる方法）を用いてリスクを計算したとき、ある数値が得られました。しかし、彼らが新しいチョケ・スゲノ数学を用いたところ、リスクスコアは大幅に跳ね上がりました。彼らは、ミス同士の「チームワーク」――つまり、二つの機能が同時に失敗し、互いをより悪化させる現象――が、**全リスクの10.9%から16.5%**を占めていることを突き止めました。

これは重大なことです。つまり、個々のミスだけを見ている場合、実際の危険の約6分の1を見落としていることになります。論文は、この「目に見えないリスク」こそが、たとえ単独の決定的なミスがなくても事故が発生する理由であると論じています。それは、小さなエラーの「組み合わせ」が災害を生み出すのです。

主役： コントローラーの脳

モデルの中で、彼らはシステム全体の最も重要な「ハブ」となる特定の仕事を特定しました。それが**ATC状況認識（F1）**です。これは、航空管制官がすべての航空機と車両の正確な位置を常に把握できている状態を指します。

**シャプレー値（Shapley value）と呼ばれる数学的ツール（各部分が全体に対してどれだけ貢献しているかを測定するもの）を用いた結果、この一つの機能が全リスクの36.7%**を担っていることが判明しました。これは、次に重要な仕事の貢献度の2倍以上の数値です！

• 教訓： もし管制官が「全体像」を見失った場合（疲労、注意散漫、あるいは通信不良などによる）、システム全体が極めて脆弱になります。論文は、この領域（管制官の注意力を鋭く保ち、情報を明確にすること）を改善することが、これらの衝突を防ぐための最も効果的な方法であると示唆しています。

機能しなかった「障壁」

モデルはまた、RIMCAS（車両が滑走路上にいることを管制官に警告するレーダーシステム）のような安全システムについても調査しました。1984年の事故では、このシステムは存在しませんでした。2022年と2026年の事故では、システムは存在していましたが、「劣化」していました（例えば、車両に適切なトランスポンダが搭載されていなかったなどの理由）。

数学的な分析によれば、管制官の認識（F1）と車両の横断（F5）の両方が失敗した場合、安全システム（F8）は圧倒されてしまいます。それは、一度に10箇所の火災が発生した部屋に、たった一つの消火器があるような状態です。論文は、失敗の「チームワーク」があまりにも強力であったため、安全障壁はリスクを相殺するごくわずかな部分にしか寄与できなかったと指摘しています。著者たちは、単にテクノロジーをアップグレードすること（車両に優れたトランスポンダを搭載するなど）が最善の解決策であるが、それは管制官の認識も同時に守られている場合に限られると述べています。

「ダウンストリーム」の罠

もう一つの驚くべき発見は、**通信と復唱（F7）に関するものでした。多くの安全モデルでは、パイロットやドライバーがメッセージを復唱すれば、エラーをキャッチするセーフティネットとして機能すると考えられています。しかし、この論文のモデルは、この特定のシステムにおいて、通信は「ガード（守り）」ではなく、単なる「メッセンジャー（伝達者）」**に過ぎないことを示しています。

もし管制官（F4）がミスを犯し、誤った許可を与えた場合、それを復唱する人（F7）は、その誤った許可をそのまま伝えてしまうだけです。彼らは指示されたことを繰り返しているだけであり、エラーを修正することはできません。論文は、指示を出す「ボス（許可の決定）」が壊れているのであれば、その「メッセンジャー」を完璧にしようとしても無駄であると論じています。

結論

著者たちは、自分たちの手法は専門家の意見と歴史的データに基づいたシミュレーションであり、あらゆる安全問題を解決する魔法の杖ではないことを明確にしています。しかし、彼らは自分たちの数学的根拠には自信を持っています。彼らは、非加的な相互作用（エラーの爆発的な混ざり合い）が実在し、かつ測定可能であることを証明しました。

この新しいフレームワークを用いることで、安全管理者たちは推測をやめ、どこで「共鳴」が起きているのかを正確に把握できるようになります。彼らは、LATAM2213便が最も危険なケース（リスクスコア0.710）であったことを理解できるでしょう。なぜなら、システムのあらゆる部分が同時に問題を抱えており、最大級の「リスクの爆発」を引き起こしたからです。対照的に、1984年の事故は「深く、かつ狭い」ものでした。失敗した部分は限られていたため、総体的な「共鳴」は低かったのです。

要するに、この論文は私たちに、安全を見るための新しいレンズを提供しています。複雑なシステムにおいては、**「1 + 1 は 2 ではなく、時には 10 になる」**ということを教えてくれます。そして、空の安全を守りたいのであれば、ドミノの数を数えるのをやめ、爆発の大きさを測定し始める必要があるのです。