嗜好的刺激を目的機能とするシステムにおける安全要求の競合

――感覚制限、利用者効用および残留リスクの多目的最適化――

Conflicting Safety Requirements in Systems Designed for Hedonic Stimulation: Multi-Objective Optimization of Sensory Restrictions, User Utility, and Residual Risk

要旨

背景： 感覚共有型魔道具は、身体複製体に加えられた刺激を、遠隔地にいる身体モデル本人へ感覚として転送する技術である。成人向け製品では、感覚刺激の忠実な再現が主要な機能要求となる一方、過度な刺激が身体的・生理学的な有害事象をもたらす可能性がある。特に、温熱、冷感、圧迫および一定程度の疼痛を伴う刺激については、ある利用者にとって回避すべき苦痛が、別の利用者にとっては製品の目的機能を構成する場合がある。このため、危険とみなされる刺激を一律に遮断する安全設計は、利用者の嗜好と機能要求に衝突し得る。

目的： 感覚共有型成人用魔道具における感覚制限機構の導入過程を対象として、安全性、感覚再現性、利用者効用および自己決定権の間に存在する要求競合を明らかにし、これらを統合的に扱う設計方法を提示する。

方法： 高温感覚制限機構の導入と顧客苦情、低温感覚の長時間曝露と制御要求、ならびに予測不能な感覚入力に対する利用者要求という3事例を分析した。目標指向要求工学とSTAMP/STPAにより、機能要求、安全制約、嗜好に関する要求および同意管理上の制約を整理した。さらに、利用者効用を安全制約下で最大化する数理モデルを定式化し、複数の感覚制御方式を比較した。

結果： 一律の刺激遮断は有害刺激を抑制する一方、非有害な感覚成分まで除去し、製品の本来機能を損なう場合があることが示された。また、刺激に対する利用者の評価は刺激の種類と強度だけでなく、文脈、予測可能性、継続時間および本人の同意に依存した。安全性と利用者効用を単一の目的関数によって無制約に交換可能なものとして扱うことは不適切であり、満たすべき安全制約を先に定義したうえで、実行可能領域内の利用者効用を最適化する必要があると結論づけた。

結論： 感覚共有型成人用魔道具では、危険な刺激の抑制と望ましい感覚の再現を単純な二律背反として扱うべきではない。感覚成分の分離、刺激変換、累積曝露管理、撤回可能な同意および独立した安全監視を組み合わせることで、利用者の嗜好を尊重しながら安全制約を維持する設計が可能となる。ただし、安全性が検証されていない刺激条件については、利用者の要求や同意の存在を根拠として許容してはならない。

キーワード： 要求工学、STAMP、STPA、感覚共有魔道具、嗜好的刺激、ユーザーエクスペリエンス、感覚安全制御、多目的最適化、動的同意、リスク制約

1. 緒言

1.1 研究背景

感覚共有型魔道具は、外部の物体に加えられた物理的刺激を、離れた場所にいる人物の身体感覚として再現する技術である。

成人向け感覚共有製品の代表例として、特定人物の外性器形状を精密に再現し、製品への接触、圧迫、振動、温熱および冷却などに対応する感覚を、身体モデル本人へ伝達する製品がある。

これらの製品では、物理的な刺激を忠実に再現することが主要な性能指標となる。

関連する技術の研究背景として、スマート成人用製品の文化・健康・安全上の論点を整理したPowerらのレビューを参照する[10]。

一方、高強度の感覚刺激が、疼痛、強い不快感、自律神経系の反応などをもたらす可能性があることから、感覚入力の制限機構が導入されてきた。

特に、煮沸消毒中の高温刺激が本人へ転送される事故を受け、一部製品では42℃相当以上と判定された熱感覚を遮断する機構が実装された。

しかし、この安全機能は導入後、新たな要求上の問題を生じさせた。

温熱刺激を積極的に好む利用者から、一定温度以上の刺激が遮断されることで製品の利用体験が大きく損なわれるとの苦情が寄せられたのである。

具体的には、蝋による温熱刺激を利用する顧客から、従来は伝達されていた温熱感覚や接触感覚が消失するという報告があった。

また、高温刺激の制限に続いて低温刺激への制御を導入した際にも、冷感を好む利用者から、目的とする感覚を再現できないという指摘がなされた。

これらの事例は、成人向け感覚共有製品に特有の要求工学上の問題を提示している。

すなわち、安全機能が除去しようとする刺激そのものが、利用者にとって製品の価値を構成する場合があるという問題である。

1.2 嗜好的刺激と一般的な製品安全との相違

通常の製品安全設計では、熱傷、過度な圧迫、感電および不必要な疼痛などは、回避または抑制すべき対象として扱われる。

しかし、感覚共有型成人用魔道具では、一定の温熱感覚、冷感、圧迫感、あるいは疼痛に類似する感覚が利用者の求める体験を構成し得る。

したがって、刺激の存在自体を一律に危害とみなすことは適切でない。

実際、Dunkleyら[1]は、BDSMにおいて疼痛を伴う刺激が肯定的に経験されることを説明する理論を検討している。

また、Wuytsら[2]は、BDSM実践者を対象とする研究において、ストレス関連指標と報酬関連指標が同一の活動中に変化することを報告した。

Wuyts and Morrens[3]による系統的レビューも、こうした活動における疼痛、報酬、ストレスの関係が単純ではないことを示している。

ただし、これらの知見は、疼痛刺激が生理学的に無害であることを意味しない。

ある刺激を本人が肯定的に経験することと、その刺激が身体へ有害な影響を及ぼさないことは、独立した問題である。

本研究では、この両者を明確に区別する。

1.3 要求工学上の問題

目標指向要求工学では、システムに求められる機能や品質を、複数の目標および制約の関係として分析する[4]。

感覚共有型魔道具における要求は、単純な「刺激を強くする」「刺激を弱くする」という関係では整理できない。

例えば、以下の要求はそれぞれ合理的である。

• FR-1：利用者が求める温熱感覚を忠実に再現する。
• FR-2：利用者が求める冷感刺激を再現する。
• FR-3：接触感覚を可能な限り維持する。
• SR-1：有害な熱痛を転送しない。
• SR-2：低温刺激の過度な継続を防止する。
• SR-3：生理学的危害につながる刺激条件を許可しない。
• CR-1：感覚受信者の有効な同意を必要とする。
• CR-2：受信者が任意の時点で感覚転送を停止できる。

しかし、これらの要求を満たすための制御方式によっては、要求間に衝突が生じる。

例えば、高温感覚を一律に遮断すればSR-1には寄与するが、FR-1およびFR-3を損なう場合がある。

一方、温熱刺激の完全再現を優先すれば、危険な刺激まで転送される可能性がある。

したがって、要求間の競合を単なる実装上の問題として扱うのではなく、システム目標の構造そのものから検討する必要がある。

1.4 研究目的

本研究では、以下の研究課題を設定する。

RQ1： 危険な感覚入力の遮断が、製品の目的機能を阻害するのはどのような条件下か。

RQ2： 刺激の種類、強度および継続時間に対する一律の制限は、安全性と利用者効用を両立させるうえで十分か。

RQ3： 利用者の嗜好と同意を尊重しながら、許容できない生理学的危害を防止する制御方式を、どのように定式化できるか。

RQ4： 安全機構を無効化したいという利用者要求を、要求工学上どのように取り扱うべきか。

本研究の目的は、利用者の嗜好を安全性より優先させることではない。

安全性と利用者効用を異なる設計対象として整理し、両者を合理的に両立させるための要求構造を明らかにすることである。

2. 対象システム

2.1 基本構成

本研究では、身体複製型感覚共有魔道具を対象とする。

対象製品は以下の構成要素からなる。

1. 身体の形状を再現する感覚受容体
2. 物理刺激を検出する感覚入力術式
3. 物理刺激を感覚表象へ変換する感覚変換術式
4. 遠隔地の本人へ感覚を伝達する感覚共有魔導核
5. 刺激の種類・強度を制御する感覚制限術式
6. 接続状態と安全性を監視する制御機構

感覚入力術式は、製品へ加えられた接触、圧迫、振動、温度変化などを検出する。

感覚変換術式は、それらの情報を受信者に伝達可能な感覚表象へ変換する。

この際、温度や圧力の物理量が受信者の身体へ直接伝わるわけではない。

実際に伝達されるのは、それらに対応する感覚情報である。

そのため、製品の物理温度と受信者が経験する感覚強度の間には、必ずしも一対一の対応関係が存在しない。

2.2 感覚入力の表現

時刻tにおける物理的な感覚入力を、次のベクトルで表す。

x(t)=(T(t),P(t),V(t),C(t),\ldots)

ここで、

• T(t)：温度に関する入力
• P(t)：圧力・変形に関する入力
• V(t)：振動に関する入力
• C(t)：接触位置・接触状態に関する入力

を意味する。

感覚変換術式は、これらの入力から感覚出力y(t)を生成する。

y(t)=F_\theta(x(t))

θは感覚変換の設定を表す。

感覚出力は、触覚、温覚、冷覚、圧迫感、疼痛に類似する感覚など、複数の成分から構成される。

ただし、これらの感覚成分は必ずしも独立に符号化されているわけではない。

高温刺激に対応する感覚情報を単純に破棄した場合、温覚だけでなく接触感覚そのものが失われる場合がある。

本研究では、このような複数の感覚成分が結びついて処理される現象を、感覚表象の結合性と呼ぶ。

2.3 安全制御の分類

感覚共有型魔道具に適用できる安全制御を、以下の4類型に分類する。

類型A：入力遮断

特定の物理入力が閾値を超えた場合、対応する感覚情報を転送しない。

類型B：感覚成分の選択的制限

感覚表象を分離し、危険と判断された成分だけを制限する。

類型C：感覚変換

入力刺激をそのまま転送せず、検証済みの感覚範囲へ変換する。

類型D：接続状態の制御

刺激の内容とは独立して、利用者の同意、接続時間、製品状態等に基づき転送を許可または停止する。

これらは排他的な方式ではなく、組み合わせて実装できる。

3. 研究方法

3.1 分析対象

本研究では、感覚制限機構の導入と改修に関する3つの事例を対象とする。

事例A： 高温感覚制限の導入と、温熱刺激を好む利用者からの苦情

事例B： 冷蔵保管による持続的冷感曝露と、冷感制限機構への要求

事例C： 予測不能な感覚入力に対する利用者の需要と、同意管理上の制約

また、これらに共通する問題として、安全制御機構の解除を求める利用者要求を分析する。

各事例では、従来の機能要求、安全対策の目的、改修によって生じた新たな問題、および必要となる追加要求を整理した。

3.2 分析の枠組み

本研究では、目標指向要求工学を用いて機能要求と安全要求の関係を整理する。

また、STAMP/STPA[5]に基づいて、損失、ハザード、非安全なコントロールアクションおよび制御構造を分析する。

さらに、人間中心設計の観点から、利用者が実際に何を求めているかを検討する。

人間中心設計に関するISO 9241-210:2019[6]では、利用者、利用目的および利用状況の理解を設計活動の重要な要素としている。

成人向け感覚共有製品では、利用者の嗜好が一般的な製品と大きく異なる場合があることから、開発者自身の価値判断だけで望ましい感覚を定義することは避けるべきである。

ただし、利用者が要求した機能をすべて実装すべきであるという意味ではない。

本研究では、機能要求の収集と安全上の許容判断を分離して扱う。

この整理に当たっては、設計に関わる価値を明示的に扱うValue Sensitive Designの枠組みも参照する[11]。

4. 事例分析

4.1 事例A：高温感覚制限と温熱刺激への苦情

4.1.1 高温感覚制限の導入

感覚共有型魔道具の煮沸消毒中に、約100℃の熱水への投入に対応する強い熱痛が本人へ伝達される事故が発生した。

この事故では、魔道具本体は耐熱仕様を満たしており、感覚受信者に直接的な熱傷は認められなかった。

しかし、本人は激烈な熱痛を経験し、急性の生理学的ストレス反応を呈した。

事故を受け、製造事業者は高温入力に対する感覚遮断機構を導入した。

当該機構では、42℃相当以上と判定された感覚入力を遮断する方式が採用された。

42℃という値は製品設計上の暫定的な制御閾値であり、すべての利用者に共通する生理学的な安全限界を意味するものではない。

この機構によって、従来は転送されていた高温刺激の一部が遮断された。

4.1.2 感覚消失に関する苦情

高温感覚制限機構の導入後、一部の利用者から製品の感覚再現性に関する苦情が寄せられた。

特に、蝋を用いた温熱刺激を好む利用者から、製品に刺激を加えても従来のような感覚が伝達されないという報告があった。

調査の結果、感覚入力機構は正常に動作していた。

しかし、感覚制限術式が高温に該当する感覚情報を一括して破棄していたため、温熱感覚に結合した接触感覚も同時に失われていた。

したがって、製品は新たな安全仕様に適合していた一方、利用者の一部が期待する機能を満たしていなかった。

4.1.3 要求競合の分析

本事例における主な要求は、次の2つである。

機能要求FR-A1： 利用者が求める温熱刺激を再現する。

安全要求SR-A1： 有害な熱痛刺激を受信者へ伝達しない。

これらの要求は、必ずしも論理的に矛盾しているわけではない。

安全上許容される温熱感覚が存在し、その範囲内で利用者の期待する体験を再現できるならば、両者は同時に満たし得る。

しかし、実装された制御方式は、高温と判断された感覚情報を一括して除去するものであった。

この方式では、入力側の物理温度と、本人が受け取る感覚の強度・性質を十分に区別できていなかった。

さらに、温覚成分と接触感覚成分を独立に制御していなかった。

したがって、安全要求そのものが機能要求と衝突していたというより、安全要求を実現するために採用された制御方式が、必要以上に機能を制限していたと解釈できる。

4.1.4 設計上の示唆

本事例から、入力刺激を一律に破棄する方式に代えて、以下の機構を検討する必要がある。

1. 温覚と接触感覚の分離
2. 高温入力に対する感覚強度の変換
3. 利用者ごとの感覚特性の考慮
4. 高温感覚の継続時間に対する制限
5. 安全監視機構による独立した転送停止

ただし、入力を弱い感覚へ変換すれば必ず安全になるわけではない。

感覚出力と生理学的な負荷の関係を検証したうえで、許容可能な変換範囲を定める必要がある。

4.2 事例B：低温感覚の制限と持続時間

4.2.1 冷蔵保管に伴う問題

感覚共有型魔道具の操作者が、冷感による刺激を目的として製品を家庭用冷蔵庫に投入した事例が報告された。

当初、操作者は一過性の冷感を想定していた。

しかし、製品が冷蔵庫内に留置されたことにより、低温刺激に対応する感覚が継続的に本人へ転送された。

受信者は、当初の一時的な冷感から、次第に持続的な不快感を訴えるようになった。

本事例では、強い冷却刺激だけでなく、感覚転送が長時間継続すること自体が問題となった。

4.2.2 低温感覚制限への要求

事故後、高温側に限定されていた安全制御を低温側にも拡張することが検討された。

しかし、低温感覚を一律に遮断する方式についても、冷感刺激を好む利用者から反対が生じた。

利用者の要求は、冷感を完全に除去することではなく、不快な刺激や過度な持続を防ぎながら、一定範囲の冷感を維持することであった。

ここで生じた問題は、高温感覚制限と共通している。

ただし、高温の場合と異なり、冷蔵保管では刺激の強度よりも、継続時間の管理が重要となる場合がある。

4.2.3 強度と持続時間の非代替性

刺激強度が許容範囲内にあることは、その刺激を無期限に継続してよいことを意味しない。

逆に、短時間の刺激が許容可能であることも、長時間の継続を正当化しない。

したがって、感覚刺激に関する安全性は、瞬間的な強度だけでなく、時間的な条件を含めて評価しなければならない。

例えば、次の要求が必要となる。

SR-B1： 感覚刺激の瞬間的強度を制限する。

SR-B2： 単一刺激の最大継続時間を制限する。

SR-B3： 一定期間内の累積曝露を管理する。

SR-B4： 継続的な感覚受信許可が存在しない場合には、接続を停止する。

本事例は、安全性を温度閾値のみで管理する方式の限界を示している。

4.3 事例C：予測不能性と同意管理

4.3.1 正規使用による不適時感覚入力

感覚共有型成人用魔道具の操作者が、正規の用途に従い製品を使用したところ、感覚受信者が業務上の会議に出席していたため、本人の社会生活に支障が生じた事例が報告された。

製品の認証、接続および感覚転送には異常が認められなかった。

問題となったのは、刺激の種類や強度ではなく、その発生時刻であった。

当該事故を受け、製造事業者は感覚受信者による使用可能時間帯の指定および接続ごとの承認を検討した。

4.3.2 予測不能な刺激への需要

一方、利用者の一部から、刺激が発生する正確な時刻を事前に知らないこと自体が、利用体験の一部であるとの意見が寄せられた。

この要求は、単純に同意のない刺激を望んでいることを意味しない。

特定の時間帯、操作者および刺激範囲について事前に許可し、その範囲内で刺激の発生タイミングを操作者へ委任する場合が考えられる。

したがって、予測不能性と非同意性は区別されるべきである。

4.3.3 要求競合の分析

本事例には、以下の要求が存在する。

FR-C1： 許可された範囲内で、刺激の発生タイミングに予測不能性を認める。

SR-C1： 本人が許可していない状況で感覚刺激を発生させない。

CR-C1： 許可は時間・相手・刺激範囲によって限定される。

CR-C2： 本人がいつでも許可を撤回できる。

これらの要求は、刺激の発生時刻を完全に固定することなく両立し得る。

例えば、短時間のセッションを事前に許可し、その期間内における刺激の発生時刻には一定の自由度を与える方式である。

ただし、受信者が同意を撤回した場合には、その時点でセッションが終了しなければならない。

したがって、予測不能性の実現に必要なのは、同意管理の撤廃ではなく、許可された不確実性の範囲を明確に定義することである。

4.4 事例比較

これらの事例から、危険な刺激を排除することと、利用者にとって価値のある刺激を維持することは、異なる要求として扱う必要があると考えられる。

5. 安全要求と利用者効用の構造

5.1 嗜好的刺激の評価

本研究では、利用者が感覚刺激から得る主観的な価値を、利用者効用と呼ぶ。

利用者効用には、単に刺激の快・不快だけでなく、予測可能性、相手との関係、本人の制御感および利用状況なども含まれる。

利用者iについて、感覚出力yと利用状況kから得られる効用を、

U_i(y,k)

と定義する。

ここで、Uᵢは必ずしも刺激強度に対して単調増加しない。

また、同一の刺激であっても、利用者や状況によって効用が異なる場合がある。

例えば、ある温熱刺激が一人の利用者にとって肯定的な経験であっても、別の利用者には強い不快感をもたらす可能性がある。

さらに、同一人物であっても、刺激の発生時刻や心理状態によって評価が変化し得る。

したがって、利用者効用を製品の物理的入力値のみから決定することはできない。

5.2 危害と不快感の区別

感覚刺激に対する負の評価は、少なくとも以下の3つに区別できる。

第一：本人が望まない主観的不快感

本人が刺激を望まず、不快な経験として評価している状態である。

第二：生理学的な有害反応

本人の主観的評価にかかわらず、刺激によって許容できない身体的・生理学的影響が生じる状態である。

第三：同意または制御可能性の欠如

刺激の性質にかかわらず、本人が許可していない、または停止できない状態である。

これらは相互に関連するが、同一ではない。

例えば、ある刺激を本人が肯定的に評価していても、生理学的な危害が発生する可能性はある。

逆に、刺激そのものが弱くても、本人の意思に反して継続される場合には、自己決定権に関する問題が生じる。

本研究では、利用者効用の最大化により、これらの問題を相殺できるとは考えない。

5.3 安全性の独立した制約

安全性を単に利用者効用の減点項目として扱うと、効用が十分に大きい場合には、重大な危害を許容する解が導出される可能性がある。

例えば、

\max \left[U_i(y)-\lambda R(y)\right]

という単純な目的関数では、効用と危険性が交換可能なものとして扱われる。

しかし、重大な危害や本人の同意の欠如は、適切な重みλを選べば常に許容できるという性質のものではない。

したがって、本研究では安全要求の一部を目的関数ではなく、満たすべき制約として定義する。

この区別によって、安全性を優先することと、利用者効用を無視することを混同せずに済む。

6. 多目的最適化モデル

6.1 基本モデル

感覚共有型魔道具の感覚変換設定をθとする。

物理入力x(t)に対する感覚出力は、

y_\theta(t)=F_\theta(x(t))

と表される。

また、感覚受信者の生理状態、感覚特性および曝露履歴をz(t)とする。

感覚出力が受信者に与える危害の評価を、

R_j(y_\theta,z,k)

と定義する。

jは危害の種類、kは利用状況を表す。

本研究では、利用者効用の最大化を次の最適化問題として定式化する。

\begin{aligned}\max_{\theta}\quad &\mathbb{E}[U_i(y_\theta,k)]\\ \text{subject to}\quad &R_j(y_\theta,z,k)\leq R_{j,\max}\\ &\operatorname{Consent}(t)=1\\ &\operatorname{MonitorHealthy}(t)=1\\ &\operatorname{StopLatency}\leq\Delta_{\max}\\ &\theta\in\Theta_{\mathrm{validated}}\end{aligned}

ここで、

• Rⱼ,max：危害種別jについて許容される上限
• Consent(t)：有効な感覚受信許可
• MonitorHealthy(t)：安全監視機構の健全性
• Δmax：停止要求から転送停止までの最大許容遅延
• Θvalidated：安全性評価を完了した設定の集合

である。

危害の上限値は、適切な生理学的評価および安全基準に基づいて定める必要がある。

また、感覚受信者の状態zが不確実な場合には、その不確実性を評価に含めなければならない。

例えば、許容可能な状態の集合Zᵢを定義できる場合、

\sup_{z\in Z_i}R_j(y_\theta,z,k)\leq R_{j,\max}

という頑健最適化の条件を用いることが考えられる。

ただし、Zᵢが十分に定義できない場合や、危害を定量的に評価できない場合には、この式によって安全性が保証されるわけではない。

検証不能な設定を実行可能領域へ含めないことが必要である。

6.2 実行可能領域

安全制約を満たす設定の集合を、

\Theta_{\mathrm{safe}}=\{\theta\in\Theta_{\mathrm{validated}}\mid\text{すべての必須安全制約を満たす}\}

とする。

設計上の最適化は、この集合の内部で行う。

したがって、設計問題は、

\theta^*\in\operatorname*{arg\,max}_{\theta\in\Theta_{\mathrm{safe}}}U_i(\theta)

と表現できる。

この方式では、利用者効用を高めるために安全制約を無効化する必要はない。

また、利用者ごとに異なる効用関数を持つ場合でも、安全制約の範囲内で設定を個別化することができる。

ただし、Θsafeが空集合となる場合には、要求された機能を提供できない。

その場合の適切な設計判断は、安全制約を緩和することではなく、機能要求の修正または当該機能の提供見送りである。

6.3 感覚制限方式の比較

以下の4方式を比較する。

方式A：一律遮断

高温または低温と判定された感覚情報を、所定の閾値で完全に遮断する。

実装は比較的容易であるが、安全制約を満たす入力と危険な入力の区別が粗く、必要以上に感覚が失われる可能性がある。

方式B：感覚成分の選択的制限

温覚、冷覚、触覚、圧迫感などを分離し、対象となる感覚成分を制御する。

他の感覚成分を維持できる可能性があるが、成分の独立性を保証できるとは限らない。

方式C：安全範囲への感覚変換

入力の物理量を直接再現するのではなく、検証された安全範囲内の感覚へ変換する。

温熱感覚の存在を維持しながら、過大な入力を抑制できる可能性がある。

ただし、主観的な感覚強度と生理学的な負荷との対応を検証する必要がある。

方式D：利用者による安全制約の全面解除

感覚変換や遮断機構を無効化し、入力を忠実に転送する。

感覚再現性に対する制約は小さくなるが、有害刺激の転送を防止できない。

したがって、方式Dは本研究の安全制約を満たさず、許容可能な設計案には含めない。

表1：感覚制御方式の比較

ここで、成分別制御や安全範囲内変換が実際に安全かどうかは、実装と検証の結果に依存する。

表の評価は、各方式の設計上の可能性を比較したものであり、実測された安全性能を示すものではない。

6.4 温度閾値だけでは意図を識別できない

高温感覚制限機構に関する問題は、単純な温度閾値の調整では解決できない。

例えば、同じ温度・圧力・接触時間を持つ物理入力であっても、本人が許可した温熱刺激と、洗浄中に偶発的に発生した刺激では、その正当性が異なる。

物理入力をx、利用者の許可状態をcとする。

同じxに対して、許可状態が異なる2つの状況を考える。

状況1： 本人が許可した感覚共有セッションにおける入力

状況2： 感覚共有を許可していない洗浄工程での入力

ここで、物理入力のみに依存する制御関数f(x)を考える。

fは両状況で同じ出力を返さざるを得ない。

しかし、状況1では許容される感覚入力の一部を伝達し、状況2では感覚転送を停止する必要がある。

したがって、物理入力だけに依存する制御機構では、使用目的と同意状態が異なる状況を完全に識別できない。

感覚安全制御は、刺激情報とは独立した接続状態および許可情報を必要とする。

6.5 パレート最適性と安全制約

安全制約を満たす複数の設計案が存在する場合、感覚再現性、個別適応性、応答遅延、操作負荷などの性能指標の間に競合が生じる。

例えば、感覚成分の分離を高度化すれば再現性は改善する可能性がある一方、処理遅延や設計の複雑性が増加する場合がある。

これらは、パレート最適性の観点から比較できる。

ただし、本研究では、安全制約を満たさない設計を、優れた利用者効用によって正当化しない。

設計手順は次の順序を取る。

1. 許容できない危害と安全制約を定義する。
2. 安全制約を満たす設計案を抽出する。
3. 抽出された設計案の間で利用者効用、感覚忠実度、応答遅延等を比較する。
4. 利用者の嗜好に応じて適切な設計案を選択する。

この方式では、安全性の確保を最適化の前提条件として位置づける。

7. STPAに基づく安全要求の分析

7.1 損失の定義

本研究では以下の損失を定義する。

L1： 利用者に許容できない生理学的危害が発生する。

L2： 本人が望まない感覚刺激が発生・継続する。

L3： 安全機構の導入によって、必要な製品機能が過度に阻害される。

L4： 利用者の誤認または過信によって、危険な使用状態が発生する。

L5： 安全機構の無効化や異常動作によって、有害刺激を制御できなくなる。

L3はL1と同じ種類の人的危害ではない。

しかし、製品機能の喪失は利用者の安全機構回避行動や、検証されていない製品への移行を誘発する可能性があるため、設計上の独立した損失として扱う。

なお、機能制限が必ず危険行動を誘発するという意味ではない。安全対策後の行動変化については、個別に検証する必要がある。

7.2 ハザードの定義

H1： 有害な感覚刺激が安全制限を受けずに転送される。

H2： 感覚刺激の継続時間や累積曝露が適切に制御されていない。

H3： 感覚受信者が望まない状況で転送が開始・継続される。

H4： 安全監視機構が無効化された状態で感覚転送が可能となっている。

H5： 安全機構の作用範囲を利用者が誤認し、危険な入力を許容してしまう。

7.3 非安全なコントロールアクション

表2：感覚安全制御におけるUCA

一律遮断による製品機能の喪失は、直接には機能要求の未達成として扱う。

ただし、安全機能を利用者が回避する動機を生じさせる場合には、UCA-06やUCA-07につながる因果シナリオの一部となり得る。

このように、安全要求の不足だけでなく、安全要求の実装方法が利用者行動へ及ぼす影響も考慮する必要がある。

8. 安全制御アーキテクチャの提案

8.1 感覚変換と安全監視の分離

本研究では、感覚共有型魔道具の制御を、次の3層に分離することを提案する。

第1層：感覚生成層

物理入力から感覚表象を生成し、利用者の設定に応じて感覚成分を変換する。

第2層：独立した安全監視層

感覚出力の強度、継続時間、累積曝露、接続状態および安全制約の成立を評価する。

第3層：感覚転送許可層

本人の同意、セッションの有効性、安全監視の健全性を確認し、転送の許可・停止を実行する。

この構成では、第1層の設定変更によって第2層および第3層の安全制約を無効化できない。

また、安全監視層が異常となった場合には、感覚転送許可層が接続を停止する。

これにより、利用者ごとの感覚変換の自由度を確保しながら、独立した安全制約を維持できる。

8.2 感覚成分の分離と変換

高温感覚制限に関する苦情を受け、感覚生成層では複数の感覚成分を分離して制御する。

例えば、温熱刺激に伴う接触感覚については、危険な温覚成分を制限した場合にも、接触感覚が維持されるようにする。

また、低温感覚についても、入力の物理温度をそのまま再現するのではなく、検証済みの感覚範囲へ変換する方式を検討する。

ただし、感覚成分が独立した情報として存在するとは限らない。

このため、感覚分離の実現可能性と、分離後の感覚が受信者に与える影響については、個別に検証する必要がある。

8.3 利用者設定の設計

利用者が設定できる項目と、変更できない安全制約を分離する。

利用者が設定できる項目

• 感覚成分の相対的な強さ
• 許可された範囲内での温熱感覚の表現
• 許可された範囲内での冷感の表現
• 刺激の時間的変化
• セッションの有効時間
• 予測不能な刺激を許可する範囲
• 通知・確認方法

利用者が変更できない項目

• 検証済み安全範囲の上限
• 緊急停止機能
• 安全監視機構の健全性確認
• 同意の撤回権限
• 通信・制御異常時の安全側停止
• 過度な刺激継続を防止する制約

こうした分離により、安全性を損なうことなく、利用者の嗜好に応じた調整を提供できる。

8.4 安全機構の全面解除要求への対応

一部利用者は、感覚再現性の向上を理由として、安全制限機構の全面解除を要求する場合がある。

しかし、本人が危険な刺激を望んでいるという事実は、その刺激が生理学的に安全であることを意味しない。

また、利用者の同意は、製造事業者が危険な設計を提供することについて、あらゆる責任を免れる根拠にはならない。

したがって、本研究では安全監視機構の全面解除を製品機能として提供しない。

代わりに、利用者が安全制約の範囲内で選択できる感覚変換方式を充実させる。

安全性と感覚再現性の両立が不可能な要求については、実現不可能な要求として明示することが適切である。

8.5 使用者の認知モデルへの配慮

感覚共有型魔道具では、利用者が安全機構の存在を過信することにも注意が必要である。

例えば、高温感覚制限が導入されたことによって、あらゆる温度条件で製品を安全に使用できると誤解される可能性がある。

しかし、高温制限機構があっても、低温刺激の持続、物理的な製品損傷、接続管理の問題などは残る。

したがって、製品の表示では「高温感覚制限あり」という情報だけでなく、その機能が防止する危険と、防止できない危険を区別して提示する必要がある。

この点は、利用者が実際にどのような安全機構を期待しているかを検討する人間中心設計の課題となる。

9. 検証計画

9.1 検証対象

提案するアーキテクチャの検証には、少なくとも以下の項目が必要となる。

1. 感覚成分の分離精度
2. 感覚変換による主観的な再現性
3. 刺激強度制限の実効性
4. 最大継続時間と累積曝露の制御
5. 同意撤回後の停止応答時間
6. 安全監視機構の故障時の挙動
7. 設定変更時の安全制約の維持
8. 利用者による安全機構の理解度

特に、感覚再現性の評価と生理学的安全性の評価を混同してはならない。

利用者が製品を快適であると評価していても、安全性に関する検証が完了したことにはならない。

また、主観的な不快感が小さいことも、生理学的な危害が存在しないことの証明にはならない。

9.2 評価指標

表3：安全性と利用者効用の評価指標

評価指標は、製品の仕様と利用状況に応じて具体化する必要がある。

9.3 検証手順

検証は、以下の順序で実施することを推奨する。

第1段階：形式的な制御検証

状態遷移モデルを構築し、安全制約が常に満たされるかを検証する。

第2段階：非人体負荷による感覚転送試験

感覚受信先を模擬負荷へ置換し、高温、低温、振動、長時間入力等に対する制御特性を検証する。

第3段階：安全監視機構の故障注入試験

感覚生成層と安全監視層に異常を与え、危険な転送が継続しないことを確認する。

第4段階：人間中心設計に基づく評価

安全性が確認された刺激範囲内で、利用者の主観的な感覚再現性、操作性、同意管理の理解度を評価する。

第5段階：利用開始後の監視

安全機能の誤停止、利用者苦情、機能不足、異常操作等の情報を収集し、要求仕様の継続的な改善へ反映する。

10. 考察

10.1 安全性と利用者効用は単純な対立関係にない

本研究で分析した事例は、安全性を高めるほど利用者効用が必ず低下するという関係を示しているわけではない。

むしろ、設計方式によっては、安全性を確保しながら利用者効用を向上させる余地が存在する。

高温感覚制限の事例では、熱覚と触覚を一括して遮断する方式が機能不足をもたらした。

一方、感覚成分を分離して変換できれば、危険な感覚出力を制限しながら、利用者が求める接触感覚を維持できる可能性がある。

したがって、要求競合が存在する場合には、直ちに一方の要求を放棄するのではなく、制御構造を再設計することで両立可能な領域を探索することが重要である。

ただし、安全な実行可能領域が存在しない場合には、機能要求を修正する必要がある。

10.2 嗜好は危害の定義を変更しない

ある刺激が利用者にとって肯定的な意味を持つことは、その刺激が自動的に安全となることを意味しない。

例えば、疼痛を伴う刺激を好む利用者であっても、過度な刺激によって身体的な有害反応を生じる可能性はある。

一方、本人が望む軽度の刺激を、単に不快な感覚に分類されるという理由だけで一律に禁止することも、製品の目的機能を不必要に損なう可能性がある。

したがって、安全設計では、本人の主観的な評価と生理学的な危害評価を分離する必要がある。

これは、本人の嗜好を無視するためではなく、嗜好の多様性を尊重しながら安全性を維持するための条件である。

10.3 利用者要求を無条件に実装するべきではない

要求工学における要求収集は、利用者から提示された要求をすべて実装することを意味しない。

例えば、安全機構を解除したいという要望は、その背景にある目的を理解するための重要な情報である。

しかし、目的と解決策は区別する必要がある。

高温感覚制限の解除を求める利用者は、必ずしも安全監視機構の無効化そのものを目的としているわけではない。

実際には、温熱感覚の再現性を改善したい、触覚の消失を防ぎたい、あるいは感覚の調整範囲を拡大したいという目的を持っている可能性がある。

したがって、安全機能の撤廃という解決案を採用する前に、その背後にある機能要求を抽出する必要がある。

この観点では、利用者が求めた実装方法をそのまま採用することは、むしろ不適切な要求分析となり得る。

10.4 安全機能による行動変化

安全機構の導入は、利用者の行動を変化させる場合がある。

例えば、安全制限によって目的とする感覚が得られなくなった利用者が、製品の設定変更、改造、または別の製品への移行を検討する可能性がある。

このような現象は、安全対策と利用者行動の相互作用という観点から検討する必要がある。

Hedlund[7]は、安全対策が人間の行動へ与える影響に関するリスク補償の議論を整理している。

ただし、安全機能が導入されれば利用者が必ず危険行動を増やすという主張には、十分な一般性があるわけではない。

本研究において重要なのは、利用者による安全機構の理解と、機能制限に対する反応を、設計評価の対象に含めることである。

特に、危険な改造や制限回避を誘発するほど目的機能が損なわれている場合には、安全機能を撤廃するのではなく、設計全体を改善する余地を検討すべきである。

10.5 安全制御と製品競争力

製造事業者にとって、感覚再現性は製品競争力の重要な要素である。

しかし、安全性を検証していない刺激条件を許可することによって、短期的な利用者満足度を向上させる設計は、長期的な製品信頼性や安全性を損なう可能性がある。

また、競合他社が安全制限の解除機能を提供していることは、当該機能の安全性を保証しない。

したがって、製品の差別化は、安全制約の撤廃ではなく、安全範囲内での感覚表現の高度化によって実現することが望ましい。

例えば、感覚変換技術の高度化、利用者ごとの個別調整、接続制御の改善などは、安全要求と利用者効用の双方に寄与し得る。

10.6 製品品質における安全性の位置づけ

ISO/IEC 25010:2023[8]は、ICT製品の品質特性を整理するための製品品質モデルを規定している。

感覚共有型魔道具においても、機能適合性、信頼性、操作性、安全性などを区別して評価することが重要である。

ある製品が高い感覚忠実度を持つことは、必ずしも安全であることを意味しない。

逆に、安全性の確保だけを理由として、製品の主要な機能を無制限に損なってよいわけでもない。

製品品質の評価では、必要な安全制約を満たしたうえで、利用者の目的に適合する機能を提供できるかが問われる。

本研究は、このような品質特性の分離が、嗜好的刺激を目的とするシステムにおいて特に重要であることを示している。

10.7 成人向け製品の安全規格との関係

成人向け製品には、ISO 3533:2021[9]のように、人体の性器等と直接接触する製品の材料、設計および安全性を扱う規格が存在する。

同規格では、機械的危険、振動、電気的安全、表面温度、洗浄等が検討対象となる。

しかし、感覚共有型魔道具においては、製品の物理的な温度と、離れた場所にいる本人が経験する感覚出力を区別する必要がある。

したがって、直接接触する製品の表面温度に関する基準を、そのまま感覚転送の許容限界へ適用することはできない。

例えば、製品表面がある温度を超えていないとしても、感覚変換術式が強い熱痛を生成する可能性はある。

逆に、物理的な入力温度が高くても、安全監視を通じて人体への感覚転送を停止することは技術的に可能である。

このため、感覚共有型魔道具の安全性を評価する際には、製品本体の物理的危険と、感覚転送を介して生じる危害を別々に分析する必要がある。

11. 研究の限界

本研究には以下の限界がある。

第一に、対象とした3事例は感覚制限と利用者要求の競合を分析するために選定したものであり、利用者集団全体における嗜好の分布を推定するものではない。

第二に、利用者効用の定量化は行っていない。

特に、温熱感覚、冷感、疼痛に類似する感覚および予測不能性の価値は、個人差と文脈依存性が大きく、単一の測定尺度によって十分に表現できるとは限らない。

第三に、生理学的な危害評価関数について、具体的な推定結果は得られていない。

したがって、提案した最適化モデルは設計上の定式化であり、安全な刺激強度や時間上限を直接決定するものではない。

第四に、感覚成分の完全な分離が可能であるとは限らない。

温覚、触覚、痛覚に相当する感覚表象が結合している場合には、安全性を確保しながら特定の感覚だけを維持することに技術的制約が生じる可能性がある。

第五に、利用者の同意については、技術的な許可の有無を中心として扱っており、強制、欺罔、意思能力の変化および社会的な権力関係などの問題を包括的には検討していない。

第六に、本研究では安全監視機構の独立性を要求しているが、実装可能な制御周期、演算負荷、魔力供給および故障率について具体的な検証を行っていない。

これらは今後の実装研究および利用者評価における主要な課題となる。

12. 結論

本研究では、感覚共有型成人用魔道具における高温感覚制限、冷感制御および予測不能な感覚入力という3事例を対象として、安全要求と利用者効用の間に存在する競合を分析した。

分析の結果、以下の知見が得られた。

第一に、感覚共有型成人用魔道具では、安全上制限すべき刺激と、利用者が求める刺激が部分的に重なる場合がある。

したがって、刺激の種類だけに基づく一律の遮断は、利用者の期待する機能を過度に制限する可能性がある。

第二に、利用者が刺激を肯定的に評価することと、その刺激が生理学的に安全であることは区別しなければならない。

本人の嗜好や同意が存在する場合でも、安全性を検証できない刺激条件を許容することは適切でない。

第三に、安全性と利用者効用を単一の目的関数で無条件に交換可能なものとして扱うべきではない。

満たすべき安全制約を定義し、その実行可能領域内で利用者効用を最大化する方式が適切である。

第四に、安全制約の導入が機能要求を阻害する場合には、安全制約の撤廃ではなく、感覚表象の分離、刺激変換および制御構造の再設計を検討すべきである。

これにより、安全性を確保しながら利用者の嗜好に対応する余地が生じる。

第五に、感覚共有型魔道具の安全設計は、刺激強度だけでなく、継続時間、接続状態、本人の同意および停止可能性を統合的に管理する必要がある。

以上から、嗜好的刺激を目的機能とするシステムにおいては、安全性と利用者効用を単純な対立関係として捉えるのではなく、異なる評価基準を持つ要求として明示的に分離することが重要である。

製品の目的は、感覚刺激を無制限に伝達することでも、あらゆる刺激を遮断することでもない。

許容できない危害を防止しながら、利用者が望む感覚経験を可能な限り実現することである。

今後は、感覚変換方式の実装と安全監視機構の形式検証に加え、利用者の嗜好と生理学的安全性を独立して評価する研究が必要となる。

参考文献

1. Dunkley, C. R., Henshaw, C. D., Henshaw, S. K., & Brotto, L. A. (2020). Physical Pain as Pleasure: A Theoretical Perspective. The Journal of Sex Research, 57(4), 421–437. https://doi.org/10.1080/00224499.2019.1605328

2. Wuyts, E., De Neef, N., Coppens, V., Fransen, E., Schellens, E., Van Der Pol, M., & Morrens, M. (2020). Between Pleasure and Pain: A Pilot Study on the Biological Mechanisms Associated With BDSM Interactions in Dominants and Submissives. The Journal of Sexual Medicine, 17(4), 784–792. https://doi.org/10.1016/j.jsxm.2020.01.001

3. Wuyts, E., & Morrens, M. (2022). The Biology of BDSM: A Systematic Review. The Journal of Sexual Medicine, 19(1), 144–157. https://doi.org/10.1016/j.jsxm.2021.11.002

4. van Lamsweerde, A. (2001). Goal-Oriented Requirements Engineering: A Guided Tour. Proceedings of the Fifth IEEE International Symposium on Requirements Engineering, 249–262. https://doi.org/10.1109/ISRE.2001.948567

5. Leveson, N. G., & Thomas, J. P. (2018). STPA Handbook. MIT Partnership for Systems Approaches to Safety and Security. https://psas.scripts.mit.edu/home/books-and-handbooks/

6. ISO. (2019). ISO 9241-210:2019 — Ergonomics of human-system interaction — Part 210: Human-centred design for interactive systems. https://www.iso.org/standard/77520.html

7. Hedlund, J. (2000). Risky business: Safety regulations, risk compensation, and individual behavior. Injury Prevention, 6(2), 82–90. https://doi.org/10.1136/ip.6.2.82

8. ISO/IEC. (2023). ISO/IEC 25010:2023 — Systems and software engineering — Systems and software Quality Requirements and Evaluation (SQuaRE) — Product quality model. https://www.iso.org/standard/78176.html

9. ISO. (2021). ISO 3533:2021 — Sex toys — Design and safety requirements for products in direct contact with genitalia, the anus, or both. https://www.iso.org/standard/79631.html

10. Power, J., Pym, T., James, A., & Waling, A. (2024). Smart Sex Toys: A Narrative Review of Recent Research on Cultural, Health and Safety Considerations. Current Sexual Health Reports, 16, 199–215. https://doi.org/10.1007/s11930-024-00392-3

11. Friedman, B., Kahn, P. H., Jr., & Borning, A. (2008). Value Sensitive Design and Information Systems. In K. E. Himma & H. T. Tavani (Eds.), The Handbook of Information and Computer Ethics. Wiley. https://doi.org/10.1002/9780470281819.ch4

付記：設計上の基本原則

本研究で検討した要求競合は、次の3つの原則に整理できる。

原則I：利用者が望む刺激を、直ちに危険と同一視してはならない。

原則II：利用者が望む刺激を、直ちに安全と同一視してはならない。

原則III：安全制約と機能要求の競合は、可能な限り制御構造の再設計によって解決すべきであり、安全制約の無条件な撤廃によって解決してはならない。

これらの原則は、感覚共有型魔道具に限らず、人間が一定の負荷、緊張、刺激または危険性を伴う体験に価値を見いだす製品やサービスの設計にも適用可能である。

利用者の嗜好を尊重することと、安全性に関する設計責任を放棄することは、同義ではない。