感覚共有型魔道具におけるライフサイクル安全性の体系的分析

――STAMP/STPAを用いた非接触的生理学的危害のハザード同定――

A Systems-Theoretic Analysis of Lifecycle Safety in Sensory-Sharing Magical Devices: Hazard Identification of Non-Contact Physiological Harm Using STAMP/STPA

要旨

背景： 感覚共有型魔道具は、身体複製体に加えられた物理的刺激を遠隔地の身体モデル本人へ感覚として転送する技術である。成人向け感覚共有製品の普及に伴い、使用、洗浄、保管および廃棄の各工程において、直接的な組織損傷を伴わない生理学的有害事象が報告されている。従来の製品安全評価は、魔道具本体の耐久性および身体への直接的な物理的作用を重視しており、感覚転送を介した危害に対する体系的評価が十分ではない。

目的： 感覚共有型魔道具のライフサイクルにおける危険状態を体系的に同定し、安全制約および制御アーキテクチャ上の要求を導出する。

方法： 煮沸消毒中の熱痛曝露、冷蔵保管中の持続的冷感曝露、および焼却廃棄中の感覚共有制御喪失という3事例を対象とした。STAMP（Systems-Theoretic Accident Model and Processes）に基づいて事故発生過程を再構成し、STPA（System-Theoretic Process Analysis）を適用して非安全なコントロールアクション、因果シナリオおよび安全制約を導出した。

結果： 3事例は、①刺激強度に対する制御の欠如、②刺激の累積曝露に対する制御の欠如、③安全監視機構と感覚転送機構の機能喪失順序の不適切さ、という相互に関連する問題として整理された。また、感覚転送の停止を使用者の意思操作のみに依存する設計、および製品廃棄時の接続解除手順が不十分であることが、危険状態の継続に寄与していた。

結論： 感覚共有型魔道具の安全性は、製品本体の耐熱性や耐久性ではなく、感覚受信者に対する有害刺激の発生・継続を制御できるかというシステム特性として評価する必要がある。刺激強度と曝露時間を考慮した安全監視、独立した感覚転送遮断機構、および廃棄前の不可逆的接続解除を含むライフサイクル横断的な安全アーキテクチャが求められる。

キーワード： STAMP、STPA、システム安全工学、感覚共有魔道具、非接触的生理学的危害、フェイルセーフ、ライフサイクル安全、感覚転送

1. 緒言

1.1 研究背景

感覚共有型魔道具は、対象者の身体形状または特定の身体部位を模した物体に加えられた刺激を、当該対象者の身体感覚として遠隔的に再現する技術である。

この技術は、遠隔触覚通信、感覚訓練、身体感覚の再現などに応用されているが、特に成人向け製品では、身体の精密な形状複製と高度な感覚再現性を組み合わせた製品が広く利用されている。

代表的な製品は、身体モデル本人の外性器を模した成人用性具であり、製品表面に与えられた触覚、圧迫、温熱、冷却などの刺激を、感覚共有術式を介して本人に転送する。

このような製品には、物理的な身体接触を伴わずに感覚を伝達できるという利点がある。一方で、製品の物理的状態と感覚受信者の身体状態が一致しないという、従来の製品安全評価では十分に扱われてこなかった特性が存在する。

例えば、感覚共有魔道具を熱湯に投入した場合、魔道具自体は耐熱仕様によって損傷を免れ、感覚受信者の身体にも熱エネルギーは直接伝達されない。

しかし、熱刺激に相当する感覚が転送されれば、受信者は強烈な熱痛を経験し得る。

疼痛は必ずしも実際の組織損傷を必要としない。国際疼痛学会（IASP）の定義でも、疼痛は実際または潜在的な組織損傷に関連する、あるいはそれに類似した不快な感覚的・情動的経験として位置づけられている[3]。

また、疼痛に伴う自律神経系の反応には、呼吸数の変化、発汗、筋緊張、血管収縮、心血管系の反応などが含まれ、個人差も大きい[4]。

したがって、魔道具から感覚受信者へ熱エネルギーが移動しないことは、人体への危害が発生しないことを意味しない。

このような感覚転送に伴う有害事象を、本研究では**非接触的生理学的危害（non-contact physiological harm）**と呼ぶ。

1.2 従来の安全評価における問題

感覚共有型魔道具の品質評価は、主として以下の項目を対象としてきた。

1. 魔道具の材料強度および耐久性
2. 温度、圧力、化学物質等に対する製品の耐性
3. 感覚転送術式の再現性および安定性
4. 感覚共有の接続成功率および伝達遅延
5. 一般的な使用条件における操作性

これらの評価項目は、個々の構成要素の機能や製品性能を検証するうえで重要である。

しかし、製品の機能がすべて正常であっても、システム全体として危険な状態が発生する場合がある。

例えば、魔道具の耐熱試験に合格していることと、煮沸消毒中に人体への感覚転送が発生しないことは、異なる要求である。

前者は製品の物理的耐久性に関する要求であり、後者は感覚受信者を含むシステム全体の安全性に関する要求である。

両者を混同すると、製品の正常動作によって人体への有害刺激が発生するという事態を見逃すことになる。

Leveson[1]は、安全性を構成要素の信頼性へ還元する見方には限界があり、システム全体で適切な安全制約が維持されているかを検討する必要があると論じた。

この観点は、感覚転送という機能そのものが危害発生の経路となり得る感覚共有型魔道具に適している。

1.3 研究目的

本研究の目的は、感覚共有型魔道具の製品ライフサイクル全体を対象として、感覚転送を介した人体への有害事象を引き起こす制御構造上の問題を明らかにすることである。

具体的には、以下の研究課題を設定する。

RQ1： 感覚共有型魔道具において、構成要素が正常に動作している場合にも生理学的危害が発生するのはなぜか。

RQ2： 保管および廃棄工程に特有のハザードは、通常使用時の安全要求によって十分に制御できるか。

RQ3： 刺激の種類、強度および継続時間が異なる事故に対して、共通して適用可能な安全制約を導出できるか。

本研究では、事故を個別の操作ミスや部品故障の集積として扱うのではなく、システム内の制御構造と情報の不整合として分析する。

2. 対象システム

2.1 感覚共有型魔道具の構成

本研究では、身体複製型成人用感覚共有魔道具を分析対象とする。

対象製品は、身体モデル本人の外性器形状を精密に複製した感覚受容体と、感覚情報を本人へ伝達する感覚共有魔導核から構成される。

基本的な動作過程は次のとおりである。

1. 製品表面または内部構造に物理的刺激が加わる。
2. 感覚受容術式が刺激を検出する。
3. 感覚変換術式が入力に対応する感覚表象を生成する。
4. 感覚共有魔導核が遠隔地の身体モデル本人へ情報を伝達する。
5. 受信者の神経感覚系に対応する感覚が生じる。

この転送では、入力側と受信側の間で熱エネルギーや機械的な力そのものが移動するわけではない。

したがって、入力側で発生した物理的現象と、受信者側で生じる生理学的反応を区別する必要がある。

本研究では、前者を物理入力、後者を感覚出力と定義する。

両者の対応関係は、刺激の種類、感覚変換術式の設定、受信者の感覚特性などに依存する。

特に、製品表面の物理温度から受信者の主観的な熱痛強度を一意に推定できるとは限らない。

2.2 システム境界と関係主体

本研究では、魔道具本体に加えて以下の主体をシステム境界に含める。

製品操作者と感覚受信者は同一人物であるとは限らない。

また、製品の所有者、物理的な操作者、感覚受信者がそれぞれ異なる場合もある。

したがって、製品が正規の所有者によって操作されていることは、感覚受信者にとって安全な状態であることを保証しない。

2.3 製品ライフサイクル

分析対象とするライフサイクルは、通常使用、洗浄・保守、保管、廃棄準備、破壊処理および契約失効から構成される。

このうち、洗浄・保管・廃棄工程では、感覚共有機能を使用する必要性が通常存在しない。

しかし、感覚転送機構が常時有効である製品では、使用目的と感覚転送状態が独立して変化する。

例えば、操作者が製品を保管していると認識していても、感覚共有制御機構は通常使用中と同様に入力を転送し続ける場合がある。

この不整合が、本研究における主要な分析対象となる。

3. 研究方法

3.1 分析対象事例

本研究では、感覚共有型成人用魔道具をめぐる架空の安全インシデント記録を構成し、危害の発生機構が異なる3事例を設定した。

• 事例A： 煮沸消毒中の熱痛曝露事故
• 事例B： 冷蔵保管中の持続的冷感曝露事故
• 事例C： 焼却廃棄中の感覚共有制御喪失事故

各事例について、製品状態、操作経緯、感覚転送の継続条件、安全機構の状態、および受信者に生じた影響を整理した。

記述中の事故記録、製品仕様、操作手順、当事者の申告および医療的評価の要約は、分析のために創作した設定である。実在の個人情報や患者情報は用いておらず、ハザード分析に直接関係しない性的使用の詳細も扱わない。

なお、3事例は安全上の問題の異質性に着目して選定したものであり、事故発生率や各ハザードの頻度を推定するための標本ではない。

3.2 分析手法

STAMPは、事故を部品故障の線形的連鎖として説明するのではなく、システム内の安全制約が適切に維持されなかった結果として説明する事故因果モデルである[1]。

STAMPに基づくハザード分析手法であるSTPAでは、以下の手順を用いる[2]。

1. 分析目的、許容できない損失、およびハザードを定義する。
2. システムの安全制御構造を構築する。
3. 非安全なコントロールアクション（Unsafe Control Actions：UCA）を同定する。
4. それらのUCAが発生する因果シナリオを分析し、安全制約を導出する。

本研究では、事故後の制御構造の再構成にCASTの考え方[1]を併用し、複数事例から得られた知見をSTPAによって統合した。

分析の目的は、特定の個人に事故の責任を帰属させることではなく、危険状態を発生・継続させたシステム上の条件を明らかにすることである。

4. 事故事例の再構成

4.1 事例A：煮沸消毒中の熱痛曝露事故

4.1.1 事故の経緯

感覚共有型成人用魔道具の使用後、洗浄担当者が製品を回収し、衛生管理手順に従って煮沸消毒を開始した。

当該製品は煮沸消毒に対応する耐熱仕様を備えており、取扱説明書にも熱湯による洗浄が可能である旨が記載されていた。

洗浄担当者は、感覚共有機能が有効な状態であることを認識していなかった。

製品が沸騰水に投入されると、感覚受信者は急激かつ強烈な熱痛を知覚した。

受信者は感覚共有の解除を試みたが、当該製品の解除術式は使用者自身の魔力集中を要する方式であったため、強い苦痛下での操作が困難となった。

最終的に、製品が熱湯から取り出されたことにより刺激が消失した。

受信者には強い疼痛の訴えと急性の自律神経反応が認められた一方、局所的な熱傷所見は確認されなかった。

製品検査の結果、感覚共有機能および製品の耐熱性には異常が認められなかった。

4.1.2 直接的な発生条件

本事例では、以下の条件が同時に成立していた。

• 感覚共有が接続状態にあった。
• 洗浄担当者には接続状態を確実に確認する手段がなかった。
• 高強度の熱刺激に対する自動遮断機構が存在しなかった。
• 受信者側の接続解除操作が、苦痛によって阻害された。
• 製品の耐熱性能が、感覚共有中の洗浄安全性と区別されていなかった。

4.1.3 安全工学的解釈

本事例では、洗浄担当者が規定された手順を実施し、魔道具も設計された機能を正常に発揮していた。

したがって、事故を単なる誤操作や部品故障に帰属させることは適切でない。

事故発生の主要因は、洗浄作業に伴う熱刺激が感覚受信者に伝達されてはならないという安全制約が、システムに実装されていなかった点にある。

また、緊急時の解除操作を受信者の認知的・魔力的能力に依存させたことも、危険状態の継続に寄与した。

この事例は、製品の正常動作によって重大なシステム事故が発生する場合があることを示している。

4.2 事例B：冷蔵保管中の持続的冷感曝露事故

4.2.1 事故の経緯

感覚共有型成人用魔道具の操作者が、低温による感覚刺激を得る目的で製品を家庭用冷蔵庫内に投入した。

当初は短時間の冷感刺激を想定していたが、製品は感覚共有を有効にしたまま冷蔵庫内に留置された。

感覚受信者には継続的な冷感が発生し、特に身体内部から冷却されるような不快な感覚として知覚された。

時間の経過とともに、当該感覚は意図された一過性の刺激から、本人が望まない持続的な感覚入力へと変化した。

受信者は強い不快感、筋緊張、悪寒に類似する感覚などを訴えた。

一方、受信者自身の深部体温が製品と同様に低下したことを示す所見はなく、冷感の主な原因は感覚転送による知覚入力と判断された。

4.2.2 安全機構の状態

当該製品には、先行する熱痛事故を受けて、高温入力に対する感覚制限機構が実装されていた。

しかし、この機構は一定の高温条件に対する遮断を目的としており、低温側には同等の制限が設けられていなかった。

また、刺激が一定強度以下であれば、長時間継続しても自動停止しない設計となっていた。

したがって、感覚共有術式および高温制限機構は仕様どおりに作動していたものの、低温刺激の持続を抑制することはできなかった。

4.2.3 安全工学的解釈

本事例は、単純な刺激強度の閾値管理では十分な安全性を確保できないことを示している。

危険性は、刺激の瞬間的な強度だけでなく、継続時間、累積曝露、刺激の予測可能性、受信者の状態および停止可能性に依存する。

また、高温側の事故への対応として導入された安全機構が、低温側の危険を残したことから、個別事例への局所的な対策だけでは安全要求を網羅できないことが明らかとなった。

重要なのは、冷蔵行為そのものが必ずしも危険であるということではない。

短時間の感覚刺激として許容される入力が、継続時間と制御状態の変化によって非安全な入力になり得るという点である。

4.3 事例C：焼却廃棄中の感覚共有制御喪失事故

4.3.1 事故の経緯

身体複製型魔道具の所有者が、製品の使用終了に伴い、正規の廃棄事業者へ処分を依頼した。

当該製品は、魔導材料の残留活性を除去するため、高温焼却によって最終処理される予定であった。

廃棄事業者は規定された手順に従い、製品を焼却炉に投入した。

しかし、製品の感覚共有契約は有効な状態で残存していた。

焼却開始直後、高温感覚制限機構が作動したため、感覚受信者への熱痛転送は一時的に抑制された。

その後、焼却炉内の温度上昇に伴い、温度検知術式および安全監視機構の一部が損傷した。

当該製品では、安全監視機構の停止が感覚共有術式の停止を保証する構造になっていなかった。

このため、安全監視機構が機能を喪失した後も、感覚共有魔導核による転送は継続した。

その結果、感覚受信者へ強い熱痛が伝達され、感覚共有魔導核が最終的に破壊されるまで有害刺激が継続した。

4.3.2 安全機構の機能喪失順序

事故発生過程は、次の4段階に整理できる。

第1段階：焼却開始

製品が高温環境に曝露される。安全監視機構は動作しており、高温入力の一部が遮断される。

第2段階：安全監視機構の損傷

温度検知・制限術式が熱的損傷を受け、安全制約を維持できなくなる。

第3段階：感覚共有機能の残存

感覚転送機構は引き続き動作する。安全監視機構の有効性が失われても、転送停止が実行されない。

第4段階：魔導核の最終的な破壊

感覚共有機能そのものが停止し、有害刺激が消失する。

なお、魔導核の耐熱性能が高かったことは、製品機能の残存時間を延長する方向に作用した。

4.3.3 安全工学的解釈

本事例の重要な特徴は、製品の破壊過程において、安全機能と本来機能が同時に停止しなかったことである。

安全監視機構の機能喪失が感覚転送機構の機能喪失に先行したため、危険な機能のみが残存する時間区間が生じた。

また、廃棄事業者には接続状態を確認する手段がなく、感覚受信者にも廃棄開始を把握する手段がなかった。

さらに、廃棄処理が開始された製品は通常の遠隔管理対象から除外される運用となっていたため、接続解除のための管理経路も失われていた。

本事例では、魔道具の物理的耐久性が安全性向上に寄与せず、むしろ危険な状態を延長した。

したがって、安全監視機構の失効後にも危険な本来機能が残存する設計は、製品破壊工程を含めて非安全であると評価される。

4.4 事例の比較

3事例には刺激の種類、製品の動作状態、ライフサイクル上の位置に相違がある。

一方、いずれの事例でも、感覚転送を停止するべき条件が適切に定義・実装されていなかった点は共通する。

5. STPAによるハザード分析

5.1 許容できない損失の定義

本研究では、以下の損失を設定する。

L1： 感覚受信者への激烈な疼痛または強度の不快感の発生

L2： 感覚刺激に伴う有害な生理学的・心理的反応の発生

L3： 感覚受信者が望まない刺激を停止できないことによる苦痛の継続

L4： 製品の保守・廃棄工程における第三者への予期しない危害

ここで、L1およびL2の成立に直接的な熱傷や凍傷の存在は必要条件ではない。

感覚転送に伴う苦痛とその生理学的帰結を、それぞれ独立した評価対象とする。

5.2 システムハザードの定義

損失をもたらし得るシステム状態として、以下を同定した。

H1： 感覚共有が不要または許可されていない工程において、感覚転送が有効となっている。

H2： 感覚受信者が許容できない強度または持続時間の刺激を受信し得る。

H3： 感覚転送が有効な状態で、安全監視機構の健全性が失われている。

H4： 感覚受信者または安全制御機構が、有害刺激の転送を確実に停止できない。

H5： 感覚共有契約が失効していない状態で、製品の不可逆的な破壊処理が開始される。

H1からH5は、必ずしも事故そのものを意味しない。

例えば、接続状態のまま廃棄設備へ搬入された段階はH5に先行する危険状態であり、廃棄工程における転送が有効ならH1に該当する。未失効のまま不可逆的な破壊処理が始まった時点で、人体への危害がまだ発生していなくてもH5が成立する。

安全設計では、このような危険状態が損失へ発展する前に制御する必要がある。

5.3 非安全なコントロールアクション

STPAでは、制御が提供されない場合、不適切な制御が提供される場合、タイミングや順序が不適切な場合、および制御の継続時間が不適切な場合を区別する。

本研究で同定した主要なUCAを表1に示す。

表1：主要な非安全なコントロールアクション

これらのうち、UCA-04は刺激の瞬間的な強度が必ずしも危険ではない点、UCA-05は安全機構自体の故障時の挙動が問題になる点で重要である。

5.4 因果シナリオ

5.4.1 不十分なプロセスモデル

感覚共有型魔道具では、各制御主体が保持するプロセスモデルの不一致が事故の成立に寄与する。

事例Aでは、洗浄担当者は「煮沸可能な製品は煮沸してよい」と認識していた。

一方、感覚共有機構は洗浄中であることを認識せず、入力刺激の転送を継続した。

事例Bでは、操作者は低温刺激を一時的に与えることを想定していたが、制御機構は刺激の継続が許容されるかを再評価しなかった。

事例Cでは、廃棄担当者は製品を破壊することが安全な最終処理に該当すると認識していた。しかし、製品の破壊過程では、安全監視機構が感覚転送機構より先に停止した。

いずれの事例でも、制御主体が把握する状態と実際のシステム状態が一致していなかった。

5.4.2 不十分なフィードバック

安全制御を成立させるためには、制御主体が安全上必要な情報を取得できなければならない。

本研究では、少なくとも次のフィードバックが不足していた。

• 操作者に対する感覚共有接続状態の通知
• 洗浄担当者に対する感覚転送禁止状態の通知
• 感覚受信者に対する刺激入力の発生源および転送継続状態の情報
• 管理サービスに対する安全監視機構の健全性情報
• 廃棄事業者に対する感覚共有契約の失効確認

接続状態を知らない操作者に「接続を解除してから洗浄すること」を要求しても、それだけで安全性が保証されるわけではない。

安全上必要な情報を適切な主体へ提供する機構が不可欠である。

5.4.3 安全機能と本来機能の不適切な依存関係

事例Cでは、安全監視機構の停止が本来機能である感覚転送の停止を引き起こさなかった。

この構造では、監視機構が正常に動作している間しか安全性を維持できない。

安全監視機構の故障により制御能力が失われる場合には、危険な機能が停止する方向へ遷移する必要がある。

特に、製品が段階的に破壊される工程では、安全機能と本来機能が同時に停止することを前提としてはならない。

5.5 安全制約の導出

分析結果から、以下の安全制約を導出した。

SC-01： 洗浄、保守、通常保管および廃棄工程では、感覚転送を禁止しなければならない。

SC-02： 感覚受信者への刺激は、強度と継続時間を考慮した検証済みの安全範囲内に制限しなければならない。

SC-03： 安全監視機構の異常または健全性の確認不能が発生した場合、感覚転送を停止しなければならない。

SC-04： 感覚受信者には、通常の感覚共有術式とは独立した停止手段が提供されなければならない。

SC-05： 受信者の意思操作が困難な場合にも、自動的な安全停止が可能でなければならない。

SC-06： 感覚共有契約が有効な製品について、不可逆的な破壊処理を許可してはならない。

SC-07： 廃棄前に感覚共有契約を不可逆的に失効させ、その完了を検証しなければならない。

SC-08： 安全監視機構と感覚転送機構の機能喪失順序にかかわらず、人体への危険な転送が継続しないようにしなければならない。

6. 安全制御アーキテクチャの提案

6.1 ライフサイクル状態の明示的管理

従来の感覚共有型魔道具では、製品の物理的使用状態と感覚転送状態が十分に区別されていなかった。

この問題に対処するため、製品のライフサイクル状態を明示的に管理する方式を提案する。

製品状態を次の集合で定義する。

M = {待機、接続、保守、保管、廃棄準備、廃棄完了}

感覚転送が許可されるのは、原則として「接続」状態に限る。

また、接続状態への遷移には、感覚受信者による有効な許可と、安全監視機構の健全性確認を必要条件とする。

保守状態または廃棄準備状態から接続状態へ復帰する場合には、改めて安全条件を評価しなければならない。

廃棄完了状態は終端状態とし、感覚共有契約の再有効化を禁止する。

6.2 安全制約の形式化

感覚転送を許可する条件を、以下の論理式で表す。

TransferAllowed = ActiveSession ∧ ValidConsent
                  ∧ MonitorHealthy ∧ WithinSafetyEnvelope
                  ∧ ¬EmergencyStop

ここで、

• ActiveSession：有効な感覚共有セッションが存在すること
• ValidConsent：感覚受信者の許可が有効であること
• MonitorHealthy：安全監視機構が正常であること
• WithinSafetyEnvelope：刺激条件が安全範囲内であること
• EmergencyStop：緊急停止要求が発生していること

を意味する。

これらの条件は、感覚転送の継続中にも評価されなければならない。

安全制約の代表的な時間的性質を、線形時相論理（LTL）で記述する。

P1：安全監視の健全性

G(Transmit → MonitorHealthy)

すなわち、感覚転送が有効なすべての状態において、安全監視機構が健全でなければならない。

P2：保守・保管・廃棄状態での転送禁止

G((Maintenance ∨ Storage ∨ Disposal) → ¬Transmit)

保守、通常保管または廃棄中は、常に感覚転送が停止していなければならない。ここでStorageは通常保管状態、Disposalは廃棄準備から廃棄完了までの状態を表す。

P3：接続許可の確認

G(Transmit → ValidConsent)

感覚転送中には、常に有効な受信許可が存在しなければならない。

また、廃棄の実行許可には次の条件を課す。

DisposalPermit → ContractRevoked ∧ ¬Transmit

ここでContractRevokedは、感覚共有契約が不可逆的に失効している状態を意味する。

緊急停止については、停止要求から転送停止までの時間に上限を課す必要がある。この要求は、時間上限を表現できる時相論理によって、

G(StopRequested → F[≤ Δ] ¬Transmit)

と記述できる。

Δは、停止要求を受理してから実際に感覚転送が停止するまでの最大許容遅延である。

ただし、Δの具体的な値は、感覚転送の制御周期、術式の応答特性および人体への影響評価に基づいて決定する必要がある。

これらは安全要求の形式化であり、各製品が実際に満たしていることを示すものではない。製品への適用には、状態遷移モデルの構築と検証が別途必要である。

6.3 刺激強度と累積曝露の統合管理

事例Aおよび事例Bから、刺激の瞬間的な強度のみを監視する方式には限界があることが示された。

特に、弱い刺激が長時間継続する場合の問題を扱うためには、時間的な曝露を考慮する必要がある。

刺激による負荷の概念モデルとして、次式を考える。

B(T)=\int_0^T \varphi(s(t),z(t))\,dt

ここで、

• B(T)：時刻Tまでの累積感覚負荷
• s(t)：時刻tにおける感覚刺激の強度・種類を表す状態量
• z(t)：受信者の生理状態、感受性、直前までの曝露履歴等
• φ：刺激条件から負荷への変換関数

とする。

この式は、単なる温度と時間の積を安全指標とするものではない。

感覚刺激の負荷は、刺激の種類、強度、時間変化および個人差に依存するため、φの具体的な形は独立した実験的検討を必要とする。

また、ある時点の刺激強度が極端に高い場合には、累積負荷が所定値に到達する前に即時停止する必要がある。

したがって、実際の安全制御では、

1. 瞬間的な刺激強度の制限
2. 単一刺激の最大継続時間
3. 一定期間における累積曝露の制限
4. 受信者の停止意思の優先
5. 安全監視不能時の即時切断

を組み合わせる必要がある。

なお、これらの制約に適用する許容値は、検証された生理学的知見に基づかなければならず、製品開発上の便宜のみで決定してはならない。

6.4 独立した安全遮断機構

事例Cから、感覚共有機能と安全監視機能の関係を見直す必要があることが明らかとなった。

本研究では、感覚転送術式への許可信号とは別に、独立した遮断機構を配置する構成を提案する。

安全監視機構は、感覚転送の開始・継続を許可するために常時健全である必要がある。

監視機構の電源、魔力供給、情報伝送経路または術式自体が失われた場合には、転送許可が自動的に失効する構造とする。

これにより、安全監視機構の停止によって感覚転送が無制限に継続する事態を防止する。

ただし、単に安全術式を別系統に配置するだけでは不十分である。

共通の魔導核、共通の魔力供給源、または共通の制御経路への依存が残存する場合には、共通原因故障によって安全機能と遮断機能が同時に失われる可能性がある。

したがって、独立性の検証には、制御経路、作動原理、魔力供給、物理配置および破壊時の挙動を含める必要がある。

6.5 廃棄前の不可逆的接続解除

感覚共有契約が有効な製品の破壊は、受信者へ予期しない刺激を発生させる可能性がある。

そのため、廃棄工程では製品の破壊と感覚共有の解除を明確に分離する必要がある。

推奨される工程は以下のとおりである。

1. 製品の識別と廃棄対象の確認
2. 感覚転送の停止
3. 感覚共有契約の不可逆的失効
4. 失効完了の独立した検証
5. 魔導核の無害化
6. 製品本体の物理的破壊

ここで重要なのは、感覚共有の停止と契約の不可逆的失効を区別することである。

一時停止だけでは、製品の再起動や術式の再活性化に伴って感覚転送が復帰する可能性がある。

廃棄対象の製品については、受信者との接続を再確立できない状態へ移行させる必要がある。

また、失効処理が不可能な旧型製品については、通常の焼却処理を認めず、専用の無害化工程を適用することが求められる。

7. 安全要求の検証計画

本研究で導出した安全制約を製品設計へ適用する際には、設計文書上の要件定義に加え、実際の異常状態を想定した検証が必要である。

特に、通常使用における機能試験だけでは、事故を再現する条件を十分に網羅できない。

表2：主要な検証項目

人体への高強度刺激を伴う直接試験は不要であり、感覚転送先を模擬負荷へ置換した試験系によって、遮断特性と状態遷移を検証できる。

一方、生理学的に妥当な感覚制限値の設定については、倫理的に管理された範囲での感覚評価と、既存の疼痛研究の知見を組み合わせる必要がある。

制御アーキテクチャの妥当性検証と、感覚刺激の人体安全性の検証は、それぞれ異なる課題として扱うべきである。

8. 考察

8.1 感覚共有型魔道具における安全性と信頼性の分離

本研究の3事例で最も重要な知見は、安全性と信頼性を同一視できないことである。

事例Aでは、製品の耐熱性能と感覚転送機能が正常であったことが、事故の発生を防止しなかった。

事例Bでは、高温感覚制限機構が正常であっても、低温による継続的な刺激を防止できなかった。

事例Cでは、高い耐熱性能を持つ感覚共有魔導核が、安全監視機構の失効後も動作を継続したことで、危険状態が延長された。

すなわち、信頼性の向上が必ずしも安全性の向上を意味するわけではない。

この結果は、Leveson[1]が指摘した、個々の構成要素が正常に動作していてもシステム事故が発生するというSTAMPの基本的な事故観と整合する。

8.2 非接触的生理学的危害の特徴

感覚共有型魔道具に特有の問題は、危害の伝達経路と物理的なエネルギー伝達経路が分離している点である。

従来の熱傷事故では、人体組織へ熱エネルギーが流入することで組織損傷が発生する。

一方、感覚共有型魔道具では、入力側の熱刺激が受信側の感覚表象として再現される。

この場合、受信者に熱傷がないことは、苦痛や有害な生理学的反応が存在しないことを意味しない。

実験的疼痛に関する研究では、疼痛刺激が自律神経系の反応と関連することが示されている。ただし、心拍数や血圧の反応は一様ではなく、個人差や状況要因を考慮する必要がある[4]。

したがって、感覚共有型魔道具の危害評価では、皮膚や粘膜の損傷に加えて、主観的な疼痛、機能障害および生理学的反応を評価する必要がある。

また、製品の物理温度と受信者の主観的な熱痛の間には単純な対応関係がないため、製品温度の測定値だけに基づいて人体安全性を保証することは困難である。

8.3 局所的な安全対策の限界

煮沸消毒事故に対する対策として高温感覚制限を追加することは、一定の有効性を持つ。

しかし、冷蔵保管事故は、このような個別の刺激に対応するだけでは安全制約を網羅できないことを示している。

ここでは、熱さと冷たさを別々の危険として捉えるのではなく、感覚入力の強度、継続時間、受信者の許可および停止可能性を共通の制御条件として扱う必要がある。

ただし、成人向け感覚共有製品では、温熱感覚や一定程度の不快感そのものが、利用者の求める刺激の一部となる場合がある。

このため、あらゆる不快刺激を一律に排除する方式は、製品の機能要求と衝突する可能性がある。

安全設計では、利用者が求める感覚の再現性と、許容できない生理学的危害の防止を区別する必要がある。

これは、刺激の忠実度を最大化するという単一の性能指標から、機能要求と安全制約を分離した設計への転換を意味する。

8.4 廃棄工程を含むシステム境界の重要性

事例Cから、製品の使用終了が安全性評価の終了を意味しないことが明らかとなった。

製品の焼却や粉砕は通常、製品機能を不可逆的に停止させるための工程である。

しかし、感覚共有型魔道具の場合、破壊の過程そのものが感覚刺激を生成する可能性がある。

さらに、構成要素の機能喪失順序によって、安全機構が失われた後も本来機能が残存する状態が発生し得る。

したがって、安全性評価のシステム境界には、製造、使用、洗浄、保管だけでなく、回収、無害化、破壊および契約失効まで含める必要がある。

特に、感覚共有機構の停止を製品の完全な物理的破壊に依存する設計は不適切である。

安全な廃棄とは、破壊処理の最終段階で感覚転送が停止することではなく、危険な破壊処理を開始する前に、人体への感覚転送が確実に失効している状態を実現することである。

8.5 制御主体の認識と安全制約

本研究では、事故発生に際して、操作者の悪意や製品の異常動作を仮定する必要がなかった。

洗浄担当者は衛生管理を実施し、冷蔵事例の操作者は感覚刺激の変化を試み、廃棄担当者は正規の処分手順に従っていた。

それぞれの操作は、操作者が保持していた情報の範囲では合理的なものであった。

にもかかわらず、感覚受信者に対する危害が発生した。

このことは、システム安全を操作者の注意深さのみに依存させることの限界を示している。

特に、操作者が認識できない接続状態を前提として安全な操作を要求する設計には、構造的な問題がある。

安全制約は、取扱説明書や注意喚起によって補助されるべきであるが、その実効性を操作者の記憶や慎重さだけに依存させてはならない。

8.6 他の感覚転送システムへの示唆

本研究で導出した安全要求は、特定の成人向け製品に限られるものではない。

遠隔触覚システム、神経インターフェース、感覚訓練装置などにおいても、外部装置の状態が人体の知覚に影響を与える場合、刺激の制御と人体安全性の間には同様の問題が生じ得る。

また、第三者が感覚入力を制御できるシステムでは、操作権限や通信認証の問題が安全制約と密接に関係する。

Friedbergら[5]は、サイバーフィジカルシステムの安全性とセキュリティを統合して分析するSTPA-SafeSecを提案している。

感覚共有型魔道具においても、感覚転送経路への不正操作が人体への有害刺激に直結し得るため、安全性とセキュリティの統合分析は重要な課題となる。

ただし、本研究は通常運用およびライフサイクル管理における安全性を中心としており、意図的な不正操作や認証侵害を主対象とはしていない。

9. 研究の限界

本研究には、以下の限界がある。

第一に、分析対象は3事例であり、事故の発生率や各ハザードの相対的な危険度を統計的に推定することはできない。

第二に、感覚刺激の生理学的影響については、症状の記録と既存の疼痛研究を参照しているが、感覚転送特有の刺激条件に対応した量的な曝露限界は確立していない。

特に、冷感の持続時間と生理学的負荷の関係、個人の感覚特性による反応差、および反復曝露の影響については追加研究が必要である。

第三に、本研究のSTPAはハザードおよび因果シナリオの体系的な同定を目的としており、提案した安全アーキテクチャがすべての事故を防止することを形式的に証明したものではない。

第四に、感覚共有魔導核の損傷過程における詳細な状態遷移については、製品世代や術式構成によって差異が生じる可能性がある。廃棄工程の安全性を保証するためには、製品ごとの破壊時動作を検証する必要がある。

第五に、本研究では利用者の嗜好および効用を安全制約の設計条件として認識しているが、安全性と利用者体験の間の競合について詳細な最適化分析は行っていない。

以上の限界を踏まえ、本研究の成果は、感覚共有型魔道具の安全設計に関する構造的な要求を導出したものとして位置づけられる。

10. 結論

本研究では、身体複製型成人用感覚共有魔道具における煮沸消毒、冷蔵保管および焼却廃棄の3事例を対象として、STAMP/STPAに基づくライフサイクル安全性の分析を実施した。

分析の結果、以下の知見が得られた。

第一に、感覚共有型魔道具では、直接的な組織損傷を伴わない場合にも、感覚転送を介して生理学的危害が発生し得る。

したがって、製品本体の物理的耐久性や人体への直接的なエネルギー伝達の有無だけでは、安全性を評価できない。

第二に、安全性を確保するためには、刺激の瞬間的な強度だけでなく、継続時間、累積曝露および感覚転送の停止可能性を考慮する必要がある。

特定の高温入力を遮断する機構だけでは、低温刺激や長時間の感覚曝露に伴う問題に十分に対応できない。

第三に、安全監視機構の健全性が失われた場合には、感覚転送が停止するアーキテクチャを採用する必要がある。

安全監視機構の破壊後にも感覚共有機能が残存する設計は、製品の廃棄工程において重大な危険をもたらし得る。

第四に、製品の廃棄処理を開始する前に、感覚共有契約を不可逆的に失効させることが必要である。

製品の完全な物理的破壊を感覚転送の終了条件とする設計は、ライフサイクル安全の観点から不適切である。

以上から、感覚共有型魔道具の安全性は、個々の構成要素の信頼性によって保証されるものではなく、製品、操作者、感覚受信者および保守・廃棄工程を含むシステム全体において、安全制約が維持されることによって成立すると結論づけられる。

今後は、本研究で導出した安全制約について、具体的な状態遷移モデルを用いた形式検証と、感覚刺激に対する生理学的評価を組み合わせて検討する必要がある。

また、感覚受信者と製品操作者が異なる場合の権限制御、同意管理および不正操作への対策についても、独立した研究課題として取り扱うことが望まれる。

参考文献

[1] Leveson, N. G. (2012). Engineering a Safer World: Systems Thinking Applied to Safety. MIT Press. https://doi.org/10.7551/mitpress/8179.001.0001

[2] Leveson, N. G., & Thomas, J. P. (2018). STPA Handbook. MIT Partnership for Systems Approaches to Safety and Security. https://psas.scripts.mit.edu/home/books-and-handbooks/

[3] Raja, S. N., et al. (2020). The revised International Association for the Study of Pain definition of pain: Concepts, challenges, and compromises. Pain, 161(9), 1976–1982. https://doi.org/10.1097/j.pain.0000000000001939

[4] Kyle, B. N., & McNeil, D. W. (2014). Autonomic arousal and experimentally induced pain: A critical review of the literature. Pain Research and Management, 19(3), 159–167. https://doi.org/10.1155/2014/536859

[5] Friedberg, I., McLaughlin, K., Smith, P., Laverty, D., & Sezer, S. (2017). STPA-SafeSec: Safety and security analysis for cyber-physical systems. Journal of Information Security and Applications, 34, 183–196. https://doi.org/10.1016/j.jisa.2016.05.008