遠隔感覚伝達システムにおける身体的自己決定権とアクセス制御

――所有権、操作権限および時間依存的同意の分離――

Bodily Autonomy and Access Control in Remote Sensory Transmission Systems: Separating Ownership, Operational Authority, and Time-Dependent Consent

要旨

背景： 感覚共有型魔道具は、身体モデル本人を模した製品に加えられた物理的刺激を、遠隔地の本人へ感覚として転送する技術である。特に成人向け身体複製型製品では、製品の所有者、物理的操作者および感覚受信者が異なることが多く、従来の所有権や機器操作権限に基づくアクセス制御では、身体への感覚入力の正当性を十分に保証できない。

目的： 遠隔感覚伝達システムにおいて、認証済みの機器や正当な操作者によっても非安全な感覚入力が発生する条件を明らかにし、身体的自己決定権を尊重したアクセス制御および同意管理のアーキテクチャを提案する。

方法： 愛玩動物による非意図的感覚入力、装飾用花器・芳香器への転用に伴う感覚伝達、正規使用による不適時感覚入力という3事例を分析した。STAMP/STPA-SafeSecの枠組みを用いて安全性とセキュリティの相互依存関係を整理し、操作主体、物理的刺激の発生源、感覚受信者および感覚共有セッションの権限関係を形式化した。

結果： 3事例には、①機器へのアクセス権限と身体への感覚入力許可の混同、②物理的刺激の発生源に関する情報の欠落、③過去の同意を現在の包括的許可として扱う時間的権限管理の不備、という共通の問題が認められた。特に、正規の操作者による刺激と偶発的な物理刺激が同一の観測信号を生成する場合、認証情報と刺激データだけでは両者を識別できないことを示した。

結論： 感覚共有型魔道具のアクセス制御は、製品の所有権や操作者の認証だけでは成立しない。感覚受信者に独立した許可権限を与え、用途・操作主体・時間・刺激範囲を限定した撤回可能なセッションを構築する必要がある。さらに、感覚入力の発生源を完全に認証することは困難であるため、接続状態の明示的管理、受信者側の独立した停止機構、異常入力の監視および物理的な誤使用対策を統合すべきである。

キーワード： 感覚共有魔道具、身体的自己決定権、アクセス制御、STPA-SafeSec、動的同意、ゼロトラスト、遠隔触覚、Teledildonics、システム安全工学

1. 緒言

1.1 研究背景

感覚共有型魔道具は、外部の物体に対する物理的操作を、離れた場所にいる人物の身体感覚として再現する技術である。

身体複製型製品では、特定人物の身体部位を精密に模した感覚受容体が利用される。成人向け製品には、身体モデル本人の外性器形状を再現し、製品への接触、圧迫、振動、温度変化などに対応する感覚を本人へ伝達するものがある。

こうした製品の特徴は、感覚刺激を受ける人物と、刺激の物理的な発生場所が分離されていることである。

製品の操作者は、感覚受信者と同じ場所にいる必要がない。また、感覚受信者が製品を所有している必要もない。

この分離は遠隔的な身体コミュニケーションを可能にする一方、身体への刺激を発生させる権限の所在を複雑化させる。

例えば、身体モデル本人が魔道具を他人へ贈与した場合、受贈者は製品の所有者となる。しかし、製品の所有権を取得したことによって、身体モデル本人へ無条件に感覚刺激を与える権限まで取得したと考えることはできない。

同様に、正規の操作者が感覚共有機能を使用している場合でも、その時刻、場所、刺激の種類および受信者の状態によっては、感覚入力が望まれないものとなり得る。

このような問題は、通信経路の暗号化や利用者認証だけでは解決できない。

なぜなら、技術的に正当な操作と、感覚受信者にとって許容可能な操作は、必ずしも一致しないためである。

1.2 先行研究

遠隔操作型の成人向け触覚機器については、Teledildonicsの研究分野において、利用者の同意、プライバシー、機器の不正操作などが検討されてきた。

Sparrow and Karas[1]は、遠隔的な性的触覚技術において、利用者が想定していた相手と実際の操作主体が異なる場合の同意の問題を検討した。

彼らの議論は、通信相手の認証だけでなく、誰とのどのような行為に同意したのかが重要であることを示唆する。

Gidaris[2]は、遠隔操作型性玩具のハッキングやオンライン性産業の事例を通じて、性的同意とサイバーセキュリティの関係を論じている。

また、Powerら[3]による2024年のレビューは、スマート性玩具に関する研究41件を整理し、非同意的使用、データセキュリティ、健康および安全上の問題を主要な研究課題として挙げている。

技術的な観点では、Giusto and Pastorino[4]が市販のスマート性玩具を調査し、遠隔操作機能、通信トークン、Bluetooth接続およびプライバシーに関する脆弱性を分析している。

これらの研究は、正当な操作主体以外による機器制御が、単なる情報漏洩を超えて身体への直接的な影響をもたらし得ることを示している。

一方、情報システムのアクセス制御では、認証された主体に対して、対象資源へのアクセスを適切な条件の下で許可することが基本となる。

NIST SP 800-207[5]に示されるゼロトラストの考え方も、ネットワーク上の位置や資産の所有関係を暗黙の信頼根拠とせず、主体および資源に対する認証・認可を重視する。

しかし、感覚共有型魔道具では、認証された装置に発生した物理的刺激が、そのまま人体への入力となる。

このとき、通信主体の認証に成功していても、物理的な刺激を誰が、どのような意図で発生させたのかが不明な場合がある。

したがって、既存の情報システムのアクセス制御をそのまま適用するだけでは、身体への感覚入力の正当性を保証できない。

1.3 研究目的

本研究は、次の3つの研究課題に取り組む。

RQ1： 製品への正当なアクセス権限が存在する場合でも、本人の意思に反する感覚入力が発生するのはなぜか。

RQ2： 感覚受信者の同意は、所有権、操作権限および利用時間とどのように区別されるべきか。

RQ3： 認証可能な操作主体と、認証困難な物理的刺激の発生源を含むシステムにおいて、どのようなアクセス制御アーキテクチャが必要か。

本研究は、これらの問題を個々の製品利用者の注意不足へ還元せず、安全制御構造とアクセス権限の設計問題として分析する。

2. 対象システムと権限構造

2.1 感覚共有型身体複製魔道具の動作

対象システムは、以下の構成要素を持つ。

1. 身体複製体： 感覚受信者の身体形状を模した製品本体
2. 感覚入力機構： 製品に作用する物理的刺激を検出する術式
3. 感覚変換機構： 検出した刺激を感覚情報へ変換する術式
4. 感覚共有魔導核： 感覚情報を遠隔地の受信者へ伝達する機構
5. 接続管理機構： 身体モデル本人との感覚共有契約を管理する機構
6. 安全監視機構： 刺激の強度、継続時間、異常状態等を監視する機構

従来型の製品では、感覚共有契約が有効である限り、製品に対する物理的刺激が自動的に本人へ伝達される。

一部の製品では、所有者または操作者の認証が接続管理に利用されるものの、感覚入力そのものについては発生源の認証を行わない。

例えば、製品に加わった圧力が人間の手によるものか、落下物によるものか、動物によるものかを感覚入力機構が識別できるとは限らない。

この特徴は、後述する愛玩動物による事故の主要な成立条件となる。

2.2 関係主体の定義

本研究では、以下の主体を区別する。

Aは必ずしも人間ではない。

愛玩動物、家具、機械、環境振動なども物理的入力源となり得る。

また、同一人物が複数の役割を兼ねることも可能である。

例えば、自分自身の身体複製体を購入して使用する場合、O、P、Sは同一人物となる。

一方、身体複製体を他人へ贈与する場合には、OとSが異なる。

このとき、製品の所有権と、本人の身体感覚に対する決定権を区別する必要がある。

2.3 権限の階層

感覚共有型魔道具の権限は、少なくとも次の4つに分離できる。

2.3.1 物理的所有権

製品を保有、移動、保管、譲渡、処分する権限である。

この権限は製品という物に対するものであり、身体モデル本人への感覚入力を当然に許可するものではない。

2.3.2 操作権限

製品の機能を起動・設定・操作する権限である。

所有者が第三者に操作を委任する場合もある。

2.3.3 感覚受信許可

特定の操作主体から、特定の範囲の感覚刺激を受信することについて、身体モデル本人が与える許可である。

この許可は、操作主体、刺激範囲、使用目的および時間的条件によって限定され得る。

2.3.4 安全制御権限

危険な刺激や異常状態を検出した場合に、感覚共有を停止する権限である。

この権限は製品操作者や所有者によって無効化できてはならない。

特に、感覚受信者の停止要求は、製品所有者の操作継続要求より優先される必要がある。

2.4 所有権と身体的自己決定権の分離

本研究では、次の設計原則を採用する。

原則1：製品の所有権から、身体への感覚入力許可を推定してはならない。

原則2：製品の操作権限から、感覚受信者の現在の同意を推定してはならない。

原則3：過去に成立した同意は、あらゆる時点・状況における包括的許可を意味しない。

原則4：感覚受信者は、所有者および操作者の意思にかかわらず、感覚転送を停止できなければならない。

これらは法域ごとの所有権・人格権の具体的な法的効果を定めるものではなく、安全性と本人の自己決定を確保するための設計原則である。

3. 研究方法

3.1 事例の選定

感覚共有型身体複製魔道具に関する架空のインシデント記録を構成し、操作主体と感覚受信者の関係が異なる3事例を設定した。

• 事例A： 愛玩動物による非意図的な物理刺激
• 事例B： 花器・芳香器への転用による非意図的感覚伝達
• 事例C： 正規使用による不適時感覚入力

これらの事例は、装置の故障や通信経路への外部侵入を主要因としない点で共通している。

一方、Aは物理入力源の問題、Bは所有権と使用目的の問題、Cは時間依存的な同意の問題をそれぞれ代表する。

3.2 分析手法

本研究では、Leveson and Thomas[6]によるSTPAを基本的な分析手法とし、Friedbergら[7]が提案したSTPA-SafeSecの安全性・セキュリティ統合分析の考え方を導入する。

分析手順は以下のとおりである。

1. システムレベルの損失とハザードを定義する。
2. 認証・認可・感覚転送・安全遮断の制御構造を整理する。
3. 各事例から非安全なコントロールアクションを同定する。
4. 当該アクションを生じさせた情報の不足、権限構造の問題、および時間的条件を分析する。
5. 各事例に共通するアクセス制御上の欠陥を抽出する。
6. 新たな権限モデルと安全制約を定義する。

さらに、入力信号の観測可能性に着目した形式的分析を行い、操作主体認証だけでは物理入力の正当性を保証できない条件を検討する。

4. 事故事例の分析

4.1 事例A：愛玩動物による非意図的感覚入力

4.1.1 事故の概要

感覚共有型成人用魔道具の所有者が、感覚共有機能を有効にしたまま製品を室内に放置していた。

その後、飼育されていた犬が製品をくわえて持ち去り、噛む、引っ張る、振り回すなどの行動を取った。

当該製品は物理的な接触刺激を忠実に再現する仕様であり、犬による圧迫、引張りおよび急激な刺激変化が、感覚受信者へ転送された。

感覚受信者は突然の圧迫感や不快な刺激を知覚したが、刺激の発生源を把握できなかった。

製品所有者が犬から製品を回収することにより、異常な刺激の発生は終了した。

製品の通信経路、接続認証および感覚転送機能には異常が認められなかった。

4.1.2 認証機構の限界

本事例では、製品に接続していた操作者は正当な権限を有していた。

第三者によるアカウント侵害や不正な接続要求は発生していない。

したがって、通信主体に対する認証は正常に機能していた。

しかし、感覚入力機構に物理的な刺激を与えていたのは、認証された操作者ではなく犬であった。

ここで重要なのは、犬が情報システム上の権限を取得したわけではないということである。

犬は認証機構を突破せず、正規の感覚入力経路へ直接、物理的刺激を加えていた。

その結果、システムは認証済みのセッションを通じて、意図しない物理刺激を受信者へ転送した。

4.1.3 因果分析

主要な成立条件は次のとおりである。

• 感覚共有セッションが有効な状態で製品が放置された。
• 感覚入力機構は刺激の発生源を認識しなかった。
• 一定強度以下の物理刺激は無条件に転送された。
• 製品の保管・放置状態を検出する制御が不十分であった。
• 感覚受信者は刺激の発生源を確認できなかった。

したがって、本事例は単純なアクセス制御の失敗ではなく、アクセス制御の対象と実際の物理的な作用主体が一致していなかった事例と整理できる。

4.2 事例B：花器・芳香器への転用による非意図的感覚伝達

4.2.1 事故の概要

女性の身体モデル本人が、自己の外性器形状を再現した感覚共有型魔道具を知人へ贈呈した。

受贈者は製品の造形的特徴を評価したものの、当初想定されていた成人向け用途で使用することは希望しなかった。

そこで、製品を室内装飾品として利用し、内部構造を一輪挿しの花器へ転用した。

その後、製品は芳香液と振動魔石を組み合わせたアロマディフューザーとして利用されるようになった。

しかし、製品の感覚共有契約は有効な状態で残存していた。

その結果、花の交換時に生じる接触刺激、内部に保持された液体の動き、および振動魔石による周期的刺激などが、身体モデル本人へ伝達された。

本人は持続的な違和感を知覚していたが、原因が贈与済みの製品にあることを直ちには把握できなかった。

受贈者から製品の使用方法について説明を受けたことにより、感覚入力の発生源が判明した。

4.2.2 所有権と使用目的の不整合

受贈者は、製品の正当な所有者であった。

また、所有者が装飾品として製品を使用すること自体は、直接的に第三者の情報システムへ侵入する行為ではない。

しかし、当該製品は物理的な容器であると同時に、他人の身体感覚へ接続された装置でもあった。

このため、所有者による物理的な利用が、身体モデル本人に対する感覚入力を引き起こした。

本事例の重要な点は、受贈者が感覚受信者に刺激を与える目的で行動していなかったことである。

花器や芳香器としての利用は、受贈者の認識では製品の装飾的・生活用品的な利用であった。

一方、感覚共有機構は使用目的を識別せず、入力された物理刺激を通常どおり転送した。

4.2.3 因果分析

主要な成立条件は次のとおりである。

• 製品の所有権移転後も感覚共有契約が残存した。
• 感覚共有機能が、利用目的にかかわらず有効であった。
• 受贈者には、感覚共有状態を確認する十分な情報が提供されていなかった。
• 感覚受信者には、贈与済み製品の利用状況を把握する仕組みがなかった。
• 保管・装飾・通常使用の状態が感覚転送の許可条件に反映されていなかった。

この結果は、製品の所有権移転と、身体への刺激伝達権限の移転を分離する必要があることを示している。

4.3 事例C：正規使用による不適時感覚入力

4.3.1 事故の概要

身体複製型感覚共有魔道具を所有する人物が、通常の用途に従い製品を使用した。

当該操作者は感覚共有契約において登録された正当な利用者であり、接続認証にも問題はなかった。

しかし、感覚受信者本人はその時刻、重要な取引先との業務上の会議に出席していた。

製品への通常の刺激が転送された結果、本人は予期しない感覚入力を受け、説明を一時中断した。

受信者は操作者に連絡して使用の停止を要求し、その後、感覚転送が停止された。

製品の機能、接続認証および刺激強度には異常が認められなかった。

4.3.2 正規操作と正当な感覚入力の相違

本事例では、以下の条件がすべて成立していた。

• 製品は正規の所有者によって操作された。
• 操作者は登録された接続権限を有していた。
• 感覚転送は製品仕様に従って正常に動作した。
• 刺激は通常の利用範囲内であった。

したがって、従来の認証・認可機構と製品機能の評価だけでは、問題を検出できない。

しかし、感覚受信者はその時刻に感覚入力を受けることを希望していなかった。

過去に製品の利用を許可していたとしても、その許可が業務中を含むあらゆる時間帯へ無条件に適用されるとは限らない。

本事例では、過去の許諾と現在の受信意思が区別されていなかった。

4.3.3 因果分析

主要な成立条件は次のとおりである。

• 感覚共有契約が無期限の包括的許可として扱われていた。
• 感覚受信者が現在の接続可否を設定できなかった。
• 操作者は受信者の現在の状態を把握していなかった。
• 受信者による停止要求が、転送開始前の認可条件に反映されていなかった。

本事例は、正規の用途による正規の操作であっても、タイミングが不適切であれば非安全なコントロールアクションとなり得ることを示している。

4.4 3事例の比較

表1：事故の成立条件と従来型認証の限界

3事例に共通するのは、認証機構が正常であったことである。

事故は認証の失敗によって生じたのではなく、認証が成功したことを、感覚入力の正当性と同一視したことによって生じた。

5. 物理的刺激の発生源と観測可能性

5.1 問題の定式化

感覚共有魔道具の感覚入力機構が、時刻tにおける物理的刺激を観測し、その結果として感覚信号x(t)を生成するとする。

ここで、製品の感覚入力機構が観測する情報をO(e)と定義する。

eは物理的刺激を発生させた出来事である。

例えば、ある人間が意図的に製品を圧迫する出来事をe₁、愛玩動物が偶発的に同様の圧迫を加える出来事をe₂とする。

両者の物理刺激が同一の観測信号を生み出す場合、

O(e_1)=O(e_2)

が成立する。

一方、両者の正当性は異なり得る。

仮に、e₁は感覚受信者が許可した操作であり、e₂は本人が許可していない偶発的刺激であるとする。

この場合、正当性を表す関数Vについて、

V(e_1)=1,\qquad V(e_2)=0

となる。

5.2 入力源識別に関する不可識別性命題

命題1：

感覚入力機構が観測できる情報のみを用いて刺激の正当性を判定する場合、同一の観測情報を持ちながら正当性が異なる2つの出来事を、常に正しく区別することはできない。

証明：

感覚入力機構の観測値から正当性を判定する決定的関数fを考える。

O(e₁) = O(e₂)であるため、

f(O(e_1))=f(O(e_2))

が成立する。

しかし、正当性はV(e₁) = 1、V(e₂) = 0である。

したがって、fは両者に対して同一の判定を返さざるを得ず、少なくとも一方の出来事について正当性を誤判定する。

よって、観測可能な情報が同一である限り、当該情報のみから両者の正当性を常に正しく識別することは不可能である。

証明終。

この命題は、確率的な判定機構を用いた場合にも重要である。観測情報が同一であれば、追加の情報なしに両者を確実に区別できるわけではない。

5.3 工学的含意

本命題は、感覚入力機構の性能向上だけで問題を解決することの限界を示している。

例えば、感覚入力機構の分解能を高めても、許可された人間の操作と偶発的な刺激が同じ信号を生成するなら、両者の識別は保証されない。

解決のためには、感覚信号そのものとは独立した情報が必要である。

具体的には、次のような情報または制御が考えられる。

1. 認証された操作者による明示的なセッション開始
2. 接続中の操作者の存在確認
3. 製品の放置・保管状態の監視
4. 異常な加速度・圧力変化等に対する安全遮断
5. 感覚受信者による継続的な接続許可
6. 非使用時の物理的な刺激入力抑制

ただし、これらの対策も物理的入力源の正当性を完全に保証するものではない。

例えば、認証された操作者が製品を使用している最中に犬が製品を奪った場合、通信認証とセッション許可は依然として有効なままである。

そのため、認証機構に加えて、物理的入力に対する独立した安全制御が必要となる。

6. STPA-SafeSecによる統合分析

6.1 許容できない損失

本研究では以下の損失を定義する。

L1： 本人が望まない身体感覚が発生する。

L2： 意図しない感覚入力によって、身体的・心理的苦痛または社会生活上の支障が生じる。

L3： 本人が感覚共有を停止できない。

L4： 第三者が本人の許可なく身体感覚を操作できる。

L5： 感覚共有に関する機微な情報が本人の許可なく収集・開示される。

L1とL4は重なる場合があるが、必ずしも同一ではない。

例えば、愛玩動物による事故では、本人が望まない感覚入力が発生するものの、動物が本人に対する操作権限を意図的に取得したわけではない。

一方、不正な利用者が他人の権限を利用して操作する場合には、本人の身体感覚への不正アクセスが問題となる。

6.2 システムハザード

H1： 感覚受信者の有効な許可が存在しない状態で感覚転送が可能となっている。

H2： 認証された操作者以外の物理刺激が、感覚入力として転送され得る。

H3： 過去の許可が、現在の状況を考慮せずに使用されている。

H4： 感覚受信者が感覚共有を停止できない。

H5： 接続管理機構が、所有権移転や利用目的の変更を感覚転送権限へ適切に反映していない。

H6： 感覚共有に関する認可情報や履歴が、不要な第三者へ開示され得る。

6.3 非安全なコントロールアクション

表2：主要なUCA

UCA-02は、発生源の情報が不足しているという観測上の問題である。

UCA-05とUCA-06は、操作の正当性が時間的な条件によって変化する問題である。

UCA-07とUCA-08は、アクセス制御の撤回と、それを実際の感覚停止へ反映する機構の問題である。

6.4 安全性とセキュリティの統合的理解

従来のセキュリティ対策では、攻撃者が認証情報を窃取し、不正に機器を操作するシナリオが重要な分析対象となる。

しかし本研究の事例では、認証情報の窃取や通信経路への侵入を必要としない。

システムが正常に許可した刺激経路を通じて、本人の望まない感覚入力が発生している。

したがって、感覚共有型魔道具には以下の2つの制御系が必要となる。

第1の制御系：アクセス制御

誰が、どの製品に対して、どのような操作を要求できるかを管理する。

第2の制御系：感覚安全制御

どのような感覚刺激を、誰に対して、どの条件下で転送してよいかを管理する。

第1の制御系が正常であることは、第2の制御系の安全性を保証しない。

逆に、第2の制御系だけでは、不正な接続や操作権限の侵害を十分に防止できない。

両者を組み合わせて初めて、身体への感覚入力に関する制御が成立する。

7. 時間依存的同意モデル

7.1 同意の構成要素

感覚共有型魔道具における同意は、単純な真偽値として管理するには不十分である。

本研究では、同意を以下の属性を持つ許可オブジェクトとして定義する。

C = (S, P, D, Ω, T, K, R)

ここで、

• S：感覚受信者
• P：許可された操作者
• D：対象製品
• Ω：許可された感覚入力の範囲
• T：許可された時間的条件
• K：利用目的・接続状態に関する条件
• R：撤回・失効に関する状態

を意味する。

例えば、「特定の人物による一定時間の通常使用を許可する」という同意と、「当該人物が任意の時点で使用することを許可する」という同意は異なる。

また、後者のような包括的許可が過去に存在した場合でも、本人が同意を撤回したならば、以後の感覚転送を許可してはならない。

7.2 許可条件の形式化

時刻tにおける感覚転送の許可条件を次のように定義する。

Permit(D, S, P, t) = Auth(D, P, t) ∧ Consent(S, P, D, t)
                    ∧ SessionActive(t) ∧ Safe(t)
                    ∧ ¬Revoked(t)

それぞれ、

• Auth：製品および操作者の認証・操作認可が有効
• Consent：感覚受信者から有効な許可が与えられている
• SessionActive：許可された感覚共有セッションが実行中
• Safe：刺激条件と安全監視機構が安全制約を満たしている
• Revoked：当該許可が撤回されている

ことを表す。

ここで、AuthとConsentは独立した条件である。

したがって、

Auth(D, P, t) = 1

であっても、

Consent(S, P, D, t) = 0

ならば、感覚転送は許可されない。

これが本研究におけるアクセス制御モデルの基本原則である。

なお、この判定が保証するのは、当該操作者が感覚共有セッションを利用してよいということである。

個々の物理刺激が実際にその操作者によって生成されたことまでは保証しない。後者には、第5章で示した観測可能性の制約が残る。

7.3 同意の時間的性質

本研究では、感覚共有に関する同意の有効性を時間依存的なものとして扱う。

許可には開始時刻と終了時刻を設けることを基本とし、必要に応じて利用者が範囲を再設定できるようにする。

ただし、時間帯が許可条件を満たしていることだけでは十分ではない。

感覚受信者の状態が変化した場合には、許可の撤回が可能でなければならない。

また、受信者が接続管理機構と通信できない場合や、正常な受信確認が継続できない場合には、あらかじめ定めた時間内に接続許可を失効させる。

この方式は、初回の認証を恒久的なアクセス権限として扱う方式と異なり、継続的に成立条件を評価する点に特徴がある。

7.4 予告なしの感覚入力と同意

成人向け感覚共有製品では、刺激が発生する正確なタイミングを予測できないこと自体が、利用者の希望する体験の一部となる場合がある。

このような機能は、感覚受信者が刺激の発生時刻を事前に知らないことを意味するが、必ずしも同意が存在しないことを意味しない。

例えば、特定の時間帯と刺激範囲について事前に許可し、その範囲内で刺激の発生タイミングを操作者へ委任することは可能である。

ただし、この場合でも以下の条件が必要である。

1. 許可範囲が事前に明確化されている。
2. 許可の有効期限が設定されている。
3. 感覚受信者が任意の時点で撤回できる。
4. 安全制約が維持されている。
5. 許可範囲外の刺激は転送されない。

したがって、予測不能性と非同意性を同一視する必要はない。

予測できない刺激を受けることへの同意と、同意のない刺激を受けることは、設計上明確に区別されるべきである。

8. 提案するアクセス制御アーキテクチャ

8.1 二重認可方式

本研究では、感覚共有機能の使用に対して二重の認可を要求する方式を提案する。

第1段階：操作主体の認可

製品操作者が、対象製品に対する操作権限を有することを確認する。

第2段階：感覚受信者の認可

身体モデル本人が、当該操作者、時間、刺激範囲に対して有効な感覚受信許可を与えていることを確認する。

感覚転送は両方の条件が成立した場合に限って開始できる。

製品所有者は第1段階に関する権限を管理できるが、第2段階の許可を本人に代わって自由に変更することはできない。

これにより、所有権の取得と身体感覚へのアクセス権限の取得を分離できる。

8.2 感覚受信者側の独立した遮断機構

感覚受信者には、製品操作者の権限とは独立した感覚転送停止手段を提供する。

停止要求は、操作者の接続維持要求より優先される。

また、遠隔管理サービスや操作者側の通信状態に障害が発生した場合でも、受信者側で感覚入力を遮断できるようにする。

この仕組みでは、停止操作を単なる通信要求として扱うのではなく、受信側の感覚転送経路に対する直接的な制御として位置づける。

8.3 非使用時のデフォルト切断

製品が待機、保管、装飾、洗浄または廃棄状態にある場合には、感覚共有を初期状態で無効とする。

新たな接続を開始する際には、認証と受信許可を再確認する。

特に、製品を長期間使用していない場合や、所有権が移転した場合には、旧来の接続権限を自動的に引き継がない。

これにより、花器・芳香器への転用事故のように、生活用品として利用されている製品から意図せず感覚入力が発生することを防止できる。

8.4 物理入力源の不確実性への対策

愛玩動物による事故は、認証機構だけでは予防できない。

そのため、感覚入力源の不確実性に対応する独立した安全措置が必要である。

具体的には、使用中であることの明示的な確認、操作者不在時の自動切断、予期しない急激な加速度や圧力変化の検出、および保管時に刺激入力を抑制する物理的な構造を組み合わせる。

ただし、異常検知に用いる閾値は、本来用途との衝突を生じ得る。

例えば、通常使用に伴う急激な動きと、愛玩動物による振り回しを確実に識別できるとは限らない。

したがって、異常検知のみで安全性を保証するのではなく、接続時間の制限、保管時の物理的保護、受信者の停止権限などと組み合わせる必要がある。

8.5 セッション管理と失効処理

感覚共有の許可は、無期限の権限ではなく、失効可能なセッションとして管理する。

各セッションには、一意の識別子、許可された操作者、感覚受信者、刺激範囲、有効期限および許可状態を関連づける。

受信者が同意を撤回した場合、対象セッションは即時に失効状態へ移行し、以後の接続を拒否する。

また、権限情報が複数の管理機構に複製されている場合、古い許可情報によって感覚転送が再開されないようにする必要がある。

このため、権限情報には更新世代を付与し、古い世代に属する許可を無効とする構成が有効である。

ただし、世代管理のみでは通信障害時の停止を保証できない。

受信側の安全機構には短期間で失効する許可情報を与え、更新が確認できない場合には転送を停止する方式が望ましい。

8.6 同意記録とプライバシー保護

同意を機械的に管理するためには、許可の取得、更新、撤回および失効に関する記録が必要となる。

一方、感覚共有型成人用魔道具の利用記録は、本人の私生活や性的嗜好を推定できる機微な情報となり得る。

そのため、同意管理のために詳細な感覚刺激履歴を恒久的に保存することは、必ずしも適切ではない。

ISO/IEC TS 27560:2023[8]は個人識別情報の処理に対する同意記録の構造を規定しており、許可の取得・更新・失効を管理する仕組みを検討するうえで参考となる。

ただし、個人情報処理に対する同意と、身体への感覚刺激に対する同意は異なる。

前者の標準化された記録構造を、後者の法的・倫理的な正当性の根拠として直接使用することはできない。

本研究では、監査に必要な接続状態、認可結果、失効時刻および安全停止イベントを最小限記録し、個々の感覚刺激の詳細な内容は原則として保存しない方式を推奨する。

9. 安全性要求の形式化と検証計画

9.1 形式的な安全制約

感覚転送が許可されるための基本条件を、時相論理によって表す。

以下の記号は本節の時相論理式に限って用い、第2.2節の主体記号とは区別する。

• T：感覚転送が有効
• C：感覚受信者の有効な許可が存在
• A：操作主体が適切に認可されている
• H：安全監視機構が健全
• N：製品が非使用状態
• R：感覚受信者が許可を撤回した

とする。

性質P1：認可と同意

G(T → (A ∧ C ∧ H))

感覚転送中は、操作主体の認可、感覚受信者の同意および安全監視機構の健全性が維持されなければならない。

性質P2：非使用時の転送禁止

G(N → ¬T)

非使用状態では、常に感覚転送が停止していなければならない。

性質P3：同意撤回後の停止

G(R → F[0, Δ](¬T))

感覚受信者が許可を撤回した場合、最大許容遅延Δ以内に感覚転送を停止しなければならない。

P3は時間上限を持つため、ここでは計量時相論理（MTL）の表記を用いている。

また、撤回済みの許可による再接続を防ぐためには、停止後に新たな有効許可が成立するまで接続を拒否する状態遷移制約が必要となる。

これらの性質は、適切な安全要件を記述するものであり、現行製品が実際に満たしていることを意味しない。

9.2 検証項目

表3：提案アーキテクチャの検証計画

最後の試験は、システムの限界を確認する点で特に重要である。

物理的刺激の発生源を識別できない条件では、認証や感覚信号の分析だけで、すべての偶発刺激を遮断できるとは限らない。

したがって、完全な識別を合格条件とするのではなく、追加の物理的・運用的安全制約によって、残留リスクを許容可能な範囲へ抑制できるかを検討する必要がある。

10. 考察

10.1 認証は感覚入力の正当性を保証しない

本研究の中心的な知見は、通信主体の認証と身体への感覚入力の正当性を区別する必要があることである。

事例Aでは、認証された感覚共有セッションに対して、犬が偶発的な物理入力を発生させた。

事例Bでは、正規の所有者が装飾品として製品を使用した結果、身体モデル本人への感覚入力が発生した。

事例Cでは、正規の操作者が通常の用途で製品を使用したにもかかわらず、感覚受信者にとって不適切な時刻に刺激が転送された。

これらの事例は、認証機構の信頼性を向上させるだけでは防止できない。

したがって、アクセス制御においては、技術的な操作資格に加え、当該操作が本人に対して許容される条件を評価する必要がある。

10.2 身体的自己決定権を資源アクセス権限として扱う際の限界

情報システムにおけるアクセス制御は、主体が資源に対して許可された操作を行うかを判定する。

しかし、身体への感覚入力は、単なる情報資源へのアクセスとは異なる。

感覚刺激は身体モデル本人に直接的な経験を発生させるため、許可の対象となる人物の意思を独立した条件として扱う必要がある。

ここで重要なのは、身体を単純な情報資源とみなすことではない。

むしろ、一般的なアクセス制御の枠組みだけでは身体的自己決定権を十分に扱えないことを認識し、本人の許可と安全性を別系統の制約として追加することである。

そのため、技術的に許可可能な操作であっても、本人の意思に反する操作を正当化できるわけではない。

また、技術的に記録された同意が存在することだけで、同意が自由意思に基づくものであることまで保証されるわけではない。

10.3 同意の時間的・文脈的性質

Nissenbaum[9]の文脈的インテグリティ論は、情報の流通が適切であるかを、その情報が置かれた社会的文脈と情報流通の規範に照らして検討する。

本研究の感覚共有問題は、情報流通ではなく身体への刺激伝達を扱うため、両者を同一視することはできない。

しかし、許容される行為が文脈に依存するという点では共通性がある。

ある人物からの感覚入力を許可していたとしても、その許可が仕事中、睡眠中、運転中などのあらゆる状況に適用されるとは限らない。

また、本人が過去に一定の使用を許可していたことも、将来の同意撤回を妨げる根拠とはならない。

この観点では、同意は単なる一度限りの契約成立状態ではなく、時間と状況によって有効性が変化する許可として管理されるべきである。

Prictorら[10]が検討した動的同意（Dynamic Consent）は、参加者が継続的に細分化された意思決定を行うための仕組みとして参考となる。

もっとも、動的同意のための操作画面を追加すること自体が、十分な同意の成立を保証するものではない。

技術的な同意管理には、本人の意思の確認、撤回可能性、操作負荷および誤認防止を含むHCI上の検討が必要である。

10.4 身体へのアクセス制御とプライバシーの競合

感覚共有システムの安全性を高めるために、受信者の現在の状態を詳細に収集する方式も考えられる。

例えば、本人の位置情報、予定表、心拍数、周囲の環境などを常時監視すれば、感覚入力が望まれない状況を推定できる可能性がある。

しかし、この方式は安全性の向上と引き換えに、新たなプライバシー上の問題を生じさせる。

特に成人向け感覚共有製品では、使用可能時間や感覚刺激の履歴が、利用者の私生活に関する高度に機微な情報となり得る。

Sundén[11]は、ネットワーク化された性玩具をめぐるプライバシー、データ、同意の問題を論じ、身体的な親密性がデジタルネットワークに接続されることで生じる新たな関係を検討している。

したがって、安全性を確保するために利用者の私生活を全面的に監視することは、必ずしも適切な解決策ではない。

本研究では、本人が接続許可を管理できる方式を基本とし、メーカーが生活状況を詳細に把握する方式への依存を最小化することを推奨する。

10.5 予測不能性と制御可能性の両立

成人向け感覚共有製品には、操作の予測不能性が利用者の求める体験の一部となる場合がある。

しかし、予測不能な刺激と、停止不能な刺激は異なる。

安全設計では、一定の範囲内で刺激の発生時刻や種類が予測できないことを認めつつ、その範囲、時間、操作主体を限定し、本人が任意に停止できるようにする必要がある。

この方式では、すべての刺激について事前の個別承認を要求する必要はない。

一方、無期限の包括的許可や、本人が停止できない接続状態を正当化することもできない。

したがって、製品の利用体験を維持するためには、刺激の自由度を無条件に最大化するのではなく、あらかじめ許可された範囲内での自由度と、本人による最終的な制御可能性を両立させる設計が求められる。

10.6 セキュリティと安全性の境界

本研究の事例は、従来のサイバー攻撃モデルだけでは十分に説明できない。

犬による刺激入力では攻撃者が存在せず、花器への転用では操作者が成人向け機能の使用を意図していない。

不適時使用では、操作者に正規のアクセス権限が存在する。

したがって、意図的な不正操作を排除するだけでは、感覚受信者に対する危害を防止できない。

ここで求められるのは、攻撃者の排除だけではなく、正当な操作、偶発的な操作、不正な操作のいずれによっても、システムの安全制約が破られないようにすることである。

この点において、システムの制御構造を対象とするSTAMP/STPA-SafeSecの枠組みは有効である。

11. 研究の限界

本研究には以下の限界がある。

第一に、分析対象は3事例に限定されており、事故発生率や各種ハザードの相対的な頻度を推定するものではない。

第二に、提案したアクセス制御アーキテクチャは要求レベルの設計であり、すべての製品構成における実装可能性と性能を検証したものではない。

第三に、物理的刺激の発生源に関する不可識別性の議論は、観測情報が同一であるという条件の下で成立する。

したがって、追加のセンサ、独立した操作者確認機構、利用環境の制御などによって、識別可能性が改善される余地はある。

ただし、追加情報の取得によって新たなプライバシー問題や誤判定の問題が生じる可能性もある。

第四に、本研究で提案した同意モデルは、本人の意思を技術的な許可条件として扱うものであり、同意の自由意思性、欺罔、強制、権力関係および法的有効性を完全に評価するものではない。

第五に、感覚受信者の状態や許可条件が頻繁に変化する環境では、認可更新に伴う遅延や操作負荷が利用体験に影響する可能性がある。

特に、完全な即時停止を保証するためには、受信者側の独立した制御機構の実装と検証が必要となる。

これらの課題は、今後の実装研究およびHCI研究において検討する必要がある。

12. 結論

本研究では、身体複製型感覚共有魔道具における愛玩動物による偶発的刺激、花器・芳香器への転用、および正規使用による不適時感覚入力という3事例を対象として、身体的自己決定権とアクセス制御の関係を検討した。

分析の結果、以下の結論が得られた。

第一に、感覚共有型魔道具において、通信主体の認証や製品所有権は、身体への感覚入力の正当性を保証しない。

正当な所有者、正規の操作者および認証済みの接続を通じても、感覚受信者が望まない刺激は発生し得る。

第二に、感覚入力の発生源を観測信号のみから完全に識別することには、観測情報に基づく識別の限界が存在する。

したがって、認証機構の強化に加え、セッション管理、物理的な誤使用防止および独立した感覚安全制御が必要である。

第三に、感覚共有の許可は所有権や操作権限から分離され、時間・用途・操作主体・刺激範囲によって限定された、撤回可能なものとして扱われるべきである。

特に、過去の許諾を現在の包括的許可として扱う設計は、本人の身体的自己決定権を損なう可能性がある。

第四に、感覚共有型魔道具の安全性とセキュリティを確保するためには、操作者のアクセス制御と、感覚受信者側の安全制御を独立させる必要がある。

この分離により、正当な操作者が存在する場合にも、本人が望まない刺激の継続を防ぐことが可能となる。

以上の知見は、成人向け感覚共有魔道具に限らず、遠隔触覚装置、神経インターフェース、および外部の操作が人間の身体感覚へ直接的な影響を及ぼすシステム全般に対して示唆を与える。

今後は、動的同意管理と感覚安全制御の統合実装、認可情報の失効保証、物理入力源の不確実性に対する検証、および利用者の自由度と安全制約の競合について、さらに研究を進める必要がある。

参考文献

[1] Sparrow, R., & Karas, L. (2020). Teledildonics and rape by deception. Law, Innovation and Technology, 12(1), 175–204. https://doi.org/10.1080/17579961.2020.1727097

[2] Gidaris, C. (2024). The Problem of Consent with Teledildonics and Adult Webcam Platforms. Surveillance & Society, 22(1), 6–17. https://doi.org/10.24908/ss.v22i1.15720

[3] Power, J., Pym, T., James, A., & Waling, A. (2024). Smart Sex Toys: A Narrative Review of Recent Research on Cultural, Health and Safety Considerations. Current Sexual Health Reports, 16, 199–215. https://doi.org/10.1007/s11930-024-00392-3

[4] Giusto, D., & Pastorino, C. (2021). Sex in the Digital Era: How Secure Are Smart Sex Toys? ESET Research. https://web-assets.esetstatic.com/wls/en/papers/white-papers/ESET_Smart_Sex_Toys.pdf

[5] Rose, S., Borchert, O., Mitchell, S., & Connelly, S. (2020). Zero Trust Architecture. NIST Special Publication 800-207. https://doi.org/10.6028/NIST.SP.800-207

[6] Leveson, N. G., & Thomas, J. P. (2018). STPA Handbook. MIT Partnership for Systems Approaches to Safety and Security. https://psas.scripts.mit.edu/home/books-and-handbooks/

[7] Friedberg, I., McLaughlin, K., Smith, P., Laverty, D., & Sezer, S. (2017). STPA-SafeSec: Safety and security analysis for cyber-physical systems. Journal of Information Security and Applications, 34, 183–196. https://doi.org/10.1016/j.jisa.2016.05.008

[8] ISO/IEC. (2023). ISO/IEC TS 27560:2023 — Privacy technologies: Consent record information structure. https://www.iso.org/standard/80392.html

[9] Nissenbaum, H. (2004). Privacy as Contextual Integrity. Washington Law Review, 79(1), 119–157. https://digitalcommons.law.uw.edu/wlr/vol79/iss1/10/

[10] Prictor, M., et al. (2020). Dynamic Consent: An Evaluation and Reporting Framework. Journal of Empirical Research on Human Research Ethics, 15(3), 175–186. https://doi.org/10.1177/1556264619887073

[11] Sundén, J. (2023). Play, secrecy and consent: Theorizing privacy breaches and sensitive data in the world of networked sex toys. Sexualities, 26(8), 926–940. https://doi.org/10.1177/1363460720957578

付記：主要な設計要求

本研究において最も重要な設計要求は、次の一文に要約される。

「感覚を発生させる装置の操作権限と、その感覚を受け取る身体へのアクセス権限は、独立して管理されなければならない。」

製品に対する物理的な支配が成立しても、本人の身体感覚に対する無条件の支配が成立するわけではない。

また、正当な操作権限が存在しても、その時点で身体への感覚入力が許可されているとは限らない。

感覚共有型魔道具のアクセス制御は、この区別を出発点として設計されるべきである。