架空技術に対する安全工学的分析の認識論的意義

――Design Fiction、反実仮想的モデル検査および研究対象の実在性をめぐって――

The Epistemological Significance of Safety Engineering Analysis of Fictional Technologies: Design Fiction, Counterfactual Model Checking, and the Ontological Status of Research Objects

論文種別： 方法論研究・科学哲学・システム安全工学

要旨

背景： 未実装の技術や仮想的なシステムに対する安全工学的分析は、技術の実用化に先立つ危険の同定、設計要求の導出、および制度的問題の探索に用いられている。しかし、研究対象が物理的実現可能性を前提としない創作上の技術である場合、分析によって得られる知見の認識論的地位は必ずしも明確ではない。Design Fiction研究では、架空の製品や研究結果を学術的形式によって表現する方法が提案されている一方、科学哲学では、現実に存在しない対象を記述するモデルがいかに知識を生成するかについて議論が蓄積されている。これらの議論を統合し、架空技術に対する工学的分析の妥当性と限界を体系的に検討する必要がある。

目的： 架空の技術体系に安全工学および形式手法を適用する研究について、その認識論的意義、論証の成立条件、現実への知見の移転可能性、および学術的評価基準を明らかにする。

方法： Design Fiction、科学モデルの虚構性、反実仮想的モデル、抽象解釈、システム安全工学に関する文献を理論的基盤とした。さらに、感覚共有型魔道具を対象とする先行3研究、すなわちライフサイクル安全性分析[1]、身体的自己決定権とアクセス制御の分析[2]、および嗜好的刺激に関する要求工学的分析[3]を事例研究として再検討した。モデル内での演繹的妥当性と現実世界に関する経験的妥当性を区別し、状態遷移モデルを用いた反例の構成と、抽象モデルから具体的システムへの安全性の移転条件を検討した。

結果： 架空技術に対する安全工学的分析は、対象の実在性に依存しない形式的知識、構造的な因果関係に関する条件付き知識、および新たな設計要求を探索する発見的知識を生成し得ることを示した。一方、モデル内の論証の成立から、現実の装置に対する安全性や危険性を直接結論づけることはできない。また、研究対象の虚構性と研究方法の虚構性は独立した属性であり、架空システムに対する実際の論証と、実施していない研究を実施したものとして記述するFictional Research Paperは、認識論的に区別されるべきである。

結論： 架空技術の工学的分析は、研究対象の実在性によって一律に否定されるべきものではない。その学術的価値は、仮定の明示性、モデルの内部整合性、導出される知見の非自明性、推論の検証可能性、および現実の問題への構造的な関連性によって評価されるべきである。ただし、仮想モデルに関する条件付き命題と、現実の技術についての実証的主張との境界を明示することが不可欠である。

キーワード： Design Fiction、科学モデル、認識論、反実仮想、STAMP、STPA、形式検証、モデル検査、抽象解釈、システム安全工学、研究対象の実在性

1. 緒言

1.1 研究背景

安全工学は、事故が発生した後にその原因を調査するためだけの学問ではない。

新しい技術システムの実用化以前に危険状態を同定し、必要な安全制約を導出することも、安全工学の重要な役割である。

例えば、自律兵器、宇宙探査システム、先進的な神経インターフェースなどについては、最終的な技術仕様や社会的運用形態が確定する以前から、安全性、制御可能性および制度的責任に関する研究を行うことができる。

こうした研究において、分析対象となるシステムが完成していることは必須条件ではない。

要求仕様、構成要素、動作条件および運用環境を仮定することで、未実装のシステムについてもハザード分析を実施できる。

しかし、分析対象が既存の技術体系から大きく離れ、現在の物理法則による実現可能性を前提としない場合、研究としての評価は複雑になる。

例えば、身体の一部を模した物体への刺激が、離れた場所にいる本人へ感覚として伝達されるという感覚共有型魔道具を考える。

この装置は、漫画や成人向け創作物に登場する技術概念として理解できる。

当該魔道具の存在を仮定すれば、製品の洗浄、保管、第三者による操作、廃棄、認証、同意管理などについて、現実の安全工学と共通する問題が発生する。

実際、本研究プログラムの先行3論文では、このような技術体系を対象として、安全工学、アクセス制御および要求工学の分析を行った[1][2][3]。

ところが、同様の方法を未実装の自律兵器へ適用する場合と、感覚共有型成人用魔道具へ適用する場合とでは、その学術的妥当性に対する直観的評価が異なる可能性がある。

この相違には、技術的実現可能性、社会的必要性、研究対象に対する文化的評価など、複数の要因が関係していると考えられる。

したがって、研究対象が実在しないという事実だけをもって、当該研究における論証を無意味と判断することはできない。

一方、架空の対象を設定すれば、いかなる主張でも学術的知識として認められるわけでもない。

本研究は、この二つの極端な立場を退け、架空技術の安全工学的分析が成立する条件を検討する。

1.2 問題の所在

本研究で区別すべき問題は、少なくとも次の3つである。

第一に、研究対象の実在性である。

ある技術システムが現実に存在するか、将来的に実現可能であるか、あるいは創作上の存在にとどまるかという問題である。

第二に、研究方法の妥当性である。

定義されたシステムに対して用いられた分析手法が、論理的・数学的に正当であるかという問題である。

第三に、得られた知見の外的妥当性である。

仮想システムについて得られた結論が、現実の工学的問題へどの程度適用可能であるかという問題である。

これらは関連するが、同一ではない。

研究対象が実在していても、分析手法に誤りがあれば結論は成立しない。

逆に、研究対象が実在しなくても、明確に定義された形式モデルに対する数学的命題は成立し得る。

ただし、モデル内での命題の成立は、現実世界への適用可能性を保証しない。

本研究では、この区別を出発点として、架空技術の安全工学的分析の認識論的地位を検討する。

1.3 研究目的

本研究では、以下の研究課題を設定する。

RQ1： 研究対象の実在性は、安全工学的分析によって得られる知識の成立条件となるか。

RQ2： 架空の研究論文と、架空のシステムに対する実際の研究は、どのように区別されるべきか。

RQ3： 架空技術の形式モデルから、どのような種類の知識を導出できるか。

RQ4： 仮想システムに関する知見を、現実の安全工学的問題へ移転するためには、どのような条件が必要か。

RQ5： 研究対象に付随する文化的・社会的評価は、学術的妥当性の判断とどのような関係にあるか。

本研究の目的は、あらゆる創作上の技術に対する工学的分析を正当化することではない。

研究対象の虚構性と推論の妥当性を分離し、学術的知識として評価可能な部分と、評価できない部分を明確化することである。

2. 先行研究

2.1 Design Fictionと学術的知識の生成

Design Fictionは、製品やシステムが存在する状況を物語的・視覚的に構築することで、その技術がもたらす社会的帰結を探索する方法である。

Blythe[4]は、Research through Designにおける研究要旨の形式に着目し、存在しない製品や実施されていない研究を要旨として記述するImaginary Abstractsを提案した。

この方法では、単に技術の特徴を列挙するのではなく、その技術が社会で利用された結果、どのような問題が発生し、どのような評価が行われるかを記述する。

これにより、技術を問題解決の手段としてのみ捉える立場から離れ、その技術の導入によって生じる新たな問題を検討できる。

Lindley and Coulton[5]は、この方法を論文全体へ拡張したFictional Research Papersの意義を検討した。

彼らが取り上げたGame of Dronesは、ドローンを用いた地域的な監視・取締りの仕組みに関する研究を、学術論文の形式で提示したものである。

その特徴は、架空の技術が社会制度の中で運用される状況を詳細に記述する点にある。

論文という形式は、研究目的、技術仕様、評価方法、結果、考察という構成を要求する。

そのため、単純な未来技術の紹介とは異なり、技術と社会制度の関係を具体的に検討することが促される。

一方、学術論文の形式が実在の研究との混同を招くことも問題となる。

Coulton, Lindley and Akmal[6]は、Design Fictionにおけるもっともらしさの追求が、受け手に対する欺瞞へ転化する可能性を検討した。

ここでは、創作としての説得力と、研究成果の提示における透明性との緊張関係が生じる。

さらに、Baumer, Blythe and Tanenbaum[7]は、Design Fictionが異質な研究方法を包含しているため、その評価基準について認識論的な混乱が生じていると指摘した。

彼らの議論は、Design Fictionを単一の方法論として評価するのではなく、批判的デザイン、思考実験、物語的探究、利用者研究など、それぞれの研究目的に応じて評価基準を選択する必要性を示している。

本研究は、これらの議論を安全工学の形式的分析と接続する。

2.2 科学モデルの虚構性

科学哲学では、科学モデルが現実に存在しない対象や、現実には成立しない理想化された条件を記述することは、広く認識されている。

例えば、完全に摩擦が存在しない振り子、完全合理的な経済主体、外部環境から完全に隔離された系などは、現実世界にそのまま存在する必要はない。

それでも、これらのモデルは理論的な関係を明らかにするために利用される。

Frigg[8]は、科学モデルと文学的虚構の間に重要な共通性があると論じた。

彼の議論では、モデルを記述する際に用いられる仮定や想像的な対象について、フィクションの理論を援用することで、その存在論的・認識論的地位を検討できる。

この立場を採用すると、モデルが現実に存在しない対象を記述していることは、ただちにモデルの学術的価値を失わせる理由とはならない。

ただし、モデルを虚構として理解する立場は科学哲学における唯一の見解ではない。

モデルを抽象的対象、数学的構造、表象装置などとして捉える立場も存在する。

本研究では、科学モデルが本質的にすべて虚構であると主張するのではなく、虚構的な構成要素を含むモデルが、科学的推論において有効に機能する場合があるという限定的な主張を採用する。

2.3 モデルを介した知識の生成

Morrison and Morgan[9]は、科学モデルが理論と世界の間で媒介的な役割を果たすことを論じた。

モデルは理論の単なる表現でも、現実の単純な縮小でもない。

モデルを構築し、その内部の関係を操作することによって、新たな問題や性質を発見できる。

Sugden[10]は、経済学の理論モデルを反実仮想的な世界の記述として捉え、その世界についての分析から、現実世界についてどのような推論が可能となるかを検討した。

重要なのは、モデル世界についての命題が成立することと、その命題が現実世界でも成立することの間に、推論上の隔たりが存在する点である。

Sugdenは、この隔たりを埋める推論において、モデル世界がどの程度もっともらしいかが重要になると論じた。

Godfrey-Smith[11]も、モデルを利用する科学研究において、写実性、一般性、精密性などの目標の間に緊張関係が存在することを検討している。

これらの議論は、架空技術の安全工学的分析を考えるうえで重要である。

感覚共有型魔道具のモデルが内部的に整合していても、それだけで現実の装置について何かが証明されたわけではない。

一方、感覚共有機能を介して発生する制御上の問題の一部は、遠隔触覚装置や神経インターフェースにも共通する可能性がある。

したがって、分析対象の実在性ではなく、モデル内のどの構造が現実の対象にも対応するかを検討する必要がある。

2.4 安全工学と形式手法

Leveson[12]によるSTAMPは、事故を部品故障の線形的連鎖として説明するのではなく、システム全体で安全制約が適切に維持されなかった結果として理解する事故因果モデルである。

STPA[13]は、この事故モデルに基づくハザード分析手法であり、システムの制御構造、非安全なコントロールアクション、および危険状態を発生させる因果シナリオを分析する。

また、Friedbergら[14]によるSTPA-SafeSecは、安全性とサイバーセキュリティを統合的に扱うための分析手法を提案している。

これらの方法は、システムの安全性を分析するために、必ずしも完成した実機や実際の事故を必要としない。

ただし、STPAによるハザード同定は、それ自体が数学的な形式検証を意味するわけではない。

一方、抽象解釈[15]やモデル検査では、定義された状態遷移系に対して、安全性に関する性質を数学的に検討できる。

Clarkeら[16]の反例誘導抽象化精緻化も、抽象モデルにおける反例が具体的なシステムに対応するとは限らないという問題を扱ううえで参考となる。

本研究では、STAMP/STPAによる安全要求の発見と、形式手法による命題の検証を区別し、両者を組み合わせることを検討する。

3. 架空技術研究の認識論的分類

3.1 研究対象と研究方法の独立性

研究対象が架空であることと、研究方法が架空であることは異なる。

本研究では、研究を次の4類型に分類する。

この分類において、本研究が主要な検討対象とするのは類型Bである。

類型Bでは、装置の存在や事故の発生を仮定する一方、モデルの定義、論理的推論、安全制約の導出などは実際の研究活動として行われる。

したがって、研究対象に関する記述が仮想的であっても、研究過程そのものは検証可能である。

一方、類型Cでは、研究者、実験、被験者、測定結果なども創作上の構成要素となる。

類型CにもDesign Fictionとしての意義は存在するが、そこで示された実験結果を現実の経験的証拠として使用することはできない。

また、類型Dについては、虚構が明示された文学的・批判的作品と、現実の実証研究を装って読者を欺く行為を区別する必要がある。

この意味で、研究対象の実在性、研究活動の実在性、および発表形式の虚構性は、それぞれ独立した属性として評価されるべきである。

3.2 知識の四層構造

本研究では、架空技術を対象とする工学研究で生成され得る知識を、次の四層に分類する。

第0層：世界設定上の命題

ある技術体系について、何が成立することになっているかという記述である。

例えば、「身体複製体に加えられた刺激が本人へ伝達される」という記述は、対象世界を定義する仮定である。

これは研究結果ではない。

第1層：モデル内部の演繹的知識

与えられた仮定と動作規則から論理的に導かれる命題である。

例えば、「安全監視機構の故障後にも転送機構が動作する仕様では、安全監視の機能喪失が危険な転送状態を生じさせ得る」という命題が該当する。

この命題は、モデルの定義と推論によって評価できる。

第2層：構造的な一般化に関する条件付き知識

モデルで成立した関係が、特定の構造を備える他のシステムでも成立するという命題である。

例えば、「物理的刺激の発生源を観測できないシステムでは、刺激信号だけからその正当性を完全に判定することはできない」という主張が該当する。

この命題は、魔法という具体的な実装に依存しない。

第3層：現実世界に関する経験的知識

現実のシステムについて、特定の危険状態が実際に存在する、あるいは特定の安全対策が有効であるとする知識である。

この層へ進むためには、現実の対象との対応関係を検証し、必要に応じて実験、観測または実機検証を行う必要がある。

本研究では、これらの層を混同しないことを、架空技術研究の重要な評価原則とする。

3.3 条件付き知識の基本構造

仮想システムの仕様をA、そこから導出された命題をPとする。

形式的な分析によって、

A\models P

が成立する場合、PはAを満たすすべての対象について成立する。

しかし、このことから、

\text{現実世界}\models P

が直接導かれるわけではない。

現実世界への適用には、対象システムがAを満たしていること、あるいはAと十分な構造的対応を持つことを別途示す必要がある。

したがって、架空技術に対する分析の基本的な結論は、

「このような性質を持つシステムでは、このような安全上の問題が発生し得る」

という条件付き命題となる。

これは無意味な命題ではない。

しかし、現実の特定製品について危険性が確認されたという実証的命題とも異なる。

4. 先行3研究の再検討

4.1 研究プログラムの構成

本研究プログラムでは、身体複製型感覚共有魔道具を共通の対象システムとして、3つの工学的分析を行ってきた。

第1研究[1]では、洗浄、保管および廃棄におけるライフサイクル安全性を扱った。

第2研究[2]では、製品所有権、操作権限および身体への感覚入力許可を分離し、アクセス制御と身体的自己決定権の関係を検討した。

第3研究[3]では、感覚刺激そのものが利用者効用を構成する製品について、安全制約と機能要求の競合を分析した。

これらの研究に共通する特徴は、対象となる技術体系が身体への直接接触を必要とせずに感覚刺激を発生させるという点である。

この基本的な機能を仮定することで、個別の事故事例からシステム安全に関する問題を導出した。

なお、先行3論文で用いられた事故記録および製品仕様は、同一の技術世界を構築するための事例記述であり、現実に発生した事故の観測資料ではない。本研究では、それらをシステム仕様と因果シナリオを検討するためのモデル資料として取り扱う。

4.2 第1研究：ライフサイクル安全性

第1研究[1]では、煮沸消毒による熱痛曝露、冷蔵保管による持続的冷感曝露、および焼却廃棄中の安全監視機構の機能喪失を分析した。

これらの事例のうち、特に重要なのは焼却廃棄事例である。

当該モデルでは、感覚共有魔導核が高い耐熱性を持つ一方、安全監視術式はそれより先に熱的損傷を受ける。

その結果、安全機構が失効した後も感覚転送機能が残存する。

この事例から導出される安全要求は、次のように整理できる。

「安全監視機構の失効によって、危険な本来機能が無制限に継続してはならない」

この要求は、魔法による感覚共有という固有の機構だけに依存するものではない。

安全機構と危険な機能が異なる故障条件を持つシステム一般について、同様の問題を検討できる。

したがって、第1研究は、世界設定に関する第0層の命題から、安全制約に関する第1層の知識を導出し、さらに第2層の条件付き知識を提示したものと位置づけられる。

ただし、当該研究によって現実の製品に同様の故障が存在することを実証したわけではない。

4.3 第2研究：身体的自己決定権とアクセス制御

第2研究[2]では、愛玩動物による製品への物理的刺激、装飾用品への転用、および不適切な時間帯における正規使用を分析した。

特に、犬が製品をくわえて遊ぶ事例では、認証された接続を通じて、認証された操作者以外の物理的刺激が転送されるという問題が発生した。

同研究では、正規の操作と偶発的な刺激が同一の観測信号を生成する場合、感覚入力信号だけでは両者を区別できないことを示した。

この主張の形式的構造は、魔法という具体的な技術に依存しない。

観測関数Oについて、異なる二つの出来事e₁、e₂が、

O(e_1)=O(e_2)

を満たしながら、その正当性Vが、

V(e_1)\ne V(e_2)

となる場合、Oの値のみからVを完全に判定する関数は存在しない。

この命題は、観測情報に基づく識別の限界として理解できる。

ただし、これは形式的な不可識別性の命題であり、特定の通信路についてShannon情報量や識別誤り率を計算したという意味ではない。

また、現実の装置に追加のセンサや別系統の認証情報が存在する場合、前提となる観測情報の集合が変化する。

したがって、現実の装置への適用には、その装置で何が観測可能かを別途確認する必要がある。

第2研究の学術的意義は、身体複製魔道具という具体的な題材を通じて、機器認証と物理入力の正当性が一致しない条件を明確化した点にある。

4.4 第3研究：安全要求と利用者効用の競合

第3研究[3]では、安全機能が利用者の目的機能を阻害する場合の要求競合を分析した。

代表的な事例は、高温感覚制限機構の導入後、温熱刺激を好む利用者から感覚再現性に関する苦情が発生するというものである。

ここでは、安全機構が除去しようとする刺激そのものが、利用者の効用を構成するという問題が存在する。

第3研究では、この問題を安全制約付き最適化として定式化した。

\max_{\theta}U_i(\theta)

\text{subject to}\quad R_j(\theta)\le R_{j,\max},\quad\theta\in\Theta_{\mathrm{validated}}

ここで、Uᵢは利用者効用、Rⱼは危害の種類ごとのリスク評価、Θvalidatedは安全性評価済みの設定集合である。

このモデルから、「安全性と利用者効用を無条件に交換可能なものとして扱うべきではない」という設計原則を整理できる。

ただし、リスク評価関数や利用者効用関数の具体的な値が与えられていない場合、最適化問題を数値的に解いたとはいえない。

また、許容可能なリスクの定量的な水準は、仮想システムの分析のみから導出できない。

したがって、第3研究が提供するのは、主として要求構造と最適化問題の形式化であり、具体的な製品設定の安全性を実証するものではない。

4.5 先行3研究の知識構造

3研究はそれぞれ異なる工学分野に属するが、共通の特徴を持つ。

すなわち、対象技術の実在性について証明するのではなく、その技術が指定された性質を備える場合に成立する制御上の問題を分析している。

5. 架空技術の形式的安全性分析

5.1 分析対象の定義

架空技術に対する形式的分析を成立させるには、技術の詳細な実現機構をすべて説明する必要はない。

一方、安全性に関係する状態と状態遷移は明確に定義されなければならない。

本研究では、感覚共有型魔道具について、以下の状態変数を定義する。

• D：廃棄処理中であるか
• C：感覚共有契約が有効であるか
• M：安全監視機構が健全であるか
• K：感覚転送魔導核が動作可能であるか
• H：危険な高温入力が存在するか
• T：感覚転送が実行されているか

各変数は真偽値を取るものとする。

感覚転送の成立条件を、次のように仮定する。

T=C\land K\land(\neg H\lor\neg M)

この式は、安全監視機構が健全な場合には危険な高温入力を遮断するが、安全監視機構が故障すると遮断機能が失われる設計を表している。

このような仕様は、安全監視機構の異常時に転送を停止するフェイルセーフを実装していない状態に相当する。

5.2 状態遷移と反例

次の状態遷移を考える。

s₀では、通常の感覚共有が成立している。

s₁では、焼却処理が開始され、危険な高温入力が存在するが、安全監視機構によって転送が遮断されている。

s₂では、安全監視機構が失効した一方、感覚共有魔導核は動作を継続している。

その結果、感覚転送が再開される。

ここで、廃棄処理中の転送禁止を次の時相論理式で定義する。

P:\quad\mathbf{G}(D\rightarrow\neg T)

Gは「すべての到達状態で」を意味する。

この安全要求は、廃棄処理中には感覚転送が常に停止していることを要求する。

しかし、状態s₂では、

D=1,\quad T=1

が成立している。

したがって、

s_0\rightarrow s_1\rightarrow s_2

という遷移系列は、安全要求Pに対する反例となる。

これは、与えられた遷移規則の下で手作業により構成した反例である。モデル検査器を実行した結果ではないが、示された状態遷移が許容されるならば、安全要求Pが成立しないことを確認できる。

5.3 反例の認識論的地位

この反例の成立に、感覚共有魔道具が現実に存在することは必要ない。

必要なのは、状態変数、状態遷移および安全要求の意味が一貫して定義されていることである。

したがって、この分析から次の条件付き命題を導出できる。

命題1：

安全監視機構の機能喪失後にも感覚転送機構が動作し、監視不能状態が転送許可として扱われるシステムでは、安全監視機構の機能喪失によって危険な感覚転送が発生し得る。

この命題は、対象装置の存在を実証するものではない。

一方、仮定された制御構造の下で危険状態が到達可能であることを示す、形式的に検討可能な知識である。

5.4 安全アーキテクチャの変更

この問題に対して、感覚転送の成立条件を次のように変更する。

T=C\land K\land M\land\neg H\land\neg D

この式では、安全監視機構が健全でない場合、危険な高温入力が存在する場合、または廃棄状態である場合、感覚転送は成立しない。

したがって、この式がすべての状態で転送動作を正しく記述し、他に転送経路が存在しないならば、

D\rightarrow\neg T

がすべての状態で成立する。

この制御規則を実装したモデルは、廃棄中の転送禁止という安全要求を満たす。

ただし、ここで成立するのは制御規則とモデル上の性質の関係である。

現実の製品が当該規則を確実に実装できるか、安全監視機構が破壊された状態でも遮断を保証できるか、といった問題は別途検証する必要がある。

特に、監視機構が破壊された際に転送許可信号が確実に失効することは、装置の具体的な構造に関係する。

この点が、モデル上の安全性と実装上の安全性の境界となる。

6. モデルから現実への知識の移転条件

6.1 抽象モデルと具体的システム

モデル内の安全性が現実のシステムにも成立することを示すには、両者の間に適切な対応関係が必要である。

仮想システムの抽象モデルを、

M=(S_m,S_{0m},\rightarrow_m,B_m)

と定義する。

ここで、

• Sₘ：抽象状態の集合
• S₀ₘ：初期状態の集合
• →ₘ：状態遷移関係
• Bₘ：危険状態の集合

である。

また、具体的なシステムを、

R=(S_r,S_{0r},\rightarrow_r,B_r)

とする。

具体的状態を抽象状態へ対応づける写像を、

\alpha:S_r\rightarrow S_m

と定義する。

このとき、抽象モデルMが具体的システムRの振る舞いを十分に包含しているかが問題となる。

6.2 安全性移転の十分条件

次の3条件を仮定する。

条件A：初期状態の対応

具体的な初期状態は、抽象モデルの初期状態へ写像される。

\alpha(S_{0r})\subseteq S_{0m}

条件B：遷移の保存

具体的システムで可能な状態遷移は、抽象モデルでも対応する遷移として表現できる。

すなわち、任意の具体的遷移s →ᵣ s'について、

\alpha(s)\rightarrow_m\alpha(s')

が成立する。

条件C：危険状態の保存

具体的システムにおける危険状態は、抽象モデルでも危険状態として表現される。

B_r\subseteq\alpha^{-1}(B_m)

これらの条件が成立するとき、抽象モデルに危険状態が到達可能でなければ、具体的システムにも危険状態は到達可能でない。

命題2：安全性移転の十分条件

上記A～Cが成立し、抽象モデルMのすべての到達可能状態がBₘに属さない場合、具体的システムRのすべての到達可能状態もBᵣに属さない。

証明：

初期状態の対応Aより、具体的システムの初期状態は抽象モデルの初期状態へ写像される。

遷移の保存Bより、具体的システムにおける任意の有限状態遷移系列は、対応する抽象状態遷移系列へ写像される。

したがって、具体的システムで到達可能な状態sに対して、α(s)も抽象モデルで到達可能である。

ここで、具体的システムに到達可能な危険状態s ∈ Bᵣが存在すると仮定する。

条件Cより、α(s) ∈ Bₘとなる。

しかし、α(s)は抽象モデルの到達可能状態であり、抽象モデルには到達可能な危険状態が存在しないという仮定に反する。

よって、具体的システムに到達可能な危険状態は存在しない。

証明終。

この命題は、抽象解釈や形式検証における健全な抽象化の基本的な考え方と整合する。

ただし、ここで示したのは、定義された対応関係が成立する場合の安全性の保存である。

6.3 抽象モデルの反例が意味するもの

命題2の逆は一般には成立しない。

すなわち、抽象モデルに危険状態への反例が存在しても、その反例が具体的システムで実現可能であるとは限らない。

抽象化によって実際には存在しない状態遷移が追加されている場合、抽象モデルにのみ反例が生じることがある。

これは、形式検証における見せかけの反例（spurious counterexample）の問題に対応する。

したがって、架空技術のモデルから現実の危険性を推論する際には、次の区別が必要である。

1. 抽象モデルに危険な遷移が存在する。
2. その遷移が、対象とする具体的システムでも実現可能である。
3. 当該遷移が、現実に許容できない危害を発生させる。

第一の命題は形式的分析で検討できる。

第二の命題はモデルと実装の対応関係を必要とする。

第三の命題には、具体的な危害メカニズムについての知識や経験的検証が必要となる場合がある。

したがって、架空技術に対する形式的分析は、現実の安全性評価の代替ではなく、その前段階としての危険条件の発見や設計要求の探索に位置づけられる。

6.4 物理的実現可能性と構造的関連性

魔法による感覚共有という技術が現実の物理法則によって実現できるかという問題と、そのシステムにおける制御構造が現実の技術に対応するかという問題は区別できる。

例えば、感覚共有魔道具の魔導核を、そのまま現実の電子装置へ対応づけることはできない。

しかし、

• 外部装置からの入力が人体の感覚に作用する
• 装置操作者と感覚受信者が異なる
• 通信主体の認証と物理入力の正当性が一致しない
• 安全監視機構と本来機能が異なる故障条件を持つ
• 廃棄工程において接続状態が残存する

といった構造的な特徴については、現実の遠隔操作システムや神経インターフェースとの比較が可能である。

ただし、比較可能であることは、同じ危険が実際に存在することを意味しない。

現実のシステムにおける対応関係を確認して初めて、モデルから得られた知見を設計要求やハザード分析へ移転できる。

7. 架空技術研究の学術的評価基準

7.1 研究対象の実在性を唯一の評価基準としない理由

研究対象が実在していることは、経験的研究にとって重要な条件である。

しかし、理論研究、形式手法、思考実験などでは、研究対象が具体的な物理的実体として存在しない場合にも研究活動が成立する。

したがって、架空技術に対する研究を評価する際には、その研究が何を成果として主張しているかを確認しなければならない。

対象装置の実在や実験的な性能を主張する研究であれば、対応する実証が必要となる。

一方、特定の仮定の下で成立する安全制約や、制御構造に関する形式的な命題を主張する研究であれば、その推論の妥当性を中心に評価することができる。

本研究では、この区別に基づく評価基準を提案する。

7.2 六つの評価基準

表1：架空技術に対する安全工学研究の評価基準

これらの基準は、研究の種類に応じて重みづけを変える必要がある。

例えば、純粋な形式的研究では推論の妥当性と内部整合性が重要となる。

一方、現実の設計への適用を主張する研究では、移転可能性と経験的妥当性が重要となる。

7.3 非自明性の問題

架空技術の研究には、研究者が任意の性質を設定し、その性質から当然の結論を導くだけで、見かけ上の学術的成果を生み出せるという問題がある。

例えば、

「感覚共有魔道具は痛覚を転送できる」

という仮定から、

「感覚共有魔道具を使用すると痛覚が伝わる」

と結論づけても、新たな知識を得たことにはならない。

一方、複数の機能や運用条件を組み合わせた結果、当初の仕様では明示されていなかった危険状態が導出される場合には、分析として一定の意義がある。

例えば、

1. 感覚共有機能が存在する。
2. 安全監視機構が存在する。
3. 製品本体は焼却によって破壊される。
4. 安全監視機構と転送機構は異なる耐熱特性を持つ。

という仮定から、

「安全監視機構が先に機能喪失した場合、感覚転送が無制限に継続する可能性がある」

という危険を導出することは、単純な機能の言い換えではない。

複数の要求と故障条件の相互作用を検討した結果である。

この意味で、分析の新規性は研究対象の奇抜さではなく、モデルを操作することによって新たな制御上の問題が明らかになる点に求められる。

7.4 仮定に対する頑健性

架空技術では、研究者が任意に技術仕様を変更できる。

この自由度は分析を容易にする一方、都合のよい結論を導出するために仮定を変更する危険も生じさせる。

そのため、分析対象となる世界の基本仕様を固定し、結論が特定の設定にどの程度依存しているかを検討する必要がある。

例えば、焼却事例については以下の変更を試すことができる。

• 安全監視機構と転送魔導核の耐熱特性を逆転させる。
• 安全監視機構の故障時に自動切断する仕様へ変更する。
• 廃棄前に接続契約が失効する仕様へ変更する。
• 焼却以外の方法で製品を破壊する。

これらの変更によって危険状態が消失する場合、事故の成立に必要な条件を特定できる。

逆に、多様な仕様変更の下でも同じ危険状態が残るならば、その危険はより一般的な構造に由来する可能性がある。

このような感度分析は、架空技術の研究において、結論の恣意性を抑制するための重要な方法となる。

8. 学術論文という形式の研究上の役割

8.1 形式が課す制約

架空技術の研究を学術論文として記述することには、単なる文章表現以上の意義がある。

論文には、研究目的、先行研究、方法、結果、考察および限界の明示が要求される。

この形式は、研究者に対して以下の問いを課す。

• 何を明らかにしようとしているのか。
• その分析に必要な仮定は何か。
• どのような方法によって結論を得たのか。
• 結論は仮定からどのように導かれるのか。
• 得られた知見はどの範囲まで適用できるのか。

これらの問いに答える過程で、技術設定の不整合や、考慮されていなかった制御主体が明らかになる場合がある。

したがって、学術論文という形式は、架空技術の設定を装飾する手段であるだけでなく、当該設定を分析可能な構造へ変換する手段にもなり得る。

8.2 文書群による世界設定の制約

単一の研究論文では、対象システムの仕様を必要に応じて変更する余地が大きい。

しかし、同じ技術世界について複数の論文や事故調査報告書を作成する場合、それらの文書間で仕様の整合性が要求される。

例えば、第1研究[1]で安全監視機構の故障時に転送が継続すると記述した場合、後続の研究では、当該欠陥が改修されたか、同じ条件下で残存しているかを明示する必要がある。

また、第2研究[2]で感覚受信者側に独立した停止権限を与えた場合、第3研究[3]において安全機構の解除を議論する際には、その権限との関係を考慮しなければならない。

このように、複数の研究文書を相互参照させることは、世界設定の恣意的な変更を制限する効果を持つ。

ただし、文書間の整合性が高いことは、現実世界に対する妥当性を直接示すものではない。

内部整合性と外的妥当性は引き続き区別される必要がある。

8.3 創作上の一次資料と実証資料

架空技術を対象とする研究では、事故報告書、設計仕様書、社内会議議事録などを一次資料として設定することができる。

これらは、当該技術世界の内部において、誰が何を知り、どのような判断を行ったかを示す資料として機能する。

しかし、実際に発生した事故の経験的記録と同一視することはできない。

したがって、研究成果を現実の学術的文脈で提示する際には、資料の地位を明示する必要がある。

例えば、物語世界の内部で記述された事故報告書を利用する場合には、その記述が世界設定上の資料であることと、そこから導出された形式的命題が実際の分析結果であることを区別することができる。

こうした区別によって、虚構としての表現上の一貫性と、学術的な透明性を両立できる。

9. 研究対象の文化的評価と学術的威信

9.1 研究対象の社会的位置づけ

研究対象の選択には、学術的関心だけでなく、社会的・制度的な評価も関係している。

例えば、自律兵器、先進医療機器、宇宙探査システムなどは、安全性に関する研究対象として理解されやすい。

一方、成人向け製品や大衆的な創作物を題材とする研究は、その方法論的な妥当性とは別に、研究対象そのものに対する社会的評価の影響を受ける可能性がある。

Bourdieu[17]は、学術的な活動が社会的な力関係から完全に独立しているわけではなく、科学の場における資本や評価の構造が研究活動に関係することを論じた。

この観点からは、同じ分析方法を用いる研究であっても、対象領域によって学術的な威信が異なるという問題を検討できる。

ただし、本研究は、成人向け製品を対象とした研究が実際に不利な評価を受けていることを実証したものではない。

また、自律兵器と感覚共有型魔道具では、技術的実現可能性や社会的な必要性も異なる。

したがって、両者に対する評価の相違を、直ちに文化的偏見だけで説明することはできない。

9.2 評価の偏りを検証する研究設計

研究対象の社会的位置づけが学術的評価へ与える影響を検討するためには、他の条件を統制した評価研究が必要である。

例えば、以下の二要因を操作する実験を考える。

要因A：応用領域

• 軍事用途
• 成人向け用途

要因B：技術的実現可能性

• 現実の既存技術の延長にある装置
• 物理的実現可能性を仮定しない装置

この2×2の条件に対して、共通する制御構造と形式的な分析結果を持つ研究要旨を作成する。

評価者には、研究の重要性、方法論的妥当性、新規性、掲載適合性などを評定してもらう。

この際、装置の物理的実現可能性を操作しながら、モデルの論理的構造や証明内容を可能な限り一致させる。

さらに、技術的なもっともらしさや社会的必要性についても測定し、研究対象の評価への影響を分析する。

このような研究によって、応用領域に対する文化的評価が、方法論的妥当性の判断に独立した影響を与えるかを検討できる。

ただし、応用領域の変更が社会的危害の大きさや研究の優先度まで変化させる場合には、その差を単なる偏見と扱うことは適切でない。

本研究では、この問題を今後の実証研究課題として位置づける。

10. 研究倫理と学術的透明性

10.1 虚構の提示と研究不正の境界

架空技術の研究では、技術的にもっともらしい文書を作成することが重要になる場合がある。

しかし、架空の実験結果や事故事例を、実際に発生した事実として読者に誤認させることは、学術的な信頼性を損なう。

Coultonら[6]が指摘したように、Design Fictionにおいてもっともらしさを追求することは、意図しない欺瞞につながり得る。

そのため、架空技術を対象とする研究では、少なくとも次の区別が必要である。

1. 技術体系について仮定された性質
2. 物語世界の内部で成立する出来事
3. 実際に構築されたモデル
4. 実際に実施された分析
5. 実際に観測または測定された経験的事実

これらを区別することで、架空の研究資料を利用しながら、現実の学術的な論証の妥当性を評価できる。

10.2 二層的な研究公表方式

本研究では、架空技術に関する研究成果の公表について、二層的な方式を提案する。

第一層：対象世界の内部における研究文書

当該技術が存在する社会の内部で作成された事故報告書や研究論文として記述する。

これにより、製品仕様、運用条件、制度的背景などを一貫した形式で詳細化する。

第二層：研究方法論および資料の地位の説明

対象世界の設定、利用したモデル、導出した命題、実際の研究活動、検証されていない仮定を明示する。

この方式では、第一層の文書を物語世界の内部資料として構成しながら、第二層においてその資料の認識論的地位を説明できる。

ただし、第一層だけが独立して流通する場合には、読者が実在の事故事例と誤認する可能性がある。

したがって、公的な学術出版や研究データとしての公開では、各文書の書誌情報、メタデータ、あるいは冒頭の説明において、資料の性格を適切に示す必要がある。

10.3 検証可能な主張と検証不能な主張

本研究の提案する方法では、以下の主張を区別する。

検証可能な主張の例：

「定義された状態遷移モデルでは、監視機構の故障後に危険な転送が発生する状態へ到達可能である」

この主張は、モデルと推論を確認することで評価できる。

仮定に依存する主張の例：

「感覚共有魔道具では、入力された熱刺激が遠隔地の身体モデル本人へ伝達される」

これは対象世界の仕様として設定された命題であり、本研究によって実証されたものではない。

現実の実証を必要とする主張の例：

「特定の感覚刺激は、一定割合の受信者に特定の生理学的有害事象を発生させる」

この主張には、実際の受信者を対象とした適切な実証的資料が必要となる。

このように、各命題の検証方法を明確化することが、架空技術に対する学術研究の透明性を支える。

11. 考察

11.1 架空技術は安全工学の対象となり得るか

本研究の分析から、架空技術は安全工学的分析の対象となり得ると考えられる。

ただし、その根拠は、架空技術の存在を認めることにあるのではない。

安全工学的な分析が、システムに課される安全制約と、その制約を維持するための制御構造を対象としている点にある。

あるシステムの動作規則が定義されれば、そのシステムにおいて到達可能な危険状態を検討できる。

また、システムの複数の構成要素が相互作用することによって生じる危険は、単一の仕様から直ちに明らかになるとは限らない。

したがって、技術の実在性と独立して、モデル内部の安全性分析が知識を生成する余地は存在する。

11.2 架空性は必ずしも分析上の欠点ではない

架空技術を用いることには、現実の技術的制約にとらわれず、特定の問題構造を強調できるという特徴がある。

例えば、感覚共有型魔道具では、人体との物理的接触を介さずに感覚入力を発生させるという設定によって、装置の物理的危険と、身体への感覚的な作用を明確に分離できる。

また、魔道具の所有者、操作者、感覚受信者を独立した主体として設定することで、所有権と身体的自己決定権の関係を検討しやすくなる。

このような設定は、現実のシステムにおいて複数の要因が重なっている問題を、概念的に分離するための道具として機能し得る。

しかし、現実の制約を除去することによって、実際には成立しない因果関係が導出される可能性もある。

したがって、架空性そのものが学術的価値を保証するわけではない。

重要なのは、その仮定によって何が明確になり、何が分析から失われたのかを把握することである。

11.3 荒唐無稽な研究対象と厳密な方法論

架空技術を対象とする研究の特徴は、研究対象の荒唐無稽さと研究方法の厳密さが両立し得る点にある。

例えば、感覚共有型成人用魔道具の焼却廃棄という事例は、日常的な経験からは著しく離れている。

しかし、その事例に対して、

「安全監視機構が先に機能喪失する場合、危険な本来機能が残存するか」

という問いを設定すれば、一般的なシステム安全工学の問題へ変換できる。

同様に、愛玩動物が製品へ加えた刺激が転送される事例は、

「認証された通信路を流れる情報について、その物理的な生成主体の正当性をどのように確認するか」

という問題を提示する。

このように、研究対象の具体的な性質から、より一般的な制御構造を抽出することができる。

ただし、一般化に成功したことを示すためには、単に抽象的な表現へ置き換えるだけでは不十分である。

他のシステムにも同様の構造が存在すること、および結論がその構造に依存していることを示す必要がある。

11.4 Design Fictionと形式的工学研究の相補性

Design Fictionは、技術が社会へ導入された場合の制度的・文化的な帰結を探索するために有用である。

一方、形式的な安全性分析は、定義された制御構造における危険状態の到達可能性や、安全要求の成立条件を検討するために有用である。

両者は異なる種類の知識を生成する。

Design Fictionは、どのような問題を検討するべきかという問いを生み出す。

形式的な安全性分析は、その問題についてどのような条件で危険が発生するかを明確化する。

したがって、両者を組み合わせることで、技術の社会的帰結の探索と、工学的な制御要求の導出を接続できる。

ただし、物語的な説得力と数学的な妥当性は、それぞれ独立して評価しなければならない。

11.5 学術論文の形式は知識の保証ではない

架空の研究を学術論文の形式で記述することには、一定の研究上の意義がある。

しかし、学術論文という形式そのものが、記述内容の妥当性を保証するわけではない。

研究対象の説明が詳細であり、数式や参考文献が多数含まれていても、それだけで結論が成立するわけではない。

特に、仮定として導入した性質を実験結果として扱ったり、モデル内部の推論を現実の経験的事実として提示したりすることは避けなければならない。

この意味で、架空技術に対する研究を真に学術的なものとする条件は、論文の外形を模倣することではなく、主張と根拠の関係を明確化することにある。

11.6 研究対象の実在性と学術的妥当性

本研究の中心的な主張は、研究対象の実在性と、当該対象についての形式的な推論の妥当性が、異なる評価軸であるということである。

対象が実在しない場合、現実の対象について経験的な結論を導くことには重大な制約がある。

しかし、そのことはモデル内の演繹的な知識の成立を否定しない。

逆に、対象が実在する場合でも、モデルの仮定が不適切であったり、推論が誤っていたりすれば、結論は妥当でない。

したがって、学術的な研究評価においては、

何が存在するか

という存在論的な問題と、

何が正しく導かれたか

という認識論的な問題を区別する必要がある。

この区別は、研究対象の社会的威信に左右されない方法論的な評価の基盤となり得る。

12. 研究の限界

本研究には以下の限界がある。

第一に、本研究は理論的・方法論的分析であり、架空技術を対象とする研究の学術的評価について、実際の査読者や研究者を対象とする実証的調査を行っていない。

第二に、先行3研究の事例は共通の技術世界を構成するものであり、現実の事故発生率や製品安全性を評価するための経験的標本ではない。

第三に、本研究で提示した形式的な反例は、簡略化された状態遷移モデルに基づくものである。実際のモデル検査器による網羅的な検証や、実装を対象とする検証を完了したものではない。

第四に、形式的な命題の成立から現実の安全性を導くための対応関係は、具体的な対象システムごとに検討する必要がある。

特に、感覚共有魔道具に固有の技術的性質を、現実の神経インターフェース等へそのまま適用することはできない。

第五に、モデルの仮定を恣意的に変更することによって、所望の結論を容易に導出できるという問題がある。これを抑制するには、仮定の固定、変更履歴の記録、感度分析、および結論の仮定依存性の明示が必要である。

第六に、本研究で提案した学術的評価基準は、架空技術を対象とする研究全般について、その妥当性が経験的に検証されたものではない。

第七に、研究対象の文化的評価と学術的評価との関係については、理論的な問題提起にとどまっている。

これらの限界を踏まえ、本研究の成果は、架空技術に対する安全工学的分析の認識論的地位を整理し、その評価に必要な条件を提案したものとして位置づけられる。

13. 結論

本研究では、Design Fiction、科学モデルの虚構性、反実仮想的モデルおよび形式的安全性分析に関する先行研究を整理し、感覚共有型魔道具を対象とする3研究[1][2][3]を事例として、架空技術に対する安全工学的分析の認識論的意義を検討した。

分析の結果、以下の結論を得た。

第一に、研究対象の実在性と、モデル内の論証の妥当性は独立している。

架空技術を対象とする場合でも、仮定と動作規則が明確に定義されていれば、形式的な命題を検討できる。

第二に、架空技術に対する実際の工学的分析と、研究活動そのものを創作するFictional Research Paperは、認識論的に区別されるべきである。

前者ではモデルの構築と分析が実際の研究活動となる一方、後者では研究の記述そのものが批判的・探索的な表現手段となる。

第三に、架空技術を対象とする研究からは、少なくともモデル内の演繹的知識、構造的な一般化に関する条件付き知識、および設計要求を探索する発見的知識を得ることができる。

ただし、これらを現実の技術についての経験的知識と同一視してはならない。

第四に、仮想システムの分析結果を現実へ移転するには、モデルと具体的システムの対応関係を示す必要がある。

モデル内で安全性が成立したことだけでは、現実の装置の安全性は保証されない。また、モデル内の反例が現実の装置でも実現可能であるとは限らない。

第五に、架空技術の研究は、仮定の明示性、内部整合性、推論の妥当性、非自明性、頑健性および移転可能性によって評価されるべきである。

研究対象の実在性や文化的な威信だけを学術的価値の判断基準とすることは適切でない。

以上から、架空技術に対する安全工学的分析は、現実の技術に関する実証研究の代替にはならないものの、設計上の危険条件を探索し、一般的な安全制約を明確化するための有効な研究方法となり得ると結論づけられる。

特に、Design Fictionによる問題状況の構築と、形式的な安全性分析による命題の検証を組み合わせることは、技術の存在を前提としない段階においても、制御構造に関する知識を生成する方法として意義を持つ。

本研究が提案する方法論の要点は、次の一文に集約される。

研究対象が存在することは、研究対象についての推論が正しいための必要条件ではない。しかし、その推論を現実についての知識とするためには、現実との対応関係が必要である。

参考文献

A. 本研究プログラムの先行3論文

1. pata (2026a). 「感覚共有型魔道具におけるライフサイクル安全性の体系的分析――STAMP/STPAを用いた非接触的生理学的危害のハザード同定――」. mendaXiv, 2026.000020, v1. https://mendaxiv.com/papers/2026.000020/versions/1

2. pata (2026b). 「遠隔感覚伝達システムにおける身体的自己決定権とアクセス制御――所有権、操作権限および時間依存的同意の分離――」. mendaXiv, 2026.000021, v1. https://mendaxiv.com/papers/2026.000021/versions/1

3. pata (2026c). 「嗜好的刺激を目的機能とするシステムにおける安全要求の競合――感覚制限、利用者効用および残留リスクの多目的最適化――」. mendaXiv, 2026.000019, v1. https://mendaxiv.com/papers/2026.000019/versions/1

B. Design Fiction・デザイン研究

4. Blythe, M. (2014). Research through design fiction: Narrative in real and imaginary abstracts. Proceedings of the SIGCHI Conference on Human Factors in Computing Systems, 703–712.
   https://doi.org/10.1145/2556288.2557098

5. Lindley, J., & Coulton, P. (2016). Pushing the limits of design fiction: The case for fictional research papers. Proceedings of the 2016 CHI Conference on Human Factors in Computing Systems, 4032–4043.
   https://doi.org/10.1145/2858036.2858446

6. Coulton, P., Lindley, J., & Akmal, H. A. (2016). Design fiction: Does the search for plausibility lead to deception? Proceedings of Design Research Society Conference 2016, 369–384.
   https://doi.org/10.21606/drs.2016.148

7. Baumer, E. P. S., Blythe, M., & Tanenbaum, T. J. (2020). Evaluating design fiction: The right tool for the job. Proceedings of the 2020 ACM Designing Interactive Systems Conference, 1901–1913.
   https://doi.org/10.1145/3357236.3395464

C. 科学哲学・モデルの認識論

8. Frigg, R. (2010). Models and fiction. Synthese, 172(2), 251–268.
   https://doi.org/10.1007/s11229-009-9505-0

9. Morrison, M., & Morgan, M. S. (1999). Models as mediating instruments. In M. S. Morgan & M. Morrison (Eds.), Models as Mediators: Perspectives on Natural and Social Science (pp. 10–37). Cambridge University Press.
   https://doi.org/10.1017/CBO9780511660108.003

10. Sugden, R. (2000). Credible worlds: The status of theoretical models in economics. Journal of Economic Methodology, 7(1), 1–31.
    https://doi.org/10.1080/135017800362220

11. Godfrey-Smith, P. (2006). The strategy of model-based science. Biology & Philosophy, 21(5), 725–740.
    https://doi.org/10.1007/s10539-006-9054-6

D. システム安全工学・形式手法

12. Leveson, N. G. (2012). Engineering a Safer World: Systems Thinking Applied to Safety. MIT Press.
    https://doi.org/10.7551/mitpress/8179.001.0001

13. Leveson, N. G., & Thomas, J. P. (2018). STPA Handbook. MIT Partnership for Systems Approaches to Safety and Security.
    https://psas.scripts.mit.edu/home/books-and-handbooks/

14. Friedberg, I., McLaughlin, K., Smith, P., Laverty, D., & Sezer, S. (2017). STPA-SafeSec: Safety and security analysis for cyber-physical systems. Journal of Information Security and Applications, 34, 183–196.
    https://doi.org/10.1016/j.jisa.2016.05.008

15. Cousot, P., & Cousot, R. (1977). Abstract interpretation: A unified lattice model for static analysis of programs by construction or approximation of fixpoints. Proceedings of the 4th ACM SIGACT-SIGPLAN Symposium on Principles of Programming Languages, 238–252.
    https://doi.org/10.1145/512950.512973

16. Clarke, E., Grumberg, O., Jha, S., Lu, Y., & Veith, H. (2000). Counterexample-guided abstraction refinement. Computer Aided Verification, Lecture Notes in Computer Science, 1855, 154–169.
    https://doi.org/10.1007/10722167_15

E. 学術研究の社会学

17. Bourdieu, P. (2004). Science of Science and Reflexivity. Translated by R. Nice. University of Chicago Press.
    https://press.uchicago.edu/ucp/books/book/chicago/S/bo3630402.html

付録A：架空技術研究のための方法論的チェックリスト

本研究で提示した議論を踏まえ、架空技術を対象とする安全工学的分析について、以下の確認項目を提案する。

このチェックリストは、研究対象が現実に存在しないことを正当化するためのものではない。

むしろ、研究対象の虚構性によって曖昧になりやすい推論の前提と結論の範囲を、通常の工学研究以上に明確化するためのものである。

その意味で、架空技術に対する安全工学的分析は、システム安全工学の方法論そのものを検討するための教材としても利用可能である。