ちんちんはいつ感覚伝送を許可したのか――感覚共有型魔法オナホールの時相論理的分析と接触認証の限界――

魔導情報工学・形式手法・安全性工学

キーワード： 時相論理、感覚共有魔法、ちんちん認証、形式的検証、安全性、認可、時間的整合性

1. 序論

1.1 問題の所在

感覚共有型魔法オナホールは、器具に加えられた物理的刺激を魔力信号へ変換し、遠隔地に存在する使用者の感覚系に伝送する魔導具である。

従来型製品では、感覚共有の接続状態と器具の使用状態が独立していた。このため、器具の使用終了後にも魔力的接続が維持され、清掃や保管中の刺激が使用者に伝送される事故が発生した。

特に、煮沸消毒中の熱感覚伝送は深刻な問題とされた。

その対策として登場したのが、陰茎との接触を感覚共有の許可条件とする「ちんちん認証」である。

接触が失われた瞬間に感覚伝送を停止させることで、使用終了後の煮沸消毒事故を防止できる。

これは魔導工学上の画期的な進歩であった。

しかし、この技術には根本的な限界がある。

接触が成立していることは、その時点で生じた刺激を伝送することの正当性を意味しないのである。

1.2 本稿の目的

本稿では、感覚共有を単なる接続状態ではなく、時間とともに変化する許可条件を伴った制御システムとして捉える。

そのため、時相論理 [pnueli1977] を導入し、感覚伝送がいつ許可され、いつ禁止され、いつ停止しなければならないかを検討する。

とりわけ、ちんちん認証が保証する安全性と、保証しない安全性を区別する。

2. 時相論理による感覚伝送の形式化

2.1 基本命題の定義

時刻 t における魔導具の状態を、次の命題によって表現する。

ここで重要なのは、接触状態 C(t) と許可状態 A(t) を異なる命題として定義している点である。

両者はしばしば一致するが、必ずしも一致しない。

例えば、使用者が器具を装着したまま眠っている場合、接触状態は維持されていても、新たな刺激伝送に対する有効な許可が存在するとは限らない。

2.2 従来型ちんちん認証の安全制約

ちんちん認証を採用した魔法陣が満たすべき基本条件は、次のように記述できる。

\boxed{\mathbf G(T\rightarrow C)}

ここで \mathbf G は「常に」を意味する時相演算子である。

すなわち、いかなる時刻においても、感覚が伝送されているならば接触が成立していなければならない。

この性質が保証されれば、器具を取り外した後に加えられた刺激が伝送される事故を防止できる。

ただし、逆方向の含意、

C\rightarrow T

が成立するとは限らない。

接触しているからといって、常に感覚伝送が実行される必要はない。

まして、

C\leftrightarrow T

という同値関係を安全要求として採用することは不適切である。

これは、接触の成立を感覚伝送の必要十分条件として扱うことに相当する。

実際に伝送する刺激が存在するか、伝送が許可されているか、安全な刺激であるかが考慮されていない。

接触は接触であって、許可ではない。

2.3 許可条件の拡張

より適切な安全制約は、次のように定義できる。

\boxed{\mathbf G(T\rightarrow C\land A\land S)}

この式は、感覚伝送が行われるならば、接触、許可、安全性の三条件がすべて成立していなければならないことを意味する。

これにより、少なくとも次の状態を区別できる。

1. 接触しておらず、伝送も許可されていない状態
2. 接触しているが、伝送は許可されていない状態
3. 接触および許可は成立しているが、安全条件を満たさない状態
4. 接触、許可、安全条件がすべて成立した状態

従来のちんちん認証が識別していたのは、主として接触の有無であった。

しかし、感覚伝送を許可できるのは第四の状態に限られる。

これは魔導具の設計を複雑にするが、安全性を確保するうえでは必要な複雑性である。

3. 接触状態が継続している場合の反例

3.1 装着中の睡眠

次の事例を考える。

使用者は感覚共有型魔法オナホールを装着した状態で入眠した。

接触検知魔法陣は正常に動作しており、接触が継続していることを正しく検出していた。

深夜、器具に予期しない刺激が加わった。

装置は接触状態を確認し、刺激を使用者に伝送した。

使用者は突然の感覚入力によって覚醒した。

この事例において、

\mathbf G(T\rightarrow C)

は完全に満たされている。

感覚伝送が発生したとき、陰茎は確かにそこにあった。

にもかかわらず、当該感覚伝送が望ましいものであったとはいえない。

3.2 反例が意味すること

この事故は、ちんちん認証の故障によって発生したのではない。

接触を正しく検出したからこそ発生したのである。

ここには、信頼性と安全性の区別が再び現れる。

接触検知が正確であっても、その検知結果に基づく制御が安全とは限らない。

設計者が実装した命題は、

「接触している場合には感覚を伝送してもよい」

というものであった。

しかし、実際に必要なのは、

「接触しており、かつ、その時点で当該刺激を伝送することが許可されている場合に限り、感覚を伝送してよい」

という制約である。

この二つは同義ではない。

4. 接触と伝送の時間的非同期性

4.1 許可された時刻と知覚された時刻

魔法陣が十分に高速である場合、設計者は感覚入力と感覚伝送が同時に発生していると考えがちである。

しかし、感覚検出、魔力信号への符号化、魔術的経路による送信、復号、感覚への再構成には、それぞれ時間を要する。

送信時刻を t_s、受信時刻を t_r とすると、一般には、

t_r=t_s+\Delta t

である。

ここで \Delta t は伝送遅延を表す。

たとえ \Delta t が極めて小さくても、送信時点と受信時点の許可状態が一致する保証はない。

4.2 許可の失効と伝送中の刺激

次の状態遷移を考える。

この事例では、送信時点において接触と許可が成立している。

したがって、送信時点だけを監視する接触認証は正常に機能する。

しかし、受信時点ではすでに接触が失われている。

使用者は取り外した器具から、遅れて感覚刺激を受け取る。

これは典型的な時間的整合性の問題である。

情報セキュリティの用語では、確認時点と使用時点の間で条件が変化する問題、すなわち TOCTOU（Time-of-Check to Time-of-Use）問題と類似した構造を持つ。

4.3 感覚伝送の二段階検証

この問題への対策として、送信時点だけでなく、受信時点においても許可状態を検証することが考えられる。

送信動作を Send(m)、受信側での感覚提示を Deliver(m) とする。m は個別の刺激メッセージを表す。

安全制約は、少なくとも次の二式から構成される。

\mathbf G(Send(m)\rightarrow C\land A_m\land S_m)

\mathbf G(Deliver(m)\rightarrow C\land A_m\land S_m)

これにより、送信時点で許可されていた刺激であっても、受信時点で条件を満たしていなければ破棄できる。

ただし、受信側が送信側の接触状態を遅延なく知るとは限らない。

接触状態の通知にも遅延が存在するのである。

したがって、単なる再検証ではなく、許可の世代番号、有効期限、取り消し通知の伝播、および受信側の安全遮断機能を含む設計が必要となる。

5. ちんちん認証の時間的有効性

5.1 永続的な許可という誤謬

使用者がある時点で感覚伝送に同意したとしても、それが無期限の許可を意味するわけではない。

例えば、時刻 t_0 に伝送を許可した使用者が、時刻 t_1 にその許可を取り消した場合、

t\geq t_1

において、当該許可は失効していなければならない。

接触状態が継続していても同様である。

つまり、伝送許可は使用者の身体的位置から独立した時間依存の状態である。

5.2 許可の撤回

許可撤回を R、新たな明示的許可を N とする。

撤回後、再許可まで感覚伝送を禁止する安全要求は、LTLの弱いuntil演算子 \mathbf W を用いて次のように記述できる。

\mathbf G(R\rightarrow(\neg T\ \mathbf W\ N))

これは、撤回が発生した時点から、新たな許可が成立するまで感覚伝送を停止することを要求する。

ここで新たな許可が発生しない場合、伝送は禁止されたままとなる。

重要なのは、撤回が必ずしも物理的な接触の解除を伴わない点である。

使用者は装着したまま伝送許可を撤回することができなければならない。

5.3 時間制限付き許可

さらに、許可が有効であり得る期間を制限することが望ましい。

例えば、明示的な許可が成立した後、一定時間以内に再確認が行われなければ、許可を失効させる。

もっとも、時間制限を追加しただけでは、その期間内に生じる危険な刺激を防止できない。

時間制限は、接触認証と同様に安全制約の一部分にすぎない。

ここで、魔導具設計者が繰り返し直面する構造が明らかとなる。

接触認証を追加しても事故が起きる。

時間制限を追加しても事故が起きる。

刺激強度の上限を設定しても、長時間の刺激による事故が起きる。

この問題は、個別の対策を追加するたびに安全性が自動的に完成するというものではない。

安全性とは、許容できないシステム状態を特定し、それらを排除する制御構造を設計することである [leveson2011]。

6. 安全性と活性の対立

6.1 安全性特性

時相論理を用いたシステム検証では、安全性（Safety）と活性（Liveness）を区別することが重要である [alpern1985]。

安全性特性は、大まかにいえば「望ましくないことが起きない」という性質である。

感覚共有型魔導具では、無許可の感覚伝送が発生しないことが代表的な安全性特性となる。

\mathbf G(\neg A\rightarrow\neg T)

6.2 活性特性

一方、活性特性は「望ましいことがいつか実現する」という性質である。

例えば、適切な条件の下で入力された刺激が、最終的には使用者に到達することが挙げられる。

LTLにおける \mathbf F は「いつか」を意味する。

ただし、

\mathbf G(I\rightarrow\mathbf F T)

と定義してしまうと、許可が撤回された後であっても、かつて入力された刺激を最終的に伝送することが要求されてしまう。

これは望ましくない。

したがって、活性要求には、接触、許可、安全条件が継続して成立しているという前提が必要となる。

6.3 いつか送ればよいのか

さらに、通常のLTLで記述される「いつか」は、具体的な時間上限を持たない。

極端にいえば、入力された刺激が三日後に送信されても、「いつか送信する」という性質だけは満たし得る。

しかし、三日前に発生した刺激が突然伝送される装置は、明らかに通常の使用目的に適合しない。

このような問題には、時間区間を明示できるMTLが有用である。

例えば、許可された刺激の到達期限を 100 ミリ秒とするなら、

\mathbf F_{[0,100\mathrm{ms}]}T

によって、その時間内に伝送されることを表現できる。

ただし、この制約も許可が継続している場合にのみ適用されるべきである。

感覚伝送の活性を無条件に優先すれば、許可撤回後にも伝送を完遂しようとする魔法陣が作られてしまう。

感覚伝送における安全性とは、何としてでも刺激を届けることではない。届けてはならない刺激を届けないことである。

7. 形式的検証によって安全性は保証されるか

7.1 モデル検査の成功

ここで、ある魔導具メーカーの開発チームが、ちんちん認証システムの形式的検証に成功したと仮定する。

検証対象の安全要求は次の一式である。

\mathbf G(T\rightarrow C)

モデル検査器は、考えられるすべての状態遷移について、この性質に対する反例が存在しないと報告した。

開発チームは歓喜した。

「ついに形式的に安全性が証明された！」

しかし、この報告が示すのは、モデル化されたシステムにおいて、接触していないときに感覚が伝送されないという性質だけである。

接触中の危険な伝送は、安全要求に含まれていない。

したがって、モデル検査器はこれを問題として検出しない。

7.2 正しい証明と誤った要求

形式的検証は、与えられた仕様に対してシステムが適合するかを厳密に評価する。

しかし、そもそも安全要求に必要な条件が含まれていなければ、形式的検証の成功は安全性を保証しない。

これは形式手法の欠点ではない。

要求定義の問題である。

接触中に生じる不適切な感覚伝送を禁止する要求が存在しない以上、モデル検査器にはそれを違反と認識する根拠がない。

モデル検査器は、ちんちんがそこにあることを確認する。

しかし、そこにちんちんがあることが何を正当化するのかまでは、設計者に代わって考えてくれない。

7.3 分岐時相論理による反例探索

分岐時相論理であるCTLを用いれば [baier2008]、危険状態に至る経路が存在するかを検討できる。

危害を伴う事象を H とすると、

\mathbf {EF}\,H

は、ある経路において、将来のいずれかの時点で H が成立することを意味する。

これは、危険な状態への到達可能性を探索するうえで有用である。

例えば、接触認証が成立している状態から、無許可の感覚伝送が発生する経路を探索できる。

ただし、ここでも重要なのは、何を危険状態としてモデル化するかである。

設計者が「ちんちんが接触している限り、感覚伝送は安全である」と定義してしまえば、接触中の危険な感覚伝送は最初から危険状態に分類されない。

誤った安全要求に対する完全な証明は、誤った安全要求を完全に満たすことしか保証しない。

8. 魔法陣設計における時間的安全制約

以上の分析から、感覚共有型魔法オナホールの安全設計には、少なくとも次の要素が必要である。

第一に、接触状態と伝送許可状態を独立して管理することである。接触の成立のみを根拠として感覚伝送を開始してはならない。

第二に、許可は時間的に有効な範囲を持たなければならない。過去に成立した許可が、未来の任意の刺激に対して永続的に有効となる設計は避けるべきである。

第三に、送信時点と受信時点で許可状態が異なる可能性を考慮することである。送信済みの刺激であっても、受信時点で許可を失っている場合は破棄されなければならない。

第四に、許可の撤回後、危険な感覚伝送が停止するまでの時間に上限を設定することである。

第五に、感覚伝送の安全性は、接触の有無のみならず、刺激の強度、継続時間、使用者の状態、および外部環境に依存することを認識しなければならない。

これらを満たす魔法陣は、従来の単純な接触検知型魔法陣より複雑になる。

しかし、それは不必要な複雑化ではない。

そもそも安全な感覚共有という要求が、時間的・状態的な複数の制約を含む問題なのである。

9. 結論

本稿では、感覚共有型魔法オナホールに導入されたちんちん認証について、時相論理に基づく安全性分析を実施した。

その結果、次の知見を得た。

ちんちん認証は、感覚伝送における接触状態を検出する技術として有効である。

また、非接触状態における不適切な感覚伝送を防止する点で、従来型製品に対して明確な改善をもたらす。

しかし、接触状態は感覚伝送の許可状態と同一ではない。

接触が継続している場合にも、感覚伝送が不適切となる状況は存在する。

さらに、感覚の入力、送信、受信は時間的に分離した事象であり、送信時点で成立していた許可が受信時点まで維持されるとは限らない。

したがって、感覚伝送を安全に制御するためには、接触状態だけではなく、許可の有効期間、撤回、時間遅延、および個々の刺激の伝送条件を考慮した時相的な安全制約が必要である。

本稿の議論は、魔導具設計一般にも適用可能である。

ある制御動作を実行するための前提条件が満たされていることは、その制御動作を当該時点で実行することの適切性を必ずしも意味しない。

これは安全工学の基本的な原則であり、感覚共有型魔法オナホールもその例外ではない。

結論として、魔法陣設計者は次の命題を銘記すべきである。

諸君、ちんちんがそこにあることと、その時点で入力された感覚を送信してよいことは、論理的に同値ではないのである。

そして、その命題が成立するのは、いまこの瞬間だけではない。

過去においても、未来においても、同様である。

\boxed{\mathbf G\neg(C\leftrightarrow A)}

……と書きたいところだが、この式は「接触と許可が、あらゆる時点で必ず異なる」という強すぎる主張になってしまう。

実際には、接触と許可が同時に成立することは当然あり得る。

我々が否定したいのは、両者の同値性を無条件の安全要求として採用できるという主張である。

ゆえに本稿は、最後にもう一つの教訓を提示する。

魔法陣設計者は、ちんちんの存在を過信してはならない。そして、時相論理の演算子を過信してもならない。

参考文献

1. [pnueli1977] Pnueli, A. (1977). "The Temporal Logic of Programs." 18th Annual Symposium on Foundations of Computer Science, 46–57.
2. [alpern1985] Alpern, B., & Schneider, F. B. (1985). "Defining Liveness." Information Processing Letters, 21(4), 181–185.
3. [leveson2011] Leveson, N. G. (2011). Engineering a Safer World: Systems Thinking Applied to Safety. MIT Press.
4. [baier2008] Baier, C., & Katoen, J.-P. (2008). Principles of Model Checking. MIT Press.

以上の文献は、時相論理、形式的検証およびシステム安全性に関する実在の文献である。感覚共有型魔導具やちんちん認証そのものを研究対象とするものではない。