　われわれが普段STAMP/STPAで取り扱うシステムには、先天的安全性などというものはないのが普通です。だからわれわれは、安全性を担保するための安全制御を、一分の隙もなく堅固な城郭のように構築しようとします。そのためには、あらゆるまれな状態をも想定して安全を制御するコントローラーと、利己的に己の利益を追求などせず、コントローラーが許容する安全制約の中で忠実に命令に従うプロセッサが必要です。STAMP/STPAは、そのような大前提の下にシステムをモデル化するため、コントローラーのいないシステムは、そもそもアーキテクチャ的に間違っていると評価しますし、プロセッサが制御結果を適切にコントローラーにフィードバックしないようなことは許しません。

　ところが、先天的安全システムには、安全制御コントローラーが存在しないことがあります。また、プロセッサは、自分の利益を最大にするのですから、他者と競い合っているのが通例です。後述するように、その競合自体が安全性を創発しているのです。本稿では、そういう“奇跡”のようなシステムを紹介します。

東京駅のコンコース

　世の中に数ある駅のコンコースの中でも、東京駅のコンコースの混雑ぶりとカオスは特筆すべきものです。1日平均100万人以上が利用する交通量ですが、コンコースには通路の区分けや、交通整理する駅員などはいません。コンコースの両側には、多数の店舗が並び、列車に乗る人と買い物をする人が縦横の導線を自由に交錯します。発車時刻ギリギリで走る人や、初めて日本に来て放心状態の外国人、老人、子どもなどが入り乱れます。

　かつて、このシステムの安全性を厳格に制御しようとした試みがありました。1948年までは、丸の内南口を乗車口、丸の内北口を降車口として一方通行とする区分が分けられていました^［1］。これは、性能（乗客の利便性）を半減させる代わりに、衝突を避けるための安全性を優先する設計でした。

　しかしこの結果、逆に混雑は助長されました。そして、同年内に丸の内の南北両口をともに両側通行とし、通行区分を撤廃することで混雑は緩和されました。つまり、東京駅は、当初安全性のために厳格な安全コントロールによって管理を行っていましたが、最終的に安全コントロールを撤廃したところ、結果的に性能と安全性を同時に高めたのです。

東京駅を歩く人を観察する

　では、現在、100万人に膨れ上がった乗降客の安全性はどのように実現されているのでしょうか。筆者は、コンコースを歩く人の目視調査を行いました。調査項目は、以下のようなものです^［2］。

（1）歩くテンポ
（2）歩く軌道

　すると、この駅には、独自のテンポが確立されていることが分かりました。それは、毎秒2歩というテンポです。これは、行き先が分からず上を見上げている旅行客以外は、速く歩くサラリーマンであっても、他の乗客であっても大きな差がありませんでした。つまり、人々は、比較的足早に、しかも多数のメトロノームが自然に同期してくるかのように同じテンポで歩いているのです。

　また、歩く軌道はさらに意外なものでした。人々の軌道は、ほぼ直線的であり、途中大きく方向転換することは極めてまれでした。つまり、人々は、最短経路をかなり足早に同期を取りながら歩いているのです。

　次に、このような人の歩き方に関して、モデル化を試みました。次節にモデル化の結果を示します。

東京駅を歩く人をモデル化する

　前述したように、東京駅のコンコースでは、交通流を制御する通行区分や、交通整理をする人間は存在しません。すなわち、STAMPが前提とするコントローラーが不在なのです。

　また、コントローラーが不在であるため、コントロールドプロセスというようなものも特に存在していません。

　そこで、モデル化に当たり、これら2つのコンポーネントの存在を前提条件としないモデリング手法を採用することとしました。具体的には、「東京駅を歩く」ということは何なのかを、虚心坦懐（たんかい）に機能のみでモデル化する手法であるFRAM（Functional Resonance Analysis Method：機能共鳴分析手法）を使うことにしました^［3］。

　FRAMは、各機能を六角形で表し、各頂点に5つの入力ノードと1つの出力ノードを備えます。各機能は、他の機能とこれらノードを通じて接続されます（図1）。これら6つのノードは、表1に示す通り、MECE（Mutually Exclusive and Collectively Exhaustive：漏れ、ダブりがないこと）に考えられており、機能の持つべき要素としての完全性を持っています。

図1　FRAMの機能を表す六角形［クリックで拡大］


	カテゴリー		データ名	説明
	入力	トリガー	I：入力	機能を開始する直接のトリガー
		事前条件	P：前提条件	機能開始前にそろっている必要がある条件
		事後条件	C：制御	機能開始後に処理を変える	出力の中身を変える	制御パラメーター
			R：資源		出力の有無を変える	資源枯渇時出力停止（空間的側面）
			T：時間		出力の有無を変える	締め切り時間オーバー時出力停止（時間的側面）
	出力		O：出力
表1　FRAMの6要素