ADR-0030: 設計による危害の低減を、安全重要度の正当な引き下げとして位置づける

ステータス

採用(2026-08-12)

コンテキスト

第8章軸Eは、人員が足りない場合の選択肢を2つ示していました。

体制を確保する(外部の評価者を含む)
当該の機能を実施しない

準拠テンプレートの /process-init も、安全重要度 CL1 以上と1〜2名の体制の組み合わせを拒否する際、この二択をそのまま提示していました。

しかし実務では、この2つより先に検討されるべき経路があります。プロダクトの設計を変えて、最悪の帰結そのものを下げることです。ファイルの削除機能を物理削除から取り消し可能な方式へ変えれば、最悪の帰結は「個人の権利・利益に実質的な影響が及ぶ(CL1)」から「経済的な損失や業務の中断にとどまる(CL0)」へ実際に下がります。

第8章にはもともと「危害を実行不能にする設計(第6章 RRS1)を導入した場合に限り、区分を下げてよい」という規則がありました。ただし2つの問題がありました。

問題	内容
記述が狭い	「実行不能にする」だけを挙げており、帰結を回復可能にする設計が読み取れない
提示されない	拒否のメッセージと「人員が足りない場合」の節が二択のままで、経路が利用者へ届かない

その結果、体制を確保できない利用者は、実態は CL1 のまま回答を CL0 へ書き換えるか、価値の中核となる機能を落とすかに流れます。前者は本標準がもっとも避けたい帰結です。正しい逃げ道が示されていないことが、不正直な回答を誘発する構造になっていました。

決定

設計によって最悪の帰結を下げることを、安全重要度の正当な引き下げとして位置づけます。回答の書き換えとは、要求事項の有無で区別します。

引き下げには4つの要求事項をすべて課します。

低減の前後の区分と根拠となる設計を記録する(CL2 以上は安全リスクアセスメント、CL1 以下は ADR)
設計上の制約を、該当機能の受入基準へ必須制約として書き込む
引き下げの判断を ADR として記録する。採らなかった選択肢(体制の確保・機能の非実施)とその理由を含める
当該の制約を外す変更を、区分の再判定の対象にする

あわせて次を定めます。

第6章 RRS1 の記述へ「実行の帰結を回復可能にする」を加える。具体策に帰結の可逆化(取り消し可能な操作、確定前の保留、影響範囲の限定)を明示する
「人員が足りない場合」の選択肢を3つにし、設計による低減を最初に置く
設計で下げられない危害を列挙する。人体への危害、外部へ出た情報、外部との間で確定した取引、第三者の資産・環境への物理的な影響
準拠テンプレートの拒否メッセージへ、第3の選択肢と記録の要求を含める

要求事項2が中心です。これを欠くと、低減の根拠は次の反復で失われます。「取り消し可能にした」という設計判断は、機能の追加や書き直しの過程で容易に消えます。受入基準に必須制約として残っていれば、消えたことが G-5 で検出されます。

引き下げの非対称性との関係

第8章のテーラリングは「厳しくする方向は自由、緩める方向は判定と記録を要する」という非対称を持ちます。設計による引き下げは、この非対称の例外ではありません。判定(区分の再評価)と記録(ADR・受入基準・アセスメント)を伴う、緩める方向の変更として扱います。

自動的に緩む経路は設けません。設計を変えた事実の記録がない引き下げは、回答の書き換えとして扱います。

検討した選択肢

案	採らなかった理由
二択のまま維持し、既存の規則(RRS1 による引き下げ)の存在で足りるとする	規則は判定の節にあり、拒否の場面では読まれない。読まれない場所にある規則は、実質的に存在しない
第3の選択肢を要求事項なしで認める	「設計で下げた」という自己申告が、回答の書き換えと区別できなくなる。区別を作るのが要求事項の役割
設計で下げた場合も外部の評価を必須にする	CL0 相当まで下げた構成に、CL1 の体制要求を残すことになる。区分が下がった意味がない
引き下げの可否を個別の審査制にする	1〜2名の体制に審査の相手がいない。要求事項を満たしたかどうかを記録で検証する形にした

影響

拒否のメッセージが、設計による低減を最初の選択肢として提示する
引き下げを選ぶと、ADR と受入基準の必須制約という残り続ける成果物が生じる。宣言だけで終わらない
設計で下げられない危害の一覧により、可逆化を主張できない領域が明確になる
本 ADR は ADR-0028の「CL1 以上では1〜2名の構成を拒否する」を変更しない。拒否は維持し、拒否の際に示す選択肢を増やす