ADR-0042: 安全リスク区分は危険源の大小を順序づけると主張せず、低減の順序を決める入口として用いる

ステータス

採用(2026-08-14)

本標準の安全リスク区分(SR1〜SR4)は、危険源ごとに Hs / Ex / Oc / Av の4パラメータを見積もり、その結果を4段階の区分へ写します。この方式そのものに、査読済みの批判があります(#242)。

Cox, L.A. (2008) “What’s Wrong with Risk Matrices?” Risk Analysis 28(2), 497-512(本文未取得。書誌と要旨・解説による二次情報):

本標準の SR はマトリクスではありません。しかし順序尺度のパラメータを categorical な区分へ写す構造は同じです。とくに最後の点は、そのまま当たります。

NIST SP 800-30 Rev.1 は表I-2 で5段階のリスク水準を出しますが、水準ごとの必須技法を定めません。管理策の選択・運用認可の可否・監視頻度・優先順位づけの入口として使います。本標準の SR と同じ使い方です。

ISO/TR 14121-2 6.4.3 は数値化について次のように書きます。

can give a false impression of numerical accuracy

同 6.4.2 の Table 2 は4区分(high / medium / low / negligible)、6.5.2 の Cl も4区分です。区分へ写すこと自体は、機械安全の側にも情報セキュリティの側にも先例があります。

争点は、その区分が何を主張しているかです。「SR3 は SR2 より危険である」を主張するなら Cox の批判に答える必要があります。答えられないなら、主張しないと書くべきです。

SR の値は、危険源どうしを比較するための量ではありません。SR3 の危険源が SR2 の危険源より危険であるという主張を、本標準は行いません。

SR は次の3つの入口として使います。

いずれも手続の入口であり、危険源どうしの比較ではありません。

計算式を規定しない方針(第6章)を維持します。根拠の記述が無く値だけがある記録は、判定として無効です。

この方針は3系統の一次情報が支持します。

SR の分布を案件間で比較しません。見積りは自己申告であり、第三者認証を持ちません。比較は、見積りを甘くする誘因を直接与えます。

案	却下の理由
SR は順序づけを主張する、と書く	Cox (2008) に答えられない。とくに「性能を検証した研究がほとんどない」に対して、本標準は何も持たない
区分をやめ、パラメータの記録だけにする	受容の決裁の重さを決める入口が無くなる。SR2 以上を R1 の決定として扱う規定が成立しない
計算式を規定し、値の一貫性を担保する	3系統の一次情報が反対する。ISO/TR 14121-2 6.4.3 が明示的に警告する
何も書かない(現状)	読み手は SR が順序づけを与えると読む。書かないことは、暗黙に主張することと同じ