SysML初級講座 第33講のアップのお知らせと今後の予定

SysML初級講座 第33講「視点«ViewPoint» とビュー«View» 」をアップしました。
リンク先は→こちら


SysML初級講座は、あと２講ほどで完了します。
また、現在準備中の　「OCSMP モデルユーザー　英語受験・対策コース」は、６月中に開講予定です。

そして、モデルユーザー以降のOCSMPモデルビルダー（ベーシック、インターミディエイト、アドバンスト）への対応ですが、モデルビルダー認定試験の出題傾向が、実際にモデリングを行なっている実務者向けの内容であり、受験対策を単に問題演習だけで行うには無理がある　ー（加えて、意味もない）ー　ため、モデルユーザー合格者、もしくは同等の知識をお持ちの方を対象に、SysMLのモデリング演習講座を開催する方向で検討中です。(モデリング・ツールとしては、無料ツールのエクリプスなどを検討中）

決まりましたら、このブログでもお知らせしたいと思います。

都市伝説 ー システム工学版

F16ジェット戦闘機

 最近はシステム工学の入門コース（SysML入門）を作っているのですが、その中で、システム工学に興味がない人にとっても面白いのではないか？と思われるトピックがあったので、ブログにしてみました。
（邪馬台国の続きは、そのうちにまた）

　ソフトウェア工学に関するお話で非常に有名な伝説の一つに、「赤道上空飛行機上下裏返り事件」と言うものがあります。
航空機が南半球から北半球へ向かって飛行している際、赤道を越える瞬間に機体の上下がくるりと裏返ってしまい、また逆に北から南へ戻る時も赤道を越える瞬間に同様のことがおこる　ー　つまり赤道を越える度に航空機が裏返ってしまうと言うものです。

この航空機というのはアメリカのF16ジェット戦闘機のことです。
F16は１９７０年代の初めころに設計が始まった胴体と翼（とフィン）の一体化設計を特徴とする戦闘機で、その後何度も改良を加えながら、２１世紀の今日も現役であり続けています。
2018年の現在でも、米空軍保有の戦闘機の中で最大数をF16が占め、米国だけでなく世界各国にも輸出された、ー　たしか日本の自衛隊も使っていると思います　ー　ベストセラーであり、航空機業界のレジェンドです。
そして、F16のもう一つの特徴は、世界で初めてフライ·バイ·ワイヤー方式を採用した戦闘機と言う点です。
フライ·バイ·ワイヤーとは、航空機の操縦を機械式ではなく電気式に置き換えたもので（fly-by-wire :ワイヤーは電線の意味）、パイロットが（油圧などを利用しながら）直接機械的に航空機を操縦するのではなく、コンピュータ制御盤を操作するだけで、あとは電気信号で各種機械装置に指令を送りながら操縦をするという方式です。
このフライ·バイ·ワイヤー方式のため、通常の飛行は極めて簡単、スムーズ、安定的になりましたが、反面、予想以上の様々な問題に遭遇することになります。
従来の機械式では、機体や人体に異常な力が掛かるような無理な操縦をしようとすると、操縦桿が非常に重くなったり（機械式ですので負荷や振動が直接操縦桿に伝わります）、機体から異音が発せられたりして、パイロットは素早く異常に気づくことができましたが、このフライ·バイ·ワイヤ方式では、操縦桿は電気信号を発生する単なるジョイスティックとなり指先で簡単に動かせ、またスタビライザー（安定化装置）が自動的に働いて少々の異常振動は押さえ込んでしまいますので、異常に気づくのが遅れ、時としてパイロットや機体を危険な状態に追い込みます。
強力なジェットエンジンと簡単なジョイスティック操作で、人体には堪えられない高いG(加速度）を出してしまいG-LOC(脳に血液が行かなくなり、意識を失う状態）に陥った結果、墜落と言うこともあったようです。
（初期の頃は、G-LOC以外の原因も含め、何人ものテストパイロット（熟練した技量の高いパイロット）の方々がF16搭乗中に命を失ったようです。）
また、機体中に張り巡らされた銅線が過酷な動作環境下で擦れたりよじれたりして回線が断線、ショートしたりお互いに干渉しあったりして（電磁誘導）、誤信号を出すようになり、地上に待機中のF16が、まだ離陸どころか滑走もしていないのに、突然車輪を仕舞い込みはじめ高価な機体を地面に叩きつけて壊してしまったり、異常な電気信号のせいでコンピュータの誤動作を誘発するようになりました。
また、７０年代、８０年代はソフトウェア工学の黎明期であり、、、、つまり、一言で言うと初期のF16のソフトウェアはバグだらけでした。

ジェット戦闘機のパイロットは重力以上の高い加速度を浴び続けているため往々にして、上下の感覚を失ってしまいます。視界があるうちは窓の外の海や空を見て上下を判断しますが、悪天候等で視界がきかない場合は計器が示す水平線を見て判断します。ところが、その計器が間違っていたらどうなるでしょうか？
８０年代のある時、F16のパイロットはしばらくの間、水平飛行していました。視界が全く効かず計器の水平線を頼りに飛行していましたが、この時点で彼は気づいていませんが既に上下反転の状態、裏返しの状態で飛んでいました。そして突然、その計器が機体が地面に向かって急降下していると示し出しました。彼は操縦桿を急いで引いて機体を上昇させようとしました。
しかし、全ての情報は上下逆で、彼の飛行機は地面に激突してしまいました。
彼の腕は操縦桿を握ったままの状態で発見されたと報道されています。

F16の開発過程では様々な逸話が生み出されました。人類はいかにしてテクノロジーを獲得してきたかを如実に示す技術史とも言えます。そして、各種の逸話と同時に数々の都市伝説も生み出しました。
F16にまつわる話は多いけれどどれが真実の話か、どこまでが本当の話か、が専門家でも判断つかなくなってきました。専門家が聞いても、十分に起こりうる話だと感じさせられる真っ赤なウソも多くなってきました。
F16そのものが都市伝説となってしまったのです。

このブログの先頭にあげた「赤道上空飛行機上下裏返り事件」もそう言った都市伝説の１つです。　と言っても７０パーセントぐらいは本当の話で、実際にコンピュータ·シミュレーション中に発生しています。
F16の自動操縦をさせるソフトウェアを開発し実機で稼働させる前に、コンピュータ·シミュレーション環境で動かし、たまたま赤道付近を飛行させたために発見されたバグです。
F16の開発は航空技術的、ソフトウェア技術的、システム工学的に非常に興味深いエポックであり、同時に多くの都市伝説を生みました。
試しにネットで"F16 urban legend"で検索すると山ほどの文献がヒットします。
この真実味のある都市伝説の多さから、F16はシステム工学の”となりのトトロ”と呼ばれています。（冗談です）

OMGグローバル・スタンダード・フォーラム開催について

直前のご案内ですが、「OMG　グローバル・スタンダード・フォーラム」が来る１１月１３日に下記の要領にて開催されます。

記

• 日時　11月13日（水曜日）　13時30分ー17時20分 

• 会場　　日本IBM箱崎　２０１会議室

• 詳しくは、次のリンク先へ

• OMGグローバル・スタンダード・フォーラム 2013

 筆者も、最後の方でSysMLの勉強法などを１０分程度しゃべる予定ですが、フォーラムの主題はOMG会長ソーリー博士の基調講演を始めとして、「グローバル・スタンダード」が中心のテーマです。
従って、OMGの世界標準化活動に関心がある方は、奮ってご参加ください。

SysMLの組織展開 その３

暑かった夏も終わり、朝夕は随分涼しくなって来ました。

OMGからOCSMPのモデルユーザー資格試験が日本語でリリースされた事を記念して、OCSMP対策講座を予定しております。
ご興味のある方はふるってご参加ください。

詳しくはこちら

教訓　２　ツールとプロセスがむしろ本質的な問題である。

モデリング・ツールの例として、ソフトウェア開発の例を挙げてみましょう。
というのも、システムは人間系を除けば、ハードウェアとソフトウェアから構成されますが、最近の開発では両者の開発の問題は急激にその類似性を深めて来ており、また開発プロセスも密着不可分の関係になって来ています。

例えば、問題の解決のためにあるモジュールに変更を加えたとしましょう。
幸いにも変更の程度は軽微でした。
さて、その変更の影響はどうでしょうか？
変更が軽微だからといって、影響も軽微であるとは言えない事は、読者諸賢の過去の暗い/痛い経験からもお分かりの事だと思います（失礼！）。
そこで影響を調べる上で、その調べるべき範囲を調べる事になります。
 まず変更が加えられたモジュールと直接関係するモジュール群を調べるのは当然として、さらにそのモジュール群と関係するモジュールへの影響はどうでしょうか？
そして、さらにそれらのモジュールと３次的に関係するモジュールは？４次的、５次的な影響は？と言う風に範囲は連鎖的に広がって行きます。
 小さいシステムの場合は良いとして、大きなシステムで膨大な量のコードを人手で追いかけて行くとなると「冗談は佳子さん（＜注＞佳子は”よしこ”と発音）」と言う事態に陥ってしまい品質の確保が難しくなって行きます。
 そこでツールを使用して影響範囲を調べる事になります。
人手でやると相当な時間がかかる作業もコンピュータだとあっという間に正確に処理されます。
実際、モデリング導入の成果として得られる品質や生産性の向上は、このツールの使用に負う所が非常に大きいのです。
またモデリング言語自身もツールで使用する事を大前提として設計されており、 ツールとのコラボレーションによってその威力を発揮します。
また複雑なシステムではソフトウェア開発とハードウェア開発プロセスのコラボレーションが必要になって来ます。
最近の研究では、価値を生み出すのはプロセスであると考えられています。
ツールとプロセスはマネジメントとして重視すべき項目である事は論を待ちません。

SysMLの組織展開 その２

前回の続き

教訓１.　SysML、モデリングの導入は投資活動であり、技術の問題ではなく、マネジメントの課題である。

開発コストは増大する

SysMLに限らずモデリング技術を導入すると、一般的に言って、初期の開発コストはむしろ上昇します。
そして、その代わりに開発の品質が上がる事が広く知られています。
特にドキュメントの品質が劇的に上がります。
従って、開発後の保守コストや、システムの改訂に要するコストが下がり、最終的なTCO(Total Cost of Ownership）が下がる傾向があります。
このような性質から、モデリングをベースにした開発には向く分野、向かない分野があり、品質を重要視するシステム、たとえばミッションクリティカル、あるいはセーフティクリティカルなシステムや、変更が多いシステム等が向くと言われています。
ライフタイムが長いシステムが向くと言われていますが、ライフタイムが長くても変更が殆ど発生しないシステムもありますから、一概には言えません。
 また、後述の理由から、複雑なシステムほどモデリング導入の効果は大きく、単純なシステムでは差が出ず割高となります。

SysMLの組織展開 その1

鎌倉アルプスから稲村ケ崎、相模湾を遠望す

先日、鎌倉アルプスへ登って来ました。
登ると言ってもせいぜい１００メーターちょっとの山であり、筆者の自宅からも見える裏山みたいな近場ですので、いつでも行けると思ったままずっと行かなかったのですが、とうとう意を決して登って来ました。
低い山ですが、登ればそれなりに発見もあります（注：あくまでも、筆者にとっての発見です）。
一体に鎌倉周辺の山には古道の痕跡が多く見られますが、鎌倉アルプスも例外ではなく、道の痕跡が、地形や場所によっては石造物の残骸として残っています。
日本の山道は気候や植生のせいで、あまり歩かれなくなると途端に　ーせいぜい数十年のうちにー　樹木や草に覆われて完全に歩けなくなってしまいます(つまり、道でなくなってしまいます)が、地形としては結構長く残っている場合があります。
一説には、鎌倉時代、いわゆる鎌倉七口以外に、大倉幕府方面からこの鎌倉アルプスを直登し、直接奥州へ向う街道があったのではないかと言われていますが、山路を歩いていると何と無くその説に説得力を感じます。

源頼朝の時代、奥州平泉の藤原氏を倒したのち、現在の二階堂の地に、戦死者の怨霊を鎮め冥福を祈るために、平泉の中尊寺を模した永福寺を建立したと言われていますが、頼朝の館である大蔵幕府から見て、永福寺は奥州と同じ方向、東北方向であり、先ほど述べた幻の奥州街道の入り口付近に位置します。

SysMLの組織内展開について　その１

最近、社内にSysML、あるいはモデリング技術/文化を導入しなければならなくなった、という話をよく耳にするようになりました。

聞くとたいてい顧客や提携先(それらの多くは海外勢)の要求らしく、ワラをもつかむ思いでしょうか、筆者も意見を求められたりします。

筆者も、モデリング業界 - そんな名称の業界があったとすればですが - に無駄に長く滞在してきましたので、国内外の成功や失敗に伴なう悲喜劇に立ち会う機会があり、本日はそれらの中から日本企業が陥りやすい問題を教訓の形でまとめて、書いていきたいと思います。

教訓１.　SysML、モデリングの導入は投資活動であり、技術の問題ではなく、マネジメントの課題である。

開発コストは増大する

OCSMP受験コース 開始！

OCSMP受験対策コース　開始！

OCSMP

　システムモデリングの入門レベルであるOCSMPモデルユーザー資格試験の受験対策講座を開始します。

年内の２コースに関しましては、特別価格３万円（消費税別。２日間の講義、E-ラーニングへのアクセス権を含む。）でご提供致します。


期日：　①　１０月２９〜３０日　　②　１２月６〜７日
　　　　（①１０月２９日開始の部は、定員到達のため、募集終了となりました。②のみ募集中です。９月２８日　事務局。）

内容：　２日間の講義（グループ演習を含む）およびE-ラーニング（模擬試験形式）
価格：　特別価格　３万円（消費税別）

申込み方法等、詳しい内容につきましては、こちらをご参照ください。


参照：　OCSMP資格試験とは？

トレーニング事務局

OCSMP システム・モデリング資格試験の発表

　OMGでは、INCOSEと共同で OCSMP（OMG Certified Systems Modeling Professional）の資格試験を開発し、既に北米、欧州では実施しておりますが、日本やアジア地区では諸般の事情から未発表でした。

このたび、ようやく条件が整いOCSMPをリリースすべく、その準備に当たっております。
詳細については、来る８月２４日のIPA主催セミナーで説明する予定です。

IPAセミナー 　http://sec.ipa.go.jp/seminar/2012/20120824_2.html

（プレス関係の方は、UTIの試験事務局に直接お問い合わせください）

昨今は、英語でのエンジニアリング・ワークが求められる事が多く、また個人的に、若い人に対し、例え勤め先が国内企業であっても、ある日突然外資系になるかもしれず（そう人は、筆者の知人にも結構います）、英語での技術コミュニケーションが必須である事をことあるごとに言っております。
また、モデリング言語でのコミュニケーションの重要度も年々上昇しています。

ご興味ある方は、ぜひご参加ください。

モデリングとシステム工学

１９８０年のころ筆者が初めてアメリカに行った時は、「やけに老人が多い社会だな」 と思いましたが、最近の日本は全人口中の老人の比率でアメリカを抜いたそうです（アメリカの老人比率は、当時から今に至るまでほぼ横ばいです）。
 ２０歳の頃の筆者が今の日本に現れたら当時と同じく「やけに老人が多い社会だな」と思ったに違いありません。
これと似たようなデジャヴ（既視感）を、筆者はごく最近、体験しました。
昨年、鎌倉に越して来たのですが、老人の比率がやけに高いのです。
住民の老人比率が全国平均を大きく上回る上に、観光客の年齢層が輪を掛けて全体に高いため、老人の渦巻く日中の鎌倉市街では、筆者などはまだまだ若者の部類です。
日本が突入するであろう２〜３０年後の老齢化社会に、一足早く踏み入れている状況と言えます。
鎌倉生まれのM君によると、この鎌倉の老人の多さは今に始まった話ではなく、彼が知る範囲で相当大昔からこのような状態だったそうです。
老人と言っても、しかしながら、気が若く元気な人が多い点は、鎌倉の美点と言っていいでしょう。
こちらに越して来て間もない頃、駅裏のスーパーの駐車場でぼーっとしていた所、真っ赤なスーツ姿の老婆があふれんばかりの白髪を振り乱しながら真っ赤なツーシーター（２人乗りのスポーツカー）から現れた時は正直驚きました。
てっきり、鎌倉山に棲むと言う伝説の山姥が里に下りて来たのだと思いました(　(;ﾟДﾟ)　)。

---

デジャヴ

筆者は、学校その他でSysMLを人に教え、そしてシステム・モデリングの演習中によく出くわす光景があります。
システムのモデル図をツールを使って描こうとする時、SysMLの特性から、一カ所を変更しようとすると関連する他の図まですべて自動的に変更されてしまうため、初学者の人は、なかなか思い描く通りの図が描けず四苦八苦してしまいます。
 こちらを直せば、あちらがおかしくなる、と言う具合に悪戦苦闘する姿は、システム・モデリングの通過儀礼、バンジージャンプのようなものと言えます。

• SysMLと言っても、言語的にはUML図を書いているので、この分野で活躍したいと考える若い方には、UMLも勉強する事をお勧めします。けっして、遠回りにはならないと思います。上級のモデリングには、OCUPインターミディエート程度の知識は必須です。また、システムが大規模化、複雑化するにつれて、ソフトウェアへの依存度が急速に高まって来る事が多く、ソフトウェア畑出身でないシステム設計者にとってもソフトウェア工学の知識は重要です。

 これだけであれば大した問題ではないのですが、本当の問題はその次です：　こうして苦労して描き上げたモデル図群を見て、システム・エンジニアリングした気になってしまう事です。
実は、システム・エンジニアリングしているどころか、始まりもしていません。
MBSEは、モデル・ベースのシステム・エンジニアリングの略であり、 モデル図をもとにシステム・エンジニアリングを行なう事であって、モデリングはその前提技術です。

表題にデジャヴと大きく掲げたのはこの問題で、UMLを使ったソフトウェアのモデリングでも、そっくり同じ現象が発生します。
つまり、モデリングした時点でソフトウェア・エンジニアリングをした気になってしまうのです。
モデリングを元にソフトウェア・エンジニアリングの観点から分析を行なう事が主題のはずが、それを飛ばしていきなり実装に移ってしまいます。

これは、時々友人にも話すのですが、MDA（モデル駆動型アーキテクチャ）という言葉自身にも原因の一端があるのではないかと思います（特に実装志向の強い日本の環境下では。　歴史的には、モデリングは実装ではなく、問題の分析、ソリューションの設計のために発達して来た技術です。）

むしろ、MBSEと同じように、モデル・ベースのアーキテクチャあるいはモデル・ベースのソフトウェア・エンジニアリングと言った方が誤解がないと思います。
モデル・ベースのアーキテクチャがあれば、モデル・ベースでないアーキテクチャもあるわけで、どちらを選ぶべきかは、良し悪しの問題ではなく、向き不向きの問題です。

原発事故に対するシステム工学の視点 ９

京都風の庭

筆者の友人のM君は、鎌倉生まれ、鎌倉育ちの人です。
先祖も鎌倉に古くから住んでいたそうで、彼の母方の家の方は有名な鎌倉権五郎景政の一族のようです。
そのM君に、「鎌倉にも京風の庭を持つ寺がありますよ」と聞いて訪れたのが左の写真の長寿寺です。
なんでも、「足利尊氏さんの屋敷跡」だそうです。

---

前回、日本のアプローチが分析的、分解的だと書きました。
これは、日米のシステム設計のやりかたを見れば、違いは一目瞭然です。
ATM（自動預金支払機）の例で見てみたいと思います。
今は少し変わりましたが、アメリカの空港や銀行では、故障中と表示されたATMがかなり多く並んでる時がありました。
そして、故障したATMは、修理もせず何日も放置されています。
知人の日本人技術者は、その光景を見て、「アメリカのATMの開発者たちは、こんな光景を恥ずかしいと感じないんだろうか？」と首をひねっていましたが、当のアメリカ人たちは、使えるATMがあるうちは気にしていないようです。
アメリカのアプローチは、ATMユーザーの使用頻度、ATMの故障発生率、修理に廻る技術者の可用性やコストなどを勘案して、必要なATMの台数を計算し、各拠点に配備するやり方です。
一方日本は、高品質高性能なATMを少数配備するやり方です。
筆者も時々経験する事ですが、日本ではかなり昔から、時々、銀行のATMを待つ人の列が延々続く事があり、待ちきれずに引き落としを断念する事もあります。
アメリカ人から見れば、「こんな低品質なサービスを放置し続けて、銀行の経営者たちは恥ずかしいと思わないんだろうか？」となるかも知れません。

これは、国民性の違いや制度上の問題もあって、一概にどちらが良いとは簡単には言えない問題ですが、アプローチの違いは明解です。

また製品開発においても同様で、品質の問題を分解的に解決しようとする傾向が強く、その結果、日本製の部品は、ソフトウェアを除けば世界で最も優れた品質にある事は間違いないでしょう。（ソフトウェアの品質は、その定義をどこまで拡げるかによって変わってきますので、一概には言えません。）

これは、組織のマネジメントにも同様な傾向が見られます。

筆者は昔、２０代の頃アメリカのIBMの研究所に勤務していた時期がありますが、その時の同僚にDさんと言う人がおりました。
同僚と言ってもDさんは当時６０歳前後で、筆者とは親子以上に年齢が離れておりましたが、非常に親切な方で色々と大変お世話になりました。
そのDさんは、会社でもかなりの変わり者に分類されていました。
まず、大変な大金持ちで、会社をいくつも持ち、広大な敷地の大学も所有しながら、IBMでずっとSE(システムズ・エンジニア）をやっていました。
SEとしてもかなり優秀な方で（社内での格付けも最高になってたと思います）、多くの社内論文を書き、若い技術者からも尊敬の目で見られ人望も高い方でしたが、会社からのライン・マネージャー（管理職）にならないか？と言う打診に対しては常に断り続けて来ました。

ここで社内論文と書きましたが、一般にシステムズ・エンジニアリング（システム工学）関係の論文は、機密区分が高く、社外秘になる場合がよくあります。
こういった扱いは、別にIBMに限った事ではなく、システムズ・エンジニアリング関係の会社にはよく見られるパターンですが、IBMの場合はそう言った機密区分の高い論文や報告書を集めた専門の社内論文誌や社内書籍も発行されていました。

彼は、大金持ちでしたが、別に親の遺産があったわけではなく、若い頃はかなり貧しい暮らしをしていたそうです。
小さな頃からアルバイトをして生計を助け、高校時代はバーテンダーの仕事で学費を稼いでいたそうです。
一度彼の豪邸でカクテルをご馳走になった事があり、シェイカーさばきもなかなか美事なものでしたが、ご本人は、しかしながらアルコールをほとんど口にしなかった事が印象に残っています（敬虔なクリスチャンでした）。
Dさんは通常よりも長く兵役に就き、そして除隊後に軍から得た奨学金で大学を卒業しました。

そんな彼に、２０代の筆者は、なぜラインマネージャーにならなかったのか訊いてみた事があります。
彼は、「自分にはマネジメントの能力がない」と答えました。
「では、なぜ、マネジメント能力がないのに、会社や大学の経営が出来るのか？」とさらに訊いてみると、彼は「自分は経営にほとんど関わっていない。自分に何か少しでも才能があるとすると、それはマネジメントの才能を発見する事かも知れない。」と静かに答えました。

彼は、良いマネジメントについてこう解説して（聡して）くれました。
１００人の人間を集めて１００人分の仕事をさせるのは凡庸なマネジメントであり、単なる搾取者である。
１００人の人間を集めて１５０人分、２００人分、場合によっては５００人分の価値を生み出すのが真のマネジメントであり、逆に８０人分のアウトプットしか出せないのは無能なマネジメントである、と。

低品質なATM機を使いながらハイ・アベラビリティ・サービスを提供したり、平均故障間隔の短い構成要素を使いながら、巧みな組み合わせや定期的な部品の交換、保守作業、事後対策などを工夫する事により、高い安全性を達成するのがシステムズ・エンジニアリングの醍醐味と言えます。

さて、優秀な人材を抱え、優れた技術、潤沢な資産を持ちながら８０パーセントの結果しか出せない経営者は、まだご愛嬌の部類です。
自覚と才能があれば、今後の発展の可能性があります。

最悪なマネジメントは、全体感や統合感のないタイプで、IT分野でもたまにいますが、安全や品質のための多重化や多段化の冗長性が無駄の宝庫に映り、コスト削減の格好の狩猟場にしてしまい、己のわずかな手柄のために、安全性や品質を劇的に劣化させてしまう範疇です。
管見では、このタイプは類は友を呼びやすく、集団でかかってきますのでタチが悪いことこの上なしです。

---

Dさんに、当時のIBMの経営陣はどう思うか訊いた事があります。
彼の反応は先見性に富み大変興味深いものでしたが、今となっては言わぬが花でしょう。

原発事故に対するシステム工学の視点 ８

定泉寺の紫陽花

紫陽花の季節がやってきました。
紫陽花と言うと、筆者がすぐに思い出す和歌があります。
小野小町の、
花の色は　移りにけりな　いたずらに
我が身よにふる　ながめせしまに

と言う古今集の歌ですが、百人一首にも含まれ、読者の方々にも馴染み深い歌だと思います。
この歌は、教科書的には、花は桜を意味し、花を自分の容姿にたとえ、「ぼーっとむなしく物思いに耽っているうちに、すっかりおばさんになってしまったわ。」という女性の嘆き風に解釈されています。

 筆者は高校時代よりこの解釈が気に入らず、今から２０年以上前に、わざわざ自説を述べるために「小野小町研究」というサイトを立ち上げたほどです。
当時はまだインターネットの黎明期でネットワーク機器は大変高価でしたが、幸い筆者はシリコンバレーのネットワーク・ベンチャーに勤務していたので、機器をそろえることだけは簡単に（廉価に）出来ました。
まだグーグルなどの検索サービスもなく、仲間内だけが見に来るサイトでしたが、なかなか結構好評でした（自己満足です）。

さてこの歌の意味ですが、筆者は花を桜ではなく紫陽花と解釈します。
そして、「花の色が移る」ことで、相手の心変わりを暗示し、「私がむなしく物思いに沈んでいる間に、あなたは簡単に心変わりしたのね」と相手を軽く批難する意味になります。
つまり、相手が調子に乗らないように、わざとネガティブなフィードバックを行なって（負帰還をかけて）、「僕のどこがいけなかったんだろう？」と反省を促し、相手の心をコントロールているわけです。

論拠としては、植物や気象の性質、そして美学上の問題があります。
まず、桜と言う花は、色が移る（衰える）よりも前に散ってしまう花、最も美しい盛りに散ってしまう花であり、おばさんを喩えるには不向きです。
また、「ながめ」は「眺む（物思いに耽る）」と「長雨」を掛けた言葉と解釈されますが、桜の花の季節は天候が荒れやすく、長雨というおとなしい降り方ではなく嵐になりやすいことは皆様よくご存知だと思います。
長雨は桜に似合いません。合うとすれば梅雨の紫陽花の方でしょう。
 さらに、古来、女性の美しさは、よく花に喩えられますが、自分で喩えてしまっては（強い女性を好む一部の男を除き）興ざめです。
これは平安時代の女性たちが持っていた’女の美学’にも反します。
そしてまた、筆者の解釈の方が「いたずらに」という言葉がより生きてきます。
「いたずらに」は前半の相手の簡単な心変わりをなじるユーモラスな意味と、後半のむなしい無常観の表現の両方にかかっています。

恐らく、小町の花を桜と誤って解釈した背景には、古今集編纂の頃のフォーマリズム（形式主義）を尊ぶ気風があったと思います（今に続く、花を条件反射的に桜に分類してしまう習性）。

心を花に喩える類例は、小町の他の歌にもあります。

色見えで うつろふものは 世の中の 人の心の 花にぞありける

---

前回は、抽象思考、システム思考の問題の話をしましたが、その続きです。

原発事故から一年以上経った今、原子力発電所システムそのもののチェックだけは行い、メルトダウン等の重大事故後の社会システム的な体制づくりは行なっていないようですが、これはある意味、非常に日本的な対応と言えます。
一言で言えば、アプローチが非常に分析的、分解的です。
「今回の事故の原因は、原子力発電所の脆弱性にあった。従って、発電所の堅牢性を上げよう。」と言うアプローチです。
このアプローチは、規模の小さいもの、安全性に対する影響が小さいものに対しては有効ですが、複雑度が高い、あるいは影響度が巨大なシステムに対しては不十分です。

簡単な例をあげて考えてみましょう。
平均故障間隔（MTBF)あるいは平均故障時間（MTTF)と言う言葉があります。
これは、どのぐらいの間隔で故障が発生するかを示す指標で、仮に平均故障間隔が１００年と言うと、１００年に一回の割で故障が発生する事を意味します。
一般的に言って、構造が簡単で熱や力の作用を受けないもの、例えば半導体回路などでは、長期の平均故障間隔、例えば１００年以上、を達成する事は比較的容易ですが、モーターなどのように動きがあったり、ソフトウェアのように構造が複雑なものは、平均故障間隔をのばす事は極めて困難になって来ます。
一般的に言って、平均故障間隔 １００年の機械を、単体で１０００年にのばすには多大なコストと時間がかかります。
しかし、これを二重化すると 話はがらっと変わってきます。
平均故障間隔１００年の２つの装置が同時に壊れない限り安全とし、壊れた装置の取り替えに１日を要するシステムを考えます。
すると、１年間で２つの装置が同時に壊れる確率は、

となり、平均故障間隔はこの逆数ですから３６５万年　ー　つまり３６５万年に一度だけ２つ同時に壊れる事となります（簡略化のために他の因子を無視しています）。
実際のシステムは、もっと複雑なのでこれほど単純には伸びませんが、多重化、多段化の威力はお分かりになったかと思います。

設計時の平均故障間隔と言う観点で見れば、日本の原発は１０００年に満たない短いものであった事は、このブログの１回目に指摘したとおりですが、その上、後段つまり事故発生後の対策が全く準備されていないと言うものでした。

巨大システムでは、品質や安全は分析的手法では不十分で、統合的、つまり品質や安全を作り上げて行く手法が必要となって行きます。

先に、原発問題のアプローチは、非常に日本的であると述べましたが、これに関しては次回触れたいと思います。

（続く）

原発事故に対するシステム工学の視点 ７

北鎌倉　東慶寺

モデリングに関して、一般の人に対して話す場合によく取り上げる話題の一つに、次のようなものがあります。

筆者は若い頃、アメリカの会社でアーキテクトをやっていた事があります。
誤解を避けるために念のために付け加えますと、別にアメリカで大工をやっていたわけではありません。ネットワークやソフトウェアのアーキテクチャを構築する仕事に従事しておりました。
職場にはいろんな人がいましたが、アメリカ社会全般の人口比に比べ開発部門にはアジア系の人間が多い事はよく知られていますが、ソフトウェア関係は特にその傾向が顕著でした。
そして、一口にアジア人と言っても筆者のような極東系は極めて少なく、中東系の人が中心をなしていました。
なおここで言う中東系は、世間一般の定義よりもやや狭く、西はイスラエルから東はインド辺りまでの地域にルーツを持つ人たちの事を指しています。
この人たちの特徴は、やたら抽象的な話を好む事で、哲学っぽい話が大好きでした。
 筆者の経験から言うと、ヨーロッパ人も（高等教育を受けた人は特に）抽象的な話が好きですが、高い抽象度を好む面においては、中東系の方がかなり上でした。
そして、同じヨーロッパでもイギリス辺りになると随分と具体的な話が好きになり、アメリカに行くと、さらに具体性を好む傾向が強い　ー　と言うよりも、具体性を好む人と抽象的な話を好む人が混在している状態　ー　と言うのが筆者の印象です。
では、日本はどうかと言うと、中東とは真逆の対極に位置し、極めて具体的な事柄を好む傾向が強く、抽象的と言う言葉自体にネガティブな響きさえ込められる局面にたびたび出くわします。
この傾向は、一般の社会だけでなく、最も抽象的な話を好みそうな大学内でも同じ事が言えます。
欧米の大学はリベラルアーツ教育を重視しますが、そのルーツは古代のギリシャ哲学にあると言われています。
古代ギリシャの哲学者たちは形而上的なものを志向し、具体物ではなく概念（イデア）こそが真の存在、と考えるまでに至ります。
ギリシャのこのような抽象志向は中東　ー　特に古代バビロニアあたり（今のイラクの地域）　ー　からの影響だと、筆者はニラんでいますが（古代ギリシャ人は、自分たちの先祖は東方から移住して来たと信じていたようですし、ユダヤ人も自分たちの先祖はバビロニアのウルからやって来たと聖書にも書き残しています）、それはともかくとして、欧米の教育のバックボーンには哲学の伝統があり、哲学教育を通じて若者にコンセプチャル・シンキングやシステム・シンキング等の抽象的な思考（アブストラクト・シンキング）の訓練を行なって来た、と言えます。
一方日本は（少なくとも明治以降）、具体性のある「もの」への指向性が強く、システム屋から見るとシステム・シンキングの欠如と思える事象が数あまたあります。
また、「もの」とは一見遠いはずのソフトウェア産業においても同様の傾向があり、「もの」に近いプログラミングなどの実装技術には興味も強く技量的には世界水準にあると思いますが、より抽象度の高い分野やシステム・シンキングを要する分野に関しては、改善の余地が多々あります。

---

さて、昨年の原発事故以来、原発そのものの安全性に対する見直しなどは行なっているようですが、一方で昨年問題となった社会システムに対する対策がほとんど行なわれていないように見受けられます。
この夏は、再開する原発に経産省や電力会社から２０名ほどの幹部の方が常駐するそうですが、まるで人柱を立てた宗教政治に戻ったかのようです。
また、原発事故は国家の安全保障のレベルの問題であるのに対し、自衛隊や警察からの核問題の専門家は参加されないようです。

宗教政治は冗談ですが、２０名は今回の事故で最も信用を失った組織から出されるようで、それだけ住民の不信感が強い事を象徴しているようです。心理政治と言うべきでしょうか。

原発事故に対するシステム工学の視点 ６

高原の昼食

筆者の同世代の友人には、昔、アマチュア無線や電子工作が趣味だったと言う人が少なからずいます。
現在は、たいていは電気とは全く関係のない分野の仕事をしており、最新の電気通信技術の話は全く出来ませんが、昔の技術の話で結構盛り上がったりします。


筆者たちが過ごした少年時代は、今のようにパソコンなどがまだなく、小学生の知的好奇心を満たす玩具が限られ、勢いそっちの分野に走ってしまったのでした。
 筆者が小学生の頃は、トランジスタと真空管の端境期で、一応両方やったのですが、一月分のおこずかいでは、真空管やトランジスタがせいぜい１個買えるだけでした。
 従って小型のラジオ受信機を作ることが多かったのですが、微弱な電波を音を鳴るまでの電気信号に変えるのに増幅が必要なのですが、問題はトランジスタ１個だとせいぜい１００倍程度の増幅率しか得られないため、複数のトランジスタを用いて多段に増幅する必要があったことでした。
例えば、増幅率が仮に１００倍のトランジスタを２段に並べると、大雑把に言って １００×１００＝１万倍の増幅率が得られます。
しかし、そうするためにはトランジスタが２個必要になって予算をオーバーしてしまいます。
そんな時に１個のトランジスタで２個分の増幅率が得られる夢のような方法がありました。
これは一度トランジスタで増幅した信号を再度入力側に入れて同じトランジスタで２度増幅するやり方です。
このやり方は、いわゆる正帰還回路(Positive Feedback Circuit)の一種で、メリットは、少ない部品数で高い増幅率が得られる事ですが、反面、増幅率を上げれば上げるほど音が歪んで行き（情報の変形が起き）、あるポイントを超えて上げすぎてしまうと「ピー」という音とともに発振状態に陥ると言うデメリットがありました（発振直前が最高の感度を得られるポイントでした）。
この発振と言う現象は、イメージ的には、出力側の信号の一部を入力側に入れるために、それがソフトウェアの無限ループのような状況になり、単調な波形（発振音）を出すような感じです。
しかしながら、当時は音質は悪くとも安い値段でラジオ放送が受信できたので、それで十分満足しておりました。

組織間の正帰還ループ

巷間伝えられる所によりますと、今回の原発事故の背景には、電力業界とそれを本来チェックすべき側の行政の間に強い癒着があった事が問題としてあげられております。
電力会社が様々な形で影響力を行使し、チェックする側の人間に安全基準を下げさせたと伝えられております。
そして、電力会社がチェック側の人間に意図的に安全基準を下げさせ、なおかつ、その下げた安全基準で十分安全と信じていた形跡があるそうです。
これは一見すると不思議な現象で、極端に言うと、人に嘘をつかせ、その嘘を自分でも信じてしまったわけですが、人間の心理としては理解できます。
つまり、自分が信じたい事を人に語らせそして信じてしまったわけです。

これは、組織的に言うと、組織間に正帰還ループを形成してしまった状態となります。
これに対し、本来組織そのものが管理の対象となる行政側の上級管理者も東電の経営者も何らの対策も打ちませんでした。
まるで、組織リスクなど存在しないごとく、言わば一緒に発振してしまっている状態でした。
これでは、原発の管理だけではなく、原発を管理する組織の管理そのものにも強い疑念を持たざるを得ません。

筆者は最初に述べたように、日本は原子力技術の開発は続けるべきだと言う立場ですが、原発の安全管理の問題に加え、組織管理の問題に対しても強く憂慮する者です。

（続く）

原発事故に対するシステム工学の視点 ５

蓼科の桜の小道

昨日は、津波のリスクの放置に加え、直下型地震のリスクも放置のまま原発が稼働していた事に触れました。他にもいくらでもありますが、並べると切りがない状態です。
あまりの酷さに、正直唖然としています。

これらは個々別々の問題ではなく、畢竟、戦略と方法論の大失敗の一言に尽きます。

そして、さらに問題なのは、原子力行政を担う方々が、自分たちの問題と責任を全く理解していない点です。
自分たちの初歩的な失敗が、多くの人々の仕事と生活を吹き飛ばしただけではなく、自分たちの信用や業界の信用も吹き飛んでしまった事に、未だに気づいていません。


正直、国民の安全を売って自分たちの私服を肥やしたと罵倒されても仕方のない状態です。

しかしながら、当面は、彼らに強い軽蔑のまなざしを投げかける事ぐらいしか出来ないのは、残念です。

原発事故に対するシステム工学の視点 ４

旅と滞在　＠蓼科

筆者はこのプロマネBlogを自分の気晴らしのために書いている事は、読者諸兄姉のご推察の通りです。
どうも生来、駄文を連ねて人に読んでもらう事で、精神的に安定が得られるタイプのようです。
言わば、平安時代の名随筆家、清少納言の同類と言えるでしょう。（冗談です。清少納言ファンの方、申し訳ありません。彼女が書いたのは駄文でもなければ、気晴らしのために書いたわけでもありません。）

しかしながら、原発事故を表題にしたあたりから、ブログを書く事がだんだん憂鬱になってきました。




 前回のブログで、重大リスクが見落とされた原因の究明が必要と書きましたが、これは失敗を振り返り失敗から学ぶ事が極めて重要だからだけではなく、リスクの見落としが戦略的、方法論的なミスであるからです。

しかし、それだけではありません。
たいへん言いにくい事なのですが、ミスの内容が、専門家が犯すミスとしてはあまりに初歩的すぎるからです。
これは、単に、今回の大津波のリスクを見逃した事だけを指している訳ではありません。

筆者自身、ちゃらんぽらんな人間であり、決して人様の仕事を批判できる人間ではない事は、重々承知しています。
しかしながら、問題の重要性から、自らの浅学非才を顧みず、批判する理由を以下に書いてみたいと思います。

筆者自身、地震の専門家では当然なく、地震について語れるとしたら、唯一の理由は、筆者が神戸出身で、肉親を含め、多くの友人知人が先の「阪神淡路大震災」を経験した事です。
日本の多くの原発は、断層帯またはその周辺に作られています。
意外に世間に知られてない事ですが、今回のような海洋型の地震と、阪神のような直下型地震では、揺れ方が随分と違います。
活断層に起因するような直下型地震は、海洋型に比べ地震のエネルギーが小さく、影響地域の範囲は限定的です。
しかしながら、震源がごく浅く近いため、震源の真上での揺れ方は極めて激烈です。

神戸市内の場合、東西に走る激震地帯を外れると、揺れのエネルギーが分散されて、一挙に被害は少なくなります。
筆者の両親の家は、激震地帯である東西の帯から北にそれたところにありますが、電気水道ガスなどのライフラインが止まり、家も激しく揺れて棚の上のものが落ちて、家の中はごちゃごちゃになりましたが、家屋自体には何の被害もありませんでした。
家の近隣周辺も同様で、家が壊れたと言う話はほとんど聞きません。
一方、直撃を受けた激震地帯の状況は全く異なります。
地面から突き上げてくる衝撃で、体重の軽い女性や子供は宙に跳ね上がり、まるでトランポリンに載っている状態だったと言います。
また、建造物も最初の一撃で逃げる間もなく崩壊したと聞きます。
多くの方が亡くなりましたが、早朝５時台の地震で火をあまり使わない時間帯であったにも関わらず、焼死した方が多いのも特徴的です。
これは、最初の衝撃で家が壊れて中に閉じ込められ、遠くの火元から火が伝わって来るのに時間があったにも関わらず、水道も止まり道路も車が通れる状態ではなくなったため火を消す手段がなく消防車も来れない状態で焼死されています。
肉親の助けを呼ぶ叫び声を火の中から聞きながら、なすすべなく立ちすくむだけだったと言う、地獄図絵のような話を聞いた事もあります。
筆者の中学時代に同級生カップルだった夫婦も、幼い子供を残し亡くなっています。
焼死だという話を聞いた事がありますが、詳しい話は聞いていません。
火事は、多くの場合、自然鎮火、つまり焼き尽してもう燃えるものが残ってない状態でおさまりました。
直下型の地震の恐さは、揺れそのもの（エネルギー）もさることながら、その衝撃力（時間微分したもの）です。
これは、同じ力でも、長い時間をかけて少しずつかかる場合と、短時間に一瞬でかかる場合では、破壊力が全く違う事から、想像が付くと思います。
阪神淡路大震災の場合、断層が地表に現れ地形が変わってしまった所もあります。
従って、原発に求められる耐久性も、揺れだけの場合と、衝撃力や地形の変化も加味した場合では全く違うと思います。

最近、原発の真下あるいは周辺で活断層が発見されたと言うニュースをよく聞くようになりました。
活断層が発見された事もニュースではありますが、もっと衝撃的な事は、今までそう言う調査がされていなかったと言う事実です。
筆者を含め多くの人は、「断層帯の上に原発があるんだから、当然、活断層の調査も徹底してやってるだろう」ぐらいに想像していたのではないでしょうか？


（続く）

原発事故に対するシステム工学の視点 ３

蓼科山の春

原発事故にまつわるリスクについてシステム工学の観点から書きましたが、この重大な天災のリスクが何ゆえ見過ごされたかは極めて重大な問題です。
見過ごされた過程を分析し、根本的な原因の究明こそが最優先になすべき事である事は言うまでもなく、原発再開など、すべての原発の安全性に依存する問題は、今後の抜本的改善策を評価して後の議論となります。


筆者は別段、原子力の専門家でもなく、また原発の関係者でもないので、事故前に、電力会社や政府内でいかなる議論が行なわれ、どういう過程で意思決定がなされたかを知る立場ではありません。
従って、詳細な議論は出来ないのですが、極めてマクロ的な観点で、今回の事故のリスクが見過ごされた原因について考えて見たいと思います。
まず第一に言える事は、原発の安全性に対する戦略あるいは方法論、もしくは両方のレベルで問題があったと言う点です。
 方法論には、何をもって安全と見なし、あるいは危険と見なすか、と言う根本的な問題を含みます。

（続く）

原発事故に対するシステム工学の視点 ２

新緑の鶴岡八幡宮

（前回の続きです）
原子力発電所の安全性を示す重要な指標として絶対に挙げる必要があるものの一つとして、原子力発電所がその任務を開始し、３０年後、どの程度の確度を持って無事にその使命が重大な事故なく終了できるかを示す確率が考えられます。
ここで言う重大な事故とは、端的に言って、原子炉内の放射性物質がメルトダウン等の事由により炉外へ放出される事態の事を主に指しています。
もちろん１００％が望ましいのですが、神ならぬ我々はいかに１００に近づけるかが問題となり、99.9・・％と言う風に何個９が続くかが問題となります。
９の数が多ければ多いほど良いわけですが、 問題は簡単ではありません。
というのも、容易に想像が付くと思いますが、９の数を増やすには莫大な対策コストが発生するからです。
前回のブログで３％のリスクが、巨大な数字であると言ったのは、この意味です。
３％のリスク事象のオミットが、これまでに費やされた莫大な対策コストを無意味にしてしまいます。
 海外では、１０００年に一度ではなく１万年に一度の災害にも堪える設計をする事を義務づけている国もあります（というか、これが国際標準です）。

個人的な感想を言えば、これぐらいやって、初めて、「想定外」と言う言葉を口に出来る資格が得られると感じます。

原発事故に対するシステム工学の視点 １

平家池のつつじ

筆者は大学でSysMLなんかを教えたりしてる関係からか、時々、今回の原発事故に関する意見を、若い人から聞かれる事があります。
 従来は、あまり批判的な事を言っても、いたずらに若い人を不安にするだけだと思い、あまり語りませんでしたが、事故後１年以上経ちすべての原子炉が停止した今、私見を述べてみたいと思います。

最初に筆者の立ち位置を明確にしておいた方が良いと思いますので、それを先に述べたいと思います。
筆者は原子力技術は人類が獲得すべきすばらしいテクノロジーだと考えます。そして、当面のエネルギー政策として原子力発電は今の日本に必要だと考える人間です。
しかしながら、同時に、今の日本の現体制ままで発電が再開する事には断固反対する者です。
 理由は大きく別けて、技術的側面（システム工学）と人間系側面からなりますが、本日は技術的側面について述べたいと思います。

システム工学の視点からみた今回の事故

巷間、今回の地震は１０００年に一度の大地震であり、全く想定外の出来事だっと言われています。
マスコミが言う事ですから、鵜呑みにする事は出来ませんが、事故の経緯や対応を見ても明らかに準備がされていなかった事は事実でしょう。
しかしながら、 システム工学的な立場から言うと、今回のような天災は絶対に想定すべき出来事です。
簡単な確率の計算をしてみましょう。
原子炉の稼働期間は３０年で設計されています。そして、その稼働期間中に１０００年に一度の天災に遭う確率は、３０÷１０００　＝　３％　です。
これは、事故の影響を考えると途方もなく巨大な数字です。
この数字は原子炉一基当りであり、日本中にあるすべての原子炉の数を考えると、日本のいずれかの稼働中の原子炉が、１０００年に一度の大災害に遭う確率は、下手をすると１０％を超えてしまいます。（かなり控えめに計算しています。）

これを、別のシステム・プロジェクトと比べてみましょう。
宇宙開発は極めて危険を伴うプロジェクトとして知られていますが、人類が最初に月に降り立ったアポロ計画では、宇宙飛行士が（月に着陸できるかどうかは別として）生きて地球に戻って来れる確率、設計目標を99.9999999％として設定していました（いわゆる９が９個でナインナイン）。
これは生きて地球に戻って来れない確率（設計目標）が、１０億分の１以下である事を意味します。
 それに対し、すべての日本の原発が安全に稼働する確率（設計時点での見積もり）は最大でも９０〜９７％程度であり、３〜１０％の確率で予測不能の状態に陥る可能性がある事を示しています。

向井千秋さんは、日本人初の女性宇宙飛行士として、その業績、勇気は高く賞賛され、日本人の誇りとするところですが、設計目標のみの観点から言えば、彼女よりも我々日本に住む普通の日本人の方が、実は遥かにチャレンジャーだったと言うのは、笑うに笑えません。

（続く）

IPAブースでのミニ・セミナー

春の鋸山の頂上から三浦半島を望む

私事で恐縮ですが（と言うか、このブログそのものが私事ですが）、来る５月９日および１０日に、ESEC(第15回組込みシステム開発技術展　）内のIPAブース 　にて、

システム工学とソフトウェア工学の接点
～システム工学とエンタープライズ・アーキテクチャの融合 ミッション・クリティカルな海外事例をベース～

と言う 表題で、２０分ほどしゃべります。
 このブログでやってるBPMとは異なる分野ですが（モデリングと言う観点からは同じ分野です）、もしESECに足を運ばれる予定がございましたら、御立ちよりください。

時間が２０分と短い事と、ESECと言う場所柄ソフトウェア系の人が多いと想定されますので、SysML の登場がソフトウェア技術者へ与えた影響を中心に、「米国国防総省におけるテストできないシステム・ソフトウェアの品質保証」の変遷を簡単に概説したいと思います。