飛行安全基準の理論的基盤
ALARP原則からEc/Pcへ — 10⁻⁴/10⁻⁶はなぜ国際標準となったか
1 はじめに — 飛行安全基準はどこから来たのか
ロケット打上げの安全性は、2つの定量指標で管理される。期待死傷者数（Expected Casualties: Ec）と個人死傷確率（Probability of Casualty: Pc）である(1,2)。FAA Part 450が設定する閾値は Ec ≤ 1×10⁻⁴/mission、Pc ≤ 1×10⁻⁶/mission であり、これらの具体的な算出方法と規制上の位置づけは飛行安全の定量基準と解析手法で詳述している。
しかし、なぜ「10⁻⁴」と「10⁻⁶」なのか。この問いは、飛行安全の技術的側面を超え、安全工学の哲学的基盤に関わる。10⁻⁴は英国HSEが公衆に対する「許容不能上限」として設定した数値であり、10⁻⁶は「広く受容可能」な下限である(3)。化学プラント、原子力、航空、そしてロケット打上げという異なる産業が、独立した経路を経て同一の数値帯に収斂した。
本記事では、この収斂がなぜ起きたのかを知的系譜として辿る。ALARP原則の法的起源から、Tolerability of Risk（TOR）枠組みの確立、Ec/Pc基準の発展、そして産業横断的な閾値の収斂メカニズムまでを、理論層の視点から体系的に解説する。ALARP原則の実務的な適用（R2P2表、LOPA、ボウタイ分析）については低頻度・高重篤度リスクの評価と管理を、各国の規制枠組みの詳細は飛行安全の規制枠組みおよび各国の商業宇宙輸送安全規制を参照されたい。
2 1. ALARP原則の起源と構造
2.1 1.1 法的起源: Edwards v. National Coal Board (1949)
ALARP（As Low As Reasonably Practicable）原則の法的基盤は、1949年の英国控訴院判決 Edwards v. National Coal Board に遡る(4)。Lord Justice Asquith は「reasonably practicable（合理的に実行可能）」を以下のように定義した。
リスクの大きさを一方の皿に、リスク回避に必要な犠牲（金銭、時間、手間）を他方の皿に載せて計量し、両者の間に著しい不均衡（gross disproportion）がある場合 —— すなわちリスクが犠牲に比して無視できるほど小さい場合 —— にのみ、義務者は免責される。
この判決は、安全工学における費用便益分析の基本構造を確立した。通常の費用便益分析（net benefit > 0 で実施）とは異なり、立証責任が安全改善を「しない」側に課される点が決定的に重要である。リスク低減措置は「著しく不均衡」でない限り実施が義務づけられ、HSEはリスクレベルに応じて1〜10倍の不均衡係数を適用する(5)。
実務的な適用については低頻度・高重篤度リスクの評価と管理 §3を参照されたい。
2.2 1.2 SFAIRPとALARPの区別
1974年の英国労働安全衛生法（Health and Safety at Work Act）は、使用者に「so far as is reasonably practicable（SFAIRP）」なリスク低減義務を課した(6)。SFAIRPとALARPは実質的に同義として運用されるが、学術的には微妙な差異がある。
| 用語 | 正式名称 | 性格 |
|---|---|---|
| SFAIRP | So Far As Is Reasonably Practicable | 法律用語。「著しく不均衡」になるまでリスク低減を継続する絶対的義務 |
| ALARP | As Low As Reasonably Practicable | 実務用語。リスクターゲット達成で追加対策を打ち切る傾向 |
Redmill (7) は、ALARPがリスクターゲット達成を以て対策を打ち切る傾向があり、SFAIRPの「継続的低減義務」と乖離しうることを指摘している。安全ケース（Safety Case）においてALARP論証を行う際は、単に数値基準を満たすだけでなく、さらなる低減措置が「著しく不均衡」であることの積極的証明が求められる。
2.3 1.3 de manifestus と de minimis
ALARP原則の上限と下限は、ラテン語に由来する法概念で定義される。
| 概念 | ラテン語の意味 | リスク基準における意味 | UK HSE閾値 |
|---|---|---|---|
| de manifestus | 「明白な」 | すべての人にとって明らかに許容不能 | 公衆 10⁻⁴/年、労働者 10⁻³/年 |
| de minimis | 「法は些事を顧みない」 | 規制上の懸念を下回る | 10⁻⁶/年 |
de minimisの10⁻⁶/年の起源は、安全工学ではなく毒性学にある。Mantel & Bryan (8) の発がん性物質の動物実験で仮想安全用量（Virtual Safe Dose）として設定された10⁻⁸から、人間への外挿過程で10⁻⁶が事実上の安全閾値としてFDAに採用された。Kelly (9) はこれを「10⁻⁶の神話」と呼び、科学的に導出された数値ではなく行政慣行の産物であることを論証した。Kelly (9) が指摘するように、EPAの行政文書でも10⁻⁶を許容リスクの正式定義とすることは意図されていないにもかかわらず、この数値は事実上の国際標準となっている。
3 2. Tolerability of Risk（TOR）枠組み
3.1 2.1 3領域モデルの確立
HSEは1988年（第1版）および1992年（第2版）に「The Tolerability of Risk from Nuclear Power Stations」を発行し、リスク管理の3領域モデルを確立した(10)。
図1: TOR三角形 — HSEの3領域リスクモデル（HSE TOR 1992, R2P2 2001に基づく）
この3領域モデルの要点は以下の通りである。
- 許容不能領域（上部）: リスクが de manifestus 水準を超える場合、いかなる便益があっても活動は許容されない。ただし実務上は、リスク低減措置の実施が不可能であることが証明された場合を除く
- ALARP領域（中間）: リスクの存在は認識されるが、費用便益分析に基づきリスク低減を「合理的に実行可能な限り」行うことで活動が許容される。立証責任は義務者側にある
- 広く受容可能領域（下部）: リスクが de minimis 水準を下回り、追加のリスク低減措置は通常不要
2001年のR2P2（Reducing Risks, Protecting People）で、原子力に限定されていた3領域モデルが全産業に一般化された(3)。R2P2の定量的閾値の詳細は低頻度・高重篤度リスクの評価と管理 §3で表として整理している。
3.2 2.2 定量的閾値の体系
R2P2が確立した個人リスクの定量的閾値は以下の通りである。
| 対象 | 許容不能上限 | 広く受容下限 | 根拠 |
|---|---|---|---|
| 労働者 | 10⁻³/年 | 10⁻⁶/年 | 最も危険な産業の統計値 |
| 公衆 | 10⁻⁴/年 | 10⁻⁶/年 | 労働者閾値の1/10 |
公衆の許容不能上限が労働者の1/10である理由は、公衆はリスクを自ら選択していない（非自発的リスク）ためである。この自発的/非自発的リスクの区別は、Starr (11) の研究に遡る。
4 3. 飛行安全基準（Ec/Pc）の発展
4.1 3.1 歴史的経緯
飛行安全の定量基準は、約70年の歴史を通じて段階的に発展した。
| 年代 | 出来事 | 安全思想 |
|---|---|---|
| 1950 | Cape Canaveral初打上げ | 破壊ライン（destruct lines）による物理的封じ込め |
| 1960年代 | Mercury/Gemini/Apollo | RSO（Range Safety Officer）による手動安全管理 |
| 1969 | AFWTR Manual 127-1 | 初の公式レンジ安全要件文書 |
| 1996 | RALCT結成 | 共通リスク基準の策定開始 |
| 1997 | RCC 321-97 | Ec/Pcの標準化（Ec ≤ 30×10⁻⁶、Pc ≤ 1×10⁻⁶） |
| 2000 | NRC報告書 | リスク回避→リスク管理への転換勧告(12) |
| 2007 | 14 CFR Part 417 | 商業打上げ規制の法制化 |
| 2020 | 14 CFR Part 450 | 統合ライセンス（Ec ≤ 1×10⁻⁴、Pc ≤ 1×10⁻⁶）(1) |
4.2 3.2 Ec/Pcの定義と安全工学上の対応
Ec/Pcの具体的な算出方法と閾値は飛行安全の定量基準と解析手法で詳述しているが、ここでは安全工学の一般概念との対応関係に焦点を当てる。
| 飛行安全指標 | 定義 | 閾値 | 安全工学上の対応概念 |
|---|---|---|---|
| Pc | 特定位置の個人の死傷確率（/mission） | ≤ 10⁻⁶ | Individual Risk（de minimis相当） |
| Ec | 全ハザードからの期待死傷者数（/mission） | ≤ 10⁻⁴ | Societal Risk期待値 |
| CEC | 条件付きEc（大惨事イベント） | ≤ 10⁻³ | Catastrophe aversion |
Pcの閾値 10⁻⁶/mission は、R2P2の「広く受容可能」下限と数値的に一致する。すなわち、飛行安全は最も保守的な個人リスク基準を採用しており、打上げに曝露される公衆の個人リスクが「追加的懸念を要しない」水準以下であることを要求している。
一方、Ecの閾値 10⁻⁴/mission は、R2P2の公衆に対する「許容不能上限」と一致する。ただしEcは社会リスクの期待値（1次モーメント）であり、F-Nカーブのような確率分布の形状情報を含まない。同じEcでも「多数の軽微事故」と「稀な大惨事」を区別できないという限界があり、Part 450のCEC基準がこのギャップを部分的に補完している(13)。CECの具体的計算は飛行安全の定量基準と解析手法 §4を参照されたい。
4.3 3.3 米国の安全哲学: 定量的閾値アプローチ
米国の飛行安全基準はALARP原則を明示的には採用していない。英国のALARP＋TOR三角形アプローチとの比較を示す。
| 特性 | FAA/USAF/NASA（米国） | UK CAA（英国） |
|---|---|---|
| 基本原則 | 定量的閾値（pass/fail） | ALARP + 許容可能性の二重要件 |
| リスク低減義務 | 閾値以下であれば適合 | 「著しく不均衡」でない限りさらなる低減が必要 |
| 法的枠組み | 14 CFR Part 450 | Space Industry Act 2018(14) + HSE ALARP |
| 哲学 | 「背景リスクの小さな割合」を確保 | 「合理的に実行可能な限り低い」レベルに低減 |
しかし、米国の制度にも事実上のALARP的機能が内在する。EWR 127-1の「highest achievable reliability」要求、Part 450のperformance-based approach、そしてCECの大惨事回避機能がそれである。「暗黙的ALARP」については§5で詳述する。
5 4. 10⁻⁴/10⁻⁶の収斂メカニズム
5.1 4.1 知的系譜
10⁻⁴（許容不能上限）と10⁻⁶（広く受容下限）という数値は、複数の独立した知的経路から同一の帯域に収斂した。
結果×確率の逆比例
顕示選好アプローチ
10⁻⁸→10⁻⁶への外挿
10⁻⁴/10⁻⁶閾値
5×10⁻⁷、2×10⁻⁶
行政慣行の定着
IR 10⁻⁶（NL）
CDF 10⁻⁴
Ec 10⁻⁴, Pc 10⁻⁶
図2: 定量的リスク基準の知的系譜 — 3つの独立経路から産業横断的基準への収斂
5.2 4.2 収斂の4要因
10⁻⁴/10⁻⁶への収斂は自然法則ではなく、以下の4要因の複合として説明される。
要因1: 歴史的偶然。10⁻⁶はMantel & Bryan (8) の動物実験で仮想安全用量（VSD）として設定された数値が、FDA→EPA→HSE→国際基準へと行政慣行を通じて拡散した結果である(9)。Kelly (9) が「10⁻⁶の神話」と呼んだように、科学的根拠に基づく導出ではない。
要因2: 背景リスクへの錨付け。10⁻⁴は交通事故による死亡リスクの約1/10、10⁻⁶は落雷による死亡リスクの約10倍に対応する。NRC Safety Goals (15) は「背景リスクの0.1%」という直感的に理解しやすい基準を採用し、定量的健康目標（QHO）として即時死亡リスク5×10⁻⁷/年、がん死亡リスク2×10⁻⁶/年を設定した。
要因3: 産業間相互参照。一旦ある産業で10⁻⁴/10⁻⁶が採用されると、他産業が先例として引用し、自己強化的に定着した。NRC (2000) のレンジ安全近代化勧告(12)においてHSE基準が参照されていることがこの傾向を示す。
要因4: 社会的合意の安定性。Starr (11) が示したように、安全基準は技術的事実ではなく社会的価値観の反映である。一度確立された基準は変更コストが高く、直感的理解しやすさと既存採用実績により安定的に維持される。
5.3 4.3 プロセス安全の国際基準比較
10⁻⁴/10⁻⁶の数値帯が産業横断的に採用されていることを、プロセス安全の国際基準で確認する。国際基準との詳細な比較は低頻度・高重篤度リスクの評価と管理 §3も参照されたい。
オランダのBevi基準は注目に値する。公衆に対する個人リスクの上限を10⁻⁶/年に設定しており、これはHSEの「広く受容可能」下限と同値である。すなわちオランダでは、HSEがALARP領域と見なすリスクレベルが法的に「許容不能」と分類される。この厳格さは1953年の大洪水を契機とする安全文化に起因するとされる。
6 5. 個人リスクと社会リスクの二軸構造
6.1 5.1 個人リスクとPcコンター
個人リスク（Individual Risk）は、ハザード近辺の特定地点に24時間無防護で居住する仮想的個人の年間死亡確率として定義される。化学プラントのQRAでは、施設を中心に同心円状のリスクコンター（等リスク線）を描画し、10⁻⁵、10⁻⁶等のレベルごとに等高線を示す(17)。
この手法は飛行安全のPcコンター（発射場・飛行経路周辺の等リスク線）と概念的に同一である。
| 化学プラント（QRA） | 飛行安全（QRA） |
|---|---|
| Individual Risk Contour | Pcコンター |
| 年間死亡確率（/year） | ミッションあたり死傷確率（/mission） |
| 施設周辺の等リスク線 | 発射場・飛行経路周辺の等リスク線 |
| 土地利用計画（LUP）に使用 | 発射場立地・飛行安全解析に使用 |
| 基準: 10⁻⁶/年（オランダBevi） | 基準: 10⁻⁶/mission（FAA Part 450） |
6.2 5.2 社会リスクとF-Nカーブ
社会リスク（Societal Risk）はF-Nカーブ（累積発生頻度 vs 死傷者数）で表現される。F-Nカーブの概念は、Farmer (19) の原子力リスク基準（放射性物質放出量 vs 確率の逆比例関係）を端緒とし、1960年代後半に死傷者数ベースの表現へと発展した。
F-Nカーブの傾きは社会的価値観を反映する。傾き −1（catastrophe neutral）は期待死亡者数が一定なら許容するアプローチ（UK、香港）であり、傾き −2（catastrophe averse）は同時多数死亡を特に忌避するアプローチ（オランダ、デンマーク）である。
飛行安全ではF-Nカーブが主に使用されない。理由は、地理的情報（「どこでリスクが高いか」）を示さないため立地規制に直接活用できないことにある。飛行安全ではPcコンター（個人リスク）＋ Ec（社会リスク期待値）＋ CEC（大惨事回避）の3指標が、F-Nカーブ・リスクマトリクス・ALARP図の機能を代替している。リスクマトリクスの限界については Cox (20) の分析を踏まえた議論が低頻度・高重篤度リスクの評価と管理 §1にある。
6.3 5.3 二軸構造の起源
個人リスクと社会リスクの二軸構造は、Starr (11) の自発的/非自発的リスク概念に起源を持つ。Farmer (19) のリスク基準曲線からF-Nカーブへの発展を経て、HSE TOR (10) で個人リスク（de minimis閾値）と社会リスク（F-N基準線）の二軸として体系化された。
飛行安全においては、Pc が個人リスク軸を、Ec/CEC が社会リスク軸を担い、この二軸構造を継承している。3層構造はプロセス安全のLOPA概念と対応する。LOPAの概要は低頻度・高重篤度リスクの評価と管理 §5を参照されたい。
7 6. 暗黙的ALARPと国際的収束
7.1 6.1 米国飛行安全の「暗黙的ALARP」
米国の飛行安全制度はALARP原則を名目上採用していないが、以下の要素が事実上のALARP的機能を担っている。
- EWR 127-1の「highest achievable reliability」(21): 合理的に可能な限り高い信頼性を要求する指導原則。これはALARPの「合理的に実行可能な限り低い」リスクという要求と実質的に等価である
- Part 450のperformance-based approach: 閾値達成だけでなく、最適な安全パフォーマンスを求める設計思想。prescriptive（仕様規定型）からperformance-based（性能規定型）への転換は、Goal-Based規制におけるALARP運用と方向性を共有する
- CECのcatastrophe aversion機能: 大惨事イベントに対する追加的安全要件は、ALARP領域内での「さらなるリスク低減」要求に相当する
Goal-Based規制におけるALARP運用の理論的基盤は各国の商業宇宙輸送安全規制で詳述している。
7.2 6.2 UK CAAの宇宙飛行ALARP
2018年の英国宇宙産業法（UK Space Industry Act）は、ALARP原則を宇宙打上げに明示的に適用した初の法制度である(14)。UK CAAは他国のEc基準を自国の社会的リスク許容度設定の参照に使用しており、米英間のフレームワークの相互参照が進んでいる(22)。英国Safety Caseアプローチの詳細は各国の商業宇宙輸送安全規制 §4を参照されたい。
7.3 6.3 日本の状況
日本は欧米と異なり、法令に定量的個人リスク安全目標値を明示していない（仕様規定型）。日本学術会議は2014年報告で以下の基準値を提示した(18)。
- 基準値A（受忍限度相当）: 10⁻³〜10⁻⁴/年
- 基準値B（目標値相当）: 10⁻⁵〜10⁻⁶/生涯
2017年の提言ではさらに7カテゴリの工学システム分類（原子力、プラント、交通、建築等）に応じた安全目標の展開が提案された(23)。しかし、いずれも法的拘束力を持つ基準としては採用されていない。日本の宇宙安全規制の詳細はMEXT飛行安全評価基準を中心に日本の宇宙安全規制で詳述している。
8 7. 結論
8.1 10⁻⁴/10⁻⁶は「社会的構成物の収斂」である
飛行安全基準（Ec/Pc）とALARP原則の関係について、以下の5点を結論とする。
第一に、Ec/PcはALARP原則に直接基づくものではない。米国の飛行安全は定量的閾値（pass/fail）アプローチに基づき、英国のALARP＋TOR三角形アプローチとは哲学的に異なる。しかし、米国の閾値はHSE TOR三角形の「広く受容」レベルに相当するリスク水準を意図しており、結果的に類似の安全水準を達成している。
第二に、10⁻⁴/10⁻⁶は科学的に厳密な導出ではなく、経験的データと社会的判断の産物である。10⁻⁴は交通事故死の約1/10、10⁻⁶は落雷死の約10倍に対応し、複数の独立した経路（Starr/NRC/FDA/EPA/HSE）から同一の数値帯に収束した。
第三に、プロセス安全と飛行安全の数値的一致は「偶然」ではなく「社会的構成物の収斂」である。歴史的偶然、背景リスクへの錨付け、産業間相互参照、社会的合意の安定性という4要因の複合作用による。
第四に、個人リスク（Pc）と社会リスク（Ec/CEC）の二軸構造は、Starr (1969) の自発的/非自発的リスク概念を起源とし、HSE TOR (1988/1992) で体系化された枠組みの継承である。飛行安全はPcコンター＋Ec＋CECの3指標でこの構造を実装しており、プロセス安全のIRコンター＋F-Nカーブと概念的に対応する。
第五に、これらの閾値は自然法則ではないが、変更コストの高さ・直感的理解しやすさ・既存採用実績により安定的に維持されている。Kelly (9) が指摘した「10⁻⁶の神話」は批判ではなく、リスク基準が本質的に社会的判断であることの証左である。