最後の考察
ここに来てもう一週間以上になる。やれることは全部やり終えたはずだ。そう思いながら、私はミエとイサキの顔を見た。三階の技術局長室には、調査委員会の全メンバー三人が揃っていた。
「今日のミーティングで現地調査のまとめをします。特に根本的な原因と対応の骨子は、今日で確定させたいと思います。」
少し改まった口調で私が言った。
「原因をどこまで突きつめるかで、対応も違うんじゃないか。」
イサキが混ぜ返すように声を出す。
「その通り。まずは原因について整理しますか。レベル５が意図せず出力された原因です。」
正面のモニターに手元の端末の画面を出して、私は説明を続ける。
「設備管理室で、定時報告にレベル４以上の試験を記録した。それが直接の原因。タイマーで不正プログラムが作動し、不正な制御ルートを通して切替器が操作された。そして、偽の制御信号が送られた。」
「原因は確定ですよね。」
ミエがそう答えてから、話を整理する。
「直接のきっかけは定時報告への記載ですけど、それは設備管理室が業務を全うしただけです。不正な仕掛けがあったのが原因です。」
「まあ、そういうことだな。」
イサキも頷いた。ここまでは誰も異論はないようだ。
（原因）
不正プログラムが仕込まれ、使用しないはずの経路を使って、不正な命令が実行されたこと。
私はこう記載すると、話を続けた。
「でもですよ、プログラムは四年前に別の目的で仕込まれた可能性が高くて、今回の実行は偶然のようだ。プログラムが作られた悪意は他に向けられたもので、単純にいくつかの偶然が重なった事故とも言える。」
「今回の事故は、誰も起こそうと思ってなかった。俺もそう思うよ。」
「だったら、そういう前提で対策を立てたいんです。」
「そこが分からないんだよな。対策は変わらないだろう。不正プログラムは取り除いた。あとは新しい不正プログラムが紛れこまないように対策する、それで十分だ。」
「イサキの思う対応策ってなに？」
「この前も言ったぜ。今のシステムに不正なものが存在しないことを証明する。散々やらされたから証拠は揃った。あとは誰かが不正な改ざんを出来ないようルールを厳密にする、それでおしまいだ。」
（対応）
不正プログラムの除去を行った。さらに、システム内に他の不正プログラムがないことを確認し、設計にない制御経路が存在しないことを確認した。
私はここまで書くと、手を止めて言う。
「これはいいと思います。ただ、これが根本的な対応なのか、ですね。」
「だから、根本的な対応だって言っているだろう。」
「根本的な原因が何かの認識が合わないと、話が進まないわね。」
私とイサキの話に、ミエが声を上げて間に入った。
「はい、そう思います。」
「イサキさんのご意見は、不正を行う人を阻止する観点ですね。」
「ああ。」
「サナダさんが思う根本的な原因って、なんですか？」
「『ヤマシロ』で働いている人が、不正に気づけなかったことを対策した方がいいと私は思います。」
私の言葉に対して、イサキから意見が出る。
「それは対策がかえって難しくなる。事故を発生させる仕掛けを理解できた人間は、『ヤマシロ』の関係者にはいなかったんだぜ。」
「私もサナダさんの話がよく分からないんですが、例えばですよ。」
ここでミエが、メモを見ながら実例をあげた。
「設備管理室に新しい端末がほしいと言ったのはアヤさん、再利用で申請したのはウスイさん。当時、倉庫には同じような端末が五台あって、選んだのは総務課の倉庫担当です。この三人のうち誰かが、今回の事故を防ぐなんて出来ないですよね。四年前に気づいていないと、不可能だと思います。」
「過去に遡れるなら、やりようがあったかもな。四年前の事故を起こした後に、不正プログラムの後片付けをしてないのが一番悪い。」
四年前の話に時間を使いたくなかったので、ここで私は一つ確認を入れる。
「四年前の事故は人為的な可能性が高い、これは報告事項として出しておきます。当時の試験が適切だったかの確認も含めて、ですね。ただ、四年前の事件が解明されても、今回の事故の対策にはならないと思います。違いますか？」
「不正プログラムが残っているのに変わりないからか？」
「そうです。対策からは抜いて考えたいんですけど、いいですか？」
私はイサキとミエの二人に聞いた。
「いや、全く問題ない。仕事をこれ以上増やしたくないからな。今の話だけで終わりにしよう。」
「私も異存はありません。」
ミエは犯人についてもっとこだわるかと思ったが、今は違っていた。見えないものが見える呪縛から、解放されたせいだろうか。
「これもどこかに書いておきましょう。」
（原因となった不正プログラムについて）
四年前に当施設内で改ざんされた可能性が高い。今回の事故発生は当時の改ざん者の意図ではなく、偶発的に発生したと思われる。
私は本題を進めるべく話を続ける。
「四年間も不正プログラムがシステム内で放置されていたんです。これに対しても、根本的な対応を考えるべきだと思います。」
「そう言われると、そうかもしれませんね。」
ミエは手を顎にあてる仕草をした。
「根本的な対応はな、システム全体で言えば、設計で見直しが必要かどうかってことだけだ。」
「今のシステムの設計を、イサキはどう思う？」
イサキの反論がすぐに始まったので、私は逆に聞き返した。
「今の設計で悪くないと思うぜ。ちゃんと制御信号とネットワークの棲み分けをしている。コンピューター同士の通信だといろいろ細工ができる。制御信号なら決まったルールの通信しか出来ないから、不正はやりにくい。ちゃんと、そういう前提になっている。ただ作るのも動かすのも面倒くさいがな。」
「今の設計は正しい、後は運用的な問題だけだってこと？」
「ああ、情報連携はコンピューター同士の通信、制御関連だけ厳密な信号管理。保守的過ぎるけど設計思想としては正しいと思う。」
「今回は、その厳密な世界を操作する部分に仕込まれた。」
「そうだ。書き込み可能な部分を最小限にして、その管理だけを今後は厳密にやればいい。」
「ルールの厳密化、かい？」
「ルールに合わせたシステムの直しがあったっていい。その部分だけ直せば済む話だ。」
「運用を踏まえた根本対応にするのは賛成です。だけど操作部と監視盤だけの話にしない方がいいと思う。」
もう一度、私はイサキに言葉を投げかけた。
「そんなの広げたらきりがないだろう。もういいかげんしてくれよ。」
「まあ、これまでの仕事のまとめなんだから、確実にやろう。」
イサキをなだめるように私が言った。
「根本原因を決めるために、まず改善すべきことを確認しよう。」
私は画面のページを切り替えて、タイピングを続ける。
・切替器のリモート操作を把握してなかった
・監視盤の不正プログラムを検知できなかった
・設備管理室端末の不正プログラムを検知できなかった
「この三つを誰も気づかなかった。むしろ最初に私が聞いたのは、侵入者がいるという噂でした。」
「細かいこと言ったら、もっとあるんじゃないか。話が収拾がつかなくなる。」
牽制するようにイサキが言ったが、私は構わず話を続けた。
「そうですね。細かいことも書き出しましょう。」
・切替器が一時半に作動したのを検知できなかった
・三時のレベル５変更をすぐに検知できなかった
「レベル５変更は、二回目は運用センターが気づきましたね。切替器の検知についても、監視方法を変えるだけの話かもしれません。」
「ええ、そうね。改善項目ではあるでしょうけど。」
「私が気になるのは、あとこれですね。」
そう言って私は文字を打って、画面にさらに書き加えた。
・同じメカニズムの二回目の事故を防げなかった
「これは大きいと思います。間接的な原因として、コントロールセンターと運用センターの意思疎通の問題はあったかもしれない。そうそう・・」
私は浮かんだ項目をさらに足していった。
・レベル４変更に失敗した時の対応が不十分
・運用センターの模様がえ手順の問題
「この二つはレベル４の変更が出来なかった問題ですが、これがなかったら二回目の事故を考察する余裕というか、検討材料が増えていた。問題が散らばってしまったのは残念ですね。」
イサキは呆れたように言う。
「これを全部対応策を出す気じゃないだろうな。現実的じゃないよ。ルールを守るためのコストが大きすぎる。」
「だから根本を見極めておきたいんです。」
画面に出ている項目を、しばらく三人で無言で眺めた。
「こういうのが全部必要ない方法はないの。」
ふいにミエが言った。
「そういうシステムの提案は出来るかもしれない。ここのシステム全部作り直して、費用を数倍かけていいならな。」
「すでに出来上がって、何年も動いているシステムだ。その提案はなしじゃないかな。」
議論が煮詰まってしまったので、私たちは一旦休憩をとることにした。
「これは今日一日でまとまりそうにないな。」
コーヒーを飲みながら私が言う。
「いや、こんな会議二日も続けるのはゴメンだ。」
ペットボトルに口をつけていたイサキは、急に真剣にモニターを見始めた。やっと本気で考える気になったらしい。
「後ろの三つは運用的な問題だろう。二次的な問題として、いいんじゃないか。根本的な対応の対象ははじめの五つにしぼる。」
「うーん、どうしようか。」
「いいと思います。」
ミエが同意したので、それから議論を再開することにした。
・切替器のリモート操作を把握してなかった
・監視盤の不正プログラムを検知できなかった
・設備管理室端末の不正プログラムを検知できなかった
・切替器が一時半に作動したのを検知できなかった
・三時のレベル５変更をすぐに検知できなかった
五つの項目を眺め直してから、イサキが言う。
「監視盤も設備管理の端末も、不正プログラムの検知という意味では同じだよな。」
「実際のやり方は違うけど、意味的にはそうだね。」
「最後のレベル５変更の話は、二回目の事故ではすぐに分かったから対策済みだ。」
「まあ、そうとも言える。」
「切替器の作動に気づかなかったのは、切替器のリモート操作機能を知らなかったからだ。知らなければ検知を考えないのは当たり前。これだって二次的なものだ。」
あっという間にイサキが項目をまとめてしまう。結果、残ったのはこの二つだけだ。
・切替器のリモート操作を把握してなかった
・不正プログラムを検知できなかった
「この問題から出てくる根本対応って何になるんだ？」
イサキはそう言って、私の方を向いた。
「結局は、システムを正しく把握して確認できることだと思う。」
「システム仕様の突き合わせとか、メンバーのトレーニング強化とか、そんな話になるんじゃないかな。」
イサキの言いたいことは分かる。基本に戻るのが一番の対応策、それも一つの答えだと思う。
「確かにそうかもしれない。」
まだ対策をどうすべきか見えてない。だから私は言い淀んだ。それに対して、イサキは待ち構えていたように言葉を返してきた。
「やっぱり違うと思うな。この建物にいる全員が、開発担当と同じくらいの知識を持とうって話になるぜ。」
「違うかな？」
「実際に使われるようになったら、仕組みとか知る必要ないんだ。使い方を正しく知るだけさ。」
「でも、そうしたら今回みたいな時の対応って、難しいんじゃないかな？」
「毎回、考察してたら運用なんか出来ない。」
「結局はコストとのバランスだと思うわ。」
イサキの発言に同調するようにミエが言った。
「開発できるレベルの人材が、毎日の運用もやるのは理想かもしれません。でも効率良く仕事は出来ないんじゃないかしら。運用には別のスキルが要るわ。」
ミエの言葉を受けて、イサキは発言を続けた。
「運用の人に、システムの心配させちゃいけない。出来のいいシステムならそうなっている。最後は自動化するべきだ。」
「人の運用でカバーするのが、一番バランスが良い場合もありますよね？」
「ああ。そういう検討は、今回の対応策とは違う話だと思うな。」
「ええ。」
「事故の対応策の話だけしようぜ。」
「確かに話が広がり過ぎてますね。」
イサキとミエが同意に達して、二対一の構図になってきた。私は二人に疑問を投げかける。
「でも最適解ってあるはずだと思う。」
「最適解が事故の対応策になると思えないがな。違うものを作る話をしているんじゃないか。」
議論で劣勢になり、私は少し反省していた。変に考えを広げ過ぎて、失敗したのかもしれない。
「調査や判断を常に出来るように、っていうのは行き過ぎだって分かったよ。だけど、直せるものはあるんじゃないかな。」
私はその時の精一杯の答えを探す。
「例えば？」
今回の調査で有効だったこと、システムの監視、稼働を再開させる上で大事なこと、私は頭の中のリストを探した。
「制御信号の送信と受信側で不整合が発生していた。これは後からログを見ないと分からなかったけど、本来は自動的に出来ることだと思う。」
「監視を増やせってことか。監視も項目が増えると、監視の意味がなくなる。」
「出ないはずの信号が本当に出てないか監視する、とかは必要ない。全部を監視しろとは言ってないさ。でも、正常と異常の定義を見直して、そこが複雑にならなければいいと思う。」
「監視システムの出来のことを言っているな。」
「私にはシステムの初期コストの話に聞こえる。どこまで検討して作ったかでしょう。」
イサキとミエからはそれ以上の反論はなく、その後、少し沈黙が続いた。その間に、今の議論を自分の中で整理する。画面に項目を足してみた。
・現システムの異常検知が最適ではない。
「こういうことなのかな。」
「大事かもしれないけど、根本的な原因じゃないな。異常を起こさないことが一番だ。そのために異常を入れないこと。」
「異常を起こさない、異常にすぐ気づく、このセットがいいと思うな。」
私は画面で行を変えた。改善すべきことの議論はこの先は膠着しそうだ。次に進もうと、新たな項目を書き加えた。
（根本的な原因）
そこでまた少し考えてから、一行置いて二つを羅列する。
・不正プログラムが追加可能だったこと
・システムの異常に長く気づかなかったこと
記載した内容について、まずミエが発言をした。
「だいぶ抽象的になっちゃいましたね。」
「そうかもしれませんが、まず説明します。」
そう言って、私は一番目の記載を指し示した。
「イサキの主張はその通り。侵入して不正プログラムが仕込まれたのがよくない。」
「追加可能だったって、どういう意味だ？」
「侵入できた環境なのが『ヤマシロ』システム側の原因です。侵入を防げなかったことでなくて、防げない環境であることに注目する。」
「おんなじことだろ？ それ。」
「不正な行為を受けることへの考慮が足りてなかった、としたいです。」
「ほとんど報告のしかただけの話だな。まあ、どっちでもいい。」
続いて二番目の記載内容に、私は説明を移した。
「今回の事故は未然に防げた可能性があった。問題のプログラムが動き出して、実際に事故に至るまでは時間はありましたから。」
「それは難しくないですか。」
ミエの投げかけに、私はすぐに反応する。
「今の仕掛けでは無理だったと思います。でも、システム的にもう少し監視項目を広げるとか、設計時に考慮をしておくとか、やれていれば良かったと思うんです。」
「監視アラームだらけになっても、収拾がつくならな。」
イサキは半笑いだが、反対まではしなかった。
「その辺はシステムの出来の話です。」
「でもそうしたら、根本対応はどうするの？」
ミエに促されて、私はまた画面上で文字をタイプして項目を足した。
（根本的な対応）
・侵入防止を目的にシステム環境を見直す
・システムの異常検知を最適化する
「これって書くの簡単だけど、どの程度やるのか全然分からないぜ。」
「まあ、そうだ。」
自分で書いておきながらも、私はイサキの意見に同意する。
「それに、この対応策って、どうやって妥当性を証明するんですか？」
ミエから新たな問いかけが入った。そこから私たちの議論は、対応策の話に絞られていく。
「結局は解決策をいくつか出して比較する、あるいは出た案の組み合わせで、最適な解決策を決めると思います。」
「代替案を出さないと議論は進まない。代替案が出ないなら、それが結論さ。」
私とイサキがそれぞれの考えを口にした。それに対してミエが答える。
「比較するにしても、何か基準をクリアしておく必要はあるでしょ。例えば異常検知だって、監視が今より改善されればいいのか、絶対見逃さないなのか、どこまでやったら十分ですか？」
「そうだな・・。」
イサキは少し考え直しているようだ。ゆっくりと話を続けた。
「侵入防止は現関係者を抜くかどうかで、対応するレベルが変わってくるな。」
「そうね。」
「今回は『ヤマシロ』の全スタッフが対象になるだろう。開発時の関係者を含む、そこまでかな。あとは一つ一つ決めていくしかない。」
イサキが言った線引きに、私も賛成だった。
「いいですね。クリア基準を明確にする。それから根本対応は、網羅性まで含んで整理した方がいいと思います。」
「網羅性？」
「最初の侵入防止の話であれば、侵入しようとする人を例えばA、B、Cの三つに分類する。Aの対応策、Bの対応策、Cの対応策。それぞれで対応範囲を明確にする。」
私の提案を、ミエが具体的に考えてくれた。
「外部の人、外部の『ヤマシロ』関係者、『ヤマシロ』の現スタッフ、という所かしら。外部の人はネットワーク的に侵入できない。関係者も今後は侵入できないようにする。」
「リモートで調査がもう出来なくなるな。」
イサキは、さして残念でもなさそうに呟いた。
「まあ、仕方ないよ。手順を踏めば可能にするとか、そういうルールは作っておいた方がいいかな。」
「そうね。それは現スタッフも同じになりますか？」
ミエの問いに私は少し考え込んだ。
「現スタッフはどうすべきか難しいですね。業務として必要だとしたら制限はつけられない。でも、制限をつけないと不正プログラムを防ぐことが出来ない。」
「現スタッフは深い調査はしない前提でいいんだよな。なら、むしろ制限をいろいろ追加したらどうだ。」
イサキが人ごとのように言った。
「そうだね、ルールの決め直しだ。こういう具体なら、それぞれ対応策は出せる。イサキもまだアイデアあるだろう？」
「まあ・・、誰がやるか別にしてな。」
「明日の仕事にちょうどいいと思うよ。」
イサキが何か言い返す前に、ミエが私に疑問を投げかけた。
「いくら説明したとしても、結局は対応策で完璧を求められるんじゃないかしら。」
「完璧？ そんなものはない。」
イサキがあっさりと言い切ったので、私は慌てて言葉を足した。
「ミエさん、事故の防止と研究の効率性、両立は無理だと思います。完璧が必要なら、研究終了を引き換えに『ヤマシロ』を閉鎖するべきかもしれません。」
「極論ですね。」
「はい、だから私たち調査委員会は、各パートごとに最適と思うものを出せばいいと思います。妥当かどうかは、報告書を受け取った側が判断するので、そのための材料が整っていることが重要です。提案した対応策のうち、全てを隙間なく実施するか、最も有効的な対応策を行うか、最後はコストも含めた判断でしょうね。」
「それだけコストをかけて、見合った研究成果が出るのかの見極めですね。事故のリスクも考慮するとなれば、もう事業としての意義の話になります。」
「ええ、私たち調査委員会の領分でないかと。」
「そうですね。」
ミエはそれで納得したのか、議論は二つ目の対応に移る。
「ところで、システムの異常検知は？ こっちの網羅性はどうなるんですか？」
「制御システム、監視システムとか、パートごとに分けて整理するなら体裁はつくな。」
イサキがそう言ったが、それには私が反対した。
「そうしてしまうと、イサキの心配していたアラーム地獄になるよ。」
「まあ、そうだ。」
「さっき話していて思ったんですが、状態の監視は減らした方がいい。他の種類の監視を増やすべきです。」
「何を増やすんですか？」
イサキに代わってミエが聞いてくる。
「状態の監視の他に、整合性の監視です。」
「整合性の監視って、制御信号の送信、受信で数が合っているか、とか？」
イサキが具体例を出して聞いてきた。
「そう、命令通りに波動装置が動いたかとかも。状態の監視はもちろん必要だけど、数は省ける。」
「全然分からないんですけど、何か省けるんですか？」
ミエが私に再び聞いてきた。
「今回の事故も、最初に分かったのは運用センターのアンマッチのアラームでしたよね。ああいうタイプの監視を強化するんです。」
「どう違うんです？」
「状態の監視を強化すると、心配だからコントロールセンター内の出力レベルも、運用センター内の出力レベルも全部見たい、という話になる。それなら命令した出力レベルと波動装置の実際の動きとの矛盾だけを見ればいい、という感じです。」
「まあ、言いたいことは分かる。ただ、整合性の監視は、問題を早く検知することしか出来ないんじゃないかな。」
イサキは私の提案を理解してくれたようだ。その上で、すかさず追加の議論を投げかけてくる。
「それはあるね。でも、少なくとも二回目の事故は防げたと思う。一時半の切替器が操作された段階で、検知できた可能性もある。」
「まあ、効果はあるか。それじゃあ他にも、品質の監視も出てくるんじゃないか、命令が出て何秒後に動作が完了したか、とかさ。」
「なるほど。そうかもしれない。」
「結局さ、どう最適化するか次第だ。」
「うん、そう思う。」
そうしてやっとイサキと私は合意した。
「だとしたら、監視の網羅性はどう定義する？ 状態と整合性と品質の三つだけか？」
「監視の種類ではなく、運用の網羅性でいいと思う。レベル通りの出力、レベル変更、波動出力の位置、そんなに多くないし、適した監視が違うと思う。」
「それは整合性の監視の種類だろ。状態の監視と品質の監視は？」
「品質の監視も同じでいいと思う。状態の監視は・・、どうしようか。」
「機器構成単位の網羅性になるんだろうな。やっぱり。」
「そうだね。整合性の監視を先に定義すれば、監視項目は減らせるはずだ。」
イサキと私の会話は、新たな監視システムの設計の話になっていた。それに気づいたミエが話をかえる。
「それで、運用的にスムーズになるのかしら。」
ミエは『ヤマシロ』側のスタッフだから、対応策をした後が、どうしても気になるようだ。それは非常に正しいことだと私は思った。
「どういう監視にするかの設計次第でしょうね。知恵の絞りどころです。」
「やっと終わりが見えてきたと思ったら、やることがずいぶん増えたな。」
イサキが皮肉をこめて言った。対応策を具体にするには、自分が必要になると分かっているからだ。
「とにかく、私たちの調査ではやれることは全部やったか、が大事だと思うんです。」
「それはそうね。」
「その上で、報告書を書き上げる必要があります。」
「分かりました。」
ミエは素直に応じてくれたが、イサキはサボることを諦めきれないのか、憎まれ口を叩いた。
「よくやるよな。」
「まあ、最後まで付き合ってよ。いいだろ？」
なだめるように私が言うと、イサキは天井を仰ぐ素振りを見せた。私は言葉を続ける。
「想定外のことがまだあるかもしれない。そう思っていないとダメだと思うんだ。そうなるとやっぱりね。」
きっとイサキは対応策づくりをやってくれる。長い付き合いから、私はそう感じていた。
「謙虚に、ってことね・・」
ミエが何か思い出したように言う。
「なんです？」
「お祓いの話を思い出しました。」
「四年目の事故の時ですか。関係者の有志でお祓いに行ったと、ミエさんの報告書にも書いてありましたね。」
「最後に神頼みするとしても、諦めたのか、やるべきことを全部やったかで全然違いますよね。私たちはどうなんでしょう？」
これで本当に終わっていいの、私はミエにそう問われている気がした。
「・・本当は先があるのかもしれない。でも、私は考えられることは全部やったつもりではいます。」
「そうですね。」
「結局、自分たちの限界が分かっただけですね。でも、その境界は自分たちで決めたんですよ。」
「ええ、それでいいと思います。」
そこで私とミエは頷き合った。
「神頼みするのが遅いって、俺は思うぜ。」
最後にイサキがそう言ったので、それで私たち三人は笑った。
