JP2011095876A - ヒューマンエラー分析支援システムおよびヒューマンエラー分析支援方法 - Google Patents

Abstract

【課題】情報セキュリティの非専門家であっても情報セキュリティ事故の要因を容易かつ網羅的に分析できるようにする。
【解決手段】ヒューマンエラー分析支援装置１１０は、基本情報入力部１１１により、事故の基本情報の入力を実行し、事象整理部１１２により、その事故に関わる事象の整理を実行し、なぜなぜ分析部１１３により、事故の背後要因の分析を実行し、対策立案部１１４により、事故の根本要因に対する対策案を立案して、情報セキュリティの非専門家である分析者によるヒューマンエラー分析作業を支援する。事象の整理においては、乖離ノード判定部１１２ｃにより、事故において特定した事象が乖離事象であったか否かを判定することで、なぜなぜ分析を行うべき事象を絞り込む。なぜなぜ分析においては、サンプル表示部１１３ａにより、背後要因の入力に応じて、過去に分析した事故事例のうち分析経過に似通ったものをサンプルとして提示する。
【選択図】図１

Description

本発明は、ヒューマンエラーの分析を支援する技術、特に情報セキュリティにおけるヒューマンエラーの分析を支援する技術に関する。

各種調査によれば、情報セキュリティ事故（以下、単に「事故」と称する場合がある。）の大半はヒューマンエラーに起因するものである。ヒューマンエラーの再発防止のためには、エラーに対する合理的な対策を立案し、実施することが望ましい。合理的な対策の立案のためには、事故の経緯を把握し、事故が発生した根本的な要因を分析することが重要となる。

ヒューマンエラーの分析には一般的に心理学や人間工学等の専門的知識が必要になる。これらの専門的知識が少ない分析者にも高度な原因分析を行うことが可能なように分析者を支援するシステムが提案されている。

例えば、特許文献１では、あるｎ次原因（ｎ：自然数）と該ｎ次原因が発生する原因であるｎ＋１次原因との関連付け情報を保持するヒューマンエラー樹形図ＤＢを備え、分析者の入力した逸脱事象のｎ次原因がヒューマンエラー樹形図ＤＢの情報と一致する場合にはｎ＋１次原因の候補を提示する分析支援システムを提供している。

特開２００４−２８７６４９号公報

しかしながら、特許文献１のシステムは、分析者の入力情報とヒューマンエラー樹形図ＤＢの情報がマッチした場合には分析者に支援情報を提示するが、入力情報がヒューマンエラー樹形図ＤＢの情報とマッチしない場合、分析者は支援がない状態で原因を探ることになる。情報セキュリティを考えると、セキュリティの専門知識を持たない人が情報を取り扱う場合が多い。そのため、特許文献１に記載のシステムを情報セキュリティ事故に適用する場合、分析に抜け漏れが生じる可能性が考えられる。

また、特許文献１のシステムは、分析者の入力情報とヒューマンエラー樹形図ＤＢの情報がマッチした場合には次の入力候補が提示されるが、非専門家が分析を行う場合、入力候補に発想が限定されたり、誤った方向に分析が誘導されたりする可能性が考えられる。特許文献１に記載のシステムを情報セキュリティ事故に適用する場合、分析者がセキュリティの専門知識を持たないために、分析を進める過程で正しい情報を取捨選択することは困難であると考えられる。

事故の分析においては、事故の状況を正確に把握していることが必要であり、事故を起こした当事者による分析が必要である。そこで、情報セキュリティの専門知識を持たない人の分析を支援するシステムが必要となる。

そこで、前記事情を鑑みて、本発明の目的は、情報セキュリティの非専門家であっても情報セキュリティ事故の要因を容易かつ網羅的に分析できるようにすることである。

本発明は、事故の基本情報の入力、事故に関わる事象整理、事故の背後要因の分析、事故の根本要因に対する対策立案といったヒューマンエラー分析作業を支援するシステムを提供する。
基本情報の入力においては、分析者は、事故の内容および対象を特定した基本情報を入力して事故事例を分類する。
事象整理の支援においては、事象の当事者が前記分析者にとって対策可能な関係者かそれとも対策困難な関係者かの情報を保持する。分析者が入力した事例の当事者が分析者にとって対策可能な関係者の場合には、当該事象が本来望ましいとされる作業との乖離または通常の作業との乖離があったかどうかを判定する乖離ノード判定を行い、分析者が入力した事例の当事者が分析者にとって対策困難な関係者の場合には、前記乖離ノード判定を行わないようにする。乖離ノードをこのように取り扱うことにより、対策可能な範囲での分析や対策立案を可能にすることを特徴とする。
背後要因の分析においては、前記乖離ノード判定において乖離ノードであると判定された事象の一覧を保持し、時刻の新しい乖離ノードから順に分析対象として提示して背後要因情報を入力させるとともに、背後要因分析済の乖離ノードか否かの情報を保持する。これにより、背後要因分析を実施しない乖離ノードの発生と、背後要因分析済の乖離ノードの再分析を防止することを特徴とする。
また、背後要因の分析において、分析の発想手順と着眼点とを提示するとともに、事故の基本情報と背後要因情報から、分析者が新しい要因を入力するたびに、分析経過に似通った事故事例を分析サンプルとして提示することを特徴とする。
対策立案においては、分析者が対策立案対象として選択した事故の根本要因に対して、予め定めた対策方針にしたがって、適切な対策対象の発想を促すことを特徴とする。
詳細は、後記する。

本発明によれば、情報セキュリティの非専門家であっても情報セキュリティ事故の要因を容易かつ網羅的に分析できるようにすることができる。

ヒューマンエラー分析支援システムの全体構成図である。 ヒューマンエラー分析支援装置および事故事例ＤＢのハードウェア構成を示す図である。 基本情報データのデータ構造の一例である。 関係者データのデータ構造の一例である。 事象データのデータ構造の一例である。 乖離ノードデータのデータ構造の一例である。 背後要因データのデータ構造の一例である。 根本要因データのデータ構造の一例である。 対策案データのデータ構造の一例である。 ヒューマンエラー分析支援システムにおける処理の全体の概要を示すフローチャートである。 基本情報入力を行うためのインタフェース画面の一例である。 基本情報入力の処理を示すフローチャートである。 事象整理の処理を示すフローチャートである。 関係者入力を行うためのインタフェース画面の一例である。 関係者入力の処理を示すフローチャートである。 事象入力を行うためのインタフェース画面の一例である。 事象入力の処理を示すフローチャートである。 乖離ノード判定結果入力を行うためのインタフェース画面の一例である。 乖離ノード判定の処理を示すフローチャートである。 なぜなぜ分析における乖離ノードの背後要因を入力するためのインタフェース画面の一例である。 なぜなぜ分析サンプルを表示するためのインタフェース画面の一例である。 なぜなぜ分析の処理全体を示すフローチャートである。 作業の背後要因分析の処理を示すフローチャートである。 認知の背後要因分析の処理を示すフローチャートである。 根本要因分析の処理を示すフローチャートである。 サンプル更新の処理を示すフローチャートである。 対策立案するためのインタフェース画面の一例である。 対策立案の処理を示すフローチャートである。 ヒューマンエラー管理システムの全体構成図である。 ヒューマンエラー管理システムにおける処理の全体の概要を示すフローチャートである。 事例選択を行うためのインタフェース画面の一例である。 事例選択の処理を示すフローチャートである。 事象整理の処理を示すフローチャートである。 事故関係者の対策可能／困難変更を行うためのインタフェース画面の一例である。 事故関係者の対策可能／困難変更の処理を示すフローチャートである。 乖離ノード判定の処理を示すフローチャートである。 なぜなぜ分析の処理を示すフローチャートである。 対策立案の処理を示すフローチャートである。 定義データのデータ構造の一例である。 定義データのデータ構造の一例である。

次に、本発明を実施するための形態（以下、「実施形態」という。）について、適宜図面を参照しながら説明する。

≪実施形態１≫
実施形態１として、まずヒューマンエラー分析支援システムの全体構成を、図１を用いて説明する。ヒューマンエラー分析支援システム１００は、ヒューマンエラー分析支援装置１１０と、事故事例ＤＢ（Database）１２０とを含んで構成される。これらは、通信媒体（ネットワークまたはネットワークを伝播するデジタル信号や搬送波）を介して接続される。

ヒューマンエラー分析支援装置１１０は、基本情報入力部１１１と、事象整理部１１２と、なぜなぜ分析部１１３と、対策立案部１１４と、定義データ１１５とを含む。ヒューマンエラー分析支援装置１１０において、基本情報入力部１１１と、事象整理部１１２と、なぜなぜ分析部１１３と、対策立案部１１４とは、図２に示すメモリ２０３またはストレージ２０２に備えられる。また、定義データ１１５は、図２に示すストレージ２０２に格納される。事象整理部１１２は、関係者入力部１１２ａと、事象入力部１１２ｂと、乖離ノード判定部１１２ｃとを含む。また、なぜなぜ分析部１１３はサンプル表示部１１３ａを含む。

事故事例ＤＢ１２０は、基本情報データ１２１と、関係者データ１２２と、事象データ１２３と、乖離ノードデータ１２４と、背後要因データ１２５と、根本要因データ１２６と、対策案データ１２７とを含んで構成される。事故事例ＤＢ１２０は、後述する基本情報の事故事例の分類ごとに専門家が分析した事故事例サンプルデータを予め蓄える。事故事例ＤＢ１２０の一例はＲＤＢ（Relational Database）により構成される。

図２は、ヒューマンエラー分析支援装置および事故事例ＤＢのハードウェア構成を示す図である。このハードウェア構成２００（以下、単に「コンピュータ」と称する場合がある。）は、ＣＰＵ（Central Processing Unit：制御部）２０１、ストレージ（記憶部）２０２、メモリ（記憶部）２０３、入力装置（入力部）２０４、出力装置（表示部）２０５、通信装置２０６等を有する。ＣＰＵ２０１、ストレージ２０２、メモリ２０３、入力装置２０４、出力装置２０５、通信装置２０６等はバスなどの内部通信線２０７によって互いに接続されている。ヒューマンエラー分析支援装置１１０や事故事例ＤＢ１２０等は、１台のコンピュータで構成しても良いし、２台以上のコンピュータで構成しても良い。２台以上のときは、例えば、あるコンピュータでヒューマンエラー分析支援装置１１０を構成し、別のコンピュータで事故事例ＤＢ１２０を構成することが可能であるが、これに限定しない。

ＣＰＵ２０１がストレージ２０２やメモリ２０３に格納されているプログラム（例：ヒューマンエラー分析支援プログラム）を実行することにより、通信装置２０６は、前記通信媒体を介してデータのやり取りを行う。また、そのプログラムの実行により、基本情報入力部１１１と、事象整理部１１２と、なぜなぜ分析部１１３と、対策立案部１１４等、といった処理部による機能が実現される。

図３は、基本情報データのデータ構造の一例を示す。本実施形態では、基本情報データ１２１をテーブル３００として示す。図３において、テーブル３００の各レコードは、一件の情報セキュリティ事故の基本情報を記録したデータであり、フィールド３０１、３０２、３０３、３０４、３０５を有する。

フィールド３０１は、事故番号を表す。フィールド３０２は、メール誤送信、紛失、盗難といった、事故の大分類（種別＿大分類）を表す。フィールド３０３は、事故の中分類（種別＿中分類）、つまり、フィールド３０２の詳細な分類を表す。例えば、メール誤送信の場合、フィールド３０３は、宛先（アドレス）のミス、添付ファイルのミス、件名・本文のミス等が該当する。フィールド３０４は、事故の小分類（種別＿小分類）、つまり、フィールド３０３のさらに詳細な分類を表す。例えば、アドレスのミスによるメール誤送信の場合、フィールド３０４は、アドレス帳への登録時の誤入力、Ｔｏ／Ｂｃｃの誤入力、宛先の誤入力、不要なアドレスの追加などが該当する。フィールド３０５は、事故の対象となった情報媒体（事故対象）を表す。例えば、紛失の事故の場合、ＰＣ（Personal Computer）、外部記憶媒体、携帯電話、書類などが入力される。テーブル３００は、事故の小分類ごとに専門家が分析したサンプル事例のレコードを予め有し、新たに分析が行われるたびにレコードが追加される。このレコードの追加、変更、削除等の修正は、例えば入力装置２０４による入力から行われる。他のテーブルのレコードについても、分析者からの入力が必要なものについては同様である。

図４は、関係者データのデータ構造の一例を示す。本実施形態では、関係者データ１２２をテーブル４００として示す。関係者データ１２２は、事故事例一件ごとに一つのテーブルを有する。図４において、テーブル４００の各レコードは、一件の情報セキュリティ事故における関係者一人一人の情報を記録したデータであり、フィールド４０１、４０２を有する。

フィールド４０１は、事故に関与した関係者を表す。フィールド４０２は、分析者にとって、前記関係者が対策可能な関係者かそれとも対策困難な関係者かを表す（対策可能／困難）。ここで、「対策可能」とは、分析者が立案した対策を関係者に実施させることができるということを意味し、「対策困難」とは、対策を関係者に実施させることが困難であることを意味する。例えば、ある事業部のＡさんが事故を起こしたとすると、同事業部内の関係者は、その事故の分析を行うのに十分な知識を備えていると考えられることから対策可能であると判断して、フィールド４０２には“可能”という値を登録する。一方、前記関係者としてのお客様は、基本的には事故の分析を行うのに十分な知識を備えていないばかりでなく、たとえ知識を備えていたとしても、お客様という立場上、後に立案する対策案に関わらせるべきではないという理由から対策困難と判断して、フィールド４０２には“困難”という値を登録する。

関係者データ１２２は、専門家が分析したサンプル事例のテーブルを予め有する。テーブル４００は、テーブル３００にレコードが追加されるたびに新たに生成され、レコードが追加される。

図５は、事象データのデータ構造の一例を示す。本実施形態では、事象データ１２３をテーブル５００として示す。事象データ１２３は、事故事例一件ごとに一つのテーブルを有する。図５において、テーブル５００の各レコードは、一件の情報セキュリティ事故に関する事象一つを記録したデータであり、フィールド５０１、５０２、５０３、５０４、５０５、５０６を有する。ここで、「事象」とは、主に関係者が行った作業や関係者の周りの状態を意味する。

フィールド５０１は、各事象を行った当事者（関係者）を表す。フィールド５０２は、事象の発生した時刻を表す。なお、例えばヒューマンエラー分析支援装置１１０は、時刻の値を登録することができるように、計時機能を備えるタイマを含んでいる。フィールド５０３は、事象の内容（説明）を表す。フィールド５０４は、時系列事象関連図において、当該事象がどの事象とつながるかを表す（つながる次の事象）。時系列事象関連図において、各事象は例えば、有向グラフのノードとして表される。フィールド５０５は、当該事象の当事者が分析者にとって対策可能な関係者かそれとも対策困難な関係者かを表す（対策可／困難；対策可能性フラグ）。フィールド５０５は、フィールド４０２に対応する。フィールド５０６は、当該事象が、乖離ノードであるかどうかを表す（乖離ノード判定結果；乖離事象判定フラグ）。ここで、乖離ノード（乖離事象）とは、前記ノードのうち、本来望ましいとされる作業あるいは状態との乖離がある、または、普段の作業あるいは状況との乖離があるノードを示す。後記する乖離ノード判定により乖離ノードであると判定されれば、フィールド５０６には“ＹＥＳ”という値が登録され、乖離ノードでないと判定されれば“ＮＯ”という値が登録される。乖離ノード判定がされるまではブランクである。

事象データ１２３は前記事故の小分類（フィールド３０４参照）ごとに専門家が分析したサンプル事例のテーブルを予め有する。テーブル５００は、テーブル３００にレコードが追加されるたびに新たに生成され、レコードが追加される。

図６は、乖離ノードデータのデータ構造の一例を示す。本実施形態では、乖離ノードデータ１２４をテーブル６００として示す。乖離ノードデータ１２４は、事故事例一件ごとに一つのテーブルを有する。図６において、テーブル６００の各レコードは、一件の情報セキュリティ事故の乖離ノードの一つを記録したデータであり、フィールド６０１、６０２、６０３、６０４、６０５を有する。

フィールド６０１は、乖離ノード番号を表す。フィールド６０２、６０３、６０４は、それぞれ当事者、時刻、事象の説明を表し、テーブル５００のフィールド５０１、５０２、５０３に対応する。フィールド６０５は、なぜなぜ分析が行われたかどうかを示す分析実施を表す。「なぜなぜ分析」とは、「なぜ」を繰り返しながら、発生している事象の原因を論理的に追究していき、根本的な要因を導くための分析手法である（要因分析）。なお、なぜなぜ分析については、小倉仁志著「なぜなぜ分析１０則」（日科技連出版社、２００９）に詳細に説明されている。分析実施がされればフィールド６０５には“ＹＥＳ”という値が登録され、そうでなければ、つまりなぜなぜ分析がされるまでは“ＮＯ”という値が登録される。

乖離ノードデータ１２４は前記事故の小分類ごとに専門家が分析したサンプル事例のテーブルを予め有する。テーブル６００は、テーブル３００にレコードが追加されるたびに新たに生成され、レコードが追加される。乖離ノード判定結果により乖離ノードであると判定され、フィールド５０６に“ＹＥＳ”という値が登録されたレコード（事象）について、テーブル６００のレコードが追加される。

図７は、背後要因データのデータ構造の一例を示す。本実施形態では、背後要因データ１２５をテーブル７００として示す。背後要因データ１２５は、事故事例一件ごとに一つのテーブルを有する。図７において、テーブル７００の各レコードは、ある一件の情報セキュリティ事故の複数の背後要因の一つを記録したデータであり、フィールド７０１、７０２、７０３、７０４を有する。

フィールド７０１は情報セキュリティ事故が発生する原因となった問題点の分類を表す。フィールド７０２は情報セキュリティ事故が発生する原因となった問題点を表す。フィールド７０３は、フィールド７０２の問題点の背後要因の分類を表す。フィールド７０４は、フィールド７０２の問題点の背後要因を表す。「背後要因」とは、事象を直接的に引き起こした要因またはある背後要因を直接的に引き起こした要因といえる。なお、前記問題点の分類および前記背後要因の分類については後記する。

背後要因データ１２５は前記事故の小分類（フィールド３０４参照）ごとに専門家が分析したサンプル事例のテーブルを予め有する。テーブル７００は、テーブル３００にレコードが追加されるたびに新たに生成され、レコードが追加される。

図８は、根本要因データのデータ構造の一例を示す。本実施形態では、根本要因データ１２６をテーブル８００として示す。根本要因データ１２６は、事故事例一件ごとに一つのテーブルを有する。図８において、テーブル８００の各レコードは、一件の情報セキュリティ事故の根本要因の一つを記録したデータであり、フィールド８０１、８０２、８０３、８０４を有する。「根本要因」とは、当該根本要因に対する背後要因が存在しない背後要因であり、事象の根本的な要因といえる。

フィールド８０１は、根本要因番号を表す。フィールド８０２は、根本要因の分類を表す。本実施形態では根本要因の分類に後述のセキュリティ版のｍ−ＳＨＥＬＬを用いる。フィールド８０３は、根本要因の内容を表す。フィールド８０２、８０３は、テーブル７００のフィールド７０３、７０４に対応する。フィールド８０４は、対策立案が行われたかどうかを表す（対策立案実施）。対策立案が実施されればフィールド８０４には“ＹＥＳ”という値が登録され、実施されなければ“ＮＯ”という値が登録される。

根本要因データ１２６は前記事故の小分類（フィールド３０４参照）ごとに専門家が分析したサンプル事例のテーブルを予め有する。テーブル８００は、テーブル３００にレコードが追加されるたびに新たに生成され、レコードが追加される。

ここで、セキュリティ版ｍ−ＳＨＥＬＬについて説明する。ｍ−ＳＨＥＬＬは電力分野で開発された作業する人間とその周りにある要素を表した概念モデルである。ｍ−ＳＨＥＬＬの詳細は河野龍太郎著「ヒューマンエラーを防ぐ技術」（日本能率マネジメントセンター、２００６）に説明されている。セキュリティ版ｍ−ＳＨＥＬＬは、ｍ−ＳＨＥＬＬモデルをセキュリティ分野に対応させたものであり、作業者とその周りにある要素を、ソフトウェア（マニュアルや手順に問題があった：「Ｓ」）、ハードウェア（操作対象となるシステムに問題があった：「Ｈ」）、環境（業務目標や就労状況に問題があった：「Ｅ」）、周りの人（当事者の周囲の人に問題があった：「Ｌ」）、本人（当事者に問題があった：「Ｌ」）、マネジメント（管理）（業務要件や規則に問題があった：「ｍ」）に分類している。

図９は、対策案データのデータ構造の一例を示す。本実施形態では、対策案データ１２７をテーブル９００として示す。対策案データ１２７は、事故事例一件ごとに一つのテーブルを有する。図９において、テーブル９００の各レコードは、ある一件の情報セキュリティ事故に関する複数の対策案の一つを記録したデータであり、フィールド９０１、９０２、９０３、９０４、９０５を有する。

フィールド９０１、９０２、９０３はそれぞれ、根本要因番号、根本要因の分類、根本要因を表し、テーブル８００のフィールド８０１、８０２、８０３に対応する。フィールド９０４は、フィールド９０３の根本要因に対して４ＳＴＥＰ／Ｍのどの段階（ＳＴＥＰ１〜ＳＴＥＰ４の４段階）でエラーを防ぐ対策かを表す。４ＳＴＥＰ／Ｍについては後述する。なお、フィールド９０４には「１」〜「４」までの値が登録され、それぞれの値は、ＳＴＥＰ１〜ＳＴＥＰ４を意味する。フィールド９０５は、フィールド９０３の根本要因に対する対策案を表す。分析者は、例えば入力装置２０４からフィールド９０５に登録する値、つまり対策案を対策立案の処理（後記）のときに入力する。

対策案データ１２６は前記事故の小分類（フィールド３０４参照）ごとに専門家が分析したサンプル事例のテーブルを予め有する。テーブル９００は、テーブル３００にレコードが追加されるたびに新たに生成され、レコードが追加される。

また、「４ＳＴＥＰ／Ｍ」とは、事故が起きる様子を時間軸で追い、「どの時点で対策を考えるか」というエラー対策を発想する方針を示したものであり、Minimum encounter（エラーを伴う作業を減らす：ＳＴＥＰ１）、Minimum probability（エラーする確率を低減する：ＳＴＥＰ２）、Multiple detection（多重のエラー検出策を設ける：ＳＴＥＰ３）、Minimum damage（エラーに備える：ＳＴＥＰ４）の４つのステップからなる。４ＳＴＥＰ／Ｍの詳細は河野龍太郎著「ヒューマンエラーを防ぐ技術」（日本能率マネジメントセンター、２００６）に説明されている。

図３６Ａ、図３６Ｂは、定義データのデータ構造の一例を示す。本実施形態では、定義データ１１５は、予め定められた事故種別定義テーブル３６００、事故対象定義テーブル３６０１、なぜなぜ分析着眼点定義テーブル（着眼点用定義データ）３６０２、対策方針定義テーブル（対策案用定義データ）３６０３、対策対象定義テーブル（対策案用定義データ）３６０４を有する。

前記事故種別定義テーブル３６００は、事故の大分類、事故の中分類、事故の小分類を表すフィールド３６００ａ、３６００ｂ、３６００ｃで構成される。前記事故対象テーブル３６０１は、事故対象を表すフィールド３６０１ａを有する。前記なぜなぜ分析着眼点定義テーブル３６０２は、着眼点の分類と着眼点の詳細とをそれぞれ表すフィールド３６０２ａと、３６０２ｂとで構成される。前記対策方針定義テーブル３６０３は、４ＳＴＥＰ／Ｍに基づく対策方針を表すフィールド３６０３ａを有する。前記対策対象定義テーブル３６０４は、セキュリティ版ｍ−ＳＨＥＬＬに基づく対策対象を表すフィールド３６０４ａを有する。定義データ１１５の各テーブルは、後述する処理において、出力装置２０５によるインタフェース画面表示に用いる。

次に、図面を用いて本実施形態の処理の詳細を説明する。
図１０は、ヒューマンエラー分析支援システムにおける処理の全体の概要を示すフローチャートである。本実施形態に係る事故分析は大別すると、基本情報入力部１１１による基本情報入力Ｓ１００１、事象整理部１１２による事象整理Ｓ１００２、なぜなぜ分析部１１３によるなぜなぜ分析Ｓ１００３、対策立案部１１４による対策立案Ｓ１００４の４つの処理からなる。本実施形態の処理は、情報セキュリティ事故の分析者がヒューマンエラー分析支援システム１００を起動することにより、開始する。典型的には、セキュリティ事故を起こした当事者により、事故発生後にヒューマンエラー分析支援システム１００が起動される。

〔基本情報入力〕
図１１は、Ｓ１００１において、分析者が、入力装置２０４を用いて、事故の基本情報入力を行うためのインタフェース画面の一例である。
インタフェース１１００は、事故の基本情報を入力するための基本情報入力領域１１０１と、基本情報入力作業を終了するための基本情報入力終了ボタン１１０２とを有する。

基本情報入力領域１１０１はさらに、事故の大分類を入力するための事故大分類入力領域１１０１ａと、事故の中分類を入力するための事故中分類入力領域１１０１ｂと、事故の小分類を入力するための事故小分類入力領域１１０１ｃと、事故対象を入力するための事故対象入力領域１１０１ｄとで構成される。１１０１ａ、１１０１ｂ、１１０１ｃ、１１０１ｄはそれぞれ、複数のチェックボックスを持つ。

分析者は、事故大分類入力領域１１０１ａの複数のチェックボックスの中から一つを選択することができる。また、分析者は、事故中分類入力領域１１０１ｂの複数のチェックボックスの中から、事故大分類入力領域１１０１ａで選択した分類に含まれるチェックボックスを一つ選択することができる。事故小分類入力領域１１０１ｃについても同様に、分析者は、事故小分類入力領域１１０１ｃの複数のチェックボックスの中から、事故中分類入力領域１１０１ｂで選択した分類に含まれるチェックボックスを一つ選択することができる。事故対象入力領域１１０１ｄにおいて、分析者は、複数のチェックボックスの中から一つを選択することができる。

図１２を用いて、基本情報入力Ｓ１００１の処理を説明する。
Ｓ１２０１において、ヒューマンエラー分析支援装置１１０が、前記インタフェース１１００である基本情報入力画面を出力装置２０５に表示する。ここで、インタフェース１１００の１１０１ａ、１１０１ｂ、１１０１ｃにはそれぞれ、定義データ１１５の事故種別定義テーブル３６００のフィールド３６００ａ、３６００ｂ、３６００ｃを、１１０１ｄには事故対象定義テーブル３６０１のフィールド３６０１ａの情報を読み込み、読み込んだ情報を選択肢として表示する。

Ｓ１２０２において、分析者が、前記インタフェース１１００の１１０１ａ、１１０１ｂ、１１０１ｃ、１１０１ｄの該当するチェックボックスを選択して基本情報の入力を行う。
Ｓ１２０３において、分析者が、前記インタフェース１１００の基本情報入力終了ボタン１１０２を選択して入力を終了する。

Ｓ１２０４において、ヒューマンエラー分析支援装置１１０が、Ｓ１２０２において分析者が入力した事故の基本情報を基本情報データ１２１に格納する。具体的にはまず、テーブル３００のフィールド３０１を参照して、最も大きな事故番号Ｎを判定する。次に、Ｓ１２０２で分析者が入力した事故の基本情報に対してＮ＋１を事故番号として与え、新たなレコードをテーブル３００に追加する。インタフェース１１００の１１０１ａ、１１０１ｂ、１１０１ｃ、１１０１ｄで選択された項目はそれぞれ、テーブル３００のフィールド３０２、３０３、３０４、３０５に格納する。さらに、ヒューマンエラー分析支援装置１１０は、関係者データ１２２、事象データ１２３、乖離ノードデータ１２４、背後要因データ１２５、根本要因データ１２６、対策案データ１２７にそれぞれ新たなテーブルを用意する。

以上が、基本情報入力Ｓ１００１の処理である。基本情報入力Ｓ１００１において、事故種別や事故対象選択肢を１１０１ａ、１１０１ｂ、１１０１ｃ、１１０１ｄに表示し、分析者に選択させることにより、後述するなぜなぜ分析Ｓ１００３の際に類似の事例サンプルを表示することによる発想支援が可能になる。

〔事象整理〕
次に、事象整理Ｓ１００２について、図１３を用いて説明する。Ｓ１００２は図１３に示すように、関係者入力部１１２ａによる関係者入力Ｓ１３０１、事象入力部１１２ｂによる事象入力Ｓ１３０２、乖離ノード判定部１１２ｃによる乖離ノード判定Ｓ１３０３の３つの処理からなり、この順番で処理が進行する。

図１４は、関係者入力Ｓ１３０１において、分析者が、入力装置２０４を用いて、事故の関係者入力を行うためのインタフェース画面の一例である。
インタフェース１４００は、分析者が、事故の関係者の情報を入力するための関係者入力領域１４０１と、関係者入力を終了するための関係者入力終了ボタン１４０２とで構成される。

前記関係者入力領域１４０１は、さらに、事故の関係者の名称を入力するための名称入力領域１４０１ａと、前記名称入力領域１４０１ａに入力された関係者が、分析者にとって対策可能な関係者かそれとも対策困難な関係者かを入力するための対策可能／困難入力領域１４０１ｂとで構成される。対策可能／困難入力領域１４０１ｂでは、関係者毎に対策可能と対策困難のうちどちらかをラジオボタンにより選択することができる。

図１５を用いて、関係者入力Ｓ１３０１の処理を説明する。
Ｓ１５０１において、ヒューマンエラー分析支援装置１１０が、前記インタフェース１４００である関係者入力画面を出力装置２０５に表示する。

Ｓ１５０２において、分析者が、入力装置２０４を用いて、インタフェース１４００の名称入力領域１４０１ａと対策可能／困難入力領域１４０１ｂに、該当する情報を関係者情報として入力する。
Ｓ１５０３において、分析者が、入力装置２０４を用いて、インタフェース１４００の関係者入力終了ボタン１４０２を選択して入力を終了する。

Ｓ１５０４において、ヒューマンエラー分析支援装置１１０は、Ｓ１５０２で分析者が入力したデータを関係者データ１２２に格納する。具体的には、ヒューマンエラー分析支援装置１１０が、インタフェース１４００の名称入力領域１４０１ａと、対策可能／困難領域１４０１ｂとを上から順に参照し、入力された関係者情報が存在する場合には、新たなレコードをテーブル４００の最終行に追加する。このとき、名称入力領域１４０１ａのデータをフィールド４０１に、対策可能／困難領域１４０１ｂの情報をフィールド４０２にそれぞれ格納する。

図１６は、事象入力Ｓ１３０２において、分析者が、入力装置２０４を用いて、事故に関わる事象入力を行うためのインタフェース画面の一例である。
インタフェース１６００は、事象の情報を分析者が入力するための事象入力領域１６０１と、前記事象入力領域１６０１に入力した情報を更新するための事象追加ボタン１６０２と、分析者が事象入力を終了するための事象入力終了ボタン１６０３と、時系列事象関連図を表示するための時系列事象関連図表示領域１６０４とで構成される。

前記事象入力領域１６０１は、さらに、事象の当事者を選択するための当事者入力領域１６０１ａと、事象の時刻を入力するための時刻入力領域１６０１ｂと、事象の説明を入力するための事象内容入力領域１６０１ｃと、当該事象の次の事象を入力するための次事象入力領域１６０１ｄとで構成される。当事者入力領域１６０１ａは、関係者情報を入力したことにより表示された関係者の中から一人をラジオボタンにより選択することができる。

前記時系列事象関連図表示領域１６０４は、対策可能と対策困難な関係者を明確に分類するための対策可能範囲表示１６０４ａと、対策困難範囲表示１６０４ｂとを有する。時系列事象関連図では、時系列事象関連図表示領域１６０４の上から下に向かって新しく生じた事象内容を記したブロックが、関係者ごとに時刻とともに配置される。

図１７を用いて、事象入力Ｓ１３０２の処理を説明する。
Ｓ１７０１において、ヒューマンエラー分析支援装置１１０が、前記インタフェース１６００である事象入力画面を出力装置２０５に表示する。ここで、当事者入力領域１６０１ａには、関係者データ１２２のテーブル４００のフィールド４０１、４０２の情報を参照し、対策可能な関係者、対策困難な関係者を別々に列挙する。また、時系列事象関連図領域１６０４には、前記テーブル４００のフィールド４０１の情報を用いて横軸に関係者を配置し、前記テーブル４００のフィールド４０２の情報を用いて対策可能範囲表示１６０４ａおよび対策困難範囲表示１６０４ｂを、例えば破線の枠を用いて描画する。

Ｓ１７０２において、分析者が、インタフェース１６００の事象入力領域１６０１の当事者入力領域１６０１ａ、時刻入力領域１６０１ｂ、事象内容入力領域１６０１ｃ、次事象入力領域１６０１ｄに該当する情報を事象情報として入力する。
Ｓ１７０３において、分析者が、インタフェース１６００の事象追加ボタン１６０２を選択し、事象を追加する。なお、追加する事象がもはや無い場合には、この処理は省略することができる。

Ｓ１７０４において、ヒューマンエラー分析支援装置１１０が、Ｓ１７０２で入力された事象情報をテーブル５００に時系列に格納されるように追加して事象データ５００を更新する。具体的には、ヒューマンエラー分析支援装置１１０は、インタフェース１６００の時刻入力領域１６０１ｂに入力された時刻と、テーブル５００の各レコードのフィールド５０２とを参照することにより、Ｓ１７０２で入力された事象情報をテーブル５００に時系列になるように格納する。ここで、インタフェース１６００の当事者入力領域１６０１ａ、時刻入力領域１６０１ｂ、事象内容入力領域１６０１ｃ、次事象入力領域１６０１ｄに入力されたデータは、前記テーブル５００のフィールド５０１、５０２、５０３、５０４にそれぞれ格納される。また、ヒューマンエラー分析支援装置１１０は、当事者入力領域１６０１ａとテーブル４００のフィールド４０１、４０２を参照して、フィールド５０５に“可能”または“困難”のいずれかの値を格納する。

Ｓ１７０５において、ヒューマンエラー分析支援装置１１０は、時系列事象関連図表示領域１６０４に時系列事象関連図を描画して更新する。具体的にはまず、時系列事象関連図領域１６０４に、前記テーブル４００のフィールド４０１の情報を用いて横軸に関係者を配置し、前記テーブル４００のフィールド４０２の情報を用いて対策可能範囲表示１６０４ａおよび対策困難範囲表示１６０４ｂを、例えば破線の枠を用いて描画する。次に、テーブル５００に格納された事象を描画する。まず、フィールド５０１のデータを用いて事象の横方向の配置、フィールド５０２のデータを用いて縦方向の配置をそれぞれ決定し、フィールド５０３のデータを配置する。次に、フィールド５０４のデータを用いて、次の事象と線を結ぶ。矢印の方向は、原因から結果に向かう方向である。これらの２つの処理をテーブル５００に格納された全ての事象に対して繰り返す。

Ｓ１７０６において、ヒューマンエラー分析支援装置１１０は、分析者が事象入力終了ボタン１６０３を選択したかどうか、つまり事象入力終了を受け付けたか否かを判定する。Ｓ１３０２は、分析者によってインタフェース１６００の事象入力終了ボタン１６０３が選択されることにより、終了する。Ｓ１７０６において、判定結果がＮｏの場合はＳ１７０２へ戻り、Ｙｅｓの場合はＳ１３０２の処理を終了する。

図１８は、乖離ノード判定Ｓ１３０３において、分析者が、入力装置２０４を用いて、乖離ノードの判定結果入力を行うためのインタフェース画面の一例である。
インタフェース１８００は、事象情報を表示し乖離ノード判定結果を入力するための乖離ノード判定情報領域１８０１と、前記時系列事象関連図表示領域１６０４とで構成される。

前記乖離ノード判定情報領域１８０１はさらに、事象の当事者を表示するための当事者表示領域１８０１ａと、事象の時刻を表示するための時刻表示領域１８０１ｂと、事象の内容を表示するための事象表示領域１８０１ｃと、分析者が乖離ノード判定結果を入力するための乖離ノード判定結果入力領域１８０１ｄとで構成される。乖離ノード判定入力領域１８０１ｄでは、ＹＥＳかＮＯのどちらか一方をラジオボタンで選択することができる。

図１９を用いて、Ｓ１３０３の乖離ノード判定の詳細な処理を説明する。乖離ノード判定は、テーブル５００に対策可能な事象として格納された事象（以降、「対策可能事象」と呼ぶ場合がある）に対して行う。

まず、Ｓ１９０１において、ヒューマンエラー分析支援装置１１０が、インタフェース１８００である乖離ノード判定画面を出力装置２０５に表示する。ここで、ヒューマンエラー分析支援装置１１０は、時系列事象関連図表示領域１６０４に時系列事象関連図を描画する。時系列事象関連図の描画方法は前記Ｓ１７０５と同様である。

Ｓ１９０２において、ループ変数ｉを０に初期化する。
Ｓ１９０３において、テーブル５００のｉ行目の事象が、対策可能事象かどうかを判定する。具体的には、ヒューマンエラー分析支援装置１１０が、テーブル５００のｉ行目のフィールド５０５に格納されている値を参照し、格納されている値が“可能”の場合は（Ｓ１９０３でＹｅｓ）、対策可能事象であると判定してＳ１９０４に進み、格納されている値が“困難”の場合は（Ｓ１９０３でＮｏ）、対策可能事象でないと判定してＳ１９１０に進む。

Ｓ１９０４において、ヒューマンエラー分析支援装置１１０は、インタフェース１８００の乖離ノード判定情報領域１８０１に、分析者が乖離ノード判定を行う事象の情報を乖離ノード判定対象として提示する。具体的には、ヒューマンエラー分析支援装置１１０が、テーブル５００のｉ行目のフィールド５０１、５０２、５０３の値を参照し、インタフェース１８００の当事者表示領域１８０１ａ、時刻表示領域１８０１ｂ、事象表示領域１８０１ｃに、それぞれ参照した値を表示する。

Ｓ１９０５において、分析者が、入力装置２０４を用いて、インタフェース１８００の乖離ノード判定結果入力領域１８０１ｄに乖離ノード判定結果（“ＹＥＳ”／“ＮＯ”）を入力する。
Ｓ１９０６において、ヒューマンエラー分析支援装置１１０が、Ｓ１９０５で入力された乖離ノード判定結果をテーブル５００のｉ行目のフィールド５０６に格納して事象データ５００を更新する。具体的には、Ｓ１９０５において、分析者が、乖離ノード判定結果入力領域１８０１ｄのＹＥＳを選択した場合は“ＹＥＳ”を、ＮＯを選択した場合は“ＮＯ”をテーブル５００のｉ行目のフィールド５０６に格納する。

Ｓ１９０７において、ヒューマンエラー分析支援装置１１０は、前記乖離ノード判定結果から対策可能事象が乖離ノードと判定されたか否かを判定する。具体的には、テーブル５００のｉ行目のフィールド５０６を参照し、“ＹＥＳ”が格納されていた場合は（Ｓ１９０７でＹｅｓ）、乖離ノードであると判定してＳ１９０８へ進み、“ＮＯ”が格納されていた場合は（Ｓ１９０７でＮｏ）、乖離ノードでないと判定してＳ１９１０へ進む。

Ｓ１９０８において、ヒューマンエラー分析支援装置１１０は、インタフェース１８００の時系列事象関連図表示領域１６０４に時系列事象関連図を描画して更新する。具体的にはまず、前記テーブル４００を参照し、時系列事象関連図領域１６０４に、横方向に関係者を配置し、さらに対策可能／困難な関係者であるかの枠（破線）を描画する。次に、テーブル５００に格納された事象を描画する。まず、フィールド５０１のデータを用いて事象の横方向の配置、フィールド５０２のデータを用いて縦方向の配置をそれぞれ決定し、フィールド５０３のデータを配置する。なお、乖離ノード判定情報領域１８０１にまさに提示されている事象（フィールド５０３のデータ）については、時系列事象関連図領域１６０４において太枠で囲まれている（図１８参照）。次に、フィールド５０６にＹＥＳが格納されているかどうかを判定し、ＹＥＳが格納されている場合は、配置した事象を示すブロックの右上に乖離ノードであることを示す、例えば丸印を配置する。最後に、フィールド５０４のデータを用いて、次の事象と線を結ぶ。矢印の方向は、原因から結果に向かう方向である。これらの３つの処理をテーブル５００に格納された全ての事象に対して繰り返す。

Ｓ１９０９において、ヒューマンエラー分析支援装置１１０が、Ｓ１９０７で乖離ノードであると判定された事象を、テーブル６００に追加して乖離ノードデータを作成する。具体的には、乖離ノード番号６０１を参照し、最も数字の大きいものをＮとすると、Ｎ＋１を乖離ノード番号として与え、また、この時点ではなぜなぜ分析を行っていないのでフィールド６０５のデータとして“ＮＯ”を与え、テーブル５００のｉ行目のフィールド５０１、５０２、５０３のデータをフィールド６０２、６０３、６０４へそれぞれ格納する。

Ｓ１９１０において、ヒューマンエラー分析支援装置１１０が、ループ変数ｉの値を１増やす。
Ｓ１９１１において、ヒューマンエラー分析支援装置１１０が、ループ変数ｉがＮ未満であるかどうかを判定する。ここで、Ｎはテーブル５００に格納された事象の数を表す。Ｓ１９１１において、ループ変数ｉがＮ未満であると判断された場合は（Ｓ１９１１でＹｅｓ）、Ｓ１９０３に戻り、ループ変数ｉがＮ以上であると判断された場合は（Ｓ１９１１でＮｏ）、Ｓ１３０３の処理を終了する。

以上が、事象整理Ｓ１００２の処理である。関係者入力Ｓ１３０１において、インタフェース１４００の対策可能／困難入力領域１４０１ｂで関係者が分析者にとって対策可能な関係者かそれとも対策困難な関係者かを選択させることにより、事象入力Ｓ１３０２および乖離ノード判定Ｓ１３０３で対策可能な範囲を分析者にわかりやすく表示可能になるとともに、乖離ノード判定Ｓ１３０３で乖離ノード判定を行う事象の中から分析者が分析すべき事象を絞り込むことが可能になる。

〔なぜなぜ分析〕
図２０Ａは、なぜなぜ分析Ｓ１００３において、分析者が、入力装置２０４を用いて、事象整理Ｓ１００２で選別した乖離ノードの背後要因を入力するためのインタフェース画面の一例である。

インタフェース２０００ａは、前記事象整理Ｓ１００２で得られた乖離ノードを表示するための乖離ノード一覧表示領域２００１と、分析者が入力したなぜなぜ分析の結果を表示するためのなぜなぜ分析結果表示領域２００２と、分析者が要因を入力するための入力領域２００３と、なぜなぜ分析の着眼点を表示するなぜなぜ分析発想支援表示領域２００４とで構成される。

入力領域２００３はさらに、分析対象とする乖離ノードあるいは背後要因とそれらの分類を表示するための分析対象表示領域２００３ｂ、分析対象分類表示領域２００３ａと、前記分析対象表示領域２００３ｂに表示された問題点に対する背後要因とその分類を入力するための背後要因入力領域２００３ｄ、背後要因分類入力領域２００３ｃと、入力されたデータを登録するためのＯＫボタン２００３ｅとで構成される。

なぜなぜ分析発想支援表示領域２００４はさらに、なぜなぜ分析を行う上での着眼点を表示するための着眼点表示領域２００４ａと、次の着眼点へと表示を切り替えるための次の着眼点表示ボタン２００４ｂとで構成される。着眼点表示領域２００４ａには、エラーにいたるまでの作業過程（［作業］）、作業を実施するまでの認知的過程（［認知］）、作業者とその周りの環境（［環境］）、のいずれかの着眼点の一覧が表示される。

図２０Ｂは、なぜなぜ分析Ｓ１００３において、なぜなぜ分析の発想を支援するサンプルをなぜなぜ分析サンプルとして表示するインタフェース画面の一例である。
インタフェース２０００ｂは、サンプルにおけるなぜなぜ分析の結果を表示するためのなぜなぜ分析サンプル表示領域２００５で構成される。なぜなぜ分析サンプル表示領域２００５に表示されている一つ一つのブロックは、なぜなぜ分析の分析対象であり、その上段には、分析対象とする乖離ノードあるいは背後要因とそれらの分類が表示され、その下段には、分析対象における事象の内容または問題点が表示される。ある分析対象が他の分析対象の背後要因となるときは、その分析対象から他の分析対象に向かう矢印が描画される。

図２１を用いて、なぜなぜ分析Ｓ１００３の処理全体を説明する。
まず、Ｓ２１０１において、ヒューマンエラー分析支援装置１１０が、インタフェース２０００ａをなぜなぜ分析画面として出力装置２０５に表示する。ここで、ヒューマンエラー分析支援装置１１０は、乖離ノード一覧表示領域２００１にテーブル６００のフィールド６０１、６０２、６０３、６０４の情報を表示する。また、ヒューマンエラー分析支援装置１１０は、なぜなぜ分析着眼点定義テーブル３６０２のフィールド３６０２ａ、３６０２ｂを読み込み、読み込んだなぜなぜ分析着眼点定義テーブル３６０２を着眼点表示領域２００４ａに表示する。

Ｓ２１０２において、ヒューマンエラー分析支援装置１１０が、インタフェース２０００ｂをなぜなぜ分析サンプルとして出力装置２０５にインタフェース２０００ａと並べて表示（サンプル表示）する。具体的には、Ｓ１００１で分析者が入力した事故の基本情報データを用いてテーブル３００を検索し、事故種別の分類ごとに情報セキュリティの専門家が分析した事例サンプルの中から、事故種別の分類（フィールド３０２，３０３，３０４参照）が等しい事例を選出する。次に、背後要因データ１２５中の選出された事例のテーブル７００のレコードを用いて、前記選出した事例の背後要因も選出することで、なぜなぜ分析の実施結果をなぜなぜ分析サンプル表示領域２００５に表示する。なお、事故種別の分類が等しい事例が複数存在すれば、インタフェース２０００ｂになぜなぜ分析サンプルを複数表示することもできる。

Ｓ２１０３において、ヒューマンエラー分析支援装置１１０は、ループ変数ｉを０に初期化する。
Ｓ２１０４において、ヒューマンエラー分析支援装置１１０は、なぜなぜ分析の対象となる乖離ノード（分析対象乖離ノード）を提示する。具体的には、ヒューマンエラー分析支援装置１１０はまず、テーブル６００のフィールド６０５を最終行から順（つまり、時刻が新しい順）に参照し、“ＮＯ”と格納されているレコードを探索する。ｋ行目のフィールド６０５のデータが“ＮＯ”であったとすると、ｋ行目に格納された乖離ノードをなぜなぜ分析の対象として、なぜなぜ分析結果表示領域２００２に表示する。そして、ｋ行目のフィールド６０５のデータを“ＮＯ”から“ＹＥＳ”に変更する。

Ｓ２１０５において、ヒューマンエラー分析支援装置１１０が、Ｓ２１０４でなぜなぜ分析の対象となった乖離ノードに該当する乖離ノード一覧表示領域２００１の領域を更新する。例えば、フィールド６０５のデータが“ＹＥＳ”に変更した乖離ノードをグレー表示にする等し、以降のステップで乖離ノードとして選択されないように変更する（図２０Ａの乖離ノード番号「４」「５」参照）。

Ｓ２１０６において、ヒューマンエラー分析支援装置１１０が、ループ変数ｉの値を１増やす。
Ｓ２１０７、Ｓ２１０８、Ｓ２１０９において、分析者が、乖離ノードに対する種々の背後要因を入力して分析（作業の背後要因分析、認知過程の背後要因分析、根本要因分析）する。Ｓ２１０７、Ｓ２１０８、Ｓ２１０９の詳細は後述する。

Ｓ２１１０において、ヒューマンエラー分析支援装置１１０が、ループ変数ｉがＮ未満であるかを判定する。ここでＮはテーブル６００に格納された乖離ノードの数を表す。Ｓ２１１０において、ループ変数ｉがＮ未満であると判断された場合は（Ｓ２１１０でＹｅｓ）、Ｓ２１０４に戻り、ループ変数ｉがＮ以上であると判断された場合は（Ｓ２１１０でＮｏ）、Ｓ１００３の処理を終了する。

次に、Ｓ２１０７、Ｓ２１０８、Ｓ２１０９の詳細な処理を、図２２Ａ、図２２Ｂ、図２２Ｃを用いて説明する。Ｓ２１０７、Ｓ２１０８、Ｓ２１０９はそれぞれ作業の背後要因分析、認知過程の背後要因分析、根本要因分析についての処理を対象とする。

まず、Ｓ２１０７の作業の背後要因分析の詳細な処理を、図２２Ａを用いて説明する。
Ｓ２２０１において、着眼点表示領域２００４ａを更新する。具体的には、インタフェース２０００ａの着眼点表示領域２００４ａにおいて、エラーにいたるまでの作業過程に対する着眼点を強調表示する（例：太枠化。図２０Ａ参照）。

Ｓ２２０２において、分析者が、入力装置２０４を用いて、インタフェース２０００ａのなぜなぜ分析結果表示領域２００２から分析対象を一つ選択する。ヒューマンエラー分析支援装置１１０は、分析者によって選択された分析対象を読み込み、インタフェース２０００ａの分析対象分類表示領域２００３ａ、分析対象表示領域２００３ｂに、該当するデータ（前記読み込んだ分析対象）を表示する。

Ｓ２２０３において、分析者が、入力装置２０４を用いて、インタフェース２０００ａの背後要因分類入力領域２００３ｃ、背後要因入力領域２００３ｄに、背後要因の分類と背後要因とを入力する。ここで、背後要因の分類は乖離ノードまたはエラーにいたるまでの作業過程に対する着眼点の分類のいずれかを選択することができる。このとき、乖離ノードを選択するときは、例えば、乖離ノード一覧表示領域２００１において、分析対象となっている乖離ノードの番号よりも１小さい番号の乖離ノードを選択する。また、エラーにいたるまでの作業過程に対する着眼点の分類を選択するときは、例えば、着眼点表示領域２００４ａにおいて、所望の分類（具体的には、作業‐１〜作業‐３のうち一つ。図２０Ａ参照）を選択する。

Ｓ２２０４において、ヒューマンエラー分析支援装置１１０は、Ｓ２２０３において分析者が入力した背後要因の情報を背後要因データ１２３に格納して更新する。Ｓ２２０４は、分析者が入力装置２０４を用いて、インタフェース２０００ａのＯＫボタン２００３ｅを選択することにより実行される。分析者によってＯＫボタン２００３ｅが選択されると、ヒューマンエラー分析支援装置１１０はインタフェース２０００ａの分析対象分類表示領域２００３ａ、分析対象表示領域２００３ｂ、背後要因分類入力領域２００３ｃ、背後要因入力領域２００３ｄのデータをそれぞれ、前記テーブル７００のフィールド７０１、７０２、７０３、７０４に新しいレコードとして格納する。

Ｓ２２０５において、ヒューマンエラー分析支援装置１１０が、インタフェース２０００ａの背後要因分類入力領域２００３ｃのデータを参照し、背後要因が乖離ノードと入力されたかどうか、つまり背後要因の分類が乖離ノードであるか否かを判定する。判定結果がＹｅｓの場合は、つまり乖離ノードである場合はＳ２２０６へ、Ｎｏの場合は、つまり乖離ノードでない場合はＳ２２０８へ進む。

Ｓ２２０６において、ヒューマンエラー分析支援装置１１０が、インタフェース２０００ａの乖離ノード一覧表示領域２００１を更新する。具体的には、Ｓ２２０３で分析者が入力した乖離ノード（背後要因となり得る乖離ノード）に該当する領域を、例えばグレー表示にする等し、以降のステップで乖離ノードとして選択されないように変更する。このように変更することで、なぜなぜ分析漏れの乖離ノードの発生を防ぐとともに、なぜなぜ分析済みの乖離ノードが再度なぜなぜ分析されることを防ぐことができる。

Ｓ２２０７において、ヒューマンエラー分析支援装置１１０が、ループ変数ｉの値（図２１参照）を１増やす。
Ｓ２２０８において、ヒューマンエラー分析支援装置１１０が、インタフェース２０００ａのなぜなぜ分析結果表示領域２００２を更新することでなぜなぜ分析結果を更新する。具体的には、Ｓ２２０２において分析者が選択した分析対象の右側に、Ｓ２２０３において分析者が入力した背後要因とその分類をなぜなぜ分析結果表示領域２００２に追加表示し、背後要因から分析対象に向かう矢印を描画する。ここで、同じ分析対象に対する背後要因がすでに表示されている場合は、すでに表示されている背後要因の下に新しい背後要因を表示する。

Ｓ２２０９において、ヒューマンエラー分析支援装置１１０が、サンプルを更新する。Ｓ２２０９の詳細は後述する。
Ｓ２２１０において、ヒューマンエラー分析支援装置１１０が、分析者が次の着眼点表示ボタン２００４ｂを選択したかどうか、つまり次の着眼点表示を受け付けたか否かを判定する。作業の背後要因分析Ｓ２１０７の処理は、分析者がインタフェース２０００ａの次の着眼点表示ボタン２００４ｂを選択することにより終了する。判定結果がＹｅｓの場合はＳ２１０７の処理を終了し、Ｎｏの場合はＳ２２０２へ戻る。

次に、Ｓ２１０８の認知の背後要因分析の詳細な処理を、図２２Ｂを用いて説明する。なお、すでにした説明と重複する説明は、省略する場合がある（他のフローにおいても同様）。
Ｓ２２１１において、着眼点表示領域２００４ａを更新する。具体的には、インタフェース２０００ａの着眼点表示領域２００４ａにおいて、作業を実施するまでの認知的過程に対する着眼点を強調表示する。

Ｓ２２０２は、作業の背後要因分析Ｓ２１０７のＳ２２０２と同じである。
Ｓ２２１２において、分析者が、入力装置２０４を用いて、インタフェース２０００ａの背後要因分類入力領域２００３ｃ、背後要因入力領域２００３ｄに、背後要因の分類と背後要因とを入力する。ここで、背後要因の分類は作業を実施するまでの認知過程に対する着眼点の分類のいずれかを選択することができる。

Ｓ２２０４、Ｓ２２０８、Ｓ２２０９は作業の背後要因分析Ｓ２１０７のＳ２２０４、Ｓ２２０８，Ｓ２２０９と同じである。
Ｓ２２１３において、ヒューマンエラー分析支援装置１１０が、分析者が次の着眼点表示ボタン２００４ｂを選択したかどうか、つまり次の着眼点表示を受け付けたか否かを判定する。認知の背後要因分析Ｓ２１０８の処理は、分析者がインタフェース２０００ａの次の着眼点表示ボタン２００４ｂを選択することにより終了する。判定結果がＹｅｓの場合は認知の背後要因分析Ｓ２１０８の処理を終了し、Ｎｏの場合はＳ２２０２へ戻る。

Ｓ２１０９の根本要因分析の詳細な処理を、図２２Ｃを用いて説明する。
Ｓ２２１４において、着眼点表示領域２００４ａを更新する。具体的には、インタフェース２０００ａの着眼点表示領域２００４ａにおいて、作業者とその周りの環境に対する着眼点を強調表示する。

Ｓ２２０２は、作業の背後要因分析Ｓ２１０７のＳ２２０２と同じである。
Ｓ２２１５において、分析者が、入力装置２０４を用いて、インタフェース２０００ａの背後要因分類入力領域２００３ｃ、背後要因入力領域２００３ｄに、背後要因の分類と背後要因とを、根本要因の分類と根本要因として入力する。ここで、根本要因の分類は作業者とその周りの環境の分類のいずれかを選択することができる。

Ｓ２２０４は作業の背後要因分析Ｓ２１０７のＳ２２０４と同じである。
Ｓ２２１６において、ヒューマンエラー分析支援装置１１０が、根本要因データを格納して更新する。具体的には、ヒューマンエラー分析支援装置１１０が、インタフェース２０００ａの分析対象分類表示領域２００３ａ、分析対象表示領域２００３ｂ、背後要因分類入力領域２００３ｃ、背後要因入力領域２００３ｄを参照し、該当するデータを根本要因データ１２６のテーブル８００に新しいレコードとして格納する。背後要因分類入力領域２００３ｃ、背後要因入力領域２００３ｄのデータは、それぞれフィールド８０２、８０３のデータとして格納される。

Ｓ２２０８、Ｓ２２０９は作業の背後要因分析Ｓ２１０７のＳ２２０８，Ｓ２２０９と同じである。
Ｓ２２１７において、ヒューマンエラー分析支援装置１１０が、分析者が次の着眼点表示ボタン２００４ｂを選択したかどうか、つまり次の着眼点表示を受け付けたか否かを判定する。根本要因分析Ｓ２１０９の処理は、分析者がインタフェース２０００ａの次の着眼点表示ボタン２００４ｂを選択することにより終了する。判定結果がＹｅｓの場合は根本要因分析Ｓ２１０９の処理を終了し、Ｎｏの場合はＳ２２０２へ戻る。

次に、Ｓ２２０９のサンプル更新の詳細な処理について図２３を用いて説明する。このサンプル更新では、Ｓ２１０２のサンプル表示で用いた事故の基本情報に加え、分析者がそれまでの処理で入力した全ての背後要因の情報を用いて、分析者のなぜなぜ分析経過により近いサンプルを表示する。本実施形態では、テーブル７００に格納された乖離ノードおよび背後要因を、乖離ノード、作業の分類、認知過程の分類、環境の分類の４種類に大別し、比較に用いる。

分析中の（現在の）事例を事例Ｘ、Ｓ２１０２でサンプル表示に用いた事例を事例Ｙとすると、まず、Ｓ２３０１において、ヒューマンエラー分析支援装置１１０が、事例Ｘの分析経過と事例Ｙの分析結果に差異がないか（一致するか）否か判定する。具体的には、ヒューマンエラー分析支援装置１１０が、テーブル７００に格納された各レコードを参照して、事例Ｘの各レコードと同じ構造で同じ分類をもつレコードが事例Ｙのテーブル７００に存在するか否か判定する。テーブル７００の全てのレコードに対して、一致するレコードが存在する場合は（Ｓ２３０１でＹｅｓ）、サンプルの更新が不要なため、Ｓ２２０９を終了し、一致するレコードが存在しないレコードがテーブル７００に存在する場合は（Ｓ２３０１でＮｏ）、Ｓ２３０２へ進む。

Ｓ２３０２において、ヒューマンエラー分析支援装置１１０が、ループ変数ｊを１に初期化する。
Ｓ２３０３において、ヒューマンエラー分析支援装置１１０が、基本情報データ１２１の事故番号ｊの基本情報データと事例Ｘの基本情報データとが等しい（一致）かどうか判定する。判定結果がＹｅｓの場合は、Ｓ２３０４へ進み、判定結果がＮｏの場合はＳ２３０６へ進む。

Ｓ２３０４において、ヒューマンエラー分析支援装置１１０が、事例Ｘの分析経過と基本情報データ１２１の事故番号ｊに該当する事例の分析結果に食い違いがないか（一致するか）否か判定する。具体的には、基本情報１２１の事故番号ｊに該当する事例の背後要因テーブルを背後要因データ１２５から読み込み、事例Ｘの背後要因テーブルと比較する。比較の方法は、Ｓ２３０１と同様である。テーブル７００の全てのレコードに対して、構造と分類が一致するレコードが存在する場合は（Ｓ２３０４でＹｅｓ）、Ｓ２３０５へ進み、構造と分類が一致するレコードが存在しないレコードがテーブル７００に存在する場合は（Ｓ２３０４でＮｏ）、Ｓ２３０６へ進む。

Ｓ２３０５において、ヒューマンエラー分析支援装置１１０は、基本情報データ１２１の事故番号ｊに該当する事例の背後要因テーブルを参照して、前記参照した背後要因テーブルからなるなぜなぜ分析結果をインタフェース２０００ｂになぜなぜ分析サンプルとして表示するようにして、サンプルを更新し、Ｓ２２０９を終了する。説明を繰り返すが、このサンプルの更新は、乖離ノード、作業の分類、認知過程の分類、環境の分類の４種類について実行することになる（図２２ＡのＳ２２０９、図２２ＢのＳ２２０９、図２２ＣのＳ２２０９参照）。

Ｓ２３０６において、ヒューマンエラー分析支援装置１１０は、ループ変数ｊを１増やす。
Ｓ２３０７において、ヒューマンエラー分析支援装置１１０は、ｊがＮより小さいかどうかを判定する。ここで、Ｎは基本情報データ１２１に格納されているレコードの数を表す。判定結果がＹｅｓの場合はＳ２３０３へ戻り、判定結果がＮｏの場合はＳ２２０９を終了する。

以上がなぜなぜ分析Ｓ１００３の処理である。Ｓ１００３において、事象の時刻が新しい乖離ノードをなぜなぜ分析対象として表示することで、分析者が効率よく分析することが可能になる。複数の事象を経て事故が発生しているとき、時刻が新しい事象は時刻が古い事象を受けて起きた事象、つまり、古い事象が新しい事象の背後要因になっている場合がある。時刻が新しい乖離ノードを分析対象として提示することで、時刻が古い乖離ノードを背後要因としてとらえやすくなるという効果がある。

また、作業の背後要因、認知の背後要因、環境の背後要因を分析者に順番に提示し、背後要因を入力させることで、分析者が背後要因を抜けもれなく、容易に発想することを支援する。
さらに、分析者が入力した背後要因データにあわせてサンプル事例を提示することで、分析者が抜けもれなく、容易に背後要因を発想することを支援する。

〔対策立案〕
図２４は、Ｓ１００４において、入力装置２０４を用いて、対策案を入力して対策立案するためのインタフェース画面の一例である。

インタフェース２４００は、前記なぜなぜ分析Ｓ１００３で得られた根本要因データ一覧を表示するための根本要因表示領域２４０１と、分析者が立案した対策を入力し一覧表示するための対策案表示領域２４０２と、分析者が次のステップへ進むための選択ボタン２４０３とで構成される。

前記根本要因表示領域２４０１はさらに、根本要因番号表示領域２４０１ａと、根本要因分類表示領域２４０１ｂと、根本要因表示領域２４０１ｃとで構成される。
対策案表示領域２４０２はさらに４ＳＴＥＰ／Ｍ表示領域２４０２ａと、ｍ−ＳＨＥＬＬ表示領域２４０２ｂと、分析者が対策を入力するための対策入力領域２４０２ｃとで構成される。

図２５を用いて、対策立案Ｓ１００４の詳細な処理を説明する。
Ｓ２５０１において、ヒューマンエラー分析支援装置１１０が、インタフェース２４００を対策立案画面として出力装置２０５へ表示する。ここで、ヒューマンエラー分析支援装置１１０は、根本要因データ１２６のテーブル８００のレコードを参照し、フィールド８０１、８０２、８０３の情報を根本要因表示領域２４０１の根本要因番号表示領域２４０１ａ、根本要因分類表示領域２４０１ｂ、根本要因表示領域２４０１ｃに、それぞれ表示する。また、定義データ１１５の対策方針定義テーブル３６０３のフィールド３６０３ａと、対策対象定義テーブル３６０４のフィールド３６０４ａを読み込み、それぞれ対策案表示領域２４０２の４ＳＴＥＰ／Ｍ表示領域２４０２ａ、ｍ−ＳＨＥＬＬ表示領域２４０２ｂへ表示する。

Ｓ２５０２において、ヒューマンエラー分析支援装置１１０が、ループ変数ｊを０に初期化する。
Ｓ２５０３において、分析者が、入力装置２０４を用いて、根本要因表示領域２４０１の中から根本要因を一つ選択する。

Ｓ２５０４において、ヒューマンエラー分析支援装置１１０が、分析者が選択した根本要因を根本要因表示領域２４０１において、色づけなどにより強調表示して根本要因表示領域２４０１を更新する（図２４の根本要因表示領域２４０１における、根本要因番号表示領域２４０１ａの根本要因番号が「１」のレコードを参照）。
Ｓ２５０５において、ヒューマンエラー分析支援装置１１０が、ループ変数ｉを１に初期化する。

Ｓ２５０６において、ヒューマンエラー分析支援装置１１０が、入力箇所を対策案一覧表示領域２４０２で強調表示して対策立案表示領域２４０２を更新する。具体的には、インタフェース２４００の４ＳＴＥＰ／Ｍ表示領域２４０２ａではＳＴＥＰｉの領域を強調表示し（図２４の４ＳＴＥＰ／Ｍ表示領域２４０２ａが「ＳＴＥＰ１」のレコードを参照）、ｍ−ＳＨＥＬＬ表示領域２４０２ｂと対策入力領域２４０２ｃではＳＴＥＰｉの中の分析者がＳ２５０４において選択した根本要因のｍ−ＳＨＥＬＬの区分と同じ領域（根本要因分類表示領域２４０１ｂに入力された値を含むｍ−ＳＨＥＬＬの区分）を入力箇所として強調表示する（図２４のｍ−ＳＨＥＬＬ表示領域２４０２ｂが「Ｅ：業務目標、就労条件」のレコードを参照）。

Ｓ２５０７において、ヒューマンエラー分析支援装置１１０が、次のステップへ進むという入力を受け付けたかどうか、つまり選択ボタン２４０３を押して次のステップを選択したか否かを判定する。分析者が、インタフェース２４００の次のステップへ進むための選択ボタン２４０３を押して入力を受け付けた場合には（Ｓ２５０７でＹｅｓ）、Ｓ２５１０へ進み、入力を受け付けていない場合には（Ｓ２５０７でＮｏ）、Ｓ２５０８へ進む。

Ｓ２５０８において、分析者が、例えば入力装置２０４を用いて、前記強調表示された領域（対策入力領域２４０２ｃの該当領域）に対策案を入力する。
Ｓ２５０９において、分析者が、Ｓ２５０８で入力された対策案を含む情報を対策案データ１２７に格納して更新する。具体的には、Ｓ２５０４において分析者が選択した根本要因番号と、根本要因の分類と、根本要因と、Ｓ２５０８で分析者が入力した際のｉ（４ＳＴＥＰ／ＭのＳＴＥＰｉ）と、入力した対策案とをそれぞれフィールド９０１、９０２、９０３、９０４、９０５へ新しいレコードとして格納する。Ｓ２５０９において対策案データ１２７の更新を終えたら、Ｓ２５０７へ戻る。

Ｓ２５１０において、ヒューマンエラー分析支援装置１１０はループ変数ｉを１増やす。
Ｓ２５１１において、ヒューマンエラー分析支援装置１１０は、ループ変数ｉが４より大きいかどうか判定する。ｉが４よりも大きいときは（Ｓ２５１１でＹｅｓ）Ｓ２５１２へ進む。ｉが４以下の場合は（Ｓ２５１１でＮｏ）Ｓ２５０６へ戻り、４ＳＴＥＰ／Ｍの次のＳＴＥＰについてＳ２５０６〜Ｓ２５１０の処理を実行する。結果的に、ＳＴＥＰ１〜ＳＴＥＰ４まで順番にｍ−ＳＨＥＬＬの該当区分の対策案を入力することになる。

Ｓ２５１２において、ヒューマンエラー分析支援装置１１０が、ループ変数ｊを１増やす。
Ｓ２５１３において、ヒューマンエラー分析支援装置１１０が、ループ変数ｊがＮより小さいかどうかを判定する。ここで、Ｎは根本要因の数（根本要因表示領域２４０１に表示されているレコード数）を表す。判定結果がＹｅｓの場合はＳ２５０３へ戻り、次の根本要因についてＳ２５０３〜Ｓ２５１３の処理を実行する。一方、前記判定結果がＮｏの場合はＳ１００４の処理を終了する。

以上が、対策立案Ｓ１００４の処理である。対策立案Ｓ１００４において、分析者に対策戦略に則って対策立案すべき箇所を提示することにより、抜けもれない対策立案を支援する。また、分析者が選択した根本要因に合わせて対策立案すべき箇所を提示することにより、分析者が必要な箇所に対して効率よく対策立案を行うことを支援する。

本実施形態によれば、Ｓ１００１において分析者に対策可能な事象を定義させることにより、Ｓ１００２において、乖離ノードの判定を行う事象を絞り込みさせ、必要な分析箇所に対して分析を行うことを支援する。また、Ｓ１００３において時刻の新しい乖離ノードから順になぜなぜ分析対象として提示することにより、手戻りすることなく、効率的になぜなぜ分析を行うことを支援する。さらに、Ｓ１００３において、分析者が発想を支援するための発想手順と背後要因分類と、分析者によって入力された背後要因のデータをもとに類似したサンプル分析結果とを提示することにより、分析者が抜けもれなく、容易になぜなぜ分析を行うことを支援する。また、Ｓ１００４において、分析者が選択した根本要因に合わせて、対策立案すべき箇所を対策戦略に則り提示することにより、分析者が必要な箇所に対して抜けもれなくかつ効率よく対策立案を行うことを支援する。

以上のことから、情報セキュリティの分野の専門家でない分析者が、対策可能な事象について容易かつ抜けもれなく要因を分析し、対策を立案することが期待できる。ひいては、対策可能な事象に対してヒューマンエラーの根本要因の分析を容易かつ網羅的に行うことで合理的な対策案の立案が可能となる。合理的な対策を実施することで、情報セキュリティにおけるヒューマンエラーの再発防止に高い効果を期待できる。

≪実施形態２≫
実施形態２として、報告された分析結果を用いて事例を再分析するヒューマンエラー管理システムの全体構成を、図２６等を用いて説明する。

実施形態２は、例えば、所属する部内を対策可能範囲と判断してヒューマンエラー分析を実施した分析者が、分析結果を分析者の所属する事業部や会社のセキュリティの取りまとめ部署等に報告することで、対策可能な関係者の範囲を広げた再分析を上の組織や専門家が実施することを想定している。

ヒューマンエラー管理システム２６００は、ヒューマンエラー分析支援装置１１０と、事故事例ＤＢ１２０と、ヒューマンエラー再分析支援装置２６１０とで構成される。実施形態１と同様に、これらは通信媒体（ネットワークまたはネットワークを伝播するデジタル信号や搬送波）を介して接続される。ヒューマンエラー分析装置１１０および事故事例ＤＢ１２０の概要構成は実施形態１と同様である。

ヒューマンエラー再分析支援装置２６１０は、事例選択部２６１１と、事象整理部２６１２と、なぜなぜ分析部２６１３と、対策立案部２６１４と、定義データ２６１５とを含む。ヒューマンエラー再分析支援装置２６１０において、事例選択部２６１１と、事象整理部２６１２と、なぜなぜ分析部２６１３と、対策立案部２６１４は、例えば図２に示すメモリまたはストレージに備えられる。また、定義データ２６１５は、例えば図２に示すストレージに格納される。事象整理部２６１２は、関係者入力部２６１２ａと、乖離ノード判定部２６１２ｃとを含む。また、なぜなぜ分析部２６１３はサンプル表示部２６１３ａを含む。

事象整理部２６１２と、なぜなぜ分析部２６１３と、対策立案部２６１４は、それぞれ事象整理部１１２と、なぜなぜ分析部１１３と、対策立案部１１４と同等の機能を有する。また、関係者入力部２６１２ａと、乖離ノード判定部２６１２ｃ、サンプル表示部２６１３ａは、それぞれ関係者入力部１１２ａと、乖離ノード判定部１１２ｃ、サンプル表示部１１３ａと同等の機能を有する。定義データ２６１５は、定義データ１１５と同等の機能を有する。実施形態２を行うときに、実施形態１と相違する点は、再分析を行うことに起因するものであるが、詳細は、後記する処理の説明において併せて説明する。

次に図面を用いて実施形態２の処理を説明する。
図２７は、ヒューマンエラー管理システムにおける処理の全体の概要を示すフローチャートである。実施形態２の処理は分析者がヒューマンエラー管理システム２６００を起動することにより開始される。

まず、Ｓ２７０１において、分析者が、例えば入力装置２０４から、新しい事例の分析を行うか、事例の再分析を行うかを選択する（この選択に要するインタフェースの図示省略）。新事例の分析を選択した場合は（Ｓ２７０１で「新事例の分析を選択」）、実施形態１で説明したＳ１００１、Ｓ１００２、Ｓ１００３、Ｓ１００４の処理を行う。事例の再分析を選択した場合は（Ｓ２７０１で「事例の再分析を選択」）、事例選択Ｓ２７０２、事象整理Ｓ２７０３、なぜなぜ分析Ｓ２７０４、対策立案Ｓ２７０５の処理を順に行う。

図２８は、事例選択Ｓ２７０２において、分析者が、入力装置２０４を用いて、再分析をするための事例選択を行うためのインタフェース画面の一例である。
インタフェース２８００は、再分析可能な事例を表示するための再分析対象事例表示領域２８０１と、分析者が再分析を開始するための再分析開始ボタン２８０２とで構成される。
再分析対象事例表示領域２８０１はさらに、事例選択領域２８０１ａと、事故種別事故対象表示領域２８０１ｂと、事故関係者表示領域２８０１ｃとで構成される。

図２９を用いて、事例選択Ｓ２７０２の処理を説明する。
Ｓ２９０１において、ヒューマンエラー再分析支援装置２６１０が、出力装置２０５にインタフェース２８００を事例選択画面として表示する。ここで、ヒューマンエラー再分析支援装置２６１０は、事故種別事故対象表示領域２８０１ｂに、基本情報データ１２１のテーブル３００のフィールド３０２、３０３、３０４のデータを表示する。また、ヒューマンエラー再分析支援装置２６１０は、事故関係者表示領域２８０１ｃに関係者データ１２２のテーブル４００のフィールド４０１、４０２のデータを表示する。

Ｓ２９０２において、分析者が、例えば入力装置２０４を用いて、再分析対象事例表示領域２８０１の中から再分析する事例選択領域２８０１ａのチェックボックスを選択し、再分析用の事例選択を行う。
Ｓ２９０３において、分析者が、例えば入力装置２０４を用いて、インタフェース２８００の再分析開始ボタン２８０２を選択する。

Ｓ２９０４において、ヒューマンエラー再分析支援装置２６１０が、事故事例ＤＢ１２０中の関係者データ１２２、事象データ１２３、乖離ノードデータ１２４、背後要因データ１２５、根本要因データ１２６、対策案データ１２７を参照し、Ｓ２９０２で分析者が選択した事例のテーブルのコピー（データテーブル）をそれぞれ新たに作成する。
以上で、Ｓ２７０２の処理が終了する。

次に、事象整理Ｓ２７０３について図３０を用いて説明する。事象整理Ｓ２７０３は、関係者入力部２６１２ａによる事故関係者の対策可能／困難変更Ｓ３００１、乖離ノード判定部２６１２ｃによる乖離ノード判定Ｓ３００２の二つの処理からなり、この順番で処理が進行する。

図３１は、事故関係者の対策可能／困難変更Ｓ３００１において、分析者が、入力装置２０４を用いて、事故関係者の対策可能／困難変更を行うためのインタフェースの一例である。
インタフェース３１００は、事故の関係者の対策可能／困難を選択するための対策可能範囲選択領域３１０１と、対策可能／困難の変更を終了するための変更決定ボタン３１０２と、再分析前の時系列事象関連図を表示するための時系列事象関連図表示領域３１０３とで構成される。対策可能範囲選択領域３１０１では、事故の関係者毎に対策可能と対策困難のうちどちらかをラジオボタンにより選択することができる。

図３２を用いて、事故関係者の対策可能／困難変更Ｓ３００１の処理を説明する。
Ｓ３２０１において、ヒューマンエラー再分析支援装置２６１０が、インタフェース３１００を関係者変更画面として出力装置２０５に表示する。ここで、ヒューマンエラー再分析支援装置２６１０は、インタフェース３１００の対策可能範囲選択領域３１０１と時系列事象関連図表示領域３１０３とに、Ｓ２９０４で新たに作成されたテーブル４００の関係者データ１２２と、テーブル５００の事象データ１２３を用いた時系列事象関連図とをそれぞれ表示する。時系列事象関連図の描画方法は実施形態１のＳ１９０８と同様である。

Ｓ３２０２において、分析者が、入力装置２０４を用いて、対策可能範囲選択領域３１０１で対策可能な関係者の変更を入力する（対策可能／困難選択）。
Ｓ３２０３において、分析者が、入力装置２０４を用いて、変更決定ボタン３１０２を選択して変更内容を決定する。

Ｓ３２０４において、ヒューマンエラー再分析支援装置２６１０が、テーブル４００の関係者データ１２２と対策可能範囲選択領域３１０１の選択結果とを比較し、変更がある場合は、テーブル４００のフィールド４０２を更新するとともに、フィールド４０１のデータを、例えばメモリ２０３に記録（格納）する。

Ｓ３２０５において、ヒューマンエラー再分析支援装置２６１０が、テーブル５００を更新する。具体的には、Ｓ３２０２で対策可能／困難が変更になった関係者を、例えばメモリ２０３に格納された情報（つまり、関係者データ１２２）を用いて探索し、該当する関係者のフィールド５０５を“困難”から“可能” （またはその逆）に変更する。
以上で、Ｓ３００１の処理が終了する。

図３３を用いて、乖離ノード判定Ｓ３００２の処理を説明する。
Ｓ１９０１、Ｓ１９０２は実施形態１で説明の通りである。

Ｓ３３０１において、当事者が新たに対策可能になった関係者の事象に対して、乖離ノード判定を行う。具体的には、ヒューマンエラー再分析支援装置２６１０が、テーブル５００のフィールド５０５、５０６を参照し、フィールド５０５が“可能”かつフィールド５０６にデータが入っていない（ブランク）、という条件を満たすかどうかを判定する。条件を満たす場合は（Ｓ３３０１でＹｅｓ）Ｓ１９０４へ進み、条件を満たさない場合は（Ｓ３３０１でＮｏ）Ｓ１９１０へ進む。

Ｓ１９０４、Ｓ１９０５、Ｓ１９０６、Ｓ１９０７、Ｓ１９０８、Ｓ１９０９、Ｓ１９１０、Ｓ１９１１は実施形態１で説明の通りである。
以上で、Ｓ３００２の処理が終了する。

図３４を用いて、なぜなぜ分析Ｓ２７０４の処理を説明する。
Ｓ３４０１において、ヒューマンエラー再分析支援装置２６１０がインタフェース２０００ａをなぜなぜ分析画面として出力装置２０５に表示する。ここで、ヒューマンエラー再分析支援装置２６１０は、乖離ノード一覧表示領域２００１にテーブル６００のフィールド６０１、６０２、６０３、６０４の情報を表示する。また、なぜなぜ分析結果表示領域２００２に、Ｓ２９０４で新たに作成されたテーブル７００の情報を用いて、再分析前のなぜなぜ分析結果を表示する。さらに、なぜなぜ分析着眼点定義データ３６０２のフィールド３６０２ａ、３６０２ｂを読み込み、読み込んだなぜなぜ分析着眼点定義テーブル３６０２を着眼点表示領域２００４ａに表示する。

Ｓ３４０２において、ヒューマンエラー再分析支援装置２６１０が、インタフェース２０００ｂをなぜなぜ分析サンプルとして出力装置２０５に表示する（サンプル表示）。具体的には、Ｓ２７０２で分析者が選択した事故の基本情報データを用いてテーブル３００を検索し、事故種別の分類ごとに情報セキュリティの専門家が分析した事例サンプルの中から、事故種別の分類（フィールド３０２，３０３，３０４参照）が等しい事例を選出する。次に、背後要因データ１２５中の選出された事例のテーブル７００のレコードを用いて、前記選出した事例の背後要因も選出することで、なぜなぜ分析の実施結果をなぜなぜ分析サンプル表示領域２００５に表示する。なお、事故種別の分類が等しい事例が複数存在すれば、インタフェース２０００ｂになぜなぜ分析サンプルを複数表示することもできる。

Ｓ３４０３において、ヒューマンエラー再分析支援装置２６１０が、Ｓ３００２で新しく乖離ノードと判定された乖離ノード数を分析が必要な乖離ノード数としてカウントする。
Ｓ２１０３、Ｓ２１０４、Ｓ２１０５、Ｓ２１０６、Ｓ２１０７、Ｓ２１０８、Ｓ２１０９の処理は実施形態１で説明の通りである。

Ｓ３４０４において、ヒューマンエラー再分析支援装置２６１０が、ループ変数ｉがＭ未満であるかを判定する。ここでＭはＳ３４０３でカウントして新しく乖離ノードと判定された乖離ノード数を表す。Ｓ３４０４において、ループ変数ｉがＭ未満であると判断された場合は（Ｓ３４０４でＹｅｓ）、Ｓ２１０４に戻り、ループ変数ｉがＭ以上であると判断された場合は（Ｓ３４０４でＮｏ）、Ｓ２７０４の処理を終了する。
以上で、Ｓ２７０４の処理が終了する。

図３５を用いて、対策立案Ｓ２７０５の処理を説明する。
Ｓ３５０１において、ヒューマンエラー再分析支援装置２６１０が、インタフェース２４００を対策立案画面として出力装置２０５に表示する。このとき、根本要因表示領域２４０１の根本要因番号表示領域２４０１ａ、根本要因分類表示領域２４０１ｂ、根本要因表示領域２４０１ｃに、根本要因データのフィールド８０１、８０２、８０３の情報をそれぞれ表示する。また、定義データ１１５の対策方針定義テーブル３６０３のフィールド３６０３ａと、対策対象定義テーブル３６０４のフィールド３６０３ｂを読み込み、対策案表示領域２４０２の４ＳＴＥＰ／Ｍ表示領域２４０２ａ、ｍ−ＳＨＥＬＬ表示領域２４０２ｂへ表示する。さらに、対策案データ１２７のテーブル９００のフィールド９０２、９０４、９０５のデータを用いて、再分析前の対策案を対策入力領域２４０２ｃに表示する。

Ｓ２５０２、Ｓ２５０３、Ｓ２５０４、Ｓ２５０５は、実施形態１で説明の通りである。

Ｓ３５０２において、ヒューマンエラー再分析支援装置２６１０が、対策立案表示領域２４０２の表示を更新する。具体的には、ヒューマンエラー再分析支援装置２６１０はまず、対策案データ１２７のテーブル９００のフィールド９０１を探索し、Ｓ２５０３で分析者が選択した根本要因番号と一致するレコードが存在する場合には、対策立案表示領域２４０２の該当領域を強調表示する。つまり、インタフェース２４００の４ＳＴＥＰ／Ｍ表示領域２４０２ａではＳＴＥＰｉの領域を強調表示し、ｍ−ＳＨＥＬＬ表示領域２４０２ｂと対策立案表示領域２４０２ｃではＳＴＥＰｉの中の分析者がＳ２５０４において選択した根本要因のｍ−ＳＨＥＬＬの区分と同じ領域（根本要因分類表示領域２４０１ｂに入力された値を含むｍ−ＳＨＥＬＬの区分）を入力箇所として強調表示する。また、強調表示したＳＴＥＰｉの領域およびｍ−ＳＨＥＬＬの区分の領域に対応する対策立案表示領域２４０２ｃの該当領域も強調表示する。

Ｓ２５０７、Ｓ２５０８、Ｓ２５０９、Ｓ２５１０、Ｓ２５１１、Ｓ２５１２、Ｓ２５１３は、実施形態１で説明の通りである。
以上で、Ｓ２７０５の処理が終了する。

本実施形態によれば、Ｓ２７０２において、再分析前の関係者の対策可能／困難を示す情報（つまり、関係者データ１２２）を変更することで、新たな関係者への分析を可能にする。さらにＳ２７０２において新たに対策可能となった関係者の事象を乖離ノード判定し、新たに乖離ノードと判定された事象に対してなぜなぜ分析を行い、なぜなぜ分析の結果、新たに得られた根本要因に対する対策を立案することにより、より深い分析が可能になる。

以上のことから、情報セキュリティの分野の専門家でない分析者が分析した結果について、一般的にはより広い範囲に亘って関係者を対策可能とすることで、幅広く、かつ、深い分析が可能になることが期待できる。

なお、前記した実施形態は、本発明を実施するための好適なものであるが、その実施形式はこれらに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形することが可能である。

例えば、本実施形態では、関係者データ１２２を設けて事故ごとに、関係者が対策可能であるか対策困難であるかを設定するようにした。しかし、事故ごとではなく、事象ごとにこの設定を行うように処理することができる。例えば、事象データ１２３のテーブル５００において（図５参照）、フィールド５０１に登録される当事者が同じであっても、フィールド５０５に登録される値（“可能”／“困難”）は異なるように設定しても良い。

また、本実施形態では再分析を行う際、事故の関係者の対策可能／困難を変更するように選択する場合について説明した（図３１等参照）。しかし、前記再分析を行うときには、例えば、関係者そのものを追加、変更、削除等しても良い。

また、本実施形態では、乖離ノードの判定を、事象が乖離ノードである、または乖離ノードでないという２値で行った。しかし、例えば、定義データ１１５に事象の乖離性を決定するテーブルを備え、そのテーブルに基づいて、事象の乖離度を決定するようにして前記乖離ノードの判定を行うようにしても良い。決定した乖離度は、例えば、フィールド５０６に登録される。前記乖離度が記憶部に記憶された所定値以上となる事象を乖離ノードとみなし、なぜなぜ分析や対策立案を行うように処理しても良い。
前記テーブルには、事象の内容を特徴付けるキーワードと、そのキーワードに対応する点数が対応付けられており、フィールド５０３に登録されている事象の説明に含まれる文章において、前記キーワードが含まれていれば、そのキーワードに対応する点数を加算（他の演算でも良い）し、加算したときの合計値を前記乖離度としても良い。前記加算において、所定の重み付けを行っても良い。

その他、ハードウェア、ソフトウェア、データベース、各フローチャート等の具体的な構成について、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

１００ ヒューマンエラー分析支援システム
１１０ ヒューマンエラー分析支援装置
１１１ 基本情報入力部
１１２ 事象整理部
１１２ａ 関係者入力部
１１２ｂ 事象入力部
１１２ｃ 乖離ノード判定部
１１３ なぜなぜ分析部
１１３ａ サンプル表示部
１１４ 対策立案部
１１５ 定義データ
１２０ 事故事例ＤＢ
１２１ 基本情報データ
１２２ 関係者データ
１２３ 事象データ
１２４ 乖離ノードデータ
１２５ 背後要因データ
１２６ 根本要因データ
１２７ 対策案データ
２０１ ＣＰＵ（制御部）
２０２ ストレージ（記憶部）
２０３ メモリ（記憶部）
２０４ 入力装置（入力部）
２０５ 出力装置（表示部）
２０６ 通信装置
２０７ 内部通信線

Claims (7)

1. 情報セキュリティの事故におけるヒューマンエラーの分析支援を行うヒューマンエラー分析支援システムにおいて、
   前記事故の種別と、前記事故の対象とを含む事故の基本情報と、
   前記事故において生じた１以上の事象において、前記事象が生じる要因となる背後要因を特定するときの着眼点、および前記背後要因が生じる根本的な要因となる根本要因を特定するときの着眼点を定義する着眼点用定義データと、
   前記根本要因に対する対策案の形式を定義する対策案用定義データと、を記憶する記憶部を備え、
   入力部が受け付けた入力により、前記事故について前記事象ごとに、前記事象に関わった関係者と、前記事象の内容と、前記関係者による事故の対策の可能性を示す対策可能性フラグと、前記対策可能性フラグが当該関係者による事故の対策を可能とすることを示す事象が乖離事象であるか否かを示す乖離事象判定フラグとを含む事象データを特定する制御と、
   前記入力部が受け付けた入力により、前記乖離事象判定フラグが乖離事象であることを示す事象について、別の乖離事象または前記着眼点用定義データにより定義された着眼点に基づいて定める１以上の要因の少なくとも一方を前記背後要因として特定するとともに、前記着眼点用定義データにより定義された着眼点に基づいて定める１以上の要因を前記根本要因として特定する要因分析をする制御と、
   前記入力部が受け付けた入力により、前記要因分析で特定した根本要因について、前記対策案用定義データにより定義された形式にしたがった対策案を特定する制御と、を実行する制御部を備える
   ことを特徴とするヒューマンエラー分析支援システム。
2. 前記制御部は、
   前記入力部が受け付けた入力により、前記事故について前記事象ごとに、前記事象が生じた時刻を含む前記事象データを特定する制御と、
   表示部において、前記事象データが含む時刻に基づいて前記乖離事象を時刻の新しい順に表示する制御と、を実行する
   ことを特徴とする請求項１に記載のヒューマンエラー分析支援システム。
3. 前記制御部は、
   前記入力部から前記背後要因および前記根本要因を特定する入力を受け付ける際、表示部において、前記背後要因または前記根本要因を特定した乖離事象を強調表示する制御、を実行する
   ことを特徴とする請求項１に記載のヒューマンエラー分析支援システム。
4. 前記制御部は、
   前記入力部から前記対策案を特定する入力を受け付ける際、表示部において、前記根本要因を特定したときに用いられた前記着眼点に対応する入力欄を強調表示する制御、を実行する
   ことを特徴とする請求項１に記載のヒューマンエラー分析支援システム。
5. 前記記憶部は、
   前記対策案を特定した過去の事故について、前記背後要因および前記根本要因を特定したときの前記要因分析の分析結果を記憶しており、
   前記制御部は、
   前記要因分析をする事故に対し、前記基本情報に含まれる前記事故の種別と、前記事故の対象とが同じである事故のうち、前記入力部が受け付けた入力により特定した背後要因および根本要因が共通する事故の前記分析結果を前記記憶部から読み出し、前記読み出した分析結果を表示部に表示する制御、を実行する
   ことを特徴とする請求項１に記載のヒューマンエラー分析支援システム。
6. 前記制御部は、
   前記入力部が受け付けた入力により、前記対策案を特定した後において、前記事象データに含まれる前記関係者と、前記対策可能性フラグが示す値とを変更することにより、前記乖離事象判定フラグが示す値を変更する制御と、
   前記入力部が受け付けた入力により、前記乖離事象判定フラグが示す値を変更したことにより新たに乖離事象であると示された事象について、前記要因分析をする制御と、
   前記入力部が受け付けた入力により、前記要因分析で新たに特定した根本要因について、前記対策案を特定する制御と、を実行する
   ことを特徴とする請求項１から請求項５のいずれかに記載のヒューマンエラー分析支援システム。
7. 情報セキュリティの事故におけるヒューマンエラーの分析支援を行うヒューマンエラー分析支援システムにおけるヒューマンエラー分析支援方法において、
   前記ヒューマンエラー分析支援システムの記憶部は、
   前記事故の種別と、前記事故の対象とを含む事故の基本情報と、
   前記事故において生じた１以上の事象において、前記事象が生じる要因となる背後要因を特定するときの着眼点、および前記背後要因が生じる根本的な要因となる根本要因を特定するときの着眼点を定義する着眼点用定義データと、
   前記根本要因に対する対策案の形式を定義する対策案用定義データと、を記憶しており、
   前記ヒューマンエラー分析支援システムの制御部は、
   入力部が受け付けた入力により、前記事故について前記事象ごとに、前記事象に関わった関係者と、前記事象の内容と、前記関係者による事故の対策の可能性を示す対策可能性フラグと、前記対策可能性フラグが当該関係者による事故の対策を可能とすることを示す事象が乖離事象であるか否かを示す乖離事象判定フラグとを含む事象データを特定するステップと、
   前記入力部が受け付けた入力により、前記乖離事象判定フラグが乖離事象であることを示す事象について、別の乖離事象または前記着眼点用定義データにより定義された着眼点に基づいて定める１以上の要因の少なくとも一方を前記背後要因として特定するとともに、前記着眼点用定義データにより定義された着眼点に基づいて定める１以上の要因を前記根本要因として特定する要因分析をするステップと、
   前記入力部が受け付けた入力により、前記要因分析で特定した根本要因について、前記対策案用定義データにより定義された形式にしたがった対策案を特定するステップと、を実行する
   ことを特徴とするヒューマンエラー分析支援方法。

Images