予想不可能なリスクへの対処，リスク管理と危機管理，そしてソニーのPSN問題

H.Torii @torii_h

以下私の考えを書きますが非常に長いのでご容赦を。(cont) RT @ProfMatsuoka ソニーの流出事件。「閉じたシステム」の安全性を過信する余り安全対策が一部緩く、そこが事故の直接要因となったらしい。福島の事故と類似 http://s.nikkei.com/jRPtCn

H.Torii @torii_h

まず原発の話から（簡単なので）。信頼性工学の立場から「どこまで安全係数をとるのか」に答えなけねば原発設計が出来ない。絶対安全＝確率ゼロはありえないから、その数字の取り方は経済合理性から決定すると。(cont) RT @ProfMatsuoka

H.Torii @torii_h

この古典的な信頼性工学の考え方に従えば「原子力安全委員会、『全電源喪失を考慮する必要はない』」も正しかった。はずなのだけれど...こうした議論は古典的。次の３つの理由で見直されています。(cont) RT @ProfMatsuoka

H.Torii @torii_h

(1)確率を考えるときアプリオリに正規分布を仮定するがそれでよいのか。もちろん正しくない。fat-tail性、つまり市場・気象・地震など複雑系では例外的な事態は思ったより起こります。いわゆる「マーフィーの法則」。(cont) RT @ProfMatsuoka

H.Torii @torii_h

原発は複雑系か。どうやらそうであったらしい。なので事故確率を小さく見積もってると推定されるわけです。地震や津波も同じ。量子物理の確率と複雑系の確率の違い。研究が待たれます。そういう意味ではスペースシャトルのすごさがわかる。(cont) RT @ProfMatsuoka

H.Torii @torii_h

(2)複数事象の同時確率を考える場合の相関をどう考えるか。もし相関関係が安定しているならば適切な実験系を組み立てれば非常時対応もできるはずです。ところが、 RT @ProfMatsuoka

H.Torii @torii_h

たとえば原子炉破壊は５重の壁が破られて起こる（と説明されてきた）。つまり５因子の同時生起確率である。つまり限りなくゼロに近い。だから安全なはずだった。ところが、(cont) RT @ProfMatsuoka

H.Torii @torii_h

ところがこれは正しくない。平時はそうかもしれない。しかし地震->津波の同時生起確率は？。そして電源喪失から５因子のシーケンシャルな崩壊が起きる確率は？これが異常時の相関関係。(cont) RT @ProfMatsuoka

H.Torii @torii_h

つまり平時と異常時では相関関係が異なる。2007-2008年のサブプライム危機までMoody'sの格付けモデルもそうなっていた。大反省であります。(cont) RT @ProfMatsuoka

H.Torii @torii_h

(3)そもそも当該事象の生起確率を予見できるのか。この予見不可能性を経済学ではフランク・ナイトの「真の不確実性」と呼んでいます。 (cont) RT @ProfMatsuoka

H.Torii @torii_h

ナイトの不確実性を考えるとブラックスワン事象を予想できない。ならば信頼性工学を信用できないのか。ここからが新しいリスク管理学です。(cont) RT @ProfMatsuoka

H.Torii @torii_h

リスク（事故）の生起確率を演繹的に予想することはできない（従来の信頼性工学の否定）。しかし従来の信頼性工学は使う。それは設計パラメータに用いるのです。これは平時の理論。次に、(cont) RT @ProfMatsuoka

H.Torii @torii_h

異常時の理論。設計したシステムを破壊するという発想に立ってシナリオを描きます。具体的なストーリーを作る。ここだけ確立した手法がないのが弱点なのですが。ブレーンストーミング。(cont) RT @ProfMatsuoka

H.Torii @torii_h

そのシナリオを当てはめて、a)リスク（事故）の大きさを計算するとともに、b)ストーリーの妥当性を吟味します。これがリバースストレステスト。(cont) RT @ProfMatsuoka

H.Torii @torii_h

その際「専門家委員会」的なものに任せるというのが古い手法。何が問題かといえば委員を選んだ時点で恣意が働くこと。これは選択バイアスと呼ばれています。(cont) RT @ProfMatsuoka

H.Torii @torii_h

その失敗例は今回の原発、薬害エイズ問題などなど。リスク管理は社会学でもある。日本の手法が遅れてることがわかるでしょう？逆にNASAなど如何に進んでるかも。スリーマイル原発事故の後の経緯など非常に参考になる。(cont) RT @ProfMatsuoka

H.Torii @torii_h

だから真の意味で「中立的」な委員会を作る必要がある。仮にそれができないならば非専門家を含む投票や荒っぽい手法（プロラタ）さえ正当化しうる。原子力の専門家ばかり集めた委員会では目標を達成できません。(cont) RT @ProfMatsuoka

H.Torii @torii_h

そしてリスク（事故）に耐えられるのか事前合意をとっておきます。さらに加えてリスク（事故）が起きた場合の対策（リスクコントロール）を事前に作っておく。以上です。(cont) RT @ProfMatsuoka

H.Torii @torii_h

次にソニーの話。PSNへのハッカー攻撃の件。すでにリスク管理（平時の備え）から危機管理（異常時の対応）へと事態は進行している。なおリスク管理と危機管理は異なります。念のため。リスク管理的にはどうなのか。(cont) RT @ProfMatsuoka

H.Torii @torii_h

リスクの生起確率は明らかに無視しえなかったでしょう。まさかソニーがPSNをハッカーから守り切れると考えていた？もしそうだとしたら思いっきり間抜けです。(cont) RT @ProfMatsuoka

H.Torii @torii_h

そこでリバースストレステスト、リスクコントロールできるかとの手順に移ります。もしここで「それはあり得ないから安全」など言う連中の社内政治が働いていたとしたら選択バイアス問題に足をすくわれたことになります。人災。(cont) RT @ProfMatsuoka

H.Torii @torii_h

まず財務的な回答は簡単かつ残酷。要するに「引当金を積んでおけ」ということ。金融危機に対するバーゼル自己資本比率規制と全く同じです。(cont) RT @ProfMatsuoka

H.Torii @torii_h

しかしオペレーション的にはまったく別の方法が考えられる。Apple, Microsoftも同種のシステムを持っているでしょう？だから風評リスクを操作すればよい。これでリスク回復(mitigation)が可能。(cont) RT @ProfMatsuoka

H.Torii @torii_h

こうして綺麗事ではないけれど法務が働く局面。こういうテクニックは米国企業が上手。ビジネススクールで教えますから。そしてその過程でPSNで問題のクレジットカードシステム脆弱性が明らかになるはず（なお日本へは未導入）。(cont) RT @ProfMatsuoka

H.Torii @torii_h

たとえば、Citibankのクレジットカードがなぜ携帯電話との組み合わせになっているか、そういうところに分析が辿り着けば正解。もちろん人の噂は七十五日という解決策もあり得ます。見守りましょう。(cont) RT @ProfMatsuoka