適用例

事例

宣言と判断がどう記録されるかを、3つの事例で示します。登場する工場・組織・人物・数値はすべて架空です。

このページは要約です。記録の全文と YAML は specs/examples/ にあります。

1. 点の改善と線の改善

状況

架空の部品工場「北原工場」で、二つの改善が同時に始まりました。改善 A は日報作成を表計算マクロで自動化し、改善 B は設備の稼働データを小型の産業用 PC で集めて停止要因を見える化します。3か月後、どちらも「効果あり」と判定され、平均的な効果は A（1日30分）の方が B（1日20分）より大きく見えました。

1年後、全社で日報の様式が変わり、A のマクロは動かなくなりました。作った担当者は異動していて、日報は手作業に戻りました。業務が変わったとき、何も残りませんでした。B は2号ラインへの展開が1号ラインの約半分の工数で終わり、頼んでいない品質管理課から引き合いが来ました。PC の OS がサポート終了を迎えても、止めずに更新できました。

宣言したこと

A：residual_assets が空。広がりの兆候も宣言していない → 点の改善として扱う
B：標準 OS イメージ、工場共通の停止要因コード、予備機への切替技能、機器構成の記録を、それぞれ保有者付きで residual_assets に宣言。spread_signals.expected に「二回目が安くなる」「頼んでいない所から引き合いが来る」。制御系には書き込まないことを blast_radius に宣言

判断

	平均的な効果	広がりの兆候	残るもの	判断
改善 A	あり	なし	なし	Proceed（小さく留める）。様式が変わるときに Retire
改善 B	あり	2つ観測	4件、保有者あり	Expand（4号ラインと品質管理課への読み取り連携）

B の Expand は、章を替えずに blast_radius の宣言を before / after で更新する判断として記録されました。拡大を支えたのは兆候だけではありません。切替訓練によって「拡大しても戻せる」ことが確認されていたことが前提です。A を悪い改善として扱う必要はありません。小さく留めるか、次に様式が変わるときに終わらせるかを、先に決めておけばよいのです。

2. 担当交代をまたぐ保有

残す・伝える／custody-handover.md（機械可読の案件）

状況

ある企業が、顧客からの問い合わせの一次対応を LLM の自動応答に任せています。自動応答は夜間や休日も、誰も見ていない状態で動きます。情報システム部の担当者は「返金・解約の問い合わせは自動応答で完結させず、必ず人間へ上げる」という判断を閉じました（Proceed）。モデルが替われば分類の挙動が変わり、担当者が異動すれば根拠を知る人がいなくなります。

宣言したこと

value_intent：守っているのは自動化率ではなく、顧客からの信頼の継続
re_derivation_basis：当時の分類モデルの取りこぼしを人間側で吸収する必要があった、などの前提と証拠
review_triggers：モデルの入れ替え、返金・解約ポリシーの改定、エスカレーション率の大きな変動、前提となる規制の改定。カレンダーではなく事象で書く

判断

担当者の異動を、再導出できることの確認付きで custody_chain に追記する
ベンダーがモデルを入れ替え、見直しの条件が成立する。新しいモデルは精度が上がっていたが、守っているのは精度ではなく信頼なので、後任は「精度が上がったから自動化してよい」という短絡を退け、根拠を更新して Proceed
見直しの結果を last_reaffirmed として記録し、保有を更新する

承認の一点は責任の開始であって、維持ではありません。交代の記録がなければ、責任が消えていないこと（公理 A1）を交代をまたいで確かめられません。

3. 製造現場の AI エージェント

閉じる・試す、AI 拡張／factory-agent-safe-loop.md

状況

センサーデータ（温度・振動・電流など）を解釈し、異常の検知、設備制御の提案、保全の計画を行う AI エージェントを工場に入れる想定です。判断が遅れれば物理的な被害や生産損失が出て、誤った判断による不要な停止も生産コストに直結します。

設計の決定

物理のループと意味のループを分ける — AI は制御系を直接操作しない。AI の提案が現実に作用する手前に境界を置き、オペレーターが判断を閉じてから制御系へ指示する
異常の深刻度ごとに、どの判断で閉じるかを先に決める — 安全上の差し迫ったリスクは、現場オペレーターが証拠を確かめて対象設備を止め、範囲を狭める（Limit）。安全な範囲の性能低下は、保全担当者を責任者にして次の保全サイクルまで保留する（Defer）。原因がはっきりしない信号は、境界の判定を unknown とし、証拠が揃うまで保留する（Defer）
センサーが現実を映しているかを AI の解釈の前提として確かめる。故障の疑いがあれば AI の解釈を止め、現場確認に切り替える
現場の知識を残す — AI は候補の仮説と証拠を示し、経験のある技術者が文脈と機器の履歴を加えて判断する。判断ログには、AI の仮説と人間の評価を分けて残す
停止を設計する — 停止責任者を現場に必ずいる役割に置く。物理系の安全インターロックは、AI の停止とは独立して動く
現場の負荷を増やさない — アラートが増えるなら、AI の自律範囲を広げるのではなく、絞り込みの精度を上げる

ループの考え方は AI 拡張、関係する責任境界（B2、B3、B6、B9、B10、B15）は taxonomy.md を参照してください。