「医療システムの仕様」が原因で入院患者が死亡、なぜ病院側は要件定義の際に気付けなかったのか……

医療システムなのに、医療現場で想定すべきリスクを考慮できなかった

　少し補足すると、事件は患者が病床を移動（転床）したときに発生しました。この病院ではベッドサイドのモニタで、患者ごとに個別設定でアラームを鳴らすタイミングや判断基準を設定していました。この設定が、ナースステーション側のセントラルモニタで別途行った新しい病床と患者の紐づけを行った際に、消えてしまったのです。

　この動作自体は、元々の仕様どおりです。同システムでは、このような紐づけを行う際、各種のデフォルト設定でベッドサイドモニタが上書きされることとなっており、その設定下では、強制的にアラーム音量がゼロ（消音）、あるいはアラーム機能が実質的に働かない状態（ポーズなど）になる仕組みでした。その結果、現場の担当者は「アラームをONにした」と思っていたのに、システムの連携動作によって、その意図に反して設定が書き換わってしまったのです。

　つまり、この事件は「システム化要件の検討不足」によって発生してしまったと言えます。また、ベッドサイドモニタの要件とセントラルモニタの要件を掛け合わせたとき、どのようなリスクが起こり得るかという想定が不足していたとも言えます。

要件上の不具合を「後続工程」で発見するのは難しい

　日頃システム開発に携わる者の目線でこの問題を見てみましょう。判決文を読む限りは、このモニタシステムには明確なバグ（プログラミング・ミス）や不具合は見られません。センター側のシステムが紐づけを行う際に設定を初期化するのも、ベッドサイドのモニタがそれを受けてアラームを鳴らないようにするのも、それ自体は不具合ではありません。

　実際、センターとベッドサイドの同期をとるのは当然に必要なことですし、またアラームの音量についても、患者によってはアラーム自体が身体に悪影響を与えることもあるらしく、デフォルト値が“音量ゼロ”であることにも、それなりの理由はあるわけです。

　今回の問題は、センターによるベッドサイドの上書きをする際の“注意喚起”が不十分だった点にあります。正確には、注意喚起のメッセージ自体はあったようですが、当時の操作者が、それを気にすることもなくデフォルト値でベッドサイドを上書きしてしまったとのことです。

　紐づけの際、センター側で「紐付けを行うと、現在ベッドサイドで行っている設定はすべて破棄され、音量ゼロを含む初期値に上書きされますが本当によろしいですか？」といった、具体的かつ強い警告をともなう確認があれば、担当者は事の重大さに気付けたのではないでしょうか。実際には、システムには何らかの確認メッセージは表示されていたようですが、それが「設定の完全な消滅」を予見させるには不十分で、形式的なものにとどまっていました。

　たしかに、ベッドサイドとセントラル、それぞれ単体の機能要件としては十分だったかもしれません。しかし、それらの機能が連携する際、どんなことが起こり得るかという検討が不足していた点は否めないでしょう。そもそも検討していなければ、たとえテスト工程を実施したとしても、「上書きされる」という動作そのものは仕様上「正常」であり、そのままスルーされてしまいます。そこに潜む業務上のリスクを検出することは不可能です。

　遺族はこうした点を材料に訴えたわけですが、裁判所はどのような判決を下したのでしょうか。