MPCの「調整可能性」が監査で致命傷になる理由——重み・slack・モデル更新

kanna qed
1月11日
読了時間: 5分

制約付き最適化を実時間で解き続けるモデル予測制御（MPC）は、現代の複雑なエネルギー制御における最高到達点と言えます。多目的を単一のコスト関数に統合し、未来を予見しながら最適解を更新し続けるその挙動は、まさに制御工学の精華です。

しかし、この「柔軟な最適性」こそが、事故や監査といった社会的な責任が問われる局面において、皮肉にも最大の弱点となります。どれほど高度な計算であっても、その根拠となるパラメータが事後的に調整可能であるならば、システムとしての説明責任は成立しません。

本稿では、MPCの卓越した性能を一切損なうことなく、運用上の「逃げ道」を封鎖し、制御結果に監査・事故対応における証拠性を付与する「ADIC」のアプローチについて詳説します。

▼ADICデモ https://ghostdrifttheory.github.io/ghostdrift-adic-audit/

1. 現代制御におけるMPCの優位性とその技術的矜持

実務においてMPCが選ばれる理由は、単なる追従精度の高さに留まりません。物理的な制約をアルゴリズムの内部に明示的に組み込み、多目的を同時に最適化できるその構造にあります。

Receding Horizonの合理性: 各サンプリング時刻 $k$ においてホライズン $N$ 先までの最適化問題を解き直し、不確実性を逐次的に吸収する戦略は、外乱の影響を受けやすいエネルギー現場において極実務的で堅牢なアプローチです。
多目的統合の美学: 蓄電池のSoC維持、劣化抑制、電力価格への追従。これらを重み行列 $Q, R$ によって単一の指標 $J$ にまとめ上げ、バランスさせる設計は、まさに技術者の知見が凝縮されるプロセスです。
制約条件の厳格な管理: 再エネの出力制限や系統の安定化条件など、一歩も譲れない制約を数理的に担保しながら解を導き出すMPCは、マイクログリッド等の自律分散型エネルギーシステムの「頭脳」として君臨しています。

2. 性能の裏側に潜む「責任の蒸発」：調整の恣意性という課題

MPCが柔軟で高性能であるほど、事故時の「根拠の証明」は困難になります。なぜなら、最適化の結果は「採用されたパラメータ」に完全に依存しており、そのパラメータ自体が運用の現場で動的に変化し得るからです。

2.1 現場に埋め込まれた“後付け可能性”の所在

MPCの運用において、技術者が直面せざるを得ない「正当化の余地」は、主に以下の3点に集約されます。

重み $Q, R$ による優先順位の流動性: コスト関数における各項の重みは、状況に応じて調整されます。しかし、事後的に「当時は安全を最優先していた」と結果に合わせて重み設定の妥当性を主張できてしまう点は、監査上の大きな脆弱性となります。
ソフト制約（Slack変数）による例外の常態化: 実行不能（Infeasible）を回避するためのソフト制約は実運用上の知恵ですが、その緩和の基準が曖昧なままでは、事後の恣意的な説明を許容してしまいます。
モデル更新と予測器の不透明性: モデルの更新が繰り返される中で、事故の瞬間に「どのバージョンのモデルが、何を根拠に解を出したのか」を遡及して証明することは、現状のシステム構成では極めて困難です。

3. 既存のアプローチにおける限界：ログと再現の壁

3.1 記録（Log）は「事実」を語るが「根拠」を固定しない

時系列データのログは「何が起きたか」を記録しますが、動的なパラメータ変更が許容される環境下では、そのログに対する「事後的な解釈」の余地を消し去ることはできません。

3.2 デジタルツイン（Simulation）は「再現」であり「封印」ではない

デジタルツインによる再現計算は事象の理解を助けます。しかし、それは「その瞬間に、その判断以外に選びようがなかったこと」を客観的に証明するものではありません。

4. 概念の提唱：説明可能性を超えた「後付け不能性（Post-hoc Impossibility）」

我々が今、真に必要としているのは、主観的な納得感としての「説明可能性」ではありません。

「後付け不能性（Post-hoc Impossibility）」の定義 MPCが導き出した解がどれほど最適であっても、その計算の前提（重み、制約、モデル）が事後的に差し替え可能である限り、社会的な責任は成立しません。必要なのは、**「採用された根拠がその瞬間に確定（Closure）しており、事後的な差し替えが検証により検出されること」**です。

5. ADICによる数学的封印：MPCのアルゴリズムを損なわない信頼性の付与

ADIC（Accountable Deterministic Information Closure）は、既存のMPCの計算ロジックに手を加えることなく、その計算過程を「情報の檻」で密閉します。

S_core（構造の固定）: 運用開始前に、目的関数の構造、制約の閾値、更新ポリシーをID化して登録します。これにより、事前に固定された規則の下でのみ運用が成立する状態を担保します。
Ledger（証拠の連鎖）: 各ステップの計算において、入力、モデルID、重みID、計算結果を「改ざん検知可能な連鎖構造（例：ハッシュ連鎖）」を用いて結合します。一箇所でも事後的に変更すれば連鎖との不整合が生じるため、差し替えは検証により検出されます。
外向き丸め（Interval Constraining）: 浮動小数点の計算誤差を「解釈の逃げ道」にさせません。判定基準を区間で拘束し、検証結果の不一致が許容されない範囲に管理される、検証の一貫性を形成します。

6. 実践ケース：蓄電池MPCにおける責任の閉鎖

6.1 シナリオ：周波数制御（FCR）とSoC維持の葛藤

PV併設の蓄電池運用において、系統の周波数逸脱が発生した際、蓄電池がSoCの維持（自身の保護）を優先して応動しなかったとします。

従来のMPC: 事故後、エンジニアは「劣化抑制のためにSoC制約が支配的だった」と説明します。しかし、それが事故を隠蔽するための「後付けの設定変更」ではないことを客観的に証明する手段がありません。
ADIC付きMPC: 事故の瞬間の「制御ポリシーID」がLedgerに刻まれており、それは事前に合意された運用ルールと照合されます。もしルール内で「SoC優先」が許容されていたのであれば、それは「合意された挙動」として速やかに免責されます。