アンドン：リーン生産のシグナルシステムを解説

機械が、あってはならない音を立てました。それに気づいたのは一人だけです。その後の30秒間の対応によって、この音の代償が1分で済むのか、1シフト分になるのかが決まります。その対応を決めるのがアンドンです。

アンドンは、リーン生産方式における通知の仕組みです。ボード、ライト、引き紐、ボタン、ダッシュボードなどを通じて、異常に気づいた一人の声を、問題がまだ小さいうちに担当者の到着へとつなぎます。診断も修理もしません。役割はただ一つ、異常を見逃せず、無視できない状態にし、発生した現場で解決できる速さで対応を促すことです。

アンドンに関する多くの記事は、作業を止めることの価値を論じています。このページでは、その価値を前提として、仕組みそのものを掘り下げます。

重要なポイント：アンドン

• Lean Enterprise Institute は、アンドンを「一目で担当エリアの稼働状況を示し、異常が発生するたびに知らせる、目で見る管理のツール」と定義しています（LEI Lean Lexicon）。
• トヨタは、設備が停止するとアンドン（問題表示板）が点灯して作業者に異常を知らせること、また、停止紐が引かれたときにも点灯して担当者を呼び出せることを説明しています（Toyota Production System）。
• 紐を引いても、自動的に停止するとは限りません。定位置停止方式では、ラインが止まるのは「作業サイクルの終わり」であり、しかも、そのサイクル内で問題を解決できない場合に限られます（LEI Lean Lexicon）。
• 源流は豊田佐吉の自動織機にあります。トヨタは、この織機が「判断する能力を機械そのものに組み込んだ」と説明しています（Toyota）。

アンドンとは何か

アンドンは日本語で「行灯」、つまり紙の提灯を意味する言葉です。産業での意味も、何かを知らせる灯りという原義を引き継いでいます。Lean Enterprise Institute の用語集では、典型的な形を「ステーションや機械に対応する番号が並んだ天井吊りの表示板」としています。センサーが問題を検知したとき、あるいは「作業者が紐を引くかボタンを押した」ときに、該当する番号が点灯します（LEI）。

ここから二つのことが分かります。アンドンを単なる警報だと考えていると、どちらも見落としがちです。

一つ目は、アンドンは警報である前に、状況を表示するものだということです。すべてのステーションが正常に稼働していることを示すボードは、エリアリーダーに「どこにも介入は不要です」と伝えます。これは、赤いランプがどこへ向かうべきかを示すのと同じくらい有用です。異常があるときだけ存在するアンドンは、ただのサイレンにすぎません。

二つ目は、トリガーに機械と人間という二つの経路があり、両者は互換性がないということです。センサーは、あらかじめ監視すると決めていた条件で作動します。一方、人間は、誰もルールにしていなかった条件で紐を引きます。たとえば、においや、はまってはいるのに違和感のある部品、台本から外れた顧客の一言などです。センサーの経路しか作らなければ、設計者が想定した故障モードしか検知できません。

アンドンは、目で見る管理の最もよく知られた事例でもあります。LEI は目で見る管理を、工具、部品、業績指標を誰の目にも触れる場所に置き、「システムの状態を関係者全員が一目で理解できる」ようにすることと定義しています（LEI）。

このページの範囲と自働化の境界

自働化（Jidoka）は上位の概念であり、その考え方の中心です。LEI は、これを「異常な状態が発生したことを機械と作業者が検知し、ただちに作業を止められるようにすること」と述べています（LEI）。検査で最後に品質を確認するより、工程で品質を作り込むほうが優れているかを検討したい場合は、そちらのページをお読みください。

アンドンは、検知と停止をつなぐ配線です。「ここで何かが起きています」という情報を、気づいた人から対処できる人へ、時間の制約つきで伝えます。自働化は、止めることが正しいと説きます。アンドンは、止めるべき理由が生じたことを誰もが知るための仕組みです。具体的には、シグナル、そのシグナルが上る階層、動いている時計、そして残される記録です。

言葉と仕組みの由来

豊田佐吉の自動織機は20世紀初頭に作られ、糸が切れると自ら止まりました。トヨタは、その意義を、単に手作業を自動化したのではなく、「判断する能力を機械そのものに組み込んだ」ことにあると説明しています（Toyota）。自分で止まる織機は、検知と対応が一つの箱の中で完結しています。しかし組立ラインは織機とは違います。検知する人と対応する人が、別々の場所にいる別々の人間です。この隔たりを埋めるために生まれたのがアンドンです。トヨタの説明は、現代の仕組みの両側面を示しています。設備が自ら停止してボードを点灯させること、そして、停止紐が引かれたときに作業者が担当者を呼び出せるようにアンドンが点灯することです。

自働化は、トヨタ生産方式の二本柱の一つです。もう一つはジャストインタイムで、トヨタはこれを「必要なものを、必要なときに、必要な量だけ作ること」と要約しています。ジャストインタイムは、これまで品質問題を1シフト分隠してくれていた在庫のバッファを取り除きます。そのため、シグナルのない不良は、次の工程が良品を必要とするまさにそのタイミングで届くことになります。本格的なリーンの導入に、停止のルールだけでなく、機能するアンドンが必要な理由はここにあります。

アンドンシステムの構造

工場の現場でもサービスデスクでも、アンドンシステムはすべて同じ6つの段階で構成されます。失敗の多くはこのうちのどれか一つに行き着くので、診断にも役立ちます。

2つの段階は補足に値します。トリガー段階は、ポカヨケが機能する場所です。誰かの注意力に頼らずに検知できるため、ミスの防止は最も安価なトリガーです。対応段階は、すでに文書化されていることが多いものです。管理計画書の対応計画の列に、特性が限界値を外れたときの対応が定められているからです。管理計画書があれば、対応プロトコルの大部分はすでに下書きができており、あとはシグナルを結びつけるだけです。

記録の段階は、時間の都合で削られがちですが、削るべきではありません。記録がなければ、同じ原因による400回目の引き紐が1回目と区別できず、アンドンは同じ問題を永遠に解決し続ける効率的な仕組みになってしまいます。

アンドンボード、紐、ライト、デジタル

「アンドン」という言葉は、かなり性質の異なる4種類の設備を指します。混在させるのは普通ですが、それぞれに得意なことと不得意なことがあります。

ここでのトレードオフは、視認性と詳細さの間にあります。物理的なライトは見逃しようがない一方で、内容はほとんど伝えられません。デジタル通知は情報が豊富で、ルーティングでき、自動で記録されますが、対応者がその時間帯に受け取る他のあらゆる通知と注意を奪い合います。デジタル化したのに対応時間が悪化したと悩むチームは、多くの場合、「場所」を「フィード」に置き換えてしまっています。現実的な答えは両方を使うことです。注意を引くには物理的なチャネル、エスカレーションのタイミングと記録にはデジタルのチャネルを使います。

各シグナル状態が求める行動

「注意」以外に何の意味も持たない色は、1か月もすれば無視されます。すべての状態には、特定の担当者と特定の必要な行動が必要であり、それをシグナルのある場所に掲示します。以下の体系は一般的な慣例であり、標準ではありません。LEI が確認しているのは、問題は赤、通常稼働は緑という基本の組み合わせだけです。それ以外は現場ごとに定義し、ボードに書いておきましょう。

最後の行は、多くのシステムに欠けていて、最も必要とされるものです。繰り返しの引き紐は、最初の引き紐とは別の事象です。前回の解決が回避策だったことを証明しているからです。

エスカレーション階層と対応時間の設計

時計のないアンドンは、単なる提案です。エスカレーション階層は、シグナルを義務に変えます。次の階層への移行を、依頼ではなく自動にすることで機能します。

階層が機能するか、ラミネートされたカードの上にしか存在しないかは、次の3つの設計ルールで決まります。

対応時間は、引き継ぎ時点ではなく、シグナルの時点から数えます。 階層2の5分は、階層1が諦めた時点ではなく、最初に紐を引いた時点から始まります。そうしないと、階層ごとに時計がリセットされ、4階層のラダーが50分の対応を正当化してしまいます。

すべての階層に、その時間内に到達できる役割を指名します。 3つの建物を担当しているエンジニアに割り当てられた15分の階層は、書類の上でしか15分ではありません。階層を、指名された人が達成できる時間に合わせるか、人を変えましょう。

時間枠は、きりのよい数字ではなく、仕事から導き出します。 ペースの決まったラインでは、タクトタイムが階層1を自然に決めてくれます。製品が次へ進むまでの時間が限られているため、対応者に与えられるのはサイクルの残り時間です。ペースの決まったラインでない場合は、異常が高コストになるまでにどれだけ続き得るかから導き出し、その根拠を標準作業に記録してください。

引き紐は、停止ではない

アンドンに関して最もよくある誤解は、紐を引けばラインが止まるというものです。定位置停止方式では、少なくともすぐには止まりません。LEI は、この方式を、ラインを「作業サイクルの終わり」に止めるものとし、しかも「作業サイクル内で解決できない問題が検知された」場合に限ると説明しています。作業者がスーパーバイザーに知らせ、スーパーバイザーがサイクルが終わるまでに修正できるかを評価し、できるのであればシグナルをリセットして、ラインは止まりません（LEI）。

だからこそ、高い引き紐の頻度が許容できるのです。すべての引き紐が即時のライン停止だったら、手を挙げるコストは莫大になり、システムは数週間で自ら抑え込まれてしまいます。定位置停止方式は、シグナルのコストを低く、停止の頻度を低く保ちます。この二つの数字の差にこそ、価値があります。自動化された同等の仕組みが自動ラインストップで、LEI はこれを「問題や不良が発生したときは必ず生産工程が止まるようにすること」と定義しています。

誰も予算を組まない文化的な前提条件

ハードウェアは安い部分です。高くつくのは、紐を引くことが告白ではなく貢献だと信じている従業員の存在であり、どんな設備もその信念は生み出せません。

この証拠は、発見した研究者自身が驚いたものなので、真剣に受け止める価値があります。エイミー・エドモンドソンは、成績の良いチームほど投薬ミスが少ないだろうと予想して、ボストンの2つの病院に入りました。ところが結果は逆でした。チームワークの指標が高いチームほど、検知されたミスの率が高かったのです。彼女自身の結論は「優れたチームがより多くのミスをするわけではなく、ミスについて話し合える力が高いのだろう」というものでした（Behavioral Scientist）。これが、心理的安全性と呼ばれる研究プログラムの始まりになりました。

これをアンドンボードに当てはめて考えると、不都合な含意が見えてきます。報告された異常の発生率は、実際の異常の多さと同じくらい、報告する意欲を測っています。責任追及の文化の中で静かなボードと、安定したプロセスの中で静かなボードは、スーパーバイザーの席からは区別がつきません。

違いを生むのは、小さな、繰り返される場面です。対応者が到着して「何があったのですか」と尋ねるのか、「誰がやったのですか」と尋ねるのか。何でもなかった引き紐に感謝するのか、ため息をつくのか。アンドンのログが人事評価で引用されることはないか。それは、取り組みを永久に潰す最も早い方法です。経営層自身が現地現物の観察（ゲンバウォーク）の最中に紐を引くか。ここで、アンドンは道具から、総合的品質管理が扱う品質文化の一部へと変わります。

アンドンが機能しているかを示す指標

アンドンは自らテレメトリーを生み出すため、正直に測定しやすい仕組みです。ただし、最も分かりやすい指標が逆向きに読めるという落とし穴があります。

引き紐の頻度については、はっきり言っておきます。引き紐の頻度の低下は、たいてい悪い知らせです。 シグナルが減る理由は二つあります。プロセスが本当に安定したのか、それとも、問題があっても人が知らせなくなったのかです。後者のほうがはるかに多く、エドモンドソンの病院のデータが示している失敗パターンです。

両者を見分けるには、引き紐の頻度を、独立した品質指標と照らし合わせます。引き紐が減ると同時に、流出した不良、苦情、スクラップ、手直しも減っているなら、プロセスは改善しています。引き紐が減っても、それらが横ばいか増えているなら、アンドンは抑え込まれています。このクロスチェックは、アンドンのデータだけでは見えないので、プロセスを監視するための定例の場に組み込んでください。

再発率は、アンドンと改善をつなぐ指標です。繰り返される原因は、一つひとつがなぜなぜ分析や、より本格的な根本原因分析を実施し、カイゼンのサイクルを通じてループを閉じる合図です。引き紐の頻度が健全なのに再発率が高止まりしている場合、アンドンは役割を果たしており、問題はシグナルより下流にあります。

工場の外でのアンドン

このパターン、つまり見逃せないシグナル、指名された対応者、区切られた時間枠、自動エスカレーション、記録の保存は、システムが気づくより早く問題を見つけられる人がいるあらゆる業務に応用できます。設備は完全に変わりますが、6つの段階は変わりません。

ソフトウェアのインシデント対応は、構造的に最も近い事例であり、Google の SRE の実践はその類似性を明確にしています。そのガイダンスは、インシデントに関わる全員が自分の役割を把握し、他人の領域に踏み込まないことを求めており、これはまさにエスカレーション階層の階層規律です。また、早めの宣言を推奨しており、問題が膨らんでから何時間も経ってインシデント管理の枠組みを立ち上げるより、早く宣言して簡単な修正を見つけて収束させるほうがよいと述べています（Google SRE Book）。これは、言葉こそ違いますが、定位置停止の議論そのものです。サービス版の歴史は、多くの人が思うより長いものです。Amazon は、Kindle FreeTime や AutoRip と並んで、「カスタマーサービスのアンドン紐」を、自社が内発的に生み出したイノベーションの一つとして公に挙げています（Werner Vogels, Amazon CTO）。

一つだけ、必須の適応があります。工場には共有された物理空間があるため、シグナルはただ見えていればよいのです。分散したチームにはそれがないため、対応の時間枠は、目の前の視線ではなく、ツールによって強制しなければなりません。その時間枠を顧客向けの約束として書き込めば、サービスレベルアグリーメントで使われている構造になります。定められたトリガー、指名された責任者、時計、そして時間切れになったときの結果です。

現場が実際に引くアンドンシステムの作り方

すでにある異常から始めましょう。 1週間かけて、何が、どこで、気づくまでにどれくらい時間がかかったかを記録します。その一覧がトリガーの仕様になります。先にハードウェアを買うと、ベンダーが想定したものだけを知らせるシステムになってしまいます。

シグナルより先に対応を定義します。 異常の種類ごとに、対応する役割、時間枠、到着時に判断を許される範囲を書き出します。対応者が決まっていないシグナルは、全員にシグナルを無視する習慣を植え付けます。

機能する中で最も安価なトリガーを選び、シグナルはフィードではなく場所にします。 秒単位が重要で手がふさがっている場所には紐かボタン、測定できる条件にはセンサー、仕事が分散している場所にはデジタルのフラグです。対応者がすでに見ている場所に置きましょう。引いた瞬間に分類させるのは避けてください。入力欄が増えるほど摩擦が増え、摩擦は引き紐の頻度の敵です。

1つのセル、1つのシフト、1つのキューでパイロットを2〜4週間実施します。 引き紐の頻度が上がるか（これまで吸収されていた異常を表に出すので、急激に上がるはずです）、ボリュームの増加に対して対応時間が保たれるかを確認します。パイロットの負荷で対応が劣化するなら、階層の設計が間違っています。展開すれば、あらゆる場所で一度に悪化します。

初日から記録を計装します。 原因、タイムスタンプ、到達した階層、解決内容、対策の担当者です。6か月後にログを後付けしても、6か月分の引き紐から何も学べていないことになります。

ログを、引いている人たちと毎週レビューします。 再発率で並べ替え、上位の原因を選び、対策の担当者を割り当て、次のレビューまでに完了させます。ここで、アンドンは火消しではなく改善になります。引き紐に意味があることを現場に示す、最も明確な証拠でもあります。

限界と、正直な失敗パターン

アンドンは問題を素早く表面化できますが、そのシグナルが恒久的な解決につながるかどうかは、対応能力、根本原因への規律、そして信頼で決まります。

アンドンシステムは、買うのは簡単ですが、信頼を勝ち取るのは困難です。ライト、紐、ダッシュボードは数週間の作業で済みます。時間がかかるのは、引き紐が歓迎されると信じる現場、対応時間が願望ではなく現実である階層、そしてシグナルを上げた人たちと毎週ログを読む習慣です。それらが整えば、ハードウェアはほとんど問題になりません。整っていなければ、誰もが素通りするようになった高価なライトを買っただけになります。