なぜアポロ13号の酸素タンクは爆発したのか｜地上試験から事故までを追う

1970年4月13日、Apollo 13で酸素タンク2番のファンが作動した。

その約2秒後、電気系統に短絡を示す変化が現れた。タンク内部では圧力が上昇し、やがて宇宙船全体に衝撃が走る。

しかし、事故の原因を「宇宙で酸素タンクが突然壊れた」と理解すると、重要な部分を見落とす。

酸素タンク2番が危険な状態になった経緯は、飛行中ではなく打ち上げより前の製造・取り扱い・地上試験までさかのぼる。

1968年にはタンクを載せた棚の取り外し作業で予期しない衝撃が発生した。1970年3月の地上試験では、タンクから液体酸素を正常に排出できなくなった。そして残った酸素を抜くため、内部ヒーターが地上設備の65V電源で約8時間使用された。

そのとき、ヒーターを過熱から守るはずだったサーモスタットスイッチには、ある設計上の不整合が残っていた。

事故調査委員会が追ったのは、一つの部品の故障ではない。

設計変更、取り扱い、試験、計器、判断が、どのようにつながって飛行中の火災へ至ったのか。

今回はApollo 13 Review Boardの報告をもとに、酸素タンク2番の履歴を地上から宇宙まで追う。

まず、酸素タンク2番は何をしていたのか

Apollo 13のサービスモジュールには、2基の極低温酸素タンクが搭載されていた。

酸素タンクというと、宇宙飛行士が呼吸するための酸素ボンベを想像しやすい。しかしApollo宇宙船では、それだけではない。

酸素は3基の燃料電池にも供給された。

燃料電池では水素と酸素を反応させ、宇宙船で使用する電力を作る。その過程で水も生成される。

つまり酸素系統は、

生命維持 ＋ 発電 ＋ 水

という複数の機能を支えていた。

2基の酸素タンクには、液体酸素を極低温・高圧状態で保存するための機器だけでなく、ヒーター、攪拌用ファン、温度・圧力・残量を測るセンサー、充填・排出用の配管などが組み込まれていた。

ヒーターとファンが存在する理由も重要である。

Apolloの酸素タンクは単なる受動的な容器ではない。内部状態を一定範囲へ保つため、必要に応じてヒーターを作動させる。また無重力では内部の酸素の状態が均一になりにくいため、ファンで攪拌して計測値を安定させる。

第3回で事故直前に行われた「タンクを攪拌する」という操作は、この通常機能を使用したものだった。

事故を起こしたタンクには、飛行前から長い履歴があった

Apollo 13に搭載された酸素タンク2番は、最初からApollo 13専用品として組み込まれたものではなかった。

NASAの事故調査資料によれば、この酸素タンクを含む酸素棚は、もともと別のサービスモジュールに取り付けられていた。

その後、極低温タンク周辺の機器に設計変更を行う必要が生じ、1968年10月に酸素棚全体をサービスモジュールから取り外す作業が行われた。

ここで最初の出来事が起きる。

1968年10月21日｜取り外し作業で酸素棚が落下した

酸素棚を取り外す際、作業員はクレーンで棚を支持し、サービスモジュールから引き出そうとした。

ところが、棚を固定していたボルトの一つが取り外されないまま残っていた。

その状態で棚を持ち上げたため、吊り上げ用治具に想定外の力がかかり、治具が破損する。

棚はおよそ2インチ、約5cmほど落下した。

事故後の調査では、このとき酸素タンク2番上部が別の構造物へ接触した可能性も検討された。

当然、「この落下がApollo 13事故の直接原因だったのではないか」という疑問が生まれる。

しかし、Apollo 13 Review Boardの評価はもっと慎重である。

調査委員会は後に、当時想定された程度の衝撃だけでタンク本体が重大な損傷を受けた可能性は比較的低いと判断した。

一方で、タンク内部の充填・排出用配管、特に緩みのあった部分がこの衝撃によってずれた可能性までは否定していない。

つまり、

「5cm落としたから2年後に爆発した」

という単純な因果ではない。

重要なのは、この後に起きる「酸素を正常に抜けない」という問題との関係である。

落下後の検査では「異常なし」と判断された

酸素棚の落下事故は記録された。

棚は取り外された後、圧力試験、漏れ試験、電気系統や各種スイッチの機能試験などを受けた。

外部への漏れや大きな機能異常は確認されず、酸素棚は試験に合格する。

その後、Apollo 13で使用されるサービスモジュールへ取り付けられた。

ここにも後から見れば重要な制約がある。

この検査で確認できたのは、主として外部への漏れや通常の電気的機能だった。

事故調査委員会によれば、酸素タンク内部の充填配管に小さなずれが存在していたとしても、当時行われた試験では必ずしも検出できなかった。

機器は「検査を通過した」。

しかし、検査を通過したことと、内部に潜在的な問題が絶対に存在しなかったことは同じではない。

1970年3月｜打ち上げ前試験で酸素タンク2番だけが空にならない

Apollo 13の打ち上げが近づいた1970年3月、ケネディ宇宙センターではCountdown Demonstration Test、略してCDDTが行われた。

実際の打ち上げに近い状態でロケットや宇宙船を動かし、各システムを確認する総合試験である。

この試験中、サービスモジュールの酸素タンクにも液体酸素が充填された。

試験後、その酸素を抜く作業が行われる。

酸素タンク1番は正常に排出できた。

ところが酸素タンク2番だけが正常に空にならなかった。

最初の排出操作では、タンク2番から抜けたのは約8％程度。つまり、およそ92％がタンク内に残っていた。

地上スタッフは圧力を利用して酸素を押し出すなど、通常の方法を繰り返した。

それでも十分に排出できない。

後の事故調査では、充填・排出経路にある配管部品の緩みや位置ずれによって、正常な排出が妨げられた可能性が高いとされた。

ここで1968年の落下事故が意味を持つ。

落下が飛行中の火災を直接起こしたと断定することはできない。しかし、充填・排出系の不具合に関係していた可能性があり、その不具合が次の異常な地上作業を必要とした。

正常に抜けないなら、「ヒーターで蒸発させる」

通常の方法で液体酸素を排出できない。

そこで関係者は、別の方法を採った。

タンク内部に元々備わっているヒーターとファンを使い、残った液体酸素を加熱して気化させ、少しずつ排出する方法である。

ヒーター自体は本来の宇宙船にも存在する装置なので、一見すると合理的な対応に見える。

地上設備から電力を供給し、ヒーターを作動させる。

液体酸素を気化させる。

圧力を調整しながら外へ排出する。

この操作は成功した。

約8時間、5回のヒーター作動を経て、タンク内の酸素はほぼ排出された。

問題は、何Vでヒーターを動かしていたかだった。

宇宙船では28V、地上設備では65Vだった

Apollo宇宙船の電気系統では、酸素タンクのヒーターは通常28V DCで作動する。

一方、打ち上げ準備時に使用する地上設備では、65V DCを供給できるよう仕様が変更されていた。

ヒーター回路自体は65Vで使えるよう変更されていた。

しかし、回路の中に一つ取り残された部品があった。

ヒーターを過熱から守るサーモスタットスイッチである。

このスイッチは、温度が約80°F、約27℃に達すると回路を開き、ヒーターへの電流を止める役割を持っていた。

ところがサーモスタットスイッチは、元の28Vで開閉することを前提とした仕様のままだった。

65Vの電源でヒーターが動いている状態でスイッチが開こうとすると、接点間に強いアークが発生する。

事故後の再現試験では、この条件でサーモスタットの接点が溶着し、閉じたままになることが確認された。

本来なら温度が上がった時点でヒーターをOFFにする保護装置が、逆に動作不能になったのである。

保護回路が壊れたまま、ヒーターは加熱を続けた

サーモスタットの接点が溶着すると、温度が上がっても電流を遮断できない。

ヒーターは加熱を続ける。

事故後の調査・再現試験から、ヒーター管周辺の一部は約1,000°F、約540℃に達した可能性があるとされた。

正常な使用状態から大きく外れた温度である。

しかし、地上スタッフはタンク内部でそこまで温度が上がっていることを把握できなかった。

理由の一つが温度計だった。

表示できる温度範囲は約85°Fまでしかなかった。

そのため計器上では上限付近に張り付く一方、ヒーター周辺ではそれよりはるかに高い温度になっていた可能性がある。

「温度計が85°Fを示している」ことから、「ヒーター内部も85°F程度である」とは判断できなかった。

しかし、その違いは当時認識されなかった。

約540℃の熱が、テフロン絶縁を傷めた

ヒーターの近くには、タンク内部の攪拌ファンへ電力を送る電線が通っていた。

その電線には、ポリテトラフルオロエチレン、一般にPTFE／テフロンと呼ばれる材料が絶縁体として使われていた。

通常条件なら、十分な耐熱性と電気絶縁性能を持つ材料である。

しかし、事故後の試験では、地上で発生したと考えられるような高温に長時間さらすと、テフロン絶縁が深刻に劣化することが確認された。

外から見れば、酸素タンクは空になった。

作業目的は達成された。

しかしその内部では、ファン配線の絶縁が傷んだ可能性が高かった。

事故調査委員会は、地上で約8時間ヒーターを使用した時点から、酸素タンク2番は酸素を充填し電力を加えた際に危険な状態になっていたと評価している。

では、なぜ打ち上げ前に交換されなかったのか

ここで当然の疑問が出る。

正常に酸素を排出できず、8時間もヒーターを使用したタンクを、なぜ交換しなかったのか。

当時の関係者が「危険だと知りながら無視した」と単純化するのは正確ではない。

判断の前提にあったのは、ヒーターには温度保護用サーモスタットがあるという認識だった。

正常なら一定温度でサーモスタットが開き、ヒーターは停止する。

したがって長時間使用しても、危険な温度まで上がることはないと考えられていた。

しかし実際には、そのサーモスタットそのものが65V条件に対応していなかった。

さらに温度表示も約85°Fで頭打ちになっていたため、「内部で約1,000°Fまで上昇した可能性がある」という異常状態を確認できなかった。

タンクはその後も試験を受け、要求された機能を満たしているように見えた。

そのため交換せず飛行に使用する判断が行われた。

事故後から見れば重大な判断になるが、重要なのは判断に使われた情報そのものが危険状態を十分に示していなかったことである。

原因は「65Vを使ったこと」だけでもない

Apollo 13の事故を単一原因へ縮めると、もう一つ誤解が生じる。

単に「28Vの部品へ65Vをかけたから爆発した」という事故でもない。

65Vを使用した地上試験から、飛行中の事故までは複数段階ある。

一つ前の条件がなければ、次の条件は成立しなかった可能性がある。

Apollo 13 Review Boardが事故を「複数のミスと不十分な設計の組み合わせ」と評価した理由がここにある。

1970年4月11日｜損傷した可能性のあるタンクが月へ向かった

地上試験後、酸素タンク2番には再び酸素が充填された。

内部配線の絶縁損傷は認識されていなかった。

1970年4月11日、Apollo 13はケネディ宇宙センターから打ち上げられた。

事故調査の結果から見れば、この時点で酸素タンク2番内部には、電気的短絡が起きれば燃焼へ進む可能性のある条件が存在していたことになる。

ただし打ち上げた瞬間に事故が起きたわけではない。

Apollo 13はその後2日以上、月へ向かって正常に飛行している。

飛行中には酸素タンクのファンも複数回作動した。

それでも決定的な事故には至らなかった。

絶縁が損傷していても、配線同士が短絡しなければ発火しないためである。

危険な条件は存在していた。

しかし、まだ発火条件がそろっていなかった。

55:53:20｜ファンをONにしたことで短絡が起きた

1970年4月13日、飛行開始から約55時間53分。

Mission Controlからの指示を受け、酸素タンク2番の攪拌ファンが作動した。

NASAの詳細時系列では、ファン回路へ通電して約2秒後、電気系統に短絡を示す最初の変化が記録されている。

事故調査委員会は、損傷していたファンモーター配線がこのとき動き、導体同士または導体と別の部分が接触して電気アークが発生した可能性が高いと判断した。

ここで重要なのが、タンク内部の環境である。

通常の空気中で電線が一瞬短絡するのと、酸素濃度が極めて高い環境で短絡するのとでは結果が違う。

事故後の試験では、この電気アークが持ち得るエネルギーよりはるかに小さなエネルギーでも、タンク内部のテフロン絶縁を着火できることが確認された。

損傷した絶縁材に火がついた。

酸素タンク内部で燃焼が始まった。

「酸素そのものが爆発した」わけではない

ここもApollo 13で誤解されやすい。

酸素そのものは燃料ではない。

酸素は燃焼を非常に激しく促進する酸化剤である。

燃えたと考えられているのは、主としてタンク内部に存在した電線の絶縁材などだった。

通常なら燃えにくい材料でも、高濃度・高圧酸素環境では燃焼挙動が大きく変わる。

電気アークによってテフロン絶縁が着火すると、燃焼によってタンク内部の温度が上がる。

温度が上がれば酸素の圧力も上がる。

NASAのテレメトリでは、酸素タンク2番の圧力は約887psiから上昇し、最終的に1008psi付近へ達している。

1008psiで安全弁は作動した。それでも事故は止まらなかった

酸素タンクには圧力が上がりすぎた際に開くリリーフバルブが備わっていた。

NASAの記録では、タンク2番の圧力が約1008psiへ達したところでリリーフバルブが開いたと考えられている。

実際、圧力はいったん低下した。

つまり圧力保護装置そのものは、設計された動作をした。

しかしタンク内部では燃焼が続いていた。

問題は「酸素が温められて圧力だけが上がっていた」ことではない。

内部の配線や絶縁材が燃え、その燃焼範囲が拡大していた。

事故調査委員会は、火災が電線を通すコンジット付近まで進み、その部分の健全性を失わせた可能性が高いと判断した。

約55時間54分53秒。

Command Moduleの加速度計が突然大きな振動を記録する。

タンク2番は、この時点で構造的な健全性を失ったと考えられている。

高圧酸素の放出が、サービスモジュール全体を損傷させた

タンク2番から高圧酸素が急速に放出される。

その力と周辺の燃焼によって、サービスモジュールBay 4を覆っていた外板パネルが吹き飛ばされた。

後にサービスモジュールを切り離した際に撮影された写真では、機体側面が大きく失われている。

事故の影響は酸素タンク2番だけで終わらなかった。

酸素タンク1番またはその配管も損傷し、こちらからも徐々に酸素が失われた。

さらに高利得アンテナなど周辺設備も損傷した。

そのため一時的なテレメトリ途絶も発生した。

やがて酸素を供給できなくなった燃料電池が停止し、Odysseyは通常の電力を維持できなくなる。

一つのタンク内部で始まった電気的短絡が、宇宙船全体の電源喪失へ拡大した。

事故調査委員会は、どこまで原因を確定したのか

Apollo 13の帰還後、NASAはEdgar Cortrightを委員長とするApollo 13 Review Boardを設置した。

調査は約7週間にわたり、

• 事故時のテレメトリ
• 酸素タンクの製造記録
• サービスモジュールへの組み込み記録
• 1968年の取り扱い事故
• 1970年の地上試験
• 電気回路
• サーモスタット
• 絶縁材の燃焼試験
• タンク破壊の再現試験

などを組み合わせて進められた。

委員会が示した事故の中心的な流れは、かなり明確である。

地上での長時間加熱によってファン配線のテフロン絶縁が損傷。

飛行中のファン作動時に短絡。

電気アークによって絶縁材が発火。

高圧酸素中で燃焼が拡大。

タンクの健全性が失われ、高圧酸素がサービスモジュールへ放出された。

これは現在でもApollo 13事故原因の基本的な公式説明となっている。

ただし「すべての瞬間」が完全に再現されたわけではない

酸素タンク2番そのものは事故で破壊され、地球へ持ち帰られていない。

サービスモジュールも地球大気へ再突入して失われた。

したがって事故調査委員会は、実物のタンクを回収して内部を分解できたわけではない。

事故過程は、飛行中に記録された電圧、電流、圧力、温度、加速度などのテレメトリと、同型部品を使った地上試験から再構成されている。

そのため、例えば最初の短絡が電線の正確にどの位置で起きたのか、燃焼が内部のどの経路をどの秒数で進んだのか、といった細部まで直接確認されたわけではない。

事故調査では、

確認できる事実

と、

物理試験とデータから最も可能性が高いと判断された事故過程

を組み合わせている。

「原因不明」ではないが、「すべての瞬間を映像で確認した」事故でもない。

FACT CHECK｜酸素タンクを落としたことが爆発原因だった？

それだけを直接原因とするのは正確ではない。

1968年の酸素棚落下について、事故調査委員会は、衝撃そのものによってタンクへ重大な損傷が生じた可能性は比較的低いと評価している。

ただし内部の充填・排出配管がずれ、その後の「酸素を正常に排出できない」問題に関係した可能性は残る。

その排出不良があったために、1970年3月にヒーターを使った長時間の特殊な排出作業が行われた。

したがって落下事故は、

直接の着火原因ではないが、後の条件形成に関係した可能性がある出来事

として扱うのが適切である。

FACT CHECK｜65Vをかけた瞬間に配線が焼けた？

これも少し違う。

問題の中心は、65Vでヒーターを使用した際に、28V条件を前提とするサーモスタットスイッチが正常に回路を遮断できなかったことにある。

スイッチの接点がアークによって溶着し、ヒーターを停止できなくなった。

その結果、長時間の過熱によって近くのファン配線の絶縁が損傷したと考えられている。

つまり、

65V → 即爆発

ではない。

65V条件 → 保護スイッチ故障 → 長時間過熱 → 絶縁損傷 → 飛行中短絡 → 発火

という連鎖である。

FACT CHECK｜酸素タンクは「爆弾」だったのか

NASAの後年の解説では、危険な状態になったタンクを比喩的に「potential bomb」と表現することがある。

しかし技術的には、通常の爆薬が搭載されていたわけではない。

事故調査から再構成されたのは、損傷した電気配線による短絡、絶縁材の燃焼、酸素タンク内部の圧力上昇、タンク・配管の破損、高圧酸素の急速放出という過程である。

「酸素タンクが爆発した」という表現は出来事を短く説明するには便利だが、事故原因を理解する場合には内部の燃焼と構造破損を分けて考える必要がある。

Apollo 13事故は、なぜ「システム事故」としても重要なのか

事故を起こしたのは酸素タンク2番だった。

しかし、Review Boardが問題にした範囲は一つのタンクをはるかに超えている。

設計変更時に、関連するすべての部品仕様が追従していたか。

取り扱い事故後の検査で、内部の潜在的不具合まで確認できていたか。

通常手順で排出できないという異常を、単なる作業上の問題として扱ってよかったのか。

65Vでヒーターを長時間運転した際、保護装置が本当に作動したか確認されていたか。

温度計の測定範囲が、危険な過熱を検出するのに十分だったか。

個々の判断だけを見ると、それぞれには理由があった。

しかしシステム全体で見ると、複数の弱点が一つの酸素タンクへ集まっていた。

Apollo 13 Review Boardは事故を、単純な部品故障ではなく、設計、製造、試験、運用、管理にまたがる問題として捉えた。

この調査を受けてApollo 14以降では酸素貯蔵システムが再設計される。

その変更内容は第9回で詳しく扱う。

まとめ｜事故は4月13日に突然始まったのではない

1970年4月13日、Apollo 13の酸素タンク2番では、ファン作動を契機として電気的短絡が起きた。

しかし、短絡が重大事故へ発展した条件は、それ以前に作られていた。

1968年、酸素棚の取り外し作業で予期しない落下が発生した。

1970年3月、打ち上げ前試験で酸素タンク2番を通常方法では排出できなくなった。

残った酸素を除去するため、65Vの地上電源を使ってヒーターを約8時間作動させた。

ところが過熱保護用サーモスタットは28V条件のままで、65V下で正常に開くことができず、接点が溶着した可能性が高い。

ヒーター周辺は極端な高温となり、近くのファン配線に使われていたテフロン絶縁を損傷した。

その状態は認識されないまま、タンクへ再び酸素が充填された。

そして月へ向かう途中でファンを作動させたとき、損傷した配線が短絡した。

絶縁材が高圧酸素中で燃焼し、タンクの圧力と温度が上昇する。

リリーフバルブは作動したが燃焼は止まらず、タンクの健全性が失われた。

高圧酸素の放出によってサービスモジュールは大きく損傷し、酸素タンク1番、燃料電池、電力、水まで連鎖的に失われていった。

Apollo 13事故を一言で表せば「酸素タンクの爆発」である。

しかし原因を追うと見えてくるのは、一つの故障ではない。

小さな設計不整合と、個別には処理できたように見える異常が、時間を隔ててつながった事故だった。

そして事故が起きたあと、3人にはもうOdysseyを通常どおり使い続けるという選択肢は残されていなかった。

次に必要だったのは、本来2人を月面へ運ぶために作られたAquariusを、3人が地球まで生き延びるための宇宙船へ変えることだった。