THE QUESTION
BOPはなぜ最後の壁になれなかったのかについて、この回が担う固有の論点は何か。
STORY SO FAR
前回「キックはどう暴噴へ進んだのか」で確認した論点を受け、この回ではBOPはなぜ最後の壁になれなかったのかについて、この回が担う固有の論点は何か。を扱う。
Deepwater Horizon事故では、井戸の最後の機械的barrierとしてBOP（blowout preventer）があった。BOPには複数のramとannular preventerが組み込まれ、最悪の場合にはdrill pipeを切断して井戸を封じるblind shear ram（BSR）が備えられていた。
それでもMacondo井は封止できなかった。
事故直後の説明では、「BOPが作動しなかった」「電気系統が壊れていた」と単純化されることが多かった。しかし事故後のforensic examinationと後年のCSB分析は、より複雑なfailure chainを示した。
JIT/DNVは、drill pipeがBSRのcutting surfaceから外れたoff-center positionにあり、ramが完全に閉じられなかったことを主要failureとした。さらにCSBは、4月20日夜にcrewがpipe ramを閉じた後、drill pipe内外に大きなpressure differentialができ、effective compressionによってpipeがbucklingしてoff-centerになった可能性が高いと再構成した。
つまり、最後のbarrierは「命令を受けなかった」のではなく、作動しても設計上切断しにくい位置へpipeが移動していた可能性が高い。
CASE FILE 50｜Deepwater Horizon事故 2010
第6回では、BOPの構造、pipe ramとblind shear ramの違い、AMF/deadman、control pods、そしてoff-center drill pipeがなぜseal failureにつながったのかを整理する。[1]
BOPは一枚の「巨大な弁」ではない
Deepwater HorizonのBOP stackは海底wellheadの上に設置された複数のpressure-control devicesの集合体だった。
JITの整理では、stackにはupper / lower annular preventer、複数のvariable bore ram、casing shear ram、blind shear ram、choke / kill lineなどが含まれていた。
annular preventerはrubber elementを内側へ押し出し、drill pipeの周囲やopen holeをsealする。variable bore ramはpipeの周囲を閉じてannular spaceをsealする。
一方、blind shear ramは役割が違う。二枚のcutting elementでdrill pipeを切断し、その後ram facesを完全に閉じてwellboreをsealする。drill pipeが通っていても「最後に井戸そのものを遮断する」ことを想定した装置だった。
casing shear ramもpipeを切断できるが、JITはこれをcutting elementのみで、seal目的のdeviceではないと説明している。したがって「pipeを切れればよい」と「切って完全にsealできる」は別の要件である。
事故直前、crewはpipe ramでwellを一度shut inした
第5回で見たように、9:42 p.m.ごろcrewは明確なwell flowを認識した。その後upper annular、variable bore ramなどを操作し、well controlを取り戻そうとした。
CSBはreal-time pressure dataから、最初のexplosion直前にcrewがpipe ramを閉じ、well flowを一時的に止めることに成功したと再構成している。
この操作は一見すると成功である。しかし後のCSB分析では、ここで起きたpressure configurationが次のfailureを生む条件になった。
pipe ramが閉じると、drill pipeの外側ではwell flowが遮断される一方、drill pipe内部には下方の高いwell pressureが伝わる。pipe外側、特にram上方ではriser内のfluidがsurfaceへ放出されるにつれてpressureが低下する。
その結果、drill pipeの内側と外側に大きなpressure differentialが生じる。
effective compressionとは何か
CSBが重視したのがeffective compressionである。
長いpipeは、単に上から押されるaxial compressionだけでなく、内部pressureと外部pressureの差、pipe endへ加わるforce、pipe自体のわずかなcurveなどが組み合わさるとbucklingを起こす。
CSBは、Macondoではpipe ramを閉じた直後にdrill pipe内外のpressure differentialが大きくなり、そのeffective compressionによってBOP内部のpipeが横へ曲がった可能性が最も高いと結論づけた。
このbucklingは、一般的な「重さでpipeが押し潰された」説明とは異なる。CSBはequipment weightだけのscenarioをunlikelyとし、flow dragだけでもbuckling forceとして不十分で、pressure differentialを含むeffective compressionを考える必要があるとした。
重要なのは、drill pipeが破断したのではなく、BOP内部でcenterから外れるほど横へbucklingしたことだった。
blind shear ramは「中心にあるpipe」を切る設計だった
Deepwater HorizonのBSRは、drill pipeがcutting bladesの有効範囲にあることを前提としていた。
事故後にBOPを回収して調べると、drill pipeはBSRの中央ではなくoff-center positionにあった。
JIT/DNVは、BSR activation時にdrill pipeの一部がblade cutting surfaceの外側へ位置し、ram block facesの間に挟まれたため、BSRが完全に閉じてsealできなかったと結論づけた。DNV modelでは、ram blocksの間に約2.8 inchのgapが残ったと推定された。
CSBも、DWH BOPはoff-center drill pipeを切断するよう設計されておらず、post-incident modelingではoff-center pipeを切ってsealできなかったとしている。
つまりBSRのfailureは「切断能力がゼロだった」のではない。pipe位置というconditionがdesign envelopeから外れ、partial shear / punctureは起きても完全なsealへ移れなかった。
JITとCSBで「BSRがいつ作動したか」の再構成が違う
ここは資料を混ぜると混乱しやすい。
JITが依拠したDNV analysisでは、BSRが閉じた時期として二つのscenarioが検討された。
- 4月20日のexplosion後、multiplex / hydraulic communicationを失ったことでAMF（Automatic Mode Function / deadman）が作動した
- 4月22日、ROV interventionでautoshear circuitが作動した
DNVは、最も可能性が高いactivation scenarioを4月22日のautoshearとした。ただし4月20日にAMF circuitsが作動した可能性も排除していなかった。
その後CSBは、より広いBOP test dataとcontrol pod analysisを使い、別の結論を出した。CSBは、AMF/deadmanが4月20日夜に作動し、BSRがその時点で閉じ始めた可能性が高いとした。
したがって本記事では、「BSRは4月22日まで全く作動しなかった」とは書かない。一方で、JIT/DNVの初期再構成とCSBの後年分析が違うことも隠さない。
AMF / deadmanは何をする仕組みだったのか
AMF、いわゆるdeadmanは、rigとBOPのconnectionが失われたような重大緊急時に、surfaceからの正常commandがなくてもBSRを作動させるbackup systemだった。
JITは、LMRPがelectrical power、fiber-optic communication、hydraulic pressureを失うとdeadman systemがBSRをcloseするよう設計されていたと説明している。
BOPにはblue podとyellow podというredundant control podsがあり、electrical signalsとhydraulic powerを使ってramを操作する。
冗長系がある理由は、一方に故障があってももう一方で安全機能を実行するためである。しかし事故後のCSB investigationは、そのcontrol system内部にも複数のlatent failuresがあったことを見つけた。
blue podとyellow podには何が起きていたのか
CSBは、BOP control podsにmiswiringとbattery failureがあったと報告した。
blue podではwiring defectによってcritical 27-volt batteryがdrainし、incident時にはpodがinoperableだった可能性が高いとした。
yellow podでもsolenoid valve Y103にmiswiringがあり、さらに一つの9-volt batteryがdrainedしていた。
通常ならmiswired solenoidの二つのcoilが同時にenergizeされると互いの作用が打ち消し合い、valveが開かない可能性があった。しかしCSBは、battery failureによって一方のcoilが動かず、残ったcoilが単独で動いたため、皮肉にもyellow podがAMF/deadman sequenceを実行できた可能性が高いと再構成した。
つまり「battery failureがBSR作動を止めた」と単純には言えない。blue podでは機能喪失につながった一方、yellow podではmiswiringとbattery failureが組み合わさった結果、BSR closure initiationを可能にしたとCSBはみている。
ではcontrol システム障害は主原因ではないのか
control system defectsは重要なsafety issueである。CSBは、それらがmanufacturer factory acceptance testで発見されるべきだったとし、AMF/deadmanを十分なsafety-critical elementとして管理していなかった点を問題視した。
しかし、Macondoでwellがsealされなかった直接的なfailureを考えると、CSBの結論はさらに具体的である。
yellow pod側からAMF/deadman sequenceが作動し、blind shear ramはclose directionへ動いた可能性が高い。それでもdrill pipeがoff-centerだったため、BSRはpipeをpartial shear / punctureしただけで完全sealできなかった。
したがってcontrol defectsは「潜在故障を抱えたBOPだった」という管理上の重大問題である一方、CSB reconstructionでは、事故夜に最後のsealを阻んだ直接的なmechanismはoff-center buckled drill pipeだった。
BSRがpipeを切ったのに、なぜflowが増えたのか
CSBによると、wellはpipe ram closureで一時的にsealされていた。
その後AMF/deadmanが作動し、BSRがbuckled pipeへ接触した。pipeはblade centerから外れていたため、BSRはclean shearして両側を閉じることができず、pipeをpunctureしpartial shearした。
この結果、pressurized drill pipeに新しいflow pathが開き、wellからriser側へのflowが再び急速に増えたとCSBは再構成している。
「最後の安全装置が作動したのに状況が悪化した」という逆説的なsequenceである。
ただし、これはBSR一般が危険という意味ではない。問題は、designが想定するpipe positionと、実際のemergency well conditionsが一致していなかったことにある。
6⅝インチdrill pipeのshear capability問題
CSBはさらに、Deepwater Horizon BOPのBSR capacityそのものにも別の問題を指摘した。
Macondo掘削の多くで使われていた6⅝-inch drill pipeについて、DWH BOPはcentered conditionであってもreliably shearできる能力が不足していたとCSBは評価している。
ただし事故当日4月20日にBSR位置へあったpipeは、この「6⅝-inch pipe capacity」問題と同一ではない。[2]CSB自身も、6⅝-inch drill pipeは4月20日を除く多くのDWH drilling operationsで使われていたと整理している。
この点は、actual accident mechanismとbroader safety management deficiencyを区別するために重要である。
事故当夜のseal failureはoff-center buckled pipeの問題が中心であり、6⅝-inch shear capacityは「このBOPがsafety-critical barrierとしてoperation全体を通して十分なperformance envelopeを持っていたのか」という別レベルの問題である。
なぜlatent failureが残ったのか
BOPは日常的にtestされていた。だがCSBは、通常drillingで頻繁に使うcomponentsのinspection / testingと、重大事故時だけ作動するemergency functionsのassuranceは同じではないと指摘した。
事故前、TransoceanやBPはBOPのregular testsを実施していたものの、AMF/deadmanなどemergency systemに潜むwiring / battery failureを確実に見つけるinspection / test regimeには不足があった。
CSBはこれを「BOPをsafety critical elementとしてlifecycle managementしていなかった」問題として扱った。
safety-critical equipmentは、設置時に動けばよいのではない。必要な瞬間に、要求されたconditionで、必要なforce / logic / redundancyを使って確実に機能することを継続的に保証しなければならない。
JITが見たBOP failure
JIT/DNVのforensic examinationも、中心的なphysical findingはCSBと共通している。
回収されたpipe、tool joint、wear pattern、deformation、ram positionなどを分析し、BSR activation時にdrill pipeがcutting surfaceの外側へずれていたため、ram blocksが完全に閉じられなかったとした。
JITは、約28 feetのdrill pipeがupper annularとupper variable bore ramの間でelastic bucklingし、そのoff-center conditionがBSR failureのpossible contributing causeになったとまとめている。
一方、JITのbuckling mechanismは複数scenarioを残しており、CSBはその後effective compressionをより強く支持した。
したがって、両調査を組み合わせると次のように整理できる。
- 共通するphysical fact：BSR作動時にdrill pipeがoff-centerで、完全shear / sealできなかった。
- JIT/DNV：elastic bucklingの複数scenarioを検討。BSR activationは4月22日autoshearを最有力とした。
- CSB：4月20日夜にAMF/deadmanがlikely actuatedし、effective compressionでpipeがbuckledしたと再構成。
Emergency Disconnect Systemもrigを切り離せなかった
JITによれば、午後9時56分ごろsubsea engineerはbridgeのBOP panelからEmergency Disconnect System（EDS）を作動させようとした。
EDSはBSRを作動させたうえでLMRPをlower BOP stackからdisconnectし、rigとwellを切り離すことを目的とする。
panel上ではcommandが出たように見えたが、rigはBOPからdisconnectしなかった。
ここでも「buttonを押したのに何も動かなかった」という理解だけでは足りない。EDSは複数の前提条件、hydraulic / electrical control、ram movement、LMRP disconnectが連続して成立するsystem functionである。
その後explosionとblackoutでsurface controlを失い、deadman / autoshearなどbackup layerの役割が大きくなった。
ROV interventionでもすぐにはsealできなかった
rig沈没後、response teamsはROVを使ってBOPへ直接hydraulic interventionを試みた。
JITによれば、4月22日にautoshear functionを使うためpoppet valveを切断しようとした最初の試みは十分に成功せず、hot stabによるram操作も失敗した。
その後、別のattemptでpoppet valve切断に成功し、JIT/DNVはこのautoshear actionがBSRを閉じた可能性を最有力としたが、wellはsealされなかった。
4月25日から5月5日までにも多数のROV interventionsが行われた。[2]
これは、BOPが「遠隔で一度close commandを出せば必ずsealできる単純な弁」ではなかったことを示す。
技術図｜pipe ram closureからBSR failureまで
この記事の図では、事故夜のCSB reconstructionを中心に、JIT/DNVとの違いを注記する。
- crew closes pipe ram → well flow temporarily stopped
- drill pipe inside pressure remains high / outside pressure above ram drops
- effective compression → drill pipe buckles off-center
- explosions / loss of control links → AMF/deadman likely actuates（CSB）
- BSR moves inward but encounters off-center pipe
- partial shear / puncture → ram cannot fully close
- well remains unsealed / flow resumes
図中では、control pod defectsを別branchとして表示し、「latent safety-critical defects」と「direct sealing failure mechanism」を分ける。
また、JIT/DNVではBSR activation timingについて4月22日autoshearが最有力だったことをside noteとして示し、CSB reconstructionだけを唯一の歴史的事実として扱わない。
検証ポイント｜BOPは「作動しなかった」から失敗した？
それだけでは正確ではない。
JIT/DNVもCSBも、physical 証拠としてBSRがoff-center drill pipeによって完全に閉じられなかった点を重視している。
CSBはさらに、AMF/deadmanが4月20日にlikely actuatedし、BSR自体はclose directionへ動いたと結論づけた。yellow podにはmiswiringとbattery failureがあったが、その組み合わせによってむしろ一方のcoilが単独で作動し、BSR closureをinitiateできた可能性が高いとした。
したがって「電気故障でBOPが何も動かなかった」という説明は、CSB final analysisとは合わない。
より正確には、BOPには潜在的なcontrol-system defectsがあり、さらにemergency well conditionでdrill pipeがdesign上切断しにくいoff-center positionへbucklingし、BSRが完全shear / sealできなかったという複合failureだった。
まとめ｜最後のbarrierはなぜ破れたのか
BOPは最後の一枚の弁ではなく、annular preventers、pipe rams、blind shear ram、control pods、accumulators、deadman、autoshear、EDSなどからなる複雑なsafety systemだった。
事故夜、crewはpipe ramでwell flowを一時的に止めた。しかしCSBは、そのpressure conditionによってdrill pipe内外のpressure differentialが拡大し、effective compressionでpipeがoff-centerへbucklingした可能性が高いとした。
その後AMF/deadmanがlikely actuatedし、BSRがpipeをshearしようとした。しかしpipeがblade centerから外れていたため、BSRはpartial shear / punctureにとどまり、ram blocksは完全に閉じられなかった。
JIT/DNVもactivation timingの再構成は違うが、off-center pipeがBSR closureを妨げたというphysical findingは共通している。
同時に、control podsにはmiswiringとbattery failureがあり、emergency systemsのlatent defectsを事前に発見できるassuranceも不十分だった。
つまりBOP failureは、単一のbroken componentではない。well condition、pipe mechanics、ram geometry、control redundancy、testing / maintenance assuranceが一つのcritical momentで交差したfailureだった。
ここまでで、cement barrier、negative pressure test、kick detection、BOPという主要なwell-control barriersがすべて失われた。次の記事では、爆発後の126人の乗員がどのように退避し、なぜ11人が戻らなかったのかを、技術原因から切り離して人命・emergency responseとして追う。
次の記事
爆発後、126人はどう退避したのか
explosion、fire、general alarm、lifeboats、life raft、海へjumpした乗員、Damon B. Bankstonによる救助までを時系列で整理し、11人の死亡を非扇情的に扱う。
CASE FILE 50｜全10回
- Deepwater Horizon事故とは何だったのか
- Deepwater Horizon事故｜水深約1500mのMacondo井では何をしていたのか
- Deepwater Horizon事故｜セメントと坑井障壁はなぜ破れたのか
- Deepwater Horizon事故｜陰圧試験はなぜ「成功」と判断されたのか
- Deepwater Horizon事故｜キックはどう暴噴へ進んだのか
- 現在の記事：Deepwater Horizon事故｜BOPはなぜ最後の壁になれなかったのか
- Deepwater Horizon事故｜爆発後、126人はどう退避したのか
- Deepwater Horizon事故｜87日間の流出はどう止められたのか
- Deepwater Horizon事故｜環境被害はどこまで広がり、何が回復途上なのか
- Deepwater Horizon事故｜調査は何を問題とし、規制はどう変わったのか
FACT CHECK｜出典・参考資料
- [1] U.S. Chemical Safety Board, Macondo Investigation Report Volume 2 AMF/deadman、blue/yellow control pods、miswiring、battery failures、effective compression、off-center drill pipe、blind shear ram partial closure、safety-critical element managementの分析に使用。
- [2] BOEMRE / U.S. Coast Guard Joint Investigation Team, Deepwater Horizon Final Report Volume II BOP stack構成、DNV forensic examination、BSR activation scenarios、2.8-inch gap、elastic buckling、EDS、ROV interventionの整理に使用。
- [3] U.S. Chemical Safety Board, Macondo Blowout and Explosion investigation page Volume 2の位置づけと最終調査資料への入口として使用。
Deepwater Horizon事故｜原油流出はなぜ拡大したのか 第6回 全10回 全10回を見る
- 01 Deepwater Horizon事故とは何だったのか
- 02 Deepwater Horizon事故｜水深約1500mのMacondo井では何をしていたのか
- 03 Deepwater Horizon事故｜セメントと坑井障壁はなぜ破れたのか
- 04 Deepwater Horizon事故｜陰圧試験はなぜ「成功」と判断されたのか
- 05 Deepwater Horizon事故｜キックはどう暴噴へ進んだのか
- 06 Deepwater Horizon事故｜BOPはなぜ最後の壁になれなかったのか
- 07 Deepwater Horizon事故｜爆発後、126人はどう退避したのか
- 08 Deepwater Horizon事故｜87日間の流出はどう止められたのか
- 09 Deepwater Horizon事故｜環境被害はどこまで広がり、何が回復途上なのか
- 10 Deepwater Horizon事故｜調査は何を問題とし、規制はどう変わったのか