チャレンジャー事故｜チャレンジャー号事故とは？｜STS-51Lはなぜ73秒で失われたのか

1986年1月28日、NASAのスペースシャトル「チャレンジャー」は、フロリダ州ケネディ宇宙センターからSTS-51Lミッションとして打ち上げられた。^[1]チャレンジャーにとって10回目、スペースシャトル計画全体では25回目となるはずの飛行だった。

しかし、打上げから約73秒後、機体は上昇中に崩壊した。7人の乗員全員が失われ、アメリカの有人宇宙計画は停止する。テレビ中継を通じて事故を見た人も多く、チャレンジャー事故は1980年代を象徴する出来事の一つになった。

事故はしばしば「Oリングが壊れてシャトルが爆発した」と短く説明される。

物理的な起点だけを言えば、それは大きく外れてはいない。大統領事故調査委員会、いわゆるロジャース委員会は、右側固体ロケットモーターの継手でシールが機能を失い、高温ガスが外部へ漏れたことを事故の直接原因と結論づけた。NASAも現在、STS-51Lの事故原因を右側固体ロケットブースターのOリング不具合と、その性能を悪化させた異常な低温に結びつけて説明している。

ただし、それだけではチャレンジャー事故の本質をほとんど説明できない。

なぜなら、この事故では「壊れた部品」だけでなく、以前から知られていた異常、十分に理解されていなかった継手の挙動、低温への懸念、打上げ判断、技術情報の伝わり方、安全を確認する組織の仕組みまでが一つの連鎖を作っていたからだ。

このCASEでは、チャレンジャー事故を単独の部品故障ではなく、設計・運用・意思決定・組織が重なった「SYSTEM事故」として追っていく。

まず第1回では、STS-51Lがどのような飛行だったのか、事故では何が起きたのか、調査で何が明らかになり、NASAが何を変えることになったのかを全体像として整理する。

先に結論｜チャレンジャー事故は何が起きた事故だったのか

事故の全体像は、次のように整理できる。

STS-51Lは、通信衛星TDRS-Bの放出、ハレー彗星観測用のSPARTAN-Halley衛星の運用、教育実験などを予定した通常のスペースシャトル・ミッションだった。

ところが打上げ時、右側の固体ロケットブースター、正確にはSolid Rocket Motorの後方field joint付近で、燃焼ガスを内部に封じ込めるシール機能が正常に成立しなかった。

打上げ直後には継手付近から煙が確認されている。その後、飛行中に高温ガスの漏洩が再び顕在化し、外部タンク周辺へ重大な損傷を与えた。機体は空力荷重に耐えられない状態となり、打上げから約73秒で崩壊した。

ロジャース委員会は、直接の物理原因を右側Solid Rocket Motorの継手・シールの失敗に求めた。

しかし調査はそこで終わらなかった。

委員会は、継手設計そのものに問題があり、Oリングのerosionやblow-byと呼ばれる異常が過去の飛行でも発生していたこと、NASAと請負企業Morton Thiokolがその意味を十分に理解しないまま運用を続けたこと、事故前夜の低温に対する技術上の懸念が打上げ判断へ適切に反映されなかったこと、安全組織やコミュニケーションにも問題があったことを指摘した。

つまり、

「シールが失敗した」

↓

「高温ガスが漏れた」

↓

「機体が破壊された」

という物理的な故障連鎖の背後に、

「異常をどう評価したか」
「リスクをどのように許容したか」
「誰が何を知っていたか」
「懸念が意思決定へどう伝わったか」

という別の連鎖が存在した。

この二つを分けずに見ることが、チャレンジャー事故を理解する出発点になる。

STS-51Lは何をするミッションだったのか

STS-51Lは、事故を前提として計画された特別な飛行ではない。

1986年当時のNASAにとって、スペースシャトルは実験機から定常運用システムへ移りつつある存在だった。チャレンジャー自身もすでに9回の飛行を経験し、STS-51Lは10回目となる予定だった。

NASAの記録では、この飛行はスペースシャトル計画として25番目のミッションに位置づけられている。

主要な任務の一つが、Tracking and Data Relay Satellite、TDRS-Bの放出だった。

TDRSは、地球周回中の宇宙機と地上との通信を効率化するための中継衛星網を構成する。シャトルから放出した後、Inertial Upper Stageを使って高い軌道へ移す計画だった。

もう一つの主要任務がSPARTAN-Halleyだった。

1986年はハレー彗星が太陽系内側へ戻ってくる時期にあたり、SPARTAN-Halleyはシャトルから放出され、独立して観測を行った後、再び回収される予定だった。

さらに、この飛行には一般社会から特に大きな注目を集める要素があった。

Teacher in Space Projectで選ばれた高校教師、S. Christa McAuliffeがPayload Specialistとして搭乗していたからである。

計画では、宇宙から学校教育向けの授業を行う予定だった。宇宙飛行士だけの世界に見えがちだった有人宇宙飛行を、教師という身近な職業を通じて一般市民へ接続する象徴的な試みでもあった。

ただし、STS-51Lを「教師を宇宙へ送るミッション」とだけ捉えるのも正確ではない。

この飛行は、通信衛星、天文観測、科学実験、教育活動を組み合わせた通常のシャトル運用の一部だった。だからこそ、事故の衝撃は大きかった。

特殊な実験飛行で発生した例外的な事故ではなく、「繰り返し運用できる宇宙輸送システム」として定着しつつあったシャトルが、通常運用の中で失われたからである。

7人の乗員

STS-51Lには7人が搭乗していた。

CommanderはFrancis R. “Dick” Scobee。

PilotはMichael J. Smith。

Mission SpecialistはJudith A. Resnik、Ellison S. Onizuka、Ronald E. McNairの3人。

Payload SpecialistはGregory B. JarvisとS. Christa McAuliffeだった。

この7人の構成自体が、当時のスペースシャトルが単なる「宇宙飛行士を運ぶ船」ではなくなっていたことを示している。

操縦を担当するCommanderとPilotだけでなく、科学・技術ミッションを担うMission Specialist、特定のペイロードや計画を担当するPayload Specialistが搭乗していた。

チャレンジャー事故を扱う際、乗員については特に注意が必要である。

事故映像が広く知られているため、「73秒後に全員が即死した」「最後まで全員が意識を保っていた」といった断定的な説明が流通することがある。

しかし、NASAの事故後資料には、乗員の死亡原因を確定できなかったという明確な限界がある。

そのためこのCASEでは、確認できる事実と推測を分ける。乗員区画の回収や調査についてはCASE052-05で扱うが、センセーショナルな推測を事実として記述しない。

なぜ「73秒」が事故を象徴する数字になったのか

チャレンジャー事故を説明する記事や映像では、「打上げ73秒後」という数字がほぼ必ず登場する。

実際、NASAは現在のSTS-51L紹介でも、チャレンジャーがliftoffから73秒後に失われたと記している。

ただし、この「73秒」を「73秒目に突然故障が始まった」という意味で理解すると、事故の実像から離れる。

後の映像解析では、右側Solid Rocket Boosterの継手付近で異常を示す煙が打上げ直後から確認されている。

つまり、最終的な機体崩壊は約73秒後でも、その原因となる異常ははるか以前から進行していた。

さらに時間軸を広げれば、事故の「始まり」は打上げ当日ですらない。

Oリングのerosionやblow-byは過去の飛行で観測されており、継手とシールが設計どおり単純に機能していないことを示すデータは事故以前から存在していた。

したがってチャレンジャー事故には少なくとも三つの時間軸がある。

一つ目は、打上げから約73秒までの「事故進展の時間」。

二つ目は、前日から当日朝にかけての「打上げ判断の時間」。

三つ目は、設計・試験・過去の飛行経験が蓄積された「数年間の時間」。

事故映像だけを見ると最初の時間軸だけが強烈に残る。

しかし、SYSTEM事故として理解するには、三つを重ねて見る必要がある。

直接原因は右側Solid Rocket Motorの継手だった

ロジャース委員会のChapter IVは、事故の直接原因についてかなり明確な結論を示している。

チャレンジャー喪失の原因は、右側Solid Rocket Motorの下側セグメント間にある継手の失敗であり、具体的には、ロケットモーター燃焼中に高温ガスを外部へ漏らさないためのシールが破壊されたことだった。

スペースシャトルは、Orbiter、External Tank、左右2本のSolid Rocket Boosterを組み合わせたシステムとして上昇する。

発射直後の大きな推力を担当するSolid Rocket Boosterは、巨大な一体構造ではなく、製造・輸送・組立の都合から複数の円筒状セグメントを接続して構成されていた。

その接続部がfield jointである。

内部では固体推進薬が燃焼し、高温・高圧の燃焼ガスが発生する。

したがって継手は、「機械的に接続されていればよい」わけではない。内部圧力が加わった状態でもガスを外へ漏らさないシール性能が必要になる。

その役割を担う重要要素がOリングだった。

STS-51Lでは右側ブースターの後部継手でシール機能が成立せず、高温ガスが外部へ漏れた。

ただし、「Oリングというゴム輪が寒さで硬くなり、壊れた」という一文だけでは、設計上の問題を十分に表現できない。

継手は内圧によって変形し、シール部の隙間が変化する。Oリングはその変化に追従し、必要な位置へ移動してシールを成立させなければならない。

低温はその追従性に影響する。

さらに問題なのは、NASAとThiokolが事故前の時点で継手の実際のシール挙動を完全には理解できていなかったことだった。

この機械的メカニズムはCASE052-03で、field joint断面とともに詳しく扱う。

「シャトルが爆発した」だけでは正確ではない

事故映像では、機体が巨大な火球の中に消える。

そのため一般には「チャレンジャーが爆発した」という表現が使われる。NASA自身も一般向けページでexplosionという語を使うことがあるため、日常語として完全な誤りとは言えない。

ただし技術的に事故過程を理解するときは、その一語で終わらせない方がよい。

事故は、Orbiter内部の単一爆発物が突然爆発して全機を吹き飛ばした、という単純な現象ではない。

右側Solid Rocket Boosterの継手から高温ガスが漏れ、それが周囲の構造へ影響し、External Tankとブースターの関係が破綻し、機体全体が正常な飛行形態を維持できなくなった。

そして高速で上昇していた機体が、設計範囲を超える空力荷重の中で分解していった。

事故の瞬間に見える火球は、その一連の構造破壊と推進剤放出を含んだ結果である。

「爆発」という言葉は見た目を説明するには便利だが、原因と進展を一つに潰してしまう。

このCASEでは、

シール失敗
→ 高温ガス漏洩
→ 周辺構造への損傷
→ 推進システムと機体構造の破綻
→ 機体崩壊

という順序を区別する。

CASE052-04では、写真・映像・テレメトリに基づき、打上げ直後から73秒までに何が観測されたのかを時間順に追う。

事故のあと、何が調べられたのか

事故直後、NASAのスペースシャトル飛行は停止した。

原因究明には、映像、写真、テレメトリ、設計資料、過去の試験記録、過去ミッションで確認されていたOリング損傷、関係者の証言、回収された残骸など、膨大な資料が使われた。

1986年2月、大統領令によってPresidential Commission on the Space Shuttle Challenger Accidentが設置された。

委員長のWilliam P. Rogersの名から、一般にRogers Commission、ロジャース委員会と呼ばれる。

委員には宇宙飛行、航空、工学、物理学、軍、経営など異なる分野の専門家が参加した。著名な委員の一人が物理学者Richard P. Feynmanである。

委員会の役割は、単に「どの部品が壊れたか」を特定することではなかった。

事故の原因と、それを可能にした背景を調べ、スペースシャトルを安全に飛行へ戻すために何を変える必要があるかを示すことだった。

最終報告は1986年6月にまとめられた。

そこで、右側Solid Rocket Motorの継手・シールの失敗が直接原因として示される一方、設計、試験、異常への対応、打上げ判断、NASAの管理構造、安全組織などにも踏み込んだ指摘が行われた。

この「ハードウェア原因」と「組織原因」を同じ事故報告の中で扱ったことが、チャレンジャー事故を現在まで参照されるケーススタディにしている。

問題は事故前から見えていた

チャレンジャー事故の重要な特徴は、「まったく未知の壊れ方が突然発生した事故」ではないことである。

Solid Rocket Motorの継手とOリングには、事故以前から問題の兆候が存在していた。

過去の飛行ではOリング表面のerosionが確認され、場合によっては高温ガスがシール領域へ侵入した痕跡も見つかっていた。

これらは、継手とOリングの実際の挙動が、設計時に想定されたほど単純ではないことを示していた。

それでもシャトルは帰還していた。

ここに、重大事故で繰り返し現れる難しい問題がある。

異常が発生したのに事故にならなかった場合、その経験をどう解釈するか。

「危険だったが、今回は偶然破局しなかった」と見るのか。

「実際に飛べたのだから、この程度の異常は許容可能だ」と見るのか。

ロジャース委員会は、NASAとThiokolがOリングerosionやblow-byを繰り返し経験しながら、それを次第に受け入れ可能な飛行リスクとして扱うようになったことを問題視した。

後にFeynmanは、過去に無事だったことを次回の安全性の根拠にして基準を緩めていく考え方を強く批判している。

この点は、単なる「技術者の警告が無視された」という物語より重要である。

危険信号が存在しても、それが組織の中で「異常」として維持されず、「既知の挙動」「これまで飛べている範囲」として再分類されれば、次の意思決定に与える重みは小さくなる。

チャレンジャー事故では、その蓄積が事故前夜の判断とも接続していた。

ただし、その電話会議で誰が何を主張し、なぜ最終的に打上げ推奨へ変わったのかは、CASE052-02で個別に検証する。

単一部品事故ではなくSYSTEM事故として見る理由

工学的な事故解析では、「root cause」という言葉が便利な一方で危険でもある。

原因を一本に絞れば説明は分かりやすくなる。

チャレンジャー事故なら「右SRBのOリング不良」がそれに見える。

しかし、もしOリングだけを交換して、同じ設計判断、同じ異常評価、同じ情報伝達、同じ安全監督の仕組みを残したなら、本質的に安全になったと言えるだろうか。

ロジャース委員会の勧告が継手設計の修正だけに終わらなかったことが、その答えになる。

委員会はSolid Rocket Motorのjoint/seal redesignに加えて、Shuttle Programの管理構造、コミュニケーション、criticality reviewとhazard analysis、安全組織、着陸安全、launch abortとcrew escape、flight rate、maintenance safeguardsまで広い範囲に勧告を出した。

つまり事故調査自身が、問題を単一部品へ閉じていなかった。

チャレンジャー事故をSYSTEM事故として見るとき、少なくとも次の層を分けて考える必要がある。

第1層は、ハードウェア。

継手、Oリング、ブースター、External Tankなど、実際に荷重・圧力・温度を受ける物理システムである。

第2層は、設計・試験・認証。

どの条件を設計範囲とし、どの試験で十分と判断し、異常が見つかったときにどのように再評価するかという工学プロセスである。

第3層は、運用判断。

気象条件、スケジュール、技術的懸念、打上げ基準などを統合し、その日の打上げ可否を決定する。

第4層は、組織。

技術情報がどの経路で上がり、異論を誰が保持し、安全部門がどれだけ独立して監督できるかという仕組みである。

事故は、このうち一層だけが破れた結果ではない。

複数の防護層が同時に弱くなり、最終的に物理的な故障が致命的結果へ進展した。

産業設備や制御システムで言えば、「故障したセンサを交換すれば終わり」ではなく、なぜ異常兆候を診断できなかったのか、なぜインターロックが最終防護にならなかったのか、なぜ既知異常を許容する運用になったのかまで追う考え方に近い。

この視点が、チャレンジャー事故を宇宙開発史だけの出来事にしない。

「低温」はどこまで重要だったのか

NASAの現在のSTS-51L紹介では、右側固体ロケットブースターのOリングfailureが、打上げ前のフロリダの極端な低温によって悪化したと説明されている。

事故当日の寒さは重要な条件だった。

しかし、ここでも「寒かったからゴムが凍って事故になった」という単純化は避ける必要がある。

問題は、低温という環境条件と、継手が圧力で動く機械的挙動と、Oリングがシール位置へ応答する時間が組み合わさったことにある。

さらに、低温での性能について懸念が示されていたにもかかわらず、打上げ判断の中でその不確実性がどう処理されたかという別の問題がある。

したがって低温には二つの意味がある。

一つは、ハードウェアのシール性能へ影響する物理条件。

もう一つは、不確実性を抱えたまま飛行可否を決める意思決定条件。

この二つを混ぜると、「低温が原因だった」という説明だけが残り、なぜその条件で打上げに至ったのかが見えなくなる。

物理側はCASE052-03、判断側はCASE052-02で分けて扱う。^[1]

NASAは事故後に何を変えたのか

チャレンジャー事故後、スペースシャトルはすぐに飛行を再開しなかった。

NASAはロジャース委員会の勧告を受け、Solid Rocket Motorの継手再設計をはじめ、シャトルの多数のシステム、運用手順、管理構造、安全組織を見直した。

継手については、従来構造をそのまま使ってOリングだけを新品にするような対応ではなく、joint/sealそのものが再設計の対象になった。

委員会は、継手が十分に理解され、試験され、検証されること、環境条件や組立・公差などに対してシール健全性が保たれることを要求した。

管理面でも、NASAはSafety, Reliability and Quality Assuranceを強化し、独立性を持つ安全組織を整備した。

また、criticality review、hazard analysis、crew escapeを含む安全対策、整備手順、打上げ頻度の考え方など、広い範囲で見直しが行われた。

飛行再開は1988年9月29日。

スペースシャトルDiscoveryによるSTS-26が打ち上げられ、チャレンジャー事故から32か月ぶりにシャトルが宇宙へ戻った。

このSTS-26では再設計されたSolid Rocket Motorが使用された。

ただし、「再設計して飛行再開したから問題は解決した」と理解するのも危険である。

事故後改革がどこまで何を変えたのか、そして何が制度として残ったのかは、CASE052-07で具体的に検証する。

よくある誤解を整理する

誤解1｜73秒目に突然すべてが始まった

違う。

約73秒は機体崩壊が決定的になった時点として象徴的だが、異常は打上げ直後から映像に記録されていた。

さらにOリングや継手の問題は、過去の飛行・試験まで遡る。

誤解2｜原因は「寒さ」だけだった

違う。

低温は重要な条件だったが、それだけでは事故を説明できない。

低温下でのOリング応答、field jointの設計、過去の損傷、打上げ判断、情報伝達が組み合わさっている。

誤解3｜原因は「不良Oリング1個」だった

不十分である。

直接故障はシール機能の喪失だが、ロジャース委員会はjoint/seal designそのものと、それを運用・評価したNASAおよびThiokol側の対応を問題にした。

部品単体の品質不良として閉じると、事故調査の重要部分が抜け落ちる。

誤解4｜技術者は全員反対し、管理者が一方的に無視した

単純化しすぎている。

事故前夜には低温への技術的懸念があり、Thiokolは一度打上げを推奨しない方向を示した。しかし、その後の議論と社内判断を経て推奨は変更された。

誰がどの段階で何を知り、どの根拠で判断を変えたのかを分けて見る必要がある。

この過程はCASE052-02で扱う。

誤解5｜「爆発」が直接の事故原因だった

「爆発」は事故映像の見え方を表す言葉としては使えるが、技術的原因そのものではない。

調査で中心となったのは、右側Solid Rocket Motorの継手シール失敗と、その後に進展した高温ガス漏洩・構造破壊である。

検証ポイント｜CASE052-01で固定する基本事項

この事故から何を読むべきか

チャレンジャー事故には、非常に強い映像が残っている。

そのため、事故を知る入口は「打上げから73秒後の火球」になりやすい。

しかし、事故を理解するうえで本当に重要なのは、その73秒だけではない。

事故当日の寒さ。

前夜の電話会議。

過去に繰り返されていたOリング損傷。

継手挙動を十分に理解できていなかった設計・認証。

異常がありながら飛行が成功してきた経験。

技術者と管理者の間で異なっていたリスク認識。

組織の中で安全情報をどのように上げるかという仕組み。

それらが、打上げ時の物理故障へ接続した。

工学システムは、正常時には各層が互いの弱点を補うことで動く。

部品にばらつきがあっても設計余裕が吸収する。

設計上の不確実性があっても試験が見つける。

試験で異常が出ればレビューが止める。

運用条件が悪ければ打上げ基準が止める。

判断に迷いがあれば安全組織が独立して異議を上げる。

事故は、こうした防護が一枚ずつ機能しなくなったときに起こる。

チャレンジャー事故の重さは、最後のOリングだけを見るのではなく、その前に存在した複数の防護層がなぜ事故を止められなかったのかを考えたときに見えてくる。

だからこのCASEでは、事故を「宇宙船の故障」としてだけ扱わない。

技術、組織、判断、安全設計を一つのシステムとして追う。

次回｜なぜ寒波の朝に打ち上げられたのか

次のCASE052-02では、時間を事故前夜へ戻す。

1986年1月27日、翌朝の低温予報を前に、Solid Rocket Boosterを製造したMorton ThiokolとNASAの関係者の間で電話会議が行われた。^[1]

そこではOリングと低温の関係が議論され、一度は打上げを推奨しない判断が示される。

それでも最終的には打上げ推奨へ変わった。

何が議論され、どの情報があり、どの情報が不足し、誰がどの立場で判断したのか。

「警告があったのに、なぜ打ち上げたのか」という問いを、後知恵ではなく当時の意思決定プロセスから検証する。