THE QUESTION
Oリングはなぜ密封に失敗したのか ｜ 固体ロケットブースター継手の構造はどのような仕組みで成立・進行したのか。
STORY SO FAR
前回「なぜチャレンジャーは寒波の朝に打ち上げられたのか｜延期・低温・前夜の電話会議」で確認した論点を受け、この回ではOリングはなぜ密封に失敗したのか ｜ 固体ロケットブースター継手の構造はどのような仕組みで成立・進行したのか。を扱う。
チャレンジャー事故の説明では、「低温でOリングが硬くなり、シールできなかった」という一文がよく使われる。
大筋では間違っていない。
しかし、この説明だけでは、なぜ二重にOリングを持つ巨大なロケットモーターが、一つの継手から致命的な高温ガス漏れを起こしたのかが分からない。
Oリングは単独で機能する部品ではなかった。
その周囲には、Solid Rocket Motorのsegment、tang、clevis、O-ring groove、insulation、zinc chromate puttyがあり、点火後にはケース内圧が急上昇し、継手自体が変形する。
そしてOリングは、その変形より早く、適切な方向へ動いてシールを成立させなければならなかった。
チャレンジャー事故で問題となったのは、
「Oリングが存在するか」
ではなく、
「点火後の短い時間に、動いている継手の中でOリングがシール位置へ追従できるか」
だった。
Rogers Commissionは、右側Solid Rocket Motor後部field jointのpressure seal failureを事故原因と結論づけた。
しかも委員会は、このjoint designについて、温度、寸法、材料、再使用、processing、dynamic loadingといった複数要因に対して「unacceptably sensitive」だったと評価している。
つまり、事故原因は「寒さに弱いゴムを使った」だけではない。
継手が開く。
Oリングの圧縮状態が変わる。
燃焼ガス圧がOリングへ届く時刻が変わる。
puttyにgas pathができる。
低温でOリングの復元が遅れる。
その複数の条件が、点火後のごく短い時間に重なった。
CASE052-03では、右側SRB後部field jointの構造と、Oリングがシールできなくなるまでの機械的な連鎖を分解していく。
先に結論｜なぜ密封に失敗したのか
直接の答えはこうなる。
右側Solid Rocket Motorのfield jointでは、点火によってcase内圧が上昇するとtangとclevisの間隔が広がる、いわゆるjoint rotationが発生する。
本来、primary O-ringは燃焼ガス圧を受けてシール面側へ押し付けられ、この広がるgapを塞がなければならない。
しかしSTS-51Lでは、異常な低温によってOリングのresiliency、つまり変形から元の形状へ戻ろうとする応答が遅くなっていた。
さらに、joint内のputtyは燃焼ガスを一時的に遮り、Oリングへ作用するpressure actuationを遅らせる可能性があった。
継手側ではgapが開く。
Oリング側では低温のため追従が遅い。
そこへ燃焼ガス圧が遅れて到達する。
このタイミングが崩れると、Oリングが十分に密着する前に高温ガスの流路が形成される。
その状態がblow-byである。
そして高温ガスがOリングへ直接作用すれば、表面を侵食するerosionが進む。
重要なのは、secondary O-ringが必ずbackupとして機能するわけではなかったことだ。
joint rotationが進むとsecondary O-ring側でもcompressionが失われ、primaryが失敗した後にsecondaryが確実にシールできる保証はなかった。
NASAは事故以前から、このfield jointをCriticality 1、すなわち単一故障で任務・vehicle・crewを失う可能性がある項目として扱っていた。
二本のOリングがあるから二重安全だった、という理解は正しくない。
Solid Rocket Boosterは一体物ではなかった
スペースシャトルの左右に取り付けられたSolid Rocket Boosterは、打上げ初期の巨大な推力を生み出す。
その中心となるSolid Rocket Motorは、工場から完成した一本の筒として発射場へ運ばれるわけではない。
輸送可能な複数のcase segmentに分けて製造され、Kennedy Space Centerで縦に積み上げて組み立てられた。
Rogers Commissionの記録では、4つのsegmentをstackingし、その接続部に3か所のfield jointが形成される。
この「分割して輸送し、現地で接続する」構造自体は、巨大ロケットモーターを成立させるための現実的な設計だった。
問題は、その接続部が単なる機械結合ではないことにある。
Solid Rocket Motor内部では、点火後に固体推進薬が燃焼し、高温・高圧のガスが発生する。
したがってsegment同士のjointには二つの役割が必要だった。
一つは、推力や構造荷重に耐えてcaseを機械的につなぐこと。
もう一つは、内部の燃焼ガスを絶対に外へ漏らさないpressure vesselとしてのsealを成立させること。
この二つを同じfield jointが担っていた。
tangとclevisはどう噛み合っていたのか
概念図。寸法比は説明用であり実寸比例ではない。
field jointでは、一方のsegment端部にtangと呼ばれる薄い突出部、もう一方にclevisと呼ばれる二股状の受け側が形成されていた。
組立時にはtangがclevisの間へ差し込まれ、多数のpinによって周方向に結合される。
外から見れば、円筒ケース同士が強固に固定される。
しかしsealとして重要なのは、clevis内側のO-ring grooveとtang側sealing surfaceの関係である。
Oリングはclevis側の溝へ配置され、tangとの隙間を塞ぐ。
Rogers Commissionによれば、field jointには直径0.280インチ級のrubber O-ringが二本使われていた。
燃焼室側に近いものがprimary O-ring。
その外側にあるものがsecondary O-ringである。
名称だけを見ると、
primaryが故障
↓
secondaryが代わりに密封
という完全な二重化に見える。
しかし実際には、二本は同じ動的変形を受ける一つのjointの中に置かれていた。
そこが重要だった。
puttyは何のためにあったのか
Oリングより燃焼室側には、segmentのinsulation面にzinc chromate puttyが施工されていた。
このputtyには、燃焼開始時の高温ガスが直接Oリングへ当たるのを防ぐthermal barrierとしての役割が期待されていた。
同時に、点火時にgas pressureがputtyを押し動かし、その圧力がOリング側へ伝わることでprimary O-ringをseal位置へ押し付ける、という挙動も想定されていた。
この仕組みをpressure actuationという。
ここで一見すると、puttyはOリングを守りながら、圧力によるシール成立も助ける部材に見える。
しかし事故調査では、puttyが常に同じように働くわけではないことが問題になった。
puttyにはassembly時やleak check時にgas path、いわゆるblow holeが形成されることがある。
逆に条件によっては、putty自身が一時的なpressure sealのように働き、燃焼ガス圧がOリングへ届くのを遅らせることもあった。
つまりputtyは、
「Oリングへ高温ガスが届くのを遅らせる」
という意味では保護側に働く一方、
「Oリングをpressure actuateする圧力まで遅らせる」
という逆の作用も持ち得た。
事故以前、このpressure delayの意味は十分に理解されていなかった。
点火するとjointは開く
ここがfield joint問題の中心である。
Solid Rocket Motorへ点火するとcase内圧が急上昇する。
円筒ケースはその圧力によってわずかに膨らむ。
joint周辺も完全な剛体ではない。
そのためtangとclevisの幾何関係が変化し、Oリングが埋めるべきextrusion gapが広がる。
これがjoint rotationと呼ばれた現象である。
名前から、joint全体が大きく回転するような動きを想像するかもしれないが、実際には高圧でcaseが変形する結果として、tang/clevisの局所的なgapが増大する現象を指す。
Rogers Commissionの解析では、aft field jointにおけるgap opening増加量は、primary O-ring側で約0.029インチ、secondary側で約0.017インチと算定された。[4]
ミリメートルにすれば約0.74 mmと約0.43 mmである。
巨大なロケットモーター全体から見れば小さな値に見える。
しかし、断面径0.280インチ、約7.1 mmのOリングが動的に密封するseal systemにとっては無視できない。
Oリングは、点火前の静的なgapだけを塞げばよいのではない。
内圧が急上昇しながらgapそのものが変化する条件で、sealを維持しなければならない。
Oリングは「押し潰されているだけ」ではシールできない
一般的なOリングsealでは、組立時に適切なsqueeze、つまり圧縮を与える。
ゴム断面を少し押し潰すことで、seal surfaceへ接触圧を持たせる。
しかしfield jointでは、それだけでは不十分だった。
点火後にはgapが開くからである。
gapが広がれば、組立時に与えたcompressionは減少する。
そこで燃焼ガス圧がOリングのupstream側へ作用し、Oリングを動かして新しいgapへ押し付ける必要がある。
Rogers Commissionは、このpressure actuationが点火transientのごく早い段階で起きることが重要だとした。
理想的には、joint gapが大きく開く前、およそ点火後100〜200 milliseconds程度の範囲でmotor pressureがOリングへ作用する必要があった。
100 msは0.1秒。
200 msは0.2秒。
つまり、Oリングsealの成立は、人間が認識できるよりはるかに短い時間で行われる動的現象だった。
joint rotationがsecondary O-ringの「冗長性」を失わせた
field jointにはOリングが二本ある。
それならprimaryがsealできなくてもsecondaryが止めればよい。
設計初期には、その考え方が存在した。
実際、NASAは当初、このjointをCriticality 1Rとして扱っていた。
「R」はredundancyを意味し、primaryが失敗してもsecondaryがbackupとして機能するという考え方である。
ところが試験や解析が進むと、joint rotationによってsecondary O-ringのcompressionが失われることが分かった。
NASAのCritical Items Listには、motor case pressureがmaximum expected operating pressureのおよそ40%へ達した後では、secondary sealのredundancyを確認できないという趣旨が記録されていた。
jointが開けば、まだpressure actuationされていないsecondary O-ringはseal surfaceへの接触を失う可能性がある。
そしてprimaryから漏れが発生した後、secondaryへ圧力が届いたとしても、その時点で正しくreseatできる保証がなかった。
このためNASAは1982年、field jointをCriticality 1RからCriticality 1へ変更した。[3]
Criticality 1とは、単一故障が任務、vehicle、crewの喪失につながり得る分類である。
つまり事故の約3年前には、
「secondary O-ringを完全なbackupとして数えてはいけない」
という事実が制度上も認識されていた。
それでも外見上は二本のOリングが残っていた。
このため「二重Oリング＝二重冗長」と直感的に理解すると、実際のriskを過小評価する。
低温はOリングの何を変えたのか
ゴムは金属と違い、温度によって動的応答が大きく変わる。
温度が低下すると硬度が上がり、変形後に元の形へ戻るresiliencyが低下する。
ここで重要なのは、「硬いから割れる」という単純な話ではない。
field jointでは、Oリングが圧縮された状態からgap openingへ追従して形状を戻し、seal surfaceとの接触を維持する必要がある。
低温では、その復元が遅くなる。
Rogers Commissionの事故後実験では、Oリング温度が低下するとresponse timeが増えることが確認された。
Commissionは、STS-51Lのfailed jointで想定される約0.040インチの初期tang-to-clevis gapと低温条件が重なると、Oリングが強く圧縮され、upstream channel wallとの間にpressure actuationに必要なspaceを持ちにくくなると整理している。
その状態でjoint gapだけが先に開く。
Oリングは低温のため丸い断面形状へ素早く戻れない。
すると、seal surface側へ追従できず、燃焼ガスが通過できるpathが残る。
低温の本当の問題は、
「Oリングがあるのにsealできない」
ではなく、
「jointが動く時間軸に対して、Oリングの応答時間が遅くなる」
ことだった。
STS-51LのOリング温度はどの程度だったのか
前回の記事で扱った53°Fは、正式なambient launch limitではなかった。
Thiokolが過去飛行STS-51Cについて算定したOリング温度を基準にした、flight experienceの下限である。
事故調査では、STS-51Lの右側aft field joint周辺のOリング温度はおよそ28°Fだったと解析されている。[3]
約マイナス2℃である。
これは53°Fより大幅に低い。
さらに重要なのは、事故後にCommissionが整理したflight historyだった。
21回の61°F以上のlaunchでは、Oリングにthermal distress、すなわちerosionやblow-by、sootが確認されたのは4回だった。
一方、61°F未満のlaunchでは、すべてで少なくとも一つのOリングにthermal distressが確認されたとCommissionは記している。
このデータは「61°Fが安全限界だった」という意味ではない。
サンプル数も多くない。
しかし、低温側でseal anomalyが増える傾向が、事故後にまとめて見ると明瞭だったことを示している。
erosionとblow-byは同じではない
Oリング損傷を理解するとき、erosionとblow-byを分ける必要がある。
erosionは、Oリング表面が高温ガスによって削られる現象である。
ただしerosionが起きたからといって、必ずしもOリングが最初からsealしていなかったとは限らない。
Rogers Commission資料では、impingement erosionとblow-by erosionが区別されている。
impingement erosionでは、Oリングがsealした後に、putty内の限定されたgas pathから高温ガスjetがOリング表面へ当たり、局所的に材料を削る。
一方、blow-byでは、Oリングがまだ十分にsealできていないgapを高温ガスが通過する。
こちらはOリングのedgeや周辺を通り抜けるため、primary O-ringの後方にsootが残ることがある。
特にfield jointでprimary O-ringを越えてsootが確認されれば、「primaryが完全にsealする前にgasが通った」ことを示す重要な証拠になる。
STS-51Cでは、field jointでprimary O-ringを越えたblow-byの証拠が確認され、Thiokol技術者の懸念を強めた。
つまり事故以前から、単なる表面erosionだけではなく、
「hot gasがprimary sealを越えて進入した」
事例まで存在していた。
「erosionしても残り厚さがある」という考え方
事故前、Oリングerosionはたびたび「許容可能」と判断された。
その根拠の一つは、観測されたerosion深さと、試験・解析から推定した安全marginの比較だった。
一部の試験では、実飛行で観測されたより大きく侵食させたOリングでもpressureを保持できた。
このため、
「erosionは好ましくないが、現状の深さならOリングがburn throughするほどではない」
という評価が成立した。
ここで見落としやすいのは、その評価が「Oリングがすでにseatしている」前提を強く含むことだった。
seal成立後にjetが当たって材料が削られるimpingement erosionなら、残り断面からmarginを考えることには意味がある。
しかしblow-byのように、
「そもそもseatする前にgasが通る」
現象では、同じerosion-depth marginだけでは安全性を説明できない。
事故調査で重視されたのは、この違いだった。
Oリングの厚さがどれだけ残るかだけでなく、
「いつsealしたのか」
「sealする前にどれだけgasが通ったのか」
を見なければならなかった。
puttyのgas pathはなぜ問題だったのか
zinc chromate puttyには、内部の高温ガスからOリングを守る目的があった。
しかしassembly、leak check、motor pressurizationなどによってputty内にgas pathが形成されることがあった。
gas pathができれば、燃焼ガスは一点へ集中してOリング方向へ進む。
Rogers Commission資料では、Oリングerosionがputty内のgas pathと関連していたことが繰り返し議論されている。
さらにleak check pressureを高くした時期には、putty内にblow holeが形成されやすくなり、Oリング異常の増加との関連も指摘された。
しかしputtyの問題はgas pathだけではない。
前述のとおり、puttyが逆に圧力を保持してしまう場合があった。
事故後試験では、条件によってprimary O-ringへのpressure到達が500 milliseconds以上遅れるケースが確認された。
さらに20°F条件の試験では、simulated puttyがpressure actuationを1.9秒遅らせた例もある。
1.9秒は、100〜200 ms単位でseal成立が求められるjointにとって極めて長い。
ただし、この1.9秒という試験結果をそのままSTS-51L実機で起きた時間として扱ってはいけない。
Commission自身も、subscale testや条件差があり、すべてをfull-scaleへ直接外挿できるわけではないと明記している。
重要なのは、puttyが「必ず圧力をすぐOリングへ渡す」とは限らなかったことだ。
primaryとsecondaryが同時に危険になる理由
二つのOリングが同じjointの中に置かれている場合、共通原因故障を考えなければならない。
低温。
joint rotation。
寸法公差。
putty挙動。
water intrusion。
これらはprimaryだけでなくsecondaryにも影響する。
primaryがsealできなかったとき、その直後にsecondaryだけが理想条件で待機しているわけではない。
secondaryも同じ低温にさらされ、同じjoint rotationによるgap changeを受ける。
だから二つあることと、二重化されていることは同義ではない。
制御回路でいえば、同じ電源、同じ入力条件、同じ故障モードへ依存する二つの接点を並べても、それだけでは独立冗長にならない。
SRB field jointのOリングも同様だった。
primary failureが起きる条件そのものが、secondaryのseal capabilityも悪化させる。
このcoupled failureが、field jointをCriticality 1へ変えた理由である。
実際のSTS-51Lでは何が起きたと考えられたのか
Rogers Commissionが最終的に採用した説明では、右側Solid Rocket Motorのaft field jointでpressure sealが失敗した。
点火直後、jointから黒い煙が複数回観測された。
この煙は、継手内部から燃焼生成物が外へ出ていたことを示す。
つまりseal systemは点火直後の段階で正常ではなかった。
しかしそのまま直ちに巨大なflameが噴き出したわけではない。
事故調査では、初期のleak pathが一時的に塞がれた可能性が検討された。
候補の一つが、Solid Rocket Motorの燃焼生成物であるaluminum oxideなどのdepositによる一時的なresealだった。
この仮説では、点火直後にgas leakが起きた後、燃焼生成物がgapへ堆積して一時的に漏れを抑えた。
その後、上昇中のvehicle motion、thrust vectoring、wind loadなどによって脆いdepositが破れ、58〜60秒付近で高温gas leakが再び成長した可能性がある。
この後半の飛行時系列はCASE052-04で詳しく扱う。
CASE052-03で重要なのは、その前段階だ。
joint/seal systemが点火時点から正常なpressure boundaryとして成立していなかった。
何が「設計不良」だったのか
Rogers Commissionは最終結論で、事故原因となったjointについてfaulty designと明記した。
ここでいうdesign failureを、「Oリング材質を間違えた」とだけ理解してはいけない。
問題だったのはsystemとしての感度である。
Commissionが列挙した要素には、
temperature
physical dimensions
character of materials
effects of reusability
processing
dynamic loading
が含まれる。
つまり、わずかな寸法差。
segmentのout-of-round。
Oリングsqueeze。
低温。
putty condition。
joint rotation。
繰り返し使用。
組立条件。
こうした複数の変数がseal performanceへ強く影響した。
しかも、それらが互いに独立ではなかった。
たとえば、初期gapが小さすぎてOリングを強くcompressすると、一見すると静的sealは強く見える。
しかしOリングがgroove壁へ強く押し付けられ、pressure actuationに必要なspaceを失えば、動的sealには不利になる。
「静止状態でよく潰れている」ことが「点火時にもよくsealする」ことを意味しない。
これはdynamic system設計で見落としやすい点である。
事故以前に設計問題は分かっていたのか
完全に事故後初めて分かったわけではない。
初期の試験段階からjoint rotationとsecondary O-ringの問題は認識されていた。
1980年のCritical Items Listには、secondary sealのredundancyを40% MEOP以降では確認できないという記述があった。
1982年にはCriticality 1へ変更された。
その後、実飛行でerosionやblow-byが繰り返された。
1984年以降はfield joint O-ring anomalyが目立って増えた。
しかし、問題は「直ちに飛行停止を必要とする設計欠陥」ではなく、「管理可能な既知問題」として扱われる方向へ進んだ。
これはCASE052-06で組織的に扱うが、技術側だけ見ても重要な意味がある。
故障モードが分かっていたことと、故障確率・境界条件を理解していたことは同じではない。
NASAとThiokolはjoint rotationを知っていた。
erosionを知っていた。
blow-byも知っていた。
secondary redundancyが限定的であることも知っていた。
それでも、
「どの組合せ条件でpressure sealが完全に失われるか」
を十分にモデル化できていなかった。
チャレンジャーは、その未確定領域で飛行した。
検証ポイント｜field jointとOリング
| 項目 | 確認内容 |
|---|---|
| Solid Rocket Motor構成 | 4つのcase segmentを発射場でstacking |
| Field joint | segment間の3接続部 |
| 接続構造 | tang / clevis + circumferential pins |
| Oリング | primary / secondaryの2本 |
| O-ring cross-section | 約0.280 inch |
| Putty | zinc chromate putty。thermal barrierとpressure transmissionに関係 |
| Joint rotation | motor pressurizationでtang/clevis gapが増加する動的変形 |
| Aft field joint gap opening解析 | primary側約0.029 inch、secondary側約0.017 inch増加 |
| Pressure actuation | motor gas pressureでOリングをseal位置へ押し付ける |
| 重要時間帯 | significant gap opening前、概ね100〜200 ms程度でのactuationが重要 |
| 低温影響 | Oリングresiliency低下、response time増加 |
| Secondary redundancy | joint rotation後は保証できず、Criticality 1扱い |
| Erosion | 高温gasによるO-ring materialの侵食 |
| Blow-by | Oリングが完全sealする前後にhot gasがsealを越えて流れる現象 |
| STS-51L | 右SRM aft field jointのpressure seal failureが事故原因 |
| Commission評価 | joint designは複数条件に対してunacceptably sensitive |
技術者の視点で見ると何が危険だったのか
このjointを産業設備の設計として考えると、危険性は分かりやすい。
静的検査だけでは、正常に見える。
Oリングは所定位置にある。
leak checkも通る。
二本のsealがある。
しかし実際の故障形態は、起動transientで現れる。
圧力が立ち上がる。
caseが変形する。
gapが開く。
Oリングのcompressionが変わる。
pressure actuationが必要になる。
puttyによってpressure arrival timeが変わる。
温度によってOリングresponse timeが変わる。
つまり安全性は、単一部品の寸法ではなく、
「pressure rise」
「joint deformation」
「seal response」
という三つのtime responseの競争で決まる。
この種の故障は、通常状態のinspectionだけでは捕まえにくい。
PLC制御に置き換えれば、停止状態でI/Oが正しく見えても、起動sequence中だけ競合条件が生じるrace conditionに近い。
必要なのは、「最終状態が正しいか」ではなく、「transition中も安全条件が成立しているか」の検証である。
field jointでは、このtransient integrityが弱かった。
「二本ある」より「独立している」ことが重要
安全設計では、冗長化の数だけを見ると誤る。
センサが二台あっても、同じ電源で同時に落ちるなら独立ではない。
接触器が二台あっても、同じ溶着原因を受け、フィードバック監視がなければ故障検出性は低い。
Oリングが二本あっても、
同じjoint rotation
同じ低温
同じ寸法条件
同じpressure transient
へ依存しているなら、一つのfailure mechanismが二本に同時に影響する。
チャレンジャーのfield jointは、その典型だった。
secondary O-ringは物理的には存在した。
しかしprimary failure後の条件でbackupとして確実に機能することは保証されていなかった。
安全機能の「数量」と「独立性」は別問題である。
次回｜打上げ後73秒に何が起きたのか
CASE052-03では、事故の起点となったfield jointを内部から見た。
次のCASE052-04では、視点を機体外へ戻す。
T+0.678秒付近に記録された黒煙。
その後、いったん見えなくなる漏洩。
約59秒で現れるflame。
External Tankと右SRBへの影響。
そして約73秒でのvehicle breakup。
映像、写真、telemetry、flight dynamicsを時系列に並べることで、
「Oリングseal failureが、どのようにスペースシャトル全体の喪失へ発展したのか」
を追う。
FACT CHECK｜出典・参考資料
- [1] Presidential Commission on the Space Shuttle Challenger Accident, Report, Chapter IV: The Cause of the Accident
- [2] Presidential Commission on the Space Shuttle Challenger Accident, Report, Chapter VI: An Accident Rooted in History
- [3] Presidential Commission on the Space Shuttle Challenger Accident, Volume II, Appendix L: NASA Accident Analysis Team Report
- [4] Presidential Commission on the Space Shuttle Challenger Accident, Volume IV/V hearing exhibits on SRM field joints and O-ring history
- [5] NASA historical material on the Space Shuttle Solid Rocket Motor and post-Challenger redesign
チャレンジャー事故｜なぜ打ち上げは止められなかったのか 第3回 全8回 全8回を見る
- 01 チャレンジャー事故｜チャレンジャー号事故とは？｜STS-51Lはなぜ73秒で失われたのか
- 02 チャレンジャー事故｜なぜチャレンジャーは寒波の朝に打ち上げられたのか｜延期・低温・前夜の電話会議
- 03 チャレンジャー事故｜Oリングはなぜ密封に失敗したのか｜固体ロケットブースター継手の構造
- 04 チャレンジャー事故｜打上げ後73秒に何が起きたのか｜映像とテレメトリで追う機体崩壊
- 05 チャレンジャー事故｜海底の残骸は何を語ったのか｜捜索・回収・復元で事故原因を確かめる
- 06 チャレンジャー事故｜ロジャース委員会は何を明らかにしたのか｜技術事故から組織事故へ
- 07 チャレンジャー事故｜NASAは事故後に何を変えたのか｜SRB再設計・安全改革・STS-26復帰
- 08 チャレンジャー事故は何を残したのか｜SYSTEM事故として読む技術と組織の教訓