THE QUESTION
なぜチャレンジャーは寒波の朝に打ち上げられたのか ｜ 延期・低温・前夜の電話会議について、この回が担う固有の論点は何か。
STORY SO FAR
前回「チャレンジャー号事故とは？｜STS-51Lはなぜ73秒で失われたのか」で確認した論点を受け、この回ではなぜチャレンジャーは寒波の朝に打ち上げられたのか ｜ 延期・低温・前夜の電話会議について、この回が担う固有の論点は何か。を扱う。
1986年1月28日午前11時38分、スペースシャトル・チャレンジャーはケネディ宇宙センター39B発射台から離昇した。[5]
打上げ時の外気温は、発射台から約1,000フィート離れた観測点で36°F、約2℃だった。ロジャース委員会は、これはそれまでのスペースシャトル打上げ時より15°F低い気温だったと記録している。
事故後、この低温は大きな意味を持つことになった。
右側Solid Rocket Motorのfield jointを密封するOリングは、低温になるほど弾性応答が遅くなる。そのため事故前夜、Solid Rocket Boosterを製造したMorton Thiokolの技術者たちは、予想された低温条件での打上げに懸念を示した。
そして1月27日夜、ThiokolはNASAとの電話会議で、一度は「53°Fを下回るOリング温度では打ち上げない」という方向の推奨を示した。
それでも翌朝、チャレンジャーは打ち上げられた。
この経過だけを切り取ると、
「技術者は危険だと警告した」
↓
「管理職が無視した」
↓
「NASAが無理に打ち上げた」
という単純な物語に見える。
しかし、ロジャース委員会の記録を読むと、実際の問題はもう少し複雑である。
Thiokolの技術側には低温への強い懸念があった。一方で、手元のデータは低温とOリング損傷の関係を十分に定量化できていなかった。NASA側は提示されたデータから「53°F未満を禁止する根拠」が十分に示されていないと考えた。Thiokol内部ではNASAとの電話会議を一度外れ、管理側だけの再検討が行われた。そして最終的に、会社としての推奨は「打上げ可」へ反転した。
さらに、その「最初は打上げ反対だった」という重要な経緯は、最終的な打上げ判断を担うNASA上層の主要責任者まで十分に伝わっていなかった。
ロジャース委員会が問題視したのは、単なる判断ミスではない。
不完全なデータをどう扱うのか。
実績のない条件へ踏み出すとき、証明責任をどちら側に置くのか。
技術者の懸念と会社としての公式見解が食い違ったとき、どちらを上位判断者へ伝えるのか。
そして、一度「問題は解決済み」と分類された情報が、次の意思決定層へ行く途中でどれほど失われるのか。
CASE052-02では、この打上げ判断を「誰か一人の強行」としてではなく、1月27日から28日にかけて進んだ意思決定プロセスとして追う。[5]
先に結論｜なぜ打ち上げられたのか
結論から言えば、チャレンジャーが寒波の朝に打ち上げられたのは、「低温の危険が誰にも知られていなかったから」ではない。
低温への懸念は存在した。
Thiokolの技術者は、過去の飛行経験より低いOリング温度で飛ぶことに反対した。
Thiokolは電話会議の途中まで、翌朝の打上げを推奨しない立場だった。
それでも最終的に打上げへ進んだ理由は、大きく四つに分けられる。
第一に、低温とOリング性能の関係を示すデータが不完全だった。
過去にOリングerosionやblow-byは確認されていたが、「何度以下なら危険になる」という明確な故障境界は確立されていなかった。
第二に、NASA側とThiokol側で、その不確実性の解釈が異なった。
Thiokol技術側は「経験したことのない低温へ出るべきではない」と考えた。
一方、NASA側は「53°Fより低いと危険だと断定できるデータがあるのか」と問い返した。
第三に、Thiokol内部で会社としての推奨が変更された。
技術側の反対が消えたわけではない。管理側の再検討によって、公式な会社判断が「打上げ非推奨」から「打上げ推奨」へ変わった。
第四に、その推奨変更によって、上位の意思決定者へ伝わる情報が「懸念は検討され、解決した」という形へ圧縮された。
ロジャース委員会は、打上げ決定をflawed、欠陥のあるものだったと結論づけた。
重要なのは、「危険だと証明されたのに無視した」という一文だけではなく、不確実な技術情報を扱う仕組みそのものに問題があったことである。
1月27日の打上げはすでに延期されていた
STS-51Lは当初から1月28日打上げのミッションではなかった。
1月25日の段階で天候が問題となり、予定は動いていた。
1月27日には実際に打上げ準備が進められたが、ハッチ関連の問題などによる遅れの後、Return-to-Launch-Site、RTLS時に使用する滑走路の横風が許容範囲を超えたため、その日の打上げは中止された。
チャレンジャーの次の打上げ機会は1月28日となる。
ここで新たな問題として前面に出てきたのが寒波だった。
気象予報では、夜間に気温が氷点下となり、20°F台前半まで下がる可能性が示されていた。
発射台設備への氷結も懸念された。
つまり1月28日の打上げ判断には、少なくとも二つの異なる「寒さの問題」があった。
一つは、発射台やOrbiter周辺に付着する氷。
もう一つは、Solid Rocket Boosterのfield jointとOリングへの低温影響である。
この二つは同じ低温を原因とするが、技術的には別問題だった。
氷については、落下した氷片がOrbiterのThermal Protection Systemを傷つける可能性などが議論された。
Oリングについては、Solid Rocket Motor点火時にfield jointが動いたとき、シールが十分な速さで成立するかが問題だった。
最終的には両方とも「打上げを止める条件ではない」と判断された。
しかしロジャース委員会は後に、どちらについても、上位の意思決定者が懸念の実態を完全には把握していなかったと指摘している。
53°Fとは何だったのか
チャレンジャー事故を調べると、「53°F」という数字が頻繁に登場する。
約11.7℃である。
ここで最も注意すべきなのは、この53°Fを「NASAが定めた外気温の打上げ禁止基準」と理解しないことである。
53°Fは、Thiokol技術側が1月27日の電話会議で用いた「過去の飛行経験の下限」に近い値だった。
より正確には、1985年1月のSTS-51Cで、field joint付近のOリングが経験したとThiokolが計算した温度だった。
つまり、
「外気温が53°F未満なら規則上打上げ禁止」
という意味ではない。
技術者たちの論理は、
「Oリングについて、実飛行で確認できている温度経験はおよそ53°Fまでであり、それより低い領域へ踏み出すには十分な根拠がない」
というものだった。
これは工学上、重要な違いである。
規格値や正式なLaunch Commit Criteriaに明文化された禁止値と、過去データから得られたexperience baseの下限は同じではない。
NASA側から見れば、53°Fは正式なflight ruleではなく、Thiokolがその場で安全側の境界として提示した値に見える。
Thiokol技術側から見れば、53°Fを下回る条件は実証されていない領域だった。
この認識差が、電話会議の議論を難しくした。
なぜ低温がOリングに問題になると考えられたのか
詳細な機械構造はCASE052-03で扱うが、打上げ判断を理解するために最低限の仕組みは押さえておく必要がある。
Solid Rocket Motorのfield jointでは、セグメント同士の接続部にOリングが配置されていた。
点火するとモーター内部の圧力が急上昇する。
その際、継手の金属構造は完全な剛体ではないため変形し、シール部の寸法関係が変化する。
Oリングはその動きに追従し、燃焼ガスが外部へ抜ける前にシールを成立させなければならない。
低温ではゴム材料の弾性的な復元が遅くなる。
したがってThiokolの技術者たちは、寒い条件ではOリングが必要な位置へ追従するまでの時間が長くなり、その間に高温ガスがprimary O-ringを通過する可能性を懸念していた。
ただし当時、温度とシール失敗確率の関係を十分なデータで示せる状態ではなかった。
ここが事故前夜の議論を理解する核心になる。
「低温は危ない」という技術的懸念はあった。
しかし「何度ならどの程度危険か」を精密に説明できるモデルや試験データは不足していた。
そのため同じデータを見ても、
「分からないから止める」
と
「危険だと証明できないから進める」
という逆方向の判断が成立してしまった。
1月27日夜｜Thiokolが低温問題を正式に持ち出す
1月27日午後、翌朝の低温予報が具体的になると、KennedyにいたMorton ThiokolのAllan McDonaldはUtahのThiokol側へ連絡し、Oリングと低温の関係を評価するよう求めた。
Thiokolでは技術者が過去のflight data、static test、Oリングerosion、blow-byなどの情報を急いで整理した。
その夜、NASA Marshall Space Flight Center、Kennedy Space Center、Morton Thiokolの関係者を結ぶ電話会議が行われた。
ロジャース委員会の記録では、本格的なteleconferenceは午後8時45分ごろから始まり、Thiokol側の技術資料が説明された。
技術者たちは過去のOリング損傷と温度の関係を示そうとした。
しかし、データはきれいな一本の相関線にはならなかった。
低温で損傷が発生した例はあったが、より高い温度でもerosionやblow-byが発生した事例がある。
反対に、低温側で必ず重大損傷が起きているわけでもない。
この散らばったデータをどう読むかが争点になった。
Thiokol技術側は、それでも最も低い経験領域よりさらに低温で飛ぶべきではないと考えた。
最終的に示された当初の推奨は、Oリング温度が53°F以上となる条件で打上げるというものだった。
翌朝の予測条件では、これは事実上「1月28日朝の打上げを推奨しない」という意味になる。
NASA側は何を問題にしたのか
この電話会議を「NASAが安全警告を聞くことを拒否した」とだけ説明すると、議論の構造が見えにくい。
NASA側、特にMarshallの関係者は、Thiokolが示した53°Fという境界の技術的根拠に疑問を持った。
過去のデータを見ると、Oリングのerosionやblow-byは温度だけで単純に並んでいなかった。
そこでNASA側から見れば、
「なぜ53°Fなのか」
「それ以下ならprimary O-ringが機能しないといえるのか」
「secondary O-ringは機能しないのか」
「既存のqualificationやflight experienceとどう整合するのか」
という問いが生じる。
George Hardyは、Thiokolによるデータ解釈に強い違和感を示したと証言している。
一方でHardy自身は、Thiokolが正式に反対する状態で打上げを推奨するつもりはなかったとも述べている。
Lawrence Mulloyらもデータの意味を問い直した。
ここで重要なのは、「NASA側に反論があった」ということ自体が異常なのではない点である。
重大なflight readiness issueについて、contractorの推奨根拠をNASAが問い返すこと自体は、本来の技術レビューとしてあり得る。
問題は、その議論のあとに何が起きたかだった。
Thiokolは会議を外れて社内協議に入った
NASA側からの質問を受けた後、Thiokolは電話回線を一度外れ、社内だけで協議するcaucusに入った。
当初は短時間の予定だったが、ロジャース委員会の再構成ではおよそ30分続いた。
この場には管理者と技術者がいた。
Roger BoisjolyやArnold Thompsonらは打上げへの反対を続けた。
Engineering部門の責任者Robert Lundも、当初は低温での打上げに消極的だった。
しかし協議の後半では、最終判断が少人数の管理側へ絞られていった。
委員会の記録では、Senior Vice PresidentのJerald MasonがLundに対し、技術者としてだけでなく管理者として判断するよう促したことが示されている。
この場面は後に、チャレンジャー事故の組織問題を象徴するエピソードとして広く引用されることになる。
ただし、「その一言だけで全員が突然賛成した」と理解するのも正確ではない。
管理側が再評価した論点には、データの不確実性、過去のerosion量に対するmargin、primary O-ringにblow-byがあった場合でもsecondary O-ringがシールできるという見方などが含まれていた。
つまり、管理側は「危険が存在しない」と完全に証明したのではない。
不確実なデータの中で、既存の設計余裕とsecondary sealを根拠に「飛行可能」と評価し直した。
ここで、判断の基準が実質的に反転した。
当初は、
「経験範囲より低いので、安全を確認できない。したがって飛ばさない」
だった。
再検討後は、
「危険性を示すデータは決定的ではなく、設計余裕もある。したがって飛べる」
へ変わった。
推奨は「NO GO」から「GO」へ変わった
午後11時ごろ、ThiokolはNASAとの電話会議へ戻った。
会社としての最終見解は、打上げ推奨だった。
Thiokolは、温度の影響には懸念があるもののデータはconclusiveではない、つまり決定的ではないと評価した。
Joe Kilminsterが会社としての打上げ推奨を伝え、その後、書面がKennedyとMarshallへ送られた。
この時点で、NASAから見える正式なcontractor positionは「GO」になった。
一方、Thiokolのすべての技術者が納得したわけではない。
BoisjolyやThompsonらの反対は続いていた。
KennedyにいたMcDonaldも、この最終推奨に同意していなかった。
ここが重要である。
「Thiokolは反対していた」
も、
「Thiokolは打上げを推奨した」
も、時間を指定しなければどちらも不完全な説明になる。
時系列では、
Thiokol Engineeringの懸念
↓
会社として打上げ非推奨
↓
NASA側からデータ根拠への質問
↓
Thiokol内部caucus
↓
管理側が再評価
↓
会社として打上げ推奨
↓
一部技術者・McDonaldはなお反対
という流れだった。
反対意見はなぜ上位へ届かなかったのか
電話会議が終わると、ThiokolとMarshallの間では「問題は解決した」という状態になった。
翌朝5時ごろ、Marshall Space Flight Center DirectorのWilliam Lucasには、Thiokolが低温問題を提起したことと、最終的に打上げ推奨へ変わったことが伝えられた。
しかし、初期段階で正式に「打上げ非推奨」が出されていたことや、推奨変更後も技術者の反対が残っていたことは、同じ重みでは伝達されなかった。
さらに上位の主要な打上げ責任者たちも、Thiokolが前夜に打上げ反対を表明していた事実を知らなかった。
ロジャース委員会の聴聞で、Kennedy Space Center Director、Launch Director、Shuttle Program Director、Associate Administrator for Space Flightらは、打上げ前にその反対を認識していなかったと証言している。
これは意思決定システムとして重大である。
最終推奨だけを見れば、
「contractorとNASA engineeringが検討し、合意してGOになった」
と見える。
しかし履歴を含めれば、
「安全上の懸念から一度NO GOとなり、その後の内部管理判断でGOへ変更され、一部技術者の反対は残っていた」
となる。
この二つは、同じ「GO」という最終状態でも意味がまったく違う。
産業設備の異常処置に置き換えれば、
「異常なし」
と、
「重大懸念が出たが、暫定評価の結果として運転継続」
は同じ運転許可信号で処理してはいけない。
後者には、誰が承認したか、未解決事項は何か、どの条件で再停止するかという履歴が必要になる。
チャレンジャーの意思決定では、その履歴が上位へ上がる過程で失われた。
もう一つの低温問題｜発射台の氷
1月28日朝、発射台には広範囲に氷が形成されていた。
これはSRBのOリング問題とは別系統で検討された。
Rockwell International側には、発射時に氷が落下しOrbiterへ当たる可能性への懸念があった。
NASAは複数回のice inspectionを行い、氷が溶ける時間を確保するためcountdownを遅らせた。
最終のinspection後、打上げは許可された。
チャレンジャーは当初の9時38分予定から約2時間遅れ、11時38分に離昇した。
ロジャース委員会は、この氷の問題についても、最終意思決定者がRockwellの懸念の強さを明確には理解していなかったと指摘した。
つまり前夜から当日朝にかけて、
SRB Oリング
発射台の氷
という二つの低温由来の懸念が存在し、それぞれ専門組織内部では議論されながら、上位では「解決済み問題」として扱われた。
事故の直接原因となったのは右SRM joint/seal failureであり、氷が事故原因だったという意味ではない。
しかし意思決定プロセスを評価するうえでは、「重大な懸念がどのように上へ伝わったか」という共通点がある。
当日の気温をどう読むべきか
数値を整理しておく。
1月27日午後の予報では、夜間に長時間氷点下が続き、最低気温は20°F台前半まで下がると見込まれていた。
1月28日9時ごろの気温は29°F、10時ごろは32°Fと記録されている。[5]
最終的な打上げは11時38分。
ロジャース委員会Chapter IIIでは、発射台から約1,000フィート離れた地点で打上げ時外気温36°Fだったとしている。
ここで再度、53°Fとの違いが重要になる。
36°Fは観測されたambient air temperature。
53°FはThiokolが過去飛行51-Cについて計算したfield joint付近のO-ring temperatureを基準にしたexperience value。
両者を直接「53°Fの規則に対して36°Fで打ち上げた」と比較すると、異なる定義の温度を混ぜることになる。
ただし意味としては、STS-51Lが過去のシャトル打上げより明らかに寒い環境で実施されたこと、Thiokol技術側がOリングについて経験外領域になると認識していたことに変わりはない。
「データが足りない」はGOの根拠になるのか
チャレンジャー事故の打上げ判断で、最も一般化できる問題はここにある。
データが不足しているとき、何を標準状態とするか。
安全が確認できないから停止するのか。
危険が証明されていないから継続するのか。
これは同じ情報から正反対の結論を生む。
Thiokol技術側の当初判断は、前者に近かった。
過去に確認した温度領域を外れるなら、十分な根拠がない限り飛ばさない。
管理側の最終判断は、後者に近づいた。
温度と損傷の相関は決定的ではなく、primary O-ringのerosionにmarginがあり、secondary O-ringも存在するため、打上げを否定するだけの根拠はない。
安全工学では、ここで「立証責任」が重要になる。
新しい条件へ移る側が「安全である」と示すべきなのか。
停止を求める側が「危険である」と証明すべきなのか。
高リスクシステムでは通常、未知の条件へ拡張するときほど前者が重要になる。
チャレンジャーの前夜には、議論の途中でその立証責任が反転したように見える。
「低温で安全だと確認できていない」
という問題が、
「低温で危険だと証明できていない」
という問題へ置き換わった。
この転換こそ、単なる技術データ不足以上に重要である。
スケジュール圧力だけが原因だったのか
チャレンジャー事故では、「NASAが予定を優先して無理に飛ばした」という説明もよく見られる。
1986年のスペースシャトル計画が高いflight rateを目指し、システム全体に負荷がかかっていたことはロジャース委員会も問題にしている。
しかし、1月28日の個別の打上げ判断を「外部からの政治的圧力で強制された」と断定するのは適切ではない。
委員会は、Challengerを打ち上げる決定はNASAの適切なofficialsによって行われ、外部からの介入や圧力によって決められたものではないと結論づけている。
したがって、
「Teacher in Spaceの注目度が高かったから強行した」
「大統領演説に間に合わせるために飛ばした」
といった単純な因果を一次資料なしに採用すべきではない。
問題はもっと内部的だった。
高いflight rateを前提とする運用。
過去の異常を受容していく傾向。
技術的懸念を解決済みとして処理する情報経路。
contractorとNASAの力関係。
不完全なデータからGO/NO GOを決める基準。
こうした通常の業務プロセスの中で、最終的に危険な判断が成立した。
だからSYSTEM事故なのである。
ロジャース委員会は打上げ判断をどう評価したのか
ロジャース委員会の結論は明確だった。
Challengerを打ち上げる決定はflawedだった。
最終決定を行った人々は、Oリングとjointに関する最近の問題履歴を知らなかった。
Thiokolが当初、53°Fより低い条件での打上げに反対する書面推奨を出していたことも知らなかった。
Thiokol managementが立場を変更した後も、技術者の反対が続いていたことを知らなかった。
Rockwellが発射台の氷について持っていた懸念も、十分な強さでは伝わっていなかった。
委員会は、もし意思決定者がこれらすべての事実を知っていたなら、1月28日にSTS-51Lを打ち上げる判断をした可能性は極めて低かったと評価した。
ここで問題にされているのは、最終責任者が「正しい答えを選ばなかった」ことだけではない。
正しい判断に必要な情報そのものが、最終判断地点まで届かなかった。
つまり判断 qualityの前に、information architectureが壊れていた。
検証ポイント｜1月27日夜から28日朝
| 項目 | 確認内容 |
|---|---|
| 1月27日の打上げ | RTLS滑走路の横風などにより中止 |
| 次の予定 | 1月28日午前 |
| 気象条件 | 夜間に氷点下、20°F台前半まで下がる予報 |
| Thiokol/NASA teleconference | 1月27日夜、約8:45 PMごろ開始 |
| Thiokol技術側の当初推奨 | O-ring temperature 53°F未満では打上げを推奨しない |
| 53°Fの意味 | STS-51CでThiokolが算定したO-ring温度を基にした過去経験下限。外気温の正式Launch Commit Criteriaではない |
| NASA側 | 53°Fを境界とするデータ根拠などを質問 |
| Thiokol caucus | 約10:30 PMから約30分 |
| 技術者の反対 | Boisjoly、Thompsonらは継続。Lundも当初消極的 |
| Thiokol最終判断 | 管理側再検討後、打上げ推奨へ変更 |
| teleconference再開 | 約11 PM |
| 書面化 | 最終打上げ推奨をfaxで送付 |
| 上位への伝達 | 初期のNO GOと継続する技術者反対は主要上位意思決定者へ十分伝わらず |
| 1月28日朝 | 氷を別途評価し、複数回inspection |
| 実際の打上げ | 11:38 AM EST |
| 打上げ時外気温 | 36°F（発射台から約1,000 ftの観測点） |
| Commission評価 | 打上げ判断はflawed |
この判断の本当の問題は何だったのか
「誰がGOと言ったのか」を特定するだけなら、事故調査としては簡単である。
しかし、それでは再発防止につながらない。
同じようなSYSTEM事故を防ぐには、なぜGOが合理的に見える環境ができたのかを考える必要がある。
チャレンジャーの場合、少なくとも五つの構造が重なっていた。
第一に、異常が既知化されていた。
Oリングerosionは初めて見る現象ではなくなっていた。
第二に、データが不完全だった。
低温との相関は懸念を生むには十分だったが、明確なfailure thresholdを示すには不足していた。
第三に、経験範囲と正式基準が混同されやすかった。
53°Fは技術側にとって意味のあるexperience limitだったが、正式な禁止基準ではなかった。
第四に、会社としての公式判断と個々の技術者の判断が分離した。
NASAへ渡る最終情報は会社の「GO」であり、その裏に残った技術的反対は情報として弱くなった。
第五に、上位意思決定者は問題の履歴を知らなかった。
最終的に見えたのは「専門家間で検討し、解決した案件」だった。
安全システムとして見るなら、この五つすべてが重要である。
警報が出ることだけでは安全にならない。
その警報が誰へ届き、誰が解除でき、解除時にどの履歴が残り、上位判断者が「一度重大異常だった」ことを認識できるかまで設計されていなければならない。
次回｜Oリングはなぜ密封に失敗したのか
CASE052-02では、打上げ判断の側から事故前夜を見た。
次のCASE052-03では、同じ問題をハードウェア側から見る。
そもそもSolid Rocket Motorのfield jointはどのような構造だったのか。
primary O-ringとsecondary O-ringは何をする設計だったのか。
内圧がかかったときにjointはどう変形するのか。
なぜ「Oリングがあるのだから二重に安全」という単純な理解ではいけないのか。
そして低温は、シールが成立するまでの時間に何をもたらしたのか。
右側SRB後部field jointで起きた物理現象を、断面構造とともに追う。
FACT CHECK｜出典・参考資料
- [1] Presidential Commission on the Space Shuttle Challenger Accident, Report, Chapter II: The Shuttle Mission 51-L
- [2] Presidential Commission on the Space Shuttle Challenger Accident, Report, Chapter V: The Contributing Cause of the Accident
- [3] Presidential Commission on the Space Shuttle Challenger Accident, Volume IV hearings and launch chronology
- [4] Presidential Commission on the Space Shuttle Challenger Accident, Appendix D: Temperature Definitions
- [5] NASA, STS-51L and Challenger historical records
チャレンジャー事故｜なぜ打ち上げは止められなかったのか 第2回 全8回 全8回を見る
- 01 チャレンジャー事故｜チャレンジャー号事故とは？｜STS-51Lはなぜ73秒で失われたのか
- 02 チャレンジャー事故｜なぜチャレンジャーは寒波の朝に打ち上げられたのか｜延期・低温・前夜の電話会議
- 03 チャレンジャー事故｜Oリングはなぜ密封に失敗したのか｜固体ロケットブースター継手の構造
- 04 チャレンジャー事故｜打上げ後73秒に何が起きたのか｜映像とテレメトリで追う機体崩壊
- 05 チャレンジャー事故｜海底の残骸は何を語ったのか｜捜索・回収・復元で事故原因を確かめる
- 06 チャレンジャー事故｜ロジャース委員会は何を明らかにしたのか｜技術事故から組織事故へ
- 07 チャレンジャー事故｜NASAは事故後に何を変えたのか｜SRB再設計・安全改革・STS-26復帰
- 08 チャレンジャー事故は何を残したのか｜SYSTEM事故として読む技術と組織の教訓