ボンバルディア機事故におけるフェールセーフとは？

サイエンスポータルのレビュー記事（3/15）から。【 なぜフェールセーフが働かなかったか 】

朝日新聞15日朝刊の社説は、「緊急装置が働かないとは」という見出しで「今回、なぜフェールセーフが働かなかったのか」と疑問を呈している。

フェールセーフとは何か。同社説は「航空機のように、事故が起きれば人命に直結する機械には必ず『フェールセーフ』という仕組みが導入されている。装置の故障を最初から想定し、『次の手』を用意しておく設計思想である』という。

Web百科事典ウイキペディアを引いてみると、次のように説明されている。

「なんらかの装置、システムにおいて、誤操作、誤動作による障害が発生した場合、常に安全側に制御すること。またはそうなるような設計手法で信頼性設計のひとつ。これは装置やシステムは必ず故障する、あるいはユーザは必ず誤操作をするということを前提にしたものである」

とある。この朝日新聞の社説のフェールセーフに関する説明は、一般的な安全工学での説明とはちょっとずれているような気がするけど、どこから引っ張ってきたんだろう？　asahi.comの3/15の社説の全文はこちら。

本来のフェールセーフは、故障が原因で危険になることがないようにする設計思想であり、例えば、ストーブが転倒すると自動的に停止するとか、燃焼装置の燃料配管に取り付ける電磁弁は、停電のときには自動的に閉となるもの（ノーマルクローズ）を使用するとか、安全かどうかを検知するためのセンサーが故障したら自動的に装置が停止するように設計するというようなものだ。従って、今回のトラブルの場合、フェールセーフ設計というのは、油圧系が故障したら車輪が自動的に外に出るような設計ということになるだろうか。

朝日の社説に書かれている、故障に対して次の手を用意しておく設計思想は、「フォルトトレランス」（フォルトトレラント）と呼ばれる冗長化技術であり、飛行機で操縦用の油圧配管や電気系統を複数用意するような対策が該当する。一方、ウィキペディアのフェイルセーフに書かれている、ユーザーの誤操作に対する安全対策は、「フールプルーフ」と呼ばれるもので、重要なスイッチは間違って押してしまわないようにカバーを付けて、これを開けてからでなくては押せないようにする、というような例がある。

この辺の安全性管理についての考え方や用語の意味については、Webラーニングプラザの、総合技術監理分野→日常活動の安全と製品の安全コース→システムの高信頼化のあたりに詳しく解説されている。このサイトは、サイエンスポータルと同じJST（科学技術振興機構）が運営しているのだから、用語の使用方法などは統一感が欲しいところだ。。

言葉の定義はともかくも、朝日新聞の社説やサイエンスポータルの記事の根底には、あらゆるトラブルに対して完璧な対策が用意されていなくてはならない、というような考え方が透けて見えるのだが、うがちすぎだろうか？　サイエンスポータルでは、朝日新聞の社説を受ける形で、

では、今回のようなケースの場合、「フェールセーフを働かす」には、どのような手だてがあるものだろうか。

と問いかけ、今回問題のあった前輪格納部を２系統用意するとか、最悪の場合扉を爆薬で開くようにするなどの対策を考えて、いずれも現実的ではないと述べたのち、

「なぜフェールセーフが働かなかったのか」という問いに、どんな答えがあるのか。あるいは「なぜフェールセーフが働かなかったのか」といった問いとは別の所に、問題の本質があるのだろうか。

と結んでいる。いざという時のバックアップ装置も故障したという今回のような場合にも、さらに次の手を用意しようというのは、故障の可能性のある部品全てに三重・四重にもバックアップを用意する必要が出てくるわけで、著しく非現実的なのは間違いないだろう。そこで、定量的な解析の出番となる。

複雑なシステムの信頼性確保のためには、通常フォルトツリー解析（FTA)という手法が用いられる。これは、頂上事象（飛行機の場合、着陸失敗とか墜落とか）が起こる確率を、システムを構成する装置や人が起こす可能性のある個々のエラー（故障とか誤操作）の確率と、その因果関係から計算し、これが許容範囲に収まるように、システムを冗長化したり、誤操作防止対策をとったりする。

今回の場合であれば、前輪が油圧操作で下ろせなくなる事態や、手動操作で下ろせなくなる事態が、当初想定した故障確率と比べて著しく起き易くなっていたのではないか？　という疑いがあるわけで、その場合、さらにフォルトトレランスによる冗長化を行うのと、そもそもの故障確率を小さくする対策のどちらが現実的かということを検討することになる。恐らくは、さらなる冗長化よりは、故障確率を小さくするための設計変更等が妥当な対策ということになるだろう。

もっとも、実際には手動操作でも車輪が下りない事態になっても、被害を最小限にするための緊急着陸訓練を積んでいたために、無事に着陸できたわけだ。実は、この緊急着陸というのもシステム全体の信頼性向上のための重要な対策の１つであり、今回、そのシステムがうまく機能したことをきちんと評価することは忘れてはならないと思うのだが。。

つまり、「フェールセーフを働かすにはどんな手だてがあるか？」という問いに対する答えとしては、「緊急事態を想定した訓練を行い、それを着実に実行する」というのもありではないか？

なお、朝日の社説の最後にはお約束のように、「一歩間違えば大惨事になりかねない事故だった」と書かれているが、このての思考停止的な煽り文句はどうにかして欲しいところだ。飛行機の場合、故障していようがいまいが、一歩間違えれば大惨事になるのは避けられないわけで、その（大きな）一歩を踏み出さないために、システム全体の安全性を確保する取組みが沢山なされているわけだ。一歩間違わないための仕組みがうまく働いたからこそ、無事に帰還できたのだと受け取って、機長やきちんと訓練を行っていた航空会社を少しぐらい褒めても良さそうなものだと思うのだが、今回の社説では全くお褒めの言葉はなかったようだ。。

ところで、今回の場合は後輪は出ていたので、胴体着陸とは呼ばず、緊急着陸と呼ぶのが正しいらしい。

一方で、胴体着陸は、映画や小説などのフィクションではよく出てくるけど、実際にはどの程度起きているかというと、民間航空データベースで、胴体着陸を検索すると、1530件中わずか5件、しかも正規の飛行場に胴体着陸するケースはわずか2件しかヒットしなかった。2件とも、操縦ミスで車輪を出さずに、それを知らずに胴体着陸したにも関わらず死者はゼロだ。他の3件は、他のトラブルで飛行場以外の場所に緊急着陸しようとして、胴体着陸を試みたもので、失敗して大惨事になっている。。