■なぜ安全システムが機能しなかったのか
陸上自衛隊の多用途ヘリコプター「UH60JA」が昨年4月に沖縄県の宮古島沖で墜落した事故について、陸自の航空事故調査委員会が3月14日、調査結果を公表した。それによると、右と左にあるエンジンの出力が相次いで低下して墜落したことは解明されたが、エンジン出力低下の原因は特定できなかった。
2基のエンジンが搭載されたUH60JAは、1つのエンジンが故障しても、もう片方のエンジンで安全に飛行できるシステムになっている。しかし、2つのエンジンとも出力が落ち、安全飛行のシステムが役に立たなかった。なぜ、システムが機能しなかったのだろうか。
墜落事故は昨年4月6日に起きた。これまでの報道によれば、飛行は宮古島の地形を確認するのが目的で、航空自衛隊宮古島分屯基地を午後3時46分に離陸した後、下地島空港の管制塔と交信し、その2分後の午後3時56分に同基地のレーダーから消えた。この事故で熊本県に司令部を置く第8師団の坂本雄一師団長ら幹部自衛官を含む乗員計10人全員が死亡した。
■左エンジンの出力低下が焦点だった
陸自は海中から機体を引き揚げるとともにフライト・データ・レコーダー（FDR）も回収し、陸自の事故調が1年にわたって墜落原因を調査した。その結果によると、高度330メートルを飛行していた午後3時54分44秒、右エンジンの出力が低下し、その37秒後には左エンジンの出力も下がり出し、機体は海上に墜落した。なぜ、2基のエンジンの出力が同時に落ちたのだろうか。
事故原因の究明で大きな焦点となったのが、左エンジンの出力低下だった。コックピット・ボイス・レコーダー（CVR）の機能も合わせ持つFDRには、緊急時に手動で出力を調整する操作（ロックアウト）と思われる音声記録が残されていた。乗員が正常な左エンジンを絞るよう発声した直後、異常が起きた右エンジンを絞るよう言い直していた。通常、トラブルの起きたエンジンの出力をゼロにしたうえで、正常な方のエンジンの出力を上げ、緊急着陸する。だが、トラブルを起こした右エンジンの出力が低下するとともに、正常な左エンジンの出力も落ち、揚力を失って墜落した。
事故調は左エンジンの出力が低下した原因について➀乗員の操作ミス②電気系統のトラブル③ケーブルの異常―の3つの可能性を指摘した。しかし、「それらを裏付けるための物証に欠け、どれも特定できなかった」と説明している。
一方、最初に異常が起きた右エンジンには「ロールバック」という出力が徐々に低下する現象が起きていた。その原因について事故調はエンジンに燃料を送る配管の漏れや詰まりによって不具合が発生し、燃料の供給が滞ったと推定した。
■砂糖入り燃料でエンジン停止の事件も
パイロットが誤って正常な左エンジンを絞り込んだとしたら、明らかにヒューマン・エラーである。パイロットは師団長ら幹部を乗せての飛行で緊張するなか、右エンジンがトラブルを起こしてあわてた結果、操作を誤った可能性がある。だとしたら1つのエンジンが駄目になっても、もう1つで安全飛行ができるシステムの落とし穴だ。人間は緊急時、どうしても混乱する。緊急時の対応は手動でエンジン出力を落とすのでなく、ハイテク技術、デジタル技術を駆使したオートパイロット（自動操縦）に変更すべきである。
事故調は音声記録が残っていたにもかかわらず、左エンジンの出力低下の原因を特定しなかったというが、本当に特定できなかったのだろうか。特定しなくとも推定はできたはずである。ロールバックが起きたという右エンジンについてもフライト前の点検・整備がどのように実施されていたかなど、具体的にかつ詳細に公表してほしかった。幹部が搭乗する機体だけに整備は念入りに実施されていたとは思うが、航空専門家によれば、幹部が乗るということが整備担当者に重圧をかけ、それが整備ミスを引き起こすケースもある。海外での事例だが、過去には燃料に砂糖が混ぜられ、エンジンが停止する事件も起きている。陸自内部に問題はなかったのか。
そもそも調査を行った事故調は陸自内部の組織だ。民間機の航空事故を中心に調査する国土交通省外局の運輸安全委員会（JTSB）に比べ、独立性に欠け、閉鎖性が強い。軍用機としての極秘性もある。通常、自衛隊内部で事故や事件が発生した場合、自衛隊法に基づく内規（訓令など）によって事故調査は内部の事故調が担当し、刑事捜査も内部の警務隊（特別司法警察）が行う。
どうであれ、国防という重要な役目を担う10人もの命を奪った墜落事故だ。民間人に被害が及ばなかったのは不幸中の幸いだ。安全飛行のために事故原因を特定し、それを同種の事故の再発防止に役立ててほしい。
■安全飛行設計の「冗長性」と「フェイル・セーフ」
ところで、航空の世界では陸自ヘリUH60JAのように複数のエンジンを搭載し、1つのエンジンがトラブルを起こしても別のエンジンで安全運航できるようなシステムについて装備面からは「冗長性」と呼び、構造面からは「フェイル・セーフ」と言っている。
冗長性とはリダンダンシー（redundancy、余剰）のことで、同じ機能のある装置を余分に備えることを指す。1つの装置が故障してももう1つの装置をバックアップとして機能させ、安全に飛べるようにする「余剰安全装備」である。フェイル・セーフはフェイル（fail、破損）してもセーフ（safe、安全）に飛べる「多重安全構造」を指す。構造物の一部に破損が生じてもすぐには致命傷に至らず、安全に地上に降りることができる構造だ。
航空機は一度飛び立つと、地上に戻るまで故障や不具合のトラブルに対応することが難しい。それゆえ、軍用機も民間機も装備面と構造面に最新技術の粋を集め、高い安全性を確保している。
しかし、昨年4月の沖縄県の宮古島沖で起きた陸自ヘリUH60JAの墜落事故では、安全飛行設計の冗長性もフェイル・セーフも役に立たなかった。陸自の事故調は現行の冗長性とフェイル・セーフに問題点がなかったかについて機体の改良・改善も視野に入れてさらに調査を進める必要がある。
■日航ジャンボ機墜落事故の場合は
冗長性とフェイル・セーフに問題のあることが次々と判明し、機体が改良・改善されたのが、39年前に起き、単独機として航空史上最大の520人もの死者を出したあの日航ジャンボ機墜落事故である。
1985（昭和60）年8月12日夜、日航123便（B-747型ジャンボ機）は飛行中に大きな異常音とともに客室内の与圧空気が後部圧力隔壁の裂け目から一気に噴き出し、垂直尾翼を吹き飛ばし、機体をコントロールする4系統の油圧システムも破壊された。すべての油圧配管から作動油が漏れ出した。冗長性の崩壊である。その結果、機体は操縦不能となり、群馬県上野村の御巣鷹の尾根に墜落して大破した。
この墜落事故でボーイング社は冗長性に問題があることに気付き、油圧配管の配置を改良した。第2系統を分離し、床下の貨物室の底部を走らせることを決め、1988年3月から新造のB-747型ジャンボ機やB-767型機に適用した。同じく油圧システムを守る観点から作動油の流出や漏れを防ぐため、油圧配管内に自動遮断弁を設置した。
次にフェイル・セーフの問題である。後部圧力隔壁は「ワンベイ・フェイル・セーフ」構造で設計され、一部に亀裂（クラック）が生じてもその進攻は1つの区画の中で止まり、亀裂そのものは客室の与圧異常などで発見されて修理できるとボーイング社は考えていた。しかし、日航ジャンボ機墜落事故ではボーイング社による7年前の隔壁の修理ミスによって隔壁破壊が起きた。しかも墜落事故直後の疲労サイクル試験では隔壁の強度の弱さが証明され、ワンベイ・フェイル・セーフが機能しないことが判明した。ボーイング社は1987年3月から、隔壁に新たな補強板やストラップ（帯板）を組み込んでB-747型ジャンボ機などの隔壁の強度を強める改善を実施した。
こうした機体の改良・改善の後、B-747型ジャンボ機は大きな事故を起こすことなく、飛び続けた。事故を教訓として機体を改修し、安全運航に結び付ける努力がいかに大切であるかがよく分かる。
木村良一（ジャーナリスト・作家、元産経新聞論説委員）
