ミリメートルの重要性：カンタス航空32便の物語
(medium.com/@admiralcloudberg)- 2010年11月4日、Qantas Airbus A380 32便はシンガポール離陸直後に2番エンジンのタービンディスク破損が発生し、翼・胴体・油圧・電気・燃料・制動系統が同時に損傷したが、搭乗者469人全員が生還した
- 事故はRolls-Royce Trent 900内部のオイル供給スタブパイプから始まり、製造時にカウンターボアが約0.5mmずれていたため片側の壁厚が0.35mmまで薄くなり、この欠陥が金属疲労とオイル漏れにつながった
- 漏れた高圧オイルは約365〜375°Cの空間で発火し、炎がIPタービンディスクのドライブアームを切断、ディスクは4秒以内に臨界速度を超えて複数の破片に破裂した
- 操縦室には20秒間で34件の警告が殺到し、ECAM手順の処理に55分を要したが、操縦士たちは燃料漏れ・ロール制御65%喪失・最大着陸重量超過・制動力低下を抱えたまま、4,000m滑走路に150mを残して停止した
- その後、Trent 900スタブパイプの全数検査、IPタービンのオーバースピード保護、HP/IPベアリングハブの除去、Rolls-Royceの製造・品質手順改善、Airbusの着陸性能ソフトウェア修正が行われ、A380は乗客負傷事故なしの運航記録を維持している
離陸直後のA380を襲った複合故障
- 2010年11月4日、Qantas 32便はロンドン-シドニー行きの旅程でシンガポールに途中寄港した後、シドニーへ向かっていたAirbus A380便だった
- 機体登録番号はVH-OQA、愛称はNancy-Bird Walton
- 搭乗者は乗客440人と乗員29人、計469人
- 操縦室には機長Richard Champion de Crespigny、副操縦士Matt Hicks、Second OfficerのMark Johnson、Check CaptainのHarry Wubben、Senior Check CaptainのDavid Evansの5人がいた
- これら操縦乗務員の経歴は合計140年、飛行経験は71,000時間に達していた
- 午前9時56分にシンガポールを離陸し、約4分後、高度7,000フィートを通過中に2番エンジンで致命的な故障が発生した
- 操縦士と乗客は短い間隔で2回の爆発音を聞いた
- 航空機はやや左へヨーイングし、自動推力装置が解除された
- 機長はautopilotのaltitude holdを押して航空機を水平飛行状態に保った
- ECAMにはまずENG 2 TURBINE OVERHEAT警告が表示され、その後20秒間で34件のメッセージが追加された
- 損傷したエンジンはIPタービンディスクと周辺構造を失っていたが、なお回転していたため、ただちに完全故障としてのみ表示されたわけではなかった
- 操縦士が2番エンジンの出力を下げると、一時的にENG 2 FIRE警告が現れて消えた
- その後ENG 2 FAILメッセージが表示され、エンジン停止を決定した
- 2番エンジンの2本の消火器のうち実際に作動したのは1本だけで、確認灯は点灯しなかった
Trent 900内部のオイル漏れがディスク破裂へ拡大した過程
- Airbus A380のRolls-Royce Trent 900は、ファン、圧縮機、燃焼室、タービンで構成される高バイパスターボファンエンジンである
- Trent 900はLP、IP、HP系統を備え、HPおよびIPタービンは後方の単段タービンディスクで構成されている
- HP/IPベアリングハブは回転軸を支持し、内部のベアリングチャンバーには摩耗防止のため加圧オイルが供給される
- 問題の部品は、ベアリングチャンバーへオイルを送るoil feed stub pipeだった
- このパイプは、HP/IPベアリングハブのinner sectionとouter sectionの間のbuffer spaceを通る短い固定区間である
- 事故当時、2番エンジン内部でこのパイプに亀裂が生じ、高圧オイルがbuffer spaceへ噴霧された
- buffer spaceの温度は約365〜375°Cと推定され、エンジンオイルの自然発火温度280°Cを上回っていた
- 噴霧されたオイルは直ちに発火した
- 火災が前方triple sealを損傷すると、annulus gas pathの高圧空気がbuffer spaceへ吸い込まれた
- 流入した空気は炎を後方へ押しやり、IPタービンディスクのdrive armに直接当てた
- IPタービンディスクのdrive armは通常運転中でも大きな応力を受ける部品であり、高熱に耐えられず数秒以内に破損した
- オイル漏れ開始からdrive arm破損までは1分を大きく下回っていた
- drive armが切断されると、IPタービンディスクは軸と接続されない状態でannulus gas pathのエネルギーを受け続けた
- 4秒以内にディスクは臨界速度を超え、遠心力がニッケル合金ディスクの限界を上回って複数の破片に破裂した
- タービンディスクの破片はエンジンケースとカウリングを突き破り、各方向から航空機を損傷させた
- 1つの破片は下方へ落下してBatam Islandの建物の壁を損傷したが、地上負傷者はいなかった
- 別の破片は胴体下部とwire bundleを貫通した
- 2つの破片は左翼内部を通過して翼上面へ抜けた
- 小さな破片も翼と胴体の各所に追加損傷を残した
警告の洪水の中で着陸可能性を計算した操縦室
- タービンディスク破片は航空機の主要系統に広範な二次損傷を与えた
- 左翼燃料タンクが漏洩した
- leading edge slat作動機構が損傷した
- wing leading edgeとbelly areaのwire loom 2本が完全に切断され、約650本の配線が影響を受けた
- green hydraulic pump制御喪失、yellow hydraulic system低下、エンジン1・2のAC電源喪失、slat全機能喪失、spoilerとaileronの一部機能喪失が発生した
- 左翼landing gear brakeと右翼wing gear brakeのanti-skid機能の一部も損傷した
- A380はgreenとyellowの2系統の油圧を使うが、各飛行操縦面には独立したバックアップ油圧アクチュエーターがあり、操縦性喪失を抑えていた
- 直接損傷とgreen hydraulic pressure喪失により、ロール制御能力は約65%低下した
- 残ったspoilerとaileronだけでも航空機の操縦は可能だった
- 操縦士たちはautopilotのon/off両状態で航空機が操縦可能だと判断した
- 乗務員は即時着陸するより、ECAM手順を処理して航空機の状態把握を優先することにした
- ATCにholding pattern進入を要請し、シンガポール北東の海上を旋回した
- ECAM処置完了には55分かかり、操縦士たちの想定を大きく超えた
- Second OfficerのMark Johnsonは客室状況確認のために向かい、tail camera映像と目視で左翼の燃料漏れと翼上面の大きな穴を確認した
- 操縦士たちはtail cameraの映像を切ると乗客により不安を与える可能性があるとして維持した
- 燃料状況は着陸判断をさらに難しくした
- 左翼タンクから燃料が漏れ、左右の燃料不均衡が拡大した
- ECAMはfuel transfer valveを開いて均衡を取るよう指示したが、操縦士たちは漏洩とfuel transfer system損傷警告を考慮して従わなかった
- fuel jettison systemも作動せず、航空機は最大着陸重量を40トン以上上回る状態だった
- 長時間飛行で燃料を消費する案は、燃料不均衡とロール制御65%喪失のため不適切と判断された
- Airbusの着陸性能ソフトウェアは当初no resultを返した
- ソフトウェアは操縦技法差を保守的に反映するoperational coefficientを故障ごとに繰り返し適用し、故障が多かったため係数が合計9回適用された
- Check CaptainのEvansは実際の着陸重量を手動入力して最大着陸重量前提を回避した
- この場合、ソフトウェアロジックはoperational coefficientを1回だけ適用し、シンガポールChangi Airportの4,000m滑走路に約100mの余裕をもって着陸可能という結果を示した
着陸後も残っていた火災と避難リスク
- 機長は操縦負担を減らすため、普段より遠い距離から滑走路に整列した
- ロール制御低下により操縦感覚は鈍かった
- 進入中に手動操縦の確認を繰り返し、フラップ展開後も操縦特性が維持されるか確認した
- エンジン1・4は一定推力に保ち、比較的影響の少ないエンジン3だけで速度を調整することにした
- green hydraulic system故障のためlanding gear leverを下げても着陸装置は出ず、操縦士たちは重力でギアを下ろすバックアップシステムを使用した
- バックアップシステムは正常に作動した
- 機長は失速危険速度と着陸後の滑走路逸脱危険速度の間という非常に狭い範囲を維持しなければならなかった
- de Crespignyは安全速度範囲が約3〜4ノットだったと回想している
- 一時low energy alertが発生したが、エンジン3出力をわずかに上げると警告は消えた
- Qantas 32便は午前11時46分、Changi Airport runway 20Cに着陸した
- タッチダウン直前にstall warningが一時的に鳴った
- 操縦士たちは残存ブレーキと、A380のinboard engineにのみあるreverse thrustのうちエンジン3のreverserを使用した
- 4,000m滑走路のうち150mを残して停止した
- 停止後も火災と通信の問題は続いた
- 左body gear brakeは着陸中に大きな負荷を受けて過熱し、タイヤ4本がdeflateした
- 燃料は引き続き漏れており、高温のブレーキに接触すれば火災が起きる可能性があった
- エンジン3・4を停止すると航空機は電力を失い、APUは配電インフラ損傷のため電気系統に接続されなかった
- 非常電源だけで作動可能なVHF radioを1台見つけて消防隊と交信しなければならなかった
- 1番エンジンは通常手順では停止しなかった
- 翼系統損傷により1番エンジンのfuel shutoff valveが作動しなかった
- 1番エンジンのfire extinguisher bottleも作動せず、fire handleでも停止できなかった
- 消防隊はエンジン吸気口と排気口を避けながらブレーキにフォームを散布して火災を防いだ
- その後Qantasの整備士たちは消防フォームでエンジンを窒息させる方法を選び、1番エンジンは着陸から3時間以上後の14時53分に停止した
- 乗客避難はただちに非常スライドでは行わなかった
- 非常スライド避難では乗客の5〜10%が重傷を負うという統計があり、搭乗者の中には高齢者や障害者もいた
- 火災リスクが低下した状況で、操縦士たちは機内の方が安全だと判断した
- 電力喪失で空調が止まった状態で50分後に階段が到着し、単一出口から約1時間かけて乗客全員が降機した
- 乗客440人は1人もけがをしなかった
0.5mmの製造欠陥と事故後の変更
- 事故の直接原因は、oil feed stub pipeの片側壁が過度に薄かった欠陥である
- 事故エンジンのパイプは677回の飛行後、金属疲労で破損した
- パイプ下端にはフィルターを入れるためのcounter boreがあり、このcounter boreが中心から約0.5mmずれていた
- 壁厚は片側1.42mm、反対側0.35mmで不均一だった
- 製造工程の変更は位置合わせ保証を崩した
- 元の設計では、outer clearance hole中心であるdatum AAを基準にstub pipeとcounter boreを位置合わせし、十分な壁厚を保証していた
- 製造段階ではstub pipe挿入後にdatum AAを見つけにくく、counter bore基準をinner hub counter bore中心であるdatum Mへ変更した
- stub pipe自体の位置は依然としてdatum AAに結び付けられていたが、datum Mがdatum AAと一致するという直接的保証はなかった
- ハブを再クランプする過程で微妙に動くと、機械が記憶したtiming pin位置と実際位置がずれ、その分だけinner hub counter boreとstub pipe counter boreもずれた
- 検査と承認手順も欠陥を見逃した
- stub pipe wall thicknessは個別に明記されておらず、位置合わせによって間接的に保証される構造だった
- OP 230検査はstub pipe counter boreをdatum M基準でしか測定せず、パイプ自体とのずれを捉えられなかった
- OP 70検査はinterference boreをdatum M基準で測定し、異常を捉えられる可能性があったが、製造図面とCMM測定基準の違いを検査者が把握しにくい構造だった
- 事故ハブのCMM記録は保存されておらず、実際に警告があったかは確認できなかった
- 2009年の製造基準点変更過程で一部counter boreの不整合はすでに確認されていたが、約100個の部品についてretrospective concessionが承認された
- 9個のハブ測定値を基に統計分析が行われ、最大non-conformanceはØ 0.7mmと推定された
- この分析はデータ数が少なく、過去の生産品を代表する保証もなく、不確実性が大きかった
- 報告書では不確実性が明確に伝えられず、Non-Conformance Authorityは安全影響がないとして承認した
- Rolls-Royce内部手順ではretrospective concessionにBusiness Quality DirectorとChief Engineerの署名も必要だったが、その承認にはこの署名がなかった
- 事故後には全数検査と制度変更が続いた
- 運航中のHP/IP bearing oil feed stub pipeを測定した結果、多数がØ 0.20mm許容差を外れ、一部は事故パイプよりさらに大きい不整合を示した
- 2本のパイプでは約Ø 1.2mm水準のnon-conformanceが見つかった
- Qantasは2010年11月4日から11月27日までA380機材を一時運航停止した
- European Aviation Safety AgencyはTrent 900 oil feed stub pipe検査を義務化した
- Rolls-RoyceはIP turbine overspeed protectionを開発し、Airbusは全A380に10飛行以内の装着を求めるmandatory service bulletinを発行した
- 初期生産のHP/IP bearing hub全体と、stub pipe wall thicknessが0.7mm未満のハブは運用から除外された
- Rolls-Royceは製造・設計エンジニア間のdesign intent協議手順を改定し、retrospective concessionの慣行を終了した
- Airbusはすべての着陸重量で実性能をより正確に予測できるよう、着陸性能ソフトウェアを修正した
- 航空機は535日間にわたり修理され、修理費は1億3,900万ドルで、VH-OQA Nancy-Bird Waltonは2012年に再び飛行した
- 0.5mm未満の偏差が世界最大の旅客機を深刻に損傷させうることを示した事故だった
- 同時に、A380のfly-by-wire、操縦面バックアップ油圧、ECAM、冗長設計、乗務員の判断とチームワークが結びつき、搭乗者の負傷なく事故を終わらせた
1件のコメント
Hacker Newsのコメント
航空事故の事後分析で出来事の細かな連鎖を読むたびに、思わず笑みがこぼれる
単一の故障部品にまで絞り込み、その部品が運用に入るまでの履歴と環境を追跡できるという点が、航空業界の堅牢さを示している
ミスは起きるものだし、堅牢さはミスの数よりも対応の仕方に関係していると思う
FAANGでSREとして信頼性に携わってきた立場から見ると、航空業界にはいつも畏敬の念を覚えるし、いつかソフトウェア／技術業界もこの水準に到達してほしい
筆者のKyra Dempseyにも大きな称賛を送りたい。工学的に重い内容なのに、本当に読みやすく書かれている
FukushimaとDeepwater Horizonの惨事はいずれもジッパー式の失敗であり、「Xが故障したら、その次は？」という考えが不足していたことを示している
ここで重要なのは「Xが故障したら」であって、「Xが故障するとしたら」ではない。考え方が違う
それなのにHNでは、クラウド障害の事後分析を数時間以内に求める
単に犯人を探すのではなく、改善しようとする文化がある
ただし内部の人に聞いたところでは、サプライチェーンの完全性は過小評価されている問題らしい
何者かが巧妙な手口で偽の航空機部品を売って摘発され、不審なサプライヤーもさらにいるため不安だ
“Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate.”
https://www.businessinsider.com/scammer-fooled-us-airlines-b...
ある程度腕のある機械工や製造計測担当者にとって、そのサイズの部品で0.5mmの同心度誤差は、実質的に0.5マイルにも等しい
肉眼でも見えるほどの大きな誤差であり、通常のばらつきで生じる規模ではなく、セットアップに深刻な問題がある明確なサインだ
設計図面上のボア公差はØ 0.05mmだったのに、製造図面では説明なしにØ 0.5mmへ変更されており、事故を起こしたハブの不適合はØ 0.90〜0.98、つまり0.45〜0.49mmのオフセットだったので、装置が表示していたはずだ
CMMの記録が保存されていなかったため、調査官は実際に誤差が記録されていたか確認できなかった
機械加工の現場を知らないと意味が伝わりにくいかもしれないが、経験があれば明白だ。その工場の多くの人が、規格外部品を納入していることを知っていたはずだ
部品に触れた誰もが、カウンターボアが大きく中心から外れていることに一目で気づけたはずなのに、作り直したり原因を突き止めたりする代わりに、形式的な品質検査だけをして出荷し、文書を改ざんし、証拠を捨てたということだ
分析は複雑だが、根本原因は非常に単純だ。露骨な怠慢と、それを覆い隠した露骨な欺瞞である
だとすると「なぜチューブを所定位置に溶接した後で仕上げ加工をするのか？」という疑問が生じる
ハブに付いた状態で加工するほうが簡単、あるいは速かったのかもしれない
それに、そこにはオイルフィルターが入るはずではなかったのか？ カウンターボアがオフセットしていれば、オイルフィルターが干渉しなかったのだろうか？
タービンを作るときは、人々はもっと注意を払うものだと思っていた
30年前、エンジン故障で緊急着陸したことがある
乗務員が靴を脱がせ、衝撃防止姿勢を練習させ、乗客の配置を変える状況だったが、最も印象に残ったのは全員が指示に従っていたことだ
自意識の強い人もおらず、なぜ乗務員が搭乗しているのか、生存にとってどれほど重要なのかを皆が理解していた
避難は秩序立っていたが、その後の対応は長かった。たとえばパスポートは全員分が機内に残っていた
最近、人々が荷物を持ってスライドで脱出している写真を見たが、スライド自体でも危険だし、避難速度も遅くなるので非常に危なく見える
私たちのときは客室に火はなかったが、もしあったらどうだっただろうと思う
そして、メディアが怯えた顔を撮ろうとカメラを突きつけるというステレオタイプは、実際に起きた
荷物もだめ、靴もだめ、ただ身体だけで行くべきだ
だが無視されることがあり、そのせいで人々が本当にけがをする可能性がある
それでも他の状況での人々の行動を考えると、それだけ多くの人が指示に従うこと自体、驚くべきことでもある
飛行機から降りるとき、私たちは普段「自分の荷物をすべて持つ」と行動する
だから、すでに聞いたことがあっても安全ブリーフィングを聞くことが重要だ。反復訓練はストレスが加わったときでも何をすべきかを思い出させてくれる
ただ座って荷物や私物が降ろされるのを待ち、それから別の便を待つのだろうか？
ああいう場面を見ると本当に腹が立つ
最初の仕事は、Trent 900 より少し小さいエンジンをオーバーホールする MRO で、原理は同じだった
記事で適切に署名されていなかったとされているものに似た、様式や署名手続きをデジタル化する品質保証ソフトウェアを作っていた
一緒に昼食を食べていた修理エンジニアたちは、エンジンについて深い知識の井戸を持っていて、ひとつの話題だけで昼休みが終わり、何週間にもわたって会話が続くこともあった
この記事のある段落は、署名漏れや、エンジニアが手順を知らない問題など、非常に微妙な点を突いている。ここでの Rolls-Royce 批判は妥当だと思う
私が勤めていた MRO の品質保証マネージャーは自然災害のような人物で、恐れられる存在であり、妥協を許さない人だった
同時に、飛行中のエンジン停止を引き起こし得る署名を持つ人物でもあり、今でも尊敬している
世界中のあらゆるエンジンモデルで、こうした小さな問題は毎日起きている。今も飛行中の何千台ものエンジンには、停止を引き起こし得る小さな欠陥がある
ある問題は特定され、低リスクとして承認され、次回のオーバーホール時に点検することとして残される
同じ欠陥、早期に亀裂が入った配管、炭素堆積、異常腐食を繰り返し見てきたエンジニアが文書を上げると、その文書は上に回って、そこで留まることになる
無視されることもあれば、次期設計の参考に使われたり、修正すべきものに分類されたり、監視対象になったり、監視頻度が上がったりすることもある
部品寿命が短くなったり、毎回のオーバーホールで 非破壊検査 が義務づけられたりする場合もある
こうしたシステムはあまりに複雑なので、常にどこかに少しずつ問題があるもので、スイスチーズモデル が見事に当てはまる
Qantas に関しては、記事の末尾で多額の費用をかけて機体を修理したとあるが、Qantas は機体を失ったことがないことを会社の誇りにしている
経済的な修理限界を超えた航空機であっても、その記録を守るために修理する
QF32 が起きたとき、誰もが完全に衝撃を受けていたのをはっきり覚えている。Qantas ではそんなことは「絶対に」起こらないと考えられていたからだ
[1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
その程度に署名が抜けていたなら、私たちは生きたまま皮を剥がれるような目に遭い、監査員がさらに多くの問題を見つけようとして会社をひっくり返した可能性が高い
そうなれば監査で重大な不合格が出るか、品質認証が完全に取り消されていたかもしれない
その後、顧客、この場合は Rolls-Royce による監査が続き、経営陣に厄介な質問をし、企業間の concession 手続きが守られていたかを確認し、社内で「この人たちにこの部品を作らせてよいのか？」と見直したはずだ
ここで読んだ限りでは、Rolls-Royce は下請け業者に対して品質面で十分に強く圧力をかけておらず、驚くほど緩かった
見たものを考えると、その中でどうやってイノベーションが起こり得るのか、なぜ毎年もっと多くの「fuck-you-shima」が起きないのか、飛行機のエンジンが毎日爆発しないのがどうして可能なのか疑問に思った
記憶が正しければ、B777 のエンジン制御装置はいまだに m68k だ。1995年に生産終了したものだ
その飛行機に乗っていて、記事で「乗客が飛行中に撮影した写真で、翼上面のタービン破片の出口穴を示している。（ATSB）」と引用されている写真を撮った
ほどなくして、あえて別の A380 に乗った。工学的な安全性への信頼を失わないためだった
心理的には、すぐにまた乗るという選択のほうが賢明だったのかもしれない
文章は複雑でよく書けているが、勝利感に満ちたトーンと尽きることのない安全礼賛には少し首をかしげる
誰も何かを売っているわけではないのに、営業プレゼンのように感じる部分がある
私のように読んだなら、いくつかの箇所で「うーん……」となったはずだ。実際には、きちんと機能しなかったものだったからだ
異常データで一度も試験されていなかった計算ソフトウェア、壊れたエンジンを回し続けたコンピューター、燃料タンクがほぼ満タンだったため爆発しなかった幸運、エンジンを止める物理的なキルスイッチの不在がその例だ
すべてのチェックリストを処理する1時間が「十分に」あり、その間、乗客と乗員は燃料の水たまりの上で何も着火しないことを願いながら耐えていた
最後に、破片が飛んだ方向も純粋なランダムだった
これは「安全レイヤー」が重なった話ではなく、ランダムなレイヤーが重なった話のように見える
あり得るすべての破片軌道の結果分布、つまり実際にどれほど運が良かった、あるいは悪かったのかが本当に気になる
企業はそうしたモデルを公開しないだろうが
それに、オイルフィルター用の特殊チャンバーのせいで、問題のないパイプを精密に穴あけしなければならないという構造もいまひとつだ
いずれにせよ全部を再取り付けしないと整備できないものだと理解したのだが、なぜ単一部品にしなかったのだろう？
UA232のように、1基のエンジンとともにすべての操縦機能を失った過去の事故を振り返る文化があったため、A380の操縦システムはより大きな損傷にも耐えられるよう設計され、実際に機能した
ただ、改善点に十分焦点を当てていなかったという点には同意する
火災状態で60秒間回り続け、危険な部品をあまりにも高速に回転させるコンピューター制御エンジンは、事前に対処されるべきだったと思う
エンジンの製造プロセスは複雑すぎて、検証がほとんど不可能に見える
欠陥管理システムが40件の警告があるときに一度に1〜2件しか表示しないのも問題だ
エンジン停止のような重大な判断を自動化に委ねるべきではなく、それはパイロットの判断であるべきだ
物理的なキルスイッチがなかったという点も、実際には燃料の流れをバルブで遮断する方式がある。ただし、その「キルスイッチ」が損傷していたのだ
チェックリストをすべて処理する時間があったなら、パイロットがそうすると判断するほうが安全ではないか？
破片の方向がランダムだったというのは、故障の性質上当然だ。データセンターでどのHDDが故障するかがランダムだと文句を言うのに似ている
あり得るすべての破片軌道に関するデータは公開されていないが、好ましい軌道は設計段階で分析され、構造やシステム構成要素もそれに合わせて分離されている
昔の航空事故では、単一のミスや単一部品の故障が数十人の死亡につながることが多かった
パイロットたちが雑談に気を取られた事故への対応として、sterile flight deckが生まれた過程もそうだ
現代の航空事故では、そうしたことははるかに起こりにくくなっているように思う
エンジンが爆発し、破片がケーブルの半分、翼、燃料貯蔵部、油圧系統を引き裂いても、飛行機はほぼ完全に操縦可能で、着陸も可能だった
冗長性のない自動車で同じことをして、どれだけ持つか見てみよう
航空の美しさは、誰もがミスから学び、その上に積み上げようとする点にある
この事件も死者は出なかったが、今後の飛行をより安全にする措置を生んだ
商業的圧力にもかかわらず、航空安全を改善しようとする体系的で意図的な取り組みがあった
スイスチーズモデルは、噛み合わなければならないランダムなレイヤーがはるかに多いという意味だ
そのレイヤーの多くは過去の事故から生まれたもので、まったくランダムではない。もちろん、穴のないレイヤーも存在しない
そのディスクが別の壊れ方をしていたなら、別のレイヤーが適用されていたかもしれない
死者が出ていただろうか？ あり得る。飛行機が即座に爆発していただろうか？ 分からない
だが、そうしたレイヤーがなければ、はるかに悲惨な結果になる確率が大きく高まっていたことはかなり明らかだ
[0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
その部分を読んで衝撃を受けた
もちろん純粋な幸運もあった。ディスクが機体を真っ二つにしていた可能性もあるし、進路上にいた人に致命傷を負わせていた可能性もあるが、大半は機体を避けて飛んだ
そうした幸運の一つひとつに感謝すべきだ
死者も負傷者も0人で終わった事件を、前向きに見ないのは難しい
誰かを「国宝」と呼ぶのは陳腐かもしれないが、Admiral Cloudbergはさらに一段上の世界の宝だ
Kyraはnom de cloudとして、本当に多くの素晴らしい文章を書いてきた
どの記事を選んでも、何かを学べるはずだ
https://news.ycombinator.com/from?site=admiralcloudberg.medi...
今テレビで流れている大げさなゴミの代わりに、そういうものを流すべきだ
ものすごいプレッシャーの中でもやり遂げる非凡なパイロットたちがいる
United Flight 232 は、この記事よりさらに極端な事例
https://en.wikipedia.org/wiki/United_Airlines_Flight_232
「死者が出たにもかかわらず、この事故はクルー・リソース・マネジメントの成功例として高く評価されている。搭乗者の大多数が生存し、シミュレーター上の熟練したテストパイロットたちでさえ、生存可能な着陸を再現できなかった。航空史上最も印象的な着陸の一つとされ、『不可能な着陸』と呼ばれた」
飛行機はすべての油圧を失い、エンジンだけで操縦して不時着しなければならなかった
パイロットの一人がカメラを正面から見て話を聞かせてくれる
https://www.youtube.com/watch?v=nf33RDu_D6M
「救助隊が墜落から35分後になってようやく、操縦室の残骸と、その中で生きていた4人の乗員を確認した」
乗客が生き残ったのかも分からないまま救助を待つ30分は、想像しがたい
https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...
Mentour Pilot の航空事故分析に、欠点と言っていいほどハマっている
ここでもさらに深く扱っている
https://www.youtube.com/watch?v=JSMe1wAdMdg
Admiral Cloudberg の記事は Columbo に近い。まず何が起きたのかを教え、そこから時間をさかのぼって原因となった細かなディテールを探して説明していく
ある意味では、そちらのほうがずっと論理的だ
Mentour Pilot は何度も「これを覚えておいてください、あとで重要になります」と言わなければならない
でも、なぜ重要なのか分からないので覚えられず、結果として物語の筋がやや分かりにくくなる
この1年ほどでそのチャンネルを見つけ、特にパイロットの視点から扱う内容を楽しく見ている
この記事が気に入ったなら、Air Disasters も気に入る可能性が高い
地域によっては Air Crash Investigations や Mayday としても知られている
事故報告書に基づいてかなり詳しく扱い、扇情的にはしないが、この記事ほど深く掘り下げるわけではない
着陸進入時の安全速度範囲が非常に狭かった点が印象に残った
失速速度と、滑走路をオーバーランしないための最大速度の差が、わずか3〜4ノットしかなかった
乗員がこなさなければならなかった他のすべての作業まで考えると、航空機を安全に降ろしたのは本当に見事な操縦だった
実際、接地直前に失速警報が鳴ったので、ほぼその通りにしたことになる
記事を見ると、計算はいくつもの override を入れて、やや応急処置的につなぎ合わせたようで、そのため前提の一部には誤差の余裕が必要になり得るので、慎重に進入したように見える
本当に見事に書かれた、驚くべき記事だ
Qantas の運航チーム、とりわけパイロットに称賛を送りたい。間違いなく腕を知り尽くした人たちだ
Airbus のエンジニアリングチームにも称賛を送りたい。冗長システムの大勝利だった
事後分析の一環として停止計算が改善されたのも興味深かった