- 航空安全は、事故後に誰か一人を罰するのではなく、同じミスが起こり得た条件を取り除く形で発展してきた。1991年のLAXにおけるUSAir 1493便衝突事故は、その理由を示している
- USAir 1493便はLAXの滑走路24Lに着陸する際、離陸許可を待っていたSkyWest 5569便と衝突し、最終的に35人が死亡した
- 管制官Robin Lee Wascherは、SkyWest 5569便が滑走路上に残っていることを忘れたまま着陸許可を出したが、NTSBはこれを個人の逸脱ではなく、地上レーダーの故障、遮られた視界、情報伝達構造、夜間に滑走路上で待機させる慣行が重なったシステム上の問題と見なした
- Chicago ConventionのAnnex 13以降、航空事故調査は将来の事故防止を主目的としており、実際の原因を突き止めるには、処罰への恐れなく証言できる必要がある
- just cultureと無過失の事後分析は、ミスを隠さない文化を生み、LAX事故以降、米国の管制塔のある空港で致命的な滑走路衝突がなくなるなど、実質的な安全改善につながった
LAX 1991年事故が投げかけた問い
- 1991年2月1日、USAir flight 1493はOhio州ColumbusからLos Angeles International Airportへ向かうありふれた飛行の最後に、滑走路24Lへ着陸した
- 天候は晴れており、Boeing 737に機械的欠陥はなく、進入過程にも特段の問題はなかった
- 着陸直後、737は滑走路上にいた小型コミューター機SkyWest flight 5569に後方から衝突した
- SkyWest 5569便はPalmdaleへ向かう19席のFairchild Metroliner双発ターボプロップ機だった
- 2機は一緒に滑走路を外れ、使われなくなった空港消防署に高速道路並みの速度で衝突した
- 死者は最終的に35人だった
- コミューター機の搭乗者12人全員とUSAirの機長Colin Shawが即死した
- USAirの客室には煙と火災が広がり、一部の乗客は脱出できなかった
- 重度のやけどを負った乗客2人も、その後病院で死亡した
Robin Wascherのミスと処分
- 当時LAX管制塔のlocal controllerだったRobin Lee Wascherは、事故後、標準手順に従って勤務から外された
- WascherはSkyWest 5569便に「taxi into position and hold」と指示していたが、離陸許可を出した記憶がないことに気づいた
- その後管制塔に戻り、上司に、USAirが衝突した機体はSkyWest 5569便だと思うと伝えた
- いかなる形でも処罰されなかった
- 同僚たちは彼女をホテルへ連れて行き、メディアの接触を防いだ
- 数か月後のNTSB公聴会で、記憶している事故の経緯を証言した
- 管制塔へ復帰する機会もあったが、本人が辞退した
- 誰も刑事訴追されなかった
- 航空業界では、このような正直なミスは処罰よりも原因調査として扱うほうが安全に資すると考えられている
航空事故調査の無過失原則
- 災害直後には特定の個人に責任を問いたくなる反応がよくあるが、すべての事故に悪意ある行為者や明白な怠慢があるわけではない
- 航空分野は以前から、blameless postmortemに近い慣行を公式化してきた
- 1956年にGrand Canyon上空で2機の旅客機が衝突した事故で、当時のCivil Aeronautics BoardのBureau of Aviation Safetyは、2組の乗員が互いを発見するのが遅すぎた可能性が高く、誰の過失でもないと判断した
- 事故原因は、空中衝突を防ぐ積極的な手段がなかった点にあった
- 1951年、世界の航空専門家たちはChicago Convention on International Civil AviationのAnnex 13を作成し、航空事故調査の方法を標準化した
- Annex 13の核心は、航空事故調査の主目的が将来の事故防止であるという点にある
- 法的責任の追及よりも予防を優先する選択である
- 亡くなったパイロットに責任を問う警察式の調査では、将来の事故確率を下げられない
- NTSBも、事故・インシデント調査を権利や責任を判断する手続きとは見なしておらず、過失や非難を割り当てないという原則を置いている
LAXで露呈したシステム上の問題
- NTSBは、Wascherが同じ滑走路に2機を許可した瞬間だけを見るのではなく、なぜそのようなミスが可能だったのかを調査した
- LAXには空港面上の航空機の位置を識別する地上レーダーがあったが、特注機器だったため予備部品の確保が難しく、しばしば使用不能になっていた
- 事故当日、Wascherの席の地上レーダー画面は作動していなかった
- SkyWest 5569便がいたIntersection 45は、新しく建てられたターミナルの照明のため、管制塔から見えにくかった
- WascherはUSAirへの着陸許可の後、別の航空機に関する情報を探していたため、自分のミスに気づけなかった
- その情報は別の管制官が伝えるべきものだったが、伝えられなかった
- 施設の情報伝達階層上、欠落した情報を解決する仕事が、安全上より重要な役割を担うWascherに回ってきた
- 夜間や低視程時に航空機を滑走路上で待機させることは危険だったが、当時は合法であり、一般的に行われていた
- 空中衝突警報システムはあったが、地上交通の衝突を管制官に警告することはできなかった
- SkyWestの手順では、離陸許可を受けてから航空機の照明の大半を点けることになっていた
- SkyWest 5569便は離陸許可を受けていなかったため、照明の大半が消えていた
- USAirのパイロットたちがそれを視認するのはほぼ不可能だった
処罰より原因の除去がもたらした改善
- Wascherのミスは複数の要因の一つであり、堅固な構造物を崩した地震というより、カードハウスを倒した小さな衝撃に近かった
- LAX事故の調査は実際の安全改善につながった
- より多くの空港に、より信頼性の高い地上レーダーが導入された
- 自動地上衝突警報技術が生まれた
- 低視程時に航空機を滑走路上で待機させる行為が米国全土で禁止された
- 調査が「誰が悪かったのか」で止まっていたら、こうした改善は実現しなかっただろう
- just cultureとは、高い運航安全を実現するために、人間のエラーの根本原因を調査する組織文化である
- 誰がミスしたかよりも、なぜミスが発生したかが重要である
- 従業員が報復を恐れればミスを隠し、組織は脆弱性を知ることができない
- 死者が出たミスであっても、当事者が善意で行動している最中にエラーを起こしたのであれば、結果の大きさだけで処罰を変えるべきではないという原則が適用される
真実の証言を可能にする法的構造
- NTSBには法執行権限がなく、その調査結果を法的責任の証拠として使うことはできない
- こうした保証は、パイロットや管制官が事故調査で真実の証言をするための条件である
- Wascherが刑事訴追されていたなら、弁護士は防御論理を組み立てる必要があり、調査は最初から曇っていただろう
- 1983年のAir Canada Boeing 767の「Gimli Glider」事件は、処罰の脅威が調査を曇らせ得ることを示している
- その機体は燃料切れとなり、Manitobaのドラッグストリップに着陸した
- 機長は作動する燃料計なしで離陸しており、これは少なくとも1つの燃料計が作動していなければならないという耐空要件に反していた
- 当時のカナダの調査は裁判官が率いる調査委員会が担当し、関係者の刑事訴追を勧告する権限があった
- 機長はMaintenance Centralがその状態での飛行を許可したと述べたが、現場にいた他の人々はこれを否定した
- Maintenance Centralにはそのような許可を出す権限もなかった
- 処罰の脅威のために機長が本当の理由を率直に語らなかった可能性が生じ、なぜ燃料計なしで離陸したのかは結論づけられなかった
安全記録と結論
- 米国は、透明性、正義、真実へのコミットメントに基づく根本原因分析を通じて、世界で最も安全な航空産業を築いたと評価されている
- LAX事故以降の33年間、米国の管制塔がある空港では、別の致命的な滑走路衝突は起きていない
- 世界の航空事故は、航空交通量が毎年増加する中でも、ほぼ消滅に近い水準まで減少した
- 1972年には、世界の航空旅客の約20万人に1人が目的地に生きて到着できなかった
- 2022年には、この数値は1,700万人に1人まで低下した
- 米国では、定期旅客航空会社が15年にわたって致命的な墜落事故を起こしていない
- Los Angeles事故の原因は、Robin Wascherが1機の飛行機を忘れたという事実そのものではなく、一人の人間が非人間的なほど一貫して行動しなければ安全が保たれない過酷なシステムだった
1件のコメント
Hacker News のコメント
英国で職場の安全を改善した重要な法律の一つが Health and Safety at Work Act 1974 で、組織に従業員のウェルビーイングに配慮する注意義務を負わせた。
その原則の一つが、ヒヤリハットを真剣に扱うこと。以前受けた研修で安全衛生エンジニアが、ヒヤリハットは「天からの贈り物」のようなものだと言っていた。誰もけがをしていないのに、何がどのようにまずくなり得るのかを正確に示し、組織に手順を改善する機会を与えてくれるからだ。
実際に職場事故が起きると、Health and Safety Executive が大規模組織に対して法を執行し、とりわけ以前にヒヤリハットの証拠があった予防可能な事故には巨額の罰金を科すことがある。
事故とは、システムが危険な状態にあり、不利な環境条件がその危険を実際の事故に変える組み合わせである。
ヒヤリハットは、システムは危険な状態だったが、環境条件が運よく有利だったため事故にならなかった場合だ。環境条件は制御できず、できることはシステムを危険な状態に置かないことだけである。
だからヒヤリハットだけでも、適切な事後分析に必要な情報は十分であり、環境条件は実質的に副次的なものだ。
ヒヤリハットは本当に天からの贈り物のようなものだ。少し違っていればこうなっていた、というヒヤリハットの事後調査に参加したことがある: https://en.wikipedia.org/wiki/NOAA-19#Damage_during_manufact...
この論理なら、最近の Boeing 737 の件も天からの贈り物と見るべきだ。実際、そう見るのがよい観点だと思うが、この贈り物が無駄にされるかどうかはまだ分からない。
相次ぐデータ漏えいを見ていると、企業に個人情報の安全な取り扱いに責任を負わせる、同じような法律を作れるのではないかと思う。
YouTube の US Chemical Safety Board の動画にハマっていたが、産業事故につながる出来事を非常に詳しく説明してくれる。
共通して見えるパターンは、何らかの警告信号やヒヤリハットがあったにもかかわらず、大きな被害がなかったという理由で責任者たちが無視し、数日または数か月後にそのシステムが完全に予測可能な形で破綻して惨事になる、というものだ。
DuPont の化学工場で起きた致命的なホスゲンガス漏れがよい例である1
この記事は Kyra Dempsey、つまり Admiral Cloudberg によるもので、Medium で航空事故の詳細な調査記事を長く連載してきた: https://admiralcloudberg.medium.com/
LAX の滑走路衝突に関する Medium の記事はこちら: https://admiralcloudberg.medium.com/cleared-to-collide-the-c...
Asterisk の記事で言おうとしている要点をぼかしてしまったかもしれない追加の細部も含まれている。例えば、致命的なミスをした管制官が、1981年に Ronald Reagan が航空管制官 11,345 人を解雇し再雇用を禁止した後に採用された人物だったことなどだ: https://en.wikipedia.org/wiki/Professional_Air_Traffic_Contr...
1986〜87年ごろには管制官職はすでに訓練済みの人員で適切に埋められていたはずで、両者に関連があるとは考えにくい。1991年の事故の議論に PATCO を持ち込むのは、政治的な意図を押し通すだけで、議論の役には立たない。
検索語を絞りたいなら、「possible pilot deviation」や「number to call」が入っているものが特に興味深く臨場感がある。私はパイロットでも航空機ウォッチャーでもなく、飛行機に特別関心があるわけでもないが、何度かこの沼にハマってみるとかなり面白かった。
機内エンターテインメントに「パイロット／管制塔の交信を聞く」オプションがあればいいのに、とまで思った。
航空のバックグラウンドはなさそうなのに、どうやって航空事故についてここまでうまく書けるようになったのか気になる。
良い文章。商業航空の安全文化と、根本原因を調査して是正しようとする献身には大いに共感する
では同じ基準を自動車事故にも適用できないだろうか？同じようなヒューマンエラーと劣悪なインフラが繰り返されており、SUVやながら運転の増加で問題はさらに悪化している
自動車文化の巧妙な害悪に警鐘を鳴らすコミュニティとして https://www.reddit.com/r/fuckcars/ がある。FuckCars が過激すぎると感じるなら、より穏健なアーバニズム系チャンネルも見る価値がある: https://www.youtube.com/@OhTheUrbanity/videos , https://www.youtube.com/@NotJustBikes/videos , https://www.youtube.com/@CityNerd/videos
この問題をめぐる認知的不協和は驚くほどだ
何人かが恐ろしいほど空の上でむき出しの恐怖を経験したという理由で 737MAX 全体の運航停止には踏み切れるのに、米国の道路では毎年 44,000 人が亡くなっていて、その数が増えているにもかかわらず、気にする人はほとんどいない
ほとんどの年齢層で、自動車による死亡が最大の死因だ。米国では、生涯で自動車事故により死亡する確率は 107 分の 1 である。この狂った数字を減らすための単純で合理的な措置でさえ、自由への専制的な侵害のように受け止められる。たとえば現在 California で進められている速度制限装置の導入措置がそうだ
米国と世界の多くの地域における自動車産業、自動車文化、自動車中心の考え方は、完全に制御不能になっている
https://en.m.wikipedia.org/wiki/Motor_vehicle_fatality_rate_...
自動車による死者数は 2019 年まで減っていたが、その後反転して悪化していることを知った
この 5 年間に何があったのだろう？自動車自体の安全機能は、緊急ブレーキなどの形で改善されている。飲酒が要因の可能性はあるが、なぜよりによってこの 5 年なのか？車が大型化してからもかなり経っているし、在宅勤務は通勤時間を減らしたはずだ。他国では減少傾向に見える
自動車と航空機の違いはこんな感じだ
飛行機: ときどき操縦士のミス、しばしば機械や整備の問題。操縦士が乱暴に操縦したせいということはほとんどない
自動車: ときどき運転者のミスや未熟、ときどき機械や整備の問題、ほぼ常に運転者がめちゃくちゃな運転をしているせい
r/fuckcars には、「大きすぎる」と判断した車両のタイヤの空気を抜いたり切り裂いたりするメンバーがいる。そういうやり方も支持するのか？
notjustbikes は大きくなってから謙虚さを捨て、すでに同意している人たちに説教し、同意しない人たちを人種差別主義者の馬鹿呼ばわりし始めた
以前は、説得が必要な人たちにも彼の動画を見ずに勧められたが、今では難しい、とコメントに書いたら、本人が直接返信してきて、チャンネルを見つけたばかりで真実に耐えられない人間だと侮辱してきた
「先に結論から言うと、Wascher はいかなる形でも処罰されなかった。」
読者に物語の結末を知るため記事の最後まで読むことを強いない書き手は評価できる
おそらく、情報の流れを保ち、改善を可能にする非難しない文化／手続きが答えなのだろう。ただし「非難しない」は企業では機能しない
GitLab で、誰かが誤って複数のリポジトリを取り返しのつかない形で削除してしまった件を思い出す
GitLab はその事件と、公の場での恥辱全体に見事に対応した。個人を責めるのではなく、適切な非常時対策を用意していなかった自分たちを責める形で、探して読む価値がある
10 年ほど前、自分のチームでも似たことがあった。エンジニアが本番データベースを削除し、幸いにも復旧できた
事後分析は「そもそもなぜこんなことが可能な状態にしていたのか」に集中した。その人は記憶が正しければその後さらに 8 年会社に残り、私たちもシステム上の問題を修正した
医療界の非難しない事後分析を読んで以来、チームにはいつもこう言っている。人が亡くなった後でも医師たちが非難しない事後分析をできるなら、私たちにもできる
オンボーディング文書にあった書き込み権限の認証情報を誤って使い、本番データベースを吹き飛ばした Reddit スレッド0も思い出す。GitLab 事件の当事者も会話に参加していた
関連資料: CAST 分析 http://sunnyday.mit.edu/CAST-Handbook.pdf
事故に寄与したすべての要因を可能な限り学ぶことに焦点を当てたアプローチである。非難しない分析を含む複数のアプローチを包含し、各要因に単一の「原因」があるのではなく、異なる要因同士が相互作用のネットワークを形作ると見る
タイトルにツッコミを入れるなら、飛行機の墜落を経験したことはないはずだ。経験していたら、この記事を読んでいられないだろうから :)
このコメント欄まで来るほど興味を持った人なら、CAST ハンドブックを読む時間を別途取るべきだ
事故の見方だけでなく、組織や世界の見方まで変えてくれた。責任ある立場にいる誰にとっても必読書になるべきだ
ずっと前からブログにレビューや要約を書きたいと思っていたが、有用な内容があまりに高密度で、これ以上圧縮するのが難しい。なのでまだ公開できていないので、粗い部分は大目に見てほしい。最後に諦めたときの草稿はこれだった: https://two-wrongs.com/root-cause-analysis-youre-doing-it-wr...
スイスには、雪崩（1993 年）と飛行機墜落事故1（2001 年）の両方を生き延びたすごい政治家がいる
[1]https://en.wikipedia.org/wiki/Crossair_Flight_3597
https://en.wikipedia.org/wiki/Jacqueline_Badran
航空会社が墜落を防ぐ能力がもっと低かった反事実的な世界なら、墜落時の生存率もおそらくもっと低かったはず
地上でごく低速の航空機同士がぶつかるケースが統計を歪めることはあり得るが、「飛行機の墜落」と言うときに何を意味しているかは分かるはず
実際、飛行機事故の約 90%は生存可能であり、人々は自分の事故について読むこともある
飛行機事故に遭ったら必ず死ぬ、という意味で言ったのだろうか？ それは明らかに事実ではない
爆発するほど激しく墜落しても、生存者が出る場合がある
よく行われた 根本原因分析 は本当に満足感がある。「正解」にたどり着くには、非難しない文化が絶対に重要
会社の複数のチームで大規模な障害や影響の大きい障害をレビューするとき、関係者がその障害を引き起こした中核的な状態と出来事の順序を掘り下げる瞬間が最も理想的だ。障害の中心にあった行動と周辺の行動、事前には何も知らなかった行動まで含めて、行動と結果に焦点を当てる
このレベルに到達するには、自分自身、同僚、組織に対する信頼が非常に高くなければならない
きちんと何度か経験すると、単純な原則が見えてくる。仕組みが人間の完全性に依存しているなら、いずれ失敗する。その次の議論はほとんど「ではこれから何をするか」になる。人間の不完全さを防ぐガードレールが必要なのか？ 実装コストは、守ろうとしているものの価値に見合うのか？ この状況では人間の不完全さを受け入れられるのか？
このレベルの議論ができる組織は、実行面で明確な優位性を持つ
よく書かれた記事だ。特に 長期思考 が短期思考より強力であることをうまく示している点がよかった。また、希望を戦略として使わない組織を示している
「非難しないこと」に焦点を当てるのは間違っていると思う。より良い結果を生むのは 責任の文化 であり、それは関与し責任を負うリーダーから始まる。非難は多くの面で責任を負うことの反対だが、非難しない文化があっても責任の文化がないことはあり得る。非難の文化は常に無責任の文化だ
非難しないことは、リーダーが問題に対する責任を積極的に選んだ結果だった。「この悲劇の責任は個人ではなく我々の組織にある」、「管制官ではなく、制度的な怠慢を通じて我々が引き起こした」と言ったということだ
Boeingにいまだ問題があるのは、Boeingのリーダーシップが責任を取らなかったからだ。Boeingのリーダーたちは「安全でない航空機を生むインセンティブと処罰のシステムを私が作った」とは言わず、そのため今なお安全問題が起きている
リーダーシップのパラドックスは、「リーダーは組織の行動に責任を負うが、その行動は従う人々の個々の判断から生じる」という点にある
航空管制官が意図的にミスを犯したのでないなら、それはリーダーシップが解決すべき明白な問題だ。リーダーシップには変化を生み出す責任があり、非難はその変化を妨げただろう
Admiral Rickoverはこの責任の文化を原子力海軍にもたらし、その組織はかなり良い安全記録を持っている。この記事は、米国海軍の工学的伝統について読んだ内容とかなり似ている。Admiral Rickoverの入門として読むのに適した短い記事はこちら:
https://www.ans.org/news/article-1592/caught-in-the-leadersh... https://govleaders.org/rickover.htm
筆者がまだ読んでいないなら、Admiral Rickoverと彼の哲学を楽しく読めると確信している
この記事が気に入った人なら、Extreme Ownershipも面白く読めるはずだ。表紙と副題から受ける印象よりも、はるかに、はるかに、はるかに良い本で、シリコンバレーのあらゆる職種に適用できる
Rickover は全般的に、読んでみる価値のある興味深い人物だ。彼の「規則」にはいくつかのバージョンがあり、その一組はここにある:
https://www.linkedin.com/posts/kelly-robinson-phd-92842b6_ri...
別の一組を以下に貼る
強調したい点が二つある。彼は安全意識の非常に高い組織を作っただけでなく、米国海軍内の大きな抵抗の中で生まれた、驚くほど技術的に革新的な組織も作った
まだ一度も作られたことのない小型原子炉を作るだけでなく、潜水艦に搭載できる原子炉を作ろうとしていたと考えればよい。容易な技術目標ではなかった。しかも、自分の人生を捧げた組織の最上層部の抵抗、さらには彼を完全に排除しようとする試みさえ相手にしながら、それを成し遂げようとした
完璧な人間ではなかったが、その業績は相当なものだった。特に機械工学の分野で働いているなら、さらに読んでみる価値が大きい
Rickoverの第二の規則:
Rule 1: 時間が経つにつれて品質基準は高まらなければならず、何らかの最低基準が求める水準をはるかに上回るべきである
Rule 2: 複雑なシステムを運用する人々は、非常に有能でなければならない
Rule 3: 監督者は悪い知らせが来たときに向き合い、問題を解決できるだけ高い段階まで引き上げなければならない
Rule 4: 自分の仕事の危険とリスクに対して健全な敬意を持たなければならない
Rule 5: 訓練は継続的かつ厳格でなければならない
Rule 6: 修理、品質管理、技術サポートのすべての機能は互いにかみ合っていなければならない
Rule 7: 組織と構成員は、過去の失敗から学ぶ能力と意思を持たなければならない
まさに今月、スイスで航空管制官が軍用機に誤った指示を出し、岩壁に衝突させた容疑で起訴され、有罪判決を受けた裁判があった
有罪または無罪がもたらすさまざまな含意のため、追っていてかなり興味深く、報道も多かった
https://www.swissinfo.ch/eng/swiss-military-jet-crash--publi...
https://www.swissinfo.ch/eng/air-traffic-controller-blamed-f...
これは民間裁判所ではなく、軍事裁判所だった。民間と軍の航空管制官がどちらも同じ会社である Skyguide に勤務していたとしても、このような場合は手続きが異なることがある。
言葉にするのは簡単だが、オンコール中の午前3時に、他人が作った大混乱のせいで起こされたとき、「非難しない」が自分の最初の反応だったわけではない
それでも問題の根本にたどり着き、関係者全員が解決策を出し、運用手順書を継続的に改善していくことが、明らかに最善の道だ。もちろん事後対応ではあるが、事前のガイドラインが、本番トラフィックほど創造的に何かを壊せるわけではない
奇妙な障害や偶発的な障害について個人的に恨むことはないだろうが、核心となる問いは「なぜそれが起きたのか？」だ
それでもあなたは永遠に、クリスマスにデータベース障害を起こしたあの忌々しい人物として残る。選択の余地がなかったのかもしれないが、それでも罵られる
私たちは皆、こうした傷跡を持っている
そして再び問い直すことになる。なぜ私たちは皆、こうした傷跡を持っているのか？ 私たちが扱っているシステムが十分に優れていないのではないか？ 局所的な怒りは、より体系的な問題につながる兆候なのかもしれない。結局また、非難しない事後分析という考え方に戻ってくる