スペースシャトル・チャレンジャー号：O リングの不確実性が打ち上げ決定の説明責任を問う

概況

• 確認された技術的原因：大統領委員会は、チャレンジャー号の右側固体ロケットモーターの後部現場継手の圧力シールが破損したことを明らかにした。継手の設計は温度、寸法、材料、再利用、処理、動的負荷に対して許容できないほど敏感であった。低温は O リングの弾性を低下させ、モーター圧力が継手を開き、高温ガスが漏出した。その噴流により外部燃料タンクと取付ストラットが損傷し、打ち上げ73秒後に機体は空中分解した。
• 制度的根本原因：NASA とモートン・チオコールは、何年にもわたって継手の回転や O リングの浸食・ブローバイの証拠を持ちながら、シール機構を完全に理解せず、耐久性のある代替品をタイムリーに検証しなかった。異常は反復された飛行理由付けと適用除外によって受け入れられるようになった。問題は単に管理者がデータを持ちながら災害を選んだということではなく、保証システムが安全性マージンの問題の証拠を継続許可に繰り返し転換したことにある。
• 打ち上げ決定の失敗：1月27日、チオコールは当初、これまでの最も低温の関連飛行経験である華氏53度以下の打ち上げに反対を勧告した。NASA の参加者はその工学的根拠に疑問を呈した。オフラインの会議で、チオコールの経営陣はエンジニアの反対にもかかわらず勧告を覆した。委員会は、上級 NASA 打ち上げ決定者が当初の勧告、エンジニアの継続的な反対、または異常の全履歴を知らされていなかったことを明らかにした。
• 管理と責任：チオコールはモーター設計分析、その勧告、およびエンジニアの懸念のエスカレーションを管理していた。マーシャルのブースタープロジェクトは、技術的承認、打ち上げ制約の処理、および会議中の顧客からの質問を管理していた。上位の NASA プログラムおよび打ち上げ当局は最終認証を管理していたが、不完全な記録に基づいて行動した。安全性、信頼性、品質機能は、問題を停止またはエスカレートする独立した経路を提供すべきだったが、決定的な会議およびミッション管理プロセスには存在しなかった。
• 法的境界：大統領および議会の調査は技術的および行政的所見を提供したが、刑事裁判や民事責任の判断ではなかった。後の契約和解には自主的な手数料減額と大規模な再設計作業が含まれるが、正式な請負業者の責任結論は明示的に回避された。マイケル・スミス訴訟は、裁判所が打ち上げ手続きを過失なしと判断した後ではなく、サービス関連の管轄権理由で連邦被告に対して却下された。私的和解は、その条件が明示しない限り、責任の認容ではなかった。
• 是正証拠：NASA とチオコールは現場継手をキャプチャー機構、第3の O リング、断熱材の変更、ヒーターおよび改良された検証により再設計した。コンポーネント、サブスケール、シミュレーター、実物大試験を実施し、ハザードおよび臨界項目の見直しを再構築し、管理および安全報告を変更し、1988年9月の STS-26 でディスカバリーを飛行に復帰させた。これらの事実は、特定の継手故障の修正と実質的な手続き改革を支持する。すべての文化的弱点が永続的に除去されたことは証明しない。特に多くの実装主張は修理中のプログラム自体によって行われたためである。

後知恵に囲まれたケースの証拠ルール

チャレンジャー号は異常に豊富な公的記録を生み出したが、豊富さが証拠を分類する必要性を取り除くわけではない。主要な技術的権威は、大統領委員会報告書、一般にロジャース委員会報告書と呼ばれるものである。これはテレメトリ、画像、回収されたハードウェア、設計記録、試験、宣誓証言を調査した。NASA はまた、検索可能な歴史インデックスおよびカタログ化された技術報告サーバ記録に報告書を保存している。これらの情報源は、委員会の任務範囲内での確認された所見を支持する。報告書に再現されたすべての証言、工学的仮説、または管理上の説明を独立して証明された事実に変換するわけではない。

下院科学技術委員会は別途調査を実施した。その1986年10月報告書は、規制および立法上の監視所見であり、司法判断ではない。これは、NASA 自身の復旧連鎖の外で決定プロセスをテストし、事故をより広いプログラム管理の文脈に位置付けた点で価値がある。公開議会コレクションは、公聴会と報告書も保存している。これらの記録における証言は帰属された証拠である：それは証人が該当するプロセス下で何を述べたかを確定するが、矛盾は文書、物理的証拠、および所見と照らし合わせて解決されなければならない。

本分析ではさらに4つのラベルを使用する。支持された推論は、確認された事実を接続するが、接続する精神状態が直接観察されたふりはしない。未解決の疑問は、公的記録が閉じないギャップを示す。反事実は、定義された時点で適用されていればおそらく因果連鎖を中断したであろう制御を特定するが、特定の人物が密かに意図したことについての主張ではない。当事者の申し立ては、関連プロセス後に調査官または裁判所によって採用されない限り、申し立てのままである。これらの区別は重要である。チャレンジャー号はしばしば、すべての関係者が結果を知っていた道徳劇として語り直されるからである。記録は代わりに、分散した知識、不均等な権限、強い警告、不完全なエスカレーション、および不確実性を解決するよりも放棄しやすくした決定アーキテクチャを示している。

法医学的タイムライン I：低温打ち上げの前に継手問題が存在した

固体ロケットモーターは輸送および組み立てが可能なようにセグメントで製造された。各現場継手では、1つの鋼製ケースセグメントのタングが別のセグメントのクレビスに嵌合した。2つのゴム製 O リングがクレビスの溝に収まり、高温燃焼ガスを止めることを意図していた。しかし、モーター圧力により鋼製ケースが膨張し、継手が回転し、シールが越えなければならないギャップが増加した。O リングは接触を維持するために十分迅速に応答する必要があった。これは静的なガスケット問題ではなく、幾何学、圧力タイミング、材料応答、組み立て状態、温度に依存する過渡的なシール問題であった。

委員会の歴史的再構築は、第 VI 章に記されており、事故の起源は継手設計と、NASA のブースタープロジェクトオフィスおよびチオコールの両方による試験証拠への不十分な対応に遡ることを明らかにした。認定は完全な飛行構成を再現せず、継手の実際の開放挙動を解決しなかった。公的所見は制度的である：両組織とも、関連する過渡的状態下でシールがどのように機能するかを完全に理解しておらず、証拠が元の設計の欠陥を示した後、タイムリーな新しいシールを開発および検証しなかった。これはすべてのエンジニアや管理者が同一の知識を持っていたという所見ではない。

飛行経験は明確な合格/不合格の記録を生み出さなかった。O リングの浸食は、高温ガスがシールを閉じようとした後またはその最中にシールを攻撃したことを意味した。ブローバイは、シールが完了する前にガスまたは燃焼生成物が一次シールを通過したことを意味した。両方とも、重要として扱われたコンポーネントが名目上の2重リング記述が示唆するよりも少ないマージンで動作していた証拠であった。しかし、以前のミッション後の車両セグメントの回収成功もまた、異常が車両が生存した後にのみ検査可能であることを意味した。これにより危険な情報パターンが生まれた：新たに損傷したリングは、ミッション全体が成功したという証拠に付随して到着した。

O リング温度が華氏53度と報告された1985年1月24日に打ち上げられた STS 51-C は、懸念を実質的に高めた。右中央現場継手は、一次 O リングを通過した煤と二次 O リングへの熱影響を示した。チオコールの分析は、低温がブローバイの確率を増加させることを特定したが、その状態は依然としてその後の飛行に許容可能として提示された。1985年6月、STS 51-B からのノズル継手の検査により、一次の以前の分析予想を超える浸食と二次の浸食が判明した。マーシャルは継手シール問題に関連する打ち上げ制約を課したが、作業が続く中で後のミッションでは制約が適用除外された。上級レベル I および II には、温度懸念の完全な展開や制約の実際的重要性が伝えられなかった。

現場継手とノズル継手の区別は消去されるべきではない。それらの幾何学と観察された損傷は同一ではなかった。しかし、プログラム自身の安全論理は、一次および二次シールの主張された冗長性、浸食モデル、およびクリティカリティ1ハードウェアの取り扱いを通じてそれらを結び付けていた。証拠が一次がシールできない可能性と二次も影響を受ける可能性を示した以上、負担は観察された損傷が経験範囲内にあることを示すことから、シールシステムが運用範囲全体にわたって信頼性のあるマージンを保持することを実証することに移るべきであった。

1985年中、チオコールのエンジニアはシールタスクフォースとさらなる行動を求めた。委員会はその取り組みの遅延、弱い優先順位付け、および不十分な人員配置を明らかにした。支持された推論が続く：組織は異常を、打ち上げと並行して実行される改良プログラムとして扱い、それ以上の露出の前に境界を定めなければならない条件としては扱わなかった。この推論は、継続的な適用除外と未解決の作業によって支持される。請負業者または NASA がリスクを望んだり損失を予想したりしたことを主張する必要はない。

法医学的タイムライン II：打ち上げ前夜の勧告と撤回

ミッション51-L は既にいくつかのスケジュール変更を経ていた。1月27日の試みは、ハッチの問題が時間を消費した後、横風のために延期された。翌日の試みの前に厳しい夜間の寒さが予報された。委員会のミッション年表は、氷の点検、管理レビュー、および低温影響の継続的な評価を記録している。発射台上の氷とモーター継手の低温は別個のリスク問題であった。それらは同じ決定ウィンドウで交差したが、一つの原因に統合されるべきではない。

1月27日の午後と夜、チオコールのエンジニアはシールを評価した。彼らの懸念は、ある表が数学的に一つの正確な温度での故障を予測したことではなかった。利用可能な飛行データはまばらで、散在し、継手タイプと損傷メカニズムによって混乱していた。その不確実性自体が中心であった。請負業者の最初の書面による勧告は、O リング温度が華氏53度を下回る場合には打ち上げないことだった。53度は提示された最も低温の関連飛行経験であり、既に公布された普遍的な打ち上げ規則ではなかった。当初の立場は、チオコールは利用可能な証拠でははるかに低温の状態への外挿を認証できないと事実上述べていた。

ユタ州のチオコール、アラバマ州のマーシャル、フロリダ州のケネディ間の電話会議で、NASA のブースター担当者は勧告とそのデータ根拠に異議を唱えた。個々の発言の正確な口調と意味は証言に由来し、装飾ではなく帰属されるべきである。委員会によって確認されたことは、どんな有名な台詞よりも重要である：チオコールはオフラインになり、管理者は会議を行い、経営陣は打ち上げ反対の勧告を撤回した。打ち上げに反対したエンジニアは技術的見解を変えなかった。改訂されたチャートは打ち上げを勧告し、チオコールの管理者が署名し、NASA に送られた。

撤回は立証責任を変更した。当初の勧告は、既知の寒冷気象経験を超えて進む前に証拠を要求した。最終的な勧告は、限られたデータから温度相関を証明できないことを、停止する不十分な理由として扱った。これはシーケンスと文書からの支持された推論であり、参加者が意識的に「安全でないことを証明せよ」という正式なルールを採用したという申し立てではない。安全重要な決定では、試験済みエンベロープ外のまばらな証拠は不確実性を拡大するはずである。ここでは、制限を弱めるために使用された。

委員会の第 V 章決定分析は、打ち上げ決定に欠陥があったことを明らかにした。不完全で時に誤解を招く情報、工学的証拠と経営判断の間の対立、および安全問題が主要管理者を迂回することを可能にする構造を特定した。レベル I およびレベル II のプログラム当局や打ち上げ責任者を含む上級幹部は、チオコールの当初の勧告、継続するエンジニアの反対、または最近の履歴を知らず、意見の相違を評価できなかった。したがって最終権限は決定的な反対意見を欠いたレベルに存在した。

その所見は最終権限を免除しない。認証システムは入力の完全性について説明責任があり、それを読んだ職員の誠実さだけではない。また、最後の署名者を唯一の原因とするものでもない。チオコールの経営陣は、自社のエンジニアリング上の意見の相違が請負業者の勧告に可視的に残るかどうかを管理していた。マーシャルのブースター経営陣は、未解決の問題と撤回が上層部に伝わるかどうかを管理していた。上級プログラム経営陣は、飛行準備が公開された打ち上げ制約、反対意見、および異常条件の明示的な提示を必要とするかどうかを管理していた。打ち上げ責任者は、提供された情報内で最終カウントダウンを管理していた。各制御は異なる形で失敗した。

73秒間：確認されたこととシナリオのままのこと

チャレンジャー号は1986年1月28日午前11時38分東部標準時に39B 発射台から打ち上げられた。委員会の詳細な飛行再構築は、地上レベルの周囲温度を華氏36度とし、これはそれまでのシャトル打ち上げより15度低い。右後部現場継手周辺の最も低温の場所を華氏28度と推定し、プラスマイナス5度の不確実性があり、太陽に面する側ははるかに暖かかった。これらは公式の再構築値であり、すべてのシールが一つの均一な測定温度を持っていたという主張ではない。

0.678秒で、カメラは右モーターの後部現場継手近くから強い灰色の煙の噴出を記録した。その後2.5秒間に8回の暗い噴出が構造振動に近いリズムで続いた。画像は発生源を外部燃料タンクに面する円周セクターに特定した。煙は、グリース、断熱材、および O リング材料が高温推進ガスによって影響を受け、完全なシールが発生しなかったことを示した。最も直接的な視野を提供できた2台のカメラは動作不能であり、これは検出の弱点であったが、他の角度からの画像と後の回収ハードウェアは依然として位置特定を支持した。

漏れは次の1分間連続して見えたわけではなかった。委員会は2つの密接に関連する可能性を検討した：小さな漏れが持続して成長したか、または酸化アルミニウムや他の燃焼生成物が開口部を一時的にシールした可能性である。一時的な堆積物が形成された場合、推力ベクトル制御、機体運動、および変化する風荷重がそれを乱した可能性がある。これはよく支持された故障シナリオであり、継手内部の材料のフレームバイフレームの確認された観察ではない。

58.788秒で、強化フィルムは右後部現場継手での最初の炎の flicker を示した。その後すぐに連続的な噴流となった。ブースターの燃焼室圧力が乖離し、噴流は外部燃料タンクと近くの取付構造に衝突した。64.66秒で、画像とテレメトリは液体水素タンクからの漏れを示した。約72.2秒で、右ブースターとタンクの間の下部取付具が破損し、まだ推力を発生していたブースターが回転した。外部タンクの構造的破損が続き、水素と酸素が放出された。約73秒で、オービターは設計をはるかに超える空力荷重に遭遇し、空中分解した。7名の乗組員が死亡した。

委員会の技術的原因章は、後部現場継手の圧力シールの破損が事故を引き起こし、他のシャトル要素はその開始破損に寄与しなかったと結論付けた。これは温度、物理的寸法、材料特性、再利用、処理、および動的負荷に対して許容できないほど敏感な欠陥設計と説明した。低温 O リングは暖かいものよりはるかにゆっくりと形状を回復し、継手の回転は圧力過渡中にシールギャップを開いた。低温が以前は健全だったアーキテクチャの唯一の欠陥を作り出したわけではない。それは、前例のない運転条件の端で既に欠陥があり、不十分に制限されたシールを露呈させた。

引き金、根本原因、および寄与要因は異なる主張である

引き金となる物理的メカニズムは、右後部現場継手における低温障害によるシール不良と、それに続く高温ガスの漏出であった。伝播経路は、継手漏れから集中噴流、外部タンクと取付具の損傷、構造的破損、オービターの空中分解へと至った。設計上の根本原因は、回転と過渡シール挙動が適切に理解、試験され、実際の運用範囲に対して鈍感にされていなかった継手であった。

制度的根本原因は、未解決の安全証拠を受け入れられた飛行条件に変換したことであった。NASA とチオコールは浸食とブローバイを目撃し、変化する分析的根拠を用いてそれらを制限し、推定される二次シール能力に依存し、再設計作業が未完了のまま飛行を続けた。繰り返される成功は、成功がシールマージンを証明しなかったにもかかわらず、次の露出を受け入れる証拠となった。委員会はその歴史的所見において、この正常化論理を明示的に否定した。

いくつかの要因が交換可能な原因ではなく寄与した：

1. 断片化された異常所有権。設計データ、回収ハードウェアの所見、問題報告、打ち上げ制約、飛行準備サマリーは異なる組織経路を移動した。最終ミッション権限を持つ人々はリスク全体像を受け取らなかった。
2. 弱い認定現実性。元の試験は、継手を検証するために必要なすべての飛行幾何学、姿勢、公差、環境条件、動的効果を再現しなかった。
3. 誤った冗長性。2つの O リングを冗長として扱うことは、継手の回転とタイミングが同じ圧力過渡で両方を危険にさらす可能性があることを隠蔽した。同じ共通条件にさらされた第二のコンポーネントは独立した保護ではない。
4. 異常の正常化。浸食を伴う各生存飛行は、なぜシステムが生存したか、または損失にどれだけ近づいたかを証明せずに、受け入れられた経験ベースを拡大した。
5. 不確実性の下での立証責任の逆転。曲線を定量化するための十分な低温データの欠如は、打ち上げ反対のケースを弱め、認定の要求を強化する代わりになった。
6. 請負業者の判断に対する顧客の影響。マーシャルの質問は正当な技術レビューの一部であったが、委員会はチオコールの経営陣が NASA の要請により、主要顧客に対応するためにエンジニアに反して勧告を撤回したことを明らかにした。これはプロセスに関する規制上の所見であり、すべての NASA-請負業者相互作用に関する一般的な告発ではない。
7. 効果のない独立した安全性。委員会の安全プログラム章は、打ち上げ前夜の会議またはミッション管理チームに安全性、信頼性、または品質の代表者がいなかったことを明らかにした。傾向分析、クリティカリティ表現、問題エスカレーションが不十分であった。
8. スケジュール圧力。NASA は、制約されたリソースと野心的な民間、商業、国家安全保障のコミットメントで急激に増加する飛行率を試みていた。この背景はインセンティブと作業負荷に影響を与えた。それはその日に51-L を打ち上げる外部命令の証明ではない。

最後の限定は不可欠である。委員会の圧力分析は、ホワイトハウスまたは他の外部アクターが1月28日の打ち上げを強制するために介入した証拠はないと結論付けた。体系的なスケジュール圧力は確認されているが、スピーチや宣伝イベントに関連付けられた特定の政治的命令は支持されていない。両者を混同すると、組織的証拠が陰謀に変換される。

検出はカメラが煙を見るずっと前に失敗した

最初の可能な検出時点は設計認定であった。現実的な試験は、公差、組み立て状態、再利用、低温にわたる継手回転、シールタイミング、圧力応答を測定すべきであった。歴史的な試験プログラムはその保証を確立しなかった。継手はクリティカリティ1ハードウェアであったため、未知のコモンモード挙動は残留メモではなく停止条件であるべきであった。

第二の検出時点は飛行後点検と傾向分析であった。浸食とブローバイは回収されたモーターで観察可能であった。強力な異常システムは、各イベントをシールの主張されたマージンに対する証拠として扱い、継手固有の変数を保存し、浸食深さだけでなくメカニズムを比較し、検証された因果モデルが観察を説明するまでクロージャを禁止したはずである。代わりに、プログラムは次の飛行が進化する経験ベース内に留まるという根拠を繰り返し見つけた。

第三の時点は打ち上げ制約であった。制約は、名前付き所有者、受理基準、有効期限ロジック、および必須のエスカレーションを備えた可視的なゲートであるべきである。委員会は、O リング制約が繰り返し適用除外され、上級レベルが適切に情報提供されていなかったことを明らかにした。技術的根拠を伝達せずにローカルで適用除外できるステータスフィールドは、効果的な制御ではなく、裁量の記録である。

第四の時点は1985年のタスクフォースと再設計努力であった。その存在は、損失の前に技術的懸念が現実であったことを示している。その弱い優先順位は、チームの作成は、チームにリソース、権限、期限、および打ち上げ資格への直接的な接続がない限り、是正措置ではないことを示している。未解決の作業は運用許可を変更しなければならない。

第五の時点は打ち上げ前夜の会議であった。チオコールのエンジニアは、異常な温度範囲を検出し、打ち上げ反対の境界を提案した。組織は最終勧告において少数派の技術的立場を保持することに失敗した。反対意見メカニズムは、その顧客とスケジュールのコミットメントが挑戦されているのと同じ管理チェーンを説得することに依存すべきではない。

第六の時点は飛行準備レビューアーキテクチャであった。主要な上級職員は、当初の打ち上げ反対勧告や継続的な反対意見なしに準備完了を認証した。これは単なるプレゼンテーションの問題ではなかった。これはデータガバナンスの問題であった：決定記録には、生の異常から工学的解釈、制約、反対意見、適用除外、最終受理への系譜が欠けていた。現代のエンタープライズワークフローはこれらのリンクを明示的にすることができるが、自動化だけでは未試験の条件が安全であると判断できない。必要な証拠オブジェクトや反対意見の処理が欠けている場合に、承認が閉じないことを保証できる。

最終検出時点は打ち上げ画像であった。0.678秒の煙は固体モーターが点火した後にのみ可視であり、その上昇レジームからの乗組員の脱出は利用できなかった。動作不能なカメラは証拠品質を低下させたが、シール故障の原因ではなかった。この区別は一般的な説明責任エラーを防ぐ：不可逆的な故障のより良い観察は診断に価値があるが、打ち上げを防ぐ代わりにはならない。

対応と復旧：調査品質対運用救出

両方の固体モーターが点火した後、この継手故障に対する実用的な中止モードはなかった。車両の誘導システムは風と推力の非対称性に応答したが、ブースターが燃焼している間は漏れを止めたりオービターを安全に分離したりできなかった。したがって、重要だった対応ウィンドウは打ち上げ前であった。これにより、準備プロセスの完全性が生命安全システムとなり、管理上のオーバーヘッドではなくなる。

空中分解後、レンジ安全は自由飛行中のブースターを破壊し、捜索チームは残骸を回収し、調査官は画像、テレメトリ、ハードウェア、試験証拠を収集した。レーガン大統領は独立委員会を設置し、議会は独自の公聴会を実施した。公的記録には当事者の証言が含まれるが、技術的結論は物理的指標間の収束に基づいていた：煙の位置、噴流の成長、圧力乖離、回収された継手損傷、再現されたシール挙動。この収束は物理的連鎖において高い信頼性を支持する。

調査の独立性は有意義であったが絶対ではなかった。NASA と請負業者の人員は専門知識、試験、文書を提供した；委員会はその作業を調査している機関を評価しなければならなかった。公開公聴会は対立を露呈し、打ち上げ勧告を可視化した。議会調査は別の監視チャネルを追加した。結果は単一の内部事故報告よりも強いが、アーカイブは依然としてすべての非公開の議論、契約通信、または個人の心理状態を明らかにするわけではない。

運用復旧には、シャトル艦隊の飛行停止、重要ハードウェアの再設計、ハザード分析の再検討、管理の変更、および準備完了の実証が必要であった。NASA の初年度実施エグゼクティブサマリーは、工学、手順、人事、組織的変更の広範なプログラムを説明している。NASA が作成したため、それはその時点で機関が報告し計画したことを証明する。それらの行動が適切であったかどうかを評価するには、独立したレビューと後の結果が必要である。

説明責任管理マップ

このマップは道徳的非難をパーセンテージで割り当てるものではない。管理が結果を変えることができる場所を特定する。説明責任は、権限、情報、結果が一致するときに最も強い。51-L 以前は、詳細な工学的懸念を持つ人々は最終決定権限を欠き、最終権限を持つ人々は懸念を欠き、安全は効果的な独立経路を欠き、請負業者の経営陣は技術的圧力と顧客圧力の両方に直面していた。したがって、治療法は情報権利と停止権限を変更しなければならず、鋼とゴムだけでなく。

法的、契約的、規制的境界

ロジャース委員会は行政府の調査所見を示した。下院委員会は立法監視所見を示した。いずれの機関も刑事告発、民事損害賠償判決、または専門職懲戒命令を下さなかった。それらの所見は、裁判所が特定の請求で要求するであろう過失、因果関係、免責、損害賠償のすべての要素を確立することなく、公式の技術的および管理的説明を確立することができる。

契約処理はその違いを示している。GAO の1988年の固体ロケットモーター契約レビューは、NASA とチオコールが大規模な再編を交渉したことを明らかにした。チオコールは自主的な1000万ドルの手数料減額を受け入れ、再設計および復旧作業には追加手数料はなく、契約には広範な作業と新しい報酬手数料基準が追加された。しかし、取引はまた、NASA がチオコールが事故について責任または法的責任があると正式に結論付けないことを規定した。NASA 当局は GAO に、機関は交渉中にチオコールに責任があると考えていたと述べた；署名された取り決めは依然として正式な責任結論を回避した。正確な説明は、和解による認容でも免責でもなく、交渉された契約上の処分である。

同じ GAO 報告書は、紛争が訴訟された場合に生じたであろう競合する法的立場を記録している。NASA の法律顧問は、継手が必要な温度範囲で動作しないことを示すことができると信じていた。チオコールは曖昧さ、政府の要件外での運用、事前の受理、または勧告を取り巻く経済的強制を主張した可能性がある。これらは GAO によって報告された予想される立場であり、裁判所の所見ではない。NASA は、訴訟が不確実であり宇宙計画を混乱させる可能性があるため、交渉を選択した。

司令官マイケル・スミスの死から生じた民事事件も狭い意味を持つ。Smith v. United Statesにおいて、第11巡回区控訴裁判所は、軍事勤務に付随する傷害を規定する法理の下で、合衆国および NASA 職員に対する請求の却下を確認した。却下の姿勢では、裁判所は後部継手に関する訴状の事実上の主張を仮定した。NASA またはチオコールが合理的な工学的注意を行使したかどうかを決定する本案裁判は行わなかった。意見はまた、製造業者が原告と和解したことに言及しているが、その和解を認容に変えるものではない。

ロジャー・ボイスジョリーは事故後に別途請求を追求した。Boisjoly v. Morton Thiokolの公表された命令は、独占禁止法および関連請求を提示された法的理論と当事者適格に基づいて却下し、2つのカウントは合意により予告なしに却下された。意見は彼の申し立てと委員会の歴史を語っている。これは、争われたすべての職場イベントを事実として判断するものではなく、却下が彼の打ち上げ前の工学的懸念が技術的に誤っていたことを意味するものでもない。彼の懸念は委員会記録に独立的に文書化されている。

後の安全基準、現代の航空宇宙保証方法、および現在の内部通報者規則は有用なベンチマークを提供する可能性があるが、後のすべての条項が1986年を支配していたかのように遡及的に適用されるべきではない。該当する説明責任ケースは、当時存在した設計義務、契約仕様、NASA の準備および安全プロセス、行政府および議会の所見、および実際の法的処分に基づく。刑事または民事の本案判決の欠如は公式の因果所見を消さない；公式所見は訴訟の要素を置き換えるものではない。

訓練された反事実が示すもの

最も強い反事実はたった一つの変更を必要とする：チオコールの当初の打ち上げ反対勧告を、適切な証拠がそれからの逸脱を正当化するまで維持する。打ち上げが争われた温度範囲を超えて遅延されていたなら、51-L はその時点で同じ低温条件に遭遇しなかったであろう。これは元の継手がより暖かい温度で安全だったことを証明するものではない。それはこの事故を中断させたであろうが、設計欠陥は修正されるままにしておく。

より前の反事実は制度的により強い：STS 51-C ブローバイまたは STS 51-B 二次浸食後、試験された因果モデルと再設計された継手がそれを閉じるまで打ち上げ制約を維持する。これにより51-L を含む複数の後の露出が防止されたであろうが、相当なプログラムコストと遅延を伴う。コストは制御を無効にしない；それは、スケジュールの利害がピークに達する前に停止ルールを明示しなければならない理由を説明する。

設計反事実は、現場継手を飛行状の幾何学で全圧力、公差、再利用、動的荷重、温度範囲にわたって認定したであろう。委員会は後にまさにそのアプローチを要求した。遅延シール応答または許容できない継手開放を明らかにする試験は、運用飛行の前に再設計を強制したであろう。不確実性は、正確な元の試験構成がすべてのメカニズムを再現したかどうかである。制御は依然として有効である。なぜなら認定はメカニズムを境界づけるべきであり、一つのミッションの正確な故障を予測するものではないからである。

情報反事実は、当初の勧告、工学的反対意見、制約履歴、および51-C 証拠をレベル I および II および打ち上げ責任者の前に置いたであろう。委員会は、よく構造化されたプロセスがおそらく打ち上げを止めたであろうと結論付けた。これは各個人の仮想的な投票についての確実性ではない。それは、実質的に異なる情報が決定環境を変えたであろうという支持された結論である。

独立した安全反事実は、技術的に有能な代表者を電話会議に置き、管理者または最終準備権限に直接反対意見をエスカレートする権限を与えたであろう。独立性だけでは魔法ではない。代表者は異常履歴へのアクセス、定義された停止ルール、およびプログラムスケジュールインセンティブからの保護を必要とするであろう。儀式的な出席者では十分ではなかったであろう。

最後に、ワークフロー反事実は、機械的に強制された完全性を要求するであろう：リンクされた試験証拠、温度境界、反対意見処理、および必要なレベルでの承認なしに重要な適用除外を閉じることができない。これはエンタープライズソフトウェア自動化の明白なトピックに対処するが、ソフトウェアが打ち上げ安全を決定すべきであると主張するわけではない。その仕事は、黙示の省略を防ぎ、監査の系譜を保存することである。人間の権限は依然として証拠を判断し、責任を受け入れなければならない。

再設計は故障の物理を変えた

委員会の公式勧告は、欠陥のある継手とシールを変更し、全運転範囲（温度を含む）にわたって試験および検証することを要求した。スケジュール、コスト、または既存ハードウェアへの依存のみを理由に設計オプションを除外しないよう警告し、全米研究評議会の監視を求めた。また、シャトル管理、クリティカリティレビュー、独立した安全性、飛行率、保守、脱出にも対応した。

NASA の詳細な勧告 I 実施記録は、相対移動を制御するタングキャプチャー機能、第3の O リング、改訂された断熱材、およびウェザーシール付き外部ヒーターを備えた現場継手の再設計を報告している。他のモーター継手、ノズルコンポーネント、点火器、工場継手も変更された。地上機器と測定プロセスは、歪みを減らし、組み立てと漏れ試験を改善するために改訂された。重要性は物理的である：修理は単に異なるゴム化合物を代用したり、温度を監視する指示を追加したりしなかった。それは継手の動き、シール層、熱制御、検証を変えた。

試験は、実験室作業、サブスケールシミュレーション、実物大継手シミュレーター、および実物大モーター燃焼を組み合わせた。STS-26 の公式プレスキットによると、復帰飛行に先立ち、5回の実物大・全期間静的燃焼が、コンポーネントおよびシミュレーター試験とともに行われ、荷重、圧力、温度、欠陥、構造特性をカバーした。さらに1回の低温認証用認定燃焼が STS-26 後に計画された。この順序は境界を作成する：STS-26 は広範な認定によって支持されたが、最初の復帰飛行は、将来のすべての低温条件が既に飛行認定されたことの証明として表現されるべきではない。

独立した監視は信頼性を高めた。全米研究評議会のパネルは NASA 管理者に直接報告し、設計、分析、試験計画、主要レビューを審査した。別の NASA および業界チームが代替案を検討した。GAO の NASA のブースター調達および再設計戦略のレビューは、並行再設計作業、独立監視期待、再設計と将来調達の関係を確認している。これらの記録は複数の挑戦経路を示している。それらはすべての閉じた行動を露呈したり、プログラムインセンティブが消えたことを証明したりするわけではない。

ガバナンス改革は誰がリスクを見て止めるかを変えた

NASA はシャトル管理構造を再編成し、飛行準備およびミッション管理プロセスを強化した。その管理およびコミュニケーション実施は、より明確なプログラム権限、準備レビューへの宇宙飛行士参加、記録された会議、公式議事録を説明している。宇宙飛行安全パネルが作成され、プロジェクト要素とプログラムリーダーシップがより直接的な関係を持つように組織ラインが調整された。

機関はまた、重要項目、故障モード、ハザード分析を再構築した。クリティカリティ実施記録は、プライム請負業者との要素別レビュー、並行独立請負業者レビュー、宇宙飛行士およびミッション運用参加、および回避不可能な重要故障を受け入れ適用除外を発行するプログラムボードを説明している。全米研究評議会の委員会はその取り組みを監査し、優先順位付けについて懸念を表明し、監視がプログラムの最初の回答を承認する以上のことを行ったことを示している。

独立した安全性について、NASA は管理者に報告する安全、信頼性、維持可能性、品質保証オフィスを設置した。勧告 IV 実施記録は、政策、基準、および重要問題特定のための独立した経路を与えつつ、プログラム作業への参加を維持した。これは事故前の沈黙に構造的に対処した。耐久性のあるテストは、予算、キャリア権限、技術スキル、直接アクセスが、安全とプログラム目標が後に対立したときに十分に維持されたかどうかである；組織図だけではそれを証明できない。

飛行率改革も重要であった。NASA は使い捨てロケットで実行可能なミッションへのシャトル依存を減らし、ボトムアップの容量評価を実施した。打ち上げ近くのマニフェスト変更は正式な管理下に置かれた。これは野心的な公的スケジュールを工学的能力として扱うインセンティブを減少させた。委員会はスケジュール圧力を発見したが、チャレンジャーを打ち上げる外部命令はなかった。したがって比例した修理は、リソースベースの計画と多様化された打ち上げ能力であり、一つの政治電話がブロックされたという主張ではなかった。

飛行復帰証拠：継手には強い、制度には限定的

ディスカバリーは1988年9月29日に STS-26 で打ち上げられ、追跡データ中継衛星を展開した後、10月3日に着陸した。NASA の公式ミッション記録はミッションの日付と結果を確認している。同時期の飛行復帰出版物は主要な修正と準備を文書化している。再設計されたモーターはチャレンジャー継手故障を繰り返すことなく上昇を完了した。

STS-26 は、設計変更、実物大試験、準備レビュー、計装飛行に続いたため、意味のある是正証拠である。後の成功したシャトルミッションは運用上の露出を追加する。しかし、一度の成功した復帰ミッションは安全文化を証明できない。それは特定のモーターシステムがそのミッションの条件下で機能し、統合車両が計画された飛行を完了したことを示している。ガバナンス改革は異なる証拠を必要とする：反対意見記録、適用除外品質、独立監査所見、リソース決定、将来の異常への対応。

GAO の NASA の対応に関するレビューは、委員会勧告に対処する行動に対する外部チェックポイントを提供する。その役割は実装状況の監視であり、リスクが排除されたことの認証ではなかった。NASA 自身の1987年報告書は、いくつかのステップがまだ進行中であることを認めていた。適切な結論は段階的である：特定の継手は実質的に再設計および試験され、主要な決定および安全構造は変更され、復帰飛行は成功し、永続的な文化的埋め込みの公的証拠はハードウェア修正の証拠よりも必然的に不完全である。

後のシャトルプログラムは、飛行復帰成功が制限されなければならない理由も示している。システムは一つの因果連鎖を修正しても、異なる組織的および技術的故障に対して免疫にならない。その観察は一般保証原則であり、後の事故の所見を1986年の法的記録にインポートしようとするものではない。チャレンジャー是正の証明義務は、特定された制御のクロージャを示すとともに、機関が新しい信号から学ぶかどうかをテストし続けることである。

説明責任のある所有者が保持すべき是正証拠

このケースの耐久性のある証拠パックは、完了した勧告のリスト以上のものを含むであろう。ハードウェアについては、要件、図面、材料データ、公差スタック、継手たわみモデル、ヒーター性能、組み立て記録、非破壊検査、試験構成、生測定値、異常、認定処分を保存するであろう。主張された各動作限界は、それを支持する試験にリンクするであろう。

打ち上げガバナンスについては、パックはすべての未解決のクリティカリティ1項目、打ち上げ制約、適用除外、少数派工学的意見、最終処分を保存するであろう。誰が権限を持ち、誰が出席し、どの資料を受け取り、挑戦後に何が変わり、なぜ反対意見が閉じられたかまたは開いたままかを示すであろう。会議の録音と議事録は再構築を改善するが、構造化された決定系譜は打ち上げ前の省略を可視化する。

安全独立性については、証拠には人員配置、予算管理、管理者への直接報告、重要レビューへの出席、停止またはエスカレーション行動、結果が含まれるであろう。意味のある指標は安全オフィスの数ではない。独立したレビューアがデータを入手し、プログラムの前提に挑戦し、未解決のリスクを結果を所有するレベルに強制できるかどうかである。

請負業者の説明責任については、証拠は手数料、品質、試験、開示義務を整合させるであろう。再編された契約の品質保証とプロジェクト管理への報酬手数料重点は関連する変更であった。公的記録は依然として自発的手数料譲歩、支払われた再設計コスト、無手数料作業、正式な責任を区別すべきである。財務的結果は一つの制御であり、技術的クロージャの代わりにはならない。

長期学習については、プログラムは定期的に51-L 決定アーキテクチャを現在のプロセスに対して再現するであろう：エンジニアは反対の見解を保持できるか？請負業者は証拠記録を失うことなく顧客圧力に抵抗できるか？上級権限は完全な異常傾向を見ることができるか？未解決の制約が繰り返し適用除外される可能性があるか？自動化システムは人間の安全判断をチェックボックスに変換することなく、欠落した証拠を明らかにできるか？これらのテストは記憶を運用制御に変える。

未解決の疑問と信頼限界

公的記録はすべての非公開の会話を再構築したり、すべての参加者の主観的動機を確立したりはしない。請負業者経営陣、マーシャルプロジェクト管理、プログラムリーダーシップ、安全機能の間での因果責任の正確な数値的配分を許さない。チオコールのすべてのエンジニアが打ち上げに反対したことを示すものではない；委員会は特定のエンジニアと経営陣の撤回を文書化した。NASA が壊滅的故障を予想していたという主張を支持するものではない。

記録はまた、小さく不均一な51-L 前の飛行サンプルから統計的にロバストな故障確率を提供することはできない。リチャード・ファインマンの信頼性に関する個人的観察は、一部の経営陣の推定と工学的現実の間のギャップを強調したが、彼の付録は専門委員会メンバーの分析であり、十分な同等の打ち上げから導出された頻度主義計算ではない。正しい結論は、不確実性が過小評価されていたことであり、一つの正確な確率が事後に証明されたことではない。

政治イベントのために打ち上げるようホワイトハウスが命令したという公式証拠はない。プログラム内の飛行率とスケジュール圧力の実質的な公式証拠がある。7人の死亡すべてについて過失を包括的に割り当てる民事本案判決はない。異なる法的効果を持つ調査所見、契約交渉、管轄権判決、和解がある。再設計された継手が特定されたメカニズムに対処したという強力な証拠がある。長年にわたって、反対意見と安全独立性が常に意図したとおりに機能したことを証明できる公開証拠は少ない。

これらの限界は全体の信頼性を High 以下に減少させるものではない。物理的原因は収束する証拠によって支持されている。打ち上げ決定の欠陥は、文書と証言によって裏付けられた公式委員会所見である。歴史的異常記録は詳細である。修理記録は特定のハードウェア、試験、ガバナンス変更、および成功した復帰飛行を特定している。信頼性が低いのは、個人的動機、仮想的投票行動、私的和解の意味、および永続的な文化的有効性についてのみである。

結論：不確実性は停止する権限を持つ所有者を必要とした

チャレンジャーは、エンジニアが完全な温度曲線を生成できなかったために失われたのではない。重要な継手が不十分なマージンの証拠を蓄積し、プログラムが検証されたモデルまたは耐久性のある修理なしにその証拠を受け入れ続け、最終決定プロセスが不確実性からその運用力を奪った後に失われた。打ち上げ前夜の撤回は決定的であったが、それはより長い説明責任の失敗の最後の可視的な表現であった。

モートン・チオコールはモーター設計、異常分析の大部分、請負業者勧告、および工学的反対意見の保持を実質的に管理していた。NASA のマーシャル組織は技術的受理、制約、適用除外、エスカレーションを実質的に管理していた。上級シャトル当局は最終打ち上げ権限と完全な情報を届ける準備システムに対する責任を持っていた。安全機能は独立した挑戦を提供することになっていたが、決定的瞬間に組織的に沈黙していた。スケジュールと顧客圧力は、外部命令や乗組員を危険にさらす秘密の意図を証明することなく、このネットワークに影響を与えた。

修理は物理と権限の両方を変えた点で成功した。再設計された継手は動きを制約し、シールと熱制御を追加し、実質的により強力な試験プログラムに直面した。NASA はクリティカリティ分析を再作業し、準備決定を記録し、宇宙飛行士の参加を増やし、独立した安全報告を作成し、飛行率計画をリセットした。STS-26 は、修理された統合システムが正常に飛行できることを示した。契約再編は、正式な責任結論を意図的に回避しながら、経済的および作業上の結果を課した。

したがって、永続的な説明責任テストは具体的である。安全重要な機関は、境界のないハザードを誰が所有するか、誰が運用を停止できるか、反対意見が最終権限にどのように到達するか、未試験の境界を越えるためにどのような証拠が必要か、そして何が問題を閉じる証明かを定義しなければならない。証拠が乏しい場合、負担は正確な損失の方法を予測するよう求められたエンジニアではなく、露出を求める当事者にある。チャレンジャーはその配分を可能な限り高いコストで可視化した。