アリアン５・501便はなぜ予備装置でも救えなかったのか：同じソフトの二重化

AI生成の解説用イメージ。二つの集積回路とロケット模型は冗長系・ソフトウェアを考えるための象徴です。実際の慣性基準装置、機体細部、501便の軌道や墜落地点を示す資料ではありません。

重要な装置に予備を用意すれば、一台が故障しても役目を引き継げる。その考え方が通用するには、予備が働けることが前提になる。1996年のアリアン５・501便では、予備を含む二つの慣性基準装置がほぼ同時に機能を失った。なぜ、装置を二重にした備えが役に立たなかったのか。問題は台数だけではなく、二台が共有する条件にあった。

Toggle

速報と調査報告を分ける

欧州宇宙機関（ESA）の1996年６月６日発表によると、初飛行は４日にフランス領ギアナのクールーで行われ、４機のCluster衛星を搭載していた。機体は上昇の途中で急に姿勢を変え、失われた。この段階の発表は、調査の方向が電気・ソフトウェア系へ向かっていると述べる速報である。数値変換の問題まで、その場で確定していたわけではない。ESAの当初発表

後日のESA概要は、誘導・姿勢の情報が失われた時点を、主エンジンの点火シーケンス開始から37秒、離昇から約30秒と説明する。「打上げから何秒」という数字は、どこを起点にするかで異なる。短い事故ほど秒数が強い印象を残すが、時計の基準を外して比較すると経過を読み違える。ESA公表の調査概要

変換の失敗が、姿勢制御へ伝わった

７月19日付の調査報告は、内部の数値を64ビットの浮動小数点形式から16ビットの符号付き整数へ変換した際、表せる範囲を超えたとする。問題の値は、水平速度に関連する内部の整列処理の計算値だった。「ロケットの速さを単に読み間違えた」というだけでは、何が失われたかを説明できない。調査報告2.1節（MIT公開版）

異常によって装置が停止し、送られた診断用のデータが飛行情報として扱われた。予備系も同じ理由で既に止まっていたため、正しい情報へ切り替えられなかった。小さな計算処理で起きた問題が、装置を止める規則、装置間で渡す情報、機体を動かす指令へとつながっていたのである。

二台あることと、二つの守りがあること

報告によれば、二つの慣性基準装置は同じハードウェアとソフトウェアを使っていた。一台だけに偶発的な不具合が起きる場合と、両方が同じ計算に直面する場合とでは、予備系の意味が違う。後者では、二台目が一台目の代わりになる前に、同じ理由で機能を失い得る。同報告の冗長系・例外処理の分析

ここから、二重化そのものが無意味だと一般化するのは誤りである。何に備えるかを決めずに台数だけを数えても、信頼性は判断できないということだ。本稿の比較では「装置が別であること」と「機能を失う原因が別であること」を分ける。配線や箱が二つに見えても、処理の前提は一つかもしれない。

以前は動いたソフトが、なぜ問題になるのか

問題の整列機能は打上げ前に必要な処理で、離昇後には役割を持たなかった。それでも、前のアリアン４に由来する運用が残っていた。アリアン５は飛び方が異なり、関連する計算値が想定より大きくなった。過去の機体で動いたことは、新しい機体の条件を確認したことにはならない。同報告2.1〜2.2節

この出来事を「古いコードを使ったから失敗した」とまとめると、再利用の問題が粗くなる。再利用するのは命令だけではない。入力がどこまで大きくなるか、いつまで処理を続けるか、異常時に停止してよいかという前提も移される。コードが変わらなくても、周囲の条件が変われば、確認すべき範囲は変わる。

修正は一つの数値で終わらない

ESAの是正方針には、離昇後の整列機能を止めること、異常時の処理を見直すこと、実際の飛行軌道を模した試験、組込みソフトウェア全体の再評価が含まれる。さらに、機器側の制約とシステム全体の使い方が双方向に伝わるよう、管理と役割も見直された。ESA技術者による対策の説明

本稿が分ける修正の対象
対象	問うべきこと
処理の必要性	その飛行段階で実行する必要があるか
異常時の挙動	停止しても必要な情報が残るか
試験の条件	新しい機体の使い方を含んでいるか
情報の連携	機器の限界を全体設計側が把握しているか

これは、本稿が複数の対策を読むために作った整理である。数値の格納形式だけを広げても、不要な処理や、異常時に何を渡すかという問題をすべて解消したことにはならない。原因の入口と、影響を広げた条件を別々に見る必要がある。

過去の実績を使うために

今回読んだのは公開調査報告とESAの当時の発表で、機体全体や全ソースコードの再監査ではない。それでも、501便は「予備がある」「以前は成功した」という言葉を、そのまま安心の根拠にできない理由を示している。どの故障を想定し、どの条件で実績を得たのか。その範囲まで引き継いで初めて、経験は次の設計に役立つのである。