ZEN-UN-YU 全運輸労働組合
 TOPNEWS全運輸とは行政研究全運輸の主張刊行物紹介お答えしますリンク組合員のページ国民平和行進
シリーズ 空の安全を守る大運動
―これで良いのか 再発防止策―


「日本航空907便事故の再発防止に向けた安全対策について」の検証



 はじめに

 日本航空907便事故からまもなく1年近くが過ぎようとしています。全運輸は、事故発生後こうした事例を繰り返さぬためにも、事故原因の究明と再発防止に向けて、今後求められる対策や技術的な問題点、また、「安全対策」についての考え方をまとめてきました。
 2001年6月27日に発表された航空管制システム検討委員会(委員長:航空局長)の検討結果である「日本航空907便事故の再発防止に向けた安全対策について」(以下「安全対策について」)では、30項目にわたる改善案が打ち出されています。この中では、特に「管制支援システム等の整備」という項目で、

(1)コンフリクト機能の強化
時間的な余裕を持って管制指示を出すことができるようにするため、本年度中に、航空路レーダー情報処理システム及びターミナルレーダー情報処理システムにおける異常接近警報装置の機能を向上

(2)TCASのRA情報をレーダー画面に表示
TCASのRA指示によるパイロットの回避操作を的確に把握するため、平成14年〜16年度において、TCASのRA情報を管制卓のレーダー画面に表示

(3)航空機順位付け機能の追加等次期管制卓システム導入
航空管制官の業務負荷を軽減し安全性の一層の向上を図るため、平成19年度を目標年次として、到着機順位付け機能等を有する次期管制卓システムを導入

(4)航空情報、気象情報等のグラフィック化
ヒューマンエラー等による不測の事態を未然に防止するため、平成14年〜15年度において、航空情報、気象情報等をグラフィック化

が打ち出されています。
 日本の管制情報処理システムは、航空管制官がその判断に用いるあらゆる情報(航空機の高度、速度、気象状況など)を系統的に整理し、コンピューターで処理するシステムとして、昭和45年からの飛行計画情報処理システム(FDP)、昭和48年からの航空路レーダー情報処理システム(RDP)、昭和51年からのターミナル管制情報処理システム(ARTS)が整備され、年次を追って高度化が進められてきました。
 しかし、航空の規制緩和とも相まって、相次ぐ増便や航空機材の高度化がすすんでいるにもかかわらず、管制現場へのこうした支援システムの導入・性能向上は後追い状態であり、今回の「安全対策について」の内容も十分に管制現場の意見が反映されているかという点は疑問の残るところです。
 今回は、この「安全対策について」の中で謳われている管制現場ですでに導入済み、あるいは今後導入される予定の管制支援システムの中で、とりわけ「コンフリクト機能の強化」と「TCASのRA情報をレーダー画面に表示」の整備に係る課題をまとめてみたいと思います。

 CNF機能の現在

1、コンフリクトアラート機能とは

 現在の異常接近警報(CNF:Conflict Alert)は、航空路レーダー情報処理システムの機能の一つとして、主に航空路管制用レーダー画面に表示される機能です。
 この機能は、2機の航空機ターゲットの3分後までの位置を予測し、その位置が進行方向において、FL290未満で700ft、FL290以上で1、600ft未満の垂直間隔で、かつ5NM(約9Km)未満の水平間隔になると予測された場合に表示されます。

 異常接近の可能性ありと検出されると、当該機のターゲットシンボルに3分の速度ベクトルが表示され、航空機データ欄に「CNF」が点滅表示されます。この表示された時点では、あくまで何も処置しなければ規程の管制間隔を切った状態が予測されるということであり、即ニアミスという訳ではありません。また、3分前と言ってもそれぞれの航空機の速度や上昇性能等は一定ではありませんので、どの航空機間も同じ位置関係で表示されるとは限りません。

2、コンフリクトアラート機能の課題

 コンフリクトアラート機能の強化は非常に重要であり、現場の意見を十分に反映した上で早期に実現されるべきであると考えますが、いくつかの課題も残されています。
 その一つは、本来コンフリクトアラート機能は航空機の航跡から3分後の位置を予測して表示されることとなっていますが、今回の事例に係わっては、1分前にしか表示されませんでした。その理由は、焼津付近の航空路の形状によるものですが、この点は、今回の機能強化の方向性にもあるように、「飛行計画に基づく予定飛行経路に関する情報を利用し、計画飛行経路に沿って航空機が方向転換する場合でも3分前に他の航空機との異常接近を検出、警報できるようにする」という改善がなされようとしています。
 この性能向上は当然ですが、これはあくまで飛行計画経路上を飛行している場合に有効な機能であり、レーダー誘導、あるいはデビエイション(悪天候空域の回避)の方向が、飛行計画経路と交差する場合、経路への合流と判断されてしまいます。現在は、航空機が離陸から着陸までレーダー誘導を全く受けずに飛行することは、ごく近接した区間を飛行する場合などを除いては皆無に等しく、今求められる機能はまさにこのレーダー誘導と飛行計画経路上の飛行が複合しているケースなど、2通りあるいは複数の進行方向が予想される場合に、どう判別し警報を発するのか、その中で誤報をどう抑えていくのかといった点です。
 二つ目は、管制官は一度に多くの航空機がレーダー画面上に表示された場合、自己の管制下あるいは関係する航空機の情報に集中できるよう表示されている航空機情報に、一定のフィルターをかけたり、データドロップ(航空機情報を自己の操作により消去)という操作をするなどして航空機の誤認識を避けています。今現在,コンフリクトアラート機能は、データドロップしてしまったターゲットについては、コンフリクトアラート判定はなされても当該レーダー画面上に「CNF」表示はなされません(以前は表示されていた)。
 データドロップをかける場合、意識的であれヒューマンエラーであれ、誤って必要な航空機情報をドロップしてしまう可能性は十分にあります。また、現在の空域や分担範囲で近隣セクターと複雑な取り扱いをしている中では、不必要と思われた航空機情報が出発機の出現等で状況が変化する事もあります。
 今回のコンフリクト機能強化の一環として、データドロップしてしまったターゲットについてもコンフリクト表示を行うよう再改修する必要もあるのではないかと考えます。
 三つ目の課題は、日航907便の事例に見られた1分前という表示をどう捉えるかという問題です。マニュアルには3分後の位置を予測し、表示されるという説明はなされていますが、今回のような例はその性能上の例外事例として、現場で使用されるマニュアルの中に明らかにすることによって現場へ伝えられていたのかどうか。つまり今回の事例のように1分前表示が最低の時間なのか、それともさらに短い間隔で表示されるケースが存在するのかという点の検証と、コンフリクトアラート機能のパラメーターだけでなく、3分を切る場合や、表示されないなどの例外をまとめてマニュアルに記載、周知する必要があります。
 四つ目の課題は、3分というパラメーター値を用いていきなり「CNF」表示を点滅させるという警告方法の見直しです。F・H・ホーキング著「ヒューマン・ファクター」によれば、操縦室の警報システムの設計には、三つの基本原則が適用され、それはパイロットに警報を発し、注意を喚起し、異常状態を通知、そして修正処置を指示することとしています。また、警報、警告を緊急の度合いでグループ分けすることや音声警告システムの利点も挙げられています。
 同様のことが、管制業務の中の警報システムへの導入として研究されても良いのではないでしょうか。具体的には、TCASにおいても「TA」から「RA」と移行するように、コンフリクトアラート機能についても、「注意」の段階から「警告」の段階に移るような時間的なパラーメータの設定や音声警告を検討するなどの試みも必要ではないでしょうか。

 TCASの現在

1、TCASの開発

 TCASは1956年、TWA航空とユナイテッド航空の旅客機同士がグランドキャニオン上空で空中衝突したことを契機に、航空会社とFAAが協同して研究を本格化しました。
 その後、度重なる空中衝突事故を契機に開発が進められ、FAAは89年に米国空域内を運航する航空機の一部に対してTCASの搭載を義務化しました。
 93年にTCASIIとしてバージョン6・04Aが、97年にはバージョン7・0が開発されました。我が国においては、99年1月28日からTCASの本格運用が開始され、2001年1月4日からは「座席数30席または最大離陸重量15、000Kgを超え、かつタービンエンジンを装備した航空運送事業に使用する航空機」を対象にTCASIIの搭載が義務化されています。

2、TCASの概要

 TCASは以下のアドバイザリーを発出します。
TA(トラフィックアドバイザリー):トラフィックが接近した場合、黄色のトラフィック表示と音声アナウンス“Traffic, Traffic”によりパイロットに注意を促すものです。パイロットは相手機の目視確認に努めなければなりませんが、TAのみに基づいた回避操作を行ってはならないとされています。
RA(レゾリューションアドバイザリー):トラフィックがさらに接近した場合、赤色のトラフィック表示と“Climb, Climb”、“Descend, Descend”などの音声アナウンスにより回避に必要な操作をパイロットに指示するものです。パイロットはRAに従うことで飛行の安全が損なわれる場合を除き、RAに従うべきである(FAA AC120‐55)とされています。この点については航空会社ごとに若干ニュアンスが異なるようですが、管制官としては「パイロットがRAに従わないこともあり得る」と理解しておくべきでしょう。 以下の記述はすべてTCASIIを対象としています。

TCASには以下の3タイプがあります。
○TCAS I :TAのみを発出
○TCAS II :TA及び垂直面でのRAを発出
○TCAS III:TA並びに垂直面および水平面でのRAを発出

 TCASの作動原理は管制二次レーダー(SSR)と同様で、機体の上下2ヶ所にある指向性アンテナから1秒に1回全方位に向けてトランスポンダー質問信号を送り、応答信号に基づいて相手機の方位、相対距離、高度、接近率を連続的に監視するというものです。それによって相手機との最接近点(CPA)における位置関係を計算して、トラフィックとなるか否かを判定し、最接近点までの時間を基準として警告を発出します。現在TCASに用いられている指向性アンテナは、自機尾翼との干渉、機体姿勢などにより相手機との相対方位に誤差が生じる可能性があることから、水平方向へのRAを発出することは出来ません。そのため、近い将来にTCASIIIが開発される可能性は少ないとされています。TCASは自機の周囲40NM、上下9、000ftの範囲内において、最大45機のトラフィックを監視し、30機以上を表示し、一度に3機以上のトラフィックとの回避を調整する能力を持っています。

3、TA/RA発出ロジック

 TCASは飛行速度、最接近点までの時間、最接近点における垂直間隔などを基準として自機の周囲にTAゾーンとRAゾーンを想定し、トラフィックが一定時間内にこれらのゾーンに侵入すると予測される場合にTAやRAを発出します。TAが発出されずにいきなりRAが発出されることはありません。TA発出に至らない場合でも、トラフィックが自機の6NMおよび1、200ft以内に接近すると予測された場合には、近接トラフィック(proximate traffic)としてコックピットに表示されます。
 TCASはトラフィックの接近を予測すると、最接近点で予測される垂直間隔および最接近点までの時間(距離ではない)に基づいてTAやRAの発出を判定します。判定にあたっては、航空機の標準的な動きとして、上昇/降下率毎分1、500ft(fpm)、パイロット反応時間5秒、垂直面加速度1・25Gを想定し、相手機の飛行経路を予測し、最接近点での予測垂直間隔を計算します。〈表1

 次に、最接近点まで以下の時間値(タウと称する)を切ると予測された時点で、TAやRAが発出されます。例えばFL350においては、35秒以内に両機が再接近して、その時点での垂直間隔が600ftを切ってしまうと予測される場合にRAが発生します。〈表2

 相手機が非常に低速で飛行中や接近率が極端に小さい場合には、タウのロジックではTAやRAが発出されないままに異常接近してしまう可能性があります。TCASにはその対策として、接近距離のみによってTAやRAを発生するロジック(DMODと称する)も用意されています。これにより、タウでは警告が発せられなかったトラフィックでも、例えばFL200以上では1.1NMまで接近すればRAが発出されます。〈表3

 接近の形態が特殊な場合や、垂直面での航空機の動きの予測データが不十分な場合には、RA発出が遅れたり全く発出されない場合もあり得ます。また、相手機がモードCトランスポンダーを搭載していない場合やモードCが故障している場合には、TAは発出されますがRAは発出されません。相手機がトランスポンダー自体を搭載していない場合や故障している場合には、TCASはいかなる警告も発しません。

4、回避方向の選択

 RA発出が決定されると、TCASはまず回避方向(上昇か降下か)を選択します。そのためにTCASは相手機の飛行経路を予測し、最接近点での予測垂直間隔を計算し、最接近点においてより大きな垂直間隔が確保できる方向にRAを出します。図2の例では降下した場合の間隔BのほうがAより大きいので、降下RAが発出されることになります。
 TCAS搭載機同士が接近しつつある場合、両機はモードSデータリンクを介して相互に回避方向の調整を行います。一方のTCAS搭載機が他方より先に自機の回避方向を決定し、相手機のTCASは回避方向がその反対になるようなRAを選択します。TCAS搭載機同士が全く同時に回避方向の決定を行う可能性は少ないとはいえ、もし両機が同時にお互いを脅威機と判定して同じ回避方向を選択した場合には、お互いのモードSトランスポンダーのアドレスを比較して高いアドレスを持つ航空機が回避方向を相手機と逆方向に変更するよう設計されています。


5、RAの増強と反転

 回避方向が決定されると、次にTCASは回避に必要な垂直間隔を満たすための最小限の上昇/降下率を選択します。通常のRA上昇/降下率は1、500fpmです。しかし、相手機がTCASの当初予測に反するような動きをした場合、TCASは上昇/降下率を1、500fpmから2、500fpm以上に増加する=RAの増強(Increase‐Vertical‐Rate RA)、または回避方向を逆にする=RAの反転(Sense‐Reversal RA)を行うことで対応しようとします。RAの増強、反転の選択は自機のTCASバージョン、相手機のTCAS搭載の有無、当初発せられたRAの種類、相手機との位置関係、相対速度などによって決まります。TCASバージョン6・04Aでは相手機がTCAS搭載機の場合にはRAの反転は行われず、RAの増強のみによる対応が可能です。バージョン7・0ではTCAS搭載機同士であってもRAの反転が可能になりました。日航907事故で両機が搭載していたTCASはバージョン6・04Aでした。今回の事故がバージョン7・0搭載機同士で発生していたら、RAの反転が行われることによって結果は大きく違っていたかもしれません。日本航空では2002年中に全機種バージョン7・0に改装するとのことです。




 TCAS RAの取得に係る課題

 今回航空局がすすめている整備内容は、「安全性の一層の向上を図る観点から、航空機におけるRA情報の発生状況及び内容を航空管制官が知ることができ、RAによるパイロットの回避操作が適切に把握できるよう、飛行中の航空機に搭載されているTCASがRAを発生した場合に、航空路レーダーのモードSデータリンク機能により、当該航空機のパイロットが取得している同じRAの指示内容及び当該RAが終了した旨の情報を地上に表示することにより、機上のRA発生状況を航空管制官に提供する」というものです。
 TCASはまだ開発途上であると言わざるを得ませんし、そのRA指示についてもまだまだ明確でない要素があります。しかも、RAが発生してしまった場合に管制官がとるべき措置について、航空局は現在に至るまで何も規定してきませんでした。そのような中で、RA情報をモードSデータリンク機能により、ダウンリンクしてレーダー画面に表示するという方向性が、十分な検証もなしに再発防止策として一人歩きすることは極めて問題であると考えます。
 FAAは96〜97年にボストンTRACON(ターミナルレーダーアプローチコントロール)でRAダウンリンクの検証を行い、技術的には可能であるとの結論を得ました。しかし、FAAはRAダウンリンクを実施しないとの決定を下しました。その主な理由は、(1)RAダウンリンクはコックピットに表示されたRAをレーダー上に表示するのみであり、パイロットがそれに従うかどうかわからない、(2)RA回避中の管制官の責任問題との関連が明確でない、というものです。
 (1)については、まさに日航907便事故においてその危惧が現実化していますし、パイロットが目視による回避を優先して、RA指示に従わないケースは今後も考えられます。この場合、管制官がレーダー画面上に見るRA指示情報とパイロットが実際にとる機動とが異なることになり、せっかくの再発防止策がかえって混乱を招くという要因になりかねません。
 (2)については、航空局が99年1月に発行したAIC(航空情報サーキュラー)Nr(ナンバー)001の中で「RA回避中は管制官には間隔設定の責任はない」と明言されているにもかかわらず、まさにRA回避中の管制官の厳しい責任追及が行われているという矛盾に関連しています。
 航空局は、RA情報取得によって「管制官は、適切な対応をとることが可能」と述べていますが、管制官はどのような「適切な対応」が求められるのか、また管制官は、当該機に対して管制間隔設定のための指示を発出する責任を有することになるのかといった点が全く不明のままとなっています。
 FAAはアドバイザリーサーキュラー(AIC120‐55)等で、RAが発生するかもしれない/してしまった場合の管制官のとるべき措置についてしっかりと規定しています。そのFAAでさえも「RA回避中の管制官の法的責任等を考慮するとRAダウンリンクは実施すべきでない」との判断を下しています。これらの点について航空局が明確な結論を出し、RAに関して管制官がとるべき措置についてはっきりと規定されるまで、RAダウンリンクを性急に導入すべきではないと考えます。

 最後に

 「マッハの恐怖」、「事故の死角」などの著者である柳田邦男氏は、その著書「航空事故―その証跡に語らせる」において、ミスを生み出すものの共通因子について、「第一に指摘しなければならないのは、機械やマニュアルを『作る』側の論理と、それを『使う』側の論理との間に往々にしてずれがあり、その隙間で“ミス”が発生しているということである。これは、システムの巨大化に伴う安全上の重要な問題である」と述べています。
 すなわち、「機械を『作る』側は、使用者は必ず決められたマニュアルに従って機械を操作してくれるという前提に立って、安全は守れると確信している。一方、『使う』側はシステムは完成品であり、操作の省略や間違いということについて、いかに重要な結果をもたらすかについては思いが及ばない。つまり、流れ作業の中には常に単純な操作ミスが入り込む可能性が潜んでいて、機械を『作る』側が考えるほどの重要性を、『使う』側は考えない」としています。
 今回の例を見ると、日航907便がRA指示ではなく管制指示に従ったことも、日航958便が管制指示ではなくRA指示に従ったことも、現行規定ではパイロットにとって適切な措置であったと言えます。もちろん、航空機が管制指示ではなくRA指示に従う以上、管制官が管制間隔を設定することは不可能であり、そのことはAIC Nr 001「航空機衝突防止装置(ACASII)の運用について」に明快に規定されている通りです。
 しかし、この機械を「作る」側の論理で行けば、まさにパイロットもRAに従い、管制官もRAの指示と同様の指示を発出する、また、コンフリクトアラート機能も常に3分前に表示されるような位置関係に航空機が存在するわけですが、現実はこの「作る」側の論理とは大きくかけ離れているといっても過言ではありません。
 今回の事故はCNF、TCASという未だ発展途上のハードウェアが発出する機能や指示が大きな要因となっており、それが今回の事故検証を複雑なものとしています。「ヒューマンファクター」の著者であるホーキンス氏は、「システム設計者が考慮すべきヒューマン・ファクターの要素はたくさんある。その第一は、システムの信頼性は絶対的でなければならない」と述べています。
 ヒューマンエラーは不可避的に発生してしまうものであり、それが発生した場合に事故に拡大することを防止するためのセーフティネットを構築しておく必要があることは、全国の管制官が事故後に学んだヒューマンファクター学の基本です。航空交通量が激増した今日、コールサインミスはほとんどの管制官が誰でも経験するヒューマンエラーであり、航空局はそれが今回のような事故に拡大することのないように、その発生のメカニズムを人的あるいは環境的に分析を徹底した上で、セーフティネットを構築しておく責任があると考えます。
 しかし、ヒューマンエラーを瞬時に察知して是正措置を講じ得るようなセーフティネットの構築をハードウェアやコンピューターのみに求めることは現状では技術的に困難であると言わざるを得ません。当面はこうした特性を人間がカバーせざるを得ない状況であり、そのためには要員のあり方について定員削減の対象から外すことや、ミスのおきにくい空域のレイアウト、また、新たな訓練体制の構築などが欠かせないものであると同時に、こうした環境は常に変化するということを念頭に、常に対策の更新をはかる必要があると考えています。

 

TOPNEWS全運輸とは行政研究全運輸の主張刊行物紹介お答えしますリンク組合員のページ国民平和行進
(c)2002 All Right Reserved Zenunyu