失敗知識データベース‑失敗百選

エルアル機のヒューズピン破断による墜落【1992 年 10 月 4 日、オランダ アムステルダム】
小林英男（東京工業大学大学院 理工学研究科）
寺田博之（（財）航空宇宙技術振興財団）

1992 年 10 月 4 日、アムステルダムのスキポール空港を離陸したイスラエル国営エルアル航空のジャンボ貨物機（ボーイング 747 型機）が、直後に右主翼のエンジン 2 基が脱落し、操縦不能に陥り、空港付近のアパート（高層団地）に墜落し、住民の死者 39 人を含め多数の重軽傷者を出すという大惨事を起こした。
エンジン脱落の原因は、エンジン吊り下げ部（パイロン）のヒューズ（接合）ピンの疲労破壊であった。7 年前の日航ジャンボ機墜落事故で崩壊したジャンボ機の安全神話に、さらに止めを刺す事故となった。
１．機器
イスラエル国営エルアル航空ボーイング 747 型機（ジャンボ貨物機）のエンジン吊り下げ部（パイロン）のヒューズ（接合）ピン。ヒューズ（fuse）は信管、導火線の意味で、電気ヒューズはよく知られている。接合ピンは緊急時の破断を前提としているので、ヒューズピンという。ヒューズピンは高強度鋼 4340 製円筒（直径 5 cm、長さ 10 cm）で、1 基のエンジンをピン 4 本で支えている。
２．事象
1992 年 10 月 4 日 18 時 22 分（現地時間）、イスラエル国営エルアル航空のジャンボ貨物機（ボーイング 747 型機）が、アムステルダムのスキポール空港を離陸し、テルアビブ空港へ向かった。離陸
後 6 分後に、右主翼の第 3 エンジンで火災、さらに第 4 エンジンでも火災の緊急信号を出し、操縦不能に陥って、18 時 36 分に墜落し、空港付近のアパート（高層団地）を直撃した。墜落事故によって、搭乗者は貨物機のために 4 人と少なかったが、アパートの住民の死者 39 人を含め多数の重軽傷者を出すという大惨事を起こした。墜落後に調べたところ、エンジン 2 基は墜落前にすでに右主翼から脱落していた。
エンジン吊り下げ部（パイロン）の構造を図 1 に示す。パイロンのヒューズ（接合）ピンは、4 本（ほかに補助ピンが 2 本）で 1 基のエンジンを支えている。負荷の大きい中央の 2 本のうちの 1 本が破断すると、主翼とパイロンの間に 2〜3 cm のすき間が生じ、エンジンががたつく。
第 3 エンジンのヒューズピン 1 本が金属疲労で破断し、エンジンが不安定になって振動し、パイプから燃料が漏れて火災になり、負荷の増大と火災の影響で、残りのヒューズピン 3 本も次々に破断し、エンジンが脱落したと推定される。第 4 エンジンも同様に、第 3 エンジンの火災の影響を受けて、ヒューズピンの破断によってエンジンが脱落したと推定される。
事故機は右旋回しながら墜落した。右翼のエンジンが止まると推力のバランスが崩れ、航空機は1

失敗知識データベース‑失敗百選

自然に右旋回する。したがって、方位も高度も制御できない操縦不能に陥っていたと考えられる。
ジャンボ機はフェ−ルセーフ（多重安全機能）設計が採用されており、エンジン 4 基のうちの 2 基が止まるか脱落しても、残りの 2 基の推力と 2 系統の油圧で安全に飛行できる。エンジン 2 基の脱落によって墜落したことから、フェールセーフが不完全であったと考えられる。7 年前の日航ジャンボ機墜落事故で崩壊したジャンボ機のフェールセーフの安全神話に、さらに止めを刺す事故となった。
３．経過
事故機は、製造後 13 年余りを経過し、10,107 回の飛行（フライト）と 45,746 飛行時間を経験した経年機であった。ヒューズピンは長年にわたり、点検整備が行われていなかった。
1991 年 12 月 29 日、中華航空のジャンボ貨物機が台北空港を離陸して 6 分後、管制塔にエンジン故障のため引き返したいと伝えてきた。その 2 分後に機影がレーダーから消えた。右主翼のエンジン 2 基が脱落し、部品の一部が墜落現場から離れた海で発見された。エンジンを主翼から吊り下げているヒューズピンの破断が、事故の原因ではないかと推定されている。
中華航空機の事故の前から、世界中のジャンボ機のヒューズピンにき裂と腐食が目立っていた。
事故後も、何件かの報告があった。事態を重視しながらも、製造元の米国ボーイング社はジャンボ機のユーザーである航空各社に、ヒューズピンの点検と整備を要請する技術情報（SB）を出す措置をとらずにいた。
日本航空は 1992 年 5 月の定期整備で、たまたま 1 機のヒューズピンに腐食を発見し、独自にジャンボ全機の点検を開始した。9 月末までに 12 機の点検を終了したが、損傷のあるヒューズピンが5 本も発見され、取り替えた。しかし、日本以外では、多くのジャンボ機がそのまま飛び続けた。
ボーイング社がようやく SB を出したのは、エルアル機の事故が起きた翌日だった。しかも、中華航空機とエルアル機の事故はともに、現時点ではヒューズピンが原因だという証拠は何もないとのコメントが付いていた。ボーイング社は、SB はエルアル機の事故がなくても近々に出す予定で、その前に事故が起きたと説明した。日本航空の整備技術者は、SB が早ければ事故は防げた可能性が強いので、エルアル機の事故は予測された惨事だと指摘している。
４．原因
ヒューズピンの破断によるエンジン脱落が墜落の第1の原因であり、エンジン脱落によって操縦不能に陥ったフェールセーフの不完全が墜落の第2の原因である。
５．対処
ボーイング社がヒューズピンの SB を出した 4 日後、米連邦航空局（FAA）は、航空各社にヒューズピンの点検を命ずる耐空性改善命令（AD）を出した。SB では 90 日以内だった点検終了までの期限を、AD では 30 日以内にするなど、8 つの項目で厳しい内容になった。これに対してボーイング社は、
過去 7 年間に 15 件のヒューズピンの損傷報告があったが、それが事故に結びついたことはなかったと弁明している。
1993 年 6 月 18 日に至り、ボーイング社は、飛行中のジャンボ機で続いたエンジン脱落事故を防2

失敗知識データベース‑失敗百選

ぐために、エンジンを主翼に留める接合部の補強を、世界中で使用されているジャンボ機全 948 機で実施すると発表した。
主翼に留めるエンジン 1 基当たり 4 本のヒューズピンを緊急時に破断するように意図的に刻み（切欠き）を入れた従来型から、刻みがなく腐食に強い新型ヒューズピンに交換するほか、新たに 1ヵ所、接合部を追加する。ボーイング社は、改良を米連邦航空局（FAA）の承認が得られ次第実施する。この改良には、1 機当たり 2〜3 週間かかる見込みである。
ボーイング社はこれまでの 23 年間、地上または空中でエンジンが他の航空機または障害物に当たった際に、主翼まで壊れて燃料タンクが破裂しないように、ヒューズピンが破断してエンジン部分だけが落下する設計を採用していた。しかし、飛行試験と運行データから、接合部の構造を変更すべきだとの結論に達した。
６．対策
ヒューズピンは緊急時に破断するように、意図的に切欠きを付していた。切欠きの応力集中によって金属疲労が加速される。また、ヒューズピンは円筒形で、内面から腐食する。ヒューズピンは切欠きのない新型に変更された。
エンジン脱落後の操縦不能については、フェールセーフの不完全さが指摘されているが、根本的な対策には至っていない。
７．知識化
フェールセーフ神話が崩壊した。そもそもジャンボ機がエンジン 4 基の構造としているのは、エンジン 1 基または 2 基の停止を前提として、安全な飛行を保証するためのフェールセーフ設計である。
また、エンジン 1 基をヒューズピン 4 本で支えているのも、ヒューズピン 1〜2 本の破断を前提としたフェールセーフ設計である。さらに、ヒューズピンに切欠きを付したのも、緊急時の破断を前提としたフェールセーフ設計である。しかるに、エンジン 1 基のヒューズピン 4 本が同時に破断し、エンジン片翼の 2 基が同時に脱落し、操縦不能のフェールセーフの不完全さも露呈して、墜落した。フェールセーフに完全、絶対の神話はないのである。
８．背景
ボーイング社は中華航空機の事故後に、なぜ早く対応しなかったのか。ジャンボ機が世界の航空交通に占める比重の大きさが、その背景にある。
1979 年 5 月、米国シカゴで、マクダネル・ダグラス社製の DC10 がエンジン火災を起こして墜落し、273 人が死亡する事故が起きた。原因は当初不明だったが、米連邦航空局（FAA）は構造的な欠陥の疑いがあると見て、世界中の DC10 の飛行を一時的に止めた。
後に、原因は整備のミスとわかり、飛行停止は約 1 ヵ月で解除された。空騒ぎに終ったこの措置に対する評価は分れたが、航空関係者の多くは、いずれにせよ DC10 だからとれた措置で、今、ジャンボ機を止めれば、世界の空が麻痺（まひ）すると見る。
当時の DC10 は世界中で 200 機強だったが、ジャンボ機は現在、約 900 機が就航中である。もし世界中で止めれば、桁違いの影響が出る。一斉点検、整備だけでも、航空各社の運行に支障が出

3

失敗知識データベース‑失敗百選るのは避けられない。この判断が、早い対応の妨げになったと考えられる。
９．後日談
1994 年 3 月 1 日 13 時 38 分頃、香港発成田経由ニューヨーク行きのノースウェスト航空 018 便ジ
ャンボ機（ボーイング 747 型機、乗員と乗客 248 人）が成田空港に着陸後、第 1 エンジンが左主翼から脱落した。事故機はエンジンを引きずって滑走し、火を噴いた。火はエンジンの吊り下げ部分、フラップなどを焦がしたが、駆けつけた消防車が約 10 分後に消し止めた。乗客は消火作業後、乗員の誘導でタラップから機外へ出て、全員無事だった。
調査の結果、エンジンと主翼を接合するヒューズピン 4 本のうちの前部にある 1 本（高強度鋼4340 製円筒、直径 5.5 cm、長さ 9 cm）が折れており、このためにエンジンが主翼からぶら下がったことがわかった。エンジンは、残っていた中央のヒューズピンを軸に回転した状態で、脱落していた。
折れたヒューズピンの半分が、エンジン側に残っていた。
これに先立ち 1992 年に、米連邦航空局（FAA）と運輸省が、ヒューズピンの総点検を命ずる耐空性改善命令（AD）を航空各社に出した。旧型のヒューズピンは飛行回数 500 回ごとに、新型のヒューズピンは 1,000 回ごとに、目視検査と超音波探傷試験を行い、き裂と腐食があれば、新品と交換することを義務付けている。しかし、今回折れたもっとも機首寄りのヒューズピンは、その対象外だった。
このヒューズピンに加わる力は小さく、破断事例も少なかったためである。今回のような事故が飛行中に起きた場合は、大事故につながる危険性が大きく、このヒューズピンも点検の対象とする必要性が指摘された。
１０．よもやま話
フェールセーフは、装置の機能に故障または不具合（フェール）が起きても、他の装置のバックアップで全体の安全は保てる（セーフ）という思想である。ジャンボ機は、飛行中にトラブルが起きても、重大な事故に発展しないという思想で設計されている。これがフェールセーフ設計である。
フェールセーフ設計の対象は、構造の問題と制御の問題に大別できる。構造の問題は壊れることへの対処であり、制御の問題は操縦不能への対処である。
構造を対象とするフェールセーフ設計とは、システムまたは機器の一部が故障または破壊しても、所定の期間内は機能が維持できるような設計である。すなわち、部材に疲労き裂などが発生しても、他の部材が肩替りして強度を受け持ち、破壊が局部に留まり、構造全体の致命的な破壊に至る前に、点検によって検出し、修理または交換ができる構造である。具体的には、多径路荷重構造、分割構造、肩替り構造、荷重軽減構造などの多重安全性を採用する。また、点検、修理、交換などが容易な構造と部位に適用する。
ジャンボ機のヒューズピンは、フェールセーフ設計の典型的な対象例である。ヒューズピンの応力振幅（正弦波状の繰返し応力の平均値から最大値または最小値までの振幅）と疲労寿命（破断までの繰返し回数）の関係を図 2 に示す。切欠きのない平滑なヒューズピンの疲労寿命は、応力振幅が同じでも大きく変動し、4 本が異なる疲労寿命を示す。したがって、4 本のヒューズピンでエンジンを支える場合、1 本のヒューズピンが破断しても、残りのヒューズピンは健全であり、エンジンが脱落することはない。破断したヒューズピンを交換すれば、元の状態に戻る。ヒューズピン 1 本の破断の4

失敗知識データベース‑失敗百選

検出と交換を適確に実行すれば、エンジンが脱落しないことを、ほぼ永久的に保証できる。これがヒューズピンへのフェールセーフ設計の適用である。
ヒューズピンに切欠きを付した場合にも、切欠きによる疲労強度減少係数を考慮すれば、平滑なヒューズピンの場合と同様に、フェールセーフ設計が適用できる。ただし、切欠きを付すと、疲労強度（同じ疲労寿命を与える応力振幅）が低下するばかりでなく、疲労寿命の変動が小さくなる。すな
わち、4 本のヒューズピンがほぼ同時に破断する確率が高くなる。これは、切欠きを付すとき裂の発生する位置が限定され、き裂の発生が容易になり、疲労寿命の変動の要因がなくなるからである。
したがって、4 本のヒューズピンでエンジンを支える場合、4 本のヒューズピンがほぼ同時に破断するか、または 1 本のヒューズピンの破断と火災の影響によって、残りの 3 本のヒューズピンが連鎖反応的に破断することがあり得る。これが中華航空機とエルアル機の事故で起きた事象であり、フェールセーフ設計の落し穴と考えられる。
１１．社会への影響
エルアル機が墜落したアパート（高層団地）には、トルコ系季節労働者が多数居住していた。外国人出稼ぎ労働者が多数死亡したことが、国際問題となった。また、El Al 機の主な積荷が猛毒の殺人ガスであるサリンの原材料と劣化ウランであったため、アパート近隣の住民のみならず事故調査や警備に携わった多くの関係者をその後長く後遺症で苦しめる結果となった。
１２．主シナリオ
1. 無知
2. 知識不足
3. 思い込み
4. 調査・検討の不足
5. 事前検討不足
6. 調査・見直し不足
7. 使用
8. 運転・使用
9. 航空機の操縦
10. 使用11. 保守・修理
12. 点検13. 部品交換
14. 破損15. 破壊・損傷
16. ヒューズピンの破断
17. エンジンの脱落
18. 破損19. 大規模破損

5

失敗知識データベース‑失敗百選

20. 航空機の墜落
21. 二次災害
22. 損壊23. アパート崩壊
24. 身体的被害
25. 死亡26. 事故死
27. 社会の被害28. 人の意識変化
29. 航空機の安全性〈参考文献〉(1)CAA Accident Summary、1996(2)予測された？惨事、アムステルダムのジャンボ機墜落事故、朝日新聞、1992 年 10 月 27 日
(3)エンジンの接合部補強、ボーイング社全ジャンボ機、朝日新聞（夕刊）、1993 年 6 月 19 日
(4)着陸時、エンジン脱落、NW 機、総点検対象外の留め金折れた、朝日新聞、1994 年 3 月 2 日

6失敗知識データベース‑失敗百選

図 1 エンジン吊り下げ部の構造500
疲労強度減少係数 ＝平滑材の疲労強度
切欠き材の疲労強度

応力振幅σａ（MPa）

400300平滑材の疲労強度200

1000

切欠き材の疲労強度

10３10４10５10６

疲労寿命Ｎｆ（cycles）10７

図 2 ヒューズピンの応力振幅と疲労寿命の関係
710８