みとろじあの家インデックスへ字を見ていただけるとなんとなく判っていただけるかと思いますが、機器を安全に使用できるようにするための装備やしくみ（ソフトウェアロジックとか）を取り扱う設計のことです。
一般ではあまり耳慣れない概念かも知れません。でも、世の中で使用されている機器は、多かれ少なかれこの概念に基づき、各種安全装備が取り入れられてつくられています。
たとえばクルマ。クルマの目的（存在理由）を突き詰めていくと、「動力（エンジン）を利用して、人間や荷物を載せてＡ地点からＢ地点に運ぶこと」あたりに落ち着くかと思います。ところがクルマには、この目的に直結しない装備がいろいろ付いてますね。エアバッグとか。これは、
「いざ衝突事故が起こった際に、クルマに載っている人間へのダメージを和らげる。」
という概念に基づいた安全装備です。
しかし・・・、エアバッグなど無くったって、クルマは人間を運べます。と言いますか、せいぜい２０年前のクルマにはこんな装備は無かったですし、現役で公道を走っているクルマにもエアバッグ無しのものはまだ数多くあります。
要は、クルマの根本的な機能・性能にはあてはまらない装備なんですね。いや、もしかすると、この装備をつけたがためにクルマ本来の機能・性能を大きく損なってしまっているのかもしれません。極端な話、エアバッグ装備が人間１０人分の重さだったりすると、きっとクルマはマトモに走れなくなるでしょう（実際は、大人１人分にも満たない重さです）。
でもそれが装備されているのは、“いざ衝突事故が・・・”の「いざ」に備えることが、クルマを使用する上で考えなければならない重要な事項だということ。多少の機能・性能の犠牲を伴っても安全に守ることが必要だと認識されている、ということです。
まぁ、前置きがながくなりましたが、この「いざ」に備えるという装備を合理的・体系的にモノに組み込むことが、安全設計の重要な使命なわけです。
さて宇宙機器ですが、これが実は安全てんこ盛りでして。私が開発に携わっている有人宇宙環境利用機器などは特に顕著で、安全装備の山の中に本来の目的となる機器がチョコっと埋もれている、という表現が誇張ではない場合があります。この宇宙開発業界で機器の設計に携わる人間なら、程度の大小こそあれ、で〜んと立ちはだかる安全と、本来要求される機能・性能の実現の狭間でウンウン唸った経験は誰しも持っています。
で、なぜ「安全てんこ盛り」になるかと言いますと、有人宇宙の分野では「宇宙飛行士の命と、その命を直接保護している宇宙船／宇宙ステーションは絶対に守らねば」という理念が至上命題になっているからです。
実験装置がトラブルで爆発したとしましょう。地上の大学や研究機関の実験室に据え付けられている実験装置だったら、
「危ない！ みんな逃げなさいっ！」
とばかり実験室の外に駆け出せば、人命の無事を確保できる可能性が少なからずあります。
一方、宇宙船の中の実験装置では、「逃げなさいっ！」と言ったところで現有の宇宙船や建設中の宇宙ステーションはそんなにデカくありませんし、マトモに身を隠せる場所もありません。
船の外は宇宙空間ですから、あわててそのまま飛び出せばものの数分で確実に死にます。
爆発の直接被害を受けずに助かっても、船自体が傷ついて空気が宇宙空間にジャンジャン漏れ出しでもすれば、宇宙飛行士の末路には、やはり死が待ち構えています。
地上では建物が崩壊し、何日も経って瓦礫の下から奇跡的に救助される、ということもあり得ますが、宇宙空間では、船自体が瓦礫になったらそのようなドラマはまず起こり得ません。
また、軌道上は微小重力環境ですから、仮に地上で１００ｍ走１０秒を切る天才アスリートでも、そんなには素早い行動ができません。スペースシャトルの中継映像なんかで、テキパキと移動している宇宙飛行士など見たことないですよね？ 微小重力環境下では心身能力が全方位で低下しますので、体が動かない、判断も鈍る、というロクでもない状況でして、
「・・・あ、火を噴いた！ あそこと、あそこのスイッチを切って、消火器持って・・・」
という瞬発的な回避動作はまず期待できません。
安全に限らず、人間が軌道上で操作する宇宙機器を設計する場合は、「ほろ酔い状態でも扱えるように考えろ」というのがこの業界での鉄則です。
というわけで、爆発という危険に対しては、宇宙開発現場では異様に厳しく「とにかく絶対、爆発そのものを起こさないように安全設計しろ」となってしまいます。先の例のクルマで言うと、
「とにかく絶対、衝突事故を起こさないように安全設計しろ。・・・エアバッグ？ んなもん、衝突自体を防ぐことができないから無意味だ。」
と言われているようなものでして・・・、要は、自動車業界のエンジニアなら、
「そんなこと言われたら、マトモなクルマなんて作れるか！」
と叫びかねない要求を、宇宙開発業界のエンジニアはモロに受けているわけです。
ところで、「絶対○○を起こすな！」という概念なのですが、結構これが興味深いです。
宇宙機器とて人間の所業ですから、厳密な意味での「絶対」など到底達成できません。ということで、いわゆる「宇宙業界での絶対」という定義があります。
ホントはもっと細分化されており、宇宙機器でも分野毎に少しずつ違うのですが、代表的な定義を１つだけ挙げますと、
「３つの独立した安全装備・しくみ（業界用語で"inhibit（インヒビット）"と言います）が備わっていれば、絶対○○は起こらないものと認めます。」
というものがあります。
３つの独立したインヒビット・・・。実は映画「アポロ１３号」で関連したセリフがありました。アポロ１３号のタンクが爆発した際、地上でデータをモニタしていた要員が、
「３重系の故障だ！ 考えられない！」
と叫ぶシーンなのですが、まさにこれが同様の概念で、彼は「ある機能を維持する３つの装備が一気に壊れた。そんなことは起こり得ないという定義だったのに・・・」
と言っているわけです。
もちろん、お互いの装備が完全独立であっても、それぞれの故障確率が百分の１（1%）あれば、３つの装備が一気に壊れる可能性は、百万分の１の確率で出現します。ゼロでは無いんですが、NASAは「そこまで低い出現確率に抑えられるなら、さすがに無視しないとやってられないでしょ」てな感じで割り切って、「絶対ない」と考えていいものとしたわけです。
では、アポロ１３号ではその絶対ないとした「３つの完全独立した装備の故障が偶然重なった事態」が、不幸にも起きてしまったのでしょうか？ そうではありません。実は各装備が完全独立しておらず、事故後の調査から、たった一つの回路トラブルで３つの装備とも一気に吹っ飛んでしまった（＝非独立であった）ことが判明しています。このような事態が安全設計上考えられるならば、それは「３つの独立したインヒビット」の条件を満たしていないものと判定されます。
判りやすい事例で、「ご家庭の防犯」で考えてみましょう。宇宙業界の定義に従って「絶対、泥棒に家財を盗まれるな！」を達成するには、３つの防犯インヒビットが必要なワケで、
・防犯カメラ
・警備会社に不審者侵入を知らせる赤外線センサ
・壊されたりピッキングされると警報音が鳴る扉
を設置するとしましょう。これだと、防犯カメラが壊れたり（壊されたり）、モニタから目を離していてうっかり不審者に気づかなくても、次の赤外線センサで侵入を探知できます。更に赤外線センサをうまくくぐり抜けられても、戸がこじ開けられると周囲が異常に気づいて、泥棒は盗みの目的を達成できなくなるでしょう。なので、全部で３つの独立したインヒビットという条件を満足してそうです。
しかし・・・、この装備が全て家庭用１００Ｖ電源で動いていたとしたらどうでしょう？ 泥棒が侵入前に電信柱にのぼって電線を切ってしまうとか、たまたま電力会社のトラブルで停電になったりしたら、上記のインヒビットは一気に機能を失います。この場合、独立したインヒビットが３つあるとは認定されず、防犯インヒビットは１つしかない状態と同じと見なすわけです。
ちなみに、独立した３つの防犯インヒビットをきちんと達成したいなら、以下のような対策を打てばいいでしょう。
・各装備のうち２つを、不審者を見ると吠える犬を飼うとか、家の周囲を全部鉄条網にするとか、電源不要な装備に置き換える
・各装備の電源のうち２つを、それぞれ独立した自家用発電機とかバッテリーとかに切り替える
ま、宇宙開発エンジニアというのは、そんなパズルみたいなことを一生懸命考えつつ、機器を設計・開発するヒトなワケです。さらに安全設計には不可分の作業分野があり、
【信頼性評価】
大ざっぱに言うと、採用したインヒビットが故障せずにどれだけ確実に動いてくれるか？ ということを評価する作業
【保全性評価】
一定の寿命があるようなインヒビットの場合、それをどのように保全（例えば新品への交換など）するか、また保全のしやすさをどう実現するか？ ということを評価する作業
【安全検証】
採用したインヒビットが作動した場合、実際にどの程度安全を確保できるのか、逆にヤな話、採用したインヒビットがうまく働かなかったり、採用したインヒビットとちょっと違うものがウッカリ実際の機器に搭載されてしまった場合、如何なる事態が起こるのかを解析・評価する作業
な〜んてことも同時にやっていたりします。ここまで範囲が広くなると、一般業界で言う「リスク・マネジメント」とオーバーラップしてきますね。内輪で冗談混じりに、
「宇宙業界をクビになったら、こんなキワモノの世界で仕事してたエンジニアなんか使いモノになるんだろうか？」
なんて話が出たりするのですが、リスク・マネジメント業務は、ある程度のスキルを得た宇宙開発エンジニアなら、業界外でも即戦力として活躍できる（非常に数少ない）分野だったりします。
実際、1970年代にアポロ計画が打ち切られて宇宙開発エンジニアの大量リタイヤが発生した米国では、前近代的な業務方式がまかり通っていた金融業界にかなりの人間がなだれ込み、リスク・マネジメントを含む金融工学理論を飛躍的に発展させたりもしました。先年、初めて宇宙観光を実現した米国の実業家デニス・チトー氏も、実はその一人です。
・・・などと書き連ねつつ。
安全と本来機器に要求される機能・性能の両立・・・、う〜ん、頭を悩ませる毎日ですね。誤解を恐れず言えば、この結果陥る「安全てんこ盛り状態」が、宇宙機器のコストをかな〜り押し上げる一要因にもなっていて、それも悩みの種だったりしまして。・・・いや、トータル・コスト削減はご多分に漏れず重要命題なんですがね。
・・・あ、金融業界で活躍する元宇宙開発エンジニアと結託して、多少の高コスト体質でも成り立つ宇宙開発事業形態を考える、な〜んてのは・・・ムリかなぁ。
'02.10.23
みとろじあの家インデックスへ