乗員乗客合わせて290名が死亡したイラン航空655便撃墜事件はなぜ発生したのか？

1988年7月3日に発生したイラン航空655便撃墜事件は、イラン南部にあるバンダレ・アッバース国際空港からドバイに向かっていたイラン航空655便を、アメリカ海軍の巡洋艦「ヴィンセンス」が対空ミサイルで撃墜した事件です。この事件によって、655便に搭乗していた290人の乗員乗客全員が死亡しました。この事件の発生原因について、エンジニアのジェイソン・レフコウィッツ氏が解説しています。

Jason Lefkowitz: "I want to take a moment to tal…" - the Octodon
https://octodon.social/@jalefkowit/111490485825183949

この事件を引き起こしたヴィンセンスには、当時世界最先端の防空システムであったイージスシステムが搭載され、一度に数百機のソ連の爆撃機を識別、追跡、撃墜可能な設計になっていました。しかしそれほどの性能を持ちながら、たった1機の民間旅客機を撃墜してしまった要因として、レフコウィッツ氏は「イージス戦闘システムのユーザーインターフェースが抱えていた重大な欠陥」を指摘しています。

1つ目の欠陥として、レフコウィッツ氏は「イージス戦闘システムのIFFコンソールの仕組み」を挙げています。

世界中の大型航空機には、その航空機が民間機か軍用機か、またどのような種類の航空機かを示す一連のコードを送信できる「敵味方識別装置(IFF)」と呼ばれる装置が搭載されています。

ヴィンセンスもバンダレ・アッバース国際空港を離陸した655便の識別コードを受信し、民間旅客機であることを確認しました。その後、ヴィンセンスのオペレーターは、コントローラーを使ってカーソルを動かし、655便をトラッキングできるように設定する必要があります。しかし、オペレーターは「スレーブ」と呼ばれる、カーソルが目標の航空機を追従するための手順を怠りました。その結果、655便が離陸した後も、離陸した滑走路に対して655便のIFFリクエストを送信し続けていました。

655便の次に滑走路から離陸したのはイラン軍のF-14戦闘機でした。そのため、ヴィンセンスは偶然にもF-14のIFF信号を受信してしまい、残されたカーソルから誤って655便はF-14と誤認され「敵対する可能性あり」との分類に変更されました。

2つ目の欠陥として、レフコウィッツ氏は「イージス戦闘システムがデータを乗組員に報告する方法」を挙げています。

イージス戦闘システムを担当する乗組員には、各自専用のディスプレイが割り当てられ、そこから必要に応じて上級士官や艦長が使用する大型ディスプレイにデータが送信されます。そのため、適切な判断を下すためには、全てのデータを提示するのではなく「どのようなデータを送信すべきか」という割り切りが重要になります。

by U.S. Missile Defense Agency

事件当時、ヴィンセンスの大型ディスプレイに送信されたデータには、追従中の全ての航空機の位置と方位が表示されていたものの、機体の高度が表示されていませんでした。高度は攻撃意思の有無を確認する上で参考になるデータで、航空機が上昇中であれば艦を攻撃する可能性は低く、一方で艦に向けて急降下中の機体があれば、攻撃意思があると見なされます。

655便がヴィンセンスに近づくにつれて、ヴィンセンスの艦長には該当の航空機が上昇中か、あるいは急降下中であるのかを知る必要が生じました。そこで、ヴィンセンスの艦長は該当の機体の高度情報を乗務員に提示するよう求めました。

そこで3つ目の欠陥「追跡番号の割り当て」が発生します。

イージス戦闘システムには、複数の艦船にまたがるセンサーからのデータを統一的に表示する能力を備えています。グループ内の複数の艦船が同じ航空機を追跡した場合、システムは該当の航空機に対し自動的に4桁の追跡番号を割り当てます。また、複数の艦船が同じ航空機を報告した場合、イージス戦闘システムは1つの追跡番号を公式なものとして選択し、残りの番号は使用しないものとして破棄。その後、別の航空機の追跡番号として利用することが可能になります。

今回の事件では、ヴィンセンスは655便に対して追跡番号「4474」を、ヴィンセンスに随行していたミサイルフリゲート・サイズは655便に「4131」という追跡番号を割り当てました。イージス戦闘システムは655便の追跡番号を護衛艦の「4131」に統一し、「4474」を偶然飛行していたアメリカのA-6爆撃機に再利用しました。

しかし、イージス戦闘システムが追跡番号を変更した際、乗組員のスクリーン上には追跡番号が変更されたことを示す警告や表示はなく、ただ追跡番号が変わるだけでした。

追跡番号が変わったことに気づかないヴィンセンスの乗組員は、元の追跡番号「4474」が割り当てられたA-6爆撃機の高度を確認。当時A-6爆撃機は降下中であったため、ヴィンセンスの乗組員は「この航空機はヴィンセンスを攻撃するために降下中のイラン軍の戦闘機」と誤認しました。

その結果ヴィンセンスの艦長は、655便を追跡中のイージス戦闘システムに対して攻撃命令を下し、実際には上昇中だった655便を撃墜してしまったというわけです。

by U.S. Missile Defense Agency

655便撃墜事件を受けて、イージス戦闘システムのユーザーインターフェースは再設計されました。再設計に携わったというあるユーザーはHacker Newsで「事件を受けてアメリカ海軍司令部は、ストレスや認知的負荷の強い環境での意志決定を専門とする認知科学や心理学の教授らと共同で、ユーザーインターフェースの再設計を行いました」と語っています。