MCASは何をしていたのか｜AOAセンサーと水平安定板の仕組み

MCASを「機首を勝手に下げるソフト」とだけ理解すると、737 MAX事故の制御系を正しく捉えられない。事故で起きたのは、センサー入力、飛行制御コンピュータ、水平安定板トリム、パイロットの電動トリム、操縦桿、cutout switchが相互に関係する一連の挙動だった。どこか一つだけを切り取ると、なぜ乗員が一時的に機首を戻せたのに再び機首下げが生じたのか、なぜ前便は着陸できたのに事故便では回復できなかったのかが分からない。

MCASはManeuvering Characteristics Augmentation Systemの略で、737 MAXの特定飛行条件における操縦特性を整えるための機能だった。事故時仕様では、手動飛行、自動操縦OFF、フラップ格納、AOAがMachに応じたしきい値を超えるという条件が揃うと作動し、水平安定板をaircraft-nose-down、機首下げ方向へ動かした。

ここで最も重要なのは、MCASが「機体の本当の迎角」を直接知っていたわけではないことである。システムが知るのはセンサーが出す値だけだ。センサーが故障や誤校正で高いAOAを出せば、実際には失速に近づいていなくても条件が成立し得る。事故はこの入力依存性と、そこから先の制御権限が組み合わさったとき何が起きるかを示した。

CASE BRIEFING

737 MAXには左右二つのAOAセンサーがあり、機首付近のベーンが気流に対する機体の角度を検出する。AOAは失速余裕や警報などに関係する重要な量だが、通常のパイロットが直接AOA値を見ながら飛行することが主目的のセンサーではない。複数システムがこの情報を利用する。

事故時MCASは、一度の飛行で片側AOAセンサーの値を作動判定に使う構造だった。左右を比較して不一致なら作動禁止するというロジックは事故時仕様にはなかった。そのため選択された側のAOA値が異常に高ければ、MCASはそれを実際の高迎角として扱い得た。

MCASの出力先はエレベーターではなく水平安定板トリムである。737の尾翼では、パイロットが操縦桿で動かすエレベーターと、水平安定板全体の角度を変えるトリムが別の役割を持つ。水平安定板が大きく機首下げ側へトリムされると、パイロットは操縦桿を引いてエレベーターで対抗しても、大きな操舵力を必要とするようになる。

THE QUESTION

MCASはどの入力を使い、何を動かし、故障時にどのような制御ループを作ったのか。

事故時の基本経路は、AOAセンサー → Flight Control Computer → MCAS作動判定 → stabilizer trim motor → 水平安定板の機首下げトリムである。パイロットは操縦桿によるエレベーター操作、操縦桿上の電動トリムスイッチ、そしてセンターペデスタルのstabilizer trim cutout switchを使って介入できた。

ところがMCASは、パイロットが電動トリムで機首上げ側へ戻した後でも、異常な高AOA入力が続き条件が再成立すると再び作動し得た。この「戻す→再作動→また戻す」という反復が事故時の重要な特徴だった。

1｜AOAセンサーは何を測るのか

Angle of Attack、迎角は、翼や機体が相対風に対してどの角度で向いているかを表す。迎角が増えると一般に揚力は増えるが、一定範囲を超えると翼上面の流れが大きく剥離し、失速へ近づく。したがってAOAは飛行安全上重要な状態量である。

737 MAXの機首左右にはAOAベーンがあり、外気流に応じて向きを変え、その角度を電気信号として機内システムへ送る。左右二つがあるのは、単に表示を二系統にするためだけではない。航空機ではセンサー故障を前提にし、複数情報を比較したり、異常を検知したりすることが安全設計上重要になる。

JT610事故機では左側AOAセンサーが実際より大きく外れた値を出していた。ET302でも離陸直後から左右AOAに大きな差が生じた。これによりスティックシェーカー、速度・高度表示差など複数の異常が生じた。つまりAOAの誤入力はMCASだけへ影響したわけではない。

2｜MCASが作動する条件

事故当時のMCASは常時作動していたわけではない。NTSB資料では、手動飛行、自動操縦未接続、フラップ格納、AOAがMach数に応じたしきい値を超える場合に作動するよう設計されていたと説明されている。

この条件はMCASの目的と対応する。通常の離着陸でフラップを使用しているときや、自動操縦が機体を制御しているときに常時介入する機能ではない。特定の手動飛行領域で操縦特性を補強するための機能だった。

問題は、AOAが「本当に高い」かどうかをMCAS自身が独立判断していなかったことにある。事故時仕様では、一方のAOAセンサーから高い値が来れば、その値がしきい値を超えたという条件だけでMCASが作動し得た。左右差が大きいことを理由にMCASを禁止する事故後仕様の防護はまだ存在しなかった。

3｜水平安定板とエレベーターは何が違うのか

機体のピッチ、つまり機首上げ・機首下げを制御する尾翼には、水平安定板とエレベーターがある。エレベーターはパイロットの操縦桿操作に応じて比較的素早く動き、ピッチ姿勢を制御する。一方、水平安定板全体の角度を変えるトリムは、継続的に必要な操舵力を減らし、機体を釣り合わせるために使われる。

この二つが逆方向へ働く状況を考えると重要性が分かる。水平安定板が機首下げ側へ大きくトリムされた状態で、パイロットが操縦桿を引いてエレベーターを機首上げ方向へ使えば、一定範囲では対抗できる。しかしトリム量が増えるほど、操縦桿に必要な力が増え、エレベーターだけで対抗し続けるのは難しくなる。

したがって事故時の核心は「MCASがエレベーターを奪った」ことではない。水平安定板のトリム位置を機首下げ側へ動かし、その結果としてパイロットがエレベーターで対抗するために必要な力と余裕を悪化させたことである。

4｜パイロットの電動トリムはMCASを止められた

パイロットは操縦桿上のトリムスイッチを使い、水平安定板を電動で機首上げまたは機首下げ方向へ動かせる。事故時MCASが作動している最中でも、パイロットが電動トリムを入力すればMCASのトリム指令を止め、逆方向へ戻すことができた。

JT610のFDRでは、MCASによる機首下げトリムと、乗員による機首上げ電動トリムが何度も交互に現れた。これは乗員がまったく機体へ介入できなかったわけではないことを示す。同時に、異常なAOA入力が残る限り、一定条件後にMCASが再作動し、再び機首下げトリムを加えた。

この反復性が危険を増幅した。一回の誤作動なら、乗員が戻した後に状態を整理できる可能性がある。しかし戻しても再び同じ方向へ自動トリムされると、乗員は「何がこの動きを起こしているのか」を診断しながら継続して対抗しなければならない。

5｜cutout switchは何を切るのか

737のセンターペデスタルにはstabilizer trim cutout switchがあり、電動による水平安定板トリムを切り離すために使える。runaway stabilizer手順では、意図しない連続トリムが止まらない場合にこのスイッチをCUTOUT側へ移すことが重要な対応となる。

JT610の前便では、乗員がcutout switchを使用し、電動トリムを止めて飛行を継続し着陸した。この事実から「事故便も同じ操作をすれば簡単に助かった」と結論づけるのは慎重であるべきだが、cutoutが機能上重要な防護だったことは明らかである。

ET302では乗員がcutout switchをCUTOUTへ移した。しかしその後も機体は高速となり、手動トリムホイールを回して水平安定板を十分に戻すことが難しい状態になった。最終的にスイッチはNORMAL側へ戻され、その後電動トリムが再び機首下げ方向へ動いた。NTSBはこの一連の行動と、推力・速度・手動電動トリムの使い方を人間性能の観点から分析すべきだと指摘している。

つまりcutout switchは「押せばすべて解決する非常ボタン」ではない。切れば電動トリムは止まるが、その時点の水平安定板位置が不利なら、パイロットは手動でトリムを戻す必要がある。速度が高いと空気力が大きくなり、手動ホイールを回す力も大きくなり得る。

6｜なぜ反復作動できたのか

事故時仕様のMCASでは、一回の作動後にAOAがしきい値より下がる、またはパイロットがトリム入力するなどで作動が終わっても、条件が再成立すれば再び作動し得た。異常センサーが高AOAを出し続ける場合、この再判定は危険な反復ループを作る。

制御系の観点で見ると、入力異常が持続しているのに、出力側で一度パイロットが補正しても、システムは入力の正当性を再評価せず同じロジックを再実行する。パイロットの機首上げトリムが「この自動機能は誤っている」という恒久的な拒否信号にはならない。

事故後の改修では、この点が大きく変えられた。左右AOAを比較し、一定以上の不一致がある場合にMCASを抑止すること、一つの高AOA事象に対するMCASの作動を制限すること、パイロットが十分な権限を持てることなどが設計要件に組み込まれた。

7｜「操縦桿を引けば止まる」は半分だけ正しい

一般の説明で誤解されやすいのが、操縦桿とトリムの関係である。パイロットが操縦桿を引けばエレベーターは機首上げ方向へ働き、一定範囲でMCASの機首下げ効果に対抗できる。しかし事故時のMCASによるトリム指令そのものを、操縦桿を引く操作だけで恒久停止できるわけではなかった。

従来の737には、操縦桿を反対方向へ動かすと一部の電動トリムを止めるcolumn cutout機能がある。しかしMCASは特定の条件下でこの通常の保護と同じ動作関係ではなかった。事故後、この点も議論の対象となった。

したがって「パイロットはただ操縦桿を引けばよかった」という説明は不正確である。エレベーターで姿勢を保ちつつ、トリム位置を適切に戻し、必要なら電動トリムを切り離すという複数の操作が必要になる。さらに事故時には警報と表示不一致が同時に起き、パイロットは原因診断も並行して行っていた。

8｜複数警報が制御系の理解を難しくした

AOAセンサーの異常はMCASだけの問題ではなかった。JT610とET302ではスティックシェーカー、速度・高度の不一致、その他の表示異常が乗員へ現れた。人間は一つの明確な警告に反応するより、複数の矛盾する情報から何が根本故障かを推定するときに認知負荷が高くなる。

NTSBは2019年の安全勧告で、航空機のシステム安全評価が、複数の警報・表示と、それらがパイロット性能へ及ぼす影響をより現実的に考慮すべきだとした。ここでの論点は、パイロットが訓練不足だったかどうかだけではない。設計・認証側が「一定時間内に正しい行動を取る」と仮定するなら、その前提が実際の警報環境でも成立するかを評価する必要がある。

制御工学でいうフィードバック系に人間を含めるなら、人間は理想的な遅延ゼロの制御器ではない。表示を認識し、故障候補を絞り、手順を想起し、他の乗員と役割分担し、機体姿勢・速度を保ちながら操作する。その時間と誤認可能性を無視できない。

9｜事故後MCASはどう変わったか

FAAのreturn-to-service reviewとEASAの要件では、MCASの入力と出力の両方に防護が追加された。左右二つのAOAセンサー値をFlight Control Computerが比較し、差が大きければMCASを抑止する。単一の異常入力がそのまま事故時と同様のMCAS作動へ進む経路を遮断した。

またMCASの作動は、一つの高AOA事象に対して繰り返し機首下げトリムを積み重ねる事故時の挙動から変更された。システムが指令できるトリム量にも制約が設けられ、パイロットが操縦桿で機体を制御する能力を維持するよう再設計された。

さらにAOA DISAGREE警報、飛行制御コンピュータの監視、配線、手順、シミュレータ訓練などもパッケージとして改修された。EASAが「complete package」と表現したように、MCASコードの一箇所だけを修正したのではない。

10｜制御システムとして見た事故経路

事故時の経路をPLCや制御系に近い考え方で簡略化すると、次のように整理できる。

Input：AOAセンサーが実際より高い値を出す。
Condition：手動飛行、フラップ格納、AOAしきい値超過などのMCAS条件が成立する。
Logic：Flight Control Computer内のMCASが作動を決定する。
Output：stabilizer trim motorが水平安定板を機首下げ側へ動かす。
Human feedback：パイロットが操縦桿と電動トリムで機首上げ側へ対抗する。
Reset/retrigger：異常AOAが残り、再作動条件が成立する。
Accumulation：機首下げトリムが再び加わり、操縦力・作業負荷が増える。
Isolation option：cutout switchで電動トリムを切り離す。
Residual state：切り離した時点のトリム位置と速度によって、手動トリムの困難さが変わる。

この整理で分かるのは、事故が一つの「誤出力」ではなく、異常入力が持続する状態で自動制御と人間の補正が競合するループだったことだ。

11｜フェイルセーフの観点で何が不足していたのか

単一センサーが故障しても、危険な制御出力へ直結しないことは安全制御の基本的な考え方である。航空機ではシステムごとに許容される故障確率や冗長性設計は異なり、単純に「二重化すればよい」とは限らない。しかし、故障が重大なハザードへつながるなら、入力妥当性、クロスチェック、出力権限、異常時の抑止、乗員への明確な告知などの防護が必要になる。

事故時MCASでは、単一AOA入力、反復可能な作動、乗員対応を重要な防護として置く安全評価が組み合わさっていた。事故後は、入力比較、出力制限、作動回数制限、監視、訓練という複数層へ分散させる方向で改修された。

この違いはフェイルセーフ設計の本質に近い。故障を「起こさない」だけではなく、起きても危険側へ一方向に連鎖しにくくする。さらに人間が介入するなら、異常を認識しやすく、操作が一貫して有効である必要がある。

EVIDENCE STATUS｜MCASをPLC的に見ると何が危険だったのか

産業制御に置き換えるなら、事故時MCASには「一つのアナログ入力を重要インターロック条件へ使い、その入力異常を独立クロスチェックせず、条件が残る限り強いアクチュエータ出力を再要求し得る」性質があったと考えると理解しやすい。ただし航空機では、パイロットが別系統のフィードバック制御器として介入するため、純粋な自動制御だけで閉じたループではない。

安全設計上の論点は、入力異常を検出できないこと、出力権限が大きいこと、再トリガできること、人間の介入を前提にしていることが同時に存在した点にある。一つずつなら許容可能でも、組み合わせると単一故障から危険な連鎖が成立する。この「組合せ故障」はFMEAだけでなくsystem-level hazard analysisが必要になる典型である。

インターロックとしての左右AOA比較

改修後の左右AOA比較は、単純化すればMCAS出力許可に対するpermissive条件の追加とみなせる。二つの入力が大きく不一致なら、どちらが正しいかを無理に多数決せず、MCASという自動出力を禁止する。センサーが二つしかないため真値を特定できなくても、安全側へ機能を退避させる考え方である。

これはフェイルセーフ設計でよくある「異常時は高度な自動機能を失っても、基本操縦能力を残す」という戦略に近い。MCASが使えなくなっても通常の飛行制御そのものが失われるわけではないので、誤作動より機能停止を選べる。

出力制限という第二の防護

入力比較だけでは完全ではない。二つのセンサーが同時に似た誤りを出す可能性、比較ロジック自体の故障などを考えれば、出力側にも制限が必要になる。改修後MCASで権限・作動回数を制限したのは、そのための第二層と見られる。

安全系で重要なのは「一つの防護が失敗したら終わり」にしないことである。入力妥当性、ロジック、出力リミット、人間のoverride、警報、訓練が直列に重なれば、どこか一つの不具合が直ちに事故へ到達しにくくなる。737 MAX改修はまさにこの多層化だった。

技術補足｜stabilizer trimは「姿勢指令」ではなく釣り合いを変える

水平安定板トリムを理解する際、MCASが「機首角度を何度にしろ」と直接姿勢を指令する制御だと考えると誤解しやすい。MCASが動かすのはstabilizer trimであり、尾翼が作る力の釣り合いを変える。その結果、操縦桿を中立に近づけたときに機首が下がる傾向や、操縦桿を引くために必要な力が変わる。パイロットはエレベーターで瞬間的に対抗できるが、トリムが大きくずれていると継続的な操舵力が必要になる。

この違いは、事故終盤に高速化すると問題が悪化した理由にも関係する。速度が上がれば尾翼に働く空気力も増え、ミストリム状態で必要な操舵力や手動トリムホイールの負荷が大きくなる。したがって同じstabilizer角度でも、低速時と高速時では回復の難しさが同じではない。

技術補足｜なぜ「センサー三つで多数決」にしなかったのか

事故後に左右二つのAOAを比較する設計へ変わったため、「最初から三つのAOAセンサーを載せて多数決にすればよかった」という疑問も出る。三重化は強力な手段だが、重量、配線、電源、共通原因故障、整備、既存機体との設計互換性などのコストがある。重要なのは、必要な安全性をどのアーキテクチャで達成するかであり、必ず三重化が唯一解ではない。

改修後MAXでは、二つのAOAが大きく違えば高度な自動機能であるMCASを停止し、基本操縦を残す設計を選んだ。これは「どちらが正しいか決める」より「不一致時は危険な自動判断をしない」フェイルセーフ志向である。

技術補足｜単一AOA入力が「単一点故障」になる条件

センサーが一個であること自体が直ちに危険なのではない。重要なのは、その一入力の誤りがどこまで検出されず、どの出力権限へ到達できるかである。事故時MCASでは、使用側AOAの誤値が作動条件を満たすと、独立した第二AOAとの比較で拒否される経路がなく、stabilizer trimという大きな操縦影響へ到達できた。したがって安全解析では「AOAセンサー故障率」だけでなく、誤入力検出、出力制限、乗員への表示、手動overrideまで含むend-to-endのfailure pathを見る必要がある。

結論｜MCAS事故は「センサー誤り→ソフト暴走」より長い制御ループだった

MCASはAOA入力を使い、特定条件で水平安定板を機首下げ方向へトリムする機能だった。事故時仕様では片側AOA入力を作動判定に用い、誤った高AOAが入ると意図しない作動が起き得た。パイロットは電動トリムで対抗できたが、異常入力が残ればMCASは再作動し得た。cutout switchで電動トリムを止めることはできたが、その時点の機体速度やトリム位置次第では手動回復が難しくなる。

したがって、事故は「センサーが壊れた」「ソフトが暴走した」「パイロットが止められなかった」のどれか一つではない。入力故障、ロジック、出力権限、再作動、人間の補正、警報、速度・空気力が一つの時間軸上で相互作用した。

次の記事では、この抽象化をJT610の実際の時系列へ戻す。事故機の前便で何が起き、どの整備が行われ、事故便でMCASと乗員操作がどのように繰り返されたのかをKNKT最終報告に沿って追う。

FACT CHECK｜出典・参考資料

National Transportation Safety Board, *Assumptions Used in the Safety Assessment Process and the Effects of Multiple Alerts and Indications on Pilot Performance*, 2019-09-26. https://www.ntsb.gov/investigations/accidentreports/reports/asr1901.pdf
Komite Nasional Keselamatan Transportasi (KNKT), *Final Aircraft Accident Investigation Report: PT. Lion Mentari Airlines Flight JT610, Boeing 737-8 (MAX), PK-LQP*, 2019-10-25. https://knkt.go.id/Repo/Files/Laporan/Penerbangan/2018/KNKT.18.10.33.04-Final-Report.pdf
Joint Authorities Technical Review / FAA, *Boeing 737 MAX Flight Control System: Observations, Findings, and Recommendations*, 2019-10-11. https://www.faa.gov/newsroom/finaljatrsubmittaltofaaoct2019
Federal Aviation Administration, *Summary of the FAA’s Review of the Boeing 737 MAX — Return to Service*, 2020-11-18. https://www.faa.gov/sites/faa.gov/files/2022-08/737_RTS_Summary.pdf
European Union Aviation Safety Agency, *EASA declares Boeing 737 MAX safe to return to service in Europe*, 2021-01-27. https://www.easa.europa.eu/en/newsroom-and-events/press-releases/easa-declares-boeing-737-max-safe-return-service-europe

RCF検証ノート

本稿ではMCASを自動操縦装置・失速防止装置と誤認させないことを優先し、NTSBとKNKTの技術記述を基礎にした。事故時MCASの入力、作動条件、水平安定板トリム、パイロット電動トリム、cutout switchの関係を相互作用として整理した。ET302の乗員操作についてはEAIBとNTSBの評価差があるため、乗員が特定操作をしなかったことを独自の「事故原因」と断定していない。事故後仕様はFAA/EASAのreturn-to-service資料で再確認した。

最終確認：2026年9月20日

END ARTICLE 03 / 08

NEXT FILE

CASE087-04｜ライオン・エア610便｜最初の737 MAX墜落事故で何が起きたのか

次の記事では、前日の同型機トラブル、AOAセンサー交換、事故便離陸後の警報、MCASの反復作動、乗員の対抗操作を一つの時系列に戻す。

RELATED FILES

CASE087-02｜MCAS導入の設計背景
CASE087-04｜JT610の事故時系列
CASE087-08｜改修後MCASとの比較

Boeing 737 MAX――二つの事故と世界的運航停止第3回全8回 全8回を見る

MCASは何をしていたのかAOAセンサーと水平安定板の仕組み