JT610後、なぜ737 MAXは飛び続けたのか｜警告・緊急AD・情報共有の4か月

2018年10月29日にライオン・エア610便が墜落した後、737 MAXはただちに世界で運航停止になったわけではない。ボーイングは運航会社へbulletinを出し、FAAは11月7日に緊急耐空性改善命令（Emergency Airworthiness Directive）を発行した。それでも機体は運航を続け、約4か月後の2019年3月10日、エチオピア航空302便が墜落した。

この期間だけを見ると、「最初の事故でMCASの危険が分かっていたのに、なぜ飛ばし続けたのか」という疑問が自然に生じる。一方で、「最初の事故では原因がまだ確定していなかったのだから運航継続は当然だった」と片づけるのも粗い。2018年11月時点で、誤ったAOA入力が意図しない機首下げトリムを生じさせ得ることは規制文書で明示されていた。つまり危険経路の一部は既に認識されていた。

問題は、その危険をどの手段で受け止めると判断したかである。設計そのものを即時変更して全機を止めるのではなく、既存のrunaway stabilizer手順を再確認させ、運航情報を追加し、ソフトウェア改修を準備しながら飛行を継続する。2018年11月から2019年3月までの737 MAXは、こうした暫定的リスク管理の下に置かれていた。

CASE BRIEFING

JT610後、FAAとボーイングはAOA異常に関連して意図しない水平安定板トリムが起き得ることを運航者へ通知した。FAAのEmergency AD 2018-23-51は、誤った高AOA入力が反復する機首下げトリムを生じさせ、適切に対処しなければ機体制御喪失につながり得ると警告した。

この時点でMCASというシステム名や機能は、事故以前より広くパイロットへ知られるようになった。ボーイングは運航マニュアルbulletinなどを通じて、意図しない機首下げトリムが発生した場合に既存のrunaway stabilizer non-normal procedureへ従うよう情報を提供した。

一方、事故調査は継続中で、KNKTの最終報告は翌2019年10月まで公表されない。AOAセンサーの校正、整備、MCASの設計・安全評価、認証、警報、乗員行動など事故全体の構造はまだ確定していなかった。

THE QUESTION

JT610後からET302までに、何が判明し、何が対策され、何が未解決のまま残ったのか。

この問いに答えるには、四つに分ける必要がある。

認識された危険：誤AOA入力が意図しない反復機首下げトリムを生じさせ得る。
即時対策：bulletin、Emergency AD、runaway stabilizer手順の再周知。
準備中の恒久対策：MCASソフトウェアや表示・訓練の変更。
残存リスク：設計改修がまだ各機へ実装されず、危険時の最終防護を乗員認識・手順へ大きく依存していた。

この構造を押さえると、「何もしていなかった」と「完全に対策済みだった」のどちらも正しくないことが分かる。

1｜事故直後、FDRが示した反復する機首下げトリム

JT610のFDR回収により、事故機で水平安定板が機首下げ方向へ自動的に動き、それに乗員の機首上げトリムが繰り返し対抗していたことが調査で明らかになった。誤ったAOA入力がMCASを作動させた可能性は、事故後比較的早い段階から重要な焦点になった。

ここで注意すべきなのは、FDRに「MCAS」というラベル付きの一行があるわけではないことである。調査側はセンサー値、トリム指令、操縦入力、システム設計情報を組み合わせて、どのロジックがどの動きを作ったかを解析する。

事故直後には最終的なcontributing factorsの全体像は未確定だったが、「AOA異常と意図しない機首下げトリム」という危険経路は、運航者へ直ちに知らせるべきほど具体的になっていた。

2｜ボーイングの運航情報――既存手順を使うという考え

ボーイングは737 MAX運航者へOperations Manual Bulletinを出し、誤ったAOA入力に関連する意図しない機首下げトリムが発生した場合、既存のrunaway stabilizer手順を用いるよう説明した。

この対策の前提は明確である。MCASの詳細ロジックをその場で診断しなくても、乗員が「意図しないスタビライザー・トリム」と認識し、電動トリムを止め、必要に応じてcutout switchで電動系を切り離せれば危険を管理できるという考え方だ。

前日のJT610事故機が実際にcutoutで着陸していたことも、この考えに一定の現実性を与える。一方、翌日の事故便では同じ防護が成立しなかった。したがって「手順が存在する」ことと「事故時環境で確実に実行できる」ことは同じではない。

3｜FAAのEmergency ADは何を警告したか

2018年11月7日、FAAはEmergency ADを発行した。ADは法的強制力を持つ耐空性指令であり、単なるメーカー推奨文書ではない。FAAは、誤ったAOA入力によって水平安定板が機首下げ方向へ繰り返しトリムされる可能性を説明し、適切に対処されなければ機体制御喪失につながるとした。

ここで「FAAはMCASの危険を知らなかった」とは言えない。少なくともこの時点で、AOA関連の意図しない反復トリムが重大な危険であることは公的文書へ明記された。

しかし同時に、FAAは全737 MAXのgroundingを命じなかった。ADは手順・マニュアルの更新によって危険を緩和可能と判断する枠組みだった。つまり規制当局は、機体を直ちに飛行不能とするのではなく、乗員が既存手順で対応できることを重要な安全層として残した。

4｜「MCASを知らなかった」状態は事故後に変わった

JT610以前、多くの737 MAXパイロットにとってMCASは通常訓練で詳細に扱われる主要システムではなかった。事故後、bulletinとADによってMCASに関連する異常と対応が運航現場へ広く伝わった。

この変化は重要である。ET302乗員は、JT610以前の乗員と同じ情報環境にいたわけではない。エチオピア航空にもボーイングやFAA由来の情報が提供され、NTSBは後のコメントで、運航会社へ複数の文書・連絡が送られたことを具体的に指摘している。

だからET302を「MCASの存在を誰も知らないまま同じ事故が繰り返された」と説明するのは正確ではない。二度目の事故では、MCAS関連の異常について業界全体の知識は増えていた。それでも事故は起きた。ここに、情報提供だけでは十分な防護にならなかったという重い意味がある。

5｜なぜ直ちに全機改修ではなかったのか

航空機で安全上の問題が見つかった場合、規制当局には複数の選択肢がある。飛行を完全に禁止する、運航制限を設ける、検査を義務付ける、部品を交換する、手順変更で暫定的に対応する、一定期限までに設計変更を求める、などである。

どの措置を選ぶかは、故障の発生確率、結果の重大性、検出可能性、既存の防護、改修の準備状況などで決まる。JT610後には、誤作動が起きてもrunaway stabilizer手順で対処できるという防護が重視された。

この判断は、後にNTSBやJATRなどが問題視する「パイロットの迅速な対応を安全評価へどう組み込むか」という論点と直接つながる。人間の操作を防護層として使うこと自体が誤りなのではない。問題は、複数警報が同時に発生する現実の状況で、その対応をどれほど確実な層として評価できるかである。

6｜ソフトウェア変更は計画されていた

JT610後、ボーイングはMCASソフトウェア変更を進めた。事故時仕様の単一AOA入力依存や反復作動などを改める方向で修正作業が行われた。

しかしET302が2019年3月10日に墜落した時点で、その改修は世界の運航中737 MAXへ実装されていなかった。ここが二事故間の期間を理解するうえで重要である。「改修計画が存在した」ことと「事故機へ改修が実装済みだった」ことは別である。

設計変更には開発、検証、認証、ソフトウェア適合性確認、運航者への導入などが必要で、重大システムを数日で書き換えて配布することはできない。それでも、危険度が高いと判断されれば、改修完了まで運航を止める選択肢もある。2018年11月時点ではその判断は採られず、暫定手順で運航が続けられた。

7｜リスク評価と「一件の事故」の重み

商業航空では、単一の全損死亡事故が起きたからといって、同型機が必ず即時groundingされるわけではない。事故原因が個別機の整備、運航環境、テロ、天候など型式共通性の低い要因かもしれず、利用可能な証拠に基づき判断する必要がある。

JT610では新型機の飛行制御機能が事故経路へ関与した可能性が早くから浮上したため、通常以上に重大な問題だった。しかし当時は、既存手順による対応が有効な防護として評価され、同型機を即時停止するほどの「制御不能な共通危険」とまでは規制判断されなかった。

この判断が適切だったかは、後の監査・議会調査・技術レビューで厳しく検討された。ただし歴史記述では、後のET302を知っている現在の視点から「二件目は当然予見できた」と断言するのではなく、当時の証拠とリスク評価の構造を示す必要がある。

8｜2019年3月10日、暫定防護が破れた

ET302では、離陸直後にAOA不一致とスティックシェーカーが発生し、MCASによる機首下げトリムが作動した。乗員は電動トリムで対抗し、cutout switchも使用した。それでも飛行は回復しなかった。

この事実は、JT610後の暫定対策について二つのことを示した。第一に、運航者へ情報が提供され、cutout手順が周知されていても、実際の事故環境では危険を確実に封じ込められない可能性があった。第二に、同じ型式で類似したAOA/MCAS経路を伴う死亡事故が二件発生したことで、「個別事故」ではなく「型式共通の設計問題」というリスク認識が急速に強まった。

これが世界的groundingへつながる。

9｜各国はFAAより先に止め始めた

ET302事故後、中国、欧州など各地の当局・航空会社が737 MAXの運航停止を始めた。FAAは当初、利用可能なデータに基づき継続運航可能との立場を維持したが、追加情報を評価し、2019年3月13日にEmergency Order of Prohibitionを発行して米国内の運航も停止した。

ここは「FAAだけが安全を無視して最後まで飛ばそうとした」という物語にするべきではない。各当局はそれぞれの法的権限とリスク基準で判断し、情報は時間とともに増えた。一方、米国が設計国当局であり、世界最大級の737 MAX運航市場を抱えていたことから、FAAの判断が強く注目されたのも事実である。

groundingは原因確定の宣言ではない。調査が完了するまで「共通の危険が排除されたと確認できない」ことを理由に運航を止める予防措置である。

10｜二事故間の期間が後の認証改革へつながった理由

二事故間の約4か月は、737 MAX問題の制度的評価で重要な期間になった。最初の事故から得られた情報が、メーカー、FAA、運航会社、パイロットへどのように伝わり、どの程度のリスクとして扱われたかを検証できるからである。

DOT OIGや米下院調査は、MCASの安全評価・情報共有・FAAの監督などを検証し、認証プロセス上の弱点を指摘した。JATRも、人間要因、統合システム評価、changed-product ruleの適用、delegationを含む改善を勧告した。

つまり「JT610後に何が行われたか」は単なる事故対応史ではない。最初のシグナルを航空安全システムがどう受け取り、暫定対策をどの程度信頼し、恒久対策までの期間をどう管理したかという、リスク管理のケーススタディになった。

11｜二つの極端な説明を避ける

二事故間をめぐっては、二つの極端な説明がある。

一つは「危険は完全に分かっていたのに、利益のために何もしなかった」という説明。実際にはbulletin、Emergency AD、訓練・マニュアル更新、ソフトウェア改修作業などが行われているため、「何もしなかった」は事実に反する。

もう一つは「原因は何も分かっていなかったから、運航継続に問題はなかった」という説明。これも、FAA ADが誤AOAによる反復機首下げトリムと機体制御喪失リスクを明記していた以上、正確ではない。

事実に近いのは、その中間ではなく、より具体的な記述である。重大な危険経路は認識され、手順ベースの暫定対策が採られ、設計改修は進められていた。しかし恒久改修前の機体は運航を続け、その暫定防護がET302で十分に機能しなかった。

EVIDENCE STATUS｜なぜ「groundingしなかった判断」を一語で評価できないか

規制当局がgroundingを選ぶかどうかは、単に事故の重大さだけで決まらない。型式共通性、故障発生頻度、検出可能性、既存手順の有効性、追加措置によるリスク低減、代替設計の準備状況などを組み合わせて判断する。JT610後、FAAは異常AOAと反復トリムを重大なunsafe conditionとしてADへ記載した一方、既存手順で制御可能と評価し、即時groundingではなく手順改訂を選んだ。

この判断の妥当性は、ET302後の結果を見れば厳しく再検討されるべき対象になった。しかし「FAAが利益を優先したから」と動機だけで説明するには別の証拠が必要である。公的レビューが確認したのは、リスク評価、人間性能仮定、情報共有、認証監督などの具体的な制度上の弱点である。

暫定対策と恒久対策の設計思想

安全対策では、危険を認識してから恒久改修が完了するまでの「暫定状態」をどう管理するかが重要になる。製造設備なら、ソフト改修まで設備停止にする、速度を落とす、追加監視を置く、手動運転へ切り替える、といった選択肢がある。航空機でも同様に、運航停止、運用制限、点検、手順、訓練などを組み合わせる。

737 MAXでは、JT610後の暫定対策は主として「異常時に乗員が既存runaway stabilizer手順を実行する」ことへ依存した。恒久対策としてMCASソフト変更が進められたが、その間も運航は継続された。結果として、暫定対策の信頼性評価が事故後の重要論点になった。

ET302は同じ失敗の単純再現ではない

ET302乗員は、JT610以前より多くの情報を持つ環境にいた。cutout switchも実際に使用した。それでも事故になった。この点は、「情報を出せば危険は管理できる」という想定の限界を示す。

一方でET302では高速化、推力、手動トリム、cutout switchの再投入などJT610と異なるシーケンスもある。したがって二事故を完全に同じ失敗のコピーとみなすこともできない。共通する設計failure pathと、各事故固有の運航・人間要因を分ける必要がある。

二事故間における情報の非対称性

メーカー、FAA、運航会社、個々のパイロットが持っていた情報は同じではない。設計者はMCASの詳細ロジックを知る。規制当局は認証資料を持つ。航空会社はbulletinとADを受け取る。乗員は訓練・マニュアル・運航通知を通じて必要情報を得る。この情報階層で、どこまで詳細を下流へ渡すべきかはhuman factorsと運用設計の問題になる。

JT610後、MCASの存在と対応は以前より明確に伝えられたが、事故時の複雑な警報環境を乗員がどのように認識するかまで情報だけで保証することはできなかった。設計変更なしに説明だけで安全余裕を回復できるかという問題が残った。

時系列補足｜2018年11月から2019年3月までに積み上がった材料

二事故間には、単に時間が経過しただけではなく、調査データ、運航情報、設計変更案、パイロット教育が少しずつ増えていった。事故直後はFDR/CVR解析と残骸調査が中心で、11月には運航者向けbulletinとFAA ADが出た。その後、ボーイングはMCAS変更を準備し、航空会社や当局との技術調整が進んだ。しかし、この間に全世界のMAXへ恒久改修が実装されたわけではない。

この「知識は増えているが、機体の物理的状態は事故時仕様のまま」という非対称性が重要である。乗員側の情報防護は強化されたが、機械側のfailure pathは残った。安全余裕を人間側の改善でどこまで補えるかという判断が、ET302で実地に試されることになった。

リスクコミュニケーションの論点

メーカーから航空会社へ情報を出すだけでは、個々の乗員が同じレベルで理解できるとは限らない。運航会社はbulletinを自社マニュアルや訓練へ落とし込み、パイロットは日々多数の改訂情報を消化する。重大情報ほど、単なる文書配布ではなく、訓練シナリオ・理解確認・手順改訂を通じて定着させる必要がある。

737 MAXでは、事故前にMCASがほぼ意識されない機能だったところから、事故後数週間で緊急に新しい異常対応知識として現場へ追加された。この急激な情報更新が、どの程度実際の操縦技能へ変換されたかもhuman factorsの一部である。

「暫定対策で運航継続」の一般的な難しさ

安全上の不具合が見つかったとき、恒久改修まで全システムを止めると社会的・経済的影響が大きい。一方、暫定対策を選ぶなら、その対策が現場条件でどれほど確実に実行できるかを厳しく見積もる必要がある。手順依存の対策は導入が速いが、人間の認知・訓練・作業負荷のばらつきを含む。

JT610後の判断は、この典型的トレードオフだった。設計改修より早く展開できる手順変更を採用したが、その信頼性評価が二事故後に再検討された。ここから得られる教訓は、暫定対策の存在そのものではなく、その残余リスクを定量・定性的にどう評価し、いつ運航停止へ切り替えるかの基準を持つことである。

判断補足｜Emergency ADが意味したもの

Emergency ADは「安全上の問題が解決した」という証明ではなく、既存機を当面運航するために遵守を義務づける暫定的なリスクコントロールだった。ADで手順を再確認させることと、MCASのfailure pathそのものを設計変更で除去することは安全工学上の層が異なる。したがって二事故間を評価する際は、規制当局が危険を認識していなかったか否かだけでなく、認識した危険に対して選んだmitigationの強度、その有効性を裏付けるhuman-factors前提、恒久改修までの残余リスク管理を分けて検討する必要がある。

結論｜4か月は「無対策」でも「解決済み」でもなかった

JT610後、航空業界はMCAS関連の危険を初めて明示的に共有した。ボーイングはbulletinを発行し、FAAはEmergency ADで反復する機首下げトリムとその対応を義務付けた。したがって二事故間を無対策期間と呼ぶのは正確ではない。

一方、その対策は事故時仕様のMCASを各機から除去・改修するものではなく、主として乗員の認識と既存手順を最後の防護層として利用する暫定策だった。恒久的なソフトウェア変更は準備されていたが、ET302事故時にはまだ実装されていなかった。

二度目の事故は、このリスク管理が十分ではなかったことを現実の結果として突き付けた。次の記事ではET302の飛行シーケンスを追いながら、事故後に公表されたEAIB最終報告と、NTSB・BEAが示した異論を分離する。「公式報告があるから議論は終わった」とも、「異論があるから何も分からない」ともしない。

FACT CHECK｜出典・参考資料

Federal Aviation Administration, *Boeing 737 MAX Reading Room / Grounding and Return-to-Service Records*, 2019–2020. https://www.faa.gov/foia/electronic_reading_room/boeing_reading_room
Federal Aviation Administration, *FAA Updates on Boeing 737 MAX*, 2019–2021. https://www.faa.gov/newsroom/faa-updates-boeing-737-max-0
Komite Nasional Keselamatan Transportasi (KNKT), *Final Aircraft Accident Investigation Report: PT. Lion Mentari Airlines Flight JT610, Boeing 737-8 (MAX), PK-LQP*, 2019-10-25. https://knkt.go.id/Repo/Files/Laporan/Penerbangan/2018/KNKT.18.10.33.04-Final-Report.pdf
U.S. Department of Transportation Office of Inspector General, *Weaknesses in FAA’s Certification and Delegation Processes Hindered Its Oversight of the 737 MAX 8*, 2021-02-23. https://www.oig.dot.gov/library-item/38302
Joint Authorities Technical Review / FAA, *Boeing 737 MAX Flight Control System: Observations, Findings, and Recommendations*, 2019-10-11. https://www.faa.gov/newsroom/finaljatrsubmittaltofaaoct2019
National Transportation Safety Board, *US Comments on Draft Aircraft Accident Investigation Report — Ethiopian Airlines Flight 302*, 2022-03. https://www.ntsb.gov/investigations/Documents/US%20comments%20ET302%20Report%20March%202022.pdf

RCF検証ノート

本稿は、JT610後に「何も対策されなかった」という主張と「危険はまだ何も分かっていなかった」という主張の双方を退け、FAA ADと運航情報に記録された当時の認識を基準にした。ET302乗員が事故前に利用可能だったMCAS関連情報についてはNTSBコメントも照合した。運航継続判断の動機について利益優先などを独自に断定せず、規制措置・暫定防護・未実装の恒久改修という検証可能な事実に限定した。

最終確認：2026年9月20日

END ARTICLE 05 / 08

NEXT FILE

CASE087-06｜エチオピア航空302便｜二度目の墜落事故と最終報告をめぐる争点

次の記事ではET302の飛行データと事故シーケンスを確認し、EAIB最終報告、NTSBコメント、BEAコメントを「同じ結論」に混ぜず、どこが一致しどこが争点なのかを分けて扱う。

RELATED FILES

CASE087-04｜JT610――最初の事故で確認された共通経路
CASE087-06｜ET302――二度目の事故と調査機関間の見解差
CASE087-07｜認証制度――二事故後の制度レビュー

Boeing 737 MAX――二つの事故と世界的運航停止第5回全8回 全8回を見る

JT610後、なぜ737 MAXは飛び続けたのか警告・緊急AD・情報共有の4か月