737 MAXはどう改修され運航復帰したのか｜MCAS変更・訓練・再認証

2019年3月、二度目の死亡事故を受けて737 MAXは世界中で運航停止となった。米国FAAが運航禁止命令を解除したのは2020年11月18日。約20か月の間、機体は商業運航から外れ、事故調査、設計変更、ソフトウェア検証、飛行試験、シミュレータ評価、乗員訓練の見直し、整備・配線の確認、各国当局による独立審査が行われた。

この復帰を「MCASのソフトウェアを修正した」と一文で表現すると、実際に行われた安全対策を大幅に省略する。事故時の中心的危険経路はMCASにあったが、FAAとEASAは飛行制御システム全体、人間要因、AOA警報、配線、整備、訓練まで範囲を広げた。

改修の基本思想は、単一のAOAセンサー異常が事故時と同じように反復する機首下げトリムへ直結しないこと、MCASがパイロットの操縦能力を奪うほどの権限を持たないこと、異常を乗員が認識しやすいこと、そして乗員が実際の故障シナリオをシミュレータで経験することだった。

CASE BRIEFING

FAAは2019年3月13日に737 MAXの米国内運航を禁止した。以降、ボーイングはMCASと関連システムを変更し、FAAは設計解析、ソフトウェアレビュー、シミュレータ、飛行試験、Joint Operations Evaluation Boardなど複数の工程で検証した。

2020年11月18日、FAAはEmergency Order of Prohibitionをrescissionし、Airworthiness Directive、Flight Standardization Board reportなど必要文書を公表した。ただしこれは「その日から全機が自由に飛べる」という意味ではない。各機について必要なソフトウェア・配線・整備作業を完了し、運航会社が訓練要件を満たし、FAAの要求する手続きを終える必要があった。

EASAはFAAの審査へ参加しつつ、自らも独立した飛行試験とシミュレータ評価を実施した。2021年1月27日、欧州での運航再開を承認し、software、wiring、maintenance、manual、trainingを含むパッケージを義務付けた。

THE QUESTION

grounding後に何が変更され、どの条件で737 MAXは再び飛行可能と判断されたのか。

答えは、一つの修正ではなく、入力の妥当性確認、MCASの権限制限、飛行制御コンピュータ監視、警報、配線、整備、運用手順、シミュレータ訓練、規制当局の独立審査という複数防護層を組み直したことである。

これらの対策は事故時のfailure pathへそれぞれ別の場所で介入する。センサー異常が起きてもMCASへ通さない、通っても出力を制限する、異常を乗員へ知らせる、乗員が手順を実行できるよう訓練する、機体ごとに改修を確認する。安全性は一つの「完璧な部品」ではなく、この重なりで作られた。

1｜左右AOAを比較するようになった

事故時MCASの重要な弱点は、一回の飛行で片側AOAセンサーの値に依存して作動し得たことだった。左右二つのセンサーが存在していても、MCAS作動判断で常時比較して不一致を拒否する構造ではなかった。

改修後はFlight Control Computerが左右AOA入力を比較し、差が一定範囲を超える場合、MCASを作動させない方向へ変更された。これにより一つのセンサーが異常に高い値を出しても、それだけで事故時と同様のMCAS機首下げトリムへ進む経路を遮断する。

この変更は「センサー故障をなくした」わけではない。センサーは今後も故障し得る。フェイルセーフの考え方は、故障ゼロではなく、単一故障が危険な出力へ直結しないことにある。

2｜MCASは同じ高AOA事象で反復作動しないよう制限された

事故時は、パイロットが電動トリムで機首上げ側へ戻しても、異常AOAが残り条件が再成立するとMCASが再び機首下げトリムを指令し得た。JT610ではこの反復が何度も観測され、ET302でも複数回のMCAS関連トリムが事故シーケンスへ入った。

改修後は、一つの高AOA事象に対するMCASの作動を制限し、事故時のように繰り返し機首下げトリムを積み重ねない設計へ変更された。

これは制御ロジック上非常に重要である。異常入力が長時間固定されても、出力を無制限に再実行しない。異常が一つの事故へ拡大する「反復ループ」を切る防護になっている。

3｜MCASの権限も制限された

事故では、水平安定板が機首下げ側へ進むにつれ、パイロットが操縦桿を引いて対抗する力が増えた。したがってMCASが指令できるトリム量と、パイロットのエレベーター権限の関係も重要な設計要件になった。

改修後は、MCASが水平安定板へ与えられる指令量を制限し、パイロットが操縦桿によって機体のピッチを制御する能力を維持するよう設計が見直された。FAAのreturn-to-service reviewは、MCAS変更だけでなく、stabilizer trim systemとpilot authorityを含む統合評価を行った。

安全制御の観点では、これは「自動系が人間を上書きし続けない」という権限設計に相当する。自動化が故障した場合でも、人間が最終的な操縦権限を維持できることを確認する。

4｜Flight Control Computerの監視も強化された

737 MAXはデジタルflight control computerを使用し、MCASを含む飛行制御機能を実行する。運航再開審査では、MCAS単独ロジックだけでなく、コンピュータ間の監視、センサー入力処理、ソフトウェアの安全性が検証された。

FAAは変更されたflight control computer softwareを審査し、故障や不整合が危険な制御出力へ進まないことを評価した。航空機ソフトウェアは一般的なアプリ更新とは異なり、要求、設計、コード、試験結果、構成管理まで厳格に追跡される。

「パッチを当てた」という表現では、こうした検証工程が抜け落ちる。

5｜AOA DISAGREE警報が標準的な防護へ組み込まれた

事故前、AOA DISAGREE alertはすべての737 MAXで期待どおり表示されないソフトウェア上の問題があった。左右AOAが大きく異なることは、センサー異常を乗員が把握するうえで重要な情報である。

改修ではAOA DISAGREE表示を利用可能にし、左右センサーの不一致を乗員へ知らせる防護が整備された。これはMCAS自体を止める入力比較とは別の層である。

入力比較は自動制御側で異常を封じる。AOA DISAGREEは人間へ異常を知らせる。同じセンサー故障に対し、自動系と人間系の二つの防護を置く構造になっている。

6｜配線まで改修対象になった理由

EASAは737 MAX全体のflight control systemを独自にレビューし、MCASだけでなく水平安定板トリム関連の配線配置も問題として扱った。最終的な欧州ADでは、コックピットからstabilizer trim motorへ至る特定配線の物理的分離なども要求された。

これは二事故で配線短絡が原因だったという意味ではない。事故調査とは別に、return-to-service reviewを機会として、関連システムに潜在する別のsingle failure riskも確認した結果である。

運航再開審査が「事故原因の修理」だけでなく、「同じ機能領域に他の危険な単一故障がないか」まで広げられた例といえる。

7｜パイロット訓練はシミュレータを含む形へ変わった

事故前の737 MAX差分訓練では、多くのパイロットがMCASの詳細を学ばず、タブレット等による差分教育で移行できる場合があった。事故後、FAAと各国当局はMAX固有の飛行制御変更と異常対応を訓練へ組み込んだ。

EASAは、737 MAXの全パイロットに一度限りの特別訓練としてシミュレータを含む訓練を義務付け、その後のinitial/recurrent trainingにも反映させた。FAAのFlight Standardization Boardも訓練要件を改訂した。

ここで重要なのは、訓練がMCASという用語を暗記することではない。AOA異常、複数警報、stabilizer trim、速度管理など、実際のfailure scenarioで機体を制御する能力を確認することにある。

8｜運航マニュアルと手順も更新された

事故後、flight manual、checklist、operational proceduresにはMCASと関連異常への情報が追加・改訂された。事故前の設計思想では、MCASは既存737の操縦に新しい乗員手順をほぼ要求しない機能として扱われていた。

二事故は、その前提では異常時の理解が不十分になることを示した。改修後はシステムの存在、故障時の挙動、関連警報、手順を乗員が明示的に理解する方向へ変わった。

これは「ソフトウェアを安全にする」だけでなく、human-machine interfaceを再設計する一部である。

9｜各機は整備・検査を終えなければ戻れなかった

FAAが2020年11月18日にgrounding orderを解除しても、航空会社の737 MAXが同日一斉に営業運航へ戻ったわけではない。各機はFAA ADが要求するソフトウェア更新、配線作業、整備・試験などを完了する必要があった。

長期間保管された航空機は、通常の整備状態とは異なる。運航復帰には保管解除に伴う点検も必要である。EASAは各機について、必要変更の実装と長期保管からの復帰を確認するため、旅客を乗せないoperational readiness flightも要求した。

つまりreturn to serviceは「型式として安全性が確認された日」と「個々の機体が営業便へ戻る日」を分ける必要がある。

10｜FAAは約20か月、何を再審査したのか

FAAのreturn-to-service summaryは、二事故後の審査がMCASだけに限定されなかったことを示している。設計変更、software、system safety assessment、pilot training、maintenance、operational proceduresなどが対象になった。

FAA Administrator自身も改修後MAXを操縦し、国際当局と協力して審査を進めた。さらにFAAは、一定期間、個々のMAXのairworthiness certificate発行を自ら行うなど、通常以上の直接関与を維持した。

2020年11月18日の措置は「安全だと宣言した」というより、規制上必要と判断した変更・訓練・整備条件を満たせば運航へ戻せるという判断である。

11｜EASAは独自審査を行った

EASAは設計国当局であるFAAの審査へ参加しながら、独自のflight testsとsimulator sessionsを行った。EASAは、FAAやBoeingの結論へ自動的に依存せず、自らの四つのreturn-to-service条件が満たされたかを評価したと公表している。

EASAが2021年1月に示したパッケージには、flight control software、AOA disagree alert、wiring separation、manual updates、pilot training、AOA system tests、operational readiness flightが含まれる。

この範囲を見ると、737 MAX復帰が「アメリカでOKになったから欧州も追認した」という単純な流れでなかったことが分かる。主要当局は協力しながらも、それぞれの法的責任で判断した。

12｜改修後も「安全は監視で維持される」

航空機の認証は、ある日を境に安全性が永久固定される仕組みではない。運航開始後も故障報告、service difficulty、incident、maintenance dataなどを監視し、必要ならADや設計変更を追加する。

EASAも運航再開時に、737 MAXの運航を継続監視すると明言した。FAAも同様に運航データと安全情報を監視する。

これは事故前にも存在した制度だが、737 MAX事故は「認証時に想定した安全性」と「運航現場で得られる新しい証拠」を結び付ける重要性を改めて示した。

13｜2024年のMAX 9ドアプラグ事案とは分ける

737 MAXという名称から、2024年1月のAlaska Airlines 737-9のdoor plug脱落事案を二事故のMCAS問題と同じ系列として混同しやすい。しかしこれは別の安全問題である。

機種系列は同じでも、MCASのAOA/flight-control failure pathと、door plugの製造・品質管理・構造に関する問題は技術的に異なる。本CASEの範囲はJT610・ET302と、それに対応した2019–2021年のgrounding/return-to-serviceである。

後年別問題が発生したことを理由に「MCAS改修は無意味だった」とするのも、逆にMCAS改修が完了したから「MAX全体の安全課題は終わった」とするのも不適切である。安全問題はfailure modeごとに分けて評価する必要がある。

14｜事故前と事故後の防護層を比較する

事故前仕様と改修後仕様を防護層で比べると、違いが明確になる。

事故前

MCAS作動判定が一方のAOA入力に依存し得る。
異常AOAが続けば反復作動し得る。
MCAS権限が事故時に大きなトリム影響を与え得る。
多くの乗員がMCASの詳細を通常訓練で扱っていない。
AOA DISAGREEが期待どおり全機で表示されない問題があった。

改修後

左右AOAを比較し、大きな不一致ではMCASを抑止。
一つの高AOA事象でのMCAS作動を制限。
パイロットの操縦権限を維持するようMCAS出力を制約。
AOA DISAGREE表示を含む異常情報を改善。
シミュレータを含むMAX固有訓練を実施。
配線・整備・運用手順まで改修パッケージへ含める。

一つの防護層が完璧になったのではなく、複数の層が同じ単一故障の連鎖を別々の場所で遮断するよう再構成された。

EVIDENCE STATUS｜「安全になった」をどう検証するか

運航再開時の規制判断は、将来事故が絶対に起きないという保証ではない。認証当局が判断するのは、変更後設計が適用基準を満たし、特定されたunsafe conditionが必要な対策で是正されたかである。したがって「FAAが安全宣言したから絶対安全」「事故歴があるから永遠に危険」という二つの極端を避ける必要がある。

改修後MAXの評価で見るべきなのは、事故failure pathが同じ単一故障から再現できるかである。左右AOA不一致でMCASを抑止し、作動しても反復・権限を制限し、パイロット操縦権限を維持する。さらに警報・訓練・整備を加える。この多層性が、事故時仕様との決定的な差になる。

同じ故障を複数の層で止める意味

たとえば一方のAOAセンサーが異常高値を出した場合、改修後は第一に左右比較でMCAS作動を止める。もし比較機能の別故障などで自動機能が作動しても、出力権限・回数の制限が第二層になる。乗員にはAOA不一致などの情報が与えられ、訓練された手順が第三層になる。

安全工学では、独立性のある防護層を重ねることで、一つの防護の失敗が即事故にならないようにする。737 MAXのreturn-to-service packageは、まさに事故時に不足していた独立性を増やす方向だった。

FAAとEASAで完全に同じ要求だったわけではない

FAAとEASAは協力したが、審査の法的主体は別で、EASAは独自の追加評価・要求を行った。配線配置、training、operational readiness flightなど、欧州ADの具体的要求はEASAの判断として適用された。

この違いは「どちらかが正しい」という対立ではない。国際航空では設計国当局の認証を基礎に相互承認を行いつつ、各当局が自国・地域の法令に基づき追加条件を課すことがある。MAXでは事故の重大性から、その独立審査が特に可視化された。

改修後の安全性を支えるのは継続監視

return to serviceはプロジェクトの終点ではなく、運航データ収集の再開点でもある。実機で多数の飛行時間が積み上がれば、認証試験では見えなかった故障傾向やmaintenance issueが現れる可能性がある。そこでservice difficulty report、incident、AD、manufacturer bulletinなどによる継続監視が必要になる。

737 MAX問題が残した制度的教訓の一つは、認証時の安全モデルを運航実績で更新することの重要性である。事故前の安全評価が実運航の複雑さを十分表さなかった部分を、今後はデータで早期検出しなければならない。

運航復帰後の確認ポイント｜改修は「同じ事故経路」を断てているか

改修の有効性を考えるとき、最も直接的な問いは「JT610/ET302と同じ単一AOA異常から、同じMCAS反復トリムが再現できるか」である。改修後は左右AOA比較が最初の遮断点になり、仮にMCASが作動しても反復・権限制限が次の遮断点になる。さらにパイロット側には警報と訓練がある。事故時のように一つの異常入力が長く通過し続ける経路は複数箇所で切られている。

この観点は、単に「改修項目が多い」ことより重要である。各改修が同じhazardへ独立した防護として効いているかを確認することで、設計の多層性を評価できる。

乗員訓練を設計変更の一部として扱う理由

航空機の安全性は機体だけで完結しない。運用手順と訓練が型式設計の使用条件を構成する。特にstabilizer trim異常のように人間の迅速な介入を期待する場合、訓練は単なる付帯サービスではなく、安全ケースの一部になる。

MAX復帰でシミュレータ訓練が重視されたのは、事故前に机上の差分教育で済ませていた範囲を見直し、複数警報とtrim異常を実際の操縦負荷として経験させるためである。これにより「手順を読んだことがある」状態から「時間圧のある状況で操作できる」状態へ近づける。

結論｜737 MAXは「MCAS修正」ではなく、多層防護を再構成して戻った

737 MAXの運航復帰は、事故時MCASのコードを部分修正しただけでは成立しなかった。左右AOA比較、反復作動制限、出力権限制限、flight control computer監視、AOA DISAGREE、配線、マニュアル、整備、シミュレータ訓練という複数の対策が組み合わされた。

FAAは約20か月の再審査を経て2020年11月18日に米国のgrounding orderを解除した。EASAは独自試験を含む評価を行い、2021年1月に欧州でのreturn to serviceを承認した。いずれも、各機・各運航者が必要作業を完了することを条件としている。

二事故から得られる最も一般化可能な教訓は、複雑な安全システムを一つの装置・一人の操縦士・一つの組織の失敗だけで説明しないことである。単一センサー故障が破局へ進まない入力設計、自動系の権限、明確な警報、人間の現実的能力を反映した安全評価、独立した認証監督、運航後の監視が重なって初めて防護になる。

737 MAXは、その複数層が十分に機能しなかったために二つの事故を経験し、その複数層を作り直すことで運航へ戻った。この「事故→grounding→再設計→再認証」という過程まで含めて初めて、CASE087の全体像が完結する。

FACT CHECK｜出典・参考資料

Federal Aviation Administration, *Summary of the FAA’s Review of the Boeing 737 MAX — Return to Service*, 2020-11-18. https://www.faa.gov/sites/faa.gov/files/2022-08/737_RTS_Summary.pdf
Federal Aviation Administration, *FAA Updates on Boeing 737 MAX*, 2019–2021. https://www.faa.gov/newsroom/faa-updates-boeing-737-max-0
European Union Aviation Safety Agency, *EASA declares Boeing 737 MAX safe to return to service in Europe*, 2021-01-27. https://www.easa.europa.eu/en/newsroom-and-events/press-releases/easa-declares-boeing-737-max-safe-return-service-europe
European Union Aviation Safety Agency, *Airworthiness Directive 2021-0039R2 — Return to Service*, 2021-02-17. https://ad.easa.europa.eu/ad/2021-0039R2
Joint Authorities Technical Review / FAA, *Boeing 737 MAX Flight Control System: Observations, Findings, and Recommendations*, 2019-10-11. https://www.faa.gov/newsroom/finaljatrsubmittaltofaaoct2019

RCF検証ノート

本稿はFAAのreturn-to-service reviewとEASAのAD・公式説明を主軸に、改修項目をMCAS単独ではなく多層対策として検証した。左右AOA比較、MCAS作動制限、訓練、配線、整備について公的資料で確認した。2024年737-9 door-plug事案は同じMAX系列でもfailure modeが異なるため、本CASEの事故因果へ混入させていない。運航再開日は型式レベルの規制判断と個別機の営業復帰日を区別した。

最終確認：2026年9月20日

END ARTICLE 08 / 08

RELATED FILES

CASE087-01｜二つの事故と世界的grounding――CASE全体の俯瞰
CASE087-03｜事故時MCAS――改修前のfailure path
CASE087-07｜FAA・ODA・安全評価――再認証の制度背景

Boeing 737 MAX――二つの事故と世界的運航停止第8回全8回 全8回を見る

737 MAXはどう改修され運航復帰したのかMCAS変更・訓練・再認証