737-8のMCASの設計変更はどのようなものになるのか – エチオピア航空 302便墜落事故

エチオピア航空の737-8が墜ちた。これを受けて、737-8のMCASの制御則を設計変更するという話がFAAやBoeingなどから公式にリリースされた。いくつかのメディア記事やプレスリリースを読んだ結果、だいたいの設計の変更の内容を理解できたのでそれをまとめておこうと思う。

前回、ライオン・エアの飛行機が墜ちたときに、下記の記事をまとめた。

Boeing 737-8の制御則はなぜ機体を墜落させたか – ライオン・エア610便墜落事故

10月の終わりに、インドネシアでLion Airの飛行機が堕ちた。飛行機が落ちること自体はそれほど珍しい話ではないが、これがピカピカの新しい機体であり、設計自体も最新であった。最新の飛行機が落ちるということは、運行初期に起こる不具合の一環で

salamann.com

ライオン・エアの737-8が墜落してから半年、エチオピア航空の737-8が墜ちた。まだエチオピアの事故調査は継続中である。各国の航空当局は737-8をしばらくの間飛行禁止にしており、飛行データが記録されたフライトレコーダはフランスで解析中である。その一方で、現在までに下記が判明している。

• ライオン・エアとエチオピア航空は同じような飛び方をして墜ちたこと。離陸直後、フラップを上げて上昇中にいきなりダイブを開始している。
• バラバラになった破片から見つかった水平尾翼のスクリューは、通常よりもかなり機首下げ側になっていた。これは、MCASが作動したことを示唆している。

これらのいずれエチオピアの事故調査当局から詳細な報告書が発表されるだろう。それを待たずして、ライオン・エアの機体と同様、何らかの故障によって(高確率で迎角センサの故障によって)、意図しないMCAS作動が起こり、機体がダイブして地面に衝突したというシナリオが濃厚だ。これを受けて、Boeing^[1]https://www.boeing.com/commercial/737max/737-max-update.pageとFAA^[2]https://www.faa.gov/news/updates/?newsId=93206から発表された内容から、MCASがどういうもので、どういうものになるのかを想像してみる。MCASがそもそもどういうメカニズムで働き、何がよくなかったのか。

前回の記事で説明したのように、MCASとは14 CFR 25.201または203という規則を満たすための仕組みである。むかしからの737に新しい大きなエンジンをつけたことによって変化した空力特性を、制御則で抑え込むというタイプのシステムである。また、昔からの737と同じType Ratingを得るために、いままでと同じ操縦特性に仕上げたいという意図もある。

現在の設計

前提として、このMCASはフラップを畳んでいるときのみ作動する。通常、離陸時と着陸時はフラップを展開している。そのため、離陸上昇の途中でフラップをたたみ終わったときに、はじめて作動する条件が揃う。ロジックは単純で、下記の通り。

AoAセンサで計測された値がFlight Control Computerに入る。

AoA —> | FCC | —> Stabilizer Command

AoAがある閾値以下の場合は何も起きない。AoAの値がある閾値を超えると、水平尾翼が毎秒0.27度ずつ動く^[3]https://aviationweek.com/commercial-aviation/boeing-737-max-mcas-explained。AoAの閾値はわからないが、仮に10度だとすると、15度と5度では、下記のようになる。

AoA (5 deg) —> | FCC | —> Stabilizer Command (0 deg)

AoA (15 deg) —> | FCC | —> Stabilizer Command (0.27 deg/s)

上記のようにAoAに応じて水平尾翼が動き、機首を下げる。AoAが閾値を下回れば水平尾翼の動きは止まる。もしくは、最大量である2.5deg動いた場合、動作は停止する。他の止め方としては、水平尾翼を動かすスイッチのいずれかを操作することである。これには3種類の方法がある^[4]https://theaircurrent.com/aviation-safety/what-is-the-boeing-737-max-maneuvering-characteristics-augmentation-system-mcas-jt610/。

• Stab Cutout SwitchをDisableにする
• 操縦輪についているTrim Switchで水平尾翼を動かす
• パイロットの脇にあるトリムコントロールで水平尾翼を動かす

上記で触れたように、本来は14 CFR 25,201/203を満たし、失速を起こすための仕組みであり、通常使われるような飛行領域では関係がない。作動するのは、フラップを上げたまま極端に速度を下げた場合、または高いGをかけて旋回した場合などであり、通常のエアライン運航にはあまり関係がない。

問題はこの仕組みのインプットであるAoAセンサからの値が間違っている場合である。AoAセンサというのは基本的には風見鶏であり、その風が吹く方向を向く。実際のAoAは5度なのに、AoAセンサがFCCに入力するのが15deg(例)であった場合、本来は作動すべきではないのに作動してしまう。悪いことに、このような間違った信号に基づいている場合、最大限である2.5degに達した場合でも、5秒経過するとまた作動してしまう。何回もダイブし続けるのである。さらに、よくないことに、このAoAセンサは片方のセンサしかインプットとして使われない。AoAセンサは機体の右左両側に、1つずつ合計2つついているが、片方が故障したセンサで、かつそのセンサからくる値がインプットとして使われた場合は、もう片方のセンサが正常でも上記のMCAS作動が起きる。

機首下げ側に水平尾翼が動くことで、機体としては地面または海面に速度を上げながら突っ込む形となる。ダイブして速度が上がりきった状態で墜落するため、機体は木っ端微塵となる。そのため、AoA故障によるMCAS作動による事故は、まず生存者が期待できない。

Boeingによる新設計案

Boeingは、ライオン・エアとエチオピア航空の事故を受けて、次のような仕組みを導入しようとしており、FAAの審査中^[5]https://www.seattletimes.com/business/boeing-aerospace/failed-certification-faa-missed-safety-issues-in-the-737-max-system-implicated-in-the-lion-air-crash/^[6]https://www.faa.gov/news/updates/media/CAN_2019_03.pdfである。

1. MCASの繰り返し可動の停止
2. MCASによる水平尾翼作動の限度引き下げ
3. MCASに使われるAoAセンサのデュアル化
4. パイロットが操縦桿を引いている場合、MCAS作動をキャンセル^[7]https://www.boeing.com/commercial/737max/737-max-software-updates.page

上記1は、MCASによる水平尾翼の繰り返し可動の停止である。ライオン・エアの事故報告書によると、一度MCASによる水平尾翼可動が停止しても、また作動してパイロットを苦しめた。もしMCASの可動が1回だけであれば、ライオン・エアの189人の犠牲は出なかったであろう。

上記2は、水平尾翼の可動限度の引き下げである。現在は0.27deg/sで作動し、最大2.5度作動する。この2.5度を引き下げ、たとえば1degまで、などにするという設計変更がこの案だ。737は伝統的にエレベータ(水平尾翼の後ろについている)が小さく、水平尾翼が大きく動いてしまうとパイロットの操縦桿による操縦では太刀打ちが難しくなる。これにより、もしAoA故障でMCASにより水平尾翼が動いてしまっても、操縦桿でMCASと戦う余地が生まれるようになる。

上記3は、現在1つのセンサのみからの入力に頼っているMCASを、左右両側のAoAセンサを常に使うようにするというやり方である。いまの仕組みでは、故障が1つ起きただけで機体全損・生存者なしという事故になる。これは規則上も許容されないため、左右どちらかのAoAセンサが生きていれば、MCAS作動が間違っておきないようになる。

上記4は、Boeingの公式発表で判明した設計変更である。ライオン・エアのパイロットは、操縦桿を引いてMCASと戦っていた（エレベータで水平尾翼と戦っていた）。発表によれば、操縦桿によるパイロット操縦がMCASをオーバーライドするようになるとのこと。この仕組みはやや謎で、常に操縦桿によるエレベータ作動が勝つようになると、結局25.201/203を満たせなくなる。なので、なにかうまい理屈があるのだろう。

まとめ

現在のMCAS設計および設計変更案を書いてきた。この事故について主にいま思うことはいくつかある。今後、気が向いたらこれに関する記事を書こうと思う。たとえば下記。

• なぜAoAの冗長系ははじめから設定されなかったのか
• 機体を安全にするために作られたはずの規制を満たすための仕組みで飛行機が墜ちた矛盾

なにかこの記事に意見や質問、ミスがあったら、コメントでお知らせください。

ちなみにこの記事はUnitedのA320に乗っている間に書かれたものである。Unitedの飛行機はInflight Entertainment Systemが良くなく、携帯の充電ができないのであまり好きじゃない。