3月10日、アジスアベバ空港発ナイロビ行きのエチオピア航空ET302便（定刻の8時15分、離陸8時38分、登録番号 ET-AVJ ）が、離陸の3分後墜落し、157人が死亡しました。

下図グラフの青線が高度（黄色線は機速）ですが、離陸3分後の8時41分過ぎに、高度8600フィート（約2580m）くらいから降下し墜落したようです。

Flightradar24@flightradar24
We are following reports that Ethiopian Airlines flight #ET302 to Nairobi has crashed after take off from Addis Aba… https://t.co/y04WBBIN6a
2019年03月10日 18:01

出典：Flightradar24

ボーイング737MAXは就航間もない新型機ですが、昨年10月にもインドネシアでライオン航空機が墜落事故を起こしています。

エチオピア航空機の事故原因はまだ分かりませんが、離陸直後に墜落したことはライオン航空機事故を類似性があります。しかし当局者や航空安全専門家らはエチオピア航空機の事故と直接結び付けるのは時期尚早との見解を示しています。

米運輸安全委員会（ＮＴＳＢ）のローゼンカー元委員長は、ＭＡＸ８が導入されて間もなく、２機も墜落したことは「極めて異例」と指摘。２件とも離陸直後に降下するなど、幅広い類似性もあると語っています。

■MCAS:Maneuvering Characteristics Augmentation System

エチオピア航空の事故についてはまだ原因は不明ですが、ライオン航空機の事故原因はMCAS(Maneuvering Characteristics Augmentation System）という、失速防止のシステムの誤作動が原因です。

MCAS(Maneuvering Characteristics Augmentation System）は下図のように、機体の迎角が大きくなり翼の失速に近づくと（下図Angle of Attack Sensorの角度が大きくなると）失速防止のために、機首を下げるように水平尾翼を動かし失速を防止するシステムです。

作動条件：以下の条件で水平尾翼を機体の機首下げとなるように作動させる

オートパイロットオフ
フラップアップ
急旋回

しかしこのシステムは二つあるAngle of Attack Sensorのいずれか大きな値の方を採用してシステムを作動させますので、ライオン航空機は誤作動の過大な迎角のシグナルでシステムが作動して墜落してしまいました。

出典：FAA evaluates a potential design flaw on Boeing’s 737 MAX after Lion Air crash

出典：What is the Boeing 737MAX Maneuvering Characteristics Augmentation System

ここで設計上疑問に感じることがひとつあります。

Angle of Attack Sensorは機首の左右に一つずつ、計2つありますが、Angle of Attack Sensorはいずれか一つ、迎角の大きい方の値を採用して失速の警報を出し、さらにMCAS(Maneuvering Characteristics Augmentation System）を作動させます。

これはいずれかのSensorが故障しても確実に失速を防ぐためですが、逆に、いずれかのSensor（またはSensor Signal）が過大な値を示せば、ライオン航空機のように機首下げを止められず墜落することとなります。

これではＦａｉｌＳａｆｅ（一つのシステムが故障しても安全性に影響しない）になっていないばかりか、Redundancy（冗長性、故障が安全性に大きく影響しない）が全くなく、絶対に安全でなければならない航空機の設計としては非常に疑問です。

例えばボーイング767以上の機種のナビゲーションのコンピューター（Flight Management Computer)は3系統ありますので、いずれかのコンピューターが異常になれば多数決ですぐにどれが異常か分かります。ところがボーイング737は2系統ですので、どちらのデータが異常なのか計算をし直す作業が必要で、すぐにはどちらが異常か分かりません。

これは3人が同じ計算をして一人だけ答えが違えば誰が間違えたか分かりますが、二人だけで同じ計算をして答えが違った場合は、もう一度、二人共が計算をやり直してみないと、どちらが間違えたのか分からないのと同じです。

自動操縦のコンピューター（Flight Conrol Computer)も同様で、ジャンボ機や767以上の機種は3系統、737は2系統です。ただし、自動操縦のコンピューター（Flight Conrol Computer)が複数以上同時に作動するのは自動着陸の時だけです。

このためボーイング767以上の機種ですと自動着陸の途中でコンピューターが一つ故障しても、自動着陸を継続しますが、737は自動着陸中止となります。

クリティカルな状況で作動するMCAS(Maneuvering Characteristics Augmentation System）の重要性を考えると、センサーが2系統でいずれかのセンサーが過大なシグナルを出せば機首下げを起こし墜落の可能性があるシステムの設計は非常に疑問です。

これは例えばAngle of Attack Sensorのシグナルと、自動操縦のコンピューターの機体の姿勢のシグナル比較するなどのバックアップを設ければ、簡単に解決出来るのではないかと思います。

ライオン航空機事故については次の記事をご参照ください。

Angle Attack Sensorのシグナルがおかしかったことは分かっていますが、当該Sensorは交換されており、Sensorが原因か否はまだ分かりません。

訂正：リブログ記事のMCAS作動条件が間違っていましたので訂正しました。 m(_ _ )m

まだこの事故の原因に対する対策は取られていないと思いますので、しっかり対策が取られるまでボーイング737MAX型機には乗らない方が無難かもしれません。

エチオピア航空B737MAX機墜落