2019年3月10日の朝、エチオピア航空302便はアディスアベバを離陸した。機長のヤレッド・ゲタチュは29歳。ケニア生まれで、エチオピア航空史上最年少の機長だった。総飛行時間8,122時間。離陸から6分後、機体はビショフトゥ近郊の畑に時速900キロで激突した。乗員乗客157人全員死亡。
その5ヶ月前、2018年10月29日。ライオン航空610便はジャカルタを離陸した。機長バーヴェ・スネジャ、31歳。インド人、737型機での飛行時間5,176時間。離陸後13分、機体はジャワ海に時速740キロを超える速度で突っ込んだ。189人全員死亡。
346人。
二度の墜落の機体は、どちらもボーイング737MAX 8だった。製造から数ヶ月の新造機。最も売れている民間機の最新型だ。
そして両方の機体は、同じシステムによって殺された。MCAS。Maneuvering Characteristics Augmentation System、操縦特性増強システム。パイロットの大半はその存在を知らされていなかった。
737MAXのプロジェクトは、社内的には模範例だった。2011年8月の正式承認から2017年5月の商用就航まで、約6年。エアバスA320neoに対抗するために急遽立ち上げられた派生機種で、納期通り、予算内、そして「既存737パイロットの追加訓練ほぼ不要」という三つのKPIを全部達成した。
このプロジェクトは、PMの教科書に載るような「成功」に見えていた。それが、20ヶ月の世界的運航停止と、累積200億ドルの直接損失、そして346人の死で終わった。
Mission: なぜ737MAXが始まったか
時計を2010年12月に戻す。エアバスがA320neoを発表した。新世代エンジンで燃費を15%改善する派生機。販売開始からわずか半年で1,200機を超える受注を集めた。
ボーイングは選択を迫られた。
選択肢は2つあった。 ひとつは、737を捨てて新規開発（クリーンシート設計）に踏み切る。設計年代が1960年代に遡る737は、低い車輪、狭い胴体径、古い設計思想と、もう限界に近かった。新規開発なら、現代の旅客機としてゼロから組み直せる。ただし開発に8〜10年、初期投資は150億ドル超。
もうひとつは、737の派生機として作る。エンジンを新世代に換装するだけ。3〜4年で出せる。価格を抑え、何より「既存737パイロットが追加シミュレーター訓練なしで操縦できる」という強烈なセールスポイントが立つ。
2011年7月20日、ボーイングの最大顧客アメリカン航空が、A320neo 130機を含む大型発注を発表する。これに動揺したボーイングは、約40日後の8月30日、取締役会で737MAXの開発計画を正式に承認した。
「既存パイロットの追加訓練なし」が、技術要件として固定された瞬間だった。
要件定義の言葉で言えば、こうなる。新機能（新世代エンジン搭載）を追加するが、外部インタフェース（操縦特性）は既存版と互換でなければならない。差分を、利用者から見て不可視にすること。
ソフトウェアエンジニアならピンとくるはずだ。「メジャーバージョンアップだけど、既存ユーザーには何も変えない」という要件。
Design: どう設計したか
737MAXの最大の技術的問題は、新世代エンジンが入りきらないことだった。
採用が決まったCFM LEAP-1Bは、前世代エンジンより直径が約20センチ太い。だが737は車輪が短い。1960年代、空港のジェッタウェイがまだ少なかった頃の設計で、地上から客室への乗降を容易にするため意図的に低くされた構造だ。エンジンを単純に置き換えると、地面に擦る。
エンジニアは、エンジンを翼の前方かつ上方にずらして取り付ける道を選んだ。車輪を伸ばすには着陸装置の全面再設計が必要で、それは「派生機」というスコープに収まらない。エンジンを前にずらせば、車輪と地面の問題は解決できた。
代わりに、新しい問題が発生した。
エンジンが翼の前にあると、高迎角時の揚力分布が変わる。機首がさらに上がりやすくなる。これは失速の前兆を悪化させ、操縦特性として既存737と異なるものになる。
「操縦特性が変わる」と、規制上の問題になる。連邦航空局(FAA)は、機種を新しい型式と見なし、新規型式認証と新規パイロット訓練を要求しうる。
それは絶対に避けたかった。「追加訓練なし」が要件だったからだ。
エンジニアの解は、ソフトウェアで違いを隠すことだった。MCAS。迎角(AoA)センサーが「機首が上がりすぎ」と判断したら、自動的に水平尾翼を下げて機首を押し下げる。パイロットには見えないところで、機体の癖を補正する仕組み。
設計の意図としては、特定条件下でだけ作動する、控えめな補助機能だった。当初設計では、2つのAoAセンサーが両方とも高値を示し、かつ高Gフォースの条件で初めて起動する。操舵角は0.6度。
それが2016年、飛行試験中に変わった。
低速時にもピッチアップが起きると判明し、エンジニアはGフォース条件を削除した。低速ではGフォースが大きくならないので、その条件があるとMCASが必要なときに作動しない。だが削除した結果、MCASはAoAセンサーひとつだけで起動するようになった。操舵角は4倍以上の2.5度に拡大された。1回の起動で10秒間動き、解除されてもまた起動できる仕様になった。
このとき、737MAX主任技術パイロットのマーク・フォークナーは同僚に社内メールを送っている。
「シミュレーターで MCAS が暴れている」
この変更がFAAに正式に再報告されることはなかった。むしろボーイングはこの時期、MCASをパイロットマニュアルから削除することをFAAに依頼し、承認させている。理由は「パイロットを情報過多で混乱させないため」。
設計の判断としては、複合的なミスがあった。冗長化を捨て(AoAセンサー1つ依存)、影響範囲を拡大し(舵角4倍)、利用者からの可視性を奪った(マニュアル削除)。それぞれは小さい変更で、社内のレビュープロセスを個別に通過した。
「機能の重大度はメジャー（カタストロフィックではない）」とMCASは分類されていた。航空機設計の常識として、メジャー機能はセンサー1個依存でよい。判定の根拠は、MCAS単独の作動だけを評価したからだ。複数回の連続起動、パイロットの認知負荷、訓練省略との掛け算は、評価範囲に入っていなかった。
Execution: どう作ったか
製造プロセスとしての737MAXは、ほぼ予定通りに進んだ。
- 2011年8月: 開発正式承認
- 2016年1月: 初飛行
- 2017年3月: FAA型式認証取得
- 2017年5月: マレーシアのマリンドエアに初号機納入
6年弱。エアバスA320neoとほぼ同じ時期に市場に出すという目標を達成した。受注は3,000機を超え、ボーイング史上最速の売れ行きとなった。
訓練の省略は、契約条項で強化された。
サウスウェスト航空は、737を590機保有する世界最大の737オペレーターで、737MAXを280機発注していた。両社の契約には、こう書かれていた。「もし737MAXの就航にあたってパイロットのシミュレーター訓練が要求された場合、ボーイングはサウスウェストに1機あたり100万ドルを支払う」。
総額2.8億ドル。これがあると、ボーイングには「訓練を絶対に省略させる」という強い財務的インセンティブが生まれる。
既存737パイロットの737MAX移行訓練は、最終的に「iPadで2時間」となった。13ページのマニュアル差分。MCASについての言及はゼロ。
2018年10月29日、ライオン航空610便。離陸直後、左側のAoAセンサーが破損データを送信し始めた。地上では機首が水平なのに、機体は「機首が上がりすぎている」と認識した。MCASが起動。機首を下げる。パイロットが操縦桿で戻す。10秒後、MCASがまた起動。20回以上の応酬の末、機体は機首下げの体勢のまま、海面に時速740キロを超える速度で突っ込んだ。
ジャワ海の暗い水底から、機体の残骸とフライトデータレコーダーが回収された。データは明白だった。MCASの連続起動。パイロットはMCASの存在を知らない。マニュアルにも書かれていない。
ボーイングの公式反応は、技術修正の即時公開ではなく、運航事業者向け通知だった。「破損したAoAデータが、機首下げを引き起こす可能性がある」。手順を守れば対処できる、という含意が読み取れた。
5ヶ月後の2019年3月10日、エチオピア航空302便。同じシナリオ。AoAセンサー異常、MCAS連続起動。
機長ゲタチュとファーストオフィサーは、ライオン航空墜落後にボーイングが発表した手順(電動トリムカットアウト)を実行した。マニュアル通りに動いた。
だが間に合わなかった。
カットアウト後、機首を上げるにはトリムホイールを手動で回す必要がある。だが速度が350ノットを超えると、空気力学的負荷が大きすぎて、人力では水平尾翼が動かない。彼らはカットアウトを解除し、もう一度電動で動かそうとした。MCASがまた起動した。
離陸から6分。ビショフトゥの畑に高速で激突。157人全員死亡。
二度目の墜落は、「パイロットの訓練不足」では片付けられなかった。FAAは依然として運航継続を主張したが、3月11日に中国民航局が世界で最初に運航停止を発表する。EU、カナダ、ロシア、シンガポール、そして50以上の国・地域が続いた。
3月13日、トランプ大統領が運航停止を発表。米国は世界で最後にグラウンディングした国になった。
People: 誰が率いたか
デニス・ミューレンバーグ、当時のボーイングCEO。1964年アイオワ州生まれ。アイオワ州立大学で航空宇宙工学を学び、1985年にボーイング入社。30年かけて昇進し、2015年にCEOに就任した。エンジニア出身のCEOだ。
それでも、彼の経営判断はファイナンス主導だった。在任中、ボーイングは利益の100%以上を株主還元(自社株買いと配当)に充てた。2013年から2018年までの自社株買い総額は430億ドル。新規開発機を作るには、新型機1機種あたり150〜200億ドルが必要だ。
「クリーンシート設計」が選ばれなかった理由のひとつが、ここに見える。
ライオン航空墜落の後、ミューレンバーグは「機体は安全だ」と繰り返した。エチオピア航空墜落の翌日も同じ立場を取った。3月13日のグラウンディング後も、運航再開を急ぐ姿勢を崩さなかった。
2019年12月23日、解任。退職金は受け取らなかったが、それまでに獲得したストックオプションを含む報酬は累計60百万ドル超だった。
後任にデイヴ・カルフーンが就いた。GE出身、財務畑のキャリアを持つ。彼が運航再開の最終フェーズを率いた。
設計の現場では、こんなやり取りがあった。マーク・フォークナー、737MAX主任技術パイロット。2016年に「MCASが暴れる」と社内メールを送ったあと、彼はFAAの航空機評価部門にMCASの仕様変更を伝えなかった。
2021年10月、彼は米連邦大陪審で詐欺罪起訴された。ボーイングから唯一刑事訴追された人物となった。2022年3月、無罪判決。陪審の判断は、彼ひとりに罪を着せるのは不公平というものだった。
文化変化の起点として広く指摘されるのは、1997年のマクドネル・ダグラス合併だ。それ以前のボーイングは「シアトル文化」と呼ばれた。エンジニアが企業の頂点に立つ。技術判断が経営判断に優先される。マクドネル・ダグラス合併後、本社は2001年にシカゴへ移転した。エンジニアリングの拠点(シアトル)から、経営の拠点(シカゴ)が地理的に切り離された。
「エンジニアを資産ではなくコストと見るようになった」。元ボーイングのエンジニアたちはそう振り返る。
文化の転換から20年。MAXの墜落はその時間差で訪れた。
そしてエチオピア航空302便の機長、ヤレッド・ゲタチュ。彼の父は息子の死後、米国の取材にこう答えている。
「息子は子どもの頃から空が好きだった。彼は最も若くして機長になった。9歳のときに飛行機の絵を描いて、私に見せた」
Legacy: 何を残したか
20ヶ月。米民間航空史上最長のグラウンディング。
2020年11月18日、FAAは運航再開を承認した。MCASは「2つのAoAセンサーが一致しないと作動しない」「1回のフライトで1回のみ起動」「操舵角制限を再導入」と修正された。安全クリティカル系の設計原則どおりに作り直された。シミュレーター訓練が必須化された。
金銭的決着の主要なものを並べる。
2021年1月、米司法省と訴追延期合意(DPA)。25億ドル支払い。内訳は、FAAへの詐欺による刑事罰金2.44億ドル、航空会社補償17.7億ドル、遺族補償5億ドル。
2024年1月、アラスカ航空1282便。高度4,800メートルで運航中のMAX 9の扉プラグが脱落。緊急着陸、奇跡的に死者なし。FAAが製造上の品質管理問題と認定。これがDPA違反と判断され、2025年5月に新たに11億ドルの和解。
直接損失は推定200億ドル。受注キャンセル1,200機相当の機会損失を含めると600億ドルを超える。ボーイング史上、最大の損失プロジェクトとなった。
中長期で残ったものはいくつかある。
ひとつ、FAAの認証制度改革。Organization Designation Authorization (ODA)、つまり製造者社員がFAAの代理として認証作業を行う仕組みは、議会調査で「規制虜」(regulatory capture)の典型として批判された。2020年の航空機認証改革法(Aircraft Certification Reform and Accountability Act)は、FAAの直接監督権を回復させた。
ふたつ、ボーイングの市場地位。エアバスA320neoシリーズは2019年10月、累計受注数で737を初めて抜き、世界最多受注の民間機となった。歴史的な逆転だった。
みっつ、安全工学の教科書事例。MITスローン、ハーバード・ビジネス・スクール、ベルファーセンターは737MAXをケーススタディとして採用している。「安全文化崩壊」「規制虜」「単一障害点設計」の三題噺として、エンジニアリング倫理の標準教材になった。
2024年、再びマックスの問題が浮上した時、業界の見方は厳しかった。デイヴ・カルフーンは2024年末に退任。ケリー・オルトバーグが新CEOになり、ボーイングは「再起」の途上にある。
737MAX自体は今も世界中を飛んでいる。修正後の機体は技術的に堅実だ。だが、ブランドの傷は深い。
学び: 「予定通り・予算通り」の暗い側面
737MAXのプロジェクトを、通常のPM指標で評価してみる。
工期: 計画6年、実績6年。予定通り。 予算: 派生機開発の予算枠内に収まった。予算通り。 KPI達成: 既存パイロット訓練省略、目標通り。
教科書的にはオールAだ。それが346人の死と200億ドル超の損失で終わった。
何が間違っていたのか。
工期と予算という指標は、その背後で何が起きているかを直接は示さない。737MAXのケースでは、「派生機としての制約に収まる」というスコープ枠が、技術判断の妥協を強制し続けた。エンジン位置の前方化、MCAS追加、AoAセンサー1個依存、マニュアル削除、訓練省略。一つひとつは「スコープ内」だが、累積した結果として安全マージンを使い尽くしていた。
派生機開発の合理性はある。新規開発の半額以下で出せる。市場投入が早い。既存ユーザーの転換コストが低い。これらは本物の経済価値だ。
落とし穴は、派生機の制約が「既存版と何が違うか」ではなく「既存版と同じに見えるか」を最適化対象にすることだ。実際は違うものを、同じに見えるよう作る。違いを隠す技術が中心に据えられる。隠す技術は、隠した側面が顕在化したとき、対処の手段を奪う。MCASを知らないパイロットは、MCASに対処できない。
これは航空機固有の現象ではない。レガシーシステムを延命させる多くのソフトウェアプロジェクトで同じ構造が見える。新しい要件を「互換性を保ったまま」「マイナーバージョンアップで」吸収する。差分を吸収する抽象層(アダプター、シム、互換レイヤー)が増える。差分は隠れる。隠した差分は、ある日表面化する。
「予定通り・予算通り」が、見えない負債を後送りすることで達成された場合、それは成功ではなく時限装置だ。借金の返済が来年に繰り延べられただけで、利息は確実に積み上がっている。
737MAXに固有の構造として、もうひとつ指摘しておく。マクドネル・ダグラス合併から20年。文化の転換が起きて、その帰結が表れるまでに20年かかった。安全文化はマニュアルや手順より、「何が許容され、何がされないか」「誰の意見が通り、誰の意見が通らないか」の暗黙ルールで決まる。経営層の言葉と行動のズレが何年も蓄積し、ある日システム全体の品質として転倒する。
20年の時差で帰ってきた請求書は、346人の命と、200億ドルの現金で支払われた。
最後に問いをひとつ。
あなたが今、「スケジュール通り、予算通り、要件通り」と報告しているプロジェクトの中で、「差分を隠すために」入れた仕組みはいくつあるだろうか。それは何年後に、どんな形で帰ってくる予定だろうか。
出典・参考資料
- Boeing 737 MAX - Wikipedia — 開発タイムライン、設計、認証プロセスの全般
- Boeing 737 MAX groundings - Wikipedia — 運航停止と再開の詳細
- Lion Air Flight 610 - Wikipedia — 一度目の墜落事故、機長バーヴェ・スネジャの情報
- Ethiopian Airlines Flight 302 - Wikipedia — 二度目の墜落事故、機長ヤレッド・ゲタチュの情報
- The Boeing 737 MAX: Lessons for Engineering Ethics - PMC — 工学倫理の観点、設計判断
- The inside story of MCAS (Seattle Times) — MCASの設計変更経緯、フォークナーのメール
- Flawed analysis, failed oversight (Seattle Times) — FAA認証プロセスの問題
- Boeing’s failed Corporate Culture (CPA Journal, 2025) — マクドネル・ダグラス合併と文化変化
- Boeing fires CEO Muilenburg (CBS News, 2019) — ミューレンバーグCEOの解任
- DOJ Mark Forkner indictment — フォークナー起訴の経緯
- Boeing settles DOJ case (Aerotime, 2025) — 2025年のDOJとの和解
- Father of Ethiopian Airlines Pilot Mourns Irrepressible Son (VOA) — ゲタチュ機長の父のコメント
