英BAのA320、ADR障害で飛行制御がオルタネート・ローに移行　2度の失速警報をAAIBが調査

7月6日、ブリティッシュ・エアウェイズのエアバスA320型機がロンドン・ヒースロー空港への着陸を2度試み、いずれの進入でも失速警報が作動した。英国航空事故調査局（AAIB）は本件の正式な調査を開始したが、警報が実際の空力学的失速を示していたのか、システム異常による誤警報だったのかは現時点で確認されていない。この不確実性こそが、BA919便をめぐる調査の核心である。

■ヒースロー空港への進入中に起きた連鎖的障害

7月6日、ブリティッシュ・エアウェイズ（BA）919便（エアバスA320-232型機、機体記号：G-EUUN）は、約180人の乗客を乗せてデュッセルドルフを出発した。Simple FlyingがAAIB（英国航空事故調査局）の予備通知を引用して報じたところによると、同機がヒースロー空港の滑走路27Lに進入する際、ADR（Air Data Reference：大気データ基準）システムに障害が発生した。

この障害は連鎖的な影響をもたらした。SKYbraryの資料によれば、信頼性が低下した大気データを検知した機体の飛行制御コンピューターは、空力学的失速を防ぐモードである「ノーマル・ロー（通常法則）」から、失速保護が失速警報に置き換わる機能低下モード「オルタネート・ロー（代替法則）」へと自動的に移行した。その後、失速警報が鳴った。乗員はパンパン（緊急通信）を宣言して進入を中止し、待機旋回（ホールディング・パターン）に入った。

Simple Flyingが報じたAAIBの予備通知によると、2度目の進入時、高度約3,000フィート（約914メートル）で再び失速警報が作動した。乗員は、AAIBが後に「急激だった可能性のある回復操作」と表現した操作を行い、その間に機体は約2,200フィート（約671メートル）まで降下した後、進入は再び安定した。乗員は緊急事態のレベルをパンパンからメーデー（遭難通信）に引き上げ、機体は負傷者や報告された損傷を出すことなく無事に着陸した。IBTimes UKの報道によれば、AAIBはこの事象を「飛行中の操縦喪失（Loss of Control In-Flight、LOC-I）」カテゴリーの重大インシデントに分類し、正式な調査を開始した。

■AAIBが「実際の失速」を即座に断定できない理由

AAIBが「飛行中の操縦喪失」という重大インシデントに分類したからといって、機体が実際に空力学的失速に陥ったことを意味するわけではない。この区別は重要であり、AAIBもその点について正確を期している。Simple Flyingの報道に引用された予備通知の中で、調査当局は、失速警報が「機体の空力学的な状態を正確に反映していたのか、それともシステム障害による誤った大気データの影響を受けていたのか」をまだ特定できていないとしている。

この疑問を解明するために、なぜ飛行後のデブリーフィングだけでなく正式な調査が必要なのかを理解するには、ADRシステムが実際に何を行っているのか、そしてそれが故障した際に何が起こるのかを知る必要がある。

■ADR障害がエアバスA320にもたらす影響

code7700.comに掲載されているエアバスの飛行乗務員訓練マニュアル（FCTM）によれば、エアバスA320のADRシステムは3つの独立したADRユニットで構成されており、それぞれがピトー管や静圧孔から対気速度、高度、迎角などの飛行パラメーターを収集している。これらの入力データは、コックピットのディスプレイや飛行管理コンピューター、さらにフライ・バイ・ワイヤの指令を実行するELAC（昇降舵・補助翼コンピューター）やSEC（スポイラー・昇降舵コンピューター）に供給される。

SKYbraryのエアバス飛行制御法則に関する資料が説明するように、ノーマル・ローの下では、A320のフライ・バイ・ワイヤ・システムはパイロットが「エンベロープ・プロテクション（飛行領域保護）」と呼ぶ機能を提供する。パイロットの入力にかかわらず、機体が失速、速度超過、過大なバンク角、危険なピッチ姿勢に陥ることを防ぐものだ。すべての飛行に組み込まれた、目に見えないガードレールのようなものである。BA919便でADR障害が発生した際、このガードレールが失われた。

code7700.comに掲載されたFCTMによれば、ADR障害後に機体が移行したオルタネート・ローでは、自動的な失速保護が失われ、基準失速速度の1.03倍で作動する音声の失速警報に置き換わる。機体は飛行を続けられるが、乗員はシステムによる自動的な失速防止ではなく、警報を受けて自ら回復操作を行わなければならない。v1prep.comのA320飛行制御法則の解説が示すように、ここに問題がある。警報のしきい値は、残された大気データを基に計算される。ADR障害が、故障したユニットだけを完全に切り離せる明確な単独故障ではなく、残りのコンピューターが読み取る大気データにも影響するものだった場合、機体が失速からは程遠い状態でも警報が鳴る可能性がある。あるいは、さらに危険なことに、実際に失速しているのに警報が鳴らない可能性もある。

これこそが、AAIBがフライトデータレコーダー（FDR）とコックピットボイスレコーダー（CVR）を解析して解明しなければならない循環的な依存関係である。警報が鳴ったときの機体の実際の迎角と対気速度はどうだったのか。それらのパラメーターは空力学的失速に近づいている状態と一致していたのか、それとも誤ったセンサーデータの経路を通じて処理された、正常な進入時の値だったのか。この答えによって、乗員が実際の緊急事態で教科書通りの失速回復操作を行ったのか、それとも、すでに対処中だった障害そのものが生み出した誤警報に反応し、高度3,000フィート（約914メートル）で急激な操作を行ったのかが決まる。

■オルタネート・ローへの移行が乗員に要求するもの

A320のフライ・バイ・ワイヤ・アーキテクチャは、ノーマル・ローでは機体を失速させることがほぼ不可能になるよう設計されている。その副次的な結果として、ノーマル・ローでは手動の失速回復が不要になるため、パイロットが手動での失速回復訓練に費やす時間は非常に少ない。しかし、オルタネート・ローへの移行はこの前提を完全に変える。

SKYbraryの資料によれば、オルタネート・ローではロール制御がダイレクトモードに移行し、コンピューターによる安定化のための調整なしに、サイドスティックの入力がエルロンへ直接伝えられる。バンク角保護は維持されるが、機体の操縦感覚はノーマル・ローとは異なり、ロール方向の反応がより敏感になり、パイロットが慣れている自動的な旋回調整も失われる。同時に、乗員はADR障害そのものにも対処しなければならない。異常時のチェックリストを実行し、故障したユニットの切り分けを試み、計器を相互確認し、ATC（航空交通管制）と通信する必要がある。こうした作業負荷に加えて失速警報が鳴れば、直ちに操縦操作で対応することが求められる。

aerocorner.comの記録によると、フランス航空事故調査局（BEA）は、エールフランス447便（AF447）の最終報告書で、この訓練上の不足を明確に指摘している。同便の事故も、ADR障害につながるピトー管の故障と、オルタネート・ローへの移行から始まった。BEAは、乗員が「機体の保護機能が無効になる代替飛行制御モードに関する訓練や、高高度での失速からの回復訓練を一般的に受けていない」と結論づけた。この調査を契機に、失速回復訓練の要件に関する国際的な変更が行われ、現在も適用されている。

Fear of Landingが報じたように、AF447便をめぐる背景には現在、法的な意味合いも加わっている。2026年5月21日、パリ控訴院は同便の乗客乗員228人全員の死亡をめぐり、過失致死罪でエアバスとエールフランスの双方に有罪判決を下し、両社が「全面的かつ単独で責任を負う」として2023年の無罪判決を覆した。裁判所は、エアバスが既知のピトー管の問題を過小評価し、航空会社に十分な情報を提供しなかったと認定した。BA919便のインシデントはAF447便の事故とは異なる。乗員は機体を立て直し、機体は安全に着陸し、乗客にけがはなく、機体にも損傷はなかった。しかし、この2つの事象につながる工学上の経緯には直接的な共通点がある。

■高度3,000フィートでの「急激な可能性のある回復操作」が意味すること

AAIBの表現は正確であり、意図的に抑制されている。「急激だった可能性のある回復操作」とは、調査官がフライトデータから確認したものを指す。すなわち、世界で最も混雑する空港の一つへの進入中、海抜約3,000フィート（約914メートル）で実行された、失速回復手順と整合する大きく急速な操縦入力である。

SKYbraryに掲載されたオルタネート・ローでの回復要件によれば、A320の標準的な失速回復手順では、パイロットは機首を下げて迎角を減らし、同時に最大推力を加えることが求められる。この操作の有効性は、機体が実際にどれだけの速度や高度の余裕を持っているかに大きく左右される。着陸フラップを展開し、推力を絞った安定進入中の高度3,000フィートでは、地形や障害物、ほかの到着機が問題になる前に回復を完了するための高度の余裕が限られている。進入が再び安定するまでに約2,200フィート（約671メートル）まで降下したこと、すなわち約800フィート（約244メートル）高度を失ったことは、操作の大きさを判断する材料になる。

AAIBは、その操作が適切であったか、過剰であったか、あるいは不十分であったかについて、まだ判断を示していない。その判断には、警報が鳴った瞬間の実際の飛行状態とADRシステムの状態の双方に照らした、フライトデータレコーダーの解析が必要になる。

■扇情的なタブロイド報道と公式記録の乖離

LBCの報道によれば、BA919便に関する報道は7月30日、The Sun紙の記事を通じて広まった。同紙は匿名の情報源を引用し、副操縦士による問題への対処がうまくいかなかった後、機長が操縦に介入したと伝えた。また、このインシデントを英国における「ここ数年で最も深刻なニアミス」と位置づけ、「全損」、すなわち航空機が破壊されるか修理不能なほど損傷する事態に近づいたと報じた。機長はストレスを理由に休暇を取っているとも報じられている。

しかし、これらの具体的な主張はいずれもAAIBやブリティッシュ・エアウェイズによって確認されていない。Simple FlyingとIBTimes UKの双方によれば、AAIBの予備通知は事象の経過、すなわちADR障害、2度の失速警報、急激だった可能性のある回復操作、メーデー、安全な着陸を説明しているが、責任の所在を特定したり、個人を名指ししたり、副操縦士の行動を評価したりしてはいない。ブリティッシュ・エアウェイズは「AAIBの調査に協力しており、現段階では法的にこれ以上のコメントはできない」とする声明だけを発表した。

この法的な制約は、AAIBの調査中における標準的な取り扱いである。調査は、情報提供者が調査官に提供した情報を、その後の法的または規制上の手続きで当人に不利な証拠として利用できないようにするための規則に基づいて行われる。その目的は航空会社を世間の厳しい目から守ることではなく、調査官にできる限り多くの情報が集まるようにすることにある。

また、LBCによると、この事象に関する記録には、AAIBによる正式なLOC-I（飛行中の操縦喪失）の重大インシデント分類に加えて、「パイロット誘発（Pilot Induced）」と分類されたとの注記があるという。しかし、AAIBは予備通知でそのような表現を使用していない。「パイロット誘発」という記述の出所は不明であり、仮に確認された場合、その意味は最終調査報告書で扱われることになる。

■今後の調査プロセスと他事案との関連性

IBTimes UKが報じた調査範囲によれば、AAIBはフライトデータレコーダー、コックピットボイスレコーダー、G-EUUN機の整備履歴、故障したADRユニットの技術仕様を調査する。また、乗員の訓練記録、特に両パイロットがオルタネート・ローに関する訓練を受けていたか、受けていた場合は最後の訓練からどれほど時間が経過していたかについても調べる。

この程度に複雑な重大インシデントでは、最終報告書の作成には通常1年から2年を要する。調査によって、ADRのハードウェア、整備手順、オルタネート・ロー運用に関する乗員訓練、エアバスのADR障害対応文書のいずれかにシステム上の安全リスクが見つかった場合、AAIBはブリティッシュ・エアウェイズ、エアバス、英国民間航空局に対して安全勧告を出すことができる。当該機（G-EUUN）はすでに運航に復帰しており、乗客にけがはなかった。

Simple Flyingの報道によれば、BA919便のインシデントは、同航空会社の技術上の問題に注目が集まっていた時期に発生した。別の一連の事象として、米国行きのブリティッシュ・エアウェイズのボーイング777型機2機が、2日連続で技術的な問題により引き返したほか、エアバスA380型機が別の緊急事態でバーミンガムに目的地を変更した。しかし、これらの事象はいずれもG-EUUN機のADR障害と関連しているとは考えられておらず、同じ技術システムが関与したものでもない。

航空安全のアナリストは一般に、単一の航空会社で発生した、互いに関連のない技術的事象の集まりから、組織全体に関する結論を導くことには慎重である。航空会社は毎日数百便を運航しており、独立した技術的問題が、共通の原因を持たないにもかかわらず、統計上意味のあるまとまりのように見えることがある。AAIBによるBA919便の調査は、航空会社全体の技術的な信頼性ではなく、一つの具体的な障害の連鎖に焦点を当てている。

■注目ポイントQ&A

●オルタネート・ロー（代替法則）とは何ですか？なぜ危険なのですか？

オルタネート・ローとは、エアバスのフライ・バイ・ワイヤ機において、重要なセンサーシステムが故障した際に移行する機能低下モードです。標準的な飛行モードであるノーマル・ロー（通常法則）では、パイロットの入力にかかわらず、機体のコンピューターが自動的に失速、速度超過、危険な飛行姿勢を防ぎます。オルタネート・ローでは、その自動保護機能が失われ、安全な飛行領域の限界に近づいた際に作動する警報に置き換わります。乗員は警報を受けて、手動で回復手順を実行しなければなりません。SKYbraryのエアバス飛行制御法則に関する資料が説明するように、危険性の一つは、すでに緊急事態にある状況でパイロットの作業負荷が増えることです。もう一つは、オルタネート・ローでの失速警報の精度が、そもそもオルタネート・ローへの移行を引き起こした可能性のある大気データシステムに依存していることです。

●失速警報と実際の空力学的失速の違いは何ですか？

空力学的失速は物理的な状態です。主翼が臨界迎角を超えると、翼上面の気流が剥離し、揚力が大きく失われます。一方、失速警報は、計算された対気速度と迎角のデータが作動しきい値に達したとき、飛行制御コンピューターが発する電子的な警報です。この警報は実際の失速が発生する前に鳴り、乗員に回復のための時間を与えるよう設計されています。ADR障害時の問題は、失速警報の計算に使われる大気データそのものが不正確になっている可能性があることです。そのため、機体が実際には失速に近づいていないのに警報が鳴ったり、逆に鳴るべきときに正しく鳴らなかったりする可能性があります。Simple Flyingが報じたAAIBの予備通知によれば、BA919便の調査では、2度の失速警報が実際の飛行状態を反映していたのか、それともADR障害による誤ったデータの影響だったのかが調べられます。

●A320のフライ・バイ・ワイヤの安全性について、乗客は何を知っておくべきですか？

SKYbraryのエアバス・ノーマル・ローの飛行領域保護に関する資料によれば、A320のノーマル・ローにおけるフライ・バイ・ワイヤの保護機能は、民間航空で最も包括的なものの一つであり、同型機が40年近い運航期間を通じて優れた安全記録を持つ理由の一つです。オルタネート・ローへの移行を引き起こすADR障害は比較的まれで、エアバスの機種別資格訓練でも扱われています。BA919便の乗員は緊急事態を宣言し、機体を安全に着陸させました。AAIBの調査は、同じような状況を将来さらに安全にするため、ハードウェア、訓練、手順のいずれかに変更すべき点があるかを明らかにすることを目的としており、A320自体が安全でないと示唆するものではありません。

●今回のBA919便のインシデントは、エールフランス447便の事故と比べてどの程度深刻でしたか？

aerocorner.comで詳しく扱われているように、両事象は、ADRまたはピトー管の障害によってオルタネート・ローへ移行したという工学上の共通点を持ちますが、結果は根本的に異なります。エールフランス447便では、乗員が発生した失速を認識して回復することができず、乗客乗員228人全員が死亡しました。一方、BA919便は負傷者を出すことなく安全に着陸しました。BA919便の乗員は警報に対応し、2度の進入を通じて緊急事態に対処し、回復操作を行い、着陸を優先するためメーデーを宣言しました。乗員の具体的な行動が今後の訓練の模範となるのか、改善を要するのか、あるいは手順に完全に沿ったものだったのかは、AAIBの調査によって明らかになります。

元記事: ADR Failure Forced British Airways A320 Into Alternate Law Over London, AAIB Opens Probe