Air France 447: 自動操縦ハンドオフとストール回復が問うコックピットの説明責任

概況

• エールフランス447便は2009年6月1日、216名の乗客と12名の乗務員を乗せて、大西洋上高高度でピトー管の氷結による一時的な速度情報の不一致によりオートパイロットとオートスラストが切断され、墜落した。
• 切断は契機であり、完全な因果説明ではない。フランスの安全調査では、不安定な手動入力を含む連鎖、速度異常手順の不適用、経路逸脱の認識の遅れ、失速接近と継続の特定の失敗、訓練の限界、コックピット表示と警告の特性、運航者フィードバックの弱点、認証と監視の問題が明らかにされた。
• 2008年5月から2009年3月の間に、エールフランスの A330 および A340 型機で9件の速度異常事象が報告されていた。エールフランスは該当プローブの交換を決定し、最初の機体は改造されていたが、F-GZCP は未改造だった。この経緯は、再発するハザードファミリーに対する組織的な認識を示しているが、それ自体で正確な致命的シーケンスが予測されていたことや法的に帰属可能であることを証明するものではない。
• 2年5段階にわたる捜索により、約3,900メートルの水深から飛行記録装置が回収された。この回収により、利用可能な証拠は断片的な自動メッセージと残骸から秒単位の再構築へと変化した。これは中心的な説明責任の教訓である：組織は、位置を特定、保存、再生できない事象から確実に学習することはできない。
• BEA（フランス民間航空安全調査分析局）の調査は安全調査であり、民事・刑事責任を判断するものではなかった。2023年の裁判判決はエールフランスとエアバスを無罪とした。2026年5月21日、パリ控訴院はその結果を覆し、両社に過失致死罪でそれぞれ22万5,000ユーロの罰金を科した。エアバスは上告を公式に発表し、報道によればエールフランスも上告する意向とされた。したがって、有罪判決は2026年7月17日の証拠時点において、さらなる審理の対象となる控訴審判決であり、最終的な刑事結果ではなかった。
• 最も強力な改善策は、乗務員が再訓練された、または装備が変更されたという宣言ではない。耐久性のある記録である：プローブ信頼性の傾向、サプライズと劣化した手がかりを含むシミュレーターシナリオ、認識と回復の測定されたパフォーマンス、モード遷移テストマトリックス、安全報告のクロージャ証拠、規制当局の受入、航空機追跡性能、記録装置回収能力、残留リスクの取締役会レビュー。

証拠の境界

この事例には、互いに混同してはならないいくつかの種類の記述が含まれている。

確認された事実は、エアバス A330-203（登録記号 F-GZCP）がリオデジャネイロからパリへの運航中に消息を絶ち、搭乗していた228名全員が死亡したことである。技術的所見は、BEA が残骸、記録装置データ、整備記録、運航、認証資料、訓練、ヒューマンファクターを調査した後の結論である。安全勧告は予防的な提案であり、過失の判断ではない。司法判断は、裁判所の法と証拠規則に基づいて刑事責任を決定するものであり、事故報告書の代わりにはならない。企業声明は、企業が行った、または行うと述べたことを記録するものであり、管理が機能したことの独立した証拠ではない。分析的判断は、それらの記録を説明責任の問いに結びつけるものである。不確実性は、公開記録からまだ確定できないことを特定する。

この区別が重要なのは、447便がしばしば、下げるべきときに引き上げたパイロットの話、または欠陥センサーの話に圧縮されてきたからである。いずれの説明も、シーケンスの一部を切り離し、その部分を結果的に重要なものにしたシステムを曖昧にする。BEA の最終報告書は、単一原因の説明を支持していない。また、刑事有罪判決が存在することによって、すべての安全所見が法的結論として再構成されるわけではない。

ここで使用される証拠は、2026年7月17日時点で固定されている。2026年の控訴判決前後に公開された公式資料により、有罪判決、罰金、手続きの経過、および控訴裁判所が維持したとされる過失の概要が確認される。完全な理由付き判決は、引用された公開公式記録には見当たらなかった。したがって、裁判所が各技術的事実をどのように評価したかについての詳細な主張は、公式概要資料に限定されるか、二次的な報道として特定される。上告審は未解決のままである。

数秒で性質を変えたシステム

巡航中、A330 は単一のオートパイロットによって直線経路に維持されていたわけではない。空気データセンサーが速度やその他のパラメータをコンピュータに供給していた。飛行制御則は、パイロットのサイドスティック入力を機体応答に変換し、ノーマル則では保護機能を含んでいた。フライトダイレクターは誘導を表示した。オートスラストはそのモード内でエンジン推力を制御した。パイロットはその組み合わせを監督しながら、気象、航法、通信、休憩を管理していた。

ピトー管は、対気速度を導出するために使用される圧力を測定する。特定の高高度対流条件では、氷結晶が一時的にプローブを閉塞し、速度値が矛盾したり無効になったりする可能性がある。自動システムの一貫しないデータに対する応答には、オートパイロットとオートスラストの切断、および飛行制御のノーマル則からオルタネート則への移行が含まれていた。これらの移行は、ある意味では保護的である。自動化は、もはや信頼しないデータに基づいて航空機を指令し続けるべきではない。しかし同時に、困難な制御と診断の問題を、夜間、乱気流の中、飛行包絡線の上限付近で、矛盾または消失する手がかりとともに乗務員に引き渡した。

説明責任の問題はここから始まる。ハンドオフは、自動化システムが疑わしいデータの使用を停止したからといって成功したわけではない。それが成功するのは、受け取る人間のチームが、何が変わったかを迅速に理解し、機体を安定化させ、該当する手順を特定し、行動を調整し、信頼できる表示と初期障害の結果を区別できる場合のみである。BEA の記録は、それらの条件が整っていなかったことを示している。

航空機は制御入力に応答し続けた。エンジンは作動し続けた。最初の速度不一致は一時的であった。しかし、切断直後の手動入力は機首上げを増加させ、上昇を開始させた。航空機は以前の安定状態から乖離し、速度を失い、失速に接近し、乗務員が正式に診断しないまま持続失速に陥った。このコンポーネントの挙動とシステムの結果との間の差異は本質的である。プローブがデータ問題を引き起こした；総合的な人間・機械・運用システムが、その問題が管理可能な混乱のままであるかどうかを決定した。

事故前の警告の経緯

致命的事故は、事前の兆候がない状況で発生したわけではない。BEA は、2008年5月から2009年3月の間にエールフランスの A330 および A340 型機で9件の速度異常事象を文書化した。これらの報告は447便の正確な複製ではなかった。その継続時間、気象、機体応答、乗務員入力、運航上の結果は様々であり、いずれも事故の対照実験にはならない。それにもかかわらず、運航者の自社フリート内で再発するハザードファミリーを確立した。

エールフランスとエアバスはこれらの事象について議論した。2008年11月24日の技術会合で、エールフランスは原因と解決策を求め、代替プローブを提案した。2009年4月、エアバスは氷結晶を当初のプローブ開発時に考慮されていなかった現象と説明し、別のプローブタイプがより堅牢であるように見えると示しつつ、実機評価を提供するとした。エールフランスは A330 および A340 フリート全体のプローブ交換を決定した。内部文書は4月27日に発行され、最初のバッチは5月下旬に到着し、最初の機体は5月30日に改造された。F-GZCP には、翌日リオを出発した時点でまだ旧型プローブが装着されていた。

これらは、シーケンスと組織的知識に関する調査結果である。これらは、運航者と製造者が再発する一時的な速度異常を認識しており、ハードウェア対応に取り組んでいたという判断を支持する。しかし、交換が既に義務的な耐空性改善措置として要求されていたこと、正確な447便の制御喪失連鎖が予見されていたこと、またはプローブ交換が唯一の利用可能な障壁であったことを立証するものではない。欧州連合航空安全機関（EASA）の後の指令は、この改造を予防的と説明し、当時の認証包絡線内では問題が再現されていなかったと述べている。この限定は重要である。危険な現場パターンの証拠は実験室での再現を先んじることがあり、再現がないからといって現場報告が消えるわけではない。

先行事象はまた、フィードバック問題を露呈した。安全報告システムは、事象を運用上有用なリスクモデルに変換せずに計数することができる。関連する疑問は、プローブが凍結するかどうかだけでなく、パイロットが移行時に何を見たか、どの警報が表示されたか、速度異常手順が認識され従われたか、フライトダイレクターがどのように動作したか、サイドスティック入力とタスク共有がどのように進展したか、高高度の乗務員が結果として生じる手動飛行の問題を最近訓練していたかどうかであった。BEA は、運航者のフィードバックメカニズムが、速度異常手順の不適用が繰り返し特定され修正されること、または乗務員のリスクモデルが適切であることを保証していなかったと結論付けた。

ハンドオフ前の経過

AF447 便は2009年5月31日22:29 UTC にリオデジャネイロを出発した。目的地はパリ・シャルル・ド・ゴール空港であった。航空機には32か国の216名の乗客と12名の乗務員が搭乗していた。長距離飛行には3名のパイロットが乗務し、機長が計画された休憩を取る間、2名の副操縦士がフライトデッキにいた。

最後の定常的な無線交信は01:35 UTC 頃に行われた。その後、飛行は赤道対流気象の帯に接近した。その地域の他の航空機は経路変更を行ったが、証拠は気象回避それ自体を根本原因とすることを支持していない。対流雲は氷結晶と乱気流に関連する環境条件を提供したが、後の制御入力を指示したわけでも、警告を設計したわけでも、手順を書いたわけでも、訓練システムを決定したわけでもない。

02:10 UTC 頃、航空機は約35,000フィート、記録された較正対気速度約282ノット、マッハ0.82にあった。機長はコックピットを離れていた。操縦担当パイロットと監視担当パイロットは、暗闇と乱気流の中で飛行を管理していた。続く記録されたシーケンスは約4分23秒続いた。

02:10:05、対気速度が不一致になった。BEA は、ピトー管の氷結晶閉塞が原因である可能性が高いと判断した。オートパイロットが切断された。飛行制御はノーマル則からオルタネート則に移行し、オートスラストも切断された。コックピットでは、いくつかの聴覚的および視覚的変化が連続して発生した。速度情報源が不一致であり、乗務員を一つの診断に導くという単一の中央メッセージはなかった。代わりに、乗務員はシステムの結果を目撃した：自動化喪失、則の移行、変化する誘導、および不一致になる速度表示。

これが引き金となるトリガーである。これは確信度の高い技術的所見であり、プローブだけで死亡を引き起こしたという記述ではない。適切な説明責任分析はその違いを保持する。

4分23秒

切断から数秒以内に、操縦担当パイロットは機首上げと交互の横方向サイドスティック入力を行った。機首ピッチは約2度から約11度に増加し、航空機は急速な上昇を開始した。フライトダイレクターは消え、後に再表示された。速度表示は乖離し変化した。失速警報が短く鳴った。

速度異常に対する標準的な安定化論理は、表示を診断しながら適切なピッチと推力を保持または確立することであった。乗務員は、失われたまたは不一致の速度値と速度異常手順を結びつけなかった。監視パイロットは飛行経路の逸脱を遅れて認識し、修正対応は不十分であった。航空機は認可された巡航高度を超えて上昇し、エネルギーを失った。

02:10:51頃、迎角が増加したため失速警報が再び作動した。操縦担当パイロットは離陸/復行推力を選択したが、機首姿勢は高く保たれ、機首上げ指令が継続された。航空機は約37,900フィートの記録最大高度に達し、その後降下を開始した。高推力設定だけでは、過度の迎角に保持された航空機を回復させることはできない；迎角の低減が基本である。

機長は失速が進行した後にコックピットに戻った。その時点で、乗務員は暗闇の中で急速に降下する航空機、矛盾する速度情報、断続的な警告、複数の制御入力、および共有された診断の欠如に直面していた。乗務員は明確に失速回復を宣言または実行しなかった。

警告の挙動は直感に反する特徴を追加した。非常に高い迎角と非常に低い計算速度では、迎角値が無効として扱われ、失速警報が停止する可能性があった。機首下げ入力により値が再び有効になり、警報が再活性化される可能性があった。したがって、航空機を回復に向かわせる入力には警報の再作動が伴う可能性があり、一方深い失速状態は沈黙と一致する可能性があった。BEA は、この論理が機械的に乗務員の行動を強制したと結論付けなかったが、失速の認識と理解の困難の一部として警告と表示環境を特定した。

飛行データ記録は02:14:28に終了した。記録されたピッチは約16度機首上げのままであり、降下率は約10,900フィート毎分であり、航空機は海面に衝突した。生存可能な事故段階はなく、シーケンスが始まると組織的な遭難送信の時間もなかった。02:10から02:15の間に送信された自動整備メッセージが、調査官が利用できる最初の技術的痕跡となった。

このシーケンスを確立するために、引用されたコックピット会話は必要ない。飛行データパラメータ、BEA の同期再構築、およびそのヒューマンファクター分析は、乗務員の最後の数分間を見世物にすることなく、必要な証拠を提供する。

トリガー、因果連鎖、根本条件

トリガーは、おそらくピトー管の氷結晶閉塞による一時的な不一致の測定対気速度であり、続いて自動切断と制御則の変更であった。このトリガーは深刻であったが、潜在的に管理可能であった。

直接的な因果連鎖は、不適切な制御入力による飛行経路の不安定化、速度異常を関連手順と結びつけることの失敗、監視の遅れと不十分な修正、失速接近の特定の失敗、即時の失速対応の欠如、および持続失速の診断と回復の失敗であった。これらは、個人の罪に関する刑事所見ではなく、BEA の安全所見の言い換えである。

より深い根本条件は分散していた。機器の感受性が悪いデータを可能にした。インターフェースは、十分に直接的な診断なしに結果を提示した。フライトダイレクターの消失と再表示は手がかり管理を複雑にした。オルタネート則は、乗務員が既に驚いている時に、パイロット入力と保護の関係を変化させた。失速警報の有効性論理は、警報の存在と物理的深刻度を乖離させる可能性があった。訓練は、長距離乗務員に高高度手動飛行、速度異常認識、失速接近の手がかり、または進行した失速からの回復に関する堅牢で反復的な経験を与えていなかった。シミュレーターの忠実度と訓練哲学は、練習可能なことを制限した。乗務員の協調は、驚き、タスク飽和、および不明確な共有モデルの下で弱まった。運航者のフィードバックは、先行事象をハードウェア、手順、訓練、および監視の十分に効果的な組み合わせに事故前に変換しなかった。認証の前提は、高高度の氷結晶環境または複合故障シーケンスの運航上の結果を完全には捉えていなかった。

これらすべてを「根本原因」と呼ぶことは、責任を曖昧にする可能性がある。より有用な定式化は、各機関が異なる障壁を所有していたということである：

この配分は乗務員の主体性を消すものではない。パイロットは、飛行、監視、通信、手順適用に対して引き続き責任を負う。これは、その責任が遡及的ではなく意味を持つために機関が作り出さなければならない条件を説明する。訓練システムが省略するシナリオを乗務員が練習することはできず、文書が説明しない警告規則を検査することはできず、センサー認定基準を独立して再設計することはできない。

表示は理解と同じではなかった

現代のコックピットは多くの警報を提示しながらも、支配的な問題を伝達できないことがある。447便では、自動化はデータが信頼できなくなった時点で設計通りに解除されたが、乗務員には事象を結びつける単一の持続的な高レベル記述は与えられなかった。中心的な問題は情報の完全な欠如ではなかった。複数の変化を時間的プレッシャーの下で正しいメンタルモデルに変換することであった。

自動化の喪失自体が作業負荷を増大させた。オルタネート則はノーマル則の保護を除去し、操縦特性を変更した。フライトダイレクターはデータ問題の後、一貫して不在のままではなかった。その再表示は、不安定なデータ環境で生成された誘導に見かけ上の権限を与える可能性があった。パイロットのサイドスティックは機械的に連結されていなかったため、一方のパイロットは他方の入力を動く操縦桿を通じて感じ取ることはなかった。コックピットは二重入力の視覚的および聴覚的表示を提供したが、それらの手がかりは事象の残りの部分と競合しなければならなかった。

失速警報は決定的な診断ではなく追加の層であった。乗務員は以前の速度異常事象のいくつかで、短く迷惑なような警報に遭遇していた。警報が停止および再開する詳細な条件は、パイロットの通常の知識の一部ではなかった。航空機が迎角データを無効として扱う領域に入ると、空力失速が継続しているにもかかわらず警報は停止した。したがって、システムは危険と警報の間の単純な単調関係を提供しなかった。

異なる単一の警報があれば確実に航空機を救ったであろうと言うことは、立証された事実ではなく、主張となる。人間の反応は変更された条件下で再現することはできない。しかし、インターフェースが最高レベルの状態をより認識しやすくするべきであるというのは、防御可能な安全判断である：速度異常、制御則変更、飛行経路傾向、過度の迎角、および迎角低減の優先順位。適切な証明は比較ヒューマン・イン・ザ・ループ試験であり、事象がいつ発生するかを知らない乗務員を含む。

訓練、サプライズ、チーム協調

事故当時、高高度手動飛行および進行した失速回復は、この長距離運航にとって堅牢な反復訓練対象ではなかった。型移行デモンストレーションは一般的に低高度で実施され、失速の防止と高度損失の最小化に重点が置かれていた。運航文書は、乗務員が完全な警告論理を理解していること、または速度異常、自動化喪失、オルタネート則、乱気流、あいまいな誘導、高高度エネルギー管理の組み合わせを繰り返し経験していることを保証していなかった。

訓練の欠落は、パイロットに関連知識がなかったことを意味するわけではない。彼らは資格を有する専門家であり、基本空力原理は適用された。説明責任の問いは、訓練システムがそれらの原理を稀で驚くべき非正常事象の間に検索可能かつ実行可能にしたかどうかである。サプライズ下での認識は、教室での質問に答えたり、インストラクターがアナウンスした後にスクリプト化されたマニューバを完了したりする能力とは異なる。

機長の一時的な不在は長距離運航取り決めで許可されていた。問題は休憩そのものではなく、休憩期間中の回復力であった：経験の分布、2名の副操縦士間のタスク共有、機長を呼び戻す基準と緊急性、および戻った機長が飽和したコックピットから正しいモデルを獲得する能力。機長は戻ったが、乗務員は持続失速の安定した共有診断を形成し、口頭化することはなかった。

クルー・リソース・マネジメント（CRM）は時々一般的な治療法として引用される。それはあまりにも曖昧である。実用的な管理には、航空機状態、信頼できるパラメータと信頼できないパラメータ、制御則ステータス、誰が制御しているか、ピッチと推力目標、飛行経路傾向、およびフライトダイレクター指令を放棄する条件の明示的な呼びかけが必要である。監視パイロットには、不安定な入力を異議申し立てするための権限と訓練された言語の両方が必要である。操縦担当パイロットには、疑わしい表示の即興的な追跡ではなく、安定化から始まる訓練された応答が必要である。休憩から戻った機長には、断片ではなく圧縮された構造化された引継ぎが必要である。

規制および訓練ガイダンスは後に、適格なシミュレーターでの高高度手動飛行および失速シナリオを含む、乱用防止および回復訓練へと移行した。これらの変更はハザードファミリーに対処するが、規則の公表は運航者レベルの有効性の証明ではない。証拠連鎖は、シラバス設計、シミュレーター適格性、インストラクター標準化、サプライズシナリオ結果、反復故障分析、是正訓練、および独立サンプリングを通じて継続するべきである。

エールフランスの組織的責任

エールフランスは、フリート構成、整備指示、運航手順、乗務員訓練、スケジューリング、安全報告、先行指標分析、および自主的緩和策が実施される速度を管理していた。すべての上流設計または認証決定を管理していたわけではないが、自社の運航におけるそれらの要素の統合を所有していた。

事故前のプローブ交換決定は、運航者が問題に行動していたことを示している。また、実施タイミングの説明責任の価値を明らかにする。特定の航空機に到達していない決定は、その航空機に対する管理とはまだ言えない。したがって、記録は承認、調達、改造開始、フリート完了、および確認された改造後性能を区別するべきである。F-GZCP については、交換は行われていなかった。

事故後、エールフランスは、外部の Trajectoire レビュー、安全文化と報告の変更、取締役会飛行安全委員会、およびより広範な安全管理作業を含む、いくつかの安全ガバナンス措置を報告した。これらは当事者の主張である。意図されたガバナンス変更を特定するために関連するが、管理が再発を防止したことを独立して確立するものではない。集計報告量も、報告チャネルの使用を示すが、必ずしもリスク分類、是正措置、または完了の質を示すわけではない。

運航者の持続可能な責任は、先行事象がリンクされていることを実証することである。9件の速度異常報告は、9件の孤立したファイルにとどまるべきではない。それらは、責任あるエグゼクティブオーナー、曝露推定、暫定運航管理、ハードウェア決定、訓練決定、規制当局通知、完了期限、および有効性テストを備えた単一のフリートハザードになるべきである。乗務員が繰り返し手順を適用しない場合、対応は遵守を促すことで止まってはならない。運航者は、手順が検索可能で、理解可能で、訓練され、手がかりと互換性があり、実際の作業負荷レベルで実行可能であるかどうかをテストしなければならない。

製造者および認証の責任

エアバスは、航空機レベルの統合、すなわちセンサー、コンピュータ、自動システム、制御則、警告、フライトダイレクター挙動、手順、および訓練前提の相互作用を管理していた。機器供給者は、その範囲内でプローブ設計を管理していた。EASA および他の当局は、その管轄内で認証および継続耐空性決定を管理していた。

認証は必然的に定義された環境と故障組み合わせに基づく。447便は、運航条件がそれらの定義の範囲外にあるか、限界を露呈した場合のリスクを示した。事故後の EASA 指令は、特定の構成の変更を義務付けながら、行動を予防的と説明した。この記録は正確に読まれるべきである。特定された不安全状態に対する強制的な構成対応を支持する。事故前の試験が致命的事象を再現したこと、または当初のプローブが当時のすべての認証要件に合格しなかったことを証明するものではない。

継続耐空性はそのギャップを埋めなければならない。現場報告が蓄積されると、実際的な問題はもはや当初の試験を正確に繰り返せるかどうかではない。それは、頻度、重大度の可能性、運航上の混乱、および利用可能な代替案の組み合わせが暫定行動を正当化するかどうかである。その決定には、書面によるリスク閾値と時計が必要である。そうでなければ、製造者の研究、運航者の試験、供給者の変更、および当局の審議はそれぞれ単独では合理的でありながら、フリートは露出したままになる可能性がある。

航空機レベルのヒューマンファクターも認証証拠に属する。成功したモード復帰試験は、正しいライトが点灯したか、または事象を予期していた専門のテストパイロットによって航空機が制御可能であったかどうかのみを問うべきではない。それは、事前警告なしに代表的なラインネット乗務員が、信頼できないデータを正しく特定し、誤った誘導を抑制し、ピッチと推力を安定化し、調整し、飛行経路が安全でなくなる前に回復するかどうかを問うべきである。テストマトリックスには、夜間、乱気流、高高度、異なる乗務員ペアリング、無効および回復中のセンサー値、反復する警報遷移、および二重入力条件が含まれるべきである。

影響を受けた当事者

直接の犠牲者は216名の乗客と12名の乗務員であった。その家族とコミュニティは、永久的な喪失、捜索中の長期にわたる不確実性、身元確認プロセス、法的手続き、および最後の数分間の繰り返される公の語りを負った。パイロットが運用上の行為者であったという事実は、彼らを犠牲者グループから除外したり、事象を個人の過誤に貶めたりするものではない。

捜索および回収要員も、広大な海域および極限深度での困難で危険な作業に直面した。公的機関、エールフランス、エアバス、科学機関、海軍資産、請負業者、専門家がリソースを提供した。BEA は、2年間にわたる5段階の捜索に3,000万ユーロ以上の費用がかかったと報告した。これは捜索努力の公式な管理上の推定であり、災害の経済的または社会的費用の包括的な推定ではない。

より広範な影響グループには、教訓がスタッフの離職とフリート変更を生き残るかどうかに安全が依存する現在および将来の乗客と乗務員が含まれる。業界全体の運航者と製造者は、新しい訓練、追跡、記録装置、および機器の期待を吸収した。規制当局は、どの教訓に強制的行動が必要で、どれがガイダンスに留まるかを決定しなければならなかった。これらの負担は予防の正当な結果であるが、遵守が有効性の代用にならないように測定されるべきである。

救済にはいくつかの形態がある。家族は認識、補償、および裁判を求めることができる。刑事法は機関の過失を宣言し、刑罰を課すことができる。安全調査は予防的変更を特定できる。規制は最低管理を変更できる。企業は支援を提供し、運営を改革できる。どれも互換性はない。罰金は命を回復しない；補償は訓練管理を証明しない；勧告は罪を決定しない；企業安全プログラムは法的請求を解決しない。

捜索、回収、信頼できる証拠への権利

約2年間、決定的な記録装置は行方不明であった。最初の捜索は2009年6月1日に開始された。6月6日から18日にかけて、チームは浮遊残骸と50名の遺体を回収した。水中位置特定ビーコンの音響捜索が続き、追加のキャンペーンは漂流、航空機性能、および以前の捜索範囲の確率のますます洗練された分析を使用した。

第4の主要な海洋捜索段階は2011年3月に開始された。4月3日、残骸フィールドは最終既知位置の北方約6.5海里、水深約3,900メートルで発見された。フライトデータレコーダーは5月1日に発見され、翌日回収された。コックピットボイスレコーダーは5月3日に回収された。BEA は5月13日にデータが読み取り可能であると発表した。司法当局の下で、回収作業は身元確認のための追加の遺体も引き上げた。

記録装置の回収前、調査官は自動整備メッセージ、気象データ、残骸、運航記録、および先行事象の証拠を持っていた。これらの情報源は仮説を支持したが、制御シーケンスを確立することはできなかった。記録装置の回収は事例を変革した。一部の推測を反証し、持続失速を明らかにし、警告と入力を同期させ、実際の連鎖に基づく勧告を可能にした。

この経緯は、証拠の回収可能性を、管理的な後付けではなく、実質的な安全管理とする。説明責任のあるシステムは、遭難した航空機を迅速に位置特定し、十分な記録時間を確保し、位置特定装置を予想される捜索間隔にわたって効果的に保ち、重要なデータを送信または回収できなければならない。後の欧州規則は、水中位置特定装置の持続時間を延長し、特定の航空機集団に対する記録装置および追跡要件を強化した。ICAO の自律的遭難追跡要件（2024年から特定の新規認定大型機に適用）は、遭難時の分単位の位置送信を追加する。これらは重要な進歩であるが、その範囲と発効日が重要である。すべての航空機を遡及的に装備するわけではなく、すべての環境での回収を保証するものではない。

耐久性のある指標は、規則が存在するかどうかではない。異常事象から最後の信頼された位置までの時間、ビーコンが予想される捜索ウィンドウに対して機能する確率、記録装置の生存性、回収資産の可用性、データ読み出しの成功、およびエンドツーエンド訓練の頻度である。公的報告は、どのフリートセグメントがカバーされ、どれが新しい要件の対象外であるかを明確にすべきである。

安全調査と刑事裁判

BEA は、安全調査は将来の事故を防止することを目的としており、責任の帰属または責任の判断を行わないと繰り返し述べている。その報告書は他のプロセスに証拠を提供することができるが、その因果関係の言語は刑事評決として扱われるべきではない。この制度的分離は、率直な安全分析を保護し、裁判所によって適用される明確な法的テストを保持する。

司法の道のりは長かった。予審判事は2019年に不起訴決定を下した。2021年、予審部はエールフランスとエアバスを裁判にかけるよう命じ、破毀院は会社の異議申し立てを認めなかった。2023年4月17日、パリ刑事裁判所は両社を無罪とした。検事総長は控訴した。

2025年9月29日から11月27日までの控訴審理の後、パリ控訴院は2026年5月21日に判決を言い渡した。その公式キーポイント文書は、エールフランスとエアバスが過失致死罪で有罪となり、それぞれに22万5,000ユーロの罰金（文書に記載された法定上限額）が科されたと述べている。これは司法判断であり、主張ではない。2023年の無罪判決を覆した。

最終性は別の問題である。エアバスは破毀院に上告すると発表した。同時代の報道によれば、エールフランスも同様の意向であるとされた。破毀上告は新たな完全な事実審理ではなく、法的な妥当性を審査する。2026年7月17日の時点で、結果は未解決であった。したがって、有罪判決がさらなる審理を超えていると説明することは不正確であろう。

公的にアクセス可能な公式控訴裁判所資料は簡潔である。キーポイントと保持された過失の要約された声明を提供するが、完全な理由付き判決ではない。この区別は、短い公的概要が、有罪判決、罰金、手続き日付、および広範な過失カテゴリーの存在を確認できるが、裁判所の法的推論のページごとの再構築を支持しないために重要である。二次的な情報源は、裁判所が情報、訓練、およびプローブ関連リスクの処理に関連する会社の欠陥を特定したと説明しているが、これらの説明は公式記録よりも優先されるべきではない。堅牢な記述はより狭い：控訴裁判所は両企業被告を有罪とし、記載された罰金を科した；詳細な推論の公的範囲および係属中の破毀手続きの両方が最終解釈を制限する。

民事救済も部分的にしか可視化されていない。仮補償に関する2015年の破毀院決定は、モントリオール条約の閾値を超える責任をその手続き段階で深刻に争われているとして扱った判決を支持した。それは各家族の最終的な補償を決定したり、私的和解の条件を公表したりしなかった。したがって、総補償額の推定は憶測になる。

救済策が変えたもの、変えられなかったもの

ハードウェア対策は直接的であった。エールフランスはプローブ交換を完了し、EASA の2009年耐空性指令は影響を受ける A330 および A340 フリートに構成変更を義務付けた。異なるプローブ構成は、一つの引き金リスクを低減する。シーケンス内のすべての原因に対処するわけではなく、すべての空気データ異常事象を排除することはできない。

訓練対策は拡大した。EASA は高高度での手動飛行訓練を促進し、後の欧州規則は乱用防止および回復訓練をプロのパイロットおよび型認定経路に組み込んだ。適格なフルフライトシミュレーターは、最大運用高度付近のシナリオをサポートすることが期待された。改善策は概念的には事故と一致している：パイロットは、ラインネット運用で直面する前に、サプライズ、エネルギー喪失、失速接近の手がかり、および回復優先順位を経験しなければならない。

設計および認証作業は、ピトー管着氷、自動化方針、飛行記録、警告および訓練問題に対処した。捜索の教訓は、より長い持続時間の位置特定装置、改善された追跡、および記録装置要件に貢献した。エールフランスは内部安全ガバナンス改革と独立レビューを説明した。

各救済策には限界がある。プローブ交換は構成固有である。訓練は、反復的で現実的で評価されない限り劣化する。シミュレーターの忠実度はすべての空力的手がかりを再現しないかもしれない。ガイダンスは非強制的である可能性がある。新しい追跡規則は、特定の日付以降に初めて認証された航空機にのみ適用されるかもしれない。記録装置の持続時間と位置はそれ自体では事故を防止しない。取締役会委員会は、最高リスクの先行指標を解決せずに存在できる。刑事罰金は機関の不正を認識できるが、損失の規模に比べて小さく、運航上の修復を証明できない。

また、帰属の限界もある。後の多くの規則は、447便のみではなく、複数の事故および業界研究によって形成された。公式文書がそう述べている場合、447便の勧告が政策記録に貢献したと言うことは適切である。すべての乱用訓練または追跡改革がこの事故によってのみ引き起こされたと主張することは適切ではない。

比較：同じハザードファミリー、異なる結果

最も有用な比較は事故前の証拠の内部にある。エールフランスの9件の先行速度異常事象は致命的な持続失速にはならなかった。これはそれらが無害であったことを意味するものではなく、乗務員がまったく同じ条件に直面したことを確立するものでもない。一時的な速度不一致が航空機の喪失と機械的に同等ではなかったことを示している。

その乖離は障壁の特定に役立つ。制御された状態を保った事象では、乗務員はピッチと推力を安全な範囲内に保ち、信頼できるパラメータで飛行経路を監視し、速度異常手順を認識し、調整し、誤ったデータを追跡することを避けた。447便では、それらの障壁は間に合わなかった。引き金となる技術的ファミリーは既知であった；結果が異なったのは、入力、表示、警告論理、高度、サプライズ、調整、および訓練の特定の組み合わせがエネルギー状態の悪化を許したからである。

この比較はまた、ハードウェアに関する主張を規律する。すべての先行事象が生存可能であったなら、プローブだけで墜落が事前に決定されていたと言うのは誤りであろう。反復事象が存在し、フリート変更が進行中であったなら、引き金となるハザードを予見不可能なノイズとして扱うことも同様に誤りである。説明責任は、再発する信号を認識してからすべての必要な障壁を有効にするまでの間隔にある。

第二の比較は時間的である。記録装置回収前、公の理解は主に断片的なメッセージと競合する仮説に依存していた。回収後、調査官は持続失速と実際の入力シーケンスを特定できた。航空機は変わらなかった；制度的知識の質が変わったのである。これが、耐久性のあるデータが公的正当性の一部である理由である。家族、裁判所、規制当局、乗務員、技術者は、回収可能な証拠が何が起こったかを確立できるときに、制度的信頼に頼るべきではない。

実用的な管理基準

447便の教訓が実施されたと主張する運営者、製造者、または規制当局は、具体的な管理基準に対する証拠を提出できるべきである。

第一に、空気データ管理は、設置されたすべてのプローブ構成、影響を受ける航空機、認証根拠、既知の環境限界、故障および迷惑率、公開中のサービスブリテン、指令ステータス、および是正措置までの時間を特定すべきである。傾向データは、整備故障と運航報告を別々の集団として扱うのではなく、組み合わせるべきである。

第二に、ハンドオフ管理は、自動化がデータを拒否したときに乗務員が何を見て聞くかを定義すべきである。試験証拠は、ラインネット乗務員が問題を特定し、制御則の変更を理解し、信頼できない誘導を拒否し、飛行経路を安定化させることを示すべきである。結果は、経験、役割、サプライズ、高度、乱気流、および乗務員ペアリングによって層別化されるべきである。平均だけでは、遅れたまたは不正確な応答の危険な裾野を隠す可能性がある。

第三に、訓練管理はパフォーマンスを測定すべきである。記録は、安全なピッチと推力を確立するまでの時間、最大高度と速度の逸脱、失速を特定するまでの時間、迎角低減、タスク共有の質、二重入力処理、および乗務員が明確な診断コールを使用するかどうかを捉えるべきである。出席証明書は曝露を証明するが、能力を証明しない。

第四に、先行指標管理は報告を決定に結びつけるべきである。すべての再発事象ファミリーは、ハザード記述、重大度と曝露評価、責任者、暫定緩和策、恒久的是正措置、期限、エスカレーション閾値、規制当局インターフェース、および独立した有効性レビューを持つべきである。現場データが前提と矛盾する場合、クロージャは再開されるべきである。

第五に、証拠回収管理は、最終既知位置の遅延、追跡範囲、ビーコン耐久性、記録装置持続時間、読み出し能力、および回収訓練を報告すべきである。免除および新しい規則の対象外の旧型航空機は、フリート平均に隠れるのではなく、可視化されるべきである。

第六に、ガバナンスは残留リスクを読み取り可能にすべきである。取締役会安全委員会は、最も影響の大きい先行指標ファミリー、期限切れの管理、失敗した訓練シナリオ、未解決の規制当局所見、および反対の技術的見解を受け取るべきである。議事録は個人またはセキュリティに敏感なデータを公開する必要はないが、決定、責任者、リソース、およびフォローアップの監査可能な記録を残すべきである。

これらの管理は、1つの組織がゼロ事故を保証できるふりをすることなく責任を配分する。基準は完璧ではない。それは、機関がハザードを認識し、比例した障壁を選択し、曝露された集団全体に実施し、現実的な条件下でテストし、失敗を発見し、修正したことを示すことができるかどうかである。

2026年7月時点での耐久性のある検証

公開記録は、いくつかの高い確信度の結論を支持する。プローブ構成は、運航者の行動と EASA の強制指令により変更された。安全調査の勧告は、訓練、認証、警告および表示挙動、運航者フィードバック、監視、捜索、および記録に対処した。欧州の乱用防止および回復要件はより明確になった。追跡および記録装置規則は特定の航空機カテゴリーに対して強化された。エールフランスは安全ガバナンスの変更を報告した。刑事事件は、さらなる審理の対象となる控訴中の企業有罪判決を生み出した。

公開記録は有効性に関しては不完全である。BEA の41件の勧告すべてを実施成果物、独立した受入、フリート範囲、および測定された結果にリンクする単一の公開された事象固有のクロージャファイルは存在しない。運航者の報告はプログラムを高レベルで説明するが、シナリオレベルの反復訓練パフォーマンスや、447便タイプのサプライズ事象に対する管理された事前事後測定を公開していない。公開認証および規制記録は基準と行動を示すが、すべてのヒューマン・イン・ザ・ループ試験結果を示すわけではない。私的な民事和解および支援結果は包括的に公開されていない。2026年の公式控訴概要は完全な判決に代わるものではなく、技術的安全勧告の実施監査として機能するものではない。

これらは不確実性であり、修復が行われなかったという証拠ではない。それらは、耐久性のある検証パッケージが何を追加する必要があるかを定義する。

強力なパッケージは、BEA 勧告、責任機関、公式対応、実施された技術的または運航上の変更、カバーされる集団、完了日、受入試験、結果、残留制限、および再評価日を保存するだろう。バージョン管理されたシミュレーターシナリオおよび匿名化された集計パフォーマンスを保持するだろう。以前の速度異常パターンが異なる機器またはソフトウェアの下で再発するかどうかを示すだろう。追跡および記録装置要件からの免除を文書化するだろう。取締役会レビューを是正措置クロージャにリンクするだろう。

パッケージはまた、不一致を保存すべきである。運航者、製造者、規制当局、調査官、および裁判所が異なる因果関係言語を使用する場合、記録は人工的なコンセンサスを強制すべきではない。どの機関がどの所見を、どのような権限の下で、どの証拠を使用して、どのような上訴または審査ステータスで行ったかを特定すべきである。これにより、技術的学習と法的説明責任が、一方が他方を歪めることなく共存できる。

説明責任の結論

447便は、自動化がパイロットを置き換えたという道徳物語でも、人間の制御が本質的に安全であるという証明でもなかった。オートパイロットが疑わしいデータから撤退したことは合理的であった。失敗は、結果として生じるハンドオフが、実際の条件下での診断、安定化、調整、および回復を確実に支援しなかったシステム内で発生したことである。

ピトー管閉塞が引き金であった。持続的な喪失は、手動入力と逃された回復機会を通じて進行した。根本条件はコックピットを超えて、センサーの堅牢性、モードと警告のセマンティクス、高高度訓練、シミュレーター能力、運航者の先行指標学習、認証前提、監視、および証拠の回収可能性に及んだ。したがって、責任は未分化のシステムではなく、特定の障壁に帰属する。

エールフランスは、航空機、手順、訓練、整備、報告、およびフリート変更の安全な統合に責任があった。エアバスは、航空機レベルの設計統合、情報、およびその範囲内での支援に責任があった。機器供給者および当局は、それぞれの定義された義務を負っていた。パイロットは運航上の義務を負っていたが、それらの義務は機関によって設計されたツールと準備の範囲内に存在した。BEA は技術的安全連鎖を確立した。パリ控訴院は後に2つの企業被告に刑事責任を課したが、破毀審査は時点で未解決のままであった。

耐久性のある教訓は運航上のものである。自動化が制御を戻したとき、受け取るチームには警報とマニュアル以上のものが必要である。理解可能な状態、訓練された安定化行動、調整された権限、現実的な練習、およびサプライズ下で全体の制御が機能するという証拠が必要である。機関がそれらの条件が現在存在すると言うとき、それを証明できなければならない。

出典注記

1. BEA 調査ページは、公式の事象、捜索、記録装置回収、公表、および調査目的の年表を提供する。
2. BEA 最終報告書は、飛行シーケンス、先行速度異常事象、航空機システム、訓練、運航者フィードバック、因果所見、および勧告の主要な技術的記録である。
3. 第1次中間報告書は、記録装置回収前の初期証拠状態と後知恵の制限を保存している。
4. 第2次中間報告書は、残骸が発見される前の技術的および運航上の作業を文書化している。
5. 第3次中間報告書は、記録装置ベースの年表と BEA の最初の回収後安全分析を提供する。
6. 飛行データ年表付録は、時間、高度、ピッチ、警告、誘導、および制御則シーケンスを支持する。
7. エールフランス速度異常手順付録は、安定化と診断に関連する運航者手順を記録している。
8. エアバス速度異常手順付録は、製造者と運航者の手順資料の比較を可能にする。
9. エールフランス訓練付録は、事故当時に有効な訓練内容の説明を支持する。
10. ピトー管認証付録は、認証包絡線の文脈とその限界を提供する。
11. エールフランス失速手順付録は、運航者の追加手順とその配置を記録している。
12. エアバス失速警告付録は、警告論理と文書化分析を支持する。
13. BEA 最終勧告は、責任の帰属なしに認証、訓練、運航、監視、捜索、および記録にわたる予防行動を特定する。
14. BEA 海洋捜索報告書は、深海捜索の規模、段階、方法、および結果を文書化している。
15. 飛行データ回収作業部会報告書は、追跡と回収可能な証拠を予防的管理として扱うことを支持する。
16. EASA 耐空性指令2009-0195は、事故後の強制的なピトー管構成措置とその予防的認証文脈を提供する。
17. EASA の最終報告書への対応は、着氷、自動化、訓練、および関連勧告に関する当局の表明された作業を記録している。
18. EASA 安全情報速報2015-17R1は、速度異常と高高度手動飛行に対処するが、非強制的なガイダンスである。
19. 委員会規則(EU) 2018/1974は、後の欧州の乱用防止および回復訓練要件を提供する。
20. 委員会規則(EU) 2015/2338は、後の飛行記録装置、水中位置特定、および追跡要件を記録し、行動の一部を事故勧告に明示的に結び付けている。
21. ICAO 自律遭難追跡ガイダンスは、より新しい分単位の遭難位置要件の範囲と日付を定義する。
22. 2021年破毀院決定は、エールフランスとエアバスの裁判への手続き的送致を確立する。
23. パリ控訴院プレスリリースページは、2026年5月21日のリオ・パリ控訴資料の公式公開文脈である。
24. 2026年5月21日パリ控訴院キーポイント文書は、控訴審有罪判決、罰金、および手続き経過の公式情報源である。
25. エアバスの2026年5月21日声明は、破毀審査を求める決定の当事者証拠であり、判決の独立した分析ではない。
26. 2015年破毀院民事決定は、限定的な仮補償の点を提供し、家族救済の完全な説明として読まれるべきではない。
27. 2026年判決に関する同時代の報道は、報告されたエールフランスの破毀上告の立場および短い公式概要では利用できない文脈のためにのみ使用される；判決記録に対して二次的である。