Cool Hand

Bonsoir à tous, Mentour a remis sa vidéo en ligne agrémentée de quelques explications. La partie en simulateur commence à 10mn 10s.

Elle a visiblement été à nouveau retirée. Elle faisait près de 5mn. Un "gif" de 11 secondes persistes néanmoins:

Pour avoir une petite idée (*) de ce qu'a pu vivre l'équipage du vol ET302. On y voit comment le copilote a du mal à utiliser la roue de trim, pendant que le CDB retient le manche avec...ses bras. (*) vidéo non totalement représentative (reconstitution basée sur les données Flightradar la veille de la publication du rapport d'enquête)

Jake Grafton et Stuart Rosenberg (Luke la main froide). Oui, révise, ton avis m'intéresse. Tu t'es intéressé au Lion Air 610 ?

On dira qu'en remise de gaz en finale il est forcément désactivé (volets). Mais sinon d'accord avec le principe que le fait d'inhiber le MCAS ne résout pas le problème. Salut fool !!

Sur un Liner, ce sont d'importantes variations et répétitives de facteur de charge. Il suffit de regarder la courbe sur le relevé pour voir clairement le changement d'un vol normal avant l'activation du MCAS et après. S'agissant de l'impossibilité physique d'utiliser la roue de trim, je doute que cela soit impossible passé VMO et facile à VMO... Et oui, je pense que maintenir le manche au ventre à VMO+ avec un PHR à piqué pendant 3 minutes est épuisant. https://leehamnews.com/2019/04/03/et302-used-the-cut-out-switches-to-stop-mcas/ https://leehamnews.com/2019/04/05/bjorns-corner-et302-crash-report-the-first-analysis/ Personne n'a besoin de moi pour ça ; le CDN du 737 MAX est suspendu. Demander à un pilote de rendre la main quand il est confronté concomitamment à plusieurs alarmes GPWS "Sink Rate" (4 alarmes pour une durée totale de 20s) est inconcevable. Avec le MCAS, c'est un peu le même cas. On a un système qui agit sur les commandes de vol par transparence. Qu'il devrait être soumis aux mêmes règles, la question peut se poser. Le MAX possède biens des CDVE pour les commandes de vol secondaires (spoilers), et je ne serai pas surpris que le second défaut qui aurait été découvert pendant l'enquête les concernes, même si on entend plutôt parlé des volets. Sur le MAX, il est indiqué sur les documents (en ma possession) à l'attention des pilotes en transformation NG-->MAX, que les interrupteurs (PRI et B/up) coupes chacun les deux circuits (Deactivates main electric and autopilot trim operation). J'ai un doute à ce sujet, mais c'est ce qui est indiqué.

Cette procédure existait sur les premières versions 737 (100/200). Cette technique était appelée "les montagnes russes" ou "yoyo" (tout un programme). J'imagine qu'il fallait un minimum d'eau sous la quille pour s'y risquer. Il faudrait l'essayer au simulateur avec un équipage non préparé à l'altitude de l'ET302 avec bien sûr les alarmes du GPWS "SINK RATE"... La seule question à se poser est pourquoi ils réactivent le STAB TRIM ? Certainement parce qu'ils en ont plein les bras. Quand vous dites qu'ils ont à peu près stabilisé la situation, ils ont le manche au ventre, tirant plusieurs dizaines de kilos, pour compenser le PHR qui est à piqué et n'arrivent pas à trimer à la main, en subissant d'importantes variations de facteur de charge et tout ça pendant 2 minutes. Ils sont très certainement physiquement épuisés. A ce stade, il est utile de rappeler que la règlementation exige que l'avion soit contrôlable en toute situation par un seul pilote, et sans nécessiter une force ou une adresse excessive (par une femme par exemple). Dans le cas du Lion Air, les forces qu'exerçaient l'équipage sur les commandes étaient telles que les manches se sont découplés, la liaison cédant en fin de vol. Je doute fort que Boeing tente de se défausser (le terme est intéressant) même partiellement sur l'équipage. Leur barque est suffisamment chargée.

Oui, on peut d'ailleurs difficilement parler d'erreur. Quand une procédure (raccro qui plus est) ne fonctionne pas et qu'il n'en existe pas d'autres auxquelles se raccrocher, il faut parfois en inventer. Il y a un cas un peu similaire qui est arrivé il y a quelques années à un A330 d'Eva Air (je crois). Suite au gèle des sondes d'AoA, la protection grande incidence s'est activée amenant l'avion dans un piqué infernal. Si ma mémoire est bonne, l'équipage a coupé les ADR (en "violation" de toute procédure), ce qui a permis de sortir de la loi normale des CDVE et d'inhiber ces protections. S'ils n'avaient pas "violé" les procédures, ils seraient sans doute tous morts... Dans le cas de l'ET302, je pense aussi que constatant que la procédure était non-opérante dans leur cas, ils ont jugé qu'ils n'avaient d'autres choix que de réactiver le STAB TRIM. Tout ceci n'étant que spéculation basé sur le relevé DFDR où l'on constate deux actions du trim électrique, le rapport n'indiquant pas que les switch ont été replacés sur "normal". Pour revenir au rapport, je me demande comment un tel système, peut considérer comme valide une valeur d'AoA de 74,5°, corrélée aux autres paramètres qui eux sont stables...

C'est non seulement légitime pour le MCAS, et ça va peut être l'être pour l'AD non-opérationnelle. Bien sur qu'il faut penser "fonction". C'est d'ailleurs de la fonction que les constructeurs partent pour réaliser leurs analyses de sécurité : - Ils identifient les fonctions souhaitées - Ils recherchent les conditions défaillantes liées à chaque fonction pour déterminer les possibles configurations de panne, avec des outils tels que les "arbres de défaillances" (1) ou les "graphiques de Markov" (2). - Ils définissent une criticité pour chaque configuration de panne en fonction de ses effets - Ils en déduisent des exigences (normes à respecter en fonction de la criticité) pour prévenir chaque panne ou maintenir leurs conséquences à un niveau acceptable - Ils démontrent que l’étude est complète et que les résultats sont conformes à la réglementation : la probabilité d’occurrence de chaque panne est inférieure ou égale à l’objectif déduit de la criticité. J'aimerais bien voir la gueule de l'arbre des défaillances lié au MCAS... Un fonctionnement intempestif est une défaillance. Dans le cas qui nous occupe, une défaillance grave. Entièrement d'accord, il y a d'autres choses à analyser (3). Le plan B en question faisait parti de ce que souhaitait proposer Boeing, non pas multiplier les sondes mais au moins les comparer afin de pouvoir désactiver le MCAS. Dans ce cas, se pose la question de la poursuite du vol sans ; est-ce acceptable (LAND ASAP) ? Ce serait tout de même un moindre mal. 3 sondes, c'est comme ça fonctionnent les Airbus depuis le 320, ça fonctionne plutôt bien, même s'il y a eu quelques pannes et que les deux systèmes sont peut être difficilement comparable. (1) https://fr.wikipedia.org/wiki/Arbre_de_défaillances (2) http://www.unit.eu/cours/cyberrisques/etage_3_aurelie/co/Module_Etage_3_synthese_61.html (3) https://www.lesechos.fr/industrie-services/air-defense/boeing-a-trouve-une-seconde-faille-dans-le-logiciel-du-737-max-1006938

Bonjour, Qu'est-ce qui vous fait dire ça ? Si j'évoque ces différentes autorités c'est qu'à peu près toutes, ont eu, ont ou auront un rôle à jouer dans cet accident. Les autorités de certifications posent des exigences ; les constructeurs doivent les remplir et disposent d'outils pour démontrer qu'ils y répondent (ARP 4754 et 4761). Ces outils permettent de produire des analyses en sûreté de fonctionnement des systèmes de bord (FHA, SSA, PRA, ZSA, CMA). Plus probablement, impossibilité physique du aux forces aérodynamiques (VMO). Ce qui expliquerait qu'ils aient réarmé les interrupteurs du STAB TRIM (avis de béotien)

Ca n'en fait pas un argument. Mais ça tombe très bien, c'est justement ces compétences qui sont remises en question par ces tristes événements. Pas au niveau de la maintenance, mais de la conception. On est en plein dans le sujet.

D'accord, donc quand vous dites que les autorités de régulations "n'ont aucun pouvoir de contrôle" ; ce n'est pas en contradiction avec le document que je produis, qui défini les missions, dont celle de l'inspection. Bah non, il suffit d'en modifier insidieusement le sens ; démonstration : J'ai mis en gras vos "ajouts" et "suppressions", qu'il vous reste maintenant à étayer : C'est sans doute ce que vous appelez de la vulgarisation... Au vue de ce qui précède, vous comprendrai que je vous renvoie le compliment, qui ne caractérise que vos propres turpitudes.

S'agissant du MAX, on ne leur en demandait pas plus. Ils n'ont aucun pouvoir de contrôler que la règlementation s'applique ? Et qui s'en charge alors ? Vous devriez peut être vous intéresser aux règlements européens relatifs à la création et aux missions de l'AESA, par exemple. Je dois avouer que j'ignore tout de ce qui est hors domaine aéronautique.

Vous aurez compris que je ne suis pas pour supprimer les autorités de certification. Mais si c'est juste pour mettre un coup de tampon sans vérifier la qualité, ça n'a pas de sens. Et bien sur qu'ils ont un rôle de flic au travers de leur contrôle. Sur votre seconde phrase, c'est ce qui se passe actuellement avec le 737 MAX ; les acheteurs sont en train de se rendre compte de la qualité, car ceux qui en sont théoriquement en charge ont manifestement failli. La démonstration par l'exemple.

Alors tout va bien, fermons les agences de certification puisqu'il existent des tribunaux. Ce que vous décrivez est une forme d'autorégulation, de dérèglementation. On a vu ce que ça a donné avec les marchés financiers. Qui en a payé le prix au final ? Pourquoi ne pas essayer la même chose avec les médicaments (ce qui est déjà un peu le cas d'ailleurs). Un labo met sur le marché une nouvelle molécule et s'il y a des morts, leurs ayant droit n'auront qu'à ester en justice. Les marchés se chargeront du reste. Parmi les pouvoirs de ces autorités, il y a le contrôle, qu'elles le fassent. Etant donné la complexité des avions actuels, qu'elles travaillent avec les constructeurs ne me choque pas si tout cela reste bien encadré. Dans le cas du 737 MAX, il ne s'agit pas d'un avion nouveau mais d'un avion avec des nouveautés, le contrôle ne devait pas être si colossal que ça, et pourtant...

Quelques caractéristiques sur les enregistreurs de vol: Tolérance à l'impact : résistance à une accélération de 5 000 g pendant une durée de 6,5 millisecondes sur une cible Résistance à l'écrasement statique : 22,25 kN (2 267,96 kg) sur chaque axe Résistance au feu haute température : 1 100 °C pendant une heure Résistance au feu basse température: 260 °C pendant 10 heures Résistance à la pression de l'eau : 7 000 mètres (correspondant à plus de 500 bars) Durée d'émission de la balise subaquatique (en cas d'immersion) : 30 jours Pour approfondir le sujet : https://www.bea.aero/etudes/exploitation.des.fdr/exploitation.des.fdr.htm

Same Player Shoot Again : http://www.lefigaro.fr/flash-eco/737-max-boeing-doit-revoir-sa-copie-sur-le-systeme-mcas-20190401

Comment le comprenez-vous ? "Evalué une défaillance du système au niveau en dessous de catastrophique. Mais même ce niveau de "dangereux" aurait dû empêcher l'activation du système sur la base d'une entrée provenant d'un seul capteur - et pourtant, c'est ainsi qu'il a été conçu. " Tout dépend de ce qu'on place devant le terme "évalué". Le paragraphe précédent commence par "Nous avons...". J'en déduis qu'ils (Boeing/FAA) ont évalué son niveau de criticité à "dangereux" (B), mais qu'il n'en rempli pas les conditions. Il est donc de niveau C. Et ils le savaient. Comment évaluez-vous la différence de criticité ? Les questions qui se posent aujourd'hui sont : quelle doit être son niveau ? B ou A ? Et leur mise à jour suffit-elle à rejoindre l'un de ces deux niveaux, voir les deux ?! Personnellement, j'en doute.

Bonsoir tout le monde, A propos de la criticité des systèmes en aviation civile (conséquences/probabilités) ; nommons les A,B,C et D A: catastrophiques --> perte de l'avion ou accident mortel --> doit être extrêmement improbable --> (10-9)/heures de vol B: Dangereuse --> Dangereuse dégradation des marges de sécurité. Dangereux accroissement des charges de travail équipage. Conditions marginales occupants --> extrêmement rare --> (10-7)/heures de vol C: Majeure --> Dégradation notable des marges de sécurité ou augmentation sensible des charges de travail équipage --> rare --> (10-5)/heures de vol D: Mineures -->Légère dégradation avion ou faible augmentation des charges de travail équipage--> probable --> (10-3)/heures de vol Pour les logiciels et matériels équipant ces systèmes, c'est pareil. Un système dont la panne serait catastrophique sera de niveau A, etc...des normes strictes encadrent tout ça. D'après ce que j'ai pu lire à droite à gauche ces derniers jours, le MCAS répondrait à un niveau C ; il devrait répondre à un niveau B ; les propositions de Boeing à ce jour ne permettraient pas d'atteindre ce niveau. Sympa cette vidéo.

A lire ce matin : https://www.reuters.com/article/us-ethiopia-airplane-controls-explainer/change-to-737-max-controls-may-have-imperiled-planes-experts-say-idUSKCN1R322M https://www.satcom.guru/2019/03/ethiopian-et302-similarities-to-lion.html#more

Absolument !!

Le trim n'est pas le premier problème qu'ils ont à comprendre et traiter. Quelques secondes après la rotation, ils sont confrontés à un "stick shaker" coté gauche dans le cas du Lion Air, où se situe le Pilote en Fonction pour ce vol, ainsi qu'un certain nombre d'alerte dont "IAS DISAGREE" ; "ALT DISAGREE". A ce stade, le MCAS est inactif (volets sortis en phase de décollage). L'équipage est donc concentré sur la compréhension et le traitement de ces pannes, tout en assurant la trajectoire, les échanges ATC...quand survient l'ordre à piquer du MCAS au moment où il rentre le dernier cran de volet. Ils manquent de disponibilité mentale, occupés qu'ils sont par le traitement des pannes précédentes. Oui, lui avait le recul nécessaire, une vision d'ensemble depuis le jump-seat ET la disponibilité mentale alors que ses collègues étaient saturés par les premières pannes). De ce que j'ai compris, Boeing proposerait une correction logicielle. Cette dernière comprendrait le message/voyant "AOA DISAGREE" en standard (de série) alors qu'il était associé à l'option "indicateur d'incidence" c'est à dire à une double option, ce que je trouve scandaleux. Il comprendrait aussi de permettre une comparaison entre les deux sondes existantes (si écart > à 5,5° pendant une certaine durée) qui inhiberait le MCAS. Plus d'autres trucs en rapport avec "la puissance" de l'effet du MCAS. Boeing espère sans doute que cela s'avèrera suffisant. Reste à voir le problème de la certification. Car si le MCAS est un élément de sécurité nécessaire à la certification, une inhibition pourrait ne pas être jugé pertinente. Auquel cas, seule une redondance (installation d'une troisième sonde) satisferait à la certification. Et là, c'est plus le même coût pour Boeing... Enfin, à ce stade de nos connaissances, il n'est pas certain que le défaut provienne des sondes (en particulier si on constatait que l'écart entre les deux était identique entre le vol Lion Air et Ethiopian), mais peut être de la transmission ou du traitement du signal.

Quelques pistes intéressantes à ce sujet: https://www.youtube.com/watch?v=9Ts_AjU89Qk&feature=share

Il n'y a pas d'intention dans "l'homicide involontaire". Ca reste néanmoins une qualification de faits graves. Le Figaro parle d'un voyant qui indiquerait un dysfonctionnement du MCAS. Je pense qu'il s'agit plutôt de rendre "standard" (de série) l'"AOA DISAGREE" (signalé à l'équipage un désaccord dans la mesure de l'incidence), comme l'indique cet article du New York Times édifiant : https://www.nytimes.com/2019/03/21/business/boeing-safety-features-charge.html