Boeing

[jojo (lo savoyârd)]

il y a 46 minutes, DEFA550 a dit :

C'est ce qui arrive lorsqu'on apprend à suivre des procédures et plus à "piloter" une machine, ce qui suppose d'en comprendre (et non connaître) le fonctionnement en détail.

Après, dans le cursus actuel des PNC, c'est "presque" tout ce qu'on leur apprend (je grossis le trait) et surtout ce qu'on leur demande commande à suivre sans dévier, les procédures ... C'est maintenant presque plus des techniciens conducteurs controleurs que des pilotes au sens où on l'entend usuellement ... Donc oui, une certaine "déresponsabilisation" involontaire, et une certaine crainte aversion à se risquer hors des balises (dans le sens faire autrement pour un résultat identique voulu lorsque le matos foire) ... 

Ensuite, nombre de pilotes en activité sont demandeurs d'une formation plus "aéro" dans le sens traditionnel et plus approfondie des systèmes (fonctionnement, gestion des pannes, analyse des séquences de procédures et de leurs effets induits ... ) Mais ce n'est pas trop dans la philosophie du moment, et çà coûte en temps et en budget.

Donc oui, et surtout avec ce qui est en gras ..

[Cool Hand]

il y a 50 minutes, DEFA550 a dit :

Dans la vie, il y a deux façons de voir les choses : attendre que les problèmes arrivent pour les régler, ou les anticiper pour éviter d'avoir à s'en occuper. Dans un avion on fait les deux. La technique cherche à anticiper les problèmes, et l'équipage est là pour résoudre ceux qui se présentent. Et c'est pourquoi, n'en déplaise aux "pilotes", les accidents sont le produit d'une anticipation et d'une résolution ratée, faisant intervenir la technique et le facteur humain. De là on rejoint ce que je disais l'autre jour, dès qu'on saura tout anticiper on n'aura plus besoin de traiter de problèmes et il n'y aura plus besoin d'équipages.

Attendre que les problèmes arrivent pour les régler, c'est précisément ce qu'a fait Boeing. 

Vous disiez l'autre jour que la dernière plaque de Reason (pilotes) était celle sur laquelle on compte le plus. Si tel est le cas, on est loin de supprimer les pilotes des cockpits. Boeing avait tous les moyens et toutes les compétences pour anticiper les défaillances liées au MCAS. Le modèle de Reason se veut pro-actif ; plus on bouche les plaques en amont, mieux c'est.

Citation

N'empêche que ceux qui ont expérimenté un fonctionnement intempestif du MCAS l'ont contrôlé en utilisant le trim de profondeur, à plusieurs reprises, constatant des améliorations à chaque fois, mais sans jamais avoir l'idée que le défaut venait d'une commande inattendue de ce trim et qu'il convenait peut-être d'en couper l'alimentation (sauf l'équipage précédent du vol Lion Air). Et ceux d'Ethiopian Airlines qui étaient au courant de la chose ont quand même réussi à perdre l'avion. Bel exploit !

L'équipage de l'ET302 a coupé ce trim électrique ce qui n'a pas permis de récupérer l'appareil. Il semblerait que l'utilisation des roues de trim manuelles ne soient pas aisée dans toute l'enveloppe de vol (même si eux l'ont dépassé). Ce qui mériterait de s'intéresser à l'ensemble des versions du 737 sur ce point. Mais tout ça va gentiment être mis sous le tapis.

Citation

 

 

[DEFA550]

il y a 38 minutes, Cool Hand a dit :

Vous disiez l'autre jour que la dernière plaque de Reason (pilotes) était celle sur laquelle on compte le plus. Si tel est le cas, on est loin de supprimer les pilotes des cockpits. Boeing avait tous les moyens et toutes les compétences pour anticiper les défaillances liées au MCAS. Le modèle de Reason se veut pro-actif ; plus on bouche les plaques en amont, mieux c'est.

Boeing n'avait pas les moyens d'anticiper que des pilotes ne seraient pas assez "futés" pour faire le rapprochement (présumé) avec la procédure de déroulement de trim. Il est là le point de départ de toute cette histoire.

Effectivement, plus on bouche les plaques en amont, mieux c'est. Mais ça ne veut pas dire qu'il ne faut boucher que celles-là, parce que c'est impossible. Il restera des trous, et il faudra des personnels compétents pour prendre le relais et faire en sorte que la dernière plaque ne s'aligne pas. C'est dans ce sens là que ça fonctionne.

il y a 46 minutes, Cool Hand a dit :

L'équipage de l'ET302 a coupé ce trim électrique ce qui n'a pas permis de récupérer l'appareil. Il semblerait que l'utilisation des roues de trim manuelles ne soient pas aisée dans toute l'enveloppe de vol (même si eux l'ont dépassé). Ce qui mériterait de s'intéresser à l'ensemble des versions du 737 sur ce point. Mais tout ça va gentiment être mis sous le tapis.

Sortir du domaine de vol n'est jamais une solution d'avenir, même sur un appareil parfaitement fonctionnel. Ce n'est certainement pas un évènement à prendre à la légère ou à minimiser, surtout si c'est pour ensuite remettre en cause l'applicabilité d'une procédure établie de longue date et qui n'a à ce jour fait l'objet d'aucune remarque négative, ce qui implique alors de devoir faire appel à une théorie du complot pour expliquer que "ça va gentiment être mis sous le tapis". Sauf que l'explication de la violation en fin de vol est une question en suspens chez pas mal de monde, et que le rapport final ne pourra pas faire l'économie d'une analyse à ce sujet sans paraître suspect.

[Cool Hand]

Il y a 2 heures, DEFA550 a dit :

Boeing n'avait pas les moyens d'anticiper que des pilotes ne seraient pas assez "futés" pour faire le rapprochement (présumé) avec la procédure de déroulement de trim. Il est là le point de départ de toute cette histoire.

Boeing avait la capacité, pour ne pas dire l'obligation, de faire en sorte que le MCAS ne repose pas sur une source unique d'AoA. Boeing avait la capacité, pour ne pas dire l'obligation, d'informer les utilisateurs de la présence de ce système. 

Citation

Sortir du domaine de vol n'est jamais une solution d'avenir, même sur un appareil parfaitement fonctionnel. Ce n'est certainement pas un évènement à prendre à la légère ou à minimiser, surtout si c'est pour ensuite remettre en cause l'applicabilité d'une procédure établie de longue date et qui n'a à ce jour fait l'objet d'aucune remarque négative, ce qui implique alors de devoir faire appel à une théorie du complot pour expliquer que "ça va gentiment être mis sous le tapis". Sauf que l'explication de la violation en fin de vol est une question en suspens chez pas mal de monde, et que le rapport final ne pourra pas faire l'économie d'une analyse à ce sujet sans paraître suspect.

La vidéo de "Mentour Pilot" que j'ai partagé il y a quelques pages, montre qu'il est impossible de déplacer la roue de trim à deux lorsque le PHR est en buté à piquer avec les manettes de gaz à 75% de N1 et ceci dans le domaine de vol et ce, sur 737NG. Comme vous le dites, cette procédure a été établie il y a longtemps et a bénéficié par la suite d'une certification tacite pour les successeurs du 737-100. Il n'y a là point de théorie du complot. 

La réactivation des trim switches cutout en fin de vol, de mon point de vue, ne fait que mettre en lumière ce qui précède, c'est à dire l'impossibilité d'appliquer cette procédure dans certaine parties de l'enveloppe de vol, comme l'a démontré Mentour. 

[FATac]

Il y a 2 heures, Cool Hand a dit :

La réactivation des trim switches cutout en fin de vol, de mon point de vue, ne fait que mettre en lumière ce qui précède, c'est à dire l'impossibilité d'appliquer cette procédure dans certaine parties de l'enveloppe de vol, comme l'a démontré Mentour. 

La prudence m'incite à supposer que Mentour n'a rien démontré, mais n'a fait que montrer.

De mon point de vue, seule une vérification en vol (que je ne souhaite pas) démontrerait effectivement et sans doute possible cet état de fait. Mentour, en réalité, ne démontre qu'une réponse du simulateur. Celle-ci est elle 100% conforme à la réalité ou relève t'elle de "l'effet spécial" ?

Je ne renie pas les compétences des uns ou des autres, mais pour avoir, par le passé, travaillé sur la conception d'un simulateur chez un des leaders du domaine, je sais que quand la simulation, bien que physiquement juste, ne donne pas les bonnes sensations aux opérationnels, on introduit des dérivations qui n'ont plus rien de réel, mais qui fournissent l'effet attendu dans les cas prévus - avec le risque de diverger franchement de la réalité lorsque l'on pousse le bouchon un peu trop loin (notamment en sortant de l'enveloppe de réponse du simu).

[DEFA550]

Il y a 2 heures, Cool Hand a dit :

Boeing avait la capacité, pour ne pas dire l'obligation, de faire en sorte que le MCAS ne repose pas sur une source unique d'AoA. Boeing avait la capacité, pour ne pas dire l'obligation, d'informer les utilisateurs de la présence de ce système. 

Oui, mieux vaut ne pas parler d'obligation lorsqu'aucun texte n'en fait état. En revanche l'incapacité des pilotes à faire le boulot pour lequel ils étaient payés, faire voler un avion, est avérée, elle.

Mentour n'a rien démontré. Il a fait une expérience dans un simulateur, et avec des paramètres invérifiables. Si l'équipage avait appliqué correctement la procédure ils auraient réduit l'effort au manche avant de couper l'alimentation du trim, comme prévu. C'est à minima un raté d'exécution, voire un défaut d'anticipation, parce que je n'ai pas envie d'enfoncer le clou en parlant d'incompétence.

[Cool Hand]

Il y a 2 heures, FATac a dit :

La prudence m'incite à supposer que Mentour n'a rien démontré, mais n'a fait que montrer.

De mon point de vue, seule une vérification en vol (que je ne souhaite pas) démontrerait effectivement et sans doute possible cet état de fait. Mentour, en réalité, ne démontre qu'une réponse du simulateur. Celle-ci est elle 100% conforme à la réalité ou relève t'elle de "l'effet spécial" ?

Je ne renie pas les compétences des uns ou des autres, mais pour avoir, par le passé, travaillé sur la conception d'un simulateur chez un des leaders du domaine, je sais que quand la simulation, bien que physiquement juste, ne donne pas les bonnes sensations aux opérationnels, on introduit des dérivations qui n'ont plus rien de réel, mais qui fournissent l'effet attendu dans les cas prévus - avec le risque de diverger franchement de la réalité lorsque l'on pousse le bouchon un peu trop loin (notamment en sortant de l'enveloppe de réponse du simu).

Je comprend bien que Mentour n'a fait que montrer via un simulateur et qu'on peut douter du réalisme de ce dernier. Mais je crains fort que le vol ET 302 nous apporte la démonstration par l'exemple, que la réalité colle à la simulation. Les bribes de conversations rapportées par le rapport préliminaire tendent aussi à le montrer:

à 05:43:04, le rapport indique : « the Captain asked the First Officer to pitch up together and said that pitch is not enough ». A ce moment précis l'alimentation électrique du trim est coupé depuis 2 minutes et il ne peut s'agir que du trim manuel (roue de trim).

Citation

Oui, mieux vaut ne pas parler d'obligation lorsqu'aucun texte n'en fait état.

Je vous livre à ce sujet l'avis (textes à l'appuis) de John C Halpin (Retired 1996 Chief Engineer, Technical Director, for the USAF Aeronautical Systems Division):

Our Airworthiness system is based on the ethical application of the Rule of Laws. Lessons learned has inculcated into our Airworthiness Rules the need for Fail-safety to assure safe operations; “Stuff Happens.” The good news here is that the mistakes made in the design implementation of the 737 MAX MCAS and its acceptance by the FAA will be corrected. 

The FAA accepted the Safety-of-Flight MCAS modification to the flight control system as a minor change. In fact, the FAR Part 25 requirements for Civil Transport aircraft, if implemented, requires that the MCAS be identified as Safe-Critical, and be certified under Fail-Safe Provisions. The MCAS could have and should have been certified as a Stability Augmentation and Automatic function under Section 25.672 of the Part 25 Airworthiness Standards: Transport Category Airplanes and associated system safety provisions; see 14 CFR Part 25 doc.Sections25.671 and 25.1309 Equipment, systems, and Installations that implements the basic system safety requirements and the supporting AC25.1309.

What are the fail-safe safety-critical provisions and how are they implemented? The provisions for managing a change in the aircraft handing characteristic:
• Fail-Safety requires the capability of continued safe flight and landing or controlled flight after any single control system failure or after any combination of failures not shown to be improbable. The software is dependent on an Angle-Of-Attack Sensor. Sensors sometimes fail, provide incorrect data or intermittent data. Compliance to the FAA 25.1309 requirements and supporting ACs includes recognition of a malfunctioning or failed component, or sensor; the determine that there is adequate pre-stall warning (either aerodynamic or cockpit indicator), understanding and training to allow the pilot time to recover from any probable high angle-of-attack condition without inadvertently stalling the airplane.
• Understanding how to quickly regain manual control of the aircraft,
 Flight Crew Operating Manual, FCOM,
 Pre-flight checklist, and
 Simulator training, introduction and periodic refresher
• Instructions for Continued Airworthiness (maintenance), Operating Limitation that include the Requirement for all Critical Safety-Elements to be a part of the Master Minimum Equipment List, MMEL, for aircraft operations, not optional items.
Our Airworthiness system putts the transport pilots in an essential (fail-safety) role managing loss-of-control situations. The above cited requirements are there to provid the necessary training, documentation, -----, human factors design details to allow the "Nominally Skilled" pilot to do their job! 

The design and software fixes combined with the potential training requested by the pilot community, in your note above, DOES IMPLEMENT THE INTENT OF THE FAIL-SAFETY PREVISIONS of FAR§25.671, §25.672 and §25.1309. It is interesting to note that Boeing, nor the FAA, have publicly admitted that they made a terrible miscalculation in finessing the Fail-Safety Rules. The Good News Is That Positive Corrective Is On-The-Way!

Citation

En revanche l'incapacité des pilotes à faire le boulot pour lequel ils étaient payés, faire voler un avion, est avérée, elle.

(...)

 Si l'équipage avait appliqué correctement la procédure ils auraient réduit l'effort au manche avant de couper l'alimentation du trim, comme prévu. C'est à minima un raté d'exécution, voire un défaut d'anticipation, parce que je n'ai pas envie d'enfoncer le clou en parlant d'incompétence.

Ce qui est avéré, c'est que l'avion sur lequel volaient les équipages Lion Air et ET a perdu son certificat de navigabilité et qu'il est interdit de vol. Mais c'est votre droit de ne pas y voir un rapport de cause à effet.

Au moment où vous dite que l'équipage aurait du réduire l'effort au manche avant de couper l'alimentation du trim (application de la procédure), il subit 4 alarmes GPWS "Don't Sink" pour une durée de 20 secondes. Une alarme GPWS de ce niveau entraine une "manoeuvre d'urgence". A votre avis, quelle est la priorité entre une "manoeuvre d'urgence" et "une procédure d'urgence"  ?

[DEFA550]

Il y a 15 heures, Cool Hand a dit :

Les bribes de conversations rapportées par le rapport préliminaire tendent aussi à le montrer:

à 05:43:04, le rapport indique : « the Captain asked the First Officer to pitch up together and said that pitch is not enough ». A ce moment précis l'alimentation électrique du trim est coupé depuis 2 minutes et il ne peut s'agir que du trim manuel (roue de trim).

Parlons-en des bribes qui ne disent pas tout. Le rapport préliminaire dit ça :

"At 05:41:20, the right overspeed clacker was recorded on CVR. It remained active until the end of the recording.

At 05:41:21, the selected altitude was changed from 32000 ft to 14000 ft.

At 05:41:30, the Captain requested the First-Officer to pitch up with him and the First-Officer acknowledged.

At 05:41:32, the left overspeed warning activated and was active intermittently until the end of the recording.

At 05:41:46, the Captain asked the First-Officer if the trim is functional. The First-Officer has replied that the trim was not working and asked if he could try it manually. The Captain told him to try. At 05:41:54, the First-Officer replied that it is not working.

At 05:42:10, the Captain asked and the First-Officer requested radar control a vector to return and ATC approved.

At 05:42:30, ATC instructed ET-302 to turn right heading 260 degrees and the First-Officer acknowledged.

At 05:42:43, the selected heading was changed to 262 degrees.

At 05:42:51, the First-Officer mentioned Master Caution Anti-Ice. The Master Caution is recorded on DFDR.

At 05:42:54, both pilots called out “left alpha vane”.

At 05:43:04, the Captain asked the First Officer to pitch up together and said that pitch is not enough."

Alors non. Il ne s'agit pas des roues de trim dont ils ont conclu 1 minute 20 plus tôt, alors qu'ils étaient déjà en overspeed, que ça ne fonctionnait pas, mais bien du manche, en écho à l'action conjointe initiée à 05:41:30. La lecture du FDR confirme d'ailleurs que la position du stabilisateur n'a pas évolué "à cabrer" depuis la dernier action au trim électrique, et n'évolue pas non plus dans ce sens jusqu'à la remise en service du trim électrique.

Il y a 16 heures, Cool Hand a dit :

Je vous livre à ce sujet l'avis (textes à l'appuis) de John C Halpin (Retired 1996 Chief Engineer, Technical Director, for the USAF Aeronautical Systems Division):

(...) The FAA accepted the Safety-of-Flight MCAS modification to the flight control system as a minor change. In fact, the FAR Part 25 requirements for Civil Transport aircraft, if implemented, requires that the MCAS be identified as Safe-Critical, and be certified under Fail-Safe Provisions. The MCAS could have and should have been certified as a Stability Augmentation and Automatic function under Section 25.672 of the Part 25 Airworthiness Standards: Transport Category Airplanes and associated system safety provisions; see 14 CFR Part 25 doc.Sections25.671 and 25.1309 Equipment, systems, and Installations that implements the basic system safety requirements and the supporting AC25.1309.

14 CFR 25.xxx (pour les courageux)

Techniquement le MCAS n'est pas un système d'augmentation de la stabilité, effectif en permanence ou indispensable au vol, c'est un système de sécurité anti-décrochage. Sa prise en compte par la section 25.672 est donc discutable. 

Il y a 16 heures, Cool Hand a dit :

Ce qui est avéré, c'est que l'avion sur lequel volaient les équipages Lion Air et ET a perdu son certificat de navigabilité et qu'il est interdit de vol. Mais c'est votre droit de ne pas y voir un rapport de cause à effet.

Au moment où vous dite que l'équipage aurait du réduire l'effort au manche avant de couper l'alimentation du trim (application de la procédure), il subit 4 alarmes GPWS "Don't Sink" pour une durée de 20 secondes. Une alarme GPWS de ce niveau entraine une "manoeuvre d'urgence". A votre avis, quelle est la priorité entre une "manoeuvre d'urgence" et "une procédure d'urgence"  ?

Donc il faudrait admettre qu'une mesure conservatoire désigne inévitablement le coupable. Heureusement qu'ils n'ont pas mis à pied tous les pilotes de 737 MAX, le résultat sur la sécurité des passagers aurait été le même mais l'interprétation différente et les conséquences humaines aussi. 

Il va falloir arrêter de se cacher derrière son petit doigt pour ne pas voir la vérité en face. Les deux équipages incriminés ont commis des erreurs : soit elles servent de leçon, soit elles sont ignorées. La seconde option à tué, tue, et tuera encore.

Quant à l'alarme "Don't Sink", il va falloir vous repencher sur les données du FDR. Sa dernière occurrence se termine juste avant la fin d'une longue action "nose up" au trim électrique, et juste avant l'action sur les "CUT OUT". L'alarme n'était donc plus en fonction au moment de l'application de la procédure.

 

[Cool Hand]

Il y a 8 heures, DEFA550 a dit :

Parlons-en des bribes qui ne disent pas tout. Le rapport préliminaire dit ça :

At 05:41:30, the Captain requested the First-Officer to pitch up with him and the First-Officer acknowledged.

Cette demande correspond pour moi à une action conjointe à cabrer sur les manches, ce qui est corroboré par le FDR, les courbes correspondantes aux colonnes et à l'attitude (pitch) sont en augmentation.

Citation

At 05:41:46, the Captain asked the First-Officer if the trim is functional. The First-Officer has replied that the trim was not working and asked if he could try it manually. The Captain told him to try. At 05:41:54, the First-Officer replied that it is not working.

Cette demande du CDB au sujet du trim est étonnante puisque les cutout switches ont été coupés depuis une minute.

Il peut s'agir d'une simple vérification de la part du CDB.

Je pense à ce sujet qu'il est possible que le CDB ai tenté de réactiver le switch PRI. Sur NG, cette action aurait réactivé la fonction du trim électrique manuel, sans réactiver les fonctions automatiques du trim (STS, AP et MCAS si la logique du NG avait été conservée). Si tel est le cas, après s'être aperçu que cela ne fonctionne pas de son coté, il demande à l'OPL si le sien fonctionne. L'OPL répond que son trim ne fonctionne pas et demande s'il peut essayer manuellement. Le CDB approuve et l'OPL après avoir essayé dit au CDB que cela ne fonctionne pas. Il y a donc tout lieu de penser qu'il a essayé seul.

Citation

At 05:43:04, the Captain asked the First Officer to pitch up together and said that pitch is not enough."

Je pense que cette demande ne concerne pas une action au manche comme à 05:41:30 mais une action conjointe (à deux) sur les roues de trim. Pour se faire, ils doivent chacun lâcher une main du manche et tenter de trimer manuellement avec l'autre. Et ceci est corroboré par le FDR où contrairement à l'action vue à 05:41:30, les courbes colonnes et attitude (pitch) sont en régression.

Voilà pour ma vision des choses à ce sujet. Le CVR nous en dira plus.

Mais peu importe que le trim manuel soit inefficace à 05:41:46 ou à 05:43:04. Il est inefficace. Ce qui me fait penser et dire que la simulation proposée par Mentour dans le domaine de vol est réaliste.

Citation

Techniquement le MCAS n'est pas un système d'augmentation de la stabilité, effectif en permanence ou indispensable au vol, c'est un système de sécurité anti-décrochage. Sa prise en compte par la section 25.672 est donc discutable. 

The Maneuvering Characteristics Augmentation System (MCAS) flight control law was designed and certified for the 737 MAX to enhance the pitch stability of the airplane – so that it feels and flies like other 737s. 

 https://www.boeing.com/commercial/737max/737-max-software-updates.page

Le MCAS n'est pas, à proprement parlé, un système anti-décrochage et s'il l'était, il ne pourrait pas plus reposer sur l'architecture qui était la sienne.

Citation

Donc il faudrait admettre qu'une mesure conservatoire désigne inévitablement le coupable. Heureusement qu'ils n'ont pas mis à pied tous les pilotes de 737 MAX, le résultat sur la sécurité des passagers aurait été le même mais l'interprétation différente et les conséquences humaines aussi. 

Il va falloir arrêter de se cacher derrière son petit doigt pour ne pas voir la vérité en face. Les deux équipages incriminés ont commis des erreurs : soit elles servent de leçon, soit elles sont ignorées. La seconde option à tué, tue, et tuera encore.

On ne cloue pas au sol une flotte sans réels motifs. Quand les autorités de tutelles jugent que des opérateurs ne répondent pas aux standards attendus (pilote, maintenance, etc...) ils sont black-listés. C'était le cas de Lion Air en Europe d'ailleurs.

Je ne nie pas que les pilotes aient commis des erreurs. Je pense néanmoins qu'ils auraient pu bénéficier pour le moins de circonstances atténunantes. Mais eux n'en bénéficieront pas, ils sont morts. 

Citation

Quant à l'alarme "Don't Sink", il va falloir vous repencher sur les données du FDR. Sa dernière occurrence se termine juste avant la fin d'une longue action "nose up" au trim électrique, et juste avant l'action sur les "CUT OUT". L'alarme n'était donc plus en fonction au moment de l'application de la procédure.

Oui, comme vous le dite, sa dernière occurence se termine juste avant la fin d'une longue action "nose up" au trim électrique (9 secondes, totalement inhabituelle) et vous auriez pu ajouter : alors qu'ils viennent de tirer violemment sur les manches à cabrer (la seule action d'un tel niveau sera celle qu'ils appliqueront juste avant de percuter la planète) ce qui a pour faible effet de mettre l'assiette légèrement positive.

Récapitulons : Les pilotes viennent de subir plusieurs alarmes GPWS, de trimer up pendant 9 secondes, les manches sont au ventre plein cabré et l'avion vol quasiment droit (vertical speed très faible). Que se passe t-il si on rend la main dans ces conditions ? Que va faire l'avion ? Quel message audio l'alarme GPWS va t-elle aussitôt signaler ?

Je crains qu'une telle action ne soit envisageable que depuis un canapé de salon.

 

Modifié le 11 mai 2019 par Cool Hand

[Picdelamirand-oil]

Je suis désolé du ton que vous employez l'un envers l'autre. Ne pourriez vous pas coopérer pour essayer de rendre plus clair ce qui s'est passé vraiment?

[DEFA550]

Il y a 20 heures, Cool Hand a dit :

Oui, comme vous le dite, sa dernière occurence se termine juste avant la fin d'une longue action "nose up" au trim électrique (9 secondes, totalement inhabituelle) et vous auriez pu ajouter : alors qu'ils viennent de tirer violemment sur les manches à cabrer (la seule action d'un tel niveau sera celle qu'ils appliqueront juste avant de percuter la planète) ce qui a pour faible effet de mettre l'assiette légèrement positive.

Absolument pas. L'action violente à cabrer est concomitante avec une entrée en action du MCAS 3 secondes plus tôt (05:40:21). Cette action du MCAS ne dure que 6 secondes parce qu'elle est interrompu par une action au trim électrique (qui se poursuit pendant 9 secondes). A aucun moment l'assiette n'a été négative et l'altitude n'a pas diminué (mais ça a interrompu la montée).

Effectivement, 9 secondes c'est inhabituel mais cohérent suite à une action nose down de 6 secondes. En revanche les deux dernières actions au trim électrique, en fin de vol, sont d'une durée habituelle. Mais le non respect de la procédure de déroulement de trim conduit à la perte de l'avion.

[DEFA550]

Il y a 21 heures, Cool Hand a dit :

Je ne nie pas que les pilotes aient commis des erreurs.

Enfin !

Il y a 21 heures, Cool Hand a dit :

Je pense néanmoins qu'ils auraient pu bénéficier pour le moins de circonstances atténunantes. Mais eux n'en bénéficieront pas, ils sont morts.

Oui, même les erreurs tuent. Cependant ils ont sans doute des circonstances atténuantes, mais dérangeantes pour certains acteurs (formation incomplète et entraînement inadapté, pour grossir le trait ; Airmanship).

[Picdelamirand-oil]

Will the 737 MAX Fly Again? Where Trust in Boeing Goes Now

https://www.smartertravel.com/737-max-planes-trust-in-boeing/

Si vous n'imaginez pas voler de nouveau sur le modèle de Boeing qui s'est échoué à la suite de deux accidents mortels qui ont tous tué à bord en l'espace de cinq mois, vous n'êtes pas seul. Un sondage réalisé par le site jumeau de SmarterTravel, Airfarewatchdog, a récemment révélé que 73 % des répondants ne voudraient pas voyager avec ce modèle. Notre propre enquête auprès d'un plus petit groupe a permis de constater qu'il en était de même. Alors, où vont les voyageurs à partir d'ici ?
Les experts disent que lorsque les modèles 737 MAX seront autorisés à voler à nouveau, probablement après un correctif logiciel et de nouvelles formations de pilotes, ils seront considérés comme aussi sûrs que tout autre avion moderne. C'est la clé pour les voyageurs aériens.

Cependant, avant que l'avion ne reparte, une combinaison de Boeing, de la Federal Aviation Administration (FAA), du National Transportation Board et du Bureau d'investigation et d'analyse de la sécurité de l'aviation civile (BEA) de France aura déterminé quelle combinaison de correctifs mécaniques, logiciels, documentation, réglementation et formation des pilotes est nécessaire pour prévenir la répétition de ce qui a fait tomber Lion Air et Ethiopian. Et comme l'écrasement initial du Lion Air 737 MAX 8 en octobre est toujours à l'étude, on peut supposer que la réintroduction du modèle pourrait prendre un certain temps.

C'est ainsi que fonctionne le système moderne de sécurité aérienne. Il est conçu pour s'assurer qu'à l'exception d'une erreur flagrante du pilote, tous les accidents graves sont des événements ponctuels. Les enquêteurs trient les preuves, déterminent la ou les causes et apportent les changements nécessaires pour éviter qu'elles ne se reproduisent. Au moment d'écrire ces lignes, les causes exactes des deux accidents n'ont pas encore été officiellement identifiées - il n'est même pas encore clair dans quelle mesure les deux accidents étaient étroitement liés. Et d'après ce que l'on sait jusqu'à présent, les accidents n'étaient probablement pas dus à une seule défaillance. Au lieu de cela, les deux ont probablement résulté d'une convergence imprévue de défaillances - pas assez importantes pour causer un accident seul, mais qui, combinées, ont été mortelles. Quoi qu'il en soit, les enquêteurs s'en rendront compte, et le 737 MAX ne volera plus jusqu'à ce que les repères soient en place. Boeing dit actuellement qu'il aura un correctif dans quelques semaines. Peut-être, mais quel que soit le temps qu'il faudra, l'avion sera réparé avant de voler.

La FAA a-t-elle laissé Boeing faire passer le profit avant la sécurité ?

Les conséquences de l'histoire du 737 MAX se poursuivront longtemps après le retour des avions dans les airs. Parmi les principaux faits saillants, mentionnons les préoccupations au sujet de Boeing, de la FAA et des compagnies aériennes aux États-Unis, qui ont été parmi les dernières à mettre le modèle au sol.

La complicité de Boeing :

• Boeing a-t-il sous-estimé la mesure dans laquelle les versions MAX étaient des avions complètement nouveaux, pas seulement des modifications mineures à un design éprouvé vieux de 50 ans, dans un but lucratif ?
• A-t-il passé sous silence les changements importants apportés à la conception des lignes aériennes et de la FAA en les qualifiant d'insignifiants ?
• L'avion n'a-t-il pas été entièrement testé avant son entrée en service ?
• Boeing a-t-il commis une erreur en n'immobilisant pas les avions au sol après le premier écrasement ?
• A-t-il été impliqué dans un camouflage d'avertissements connus avant l'écrasement ?
• Les chefs de secrétariat devraient-ils se prononcer ?
• Va-t-elle perdre plus d'affaires au profit de son seul autre concurrent principal, Airbus ?

Insuffisance de la FAA :

• La FAA a-t-elle exercé une surveillance adéquate du développement et de la certification de l'avion, ou était-elle trop proche de Boeing ? (De nombreux rapports indiquent que l'agence a laissé Boeing effectuer ses propres vérifications de sécurité.)
• A-t-il abdiqué son autorité en matière de sécurité au profit du fabricant américain ?
• La FAA aurait-elle dû agir plus rapidement ?
• Et dispose-t-elle vraiment du personnel, du budget et des pouvoirs réglementaires nécessaires pour assurer adéquatement la sécurité de tout nouvel avion très complexe ?

Responsabilité des compagnies aériennes :

• Les compagnies aériennes ont-elles mis les nouveaux avions en service prématurément ?
• Les pilotes ont-ils reçu une formation adéquate sur les nouveaux modèles ?
• Certaines compagnies aériennes cesseront-elles d'acheter et de prendre livraison des modèles 737 MAX, même si cela retarde le remplacement des anciens avions ?

Ces histoires en cours vont générer beaucoup d'encre et de pixels. Les accusations de blâme - et les poursuites judiciaires - se poursuivront probablement longtemps après la remise en service des modèles MAX 737 en toute sécurité. Et c'est compréhensible, car Boeing doit répondre de beaucoup de tragédies.

Des cas similaires, et le Takeaway
En tant que consommateur, à long terme, vous vous demandez probablement, à juste titre, si le système de sécurité actuel est assez robuste pour prévenir de futures défaillances mortelles. Après tout, Boeing s'est tenu près des avions après l'écrasement de Lion Air, mais la tragédie s'est répétée.

D'autres accidents graves causés par un seul défaut mécanique imprévu, mais catastrophique, remontent à plusieurs décennies, soit à l'époque des modèles des années 40. Le seul défaut de modèle d'avion similaire de mémoire récente est l'incendie des batteries lithium-ion du Boeing 787 en 2017.

Mais la situation actuelle est plus compliquée que les défaillances d'avions ponctuelles typiques d'accidents rares. Les pires accidents récents sont dus à une combinaison de problèmes mécaniques mineurs, à des logiciels qui ont réagi dangereusement à ces problèmes et à des pilotes qui ont mal réagi aux corrections logicielles. Il s'agit là, en effet, de sérieux défis auxquels toutes les parties concernées sont confrontées.

Donc, oui, en tant que consommateur, vous avez toutes les raisons de vous inquiéter des problèmes à long terme. Mais attendez-vous à ce qu'on vous dise que vous ne devriez pas trop vous soucier de piloter un 737 MAX une fois qu'il est autorisé à décoller.

Et n'oubliez pas que la peur de l'avion n'est pas une raison pour laquelle vous pouvez avoir droit à une indemnité en vertu de votre assurance voyage.

[herciv]

il y a 27 minutes, Picdelamirand-oil a dit :

Cependant, avant que l'avion ne reparte, une combinaison de Boeing, de la Federal Aviation Administration (FAA), du National Transportation Board et du Bureau d'investigation et d'analyse de la sécurité de l'aviation civile (BEA) de France aura déterminé quelle combinaison de correctifs mécaniques, logiciels, documentation, réglementation et formation des pilotes est nécessaire pour prévenir la répétition de ce qui a fait tomber Lion Air et Ethiopian.

Le BEA agissant au titre de bureay d'enquète de l'Ethiopan Air ?

[jojo (lo savoyârd)]

 

Citation

[Boeing 737 MAX] Dans l'aéro, l'humain, cet irremplaçable fardeau

https://www.usinenouvelle.com/article/boeing-737-max-dans-l-aero-l-humain-cet-irremplacable-fardeau.N839125

[DEFA550]

Il y a 2 heures, jojo (lo savoyârd) a dit :

https://www.usinenouvelle.com/article/boeing-737-max-dans-l-aero-l-humain-cet-irremplacable-fardeau.N839125

Le titre est très bien choisi. Je n'ai que le début de l'article, donc pas d'opinion sur le fond.

[DEFA550]

Il y a 11 heures, Picdelamirand-oil a dit :

"C'est ainsi que fonctionne le système moderne de sécurité aérienne. Il est conçu pour s'assurer qu'à l'exception d'une erreur flagrante du pilote, tous les accidents graves sont des événements ponctuels. Les enquêteurs trient les preuves, déterminent la ou les causes et apportent les changements nécessaires pour éviter qu'elles ne se reproduisent. Au moment d'écrire ces lignes, les causes exactes des deux accidents n'ont pas encore été officiellement identifiées - il n'est même pas encore clair dans quelle mesure les deux accidents étaient étroitement liés. Et d'après ce que l'on sait jusqu'à présent, les accidents n'étaient probablement pas dus à une seule défaillance. Au lieu de cela, les deux ont probablement résulté d'une convergence imprévue de défaillances - pas assez importantes pour causer un accident seul, mais qui, combinées, ont été mortelles."

C'est en effet le B-A-BA. Les accidents sont inévitables, mais on peut empêcher leur reproduction. C'est pourquoi il est extrêmement important de bien analyser toute la chaîne d'évènements, sans parti pris, depuis la première anomalie jusqu'à l'accident lui-même, afin d'identifier toutes les causes, leur niveau de contribution, les conséquences qu'elles pourraient aussi avoir dans d'autres circonstances, bref d'en tirer un maximum d'enseignements pour améliorer la sécurité d'une manière générale (ce qui dépasse largement le cadre de l'accident analysé, qui n'est finalement qu'un cas avéré parmi d'autres possibles).

Sinon je reviens sur le processus de certification, parce qu'il y a des choses difficiles à comprendre (ou à accepter), surtout lorsque la représentation qu'on s'en fait est chargée d'à prioris. Pour simplifier (beaucoup), la certification c'est une réglementation à respecter, c'est la loi. Tous les acteurs doivent s'y conformer. La FAA (ou autre organisme équivalent), c'est le gendarme. A partir de là, la responsabilité de Boeing est inévitablement pleinement engagée si un point de la certification n'a pas été respecté. Celle de la FAA ne peut l'être que s'il est démontré qu'elle a fermé les yeux sur des anomalies dont elle avait connaissance, ce qui en ferait alors un complice.

Le fait que des agents de certification aient été placés sous l'autorité hiérarchique de Boeing plutôt que celle de la FAA a peut-être favorisé une dérive mais ne change rien sur le fond : Boeing a la responsabilité de livrer un produit qui répond pleinement aux exigences de la certification. Quelque part, une telle dérive s'apparente au "dieselgate" où l'objectif n'est plus de chercher à respecter une réglementation mais seulement de réussir le test.

Modifié le 13 mai 2019 par DEFA550

[ogo]

Si cette délégation de responsabilité n'est pas reprochable en soit, on peut s'interroger sur la neutralité du certificateur (FAA) face aux pressions du constructeur national pour adapter (alléger ?) les normes qui régissent ces certifications.

Par exemple, la FAA avait déjà fortement été suspecté d'avoir favorisé Boeing en modifiant la réglementation pour qualifier ETOPS-180 le 777 dès sa mise en service (au détriment du couple 330/340). ...et ça date.

Au delà de fermer les yeux sur des anomalies, elle peut simplement faire le choix de rendre plus souple des règles sous une pression politique ou industrielle.

Je ne sais pas si cette critique  peut être faite dans le cas du 737 MAX, mais c'est je pense ce qui est implicitement reproché à la FAA d'une manière plus générale.

[DEFA550]

Certe, mais il faut aussi pouvoir faire évoluer les règles (les durcir comme les assouplir) en fonction des évolutions technologiques, des connaissances nouvelles, de la fiabilité, etc. La priorité est de faciliter le transport aérien sans nuire à la sécurité de manière déraisonnable (dogmatique). L'assouplissement des règles vient systématiquement avec son cortège d'études et de démonstrations, la variable constante étant le niveau de risque consenti (qu'on ne veut pas augmenter, souvent fixé par la loi). Par conséquent s'il n'est pas exclu qu'un assouplissement puisse être un indice de collusion, c'est le plus souvent (toujours ?) le fruit d'une évolution assumée, à la demande des constructeurs ou des exploitants, et dans l'esprit de la réglementation (l'objectif est de faire dans de bonnes conditions, pas de fixer des conditions et de faire ou pas).

Par ailleurs la FAA n'est pas la seule à certifier. L'AESA, par exemple, fait le même travail, et même si elle s'appuie sur le travail de la FAA lorsqu'il s'agit de Boeing, elle garde un esprit critique et son autonomie de décision. Ce n'est pas parce que la FAA valide un truc que c'est de facto applicable partout.

Quant au cas particulier de l'ETOPS, je ne vois pas trop de différence entre un ETOPS-60 et un ETOPS-180 en dehors d'une probabilité de panne du moteur restant. Si on peut justifier un ETOPS-60 alors la même argumentation permet de valider un autre ETOPS pour peu que les paramètres soient acceptables.

Modifié le 13 mai 2019 par DEFA550
Reformulation

[Picdelamirand-oil]

Ethiopian MAX Crash Simulator Scenario Stuns Pilots

 

[Cool Hand]

Il y a 9 heures, Picdelamirand-oil a dit :

Ethiopian MAX Crash Simulator Scenario Stuns Pilots

 

Intéressant. 

Paramètres utilisés : altitude 10 000 ft, vitesse 250 kts, réglage PHR 2° et les roues de trim ne fonctionnent toujours pas.

Les pilotes ont donc du accepter de perdre 2 000 ft pour sortir de cette situation, dans un scénario connu d'avance.

Le choix de l'altitude de 10 000ft permet de plus de s'affranchir de l'alarme GPWS.

Autre article intéressant publié hier, au sujet des CUTOUT SWITCHES du STAB TRIM, dans lequel Peter Lemme, ancien ingénieur avionique Boeing, signal que si la logique de câblage du NG avait été conservée sur le MAX, il eut été possible de désactiver le MCAS en coupant le seul SWITCH AUTO PILOT tout en conservant le trim électrique manuel, ce qui aurait été très utile à l'équipage de l'ET302.

https://www.seattletimes.com/business/boeing-aerospace/boeing-altered-key-switches-in-737-max-cockpit-limiting-ability-to-shut-off-mcas/

 

[FATac]

il y a une heure, Cool Hand a dit :

Autre article intéressant publié hier, au sujet des CUTOUT SWITCHES du STAB TRIM, dans lequel Peter Lemme, ancien ingénieur avionique Boeing, signal que si la logique de câblage du NG avait été conservée sur le MAX, il eut été possible de désactiver le MCAS en coupant le seul SWITCH AUTO PILOT tout en conservant le trim électrique manuel, ce qui aurait été très utile à l'équipage de l'ET302.

https://www.seattletimes.com/business/boeing-aerospace/boeing-altered-key-switches-in-737-max-cockpit-limiting-ability-to-shut-off-mcas/

C'est intéressant, mais je n'ai pas les éléments pour pousser l'analyse et déterminer à quel point c'est pertinent.

L'information sur le changement de logique de câblage a t'elle été diffusée aux utilisateurs et les connaissances des pilotes ont elles été recyclées sur ce point ?

Les modifications de comportement de l'appareil liées à la nouvelle motorisation permettraient elles un mode dégradé avec le MCAS désactivé mais avec une pilotabilité et une sécurité garantie ? Au moins pour un retour terrain, à défaut de prolonger le vol ...

Enfin, il faut absolument déterminer si le MCAS est un facteur contributeur décisif de l'accident ou s'il en est une cause primaire :

• Dans le premier cas, la possibilité de reprendre le contrôle en désactivant le MCAS ets un palliatif, pas une solution. Il y a alors une cause primaire qui place l'avion en position critique où le MCAS a une action négative déterminante. C'est cette cause primaire qu'il faut traiter en priorité (soigner l'infection, pas juste la fièvre)
• Dans le second cas, le MCAS est à revoir car il n'est pas la bonne solution au problème posé par la remotorisation du MAX. Et dans l'intervalle de sa revue complète, une possibilité de le désactiver pour continuer à voler, quitte à restreindre le domaine d'emploi, serait une solution d'attente acceptable et conforme à la politique de Boeing de laisser la main aux équipages plutôt qu'aux systèmes

 

[DEFA550]

L'avion peut parfaitement voler sans MCAS. D'ailleurs le vol précédent le crash du Lion Air l'a fait, et sans se dérouter. En revanche le 737 MAX sans MCAS ne se comporte plus tout à fait comme un 737 classique (NG compris) dans certaines circonstances, ce qui peut surprendre les équipages, voire conduire à un décrochage s'ils ne réagissent pas convenablement.

Le MCAS est un facteur contributif de l'accident. La cause primaire est le défaut de capteur, qui induit un fonctionnement intempestif du MCAS (deuxième cause), lequel n'a pas été correctement maîtrisé par les équipages victimes des deux accidents (troisième cause). La refonte prévue par Boeing vise à inhiber le MCAS en cas de défaut de capteur avéré, ce qui stoppe la chaîne d'évènements à la source. Ils ajoutent là-dessus une réduction de l'autorité du MCAS (fonctionnement moins agressif). Reste à savoir si le volet "formation" proposé prend en compte la troisième cause et les spécificités de comportement du MAX avec le MCAS désactivé.

En ce qui concerne les CUT OUT, j'avais émis la même hypothèse il y a quelques temps. Un re-cablage comme sur les modèles précédents pourrait être une solution pratique pour neutraliser seulement les automatismes qui actionnent le trim, mais au prix d'une procédure supplémentaire, probablement classée dans les "memory items" vu la contrainte de temps dans son application, ce qui n'en fait pas forcément la meilleure solution. Ca impliquerait peut-être aussi de reformuler des procédures existantes, et éventuellement de retravailler des acquis pour en tenir compte. Bref ça paraît trivial, mais ce n'est pas à faire à la légère.

Modifié le 14 mai 2019 par DEFA550

[DEFA550]

Il y a 2 heures, Cool Hand a dit :

Les pilotes ont donc du accepter de perdre 2 000 ft pour sortir de cette situation, dans un scénario connu d'avance.

Ils ont perdu 8000 ft, pas 2000, mais peu importe. La procédure du "roller coaster" n'est plus documentée depuis plusieurs années. Il doit y avoir une raison. A commencer par le fait que vouloir sortir d'une situation par un moyen différent de celui utilisé pour y entrer n'est pas nécessairement une solution pertinente.

Bref, c'est bien joli de montrer que les roues de trim ne sont pas manipulables, mais ça ne prouve pas qu'il était impossible d'utiliser le trim électrique pour ramener le stabilisateur à une position neutre avant d'actionner les CUT OUT et de se retrouver dans une situation où les roues de trim sont exploitables. Ca prouve juste qu'un raté d'exécution dans l'application d'une procédure peut conduire à une situation inextricable.

Que des pilotes découvrent que le trim manuel demande un effort colossal dans certaines circonstances fait juste froid dans le dos et illustre parfaitement la baisse des compétences de vol à proprement parler. 

[Picdelamirand-oil]

Je me pose aussi la question de savoir si les simulateurs sont représentatifs de la réalité du point de vue des efforts à appliquer pour utiliser le trim manuel.