Retour du 737 MAX...

[OPIT]

PS: y a t il une version publique de la modification à appliquer au MAX-8 pour le rendre conforme à son nouveau certificat de navigabilité ?

J'ai trouvé ça en fouillant chez la FAA. Ca date du 3 août 2020. Pas sûr cependant que ce soit ce que tu cherches

[Miklov]

Je n'ai pas lu les documents. Qu'est-ce qui est prévu pour le vérin du stabilisateur horizontal?

[TOPOLO]

PS: y a t il une version publique de la modification à appliquer au MAX-8 pour le rendre conforme à son nouveau certificat de navigabilité ?

J'ai trouvé ça en fouillant chez la FAA. Ca date du 3 août 2020. Pas sûr cependant que ce soit ce que tu cherches

Merci beaucoup
En suivant la procédure décrite dans le document que tu indiques, on trouve sur le site
https://www.regulations.gov
by searching for and locating Docket No. FAA-2020-0686
La description des modifications proposées par Boeing, exactement ce que je cherchais

[TOPOLO]

Le lien direct vers le document (en anglais)
Docket No. FAA-2020-0686
La partie concernant les modifications apportées à l'avion (Design Changes)

Proposed Design Changes

The FAA proposes mandating the following changes to the 737 MAX type design, to address the various aspects of the unsafe condition.

To ensure that an erroneous signal from a failed single AOA sensor does not prevent continued safe flight and landing, and specifically that it does not generate erroneous MCAS activation, the FAA proposes to require installation of updated FCC software with revised flight control laws  (10) associated with MCAS. These revised flight control laws would use inputs from both AOA sensors to activate MCAS. This is in contrast to the original MCAS design, which relied on data from only one sensor at a time, and allowed repeated MCAS activation as a result of input from a single AOA sensor.

The updated FCC software would also compare the inputs from the two sensors to detect a failed AOA sensor. If the difference between the AOA sensor inputs is above a calculated threshold, (11) the FCC would disable the speed trim system (STS), including its MCAS function, for the remainder of that flight, and provide a corresponding indication of such deactivation on the flight deck.

To ensure that MCAS will not command repeated movements of the horizontal stabilizer, the revised flight control laws would permit only one activation of MCAS per sensed high AOA event. A subsequent activation of MCAS would be possible only after the airplane returns to a low AOA state, below the threshold that would cause MCAS activation.

The updated FCC software would also limit  (12) the magnitude of any MCAS command to move the horizontal stabilizer, such that the final horizontal stabilizer position (after the MCAS command) would preserve the flightcrew's ability to control the airplane pitch by using only the control column. The original design allowed MCAS commands to be made without consideration of the horizontal stabilizer position—before or after the MCAS command.

An undesired MCAS activation could prompt the flightcrew to perform a non-normal procedure. To ensure that after any foreseeable failure of the stabilizer system, safe flight is not dependent on the timeliness of the flightcrew performing a non-normal procedure, the FAA proposes multiple changes.

First, as previously discussed, the flight control laws would be changed to instead use inputs from two AOA sensors for MCAS activation, so that there would not be an undesired MCAS activation due to a single AOA sensor failure that could lead a flightcrew to perform a non-normal procedure.

Second, in the event that MCAS is activated as intended (i.e., during a high AOA event), the updated flight control laws software would limit the number of MCAS activations to one per high AOA event, and limit the magnitude of any single activation so that the flightcrew could maintain pitch control without needing to perform a non-normal procedure.

The FAA also proposes requiring an additional software update that would alert the flightcrew to a disagreement between the two AOA sensors. This disagreement indicates certain AOA sensor failures or a significant calibration issue. The updated MDS software would implement an AOA DISAGREE alert on all 737 MAX airplanes. Some 737 MAX airplanes were delivered without this alert feature, by error. While the lack of an AOA DISAGREE alert is not an unsafe condition itself, the FAA is proposing to mandate this software update to restore compliance with 14 CFR 25.1301 and because the flightcrew procedures mandated by this AD now rely on this alert to guide flightcrew action. As a result of the changes proposed in this AD, differences between the two AOA sensors greater than a certain threshold  (13) would cause an AOA DISAGREE alert on the primary flight displays (PFDs).

Also, as a result of the installation of this revised MDS software, operators would be required to remove “INOP” markers, if present, from the electronic flight instrument system (EFIS) panel of the airplane, because the markers would no longer be necessary, due to other changes in the updated MDS software that are unrelated to this unsafe condition. These markers, labeled “INOP,” indicate that one of the positions on the dial that selects display settings is inoperative.

To facilitate the flightcrew's ability to recognize and respond to undesired horizontal stabilizer movement and the effects of a potential AOA sensor failure, the FAA proposes to mandate revising and adding certain operating procedures (checklists) of the AFM  (14) used by the flightcrew for the 737 MAX. All transport category airplanes have non-normal checklists to aid the pilots in responding to airplane failures.

The following is a general description of the changes that would be made to these checklists, (15) and the purpose of each change. The FAA will conduct an operational evaluation before finalizing these checklists. (See Flightcrew Training section in this preamble for further information.)

To reduce the workload on the flightcrew when they suspect that the airspeed indications are unreliable, the FAA proposes to revise the Airspeed Unreliable checklist of the AFM. This checklist would be revised to (1) add a step to allow the flightcrew to determine a reliable airspeed indication without the use of reference tables, (2) improve the procedure for go-arounds to allow for increased use of automation, (3) add a step to ensure that erroneous altitude information is not transmitted via the transponder to air traffic control (ATC), and (4) add erroneous AOA as a potential cause for unreliable airspeed conditions.

The Runaway Stabilizer checklist of the AFM is used when there is undesired movement of the airplane's horizontal stabilizer. The FAA proposes revisions to the criteria for this checklist's use, to include when uncommanded horizontal stabilizer movement occurs continuously or in a manner not appropriate for current flight conditions. The revised checklist would include an explicit recall item that instructs the flightcrew to use their thumb-actuated trim switch to reduce forces on the control column. The checklist would also include a recall item to use the control column and thrust levers to control the airplane's pitch attitude and airspeed. Finally, the checklist would be revised to add a reference item to manually trim the horizontal stabilizer for pitch control, and note that a two-pilot effort may be used to correct an out-of-trim condition.

The Stabilizer Trim Inoperative checklist of the AFM would be revised to better align with the other non-normal checklists, and modified to provide guidance for manually trimming the stabilizer for pitch control, noting that a two-pilot effort may be used and will not cause system damage.

As previously discussed, one of the design changes proposed by this NPRM is a flight control law that would render the STS and MCAS functions inoperative if the airplane's AOA sensors disagree. To assist the flightcrew in properly responding to such an occurrence, a non-normal checklist, called the Speed Trim Fail checklist, would be added to the AFM. This checklist would be used when the STS and MCAS functions are inoperative, and inform the flightcrew to continue normal operation. It would also note that the STS will not provide horizontal stabilizer trim inputs when the airplane deviates from its trimmed airspeed.

The FAA proposes adding the Stabilizer Out of Trim checklist to the AFM. The Stabilizer Out of Trim checklist would be used when the autopilot does not set the horizontal stabilizer trim correctly. Under the current design, the STAB OUT OF TRIM light illuminates in flight to inform the flightcrew that the airplane's autopilot is not setting the horizontal stabilizer trim correctly. Under the new design, as part of the aforementioned FCC software update, this light will now also illuminate on the ground, to inform the flightcrew of a partial failure of a flight control computer. If the airplane is on the ground, the checklist will instruct the flightcrew to not take off. The checklist provides additional information for the flightcrew to use if the airplane is in flight.

The FAA proposes to add an AOA Disagree checklist as a procedure to the AFM, because the FAA proposes that the AOA DISAGREE alert be available on the PFDs for all 737 MAX airplanes. Therefore, this proposed checklist would be used when there is an indication, such as an AOA DISAGREE alert, that the airplane's left and right AOA vanes disagree. The checklist would inform the flightcrew to accomplish the Airspeed Unreliable checklist.

The FAA proposes to add the ALT Disagree checklist as a procedure to the AFM. This checklist is used when the captain's and first officer's altitude indicators disagree, generating an ALT DISAGREE alert on the airplane's PFDs. This proposed checklist would provide procedures to the flightcrew that would initially be driven by whether there is also an IAS DISAGREE alert shown on the airplane's PFDs. The checklist would also provide additional steps for the flightcrew to subsequently complete for the descent, approach, and landing phases of flight.

The final checklist that the FAA proposes to add to the AFM is a new IAS Disagree checklist. This checklist is used when captain's and first officer's airspeed indicators—their “indicated airspeed” or “IAS”—disagree. The checklist directs the flightcrew to accomplish the Airspeed Unreliable checklist.

Since this NPRM proposes to supersede AD 2018-23-51, the procedural information required by that AD would be outdated when the final rule is effective and therefore would be removed.

As part of the FAA's review of these design changes, the agency reviewed the entirety of the 737 MAX horizontal stabilizer control system. This review revealed that the physical separation of the horizontal stabilizer trim arm wiring and the horizontal stabilizer trim control wiring does not meet the criteria specified in 14 CFR 25.1707. This design standard was promulgated in 2007 and therefore is part of the certification basis of the 737 MAX but not of previous Boeing Model 737 airplanes. Certain wiring installations must have enough physical separation so that a wiring failure cannot create a hazard. Since design changes must comply with FAA regulations, the FAA proposes to require changes to the wiring installation to meet the required physical separation between the horizontal stabilizer trim arm wiring and the horizontal stabilizer trim control wiring. The FAA proposes this action to bring the airplanes into regulatory compliance.

[larsenjp]

Ils adressent le problème du capteur unique défaillant mais pas celui des deux. Ils semblent considérer que, si deux capteurs donnent la même indication, alors cette indication est nécessairement bonne. Ce qui n'est pas toujours vrai comme discuté plus haut. Par contre, ils ont sévèrement limité l'action du MCAS sur le stabilisateur horizontal et en particulier les séquences d'activation qui ont amené les deux avions de Lion Air et d'Ethiopian au tapis ne devraient plus se reproduire. Est-ce une façon de reconnaitre qu'il n'y a pas de véritable solution au pb posé par la fiabilité de la mesure des capteurs d'incidence?
Quant à la séparation physique entre les câblages des deux systèmes du trim du stab, cela me laisse assez dubitatif.
Quoiqu'il en soit on peut mesurer à quel point cet avion posait problème.

[OPIT]

Est-ce une façon de reconnaitre qu'il n'y a pas de véritable solution au pb posé par la fiabilité de la mesure des capteurs d'incidence?

Pas vraiment. Le problème posé est la perte de contrôle consécutive au déclenchement du MCAS. Même si tu élimines une cause connue (fiabilité des sondes), tu n'es pas à l'abris d'un déclenchement intempestif pour une autre raison, avec à la clé la même conséquence.
Donc l'approche consiste d'abord par atténuer les conséquences jusqu'à éliminer celles qui ne sont pas acceptables, puis à peaufiner en réduisant les causes (qui peuvent avoir d'autres conséquences, acceptables mais pas insignifiantes pour autant).
Pour le dire autrement, puisque le risque zéro n'existe pas tu fais d'abord en sorte de limiter la casse dans tous les cas de figure.

[larsenjp]

Pas vraiment. Le problème posé est la perte de contrôle consécutive au déclenchement du MCAS. Même si tu élimines une cause connue (fiabilité des sondes), tu n'es pas à l'abris d'un déclenchement intempestif pour une autre raison, avec à la clé la même conséquence.
Donc l'approche consiste d'abord par atténuer les conséquences jusqu'à éliminer celles qui ne sont pas acceptables, puis à peaufiner en réduisant les causes (qui peuvent avoir d'autres conséquences, acceptables mais pas insignifiantes pour autant).
Pour le dire autrement, puisque le risque zéro n'existe pas tu fais d'abord en sorte de limiter la casse dans tous les cas de figure.

Sauf que les autres causes dont tu parles ne sont pas identifiées, en tout cas pas dans l’extrait fourni par Topolo.... seulement les problèmes de capteur. Si tu as raison, s’agissant d’un système aussi sensible, leur analyse des risques est assez surprenante, et je suis gentil. A moins que l’extrait soit incomplet.

[TOPOLO]

Ils ont surtout fait en sorte que le déclenchement du MCAS ne puisse plus conduire à une situation critique
A partir de là, il suffit de réduire « un peu » la probabilité d’occurence

[ergo]

Ce que je comprend pas c'est que s'ils ont donné une telle autorité au MCAS initialement c'est qu'il y avait une raison.
Réduire cette autorité permet d'éviter le problème connu, mais va aussi limiter la capacité du MCAS a faire ce qu'il faut dans les autres cas.

Je suis dubitatif.

Sans parler du fait que lorsque le MCAS est déconnecté, les sensations dans le yoke sont toute autre, et donc on risque aussi des erreurs de pilotages.
Et des déconnections, avec un système qui au moindre doute déconnecte, il va y en avoir.

J'ai vraiment l'impression que la question posée a été "comment sauver le 737 MAX" et non "comment revenir à un haut niveau de sureté"
Parce que là, avec leurs bidouille ont est dans un cas jamais vu, et ils ont réussi à faire croire que c'est sûre.

[larsenjp]

Ils comptent implicitement sur le fait qu’une seule activation limitée du MCAS suffira à contrer la possible situation dangereuse qui survient à haute incidence (et qui est un fine la raison pour laquelle le MCAS a été développé).
Et ils suggèrent aussi implicitement que la probabilité d’occurrence de cette situation est très faible comparée à celle des défaillances en tout genre qui peuvent affecter le MCAS et mettre en danger l’avion.
Bref, je suis d’accord avec ergo, tout ça me paraît très bancal.
C’est un cas d’ecole d’une conception pourrie à la base et qui amène à une situation insoluble, chaque « solution » entraînant elle-même d’autres problèmes graves.

[OPIT]

Sauf que les autres causes dont tu parles ne sont pas identifiées, en tout cas pas dans l’extrait fourni par Topolo....

Ce n'est pas parce qu'elles ne sont pas identifiées qu'elles n'existent pas. En revanche les conséquences, elles, sont connues et non désirables. Donc soit tu te contentes de traiter les causes connues en espérant qu'il n'y en aura pas d'autres, soit tu élimines les conséquences indésirables à la suite de quoi les causes (connues ou non) ne sont alors plus un problème. Tu choisis quoi ?

[OPIT]

Ce que je comprend pas c'est que s'ils ont donné une telle autorité au MCAS initialement c'est qu'il y avait une raison.
Réduire cette autorité permet d'éviter le problème connu, mais va aussi limiter la capacité du MCAS a faire ce qu'il faut dans les autres cas.

L'une des raisons était d'obtenir un comportement calqué sur celui des 737 "vintage", avec un système tellement transparent qu'il n'était même pas décrit dans la documentation.
Aujourd'hui l'écosystème a évolué dans son ensemble : connaissance du système, raisons de sa présence, formation, simulateurs, etc. Une partie de ce que devait accomplir le MCAS est maintenant sur les épaules des équipages.

[TOPOLO]

En fait, il est vraisemblable que l’on puisse opérer le MAX sans MCAS, à condition de savoir que son domaine de vol n’est pas le même que celui des autres 737.
Je pensais que l’on verrait aussi des contraintes sur les masses et centrage, mais rien de ce côté-ci
Le MCAS aurait alors été non seulement nuisible, mais aussi presque inutile
Difficile avec les infos disponibles de savoir si c’est par complaisance ou si l’avion est effectivement opérable dans ces conditions, mais on peut peut-être faire confiance à l’AESA...
Je crois de toutes façons qu’il n’y a pas d’autres choix si on veut conserver une aviation civile

[ergo]

On a pas d'autre choix que de faire confiance à l'EASA (nous passagers).

Mais si demain un 3ième crash montre que cette certification a été bâclé pour sortir Boeing de la tourmente ... ca va être une véritable catastrophe.

[larsenjp]

Ce n'est pas parce qu'elles ne sont pas identifiées qu'elles n'existent pas. En revanche les conséquences, elles, sont connues et non désirables. Donc soit tu te contentes de traiter les causes connues en espérant qu'il n'y en aura pas d'autres, soit tu élimines les conséquences indésirables à la suite de quoi les causes (connues ou non) ne sont alors plus un problème. Tu choisis quoi ?

Intéressant concept mais qui peut mener très loin... A la limite, la conséquence indésirable ultime étant que l'avion tombe, la meilleure solution est de ne pas le faire voler.
Les autres causes peuvent très bien avoir des effets de bord, se combiner avec d'autres pour produire d'autres conséquences non connues etc. Bref, comme tu le sais, l'objectif d'une analyse de risque doit être d'identifier toutes les causes et de les traiter complètement. Si les analystes de Boeing/FAA admettent qu'il y a des causes non identifiées qui peuvent conduire à ce genre de défaillance et qu'ils ne cherchent pas à les identifier.... il faut qu'ils changent de métier rapidement. Tu es en train d'essayer de justifier un truc injustifiable.

[larsenjp]

Le MCAS aurait alors été non seulement nuisible, mais aussi presque inutile

C'est un peu l'impression qui se dégage.
Et je ne peux pas m'empêcher de penser aux victimes des deux crash...

Difficile avec les infos disponibles de savoir si c’est par complaisance ou si l’avion est effectivement opérable dans ces conditions, mais on peut peut-être faire confiance à l’AESA...
Je crois de toutes façons qu’il n’y a pas d’autres choix si on veut conserver une aviation civile

Tout est dans le "peut-être"...
Franchement, j'ai des (gros) doutes. Et ce n'est pas le raisonnement d'OPIT qui va me rassurer.
D'un autre côté, je peux comprendre que l'extrême complexité (toujours croissante) du système global qu'est un avion rend (peut-être) l'analyse impossible (je mets de côté les erreurs d'analyse et la mauvaise volonté). Dans ce cas, cela veut dire qu'un avion est fondamentalement un système qui n'est pas sûr. C'est contraire à ce qui est vendu par l'industrie depuis des années et, si jamais le pékin moyen s'en persuade, cela pourrait être la fin de l'aviation civile.
D'un autre côté le CoVID risque de régler le problème à sa manière...

[OPIT]

Tu es en train d'essayer de justifier un truc injustifiable.

Je ne justifie rien, je développe un principe basique (mais apparemment non trivial) de maîtrise des risques qui est, en premier lieu, de limiter les conséquences, et en second lieu de s'attaquer aux causes qui mènent à ces conséquences. Et c'est dans cet ordre là parce qu'il est impossible de faire l'inventaire de toutes les causes, et donc illusoire de vouloir éliminer un risque en traitant plus ou moins bien les causes identifiées dans une liste incomplète.
Donc ils ont fait en sorte que le MCAS ne puisse plus conduire à une perte de contrôle, quelle que soit la cause de son déclenchement.

[ergo]

Je suis taquin, mais :

Ils ont donc rendu le MCAS inutile ... hors il avait une utilité autre que "faire croire que tu pilotes un AG/NG".
Il va se passer des choses ...

[OPIT]

Ils ont donc rendu le MCAS inutile ...

Ca on n'en sait rien.

[ergo]

Je te l'accorde.

Je me base sur le fait que si son autorité a été augmenter durant les EV c'est qu'il y avait une raison, qui elle n'a pas disparue.

[larsenjp]

Je ne justifie rien, je développe un principe basique (mais apparemment non trivial) de maîtrise des risques qui est, en premier lieu, de limiter les conséquences, et en second lieu de s'attaquer aux causes qui mènent à ces conséquences. Et c'est dans cet ordre là parce qu'il est impossible de faire l'inventaire de toutes les causes, et donc illusoire de vouloir éliminer un risque en traitant plus ou moins bien les causes identifiées dans une liste incomplète.
Donc ils ont fait en sorte que le MCAS ne puisse plus conduire à une perte de contrôle, quelle que soit la cause de son déclenchement.

OK, donc tu confirmes que l'analyse des risques d'un tel système est bien fondamentalement impossible. C'est toujours bon à savoir.
Quant à mitiger les conséquences, je te rassure je connais mais c'est la solution par défaut. Au risque comme le dit justement ergo de dégrader la performance et donc l'utilité du système.
L'avenir dira si ce qu'ils préconisent est la bonne solution mais j'espère ne jamais avoir à monter dans cet avion.

[larsenjp]

Plus fondamentalement cela donne l'impression que, dans l'industrie du transport aéro commercial, le risque lié au facteur système/software peut désormais être plus élevé que le risque lié au facteur humain. Du moins dans ce cas précis car je suppose (ou j'espère) qu'il n'en va pas de même avec tous les avions.
Ce serait quand même une petite révolution; pour parler de l'industrie que je connais (oil&gas), nous sommes à des années lumières de cette situation et le facteur humain est de très loin le facteur de risque n°1.

[jojo]

Je n'ai jamais lu que le 737 Max était irrécupérable sans MCAS.
Aurais-je raté quelque chose ?

[TooCool_12f]

à la base, de mémoire, il y avait deux raisons pour installer le MCAS:

- les nacelles plus grosses et avancées généraient de la portance additionnelle en avant du centre de poussée et plus l'aivon cabrait, plus le manche était "léger"... ce qui peut s'avérer plutôt dangereux si le pilote est un peu "brusque"
- ce comportement se distinguait assez nettement de la manière de voler des modèles plus anciens, ce qui signifie qu'il nécessiterait une QT distincte

Comme les compagnies opérant les 737 anciens voulaient une commonalité pour pouvoir avoir des équipages "interchangeables", le MCAS, en plus d'accroître la sécurité avait pour mission surtout de maintenir la validité de la QT "générique" sur 737. Et c'est aussi pour cela qu'il a aussi été "dissimulé", si le pilote devait apprendre à gérer un système essentiel qui n'existe pas sur les autres , cela pouvait vite déboucher aussi sur la fameuse "nouvelle QT"

La question que je me pose, le nouveau MAX, va-t-il toujours passer en QT commune avec les autres?

[l3crusader]

La question que je me pose, le nouveau MAX, va-t-il toujours passer en QT commune avec les autres?

Je pense que non... mais qu'à ce stade, les compagnies en ont fait leur deuil de toute facon et que passer de 737 NG au MAX reste moins long/chiant/cher que de passer de 737 NG a A320NEO.