Ont-ils réellement mis en service un avion qu’ils savaient dangereux tout en le cachant à la FAA ? Et si oui, parle-t-on d’un ingénieur en chef solitaire ou d’un système complet mis en place pour cacher la fraude ? Combien de personnes étaient au courant du risque et quelle était leur perception de ce risque ?
Je pense qu'ils n'avaient pas nécessairement conscience d'un danger et qu'ils auraient un peu (beaucoup) tunnelisé sur le fait que les pilotes savaient gérer un déroulement de trim. Cette solution à priori évidente ne pousse certainement pas à approfondir le sujet, ni à remettre en cause ce qui semble acquit. Du moins en ce qui concerne la version initiale du MCAS, avant qu'il ne soit modifié (sournoisement vis à vis de la FAA) dans les derniers mois avant la mise en service afin de corriger un problème de comportement qui aurait pu nuire à la certification.
La communication suite au premier accident allait dans ce sens, et les réactions n'avaient rien d'extraordinaire puisque cet accident soulevait les interrogations habituelles sur les causes. L'enquête a mis en lumière des "faiblesses" dans l'analyse de risque et a poussé la FAA a revoir les données de certification. Il s'en est suivi un nouveau calcul de probabilité d'accident du même genre et un calendrier pour apporter des modifications, légères, au système MCAS tel qu'il était présenté à l'époque.
C'est le second accident qui a mis le feu aux poudres. D'une part parce que le RETEX du premier, avec rappel des procédures auprès des compagnies aériennes et mise à jour de la documentation, n'a pas suffit à l'éviter, d'autre part parce qu'il s'est produit bien plus vite que prévu, et enfin parce que cet accident était la conséquence d'un problème plus profond ; Un MCAS était certifié, mais une autre version volait. La prise de conscience collective date de cet évènement, y compris sans doute chez Boeing (même si certains avaient probablement commencé à capter que la merde approchait du ventilateur), parce qu'il est alors devenu évident que le système était davantage accidentogène que le facteur humain.
Hors aéronautique, j'ai vu pas mal de projets échouer ou devenir bien plus coûteux que ce qui était prévu au départ, alors même que tous les avertissements avaient été donnés aux décideurs. Et à chaque fois la première personne à laquelle le décideur final mentait le plus... c'était lui-même. C'est un ressort qui reste commun.
Et en exemple d’escroquerie totale on a le scandale Volkswagen. Un nombre non négligeable de personne ont triché de façon parfaitement consciente et avec l’approbation de dirigeants haut placés.
Du moins en ce qui concerne la version initiale du MCAS, avant qu'il ne soit modifié (sournoisement vis à vis de la FAA) dans les derniers mois avant la mise en service afin de corriger un problème de comportement qui aurait pu nuire à la certification.
Par « sournoisement » tu veux dire qu’ils avaient obligation d’informer la FAA mais ne l’ont pas fait ?
Dans le cas du Max, au final on dispose de la plupart des réponses côté technique. Mais le fond du problème réside dans le facteur humain. Pourquoi des individus et plus généralement une entreprise prennent des risques qui aujourd’hui nous semblent totalement inconsidérés. Et comment faire pour que ça ne se reproduise pas.
Puisque tu as l’air de bien connaître le sujet, sais-tu s’il y a eu des signaux avant-coureurs avant même le premier crash ? (Par exemple dès les essais en vol). Il me semble avoir lu que le vol précédent le crash du Lion-Air avait subit des oscillations incontrôlées mais finalement maîtrisées par l’équipage.
Je ne me souviens plus dans le détail de toute cette histoire donc je n'irai pas plus loin au risque d'accumuler les conneries. Il me semble que le MCAS, déjà présent et validé par le processus de certification, a été détourné de sa fonction initiale pour traiter un second phénomène, avec davantage de vigueur (vitesse, répétition et amplitude), et cette modification n'est pas remontée jusqu'à la FAA. Il faudra revoir la littérature sur le sujet pour affiner.
Il me semble avoir lu que le vol précédent le crash du Lion-Air avait subit des oscillations incontrôlées mais finalement maîtrisées par l’équipage.
Par contre, effectivement, le vol précédent le crash du Lion-Air avait eu le même soucis (parce que même causes) et c'est un pilote chevronné, qui était là en supplément de l'équipage normal, qui avait aidé à stabiliser la situation.
L'effet pervers est que ça démontrait que les effets du MCAS étaient maitrisables, faisant dévier les interrogations sur le facteur humain plutôt que sur la technique après le premier crash. D'où les rappels de procédure et l'évolution de la documentation. Il a malheureusement fallu le second crash pour recentrer le débat : puisque le volet FH avait été traité, le problème était donc ailleurs.
L'effet pervers est que ça démontrait que les effets du MCAS étaient maitrisables, faisant dévier les interrogations sur le facteur humain plutôt que sur la technique après le premier crash.
Si j'ai bien compris les pilotes d'Ethiopian on bien appliqué la nouvelle procédure. Mais ça n'a pas fonctionné car il fallait l'exécuter très rapidement.
D'ailleurs, qu'est-ce qui provoquait l'apparition du phénomène ?
Une sonde d'incidence donnait de mauvaises valeurs.
Si j'ai bien compris les pilotes d'Ethiopian on bien appliqué la nouvelle procédure. Mais ça n'a pas fonctionné car il fallait l'exécuter très rapidement.
Je ne me souviens plus exactement mais il me semble que c'est plus complexe que ça. Dans ma mémoire ils n'ont pas appliqué la procédure avec la rigueur nécessaire (ils auraient réactivé le MCAS ? je sais plus...) et ont fini par perdre totalement le contrôle. Ca ne veut pas dire que c'est uniquement de leur faute, ça veut juste dire qu'ils n'ont pas mis toutes les chances de leur côté.
De mémoire (et comme OPIT, la mémoire est une vilaine amie, donc à prendre avec des pincettes) :
Le MCAS pour rappel c'est un logiciel qui joue sur le Trim. De base il est là pour "imiter le comportement du 737NG". Et faut pas confondre le MCAS Logiciel, de l'équipement de contrôle du Trim en lui même.
Pour rappel, l'équipement c'est celui qui permet de jouer avec le trim (vis sans fin, avec un moteur en guise d'actionneur). L'équipement lui est bien connu. Mais le MCAS vient créer un autre fonctionnement possible du système.
Le MCAS à l'origine est là pour éviter une re-certification du type (comprendre qu'il y a une conséquence financière importante : le 737MAX est trop différent du 737NG, on doit donc reformer tout le monde), ils ont introduit ce MCAS pour donner la sensation au pilote de piloter un 737NG.
Là intervient la certification, la FAA et les discussions avec Boeing.
La FAA pour créer ses procédures de certification s'entour de spécialiste. Et ces spécialistes, elle va les chercher là où ils sont : chez les avionneurs (EASA fait la même avec Airbus). L'idée c'est d'être assez prêt de ce qui se passe dans les bureaux de R&D pour que les process de certification suivent les évolutions de la technologie.
A ce titre, l'ajout d'une logiciel dans un système déjà existant dans le but de conserver le comportement initial de l'avion, est un élément nouveau de technologie.
A l'époque la FAA découvre ce genre de logiciel, et regarde ce qu'il faut en faire. Elle comprend l'intérêt pour l'avionneur de pas refaire une certif de type, et ayant une confiance justifié en Boeing, elle accepte de regarder ce qu'il est possible de modifier pour accepter ca.
Et tout naturellement, elle impose, sur proposition de Boeing, que "si le comportement de l'avion en vol est constaté identique à l'ancien" alors l'ajout d'un tel logiciel est bénin, et n'a pas besoin d'apparaitre dans tel ou tel doc, et que ca passe.
Faut bien voir que des décisions comme celle-ci on en prend 40 à l'année ... parce que "ne pas mentionner le logiciel" ne veut pas dire qu'il n'est pas lui aussi certifié au plus au niveau (DO178 DAL-A), juste qu'on le mentionne pas dans certain doc (tel que le dossier pilote, ou le rapport de certif).
Et c'est une bonne chose car sinon on ne sort plus d'avion. (Comprenez : si on avait gardé les procédures d'il y a 20 ans, il y a plein d'ajout technologique sur les avions d'aujourd'hui, qui serait pas possible, et qui pourtant augmente la sécurité des vols et la perfrommence des avions)
De là, les essais en vols se font, et tout ce passe bien. Jusqu'au moment où on se rend compte que l'avion à une fâcheuse tendance à cabrer sous certaine condition d'incidence. Et c'est là que les décisions qui vont se prendre sont mauvaises et que le contexte en place ne va créer aucun garde fou :
Le meilleurs moyen de contrer ca, c'est de forcer l'avion à piquer quand on arrive dans la mauvaise plage de vitesse/incidence.
Et quoi de mieux pour le faire cabrer que de "dérouler le trim", et il s'avère qu'en plus y'a déjà un logiciel, suffit de lui donner les infos qui vont bien, et hop ... ca marchera.
On fait ca bien (DO178, DAL-A), et on tente de lui donner des ordres "faible" ... mais c'est pas suffisant, donc on ajuste un paramètre ou deux.
Et là ... ca va mieux : ouf.
Bon, y'a bien un ingé ou deux qui crié au loup, mais une étude rapide montre qu'on est "dans la certif", et qu'on respecte les règles (car personne n'avait prévu ce cas) et donc si on dit rien ... ca passe.
Je ne suis pas en train de les excuser, loin de là ... mais c'est ce qu'il c'est passé.
On peut d'ailleurs se demander comment l'alerte a été remonté, car d'experience les ingés peuvent être assez cash, rentrer trop dans la technique, et prendre de haut ceux qui ne comprennent pas. Et dans ses conditions, un chef peut très vite se braquer en pensant que le mec en face est juste bon à crier, qu'il exagère.
Et on peut même se dire qu'à tous les niveaux il y a eu la réflexion "Si je peux le faire et que personne dit rien c'est que c'est bon" et la classique "Tentons, de toute façon, avec notre culture de la sécurité quelqu'un d'autre le verra si c'est grave".
Des trous, y'en a partout. (Voir "Plaque de Reason")
Accuser un trou de tout les maux ... c'est une erreur.
Penser qu'en désalignant les trous ont auraient été bon ... c'est une erreur (c'est le meilleur moyen de s'aligner sur d'autre trou inconnu)
Reboucher les trous ... bien malin celui qui les aura tous identifiés avant le drame.
La bonne nouvelle dans la proposition du DoJ, c'est qu'elle cherche plus à trouver une solution pour pas que ca se reproduise, plutôt que de chercher des coupables.
Et a choisir, je préfère m'assurer qu'on refasse pas les erreurs, plutôt que de pendre l'un des types qui a aligné l'un des trous.
Après on peut rentrer dans les détails techniques, y'a plein de truc à dire. Mais retenez bien que c'est toujours plus simple une fois le drame arrivé, posé dans son siège, avec l'attention uniquement dédié à ce problème, de voir tout ce qu'il ne va pas.
Pour l'accident d'Ethiopian j'ai repris vite fait le rapport d'enquête et je confirme la réactivation de la commande électrique du trim, autorisant ainsi une nouvelle action du MCAS et la perte finale de contrôle. Or une fois la commande électrique de trim désactivée par l'exécution d'une procédure (ce qu'ils avaient fait), il n'est pas prévu de revenir dessus. Surtout si la cause à l'origine de la procédure n'est pas éliminée.
J'ai aussi confirmé au passage un dépassement de la vitesse maximale autorisée (dans le doute je n'en avais pas parlé), en partie causé par un affichage de valeurs différentes selon l'indicateur lu.
C'est dans le rapport publié par les éthiopiens, apparemment assez orienté contre Boeing probablement pour mieux dédouaner l'équipage (le NTSB a publié quelques corrections au sujet de certaines conclusions), mais dans les grandes lignes on a le sentiment que cet équipage avait la tête sous l'eau.
Là où c'est très coquinou de la part de Boeing, c'est de ne pas avoir décrit le nouveau fonctionnement du MCAS dans le Flight Manual.
Les pilotes, avant l'accident du Lion Air, n'étaient pas au courant (et ne pouvait pas l'être) que le MCAS, sous certaines conditions, aller prendre la main de cette façon, et qu'en plus, les pilotes ne pourraient pas contrer la manoeuvre en tirant sur le manche. On parle d'un comportement de vol fondamental de l'avion. A moins qu'ils aient estimé que la probabilité d'occurence soit très faible, je vois pas comment on peut passer ça sous silence dans des manuels de vol !
Les avions ont des loi de commande de vol déjà assez tordues comme ça, si en plus, on les cache...
Là où c'est très coquinou de la part de Boeing, c'est de ne pas avoir décrit le nouveau fonctionnement du MCAS dans le Flight Manual.
Les pilotes, avant l'accident du Lion Air, n'étaient pas au courant (et ne pouvait pas l'être) que le MCAS, sous certaines conditions, aller prendre la main de cette façon, et qu'en plus, les pilotes ne pourraient pas contrer la manoeuvre en tirant sur le manche. On parle d'un comportement de vol fondamental de l'avion. A moins qu'ils aient estimé que la probabilité d'occurence soit très faible, je vois pas comment on peut passer ça sous silence dans des manuels de vol !
Les avions ont des loi de commande de vol déjà assez tordues comme ça, si en plus, on les cache...
C'est un des reproches qui ont été faits à Boeing : "Informer les pilotes" ça aurait été ajouter un chapitre à leur formation, et "ça coûte" et ils ont choisi de ne pas le faire.
"Informer les pilotes" n'aurait pas juste ajouter un chapitre, mais aurait obligé une reformation de tous les pilotes, et donc un cout lunaire pour les compagnies qui auraient refusé d'acheter l'avion.
Si on prend les conclusions et qu'on remonte, Boeing a fait de la merde et aurait du prévenir, en ajoutant que le MCAS dans le manuel pilote.
(C'est toujours plus simple à dire une fois l'avion au tas)
Sauf que l'existence même du MCAS avait pour but de ne pas modifier le manuel pilote. (je vulgarise).
Et à l'époque de la création du MCAS, le principe même de non ajout dans le manuel pilote avait été validé par la FAA.
(ils ont pas validé spécifiquement ca, mais entre autre chose, ca a provoqué ca)
A l'époque le MCAS n'était pas la faucheuse qui allait devenir.
Le soucis a été que les modifs faites sur le logiciel ont été trop importante, et aurait du inciter Boeing à le sortir de l'ombre.
Ils étaient bien content de pouvoir justifier leur coup par l'inexistence de règle si "on modifie trop le logiciel au point de le rendre trop prenant".
Il faut bien voir aussi que lors des essais, personne n'imaginait que le scénario d'un blocage de sonde au décollage entrainerait une mauvaise interprétation de l'incidence et un déroulement de trim qui sans formation serait fatale.
Encore une fois je dis pas que Boeing a bien fait. Mais c'est bien plus simple quand on connait l'issue tragique de dire "on aurait pas du" ... alors que ca se trouve, y'a potentiellement d'autres logiciels dans le 737MAX qui ont suivi le même processus que le MCAS et qui ne provoqueront jamais de crash.
Là où c'est très coquinou de la part de Boeing, c'est de ne pas avoir décrit le nouveau fonctionnement du MCAS dans le Flight Manual.
Les pilotes, avant l'accident du Lion Air, n'étaient pas au courant (et ne pouvait pas l'être) que le MCAS, sous certaines conditions, aller prendre la main de cette façon, et qu'en plus, les pilotes ne pourraient pas contrer la manoeuvre en tirant sur le manche. On parle d'un comportement de vol fondamental de l'avion. A moins qu'ils aient estimé que la probabilité d'occurence soit très faible, je vois pas comment on peut passer ça sous silence dans des manuels de vol !
Les avions ont des loi de commande de vol déjà assez tordues comme ça, si en plus, on les cache...
C'est une réflexion facile à faire après deux accidents mortels ayant un point commun facilement identifiable.
Seulement elle est biaisée. Les preuves ? L'équipage du vol 302 d'Ethiopian était informé de ce fonctionnement et de la procédure à suivre, ça n'a rien empêché. Le vol précédent du Lion Air a subi les assauts du MCAS et s'est pourtant posé normalement, alors que l'équipage n'était pas informé de son fonctionnement.
Par ailleurs, l'argument de Boeing était que le fonctionnement du MCAS s'apparentait à un déroulement de trim, chose pour laquelle une procédure existait, avec une formation et un entraînement des équipages pour ce cas de figure. Couplé à une probabilité d'occurrence faible, ça passait crème sans besoin de faire des paragraphes alambiqués.
Par conséquent le problème est plus complexe et ne se résume pas à une seule variable. Quelque part, la plus grosse bévue est d'avoir zappé le cas de panne d'une sonde d'incidence et de ses effets sur le MCAS.
Quelque part, la plus grosse bévue est d'avoir zappé le cas de panne d'une sonde d'incidence et de ses effets sur le MCAS.
Je te rejoins 100% !
Le fait d'avoir ajouter le MCAS dans une procédure "nouvelle" coté FAA à fait qu'elle a esquivé toutes les AMDEC et autre études de sureté qui aurait du mettre en évidence les effets d'une erreur telle que cette pannes dans le système avion complet.
Parce que même une simple analyse haut niveau aurait été fatale à ce système et aurait évité les drames : constater qu'un système capable de dérouler le trim est basé sur des informations dont la chaine d'acquisition n'est pas ou mal redondé ... ca aurait sauté au yeux !
Et ca c'est un des points que la FAA ne pardonne pas à Boeing : ils auraient du faire cette analyse sans omettre ce genre de système. (surtout après les remontés d'alertes des ingés)
Le MCAS, conçu pour contrer un effet à cabrer à grande vitesse (je résume) a été étendu (à l'insu de la FFA) pour contrer un effet à cabrer à faible vitesse apparu au cours du programme de test. Les ingé de Boeing ont énormément augmenté son autorité et sa puissance, avec une déflexion vers le bas du plan stabilisateur de 2.5 degrés (contre 0.6 à la base) à chaque activation. On obtient ainsi l'inclinaison maximale vers le bas (4.7°) du stabilisateur en seulement deux itérations du système. Et surtout ils ont enlevé les G comme facteurs déclenchant le MCAS car il n'y en a pas dans cette configuration de vol. En conséquence l'activation du MCAS ne dépend plus que de l'AoA d'un seul capteur. L'équipage se retrouve donc rapidement avec un plan stabilisateur à piqué au maximum et il ne peut pas utiliser le trim électrique pour le corriger car ce dernier réactive le MCAS... qui en remet aussitôt une louche. Il faut donc passer en manuel ce qui exige cependant du/des pilotes d'appliquer une certaine force qui peut en fait être au-delà de leur capacités physiques selon la configuration de vol et l'angle du stabilisateur (qui sera de toute façon très élevé pour les raisons ci-dessus).
Bref le MCAS deuxième version est une véritable machine infernale. Il est incroyable que les ingé/pilotes d'essai de Boeing aient laissé passé ça. Mais manifestement ceux qui ont commencé à émettre quelques doutes ont été priés de se taire.
Un crash était quasi inévitable, qui plus est avec des équipages même pas au courant de la présence du truc, ce qui est quand même assez invraisemblable (mais logique quand on suit le raisonnement de Boeing... et celui de la FAA mais eux n'étaient pas au courant du MCAS deuxième version). Le crash du Lion aurait en fait pu être évité si le premier équipage, qui s'en était sorti avec pas mal de chance, avait informé le second... Mais cela n'a pas été le cas. Quant au crash de l'Ethiopian, il n'aurait jamais dû avoir lieu, les avions auraient dû être groundés bien avant.
Et surtout ils ont enlevé les G comme facteurs déclenchant le MCAS car il n'y en a pas dans cette configuration de vol. En conséquence l'activation du MCAS ne dépend plus que de l'AoA d'un seul capteur.
Je comprends pas le lien logique là, en quoi ça empêcherait de croiser les infos des 2 sondes AOA de ne pas prendre le facteur de chargeur en compte?
EDIT: Concernant la remarque d'OPIT, c'est très intéressant de lire l'analyse safety faite par Boeing sur les failures du MCAS présentée dans le crash report de l'Ethiopian: https://bea.aero/fileadmin/user_upload/ ... REPORT.pdf, page 203 et suites. Et ça éclaire effectivement pas mal sur les choix qui ont suivi.
Dernière modification par Yop127 le mar. juin 25, 2024 11:03 pm, modifié 2 fois.
Il me semble qu'il faut nuancer une partie, même si au final c'est sportif : le trim électrique a priorité sur le MCAS donc il est possible de s'en servir pour annuler l'ordre à piquer avec un moindre effort, mais il faut ensuite couper l'alimentation du trim électrique sinon ça recommence.
En ce qui concerne le crash d'Ethiopian, il est difficile de trancher. L'information et l'entraînement des équipages était jugé suffisant pour pouvoir réagir promptement en cas de problème. Ca alignait sans doute quelques plaques de Reason, mais l'industriel promettait une solution à court terme, du coup la probabilité d'accident sur un temps d'activité relativement court était acceptable. C'est ce qu'à expliqué la FAA. Maintenant qui dit quelques plaques d'alignées dit aussi qu'il ne faut plus en aligner beaucoup pour que ça parte en sucette. Un équipage qui remet le trim électrique en fonction après avoir appliqué la bonne procédure n'est pas prévu dans le manuel ni par les statistiques. Et comme ça ne suffisait pas, l'overspeed à augmenté les efforts au manche. Si je compte bien ça fait 2 boulettes ayant largement contribué au crash.
Reste que ça a été le crash de trop qui a renvoyé Boeing à sa planche à dessins sans possibilité de renégocier/réexpliquer quoi que ce soit.
Et surtout ils ont enlevé les G comme facteurs déclenchant le MCAS car il n'y en a pas dans cette configuration de vol. En conséquence l'activation du MCAS ne dépend plus que de l'AoA d'un seul capteur.
Je comprends pas le lien logique là, en quoi ça empêcherait de croiser les infos des 2 sondes AOA de ne pas prendre le facteur de chargeur en compte?
Je crois qu'il faut comprendre comme "seul capteur" la source de données qui permet de mesurer l'AOA et non le nombre de sondes. En gros, au lieu de baser sa décision sur 2 capteurs (G et AOA, l'un pouvant disqualifier l'autre), il n'en restait plus qu'un (AOA). A partir de là une information d'AOA erronée suffit à provoquer une cascade d'évènements.
De toute façon croiser les informations de 2 sondes ne sert pas à grand chose : Soit elles disent la même chose, soit tu ne sais pas laquelle croire.
Oui, à priori, à l'origine, sur le KC-46, si les sondes ne sont pas d'accord, le MCAS se désactive et le pilote doit appliquer une procédure.
Mais sur le MAX, on veut éviter de modifier le comportement apparent de l'avion, et la FHA classe le risque comme MAJ au max, donc une seule sonde suffit.
Et je croyais qu'il y avait 3 AOA probes, comme chez Bubus, pas seulement 2!
Oui, le critère sur les G a été disqualifié à cause des basses vitesses. Il ne restait donc plus que le critère AoA.
Et forcément basé sur une seule sonde car en cas de conflit entre les deux, le système aurait dû être désactivé et l'équipage aurait dû appliquer une procédure. Ce qui aurait impliqué 1) d'informer l'équipage de la présence du MCAS et 2) de former les équipages.
Ce que ne voulait absolument pas Boeing.
Pour Boeing le MCAS était une sorte de tâche de fond du système de vol. Destiné à rester le plus discret possible. Mais avec une puissance faramineuse et une autorité élevée.
C'était foireux dès le départ.
Dernière modification par larsenjp le mer. juin 26, 2024 12:08 am, modifié 1 fois.
OPIT a écrit :Il me semble qu'il faut nuancer une partie, même si au final c'est sportif : le trim électrique a priorité sur le MCAS donc il est possible de s'en servir pour annuler l'ordre à piquer avec un moindre effort, mais il faut ensuite couper l'alimentation du trim électrique sinon ça recommence.
Vu le délai d'activation du MCAS qui n'est que de quelques secondes, c'est effectivement très sportif.
OPIT a écrit :En ce qui concerne le crash d'Ethiopian, il est difficile de trancher. L'information et l'entraînement des équipages était jugé suffisant pour pouvoir réagir promptement en cas de problème. Ca alignait sans doute quelques plaques de Reason, mais l'industriel promettait une solution à court terme, du coup la probabilité d'accident sur un temps d'activité relativement court était acceptable. C'est ce qu'à expliqué la FAA. Maintenant qui dit quelques plaques d'alignées dit aussi qu'il ne faut plus en aligner beaucoup pour que ça parte en sucette. Un équipage qui remet le trim électrique en fonction après avoir appliqué la bonne procédure n'est pas prévu dans le manuel ni par les statistiques. Et comme ça ne suffisait pas, l'overspeed à augmenté les efforts au manche. Si je compte bien ça fait 2 boulettes ayant largement contribué au crash.
Reste que ça a été le crash de trop qui a renvoyé Boeing à sa planche à dessins sans possibilité de renégocier/réexpliquer quoi que ce soit.
Oui mais le problème est qu'on ne parle pas des plaques de Reason d'une machine à laver ou d'un four électrique mais de celles d'un liner. Avec des gens à bord.
Cette affaire a quand même fait au total 346 victimes qu'il ne faut pas oublier. Et franchement, si un de mes proches en faisait partie, j'aurais vraiment la haine.
En tout point d'accord avec larsenjp qui rentre dans le détail technique
Pour rappel : pour faire une "bonne" information (et je parle même encore d'information "fiable") c'est minimum 3 sources différentes pour choper l'information.
En dessous ... c'est GARANTIE d'avoir une information non-fiable, et donc de ne pas utiliser cette information dans un système critique.
Au delà de l'info d'accélération (les G), l'incidence est elle dépendante de 2 capteurs (2 sondes d'incidence).
C'est déjà douteux d'avoir eu l'autorisation de l'utiliser à haute vitesse car l'autorité était faible. (et déjà là, la FAA a des questions à se poser).
Mais c'est meurtrier d'avoir jouer avec pour lui donner une autorité de dingue. (et là, Boeing est coupable)
Au passage, (de mémoire) la solution pour "récupérer l'avion" a été de concevoir un 3ième capteur d'incidence "virtuel" à partir des informations provenant d'autre capteur anémométrique, et ainsi d'avoir une 3ième mesure, pour contrer le cas d'une panne du système.
D'ajouter en plus une alarme "incohérence AoA" dans le pit (le truc qui était en option à l'époque).
D'informer les pilotes sur l'existence du MCAS (j'ai pas souvenir d'avoir vu des formations ... c'est juste de l'information).
Oui mais le problème est qu'on ne parle pas des plaques de Reason d'une machine à laver ou d'un four électrique mais de celles d'un liner. Avec des gens à bord.
Certes, mais d'un autre côté le risque zéro n'existe pas. Donc à un moment tu traces le trait en prenant en compte toutes les variables, dont l'aspect économique dans sa globalité. Plomber des employés, des compagnies aériennes et des industriels (ça fait aussi un paquet de gens qui ont besoin de remplir leurs assiettes) alors que le risque est calculé comme "faible" n'est pas forcément intelligent non plus, surtout s'il ne se passe rien derrière.
Là, on est d'accord, il s'est passé quelque chose. Mais est-ce qu'un constat à postériori suffit à remettre en cause un choix fait à priori ou est-ce simplement l'expression d'un biais de confirmation ?
Sortir une analyse "à l'arrache" pour justifier d'un risque faible histoire de pas groundé les avions ... c'est quand même pas propre.
Mais c'est pas le premier avion dont on sait qu'il a un système "pas top" à bord qu'on a permis de faire voler en supposant que le risque en valait la chandelle.
C'est d'ailleurs pour ca que ca me fait doucement sourire quand j'entends "Safety first" ... alors qu'en vrai ...
Et non "Le risque zéro n'existe pas", n'est pas suffisant pour justifier qu'on permette de faire voler une faucheuse.
Tabler sur l'information des pilotes (on parle même pas de formation) comme suffisant pour "éviter le pire" ... c'est quand même un peu fort de café.
Pour info, un humain non formé, fait 1 erreur toutes les 100 actions. Un humain formé (une vraie formation, avec un certificat) fait 1 erreur toutes les 1000 actions.
Un humain juste "informé" ... au mieux c'est quoi ... 1 erreur toutes 150, 200 actions.
Ce n'est pas suffisant pour dire qu'on rentre dans les standards de la fiabilité aéronautique.
Et déjà après le Lion Air beaucoup disait que l'on faisait une bêtise à pas groundé les avions.
On était plus sur quelques fous afficionados de la théorie du complot (ou de la théorie du pire)
Je me souviens très bien qu'à l'époque on temporisait un max, car tout indiquait qu'il fallait groundé, mais que personne ne voulait en subir les conséquences.
Dis autrement, le seul argument qui a incité à garder en vol l'avion, c'est le fric ... c'est impardonnable. (et à mon sens, criminel)
On est d’accord c’est histoire de gros sous qui s’est transformée en une affaire criminelle.
Pour répondre à OPIT, l’aspect économique doit évidemment être pris en compte dans l’évaluation d’un risque mais en l’occurrence Boeing s’est complètement planté. Ils ont voulu économiser quelques dizaines/centaines de millions de dollars et ils se retrouvent à deux doigts de mettre la clé sous la porte.
Donc oui, je pense que dans des cas comme celui-là il ne faut pas hésiter à remettre en cause a posteriori les choix.
Je ne dis pas le contraire. Je constate simplement qu'il y a plein de variables et qu'il ne suffit pas d'en choisir une en méprisant les autres. Pour pouvoir trancher il faut maîtriser l'ensemble du sujet et pas seulement une partie. Sinon on tombe dans l'arbitraire.
Ainsi j'aurai tendance à être d'accord avec ta dernière phrase, parce qu'assez catchy dite sous cette forme, seulement je ne suis pas capable de bien mesurer l'importance de cette variable vis à vis du niveau de risque accepté. Le grounding a finalement eu lieu, et ce fût un séisme planétaire. Entre la certitude de foutre le dawa par un grounding post Lion-Air et le risque (*) d'avoir un nouvel accident, je ne sais pas choisir.
(*). Je ne me souviens plus de la probabilité en heures de vol, mais je me souviens que le calcul était caviardé par les non-dits de Boeing. A postériori la FAA a eu tort, mais sur le moment et avec les informations qui étaient les siennes...
Donc oui, je pense que dans des cas comme celui-là il ne faut pas hésiter à remettre en cause a posteriori les choix.
Que ça serve de RETEX, absolument. Que ça serve à remettre en cause n'importe quel choix, pas du tout. Quand tu commences à condamner quelqu'un, à postériori, pour un choix fait alors qu'il n'avait pas conscience d'être dans l'erreur, ça pose un problème éthique et ça envoie un signal d'immobilisme puisqu'in fine tout choix peut alors devenir condamnable si on patiente suffisamment pour accumuler des arguments contraires. Le principe de précaution a des effets pervers qu'il faudrait ne pas ignorer.
Ceci étant posé, Boeing n'entre pas dans ce cadre là. Leur volonté de contourner le système est manifeste et à ce titre ils sont condamnables. En revanche je ne pense pas que la FAA se soit rendue complice et rien ne me semble remettre en doute leur bonne foi, en dehors d'accusations péremptoires.
