Histoire de Pilotes et de Calculateurs...

[Flyingtom]

Messieurs, vos contributions sont pertinentes mais très générales. À poursuivre dans cette voie, on se dirige vers un topic A vs B qui n'aboutira pas, ou au moins ne permettra pas de répondre à la question précise soulevée par l'incident d'EVA Air :
Si une protection réagit et que moi, pilote, considère avec certitude que son action est inappropriée (voire dangereuse), que puis-je / dois-je faire pour reprendre la main ?

Merci

++
Az'

La réaction d'EVA AIR a été , à mon sens, la bonne et découle de leur bon sens :
-la NORMAL LAW déclenche sans raison identifiée la protection High AOA ?
-> Ok , on coupe les ADR pour reprendre la main sur le controle de l'assiette et on voit ce qu'il se passe et on trie les patates plus tard ...

Toutes les pannes ou évènements ne peuvent pas etre forcément documentée ... ce qu'il fait la différence c'est justement le jugement et la décision de l'équipage .

A un très moindre niveau, il m'est arrivé la chose suivante lors d'un vol de convoyage sur un vieux BE90...
Lors d'un vol , en approche, au moment de débrayer mon autopilot, je m'apercois que malgrès toutes les actions sur le bouton de déconnexion, le trim électrique, le breaker , le surpassement d'effort sur les commandes..; rien ne déconnecte l'A/P ... j'ai pris la décision de couper momentanément les inverters (qui alimentent directement l'avionique) pour couper l'alimentation de l'A/P et cela a resolu le problème (un peu à la barbare, mais cela a fonctionné) .

J'ai eu beau chercher dans la doc, cette procédure n'était pas prévue par le constructeur . La cause du problème: surement un relai coincé en position fermé pour une raison X ou Y...

[Azrayen]

Hello Zazarien,

Hello Pipo3000,

Tant que l'on en vient pas à l'insulte ou aux arguments vraiment trop fallacieux ça devrait aller?

Ça devrait Je tentais de prévenir pour ne pas avoir à guérir.

Un système industriel complexe est très inertiel voir inamovible lorsque l'on aborde des questions de "philosophie de conception".

Entièrement d'accord. Mais la question n'est pas seulement "Pourquoi Airbus ne change-t-il pas ceci ?" mais aussi "Pourquoi Airbus a-t-il fait ce choix à l'origine ?"

Par contre point d'infantilisation des équipages dans mes remarques.

Non non, c'est moi qui ai employé, à dessein, ce terme. Et je ne parlais pas d'un correctif, mais de la situation actuelle : En Loi Normale, protections insurpassables = certains jugent cela infantilisant (ou blessant, ou remettant en cause leur supériorité de jugement... etc.)

Juste une sécurité de plus qui leur permettrait de mettre l'appareil dans une configuration (software, hardware,) bien donnée et connue de tous en cas de problème non identifié.

Les configurations actuelles sont connues (manuel). L'équipage d'EVA n'a pas fait face à un problème non identifié, au contraire, il a su identifier le problème et, par sa connaissance de l'architecture de l'avion, déterminer une solution fonctionnelle. C'est dans ce genre de cas que l'humain est infiniment supérieur à la machine.

Pour répondre à ton étonnement, et je laisse les spécialistes le faire, il serait intéressant de faire l'analogie avec le problème des Pitots.

Merci, j'ai les réponses à ces quatre questions (check MP pour pas plus de HS ici) ; elles ne répondent malheureusement pas à mon étonnement.

-----------

A partir du moment où on a un système de gestion de la trajectoire (Verticale/Laterale) , on doit pouvoir reprendre la main quel que soit l'avion...
(...)
En gros , en mode managé on demande une trajectoire via le MCDU ou le Flight Control Unit et l'avion nous informe de sa réponse via le Flight Mode Annonciator (FMA) , le dialogue s'effectue comme cela... Le CRM doit être encore plus une priorité dans ce genre d'équipage à trois (PF+PNF+AViON).

Entièrement d'accord avec ce que tu dis, sauf que je fais un différence très nette entre CDVE (et protections associées) d'une part, et automation d'autre part (pilote auto, auto-manette... etc.)

Les Lois de Commandes des CDVE (et ce qui en découle, par exemple g-demand vs AoA-demand) ainsi que les protections associées sont utilisées pour le pilotage manuel (i.e. par le pilote humain). Il s'agit donc d'une interface (avec des limites insurpassables chez Airbus, surpassables chez Boeing) entre les commandes (manche...) et les gouvernes.

A l'inverse le PA et l'auto-manette n'ont pas besoin de la fonction de "traduction de l'ordre au manche, au palo, ou aux manettes" en "ordre aux gouvernes".
Ils génèrent directement leurs propres ordres aux gouvernes.
Si je confie le contrôle de tout ou partie au PA ou à l'auto-manette, alors je ne pilote plus, je surveille ce que font les automatismes à qui j'ai confié tout ou partie du contrôle. Et je peux décider de me passer d'eux si je le souhaite (bon, sauf cas à la con comme ton exemple, merci de l'avoir relaté).

C'est vraiment, vraiment très différent à mes yeux.

-----------

on a une situation comparable avec (tous) les moyens de bloquer (rapidement) un déroulement de trim (donc bouton genre PA disconnect , voire PA disco avec 2 crans d'enfoncement, ou plus simplement le même maintenu 3 secondes)..

Ah, ça m'intéresse Sur quel type ?

'a priori' si je ne veux plus de protections je ne veux plus non plus de PA (?)

Oui bien sûr ! Mais cf plus haut, si je veux virer les protections, c'est qu'elles se sont activées, et si elles l'ont fait et que je ne peux pas reprendre la main "juste en manipulant mes commandes primaires", je suis déjà hors PA.


++
Az'

[OPIT]

Tout ceci me donne le sentiment qu'il y aurait une approche fondamentalement différente entre Boeing et Airbus, le premier partant d'un fonctionnement conventionnel pour y ajouter diverses aides, assistances et automatismes, le second focalisant son attention sur l'optimisation du fonctionnement normal d'un avion au risque de survoler (hum !) les situations dégradées.
Quand tout va bien l'Airbus est plus "facile", mais quand Newton rappelle à l'ordre mieux vaut être dans un Boeing... J'ai bon ?

[Flyingtom]

Tout ceci me donne le sentiment qu'il y aurait une approche fondamentalement différente entre Boeing et Airbus, le premier partant d'un fonctionnement conventionnel pour y ajouter diverses aides, assistances et automatismes, le second focalisant son attention sur l'optimisation du fonctionnement normal d'un avion au risque de survoler (hum !) les situations dégradées.
Quand tout va bien l'Airbus est plus "facile", mais quand Newton rappelle à l'ordre mieux vaut être dans un Boeing... J'ai bon ?

Oui et non ...

Je ne suis pas d'accord avec "au risque de survoler les situations dégradées..Quand tout va bien l'Airbus est plus "facile", mais quand Newton rappelle à l'ordre mieux vaut être dans un Boeing... J'ai bon ?."

Par exemple, sur A320 la procédure UNRELIABLE SPEED INDIC/ADR CHECK PROC indique clairement la procédure à suivre en cas de:
-Différence de vitesse (ADR 1,2,3 et Standby instrument)
-Fluctuation anormale de vitesse / altitude
-Incohérance entre les parametres de vol
-Comportement anormale de A/P, A/THR, F/D
-Stall warning, Overspeed Warning en contradiction avec la situation

Dans ce cas là , la procédure indique de couper les 3 ADRs (on se retrouve en ALTERNATE LAW reduced protection , sans OVERSPEED/LOW SPEED PROTECTION) et voler l'avion selon la table Pitch/Thrust . Tout cela afin d'avoir le controle de l'avion pendant la recherche de la panne (ADR, ou givrage sonde)...

En situation dégradée , l'Airbus redevient un avion conventionnel sous réserve :
-de connaitre ses systèmes
-de connaitre parfaitement les différentes loi de vol, les protections associées, leurs conditions d'activation et leur limites

[OPIT]

En situation dégradée , l'Airbus redevient un avion conventionnel sous réserve :
-de connaitre ses systèmes
-de connaitre parfaitement les différentes loi de vol, les protections associées, leurs conditions d'activation et leur limites

D'accord sur le principe, mais en pratique ce "sous réserve" implique qu'en situation de stress les fondamentaux, voire les actions réflexes, ne suffisent pas ; il faut en prime élaborer une stratégie pour contourner ou s'accommoder des automatismes et autres protections, ce qui présuppose d'avoir bien analysé la situation (pour couper/désengager les bons systèmes).
Bien entendu c'est faisable pour du personnel formé et entraîné. Mais à mes yeux ça reste une spécificité qui semble compliquer les choses à un moment qui est mal venu. Et c'est peut-être sur ce point-là qu'il y a des améliorations à apporter.

[Azrayen]

D'accord sur le principe, mais en pratique ce "sous réserve" implique qu'en situation de stress les fondamentaux, voire les actions réflexes, ne suffisent pas ;

Je ne suis pas d'accord.
A l'exception du pb qui a entrainé ce sujet, il n'y a pas lieu de se battre contre les protections.
Un équipage doit connaitre sa machine. Quelle que soit son étiquette (<= ceci n'est pas équivalent à "c'est la faute de...", ne venez pas me répondre que l'entrainement bla bla, ce n'est pas le sujet)

Les autres dégradations connues (et documentées) sont la perte de systèmes (pannes diverses). L'archi est prévue pour une graceful degradation.
Le principe est de ne pas utiliser une donnée non fiable :
Dès que l'avion considère comme non fiable sa mesure de XXXX, alors il annule tout automatisme ou protection ayant besoin d'une mesure de XXXX fiable pour fonctionner, et rend la main à l'équipage en l'informant de la situation (Rem: il y a des progrès à faire sur certains plans, notamment l'information à l'équipage, mais c'est là le principe de base, et je ne le remets pas en cause).

Le problème rencontré par EVA Air est dans la première partie : "Dès que l'avion considère comme non fiable ..."
Parce que l'EVA Air s'est retrouvé dans une situation où il considérait toujours comme fiable la mesure d'incidence, donc maintenait en fonction les protections associées.

Le problème ici est donc : l'incident d'EVA Air démontre que le système actuel peut se tromper dans sa définition de la mesure fiable. Et agir de façon erronée en conséquence.

il faut en prime élaborer une stratégie pour contourner ou s'accommoder des automatismes et autres protections, ce qui présuppose d'avoir bien analysé la situation (pour couper/désengager les bons systèmes).

Ça, c'est le pb qui nous occupe. L'exemple d'EVA Air, la protection qui déconne.
A ma connaissance, il est relativement unique.

[pOy-yOq]

Le problème ici est donc : l'incident d'EVA Air démontre que le système actuel peut se tromper dans sa définition de la mesure fiable. Et agir de façon erronée en conséquence.
...
A ma connaissance, il est relativement unique.

Le problème c'est que c'est loin d'être unique. Il est parfois très difficile de détecter une mesure défaillante.

Je pense par exemple aux multiples incidents et à l'accident sur 737 où la valeur envoyée par la sonde radioaltimétrique était fausse mais vraisemblable : elle envoyait aux ordinateurs de bord une info d'altitude ayant la valeur 5ft (ou quelque chose dans le genre). C'est une mesure fausse (quand l'avion est à 2000ft) mais vraisemblable donc panne non détecté par le système de protection.
Quand cela arrive en approche finale, cela provoque le passage de l'autothrust en mode RETARD (arrondi, on met les moteurs au ralenti).
C'est arrivé des dizaines de fois, où l'équipage a bien réagi, jusqu'au jour où un équipage ne l'a pas détecté et a décroché en finale.

Les ingénieurs sont de bonne foi et les protections sont censées être exhaustives. Malheureusement la nature a plus d'imagination qu'eux. C'est pour ça que l'humain reste indispensable pour analyser une situation non connue (c'est à dire non imaginée ou rencontrée auparavant).

[Azrayen]

Le problème c'est que c'est loin d'être unique. Il est parfois très difficile de détecter une mesure défaillante.

Tout à fait, j'ai fait un raccourci. Je reformule :
Unique cas sur Airbus ayant activé une protection en incidence (dont l'effet, concrètement, s'apparente à pousser le manche) sur la base de données erronées. Autrement dit jusqu'ici, la mesure d'incidence avait soit été fiable, soit ses erreurs avaient été détectées par le système (système de vote).

Mais sur un plus large sujet, bien sûr tu as raison, la difficulté est dans la détection de la défaillance.

C'est pour ça que l'humain reste indispensable pour analyser une situation non connue (c'est à dire non imaginée ou rencontrée auparavant).

Tout à fait
Je vais préciser un peu ma question :
1/ Comme tu l'expliques ci-dessus, la mesure non fiable (et non détectée en temps que telle) est un risque connu (pas forcément sur le cas précis rencontré par EVA Air, mais en général)
2/ L'humain reste indispensable notamment parce que c'est sa responsabilité (et sa capacité, spécifique, que ne peut avoir une machine) de détecter et d'agir intelligemment face à une situation inattendue/non prévue.
3/ Je suis donc étonné que, en fonction de ces deux principes, Airbus n'ait pas prévu le coup. Il ne s'agit pas de prévoir tous les cas de pannes (c'est impossible, on est d'accord) mais de donner la possibilité à l'humain, responsable, d'agir en connaissance de cause "contre" une protection automatique défaillante.
-- cette possibilité existe (= couper 2 ADR sur 3) et a été mise en œuvre par l'équipage d'EVA Air (même plus : ils ont coupé les 3) ;
-- en revanche je juge - mais ce n'est que mon avis - que c'est dommage d'avoir à aller jusqu'à cette extrémité alors qu'un simple bouton magique "annulation des protections" pourrait suffire (tout en maintenant la fourniture à l'équipage des informations des ADR, afin qu'ils puissent exercer leur jugement avec toutes les infos à leur disposition) ;
-- et je cherche donc à comprendre pourquoi Airbus a fait ce choix à l'origine, et l'a maintenu (au delà de l'inertie - existante, je ne remets pas ça en cause - liée à la complexité du système indus/avion moderne).

++
Az'

[Flyingtom]

Je ne suis pas d'accord.

Le problème rencontré par EVA Air est dans la première partie : "Dès que l'avion considère comme non fiable ..."
Parce que l'EVA Air s'est retrouvé dans une situation où il considérait toujours comme fiable la mesure d'incidence, donc maintenait en fonction les protections associées.

Le problème ici est donc : l'incident d'EVA Air démontre que le système actuel peut se tromper dans sa définition de la mesure fiable. Et agir de façon erronée en conséquence.


Ça, c'est le pb qui nous occupe. L'exemple d'EVA Air, la protection qui déconne.
A ma connaissance, il est relativement unique.

C'est à l'équipage de juger en dernier ressort si les mesures sont fiables... en cas de doute il doit se référer à la procédure prévue FCOM UNRELIABLE SPEED INDIC/ADR CHECK PROC -> Tout y est détaillé !


Ce n'est pas une procédure ECAM, c'est une procédure à faire avec des memory items (c'est à dire un série d'actions à connaitre par coeur) avec ensuite le guide en version papier.

L'équipage EVA AIR , à la suite du déclenchement de la protection a un gros doute -> application de la procédure UNRELIABLE SPEED pour trier les infos et déterminer si il s'agit d'une panne d'ADR, un givrage global des sondes, un phénomene météo etc etc ...

Quand vous voulez virer des protections qui vous emmerde sur votre PC, vous passer en mode sans echec , et bien c'est exactement le principe ici...


EDIT: le fait de couper 2 ADR sur 3 correspond à la procédure citée si on est au FL>250 afin d'inhiber l'affichage de (BackUp Speed Scale BUSS) et de piloter uniquement avec les valeurs assiette/thrust préconisée par Airbus .En dessous du FL250 ou si la vitesse n'est toujours pas "reliable" : on coupe les 3 ADR pour bénéficier du BUSS (qui est un affichage d'AOA avec une référence d'altitude GPS, ce qui est mieux que rien..) ... Ensuite on applique les procédures ADR 1+2+3 Fault et ALL ADR OFF

[Azrayen]

Tom, relis mon post précédent : Je ne remets pas en cause les actions de l'équipage d'EVA Air.

Je juge - mais ce n'est que mon avis - que c'est dommage d'avoir à aller jusqu'à cette extrémité (coupure ADR) alors qu'un simple bouton magique "annulation des protections" pourrait suffire.

Je reconnais que cette solution a le mérite de la simplicité (ADR coupé, aucune donnée de sortie jugée déconnante n'alimentera aucun système de l'avion). Mais, corolaire, elle ratisse large :
- si ta mesure d'incidence déconne et déclenche indûment la protection High AoA, tu coupes 2 ADR (donc aussi d'autres sondes que celle d'incidence, par exemple pouf plus de vitesse affichée sur les PFD)
- si ta mesure de vitesse (pitots+statique) déconne et déclenche indûment la protection Overspeed, tu coupes 2 ADR (donc aussi d'autres sondes que celle de vitesse, exemple celles d'incidences)
- pour peu que sous le stress, tu vires un ou deux IR en passant (en plus ou à la place des ADR)...

Bref, je ne prétends pas avoir toutes les infos, je pense que les ingés (et pilotes) qui ont conçu la philosophie ont des explications, j'attends de les découvrir pour éventuellement émettre un jugement +/- définitif.

++
Az'

[Flyingtom]

@Az' : je sais que tu ne remets pas en cause les action de l'équipage d'EVA AIR...

Je tentais juste de donner une réponse à ta question :"Si une protection réagit et que moi, pilote, considère avec certitude que son action est inappropriée (voire dangereuse), que puis-je / dois-je faire pour reprendre la main ? "

Si jamais je n'ai pas été assez clair , toutes mes confuses

Un bouton "Annulation de protection" ne servirait à rien car il ne te permettra jamais de découvrir d'où vient le soucis ...car il faudrait ensuite agir sur chaque ADRs pour découvrir ce qui merde et isoler le/les capteurs défectueux ... ce qui revient au même que de suivre la procédure existante .

[jojo]

Est-ce qu'il y a autant de soucis de capteurs (givrage pitot, sonde incidence) sur les avions militaires qui eux sont instables (mesure pas fiable=> au tas)?

Car au final un Airbus a des CDVE et des automatismes mais reste un avion stable...

[Azrayen]

Autant, plus que, moins que... c'est IMO à la fois difficile à dire et pas forcément nécessaire.
Ça arrive en tt cas.

[Knell]

Est-ce qu'il y a autant de soucis de capteurs (givrage pitot, sonde incidence) sur les avions militaires qui eux sont instables (mesure pas fiable=> au tas)? .

Les protections sont pas tout a fait les meme.... Donc beaucoup plus tolerantes a la panne
Voler sur le dos pour un 2000 c est normal, badin zéro, c'est envisageable

[Bensky]

Les protections sont pas tout a fait les meme.... Donc beaucoup plus tolerantes a la panne
Voler sur le dos pour un 2000 c est normal, badin zéro, c'est envisageable

Voler à badin zéro, on est pas loin de l'oxymore !

[El Doctor]

oxymore

Faut être un direct pour utiliser des mots comme celui-là...

[TOPOLO]

Les ex-recco sont connus pour être des littéraires, si les chassous s'y mettent, ça va jaser.

[Bensky]

bande de mécréants !

[Azrayen]

Knell, d'ac sur la question des protections

En revanche, l'équation "mesure pas fiable ==> au tas" s'est vérifié au moins une fois.
Je pense que la question de jojo allait au delà des protections, qu'on peut d'ailleurs faire sauter, dans un 2000 (et c'est heureux, vu la mission !!).

[TOPOLO]

Je pense que la question de jojo allait au delà des protections, qu'on peut d'ailleurs faire sauter, dans un 2000 (et c'est heureux, vu la mission !!).

En fait, il y en a pas mal (de protection) que l'on ne peut pas désactiver (), ça ne veut pas dire que l'on ne peut pas les contourner, mais c'est un autre problème...

[Azrayen]

Ah, ben comme il est instable, c'est sûr qu'un équivalent de loi directe le ferait moyen.
Je pensais à gains sec et vrille.

[TOPOLO]

Le passage Gain secours et/ou ultime secours ne sont pas (dans mon souvenir) déclenchable sur action pilote... (c'est le calculateur qui décide et affiche).
Pour le mode dégradé vrille, lui est activable depuis le pit, mais, comme son nom l'indique, ç'est sans doute pas le meilleur moyen de voler droit .
Par contre, pour sortir d'une situation type vrille / décrochage à l'aide d'une quasi loi-direct, c'est effectivement fait pour ça, mais ça reste transitoire, je ne connais pas la procédure, mais on foit repasser tres vite en mode normal, sans doute sans attendre le retour en vol stabilisé..
Ce serai intéressant d'avoir un résumé de la prodédure d'emploi du dit bouton (dans une version déclassifiée bien sûr), pour savoir si ça pourrait ressembler à ce que demande certains sur Airbus (mais j'ai un doute)

[jojo]

Il y a un bouton Gain CDVE: Normal/ Ultime Secours à droite de la palette de train.

[Azrayen]

TOPOLO, parmi toutes les différences qu'on peut trouver entre un M2000 et un A320, il y a une que j'estime assez fondamentale pour me laisser penser que la comparaison des procédures n'a qu'un intérêt très limité.

Je résumerais ainsi : un A3x0 est stable et peut donc être piloté en Loi Directe (= approche conventionnelle) pendant une longue durée (voir, en ultime secours, en mécanique via par exemple le trim uniquement) ; un M2000 est instable et ne peut guère être piloté longtemps sans l'aide des ordinateurs des CDVE.

Je me goure peut être... c'est peut-être encore faisable avec un M2000, et ne devient vrai qu'avec un B-2... m'enfin...

[TOPOLO]

Oui, Jojo, ma mémoire était déficiante, on peut effectivement passer en gain secours avec l'interrupteur à 2 positions NORM/SEC..., on peut même passer en Ultime Secours avec l'interrupteur sous cache NORM/ULT.SEC (bandeau gauche)... en fait on peut a peu près tout faire (si on ajoute le NORM/VRILLE)

Az: je pense q'un 2000 n'est pas plus pilotable qu'un B-2 en loi directe... et tu as tout à fait raison, il peut être tout à fait légitime de demander un passage en loi direct sur un A3xx (ou un 7X) alors que cela n'a guère de sens sur un 2000 (sauf vrille comme vu plus haut).

Il serait plus pertinent de comparer les IHM des CdVE des A3xx, d'un Boeing (je ne sais pas quel est le plus avancé de ceux doté de FLCS), d'un C17 d'un A400M et du 7X par exemple pour voir si des philosophies se dégagent (et lesquelles), mieux vaut laisser les pointus (2000, Raf, F-16, F-18 et autres ) de coté, il y aussi sans doute des variantes, mais sans rapports avec celles des civils / transports.