Crash B737 Ethiopian Airlines

[larsenjp]

Je pense qu'on peut dire que tu te trompes. On en en plein dans la maitrise d'un risque catastrophique (perte potentielle d'un avion) avec une probabilité d'occurrence qui est finalement celle d'un rayon cosmique frappant au mauvais endroit. Ca aboutit à définir une criticité pour ce risque, laquelle n'est à priori (ici) par acceptable en l'état, d'où l'idée d'avoir une redondance des calculateurs (réduction de la probabilité d'occurrence de la cause primaire, donc réduction de la criticité qui devient acceptable).
Inverser jusqu'à 5 bits est logiquement plus improbable que d'en inverser un seul, et le risque causé par ce défaut n'est pas forcément catastrophique. Par conséquent, la criticité d'un tel risque est généralement largement acceptable sans précautions supplémentaires.

On est d’accord et c’est d’ailleurs plus ou moins ce que dit Boeing.
Il n’en reste pas moins que la FAA a imposé le test et qui plus est en modifiant un des paramètres de base, à savoir le temps de réaction des pilotes, ce qui a conduit à l’échec de l’un des trois.
J’ai l’impression que la FAA a mis la barre très haut, sans doute pour rattraper ses « absences » lors de la certification initiale du zinc.
Du coup, on pourrait envisager qu’elle fasse la même chose pour d’autres risques et faire ainsi apparaître des criticités catastrophiques là où il n’y en a pas actuellement. Je ne sais pas mais je pourrais comprendre que Boeing l’ait mauvaise sur ce coup là même s’ils se le sont bien cherché.

Quant à la réponse de Boeing, OK mais ça veut dire mettre en place deux chaînes de mesure parallèles indépendantes et tout le soft pour détecter les différences entre les calculateurs et décider in fine de rendre la main aux pilotes ou pas, lequel devra bien sûr lui-même être blindé etc. Pas si évident à mon avis mais je ne suis pas spécialiste, ergo doit sans doute pouvoir nous en dire plus.

Au passage, je ne savais pas qu’il y avait deux calculateurs de bord mais un seul utilisé alternativement. C’est spécifique au 737? A Boeing? Ou c’est général?

[larsenjp]

J'ai une alerte automatique sur les termes "737" et "MAX" sur le feed du ST ... c'est pas pour rien ... ca fait des années que c'est les plus informés de ce qui se passe chez l'avionneur américain.

Excellent, tu es donc notre antenne officielle auprès du ST...
Le site français que tu cites plus haut est intéressant aussi. Il y a un CR d’un sondage effectué auprès des voyageurs aériens US au sujet du 737: de mémoire, 13% ont confiance dans l’avion et les solutions que Boeing mettra en place, 50% ont des doutes et 37% n’ont pas confiance. C’est loin d’être gagné.

[OPIT]

J’ai l’impression que la FAA a mis la barre très haut, sans doute pour rattraper ses « absences » lors de la certification initiale du zinc.

Je ne sais pas si on peut parler d'absences à partir du moment où Boeing n'a apparemment pas été très transparent, voire plutôt cachotier, durant le processus de certification et n'a apparemment pas remplis son rôle. Aujourd'hui la FAA, dont l'image écornée pousse inévitablement au pinaillage, est sans doute passé de l'approche analytique classique à un travail d'enquête où tout ce qui concerne l'objet du délit est systématiquement questionné. Quelque part ça ressemble à une mise sous tutelle de l'avionneur.

[Milos]

Aujourd'hui la FAA, dont l'image écornée pousse inévitablement au pinaillage, est sans doute passé de l'approche analytique classique à un travail d'enquête où tout ce qui concerne l'objet du délit est systématiquement questionné.

C'est malheureux de voir qu'il leur a fallu des morts (et que ça a failli leur retomber sur la poire) pour faire leur boulôt comme il aurait du être fait dès le début.

[larsenjp]

Je ne sais pas si on peut parler d'absences à partir du moment où Boeing n'a apparemment pas été très transparent, voire plutôt cachotier, durant le processus de certification et n'a apparemment pas remplis son rôle. Aujourd'hui la FAA, dont l'image écornée pousse inévitablement au pinaillage, est sans doute passé de l'approche analytique classique à un travail d'enquête où tout ce qui concerne l'objet du délit est systématiquement questionné. Quelque part ça ressemble à une mise sous tutelle de l'avionneur.

Sans aucun doute et il est clair que Boeing, comme tout industriel, n’est pas très porté à communiquer sur sa cuisine interne. Et c’est ce qui q’est Passe pour le MCAS.
Ceci dit le ST dit aussi clairement que les managers de la FAA ont demandé à leurs ingénieurs d’abandonner à Boeing des pans entiers de la certification de l’avion qui leur avaient été initialement attribués et ce pour aller plus vite. Sur la pression de Boeing certes mais c’est bien de leur responsabilité.

[OPIT]

C'est malheureux de voir qu'il leur a fallu des morts (et que ça a failli leur retomber sur la poire) pour faire leur boulôt comme il aurait du être fait dès le début.

Le hic c'est que ce n'est pas nécessairement leur boulot d'être aussi pointilleux (il n'est pas dans leur attribution, ni leurs compétences, de refaire l'étude complète des systèmes de l'avion et l'analyse de tous les risques qui en découlent). S'ils doivent vérifier que les règles établies sont respectées, l'essentiel des analyses et des démonstrations sont du domaine du constructeur, et c'est bien ce dernier qui engage sa responsabilité quoiqu'il arrive.

[ergo]

En effet beaucoup de chose sont basé sur la confiance ... et c'est justement le problème : Boeing à perdu la confiance de la FAA, et se retrouve à devoir tout re-prouver.

C'est le premier truc qu'on m'a appris quand j'ai commencé à faire de la sureté : l'auditeur tu peux lui mentir, mais si ils s'en rend compte, t'es fini, plus jamais tu passeras un audit sans devoir changer de pantalon tellement tu va en ch...

Reste que la FAA a elle aussi perdu la confiance des autres autorités, c'est tout le château de carte qui vient de tomber.
Parce que tous le monde partait du principe que personne n'oserait tromper la FAA ...

[OPIT]

Ceci dit le ST dit aussi clairement que les managers de la FAA ont demandé à leurs ingénieurs d’abandonner à Boeing des pans entiers de la certification de l’avion qui leur avaient été initialement attribués et ce pour aller plus vite. Sur la pression de Boeing certes mais c’est bien de leur responsabilité.

Ca peut paraître déconnant avec le prisme post-accident, où un biais de confirmation a vite fait d'y trouver une explication, mais ça ne l'est pas forcément. C'est bien à Boeing de certifier que son avion est conforme ; La FAA (comme les autres autorités) contrôlent ce travail (vérifications, essais, etc) et délivrent éventuellement un certificat de type lorsque tous les filtres sont passés. Sans précisions sur la nature des travaux ainsi délégués, "abandonner des pans entiers de la certification" ne veut pas dire grand chose sinon que le curseur collaboratif a été déplacé et qu'on pourrait presque (ou pas ?) parler d'abus de confiance si cette délégation a été mise à profit pour survoler le sujet.

[larsenjp]

Je peux comprendre qu’une autorité comme la FAA délégue une partie de la certification au constructeur mais jusqu’à un certain point seulement. Or il semble qu’ils aient poussé le curseur vraiment très loin puisque selon cet article très récent du NYT, c’est 96% des développements qui étaient auto certifiés par Boeing... ça ne laisse pas grand chose à la FAA.
https://www.nytimes.com/reuters/2019/07 ... e-faa.html

En outre, dans cet article est cité quelqu'un d’intéressant: un certain Ali Brahimi. Le gars a bossé 20 ans à la FAA avant de démissionner en 2013, de devenir lobbyiste auprès du Congrès et d’appuyer le principe de la délégation de certification aux constructeurs, puis finalement de revenir à la FAA en 2017 en tant qu’administrateur associé à la sécurité aérienne! Évidemment il dit que la sécurité est sa priorité et pas l’agenda de Boeing mais on peut quand même avoir quelques doutes même s’il n’est certainement pas responsable a lui tout seul de ce désastre.
Bref tu vas avoir du mal à me convaincre qu’il n’y avait pas un loup quelque part...

[OPIT]

Bref tu vas avoir du mal à me convaincre qu’il n’y avait pas un loup quelque part...

Je ne cherche pas à te convaincre. Je dis juste que les informations que tu as ne prouvent pas qu'il y a un loup quelque part.
La FAA est un filtre gouvernemental, pas un garant du respect des textes en vigueur même s'ils vont souvent assez loin dans cette direction. L'obligation du respect des règles pèse uniquement sur le constructeur, qu'il soit ou non contrôlé ou supervisé sous toutes les coutures. La seule chose qu'on peut dire c'est que les mailles du filet ont été élargies pour diverses raisons, qu'il est possible que Boeing en ait profité pour louvoyer sur la ligne rouge, ou qu'une analyse plus fine et sans effet tunnel/amalgame entre les versions du MCAS aurait pu permettre de retoquer cette partie, tout comme il est possible que ça n'ait rien changé du tout.
La différence aujourd'hui c'est qu'il y a deux accidents qui démontrent l'existence d'un problème, donc tout ce qui tenait la route jusque là est manifestement à revoir. Ca n'implique pas que ça ne tenait pas la route, et c'est là qu'est le biais de confirmation.

[larsenjp]

La différence aujourd'hui c'est qu'il y a deux accidents qui démontrent l'existence d'un problème, donc tout ce qui tenait la route jusque là est manifestement à revoir. Ca n'implique pas que ça ne tenait pas la route, et c'est là qu'est le biais de confirmation.

Je ne comprends pas très bien ta dernière phrase. Il te faut combien d’accidents pour admettre que le process mis en place ne tenait pas la route?
Sur le fond, j’avoue que je ne comprends pas très bien non plus. Qu’un constructeur soit responsable de faire certifier son matériel OK, mais qu’il le fasse lui-même? Pour moi, la valeur d’une certification tient à ce qu’elle est third party. Plus elle l’est, plus sa valeur est élevée et inversement. Franchement, une certification réalisée à 96% en interne ne vaut pas grand chose.
Que la FAA n’ait pas les moyens de le faire, OK, mais elle aurait pu aussi déléguer à quelqu’un d’autre que le constructeur. Déléguer au constructeur est une solution de facilité, surtout pour lui. Jusqu’au moment où ça pète et là, en général, il regrette de ne pas avoir fait du third party. Ce qui va arriver à Boeing. Et franchement, plus j’en apprend, plus j’espère que ça va leur coûter cher.

[TOPOLO]

Ce n’est Pas la FAA qui certifie l’avion, c’est BOEING qui certifie ses avions sous l’autorité de la FAA
La délégation n’est pas un contournement de la règle, c’est la règle (ce qui ne veut pas dire que l’autorité de certification n’a rien à faire, mais elle n’a pas à certifier l’avion elle doit seulement valider le dossier de certification fourni par l’avionneur.

[OPIT]

Je ne comprends pas très bien ta dernière phrase. Il te faut combien d’accidents pour admettre que le process mis en place ne tenait pas la route?

Je ne juge pas des décisions prises avant un accident à partir d'un constat fait après un accident.

[ceramix]

Si une certification auprès d'un organisme n'est plus un process suffisamment fiable, on va s'acheminer pour les futurs avions vers plusieurs organismes indépendants (ce qui est en somme en partie en train d'arriver pour le 737 max).

[larsenjp]

Ce n’est pas la FAA qui certifie l’avion, c’est BOEING qui certifie ses avions sous l’autorité de la FAA
La délégation n’est pas un contournement de la règle, c’est la règle (ce qui ne veut pas dire que l’autorité de certification n’a rien à faire, mais elle n’a pas à certifier l’avion elle doit seulement valider le dossier de certification fourni par l’avionneur.

Je crois qu'on a un problème de sémantique... pour moi, certifier c'est valider le dossier de certification, pas le monter. Et c'est donc bien l'organisme certificateur qui certifie, pas le constructeur.
Il est logique que le constructeur monte le dossier, c'est lui le mieux placé pour ça. Le reste par contre n'est plus de son ressort, du moins j'espère. En tout cas, c'est comme ça que ça se passe dans "mon" industrie. Et c'est comme ça que je comprends ta phrase "Boeing certifie ses avions sous l'autorité de la FAA". Si c'est autre chose, alors ce n'est plus de la certification third party et, encore une fois, ça ne vaut pas grand chose.
Après, encore faut-il que le certificateur ait les moyens (techniques, humains) pour le faire. S'il ne les a pas, il peut évidemment déléguer la certification (c'est à dire validation) à un autre organisme mais certainement pas au constructeur.

[larsenjp]

Je ne juge pas des décisions prises avant un accident à partir d'un constat fait après un accident.

Euh... c'est pourtant en général ce qui est fait, y compris par la justice non?
Sinon, que proposes-tu?

[larsenjp]

Si une certification auprès d'un organisme n'est plus un process suffisamment fiable, on va s'acheminer pour les futurs avions vers plusieurs organismes indépendants (ce qui est en somme en partie en train d'arriver pour le 737 max).

Oui, ou une certification toujours sous l'autorité d'un organisme certificateur, typiquement la FAA, qui s'appuiera ensuite sur d'autres en fonction de ses besoins, lesquels peuvent d'ailleurs très bien être des boîtes privées. Il suffit de veiller à garder l'indépendance vis à vis du constructeur.

[OPIT]

Euh... c'est pourtant en général ce qui est fait, y compris par la justice non?
Sinon, que proposes-tu?

J'ose espérer que la justice ne se contente pas du résultat, mais analyse les faits dans leur contexte d'origine où les conséquences ne sont encore que potentielles et pas toujours connues/quantifiées.
Sinon je propose de ne plus prendre aucune décision, quel que soit le domaine d'application, qui pourrait s'avérer mauvaise à plus ou moins long terme. Par exemple, ne plus certifier de nouvel avion faute de pouvoir garantir zéro défauts dans la conception et l'analyse des systèmes.
Vive l'immobilisme.

Je crois qu'on a un problème de sémantique... pour moi, certifier c'est valider le dossier de certification, pas le monter. Et c'est donc bien l'organisme certificateur qui certifie, pas le constructeur.

Ben non, c'est l'inverse. Le constructeur certifie que son produit est conforme, l'autorité de certification édicte les règles à respecter et valide la certification en s'appuyant sur le dossier du constructeur et ses propres analyses/essais sur les points qu'elle juge nécessaires.
La FAA n'est pas un service qualité au service des constructeurs. C'est un service d'Etat chargé de veiller à la sécurité des biens et des personnes et qui a (pour faire une grosse analogie) un rôle de gendarme en ce qui concerne la certification : Tu dois respecter la loi, il contrôle que tu le fais. Mais peut-être veux-tu rendre ce gendarme responsable de t'avoir laissé commettre une infraction ?

[Milos]

J'ose espérer que la justice ne se contente pas du résultat, mais analyse les faits dans leur contexte d'origine

Le personnel de la justice est spécialisé dans le droit. Un jugement sera rendu après les conclusions d'un rapport technique et c'est là que ça se gâte. Qui fait le rapport ? Dans quelles conditions ?

[larsenjp]

Le constructeur certifie que son produit est conforme

OK. Sauf erreur de ma part, ça s’appelle de la certification first party et sa valeur est assez faible. Franchement je voyais les choses autrement et ce que j’entrevois depuis quelque temps n’est pas de nature à me rendre particulièrement serein.

Mais peut-être veux-tu rendre ce gendarme responsable de t'avoir laissé commettre une infraction ?

Pourquoi pas? Cela dépend de ce que tu entends par « laisser commettre ». De manière générale un gendarme n’est pas lui-même au-dessus des lois. La question est plutôt de savoir comment il est contrôlé. Comme disaient les anciens: quis custodiet ipsos custodes? Autrement dit: qui garde les gardiens. Le problème ne date pas d’hier.

[OPIT]

OK. Sauf erreur de ma part, ça s’appelle de la certification first party et sa valeur est assez faible.

"assez faible" c'est relatif. Un constructeur aéronautique n'est pas n'importe qui. Par exemple :
"21.13 Eligibilité
(a) L'Autorité n'acceptera une demande de certificat de type que si elle est déposée par une personne détenant un agrément d’organisme de conception approprié conformément à la sous- partie JA ou dont la demande d'agrément d’organisme de conception a été acceptée conformément au paragraphe 21.A233, sauf dans le cas d'un produit de conception simple, où l'Autorité peut convenir d'accepter une demande émanant d'une personne ne détenant pas ou n'ayant pas postulé à l'agrément d’organisme de conception approprié (voir ACJ 21.13 (a)).
(b) Dans ce dernier cas, l'Autorité n’acceptera une demande de certificat de type que si elle est déposée par une personne détenant ou ayant demandé un certificat d’aptitude à la conception."
Boeing bénéficie de plusieurs agréments Part 21 (sous parties G et JA, au minimum), avec son lot d'audits et de contrôles, et une épée de Damocles au dessus de la tête puisque la perte d'un de ces agréments serait cataclysmique. Et même sans aller jusque là, les conséquences d'un retrait de certificat de navigabilité (celles subies par Boeing aujourd'hui et pour un moment encore), quelle qu'en soit la raison, n'incitent pas vraiment à faire preuve de légèreté lors de la conception, de la fabrication ou de la certification.
Je te rappelle en outre que les autorités de certification procèdent à leurs propres analyses et essais contradictoires (y compris en vol) avant de délivrer un certificat de type, et que ce certificat de type est une attestation de conformité aux normes en vigueur et non une garantie zéro défauts (dans un autre registre ça n'a pas empêché le "dieselgate").

[larsenjp]

Il est bien évident qu'une certification n'est pas un test de qualité.
Et j'espère bien que les autorités de certification réalisent des analyses/tests contradictoires. Elles peuvent bien évidemment les sous-traiter si elles veulent, y compris à des boites privées. En fait à n'importe qui sauf au constructeur.
Tu dis qu'un constructeur aéro n'est pas n'importe qui. Je pense qu'un constructeur aéro comme Boeing est avant tout une grosse boite côtée en bourse dont l'objectif principal est de faire un maximum de profit pour le redistribuer à ses actionnaires. Donner à ce type de boîte, constructeur aéro ou autre, la possibilité d'être à la fois juge et partie est faire preuve à tout le moins d'un optimisme naïf. Quel que soit le risque, la tentation finit toujours par être trop forte et on sait comment ça se termine.
J'espère que les Américains (et les autres) tireront toutes les conséquences de ce désastre.

[ergo]

En certification, tout repose sur la confiance.

Quand tu en es à 90 ans d’existence, à faire des avions, et avoir le retex que tu as, comme c'est le cas pour Boeing, tu as cette confiance. Elle a été durement acquise, au fil des années, au fil des certifications, des audits, des contrôles etc ...

On ne fait pas un audit de la même façon si tu t'appelles Airbus ou si tu t'appelles "Newbie Aviation", société tout fraichement créée il y a 1 an, dont c'est la première certification.

C'est aussi grâce à cette confiance que Boeing peut être force de proposition et faire évoluer les normes.

Mais la confiance n'exclut pas le contrôle ... et donc on continue à surveiller, mais avec un regard bien plus gentil.

Enfin, la confiance ça se perd très vite, et là avec l'histoire du 737 MAX Boeing est en train de s'en souvenir ... et même si dans les yeux des boursicoteurs qu'ils ont à leurs têtes, il était possible de prendre des largesses, ils se rendent compte aujourd'hui qu'un risque c'est pas juste l’occurrence qu'il faut regarder, mais aussi la sévérité ...

[OPIT]

Elles peuvent bien évidemment les sous-traiter si elles veulent, y compris à des boites privées. En fait à n'importe qui sauf au constructeur.

Parce que tu crois que ça changerait quelque chose, et si oui en mieux ? Contrairement aux boîtes privées la FAA ne cherche pas à faire des bénéfices ou à plaire à des actionnaires, ce qui élimine déjà un gros risque de collusion.

Si ton envie de changer le système pour le rendre plus efficace est louable, il ne suffit pas de révolutionner telle ou telle chose sous le prétexte fallacieux que de toute façon ça ne pourra pas être pire, ce qui par une erreur de logique conduit à considérer que ça ne pourra qu'être mieux. C'est juste un raisonnement biaisé.

[larsenjp]

Parce que tu crois que ça changerait quelque chose, et si oui en mieux ? Contrairement aux boîtes privées la FAA ne cherche pas à faire des bénéfices ou à plaire à des actionnaires, ce qui élimine déjà un gros risque de collusion.

Si la FAA a les moyens humains et matériels de tout faire en interne, tant mieux pour elle et qu'elle fasse le job. Sinon (et j'ai cru comprendre que c'était le cas), elle peut très bien s'adresser à d'autres organismes, y compris des boîtes privées, qui peuvent faire ça pour son compte et sous sa direction. Je pense, en effet, que ça sera toujours mieux que rien et bien mieux que de s'adresser au constructeur (qui possède logiquement les moyens mais pas l'objectivité).

Si ton envie de changer le système pour le rendre plus efficace est louable, il ne suffit pas de révolutionner telle ou telle chose sous le prétexte fallacieux que de toute façon ça ne pourra pas être pire, ce qui par une erreur de logique conduit à considérer que ça ne pourra qu'être mieux. C'est juste un raisonnement biaisé.

Je ne prétend pas changer et encore moins révolutionner le système, d'autres sont évidemment mieux placés et qualifiés pour ça. Par contre, en tant qu'ingénieur et en tant qu'utilisateur intensif du transport aérien, je m'étonne (et je reste mesuré) de ce que je découvre. Et je pense que je ne suis pas le seul.
Comme le disait ergo, la confiance est une chose longue et difficile à acquérir et rapide et très facile à perdre. Si tu penses que le système actuel fonctionne bien et qu'il n'y a rien à changer, libre à toi. Mais il ne faudrait pas oublier que ce système (dans sa globalité) a causé la mort de presque 350 personnes en 6 mois.