Retour du 737 MAX...

[TooCool_12f]

L'EASA réautorise le MAX dans le ciel européen

https://www.bfmtv.com/economie/boeing-l ... 60149.html
Un truc que je trouve hallucinant, c'est l'EASA qui a dû demander l'installation d'une 3ème sonde, on croit rêver...

Si une sonde déconne:

- on a 1 sonde... on l'a dans l'os
- on a 2 sondes... comment fait-on pour savoir laquelle est la bonne?
- on a 3 sondes ou plus.. il suffit de regarder quelles données sont cohérentes entre elles

Le minimum, à mon sens, devrait être 3 sondes

[OPIT]

- on a 3 sondes ou plus.. il suffit de regarder quelles données sont cohérentes entre elles

C'est un "il suffit" probabiliste, parce qu'il y a au moins un cas d'accident où une sonde non cohérente avec les deux autres était celle qui donnait la bonne valeur. (BEAD-A-2004-001-A, M2000D 621)

[Seekles]

Le minimum, à mon sens, devrait être 3 sondes

Pas tout à fait d'accord. Le minimum est que le système soit failsafe.

Implémenter 3 sondes est UNE méthode pour approcher le problème, et comme l'a évoqué OPIT ce n'est pas nécessairement la meilleure dans tous les cas de figure.

On peut réfléchir à plein d'autres stratégies pour couvrir le risque, les autorités de certification acceptent des démonstrations basées sur d'autres principes que la redondance simple ou multiple (lire l'AC25.1309-1 par exemple).

Je cherche juste à souligner que ce n'est pas parce que Boeing a préféré partir sur 2 sondes qu'ils n'ont rien compris à la fiabilisation du système. Et que sans connaître les détails de leur implémentation, je ne me permettrais certainement pas de juger leur architecture.

[TOPOLO]

Au départ, ce n'était pas 2, mais une seule sonde....
Boeing n'a pas "rien compris à la fiabilisation du système"... (heureusement) par contre, j'ai quand même l'impression que Boeing CA n'a pas compris grand chose aux FLCS/CdVE (pourtant, ils peuvent demander à Boeing Military, eux ils sont au top sur al question)

[ironclaude]

Leur logique d'il n'y a pas si longtemps (2 ans) c'était surtout que 2 sondes c'était moins cher que 3 et que 1 sonde c'était moins cher que 2...

[TooCool_12f]

- on a 3 sondes ou plus.. il suffit de regarder quelles données sont cohérentes entre elles

C'est un "il suffit" probabiliste, parce qu'il y a au moins un cas d'accident où une sonde non cohérente avec les deux autres était celle qui donnait la bonne valeur. (BEAD-A-2004-001-A, M2000D 621)

certes, on peut toujours trouver un contre-exemple, mais, sérieusement, quelle est la probabilité que deux sondes merdouillent simultanement et qu'en plus elles restent cohérentes entre elles pour disqualifier la troisième qui, elle, fonctionne ?

[Seekles]

certes, on peut toujours trouver un contre-exemple, mais, sérieusement, quelle est la probabilité que deux sondes merdouillent simultanement et qu'en plus elles restent cohérentes entre elles pour disqualifier la troisième qui, elle, fonctionne ?

Il "suffit" que ce qui cause la défaillance de la sonde 1 s'applique aussi à la sonde 2. Les mêmes causes produisant les mêmes effets...

Exemple pas si lointain : les Russes qui perdent un lanceur Proton simplement parce que certains capteurs d'accélération angulaire sont montés à l'envers. Dans ce cas, peu importe si tu as 2, 3 ou 25 capteurs, ça illustre bien que ça n'est pas nécessairement une bonne stratégie de protection à elle seule.

Le simple fait que ça soit déjà arrivé suffit à démontrer que c'est pas si improbable que ça.

Il y a des BE entiers chez les industriels dont le boulot est justement de mettre des chiffres sur les probabilités d'occurrences de tels événements, chiffres qui seront utilisés notamment pour les aspects certif.

On arrive parfois à des surprises, où des cas de panne non prévus "shuntent" des systèmes qu'on pensait robustes par redondance.

[Seekles]

Au départ, ce n'était pas 2, mais une seule sonde....

Note bien que si tu remplaces 2 par 1 dans mon message, ça ne change absolument rien à mon propos.

Pour l'avis sur la compétence Boeing, je te fais entièrement confiance sur le sujet

[OPIT]

certes, on peut toujours trouver un contre-exemple, mais, sérieusement, quelle est la probabilité que deux sondes merdouillent simultanement et qu'en plus elles restent cohérentes entre elles pour disqualifier la troisième qui, elle, fonctionne ?

Présupposer que cette probabilité est insignifiante est une mauvaise approche. En tout état de cause elle n'est pas nulle, donc la bonne question à se poser est de savoir si elle est suffisamment faible. Et ça, ça dépend à la fois du danger redouté, de ses conséquences, de la conception du système (qualités/faiblesses propres des sondes, installation, exploitation), et du facteur humain qui supervise tout ça.
En version courte, ce n'est pas parce que ça existe ailleurs qu'il suffit d'en poser une troisième pour atteindre le même résultat. C'est un poil plus complexe que ça.

[TooCool_12f]

je ne dis pas le contraire, mais cela donne déjà une meilleure sécurité à la base et permet d'éliminer une bonne partie des soucis liés à "une sonde en rade"

pour autant que je me souvienne, si une sonde a une probabilité de 1/X de foirer, il y a 2/X chances qu'une sonde foire quand il y en a deux et 3/X qu'une sonde foire s'il y en a trois etc.. mais pour avoir deux sondes qui foirent simultanément, on en est à 2/x² de chances, autant dire bien moindres de se retrouiver en rade qu'avec une seule. ESt-ce que c'est impossible? non, mais la probabilité est nettement plus intéresante, pour ce qui concerne la sécurité

Evidemment, il ne suffit pas de juste multiplier les sondes, mais c'est une base utilé pour commencer

[pipo2000]

C'est arrivé pour le crash d'un A320 du côté de Perpignan

Il y a 3 sondes d'incidence sur l'avion et le calculateur utilise une logique majoritaire (comme sur la Navette spatiale) pour les informations venant de ces 3 sondes. Il suffisait que 2 sondes sur 3 soient gelées pour que le calculateur utilise justement les informations des 2 sondes en défaut et pas la troisième qui pouvait donner une bonne valeur. Les calculateurs ont alors déterminé des vitesses de protection contre le décrochage erronées, entraînant une mise en butée à cabrer du PHR (plan horizontal réglable) lors de l'exercice d'approche du décrochage. Lors de la reprise en pilotage manuel, sans autotrim, l'avion était pratiquement incontrôlable.

Trois jours avant le vol, un rinçage de l'avion a été effectué sans protéger les sondes d'incidence. Durant la montée, l'eau entrée dans certaines des sondes a gelé, et a bloqué ces sondes.

Après on peut aussi imaginer un système de vérification d'intégrité comme sur le GPS. En croisant les infos des capteurs avec d'autres paramètres de vol.

[Seekles]

pour autant que je me souvienne, si une sonde a une probabilité de 1/X de foirer, il y a 2/X chances qu'une sonde foire quand il y en a deux et 3/X qu'une sonde foire s'il y en a trois etc

Seulement si les défaillances sont indépendantes. Ce qui n'est pas systématique. Cf. mon exemple de Proton ou celui de pipo2000 qui est encore meilleur : tu peux parfaitement te retrouver avec 3 sondes défaillantes en même temps.

[OPIT]

pour autant que je me souvienne, si une sonde a une probabilité de 1/X de foirer, il y a 2/X chances qu'une sonde foire quand il y en a deux et 3/X qu'une sonde foire s'il y en a trois etc.. mais pour avoir deux sondes qui foirent simultanément, on en est à 2/x² de chances, autant dire bien moindres de se retrouiver en rade qu'avec une seule.

C'est juste, sous réserve que le facteur panne soit interne à chaque sonde et non une cause extérieure capable de toucher toutes les sondes (quasiment) en même temps et/ou de la même manière, et dont la probabilité d'occurrence est indépendante du nombre de sondes. Les cas du Proton, de l'A320 ou du 2000D (pour ne citer que ceux-là) découlent tous les trois d'une cause extérieure ayant touché simultanément les sondes incriminées, et les conséquences ne se sont pas fait attendre.
Donc je répète : Oui, ajouter une troisième sonde réduit le risque de défaillances propres du système. Mais ajouter une troisième sonde ne suffit pas à réduire le risque global à un niveau acceptable (= pas d'accident).
La subtilité est dans le point de vue. Partir d'emblée sur l'idée d'une troisième sonde sans examiner les solutions alternatives ayant potentiellement une portée plus large n'est pas une bonne idée, surtout lorsque l'option "3 sondes indépendantes" a déjà démontré des lacunes catastrophiques et n'est donc clairement pas la solution ultime.

[TooCool_12f]

j'ai l'impression que tu te raccroches aux dernières petites branches..

nulle part je n'ai dit que 3 sondes est la panacée et la garantie de sécurité. J'ai dit que c'est la base pour se prémunir de défaillances des sondes.

Si le mec au lavage ne respecte pas les procédures et remplit les sondes de flotte, ce n'est pas une défaillance des sondes mais une erreur humaine

En tout état de cause, cela n'exclut pas de mettre en place d'autres moyens de contrôle, mais, à mon sens ça reste la base

[OPIT]

j'ai l'impression que tu te raccroches aux dernières petites branches..

Si tu veux. Mais ce n'est pas moi qui ait dit "il suffit de" pour résoudre les problèmes, à la mode yakafokon. Ce "il suffit de" n'est pas la base de quelque chose, par définition c'est une fin en soi parce ça implique qu'il n'y a pas besoin d'autre chose en complément.
Du coup je me félicite d'avoir encore quelques brindilles pour m'accrocher et je me désole de te savoir en chute libre

[TooCool_12f]

pô grave, chui immortel

plus sérieusement, ce que j'ai dit reste valable: si une sonde déconne (sous-entendu, défaut de la sonde) il suffit de comparer pour voir laquelle délire.

C'est vous qui avez amené "oui, mais si un gusse l'a monté à l'envers... s'il l'a rempli de flotte... etc, etc.."

A aucun moment je n'ai dit que tous les problèmes étaient réglés par le simple fait d'en avoir trois, simplement, comme je l'a posté juste sous le "il suffit de..." :

Le minimum, à mon sens, devrait être 3 sondes

et, franchement, c'est quoi le prix d'installation d'une sonde supplémentaire au regard du prix de l'avion dans son ensemble? C'est en faisant des économies de bouts de chandelle comme ça qu'on fait des morts bien plus facilement que pour un gusse qui monte une sonde à l'envers

[OPIT]

Dernière tentative avant de jeter l'éponge...
Le problème de base n'est pas le nombre de sondes, c'est le fait qu'un défaut avec ces sondes puisse conduire à perdre l'avion. La seule solution valable est de ne pas perdre l'avion lorsque les sondes font n'importe quoi, pas de multiplier leur nombre en espérant que ça passe crème la plupart du temps.
Une troisième sonde ne peut être qu'un appoint pour éviter un mode dégradé. Ca ne peut pas être une solution à un problème de comportement de l'avion/de l'équipage en cas de défaillance du système anémométrique. Pour le dire encore autrement, la conséquence du risque envisagé est la perte de l'appareil, ce qui est par définition inacceptable. Il est démontré qu'une troisième sonde n'évite pas cette conséquence, et il est donc démontré que ce n'est pas la solution.
Ne te trompes pas de débat, laisse tomber ton biais de confirmation.

[Seekles]

et, franchement, c'est quoi le prix d'installation d'une sonde supplémentaire au regard du prix de l'avion dans son ensemble? C'est en faisant des économies de bouts de chandelle comme ça qu'on fait des morts bien plus facilement que pour un gusse qui monte une sonde à l'envers

Je vais juste réagir sur ce point (je suis 100 % d'accord avec OPIT pour le reste) : ajouter une nouvelle sonde (surtout sur un vieux zinc comme le 737), ça peut vouloir dire changer le calculateur complet, recertifier toute la chaîne...en bref quelque chose de beaucoup plus lourd que ce que tu sous-entends. C'est un peu naïf de penser qu'il suffit d'une modification triviale, de bouts de chandelle.

Perso les quelques rapports de certif sur lesquels il y a mon nom concernaient des modifs assez triviales...c'est pas pour autant qu'elles ont été rapides et sans coût important.

[TooCool_12f]

on parle d'un coût de développement à répartir sur des centaines d'appareils... tu vas élaborer tout un système tout beau tout neuf pour faire voler ta casserole comme les générations précédentes, qui va être capable de corréler les données de différents types de capteurs, mais comparer 3 sondes identiques au lieu de 2 est trop cher?

excuse-moi, mais ça me paraît un peu fort le café, là

[Seekles]

C'est là que tu te trompes...le MAX vole avec les mêmes calculateurs que le 737 NG (calculateurs qui étaient déjà à la ramasse quand ils sont sortis).

Et oui comparer 3 valeurs au lieu de 2 peut devenir une tâche quasi impossible quand on se bat déjà avec une puissance aussi faible et des jeux d'instructions limités.

Le travail de re-certification à réaliser en cas d'introduction d'un nouveau calculateur est ÉNORME, et ça ne rentre carrément plus dans le cadre de l'upgrade "simple" (remotorisation) que se voulait être le MAX.

Libre à toi de penser que c'est trivial, mais je rejoins OPIT sur le mode yakafokon.

Fin d'intervention en ce qui me concerne.

[jojo]

C'est là que tu te trompes...le MAX vole avec les mêmes calculateurs que le 737 NG (calculateurs qui étaient déjà à la ramasse quand ils sont sortis).

Et oui comparer 3 valeurs au lieu de 2 peut devenir une tâche quasi impossible quand on se bat déjà avec une puissance aussi faible et des jeux d'instructions limités.

Le travail de re-certification à réaliser en cas d'introduction d'un nouveau calculateur est ÉNORME, et ça ne rentre carrément plus dans le cadre de l'upgrade "simple" (remotorisation) que se voulait être le MAX.

Libre à toi de penser que c'est trivial, mais je rejoins OPIT sur le mode yakafokon.

Fin d'intervention en ce qui me concerne.

D'accord, donc non seulement ça fait quelques décennies que leur cellule qui racle le bitume est à la ramasse, mais en plus ils ont été trop radin pour mettre à jour l'électronique et avoir des CDVE correctes

[ceramix]

C'est arrivé pour le crash d'un A320 du côté de Perpignan

Le rapport final illustre bien les limites de la protection des sondes face au givrage d'eau venant de l'extérieur, mais aussi face à l'humidité venant de la cabine ( ! ).

C'est dommage, mais l'autotest des sondes ne fonctionne ( fonctionnait ?) qu'à basse vitesse (puissance des électro-aimants de test qui positionnent la sonde à un endroit connu).

[=GinGin=]

D'accord, donc non seulement ça fait quelques décennies que leur cellule qui racle le bitume est à la ramasse, mais en plus ils ont été trop radin pour mettre à jour l'électronique et avoir des CDVE correctes

Il y a pas de fly by wire sur le 737 NG ou Max.
La radinerie vient du fait d’avoir été trop léger sur la redondance des sources d’activation du mcas.

[jojo]

Il y a pas de fly by wire sur le 737 NG ou Max.
La radinerie vient du fait d’avoir été trop léger sur la redondance des sources d’activation du mcas.

S'ils avaient été moins radins, ils auraient mis des FBW

(Blague à part, merci pour cette précision )

[TOPOLO]

D'accord, donc non seulement ça fait quelques décennies que leur cellule qui racle le bitume est à la ramasse, mais en plus ils ont été trop radin pour mettre à jour l'électronique et avoir des CDVE correctes

Il y a pas de fly by wire sur le 737 NG ou Max.
La radinerie vient du fait d’avoir été trop léger sur la redondance des sources d’activation du mcas.

Pas que...
Devant un problème de manque d’efficacité de la profondeur dans certaines zones du domaine de vol, Boeing aurait pu chercher à augmenter l’autorité de la gouverne plutôt que que d’automatiser l’enclenchement du trim.
Ce qui aurait rendu le MCAS inutile et l’avion pilotable sur un domaine assez large pour être acceptable

PS: y a t il une version publique de la modification à appliquer au MAX-8 pour le rendre conforme à son nouveau certificat de navigabilité ?