Le forum des pilotes privés

Splitcat a écrit:Je ne connais pas entièrement les moindres recoins du MCAS,

Tu es trop modeste...  

Gilles131 a écrit:Gagné!

Une faillite du programme, qui a conduit à la revente à Airbus, et 525 commandes contre 6600 pour l'A320 neo et plus de 6000 pour le 737 MAX.

C'est loin d'être aussi " gagné " que ça.

Manu

Manu a écrit:

Gilles131 a écrit:Gagné!

Une faillite du programme, qui a conduit à la revente à Airbus, et 525 commandes contre 6600 pour l'A320 neo et plus de 6000 pour le 737 MAX.

Avions qui datent de 30 et 50 ans, et dont l'avenir de l'un, totalement à bout de souffle est encore quelque peu incertain...
Cela a probablement été un coup de génie de la part d'Airbus de racheter ce programme.

aviateur bourbonnais a écrit:Allez, tes remarques sont très profondes, je te soutiens !

Axiome de Splitcat:
Toute défaillance de N sondes (0< N < 999) qui  envoie l'avion au tapis doit être considérée comme inacceptable.

J'ai borné à 999, parce que je n'imagine pas l'avion bardé de N > 999 sondes ayant toutes une fonction identique.

Ben, entre les Airbus surtaxés et les 737 Max NG cloués au sol, on va faire comment pour aller polluer un autre bout de l’Europe pendant nos vacances ? On est contraints au très long courrier ?

Je vais donc préciser.
Le fait qu'une seule sonde envoie l'avion au tapis est évidemment inacceptable, tout le monde est d'accord là dessus suite à deux crashs à trois mois d'intervalle.
J'ai fait un calcul de coin de table, en gros la sécurité moyenne sur l'exploitation du 37 max était de 1 crash toutes les 3.5*10^5 heures de vol environ. C'est la probabilité qu'une sonde tombe en panne et cause un crash (à peu de choses près mais ce n'est pas important d'avoir une statistique très précise pour le but de ce calcul, c'est à dire me forger une opinion)
La probabilité que deux sondes tombent en panne en même temps et causent un crash serait donc de 1.2*10^11, à première vue. Environ 100 fois meilleure que 10^-9.

Cette probabilité est donc "acceptable" selon les standards mais deux arguments doivent venir contrer cette première analyse :
- Le concept de sécurité réactive, même s'il doit être complété par d'autres concepts, reste quand même en application dans le domaine de l'aviation : inutile de garder une source de danger identifiée et qu'on pourrait résoudre
- Le calcul de probabilité n'est correct que si les deux événement sont indépendants.
Or il est évident que les panne de deux sondes identiques provenant du même fabricant et exploitées par la même compagnie, sur le même avion, dans le même environnement atmosphérique (juste d'un côté et de l'autre du fuselage) ne sont pas deux événements indépendants !
Il faudrait donc calculer P(panne2)*P(panne1 sachant panne2)
Et ce second terme est forcément largement supérieur à P(Panne2). Il est forcément inférieur à 1 et supérieur à 1/(3.5*10^5) mais je ne sais pas où. En particulier, la limite de l'acceptabilité serait de 1/3000, et impossible de garantir que cette probabilité serait sous la limite !

Autrement dit, sur 3000 pannes de sonde n°1, ne penses-tu pas qu'il n'y a pas au moins une seule qui causera la panne n°2 ?
Je pense que sur 3000 pannes de sonde n°1, il y en aura quelques unes qui seront causées par une cause qui affectera la n°2 aussi, ce qui rend donc le système global inacceptable, car moins sûr que 10^-9.
De manière encore plus concrète, imagine une compagnie peu regardante sur la maintenance qui laisse passer la panne de l'indicateur d'incidence n°1... Pas de problème car le système se base sur deux sondes ! (Sauf que là, tu n'es plus protégé par le MCAS donc en cas de décrochage tu as un comportement non certifié, déjà). La situation perdure.. Maintenant tu reviens à une probabilité de crash de 1/3.5*10^5 soit une probabilité inacceptable en transport public !

Et le fait qu'Airbus mette 3 sondes sur ses appareils m'indique que peut-être c'est une décision censée que de mettre 3 sondes de ce type.
Je ne suis peut-être pas un expert en sécurité aérienne (ce qui pourrait expliquer que mon raisonnement ne soit pas identique à celui d'un ingénieur certification chez un constructeur) mais pour autant ça ne m'empêche pas de me faire un avis chiffré et ça ne m'enchante pas qu'un problème connu et grave ne soit pas réglé.

Mettre 3 sondes au lieu de deux permet de savoir laquelle déconne. Alors qu’avec 2, impossible de choisir entre les deux sur laquelle dit la vérité. Du moins pour un programme informatique

Exact. C'est le principe du vote.
Mais comme Splitcat vient de nous démontrer que 2 sondes peuvent foirer, on risque de décider qu'il ne faut pas tenir compte de la seule qui donne de bonnes indications!
C'est dur la vie d'apprenti ingénieur.

Splitcat a écrit:[
Et le fait qu'Airbus mette 3 sondes sur ses appareils m'indique que peut-être c'est une décision censée que de mettre 3 sondes de ce type.

Pour l'accident du Canet Plage l'ordinateur avait vu qu'une sonde donnait un résultat différent des deux autres, et avait décidé que sa valeur devait être écartée. Sans prévenir l'équipage (qui de toutes façons n'a pas accès à la valeur indiquée par les sondes d'incidence) et sans faire un controle de cohérence (par exemple, l'incidence augmente elle quand l'assiette augmente? Est-elle cohérence avec la vitesse indiquée et la masse du FMS? etc.

Donc la seule sonde qui donnait une valeur correcte a été écartée, et les deux autres, les valeurs données par les sondes gelées, ont été conservées et ils sont morts.


(
ils ont voulu vérifier que la protection décrochage marchait bien en allant chercher le décrochage.
Ils n'avaient absolument pas envisagé le cas où la protection n'aurait pas marché, ce qui est absurde lors qu'on veut tester si quelque chose marche. Donc pas briefé le rattrapage du décrochage. Pas de Hasell check, rien du tout.
La protection ne marchait pas, ils ont décroché trop bas
)


Je trouve cet accident beaucoup plus intéressant que le Rio Paris, car pour le Rio Paris, il y avait de multiples factuers, et c'est difficile d'en tirer des conclusions.
La on a deux conclusions
1 Ne jamais oublier les bases: décrochage = Hasell check et briefer le rattrapage
2 Les équipes ingénieurs qui conçoivent les systèmes
a font des bourdes monumentales (on pense aussi au DA42 qui coupe les moteurs pour rentrer le train quand la batterie est faiblarde)
b ne mettent pas les pilotes dans la boucle

JAimeLesAvions a écrit:


(on pense aussi au DA42 qui coupe les moteurs pour rentrer le train quand la batterie est faiblarde)

C'est possible ça?

Par curiosité, explique s'il te plait.

La vanne d'alimentation des moteurs était (ça a été modifié depuis) du type normalement fermé, comme sur une voiture. Sur une panne moteur au décollage, le pilote a commandé la rentrée de train (électrique). La surconsommation a fait disjoncter l'alternateur du moteur tournant, l'avion est tombé en panne électrique et la vanne du moteur restant s'est fermée. L''avion a fini dans un champ en bout de piste.

Concernant l'accident de Canet en Roussillon, il y a eu d'autres causes que les sondes : l'exploitant n'a pas voulu payer la location de l'espace destiné aux essais en vol et l'équipage a du bricoler pour passer le programme prévu. L'avion était à 4 000 ft au lieu de 14 000 au moment de l'essai de décochage, trop bas pour rattraper au cas où.

En l'absence de réaction des protections antidécrochage ils auraient dû remettre les gaz à 109 kts, ils ont laissé l'avion ralentir jusqu'à 97 kts. Avec une vitesse en réduction de 1 kt / seconde, l'équipage n'a pas réagit pendant 12 secondes.

Et le fait de ne pas avoir envisagé que le test serait non concluant est aussi une erreur de pilotage. Quand on fait un essai d'un système, surtout sur un vol de réception, on DOIT prévoir que ça foirera.

Manu

Merci

Splitcat a écrit:Or il est évident que les panne de deux sondes identiques provenant du même fabricant et exploitées par la même compagnie, sur le même avion, dans le même environnement atmosphérique (juste d'un côté et de l'autre du fuselage) ne sont pas deux événements indépendants !

Ben si. Ils seront forcément indépendants, la défaillance d'une des deux sondes n'entrainera jamais celle de l'autre.


Une défaillance peut être causée par une pannée aléatoire, par un défaut de fabrication qui ne touche qu'une des deux sondes, par un défaut de maintenance, par un vieillissement différent, … Ce n'est pas parce que deux sondes identiques sont montées sur le même avion qu'elles sont dépendantes.

Manu

Manu a écrit:Ben si. Ils seront forcément indépendants, la défaillance d'une des deux sondes n'entrainera jamais celle de l'autre.

Une défaillance peut être causée par une pannée aléatoire, par un défaut de fabrication qui ne touche qu'une des deux sondes, par un défaut de maintenance, par un vieillissement différent, … Ce n'est pas parce que deux sondes identiques sont montées sur le même avion qu'elles sont dépendantes.

Manu

Evidemment, les sondes sont séparées, mais en termes de probabilité ça ne suffit pas pour garantir que les événements sont indépendants (mathématiquement)
Les sondes sont indépendantes mais pas les probabilités.
Pour que les événements soient indépendants, il faudrait P(panne1 sachant panne2) = P(panne1).

Or, on peut trouver facilement des cas qui montrent l'inverse.
Déjà le cas de l'airbus du canet en roussillon : sachant que les deux sondes ont subi le même lavage, qu'une quantité d'eau donnée est entrée dans les sondes, que l'avion est monté à une altitude dans un environnement tels que la première sonde a gelé, la probabilité que la seconde sonde givre sachant que la première avait givré est proche de 1. Alors que la probabilité que la première sonde givre n'est pas proche de 1 du tout (puisque cette probabilité est environ égale à la probabilité qu'on lave mal l'avion soit beaucoup moins que 1)

Autre cas, si un avion se prend un banc d'oiseaux : la probabilité que la seconde sonde casse sachant que la première vient de prendre un banc d'oiseau est supérieure à la probabilité habituelle, sans banc d'oiseaux, de panne de la seconde sonde.

Autre cas, un peu plus tiré par les cheveux : si un bug software fait que la sonde va bugger à telle heure ou bien suite à telle mise à jour, ou autre, alors si la seconde sonde est identique, avec le même software derrière et les mêmes mises à jour, le fait (très improbable) qu'une sonde tombe en panne pour raison software rend d'un coup très probable (ou au moins un peu plus probable) le fait que l'autre tombe en panne.

On peut en trouver d'autres.

Les événements ne sont évidemment pas "totalement dépendants" (ce qui reviendrait à dire P(panne 1 sachant panne2) = 1 ou encore panne2 implique panne1) mais ils ne sont pas indépendants non plus.

Ce n'est pas que la panne d'une sonde entraine la panne de l'autre, c'est que des conditions (oiseaux, lavage, défaut de maintenance..) ayant favorisé la panne de la première favorisent également la panne de la seconde.

Et concernant le fait qu'un vote de 3 sondes peut avoir tort, c'est pour ça que le problème a été dépassé il me semble par Airbus, avec la sortie d'un (ou plusieurs?) OEB expliquant comment le pilote peut passer outre ce qu'il estime être incorrect, et qu'Airbus a également développé le backup speed scale.

Manu a écrit:

Splitcat a écrit:Or il est évident que les panne de deux sondes identiques provenant du même fabricant et exploitées par la même compagnie, sur le même avion, dans le même environnement atmosphérique (juste d'un côté et de l'autre du fuselage) ne sont pas deux événements indépendants !

Ben si. Ils seront forcément indépendants, la défaillance d'une des deux sondes n'entrainera jamais celle de l'autre.

Ah, les certitudes des concepteur!
D'accord avec Spiltcat: une cause unique peut entrainer la panne de deux équipements "forcément indépendants".
La traversée d'un banc d'oiseaux par un A320 à New York, par exemple, a quelques chances d'entrainer la perte des deux moteurs.
Une sonde cassée au lavage par une mauvaise procédure a quelques chance de ne pas voir épargnée celle de l'autre côté, lavée au même moment, par la même personne et avec la même mauvaise procédure (entrainant par exemple une alarme décrochage avec stick shaker à la rotation, avec pour les calculateurs aucune vitesse volable, au décollage de CDG vers Tokyo avec à bord le gratin du cinéma français partant pour un festival... personne n'en n'a jamais rien su car il y avait encore des pilotes dans le cockpit. Sinon, ça aurait fait un peu de bruit autour de la planète)

Ou encore un moteur avec deux carbus, et deux filtres à air KN. Bien redondant normalement.
Il neige, beaucoup. Le premier filtre se bouche, 5 minutes plus tard le deuxième également.
Panne moteur, qui lui était unique.