CTYONE a écrit:
Pour répondre à des interrogations concernant le système MCAS, voici quelques éléments complémentaires, simplifiés pour être compréhensibles, et sans rentrer trop dans les détails.
https://lustublog.com/2019/03/14/mcas/? ... ClSNshn9qgBonjour à tous,
Je suis un petit nouveau qui vous lit avec passion depuis bien des années.
Mon "monde" est celui des salles de contrôle, des salles de commandement et des Airport Opérations Centers (APOC).
Le lien présenté par CTYONE est très intéressant car il soulève de nombreuses questions, notamment entre l'écart de vision de conception d'un système et celui de la perception par les utilisateurs.
L'utilisateur d'un système, face à une situation anormale, réagit en fonction de ses expériences et de sa compréhension de la situation, ce qui peut aboutir à des biais de raisonnement ou des réponses inadaptées.
Parmi les exemples les plus célèbres, il y a celui de l'accident de la Centrale de Three Mile Island.
https://fr.wikipedia.org/wiki/Accident_nucléaire_de_Three_Mile_Island
D'un point de vue systémique et cognitif, la réaction de celui qui conduit un processus, le Pilote, est basée sur sa perception de la situation.
Dans le cas de la centrale de Three Miles Island, les opérateurs ont réagi à une alarme en fermant une vanne. Le SCADA (système de conduite) a montré que la vanne était fermée, car il affichait la commande passée, et non le résultat de la commande : en dépit de la commande, la vanne était restée ouverte.
L'article de Wiki décrit bien les enseignements qui en ont été tiré, notamment celui de la conduite "par les états", c'est à dire, que lorsqu'un évènement se produit, le système devra collecter un ensemble d'informations complémentaires pour une présentation sécurisée de l'état réel.
Si on analyse, en toute prudence, les informations du lien présenté par CTYONE, on voit que, dès que le pilote rentre les volets, le pilote reçoit toutes les indication d'un risque de décrochage :
- L'avion passe en piqué + Stick Shaker.
Que peut bien penser le pilote à cet instant? A vous de me le dire...
Probablement qu'il y a un os majeur : Je rentre les volets et l'avion décroche.
Mon avion est réputé avoir le dernier système anti-décrochage, le nec plus ultra... Et il est tout neuf...
Donc, si je suis le pilote, mon premier réflexe est de me dire ?? Allez donc savoir :
- Ais-je un problème de volets?
- Ais-je un problème de vitesse?
- Ais-je fait une connerie?
De toutes façons, je vais d'abord tirer comme un malade sur ce foutu manche qui tremble par surcroit (effort assez important, voir notice Boeing), et, quand j'ai réussi à revenir en vol horizontal, je reviens à l'état stable précédent, je sors les volets, ce qui, je ne le sais pas, a pour effet de couper le MCAS qui, combine,é à des erreurs de sonde, est à l'origine du problème.
Bien évidemment, je n'ai pas le temps d'aller consulter la page XXX du manuel de vol, qui aurait du être à jour, bien évidemment, mais est-ce vraiment utile car je suis Pilote chevronné de 737 et Boeing m'a dit qu'il n'y avait pas de différences entre le 737 Max et ses prédécesseurs...
Et c'est la le hic!!!
Je pense que les concepteurs du MCAS ont certainement voulu concevoir un système sain et la sécurisation qui repose sur une duplication de systèmes a du faire l'objet d'une AMDEC bien approfondie, prouvant ainsi que si un système est défaillant, l'alternat peut reprendre la main.
Mais encore faut-il avoir le temps de le faire.
Les visions théoriques sont bonnes, mais, face à la réalité du besoin de réagir à une situation inattendue d'un système réputé infaillible, à tel point que Boeing n'a pas cru bon d'informer les Pilotes des détails du dispositif pour ne pas embrouiller leur esprit, en fait le Pilote est piégé dans une situation mortelle dans laquelle il ne dispose pas de bonnes données pour s'en sortie, à moins d'avoir la bonne intuition au bon moment.
J'ai travaillé il y a plusieurs années sur un simulateur d'instrumentation pour le NH90, pour permettre de concevoir l'instrumentation la plus pertinente en fonction des missions, la pertinence s'estimant au vu de la facilité du pilote à faire face à différentes situations.
Cela a-t-il été fait sur le 737 Max ??, A-t-on testé les réaction d'un pilote face à une erreur de sonde en simulateur? Ou bien a-t-on pensé que le système est tellement parfait que cela n'était pas nécessaires, vous pensez, avec cet immense retour d'expérience sur le 373.... La fiabilité même... Allons, Soyons sérieux...
Il suffit donc qu'un grain de sable vienne bloquer le fonctionnement d'une sonde AOA pour qu'un pilote se trouve dans une situation extrêmement difficile à maîtriser.
Amis Pilotes, vous qui êtes infiniment plus compétents que moi, j'aimerais avoir votre retour sur cette vue des choses.