Vidéo : Pourquoi les Boeing 737 Max se crashent ? Cause initiale : concurrencer Airbus (Vox)

Un avion rafistolé dans l'urgence pour gratter des parts de marché.
On y va à l'arrache.
C'est dingue, je croyais naïvement que les règles de sécurité était strictes dans l'aviation

Je travaille dans le contrôle qualité software, et c'est partout pareil: on finit les trucs à la pisse, mais on passe pas trop de temps à tester non plus, parce qu'il faut qu'on sorte notre truc vite, vite, vite ! Sauf qu'au moins, quand on sort mon app pétée, j'ai pas des centaines de morts sur la conscience. Incroyable qu'ils se permettent ce genre de merde dans le domaine aéronautique. Pour moi c'est absolument inexcusable pour Boeing.

Un avion rafistolé dans l'urgence pour gratter des parts de marché.
On y va à l'arrache.
C'est dingue, je croyais naïvement que les règles de sécurité était strictes dans l'aviation

Surpris de voir ça en article!

... "Mais oui c'est la même chose... Juste un programme qui pilote à ta place mais t'as pas besoin de le savoir."

Juste aberrant...

Je travaille dans le contrôle qualité software, et c'est partout pareil: on finit les trucs à la pisse, mais on passe pas trop de temps à tester non plus, parce qu'il faut qu'on sorte notre truc vite, vite, vite ! Sauf qu'au moins, quand on sort mon app pétée, j'ai pas des centaines de morts sur la conscience. Incroyable qu'ils se permettent ce genre de merde dans le domaine aéronautique. Pour moi c'est absolument inexcusable pour Boeing.

Si j'ai bien tout compris, au delà de ce qui est parfaitement expliqué ici (et merci à @Alex333) Boeing a souhaité une modification la plus transparente possible, pour ne pas avoir à requalifier tous les pilotes de 737 avec ce nouveau système MCAS.

A priori, les deux crash font suite à une panne du capteur MCAS, qui n'est pas doublé - c'est très rare en aéronautique.

Il reste quelques points à éclairer, comment la FAA a pu donner son feu vert par exemple...


Au final les 737 MAX 8 risquent de rester cloués un moment au sol, il va falloir revoir l'appareillage, qualifier les pilotes et faire le clair au niveau des responsabilités entre l'avionneur et l'autorité.

Pour ce que j'en pense c'est deux drames plutôt stupides avec un léger parfum de scandale.
Mais, on ne peut pas lui enlever que l'avion reste le moyen de transport le plus fiable. En cas d'accident, les enquêtes sont menées avec un maximum de scrupules et de transparence.

Sauf fait de guerre.

Et le MH370 (techniquement, il s'est volatilisé...)

@TomBomb
n'est ce pas tout simplement le paradigm dans lequel notre monde s'est installé depuis l'avènement de l'informatique business? Je veux dire que de tout temps le plus tôt était mieux, mais pas le mieux. Je me souviens d'une pub schneider il y a longtemps qui disait, lorsque vous achetez un produit, vous voulez le premier sorti ou le meilleur? Du coup pour être le premier il faut certainement bâcler des étapes chronophages. L'aviation, la santé et plein de trucs vitaux sortent comme cela. C'est un constat de ce que nous vivons actuellement pas un dogme, peut être que cela changera, ou pas.

Dès qu'il s'agit de marchés internationaux, tous les coups sont permis pour emporter l'affaire et souvent au détriment des règles de sécurité.
Pognon, saint pognon, priez pour nous.

C'est pareil dans les TP. On pose des canalisations d'eau potable à l'arrache, on met en pression et ça fuit de partout.
Mais je suis en train de me rendre compte que c'est partout pareil.. tout est fait à l'arrache pour aller le plus vite possible.
Toujours aller plus vite pour essayer de grappiller le plus d'argent possible.

Très intéressant, thx !

en français et expliqué par un passionné

Les déboires du Boeing 737 Max 8

La vision est au court terme :
profit tout de suite, et tant pis si plus tard ça se casse la gueule.
Car qui paiera les pots cassés ?
Et quand les pots cassés, ce sont des vies humaines ... irremplaçables.

Des preuves ? des conclusions sûrs et évidentes ? La chaine vox est elle une source ? ou pas ? WTF ? On met ça en article ? Est-ce la VÉRITÉ ? Un procès ? Des juges ont-ils écoutés des experts se prononcer ? On marche sur la tête, vive la raison et la patience.

Après le scénario est plausible, je souhaite que vox se trompe sinon Boeing c'est caca.

En tout cas, "la raison initiale" : Tant que Boeing n'a pas été reconnu coupable, ce n'est pas un média comme vox, même libertaire et démocrate, qui me convaincra. Sans PREUVES, bien évidement...

Citation :

Oui, c'est exactement ça. Le message aux compagnies était "avec nos 737 MAX", vous n'avez pas besoin de couteuses re-certifications pour vos pilotes puisque cet avion se pilote exactement comme les anciens. En cas de panne du MCAS (caché), Boeing a cru (un peu trop rapidement) qu'appliquer une procédure standard suffisait à ramener la situation à quelque chose de connu. Ce n'est visiblement pas le cas.

Citation :
Ce n'est pas le moteur qui n'est pas doublé, c'est un capteur, et effectivement, c'est une hérésie dans le domaine des système critiques, et encore dans l'aviation.
En fait, il y a bien deux capteurs d'incidences (Angle Of Attaque, AoA en anglais), mais un seul est utilisé par le MCAS.

Du coup, il suffit qu'un oiseau percute et casse la sonde ou qu'elle se grippe pour faire échouer tout le système de façon catastrophique : le MCAS croit que l'avion est en train de décrocher, et il met en route le moteur de trim. C'est fait d'une horrible manière, une verrue indigne : ça active "le moteur de trim" pour faire plonger l'avion, par période de 10s avec des pauses de 2s. C'est tellement violent que certains pensent que ça a mis le trim en butée, que la pression aérodynamique a peut être fait chauffer le moteur qui aurait grippé.
Le trim est piloté par des roues reliées à des câbles que les pilotes font tourner, mais est aussi relié à un moteur commandé par des boutons haut/bas à disposition du pilote. Il peut arriver que l'un de ces boutons se coince, ce qui cause un "runaway trim" : ceci est détecté par les pilotes qui voient les roues tourner sans arrêt 'et l'avion plonger/monter). La procédure est alors de disjoncter le moteur de trim (trim cutout switch), et de "détrimer" à la main, en faisant tourner les roues comme on le faisait dans les tout premiers avions.

C'est sur cette procédure que Boeing s'est appuyé pour pallier un déclenchement intempestif du trim. Les pilotes ne peuvent pas couper le MCAS (cela aurait imposé un nouveau bouton, de nouvelles procédures et donc, de nouvelles certifications, et cela aurait fait volé en éclat leur communication qui disait que l'avion était identique). La seule possibilité est donc de couper le disjoncteur du moteur de trim.

C'est là qu'il y a eu ce catastrophique bug : le MCAS est tellement violent qu'il met quasiment en butée les stabilizer ("ailerons" à l'arrière) ce qui crée un pression aérodynamique énorme (tellement forte que certains pensent qu'elle a pu faire griller le moteur), et rendant impossible le dé-trimer par la seule force des bras des pilotes sur les roues.

Une fois que le MCAS agit intempestivement, l'avion n'est plus récupérable : plus de moteurs et force surhumaine requise pour corriger.

Citation :
la FAA (et comme la EASA européenne) ne contrôle plus qu'une petite partie de l'avion. Pour le reste, elle se repose sur l'auto-controle du constructeur (car les avions se complexifiant de plus en plus, elle ne peut plus tout contrôler). Ajouter à cela des relents protectionnisme dans notre monde à la concurrence soi-disant libre et non faussée, et on obtient un 737MAX.

Citation :
Je pense que la responsabilité de Boeing/FAA est écrasante (sans mauvais jeu de mot), et qu'il y aura des procès. Travaillant dans le domaine des système critiques (non aviation), je ne peux pas croire que les ingénieurs aient pu laisser passer un système reposant sur un seul capteur : c'est véritablement le B.A.-BA du boulot. Des mails ont du être échangé, mais quelqu'un dans la hiérarchie a préféré les ignorer ou faire hypocritement l'autruche en se disant que la procédure de "runaway trim" était suffisante. En cas de procès, ces mails ressortiront car chacun essaiera de se dé-responsabiliser. Ce accident me fait beaucoup penser à l'explosion de la navette Challenger : la direction a ignoré les messages venant de la base (et je connais bien ce problème...)

Et pour revoir ce système, il y a un problème.
Avec un capteur (cas actuel), on a une panne catastrophique en cas de défaut (catastrophic failure)
Avec deux capteurs, on obtient un mode dégradé (puisqu'on sait que les capteurs sont en désaccord sans savoir lequel est fautif, on coupe le système qui les utilise)
Avec trois capteurs, on obtient un "fail-safe" : la panne d'un capteur est signalé, mais le système continue de fonctionner.

Problème, le 737 n'a que deux capteurs d'incidence... au mieux, on obtient un fonctionnement dégradé, mais dans ce cas, l'avion est-il toujours certifiable puisqu'il n'est naturellement pas équilibré ?

Il faudrait mettre un troisième capteur, mais cela devient beaucoup plus coûteux qu'une simple modification logicielle.

Citation :
Gros parfum de scandale pour moi... Boeing a masqué aux pilotes un système (mal conçu) et non redondant masquant le fait que les moteurs modernes ne sont pas adaptés à un avion imaginé dans les années 60... Le fait que le 737 soit "bas sur patte" était déjà à l'époque un avantage concurrentiel dispensant les aéroports d'utiliser un "sky bridge" ou un escalier roulant : il existe une trappe sous la porte abritant un escalier pliable. Cet escalier ne pouvait être très haut placé, ils ont rabaissé tout l'avion. En 2019, cet avion abaissé est devenu un handicap.

En plus, le système MCAS s'intègre très mal à la philosophie Boeing qui veut que les pilotes savent ce qu'ils font, et ont le plein contrôle sur l'avion. Tout juste sont-ils prévenus par des alarmes qu'ils font des choses dangereuses (le pilote a le dernier mot). Avec Airbus, c'est l'inverse : les actions des pilotes sont contrôlées et filtrée pour toujours imposer que l'avion est dans son domaine de vol (la machine a le dernier mot).

Avec le 737MAX, les pilotes ont toujours le plein contrôle, sauf pour le MCAS qui n'est même pas débrayable. Sur Airbus, c'est tout l'avion qui est équilibré par des automatismes. Avec le MCAS, ça vient agir comme une verrue dans certains cas... Ce n'est pas très beau techniquement comme solution

@Koreus Merci, ça fait plaisir quand tu postes de la qualité.

Citation :

pareil dans mon domaine (industrie)... et ce qui me fait le plus flipper, ce que je pense que ça doit être pareil dans le domaine nucléaire...

Ils ont bien merdé quoi...

Heureusement que l'on ne fait pas ça dans la défense ou le nucléaire... Ho wait!

@motard38 quel cauchemar... Si je te suis, les avions se sont vautrés - entre autre - parce que les pilotes n'avaient pas le bras assez musclé pour retenir le trimmer en position, sans comprendre ce qui leur arrivait, sans possibilité de disjoncter le système, et sans le serre-joint nécessaire pour bloquer définitivement cette putain de molette (enfin entendons-nous, en temps normal c'est très utile un trimmer!)

En tout cas merci pour les explications au cordeau, on peut imaginer que Boeing va payer chèrement son argumentaire au rabais concernant la modification du 737. C'est surement déjà le cas vu le nombre de 737 MAX 8 cloués au sol, et les retombés médiatiques. L'action a pas mal dévissé, mais ça se tient.

Sans indiscrétion, tu bosses dans quel domaine? Comment tu peux être lié, de près ou de loin, à l'incident de Challenger? Tu étais où hier soir vers 18h50, alors que débutait l'incendie de Notre Dame de Paris? Tu vas parler oui?

Citation :

@asm63 c'est plutôt soft comme illustration.
J'aurais vu un truc comme ça

donc si j'ai bien compris, boeing a voulu gagner du fric en bidouillant des avions.
Mais du coup il va gagner combien ces prochaines années avec cette pub d'enfer ? XD

Citation :

Fukushima ? jamais entendu parlé !:o

@jeanphilassec c'est un résumé assez succinct, il y a toujours des enjeux financiers énormes derrière ce genre de paris industriels. Airbus doit faire attention à ne pas reproduire ce genre d'erreur. Ils se sont un peu vautrés avec l'A380, abandonné notamment parce qu'avec 4 soufflantes, il ne fait pas mieux que le 777, vit sous la menace d'un no deal du brexit qui exploserait les coûts d'importation, il faut se battre. C'est avant tout une guerre commerciale.

Paris-Barcelone, c'est 30€ en avion. C'est hallucinant, à peine le prix du  carburant. Et c'est ultra-fiable. Tu as infiniment plus de chance de te tuer en allant en bagnole à l'aéroport que dans l'avion lui-même.

Perso ça m'emmerde, d'autant que je trouve que ces avions ont une gueule d'enfer, avec leurs winglets et leurs soufflantes démesurées (mais ça c'est personnel ^^)


Jean Michel aime les avions

Citation :

ça a effectivement été un cauchemar pour les pilotes qui ont bien vu que l'avion allait au sol, mais qui n'ont pas pu identifier le problème ni appliquer la procédure. Tout le jeu de Boeing sera de porter la faute sur eux et leur incapacité à appliquer la procédure. Je pense pour que c'est beaucoup plus facile à dire qu'à faire car la panne de la sonde a entrainé en cascade un effet "sapin de noël" dans le cockpit (toutes les alarmes se mettent à clignoter et à sonner) et très vite, elles deviennent contradictoires (donc incompréhensible). En particulier la sonde d'incidence active le "stick shaker" : c'est un méga vibreur placé sur le manche et qui vibre quand l'avion décroche (simulant ce qui se passait sur les avions primitifs à commandes par câbles). En cas de décrochage, le pilote doit augmenter la vitesse pour retrouver de la portance. C'est ce qu'ils ont fait, mais ce faisant, ils ont dépassé la vitesse maxi (apparemment, d'après ce que j'ai lu), et là, ils ont eu deux alarmes incompatibles rajoutant à l'incompréhension : survitesse, et décrochage. A cela, s'ajoute un avion qui plonge en phase critique, juste après le décollage (qui a du activer une troisième alarme PULL-UP!: l'avion détecte qu'il va au sol et émet une alarme pour mettre encore plus d'ambiance dans le cockpit)

Pour accabler encore plus Boeing, il y a bien une option pour afficher que les sondes d'incidence sont en désaccord... mais Boeing la fait payer ! (depuis, ils vont la mettre gratuitement aux compagnies qui la demandent)

(petite parenthèse perso : j'ai beaucoup plus confiance dans les systèmes Airbus qui priorisent les alarmes plutôt que la simplicité apparente de Boeing qui dit tout au pilote mais ne fait que le spammer sur des alarmes qui sont la conséquences d'autres... juste mon humble avis, probablement biaisé par le fait que je suis ingénieur).

Le problème n'était pas de retenir le trim... mais de le remettre en position normale, à l'horizontal ! et ils ont disjoncté les moteurs (procédure officielle Boeing), mais ce faisant, ils se sont privé de la puissance du moteur pour remettre le trim en place, et même s'ils l'avaient fait, le MCAS aurait immédiatement recommencé en défaisant leur travail. C'est vraiment un système mal foutu. L'une des hypothèse est que même le moteur n'a pas survécu aux forces aérodynamiques (d'autant plus fortes que les pilotes ont accélérés) et/ou le pas de vis a grippé. C'est compatible avec les témoins qui ont vu un avion chuter avec "la queue en feu/fumée" (là où est le moteur de trim). Quand on regarde les courbes issu de la boite noire, on voit que les pilotes n'ont cessé de remettre le trim en place, mais le MCAS bien bourrin était plus forts qu'eux. Le combat était inégal. A la fin, on a vraiment l'impression que quelque chose s'est cassé et l'avion tombe (peut être endommagé aussi par la survitesse). Le tout se passe en deux-trois minutes, c'est ultra rapide.

Et oui, le trim est utile ! il suffit par exemple qu'un passager se déplace dans l'allée pour légèrement déséquilibrer l'avion en tangage (axe transversal). Le pilote peut compenser au manche, ou plus simplement laisser les systèmes automatiques "trimmer" l'avion. Et ça se passe comme ça chez Boeing. Chez Airbus, ça fait moins rustique.

Citation :
LOL, Notre Dame ne fait pas partie de mes clients... je ne pense pas qu'ils aient mêmes des systèmes redondants, à part des double portes en fait, je suis ingénieur en système critique dans le domaine industriel. Mon boulot est de fabriquer des systèmes tolérant aux pannes (soit ils continuent de marcher en affichant juste un défaut, soit ils fonctionnent en mode dégradé, mais en aucun cas, ça ne doit faire de dégâts : fail-safe). Le client arrive, pète une fibre optique ou coupe le courant dans une armoire, et souhaite que ça réagira bien. Dans ce cadre, l'aviation est un modèle pour moi que j'étudie et apprécie beaucoup. Heureusement, il n'y a pas de risque en vie humaine dans mon domaine. Le seul risque est financier (perte de production, destruction de machines), mais ça peut ce chiffrer en millions.
Pour Challenger (et Columbia), j'ai étudié ce qu'il s'est passé (les ingénieurs de base savaient, mais l'administration de la Nasa a fait la sourde oreille), et ça fait directement écho à ce que je vis : il faut faire sans arrêt des choix entre la rentabilité économique voulue par la direction, et ce que tu voudrais faire pour faire un système nickel. Donc, je compatis à ce qu'on du vivre les ingés de la Nasa et aussi ceux de Boeing : je n'aimerais pas être à leur place et vivre dans l'idée qu'un système sur lequel j'ai travaillé ait pu tuer des centaines de personnes, parce que j'ai échoué à identifier les risque ou les faire remonter à la hierarchie

@motard38

A rajouter, d'après la presse US durant les essais les pilotes se seraient plaint et il y aurait eu des plaintes de pilotes de compagnies. Boeing n'aurait rien fait remonter mais aurait commencé à travailler sur le problème pour vendre la mise à jour aux compagnies qui accepteraient de payer.

Super! ! Un débat d'experts en areonotique, je me demande pourquoi ni Airbus ni Boeing ne font appel à vous avant de lancer leurs avions dans les airs ?

@motard38 crotte de bique tu es furieusement affûté pour un type qui ne bosse pas spécifiquement dans l'aéro! Ce que tu décris-là, c'est les pires scénarios de la série "dangers dans les airs", le sapin de noël, la panne dont personne ne peut vraiment se rendre compte, et boum, un avion qui se ratatine.

Mon expérience en aéro, des centaines d'heures sur Flight Sim, où tout se passe toujours très bien (y a jamais de pannes), quelques minutes à tenir un Cessna 172 aux instruments IRL - on pilote au cul, on sue de partout mais purée ça donne tellement envie de passer le brevet. Je n'ai jamais mis les pieds dans un avion de ligne....

Pour info, je suis projeteur chez un robinetier industriel, entre autre on fait de la vanne et de l'électrovanne, classée SIL, atex, et en ce qui me concerne RCCE (mon premier client, c'est EDF, donc vous tous). On n'a jamais de problème! JAMAIS!

Il y a quand même un truc qui me chiffonne concernant la redondance, tu me donneras ton avis là-dessus, ou pas. Quand notre client demande trois appareils pour faire sa boucle, s'il y en a un qui foire, les deux autres vont le voir. Mais si les trois appareils - tous issus du même lot de fabrication - ont tous le même vice de fabrication, on n'a pas su le détecter, elle vaut quoi au final cette boucle de redondance?

Question rhétorique, ça ne nous est jamais arrivé. JAMAIS.

@oui-mais-non c'est tout sauf un débat et on est tout sauf des experts, on en cause librement et cordialement, on est sur Koreus, on n'est pas au BEA!
Ceci-dit Motard38 décrit les événements qui ont pu mener aux catastrophes avec une précision et une acuité qu'on croise assez rarement sur un forum publique. En l'occurrence, les pilotes sont amenés à se battre contre leur appareil, à suivre des procédures contradictoires, à faire face à des tombereaux d'alarmes qui leur tombent dessus d'un seul coup, à prendre les mauvaises décisions jusqu'à la panne mécanique et le crash inévitable.

Si ça peut paraître dingue, ça n'est pas invraisemblable. Vu les rapports d’enquête, c'est à priori ce qu'il s'est produit.

Il est d'un désagréable ce type... :D:D:D

Citation :

@TomBomb
Citation :

"Absolument inexcusable", ça veut dire que tu ne remonteras jamais dans un avion Boeing ? (je pose la question sérieusement)

Pour moi, le problème est plus complexe et interconnecté : comme souvent, difficile de pointer un seul coupable du doigt — même si c'est plus satisfaisant émotionnellement de désigner un responsable formel et définitif.
Les ingénieurs suivent les instructions de leurs boss, leurs boss incarnent la structure Boeing, Boeing répond aux demandes de ses clients, ses clients tentent de satisfaire leurs passagers, les passagers sont limités à l'offre présente sur le marché, le marché dépend de ce que vont concevoir les ingénieurs, etc.
C'est une boucle fermée dans laquelle chaque acteur est un maillon.
Certains maillons sont sûrement plus significatifs que d'autres, mais cela n'empêche pas qu'il s'agit d'un problème d'ordre systémique, plus globalement représentatif de la course effrénée de l'innovation technologique. Innovation qui n'est pas simplement le résultat des entreprises à sa source, mais aussi (et tout autant) des clients qui la réclament et l'achètent.

Plus concrètement, nous (en tout cas, moi) profitons allègrement des avantages offerts par le transport aérien. Parfois, c'est nécessaire (déplacement pour le travail, etc.), mais souvent, ça reste du simple confort (trajet plus court, vacances exotiques, prix cassés, etc.).
Si l'aviation était un combustible, les usagers en seraient le comburant : les deux sont nécessaires pour que le feu de l'innovation fasse ses merveilles... et ses ravages.

Si on juge cette vidéo inacceptable, une réaction adéquate et mesurée serait donc de prendre en main sa part de responsabilité (aussi minime soit-elle) et de boycotter la compagnie autant que faire se peut.

Ce n'est pas comme s'il n'y avait pas eu de précédents dans l'industrie aérospatiale: J'ai en tête l'exemple de Ariane 5, qui pour réduire les coups a réutilisé le programme (déjà codé de façon limite - dans le sens overflow) d'ariane 4 en estimant pourvoir se passer de test et économiser quelques 800 kFF (120 k€) - résultat premier vol foiré, 370 M$ de satellites éclatés façon puzzle. Belle économie.

Du coup je me dis que si ils l'ont fait, c'est qu'ils pensaient que ça passerait sans être vu et donc qu'ils le font souvent de passer des modifs sans études d'impact ni de tests suffisants - autant chez Boeing que chez Airbus, hein -

@oui-mais-non
Citation :

Cela peut te surprendre mais il peut y avoir des experts sur ce forum dans des sujets que tu ne maitrises pas.
Perso, j'ai travaillé à la certification des neo Airbus, justement sur la partie des sondes Anémométriques (pitots) et clinométriques (AoA) et les algorithmes de l'ordinateur de bord (ADC Air Data Computer).
Je trouve l'analyse de @motard38 très bien faite et très juste.

@dylsexique Difficile de dire que je ne monterai plus jamais dans un Boeing, dans la mesure où, comme tu le sais très bien, quiand tu choisis ton vol, tu choisis rarement ton avion...

Évidemment qu'on peut trouver 150 000 causes au problèmes, et oui, c'est un problème global où des entreprises sont prêtes à prendre des risques inconsidérés pour faire du profit, mais si on s'en tient uniquement à Boeing, ils ont sorti un avion fini à la pisse, plus ou moins en connaissance de cause (on sait qu'ils ont plus ou moins obtenu de la FAA d'accélérer un tas de tests, d'en faire un paquet eux-mêmes, etc pour sortir l'avion plus vite), et il a fallu attendre non pas un, mais deux crashs en quelques mois avec des avions tout neufs, et des centaines de victimes, pour qu'ils se sortent les doigts du cul. J'espère dons que les sanctions et l'impact négatif sur l'image de la marque seront assez forts pour les pousser à sérieusement relever le niveau.

Je propose de mettre toute l'équipe en charge du projet MCAS dans un boeing 737 Max...
Et les personnes en charges de la communication scotchés sous les ailes du boeing.

une des plus intéressante vidéo que j'ai vu ici

merci

@Wamou

oui heureusement que je comprend l'anglais!

Impossible de regarder la vidéo de cet Aldo Sterone.
Imbu, prétentieux, arrogance, fatuité, sont les mots qui me viennent à l'esprit dès les premières secondes de la vidéo

J'espère que les parts de marché de Airbus vont monter en conséquence.

@Smadgib
Citation :

Alors, ça c'est une excellente question, parce que ça nous est arrivé ! La théorie veut que si la probabilité qu'un capteur tombe en panne soit de 1 sur 1 000 000, la probabilité que trois tombent en panne en même temps est de 1/1 000 000^3 soit (1/10^18), donc 1 sur un milliard de milliard, autrement dit, que c'est impossible à l'échelle d'une vie humaine (dans l'hypothèse où l'on sait distinguer entre la panne et l'envoi de données farfelues, mais c'est pour simplifier). C'est la théorie. En pratique, ça ne marche pas du tout comme ça et on a eu le cas où c'est arrivé. C'était un bug du constructeur, qui faisait que dans des circonstances bien particulières, le capteur plantait. Et le truc tordu est que que nos deux capteurs étaient du même constructeur, les deux ont plantés en même temps temps, dans les mêmes conditions ! Et c'est là, où l'on redevient très humble par rapport à l'illusion de sécurité que l'on tire du calcul de probabilité théorique. Contre ce risque de pannes multiples à cause unique, il n'y a qu'une seule règle à suivre : quand on met de la redondance, toujours prendre des constructeurs différents. Par exemple, sur les boeing 777 (et probablement chez Airbus et dans les TGV par exemple), le PFC (primary Flight Controller, ordinateur principal du pilotage) a une triple redondance basée sur trois processeurs différents (Intel, Motorola et AMD) et probablement deux équipes de programmeurs indépendantes qui ont implémentés les specs dans des langages/compilateurs différents (pour pallier les bugs des CPU et des compilateurs) !
Le problème que ça pose est que d'une part, ça commence à coûter très très cher (à mon boulot, on ne le fait pas : coût bénéfice/risque pas rentable) et que se pose aussi des problèmes de calibrage (pour que tous les capteurs soient d'accord entre eux). Et finalement, on arrive toujours à un problème insoluble : il faut un autre système pour arbitrer cette redondance (éliminer la source en faute), mais cet autre système est lui même faillible et devient un "SPOF" (Single Point Of Failure) : s'il tombe en panne, plus rien ne marche ! Il en faudrait en mettre un deuxième mais on tourne alors en rond car on se retrouve encore avec un élément unique. Dans l'aviation, on a résolu très simplement le problème : ce sont les pilotes qui activent et peuvent choisir manuellement quel ordinateur ils activent (et même chez Airbus). A mon boulot, on n'a pas de pilote et on veut que les systèmes se dépatouillent tout seul automatiquement, et ça c'est très très dur : y'a pas plus con qu'un système automatique. Et après, il y a un autre problème: ajouter de la complexité à un système augmente statistiquement le risque de panne... donc il faut trouver le bon compromis.

Ce problème de panne unique à cause unique est malheureusement arrivé au vol AF447 d'Air France (Rio/Paris) où les trois sondes pitot de mesure de la vitesse ont gelé en même temps ce qui a fait crasher l'avion.

Un dernier mot pour dire que l'étude de la sécurité des système critiques est assez anxiogène et déprimante : on ne parle que des choses qui ne marchent pas, et on ne fait que de se prendre la tête à gérer des problèmes potentiels qui ont très peu de risque d'arriver mais peuvent avoir des conséquences dramatiques. Je suis quasiment sûr que j'ai prévu des cas qui n'arriveront jamais. Alors qu'en fait, il y a des millions de choses qui se passent bien et que l'on trouve tellement normal qu'on en parle même pas... et c'est justement parce qu'on a pensé au pire avant. Il n'y a jamais eu autant d'avions dans le ciel et si peu d'accidents. Pareil pour la route (et les radars n'y sont pour rien)

@ablator
@Smadgib

C'est pour moi la meilleur vidéo d'explication, et c'est aussi cet ingénieur qui émet comme hypothèse que le moteur de trim a grillé

Boeing a-t-il fait preuve de négligence?

@motard38 Pourtant la vidéo commence mal : "dans cette vidéo, le pilote de Boeing prend des risques ..." alors qu'on voit un décollage de vol de démo, sans carburant ni charge utile, les perfos d'un avions de ligne dans ces conditions sont monstrueuses, le pilote exploite juste la machine.

Par contre les explications de l'ingénieur canadien sont bonnes et si il y a bien eu surchauffe du moteur de commande du stabilisateur arrière sous charge dans les deux cas d'accident et même lors d'autres vols, on ne peut pas comprendre pourquoi Boeing n'ont pas décidé eux même de clouer au sol les appareils suite au 2nd crash ... Mais ils devaient être trop occupé à rendre "safer an already safe aircraft ..."

Citation :
oui, je suis d'accord. En plus, je pense que c'est un effet d'optique dû au téléobjectif qui écrase les distances et donne l'impression que l'avion monte à la verticale.
Par contre, il y a une vraie erreur à 3:30 : ce qu'ils montrent n'est pas du tout le stabilisateur actionné par une vis sans vin (jackscrew) via les roues de trim et le MCAS, mais les gouvernes de profondeur (des "ailerons" ou elevators en anglais) actionnées par des pistons hydrauliques via le manche. Le stabilisateur (stabilizer) est en fait toute la queue horizontale de l'avion comme on voit sur la photo :

Dans la vidéo, ils mettent la vis sans fin sur les gouvernes.

@motard38

Sans vouloir reprendre toute ton analyse (qui est très plausible), il me semble que Boeing s'appuie sur 2 capteurs, et Airbus sur 3 (le troisième n'étant qu'utilisé en cas de faille d'un des 2 premiers).

Dans le cas de Boeing, le MCAS ne sait donc plus quel capteur lui donne la bonne information (comme tu dis plus bas, y a pas plus con qu'un système automatique). Donc il est probable que le MCAS a reçu des informations contradictoires et n'a pas sur le gérer (donc problème logicielle), maintenant je vois pas comment une simple correction logicielle (mis à part la désactivation du MCAS lors d'infos contradictoires) pourra solutionner leur problème, on dirait un problème de conception (et accessoirement un oubli de respecter la loi de Murphy)

Pour Airbus, il me semble que la sonde 1 envoie les informations au pilote, la sonde 2 au copilote et en cas d'une defaillance, la sonde 3 prend le relais et envoie l'information à la place de la sonde defaillante (identifié par le fait que 2 sondes envoient la même information et la dernière non, bien sur avec une tolérance du au fait qu'elles ne sont pas exactement au même endroit)

Bref les correctifs de Boeing ressemblent + à un "panic button" pour faire un shutdown brutal et reprendre le contrôle de l'avion qu'à une remise en cause de la conception, mais bien sur c'est le + viable sur le plan financier, car là il y aura "update" + formation poussée des pilotes ce qui est moins couteux qu'ajouter une sonde sur tous les avions et devoir combler la perte d'exploitation durant l'immobilisation. Par contre ils peuvent tout à faire modifier les avions pas encore produits (leur carnet de commande étant bien remplis), bien sur ça va retarder la livraison mais c'est un mal pour un bien.

PS : je suis pas passionné d'aéronautique mais j'ai un ami pilote amateur qui aime bien en parler

Dans mon domaine l'informatique, on a eu un cas similaire où on nous a fait mettre en prod sur toute une ligne de machine une nouvelle fonctionnalité "testé et fiable à 100%", sauf qu'on a exigeait un bouton "rouge" pour tout couper si le système s'emballe, heureusement car ça n'a pas tenu 48h (les tests n'ayant pas tenu compte que la machine était utilisé par un humain donc l'humain s'en fout de rebooter proprement ou non sa machie, et que les périphériques rattachés à la machine en question peuvent tombés en panne et être remplacés donc stocké l'id de ceux-ci en dur à l'installation c'est vraiment pas une bonne idée)

@ThomGamer 
Citation :

C'est pire que ça... Il y a bien deux capteurs AoA, mais un seul est utilisé à la fois ! c'est celui du FMC (Flight Management Computer) actif. Le MCAS du FMC1 utilisait uniquement la sonde babord, alors que le MCAS du FMC2 celui de la sonde tribord (je vois le MCAS comme un simple processus qui tourne dans le FMC). Donc, ce n'est pas que le MCAS n'a pas su gérer des données contradictoires, c'est qu'il n'était même pas conçu pour se rendre compte qu'il agissait avec des données farfelues... et c'est pour ça que comme cet ingénieur québécois, je me demande ce qui s'est passé chez Boeing pour qu'ils laissent passer ça, ainsi que la FAA.

D'ailleurs, ils viennent de publier leur correctif du MCAS, et ça corrobore complètement les théories énoncées. D'après ce que j'ai compris :
- utilisation des deux capteurs AoA à la fois
- désactivation du MCAS si différence de 5° entre les deux capteurs
- limitation de la puissance d'action du MCAS (apparemment, il y avait un autre bug qui faisait qu'il était bien trop agressif)
- non remise à zero du compteur d'action du mcas quand les pilotes "trimment" au bouton (pour ne plus que le MCAS défasse aussitôt leur correction)

Pour moi, ça ressemble à un aveu que leur système était vraiment mal foutu. La question qui va se poser et qui pèsera lourd dans les procès qui vont venir est que la précédente version n'aurait jamais du voler