Confusion avec Boeing 737 MAX: analyse des causes possibles d'accidents

« Vol contrôlé vers le relief » est un terme utilisé dans l'aviation pour désigner un accident dans un avion fonctionnant normalement en raison de la distraction ou de la désorientation des pilotes. Un vrai cauchemar. Selon mes estimations, une collision avec le sol dans un vol automatisé est encore pire, lorsque le système de contrôle de l'avion le fait plonger dans le sol, malgré les tentatives désespérées de l'équipage pour sauver la situation. C'est la cause présumée de deux récents accidents du nouveau Boeing 737 MAX 8. J'ai essayé de comprendre comment ces incidents auraient pu se produire.

Remarque: l'étude des catastrophes MAX 8 est à un stade précoce, une grande partie de l'article est basée sur des données de sources indirectes, en d'autres termes, sur des fuites et des rumeurs, ainsi que sur le raisonnement de ceux qui savent ou ne savent pas de quoi ils parlent. Considérez donc ceci si vous décidez de continuer à lire.

Crashes

Tôt le matin du 29 octobre 2018, le vol 610 de Lion Air a décollé de Jakarta, en Indonésie, avec 189 personnes à bord. C'était le nouveau 737 MAX 8, qui n'a duré que quatre mois, le dernier modèle de la gamme d'avions Boeing créé dans les années 1960. Le décollage et la montée à une hauteur d'environ 1 600 pieds (480 mètres) étaient normaux, après quoi les pilotes ont retiré les volets (éléments d'aile qui augmentent la portance à basse vitesse). À ce stade, l'avion a soudainement chuté à 900 pieds (270 mètres). Lors de conversations radio avec les contrôleurs aériens, les pilotes ont signalé un «problème avec le système de contrôle» et ont demandé des données sur leur altitude et leur vitesse affichées sur les écrans des radars des contrôleurs. L'équipement dans le cockpit a donné des lectures volatiles. Les pilotes ont sorti les volets et sont montés à 1 500 mètres (5 000 pieds), mais après avoir rentré les volets, le nez de l'avion a coulé et il a recommencé à perdre de l'altitude. Au cours des six à sept minutes suivantes, les pilotes se sont battus avec leur propre avion, ils ont essayé de maintenir le niveau du nez, mais le système de commande de vol l'a constamment abaissé. Au final, la voiture a gagné. L'avion s'est écrasé à grande vitesse dans l'eau et tous ceux à bord sont morts.

Le deuxième accident s'est produit le 8 mars, lorsque le vol 302 d'Ethiopian Airlines s'est écrasé six minutes après son décollage d'Addis-Abeba, tuant 157 personnes. L'avion était un autre MAX 8, qui n'a été utilisé que deux mois. Les pilotes ont signalé des problèmes de contrôle et les données d'observation par satellite ont montré de fortes fluctuations d'altitude. En raison de sa similitude avec l'accident de Lion Air, une alarme a été déclenchée: si le même dysfonctionnement ou défaut de conception était à l'origine des deux incidents, il pourrait y avoir d'autres accidents. En quelques jours, la flotte de 737 MAX dans le monde a été suspendue de voler. Les données récupérées de l'accident du vol 302 ont renforcé la suspicion que les deux cas étaient étroitement liés.

Le triste sort du vol 610 Lion Air peut être retracé aux données extraites de la boîte noire. (Le graphique a été publié en novembre dans le cadre du rapport préliminaire du Comité national de sécurité des transports d'Indonésie.)


Une idée générale de l'historique est fournie par la courbe de suivi de la hauteur au bas du graphique. L'ascension initiale est interrompue par une descente abrupte; une nouvelle montée est suivie d'un long tour de montagnes russes erratique. À la fin, il y a une plongée, un peu plus de 10 secondes, l'avion descend à 5000 pieds (1500 mètres). (Pourquoi y a-t-il deux courbes de hauteur sur le graphique, séparées par plusieurs centaines de pieds? Je reviendrai sur cette question à la fin de mon long article.)


Tous ces hauts et ces bas ont été causés par les mouvements du stabilisateur horizontal - une petite surface en forme d'aile à l'arrière du fuselage. Le stabilisateur contrôle l'angle de tangage de l'avion, c'est-à-dire à l'endroit où le nez est dirigé. Sur le 737, il le fait de deux manières. Le mécanisme de trim de l'ascenseur incline tout le stabilisateur, tandis que le mouvement de la molette de commande du pilote (le volant vers et loin de vous) déplace l'ascenseur - un volant mobile à l'arrière du stabilisateur. Dans les deux cas, le déplacement de l'arrière de la surface vers le haut fait monter le nez de l'avion, et vice versa. Ici, nous nous intéressons principalement aux modifications du trimmer, pas au mouvement de l'élévateur.

Les commandes données au système de trim de profondeur et leur effet sur l'avion sont représentées par trois courbes à partir des données de vol, que je répéterai ici pour plus de commodité:


La ligne marquée «trim manuel» (bleu) reflète les actions des pilotes, «trim automatique» (orange) affiche les commandes des systèmes électroniques de l'avion et «pitch trim position» (bleu) indique l'inclinaison du stabilisateur; une position plus élevée sur le graphique indique une commande pour lever le nez. C'est là que la lutte entre l'homme et la machine est évidente. Au cours de la seconde moitié du vol, le système d'équilibrage automatique a envoyé à plusieurs reprises des commandes pour abaisser le nez à des intervalles d'environ 10 secondes. Entre ces équipes automatisées, les pilotes, à l'aide des boutons de la molette de commande, ont levé le nez avec un trimmer. En réponse à ces commandes contradictoires, la position du stabilisateur horizontal a fluctué avec une période de 15 à 20 secondes. Le mouvement en dents de scie a duré environ 20 cycles, mais vers la fin, les commandes implacables et automatisées d'abaissement du nez ont pris le pas sur les commandes d'élévation du nez des pilotes plus courts. À la fin, le stabilisateur est descendu à son écart de plongée maximal et y est resté jusqu'à ce que l'avion s'écrase dans l'eau.

Angle d'attaque

Que faut-il reprocher à la mauvaise conduite du système d'équilibrage automatique du pitch? Les allégations sont dirigées contre MCAS - le nouveau système de la série de modèles 737 MAX. MCAS signifie Maneuvering Characteristics Augmentation System, un nom étonnamment polysyllabique qui ne nous donne aucune idée de ce que fait ce système. Si je comprends bien, MCAS n'est pas un périphérique matériel; dans les compartiments de l'équipement électronique de l'avion ne trouve pas le cas étiqueté MCAS. MCAS est entièrement basé sur un logiciel. Il s'agit d'un programme qui s'exécute sur un ordinateur.

MCAS n'a qu'une seule fonctionnalité. Il est conçu pour empêcher le décrochage aérodynamique - une situation dans laquelle le nez d'un avion est soulevé par rapport au flux d'air environnant si haut que les ailes ne peuvent pas le maintenir en l'air. Le calage est un peu comme une situation où un cycliste gravit une colline, qui devient de plus en plus raide: tôt ou tard, une personne manque de puissance, le vélo devient instable, puis il recule. Les pilotes sont formés pour sortir du décrochage, mais ils ne pratiquent pas une telle compétence sur les avions remplis de passagers. Dans l'aviation commerciale, l'accent est mis sur l' évitement des décrochages, pour ainsi dire, sur leur prévention. Les avions de ligne ont des mécanismes pour reconnaître les décrochages imminents et ils en informent le pilote avec des indicateurs lumineux et sonores, ainsi qu'avec une alarme de vibration du vibreur de manche. Sur le vol 610, la barre du commandant de bord a vibré presque du tout début à la fin.

Certains avions menacés de décrochage ne se limitent pas à de simples avertissements. Si la proue du navire continue de monter, l'automatisme intervient et l'abaisse, interceptant la commande manuelle du pilote si nécessaire. MCAS est conçu pour cela. Il est armé et prêt au combat, sous réserve de deux critères: les volets sont retirés (et ils ne sont sortis que lors du décollage et de l'atterrissage) et l'avion est en commande manuelle (pas de pilote automatique). Dans ces conditions, le système se déclenche lorsqu'une valeur aérodynamique appelée angle d'attaque (AoA) atteint une plage de valeurs dangereuses.

L'angle d'attaque est un concept assez obscur, je vais donc dessiner un diagramme:


Adapté de la revue de la recherche sur l'efficacité des indicateurs d'angle d'attaque Lisa R. Le Vie.

Les angles indiqués sur la figure sont les tours du corps de l'avion par rapport à l'axe du tangage - une ligne parallèle aux ailes, perpendiculaire au fuselage et passant par le centre de gravité de l'avion. Si vous êtes assis dans une rangée avec la sortie, il y a une chance que l'axe de tangage passe sous votre siège. La rotation le long de l'axe de tangage soulève et abaisse le nez. L'angle de tangage (assiette longitudinale) est défini comme l'angle du fuselage par rapport au plan horizontal. L'angle de trajectoire de vol (angle de trajectoire de vol) est mesuré entre le plan horizontal et le vecteur de vitesse de l'avion, c'est-à-dire qu'il montre à quel point il monte ou descend en douceur. L'angle d'attaque est la différence entre l'angle de tangage et l'angle d'inclinaison de la trajectoire de vol. Il s'agit de l'angle auquel l'avion se déplace dans l'air qui l'entoure (en supposant que l'air lui-même est stationnaire, c'est-à-dire qu'il n'y a pas de vent).

L'AoA affecte à la fois la portance (gravité ascendante et inverse) et la traînée (force dissipative, opposée à la poussée vers l'avant et au moteur). À mesure que l'AoA augmente au-dessus de zéro, la portance augmente car l'air entre en collision avec le bas des ailes et le fuselage. Mais pour la même raison, la résistance augmente. Avec une nouvelle augmentation de l'angle d'attaque, le flux d'air à travers les ailes devient turbulent; après ce moment, la force de levage diminue, mais la résistance continue d'augmenter. Et ici, le décrochage commence. L'angle critique pour le décrochage dépend de la vitesse, du poids et d'autres facteurs, mais il ne dépasse généralement pas 15 degrés.

Lion Air et les vols éthiopiens ne risquaient pas de décrocher, donc si le MCAS était activé, cela aurait dû se produire par erreur. Selon l'hypothèse de travail mentionnée dans de nombreux communiqués de presse, le système a reçu des données erronées du capteur AoA défaillant et a agi conformément à ses lectures.

Conceptuellement, un capteur pour mesurer l'angle d'attaque est simple. En fait, c'est juste une girouette qui fait saillie dans le courant d'air. Sur la photo ci-dessous, le capteur d'angle d'attaque est un petit rebord noir situé directement en face du 737 MAX. Fixée à l'avant, l'aube tourne, s'alignant sur le flux d'air local, et génère un signal électrique qui décrit l'angle de l'aube par rapport à l'axe du fuselage. Le 737 MAX possède deux capteurs d'angle d'attaque, un de chaque côté du nez. (Les appareils au-dessus du capteur AoA sont des tubes de Pitot utilisés pour mesurer la vitesse de l'air. Un autre appareil sous le mot MAX est très probablement un capteur de température.)


L'angle d'attaque n'était pas affiché sur les instruments des pilotes du Lion Air 737, mais l'enregistreur de vol a enregistré les signaux reçus de deux capteurs AoA:


Et ici, quelque chose de terriblement mauvais se produit. Le capteur gauche indique que l'angle d'attaque est d'environ 20 degrés plus raide que sur le capteur droit. C'est une énorme différence. Ces deux indicateurs distincts ne pouvaient en aucun cas refléter de façon réaliste l'état réel du mouvement de l'avion dans l'air: le côté gauche du nez montrait qu'il était dirigé vers le ciel et le côté droit qu'il était approximativement horizontal. Certaines mesures doivent être erronées et des valeurs plus élevées sont suspectées. Si l'angle d'attaque réel atteignait 20 degrés, l'avion serait déjà dans un état de décrochage profond. Malheureusement, le MCAS du vol 610 ne lit que les données du capteur AoA gauche. Elle a interprété ces mesures dénuées de sens comme un indicateur sûr de la position de l'avion et a inlassablement essayé de les corriger jusqu'au moment où le vol est entré en collision avec de l'eau.

Automatisation du cockpit

Les tragédies de Jakarta et d'Addis-Abeba se sont transformées en une mise en garde contre les dangers d'une automatisation excessive, dans laquelle les ordinateurs usurpent le pouvoir des pilotes. Le Washington Post a déclaré :

Le deuxième accident mortel d'avion impliquant un Boeing 737 MAX 8 pourrait être le résultat d'une lutte entre l'homme et la machine. Cet échec indique que les régulateurs devraient examiner attentivement les systèmes qui prennent le contrôle des personnes lorsque la sécurité est en jeu.

Le journaliste belge Tom Dyuzaer, écrivant souvent des articles sur l'aviation et l'informatique, donne l' avis suivant:

Il est indéniable que le Boeing du JT610 a eu de graves problèmes informatiques. Et dans le monde informatisé de haute technologie des avionneurs, où le rôle du pilote est souvent réduit à appuyer sur des boutons et à une surveillance passive, de tels incidents pourraient bien devenir plus fréquents à l'avenir.

En particulier la colère, les pilotes poussant les boutons. Le pilote et développeur de logiciels Gregory Travis a résumé ses sentiments par un bref commentaire:

"Lève le nez, HAL."
"Désolé, Dave, j'ai bien peur de ne pas pouvoir faire ça."

Même Donald Trump a tweeté sur ce sujet:

Les avions deviennent trop complexes pour voler. Maintenant, ils n'ont plus besoin de pilotes, mais d'informaticiens du MIT. J'observe une telle photo avec de nombreux produits. Il y a toujours un désir de faire un autre pas en avant, bien que des solutions souvent plus anciennes et plus simples soient bien meilleures. Les décisions doivent être prises en quelques fractions de seconde, et la complexité constitue une menace. Tout cela nécessite un prix énorme, mais cela donne très peu. Je ne sais pas pour vous, mais je ne voudrais pas qu’Albert Einstein soit mon pilote. J'ai besoin d'excellents professionnels qui peuvent rapidement et facilement prendre le contrôle d'un avion!

Les plaintes d'une automatisation excessive 737 ont une ironie considérable; à bien des égards, cet avion est en fait étonnamment démodé. La base de la conception a été créée il y a plus de 50 ans, et même dans les derniers modèles MAX, une grande partie de la technologie des années 1960 est préservée. Les commandes principales sont hydrauliques, un réseau de tuyaux sous haute pression passe directement des roues de commande dans le cockpit aux ailerons, à l'ascenseur et au volant. Si les systèmes hydrauliques tombent en panne, il reste alors un système de sauvegarde entièrement mécanique de câbles et de blocs pour contrôler divers plans de contrôle. Le moteur principal du stabilisateur est le moteur électrique, mais il a un remplacement mécanique avec un volant manuel, tirant les câbles vers la queue.

Un autre avion dépend beaucoup plus des ordinateurs et de l'électronique. Principal concurrent du 737, l'Airbus A320 est un véhicule dans lequel le principe du contrôle électronique est mis en œuvre de manière globale. Le pilote contrôle l'ordinateur et l'ordinateur contrôle l'avion. Le pilote choisit où se déplacer - en haut, en bas, à droite ou à gauche - mais l'ordinateur décide comment y parvenir, quels avions de contrôle rejeter et combien. Les modèles Boeing plus modernes - 777 et 787 - utilisent également le contrôle numérique. En fait, les derniers modèles des deux sociétés ont franchi une nouvelle étape, de la «gestion des câbles» à la «gestion des réseaux». La partie principale de la transmission de données des capteurs aux ordinateurs, puis aux avions de contrôle, consiste en des paquets numériques envoyés sur l' une des versions du réseau Ethernet . Un avion est la périphérie d'un ordinateur.

Donc, si vous voulez déplorer les dangers et l'insulte des pilotes causés par l'automatisation des avions, le 737 n'est pas l'objectif le plus évident. Une campagne luddite pour détruire toute l'avionique et reprendre le pouvoir aux pilotes sera une réaction dangereusement erronée à la situation actuelle. Il ne fait aucun doute que le 737 MAX a un problème critique. C'est une question de vie ou de mort pour ceux qui voleront sur eux, et peut-être pour Boeing. Mais le problème n'a pas commencé avec MCAS. Cela a commencé par des décisions antérieures qui rendaient le MCAS nécessaire. De plus, le problème peut ne pas être résolu par la méthode proposée par Boeing - une mise à jour logicielle qui limite les capacités de MCAS et laisse aux pilotes plus d'autorité.

Pressez le maximum sur 737

Les premiers passagers 737 ont commencé à transporter en 1968. Il était (et est toujours) le plus petit avion de ligne à réaction de la famille Boeing, et aussi le plus populaire. Plus de 10 000 exemplaires ont été vendus et Boeing a commandé 4 600 exemplaires supplémentaires. Bien sûr, au fil des ans, des modifications ont été apportées à l'avion, en particulier en ce qui concerne les moteurs et les appareils. Le modèle mis à jour des années 1980 est devenu le 737 Classic, et le modèle de 1997 s'appelle le 737 NG (nouvelle génération). (Maintenant, après la sortie de MAX, le modèle NG est devenu la génération précédente .) Mais malgré toutes ces modifications, la structure de base de la cellule n'a pas beaucoup changé.

Il y a dix ans, il semblait que le 737 était enfin arrivé en fin de vie. Boeing a annoncé qu'il commencerait à développer un tout nouveau design pour le remplacer, dont le corps ne serait pas en aluminium, mais en matériaux composites légers. Bien sûr, la concurrence a fait des ajustements. Airbus avait l'avantage de l'A320neo, un modèle mis à jour qui, lorsqu'il sera lancé sur le même segment de marché, aura des moteurs plus efficaces. L'Airbus modifié devait sortir vers 2015, tandis que le développement du projet Boeing à partir de zéro prendrait dix ans. Il y avait un risque de désabonnement des clients. En particulier, le partenaire de longue date d'American Airlines, American Airlines, a négocié une commande importante pour l'A320neo.

En 2011, Boeing a abandonné le projet de créer un tout nouveau design et a décidé de faire la même chose qu'Airbus: attacher de nouveaux moteurs à l'ancien planeur. , . FAA ( ) , - , Airbus.

737-800 ( MAX) 800 (3 . ). 2 000 2,50 . 10 , 7,3 . — 1 .

, 737 14 , . . , Boeing , « », . , 737 NG, MAX .


737 1960- , , ( ) . . , , . 737 ; , . MAX ( ) — , 69 (175 ). NG, MAX .

New York Times , , , . , .

Airbus , Boeing . , The New York Times , 737 Max … , .

Times : « , , , ».

- MAX Boeing . . Lion Air, Aviation Week and Space Technology (Nov. 26–Dec. 9, 2018, pp. 56–57):

, , 737 , .

, , . , . MAX , .

Aviation Week , 2017 , MAX 8.

. 58 000 , , , , . Boeing , , . , .

« », « » , , MCAS. , speed-trim . MCAS, « » , . , mach-trim , , , 0,6 . MAX; 1997 NG. MCAS , speed-trim mach-trim, , . , , , .

. , — , — . , , , , . . , , . , , . ( !) , , .


— , . , , , (). , , . , . , , .

737 MAX ? , Boeing 737 MCAS — -, 737 - . :

MCAS — . , MAX , NG; , LEAP-1B AoA. LEAP , NG CFM56-7, . AoA ; , (.. ), , . / FAR §25.173 «Static longitudinal stability» . (FAR — (Federal Air Regulations). 25 ). MCAS, ( AoA) , .

, , Boeing . Aviation Week , , , ( 20 ) , :

MAX CFM Leap 1 AOA , NG CFM56-7. MCAS - , MAX NG.

En supposant que le point de vue de Brady est correct, une question intéressante se pose: quand Boeing a-t-il remarqué l'instabilité? Les concepteurs sont-ils conscients de ce danger depuis le tout début du projet? Cela s'est-il manifesté lors de simulations informatiques ou lors d'essais lors d'essais aérodynamiques sur des modèles réduits? L'histoire de Dominic Gates dans le Seattle Times nous donne un indice que Boeing pourrait ne pas avoir réalisé la gravité du problème avant les tests en vol de la première instance de l'avion, qui ont commencé en 2015.

Selon Gates, le protocole d'analyse de sécurité de la FAA passé à la direction de Boeing a indiqué que le MCAS sera en mesure de déplacer le stabilisateur horizontal de pas plus de 0,6 degré. Dans un avion lancé sur le marché, le MCAS peut le dévier jusqu'à 2,5 degrés et peut agir de manière répétée jusqu'à ce qu'il atteigne une limite mécanique de mouvement d'environ 5 degrés. Gates écrit :

Cette limite a été encore augmentée car les tests en vol ont montré que pour éviter le décrochage à des vitesses élevées, une plus grande course arrière est nécessaire lorsque l'avion risque de perdre en portance et de diminuer en spirale.

Le comportement de l'avion en cas de décrochage à un angle d'attaque élevé est difficile à modéliser analytiquement.Par conséquent, lorsque les pilotes d'essai effectuent des procédures de sortie de décrochage sur un nouvel avion, le logiciel de contrôle est souvent réglé pour améliorer les caractéristiques d'un véhicule volant à réaction.

Il semble que l'instabilité de MAX à AoA élevée soit une propriété de la forme aérodynamique de tout l'avion, et un moyen direct de le supprimer serait de changer cette forme. Par exemple, pour restaurer la stabilité statique, vous pouvez augmenter la surface de la queue. Mais de telles modifications de la cellule ralentiraient le largage de l'avion, compte tenu notamment du fait que leur besoin a été découvert après les vols des premiers prototypes. De plus, les modifications de conception pourraient compromettre la possibilité de piloter un nouveau modèle avec des droits de vol de type ancien. Cela devait être que changer de logiciel au lieu de modifier la structure en aluminium semblait être une alternative intéressante. Peut-être qu'un jour nous saurons comment cette décision a été prise.

Soit dit en passant, selon Gates, le document de la FAA avec une analyse de sécurité, qui spécifie une limite de 0,6 degrés, devrait être révisé pour refléter la véritable gamme de commandes MCAS possibles.

Instabilité

L'instabilité n'est pas nécessairement une marque noire pour un avion. Il y a eu au moins quelques conceptions instables réussies dans l'histoire depuis le Wright Flyer de 1903. Les frères Wright ont intentionnellement placé un stabilisateur horizontal devant et non derrière l'aile, car leurs expériences précédentes avec des cerfs-volants et des planeurs ont montré: ce que nous appelons la stabilité peut aussi être appelé lenteur. Les avions de contrôle avant Flyer (appelés contrôles horizontaux avant) renforçaient tout léger mouvement vers le haut et vers le bas du nez. Le maintien d'un pas stable nécessitait une concentration élevée du pilote, mais permettait en même temps à l'avion de réagir plus rapidement lorsque le pilote voulait augmenter ou diminuer le pas. (Les avantages et les inconvénients de cette conception sont discutés dans un article de 1984 par Fred E.S. Kulik et Henry R. Jacks.)


Orville règne, Wilbur court à proximité, Kitty Hawk, 17 décembre 1903. Sur cette photo, nous voyons l'avion du côté de la queue. Le contrôle horizontal avant - deux surfaces horizontales réglables à l'avant - semble déclencher un soulèvement du nez. (Photo de WikiMedia .

Un autre avion très instable était le Grumman X-29, une plate-forme de recherche conçue dans les années 1980. Les ailes du X-29 étaient situées derrière; de plus, les principaux avions de contrôle du tangage sont montés devant les ailes, comme dans le Wright Flyer.


Le but de ce projet bizarre était d'étudier des conceptions de tournevis extrêmes sacrifiant la stabilité statique pour des manœuvres plus rapides. Aucun pilote ne pouvait faire face à un tel véhicule saccadé sans assistance. Il nécessitait un système de contrôle électronique numérique, qui échantillonnait l'état et régulait le plan de contrôle avec une fréquence pouvant atteindre 80 fois par seconde. Le contrôleur a réussi, peut-être même trop. Il a permis à l'avion de voler en toute sécurité, mais en maîtrisant l'instabilité, il a quitté l'avion avec des caractéristiques de contrôle assez limitées.

J'ai personnellement eu un lien avec le projet X-29. Dans les années 1980, j'ai travaillé en tant que rédacteur pour une courte période avec des membres d'un groupe chez Honeywell qui ont conçu et construit le système de contrôle X-29. J'ai aidé à préparer des publications selon les règles de gestion, et j'ai également contribué à leur implémentation dans le matériel et les logiciels. Cette expérience m'a donné suffisamment d'informations pour comprendre que le MCAS a quelque chose d'étrange: il est trop lent pour supprimer l'instabilité aérodynamique d'un avion à réaction. Alors que le X-29 avait un temps de réponse de 25 millisecondes, le MCAS a mis 10 secondes pour déplacer le stabilisateur 737 de 2,5 degrés. À ce rythme, le système ne pourrait probablement pas faire face aux forces qui lèvent le nez dans la boucle de rétroaction positive.

Il y a une explication simple à cela. MCAS n'était pas censé piloter un avion instable. Elle était censée l'empêcher d'entrer dans un régime dans lequel il devient instable. La même stratégie est utilisée par d'autres mécanismes pour éviter le calage - ils interviennent avant même que l'angle d'attaque n'atteigne un point critique. Cependant, si Brady a raison sur l'instabilité du 737 MAX, cette tâche devient plus urgente pour MCAS. L'instabilité signifie une descente abrupte et dangereuse. MCAS est une barrière routière qui vous ramène sur la route lorsque vous êtes prêt à déchirer une falaise en voiture.

Ce qui nous amène à la question du plan de réparation Boeing MCAS annoncé. Selon les rapports , le système modifié ne s'activera pas si régulièrement et s'arrêtera automatiquement s'il détecte une grande différence entre les lectures des deux capteurs AoA. Ces changements devraient empêcher la répétition des accidents récents. Mais offrent-ils une protection adéquate contre la faute que MCAS aurait dû traiter en premier lieu? Lorsque vous désactivez le MCAS, qu'il soit manuel ou automatique, rien n'empêchera le pilote imprudent ou trompeur de se déplacer vers la partie de la zone de mode de vol dans laquelle le MAX devient instable.

Sans informations supplémentaires de Boeing, on ne peut pas dire à quel point l'instabilité peut être grave, si elle existe vraiment. L'article de Brady sur le site Web technique du Boeing 737 affirme que le problème est partiellement causé par les pilotes. Dans l'état normal, pour un long lifting du nez, il est nécessaire de tirer de plus en plus la molette de commande. Cependant, dans le domaine de l'instabilité, la résistance à la traction chute soudainement, de sorte que le pilote peut tirer par inadvertance la barre vers une position plus extrême.

L'exposition humaine est-elle une partie nécessaire de l'instabilité, ou est-ce juste un facteur de renforcement? En d'autres termes, si vous retirez le pilote de la boucle de rétroaction, la rétroaction positive causera-t-elle toujours une levée de nez incontrôlable? Je n'ai pas encore trouvé de réponse.

Une autre question: si la racine du problème est un changement trompeur dans la force qui résiste aux mouvements du volant qui soulèvent le nez, alors pourquoi ne pas résoudre directement ce problème?

Le mécanisme d'amorçage de l'ascenseur transfère de «fausses» forces à la roue de commande du pilote. Image prise à partir de la présentation des commandes de vol du B737 NG par theoryce . La présentation a été créée pour la série 737 NG, pas pour MAX; peut-être que l'architecture a changé.

Dans le 737 (et la plupart des autres gros avions), la force «ressentie» par le pilote à travers la molette de commande n'est pas un simple reflet des forces aérodynamiques agissant sur l'ascenseur et les autres avions de commande. Les forces de rétroaction sont principalement synthétisées, elles sont générées par l'unité de sensation et de centrage de l'ascenseur - un appareil qui surveille l'état de l'avion et génère la pression hydraulique appropriée, poussant la barre dans une direction ou une autre. Ces systèmes pourraient se voir confier la tâche supplémentaire de maintenir ou d'augmenter la force de traction à la barre, lorsque l'angle d'attaque s'approche des valeurs d'instabilité. Une résistance artificiellement améliorée fait déjà partie du système de prévention de décrochage. Pourquoi ne pas l'étendre à MCAS? (Il y a peut-être une réponse raisonnable à cela, mais je ne le connais pas.)

Où est son bouton d'alimentation?

Même après que le MCAS a été accidentellement allumé sur le Lion Air 610, les accidents et les pertes auraient pu être évités si les pilotes avaient simplement éteint cette chose. Mais pourquoi pas? Il semble qu'ils n'aient jamais entendu parler de MCAS, ne savaient pas qu'il était installé sur l'avion qu'ils contrôlaient et n'avaient reçu aucune instruction sur la façon de le désactiver. Il n'y a aucun interrupteur ou bouton marqué «MCAS ON / OFF» dans le cockpit Le système n'est pas mentionné dans le manuel de vol ( à l'exception de la liste des abréviations ), et aucun programme de formation transitoire n'a été organisé pour les pilotes passant du 737 NG au MAX. La formation a consisté en une ou deux heures (les informations varient) de travail avec l'application pour iPad.

Boeing explique ces omissions dans l' histoire du Wall Street Journal :

Un haut responsable de Boeing a déclaré que la compagnie avait décidé de ne pas divulguer de détails aux équipages par crainte de surcharger les pilotes ordinaires avec trop d'informations, ainsi que beaucoup plus de données techniques qu'elles n'auraient pu en apprendre.

Appeler cette déclaration «hypocrite» signifie ne rien dire. C'est tout simplement absurde. Boeing a non seulement caché les «détails», mais il n'a essentiellement pas mentionné l'existence même de MCAS. Et l'argument sur "trop ​​de volume" est tout simplement stupide. Je n'ai pas de manuel de vol MAX, mais l' édition NG contient plus de 1300 pages, plus 800 autres pages de manuel de référence rapide. Quelques paragraphes sur MCAS ne surchargeraient pas un pilote qui maîtrise déjà le manuel d'exploitation. De plus, le manuel décrit en détail les systèmes speed-trim et mach-trim, qui appartiennent très probablement à la même catégorie avec MCAS: ils fonctionnent de manière autonome et ne fournissent pas au pilote une interface directe pour la surveillance et la régulation.

À la suite de l'incident de Lion Air, Boeing a déclaré que la procédure d'arrêt du MCAS était décrite dans le manuel, bien que le MCAS lui-même n'y soit pas mentionné. Cette procédure est indiquée sur la carte pour éliminer le problème de «perte de contrôle du trimmer du stabilisateur». Ce n'est pas très compliqué: vous devez vous accrocher à la barre, désactiver le pilote automatique et l'antipatinage, s'ils sont allumés; puis, si le problème persiste, tournez les deux interrupteurs marqués «STAB TRIM» en position «CUTOUT». En cas de dysfonctionnement, le MCAS n'était vraiment que la dernière étape.

Cette carte de contrôle est une «action mémoire»; les pilotes doivent pouvoir effectuer ces étapes sans consulter le manuel. L'équipage de Lion Air aurait certainement dû la connaître. Mais pouvait-il comprendre que cette carte devait être appliquée sur un avion dont le comportement ne ressemblait pas à ce qu'ils avaient vu en s'entraînant et en volant sur le 737 précédent? Selon le manuel, la condition dans laquelle il était nécessaire d'utiliser une carte pour éliminer le problème du trimmer du stabilisateur était «un mouvement spontané constant du trimmer du stabilisateur». Les commandes MCAS n'étaient pas constantes, mais répétées, donc, pour diagnostiquer le problème, il fallait faire un saut de raisonnement.


Au moment du crash éthiopien, 737 pilotes dans le monde connaissaient le MCAS et sa procédure d'arrêt. Un rapport préliminaire publié plus tôt ce mois-ci par Ethiopian Airlines a montré qu'après quelques minutes de lutte contre la molette de commande, les pilotes du vol 302 ont néanmoins profité de la procédure de la carte de commande et ont tourné les commutateurs STAB TRIM sur CUTOUT. Après cela, le stabilisateur a cessé de répondre aux commandes du MCAS concernant l'abaissement du nez, mais les pilotes n'ont pas pu reprendre le contrôle de l'avion.

On ne sait pas encore exactement pourquoi ils ont échoué et ce qui s'est passé dans le cockpit au cours des dernières minutes. L'un des facteurs possibles est que l'interrupteur de coupure désactive non seulement le mouvement automatique du potentiomètre, mais également les mouvements manuels, qui sont contrôlés par les boutons de la molette de commande. L'interrupteur coupe l'alimentation du moteur électrique qui déplace le stabilisateur. Dans une telle situation, la seule façon de déplacer la tondeuse est de tourner les volants situés à côté des genoux des pilotes. Pendant la crise du vol 302, ce mécanisme pourrait être trop lent pour ajuster l'angle dans le temps, ou les pilotes étaient trop concentrés sur le retrait de la barre avec une force maximale qu'ils n'essayaient pas d'utiliser les volants. Il est également possible qu'ils aient remis les interrupteurs sur NORMAL, rétablissant l'alimentation du moteur du stabilisateur. Une telle possibilité n'est pas mentionnée dans le rapport, mais le tableau de l'enregistreur de vol y fait allusion (voir ci-dessous) .

Composant provoquant une défaillance du système

On peut se demander si le MCAS est une bonne idée quand il fonctionne correctement, mais quand il s'allume par erreur et dirige l'avion dans la mer, personne n'ose le défendre. Apparemment, le comportement incontrôlé lors des catastrophes de Lion Air et d'Éthiopie a été causé par un dysfonctionnement d'un seul capteur. Cela ne devrait pas se produire dans l'aviation. Il est impossible d'expliquer pourquoi l'un des constructeurs d'avions créerait intentionnellement un avion dans lequel la défaillance d'une seule pièce entraînerait un accident mortel.

La protection contre les défaillances uniques est assurée par la redondance, et ce principe est si pleinement intégré dans la conception du 737 que la machine peut presque être considérée comme deux avions dans un même bâtiment.

Dans les avions, qui utilisent l'automatisation dans un plus grand volume, tous les éléments (capteurs, ordinateurs, lecteurs) sont généralement dupliqués trois fois .

Dans le cockpit, il y a de la place pour deux pilotes qui regardent deux jeux d'instruments différents et utilisent des jeux de commandes séparés. Les tableaux de bord gauche et droit reçoivent des signaux provenant de différents ensembles de capteurs, dont les signaux sont traités par différents ordinateurs. Chaque côté du cockpit a son propre système de contrôle inertiel, son propre ordinateur de navigation et son propre pilote automatique. L'avion dispose de deux alimentations et de deux systèmes hydrauliques, ainsi que de systèmes de secours mécaniques en cas de double panne hydraulique. Deux roues de contrôle à l'état normal se déplacent à l'unisson - elles sont connectées sous le plancher - mais si une roue se coince, cette connexion peut être rompue, ce qui permettra au deuxième pilote de continuer à contrôler l'avion.

Il y a une exception à cette liste de systèmes en double: il semble qu'un appareil appelé ordinateur de commande de vol (FCC) ait reçu un traitement spécial. Il y a deux FCC à bord, mais selon le site Web technique du Boeing 737, un seul d'entre eux opère sur chaque vol. Tous les autres composants dupliqués fonctionnent en parallèle, reçoivent des commandes entrantes indépendantes, effectuent des calculs indépendants et transmettent des actions de commande indépendantes. Mais à chaque vol, un seul FCC effectue tout le travail et le second est en mode veille. Le schéma de choix d'un ordinateur actif semble étrangement arbitraire. Chaque jour, lorsque vous allumez l'appareil, la FCC du côté gauche reçoit le contrôle lors du premier vol, puis l'appareil du côté droit prend le contrôle du deuxième vol de la journée, et ainsi les deux côtés changent alternativement jusqu'à ce que l'alimentation soit coupée. Après avoir reconnecté l'alimentation, une autre utilisation recommence avec le FCC gauche.

Je suis surpris de nombreux aspects d'un tel schéma. Je ne comprends pas pourquoi la relation avec les appareils FCC dupliqués est différente de celle des autres composants. Si un FCC échoue, le second prendra-t-il automatiquement le contrôle du second? Les pilotes peuvent-ils basculer entre eux en vol? Dans l'affirmative, est-ce que ce sera un moyen efficace de faire face à une défaillance MCAS? J'ai essayé de trouver les réponses dans les manuels, mais je ne peux pas faire confiance à mes interprétations de ce que je lis.

De plus, j'ai eu beaucoup de mal à trouver des informations sur la FCC elle-même. Je ne sais pas qui le produit, à quoi il ressemble et comment il est programmé.


Sur le site Web de Closet Wonderfuls , un article appelé «ordinateur de contrôle de vol 737» se vend 43,82 $ avec la livraison gratuite. Le site Web d' Airframer contient des listes de nombreux fournisseurs de pièces et de matériaux pour le 737, mais il n'y a aucune information sur l'ordinateur de commande de vol. L'appareil a une plaque signalétique Honeywell. J'ai été tenté d'acheter l'appareil sur le site Web de Closet Wonderfuls, mais je suis presque sûr que les derniers modèles MAX n'ont pas un tel appareil installé. J'ai appris que FCC s'appelait auparavant FCE (électronique de commande de vol, «électronique de commande de vol»), et de cela, on peut comprendre que l'appareil était analogique, il effectuait l'intégration et la différenciation à l'aide de condensateurs et de résistances. , FCC , , . Intel , , Linux Windows. .

MAX . -, MCAS; , MCAS. -, FCC , AoA MCAS. FCC.

FCC , , Indonesia. ( , ). .

(Manado → Denpasar) , , .


FCC? , MCAS, , FCC. , , , .

, MCAS AoA. ? : , 5,5 , MCAS . 4 5 ?

: AoA.

MCAS , ? ( ) , . «», .

MCAS 50- , AoA . MCAS 100- . ?

, , AoA.

, AoA . , : , 500 –40 .


, ( ). , , 610 . . , , , . , , ; , , 20 .

- , ? : 20 . , . : , 20 . - Professional Pilots Rumour Network , , . , , , .

. , , . ? , .

, FAA , AoA. , , , 737 MAX ( Rosemount 0861 ). , 20 .

- , , , , - . , , . AoA (Air Data and Inertial Reference Unit, ADIRU), , . ADIRU , , , , . , , . ( ADIRU .) , — , .

. , AoA, Lion Air 27 , . , « », . , , , (Stall Management and Yaw Damper, SMYD) , , ADIRU. SMYD . Lion Air, Ethiopian , . , ADIRU.

- Lion Air, . 302 Ethiopian , AoA , . :


AoA , — , — . , , , , . — 75 . , , . .

, , 302. STAB TRIM, , . , , Cutout .

, - .

1. Lion Air Ethiopian AoA, , ( , Lion Air 27 ). , , XTRA Aerospace . , , Boeing, , XTRA.

400 MAX, 800 AoA. 3/800 ? , ?

2. (pitch trim) Lion Air 610. , , .


( ) . , , , . , . , « » , , , . , , MCAS . - . , AoA . FCC , .

3. AoA — Lion Air. :


( ) . , , , , 10 . , , . 610; . ( , .)

, — . ? , ? , AoA ? , . , . , AoA. , .

, . , 100 , . , , , .

, , , , . . , , . , MCAS. , 1549 USAir, A320 155 . .

, , . . , . 40 , — 23 . () , , .

MCAS 737 MAX . , . , — , MCAS .

346 — , . ? Boeing , :

• AOA. 5,5 , MCAS . .
• MCAS , AOA. , MCAS .
• MCAS , , . - MCAS .

Boeing , « 610 Lion Air 302 Ethiopian Airlines». , , , MCAS? , 737 MAX - , MCAS .

Boeing — MCAS, , , . . MCAS , . MCAS, . , ? , , . , .

, .

, 737 MAX MCAS, . Lion Air , . , MCAS: , . , ? . , , . ( , , .)

. -, , : . ( ) . , MCAS . . , , , . . . , AoA, , — , , . ; GPS. , .

-, : . , , — , , , . , - . , — . ; , .

, MCAS. , . ( .) , , , : « » , .

11 2019

Boeing , MCAS « . . , , ». - Boeing ; Aviation Week , 9 .

, « » (handling qualities). -, , , . - , . - ? , MCAS , , Boeing , , .

: « , , , ». , , , , .

, , New York Times , : , « » MCAS, .

, , , 737. - Boeing.

MCAS — , — 0,6 10 .

, FAA MCAS. .

, 2016 , Boeing , MAX , . , , MCAS .

, , Aviation Week , 302 Ethiopian Airlines. , AoA , , . , , . , , ?