De manière générale, les pilotes n'aiment pas qu'un ordinateur interprète ou limite leurs actions. Ils veulent le contrôle final. Ils n'obtiennent pas toujours ce qu'ils veulent mais c'est leur préférence.

Si je me souviens bien, Boeing a tendance à s'en tenir à la philosophie selon laquelle «le pilote est l'arbitre final». Airbus est plus susceptible de préempter les entrées des pilotes et de les modifier.

Bien que la majorité des accidents et des incidents finissent par être des erreurs du pilote, il y a un sérieux défaut à modifier les entrées des pilotes. Cette faille se produit dans le cas d'une défaillance des systèmes.

Par définition, les modes de défaillance impliquent que les choses tournent mal. Lorsque les choses tournent mal, il est effectivement impossible de planifier, dans l'automatisation, toutes les éventualités. Les gens sont bien meilleurs pour répondre à l'inconnu que les systèmes d'automatisation.

Prenons par exemple la règle selon laquelle «les angles d'inclinaison> 45 degrés sont dangereux, et donc interdits». Comment l'avion sait-il que l'angle d'inclinaison est> 45 degrés? Eh bien, c'est un capteur bien sûr, mais que faire si le capteur est tombé en panne? Un capteur défaillant signalera de prendre des mesures lorsqu'aucune action n'est nécessaire ou ne signalera pas lorsqu'une action est requise. Et si les gouvernes ont échoué et que l'avion ne peut pas corriger l'angle d'inclinaison?

La réponse habituelle à cela est des systèmes redondants, des pièces et une conception de haute fiabilité, etc. Tout cela est bien sûr et aide certainement lot. Cependant, nous avons encore des incidents et des accidents.

En fin de compte, la question est: à qui faites-vous le plus confiance? Un pilote ou une machine? Et les statistiques et la science ne vous aident qu'à mi-chemin ici. L'expérience, les préjugés et les sentiments d'une personne auront beaucoup à dire sur la façon dont ils répondent. Et par "personne", comprenez que j'inclus les clients, le public payant.

La philosophie est que le pilote sait le mieux. S'ils ont besoin de faire une manœuvre, on devrait leur faire confiance.

Bien qu'il existe des limites absolues telles que la structure, d'autres limites sont moins exactes et dépendent des conditions (et même la structure est conçue pour résister à des marges, défaillance et dommages). Quelque chose qui se qualifie de "bouleversé" n'est certainement pas une routine, mais ce n'est pas nécessairement fatal non plus, et peut être utilisé pour faire face à certaines situations.

Une grande raison de manœuvres brusques serait d'éviter un obstacle. Dans le cas du terrain, ce serait généralement une montée raide, voire un virage raide. Mais cela pourrait aussi être un autre avion, auquel cas le pilote voudra peut-être descendre rapidement.

Concentrons-nous simplement sur le rouleau. La même commande qui peut être utilisée pour faire rouler l'avion de 0 ° à 30 ° peut être utilisée pour le faire rouler de 30 ° à 60 °. Qui doit décider de l'angle de roulis de l'avion et qu'à partir de maintenant aucune autre commande de roulis n'est acceptable?

Un FCS contrôlé par ordinateur, évidemment, si nous décidons les pilotes ne peut pas faire confiance. Mais pouvons-nous faire davantage confiance au FCS? Quelle en serait la base pour établir l'angle de roulis correct?

1. Gyros? Ils doivent être calibrés de temps en temps, car tous les gyroscopes dérivent. Certains plus, d'autres moins, mais aucune technologie ne peut les empêcher d'afficher des lectures dangereusement erronées quand ils sont laissés en marche assez longtemps.

2. Accéléromètres qui montrent le vecteur de gravité? Dès que l'avion effectue un virage coordonné, il doit être évident qu'il ne pointe que loin du vecteur de portance. Pas de dé.

3. Altimètre radar au bout des ailes? Volez assez haut et ils deviennent inutiles. Cela pourrait fonctionner pour le vol à basse altitude, mais pas dans toutes les phases de vol.

4. Caméra et traitement d'image pour trouver l'attitude par rapport à l'horizon? Arrête de travailler la nuit ou dans le brouillard.

Je pourrais étendre la liste, mais maintenant il devrait devenir clair que ce n'est pas aussi facile qu'il y paraît. En particulier, la conception du FCS pour les UAV autonomes est assez délicate et doit corréler les entrées de différents capteurs afin d'établir le vol en palier. Cela a été appris à la dure par Aurora Flight Sciences lors des essais en vol de leur prototype Perseus A. S'appuyant uniquement sur le gyroscope, l'équipe n'a pas réalisé que le capteur dérivait et commandait des angles d'inclinaison de plus en plus raides. Lorsque l'avion s'est désintégré, l'équipe n'a même pas réalisé immédiatement ce qui s'était passé parce que la valeur maximale du taux de chute sur la liaison descendante des données de vol correspondait à seulement 20 m / s - elle s'est simplement bloquée à -1023 points. Le prototype de l'avion a été totalement détruit dans l'accident.

Perseus A avant son 21e vol final.

Je suppose que c'est le dernier forum sur tout Internet où il faut expliquer qu'il est insensé de s'appuyer sur un logiciel parfaitement fonctionnel. D'une manière ou d'une autre, les pilotes humains sont encore meilleurs pour résoudre des difficultés imprévues, pour les mêmes raisons pour lesquelles ils se trompent parfois de manière inexplicable.

La plupart des nouveaux designs n'acceptent pas ces entrées. Cela inclut:

• Les modèles Airbus à partir de l'A320 (y compris les A318 et A319 qui sont des variantes de l'A320).
• Modèles Boeing B777 et B787.
• Sukhoi SuperJet Su100.

Airbus a une limite de roulis de 65 °, pas de 45 °, mais il revient automatiquement à au plus 33 ° sans pression constante sur le manche. Je ne trouve pas de limite de hauteur explicite, mais elle a une limite alpha (angle d'attaque, dépend du type, 17 ° pour l'A320, baisse pour ne pas la dépasser), vitesse maximale et limite de Mach (augmente si dépassée) et charge minimale et maximale des ailes (accélération verticale, -1G à + 2,5G propre, 0G à + 2G avec volets)

Le pilote doit faire confiance à toute autre chose (et même les avions Airbus acceptent toute entrée en droit direct, la loi normale ne s'applique pas toujours). Toute situation imprévue peut survenir pendant le vol. Les ordinateurs ne peuvent pas gérer toutes les situations anormales.

Un bon exemple d'une telle situation est le cas de FedEx Flight 705. Les pilotes ont été attaqués à la masse par un pirate de l'air. Ils seraient probablement morts, sans les manœuvres extrêmes tentées. Ils ont poussé leur avion DC-10 bien au-delà de ses limites (angle d'inclinaison jusqu'à 140 °, survitesse proche de mach 1.0). Si l'ordinateur les avait empêchés de faire cela, l'avion pourrait s'être écrasé et ils seraient tous morts.

En tant que pilote de ligne (et pilote d'essai), j'aime garder mon avion sous contrôle (comme le font tous les autres pilotes de ligne). Il y a l'école Boeing et l'école Airbus. Les avions Boeing vous avertiront de ne pas entrer dans ces enveloppes. Airbus ne vous permettra pas d'entrer dans ce régime (protection d'enveloppe). Dans tous les cas, vous pouvez annuler cela en modifiant la loi ou en déconnectant les calculateurs de vol. Dans les cas extrêmes où la situation est désespérée, je n'hésiterai pas à passer outre l'ordinateur et à aller dans les enveloppes extrêmes si j'ai besoin de sauver des vies. Gardez à l'esprit que tout dans l'aviation est conçu avec un facteur de sécurité de 30% à 60% dans certains cas.

Alors pour répondre à votre question: vous êtes au FL370, en sirotant un café, vous avez un feu à bord . L'avion limite votre vitesse verticale et votre vitesse pendant la descente (ou l'angle d'inclinaison si vous voulez faire demi-tour). Seriez-vous d'accord avec de telles limites? Moi non. Nous sommes payés beaucoup d'argent à l'avant pour prendre des décisions.

Deuxième scénario (faux). FL340, croisière, votre TCAS a échoué mais vous ne savez pas (comme je l'ai dit, c'est un faux scénario). Soudain, vous voyez l'autre gars se diriger vers vous. Même FL. Mais votre ordinateur dit "désolé vous ne pouvez pas tirer fort à cause de la protection G", vous frappez l'autre gars: vous êtes légalement mort parce que vous n'avez pas stressé la cellule.

Dernier exemple: Juste après un départ pour un Vol de 16 heures vous avez le feu dans la cargaison. Les systèmes d'extinction d'incendie ne fonctionnent pas. Vous devez atterrir, mais vous ne pouvez pas parce que vous êtes en surpoids (de 100 tonnes je dirais au moins). Que feriez-vous?

J'espère que j'ai déclenché quelque chose à propos de votre question. BTW, je suis sur 777.

Quelques raisons, mais essentiellement, cela revient à "Parce que parfois c'est le moindre de deux maux"

1. Les instruments tournent mal. Les tubes de Pitot se cassent, les gyroscopes deviennent fous etc ... Parfois, le pilote sait vraiment mieux. Les pilotes automatiques se désengagent lorsqu'ils ne savent pas quoi faire, il en va de même pour les pilotes automatiques limitant le contrôle dans une configuration fly by wire ... que se passe-t-il lorsque l'avion pense qu'il décroche mais ce n'est pas le cas? Il essaie d'empêcher le nez de se relever, ou d'abaisser le nez, jusqu'à ce que l'avion touche le sol.

2. Un "décrochage pratiquement garanti" pourrait un jour être une meilleure option que une "collision réellement garantie" - si vous choisissez de tirer fort ou de voler dans une montagne, je vais tenter ma chance en essayant de me remettre d'un décrochage.

1 est peu probable (et compte tenu de la fréquence à laquelle les avions volent en IFR, affecterait probablement le pilote de la même manière que le pilote automatique), 2 est probablement encore plus improbable, mais est la situation qui provoquerait des milliers de «Pourquoi le pilote ne peut-il pas survoler le pilote automatique? " questions.

En fin de compte, les gens se méfient encore des ordinateurs. Ils peuvent bien faire les choses 99,9999% du temps, mais ils ne peuvent toujours pas «penser debout» comme un humain.

Maintenant, il y a déjà des éléments de cela dans la conception des avions. Par exemple, tous les avions de ligne modernes ont des avertissements sonores / visuels lorsque des situations dangereuses sont présentées (taux de chute élevés, avertissements de décrochage, etc.). Et Airbus va plus loin en utilisant des commandes «fly by wire» qui évitent en effet la plupart des situations de décrochage «normales» dans ce qu'on appelle la «loi normale». Airbus donne cependant le contrôle final au pilote si l'ordinateur n'est pas sûr à 100% de la situation.

Une autre chose à considérer est que les connaissances nécessaires pour contrôler l'avion augmentent avec de tels systèmes en place.

Il y a presque eu un accident d'avion en Allemagne il y a quelques années (voir cette vidéo montrant l'atterrissage), lorsqu'un avion atterrissait lors de forts vents latéraux. Le problème était que les commandes de vol réagissaient différemment lorsque l'avion touchait le sol ou non. Cela n'était pas connu des pilotes. Ils ont géré la situation, mais cela aurait pu être plus facile pour eux de connaître ce comportement. Ce comportement n'a même pas été documenté dans le manuel.

EDIT:
À partir du rapport d'enquête (grâce à @DeltaLima): Section 3.1

Les pilotes n'auraient pas pu connaître les caractéristiques spécifiques de réponse des commandes du système de vol lors d'un atterrissage avec vent de travers en rafales et n'ont donc pas été en mesure de les intégrer dans leur processus de prise de décision.

Et plus loin dans cette section

• Lorsque le train d'atterrissage principal gauche a touché la piste pour la première fois, l'état du système de contrôle latéral répondait ainsi à toutes les exigences pour la transition de Du mode vol au mode sol, le système est donc passé du mode vol latéral au mode sol latéral même si l'avion était à nouveau en l'air.

• L'avion a été conçu de manière à ce que l'effet des commandes latérales ( le long de l'axe longitudinal) réduirait d'environ la moitié de la déviation complète dès qu'un train d'atterrissage principal a touché le sol.

• L'effet réduit des commandes w comme non documenté dans la description du système et inconnu des pilotes ou du service de formation.

• Pendant l'atterrissage, le comportement du système de l'avion a contribué à une assiette de vol non voulue et indésirable par les pilotes et le contact au sol avec le bout d'aile ne pouvait plus être empêché.

L'un des problèmes avec les avions commerciaux est le nombre d'heures de vol que tout type d'avion donné verra et le grand nombre de conditions et de pannes différentes qui surviendront inévitablement pendant tout ce vol.

J'ai eu la tâche d'écrire le logiciel qui a validé les lois de contrôle des systèmes de gestion du centre de gravité de plusieurs de ces bêtes. Il n'y a vraiment aucun moyen d'analyser complètement tous les «modes de vol» possibles. Le système FCGMS n'était pas tout à fait dans la même catégorie que les commandes de vol, mais c'était un «système critique pour la sécurité du vol». Il y avait beaucoup de validations impliquées, et c'était juste un test purement fonctionnel, pas toute la vaste gamme de tests de niveau unitaire qui entraient dans le logiciel de vol. Le fait est que vous avez 20 boîtes sur ces avions, toutes faisant des choses critiques, toutes construites par des personnes différentes, etc.

En fin de compte, quelqu'un doit être capable de saisir le bâton et de TIRER! quand c'est nécessaire et obtenir une réponse directe. Il est tout à fait vrai que cette capacité peut être aussi souvent préjudiciable, mais vous ne pouvez et ne pourrez jamais analyser complètement le code et savoir ce qu'il fera lorsque des pièces tombent de l'avion.

Pensons à cela sous un angle différent. Parfois, ce n'est pas seulement l'intervention du pilote qui mettrait l'avion dans une attitude dangereuse. Maintenant, si l'avion est contraint de prendre une forte inclinaison, grimpe ou plonge sous des forces extérieures mais que le pilote est limité dans la réponse qu'il peut donner à l'avion pour qu'il s'ajuste ....

Pensez également au brouillard élevé. et les problèmes de communication. et deux avions sont en danger de collision. L'avion dit au pilote "non, vous ne pouvez pas vous incliner car cela nous mettrait en danger." Mais quand le truc proverbial frappe le fan, vous voulez un contrôle total pour tenter d'éviter une tragédie.

Vous pouvez répondre à votre question par un simple argument reductio ad absurdum. Si l'avion savait quelles entrées étaient sûres, alors pourquoi avoir un pilote?

En fait, les vols commerciaux modernes volent déjà presque automatiquement, et ils ont des mécanismes pour éviter les entrées potentiellement dangereuses. Le problème est que la détection des pannes est difficile car lorsque quelque chose a échoué, le système (selon la définition de l'échec) n'a pas de données valides pour prendre des décisions. C'est la même raison pour laquelle les fous peuvent ne pas savoir qu'ils sont fous. Le pilote est là pour prendre des décisions face à l'ambiguïté.

Bien sûr, parfois, le pilote prend également la mauvaise décision et l'avion s'écrase. Voir Air France 447.

Mais le plus souvent, ils prennent la bonne décision, et tout le monde vit. Voir le planeur Gimli.

En général, les limiteurs sont optimisés et conçus pour remplir une fonction ou une relation de rôle spécifique telle que le bâton arrière d'Airbus pour atteindre une AoA maximale lors de l'évitement du terrain. Cependant, tous les limiteurs ne sont pas infaillibles, malgré ce qui est annoncé par les fabricants. Les limites peuvent être dépassées en fonction de la manière dont les fonctions du limiteur et du FCS sont implémentées, par exemple en utilisant des manœuvres dynamiques telles que des poussées et des tirages répétés à une fréquence raisonnable ou des manœuvres soudaines à des vitesses pour lesquelles le FCS n'a pas été conçu ou dans des modes d'avion dégradés. Bien que ces possibilités existent, elles ne sont généralement pas pertinentes car il s'agit de cas de coin peu susceptibles d'être rencontrés.

À propos de l'accident de FA. Les bases du vol: PITCH, PUISSANCE, PERFORMANCE. Cela signifie que lorsque quelque chose ne va pas, vous déconnectez toute automatisation et obtenez le contrôle manuel du navire. La clé au-delà du PPP est que pour presque toutes les situations, en appliquant un pas, un réglage de puissance et une configuration (volets, lamelles, engrenage ...), vous vous ferez voler. Avec l'automatisation, ces choses ont disparu depuis longtemps. Pendant un vol, chaque heure, j'écrivais le réglage de la puissance, la direction du vent, la température (entre le carburant et d'autres choses légales). Ceux qui ont commencé à voler sans poussée automatique et sur des hélices turbo savent à quoi cela ressemble.

Les pilotes veulent avoir le contrôle de l'avion. Personnellement, si j'étais un ATP, je ne piloterais jamais un avion FBW automatisé comme un Airbus pour cette raison exacte.

Vous ne devez pas être dans une spirale de rotation ou de mort et découvrir que vous ne pouvez pas sortez de là parce que "l'ordinateur ne permettra pas cette entrée", et croyez-moi si vous êtes dans un avion qui entre en vrille, vous voulez très certainement que le pilote ait le contrôle PLEIN de l'avion.

Vous pensez peut-être: si l'ordinateur contrôle l'avion, il n'entre jamais en vrille. Non. Certains orages peuvent survenir très rapidement et de manière inattendue et sont si violents qu'ils peuvent forcer l'avion à prendre une vrille ou une autre attitude à laquelle l'ordinateur n'a aucune chance de réagir correctement. Les "bons" ordinateurs s'éteignent à ce moment-là.

Les avions FBW les plus avancés ont une fonction appelée "récupération automatique" qui leur permet de se remettre automatiquement de certaines conditions de décrochage, mais dans des conditions extrêmes, les changements d'attitude se produira si vite que vous aurez besoin d'un humain pour le faire.