Philidor, vous dites ce qui est un constat.
Il n'y a qu'une réponse. Une petite cause (défaut du capteur ? bug dans un logiciel ?) a entrainé deux catastrophes.
La première était inévitable, le système et sa parade étant inconnus des utilisateurs : Direction Tribunal !
La deuxième c'est plus compliqué en termes de responsabilités :
• Le constructeur et l'administration avaient publié un descriptif du système, les symptômes du défaut y étaient décris et la correction à apporter par une procédure de secours simple. (Stab trim sur Cutout)
• L'incident survenu la veille du crash du Lion Air avait démontré que même appliquée avec un certain retard et plusieurs séquences d'activités l'application de la procédure de secours permettait le contrôle en pilotage manuel avec Trim Manuel.
• Dans un premier temps l'équipage de l'ET302 n'a pas utilisé le Trim de volant (?) autorisant ainsi le MCAS à une séquence complète de 10s /2°5, puis a tardé à appliquer la procédure de secours (Stab Trim sur Cutout), et n'a pas réduit les gaz alors que la vitesse dépassait les limitations pour aller jusqu'à 500 kts.
Alors, ça fait beaucoup ...
Philidor
Ce que je peine à comprendre, c'est pourquoi ce système a été initialement doté d'une autorité aussi forte, qui semble disproportionnée par rapport au besoin. Ce choix a forcément été délibéré, alors pourquoi ? Et pourquoi pense-t-on maintenant qu'un tel niveau d'autorité n'est pas nécessaire ?
Boeing dit que ce choix de 0.27°/s permettait une réactivité adaptée aux cas de sous-vitesse en basse altitude et d'inclinaison "forte" à haute altitude donc haute vitesse.
La séquence limitée à 2°5 initiait la sortie de la situation délicate et permettait au pilote de corriger l'erreur.
Si, à l'issue de 5 s la menace était toujours présente, une nouvelle séquence était initiée.
C'est cette succession de séquences qui, si le pilote n'intervient pas après 4 ou 5 inputs, devient dangereuse.
D'autant plus si la vitesse augmente au-delà du raisonnable ...
Il semble que la position actuelle serait de limiter l'évènement à une seule séquence, au pilote de corriger l'erreur une fois détectée.
C'est tout à fait ce que fait un Stick Pusher (ou un Stick Shaker) qui cesse son activité dès lors que le pilote a corrigé l'erreur.