Потому что на этой схеме показана разница в колонке и отсутствии в МАХ прерывателя, когда ручка полностью на себя. Что и было в описании к этой картинке, иллюстрирующей еще одно отличие. Искать тут катофы бесполезно.
Извините за некропостинг.

The original Boeing document provided to the FAA included a description specifying a limit to how much the system could move the horizontal tail — a limit of 0.6 degrees, out of a physical maximum of just less than 5 degrees of nose-down movement.

ADVERTISING

That limit was later increased after flight tests showed that a more powerful movement of the tail was required to avert a high-speed stall, when the plane is in danger of losing lift and spiraling down.

The behavior of a plane in a high angle-of-attack stall is difficult to model in advance purely by analysis and so, as test pilots work through stall-recovery routines during flight tests on a new airplane, it’s not uncommon to tweak the control software to refine the jet’s performance.

After the Lion Air Flight 610 crash, Boeing for the first time provided to airlines details about MCAS. Boeing’s bulletin to the airlines stated that the limit of MCAS’s command was 2.5 degrees.

That number was new to FAA engineers who had seen 0.6 degrees in the safety assessment.

“The FAA believed the airplane was designed to the 0.6 limit, and that’s what the foreign regulatory authorities thought, too, ” said an FAA engineer. “It makes a difference in your assessment of the hazard involved.”
Итог: 0, 6 вероятнее отматывается «кнюппелем» за 10 секунд перерыва и не вызывало таких перегрузок. Но не помогало.
2.5 - перегрузки и не успевали отмотать качественно, условия для раскачки

И это даже неважно, это уже история.
А что делать дальше? Отмотку MCAS 0.6 и однократно введут снова, даже на кворуме датчиков, но это облётано и точно не работает.
2.5 не дадут ввести, уже 346 человек убили им.
И получается неустойчивый 737-8 в количестве 160-170 шт без решения по стабилизации и возможности сертифицировать его. Либо противозадирный парашют приделывать в хвост, либо ремоторизацию всем выпущенным самолетам на CFM, с возвратом LEAP производителю. А зачем ему мелкотравчатые версии Leap? И за чей счёт?

Пока с бюрократических высот все еще однозначно не провозглашено, какие именно пункты FAR 25 нарушаются при полном выкорчевывании MCAS.

Это вполне отчетливо указывает на то, что Боингу подыгрывают на самых высочайших уровнях, что выход истинный или формальный ищется в союзе с регулятором.

В редакционной статье Leeham news and analysis (LNA) "FAA готова действовать самостоятельно, чтобы возобновить полеты MAX", со ссылкой на мнение аналитиков платформы Melius, рассматривают процесс возобновления полетов Boeing 737 MAX и отмечают наметившийся глобальный сдвиг в роли авиационных регуляторов в вопросах приоритета сертификации продукции национальных производителей авиационной техники.
В этом месяце глобальные авиационные регуляторы встречаются по отдельности с Boeing и с FAA, чтобы понять вносимые исправления в MCAS и пересмотреть процесс сертификации самолета, и, FAA намерено проинформировать их о том, что сделано для проверки и сертификации обновлений MCAS.
На этой неделе Melius Research отметило призрачный намек на "захват власти" в области авиационного регулирования.

"Становится ясным, что осуществляется крупный захват власти проводимыми некоторыми региональными органами по сертификации, и, статус FAA в качестве бесспорного мирового лидера находится "под угрозой", " пишет Melius. Европейский авиационный регулятор EASA "занял твердую и независимую позицию, и, несмотря на давление со стороны операторов MAX в Европе, ожидается, что он будет медленно продвигаться в своих усилиях по повторной сертификации MAX. Кроме того, Администрация гражданской авиации Китая (CAAC) в настоящее время, похоже, каким-то образом связана с более широким вопросом по торговым спорам между США и Китаем и надеется воспользоваться редкой возможностью усилить свое влияние на мировой авиационной арене", - пишет Melius.
Предполагается, что на предстоящей встрече 23 мая комитета JATR, будут развеяны все опасения связанные с процессом сертификации MCAS. "Однако существует некоторая неопределенность в отношении того, когда итоговые документы JATR, полностью или частично, будут опубликованы, и, как это будет соотноситься с возвратом к эксплуатации MAX в различных регионах", - пишет Melius . "Из того, что нам сказали некоторые члены объединенной группы, а именно китайцы, они откровенно заинтересованы в затягивании процесса, чтобы лучше понять сложности самого процесса сертификации самолетов. Опять же, это может привести к неопределенности в графике повторной сертификации в некоторых регионах мира"
https://leehamnews.com/2019/05 ...
Как известно к данному моменту торговые переговоры закончились безрезультатно, и, обе стороны ввели повышенные торговые пошлины, что немедленно сказалось на падении рынков.
По смыслу, это означает, что наступило время для различных сенсационных сообщений выявленных в ходе расследования индонезийской и эфиопских катастроф. К примеру, для начала, о результатах заводских испытаний датчиков УА в первом случае, и, об обнаружении этих датчиков УА во втором, близ места катастрофы.

Не совсем так. Сначала в документах было 0.6 и все это увидели. Через некоторое время в документах появилось 2.5 - но это уже заметили не все, потому реакции 0. Прокол FAA - 100%.

Ещё ничего не было сказано, с какими углами оно будет работать в исправленном виде. Пока заявлено только вот что:

The additional layers of protection include:

Flight control system will now compare inputs from both AOA sensors. If the sensors disagree by 5.5 degrees or more with the flaps retracted, MCAS will not activate. An indicator on the flight deck display will alert the pilots.
If MCAS is activated in non-normal conditions, it will only provide one input for each elevated AOA event. There are no known or envisioned failure conditions where MCAS will provide multiple inputs.
MCAS can never command more stabilizer input than can be counteracted by the flight crew pulling back on the column. The pilots will continue to always have the ability to override MCAS and manually control the airplane.
http://www.boeing.com/commerci ...

И это всё все вместо вменяемой защиты управляющего сигнала путем
вменяемого резервирования и сопоставления , контроля параметров.
Вместо борьбы с причиной, борьба со следствием.

vasilf: да, это правда, боги соизволили сообщить что угол просто будет меньше и позволит парировать работу MCAS с помощью РВ и оставит запас расхода на перевод в набор. Т.е. существенно меньше 2.5, который был эффективен.
Посмотрим.

Переезд это следствие, а не причина. Хотя конечно, понятно, что имелось ввиду. Видимо слишком долго Boeing почивал на лаврах технических и технологических достижений, созданных предыдущими поколениями инженеров, что сформировалась привычка заливать все возникающие проблемы деньгами и лоббированием законодательных инициатив для их обхода. Более того, и на этом этапе, когда эти две авиакатастрофы вскрыли то что лежало, что называется на поверхности, от чисто инженерных недоработок с системой MCAS до организационных связанных с культурой производства как в коммерческой так и в военной сферах, руководство концерна не принимает мер по реорганизации менеджмента. По крайней мере, из того что вытекает из сообщений самой компании и авиационного регулятора.
https://wamu.org/story/19/05/0 ...
А ведь помимо явного конфликта интересов, между попыткой самой компании увеличить снизившуюся маржинальную прибыль основного производства за счет предоставления дополнительных услуг, вроде приобретения ForeFlight, ведущего поставщика инновационных мобильных и сетевых авиационных приложений, и финансовой группы представляемой членом Совета директоров Ларри Келлнером, есть проблемы и посерьезнее. И довольно сложно представить ее решение без серьезной модернизации и последующей повторной сертификации как уже выпущенных заводами самолетов, так и тех, что находятся в производстве. И хотя EASA и CAAC вслух вроде бы тоже говорят о процессе повторной сертификации системы MCAS, на самом деле понимают что речь идет о более серьезных вещах, наподобие существования уязвимостей, о которых ранее предупреждали различные эксперты по кибербезопасности.
https://www.forbes.com/sites/t ...

Вообще-то нажатие на переключатель прерывает цикл, и можно открутить в любое положение, хотя бы и в первоначальное. И на ранее приведенных графиках это видно. Понятно, что если "спустить с рук", то будет повторяться до упора... Но вот почему недотриммировали, почему бросили и "спустили с рук" - это вопрос. И виновата в этом только лишь эта система, или что-то ещё - тоже толком не ясно. Ведь кроме этих двух случаев был и третий, где отключили привод и благополучно вернулись...

Боинг всегда такие вещи делал средствами аэродинамики. Без пилонов номер уже не прошёл. Кстати, у 320neo впервые в практике Аэробуса обнаружил то, что Боинг и Дуглас применяли с начала 1970-х:
https://airbus-h.assetsadobe2. ...

Так что если кому-то не хватило средств аэродинамики, то кому-то уже и средств автоматики маловато стало.;)

А вот хз какой там будет угол.

Все же я это вижу как результат отдаления от трудового народа. В Сиэтле шефа встретили бы на улице, благо он бы там каждый день гулял, и рассказали бы, что происходит.;) А Чикаго далеко.

Благодарю! А что такое катофы, которые ищутся?

Виноват, cut out. Речь ведь была об этих двух тумблерах?
Приведенная схема была иллюстрацией в одном из обсуждений к "испарившемуся" на МАХе "Column Cutout Switch"
Который был в блок-схеме для NG
https://www.p prune.org/10438087-post3039.html
и позволял инстинктивным движением на себя прервать команду автопилота/STS сразу, не обрубая при этом ручное управление электромотором стабилизатора.
Если понял правильно....

Что твит животворящий делает!
Акции Boeing упали почти на 5% на биржевых торгах в понедельник и следом потянули падение индекса Доу-Джонса, поскольку усиливающаяся торговая война между США и Китаем оказала дополнительное давление на авиастроителя, пишет CNBC.
Большая часть падения акций произошла после того, как редактор китайской газеты Global Times предположил в твиттере, что Китай может "сократить заказы Boeing" в качестве одной из своих ответных тактик в торговой войне. Global Times - это государственная организация, тесно связанная с правительством.
Boeing и Китай становятся все более важными друг для друга. По оценкам Boeing, около трети заказов Boeing на его основной самолет 737 Max поступают из Китая.
Заказанные более 4000 самолетов 737 Max, чьи полеты были приостановлены после двух авиакатастроф, составляют большинство заказов Boeing из более чем 5600 заказов.
https://www.cnbc.com/2019/05/1 ...
Различного рода аналитики, в частности из Bloomberg, полагают что предположение Global Times сделать Boeing мишенью в качестве ответных действий Китая вполне реалистично. Другие издания считают, что власти Китая пойдут еще дальше, и, "что вслед за торговой войной они готовы развязать валютную войну и искусственно опускать курс юаня по отношению к доллару — это позволит китайским компаниям оставаться конкурентоспособными невзирая на рост тарифов".
https://news.yahoo.com/boeing- ...
https://lenta.ru/brief/2019/05 ...

Да, теперь после "боингоповала", отголоском сокращения заказов которого нынче задавило какого-нибудь еле дышащего сиэттлского бедолагу, легко представить мимолетный эпизод в будущем голливудском политическом триллере "Крутое пике". Об его встрече у заводской подворотни со своим шефом внезапно прибывшим из второй финансовой столицы США на оперативное совещание по сертификации комплектующих для авионики 737МАХ: "И он, бедолага, чуть слышно, печально: Ты видел Чикаго? Ну, как там, нормально?":)
https://www.youtube.com/watch? ...
К слову о том, каков мог быть сюжет этого голливудского блокбастера. Скажем, прототипом главного героя мог бы выступить "серый кардинал" из Голливуда, Гарри Слоун (Harry Evans Sloan), сколотивший состояние в скандинавских странах создав там медиа-империю и пытающийся возродить былое могущество MGM (Metro-Goldwyn-Mayer). О финансовом гении, чей отец работал в компании Douglas Aircraft и который успел побывать и представителем США в Китае по торговой политике во времена Рейгана, поддерживал демократический штаб Хиллари и впоследствии создал многомиллиардную империю в области применения технологии IFE в авиации, внедрив своего представителя в Совет директоров Боинга. Как приверженец идеи глобализма, но в тоже время поддерживая политику "климатических изменений", он выступает против переноса производства авиастроителями из США в страны ЮВА, считая что такая идея пагубна для самой Америки. А также, выступает против освоения Арктики, в частности, добычей США углеводородов арктического шельфа Аляски, подспудно финансируя фильмы на эту тематику. И далее, используя свои обширные связи в финансово-политических подворотнях в различных частях света, в Европе, Азии и Африке реализует свой радикальный план "подъема с колен" трудового народа Америки, включающий и "боингоповал". Как Вам такая новая реализация старой сюжетной линии о том как "хвост виляет собакой"?:)
https://alchetron.com/Harry-E-Sloan

А трос провернуться на шкивах не мог ?

Нет. Потому, что не шкив, а барабан (оба два), и концы троса заделаны в барабанах. К тому же трос не силовой, скажем так. И при электрическом управлении он нужен только, как своеобразная обратная связь - крутится и "чихает" колесо, плюс привод механического указателя положения. Сами же двигатели (точнее - двигатель) находится непосредственно на редукторе (приводе). Если же по какой-либо причине (в свете забытых плоскогубцев или что там ещё...) трос порвался, но на записи самописца не услышим характерного "чихания".

..."но на записи"... то есть - "то на записи".

Не забываем, что привод стаба винт-подшипник ball-screw, там коэффициент передачи 10:1 не меньше

К сожалению, сколько оборотов колеса надо на перекладку в один градус (он же один "юнит") проверить не могу, а таких табличных данных нет, т. к. это не является регулируемым параметром. Понятно, что вручную крутить дольше, чем электромотором...

А в итоге стабилизатор победил и кабрирующий момент двигателей и пилотов с их штурвалом.
"Так не должно быть" (с) слова из песни.

Сегодня, 15 мая, в Конгрессе США пройдут очередные слушания представителей FAA и NTSB под названием "Статус Boeing 737 MAX". В рамках проводимого надзора за расследованием, председатель подкомитета по авиации Комитета по транспорту Сената, Рик Ларсен ожидает, что агентства ответят на некоторые важные начальные вопросы, включая:
"Каковы были решения FAA относительно сертификации 737 MAX?
Какова была роль FAA в процессе авторизации организации (ODA), а также роль агентства в определении оценок риска, назначенных для ключевого оборудования для обеспечения безопасности на воздушном судне, в частности, датчиков угла атаки (AOA) и Системы увеличения характеристик маневрирования (MCAS)?
Какова была роль FAA в разработке соответствующей подготовки пилотов для 737 MAX, включая возможности для участия пилотов и взаимодействия с Boeing в соответствующих руководствах по полету?
Как NTSB сотрудничает с иностранными следственными органами и каково представление агентства о предварительных отчетах об авариях JT610 и ET302?"
Ларсен резюмирует: "Расследование в Комитете только начинается, и для того, чтобы получить ответы, потребуется некоторое время, но сейчас ясно одно: у FAA есть проблема доверия. FAA необходимо решить проблему доверия. Комитет будет работать с FAA, поскольку он восстанавливает доверие общественности и международного сообщества к своим решениям, но наша работа заключается в надзоре, и Комитет будет продолжать серьезно относиться к этой роли".
https://sanjuanislander.com/ne ...

https://boeing.mediaroom.com/n ...
Очередное заявление Боинга.
Катастрофы усиливают безопасность полетов.

В марте месяце спрашивал тут об этом. На PPRuNe натолкнулся на ответ, но, увы, уже склероз или что хуже, ибо всплывает две цифры 15 и 30.
Но как оказалось там еще есть фактор силы, т.е. на приличной скорости нужно крутить вдвоем, а пилотирующий в этот момент в обнимку со штурвалом
Вот тут один не справился. Хорошо на тренажере. Потому и видео задорное
https://vimeo.com/329558134
Так что когда дергать рубильники, последовательность действий не описанная в известном бюллетене после индонезийского случая - имеет значение. И чек лист на увод стаба вполне может привести в ловушку с попыткой включить обратно ручное электрическое управление (вместе с MCAS, ибо МАХ с "незначительными" изменениями), как это сделали в Эфиопии. Это уже "ИМХО".

Интересно, насколько часто мелькает слово software или слышно в выступлении главаря
https://twitter.com/BoeingCEO/ ...
Хотя проблема не в ПО, оно не сбойнуло, как пытаются представить, а пунктуально выполнило то, что было в задании и что в конечном счете было сертифицировано. И все это пытаться замазать патчем, пусть и серьезным ПО? Или таки были сообщения о перетруске унутри компании?

Пилоту не вернут возможность пользоваться ручным электроуправлением стабилизатора при отключенном FCC или почти мгновенно прервать его работу взятием "на себя", сохранив при этом возможность триммироваться кнюппелем?

А видео такого больше и нет...
https://vimeo.com/329558134
What's it like to try to trim a 737 MAX during high speed (Video)
MP runaway trim manual trim recovery condensed NG simulator |

Теперь оно часть видео с достаточно полноценным объяснением. Можно включить субтитры и перевод, остальное достаточно наглядно.
https://www.youtube.com/watch? ...

Перл от криворуких разработчиков.

Радость для кнопкодавов :)

Boeing завершил обновление ПО для 737 MAX после катастрофы Ethiopian Airlines

После катастрофы в марте 2019 года и последовавшей приостановки эксплуатации этой модели самолеты Boeing 737 MAX с модифицированным ПО по состоянию на 16 мая провели в воздухе 360 часов в ходе 207 полетов, отмечается в сообщении компании. Как только Boeing предоставит регулятору необходимую информацию, стороны будут договариваться о сертифицированном испытательном полете лайнеров.
"Поскольку безопасность является нашим очевидным приоритетом, мы завершили все летные испытания обновленного ПО и готовимся к финальному сертифицированному полету", - сказал глава Boeing Деннис Меленберг, отметив, что компания готова предоставить американским и международным регуляторам все необходимые сведения.
https://www.interfax.ru/world/ ...

ЗЫ: Почему водитель автомобиля имеющий права на ручную коробку также может управлять автомобилем с автоматом, а водитель с правами на автомат не может управлять механикой? Информация к размышлению :)

- Пилоты, готовы к дурацкой ситуации "увод стаба" на пикирование на самолете с 250-ми пассажирами ?
- Всегда готовы ! .. Отключить электроуправление стабом . И лишиться средств стабилизации.
- Готовьтесь к проказам Автомата Тяги
- MCAS, вернись !

А у конкурентов этой дурацкой ситуации быть не может !
Потому что задание для ПО проектировали авиа специалисты, а не школьники.

Вот ещё Боинг признал, что симулятор неадекватно показывал работу MCAS, признал конечно громко сказано. Сказали что допилят софт чтобы отражать реальные нагрузки на колесе при ручном триммировании.
https://news.yahoo.com/boeing- ...

Значит версия Боинга что пилоты тренировали такой отказ и могли парировать его штатными процедурами - разваливается. Ох дождутся они полноценного расследования и судов с реальными обвиняемыми.

эта версия имеет реальное подтверждение, содержащееся в индонезийском отчёте, в судах это будет серьезным доводом.

The aircraft departed at 1420 UTC (2220 LT) at night time, the DFDR showed the stick shaker activated during the rotation and remained active throughout the flight. About 400 feet, the PIC noticed on the PFD the IAS DISAGREE warning appeared. The PIC handed over control to the SIC and cross checked the PFDs with the standby instrument and determined that the left PFD had the problem. The PIC noticed the aircraft was automatically trimming AND. The PIC moved the STAB TRIM switches to CUT OUT and the SIC continued the flight with manual trim without auto-pilot until the end of the flight.

не ухом ни рылом экипаж этот не ведал про козни mcas.

Разработчиком большей части авионики для 737MAX, в том числе ПО MCAS является UTC, а точнее бывшая Rocwell Collins, нынешняя Collins Aerospace. Эта же компания изготовляет авиационные тренажеры для 737 NG, а теперь и для MAX.
https://www.rockwellcollins.co ...
То, что "по словам Боинга, программное обеспечение авиационного тренажера было неспособно воспроизвести некоторые условия полета, аналогичные условиям во время крушения эфиопских авиалиний в марте или крушения Lion Air в октябре", компания объясняет тем, что "были только незначительные различия с NG, и, простые компьютерные и онлайн-тренинги могли учесть эти различия".
Так это или нет, тем не менее Боинг признал недостаток в ПО авиационного тренажера, но продолжает настаивать на том, что множественные "сбои были вызваны "цепочкой событий", из которых программное обеспечение Boeing и его датчики были только их частью".
Компания не раскрывает, что имеется ввиду под "цепочкой событий". Возможно это выяснится в ходе уголовного расследования Большого жюри. К примеру, прокуроры более 6-ти часов с пристрастием допрашивали авиационного инженера Питера Лемме и большая часть вопросов относилась к внутри корпоративным нежели к процедуре передачи полномочий по сертификации FAA компании Boeing. По смыслу это означает, что уголовное расследование копает "снизу вверх", а слушания в конгрессе "сверху вниз". И где-то они должны пересечься. Сильно сомневаюсь, что это будут инженеры Rocwell Collins, будь они хоть урожденными индусами, китайцами, русскими или евреями. Все они имеют квалифицированный допуск.

а надо сделать на консоли рычажек 3х позиционный (под крышкой) - двигатель управления стабом... нижнее положение:автомат, среднее:выключено (и желтая сигнализация), верх:ручное (краская сигнализация и звуковой сигнал). и рядом 3х поз. рычажек управления вверх 0 вниз. ну и колесики оставить...

посути доработка - 2 рачажка под крышкой.

Приветствую. После последней захватывающей игры в "чапаевцев" с форумным Самосой, Вас давненько не было слышно. Впрочем, как и многих других:)
Любые конструктивные изменения внесенные в 737МАХ приведут к много-месячной/летней процедуре повторной сертификации самолета, чего Boeing всеми силами пытается избежать.
Именно поэтому вице-президент Boeing Commercial Airplanes по разработке продукции и дальнейшему развитию самолетов, Майк Скинет отказался от сценария столкновения с птицами, которые могли вызвать последующие множественные сбои и начал уверять, что хорошо обученные пилоты, следуя надлежащей процедуре, могут безопасно справиться с подобной ситуацией, как пишет Wall Street Journal.
В отличие от него, как пишут авторы статьи в WSJ, Элисон Сайдер и Энди Пазтор, авиационные власти США считают, что удары одной или нескольких птиц являются наиболее вероятной причиной сбоя датчика УА на самолете Ethiopian Airlines.
https://www.wsj.com/articles/b ...
Нынешняя позиция Майка Скиннета о том, что "система может представлять среду с высокой нагрузкой - и это не наше намерение", вполне согласуется с мнением руководства Boeing Co о "цепочке событий". Вся хитрость состоит в том, чтобы провести процедуру сертификации ПО MCAS так, чтобы вернуть общественное доверие к FAA и Boeing не внося конструктивных изменений. И позднее втихую заняться тем, что стало первопричиной, которая обозначена в Законе об авиационной безопасности 2016 года и стратегическом плане по кибербезопасности FAA:
"пункт (II) Закона предусматривает: выявление и решение--
(аа) рисков кибербезопасности связанные с использованием в полете развлекательных систем (in-flight entertainment systems (IFE) ); а также
(бб) могут ли развлекательные системы в полете быть и должны ли быть изолированы и отделены, например, через воздушный зазор, в соответствии с существующими правовыми нормами, политикой и руководством".

Существует понятие "имитационное моделирование". Фильм "Матрица" наглядно раскрывает его смысл, если говорить совсем простым языком.

В случае с разработкой отказоустойчивых систем, методология подразумевает тестирование устройств разнообразными наборами входных данных.
С намеренным созданием искажений в полном диапазоне возможных значений.

И тут остается всего два варианта:

1) Код FCC во множественных копиях должен был суммарно "налетать" многие десятки тысяч часов внутри имитированной среды, создающей ошибочные значения входных данных во время "полета".
Критическая зависимость MCAS от одного датчика не могла себя не проявить, даже если вдруг допустить ошибку при проектировании.
Далее выявленные недостатки MCAS были намеренно скрыты. Мотивация - вопрос отдельный.

2) Код FCC не тестировался надлежащим образом. Может содержать множество еще неизвестных ошибок.


Второй вариант явно хуже первого. Но произошел скорее всего первый вариант, к сожалению.

картошка
В случае с разработкой отказоустойчивых систем, методология подразумевает тестирование устройств разнообразными наборами входных данных.
С намеренным созданием искажений в полном диапазоне возможных значений.
***
И кто будет проводить эти тесты?
Кто для поддержания летной годности в части применения качественных методов для уменьшения ошибок при разработке и последующих изменений ПО для цифровой авионики, должен оценивать ПО MCAS? Boeing? FAA? У них нет соответствующих специалистов.

"i. In general, the means of compliance described in this AC are not directly applicable to software assessments because it is not feasible to assess the number or kinds of software errors, if any, that may remain after the completion at· system design, development, and test.
Advisory Circular 20-115A dated August 12, 1986, "Radio Technical Commission for Aeronautics Document RTCA/D0-178A, " or later revisions thereto, provides acceptable means for assessing and control ling the software used to program digital computer-based systems. Document RTCA/D0-178A dated March 22, 1985, "
https://www.faa.gov/regulation ...
Параграф 8b циркуляра FAA AC 25.1309-1A делегирует полномочия в части оценки программного обеспечения руководящему документу RTCA/D0-178A или последующих изменений к нему. Таковым на сегодня, к примеру, является RTCA/DO-326.
Заключения, которые дают RTCA, UIT и SITA носят рекомендательный характер. Но, все может измениться, если процедуру сертификации решено будет изменить и они станут директивными и обязательными к исполнению.

2 KLN-90B
Приветствую, рад слышать.

как вообще получилось так, что система критически зависит от одного датчика? как она вообще сертификацию прошла?

Любые конструктивные изменения внесенные в 737МАХ приведут к много-месячной/летней процедуре повторной сертификации самолета, чего Boeing всеми силами пытается избежать.
---
вот тут немного бы упростить правила... для не серьезных доработок. (типа мной предложенных :-)))

Предположение о том, что "система критически зависит от одного датчика" было произнесено устами эфиопских следователей, которое оказалось созвучно предположению бывшего сотрудника Boeing и FAA, авиационного аналитика Питера Лемме. Он же давал интервью Seattle Times и он же, по счастливому совпадению, оказался тем кого вызвали на Большое жюри, хотя по выражению самого издания, он имеет весьма "периферийное отношение" к процедуре передаче полномочий по сертификации от авиационного регулятора к авиастроительной корпорации.
Boeing же, изменил свое признание в критичной роли "единственного датчика УА" на "цепочку событий".
Но ответ на этот вопрос прозвучал задолго до катастроф и его не стоит воспринимать буквально (про "запчасти" и "провал"). Ответ дал председатель Комитета по транспорту Сената США, Питер Де Фацио:
"Многие наши авиакомпании передали свое тяжелое техническое обслуживание за рубеж, где, как вы знаете, один преступник может поставить запчасть, которая может привести к критическому отказу в этом самолете. Один террорист может поставить запчасть, которая намеренно приведет к провалу (банкротству)", - сказал Де Фацио
https://www.nbcbayarea.com/new ...
Теперь его пророческие слова, учитывая продвигаемые им меры по реализации стратегического плана по кибербезопасности, следует трактовать гораздо шире.

"Многие наши авиакомпании передали свое тяжелое техническое обслуживание за рубеж, где, как вы знаете, один преступник может поставить запчасть, которая может привести к критическому отказу в этом самолете. Один террорист может поставить запчасть, которая намеренно приведет к провалу (банкротству)", - сказал Де Фацио

Можно разделить переставной стабилизатор на две части - так будет надежней !
А можно просто поставить на самолет современные вычислители с широкими цифровыми шинами для обмена параметрами и контроля
отказов ..
Тестировать при этом программную часть надо обязательно.

Таки снова бакланы...

https://yandex.ru/turbo?text=h ...

Вы тоже предполагаете, что Rockwell Collins поставляет устаревшую авионику и создает несовершенное ПО?
Вы вероятно помните, что в отношении Boeing угрозами Русди Кирана не ограничился и Lion Air Group 4 апреля 2019 г. внезапно подписала соглашение с AirFi Indonesia о развертывании портативной беспроводной системы полетных развлечений (IFE) во всех пяти своих дочерних авиакомпаниях.
https://apex.aero/2019/03/04/a ...
Напомню, что с мая 2017 года индонезийская компания оснащала свои самолеты 737 МАХ бортовой развлекательной системой Rockwell Collins CabinConnect TM с использованием спутниковой сети Inmarsat Global Xpress (GX). При этом надо полагать использовало для безопасности британскую платформу SwiftBroadband-Safety Services (SB-S).
Индонезийцам, как и эфиопам, чем-то не понравились заказанные ранее бортовые системы IFE. Может SB-S платформа должным образом не обеспечивала цифровые операции и безопасность полетов?
https://www.aircraftinteriorsi ...
http://airfax.com/blog/index.p ...

А вот Boeing и FAA она почему-то полностью устраивает.

Напомню также, что новость о создании 7 мая 2019 Технического консультативного совета с участием экспертов НАСА, ВВС и Минтранса совпало по времени с пресс-релизом британской компании по предоставлению услуг глобальной мобильной спутниковой связи Inmarsat, о том, что она получила окончательное одобрение FAA на свою платформу Inmarsat SB-S способной поддерживать обслуживание воздушного движения, обеспечивая прямую связь между пилотами и системой управления воздушным движением (ATC).
https://www.inmarsat.com/press ...
Чудно все это как то:)

И кто будет проводить эти тесты?
Кто для поддержания летной годности в части применения качественных методов для уменьшения ошибок при разработке и последующих изменений ПО для цифровой авионики, должен оценивать ПО MCAS? Boeing? FAA? У них нет соответствующих специалистов.
===


Уже давно (десятилетия) программисты сами не занимаются всеобъемлющим полнофункциональным тестированием своего кода.
Этим занимаются тестировщики софта, в том числе отдельные программисты, пишущие автоматизированные тесты.
Одновременно с разработкой составляются планы тестирования, в том числе автоматизированного.

В любой крупной компании тестировщики дают заключение о готовности продукта, а не разработчики.

https://jobs.boeing.com/search ...

Другими словами, Вы полагаете, что FAA делегировала полномочия по сертификации ПО MCAS от Rockwell Collins американской корпорации UTC и ПО платформы SwiftBroadband-Safety Services (SB-S) британской Inmarsat тестировщикам Boeing?:)

Так ыть это, было ж у старших братьев два "рычажка" (выключателя то биш), каждый для своей стези. ;-) Можно доработать и по-другому, оставив на том же месте те же выключатели. Но сделать так, чтобы выключение только одного (любого!) отключало бы лишь автомат, а выключение второго (т. е. обоих двух) рубило бы всё полностью. И тогда не надо будет думать, какой из них дернуть... ну или какой включить для только ручного триммирования, если вдруг выключили оба - включай любой один. Примерно как на этой схеме (показал только один полюс, для простоты):

http://s01.geekpic.net/di-G2UG ...

"...А можно просто поставить на самолет современные вычислители с широкими цифровыми шинами для обмена параметрами и контроля отказов..."

-------
Вообще-то так и есть - и цифровые вычислители, и межблочные шины, и сравниваются сигналы друг с другом... Но вот почему расхождение показаний датчиков не прекратило работу системы? Сложно сказать, почему так сделали... Например, как вариант, самолет близок к сваливанию (реально), но тут "напильник" не увернулся от флюгарки - и вот тебе расхождение. Что делать алгоритму? Бросить всё и сказать "дальше сам"? А если таки свалится, неудобно перед ребятами, может стоило бы и помочь? За кого выходить - за богатого или красивого? Вот (наверное) и решили из двух зол выбрать меньшее - ...отработать на пикирование. Тем более, что управление - ручное (!!!), и пилот находится (должен находиться!) в контуре управления и мониторить все параметры сам (раз управление ручное). Тогда, по замыслу, отказ был бы обнаружен пилотом и им были бы приняты меры. Но одно дело летчик-испытатель, хоть и заводской, но ожидающий, что "что-то будет". Другое дело - заурядный пилот авиакомпании... Как показала практика, это оказалось слишком сложно для тех, кто ничего такого и не ждет (зря...). Хотя эфиопы и были в полушаге от спасения, но, но, но... А что касается "многоуровневой автоматики", то чем больше "уровней", тем сложнее понять её логику и заметить её саботаж (а он когда-нибудь будет). На этот случай на А320 (в числе прочего) предусмотрена резервная механическая (!!!) проводка управления (это к вопросу о "тракторах").
Понятно, что это всего лишь мысли вслух...

Я о другом. Проблема практически наверняка была известна Боингу задолго до сертификации.

Все тестировали до сертификации. И субподрядчики (Rockwell и прочие) и генподрядчик (Boeing).

Отдельно тестируются агрегаты, отдельно тестируется их взаимодействие.
При помощи имитационного моделирования многие узлы и агрегаты тестируются еще до их физического производства.

Никто не будет тестировать свежий код FCC, только что из под пера программиста, на живом самолете, для этого полно соответствующих инструментов:
https://www.rockwellcollins.co ...

Тестирование готового самолета в испытательных полетах и сертификация это самая заключительная часть.