Parole d'expert : la cause de l'accident

 

La cause de l’accident est l’absence de prise en considération du risque catastrophique de perte de contrôle à haute altitude en loi dégradée de commandes de vol en présence de vitesses erronées proches.

...

L’avion est sorti du domaine de vol connu d’après les essais en vol 50 secondes après le désengagement du pilote automatique et seulement trois secondes après le déclenchement de la première alarme décrochage complète.

Perte de contrôle de l’avion en décrochage profond suite au givrage simultané des sondes Pitot

• en présence d’une procédure décrochage inappropriée à haute altitude,
•  en l’absence de procédure de récupération de perte de contrôle,
• en loi de commandes de vol dégradée sans protection d’incidence avec des caractéristiques auxquelles les pilotes n’étaient ni formés ni entraînés à haute altitude,
• et en présence d’une alarme décrochage qui n’a pas rempli son rôle et ne respectait pas sa définition.

La perte de fiabilité, notamment des vitesses, occasionnée par la défaillance du système de réchauffage des sondes (couples calculateur PHC / sondes) a entraîné la transmission d’une cascade d’informations déroutantes, erronées ou inadaptées à la situation, vers les pilotes et les systèmes avion.

Tout comme les pilotes de l’A330-200 de la TAM en 2003, et comme les pilotes de ligne interrogés, le pilote en fonction de l’A330-200 ne pouvait que « réagir », après le désengagement du pilote automatique, à la déstabilisation indiquée par la perte d’altitude notable, associée à une vitesse verticale négative et à une alerte sonore d’écart d’altitude.

Afin de limiter l’effet de surprise constaté lors de l’incident grave de 2003, qui était occasionné par cette situation non documentée, il aurait fallu alerter les utilisateurs sur cette particularité de l’A330-200 associée au givrage multiple des sondes (diffusion au travers du manuel FCOM, des différences entre modèles, …) tout en précisant de ne pas tenter de rejoindre le niveau de vol … jamais quitté… ce, afin d’éviter une déstabilisation et une diminution de la très faible marge entre l’incidence en croisière et l’incidence de déclenchement de l’alarme décrochage dont le seuil est modifié en loi alternate sans protection d’incidence.

Malheureusement aucune de ces informations essentielles n’avait été diffusée vers les utilisateurs à la suite de cet évènement grave qui n’a pas fait l’objet d’un rapport public.

En 2003, le constructeur s’est satisfait du fonctionnement conforme à la conception (certifiée mais ni documentée ni enseignée) de ses systèmes, a blâmé les pilotes aux réactions excessives qui ont déstabilisé l’avion. Il fallait ne rien faire… le givrage des sondes ne déstabilise pas l’avion….

Or c’est la déstabilisation de l’avion, indiquée au poste de pilotage par une perte d’altitude notable associée à une vitesse verticale négative qui occasionne l’action à cabrer (as per airline pilot design) déstabilisatrice.

De plus, le BEA indique dans son rapport final (page 215 4.3.5) que la sortie du domaine de vol est possible dans cette loi de commandes de vol dégradée sans ordres longitudinaux de pilotage par l’absence de stabilité longitudinale positive et par la perte de la protection d’incidence.

Les pilotes du vol 447, tout comme ceux interrogés par le BEA, confrontés au givrage de sondes Pitot, en l’absence de message explicite d’alerte ou d’alarme, n’ont pas appliqué la procédure vitesses douteuses (Ce type de message existe mais n’a pas été présenté au poste de pilotage du vol accidenté). En revanche, l’avion a détecté très rapidement le dysfonctionnement des sondes Pitot mais il s’est contenté de la surveiller et a conservé cette information pour la diffuser… au sol …pour la future maintenance de l’avion.

Les barres de tendance du directeur de vol ont disparu trois secondes après le désengagement du pilote automatique et sont ensuite régulièrement réapparues malencontreusement, présentant des consignes de pilotage à cabrer allant à l’encontre de l’évitement du décrochage. La confiance accordée à leurs consignes dans un contexte d’informations primaires douteuses (vitesse, altitude, vitesse verticale...) a régulièrement conforté le PF dans son action à cabrer.

Les premières alarmes décrochage très précoces et furtives (pas de son du cricket), puis interrompues inopportunément à l’approche du décrochage, n’ont pas été jugées crédibles par les pilotes. La plupart des pilotes ayant eu des alarmes furtives précoces les ont ignorées.

Le constructeur, qui base son estimation du risque sur l’existence et l’application de procédures avait suffisamment d’évènements précurseurs à analyser pour en conclure que les procédures vitesses douteuses et alarme décrochage n’étaient pas appliquées en croisière. Il n’a pas pour autant réévalué le risque et pris en considération le risque catastrophique de perte de contrôle en croisière cependant bien présent, se satisfaisant de ses systèmes ayant agi conformément à leur conception (certifiée) et en dépit de l’hypothèse invalide retenue de non-synchronisme des vitesses erronées.

Lorsque, 38 secondes après la deuxième alarme décrochage tronquée interrompue inopportunément et trois secondes seulement avant la sortie du domaine de vol, a retenti la première alarme décrochage complète, la vitesse de l’avion avait diminué d’environ 60 kt et l’alarme était concomitante avec une forte accélération de l’avion indiquée par la speed trend. Les barres de tendance étaient alors apparentes et centrées.

Le PF a cependant appliqué la poussée décollage (comme la procédure décrochage inadaptée à haute altitude l’indiquait) alors que l’avion sortait du domaine de vol. Le couple cabreur engendré par l’augmentation de poussée a encore fait augmenter l’incidence de l’avion.

L’automatisme de pilotage de la gouverne du stabilisateur (qui agit sur l’axe longitudinal de l’avion) a entamé un déroulement automatique à cabrer continu jusqu’à sa butée sans information saillante au poste de pilotage de cette position extrême. Le stabilisateur restera dans cette position, entraînant l’avion dans un décrochage profond.

Il est à noter que le pilotage haute altitude en loi dégradée de commandes de vol (alternate sans protection d’incidence) n’était ni décrit correctement (notamment pas d’information sur le gain longitudinal figé à 330 kt qui entraîne une sensation d’avion mou en tangage sans aucune homogénéité avec la vivacité en roulis…), ni enseigné au simulateur. Par ailleurs le manque de retour sensoriel d’une diminution de vitesse en raison du fonctionnement du trim stabilisateur, qui demeure automatique en loi de commandes de vol sans protection d’incidence, a empêché la perception intuitive de perte de vitesse. La stabilité longitudinale neutre est censée n’être que tolérée sur avion de transport de passagers sous certaines conditions qui n’étaient pas respectées dans le contexte de l’accident.

Il faut noter que la discontinuité de l’alarme décrochage telle que vécue par l’équipage lorsque les trois valeurs de Mach étaient faibles (augmentation brutale du seuil de déclenchement de l’alarme de 4° à 10°) est inadaptée à haute altitude et ne répond ni à la définition de la certification (JAR 25, l’alarme décrochage doit être continue jusqu’à ce que l’incidence soit réduite à celle ayant initiée l’alarme) ni à celle de la documentation du constructeur (BEA Annexe 6, page 1 : l’alarme décrochage n’est pas affectée par la non fiabilité des vitesses car elle est basée sur l’incidence...).

***

Depuis l’accident, une directive de navigabilité a été émise par l’EASA en 2010 pour éviter une condition UNSAFE : lorsque deux vitesses sont proches mais erronées et donc prises en compte comme fiables (as per design) par les systèmes avion, il faut : ne pas suivre les barres de tendance si elles sont apparentes ou lorsqu’elles réapparaissent.

Depuis l’accident aussi, Jacques Rosay, pilote d’essai du constructeur, a recommandé, dans un article paru en janvier 2011 (dans le magazine d’airbus « safety first »), aux équipages confrontés en croisière à une loi de commandes de vol dégradée sans protection d’incidence (Alternate 2 ou Directe) de voler 4000 pieds sous le niveau de vol maxi recommandé. Il faudra donc quitter, la plupart du temps, le niveau de croisière en descente afin d’augmenter de façon significative la marge par rapport à l’incidence de déclenchement de l’alarme décrochage. Pour le vol accidenté REC MAX = FL374 (BEA page 104) il aurait fallu descendre au FL 330...

De plus, depuis l’accident, la procédure décrochage a été modifiée à haute altitude et une procédure de récupération du décrochage (stall recovery) a été créée. Le premier item n’est plus d’appliquer la poussée décollage, bien au contraire, puisque l’effet induit est une augmentation d’incidence sur ce type d’avion… mais de diminuer l’incidence, si nécessaire en agissant à piquer sur le stabilisateur (or celui-ci est allé automatiquement à l’encontre de cette consigne jusqu’à sa butée à l’insu des pilotes) et en réduisant la poussée.

Il est infiniment regrettable qu’il ait fallu un accident pour que de nombreuses informations essentielles à la compréhension des particularités des systèmes de l’avion et à de bonnes prises de décision avec effet de surprise minimisé, soient diffusées…. par le biais du rapport du BEA, de l’article de Jacques Rosay, des différentes expertises…

Il reste à espérer que le constructeur

·       a inséré toutes les informations ainsi découvertes et les consignes associées dans la documentation officielle de l’avion (FCOM), la seule à même de garantir leur prise en compte par les pilotes de ligne,

·        a modifié la loi de déclenchement de l’alarme décrochage afin de garantir une alarme continue lorsque le seuil de déclenchement est atteint et ce, jusqu’à diminution de l’incidence de l’avion sous la valeur seuil ayant entraîné le déclenchement, y compris quand le Mach est « artificiellement » faible, conformément aux normes certifiées.

 

Par ailleurs il demeure impossible d’affirmer que le réchauffage des sondes (Pitot, statiques, d’incidence et de température) et des pare-brise n’était pas en sous mode SOL au moment de la déconnexion du pilote automatique, à la source notamment du blocage des sondes Pitot, ce qui expliquerait le symptôme observé notamment sur la sonde d’incidence restée bloquée à 2,1° entre 2 10 05 et 2 10 51.

Cette hypothèse de dysfonctionnement du réchauffage des sondes en mode automatique est d’ailleurs prévue par le constructeur notamment dans la procédure vitesses douteuses puisqu’il inclut dans cette procédure – malheureusement noyé dans la masse- l’item Probe / Window Heat ON (BEA page 3 de l’annexe 6) requérant la mise sur ON du réchauffage des différents équipements, ce qui permet de surpasser le mode SOL.

Ce sous mode SOL des PHC n’était pas surveillé (paramètre non enregistré notamment) mais la recrudescence des incidents était consécutive à un changement de logiciel des PHC.  L’exploration de cette piste a été omise et le BEA n’a pas analysé cet item de la procédure. Ce potentiel dysfonctionnement commun aux trois systèmes de réchauffage déclarés indépendants était cependant une condition de mise en danger dont il était facile de s’affranchir par une consigne appropriée, à savoir mettre le réchauffage des sondes sur ON au plus tard en pénétrant en atmosphère givrante.