Débats (2) : Le fonctionnement inapproprié* du directeur de vol (FD)

 

Comme nous allons le voir dans cet article, le directeur de vol a eu un fonctionnement inapproprié* après la perte des vitesses consécutive au blocage simultané des 3 sondes Pitot Thalès AA.

*Inapproprié. Définition : Qui ne convient pas à la situation. C’est le terme utilisé par le BEA et bien d’autres comme une incantation pour qualifier les actions du pilote sur les commandes de vol.

Avant d’accuser les pilotes de comportement aberrants, il faut examiner le rôle joué par l’interface homme-machine dans la survenance de l’accident. Nous verrons, au fur et à mesure de nos publications sur ce blog, que ce rôle a été important.

Le directeur de vol (FD) est un calculateur qui reçoit des informations (notamment de vitesse, d’altitude et de vitesse verticale) et en déduit des ordres à donner au pilote pour suivre la trajectoire sélectée (par exemple maintien de niveau de vol et tenue de cap) ou un taux de montée ou de descente prédéterminé. Ces ordres sont transmis par deux barres de tendance (vertes).

 Ici le pilote doit augmenter l’assiette et diminuer l’inclinaison à droite.

Entre le blocage des sondes Pitot et la sortie du domaine de vol connu, les barres de tendance des directeurs de vol sont régulièrement réapparues inopportunément transmettant des consignes inappropriées*.

Le BEA indique par exemple dans son rapport final :

Page 186 : Quatre secondes avant l’activation de l’alarme STALL 2, les barres du directeur de vol ont été à nouveau présentées sur les PFD. /…/ La barre horizontale indiquait alors un ordre légèrement à cabrer par rapport à la maquette avion. Le PF a exercé une action à cabrer qui a provoqué l’augmentation de l’incidence et l’activation de l’alarme de décrochage.

Rapport BEA page 187 : la présence du directeur de vol conduisant à afficher une assiette à cabrer a pu conforter le PF dans l’idée que l’alarme de décrochage n’était pas pertinente.

En conséquence, le BEA a fait les deux recommandations suivantes à l’AESA concernant les directeurs de vol :

– Que l’AESA (Agence européenne pour la sécurité aérienne) impose de revoir les logiques de réaffichage et de réengagement des directeurs de vol après leur disparition, notamment de revoir les conditions dans lesquelles une action de l’équipage serait nécessaire pour les réafficher.    

- Que l’AESA impose de revoir la logique de fonctionnement ou d’affichage du directeur de vol afin qu’il disparaisse ou présente des ordres adaptés lorsque l’alarme décrochage se déclenche.  

L’AESA a également émis plusieurs consignes de navigabilité à propos du réengagement automatique des FD en présence de paramètres erronés proches (vitesses ou incidences), malheureusement après l’accident.

Une consigne de navigabilité (AD) désigne un document qui impose des actions à effectuer lorsque le niveau de sécurité d’un avion peut être compromis.

Une de ces AD (No.: 2010-0271 du 22 Décembre 2010) concerne les paramètres de vitesse proches mais erronés. Cette AD requiert notamment d’amender le Manuel de vol constructeur (FCOM) pour incorporer la consigne suivante :

Lorsque le pilote automatique et l’auto poussée se désengagent automatiquement et que les commandes de vol passent en loi alternate, même si les barres de tendance ont réapparu, ne pas suivre les ordres des directeurs de vol, ne pas réengager le PA et l’auto poussée puis faire une vérification croisée des trois vitesses.

L’AESA indique que les ordres vers le pilote automatique peuvent entraîner des commandes brusques en tangage et que cette AD est émise afin de prévenir de tels évènements qui peuvent constituer une mise en danger. Il est à noter que les ordres transmis via les barres de tendance des FD sont identiques aux ordres qui seraient transmis au pilote automatique s’il était engagé.

Le BEA, dans son rapport intermédiaire, (2^ème rapport) indique page 55 que la réapparition des directeurs de vol lorsque deux vitesses, bien que de même grandeur sont erronées et faibles peut conduire à engager rapidement le pilote automatique qui commandera alors des déplacements de gouvernes non adaptés à la vitesse réelle de l’avion. Le suivi par un pilote des ordres du directeur de vol entraînera de la même façon des actions inadaptées à la vitesse réelle de l’avion.

Les pilotes du vol AF 447, tout comme les pilotes ayant eu auparavant des incidents de givrage des sondes, n’ont pas agi pour désengager les FD gauche et droit. En conséquence, conformément à la conception du constructeur, les barres de tendance sont réapparues lorsque deux vitesses erronées étaient proches.

Malheureusement la « cohérence entre deux vitesses » selon les hypothèses retenues par le constructeur, ne signifie pas l’exactitude des vitesses.  En effet, deux vitesses erronées, qui ont un écart entre elles inférieur à 16 nœuds (kt), seront considérées « valides ». C'est-à-dire que deux vitesses qui dérivent en parallèle (à 15 kt près) seront considérées exactes.

Les pilotes n’étaient à cette époque pas alertés du fait que deux paramètres erronés proches sont validés par les systèmes avion, notamment les FD (et le pilote automatique) et qu’il ne faut surtout pas suivre les barres de tendance (ni réengager le pilote automatique).

Selon le rapport final du BEA page 101, les barres de tendance sont restées apparentes trois secondes après la déconnexion du pilote automatique, en mode vertical de tenue d’altitude de croisière (ALT CRZ). Lors de leur première réapparition, entre les temps enregistrés 2 10 17 et 2 10 21, le mode vertical de réengagement était celui de capture d’altitude de croisière (ALT CRZ *).

Lorsque le PA s’est désengagé, les FD, qui étaient apparents durant trois secondes, ont dû indiquer des ordres à cabrer excessifs, inadaptés à la vitesse réelle de l’avion, inadaptés aussi à l’altitude et à la vitesse verticale réelles, ces deux paramètres étant également victimes d’une erreur dans ces circonstances, ce, spécifiquement sur A330-200.

Les barres de tendance ont été apparentes 27 secondes sur les 50 qui se sont écoulées entre le désengagement du pilote automatique et la sortie du domaine de vol exploré et ont régulièrement transmis des consignes à cabrer jusqu’à la sortie du domaine de vol, à l’encontre de l’évitement du décrochage ou de sa récupération.

La tentation de suivre les barres de tendance lorsqu’elles réapparaissent inopinément dans un contexte de saturation d’informations non pertinentes a été reconnue par le BEA. L’AESA qui a émis cette consigne de navigabilité requérant notamment de ne pas suivre alors les ordres des directeurs de vol a indiqué une possible condition de mise en danger.

Selon le jugement correctionnel, les barres de tendance représentent une aide précieuse très attirante, surtout dans une situation de difficulté de pilotage. La charge émotionnelle combinée à la charge de travail a contribué à ce que le pilote aux commandes fasse confiance au directeur de vol lorsque les barres de tendance réapparaissaient.

Le constructeur tente de se justifier en indiquant que le premier « memory item » de la procédure était la coupure des FD. Mais Airbus avait également indiqué que les « memory items » n’étaient pas à appliquer en croisière à haute altitude. Rapport BEA final page 130 : Airbus précise que les memory items sont destinés à être appliqués dans des situations compromettant la sécurité ce qui n’est pas le cas en croisière. Le jugement correctionnel mentionne page 71 qu’Airbus avait indiqué à Air France que les memory items ne doivent pas être appliqués à haute altitude.

Par ailleurs, le constructeur savait, au vu des incidents antérieurs (ISRO : In-Service Reportable Occurrence) que les pilotes ne coupaient pas les FD et il n’avait pas modifié sa communication pour alerter les équipages de conduite du danger que le suivi des barres de tendance représentait dans les situations de paramètres erronés proches. L’AD du 22/12/10 semble propice à permettre d’éliminer ce type de condition de mise en danger.

Le constructeur avait fondé son évaluation du risque sur un scénario (dit « scénario 22 ») qui excluait notamment, dans ses hypothèses (colonnes condition de panne et comportement système), la possibilité rencontrée lors du vol accidenté et de plusieurs incidents antérieurs d’avoir des valeurs de vitesse erronées mais proches. Par définition, dans le scénario utilisé pour l’analyse de sécurité, les paramètres de vitesse erronés sont supposés avoir des valeurs dissimilaires et telles que les écarts de vitesse entre deux ADR excèdent le seuil de comparaison de 15 kt. Airbus n’a pas cherché à réévaluer le risque en constatant que son analyse de sécurité reposait sur des hypothèses erronées, notamment celle-ci. Il n’a pas analysé les conséquences de cette condition de panne, en particulier ses effets sur les FD et les alarmes ECAM.

En conséquence, les directeurs de vol présentés aux pilotes sur les instruments de bord ont eu un fonctionnement inapproprié* comme, nous le verrons, d’autres systèmes sensés aider les pilotes dans la conduite du vol.