Selon le jugement (page 119) l’analyse des incidents (par le constructeur) vise à rapprocher ces derniers de pannes types décrites dans des classifications de pannes élaborées lors d’analyses de sécurité par le constructeur en vue de la certification ou à l’occasion du suivi de navigabilité… Une fois le rapprochement effectué, l’incident analysé reçoit le degré de criticité attaché à la panne décrite dans l’analyse de sécurité.
Nous pensions que l’analyse des incidents visait à améliorer la sécurité des vols…
Nous découvrons que, pour le constructeur, l’analyse des incidents vise à confirmer un degré de criticité attribué pour la certification (y compris avec des hypothèses retenues invalidées par certains évènements) en se satisfaisant du fonctionnement conforme à la conception certifiée des systèmes.
AIRBUS exploite les événements qui lui sont rapportés à la suite d'un ASR (rapport de sécurité aérienne) ou à la suite d'un rapport d'incident technique par la maintenance. Les évènements retenus sont classés comme ISRO (In Service Reportable Occurrence. Rapport d’évènement en service). En fonction de l'analyse des risques qui en est faite, ils sont soumis à I'EASA qui décide si des mesures correctives doivent être rendues obligatoires par la diffusion d'une Airworthiness Directive (consigne de navigabilité).
Les incidents de givrage des sondes Pitot ont tous été classés par le constructeur dans la catégorie MAJEUR, ne compromettant pas la sécurité.
En décembre 2008, Airbus a informé l’EASA de 17 évènements depuis le 12 novembre 2003 dont 8 pendant l’année 2008 en cours. Aucune explication n’avait été trouvée à l’augmentation du nombre d’incidents (de 9 évènements en 4 ans à 8 en moins d’un an). Entre le 12 novembre 2003 et le 31 mai 2009, 20 incidents ont été notifiés à Airbus. Sur ces 20 évènements, seules 8 analyses ISRO d’Airbus sont transmises à la justice concernant des évènements survenus, l’un sur un A330-200 de la TAM et les sept autres sur des avions de la compagnie Air France, six sur A340 et un seul sur A330-200.
Le 12 novembre 2003, un A330-200 de la TAM est victime de givrage des sondes Pitot au niveau de vol 360. Sur A330-200 cela occasionne une erreur altimétrique d’environ -350 pieds que tout pilote non informé de cette particularité cherchera à récupérer. Le constructeur indique que les pilotes appliquent des ordres importants à cabrer (jusqu’à la butée) après la déconnexion du pilote automatique puis des ordres importants à piquer après le déclenchement de plusieurs alarmes décrochage. Vingt six passagers sont blessés (blessures mineures selon Airbus).
Le constructeur indique qu’au moins deux sondes Pitot étaient affectées et que l’avion a réagi conformément à sa conception.
Il est regrettable que cet évènement n’ait pas fait l’objet d’une enquête publique approfondie. Cela aurait entraîné un supplément d’informations vers les pilotes et une formation en loi de pilotage dégradé à haute altitude.
En effet, il était urgent d’alerter les pilotes d’A330-200 de cette particularité d’erreur altimétrique spécifique à ce modèle et de leur demander de ne pas chercher à récupérer leur niveau de vol non quitté; il était important aussi de leur transmettre notamment les erreurs de vitesses verticales sur ce modèle qui, après le désengagement du pilote automatique sont négatives alors que l’avion est en montée, (figure 10 page 45 du rapport BEA).
Il était urgent aussi de former les pilotes au pilotage à haute altitude en loi de pilotage alternate sans protection d’incidence afin d’éviter les réactions vives sur l’axe longitudinal constatées lors de cet incident grave, en leur précisant que le gain longitudinal était figé pour une vitesse de 330 kt, très loin de la vitesse de croisière, entraînant une sensation d’avion mou longitudinalement, ce qui associé à une vitesse verticale erronément négative entraînait les actions excessives à cabrer constatées par Airbus après le désengagement du pilote automatique.
Lorsque l’on analyse les ISRO on peut constater que :
· L’enregistrement, sur A340 d’une seule vitesse sur trois (celle côté commandant de bord) et sur A330 de deux vitesses sur trois, ne permet pas une analyse précise des évènements, tout comme le non-enregistrement de la vitesse votée (« voted CAS »), c'est-à-dire la vitesse retenue comme valide par les systèmes avion (ce peut malheureusement être une vitesse invalide lorsque deux vitesses sont erronées et proches).
· De ce fait, la partie 3 (impact sur la navigabilité) de ces analyses utilise des expressions telles que : « scénario probable », « suspicion du scénario suivant », « le plus probablement dû », « scénario le plus probable » « et/ou », « en considérant les informations disponibles »
· Ces expressions montrent bien l’incapacité des analystes à valider un scenario avec si peu d’informations pertinentes.
· Cependant, la partie 6 (conclusion) indique qu’aucune donnée supplémentaire n’est nécessaire pour identifier le véritable scénario, ou qu’aucune action n’est nécessaire pour identifier le bon scénario.
· Le raisonnement des analystes ne semble viser qu’à vérifier que les systèmes de l’avion ont fonctionné conformément à leur conception (as per design). Ces mêmes analystes ne cherchent pas à remettre en question, dans le cadre du suivi de navigabilité, la validité des hypothèses de base de l’étude de sécurité ayant servi à l’évaluation du risque (réalisée en 1999). Or, dans cette étude, deux vitesses erronées ne peuvent pas être « cohérentes », c’est à dire proches au point d’être considérées valides par les systèmes avion et notamment ne pas déclencher les surveillances mises en place entraînant des messages ECAM spécifiques.
· Or les pannes types décrites dans l’analyse de sécurité (scénario 22) réalisée par Airbus en 1999 excluent les vitesses erronées proches (écart entre vitesses erronées inférieur à 16 nœuds) et les incidents au cours desquels les directeurs de vol sont réapparus pendant le givrage n’ont donc pas reçu de degré de criticité lors de la certification ou de la réévaluation du risque à la demande de l’EASA. Cette hypothèse erronée a été purement et simplement ignorée. Par exemple, l’ISRO de l’évènement du 14/07/08 classe, comme toujours, l’évènement majeur, en indiquant que le scénario 22 fournit une description de tous les types possibles d’incidents de vitesses divergentes… confirmant malheureusement que les incidents de vitesses erronées convergentes ne sont pas pris en considération.
Conclusions
Nous constatons qu’aucune mesure n’a été prise pour permettre une analyse détaillée et objective des évènements : notamment, la demande d’enregistrement des 3 vitesses, des 3 nombres de Mach et des 3 incidences.
Alors que les pilotes n’étaient à cette époque pas alertés du fait que deux vitesses erronées proches pouvaient être validés par les systèmes avion, notamment les FD (directeurs de vol) et qu’il ne fallait surtout pas suivre les ordres des barres de tendance, les analystes, qui ont constaté à plusieurs reprises la réapparition des barres de tendance des directeurs de vol dans ces conditions, n’ont pas pour autant remis en question les hypothèses de base du scénario ayant servi à l’évaluation du risque et ont cependant attribué aux incidents concernés le degré de criticité Majeur attaché à une panne qui n’était pas décrite dans l’analyse de sécurité.
Les exploitants, qui n’ont pas été destinataires du scénario 22, se fiaient à l’estimation du risque effectuée par le constructeur et étaient dans l’ignorance de la sous-estimation du risque dans certaines circonstances.
Le constructeur a négligé la réévaluation du risque demandée par l’EASA et s’est contenté de marteler risque Majeur « as per design ».
Le constructeur n’a pris aucune mesure pour améliorer la compréhension des pilotes. Lorsqu’il indique avoir fait des présentations, des conférences et des forums, il faut savoir que ces moyens de communication ne sont pas les méthodes adéquates pour cibler les pilotes de ligne. Toute information qui n’est pas retranscrite dans la documentation avion par le constructeur ne présente aucune garantie de réception. De plus, les conférences mentionnées par Airbus portaient sur les évènements à basse altitude qui ne soulèvent pas les mêmes problématiques qu’à haute altitude.
Pour preuve de l’inefficacité des mesures transmises verbalement aux dirigeants des compagnies aériennes au cours des conférences, l’interprétation par l’officier de sécurité des vols d’Air France des propos maladroits, tenus en conférence dite de sécurité par un pilote d’essai du constructeur, sur le buffet (vibrations) haute vitesse alors qu’il n’existe pas de vibrations pouvant être ressenties par les pilotes en situation de survitesse. Laisser penser que les vibrations sont le symptôme d’une vitesse élevée est inadapté et trompeur et peut conduire les pilotes à réagir à l’inverse de l’action adaptée à la situation (pages 56/57 du rapport de contre-expertise du 24/09/2018).
Aucun commentaire:
Enregistrer un commentaire