Le document donnant les références des éléments apportés par Catherine peut être téléchargé ICI
Ière partie : La sortie du domaine de vol et ses conséquences
Selon le BEA, le PA s’est désengagé à 2 h 10 min 05 s (BEA p. 24)
La première alarme décrochage complète a retenti à 2h 10min 51,4s (BEA CVR p. 251 note 17).
Et l’avion était sorti du domaine de vol connu à 2 h 10 min 54,1 s (BEA p. 95 note 18)
Moins de 3 secondes après le retentissement de la première alarme décrochage complète.
Quand j’ai pris connaissance du Jugement par l’association, j’ai été surprise de lire page 99 qu’Airbus indique :
Après la sortie du domaine de vol, les actions et omissions de l’équipage sont sans incidence sur l’issue fatale, rien ne permettant de démontrer que l’avion était récupérable,
Mais de lire aussi à quatre reprises dans ce même jugement (pages 87, 91, 99 et 103), par la voix d’Airbus, que
l’alarme décrochage a retenti de façon ininterrompue pendant 54 secondes …
… sans préciser qu’elle n’a retenti que moins de trois secondes avant la sortie du domaine de vol connu
et plus de 51 secondes hors du domaine de vol connu.
2 ème partie : L’analyse de sécurité qui a abouti au classement majeur des évènements de perte de fiabilité des vitesses en croisière était basée sur des hypothèses erronées.
Plusieurs cas étaient exclus de cette étude, mais ont été rencontrés par l’équipage de conduite du vol accidenté, entraînant des conséquences négatives sur leur conscience de la situation.
Tout d’abord, le scénario 22[1] de 1999 (ou analyse de sécurité sur les effets de paramètres de vitesse erronés) qui avait servi pour la certification de l’A340 avait été repris sans modification pour la certification de l’A330-200[2]. Il ne prenait pas en compte les spécificités dues au positionnement différent des prises de pression statique, qui occasionnait la nécessité d’une correction de Mach pour les indications d’altitude et de vitesse verticale, introduisant des erreurs sur ces paramètres dans le cas de givrage des sondes Pitot.
De ce fait, sur A330-200, à haute altitude une perte de fiabilité des vitesses occasionnait en plus :
· une diminution notable d’altitude indiquée
· associée une vitesse verticale indiquée négative crédibilisant la nécessité d’une action correctrice à cabrer
· d’autant plus qu’y était associée la plupart du temps une alerte sonore d’altitude.
En conséquence, la trajectoire indiquée par les instruments sur ce type d’avion, est déstabilisée et évolue vers une plus grande déstabilisation. L’avion indique être sous le niveau de croisière et en descente.
Il est à noter que ces spécificités n’apparaissaient pas dans la documentation du constructeur.
Ensuite, le scénario 22 excluait la possibilité d’avoir des vitesses erronées proches dont la différence était inférieure ou égale à 16 kt. Dans ce cas, les vitesses erronées proches étaient validées, considérées bonnes par les systèmes de l’avion, notamment les commandes de vol et les directeurs de vol…
· C’est la chute quasi-simultanée des vitesses gauche et droite qui a entraîné le désengagement du pilote automatique en présence des barres de tendance des directeurs de vol qui ne se sont désengagées qu’à la 4ème seconde. (BEA : connaissance partielle de la CAS2/ ordres recalculé des DV avec une précision douteuse notamment dans les 4 premières secondes (page 100)
J’émets l’hypothèse que dans la phase initiale de la chute des vitesses à gauche et à droite, les vitesses ont brièvement évolué en parallèle et que les barres de tendance des directeurs de vol ont alors donné un ordre initial à cabrer excessif, les barres de tendance délivrant des ordres inadaptés à la vitesse réelle de l’avion.[3] L’assiette requise pour maintenir le palier à faible vitesse est supérieure à celle nécessaire à la vitesse réelle plus élevée de l’avion et elle s’accroît encore pour récupérer le niveau de vol perdu et encore plus en présence d’une vitesse verticale négative.
· Tout le monde reconnaît l’attraction qu’exercent les barres de tendance des directeurs de vol dans un contexte de difficulté de pilotage (latéral en l’occurrence) et de surcharge informationnelle,
Et tout le monde reconnait aussi le danger de leur suivi dans ce contexte.
L’EASA s’en est émue et a déposé une consigne de navigabilité précisant notamment de ne pas suivre les ordres des directeurs de vol lorsque l’avion passe en loi de CDV ALT.
· C’est également en raison de la proximité des vitesses erronées qu’aucun message facilitant le diagnostic ne s’est affiché à l’ECAM avant que l’avion ne soit irrécupérable[4] .
De plus, l’analyse de sécurité ignorait la possibilité d’avoir, en croisière, trois Mach erronés inférieurs à 0,3.
L’alarme décrochage devenait alors inopérante à haute altitude, son seuil de déclenchement passant brutalement de 4° d’incidence à 10°, bien loin de la valeur adaptée pour prévenir un décrochage à haute altitude.
Cette situation catastrophique[5] (la perte des trois indications de vitesse, de l’alarme décrochage et des protections de vitesses est classée catastrophique) a été vécue par l’équipage lors de la phase initiale d’augmentation d’incidence et de diminution de la vitesse réelle, pendant au moins 4 sec, empêchant l’identification précoce de l’approche du décrochage[6].
Ce dysfonctionnement de l’alarme décrochage était
· contraire à la réglementation qui requiert que l’alarme décrochage retentisse jusqu’à ce que l’incidence diminue en-dessous de celle qui l’a déclenchée (CS 257 ?)
· et ne correspondait pas à la définition donnée par le constructeur ; l’alarme ne dépend que de l’incidence et n’est pas affectée par les problèmes de vitesses.
Pour finir, le risque était classé majeur dans le scénario 22 sous conditions de l’application d’une procédure et d’un entraînement adéquat des pilotes.
Or l’application de la procédure vitesses douteuses nécessitait son identification
Et l’entraînement était inexistant à haute altitude, le constructeur n’ayant pas transmis aux utilisateurs les risques perceptibles de perte de contrôle détectés lors de l’incident grave de la TAM en 2003 comme nous le verrons.
3 ème partie : L’analyse des évènements antérieurs par le concepteur n’a pas apporté de retour d’expérience efficace vers les utilisateurs ni entraîné une réévaluation du risque
Il n’a été tiré aucune leçon de l’incident grave de l’A330-200 de la TAM en 2003.
Pourtant le rapport brésilien indique que les fortes variations de vitesse verticale sont d’avantage dues à la difficulté de contrôler l’avion en loi de CDV dégradée qu’à la double commande qui a duré 8 secondes.
Ce rapport mentionne aussi que l’outil le plus efficace reste la formation des équipages compte tenu de la difficulté réelle pour celui-ci de retrouver le contrôle de l’avion après la perte de divers systèmes[7].
Pour autant,
· Airbus n’a pas informé les utilisateurs d’A330-200 de cet incident grave.
· il n’a pas non plus informé les utilisateurs des erreurs d’altitude et de vitesses verticales indiquées spécifiques à ce modèle en cas de givrage des sondes Pitot
· Airbus n’a pas transmis de supplément d’information sur ses systèmes (Loi CDV ALT2B : gain figé, petits inputs, faibles variations de poussée) ;
· Il n’a pas non plus requis de formation au pilotage haute altitude en loi de CDV sans protection et sans stabilité positive en situation de vitesses non fiables quoique l’équipage ait manifesté de réelles difficultés à contrôler l’avion dans ces conditions.
Il s’est contenté d’indiquer que l’avion avait réagi conformément à sa conception, de blâmer les actions excessives des pilotes sur les CDV et de qualifier encore le risque de Majeur.
Environ quatre ans et demi plus tard, en juillet 2008, commence une série d’évènements qui occasionne la demande de l’EASA de réévaluation du risque en novembre 2008.
En dépit des indices perceptibles à l’analyse de ces évènements, les différents C/R d’analyses d’Airbus (ISRO) n’ont pas permis de remettre en question l’hypothèse fausse de vitesses erronées divergentes qui a servi de base à l’analyse du risque et Airbus a persisté à définir celui-ci comme Majeur.
Le BEA, qui n’a analysé que 13 évènements de perte de fiabilité des vitesses, a cependant perçu sur plusieurs d’entre eux la non disparition ou la réapparition des barres de tendance des directeurs de vol en présence de vitesses erronées proches ainsi que le réengagement du pilote automatique à plusieurs reprises dans cette situation dangereuse car elle peut conduire à commander des déplacements de gouvernes inadaptés à la vitesse réelle de l’avion[8]
Il est étonnant qu’Airbus, qui avait à sa disposition beaucoup plus d’évènements à analyser, n’ait pas fait le même constat.
Il s’agissait pourtant, en présence de cette recrudescence inquiétante et inexpliquée, d’atténuer les risques en diminuant la quantité des occurrences et leur gravité.
Diminuer la quantité des occurrences ?
J’avoue avoir été étonnée de découvrir dans le rapport final du BEA, noyée dans la masse de la procédure d’urgence de vitesses non fiables du constructeur[9] une action à effectuer, omise dans la description de la même procédure qu’en fait le BEA[10].
Il s’agit de mettre le réchauffage des sondes sur ON.
L’usage du réchauffage des sondes prescrit par le constructeur est le mode AUTOmatique qui comprend deux sous-modes, sol et vol. La mise sur ON du réchauffage permet de surpasser le mode sol qui délivrerait notamment un réchauffage à intensité réduite des sondes Pitot et aucun réchauffage des sondes de température totale.
Or, la recrudescence des évènements semble concomitante avec la modification du logiciel des calculateurs de réchauffage des sondes (les PHC) qu’Air France a intégrée en 2008.
11 évènements Air France, en 3,5 mois entre le 14 juillet et le 31 octobre 2008 dont 6 avec ASR (rapport contre expertise D 10329/53 & 54)
Contre expertise : incident AF du 2 Septembre 2004 = signature typique du givrage des sondes Pitot et de T° totale
En conséquence, et sans présumer de la cause du blocage des sondes au cours du vol accidenté, ne doit-on pas considérer comme un défaut de prudence, de ne pas avoir demandé, par principe de précaution, aux équipages de mettre le réchauffage des sondes sur ON avant de pénétrer en atmosphère givrante, notamment dans la zone de convergence intertropicale ?
L’absence d’enregistrement du sous-mode sol et de l’intensité des réchauffages des sondes empêche d’identifier un potentiel dysfonctionnement du réchauffage.
Le sous-mode sol ne déclencherait pas d’alarme de réchauffage des sondes au poste de pilotage (<0,9 A)[11]. (ou > 6A). Cependant le message ACARS concernant les Pitot envoyé au sol par ACARS, s’il était paru à l’ECAM, renvoyait vers une procédure requérant en première action de mettre le réchauffage des sondes sur ON.
La liste des équipements minimum de l’avion indique que la fonction AUTOmatique peut être inopérante à condition d’utiliser le réchauffage des sondes en sélection manuelle, sur ON.
en apposant une étiquette INOP (MEL Item 30.31.06) TU A330 09.30.00.19.
Moyens de protection
Airbus avait reconnu, dans un article en décembre 2007, la difficulté potentielle à identifier la raison du désengagement du pilote automatique en présence de vitesses erronées, notamment en l’absence de message ECAM ciblé, alors qu’apparaissent de multiples drapeaux sur les instruments de pilotage, accompagnés d’alarmes visuelles et sonores.
Ce constat n’a pas suscité d’actions notables du constructeur.
Il s’est contenté de faire valider l’encadré de sa procédure, les items de mémoire, qui nécessite pourtant une compréhension de la situation pour être exécutée ///
et de préciser à Air France, qu’en croisière il n’était pas nécessaire d’accomplir les actions de cet encadré, l’avion étant stabilisé. ///
Nous avons cependant vu que la déstabilisation indiquée sur A330-200 occasionnait des actions déstabilisatrices.
Cependant, les lois de CDV dégradées étant, à priori toujours indiquées au poste de pilotage, il était possible, ce qui a été fait depuis, d’améliorer la sécurité des vols en améliorant les consignes associées au passage en loi de CDV alternate sans protection décrochage ni survitesse.
En effet, aujourd’hui, suite à la consigne de navigabilité émise par l’EASA[12], lorsque le pilote automatique se désengage et que l’autopoussée se fige, que les CDV passent en loi alternate, les pilotes ont pour consigne notamment de ne pas suivre les ordres des directeurs de vol.
La procédure développée Urgence/Secours Loi de CDV ALTERNATE sans protection ne contenait aucune recommandation concernant les directeurs de vol ou les actions sur les commandes de vol et la poussée, contrairement à la procédure en Loi DIRECTE qui indique de ne donner que de petits ordres et d’éviter les fortes variations de poussée.
De plus, à haute altitude, les pilotes savent désormais que, sans protection d’incidence, il faut descendre en-dessous du niveau de vol maximal recommandé moins 4000 ft afin d’augmenter de façon significative la marge par rapport au décrochage (trajectoire)[13].
Avec ces informations, l’équipage du vol accidenté serait descendu vers le niveau de vol 330 au lieu de cabrer l’avion, en raison de la déstabilisation indiquée au poste et en l’absence d’informations précises connues du constructeur.
Malheureusement, ces consignes n’ont été émises qu’après l’accident et la réévaluation du risque par Airbus n’a pas abouti à une prise en compte des réels dangers.
4 ème partie : La loi de CDV sans protection d’incidence et sans stabilité positive était inadaptée à la situation rencontrée
La stabilité statique non positive est censée n’être tolérée sur avion de transport de passagers que sous certaines conditions qui n’étaient plus respectées, notamment le contrôle adéquat de la vitesse sans charge excessive de travail… le contrôle adéquat de la vitesse, avec une marge de manœuvre réduite à haute altitude et en présence de 3 vitesses erronées me semble aléatoire, d’autant plus en l’absence de fiabilité de l’alarme décrochage lorsque 3 Mach sont inférieurs à 0,3 çà.
Le BEA précise que c’est la présence de protections d’enveloppe de vol qui rend tout à fait acceptable une stabilité statique longitudinale neutre[14]. Penserait-il comme tous les pilotes de ligne interrogés que, sans protections d’enveloppe de vol, la stabilité longitudinale doit être positive ?
L’absence de retour d’effort de la loi ALT empêche de percevoir une diminution de la vitesse réelle de l’avion, en raison du fonctionnement automatique à cabrer du stabilisateur.
Afin de limiter les risques de sortie involontaire du domaine de vol, en l’absence de vitesses fiables, il était nécessaire de rendre aux pilotes un contrôle manuel, et donc conscient du stabilisateur, la commande de vol la plus puissante sur l’axe longitudinal.
Airbus reconnaît dans son FCTM (page 11/21), que - je cite - des réactions instinctives et rapides sont le seul gage d’efficacité en situation d’urgence ou de stress [15].
Cependant, une loi de CDV hybride, dans le sens où elle ne rend pas la totalité des commandes aux pilotes, et non homogène (latéral et longitudinal) me semble contre-instinctive …
5ème partie : Il n’y avait aucune consigne de récupération de perte de contrôle en décrochage sur A330/340
S’il est vrai qu’une procédure générique tous avions n’a été créée qu’après l’accident, d’autres constructeurs indiquaient, dans leur documentation, les actions à effectuer, identiques à celles incluses aujourd’hui dans la nouvelle procédure[16]. (FCTM B737)
Airbus, dans sa documentation (FCTM) indiquait que, l’avion étant protégé, il n’était pas nécessaire de former les pilotes à une récupération de perte de contrôle, notamment en décrochage et ne donnait en conséquence aucune consigne de récupération.
[1] Scénario 22 TN 513.0356/99 page 79
[2] page 43 de l’ordonnance de non-lieu du 29 août 2019
[3] EASA AD 2010-0271 du 22/12/2010 UNSAFE CONDITION + BEA page 92
[4] à 2 12 54, BEA page 103
[5] D10329/74 contre expertise : la perte des trois indications de vitesse, de l’alarme décrochage et des protections de vitesses est classée catastrophique.
[6] BEA page 94 : entre 2 10 13,4 et 2 10 15,5 puis entre 2 10 17 et 2 10 19 au moins, les trois Mach ont des valeurs anormalement basses (trois sondes Pitot givrées)
[7] Rapport brésilien TAM pages 16 et 18
[8] Rapport final BEA page 92
[9] BEA final page 295
[10] BEA final pages 109 et 110
[11] Rapport de contre expertise pages 32, 33 & 35 et rapport d’expertise de 2012 page 301
[12] AD EASA 2010-0271 du 22/12/2010
[13] Article de Jacques Rosay, pilote d’essai Airbus
[14] BEA final page 193
[15] FCTM Airbus page 11/21
[16] Rapport BEA du B737 à Antalya immatriculé F-GFUF. Pour récupérer d’un décrochage, l’angle d’incidence doit être réduit en-dessous de l’incidence de décrochage. Un ordre à piquer doit être appliqué et maintenu jusqu’à ce que les ailes ne soient plus en décrochage. L’application du manche en avant (un ordre pouvant aller jusqu’à la butée avant peut être nécessaire) et l’utilisation du stab trim à piquer devraient fournir suffisamment d’efficacité à la profondeur pour produire un effet à piquer. Il peut être difficile de savoir quelle quantité de stab trim utiliser et il faut prendre soin d’éviter d’utiliser trop de trim. Arrêter de trimmer à piquer lorsque vous ressentez diminuer soit l’effort requis sur la profondeur soit le facteur de charge. Dans certaines conditions, sur les avions dont les moteurs sont montés sous les ailes, il peut être nécessaire de diminuer la poussée afin d’empêcher l’incidence de continuer à augmenter. Une fois l’aile sortie du décrochage, les actions de récupération de perte de contrôle peuvent être prises et la poussée ré-appliquée comme nécessaire. Soulager l’aile en maintenant une pression continue à piquer sur la profondeur maintient l’incidence de l’aile aussi faible que possible permettant la meilleure efficacité possible des commandes normales de roulis.
Aucun commentaire:
Enregistrer un commentaire