L’avion « fou » qui va mettre Airbus dans l’embarras…
Un incident récent peu médiatisé risque bien de relancer le débat sur la philosophie des commandes de vol Airbus. En effet, les pilotes d’un A330 asiatique qui s’approchait de son niveau de croisière ont vu le pilote automatique se déconnecter et l’avion se mettre en piqué sans qu’ils ne puissent le contrer, malgré une action coordonnée à cabrer sur les manches. Ils n’ont récupéré le contrôle de leur appareil qu’en déconnectant les trois centrales (ADR) qui fournissent les informations aérodynamiques aux calculateurs de l’avion, procédure non prévue au manuel de vol et non enseignée. Airbus a répercuté l’information le 4 décembre auprès des opérateurs de l’A330, avec des consignes de précaution associées en attendant de trouver une solution définitive au problème.
Mais quel problème ? Pourquoi cet appareil, subitement et sans raison apparente, s’est mis en piqué contre l’ordre des pilotes ? Pour le comprendre, il faut se souvenir de la philosophie Airbus en matière de commandes de vol et se pencher sur la notion d’angle d’incidence. L’aile des avions génère une force (la portance) qui est principalement fonction de la vitesse de déplacement dans l’air et de l’angle que fait l’aile avec ce vent relatif (incidence). Plus la vitesse diminue, plus il faut augmenter cet angle en cabrant l’avion pour conserver la portance et continuer à voler. Mais il y a un angle maximal (incidence de décrochage) auquel la portance s’effondre car l’air « décroche » du profil de l’aile. A cet angle, correspond une vitesse minimale de vol. Concernant Airbus, il faut savoir que depuis l’A320, les calculateurs ont, en vol normal, pleine autorité pour protéger le domaine de vol, même s’ils doivent pour cela contrer les ordres des manches. Ainsi, les pilotes ne peuvent théoriquement pas mettre l’avion en situation périlleuse, volontairement ou non. Par exemple, Airbus a longtemps affirmé que ses avions ne pouvaient pas décrocher car ses calculateurs vont donner un ordre à piquer lorsque l’incidence approchera de son maximum. Les vrais connaisseurs savent depuis le vol Quantas 72 (voir note 1), le Perpignan (voir note 2) et le Rio (voir note 3) que la réalité est un peu plus complexe…
En effet, les calculateurs qui protègent le domaine de vol agissent en fonction d’informations aérodynamiques (angle d’incidence, vitesse, altitude…) qui proviennent de capteurs. Dans le cas qui nous intéresse, 3 sondes d’incidence (AOA) dont les données sont comparées en permanence pour évincer toute valeur incohérente. Mais ni Airbus ni les autorités de certification n’envisagent que plusieurs sondes puissent fournir les mêmes fausses valeurs. Sur cet A330, il est probable que les sondes AOA ont givré à basse altitude, figeant ainsi définitivement la valeur d’incidence transmise aux calculateurs à sa valeur instantanée. Pour les calculateurs, pas de problème car les données sont cohérentes… mais une valeur qui était correcte à basse altitude devient anormale à haute altitude car l’incidence de décrochage diminue lorsque l’altitude augmente. En approchant de son niveau de croisière, l’avion s’est alors tout simplement protégé contre un décrochage qui n’existait pas, et a décidé, contre l’avis des pilotes, de piquer alors que le vol était « normal ». Heureusement, les pilotes ont eu l’idée de couper les 3 ADR qui fournissent les informations aérodynamiques. Privés de ces données essentielles, les calculateurs commandes de vol ont quitté le mode « Alpha Prot » (protection de décrochage) anormalement activé pour revenir à un mode de pilotage « Prot Lost » (sans protections) dans lequel les pilotes retrouvent autorité sur la machine. Il semblerait que ce soit également ce qu’avaient dû faire les pilotes d’essai d’Airbus qui n’arrivaient pas à récupérer le contrôle de leur avion lorsqu’ils ont reproduit le décrochage du Rio…
Quelles vont être les conséquences ? Tout d’abord, les compagnies ont rapidement informé leurs équipages de l’incident. Chez Air France par exemple, une information technique a été envoyée par Webmail avec SMS demandant d’en prendre connaissance rapidement. Airbus a recommandé aux exploitants de suspendre une modification (qu’ils avaient eux-mêmes demandé en mai 2012…) des platines qui supportent ces sondes, envisageant un facteur contributif. Problème : entre temps, l’EASA a rendu obligatoire le montage de ces platines sur les A320 (voir note 4) ! Drôle de casse tête pour les compagnies… Mais les conséquences les plus importantes sont sans doute à venir car Airbus voit son concept totalement remis en cause par ce quatrième incident impliquant ses calculateurs commandes de vol. En effet, il va devenir très difficile d’expliquer que leurs machines, dites de « seconde génération », sont infaillibles et offrent une sécurité supérieure aux avions Boeing dits de « première génération ». Après avoir historiquement considéré les pilotes comme les derniers remparts de la sécurité (première génération), puis considéré que la fiabilité des automatismes permettait de diminuer les exigences en formation (deuxième génération), il est probable que les calculateurs de la « troisième génération » devront s’ouvrir au CRM que nous connaissons bien pour aider de leur mieux les pilotes au lieu de les exclure de la boucle. Il faudra également que les normes de certification évoluent car, même si l’on dispose de 3 sondes indépendantes pour mesurer l’incidence ou la vitesse, il semble évident qu’elles peuvent fournir les mêmes valeurs erronées puisqu’elles sont situées dans le même contexte. Enfin, la contrition des programmes de formation a certainement déjà touché son point bas.
Ce débat n’est pas récent car je me souviens que, vers le milieu des années 1990, Bernard CHABBERT terminait une de ses émissions « Pégase » (voir note 5) par ces mots : « Ces avions sont devenus de plus en plus précis et cela doit avoir un corollaire, c’est que les gens qui pilotent ces avions doivent eux aussi être précis. Il serait dommage que, parce que les avions deviennent de plus en plus précis, on puisse croire, comme certains le font déjà, qu’on peut dégrader la formation des pilotes et compenser l’imprécision des pilotes par la précision des avions. C’est une erreur fondamentale, ce serait une catastrophe pour la sécurité des vols. » A méditer…
Note 1 : Incident du 7 octobre 2008 dans lequel un A330 de la Quantas s’est subitement mis en piqué, blessant plusieurs passagers et membres d’équipage. L’Australian Transport Safety Board a établi que l’ADR 1 avait transmis de fausses données aux calculateurs commandes de vol, notamment un angle d’incidence excessif. (Voir rapport complet sur le site de l’ATSB)
Note 2 : Accident du 27 novembre 2008 dans lequel l’équipage a perdu le contrôle de son A320 au large de Perpignan lors de la vérification du fonctionnement des protections en incidence (vol d’essai). Le BEA a établi que deux sondes d’incidence ont gelé pendant le vol, fournissant de mauvaises informations aux calculateurs qui les ont acceptées (2 données similaires sur 3). L’équipage a reçu de fausses informations sur le domaine de vol de l’avion et n’a pas réussi à récupérer le décrochage lors de la coupure des protections en raison notamment de la position plein cabré du Trim de profondeur et de la faible altitude. (Voir rapport complet sur le site du BEA)
Note 3 : Accident du 1er juin 2009 très médiatisé dans lequel le BEA a établi que les pilotes ont perdu les indications de vitesse en croisière en conditions givrantes, que les actions du copilote sur les commandes ont amené l’avion a décrocher sans que les pilotes n’en prennent conscience, qu’ils n’étaient pas formés pour faire face à cette situation, que la conception de l’alarme décrochage sur A330 a pu perturber la prise de conscience de la situation par les pilotes, et que l’avion s’est écrasé sans que l’équipage n’ait pu comprendre ce qui se passait, avec le Trim de profondeur en position plein cabré. (Voir rapport complet sur le site du BEA)
Note 4 : L’EASA (European Aviation Safety Agency) est l’organisme qui veille à l’application des normes de sécurité du transport aérien et qui est chargé de la certification des appareils. Le principe de fonctionnement des calculateurs commandes de vol est similaire sur les A320/A330/A340.
Note 5 : Bernard CHABBERT est journaliste aéronautique et pilote. L’émission de « Pégase » à laquelle il est fait référence était titrée « 330+340=777 » et abordait déjà la problématique des philosophies des systèmes de commandes de vol, du transfert d’autorité et de la formation des pilotes.
