AF447 : un accident d'une extraordinaire complexité

AF447 :  01 - présentation d'un accident d'une extraordinaire complexité

Salutations à Toutes et Tous,

Je me présente : Eolien, aviateur de passion, pilote de métier.
J’ai choisi ce pseudo loin d’une motivation écologique, mais en disciple d’Eole, le maître des vents qui m’a, tout au long de de ma vie dans les airs, protégé, accompagné avec bienveillance.

Il y a cinq ans, le 1er juin 2009, un Airbus A330 qui assurait la liaison de Rio de Janeiro à Paris s’abimait en mer, par une nuit tumultueuse du Pot au Noir, dans l’Océan Atlantique.

En quatre minutes et vingt trois secondes, deux cent vingt huit vies disparaissaient, autant de familles et d’amis étaient plongées dans le malheur.

Très vite les pilotes ont été tenus pour responsables. Les hypothèses sont allées bon train, la désinformation aussi, les politiques et les médias donnant une image accablante du rôle de l’équipage dans la perte de l’avion.
Des émissions de télévision ont mis en scène des acteurs jouant des rôles imaginaires, et des pilotes n’ayant jamais piloté ni un Airbus ni un Boeing de dernière génération faisaient tenir aux malheureux pilotes de l’AF447 des rôles de Tartuffe.

Les collèges d’experts, BEA, Expertise Judiciaire, Contre-expertise ont rendu leurs copies : déjà malmenés par le BEA, sévèrement critiqués par le collège d’experts judiciaires, les pilotes sont accablés par le collège de contre-expertise.

ite missa est !

Si l’on fait abstraction de toutes les pannes et anomalies des systèmes de l’Airbus, alors, effectivement, on pourrait tirer sur les pianistes.

Mon sentiment est que ce n’est pas juste : pour être équitable il faut comprendre pourquoi, à tel et tel moment, les pilotes ont eu telle et telle réaction et le pilote de ligne que j’étais n’a pas la même lecture des faits, ni n’accorde les mêmes priorités que les experts aux évènements et à l’enchainement des défaillances humaines et techniques qui ont précipité l’Airbus au fond de l’Océan.

L’accident de cet Airbus A 330 - 200 est d’une extraordinaire complexité.
L’enchevêtrement des erreurs humaines et des failles des systèmes de l’avion en font un écheveau dont il est bien difficile d’en tirer les fils.
Je vous propose donc d’essayer de regarder ensemble, seconde par seconde, et à partir des éléments tirés des différents rapports, ce qu’il s’est passé dans le cockpit de l’Airbus AF 447 Rio-Paris.

Eolien
La dialectique est l'art d'atteindre la vérité au moyen de la discussion des opinions.

Edit Administrateur : Ce sujet n'est pas ouvert aux commentaires, ceux-ci se font dans le sujet dédie ici :
https://avia.superforum.fr/t1524p20-af447-commentaires#49890

Rappel de la situation au 1er juin 2009 :

Connaissant la fin de l’histoire, il est facile de dire ce qu’il aurait fallu faire, comme tout lecteur d’un roman policier qui en connait après lecture toutes les arcanes peut dire comment déjouer les pièges de l’intrigue.

Le dernier commentaire d’expert est sans équivoque :
« l’accident est dû à la perte de contrôle de l’avion suite à la réaction inappropriée de l’équipage après la perte momentanée des indications de vitesses »
… qui se rapproche du BEA :
« - Les actions inappropriées sur les commandes déstabilisant la trajectoire …»
Certes, s’il y avait eu réaction appropriée il n’y aurait pas eu perte de contrôle de l’avion qui serait alors rentré à bon port …
« - Les actions inappropriées … »  Lesquelles ?… et pourquoi ?


Déjà, dans sa chute, l’avion avait parlé. Des messages automatiques avaient informé la Compagnie que l’avion était dans une situation désespérée :
24 messages ACARS dont l’un désignait un suspect, les sondes Pitot : ref 02:11:49



Quelle était la situation lors du départ de l’avion de Rio de Janeiro ?

Ce qu’il faut savoir sur l’historique des sondes Pitot.

La sonde Pitot est un tube réchauffé par un système électrique, le PHC (Probe Heat Computer), surveillé en cas de panne par le FWC (Flight Warning Computer).

L’air entre dans le tube, les précipitations, pluie, glace ou neige lorsqu’elles ont fondu sont évacuées par des trous de drainage. La pression d'air est transmise ensuite vers des systèmes où elle est étalonné en vitesse, paramètre alors délivré aux systèmes embarqués.

On ne peut pas s’exonérer d’un regard sur l’historique de ce couple sonde Pitot / PHC et des déboires qui ont balisé son existence.

Le premier Airbus A330 va devenir A 330 - 300 à la naissance de son petit frère l’A330 - 200.
Les Airbus A330 - 300 et A 340 ont le même fuselage.
 L’A330 - 200 est plus court.

C’est un fait essentiel dans l’approche de cet accident, nous le verrons plus loin car l’Airbus qui s’est abimé entre Rio et Paris était un A330 - 2OO.

Les sondes Pitot de la famille Airbus ont connu beaucoup de problèmes : saturation par fortes pluies sur A 320, givrage et blocage sur A 330 et A 340.
Espérant remédier aux dysfonctionnements répétés les sondes Pitot ont été tour à tour remplacées :
- 1993 : Rosemount
- 1996 : Goodrich
- 2007 : Thalès AA
- 2008 : Thalès BA
- 2009 : Goodrich
sans pour autant remédier à la situation, au contraire. :
43 cas de givrage d’une ou plusieurs sondes ont été recensées entre 2000 et 2009, les incidents allant croissant puisque 17 cas pour la seule année 2008 et 8 cas dans les mois précédant l’accident.

Inquiète pour la sécurité des vols, Air France a relancé le constructeur à plusieurs reprises. Des réunions, des échanges ont eu lieu, des courriers qu’Air France a remis au Juge d’Instruction.
http://www.liberation.fr/societe/01012304563-rio-paris-air-france-se-decharge-sur-airbus

Qu’elle a été la position de l’EASA, (AESA in english) organisme chargé de la sécurité ?
Deux mois avant l’accident :

BEA Rapport final, page 149 :
« l’AESA conclut, dans ce courrier, qu’à ce stade la situation ne nécessite pas de rendre obligatoire un changement des sondes Pitot sur la flotte A330. »

En marge de l’étude technique de cet accident, une partie d’échec se joue entre les différentes parties impliquées, les responsabilités étant considérables.

Les juristes vont devoir se pencher sur un autre aspect de cet accident.

Des questions très troublantes sont posées :
• Pourquoi les autorités n’ont-elle pas réagi à la dangerosité manifeste des cas répétés de givrage des sondes Pitot ?
Car il est en aviation un principe dit d'"Unsafe Condition" qui est de refuser un système présentant un risque évident.
• Le degré de criticité de la chaine de mesure de vitesse que la FAA (USA) a placé au plus haut niveau de dangerosité (Catastrophic) a été abaissé. Par qui ?
• Les changement de PHC introduits en 2008 ont-ils été fait, certifiés, selon les règles ?
• Les critères de redondances de systèmes critiques entre les chaines anémométriques CDB et secours répondent-ils aux règles du métier ?
• Les modifications apportées au FWC pour éliminer de brèves alarmes intempestives n'entrainent-elles pas la possibilité d'occulter des alarmes réelles ?

En avril 2009, Air France a décidé de changer les sondes Pitot Thalès AA par les BA.
L'approvisionnement en sondes a été effectif fin mai et déjà programmé pour être réalisé sur l'A330 qui devait rentré de Rio vers Paris, le 1er juin 2009 ...

D'autres incidents de givrage vont se produire après l'accident du Rio Paris entrainant un nouveau changement des sondes Thalès BA par des sondes Goodrich.

Ce qui n’a pas réglé pas le problème car, après l’accident du Rio-Paris et dans les 4 mois qui vont suivre deux cas de givrages vont être relevés avec des Thalès BA et deux avec des Goodrich …
Depuis, combien d’incidents de givrage de sondes Pitot  ?…

Eolien

Si le B777 MH370 a disparu sans laisser de trace, l’A330 du Rio-Paris a envoyé par ACARS 24 messages dans sa chute, (voir ci-dessus) dont l’un, ligne 02-11-49, pointait du doigt un suspect, les sondes pitot :


Les chaines qui ont déraillé :

Point 1 - La chaine anémométrique


Les avions ont toujours eu besoin d’une information de vitesse pour quantifier les limites du domaine de vol. Du premier anémomètre d’Albert Etevé (1911) aux SpeedTape des avions GlassCockpit, que de progrès …

Sur un Airbus A330, comment cela fonctionne ?


Figure 0 : la chaine anémométrique









L’air relatif pénètre dans la sonde dont le tube est réchauffé par le PHC (Probe heat Computer). Les précipitations glace et neige charriées fondent et sont évacuées par des trous de drainage. Le flux d’air circule dans des tubes jusqu’à un ADM, calculateur qui transforme le signal pneumatique en signal électrique.

Ce signal électrique est transmis à un ADR (Air Data Reference) qui élabore les vitesses (et les altitudes).

L’information de vitesse va ensuite alimenter un calculateur FMGEC (Flight Management Guidance Envelope Computer) qui à son tour va alimenter de ses savants calculs de nombreux systèmes embarqués.

Alors pourquoi ce blocage des sondes Pitot sur l’AF447 :
L’avion est entré dans un nuage chargé de cristaux de glace.

Figure 1 : le PHC ne parvient pas à réchauffer suffisamment les sondes où les cristaux s’accumulent, les obstruant peu ou prou.
L’air qui devrait circuler vers les ADM ne passe plus, ou peu. Les signaux électriques sont nuls ou plus ou moins faux, selon le degré de bouchage des sondes.




Figure 2 : soit les ADR ne reçoivent plus de signaux des ADM, soit elles intègrent des valeurs altérées et élaborent alors des vitesses erronées, ou pas de vitesse du tout lorsque la sonde est totalement bouchée.





Figure 3 : les vitesses nulles ou erronées transmises aux deux FMGC entrainent de graves conséquences dans les systèmes connexes.




Telle est la situation à l'instant du blocage des sondes Pitot.
Important : l'interaction des systèmes entre eux, la vitesse de la lumière à laquelle les électrons circulent, l'ordre dans lequel les sondes se bouchent entrainent une chronologie de l'apparition des pannes aléatoire. Selon les cas, tel ou tel système tombera en panne avant les autres. Ces choix se jouant à la micro-seconde.

à suivre avec la chaine altimétrique ...
Eolien

Point - 2 La chaine altimétrique :


Pour fournir une altitude un altimètre a besoin de la pression atmosphérique du lieu où il se trouve. Cette Pression Statique lui est délivrée par un prélèvement effectué à travers des trous situés sur le bord du fuselage.
Un lien vers une explication simple du fonctionnement d’un altimètre : http://lavionnaire.fr/InstAltim.php

(Un lien pour le « Badin » : http://lavionnaire.fr/InstAnemo.php où l’auteur parle des prises statiques)

Si les prises de Pression Statique sont correctement positionnées sur A 330 - 300 et A 340,



il n’en est pas de même sur A330- 200, car suite à un « mauvais » positionnement des capteurs de pression statique, de l’air dynamique pénètre dans les orifices et la pression relevée est supérieure à la pression statique réelle.



Une pression plus forte entraine une indication d’altitude plus basse.

« Sur Airbus A330-200 en croisière, en raison de la position des capteurs de pression statique, la pression statique mesurée surestime la pression statique réelle. La valeur mesurée doit donc être corrigée de cette erreur avant d’être utilisée pour le calcul d’autres paramètres. » (BEA Rapport final, Page 43)

Le constructeur a donc prévu un système de correction qui corrige ces erreurs dans tout le domaine de vol, pour toutes vitesses et toutes altitudes.

Le hic, c’est que cette correction est fonction de la vitesse.
Pas ou mauvaise vitesse  = pas ou mauvaise correction.
La perte de l’information de vitesse ou une vitesse erronée et les ADR délivrent une altitude plus basse que l’altitude réelle : Instrumentalement parlant, l’avion descend.

Voilà pourquoi j’ai fait figurer la pression statique et l’altimètre sur les schémas de la chaine anémométrique.
C'est un fait très important, lors de givrage de sondes Pitot, les altimètres des A330-300 et A340 ne bougent quasiment pas.
Sur A330- 200, l'altitude diminue, le variomètre indique une descente.

C'est ce qu'il s'est passé à bord de l'A 330 - 200 / AF 447, les pilotes ont subitement vu l'avion se mettre en descente.

à suivre ...

Résumé des Points 1 et 2 :

La perte des informations de vitesses en raison du blocage des sondes Pitot par accumulation de cristaux de glace que le système de réchauffage PHC ne parvient pas à faire fondre entraine par effet cascade la perte des modules ADM, ensuite des calculateurs ADR, puis des FMGEC et en bout de chaine des systèmes majeurs tels que :

AUTOMATIC PILOT (AP)
FLIGHT CONTROLS (Commandes de vol en Loi Normale Normal Law)
F/CTL ALTERNATE LAW (Loi dégradée ALTN LAW)
ALTIMETRES & VARIOMETRES
AUTO FLIGHT (AUTO FLT)
ENGINE THRUST (Auto-poussée ENG THRUST)
AUTO THROTTLE (Auto-manettes A/THR)
PITCH LIMIT (limitation d’assiette)
BANK ANGLE LIMIT (limitation d’inclinaison)
SPEED LIMIT (Alpha Floor, Alpha Max, VLS à VMO/MMO SDP LIM)
FLIGHT ENVELOPE (Protection décrochage)
STALL WARNING (Avertisseur de décrochage)
FLIGHT DIRECTOR (FD)
WINDSHEAR (Cisaillement de vents W/S)
RUDDER LIMIT (Limitation débattement gouverne de direction RUD TRV LIM)

Tous systèmes impactés à un degré ou à un autre dans les toutes premières secondes de l’évènement.
(couleurs que l'on retrouvera lors de l'affichage au cockpit)

Privé de l'information de vitesse , le correcteur de l'erreur de Pression Statique n'assure plus sa fonction et entraine une erreur altimétrique d'environ 350 ft, dont les conséquences sont la représentation d'une mise en descente sur les instruments de bord.

Ce sera l'objet du prochain Point 3

Point 3 : Le PFD

L’instrument premier de pilotage est un écran, le PFD : Primary Flight Display, qui regroupe les instruments essentiels nécessaires au pilotage de l’avion.

L’image ci-dessous présente le PFD de l’AF447 tel qu’il devait être juste avant d’entrer dans le nuage de cristaux de glace, l’avion est en mode Heading suite à un virage à gauche pour éviter une masse orageuse :



Sur l’image suivante quelques explications :




A gauche le SpeedTape, où s’affichent les vitesses sur fond gris, vitesse instantanée, vitesse cible, vitesses limites (survitesse MMO en damier rouge et basse vitesse VLS en bandeau ambre)

Au centre l’horizon artificiel (ciel bleu et terre marron), les barres vertes en croix sont celles du FD, Flight Director.

A droite sur fond gris l’altimètre et le variomètre.

En haut de l’écran, en vert, les modes de pilotage en cours. De gauche à droite :
Conduite des moteurs, navigation verticale, navigation latérale, Auto-Flight.

Au-dessus deux boutons, un rouge, le MASTER WARNING, associé à un gong, et un ambre, le MASTER CAUTION, également associé à un gong.
Toute anomalie ou panne activant le voyant entraine selon sa gravité l’allumage d’un des voyants et déclenche le gong associé.
Dans l’avion les deux Masters sont séparés du PFD et placés sur l’auvent. Ils sont ici placés accolés au PFD par commodité.

L’AUTO-THRUST gère la poussée des moteurs afin de maintenir la vitesse en turbulence de M.80, l’avion est en Mode de maintien d’altitude (FL350) et de maintien de cap, le Pilote Automatique assure le pilotage.

Que s’est-il passé au cockpit ?

L’avion est entré dans un nuage de cristaux de glace. Les défaillances des couples PHC/sondes Pitot entrainent le bouchage par cristaux de glace des 3 sondes.
Il est 2 heures 10 minutes et 5 secondes lorsque le premier évènement perçu au cockpit est la perte du Pilote Automatique, ici AP : Auto Pilot.

Dans le même temps où le Pilote Automatique se désengage, une alarme sonore retentit, un symbole rouge AP apparait sur le PFD (image ci-dessous), le voyant Master Warning s’allume rouge, son gong masqué par la charge de cavalerie de l’Auto Pilot.

Dans le même laps de temps une alarme s’affiche sur la gauche du FMA : THR LK, (Thrust Locked) ce qui signifie que suite à une anomalie le système de gestion des moteurs vient de figer la poussée à la valeur qu’il avait à l’instant de la panne.

Dans le même temps, l’altimètre perd 350 pieds, descente confirmée par le variomètre qui indique un taux de descente de 600 ft/mn.

Dans le même temps, la barre de Pitch (assiette) donne un ordre à cabrer.

Dans le même temps, l’avion part en virage à droite, sans qu’aucun ordre n’ai été exercé sur les commandes de vol.

Le copilote PF (à droite) qui en l’absence du commandant de bord détient l’autorité et assure la fonction pilotage annonce qu’il prend les commandes en manuel, prend en main son Sidestick et appuie sur le bouton rouge, ce qui stoppe l’alarme sonore.

Dans le même laps de temps, l’alarme sonore (C-Chord) d’écart d’altitude s’active, logiquement liée à la mise en descente intempestive et au fait que l’altimètre est descendu en-dessous de la valeur d’alerte de 250 ft. En fait,  l’avion est descendu à 350 ft sous le niveau initial.
La valeur d’altitude atteinte 34640 ft passe de vert à ambre et clignote. l’aiguille du variomètre qui indique une descente à 600 ft/mn se colore ambre et clignote, confirmant l’écart d’altitude. Une alarme sonore (C-Chord) retentit.

La réaction appropriée à un écart d’altitude étant de le corriger, le copilote tire sur son Sidestick pour remonter au niveau de croisière, et dans le même temps le bascule à gauche d’un coup de poignet pour stopper le basculement.

Rappel de la doctrine par le BEA :

« Tout écart doit entraîner une action rapide des pilotes, si nécessaire avant même d’analyser les raisons d’un mauvais fonctionnement de l’automatisme »

Deux faits vont perturber cette action du pilote.
(Nous sommes à H + 2 secondes)

à suivre ...

Point 3 : le PFD, suite :

Nous sommes toujours à, 2 peut-être 3 secondes après le blocage des sondes Pitot et les systèmes en panne entrainent des modifications sur les instruments de pilotage présentés sur le PFD.





Sur cette image, on constate :
• le message THR LK ambre qui clignote (Thrust Lock = poussée des moteurs figée),
• le mode de navigation verticale est passé en V/S  (Vertical Speed, suivi du variomètre),
• le mode de navigation latérale est passé en HDG (Heading, suivi du cap),
• AP rouge rappelle que l'Automatic pilot est hors service,
• les vitesses grisées car dans ces toutes premières secondes je ne sais trop ce qu'elles affichaient,
• l'altimètre, ambre, clignote,
• les barres du Flight Director ont disparues,
• le Flag rouge FD est affiché
• deux croix ambres sur les côtés de l'horizon artificiel (bank angle hors service)
• deux croix ambres sur l'horizon artificiel (Pitch Limit Indicator hors service)
• l'avion est incliné à gauche suite à l'action du copilote pour contrer la mise en virage à droite
• l'avion a une assiette d'une dizaine de degré à cabrer suite à l'action pour remonter au niveau de croisière.

C'est à peu de choses près la situation qui apparait sous les yeux des pilotes 2, peut-être 3 secondes après le début de l'évènement de blocage des sondes Pitot.

• Le Master Warning et le Master Caution sont activés et leurs signaux sonores respectifs sonnent dans le cockpit, se superposant selon des règles de priorité.

à suivre ...

Point 4 : l'ECAM :


Les avions de dernière génération sont auto-surveillés par de nombreux systèmes et, sur Airbus A330 par le FWC, Flight warning Computer, qui trie et génère les messages de pannes.

Toute anomalie ou panne est immédiatement analysée, triée, et présentée aux pilotes sur un écran, l'EICAS sur Boeing, l'ECAM sur Airbus.

BEA  :

Sur A330, l’ECAM propose des actions à effectuer dans la majorité des cas de panne ou d’urgence. A partir des informations disponibles à l’ECAM, l’équipage doit analyser et confirmer la nature de la défaillance avant d’entreprendre toute action de traitement de la panne.

Sur cette photo la flèche jaune indique l’écran ECAM où sont affichés les messages de pannes :



En pratique, dès qu’une panne est annoncée, les pilotes ont le réflexe de regarder l’ECAM pour y lire l’origine de la panne et la ou les check-lists associées, portes d’entrée vers des procédures pour traiter la ou les pannes en cours.

Que dit l'ECAM de l'AF447 ?
Voici une représentation tirée du BEA  3 secondes après le début de l'évènement :



Au lieu d'un message qui aurait orienté les pilotes vers la panne des sondes Pitot, l'ECAM égare les pilotes vers des pistes sans lien direct avec la cause racine :

F/CTL ALTN LAW (Prot lost)
Panne du système primaire des commandes de vol  Le système est passé en loi dégradée Alternate Law (sans préciser laquelle) et des protections de l'enveloppe de vol sont perdues.(sans préciser lesquelles).
Une information déroutante à plus d'un titre.
Quelle est la réaction d'un pilote à la lecture de ce message ? De lever la tête pour regarder au panneau supérieur l'état du panneau de commande des calculateurs des commandes de vol, s'attendant à y trouver un voyant fault allumé.
Les voyants du panneau de contrôle des calculateurs des commandes de vol de l'AF447 sont éteints.
Quelques secondes de perdues.

Retour à l'ECAM :
Max Speed ... 330/.82

BEA :
L’ECAM mentionne une vitesse maximum à ne pas dépasser mais ne fait pas mention d’une vitesse minimum, ce qui peut laisser supposer aux équipages que le risque principal est la survitesse. En l’absence d’indication de vitesse fiable, ceci peut contribuer à générer une action à cabrer protectrice plus ou moins instinctive.

Les moteurs étaient à une poussée croisière pour maintenir M.80, l'avion s'était mis en descente, pour le pilote l'A330 a accéléré et il était urgent de casser cette situation en relevant rapidement le nez de l'avion par une action à cabrer.

revenons à l'ECAM :

AUTO FLT :
Des anomalies, défaut, pannes, ont été détectées dans le système AUTO FLIGHT.

REAC W/S DET FAULT :

Le système de détection des Winshears, cisaillement de vents, est en défaut.

Résumé : alors que les instruments se dégradent sur les PFD, dans un même laps de temps de 3 secondes, l'ECAM propose aux pilotes des procédures dont aucune n'a de lien direct et explicite avec la panne originelle.

Point 5 : la maitrise de l’inclinaison.

L’ECAM l’a annoncé aux pilotes : les commandes de vol sont passées en loi dégradée Alternate Law.
Malheureusement ce message est inexact.
 L’avion est bien en Alternate Law sur l’axe de tangage mais est passé sans prévenir en Direct Law sur l’axe de roulis, dont le taux de rotation passe de 15°/s à 25°/S.

Cette particularité le la loi hybride Alternate Law 2B, les pilotes n’ont eu aucun moyen de la reconnaitre.
L'effet de surprise est total, comme le serait celui d'un pilote de voiture dont on doublerait d'un seul côté la sensibilité de son volant dans une série de virages ...

Ainsi, en voulant corriger la mise en virage intempestive de l’avion, le copilote a donné un coup de poignet qui aurait dû ramener les ailes à l’horizontale, mais qui, en fait, va faire basculer l’avion de l’autre côté. Nouveaux coups de poignet et l’avion bascule d’une aile sur l’autre.


Sur l’extrait de l’enregistreur de paramètres, DFDR, ci-après, qui représente ces oscillations sur l’axe de roulis, les deux courbes supérieures sont celles d’origine : celle du haut représente les inputs du Sidestick copilote, celle du milieu l’inclinaison de l’avion basculant d’une aile sur l’autre.
La courbe du bas est la même courbe du Sidestick copilote, inversée pour mieux faire apparaître l’antagonisme des actions.



Cette phase d’acquisition de la Direct Law va durer environ 20 secondes.

20 secondes pendant lesquelles le pilote avait sous les yeux son PFD en décomposition, (Point 3) l’ECAM qui lui envoyait des messages incompréhensibles, (point 4) et une ambiance sonore saturée de klaxons, gong, etc…
Aggravant l'ambiance de doutes et d'incertitudes, l'alarme de décrochage STALL, va retentir deux fois de manière inopportune, l'avion étant encore assez loin du décrochage.

Pour mieux appréhender ce problème, voici des photos d’un Sidestick en positions butée gauche et butée droite. (main positionnée pour laisser le champ libre au photographe …)

Point 6 : L’ECAM, encore …

Il est 02 h 10 mn 08 s lorsque la première publication de pannes est apparue à l’ECAM : (Point 4).

Cette série de messages de pannes ne va rester afficher que 2 secondes car à 02 h10mn 10 s le tableau ECAM se recompose pour annoncer de nouvelles pannes :



Le message AUTO FLT A/THR OFF signale une panne du système de gestion des manettes des gaz (AUTO THROTTLE)
En bleu rappel qu’il faut utiliser les manettes en manuel.
Le message F/CTL ALTN LAW est rejeté deux lignes plus bas.

Pour lire et interpréter le premier affichage, (Point 4), les pilotes ont eu 2 secondes alors que l’avion se mettait en descente, que l’alarme d’écart d’altitude s’activait, que l’Airbus se mettait tout seul en virage, etc.

Une tâche impossible sauf pour des pilotes surdoués ou ayant lu les rapports d’expertise et connaissant à l’avance le scénario.

Point 7 : Le système AUTO THRUST : A/THR

Le système de manettes des gaz AUTO THRUST des Airbus est totalement différent des manettes de gaz classiques, AUTO THROTTLE, (auto-manettes en français) qui par exemple équipent les Boeing de dernière génération, B777 & 787.

Alors que les (levers) Auto-Throttle se déplacent en fonction du régime (poussée) des moteurs, leurs positions  reflètant le régime des moteurs, les manettes Auto-Thrust d’Airbus sont placés dans un cran après le décollage et vont y rester jusqu’à l’atterrissage.(sauf besoin exceptionnel)

Deux boutons de déconnection sont placés sur les manettes pour les désengager et permettre la gestion de la poussée en manuel.



Sur Boeing, c’est extrêmement simple. le pilote appuie sur le bouton de déconnection à quelque position que soient les manettes et prends sur le champ la pleine autorité sur les moteurs.

Sur AIrbus, du fait de leur position dans un cran (cran CLB pour CLIMB), avant de les déconnecter le pilote doit d’abord les sortir du cran pour faire correspondre leur position au régime réel des moteurs à cet instant, c’est-à-dire entre le plein ralenti et la poussée CLIMB.

Pour ce faire le pilote doit abandonner du regard ce qu'il était en train de faire, repérer sur les instruments moteurs le cadran N1, repérer les petits ronds représentant les positions des deux manettes de gaz, déplacer les manettes pour aligner ces petits ronds en face de l’aiguille N1, et seulement cette procédure accomplie, déconnecter les manettes pour les utiliser à la main.



Tout cela alors que l’avion descend, puis remonte, que le pilote se bat avec son Sidestick pour contrôler l’inclinaison, que les messages de pannes défilent sur l’ECAM, que le cockpit résonnent des différentes alarmes sonores, que les Master Warning et Master Caution s’allument à tour de rôle quand ce n’est pas simultanément.

Le message AUTO FLT A/THR OFF associée de la consigne THR LEVERS … MOVE représente une charge de travail supplémentaire alors que l’équipage est déjà en sursaturation.

Point 8 : Bank Angle & Pitch Limit Indicator

L’A330 est protégé en inclinaison et en assiette.
 Ces protections sont symboliquement présentées sur le PFD en deux endroits :
Une paire de petites moustaches vertes de chaque côté de l’horizon artificiel pour l’inclinaison (Bank Angle Limit)
Une paire d’un signe = vert 15° sous l’horizon sur le dessin ci-après.(PLI Pitch Limit Indicator)



Lorsque l’avion passe en loi dégradée Alternale Law 2B, ces protections ne sont plus actives et les symboles sont remplacés par des croix ambres :
C’est ce qu’il s’est passé à bord de l’AF447. Des croix ambres sont apparues sur les PFD.


Une hypothèse est que les pilotes aient associé ces croix sur l'horizon a une défaillance de l'horizon artificiel car plus loin, dans la chute, le CDB va conseiller au copilote aux commandes d'utiliser l'horizon de secours.
Dans tous les cas ces 4 croix ambres rajoutent de l'incompréhension ou de la confusion pour l'analyse...

Ne pas oublier qu'à ce stade de l'analyse, nous ne sommes qu'à H + 3 à 5 secondes ...

Point 9 : La stabilité longitudinale et la loi C*.

Règlementairement, tous les avions doivent avoir démontrer une Stabilité Longitudinale Statique Positive.

CS 25.173 :
A pull must be required to obtain and maintain speeds below the specified trim speed, and a push must be required to obtain and maintain speed above the specified trim speed.

La Stabilité Longitudinale s’exerce sur l’axe de tangage.
La Stabilité Longitudinale Statique est la capacité d’un avion en vol stabilisé (vitesse constante, compensateurs réglés = Trim speed) à revenir à une situation très proche de celle d’origine après s’en être écarté par une raison externe : par ex suite à une rafale.
La Stabilité Longitudinale Statique Positive doit entrainer une action du pilote en cas de variation de vitesse :
- Si la vitesse accélère, le pilote doit pousser sur sa commande de profondeur pour maintenir la trajectoire.
- Si la vitesse décroit, le pilote doit tirer sur sa commande de profondeur pour maintenir la trajectoire.
Du plus petit avion d’aéro-club au Jumbo 747 tous les avions répondent à cette exigence vitale sauf … les Airbus.

Les concepteurs de l’A320 ont décidé de s’affranchir de cette contrainte et ont imaginé un concept novateur : la loi de pilotage par facteur de charge, appelée C* (prononcer C star) et aussi Nz.
Utiliser les calculateurs pour faire ce que l’homme ne peut pas faire, à savoir maintenir une trajectoire selon un facteur de charge.
(facteur de charge : Poids apparent / poids réel, mesuré en g.)

Wiki :
En vol stabilisé, le facteur de charge vertical est de 1… le facteur de Charge.

Des accéléromètres d’une très grande précision transforment les ordres du pilotes en signaux électriques (numériques) qui vont activer les commandes de vol.
Ainsi, si le pilote affiche une pente de montée, d’habitude traduite en angle par rapport à l’horizon, le dernier facteur de charge est mémorisé et sans autre intervention l‘avion maintiendra ce facteur de charge.
Ainsi, le pilote peut lâcher les commandes, quitter son siège, aller se faire servir un café par le plus dragon des chefs hôtesses moustachues, lorsqu’il reviendra au cockpit, l’avion aura maintenu le dernier facteur de charge mémorisé.

Exemple : l’avion est en palier : g = 1.
Le pilote décide de monter, il affiche une certaine trajectoire que le système traduit en g (par exemple 1,2 g) et il lâche son Sidestick.
L’avion monte en maintenant un facteur de charge de 1,2 g. Pour conserver la vitesse sélectée le système Auto Thrust augmente la poussée. L’avion monte à g constant et vitesse constante..
A haute altitude les moteurs, « plein gaz », s’essoufflent et ne peuvent plus maintenir la vitesse qui décroît.
Pour maintenir ce facteur de charge g =1,2, les calculateurs cabrent l’avion, la vitesse décroît et l’avion se cabre, se cabre jusqu’à décrocher ?
Non, car le constructeur a prévu une sécurité.

 A partir d’un certain seuil, un peu avant le décrochage, un signal à piquer prioritaire est envoyé aux commandes de vol pour faire piquer le nez de l’avion, même si le pilote tire à cabrer sur son Sidestick : c’est l’avion indécrochable.

C’est cette dernière astuce technologique qui a permis au constructeur de trouver une bonne âme pour délivrer une dérogation et certifier le procédé.

En résumé, et en regard des circonstances de l’accident de l’AF 447, il faut retenir que :
Sur un avion classique, dès que la vitesse diminue, le pilote le ressent physiquement sur la commande de profondeur et doit tirer pour conserver la trajectoire, sinon l’avion pique de lui-même.(conforme à la CS 25)
Sur un Airbus, la décélération n’entraine aucun retour d’effort. Sans information de vitesse la décélération est physiquement transparente.

Le problème survient en loi dégradée puisque le constructeur a décidé de ne pas y conserver la protection basse vitesse :
En Alternate Law 2B, sans aucune action du pilote, l’avion décélère jusqu'au décrochage.

Dans l’architecture des lois de pilotage d’un Airbus A330, Normal Law, Alternate Law 1, Alternate Law 2, Alternate Law 2B, les pilotes n’ont aucun moyen physique de reconnaitre une décélération.

Point 10 : Les Sidesticks

Ergonomiques, fonctionnels, ils offrent un confort inégalé et une précision de pilotage identique aux manches classiques. Un gain de poids aussi. Mais …

Les Sidesticks ne sont pas conjugués, c’est à dire qu’ils ne sont pas liés, ni électriquement ni mécaniquement, de sorte que chaque déplacement des deux Sidesticks entraine un ordre aux calculateurs des commandes de vol.
Ces ordres, qu’ils soient dans le même sens ou de sens opposé s’additionnent algébriquement, le résultat étant envoyé aux différentes gouvernes : profondeur, ailerons, spoilers.

La somme des signaux ne peut pas dépasser la valeur maximale du débattement d’un seul Sidestick.

En clair :
Si un pilote pousse sur son Sidestick à la butée et si l’autre pilote le tire à la butée, le résultat est égal à zéro et l ‘avion reste sur sa trajectoire.
Si un pilote incline son Sidestick de 4° à gauche et si l’autre pilote fait de même l’ordre résultant est de 8° à gauche.

C’est bien évidemment la porte ouverte au Double-pilotage, ou pilotage simultané.

Le constructeur avait prévu un garde-fou, la prise de priorité, dont la vocation première était de permettre d’isoler un Sidestick devenant brusquement défectueux en vol.

Partant du principe qu’il ne doit y avoir qu’un seul pilote actif, mais pour laisser la possibilité à l’autre pilote d’intervenir si le besoin s’en fait sentir, une procédure adaptée a été instaurée en utilisant la procédure de prise de priorité.

Une impulsion sur le bouton rouge d’un Sidestick isole électriquement le Sidesick opposé. Sans entrer dans les détails permettant l’isolement (mais réversible) d’un Sidestick il est important d’en connaitre quelques détails :

• La prise de priorité est une procédure : le pilote qui prend la priorité l’annonce. Il appuie ensuite sur le bouton rouge de son Sidestick. Deux flèches lumineuses l’une verte et l’autre rouge indiquent alors le sens de la prise de priorité. Un message vocal : « Priority Right ou Priority Left » confirme l’action.
• Les prises de priorité peuvent s’enchainer … à toi à moi …
• Si le pilote oublie d’appuyer sur le bouton rouge, c’est le double-pilotage, chaque pilote interférant à son insu sur le pilotage de l’autre.

Incliné butée à Droite :


Incliné butée à Gauche :


Plein cabré :


Plein cabré :



Plein Piqué :



L’aspect CRM :

BEA :

Le CRM se définit comme l’utilisation dans le poste de pilotage de toutes les ressources disponibles (équipements, procédures et personnes) en vue d’assurer la sécurité et l’efficacité des vols.
Son enseignement est régi par le cadre règlementaire : Instruction du 1er juin 2006 (EU-OPS 1.943, 1.945, 1.955), accompagné d’un guide et pratiques recommandées. Il est établi par l’autorité.
L’objectif du CRM est de développer des capacités de contrôle mutuel et de soutien efficaces entre les membres de l’équipage. Les équipages sont ainsi évalués sur quatre indicateurs comportementaux : capacité de coopération, gestion et commandement, conscience de la situation, prise de décision.

Les Sidesticks sont positionnés à l’extérieur du champ visuel réciproque de chaque pilote. Le pilote non aux commandes (PNF) ne voit pas les déplacements du Sidestick du pilote aux commandes et ne peut en observer ni le sens ni l’amplitude.
C’est un grave handicap en terme de CRM.

Le pilote non aux commandes n’est plus acteur mais spectateur : il constate les évolutions de l’avion sur son PFD sans pourvoir les corréler avec les déplacements de la commande correspondant à ces évolutions.

Si, sur une action réflexe, le pilote non aux commandes intervient sans appuyer sur le bouton de prise de priorité, c'est le double pilotage.
Ci-après, un butée à cabrer, l'autre butée à piquer = résultat nul :

Point 11 : L’AUTO THRUST : A/THR


Plutôt que le traditionnel principe des Auto-Manettes qui se déplacent proportionnellement au régime des moteurs, Airbus a choisi un concept original, l’Auto-Thrust, l’Auto-Poussée.

Les manettes de gaz sont placées dans des crans :

TOGA : décollage à poussée maximum
FLEX : décollage à poussée réduite et MCT : poussée Maxi Continue
CLIMB : poussée pouvant aller de ralenti vol à la poussée de montée
IDDLE : poussée ralentie

FADEC et FMGC participent à l’élaboration des éléments nécessaires à la gestion des moteurs.

Au décollage le pilote place les manettes dans le cran TOGA ou le cran FLEX selon le type de décollage choisi.

Après décollage, le pilote ramène les manettes dans le cran CLB (Climb) où elles resteront pour toute la durée du vol, jusqu’à l’atterrissage.

Une fois positionnées dans le cran CLB, les moteurs sont asservis à des modes de conduite, en général la vitesse, mais aussi à des taux de montée (V/S), (ce qui va se produire sur l’AF447), ou de descente.
(les moteurs augmentent ou diminuent leur régime selon les demandes, mais les manettes restent immobiles dans leurs crans.)

Lorsque le pilote doit reprendre le contrôle des manettes en Manuel, il doit d'abord les désengager et les sortir du cran où elles sont placées pour déplacer ces manettes vers la position correspondant à la poussée des moteurs délivrée sur l’instant.



Pour ce faire, le pilote doit repérer le cadran du régime moteur EPR ou N1, y repérer le petit rond (TLA) qui symbolise la position des manettes, sortir les manettes du cran et les déplacer jusqu’à faire coïncider le repère TLA en face de l’aiguille N1. C'est alors seulement qu'il peut déconnecter les manettes par les boutons poussoir placées sur les manettes et en avoir la pleine autorité manuelle.



Si le pilote appuie sur un bouton de déconnection de l’A/THR sans avoir pris la précaution relatée ci-dessus, alors les moteurs délivreront la poussée correspondant à la position des manettes, poussée CLIMB si les manettes sont dans le cran CLB.

Enfin, les manettes figées dans leur cran enlèvent au fil du temps aux pilotes la conscience de la relation « position manette / poussée moteur » : le bras devenu immobile devient inerte, la main figée posée sur les manettes.

Les pannes relatives à l’AF447 :

Ce message ECAM indique que la poussée est figée à la valeur qu’elle avait à l’instant de la panne :

Point 12 : Le Flight Director - FD

C’est l’outil universellement réussi. Son apport à l’aide au pilotage en ont fait un chef d’orchestre que le pilote suit aveuglement.

BEA:
Utilisation opérationnelle du directeur de vol (FD)

« lorsque les FD sont utilisés, compte tenu de la dépendance des modes A/THR aux modes verticaux, les ordres FD doivent être suivis » ;

Le système est asservi à des modes de conduite qui sont affichés au FMA..



Le système est asservi à des modes de conduite qui sont affichés au FMA..
Sur ce dessin qui représente le PFD tel qu’il devait être à l’entrée dans le nuage de cristaux de glace, la barre de Roll est asservie au cap que les pilotes venaient de prendre pour éviter une masse nuageuse.
Si la barre se déplace à gauche pour suivre l’objectif fixé, le pilote (ici le Pilote automatique) doit virer à gauche. Lorsqu’il aura atteint l’inclinaison suffisante pour aboutir au cap recherché la barre se centrera pour maintenir la position le temps du virage. Puis la barre repartira vers la droite pour entrainer par cet ordre vers la sortie du virage.


C’est la même chose pour la tenue d’assiette qui, ici en ALT CRZ,  est asservie au maintien du niveau de vol 350 : lorsque la barre de Pitch monte, le pilote doit cabrer, lorsqu’elle descend il doit piquer.

Lorsque les ordres sont correctement suivis, les barres sont centrées, comme sur l’image.


Le système est d’une fabuleuse précision et son suivi aveugle conduit le pilote vers le but à atteindre avec un succès assuré.



Si, d’aventure, le FD paraissait ne plus remplir son rôle, la consigne est de le passer sur OFF. (c’est ce que demande la procédure IAS Douteuses)

En cas de défaut, les barres de tendance disparaissent et un drapeau rouge FD apparait en haut et à gauche sur l’horizon artificiel.

Dès qu’il est de nouveau actif son processus de réversion le fait se réactiver en modes basiques  V/S et HDG.

C’est à dire qu’il se fixe sur le vario et le cap de l’instant.
(nous verrons plus loin le rôle aggravant de cette réversion en mode basique)

Point 13 : IAS DOUTEUSES ... UNRELIABLE AIRSPEED

Relevé sur la documentation du constructeur : FCTM (Flight Crew Training Manual)

ADR CHECK PROC / UNRELIABLE SPEED INDICATION QRH PROCEDURE

Most failure modes of the airspeed/altitude system are detected by the ADIRS and lead to the loss of the corresponding cockpit indication(s) and the triggering of associated ECAM procedures.

• La plupart des cas de blocage de sondes Pitot entrainent un massage ECAM NAV ADR DISAGREE

However, there may be some cases where the airspeed or altitude output is erroneous without being recognised as such by the ADIRS. In these cases, the cockpit indications appear normal but are actually false and pilots must rely on their basic flying skills to identify the faulty source and take the required corrective action. When only one source provides erroneous data, a simple crosscheck of the parameters generated by the three ADRs allows the faulty ADR to be identified. This identification becomes more difficult in extreme situations when two or all three ADR sources provide erroneous information.

• Il y a des cas sans message ECAM dont le traitement est très difficile

En entrainement au simulateur, l’exercice est réalisé à basse altitude et ne génère aucune autre panne que des anomalies de vitesses. L’ECAM reste vierge.

BEA:
Note : l’exercice « vol avec IAS douteuse » se déroulait durant le décollage de Rio. Des pilotes d’Air France ont indiqué que lors de cet exercice, aucune alarme ECAM n’était générée car les ADR fournissaient la même information erronée. L’objectif de cet exercice était de réaliser la manœuvre d’urgence avec des paramètres poussée / assiette correspondant à la phase de décollage.

Extrait du rapport d’expertise judiciaire concernant le témoignage de 22 pilotes ayant été confronté à un ou plusieurs blocages de sondes :

Seuls 2 équipages ont appliqué la procédure JAS douteuses (UNRELIABLE SPEED INDIC/ADR CHECK PROC). Cette procédure est décrite par le constructeur (Airbus) comme la procédure à appliquer en cas d'indication de vitesses erronées.

Ces pilotes auraient-ils eu la chance d’avoir eu le message ECAM NAV ADR DISAGREE ?…

Extrait de la note publiée par l’OSV Air France concernant les messages ECAM liés au blocage des sondes Pitot, où l'un relève que le premier point d'ancrage à la procédure IAS Douteuses est le message ECAM  : NAV IAS Discrepancy / NAV ADR Disagreee



Aucun de ces titres de pannes n'est apparu sur l'ECAM de l'AF447.
(le message NAV ADR Disagree n'est apparu qu'au bout de 2 mn et 39 s, alors qu'il était déjà bien trop tard.)

Point 14 : Loi normale, lois dégradées

Pour résumer, les avions modernes à commandes de vol électriques ont des calculateurs qui connaissent tout de l’avion : notamment les performances et les limitations, particulièrement celles de l'enveloppe de vol.
L’architecture des commandes de vol d’un A 330 est extrêmement complexe, et il n’est pas possible ici d’en dessiner la structure autrement que par ce schéma très simplifié :



3 calculateurs PRIM (Primary Fliht Computers) et 2 SEC (Secondary Flight Computers) dialoguent entre eux et reçoivent les ordres des deux Sidesticks qu’ils traitent et renvoient vers 2 FCDC (Flight Control Data Concentrators) d’où partent les signaux électriques vers les gouvernes. (il y a d’autres calculateurs , EIS, CMC, …)

En cas de panne, des alarmes locales apparaissent à l’ECAM et sur le panneau de commande des calculateurs situé au plafonnier, au-dessus de la tête des pilotes :





Les lois de pilotage des commandes de vol sont à plusieurs niveaux :
Normal Law … Altenate Law 1 … Alternate Law 2 … Direct Law






En cas de panne interne dans les calculateurs, le système rétrograde, de Normal Law en Alternate Law 1, etc …
Sauf que dans le cas de l’AF447 le système a basculé directement en Alternate Law 2B, loi hybride qui se partage entre Alternate law 1 (tangage) et Direct Law (Roulis), et que cette rétrogradation s’est faite à l’insu des pilotes.

De 15°/s en Alternate Law 1 le taux de roulis passe à 25°/s en Direct Law.

Enfin, à lire cet extrait du FCTM d’Airbus, il y a une grande différence de l’analyse de panne selon les modèles d’avion :

In a failure situation, various combinations of ADR faults may occur, each interpreted differently by the PRIM and FE computers:
· One ADR output is erroneous and the two remaining ADRs are correct. The PRIMs and the FEs reject the faulty ADR. On basic A333/A343 aircraft, there is no ECAM alert, however one PFD will display some incorrect parameters. On the A346 and enhanced A333 aircraft, if one ADR output is erroneous, and if this ADR is used to display the speed information on either PFD, a NAV IAS DISCREPANCY caution is triggered

Parmi la cinquantaine de cas de givrage de sondes Pitot répertoriée avant le 1er juin 2009, il n'y a que 3 A330-200.
Or l'AF 447 était un A 330 - 200. Pas d'alarme par un message ECAM.

DÉROULÉ AF447 de 02 h 10 mn 05 s à 02 h 10 mn 10 s


En cette nuit du 1er juin 2009, il est 2 heures 10 minutes et 5 secondes quand suite au blocage des sondes Pitot par accumulation de cristaux de glace, l’AP, Auto Pilot; se déconnecte : alarmes sonore + Master Warning + message ECAM rouge + Flag AP rouge au PFD.
Le copilote assis à droite, PF, annonce qu’il prend les commandes et appuie sur le bouton rouge de son Sidestick.
Cette alarme, prioritaire, cesse et d’autres alarmes sonores et visuelles prennent instantanément le relais.
En observant son écran de pilotage, PFD, le copilote PF constate deux phénomènes simultanés : l’avion est en descente et est parti en virage à droite.



Un coup d’oeil à l’ECAM informe les deux copilotes que des pannes y sont affichées, dont l’une concerne les commandes de vol qui sont passées en loi dégradée :(voir Point 14)



L’avion est en descente et en virage à droite : il faut corriger, vite !
Le copilote PF cabre et incline son Sidestick à gauche. L’avion relève son nez mais bascule très rapidement sur son aile gauche.
Surpris et par réflexe, le PF donne un coup de Sidestick à droite. L’avion bascule à droite. Impulsion à gauche, à droite et l’avion bascule à gauche, à droite …
Le pilote mettra une vingtaine de secondes à maîtriser ces réactions totalement inhabituelles, dont on peut suivre le tracé sur cet extrait des boites noires (DFDR).
Au milieu l’inclinaison de l’avion, en bas les inputs du Sidestick PF que j’ai inversé pour la mettre en miroir de celle de l’avion :


La lecture du message F/CTL ALTN LAW a dû logiquement entrainer le regard des deux copilotes vers le panneau des commandes de vol au plafonnier (Schéma Point 14)
Tous les voyants FAULT sont éteints. Alors ?… Alors ?...

Une ligne de l’ECAM rappelle les valeurs de survitesse : 330kt et M.82.
Or l’avion était à M .80, il est descendu … attention à la vitesse …

Une ligne de l’ECAM confirme un problème au niveau du système AUTO FLIGHT .
Une ligne qui informe de la perte de la protection Windshears.

Il ne s’est écoulé que deux secondes, le copilote PNF n’a pas eu le temps de lire et de comprendre la première ligne que déjà, l’ECAM se recompose et affiche un nouveaux message prioritaire qui repousse en queue de liste les précédents.



AUTO FLT A/THR OFF :
La gestion du système AUTO THRUST est en panne. (voir Point 7)

Une alarme STALL interrompt tout : prioritaire elle surpasse les autres alarmes sonores.

Pourquoi cette alarme :

Expertise judiciaire :
Plusieurs équipages mentionnent avoir perçu en premier l'alarme de décrochage (STALL). Cette alarme, intervenant simultanément au passage en loi de pilotage alternative (ALTN 2), est due à une modification du seuil de déclenchement, plus sensible qu'en loi normale.
De ce fait le seuil est rapidement atteint en conditions turbulentes.
Une voix synthétique annonce par les hauts parleurs ou les casques audio le mot « STALL » de façon répétitive. Le volume de cette alarme ne peut pas être réduit.
L'alarme STALL WARNING est vécue comme très préoccupante par les équipages et a été interprétée systématiquement comme peu vraisemblable.
Elle n’a jamais été suivie d’action par les équipages.
Pourtant dans le mental d'un pilote, cette alarme est l'annonce de la chute imminente de l'avion et du risque de perte de contrôle.

Alors que l’ECAM se recompose, le PFD connait également des changements drastiques.
Les modes de Navigation Verticale et Latérale sont passés en modes de réversion. Ainsi, ALT CRZ et NAV ont été remplacés par V/S et HDG.



Le blocage de l’A/THR est confirmé par le clignote du symbole THR LK à la gauche du FMA, ainsi que les changements de modes V/S et HDG, qui ont été normalement encadrés quelques secondes dans un rectangle blanc …
Le FD est tombé en panne, un Flag rouge FD est à gauche de l’horizon artificiel et les barres vertes ont disparu, abandonnant le copilote PF.
Ainsi, en moins de 5 secondes, des messages ECAM que les pilotes n’ont pas eu le temps de lire, un tableau instrumental exigeant des corrections immédiates, des commandes de vol aux réactions dédoublées en roulis, et des alarmes sonores multiples qui se chevauchent dans un tintamarre persistant …
à suivre …

DÉROULÉ AF447 de 02 h 10 mn 10 s à 02 h 10 mn 20 s

Stimulé par l ‘alarme d’écart d’altitude le pilote a cabré raisonnablement l’Airbus A330-200.
Pour contrer la mise en virage autant intempestive qu’inexpliquée, il a donné un input sur son SIdestick, mais le résultat a été exagéré par le passage incognito des lois de pilotage en Alternate 2B, ce qui a détruit l’harmonie des commandes sur les axes de tangage et de roulis. Le pilote va mettre une vingtaine de secondes pour appréhender ce nouveau mode de pilotage totalement inconnu.

FCTM A330 : In roll direct, the aircraft appears to be very sensitive …

Dans le même laps de temps, l’ECAM se recompose.
Il est naturel pour le pilote aux commandes de jeter un oeil à l’ECAM pour y lire les messages de panne et se faire déjà, une idée de la situation.
Ce qui revient à dire que dans ces 5 secondes le copilote PF a pris les commandes en manuel, l’a annoncé à son collègue, a vu l’avion descendre et a corrigé, a vu l’avion s’incliner et a corrigé, a vu le message F/CTL et a jeté un oeil au plafonnier pour y chercher une éventuelle alarme de panne locale, et a constaté les nombreux changements et messages de pannes sur son PFD.

Les blocages des sondes Pitot entrainent comme conséquences connues : (mémo Point 1)

• 1 ADR h/s et les 2 autres correctes : sur les A330  «anciens", publication de paramètres erronés sur le PFD. Les deux autres PFD sont exempt de pannes. Sur les A330 récents, apparition d’un message ADR NAV Discrepancy qui oriente vers la Check-list IAS Douteuses. (AP et A/THR fonctionnent normalement)

• 2 ADR h/s et 1 ADR correct : message ECAM NAV ADR DISAGREE qui oriente vers la Check-list IAS Douteuses.. (AP et A/THR se déconnectent) (ALTN 2)

• 2 ADR h/s mais fournissent des informations identiques, 1 ADR correct : la bonne ADR est rejeté et l’avion utilise les éléments erronés des 2 ADR en faute : aucun message ECAM.

• 3 ADR h/s : idem cas précédant. Aucun message ECAM.

Pourtant il est dit que :

Certification :
BEA  :
L’A330 répond aux exigences de la règlementation en vigueur au moment de la demande du certificat de type, à savoir le JAR 25 change 13 ou 14 et aux conditions spéciales émises par la DGAC.
...
Elles précisent notamment que :
… les systèmes et les alarmes associées doivent être développés en minimisant les risques d’erreur de la part des équipages ;
des moyens d’information doivent être mis en place afin d’alerter les équipages de la survenue d’une panne et de leur permettre de prendre les mesures appropriées.

Sur l’ECAM de l’AF447, durant 2 minutes et 39 secondes il n’y a eu aucun message NAV ADR DISAGREE ni NAV ADR DISCREPANCY.
Or ce sont ces messages qui orientent vers la procédure IAS Douteuses, procédure adaptée à la situation.

Encore 5 secondes et l’ECAM se recompose :



Le message ENG THRUST LOCKED, prioritaire, chasse les autres messages pour se positionner en première ligne.
 Il annonce que la poussée des réacteurs s’est figée à la poussée instantanée et que, si besoin, il faut utiliser manuellement les manettes de gaz. (voir Point 7)

Panne du Flight Director. Sur le PFD, le FLAG FD rouge apparait alors que les barres de tendance vertes disparaissent.
Les vitesses limites ne sont plus affichées et le message SPD LIM apparait en bas à gauche de l’horizon artificiel.



Absorbé dans son travail de maitrise de l’inclinaison le copilote PF tire un peu trop sur son Sidestick, l’avion se cabre vers une dizaine de degré et part en montée avec un fort taux de montée.




Sur la courbe verte du haut de cet extrait du DFDR on voit très bien que des inputs à cabrer, justifiés au début, s’amplifient dans cette tranche H + 10 à H + 20 pour se modérer ensuite proche du neutre et que cette « erreur » est très étroitement liée à la difficulté de la la maitrise de l’inclinaison générée par le basculement en Direct Law tout autant soudain que non signalé.

La question que l'on peut se poser est : pourquoi le copilote PNF n’a-t-il pas aidé de ses conseils le PF ?...
Les Sidesticks sont hors des champs visuels réciproques des pilotes et préoccupé par l’analyse de panne, il ne pouvait que supposer que son collègue aux commandes faisait ce qu’il fallait pour remédier à une situation et des difficultés de pilotage qu'il ne pouvait comprendre, étant comme le PF ignorant de ce changement de loi de pilotage autant inopportun.
Les Sidesticks n'étant pas conjugués, le Sidestick gauche était strictement immobile au neutre, ne fournissant aucun information, dédaignant deux sens fondamentaux chez l'homme : le toucher et la vue.




C’est un des inconvénients majeurs des Sidesticks qui ne participent en rien à la notion et au concept du CRM.

à suivre …

Résumé d’étape :

Dans les toutes premières secondes les pilotes ont été assaillis d’informations de pannes diverses et de réversions de modes de pilotage.
En conséquences le pilote aux commandes a monopolisé ses ressources pour corriger les écarts signalés par ses instruments et pour maitriser l’instabilité en roulis due à un changement de loi de pilotage qui n’est pas porté à la connaissance des pilotes.

Il en est résulté une prise d’assiette trop importante et une mise en montée au cours de laquelle d’autres évènements ont aggravé les difficultés de la compréhension de la situation.

Les changements rapides des messages affichés à l’ECAM n’ont pas permis de débuter la lecture et l‘analyse des pannes publiées.

J’ai fléché sur l’image ci-dessous chaque symbole du PFD qui a été modifié au moins une fois dans ce très court laps de temps de H à H + 20 s.

Pour ne pas surcharger j’ai volontairement omis d’y rajouter le flag FD rouge et le flag SDP LIM rouge.
Par contre j’ai laissé les Masters Warning et Caution dont l’allumage et le klaxon associé ont été activés au rythme des pannes.








Cette image qu'il faut associer aux images ECAM et aux alarmes sonores devraient permettre de prendre conscience de l"impossible mission qui s'est abattue sur les épaules des deux copilotes aux commandes de l'AF 447.

Il est intéressant de noter à ce stade que chaque changement ou modification du FMA, et du PFD en général, doit être annoncé par un des pilotes et confirmé oralement par l’autre.

Il faut également rappeler que les titres des messages ECAM doivent être également annoncés, tout en rappelant qu’entre certaines recompositions de l’écran ECAM le temps alloué a été de 2 à 5 secondes …

Il n’est pas inutile de rappeler que les messages sonores se superposent ou plutôt peuvent être masqué par d’autres alarmes sonores prioritaires.
Voici deux exemples qui se sont produits dans le laps de temps H + 5 s à H + 20 s :

Deux messages STALL intempestifs car ne correspondant pas à une menace réelle se sont déclenchés, dont un à l’instant où l’avion franchissait 250 ft au-dessus du niveau de croisière, masquant ainsi l’alarme sonore d’Ecart d’Altitude. Une diabolique fatalité car cette alarme aurait pu alerter le copilote PF sur la prise d’assiette. (c’est ce qui s’est passé à H + 5 s  et à H + 8 s)

L’alarme sonore liée au Thrust Lock peut-être masquée par l’alarme d’écart d’altitude, alors prioritaire.

Le Flight Director qui avait disparu est de nouveau disponible et les barres de tendances apparaissent, bien centrées sur l’horizon artificiel : c’est rassurant pour le pilote et cela le conforte dans l’idée que la position de l’avion tant en assiette qu’en cap est correcte

Deux évènements parmi tant d'autres vont participer à l’erreur de pilotage :
• d’une part le fait qu’en se ré-armant le FD positionne les barres de tendance au centre de l’horizon artificiel.
• d’autre part l’absence totale de retour d’effort au Sidestick qui ne permet pas au pilote de réaliser physiquement que l’avion est en décélération.

Commentaire du BEA :
Pourtant, la stabilité statique longitudinale positive d’un avion peut s’avérer utile car elle permet au pilote d’avoir un retour sensoriel (via la position du manche) sur la situation de son avion en terme de vitesse par rapport à son point d’équilibre (trim) à poussée constante.

Le tri aléatoire du FWC : Flight Warning Computer

L’avion est descendu de 350 ft, l’altimètre et le variomètre l’ont indiqué. L’alarme d’Ecart d’Altitude qui depuis sonne sans interruption l’a confirmé.
Le Flight Director aussi qui a donné un ordre à cabrer.



Or, en fait l’avion est resté en palier. Le copilote a cabré pour suivre l’ordre du FD et pour corriger cette pseudo-erreur d’altitude, l’avion est parti en montée et à cette haute altitude et haute vitesse, le taux de montée a très rapidement atteint 6 à 7000 ft/mn (pieds par minute)
Dans cette situation l’avion va perdre rapidement sa vitesse.

C’est un fait capital dans cet accident : seul l’A330 - 200 est victime de cette chute d’altitude.(Point 2)

 Car, sur les 43 incidents de givrage de sondes Pitot recensés par les expertises, la plupart étaient des A330 - 300 ou A 340 qui, eux, ne sont pas impactés par cette panne altimétrique (Point 2)

Avec une ou deux sondes bouchées, ou même avec les trois sondes Pitot bloquées les A330 - 300 et les A 340 restent « instrumentalement » en palier : nul ordre du FD à cabrer, nul besoin de cabrer …
Il n’y a eu que très peu, deux, peut-être trois A 330 - 200 victimes de ces types d’incidents.

 Alors pourquoi les autres A330 - 200 sont-ils sortis indemnes de ces incidents ?

 Au moins pour l’un d’entre eux, un A330 - 200 d’Air caraïbes, parce que l’équipage a eu le message NAV ADR DISAGREE en première ligne à l’ECAM, message qui conduit directement à la procédure IAS Douteuses, seule adaptée à ce cas de figure, qui demande au pilote d’afficher 5° d’assiette, de passer les moteurs en poussée de montée (Cran CLB), puis de suivre la suite de la check-list dans le carnet QRH, où les pilotes trouvent assiettes et poussées pour toutes les configurations.

Alors, pourquoi la procédure NAV ADR DISAGREE est-elle apparue en première ligne sur l’ECAM de cet A330 - 200 ?
Quelques minutes auparavant cet équipage avait rencontré de fortes turbulences et en conséquences avaient appliqué la Check-List « Sévères Turbulences » qui demande, entre autres, de passer l’A/THR sur OFF.
De ce fait le message ECAM A/THR OFF (AF447) n’est pas apparu, ce qui a modifié l’ordre d’apparition des pannes et a laissé la priorité au NAV ADR DISAGREE …


Pour les uns, Air Caraïbes, le message NAV ADR DISAGREE qui recentre vers un défaut ADR qui oriente vers la procédure IAS Douteuses (perte des vitesses)




Pour les autres(AF 447) le message A/THR, lié au message  F/CTL qui perd l’équipage en conjectures …



Sans oublier la mise en virage intempestive de l’AF447 au plus mauvais moment …

Quel dommage que le BEA et les expertises n'aient pas étudié avec les moyens dont ils disposent ces cas de figures qui apporteraient beaucoup de précisions sur les causes de cet accident ...

DÉROULÉ AF447 de 02 h 10 mn 20 s à 02 h 10 mn 50 s

Les pilotes n’ont perçu la panne de vitesses au SpeedTape (PFD) qu’à :

H + 9 s : Commentaire du PF : « On a pas une bonne … »
H + 10 s : Commentaire du PF : « On a pas une bonne annonce de … »
H + 11 s : Commentaire du PNF : « Mince ! On a perdu les vitesses … Engine Thrust A/THR … » (tentative de lecture du message ECAM qui n’apparait que quelques secondes)
H + 14 s : Commentaire du PF : « ...de vitesse … »

Dans le même laps de temps les FD tombent en panne : flag rouge FD sur le PFD et les barres de tendance vertes disparaissent.





Une diabolique fatalité va venir aggraver l’incompréhension de la situation.

Tout d’abord, une alarme sonore STALL  intempestive s’est déclenchée  à l’instant où l’avion franchissait  35250 ft, c’est à dire au passage du déclenchement de l’alarme d’écart d’altitude.
 L’alarme STALL étant prioritaire a masqué l’alarme d ‘écart d’altitude à cet instant précis.

Ensuite les FD vont ré-apparaitre et conformément à leur mode de fonctionnement les barres de tendance vont se positionner en croix bien centrée.
Pour le pilote cette image très familière se traduit par : « Vous êtes à la bonne assiette et au bon cap. »
La réalité est autre : l’avion est en montée, sa vitesse décroit, son taux de montée décroit.





Or le FD ayant pris en référence le taux de montée instantané veut le maintenir et pour cela envoie un ordre à cabrer. 
Le pilote obéit, cabre légèrement. 
Le FD disparait, le pilote est livré à lui-même.
 La loi de pilotage par facteur de charge est toujours active, l’AutoTrim est actif et il n’y a aucun retour sensoriel au pilote de cette décélération.


Le copilote aux commandes, qui avait jusque là de grandes difficultés à maitriser l'inclinaison commence à dominer la Direct Law en roulis.
La courbe suivante témoigne de cette amélioration : (nous verrons plus loin qu'à H + 50 s l'avion entre en décrochage)



Il est important de noter que non seulement l'activité des inputs du Sidestick est moyennée autour du neutre, mais que la majorité des inputs sont à piquer.
Loin de l'image véhiculée par ailleurs d'un pilote cabrant sans discernement.

Alors, pourquoi l'avion n'a-t-il pas "piqué", évitant ainsi la décélération fatale.
Peut-être les conséquences de la loi de pilotage par facteur de charge.
Il eut été intéressant que les experts l'expliquent.

DÉROULÉ AF447 de 02 h 10 mn 20 s à 02 h 10 mn 50 s

Le pilotes n’ont perçu la panne de vitesses au SpeedTape (PFD) qu’à :

H + 9 s : Commentaire du PF : « On a pas une bonne … »
H + 10 s : Commentaire du PF : « On a pas une bonne annonce de … »
H + 11 s : Commentaire du PNF : « Mince ! On a perdu les vitesses … Engine Thrust A/THR … » (tentative de lecture du message ECAM qui n’apparait que quelques secondes)
H + 14 s : Commentaire du PF : « ...de vitesse … »

Dans cette phase d’une vingtaine de secondes qui précède l’entrée en décrochage, le copilote aux commandes a réussi à maitriser les difficultés liées à la Direct law en roulis, les ailes sont pratiquement horizontales et l’activité au Sidestick modérée.

Le copilote PNF ne comprend pas la situation.

 Quelques secondes auparavant l’ECAM s’est encore recomposé :



Un message concernant l’A/THR a disparu suite au déplacement des manettes de gaz (probablement par le copilote aux commandes).
Un autre, A/THR OFF, reste à l’écran.

Un nouveau message est affiché : le calculateur qui gère le débattement de la gouverne de direction en fonction de la vitesse est annoncé en panne.
 Hors, juste au-dessus, il y a toujours le message de panne des commandes de vol (F/CTL)
Comment associer les deux ?….
Comment associer l’ensemble ?…
Et le système Auto Flight, qui gère tant de choses est lui aussi annoncé en défaut sur l’ECAM.


Alors le copilote cherche du secours et tente de contacter le commandant de bord par le bouton d’appel au poste de repos, espérant de son expérience une réponse à ce fatras d’anomalies et de pannes.

Seulement, voilà, le commandant n’est pas encore dans son poste de repos et le copilote va perdre un temps précieux à relancer ses appels tout en observant les difficultés de pilotage que rencontre son collègue.

H + 22 s : Commentaire du PNF : « Fais attention à ta vitesse … »
H + 29 s : Commentaire du PNF : « Selon les trois tu montes … donc tu redescends … »

Ce propos m’interpelle : « Selon les trois tu montes… »
Normalement, à la lecture des altimètres, le copilote aurait dû dire : « Tu montes ! »

Cette formulation témoigne d’un doute sur les altimètres, qui sont passés de vert à ambre suite à l’écart d’altitude, dont l’alarme sonore a été masqué au passage +250 ft par une alarme de décrochage intempestive mais prioritaire …

Dans le même laps de temps les FD tombent en panne : flag rouge FD sur le PFD et les barres de tendance vertes disparaissent.

Figure A :




Une diabolique fatalité va venir aggraver l’incompréhension de la situation.

Les FD vont ré-apparaitre et conformément à leur mode de fonctionnement les barres de tendance vont se positionner en croix bien centrée.

Pour le pilote cette image très familière se traduit par : « Vous êtes à la bonne assiette et au bon cap. »
Seulement voilà l’avion est en montée, sa vitesse décroit, son taux de montée décroit.

Figure B :



Or le FD ayant pris en référence le taux de montée instantané veut le maintenir et pour cela envoie un ordre à cabrer.

Le pilote obéit, cabre légèrement pour ramener les barres au centre de l'horizon artificiel.


Figure C :




Le FD disparait à nouveau, le pilote est livré à lui-même.

La loi de pilotage par facteur de charge est toujours active, l’AutoTrim est actif et il n’y a aucun retour sensoriel au pilote de cette décélération.


Figure D :



Quelques courtes secondes et le FD se réarme en mode basique V/S et HDG, avec ses barres parfaitement centrées.

Figure E :



L’avion ne pouvant maintenir le taux de montée mémorisé l’image précédente, le FD envoie un ordre à cabrer.

Figure F :

BEA :

Utilisation opérationnelle du directeur de vol (FD)

« lorsque les FD sont utilisés, compte tenu de la dépendance des modes A/THR
aux modes verticaux, les ordres FD doivent être suivis » ;

Le pilote a obéit et cabre l’avion jusqu’à retrouver les barres bien centrées. Ce scénario diabolique va se reproduire 6 fois et chaque fois, obéissant au Flight Director, le pilote va cabrer, d'autant plus qu'il croit être en survitesse.

L'entrée en décrochage

A H + 50 s, l’A 330 AF 447 est entré en décrochage.

Une dernière protection, le PLI, aurait pu fonctionner (les croix ambres sur le PFD ) mais, comme les autres filets de protection, il a été également hors service … as per designed … dirait le constructeur.

Voici, tiré du FCTM du constructeur Airbus un schéma (j'ai rajouté le klaxon "stall") qui représente quand et comment s’activent les protections basses vitesses sensées protéger l’avion du décrochage.
Le couple vitesse / angle d’attaque définit des vitesses critiques qui sont affichées sur le SpeedTape, indicateur de vitesse sur le PFD, écran de pilotage.

Figure A : en Normal Law



En loi normale, l’AutoTrim cesse de fonctionner au passage de VLS. Conformément à la règle, le pilote doit alors tirer sur son Sidestick pour maintenir la trajectoire. Les ressorts de rappel au neutre du Sidestick tiennent alors lieu d’un pseudo retour d’effort.
(VLS = 1.18 Vs (Vs vitesse de décrochage))

FCTM Airbus :
To maintain the flight path, the pilot must increase the backpressure on the sidestick, which also provides a tactile indication that auto-trim has stopped.

Important : Noter qu’Airbus reconnait là l’importance d’un retour d’effort tactile …

Alpha Prot : vitesse qui active les protections basses vitesses en Loi Normale. (l’avion pique du nez pour ne pas décrocher, même si le pilote s’y oppose : le fameux avion indécrochable)
Alpha Floor : vitesse (liée à l’AoA) située entre Alpha Prot et Alpha Max qui déclenche dans certaines circonstances la mise automatique en poussée TOGA.
Alpha Max : en Normal Law au bord du décrochage déclenchement de l’alarme « STALL »

Résumé Normal Law :
• à VLS l’AutoTrim cesse de fonctionner, les ressorts de rappel envoient un pseudo-retour d’effort constant durant le décélération.
• à Valpha prot, l’avion pique du nez.
• à Valpha max, STALL ! STALL ! STALL !

Malheureusement, en loi dégradée, ici Alternate Law 2B, l’AutoTrim continu de fonctionner en deçà de VLS, le pseudo retour d’effort disparait et l’avion régresse incognito vers le décrochage … as per designed … Sidestick au neutre !…

BEA :
En particulier, l’approche d’un décrochage sur un avion classique est toujours associée à un effort à cabrer de plus en plus prononcé. Ce n’est pas le cas sur l’A330 en loi alternate. Il en résulte notamment que dans cette loi de pilotage l’avion, mis dans une configuration où la poussée n’est pas suffisante pour maintenir la vitesse sur la trajectoire, finirait par décrocher sans action sur le manche. Il apparaît que cette absence de stabilité statique positive a pu contribuer à l’absence d’identification par le PF de l’approche du décrochage.

Alternate Law :




Alpha Prot et Alpha Max sont remplacés par un bandeau unique noir/rouge, dont le sommet est VSW. (V Stall Warning)
(j'ai rajouté VSW et le klaxon sur le schéma initial)

AF 447 :

Voici ce qu'à dû être le SpeedTape de l'AF 447 :




Pour conclure ce chapitre sur l'entrée en décrochage de l'AF447, quelques extraits des différents rapports d'expertise :

- où il est dit  qu'aucun des équipages qui y ont été exposés n'ont cru à l'alarme STALL, même lorsque longuement active.
- que la présentation de l'alarme STALL dans la documentation équipage est incohérente
- que rien ne vaut un Stick Shaker comme moyen d'alerte basse vitesse ...

• STALL
Aucun équipage n'a suivi la procédure «STALL WARNING»,malgré la manifestation souvent gênante et oppressante de cette alarme, la jugeant incohérente.

…  Il est difficile, au vu de l'analyse du contenu documentaire, de comprendre la logique de la description de l'alarme STALL WARNING dans la documentation du constructeur Airbus.
Cette alarme apparaît comme une procédure d'urgence non ECAM dans le FCOM en  partie « Navigation ». Elle ne contient qu'un renvoi aux « Techniques Supplémentaires » en partie « Commandes de vol ».
La procédure décrite dans la partie « Techniques Supplémentaires » fait référence au paramètre « Vitesse » qui est le paramètre défaillant dans ce cas de panne.
Le QRH ne contient pas cette procédure d'urgence.

La description des systèmes ne fait pas mention du principe de fonctionnement de l'alarme Stall Warning. (l'alarme Stall Warning prend ses informations sur les sondes d'incidence avec seuil de déclenchement variable).
Le constructeur impose au pilote de réagir comme sur un avion conventionnel (sans commandes électriques). Sur les avions conventionnels, des procédures de récupération en cas d'alarme Stall existent et sont des actions à connaître de mémoire.
La procédure Stail Warning n'est qu'une procédure de prévention et non de récupération.
De plus, des protections complémentaires, comme les alarmes aussi dissuasives que « Stick Shaker » et « Stick Pusher » existent sur nombre d'avions conventionnels.
Si la loi normale procure des protections très efficaces contre les excursions hors du domaine de vo!, ceci n'est pas le cas en loi Alternate 2b et en loi directe.

Où il est dit que la procédure STALL Warning est opposée à la procédure IAS Douteuses et que cette procédure est fondée sur un paramètre vitesse qui dans le cas de l'AF 447 n'existait pas ...

Cette procédure préconise d'afficher la pleine poussée (TOGA) et de diminuer l'assiette de l'avion et après récupération initiale, de maintenir la vitesse au dessus de VSW (vitesse déclenchant T'alarme de décrochage). Cette action est en opposition avec le début de la procédure UNRELJABLE SPEED NDIC/ADR CHECK PROC qui demandait à monter, et d'autre part elle fait référence à respecter une vitesse qui dans ce cas précis est sensée être indiquée de façon erronée.

Où il est dit que le décrochage Basse Vitesse peut être confondu avec du buffeting haute Vitesse et que le constructeur Airbus indiquait inutile de s'entrainer à ces manoeuvres de récupération de situations inusuelles ...

BEA :… que le décrochage basse vitesse peut être confondu avec du buffeting haute vitesse.
Note : il n’est pas indiqué que le buffeting haute vitesse est un phénomène qui ne se produit pas sur Airbus à commandes de vol électriques.
Note : il est par ailleurs mentionné dans le FCTM que l’existence de protections rend inutile l’entraînement aux manœuvres de récupération des attitudes inusuelles.

L'"existence de protections" ... désolé, mais en Alternate il n'y a plus de protections ...