AF447 : un accident d'une extraordinaire complexité

DÉROULÉ AF447 de 02 h 10 mn 20 s à 02 h 10 mn 50 s

Les pilotes n’ont perçu la panne de vitesses au SpeedTape (PFD) qu’à :

H + 9 s : Commentaire du PF : « On a pas une bonne … »
H + 10 s : Commentaire du PF : « On a pas une bonne annonce de … »
H + 11 s : Commentaire du PNF : « Mince ! On a perdu les vitesses … Engine Thrust A/THR … » (tentative de lecture du message ECAM qui n’apparait que quelques secondes)
H + 14 s : Commentaire du PF : « ...de vitesse … »

Dans le même laps de temps les FD tombent en panne : flag rouge FD sur le PFD et les barres de tendance vertes disparaissent.





Une diabolique fatalité va venir aggraver l’incompréhension de la situation.

Tout d’abord, une alarme sonore STALL  intempestive s’est déclenchée  à l’instant où l’avion franchissait  35250 ft, c’est à dire au passage du déclenchement de l’alarme d’écart d’altitude.
 L’alarme STALL étant prioritaire a masqué l’alarme d ‘écart d’altitude à cet instant précis.

Ensuite les FD vont ré-apparaitre et conformément à leur mode de fonctionnement les barres de tendance vont se positionner en croix bien centrée.
Pour le pilote cette image très familière se traduit par : « Vous êtes à la bonne assiette et au bon cap. »
La réalité est autre : l’avion est en montée, sa vitesse décroit, son taux de montée décroit.





Or le FD ayant pris en référence le taux de montée instantané veut le maintenir et pour cela envoie un ordre à cabrer. 
Le pilote obéit, cabre légèrement. 
Le FD disparait, le pilote est livré à lui-même.
 La loi de pilotage par facteur de charge est toujours active, l’AutoTrim est actif et il n’y a aucun retour sensoriel au pilote de cette décélération.


Le copilote aux commandes, qui avait jusque là de grandes difficultés à maitriser l'inclinaison commence à dominer la Direct Law en roulis.
La courbe suivante témoigne de cette amélioration : (nous verrons plus loin qu'à H + 50 s l'avion entre en décrochage)



Il est important de noter que non seulement l'activité des inputs du Sidestick est moyennée autour du neutre, mais que la majorité des inputs sont à piquer.
Loin de l'image véhiculée par ailleurs d'un pilote cabrant sans discernement.

Alors, pourquoi l'avion n'a-t-il pas "piqué", évitant ainsi la décélération fatale.
Peut-être les conséquences de la loi de pilotage par facteur de charge.
Il eut été intéressant que les experts l'expliquent.

DÉROULÉ AF447 de 02 h 10 mn 20 s à 02 h 10 mn 50 s

Le pilotes n’ont perçu la panne de vitesses au SpeedTape (PFD) qu’à :

H + 9 s : Commentaire du PF : « On a pas une bonne … »
H + 10 s : Commentaire du PF : « On a pas une bonne annonce de … »
H + 11 s : Commentaire du PNF : « Mince ! On a perdu les vitesses … Engine Thrust A/THR … » (tentative de lecture du message ECAM qui n’apparait que quelques secondes)
H + 14 s : Commentaire du PF : « ...de vitesse … »

Dans cette phase d’une vingtaine de secondes qui précède l’entrée en décrochage, le copilote aux commandes a réussi à maitriser les difficultés liées à la Direct law en roulis, les ailes sont pratiquement horizontales et l’activité au Sidestick modérée.

Le copilote PNF ne comprend pas la situation.

 Quelques secondes auparavant l’ECAM s’est encore recomposé :



Un message concernant l’A/THR a disparu suite au déplacement des manettes de gaz (probablement par le copilote aux commandes).
Un autre, A/THR OFF, reste à l’écran.

Un nouveau message est affiché : le calculateur qui gère le débattement de la gouverne de direction en fonction de la vitesse est annoncé en panne.
 Hors, juste au-dessus, il y a toujours le message de panne des commandes de vol (F/CTL)
Comment associer les deux ?….
Comment associer l’ensemble ?…
Et le système Auto Flight, qui gère tant de choses est lui aussi annoncé en défaut sur l’ECAM.


Alors le copilote cherche du secours et tente de contacter le commandant de bord par le bouton d’appel au poste de repos, espérant de son expérience une réponse à ce fatras d’anomalies et de pannes.

Seulement, voilà, le commandant n’est pas encore dans son poste de repos et le copilote va perdre un temps précieux à relancer ses appels tout en observant les difficultés de pilotage que rencontre son collègue.

H + 22 s : Commentaire du PNF : « Fais attention à ta vitesse … »
H + 29 s : Commentaire du PNF : « Selon les trois tu montes … donc tu redescends … »

Ce propos m’interpelle : « Selon les trois tu montes… »
Normalement, à la lecture des altimètres, le copilote aurait dû dire : « Tu montes ! »

Cette formulation témoigne d’un doute sur les altimètres, qui sont passés de vert à ambre suite à l’écart d’altitude, dont l’alarme sonore a été masqué au passage +250 ft par une alarme de décrochage intempestive mais prioritaire …

Dans le même laps de temps les FD tombent en panne : flag rouge FD sur le PFD et les barres de tendance vertes disparaissent.

Figure A :




Une diabolique fatalité va venir aggraver l’incompréhension de la situation.

Les FD vont ré-apparaitre et conformément à leur mode de fonctionnement les barres de tendance vont se positionner en croix bien centrée.

Pour le pilote cette image très familière se traduit par : « Vous êtes à la bonne assiette et au bon cap. »
Seulement voilà l’avion est en montée, sa vitesse décroit, son taux de montée décroit.

Figure B :



Or le FD ayant pris en référence le taux de montée instantané veut le maintenir et pour cela envoie un ordre à cabrer.

Le pilote obéit, cabre légèrement pour ramener les barres au centre de l'horizon artificiel.


Figure C :




Le FD disparait à nouveau, le pilote est livré à lui-même.

La loi de pilotage par facteur de charge est toujours active, l’AutoTrim est actif et il n’y a aucun retour sensoriel au pilote de cette décélération.


Figure D :



Quelques courtes secondes et le FD se réarme en mode basique V/S et HDG, avec ses barres parfaitement centrées.

Figure E :



L’avion ne pouvant maintenir le taux de montée mémorisé l’image précédente, le FD envoie un ordre à cabrer.

Figure F :

BEA :

Utilisation opérationnelle du directeur de vol (FD)

« lorsque les FD sont utilisés, compte tenu de la dépendance des modes A/THR
aux modes verticaux, les ordres FD doivent être suivis » ;

Le pilote a obéit et cabre l’avion jusqu’à retrouver les barres bien centrées. Ce scénario diabolique va se reproduire 6 fois et chaque fois, obéissant au Flight Director, le pilote va cabrer, d'autant plus qu'il croit être en survitesse.

L'entrée en décrochage

A H + 50 s, l’A 330 AF 447 est entré en décrochage.

Une dernière protection, le PLI, aurait pu fonctionner (les croix ambres sur le PFD ) mais, comme les autres filets de protection, il a été également hors service … as per designed … dirait le constructeur.

Voici, tiré du FCTM du constructeur Airbus un schéma (j'ai rajouté le klaxon "stall") qui représente quand et comment s’activent les protections basses vitesses sensées protéger l’avion du décrochage.
Le couple vitesse / angle d’attaque définit des vitesses critiques qui sont affichées sur le SpeedTape, indicateur de vitesse sur le PFD, écran de pilotage.

Figure A : en Normal Law



En loi normale, l’AutoTrim cesse de fonctionner au passage de VLS. Conformément à la règle, le pilote doit alors tirer sur son Sidestick pour maintenir la trajectoire. Les ressorts de rappel au neutre du Sidestick tiennent alors lieu d’un pseudo retour d’effort.
(VLS = 1.18 Vs (Vs vitesse de décrochage))

FCTM Airbus :
To maintain the flight path, the pilot must increase the backpressure on the sidestick, which also provides a tactile indication that auto-trim has stopped.

Important : Noter qu’Airbus reconnait là l’importance d’un retour d’effort tactile …

Alpha Prot : vitesse qui active les protections basses vitesses en Loi Normale. (l’avion pique du nez pour ne pas décrocher, même si le pilote s’y oppose : le fameux avion indécrochable)
Alpha Floor : vitesse (liée à l’AoA) située entre Alpha Prot et Alpha Max qui déclenche dans certaines circonstances la mise automatique en poussée TOGA.
Alpha Max : en Normal Law au bord du décrochage déclenchement de l’alarme « STALL »

Résumé Normal Law :
• à VLS l’AutoTrim cesse de fonctionner, les ressorts de rappel envoient un pseudo-retour d’effort constant durant le décélération.
• à Valpha prot, l’avion pique du nez.
• à Valpha max, STALL ! STALL ! STALL !

Malheureusement, en loi dégradée, ici Alternate Law 2B, l’AutoTrim continu de fonctionner en deçà de VLS, le pseudo retour d’effort disparait et l’avion régresse incognito vers le décrochage … as per designed … Sidestick au neutre !…

BEA :
En particulier, l’approche d’un décrochage sur un avion classique est toujours associée à un effort à cabrer de plus en plus prononcé. Ce n’est pas le cas sur l’A330 en loi alternate. Il en résulte notamment que dans cette loi de pilotage l’avion, mis dans une configuration où la poussée n’est pas suffisante pour maintenir la vitesse sur la trajectoire, finirait par décrocher sans action sur le manche. Il apparaît que cette absence de stabilité statique positive a pu contribuer à l’absence d’identification par le PF de l’approche du décrochage.

Alternate Law :




Alpha Prot et Alpha Max sont remplacés par un bandeau unique noir/rouge, dont le sommet est VSW. (V Stall Warning)
(j'ai rajouté VSW et le klaxon sur le schéma initial)

AF 447 :

Voici ce qu'à dû être le SpeedTape de l'AF 447 :




Pour conclure ce chapitre sur l'entrée en décrochage de l'AF447, quelques extraits des différents rapports d'expertise :

- où il est dit  qu'aucun des équipages qui y ont été exposés n'ont cru à l'alarme STALL, même lorsque longuement active.
- que la présentation de l'alarme STALL dans la documentation équipage est incohérente
- que rien ne vaut un Stick Shaker comme moyen d'alerte basse vitesse ...

• STALL
Aucun équipage n'a suivi la procédure «STALL WARNING»,malgré la manifestation souvent gênante et oppressante de cette alarme, la jugeant incohérente.

…  Il est difficile, au vu de l'analyse du contenu documentaire, de comprendre la logique de la description de l'alarme STALL WARNING dans la documentation du constructeur Airbus.
Cette alarme apparaît comme une procédure d'urgence non ECAM dans le FCOM en  partie « Navigation ». Elle ne contient qu'un renvoi aux « Techniques Supplémentaires » en partie « Commandes de vol ».
La procédure décrite dans la partie « Techniques Supplémentaires » fait référence au paramètre « Vitesse » qui est le paramètre défaillant dans ce cas de panne.
Le QRH ne contient pas cette procédure d'urgence.

La description des systèmes ne fait pas mention du principe de fonctionnement de l'alarme Stall Warning. (l'alarme Stall Warning prend ses informations sur les sondes d'incidence avec seuil de déclenchement variable).
Le constructeur impose au pilote de réagir comme sur un avion conventionnel (sans commandes électriques). Sur les avions conventionnels, des procédures de récupération en cas d'alarme Stall existent et sont des actions à connaître de mémoire.
La procédure Stail Warning n'est qu'une procédure de prévention et non de récupération.
De plus, des protections complémentaires, comme les alarmes aussi dissuasives que « Stick Shaker » et « Stick Pusher » existent sur nombre d'avions conventionnels.
Si la loi normale procure des protections très efficaces contre les excursions hors du domaine de vo!, ceci n'est pas le cas en loi Alternate 2b et en loi directe.

Où il est dit que la procédure STALL Warning est opposée à la procédure IAS Douteuses et que cette procédure est fondée sur un paramètre vitesse qui dans le cas de l'AF 447 n'existait pas ...

Cette procédure préconise d'afficher la pleine poussée (TOGA) et de diminuer l'assiette de l'avion et après récupération initiale, de maintenir la vitesse au dessus de VSW (vitesse déclenchant T'alarme de décrochage). Cette action est en opposition avec le début de la procédure UNRELJABLE SPEED NDIC/ADR CHECK PROC qui demandait à monter, et d'autre part elle fait référence à respecter une vitesse qui dans ce cas précis est sensée être indiquée de façon erronée.

Où il est dit que le décrochage Basse Vitesse peut être confondu avec du buffeting haute Vitesse et que le constructeur Airbus indiquait inutile de s'entrainer à ces manoeuvres de récupération de situations inusuelles ...

BEA :… que le décrochage basse vitesse peut être confondu avec du buffeting haute vitesse.
Note : il n’est pas indiqué que le buffeting haute vitesse est un phénomène qui ne se produit pas sur Airbus à commandes de vol électriques.
Note : il est par ailleurs mentionné dans le FCTM que l’existence de protections rend inutile l’entraînement aux manœuvres de récupération des attitudes inusuelles.

L'"existence de protections" ... désolé, mais en Alternate il n'y a plus de protections ...

Alors que le pilote se perdait dans l’imbroglio de cette fin de montée, maitrisant à grand peine des commandes de vol dégradées, avec en toile de fond des documents du constructeur que les experts jugent incompréhensibles, des check-lists basées sur des vitesses évanouies, des systèmes en pannes, une nouvelle défaillance instrumentale va porter le coup de grâce.



Alors que la vitesse de l’avion régressait dangereusement, un instrument aurait dû les aider à appréhender cette menace : le SpeedTrend, une flèche évolutive en fonction de la vitesse, qui monte lorsque la vitesse augmente et descend lorsqu’elle régresse.

La pointe de la flèche donne la valeur qui sera atteinte dans 10 secondes.

Voici ce qu'aurait dû indiquer la flèche du SpeedTrend, qui aurait dû être orientée vers le bas :



Et voici ce qu'ont vu les pilotes de l'AF 447 :



Une accélération !

Alors que l'avion était en train de perdre les derniers souffles de vitesse, au bord du décrochage, le système dit aux pilotes que l'avion accélère ...

BEA
… la brusque augmentation de la CAS 2 provoque dans tous les cas un phénomène transitoire augmentant la valeur de speed trend pendant plusieurs secondes. Il apparaît ainsi que la flèche de tendance de vitesse indiquait une accélération pouvant être significative pendant quelques secondes avant et après l’activation de l’alarme de décrochage.

" ... avant et après l’activation de l’alarme de décrochage ..."

Lorsque l'on sait qu'aucun pilote d'Airbus ne croit à cette alarme lorsqu'elle se déclenche, dans ce cas précis, avec en plus un instrument "valide" qui indique une accélération, comment les pilotes de l'AF 447 pouvaient-ils en tenir compte.

Les pilotes sont familiers de cet outil très pratique qu’est la flèche de tendance du Speedtrend, surtout en conditions difficiles. Les indications de la flèche permettent d'anticiper sur la gestion de la vitesse par augmentation ou réduction de la poussée des réacteurs, par augmentation ou diminution de l'assiette.

Cette brusque accélération, au pire moment, a dû conforter le pilote aux commandes dans son imagerie mentale d’une vitesse excessive.
(il ne faut pas oublier le message affiché à l'ECAM : MAX SPEED .82 qui sensibilise a priori sur la survitesse)

Déjà sous la pression d’indications pour le moins oiseuses, stimulé à cabrer par les ordres du Flight Director, cette brutale indication d’une accélération l’a maintenu dans son schéma de pensée : survitesse et incompréhension.

Dans ces instants critiques le pilote PNF était partagé entre l'analyse de la situation et sa quête du commandant de bord, toujours injoignable malgré ses appels répétés.

Le délai a été très court. il ne s'est écoulé que 45 secondes entre la première panne  et l'entrée en décrochage.

Le décrochage :

L’avion est entré en décrochage à H + 45 s.

Juste avant, depuis 13 secondes, le copilote aux commandes maintenait son Sidestick à piquer.
Malheureusement, le FD s’est réarmé et a donné un ordre à cabrer, que le copilote PF a suivi.

En réaction à l’alarme de décrochage le copilote PF a engagé la poussée maximale TOGA.
(Depuis cet accident il a été décidé de modifier cette procédure car elle entraine un moment à cabrer qui amplifie le phénomène du décrochage.)

Pendant ces instants critiques, une partie de la disponibilité du copilote PNF était absorbée par ses tentatives de recherche du commandant de bord et il exprime son incompréhension de la situation :

H + 1 mn 16 s : Commentaire du PNF : « On a pourtant les moteurs … qu’est-ce qu’il se passe ?… »

H + 1 mn 19 s : Commentaire du PNF : « Tu comprends ou pas ce qu’il se passe ?… »

H + 1 mn 28 s : Commentaire du PF : « Je n’ai plus le contrôle de l’avion … »

Un instant crucial :

H + 1 mn 30 s le PF insiste : « Je n’ai plus du tout le contrôle de l’avion … »
En réaction le PNF annonce :
H + 1 mn 32 s : « Commandes à gauche »

Mais probablement inconsciemment le PF reprend immédiatement la priorité.

Ce transfert des commandes raté est symptomatique de la dangereuse potentialité des Sidesticks qui permettent à chaque pilote d’intervenir, à l’insu l’un de l’autre, sur le pilotage de l’avion.

H + 1 mn 34 s : les FD sont à nouveau désactivés.

H + 1 mn 37 s : Commentaire du PF : « J’ai l’impression qu’on a une vitesse de fou … »

Durant toute cette séquence chaque ré-armement des FD a été suivi d’un ordre à cabrer.
 A l’entrée en décrochage la flèche du SpeedTrend a indiqué une nette accélération :
« J’ai l’impression qu’on a une vitesse de fou … »
Le copilote PF est toujours resté dans un schéma mental de survitesse.

H + 1 mn 38 s : le commandant de bord est entré dans le cockpit.
L’alarme de décrochage s’est arrêtée.

Commentaire du CDB :
« Qu’est-ce qu’il se passe, expliquez-moi ce qu’il se passe ? »

H + 1 mn 38 s :

Le CDB, Commandant de Bord, entre dans le cockpit. Il a dû entendre les toutes dernières secondes de l’alarme de décrochage :
« STAL ! STALL ! STALL ! »

« Qu’est-ce qu’il se passe, expliquez-moi ce qu’il se passe ? »

Réponse du copilote aux commandes :
« On perd le contrôle de l’avion »

Le copilote PNF renchérit :
«  On a tout perdu le contrôle de l’avion, on ne comprend rien, on a tout tenté »

Le CDB ne sait pas que plusieurs systèmes de l’avion ont subi un cataclysme ni que l’ECAM a recomposé a plusieurs reprise son écran.
Il ne peut pas savoir que l’avion est initialement « descendu » puis qu’il est monté à 37850 ft, soit  2850 ft au-dessus de son altitude de croisière.

S’il a pu noter l’altitude instantanée il aura pu constater une altitude sensiblement égale à celle du niveau de vol initial. Il a quitté l’avion a 35 000 ft, il le retrouve très proche de 35 000 ft.

Il ne peut pas comprendre qu’en fait l’avion est en décrochage et traverse le niveau de vol à une vitesse de chute effarante : 10 000 ft/mn, 3000 mètre par minute !

Les modes de pilotage n’ont plus rien à voir avec ceux qu’ils devraient être.

Il n’y a plus aucun mode affiché au FMA.
(J’ai laissé AP rouge car je ne vois pas pourquoi il n’y serait pas)
(J’ai un doute sur le mode moteur, à l’extrêmes gauche … était-il « noir » ?)

Les vitesses lorsqu’elles apparaissent sont inférieures à 60 kt ou bien remplacées par un bandeau noir et un drapeau rouge SPD.





Le CDB avait sous les yeux le PFD, a peu près tel que représenté ci-dessus, et l’ECAM qui affiche une panne des commandes de vol, une panne de la gestion de la poussée des moteurs, une panne du système limitant le débattement de la gouverne de direction.
Avec les klaxons d’alarme qui reprennent leurs signaux sonores.

Le copilote aux commandes s’exclame :
« J’ai l’impression qu’on a une vitesse de fou, qu’est-ce que vous en pensez ? … »

Or le CDB a sous les yeux le message ECAM rappelant les vitesses limites en … survitesse.
Comment, a priori, ne pas adhérer à cette menace de survitesse ?

Quelques secondes auparavant le copilote PF avait des difficultés de maitrise de l’inclinaison liées à la Direct Law, ce qu’il ne pouvait pas savoir.
Il a de nouveau des difficultés à maitriser l’inclinaison, mais pour une autre raison : en décrochage l’avion a des abattées en inclinaison importantes.

L’analyse des deux copilotes diverge.

Le PF est dans un schéma mental de survitesse et sort les aérofreins.

Le PNF ne partage pas cette position et demande la rentrée des SpeedBrakes, ce que fait le PF.

L’incompréhension est totale.
La chute se poursuit.

Le Double Pilotage :

C’est un des travers des Sidesticks, interface homme-machine du système Airbus.
C’est le pilotage simultané des deux pilotes qui agissent sur leurs Sidesticks au même moment, dans le même sens ou en opposition.
Le système fait la somme algébrique des « inputs ».

(+2) + (+2) = + 4
Le résultat est doublé par rapport au résultat escompté par chacun des pilotes.

(+2) + (-2) = 0
Le résultat est nul, l’avion ne change pas de trajectoire.

L’action simultanée sur les deux Sidesticks est proscrite. En théorie.
Voici quelques exemples, tirés au hasard :


AAIB (BEA britannique)
http://www.aaib.gov.uk/cms_resources.cfm?file=/Airbus%20A319-111%20G-EZFV%2001-13.pdf

…there was also a simultaneous forward sidestick input of 15º from the left seat pilot, which was countered by an aft input of 8º by the commander (ie a net input of 7º forward). Both sidesticks were then moved to the fully aft position.

En voici l’image tirée du DFDR : en bleu pilote PNF, en magenta pilote PF  qui pilotent ensemble dans le même sens ou en sens opposés :




Autre exemple :

AAIB :
http://www.aaib.gov.uk/cms_resources.cfm?file=/dft_avsafety_pdf_033318.pdf

…both pilots simultaneously applied aft stick demands of approximately 10° each in an attempt to prevent an overspeed. This resulted in the aircraft experiencing a sudden increase in normal acceleration, peaking at 2g, before returning to about 1g. For a further eight seconds both pilots continued to make inputs on their respective side stick controllers, with neither pilot pressing their sidestick take-over button. The auto thrust remained engaged throughout and no speedbrake was used.
At the time of the incident the passenger seat belt signs were ON and the cabin crew were preparing the cabin for landing. The sudden increase in normal acceleration caused three of the four cabin crew to be thrown to the floor. Two of them suffered minor injuries and a third, who was in the aft galley, suffered a broken ankle. The fourth cabin crew member, who was occupying a passenger seat at the front of the cabin, was thrown onto an armrest. Two passengers also later complained of stiff necks….

Commentaire AAIB

…This situation of dual side stick inputs has arisen in several previous incidents and accidents …

L’accident de Bilbao :
http://kaepa.org.kw/kaepa/pdfs/FLIGHT%20SAFETY%20NEWSLETTER-AUG08.pdf

…The investigation concluded that the cause of the accident was the activation of the AOA protection system which, under a particular combination of vertical gusts & windshear and the simultaneous actions of both crew members on the sidesticks, not considered in the design, prevented the aircraft from pitching up and flaring during the landing.

Dans le même document je vous recommande la lecture de l’article : Dual side stick inputs (en fin de page 2 et page 3)

L’accident d’Armavia : 

… At this moment the co-pilot intervened and moved the side stick to the left stop position (20o) to counter the increasing right bank, while the Captain continued making control inputs to increase the right bank. Apparently the co-pilot was trying to counter the bank only. However, while moving the side stick sideways to the stop position, he had made forward control inputs on it as well (a “parasitic” input produced by high sideward forces applied to the side stick in the stop position)…

(aucun survivants)

La prise de priorité :

Initialement conçue pour qu’un pilote puisse isoler un Sidestick devenu défaillant.

En appuyant sur un bouton situé sur son propre Sidestick, et en le maintenant pressé, la procédure de priorité est initiée.
Le pilote qui prend la priorité l’annonce : un message visuel (flèches indiquant le sens de la priorité) et sonore confirme l’action.

C’est ce qui devrait être toujours le cas mais les innombrables cas de Double Pilotage démontrent que par action réflexe les pilotes activent leurs Sidesticks simultanément, la plupart du temps sans conséquences visibles, parfois conduisant au désastre.

AF447 :

Il y a eu une demi douzaine de Dual Inputs.

L’un d’eux au pire moment.
à suivre ...

NAV ADR DISAGREE, le message ECAM qui aurait pu modifier le destin tragique de l’AF 447.

H + 2 mn 39 s :



C’est le seul message ECAM qui oriente vers la Check-List IAS Douteuses.
Cela fait 2 mn et 39 s que les sondes ont givré, l'avion est en décrochage depuis presque 2 minutes, aux environ de 20 000 ft quand ce message apparait.
Aucun des trois pilotes n'y a fait allusion, toutes leurs ressources concentrées sur les difficultés de pilotage.

Retour au Point 13 IAS DOUTEUSES ... UNRELIABLE AIRSPEED

Parmi les cas étudiés de givrages de sondes Pitot par les organismes chargés de le faire je n’ai trouvé que de 3 cas sur A 330 - 200. (à vérifier)
Tous les autres sont des A 330 - 300 ou A 340.

Pour l’un d’eux, vol Air Caraïbes, le message ECAM NAV ADR DISAGREE est apparu en première lecture et a permis à l’équipage de sortir ce cette mauvaise passe en s’appuyant sur la Check-List IAS Douteuses.

Pourquoi cet avion a-t-il publié en premier la seule annonce valable dans ce cas de figure ?

Quelques minutes auparavant  cet avion avait traversé une zone de fortes turbulences et l’équipage avait appliqué la procédure « Severe turbulences » qui demande, entre autres, de réduire la vitesse à M .80, puis une fois la poussée correspondant au maintien de cette vitesse établie, de déconnecter l’A/THR.
Je suppose que c’est le seul fait d’avoir déconnecté l’A/THR qui a modifié l’ordonnancement de l’ordre d’apparition des messages ECAM.

Il faut ici rappeler quel fut l’écran de l’ECAM présenté à l’AF 447 :

H + 5 s :



Pas de NAV ADR DISAGREE mais AUTO FLT A/THR OFF

Sur Air Caraïbes, l’A/THR étant déjà sur OFF, le message n’avait plus lieu d’être.

Si le message NAV ADR DISAGREE était apparu au tout début de l’évènement, le sort de l’AF 447 aurait pu être différent.
Avec des si …

C'est une des raisons qui font de l'A 330 - 200 / AF 447 un cas unique parmi tous les cas de givrage de sondes connus.

La Loi ATTITUDES ANORMALES : Abonrmal attitudes.

Si l'avion sort de l'enveloppe de vol, des valeurs de paramètres extrêmes déclenchent la loi Attitudes Anormales.
Ce sont :

• Assiette : 50° cabré ou 30° piqué
• Inclinaison : 125°
• AoA (incidence) : 30°
• Speed : + 440, - 60 kt
• Mach : + 0.96, - 0.1

Le constructeur spécifie que l'avion étant très bien protégé contre les excursions en-dehors de l'enveloppe de vol il est inutile d'entrainer les pilotes à cette éventualité :

The effectiveness of fly-by-wire architecture, and the existence of control laws, eliminate the need for upset recovery maneuvers to be trained on protected Airbus aircraft.

L'AF 447 a rencontré les valeurs de vitesse et d'incidence déclenchant la Loi de pilotage Attitudes Anormales.

Pourtant, cette loi ne s'est pas activée.

Dans ce cas de figure l'AutoTrim aurait été stoppé.
Un message rouge USE MAN PITCH TRIM aurait été affiché sur le PFD.
Je pense même qu'il y aurait eu :

MAN PITCH TRIM ONLY
USE MAN PITCH TRIM



Est-ce que l'activation de cette loi aurait augmenté les chances des pilotes de comprendre la situation ?
Probablement pas. Peut-être que cela aurait rajouté de la confusion.

Mais cela témoigne de la complexité de la situation où il n'y a pas que les hommes qui n'ont pas réagi "as design" ...

Il faut noter que l'AUTOTRIM est stoppé aux basses vitesses (VLS) en Normal Law, en Alternate Law, en Abnormal Attitude Law mais continue sa course jusqu'à la butée à cabrer en Alternate Law 2B.
Pourquoi ? N'est-ce pas une grave erreur ?

Enfin, il faut noter que, encore une fois, comme pour le décrochage, le constructeur Airbus recommande de ne pas entrainer les pilotes aux attitudes inusuelles.
... tout en affirmant que l'avion a fonctionné "as designed" ...

L’alarme de décrochage : STALL !

Depuis bientôt 3 minutes, l‘avion est en Deep Stall, en décrochage profond.
Il n’ a pas fait l’abattée, cette révérence qui caractérise le décrochage et facilite son l’identification

L'abattée du B 777

L’A330 tombe, pratiquement à plat.
Il dégringole avec agitation, basculant brutalement d’une aile sur l’autre, hochant du nez.

C’est que les Airbus A330 ont des particularités dont une que j’ai que j’ai décrite au Point 9 :

Une conception incompréhensible permet à l’AutoTrim de continuer son activité aux très basses vitesses, jusqu’à la butée.

N’ayant aucun retour d’effort, le pilote n’a aucun moyen physique de percevoir la décélération, puis la chute en décrochage.

Le PHR, plan fixe horizontal, est à sa butée maximale.
 De surcroît, la loi Alternate 2B limite le débattement de la gouverne de profondeur.

La règle exige que l’alarme Stall dure tant que les conditions qui l’ont déclenché n’ont pas été corrigées.

CS 25.207 Stall warning

(c) Once initiated, stall warning must continue until the angle of attack is reduced to approximately that at which stall warning began.

C’est clair : l’alarme doit sonner aussi logntemps que l’avion est en décrochage.

Pourtant, ce n’est pas le cas sur A 330 : le constructeur a décidé qu’à très basses vitesses l’alarme STALL n’avait plus lieu d’être et en-dessous de 60 kt l’alarme est stoppée.


Dès que la vitesse redevient supérieure à 60 kt l’alarme est réactivée.

Cette conception qui me parait être en désaccord avec la règlementation va avoir des conséquences catastrophiques pour l’AF 447.

En décrochage profond, la vitesse étant passé sous 60 kt, valeur choisie par le constructeur, l’alarme STALL s’est tue.

Plus loin dans la chute, peut-être suspectant un décrochage, le pilote PNF a décidé de tenter de faire piquer l’avion pour gagner de la vitesse seule chance de sortir d’un décrochage bas.
Il a poussé sur son Sidestick.
Le tracé des enregistreurs de paramètres l’attestent, l’avion a bien répondu et son nez a basculé à piquer.


La vitesse a accélérée.
Tout va bien, dès que l’avion aura atteint une vitesse suffisante, il suffira d’une ressource et l’avion sera sauvé.

« STALL ! STALL ! STALL ! »

Dès que la vitesse a été supérieure à 60 kt l’alarme de décrochage s’est déclenchée …

Par un geste réflexe les deux pilotes ont réagit et ont tiré à cabrer sur leurs Sidesticks.

Le nez de l’avion est remonté, la vitesse a diminuée, est revenue sous 60 kt, l’alarme s’est arrêtée donnant à penser aux pilotes qu’ils avaient correctement agi.


C’était leur dernière chance de pouvoir se sauver.

Sur le schéma ci-après, tiré du DFDR, on retrouve cet épisode désastreux dans une séquence de Double Pilotage :





Le PNF a demandé la prise de commandes :
« Alors donne moi les commandes. A moi les commandes. »
Le PF :
« Vas-y, tu as les commandes. on est en TOGA … toujours … hein »

1 à 2 : Double Pilotage

le PNF (vert)  est à piquer,
le PF (rouge) est à cabrer,

• la gouverne de profondeur bouge à peine
• l’assiette est quasi stable
• le PF (rouge) est à cabrer,

2 à 3 :
• le PNF revient à piquer
• le PF place son Sidestick au neutre
• la gouverne de profondeur se déplace à piquer
• l’assiette diminue à piquer

L’avion est en récupération.

H + 3 mn 50 s :
L’alarme STALL se ré-active.

La réaction logique des deux pilotes est logique, mais en Double pilotage :
• le PNF est à cabrer
• le PF est à cabrer
• la gouverne de profondeur repart à cabrer
• l’assiette augmente à cabrer


H + 3 mn 58 s :
• l’avion est revenu en décrochage profond
• l’alarme STALL s’éteint
• l’alarme Dual Input s’active, mélangée à l’alarme C-Chord.


H + 4 mn 23 s :
Fin de l’AF 447

Une hypothèse, juste une idée que je n'ai pas les moyens techniques de vérifier.

Supposons que la conception des PHC soit telle que l'intensité du réchauffage des sondes Pitot soit fonction de la température extérieure.

Quelques minutes avant d'entrer dans le nuage de cristaux de glace l'avion a traversé une masse d'air "chaude".
Commentaire des pilotes :

H - 4mn 46 s : "Standard plus 10 ..."
(10° de plus que la température de référence à cette altitude)

H - 3 mn 25 s : "Standard plus 13 ..."

H - 1 mn 18 s : "On sent que c'est vachement plus chaud ..."

H - 1 mn 16 s : "C'est ça qui fait chaud ..."

H - 45 s : "C'est étonnant comme il fait chaud d'un coup"

Supposons que suite à une information de température "chaude", le PHC ait diminué l'intensité du réchauffage des sondes.

Supposons que l'avion soit alors entré dans le nuage de critaux de glace, dans une masse d'air nettement plus froide.

Supposons que les sondes, plus froides n'ait pas pu faire fondre les cristaux qui se sont alors accumulés jusqu'à boucher les 3 sondes, à peu près simultanément.

Supposons qu'informé de cette brutale baisse de température le PHC ait réagi en augmentant l'intensité du réchauffage.

Supposons qu'il ait fallu quelques dizaines de secondes pour obtenir le résultat escompté, à savoir la remontée en température jusqu'à la fonte de cristaux de glace.

Ce scénario, totalement imaginaire (!) a l'avantage de répondre à deux questions :
• Il expliquerait pourquoi tous ces cas de givrages de sondes qui ne durent que 1 à 2 minutes.
• Il expliquerait pourquoi les vitesses de l'AF 447 seraient redevenues correctes au bout d'une minute environ. (nous le savons par l'analyse du BEA, l'équipage ne l'a pas relevé)

Voilà donc une idée ... juste une idée ...Quel dommage que le BEA n'ait pas exploré cette hypothèse d'un lien entre TAT et PHC ... juste pour invalider cette idée.

Un regard sur Adeline ... en fait A.D.E.L.I.N.E.
Un projet de la Commission Européenne :

Tout est expliqué là ...

Ce que je retiens, dans le cadre de l'AF447 :

...to increase lifetime and maintain constant lifetime performance, new de- and anti-icing technologies using new innovative heating elements and a new auto test for the pressure sensor to detect erroneous information. ...

C'était en 2003.
Les sondes Pitot avaient déjà montré à de nombreuses reprises leur dangereuse fragilité en situation de givrage (et aussi sur A 320, par fortes pluies)

Qu'est donc devenu ce beau projet ?...

Il me semble qu'il a été abandonné ...

Les essentiels :

• Les nombreux cas de givrages de sondes Pitot précédant l’accident n’ont pas été pris en compte avec la gravité qu’il convenait.

• Alors que la FAA a classé au plus haut niveau de criticité (« Catastrophic ») la panne d’information de vitesse, Airbus l’a déclassé à Medium dans son analyse de sécurité.

• En 2008, quelques mois avant l’accident de l’AF 447, les PHC ont été remplacés par un nouveau modèle dont les critères de certifications laissent planer un doute.

• La modification du FWC (Flight Warning Computer) ne parait pas conforme à la règle.

• La perte d’information de vitesse n’a entrainé aucun des messages ECAM prévus, NAV ADR Discrepancy, et surtout NAV ADR DISAGREE.

• La perte de l’information de vitesse a entrainé une erreur majeure de la chaine altimétrique entrainant une baisse de l’altitude indiquée avec Alarme d’écart associée.

• Alors que le système ECAM annonçait une réversion en Loi dégradée Alternate Law 2B, les commandes de vol passaient en réalité en DIRECT LAW sur l'axe de roulis a l’insu du pilote.

• Introduire sans avertissement une loi hybride alors que l’avion était déjà en situation dégradée augmente considérablement le risque de perte de contrôle.

• Une mise en virage intempestive de l’avion a entrainé des réactions excessives dues à la DIRECT LAW qui ont absorbé les ressources du pilote pour contrôler l’inclinaison.

• Le positionnement excentré des Sidesticks, hors des champs visuels réciproques de chaque pilote n’a pas permis au copilote PNF de noter les amplitudes importantes du Sidestick opposé.

• Dès le début, les commandes de vol ont séparé les pilotes et les ont maintenu dans des représentations mentales isolées et parfois contraires de la situation.

• Le CRM est un des fondements du pilotage des avions modernes. Le système de commandes de vol des Airbus n’a pas permis en situations dégradées de recentrer l’équipage sur un objectif commun.

• Le réarmement du Flight Director en modes basiques HDG / VS (Heading/Vertical-Speed) a entrainé des ordres à cabrer systématiques contraires aux réalités de la situation.

• Les messages ECAM n’avaient aucun lien direct avec la panne des sondes Pitot et le rythme élevé de la recomposition de l’écran ne permettait pas la lecture ni la compréhension pour favoriser l’analyse.

• La stabilité longitudinale statique positive de l’A 330 ne correspond pas à la CS 25, notamment en Alternate law 2B.

• La loi de pilotage Nz par facteur de charge et l’activité de l’Autotrim n’envoient aucun retour d’efforts aux commandes de vol, pourtant exigence de la réglementation CS-25.

• La loi de pilotage Nz par facteur de charge a maintenu en activité l’Autotrim jusqu’à la butée du PHR et jusqu’au décrochage.

• L’absence de retour d’effort aux très basses vitesses n’a pas permis au pilote de prendre conscience de la dangerosité de la situation.

• Les caractéristiques de l’ A330 - 200 font de l’accident de l’AF447 un cas unique car les A330-300 & A 340 ne sont pas sujets à une perte d’altitude en cas de perte de vitesse.

• La flèche du SpeedTrend a indiqué une accélération alors que l'avion était en perte de vitesse.

• L’alarme STALL ne répond pas à la CS 25 car elle doit être active tant que le phénomène qui l’a déclenché n’a pas été corrigé.

• La possibilité de Double Pilotage a été une des raisons de la non récupération du décrochage.

• Le fonctionnement inversé de l’alarme de décrochage a éliminé la dernière possibilité de récupération de l’avion par les pilotes.

• Il ne faut pas considérer chaque panne séparément mais les placer dans leur globalité pour comprendre l’incapacité des pilotes à maitriser la situation.

CS 25 versus Special Conditions :   F-3 Static Longitudinal Stability

Les Airbus ne répondant pas aux exigences de la CS 25 (171,173,175), voici un texte qui parait définir les conditions dérogatoires à la règle.
 SPECIAL CONDITIONS

TCDS A.004 ANNEX - Airbus A330 - Special Conditions

This appendix to the EASA TCDS A.004was created to publish selected special conditions that are part of the applicable certification basis:

Table of Content:
SPECIAL CONDITIONS  F - 3: Static longitudinal stability
Disclaimer
–
This document is not exhaustive and it will be updated gradually.
Page 35

SPECIAL CONDITION     F - 3:    Static longitudinal stability
APPLICABILITY:                         A330 / A340
REQUIREMENTS:                       JAR 25.171, 25.173, 25.175, SC F - 1
ADVISORY MATERIAL:                N/A
The aircraft shall be shown to have suitable stability in any condition normally encountered in service, including the effects of atmospheric disturbances.

Interpretative material:

The evaluation of the aeroplane's static longitudinal stability characteristics shall be by flight and simulator tests. Control laws that result in neutral static stability throughout most of operational flight envelope may be accepted in principle subject to:
- adequate speed control without excessive pilot workload
- acceptable high and low speed protection
- provision of adequate cues to the pilot of significant speed excursions beyond VMO/MMO and below take-off and landing scheduled speeds.

The following considerations will be relevant to the evaluation:

- accurate speed control will be particularly relevant in the full range of operating speeds including low speeds (scheduled speeds at take-off and landing with or without engine failed) and high speeds for each configuration including VMO/MMO

- Since conventional relationships between stick forces and control surface displacements do not apply to a manoeuvre demand control system, longitudinal static stability characteristics will need to be determined on the basis of the aeroplane's response to disturbances rather than simply on the basis of stick force versus speed gradients.

- Adequate high or low speed cues may be provided by a strong positive stability gradient and/or alerting system.

- A force gradient of 1 lb for each 6 knots, applied through the side-stick, shall be considered as providing this strong stability.

Le débat ici : AF447 : Commentaires

Les 20 dernières secondes avant l'entrée en décrochage ...

Je reviens sur cette phase du vol qui précède l’entrée en décrochage, grosso modo entre H + 20 s et H + 45 s.

Durant cette phase du vol le Sidestick est majoritairement à piquer, et pourtant l’avion réagit très, très lentement.

Pourquoi ? Comment démontrer la complexité de la situation à cet instant.

En Normal Law, lorsque le pilote déplace son Sidestick, il n’agit que sur la Gouverne de Profondeur (Elevator)
Puis le système Autotrim déplace le PHR (THS) afin d’améliorer la trainée résultante. (système commun aux Airbus et Boeing CDVE)
(fig 1)


Pilote : profondeur (Elevator)
Automatisme : PHR (THS)



Ce que recherche le pilote lorsqu'il place son Sidestick à piquer :




En Alternate Law, lorsque l’avion pénètre dans les basses vitesses, le système envoie un signal à cabrer au PHR pour maintenir la trajectoire. Cette trajectoire n’est pas forcément celle voulue par le pilote mais la dernière mémorisée via les accéléromètres : pour ce faire le PHR ira jusqu’à la butée à cabrer.
(fig 2)





Le pilote est alors pris entre deux faisceaux d’actions et d’informations contraires :
d’un côté :
• son action à piquer pour redescendre.

de l’autre :
• le gain sur la gouverne de profondeur diminué (ALTN 2B) qui amortit ses ordres
• le PHR à cabrer (ALTN 2B)
• les moteurs à poussée maximale qui entrainent un couple à cabrer,
• le débattement limité de la gouverne de profondeur (ALTN 2B)

et des informations contraires à la situation :

• Speedtrend en accélération
• FD donnant encore, des ordres à cabrer.
• des vitesses erratiques, tantôt justes, tantôt fausses.

Au final, ce schéma pour tenter de résumer la conjonction des éléments.





Le débat ici : AF447 : Commentaires

De la difficulté de l'analyse de cet accident extraordinaire, à partir de deux "images", la première tirée du rapport du BEA, la seconde tirée du rapport d'expertise judiciaire :


1 ère image : les hoquets du FD. Noter la séquence qui débute à 02h 10mn 26s





2 ème image : le PFD à la même heure, à la seconde près :



1 ère remarque :

Puisque le FD vient de se réarmer, il le fait en modes basiques Heading & Vertical Speed, soit au cap et sur le variomètre instantanné, donné +6000.

Dans ce cas la barre de Pitch, barre d'assiette devrait être centrée et non indiquant une forte demande à piquer ...

2 ème remarque :

Pourquoi afficher le drapeau FD rouge puisque le FD est à nouveau disponible : d'une part l'image des hoquets du FD (image 1), d'autre part parce que les barres de tendances, vertes (image 2), sont présentes.
Pas de barre = FD Rouge
Barres vertes = FD rouge disparait.

Note : ce PFD doit être celui du PNF puisque les vitesses du PFD copilote PF, côté droit, ne sont pas enregistrées.

3 ème remarque :

Toutes les vitesses caractéristiques du Speedtape ont disparu.
Bizarre : Le FD tire ses informations du FMGEC et il est OK à cet instant.
C'est la partie FE du FMGEC qui calcule certaines des vitesses caractéristiques : Minimum Speeds, VLS et Green Dot.

Je rappelle qu'il s'est écoulé 45 secondes entre le début du givrage et l'entrée en décrochage ...
45 secondes pour contrer le départ en pseudo-descente, la mise en virage intempestive, maitriser les changements de lois de pilotage, interpréter les messages ECAM, les alarmes sonores, les fausses alarmes STALL, etc, etc ...

Bonjour,

Peut-être ne le saviez-vous pas, les médias l'ont ignoré, ou l'avez-vous oublié :

Le jugement rendu en avril dernier 2023 a condamné Airbus et Air France au civil mais relaxé au pénal.

Les parties civiles qui ont fait appel de ce jugement ont eu gain de cause et le jugement a été "cassé" : nouveau procès dans moins d'un an.

Ceux qui auront suivi mon activité sur ce sujet devineront combien je suis satisfait de ce nouveau procès.

Ma position simplifiée : l'accident est du à deux facteurs majeurs :

• les sondes Pitot : l'historique de ces sondes auraient du entrainer de la part d'Airbus la consigne de retirer ces sondes.
• La protection "anti-décrochage" : à l'instant de la perte des sondes Pitot l'avion a régressé dans la loi de pilotage Alternate 2. (ALTN 2)
Dans cette loi ALTN 2 l'avion est en stabilité longitudinale NEUTRE.
Un avion sen stabilité longitudinale Neutre doit être pourvu d'un protection basse vitesse.
Or l'A330 n'en est pas équipé.
De mon point de vue il y a là un manquement flagrant à la règle.

Si l'avion avait été équipé de cette protection en ALTN 2, l'avion n'aurait pas décroché, il n'y aurait pas eu d'accident.

à suivre ...