AF447 : un accident d'une extraordinaire complexité

Point 14 : Loi normale, lois dégradées

Pour résumer, les avions modernes à commandes de vol électriques ont des calculateurs qui connaissent tout de l’avion : notamment les performances et les limitations, particulièrement celles de l'enveloppe de vol.
L’architecture des commandes de vol d’un A 330 est extrêmement complexe, et il n’est pas possible ici d’en dessiner la structure autrement que par ce schéma très simplifié :



3 calculateurs PRIM (Primary Fliht Computers) et 2 SEC (Secondary Flight Computers) dialoguent entre eux et reçoivent les ordres des deux Sidesticks qu’ils traitent et renvoient vers 2 FCDC (Flight Control Data Concentrators) d’où partent les signaux électriques vers les gouvernes. (il y a d’autres calculateurs , EIS, CMC, …)

En cas de panne, des alarmes locales apparaissent à l’ECAM et sur le panneau de commande des calculateurs situé au plafonnier, au-dessus de la tête des pilotes :





Les lois de pilotage des commandes de vol sont à plusieurs niveaux :
Normal Law … Altenate Law 1 … Alternate Law 2 … Direct Law






En cas de panne interne dans les calculateurs, le système rétrograde, de Normal Law en Alternate Law 1, etc …
Sauf que dans le cas de l’AF447 le système a basculé directement en Alternate Law 2B, loi hybride qui se partage entre Alternate law 1 (tangage) et Direct Law (Roulis), et que cette rétrogradation s’est faite à l’insu des pilotes.

De 15°/s en Alternate Law 1 le taux de roulis passe à 25°/s en Direct Law.

Enfin, à lire cet extrait du FCTM d’Airbus, il y a une grande différence de l’analyse de panne selon les modèles d’avion :

In a failure situation, various combinations of ADR faults may occur, each interpreted differently by the PRIM and FE computers:
· One ADR output is erroneous and the two remaining ADRs are correct. The PRIMs and the FEs reject the faulty ADR. On basic A333/A343 aircraft, there is no ECAM alert, however one PFD will display some incorrect parameters. On the A346 and enhanced A333 aircraft, if one ADR output is erroneous, and if this ADR is used to display the speed information on either PFD, a NAV IAS DISCREPANCY caution is triggered

Parmi la cinquantaine de cas de givrage de sondes Pitot répertoriée avant le 1er juin 2009, il n'y a que 3 A330-200.
Or l'AF 447 était un A 330 - 200. Pas d'alarme par un message ECAM.

DÉROULÉ AF447 de 02 h 10 mn 05 s à 02 h 10 mn 10 s


En cette nuit du 1er juin 2009, il est 2 heures 10 minutes et 5 secondes quand suite au blocage des sondes Pitot par accumulation de cristaux de glace, l’AP, Auto Pilot; se déconnecte : alarmes sonore + Master Warning + message ECAM rouge + Flag AP rouge au PFD.
Le copilote assis à droite, PF, annonce qu’il prend les commandes et appuie sur le bouton rouge de son Sidestick.
Cette alarme, prioritaire, cesse et d’autres alarmes sonores et visuelles prennent instantanément le relais.
En observant son écran de pilotage, PFD, le copilote PF constate deux phénomènes simultanés : l’avion est en descente et est parti en virage à droite.



Un coup d’oeil à l’ECAM informe les deux copilotes que des pannes y sont affichées, dont l’une concerne les commandes de vol qui sont passées en loi dégradée :(voir Point 14)



L’avion est en descente et en virage à droite : il faut corriger, vite !
Le copilote PF cabre et incline son Sidestick à gauche. L’avion relève son nez mais bascule très rapidement sur son aile gauche.
Surpris et par réflexe, le PF donne un coup de Sidestick à droite. L’avion bascule à droite. Impulsion à gauche, à droite et l’avion bascule à gauche, à droite …
Le pilote mettra une vingtaine de secondes à maîtriser ces réactions totalement inhabituelles, dont on peut suivre le tracé sur cet extrait des boites noires (DFDR).
Au milieu l’inclinaison de l’avion, en bas les inputs du Sidestick PF que j’ai inversé pour la mettre en miroir de celle de l’avion :


La lecture du message F/CTL ALTN LAW a dû logiquement entrainer le regard des deux copilotes vers le panneau des commandes de vol au plafonnier (Schéma Point 14)
Tous les voyants FAULT sont éteints. Alors ?… Alors ?...

Une ligne de l’ECAM rappelle les valeurs de survitesse : 330kt et M.82.
Or l’avion était à M .80, il est descendu … attention à la vitesse …

Une ligne de l’ECAM confirme un problème au niveau du système AUTO FLIGHT .
Une ligne qui informe de la perte de la protection Windshears.

Il ne s’est écoulé que deux secondes, le copilote PNF n’a pas eu le temps de lire et de comprendre la première ligne que déjà, l’ECAM se recompose et affiche un nouveaux message prioritaire qui repousse en queue de liste les précédents.



AUTO FLT A/THR OFF :
La gestion du système AUTO THRUST est en panne. (voir Point 7)

Une alarme STALL interrompt tout : prioritaire elle surpasse les autres alarmes sonores.

Pourquoi cette alarme :

Expertise judiciaire :
Plusieurs équipages mentionnent avoir perçu en premier l'alarme de décrochage (STALL). Cette alarme, intervenant simultanément au passage en loi de pilotage alternative (ALTN 2), est due à une modification du seuil de déclenchement, plus sensible qu'en loi normale.
De ce fait le seuil est rapidement atteint en conditions turbulentes.
Une voix synthétique annonce par les hauts parleurs ou les casques audio le mot « STALL » de façon répétitive. Le volume de cette alarme ne peut pas être réduit.
L'alarme STALL WARNING est vécue comme très préoccupante par les équipages et a été interprétée systématiquement comme peu vraisemblable.
Elle n’a jamais été suivie d’action par les équipages.
Pourtant dans le mental d'un pilote, cette alarme est l'annonce de la chute imminente de l'avion et du risque de perte de contrôle.

Alors que l’ECAM se recompose, le PFD connait également des changements drastiques.
Les modes de Navigation Verticale et Latérale sont passés en modes de réversion. Ainsi, ALT CRZ et NAV ont été remplacés par V/S et HDG.



Le blocage de l’A/THR est confirmé par le clignote du symbole THR LK à la gauche du FMA, ainsi que les changements de modes V/S et HDG, qui ont été normalement encadrés quelques secondes dans un rectangle blanc …
Le FD est tombé en panne, un Flag rouge FD est à gauche de l’horizon artificiel et les barres vertes ont disparu, abandonnant le copilote PF.
Ainsi, en moins de 5 secondes, des messages ECAM que les pilotes n’ont pas eu le temps de lire, un tableau instrumental exigeant des corrections immédiates, des commandes de vol aux réactions dédoublées en roulis, et des alarmes sonores multiples qui se chevauchent dans un tintamarre persistant …
à suivre …

DÉROULÉ AF447 de 02 h 10 mn 10 s à 02 h 10 mn 20 s

Stimulé par l ‘alarme d’écart d’altitude le pilote a cabré raisonnablement l’Airbus A330-200.
Pour contrer la mise en virage autant intempestive qu’inexpliquée, il a donné un input sur son SIdestick, mais le résultat a été exagéré par le passage incognito des lois de pilotage en Alternate 2B, ce qui a détruit l’harmonie des commandes sur les axes de tangage et de roulis. Le pilote va mettre une vingtaine de secondes pour appréhender ce nouveau mode de pilotage totalement inconnu.

FCTM A330 : In roll direct, the aircraft appears to be very sensitive …

Dans le même laps de temps, l’ECAM se recompose.
Il est naturel pour le pilote aux commandes de jeter un oeil à l’ECAM pour y lire les messages de panne et se faire déjà, une idée de la situation.
Ce qui revient à dire que dans ces 5 secondes le copilote PF a pris les commandes en manuel, l’a annoncé à son collègue, a vu l’avion descendre et a corrigé, a vu l’avion s’incliner et a corrigé, a vu le message F/CTL et a jeté un oeil au plafonnier pour y chercher une éventuelle alarme de panne locale, et a constaté les nombreux changements et messages de pannes sur son PFD.

Les blocages des sondes Pitot entrainent comme conséquences connues : (mémo Point 1)

• 1 ADR h/s et les 2 autres correctes : sur les A330  «anciens", publication de paramètres erronés sur le PFD. Les deux autres PFD sont exempt de pannes. Sur les A330 récents, apparition d’un message ADR NAV Discrepancy qui oriente vers la Check-list IAS Douteuses. (AP et A/THR fonctionnent normalement)

• 2 ADR h/s et 1 ADR correct : message ECAM NAV ADR DISAGREE qui oriente vers la Check-list IAS Douteuses.. (AP et A/THR se déconnectent) (ALTN 2)

• 2 ADR h/s mais fournissent des informations identiques, 1 ADR correct : la bonne ADR est rejeté et l’avion utilise les éléments erronés des 2 ADR en faute : aucun message ECAM.

• 3 ADR h/s : idem cas précédant. Aucun message ECAM.

Pourtant il est dit que :

Certification :
BEA  :
L’A330 répond aux exigences de la règlementation en vigueur au moment de la demande du certificat de type, à savoir le JAR 25 change 13 ou 14 et aux conditions spéciales émises par la DGAC.
...
Elles précisent notamment que :
… les systèmes et les alarmes associées doivent être développés en minimisant les risques d’erreur de la part des équipages ;
des moyens d’information doivent être mis en place afin d’alerter les équipages de la survenue d’une panne et de leur permettre de prendre les mesures appropriées.

Sur l’ECAM de l’AF447, durant 2 minutes et 39 secondes il n’y a eu aucun message NAV ADR DISAGREE ni NAV ADR DISCREPANCY.
Or ce sont ces messages qui orientent vers la procédure IAS Douteuses, procédure adaptée à la situation.

Encore 5 secondes et l’ECAM se recompose :



Le message ENG THRUST LOCKED, prioritaire, chasse les autres messages pour se positionner en première ligne.
 Il annonce que la poussée des réacteurs s’est figée à la poussée instantanée et que, si besoin, il faut utiliser manuellement les manettes de gaz. (voir Point 7)

Panne du Flight Director. Sur le PFD, le FLAG FD rouge apparait alors que les barres de tendance vertes disparaissent.
Les vitesses limites ne sont plus affichées et le message SPD LIM apparait en bas à gauche de l’horizon artificiel.



Absorbé dans son travail de maitrise de l’inclinaison le copilote PF tire un peu trop sur son Sidestick, l’avion se cabre vers une dizaine de degré et part en montée avec un fort taux de montée.




Sur la courbe verte du haut de cet extrait du DFDR on voit très bien que des inputs à cabrer, justifiés au début, s’amplifient dans cette tranche H + 10 à H + 20 pour se modérer ensuite proche du neutre et que cette « erreur » est très étroitement liée à la difficulté de la la maitrise de l’inclinaison générée par le basculement en Direct Law tout autant soudain que non signalé.

La question que l'on peut se poser est : pourquoi le copilote PNF n’a-t-il pas aidé de ses conseils le PF ?...
Les Sidesticks sont hors des champs visuels réciproques des pilotes et préoccupé par l’analyse de panne, il ne pouvait que supposer que son collègue aux commandes faisait ce qu’il fallait pour remédier à une situation et des difficultés de pilotage qu'il ne pouvait comprendre, étant comme le PF ignorant de ce changement de loi de pilotage autant inopportun.
Les Sidesticks n'étant pas conjugués, le Sidestick gauche était strictement immobile au neutre, ne fournissant aucun information, dédaignant deux sens fondamentaux chez l'homme : le toucher et la vue.




C’est un des inconvénients majeurs des Sidesticks qui ne participent en rien à la notion et au concept du CRM.

à suivre …

Résumé d’étape :

Dans les toutes premières secondes les pilotes ont été assaillis d’informations de pannes diverses et de réversions de modes de pilotage.
En conséquences le pilote aux commandes a monopolisé ses ressources pour corriger les écarts signalés par ses instruments et pour maitriser l’instabilité en roulis due à un changement de loi de pilotage qui n’est pas porté à la connaissance des pilotes.

Il en est résulté une prise d’assiette trop importante et une mise en montée au cours de laquelle d’autres évènements ont aggravé les difficultés de la compréhension de la situation.

Les changements rapides des messages affichés à l’ECAM n’ont pas permis de débuter la lecture et l‘analyse des pannes publiées.

J’ai fléché sur l’image ci-dessous chaque symbole du PFD qui a été modifié au moins une fois dans ce très court laps de temps de H à H + 20 s.

Pour ne pas surcharger j’ai volontairement omis d’y rajouter le flag FD rouge et le flag SDP LIM rouge.
Par contre j’ai laissé les Masters Warning et Caution dont l’allumage et le klaxon associé ont été activés au rythme des pannes.








Cette image qu'il faut associer aux images ECAM et aux alarmes sonores devraient permettre de prendre conscience de l"impossible mission qui s'est abattue sur les épaules des deux copilotes aux commandes de l'AF 447.

Il est intéressant de noter à ce stade que chaque changement ou modification du FMA, et du PFD en général, doit être annoncé par un des pilotes et confirmé oralement par l’autre.

Il faut également rappeler que les titres des messages ECAM doivent être également annoncés, tout en rappelant qu’entre certaines recompositions de l’écran ECAM le temps alloué a été de 2 à 5 secondes …

Il n’est pas inutile de rappeler que les messages sonores se superposent ou plutôt peuvent être masqué par d’autres alarmes sonores prioritaires.
Voici deux exemples qui se sont produits dans le laps de temps H + 5 s à H + 20 s :

Deux messages STALL intempestifs car ne correspondant pas à une menace réelle se sont déclenchés, dont un à l’instant où l’avion franchissait 250 ft au-dessus du niveau de croisière, masquant ainsi l’alarme sonore d’Ecart d’Altitude. Une diabolique fatalité car cette alarme aurait pu alerter le copilote PF sur la prise d’assiette. (c’est ce qui s’est passé à H + 5 s  et à H + 8 s)

L’alarme sonore liée au Thrust Lock peut-être masquée par l’alarme d’écart d’altitude, alors prioritaire.

Le Flight Director qui avait disparu est de nouveau disponible et les barres de tendances apparaissent, bien centrées sur l’horizon artificiel : c’est rassurant pour le pilote et cela le conforte dans l’idée que la position de l’avion tant en assiette qu’en cap est correcte

Deux évènements parmi tant d'autres vont participer à l’erreur de pilotage :
• d’une part le fait qu’en se ré-armant le FD positionne les barres de tendance au centre de l’horizon artificiel.
• d’autre part l’absence totale de retour d’effort au Sidestick qui ne permet pas au pilote de réaliser physiquement que l’avion est en décélération.

Commentaire du BEA :
Pourtant, la stabilité statique longitudinale positive d’un avion peut s’avérer utile car elle permet au pilote d’avoir un retour sensoriel (via la position du manche) sur la situation de son avion en terme de vitesse par rapport à son point d’équilibre (trim) à poussée constante.

Le tri aléatoire du FWC : Flight Warning Computer

L’avion est descendu de 350 ft, l’altimètre et le variomètre l’ont indiqué. L’alarme d’Ecart d’Altitude qui depuis sonne sans interruption l’a confirmé.
Le Flight Director aussi qui a donné un ordre à cabrer.



Or, en fait l’avion est resté en palier. Le copilote a cabré pour suivre l’ordre du FD et pour corriger cette pseudo-erreur d’altitude, l’avion est parti en montée et à cette haute altitude et haute vitesse, le taux de montée a très rapidement atteint 6 à 7000 ft/mn (pieds par minute)
Dans cette situation l’avion va perdre rapidement sa vitesse.

C’est un fait capital dans cet accident : seul l’A330 - 200 est victime de cette chute d’altitude.(Point 2)

 Car, sur les 43 incidents de givrage de sondes Pitot recensés par les expertises, la plupart étaient des A330 - 300 ou A 340 qui, eux, ne sont pas impactés par cette panne altimétrique (Point 2)

Avec une ou deux sondes bouchées, ou même avec les trois sondes Pitot bloquées les A330 - 300 et les A 340 restent « instrumentalement » en palier : nul ordre du FD à cabrer, nul besoin de cabrer …
Il n’y a eu que très peu, deux, peut-être trois A 330 - 200 victimes de ces types d’incidents.

 Alors pourquoi les autres A330 - 200 sont-ils sortis indemnes de ces incidents ?

 Au moins pour l’un d’entre eux, un A330 - 200 d’Air caraïbes, parce que l’équipage a eu le message NAV ADR DISAGREE en première ligne à l’ECAM, message qui conduit directement à la procédure IAS Douteuses, seule adaptée à ce cas de figure, qui demande au pilote d’afficher 5° d’assiette, de passer les moteurs en poussée de montée (Cran CLB), puis de suivre la suite de la check-list dans le carnet QRH, où les pilotes trouvent assiettes et poussées pour toutes les configurations.

Alors, pourquoi la procédure NAV ADR DISAGREE est-elle apparue en première ligne sur l’ECAM de cet A330 - 200 ?
Quelques minutes auparavant cet équipage avait rencontré de fortes turbulences et en conséquences avaient appliqué la Check-List « Sévères Turbulences » qui demande, entre autres, de passer l’A/THR sur OFF.
De ce fait le message ECAM A/THR OFF (AF447) n’est pas apparu, ce qui a modifié l’ordre d’apparition des pannes et a laissé la priorité au NAV ADR DISAGREE …


Pour les uns, Air Caraïbes, le message NAV ADR DISAGREE qui recentre vers un défaut ADR qui oriente vers la procédure IAS Douteuses (perte des vitesses)




Pour les autres(AF 447) le message A/THR, lié au message  F/CTL qui perd l’équipage en conjectures …



Sans oublier la mise en virage intempestive de l’AF447 au plus mauvais moment …

Quel dommage que le BEA et les expertises n'aient pas étudié avec les moyens dont ils disposent ces cas de figures qui apporteraient beaucoup de précisions sur les causes de cet accident ...

DÉROULÉ AF447 de 02 h 10 mn 20 s à 02 h 10 mn 50 s

Les pilotes n’ont perçu la panne de vitesses au SpeedTape (PFD) qu’à :

H + 9 s : Commentaire du PF : « On a pas une bonne … »
H + 10 s : Commentaire du PF : « On a pas une bonne annonce de … »
H + 11 s : Commentaire du PNF : « Mince ! On a perdu les vitesses … Engine Thrust A/THR … » (tentative de lecture du message ECAM qui n’apparait que quelques secondes)
H + 14 s : Commentaire du PF : « ...de vitesse … »

Dans le même laps de temps les FD tombent en panne : flag rouge FD sur le PFD et les barres de tendance vertes disparaissent.





Une diabolique fatalité va venir aggraver l’incompréhension de la situation.

Tout d’abord, une alarme sonore STALL  intempestive s’est déclenchée  à l’instant où l’avion franchissait  35250 ft, c’est à dire au passage du déclenchement de l’alarme d’écart d’altitude.
 L’alarme STALL étant prioritaire a masqué l’alarme d ‘écart d’altitude à cet instant précis.

Ensuite les FD vont ré-apparaitre et conformément à leur mode de fonctionnement les barres de tendance vont se positionner en croix bien centrée.
Pour le pilote cette image très familière se traduit par : « Vous êtes à la bonne assiette et au bon cap. »
La réalité est autre : l’avion est en montée, sa vitesse décroit, son taux de montée décroit.





Or le FD ayant pris en référence le taux de montée instantané veut le maintenir et pour cela envoie un ordre à cabrer. 
Le pilote obéit, cabre légèrement. 
Le FD disparait, le pilote est livré à lui-même.
 La loi de pilotage par facteur de charge est toujours active, l’AutoTrim est actif et il n’y a aucun retour sensoriel au pilote de cette décélération.


Le copilote aux commandes, qui avait jusque là de grandes difficultés à maitriser l'inclinaison commence à dominer la Direct Law en roulis.
La courbe suivante témoigne de cette amélioration : (nous verrons plus loin qu'à H + 50 s l'avion entre en décrochage)



Il est important de noter que non seulement l'activité des inputs du Sidestick est moyennée autour du neutre, mais que la majorité des inputs sont à piquer.
Loin de l'image véhiculée par ailleurs d'un pilote cabrant sans discernement.

Alors, pourquoi l'avion n'a-t-il pas "piqué", évitant ainsi la décélération fatale.
Peut-être les conséquences de la loi de pilotage par facteur de charge.
Il eut été intéressant que les experts l'expliquent.

DÉROULÉ AF447 de 02 h 10 mn 20 s à 02 h 10 mn 50 s

Le pilotes n’ont perçu la panne de vitesses au SpeedTape (PFD) qu’à :

H + 9 s : Commentaire du PF : « On a pas une bonne … »
H + 10 s : Commentaire du PF : « On a pas une bonne annonce de … »
H + 11 s : Commentaire du PNF : « Mince ! On a perdu les vitesses … Engine Thrust A/THR … » (tentative de lecture du message ECAM qui n’apparait que quelques secondes)
H + 14 s : Commentaire du PF : « ...de vitesse … »

Dans cette phase d’une vingtaine de secondes qui précède l’entrée en décrochage, le copilote aux commandes a réussi à maitriser les difficultés liées à la Direct law en roulis, les ailes sont pratiquement horizontales et l’activité au Sidestick modérée.

Le copilote PNF ne comprend pas la situation.

 Quelques secondes auparavant l’ECAM s’est encore recomposé :



Un message concernant l’A/THR a disparu suite au déplacement des manettes de gaz (probablement par le copilote aux commandes).
Un autre, A/THR OFF, reste à l’écran.

Un nouveau message est affiché : le calculateur qui gère le débattement de la gouverne de direction en fonction de la vitesse est annoncé en panne.
 Hors, juste au-dessus, il y a toujours le message de panne des commandes de vol (F/CTL)
Comment associer les deux ?….
Comment associer l’ensemble ?…
Et le système Auto Flight, qui gère tant de choses est lui aussi annoncé en défaut sur l’ECAM.


Alors le copilote cherche du secours et tente de contacter le commandant de bord par le bouton d’appel au poste de repos, espérant de son expérience une réponse à ce fatras d’anomalies et de pannes.

Seulement, voilà, le commandant n’est pas encore dans son poste de repos et le copilote va perdre un temps précieux à relancer ses appels tout en observant les difficultés de pilotage que rencontre son collègue.

H + 22 s : Commentaire du PNF : « Fais attention à ta vitesse … »
H + 29 s : Commentaire du PNF : « Selon les trois tu montes … donc tu redescends … »

Ce propos m’interpelle : « Selon les trois tu montes… »
Normalement, à la lecture des altimètres, le copilote aurait dû dire : « Tu montes ! »

Cette formulation témoigne d’un doute sur les altimètres, qui sont passés de vert à ambre suite à l’écart d’altitude, dont l’alarme sonore a été masqué au passage +250 ft par une alarme de décrochage intempestive mais prioritaire …

Dans le même laps de temps les FD tombent en panne : flag rouge FD sur le PFD et les barres de tendance vertes disparaissent.

Figure A :




Une diabolique fatalité va venir aggraver l’incompréhension de la situation.

Les FD vont ré-apparaitre et conformément à leur mode de fonctionnement les barres de tendance vont se positionner en croix bien centrée.

Pour le pilote cette image très familière se traduit par : « Vous êtes à la bonne assiette et au bon cap. »
Seulement voilà l’avion est en montée, sa vitesse décroit, son taux de montée décroit.

Figure B :



Or le FD ayant pris en référence le taux de montée instantané veut le maintenir et pour cela envoie un ordre à cabrer.

Le pilote obéit, cabre légèrement pour ramener les barres au centre de l'horizon artificiel.


Figure C :




Le FD disparait à nouveau, le pilote est livré à lui-même.

La loi de pilotage par facteur de charge est toujours active, l’AutoTrim est actif et il n’y a aucun retour sensoriel au pilote de cette décélération.


Figure D :



Quelques courtes secondes et le FD se réarme en mode basique V/S et HDG, avec ses barres parfaitement centrées.

Figure E :



L’avion ne pouvant maintenir le taux de montée mémorisé l’image précédente, le FD envoie un ordre à cabrer.

Figure F :

BEA :

Utilisation opérationnelle du directeur de vol (FD)

« lorsque les FD sont utilisés, compte tenu de la dépendance des modes A/THR
aux modes verticaux, les ordres FD doivent être suivis » ;

Le pilote a obéit et cabre l’avion jusqu’à retrouver les barres bien centrées. Ce scénario diabolique va se reproduire 6 fois et chaque fois, obéissant au Flight Director, le pilote va cabrer, d'autant plus qu'il croit être en survitesse.

L'entrée en décrochage

A H + 50 s, l’A 330 AF 447 est entré en décrochage.

Une dernière protection, le PLI, aurait pu fonctionner (les croix ambres sur le PFD ) mais, comme les autres filets de protection, il a été également hors service … as per designed … dirait le constructeur.

Voici, tiré du FCTM du constructeur Airbus un schéma (j'ai rajouté le klaxon "stall") qui représente quand et comment s’activent les protections basses vitesses sensées protéger l’avion du décrochage.
Le couple vitesse / angle d’attaque définit des vitesses critiques qui sont affichées sur le SpeedTape, indicateur de vitesse sur le PFD, écran de pilotage.

Figure A : en Normal Law



En loi normale, l’AutoTrim cesse de fonctionner au passage de VLS. Conformément à la règle, le pilote doit alors tirer sur son Sidestick pour maintenir la trajectoire. Les ressorts de rappel au neutre du Sidestick tiennent alors lieu d’un pseudo retour d’effort.
(VLS = 1.18 Vs (Vs vitesse de décrochage))

FCTM Airbus :
To maintain the flight path, the pilot must increase the backpressure on the sidestick, which also provides a tactile indication that auto-trim has stopped.

Important : Noter qu’Airbus reconnait là l’importance d’un retour d’effort tactile …

Alpha Prot : vitesse qui active les protections basses vitesses en Loi Normale. (l’avion pique du nez pour ne pas décrocher, même si le pilote s’y oppose : le fameux avion indécrochable)
Alpha Floor : vitesse (liée à l’AoA) située entre Alpha Prot et Alpha Max qui déclenche dans certaines circonstances la mise automatique en poussée TOGA.
Alpha Max : en Normal Law au bord du décrochage déclenchement de l’alarme « STALL »

Résumé Normal Law :
• à VLS l’AutoTrim cesse de fonctionner, les ressorts de rappel envoient un pseudo-retour d’effort constant durant le décélération.
• à Valpha prot, l’avion pique du nez.
• à Valpha max, STALL ! STALL ! STALL !

Malheureusement, en loi dégradée, ici Alternate Law 2B, l’AutoTrim continu de fonctionner en deçà de VLS, le pseudo retour d’effort disparait et l’avion régresse incognito vers le décrochage … as per designed … Sidestick au neutre !…

BEA :
En particulier, l’approche d’un décrochage sur un avion classique est toujours associée à un effort à cabrer de plus en plus prononcé. Ce n’est pas le cas sur l’A330 en loi alternate. Il en résulte notamment que dans cette loi de pilotage l’avion, mis dans une configuration où la poussée n’est pas suffisante pour maintenir la vitesse sur la trajectoire, finirait par décrocher sans action sur le manche. Il apparaît que cette absence de stabilité statique positive a pu contribuer à l’absence d’identification par le PF de l’approche du décrochage.

Alternate Law :




Alpha Prot et Alpha Max sont remplacés par un bandeau unique noir/rouge, dont le sommet est VSW. (V Stall Warning)
(j'ai rajouté VSW et le klaxon sur le schéma initial)

AF 447 :

Voici ce qu'à dû être le SpeedTape de l'AF 447 :




Pour conclure ce chapitre sur l'entrée en décrochage de l'AF447, quelques extraits des différents rapports d'expertise :

- où il est dit  qu'aucun des équipages qui y ont été exposés n'ont cru à l'alarme STALL, même lorsque longuement active.
- que la présentation de l'alarme STALL dans la documentation équipage est incohérente
- que rien ne vaut un Stick Shaker comme moyen d'alerte basse vitesse ...

• STALL
Aucun équipage n'a suivi la procédure «STALL WARNING»,malgré la manifestation souvent gênante et oppressante de cette alarme, la jugeant incohérente.

…  Il est difficile, au vu de l'analyse du contenu documentaire, de comprendre la logique de la description de l'alarme STALL WARNING dans la documentation du constructeur Airbus.
Cette alarme apparaît comme une procédure d'urgence non ECAM dans le FCOM en  partie « Navigation ». Elle ne contient qu'un renvoi aux « Techniques Supplémentaires » en partie « Commandes de vol ».
La procédure décrite dans la partie « Techniques Supplémentaires » fait référence au paramètre « Vitesse » qui est le paramètre défaillant dans ce cas de panne.
Le QRH ne contient pas cette procédure d'urgence.

La description des systèmes ne fait pas mention du principe de fonctionnement de l'alarme Stall Warning. (l'alarme Stall Warning prend ses informations sur les sondes d'incidence avec seuil de déclenchement variable).
Le constructeur impose au pilote de réagir comme sur un avion conventionnel (sans commandes électriques). Sur les avions conventionnels, des procédures de récupération en cas d'alarme Stall existent et sont des actions à connaître de mémoire.
La procédure Stail Warning n'est qu'une procédure de prévention et non de récupération.
De plus, des protections complémentaires, comme les alarmes aussi dissuasives que « Stick Shaker » et « Stick Pusher » existent sur nombre d'avions conventionnels.
Si la loi normale procure des protections très efficaces contre les excursions hors du domaine de vo!, ceci n'est pas le cas en loi Alternate 2b et en loi directe.

Où il est dit que la procédure STALL Warning est opposée à la procédure IAS Douteuses et que cette procédure est fondée sur un paramètre vitesse qui dans le cas de l'AF 447 n'existait pas ...

Cette procédure préconise d'afficher la pleine poussée (TOGA) et de diminuer l'assiette de l'avion et après récupération initiale, de maintenir la vitesse au dessus de VSW (vitesse déclenchant T'alarme de décrochage). Cette action est en opposition avec le début de la procédure UNRELJABLE SPEED NDIC/ADR CHECK PROC qui demandait à monter, et d'autre part elle fait référence à respecter une vitesse qui dans ce cas précis est sensée être indiquée de façon erronée.

Où il est dit que le décrochage Basse Vitesse peut être confondu avec du buffeting haute Vitesse et que le constructeur Airbus indiquait inutile de s'entrainer à ces manoeuvres de récupération de situations inusuelles ...

BEA :… que le décrochage basse vitesse peut être confondu avec du buffeting haute vitesse.
Note : il n’est pas indiqué que le buffeting haute vitesse est un phénomène qui ne se produit pas sur Airbus à commandes de vol électriques.
Note : il est par ailleurs mentionné dans le FCTM que l’existence de protections rend inutile l’entraînement aux manœuvres de récupération des attitudes inusuelles.

L'"existence de protections" ... désolé, mais en Alternate il n'y a plus de protections ...

Alors que le pilote se perdait dans l’imbroglio de cette fin de montée, maitrisant à grand peine des commandes de vol dégradées, avec en toile de fond des documents du constructeur que les experts jugent incompréhensibles, des check-lists basées sur des vitesses évanouies, des systèmes en pannes, une nouvelle défaillance instrumentale va porter le coup de grâce.



Alors que la vitesse de l’avion régressait dangereusement, un instrument aurait dû les aider à appréhender cette menace : le SpeedTrend, une flèche évolutive en fonction de la vitesse, qui monte lorsque la vitesse augmente et descend lorsqu’elle régresse.

La pointe de la flèche donne la valeur qui sera atteinte dans 10 secondes.

Voici ce qu'aurait dû indiquer la flèche du SpeedTrend, qui aurait dû être orientée vers le bas :



Et voici ce qu'ont vu les pilotes de l'AF 447 :



Une accélération !

Alors que l'avion était en train de perdre les derniers souffles de vitesse, au bord du décrochage, le système dit aux pilotes que l'avion accélère ...

BEA
… la brusque augmentation de la CAS 2 provoque dans tous les cas un phénomène transitoire augmentant la valeur de speed trend pendant plusieurs secondes. Il apparaît ainsi que la flèche de tendance de vitesse indiquait une accélération pouvant être significative pendant quelques secondes avant et après l’activation de l’alarme de décrochage.

" ... avant et après l’activation de l’alarme de décrochage ..."

Lorsque l'on sait qu'aucun pilote d'Airbus ne croit à cette alarme lorsqu'elle se déclenche, dans ce cas précis, avec en plus un instrument "valide" qui indique une accélération, comment les pilotes de l'AF 447 pouvaient-ils en tenir compte.

Les pilotes sont familiers de cet outil très pratique qu’est la flèche de tendance du Speedtrend, surtout en conditions difficiles. Les indications de la flèche permettent d'anticiper sur la gestion de la vitesse par augmentation ou réduction de la poussée des réacteurs, par augmentation ou diminution de l'assiette.

Cette brusque accélération, au pire moment, a dû conforter le pilote aux commandes dans son imagerie mentale d’une vitesse excessive.
(il ne faut pas oublier le message affiché à l'ECAM : MAX SPEED .82 qui sensibilise a priori sur la survitesse)

Déjà sous la pression d’indications pour le moins oiseuses, stimulé à cabrer par les ordres du Flight Director, cette brutale indication d’une accélération l’a maintenu dans son schéma de pensée : survitesse et incompréhension.

Dans ces instants critiques le pilote PNF était partagé entre l'analyse de la situation et sa quête du commandant de bord, toujours injoignable malgré ses appels répétés.

Le délai a été très court. il ne s'est écoulé que 45 secondes entre la première panne  et l'entrée en décrochage.

Le décrochage :

L’avion est entré en décrochage à H + 45 s.

Juste avant, depuis 13 secondes, le copilote aux commandes maintenait son Sidestick à piquer.
Malheureusement, le FD s’est réarmé et a donné un ordre à cabrer, que le copilote PF a suivi.

En réaction à l’alarme de décrochage le copilote PF a engagé la poussée maximale TOGA.
(Depuis cet accident il a été décidé de modifier cette procédure car elle entraine un moment à cabrer qui amplifie le phénomène du décrochage.)

Pendant ces instants critiques, une partie de la disponibilité du copilote PNF était absorbée par ses tentatives de recherche du commandant de bord et il exprime son incompréhension de la situation :

H + 1 mn 16 s : Commentaire du PNF : « On a pourtant les moteurs … qu’est-ce qu’il se passe ?… »

H + 1 mn 19 s : Commentaire du PNF : « Tu comprends ou pas ce qu’il se passe ?… »

H + 1 mn 28 s : Commentaire du PF : « Je n’ai plus le contrôle de l’avion … »

Un instant crucial :

H + 1 mn 30 s le PF insiste : « Je n’ai plus du tout le contrôle de l’avion … »
En réaction le PNF annonce :
H + 1 mn 32 s : « Commandes à gauche »

Mais probablement inconsciemment le PF reprend immédiatement la priorité.

Ce transfert des commandes raté est symptomatique de la dangereuse potentialité des Sidesticks qui permettent à chaque pilote d’intervenir, à l’insu l’un de l’autre, sur le pilotage de l’avion.

H + 1 mn 34 s : les FD sont à nouveau désactivés.

H + 1 mn 37 s : Commentaire du PF : « J’ai l’impression qu’on a une vitesse de fou … »

Durant toute cette séquence chaque ré-armement des FD a été suivi d’un ordre à cabrer.
 A l’entrée en décrochage la flèche du SpeedTrend a indiqué une nette accélération :
« J’ai l’impression qu’on a une vitesse de fou … »
Le copilote PF est toujours resté dans un schéma mental de survitesse.

H + 1 mn 38 s : le commandant de bord est entré dans le cockpit.
L’alarme de décrochage s’est arrêtée.

Commentaire du CDB :
« Qu’est-ce qu’il se passe, expliquez-moi ce qu’il se passe ? »

H + 1 mn 38 s :

Le CDB, Commandant de Bord, entre dans le cockpit. Il a dû entendre les toutes dernières secondes de l’alarme de décrochage :
« STAL ! STALL ! STALL ! »

« Qu’est-ce qu’il se passe, expliquez-moi ce qu’il se passe ? »

Réponse du copilote aux commandes :
« On perd le contrôle de l’avion »

Le copilote PNF renchérit :
«  On a tout perdu le contrôle de l’avion, on ne comprend rien, on a tout tenté »

Le CDB ne sait pas que plusieurs systèmes de l’avion ont subi un cataclysme ni que l’ECAM a recomposé a plusieurs reprise son écran.
Il ne peut pas savoir que l’avion est initialement « descendu » puis qu’il est monté à 37850 ft, soit  2850 ft au-dessus de son altitude de croisière.

S’il a pu noter l’altitude instantanée il aura pu constater une altitude sensiblement égale à celle du niveau de vol initial. Il a quitté l’avion a 35 000 ft, il le retrouve très proche de 35 000 ft.

Il ne peut pas comprendre qu’en fait l’avion est en décrochage et traverse le niveau de vol à une vitesse de chute effarante : 10 000 ft/mn, 3000 mètre par minute !

Les modes de pilotage n’ont plus rien à voir avec ceux qu’ils devraient être.

Il n’y a plus aucun mode affiché au FMA.
(J’ai laissé AP rouge car je ne vois pas pourquoi il n’y serait pas)
(J’ai un doute sur le mode moteur, à l’extrêmes gauche … était-il « noir » ?)

Les vitesses lorsqu’elles apparaissent sont inférieures à 60 kt ou bien remplacées par un bandeau noir et un drapeau rouge SPD.





Le CDB avait sous les yeux le PFD, a peu près tel que représenté ci-dessus, et l’ECAM qui affiche une panne des commandes de vol, une panne de la gestion de la poussée des moteurs, une panne du système limitant le débattement de la gouverne de direction.
Avec les klaxons d’alarme qui reprennent leurs signaux sonores.

Le copilote aux commandes s’exclame :
« J’ai l’impression qu’on a une vitesse de fou, qu’est-ce que vous en pensez ? … »

Or le CDB a sous les yeux le message ECAM rappelant les vitesses limites en … survitesse.
Comment, a priori, ne pas adhérer à cette menace de survitesse ?

Quelques secondes auparavant le copilote PF avait des difficultés de maitrise de l’inclinaison liées à la Direct Law, ce qu’il ne pouvait pas savoir.
Il a de nouveau des difficultés à maitriser l’inclinaison, mais pour une autre raison : en décrochage l’avion a des abattées en inclinaison importantes.

L’analyse des deux copilotes diverge.

Le PF est dans un schéma mental de survitesse et sort les aérofreins.

Le PNF ne partage pas cette position et demande la rentrée des SpeedBrakes, ce que fait le PF.

L’incompréhension est totale.
La chute se poursuit.

Le Double Pilotage :

C’est un des travers des Sidesticks, interface homme-machine du système Airbus.
C’est le pilotage simultané des deux pilotes qui agissent sur leurs Sidesticks au même moment, dans le même sens ou en opposition.
Le système fait la somme algébrique des « inputs ».

(+2) + (+2) = + 4
Le résultat est doublé par rapport au résultat escompté par chacun des pilotes.

(+2) + (-2) = 0
Le résultat est nul, l’avion ne change pas de trajectoire.

L’action simultanée sur les deux Sidesticks est proscrite. En théorie.
Voici quelques exemples, tirés au hasard :


AAIB (BEA britannique)
http://www.aaib.gov.uk/cms_resources.cfm?file=/Airbus%20A319-111%20G-EZFV%2001-13.pdf

…there was also a simultaneous forward sidestick input of 15º from the left seat pilot, which was countered by an aft input of 8º by the commander (ie a net input of 7º forward). Both sidesticks were then moved to the fully aft position.

En voici l’image tirée du DFDR : en bleu pilote PNF, en magenta pilote PF  qui pilotent ensemble dans le même sens ou en sens opposés :




Autre exemple :

AAIB :
http://www.aaib.gov.uk/cms_resources.cfm?file=/dft_avsafety_pdf_033318.pdf

…both pilots simultaneously applied aft stick demands of approximately 10° each in an attempt to prevent an overspeed. This resulted in the aircraft experiencing a sudden increase in normal acceleration, peaking at 2g, before returning to about 1g. For a further eight seconds both pilots continued to make inputs on their respective side stick controllers, with neither pilot pressing their sidestick take-over button. The auto thrust remained engaged throughout and no speedbrake was used.
At the time of the incident the passenger seat belt signs were ON and the cabin crew were preparing the cabin for landing. The sudden increase in normal acceleration caused three of the four cabin crew to be thrown to the floor. Two of them suffered minor injuries and a third, who was in the aft galley, suffered a broken ankle. The fourth cabin crew member, who was occupying a passenger seat at the front of the cabin, was thrown onto an armrest. Two passengers also later complained of stiff necks….

Commentaire AAIB

…This situation of dual side stick inputs has arisen in several previous incidents and accidents …

L’accident de Bilbao :
http://kaepa.org.kw/kaepa/pdfs/FLIGHT%20SAFETY%20NEWSLETTER-AUG08.pdf

…The investigation concluded that the cause of the accident was the activation of the AOA protection system which, under a particular combination of vertical gusts & windshear and the simultaneous actions of both crew members on the sidesticks, not considered in the design, prevented the aircraft from pitching up and flaring during the landing.

Dans le même document je vous recommande la lecture de l’article : Dual side stick inputs (en fin de page 2 et page 3)

L’accident d’Armavia : 

… At this moment the co-pilot intervened and moved the side stick to the left stop position (20o) to counter the increasing right bank, while the Captain continued making control inputs to increase the right bank. Apparently the co-pilot was trying to counter the bank only. However, while moving the side stick sideways to the stop position, he had made forward control inputs on it as well (a “parasitic” input produced by high sideward forces applied to the side stick in the stop position)…

(aucun survivants)

La prise de priorité :

Initialement conçue pour qu’un pilote puisse isoler un Sidestick devenu défaillant.

En appuyant sur un bouton situé sur son propre Sidestick, et en le maintenant pressé, la procédure de priorité est initiée.
Le pilote qui prend la priorité l’annonce : un message visuel (flèches indiquant le sens de la priorité) et sonore confirme l’action.

C’est ce qui devrait être toujours le cas mais les innombrables cas de Double Pilotage démontrent que par action réflexe les pilotes activent leurs Sidesticks simultanément, la plupart du temps sans conséquences visibles, parfois conduisant au désastre.

AF447 :

Il y a eu une demi douzaine de Dual Inputs.

L’un d’eux au pire moment.
à suivre ...

NAV ADR DISAGREE, le message ECAM qui aurait pu modifier le destin tragique de l’AF 447.

H + 2 mn 39 s :



C’est le seul message ECAM qui oriente vers la Check-List IAS Douteuses.
Cela fait 2 mn et 39 s que les sondes ont givré, l'avion est en décrochage depuis presque 2 minutes, aux environ de 20 000 ft quand ce message apparait.
Aucun des trois pilotes n'y a fait allusion, toutes leurs ressources concentrées sur les difficultés de pilotage.

Retour au Point 13 IAS DOUTEUSES ... UNRELIABLE AIRSPEED

Parmi les cas étudiés de givrages de sondes Pitot par les organismes chargés de le faire je n’ai trouvé que de 3 cas sur A 330 - 200. (à vérifier)
Tous les autres sont des A 330 - 300 ou A 340.

Pour l’un d’eux, vol Air Caraïbes, le message ECAM NAV ADR DISAGREE est apparu en première lecture et a permis à l’équipage de sortir ce cette mauvaise passe en s’appuyant sur la Check-List IAS Douteuses.

Pourquoi cet avion a-t-il publié en premier la seule annonce valable dans ce cas de figure ?

Quelques minutes auparavant  cet avion avait traversé une zone de fortes turbulences et l’équipage avait appliqué la procédure « Severe turbulences » qui demande, entre autres, de réduire la vitesse à M .80, puis une fois la poussée correspondant au maintien de cette vitesse établie, de déconnecter l’A/THR.
Je suppose que c’est le seul fait d’avoir déconnecté l’A/THR qui a modifié l’ordonnancement de l’ordre d’apparition des messages ECAM.

Il faut ici rappeler quel fut l’écran de l’ECAM présenté à l’AF 447 :

H + 5 s :



Pas de NAV ADR DISAGREE mais AUTO FLT A/THR OFF

Sur Air Caraïbes, l’A/THR étant déjà sur OFF, le message n’avait plus lieu d’être.

Si le message NAV ADR DISAGREE était apparu au tout début de l’évènement, le sort de l’AF 447 aurait pu être différent.
Avec des si …

C'est une des raisons qui font de l'A 330 - 200 / AF 447 un cas unique parmi tous les cas de givrage de sondes connus.

La Loi ATTITUDES ANORMALES : Abonrmal attitudes.

Si l'avion sort de l'enveloppe de vol, des valeurs de paramètres extrêmes déclenchent la loi Attitudes Anormales.
Ce sont :

• Assiette : 50° cabré ou 30° piqué
• Inclinaison : 125°
• AoA (incidence) : 30°
• Speed : + 440, - 60 kt
• Mach : + 0.96, - 0.1

Le constructeur spécifie que l'avion étant très bien protégé contre les excursions en-dehors de l'enveloppe de vol il est inutile d'entrainer les pilotes à cette éventualité :

The effectiveness of fly-by-wire architecture, and the existence of control laws, eliminate the need for upset recovery maneuvers to be trained on protected Airbus aircraft.

L'AF 447 a rencontré les valeurs de vitesse et d'incidence déclenchant la Loi de pilotage Attitudes Anormales.

Pourtant, cette loi ne s'est pas activée.

Dans ce cas de figure l'AutoTrim aurait été stoppé.
Un message rouge USE MAN PITCH TRIM aurait été affiché sur le PFD.
Je pense même qu'il y aurait eu :

MAN PITCH TRIM ONLY
USE MAN PITCH TRIM



Est-ce que l'activation de cette loi aurait augmenté les chances des pilotes de comprendre la situation ?
Probablement pas. Peut-être que cela aurait rajouté de la confusion.

Mais cela témoigne de la complexité de la situation où il n'y a pas que les hommes qui n'ont pas réagi "as design" ...

Il faut noter que l'AUTOTRIM est stoppé aux basses vitesses (VLS) en Normal Law, en Alternate Law, en Abnormal Attitude Law mais continue sa course jusqu'à la butée à cabrer en Alternate Law 2B.
Pourquoi ? N'est-ce pas une grave erreur ?

Enfin, il faut noter que, encore une fois, comme pour le décrochage, le constructeur Airbus recommande de ne pas entrainer les pilotes aux attitudes inusuelles.
... tout en affirmant que l'avion a fonctionné "as designed" ...

L’alarme de décrochage : STALL !

Depuis bientôt 3 minutes, l‘avion est en Deep Stall, en décrochage profond.
Il n’ a pas fait l’abattée, cette révérence qui caractérise le décrochage et facilite son l’identification

L'abattée du B 777

L’A330 tombe, pratiquement à plat.
Il dégringole avec agitation, basculant brutalement d’une aile sur l’autre, hochant du nez.

C’est que les Airbus A330 ont des particularités dont une que j’ai que j’ai décrite au Point 9 :

Une conception incompréhensible permet à l’AutoTrim de continuer son activité aux très basses vitesses, jusqu’à la butée.

N’ayant aucun retour d’effort, le pilote n’a aucun moyen physique de percevoir la décélération, puis la chute en décrochage.

Le PHR, plan fixe horizontal, est à sa butée maximale.
 De surcroît, la loi Alternate 2B limite le débattement de la gouverne de profondeur.

La règle exige que l’alarme Stall dure tant que les conditions qui l’ont déclenché n’ont pas été corrigées.

CS 25.207 Stall warning

(c) Once initiated, stall warning must continue until the angle of attack is reduced to approximately that at which stall warning began.

C’est clair : l’alarme doit sonner aussi logntemps que l’avion est en décrochage.

Pourtant, ce n’est pas le cas sur A 330 : le constructeur a décidé qu’à très basses vitesses l’alarme STALL n’avait plus lieu d’être et en-dessous de 60 kt l’alarme est stoppée.


Dès que la vitesse redevient supérieure à 60 kt l’alarme est réactivée.

Cette conception qui me parait être en désaccord avec la règlementation va avoir des conséquences catastrophiques pour l’AF 447.

En décrochage profond, la vitesse étant passé sous 60 kt, valeur choisie par le constructeur, l’alarme STALL s’est tue.

Plus loin dans la chute, peut-être suspectant un décrochage, le pilote PNF a décidé de tenter de faire piquer l’avion pour gagner de la vitesse seule chance de sortir d’un décrochage bas.
Il a poussé sur son Sidestick.
Le tracé des enregistreurs de paramètres l’attestent, l’avion a bien répondu et son nez a basculé à piquer.


La vitesse a accélérée.
Tout va bien, dès que l’avion aura atteint une vitesse suffisante, il suffira d’une ressource et l’avion sera sauvé.

« STALL ! STALL ! STALL ! »

Dès que la vitesse a été supérieure à 60 kt l’alarme de décrochage s’est déclenchée …

Par un geste réflexe les deux pilotes ont réagit et ont tiré à cabrer sur leurs Sidesticks.

Le nez de l’avion est remonté, la vitesse a diminuée, est revenue sous 60 kt, l’alarme s’est arrêtée donnant à penser aux pilotes qu’ils avaient correctement agi.


C’était leur dernière chance de pouvoir se sauver.

Sur le schéma ci-après, tiré du DFDR, on retrouve cet épisode désastreux dans une séquence de Double Pilotage :





Le PNF a demandé la prise de commandes :
« Alors donne moi les commandes. A moi les commandes. »
Le PF :
« Vas-y, tu as les commandes. on est en TOGA … toujours … hein »

1 à 2 : Double Pilotage

le PNF (vert)  est à piquer,
le PF (rouge) est à cabrer,

• la gouverne de profondeur bouge à peine
• l’assiette est quasi stable
• le PF (rouge) est à cabrer,

2 à 3 :
• le PNF revient à piquer
• le PF place son Sidestick au neutre
• la gouverne de profondeur se déplace à piquer
• l’assiette diminue à piquer

L’avion est en récupération.

H + 3 mn 50 s :
L’alarme STALL se ré-active.

La réaction logique des deux pilotes est logique, mais en Double pilotage :
• le PNF est à cabrer
• le PF est à cabrer
• la gouverne de profondeur repart à cabrer
• l’assiette augmente à cabrer


H + 3 mn 58 s :
• l’avion est revenu en décrochage profond
• l’alarme STALL s’éteint
• l’alarme Dual Input s’active, mélangée à l’alarme C-Chord.


H + 4 mn 23 s :
Fin de l’AF 447

Une hypothèse, juste une idée que je n'ai pas les moyens techniques de vérifier.

Supposons que la conception des PHC soit telle que l'intensité du réchauffage des sondes Pitot soit fonction de la température extérieure.

Quelques minutes avant d'entrer dans le nuage de cristaux de glace l'avion a traversé une masse d'air "chaude".
Commentaire des pilotes :

H - 4mn 46 s : "Standard plus 10 ..."
(10° de plus que la température de référence à cette altitude)

H - 3 mn 25 s : "Standard plus 13 ..."

H - 1 mn 18 s : "On sent que c'est vachement plus chaud ..."

H - 1 mn 16 s : "C'est ça qui fait chaud ..."

H - 45 s : "C'est étonnant comme il fait chaud d'un coup"

Supposons que suite à une information de température "chaude", le PHC ait diminué l'intensité du réchauffage des sondes.

Supposons que l'avion soit alors entré dans le nuage de critaux de glace, dans une masse d'air nettement plus froide.

Supposons que les sondes, plus froides n'ait pas pu faire fondre les cristaux qui se sont alors accumulés jusqu'à boucher les 3 sondes, à peu près simultanément.

Supposons qu'informé de cette brutale baisse de température le PHC ait réagi en augmentant l'intensité du réchauffage.

Supposons qu'il ait fallu quelques dizaines de secondes pour obtenir le résultat escompté, à savoir la remontée en température jusqu'à la fonte de cristaux de glace.

Ce scénario, totalement imaginaire (!) a l'avantage de répondre à deux questions :
• Il expliquerait pourquoi tous ces cas de givrages de sondes qui ne durent que 1 à 2 minutes.
• Il expliquerait pourquoi les vitesses de l'AF 447 seraient redevenues correctes au bout d'une minute environ. (nous le savons par l'analyse du BEA, l'équipage ne l'a pas relevé)

Voilà donc une idée ... juste une idée ...Quel dommage que le BEA n'ait pas exploré cette hypothèse d'un lien entre TAT et PHC ... juste pour invalider cette idée.

Un regard sur Adeline ... en fait A.D.E.L.I.N.E.
Un projet de la Commission Européenne :

Tout est expliqué là ...

Ce que je retiens, dans le cadre de l'AF447 :

...to increase lifetime and maintain constant lifetime performance, new de- and anti-icing technologies using new innovative heating elements and a new auto test for the pressure sensor to detect erroneous information. ...

C'était en 2003.
Les sondes Pitot avaient déjà montré à de nombreuses reprises leur dangereuse fragilité en situation de givrage (et aussi sur A 320, par fortes pluies)

Qu'est donc devenu ce beau projet ?...

Il me semble qu'il a été abandonné ...

Les essentiels :

• Les nombreux cas de givrages de sondes Pitot précédant l’accident n’ont pas été pris en compte avec la gravité qu’il convenait.

• Alors que la FAA a classé au plus haut niveau de criticité (« Catastrophic ») la panne d’information de vitesse, Airbus l’a déclassé à Medium dans son analyse de sécurité.

• En 2008, quelques mois avant l’accident de l’AF 447, les PHC ont été remplacés par un nouveau modèle dont les critères de certifications laissent planer un doute.

• La modification du FWC (Flight Warning Computer) ne parait pas conforme à la règle.

• La perte d’information de vitesse n’a entrainé aucun des messages ECAM prévus, NAV ADR Discrepancy, et surtout NAV ADR DISAGREE.

• La perte de l’information de vitesse a entrainé une erreur majeure de la chaine altimétrique entrainant une baisse de l’altitude indiquée avec Alarme d’écart associée.

• Alors que le système ECAM annonçait une réversion en Loi dégradée Alternate Law 2B, les commandes de vol passaient en réalité en DIRECT LAW sur l'axe de roulis a l’insu du pilote.

• Introduire sans avertissement une loi hybride alors que l’avion était déjà en situation dégradée augmente considérablement le risque de perte de contrôle.

• Une mise en virage intempestive de l’avion a entrainé des réactions excessives dues à la DIRECT LAW qui ont absorbé les ressources du pilote pour contrôler l’inclinaison.

• Le positionnement excentré des Sidesticks, hors des champs visuels réciproques de chaque pilote n’a pas permis au copilote PNF de noter les amplitudes importantes du Sidestick opposé.

• Dès le début, les commandes de vol ont séparé les pilotes et les ont maintenu dans des représentations mentales isolées et parfois contraires de la situation.

• Le CRM est un des fondements du pilotage des avions modernes. Le système de commandes de vol des Airbus n’a pas permis en situations dégradées de recentrer l’équipage sur un objectif commun.

• Le réarmement du Flight Director en modes basiques HDG / VS (Heading/Vertical-Speed) a entrainé des ordres à cabrer systématiques contraires aux réalités de la situation.

• Les messages ECAM n’avaient aucun lien direct avec la panne des sondes Pitot et le rythme élevé de la recomposition de l’écran ne permettait pas la lecture ni la compréhension pour favoriser l’analyse.

• La stabilité longitudinale statique positive de l’A 330 ne correspond pas à la CS 25, notamment en Alternate law 2B.

• La loi de pilotage Nz par facteur de charge et l’activité de l’Autotrim n’envoient aucun retour d’efforts aux commandes de vol, pourtant exigence de la réglementation CS-25.

• La loi de pilotage Nz par facteur de charge a maintenu en activité l’Autotrim jusqu’à la butée du PHR et jusqu’au décrochage.

• L’absence de retour d’effort aux très basses vitesses n’a pas permis au pilote de prendre conscience de la dangerosité de la situation.

• Les caractéristiques de l’ A330 - 200 font de l’accident de l’AF447 un cas unique car les A330-300 & A 340 ne sont pas sujets à une perte d’altitude en cas de perte de vitesse.

• La flèche du SpeedTrend a indiqué une accélération alors que l'avion était en perte de vitesse.

• L’alarme STALL ne répond pas à la CS 25 car elle doit être active tant que le phénomène qui l’a déclenché n’a pas été corrigé.

• La possibilité de Double Pilotage a été une des raisons de la non récupération du décrochage.

• Le fonctionnement inversé de l’alarme de décrochage a éliminé la dernière possibilité de récupération de l’avion par les pilotes.

• Il ne faut pas considérer chaque panne séparément mais les placer dans leur globalité pour comprendre l’incapacité des pilotes à maitriser la situation.

CS 25 versus Special Conditions :   F-3 Static Longitudinal Stability

Les Airbus ne répondant pas aux exigences de la CS 25 (171,173,175), voici un texte qui parait définir les conditions dérogatoires à la règle.
 SPECIAL CONDITIONS

TCDS A.004 ANNEX - Airbus A330 - Special Conditions

This appendix to the EASA TCDS A.004was created to publish selected special conditions that are part of the applicable certification basis:

Table of Content:
SPECIAL CONDITIONS  F - 3: Static longitudinal stability
Disclaimer
–
This document is not exhaustive and it will be updated gradually.
Page 35

SPECIAL CONDITION     F - 3:    Static longitudinal stability
APPLICABILITY:                         A330 / A340
REQUIREMENTS:                       JAR 25.171, 25.173, 25.175, SC F - 1
ADVISORY MATERIAL:                N/A
The aircraft shall be shown to have suitable stability in any condition normally encountered in service, including the effects of atmospheric disturbances.

Interpretative material:

The evaluation of the aeroplane's static longitudinal stability characteristics shall be by flight and simulator tests. Control laws that result in neutral static stability throughout most of operational flight envelope may be accepted in principle subject to:
- adequate speed control without excessive pilot workload
- acceptable high and low speed protection
- provision of adequate cues to the pilot of significant speed excursions beyond VMO/MMO and below take-off and landing scheduled speeds.

The following considerations will be relevant to the evaluation:

- accurate speed control will be particularly relevant in the full range of operating speeds including low speeds (scheduled speeds at take-off and landing with or without engine failed) and high speeds for each configuration including VMO/MMO

- Since conventional relationships between stick forces and control surface displacements do not apply to a manoeuvre demand control system, longitudinal static stability characteristics will need to be determined on the basis of the aeroplane's response to disturbances rather than simply on the basis of stick force versus speed gradients.

- Adequate high or low speed cues may be provided by a strong positive stability gradient and/or alerting system.

- A force gradient of 1 lb for each 6 knots, applied through the side-stick, shall be considered as providing this strong stability.

Le débat ici : AF447 : Commentaires

Les 20 dernières secondes avant l'entrée en décrochage ...

Je reviens sur cette phase du vol qui précède l’entrée en décrochage, grosso modo entre H + 20 s et H + 45 s.

Durant cette phase du vol le Sidestick est majoritairement à piquer, et pourtant l’avion réagit très, très lentement.

Pourquoi ? Comment démontrer la complexité de la situation à cet instant.

En Normal Law, lorsque le pilote déplace son Sidestick, il n’agit que sur la Gouverne de Profondeur (Elevator)
Puis le système Autotrim déplace le PHR (THS) afin d’améliorer la trainée résultante. (système commun aux Airbus et Boeing CDVE)
(fig 1)


Pilote : profondeur (Elevator)
Automatisme : PHR (THS)



Ce que recherche le pilote lorsqu'il place son Sidestick à piquer :




En Alternate Law, lorsque l’avion pénètre dans les basses vitesses, le système envoie un signal à cabrer au PHR pour maintenir la trajectoire. Cette trajectoire n’est pas forcément celle voulue par le pilote mais la dernière mémorisée via les accéléromètres : pour ce faire le PHR ira jusqu’à la butée à cabrer.
(fig 2)





Le pilote est alors pris entre deux faisceaux d’actions et d’informations contraires :
d’un côté :
• son action à piquer pour redescendre.

de l’autre :
• le gain sur la gouverne de profondeur diminué (ALTN 2B) qui amortit ses ordres
• le PHR à cabrer (ALTN 2B)
• les moteurs à poussée maximale qui entrainent un couple à cabrer,
• le débattement limité de la gouverne de profondeur (ALTN 2B)

et des informations contraires à la situation :

• Speedtrend en accélération
• FD donnant encore, des ordres à cabrer.
• des vitesses erratiques, tantôt justes, tantôt fausses.

Au final, ce schéma pour tenter de résumer la conjonction des éléments.





Le débat ici : AF447 : Commentaires

De la difficulté de l'analyse de cet accident extraordinaire, à partir de deux "images", la première tirée du rapport du BEA, la seconde tirée du rapport d'expertise judiciaire :


1 ère image : les hoquets du FD. Noter la séquence qui débute à 02h 10mn 26s





2 ème image : le PFD à la même heure, à la seconde près :



1 ère remarque :

Puisque le FD vient de se réarmer, il le fait en modes basiques Heading & Vertical Speed, soit au cap et sur le variomètre instantanné, donné +6000.

Dans ce cas la barre de Pitch, barre d'assiette devrait être centrée et non indiquant une forte demande à piquer ...

2 ème remarque :

Pourquoi afficher le drapeau FD rouge puisque le FD est à nouveau disponible : d'une part l'image des hoquets du FD (image 1), d'autre part parce que les barres de tendances, vertes (image 2), sont présentes.
Pas de barre = FD Rouge
Barres vertes = FD rouge disparait.

Note : ce PFD doit être celui du PNF puisque les vitesses du PFD copilote PF, côté droit, ne sont pas enregistrées.

3 ème remarque :

Toutes les vitesses caractéristiques du Speedtape ont disparu.
Bizarre : Le FD tire ses informations du FMGEC et il est OK à cet instant.
C'est la partie FE du FMGEC qui calcule certaines des vitesses caractéristiques : Minimum Speeds, VLS et Green Dot.

Je rappelle qu'il s'est écoulé 45 secondes entre le début du givrage et l'entrée en décrochage ...
45 secondes pour contrer le départ en pseudo-descente, la mise en virage intempestive, maitriser les changements de lois de pilotage, interpréter les messages ECAM, les alarmes sonores, les fausses alarmes STALL, etc, etc ...

Bonjour,

Peut-être ne le saviez-vous pas, les médias l'ont ignoré, ou l'avez-vous oublié :

Le jugement rendu en avril dernier 2023 a condamné Airbus et Air France au civil mais relaxé au pénal.

Les parties civiles qui ont fait appel de ce jugement ont eu gain de cause et le jugement a été "cassé" : nouveau procès dans moins d'un an.

Ceux qui auront suivi mon activité sur ce sujet devineront combien je suis satisfait de ce nouveau procès.

Ma position simplifiée : l'accident est du à deux facteurs majeurs :

• les sondes Pitot : l'historique de ces sondes auraient du entrainer de la part d'Airbus la consigne de retirer ces sondes.
• La protection "anti-décrochage" : à l'instant de la perte des sondes Pitot l'avion a régressé dans la loi de pilotage Alternate 2. (ALTN 2)
Dans cette loi ALTN 2 l'avion est en stabilité longitudinale NEUTRE.
Un avion sen stabilité longitudinale Neutre doit être pourvu d'un protection basse vitesse.
Or l'A330 n'en est pas équipé.
De mon point de vue il y a là un manquement flagrant à la règle.

Si l'avion avait été équipé de cette protection en ALTN 2, l'avion n'aurait pas décroché, il n'y aurait pas eu d'accident.

à suivre ...