AF447 : Commentaires (partie 2)

Airbus n'a certainement pas renoncé à couler les pilotes

Ce qui me pose problème, c'est que si ce que j'ai découvert récemment, à savoir qu'il faut une différence de plus de 10 secondes entre deux ADR pour déclencher le message NAV ADR DISAGREE, alors ce schéma :



n'est pas vraiment faux, mais pas vraiment juste.
Il me faut le revoir ...
Car à le regarder on pourrait penser qu'une panne ADR entraine une panne FMGEC qui entraine la panne FD. Ce n'est, hélas, pas si simple : il y a 3 ADR et deux FMGEC.
On peut ne considérer qu'un seul FMGEC mais il faut concevoir une collaboration des 3 ADR au résultat final... avec 3 chaines anémométriques distinctes.
Par ailleurs, je dois également revoir l'élaboration des vitesses caractéristiques et limites.
Donc, du pain sur la planche ...

Eolien,
À quel niveau le délai de 10 s est-il appliqué (ADR, logique de comparaison, FMGEC) ?

Vector a écrit:Eolien,
À quel niveau le délai de 10 s est-il appliqué (ADR, logique de comparaison, FMGEC) ?

Je dirai FE ou PRIM. A vérifier qui des deux fait quoi.
Les PRIM calculent V alpha Prot, alpha max et alpha floor.

Mais je dois filer à l'Aéro-Club ... à ce soir ...

Attention, les experts judiciaires sont très précis sur le terme "panne" (absence de message de ce type dans les logs) ; il faudrait peut-être mieux parler de blocage ou de dysfonctionnement imprévu, mais c'est un détail.
Serait-il possible de rajouter les FWC dans le schéma qui n'ont pas fourni (en bonne partie) les bonnes informations dans le cockpit et qui ont été modifiés en même temps que les PHC.  ?

Pour un pilote un système qui présente un "un blocage ou un dysfonctionnement imprévu" est un système en panne !...

11.9-af447 a écrit: les FWC ... qui n'ont pas fourni (en bonne partie) les bonnes informations dans le cockpit et qui ont été modifiés en même temps que les PHC.  ?

Non, les FWC ont travaillé correctement. (leur changement par un modèle plus récent et le bricolage sur leur délai d'attente avant annonce de panne est sans lien avec l'accident. Une "légèreté" du constructeur qui s'est assis sur les règles)
Quelles bonnes informations qui n'ont pas été fournies sont imputables à un dysfonctionnement des FWC ?...

eolien a écrit:Pour un pilote un système qui présente un "un blocage ou un dysfonctionnement imprévu" est un système en panne !...

Mais pas pour des experts judiciaires, je te l'assure.

11.9-af447 a écrit:

eolien a écrit:Pour un pilote un système qui présente un "un blocage ou un dysfonctionnement imprévu" est un système en panne !...

Mais pas pour des experts judiciaires, je te l'assure.

Je te crois ...j'ai lu et relu ces rapports !...

Sur ce thème de "blocage et dysfonctionnement" :

Givrage de sondes Pitot entraine blocages partiels des sondes ...
Blocages partiels entrainent signaux électroniques sortant des ADM erronés ...
Signaux erronés entrant dans les ADR entrainent détection de différences de vitesses ...
Différences de vitesses entrainent instantanément perte AP, F/CTL Normal Law, A/THR ...
Situation ci-dessus inférieure à 10 secondes entraine divers messages ECAM : RUD TRV Lim, Windshear, T/CAS et différentes pertes de systèmes : FD, PLI, Bank Angle, Vitesses caractéristiques, ...

Ces blocages et dysfonctionnement n'ont pas entrainé, comme sur d'autres A330-200, le message ECAM NAV ADR DISAGREE., seul message lié au blocage initial, et seule procédure conduisant à la C/L IAS Douteuses.

Pourquoi les experts qui savent si bien discriminer un blocage et un dysfonctionnement d'une panne, pourquoi n'en ont-ils pas fait état ?

Entre un éventuel dysfonctionnement du siège du pilote et du contrôle de l'espace aérien de Dakar et la non présentation de ce message ECAM, il me semble qu'une priorité s'impose pour la compréhension des raisons de cet accident.

eolie a écrit:
Ces blocages et dysfonctionnement n'ont pas entrainé, comme sur d'autres A330-200, le message ECAM NAV ADR DISAGREE., seul message lié au blocage initial, et seule procédure conduisant à la C/L IAS Douteuses.

Pourquoi les experts qui savent si bien discriminer un blocage et un dysfonctionnement d'une panne, pourquoi n'en ont-ils pas fait état ?

Et oui, les experts judiciaires n'ont pas fait le rapprochement entre le message ECAM NAV ADR DISAGREE et la procédure générée IAS DOUTEUSES. Il se sont juste contentés de dire qu'ils ne comprenaient pas pourquoi les équipages d'AF n'appliquaient pas cette procédure sans en expliquer la raison. A mon avis, ils voulaient faire passer les équipages d'AF pour des nuls. De toute façon, l'expert d'Airbus s'est barré avant la fin de la procédure judiciaire ; courage, fuyons !

Au fait, un petit détail : seuls les équipages qui ont eu le message NAV ADR DISDAGREE (tous types d'A330) ont appliqué la procédure IAS DOUTEUSES, mais c'est certainement sans importance !

C'est pourquoi il m'apparaissait important de comprendre pourquoi ce message ne s'était pas affiché à l'ECAM de l'AF447.

Ce qui est troublant, c'est que nulle part le BEA (ni les experts judiciaires) ne fait état de ce délai de 10 secondes avant l'activation de ce message :
• soit je me trompe
• soit je l'ai raté
• soit ...

D'ailleurs, en parlant d'"oubli", il est un autre facteur qui n'a pas été développé par les experts, c'est l'impact sur le pilotage à haute altitude et haute vitesse du système "Trim tank" d'Airbus.

En croisière, du carburant est transféré dans un réservoir situé dans la queue de l'avion pour déplacer le centrage vers la limite arrière. Plus l'avion est centré arrière, moins il "traine" donc moins il consomme de carburant ...

Un avion centré avant est stable et peu maniable.
Un avion centré arrière est instable et très maniable. (c'est ce que l'on apprend à l'aéro-club)

Etant établi en croisière l'A330/AF447 devait donc être centré très arrière ...
Le Pilote Automatique en Normal Law sait très bien gérer cet état de fait.

Mais en Alternate Law 2 B ?... Si le pilote cabre pour remonter et qu'à cet instant il y a une rafale verticale ? Or, ils ont rencontré des turbulences à cet instant ...

J'y reviendrai ...

Oui, j' y avais pensé mais je ne m' étais pas lancé car il n' y a pas de littérature sur ce point.

On peut imaginer qu' en cabrant selon l' habitude pour augmenter l' assiette, l' efficacité d' une même action soit ne serait-ce que légèrement supérieure en limite de CG arrière.
Pas de soupçon, en conséquence, d' une pente de montée un peu trop forte (du fait de la non pratique de ce geste dans ce contexte et sans formation sur le sujet?), perte insoupçonnée  et instantanée de la représentation de la trajectoire, pas de sécurité passive par le jour au lieu de la nuit..

Si en plus, il y a eu une turbulence pour accentuer le phénomène.....

A ce sujet, j’aimerais vos avis sur l’état actuel de l’entretien de la formation des pilotes à une reprise en manuel des commandes à ces niveaux et également en situation de décrochage.

Pour Tam :

Une séance de simulateur dédiée au pilotage en manuel et à l'approche des basses vitesses a été rajoutée.
Comme il n'est pas possible de restituer les conditions de l'AF447, et qu'aucun simu ne permet le décrochage, ces séances sont un pis-aller ... histoire de faire quelque chose plutôt que d'exiger du constructeur qu'il corrige ses systèmes lorsqu'ils ont un lien avec l'accident ...

Merci pour l’info, Eolien, j’imagine que les réactions des calculateurs de L'A330-203 ont pu être « confirmées » voire découvertes en injectant dans un banc de test réel les logs des capteurs du F-GZCP ainsi que les actions de l’équipage...
Seul le constructeur pourrait donc avoir mis au point un début de simulateur en décrochage grâce aux données malheureusement existantes plus celles d’essais ultérieurs éventuels ?
 
Concernant les séances de reprise en manuel dans les conditions de l’AF447 (sans les pannes), comment s’en sortent les pilotes en formation ?
 
Je précise à ce sujet, qu’une petite expérience d’aéro-club m’a montré que tous les instructeurs ne sont  pas forcément tranquilles quand il faut reprendre les commandes suite à une perte de contrôle de l’élève. Cette situation me semble pourtant plus confortable que pour l'équipage puisque l’instructeur est sur ses gardes, en VMC et sans panne.

Pour ce que j'en sais par bavardages avec des pilotes A330 et B777, ces séances n'ont pas bouleversé grand chose.
Ce qui demeure est l'impossibilité pour tous d'approcher le décrochage : aucun simu ne sait le faire.
On parle d'un futur simu générique qui ferait un décrochage ... standard.
Vu les différences des commandes de vol entre Airbus et Boeing, ça ne servira pas à grand chose ...

Et pendant ce temps combien de sondes ont givrées sur Airbus, combien de séquences de double-pilotage ont été réalisées ?...

Il est un facteur à prendre en considération lors des givrages de sondes.
L'enquête a démontrée que la situation est très différente selon le nombre de sondes touchées par le givrage, et aussi selon l'ordre dans lequel survient le bouchage.

Par exemple, considérons une sonde bouchée côté copilote. Celles du CDB et secours fonctionnent normalement.

Le copilote perd les vitesses. Tout est normal côté CDB et secours.
L'équipage s'oriente instantanément vers un problème instrumental et maintient l'avion en ligne de vol.

C'est ce qui est arrivé à 8 des cas de givrage de sondes étudiés par les experts. (aucun n'a tenu compte des alarmes STALL)

Précision relative à mon post ci-dessus : 8 cas sur 9 cas étudiés ...

Autre remarque :

L'équipage  ...  maintient l'avion en ligne de vol.

Ce qui est d'autant plus aisé et naturel lorsqu'il s'agit d'A330 - 300 ou d' A 340 (ce qui probablement le cas) puisque sur ce type d'avion il n'y a pas de variation altimétrique : aucune raison de modifier la trajectoire.

eolien a écrit:Pour ce que j'en sais par bavardages avec des pilotes A330 et B777, ces séances n'ont pas bouleversé grand chose.
Ce qui demeure est l'impossibilité pour tous d'approcher le décrochage : aucun simu ne sait le faire.
On parle d'un futur simu générique qui ferait un décrochage ... standard.
Vu les différences des commandes de vol entre Airbus et Boeing, ça ne servira pas à grand chose ...

Et pendant ce temps combien de sondes ont givrées sur Airbus, combien de séquences de double-pilotage ont été réalisées ?...

Aucun simulateur ne permettra de reproduire un décrochage pour la simple raison qu'un simulateur ne peut que reproduire les données enregistrées en vol réel (peut-être aussi en soufflerie). Pour réaliser un simulateur de décrochage, il faudrait faire de nombreuses séances d'essais poussés et encore, les conditions atmosphériques, le centrage, le PHR, le régime des réacteurs, et j'en oublie sans doute, peuvent changer les conditions et le comportement de l'avion.
Par exemple, tout le monde pensait que le décrochage profond n'était possible qu'avec une queue en T et les réacteurs à l'arrière. AF447 montre qu'il n'en est rien.

Vector a écrit:Aucun simulateur ne permettra de reproduire un décrochage pour la simple raison qu'un simulateur ne peut que reproduire les données enregistrées en vol réel (peut-être aussi en soufflerie). Pour réaliser un simulateur de décrochage, il faudrait faire de nombreuses séances d'essais poussés et encore, les conditions atmosphériques, le centrage, le PHR, le régime des réacteurs, et j'en oublie sans doute, peuvent changer les conditions et le comportement de l'avion.
Par exemple, tout le monde pensait que le décrochage profond n'était possible qu'avec une queue en T et les réacteurs à l'arrière. AF447 montre qu'il n'en est rien.

Les données de L'AF447 correspondent à un vol malheureusement réel. Qu'est-ce qui empêche techniquement leur exploitation hormis l'issue d'un procès ?

C'est vrai qu'on peut le reproduire pour en faire un tracé, mais pour les interactions et les paramètres que je mentionnais à titre d'exemple, il faudrait de nombreux capteurs qu'on ne peut utiliser qu'en essai pour tenter d'en déduire les lois de comportement de l'avion et les conditions d'écoulement et d'équilibre qui doivent changer à chaque instant avec la croissance de la pression atmosphérique. Par exemple, pourquoi l'avion s'est-il stabilisé vers 14 degrés d'assiette avec 40 degrés d'incidence?
Les ingénieurs peuvent bien bricoler une fin " en boîte " reprise d'AF447, mais ce ne sera jamais réel, ni même réaliste. Alors mieux vaut prévenir que de guérir.

Avant de poursuivre, mes pensées vont vers les 228 personnes et leurs proches, victimes de ce "premier test".

Vector a écrit:[...] Par exemple, pourquoi l'avion s'est-il stabilisé vers 14 degrés d'assiette avec 40 degrés d'incidence?

Si cette stabilité est avérée, sans doute fruit d'un hasard, je pense qu'elle simplifie un début de modélisation.

Un modèle se doit "simplement" de reproduire au mieux la réalité, réalité qui pour l'instant repose sur un cas unique (?)

Maintenant que les lois de la physique nous ont rappelés qu'elles continuaient à exister même cachées derrières des protections, je ne vois pas comment on peut se soustraire à la mise au point ce "modèle"...

Trop de variables et de lois inconnues. Il ne faut pas oublier qu'on n'est plus dans le domaine de l'aérodynamique laminaire. Tout est à faire...

Cette discussion sur le décrochage et sa simulation tombe à pic : j'essaie de trouver le bon angle pour revenir sur des éléments "oubliés" du décrochage.

Concernant le simulateur, je suppose, comme Vector, qu'il faut une masse considérable de données dans la Data base pour pourvoir reproduire la simulation du décrochage dans la suite d'une évolution.
Or, celle de l'AF 447 n'est enregistrée que par le DFDR.
Le QAR, très riche en données, a été malheureusement inexploitable.


La perte du contrôle dans le plan vertical :

Premier facteur :
A basse altitude, lors des variations d'assiettes, l'air joue un rôle d'amortisseur.
A haute altitude, la densité de l'air étant plus faible, l'avion allant plus vite, cet effet d'"amortissement" disparait.
Pour une même variation d'assiette, l'avion va avoir des taux de montée considérablement différent : le pilotage à haute altitude est très délicat et demande beaucoup de concentration.
Quelques degrés qui entraineraient des vario de quelques centaines de pieds / mn entraineront des milliers de pieds / mn.

Deuxième facteur :
Le centrage arrière. Pour économiser du carburant, l'avion est centré arrière. Dans les limites, mais centré arrière.
La formule retenue par Airbus est complexe : un calculateur envoie du carburant dans un réservoir situé dans la queue de l'A330, le Trim Tank, pour maintenir l'avion proche de la valeur de centrage arrière retenue.
Un avion centré arrière est instable, et très maniable.

Troisième facteur :
L'homogénéité des commandes de vol est une nécessité, sur tous les avions, quels qu'ils soient.

Je cite Airbus :

. The Actions on the sidestick must be balanced in pitch and in roll.

... in pitch and roll ...

C'est le cas en Normal law, c'est même le cas en ALternate Law 1 mais ce n'est pas du tout le cas en ALTERNATE LAW 2B.

Dans cette loi de pilotage, celle rencontrée par l'AF447, l'avion passe en Direct Law sur l'axe de roulis : le taux de rotation passe brutalement de 15°/s à 25°/s.

Que dit l'ECAM pour informer les pilotes de ce changement d'état :



FLT ALTN LAW

A aucun moment les pilotes ne sont informés de cette modification qui met à mal l'exigence de l'homogénéité de pilotage reconnue par Airbus : must be balanced in Pitch and Roll  !

Conséquence :
• fait important, à l'instant de la panne l'A330 est parti tout seul en virage ...
Lorsque le copilote PF a envoyé un input pour stopper cette mise en virage intempestive et revenir à inclinaison nulle, ailes à plat, le signal envoyé a été pratiquement le double que celui escompté.
L'avion a basculé de l'autre côté.
Surpris le copilote a envoyé un input sensé corriger le mouvement et l'avion a reçu un ordre de rotation toujours exagéré et a basculé de l'autre côté. Et ainsi de suite ...

Or, le copilote venait tout juste de cabrer l'avion pour remonter au niveau de croisière, suivant les ordre du Directeur de vol, FD.
Or le FD est tombé en panne dans les secondes qui ont suivi.
Dans ces capitales secondes d'autres informations sont tombées en cascade dans le cockpit, écartant des deux causes racines de ces difficultés, le givrage des sondes Pitot et le basculement en Direct Law en roulis.

L'hyper réactivité de l'avion aux hautes altitudes, l'hyper maniabilité en centrage arrière, la dégradation brutale de l'homogénéité des commandes de vol, des messages d'alerte sans aucun lien direct avec les pannes réelles de l'avion ont fait perdre au copilote le contrôle de l'altitude.

Lorsque après 20 à 25 secondes il a pu enfin maitriser l'inclinaison, il a placé son Sidestick à piquer, ne comprenant pas les raisons de ce désastre instrumental, il a tenté de se raccrocher à un instrument fondamental du pilotage, le Directeur de Vol, qui va l'entrainer vers le a perte de vitesse, en lui donnant, dans ses phases d'activité, des ordres à cabrer.
Par ailleurs l'avion, obéissant à la loi de pilotage propre aux Airbus a continué sa trajectoire ascendante.

Enfin approchant la perte de portance alors que la vitesse s'effondrait, un instrument familier du pilotage, le SpeedTrend a donné le coup de grâce en affichant une information à l'inverse de la situation, indiquant une accélération importante : voir ici une explication




Piloter en manuel l'A330 à haute altitude, en palier, sans autre panne aurait été assez simple.
A partir du moment où le système a demandé au pilote de cabrer, les difficultés du pilotage d'un avion instable et trop maniable mélangées aux caractéristiques de la loi de pilotage par facteur de charge se sont présentées.
En basculant sur une aile les difficultés de pilotage ont été considérablement accrues par le déséquilibre des commandes de vol entre axe de tangage et axe de roulis.
Les instruments sensés aider le pilote, FD, SpeedTrend, alarmes STALL, ECAM, A/THR, ayant fonctionné dans un non sens incroyable, la situation s'est dégradée en quelques secondes.

Entre la panne et le décrochage, 45 secondes.

Eolien, si mes souvenirs sont bons, l'alarme de décrochage s'est déclenchée la première fois quelqeues secondes après le givrage et la deconection du PA. Or si j'ai bien suivi, c'est uniquement parce le facteur de charge a été dépassé ( 1,7 au lieu de 1,5 je crois ).  Or l'appareil n'est pas encore en approche de décrochage ni même en décrochage à ce moment là, comment interpreter ce genre d'alarme ? Peut -on le prendre au moins comme une approche de décrochage ?
Parce que il me semble difficile de dire qu'il y a des alarmes "fausses" dont il ne faut pas tenir compte et les vraies alarmes. Surtout si le pilote n'en est pas informé et surtout si les instrument donnent une indication à suivre qui les emmène droit dans le mur...Autant qu'elle se mettent à sonner quand c'est vraiment utile. Le fait de savoir que quelque fois il ne faut pas en tenir compte ça peut mettre le doute surtout si les instrument vont à l'encontre de ladite alarme. De plus si le facteur de charge est dépassé, il y a un message ECAM qui precise cela ?

Avant de lire le long message d'Eolien,

Vector a écrit:Trop de variables et de lois inconnues. Il ne faut pas oublier qu'on n'est plus dans le domaine de l'aérodynamique laminaire. Tout est à faire...

Oui, c'est vrai.
Mais le grand public dont je fais partie a vu l'homme poser Philaé entre temps avec moins de dégâts