AF447 : Commentaires (partie 3)

Sur ce thème ce commentaire du BEA :

Lorsque plus aucune protection n’existe, l’avion ne possède pas de stabilité statique longitudinale positive même à l’approche du décrochage. Cette absence se traduit en particulier par le fait qu’il n’est pas nécessaire d’avoir ou d’augmenter une action à cabrer pour compenser une perte de vitesse en maintenant l’avion en palier.
Ce comportement, à basse vitesse, même s’il peut paraître contraire à certaines prescriptions du règlement de base, a été jugé acceptable par les autorités de certification par prise en compte de conditions spéciales et interprétations particulières ; en effet, la présence de protections d’enveloppe de vol rend tout à fait acceptable une stabilité statique longitudinale neutre.

Quelle prudence dans les mots !...

peut paraître contraire à certaines prescriptions du règlement de base,... 
Non, c'est contraire ou conforme.L'un, ou l'autre. Pas un peu contraire ou presque conforme ...

prise en compte de conditions spéciales et interprétations particulières ...  
Enfin, il y a eu 228 morts ! Des passagers prennent ces avions tous les jours !...  C'est quoi exactement ces interprétations particulières ?!...

la présence de protections d’enveloppe de vol rend tout à fait acceptable une stabilité statique longitudinale neutre ...

Quoi ?!...  Mais il n'y avait plus de protections ! Elles sont éteintes en Alternate Law 2B !...
Je suis toujours autant stupéfait chaque fois que je relis ce commentaire écris à la 193 ème page ...
Oui, stupéfiant !

eolien a écrit:Sur ce thème ce commentaire du BEA :

Lorsque plus aucune protection n’existe, l’avion ne possède pas de stabilité statique longitudinale positive même à l’approche du décrochage. Cette absence se traduit en particulier par le fait qu’il n’est pas nécessaire d’avoir ou d’augmenter une action à cabrer pour compenser une perte de vitesse en maintenant l’avion en palier.
Ce comportement, à basse vitesse, même s’il peut paraître contraire à certaines prescriptions du règlement de base, a été jugé acceptable par les autorités de certification par prise en compte de conditions spéciales et interprétations particulières ; en effet, la présence de protections d’enveloppe de vol rend tout à fait acceptable une stabilité statique longitudinale neutre.

En fait l'avion ne possède JAMAIS de stabilité longitudinale positive, mais plutôt une stabilité longitudinale neutre corrigée par un calculateur qui réagit selon la loi de pilotage en vigueur.

À titre de comparaison, que dirait-on d'une voiture dont la direction n'a pas tendance à revenir au centre et qui part tout à droite ou tout à gauche à la moindre irrégularité de la route... ou de l'autoroute. 
Il est vrai que l'automobile s'informatise aussi à la vitesse grand V et qu'on aura sans doute un jour à traiter ce problème, mais avec quatre morts au lieu de 228, net avantage à l'auto.

Je poursuis sur cet "angle d'attaque" concernant l’absence de protections en Alternate Law 2B

La perte de 2 ADR entraine la rétrogradation en Alternate Law 2B.
Mais il peut y avoir d’autres cas … il y en a 7 :
- Panne des deux moteurs en vol
- Panne de deux IR
- Panne de 2 ADR
- Panne spoilers
- Panne ailerons internes
- Panne pédales
et, le cas de l'AF 447 : ADR Disagree

Tous, TOUS, entrainent l'unique affichage du même message à l'ECAM  :



Les pilotes n'ont absolument aucun moyen de situer l'origine de la panne.

Or, alors que s'affiche un message de panne de très grande importance, puisque concernant une panne des commandes de vol, deux phénomènes concomitants se sont déclenchés :
- L'avion est parti en descente, l'altimètre a affiché - 350 ft et le variomètre - 600 ft/mn ce qui a déclenché l'alarme d'Ecart d'Altitude, les valeurs passent de vert à ambre et le signal sonore C-Chord retentit, continuellement.
- L'avion est parti en virage.

Le pilote a réagit en conséquence pour corriger ces écarts non commandés.

Lorsque l'autorité et Airbus ont défini et agréé ces "conditions spéciales et interprétations particulières", ils savaient donc que d'une part le message FLT/CTL Alternate Law couvrait 7 cas de pannes, et que dans ce cas de figure, l'avion serait sans protections contre le décrochage.

Ils savaient donc que privé de retour sensoriel sur la commande de profondeur, "retour d'effort" exigé par la règle, le pilote n'aurait plus que les instruments, indications de vitesses et d'incidences pour éviter la catastrophe.

Ils savaient, par les innombrables cas de givrage enregistrés les années précédents l'accident que les cas de perte d'ADR ou de ADR Disagree les priveraient de ces deux informations essentielles, vitesse et incidence, pour éviter de sortir du domaine de vol.

J'ouvre ici un aparté, ce cas de figure est parfaitement défini dans l'Unsafe Condition", traduite par le BEA, page 145 :

l’AMC 21 A 3b (b):

• a) Evènement de nature à occasionner des victimes, avec généralement la destruction de l’avion
ou
- de nature à réduire la capacité de l’avion ou de l’équipage à gérer des conditions dégradées
qui amènent à :
- une réduction importante des marges de sécurité ou des capacités fonctionnelles ;
- une détresse physique ou charge de travail excessive qui ne permet plus à l’équipage d’assurer ses tâches avec précision ou de les mener à terme ;

c) Les moyens de conception destinés à minimiser les effets d’un accident ne remplissent pas leur rôle prévu.

Le document précise que certaines occurrences à caractère répétitif peuvent être considérées comme des « unsafe conditions», si elles sont susceptibles de conduire aux conséquences décrites ci-dessus dans certaines conditions opérationnelles.

Dans tous ces cas de figure, l’avion est sans protection.
Ils le savaient, il n'ont rien fait, ni avant, ni depuis.

Mes enfants, mon épouse, mes amis, des passagers prennent régulièrement des Airbus qui, dans le cas de l'AF447 laisseraient l'avion dans des conditions extrêmement dangereuses.
Avant, on pouvait dire : "On ne savais pas."
Depuis le 1 juin 2009, "on" sait.

Toujours dans la série "Angle d'Attaque", une réflexion par une lecture différente des rapports officiels sur les toutes premières secondes de l'évènement qui va conduire à la catastrophe :

Il était 2 h 10 mn et 05 s lorsque suite à la déficience discrète des sondes Pitot le Pilote Automatique s'est désengagé.

Le pilote a placé sa main sur le Sidestick et a observé des faits étonnants :
• L'avion est parti tout seul en virage
• L'avion est parti tout seul en descente
• Le système ACARS d'information de panne a affiché un défaut ou une panne des calculateurs des commandes de vol.

Or, à cet instant, le Sidestick était au neutre, immobile : l'avion n'avait reçu aucun ordre. Les gouvernes étaient sensées être au neutre (profondeur, PHR et ailerons)

Si l'on fait la somme de ces trois facteurs, à quoi peut bien penser un pilote.

Je m'avancerai en disant : " Il pensera qu'une panne quelque part dans les chaines de calculateurs des commandes de vol à entrainé des braquages parasites et désordonnés des gouvernes. "

D'un oeil il surveillera l'ECAM, s'attendant à y voir s'afficher quelque chose d'utile, dans le même temps il exercera une action sur les commandes pour corriger l'écart de trajectoire.

Nous sommes là dans les toutes premières 5 secondes qui ont suivi le désengagement du Pilote Automatique.

 corrigé :

Il était à Mach .80, l'avion descendait les moteurs en poussée croisière .80, il ne pouvait qu'avoir accéléré et ne pouvait que flirter avec les hautes vitesses, loin des basses vitesses ... et pourtant, à h + 5 s, retentit une alarme "STALL !", de courte durée mais suffisante pour rajouter de la confusion dans une situation extrêmement complexe.

Quelle raison pouvait à cet instant crédibiliser cette alarme qui est réputée par le constructeur avoir des déclenchements intempestifs ...  "Undue Stall Warnings " sous-entendu : n'en tenez pas compte !

En résumé de cet "Angle d'Attaque", pour tout pilote d'avion moderne à commandes de vol "électrico-électroniques", si alors que les commandes de vol sont au neutre, l'avion envoie simultanément un message de panne impliquant les calculateurs des commandes de vol et quitte sur l'instant sa trajectoire, il me parait naturel que ces pilotes orientent sur l'instant leur analyse vers une panne des commandes de vol, d'autant plus que dans ce même laps de (2 à 3 secondes), l'avion réagit d'une manière totalement inhabituelle, inconnue, surprenante qui conforte la suspicion du pilote.

Et, au fond, cette analyse serait juste puisque ce sont les PRIMs qui, les premiers, ont détecté une anomalie de vitesse très courte, de l'ordre de la seconde, entre les paramètres des ADR, ce qui entraine le désengagement du PA et le passage en Alternate 2B. Sur l'instant !

J'ai voulu corriger le paragraphe ci-dessus par un additif mais je l'ai édité trop vite : donc ceux que cela intéresse devront le relire, la correction touchant la deuxième partie.

C'est noté

Dans la continuité du thème précédant que je limite aux 5 premières secondes à partir du désengagement du Pilote Automatique, juste avant la première alarme STALL, et pour accentuer le caractère exceptionnellement complexe de cet accident, j’étaye mon "angle d’attaque" à partir d’un commentaire tiré du BEA.

Car, durant ces 5 capitales premières secondes le pilote aux commandes entre en action et en réaction : action par ses inputs sur le Sidestick, réaction par ce qu’il constate sur ses écrans.

BEA :
1.16.8.1 Gestion d’une anomalie soudaine et implications sur la performance humaine

A partir des informations disponibles à l’ECAM, l’équipage doit analyser et confirmer la nature de la défaillance avant d’entreprendre toute action de traitement de la panne.

il est donc nécessaire :

ˆˆque les signes du problème soient suffisamment saillants pour « sortir » l’équipage de ses préoccupations et priorités dans la phase de vol en cours, …

ˆˆque ces signes soient crédibles et pertinents …

ˆˆque les indications disponibles relatives à l’anomalie soient très rapidement identifiables afin que les éventuelles actions immédiates de mémoire visant à stabiliser la situation soient déclenchées  …

ˆˆqu’il n’y ait pas de signaux ou d’informations disponibles suggérant des actions différentes ou incitant l’équipage à une reconstruction préalable de la compréhension de la situation …

Je relève ces mots clés de ce commentaire :du BEA :

• anomalie soudaine …
• A partir des informations disponibles à l’ECAM, l’équipage doit analyser et confirmer la nature de la défaillance …
• les signes du problème soient suffisamment saillants …
• ces signes soient crédibles et pertinents …
• les indications disponibles relatives à l’anomalie soient très rapidement identifiables …
• qu’il n’y ait pas de signaux ou d’informations disponibles suggérant des actions différentes ou incitant l’équipage à une reconstruction préalable de la compréhension de la situation …

• • anomalie soudaine :
c’était le cas. Perte du PA, basculement de l’avion et mise en dèscente, alarmes diverses : Rouge (AP) Master Warning, Master Caution, gong, C_Chord.

• A partir des informations disponibles à l’ECAM, l’équipage doit analyser et confirmer la nature de la défaillance :
Les informations présentées (F/CTL, A/THR, RUD TRV , TCAS, W/S) ne permettait ni d’analyser ni de confirmer la nature de la défaillance.

• les signes du problème soient suffisamment saillants :
Durant ces 5 premières secondes, aucune saillance puisque aucune information directement liée à la panne n’est présentée.

• ces signes soient crédibles et pertinents :
La seule chose qui soit crédible à cet instant est une très grave anomalie dans la gestion des commandes de vol : commande au neutre l’avion est parti en virage, parti en descente et a envoyé un message ECAM de panne impliquant les F/CTL
Est-ce pertinent ?
- très peu si l’on considère qu’en fait les commandes de vol étaient intègres mais en loi dégradée par une anomalie des vitesses, reconnue par les PRIM mais pas transmise aux pilotes.
- dangereusement trompeur concernant la chaine altimétrique.

•  les indications disponibles relatives à l’anomalie soient très rapidement identifiables :
Durant ces 5 premières secondes aucune information relative à l’anomalie n’a été présentée aux pilotes.
Ce n’est que 2 mn et 39 s plus tard qu’apparaitra le message ECAM : NAV ADR DISAGREE


• qu’il n’y ait pas de signaux ou d’informations disponibles suggérant des actions différentes ou incitant l’équipage à une reconstruction préalable de la compréhension de la situation …
C'est un point capital : signaux et informations vont contribuer à construire une représentation erronée de la situation. J'y reviendrai.

Pourquoi ai-je limité cet « angle d’attaque » aux 5 premières secondes, parce que c’est durant ce court laps de temps que le pilote va se construire une représentation de la situation.
Or, cette image mentale, la construction préalable de la compréhension de la situation, a été complètement faussée par les nombreuses défaillances des systèmes Airbus.
J’y reviendrai dans un prochain « angle d’attaque ».

Je suis personnellement assez convaincu (et donc tu m'as convaincu) du piège qu'ont constituer ces alertes "parasites".
Il faut que les pilotes puissent avoir dès l'origine de la panne les indications permettant de les mettre sur la bonne voie... parce même si ça dure plusieurs minutes, je pense qu'en réalité tu n'as jamais le temps de changer ton fusil d'épaule... pas dans un laps aussi court.

Juste pour info, mais à lire côté AOA, et AF 447 !

http://aviationweek.com/bca/understanding-angle-attack-indicator?NL=BCA-01&Issue=BCA-01_20160920_BCA-01_886&sfvc4enews=42&cl=article_3&utm_rid=CPEN1000000976469&utm_campaign=7071&utm_medium=email&elq2=86c1cf5284b448efa72e163c07e5b283

C'est ce que je déplore depuis des mois et des mois :
Les pilotes de l'AF447 ont été privé de trois sources majeures protégeant (règlementairement) des excursions hors du domaine de vol en en balisant les limites (ici basse)

• La vitesse (sens de la vue)
• L'incidence (sens de la vue)
• Le retour d'effort (sens du toucher)

Quant au sens de l'ouïe, (allusion à l'alarme STALL) toutes les études (rapportées par le BEA) démontrent qu'en situation tendue (sans parler de stress), c'est le premier sens que l'humain élimine.
D'ailleurs chacun peut en faire l'expérience tous les jours : il faut parfois plusieurs sollicitations pour nous sortir d'une tâche sur laquelle on est concentré.
(exemple, devant la télé : maul pénétrant à 5 mètres de l'en but et on entend pas "chéri où est l'aspirateur" ...



D'autant plus scandaleux que l'industrie n'ait rien fait si l'on apprend que les informations de vitesse et d'incidence peuvent être élaborées à partir des IRS, donc sans capteurs externes. (Ni Pitot, ni AoA).
Des informations suffisamment précises pour assurer la survie de l'avion.

Tiens bizarre : une alarme stall dans un avion "indécrochable" c'est paradoxal. Est-ce que cette alarme est obligatoire, exigée par un règlement ou les concepteurs ont-ils  eu un doute, et puis je bloque toujours sur l'origine de la loi alternate 2, elle n'a pas été conçue par hasard alors quelle peut-être son utilité?

Bonjour Gommearabique,

Je raccourcis la recopie de la règle par des ... ... sinon il y en a pour plusieurs pages:

CS 25.207 Stall warning

Stall warning with sufficient margin to prevent inadvertent stalling ... in any normal position must be clear and distinctive to the pilot in straight and turning flight.
...
Once initiated, stall warning must continue until the angle of attack is reduced to approximately that at which stall warning began.
…

Donc, oui, une alarme de prévention au décrochage est obligatoire et son activation doit continuer tant que la condition qui l’a déclenchée n’a pas été résolue.

Alors, l’avion indécrochable ?
Normalement oui, en Normal law
Normalement oui en Alternate law 1,
Non en Alternate law 2B puisque le constructeur n’a pas reproduit ce « signal à piquer » qui protège du décrochage ...

On touche là à un problème de droit qui, normalement, devrait être abordé au procès : Pourquoi l'avion n'est-il pas protégé en Alternate Law 2B ?...

Le BEA, trop occupé à disséquer le siège du pilote n'est pas disert sur ces "conditions spéciales et interprétations particulières" qui ont permi à Airbus de s'affranchir de la CS25 ... (à l'époque JAR 25 ...) ..

Quant à l'origine de la  Alternate 2B, elle est dans l'architecture du système Airbus. (en tous cas de la génération que j'ai connu, A320,330, 340)

Un certain nombre de pannes de différents systèmes font rétrograder l'avion en Alternate Law 1.
Des protections sont perdues, d'autres sont conservées.
Par ex, la protection basse vitesse (signal à piquer) qui en Normal Law prend son info avec l'incidence (AoA) est remplacée par une autre protection (signal à piquer) qui prend son info sur la vitesse ... on voit de suite que pour l'AF 447 c'est fichu, et l'avion bascule en Alternate Law 2B, sans aucune protection.

Vous allez me dire "Mais puisque les AoA fonctionnaient, pourquoi n'y-a-t-il pas un signal à piquer fonction de l'incidence ?..."
et je vous répondrai :"Je me pose la même question !..."

En résumé l'Alternate Law 2B est la loi de commande de vol répondant à tout une batterie de pannes de systèmes qui font que l'avion ne satisfait plus aux critères nécessaires à la Normal Law et Alternate Law 1.

Ce qui est totalement anormal, ce n'est pas tant que cette loi existe, ce qui est de mon point de vue aberrant, c'est que le pilote puisse être, dans un instant critique, privé de trois informations essentielles : la Vitesse, l'Incidence, et le Retour d'Effort !

Les 5 premières secondes ...

L'actualité aéronautique étant calme, je reviens sur les 5 premières secondes qui ont suivi les défaillances des sondes Pitot, car elles me paraissent essentielles à la compréhension de cet accident.

Pourquoi ? Parce que dans ce laps de temps, les pilotes, et surtout le pilote aux commandes, vont se faire de la situation une image mentale erronée en regard de la situation réelle, représentation mentale qui va entrainer ce que le BEA a qualifié d’"actions inappropriées".

Il est indispensable, essentiel de considérer tout ce qu’il s’est passé durant ces 5 cruciales secondes et que je récapitule ici :

Le PFD présenté aux pilotes juste avant la panne, à H - 1 s :



• à H + 0 s :  les 3 sondes Pitot se sont obturées, peu ou prou.

• à H + 1 s :
-  le Pilote Automatique s’est désengagé.
- le klaxon associé au PA a retenti : « Cavalry Charge ».
- l’indication AP au PFD (FMA) est passée rouge.
- un message AUTO FLT AP OFF a dû apparaitre à l’ECAM (le BEA n’en dit rien)
- l’avion  s’est incliné et est parti en virage à droite (non commandé)
-  le Master Warning a dû flasher Rouge et son gong a dû retentir (Single Chime)
- 4 croix ambres ont dû apparaittre sur les horizons artificiels gauche et droit
- un drapeau rouge SPD LIM rouge s’est affiché à côté du bandeau des vitesses
- des vitesses caractéristiques ont disparu (ex VLS)

• à H + 2 s :
- le Pilote a appuyé sur le bouton de l’AP, annonçant sa prise du pilotage en Manuel, commandes au neutre.
- le klaxon « Cavalry Charge » s’est éteint
- le drapeau rouge AP au FMA a disparu
- le FD (Flight Director) a donné un ordre à cabrer et à incliner à gauche
- le pilote a envoyé un input à gauche pour contrer la mise en virage et un input à cabrer pour stopper la descente et remonter au niveau de vol de croisière en suivant les ordres du Directeur de Vol.
- THR LK a dû s’inscrire au FMA, de couleur ambre et clignotant
- Master Caution & gong Single Chime

• à H + 3 s :
- le FD s’est désengagé : drapeau rouge FD et disparition des barres de tendance
- disparition de l’information FMA 1 FD 2 au FMA (PFD)
- disparition des modes ALT CRZ & HDG au FMA (PFD)
- Master Caution & gong Single Chime
- l’altimètre a indiqué une descente (non commandée)
- le variomètre a confirmé la descente par un taux de - 600 ft/mn
- l’ECAM a présenté des messages de pannes :
— AUTO FLT AP OFF
— F/CTL ALTN LAW
    (PROT LOST)
— MAX SPEED … 330/.82
— AUTO FLT
— REAC W/S DET FAULT

• à H + 4 s :
- l’alarme d’écart d’altitude s’est activée :
— gong C-Chord
—indications altimètres et variomètres changent de couleur, de vert à ambre et clignotent
- input Sidestick à droite pour contrer inclinaison à gauche
- inputs à cabrer, 1/4 à 3/4

• à H + 5 s :
- Master Caution & gong Single Chime
- ECAM : recomposition de l’écran et nouveau message de panne :
— AUTO FLT A/THR OFF
    THR LRVERS …. MOVE
- arrêt du gong C-Chord

A cet instant voici fléchés en rouge tous les symboles qui ont été modifiés à l’écran de pilotage PFD en 5 secondes.
Il faut rajouter les alarmes sonores, Cavalry Charge, C-Chord et Single Chime.




Retenons les faits essentiels :

Un message a informé les pilotes d’une panne concernant les commandes de vol .
Dans le même temps, alors que les commandes étaient au neutre les instruments ont informé d’un départ en virage et d’une mise en descente.
Un autre message informait les pilotes que la poussée des moteurs était figée à sa poussée de croisière.
Les premières actions sur les commandes ont entrainé des réactions inhabituelles, exigeant beaucoup d’efforts pour les contrôler.

Une réflexion logique du pilote voudrait que cette déviation de la trajectoire soit le résultat de déplacements incontrôlés des gouvernes (ailerons, spoilers, profondeur, PHR) corroborés par le message de panne F/CTL affichée à l’ECAM et les difficultés de pilotage.

Juste avant la panne l’avion volait à M .80, descendant avec la poussée réacteur figée à plus de 80 %, fatalement il a accéléré. De combien ?… M.84 … plus ?…
Un message ECAM a rappellé la limitation haute vitesse … M.82
L’avion est très instable aux ailerons, en descente approchant 400 ft sous le niveau de vol.

La conséquence de ce constat est une représentation mentale de la situation : L’avion est en virage, en descente, en accélération.

Une seconde plus tard, à H + 6 s va survenir un fait nouveau, capital : Alarme STALL !
Ne pouvant être associée en pure logique à une vitesse trop basse le pilote ne peut l’associer qu’à une alarme de décrochage haute vitesse.
La communauté des pilotes de ligne a découvert part les rapports du BEA, que cette situation ne peut pas être rencontrée sur A 330.
(BEA :page 45 § 1.6.10 Particularités sur la survitesse ) (Je n’ai rien trouvé dans la documentation Airbus A330 le relatant.)

En ce 1er juin 2009, cette menace était dans l’esprit de tous.

Le seul moyen de s’écarter rapidement de cette limite est de « casser » la vitesse : le pilote a cabré, progressivement, les enregistrements des accélérations verticales en témoignent.

A la lecture de ses instruments (altimètre et variomètre) il se croit en-dessous du niveau de vol,  alors qu’en réalité il est au-dessus s’en écartant avec déjà un taux de montée très important du fait  des particularismes du vol à haute altitude.

Par un coup de hasard malchanceux, cette alarme STALL intempestive s’est déclenchée à l’instant du passage à la valeur d’activation de l’alarme d’écart d’altitude supérieure, + 250 ft , masquant cette alarme car prioritaire, alors que l’avion s’écartait en montée au-dessus du niveau de croisière.

L’image mentale de la situation à cet instant est complètement faussée, d’une part par la présentation instrumentale, d’autre part par l’annonce de pannes sans aucun lien direct avec la panne d’origine, celle de sondes Pitot, mais orientant vers des pannes qui n’en sont pas vraiment..

La remarque du copilote « Qu’est-ce que c’est que ça ?… » témoigne du désarroi de l’équipage qui va aller croissant.

Ces 5 premières secondes ont été déterminantes.

Vous avez mis plusieurs minutes pour lire ce post, les pilotes ont eu 5 secondes pour ingurgité le flot d'évènements, réels et falsifiés.

N'hésitez pas à faire part de vos commentaires.

Bonjour Eolien,
Existe-t-il quelque part dans la doc une indication que l'alarme STALL peut signaler un dépassement de la limite supérieure de vitesse ou de Mach ? Les pilotes sont-ils informés qu'il n'est plus possible d'atteindre la limite de décrochage d'onde en raison des modifications de la configuration de l'avion. Je me souviens que le décrochage haut était explicitement mentionné dans le manuel du simulateur du Convair 990 Coronado et que c'était une préoccupation pour les instructeurs. Le régime transsonique était mal connu et redouté à cette époque.

Non, l'alarme STALL est exclusive aux basses vitesses.
A l'époque, l'idée générale en survitesse était un décrochage de l'aile par avancée d'une onde de choc à l'arrière de l'extrados de l'aile qui, part effet de masque sur l'empennage, entrainerait une sorte de décrochage à très haute vitesse, évolution fatale bien évidemment..
Cette notion de dangerosité de dépassement de VMO/MMO était entretenue par les exigences en terme d'exploitation.
Jusqu'à MMO  + 16 kts, en air calme, une inspection simple. En air turbulent, déjà plus complexe.
Au-delà de MMO+16 l'avion entrait dans une visite approfondie.
Ces dépassement important de MMO était rares car les pilotes étaient, sont, très vigilants et l'alarme VMO/MMO inmanquable.
(Elle était hors service sur l'AF447).

La crainte d'une vitesse élevée du pilote de l'AF447 était une conséquence logique en regard de la situation vécue en quelques secondes et de la connaissance que l'on avait de ces phénomènes de très hautes vitesses.

C'est bien le recul du foyer aérodynamique qui peut causer un décrochage comparable au décollement des filets d'air. Mais pourquoi l'effet de masque qui serait très différent par exemple sur un 707 et un DC-9 ?
J'ai le souvenir des récits des pilotes de Thunderbolt qui piquaient jusqu'à la "compressibilité" et avaient du mal à s'en sortir sans plier l'avion. C'est sans doute ce phénomène de masquage du stabilisateur qui a donné lieu à la légende de l'inversion des commandes raconté dans le film "Le mur du son". En fait, c'est l'effort sur le manche qui s'inversait sous l'effet des ondes de choc, mais je croyais que c'étaient les ondes de choc qui se formaient sur le stabilisateur, pas celles de ailes.

Tu veux dire que la crainte des autorités était de créer des dommages structuraux à seulement 16 kt au-dessus du MMO ?

Disons que c'est la valeur qui délimitait le type d'intervention en cas de dépassement de MMO.
Jusqu'à 16kt, en air calme, une visite simple, au-delà, une intervention lourde, l'avion pouvant être immobilisé plusieurs jours.

Tu as raison c'est le recul du foyer qui entrainait un moment à piquer ...

Le 19 janvier 1995 :
Une conséquence du givrage Pitot sur un programme expérimental qui a pris tout le monde par surprise.
La fin du X-31 un avion à commandes de vol électriques !
Un pilote d'essai et toute une équipe d'ingénieurs se sont fait piéger par un incident modeste et personne n'a rien vu venir. 
Chut, n'en parlez pas à Tamerl, ça va lui donner des boutons. 

Merci Vector !...
Belle éjection !...

Un incident / accident unique.

L'AF447 avait été précédé de dizaines d'incidents précurseurs, heureusement tous dans des situations bien moins complexes que celle, unique, de l'AF447.

Dans les deux cas on trouvera des cracs auto-proclamés pour dire "y'avait qu'à..." et fanfaronner sur leurs supposés talents...

Dans les deux cas, l'analyse devrait servir de leçon pour que cela ne se reproduise pas.

Oui, mais dans le cas du X-31, les gens qui connaissaient l'avion à fond n'ont pas compris les causes et surtout les réactions aberrantes des commandes électroniques. Comme quoi ça peut arriver même à un équipage d'essais : Cayenne ?

Les cimetières veillent les dépouilles des pilotes, d'aéro-club, de travail aérien, de combat, de ligne et d'essais ...

S'il y avait eu comme sur le X-31 des sièges éjectables pour tous les occupants de l'AF447, à 10 000 ft le pilote aurait appuyé sur le bouton Eject ...

Nouvel "angle d’attaque" … le Speed Trend, « Flèche jaune » … l'oublié des rapports d'enquête sur l'AF 447 ...


Mon propos dans cet « angle d’attaque » est de démontrer que les actions du pilote qualifiées d’"inappropriées" par le BEA ont été en fait liées aux informations disponibles durant la quarantaine de secondes qui a précédé l’entrée en décrochage.
Pour ce faire il s'agit de démontrer que l'activité du Speed Trend corrélée à d'autres instruments indiquait une nette accélération de la vitesse de l'avion, subitement privé il faut le rappeler de l'information de survitesse alors qu'il était tout près de cette limite à l'instant de la panne, situation aggravée par la mise en descente affichée.


Le Speed Trend ?…

Cet instrument informe le pilote d’accélérations ou de décélérations en présentant sur l’échelle des vitesses, le SpeedTape, une flèche dont la pointe matérialise ce que sera la vitesse dans dix secondes.

Ci-dessous, le Speed Trend, à gauche, pointant vers le haut pour une accélération :



En milieu turbulent c’est un outil très utile qui permet d’anticiper et de réguler la poussée des moteurs en conséquence.

Ce système utilise des informations de vitesse (CAS) issues des sondes Pitot.
Bien évidemment l’obturation même partielle des sondes met à mal le bon fonctionnement du système.

Le BEA ne s’est intéressé au Speed Trend qu’à l’entrée en décrochage, lorsque tout était perdu.

BEA  :

… la détermination de la speed trend affichée sur le PFD droit a été effectuée à partir de 2 h 10 min 46.

Mais pourquoi ne pas l’avoir étudiée avant, puisque l'on sait à présent que la vitesse est le paramètre au coeur de l'accident ?!… et que tout s'est joué avant !

Retour sur ce schéma de base, à un bout la sonde Pitot, à l’autre les systèmes utilisant une information de vitesse pour leur fonctionnement, dont le FD (Flight Director) et le Speed Trend :




Le BEA explique que les FD fonctionnent si 2 ADR donnent des infos valide :

BEA :

  Pour fonctionner et pouvoir élaborer les ordres des FD, les FMGEC ont besoin d’utiliser les données d’au moins deux ADR

Ce qui suppose au moins deux sondes débouchées et alimentant leurs ADR, alors le FD retrouve son fonctionnement.
En d’autres termes j'en déduis : 2 ADR valides = FMGEC valide = FD valide = Speed Trend actif

Je défends ici l’hypothèse que le Speed Trend a été actif 4 ou 5 fois durant les 45 premières secondes qui ont précédé l’entrée en décrochage et qu’à chaque activation le Speed Trend à indiqué une accélération … alors qu’en réalité l’avion décélérait.

Explication :

Si une sonde se bouche la vitesse indiquée diminue et lorsque la sonde se débouche, la vitesse indiquée passe d’une faible valeur de vitesse à une valeur très nettement supérieure.
Cette variation est prise en compte comme une accélération et la flèche du Speed Trend bondit sur le Speedtape pour en informer le pilote.

Ce que confirme le BEA :

…la brusque augmentation de la CAS 2 provoque dans tous les cas un phénomène transitoire augmentant la valeur de speed trend pendant plusieurs secondes.

BEA :

  … l’évolution de la CAS affichée sur le PFD droit est partiellement connue sur la période comprise entre 2 h 10 min 3,5 et 2 h 10 min 46

C’est justement la période qui nous intéresse, celle qui précède l'entrée en décrochage et que le BEA s'est refusé à étudier …

Or, le BEA démontre que le FD a fonctionné par intermittence, plages vertes ci-dessous, ce qui implique que le FMGEC recevait des données valides d’au moins 2 ADR, conséquence du débouchage - temporaire - des sondes Pitot.



Etant alimenté par les mêmes données, qu'elles aient été justes ou fausses, si le FD a fonctionné je ne vois aucune raison qui aurait empêché le Speed Trend d’en faire autant.

Ce que confirme le BEA :

Lorsque deux vitesses sont cohérentes entre elles, la flèche « speed trend » est également affichée

J’associe donc les activations du Speed Trend au même rythme que celles du FD.

Le FD s’est ré-activé par 5 fois, alors le Speed Trend s’est activé par 5 fois, et par 5 fois a indiqué une nette accélération, à chaque fois corrélée par un ordre à cabrer du Directeur de Vol FD !

Ce qui pouvait conforter les pilotes dans un risque de survitesse puisque la somme des informations présentées était :

• vitesse en accélération au SpeedTape
    +
• Flèche du SpeedTape donnant une brusque accélération
    +
• Message ECAM de rappel des vitesses limites .82
    +
• FD d’abord centré puis donnant des ordres à çabrer

Dans un premier temps (env 20 s) le pilote a placé son Sidestick sur cabrer, puis dans un deuxième temps (env 20 s) sur piquer.

Dans ce laps de temps le pilote a eu des informations contraire à la réalité de la situation, informations indiquant notamment des accélérations de la vitesse de l’avion, informations corrélées par le Directeur de Vol qui donnait des ordres à cabrer.
Les actions du pilote ne sont plus alors inappropriées mais justifiées par le bilan instrumental global.

Faut-il avoir piloté des avions équipés de ce Speed Trend pour en mesurer l’importance dans l’analyse instrumentale.

Merci Eolien pour cette analyse rigoureuse.
Je pense que l'image globale de la période précédant le décrochage, de 10:08 à 10:54, donne une toute autre vision de la perspective du PF et explique sa perception de la survitesse. En effet, c'est lui qui a eu sous les yeux le FD et le Speed Trend - intermittents peut-être - mais l'impression générale est celle d'une accélération et, comme la poussée est figée, son analyse d'une mise en descente non commandée était tout-à-fait fondée. Il était parfaitement justifié de cabrer, d'autant plus que l'alarme d'altitude retentissait en même temps. Sans parler du fait qu'il cherchait simultanément à stabiliser les mouvements de roulis.

Le copilote PNF n'a pas eu la même perception de défaut des commandes (annoncée à l'ECAM). En cela, la situation ressemble à celle d'EVA AIR et il faut reconnaître que ça doit faire une drôle d'impression de tirer sur le manche pour voir l'avion descendre à plus de M 0,80 et en rapide accélération. L'idée du risque de décrochage doit être complètement inhibée et l'alarme STALL intempestive ne fait que discréditer un peu plus le fonctionnement des commandes de vol.

En tout cas, bravo pour cette nouvelle interprétation du rapport du BEA et plus précisément des liens que le BEA n'a pas osé faire.

Vector, ce qui est terrible dans cet accident, c'est que quelques cristaux de glace ont entrainé un cataclysme instrumental alors que l'avion était indemne de pannes réelles, argument que ne manquera pas de faire valoir Airbus : les systèmes défaillants ont fonctionné "as design" ...

Le problème survient lorsque le "as design" entraine des fonctionnements inverses à ce qu'ils devraient être : le pilote se fait alors une représentation forcément erronée de la situation qui l'entraine dans l'erreur.

Privés d'indications de vitesse, privés d'indications d'incidence limite, privés de retour d'effort les pilotes ont fait ce qu'ils devaient faire : piloter en fonction des informations disponibles.

Le "ne rien faire" airbusien n'a de sens qu'après la lecture et l'étude des rapports.
Sur l'instant, dans l'immédiateté les pilotes de l'AF447 étaient tenus de piloter. Ils l'ont fait, en fonction des éléments disponibles, éléments qui ne reflétaient en rien la réalité de la situation.

Si leurs réactions ont été "inappropriées" c'est que les informations dont ils disposaient était totalement inappropriées.

Eh oui Eolien, un battement d'aile de papillon peut provoquer un ouragan ailleurs sur Terre, d'où l'importance de ne pas laisser les systèmes automatiques décider de tout sans un contrôle effectif des pilotes qui doivent être parfaitement informés des défaillances et guidés par une instrumentation fiable, surtout quand ça se passe mal à cause de quelques cristaux de glace ou d'une larve de papillon.

Comme on a eu l'occasion d'en discuter depuis plus de sept ans, les automatismes, aussi perfectionnés soient-ils, ont été créés par des humains et il faut que l'humain en garde le contrôle. 

Les ingénieurs ne voient pas au-delà de leur propre raisonnement et leur faire une confiance aveugle est suicidaire, même si au bout du compte cela réduit le nombre d'accidents, comme en témoignent les statistiques. 

Mince consolation pour les parents des victimes !

Ce que j'aurais voulu faire ressortir tient en deux points :

• Un pilote ne pilote pas qu'avec un seul instrument, ni deux, ni trois mais avec un ensemble instrumental.
Tout au long de l'évolution des technologies, des instruments et des informations (paramètres) se sont multipliés et les temps modernes ont permis de concentrer des dizaines de données en un espace de quelques centimètres carrés : le PFD, assorti du ND (partie navigation) , ECAM, SD, etc ... L'ensemble étant l'EFIS.
Il y a 40 ans le pilote ne disposait que de l'horizon artificiel : c'était son unique bouée de sauvetage à laquelle se raccrocher en situation difficile (je parle d'expérience ayant été CDB DC3 et F27A).
Le pilote d'un jet moderne réagit à l'ensemble des éléments qu'il a sous les yeux, soumis dans le même temps à des signaux sonores.(je parle là encore d'expérience ayant été CDB sur plusieurs Airbus et Boeing)
Normalement, en cas de panne le constructeur a prévu de discriminer pour lui ce qui fonctionne correctement de ce qui est en panne.
L'AF447 est un cas où tout a été mélangé et les 45 secondes accordées à l'équipage ne permettait pas d'analyser la réalité de la situation dans le fatras des vraies et des fausses informations.

• L'autre élément est ma surprise devant la passivité des autorités qui ne peuvent plus ignorer que l'A330 peut être confronté a des situations (ALTN 2B) où l'avion n'a plus aucune protection contre les excursions hors du Domaine de Vol.
D'autant plus gravissime que si les pilotes sont pour une raison ou une autre privés des seuls moyens d'identifier quantitativement ces limites, à savoir la vitesse, l'incidence et le retour d'effort, alors le franchissement de ces barrières est une menace qui pèse, chaque jour, sur la vie des passagers.
Si, comme pour l'AF447, les conditions sont réunies, ce sera une catastrophe de plus.

C'est une passivité apparente ou réelle ?
qu'est-ce qui se joue en coulisse ? à l'abri des regards ?

Il manque dans les analyses officielles la réponse à une question :

Peut-il être acceptable, au sens légal du terme, qu'un avion de transport civil de passagers (ou même de fret) puisse être certifié s'il peut se retrouver dans une situation où les pilotes seraient privés des informations de vitesse, d'incidence et de retour d'effort, seuls moyens de protéger contre les excursions hors de l'enveloppe ou domaine de vol ?

L'industrie travaille là-dessus. le BUSS d'Airbus, le Synthetic AirSpeed de Boeing et d'autres systèmes plus innovants arrivent.

Dans le cadre de l'AF447, corolaire à la question ci-dessus, si un accident se produit dans ces circonstances, qui est responsable ?