AF447 : Commentaires (partie 3)

Parmi les choix techniques discutables, il y en a d'autres que le comportement anarchique des instruments, qui ont aussi joué un rôle dans le déroulement de l'accident.
- Le fait de ne pas annoncer la perte des vitesses d'une manière claire
   (autrement que par message ACARS adressé à Roissy).
- L'absence de documentation sur la Loi ALT 2B (même Air France n'était peut-être pas informé)
- L'absence d'indication d'incidence aux pilotes (alors que le système la connaît très bien)
- L'absence de documentation sur la perte d'altitude propre à l'A330-200
- La non-conjugaison des mini-manches et la possibilité de double pilotage, même annoncé.
- L'alarme STALL qui devrait être basée sur l'incidence autant que sur la vitesse (n'est-ce pas la cause de la première alarme STALL au début de la chandelle?).
J'ai toujours entendu dire que l'A320 avait été conçu pour se passer de pilotes, mais qu'on a obligé le BE à revenir sur ses choix et à accepter cette "nuisance" (pardon Eolien), d'où l'absence de "CRM" entre l'avion et l'équipage (comme pour le mont Saint-Odile, Air Asia, etc.).
Alors former les pilotes à quoi exactement ?

Oui Vector, tous les arguments sont disponibles.
Les expertises les ont délibérément, outrageusement ignorés, des avocats dans un tribunal pourront les exposer.

Questions :
Qui sont les experts ?
Quel est leur pedigree ?
Par qui sont-ils nommés ?
Quels liens avec l'état ?
(juge expertise judiciaire ... garde des sceaux ... gouvernement / experts  DGAC ... ministre des transports ... gouvernement)
ou, en inversant le courant :
(gouvernement ...garde des sceaux ... juge expertise judiciaire ... qui demande des experts à la  DGAC ... dont le directeur dépend du ministre qui fait partie du gouvernement ...)
Rassurez-moi, je dois me tromper ?...

Quand on compare cette expertise à la fermeté du NTSB dans l'affaire de batteries du 787...
Il est vrai que c'était une femme !
En tout cas bonne chance au procès pour les familles et aussi pour AF.

Message à eolien

Bonsoir eolien,
Disposant désormais de davantage de temps libre je voudrais relire entièrement et avec attention votre analyse détaillée mais il se trouve que certaines images (copies d'écran) ont disparu avec le temps.
J'ai également envoyé votre analyse à quelques personnes à qui ces indications ont manqué.
Auriez-vous l'amabilité de rafraîchir ces données essentielles à la pleine compréhension de votre étude ?
En vous remerciant par avance.

Bonsoir Myamoto Musashi,

Je pense avoir trouvé la raison de ce problème.
Je ne suis pas chez moi et tenterai à mon retour en milieu de semaine de le régler.

Merci pour votre intérêt,
Bien cordialement,
Eolien

Très sympa, merci beaucoup Eolien.
Bonne soirée et au plaisir de vous lire.
MM

Histoire de rester éveillés sur cet accident et son parcours judiciaire :

Conclusions provisoires du dernier rapport d’expertise sur le vol AF447 : Tous les éléments contributifs doivent être pris en compte

SNPL :
Tous les éléments contributifs doivent être pris en compte

... toute la difficulté réside dans cette phrase.
Pour atteindre cet objectif, un procès, où toutes les parties pourraient exposer leurs arguments.

Je cite

Contrairement à ce que le SNPL a pu lire dans certains articles, tous ces facteurs sont d’ailleurs pointés du doigt par le projet de rapport qui souligne, par exemple, combien la conception de l’alarme de décrochage a été source de confusion pour l’équipage.

C'est déjà ça

C'et de l'expertise judiciaire dont on parle

Des conversations ici et là font apparaitre quelques difficultés à considérer un fait que je considère majeur parmi les nombreux éléments qui ont contribué à la perte de l’avion.
Il s’agit de la Stabilité Longitudinale très particulière des Airbus - ici, de l’A 330 - en regard des « Conditions Spéciales et Interprétations particulières ».

Que demande le règlement de base ?
L’avion étant en vol stabilisé, si la vitesse diminue, et sans toucher aux commandes de vol, l’avion doit piquer du nez. Ainsi positionné en descente, il accélère naturellement pour revenir à sa vitesse d’équilibre initiale. Il ne décroche pas. Du Bébé Jodel au Jumbo B747, c'est comme cela, et aussi sur les B777 et 787 à commandes de vol électriques.




Si le pilote veut le maintenir sur sa trajectoire, il doit tirer sur sa commande de profondeur, manche ou volant. L’effort à fournir va croissant avec la décélération : cette sensation physique s’appelle le Retour d’Effort. Arrivé à l’incidence maximale, si le pilote continue à tirer sur sa commande, l’avion décroche.




C’est la Stabilité Longitudinale Statique Positive.

Sur Airbus :

Les Airbus ont été conçus sur le concept d’une Stabilité Longitudinale Neutre.
Si la vitesse diminue, commande de profondeur (Sidestick) au neutre, les calculateurs déplacent les gouvernes de profondeur pour conserver la trajectoire.
Le BEA le dit, sans action sur les commandes l’avion irait jusqu’au décrochage.



Pour palier à cette situation non conforme au règlement de base, une dérogation (Conditions Spéciales etc …) a été accordée sous condition  d’équiper les avions à Stabilité Longitudinale Neutre (Airbus A330) de protections dont celle des basses vitesses enverrait un signal à piquer que le pilote ne pourrait surpasser et éviterait à l’avion d’atteindre les limites du domaine de vol.

Or, si cette protection existe bien en Normal Law et en Alternate Law 1, elle n’existe pas en Alternate Law 2, loi de pilotage dans laquelle s’est brutalement retrouvé l’Airbus du Rio-Paris AF447.

On peut alors revenir à la question posée par la première juge d’instruction :

«  Cet accident aurait-il pu être évité ? Si oui, comment ?»

Une réponse n’est-elle pas alors :

En respectant les « Conditions Spéciales et Interprétations Particulières » qui prévoyaient que l’avion soit équipé de protection basse vitesse dès lors qu’il était en Stabilité Longitudinale Neutre.

S’il avait été équipé de cette protection il'avion n’aurait pas décroché et l’accident aurait pu être évité.

Merci Eolien.

CQFD.

Une question ... ou en est on actuellement, ça entre dans un process actualisé ?

Airbus n'affirme-t-il pas que ses avions sont "indécrochables" ? Comment les organismes officiels DGAC et AESA ont-ils pu accepter une dérogation à cette condition de stabilité longitudinale active qui est l'un des fondements de la sécurité aérienne depuis les frères Wright ? Il serait intéressant que le juge d'instruction se penche sur cette anomalie qui semble contraire au bon sens et au fameux principe de précaution.

Je vois deux options à cet "oubli" :

• la première liée à la difficulté d'expliquer ces principes de stabilité alors qu'il est tellement plus facile de dire que les pilotes ont eu une réaction inappropriée ...

• la seconde est liée à la sécurité des vols : que ce "trou" dans la protection des Airbus soit accepté par les autorités de l'époque de la certification (DGAC), ou actuelle (EASA) il n'en demeure pas moins que le risque reste identique : un évènement conduisant aux mêmes circonstances alors que l'avion est en Alternate Law 2, et les limites du domaine de vol, basse ou haute vitesse, pourraient être franchies sans que les pilotes en soient conscients.

Tel était le risque il y a 9 ans, tel il demeure aujourd'hui.

Alors, puisque d'évidence rien n'a été fait pour combler ce "trou" malgré la présence du risque, seul un procès permettrait de présenter clairement cette situation et aussi d'autres dont nous avons patiemment discuté ici.
Ce procès aura-t-il lieu ?...

Dans ma jeunesse, j'ai vendu des aspirateurs et de télés en porte à porte. je crois que mon argumentaire était presque aussi honnête que celui d'Airbus... mais j'étais jeune (et un aspirateur ne vole pas)

Le tribunal des médias :

Voilà un avion qui rencontre deux problèmes : une dépressurisation et un dommage important à l'un des moteurs.
La dépressurisation : c’est un cas relativement simple, très couramment pratiqué au simulateur.
Chronologiquement : les pilotes mettent leur masques à oxygène et vérifient la communication radio.
Le pilote met l’avion en descente : réduction des gaz, mise en descente, aérofreins et dégringolade vers 10 000 pieds. Le copilote informe  à la radio.
La panne moteur :  il s’agit de l’isoler par fermeture des robinets d’alimentation carburant, percussion des extincteurs.

Bilan, mis à part la panne d’un moteur et le vol dépressurisé, tout fonctionne par ailleurs, tableau de bord intègre et fiable.
Une fois dans une atmosphère accueillante en oxygène, bilan technique et humain.

Conclusion : déroutement sur l’aérodrome adéquat le plus proche.

Une fois au sol, chaleureuses félicitations, et classement/promotion par les passagers reconnaissants et par les médias dans la case "Héros".

Voici à présent un autre cas de figure :

Un avion quitte subitement sa trajectoire, perd toutes informations de vitesse et d’incidence, seules références des limites du domaine de vol,  des instruments essentiels, comme l’altimètre, indiquent des valeurs qui se révèleront erronées, le Directeur de vol donne des ordres à l’inverse de ce qu’il conviendrait, des messages de pannes contribuent à la confusion.
L’avion réputé indécrochable décroche, l’alarme de décrochage fonctionne à l’envers et comme personne ni aux essais ni depuis n’a expérimenté le décrochage personne ne saura jamais si la situation était récupérable.

Le ministre donne le "La", accuse les pilotes, le BEA fustige, les experts accablent, les médias s’en donnent à coeur joie : coupables.

Moralité pour être un héros il faut deux conditions : être confronté à une situation à laquelle on est entrainé, ou/et dont l’analyse et le traitement sont d’emblée évidents, dans un avion intègre hors de la panne racine … et être vivant !

Par contre si les pilotes sont confrontés à des "Conditions Spéciales aux interprétations particulières"  et qu’ils ne soient plus de ce monde, gare à l’image rémanente …

Merci de la piqûre de rappel Eolien 

Je trouves qu'on ne voit pas assez souvent les causes du "Feu moteur"divulguées, elles peuvent être multiples, visibles de la cabine ou pas, et aussi, souvent, de fausses alarmes des capteurs !
Quel est le critère pour déclencher le ou les extincteurs ?

Je ne crois pas qu'il y a eu un vrai feu. Le départ de la pale et l'arrachement de l'entrée d'air ont sans doute fait toucher des fils et allumé l'alarme feu, ce qui justifiait certainement de percuter les extincteurs. On peut dire que l'équipage a parfaitement fait son travail, Bravo !
Mais Éolien a oublié un facteur important dans sa description des héros: ça aide aussi que ce soit une femme, surtout dans l'état d'esprit actuel des médias post-me too.

Ben oui Jean ...Ya plus qu'a courir le plus vite possible 

Beochien a écrit:
Quel est le critère pour déclencher le ou les extincteurs ?

Une alarme incendie, confirmée ou pas déclenche immédiatement la procédure appropriée.

En simplifiant :

• STALL (pompage réacteur) : va d'une poussée limitée à l'arrêt du moteur. Dans tous les cas un moteur à poussée réduite et l'avion est considéré un moteur en panne : déroutement sur le terrain adéquat le plus proche.
• Panne moteur : si pas de ré-allumage (sur extinction) possible, le robinet d'alimentation carburant fermé et l'avion est en mono-moteur : déroutement sur ... etc ...
• Grave dommage / separation : les symptômes perceptibles étant essentiellement le blocage d'un étage compresseur par ex, ou perte d'info, ou les aubes de fan qui mitraillent les passagers, etc ... : le moteur est isolé, robinets carburant et hydraulique. L'avion est en mono-moteur. Déroutement ... etc ...
• Feu moteur : que l'alarme soit réelle ou pas, la procédure est appliquée : le moteur est isolé comme ci-dessus et les extincteurs percutés jusqu'à épuisement si besoin ... Déroutement ... etc ...

*****************************************************************

Ce que j'ai voulu relever, c'est combien est exagéré le traitement public de cet incident comparé à celui de l'AF447 :

A - Les évènements du premier sont régulièrement pratiqués au simulateur.
B - Les moyens d'analyse sont sans ambiguïté. Les procédures, simples, coulent de source.
C - L'instrumentation n'est à aucun moment défaillante.
D - Les commandes de vol présentent les mêmes caractéristiques : retour d'effort notamment.
E : Pilote automatique disponible.

AF447 :

Point A : Impossible de reproduire l'évènement sur les simulateurs, donc d'y entrainer les équipages, et également impossible de reproduire le décrochage et sa sortie.

Point B : A aucun moment la panne racine, pourtant envoyé au sol par ACARS n'est disponible pour les pilotes. Ensuite, la liste est trop longue pour énumérer les errements des systèmes.

Point C : Perte des vitesses, perte des incidences limites, altimètre et variomètre erronés, FD donnant des ordres inadaptés, SpeedTrend inversé ... etc ...

Point D : changement ambigüe de sensations dans une loi de pilotage mal annoncée et hybride (amplifiée sur le roulis, minorée sur le tangage). Rupture de l'homogènéïté au pire moment. Pas de retour d'effort.

Point E : Pas de Pilote Automatique a qui confier l'avion pour être disponible pour la réflexion et l'analyse.

Merci, une question pour Eolien ??

Les extincteurs, ils sont où, sur un avion moderne ??
Prés des moteurs , ou centralisés autre part (ou les 2)
Et ils agissent où ?? 
Les zones d'alerte sont elles bien définies (Combien ?)
Dans le coeur, ou sur la périphérie (Dans la nacelle ?)
Peut on les vider partiellement ces extincteurs (Temps, ou pression ?)

Bon, j'ai trouvé qq chose ... plusieurs types de solutions, suivant les avions, centralisées, partagées ou pas ... 
Visiblement, pour le coeur d'un moteur, on coupe le pétrole, et c'est tout !

Donc j'ajoute ...

https://www.skybrary.aero/index.php/Engine_Fire_Protection#Engine_Fire_Extinguishing

Exemple sur B 777 en allant Boeing 777 Fire Extinguisher System.  

Que ce soit sur Boeing ou Airbus, c’est un tout ou rien : une fois percutée la bouteille se vide .

En soute, c’est très différent. Les bouteilles se vident sur un rythme tel que le confinement du feu est (serait) maitrisé jusqu’à la destination où les bouteilles vomiraient ce qui leur resterait dans les entrailles.

Je voudrais simplement dire que je suis absolument d'accord avec Eolien. 

L'affaire du 737 amoché représente un excellent exemple de ce qu'un pilote doit faire et à quoi servent toutes les séances de simulateur. Le CdB et tout l'équipage doivent être félicités d'avoir bien fait leur travail. 

Rien à voir avec AF447 dans lequel les pilotes n'ont jamais pu faire le leur, car ils étaient dans une ambiance de désorganisation totale avec des instruments non seulement faux, mais trompeurs et aucun moyen de vérifier leurs sensations, leurs intuitions et leur analyse. On sait déjà que les deux première n'ont rien à faire en IFR, et que le troisième doit se fonder sur des indications exactes et fiables, ce qui n'a jamais été le cas depuis le début. Leur analyse de la situation était fausse et sans doute inverse entre les deux copilotes, mais ils n'avaient aucun moyen de le savoir et même s'ils l'avaient su, qui avait raison? Pile ou face?
À la limite, le centre OPS de Roissy était mieux renseigné qu'eux sur l'état de l'avion. 

Donc oui, ils n'ont pas été traités équitablement par le BEA, par Airbus, par les experts, par la plupart des professionnels de l'aviation et, évidemment, par les médias qui préfèrent toujours les fins "à la Hollywood". Espérons qu'ils seront jugés équitablement, mais ce n'est pas très probable vu l'ampleur des parties à charge.

Il y a exactement 9 ans, jour pour jour, 228 vies avaient quitté Rio de Janeiro pour rallier Paris à bord d’un Airbus A330 - 200.

A 2 h et 10 mn l’avion a pénétré dans un simple nuage de cristaux de glace comme il y en a un peu partout sur la planète.
4 minutes et 23 secondes plus tard l’avion percutait l’Océan Atlantique et ce qu’il reste de l’épave git depuis par 4000 m de fond.

Ce jour est donc un anniversaire de plus, un triste anniversaire, mes pensées vont vers ces 228 victimes et vers leur familles.

Je dirais commémoration ...

L’objectif de l’analyse de sécurité est de définir un niveau de criticité à un système selon la panne et la conséquence de la panne de ce système sur la sécurité du vol.

Exemple de classement :



On comprend qu'un système anodin peut supporter un taux de panne élevé et rester classé Minor, alors qu'un système sensible sera classé Catastrophic avec un taux de panne bien moindre.

Rapporté à l’AF 447 quel est le classement de la chaine de mesure des vitesses dans l’analyse de sécurité des vols :

• la FFA l’a classée Catastrophic
• Airbus dont le principe de criticité repose sur 3 niveaux , Vert, Jaune, Ambre a fait correspondre à Ambre le niveau Major du système EASA. Ni Hazardous, ni Catastrophic.
Etait-ce raisonnable ?
• |'EASA l'a accepté.


On est à la frontière entre la perception arithmétique de la sécurité des vols et une approche plus prudente de la dangerosité potentielle d’un système.

Selon la règle, le seuil entre Major et Hazardous est de 10 (-5) : 1 évènement pour 100000 heures de vol.
Il y a eu 11 évènements dans l’année précédant la perte de l’AF447 (2008) et 10 dans les 5 premiers mois précédents l'accident.
Le comptable matheux peut s’abriter derrière les chiffres : le seuil de criticité n’était pas encore franchi.

Bien évidemment le passager que je suis avance la notion de mise en danger de la vie d’autrui, d’exposition à un risque, du devoir de précaution en s’appuyant sur le classement « Catastrophic » de la FAA d’une part et sur la recrudescence évidente des cas de perte de vitesses les mois précédents d’autre part.

Airbus l’a proposé, l’EASA l’accepté et il y a 228 morts.

Depuis 9 années, y-a-t-il eu une chose de modifié ?

(J'apprécierais des avis contradictoires sur ce sujet bien complexe ...)

Donc, il n'y aurait pas de niveau "catastrophic" chez airbus ?
Rien au dessus d'ambre ?

Probablement qu'Airbus dirait que Ambre peut être Catastrophic, ou bien Critique (Hazardous), ou bien Majeur, ce qui a été et est toujours le cas concernant la chaine de mesure des vitesses.

C'est très opaque dans la mesure où c'est le constructeur qui a procédé à l'analyse de sécurité et a déterminé le classement sur son expérience et sur des algorithmes dont l'essence même est l'estimation d'un risque ...
En quelque sorte, notre sécurité dépend de calcul de probabilités.
(La DGAC a accepté le classement seulement Majeur, et lors de l'entrée en lice de l'EASA (2003) l'autorité européenne l'a également validé, ou ne s'y est pas opposé.)

Ce recours aux calculs est inévitable, mais là où le passager que je suis n'est plus d'accord c'est que si avant le 1er juin 2009 on pouvait dire qu"on ne savait pas" ( et encore ! vu la cinquantaine de cas de givrages de sondes Pitot connus), à présent "on sait".

Mais ce n'est qu'un des volets des circonstances de cet accident.
Il s'y rajoute le changement de PHC sans véritable expérimentation, la modification du FWC qui ne déclenche pas d'alarme en cas de panne du réchauffage Pitot inférieure à 5 secondes ...
L'absence de protection basse vitesse en Alternate Law 2 ! (pourtant exigées par les Conditions Spéciales ...)
Le déplacement du PHR ( Autotrim) jusqu'à sa butée à cabrer (interdit )
L'alarme STALL qui fonctionne en inversé sous et au passage de 60 kts (interdit)
 ... et le FD, et l'altimètre, et le variomètre; le Double-Pilotage, et, et ...

L'alarme STALL qui fonctionne en inversé sous et au passage de 60 kts (interdit)

Il me semble que chez Boeing c'était pareil....que l'alarme se coupait si l'avion se retrouvait dans cette position ( je crois sous 40 ou 50 nœuds sur 747 -400 entre autre ) et que Boeing a modifié la chose ou a fait une lettre aux équipage pour le préciser ou le rappeler justement après qu'on ai eu connaissance de ce détail sur le 447. Faudrait demander à c.foussa des précisions.

Comète a écrit:

L'alarme STALL qui fonctionne en inversé sous et au passage de 60 kts (interdit)

Il me semble que chez Boeing c'était pareil....que l'alarme se coupait si l'avion se retrouvait dans cette position ( je crois sous 40 ou 50 nœuds sur 747 -400 entre autre ) et que Boeing a modifié la chose ou a fait une lettre aux équipage pour le préciser ou le rappeler justement après qu'on ai eu connaissance de ce détail sur le 447. Faudrait demander à c.foussa des précisions.

Oui, sur les gros Boeing, la logique est la même; mais il y a une très grosse différence entre Boeing et Airbus, c'est que les Airbus n'ont pas de vibreur de manche (stick shaker) sur les mini manches, alors que Boeing en a même avec des commandes de vol électriques… la logique est basée sur l'incidence (AOA)


Une étude intéressante que j'ai déjà du publier, mais la revoici:

https://www.atsb.gov.au/media/4359010/ar-2012-172_final.pdf