AF447 : Commentaires (partie 3)

Probablement qu'Airbus dirait que Ambre peut être Catastrophic, ou bien Critique (Hazardous), ou bien Majeur, ce qui a été et est toujours le cas concernant la chaine de mesure des vitesses.

C'est très opaque dans la mesure où c'est le constructeur qui a procédé à l'analyse de sécurité et a déterminé le classement sur son expérience et sur des algorithmes dont l'essence même est l'estimation d'un risque ...
En quelque sorte, notre sécurité dépend de calcul de probabilités.
(La DGAC a accepté le classement seulement Majeur, et lors de l'entrée en lice de l'EASA (2003) l'autorité européenne l'a également validé, ou ne s'y est pas opposé.)

Ce recours aux calculs est inévitable, mais là où le passager que je suis n'est plus d'accord c'est que si avant le 1er juin 2009 on pouvait dire qu"on ne savait pas" ( et encore ! vu la cinquantaine de cas de givrages de sondes Pitot connus), à présent "on sait".

Mais ce n'est qu'un des volets des circonstances de cet accident.
Il s'y rajoute le changement de PHC sans véritable expérimentation, la modification du FWC qui ne déclenche pas d'alarme en cas de panne du réchauffage Pitot inférieure à 5 secondes ...
L'absence de protection basse vitesse en Alternate Law 2 ! (pourtant exigées par les Conditions Spéciales ...)
Le déplacement du PHR ( Autotrim) jusqu'à sa butée à cabrer (interdit )
L'alarme STALL qui fonctionne en inversé sous et au passage de 60 kts (interdit)
 ... et le FD, et l'altimètre, et le variomètre; le Double-Pilotage, et, et ...

L'alarme STALL qui fonctionne en inversé sous et au passage de 60 kts (interdit)

Il me semble que chez Boeing c'était pareil....que l'alarme se coupait si l'avion se retrouvait dans cette position ( je crois sous 40 ou 50 nœuds sur 747 -400 entre autre ) et que Boeing a modifié la chose ou a fait une lettre aux équipage pour le préciser ou le rappeler justement après qu'on ai eu connaissance de ce détail sur le 447. Faudrait demander à c.foussa des précisions.

Comète a écrit:

L'alarme STALL qui fonctionne en inversé sous et au passage de 60 kts (interdit)

Il me semble que chez Boeing c'était pareil....que l'alarme se coupait si l'avion se retrouvait dans cette position ( je crois sous 40 ou 50 nœuds sur 747 -400 entre autre ) et que Boeing a modifié la chose ou a fait une lettre aux équipage pour le préciser ou le rappeler justement après qu'on ai eu connaissance de ce détail sur le 447. Faudrait demander à c.foussa des précisions.

Oui, sur les gros Boeing, la logique est la même; mais il y a une très grosse différence entre Boeing et Airbus, c'est que les Airbus n'ont pas de vibreur de manche (stick shaker) sur les mini manches, alors que Boeing en a même avec des commandes de vol électriques… la logique est basée sur l'incidence (AOA)


Une étude intéressante que j'ai déjà du publier, mais la revoici:

https://www.atsb.gov.au/media/4359010/ar-2012-172_final.pdf

Merci C.Foussa,

Il est important de se souvenir que le Trim manuel cesse sur B 777 dès lors que la vitesse franchit VLS en décélération, ce qui entraine l'obligation pour le pilote de tirer sur son volant pour conserver la trajectoire. Cet effort sensoriel est le "Retour d'effort", inexistant sur Airbus.

En loi Alternate 2 B, il n'y a pas de protection de l'enveloppe de vol (pourtant exigées !...) et le PHR se déplace vers l'angle de cabré maximal. (pourtant interdit)

Par ailleurs, puisque C.Foussa apparait sur ce fil, il serait intéressant qu'il nous fasse part de son sentiment sur ces classements de l'analyse de sécurité et notamment du classement Majeur de la chaine de mesure des vitesses, (ou chaine anémométrique).

C'est un sujet que je connais très mal et n'ai pas de doc là dessus..je passe mon tour !

eolien a écrit: et le PHR se déplace vers l'angle de cabré maximal. (pourtant interdit)

Je reviens sur mon post précédant que je modifie :

... et le PHR se déplace vers l'angle de cabré maximal. (pourtant proscrit)

Je fais référence au paragraphe JAR 25-672 qui est assez  ... "complexe" et que j'interprète en disant que le PHR ne doit pas dépasser une limite maximale au delà de laquelle la tendance naturelle à piquer d'un avion ne pourrait plus être obtenue et de ce fait rendrait la récupération du décrochage compromise.

Sur A 330, cette limite est présente en Normal Law, en Alternate Law 1 mais n'existe pas en Alternate Law 2 qui est la loi dans laquelle s"est retrouvé l'AF447 : le PHR a franchi cette limite et est allé jusqu'à sa la butée mécanique. Alors, "interdit" ?... "proscrit" ?...


Le plus important : est-ce que cela a été modifié ?...

Oups !... j'ai oublié un point très, très important :

Une alarme de perte des sondes Pitot au cockpit : la panne a été reconnue par le système, l'information a été envoyé au sol par ACARS pendant la chute de l'avion. les pilotes n'ont jamais su qu'elle était l'origine de la panne.

Bonjour Eolien,
Quelle est le sens de "hard" pour le défaut des sondes et celui du bus ADIRU à la ligne suivante ? 
Une "hard failure", c'est normalement une panne confirmée, mais dans ce cas il s'agit plutôt d'une comparaison différentielle.

Bonsoir Victor,

Très bonne question qui ouvre une réflexion nouvelle :

• Hard qualifie une anomalie qui dure ...  combien de temps ?...

or, si on rapproche ta question au changement du FWC qui ne retient que les pannes du PHC (réchauffage sondes Pitot) supérieures à 5 secondes, on peut se demander si ce choix des 5 secondes n'est pas pour échapper à la qualification Hard pour des pannes intermittentes ...
.
Voilà une piste complexe dont l'exploitation demandera du temps pour la collecte des infos indispensables à sa résolution ... si on y arrive !

Petit détail : la première séquence du Directeur de Vol (FD) en rade est de 9 secondes ... donc sup à 5 s ... et pourtant le message ACARS correspondant ne le qualifie pas HARD ...

Les deux messages "hard" sont enregistrés à 2:11:49 et 2:11:55, soit près de deux minutes après le débrayage du pilote automatique. J'imagine qu'ils correspondent à NAV ADR DISAGREE qui est le huitième message transmis par l'ACARS. On est loin des 5 secondes pour constater que les vitesses ne concordent plus entre elles et les pilotes n'en sont pas informés autrement que par des WARNINGS.

Il ne faut pas trop regarder le timing des messages ACARS dont la chronologie est perturbée par les embouteillages des télécommunications.

De ta question il faut retenir que le message essentiel sur la défaillance des sondes Pitot a été qualifié HARD puisqu'il s'agissait d'une panne d'une "certaine" durée.
La panne étant à 02h10mn 05s la transmission a du débuter très tôt et être ralentie par les communications ...

Si cette panne avait été communiquée aux pilotes, ils l'auraient eu sur l'instant à l'ECAM, leur compréhension de l'évènement maitrisée et l'histoire aurait pu être toute autre ...

Le cours normal des chose aurait dû être :

Entrée dans la zone de givrage
Débrayage PA et charge de cavalerie,
Place gauche: Problème de sondes Pitot
L'ECAM dit: NAV ADR DISAGREE
Garde bien ta ligne de vol !
Place droite: Mais on est descendus de 300 ft et je n'ai plus les vitesses.
Place gauche: c'est normal dans le circonstances, attends que ça revienne
Place droite: Je mets le réchauffage au max, ça va fondre

Une minute plus tard:
Tu vois, les vitesses redeviennent égales et l'altitude remonte.
Garde toujours ton niveau.
Voilà, c'est revenu à la normale, essaie de réarmer le PA et le FMS.
Place droite: C'est fait!
On appelle le commandant ?
Pas la peine, laisse-le dormir.

Et ce sujet n'aurait jamais existé...

Hélas oui.
Le message NAV ADR DISAGREE couvre plusieurs cas de figures et de ce fait demande de parcourir une ou des procédures.

Une alarme associée à la perte des sondes Pitot, quelle qu'en soit la raison, aurait dû être installée avant, et aurait dû être installée depuis.

Un simple message ECAM : PITOT

Comme tu le soulignes, Vector, tout ce qui découle ensuite serait alors interprété en conséquence.

On ne réécrit pas l'histoire, mais rien n'interdit d'en tirer des leçons pour l'avenir. C'est même à ça que ça sert (en principe) !

Une explication trouvée sur un site expliquant le principe de la "Alpha Protection" qui résume bien la croyance générale que les pilotes sont responsables de la suite des événements.

In AF447, the system switched to "alternate law" and no longer provided stall protection, because the pitot tubes (airspeed sensors) froze over. The plane stalled from 38,000 feet to the water after the pilots failed to apply correct procedure for unreliable airspeed.

Bug

Vector a écrit:... the pilots failed to apply correct procedure for unreliable airspeed.

Oui, le propos que tu rapportes est le raccourci simplissiste de dire que s'ils avaient appliqué la bonne procédure ils auraient eu une chance de s'en sortir.

Mais c'est oublier plusieurs facteurs essentiels.

Tout d'abord que cet accident a démontré que cette procédure appelée alors IAS Douteuses n'était pas adaptée à la situation et a depuis été modifiée et rebaptisée URA : UnReliable Airpeed.

Ensuite, pour appliquer une procédure faut-il d'abord avoir identifié la cause qui la déclenche,

Enfin, c'est plus facile de dire "c'est la faute aux pilotes" que d'étudier pourquoi et comment ils ont réagit aux évènements qui se bousculaient devant eux.

Eolien, est-ce qu'il y a un moyen de savoir si la formation des pilotes a été revue depuis et je ne parle pas de la formation au décrochage que tout pilote du dimanche connait. Est-ce qu'on tient compte de la possibilité d'une perte des vitesses, de la perte d'altitude virtuelle, de l'effet sur les instruments, etc., pour que cette catastrophe ait au moins servi à quelque chose.
Sinon, c'est un peu désespérant...

Une séance au simulateur pour l'approche des basses vitesses.
La procédure URA et la procédure Stall corrigées, modifiées.

La réversion en Alternate Law 2 n'est pas exclusive à une perte des sondes Pitot. Plus d'une demi-douzaine d'autres cas de pannes d'autres systèmes peuvent y amener ...
Evidemment, c'est exceptionnel ... statistiquement ...

Tous les avions piquent naturellement du nez lorsque la vitesse décroit.
Pas les Airbus puisque par conception les commandes de vol le maintiennent sur sa trajectoire, avec , au bout du bout le décrochage.
La règle a imposé aux Airbus une protection pour éviter ce désastre.
Sur A 330 cette protection est présente en Normal law et Alternate law 1.
Le constructeur a décidé d'en faire l'économie en Alternate law 2.

L'EASA peut dire que la certification a été faite par la DGAC ...
La DGAC pourra dire que depuis 2003 ils ne sont plus maitre de cette situation ...
Airbus peut dire que l'avion est conforme à la certification ...

Tant qu'il n'y a pas de procès ni de nouveau crash ...

Et puis s'il y avait un crash, il y a un fusible : le pianiste !

La seule chose qui a vraiment changé c'est que les pilotes ne croiront plus au mythe de la survitesse ou de l'inversion des commandes en haut transsonique.

... the pilots failed to apply correct procedure for unreliable airspeed.

Je reviens sur cette formule que l'on retrouve souvent publiée :

A l'instant de la panne l'Airbus est parti en virage et en descente non commandés.
A quoi pense un pilote en constatant cette évasion de la trajectoire ? : à la corriger, immédiatement. C'est ce qu'ils ont fait.

Celui qui prétend qu'il aurait instantanément compris qu'il s'agissait en fait d'un blocage des sondes de vitesses est un génie. Ou alors il a lu notre fil sur cet accident !
Dans les deux cas, un vantard.

Un système de type Stick Shaker pour informer de l’imminence du décrochage.


Nous le savons tous, l’AF447 a décroché.

Avions légers :
Tous les pilotes apprenant à piloter en aéro-club étudient et pratiquent les décrochages, (ailes horizontales, en virage, ...) apprenant à le reconnaitre, à le maitriser et à le récupérer.

Avions de ligne :
Il n’y a aucun simulateur qui permettent de réaliser l’exercice pour les pilotes de ligne dont la compétence en la matière remonte au souvenir de ces jeunes années …

Concernant les essais en vol il y a deux versions connues :
• Boeing : on trouve sur Youtube une vidéo représentant des décrochages du B 777  en différentes configurations.
• Airbus : l’A330 n’a pas été décroché. Le BEA le dit, les essais basses vitesses ont été interrompus aux signes avant-coureurs du décrochage.
Règlementairement, c’est suffisant pour définir une valeur limite qui servira de référence.

Les avions de ligne à "manches et volants classiques" sont dotés d’un vibreur de manche dont le déclenchement à l’approche du décrochage, tant par le bruit de crécelle que la soudaine violence de la vibration du volant, alerte le pilote d’un danger imminent et sans ambiguité.

Il n’y en pas sur les Airbus, dont l’A330 de l’AF447.

Je reviens ici sur une expérience que j’ai vécue et sur le rôle sécuritaire du Stick Shaker.

Nous étions en B777 300ER en croisière lors de la traversée du Front Inter-Tropical, le FIT qui est sur l’Afrique l’équivalent du Pot au Noir sur l’Atlantique.
Une aggravation soudaine de l’image radar a déclenché deux actions : le copilote s’est installé pilote aux commandes, et j’ai pris le combiné téléphonique pour faire une annonce en cabine du message d’urgence intimant aux PNC de cesser toutes activités, de ranger le matériel pour vite aller s’assoir et s’attacher.

Alors que je parlais, la situation s’est instantanément dégradée, désordre instrumental, turbulences, bruit et … Stick Shaker.

Le copilote a très bien réagit, poussant sur le volant et déconnectant le Pilote Automatique en prenant une assiette à piquer.
Sur le document ci-après issu de l’analyse du vol il faut noter l’assiette à piquer à plus de 4 ° pour répondre à l’imminence du décrochage et la poussée formidable d’un courant ascensionnel qui a propulsé les 200 tonnes de l’avion 1400 pieds au-dessus de son niveau initial.

C’est dire la violence des éléments et l’importance du Stick Shaker … nous ne saurons jamais ce qu’il se serait passé sans les cris de ce merveilleux outil !…



à 16 h 34mn 14 s la vitesse est M 0.82.
Puis elle décroit.
Le PLI (incidence Limite) a été approché ce qui a déclenché le Stick Shaker.

Airbus A 330 AF 447 ;
Sans PLI, sans Stick Shaker, sans info de vitesses cohérentes, sans retour d'effort aux commandes,  etc ... l'AF447 a franchi la limite basse de l'Enveloppe de vol et est entré en Deep Stall.

Merci eolien de citer cet évènement, je m'en souviens.

Pour ceux qui ne sont pas familiers des énergies rencontrées dans ces zones et nuages, voici juste un extrait du rapport BEA d'accident d'un MD 82 qui a décroché en allant vers Fort de France en août 2005 et tuant 160 personnes. Les causes ne sont bien sûr pas les seules conditions météo.


69 mètres par seconde = 138 kts de rafales verticale. On appelle ça un "coup de pied au cul"

Bonjour Eolien,
Pour reprendre le fil des événements de ce vol, pourquoi en l'espace de 8 secondes l'angle d'attaque repasse-t-il à +10 et l'AP se réengage-t-il brièvement alors que le copilote cherche manifestement à revenir au FL 370 avec un taux de montée de 3000 à 4000 ft/s ?

C.Foussa

69 mètres par seconde = 138 kts de rafales verticale. On appelle ça un "coup de pied au cul"

Ou une méga pompe... C'est comme ça qu'un vautour s'est retrouvé dans un réacteur à 35 000 ft.

Vector a écrit:Bonjour Eolien,
Pour reprendre le fil des événements de ce vol, pourquoi en l'espace de 8 secondes l'angle d'attaque repasse-t-il à +10 et l'AP se réengage-t-il brièvement alors que le copilote cherche manifestement à revenir au FL 370 avec un taux de montée de 3000 à 4000 ft/s ?

Bonsoir Vector,
Rien n'était linéaire avec, comme toujours dans ces situations, une lecture difficile des instruments à cause des turbulences et des sautes de la vitesse qui était tombée à M.74 pour accélérer à M.84.
Comme chacun le sait la fourchette, la plage des vitesses, le fameux coffin corner est étroit à haute altitude.
Alors le copilote a cabré pour casser cette accélération ... tout comme l'a fait le copilote de l'AF447.

La différence est que nous avions un panneau instrumental fiable, à l'inverse de celui de l'AF447 qui était en vrac !
D'où une récupération facilitée.

Bien évidemment, on peut dire après coup : "y-avait qu'à faire comme çi" ou "y-avait qu'à faire comme ça"...

Tout s'est passé très vite. J'ai eu plus d'informations par la lecture du dossier que par la mémoire de l'évènement. Il a fallu vite redescendre au niveau et continuer la traversée du FIT ...

L'essentiel de cet épisode est que c'est l'activation du stick shaker qui a entrainé une action sur les commandes pour une prise de contrôle manuelle de la trajectoire.

Si l'on avait pas eu ce dernier rempart, que serait-il advenu ?...

C'est ce point de vue que je défends sur ce fil en parlant des Conditions Spéciales accordées à Airbus et qui prévoyaient une protection basse vitesse, protection inexistante sur l'AFF447 en Altenate Law 2.

Je suis bien d'accord là dessus. Ce sont des points qui devraient conduire à un procès pour AF447.
Toutes ces circonstances sont aberrantes et contraires au moins à l'esprit de la CS25, sans parler du simple bon sens.
Même avec un panneau complètement désorganisé et trompeur, un simple affichage du message ACARS sur l'ECAM aurait "détrompé" les pilotes et ils auraient piqué sans crainte de la survitesse, évitant ainsi le décrochage qui était infiniment plus dangereux a priori. Sans vitesses, mieux vaut aller trop vite que trop lentement, mais il est certain que la stabilité longitudinal et un retour d'effort n'auraient pas été de trop.

Question de sécurité et de principe de précaution :

Que la règle l'ait imposé (ce que je crois) ou qu'il y ait eu une dispense (ce que je n'ose imaginer) le résultat de l'absence de protection basse vitesse est la catastrophe de l'AF447.

Pour le simple principe de précaution cette protection basse vitesse aurait dû être exigée dans toutes les lois, ou bien exiger de supprimer la loi Alternate 2.

C'est de mon point de vue le point majeur qui, n'ayant pas été corrigé par le constructeur ni par l'autorité 5EASA) devrait être débattu dans un tribunal.

Ensuite, il faudrait aborder le second point, l'alarme de décrochage, non conforme à la règle.