Doctrines de Pertes de Controle / Décrochages : Compagnies contre Constructeurs

Voici la rediffusion d’un article que j’avais publié en octobre 2007 sur ce site. Il compare deux doctrines concernant la gestion des décrochages. Ceci est une tentative pour comprendre pourquoi l’Airbus A330 du vol AF447 est resté cabré et les moteurs à fond pendant les quatre minutes et demi qu’a duré sa chute. Vos commentaires au sujet de cet axe réflexion seront très appréciés.

Procédures contre approche générale
Les compagnies aériennes fonctionnent en procédures qu’elles mettent à disposition des pilotes. Ces derniers sont formés en simulateur pour agir selon des check-lists standards fabriquées par leur compagnie aérienne. Les instructeurs valident l’apprentissage de chaque pilote et chaque fois que celui-ci applique les procédures correctement, il sauve son avion de la situation dangereuse. De leur coté, les instructeurs utilisent les procédures pour obtenir avec leurs pilotes des résultats uniformes, vérifiables et reproductibles. Les compagnies veulent également des procédures qui soient faciles à enseigner et qui fonctionnent sur tous les avions de leur flotte.

Les constructeurs d’avions voient les choses sous un autre angle : pour eux, il n’y a pas de perte de contrôle type et pour cette raison il ne saurait y avoir de procédure de récupération type ! Chaque perte de contrôle est différente et les pilotes devraient être formés dans un contexte très large leur permettant de gérer n’importe quelle perte de contrôle même s’ils ne l’ont jamais rencontrée précédemment en simulateur.

Trim : le mot interdit
Chez les compagnies aériennes, l’apprentissage de la gestion des pertes de contrôle suit toujours le même scénario : la perte de contrôle est due à un moment d’inattention qui met hors de son enveloppe de vol un avion correctement trimé (compensé). Hors, dans cette situation, le pilote a des commandes de vol avec une autorité totale permettant une récupération plus facile.

Les constructeurs considèrent cette approche comme simpliste et auraient souhaité que les compagnies enseignent aussi à leurs pilotes des techniques de récupération qui incluent l’usage du trim. Les compagnies aériennes sont très fermes sur ce point : la récupération doit se faire qu’en utilisant les commandes de vol primaires. Il n’est pas question de toucher au trim. En effet, les instructeurs ont peur de deux choses. D’abord, que les pilotes cherchant à corriger une situation hors trim ne font que l’empirer. D’un autre coté, sur certains vieux appareils encore en service, il est possible d’avoir des situations de déroulement de trim.

 

Le décrochage 
Dans les compagnies aériennes, les pilotes s’entrainent à gérer non pas des décrochages, mais des approches de décrochages. En simulateur, la vitesse est baissée jusqu’au déclenchement du stick shaker. A ce moment, le pilote récupère de la manière suivante : il pousse les manettes de gaz à fond et maintient le cabré de l’avion pour éviter de perdre de l’altitude.
Pour les constructeurs, les pilotes doivent aussi apprendre à gérer des situations de vrais décrochages. Lors de telles situations, il est impossible de ne pas perdre de l’altitude et les pilotes ne devraient pas essayer de ne pas en perdre. Au contraire, il faut pousser sur le manche pour permettre à l’avion d’accélérer et baisser son incidence.

De plus, les constructeurs insistent sur le distinguo entre décrochage et… décrochage. Pour eux, il est trop facile de récupérer un avion si on va juste un tout petit peu après l’angle de décrochage. Dans ce cas, l’appareil a encore beaucoup trop d’énergie qui facilite sa reprise en main. Ils souhaiteraient voir les pilotes de ligne apprendre à aller vers des décrochages profonds avec une perte importante de vitesse.

Réduire la poussée des moteurs montés sous les ailes
Les compagnies aériennes ne veulent pas entendre parler de ce qui va suivre mais c’est un point important. En effet, lors du décrochage réel, les commandes de vol ont une faible réponse et le pilote ne peut pas empêcher la perte d’altitude. A ce moment, il est important de faire piquer l’avion. Pousser sur le manche, peut ne pas être suffisant. Pour les avions dont les moteurs sont sous les ailes, les constructeurs recommandent vivement de réduire le régime des réacteurs. La poussée de ces derniers passe sous le centre de gravité et provoque une forte tendance à cabrer qui peut maintenir l’assiette trop élevée pour permettre une récupération.

Les avions de voltige ont un moteur tellement puissant qu’il peut les arracher d’une situation de décrochage même s’ils restent relativement cabrés. Les réacteurs des avions de ligne sont incapables d’une telle prouesse et un Boeing ou un Airbus ne sortira pas de son décrochage tant que son assiette ne baisse bas.

Rappel important des constructeurs d’avions : dans une situation inusuelle, si l’avion est en décrochage, il faut d’abord le sortir du décrochage avant de vouloir corriger l’attitude inusuelle. Ceci est connu, mais souvent ignoré en situation réelle.

 

L’utilisation de la gouverne de direction
Dans les compagnies aériennes, les instructeurs, souvent d’anciens pilotes de chasse, enseignent le contrôle des avions de ligne aux palonniers quand l’avion est proche du décrochage. En effet, il est notable que la gouverne de direction garde une bonne autorité à faible vitesse et permet une action en roulis que les ailerons ne permettent plus.

Les constructeurs sont farouchement opposés à cette démarche. Pour eux, si la gouverne de direction fonctionne correctement aux faibles vitesses sur les avions de chasse, il n’en est pas de même sur les avions de ligne. Ceux-ci ont plus d’inertie et une action inconsidérée sur la gouverne de direction à l’approche du décrochage peut créer une perte de contrôle à plus forte raison si les volets sont sortis.

Chez certaines compagnies, le mot d’ordre a effectivement changé et les instructeurs recommandent aux pilotes d’y aller doucement sur la gouverne de direction. Cette dernière doit être utilisée avec beaucoup de circonspection en en conjonction avec un mouvement d’ailerons pour aider ces derniers. Par contre, jouer tout le temps avec les palonniers est le moyen le plus rapide de provoquer un glissade et une sortir du vol contrôlé.

L’usage du simulateur de vol
Le simulateur de vol est un appareil qui fait voler un avion virtuel dont la fidélité dépend de la qualité des données qu’il contient. Les pilotes d’essai ne se mettent pas volontairement en danger pour fournir des chiffres aux simulateurs de vol. De plus, même quand leurs avions arrivent dans des situations inusuelles, elles ne sont pas assez nombreuses pour fournir un modèle valable.

Le simulateur fonctionne bien dans le domaine de vol de l’avion. Par contre, dès qu’on commence à s’approcher des limites de ce domaine, sa fiabilité baisse jusqu’à ne plus être représentative du tout. Par exemple, si on tire sur le manche pour décrocher mais qu’en même temps on donne un gros coup de palonniers pour provoquer une glissade, le simulateur ne va pas correctement intégrer cette dernière. Ceci nous ramène au point précédent et explique pourquoi les avions simulés ne font aucune mauvaise surprise aux pilotes qui les contrôlent à la gouverne de direction aux abords du décrochage.

Lectures connexes :
– ABX 827, accident à cause d’un simulateur de DC-8
– Perte de contrôle du vol China Airlines vol 676
– Perte de contrôle sur vol China Airlines vol 140

Source :
– Article de Mr William Wainwright, Chef Pilote d’Essai chez Airbus Industries [Pilote d’essai du A330]

Comment Boeing Nomme les Avions ?

Dans l’article précédent, l’avion impliqué est un 737-322. Les deux derniers chiffres, le 22 ici, correspondent au numéro de client original. C’est-à-dire le client pour lequel l’avion a été construit et qui a commencé à l’exploiter dès sa sortie d’usine. Chaque client a la possibilité d’ajouter ou de retirer certaines options offertes par le constructeur. Ainsi, deux 737-300 qui sortent des ateliers la même semaine n’ont pas nécessairement les mêmes équipements s’ils sont fabriqués pour des clients différents.

Un 747-400 fabriqué pour Air France sera un 747-428, 28 étant le numéro de client d’Air France. Même si Air France vend cet appareil, il restera jusqu’à la fin de sa vie un 747-428 parce que c’est selon cette spécification qu’il a été construit.

La séquence de numérotation a commencé après le 707-120. Le 20 c’était juste pour Boeing, pas pour un client. Puis, le premier client a eu le chiffre 21. C’était la Pan Am. Puis, en 22 nous avons United Airlines. En 23 American Airlines. En 24 Continental… La première compagnie non-US c’est Air France avec le numéro de client 28. Lufthansa arrive en 30 et British Airways en 36 après avoir hérité du numéro de son ancêtre la BOAC.

Apres avoir attribué le numéro 99 à Celedonian, Boeing décide d’utiliser les chiffres délaissés auparavant : le 01 est donné à Piedmont Airlines et le compte reprend jusqu’au 19. La multitude d’opérateurs et donc de clients fait que ces chiffres de sous-type s’épuisent très vite.

Ainsi, on repart sur A0 jusqu’à Z9. Puis, sans l’avoir épuisé, on repart de AA jusqu’à ZZ. C’est la cinquième séquence et elle est utilisée aujourd’hui pour les nouveaux clients.

Un Boeing 777-21H est un 777-200 luxueux construit pour Emirates Airlines. Les 737-8AS sont des 737-800 construits avec le minimum d’options. Normal, c’est pour Ryanair.

Commandes de vol électriques – Lois NORM ALT1 ALT2 et DIR sur Airbus

La légende veut que le concept de commandes de vol électriques ait été introduit dans les avions civils par Airbus lors de la livraison du premier A320 en 1988. Répandre cette information, c’est oublier le vrai précurseur, un autre avion civil, pourtant bien bruyant pour passer inaperçu. Ayant réalisé son premier vol en 1969, l’Aérospatiale Concorde avait déjà toutes ses surfaces de vol qui étaient contrôlées par un signal électrique provenant de deux circuits indépendants. Maintenant, sur cet appareil, les mouvements des surfaces de vol étaient directement proportionnels au déplacement des commandes dans le cockpit. Ce n’est plus du tout le cas aujourd’hui ou qu’à de rares exceptions près.

L’idée fondatrice consiste à remplacer les câbles, poulies, renvois et autres ressorts de tension par un système basé sur des ordinateurs et de simples fils électriques. Les surfaces de vol sont toujours mobilisées par des vérins hydrauliques, mais ces derniers reçoivent leurs ordres par un contrôle électronique. Bien sur, personne n’a été encore assez fou pour transmettre ces ordres en… wireless. Des câbles électriques circulent dans l’appareil et véhiculent ces ordres qui sont élaborés dans la soute électronique.

En 1994, Boeing emboite le pas à Airbus en introduisant ce même concept sur son 777. A la différence près que Boeing a voulu que les pilotes gardent la même expérience de vol et les mêmes perceptions. Ainsi le triple-seven utilise un manche classique qui permet aussi un retour visuel aux pilotes y compris quand c’est le pilote automatique qui contrôle l’appareil. La famille Airbus dispose d’un manche latéral comme certains avions de chasse.

 

Airbus A320-200 cockpit
Cockpit Airbus A320 – On voit bien le stick coté commandant de bord
 

 

En plus du gain de poids, cette conception a permis d’introduire dans le programme de gestion des commandes de vol des modules permettant d’augmenter la sécurité, le confort ou l’économie. Un Airbus sait, par exemple, braquer ses surfaces de vol très vite pour contrer les effets des turbulences et améliorer l’expérience de vol des occupants. Le pilote le plus alerte serait incapable de fournir une telle fonction.

 

Boeing 777 cockpit
Cockpit Boeing 777-300 : commandes de vol électriques mais présentées de manière classique
 

 

Sécurité apportée par les commandes de vol électriques:
La gestion informatisée des commandes de vol permet d’introduire des fonctions qui sécurisent le domaine de vol. Ici encore, on trouve deux philosophies différentes que l’on regarde du coté de Boeing ou Airbus.

Sur Airbus, le domaine de vol est limité par l’ordinateur de bord. Par exemple, si on réfléchit à la protection contre les inclinaisons excessives, elle fonctionne comme ceci :

Quand le pilote incline le stick latéralement, le système de contrôle de vol reçoit l’information et va lancer une action sur les surfaces de vol en fonction de l’attitude de l’avion. Si l’avion a les ailes horizontales, ou est incliné moins de 33 degrés, la commande est exécutée normalement. Le pilote ramène le stick au neutre et l’appareil garde son inclinaison. Dès 33 degrés, le système réagit de manière différente. Il faut que le pilote maintienne son ordre d’inclinaison pour que l’avion aille et reste dans la zone au-delà des 33 degrés. Des que l’avion atteint les 67 degrés d’inclinaison, il refuse d’aller plus loin. Si à ce moment le pilote relâche la pression sur le stick, l’avion revient dans la zone des 33 degrés d’inclinaison.

La facilité de programmer des algorithmes de contrôle permet d’introduire des variantes en fonction d’autres éléments. Si l’appareil est à un angle d’attaque trop élevé, la limite d’inclinaison imposée sera de 45 degrés au lieu de 67 degrés. Si la vitesse est trop élevée et que le pilote lâche la pression sur le stick, l’avion revient à 0 degrés, c’est-à-dire les ailes à l’horizontale…

Sur le Boeing 777, cette protection existe aussi mais au lieu d’être limitative, elle est dissuasive. Quand le pilote donne un ordre à incliner, le système de commandes va renvoyer une force au manche proportionnelle à l’inclinaison déjà atteinte. Ainsi, plus l’avion est incliné, plus le manche sera lourd et il faudra une force de plus en plus importante pour l’incliner encore dans la même direction. Par contre, si le pilote est déterminé, il peut exercer une force suffisamment élevée et obtenir l’inclinaison qu’il veut.

Que ce soit chez l’un ou l’autre des constructeurs, le système des commandes de vol a besoin de connaitre la situation de l’avion, à savoir attitude, vitesse, hauteur… pour réaliser correctement ses protections. Ceci se fait par le biais de nombreuses sondes et de capteurs. Si ces derniers sont défaillants, le système est obligé de passer à des modes qui suppriment les protections tout en permettant le pilotage de l’avion.

Un Airbus est typiquement équipé de :

– 3 tubes de Pitot
– 6 sondes de pression statique
– 3 sondes d’angle d’attaque
– 2 sondes de température totale

Toutes ces sondes sont chauffées pour éviter le givrage. Les grandeurs physiques mesurées par les Pitot sont transformées en valeurs numériques par des boitiers ADM (Air Data Modules). Il y a 8 ADM mais 9 sondes Pitot et statiques. Ceci s’explique par le fait qu’une sonde statique n’est pas numérisée mais sa grandeur physique est directement transmise au système d’instruments de secours se trouvant au milieu de la console centrale. Le Pitot situé en bas a gauche de l’appareil a un double rôle. D’une part, la pression qu’il mesure est directement acheminée par un tube au badin de secours et d’autre part, elle est numérisée et utilisée ailleurs.

Les valeurs captées par les sondes et numérisées par les ADM sont envoyées aux trois boitiers ADIRU. Leur partie Air, a savoir l’ADR, va s’intéresser a ces paramètres et élaborer des informations telles que la vitesse indiquée, le nombre de mach, l’altitude… etc. Ces informations sont d’une part envoyées au pilote par le biais des instruments, mais aussi aux ordinateurs gérant les commandes de vol.

Principe de non-similarité :
En plus d’avoir des ordinateurs de bord multiples, 5 en tout, Airbus a aussi choisi de les construire selon des architectures différentes afin d’écarter l’éventualité liée à une panne de cause commune. Par exemple, sur la famille A320 il y a 2 ordinateurs de type ELAC et 3 autres de type SEC. L’ELAC est construit autour du processeur de type 68010 développé par Motorola. Les SEC tournent avec un processeur développé à la même époque que le 68010, à savoir l’Intel 80186 qui a une fréquence de 8 Mhz et 68 broches. Chaque ELAC, comme chaque SEC possède un canal principal d’où sortent les ordres de commandes et un canal de contrôle qui vérifie en temps réel les sorties. Chaque canal fonctionne avec un programme écrit séparément soit un total de 4 programmes différents pour le groupe ELAC et SEC. De plus, les SEC n’nt pas les Loi Normale et Alternatives, ils ne connaissent que la Loi Directe.

Limites de protection : 
Autant un système ABS sur les voitures n’a pas été conçu pour sauver des gens qui roulent à tombeau ouvert, autant le système de commandes électriques et ses protections n’ont pas été conçus pour tolérer tout et n’importe quoi. Ce système n’a jamais protégé contre les équipages mal ou sous formés, contre ceux qui sciemment violent les règles, contre la mauvaise maintenance… etc. En plus, ce système ne peut pas empêcher une personne parfaitement déterminée de quitter le domaine de vol. Le 27 novembre 2008, un équipage en a fait la triste expérience sur un Airbus A320 de XL Airways. Pour avoir voulu expérimenter les protections de l’avion dans un contexte qui ne le permettait pas, le commandant de bord s’est retrouvé avec un avion à 57 degrés de cabrer, 3800 pieds d’altitude et 40 nœuds de vitesse, soit 74 km/h. Le crash contre la mer provoqua la mort des 7 occupants de l’appareil.

Les limites sont faites pour des pilotes de « bonne foi » : Une approche difficile, un moment d’inattention, la vitesse baisse trop et la protection se déclenche et sauve la mise ! Maintenant, si on arrive à faible vitesse puis à la brutale on coupe les gaz, on sort de train et on déploie les aérofreins pour voir comment le système va réagir, on risque d’avoir des surprises.

———–> Loi Normale :
Airbus Loi Normale

C’est le mode habituel de l’Airbus. L’appareil se pilote au facteur de charge. C’est-à-dire que pour un mouvement donné du stick, correspond toujours la même accélération (ou même g). Ceci est à comparer aux avions à commandes de vol classique pour lesquels un mouvement du manche correspond toujours au même débattement des surfaces de vol.

Lors du décollage, ce mode efface les ordinateurs de la chaine de commande et permet au pilote de faire la rotation en action directe et a autorité totale sur la gouverne de profondeur. Dès que l’avion prend de la hauteur, la loi normale remet progressivement les ordinateurs dans la boucle.

 

 

Loi Normale : protections 
Protection Facteur de Charge :

Cette protection évite de surcharger l’avion par des manœuvres brutales. En configuration, slats rentrés, il n’est pas possible d’aller plus loin que +2.5 g en tirant sur le stick ou à moins de -1 g en poussant dessus. Si les slats sont sortis, l’intervalle se restreint à 2.0 et 0 g.

Lors du crash de l’Airbus A320 de Gulf Air (lire ici), il a été justement reproché à cette protection d’avoir empêchée le pilote d’appliquer un ordre aussi agressif que nécessaire pour éviter l’impact avec l’eau.

 

Protection en Tangage (Pitch) :

Il n’est pas possible de cabrer l’avion à plus de 30 degrés. Cette limite s’abaisse avec la vitesse jusqu’à 25 degrés. Il n’est pas possible de piquer à plus de 15 degrés. 

Protection d’angle d’attaque :

Empêche l’avion de décrocher. Dès que l’avion arrive à une incidence élevée, le mode normal active la protection. A ce moment, l’avion ne se pilote plus au facteur de charge, mais a l’incidence. A chaque déflection du stick va correspondre une incidence. Si le stick est tiré au maximum, l’avion atteint une incidence maximale inferieure a l’incidence de décrochage et n’ira pas plus loin. 

Protection Survitesse :

Quand l’appareil atteint sa vitesse ou son mach maximal (VMO ou MMO), les ordres a piqué ne sont plus pris en compte et un ordre a cabré est envoyé. En même temps, l’inclinaison maximale qu’il est possible d’ordonner est passe a 45 degrés avec l’appareil qui revient a l’horizontale des que le stick est relâché. Si le pilote automatique est actif, il va se déclencher quand cette protection s’active. 

Protection en inclinaison latérale :

Quand le pilote incline le manche, même très rapidement, l’avion part en inclinaison dont la vitesse est limitée à 15 degrés par seconde. Le maximum atteignable est de 45 ou 67 degrés en fonction de la protection survitesse si elle est active ou non. Jusqu’à 33 degrés d’inclinaison, si le pilote relâche le stick, l’avion garde l’inclinaison atteinte. Au-delà, il revient à 33 degrés. Exception, si la protection survitesse est active, l’avion revient à l’horizontale si la pression sur le stick est relâchée. 

Alarme faible énergie :

C’est une alarme orale qui retentit des que l’avion entre dans une situation ou il ne suffit pas de tirer le manche pour arrêter la descente, mais il faut aussi mettre des gaz. Ceci évite des accidents du genre Indian Airlines vol 605 où les pilotes réalisent une approche a faible vitesse horizontale mais avec un taux de chute formidable. Ces situations sont dangereuses parce que même en tirant complètement sur le manche, l’appareil ne remontera pas, il faut mettre des gaz avec des réacteurs qui mettent plusieurs secondes à réagir. 

 

En résumé, les commandes de vol électroniques protègent contre les problèmes les plus rencontrés lors d’accidents liés à ce qu’on appelle communément des « erreurs de pilotage ». Ils constituent une sorte de filet de survie efficace contre les ordres trop brusques, les pertes de contrôle, les attitudes inusuelles, les désorientations spatiales, les vitesses excessives, le décrochage en toute phase de vol ainsi que les situations de faible énergie qui s’établissent sournoisement lors de l’approche.

Ces protections sont disponibles sur un avion en parfait état de fonctionnement. Dès qu’il y a des pannes, certaines fonctions deviennent impossibles à réaliser par manque de données, d’autorité ou même de pertinence. Quand le système constate des pannes susceptibles de l’affecter, il quitte le mode dit Loi Normale et rentre dans un des autres modes disponibles : Loi Alternative 1, Loi Alternative 2 et Loi Directe.

———–> Loi Alternative 1 :
Airbus Loi Alternative 1

L’avion reste toujours pilotable au facteur de charge comme sur la Loi Normale mais la réponse en tangage est plus lente vu qu’il n’y a plus de protections sur le pitch. Le système de commandes de vol passe dans ce mode s’il détecte l’une des pannes suivantes :

 

 

Les pannes suivantes font passer l’Airbus en mode Loi Alternative 1. De plus, celles en arrière plan rouge provoquent l’arrêt du pilote automatique :
Impossibilité d’agir sur le plan horizontal réglable (PHR), soit parce qu’il est bloqué, soit parce que sa position est inconnue suite a la panne du capteur qui la mesure.
Panne d’une des gouvernes de profondeur
Panne du vérin de l’amortisseur de lacet (yaw damper)
Panne des capteurs de position des volets ou des slats
Panne d’un ADR à condition que les 2 ADR restants ne s’entendent pas sur la valeur de l’angle d’attaque

 

Quand cette loi est active certaines protections sont conservées, d’autres disparaissent et d’autres sont modifiées :

– Protection Facteur de Charge : conservée
– Protection en Tangage (Pitch) : perdue
– Protection d’angle d’attaque : Modifiée. Comme il n’y a plus d’information d’angle d’attaque, une méthode approchée est utilisée. En fonction du poids de l’avion, le système définit une vitesse minimale a l’approche de laquelle le dispositif de protection entre en jeu. Une alarme de type cricket retentit, une voix synthétique annonce « stall ! », un ordre à piquer est progressivement introduit et le mode passe en loi directe permettant une autorité totale au pilote. Ce dernier peut contrer l’ordre à piquer engagé par la protection.
– Protection Survitesse : Modifiée. Quand l’appareil rentre dans la zone de survitesse, un ordre à cabrer est progressivement envoyé dans la chaine de commande. Le pilote a la possibilité de le contrer.
– Protection en inclinaison latérale : conservée
– Alarme faible énergie : perdue.

———–> Loi Alternative 2 :
Airbus Loi Alternative 2

Sur l’axe de tangage, l’avion se cabre ou pique de la même manière que dans la Loi Alternative 1. Par contre, latéralement, la déflection des ailerons devient proportionnelle au déplacement du stick. Le gain varie en fonction de la position des volets. Le taux de roulis possible est de 20 à 25 degrés par seconde alors qu’il est de 15 degrés par seconde en Loi Normale. Les spoilers 2, 3 et 6 sont inhibés sauf si les ailerons sont en panne. De plus, il n’y a plus de protection en inclinaison. Le pilote doit donc agir avec modération sur cet axe.

 

 

Les pannes suivantes font passer l’Airbus en mode Loi Alternative 2. De plus, celles en arrière plan rouge provoquent l’arrêt du pilote automatique :
Panne des 2 moteurs (genre crash de l’Hudson)
Panne de deux centrales inertielles sur les 3 que possède l’avion
Panne de deux ADR sur les 3 que possède l’avion
Désaccord entre ADRs
Panne de tous les spoilers
Panne de tous les ailerons internes
Panne des transducteurs permettant de connaitre la force sur les palonniers

 

Remarque : en cas de pannes multiples, c’est la panne appartenant au mode le plus dégradé qui entrera en jeu. Par exemple, si le capteur du PHR tombe en panne et qu’en même temps il y a un désaccord entre ADRs, c’est la Loi Alternative 2 qui sera activée.

En Loi Alternative 2, voici l’état des protections :
– Protection Facteur de Charge : conservée
– Protection en Tangage (Pitch) : perdue
– Protection d’angle d’attaque : Comme ALT1, c’est-à-dire basée sur la vitesse sauf si 2 ADRs sont en panne. Dans ce cas, plus de protection d’angle d’attaque.
– Protection Survitesse : Comme ALT1 sauf si 3 ADRs sont en panne.
– Protection en inclinaison latérale : perdue
– Alarme faible énergie : perdue.

———–> Loi Directe :
Airbus Loi Directe

Cette loi est la plus dégradée. Les mouvements du side stick donnent des mouvements proportionnels sur les surfaces de vol. La gouverne de profondeur a une butee variable. Son débattement est élevé quand le centre de gravite de l’appareil se trouve vers l’avant et faible quand le centre de gravité est vers l’arrière. Ceci permet d’avoir un avion ni trop sensible, ni trop mou sur cet axe.

 

 

Les pannes suivantes font passer l’Airbus en mode Loi Directe. Dans ce mode, il n’y a plus de pilote automatique.
Panne des trois centrales inertielles
Panne des trois PRIM (l’avion peut voler avec 1 ou 2 SEC opérationnels)
Panne des deux gouvernes de profondeur (le contrôle en pitch se fait au PHR)
Les 2 moteurs en panne ainsi que le PRIM 1

 

Il n’y a plus aucune protection. Le trim automatique n’existe plus. Les alarmes de décrochage et de survitesse existent toujours mais c’est au pilote de faire les corrections nécessaires.

Remarque : le Concorde a été exploité pendant des décennies alors que ses commandes de vol électriques n’avaient que la Loi Directe avec pilote automatique. Par contre, ses équipages avaient la formation pour voler tout le temps en Loi Directe.

Situations inusuelles :
Un pilote qui agit progressivement sur les commandes rencontre des protections d’enveloppe qui vont l’empêcher de mettre l’avion dans une situation inusuelle. Par contre, rien n’interdit a une perturbation violente, par exemple, de mettre l’avion dans n’importe quelle attitude. Si l’avion se retrouve dans une zone largement au-delà de son enveloppe de vol protégée, le système se déclare en faillite et le pilote à un accès direct aux surfaces de vol. La seule protection restante est celle du facteur de charge sur l’axe de tangage. Voici les conditions qui déclenchent ce mode :

Pitch : plus de 50 degrés en cabré ou plus de 30 degrés de piqué
Inclinaison : plus de 125 degrés
Angle d’attaque : supérieur à 30 degrés, ou inferieur à -10 degrés
Vitesse indiquée : supérieure à 440 nœuds ou inferieure à 60 nœuds
Mach : supérieur à 0.96 ou inferieur à 0.1

Apres la récupération, la loi passe en mode alternatif et le pilote automatique redevient disponible. (Exemple : incident Northwest vol 8).

Commandes mécaniques :
En cas de perte de tout le courant électrique, l’avion a encore une gouverne de direction mécanique, un amortisseur de lacet (yaw damper) de secours ainsi que la possibilité de bouger mécaniquement le plan horizontal réglable.

Video: exemple d’approche Circle-to-Land

Afin de mieux comprendre l’accident de l’A310 aux Comores, voici un exemple d’approche ou les pilotes doivent faire une vent-arriere en maintenant le visuel sur la piste. Puis, ils font demi-tour et viennent atterrir. Imaginez la meme scene mais de nuit, vous comprendrez un peu la difficulte a laquelle devait faire faice l’equipage du vol de Yemenia. N’essayez pas ca chez vous !

De nombreuses compagnies aeriennes ne vont sur des terrains exigeant ce genre de manoeuvres, comme celui de Moroni, que de jour. Ici, c’est un 757-200 de American Airlines qui fait demi-tour pour venir atterrir en direction 02 sur l’aeroport de Tegucigalpa, au Honduras.

Les approches directes peuvent etre impossibles a cause de reliefs, agglomerations, manque d’equipement… etc. Dans ce cas, les pilotes font l’approche sur une piste, mais atterrissent soit sur une autre, soit sur la meme piste en direction opposee.

Ils doivent garder le visuel sur la piste, les reperes au sol et maitriser l’energie de leur avion en meme temps. Les risques de CFIT sont statistiquement tres eleves.

Approche MVI Moroni
Les pilotes volent au 016 au-dessus de la mer puis tournent a droite
sans depasser les feux a eclats et se retrouvent alignes sur la piste.

Technique : ADIRU Airbus

Les commandes de vol d’un A330 sont dites electriquement controlees et hydrauliquement activees. A l’exception de la gouverne de direction, les autres gouvernes ont une protection contre les manoeuvres excessives ou non appropriees.

Situation :
L’A330 dispose de 3 ADIRU. Ils fournissent de nombreux parametres de vol. L’un d’entre eux, celui qui nous interesse, est l’incidence (AOA). Il exise 3 sondes AOA, chaque sonde est reliee a un ADIRU et lui fournit les valeurs qu’elle mesure.

Il existe 3 ordinateurs qui transforment les commandes des pilotes en reels mouvements de l’avion. On les appelle : PRIM1, PRIM2 et PRIM3. Il existe egalement 2 ordinateurs de secours appeles SEc 1 et sEC 2. Ces derniers offrent moins de protection. En theorie, un seul ordinateur fonctionnel PRIM ou SEC est suffisant pour pouvoir controler l’avion. Si les 5 sont en panne, l’avion s’escrase. Ceci n’est jamais arrive.

Il faut bien garder en memoire que les ordinateurs normaux (PRIM 1 a 3) n’excutent pas n’importe quelle commande : ils fournissent une protection. S’ils pensent que l’avion est trop cabre, ils vont le faire piquer peu importe ce que souhaite faire le pilote.

En exploitation normale, l’aile d’un Airbus A330 a un AOA de l’ordre de +1 a +10. En croisiere, la valeur typique est de l’ordre de +2 degres. Le systeme de commandes de vol d’un Airbus fait tout ce qui est necessaire pour garder cette valeur AOA dans cette fourchette acceptable.

Disposition des sondes AOA et ADIRU :
Il y a 3 sondes de mesure d’incidence : AOA 1, AOA 2 et AOA 3. Detail important : la sonde 1 est a gauche de l’avion alors que les sondes 2 et 3 sont a droite. Sans surprise, ces sondes alimente leurs ADIRU respectifs :

AOA 1 —-> ADIRU 1

AOA 2 —-> ADIRU 2

AOA 3 —-> ADIRU 3

Les ADIRU travaillent de cette maniere :

ADIRU 1 —-> Alimente les instruments du commandant de bord

ADIRU 2 —-> Alimente les instruments du copilote

ADIRU 3 —-> Secours. Peut etre selectionne pour le commandant de bord ou pour le copilote.

Utilisation de la valeur AOA :
Chaque parametre de vol est est elabore par les 3 ADIRU et puis c’est la valeur moyenne des 3 qui est gardee et utilisee. Ceci valide pour tout sauf pour l’AOA. Pourquoi ? En effet, les sondes qui permettent la mesure de l’AOA sont au nombre de 3 et disposees 2 a droite et une a gauche. Si l’avion derappe d’un cote, comme lors de turbulences ou vent de travers, les 2 sondes de droite et la sonde de gauche ne donneront pas la meme mesure de l’AOA ! Pour reduire les effets de ses differences sans perdre la redondance due aux 3 sondes, un algorithme specifique traite les valeurs de l’AOA :

– La valeur AOA de chaque sonde est mesuree 20 fois par seconde, puis la moyenne des 3 valeurs est elaboree.

– La valeur de chaque sonde est comparee avec la moyenne calculee pour les trois. En temps normal, chaque valeur est tres proche de la moyenne. Par contre si :

—> La valeur calculee par ADIRU 1 ou ADIRU 2 est superieure a la moyenne de plus d’une valeur predefinie et cela pendant plus d’une seconde, l’ADIRU en question est exclu pour le restant du vol.

Important : le calcul de la moyenne depuis les 3 sondes et puis sa comparaison avec les valeurs individuelles n’est utilisee qu’a une seule fin : verifier le bon fonctionnement des ADIRU.

– Pour les systemes de vol, c’est la valeur moyenne de l’ADIRU1 et ADIRU2 qui est calculee est utilisee.

– Si un ecart important survient sur un des ADIRU (1 ou 2) et la moyenne des 3, c’est la derniere valeur correcte calculee qui est utilisee pendant 1.2 secondes. Apres, c’est une nouvelle valeur qui est calculee.

En fait, on suppose que pendant ce temps de 1.2 secondes, s’il y a un ADIRU defaillant, il a du etre deja exclu de la boucle et celle-ci fonctionne donc normalement de nouveau.

Le bug :
Il est connu que si on a deux pics dans la mesure d’angle d’attaque et que ces pics ont les caracterisques suivantes :

pic 1 : dure moins d’une seconde
pic 2 : survient apres le pic1 mais est encore persistant 1.2 secondes apres celui-ci

Alors :

Les PRIMS 1, 2 et 3 vont generer un ordre a pique non desire, ni commande par les pilotes. Les pilotes ne peuvent rien faire contre cet ordre a pique. En clair, meme s’ils tirent sur le side stick, l’avion continue a piquer.

Cas du Quantas A330 VH-QPA le 7 octobre 2008 :
L’appareil volait sous pilote automatique entre Singapoure et Perth par une meteo tres clemente. Il etait en croisiere au niveau de vol 370 et 315 personnes se trouvaient a bord pour le vol QF72. A un moment donne, des pics ont commence a survenir dans la mesure de l’AOA. Au moins 42 pics ont sont arrives dont 40 ont ete supprimes par les circuits de controle. Les pilotes ne voient rien venir.

A 12 heures 40:28, le pilote automatique (PA) se deconnecte. Le commandant de bord maintient l’appareil en manuel et essaye de remettre en marche le PA1 puis le PA2 sans succes. En meme temps, les indications d’attitude sur le PDF du commandant fluctuent. En quelques secondes, l’avion gagne 200 pieds.

A 12 heures 42:27, l’avion pique brutalement envoyant plusieurs dizaines de passagers et membre d’equipage contre le plafond de la cabine. De nombreuses personnes sont gravement blessees.

A 12 heures 45:08, alors que les membres d’equipage de conduite cherchent a gerer les diverses alarmes qu’ils recevoient, un second pique, moins violent, survient.

A partir de ce point, les pilotes organisent une diversion sur l’aeroport le plus proche. Le commandant de bord garde l’avion en manuel et se fie aux instruments de secours. De nombreuses alarmes, y compris des alarmes de decrochage arrivent sans arret. Le nombre d’alarmes est si important que les pilotes ne peuvent que les ignorer. L’altitude et la vitesse indiquent des valeurs fantaisistes.

L’approche ne peut etre entree dans l’ordinateur de bord. Heureusement, il fait jour et l’approche est realisee en visuel.

L’analyse des enregistreurs de vol montra que le ADIRU 1 envoyait des valeurs d’AOA de l’ordre de 50 degre et qui ont continue durant tout le vol. Malgre cela, l’ADIRU ne s’est pas exclu de la boucle de calcul.

Décollage sans volets : Théorie et Exemples

Les ailes des avions de ligne sont équipées de deux sets de surfaces mobiles. La première série se trouve à l’arrière, c’est les volets. Ils sont particulièrement visibles, surtout à l’atterrissage où les pilotes les déploient totalement ou presque. Les volets utilisés sur les avions de type Boeing ou Airbus sont des volets de Fowler. Littéralement de petites ailes qui sont reculées et braquées en même temps. En plus, sur les Airbus, le point neutre des ailerons externes est abaissé lorsque les volets sont sortis. Les ailerons participent aussi à l’hypersustentation.

Les volets Fowler, installés en bord de fuite, augmentent le coefficient de portance (Cz) à incidence égale. Mais fondamentalement, l’aile est la même et donc son incidence de décrochage reste la même (elle baisse même un tout petit peu). Donc à incidence égale, les volets de bord de fuite permettent d’obtenir plus de portance.

 

Airbus A318, volets, slats
Volets et slats bien visibles sur cet Airbus A318 en approche.
 

 

Lors du décollage, les volets permettent à l’avion qui évolue à des vitesses se situant dans le bas de son enveloppe de vol d’avoir assez de portance pour quitter le sol et continuer à accélérer en l’air.

Par contre, les volets génèrent beaucoup de trainée. Le Cx de l’aile est augmenté. La finesse de l’aile se dégrade et la pente de montée est d’autant plus faible que les volets sont sortis. Par ailleurs, lors du calcul des performances au décollage, les pilotes doivent toujours agir comme si un moteur allait tomber en panne au moment le plus critique. Si la vitesse de l’avion est trop élevée (après V1), il doit pouvoir continuer à accélérer et décoller en ayant une trajectoire lui permettant d’éviter les obstacles. La pente minimale à assurer avec un moteur en panne (N-1) varie en fonction de type d’avion et en fonction du segment dans lequel il se trouve. En clair :

– Pente initiale (définition: depuis la vitesse où les roues quittent le sol, donc Vlof, jusqu’au passage des 35 pieds de hauteur).
— Bimoteur : 0% (exemple: Boeing 737, Airbus A319)
— Trimoteur : 0.3% (exemple: Boeing 727, Tristar 1011)
— Quadrimoteur : 0.5% (exemple: Boeing 747, Airbus A340)

– Pente au 1er segment (définition: depuis le passage des 35 pieds, jusqu’à la rentrée du train d’atterrissage):
Aucune performance minimale n’est exigée. Ce 1er segment est le plus difficile à traverser. L’effet sol se termine et le train d’atterrissage est en cours de rentrée et provoque une trainée très pénalistante. Ici, les pilotes aplatissent la trajectoire en attendant la rentrée du train. La seul exigence : ne pas aller au sol. Lors du vol Air Algérie 6289, le commandant de bord avait maintenu 18 degrés de cabré au manche lors du premier segment. Il ne tenta même pas de rentrer le train d’atterrissage. Ceci se termina avec 102 victimes (lire ici).

La performance sur un moteur lors du premier segment limite, entre autres choses, la courbure maximale des volets que les pilotes peuvent utiliser pour le décollage. Par exemple, sur Boeing 737 la courbre maximale pour le décollage est de 15 degrés de volets. Une butée marque cette limite au niveau du levier d’actionnement des volets pour éviter un déploiement supérieur par inadvertance. Si celui-ci était quand même réalisé, l’avion pourrait décoller mais aurait une pente de montée sur deux moteurs très faible. Il pourrait même ne plus avoir de marge vis-à-vis des obstacles situés dans la trajectoire d’envol. De plus, en cas de panne moteur, la pente du premier segment serait négative et l’avion irait au sol. On ne connait pas de cas d’accident lié à une sur-utilisation des volet lors du décollage.

– Pente au 2ème segment (définition: de la rentrée du train au passage des 400 pieds sol):
— Bimoteur : 2.4%
— Trimoteur : 2.7%
— Quadrimoteur : 3.0%

Remarquez que c’est la première fois qu’on demande quelque chose à un bimoteur. Ceux-ci sont les plus pénalisés parce qu’il perdent la moitié de leur poussée en cas de panne moteur. A titre de comparaison, un Quadrimoteur ne perd que le 25% de sa pousseé sur une panne du même type.

– Pente au 3ème segment (depuis 400 pieds)
La pente doit être positive ou nulle et l’avion doit avoir une capacité d’accélération.

– Les slats:
Ces dispositifs sont situés à l’avant de l’aile et passeraient presque inaperçus. Pourtant, ils sont plus importants que les volet de bord de fuite ! En effet, si les volets de Fowler se contentent d’augmenter la portance à toutes choses égales, les slats (dits aussi “becs de bord d’attaque”) sont les SEULS à augmenter l’incidence du décrochage. C’est-à-dire de permettre à l’aile de voler à une incidence plus élevée sans décrocher.

Les slats sont totalement déployés à l’atterrissage et au décollage. Il existe une procédure d’urgence pour atterrir sans les slats en adoptant des vitesses très élevés. Par contre, il est impossible de décoller sans les slats.

Décollage avec volets en courbure insuffisante :
De temps à autre, il est reporté un incident avec des avions tentant de décoller avec des volets en position insuffisante pour les conditions du jour. Il s’agit typiquement d’erreur d’entrée de masses qui finissent par donner des vitesses trop faibles et des positions de volets insuffisantes.

Dans ce cas, l’occurrence la plus probable est le tail strike. Quand ils ont atteint la vitesse de rotation (Vr), le pilote en fonction tire sur la manche pour cabrer l’avion. L’appareil se cabre effectivement, mais il ne s’envole pas tout de suite. Le pilote a tendance à cabrer encore plus et la queue d’appareil touche la piste en provoquant une gerbe d’éteincelles et des vibrations monstres en cabine. Aérodynamiquement, les ailes ne sont pas en décrochage, mais au Cz qu’elles affichent, la vitesse ne donne pas assez de portance pour soulever l’avion. Le contrôle latéral est suffisant et l’avion finit par quitter le sol. Le cabré est élevé et il se réduit au fur et à mesure que la vitesse augmente. Il s’agit d’un incident grave.

Exemple: le matin du 10 décembre 2006, un Boeing 747-400 (F-HLOV) de Corsair tente de décoller depuis Paris-Orly vers les Antilles. Normalement, les pilotes utilisent deux ordinateurs portables (BLT pour Boeing Laptop Tool, offerts si vous achetez un Boeing 🙂 pour calculer les performances au décollage. L’un d’eux est éteint pour un problème de batterie. L’autre est sur batterie également puis est éteint par inadvertance. Quelques distractions techniques font que le commandant de bord se trompe de 120 tonnes sur la masse au décollage. La Vr calculée est de 127 noeuds au lieu de 159 noeuds !

Lors de la rotation, l’avion touche la queue et laisse une trainée noire sur 80 mètres ! Des chasseurs inspectent visuellement l’appareil puis du fuel est jetté en vol et le 747 revient au terrain.

Lors du décollage, les pilotes ont des réflexes qui forcent le respect. Au premier signe d’anomalie (vibreur de manche), les manettes de gaz sont poussées à fond et l’assiette baissée à 11 – 12 degrès le temps que l’appareil accélère à 166 noeuds et c’est seulement là qu’il prend son envol.

La performance des pilotes est impressionnante. Il ne faut pas se tromper dessus : tant qu’il y aura des pilotes, il y aura des erreurs humaines. Là, les pilotes font preuve d’un sang froid exceptionnel et rattrapent le coup en réalisant les bons gestes, au bons moments et dans la bonne proportion. A titre de comparaison, vous pouvez voir la réaction des pilotes du TWA 843 en une situation similaire en cliquant-ici.

Décollage sans slats :
Les slats sont activés dès la première position de la manette des volets. Sur la majorités des avions de ligne, ils ont 1 à 3 positions de sortie.

Exemple Airbus A320 :
Manette sur 0 : volets 0 / Slats 0
Menette sur 1 : volets 0 à 10 / slats 18
Manette sur 2 : volets 15 / Slats 22
Manette sur 3 : volets 20 / slats 22
Manette sur FULL : volets à 35 / slats à 27

Sur tous les avions, la seule manière d’avoir 0 slats est de laisser la manette des volets sur 0. Dès que celle-ci est bougée, même sur son premier cran, on a un déploiement significatif des slats.

Une tentative de décollage sans les slats se solde toujours par un crash. En fait, l’avion accélère et il se cabre normalement lorsque le manche est tiré. L’incidence de l’aile augmente et celle-ci décroche. La trainée augmente de manière significative et la vitesse augmente peu ou pas à partir de ce point. Le contrôle latéral est perdu et le vibreur de manche est activé ainsi que les alarmes auditives de décrochage. Sur les avions qui en sont dotés (comme le MD-80), les slats se déploient automatiquement. Ce déploiment est trop lent pour empêcher la sortie de piste et le crash.

Il existe bien sûr des alarmes de configuration envoyant une puissante alarme si la configuration de décollage n’est pas correcte alors que les manettes des gaz sont poussées. Par contre, il peut arriver, et c’est déjà arrivé, qu’une telle alarme ne soit pas opérationnelle.

Exemples :
– Northwest 255 :
— date : 16 août 1987
— avion : MD-82 / N312RC
— occupants : 155
— Bilan : 154 + 2 personnes sol
— Lieu : Detroit Metropolitan, Michigan
— Synopsis : Après la rotation, l’appareil ne s’élève pas. Il s’incline à droit et à gauche de 35 degrés environ et puis sort de la piste. Il s’écrase sur un parking provoquant la mort de deux personnes au sol en plus de 154 sur 155 occupants. Les pilotes avaient oublié de sortir les slats/volets et le système d’alarme n’était pas alimenté en courant (on ne saura jamais pourquoi).

Le seule survivant est une enfant de 4 ans qui était assise à la place 8F. Elle fût brûlée au troisième degrés sur plus de 30% de son corps.

 

Trajectoire du Northwest 255
Le MD-82 de Northwest finit la piste et s’écrasa dans la prolongement de celle-ci sans savoir pris de la hauteur.
 

 

 

Débris Northwest 255
Débris du NWA 255. On reconnait une partie du nom de la compagnie ainsi que le train avant.
 

 

– American Airlines vol 191
— date : 25 mai 1979
— avion : DC-10-10
— occupants : 271
— Bilan : 271
— Lieu : O’Hare International Airport, Chicago
— Synopsis : lors du décollage, le réacteur 1 s’arrache et bascule par dessus l’aile. Il arrache des circuits hydrauliques alimentant les slats. Ceux-ci se rétractent et l’aile gauche décroche provoquant la perte de contrôle de l’appareil qui s’écrase en bout de piste. Cet accident est traité en détail ici.

 

American Airlines vol 191 crash
La rentrée des slats sur l’aile gauche provoque le décrochage
de celle-ci et le DC-10 se retrouve sur la tranche.
 

 

– British European Airways Flight 548 (BEALINE 548)
— date : 18 juin 1972
— avion : Hawker Siddeley Trident 1C (triréacteur d’environ 60 tonnes)
— occupants : 118
— Bilan : 118
— Lieu : Après le décollage de London Heathrow. L’avion est vers les 1800 pieds en montée quand un des membres d’équipage rétracte les slats par erreur. L’appareil tombe pratiquement à plat ne laissant pas la moindre chance de récupération.

 

Hawker Siddeley Trident
Hawker Siddeley Trident. On en trouve plus des masses de nos jours.
 

 

 

crash Trident Londres
L’avion est tombé presque à plat. Remarquez la faible distance entre les ailes et l’empennage.
 

 

Spanair 5022 ?
Aujourd’hui, d’après les informations disponibles, la voie des volets/slats rentrés semble très plausible. Elle est même facile à vérifier. En effet, les volets fonctionnent avec un système mécanique de visse sans fin. Celle-ci sera trouvée dans les décombres et la position réelle des volets au décollage déterminée.

Rappel théorique – Niveaux de Givrage

Les 4 niveaux de givrage

La nomenclature officielle définit 4 niveaux de givrage par ordre croissant de sévérité. Notez bien comme le terme « givrage modéré » est trompeur. A ce niveau, sans l’usage d’équipements de dégivrage ou antigivrage appropriés, c’est le crash garanti. Le niveau au-dessus, dit « givrage sévère » est juste une vue de l’esprit et ne doit pas être considéré. En effet, les avions ne volent pas par givrage sévère. Par ailleurs, la sévérité du givrage dépend du type d’appareil et des moyens de lutte dont il dispose. Un givrage considéré comme léger pour un Boeing 747 peut être considéré comme modéré, voir sévère pour des appareils de faible gabarit. Dans le rapport concernant le crash du vol 4184, le NTSB recommande aux autorités, à la FAA en particulier, d’élaborer un système d’alerte qui objective les risques par type d’avion sans laisser de place aux interprétations.

1 – Traces : Le givrage est perceptible. Le taux d’accumulation est légèrement supérieur au taux de sublimation. Il n’est pas dangereux même si les système de dégivrage / antigivrage ne sont pas utilisés sauf si ce phénomène est subi pendant une période prolongée (plus d’une heure).

2 – Léger : le taux d’accumulation peut créer un problème si le vol se prolonge dans cet environnement (plus d’une heure). L’usage occasionnel des systèmes de dégivrage ou d’antigivrage enlève, respectivement prévient, l’accumulation. Cette accumulation ne présente aucun problème si les systèmes de dégivrage ou d’antigivrage sont utilisés.

3 – Modéré : le taux d’accumulation est tel que même une exposition courte peut devenir potentiellement dangereuse. L’usage de systèmes de dégivrage ou d’antigivrage voir la diversion sont nécessaires.

4 – Sévère : le taux d’accumulation est tel que les systèmes de dégivrage ou d’antigivrage sont incapables de réduire ou de contrôler le danger. Une diversion immédiate du vol est nécessaire.

Important : jusqu’à nos jours, les météorologues ne disposent pas de moyens pour faire des prévisions géographiquement précises concernant le givre. Ils se basent sur des paramètres régionaux comme la température et l’hygrométrie qui, à eux seuls, ne permettent pas de se faire une idée assez claire sur la sévérité du givre. Des éléments importants comme la taille des gouttes d’eau en suspension seraient nécessaires. Ces éléments ne sont ni connus, ni inclus dans les calculs.

Pertes de contrôle sur avions de ligne : compagnies contre constructeurs

 

 

 

 

 

 

La perte de contrôle sur avion de ligne est un problème qui n’a rien de théorique. De nombreuses causes peuvent faire en sorte qu’un avion se retrouve hors de son enveloppe de vol. Une action appropriée et correcte de la part des pilotes est nécessaire pour retrouver un domaine de vol normal. Par contre, les compagnies aériennes et les constructeurs ne sont jamais totalement d’accord sur la manière de sortir un avion de ligne d’une situation dangereuse.

Procédures contre approche générale
Les compagnies aériennes fonctionnent en procédures qu’elles mettent à disposition des pilotes. Ces derniers sont formés en simulateur pour agir selon des check-lists standards fabriquées par leur compagnie aérienne. Les instructeurs valident l’apprentissage de chaque pilote et chaque fois que celui-ci applique les procédures correctement, il sauve son avion de la situation dangereuse. De leur coté, les instructeurs utilisent les procédures pour obtenir avec leurs pilotes des résultats uniformes, vérifiables et reproductibles. Les compagnies veulent également des procédures qui soient faciles à enseigner et qui fonctionnent sur tous les avions de leur flotte.

Les constructeurs d’avions voient les choses sous un autre angle : pour eux, il n’y a pas de perte de contrôle type et pour cette raison il ne saurait y avoir de procédure de récupération type ! Chaque perte de contrôle est différente et les pilotes devraient être formés dans un contexte très large leur permettant de gérer n’importe quelle perte de contrôle même s’ils ne l’ont jamais rencontrée précédemment en simulateur.

Trim : le mot interdit
Chez les compagnies aériennes, l’apprentissage de la gestion des pertes de contrôle suit toujours le même scénario : la perte de contrôle est due à un moment d’inattention qui met hors de son enveloppe de vol un avion correctement trimé (compensé). Hors, dans cette situation, le pilote a des commandes de vol avec une autorité totale permettant une récupération plus facile.

Les constructeurs considèrent cette approche comme simpliste et auraient souhaité que les compagnies enseignent aussi à leurs pilotes des techniques de récupération qui incluent l’usage du trim. Les compagnies aériennes sont très fermes sur ce point : la récupération doit se faire qu’en utilisant les commandes de vol primaires. Il n’est pas question de toucher au trim. En effet, les instructeurs ont peur de deux choses. D’abord, que les pilotes cherchant à corriger une situation hors trim ne font que l’empirer. D’un autre coté, sur certains vieux appareils encore en service, il est possible d’avoir des situations de déroulement de trim.

Le décrochage 
Dans les compagnies aériennes, les pilotes s’entrainent à gérer non pas des décrochages, mais des approches de décrochages. En simulateur, la vitesse est baissée jusqu’au déclenchement du stick shaker. A ce moment, le pilote récupère de la manière suivante : il pousse les manettes de gaz à fond et maintient le cabré de l’avion pour éviter de perdre de l’altitude.

Pour les constructeurs, les pilotes doivent aussi apprendre à gérer des situations de vrais décrochages. Lors de telles situations, il est impossible de ne pas perdre de l’altitude et les pilotes ne devraient pas essayer de ne pas ne perdre. Au contraire, il faut pousser sur le manche pour permettre l’avion d’accélérer et baisser son incidence.

De plus, les constructeurs insistent sur le distinguo entre décrochage et… décrochage. Pour eux, il est trop facile de récupérer un avion si on va juste un tout petit peu après l’angle de décrochage. Dans ce cas, l’appareil a encore beaucoup trop d’énergie qui facilite sa reprise en main. Ils souhaiteraient voir les pilotes de ligne apprendre à aller vers des décrochages profonds avec une perte importante de vitesse.

Réduire la poussée des moteurs montés sous les ailes
Les compagnies aériennes ne veulent pas entendre parler de ce qui va suivre mais c’est un point important. En effet, lors du décrochage réel, les commandes de vol ont une faible réponse et le pilote ne peut pas empêcher la perte d’altitude. A ce moment, il est important de faire piquer l’avion. Pousser sur le manche, peut ne pas être suffisant. Pour les avions dont les moteurs sont sous les ailes, les constructeurs recommandent vivement de réduire le régime des réacteurs. La poussée de ces derniers passe sous le centre de gravité et provoque une forte tendance à cabrer qui peut maintenir l’assiette trop élevée pour permettre une récupération.

Les avions de voltige ont un moteur tellement puissant qu’il peut les arracher d’une situation de décrochage même s’ils restent relativement cabrés. Les réacteurs des avions de ligne sont incapables d’une telle prouesse et un Boeing ou un Airbus ne sortira pas de son décrochage tant que son assiette ne baisse bas.

Rappel important des constructeurs d’avions : dans une situation inusuelle, si l’avion est en décrochage, il faut d’abord le sortir du décrochage avant de vouloir corriger l’attitude inusuelle. Ceci est connu, mais souvent ignoré en situation réelle.

L’utilisation de la gouverne de direction
Dans les compagnies aériennes, les instructeurs, souvent d’anciens pilotes de chasse, enseignent le contrôle des avions de ligne aux palonniers quand l’avion est proche du décrochage. En effet, il est notable que la gouverne de direction garde une bonne autorité à faible vitesse et permet une action en roulis que les ailerons ne permettent plus.

Les constructeurs sont farouchement opposés à cette démarche. Pour eux, si la gouverne de direction fonctionne correctement aux faibles vitesses sur les avions de chasse, il n’en est pas de même sur les avions de ligne. Ceux-ci ont plus d’inertie et une action inconsidérée sur la gouverne de direction à l’approche du décrochage peut créer une perte de contrôle à plus forte raison si les volets sont sortis.

Chez certaines compagnies, le mot d’ordre a effectivement changé et les instructeurs recommandent aux pilotes d’y aller doucement sur la gouverne de direction. Cette dernière doit être utilisée avec beaucoup de circonspection en en conjonction avec un mouvement d’ailerons pour aider ces derniers. Par contre, jouer tout le temps avec les palonniers est le moyen le plus rapide de provoquer un glissade et une sortir du vol contrôlé.

L’usage du simulateur de vol
Le simulateur de vol est un appareil qui fait voler un avion virtuel dont la fidélité dépend de la qualité des données qu’il contient. Les pilotes d’essai ne se mettent pas volontairement en danger pour fournir des chiffres aux simulateurs de vol. De plus, même quand leurs avions arrivent dans des situations inusuelles, elles ne sont pas assez nombreuses pour fournir un modèle valable.

Le simulateur fonctionne bien dans le domaine de vol de l’avion. Par contre, dès qu’on commence à s’approcher des limites de ce domaine, sa fiabilité baisse jusqu’à ne plus être représentative du tout. Par exemple, si on tire sur le manche pour décrocher mais qu’en même temps on donne un gros coup de palonniers pour provoquer une glissade, le simulateur ne va pas correctement intégrer cette dernière. Ceci nous ramène au point précédent et explique pourquoi les avions simulés ne font aucune mauvaise surprise aux pilotes qui les contrôlent à la gouverne de direction aux abords du décrochage.

Lectures connexes :
– ABX 827, accident à cause d’un simulateur de DC-8
– Perte de contrôle du vol China Airlines vol 676
– Perte de contrôle sur vol China Airlines vol 140

Source :
– Article de Mr William Wainwright, Chef Pilote d’Essai chez Airbus Industries

Rentrée automatique des spoilers

Suite au crash de l’American 965, un débat fit rage au sujet de la non rentrée automatique des spoilers lorsque le pilote appliqua la poussée maximale. Nombreux sont ceux qui souhaitent que cette fonction soit intégrée, mais le problème est plus compliqué que ce qu’il en a l’air.

Les spoilers sont des surfaces qui peuvent se déployer sur l’extrados de l’aile pour en dégrader les performances aérodynamiques. En vol, ils permettent de descendre plus rapidement sans gagner trop de vitesse. Peu avant l’atterrissage, la manette est placée en position armée et dès que les roues touchent le sol, les spoilers se déploient automatiquement pour éviter que l’appareil ne rebondisse. De plus, en augmentant la charge sur les pneus, ils améliorent la capa-cité de freinage. Dans ce mode, il suffit que le pilote pousse les manettes des gaz pour que les spoilers se referment automatiquement.

En vol, si les pilotes poussent les manettes des gaz, les spoilers ne rentrent pas tous seuls. C’est généralement le cas sur les Boeing. Sur les Airbus, ils rentrent quand même. C’est difficile à imaginer, mais il y a des situations où l’on voudrait que les spoilers restent sortis alors que les moteurs ne sont pas sur le ralenti vol.

Par exemple, sur le Boeing 727, il est nécessaire de maintenir un peu de puissance durant la descente pour alimenter le système de pressurisation de la cabine. Sur d’autres avions, il faut garder une certaine puissance sur les moteurs pour alimenter les différents systèmes de dégivrage.

Par contre, il n’y a pas de cas où il est nécessaire d’afficher une poussée maximale tout en gardant les spoilers sortis. Cependant, il se pose un problème de pilotage lors de la remise des gaz. La sortie des spoilers, sur de nombreux avions, provoque une tendance à cabrer. Sur certaines machines, ceci est très marqué. Par exemple, à l’atterrissage, les pilotes du MD-11 ont deux mouvements rapides avec le manche. Quand les spoilers sortent, ils poussent se le manche pour bloquer le mouvement à cabrer. Par contre, une seconde plus tard, le système de freinage automatique s’active et nez de l’avion a tendance à plonger rapidement. Ils tirent sur le manche pour amortir sa descente.

Les réacteurs attachés à l’aile provoquent une poussée qui passe sous le centre de gravité. Ainsi, quand la puissance affichée est augmentée, l’avion a tendance à cabrer.

La situation suivante fut démontrée par les chercheurs de Boeing : si le pilote réalise une remise des gaz, une rentrée automatique des spoilers provoquera forcément une tendance de l’avion à baisser son assiette. Dans ce cas, le pilote va encore tirer sur le manche. Ce geste arrivera en même temps que la montée en puissance des réacteurs. La composition de ces deux derniers effets, peut provoquer un cabré important et incontrôlé qui se termine par un décrochage.

Sur les Boeing 777, le phénomène est tellement marqué que l’avion est équipé d’un mécanisme de contrôle de l’assiette lors des la mise en puissance avec une rentrée, toujours manuelle, des spoilers. Sur les Airbus, l’ordinateur fait partie de la chaine de contrôle et veille en tout temps à l’attitude de l’avion.

D’après les procédures Boeing, tout le temps que les spoilers sont sortis en vol, il faut que le commandant de bord ait la main sur leur manette. De cette façon, le risque d’oubli est diminué. Cette procédure n’était pas appliquée chez American Airlines à l’époque de l’accident du vol 965.

Freinage d’un Airbus A320

Contrairement aux avions de chasse qui freinent par des parachutes ou sont arrêtés par des câbles, les avions de ligne sont obligés de freiner par leurs propres moyens. Cette semaine, après le crash du vol de la companie TAM à Sao Paolo au Brésil, les questions de freinage sont assez fréquentes. Voici quelques indications spécifiques à l’Airbus A320:

Cet appareil a deux circuits hydrauliques pouvant permettre le freinage: le circuit vert et le circuit jaune (Boieng désigne les circuits par des lettres A, B, C… alors qu’Airbus les désigne par couleurs). Chaque circuit est capable d’agir sur les freins à lui tout seul. Si un circuit tombe en panne (baisse de pression), le système passe automatique sur l’autre.

Les pilotes freinent en appuyant avec les pieds sur le haut des palonniers. Le signal (entièrement électrique) est envoyé vers le BCSU (Brake and Steering Control Unit) qui est un ordinateur qui contrôle le freinage, mais aussi la direction de la roulette de nez. Ce dernier tient compte de l’ordre du pilote, mais aussi d’autres paramètres pour élaborer la pression de freinage.

A l’atterrissage, le BCSU utilise les données de 2 ordinateurs ADIRS (Air Data Inertial Reference Sytem) pour calculer la vitesse de l’avion et 4 tachomètres installés sur les roues pour calculer la vitesse que “voient” les roues. La différence permet de détecter les situations où les roues sont bloquées et ont tendance à glisser. Le système ABS sur l’Airbus A320 perment de réduire la distance de freinage jusqu’à 40%. Dès que la vitesse d’une roue est 13% inférieure à la vitesse de l’avion, il réduit la pression de freinage dessus. Donc au maximum, la roue peut “rater” ou bloquer environ 13 tours sur 100. Le pilote peut mettre l’ABS sur ON ou OFF.

Le freinage automatique
Il peut être armé par un bouton rotatif à plusieurs niveau:

Low: dans ce mode, le freinage commence progressivement 8 secondes après le déploiement des spoilers sol. La décéleration visée est de 1.7 m/s2

Medium dans ce mode, le freinage est plus aggressif. Il commence immédiatement à la sortie des spoilers sol (donc au moment de l’enfoncement du train d’atterrissage principal) et vise une décélération de 3 m/s2

High (marqué “hi”) armé surtout lors du décollage pour permettre le freinage en cas d’interruption. Il applique la pression maximale sur les freins.

Spoilers
Sont armés avant l’atterrissage et se déploient au-dessus de l’aile dès que le train principal est enfoncé (train enfoncé, manettes des gaz sur ralenti et vitesse supérieure à 66 noeuds). Ils cassent la portance et permettent aux roues de mieux adhérer au sol. Les spoilers internes ne sortent qu’au sol, alors que les spoilers les plus externes peuvent être déployés au sol ou en vol.

Inverseurs de poussée
Après l’atterrissage, un système mécanique peut dévier le flux d’air des réacteurs vers l’avant. La puissance de ceux-ci est donc utilisée pour freiner. Le système est très pratique sur pistes mouillées, mais il ne doit pas être utilisé pour le calcul des performances d’atterrissage. En clair, les pilotes ne doivent pas compter dessus. L’avion doit être tout le temps exploité de manière à pouvoir se poser et freiner dans la distance disponible sans nécessiter l’emploi des inverseurs de poussée. La logique est d’éviter d’avoir un avion qui ne peut pas freiner parce que ses réacteurs sont en panne par exemple.

Les inverseurs ont leurs limites. Ils ne peuvent ne doivent être utilisés qu’à une vitesse relativement élevée pour éviter la surchauffe des réacteurs. Ceux-ci peuvent avaler de l’air chaud ou même des débris renvoyés par l’air qui revient depuis l’arrière. En cas d’urgence, les reverses peuvent être utilisés jusqu’à l’arrêt complet avec le risque, quand même, d’endommager un réacteur.

Dans le cadre de l’accident TAM, la sortie de piste est si rapide que la panne des inverseurs sur cet avion n’est pas un paramètre déterminant. De plus, l’avion doit pouvoir s’arrêter sans eux.

Définition: le Fail-Safe

Un système conçu selon le principe Fail-Safe est un système qui continue à remplir sa mission de manière partielle ou totale en cas de panne. Plus précisément, en cas de panne unique, isolée et prévisible.

Exemple hors-aviation : un détendeur de plongée sous-marine qui gèle ne va pas bloquer mais continuer à débiter de l’air de manière incontrôlée. Pour le plongeur, il est préférable de recevoir un formidable débit en plein poire que de se retrouver privé d’air.

En pratique, on peut dire que le système Fail-Safe a 3 états :

Fonctionnement Normal – Fonctionnement dégradé (après 1 panne) – Panne totale (à la seconde panne).

Dans de nombreux systèmes, le fonctionnement dégradé et le fonctionnement normal sont pareils. C’est-à-dire qu’on n’assiste pas à une perte de performance entre les deux modes qui restent, néanmoins, bien distincts. Par exemple, une surface de vol est attaquée par plusieurs vérins hydrauliques en même temps. Si l’un d’eux est en panne, le pilote ne va pas ressentir de gêne et pourra actionner la gouverne sans problèmes.

Pour la raison évoquée plus haut, les systèmes Fail-Safe exigent des contrôles fréquents, l’installation de portes de visites et/ou des systèmes de contrôle et d’alarme à distance. Il faut donc que l’opérateur soit capable d’apporter une maintenance de qualité. En l’absence de celle-ci, le Fail-Safe peut devenir très dangereux. Une première panne surgit et reste sans réponse mais aussi sans effets dévastateurs sur le système. Elle devient une panne latente qui n’a aucun effet immédiat à elle seule, mais qui peut rester en quiescence pendant une longue période. Le système tourne en mode dégradé jusqu’au jour où une seconde panne survient et c’est la surprise pour tout le monde !

Ce genre de systèmes sont aussi un véritable défi à leurs réalisateurs. Ceux-ci doivent faire la liste des pannes possible et concevoir des redondances permettant un fonctionnement dégradé. Il faut retenir qu’un système n’est Fail-Safe que par rapport aux pannes qui ont été placées dans le cahier de charge lors de sa conception. En cas d’usage non conforme, on peut se retrouver face à des disfonctionnement qui n’ont pas été prévus par les concepteurs et pour lesquels le système n’offre aucune protection.