Home Facteurs Humains Germanwings : un des pilotes bloqué hors du cockpit

Germanwings : un des pilotes bloqué hors du cockpit

18442
28
La position lock pour refuser l'entrée normale.

On se demandait s’il y avait un pilote dans cet avion, maintenant on commence à avoir des infos par bribes sur ce point : au moins l’un des pilotes n’était pas dans le cockpit. C’est une fuite de l’enquête.

Quand l’A320 arrive à son altitude de croisière, l’un des deux pilotes recule son siège et sort ; très probablement pour aller aux toilettes. C’est le meilleur moment répondre à un appel de la nature parce que l’appareil vient d’atteindre son altitude de croisière et il est supposé voler tout droit et de manière ennuyeuse pendant longtemps.

 

La Porte du Cockpit

Depuis les attentats du 11 septembre 2001, les cockpits des avions sont munis de portes blindées. Elles sont assez solides pour résister à une explosion d’une grenade offensive ! On ne sait pas combien d’attentats elles ont évité. Je suis incliné à penser que le chiffre doit être voisin de zéro. Par contre, elles ont créé des situations dangereuses, à savoir :

– Un des pilotes peut verrouiller la porte et prendre le contrôle de l’appareil. On a vu cela quand un avion d’Ethiopian avait atterri par surprise à Genève le 17 février 2014. Le copilote, Hailemedhin Abera Tegegn, s’était enfermé et avait changé la destination. Le commandant de bord n’avait rien pu faire. Plus dramatique encore, en novembre 2013, un avion de la compagnie nationale du Mozambique s’était écrasé dans un parc national tuant tous ses occupants au nombre de 33 (source). L’enquête révèle que lorsque l’appareil avait atteint son altitude de croisière, niveau 380, le copilote est sorti et le commandant en a profité pour verrouiller la porte. Dès ce moment, l’avion commence à descendre suite à un ordre entré dans le pilote automatique. Le copilote frappe et puis, inquiet, tambourine sur la porte. Il ne pourra jamais revenir dans le cockpit parce que la porte blindée l’en empêche.

– Si les deux pilotes sortent du cockpit, il y a des risques que les deux soient enfermés et qu’ils ne puissent pas reprendre leur postes. Bien sûr, ça ne doit jamais arriver que deux pilotes quittent leurs postes. Mais si tout ce qui ne doit pas arriver n’arrivait pas, il n’y aurait jamais de crashs d’avions.

C’est déjà arrivé une fois avec une porte non blindée qui a du être cassée sous les regards dubitatifs des passagers de Business Class. Une porte blindée ne peut pas être forcée même si tout l’équipage et les passagers s’y mettent. Même en utilisant des valises ou chariots repas comme béliers, la porte ne bougera pas.

– En cas d’accident, les services de secours et les premiers intervenants sont incapables d’ouvrir ou de casser la porte du cockpit pour aider les pilotes. On a eu un exemple de ceci avec le Turkish Airlines vol 1951 qui s’était écrasé à l’approche sur Amsterdam en février 2009. Les pompiers n’ont pu accéder au cockpit que plusieurs heures après l’accident. Durant l’évacuation, personne n’a pu ouvrir la porte du cockpit pour apporter de l’aide aux pilotes.

– Un des pilotes peut sortir, l’autre verrouiller puis faire un malaise.

On va continuer à voir régulièrement des accidents où ces portes blindées jouent un rôle. Ces portes ont été imposées à l’industrie par le politique : le Congres US. Elles ne correspondent pas à une évolution naturelle de la sécurité aérienne comme le sont tous les systèmes des avions, mais à un changement abrupt introduit par une Administration qui, de son propre aveu, finance et arme le terrorisme sur de nombreux fronts. La pression sur la FAA était si forte que les designs ont été approuvés en quelques heures seulement (source FAA) !

La FAA Approuve les portes en quelques heures !
La FAA Approuve les portes en quelques heures !

Certaines compagnies utilisent une politique de « toujours 2 personnes dans le cockpit ». Aux USA c’est la règle. Ainsi, si l’un des pilotes veut sortir, il appelle une hôtesse de l’air qui va se mettre devant la porte. Il ouvre puis échange sa place avec l’hôtesse. Elle rentre dans le cockpit et lui sort. Quand il revient, le même procédé se passe en sens inverse. Ceci n’est pas toujours respecté par les équipages surtout quand tout le monde est occupé et il devient difficile de libérer un PNC (personnel navigant commercial).

CDLS Airbus: Ce système contrôle la logique d’ouverture et de fermeture de la porte
CDLS Airbus: Ce système contrôle la logique d’ouverture et de fermeture de la porte

 

Fonctionnement de la porte :

Scenario 1 : La porte n’a pas de clé mais une serrure électromagnétique munie d’un clavier. Le pilote qui veut revenir dans le cockpit tape un code. Ce code ne va pas ouvrir la porte mais provoquer une alerte/sonnerie dans le cockpit pour annoncer qu’on « frappe ». S’il veut permettre l’entrée, le membre d’équipage qui est à l’intérieur doit agir sur un petit levier ou un bouton qui déverrouille la porte.

 

Airbus Porte Cockpit - Switch
En poussant sur unlock, la porte s’ouvre

 

Scenario 2 : Si le pilote restant à l’intérieur du cockpit est en état d’incapacité ou si les deux pilotes sont à l’extérieur du cockpit, il y a un autre code. Quand ce code d’urgence est entré, une alarme retentit dans le cockpit et un compte à rebours commence. A la fin de ce compte à rebours, la porte s’ouvrira automatiquement pendant 5 secondes sans avoir besoin d’une intervention extérieure.

Porte-Ouverture-Urgence-cockpit
L’annonciateur du système qui gère la porte affichera Open / Fault et une alarme ambre (ouverture avec code d’urgence)

 

 

Scenario 3 : si une fois que le compte à rebours commencé le pilote restant ne veut pas permettre l’entrée, il a la possibilité de pousser un verrou mécanique qui va bloquer la porte. Dans ce cas-là, il n’y a plus moyen d’entrer dans le cockpit et la serrure électromagnétique devient inutile. Cette option est conçue pour être utilisée au cas où un pirate de l’air aurait forcé un membre d’équipage à lui donner le code d’urgence.

Le système est pensé pour permettre l’accès à des personnes légitimes dans diverses conditions tout en donnant le contrôle total à la personne dans le cockpit pour empêcher toute intrusion.

La position lock pour refuser l'entrée normale.
La position lock pour refuser l’entrée normale.

 

Video Demo:

Voici une demonstration video du systeme de portes. Elle n’evoque pas l’option d’un code d’urgence et d’un pilote qui ne veut laisser entrer personne.

 

Retour au Germanwings, quelles sont les options :

Donc, l’un des pilotes sort. L’autre reste seul dans le cockpit. On n’a pas de raisons de penser qu’une hôtesse de l’air a remplacé le pilote sortant.

Supposons, que le pilote restant a un malaise ou tombe mort d’une crise cardiaque pendant qu’il est tout seul. Dans ce cas, l’autre pilote entre la première combinaison, puis une fois qu’il n’a pas de réponse, il utilise la seconde et la porte finit par s’ouvrir. Problème : la théorie du malaise/crise cardiaque n’explique pas pourquoi l’avion s’est mis en descente.

Tentons autre chose : un pilote sort et le système de la porte se bloque ne permettant pas un retour. L’autre pilote fait une crise cardiaque pendant ce temps. Dans ce cas, l’avion aurait continué jusqu’à Düsseldorf et aurait fini par s’écraser après panne sèche.

 

Suicide ?

C’est l’option la plus pénible à considérer. On ne peut pas l’exclure, ni la valider à ce stade. Donc l’un des pilotes sort et l’autre décide de se suicider. Il bloque la porte et met l’avion en descente. S’il ne touche plus à rien, l’appareil finira fatalement dans les montagnes. Dans ce cas, il faut répondre à la question de savoir pourquoi la descente était si lente. Les gens qui se suicident veulent une mort rapide pas une chute progressive où ils ont 10 minutes pour penser à leur mort.

A Suivre…

28 COMMENTS

  1. Bonjour,
    Dans cette video:
    https://www.youtube.com/watch?v=ixEHV7c3VXs
    il 3min20, il est precisé que le blocage de la porte volontaire par une personne presente dans le cockpit ne dure que 5 minutes.
    Savez vous si ce systeme est generalisé pour tous les appareils? et du moins pour l’A320 en question?
    Cela voudrait dire que durant la descente de 8 minutes, ‘une deuxieme action sur cet interrupteur a forcement eu lieu.

    Si le second FDR est retrouvé, il y aura t’il une trace de l’action sur cet interrupteur?

    Merci

    • Bonjour, ce lock normal dure 5 minutes, mais il est possible d’avoir un lock permanent. La video n’en parle pas. Dans ce cas, meme avec mot de passe d’urgence, il n’est pas possible d’entrer.

      Si le FDR est trouve, il pourra en dire plus sur la configuration de la porte.

  2. I wonder why there is no radio transmitter in the cabine, allowing the crew to call the control and send an meregency from the cabin. Pourquoi ne peut-on pas lancer de SOS depuis la cabine ?

  3. Peut-on envisager une dépressurisation différenciée entre le Cockpit et la cabine? La différence de pression rendrait impossible toute ouverture. Même si la porte était déverouillée.
    Si tel fut le cas, on peut envisager la sortie d’un pilote pour vérifier un bruit de fuite constaté et à son retour après dépressurisation, l’impossibilité d’ouvrir la porte jusqu’à la dépressurisation explosive et l’hypoxie de tous les occupants de l’avion.
    Au dessus de Marseille les turbulances matinales sont fréquentes par beau temps et il faut souvent changer de niveau pour le confort des passagers. Si le pilote avait entrepris préléablement une transition commandée en mode VS la descente se serait poursuivie linéairement jusqu’à l’impact.

  4. Peut-on avoir une pression différenciée entre le cockpit et la cabine. Si tel fut le cas, on peut imaginer la sortie d’un pilote pour vérifier un bruit constaté et à son retour l’impossibilité d’ouvrir la porte même déverouillée. Ce qui ne justifie pas en soi un PAN PAN. Jusqu’à la dépressurisation explosive causant l’hypoxie de tous les occupants de l’avion.
    Au-dessus de Marseille il est habituel de traverser des turbulances matinales. Si le pilote avait prélèablement entrepris une commande VS pour atteindre un niveau sans turbulances, la descente aurait continué linéairement jusqu’à l’impact.

  5. Bonjour
    Peut-on avoir une pression différenciée entre le cockpit et la cabine. Si tel fut le cas, on peut imaginer la sortie d’un pilote pour vérifier un bruit constaté et à son retour l’impossibilité d’ouvrir la porte même déverouillée. Ce qui ne justifie pas en soi un PAN PAN. Jusqu’à la dépressurisation explosive causant l’hypoxie de tous les occupants de l’avion.
    Au-dessus de Marseille il est habituel de traverser des turbulances matinales. Si le pilote avait prélèablement entrepris une commande VS pour atteindre un niveau sans turbulances, la descente aurait continué linéairement jusqu’à l’impact.

  6. Et le proba que la personne à l’extérieur ne se souvienne plus du deuxième code ajouté à un malaise du pilote présent dans le cockpit?

  7. Et la proba que la personne à l’extérieur ne se souvienne plus du deuxième code pendant que la personne présente dans le cockpit fasse un malaise?

  8. Le procureur n’a pas évoqué le son du bouton “Lock” lors des tentatives du pilote pour réintégrer le cockpit. Est-il possible que ce son ne soit pas audible sur les enregistrements du CVR ?
    Globalement, il semble qu’on n’entende aucune (ré)action du copilote entre la programmation de la descente et le crash, juste sa respiration ?

  9. On voit bien les problèmes avec le procureur qui joue sa star… Il parle de pleins de choses mais bien entendu ne donne pas les enregistrements audios ni des retranscription détaillés et datés car cela fait parti du long travail du BEA. Et il reproche au BEA de ne pas les lui avoir donnée plus tôt ! On finit avec encore plus de questions qu’avant … Et c’est les familles des victimes qui vont payer cette ambiance comme dans le crash de la Malaysian …

    • Si le BEA au cours de son enquete apprend qu’il y a eu une action illegale (crime) doit en informer la justice sans plus tarder. Dans ce cadre, le procureur se retrouve au devant de la scene avec un dossier qui va grossir de jour en jour. Les competences techniques des magistrats vont vite etre depassees.

  10. Oui, l’oubli de ces codes utilisés rarement me semble tout à fait possible. Par contre, cela n’explique pas que l’avion se soit mis à descendre. On peut envisager un double problème simultané sur des objets indépendants porte+pilote mais un triple problème simultané porte+pilote+CDVE semble complètement impossible. Il faut donc nécessairement qu’au moins 2 des 3 objets impliqués n’ait pas été indépendants, voir les 3 dans le cas d’un pilote suicidaire qui est donc l’explication la plus simple, ne faisant appel à aucune coïncidence de problèmes.

  11. Pour l’enquête qui suit, toute information est intéressante. Cela va encore relancer la demande récurrente de filmer les cockpit. Les syndicats de pilote auront du mal à traîner des pieds ce coup ci si c’est vraiment un suicide …

  12. Pourquoi les dispositifs CVR et DFR ne sont pas configurés et modifiés pour communiquer en permanence leurs infos .
    Plus besoin d’attendre la récupération des CVR /FDR ?

  13. Etre dépassé ne les empêchera pas de faire des conférences de presse pleines d’affirmations péremptoire je vous rassure. Le but d’avoir un BEA indépendant est justement pour éviter les interférences des juges qui font que tout le monde passe en mode défensif voir pire. Si le procureur critique le BEA, c’est qu’il voudrait avoir les informations en premier. L’expérience a prouvé que quand un juge débarque ou va débarquer, personne ne raconte grand chose et tout le monde se couvre. Maintenant que le co-pilote est accusé devant le monde entier, il ne faut pas compter sur sa famille et ses proches pour raconter des détails intimes sur sa vie. cela va être le black-out avec négation de tout problème potentiel et on ne saura jamais rien de concret …

  14. Si votre fils ou votre frère est impliqué dans un affaire criminelle, ça peut être très choquant, mais on ne vous donnera pas le choix de raconter ou non les moindres détails de sa vie aux enquêteurs. Sinon vous serez soupçonnés de l’avoir aidé ou encouragé.

  15. En fait l’hypothèse du suicide ne tient que par le verrouillage de la porte. En effet en cas de dépressurisation brutale même partielle du cockpit, le copilote ne disposait que de quelques secondes de conscience pour réagir. Il aurait donc pu mettre l’appareil en descente rapide pour arriver à 3000 m et aurait perdu connaissance.
    En temps normal, on entend pas la respiration Ce qui expliquerai que l’on puisse entendre la respiration d’un individu, sauf si celle ci devient difficile, ce qui accréditerait la thèse de la dépressurisation.
    Reste la porte, admettons que la pression dans le cockpit baisse de moitié, il s’exerce sur la porte une pression d’environ 6 tonnes, qui se répartissent en parti sur les 3 points de fermeture de la porte. Le moteur d’ouverture de la porte a-t-il dans ces conditions la puissance suffisante pour actionner le mécanisme?

  16. Sauf que le pilote avait un masque à sa disposition. La procédure veut que le mettre soit sa première action. Et puis il aurait programmé 3000 m dans le pilote automatique plutôt qu’une altitude très basse. Finalement, une dépressurisation s’entendrait probablement dans le cockpit. Il faut attendre l’enquête approfondi du BEA incluant la deuxième boîte noir pour être certain.

  17. Pour ceux qui ne le savent pas, dans les années 60, après un accident, les incendies spontanés dans la nuit des archives de maintenance était courants … Un peu comme le Crédit Lyonnais qui a vu simultanément brûlé son siège et son stockage d’archive situé ailleurs …

    • Oui, j’ai ecoute. C’est un fake. Les bruits qu’on entend dans le cockpit ne sont pas coherent avec ce que l’ont sait de l’avion. Par exemple, il manque le GPWS qui utilise une voix pour signaler que le sol est proche.

  18. ChrisC

    1. La respiration du co-pilote

    Arnoux a raison sauf si…Les pilotes portaient justement un casque pour communiquer.
    Auquel cas le micro intercom peut parfaitement capter et amplifier la respiration de Lubitz et donc le CVR peut le restituer.

    2. Un bruit lors de l’activation du système?

    Arnoux à raison, la commande permettant le réglage de l’ALT du FCU est insonore.
    En revanche, l’autre solution permettant un tel réglage ne l’est pas, à savoir une action sur le manche pour piquer du nez.

    3. Et l’alarme de la porte?

    Arnoux a raison.
    Trois hypothèses :

    – Un oublie de part du procureur.
    – Un oublie du code d’urgence de la part du PAX alors en cabine.
    – L’alarme n’a pas fonctionné suite à la validation du code d’urgence.

Leave a Reply to mecifi Cancel reply

Please enter your comment!
Please enter your name here