Air France 447 : Turbulences ou ADIRU [mise a jour]

Cabine defoncee par des passagers non attaches dans le A330 de Quantas.
Ceci donne une idee assez juste de la violence des mouvements de l'avion quand l'ADIRU fait des siennes.

Alors que le crash n'etait meme pas encore certain, hier matin, les medias parlaient d'un avion qui aurait ete foudroye en plein vol. Aujourd'hui, l'opinion dominante glisse tout doucement vers l'hypothese d'un avion qui se serait pris dans des turbulences tres fortes.

L'equipage avait correctement reporte sa position au dessus du point de route INTOL qui se trouve legerement au sud de l'Equateur. Continuant sa route vers le nord, il passe l'equateur et arrive vers la Zone de Convergence Intertropicale (ITCZ). Il y recontre des vents de plus en plus forts, des cellules orageuses ainsi que des turbulences. Les images satellite montrent que le vol a croise une premiere cellule orageuse en formation environ 03:51 heure de Paris. Quelques minutes plus tard, a 03:59, il rentre dans une cellule plus grande mais isolee tout comme la premiere. Puis, a 04:05, il rentre dans une ligne de grains constituee de nombreuses cellules qui vennaient d'atteindre leur intensite maximale. Il ne sortira jamais de cette ligne. A 04:10, son ACARS envoit un premier message indiquant que le pilote automatique n'est plus fonctionnel et que la loi de pilotage est passee en mode Alternate Law.

Carte oceanique montrant les vents dans la zone ou l'avion s'est ecrase.

Alternate Law ?
Les avions de type Airbus ont des commandes de vol de type "Fly by Wire". Dans un tel systeme, il n'y a pas de connection directe entre les commandes de vol actionnees par les pilotes et les surfaces mobiles placees sur les ailes. En effet, quand les pilotes deplacent le manche (ici un side stick) leur ordre est transmis a une serie d'ordinateurs (5 en tout) qui vont elaborer et ordonner la deflection des surfaces de vol. Le systeme n'excute pas n'importe quel ordre, mais il realise que ceux qui lui semblent bien fondes. Par exemple, si l'avion est deja fortement incline a droite, le systeme cessera de prendre en compte les demandes d'inclinaison a droite. Meme si le pilote continue a pencher le stick a droite, l'avion n'ira pas plus loin. Un Airbus A330 n'ira jamais a plus de 67 degres d'inclinaison meme si le pilote maintient le stick en butee laterale.

La maniere dont les ordinateurs de bord transforment un ordre du pilote en vrai mouvement de l'avion, s'appelle une Loi. Quand tout va bien, c'est la Loi Normale qui est utilisee. Elle fournit une protection contre les facteurs de charges eleves (acceleration, contraintes sur l'avion), les vitesses elevee (survitesse), l'angle d'attaque (protection decrochage) et l'attitude (perte de controle).

Cette Loi Normale a aussi une protection contre les turbulences. Ceci ne veut pas dire que l'avion peut aller dans un ouragan et beneficier de cette protection ! C'est juste un programme qui reagit rapidement quand une turbulence secoue l'avion et utilise les surfaces de vol pour amoindrir l'inconfort cause par la secousse.

Si l'avion a des pannes, les ordinateurs de bord deviennent techniquement incapables de suivre la Loi Normale. Ils passent alors dans des modes degrades ou il fournissent moins de protection. L'avion reste toujours pilotable.

En Loi Alternative (1 ou 2), la seule chose qui est reellement garantie, c'est la protection contre les facteurs de charge eleves introduits par les pilotes quand ils tirent ou pousse le manche. En Loi Alternative 2, l'ordinateur de bord ne se mele plus des ailerons. Les mouvements de ceux-ci deviennent directement lies a ceux du side stick. Le taux d'inclinaison possible est de l'ordre de 20 a 25 degres par seconde. Si l'avion va vite, les ailerons reagissent moins brutalement que s'il va lentement. Mais c'est au pilote de doser ses gestes.

Quelles sont les pannes qui actionnent la Loi Alternate ?
Le message de l'ACARS indique que l'avion est passe en Loi Alternate. Air France ne donne pas plus de precisons. Surtout, s'il s'agit de la Loi Alternate 1 ou 2. La 2 etant plus degradee encore.

La Loi ALT 1 peut etre provoquee par l'une de ces conditions :
- Blocage du plan horizontal reglable (PHR) +++
- Perte de mesure de la position du PHR +++
- Une gouverne de profondeur inactive +++
- Panne du Yaw Damper +++
- Perte de mesure de la position des slats et/ou des volets
- Perte de un seul ADR (Air Data Reference)

Les conditions marquees par des +++ sont interessantes parce qu'elles provoquent l'arret du pilote automatique. L'ACARS de cet Airbus indique effectivement un probleme sur le pilote automatique.

La Loi ALT 2 est encore plus degradee. Elle peut etre provoquee par une des conditions :
- Les deux moteurs en panne +++
- Panne de 2 references inertielles sur les trois(IR) +++
- Panne de 2 ADR +++
- 2 ADR pas d'accords
- Panne de tous les spoilers
- Tous les ailerons internes en panne
- Panne du transducteur de mesure du deplacement des palonniers

Voici donc pour le premier message de l'ACARS a 04:10 du matin.

Messages suivants de l'ACARS :
Entre 04:11 et 04:13 l'ACARS envoit d'autres messages. Il indique des pannes ADIRU et ISIS.

L'ADIRU est a l'avion ce que l'oreille interne est au pilotes. Il y en a trois dans un A330. Chacun comporte un set de lasers qui agissent comme des gyroscopes. C'est les informations de l'ADIRU qui permettent au pilote, mais aussi au pilote automatiques et autres systemes de commandes de vol de connaitre l'attitude de l'avion. L'ADIRU a egalement une partie elaborant les parametres air (ADR +++) comme la vitesse ou l'angle d'attaque.

Le 7 octobre 2008, un Airbus A330 de Quantas a subi une aventure terrifiante qui s'est soldee par de nombreux blesses dont certains graves. L'appareil volait a 37000 pieds quand les pilotes ont recu une alerte au sujet d'un systeme IR et donc perte de pilote automatique et passage en loi ALT 1.

Deux minutes plus tard, l'avion fait une piquee brutale non commandee par les pilotes qui sont en manuel ! Encore quelques minutes plus tard et l'Aibus realise un second pique sans que personne ne le lui demande. Les passagers non attaches volent dans la cabine et de nombreux sont ceux qui se blessent. Douze gravement.

L'enquete confiee a l'ATSB autralien et au BEA en France met en evidence un probleme de conception de l'ADIRU fabrique par Northrop Grumman et equipant les Airbus A330/A340 ainsi que les Boeing 777.

En effet, ces ADIRU, doivent avoir un circuit de controle interne qui les fait sortir de la boucle et se declarer en faute quand une anomalie est detectee dans leur fonctionnement. C'est une regle de base dans tous les avions de ligne du monde : tout appareil ou instrument defectueux se signale comme tel et ne participe plus a la conduite du vol.

Le 15 janvier 2009, l'Agence europeenne EASA emet une directive urgente : 2009-0012-E. Elle concerne, en plus des A340, tous les A330 equipes d'ADIRU de modele Litton/Northrop-Grumman numero de modele de 465020-0303-0309 a 465020-0303-0316 inclus. Cette AD revient de maniere plus detaillee sur les circonstances de l'accident de Quantas. En fait, c'est la partie ADR qui se met a fournir des donnees erronnees de maniere aleatoire. Les systemes de securite de l'avion se mettent donc a croire que celui-ci est dans une attitude anormale : ils introduisent des "corrections" brutales qui destabilisent l'avion.

Les pilotes recoivent des alarmes nombreuses, contradictoires et injustifiees : alarme de decrochage, alarme de survitesse... Le commandant de bord ou le copilote perdent l'affichage de l'attitude dans leur PFD. L'ordinateur qui controle les commandes de vol percoit une incidence elevee et ordonne produit un mouvement a pique sans consulter les pilotes. Quand les pilotes appuyent sur OFF pour couper l'ADIRU, celui-ci ne s'eteint pas ! Il faut tirer son fusible comme l'explique le texte de la directive de navigabilite pour qu'il quitte la boucle.

Le Quantas est revenu de loin. S'il avait ete de nuit et dans les tubulences, ses pilotes n'auraient probablement eu aucune chance de recuperer le coup.

Dernier message ACARS : une depressuration
A 04:14, l'ACARS envoit un message indiquant une depressurisation. Ceci indique que la cabine de l'avion est ouverte, mais que l'appareil n'est pas totalement detruit vu qu'il peut encore envoyer des messages. Les forces appliques sur l'avion commencent a le desintegrer a ce moment la.

A 04:14 heure de Paris, il est minuit 14 sur cette partie d'ocean ou l'Airbus tombe avec 228 personnes a son bord.

Perte de redondance
Chaque ADIRU founit des donnees aux trois systemes de commandes de vol, a savoir : PRIM1, PRIM2 et PRIM2. Par exemple, si on considere l'angle d'attaque, on a 3 sondes qui fournissent chacune des donnees a un ADIRU. Par contre, chaque ADIRU fournit ses donnees aux trois PRIM. Le schema suivant montre cette distribution :

Communication entre les ADRIRU et les PRIM.

Normalement, si un ADIRU tombe en panne ou est arrete par les pilotes (boutton OFF), il doit sortir de la boucle et ne plus fournir de donnees. Dans le cas de l'A330, le bug constate que l'ADIRU defaillant continue a fournir les donnees meme si les pilotes l'arretent. Ces donnees erronnes viennent empoisonner les calculer des trois systemes de commandes de vol. Resultat: il n'y a plus de redondance !

Sur le cote droit d'un A330 on voit les sondes d'angle d'attaque 2 et 3 qui fournissent donc les donnees
aux ADIRU 2 et 3 et donc aux PRIM1, PRIM2 et PRIM3.

Cabine de l'A330 de Quantas apres la perte de controle qui a suivi
la panne d'un ADIRU.

ADIRU d'un A330. Quand il tombe en panne, non seulement il ne quitte pas la boucle, mais il continue
a envoyer de fausses donnees meme quand les pilotes tournent son switch sur OFF.

A Lire :
- Texte original de la directive urgente concernant les ADIRU equipant les Airbus A330/340