A transférer dans "Accidents Aériens Passés" par le Chef.

Photo (c) via Werner Fischdick - Toulouse-Blagnac Airport (TLS) - Juin 1994
https://aviation-safety.net/wikibase/324952



Par François Negroni.





Trente-cinq secondes
Le 30 juin 1994, à 17 h 41 locale, un Airbus A330-322 s'écrase en bordure ouest de l'aéroport de Toulouse-Blagnac, trente-cinq secondes après le décollage. Les sept personnes à bord sont tuées. L'appareil, prototype n°42 immatriculé F-WWKH, effectuait un vol d'essai de certification du pilote automatique aux standards de catégorie III pour la version motorisée Pratt & Whitney PW4168. C'est le premier accident mortel de l'histoire de l'A330. Il restera le seul pendant quinze ans, jusqu'au vol Air France 447.

L'enquête, menée par une commission de la Direction générale de l'Armement présidée par l'ingénieur général François Gonin, établira qu'aucune panne n'est en cause. C'est la convergence d'une configuration extrême, d'un automatisme dépourvu de protections suffisantes et d'une rupture dans la supervision humaine qui a transformé un essai considéré comme routinier en catastrophe.

1. L'équipage, l'avion et le contexte
L'équipage se compose du commandant de bord Nicholas Warner, chef pilote d'essais d'Airbus Industrie (7 713 heures de vol, dont 345 sur A330), du copilote Michel Cais, instructeur pilote de ligne détaché d'Air Inter auprès d'Aeroformation (9 558 heures, 137 sur type), et de l'ingénieur navigant d'essais Jean-Pierre Petit (6 255 heures de spécialité). Quatre observateurs sont à bord : deux pilotes Alitalia (Alberto Nassetti, Pier Paolo Racchetti) et deux cadres Airbus (Philippe Tournoux, Keith Hulse). Leur présence est autorisée par la classification du vol en Classe 3, catégorie la moins risquée des vols d'essais.

L'A330 n°42 embarque un système d'essais nommé Spatiaal, qui permet de modifier en vol certains paramètres internes aux calculateurs. L'un des objets du vol est de comparer le comportement du pilote automatique entre deux états d'une mémoire programmable, la « Bulle 203 » : l'état OFF (standard de base) et l'état 3972, dans lequel l'ordre en vitesse de tangage du pilote automatique est doublé. L'avion transmet également ses paramètres au sol par télémesure à cadence élevée, un dispositif qui se révélera décisif pour l'enquête.

2. Un premier vol sans histoire
Le vol 129 débute normalement. Warner effectue le premier décollage en piste 33D à un centrage de 40,2 % MAC (pourcentage de la corde aérodynamique moyenne : plus la valeur est élevée, plus le centre de gravité est reculé et plus l'avion est naturellement cabreur), un trim de profondeur (le réglage de base de la gouverne qui détermine la tendance naturelle de l'avion à cabrer ou à piquer) à 0,4 degré, la Bulle 203 en état OFF. La seule déviation est la puissance, affichée en TOGA (maximale) au lieu de Flex 49 comme prévu à l'ordre d'essais. Le pilote automatique est engagé 6,5 secondes après le décollage, à 157 noeuds et 14,5 degrés d'assiette (l'angle du nez de l'avion par rapport à l'horizon). Le moteur gauche est réduit, le circuit hydraulique bleu coupé. L'avion maintient 160 noeuds sans difficulté. L'altitude présélectée est de 7 000 pieds, ce qui laisse une marge confortable.

S'ensuivent deux remises de gaz en pilotage automatique avec panne moteur simulée, l'une en Bulle OFF, l'autre en Bulle 3972. Les assiettes maximales sont de 12,7 et 15,5 degrés. L'altitude de 2 000 pieds, déjà présélectée sur le FCU (le panneau de commande du pilote automatique, sur lequel l'équipage affiche l'altitude cible), ne crée aucune difficulté. Warner ne perçoit pas de différence significative entre les deux états de la Bulle : « si il y a une différence, elle est subtile », commente-t-il sur la voie G de la télémesure. Un atterrissage automatique complet sur un moteur conclut cette première phase de 55 minutes. L'ambiance est sereine, le travail méthodique. L'équipage a toutes les raisons de considérer la suite comme une formalité.

3. Les dés sont jetés
L'avion se pose et effectue un demi-tour pour s'aligner en piste 33D. Pendant le roulage, plusieurs décisions vont créer les conditions de la catastrophe.

Le trim est repositionné à 2,2 degrés à cabrer, sans commentaire. Pour un centrage limite arrière, le constructeur recommande 0 degré. Warner décide tardivement de confier le décollage à Cais, qui n'a pas touché aux commandes de tout le vol. Le briefing est improvisé dans le cockpit : Cais effectuera la rotation, Warner engagera le pilote automatique, réduira un moteur et coupera le circuit hydraulique. La puissance sera à nouveau TOGA. L'altitude présélectée reste à 2 000 pieds, valeur non corrigée depuis la descente précédente. La Bulle 3972 est active. Le centrage est à 42 % MAC, bien au-delà de la limite opérationnelle en ligne de 36,5 %. La masse est de 147 700 kg.

L'emploi du temps de Warner ce jour-là a été dense : vol de démonstration sur A321, session simulateur A340, déjeuner avec des pilotes de Northwest Airlines, réunion avec des journalistes japonais. Le vol 129 décolle après plus de huit heures d'activité. Cais a été appelé en dernière minute vers 15 heures. Petit a enchaîné un vol d'essais le matin et deux réunions de certification.

Aucun de ces paramètres, pris isolément, ne suffit à provoquer un accident. Leur combinaison forme une équation dont la solution est la catastrophe.

4. Trente-cinq secondes
Le chronométrage est référencé par rapport à la rotation (To = 15 h 40 min 46 TU).

Pendant la course au décollage, Cais maintient le manche à piquer (6 degrés), masquant l'effet du trim trop cabreur. À 132 noeuds, il initie une rotation franche. L'avion, libéré de l'action à piquer, se cabre violemment sous l'effet conjugué du centrage arrière, du trim et de la puissance maximale. À To + 4 secondes, la vitesse passe par un maximum de 155 noeuds. L'assiette est déjà de 20 degrés.

À To + 6 secondes, Warner engage le pilote automatique à 150 noeuds et 24,6 degrés d'assiette. Mais une légère action résiduelle de Cais sur le manche retarde l'activation effective de deux secondes. Pendant ce temps, l'assiette atteint 29 degrés et la vitesse tombe à 145 noeuds.

À To + 8 secondes, le pilote automatique est enfin actif. Et le piège se referme. L'assiette dépasse 25 degrés : les écrans primaires basculent en mode simplifié, les modes du PA disparaissent de l'affichage. Or, les conditions d'entrée dans le mode d'acquisition d'altitude (ALT*) sont réunies : altitude cible de 2 000 pieds, avion à 500 pieds sol, taux de montée de 6 000 pieds par minute. Le PA passe en ALT* en 0,4 seconde. Ce changement est invisible pour l'équipage.

Le mode ALT*, dans sa version de 1994, ne comporte aucune limitation d'assiette. Il privilégie l'interception de l'altitude cible sur toute autre considération. Simultanément, Warner réduit le moteur gauche et coupe le circuit hydraulique bleu, ce qui l'oblige à se tourner vers le panneau supérieur. Il est physiquement hors de la boucle de pilotage. Le PA, privé de la moitié de la poussée, ne peut plus réaliser la trajectoire calculée. Au lieu de réduire l'assiette, il la maintient puis l'augmente pour tenter de rejoindre l'altitude cible. La Bulle 3972, qui double la réactivité en tangage, amplifie l'autorité du cabré. L'assiette monte à 31,6 degrés. La vitesse s'effondre : 129 noeuds à To + 12, 113 noeuds à To + 16, 100 noeuds à To + 19. Le taux de perte est de 4 noeuds par seconde. La VMCA, vitesse minimale de contrôle en vol avec un moteur en panne (118 noeuds), est franchie vers To + 16 secondes. En dessous de ce seuil, les gouvernes n'ont plus l'autorité aérodynamique nécessaire pour contrer la dissymétrie de poussée : l'avion devient incontrôlable latéralement.

« What has gone? » lance Warner à To + 16 secondes environ. Trois secondes plus tard, il déconnecte le PA. La vitesse est de 100 noeuds, l'assiette de 31,6 degrés. Il agit vite : manche en butée à piquer, direction en butée à droite, gauchissement progressif à droite. Puis il réduit le moteur droit pour resymétriser l'avion. Cette action stoppe la protection Alpha Floor, le dispositif de sauvegarde qui commande automatiquement la pleine poussée sur tous les moteurs lorsque l'incidence devient dangereusement élevée, et qui venait de relancer le moteur gauche.

L'aile gauche décroche. L'incidence, c'est-à-dire l'angle entre l'aile et le flux d'air, atteint 26 degrés, bien au-delà du seuil de décrochage aérodynamique. La vitesse touche 77 noeuds. L'inclinaison passe à 112 degrés à gauche, l'assiette plonge à moins 43 degrés. Les centrales à inertie envoient des données invalides ; les commandes de vol basculent en loi directe, un mode dégradé dans lequel toutes les protections informatiques sont perdues et le manche agit sans amortissement ni limitation sur les gouvernes. Warner tente une ressource, parvient presque à rétablir l'avion. Les dernières données valides montrent 156 noeuds, 18 degrés d'inclinaison, assiette encore négative. L'altitude est insuffisante. L'avion percute le sol.

Les derniers sons enregistrés sur le CVR sont une succession d'alarmes : « Speed, speed, speed », « Stall, stall, stall », « Pull up, pull up ».

5. L'alignement des causes
La commission d'enquête conclut que « l'accident peut être expliqué par la concomitance de plusieurs causes dont aucune, prise séparément, ne devait conduire à un accident ». L'enchaînement illustre le modèle de James Reason avec une clarté presque didactique.

La couche organisationnelle : un vol classé en Classe 3 avec des centrages de Classe 2, autorisant la présence d'observateurs.
La couche de préparation : pas de briefing formel, répartition des tâches définie tardivement, délégation improvisée du décollage au copilote (qui n’était pas pilote d’essai). La couche de configuration : centrage à 42 %, trim à 2,2 degrés, puissance TOGA, altitude de 2 000 pieds non corrigée.
La couche d'automatisme : absence de protection d'assiette dans le mode ALT*, invisibilité du changement de mode au-delà de 25 degrés d'assiette.
La couche humaine : commandant hors de la boucle de pilotage au moment critique, copilote désengagé après l'activation du PA, INE signalant l'anomalie trop tard.
Chaque décision est compréhensible dans son contexte. Le choix de TOGA, déjà fait au premier décollage sans conséquence, est une normalisation de la déviance au sens de Diane Vaughan. Le maintien de l'altitude de 2 000 pieds n'a posé aucun problème lors des remises de gaz. La délégation au copilote est un geste de confiance entre professionnels. Aucune de ces décisions n'est aberrante. Mais prises ensemble, elles alignent les trous du fromage suisse.

6. L'héritage
La commission a formulé quatre recommandations principales : sécuriser le mode ALT* par des protections d'assiette et de vitesse homogènes avec les autres modes ; étendre cette réflexion à tous les types d'avions dotés de modes similaires ; préciser les critères de classification des vols d'essais et les conditions de présence d'observateurs ; imposer un briefing systématique avant chaque vol d'essai.

Quinze ans plus tard, un autre A330 s'abîmera en mer. Les circonstances du vol AF447 sont radicalement différentes, mais certaines problématiques se recoupent : la perte de conscience situationnelle face à un changement de mode de l'automatisme, la difficulté à diagnostiquer l'état réel de l'avion lorsque les informations de pilotage sont dégradées. L'espace entre ce que la machine sait faire et ce que l'homme peut comprendre reste, trente ans après Toulouse, le terrain sur lequel se construisent les accidents. Et celui sur lequel s'édifient, aussi, les progrès de la sécurité aérienne.

Sources
- Commission d'enquête (DGA), Rapport préliminaire sur l'accident survenu le 30 juin 1994 à Toulouse-Blagnac à l'Airbus A330 n°42, 28 juillet 1994. Annexes 1 (CVR) et 2 (SSFDR).
- Learmount, David, « Autopilot test ends in A330 take-off crash », Flight International, 6-12 juillet 1994.
- Learmount, David, « A330 crash caused by series of small errors », Flight International, 10-16 août 1994.
- Aviation Safety Network / Bureau of Aircraft Accidents Archives, fiches accident F-WWKH.
- Reason, James, Managing the Risks of Organizational Accidents, Ashgate, 1997.
- Vaughan, Diane, The Challenger Launch Decision, University of Chicago Press, 1996.

_________________
Plus ici, cliquer sur le piaf bleu:

Excellent compte-rendu.

Ensuite je vois ça, mais il faut dire qu'à la lecture je n'ai rien remarqué