Décidément, l'enquête sur la catastrophe du vol AF447 Rio-Paris d'Air France est plus que jamais sous tension. A peine le troisième rapport du Bureau d’Enquêtes et d’Analyses (et non Bureau d’Enquêtes Accidents comme on l'entend bien souvent), a- t-il été publié qu'une nouvelle polémique voit le jour, et elle concerne l'alarme de décrochage. Le site internet "La Tribune" annonce même que des experts du BEA auraient menacé de déposer leur démission.
La polémique concerne l'alarme de décrochage qui a eu un comportement contre-intuitif alors que l'Airbus A330 d'Air France chutait à une vitesse de 15 000 pieds par minute (soit environ 300 km/h). Sur une grande partie de la chute Techno-Science.net vous décrypte les éléments techniques de la controverse pour mieux en comprendre les enjeux.
Fonctionnement des alarmes aéronautiques et de l'alarme de décrochage
La chaîne technique mise en œuvre comprend:
- un ou plusieurs capteurs qui transforment un phénomène physique en signal,
- un équipement qui compare le niveau du signal à des seuils,
- l'alarme qui sonne si le signal va en dehors d'un seuil de normalité.
Dans le cas d'une alarme de décrochage, des volets de mesure de l'incidence permettent de connaître l'angle que fait l'avion par rapport au flux d'air dans lequel il évolue. Si l'angle d'incidence devient trop important, alors l'alarme de décrochage se déclenche et retentit jusqu'à ce que cet angle redevienne normal. Sur les avions actuels, la mesure de l'incidence est croisée avec celle de la vitesse : le seuil de décrochage varie effectivement en fonction de la vitesse.
Trop d'alarmes ?
Au fur et à mesure du perfectionnement des avions et de l'augmentation des normes de sécurité, les postes de pilotage ont été équipés de plus en plus d'alarmes différentes, qui informent immédiatement l'équipage d'une anomalie dans le fonctionnement ou le vol de l'avion.
Cependant, si les systèmes d'un avion peuvent connaître des problèmes, il en est de même pour les instruments de mesure et bien sûr... les alarmes ! Si les problèmes d'alarmes sont rares, leur dysfonctionnement influe directement sur les conditions de travail de l'équipage et peut fortement contribuer à leur faire perdre le contrôle de la situation. L'équipage cherche alors à corriger un problème qui n'existe pas, et l'alarme peut être parfois très intrusive et persistante. Le pire survient lorsque la panne d'un équipement (une ou plusieurs sondes de Pitot par exemple) entraîne l'apparition de plusieurs alarmes contradictoires, ce qui déconcerte les pilotes et peut même les pousser à faire des actions menant à la perte de l'avion. Dans certains cas, c'est le pilote automatique qui peut être perturbé par une mesure erronée et prendre de mauvaises décisions.
Limiter les fausses alertes
Sur au moins une partie des avions de génération actuelle, dont les Airbus A330 et A340, les systèmes sont conçus pour éviter que des alarmes erronées viennent perturber le travail des pilotes. De nouveaux seuils ont été introduits afin de déterminer si une mesure est réaliste ou non réaliste. Si une mesure est en dehors de ces limites, le système considère que la mesure est mauvaise et qu'il ne faut pas déclencher d'éventuelles alarmes associées. Il en est de même pour les automatismes qui s'éteignent afin d'éviter qu'une fausse information entraîne un mauvais comportement de l'avion.
Dans l'Airbus A330 du vol AF447 Rio-Paris d'Air France
Dans le cas du vol AF 447 Rio-Paris, c’est ce qui s’est produit. Il en a été ainsi du pilote automatique, des auto-manettes, et des lois de contrôle au pilotage lors de l'incident avec les sondes de Pitot. Cependant, il est aussi de même avec l'alarme de décrochage un peu plus d'une minute plus tard. Après 54 secondes de décrochage et de sonnerie de l'alarme associée, la vitesse mesurée a atteint des seuils limites de validité. Or, la vitesse fait partie des informations utilisées pour l'alarme de décrochage qui s'éteint.
Lorsque l'un des pilotes tente de baisser le nez de l'Airbus, ce qu'il faut faire dans le cadre d'un décrochage prononcé, la vitesse redevient valide, l'alarme se déclenche à nouveau. En baissant le nez, l'avion s'est repositionné un peu plus dans le flux d'air qui entre alors plus facilement dans les tubes de Pitot. De ce fait, la vitesse est revenue à un niveau valide entraînant une remise en fonction de l'alarme de décrochage. Lorsque le pilote redresse le nez, ce qui entraîne le prolongement du décrochage, le flux d'air n'entre plus correctement dans les tubes de Pitot et l'alarme de décrochage se coupe à nouveau.
Illustration: Techno-science.net
On entre alors dans une situation où l'alarme fonctionne "à l'envers", la vitesse mesurée étant proche du seuil de limite de validité, c'est en remettant l'avion dans une bonne position qu'on fait déclencher cette alarme. Ainsi, un système fait pour éviter d'induire des pilotes en erreur a... induit des pilotes en erreur.
Future recommandation du BEA pour Airbus ?
Les experts du BEA semblent avoir souhaité publier des recommandations sur l'alarme de décrochage dans le troisième rapport d'étape, mais cela ne s'est pas fait. Si certains soupçonnent des pressions, le problème est en réalité plus délicat qu'il n'y parait. Le fait d'ajouter une règle de fonctionnement peut induire un effet non désiré, comme nous venons justement de le voir. A l'inverse, le fait d'enlever une règle, fait prendre le risque d'un déclenchement intempestif. Il est sans doute possible de créer des modes de fonctionnent différents, mais là aussi, des études complémentaires devront être menées pour éviter d'autres effets secondaires dans des situations que nous ne connaissons pas encore.
C'est tout à fait vrai, c'est le serpent qui se mord la queue. En programmation c'est un bug. 
