Le rapport du Bureau d'Enquête Accidents (BEA) concernant le vol AF 447 Rio de Janeiro - Paris qui s'est écrasé en mer le 1er juin 2009 a été rendu public. Il décrit un scénario très rapide, où les pilotes perdent l'information de vitesse du fait que les sondes Pitot sont givrées, cabrent l'appareil, ce qui le fait "décrocher" (sa vitesse par rapport à l'air devient insuffisante pour que ses ailes le portent). Pendant les quelques minutes que dure la chute, les pilotes n'ont manifestement aucune conscience de ce que le nez de l'avion pointe vers le ciel et que sa vitesse est insuffisante pour le porter. Tout semble reposer sur les informations de vitesse reçues de ces fameuses sondes Pitot. Lorsque ces sondes défaillent (du fait du givre), les systèmes de navigation semblent totalement perdus, et incapables de donner des informations fiables à l'équipage.
Pourtant, les informations de vitesse par rapport au sol et les angles de l'avion par rapport à la verticale (tangage, roulis) et au Nord (cap) sont calculés par un équipement dédié, l'Unité de Référence Inertielle (Air Data Reference Unit selon l'acronyme anglais).
Cette unité s'appuie sur les informations de la sonde Pitot, mais aussi, et principalement sur des capteurs purement internes, appelés capteurs inertiels. La navigation qui en résulte, appelée navigation inertielle, repose sur un principe physique très simple: une masse reste spontanément à vitesse constante. Si on suspend une masse dans un objet en mouvement (par exemple un avion), et que l'objet (avion) accélère, la masse à l'intérieur, restant à vitesse constante, va avoir tendance à rester en arrière. Cela correspond à l'expérience que nous avons tous lors de l'accélération d'un véhicule : nous avons l'impression d'être plaqués en arrière. En mesurant la manière dont cette masse suspendue se déplace par rapport à l'avion, on est capable de mesurer les accélérations de l'avion : c'est le principe d'un capteur appelé accéléromètre. Comme on le voit, l'accéléromètre ne dépend absolument pas d'une relation avec le monde extérieur pour fonctionner. C'est pourquoi il on le caractérise comme un capteur interne. Cela le rend très fiable et sûr. Pour reconstituer la vitesse, il faut additionner les petits incréments d'accélération en avant puis en arrière, et les accumuler au cours du temps : c'est ce qu'on appelle "intégrer" (au sens mathématique) l'accélération pour obtenir la vitesse. Pour savoir précisément la direction dans laquelle l'accélération a été mesurée, il faut de surcroît conserver la mémoire de la verticale et du Nord. C'est l'objet d'une seconde classe de capteurs, également internes, appelés gyromètres, dont le principe est plus complexe, et qui mesurent les rotations par rapport à un référentiel fixe (par exemple, celui formé par la verticale et le Nord géographique).
Je donne ces explications techniques pour expliquer que cette Unité de Référence Inertielle aurait dû continuer à fonctionner, malgré la défaillance des sondes Pitot. Les unités inertielles ont en effet pour caractéristique que leurs erreurs sont très lentes à apparaître, et que ces erreurs (dans le plan horizontal) restent bornées (on sait dire que l'erreur sera toujours inférieure à une certaine valeur, de l'ordre de quelques kilomètres en position, de quelques km/h en vitesse, pour les instruments de la classe des outils embarqués sur les avions civils): à court terme, dans les quelques minutes qu'a duré l'accident, elles sont donc très fiables. Cette fiabilité est renforcée par le fait que trois appareils identiques fonctionnent en parallèle sur l'avion, afin qu'en cas de désaccord (correspondant à un dysfonctionnement d'un des appareils), un système de vote majoritaire entre les 3 appareils permette de sélectionner l'information juste. Même si brutalement les sondes Pitot annoncent une vitesse nulle (parce qu'elles sont bouchées par le givre), l'unité inertielle, sur la foi des informations reçues antérieurement et sur les mesures reçues des capteurs inertiels (accéléromètres et gyromètres), et qui elles ne dérivent que très lentement, aurait dû être en mesure de fournir à l'équipage des informations précises et fiables sur la vitesse de l'avion, ainsi que sur son incidence (l'angle qu'il fait par rapport à l'horizontale entre l'avant et l'arrière de l'avion). Ces informations de navigation, dites en "inertie pure", très fiables à court terme, auraient dû être à la disposition de l'équipage.
L'information d'incidence en particulier, qui s'est révélée manquer si cruellement à l'équipage, est en général affichée sur un appareil très simple appelé "horizon artificiel" ressemblant à une sphère dont (lorsque le vol est horizontal) la moitié supérieure (représentant le ciel) est bleue, et la moitié inférieure (la terre) est noire. Lorsque l'avion se cabre, la portion de "ciel" sur la boule grandit, lorsqu'il pique du nez, c'est au contraire la portion de "terre" qui grandit. C'est un affichage très intuitif et facile à comprendre, qui reconstitue l'horizon lorsque celui-ci n'est plus visible (comme c'est le cas dans le brouillard, ou la nuit) - d'où son nom d'horizon artificiel. Cet appareil est en général au centre du cockpit, très visible - car il apporte une aide précieuse au pilotage, surtout lorsqu'on est sans visibilité (comme c'était le cas la nuit, au-dessus de l'océan avec le vol AF 447).
Dans le récit qui est fait de l'accident, on a l'impression que la défaillance des sondes Pitot a totalement privé les pilotes de toute information fiable sur leur vitesse et sur leur angle incidence, comme si l'information issue des unités inertielles n'existait pas, ou n'était pas disponible. Cela me paraît hautement invraisemblable.
D'où mes questions:
- pourquoi l'équipage du vol AF 447 n'a-t-il pas eu accès aux informations sur sa vitesse et sur son angle d'incidence que l'unité inertielle aurait dû lui transmettre ?
- dans quelle mesure l'unité inertielle a-t-elle su détecter la défaillance de la sonde Pitot, et a-t-elle préservé l'intégrité de ses données inertielles pures, qui, à court terme au moins, étaient d'une qualité et d'une fiabilité largement suffisante pour piloter l'avion en toute sécurité ?
- pourquoi la conception de l'avion et de son électronique de bord ("avionique") s'appuyait-elle, pour le calcul de la vitesse horizontale et de l'incidence (vitales pour assurer la portance de l'avion), de façon aussi exclusive sur les sondes Pitot, sans dispositif de secours s'appuyant sur les informations "inertielles pures" ? Les sondes Pitot ont constitué un "point unique de défaillance" (i.e. une vulnérabilité en un seul point, qui met en cause la sécurité d'ensemble du système, sans possibilité de se rattraper par un système de secours) : même si les sondes Pitot sont un dispositif simple (et donc présumé fiable - à tort), le fait qu'elles aient constitué ainsi un point unique de défaillance est une faute de conception importante. Par constraste, les informations "inertielles pures" sont produites par 3 appareils indépendants, et sont par construction, extrêmement fiables et robustes : l'avionique aurait dû avoir un dispositif de détection de la défaillance de la sonde Pitot (en cas d'incohérence entre sa mesure de vitesse et celle donnée par la centrale inertielle), et remplacer la vitesse par rapport à l'air mesurée par la sonde Pitot par une information reconstituée à partir de la vitesse par rapport au sol (donnée par l'unité inertielle) et d'une estimation du vent (calculée par ailleurs pour intégrer les mesures de la sonde Pitot dans les calculs inertiels).
- pourquoi, dans la conception de l'avionique, une telle préférence pour les capteurs liés à l'air (sondes Pitot), au détriment des capteurs inertiels ? quel est le rôle des syndicats de pilotes dans cette préférence ?
- comment se fait-il que l'équipage n'ait pas fait appel aux informations qui auraient dû être affichées sur l'horizon artificiel ?