Vol Qantas 72

Le vol Qantas 72 (QF72) est un vol international régulier reliant Singapour à Perth, dans l'ouest de l'Australie. Le 7 octobre 2008, l'Airbus A330 assurant le vol a effectué un atterrissage d'urgence à la base aérienne de Learmonth, prés d'Exmouth, en Australie-Occidentale, suite à un incident grave survenue en vol, lors duquel l'avion subit une série de manœuvres à piqué brutales et non contrôlées par les pilotes, causant des blessures graves – fractures, lacérations et lésions nerveuses – à de nombreux passagers et membres d'équipage.

Vol Qantas 72
VH-QPA, l'Airbus A330 impliqué dans l'incident, photographié en novembre 2007.
Caractéristiques de l'accident
Date	7 octobre 2008
Type	Manœuvres non contrôlées en vol, atterrissage d'urgence
Causes	Défaillance des systèmes informatiques de l'appareil
Phase	Croisière
Site	Océan Indien, à 148 km d'Exmouth, en Australie
Coordonnées	22° 14′ 06″ sud, 114° 05′ 18″ est
Caractéristiques de l'appareil
Type d'appareil	Airbus A330-303
Compagnie	Qantas
No  d'identification	VH-QPA
Lieu d'origine	Aéroport de Singapour-Changi, à Singapour
Lieu de destination	Aéroport de Perth, en Australie
Passagers	303
Équipage	12
Bilan
Morts	0
Blessés	119
Survivants	315
Géolocalisation sur la carte : Australie

Une fois à Learmonth, l'avion a été pris en charge par le Royal Flying Doctor Service australien et CareFlight (en). Quatorze personnes ont été héliportées vers Perth pour y être hospitalisées, tandis que trente-neuf autres ont également été admises à l'hôpital. Au total, parmi les 315 passagers et membres d'équipage présents à bord, un membre d'équipage et 11 passagers ont été grièvement blessés, tandis que 8 membres d'équipage et 99 passagers ont subi des blessures légères.

L’enquête de l'ATSB a révélé une défaillance dans l’un des trois ADIRU de l’A330 et une limitation de conception logicielle, jusque-là inconnue, du système principal de commande de vol électrique (FCPC) de ce type d'appareil.

Avion et équipage

L'appareil impliqué est un Airbus A330-303 immatriculé VH-QPA (numéro de série 553), qui a été livré neuf à Qantas le 26 novembre 2003. Cet avion gros-porteur long-courrier, propulsé par deux turboréacteurs General Electric CF6-80E1A3, totalise 20 040 heures de vol et 3 740 cycles (décollage/atterrissage) au moment de l'incident.

L'équipage du vol 72 est supervisé par le commandant de bord Kevin Sullivan (53 ans), un ancien pilote de l'US Navy (1977-1986) qui avait déménagé en Australie. Il totalise 13 592 heures de vol à son actif, dont 2 453 heures sur Airbus A330. L'équipage comprend également le copilote Peter Lipsett, qui totalise 11 650 heures de vol, dont 1 870 sur Airbus A330, et le second officier Ross Hales, qui totalise 2 070 heures de vol, dont 480 sur Airbus A330.

Outre les trois membres d'équipage dans le poste de pilotage, on compte également neuf membres du personnel navigant commercial (PNC) et 303 passagers en cabine.

Déroulement des faits

À 9 h 32 UTC+8, le vol 72 de Qantas, avec 315 personnes à bord, a décollé de l'aéroport de Singapour-Changi, à destination de l'aéroport de Perth, en Australie. À 10 h 1, l'A330 a atteint son altitude de croisière d'environ 37 000 pieds (11 000 m) au dessus de l'océan Indien et maintenait une vitesse de croisière de Mach 0,82.

La trajectoire suivi par le vol 72.

L'incident a débuté à 12 h 40 min 28 s, lorsque l'un des trois ADIRU de l'avion a commencé à fournir des données erronées au calculateur de vol. Face à ces données anormales, le pilote automatique s'est désengagé automatiquement. Quelques secondes plus tard, les pilotes reçurent plusieurs messages électroniques sur l'ECAM (en) de l'avion, les avertissant d'une anomalie liée au fonctionnement du pilote automatique et des systèmes de référence inertielle, ainsi que des avertissements sonores contradictoires de décrochage et de survitesse.

Pendant ce temps, le commandant de bord a commencé à piloter l'avion manuellement, en débrayant le pilote automatique, puis l'avion monta de 200 pieds (60 m), sous contrôle manuel. Le pilote automatique a ensuite été réengagé et l'A330 a commencé à revenir à son niveau de vol précédemment sélectionné. Le pilote automatique a été désengagé par l'équipage au bout d'une quinzaine de secondes et est resté désengagé pendant le reste du vol.

À 12 h 42 min 27 s, l'avion fit une manœuvre soudaine et intempestive vers le bas, subissant -0.8 g, atteignant 8,4° à piquer et poursuivant une descente rapide de 650 pieds (200 m) en environ 20 secondes avant que les pilotes puissent ramener l'avion à son altitude de croisière.

À 12 h 45 min 8 s, l'appareil fit une seconde manœuvre non maîtrisée de nature similaire, pour atteindre cette fois une accélération de 0,2 g et un angle à piqué de 3,5°, au cours d'une descente de 400 pieds (120 m) en environ 16 secondes avant de revenir à son niveau de vol.

Les passagers et membres d'équipage non-attachés (et même certains passagers attachés) furent violemment projetés contre les parois de la cabine ou les compartiments à bagages. Les pilotes ont ensuite stabilisé l'avion et ont déclaré une situation d'urgence (un message code « pan-pan » fut émis, signalant une situation d'urgence) ; ce message fut ensuite remplacé par un message de détresse (« mayday ») lorsque l'équipage put prendre la pleine mesure du nombre de blessés.

Les dégâts dans la cabine du vol 72, photographiés après l'incident.

Quarante minutes plus tard, l'équipage fit un atterrissage d'urgence à la base aérienne de Learmonth, située prés d'Exmouth, en Australie-Occidentale. On a recensé 119 blessés (12 blessés graves et 103 blessés légers) parmi les 315 personnes présentes à bord.

Enquête

L'enquête de l'ATSB a été soutenue par l'autorité australienne de la sécurité de l'aviation civile (en), Qantas (propriétaire de l'avion), le Bureau d'enquêtes et d'analyses pour la sécurité de l'aviation civile (BEA) français et Airbus (fabricant de l'avion). Des copies des données de l'enregistreur de paramètres (FDR) et de l'enregistreur phonique (CVR) de l'avion ont été envoyées au BEA et à Airbus.

L’aéronef était équipé d’un ADIRU fabriquée par Northrop Grumman ; les enquêteurs ont envoyé l’unité au siège de Northrop Grumman, aux États-Unis, pour des tests complémentaires. Le 15 janvier 2009, l’Agence de l'Union européenne pour la sécurité aérienne (AESA) a publié en urgence une consigne de navigabilité, afin de remédier au problème concernant la réaction incorrecte des Airbus A330 et Airbus A340, qui sont également équipés d'ADIRU fabriqués par Northrop-Grumman, à des données inertielle erronées.

Dans un rapport préliminaire, l'ATSB a identifié une défaillance survenue dans l'ADIRU n°1 comme « l'origine probable de l'incident » ; cet ADIRU, l'un des trois dispositifs de ce type présents sur l'Airbus A330, a commencé à fournir des données incorrectes aux autres systèmes de l'avion.

Les effets initiaux de cette défaillance furent :

• Alarmes de décrochage et de survitesse erronées et contradictoires
• Perte des informations d'altitude sur l'écran de vol principal (PFD) du commandant de bord
• Plusieurs alertes de l'ECAM de l'avion

Environ deux minutes plus tard, l'ADIRU n°1, qui fournissait des données à l'écran de vol principal du commandant de bord, a fourni des indications très élevées (et erronées) concernant l'angle d'attaque (AOA) de l'avion, ce qui a conduit à :

• Les ordinateurs de bord ordonnent un mouvement de piqué à l'avion, ce qui entraîne une inclinaison maximale de l'avion d'environ 8,5°
• Le déclenchement, au niveau du système principal de commande de vol électrique (FCPC), d'un défaut de contrôle du tangage.

Défaut de conception du FCPC

L'angle d'attaque (AOA) est un paramètre de vol essentiel, et les systèmes de commandes de vol à pleine autorité, tels que ceux équipant les A330/A340, nécessitent des données d'AOA précises pour fonctionner correctement. L'appareil était équipé de trois ADIRU pour assurer la redondance et la tolérance aux éventuelles pannes, et les FCPC utilisaient les trois valeurs d'AOA indépendantes pour vérifier leur cohérence. En règle générale, lorsque les trois valeurs d'AOA étaient valides et cohérentes, les FCPC utilisaient la moyenne des valeurs d'AOA 1 et 2 pour leurs calculs. Si l'une des deux valeurs d'AOA s'écartait significativement des deux autres, les FCPC utilisaient une valeur mémorisée pendant 1,2 seconde. L'algorithme des FCPC était très efficace, mais il ne pouvait pas gérer correctement un scénario où plusieurs pics survenaient dans l'AOA 1 ou l'AOA 2, espacés de 1,2 seconde – c'est-à-dire si la période de 1,2 seconde d'utilisation de la valeur mémorisée se terminait pendant un autre pic.

Comme pour tout système critique pour la sécurité, le développement du système de commandes de vol des A330/A340 en 1991 et 1992 a intégré de nombreux éléments visant à minimiser le risque d'erreur de conception, notamment des révisions par les pairs, une évaluation de la sécurité du système (ESS) et des essais et simulations pour vérifier et valider les exigences du système. Aucune de ces activités n'a permis d'identifier la limitation de conception de l'algorithme AOA du FCPC.

Ce type de défaillance de l'ADIRU n'a jamais été rencontré ni identifié auparavant par le fabricant de l'ADIRU dans le cadre de ses activités de surveillance de la sécurité des systèmes (SSA). De manière générale, les processus de conception, de vérification et de validation utilisés par le constructeur aéronautique n'ont pas pleinement pris en compte les effets potentiels de pics fréquents de données provenant d'un ADIRU.

Airbus a déclaré ne pas avoir connaissance d'un incident similaire survenu auparavant sur un de ses appareils. Le constructeur européen a diffusé un télex d'information aux exploitants d'A330 et d'A340 contenant des recommandations de procédures et des listes de contrôle visant à minimiser les risques en cas d'incident similaire.

Rapport final

Après une analyse détaillée du FDR, du logiciel FCPC et de l'ADIRU, il a été découvert que le processeur de l'ADIRU a corrompu les données de l'AOA. La nature exacte de cette erreur est que le processeur de l'ADIRU avait re-étiqueté par erreur les valeurs de données d'altitude, de sorte que les données binaires qui indiquaient 37 012 (l'altitude du vol 72 au moment de l'incident) représentaient un angle d'attaque de 50,625°. Le FCPC a ensuite traité les données AOA élevées par erreur, déclenchant le mode de protection contre un angle d'attaque élevé, qui a envoyé un ordre au système de commandes de vol électriques pour faire piquer l'avion.

Plusieurs types de déclencheurs potentiels ont été étudiés, notamment des bugs logiciels, une corruption des données du logiciel, des défauts au niveau du matériel à bord, des interférences électromagnétiques et des particules à haute énergie générées par le rayonnement cosmique, qui peuvent provoquer une perturbation par une particule isolée (PPI). Bien qu'il n'ait pas été possible de parvenir à une conclusion définitive, des informations suffisantes provenant de plusieurs sources ont permis de conclure que la plupart des déclencheurs potentiels étaient très peu susceptibles d'être impliqués. Un scénario beaucoup plus probable était qu'une faiblesse matérielle marginale d'une certaine forme rendait les unités sensibles aux effets d'un certain type de facteur environnemental, qui a déclenché la défaillance de l'ADIRU n°1.

Bien que des spéculations aient été émises selon lesquelles des interférences provenant de la station de communications navales Harold E. Holt ou des appareils électroniques personnels des passagers auraient pu être impliquées dans l'incident, l'ATSB a estimé que cette possibilité était « hautement improbable ».

Le rapport final de l'ATSB, publié le 19 décembre 2011, a conclu que l'incident du vol 72 s'est produit en raison d'une limitation de la conception logicielle, jusqu'alors inconnue, du système principal de commande de vol électrique (FCPC) présent sur l'Airbus A330 et l'Airbus A340, et d'une défaillance affectant l'un des trois système ADIRU de l'avion, qui a transmis des données erronées concernant l'angle d'attaque (AOA) à l'ordinateur de bord, commandant à l'avion d'effectuer une série de manœuvres à piquer.

La limitation de conception du FCPC signifiait que, dans une situation très rare et spécifique, plusieurs pics dans les données AOA de l'un des trois ADIRU, survenant à 1,2 seconde d'intervalle, pouvaient amener le système à ordonner à l'A330 de piquer du nez.

Conséquences

L'appareil impliqué (VH-QPA), photographié onze ans après l'accident.

Le 27 décembre 2008, un autre A330 de Qantas, opérant entre Perth et Singapour, a été impliqué dans un incident similaire à celui du vol 72. Alors qu'il volait au niveau de vol FL360 (36 000 pieds, 10 972 m), le pilote automatique s'est subitement déconnecté et l'équipage a reçu une alerte indiquant un problème avec l'ADIRU n°1. Il a alors exécuté la procédure révisée, publiée par Airbus après le précédent incident, et est rentré à Perth sans problème. L'ATSB a inclus cet incident dans son rapport d'enquête concernant le vol 72.

Cet incident a de nouveau alimenté les spéculations médiatiques concernant l’importance de la station Harold E. Holt, l’Association australienne et internationale des pilotes (en) demandant que tous les avions commerciaux soient interdits de survol de la zone par mesure de précaution jusqu’à ce que les événements soient mieux compris, tandis que le directeur de l’installation a affirmé qu’il était « hautement, hautement improbable » qu’une quelconque interférence ait été causée.

Depuis l'incident du vol 72, une mise à jour complète des logiciels a été réalisée sur l'ensemble des A330 opérant dans le monde, pour empêcher que se reproduise ce type de dysfonctionnement.

L'A330 impliqué, immatriculé VH-QPA, a subi des dommages mineurs lors de cet incident ; par la suite, il a été réparé et remis en service au sein de la flotte de Qantas.

Médias

L'accident a fait l'objet d'un épisode dans la série télé Air Crash nommé Chute libre (saison 18 - épisode 7).

Notes et références

• (en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « Qantas Flight 72 » (voir la liste des auteurs).

Voir aussi

Articles connexes

• Accidents similaires
  • Vol China Airlines 006
  • Vol China Eastern Airlines 583
  • Vol Singapore Airlines 321
• Perturbation par une particule isolée

Liens externes

• (en) Description de l'accident 0sur Aviation Safety Network.
• (en) Rapport final
• (en) Article sur l'accident