L’importance du millimètre : l’histoire du vol Qantas 32
(medium.com/@admiralcloudberg)- Le 4 novembre 2010, l’Airbus A380 du vol Qantas 32 a subi la rupture du disque de turbine du moteur n°2 peu après son décollage de Singapour, endommageant simultanément l’aile, le fuselage, les systèmes hydrauliques, électriques, carburant et de freinage, mais les 469 personnes à bord ont toutes survécu
- L’accident a commencé au niveau du tube de dérivation d’alimentation en huile à l’intérieur d’un Rolls-Royce Trent 900 : lors de la fabrication, un contre-alésage a été décalé d’environ 0,5 mm, amincissant une paroi jusqu’à 0,35 mm, un défaut qui a entraîné fatigue du métal et fuite d’huile
- L’huile haute pression qui s’est échappée s’est enflammée dans une zone à environ 365~375°C, et la flamme a sectionné le bras d’entraînement du disque de turbine IP, faisant dépasser au disque sa vitesse critique en 4 secondes avant d’éclater en plusieurs morceaux
- Dans le cockpit, 34 alertes se sont affichées en 20 secondes et le traitement des procédures ECAM a pris 55 minutes ; les pilotes ont atterri avec une fuite de carburant, une perte de 65 % du contrôle en roulis, une masse supérieure à la masse maximale d’atterrissage et un freinage dégradé, s’arrêtant à 150 m de la fin d’une piste de 4 000 m
- Par la suite, l’ensemble des tubes de dérivation du Trent 900 ont été inspectés, une protection contre le surrégime de la turbine IP a été ajoutée, les moyeux de palier HP/IP ont été retirés, Rolls-Royce a amélioré ses procédures de fabrication et de qualité, Airbus a modifié son logiciel de performances à l’atterrissage, et l’A380 a conservé son historique d’exploitation sans accident passager avec blessés
Une panne multiple frappe l’A380 juste après le décollage
- Le 4 novembre 2010, le vol Qantas 32 était un Airbus A380 assurant la liaison Londres-Sydney, reparti de Singapour après une escale intermédiaire en direction de Sydney
- L’appareil portait l’immatriculation VH-OQA et le surnom Nancy-Bird Walton
- Il y avait 440 passagers et 29 membres d’équipage, soit 469 personnes au total
- Dans le cockpit se trouvaient le commandant Richard Champion de Crespigny, le copilote Matt Hicks, le Second Officer Mark Johnson, le Check Captain Harry Wubben et le Senior Check Captain David Evans
- À eux cinq, ces membres d’équipage totalisaient 140 ans de carrière et 71 000 heures de vol
- Après avoir décollé de Singapour à 9 h 56, environ 4 minutes plus tard, alors que l’avion passait 7 000 pieds, une avarie catastrophique s’est produite sur le moteur n°2
- Les pilotes et les passagers ont entendu deux explosions rapprochées
- L’avion a légèrement embardé vers la gauche et l’automanette s’est désactivée
- Le commandant a activé le maintien d’altitude de l’autopilot pour stabiliser l’appareil en vol horizontal
- L’ECAM a d’abord affiché l’alerte ENG 2 TURBINE OVERHEAT, puis 34 messages supplémentaires en 20 secondes
- Le moteur endommagé avait perdu son disque de turbine IP et la structure autour, mais il tournait encore ; il n’a donc pas été immédiatement signalé comme une panne totale simple
- Lorsque les pilotes ont réduit la poussée du moteur n°2, l’alerte ENG 2 FIRE est brièvement apparue avant de disparaître
- Ensuite, le message ENG 2 FAIL s’est affiché, menant à la décision d’arrêter le moteur
- Un seul des deux extincteurs du moteur n°2 a réellement fonctionné, et le voyant de confirmation ne s’est pas allumé
Comment une fuite d’huile dans un Trent 900 a conduit à l’éclatement d’un disque
- Le Rolls-Royce Trent 900 de l’Airbus A380 est un turboréacteur à double flux à fort taux de dilution composé d’un fan, de compresseurs, d’une chambre de combustion et de turbines
- Le Trent 900 comprend des ensembles LP, IP et HP, et les turbines HP et IP sont constituées à l’arrière de disques de turbine monostade
- Le moyeu de palier HP/IP soutient l’arbre rotatif, et la chambre de palier interne reçoit de l’huile sous pression pour limiter l’usure
- La pièce en cause était le oil feed stub pipe, qui alimente en huile la chambre de palier
- Ce tube est un court segment fixe qui traverse l’espace tampon entre les sections interne et externe du moyeu de palier HP/IP
- Au moment de l’accident, une fissure s’est formée dans le tube à l’intérieur du moteur n°2, projetant de l’huile haute pression dans le buffer space
- La température du buffer space était estimée à environ 365~375°C, au-dessus de la température d’auto-inflammation de l’huile moteur, qui est de 280°C
- L’huile pulvérisée s’est immédiatement enflammée
- Lorsque l’incendie a endommagé le triple seal avant, l’air haute pression du annulus gas path a été aspiré dans le buffer space
- Cet air a poussé la flamme vers l’arrière jusqu’au drive arm du disque de turbine IP
- Le drive arm du disque de turbine IP était déjà une pièce soumise à de fortes contraintes en fonctionnement normal et n’a pas supporté la chaleur, se rompant en quelques secondes
- Il s’est écoulé bien moins d’une minute entre le début de la fuite d’huile et la rupture du drive arm
- Une fois le drive arm rompu, le disque de turbine IP n’était plus relié à l’arbre, mais continuait à recevoir l’énergie du annulus gas path
- En 4 secondes, le disque a dépassé sa vitesse critique et la force centrifuge a excédé la limite du disque en alliage de nickel, qui a éclaté en plusieurs morceaux
- Des fragments du disque de turbine ont traversé le carter moteur et le capotage, endommageant l’avion dans plusieurs directions
- L’un des fragments est tombé au sol et a percé le mur d’un bâtiment sur l’île de Batam, sans faire de blessés au sol
- Un autre a traversé la partie inférieure du fuselage et un faisceau de câbles
- Deux fragments ont traversé l’intérieur de l’aile gauche avant de ressortir par l’extrados
- De petits débris ont également provoqué des dégâts supplémentaires en divers points de l’aile et du fuselage
Dans un cockpit submergé d’alertes, calculer la possibilité d’atterrir
- Les fragments du disque de turbine ont causé des dommages secondaires étendus aux systèmes essentiels de l’appareil
- Le réservoir de carburant de l’aile gauche fuyait
- Le mécanisme d’actionnement des slats de bord d’attaque a été endommagé
- Deux wire looms du bord d’attaque de l’aile et de la belly area ont été complètement sectionnés, affectant environ 650 fils
- Il y a eu perte de contrôle de la green hydraulic pump, dégradation du yellow hydraulic system, perte de l’alimentation AC des moteurs 1 et 2, perte complète des fonctions des slats, et perte partielle des fonctions de spoiler et d’aileron
- Le frein du train gauche dans l’aile et une partie de la fonction anti-skid du frein du train droit dans l’aile ont aussi été endommagés
- L’A380 utilise deux systèmes hydrauliques, green et yellow, mais chaque gouverne dispose d’actionneurs hydrauliques de secours indépendants, ce qui a limité la perte de contrôlabilité
- En raison des dégâts directs et de la perte de pression du green hydraulic system, la capacité de contrôle en roulis a diminué d’environ 65 %
- Les spoilers et ailerons restants suffisaient néanmoins à piloter l’avion
- Les pilotes ont estimé que l’appareil restait contrôlable avec ou sans autopilot
- Plutôt que d’atterrir immédiatement, l’équipage a décidé de traiter les procédures ECAM pour comprendre l’état de l’avion
- Il a demandé à l’ATC l’autorisation d’entrer en holding pattern et a tourné au-dessus de la mer au nord-est de Singapour
- Il a fallu 55 minutes pour terminer les actions ECAM, bien au-delà de ce qu’avaient anticipé les pilotes
- Le Second Officer Mark Johnson est allé vérifier la cabine, et les images de la tail camera ainsi que l’observation visuelle ont confirmé une fuite de carburant de l’aile gauche et un grand trou sur l’extrados
- Les pilotes ont choisi de laisser le flux de la tail camera affiché, jugeant que le couper pourrait paraître plus inquiétant pour les passagers
- La situation carburant a encore compliqué la décision d’atterrir
- Le carburant s’échappait du réservoir de l’aile gauche, aggravant le déséquilibre entre les ailes
- L’ECAM demandait d’ouvrir la fuel transfer valve pour rétablir l’équilibre, mais les pilotes ne l’ont pas fait en raison de la fuite et d’une alerte signalant des dommages au fuel transfer system
- Le fuel jettison system ne fonctionnait pas non plus, si bien que l’avion restait à plus de 40 tonnes au-dessus de la masse maximale d’atterrissage
- L’idée de brûler du carburant en vol prolongé a été écartée, en raison du déséquilibre carburant et de la perte de 65 % du contrôle en roulis
- Le logiciel Airbus de performances à l’atterrissage a d’abord renvoyé no result
- Le logiciel appliquait de manière conservatrice un operational coefficient reflétant les différences de technique de pilotage, et comme il le réappliquait à chaque panne, le coefficient a été appliqué 9 fois au total
- Le Check Captain Evans a contourné l’hypothèse de masse maximale d’atterrissage en saisissant manuellement la masse réelle d’atterrissage
- Dans ce cas, la logique du logiciel n’appliquait l’operational coefficient qu’une seule fois, et le résultat indiquait qu’un atterrissage était possible sur la piste de 4 000 m de l’aéroport de Singapour-Changi avec environ 100 m de marge
Après l’atterrissage, le feu et le risque d’évacuation persistaient
- Pour réduire la charge de pilotage, le commandant s’est aligné sur la piste de plus loin que d’habitude
- Les sensations aux commandes étaient émoussées en raison de la dégradation du contrôle en roulis
- Pendant l’approche, il a répété des vérifications en pilotage manuel pour confirmer que les caractéristiques de pilotage restaient acceptables après la sortie des volets
- Il a décidé de maintenir une poussée constante sur les moteurs 1 et 4, et d’utiliser uniquement le moteur 3, moins affecté, pour ajuster la vitesse
- En raison de la panne du green hydraulic system, le train d’atterrissage n’est pas sorti lorsque le levier a été abaissé, et les pilotes ont utilisé le système de secours par gravité
- Le système de secours a fonctionné correctement
- Le commandant devait maintenir l’avion dans une plage extrêmement étroite entre la vitesse de décrochage à risque et la vitesse risquant une sortie de piste après l’atterrissage
- De Crespigny se souvenait d’une fenêtre de vitesse sûre d’environ 3 à 4 nœuds
- Une alerte low energy s’est déclenchée à un moment, mais elle a disparu après une légère augmentation de la poussée du moteur 3
- Le vol Qantas 32 a atterri à 11 h 46 sur la piste 20C de l’aéroport de Changi
- Une stall warning a brièvement retenti juste avant le toucher des roues
- Les pilotes ont utilisé les freins restants et, parmi les reverse thrust disponibles uniquement sur les moteurs intérieurs de l’A380, l’inverseur de poussée du moteur 3
- L’avion s’est immobilisé avec 150 m restants sur les 4 000 m de la piste
- Même à l’arrêt, l’incendie et les problèmes de communication ont continué
- Les freins du body gear gauche avaient été fortement sollicités à l’atterrissage, ont surchauffé, et 4 pneus se sont dégonflés
- Le carburant continuait à fuir, avec un risque d’incendie au contact des freins brûlants
- Après l’arrêt des moteurs 3 et 4, l’avion a perdu son alimentation électrique, et l’APU n’a pas pu être connecté au réseau électrique en raison de dommages à l’infrastructure de distribution
- Il a fallu trouver une radio VHF fonctionnant sur l’alimentation d’urgence pour communiquer avec les pompiers
- Le moteur n°1 n’a pas pu être arrêté selon la procédure normale
- En raison des dommages aux systèmes de l’aile, la fuel shutoff valve du moteur n°1 ne fonctionnait pas
- La fire extinguisher bottle du moteur n°1 ne fonctionnait pas non plus, si bien qu’il n’a pas pu être arrêté via la fire handle
- Les pompiers ont pulvérisé de la mousse sur les freins en évitant l’entrée d’air et la tuyère du moteur pour prévenir un incendie
- Ensuite, les ingénieurs de Qantas ont choisi d’étouffer le moteur avec de la mousse incendie, et le moteur n°1 ne s’est arrêté qu’à 14 h 53, plus de 3 heures après l’atterrissage
- Les passagers n’ont pas été évacués immédiatement par les toboggans d’urgence
- Des statistiques montraient qu’une évacuation par toboggan d’urgence provoque des blessures graves chez 5 à 10 % des passagers, et il y avait aussi à bord des personnes âgées et des personnes handicapées
- Dans une situation où le risque d’incendie avait diminué, les pilotes ont jugé plus sûr de rester à bord
- Après 50 minutes sans climatisation en raison de la perte électrique, des escaliers sont arrivés, et tous les passagers ont débarqué en environ 1 heure par une seule sortie
- Aucun des 440 passagers n’a été blessé
Un défaut de fabrication de 0,5 mm et les changements après l’accident
- La cause directe de l’accident était un défaut ayant rendu une paroi du oil feed stub pipe excessivement fine
- Le tube du moteur accidenté s’est rompu par fatigue du métal après 677 vols
- À la base du tube se trouvait un counter bore destiné à recevoir un filtre, et ce counter bore était décalé d’environ 0,5 mm par rapport au centre
- L’épaisseur de paroi était inégale, avec 1,42 mm d’un côté et 0,35 mm de l’autre
- Une modification du procédé de fabrication a supprimé la garantie d’alignement
- Dans la conception initiale, le stub pipe et le counter bore étaient alignés à partir du datum AA, centré sur le outer clearance hole, ce qui garantissait une épaisseur de paroi suffisante
- Lors de la fabrication, après l’insertion du stub pipe, il devenait difficile de retrouver le datum AA ; la référence du counter bore a donc été changée pour le datum M, centré sur le inner hub counter bore
- La position du stub pipe lui-même restait liée au datum AA, mais rien ne garantissait directement que le datum M soit aligné avec le datum AA
- Si le moyeu bougeait légèrement lors du reclampage, la position du timing pin mémorisée par la machine ne coïncidait plus avec la position réelle, ce qui décalait d’autant le inner hub counter bore et le stub pipe counter bore
- Les procédures d’inspection et d’approbation n’ont pas non plus permis de détecter le défaut
- L’épaisseur de paroi du stub pipe n’était pas spécifiée séparément et devait être garantie indirectement par l’alignement
- L’inspection OP 230 ne mesurait le stub pipe counter bore que par rapport au datum M, sans pouvoir détecter un décalage avec le tube lui-même
- L’inspection OP 70 mesurait l’interference bore par rapport au datum M, ce qui aurait pu permettre de détecter une anomalie, mais il était difficile pour les inspecteurs de comprendre l’écart entre le plan de fabrication et la référence de mesure CMM
- Les enregistrements CMM du moyeu accidenté n’ayant pas été conservés, il a été impossible de confirmer si une alerte avait réellement existé
- Lors du changement de référence de fabrication en 2009, certains désalignements de counter bore avaient déjà été constatés, mais une retrospective concession a été approuvée pour environ 100 pièces
- Une analyse statistique a été réalisée à partir des mesures de 9 moyeux, et a estimé la non-conformance maximale à Ø 0,7 mm
- Cette analyse était très incertaine, car l’échantillon était réduit et rien ne garantissait qu’il représentait la production passée
- Le rapport n’exprimait pas clairement cette incertitude, et la Non-Conformance Authority a approuvé le dossier en considérant qu’il n’y avait pas d’impact sur la sécurité
- Selon les procédures internes de Rolls-Royce, une retrospective concession devait aussi porter les signatures du Business Quality Director et du Chief Engineer, mais cette approbation ne les comportait pas
- Après l’accident, inspections généralisées et changements de règles se sont enchaînés
- Les mesures effectuées sur les HP/IP bearing oil feed stub pipes en service ont montré que beaucoup sortaient de la tolérance Ø 0,20 mm, et certains présentaient un désalignement plus important encore que le tube de l’accident
- Sur 2 tubes, une non-conformance d’environ Ø 1,2 mm a été constatée
- Qantas a immobilisé temporairement sa flotte d’A380 du 4 au 27 novembre 2010
- L’European Aviation Safety Agency a rendu obligatoire l’inspection des oil feed stub pipes du Trent 900
- Rolls-Royce a développé une protection contre le surrégime de la IP turbine, et Airbus a publié un mandatory service bulletin imposant son installation sur tous les A380 dans un délai de 10 vols
- Tous les premiers HP/IP bearing hubs produits ainsi que les moyeux dont l’épaisseur de paroi du stub pipe était inférieure à 0,7 mm ont été retirés du service
- Rolls-Royce a révisé la procédure de concertation sur le design intent entre ingénieurs de fabrication et de conception, et a mis fin à la pratique des retrospective concessions
- Airbus a modifié le logiciel de performances à l’atterrissage afin de prédire plus précisément les performances réelles à toutes les masses d’atterrissage
- L’appareil a été réparé pendant 535 jours pour un coût de 139 millions de dollars, et le VH-OQA Nancy-Bird Walton a revolé en 2012
- Cet accident a montré qu’un écart de moins de 0,5 mm pouvait gravement endommager le plus gros avion de ligne du monde
- Il a aussi montré que le fly-by-wire de l’A380, les actionneurs hydrauliques de secours des gouvernes, l’ECAM, la conception redondante, ainsi que le jugement et le travail d’équipe de l’équipage ont permis d’éviter toute blessure parmi les occupants
1 commentaires
Commentaires sur Hacker News
Chaque fois que je lis la chaîne détaillée des événements dans une analyse après accident aérien, ça me fait sourire
Le fait qu’on puisse remonter jusqu’à une seule pièce défaillante, puis retracer l’historique et l’environnement qui ont conduit cette pièce à être mise en service montre la robustesse de l’industrie aéronautique
Les erreurs sont inévitables, et la robustesse tient selon moi davantage à la manière d’y répondre qu’au nombre d’erreurs
En tant que SRE dans une FAANG, où je travaille sur la fiabilité, l’industrie aéronautique m’inspire toujours un profond respect, et j’espère qu’un jour l’industrie du logiciel et de la tech atteindra ce niveau
Et immense coup de chapeau à l’autrice, Kyra Dempsey. Le sujet est très chargé sur le plan technique, et pourtant c’était vraiment facile à lire
Les catastrophes de Fukushima et de Deepwater Horizon étaient toutes deux des défaillances en fermeture Éclair, et elles montrent un manque de réflexion du type « si X tombe en panne, que se passe-t-il ensuite ? »
L’important ici, c’est « quand X tombe en panne », pas « si X tombait en panne ». L’état d’esprit est différent
Et pourtant, sur HN, on voudrait une analyse post-incident d’une panne cloud en quelques heures
Il existe une culture tournée vers l’amélioration plutôt que la simple recherche d’un coupable
Cela dit, d’après ce que j’ai entendu d’initiés, l’intégrité de la chaîne d’approvisionnement est un problème sous-estimé
Quelqu’un a été pris à vendre de fausses pièces d’avion avec des méthodes sophistiquées, et il y aurait d’autres fournisseurs suspects, ce qui est inquiétant
« Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate. »
https://www.businessinsider.com/scammer-fooled-us-airlines-b...
Pour n’importe quel mécanicien ou métrologue de fabrication un tant soit peu compétent, une erreur de concentricité de 0,5 mm sur une pièce de cette taille, c’est pratiquement l’équivalent de 0,5 mile
C’est une erreur énorme, visible à l’œil nu, et pas du tout d’une ampleur compatible avec une variation normale : c’est un signal clair qu’il y a eu un grave problème de réglage
Sur le plan, la tolérance d’alésage était de Ø 0,05 mm, mais elle est passée à Ø 0,5 mm sur le plan de fabrication sans aucune explication ; or la non-conformité du moyeu accidenté était de Ø 0,90 à 0,98, soit un décalage de 0,45 à 0,49 mm, donc l’équipement aurait dû le signaler
Les enregistrements CMM n’ayant pas été conservés, les enquêteurs n’ont pas pu vérifier si l’erreur avait effectivement été relevée
Si on ne connaît pas l’atelier d’usinage, l’impact est peut-être moins évident, mais avec de l’expérience c’est limpide. Beaucoup de gens dans cette usine devaient savoir qu’ils livraient des pièces hors tolérances
Toute personne ayant manipulé cette pièce aurait vu immédiatement que le lamage était fortement décentré, mais au lieu de la refaire ou d’en chercher la cause, ils ont apparemment fait un contrôle qualité purement formel, expédié la pièce, falsifié les documents et détruit les preuves
L’analyse est complexe, mais la cause profonde est très simple : une négligence flagrante, puis une tromperie flagrante pour la dissimuler
Dans ce cas, on se demande : « pourquoi faire l’usinage de finition après avoir soudé le tube en place ? »
Il était peut-être plus simple ou plus rapide de l’usiner une fois fixé au moyeu
Et puis, n’y avait-il pas aussi un filtre à huile censé entrer à cet endroit ? Si le lamage était décentré, le filtre à huile n’aurait-il pas dû rencontrer une interférence ?
Je pensais qu’en fabrication de turbines, les gens étaient plus attentifs que ça
Il y a 30 ans, j’ai vécu un atterrissage d’urgence à cause d’une panne moteur
L’équipage nous faisait enlever nos chaussures, répéter la position de sécurité et changeait la répartition des passagers ; ce qui m’a le plus marqué, c’est que tout le monde suivait les consignes
Il n’y avait personne en mode ego, et tout le monde comprenait pourquoi le personnel de cabine était là, et à quel point il était essentiel à la survie
L’évacuation s’est faite dans l’ordre, mais la suite a pris du temps. Par exemple, tous les passeports étaient restés à bord
Récemment, j’ai vu des photos de gens qui s’échappaient par le toboggan avec leurs bagages ; cela semble extrêmement dangereux, à la fois sur le toboggan lui-même et parce que ça ralentit l’évacuation
À notre époque, il n’y avait pas de feu dans la cabine, mais je me demande ce qu’il en aurait été sinon
Et ce cliché des médias qui braquent leurs caméras pour capturer des visages terrorisés : oui, ça arrive vraiment
Ni bagages, ni chaussures, juste son corps
Mais certains l’ignorent, et des gens peuvent vraiment être blessés à cause de ça
Cela dit, quand on pense à la façon dont les gens réagissent dans d’autres situations, c’est presque surprenant qu’autant de personnes suivent effectivement les consignes
En descendant d’un avion, nous agissons d’ordinaire en mode « je récupère toutes mes affaires »
C’est aussi pour ça qu’il est important d’écouter le briefing de sécurité, même si on l’a déjà entendu. La répétition permet de se souvenir de ce qu’il faut faire quand le stress monte
On reste simplement assis à attendre que les bagages et effets personnels soient débarqués, puis on attend un autre vol ?
Ce genre de scène me met vraiment en colère
Mon premier poste était dans une MRO qui révisait des moteurs un peu plus petits que le Trent 900, et le principe était le même
J’y ai créé un logiciel d’assurance qualité qui numérisait des formats et des procédures de signature similaires à ceux que l’article décrit comme n’ayant pas été correctement signés
Les ingénieurs de maintenance avec qui je déjeunais avaient un puits de connaissances très profond sur les moteurs ; un seul sujet suffisait à remplir toute la pause déjeuner, et la conversation se poursuivait parfois pendant des semaines
Un passage de cet article vise des points très subtils, comme l’absence de signature ou le fait qu’un ingénieur ne connaisse pas la procédure. Sur ce point, je pense que les critiques envers Rolls-Royce sont justifiées
Le responsable assurance qualité de la MRO où je travaillais était une sorte de catastrophe naturelle, quelqu’un de redouté et d’intransigeant
C’était aussi la personne habilitée à signer un arrêt moteur en vol, et je le respecte encore aujourd’hui
De petits problèmes comme ceux-là surviennent tous les jours sur tous les modèles de moteurs dans le monde. Même à cet instant, des milliers de moteurs en vol présentent de petits défauts susceptibles de provoquer un arrêt
Certains problèmes sont identifiés, approuvés comme présentant un faible risque, et laissés pour inspection lors de la prochaine révision
Quand un ingénieur qui a déjà vu à répétition le même défaut, des conduites fissurées prématurément, des dépôts de carbone ou une corrosion anormale remonte un document, ce document remonte dans la hiérarchie puis reste là
Il peut être ignoré, servir de référence pour la prochaine conception, être classé comme devant être corrigé, passer sous surveillance ou faire l’objet d’une surveillance plus fréquente
La durée de vie de la pièce peut être réduite, ou une inspection non destructive peut être imposée à chaque révision
Ces systèmes sont si complexes qu’il y a forcément toujours quelques problèmes, c’est pourquoi le modèle du fromage suisse s’applique remarquablement bien
Concernant Qantas, l’article mentionne vers la fin que l’appareil a été réparé à grands frais ; Qantas est fière de n’avoir jamais perdu de cellule
Même un avion dépassant la limite de réparation économiquement viable est réparé pour préserver ce bilan
Je me souviens très bien qu’au moment du QF32, tout le monde était complètement sous le choc. Parce qu’on considérait qu’une chose pareille n’arrivait “jamais” à Qantas
[1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
Avec un tel niveau de signatures manquantes, on se serait fait écorcher vif, et l’auditeur aurait très probablement retourné l’entreprise pour chercher d’autres problèmes
Cela aurait pu déboucher sur un échec majeur de l’audit, voire sur le retrait pur et simple de la certification qualité
Ensuite serait venu l’audit du client — en l’occurrence Rolls-Royce — avec des questions embarrassantes pour la direction, une vérification du respect de la procédure de concession entre entreprises, et en interne une remise en question du type : “ces gens devraient-ils vraiment fabriquer cette pièce ?”
D’après ce que j’ai lu ici, Rolls-Royce n’a pas exercé une pression suffisamment forte sur son sous-traitant en matière de qualité, et a été étonnamment laxiste
Au vu de ce que j’y ai observé, je me suis demandé comment l’innovation pouvait y émerger, pourquoi il n’y avait pas bien plus de “fuck-you-shima” chaque année, et comment il se faisait que les moteurs d’avion n’explosent pas tous les jours
Si je me souviens bien, le contrôleur moteur du B777 est encore en m68k. Une architecture abandonnée depuis 1995
J’étais à bord de cet avion, et c’est moi qui ai pris la photo citée dans l’article comme “photo prise par un passager pendant le vol, montrant le trou de sortie des débris de turbine sur l’extrados de l’aile. (ATSB)”
Peu après, j’ai délibérément repris un autre A380, pour ne pas perdre confiance dans la sûreté de l’ingénierie
Psychologiquement, le choix de remonter tout de suite à bord était peut-être le plus judicieux
Le texte est complexe et bien écrit, mais le ton triomphaliste et les louanges sans fin sur la sécurité laissent un peu perplexe
Personne n’essaie de vendre quoi que ce soit, mais certains passages donnent l’impression d’une présentation commerciale
Si vous l’avez lu comme moi, vous avez sans doute tiqué à plusieurs endroits en vous disant « hum… ». En réalité, certaines choses n’ont tout simplement pas bien fonctionné
Par exemple, un logiciel de calcul jamais testé avec des données anormales, un ordinateur qui a continué à faire tourner un moteur endommagé, la chance que le réservoir de carburant soit presque plein et n’ait donc pas explosé, ou encore l’absence d’un interrupteur d’arrêt physique pour couper le moteur
Il y a eu « largement » une heure pour traiter toutes les checklists, pendant laquelle passagers et équipage ont tenu bon au-dessus d’une mare de carburant en espérant que rien ne s’enflamme
Enfin, la direction dans laquelle les débris sont partis relevait elle aussi du pur hasard
Cela ressemble moins à une histoire de couches de sécurité superposées qu’à une histoire de couches de hasard superposées
Je serais vraiment curieux de connaître la distribution des résultats pour toutes les trajectoires possibles des débris, autrement dit à quel point ils ont réellement eu de la chance — ou pas
Les entreprises ne publieront sans doute jamais ce genre de modèle
Et la conception qui impose de percer avec précision un tuyau pourtant intact à cause d’une chambre spéciale pour le filtre à huile ne me plaît pas non plus
Si j’ai bien compris, on ne peut de toute façon pas faire la maintenance sans tout réinstaller, alors pourquoi ne pas en avoir fait une seule pièce ?
Parce qu’il existait une culture consistant à revenir sur des accidents antérieurs comme UA232, où la perte d’un seul moteur avait entraîné la perte de toutes les commandes de vol, le système de pilotage de l’A380 a été conçu pour résister à des dommages plus importants, et cela a effectivement fonctionné
En revanche, je suis d’accord sur le fait que le texte n’insiste pas assez sur les points à améliorer
Un moteur piloté par ordinateur qui, alors qu’il brûle, continue pendant 60 secondes à faire tourner trop vite des pièces dangereuses aurait probablement dû être traité en amont
Le procédé de fabrication du moteur semble bien trop complexe pour être réellement vérifiable
Le fait que le système de gestion des défauts n’affiche qu’un ou deux avertissements à la fois alors qu’il y en a 40 est aussi un problème
Il ne faut pas laisser l’automatisation prendre seule une décision aussi grave qu’un arrêt moteur ; cela doit relever du pilote
Quant à l’absence supposée d’un interrupteur d’arrêt physique, il existait en réalité un mécanisme qui coupait l’arrivée de carburant via une vanne. C’est simplement ce « kill switch » qui avait été endommagé
S’il y avait le temps de dérouler toutes les checklists, n’est-ce pas plus sûr de laisser le pilote décider de le faire ?
Que la direction des débris ait été aléatoire est inhérent au type de panne. C’est un peu comme se plaindre, dans un datacenter, du fait qu’on ne peut pas prédire quel HDD va tomber en panne
Les données sur toutes les trajectoires possibles des débris ne sont pas publiques, mais les trajectoires favorables sont bien analysées en phase de conception, et les éléments de structure comme les systèmes sont séparés en conséquence
Dans les anciens accidents aériens, une erreur unique ou la défaillance d’un seul composant entraînait souvent la mort de dizaines de personnes
C’est aussi dans ce contexte qu’est née la règle du sterile flight deck, en réponse à des accidents où les pilotes étaient distraits par des bavardages
Dans l’aviation moderne, ce genre de chose semble arriver beaucoup plus rarement
Même avec un moteur qui explose et des débris qui déchirent la moitié des câbles, l’aile, les réservoirs de carburant et l’hydraulique, l’avion est resté presque entièrement contrôlable et a pu atterrir
Essayons la même chose sur une voiture sans redondance et voyons combien de temps elle tient
La beauté de l’aviation, c’est que tout le monde apprend des erreurs et essaie de construire par-dessus
Cet événement aussi, bien qu’il n’ait fait aucun mort, a conduit à des mesures qui rendront les vols futurs plus sûrs
Malgré les pressions commerciales, il y a eu des efforts systématiques et délibérés pour améliorer la sécurité aérienne
Le modèle du fromage suisse signifie justement qu’il faut qu’un grand nombre de couches aléatoires s’alignent
Une bonne partie de ces couches proviennent d’accidents précédents et ne sont pas du tout aléatoires. Bien sûr, aucune couche n’est sans trous
Si ce disque s’était désintégré autrement, d’autres couches auraient pu entrer en jeu
Y aurait-il pu avoir des morts ? Oui. L’avion aurait-il explosé immédiatement ? On ne le sait pas
Mais il est assez clair que, sans ces couches, la probabilité d’un résultat bien plus terrible aurait été nettement plus élevée
[0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
C’est ce passage qui m’a le plus sidéré
Bien sûr, il y a aussi eu de la pure chance. Les disques auraient pu couper l’avion en deux ou blesser mortellement quelqu’un sur leur trajectoire, mais ils ont évité la majeure partie de la cellule
Il faut être reconnaissant pour chacun de ces coups de chance
Il est difficile de ne pas voir positivement un événement qui s’est terminé avec 0 mort et 0 blessé
Traiter quelqu’un de « trésor national » peut sembler cliché, mais Admiral Cloudberg va encore plus loin : c’est un trésor mondial
Kyra a écrit énormément d’excellents textes sous ce nom de plume
Quel que soit l’article choisi au hasard, on y apprend quelque chose
https://news.ycombinator.com/from?site=admiralcloudberg.medi...
C’est ce genre de chose qu’on devrait diffuser au lieu des déchets sensationnalistes qu’on voit à la télévision aujourd’hui
Il existe des pilotes hors du commun capables d’accomplir leur mission même sous une pression énorme
Le vol United 232 est un cas encore plus extrême que celui de cet article
https://en.wikipedia.org/wiki/United_Airlines_Flight_232
« Bien qu’il y ait eu des morts, cet accident est considéré comme un bon exemple de gestion des ressources de l’équipage. La grande majorité des personnes à bord ont survécu, et même des pilotes d’essai chevronnés sur simulateur n’ont pas réussi à reproduire un atterrissage viable. Il est considéré comme l’un des atterrissages les plus impressionnants de l’histoire de l’aviation et a été surnommé “l’atterrissage impossible”. »
L’avion avait perdu toute son hydraulique et a dû être piloté uniquement avec les moteurs pour finir en atterrissage forcé
L’un des pilotes regarde la caméra droit dans les yeux et raconte l’histoire
https://www.youtube.com/watch?v=nf33RDu_D6M
« Les secours n’ont identifié l’épave du cockpit et les quatre membres d’équipage encore vivants à l’intérieur que 35 minutes après le crash »
Il est difficile d’imaginer attendre les secours pendant 30 minutes sans même savoir si des passagers ont survécu
https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...
Je suis presque obsessionnellement accro aux analyses d’accidents aériens de Mentour Pilot
Il traite aussi ce cas ici avec plus de profondeur
https://www.youtube.com/watch?v=JSMe1wAdMdg
Les articles d’Admiral Cloudberg sont plus proches de Columbo. On vous dit d’abord ce qui s’est passé, puis on remonte le temps pour retrouver et expliquer les petits détails qui en ont été la cause
D’une certaine manière, c’est bien plus logique
Mentour Pilot doit sans cesse dire « retenez bien ça, ce sera important plus tard »
Mais comme on ne sait pas pourquoi c’est important, on ne le retient pas, et au final le récit est moins clair
J’ai découvert sa chaîne au cours de l’année écoulée, et j’apprécie particulièrement ce qu’il propose du point de vue d’un pilote
Si vous avez aimé cet article, il y a de bonnes chances que vous aimiez aussi Air Disasters
Selon les régions, l’émission est aussi connue sous les noms Air Crash Investigations ou Mayday
C’est assez détaillé et basé sur les rapports d’accident, sans tomber dans le sensationnalisme, mais ça ne va pas aussi loin que cet article
Ce qui m’a frappé, c’est à quel point la plage de vitesse de sécurité était étroite à l’approche de l’atterrissage
Il n’y avait que 3 à 4 nœuds entre la vitesse de décrochage et la vitesse maximale pour ne pas dépasser la piste
Compte tenu de tout le reste que l’équipage devait gérer, réussir à poser l’avion en sécurité relève vraiment d’un excellent pilotage
En fait, l’alarme de décrochage s’est déclenchée juste avant le toucher, donc ils ont pratiquement fait cela
À la lecture de l’article, les calculs semblaient assemblés de manière assez improvisée avec plusieurs overrides, donc ils ont probablement abordé cela avec prudence, certaines hypothèses pouvant nécessiter une marge d’erreur
C’est un article étonnant et remarquablement bien écrit
Bravo à l’équipe des opérations de Qantas, et en particulier aux pilotes. Ils savent clairement ce qu’ils font
Bravo aussi à l’équipe d’ingénierie d’Airbus. C’était une formidable victoire des systèmes redondants
J’ai aussi trouvé intéressant que les calculs d’arrêt aient été améliorés dans le cadre de l’analyse a posteriori