En ce qui concerne l'information de position "traversgauche ANDLO", on remarque qu'elle n'est pas conforme à la phraséologie réglementaire. Elle est ambiguë, car la notion de droite ou de gauche peut être référencée soit à la trajectoire de l'avion ("vous avez ANDLO par votre travers gauche", soit à l'orientation de la carte radar" je vous vois au travers gauche d'ANDLO sur mon écran". Selon son témoignage, le contrôleur voulait indiquer à l'équipage : "vous avez le point ANDLO par votre travers gauche". Elle aurait dû être formulée ainsi:"... position quatre nautiques nordouest ANDLO".

L'avion est en rapprochement approximativement dans le 330° d'ANDLO lorsque le contrôleur autorise l'équipage à effectuer l'approche finale (voir CVR, temps QAR 2991). Cette autorisation signifie que le guidage radar est terminé. Elle est assortie d'une information de position, qui utilise à nouveau l'expression "travers (droit) „. Cette information de position est donnée en application de la Réglementation de la Circulation Aérienne RAC-3-10-05 § 3.3.3, concernant le guidage radar : "Lorsque l'aéronef à l'issue du guidage radar a rejoint (ou est sur le point de rejoindre) un cheminement radiobalisé usuel, la position de l'aéronef sera précisée au pilote".

Dans la logique précédente, en donnant l'information de position "travers droit ANDLO", le contrôleur voulait indiquer à 1 'équipage : "vous avez le point ANDLO par votre travers droit". Comme cela a déjà été noté, elle n'est pas conforme à la phraséologie réglementaire, et elle est ambiguë. L'équipage n'a cependant fait aucun commentaire.

22.634 - La Mise en descente

Sans qu'il soit possible d'établir formellement une relation directe de cause à effet, on remarque

qu'immédiatement après l'accusé de rédeption de l'autorisation d'approche le commandant demande au copilote de mettre l'avion en configuration 2 („flaps vers deux") puis débute la descente à 11 NM de STR. A cet instant, l'avion n'est pas aligné sur l'axe d'approche. Il est approximativement sur le radial 060 soit encore à environ 10° de l'axe.

On peut remarquer d'ailleurs que les initiatives des deux changements de configuration effectués semblent s'appuyer plus sur les messages du contrôle que sur une perception claire et anticipée des segments de la procédure. La configuration 1 devait être établie avant la fin de l'éloignement : on constate que l'équipage a conservé un vitesse élevée (230 Kt) et que ce changement de configuration suit d'une vingtaine de secondes le début du virage à gauche demandé par le contrôle. On constate de

251

même que le passage en configuration 2 est commandé 7 secondes après l'autorisation "Air Inter Delta Alpha, travers droit ANDLO, autorisé à l'approche finale".

Il ressort de ce constat que le commandant s'est probablement entièrement reposé sur le contrôleur à partir de l'instant où celuici lui a proposé un guidage radar pour revenir sur ANDLO. C'est le copilote qui attire son attention sur la nécessité de desserrer le virage. En fin de virage de procédure, l'équipage focalise probablement son attention sur la navigation latérale. L'autorisationd'approche finale paraît être l'événement déclenchant la décision de mise en configuration de l'avion et de mise en descente. Elle a pu faire l'effet d'une autorisation de descente, alors que la décision de mise en descente était de la seule responsabilité de l'équipage.

Quelques secondes plus tard (voir CVR, temps 3019), le contrôleur demande à l'équipage de rappeler le VOR en finale. Le copilote en accuse réception. C'est le dernier échange entre le contrôle et l'équipage.

Bien que le guidage radar ait pris fin (voir § 111.32), la commission a tenté d'évaluer si, compte tenu de la précision de la piste radar, la position du plot et l'indication d'altitude pression du F-GGED auraient pu alerter le contrôleur.

L'image visualisée sur l'écran du contrôleur d'approche de Strasbourg n'est pas enregistrée. Le témoignage du contrôleur (cf § 120.5) indique qu'il avait sélectionné l'échelle 5ONM. Des mesures réalisées sur une image réglée à cette échelle montrent qu'un avion situé à 10 NM de l'aéroport de Strasbourg est représenté par un plot d'environ 3 mm de large, soit environ 1NM à 1 'échelle; à 20 NM le plot a une largeur d'environ 5 mm, soit environ 1,5 NM à l'échelle (le diamètre de l'écran est d'environ 35 cm). Compte tenu des trajectographies obtenues à partir des pistes radars enregistrées, le centre du plot était donc probablement légèrement au nord de l'axe d'approche affiché sur l'écran, sans que cela puisse être considéré par le contrôleur comme significativement anormal. De plus, à cet instant, l'appareil était encore approximativement sur le plan de descente nominal. L'information issue de l'alticodeur et affichée sur l'écran n'indiquait donc, a priori, aucune anomalie de trajectoire. D'autant plus que pour un avion descendant à 3000 ft/mn, le niveau lu par le contrôleur est supérieur d'environ 500 ft au niveau réel de l'avion. En conséquence ce n'est qu'au mieux dans les vingt dernières secondes de vol qu'une situation anormale aurait probablement pu être détectée.

252

22.64 - Conclusion

Le contrôle d'approche avait prévu que le F-GGED effectue une approche VOR DME 05 directe. Pourtant, ni le trajet d'arrivée à Strasbourg ni le type d'approche n'ont été clairement indiqués à l'équipage. Le quiproquo concernant la procédure d'approche aurait été évité par une formulation précise de la route prévue par le contrôle pour ce vol.

Contrairement à ce qui avait été proposé par le contrôleur, le guidage radar n'a pas permis l'interception de l'axe d'approche à ANDLO. Dans ces conditions la phase d'approche intermédiaire a été tronquée.

A diverses reprises, la phraséologie utilisée n'a pas été conforme à la réglementation en vigueur. Cependant il n'est pas établi que les écarts constatés aient influé sur le déroulement du vol.

Le commandant n'avait pas envisagé. l'éventualité d'une approche VOR DME 05 directe. Le guidage radar proposé lui permettait d'écourter la procédure. il l'a immédiatement accepté et semble s'être contenté, en ce qui concerne le suivi de la navigation horizontale, d'exécuter les instructions données par le contrôleur jusqu'à la fin du guidage radar.

22.7 - Rapports équipage - environnement

22.71 - Introduction

Les circonstances connues de cet accident ont amené les enquêteurs à examiner l'éventuelle influence des conditions météorologiques sur la conduite du vol.

22.72 - Les conditions météorologiques

L'enquête a établi que la descente depuis le niveau de croisière vers l'altitude de 5000 pieds s'est tout d'abord déroulée dans un ciel pratiquement dégagé de nuages (quelques bancs d'altocumulus résiduels ont pu être rencontrés à une altitude voisine de 10000 pieds) , puis s'est poursuivie à partir de 6000 pieds environ dans une couche de strato-cumulus.

Il faisait nuit mais les conditions d'éclairement étaient probablement telles que léquipage a nettement perçu l'entrée dans la couche de nuages puisqu'elle s'est traduite par la perte de visibilité extérieure.

C'est très probablement ce constat qui a incité l'équipage à mettre en oeuvre les systèmes d'antigivrage des nacelles moteurs.

253

Les observations météorologiques et les témoignages recueillis sont concordants et indiquent que le vol s'est poursuivi dans la couche de nuages jusqu'à l'impact avec le sol. L'équipage n'avait donc aucune référence visuelle extérieure.

En ce qui concerne le givrage, il convient de noter que les témoignages recueillis auprès d'équipages ayant effectué l'approche peu avant ou peu après le F-GGED font état de conditions givrantes modérées conformes à l'exploitation des paramètres météorologiques disponibles. L'examen des enregistrements de paramètres moteurs et des moteurs euxmêmes a permis de réfuter totalement l'hypothèse d'une dégradation de leurs performances.

L'intensité du vent rencontré entre 5000 pieds et l'altitude de l'accident a été évalué à une vingtaine de noeuds (soit 35 km/h environ) et aucun phénomène de turbulence significative n'a été rapporté.

22.73 - Conclusion

Les conditions météorologiques rencontrées, sans être idéales du fait de l'absence de visibilité, ne présentaient pas en elles-mêmes un caractère dangereux.

254

CHAPITRE 2.3 - ANALYSE DES CONTEXTES REGLEMENTAIRE ORGANISATIONNEL, STRUCTUREL

Après avoir établi dans la mesure de son possible le scénario factuel de 1'accident (chapitre 21), puis avoir analysê les mécanismes sousjacents ayant directement ou indirectement contribué à produire, dans le temps de ce scénario, les anomalies constatées (chapitre 22), la commission a examiné les éléments de nature réglementaire, organisationnelle, socioéconomique ou culturelle, participant au contexte de l'exploitation du FGGED, et susceptibles d'avoir induit, favorisé ou permis l'action des mécanismes en question. La commission a notamment fait porter sa réflexion sur la compagnie Air Inter, les services de la DGAC chargés de sa tutelle technique, la certification de l'avion, le retour d'expérience.

23.1 - Le contexte lié à la compagnie Air Inter

23.11 - Les caractéristiques du réseau et de l'exploitation

23.111 - Les caractéristiques particulières du réseau et de l'exploitation d'Air Inter ont été rappelées au chapitre 17. La commission a noté en particulier la forte culture de respect des horaires et de contraction des temps de vol qui caractérise la compagnie, comme résultat notamment des attentes de la clientèle et de la concurrence des transports de surface. La prise en compte de ces contraintes s'est traduite, aux niveaux de la maintenance et du traitement des vols à 1 'escale, par la mise en oeuvre opérationnelle d'un dispositif particulièrement efficace et adapté aux solutions rapides. Au niveau des procédures d'utilisation des avions, elle s'est traduite par une pratique générale de descentes et d'approches rapides.

23.112 - La commission n'a pas trouvé dans son analyse du scénario et des mécanismes de l'accident d'éléments susceptibles d'être rapprochés de façon pertinente de ce qui précède. L'équipage du F-GGED n'était pas en retard (il était plutôt en avance sur son horaire d'une ou deux minutes). Le CVR ne comporte pas d'indication que la préoccupation de gagner du temps ait pu jouer un rôle important dans les choix stratégiques effectués au cours du vol et dans les difficultés rencontrées. Les seules allusions au temps de vol sont les suivantes:

- à 18h04mn, le commandant justifie auprès du

copilote son refus d'effectuer une approche VOR DME 05 par

la perte de dix minutes de vol par rapport à une approche

ILS 23. En fait ceci n'aurait été vrai que dans le cas où

la procédure complète aurait été effectuée. Un souci

255

systématique de gain sur le temps de vol aurait au

contraire incité le commandant à s'interroger sur les

possibilités d'approche directe en piste 05.

- à 18hl3mn44s, le contrôleur commente sa proposition

de guidage radar vers Andlo, qui vient d'être acceptée par

l'équipage, en disant: "voilà, ça vous fera gagner du

temps". En fait, le guidage radar conduit normalement à un

plus grand confort dans la conduite de l'approche.

23.113 - En revanche la commission a rapproché les conclusions négatives qui ont été tirées par Air Inter quand à la compatibilité du GPWS avec son exploitation quotidienne, et les particularités de cette exploitation évoquées plus haut. Elle a noté que la décision négative avait été prise au terme d'une expérimentation pratique approfondie conduite par la compagnie dans les années 1976 et 1977 sur le GPWS, en particulier à cause d'un taux excessif d'alarmes ne correspondant pas à une anomalie dangereuse de trajectoire. La réduction de ce taux aurait probablement imposé, en plus d'une évolution de la technique, une révision importante des procédures d'utilisation des avions en approche, et même de certaines procédures d'approche publiées. La commission considère en conséquence que cette culture de compagnie estun élément important de compréhension de la position négative prise par cette compagnie à l'égard du GPWS.

23.114 - Parmi les autres caractéristiques de l'exploitation d'Air Inter susceptibles d'être soulignées comme éléments de contexte pertinents, la commission a retenu la haute fréquence des vols, la répétitivité importante qui en résulte pour les actions de l'équipage, ainsi que la proportion considérable d'approches ILS par rapport aux approches de non précision. La répétitivité des vols induit inévitablement un fort effet de routine, particulièrement néfaste à la pérennité des annonces. La relative rareté des approches VOR/DME et autres approches "classiques" a certainement incité le système de formàtion de la compagnie à mettre l'accent surtout sur les approches automatiques de précision. Elle contribue peut-être à expliquer la réticence constatée chez le commandant de bord vis à vis de la perspective d'effectuer un telle approche pour la piste 05.

23.12 - Les effets indirects du climat social

23.121 - La commission a noté qu'à Air Inter, la mise en service de l'avion s'était effectuée dans un climat social tendu, du fait du rejet par une partie des navigants techniques d'un avion conçu pour un équipage à deux. Dans ce contexte, antérieur au développement de 1'A320, les positions se sont radicalisées à propos de cet avion. L'argument de la sécurité fortement invoqué pour justifier l'équipage à trois, en résonance avec les nombreuses

256

difficultés rencontrées dans la mise au point technique de l'avion dans la première année d'exploitation, et l'accident survenu à Habsheim en juin 1988, ont induit une atmosphère de suspicion sur 1 'avion et sa sécurité. Des rumeurs se sont développées sur des comportements fantasques des automatismes, qui ont amplifié certaines réticences individuelles visàvis de l'innovation importante représentée par ce type d'avion dans cette compagnie.

23.122 - La commission a retenu dans sa réflexion que ce climat particulier avait pesé ou pu peser dans les décisions, positions, ou attitudes suivantes prises par les responsables de la compagnie Air Inter:

- la décision de traiter l'A320 comme un avion à

part, en utilisant pleinement le principe, traditionnel

dans la compagnie, d'une structure spécifique pour sa prise

en charge technique et opérationnelle, et en mettant en

place un système de formation des équipages de haut niveau

(cf § 23.131 ci-après) de façon à minimiser les risques

d'échec;

- le recours traditionnel au volontariat, possible

jusclulen janvier 1991, pour la désignation des pilotes

appelés à passer sur A320 a entraîné un tri de fait des

pilotes les plus motivés, ou se sentant les plus capables,

pour la première période de formation. A partir de la mi

1991, l'arrivée en formation des autres pilotes,

principalement en provenance du secteur Caravelle 12 en

extinction, a conduit à quelques difficultés, qui ont été

compensées par l'allongement de l'adaptation en ligne, qui

est passée de cinq à sept vols;

- la décision de ne pas choisir l'option GPWS, malgré

son faible coût compte tenu du précablage de série. Cette

décision a été argumentée par le souci de conserver

l'homogénéité de la flotte. Compte tenu de la structure

spécifique mise en place pour cet avion, y compris sur le

plan de la maintenance, il pourrait bien s'agir d'un souci

plus psychologique que technique: ne pas traiter sur ce

point l'A320 différemment des autres appareils de la flotte

pour ne pas offrir de point d'appui à la polémique sur le

niveau de sécurité de l'appareil en équipage à deux;

- une politique de diffusion restrictive de

l'information concernant les difficultés techniques et

opérationnelles rencontrées dans la mise en oeuvre et

l'exploitation de l'avion, et une mise en avant des

résultats techniques positifs obtenus en exploitation

(1989 et 1990, Air Inter a reçu d'Airbus Industrie

la récompense de la meilleure exploitation technique

de 1'A320) .

257

23.123 - D'autre part, ce climat a pu peser sur chaque navigant de la compagnie, en , l'obligeant souvent à prendre parti. Dans ce contexte, d'éventuelles difficultés en cours de conversion sur A320 étaient susceptibles d'être interprétées comme une prise de position.

23.13 - Eléments concernant la formation

23.131 - La commission a cherché à évaluer la qualité de la formation dispensée aux pilotes du F-GGED dans le cadre de leur qualification de type A320 à Air Inter. Son impression générale est que ce programme de formation semble globalement se situer au sommet de ce qui se fait dans ce domaine au plan international.

23.132 - Ses points forts sont essentiellement l'utilisation conjointe d'enseignement assisté par ordinateur (EAO) et de cours en salle par des instructeurs techniques pour la formation théorique, le nombre total d'heures de cours (55h pour l'étude des systèmes) et de simulateur (44h de FBS et 32h de FFS), le module de complément technique après un mois d'expérience en ligne. Ses points faibles sont résumés dans un certain déséquilibre des ef forts investis dans la connaissance des systèmes (ce qui reste évidemment un objectif normal de toute qualification de type) et des procédures dl urgence/ secours et d'approche de précision, au détriment de l'utilisation "normale" de l'avion. or en pratique les problèmes graves, et en particulier les accidents, rencontrés sur cette génération d'avion semblent résulter plus de mauvaises utilisations de systèmes par ailleurs dans leur état de fonctionnement normal que des conséquences de défaillances techniques graves.

23.133 - L'entraînement aux approches classiques est dimensionné à partir du postulat que le savoir faire déjà possédé par les pilotes dans ce domaine sera transféré sans problème particulier sur A320. Un total de quatre approches est prévu au programme pour cette adaptation de compétence. Or l'approche VOR DME sur A320 présente deux spécificités: il n'existe pas de mode latéral de pilote automatique couplé sur le VOR, et il existe par contre un mode de pilote automatique ou de directeur de vol couplé sur un plan de descente sélectable (FPA).

L'utilisation de cette nouvelle fonction comporte, comme toute fonction, ses difficultés et ses risques d'erreur spécifiques. Certaines compagnies en ont proscrit l'utilisation plutôt que d'en enseigner le mode d'emploi. De plus, les approches classiques sont des approches rarement effectuées en ligne, ce qui conduit à un sous entraînement chronique des équipages dans ce domaine. La commission a donc estimé qu'il existait un besoin de renforcement de la formation aux approches classiques lors

258

des qualifications de type sur avion de nouvelle génération, par rapport au programme de la compagnie Air

Inter.

23.134 - La commission a noté l'existence chez Air Inter d'un stage préparatoire à la qualification de type proprement dite (le stage STAN). Ce stage a été conçu globalement comme un module de formation technique académique sur l'électronique, l'automatique, les automatismes et l'avionique moderne. Il est destiné aux pilotes et aux techniciens de la compagnie et se veut un outil de démythification de l'avion pour les pilotes qui découvrent ces techniques de nouvelle génération. Cependant il n'est pas exclu que cet effort de démythification se soit révélé en quelque sorte trop efficace pour certains pilotes. En particulier, on peut se demander si certains pilotes de la deuxième période, ceux qui avaient une approche moins motivée et peutêtre aussi moins rationnelle de l'avion, ne sont pas passés à cette occasion de la méfiance systématique à une confiance systématique dans certains automatismes particulièrement pratiques.

La commission a en revanche hautement reconnu (cf en particulier § 22.23) l'ampleur de la transition représentée par le passage sur un avion du type de 1'A320 pour un pilote n'ayant qu'une expérience d'avion classique de conception ancienne, et de pilotage en équipage à trois. Elle soutient en conséquence le principe d'un module d'adaptation pour les pilotes effectuant leur première transition sur un avion de nouvelle génération. Elle considère cependant que ses objectifs devraient être différents de ceux poursuivis par le stage STAN, et devraient être centrés sur une présentation fonctionnelle de la conception et de la philosophie d'utilisation des automatismes de haut niveau, ainsi que sur les modifications et les problèmes qu'ils induisent dans le travail de l'équipage: gestion des anomalies de fonctionnement, problèmes de surveillance, de surconf iance, de conscience de la situation réelle et de communication entre pilotes, caractère critique du contrôle mutuel.

23.2 - L'exercise de la tutelle de la DGAC sur Air Inter

23.21 - Le contrôle de la DGAC sur l'exploitation de l'A320 à Air Inter

23.211 - La commission a mis en évidence dans différentes parties de son analyse un certain nombre d'anomalies dans la performance de léquipage. Elle a relevé en particulier l'absence d'annonces sur les valeurs de consigne, sur le changement de mode de pilotage automatique, et sur le contrôle vertical de la trajectoire dans la phase finale du vol. Elle a également relevé dans

259

cette phase la mise en descente de 1 'avion alors que celui ci se trouvait encore à environ dix degrés de 1'axe

d'approche prévu par la procédure.

La réglementation française et celle des grands pays aéronautiques prévoit que le niveau professionnel des équipages est déterminé et vérifié par l'exploitant lui même (à l'issue des phases de qualification de type et d'adaptation en ligne, et lors des contrôles annuels réglementaires). Parailleurs, l'efficacité de ce contrôle est en principe surveillée par la DGAC dans le cadre de l'exercice de sa tutelle technique.

23.212 - La commission a donc cherché à recueillir le jugement porté sur les pilotes du F-GGED par le système de formation, de maintien et de contrôle des compétences de la compagnie ellemême, puis elle a cherché des références externes d'évaluation de l'efficacité globale de ce système.

La commission a en conséquence examiné les modalités de l'exercice du contrôle exercé par la DGAC sur l'exploitation de l'A320 à Air Inter. La description de ces modalités figure au paragraphe 17.3 du présent rapport. Comptetenu de la rareté des documents d'inspection ou de contrôle en vol existants pour ce qui concerne cette compagnie, la commission n'a pas été en mesure de déterminer si la contreperformance de cet équipage était purement conjoncturelle, ou bien au contraire liée à une dérive au sein de la compagnie. Plus généralement, elle a relevé un certain nombre d'indices d'insuffisances ou de difficultés dans l'exercice de la tutelle de la DGAC sur la compagnie.

23.213 - En ce qui concerne le rôle tenu par le SFACT, elle a noté en particulier :

- que l'agrément des instructeurs chargés du contrôle de compétences prévu par la réglementation, était vécu par les responsables concernés d'Air Inter comme une pure formalité administrative dépourvue de fonction réelle de sécurité. Ceci a conduit au fait qu'aucun instructeur n'a été agréé pour ces contrôles par le SFACT entre 1988 et février 1992, alors que dans le même temps, aux termes de l'accord d'entreprise, leur nomination était prononcée au sein d'Air Inter à l'ancienneté;

- que les contrôles d'exploitation, effectués par des personnels ingénieurs et destinés à vérifier l'application et l'adéquation des procédures prévues par la compagnie, étaient vécus par les personnels navigants techniques d'Air Inter (et d'autres compagnies françaises) comme des contrôles de leur propre compétence, et refusés comme tels au nom de l'incompétence des personnels contrôleurs;

260

- que 1 'information du SFACT par Air Inter concernant les difficultés rencontrées dans l'exploitation de l'A320, en particulier dans le cadre du compterendu d'exploitation demandé par la réglementation au terme de la première année d'exploitation d'un avion de plus de quarante tonnes piloté à deux, était restée minimale;

23.214 - En ce qui concerne 1'0CV, dont la fonction centrale concerne le niveau professionnel des équipages, la commission n'a pas conscience de difficulté d'acceptation analogue à celles évoquées cidessus. Elle a noté cependant deux facteurs susceptibles de limiter l'efficacité de la surveillance et des contrôles exercés par l'OCV sur une compagnie comme Air Inter.

Le premier concerne le statut même des pilotes en fonction à 1'0CV. Leur double appartenance à l'OCV et à une compagnie aérienne garantit leur compétence mais rend plus délicat l'exercice d'une surveillance formalisée, forte et indépendante, vis à vis de leur propre compagnie.

Le second facteur qui limite les possibilités de surveillance effective de l'OCV concerne ses moyens, et en particulier ses effectifs, qui ne lui permettent pas de procéder à des sondages en vol sur le niveau professionnel des équipages de tous les exploitants à une fréquence adaptée.

Dans les faits, 1'0CV n'a pratiqué aucun contrôle en ligne formel sur A320 à Air Inter entre la fin de 1988 et 1 'accident. Au terme de la phase de mise en ligne, la seule évaluation directe dont a disposé lOCV sur le niveau professionnel des équipages d'Air Inter volant sur A320 venait de la pratique quotidienne de l'exploitation de l'A320 par un piloteinspecteur de 1'0CV par ailleurs commandant de bord A320 à Air Inter.

La commission a le sentiment que ce système de contrôle n'était pas en mesure de détecter une éventuelle dérive dans les pratiques de l'exploitation quotidienne en ce qui concerne les annonces faites par les équipages.

23.215 - Globalement la commission retire l'impression que les potentialités et la réalité de la surveillance opérationnelle exercée par la DGAC sur une compagnie de la taille d'Air Inter sont très limitées. Cette compagnie n'a jamais fait l'objet d'une inspection globale SFACT/OCV et la dernière inspection sectorielle ayant donné lieu à un rapport paraît remonter à 1984. Il semble à cet égard que l'encadrement et les personnels navigants de cette compagnie perçoivent le rôle du SFACT comme limité à la gestion des textes réglementaires, et manifestent certaines réticences à l'exercice par ce service de ses fonctions de contrôle de l'application de la réglementation. En outre, le contrôle en vol exercé par l'OCV semble dans la pratique principalement orienté vers

261

les petites compagnies, et manquer de formalisme en ce qui concerne les grandes. Ainsi la commission d'enquête n'a pas eu connaissance de rapports écrits récents lui permettant de connaître l'appréciation portée par 1'0CV sur la performance en ligne des équipages d'Air Inter éventuellement contrôlés.

23.216 - Bien qu'elle n'ait pas pu effectuer de comparaison avec d'autres pays, la commission a le sentiment que la faiblesse de l'autorité extérieure de contrôle est préjudiciable à la sécurité de fonctionnement d'un système aussi complexe qu'une grande compagnie aérienne, quelle que soit par ailleurs la qualité de ses personnels et la rigueur de son organisation.

La commission considère également qu'une formalisation rigoureuse des contrôles effectués est indispensable pour permettre aux dirigeants de l'entreprise de s'assurer le cas échéant que des mesures correctrices ont été prises.

23.22 - La réglementation concernant le GPWS

23.221 - La commission s'est interrogée sur les raisons qui ont pu conduire la DGAC à ne pas traduire dans les règles opérationnelles françaises la norme adoptée en 1978 par l'OACI dans son Annexe 6 concernant l'obligation d'emport d'un dispositif avertisseur de proximité de sol (GPWS) pour certains types d'avions. Parmi les facteurs susceptibles d'avoir initialement influencé cette décision, la commission a noté :

- les limites opérationnelles du dispositif mises en évidence par les expérimentations conduites par le CEV dès 1975 : taux élevé de fausses alarmes ou d'alarmes non justifiées par un risque réel, absence d'anticipation dans l'axe de la trajectoire conduisant dans certains cas à des alarmes trop tardives, problèmes de compatibilité des manoeuvres d'évitement suscitées par les alarmes avec le contrôle de la circulation aérienne;

- la position réservée exprimée par la communauté aéronautique française consultée par le SFACT en 1976 sur un projet de réglementation, position confirmée par Air Inter à la suite d'essais pratiques approfondis effectués en 1976 et 1977 sur Mercure et sur A300 sur le réseau de la compagnie;

- la réticence de principe de la DGAC à promouvoir une obligation d'emport pour un équipement protégé par le dépôt d'un brevet industriel;

262

23.222 - Le développement d'une réglementation opérationnelle européenne (JAR OPS) prévoyant l'obligation d'emport du GPWS a créé, à partir de 1990, le contexte d'une révision de cette position nationale. Cependant la DGAC n'a pas jugé nécessaire de procéder à un amendement spécifique de la réglementation française sur ce point avant de procéder à la révision d'ensemble imposée par l'alignement sur le texte commun européen. A la suite du traitement d'un incident et d'une intervention de 1'0CV, le SFACT a seulement fait part à Air Inter en décembre 1991 de son étonnement devant le fait que, malgré les exigences prévues par les futures normes européennes, sa flotte ne soit toujours pas équipée de GPWS.

23.223 - La commission relève que l'influence excessive de la position exprimée par tel ou tel acteur dans le processus d'élaboration réglementaire pourrait conduire à une insuffisance réglementaire. En retour, pour les responsables de l'exploitation dans les compagnies, cette insuffisance pourrait se traduire par un manque d'éléments formels de décision nécessaires pour mettre en oeuvre une politique de sécurité compte tenu des contraintes existantes.

23.3 - La certification de l'avion

23.31 - Certification du système de pilotage automatique.

Dans son exploration des scénarios possibles de l'accident, la commission n'a pas pu totalement exclure (voir § 21.24, hypothèse N°3) la possibilité d'une défaillance de la chaîne de pilotage automatique, soit au niveau du bouton poussoir de sélection de référence de trajectoire, soit au niveau de la transmission de la valeur de consigne au FMGC. Elle a considéré cette hypothèse comme très peu probable, mais a cependant conduit, au delà du cas de l'accident, une réflexion plus généràlé sur la certification des pilotes automatiques, compte tenu de l'importance du sujet.

23.311 - Les principes de certification

23.311.1 - Le document ACJ 25-1309 (Advisory Circular Joint) fournit les éléments nécessaires d'interprétation et indique un moyen acceptable de démonstration de conformité aux exigences exposées par l'article correspondant du JAR 25 du règlement de certification européen des systèmes de pilotage automatique des avions de transport. Le concept central de cette interprétation est l'association entre la conséquence d'une panne et la probabilité d'occurrence maximum acceptable.

263

Ainsi, ce document définit les notions de conséquence catastrophique, critique, majeure, et mineure, et leur associe des fourchettes de probabilités d'occurrence, définies par des valeurs limites chiffrées et désignées respectivement extrêmement: improbable, extrêmement rare, rare, et probable. Ainsi les pannes à conséquence majeure doivent avoir une probabilité d'occurrence plus faible que 10-5 par heures de vol, les pannes a conséquence critique une probabilité plus faible que 10-7 par heure de vol, et les pannes à conséquence catastrophique 10-9 par heure de vol. Les mots "catastrophique" "critique", "probable" ou "improbable" prennent donc ici un sens différent et plus précis que dans le reste du rapport.

23.311.2 - Dans leur conception actuelle, les systèmes de pilotage automatique qui équipent les avions de transport ne détectent pas certains types de pannes telles qu'une éventuelle corruption d'une valeur de consigne sélectée par le pilote.

Le document de certification System Safety Assessment (SSA) du FMGS del'A320 envisage en particulier des „pannes non détectées par le système avec effet limité". La notion d'effet limité concerne le facteur de charge résultant et l'assiette latérale de l'avion et se rapporte à la seule analyse des effets directs de la panne des systèmes avion.

En fait, les conséquences à plus long terme de ces pannes dépendent évidemment de la capacitê,de l'équipage à détecter et à remédier en temps utile à leurs effets, capacité qui repose sur la surveillance exercée par l'équipage. L'étude d'acceptabilité de telles pannes par le certificateur prend donc en compte notamment la possibilité de correction de leurs effets par l'équipage, en fonction en particulier de la phase de vol. Ceci est vérifié lors des essais en vol dans le cadre d'une évaluation globale du système avion/procédures/équipage qui considère: le fait que la panne soit décelable ou non, le temps de sa détection, le délai (forfaitaire) de réabtion de l'équipage, et les effets de la procédure corrective effectuée (correctement) par l'équipage.

Au terme de cet essai, la panne est jugée décelable, ou non décelable. Si elle est jugée décelable, on évalue ses conséquences en tenant compte des possibilités d'action de l'équipage et des procédure prévues. Si elle jugée non décelable, on évalue ses conséquences sans réaction de l'équipage.

23.311.3 A titre d'exemple, dans le cadre du processus de certification de l'A320, les principes rappelés ci-dessus ont été appliqués pour l'évaluation de la,panne de FCU "corruption de la valeur de consigne VS ou FPA". Les effets d'une telle panne sont limités, au sens défini précédemment.

264

Au stade de l'évaluation en vol, cette panne a été jugée:

1) aisément décelable

2) aisément rattrapable.

On a donc supposé qu'il y avait reprise en main par l'équipage, et il a été montré alors que ce type de panne pouvait être classé comme ayant des conséquences mineures jusqu'à une hauteur d'occurrence de panne de 400 pieds, et qu'elle devait être classée comme ayant des conséquences "majeures" audessous de 400 pieds.

La probabilité prévisionnelle de ces pa nnes, telle qu'elle ressort de l'analyse de fiabilité des systèmes (105 par heure de vol) était donc compatible avec l'objectif de sécurité audessus de 400 pieds (classement "mineure") . Audessous de 400 pieds, cette probabilité n'est plus compatible avec la classification des conséquences ("majeure"). Le certificateur prend alors en compte le fait que le temps d'exposition à la panne au dessous de 400 pieds (environ une minute en approche) réduit le risque réel d'un ordre de grandeur par rapport à celui qui correspond à la période de référence normale (une heure) , ce qui rend la probabilité de panne acceptable dans le cas d'effets "majeurs".

23.312 - Analyse de l'expérience en service

En ce qui concerne les cas identifiés de dysfonctionnement du FCU qui peuvent être regroupés sous la dénomination "corruption de la valeur de consigne de descente sélectée au FCU, non détectée par le système et provoquant une stabilisation de la vitesse verticale à une valeur différente de celle voulue par le pilote", 1 'expérience en service connue au terme de la présente enquête conduit à une fréquence de l'ordre de 10-6 par heure de vol (un cas de FCU défectueux identifié avec certitude, ayant donné lieu à trois occurrences de corruption, pour environ un million quatre, cent mille heures de vol).

Cette fréquence constatée ne remet pas en cause la démonstration formelle de conformité. En effet celle-ci prend en compte une probabilité de défaillance non détectée du FCU (qui inclue moins d'une dizaine d'autres modes de défaillances) de 10-5 par heure de vol.

23.313 - Analyse des principes de certification

La commission s'est interrogée sur la validité du raisonnement sur le fond, c'est à dire sur la justification de la classification des conséquences de la panne d'un mode vertical du pilote automatique d'un avion quelconque dans certaines phases de vol, tout particulièrement en phases intermédiaire et finale d'une procédure d'approche dite classique.

265

On a vu que l'évaluation en vol conduisait à juger la panne détectable, ou non détectable. Cependant, en toute rigueur, la détection d'une panne par un équipage au bout d'un temps donné est une notion probabiliste au même titre que l'occurrence de la panne ellemême. La convertir en variable binaire (détectable/indétectable) revient à négliger, dans l'évaluation des conséquences, celles qui sont associées au choix complémentaire de celui qui a été retenu. Par exemple, décider la panne de FCU "aisément détectable" en approche finale revient à négliger, dans l'estimation de ses conséquences, toutes celles qui sont associées à sa non détection. De même, une fois la panne reconnue, sa correction convenable par l'équipage est également une notion probabiliste.

Or la conséquence d'une panne qui reste non reconnue, ou qui est mal traitée, est la perte probable de l'avion. Il conviendrait donc de s'assurer, dans le cadre de la certification, que le risque global correspondant à l'occurrence de la panne non reconnue, ou reconnue et mal traitée, est acceptable, au sens utilisé aujourd'hui dans les principes de certification, eu égard aux conséquences de ces événements.

La commission est consciente du fait qu'au stade actuel des connaissances, il ne pourrait s'agir d'une quantification véritable, analogue à celle qui permet (avec toutefois des approximations et de l'empirisme) d'évaluer les probabilités de défaillance technique.

La commission estime néanmoins nécessaire de compléter pour les avions futurs la procédure actuelle de certification des pilotes automatiques. Celleci est en effet réduite aujourd'hui à une évaluation en vol subjective, effectuée par des équipages d'essai, dans des conditions très particulières. La commission a noté par exemple que si le principe prévoit que ces équipages ne soient pas prévenus de la panne, la pratique d'un programme de vol d'essai conduit à une réalité notablement différente.

La commission pense que cette procédure devrait être complétée par une réflexion plus analytique utilisant les connaissances disponibles (qu'il est par ailleurs sùrement nécessaire de développer) concernant les comportements des opérateurs humains. Dans ce cadre, le certificateur serait amené à considérer les procédures de surveillance définies pour l'équipage, ainsi que la conception de l'interface avion/équipage en ce qui concerne les moyens de reconnaissance de panne fournis à l'équipage.

La commission remarque enfin que, s'agissant par hypothèse de pannes non auto-surveillées, donc non pourvues d'alarmes associées, les observations qu'elle formule au paragraphe 23.32 vis à vis de la certification de certains aspects ergonomiques des postes de pilotage, et concernant

266

le pouvoir d'alerte de certaines informations, sont également applicables à la certification des pilotes automatiques. En effet, les moyens dont dispose l'équipage pour reconnaître une panne de pilote automatique dépourvue d'alarme sont les mêmes que ceux dont il dispose pour reconnaître ses propres erreurs de commande sur le système.

23.32 - La certification de l'ergonomie du poste de pilotage

23.321 - Enseignements de l'accident l'expérience en service

23.321.1- Lorsqu'elle a analysé le processus accidentel du point de vue de l'interface entre l'équipage et l'avion (voir en particulier § 22.3), la commission est parvenue aux conclusions suivantes :

(1) la conception du dispositif de commande et de

contrôle des modes et des paramètres de pilotage

automatique de la trajectoire dans le plan vertical est

telle que :

- d'une part la probabilité de confusion dans le mode selecté est plutôt élevée dans certaines situations;

- d'autre part la cohérence entre le mode sélecté et l'unité d'affichage de la valeur cible sélectée est un élément critique de sécurité;

(2) la présentation des paramètres de contrôle de la

trajectoire dans le plan vertical convient à une

information correcte d'un équipage convenablement conscient

de sa trajectoire, mais n'offre pas les meilleures chances

d'alerte à un équipage en erreur de représentation à cet

égard.

23.321.2 - Lorsqu'elle a examiné les enseignements

possibles du retour d'expérience, la commission a trouvé

une cohérence entre les conclusions précédentes et les

éléments suivants:

- l'existence d'un taux d'erreur élevé sur la sélection des modes verticaux du pilote automatique

pendant la phase d'instruction initiale;

- la forte présomption d'un taux d'erreur résiduel significatif en ligne;

- l'existence de cas de confusion de mode en ligne restés indétectés par l'équipage jusqu'à alarme GPWS

ou acquisition de références visuelles extérieures.

267

23.321.3 - La commission a rapproché, en fonction de ce qui précède, les différents jugements qu'elle a pu porter sur les composantes concernées de l'interface entre l'avion et l'équipage, et les articles pertinents du règlement de certification (voir § 118.12).

En particulier ces articles demandent:

- que la présentation des commandes soit conçue de

manière à réduire au minimum les erreurs de l'équipage: il

a semblé à la commission, à la lumière de son analyse et

des enseignements de l'expérience opérationnelle disponible

aujourd'hui, que la conception de cette commande n'était

pas complètement conforme à l'esprit de ces articles;

- que la présentation des informations de vol et de

navigation soit claire et non ambiguë, et que les moyens

associés à la surveillance du pilote automatique soient

conçus pour réduire au minimum les erreurs de l'équipage

qui pourraient créer des dangers supplémentaires: il a

semblé à la commission, que de ce point de vue, la

présentation des paramètres de contrôle de la trajectoire

dans le plan vertical répondait bien à l'objectif de

certification en situation normale, mais probablement pas

dans le cas d'un équipage en situation d'erreur de

représentation.

23.322 - Les principes et la méthode de certification

23.322. 1 - Le paragraphe 118. 1 rappelle les principes de certification applicables à la conception d'un poste de pilotage, et plus particulièrement aux commandes de pilotage automatique de la trajectoire et aux instruments de contrôle de cette trajectoire. Ce paragraphe rappelle en outre la manière dont la conformité de l'A320 aux exigences du règlement a été évaluée lors du processus de certification de l'avion.

23.322.2 - En examinant les extraits pertinents du règlement de certification, la commission a noté qu'il s'agissait essentiellement d'un règlement par objectifs. En analysant les documents interprétatifs (ACJ), la commission a noté que seul un très petit nombre d'aspects ergonomiques tels que la forme des commandes du train d'atterrissage et des volets, ou le sens de déplacement des commandes, faisait l'objet d'une standardisation. En examinant les moyens acceptables de démonstration de conformité, elle n'a trouvé aucune indication de méthode d'évaluation particulière. La méthode de démonstration est donc traitée et acceptée dans le cadre de chaque certification.

268

23.322.3 - La commission a examiné la manière dont le processus de certification appliqué à l'A320 avait traduit en pratique les exigences réglementaires évoquées ci dessus.

Elle a noté qu'un effort tout particulier a été fait pour évaluer la qualité de l'interface avion/équipage dans le cadre des vols consacrés à la démonstration de l'équipage minimal. Un relevé systématique des erreurs commises, et une analyse de ces erreurs a posteriori, ont notamment été effectués dans ce cadre.

Elle remarque cependant que l'essentiel de cet effort, consacré à la justification de l'équipage minimal à deux pilotes dans le contexte de climat social tendu déjà évoqué, porte sur l'évaluation des charges de travail et la gestion des situations anormales. La commission considère donc que, malgré une mise en oeuvre de méthodes d'évaluation largement surdimensionnée par rapport aux pratiques internationales en vigueur, le processus de certification de l'A320 n'a pas permis de détecter des particularités de conception qui se sont révélées à l'usage discutables par rapport à certains objectifs réglementaires (comme par exemple éviter la confusion).

La commission note également qu'au stade de la définition de lergonomie de l'A320, et comptetenu du caractère particulièrement novateur de cet appareil dans ce domaine, des évaluations auraient pu être effectuées en associant, par l'intermédiaire de protocoles expérimentaux adaptés, des futurs utilisateurs de base, à l'occasion par exemple des études préalables de définition conduites en simulation pilotée. Ces évaluations auraient alors été disponibles avec un préavis suffisant, autorisant encore de véritables choix dans des conditions acceptables pour les' calendriers industriels du programme, ce qui est beaucoup plus difficile au stade de la certification.

Elle note enfin que les méthodes employées au stade de la certification privilégient les évaluations de type subjectif par une population restreinte de pilotes du constructeur ou de pilotes investis de fonctions Officielles.

23.322.4 - La commission s'est en conséquence interrogée sur l'aptitude du règlement, des principes et des procédures de certification en vigueur à fournir les garanties nécessaires dans ce domaine, notamment dans le cas de conceptions particulièrement novatrices.

Dans le cadre de cette réflexion, la commission a relevé certains aspects des principes et du processus de certification en vigueur, qui lui paraissent constituer à cet égard des points de faiblesse:

269

- la prise en compte des erreurs de 1 'équipage se fait à travers des objectifs très généraux (cf articles du règlement déjà cités) sans discrimination des erreurs en fonction de leurs probabilités d'occurrence et des conséquences associées; les évaluations des moyens de surveillance associés, qui sont souvent les mêmes que ceux utilisés pour surveiller le bon fonctionnement des automatismes de pilotage, sont faites sous des hypothèses de comportements standards et de strict respect des procédures définies. Il a semblé à la commission que ces hypothèses ne correspondent pas nécessairement à la réalité du travail en ligne;

- Les évaluations de l'ergonomie conduites dans le cadre de la certification font un appel quasi exclusif au jugement brut de pilotes d'essai et de pilotes officiels. Or il semble à la commission que la nouvelle génération de cockpits diminue notablement le pouvoir prédicteur de cette méthode, même complétée par l'avis de pilotes désignés par les compagnies de lancement, particulièrement dans le cas d'avions globalement très novateurs. En effet ces interfaces nouvelles produisent des modes d'erreurs nouveaux et particulièrement évolutifs au cours des phases d'apprentissage et d'appropriation par les pilotes. or l'expérience individuelle sur le nouveau typedes pilotes sollicités ne dépasse jamais ces phases initiales. De plus ils disposent de connaissances plus complètes sur l'avion, ils travaillent dans le cadre d'une mission différente de celle des futurs utilisateurs quotidiens. Les modes cognitifs qu'ils mettent en oeuvre, et les types d'erreur qu' ils sont susceptibles de commettre, sont en conséquence partiellement différents de ceux des pilotes de ligne en situation de routine.

- L'acte administratif de certification prend place bien après le processus de conception, à un moment où des choix industriels très lourds, et donc très difficiles à remettre èn cause par le certificateur, sont déjà faits. Or même si l'avis du certificateur est sollicité dès le début de la phase de conception, il ne dispose pas a ce stade de critères de refus en matière d'ergonomie. Les faiblesses notées plus haut concernant le pouvoir prédicteur des méthodes actuelles sont en effet aggravées dans ce cas car l'horizon de prédiction est plus lointain, et on ne dispose que de maquettes ou de simulations partielles. Le caractère subjectif des jugements individuels bruts, quelle que soit leur compétence reconnue, les rend donc encore plus fragiles en tant que critères de rejet.

En conséquence la commission est parvenue à la conclusion qu'un effort devrait être consenti pour réadapter les moyens du processus de certification à ses objectifs dans le domaine de l'ergonomie, en redéfinissant de façon plus précise les objectifs réglementaires et les protocoles d'évaluation associés.

270

Peter B. Ladkin, 1999-02-08
	Last modification on 1999-06-15 by Michael Blume