Crash du A 400 M : l’ânerie ne devrait pas avoir sa place dans l’aviation. Et pourtant !
Ainsi donc, le PDG d’Airbus a estimé dans « les Echos » du 30 mai, que le crash aurait pour cause « un logiciel de régulation de la puissance des quatre turbopropulseurs. La conception de l’avion de transport militaire A400M n’était pas remise en cause par l’accident survenu en Espagne début mai, la faille se situant plutôt au niveau des procédures de test.
Il y a eu, toujours selon le PDG :
• soit une faiblesse dans les procédures de test des avions avant la mise en vol, car il s’agissait du premier vol d’un avion de série.
• soit un problème qui provenait de la mise en œuvre de ces procédures »
Vous noterez l’euphémisme « d’une faiblesse », qui aboutit à l’extinction d’au moins trois des quatre moteurs, qui va tuer 4 techniciens en blesser 2 autres et fracasser l’avion !
D’autres appelleront cela « une ânerie », qui semble un adjectif plus approprié.
Ânerie : celle de CONCEVOIR un logiciel qui donne des instructions aux quatre moteurs, soit simultanément, soit de façon séquentielle, ce qui aboutit à activer une éventuelle anomalie de programmation sur tous les moteurs. C’est ce que j’ai appelé « mettre tous ses œufs dans le même panier » dans mon document du 19 mai sur le crash de cet avion.
On ne peut s’empêcher de faire irrésistiblement le parallèle avec cette autre ânerie qui affecte TOUS les avions Airbus, quand du fait de leur givrage simultané, les sondes d’incidence ou de Pitots font passer les commandes de vol en mode dégradé, compromettant gravement la sécurité du vol. J’ai développé ce manque de « robustesse » dans mon document précédent sur « les insuffisances des protections des commandes de vol des Airbus ».
Rappelons que pour les systèmes essentiels, comme le sont les commandes de vol et bien sûr le fonctionnement des moteurs, la « robustesse » impose que les différents éléments qui contribuent à créer de la redondance soient absolument indépendants les uns des autres pour éviter toute panne qui leur serait commune.
Ânerie : celle de CONCEVOIR un logiciel de test qui comprend une instruction de coupure intempestive de l’alimentation en carburant des moteurs, car rappelons le, si les moteurs se sont éteints, c’est qu’ils manquaient de carburant.
Ânerie : de mettre ce logiciel de test en service sans qu’il ait été testé lui-même de façon approfondie. Il semblerait inconcevable que ce logiciel de test n’ait pas été testé lui-même au sol avant de le faire fonctionner lors du premier vol de l’avion. On peut supposer que ce test au sol, moteurs tournants, a été fait et qu’aucune anomalie ne s’est manifestée. Pourquoi alors cette extinction en vol ? Le « bug » de coupure des moteurs n’aurait-il pas été masqué par l’activation du relais air-sol ?
Ce relais fonctionne au sol quand les vérins du train d’atterrissage sont enfoncés par le poids de l’avion. Le but de ce relais est d’interdire au sol certaines manœuvres qui pourraient être dangereuses, comme par exemple le fonctionnement du dégivrage de bord d’attaque des ailes, dont la chaleur pourrait détériorer la structure des ailes.
Toutes ces âneries…..cela en fait beaucoup !
Dans ce piteux constat, il y a le fait que dans beaucoup d’entreprises actuellement, on veut des résultats très rapidement, sans accepter qu’il faille « donner du temps au temps », comme disait Mitterrand et en chipotant sur les moyens humains à mettre en place, pour que la marge de bénéfice nourrisse grassement les actionnaires.
*********************************************************************************************************************************
27 septembre 2015 at 18 h 49 min -
bonjour,
excusez mon intrusion et mon langage de beotien
j’aurais une question sur les valeurs de rupture de carlingue (cellule?) des avions de ligne, ou combien de g peut prendre un avion de ligne avant de se disloquer, disons avec un effort dans l’axe et eventuellement en lateral.
merci de m’avoir lu
POL
15 octobre 2015 at 16 h 50 min -
Vous savez que la limitation d’emploi normale est de 2.5G sur tous les avions de ligne. On entre dans les déformations permanents aux alentours de 4G et cela devrait casser vers 6 ou 7G, mais je ne connais pas d’exemple d’avion qu se soit disloqué en l’air pour des raisons aérodynamiques
4 juin 2015 at 14 h 04 min -
La philosophie d’AIRBUS repose sur la substitution du pilote , peu fiable,par l’informatique ce qui devrait augmenter la sécurité. La marge de manoeuvre du pilote se réduisant ,son entrainement porte sur le résiduel.En cas de « Bug »en mode « dégradé » le pilote doit faire appel à des réflexes de base qu’on lui a fait oublier.La complexité inter-active des programmes imposera une commande redonnant toute autorité au pilote qui pour y faire face devra reprendre un entrainement régulier « en manuel ».
Un ingénieur de Grumman extrapolait l’avenir .Dans le cockpit,un seul pilote et un chien.La tache du pilote est de nourrir le chien et celui du chien ,de mordre le pilote si celui-ci touche à quelque chose.
5 juin 2015 at 15 h 37 min -
Je me souviens qu’en 1968 sortait le film « 2001, odyssée dans l’espace » dans lequel l’ordinateur du vaisseau spatial devenait fou. Pour les avions, la réalité dépasse la fiction. Je demande depuis des années le fameux « panic button » qui débrayerait les automatismes et qui permettrait de mettre en quarantaine tous les bidules qui ne contribuent pas aux commandes de vol directes, telles qu’elles existaient sur les Airbus A 300.
Avec la possibilité de coupure des 3 ADR du système BUSS, on y vient doucement, mais si on suivait mes suggestions, on pourrait le faire en conservant le pilote automatique et la parfaite maîtrise de l’incidence, qui n’existe pas de façon « robuste » sur tous les Airbus, ce qui n’est pas acceptable
4 juin 2015 at 6 h 59 min -
L’informatisation à outrance dans tous les domaines, entraîne inévitablement ce genre de « bugs »… Nous en avons la démonstration tous les jours…
Mais dans le domaine aérien, ces bugs sont catastrophiques et sont souvent découverts dans des conditions réelles insoupçonnées à priori, par une conjonction d’interactions, de facteurs et de trop nombreux paramètres que l’esprit humain le mieux formé ne peut pas analyser. C’est le résultat inévitable d’une trop grande complexité.
Revenir à plus de simplicité dans les procédures me paraît une voie certaine d’amélioration de la sécurité. Les fondamentaux ne doivent pas être remplacés par des automates…
Merci à Monsieur Roger et à tous ses honorables correspondants pour les prises de position courageuses et charpentées.
Un CBS (mais qui le sait !)
Amicalement.
4 juin 2015 at 8 h 13 min -
Vous savez que les gens qui ont atteint leur niveau d’incompétence (principe de Peter) ne le savent pas. De même, les membres de cette confrérie en pleine expansion que sont les CBS (Cons Brevetés Supérieurs) ont en commun de ne pas savoir qu’ils en font partie. Soyez donc rassuré. Sur les excès de l’informatisation, on constate que Boeing ne rencontre que très peu de problèmes par rapport à Airbus et qu’il serait de bon aloi de rechercher les causes de cette différence évidente.
2 juin 2015 at 11 h 53 min -
On se contentera donc du qualificatif d’ânerie en attendant de savoir qui a éventuellement jugé intelligent d’introduire les lignes de code qui seraient à l’origine de la coupure d’alimentation simultanée de trois des quatre, sinon des quatre moteurs de cet avion fonctionnant à puissance de décollage.
En attendant les conclusions que la commission d’enquête voudra bien tirer de ce triste évènement, il en est une qui s’impose d’ores et déjà à l’esprit : l’informatique ayant fini par envahir tous les instants de notre vie pour le meilleur comme pour le pire, les sciences de l’Ingénieur ne sont désormais plus hors de portée des imbéciles auxquels elle ouvre au contraire des perspectives alléchantes loin des carrières qui étaient traditionnellement les leurs dans l’administration, la culture, la politique ou encore le commerce.
Pas de quoi être serein !
3 juin 2015 at 15 h 34 min -
En fait, ile est probable que si le 4ème moteur ne s’est pas aussi éteint, c’est que l’avion a accroché la ligne à haute tension avant que le dernier moteur soit complètement coupé !
Je pense comme vous que les imbéciles ont des perspectives alléchantes avec le « progrès » informatique. Avec le développement de l’information, on voit de plus en plus de gens qui démontrent qu’on peut être très intelligent, accéder aux Grands Écoles et commettre des bourdes confondantes !
1 juin 2015 at 19 h 03 min -
Quelques remarques en vrac :
-Il existe des procédures et des programmes de vérification et validation des logiciels (http://en.wikipedia.org/wiki/Software_verification_and_validation). Le plus probable est que la faille n’est pas dans le soft fonctionnel de l’ECU, mais dans son utilitaire d’installation. Tous nos gadgets qui subissent des mises à jour de firmware ont un résident « en dur » qui vérifie que le nouveau firmware est bien téléchargé et ensuite bien installé. Ce n’est qu’alors qu’il bascule sur la mise à jour.
– pour revenir sur les pitots, quand on voit un alti qui déroule, un vario en quasi butée et un horizon qui annonce 10 ° à cabrer, je ne suis pas sûr que l’info d’IAS soit vraiment la plus manquante…
– il est clair que certains choix sont discutables comme pouvoir outrepasser les limitations angulaires ou en g, ou bien comme le couplage des manches, mais ce qui est pour moi le plus choquant, c’est qu’on puisse mettre un avion en configuration de décrochage sans facteur de charge à haute altitude sans réaction du PA, même en mode dégradé, ce qui n’était de mémoire pas encore le cas sur le Rio-Paris quand le pilote a tiré sur le manche après avoir contré le roulis (Pas de Coriolis à l’équateur, donc gros gradients horizontaux de vitesse verticale sous les cunimbs…).
2 juin 2015 at 7 h 46 min -
Dans le Rio Paris, le mot assiette n’est prononcé qu’une seule fois, par le CDB, quelques secondes avant l »impact. Les fondamentaux Assiette et Poussée n’étaient pas la préoccupation des trois pilotes. Mais souvenons nous que l’avion était condamné 1 minute et 40 secondes après la déconnexion du PA, ce qui montre aussi la lourde faillite de l’interface homme/machine
Désolé, mais je ne comprends pas ce que tu veux exprimer dans ton dernier paragraphe
1 juin 2015 at 16 h 59 min -
“Une vie ne vaut rien mais rien ne vaut une vie.” André Malraux
1 juin 2015 at 13 h 57 min -
Bien que non pilote je. Suis passionne d aviation et me m interroge suis lexistence dun bug identique sur les avions de ligne Airbus
Existe t il a votre avis un tel risque ?
En vous remerciant par avance
1 juin 2015 at 15 h 38 min -
Non, je pense qu’il s’agit d’un problème lié à un test spécial pour une période d’essai, mal conçu et mal installé. Toutefois, vous avez noté qu’Airbus a lancé un mise en garde demandant à ce qu’on vérifie le programme informatique ECU qui régit les moteurs, ce qui était prudent dans l’attente d’une analyse plus approfondie, qui montre maintenant l’origine de ce bug, lié à un programme test.
1 juin 2015 at 13 h 39 min -
Bonjour pour avoir travaillé sur les équipements de l’A400m chez RC-F j’ai dû subir les exigences de la double compatibilité des règles civiles et militaires de certification pour les systemes de pilotage de navigation et de comm. Cette contrainte saugrenue (qui peut croire que cet avion sera utilisé à des fins civiles) a mobilisé les autorités de contrôle et laissé le champ libre aux industriels dans les autresolution domaines pour lesquels la contrainte était le coût. Les âneries de la stratégie de développement ont donc logiquement conduit aux âneries industrielles. Le résultat ne s’est pas fait attendre. Nous assistons maintenant dans la même logique aux âneries de communication. À moins d’un réveil (peu probable) des autorités européennes responsables, le pire est à craindre pour ce malheureux programme, qui méritait bien mieux.
1 juin 2015 at 15 h 43 min -
Je pense au contraire de vous que le programme A 400 a de l’avenir, car il répond à un besoin. N’oublions pas que le C 130 a eu aussi des déboires à ses débuts. Depuis Icare, c’est inévitable en aviation. Par contre la gestion biscornue de ce programme a effectivement été préjudiciable aux finances et au développement. C’est la rançon d’une construction partagée entre plusieurs pays et vous avez raison d’en souligner les « âneries »
1 juin 2015 at 13 h 07 min -
Christian : Rappelle toi l’époque où tu louais l’A320, « le DC3 du futur »…
C’est dès lors qu’il fallait mettre en doute le recours massif à l’informatique : il est impossible, sauf sur des logiciels extrêmement simplifiés, de tester tous les cas de figure. Rappelons-nous le cas d’un certain processeur d’Intel, fabriqué en série avec un bug. Ce n’est qu’à l’usage que l’on constate qu’un logiciel est Ok, sans pourtant être certain que des failles ne se révèleront pas.
Il fallait donc être prudent lors de l’introduction de l’informatique à bord , mais Airbus était tellement pressé de nous remplacer…
Yves Haudiquet, Cdb 747 ET programmeur
1 juin 2015 at 15 h 46 min -
Amusant Yves, je n’ai aucun souvenir d’avoir baptisé le A 320 le DC3 de l’avenir ! Rappelles toi la bagarre que j’ai menée pour le HUD, les commandes non conjuguées, les manettes immobiles. Pour l’informatique, j’avoue humblement que je n’avais pas les connaissances nécessaires pour porter un jugement précurseur, mais je ne devais pas être le seul !
1 juin 2015 at 11 h 07 min -
la feu navette américaine possédait 3 calculateurs de vol chacun ayant le même logiciel mais développé par 3 équipes différentes. un autre logiciel faisait la comparaison des résultats de ces 3 logiciels et en déterminait la cohérence des ordres à passer aux commandes de la navette !
Je crois même qu’un 4 eme calculateur servait à lever les doutes …. à vérifier !
1 juin 2015 at 15 h 50 min -
Pour le A 320 et consorts, j’ai déjà souligné que pour les commandes de vol, on disposait de 7 calculateurs qui assurent une excellente redondance et je ne connais pas de cas où ils auraient été mis en défaut. Ce qui cloche ce sont ces « bloody » sondes d’incidence et Pitots qui n’ont pas la redondance qu’elles devraient avoir et pour lesquelles j’ai proposé une solution du type avion de chasse
1 juin 2015 at 9 h 24 min -
Monsieur,
Ne connaissant pratquement rien en matière d’aéronautique, vos commentaire me passionnent et j’ai remarqué que vous meniez un rude combat contre des lacunes dont vous accusez Airbus. Toutefois, votre dernier paragraphe à la « Mélanchon » sur les actionnaires largement engraissés ne me semblent pas appropriés à un exposé technique.
Amicalement.
D. barbey
1 juin 2015 at 15 h 59 min -
je l’ai dit dans cet article, je pense au contraire de vous que la pression lourde exercée sur tous les participants à un programme de cette envergure est préjudiciable au succès technique et commercial (impact d’un crash) et que la recherche d’un profit est une nécessité, mais que la bonne gestion des hommes conditionne le succès. Les entreprises sont maintenant dirigées par des financiers et on manque de Capitaines d’Industrie comme l’étaient les Didier Daurat, Louis Armand ou plus proche Louis Gallois qui savaient donner à chacun sa place
1 juin 2015 at 9 h 19 min -
Bonjour,
Sur le fond , ces problèmes étaient prévisibles et d’une certaine manière les pilotes intervenant sont tous responsables de ce que Christian nomme a juste titre âneries a répétition. C’est le résultat de la politique du tout logiciel. La confusion mentale des gens qui se prennent au sérieux est responsable.
L’individu sur terre le plus dangereux c’est le CBS…(con breveté supérieur)
Un autre exemple dans ces conceptions est la limitation en G arbitraire et stupide ,car si j’ai un avion me venant dessus je veux pouvoir « breaker » quitte a ramener un avion cassé mais avec des gens encore la.
Il est intolérable que cette interdiction soit une norme incontournable : ceci produira un accident grave .
En se répétant on peut affirmer , hélas, que d’autres accidents se produiront a cause de cette politique du tout logiciel et aussi de la coupable négligence de la qualité de la formation des pilotes. Il faut affirmer ici que beaucoup d’accidents récents (les 20 ans passés) ne seraient jamais arrivés avec des pilotes formés a la « CHRISTIAN » sans pour autant être aussi brillants ou ayant un parcours aussi varié.
Cette affirmation implique aussi que si nous avions été pris comme autorité incontournable lors
de la conception de ces avions: ces logiciels n’auraient jamais été acceptés étant donné que ce sont des ânes qui produisent des âneries…..
Nous vivons une époque formidable
jl l
1 juin 2015 at 16 h 09 min -
Il y en a qui se frottent les mains, ce sont les gens de Boeing, qui sont partis après nous dans les commandes de vol électriques, mais qui ont gardé au maximum aux pilotes la décision finale de la trajectoire. Chez eux, pas de limitation d’inclinaison à 67°. On peut mettre l’avion sur le dos, mais pourquoi le ferait-on? Pas de limitation à 2.5 G, mais as-t-on vu des pilotes casser un avion en tirant trop de G. Par contre comme nous le disons tous deux, il vaut mieux tordre un avion que d’empailler la montagne à 2.5G
J’aime bien la définition du CBS. Elle va faire florès !
1 juin 2015 at 7 h 58 min -
Aneries ! aneries !! c’est bien le mot à employer.
Quand je lis que des tests auraient dû être faits au sol avant de faire voler l’avion :: trop coûteux certes, mais pas cher de perdre des êtres humains :: c’est une aberration !!!!.
1 juin 2015 at 16 h 11 min -
L’enquête approfondira, mais je pense que des tests ont été faits au sol, mais qui n’ont pas alerté sur ce problème pour des raisons à préciser
31 mai 2015 at 20 h 29 min -
Mon cher Christian,
A priori d’accord avec toi, mais il serait quand même intéressant d’entendre la réponse de la partie adverse. Penses-tu en avoir connaissance un jour ?
31 mai 2015 at 22 h 34 min -
Ave Jacques
Normalement, le bureau d’enquête espagnol doit sortir un rapport préliminaire un mois après l’accident. Mais comme c’est un avion militaire, il n’est pas sûr que ce soit une obligation. De toutes façons, Airbus peut difficilement mettre toute la poussière sous le tapis !
31 mai 2015 at 16 h 52 min -
La redondance ou le fail safe (back up) sont pourtant des principes incontournables en matière de sécurité et de certification en effet et il est hallucinant de voir ce principe transgressé par les Shadoks de la ville rose.
Les autorités de certification ne sont pas capables de vérifier ce que le constructeur leur présente.
D’autant que tester un logiciel coûte aussi cher que de le développer et tester n’est pas prouver la validité de l’algorithme qui le fait fonctionner.
Autrement dit les logiciels sont certifiés sans que soit effectué le travail de preuves. Un travail fastidieux, long et coûteux qui n’a pas la faveur des industriels.
Le résultat c’est l’échec (pourtant rare) du lanceur 501 Ariane 5 le 4 juin 1996 et c’est le crash du tout nouvel A400M.
Quand vous voulez faire des économies sur la sécurité, demandez vous combien va vous coûter le crash qui en découlera.
31 mai 2015 at 16 h 51 min -
Tout à fait d’accord avec toi MAIS, comme pour nombre d’accidents précédents, la raison réside dans le fait que l’on préfère automatiser à outrance plutôt que de former les pilotes. Certes il faut automatiser mais pas au point de transformer les pilotes en petits singes pousseurs de boutons. Par exemple, la décision de supprimer le C.E.V.S.V. a eu pour effet de priver les pilotes de l’expérience du »vertigo » (terme emprunté aux Américains). A ce sujet, un passage du livre de Jacques Rosay donne une juste idée de ce problème et, d’expérience, il est des cas où il faut se botter les fesses pour continuer à croire ses instruments : ça tu as dû l’éprouver aussi ! Quant à Airbus, je n’aurais jamais cru que le Bernard que j’ai connu à la 4 irait aussi loin !
Qui suis-je ?
Commandant de Bord Boeing 747 Air France ER
Ex Leader de la Patrouille de France
Expert de l’accident de Sharm El Sheikh (2004)
Ancien Président du Bureau Air France du SNPL, Syndicat National de Pilotes de Ligne – 1986 / 1990
Biographie
Abonnez vous à la newsletter