Feu moteur sur la Méditéranée!

[toms]

La redondance est l’une des clés de la sécurité en aéronautique. A chaque fois que la conception d’un système amènera à penser que son infaillibilité n’est pas suffisante, ce système sera doublé voire triplé. Cette notion est tellement encrée dans les esprits de ceux qui volent que l’on entend souvent des réflexions de ce genre : « Comment ? Tu n’as pas de double allumage sur ton moteur ? » C’est oublier que, si dans la chaîne globale de fonctionnement du moteur, certains systèmes sont doublés, tout ne peut pas l’être. Et quand bien même, si tout pouvait être doublé, il y aurait encore possibilité de double panne. Vous allez me dire que la double panne n’est pas une chose envisageable, et vous aurez raison. C’est cependant sans compter sur les Gremlins, ces êtres qui nuisent aux Lutins travaillants au bon déroulement du vol (lisez les « Comptes à tire d’aile » de Jan Tutaj pour en savoir plus).

Le système de détection d’incendie installé sur le moteur Rolls Royce Tyne du Transall est bien sur doublé. Chacun des circuits commande l’allumage d’un voyant différent dans le poste de pilotage. L’un allume un voyant rouge sur la poignée incendie située au panneau plafond, l’autre un voyant rouge sur le levier combiné (qui permet d’ajuster le carburant et passer l‘hélice en drapeau) placé sur le piédestal. Ces deux circuits courent tout le long des moteurs fixés à distance régulière par des petites pattes métalliques. Il peut arriver qu’une de ces attache se crique et que le circuit se mette à la masse. Il y a alors déclenchement d’une alarme feu incomplète. Dans ce cas, pour lever le doute, le mécanicien navigant va tester le circuit qui n’a pas déclenché d’allumage de voyant. Si ledit circuit fonctionne, on en conclut qu’il s’agit d’une alarme intempestive. En revanche, si le test de ce circuit révèle qu’il est défectueux, on considère dans le doute qu’il y a feu, et on applique la procédure feu moteur. C’est simple, carré, et ne peut donc pas ouvrir la porte a des débats stériles. Sauf si…

Ce jour de novembre 1997, nous avons décollé de Francazal au petit matin à destination de Monastir dans un premier temps, avec espoir de finir ce soir à N’Djamena. Nous sommes en équipage « sympa », le commandant de bord est encore mon copain Fabrice, et nous ne sommes pas en mission d’instruction. Bref, des vacances ! L’ambiance est au mieux, travail sérieux sans « prise de tête », il n’est pas nécessaire de se prendre au sérieux pour l’être réellement ! Nous déroulons donc chacun nos petits calculs, une estimée par ci, un pétrole par là, les comparants régulièrement tout en invitant de temps en temps le FMS, que nous avons à présent réussi à apprivoiser ! Les survols maritimes sont en général assez calmes, il n’y a pas grand-chose à voir dehors, et la foule est bien moins dense que sur le territoire de la métropole. Cet état de fait associé à une nuit un peut courte conduit forcément à une légère hypovigilance, sans gravité d’ailleurs. En général, il faut bien peu de chose pour passer de cet état à une surexcitation intense ! Tiens, puisqu’on en parle !

L’alarme sonore retentit, associé a un voyant rouge du bandeau d’alarmes (le sapin de noël). Il n’y a pas beaucoup d’alarmes rouges sur ce bandeau, il s’agit donc de quelque chose de grave ! En effet, le mécanicien annonce immédiatement : « feu confirmé moteur droit ! » Il faut réagir vite ! Mais avant que quiconque ai pu dire quoi que ce soit, l’alarme disparaît ! Je regarde Fabrice, puis le mécanicien navigant. Tout deux ont les yeux comme des soucoupes ! Qu’est ce que c’est que ce truc ? Nous commençons à échanger quelques mots incertains, il faut dire qu’il n’y a pas trop de procédures pour ce genre de cas. Notre conversation est très vite interrompue par un : « Biiiiip… Bip…. Bip… … Biiiip » hésitant comme un stagiaire après une question vache de l’instructeur, puis à nouveau le silence ! (Enfin, bon, c’est relatif, le silence, dans un Transall.) Alors là c’est la confusion totale dans toutes les cervelles du poste: “mais c’est intempestif ou pas?” « Non, il y a bien allumage des deux voyants ! » « Va voir derrière aux hublots si ça fume ! » Le mécanicien de soute fonce à l’arrière.

Pas de fumée. Qu’est ce que c’est que cette chienlit ? Un petit « Bip » retentit de temps en temps. Et si c’était un feu en train de couver ? Bon Il faut faire quelque chose. Fabrice demande au mécanicien de conduite : « Tu me confirme que c’est bien une alarme feu confirmée ? » « Oui, pas de doute possible. » « Bon, si jamais ça recommence, … » « Biiiiiiiiiip ! » puis plus rien ! « Fait chier ce truc ! Au prochain, on déclenche la procédure ! » Silence à nouveau pendant quelques minutes, puis : « Biiiiiiiiiiiip ! » « OK, procédure feu moteur ! » Enfin quelque chose de normal et connu. Le mécanicien coupe le moteur et déclenche les extincteurs. J’affiche la puissance maximum continue sur le moteur restant et informe Fabrice : « notre déroutement actuel est Ajaccio ! » « OK. Marseille contrôle du COTAM 1664, MAYDAY MAYDAY MAYDAY ! Nous sommes à 35 nautiques au sud de XXXXX au niveau 190, avec un moteur arrêté suite à un feu. Nous voulons descendre au niveau 100 et prendre un cap direct sur Ajaccio ! »

La réponse du contrôle ne se fait pas attendre, et nous faisons demi tour en descendant vers notre plafond de rétablissement. Je prépare l’arrivée à Ajaccio pendant que le navigateur prévient nos opérations de cet événement imprévu. Ca va permettre de préchauffer le dépannage ! Le reste du vol se déroule comme à l’exercice. L’arrivée sur Ajaccio est des plus directe, les véhicules de secours sont là gyrophare en marche, et je me fend même d’un kiss à l’atterrissage (certains diront : « c’est facile, avec un Transall ! » et je répondrais oui,mais quand même !) Quand les moteurs sont arrêtés, les problèmes de bas étage commencent : il faut trouver de quoi loger sur la base marine locale, coordonner le dépannage, préparer la poursuite de la mission. Un autre équipage du CIET va nous emmener l’équipe de dépannage avec un autre avion, le RA02, et nous poursuivrons la mission avec cet avion. Pendant ce temps, l’autre équipage attendra la fin du dépannage, et rentrera ensuite à Toulouse avec notre pauvre R53.

En attendant l’arrivée des spécialistes, nos mécaniciens navigants ouvrent les capots, et constatent qu’il n’y a jamais eu feu là dedans ! Mince alors ! Misère de grenouille ! Une double alarme intempestive ! On va avoir du mal à être crédibles ! C’est une première à ma connaissance et personne d’autre dans l’équipage n’en a jamais entendu parler non plus. L’équipe de dépannage n’aura plus qu’à nettoyer les dégâts de l’extincteur. Leurs investigations confirmeront heureusement que les deux circuits de détection étaient à la masse. La suite de notre mission se passera sans problèmes, en visitant Monastir, N’Djamena, Douala, Libreville et retour à Toulouse par le même chemin après presque trente heures de vol.

Cet incident restera pour moi une source de réflexion en ce qui concerne la confiance que l’on peut accorder à un système, aussi sécurisé soit il. Nos ingénieurs font de fabuleux calculs pour estimer les probabilités d’occurrences d’une panne. Cela finit par des dix puissance moins … et de savantes considérations : « nous n’envisageons pas la panne de ce système, il n’aura donc pas de back up » ou encore : « ce système est doublé (voire triplé), l’équipage ne pourra donc pas perdre cette fonctionnalité ». Et pourtant… Toutes ces belles phrases ne sont que des mots face à la réalité. Et j’ai depuis écouté patiemment (avec un petit sourire aux lèvres, quand même), les pilotes qui racontaient comment ils confiaient leurs vies (et parfois celle des autres) à des machines en argumentant sur la fiabilité de leur systèmes…

Dans le même genre d’histoire, il faut lire le livre de Bernard Ziegler : « Les cow-boys d’Airbus ». Il y raconte comment un Airbus d’Air France, décollant de Tell Aviv, a eu une alarme feu confirmée sur les deux moteurs. Les quatre circuits confirmaient donc la présence d’un incendie. Ils avaient tout simplement été incorrectement montés, tout les quatre de la même manière !

J’hésite à ajouter une conclusion toute personnelle : Au cours de ma carrière sur Transall, j’ai fini cinq fois en monomoteur (N-1) à la suite d’une panne. Ce qui fait environ une fois toutes les mille heures de vol. Mais je connais des pilotes qui, sur une période à peut près équivalente ont eu quinze ou vingt pannes du même genre ! Je ne crois pas trop au hasard, il doit y avoir un truc ! A moins que les lutins et les Gremlins existent réellement, ce qui apporterait une réponse satisfaisante à la question. Mais bien sur, vous n’êtes pas obligé de me croire !

[Leon Robin]

A propos de duplication, ou plus, des systèmes, une expérience non aéro, mais expérience tout de même. J'ai longtemps travaillé sur des systèmes informatiques dont la continuité du service était une obligation absolue. On avait donc une duplication systématique là où c'était possible. Là où ce ne l'était pas, on avait des circuits redondants triplés associés à une logique de contrôle qui "votait" : ce système décidait à la majorité quand les 3 n'étaient pas d'accord, et allumait une alarme "rouge vif" (très grave). En plusieurs années, sur des dizaines d'équipements, j'ai vu de nombreuses alarmes de ce genre ......... toutes à la suite d'une défaillance de la logique de contrôle qui détectait à tort des différences entre les 3 circuits sous sa supervision. Les modèles suivants ont abandonné ce principe ...... et n'ont jamais eu de panne catastrophique sur la partie concernée.

On touche à mon avis aux limites des circuits de contrôle qui surveillent les circuits de contrôle qui .......... Il faut certes des alarmes, des systèmes de sécurité et des redondances mais, comme dans notre société qui croule sous des montagnes de réglements pas toujours appropriés et souvent pas, ou mal, utilisés, le bon sens et la simplicité sont parfois tout aussi efficaces.

Quand on en arrive à douter du système de sécurité ou d'alarme, il faudrait se poser des questions. Le récit de Toms est très intéressant à ce sujet, où on s'aperçoit que le mécanicien tente de confirmer visuellement la réalité de l'alarme. C'est aussi, n'en déplaise aux théoriciens, une démonstration parfaite que la certitude absolue n'existe pas. Le cas le plus improbable arrivera un jour, quel que soit la valeur de l'exposant dans les 10[SUP]-n[/SUP] qui expriment la fiabilité ..... calculée. Après tout, il y a des gagnants à presque chaque tirage des gros lots de l'Euromillion ou du Loto, où les probabilités sont du même ordre. Sauf que dans un cas on espère ganer, dans l'autre, non.

[Patrick Boivin]

« OK. Marseille contrôle du COTAM 1664, MAYDAY MAYDAY MAYDAY ! Nous sommes à 35 nautiques au sud de XXXXX au niveau 190, avec un moteur arrêté suite à un feu. Nous voulons descendre au niveau 100 et prendre un cap direct sur Ajaccio ! »

Ah !!! si Kronembourg n'avait pas existé, quels numéros de vol et quels codes transpondeur aurions nous bien pu prendre ?   

Cet incident restera pour moi une source de réflexion en ce qui concerne la confiance que l’on peut accorder à un système, aussi sécurisé soit il. Nos ingénieurs font de fabuleux calculs pour estimer les probabilités d’occurrences d’une panne. Cela finit par des dix puissance moins … et de savantes considérations : « nous n’envisageons pas la panne de ce système, il n’aura donc pas de back up » ou encore : « ce système est doublé (voire triplé), l’équipage ne pourra donc pas perdre cette fonctionnalité ». Et pourtant… Toutes ces belles phrases ne sont que des mots face à la réalité. Et j’ai depuis écouté patiemment (avec un petit sourire aux lèvres, quand même), les pilotes qui racontaient comment ils confiaient leurs vies (et parfois celle des autres) à des machines en argumentant sur la fiabilité de leur systèmes…

Je pense que tout le monde sera d'accord pour dire qu'il vaut mieux effectuer la procédure de panne sur une alarme intempestive mais répétitive que de laisser planer un doute qui peut virer à la cata.

Dans le même genre d’histoire, il faut lire le livre de Bernard Ziegler : « Les cow-boys d’Airbus ». Il y raconte comment un Airbus d’Air France, décollant de Tell Aviv, a eu une alarme feu confirmée sur les deux moteurs. Les quatre circuits confirmaient donc la présence d’un incendie. Ils avaient tout simplement été incorrectement montés, tout les quatre de la même manière !

Le file Whisky Roméo Zoulou est assez instructif aussi concernant le laxisme face à des alarmes incendie.

J’hésite à ajouter une conclusion toute personnelle : Au cours de ma carrière sur Transall, j’ai fini cinq fois en monomoteur (N-1) à la suite d’une panne. Ce qui fait environ une fois toutes les mille heures de vol. Mais je connais des pilotes qui, sur une période à peut près équivalente ont eu quinze ou vingt pannes du même genre ! Je ne crois pas trop au hasard, il doit y avoir un truc ! A moins que les lutins et les Gremlins existent réellement, ce qui apporterait une réponse satisfaisante à la question. Mais bien sur, vous n’êtes pas obligé de me croire !

Il y a des Gremlins mais aussi des "black cats". Personnellement j'en connais 2. Ils vont te prendre la relève d'un avion avec lequel tu viens de faire 8 étapes (en 2 jours, je vous rassure) sans aucun problème et avec eux, dès la rentrée du train les ennuis arrivent.
Comme toi je peux dire que je suis un "lucky boy", après un peu plus de 17000 h, je n'ai eu qu'un seul monomoteur et encore, c'était sur Jaguar (l'avion qui décolle parce que la terre est ronde) suite à une rupture de l'arbre du compresseur. Mais...je touche du bois !
Et comme dirait Jean Yves Lafesse : "pourvu qu'ça dure !"

[Manu]

Sur un avion en sortie de check C, les tuyauteries de pression statiques n'ont pas été rebranchées, les calculateurs utilisaient la pression cabine (pressurisée). Le pilote n'a pas percuté quand il a noté un taux de montée de 1700 ft/min au lieu des 3500 attendus.

L'avion a emplafonné la Vfe et le Mmo et est entré dans une série de paraboles divergeantes (surpilotées), la dernière a atteint plus de 3,5 G. On estime que la suivante aurait dépassé la résistance structurale et qu'on aurait perdu l'avion.

Dans ce cas là, on a beau avoir 3 systèmes redondants, quand on ne donne pas la bonne info à l'entrée des 3 systèmes, la redondance ne sert à rien.

Manu

[toms]

Je pense que tout le monde sera d'accord pour dire qu'il vaut mieux effectuer la procédure de panne sur une alarme intempestive mais répétitive que de laisser planer un doute qui peut virer à la cata.

D'accord à 100%!
C'est d'ailleurs ce qu'on s'est dit en débrieffant autour d'une bibine le soir même.
Mais sur le moment, et pendant un instant assez court finalement,
ça a été le bronx!
J'en ai d'autres, des histoires de souk,
mais si je raconte tout, vous allez me prendre pour un charlot...

[dandyroll]

Je suis surpris qu'il n'y ait que des voyants d'alarme pour indiquer un feu moteur, peut-on la confirmé avec d'autre instrument type indicateur t° compresseur ou chambre de combustion ou je ne sait .....

[toms]

Je suis surpris qu'il n'y ait que des voyants  d'alarme pour indiquer un feu moteur, peut-on la confirmé avec d'autre instrument type indicateur t° compresseur ou chambre de combustion ou je ne sait .....

La détection feu dont je parle dans le récit se fait à l'extérieur du moteur.
Sur certains avions, il y a des indications de température nacelle, pas sur Transall.
Il y a des indications de température turbine, mais elle peuvent être normales en ayant un feu dans la nacelle.

[Daniel DENIS]

J'aime bien les récits de toms, c'est empreint d'une certaine humilité qu'on ne retrouve pas chez tous les pilotes à cocarde.

A propos des risques de panne, la NASA, au début des années 80, disait que la probabilité de perte d'une navette était de 1 sur 10.000 vols.
En moins de 200 vols ils en ont perdu 2.
Quand un type du nucléaire me dit qu'il n' y a qu'un risque (je préfère ne pas employer le mot chance) sur xx millions d'accident grave...je lui rappelle les calculs de la NASA.

[Duckman]

Je suis surpris qu'il n'y ait que des voyants  d'alarme pour indiquer un feu moteur, peut-on la confirmé avec d'autre instrument type indicateur t° compresseur ou chambre de combustion ou je ne sait .....

Pas toujours, j'ai eu perso avec un B737 en sortie de C check un feu moteur à la rotation (on se serait cru au simu) du à un tuyau de soutirage haute pression et temp mal serré. Cela a déclenché les capteurs mais dans le cockpit, au moment même aucune indication foireuse. Mais comme a dit P Boivin, faut pas jouer, on applique la procédure et on discute ensuite, c'est meilleur pour la santé.

[PAPATANGOCHARLIE]

Un chouette récit, super-informatif et agréable à lire! Encore!

PC

[René-Pierre Teindas]

Merci Toms pour ce récit capable de susciter d'aussi intéressants commentaires.

[mikelima]

.......
A propos des risques de panne,  la NASA, au début des années 80, disait que la probabilité de perte d'une navette était de 1 sur 10.000 vols.
En moins de 200 vols ils en ont perdu 2. ..............

Cela n'a rien à voir, sans rentrer dans les détails des calculs des probabilités et pour faire simple, la probabilité d'avoir 1 accident sur 10000 vols ne te renseigne nullement sur le moment ou l'accident va arriver.
le 1/10000 ne veut absolument pas dire qu'il va y avoir 9999 ok et que le dernier sera la cata (ce serait trop simple)

[Manu]

Les probabilités de chaque évenènement sont définies dans la réglementation CS 25. A chaque occurence, on vérifie qu'on est dans les clous.

Si oui, on voit ce qu'on fait : rien ou amélioration commerciale.

Si non, on modifie pour fiabiliser le système (donc une AD).

Manu

[Gator]

J'en ai d'autres, des histoires de souk,
mais si je raconte tout...

T'as juste besoin d'un bon dico, n'est-il pas ?

[toms]

T'as juste besoin d'un bon dico, n'est-il pas ?

Je crois même que ma femme est aussi intéressée...