Oubli des volets au décollage

Oubli des volets au décollage
ÿ MD80
ÿ Detroit Metropolitan
County
ÿ 16 août 1987
Wayne
le 16 août 1987, un MD 80 s'écrase au décollage de la piste 03 centrale à Detroit
Metropolitan Wayne County Airport. Parmi les 149 passagers, il n'y a eu qu'un survivant,
une petite fille de quatre ans. Deux personnes au sol furent mortellement blessées.
l'enquête a révélé que l'avion n'était pas dans la configuration correcte pour le décollage.
Les becs et les volets étaient rentrés, les performances de l'avion ne permettaient plus le
franchissement des obstacles. La cause probable citée pour cet accident est l'omission de
la check-list roulage par l'équipage. Un facteur contributif est l'interruption, pour une
raison inconnue, de l'alimentation électrique de l'alarme configuration au décollage.
Cet accident avait donc pour origine une erreur humaine. L'explication peut sembler
satisfaisante pour certains, mais s'arrêter là serait aussi une grave erreur.
Aucun accident, aussi simple soit-il en apparence, n'est le résultat d'une seule défaillance
ou d'un seul facteur. le comportement d'un pilote ne s'explique pas isolement. Il survient
toujours dans le contexte d'une organisation, dans le climat créé et affecté par les actions
et les décisions d'autres individus.
•
Déroulement des évènements
L'équipage a pris en compte le MD 80 à Minneapolis le matin du 16 août, pour effectuer un vol à
destination de Saginaw, Michigan via Détroit. Un pilote qui a effectué la première étape en passager
sur le jump seat quitta l'avion à Saginaw. Il se rappelle avoir entendu le Control Aurai Warning System
(CAWS) annoncer « Flaps, Flaps » pendant le roulage. Il avait alors pensé: « tiens, cet avion arrive
même à vous parler ».
Le vol 255 quitte Saginaw vers 18h53 et arrive à son poste de stationnement à Detroit vers 19h42.
Pendant le roulage, l'équipage dépasse son parking et doit faire un demi-tour.
L'avion poursuit ensuite son vol vers Santa Anna via Phoenix. Une fois les opérations de transit
terminées, la check-list « Avant mise en route » est réalisée pendant le repoussage et l'équipage
commence la mise en route des moteurs.
A 20h34:50, l'avion reçoit l'instruction suivante: « roulez par le parking jusqu’au point d’attente 03
centrale. Arrêtez vous à D (taxiway) ». Sur demande du contrôle, l'OPL confirme avoir reçu
l'information « Hotel », l’information ATIS. Le contrôleur les autorise alors à quitter le « Ramp » au
niveau du Taxiway Charlie pour rouler vers la piste 03 C puis demande de contacter le Sol sur 119,45.
l'OPL répète l'autorisation mais pas la dernière instruction.
Il indique au CDB, « Charlie pour la 3 centrale ». Sept secondes plus tard, il précise au CDB qu'il quitte
la VHF 1 pour écouter le nouvel ATIS. L'information ATIS H annonce, entre autres : « cisaillement de
vent dans les basses couches reporté ». Est-ce le meilleur moment pour prendre un ATIS ?
A 20h35:38 le CDB demande « ... est-ce que nous avons un décompte des têtes ? ». Juste au
moment où l'OPL commence à copier l'information H, un PNC annonce que l'avion est complet et
engage une conversation avec le CDB au sujet de sa présence sur le jump seat pour le décollage. Le
CDB propose au PNC d'assister au décollage. le PNC décline l'offre en disant « non, les décollages sont
ennuyeux »…
A 20h36:40, le CDB parle du réglage de trim à propos de la masse au décollage, ce qui l'amène à
demander: « Nous sommes OK pour la 03 C n'est-ce pas ? ». Les limitations informatisées données
dans le dossier de vol ne contiennent pas celles de la piste qui vient d'être mise en service en raison
d'un changement de vent. Ont-ils fait un briefing départ ?
l'OPL commence à vérifier les limitations et 15 sec après que l'OPL ait dit « je vais regarder », le CDB
demande: « où est Charlie ? » parlant du taxiway qu'ils ont déjà dépassé. Pendant les 30 secondes
suivantes, le CDB et l'OPL discutent sur la position du taxiway Charlie. A 20h38:01, l'OPL dit au
contrôle sol « nous avons dépassé Charlie ». Le contrôle indique alors un cheminement et redemande
le changement de fréquence. A ce moment le CDB précise: « je pensais à la 21...Nous nous sommes
posés deux fois sur la 21 ».
A 20h38:31, le contrôle sol demande : « 255, sur la fréquence ? ». L'OPL répond « Oui nous y
sommes... Personne ne nous a transféré jusqu' à ce que vous nous rappeliez ». Le contrôle donne de
nouvelles instructions de roulage et rappelle l'information ATIS H que l'OPL confirme avoir reçue. Un
échange eu alors lieu entre l'OPL et le contrôleur au sujet du changement de fréquence précédent.
Le contrôleur confirme « le contrôleur a dit qu’il vous avait transféré... ». l'OPL répondit « Euh, nous
n’avons pas du collationner… »
Quinze secondes après cette discussion, l'OPL donne le résultat de ses calculs de limitation décollage
pour la piste 03 C: « oui, nous sommes bons ». Puis l'équipage parle pendant environ 20 secondes de
la masse et de la température.
A 20h40:37, les communications radio sont passées sur la fréquence Tour.
Entre 20h41:03 et 20h42:08, le CDB engage une discussion au sujet d'autres avions autour d'eux,
Gulfstream, Jetstream et Embraer. La discussion prend fin lorsqu'ils arrivent au seuil de la piste 03 C.
L'OPL annonce « 255 est prêt sur la centrale ».
Le contrôle Tour transmet « ... en position et attendez... Vous allez devoir attendre 3 minutes pour
séparation cause turbulence de sillage avec l’avion qui vous précède ». L'OPL fait une annonce au
public address et à 20h42:36, environ 20 sec plus tard, le CDB dit: ... « plus noir que(...) par ici... »
en parlant semble-t-il d'une petite cellule orageuse au Nord Ouest de l'aéroport.
Quatre secondes après cette remarque, l'OPL commence la check-list avant décollage en annonçant le
premier item « Transponder sur ON ». Les deux items restant (CWAS et Ignition) sont effectués et
suivis par 30 secondes sans conversation dans le cockpit. Le CDB annonce ensuite, et toujours au
sujet du mauvais temps au Nord-Ouest : « Bien nous n'allons pas à gauche ».
A 20h44:08, après 22 secondes sans conversation dans le cockpit, la tour annonce « 255, piste 03
centrale, virage à droite cap 260, cleared for take off ». L'OPL collationne et, dans les 5 secondes, un
bruit de relâchement de freins et d'augmentation de poussée sont enregistrés sur le CVR. Environ 5
secondes après le lâcher des freins, le CDB dit, en parlant du TCU ( Thrust Computer Indicator :
automanette), « Ne tient pas » suivi d'un bruit de cliquetis, puis à nouveau : « Ne passe pas...Ne
reste pas sur ON » suivi d'autres cliquetis.
A 20h44:39, le CDB dit: « Le Ta n'est pas engagé...peux tu l'avoir maintenant ... voilà .... » . Deux
secondes plus tard, le CDB fait l'annonce 100 kt suivie 10 sec après par. V1 et VR.
A 20 h45:05, le bruit du vibreur de manche commence et se poursuit jusqu'à la fin de
l'enregistrement. L'alarme sonore de décrochage fut enregistrée à 20h45 :09 et se répéta trois fois
pendant que l'un des deux pilotes disait: « ...suit la tendance… » Le bruit du premier impact fût
enregistré à 20h45 :19.
•
Performance humaine
L'examen de l'épave et différentes investigations ont permis d'établir que les becs et les volets
n'étaient pas positionnés pour le décollage. Cette omission d'une action majeure (non positionnement
de la manette des volets) n'a jamais été détectée, ni corrigée par l'équipage. Il était pourtant possible
de déceler cette anomalie à plusieurs reprises pendant les 11 min qui ont séparé le moment où les
volets auraient dû normalement être sortis et l'accident.
L'avion lui-même était équipé d'une alarme sophistiquée qui aurait dû alerter l'équipage au moment
du décollage. Mais cette alarme n'a pas fonctionné pour des raisons non déterminées et l'accident
s'est produit. Comment un équipage bien entraîné, expérimenté, professionnel peut-il manquer une
action aussi basique et fondamentale ?
Comment un avion aussi moderne peut devenir ce terrible instrument de destruction à la suite d'une
anomalie aussi décelable et facile à corriger ? Les réponses à cette question ne sont pas faciles à
obtenir. Il faut essayer de disséquer ce qui constitue le principal problème de « performance
humaine » de cet accident majeur.
•
Organisation des tâches, conception et utilisation des check-lists
La défaillance fondamentale dans la séquence des évènements qui ont conduit à cet accident est le
non-positionnement du sélecteur de volets pour le décollage. Une deuxième omission tout aussi
fondamentale est la non exécution de la check-list roulage, la seule check-list incluant l'item de
vérification des volets et des becs. Il est essentiel de comprendre pourquoi ces deux défaillances ont
eu lieu pour comprendre comment cet accident s'est produit.
Beaucoup d'activités très spécialisées sont de nature séquentielle. Elles peuvent être vues comme une
série de « scripts » interactifs déclenchés par un événement ou une action antérieure. Par exemple,
l'autorisation de repoussage du vol 255 déclencha une demande de l'équipage vers l'assistant sol pour
savoir s'il était prêt. Sa réponse positive déclencha la procédure de mise en route proprement dite.
Une fois normalement réalisée, la mise en route du dernier moteur déclencha la check-list après mise
en route qui elle même, une fois terminée, déclencha une demande de roulage au contrôle par l'OPL.
C'est un scénario type. Chaque « script » est activé par un signal ou un événement qui le précède.
Une bifurcation vers un autre script peut ainsi changer toute la séquence des événements. Pour peu
qu'un événement perturbe ou interrompe le cours normal de ces actions, un script complet peut être
manqué et, bien qu'il existe des vérifications spécifiques par la suite, un opérateur humain peut ne
jamais réaliser qu'une suite d'actions n'a pas été effectuée. De plus, une omission peut en provoquer
une autre simplement par absence de stimulus pour cette nouvelle action.
Il est intéressant d'examiner les procédures de cette compagnie et de beaucoup d'autres compagnies
à la lumière de cette interdépendance des actions mentionnées plus haut.
Tout d'abord, le simple geste de positionner la manette des volets est une tâche
strictement réservée à l'OPL. Sans ordre ou accord du CDB, l'OPL doit positionner la
manette dans le cran prévu pour le décollage à un moment non précisé, après que le CDB
ait commencé le roulage. Les instructions mentionnent généralement la nécessité d'avoir
quitté les aires de parking encombrées et de s'être assuré que l'avion est dégagé des
personnels et véhicules au sol.
Aucun événement précis ne déclenche l'action de sortir les volets. Une seule personne est impliquée.
Il n'y a pas de redondance ordre-réponse ou question-réponse. De même façon, l'appel de la checklist roulage n'est pas déclenché par un événement particulier. Selon la compagnie du MD 80, le CDB
doit commander la check-list roulage « pendant le roulage » sans autre précision.
Habituellement, ces deux évènements prennent place au tout début du roulage. Dès que l'avion
commence à rouler par ses propres moyens, l'OPL positionne la manette des volets et, simultanément
ou très peu de temps après, l'équipage exécute la check-list roulage .
Malheureusement, dans ce cas, aucune des deux actions n'a eu lieu. Dès que l'autorisation de rouler a
eu lieu, le CDB débuta le roulage et l'OPL dit: « Je te quitte un instant, je prend la nouvelle ATIS ». Le
CDB accepta, s'occupa tout de suite du décompte des passagers et discuta avec le PNC du décollage
sur le jump seat.
Tandis que l'OPL écoutait l'ATIS le CDB demanda : « Nous sommes OK pour cette piste centrale, n'est
ce pas ? » L:OPL répondit qu'il vérifiait et le CDB demanda: « Où est Charlie ? ». Cela entraîna une
discussion supplémentaire dans le cockpit et ensuite un échange avec le contrôle sol comprenant une
nouvelle demande de changement de fréquence.
Tout cet enchaînement fut suivi par la réponse de l'OPL confirmant que la masse était dans les
limitations pour la piste 03 C.
Lorsque la discussion concernant la masse et la température fut terminée, le roulage avait commencé
depuis 5 min environ et l'équipage avait largement dépassé le moment où les volets sont
habituellement sortis et la check-list roulage exécutée. Les pilotes s'éloignaient rapidement de la
« fenêtre d'opportunité » où certains stimuli pouvaient encore déclencher la sortie des volets ou
l'exécution de la check-list.
A ce moment, la conversation entre les deux pilotes s'orienta vers des sujets non opérationnels
concernant les avions observés dehors. C'est une conversation typique de celles qui prennent place
dans les cockpits pendant les temps morts, lorsque toutes les tâches immédiates sont réalisées. Cette
conversation débuta après une période de calme d'environ une minute et continua pendant environ
une minute à la suite de laquelle l'OPL contacta la Tour avec le message suivant: « ... 255 est prêt
pour la 03C ». Il se trouvaient maintenant bien au delà du point où la sorti des volets et l'exécution de
la check-list roulage est un sujet de préoccupation. Ces items ont pratiquement toujours été accomplis
(littéralement des milliers de fois) bien avant d'arriver à ce stade de roulage.
De plus, la seule check-list restante, la check-list avant décollage, ne contient que des items ultimes
(Transpondeur, Panneau d'alarmes et Ignition). Aucune certification de la configuration de l'avion
n'est prévue. Ainsi l'équipage arriva au point que une seule vérification fortuite de la configuration
(pour laquelle existaient de nombreuses opportunités mais historiquement pas de raisons précises) et
l'alarme configuration au décollage les séparaient de l'accident. Une séquence essentielle avait été
omise, non déclenchée et non réalisée. Mais ce n'est pas la première fois (et pas la dernière) que de
telles défaillances surviennent dans les opérations aériennes d'une compagnie.
•
Systèmes d'alarme : sont-ils primaires ou secondaires ?
L'événement majeur suivant est survenu dans les premières secondes du décollage. Une fois les freins
relâchés et les manettes de poussée avancées, un capteur aurait dû activer le CAWS au moment où
l'EPR dépassait 1.4 pour vérifier la configuration de l'avion et annoncer par une voix synthétique.
« Flaps, Slats » si les volets et/ou les becs n'étaient pas correctement positionnés. Le CVR montre que
cette alarme n'a pas fonctionné. Une fois ce stade passé, seule une observation très improbable de
l'équipage permettait d'être alerté avant le lift-off. Beaucoup de pilotes ont été sauvés par l'activation
de cette alarme configuration.
L'équipage d'un B 737 a rapporté la même situation à travers l'Aviation Safety Reporting System
(ASRS) de la NASA, quelques semaines après l'accident de Detroit. Il n'y a aucune raison de penser
que d'autres cas n'ont pas eu lieu depuis. Ainsi, l'absence d'alarme fut un événement à signification
majeure dans cet accident.
Bien que nous ne puissions établir qu'il y a eu interruption de l'alimentation électrique du système
d'alarme, nous n'avons pas suffisamment d'informations pour retenir l'une des trois explications
possibles :
¸
¸
¸
défaut interne du breaker
déclenchement du breaker en raison d'un courant électrique transitoire
action délibérée d'une personne ayant eu accès au breaker.
Un long débat a eu lieu afin de déterminer si cette défaillance de l'alarme était une cause
ou un facteur contributif. Ce débat soulève la question de savoir si nous considérons que
les systèmes d'alarme sont primaires, essentiels ou indispensables ou secondaires et
destinés à fournir un dernier recours contre les erreurs primaires, humaines ou mécaniques. Bien qu'il soit facile de défendre le second point de vue, l'expérience a pu montrer
que les gens développent une dépendance réelle à de tels systèmes lorsqu'ils existent. Si,
objectivement, le comportement des gens est conditionné par leur interaction et leur
expérience avec de tels systèmes, cela ne plaide-t-il pas en faveur du premier point de
vue ?
•
Attitude mentale
Pendant la dernière minute du vol 255, l'équipage a eu à plusieurs reprises l'occasion de déceler son
erreur initiale. Pourtant, en raison de caractéristiques inhérentes à la nature humaine, il est très
improbable qu'un pilote puisse agir différemment dans une telle situation.
Aussitôt après le lâcher des freins, le CDB et l'OPL engagèrent le
dialogue suivant un dialogue à propos de l’automanette qui ne
s’armait pas. La procédure normale de décollage sur MD 80
comprend l'utilisation de l'automanette une fois que la poussée est
affichée manuellement. De façon à engager le système, le TA doit
être armé (c'est un autre item de la check-list roulage). A aucun
moment, alors que le non armement du TA avait été détecté avant
100kt, une accélération n’a été entreprise.
Certains ont demandé pourquoi, cette découverte n'a pas fait comprendre à l'équipage qu'il n'avait
pas exécuté la check-list roulage. Confortablement installé dans un fauteuil, la question est raisonnable. Cependant, il a été démontré que les gens sont très conservatifs dans leur décision, surtout
lorsqu'une décision implique l'abandon d'une conviction antérieure. Jusqu'à cet instant, rien n'indiquait
à l'équipage que quelque chose n'allait pas. Son sentiment était que tout était normal et le fait que le
TCI n'ait pas été armé ne suffisait pas à remettre en cause cette hypothèse.
Quinze secondes après la fin de la discussion sur l’automanette, la rotation eut lieu et le vibreur de
manche s'activa jusqu'à la fin de l'enregistrement. C'est alors la première indication pour l'équipage
que quelque chose de grave se produit. A peu près à cet instant le DFDR révèle que le mode Go
Around a été sélecté sur le Directeur de Vol et que le CDB agit sur la profondeur pour tenir l'ordre du
DV. L'enquête a permis d'établir que si l'assiette avait diminué en réponse au stick shaker, l'avion
aurait pu accélérer suffisamment pour éviter les obstacles et, peut-être effectuer un décollage normal.
Pourquoi le vibreur de manche et l'alarme décrochage n'ont pas amené l'équipage à vérifier la
configuration de l'avion ? Et pourquoi l'équipage a-t-il réagi en augmentant plutôt qu'en diminuant
l'assiette ?
A nouveau il est important de se rappeler que l'équipage n'a aucune raison de douter de la configuration de l'avion. Bien que les difficultés d'engagement de l'automanette aient pu constituer un indice,
cela n'était pas suffisant. De cette façon, au lieu de remettre en cause la configuration de l'avion, cet
équipage a probablement développé une nouvelle hypothèse pour expliquer la situation un gradient
de vent, facteur extérieur.
La dernière phrase enregistrée sur le CVR est « ...right up to the V bar ». Elle fait référence à la barre
de tendance horizontale. Cette attitude est conforme à la conduite à tenir en cas de rencontre de
gradient de vent.
Mais la situation devait être très déroutante car aucun des autres indices de gradient de vent n'était
présent. En particulier la vitesse indiquée a du croître régulièrement. Mais cette observation n'a
probablement pas été faite rapidement car l'équipage était sensibilisé par une conversation tenue
avant le repoussage au sujet des gradients du vent. L'information H de l'ATIS mentionnant un
message d'alerte au gradient de vent et les signes d'orage qu'il pouvait observer visuellement
justifiaient cette préoccupation.
Bien que l'avion ait continué à accélérer après le lift-off, en raison de l'incidence importante une
instabilité en roulis fut contrée aux ailerons avec une amplitude suffisante pour que les spoilers
sortent et que la portance globale diminue. Rien n'indique que l'équipage avait alors compris que
l'avion se trouvait en configuration lisse.
•
Autres facteurs affectant les performances humaines
De nombreux autres facteurs affectent individuellement et collectivement les performances des pilotes
dans cet incident. On peut mentionner en raison des différences de cultures, la fusion de la
compagnie du MD 80 avec une autre importante compagnie. L'adaptation que demande un tel
changement après une longue carrière peut être traumatisante (le CDB avait 57 ans). Le passage
obligé d'une place de CDB 757 à celle de CDB MD 80 avec salaire et statut associés en avait été l'une
des conséquences.
En plus de ces problèmes passés, certains facteurs directement liés à ce vol méritent d'être cités. Le
plus important était la pression de l'horaire. Le vol a quitté son poste avec 33 minutes de retard et
devait faire face à un risque de délai supplémentaire possible dû à la météo dans la région de Detroit
et à l'éventualité d'attente en route ou de changement de route en raison des turbulences sur le
trajet. Le problème n'était pas le délai lui-même mais l'existence d'un couvre feu au terrain de
destination. Tout délai supplémentaire devenait un problème pour cet équipage dans le déroulement
de cette longue journée de vols.
Est-il possible de prouver que l'un de ces facteurs a affecté directement les performances des pilotes ?
Non, probablement pas. Est-il probable que cela a été le cas ? Sans aucun doute.