Vol Qantas 72

L'appareil impliqué est un Airbus A330-303 immatriculé VH-QPA (numéro de série 553), qui a été livré neuf à Qantas le 26 novembre 2003. Cet avion gros-porteur long-courrier, propulsé par deux turboréacteurs General Electric CF6-80E1A3, totalise 20 040 heures de vol et 3 740 cycles (décollage/atterrissage) au moment de l'incident.

L'équipage du vol 72 est supervisé par le commandant de bord Kevin Sullivan (53 ans), un ancien pilote de l'US Navy (1977-1986) qui avait déménagé en Australie. Il totalise 13 592 heures de vol à son actif, dont 2 453 heures sur Airbus A330.

L'équipage comprend également le copilote Peter Lipsett, qui totalise 11 650 heures de vol, dont 1 870 sur Airbus A330, et le second officier Ross Hales, qui totalise 2 070 heures de vol, dont 480 sur Airbus A330.

Outre les trois membres d'équipage dans le poste de pilotage, on compte également neuf membres du personnel navigant commercial (PNC) et 303 passagers en cabine.

L'incident a débuté à 12 h 40 min 28 s UTC+8. Le vol 72 volait à une altitude de 37 000 pieds (11 000 m) au dessus de l'océan Indien, lorsque les pilotes reçurent un message électronique signalant une anomalie de fonctionnement du pilote automatique et du système de référence inertielle. Le pilote automatique fut automatiquement débrayé, puis l'avion monta de 200 pieds (60 m), sous contrôle manuel. Le pilote automatique fut ré-engagé lorsque l'appareil atteignit son niveau de vol initial, puis il fut débrayé, et ce pour le reste du vol.

À 12 h 42 min 27 s, l'avion fit une brusque manœuvre soudaine et intempestive vers le bas, enregistrant -0.8 g et atteignant 8,4° à piqué, et poursuivit une descente rapide de 650 pieds (200 m) en environ 20 secondes avant que les pilotes puissent ramener l'avion à son altitude de croisière.

À 12 h 45 min 8 s, l'avion fit une seconde manœuvre non maîtrisée de nature similaire, pour atteindre cette fois une accélération de 0,2 g et un angle à piqué de 3,5°, au cours d'une descente de 400 pieds (120 m) en environ 16 secondes avant de revenir à son niveau de vol.

Des passagers et membres d'équipage non-attachés, ainsi que certains passagers ayant bouclé leur ceinture, furent violemment projetés contre les parois de la cabine ou les compartiments à bagages. Les pilotes ont ensuite stabilisé l'avion et ont déclaré une situation d'urgence (un message code « pan-pan » fut émis, signalant une situation d'urgence) ; ce message fut ensuite remplacé par un message de détresse (« mayday ») lorsque l'équipage put prendre la pleine mesure du nombre de blessés.

Quarante minutes plus tard, l'équipage fit un atterrissage d'urgence à la base aérienne de Learmonth, située prés d'Exmouth, en Australie-Occidentale. On a recensé 12 blessés graves et 103 blessés légers pour 315 personnes à bord.

• Dégâts dans la cabine après l'incident
•  
•  

L'enquête de l'ATSB a été soutenue par l'autorité australienne de la sécurité de l'aviation civile (en), Qantas (propriétaire de l'avion), le Bureau d'enquêtes et d'analyses pour la sécurité de l'aviation civile (BEA) français et Airbus (fabricant de l'avion). Des copies des données de l'enregistreur de paramètres (FDR) et de l'enregistreur phonique (CVR) de l'avion ont été envoyées au BEA et à Airbus.

Dans un rapport préliminaire, l'ATSB a identifié une défaillance survenue dans l'ADIRU n°1 comme « l'origine probable de l'incident » ; cet ADIRU, l'un des trois dispositifs de ce type présents sur l'Airbus A330, a commencé à fournir des données incorrectes aux autres systèmes de l'avion.

Les effets initiaux de cette défaillance furent :

• Alarmes de décrochage et de survitesse erronées et contradictoires
• Perte des informations d'altitude sur l'écran de vol principal (PFD) du commandant de bord
• Plusieurs alertes de l'ECAM de l'avion

Environ deux minutes plus tard, l'ADIRU n°1, qui fournissait des données à l'écran de vol principal du commandant de bord, a fourni des indications très élevées (et erronées) concernant l'angle d'attaque (AOA) de l'avion^[1], ce qui a conduit à :

• Les ordinateurs de bord ordonnent un mouvement de piqué à l'avion, ce qui entraîne une inclinaison maximale de l'avion d'environ 8,5°
• Le déclenchement, au niveau du système principal de commande de vol électrique (FCPC), d'un défaut de contrôle du tangage.

Après une analyse détaillée du FDR, du logiciel FCPC et de l'ADIRU, il a été découvert que le processeur de l'ADIRU a corrompu les données de l'AOA. La nature exacte de cet erreur est que le processeur de l'ADIRU avait réétiqueté par erreur les valeurs de données d'altitude, de sorte que les données binaires qui indiquaient 37 012 (l'altitude du vol 72 au moment de l'incident) représentaient un angle d'attaque de 50,625°. Le FCPC a ensuite traité les données AOA élevées par erreur, déclenchant le mode de protection contre un angle d'attaque élevé, qui a envoyé un ordre au système de commandes de vol électriques pour faire piquer l'avion.

Plusieurs types de déclencheurs potentiels ont été étudiés, notamment des bugs logiciels, une corruption des données du logiciel, des défauts au niveau du matériel à bord, des interférences électromagnétiques et des particules à haute énergie générées par le rayonnement cosmique, qui peuvent provoquer une perturbation par une particule isolée (PPI). Bien qu'il n'ait pas été possible de parvenir à une conclusion définitive, des informations suffisantes provenant de plusieurs sources ont permis de conclure que la plupart des déclencheurs potentiels étaient très peu susceptibles d'être impliqués. Un scénario beaucoup plus probable était qu'une faiblesse matérielle marginale d'une certaine forme rendait les unités sensibles aux effets d'un certain type de facteur environnemental, qui a déclenché la défaillance de l'ADIRU n°1.

Bien que des spéculations aient été émises selon lesquelles des interférences provenant de la station de communications navales Harold E. Holt ou des appareils électroniques personnels des passagers auraient pu être impliquées dans l'incident, l'ATSB a estimé que cette possibilité était « hautement improbable ».

Le rapport final de l'ATSB, publié le 19 décembre 2011, a conclu que l'incident du vol 72 s'est produit en raison d'une limitation de la conception logicielle, jusqu'alors inconnue, du système principal de commande de vol électrique (FCPC) présent sur l'Airbus A330 et l'Airbus A340, et d'une défaillance affectant l'un des trois système ADIRU de l'avion, qui a transmis des données erronées concernant l'angle d'attaque (AOA) à l'ordinateur de bord, commandant à l'avion d'effectuer une série de manœuvres à piquer.

La limitation de conception du FCPC signifiait que, dans une situation très rare et spécifique, plusieurs pics dans les données AOA de l'un des trois ADIRU, survenant à 1,2 seconde d'intervalle, pouvaient amener le système à ordonner à l'A330 de piquer du nez.

Le 27 décembre 2008, un autre A330 de Qantas, opérant entre Perth et Singapour, a été impliqué dans un incident similaire à celui du vol 72. Alors qu'il volait au niveau de vol FL360 (36 000 pieds, 10 972 m), le pilote automatique s'est subitement déconnecté et l'équipage a reçu une alerte indiquant un problème avec l'ADIRU n°1. Il a alors exécuté la procédure révisée, publiée par Airbus après le précédent incident, et est rentré à Perth sans problème. L'ATSB a inclus cet incident dans son rapport d'enquête concernant le vol 72.

Depuis l'incident du vol 72, une mise à jour complète des logiciels a été réalisée sur l'ensemble des A330 opérant dans le monde, pour empêcher que se reproduise ce type de dysfonctionnement.

L'accident a fait l'objet d'un épisode dans la série télé Air Crash nommé « Chute libre » (saison 18 - épisode 7).

• Perturbation par une particule isolée

•   Portail de l’aéronautique
•   Portail des années 2000
•   Portail de l’Australie-Occidentale