117.326 - Evaluation des hypothèses des dysfonctionnements identifiés „sleeping mode, deaf mode et jumping mode".

Remarque : Les informations (fréquence, distance, identification de la station

sol) sont transmises sur cinq canaux pré-affectés. L'un de ces canaux est

réservé à l'affichage (écrans EFIS et DDRMI). Les calculateurs FMGC n'effectuent

aucun test de vraisemblance sur les distances DME qui cheminent par ce canal.

117.326.1 - Le phénomène "sleeping mode".

Le défaut "sleeping mode" est susceptible d'affecter tout équipement DME Collins-700 qui n'a pas subil l'application du SB Collins n° 20, et ce quel que soit le type d'avion.

Il se traduit par le fait que, toutes les 33,5 secondes, la valeur de distance DME est recyclée sur la valeur calculée au moment de l'apparition du défaut. De plus, il est impossible d'accorder le DME sur la fréquence d'une autre station sol.

Lorsqu'il détecte des sauts de distance supérieurs à 0,35 NM le FMGC associé au DME défectueux passe automatiquement en mode de navigation inertielle pure.

De plus, si les positions calculées par les deux FMGC diffèrent de plus de 5 NM, 1'équipage en est informé par le message „FMS1 / FMS2 POS DIFF" affiché aux MCDU.

L'OEB N°91/1 (repris et complété en mars 1992 dans l'OEB 91/2) décrit la procédure opérationnelle applicable par les équipages. Cette procédure préconise d'accorder les deux DME sur la même fréquence et d'effectuer régulièrement un contrôle croisé des informations de distance affichées sur les écrans de navigation et sur le DDRMI.

Lorsque le phénomène est détecté, une réinitialisation (reset) doit être tentée par action sur le disjoncteur du DME incriminé.

Collins a défini le SB N°20 couvert sur A320 par la modification N° 22638 pour corriger le sleeping mode.

Le SB N°20 n'avait pas encore été appliqué aux DME Collins-700 qui équipaient le F-GGED.

Note: (Les chiffres cités cidessous ont été coumniqués par t'équipementier à

la commission en milieu d'année 1992)

Collins estime qu'une vingtaine de défauts signalés peuvent être des cas de "sleeping mode", mais que seulement six d'entre eux ont pu être confirmés. L'évaluation par

91

Collins du nombre d'heures de vol effectuées par toute la flotte d'appareils équipés en Collins-700 lui permet d'estimer à 10-5 par heure de vol la probabilité d'occurrence du défaut (c'est-à-dire un cas pour cent mille heures de vol). Ce résultat statistique donne un ordre de grandeur dont la précision est difficile à évaluer dans la mesure où l'on n'a aucune certitude que tous les cas de "sleeping mode" ont été effectivement constatés puis notifiés par les équipages.

Il n'est pas prévu que ce dysfonctionnement soit enregistré sur les enregistreurs de paramètres (DFDR, QAR). Par ailleurs, la transcription du CVR ne comporte aucune remarque des pilotes relative aux distances DME. Enfin, le logiciel BITE des équipements DME Collins-700 ne permettait pas de détecter ou d'enregistrer ces dysfonctionnements.

Le BITE est un logiciel destiné à assurer 1'autosurveillance de l'équipement et à faciliter les opérations de maintenance de ce même équipement. Il est donc programmé en particulier pour détecter certaines anomalies de fonctionnement du programme opérationnel. La memoire destinée à sauvegarder des éléments d'informations relatives aux anomalies détectées est une mémoire non volatile organisée en tableaux dans lesquels sont rangées ces informations. L'adresse physique de sauvegarde est calculée par le logiciel BITE. Dans le cas du phénomène "sleeping mode", les procédures du logiciel BITE ne détectent pas qu'une adresse de stockage prend une valeur excessive. Une information ayant trait au BITE est alors enregistrée dans la mémoire réservée au programme opérationnel, ce qui provoque son dysfonctionnement.

Après examen du contenu des mémoires non volatiles des équipements DME, Collins a cependant déterminé qu'il n'y avait pas eu de sleeping mode au cours de l'approche. L'argumentation repose sur la non occurrence simultanée de trois critères de caractérisation du phénomène. L'hypothèse d'un dysfonctionnement du type "sleeping mode" peut donc être réfutée par une démonstration technique.

La validité de cette démonstration a été confirmée par une expertise indépendante conduite au CEAT (Centre d'Essais Aéronautiques de Toulouse) à la demande de la commission. Le CEAT a constaté des incohérences et des désordres dans les données enregistrées dans la mémoire non volatile par le logiciel BITE. Toujours selon le CEAT, ce logiciel présentait des défauts de conception, qui entrainent des débordements de tableaux. Les procédures de vérification et de test du logiciel BITE du DME Collins 700 n'ont pas permis de détecter ces incohérences avant la mise en service de cet équipement.

92

117.326.2 - Le phénomène „deaf mode"

Ce défaut est susceptible d'affecter tout équipement DME Collins-700 qui n'a pas subi l'incorporation du SB Collins N°24, quel que soit le type d'avion.

Bien que l'identification de ce défaut soit postérieure à la date de l'accident, les enquêteurs l'ont envisagé comme étant une hypothèse de défaillance pertinente avec les circonstances de l'accident.

Il se traduit par le fait qu'à la mise sous tension de l'équipement, cinq zones de la mémoire ne sont pas initialisées. Or leur contenu est utilisé pour gérer l'ordonnancement des six tâches (Input, Output, Receiver Manager, Monitor, Distance, Background) exécutées sur chacun des cinq canaux du DME.

Lorsque le défaut apparaît, il empêche l'exécution de l'une (ou de plusieurs) des six tâches: sur l'un (ou plusieurs) des cinq canaux. Ce n'est pas une panne fugitive.

L'équipementier précise que le deaf mode ne peut apparaître qu'à la mise sous tension de l'équipement après une coupure d'alimentation du DME d'au moins une heure.

Il se peut que le déf aut ne soit détectable qu'en vol, par exemple si le FMGC, ou l'équipage, tente de changer de fréquence alors que la tâche concernée (Input) n'est pas exécutable sur le canal concerné.

L'OEB daté de mars 1992 décrit le deaf mode et préconise uné procédure opérationnelle pour détecter le défaut. Le cas échéant, l'équipage tentera une réinitialisation (reset) par action sur le disjoncteur du DME incriminé.

Collins a défini le SB N° 24 (couvert sur A320 par la modification N° 23196 pour corriger le deaf mode.

Les enquêteurs n'ont eu connaissance que de deux cas: le premier a été constaté en laboratoire, et le second a été rencontré en vol le 15 février 1992.

L'occurrence de ce défaut n'est pas détectable sur les enregistrements QAR ou BITE.

Par contre, le défaut n'a pas normalement pu apparaître lors de l'escale à Lyon, où, du fait de sa courte durée, les équipements (DME en particulier) du F-GGED n'ont selon toute vraisemblance pas été mis hors tension.

93

117.326.3 - Le phénomène "jumping mode"

Ce défaut a été identifié postérieurement à l'accident. Il est propre aux DME Collins-700, quel que soit le type d'avion.

D'après les études faites par Collins, le défaut ne devrait apparaître qu'à des vitesses DME* faibles, inférieures à 35 kt environ. La probabilité maximale d'occurrence est obtenue lorsque la vitesse DME est nulle.

(Note* : la vitesse DME est la vitesse radiate de l'avion par rapport à La

station sot DME. Si L'avion est à distance constante de le station (par exemple

lors de l'exécution d'une procédure „Arc DME"), sa vitesse DME est égale à

zéro.)

Le "jumping mode" peut affecter n'importe lequel des canaux du DME:

Dans le cas d'un canal utilisé pour l'affichage, le défaut se traduit par un saut de distance compris entre -4,25 et -5,45 NM (la distance affichée est donc inférieure à la distance réelle) pendant 14 secondes, temps au bout duquel le logiciel du DME aura détecté l'anomalie et recalculé la distance réelle.

Dans le cas d'un canal utilisé pour le calcul de position FMS, le défaut peut se traduire par une dérive de la position calculée. Audessus du FL 200 cette dérive est filtrée et n'influe donc pas sur la position FMS. Endessous du FL 200 la constante de temps du filtrage est plus faible ce qui peut conduire à une dérive de la position FMS. Dans le cas le plus défavorable, cette dérive n'excède pas 2NM.

L'OEB 91/3 de septembre 1992 décrit une procédure opérationnelle basée sur le contrôle croisé des informations DME.

Le SB N°25 expose la modification définie par Collins pour corriger le deaf mode.

Ce dysfonctionnement n'est pas enregistré sur les enregistreurs de paramètres (DFDR, QAR).

La transcription du CVR ne comporte aucune remarque des pilotes relative aux distances DME.

L'enregistrement QAR fournit les paramètres de cap et de vitesse sol ainsi que les positions de l'avion calculées par le FMGC1. Cette trajectographie a été validée par comparaison avec une trajectographie de référence (voir § 117.8).

94

On observe que:

- en sortie de virage à 5000 ft, les valeurs de vitesse

et de cap sont telles que la vitesse DME est supérieure à 160

kt.

- à partir du temps QAR 2980, et jusqu'à 1'instant de

mise en descente (désengagement du mode ALT HOLD au temps QAR

3005), l'appareil est en rapprochement de la station sol DME à

un cap sensiblement égal au QDM (environ 060°). L'avion étant

alors pratiquement vent de face, la route suivie était

sensiblement égale au QDM. Dans ces conditions, la vitesse DME

est voisine de la vitesse sol, soit 170 kt.

- il en est de même pendant la descente où les

paramètres de cap et de vitesse sol sont presque constants.

Donc plus de trente secondes avant la mise en descente et pendant la descente, la vitesse DME était très

supérieure aux vitesses auxquelles le „jumping mode" peut apparaître.

L'hypothèse du "jumping mode" est donc réfutée.

117.326.4 - Autre dysfonctionnement

Un défaut signalé à une date postérieure à celle de l'accident n'a pas pu être classé avec certitude dans l'une des trois rubriques décrites ci-dessus. Il se traduisait par des distances DME erronées affectant alternativement les deux ensembles de façon fugitive. Le défaut a été détecté à la fois par 1 'équipage et par le FMGC, à la suite de quoi ce calculateur a rejeté le DME en question. Le BITE ne comportait aucune mention de panne sur ce vol. Aucune explication technique de cette anomalie n'était disponible à la date de clôture de cette enquête.

117.33 - Equipements VOR Collins-700

117.331 Equipement

Le F-GGED était équipé de deux récepteurs VOR Collins

-700-020:

VOR côté 1 : S/N 842 installé le 20 juin 1989,

VOR côté 2 : S/N 894 installé le 12 juillet 1991.

Ce type de récepteur a été adapté pour intégration de

l'interface avec le système de maintenance de l'A320 (CFDS) .

95

Selon les sélections d'affichage opérées par l'équipage, les informations élaborées par les

récepteurs VOR sont susceptibles d'être présentées sur les écrans de navigation et sur le DDRMI. Ces informations VOR ne sont pas enregistrées.

La conduite de l'approche, notamment l'alignement sur l'axe d'approche, supposait que l'équipage exploite les indications de relèvement par rapport à la station VOR de Strasbourg ainsi que les écarts par rapport au radial 231° de cette même station. En conséquence, les bases de données et la chaîne d'élaboration des indications VOR à bord ont fait l'objet d'examens particuliers.

117.332 - Modifications depuis certification

Depuis la date de sa certification, les modifications du matériel et les modifications de

procédure d'emploi ont été les suivantes:

Introduction d'un filtrage de l'information de relèvement VOR affichée sur les écrans de navigation. La constante de temps du filtre est de 0,8 seconde.

- TR N°124 du FCOM (juillet 1991) concernant les

VOR Collins-700. Cette révision demande que les approches

VOR soient effectuées en mode Navigation et qu'une remise

de gaz soit engagée si les oscillations VOR sont

supérieures à 1/2 point (rappel: un déplacement de 1

point de la barre d'écart signifie une variation de 5°

du relèvement).

- TR N°143 du FCOM (janvier 1992). Cette révision

étend l'application de la procédure opérationnelle

décrite dans la TR N°124 à tous les types de récepteurs

VOR.

- TR N°151 du FCOM (février 1992). Cette révision

annule et remplace la TR N°143. Elle décrit la procédure

opérationnelle en cas de battements et/ou de relèvements

erronés.

- TR N°156 du FCOM (avril 1992). Cette révision

annule la TR N°151 dans le cas des avions ayant subi la

modification du capotage et de mise à la masse de l'antenne

VOR (SB N°34-1044, modification N° 22956).

117.333 Examen des NOTAN en vigueur le jour de l'accident

L'examen des NOTAM n'a pas mis en évidence d'anomalie susceptible d'affecter la précision des

informations VOR au cours de l'approche.

Rappel : dans la database les stations VOR et TACAN de Strasbourg étaient déclarées non coimplantées. En conséquence le FNS n'exploitait pas le VOR STR.

96

117.334 - Examen des messages ACARS

Au cours du vol, respectivement vingt-cinq et trois minutes avant

l'accident, le système ACARS a transmis le message "VOR1 - No data f rom

control source" et le message "VOR2 - No data from controlsourcell. La

signification de ces messages est sans rapport avec une éventuelle indication VOR

erronée.

117.335 - Examen du QAR: fréquences sélectionnées

Les deux récepteurs VOR étaient accordés sur la fréquence de la station

STR.

Le fait que la fréquence VOR soit enregistrée sur le QAR montre que le

logiciel de surveillance de l'équipement n'avait pas détecté de défaut de

fonctionnement.

117.336 - Examen du VOR S/N 894 qui équipait le F-GGED

Seul le récepteur VOR S/N 894 a été récupéré sur le site de l'accident.

Les mémoires non volatiles de son BITE ont été lues chez

l'équipementier en présence d'un représentant du BEA.

Parmi les informations disponibles, on constate que le seul message

enregistré au cours des derniers vols est "No data from control source". L'origine

de ce message fait l'objet du Service Bulletin N°10. Il n'indique pas une

éventuelle indication VOR erronée.

Le logiciel BITE des équipements VOR Collins-700 ne permettait ni de

détecter ni d'enregistrer les dysfonctionnements étudiés au paragraphe suivant.

117.337 - Analyse des dysfonctionnements identifiés „erreurs de

relèvement VOR" battements d'indications VOR"

Deux types de dysfonctionnement aléatoire caractérisés par des

indications VOR erronées et/ou fluctuantes ont été signalés régulièrement depuis

la mise en service de l'avion (mi-1988).

Le premier est connu sous la dénomination "Erreurs de relèvement", et le

second "Battements d'indications"

117.337.1 - Phénomène „Erreurs de relèvement VOR"

Ce phénomène se caractérise par une indication de relèvement VOR

fortement erronée. Il n'a été rapporté que

97

sur des A320 équipés de récepteurs VOR fabriqués par un autre

équipementier que Collins.

Ce phénomène est essentiellement dû à l'atténuation du signal radioélectrique par une trop forte métallisation du carénage de l'antenne VOR. Le filtrage des signaux d'antenne en entrée du récepteur VOR Collins est différent de celui appliqué en entrée des VOR fabriqués par l'autre équipementier.

Il est donc extrêmement peu probable que ce phénomène ait été présent sur le FGGED pendant l'approche à Strasbourg.

117.337.2 - Phénomène „Battements d'indications VOR"

Lorsque ce dysfonctionnement apparait, l'indicateur de relèvement, comme la barre d'écart angulaire, sont soumis à des battements dont l'amplitude et la fréquence sont variables selon les cas rapportés.

Cette anomalie affecte entre autres les équipements VOR Collins-700-020. Le constructeur en a attribué la cause essentiellement à l'atténuation du signal radioélectrique par une trop forte métallisation du carénage de l'antenne VOR.

Comme pour le phénomène d'erreurs de relèvements, une modification ayant principalement trait à la métallisation de protection contre la foudre du carénage de 1 'antenne VOR a été appliquée sur toute la flotte A320 pour corriger ce défaut. Cette modification n'était pas appliquée sur le F-GGED

Ce défaut n'est pas détectable à posteriori sur les enregistrements QAR ou BITE.

Il n'est donc pas possible d'écarter l'hypothèse de tels battements d'indications VOR lors de l'approche à Strasbourg.

117.34 Evaluation des informations présentées à l'équipage sur les écrans de navigation

117.341 - Fonctionnement des systèmes

La transcription du CVR ne comporte aucune mention

d'anomalie.

L'enregistrement QAR indique qu'aucun des deux FMGC

n'était déclaré en panne.

98

Les enregistrements QAR, ACARS et CVR montrent que les éléments composants les visualisations électroniques de pilotage et de navigation (EFIS) étaient dans leur configuration nominale, sans détection de panne surveillée.

117.342 - Evaluation de la qualité de la trajectoire FMGCI

L'écart maximum relevé entre la trajectoire FMGC1 et la trajectoire de référence (voir § 117.8) est

d'environ 0,15 NM. (Pour donner un ordre de grandeur, lorsque le mode d'actualisation de la position FMS est 'IDME/DME", le calcul de position FMGC se fait avec une précision estimée meilleure que 0,28 NM).

Une simulation du vol (dernier virage et mise en descente) a montré une bonne corrélation de la

trajectoire FMGC1 avec la trajectoire obtenue par pilotage en mode sélecté (voir § 117.5).

Note : Si l'avion ne peut pas recevoir correctement deux DME,le FMGC

passe en mode de navigation inertiette pure, en conservant l'écart "position

inertielle position radio" précédemment calculé. De cette façon la transition

de "Inertie-Radio" à "inertie pure" ne s'accompagne pas d'un saut de position.

117.343 Examen des anomalies identifiées concernant les

cartes de navigation présentées sur les écrans ND

L'hypothèse d'anomalie(s) de carte de navigation présentée sur le ND a été envisagée. Les différents cas envisagés sont exposés ciaprès.

117.343.1 - Décalage de carte avec position FMGC juste

Deux phénomènes distincts sont connus:

a. Le saut de carte (ou „map shifting")

Dans ce cas la position calculée par le FM est juste (la navigation managée est correcte) mais une partie de la trajectoire présentée au ND saute brusquement. Ce phénomène n'est rencontré que lors de l'exécution de certaines approches identifiées. Il résulte d'une combinaison particulière de segments et points définissant la trajectoire FMS.

De telles combinaisons n'existent pas pour l'approche 05 VORTAC de Strasbourg. De plus elles ne

peuvent pas être créées manuellement. L'hypothèse d'un saut de carte avec position FMGC juste est donc exclue.

99

b. Anomalie de présentation en échelle 10 NM

Ce phénomène constaté à une date postérieure à celle de l'accident fait l'objet du TFU N°22720019 ouvert en, avril 1992. Seuls quelques cas ont été notifiés depuis la mise en service de lIA320. L'anomalie se traduit par un positionnement incorrect de la symbologie : la figuration de la trajectoire est erronée.

L'hypothèse d'une anomalie de présentation en échelle 10 NM (côté copilote seulement) ne peut pas être écartée par un raisonnement technique seul.

117.343.2 - Décalage de carte avec position FMGC fausse

Note 1 : L'enregistrement CAR ne comporte pas les positions calculées par le

FMGC2. On examine cette anomatie de carte pour les cas où le copilote aurait

sélectionné l'affichage d'un mode carte, la trajectoire présentée étant alors

cette élaborée par Le FMGC2.

Note 2 : Du fait de L'absence d'enregistrement, il n'est pas possible de

comparer les positions calculées par le FMGC2 à la trajectoire de référence. On

ne peut donc rien dire de la qualité de la trajectoire FMGC2 mais on remarque

que la transcription du CVR ne comporte aucune mention relative à un éventuel

constat d'affichage du message signifiant une différence de plus de 5 NM entre

les positions calculées par tes FMGC.

Le phénomène de "décalage de carte avec une position FMGC fausse" a

été signalé en approche VORTAC 29 à Bordeaux. Il était probablement dû au fait

que le FMGC exploitait des informations provenant du VOR co-implanté avec le

TACAN, dégradées à la réception par une trop forte métallisation du capotage de

l'antenne VOR.

Mais les conditions d'exploitation des stations sol par les FMGC n'étaient pas les mêmes à Strasbourg. En effet le VOR et le TACAN STR étaient déclarés non coimplantés dans la DATABASE. De ce fait, bien,que les deux récepteurs VOR aient été accordés sur STR, les FMGC n'ont jamais exploité les informations de ce VOR. Même en phase finale ils ne sont jamais passés en mode d'actualisation "VOR/DME".

L'hypothèse d'un décalage de carte lié à une position FMGC1 fausse est

donc exclue.

117.343.3 - Symbologie ND figée

En novembre 1992, le seul cas signalé datait du 26 mars 1992. D'après le

compte-rendu de l'équipage, toutes les informations du ND étaient figées et il

n'a pas été possible de récupérer les indications normales en utilisant les

sélecteurs de mode et d'échelle et les inverseurs VOR/ADF du FCU.

100

Peter B. Ladkin, 1999-02-08
	Last modification on 1999-06-15 by Michael Blume