Vol Qantas 72

L'appareil impliqué est un Airbus A330-303 immatriculé VH-QPA (numéro de série 553), qui a été livré neuf à Qantas le 26 novembre 2003. Cet avion gros-porteur long-courrier, propulsé par deux turboréacteurs General Electric CF6-80E1A3, totalise 20 040 heures de vol et 3 740 cycles (décollage/atterrissage) au moment de l'incident.

L'équipage du vol 72 est supervisé par le commandant de bord Kevin Sullivan (53 ans), un ancien pilote de l'US Navy (1977-1986) qui avait déménagé en Australie. Il totalise 13 592 heures de vol à son actif, dont 2 453 heures sur Airbus A330. L'équipage comprend également le copilote Peter Lipsett, qui totalise 11 650 heures de vol, dont 1 870 sur Airbus A330, et le second officier Ross Hales, qui totalise 2 070 heures de vol, dont 480 sur Airbus A330.

Outre les trois membres d'équipage dans le poste de pilotage, on compte également neuf membres du personnel navigant commercial (PNC) et 303 passagers en cabine.

À 9 h 32 UTC+8, le vol 72 de Qantas, avec 315 personnes à bord, a décollé de l'aéroport de Singapour-Changi, à destination de l'aéroport de Perth, en Australie. À 10 h 1, l'A330 a atteint son altitude de croisière d'environ 37 000 pieds (11 000 m) au dessus de l'océan Indien et maintenait une vitesse de croisière de Mach 0,82.

L'incident a débuté à 12 h 40 min 28 s, lorsque l'un des trois ADIRU de l'avion a commencé à fournir des données erronées au calculateur de vol. Face à ces données anormales, le pilote automatique s'est désengagé automatiquement. Quelques secondes plus tard, les pilotes reçurent plusieurs messages électroniques sur l'ECAM (en) de l'avion, les avertissant d'une anomalie liée au fonctionnement du pilote automatique et des systèmes de référence inertielle, ainsi que des avertissements sonores contradictoires de décrochage et de survitesse.

Pendant ce temps, le commandant de bord a commencé à piloter l'avion manuellement, en débrayant le pilote automatique, puis l'avion monta de 200 pieds (60 m), sous contrôle manuel. Le pilote automatique a ensuite été réengagé et l'A330 a commencé à revenir à son niveau de vol précédemment sélectionné. Le pilote automatique a été désengagé par l'équipage au bout d'une quinzaine de secondes et est resté désengagé pendant le reste du vol.

À 12 h 42 min 27 s, l'avion fit une manœuvre soudaine et intempestive vers le bas, subissant -0.8 g, atteignant 8,4° à piquer et poursuivant une descente rapide de 650 pieds (200 m) en environ 20 secondes avant que les pilotes puissent ramener l'avion à son altitude de croisière.

À 12 h 45 min 8 s, l'appareil fit une seconde manœuvre non maîtrisée de nature similaire, pour atteindre cette fois une accélération de 0,2 g et un angle à piqué de 3,5°, au cours d'une descente de 400 pieds (120 m) en environ 16 secondes avant de revenir à son niveau de vol.

Les passagers et membres d'équipage non-attachés (et même certains passagers attachés) furent violemment projetés contre les parois de la cabine ou les compartiments à bagages. Les pilotes ont ensuite stabilisé l'avion et ont déclaré une situation d'urgence (un message code « pan-pan » fut émis, signalant une situation d'urgence) ; ce message fut ensuite remplacé par un message de détresse (« mayday ») lorsque l'équipage put prendre la pleine mesure du nombre de blessés.

Les dégâts dans la cabine du vol 72, photographiés après l'incident.

Quarante minutes plus tard, l'équipage fit un atterrissage d'urgence à la base aérienne de Learmonth, située prés d'Exmouth, en Australie-Occidentale. On a recensé 12 blessés graves et 103 blessés légers pour 315 personnes à bord.

L'enquête de l'ATSB a été soutenue par l'autorité australienne de la sécurité de l'aviation civile (en), Qantas (propriétaire de l'avion), le Bureau d'enquêtes et d'analyses pour la sécurité de l'aviation civile (BEA) français et Airbus (fabricant de l'avion). Des copies des données de l'enregistreur de paramètres (FDR) et de l'enregistreur phonique (CVR) de l'avion ont été envoyées au BEA et à Airbus.

Dans un rapport préliminaire, l'ATSB a identifié une défaillance survenue dans l'ADIRU n°1 comme « l'origine probable de l'incident » ; cet ADIRU, l'un des trois dispositifs de ce type présents sur l'Airbus A330, a commencé à fournir des données incorrectes aux autres systèmes de l'avion.

Les effets initiaux de cette défaillance furent :

• Alarmes de décrochage et de survitesse erronées et contradictoires
• Perte des informations d'altitude sur l'écran de vol principal (PFD) du commandant de bord
• Plusieurs alertes de l'ECAM de l'avion

Environ deux minutes plus tard, l'ADIRU n°1, qui fournissait des données à l'écran de vol principal du commandant de bord, a fourni des indications très élevées (et erronées) concernant l'angle d'attaque (AOA) de l'avion^[1], ce qui a conduit à :

• Les ordinateurs de bord ordonnent un mouvement de piqué à l'avion, ce qui entraîne une inclinaison maximale de l'avion d'environ 8,5°
• Le déclenchement, au niveau du système principal de commande de vol électrique (FCPC), d'un défaut de contrôle du tangage.

Après une analyse détaillée du FDR, du logiciel FCPC et de l'ADIRU, il a été découvert que le processeur de l'ADIRU a corrompu les données de l'AOA. La nature exacte de cette erreur est que le processeur de l'ADIRU avait re-étiqueté par erreur les valeurs de données d'altitude, de sorte que les données binaires qui indiquaient 37 012 (l'altitude du vol 72 au moment de l'incident) représentaient un angle d'attaque de 50,625°. Le FCPC a ensuite traité les données AOA élevées par erreur, déclenchant le mode de protection contre un angle d'attaque élevé, qui a envoyé un ordre au système de commandes de vol électriques pour faire piquer l'avion.

Plusieurs types de déclencheurs potentiels ont été étudiés, notamment des bugs logiciels, une corruption des données du logiciel, des défauts au niveau du matériel à bord, des interférences électromagnétiques et des particules à haute énergie générées par le rayonnement cosmique, qui peuvent provoquer une perturbation par une particule isolée (PPI). Bien qu'il n'ait pas été possible de parvenir à une conclusion définitive, des informations suffisantes provenant de plusieurs sources ont permis de conclure que la plupart des déclencheurs potentiels étaient très peu susceptibles d'être impliqués. Un scénario beaucoup plus probable était qu'une faiblesse matérielle marginale d'une certaine forme rendait les unités sensibles aux effets d'un certain type de facteur environnemental, qui a déclenché la défaillance de l'ADIRU n°1.

Bien que des spéculations aient été émises selon lesquelles des interférences provenant de la station de communications navales Harold E. Holt ou des appareils électroniques personnels des passagers auraient pu être impliquées dans l'incident, l'ATSB a estimé que cette possibilité était « hautement improbable ».

Le 27 décembre 2008, un autre A330 de Qantas, opérant entre Perth et Singapour, a été impliqué dans un incident similaire à celui du vol 72. Alors qu'il volait au niveau de vol FL360 (36 000 pieds, 10 972 m), le pilote automatique s'est subitement déconnecté et l'équipage a reçu une alerte indiquant un problème avec l'ADIRU n°1. Il a alors exécuté la procédure révisée, publiée par Airbus après le précédent incident, et est rentré à Perth sans problème. L'ATSB a inclus cet incident dans son rapport d'enquête concernant le vol 72.

Depuis l'incident du vol 72, une mise à jour complète des logiciels a été réalisée sur l'ensemble des A330 opérant dans le monde, pour empêcher que se reproduise ce type de dysfonctionnement.

L'accident a fait l'objet d'un épisode dans la série télé Air Crash nommé Chute libre (saison 18 - épisode 7).