Conseils d'Instructeurs

RETOUR SUR UN ÉVÉNEMENT DE SÉCURITÉ

• NATURE DE L’ÉVÉNEMENT : atterrissage en campagne consécutif à une panne d’essence

• TYPE D’AÉRONEF : Robin DR 400/140 B, modèle 155 CDI

• CARBURANT UTILISÉ : Jet A1

• PARTICULARITÉS: modèle d’aéronef doté d’origine d’une jauge manuelle intégrée au conduit de remplissage du réservoir

• ANNÉE: courant 2018

• SYNOPSIS: À la prise en compte de l’aéronef, le pilote observe que la quantité de carburant affichée sur l’indicateur du tableau de bord ne correspond pas au plein complet. La quantité indiquée par la jauge électrique est néanmoins cohérente avec la durée d’utilisation de l’aéronef depuis le dernier plein reporté au carnet de route.

Le pilote souhaitant par sécurité partir avec le plein complet, il fait venir l’essencier présent sur la plate-forme.

L’orifice de remplissage déborde alors que quelques litres seulement de carburant ont été ajoutés par l’essencier, qui affirme au pilote que le réservoir était déjà plein. Le pilote en déduit que l’utilisateur précédent a omis de reporter sur le carnet de route de l’aéronef, l’avitaillement certainement effectué à la fin de son vol.

Après le démarrage du moteur, il constate que l’indication fournie par la jauge électrique du tableau de bord n’a pas varié et qu’elle n’indique toujours pas le plein. Il en déduit alors que l’indicateur de quantité de carburant n’est pas fiable.

Il effectue sans aucun problème le vol jusqu’à son AD de destination. Avant de repartir de cet AD, il effectue un calcul d’autonomie restante eu égard à ce qu’il estime avoir consommé à l’aller et décide en conséquence d’avitailler afin de bénéficier du plein complet pour son vol retour. L’AD sur lequel il est stationné ne permettant pas d’obtenir le type de carburant requis, il décide de rallier un AD intermédiaire situé à seulement 15 min de vol et sur lequel il pourra procéder à cet avitaillement.

Au cours du vol en direction de cet AD, le moteur s’arrête faute de carburant et le pilote effectue un atterrissage en campagne.

ANALYSE DÉTAILLÉE 

Le pilote constate initialement qu’il y a adéquation entre l’indication de quantité de carburant lue au tableau de bord et la quantité supposée restante dans le réservoir depuis le dernier avitaillement porté au carnet de route de l’aéronef. Fort de cette adéquation, il ne s’assure pas visuellement de la quantité réelle de carburant présent à bord, alors que l’aéronef est pourtant équipé d’origine d’une jauge manuelle intégrée au conduit menant au réservoir. De toute façon, il lui semble inutile de jauger à ce stade puisqu’il a décidé de faire venir l’essencier afin de partir en vol avec le plein complet.

Le pilote assiste ensuite à l’avitaillement effectué par l’essencier et constate par lui-même que le carburant refoule par le goulot de remplissage, à peine l’avitaillement débuté. Il se convainc donc qu’il bénéficie du plein complet au départ de son vol.

Il est à cet instant et sans en avoir conscience, victime de l’erreur de représentation suivante : « le carburant refoule donc c’est que le réservoir est plein ». Suite à cette fausse certitude, le pilote ne prend à nouveau pas la peine de procéder à un jaugeage manuel. Étant sûr de bénéficier de l’autonomie maximale, il déduit ensuite logiquement que l’indicateur de quantité de carburant du tableau de bord dont l’aiguille n’a pas varié, ne présente pas une indication fiable. Il se désintéresse donc de cet instrument pendant le vol aller, puis à nouveau lors du vol de l’événement.

Une fois à l’étape et à partir du temps de vol réel correspondant à son trajet aller, le pilote déduit son autonomie restante qu’il estime insuffisante pour rallier son AD de départ mais néanmoins largement suffisante pour rallier un AD intermédiaire sur lequel il pourra effectuer un avitaillement. Une nouvelle fois et parce qu’il pense être loin du bas niveau, il n’estime pas nécessaire de procéder à un jaugeage manuel et se prive ainsi de la vérification de la quantité de carburant réelle présente à bord. Tout comme précédemment, cette décision est vraisemblablement confortée par le fait qu’un jaugeage manuel entraîne le désagrément de laisser des traces olfactives sur les doigts et que n’étant pas sur sa plateforme de rattachement, il n’a pas obligatoirement à disposition de quoi nettoyer efficacement sa main après l’opération de jaugeage.

Le pilote décolle alors en étant persuadé que la quantité de carburant disponible est largement supérieure à la quantité nécessaire pour rallier l’AD d’avitaillement. Il est conforté dans son jugement par le fait que le voyant d’alarme de bas niveau carburant du tableau de bord est éteint. Il sait en effet que sur ce type d’aéronef, l’alarme visuelle de niveau bas se déclenche lorsqu’il ne reste que 15 litres de carburant dans le réservoir.

Compte tenu de la consommation horaire de l’aéronef, cela représente donc au moins 30 min d’autonomie. Or, son vol de liaison n’est pas censé durer plus de 15 min.

Le moteur s’arrête pourtant faute d’alimentation, sans que l’alarme de bas niveau carburant ne se soit préalablement déclenchée et ce bien que l’ampoule du voyant soit en parfait état. Le pilote ne soupçonne à aucun moment que l’arrêt moteur ait pour origine un épuisement du carburant.

L’analyse précédente est résumée dans l’organigramme logique suivant. Pour des raisons de clarté et afin d’en tirer les enseignements adéquats, 4 colonnes distinctes ont été insérées. Trois d’entre elles concernent le pilote : ses actions et observations d’abord, les différents jugements qu’il en a tirés ensuite et enfin les décisions qui en ont découlé.

On comprend de suite à sa lecture que le 1^er événement qui a entraîné un jugement erroné de la part du pilote est le débordement observé en tout début d’avitaillement. Bien que ce débordement puisse avoir pour origine un autre motif que le fait que le réservoir soit plein, le pilote a néanmoins basé son jugement sur l’idée préconçue que « débordement implique réservoir plein ». Il a vraisemblablement été conforté dans son jugement par la remarque formulée par l’essencier, qui tenait davantage de l’affirmation que de la simple hypothèse. En pratique, il est vraisemblable que le débordement ait plutôt été dû à l’utilisation d’une procédure de remplissage inadéquate par l’essencier, davantage habitué à procéder à l’avitaillement d’aéronefs de tonnage largement supérieur dont les orifices de remplissage supportent un débit bien plus important.

Le pilote étant persuadé que le réservoir était plein, il était devenu inutile dans son esprit de procéder avant de monter à bord, à un jaugeage manuel source de désagrément potentiel (odeur résiduelle de kérosène sur les doigts).

Son erreur de représentation initiale a ensuite entraîné un 2^ème jugement erroné par effet domino : « puisque jauge électrique loin d’indiquer 4/4 alors que réservoir plein, alors indicateur de Qc non fiable ».

LOGIGRAMME DE L'ÉVÉNEMENT

Bien que dans le cas présent et compte tenu de l’issue finale, la jauge électrique à carburant ait effectivement été déficiente, il était pourtant tout à fait légitime que son indication n’ait pas varié suite au fait que quelques litres seulement de carburant avaient été ajoutés lors de l’avitaillement. Cette légitimité n’a cependant pas trouvé grâce aux yeux du pilote car la jauge à carburant de l’aéronef avait antérieurement connu des problèmes de fonctionnement.  Suite à ces problèmes non définitivement résolus par le club, le pilote a été victime d’un biais de jugement puisqu’à aucun moment il n’a pensé que l’indication de la jauge était susceptible d’être le reflet de la réalité et que par conséquence le réservoir pouvait ne pas être plein malgré le débordement constaté.

La décision du pilote d’effectuer le vol aller malgré la nouvelle suspicion de déficience de la jauge à carburant est alors tout à fait compréhensible, d’abord parce que suite aux dysfonctionnements répétés de la jauge il avait peut-être déjà agi de la sorte par le passé, vraisemblablement comme d’autres pilotes de son club, et ensuite parce que la durée estimée du vol était ce jour-là largement inférieure à l’autonomie supposée disponible. Il est néanmoins possible qu’en l’absence de MEL (Minimum Equipment List), le pilote se soit posé la question du GO-NO GO mais qu’il ait décidé de partir suite au fait que l’aéronef était de toute façon doté d’une alarme bas niveau carburant en état supposé de fonctionnement (test ampoule positif).

On constate ensuite que les erreurs de jugement antérieures au 1^er vol n’ont engendré aucune conséquence néfaste au niveau de sa réalisation. Le pilote l’a effectué sereinement malgré l’impossibilité d’exploitation des indications fournies par la jauge électrique à carburant. Il a vraisemblablement entamé son vol en se remémorant simplement l’adage : « bidons pleins, cœur léger ».

C’est lors de l’étape que le pilote a commis une troisième erreur lourde cette fois-ci de conséquences, celle de ne pas procéder enfin à un jaugeage manuel. Cette décision de ne pas recourir au jaugeage résulte probablement de la combinaison des facteurs suivants :

• pause de courte durée assimilable mentalement à une simple pause café et non à un véritable stop nécessitant une visite prévol complète avant de repartir,
• aéronef à régulation automatique par FADEC ayant des paramètres de croisière stables (puissance-RPM) et pour lequel la consommation de carburant réelle mesurée à l’exploitation est en temps normal précisément égale à celle publiée au manuel de vol,
• décision d’avitailler sur un AD proche en direction duquel le temps de vol requis exerce une influence dérisoire eu égard à l’autonomie supposée restante,
• non allumage de l’alarme de bas niveau carburant à la fin de la 1^ère étape, qui laisse supposer que l’autonomie minimale réelle est obligatoirement supérieure au temps de vol requis pour rallier cet AD,
• désagrément corporel résiduel dû au jaugeage, déjà évoqué précédemment.

Le pilote est donc à nouveau victime d’une erreur de représentation, aggravée cette fois-ci par une erreur de connaissances. Cette erreur largement répandue consiste en effet à croire que sur les Robin, l’alarme de bas niveau carburant est indépendante de la mesure effectuée par la jauge électrique. Si les réservoirs de certains aéronefs légers peuvent être dotés d’un capteur optique spécifique de niveau bas, ce n’est absolument pas le cas des DR 400 et 401 pour lesquels l’alarme de seuil bas dépend entièrement de la mesure effectuée par la jauge à flotteur ou la jauge capacitive (selon modèle). Si cette mesure est trop optimiste (par défaut d’étalonnage ou suite à dysfonctionnement ou panne), l’alarme de bas niveau carburant ne s’illuminera pas alors que le seuil de déclenchement est pourtant passé, ce qui a été le cas ici.

La réglementation de certification CS-23 applicable actuellement aux aéronefs légers n’exige pas d’un constructeur qu’il équipe ses aéronefs d’une alarme de bas niveau carburant mais simplement d’un indicateur de niveau censé afficher la valeur zéro lorsque la quantité de carburant résiduelle dans le réservoir correspond à la quantité inutilisable. L’alarme de bas niveau qui équipe les aéronefs Robin doit donc être considérée uniquement comme un élément de confort qui permet d’attirer plus tôt et plus facilement l’attention du pilote arrivé en fin d’autonomie, eu égard à la position déportée sur le tableau de bord de l’indicateur de quantité de carburant.

Dans la recommandation FRAN-2014-013 émise en direction de l’AESA et qui a fait suite à une panne d’essence  survenue en 2012 (https://www.bea.aero/docspa/2012/f-fg121015/pdf/f-fg121015.pdf), le BEA a d’ailleurs demandé que les règlements de navigabilité CS-23 et CS-VLA soient modifiés de telle sorte que les aéronefs légers soient dotés de débitmètres totalisateurs ou d’alarmes « bas niveau carburant » indépendantes du système de jaugeage principal.

ENSEIGNEMENTS À TIRER 

Parmi les nombreux enseignements que les utilisateurs peuvent tirer de cet événement, nous retiendrons principalement les points suivants :

• Les dysfonctionnements répétés de la jauge électrique à carburant de l’aéronef représentaient une source potentielle d’erreurs latentes qui n’a pas été prise en compte par l’administration du club au sein duquel évolue le pilote. Sans forcément aller jusqu’à établir une MEL, des restrictions d’utilisation ou la mise en place d’un jaugeage manuel obligatoire avant chaque vol ou chaque étape d’un vol, y compris en cas d’avitaillement préalable, aurait permis aux pilotes de continuer à fonctionner avec des quantités de carburant départ exactes et non supposées exactes ;
• l’allumage d’une ampoule d’alarme lors du test de bon fonctionnement n’est révélateur que de la seule intégrité de l’ampoule et en aucun cas de la fiabilité du système de bord qui lui est associé ;
• un équipement complémentaire mis en place par un constructeur afin de contribuer à une meilleure conscience de la situation ne doit en aucun cas être considéré par les utilisateurs comme ayant la capacité à se substituer de façon efficace à un équipement exigé par les règlements de navigabilité, ici l’indicateur de quantité carburant associé au système de jaugeage ;
• une parfaite maîtrise du fonctionnement des systèmes de bord et des logiques associées aux circuits d’alarme est nécessaire afin d’éviter les erreurs de connaissance ;
• les navigations triangulaires réalisées dans le cadre de la formation ou du maintien de compétences font souvent l’objet d’une optimisation se traduisant par une réduction des temps d’escale intermédiaire. Cette réduction favorise l’absence de réalisation d’une visite prévol à chaque étape. Le jaugeage carburant faisant partie intégrante de ce processus, il n’est dans la grande majorité des cas pas réalisé,  y compris sur les aéronefs équipés d’un dispositif de jaugeage manuel pourtant aisément exploitable. Nous, FI(A), devrions être les premiers à montrer l’exemple en ce domaine…