L'histoire des commandes de vol électriques (3/3)

Suite à la naissance de l'A320, Boeing se retrouve pris de court…il lui faut innover, et son nouvel appareil sera donc conçu par ordinateur et piloté par ordinateur : ainsi va naitre le Boeing 777. Le "triple seven" n'est pas une simple copie d'Airbus : les ingénieurs de Boeing vont suivre une philosophie toute différente de celle de l'Aerospatiale.

Le Boeing 777, la revanche de Boeing sur l'A320 (au moins en terme d'avionique)

La première chose qui choque lorsque vous êtes un "airbusien" qui entre dans un cockpit de Boeing, c'est le manche : il y a toujours deux grandes colonnes de direction comme dans l'ancien temps. Ce n'est qu'une illusion, il n'y a plus de timonerie classique, le pilotage est bien "fly by wire", sauf que pour ne pas dépayser les pilotes, les ingénieurs de Boeing ont placé un manche avec retour de force au lieu du joystick d'Airbus, qui permet aux pilotes de "sentir" l'avion

L'autre différence fondamentale, quoique invisible au premier abord, c'est les protections du domaine de vol : là où Airbus à installé des limites que l'appareil ne franchira jamais, Boeing n'a pas installé de protection mais des limites dissuasives : plus on s'approche d'une zone dangereuse pour l'avion, plus le manche devient résistant. Si le pilote a suffisamment de force cependant, il pourra aller au-delà. Concrètement, à moins d'avoir David Douillet dans le cockpit, il y a des limites qu'aucun pilote ne pourrait surmonter…mais psychologiquement, le pilote se sent rassuré.

Similitudes et différences : à gauche le cockpit du Boeing 777 avec son manche classique, et à droite l'A330 et son mini-manche. Les deux constructeurs ont choisi des voies très différentes, mais les deux utilisent des CDVE.

Une autre différence majeure, mais plus subtile, dont j'ai déjà parlé dans l'article précédent : il n'y a pas d'architecture COM/MON, mais un vote majoritaire entre les équipements, ce qui demande plus de calculateurs, mais de conception plus simple...

Quelle est la meilleure philosophie ? Airbus ou Boeing ? Vaste question : depuis la sortie du 777 il y a 20 ans, on cherche toujours la réponse : je pense qu'il n'y a pas de conception qui soit "meilleure", juste des inconvénients différents…statistiquement en tout cas, il n'y a pas plus d'accident d'un côté ou de l'autre !

Revenons au principe de fail-safe : il faut que si l'un des calculateurs tombe en panne, un autre prenne le relais…mais voilà, que se passe-t-il si on tombe face à un "bug" informatique ? La réponse est simple : on aura beau avoir 5 calculateurs différents, si ils sont identiques, ils auront tous le même problème : du coup il n'y a plus de redondance : c'est ce que l'on appelle une "cause commune". Pour éviter de tomber dans cette situation, il faut donc installer plusieurs calculateurs, mais qu'ils soient également de deux modèles différents (marque et matériel). C'est ainsi que sur l'A320, les 2 ELAC ont une architecture centrée autour d'un processeur, et les 3 SEC ont une architecture différente et un processeur différent : la probabilité est don quasi nulle que les deux ordinateurs souffrent du même bug en même temps.

Sur A330/340, il n'y a plus d'ELAC et de SEC, mais des ordinateurs PRIM et SEC

Tous les Airbus et Boeing conçus depuis respectivement l'A320 et le 777 sont équipés de CDVE, avec quelques évolutions, mais les principes fondamentaux n'ont pas changés. On notera chez Airbus que la répartition des commandes de vol ont été intégrés au sein de deux types de calculateurs : les "PRIM" ou "Primary" et "SEC" ou "Secondary", il y a 3 PRIM et deux SEC, un seul suffisant à piloter l'appareil si besoin. Plus récemment, sur A380 et A350, il y a eu suppression totale du dernier lien mécanique, remplacé par un calculateur de secours en plus.

L'architecture PRIM/SEC est quasiment inchangée sur A380

La "guerre" Airbus/boeing se joue aussi sur le terrain de l'ergonomie et de la philosophie des commandes de vol : on fustige toujours ce "joystick de rien du tout sans retour de force" d'un côté et on ne manque pas de critiqué "cet énorme manche peu pratique, héritage d'un temps révolu"…et chaque camp à ses partisans parmi les ingénieurs comme parmi les navigants qui préfèrent l'un ou l'autre…Pourtant comme je vous le rappelais, aucune étude indépendante et objective n'a pu mettre en avant une architecture comme étant mieux que l'autre !

 Les CDVE ont permis un allègement considérable de la charge de travail des pilotes, en permettant le pilotage à deux, tout en augmentant le suivi de l'appareil : les défaillances de systèmes sont suivies en temps réel, et souvent un correctif est appliqué avant même que le pilote ne s'en rende compte…mais il y a encore d'autres avantages : on peut réduire la vitesse d'approche de l'appareil, sans danger de perte de contrôle, et en cas d'approche vers un obstacle, le système d'évitement ordonne au pilote de grimper.

Le cockpit de l'A350 s'inscrit dans la même ligne que celui de l'A330 et l'A380...avec cependant des nouveautés, mais la "base Airbus" reste la même.

Les CDVE sont donc devenues en l'espace de quelques années un élément indispensable des avions modernes, apportant une simplification du travail du pilote tout en augmentant la sécurité à bord de l'avion. De même, on réduit la formation des pilotes : prenez un pilote qu'il faut former sur A320 qui n'a jamais vu d'Airbus : il faudra 25 jours de formation, mais si il possède une qualification sur A20, il ne lui faudra que 7 jours de formation pour être déclaré apte sur A330 ! La similarité des systèmes entre différents Airbus permet des économies lors de la formation des navigants.

On observe progressivement l'arrivée de nouvelles innovations, les actionneurs électriques en tête qui permettent de supprimer ou de réduire les installations hydrauliques : il n'y a sur A380 plus que deux systèmes hydrauliques...mais les actionneurs sont désormais combinés, pouvant être alimentés par le système avion ou par leur propre système intégré, réduisant ainsi les risques de panne et permettant la suppression du troisième circuit hydraulique. D'autres recherches se focalisent sur le "fly by optics", à savoir la transmission des commandes par fibre optique. On pourrait ainsi avoir des commandes plus robustes et insensibles aux agressions électromagnétiques.

Et le Boeing 787 dispose toujours de sa colonne de commande "old school" ! Là aussi en héritage direct du Boeing 777 !

Les CDVE ont profondément changé le rapport à l'avion, en remplaçant des fondamentaux du métier de pilote qui n'avaient pas changé depuis les débuts de l'aviation, et ce faisant, nous avons changé le rapport à l'avion : la sécurité aérienne a fait un bond en avant remarquable, mais dans le même temps, les rapports d'enquête n'ont jamais autant mis en avant le fait que les pilotes doivent être vigilant à "ne pas perdre les fondamentaux". Piloter un avion n'est pas pareil que de piloter un ordinateur, et l'enjeu du siècle à venir sera sans doute d'améliorer davantage la sécurité du vol…la grande question étant de savoir quelle sera la place du pilote : vrai opérateur ou simple singe savant ? La réponse à cette question n'est pas simple et agite déjà Airbus et Boeing depuis plusieurs années...

L'histoire des commandes de vol électriques (2/3)

Malgré la grande réussite des commandes de vol de Concorde, il ne faut pas en rester là ! Ce n'est que la première génération de CDVE !

L'A320, la naissance d'une légende

En 1978, la SNIAS obtient le financement de 10 heures d'essais sur Concorde, pour l'équiper d'un mini-manche en, histoire de voir la réaction du pilote. En effet, tant qu'il fallait actionner des câbles, les pilotes avaient besoin d'un grand manche avec un débattement important…mais avec les CDVE, le manche devient un simple potentiomètre, et plus rien de justifie le grand volant de direction. Les essais sont concluants, et l'Aerospatiale renouvellera l'expérience en 1982 sur l'Airbus A300B2 n°3. Il ne s'agit pas à proprement parler de commandes de vol électroniques, car l'expérience est faite en bouclant le mini-manche sur le pilote automatique, ce qui permet de piloter l'avion via le manche. Airbus n'est pourtant pas le premier à faire cette expérience : l'USF l'a déjà faite sur un B-47E modifié, avec un mini-manche en tangage uniquement, entre 1967 et 1969.

Mini-manche monté sur Concorde

Au début des années 70, c'est une autre révolution qui se prépare : le numérique arrive en force, avec l'avènement du circuit-intégré. La NASA est la première à tester un appareil équipé de commandes de vol numériques. Il s'agit d'un F-8 "Crusader" bricolé et équipé d'un ordinateur de guidage d'Apollo, construit mais non utilisé suite à l'arrêt du programme lunaire !

Le F-8 "Crusader" de la NASA...

Avec à son bord un ordinateur de guidage d'Apollo (34 Ko de mémoire !)

Le F-16 entre en service en 1979, équipé de CDVE, mais avec des calculateurs analogiques, le numérique manquant encore de maturité. Il faudra attendre dix ans de plus et l'arrivée du F-16 Block 40 pour que les calculateurs numériques fassent leur apparition. En France, l'histoire est à peu près identique : le Mirage 2000 sera équipé de calculateurs analogiques sur ses premières versions, et c'est l'arrivée du Mirage 2000D, qui vole début 1991, qui introduira le premier la "révolution numérique" dans l'armée de l'air.

Le mini-manche monté sur Concorde préfigure le "side-stick" d'Airbus

Sur ces deux avions (F-16 et Mirage 2000), le but n'est plus de disposer d'une assistance au pilotage, mais bien de supprimer la timonerie des commandes de vol "classiques" qui est encombrante et demande de la main d'œuvre pour l'entretenir. On estime que sur l'A320, le passage aux CDVE à fait gagner 300kg de câbles, poulies et renvois en tout genre…Mais en plus, on peut exécuter les ordres des pilotes de manière instantanée, tout en tenant compte d'un grand nombre de paramètres extérieurs (altitude, vitesse, dérive due au vent etc…). On voit tout de suite la grande différence avec un système de compensation : il faut que le système soit "intelligent" (j'emploie le mot avec guillemet, car comme tout, l'intelligence est juste une manière de dire "peut synthétiser des informations complexes" et non pas "être créatif"). Il faut donc des logiciels complexes capables de gérer les commandes.

Schéma du pilote automatique sur Mirage 2000C : on voit l'importance des CDVE...

Logiciel…cette grande invention du 20ème siècle si mystérieuse…vous en manipulez tous les jours, et vous savez que un logiciel "ça plante"…que se passe-t-il si un logiciel de commandes de vol plante sur un avion ? Pour faire simple : il n'y a plus d'avion…il n'y a aucun droit à l'erreur : le système doit être parfait.

Mais aucun système n'est parfait...il faut donc s'assurer qu'aucune panne n'aura de conséquence catastrophique  sur l'avion, ou sur la capacité à le piloter. Pour cela il fallait "mesurer" le risque de chaque panne et en évaluer les conséquences. En aéronautique, un événement catastrophique doit avoir une probabilité d'occurrence de 10^-9, c'est-à-dire une chance sur un milliard d'arriver !

Voler en faisant confiance à des ordinateurs ? Comment faire ?

Cette classification des pannes permet de définir ce que l'avion peut supporter. Si une panne se produit toutes les 100 heures de vol, mais qu'elle n'a aucune gravité, on peut faire avec…par contre si cette panne est catastrophique (par catastrophique on entend : qui risque d'endommager l'avion au-delà de toute réparation ou de blesser et/ou tuer des passagers ou membres de l'équipage) alors ce n'est pas acceptable. C'est très schématisé, mais c'est le principe.

Pour l'A320, Airbus prend une décision risquée et très lourde de conséquences : l'avion sera piloté par des calculateurs, et ce sans aucun secours mécanique (contrairement à Concorde) …il n'y a donc plus droit à l'erreur ! Comment faire ? Méthodologie…tout est dans la méthodologie ! Il faut tout penser depuis le début : combien de calculateurs, quelles architectures, qui contrôle quoi : tout est précisément écrit et vérifié de manière indépendante, avant même que la première ligne de code soit écrite !

Le "side stick", caractéristique des appareils Airbus à CDVE

Airbus va ainsi créer un atelier logiciel. On nomme un chef de service qui reçoit sa mission simplement "tu recrutes 60 ingénieurs et tu te débrouilles !"…et comme personne ne savait démontrer la fiabilité d'un logiciel, il faudra mette au point une méthodologie de développement permettant de s'assurer de la qualité du logiciel exécutable. Airbus va ainsi mettre au point une méthode de SAO, "Spécifications Assistée par Ordinateur", qui permet de remplacer les mots par des schémas, rendant les spécifications beaucoup plus claires et moins sujet à interprétation. Il n'y a en effet rien de pire qu'une spécification pouvant être interprétée. Plus tard SAO va évoluer pour devenir SCADE ou "Safety Critical Application Development Environnement", logiciel encore utilisé aujourd'hui dans l'aéronautique et le spatial. C'est seulement après ces étapes que l'écriture du code à proprement parler pouvait commencer.

Grâce à SAO, le développement de l'A320 va suivre un processus itératif : la spécification SAO est codé sur un PC puis exécutée. Si le développeur est satisfait, il envoie le code au laboratoire de vol pour simulation, qui valide et recueille l'avis du pilote. Le code est ensuite retravaillé ou accepté.

Exemple de schéma bloc généré sous SAO pour Airbus

Comme il n'est pas possible de faire un calculateur avec suffisamment de fiabilité pour tenir l'objectif de 10^-9, il va falloir faire appel à une architecture à la fois

• redondée, c'est à-dire mettre plusieurs calculateurs en parallèle de telle sorte que si l'un tombe en panne, les autres continuent à fonctionner correctement
• "fail-safe", c'est-à dire que même en cas de panne, il ne faut pas provoquer de catastrophe et assurer la sécurité malgré tout. Concrètement, si un calculateur ne peut plus fonctionner correctement, il va se mettre en situation "dégradée", c'est-à-dire continuer de fonctionner mais avec un logiciel plus rudimentaire, qui sera moins confortable pour les passagers, mais qui continue de fonctionner quand même.

C'est ainsi que l'A320 possède pas moins de 7 calculateurs de commandes de vol:

• 2 "ELACs"  (Elevator Aileron Computer)
• 3 "SECs" (Spoiler Elevator Computer)
• 2 "FAC" (Flight Augmentation Computer)

architecture des commandes de vol sur A320

Ces ordinateurs permettent de commander les surfaces de vol de l'appareil avec facilité. Les lois de commandes de vol programmées sont aussi adaptatives : elles réagissent différemment suivant que l'appareil est en phase de décollage, de croisière ou d'atterrissage.

L'avion peut continuer à voler avec un ou deux calculateurs en panne : C'est ce qu'on appelle chez Airbus l'architecture "monitorée" ou COM/MON ("Command" et "Monitoring"). Avec cette architecture, on trouve à l'intérieur d'un même boitier deux logiciels différents fonctionnant sur deux cartes électroniques différentes : la partie "Command" est le logiciel proprement dit, qui effectue ses calculs de sortie en fonction des entrées du système, et la partie "Monitoring" surveille que la première fait bien son travail…on place ainsi deux boîtiers en parallèle : si l'un détecte un problème, l'avion cesse de l'utiliser et passe sur le second, avec un avertissement au pilote.

Il y a trois systèmes hydrauliques indépendants sur A320

On notera que Boeing de son côté à choisi une approche différente : les différents calculateurs vont comparer leurs sorties, et Ils vont voter à majorité pour savoir si on peut continuer ou si l'un d'eux commence à donner des résultats bizarres et doit être éliminé de la boucle…il faut donc trois boitiers au minimum…contre deux pour un Airbus…

L'appareil possède en outre trois "lois", la loi normale, la loi "alternate" et la loi directe. La loi normale est celle qui est utilisée tout le temps, lorsque tout va bien. Elle possède toutes les caractéristiques de protection d'enveloppe de vol sur les trois axes, et limitation du facteur de charge pour ne pas abîmer l'appareil en cas de manœuvre sévère.

Boeing à choisi une architecture plus complexe avec des calculateurs plus simples...

Si un ou plusieurs équipements tombent en panne, on passe alors en loi "alternate". Dans ce mode, on perd les protections d'enveloppe de vol, même si on garde les protections en décrochage et facteur de charge. Cette loi est un mode dégradé mais qui permet encore de voler tout en offrant une certaine protection à l'équipage…pour info ça correspond à ce qui est utilisé comme loi de vol chez Boeing où il n'y a pas de protection de domaine de vol, juste une limite dissuasive !

En cas de gros pépin (panne de plusieurs calculateurs, par exemple), on passe en loi "directe". Dans ce cas, on perd toutes les protections d'enveloppe de vol, et on obtient un déplacement des commandes proportionnel au mouvement du side stick. Le trim doit être assuré manuellement. Pour info, ce mode très dégradé correspond à ce qui était utilisé en vol normal sur Concorde…

Donc en résumé très schématique : soit tout va bien , on pilote un Airbus, soit ça va moins bien, et c'est comme piloter un Boeing, soit tout va mal, et on pilote Concorde ! Le cas "catastrophe" de tout plante n'est encore jamais arrivé malgré des millions d'heure de vol avec ce système…

Arrivé le moment de présenter leur trouvailles à des pilotes..les pauvres ingénieurs d'Airbus ont bien failli y laisser des plumes : les pilotes sont unanimes "quoi des "protections' ? Qui nous empêchent de faire ce que l'on veut ??" (et encore j'ai édulcoré le discours, beaucoup plus "imagé" de l'époque…qui perdure encore aujourd'hui…

Airbus va donc introduire des protections du domaine de vol : protection contre les basses et haute vitesse, contre les fortes inclinaisons et le facteur de charge, à +2,5G maximum.

L'enveloppe de vol et ses protections associées (schéma valable sur A330)

Les pilotes restent pourtant convaincu qu'il faut maintenir l'autorité totale du pilote, qui peut ainsi "choisir sa propre mort" selon une expression un peu malheureuse…l'idée étant que le pilote préfère avoir autorité totale pour être sûr d'éviter tout obstacle…quitte à tordre les ailes. Pourtant Airbus a épluché les statistiques de plus de 10 millions d'heures de vol pour fixer ces limites. Sur toutes ces statistiques, la manœuvre d'évitement réussie la plus violente a été de "seulement" 1,7G ! Malgré cela, la méfiance des pilotes persiste.

Un autre incident qui a lieu à cette époque relance le débat des CDVE : un "Tornado" de la Luftwaffe s'écrase après avoir survolé une puissante station radio…on pense tout de suite que ses commandes de vol ont été brouillées par les émissions…pourtant ce n'est pas le cas. L'A320 fera des essais électromagnétiques après cela : un A320 avec moteurs en marche au sol sera bombardé par des rayonnements électromagnétiques particulièrement violents…et l'avion ne bronchera pas !

Panavia "Tornado"...l'accident n'était pas lié aux commandes de vol

L'A320 sera un succès sans précédant, malgré des accidents, dont aucun n'a pu être lié directement à une mauvaise conception ou une panne des commandes de vol. On entre ainsi dans la deuxième génération des commandes de vol électriques : l'ère du numérique.

On notera cependant que l'A320 n'est pas le premier appareil à posséder des calculateurs numériques : c'est en effet l'A310 qui avait été le premier à posséder des calculateurs numériques.

Boeing, pris de court, se doit de réagir : c'est l'acte de naissance du Boeing 777…

Quel avenir pour les boites noires ?

Le 1er juin 2009, le vol AF447 d'Air France s’abîme en mer. Il faudra plus de trois années pour comprendre l'origine de ce crash, qui n'a pu être pleinement élucidé que grâce à la découverte des fameuses "boites noires"

Les "boites noires" que vous connaissez bien, il s'agissait d'ailleurs d'un des premiers article de ce blog.

Les boites noires sont logés dans la queue de l'appareil

Avec la disparition récente du vol MH370 de Malaysia Airline, la question est tout de suite revenue sur le tapis dans les médias et sur les réseaux sociaux : comment, en 2014, peut-on perdre un avion ? Alors que je peux retrouver mon Iphone à distance, un avion de plusieurs centaines de millions de dollars peut se volatiliser purement et simplement ?

La réponse est malheureusement simple : oui, même avec toute la technologie dont nous disposons, un avion complet peut se volatiliser…croire que l'on peut suivre en temps réel tous les avions du monde est une illusion...du moins à l'heure actuelle...

Dans les mois qui ont suivi le crash d'AF447, aussi bien en France qu'aux Etats-Unis , des groupes de travail ont commencé à réfléchir à une question simple : comment éviter de "perdre" un avion sans aucun signal de détresse ?

Une recherche souvent longue et frustrante...

Ces travaux avait duré plusieurs mois et mobilisés de nombreux experts : leur conclusion était unanime : les boites noires, qui ne font qu'enregistrer les principaux paramètres du vol sont devenus archaïques. Dans le cas d'un crash au dessus de la terre ferme, on peut retrouver ces fameuses boites noires facilement dans la plupart des cas…mais dans le cas d'un crash dans l'océan, c'est une autre paire de manche…or nous allons le voir, il existe des pistes d'améliorations, certaines complexes et chères, que l'on ne verra pas de sitôt…mais d'autres qui sont implémentables facilement pour un coût assez modeste…

Pourquoi est-ce que les recommandations concernant le crash de l'AF447 n'ont pas été appliquée ? Tout simplement parce qu'il n'existe aucune réglementation qui a rendu ces recommandations obligatoires ! Face à une dépense importante pour lutter contre un risque qui a un taux d'occurrence faible, les compagnies aériennes ont tendance à ne pas investir...La sécurité des passagers n'a pas de prix…mais malheureusement elle a un coût…

L'enregistreur à bande magnétique a été remplacé sur la plupart des avions en service par des modules mémoires...mais le format de la boite noire n'a pas évolué...

Quelles sont donc les solutions techniques pour éviter une nouvelle disparition de la sorte ?

Face aux différentes options, on peut distinguer deux voire trois axes d'améliorations :

• Améliorer les boites noire pour pouvoir les retrouver plus facilement
• Transmettre les données de vol en temps réel à des stations au sol
• Si par malheur un crash survient quand même, il est important, tant pour les familles que pour l'enquête de retrouver l'épave. Comment dès lors améliorer les moyens de localisation d'une épave ?

Voyons donc d'un peu plus près ce qu'il serait possible de faire :

Amélioration des boites noires

La boite noire sous sa forme actuelle n'a pas connu beaucoup de changement depuis sa conception, même si la cassette a été remplacée par un enregistreur numérique, il s'agit toujours d'un caisson blindé, censé résister à l'eau et au choc d'un crash…l'unique moyen de localisation incorporé est son émetteur à ultrasons d'une durée de vie de 60 jours…ce qui est peu dans le cas d'une disparition en mer…

Malgré son apparence, cette boite noire à joué son rôle...le module mémoire est encore intact !

Serait-il possible d'améliorer le concept des boites noires ? Il s'agit pourtant d'un boitier tout ce qu'il y a de plus résistant : imaginez un peu, il doit résister à une accélération de plus de 3400G pendant 6,5 millisecondes, et supporter un feu de 1100° pendant 30 minutes au minimum. Progressivement les vieilles cassettes sont remplacés par des puces mémoire (comme des clés USB)…mais rien n'est indestructible : il est déjà arrivé que les boites noires soient tellement endommagées qu'aucune donnée exploitable n'a pu en être récupéré (cas de l'A320 du mont Saint Odile, qui témoigne de la violence du choc)...

Est-ce qu'il existe une autre approche ?

La réponse est oui…et l'industrie y planche depuis plus longtemps que vous ne le pensez : cela fait plus de 40 ans que les avions militaires sont équipés de boites noires éjectables (1967 pour être précis). Il existe même des modèles certifiés pour l'aviation civile depuis 1997 ! Le principe de cette boite noire est d'être montée dans un logement du fuselage équipé d'un ressort, et en cas de problème (forte décélération, impact etc..), la boite noire est éjectée de l'appareil. Elle a ainsi de plus grande chance de survie, et surtout elle est équipée d'un flotteur qui l'empêche de couler avec l'épave, ce qui permet de la localiser beaucoup plus rapidement.

L'ELT ou balise de détresse est installée dans l'avion, mais souvent détruite en cas de crash...

Ces "DFIRS" ou "Deployable Flight Incident Recorder Set" sont capables de flotter et possèdent un "ELT" ou "Emergency Locator Transmitter", c'est-à-dire une balise de secours qui envoie un signal radio et/ou satellite pour qu'on puisse la localiser facilement. Avec cet équipement il n'est plus simplement question pour l'enregistreur de survivre au crash, mais bien de l'éviter…quitte à ne pas être au même endroit que l'épave de l'avion…il faut mieux retrouver un enregistreur à 100km du crash que de chercher des milliers de km carrés d'océan pour trouver une épave au fond. Ces enregistreurs sont parfaitement opérationnels, ayant accumulés plusieurs dizaines de milliers d'heures de vol à bord des F-18 "Hornet" voire même à bord des F-104 "Starfighter". Même le F-35 doit recevoir un DFIRS de dernière génération  avec largage électromagnétique en moins de 50ms pour un poids total de 2,25kg. Le DFIRS est plat, et ne dépasse pas du fuselage, il est intégré dans la structure de l'appareil, et se déploie à la manière d'un aérofrein, le tout grâce à une cartouche de gaz ou un ressort, ce qui va le séparer de l'avion et lui permettre de retomber à proximité immédiate du lieu du crash…

Un boitier blindé entoure les cartes mémoire pour les protéger d'un impact trop rude avec le sol…car il arrive que le DFIRS ne se déploie pas avant le crash, il importe donc qu'il soit protégé pour survivre à un crash.

Un DFIRS après crash et avant analyse...

Un DFIR équipé d'un émetteur satellite aurait sans doute permis de clore le dossier du crash de l'AF447 deux années plus tôt..en économisant des millions d'euros au passage…De nombreuses voix s'étaient alors élevées dans la communauté aéronautique pour que ce système soit adapté sur les avions commerciaux pour éviter pareille mésaventure à l'avenir…force est de constater que cela ne fut suivi d'aucun effet…

En 2012, Airbus avait même proposé un système novateur, ne nécessitant aucune électricité ou charge pyrotechnique. L'idée est simple : un enregistreur de vol est posé dans un logement et bloqué par une grille. La grille est conçue de manière à se rompre au-delà d'une certaine force, elle-même calculée en fonction de l'accélération maximale que peut subir l'avion sans dommages. L'enregistreur est ainsi littéralement "arraché" si les contraintes deviennent trop violentes…mais ça ne marche pas dans toutes les positions…un parachute se déploie ensuite pour que l'enregistreur arrive intact au sol.

Un DFIRS pour hélicoptère, avec module mémoire protégé et émetteur radio

Le coût du rétrofit est estimé à entre 25000 et 30000€ par avion pour un enregistreur de vol compatible ED-112 ("Minimum Operational Performance Specification for Crash Protected Airborne Recorder Systems" ou la norme qui spécifie ce que doivent supporter les boites noires), et permet de remplacer une boite noire et une balise de détresse par appareil par un DFIR combinant les deux. Le coût serait sensiblement inférieur pour un enregistreur de vol suivant la norme ED-155 (une norme moins contraignante que la ED-112)

Transmission des données en temps réel

L'autre cheval de bataille qui semble indispensable aujourd’hui, c'est la transmission des données en temps réel…on en parle, mais est-ce faisable ?

La réponse est "ça dépend" : quelles données transmettre ? A quelle fréquence ? Faut-il transmettre une fois par minute ou 10 fois par seconde ?

On peut distinguer trois catégories de données : les données de vol, la piste audio du cockpit et les images vidéo du cockpit (recommandé par les organismes de certification, mais pas obligatoire).

La transmission doit se faire via la liaison satellite de l'avion, déjà utilisée aujourd'hui sur de nombreux vols long-courriers pour que les passagers puissent avoir le WiFi…il suffit de rajouter une liaison montante et un centre de recueillement des données au sol (au siège de la compagnie, par exemple).

L'A350 MSN2 au décollage : la bosse blanche sur le dos abrite l'antenne SATCOM...de plus en plus d'appareils sont équipés...

Les études montrent que pour transmettre une vidéo du poste de pilotage à raison de 4 image par seconde, avec un bon algorithme de compression, il faudrait un débit entre 256 Kbit/s et 8 Mbits/s, ce qui est trop pour les systèmes actuels : il faudrait une antenne directive qui doit bien "viser" le satellite..mais si l'avion bouge soudainement, on risque d'interrompre la liaison…or un appareil va souvent prendre des positions inusuelles avant un crash…ce qui rendrait le système inutile dans bien des cas…

On se heurte au même soucis avec la transmission d'un flux audio depuis le cockpit : il faudrait un débit de 256 Kbit/s pour une piste audio de qualité convenable, le cockpit étant un environnement bruyant.

Quid des données de vol ? On arrive à un niveau de données "raisonnable" pour être transmis en temps réel…disons une fois par seconde. Si on veut transmettre l'intégralité des données de vol, il faut envoyer à peu près 1024 mots, et un débit de 12,3 Kbits/s…on a déjà divisé par 10 le volume de données à transmettre. Si on envie que les 64 mots les plus essentiels, on tombe à 0,8 Kbit/s et si on ne transmet que la position GPS, il ne faut plus que 0,072 Kbits/s…autant dire rien à l'échelle de l'avion…à condition qu'il soit déjà équipé d'une antenne satellite ! Dans le cas contraire il faudrait en installer une, ce qui évidemment à un coût important.

On peut aussi imaginer ne pas transmettre ces données en temps réel, mais uniquement si un événement est détecté (forte accélération, alarme générale, perte d'alimentation électrique etc…) mais les critères de déclenchement sont encore à définir…il y a également un risque que l'antenne ne puisse émettre, si la liaison est interrompue (avion dans une position inusuelle par exemple). Concrètement, le déclenchement sur événement n'est pas mature : il reste encore trop de cas ou l'appareil pourrait disparaître et ne pas envoyer de données…un peu bête.

l'ADS-B permet de connaitre les appareils dans un environnement proche.

Il existe encore une autre technologie qui gagnerait à être utilisée : l'ADS-B. L'ADS-B ou "Automatic Dependent Surveillance-Broadcast" est un système de surveillance coopératif des avions. Par coopératif s'entend chaque avion est équipé

• soit d'un émetteur radio qui transmet ses données de vol (position GPS, altitude et vitesse une fois par seconde) (ADS-B "out")
• soit d'un émetteur/récepteur qui transmet les données de vol et reçoit les données de vols des appareils à proximité (ADS-B "in")

Le but de l'ADS-B est de remplacer les radars conventionnels par un système en réseau où les avions communiquent entre eux et avec des stations sol pour un suivi en temps réel. L'équipement est assez simple à monter à bord de l'avion : il se compose d'une unité GPS et d'un transpondeur modifié opérant à 1090MHz. L'ADS-B "in" est plus complexe à installer car il faut traiter les échos renvoyés par les autres avions aux alentours, mais ça ne demande pas de revoir toute l'avionique non plus !

L'ADS-B "out" est très répandu aux Etats-Unis à l'heure actuelle où il deviendra obligatoire en 2020 pour tous les avions commerciaux...mais ce système reste encore facultatif ailleurs dans le monde. Le point faile du système étant qu'il faut être à portée radio d'une station sol équipée d'un décodeur ADS-B pour que ça marche. La généralisation de l'ADS-B "in" permettrait de suivre les appareils au dessus des océans à l'aide des appareils à proximité

Le coût d'implémentation est estimé entre 7000$ et 10000$ pour un système ADS-B "out" par appareil, ou entre 15000$ et 30000$ pour un système ADS-B "in"...prix estimés en 2007, le prix actuel serait sans doute plus élevé....

Localisation de l'épave

AF447 ou MH370 ne sont pas les premières recherches d'envergure en haute mer. On peut citer le cas du vol South African Airways #295 qui s'est écrasé au large de l'île Maurice le 28 novembre 1987. L'épave gisant par 4400 mètres de fond, une seule des deux boites noires sera retrouvée, deux ans après le crash…Dans tous les cas, une fois passé les 60 jours d'autonomie de l'émetteur de la boite noire, c'est la localisation de l'épave qui permet de retrouver les boites noires et non l'inverse...

Il est souvent très difficile de remonter toutes les pièces lors d'un crash en haute mer...

La solution la plus simple est d'augmenter l'autonomie des balises, qui émettent un signal pendant 60 jours au minimum. Forcr les compagnies à utiliser des balises émettant au moins 90 jours donnerait plus de temps aux enquêteurs : lorsque l'on sait que déployer des moyens lourds et des robots sous-marins peut prendre plusieurs jours, on peut comprendre que 30 jours de plus offre une marge supplémentaire. On notera que de telles balises sont déjà commercialisées, mais elles ne sont pas obligatoires…donc peu répandues !

Que faire de plus ? A moyen terme, il y a deux solutions : la première est d'équiper les boites noires d'un émetteur à basse fréquence, et l'autre de ne plus émettre en continu.

Actuellement, les balises émettent un signal périodique en ultrasons à 37,5kHz…le fait de baissser cette fréquence dans la zone des 2 - 10kHz pourrrait permettre de multiplier la portée de détection par 4 sous l'eau, car les ondes à basse fréquence voyagent plus facilement dans l'eau. On pourrait ainsi passer d'une portée de détection de l'ordre de 2km à 8km. Concrètement, cela signifie aussi que pour un appareil qui s'abime vers 3000 mètres de profondeur, il serait possible de localiser les balises depuis la surface, plutôt que de devoir envoyer des robots en profondeur…De tels émetteurs existent déjà : ils étaient utilisés à bord de la navette spatiale américaine par exemple.

L'US Navy dispose d'un sonar remorqué spécial qui permet de repérer le signal des boites noires au fond de l'eau

Améliorer l'autonomie des émetteurs : il faudrait remplacer l'émetteur par un circuit d'écoute : les navires de recherche pourrait alors envoyer une "question" à laquelle la boite noire pourrait "répondre", ce qui consomme beaucoup moins d'énergie : la boite noire n'émet que si un navire lui envoie un signal sur la bonne fréquence. Il n'existe actuellement aucune boite noire de ce type…mais la technologie est assez simple à mettre en œuvre si cette solution est choisie.

Enfin une dernière solution serait une balisa de détresse largable. Elle ne contient pas de données de vol, mais elle flotte à la surface de l'eau et envoie sa position GPS par satellite aux secours. Il s'agit d'un système mature : plusieurs avions militaire disposent de ce genre de balise…mais il faut modifier tous les avions existants avec un "socle" spécifique, permettant d'acceuillir et de larguer si besoin cette balise…mais si on commence à modifier les appareils…pourquoi ne pas l'équiper de boite noires éjectables, ce qui accélérerai encore plus le travail des enquêteurs !

Ce DFIRS a été retrouvé six ans après le crash d'un F-18 "Hornet" américain...il n'aurait jamais été retrouvé si il avait coulé avec l'épave de l'appareil. Sa découverte permettra ainsi d'élucider le crash...

Voilà dans les grandes lignes les différentes technologies qui sont actuellement disponibles pour remplacer ou compléter les boites noires…rien n'empêche de les appliquer, ce n'est qu'un problème de réglementation : si l'EASA et la FAA prennent le problème à bras le corps, et qu'ils sont soutenus par les principales compagnies aériennes mondiales, alors rien n'empêchera de lancer une nouvelle réglementation…espérons que la disparition du vol de Malaysia Airline serve une bonne fois pour toute de leçon : la boite noire classique n'est plus suffisante aujourd'hui; il faut aller plus loin ! Nous le devons aux 467 familles des passagers et membres d'équipage des vols AF447 et MH370.

L'histoire des commandes de vol électriques (1/3)

Grande question : quel fut le premier appareil équipé de commandes de vol électriques ou "CDVE" ? Vous allez soit me répondre "je ne sais pas" ou "facile, l'A320 !". La deuxième réponse est la bonne mais ce n'est pas si simple que ça. Comme beaucoup d'innovations techniques, il y a eu des essais et des erreurs avant d'arriver à la fiabilité des systèmes actuels. Comment est-on passé d'un système purement mécanique à un véritable système numérique capable de piloter l'avion tout seul (ou presque) ?

Un avion, une révolution ?

Pour mieux comprendre ce que sont les CDVE et d'où elles viennent, il va falloir faire un petit retour en arrière. Des débuts de l'aviation aux années 40, malgré quelques modernisations, le principe des commandes de vol est resté le même : commandes mécaniques à câbles. Dans ce système, le manche du pilote agit sur des câbles, qui via des poulies et renvois, permettent de contrôler les surfaces de vol sur les trois axes. On trouve en outre des commandes de trim permettant d'équilibrer l'avion au neutre, de telle sorte que l'avion reste stable lorsque le pilote lâche le manche. Pour de plus amples renseignements, je vous invite à vous reporter à mon autre blog où je traitais le cas des commandes de vol du Super-Guppy, identique à celles du Stratocruiser et des avions des années 50.

A la fin des années 40, l'apparition des turboréacteurs va faire faire un bond en avant en terme de performance aux avions : on passe d'un régime de vol subsonique à un régime transsonique voire même supersonique à partir de 1947. Or de telles variations de vitesses et d'altitude modifient le comportement des gouvernes : l'avion répond bien près du sol, mais répond moins bien à haute altitude, ou l'inverse. Le Boeing 707 sera le premier équipé de trim (compensateurs) électriques, mais ce sera un échec : trop puissant et mal maitrisé il conduira à des crashs, dont celui du "château de Sully" d'Air France à Orly en 1962.

Les restes du "Chateau de Sully" après son crash, du à un moteur électrique de trim bloqué ayant empêché l'appareil de décoller

L'électricité n'est pas prête, mais c'est l'énergie hydraulique qui va apporter une réponse : les servo-commandes hydrauliques vont apparaitre et vite devenir populaire sur les avions à réactions d'après guerre, comme le Comet, la Caravelle…mais aussi le Vautour, Mystère IV et Mirage III. Dans ce système, le manche du pilote reste le même, et toute la timonerie de commande reste inchangée. En revanche, la timonerie n'est plus connectée à des commandes, mais à des tiroirs d'admission des servo-commandes, qui contrôlent directement les gouvernes. Problème : le pilote ne "sent" plus l'avion. Pour obtenir un sentiment comparable à celui de l'air sur les surfaces mobiles, il faut donc installer un système de retour de force artificiel, donnant au pilote des sensations d'effort correctes.

Sur Caravelle : une timonerie de commande "classique"...

...mais le pilote en réalité ne commande plus les gouvernes, mais des servodynes, constitués de deux vérins montés dos à dos...

...chaque vérin est alimenté par un circuit hydraulique différent....

Les servo-commandes permettent de réduire l'effort musculaire du pilote…mais la timonerie de commandes reste inchangée, et elles ne permettent pas d'améliorer la stabilité de l'avion. Dès 1952, les anglais (bombardier Avro "Vulcan") et canadiens (sur le CF-105 "Arrow") testent des vérins electrohydrauliques en boucle ouverte, et en France, le concept de commandes de vol électrique (CDVE) apparait dès 1955 dans des recherches au STAé (Service Technique de l'Aéronautique).

Mais avant d'aller plus loin, arrêtons nous un instant sur une différence fondamentale entre "commandes électriques", et "commandes de vol électrique CDVE". Les commandes électriques agissent en "boucle ouverte", c'est-à-dire que à chaque déplacement du manche correspond un déplacement des gouvernes, et ce pour tous les domaines de vol. C'est ensuite au pilote de vérifier le comportement de l'avion. Ce système est plus simple, et permet d'éliminer l'encombrante tringlerie des commandes de vol, mais c'est à peu près tout. Dans le cas des CDVE, le déplacement du manche correspond à une consigne (par exemple à un déplacement du manche correspond un facteur de charge) et l'avion maintient cette consigne tant que le pilote n'a pas relâché le manche. Ce système est plus complexe, car du coup pour une même consigne, il faudra un grand déplacement des ailerons à basse altitude et basse vitesse, mais un tout petit débattement obtient le même résultat à haute vitesse et haute altitude : l'avion devient malin, car il sait envoyer un ordre à la gouverne, et vérifier que cet ordre est bien compris et obtient le résultat attendu. Pour le pilote, cela veut dire que le comportement de l'avion ne se sent plus à travers le manche, mais directement à travers les instruments.

Les différents types de commandes de vol.
A : simple assistance hydraulique (Mystère IV)
B : asservissement : le pilote n'a plus directement la main sur les commandes (Brabazon)
C : amélioration de la stabilité (Caravelle)
D amélioration des qualités de vol (Mirage IV)
E : Fly by Wire : CDVE avec système de réversion manuel (Concorde)
F : Fly By Wire total : plus aucun secours mécanique (A320)

Un tel système CDVE permet également d'ajouter des automatismes transparents pour le pilote. Prenons l'exemple d'un avion à voilure delta : à vitesse supersonique, le foyer de portance recule à cause de la formation d'on de de choc, et cela provoque un couple piqueur puissant qu'il faut contrer par la gouverne de profondeur : une compensation automatique facilite le travail du pilote. C'est ainsi que la Mirage IV ou l'Avro Arrow (tout deux conçus à la fin des années 50) ont bénéficié de CDVE avec compensation automatique en profondeur.

En 1962, va avoir lieu une "expérience" sur un Mirage IIIB, le c/n 225 : modifié, l'appareil devient à stabilité variable. Même si il conservait ses commandes hydrauliques, le pilote ne le contrôlait plus directement, mais par l'intermédiaire de calculateurs à loi variables. Il était le fruit des travaux de Gilbert Klopstein, un ingénieur pilote du CEV. Ainsi équipé, l'appareil pouvait simuler d'autres avions, donner l'illusion au pilote que le moteur était haut perché sur le dos, ou haut contraire pendu sous une nacelle bien en deçà du fuselage ! L'appareil était génial et plaisait beaucoup, mais aux dires du général Alain Brossier, il possédait un gros défaut : "il était indispensable  que le "Klop" (Klopstein), lui et personne d'autre, soit à la place arrière, lui seul pouvant jouer de tous les potards (potentiomètres) et bitards (boutons) qu'il y avait installés"…en clair, seul Klopstein savait faire voler l'avion. Il pouvait concocter n'importe quelle loi de pilotage depuis la place arrière, permettant au pilote de voler comme si il était sur Concorde ou sur Mirage IV, voire des avions farfelus !

Le "jouet" de Klopstein : le Mirage IIIB no 225

Les commandes électriques sont nés, et vont d'abord être installé en doublement des commandes mécaniques, avant d'être mise en œuvre seules sur le F-16 en 1974 puis sur le Mirage 2000 en 1978…pourtant, il ne faut pas négliger un autre avion qui sera capital pour la mise au point des CDVE : Concorde. Sur Concorde, les CDVE avaient été choisies en raison de l'échauffement et de la dilatation de la cellule, qui risquait d'empêcher une bonne utilisation des câbles de commandes classique…mais en même temps sera installé un système de secours par câble, permettant une réversion mécanique par câble en cas de pannes des CDVE (le cas de la foudre était particulièrement redouté).

Schéma de principe des commandes de vol électriques de Concorde, avec deux voies : une de commande et une de suivi. Les PFCU (Primary Flying Control Unit) sont les vérins hydrauliques....

Pourtant Concorde n'a pas de calculateurs numériques : de simples calculateurs analogiques, qui répliquent le fonctionnement que l'appareil aurait eu avec une timonerie de commandes "classique", mais dans tous les domaines de vol, car le comportement de Concorde n'était pas du tout le même en subsonique que en supersonique, étant naturellement instable sur ses 3 axes. Le maintien de la stabilité dans le domaine transonique était particulièrement important, à la fois pour le confort et la sécurité de l'avion tout court. On peut ainsi voir les CDVE de Concorde comme un système de compensation automatique ultra-perfectionné. Deux circuits de commande et de surveillance fonctionnent en parallèle, et sont en plus redondés pour assurer la sécurité du système...

Les PFCU de Concorde étaient particulièrement impressionnants... 

....PFCU de Concorde : double corps et double alimentation hydraulique séparées

Le système a déjà bien avancé, mais une autre révolution se prépare : la révolution du numérique...

L'A380 chauffe à Istres !

Dimanche 4 mars 2007 : une intense activité règne sur la base d'Istres, autour du dernier né d'Airbus, l'A380 qui est en phase finale de certification. Pour obtenir son certificat de navigabilité, le précieux sésame qui va lui permettre de transporter des passagers, il lui faut passer une série de tests. Vous vus souvenez sans doute de l'évacuation d'urgence, mais il en existe un autre tout aussi spectaculaire : l'accélération-arrêt à énergie maximale.

Le Super-Jumbo : l'Airbus A380

Imaginez un peu : un test qui va coûter pas loin de 4 millions d'euros, et mobiliser des dizaines d'ingénieurs, des centaines de techniciens, pompiers et journalistes, et surtout un avion d'essai qui va être utilisé bien au-delà de ses limites normales. Le but : tester le système de freinage dans ses derniers retranchements.

Revenons d'abord sur ce sytème de freinage. L'Airbus A380 possède un système de freinage complexe, réparti sur les 20 roues des quatre trains principaux, elles -même réparties en 10 bogies. Le freinage est géré au niveau des bogies, 8 sont équipés de freins. Chaque bogie est géré indépendamment des autres et peut avoir trois états principaux :

• Normal : freinage optimisé avec toutes les protections
• Alternate : freinage moins optimisé, mais qui garde l'antiskid  
• Basic : plus d'antiskid, la pression de freinage est limitée pour empêcher l'éclatement des pneus

Disposition du train d'atterrissage de l'A380

Sachant que en cas de soucis, certaines roues peuvent rester avec un freinage normal, et d'autres avec un freinage dégradé, les combinaisons de freinage possibles sont nombreuses et la plupart sont testées au banc, mais les tests sur l'avion sont indispensables, particulièrement les cas limites.

Pour démontrer le bon fonctionnement du système, les autorités demandent à ce que l'appareil fasse des accélérations - arrêt, c'est-à-dire que l'avion est accéléré jusqu'à une certaine vitesse avant que les moteurs soient mis au ralenti et le freinage enclenché. On fait attention à ne pas mettre trop d'énergie sur les freins à chaque essai pour que l'avion tienne…sauf la dernière démonstration, celle de l'énergie maximale, car elle va littéralement faire fondre les freins, pourtant dimensionnés pour encaisser jusqu'à 120 Mégajoules sur un A380..

Chaque Bogie du fuselage possède quatre roues équipés de freins, et deux sans freins.

Les conditions de cet essai sont drastiques : les freins doivent être usés à 90%, et l'avion doit rouler sur 6 kilomètres en marquant trois arrêts, avant d'être accéléré comme pour un décollage avorté (RTO ou "Rejected Takeoff"), puis on met les moteurs au ralenti avant de freiner au maximum, mais sans les inverseurs de poussée. Une fois l'avion arrêté, ce n'est pas fini : l'avion doit rester arrêté sur la piste pendant 5 minutes, et même en cas de début d'incendie sur les roues, il ne doit pas se propager au reste de l'avion. Ce n'est que passé ce délai de grâce de 5 minutes que les pompiers peuvent arroser le train d'atterrissage pour le refroidir.

Il faut pour réaliser cet essai une piste de près de 4000 mètres au minimum, voire plus pour disposer d'une marge de réserve…la seule piste disponible en Europe répondant à ces critères est celle de la base d'Istres : c'est donc là que c'est posé l'A380 n°1 le samedi 3 mars 2007.

Départ pour Istres

A noter que l'exercice ne peut se faire que sur piste sèche et "propre", c'est-à-dire sans résidus de gomme sur la piste. Il faut une bonne météo et pas trop de vent…on ne peut donc pas tout planifier à l'avance…la décision de partir et de faire l'essai un dimanche a donc été prise à Toulouse la veille au matin…

L'avion est donc préparé, passe sur la balance et on fait le plein de carburant et décolle "lourd" : 590 tonnes ! Direction Istres, où les équipes d'essais et pompiers commencent à converger, de même que les représentants de l'EASA, chargés d'homologuer l'essai.

Dimanche 4 mars : le grand jour arrive. Il est à peine 6h30 lorsque le briefing commence, entre les différents services concernés : pompiers, mécaniciens, techniciens, pilotes et même photographes. Le but est de bien coordonner tout le monde, afin que chacun sache ce qui se passe et ne rate rien : à 4 millions d'euros le test, il serait regrettable d'être obligé de recommencer...

Roulage...puis freinage...

L'exercice n'est pas sans risque pour l'avion : Airbus l'a appris à ses dépends lors de la certification de l'A340 : les pneus mal dimensionnés ont explosés au bout de 3 minutes après l'arrêt, provoquant un début d'incendie sur les poutres en carbone du fuselage. L'appareil était resté un mois et demi en chantier avant d'être déclaré bon pour revoler, occasionnant de sérieux retards à quelques semaines à peine de la certification finale de l'appareil !

Pendant ce temps, une autre équipe prépare l'A380 pour l'essai : l'appareil est mis sous tension, vérifié, puis le train d'atterrissage inspecté et photographié sous tous les angles.

A bord, on retrouve le même équipage que lors du vol inaugural : Jacques Rosay est à gauche, Claude Lelaie à droite, et Gérard Desbois comme mécanicien navigant, l'avion est le F-WWOW

Dans le cockpit, on suit la température des freins et la pression des pneus...tant que tout est vert, c'est bon !

Le roulage commence, et le freinage est testé. L'avion va faire non pas trois mais quatre arrêts complets avant l'accélération finale. La temprérature des freins est alors de 110°C lorsque Jacques Rosay met les gaz en "TOGA", c'est-à-dire à puissance de décollage, et il laisse l'avion accéléré jusqu'à 166 nœuds, vitesse calculée pour démontrer l'énergie maximale. Les gaz sont ensuite mis au ralenti, et l'ordinateur enclenche l'"autobrake" qui donne automatiquement le freinage maximal.

L'A380 s'arrête enfin sur la piste…les freins atteignent à présent plus de 980°…une petite poussée supplémentaire permet ensuite de dégager la piste, le test de freinage est terminé, mais il reste encore à attendre les 5 minutes réglementaires. Il faudra encore 90 secondes pour que l'avion arrive au parking, avec un dernier freinage (aidé par les reverse cette fois…vu que le freinage maximale a été démontré, c'est autorisé…et l'appareil s'arrête au parking, à côté des pompiers qui attendent le signa de la fin de l'essai. Les freins sont à leur butée de 1000°, leur température maximale théorique. Les axes de roues sont à 280°…si ils dépassent 300°, il faudra les changer…et donc immobiliser l'avion ! Une minute après son arrivée au parking, les pneus commencent à se dégonfler sous l'effet des fusibles de surpressions.

Les pneus se dégonflent sous l'effet de la chaleur...mais l'inconnu, c'est le comportement des freins...

Deux minutes et des poussières plus tard, la température des trains  dépasse les 1000°, et les axes de roues sont à 290°..mais c'est gagné, les 5 minutes se sont écoulées ! Les pompiers entrent en action : un camion prend place à côté de chaque train pour l'arroser et donc le refroidir. Pendant presque 90 minutes, une dizaine de camion vont arroser le trains de l'avion pour le refroidir.

L'A380 est mis sur vérins l'après-midi même pour changement de tous les disques de freins, alors qu'il pèse près de 500 tonnes (aucune cuve à Istres ne pouvait accueillir le carburant pendant cette opération, il fallait donc le laisser à bord de l'appareil. L'appareil retourne ensuite à Toulouse le lendemain matin. L'essai est un succès total permettant de conclure la certification de l'appareil !

Mission accomplie pour l'A380 qui va pouvoir recevoir son coup de tampon pour entrer en service...