CELLULE DES AÉRONEFS
COMMANDES DE VOL ÉLECTRIQUES
par Claude LELAIE
Un peu d’histoire
Le premier avion civil certifié à être équipé de commandes de vol électriques CDVE a été Concorde. Le but essentiel était de gommer les effets aérodynamiques pouvant perturber le pilotage dans la zone transsonique. Les calculateurs étaient analogiques, et il y avait un secours mécanique.
Plus tard, à partir des années 1970, tous les nouveaux avions de combat ont progressivement été équipés de CDVE : F16, F17 puis Mirage 2000. L’évolution de la technologie permettait d’avoir des calculateurs numériques.
Pour les avions de transport, avant de franchir le pas, il fallait avoir une totale confiance dans cette technologie. Le constructeur devait s’assurer que toutes les combinaisons de pannes ne pouvaient pas conduire à une catastrophe. L’A320 a été le premier avion civil avec des CDVE à être certifié en 1987.
Comment assurer la sécurité ?
L’essentiel de la conception tourne autour de la sécurité. Elle ne peut pas être assurée simplement par un grand nombre de calculateurs tous identiques, même parfaitement fiables. Il faut supposer qu’il peut y avoir un "bug" qui affecte tous ces calculateurs. Ce type de panne se rencontre tous les jours dans la vie courante, et il peut parfaitement arriver sur un calculateur installé sur un avion en dépit de tous les essais effectués pendant le développement et la certification. Il ne serait évidemment pas acceptable de crasher un avion pour cette raison.
Pour éviter ce risque, tous les constructeurs utilisent un principe de dissimilarité dans la conception de leurs CDVE. Il est appliqué de manière différente chez Airbus, Boeing et Dassault. Pour résumer : « Ne pas mettre tous ses œufs dans le même panier » !
Les calculateurs
Pour l’A320, toutes les fonctions ont été réparties dans différents calculateurs. Les commandes de vol sont commandées par trois types de calculateurs : ELAC (Elevators and Ailerons Computer) pour les ailerons et les profondeurs, SEC (Secondary Computer) secondaire pour toutes les surfaces et FAC (Flight Augmentation Computer), amortisseur de lacet et calcul du centrage. ELAC et SEC ont deux voies de calcul différentes COM (computation) et MON (monitoring), la seconde contrôlant la première afin de détecter des pannes éventuelles.
Sur les Airbus, l’architecture a évolué progressivement. Les A350 et A380 ont maintenant deux types de calculateurs : 3 PRIM (Primary) et 3 SEC (Secondary).
Chacun d’eux a deux voies de calcul différentes (A et B). Ces avions peuvent voler en loi normale, sans aucune restriction, avec un seul PRIM. Les SEC n’ont que des lois dégradées avec des restrictions dans les protections.
Ci-dessous schéma de principe des CDVE.
Sur le Boeing 777, il y a 3 PFC (Primary Flight Computer) appelés L (Left), C (Centre) et R (Right) pour calculer les lois de commandes. Chacun de ces 3 calculateurs comporte 3 voies de calcul différentes (hardware et software différents). De plus, il y a 4 ACE (Actuators Control Electronics) dont on peut dire, pour simplifier qu’ils sont l’interface entre les domaines numériques des calculateurs et analogiques des servocommandes. Ces ACE ont également des fonctions de commande et de surveillance différentes.
Le Falcon 7X de Dassault Aviation a une architecture globalement assez similaire à celle de l’A380 avec 3 calculateurs principaux et 3 secondaires.
Le dernier secours
Tous les avions de transport équipés de CDVE comportent un système de secours pour couvrir la panne de tous les calculateurs de commandes de vol, même s’il est considéré aujourd’hui que, grâce à la dissimilarité et à l’architecture, pour certains avions, ce n’est pas strictement nécessaire pour assurer le niveau de sécurité requis.
Sur l’A320, un système mécanique assure ce dernier secours. Le contrôle en tangage est assuré grâce à la roue dans le cockpit qui commande la position du plan horizontal à l’aide d’un câble. Le contrôle en roulis est effectué par les pédales. Elles commandent mécaniquement le braquage de la direction qui crée le roulis induit.
En tangage, le pilotage du B777 en dernier secours est assuré, comme sur l’A320, par le braquage du plan horizontal. En roulis, une paire de spoilers est commandée par le volant par l’intermédiaire de câbles.
Sur l’A380 et l’A350, considérant le nombre de calculateurs et l’architecture, règlementairement il n’est pas nécessaire d’avoir un dernier secours. Néanmoins, il a été installé. Il s’agit du BCM (Backup Control Module). Il s’agit d’un calculateur analogique tout simple (!) avec des gyromètres. Il permet de voler dans tout le domaine de vol.
Sur le Falcon 7X, le dernier secours est également un calculateur analogique. Les pédales commandent deux spoilers et le tangage est contrôlé par le plan horizontal.
Les circuits électriques
Une panne électrique totale serait fatale pour un avion à CDVE. Le cas de perte de tous les générateurs électriques des moteurs et de l’APU est ce qu’on appelle le dernier secours électrique (Emergency Electrical Configuration). Dans cette situation, l’électricité est généralement fournie par une petite éolienne qui se déploie sous l’avion RAT ou Ram Air Turbine Voir la RAT. Elle peut quelquefois provenir d’un générateur entrainé par un circuit hydraulique. La probabilité de se trouver dans cette situation est extrêmement faible. Habituellement, deux calculateurs de commandes de vol sont alors disponibles, quelquefois seulement avec des lois de pilotage dégradées.
Les circuits hydrauliques
Trois circuits hydrauliques sont suffisants sur un avion de transport compte tenu de leur probabilité de panne, à la condition, bien sûr, que l’avion puisse voler en toute sécurité sur un seul de ces circuits.
Aujourd’hui les avions peuvent être équipés de systèmes hydrauliques décentralisés grâce à des servocommandes électro-hydrauliques. Il en existe deux types. L’EHA (Electro Hydraulic Actuator) comporte un petit moteur électrique qui fournit la pression hydraulique pour actionner la servocommande. L’EBHA (Electric Backup Hydraulic Actuator) fonctionne comme une servocommande classique avec la pression hydraulique fournie par une source extérieure, ou comme un EHA si cette pression tombe à zéro.
Si l‘avion est capable de voler seulement avec les EHA et EBHA, en supposant même certains d’entre eux en panne, alors il est possible de supprimer un circuit hydraulique. Sur un gros avion, cela permet de diminuer la masse grâce à la suppression de nombreuses tuyauteries.
Les différentes surfaces de contrôle
Dans toutes les combinaisons de pannes considérées pour la certification, un nombre suffisant de surfaces de contrôle doit être disponible en permanence. Cela signifie que la majorité de ces surfaces doit être équipée de servocommandes doublées, chacune d’elle étant pilotée par plusieurs calculateurs. Pour bien comprendre, prenons un exemple. Un avion de transport a toujours deux profondeurs indépendantes, au cas où l’une d’elles serait bloquée. Supposons que chacune ait une seule servocommande commandée par un seul calculateur. En cas de panne d’un circuit hydraulique d’un côté et d’un calculateur de l’autre, il serait possible de perdre les deux profondeurs, ce qui serait évidemment inacceptable. Avec une architecture standard, chaque profondeur est manœuvrée par deux servocommandes alimentées par les différents circuits hydrauliques. Deux calculateurs, et quelquefois trois, peuvent piloter chacun de ces vérins.
Dans certaines conditions de vol, sur de gros avions, les deux servocommandes d’une même surface peuvent être activées simultanément afin d’obtenir un débattement plus rapide et une puissance plus importante. C’est ce qu’on appelle la double pressurisation.
Les lois de pilotage
Lorsqu’il n’y a pas de panne et qu’aucune des diverses protections n’est active, l’avion est en loi « normale ». Mais une telle loi peut être complètement différente d’un avion à un autre. Le constructeur choisit les paramètres qui sont maintenus et commandés par la loi. Par exemple, en tangage, cela peut être la vitesse, l’assiette longitudinale, la vitesse de tangage (pitch rate), le facteur de charge, etc.
Les lois normales en tangage
Lorsque le manche ou le volant est maintenu au neutre, il y a deux principales possibilités pour la loi de pilotage :
Maintenir la vitesse : L’avion est stable en vitesse et il doit être trimé pour stabiliser une nouvelle vitesse. L’appareil est piloté comme s’il avait des commandes de vol mécaniques. C’est le choix fait par Boeing pour les B777 et B787. Ces avions répondent aux règlements de certification habituels.
Maintenir l’attitude ou la trajectoire : Avec une telle loi, il n’y a plus besoin de trimer lorsqu’on modifie la vitesse. C’est un choix évident pour les avions de combat car cela facilite le pilotage lors des rapides variations de vitesse. C’est aussi le choix d’Airbus et de Dassault Aviation pour leurs avions civils. Ces appareils ne répondent pas au règlement de certification qui stipule qu’ils doivent être stables en vitesse (manche lâché, l’avion maintient sa vitesse). Une réglementation spécifique est donc prévue pour assurer un équivalent de sécurité.
À une vitesse donnée, le déplacement du manche ou du volant peut être associé à différents paramètres comme le facteur de charge ou la vitesse de tangage. Il est aussi possible pour faciliter le contrôle par l’équipage de passer progressivement d’un paramètre à un autre.
Prenons un exemple. À grande vitesse, l’expérience montre que le pilotage est facile lorsque le facteur de charge est proportionnel au braquage du manche. Au contraire, avoir une vitesse angulaire proportionnelle à ce débattement ne serait pas idéal. En effet, pour un déplacement de manche et donc pour une vitesse angulaire donnés, le facteur de charge varierait beaucoup avec la vitesse. À basse vitesse, les variations de facteur de charge sont limitées et, par conséquent, ce n’est pas un bon paramètre de pilotage. Au contraire, il est facile de faire varier la vitesse de tangage proportionnellement au débattement du manche. En conclusion, pour un avion de transport, une solution possible, bien adaptée aux habitudes des pilotes, peut être de contrôler le facteur de charge à grande vitesse et de mixer progressivement avec la vitesse angulaire de tangage lorsque la vitesse diminue. Evidemment, tous les gains doivent être ajustés avec la vitesse de l’appareil. Ceci est seulement un exemple d’une solution acceptable, mais il y a beaucoup d’autres algorithmes qui peuvent être utilisés pour obtenir des lois de CDVE agréables et efficaces, à la condition, dans chaque cas, d’adapter les gains.
Le centrage
L’un des points clés pour le réglage des lois de pilotage en tangage est la connaissance du centrage. La position de la profondeur pour obtenir un facteur de charge à une vitesse donnée est différente aux centrages avant et arrière. Utiliser une valeur de centrage unique pour toutes les conditions de vol ne faciliterait pas la mise au point et finalement, en exagérant un peu, on reviendrait pratiquement aux résultats obtenus avec les commandes de vol mécaniques en raison de la difficulté d’adapter correctement les gains. Régler les protections en incidence serait aussi très délicat parce qu’il y a des débattements importants de profondeur à basse vitesse. Pour des raisons de sécurité, il faut avoir la manœuvrabilité qui correspond au cas critique, au centrage avant, où de grands braquages sont nécessaires. Mais cela pourrait causer des difficultés de pilotage au centrage arrière avec une trop grande sensibilité des commandes. Tout dépend des caractéristiques de l’avion.
Il n’est évidemment pas possible d’utiliser le centrage introduit par l’équipage parce qu’il y a quelquefois des erreurs, et cela pourrait avoir des conséquences néfastes sur la pilotabilité. Mais il y a différents moyens de calculer le centrage à bord, ou tout simplement de valider celui introduit par l’équipage. En vol stabilisé, pour une masse, une vitesse et une incidence données, avion trimé, la position du plan horizontal et de la profondeur sont simplement fonction du centrage. Dès que l’avion a décollé et est stabilisé, connaissant le braquage du plan et de la profondeur, le calcul du centrage peut commencer grâce à la comparaison de tous ces paramètres avec un modèle aérodynamique (même simplifié). Il est confirmé pendant tout le vol.
Les lois normales en roulis
Stabiliser l’avion en roulis est moins critique qu’en tangage et une simple loi directe (débattement des surfaces proportionnel au braquage du manche) peut être une solution. C’est ce qui est fait sur certains jets d’affaires légers.
Une autre possibilité est d’avoir une stabilisation en roulis avec une loi maintenant l’inclinaison en l’absence de commande. Un taux de roulis peut aussi être associé au braquage du manche ou du volant. C’est le cas sur les Airbus avec un taux de roulis maximal de 15°/s dans les conditions standard.
Sur tous les avions de transport, il y a une oscillation en lacet/roulis appelée dutch roll. Sur l’avion naturel, elle est souvent très mal amortie. Dans le meilleur des cas, il faut 3 à 4 périodes pour qu’elle soit complètement amortie. Sur certains appareils, en particulier les quadrimoteurs, dans certaines configurations, elle reste pratiquement entretenue. Tous ces avions sont donc équipés d’un amortisseur de lacet (yaw damper) pour éliminer cette oscillation. Sur les gros porteurs les plus récents, tous les calculateurs, y compris ceux qui ne calculent que des lois dégradées, intègrent un yaw damper. L’amortisseur est donc toujours disponible.
Le comportement naturel d’un avion de transport au début d’un virage est différent de celui d’un avion léger, et plutôt similaire à celui d’un planeur. Il y a beaucoup de lacet inverse, c’est-à-dire que le braquage des ailerons crée un moment de lacet à l’opposé du virage planifié. La direction doit donc être braquée pour maintenir le dérapage à zéro. A la mise en virage, les CDVE le font pour les pilotes. C’est la coordination de virage, qui est installée dans la loi normale. Sur les avions les plus récents, elle existe même dans les lois dégradées.
La loi de commandes de vol latérale la plus sophistiquée maintient le dérapage en permanence à zéro. La direction a donc une autorité totale, ce qui n’était pas le cas sur les premiers avions à CDVE où son autorité était limitée à celle de l’amortisseur de lacet et de la coordination de virage, c’est-à-dire quelques degrés. En cas de panne de moteur à très basse vitesse, dépendant de la poussée de l’autre moteur, un braquage important peut être nécessaire pour maintenir le dérapage à zéro. Avec une telle loi, même en cas de panne d’un moteur à la poussée maximale en vol, le pilote n’a rien à faire avec les commandes latérales. Elle doit incorporer des protections pour éviter que des braquages importants ne conduisent à des efforts trop élevés sur la dérive dans certains cas critiques. Cette loi est installée sur les A380 et A350.
Les protections
De nombreuses protections peuvent être installées avec des commandes de vol électriques : assiette longitudinale, inclinaison, incidence, grande vitesse, etc. Elles peuvent être surpassables ou non. C’est le choix du constructeur.
L’une des difficultés majeures avec les protections, surtout lorsqu’elles ne sont pas surpassables, est de s’assurer qu’il n’y a pas de « trou » dans le système. L’équipage doit pouvoir se reposer sur elles en toutes circonstances. Et ce n’est pas facile à démontrer. Avec le développement de l’A320, progressivement, de nouvelles manœuvres qui pouvaient piéger les protections ont été trouvées. Mais, depuis bien longtemps, aucun problème n’a été rencontré de ce côté. Toutefois, il ne faut pas oublier, lorsqu’on modifie une loi de pilotage, de vérifier qu’elle n’est pas la source d’un nouveau problème.
Pendant le développement, il faut s’assurer que les diverses protections ne sont pas activées de manière intempestive en vol normal et qu’elles n’interfèrent pas avec les lois ou d’autres protections de manière anormale. Par exemple, la protection en incidence doit être inhibée à l’atterrissage, même s’il y a un risque de toucher avec l’arrière du fuselage. En effet, dans une situation aussi délicate, le pilote est mieux placé que des calculateurs pour prendre la bonne décision.
Diverses lois de pilotage
Pour différentes phases de vol, il est nécessaire d’avoir des lois de pilotage particulières. Pour le décollage, la loi ne peut être qu’une loi directe avec des paramètres qui optimisent les performances, c’est-à-dire qui permettent de faire une rotation rapide, mais en évitant un tail strike (toucher de l’arrière du fuselage).
Différentes lois d’atterrissage existent sur les avions à CDVE. Il s’agit le plus souvent une loi directe adaptée, mais ce n’est pas obligatoire. Des précautions doivent être prises car, près du sol, les gains du pilote augmentent et donc le risque d’APC (Aircraft Pilot Coupling) est beaucoup plus grand. L’APC est dû à une amplification des mouvements de l’avion par le pilote, généralement en raison de gains trop forts (Illustration spectaculaire avec le vol zéro du YF16 en 1974, - voir Youtube).
Les lois dégradées (situation de panne)
Il y a beaucoup de types de lois dégradées, dépendant de l’architecture des CDVE et de la panne qui conduit à cette dégradation. Dans certains cas, la dégradation est mineure et elle n’a pas de conséquence sur les opérations normales. C’est le cas, par exemple, si les protections basses vitesses et grandes vitesses sont perdues. Si les procédures de vol sont suivies normalement, cette perte n’affecte pas le pilotage. Un niveau de sécurité a simplement été perdu.
D’autres lois peuvent conduire à une détérioration des caractéristiques de pilotage. Le cas extrême, sans aller jusqu’au dernier secours, est la loi directe. Mais il y a aussi de nombreuses variantes dans les lois directes. Par exemple si les gains sont toujours calculés en fonction du centrage, de la vitesse, du Mach, et si l’amortisseur de lacet et la coordination de virage sont toujours opérationnels, le pilotage sera très facile, et même bien plus aisé que sur certains avions anciens avec des commandes mécaniques. Si les gains ne sont pas calculés en fonction de tous ces paramètres, des réglages approximatifs peuvent être faits, par exemple en fonction de la configuration de l’avion. La qualité du pilotage en sera évidemment affectée, mais la probabilité de se trouver dans une telle situation est extrêmement faible.
Réduction des charges et confort
D’autres protections sont quelquefois installées, invisibles pour l’équipage. Elles permettent de garantir que l’avion ne peut pas effectuer certaines manœuvres réglementaires de dimensionnement de la structure. Elles correspondent à des situations théoriques qui ne sont jamais rencontrées d’un point de vue opérationnel. Le but est de diminuer la masse de la structure.
Sur certains avions, des fonctions sont installées pour réduire les charges tout particulièrement sur la voilure, par exemple en cas de turbulence ou de facteur de charge, piloté ou non.
Enfin, n’oublions pas ce qui est très important aujourd’hui : l’amélioration du confort. Les gros avions sont flexibles et certaines de leurs oscillations doivent, si possible, être amorties. Des surfaces sont braquées en fonction d’algorithmes complexes. L’amélioration peut être spectaculaire.
