Black Belt Story

Les 5P du Lean appliqués à l’autopsie d’un accident.
Comment une suite de causes et d’effets a provoqué le crash du vol United 232 ?

Le vol UA 232

Le 19 juillet 1989, le vol United Airlines 232 relie Denver à Philadelphie. Il s’agit d’un DC10 fabriqué en 1971, et qui a déjà à son actif 43.000 heures de vol. Le DC10 est un avion qui possède 3 réacteurs : 1 sous chaque aile, et un dans la queue. Le pilote est Alfred Haynes, près de 30.000 heures de vol, et son copilote Williams Records, environ 20.000 heures de vol.

C’est le « jour des enfants » (billet à 1 cent) et il y a 54 enfants sur 296 passagers. L’avion décolle à 14h09 et le vol se déroule sans incident quand brutalement, à 15h15, l’équipage ressent une forte secousse dans l’appareil.

Perte des commandes

Le pilote automatique se désengage. Les alarmes du cockpit indiquent un grave dysfonctionnement du moteur 2, celui qui se trouve sous la queue de l’appareil. Parallèlement à ces alarmes et au choc, le copilote constate que les 3 circuits hydrauliques sont défaillants, et que la pression d’huile est à zéro.

En effet, c’est l’hydraulique qui permet de piloter de tels avions, car sinon, les commandes seraient quasi impossibles à manoeuvrer. Donc, le circuit du DC10 est triplé et passe par des endroits différents de l’appareil pour éviter une perte hydraulique totale. Pourtant, c’est ce qui arrive. Le commandant stoppe le moteur 2, et se retrouve donc avec les deux moteurs d’aile, et sans aucune commande de vol. Il est absolument impossible de diriger l’appareil qui prend une légère inclinaison sur la droite

Par chance, se trouve à bord Dennis Fitch,un instructeur sur DC10 qui va jusqu’au au cockpit pour proposer son aide. En analysant la situation, il se rend bien compte qu’elle est désespérée : l’avion est en vol, mais incliné sur la droite et impossible à manoeuvrer. C’est alors qu’il a une idée : il va jouer sur la puissance des moteurs d’ailes pour essayer de diriger le DC10. En attendant, le contrôle aérien propose d’atterrir en urgence sur l’aéroport de Sioux City dans l’Iowa

Sans hydraulique : pas de volets, ni d’aérofreins. Et sans volet, impossible de ralentir l’avion sans décrocher. L’équipage sort le train d’atterrissage manuellement pour ralentir l’avion. Il touche le sol à 16h00, après 45 mn de navigation en jouant uniquement sur la puissance des moteurs. L’aile droite touche le sol, l’avion fait brutalement demi-tour, et prend feu. Une langue de feu balaie l’avion sur toute sa longueur, se propageant sous les sièges. On dénombrera 111 victimes et 185 survivants.

Les 5 Pourquoi

Dans une démarche Lean 6Sigma, ou dans la résolution de problèmes, on utilise fréquemment la démarche dite « 5P » pour « 5 Pourquoi ». Elle consiste à poser jusqu’à 5 fois la question pourquoi pour trouver une cause racine. et l’éradiquer.

Par exemple, si le courant saute dans la maison, il peut être simple de ré-enclencher le disjoncteur, mais il se peut qu’il saute à nouveau tant qu’un équipement en défaut subsiste. Autre exemple : Ma voiture ne démarre pas, donc :

– P1 : Pourquoi la voiture ne démarre pas ? Parce que la batterie est à plat

– P2 : Pourquoi la batterie est à plat ? Parce que j’ai laissé les phares allumés

– P3 : Pourquoi ai-je laissé les phares allumés ? Parce que je n’ai pas fait attention

– P4 : Pourquoi n’ai-je pas fait attention ? Parce qu’il n’y a pas d’alarme qui m’a averti.

Solution définitive > Eteindre automatiquement les phares lorsque le moteur est coupé. Ce type de solution se nomme « Poka Yoke » en Lean. C’est un dispositif qui fait bien davantage que de signaler une anomalie : il permet d’éviter que l’anomalie ne se produise

Les 5P du vol United 232

Le NTSB, le bureau d’enquêtes accidents américain, a mené son enquête de juillet 1989 à novembre 1990. Le rapport complet est consultable sur internet. Les enquêteurs ont d’abord reconstitué l’avion en totalité dans un immense hangar, et ont recherché minutieusement toutes les pièces, même les plus petites. Des récompenses furent offertes aux riverains de Sioux City pour toute pièce qu’ils pourraient fournir. C’est ainsi qu’un agriculteur trouva un beau matin un morceau de réacteur en titane dans son champ.

P1 : Pourquoi les commandes n’ont-elles plus répondu ?

Parce que les 3 circuits hydrauliques étaient détruits. la pression était donc nulle. En dépit des actions manuelles pour augmenter la pression d’huile, celle-ci restait nulle. Sans hydraulique, impossible de piloter l’avion. Plus de gouverne, plus de volet, rien.

P2. Pourquoi l’hydraulique était-elle détruite ?

Le DC10 possède 3 circuits hydrauliques indépendants. La probabilité pour que les 3 circuits soient défaillants simultanément était estimée à 1 chance sur un million. Mais si les 3 circuits suivent des chemins différents, ils se rejoignent dans la queue de l’appareil pour actionner la gouverne de direction. C’est même le seul endroit où les circuits se rejoignent.

Or, la destruction du moteur 2 (réacteur de queue) a entraîné la projection des aubes du réacteur. Ces aubes (lames) ont sectionné les 3 circuits hydrauliques qui se rejoignent près de la queue. Les 3 circuits ont donc été défaillants simultanément. Ce qui ne devait jamais arriver.

P3. pourquoi le réacteur a t-il explosé ?

Le noyau en titane du réacteur numéro 2 possédait une « crique » (fissure) dans la partie circulaire centrale de la soufflante, fabriquée en titane. C’est à dire la partie qui supporte les pales en entrée du réacteur (un bore). Une fissure qui s’est aggravée au fil des vols, et qui a occasionné la désintégration complète des pales.

P4. Pourquoi y avait-il une fissure ?

Lors de la fabrication du bloc de titane dans lequel a été fabriqué le bore (partie centrale), une impureté (azote) a provoqué une fissure microscopique, qui n’a été détectée ni par les rayons X, ni par les ultrasons. A partir du premier vol de l’appareil, et après chaque atterrissage, la fissure s’est peu à peu agrandie, jusqu’à devenir critique, et provoquer la dislocation complète du réacteur.

Conclusion

Une petite fissure microscopique quelque part dans un atelier d’une fonderie, et 111 morts à l’arrivée. Petite cause, grands effets. et l’illustration de la puissance des 5 pourquoi.

Le NSTB a donc ordonné des modifications sur l’hydraulique de tous les DC10 en service. Les procédures de détection de fissure sur les blocs de titane ont été modifiées. Et les inspections de cette partie du réacteur ont été complètement revues. Car il s’agit bien d’une double erreur humaine : le défaut non détecté dans le bloc, et la fissure non détectée lors de la dernière inspection, alors que celle-ci mesurait déjà plus de 12 mm.

Notons également que les procédures de sûreté de l’époque imposait de mettre les jeunes enfants aux pieds des parents. Or, les flammes ont justement balayé le dessous des sièges. Là aussi, la procédure a été complètement revue et les enfants restent aujourd’hui sur leur siège.

Sources :
Wikipedia UA232
Air Crash UA232