AF447, le crash qui n’aurait pas dû arriver…
En juin 2009, le vol Air France 447, parti de Rio de Janeiro, disparaissait dans l’Atlantique Sud avec 228 personnes à bord. L’an passé, soit 10 ans après la « pire catastrophe de l’aviation française », Gérard Arnoux souhaitait mettre sur la table les « tenants et aboutissants d’un accident résultant d’une faillite collective des acteurs du transport aérien ». Pour cet ex-commandant de bord Air France, devenu président du deuxième syndicat de pilotes (Spaf) de la compagnie tricolore et conseiller technique d’associations de familles de victimes d’accidents aériens (déjà rompu à la tâche avec l’accident de l’A320 d’Air Inter au Mont Sainte-Odile), l’enquête a été à charge pour les pilotes alors qu’ils ne constituaient que le dernier maillon de la chaîne des responsabilités.
En 250 pages, il présente ainsi les éléments techniques – « des faits bruts étayés par des documents et des preuves factuelles » – confirmant une fois de plus qu’un accident ne peut se comprendre comme la résultante d’une simple erreur de pilotage mais plutôt des manquements à divers niveaux ayant conduit au drame. Sans le givrage des sondes Pitot, pas d’accident ! Or ces tubes installés sur l’A330 ont été conçus sur la base de standards de certification obsolètes, ne prenant pas en compte des cas de givrage à haute altitude. Une menace latente connue à l’époque après quelques incidents graves survenus les années précédentes mais dont les régulateurs ont sous-estimé la gravité. Au même moment, les pilotes n’étaient pas entraînés en simulateur aux manoeuvres d’urgence à haute altitude.
Le premier chapitre rappelle le contexte général du drame, avec un retour en arrière pour évoquer le contexte historique de la montée en puissance d’Airbus. C’est la « success story » d’un constructeur parti de la feuille blanche avec l’A300 et développant un appareil révolutionnaire (A320) via l’arrivée pour la première fois de commandes de vol électriques (CDVE) sur un avion de ligne.
Mais c’est aussi une « philosophie » qui passe parfois en force, avec notamment l’introduction de certains automatismes, le non-couplage des deux manches latéraux, les manettes de gaz qui restent fixes dans des crans, la mise hors boucle de l’équipage… Le « risque zéro » et l’élimination de l’erreur de pilotage furent cependant des leurres – les accidents de Mulhouse-Habsheim ou Bangalore comme preuves – alors que l’avion était « vendu » comme pouvant voler tout seul – ou du moins avec une concierge aux commandes – grâce à ses protections intégrales.
La percée technologique des commandes de vol électriques a entraîné le fait que les autorités de certifications (DGAC et JAA, ancêtre de l’EASA) ont dispensé par dérogation le constructeur de faire la démonstration réglementaire d’une sortie de décrochage aérodynamique, la panne des protections de l’enveloppe de vol étant considérée comme improbable – ce que ne fit pas la FAA. Ce « filet de sauvegarde informatique » fut appliqué ensuite à tous les appareils de la gamme, avec les mêmes lois de pilotage, cette standardisation minimisant les coûts de formation même si le « reset » régulier de breakers faisait partie parfois des pratiques dans le cockpit pour gérer des bugs…
Le lecteur découvre ensuite les différences de philosophies dans le pilotage des avions de ligne, chez Airbus et Boeing, avant d’aborder les sondes Pitot Thalès, celles dénommées AA avec un défaut de conception d’où le passage ensuite aux sondes dites BA puis l’abandon de ces dernières pour la sonde Goodrich. De plus, un phénomène météorologique était alors peu appréhendé à l’époque, celui des cristaux de glace à haute altitude, de taille sous estimée. L’auteur aborde ensuite le décrochage avec un phénomène qui n’est pas le même à faible altitude – avec de la réserve de puissance à disposition – et à haute altitude, à incidence déjà élevée suite à l’atmosphère moins dense.
Ceci étant posé, l’auteur attaque le chapitre 2 pour dérouler seconde par seconde le vol de l’AF447. Lors de l’analyse de la météo avant le vol, l’équipage n’avait pas connaissance d’une recommandation de l’Organisme de contrôle en vol (OCV) faite à la DGAC sur les sondes Pitot très sensibles aux cristaux de glace, phénomène présent sur la route, et des sondes hors de leur enveloppe de certification dans ces conditions. La route de l’AF447 traverse en effet le front intertropical aux orages en constante évolution. Les trois pilotes ne savent pas non plus que leur avion, dès leur arrivée à Paris, verra ses sondes Pitot changées pour les nouveaux modèles.
Lors de la traversée d’une barre nuageuse de 200 km de large, la grêle et les turbulences se font sentir et à 2h10mn du matin, le pilote automatique se déconnecte. La turbulence augmente fortement, l’instrumentation indique une inclinaison à droite et une descente contrée par le copilote en place droite. Alarmes, fausses indications se succèdent, entraînant surcorrections et surprise alors que l’appareil vole de nuit au FL350. L’indication des vitesses est perdue, l’alarme Stall (décrochage) a brièvement retenti. Les sondes Pitot ont givré à l’unisson, la machine de 200 tonnes passe en mode de pilotage manuel. La triple redondance d’un système vital est devenue inopérante, mettant l’équipage dans une situation jamais rencontrée auparavant, non prévue dans le manuel de vol et non abordée à l’entraînement.
Trois lois de commandes de vol existent sur Airbus, la loi normale (Normal Law) quand tout fonctionne, sous pilote automatique ou pas, la loi dégradée (Alternate Law) avec l’avion repris en main suite à la panne de certains systèmes (les protections du domaine de vol sont perdues) et la loi directe (Direct Law) de dernier secours, au-delà de seuils de comportement « inusuels ». C’est dans ces deux derniers cas que le rôle de l’équipage devient prépondérant pour la sécurité alors qu’il n’a pas été entraîné à la situation rencontrée, les simulateurs n’étant pas toujours représentatifs du comportement réel de l’avion, comme dans le cas d’un décrochage aérodynamique à Mach élevé. Certaines situations peuvent ne pas avoir été imaginées par les concepteurs bien qu’elles requièrent des réactions immédiates des pilotes.
Le pilotage de l’A330, centré arrière par transfert de carburant pour limiter la consommation, devient très sensible avec une instabilité en tangage difficile à gérer par un opérateur humain, étant contrôlée habituellement par les calculateurs de bord quand ils sont opérationnels. Le tout avec un domaine de vol réduit par l’altitude, entre vitesse de décrochage et vitesse de Mach critique (survitesse). Le contrôle de l’appareil sera perdu avec l’A330 passant en montée, les indications des barres de tendance ayant disparu des écrans avant de réapparaître intempestivement. C’est le décrochage qui intervient quelques dizaines de secondes seulement après la perte du PA. Les deux copilotes n’ont pas identifié le phénomène, faute d’effort à cabrer de plus en plus prononcé sur le manche.
Quand elles réapparaissent suite à un bug informatique, les barres de tendance annoncent toujours un ordre à monter tandis que l’alarme Stall retentit. Des vibrations surviennent, liées au « buffeting » avant décrochage mais qui peuvent avoir été interprétées comme de la forte turbulence. La confusion ne pouvait que s’installer avec des indications non fiables, lors d’un vol de nuit, sans visibilité. Tout expert en facteurs humains pourra le confirmer : une bonne décision ne peut être prise si la conscience de la situation n’est pas correcte au départ, et dans le cockpit de l’AF447, il y a une erreur de représentation de la situation. Le directeur de vol dit de cabrer, l’alarme de décrochage dit de réduire l’incidence. Mais l’A330 est déjà en décrochage « profond » (deep stall).
L’arrivée dans le poste du commandant de bord, auparavant en période de repos, ne permettra pas de modifier la situation. Personne ne comprend que le biréacteur a décroché. Il est vrai que sous 60 Kt, l’avertisseur de décrochage devient silencieux, les ingénieurs ayant considéré qu’il ne servait à rien à des vitesses aussi faibles alors qu’une alarme de décrochage doit retentir tant que l’incidence de vol n’a pas été reprise. Avec pour effet que lorsque le pilote poussait sur le manche pour diminuer l’incidence, l’alarme se réenclenchait, fonctionnant donc à contretemps. La sidération de l’équipage est totale alors que le taux de chute atteint les 10.000 ft/mn. L’assiette dépasse les 10°, l’incidence les 30° alors qu’au FL350, l’incidence critique est proche de 5 à 6°.
4 mn et 24 secondes après l’arrêt du PA, à la suite de 13 alarmes et 5 dysfonctionnements, c’est l’impact. 4 minutes d’une situation très complexe, jamais envisagée auparavant, 4 mn qui n’ont jamais permis à l’équipage de comprendre ce qui leur arrivait. Du vol AF447 ne restaient plus que 24 messages de dysfonctionnements envoyés par le système ACARS de transmission des données de vol de l’appareil aux services de maintenance de la compagnie : plus d’indicateur de vitesse, commandes de vol en mode dégradé, plus de PA ni de gestion automatique de la poussée des réacteurs (automanette). Trois mois plus tard, l’EASA exigeait le remplacement des sondes AA. Il est vrai que 32 événements « Pitot » dont 10 chez Air France avaient déjà été enregistrés dans les 6 précédentes années, suite à du givrage à haute altitude.
Le troisième chapitre donne l’occasion à l’auteur de revenir sur les suites du crash. Plusieurs jours ont été perdus à rechercher le lieu du crash, avec un déplacement des débris dû aux vents et aux courants qui s’avérera être de 160 km. Après trois campagnes de recherche multinationales en 22 mois, une cinquantaine de corps et quelques pièces (dont la dérive) seront retrouvés, l’avion n’étant pas localisé. L’auteur précise que les membres d’une association de victimes de l’AF447 ont menacé d’entamer une grève de la faim devant le ministère des Transports pour que les recherches de l’épave se poursuivent alors que le gouvernement avait proposé de les suspendre. Il faudra une quatrième campagne, menée en six jours par une société américaine, pour retrouver l’A330 à 3.980 m de profondeur et à moins de 10 nautiques de la dernière position donnée par l’ACARS de bord, une position logique au vu du taux de chute avant l’impact… Deux années se sont déjà écoulées.
Le dossier AF447 a entraîné la diffusion de multiples recommandations dans divers domaines, des balises de détresse aux sondes d’incidence en passant par les services SAR ou l’entraînement des pilotes. Elles sont passées en revue avec leur mise en application ou pas. Est également citée la nécessité d’une formation théorique sur le vol à haute altitude, pragmatique avec des études des cas pratiques et non pas un système de formation restant de nature très élitiste en France. Également est soulignée l’importance de garder des compétences en pilotage manuel dont le niveau s’est dégradé par l’excès de confiance dans les automatismes.
Comme le précise l’auteur dans l’introduction de son ouvrage, cet accident est tellement emblématique qu’il est devenu un cas d’école en matière de sécurité aérienne… Car si l’aviation commerciale est devenue le moyen de transport le plus sûr au monde, des failles existent dans le système, comme le révèlent outre-Atlantique les problèmes du Boeing 737 Max après deux accidents mortels survenus à des machines quasi neuves…
Ce sera aussi la mise en place de nouvelles pratiques en termes d’entraînement au pilotage, sur des simulateurs alimentés par des données tirées de vols d’essais réalisés à la suite de l’accident de l’AF447. Une fois les sondes Pitot en panne, le PA déconnecté automatiquement et le passage en loi Alternate, l’appareil devient très vif aux commandes sans les protections haute et basse du domaine de vol, oscillant en roulis avec ses ailes en flèche. De nouvelles consignes furent émises visant en priorité à réduire l’incidence et de remettre les ailes à plat, l’application de la pleine puissance ne suffisant pas. Ceci a d’ailleurs entraîné une évolution des pratiques en aviation légère avec l’abandon – enfin… – des décrochages avec perte minimale de hauteur imposés auparavant par la DGAC !
C’est aussi la mise en cause de certains automatismes hors de contrôle de l’équipage et la réouverture du débat sur le positionnement de l’équipage dans la boucle de pilotage, avec « deux écoles de pensée qui s’opposent » : l’erreur humaine est la plus grande menace pour l’une, le facteur humain est un phénomène sous-jacent pour l’autre. Dans le dernier chapitre, l’auteur présente des perspectives possibles, des pistes de réflexion sur les facteurs humains et l’interface être humain/machine. D’autres accidents sont ainsi passés en revue, Boeing 737 Max compris.
Dans le cas de l’AF447, c’est l’ensemble des acteurs du « système » de transport qui sont écornés, à des degrés divers (Airbus, Air France, DGAC, BEA, EASA) avec l’incapacité à corriger à temps des défauts déjà constatés, non pas « majeurs » mais « dangereux ». Et c’est donc « l’histoire de la machine la plus sophistiquée qui soit, laquelle n’était pas supposée décrocher jusqu’à ce qu’elle plonge dans l’océan d’une altitude de 11.600 m en moins de 4 minutes ».
Tout pilote, même privé, intéressé par la sécurité des vols et toutes ses multiples composantes, trouvera assurément matière à réflexion à la lecture de cet ouvrage. ♦♦♦
– Le Rio-Paris ne répond plus, par Gérard Arnoux, 250 p. Ed. L’Harmattan. 27,50 €
