L’accident de l’AF447 a fait couler de l’encre et c’est normal. Il faut des années pour essayer de comprendre un crash et certaines personnes n’ont pas cette patience. Les journalistes trouvent alors un bon moyen de vendre de l’information. Et on vend mieux quand le produit est attrayant, quand il y a un peu de sensationnel. Les professionnels de l’aviation, n’ont pas cette démarche : ils veulent la vérité, froide, mais source de compréhension et d’expérience, même si il faut attendre longtemps pour cela.
Je suis pilote, sur Airbus, chez Air France. Mais n’imaginez pas que je vais essayer de vous présenter un autre mensonge sur l’AF447 car je n’ai rien à y gagner. Je vais juste vous montrer ce que les journalistes et « experts » n’ont pas dit alors que c’est écrit noir sur blanc dans le rapport final du BEA.
Après le rapport de contre-expertise d’Airbus, voici celui d’un pilote.
Note : Pour une bonne compréhension des évènements, il sera souvent fait référence aux termes PF et PNF. Le PF (Pilot Flying) désigne le pilote qui gère le pilotage tandis que le PNF (Pilot Non Flying) désigne celui qui gère la radio et les pannes. Dans notre cas, le PF est le copilote en place droite, le plus jeune, tandis que le PNF remplace le CDB à gauche et est le plus expérimenté. Par ailleurs, les aspects techniques sont complexes et il m’est impossible de trop rentrer dans les détails. Certains points seront donc simplement évoqués, sans en expliquer la raison.
Avant les problèmes techniques…
Rapidement après l’accident, l’équipage et Air France sont pointés du doigt sans aucun élément concret. On parlera ainsi de la fatigue des pilotes qui n’ont pas suffisamment dormi ou ont eu « une escale festive ». Quelle qu’ait été leur activité en escale, le BEA dit clairement (p.106) que « l’équipage ne présentait pas de signes de fatigue objectifs » et que « les niveaux d’activité et d’implication (…) sont conformes à ceux que l’on peut attendre ». Il est ainsi établi que le PF « dans les minutes qui précèdent la déconnexion du pilote automatique témoigne d’une réelle préoccupation, au-delà de la simple conscience d’un risque opérationnel. » (p.174). L’attitude du CDB face à son inquiétude pourrait faire penser à de la nonchalance alors qu’elle est seulement le reflet de son expérience. Le BEA estime d’ailleurs que la situation météorologique n’était pas exceptionnelle et qu’il « est donc probable que l’image radar disponible n’a pas été alarmante » (p.175). Il a été reproché au CDB de partir se reposer au mauvais moment, mais le BEA estime pourtant que ce choix est « compréhensible » (p.176) compte tenu de la situation météo et de l’expérience du copilote de relève. Je considère que l’on peut seulement reprocher au CDB de ne pas avoir placé le copilote le plus expérimenté en PF lors de sa relève. Les deux copilotes font un briefing de la situation en présence du CDB (p.23) puis préviennent les PNC de la possibilité de turbulences. Ils tournent de 12° par la gauche pour éviter une cellule, réduisent la vitesse et enclenchent les systèmes de dégivrage (p.24)… Ainsi, contrairement à ce qui a longtemps été dit, les pilotes étaient éveillés, actifs, conscients, et avaient exploité correctement les informations de leur radar météo, n’en déplaise à Mr Gourgeon, ancien PDG d’Air France, qui avait dit « vouloir apprendre aux pilotes à se servir de leur radar météo ».
Les tubes pitots se bouchent…
Quelques minutes après le départ du CDB (briefing à 2H00, panne à 2H10), l’équipage se trouve confronté à de nombreuses alarmes et le pilote automatique se déconnecte. Immédiatement, l’ATHR (le « pilote automatique » des moteurs qui gère la poussée pour maintenir la vitesse) se déconnecte également, générant une alarme répétitive qui va saturer l’espace sonore pendant 34’’ et gêner l’équipage dans son analyse de la situation. Parallèlement, le pilotage de l’avion se retrouve compliqué (car nettement moins stable) par le passage dans un mode de pilotage dégradé (ALT LAW), conséquence de la perte des indications de vitesse. Ainsi, le BEA considère que « La réaction de surprise est naturelle et ne peut pas être considérée comme spécifique à l’équipage » (p.179). Le PF contrôle l’inclinaison (p.24) qui est passée à 8.4° droite sans action sur le manche (schéma p.64) pendant que le PNF lit l’ECAM (écran qui affiche les pannes et les actions à effectuer pour les traiter) pour essayer de comprendre la panne. C’est le travail normal d’un équipage actif confronté à une panne.
Premier point primordial : Alors que le système de gestion des pannes de l’avion (FWC) est capable de prévenir les pilotes d’une incohérence des indications d’altitude (message NAV ALT DISCREPANCY), il ne sait pas le faire pour les incohérences de vitesse ! Dans ce cas, l’ECAM se borne à présenter les conséquences d’une anomalie de vitesses, la panne elle-même se traitant à l’aide d’une check-list papier, pour autant qu’elle soit identifiée comme telle par l’équipage ! Ainsi, le BEA dit que « l’ECAM ne comporte aucune information susceptible d’orienter la compréhension vers un problème d’indication de vitesse » (p.181 et p.203). Les premières lignes affichées concernent la déconnexion des automatismes et le passage en mode ALT LAW. Les seules actions requises par l’équipage sont de ne pas dépasser la vitesse limite de 300kt / M0.82, attirant leur attention sur un risque de survitesse, pas sur celui d’un décrochage (sous-vitesse). On lit encore que « La saillance de l’anomalie de vitesse étant très faible devant celle de la déconnexion du pilote automatique, l’équipage détecte un problème par cette déconnexion et non par la perte des indications de vitesse » (p.178) ou que « aucun message ECAM ne permet un diagnostic rapide et l’entrée vers la procédure adéquate » alors que l’ECAM a été conçu pour « faciliter l’analyse et organiser le traitement des pannes » (p.194)… C’est d’ailleurs confirmé par l’étude des autres cas similaires qui montre (p.91) que sur 13 évènements, 4 équipages n’ont pas identifié la situation de vitesse erronée et surtout qu’aucun n’a appliqué la procédure prévue ! Ainsi, le BEA, contrairement aux « experts » d’Airbus, critique clairement et à de nombreuses reprises l’ergonomie de l’appareil : « En l’absence d’un message particulier exprimant la détection par les systèmes d’une incohérence de vitesses, l’équipage n’a pas été en mesure d’identifier de logique entre les symptômes perçus et ces messages ECAM. » (p.182) Plusieurs recommandations de sécurité portent d’ailleurs sur l’ergonomie.
Second point primordial : Une autre conséquence du bouchage des pitots est qu’elle « entraine une baisse de l’altitude indiquée (…) de l’ordre de 300-350Ft » (§ 1.6.9.6.3 p.44), ce qui a été confirmé par les autres évènements de ce type (p.90). Ce point est CAPITAL car il explique l’action initiale à cabrer du copilote : il réagit en contrôlant sa trajectoire (première action enseignée en cas de panne) pour récupérer l’altitude qu’il avait avant les pannes. C’est clairement noté par le BEA (p.179) « Cette réponse a pu être associée à une volonté de récupérer le niveau de croisière » même s’il note que le pilotage est « excessif », l’expliquant par l’effet de surprise, l’absence de formation au pilotage manuel à haute altitude, et les difficultés de contrôle en ALT LAW. Néanmoins, la prise d’assiette initiale de 1°/sec montre tout de même une certaine conscience par le pilote des précautions à prendre à haute altitude.
Troisième point primordial : Les Airbus modernes proposent des aides au pilotage performantes au travers des FD (Flight Director) et de la Speed Trend. La Speed Trend est une flèche qui indique à l’équipage la prédiction de vitesse à 10 secondes. C’est un indicateur très utile de l’accélération ou de la décélération de l’avion et les pilotes l’utilisent énormément en pilotage manuel. Les FD sont des barres qui indiquent au pilote ce qu’il doit faire pour suivre la trajectoire prévue. Ces aides sont conçues pour décharger le pilote de l’interprétation des paramètres basiques de pilotage. Or, dans les minutes qui s’écoulent entre les pannes et le décrochage, les pilotes ont reçu des informations les induisant en erreur : « Il apparaît ainsi que le flèche de tendance de vitesse indiquait une accélération (…) avant et après l’activation de l’alarme de décrochage » (p.100). Le BEA en déduit qu’ « il est possible que le PF ait identifié une situation de survitesse notamment pas l’interprétation de (…) la flèche de tendance de vitesse indiquant une accélération au moment de l’activation de l’alarme de décrochage. » (p.186) Dans la même période, « les barres de tendance ont disparu puis réapparu à plusieurs reprises en changeant plusieurs fois de mode » (p.204), mais lorsqu’elles étaient affichées, elles demandaient de cabrer l’avion (p.101), confortant encore le PF dans sa mauvaise interprétation. « On peut alors s’interroger sur la pertinence de la réapparition automatique des directeurs de vol à partir du moment où ils ont disparu. » (p.195) On reparle encore une fois d’ergonomie !
De plus, le BEA a judicieusement noté (§1.6.10 p.45) que le risque de survitesse (décrochage haut) est largement surestimé par la communauté des pilotes à cause d’une formation qui le met au même niveau qu’un décrochage bas (par vitesse insuffisante), alors que l’évolution des profils d’aile ne permet plus de voler à des vitesses excessivement dangereuses. Tout ceci permet d’expliquer de façon tout à fait rationnelle la montée : initialement pour récupérer son altitude, puis pour suivre les indications de ses barres de tendance et contrôler l’augmentation (fausse) de vitesse. Souvenez-vous que sur l’ECAM, la toute première action requise pour le traitement de la panne est de ne pas dépasser la vitesse maximale de M0.82, vitesse à peine supérieure à celle de l’avion avant la panne (M0.80). Il semble qu’à cet instant, le PNF avait une meilleure « lecture » de la situation puisqu’il a souvent insisté sur la diminution de la vitesse. On pourrait alors reprocher au PF de ne pas en avoir tenu compte et d’avoir mal lu ses paramètres primaires de vol (la vitesse notamment). Mais si l’on se replace dans son contexte, les choses deviennent beaucoup moins évidentes : de nuit ; dans ou proche d’un orage ; dans un avion qui « ne peut pas décrocher » (sic !) car les calculateurs veillent ; avec des pannes multiples à gérer ; un pilotage rendu difficile par le passage en ALT LAW ; dans un environnement sonore saturé par l’alarme ATHR… Sous stress, n’importe quel humain essaye de réduire sa charge de travail. Dans le cas de notre pilote, il l’a fait en s’appuyant sur des aides au pilotage qui l’ont mal orienté. Aucun journaliste n’a jamais évoqué ces points, préférant parler d’un geste « fou » ou « incompréhensible » plutôt que d’essayer de comprendre pourquoi et d’orienter leur réflexion vers le délicat sujet des facteurs humains. Pourtant, tout est dit : (§ 2.1.2.4 « Identification de la situation » p.181) : « (…) aucune indication susceptible d’orienter la compréhension (…) » ; « l’ECAM (…) peut laisser supposer aux équipages que le risque principal est la survitesse » ; « La barre de tendance indiquait alors un ordre à cabrer » (p.183)…
Le décrochage…
L’équipage, englué dans ses tentatives de compréhension, est focalisé sur d’autres problèmes que la perte des pitots et essaye de faire diminuer la vitesse. Evidemment, alors que l’avion est proche de son niveau de croisière maximum, une montée franche va avoir comme conséquence de mener l’avion à décrocher (perte de la portance à cause d’une vitesse insuffisante). Dans ces conditions, le BEA a noté (p.195) que « L’alarme STALL a brièvement retenti alors que les actions (…) auraient dû conduire à une activation de cette alarme pendant plusieurs secondes ». A ce moment, souvenez-vous que le volume sonore est saturé par l’alarme de déconnection ATHR pendant 34’’ alors que l’alarme de décrochage ne retentit que 2’’, de façon fugitive. Les alertes du PNF au sujet de la vitesse qui diminue permettent dans un premier temps de stabiliser la trajectoire. En effet, l’assiette (angle de cabré) a augmenté de 2,5° avant la panne jusqu’à 11° puis diminué vers 5° (p.24). Mais à ce moment, les barres de tendances sont réapparues en ordonnant une montée ! Environ 45’’ après les premières alarmes, les actions en profondeur sont alternativement à cabrer et à piquer, le changement d’assiette étant faible. C’est ici que l’on va reparler de l’ergonomie de l’avion au travers de ses manches, et du TRIM…
Les mini-manches Airbus ne servent qu’à envoyer des « demandes » du pilote aux calculateurs, demandes acceptées ou pas. C’est ce qui fait toujours dire à Airbus que ses avions ne peuvent pas décrocher, les calculateurs empêchant le pilote de « faire n’importe quoi ». Par contre, lorsque le calculateur commande un changement de position des gouvernes, les manches, contrairement à d’autres avions, ne bougent pas, privant les pilotes d’un retour d’information sur ce que fait l’avion. Le TRIM, lui, est un dispositif qui vise à annuler un ordre pilote constant nécessaire pour maintenir une trajectoire. En effet, lorsque la vitesse diminue, pour garder un vol horizontal, le pilote doit compenser la perte de portance liée à la diminution de la vitesse par une augmentation de l’assiette en tirant sur le manche. Sur tous les avions du monde, il existe donc ce dispositif de TRIM qui permet d’annuler un effort permanent pour que l’avion vole droit même si la vitesse a changé (la réciproque avec une augmentation de vitesse et une action à piquer est vraie). Sur les Airbus depuis l’A320, le TRIM est automatique, silencieux, et n’est jamais utilisé par les pilotes (sauf cas de panne extrême). Ces avions sont conçus avec la logique suivante : le pilote commande un changement de trajectoire avec la gouverne (le 1/3 arrière mobile de l’empennage), tandis que les ordinateurs gèrent les effets secondaires (via le TRIM) en bougeant le PHR (la partie dite « fixe » de la profondeur soit les 2/3 de sa surface). L’analyse des schémas p.64-66 montre clairement que le PHR passe, moins d’une minute après les premières alarmes, d’une position normale à la position « plein cabré », tout ceci en 45’’ (de 2H11’00’’ à 2H11’45’’), alors que l’alarme de décrochage se met à retentir… En page 193 du rapport, on peut lire « qu’il n’est pas nécessaire d’avoir ou d’augmenter une action à cabrer pour compenser une perte de vitesse », ce que l’on appelle sur un avion classique « la stabilité statique longitudinale ». Très intéressant, le BEA rappelle que « la stabilité statique longitudinale (…) peut s’avérer utile car elle permet au pilote d’avoir un retour sensoriel (via la position du manche) sur la situation de son avion en terme de vitesse ». Autrement dit : la conception de l’A330 avec des manches non coordonnés (aux gouvernes) et un TRIM automatique a privé les pilotes d’une information cruciale sur la diminution de vitesse. Etant donné qu’ils étaient privés des indications instrumentales à cause des pitots bouchés, ce fait est d’une importance capitale dans les causes de l’accident. C’est ce qui fait dire au BEA que dans cette configuration, l’avion « finirait par décrocher sans action sur le manche ».
L’alarme de décrochage…
Après avoir souligné les problèmes d’ergonomie de l’ECAM et des commandes de vol (manche et TRIM), il nous reste à parler de l’alarme de décrochage. Car beaucoup se demandent, à juste titre, comment l’on peut continuer de tirer sur le manche alors que l’alarme de décrochage retentit. Revenons aux premières secondes : pendant 34’’ après les pannes, il y a cette alarme répétitive, toutes les 5’’, qui attire l’attention de l’équipage sur le fait que l’ATHR (système de gestion de la poussée) est déconnectée. Imaginez-vous en train de traiter un problème complexe avec un « Gong » de panne toutes les 5’’… Pendant ce temps, l’alarme STALL (décrochage) ne retentit que 2’’ alors qu’elle aurait dû s’activer plus longtemps. L’analyse « facteur humains » faite par le BEA (§ 1.16.8 p.107) explique que les alarmes sonores peuvent être ignorées par notre cerveau sous forte charge de travail lorsque ces alarmes entrent en conflit avec la tâche présente, le cerveau ayant alors tendance à privilégier la perception visuelle (p.111). Souvenez-vous que les indices visuels dont dispose le pilote à ce moment lui indiquent que la vitesse augmente (Speed Trend) et qu’il faut monter (barres de tendance) ! Par ailleurs, l’expérience des évènements précédents montre que l’alarme de décrochage « surprend et de nombreux équipages ont tendance à la considérer comme incohérente » (p.112). Le fait que cette alarme se déclenche initialement de façon furtive a « pu amener l’équipage à douter de sa crédibilité » (p.187). Tout cela pour conclure que « le comportement de l’équipage (…) est probablement reproductible en ce qui concerne la non-réaction à l’alarme STALL » (p.195). Mais le fait que cette alarme n’ai pas été bien perçue n’est pas le plus grave…
Allons droit au but : la conception de l’alarme de décrochage de l’A330 n’est pas conforme aux règlements de certification et a certainement empêché l’équipage d’identifier le décrochage. A mon avis, ces points ne sont pas suffisamment développés dans le rapport final du BEA, pour des raisons que j’ignore… Mais, si on peut lire page 143 que « L’A330 répond aux exigences de la réglementation en vigueur au moment de la demande du certificat de type », il est aussi écrit page 47 que « Si les mesures de CAS (= vitesse) sont inférieures à 60kt, (…) l’alarme décrochage est alors inopérante ». Cette conception du système a pour but d’empêcher le fonctionnement de l’alarme lorsque l’avion est au sol, Airbus considérant que si la vitesse est inférieure à 60kt, l’avion est au sol. Ou pas ?! Boeing, de son coté, considère que l’avion est au sol lorsque son train avant est comprimé (c’est plus difficilement contestable) et n’inhibe donc l’alarme de décrochage que dans ce cas. Mais que dit le règlement CS 25 « Certification Specifications for Large Aeroplanes »? Il dispose en CS 25.207 (c) que « L’alarme décrochage doit continuer tant que l’incidence est supérieure à l’incidence de décrochage ». Or, sur l’AF447, lorsque l’avion a décroché, sa vitesse est rapidement devenue inférieure à 60kt, inhibant l’alarme alors que l’avion était toujours en décrochage ! Ce décrochage est même ce que l’on appelle un « Deep-Stall », un décrochage profond ayant généralement lieu à haute altitude et dans lequel l’avion prend une position très cabrée, rendant sa récupération délicate. Le BEA a noté (p.25) que « le PF fait des actions à piquer. Dans les instants qui suivent, on constate une diminution d’incidence, les vitesses redeviennent valides et l’alarme de décrochage se réactive. » Puis (p.196-197) : « la diminution des vitesses mesurées vers des valeurs inférieures à 60kt pendant le décrochage, alors que l’incidence atteignait 40°, a provoqué de multiples activations et arrêts de l’alarme qui ont pu fortement contribuer à la difficulté pour le CDB d’analyser efficacement la situation à son retour ». Enfin : « Plusieurs actions à piquer ont provoqué une diminution de l’incidence, (…) une action franche à piquer s’est traduite par la réactivation de l’alarme de décrochage. Il semble (sic !) que le PF ait, au moins à deux reprises, réagi par une action à cabrer dont les conséquences ont été (…) une diminution des vitesses mesurées et, par conséquent, l’arrêt de l’alarme de décrochage. »
Ainsi, après l’ECAM qui ne dit pas ce qui se passe, les aides au pilotage qui induisent en erreur, le TRIM qui aide l’équipage à décrocher, nous avons maintenant l’alarme de décrochage non conforme qui se déclenche à l’opposé de toute logique… Comment peut-on imaginer que l’équipage ait pu comprendre quoi que ce soit ? Dans un sursaut de bonne volonté, le BEA recommande (p.218) que « l’EASA impose de revoir les conditions de fonctionnement de l’alarme de décrochage en vol lorsque les mesures de vitesses sont très faibles. » N’est-ce pas ce que prévoit déjà le règlement CS 25 ?
La chute…
La visualisation de la vidéo mise en ligne récemment par le BEA est très enrichissante. Elle montre tout d’abord l’hyperactivité du PF sur son manche, preuve qu’il était à un niveau de stress très élevé et incompatible avec l’analyse d’une situation très complexe. Enfin, cette vidéo confirme très clairement le mauvais fonctionnement des aides au pilotage et qu’à plusieurs reprises pendant la chute, le copilote a poussé le manche, ce qui a réactivé l’alarme de décrochage. On aurait pu imaginer que l’équipage soit tout de même en mesure de récupérer l’avion. Après tout, dans l’émission de FR3, Mr Otelli (qui n’est ni pilote de ligne, ni pilote de chasse) avait bien montré qu’il suffit de lâcher les commandes de l’avion pour sortir du décrochage ! Oui mais… il était à bord d’un avion de voltige ; son avion était trimé pour le vol en palier ; il était à basse altitude et en décrochage normal (pas en Deep-Stall) ; son alarme de décrochage fonctionnait conformément aux règlements de certification ; il savait ce qui se passait puisqu’il l’avait volontairement provoqué… Toutes considérations que l’on ne retrouve pas dans l’AF447. En fait, plutôt que de faire du journalisme sensationnel, il aurait fallu reproduire le décrochage du Rio. C’est ce qu’aurait fait Airbus, selon plusieurs sources concordantes. Sans doute pensaient-ils démontrer que les pilotes pouvaient sauver l’avion. Donc, Airbus « aurait » fait décrocher un A330 dans les mêmes conditions (masse et centrage) que l’AF447, à l’exception du contexte (de jour et par beau temps) et des pilotes (des pilotes d’essai qui ont préparé la manœuvre). Il « semblerait » que ces pilotes chevronnés, connaissant parfaitement leur machine, n’aient récupéré le décrochage… qu’au FL70, moins d’une minute avant l’impact, après de longues minutes de chute incontrôlée pendant lesquelles ils ont certainement imaginé rejoindre les victimes de l’AF447 ! Une chute de 31 000 Ft (plus de 9 000 m) dont ils ne seraient pas sortis en appliquant les procédures enseignées, mais en agissant sur les moteurs. Bien entendu, pas de publicité autour de cet évènement, pas d’enquête journalistique pour percer le secret. Mais la vérité est là : la seule fois (hors le cas qui nous intéresse) où un décrochage à haute altitude a été effectué, il a failli tuer toute une équipe de pilotes d’essai. Laissons au moins le bénéfice du doute à Airbus : un jour, ils proposeront une « mise à jour » de leurs calculateurs pour que plus jamais ceci ne se reproduise. Cette « mise à jour », selon d’autres sources internes, serait même déjà prête !
Mais alors comment est-il possible que l’on ne puisse pas récupérer ce décrochage ? Deux explications à cela. Souvenez-vous que le TRIM automatique a positionné le PHR (les 2/3 avant de la profondeur) à plein cabré. Dans ces conditions, même en braquant à plein piqué la gouverne de profondeur (le 1/3 arrière), on comprend que son action sera extrêmement limitée… De plus, le positionnement des moteurs sous les ailes fait que leur poussée crée un couple à cabrer, limitant encore plus la possibilité de faire diminuer l’incidence. C’est d’ailleurs pour cela qu’Airbus comme Boeing ont récemment modifié leurs procédures en cas de décrochage. Ainsi, le FCOM (manuel d’utilisation de l’avion) comporte une note en 3ème ligne de la procédure « Stall Recovery » ainsi libellée : « Note : In case of lack of pitch down authority, reducing thrust may be necessary. » (NDLR : En cas de manque d’autorité à piquer, il peut être nécessaire de réduire les moteurs). Espérons également qu’Airbus, dans ses mises à jour, ait prévu que le TRIM revienne automatiquement à zéro et que les barres de tendance demandent de piquer lorsque les systèmes détectent un décrochage ! Ce serait tellement plus simple…
Considérations diverses…
Après avoir disséqué le fonctionnement de l’avion et de l’équipage, il reste encore quelques questions. Beaucoup ont reproché à Air France sa lenteur à changer les pitots. Il suffit pourtant de se rendre pages 129-130 pour constater qu’Air France s’était rapprochée d’Airbus pour trouver une solution au problème de givrage des sondes dès septembre 2008, suite à 5 incidents qui s’étaient produits depuis mai 2008 (1 en mai, 1 en juillet, 3 en août) et suite aux 2 incidents d’Air Caraïbe (également en 2008). En attendant une réponse, la compagnie avait mis au programme des séances de simulateur un exercice sur le vol avec vitesse douteuse. En novembre 2008, Air France suggère à Airbus d’étudier le remplacement des pitots Thales par des sondes Goodrich. Airbus accepte cette solution près de 5 mois plus tard, le 15 avril 2009. Air France prend la décision de changer toutes les sondes A330/A340 moins de deux semaines plus tard, le 27 avril 2009. Les premières sondes sont livrées le 26 mai et sont montées sur les premiers avions à partir du 30 mai… C’était indiqué dès le rapport d’étape n°2 et il est donc mensonger d’affirmer qu’Air France a traîné à changer les sondes. L’échelle de temps journalistique n’est tout simplement pas la même que dans le domaine aéronautique ou tout doit être pesé et certifié. Le BEA ne s’y trompe pas puisque qu’aucune recommandation de sécurité ne vise directement la compagnie Air France…
Pour être tout à fait honnête, il y a un petit quelque chose à reprocher à AF : la non-conformité de son manuel de vol (Manuel TU) avec celui d’Airbus (FCOM). Dans le FCOM Airbus, la procédure « Unreliable airspeed » commence par une condition «• If the safe conduct of the flight is impacted ». Comme toutes les conditions, celle-ci est marquée par une « puce ». Dans le TU Air France, la commence ainsi « SI CONDUITE DU VOL AFFECTEE DANGEREUSEMENT », sans puce de condition. Ceci a pu induire les équipages en erreur sur la façon d’utiliser la procédure car, dans le cas du Rio, il aurait fallu « sauter » la première partie de la check-list pour aller chercher plus loin la solution au problème. Néanmoins, il faut énormément relativiser ce point car à aucun moment l’équipage n’a appelé la check-list « IAS douteuse ». Depuis l’accident, AF a identifié ce problème et a décidé de travailler avec la documentation des constructeurs, travail énorme qui est achevé depuis peu avec succès. Pour information, Lufthansa a repoussé son passage à la documentation constructeur, jugeant cette mutation très complexe. Enfin, concernant les critiques sur la formation « trop légère » des pilotes AF, il suffit juste de se souvenir que c’était un argument de vente d’Airbus que de proposer des avions « faciles », nécessitant des stages de qualification plus courts et donc moins coûteux. C’est d’ailleurs le constructeur qui définit, en accord avec les autorités, le volume minimal de formation. Air France a pour habitude de rajouter de la formation à ce volume minimum, même si la tendance est à la convergence.
Mais oublions un moment AF et allons gratter là ou d’autres « journalistes » n’ont pas osé… Que l’on soit pilote ou passager, nous avons confiance dans les avions car ils sont « certifiés ». Ceci signifie que les autorités (la DGAC en France à l’époque de la certification de l’A330 et l’EASA maintenant), veillent à ce que tous les avions respectent un nombre énorme de règles que l’on retrouve dans le règlement CS25 déjà cité. J’aimerais comprendre, à ce titre, comment l’A330 a pu être certifié alors qu’un système aussi élémentaire que son alarme de décrochage n’était pas conforme au règlement susdit ? J’aimerai comprendre pourquoi, aujourd’hui, tous les A320, A330, A340 volent avec un système toujours non conforme aux spécifications ? Sur ce point : silence total… Raison d’état ?
Et si on parlait également des recherches en mer… Comment expliquer que l’on ait mis presque deux ans pour retrouver une épave qui était à moins de 12 km de sa dernière position ? On nous a longtemps dit que le relief tourmenté des fonds marins pouvait empêcher le rayonnement des balises de détresse… Pas du tout ! L’épave « repose sur une plaine abyssale » (p.69), pile à l’endroit où les recherches avaient commencé avec un indice de confiance « bon » (Rapport d’étape n°2 p.84)… On lit ainsi page 87 que « Aucun signal en provenance des deux balises n’a été détecté malgré le passage à deux reprises des TPL non loin du champs des débris, les 22-23 juin 2009. » (TPL : Towed Pinger Locator. Hydrophones remorqués profonds). Mais quelques militaires à la langue un peu plus déliée qu’à l’accoutumée vont encore plus loin ! Il semblerait qu’un SNA (Sous-marin Nucléaire d’Attaque) était présent à proximité, information un temps confirmée par la presse. Etait-il incapable de capter les signaux des boites noires ? Et pourquoi n’a-t-on pas tenu compte de l’étonnement de l’équipage du Breguet Atlantic de la marine qui, quelques jours après l’accident, a indiqué que sa zone de recherche (environ 250 Km trop au nord) n’était pas cohérente avec la dernière position de l’avion et les courants marins relevés ? Il y a peu d’explications possibles : soit les balises n’ont pas fonctionné ; soit les moyens mis en œuvre étaient inadaptés ; soit il n’était pas souhaitable de retrouver l’épave tout de suite.
Dans tous les cas, il faut se poser la question de l’organisation des enquêtes suite à un accident (responsabilité du BEA) ou de la certification des balises (responsabilité de l’EASA).
Conclusion…
Malgré les affirmations d’Airbus, un de ses avions a bien décroché et il n’est pas le premier. Airbus se défend, et c’est légitime, notamment par le biais du fameux rapport de contre-expertise qui accable les pilotes. Mais n’est-il pas surprenant que ce rapport ne parle que de « l’erreur de pilotage » qui a provoqué le décrochage sans s’intéresser aux raisons qui ont poussé à commettre cette erreur ? Pire encore, il est absolument incroyable qu’Airbus ait demandé ce rapport postérieurement au vol d’essai qui a démontré qu’il fallait des compétences au-delà de celle du « simple » pilote de ligne pour retrouver le contrôle de l’avion ! C’est un coup de poker qui pourrait leur coûter très cher, surtout si un nouvel incident présentait des similitudes avec celui du Rio… En attendant, quelques recherches suffisent à démontrer les évidents défauts de conception de ces appareils. Qu’il s’agisse de l’interface ECAM qui ne « dit » pas la panne, des aides au pilotage qui fournissent de mauvaises informations, du TRIM qui aide au décrochage puis empêche de le récupérer, de l’alarme de décrochage qui n’est pas conforme aux règlements… Même des pilotes de ligne, qualifiés sur Airbus A320 ou A330, avouent qu’ils auraient été bien embêté d’expliquer ce qui s’est passé en visualisant juste une fois la vidéo fournie par le BEA. C’est la preuve du manque d’ergonomie de ces avions et de la rapidité avec laquelle les évènements se sont enchaînés. Evidemment, après cet accident, quelques années d’interrogations, une séance de simulateur spécifique et l’étude du rapport final, la plupart des pilotes ont tiré des enseignements personnels pour éviter que ceci ne se reproduise. Mais ceci ne diminue absolument pas l’énorme part de responsabilité d’Airbus. Ses avions ne sont pas dangereux, ils sont juste ergonomiquement mal conçus. Ils sont aussi complexes à gérer en situation dégradée qu’ils sont simples à utiliser tous les jours. C’est pourquoi le BEA demande à Airbus dans ses recommandations de sécurité d’étudier « la pertinence qu’un avertissement spécifique soit fourni » en cas de problème de vitesses, « de revoir les logiques de réaffichage et de réengagement des directeurs de vol après leur disparition », « de revoir la logique de fonctionnement ou d’affichage du directeur de vol afin qu’il disparaisse ou présente des ordres adaptés lorsque l’alarme de décrochage se déclenche », et « de revoir les conditions de fonctionnement de l’alarme de décrochage ». Souvenez-vous de l’accident du Mont Saint Odile dans lequel on a initialement accusé les pilotes d’avoir mal utilisé leur pilote automatique avant de pointer (entre autres) de graves problèmes d’ergonomie et de modifier tous les A320 en service…
Dans ce cockpit d’ingénieurs, les pilotes ne pouvaient rien comprendre et ont fait ce qu’ils pouvaient. Ils ont anticipé la situation météo, traité les pannes qui s’affichaient sur l’ECAM et se sont battus jusqu’au dernier moment. Il est par contre probable, comme le BEA le dit, que le PF, déjà stressé par les évitements d’orages se soit retrouvé « saturé » lorsque les pannes sont arrivées, et n’ai pas eu suffisamment de recul pour les appréhender sereinement. Je ne vois pas ce que l’on pourrait reprocher au CdB qui ne pouvait absolument plus comprendre la situation au moment où il est revenu au cockpit. Rien non plus à dire sur le travail du PM qui devait essayer d’interpréter les messages de l’avion, tout en surveillant la trajectoire et en aidant son collègue. Sans doute que ce crash n’aurait jamais eu lieu si, en première ligne de l’ECAM, il y avait eu un message de panne clair « NAV IAS DISCREPANCY » (Incohérence de vitesses) comme il existe le message « NAV ALTI DISCREPANCY ». On en revient toujours à l’ergonomie…
Censées surveiller tout ce petit monde, les autorités de tutelle ont une nouvelle fois montré leur totale incapacité à jouer leur rôle. De la certification au suivi de la navigabilité en passant par le suivi des incidents en exploitation, le « gendarme » n’est pas intervenu. Si cela vous surprend, pas moi, car ces superstructures administratives sont encore plus lourdes et lentes que ceux et celles qu’elles doivent surveiller. C’est comme si l’on embauchait des sumos pour courir après les jeunes délinquants des quartiers sensibles ! Et pourtant, avez-vous souvenir, dans quelque domaine que ce soit, d’une condamnation d’un organe de l’état par sa propre justice ?
Le procès du Rio approche et je suis près à parier très gros que l’on entendra parler de « responsables mais pas coupables »… Par contre, suivant l’adage qui dit que les absents ont toujours tord, les pilotes morts dans l’incompréhension de leur machine porteront le chapeau pour éviter d’avoir à remettre en cause des entités trop grosses pour que l’on puisse s’y attaquer. Le tristement célèbre « Too big to fail ».
Mais vous, vous savez…
