AF447, le mot est laché....

[chomel]

J'ai trouvé ça ce matin !

’accident de l’AF447 a fait couler de l’encre et c’est normal. Il faut des années pour essayer de comprendre un crash et certaines personnes n’ont pas cette patience. Les journalistes trouvent alors un bon moyen de vendre de l’information. Et on vend mieux quand le produit est attrayant, quand il y a un peu de sensationnel. Les professionnels de l’aviation, n’ont pas cette démarche : ils veulent la vérité, froide, mais source de compréhension et d’expérience, même si il faut attendre longtemps pour cela.

Je suis pilote, sur Airbus, chez Air France. Mais n’imaginez pas que je vais essayer de vous présenter un autre mensonge sur l’AF447 car je n’ai rien à y gagner. Je vais juste vous montrer ce que les journalistes et « experts » n’ont pas dit alors que c’est écrit noir sur blanc dans le rapport final du BEA.

Après le rapport de contre-expertise d’Airbus, voici celui d’un pilote.

Note : Pour une bonne compréhension des évènements, il sera souvent fait référence aux termes PF et PNF. Le PF (Pilot Flying) désigne le pilote qui gère le pilotage tandis que le PNF (Pilot Non Flying) désigne celui qui gère la radio et les pannes. Dans notre cas, le PF est le copilote en place droite, le plus jeune, tandis que le PNF remplace le CDB à gauche et est le plus expérimenté. Par ailleurs, les aspects techniques sont complexes et il m’est impossible de trop rentrer dans les détails. Certains points seront donc simplement évoqués, sans en expliquer la raison.

Avant les problèmes techniques…

Rapidement après l’accident, l’équipage et Air France sont pointés du doigt sans aucun élément concret. On parlera ainsi de la fatigue des pilotes qui n’ont pas suffisamment dormi ou ont eu « une escale festive ». Quelle qu’ait été leur activité en escale, le BEA dit clairement (p.106) que « l’équipage ne présentait pas de signes de fatigue objectifs » et que « les niveaux d’activité et d’implication (…) sont conformes à ceux que l’on peut attendre ». Il est ainsi établi que le PF « dans les minutes qui précèdent la déconnexion du pilote automatique témoigne d’une réelle préoccupation, au-delà de la simple conscience d’un risque opérationnel. » (p.174). L’attitude du CDB face à son inquiétude pourrait faire penser à de la nonchalance alors qu’elle est seulement le reflet de son expérience. Le BEA estime d’ailleurs que la situation météorologique n’était pas exceptionnelle et qu’il « est donc probable que l’image radar disponible n’a pas été alarmante » (p.175). Il a été reproché au CDB de partir se reposer au mauvais moment, mais le BEA estime pourtant que ce choix est « compréhensible » (p.176) compte tenu de la situation météo et de l’expérience du copilote de relève. Je considère que l’on peut seulement reprocher au CDB de ne pas avoir placé le copilote le plus expérimenté en PF lors de sa relève. Les deux copilotes font un briefing de la situation en présence du CDB (p.23) puis préviennent les PNC de la possibilité de turbulences. Ils tournent de 12° par la gauche pour éviter une cellule, réduisent la vitesse et enclenchent les systèmes de dégivrage (p.24)… Ainsi, contrairement à ce qui a longtemps été dit, les pilotes étaient éveillés, actifs, conscients, et avaient exploité correctement les informations de leur radar météo, n’en déplaise à Mr Gourgeon, ancien PDG d’Air France, qui avait dit « vouloir apprendre aux pilotes à se servir de leur radar météo ».

Les tubes pitots se bouchent…

Quelques minutes après le départ du CDB (briefing à 2H00, panne à 2H10), l’équipage se trouve confronté à de nombreuses alarmes et le pilote automatique se déconnecte. Immédiatement, l’ATHR (le « pilote automatique » des moteurs qui gère la poussée pour maintenir la vitesse) se déconnecte également, générant une alarme répétitive qui va saturer l’espace sonore pendant 34’’ et gêner l’équipage dans son analyse de la situation. Parallèlement, le pilotage de l’avion se retrouve compliqué (car nettement moins stable) par le passage dans un mode de pilotage dégradé (ALT LAW), conséquence de la perte des indications de vitesse. Ainsi, le BEA considère que « La réaction de surprise est naturelle et ne peut pas être considérée comme spécifique à l’équipage » (p.179). Le PF contrôle l’inclinaison (p.24) qui est passée à 8.4° droite sans action sur le manche (schéma p.64) pendant que le PNF lit l’ECAM (écran qui affiche les pannes et les actions à effectuer pour les traiter) pour essayer de comprendre la panne. C’est le travail normal d’un équipage actif confronté à une panne.

Premier point primordial : Alors que le système de gestion des pannes de l’avion (FWC) est capable de prévenir les pilotes d’une incohérence des indications d’altitude (message NAV ALT DISCREPANCY), il ne sait pas le faire pour les incohérences de vitesse ! Dans ce cas, l’ECAM se borne à présenter les conséquences d’une anomalie de vitesses, la panne elle-même se traitant à l’aide d’une check-list papier, pour autant qu’elle soit identifiée comme telle par l’équipage ! Ainsi, le BEA dit que « l’ECAM ne comporte aucune information susceptible d’orienter la compréhension vers un problème d’indication de vitesse » (p.181 et p.203). Les premières lignes affichées concernent la déconnexion des automatismes et le passage en mode ALT LAW. Les seules actions requises par l’équipage sont de ne pas dépasser la vitesse limite de 300kt / M0.82, attirant leur attention sur un risque de survitesse, pas sur celui d’un décrochage (sous-vitesse). On lit encore que « La saillance de l’anomalie de vitesse étant très faible devant celle de la déconnexion du pilote automatique, l’équipage détecte un problème par cette déconnexion et non par la perte des indications de vitesse » (p.178) ou que « aucun message ECAM ne permet un diagnostic rapide et l’entrée vers la procédure adéquate » alors que l’ECAM a été conçu pour « faciliter l’analyse et organiser le traitement des pannes » (p.194)… C’est d’ailleurs confirmé par l’étude des autres cas similaires qui montre (p.91) que sur 13 évènements, 4 équipages n’ont pas identifié la situation de vitesse erronée et surtout qu’aucun n’a appliqué la procédure prévue ! Ainsi, le BEA, contrairement aux « experts » d’Airbus, critique clairement et à de nombreuses reprises l’ergonomie de l’appareil : « En l’absence d’un message particulier exprimant la détection par les systèmes d’une incohérence de vitesses, l’équipage n’a pas été en mesure d’identifier de logique entre les symptômes perçus et ces messages ECAM. » (p.182) Plusieurs recommandations de sécurité portent d’ailleurs sur l’ergonomie.

Second point primordial : Une autre conséquence du bouchage des pitots est qu’elle « entraine une baisse de l’altitude indiquée (…) de l’ordre de 300-350Ft » (§ 1.6.9.6.3 p.44), ce qui a été confirmé par les autres évènements de ce type (p.90). Ce point est CAPITAL car il explique l’action initiale à cabrer du copilote : il réagit en contrôlant sa trajectoire (première action enseignée en cas de panne) pour récupérer l’altitude qu’il avait avant les pannes. C’est clairement noté par le BEA (p.179) « Cette réponse a pu être associée à une volonté de récupérer le niveau de croisière » même s’il note que le pilotage est « excessif », l’expliquant par l’effet de surprise, l’absence de formation au pilotage manuel à haute altitude, et les difficultés de contrôle en ALT LAW. Néanmoins, la prise d’assiette initiale de 1°/sec montre tout de même une certaine conscience par le pilote des précautions à prendre à haute altitude.

Troisième point primordial : Les Airbus modernes proposent des aides au pilotage performantes au travers des FD (Flight Director) et de la Speed Trend. La Speed Trend est une flèche qui indique à l’équipage la prédiction de vitesse à 10 secondes. C’est un indicateur très utile de l’accélération ou de la décélération de l’avion et les pilotes l’utilisent énormément en pilotage manuel. Les FD sont des barres qui indiquent au pilote ce qu’il doit faire pour suivre la trajectoire prévue. Ces aides sont conçues pour décharger le pilote de l’interprétation des paramètres basiques de pilotage. Or, dans les minutes qui s’écoulent entre les pannes et le décrochage, les pilotes ont reçu des informations les induisant en erreur : « Il apparaît ainsi que le flèche de tendance de vitesse indiquait une accélération (…) avant et après l’activation de l’alarme de décrochage » (p.100). Le BEA en déduit qu’ « il est possible que le PF ait identifié une situation de survitesse notamment pas l’interprétation de (…) la flèche de tendance de vitesse indiquant une accélération au moment de l’activation de l’alarme de décrochage. » (p.186) Dans la même période, « les barres de tendance ont disparu puis réapparu à plusieurs reprises en changeant plusieurs fois de mode » (p.204), mais lorsqu’elles étaient affichées, elles demandaient de cabrer l’avion (p.101), confortant encore le PF dans sa mauvaise interprétation. « On peut alors s’interroger sur la pertinence de la réapparition automatique des directeurs de vol à partir du moment où ils ont disparu. » (p.195) On reparle encore une fois d’ergonomie !

De plus, le BEA a judicieusement noté (§1.6.10 p.45) que le risque de survitesse (décrochage haut) est largement surestimé par la communauté des pilotes à cause d’une formation qui le met au même niveau qu’un décrochage bas (par vitesse insuffisante), alors que l’évolution des profils d’aile ne permet plus de voler à des vitesses excessivement dangereuses. Tout ceci permet d’expliquer de façon tout à fait rationnelle la montée : initialement pour récupérer son altitude, puis pour suivre les indications de ses barres de tendance et contrôler l’augmentation (fausse) de vitesse. Souvenez-vous que sur l’ECAM, la toute première action requise pour le traitement de la panne est de ne pas dépasser la vitesse maximale de M0.82, vitesse à peine supérieure à celle de l’avion avant la panne (M0.80). Il semble qu’à cet instant, le PNF avait une meilleure « lecture » de la situation puisqu’il a souvent insisté sur la diminution de la vitesse. On pourrait alors reprocher au PF de ne pas en avoir tenu compte et d’avoir mal lu ses paramètres primaires de vol (la vitesse notamment). Mais si l’on se replace dans son contexte, les choses deviennent beaucoup moins évidentes : de nuit ; dans ou proche d’un orage ; dans un avion qui « ne peut pas décrocher » (sic !) car les calculateurs veillent ; avec des pannes multiples à gérer ; un pilotage rendu difficile par le passage en ALT LAW ; dans un environnement sonore saturé par l’alarme ATHR… Sous stress, n’importe quel humain essaye de réduire sa charge de travail. Dans le cas de notre pilote, il l’a fait en s’appuyant sur des aides au pilotage qui l’ont mal orienté. Aucun journaliste n’a jamais évoqué ces points, préférant parler d’un geste « fou » ou « incompréhensible » plutôt que d’essayer de comprendre pourquoi et d’orienter leur réflexion vers le délicat sujet des facteurs humains. Pourtant, tout est dit : (§ 2.1.2.4 « Identification de la situation » p.181) : « (…) aucune indication susceptible d’orienter la compréhension (…) » ; « l’ECAM (…) peut laisser supposer aux équipages que le risque principal est la survitesse » ; « La barre de tendance indiquait alors un ordre à cabrer » (p.183)…

Le décrochage…

L’équipage, englué dans ses tentatives de compréhension, est focalisé sur d’autres problèmes que la perte des pitots et essaye de faire diminuer la vitesse. Evidemment, alors que l’avion est proche de son niveau de croisière maximum, une montée franche va avoir comme conséquence de mener l’avion à décrocher (perte de la portance à cause d’une vitesse insuffisante). Dans ces conditions, le BEA a noté (p.195) que « L’alarme STALL a brièvement retenti alors que les actions (…) auraient dû conduire à une activation de cette alarme pendant plusieurs secondes ». A ce moment, souvenez-vous que le volume sonore est saturé par l’alarme de déconnection ATHR pendant 34’’ alors que l’alarme de décrochage ne retentit que 2’’, de façon fugitive. Les alertes du PNF au sujet de la vitesse qui diminue permettent dans un premier temps de stabiliser la trajectoire. En effet, l’assiette (angle de cabré) a augmenté de 2,5° avant la panne jusqu’à 11° puis diminué vers 5° (p.24). Mais à ce moment, les barres de tendances sont réapparues en ordonnant une montée ! Environ 45’’ après les premières alarmes, les actions en profondeur sont alternativement à cabrer et à piquer, le changement d’assiette étant faible. C’est ici que l’on va reparler de l’ergonomie de l’avion au travers de ses manches, et du TRIM…

Les mini-manches Airbus ne servent qu’à envoyer des « demandes » du pilote aux calculateurs, demandes acceptées ou pas. C’est ce qui fait toujours dire à Airbus que ses avions ne peuvent pas décrocher, les calculateurs empêchant le pilote de « faire n’importe quoi ». Par contre, lorsque le calculateur commande un changement de position des gouvernes, les manches, contrairement à d’autres avions, ne bougent pas, privant les pilotes d’un retour d’information sur ce que fait l’avion. Le TRIM, lui, est un dispositif qui vise à annuler un ordre pilote constant nécessaire pour maintenir une trajectoire. En effet, lorsque la vitesse diminue, pour garder un vol horizontal, le pilote doit compenser la perte de portance liée à la diminution de la vitesse par une augmentation de l’assiette en tirant sur le manche. Sur tous les avions du monde, il existe donc ce dispositif de TRIM qui permet d’annuler un effort permanent pour que l’avion vole droit même si la vitesse a changé (la réciproque avec une augmentation de vitesse et une action à piquer est vraie). Sur les Airbus depuis l’A320, le TRIM est automatique, silencieux, et n’est jamais utilisé par les pilotes (sauf cas de panne extrême). Ces avions sont conçus avec la logique suivante : le pilote commande un changement de trajectoire avec la gouverne (le 1/3 arrière mobile de l’empennage), tandis que les ordinateurs gèrent les effets secondaires (via le TRIM) en bougeant le PHR (la partie dite « fixe » de la profondeur soit les 2/3 de sa surface). L’analyse des schémas p.64-66 montre clairement que le PHR passe, moins d’une minute après les premières alarmes, d’une position normale à la position « plein cabré », tout ceci en 45’’ (de 2H11’00’’ à 2H11’45’’), alors que l’alarme de décrochage se met à retentir… En page 193 du rapport, on peut lire « qu’il n’est pas nécessaire d’avoir ou d’augmenter une action à cabrer pour compenser une perte de vitesse », ce que l’on appelle sur un avion classique « la stabilité statique longitudinale ». Très intéressant, le BEA rappelle que « la stabilité statique longitudinale (…) peut s’avérer utile car elle permet au pilote d’avoir un retour sensoriel (via la position du manche) sur la situation de son avion en terme de vitesse ». Autrement dit : la conception de l’A330 avec des manches non coordonnés (aux gouvernes) et un TRIM automatique a privé les pilotes d’une information cruciale sur la diminution de vitesse. Etant donné qu’ils étaient privés des indications instrumentales à cause des pitots bouchés, ce fait est d’une importance capitale dans les causes de l’accident. C’est ce qui fait dire au BEA que dans cette configuration, l’avion « finirait par décrocher sans action sur le manche ».

L’alarme de décrochage…

Après avoir souligné les problèmes d’ergonomie de l’ECAM et des commandes de vol (manche et TRIM), il nous reste à parler de l’alarme de décrochage. Car beaucoup se demandent, à juste titre, comment l’on peut continuer de tirer sur le manche alors que l’alarme de décrochage retentit. Revenons aux premières secondes : pendant 34’’ après les pannes, il y a cette alarme répétitive, toutes les 5’’, qui attire l’attention de l’équipage sur le fait que l’ATHR (système de gestion de la poussée) est déconnectée. Imaginez-vous en train de traiter un problème complexe avec un « Gong » de panne toutes les 5’’… Pendant ce temps, l’alarme STALL (décrochage) ne retentit que 2’’ alors qu’elle aurait dû s’activer plus longtemps. L’analyse « facteur humains » faite par le BEA (§ 1.16.8 p.107) explique que les alarmes sonores peuvent être ignorées par notre cerveau sous forte charge de travail lorsque ces alarmes entrent en conflit avec la tâche présente, le cerveau ayant alors tendance à privilégier la perception visuelle (p.111). Souvenez-vous que les indices visuels dont dispose le pilote à ce moment lui indiquent que la vitesse augmente (Speed Trend) et qu’il faut monter (barres de tendance) ! Par ailleurs, l’expérience des évènements précédents montre que l’alarme de décrochage « surprend et de nombreux équipages ont tendance à la considérer comme incohérente » (p.112). Le fait que cette alarme se déclenche initialement de façon furtive a « pu amener l’équipage à douter de sa crédibilité » (p.187). Tout cela pour conclure que « le comportement de l’équipage (…) est probablement reproductible en ce qui concerne la non-réaction à l’alarme STALL » (p.195). Mais le fait que cette alarme n’ai pas été bien perçue n’est pas le plus grave…
Allons droit au but : la conception de l’alarme de décrochage de l’A330 n’est pas conforme aux règlements de certification et a certainement empêché l’équipage d’identifier le décrochage. A mon avis, ces points ne sont pas suffisamment développés dans le rapport final du BEA, pour des raisons que j’ignore… Mais, si on peut lire page 143 que « L’A330 répond aux exigences de la réglementation en vigueur au moment de la demande du certificat de type », il est aussi écrit page 47 que « Si les mesures de CAS (= vitesse) sont inférieures à 60kt, (…) l’alarme décrochage est alors inopérante ». Cette conception du système a pour but d’empêcher le fonctionnement de l’alarme lorsque l’avion est au sol, Airbus considérant que si la vitesse est inférieure à 60kt, l’avion est au sol. Ou pas ?! Boeing, de son coté, considère que l’avion est au sol lorsque son train avant est comprimé (c’est plus difficilement contestable) et n’inhibe donc l’alarme de décrochage que dans ce cas. Mais que dit le règlement CS 25 « Certification Specifications for Large Aeroplanes »? Il dispose en CS 25.207 (c) que « L’alarme décrochage doit continuer tant que l’incidence est supérieure à l’incidence de décrochage ». Or, sur l’AF447, lorsque l’avion a décroché, sa vitesse est rapidement devenue inférieure à 60kt, inhibant l’alarme alors que l’avion était toujours en décrochage ! Ce décrochage est même ce que l’on appelle un « Deep-Stall », un décrochage profond ayant généralement lieu à haute altitude et dans lequel l’avion prend une position très cabrée, rendant sa récupération délicate. Le BEA a noté (p.25) que « le PF fait des actions à piquer. Dans les instants qui suivent, on constate une diminution d’incidence, les vitesses redeviennent valides et l’alarme de décrochage se réactive. » Puis (p.196-197) : « la diminution des vitesses mesurées vers des valeurs inférieures à 60kt pendant le décrochage, alors que l’incidence atteignait 40°, a provoqué de multiples activations et arrêts de l’alarme qui ont pu fortement contribuer à la difficulté pour le CDB d’analyser efficacement la situation à son retour ». Enfin : « Plusieurs actions à piquer ont provoqué une diminution de l’incidence, (…) une action franche à piquer s’est traduite par la réactivation de l’alarme de décrochage. Il semble (sic !) que le PF ait, au moins à deux reprises, réagi par une action à cabrer dont les conséquences ont été (…) une diminution des vitesses mesurées et, par conséquent, l’arrêt de l’alarme de décrochage. »

Ainsi, après l’ECAM qui ne dit pas ce qui se passe, les aides au pilotage qui induisent en erreur, le TRIM qui aide l’équipage à décrocher, nous avons maintenant l’alarme de décrochage non conforme qui se déclenche à l’opposé de toute logique… Comment peut-on imaginer que l’équipage ait pu comprendre quoi que ce soit ? Dans un sursaut de bonne volonté, le BEA recommande (p.218) que « l’EASA impose de revoir les conditions de fonctionnement de l’alarme de décrochage en vol lorsque les mesures de vitesses sont très faibles. » N’est-ce pas ce que prévoit déjà le règlement CS 25 ?

La chute…

La visualisation de la vidéo mise en ligne récemment par le BEA est très enrichissante. Elle montre tout d’abord l’hyperactivité du PF sur son manche, preuve qu’il était à un niveau de stress très élevé et incompatible avec l’analyse d’une situation très complexe. Enfin, cette vidéo confirme très clairement le mauvais fonctionnement des aides au pilotage et qu’à plusieurs reprises pendant la chute, le copilote a poussé le manche, ce qui a réactivé l’alarme de décrochage. On aurait pu imaginer que l’équipage soit tout de même en mesure de récupérer l’avion. Après tout, dans l’émission de FR3, Mr Otelli (qui n’est ni pilote de ligne, ni pilote de chasse) avait bien montré qu’il suffit de lâcher les commandes de l’avion pour sortir du décrochage ! Oui mais… il était à bord d’un avion de voltige ; son avion était trimé pour le vol en palier ; il était à basse altitude et en décrochage normal (pas en Deep-Stall) ; son alarme de décrochage fonctionnait conformément aux règlements de certification ; il savait ce qui se passait puisqu’il l’avait volontairement provoqué… Toutes considérations que l’on ne retrouve pas dans l’AF447. En fait, plutôt que de faire du journalisme sensationnel, il aurait fallu reproduire le décrochage du Rio. C’est ce qu’aurait fait Airbus, selon plusieurs sources concordantes. Sans doute pensaient-ils démontrer que les pilotes pouvaient sauver l’avion. Donc, Airbus « aurait » fait décrocher un A330 dans les mêmes conditions (masse et centrage) que l’AF447, à l’exception du contexte (de jour et par beau temps) et des pilotes (des pilotes d’essai qui ont préparé la manœuvre). Il « semblerait » que ces pilotes chevronnés, connaissant parfaitement leur machine, n’aient récupéré le décrochage… qu’au FL70, moins d’une minute avant l’impact, après de longues minutes de chute incontrôlée pendant lesquelles ils ont certainement imaginé rejoindre les victimes de l’AF447 ! Une chute de 31 000 Ft (plus de 9 000 m) dont ils ne seraient pas sortis en appliquant les procédures enseignées, mais en agissant sur les moteurs. Bien entendu, pas de publicité autour de cet évènement, pas d’enquête journalistique pour percer le secret. Mais la vérité est là : la seule fois (hors le cas qui nous intéresse) où un décrochage à haute altitude a été effectué, il a failli tuer toute une équipe de pilotes d’essai. Laissons au moins le bénéfice du doute à Airbus : un jour, ils proposeront une « mise à jour » de leurs calculateurs pour que plus jamais ceci ne se reproduise. Cette « mise à jour », selon d’autres sources internes, serait même déjà prête !

Mais alors comment est-il possible que l’on ne puisse pas récupérer ce décrochage ? Deux explications à cela. Souvenez-vous que le TRIM automatique a positionné le PHR (les 2/3 avant de la profondeur) à plein cabré. Dans ces conditions, même en braquant à plein piqué la gouverne de profondeur (le 1/3 arrière), on comprend que son action sera extrêmement limitée… De plus, le positionnement des moteurs sous les ailes fait que leur poussée crée un couple à cabrer, limitant encore plus la possibilité de faire diminuer l’incidence. C’est d’ailleurs pour cela qu’Airbus comme Boeing ont récemment modifié leurs procédures en cas de décrochage. Ainsi, le FCOM (manuel d’utilisation de l’avion) comporte une note en 3ème ligne de la procédure « Stall Recovery » ainsi libellée : « Note : In case of lack of pitch down authority, reducing thrust may be necessary. » (NDLR : En cas de manque d’autorité à piquer, il peut être nécessaire de réduire les moteurs). Espérons également qu’Airbus, dans ses mises à jour, ait prévu que le TRIM revienne automatiquement à zéro et que les barres de tendance demandent de piquer lorsque les systèmes détectent un décrochage ! Ce serait tellement plus simple…

Considérations diverses…

Après avoir disséqué le fonctionnement de l’avion et de l’équipage, il reste encore quelques questions. Beaucoup ont reproché à Air France sa lenteur à changer les pitots. Il suffit pourtant de se rendre pages 129-130 pour constater qu’Air France s’était rapprochée d’Airbus pour trouver une solution au problème de givrage des sondes dès septembre 2008, suite à 5 incidents qui s’étaient produits depuis mai 2008 (1 en mai, 1 en juillet, 3 en août) et suite aux 2 incidents d’Air Caraïbe (également en 2008). En attendant une réponse, la compagnie avait mis au programme des séances de simulateur un exercice sur le vol avec vitesse douteuse. En novembre 2008, Air France suggère à Airbus d’étudier le remplacement des pitots Thales par des sondes Goodrich. Airbus accepte cette solution près de 5 mois plus tard, le 15 avril 2009. Air France prend la décision de changer toutes les sondes A330/A340 moins de deux semaines plus tard, le 27 avril 2009. Les premières sondes sont livrées le 26 mai et sont montées sur les premiers avions à partir du 30 mai… C’était indiqué dès le rapport d’étape n°2 et il est donc mensonger d’affirmer qu’Air France a traîné à changer les sondes. L’échelle de temps journalistique n’est tout simplement pas la même que dans le domaine aéronautique ou tout doit être pesé et certifié. Le BEA ne s’y trompe pas puisque qu’aucune recommandation de sécurité ne vise directement la compagnie Air France…

Pour être tout à fait honnête, il y a un petit quelque chose à reprocher à AF : la non-conformité de son manuel de vol (Manuel TU) avec celui d’Airbus (FCOM). Dans le FCOM Airbus, la procédure « Unreliable airspeed » commence par une condition «• If the safe conduct of the flight is impacted ». Comme toutes les conditions, celle-ci est marquée par une « puce ». Dans le TU Air France, la commence ainsi « SI CONDUITE DU VOL AFFECTEE DANGEREUSEMENT », sans puce de condition. Ceci a pu induire les équipages en erreur sur la façon d’utiliser la procédure car, dans le cas du Rio, il aurait fallu « sauter » la première partie de la check-list pour aller chercher plus loin la solution au problème. Néanmoins, il faut énormément relativiser ce point car à aucun moment l’équipage n’a appelé la check-list « IAS douteuse ». Depuis l’accident, AF a identifié ce problème et a décidé de travailler avec la documentation des constructeurs, travail énorme qui est achevé depuis peu avec succès. Pour information, Lufthansa a repoussé son passage à la documentation constructeur, jugeant cette mutation très complexe. Enfin, concernant les critiques sur la formation « trop légère » des pilotes AF, il suffit juste de se souvenir que c’était un argument de vente d’Airbus que de proposer des avions « faciles », nécessitant des stages de qualification plus courts et donc moins coûteux. C’est d’ailleurs le constructeur qui définit, en accord avec les autorités, le volume minimal de formation. Air France a pour habitude de rajouter de la formation à ce volume minimum, même si la tendance est à la convergence.

Mais oublions un moment AF et allons gratter là ou d’autres « journalistes » n’ont pas osé… Que l’on soit pilote ou passager, nous avons confiance dans les avions car ils sont « certifiés ». Ceci signifie que les autorités (la DGAC en France à l’époque de la certification de l’A330 et l’EASA maintenant), veillent à ce que tous les avions respectent un nombre énorme de règles que l’on retrouve dans le règlement CS25 déjà cité. J’aimerais comprendre, à ce titre, comment l’A330 a pu être certifié alors qu’un système aussi élémentaire que son alarme de décrochage n’était pas conforme au règlement susdit ? J’aimerai comprendre pourquoi, aujourd’hui, tous les A320, A330, A340 volent avec un système toujours non conforme aux spécifications ? Sur ce point : silence total… Raison d’état ?

Et si on parlait également des recherches en mer… Comment expliquer que l’on ait mis presque deux ans pour retrouver une épave qui était à moins de 12 km de sa dernière position ? On nous a longtemps dit que le relief tourmenté des fonds marins pouvait empêcher le rayonnement des balises de détresse… Pas du tout ! L’épave « repose sur une plaine abyssale » (p.69), pile à l’endroit où les recherches avaient commencé avec un indice de confiance « bon » (Rapport d’étape n°2 p.84)… On lit ainsi page 87 que « Aucun signal en provenance des deux balises n’a été détecté malgré le passage à deux reprises des TPL non loin du champs des débris, les 22-23 juin 2009. » (TPL : Towed Pinger Locator. Hydrophones remorqués profonds). Mais quelques militaires à la langue un peu plus déliée qu’à l’accoutumée vont encore plus loin ! Il semblerait qu’un SNA (Sous-marin Nucléaire d’Attaque) était présent à proximité, information un temps confirmée par la presse. Etait-il incapable de capter les signaux des boites noires ? Et pourquoi n’a-t-on pas tenu compte de l’étonnement de l’équipage du Breguet Atlantic de la marine qui, quelques jours après l’accident, a indiqué que sa zone de recherche (environ 250 Km trop au nord) n’était pas cohérente avec la dernière position de l’avion et les courants marins relevés ? Il y a peu d’explications possibles : soit les balises n’ont pas fonctionné ; soit les moyens mis en œuvre étaient inadaptés ; soit il n’était pas souhaitable de retrouver l’épave tout de suite.

Dans tous les cas, il faut se poser la question de l’organisation des enquêtes suite à un accident (responsabilité du BEA) ou de la certification des balises (responsabilité de l’EASA).

Conclusion…

Malgré les affirmations d’Airbus, un de ses avions a bien décroché et il n’est pas le premier. Airbus se défend, et c’est légitime, notamment par le biais du fameux rapport de contre-expertise qui accable les pilotes. Mais n’est-il pas surprenant que ce rapport ne parle que de « l’erreur de pilotage » qui a provoqué le décrochage sans s’intéresser aux raisons qui ont poussé à commettre cette erreur ? Pire encore, il est absolument incroyable qu’Airbus ait demandé ce rapport postérieurement au vol d’essai qui a démontré qu’il fallait des compétences au-delà de celle du « simple » pilote de ligne pour retrouver le contrôle de l’avion ! C’est un coup de poker qui pourrait leur coûter très cher, surtout si un nouvel incident présentait des similitudes avec celui du Rio… En attendant, quelques recherches suffisent à démontrer les évidents défauts de conception de ces appareils. Qu’il s’agisse de l’interface ECAM qui ne « dit » pas la panne, des aides au pilotage qui fournissent de mauvaises informations, du TRIM qui aide au décrochage puis empêche de le récupérer, de l’alarme de décrochage qui n’est pas conforme aux règlements… Même des pilotes de ligne, qualifiés sur Airbus A320 ou A330, avouent qu’ils auraient été bien embêté d’expliquer ce qui s’est passé en visualisant juste une fois la vidéo fournie par le BEA. C’est la preuve du manque d’ergonomie de ces avions et de la rapidité avec laquelle les évènements se sont enchaînés. Evidemment, après cet accident, quelques années d’interrogations, une séance de simulateur spécifique et l’étude du rapport final, la plupart des pilotes ont tiré des enseignements personnels pour éviter que ceci ne se reproduise. Mais ceci ne diminue absolument pas l’énorme part de responsabilité d’Airbus. Ses avions ne sont pas dangereux, ils sont juste ergonomiquement mal conçus. Ils sont aussi complexes à gérer en situation dégradée qu’ils sont simples à utiliser tous les jours. C’est pourquoi le BEA demande à Airbus dans ses recommandations de sécurité d’étudier « la pertinence qu’un avertissement spécifique soit fourni » en cas de problème de vitesses, « de revoir les logiques de réaffichage et de réengagement des directeurs de vol après leur disparition », « de revoir la logique de fonctionnement ou d’affichage du directeur de vol afin qu’il disparaisse ou présente des ordres adaptés lorsque l’alarme de décrochage se déclenche », et « de revoir les conditions de fonctionnement de l’alarme de décrochage ». Souvenez-vous de l’accident du Mont Saint Odile dans lequel on a initialement accusé les pilotes d’avoir mal utilisé leur pilote automatique avant de pointer (entre autres) de graves problèmes d’ergonomie et de modifier tous les A320 en service…

Dans ce cockpit d’ingénieurs, les pilotes ne pouvaient rien comprendre et ont fait ce qu’ils pouvaient. Ils ont anticipé la situation météo, traité les pannes qui s’affichaient sur l’ECAM et se sont battus jusqu’au dernier moment. Il est par contre probable, comme le BEA le dit, que le PF, déjà stressé par les évitements d’orages se soit retrouvé « saturé » lorsque les pannes sont arrivées, et n’ai pas eu suffisamment de recul pour les appréhender sereinement. Je ne vois pas ce que l’on pourrait reprocher au CdB qui ne pouvait absolument plus comprendre la situation au moment où il est revenu au cockpit. Rien non plus à dire sur le travail du PM qui devait essayer d’interpréter les messages de l’avion, tout en surveillant la trajectoire et en aidant son collègue. Sans doute que ce crash n’aurait jamais eu lieu si, en première ligne de l’ECAM, il y avait eu un message de panne clair « NAV IAS DISCREPANCY » (Incohérence de vitesses) comme il existe le message « NAV ALTI DISCREPANCY ». On en revient toujours à l’ergonomie…

Censées surveiller tout ce petit monde, les autorités de tutelle ont une nouvelle fois montré leur totale incapacité à jouer leur rôle. De la certification au suivi de la navigabilité en passant par le suivi des incidents en exploitation, le « gendarme » n’est pas intervenu. Si cela vous surprend, pas moi, car ces superstructures administratives sont encore plus lourdes et lentes que ceux et celles qu’elles doivent surveiller. C’est comme si l’on embauchait des sumos pour courir après les jeunes délinquants des quartiers sensibles ! Et pourtant, avez-vous souvenir, dans quelque domaine que ce soit, d’une condamnation d’un organe de l’état par sa propre justice ?

Le procès du Rio approche et je suis près à parier très gros que l’on entendra parler de « responsables mais pas coupables »… Par contre, suivant l’adage qui dit que les absents ont toujours tord, les pilotes morts dans l’incompréhension de leur machine porteront le chapeau pour éviter d’avoir à remettre en cause des entités trop grosses pour que l’on puisse s’y attaquer. Le tristement célèbre « Too big to fail ».

Mais vous, vous savez…

[DC8]

Excellent resume du rapport , rien de tres nouveau si ce n'est ce vol d'essai repliquant le decrochage, essai evoque egalement ici il y a quelques semaines , avec le fameux " si ca continue on evacue..." dont j'aimerai bien voir le compte rendu et l'enregistrement radar.
Mais peut etre cela va-t-il sortir lors du proces...

Quand aux " Reponsables mais pas coupables " if faut sans doute s'y attendre car c'est devenu malheureusement une specialite bien Francaise ,que le cirque Fillon est en train de nous montrer si cruellement...
On est pas aux USA our des juges Federaux independants invalident une decison /decret du President. et ou la FAA interdit de vol des Boeing 787 tant qu'un probleme n'est pas resolu..
la DGAC et meme EASA n'ont aucun pouvoir contre Airbus...trop grand generateur d'emplois et acteur de balance commerciale en France.

[Bidule]

Bonjour, le problème du 787 ne me paraît pas résolu mais ses conséquences sont supposées être contrôlées.

[DC8]

Bidule : tu as tout a fait raison sur la forme, le probleme persiste mais une solution a ete trouvee pour le contenir , le futur nous dira si c'est suffisant. jusqu'a present oui.
Mon point etait que la FAA a fait passe la securite des pax avant les considerations economiques , ce qui n'est pas le point fort de notre regulateur Francais. ( et pa seulement en aviation civile,par exemple le sang contamine, ou encore le Mediator ,etc..)

[Lazio]

Chomel pourrais-tu, dans le respect de la Charte, mettre les guillemets à ta citation ET donner la source,
que nous ne pouvons reproduire sans la nommer...

merci

Edit 1 : J'ai trouvé la source
à l'avenir, pensez à l'inclure à votre message, cela pourrait éviter au forum d'éventuels problèmes de copyrights

[chomel]

>>>>> "Le crash Rio – Paris vu par un pilote Airbus d’Air France, un article de (PNC Contact, hôtesse de l’air et steward ) "

Les guillemets sont implicites , puisque je commence par : je viens de trouver ça , et je pose un espace de quelques lignes ..

[Lazio]

Merci, mon édition et ton message se sont croisés !

[thierry 10]

je vous laisse deviner pourquoi AF et le SNPL ont tout fait pour trouver un prétendu vice de procédure et empêcher cette remarquable contre expertise de figurer au dossier...

https://static.mediapart.fr/files/2017/ ... part-1.pdf

[thierry 10]

J'ai trouvé ça ce matin !

etc....

ton gars cité, manifestement un sneupleu aux ordres, devrait lire le rapport de la contre expertise cité ci dessus !

[soyous]

Cet article de "pnc contact", bien qu'intéressant sur certains points, est particulièrement partial. Il sous entend dans la forme que l'équipage s'est fais piégé par l'avion et ne montre que des arguments allant dans ce sens. L'action "bucheron" du pilote et le manque "d'airmanship" est passé sous silence.
Le personnel d'Air France à sans doute été très choqué par cet accident, ce que je comprend, cependant vouloir à tout prix protéger l'équipage en frisant la mauvaise foi comme dans cet article ne me semble pas très productif. Cet accident a été, vu de loin, le point de départ de changement de mentalité au sein de l'entreprise et dire que les pilotes ont fait une erreur ce jour là n'est pas tirer à boulets rouge sur tous les pilotes. Il serait plus intéressant de comprendre pourquoi le savoir faire des basiques du pilotage à disparu, pourquoi leur vision de la situation étais si éloignée de la réalité, pourquoi ce qui aurais du être un coup de chaud supplémentaire au regard des occurrences précédentes c'est transformé en drame...
Airbus propose des règles de "bon sens paysan" sous la forme des "golden rules", elles auraient pus être un point d'appui, entre autre, pour sortir de l'ornière. La qualité de la formation avant de se retrouver sur un avion "tout électrique" est elle adaptée?

Cet accident a rappelé toute la communauté aéronautique le bon sens pour sortir du décrochage et défriché quelques aspects méconnus du vol à haute altitude car peu pratiqué, et c'est déjà un bon point.

Merci à thierry 10 pour le rapport judiciaire qui est complémentaire avec celui du BEA.

[DC8]

Merci Thierry10 pour ce rapport que je n'avait pas encore vu ,

Passer la derniere heure a le lire. Remarquablement fait en effet. Conclusions sans appel carle pouquoi est bien demontre dans le rapport . Le choix du positionement de l'equipage renforce est bien explique ,et montre que pour eux c'est la une des principales composantes du probleme. Une remarque sur le choix d'AF sur la repartition des roles en equipage renforce qui est different de la pratique courrante dans les autres compagnies enfonce le clou.
L'entrainement egalement,avec passages du rapport Colin , tout y est, et donne une bonne comprehension de l'enesemble .
Si ces gars cherchent du boulot apres la retraite ,ils devraient postuler pour le BEA...
Bon , cela dit , pas de chasse aux Sorcieres, comme le dit bien Soyous, tout le monde a appris depuis et d'apres ce que j'entend autour de moi les choses on bien change depuis..

Dernier point je lis les compte rendus des 2 vols d'essai efectues en fevrier et mars 2014 mais pas de mention du vol epique de demo de decrochage a 38.000ft qui c'est termine beaucoup plus bas que prevu et dont l'equipage etait pres a evacuer... Etait-ce un vol purement Airbus en dehors de ce rapport ?

[Bugs]

C'est curieux que ce vol d'essai ai été si confidentiel.... Perso, je n'en avais jamais entendu parler....
Quelqu'un a-t-il plus de renseignements à son sujet?

[froggy]

C'est un enquêteur du BEA qui m'a raconté l'histoire, au détour d'une conversation où on parlait de ces jours de boulot un peu trop riches en émotion.... Pas plus d'infos, si l'occasion se présente je lui en toucherai un mot...

[Bugs]

Je veux bien car de mon côté, silence radio..... Tu as une idée de la date?

[DC8]

Si cela vient d'un enqueteur BEA , cela voudrait dire que c'etait un vol a la demande du BEA , donc hors enquete adminstrative, mais je trouve curieux qu'aucun des 2 rapports ne le mentionne. ( a moins que le vol soit posterieur a Avril 2014 , ce qui m'etonnerait ..)

[Bugs]

C'est tout de même bizarre..... Un vol comme celui-ci laisse tout de même des traces.

[thierry 10]

C'est tout de même bizarre..... Un vol comme celui-ci laisse tout de même des traces.

aussi bizarre qu'un raport d'experts qualifiés tels que Nicollier , Wannaz et Keller soit considéré comme nul et non avenu, et trappé à la demande du SNPL et de AF pour un soit disant vice de procédure... je pense que les familles des victimes apprécieront

[kingair200]

http://www.20minutes.fr/monde/2200627-2 ... -indignees

[Marc2]

Le lavage de cerveau opéré par Arnoux sur les pauvres familles des victimes semble avoir atteint son but...

Si seulement ils l' avaient lu...

[DC8]

Les familles et autres "experts se pretendant journalistes" feraient surtout mieux fait de lire cela . Mais c'est un peu plus ardu et recherche .

L’ACCIDENT TRAGIQUE DU VOL AF447 MONTRE LES CONSÉQUENCES IMPROBABLES MAIS CATASTROPHIQUES DE L’AUTOMATISATION
From Harvard University, par Nick Oliver, Thomas Calvard, Kristina Potočnik

(Texte complété et remis en forme aéronautique par Christian ROGER)

Le crash tragique du vol Air France 447 en 2009 a provoqué des ondes de choc dans le monde entier. La perte était difficile à comprendre étant donné le dossier de sécurité remarquable de l’aviation commerciale. Comment un équipage bien entraîné qui pilotait un avion de ligne moderne pouvait-il si soudainement perdre le contrôle de son avion pendant un vol de routine ?

Recrudescence des pertes de contrôle des avions

AF447 a précipité l’inquiétude croissante de l’industrie de l’aviation au sujet de ces accidents de « perte de contrôle », dont elle se demande s’ils ne seraient pas une conséquence de la large automatisation du poste de pilotage. À mesure que la technologie est devenue plus sophistiquée, elle a repris de plus en plus de fonctions auparavant exécutées par les pilotes, apportant d’énormes améliorations à la sécurité aérienne. Pour les principaux avions à réaction, cette amélioration sur plusieurs dizaines d’années aboutissait à accident majeur pour 2,56 millions de vols en 2016.

Et l’année 2017 a été une année record, qui vient de se terminer sans aucun crash dans l’aviation commerciale des avions de plus de 20 places, ce qui ne s’était jamais vu !

Mais même si la sécurité aérienne s’améliore, les pertes de contrôle sont la cause la plus fréquente de décès dans l’aviation commerciale aujourd’hui, représentant 43% des décès dans 37 accidents entre 2010 et 2014.

La perte de contrôle se produit généralement lorsque les pilotes ne reconnaissent pas et ne corrigent pas une situation potentiellement dangereuse, ce qui amène un aéronef à entrer dans une situation instable. De tels incidents sont généralement déclenchés par des événements inattendus et inhabituels – comprenant souvent des conditions multiples qui surviennent rarement ensemble – qui ne relèvent pas du répertoire habituel de l’expérience pilote. Par exemple, il peut s’agir d’une combinaison de conditions météorologiques inhabituelles, de lectures ambiguës ou de comportement de la technologie et d’inexpérience du pilote – dont une ou deux pourraient être acceptables, mais qui peuvent tout à fait submerger un équipage. C’est le principe du « paradoxe du fromage suisse », modèle d’échec, lorsque les trous dans les défenses organisationnelles s’alignent d’une manière qui n’avait pas été prévue. Ces incidents nécessitent une interprétation et des réponses rapides, et c’est là que les choses peuvent mal tourner.

Notre recherche, récemment publiée dans Organisation Science, examine comment l’automatisation peut limiter les capacités des pilotes à répondre à de tels incidents, car devenir plus dépendant de la technologie peut éroder les compétences cognitives de base. En examinant les analyses d’experts et en analysant les données des enregistreurs de données de vol et de cockpit de l’AF 447, nous avons constaté que l’AF 447 et l’aviation commerciale en général révèlent que l’automatisation peut avoir des conséquences catastrophiques inattendues qui, bien que peu probables, peuvent survenir dans des conditions extrêmes.

Automatisation dans le cockpit : une aide précieuse qui a ses limites

Durant la plupart du temps, les avions commerciaux volent en pilote automatique. Pour la plupart des pilotes, l’automatisation garantit généralement que les opérations restent bien dans des limites sûres et prévisibles. Les pilotes passent la majeure partie de leur temps à gérer et à surveiller leurs aéronefs plutôt qu’à les piloter activement.

L’automatisation des postes de pilotage, où les instruments à aiguilles ont été remplacés par des « Glass cockpit », comprend un ensemble de technologies qui remplissent plusieurs fonctions. Ils recueillent des informations, les traitent, les intègrent et les présentent aux pilotes, souvent de manière simplifiée, stylisée et intuitive. Grâce aux logiciels installés par les concepteurs, les actions pilotes servent d’intrants à un système de commande de vol qui détermine les mouvements des gouvernes de l’avion, créant une interaction entre l’action du pilote et la réponse de l’aéronef. Cela réduit le risque d’erreurs humaines dues à la surcharge, la fatigue et la faillibilité, et empêche les manœuvres qui pourraient endommager la cellule et mettre en danger l’avion.

L’automatisation offre une capacité de traitement de données massives et une cohérence de réponse. Cependant, elle peut aussi interférer avec le cycle de l’exécution, de la vérification et de l’action des pilotes, ce qui est fondamental pour le contrôle et l’apprentissage. Si cela se traduit par une surveillance moins active par les pilotes, la connaissance de la situation et leur capacité à improviser face à des événements imprévus et inconnus peuvent diminuer. Cette érosion peut être cachée jusqu’à ce qu’une intervention humaine soit nécessaire, par exemple lorsque la technologie fonctionne mal ou rencontre des conditions qu’elle ne reconnaît pas et qu’elle ne peut pas traiter.

Imaginez avoir à faire de l’arithmétique modérément complexe. La plupart d’entre nous pourraient faire cela dans nos têtes si nous le devions, mais parce que nous utilisons usuellement des calculatrices et des tableurs, si nous devions faire ces calculs de tête, cela pourrait nous prendre un certain temps pour appeler les processus mentaux pertinents. Et si on vous demandait, sans avertissement, de le faire dans des conditions stressantes et chronophages ? Le risque d’erreur serait considérable.

C’était le défi que l’équipage de l’AF447 a affronté. Mais ils ont également dû faire face à certaines «surprises d’automatisation», telles que la technologie se comportant d’une manière qu’ils ne comprenaient pas ou n’attendaient pas.

Le basique oublié : horizon artificiel, maquette avion, poussée des réacteurs

Depuis trois heures et demi, AF447 était en vol de nuit au-dessus de l’Atlantique. Le givrage transitoire durant 29 secondes des capteurs de vitesse sur l’Airbus A330 a provoqué des lectures anémométriques incohérentes, ce qui a conduit l’ordinateur à déconnecter le pilote automatique et à retirer la protection de l’enveloppe de vol, puisqu’il était programmé pour faire face à des données non fiables. Surpris, les pilotes n’avaient pas d’autre solution immédiate que de reprendre le contrôle de l’avion manuellement .

Une chaîne de messages est alors apparue sur les écrans devant les pilotes, donnant des informations cruciales sur l’état de l’avion. Les deux copilotes étaient aux commandes et le Captain était en repos dans la couchette. Le pilotage était assuré par le copilote en place droite (Pierre-Cédric Bonin) et il lui appartenait de maintenir la trajectoire de vol manuellement, tandis que l’autre copilote, en place gauche, (David Robert) devait diagnostiquer le problème.

Malheureusement, les manoeuvres de Bonin pour stabiliser l’avion ont eu exactement l’effet inverse. Cela était probablement dû à la combinaison d’un effet de surprise et à une inexpérience du pilotage manuel en haute altitude, aggravé par la réduction de la protection automatique.

Plus on monte en haute altitude, plus l’enveloppe de vol où doit se situer l’avion se restreint par rapport à ce qu’elle est en basse altitude. Les pilotes utilisent rarement le pilotage manuel à haute altitude, parce que c’est fastidieux et qu’il requiert un pilotage « plus pointu » que dans les basses couches de l’atmosphère. Ce type de pilotage est très peu enseigné durant les stages de qualification. Bonin a tenté de corriger un léger roulis qu’il avait lui-même créé lorsque le pilote automatique s’est déconnecté, mais il a trop corrigé, (« over control » en termes pilotes), ce qui a fait rouler l’avion brusquement à gauche et à droite plusieurs fois, du fait qu’il déplaçait son manche latéral d’un côté à l’autre. En même temps, alors que c’était sans nécessité, il a également tiré sur le manche, ce qui a fait grimper l’avion (3000 pieds en18 secondes) sans ajouter de poussée, ce qui a provoqué une diminution de la vitesse jusqu’à ce que l’avion décroche et qu’il commence à descendre rapidement, presque en chute libre (15 000 pieds/min).

Ni Bonin ni Robert, ni Marc Dubois, le Commandant de Bord, qui est entré dans le poste de pilotage 90 secondes après l’incident, n’ont identifié un décrochage, alors que l’avion en manifestait plusieurs indices et qu’un signal sonore « Stall » a retenti 75 fois jusqu’à l’impact avec l’eau. Il faut dire que la logique de fonctionnement incohérente de cette alerte ne les a pas aidés.

Sur tous les avions, l’instrument fondamental permettant d’apprécier la situation spatiale est l’horizon artificiel, indication gyroscopique qui restitue la situation spatiale (position du ciel et de la Terre) associé à une maquette qui simule les ailes de l’avion. Cet instrument permet d’évaluer l’angle d’inclinaison des ailes et les attitudes à cabrer ou à piquer.

Horizon artificiel habituel

Aucun des trois pilotes n’a remarqué que :

1°) Les trois horizons artificiels qu’ils avaient sous les yeux étaient en phase, ce qui donnait une certitude de leur bon fonctionnement.

2°) La position de la maquette avion sur ces horizons artificiels était aberrante, eu égard aux performances possibles de l’A 330 à haute altitude. Dans une croisière normale au niveau 350, la maquette de l’avion sur l’horizon artificiel est à +2°.

Dès la déconnexion du pilote automatique sous l’effet du givrage d’une sonde Pitot, qui fournit l’indication de vitesse air au pilote automatique, le copilote en charge du pilotage (à droite), cabre l’avion depuis les 2° de croisière jusqu’à 13°, ce qui est énorme à 11 000m d’altitude où le domaine de vol possible est très étroit. L’avion est toujours à ses 83% de poussée valables en croisière, mais sous l’effet du cabré, la vitesse s’écroule et l’altitude passe de 35.000 à 38.000oieds en 18 secondes. Ce n’est qu’en arrivant à 38.000pieds que la poussée est mise sur le cran « CLIMB » (montée) et elle atteint 104% en 12 secondes.

3°) Le copilote Bonin gardant obstinément son manche très à cabrer, à plus de 10° par rapport à l’horizontale, après 1 minute et 30 secondes après la déconnexion du pilote automatique, l’avion s’engage dans un décrochage profond et descend à plus de 10.000 pieds/min.

Dès ce moment, 1.5 minute après la perte du PA, la récupération du décrochage est une mission quasi impossible, car pour ajouter à l’erreur des pilotes, les automatismes ajoutent une impossibilité de rattrapage en faisant passer le plan horizontal de la profondeur (PHR = plan horizontal réglable) en position plein piquer. Il aurait fallu environ 40 secondes pour corriger cette anomalie. La partie était finie.

Il s’écoulera 4 minutes et 24 secondes entre la déconnexion du pilote automatique et l’impact avec la mer, avec un manche qui restera durant tout ce temps outrageusement à cabrer sauf durant 40 secondes où le copilote figé sur son manche esquissera un léger mouvement de correction à piquer.

Durant tout ce temps, le seul pilote qui fait état de la situation de l’avion en lisant l’horizon artificiel est le Captain qui fait remarquer « Assiette 10° », mais….….c’est 3 secondes avant l’impact avec la mer !

Il est fort possible qu’au lieu de suivre les indications Assiette/Horizon artificiel, les pilotes ont voulu piloter leur trajectoire avec ce que les pilotes appellent le « Directeur de vol », des aiguilles mobiles, qui orientent le pilotage de l’inclinaison et du cabré pour atteindre un objectif de trajectoire. Mais pour tous les pilotes bien instruits, les instruments fondamentaux de la conduite du vol sont l’horizon artificiel et sa maquette, auquel s’ajoute la poussée des moteurs.

Dans la confusion, Bonin a mal interprété la situation en disant que l’avion volait trop vite et a réduit la poussée et esquissé un mouvement pour appliquer les aérofreins – le contraire de ce qui était nécessaire pour récupérer le décrochage. Robert l’en a dissuadé et a tenté de prendre le contrôle, mais Bonin a continué à essayer de piloter l’avion. À aucun moment, l’équipage n’a compris ce qui se passait et l’AF447 s’est écrasé dans l’océan, avec la perte de tous les 228 passagers et membres d’équipage.

L’ergonomie du cockpit n’est pas exempte de critiques et d’anomalies

La tragédie AF447 révèle clairement l’interaction entre la technologie sophistiquée et les pilotes. Cela a commencé avec le transfert soudain et inattendu du contrôle aux pilotes, dont l’un, inexpérimenté pour voler à la main en altitude, a rendu bien pire une situation déjà difficile. Un exercice de simulation après l’accident a démontré qu’en l’absence des actions du copilote, l’AF447 serait resté à son altitude de croisière après la déconnexion du pilote automatique.

Avec le début du décrochage, il y avait beaucoup de signaux sur ce qui se passait à la disposition des pilotes. Mais ils ont été incapables de rassembler ces indices dans une interprétation valable, peut-être parce qu’ils croyaient qu’un décrochage était impossible, puisque la technologie du vol empêcherait normalement les pilotes de causer un décrochage.

La possibilité qu’un aéronef puisse se trouver dans une situation très critique sans que l’équipage s’en aperçoive était apparemment au-delà de ce que les concepteurs de systèmes d’aéronefs avaient imaginé. Les caractéristiques conçues pour aider les pilotes dans des circonstances normales ajoutent maintenant à leurs problèmes. Par exemple, pour éviter les fausses alarmes, l’alarme de décrochage a été conçue pour se couper lorsque la vitesse descendait en dessous d’une certaine vitesse non exploitable, ce qu’indiquait les sondes de vitesse durant la descente rapide de l’AF447. Cependant, lorsque les pilotes ont effectué deux fois les bonnes actions de récupération (piqué), la vitesse a augmenté, ce qui a provoqué la réactivation de l’alarme de décrochage, alors qu’une solution de rattrapage valide était en cours. Tout cela a contribué à la difficulté des pilotes à saisir la nature de leur situation.

Enseignements à tirer pour les concepteurs

Cette idée – que la même technologie qui permet aux systèmes d’être efficace et largement sans erreur crée également des vulnérabilités systémiques qui entraînent des catastrophes occasionnelles – est appelée « le paradoxe de systèmes presque totalement sûrs ». Ce paradoxe a des implications pour le déploiement de la technologie dans de nombreuses organisations, et pas seulement celles qui sont critiques pour la sécurité des vols.

Une de ces implications est l’importance de la gestion des transferts de la gestion des machines vers les humains, qui s’est mal passé dans AF447. Comme l’automatisation a gagné en complexité et en sophistication, les conditions dans lesquelles de tels transferts sont susceptibles de se produire ont également augmenté en nombre et en complexité. Est-il raisonnable de s’attendre à ce que des humains effrayés et non entrainés soient en mesure de diagnostiquer et de répondre instantanément à des problèmes suffisamment complexes pour tromper la technologie ? Cette question deviendra encore plus pertinente au fur et à mesure que l’automatisation imprègne davantage nos vies, par exemple lorsque les véhicules autonomes sont introduits sur nos routes.

Augmenter le pilotage manuel par les pilotes n’est qu’une solution partielle

Comment pouvons-nous tirer parti des avantages offerts par la technologie tout en conservant les capacités cognitives nécessaires pour gérer des situations exceptionnelles ? Les pilotes subissent un entraînement intense, avec des évaluations régulières, des exercices et des simulations, mais la perte de contrôle demeure une source de préoccupation.

À la suite de la catastrophe de l’AF447, la FAA a exhorté les compagnies aériennes à encourager le pilotage manuel afin de prévenir l’érosion des compétences de base en pilotage. Cet usage régulier permet de maintenir un système de connaissance permettant d’identifier des anomalies, diagnostiquer des situations peu fréquentes et répondre au problème de façon appropriée et rapide.

Les organisations doivent maintenant considérer l’interaction de différents types de risques. Plus d’automatisation réduit le risque d’erreurs humaines, la plupart du temps, comme le montrent les excellents dossiers sur la sécurité de l’aviation. Mais l’automatisation conduit également à l’érosion subtile des capacités cognitives qui ne peuvent se manifester que dans des situations extrêmes et inhabituelles. Cependant, il serait imprudent de simplement annuler l’automatisation, par exemple en insistant sur plus de vols manuels, car cela augmenterait le risque d’erreur humaine à nouveau. Les entreprises doivent plutôt être conscientes des vulnérabilités que l’automatisation peut créer et réfléchir de manière plus créative aux moyens de les corriger.