C'est un procès hors normes qui est sur le point de débuter au tribunal correctionnel de Paris. Hors normes par l'ampleur des acteurs concernés puisqu'il réunira les deux poids lourds français de l'aviation française, Airbus et Air France; hors normes par le retentissement de cette catastrophe qui a fait 228 victimes il y a 13 ans; hors normes par son scénario unique dans l'histoire de l'aviation; hors normes par l'ampleur des recherches effectuées pour récupérer les boîtes au fond de l'Atlantique; hors normes par la médiatisation qu'il a suscité...

Lire aussi« L'accident du Rio-Paris a été une sidération totale » (Eric Schramm, ex-pilote et DG adjoint d'Air France)

A partir du 10 octobre et jusqu'au 8 décembre, deux géants de l'aviation - Airbus et Air France - vont comparaître côte-à-côte pour homicides involontaires à la suite du crash du vol AF447, le fameux Rio-Paris qui ébranla la France le 1er juin 2009. Treize ans après les faits, la justice va tenter de déterminer les responsabilités de chacun dans ce drame qui coûta la vie aux 228 personnes à bord de l'Airbus A330 d'Air France cette nuit-là, au-dessus de l'Atlantique Sud entre le Brésil et le Sénégal. Deux ans de recherches pour retrouver l'épave et les enregistreurs de vol (les fameuses boîtes noires) au fond de l'océan, trois ans d'enquête technique et dix ans d'instruction ont été nécessaires pour en arriver-là. Mis en examen en 2011 (avant même que l'épave ne soit localisée quelques semaines plus tard), Air France et Airbus avaient pourtant bénéficié en 2019 d'un non-lieu décidé par les juges d'instruction (le parquet de Paris avait requis un renvoi en correctionnelle de la compagnie et un non-lieu pour le constructeur). Mais celui-ci a été invalidé deux ans plus tard après un appel interjeté par les parties civiles, et Airbus et Air France ont donc été renvoyés devant le tribunal correctionnel.

Trois mois de procès

Pour les trois prochains mois, la dimension juridique va donc prendre le pas sur les aspects techniques réunis dans le rapport final du Bureau d'Enquêtes et d'Analyses (BEA) en juillet 2012. Sur le banc des accusés, Air France et Airbus rejettent toute faute pénale et vont plaider la relaxe face aux faits qui leur sont reprochés lesquels, selon la Chambre de l'instruction de la Cour d'appel de Paris, ont empêché une réponse appropriée des pilotes. Ce qui a conduit à l'accident et, par « maladresse, imprudence, inattention, négligence ou manquement à une obligation de prudence imposée par la loi ou le règlement, a involontairement causé la mort de l'ensemble des passagers et de l'équipage de l'appareil effectuant le vol AF447 ».

La compagnie fait face à des griefs de deux ordres. Le premier porte sur le manque pour les pilotes de formation adaptée aux situations d'« IAS douteuse », à savoir une vitesse indiquée (Indicated airspeed - IAS) clairement erronée, voire une perte d'indication de vitesse. Ce à quoi l'équipage a été confronté après le givrage des sondes Pitot, censées mesurer la vitesse en vol, développées par Thales. Le second porte sur l'information des équipages suite à la multiplication d'occurrences similaires chez Air France et d'autres compagnies, qui se sont produites de façon encore inexpliquée à partir du début des années 2000 avec un pic en 2008 et au début de l'année 2009.

Le constructeur européen devra quant à lui répondre du fait d'avoir sous-estimé les défaillances des sondes Pitot, en dépit d'une accélération du nombre d'événements liés à ces équipements, et de ne pas avoir averti et contribué à la formation des équipages en conséquence.

L'impact pour Airbus et Air France sera avant tout réputationnel, les questions d'indemnisations ayant déjà été réglées en majorité par voie de médiations avec les assureurs de la compagnie aérienne (il reste moins de 4 % des dossiers à solder, principalement du côté des proches de salariés, dont certains attendent l'issue de la procédure pénale).

En tant que personnes morales, aucune peine de prison n'est encourue par les accusés. Ils ne risquent ainsi que 225.000 euros d'amende. En face d'eux, 489 parties civiles se sont constituées, dont 476 personnes physiques d'au moins 21 nationalités différentes. Il s'agira pour elles de faire la lumière sur les causes de l'accident. Bien qu'ils ne soient plus là pour se défendre, le rôle des pilotes dans le déroulement tragique de l'accident devrait être au cœur des débats et probablement même de la défense des accusés.

Du côté des familles, on cherche avant tout à comprendre pourquoi l'accident n'a pas été évité. Danièle Lamy, présidente de l'association Entraide et Solidarité AF447 qui représente 33 familles avec 384 adhérents, affirme ainsi : « La dangerosité des sondes Pitot était connue. Les ministres Jean-Louis Borloo (ministre de l'écologie), Dominique Bussereau (secrétaire d'Etat chargé des transports) et le directeur du BEA Paul-Louis Arslanian nous ont bien expliqué, dès le début juin 2009, que les sondes Pitot étaient à l'origine de la disparition de l'avion. D'autant qu'il y avait une recrudescence des incidents dus au givrage de ces sondes et l'accident aurait pu être évité si au moins l'une d'entre elles avait été changée. »

Lire aussiCrash de l'AF 447 : les victimes obtiennent un procès d'Air France et d'Airbus

Tout est en ordre au décollage

Le drame s'est joué en quelques minutes. Au soir du 31 mai 2009, le vol AF447 décolle de l'aéroport de Rio de Janeiro-Galeão à destination de Paris-CDG à 22h29 UTC (temps universel coordonné, 00h29 heure de Paris), avec 216 passagers et 12 membres d'équipage à son bord. L'appareil est un Airbus A330-200, immatriculé F-GZCP, mis en service en 2005 chez Air France. Il totalise un peu moins de 19.000 heures et 2.644 cycles de vol et n'a pas rencontré de problème technique majeur jusqu'ici. A l'époque, la flotte mondiale d'Airbus A330 compte 600 appareils pour un total de 15 millions d'heures de vol cumulées, et n'a pas encore connu d'accident mortel.

Le commandant de bord a 58 ans. Il dispose d'une solide expérience avec près de 11.000 heures de vol à son actif, dont plus de la moitié comme commandant. Sur A330/A340, il en est à 1.747 heures depuis sa qualification sur l'appareil en 2007, toutes en place « gauche » (celle du commandant) avec 16 rotations sur le secteur Amérique du Sud à son actif. Parti se reposer, il est absent lorsque les sondes givrent.

C'est un officier pilote de ligne (OPL ou copilote) qui occupe la place gauche au moment de l'accident, avec le rôle de pilote « non en fonction » (PNF, chargé des communications, de la lecture des check-lists et de la supervision du pilote aux commandes). Il a 37 ans et possède plus de 6.500 heures de vol à son actif dont les deux tiers sur A330/A340 depuis 2002. Avec 39 rotations sur l'Amérique du Sud, c'est lui qui connaît le mieux l'appareil et le secteur.

Placé à droite, le troisième et dernier pilote à bord. Il a 32 ans. En tant que pilote en fonction (PF), c'est lui qui a les commandes au moment de l'accident. Bien qu'OPL le moins expérimenté, il supplée le commandant de bord lors de son absence. Il totalise près de 3.000 heures, mais à peine plus de 800 heures sur ce type d'appareil. Qualifié d'abord sur A340, il n'a été lâché sur A330 que six mois auparavant. C'est aussi le moins aguerri sur le secteur, avec cinq rotations à son actif.

Lire aussiCrash du Rio-Paris : les juges d'instruction ont terminé leurs investigations

Perturbation en vue, pas de contournement

Au bout de trois heures de vol, l'avion s'approche de la zone de convergence intertropicale, le fameux « pot-au-noir » connu pour ses conditions météorologiques difficiles. En place droite, le copilote modifie l'échelle de son navigation display, écran qui permet notamment l'affichage du radar météo, et annonce alors qu'« il y a un truc droit devant ». A gauche, le commandant de bord, PNF à ce moment-là, confirme.

Un peu moins d'une demi-heure plus tard, vers 2h00 du matin, le deuxième copilote, qui se reposait jusque-là, arrive dans le cockpit pour remplacer le commandant. Ce dernier lui laisse son siège et son rôle de PNF, tandis que le copilote aux commandes le briefe : un petit peu de turbulences à venir, l'avion se trouve dans la couche nuageuse avec l'impossibilité de monter au-dessus en raison de la température de l'air, et les tentatives de contact avec le contrôle de Dakar ont échoué. Sur ce, le commandant de bord quitte le poste de pilotage pour aller se reposer.

En dépit de ces éléments, l'équipage ne prend pas la décision de contourner la perturbation, au contraire des autres vols à proximité de la même voie aérienne à ce moment-là. C'est le cas du vol IB 6024 d'Iberia, qui suit l'AF 447 de 12 minutes : selon le rapport du BEA, « il rencontre des conditions typiques de la zone de convergence intertropicale [...] particulièrement fortes de 70 NM à 30 NM avant le point TASIL », soit à proximité de la zone de disparition de l'AF447. Toujours selon le rapport, « il s'écarte de sa route d'environ 30 NM vers l'est afin d'éviter des formations de cumulonimbus à fort développement vertical puis la rejoint, en ciel clair, à proximité du point TASIL ».

Un autre A330 d'Air France, le vol AF 459 parti de São Paulo, fera de même 25 minutes plus tard après une observation de la perturbation à l'aide des différents modes du radar météo. L'équipage rapporte des différences significatives selon les modes utilisés. Interrogé par La Tribune, un expert de la sécurité aérienne précise qu'il « n'est pas facile de voir ce qu'il y a devant. Tout ne renvoie pas aux ondes radar, la glace en particulier », et juge que la bonne utilisation et la bonne analyse des données du radar météo nécessite « du métier, de l'expérience ». Il ajoute qu'il est impossible de savoir ce que les pilotes ont vu au radar à ce moment-là, les données de celui-ci n'étant pas enregistrées par les boîtes noires.

A 2h06, le pilote en fonction prévient les personnels navigants commerciaux (PNC) que « dans deux minutes là on devrait attaquer une zone où ça devrait bouger un peu plus que maintenant il faudrait vous méfier là ». Dès lors, l'enchaînement des événements s'accélère. A 2h08, après un léger changement de cap (12°) et un réglage du radar météo, l'équipage réduit la vitesse et enclenche l'antigivrage des moteurs.

Lire aussiCatastrophe du vol AF447 : les sondes Pitot dans le collimateur des enquêteurs

Les sondes sont hors service

A 2h10, les trois sondes Pitot (une pour chaque place et une de secours) givrent suite à l'ingestion de fortes concentrations de cristaux de glace et d'eau surfondue. Cela entraîne l'affichage d'indications de vitesse incohérente et, par conséquent, le désengagement du pilote automatique puis de l'auto-poussée. Les commandes de vol passent de loi normale (avec toutes les protections activées pour ne pas sortir du domaine de vol de l'avion) à alternate, ce qui entraîne la perte de la protection en incidence (angle entre l'axe longitudinal de l'avion et sa trajectoire) qui empêche l'avion de décrocher.

Averti par l'alarme de désengagement du pilote automatique, dite « cavalry charge », le pilote en fonction, placé à droite dans le cockpit, annonce « j'ai les commandes ». Selon le rapport du BEA, « l'avion part en roulis à droite et le PF exerce une action à gauche et à cabrer », manifestement avec un effet de surprise. L'alarme de décrochage retentit alors deux fois avant de s'éteindre.

Pendant les secondes qui suivent, le pilote en fonction « exerce des actions rapides et de grande amplitude en roulis, quasiment de butée à butée » ainsi qu'une « action à cabrer qui fait augmenter l'assiette de l'avion jusqu'à 11° en dix secondes ». L'assiette calcule la position de l'avion par rapport à l'horizon.

A la demande du PNF de redescendre, il fait ensuite « plusieurs actions à piquer qui ont pour conséquence de réduire l'assiette et la vitesse verticale ». Mais l'avion, qui a déjà gagné 2.000 pieds (610 m) et atteint les 37.000 pieds (près de 11.300 m), continue de monter.

Une première sonde Pitot, celle de gauche, finit par dégivrer au bout de 30 secondes et l'indication de vitesse à gauche redevient valide. Elle indique alors de 223 nœuds, soit près de 20 % de moins que celle indiquée avant le givrage des sondes. Le Pitot de droite, qui donne l'indication au pilote en fonction, dégivre lui aussi une dizaine de secondes plus tard. Mais l'affichage de ce dernier a été basculé sur celui correspondant au Pitot de secours, qui sera le dernier à dégivrer au bout d'une minute.

Lire aussiL'accident du vol AF447 ne se reproduira plus ?

L'A330 d'Air France décroche

Le commandant de bord est appelé, mais avant qu'il n'ait le temps d'arriver une minute plus tard, l'avion passe le seuil de vibrations, puis de décrochage et l'alarme associée retentit à nouveau, et ce de façon continue pendant 54 secondes - elle se déclenchera plus de 70 fois pendant les 4 minutes qui conduiront à l'accident. L'incidence est alors de 6°. Les pilotes poussent les moteurs à pleine puissance mais le surcroît de poussée à cette altitude est limité. Plus on monte, plus la vitesse diminue.

L'avion atteint bientôt son altitude maximale à près de 38.000 pieds, la vitesse n'est plus que de 185 nœuds (342 km/h) et l'incidence de 16°. Il est désormais hors de son domaine de vol connu et des vibrations se font entendre, possiblement du buffeting dû au décrochage.

Au moment où le commandant de bord revient dans le cockpit, moins de deux minutes après le givrage des sondes Pitot, l'altitude est encore 35.000 pieds environ, mais l'incidence dépasse 40 degrés. Il est désormais bien au-delà du domaine de vol connu : jamais un A330 ne s'est trouvé dans cette situation, même en essais. Ses ailes ne le portent plus et il tombe une pierre le nez pointé aux trois-quarts vers le haut à la vitesse de 10.000 pieds par minute (plus de 180 km/h). Si des rattrapages de décrochage sont encore envisageables avec 15° d'incidence, plusieurs spécialistes s'accordent à dire que l'appareil est alors irrécupérable. D'autres estiment qu'il est impossible de se prononcer.

L'alarme de décrochage s'interrompt, mais seulement parce que la vitesse indiquée passe sous les 60 nœuds. A ce stade, le système considère en effet que l'appareil ne pas être en vol et se désactive afin d'éviter de fausses alarmes au sol. Craignant d'être en survitesse, peut-être trompé par les vibrations (dans un symposium en 2008, Airbus a évoqué le fait que le décrochage basse vitesse peut être confondu avec du buffeting haute vitesse), le pilote en fonction poursuit ses actions à cabrer.

A 2h12, ce dernier indique qu'il n'a « plus aucune indication » et  dit « avoir l'impression d'avoir une vitesse de fou ». Une quinzaine de secondes plus tard, il fait des actions à piquer. La vitesse indiquée repasse les 60 nœuds, ce qui a pour conséquence de redéclencher l'alarme de décrochage à plusieurs reprises. Un point qui avait été initialement retiré d'un pré-rapport du BEA en juillet 2010.

En dépit des actions qui seront menées par la suite, l'incidence reste toujours supérieure à 35 degrés. A un peu plus de 2h14, les alarmes de proximité avec le sol se déclenche et l'avion continue de chuter jusqu'à percuter l'océan avec une très grande vitesse verticale (près de 11.000 pieds par minute) pour une vitesse sol d'à peine 107 nœuds (moins de 200 km/h). Moins de 4 minutes et 30 secondes se seront déroulées depuis la perte de la vitesse indiquée.

Lire aussiVol Rio-Paris, une contre-expertise charge l'équipage

Un équipage défaillant

De fait, parmi les connaisseurs du dossier, nombreux sont ceux qui placent les pilotes au cœur de cet enchaînement tragique pointant leur mauvais travail individuel et en tant qu'équipage, comme l'indique le BEA dans ses conclusions : « L'équipage, progressivement déstructuré, n'a vraisemblablement jamais compris qu'il était confronté à une « simple » perte des trois sources anémométriques. » Ou par la suite, dans quelle situation se trouvait l'avion.

Certains pointent notamment le fait que le commandant de bord soit allé se coucher à l'approche d'une zone météorologiquement dangereuse, avec des perturbations en cours, sans briefer ses copilotes et définir clairement son suppléant avant de partir (c'est l'OPL aux commandes, moins expérimenté, qui a été implicitement désigné). Lorsqu'il reviendra dans le poste de pilotage, 1 min 30 après le givrage des sondes, l'avion est déjà largement sorti de son domaine de vol. D'autres pointent l'inexpérience du copilote aux commandes, qui n'a pas sur faire voler l'appareil. Le rapport du BEA établit ainsi qu'« en moins d'une minute après le désengagement du pilote automatique, l'avion est sorti de son domaine de vol à la suite d'actions de pilotage inadaptées. » Enfin l'inefficacité du copilote non en fonction à contrôler les actions du PF, à surveiller la trajectoire ou à annoncer les check-lists adaptées en dépit de son expérience.

Bien que les sondes aient givré, des procédures étaient alors en vigueur chez Airbus (dite « unreliable speed indication ») comme chez Air France (« vol avec IAS douteuse ») pour faire face à cette situation. Elle consiste essentiellement en l'application d'une poussée et d'une assiette afin de maintenir la vitesse et rester dans le domaine de vol. Les trois pilotes sont d'ailleurs tous trois passés par un exercice dédié entre mars 2008 et février 2009, même si le scénario y était bien moins complexe que la situation rencontrée au-dessus de l'Atlantique Sud. Cette procédure n'a pourtant pas été appelée ou appliquée par les pilotes.

De même pour la procédure de décrochage. En dépit des déclenchements à répétition de l'alarme sonore de décrochage, celle-ci n'est jamais prise en compte ou même identifiée par l'équipage. Celui-ci est soumis à un stress intense, avec d'autres alarmes déclenchées, ce qui peut conduire la perception visuelle à prendre le pas sur la perception auditive.

L'explication ne semble pas si simple pour autant, notamment au vu des mesures prises par les différents protagonistes par la suite, tout particulièrement Airbus et Air France. Pour Vincent Gilles, vice-président du SNPL France Alpa et l'un des rares à avoir accepté de prendre la parole à visage découvert : « Il est hors de question de dire que les pilotes n'ont aucune responsabilité dans cet accident. Ce à quoi nous sommes attachés, c'est à la prise en compte de l'ensemble des éléments qui ont contribué à ce qui s'est passé cette nuit-là. Nous avons la conviction que les pilotes n'avaient pas suffisamment d'éléments pour appréhender correctement la situation. »

Pour l'association Entraide et Solidarité AF447, Danièle Lamy va même plus loin : « Les familles souhaitent absolument que le procès soit celui d'Airbus et d'Air France et certainement pas celui des pilotes. C'est une lapalissade que de dire qu'ils ont crashé l'avion. Nous considérons que les pilotes sont des victimes comme les autres membres de l'équipage, comme les passagers, car ils n'auraient jamais dû se retrouver dans une telle situation. » Elle se veut en tout cas intransigeante : « Nous attendons que la justice fasse la lumière sur ce qui s'est passé avec un procès équitable, qu'elle sanctionne les coupables pour leurs fautes et leurs manquements aux obligations de sécurité qui ont quand même tué 228 personnes. Pour les familles, il serait insupportable qu'une certaine forme d'impunité conduise à ce qu'une telle catastrophe se renouvelle. »

Lire aussiVol Rio-Paris : Air France conteste la contre-expertise demandée par Airbus

Multiplication inexpliquée des givrages de sondes

Tout d'abord, l'enchaînement part d'une défaillance technique avec ses trois sondes Pitot qui givrent au même moment. Le rapport du BEA et d'autres experts établissent que celles-ci, développées par Thales sous la dénomination C16195AA, répondent aux normes de certification de l'époque et même davantage. Mais l'AF 447 s'est trouvé confronté à la présence de fortes concentrations de cristaux de glace et d'eau surfondue à haute altitude, un phénomène météorologique mal connu à l'époque. Selon un pilote, ce sont dans les phases de décollage ou d'atterrissage, « plus proche de la Terre », que les cas de givrage étaient les plus probables et non en croisière à haute altitude.

Pourtant les incidents impliquant l'obstruction d'au moins deux sondes se multiplient sur la flotte A330 et A340 peu avant l'accident : sur 16 incidents rapportés auprès d'Airbus par 10 compagnies aériennes entre février 2005 et mars 2009, neuf surviennent en 2008 et trois début 2009. Six de ces incidents conduisent au déclenchement d'une alarme de décrochage, sans que l'incidence ne dépasse néanmoins 4,5°. L'origine de cette multiplication reste encore aujourd'hui inconnue

En septembre 2008, suite à deux événements de ce type sur ses A330, François Hersen, directeur général d'Air Caraïbes Atlantique, adresse une lettre à la Direction générale de l'aviation civile française (DGAC) qui la transmet à l'Agence européenne de la sécurité aérienne (AESA). Le dirigeant annonce notamment sa décision de changer les sondes Pitot de l'ensemble de sa flotte A330 par le modèle C16195BA, toujours de Thales, conformément à un bulletin de service d'Airbus émis un an auparavant. Suite à des échanges entre l'AESA et Airbus, ce bulletin est modifié fin 2008, mais l'agence européenne juge que la situation ne nécessite pas de rendre obligatoire le changement des sondes de la flotte d'A330.

Au contraire d'Air Caraïbes ou de XL Airways qui changent immédiatement leurs sondes en 2008, Air France discute longuement avec Airbus pour établir si ce changement est nécessaire avant de prendre une décision. La compagnie a pourtant connu neuf incidents liés à des incohérences de vitesses indiquées entre mai 2008 et mars 2009. Dans un premier temps, elle ne change de modèle qu'en cas de sonde défectueuse avant de décider de basculer toute la flotte sur les sondes le 27 avril 2009, avec de premières modifications effectives le 30 mai. Celles de l'A330 F-GZCP n'auront pas le temps d'être changées.

Lire aussiCrash Rio-Paris : le BEA confirme confirme les défaillances techniques et humaines

Un phénomène météorologique mal connu

Un expert des questions de sécurité tient néanmoins à déclarer que l'amélioration des modèles de sondes BA face au AA tenait à leurs performances face à l'ingestion d'eau en grande quantité mais que l'effet est limité pour les cristaux de glace. Il ajoute que si l'accident a permis d'améliorer les connaissances dans le domaine avec des études menées par la suite, de faire évoluer les critères de certification et que les sondes Goodrich développées par la suite sont plus robustes, il est impossible d'éliminer complètement le risque de givre.

Ce manque de connaissance du givrage à haute altitude se ressent également dans les procédures d'Airbus et d'Air France. Quelle que soit l'origine de la perte d'indication de vitesse, les actions immédiates à effectuer sont les mêmes à partir du niveau de vol 100 (10.000 pieds, 3.000 m) jusqu'au plafond opérationnel (41.000 pieds, 12.500 m), à savoir mettre une assiette à 5° et la poussée des moteurs au régime « Climb ». L'adéquation de ces procédures a été au centre des débats pour Airbus au cours de l'instruction, avec une première expertise concluant que « la procédure IAS douteuse, bien qu'adaptée à la situation, était inadéquate au vu des symptômes perceptibles ».

Une conclusion remise en cause par une contre-expertise demandée par Airbus en 2013 qui affirmait que « l'application de la procédure "IAS douteuse" en temps voulu, ou, plus tard, de la procédure "Alarme Stall" [...] était parfaitement adéquate si exécutées correctement par l'équipage ». Ce rapport, rendu en 2014, insiste d'ailleurs sur la prédominance des facteurs humains et donc les défaillances de l'équipage.

Malgré cette défense, Airbus fera évoluer sa procédure « Unreliable speed indication ». Dès septembre 2009 (avant que l'on ait récupéré les boîtes noires), le constructeur recommande pour les pilotes d'effectuer une séance sur simulateur à haute altitude en lois normales et alternatives, avec du pilotage manuel et l'application de la procédure, lors de leur prochain entraînement périodique. De son côté, Air France ajoute une séance supplémentaire « IAS douteuse » au simulateur de vol à l'été 2009 avec, entre autres, la révision de la manœuvre d'urgence, au décollage et en croisière, du vol haute altitude en loi alternative et une approche du décrochage avec déclenchement de l'alarme associée.

Lire aussiAF 447 : Airbus et Air France débloquent 7 millions pour retrouver les boîtes noires

Changement de philosophie pour les décrochages

L'évolution la plus significative concerne la procédure en cas de décrochage. Celle-ci a été initiée grâce aux travaux du groupe international « Airplane Upset Recovery Training », réalisés suite au décrochage d'un Q400 de Colgan Air en février 2009. Ils ont réuni aussi bien les constructeurs Airbus, Boeing, Bombardier, que des compagnies aériennes telles qu'American Airlines, British Airways, Lufthansa, Qantas, Cathay Pacific, Japan Airlines, ou encore les autorités aéronautiques américaine et britannique, pour aboutir à la mise en place d'une nouvelle procédure uniformisée pour tous les avions.

Un expert de la sécurité des vols résume ce changement de philosophie ainsi : là où il fallait mettre simultanément la poussée maximale (« take-off/go-around ») et une action à piquer, l'objectif prioritaire est désormais de réduire en premier lieu l'incidence en faisant baisser le nez et ensuite ajuster la poussée.

Vincent Gilles questionne d'ailleurs la pertinence de la procédure en place à l'époque : « Si vous regardez l'information du constructeur à l'époque, la première chose à faire est de mettre la pleine poussée des moteurs. Or, la première conséquence de la mise en pleine poussée sur un bimoteur est d'augmenter l'incidence ». Il précise qu'il s'agissait d'une procédure complémentaire chez Airbus comme chez Air France, « à faire éventuellement et donc probablement pas adaptée au cas d'une manœuvre d'urgence à effectuer dans les 10 secondes ».

A cela s'ajoute un facteur dont l'impact est difficilement appréciable. Il s'agit d'un argument commercial tenu un temps par Airbus, à savoir que ses avions ne décrochaient pas. Si d'importantes protections existent sur les commandes de vol en loi normale pour prévenir ce type d'événement (même si cela reste possible), elles sont bien moindres en loi alternative. Comme le disent pilotes et experts de la sécurité des vols, « tout ce qui vole peut décrocher ». Cette rengaine n'était vraisemblablement plus usitée depuis longtemps au moment de l'accident, mais elle s'était tout de même imprégnée dans l'imaginaire collectif de l'aviation commerciale.

Les travaux du groupe Upset Recovery ont aussi permis de faire évoluer la formation avec l'amélioration des simulateurs de vol. Selon plusieurs pilotes et experts, en 2009, les simulateurs n'étaient pas capables de reproduire les phases de buffeting et de décrochage. Ce domaine était seulement approché lors des entraînements mais pas exploré pour éviter de conférer des sensations non réalistes et des fausses impressions aux pilotes. De même, la formation pour faire face aux situations inusuelles a été mieux intégrée, tout comme la prise en compte de l'effet de surprise et de « sursaut » (startle effect).

L'alarme de décrochage a fait l'objet de recommandations de la part du BEA, qui ont abouti à la mise en place d'une indication visuelle dédiée pour une meilleure identification, ainsi qu'à la suppression de la désactivation de l'alarme de décrochage au-dessous de 60 nœuds afin d'éviter les interruptions et déclenchements à répétition comme ce fut le cas dans les dernières phases du vol.

Lire aussiCrash du Rio-Paris: le syndicat des pilotes met en cause l'avion et la formation

Des automatismes possiblement trompeurs

Il est aussi possible que les pilotes aient été trompés par certains automatismes. C'est le cas des directeurs de vol, qui calculent et affichent des tendances à suivre sur les plans longitudinal et horizontal pour aider le pilote à suivre une trajectoire donnée. A l'inverse du pilote automatique, ils ne se désengagent pas automatiquement et, conformément aux procédures alors en vigueur chez Airbus comme Air France en cas d'IAS douteuse, ils doivent être désengagés par l'équipage. Ce qui n'a pas été fait à bord de l'AF 447.

En l'absence de vitesse valide, les barres de tendance qui transmettent les indications au pilote « ont disparu puis réapparu à plusieurs reprises en changeant plusieurs fois de mode », selon les constats du BEA. Les enquêteurs ont établi que « même s'il n'est pas certain que l'équipage ait suivi les ordres du directeur de vol alors que l'alarme de décrochage était active, les ordres des barres de tendance étaient contradictoires avec les actions à appliquer dans cette situation et ont donc pu perturber l'équipage » et des recommandations ont été faites en conséquence. Airbus a donc modifié les directeurs de vol sur l'ensemble de sa flotte, qui se désengagent désormais automatiquement et ne se réenclenchent pas sans une action du pilote.

 Vincent Gilles pointe aussi de le fait que « le premier message explicite par rapport à la situation », à savoir « Nav ADR Disagree » signalant un problème dans les données anémométriques, n'est apparu sur le système de surveillance électronique centralisée de l'avion (ECAM) que 2 min 39 après le givrage des sondes. Pour le vice-président du SNPL France Alpa, ce message, qui est suivi immédiatement d'une consigne de vérification de vitesse, aurait pu orienter les pilotes « dans la bonne direction ». Mais il est sans doute trop tard lorsqu'ils le reçoivent, car cela fait déjà une minute que l'avion oscille autour de 40° d'incidence.

Le rapport du BEA confirme cette temporalité mais précise qu'il n'est pas possible de savoir si un message ECAM précédent a été effacé par l'équipage, indiquant seulement qu'aucune annonce n'a été faite à ce sujet. Il ajoute néanmoins qu'en « l'absence d'un message particulier exprimant la détection par les systèmes d'une incohérence de vitesses, l'équipage n'a pas été en mesure d'identifier de logique entre les symptômes perçus et ces messages ECAM. Ce qui pouvait alors apparaître comme une accumulation de pannes n'a probablement pas incité l'équipage à faire rapidement le lien avec une procédure particulière, en l'occurrence la procédure "vol avec IAS douteuse" ».

Lire aussiVol Rio-Paris : pilotes et familles fustigent les omissions du rapport du BEA

Un travail en équipage révisé

L'organisation du travail de l'équipage a également fait l'objet d'adaptation au niveau international avec une meilleure définition des rôles. De son côté, Air France a fait évoluer le rôle du copilote non en fonction devenu « pilot monitoring » et mis en place une nouvelle organisation de la suppléance pendant le repos du commandant de bord.

Plus largement, Air France a remis à plat son approche de la sécurité des vols avec un plan baptisé Trajectoire, avec l'appui du directeur général d'Air France-KLM de l'époque, Pierre-Henri Gourgeon. Il a ainsi instauré un retour aux procédures constructeurs, en anglais, afin de supprimer la traduction en français et la surcouche Air France qui tendait à uniformiser les procédures Airbus et Boeing, afin de réduire les sources potentielles d'erreur. La documentation à bord a également été modernisée avec l'introduction de tablettes électroniques individuelles pour remplacer le papier. La direction du groupe a également fait appel à une Équipe indépendante d'évaluation de la sécurité (ISRT), qui a fait 35 recommandations sur l'organisation de la sécurité pour l'ensemble d'Air France, encore appliquées aujourd'hui. C'est elle qui a ainsi demandé l'institution d'un comité sur la sécurité au sein du conseil d'administration ou la réalisation d'un audit de sécurité en service de ligne (LOSA).

Les principes édictés à ce moment-là ont été largement appliqués dans l'entreprise. Plus fortement en tout cas que ceux édictés en 2006 par le « rapport Colin », du nom de Jean-Michel Colin, cadre pilote qui présida cette mission. Celle-ci faisait suite à l'accident d'un A340 à Toronto un an plus tôt, avec une sortie de piste qui conduisit à la destruction de l'appareil et fît une douzaine de blessés graves. Ils sont toujours en vigueur aujourd'hui, même si de récents événements ont jeté un doute sur ce point-là.

-------------------------

Lexique :

Boîtes noires : ce sont les deux enregistreurs de vol. L'un est l'enregistreur de voix dans le cockpit (Cockpit voice recorder - CVR), qui enregistre les conversations de l'équipage, les échanges radios, ainsi que les sons environnants (bruits, alarmes sonores). L'autre est l'enregistreur de paramètres de vol (Flight Data Recorder - FDR) qui conserve les données de vol et des systèmes (vitesse, altitude, régime des moteurs, engagement et désengagement d'automatisme, position des gouvernes, des commandes de vol...).

Buffeting : vibrations qui se produisent lorsque l'avion franchit le seuil de décrochage.

Décrochage : perte de portance des ailes due à une vitesse insuffisante ou à une incidence trop élevée. A haute vitesse, une incidence de quelques degrés peut suffire pour décrocher.

Domaine de vol : ensemble de vitesses, d'altitudes, masses, centrages, incidences, facteurs de charge pour lequel un avion a été certifié et dans lequel il peut évoluer. Il diffère en fonction de la configuration de l'avion (volets, trains sortis). Lors d'essais, un avion peut être amené à sortir de ce domaine connu, mais au bout d'un certain point il n'est plus possible de récupérer l'appareil.

Incidence : angle formé entre l'axe longitudinal de l'avion (qui le traverse du nez à la queue) et sa trajectoire.

Sonde (ou tube) Pitot : dispositif anémométrique composé d'un tube ouvert placé à l'extérieur de l'avion, à l'avant face au flux d'air. Il permet de calculer la pression totale et de la comparer à la pression sur une sonde statique afin de déterminer la vitesse de l'appareil. Ce tube est sujet à l'ingestion d'eau et de glace et dispose en conséquence d'un drain et d'un système de réchauffage.

Vitesse indiquée (Indicated airspeed - IAS) : vitesse affichée sur les instruments de bord et calculée à partir des sondes Pitot. Elle est calculée en nœuds (1 nœud = 1,852 km/h)