AF 447 : l'accident, les recommandations de sécurité et les mesures correctives...

Aux termes de l’annexe 13 de l’OACI, un «compte rendu préliminaire» doit être établi dans les 30 jours suivant un accident afin de «diffuser promptement les renseignements obtenus dans les premières phases de l’enquête». Comme chacun peut le lire en page 4 du document OACI 9156 (exemple de rapport préliminaire), ce type de compte rendu doit décrire les faits mais également inclure les mesures correctives et recommandations de sécurité prises ou à l’étude...

Il va de soi qu’Eurocockpit n’a pas l’impudence de penser pouvoir publier un «compte rendu préliminaire» alors qu’il revient de droit à Son Extrême Suffisance et à son équipe de nombreux enquêteurs de diffuser, aujourd’hui 2 juillet, un tel compte rendu décrivant les faits sans oublier de préciser les mesures correctives et les recommandations de sécurité prises ou à l’étude...

Nous nous contenterons donc, pour notre part, de reporter les éléments factuels que nous avons pu recueillir et de modestement proposer quelques mesures correctives ou recommandations qui, en l’état actuel de nos informations, nous sont apparues - a minima - pertinentes !

Comme l’indique systématiquement le NTSB dans ses très sérieux comptes rendus préliminaires et bien que notre démarche soit donc différente, nous précisons ici que les éléments qui suivent pourraient, malgré toutes nos vérifications, contenir des erreurs et que celles-ci seraient alors corrigées quand le rapport final d’accident sera disponible...

Le 1 juin 2009, vers 4h14 heure de Paris (2h14 UTC), un Airbus A330, immatriculé F-GZCP, opéré par la Compagnie Air France sur le vol régulier AF 447 Rio (GIG) - Paris (CDG) a disparu au-dessus de l’Atlantique sud. 216 passagers et 12 membres d’équipage ont péri dans l’accident. Des débris de l’appareil ainsi que 51 corps ont jusqu’ici été retrouvés et repêchés lors des opérations de recherche déclenchées notamment par le Brésil et la France. Les enregistreurs de vol («boîtes noires») n’ont toujours pas été localisés et, reposant probablement à plusieurs milliers de mètres sous l’eau depuis un mois, ne seront vraisemblablement pas récupérables.

Dans les dernières minutes précédant la disparition de l’avion, le système de communication automatique de bord - ACARS - a transmis chronologiquement à Air France un certain nombre de messages écrits. Ces messages étaient de deux natures : des messages de panne et des messages (consécutifs) d’alarme.

L’analyse de ces messages révèle que des systèmes de l’avion ont successivement été détectés en panne, entraînant une situation telle qu’il y a eu perte de contrôle de l’avion.

L’annexe 1, présentée ci-après, explique dans le détail la succession des pannes et des alarmes auxquelles l’équipage a été confronté. Cette annexe, très technique, est explicitée autant que possible. Cette volonté de simplification dans les explications ne permet évidemment pas une absolue rigueur technique.

A ce stade des réflexions et compte tenu des éléments connus, la lecture de cette annexe permet cependant d’aboutir à deux conclusions factuelles : l’équipage a été contraint de faire face à une situation relevant de l’inéluctable : de nombreuses questions doivent être posées au BEA, pour commencer...

A ce titre, l’annexe 2 présente des questions qui nous semblent pertinentes pour Son Extrême Suffisance, s’il parvient à se contrôler et à y répondre, afin que les théories fumeuses entendues par-ci ou par-là ne constituent pas un voile pudique trop facilement jeté sur une vérité qui semble déranger beaucoup de monde...

L’annexe 3 comporte des recommandations de sécurité et mesures correctives qui, à la lumière de ces faits et réflexions, semblent devoir être prises ou mises à l’étude, rapidement...

Enfin une annexe 4 présente un glossaire alphabétique aidant à la compréhension des termes techniques et vulgarisant leur signification.

Eurocockpit vous souhaite une bonne lecture, puis une bonne conférence de Presse au BEA.

ANNEXE 1 - DETAIL ET EXPLICATION DES MESSAGES ACARS

1. 2h10 UTC

   Les messages de panne EFCS2 34-11-15 PROBE-PITOT... et EFCS1 27-93-34 FCPC2/WRG... ont été émis par l’avion.

   • La panne EFCS2 34-11-15 PROBE-PITOT 1+2/2+3/1+3 (9DA) indique la panne de sondes Pitot fournissant les informations de «pression totale» permettant aux ADR de calculer la vitesse. Cette panne amène la perte de transmission de cette pression totale ou la transmission d’une valeur erronée. Ceci aboutit au calcul de vitesses erronées par les ADR et probablement divergentes entre les ADR qui ne peuvent plus discriminer parmi elles une éventuelle ADR valide.

     Cette panne a généré au cockpit de multiples alarmes vraisemblablement concomitantes. Ces alarmes, visibles également dans la liste des messages ACARS transmis automatiquement par l’avion, sont les suivantes :

     • AUTO FLT AP OFF : déconnection du pilote automatique. Cette déconnection résulte de la différence des valeurs de vitesse calculées par les ADR 1 et ADR 2 suite à la panne des sondes Pitot. Les FMGEC sont les premiers à réagir à cette panne et déclenchent la déconnection du pilote automatique car ils n’ont plus suffisamment d’informations de vitesse valides ou pertinentes pour que le pilote automatique puisse continuer d’assurer en sécurité le contrôle de la trajectoire. Pour éviter un mauvais guidage de l’appareil basé sur des données erronées, le pilote automatique est déconnecté par le FMGEC. Une alarme sonore de type «charge de cavalerie» retentit en continu dans le cockpit et un voyant rouge «master warning» s’allume et clignote en permanence dans le poste de pilotage. L’équipage a donc été dans l’obligation de reprendre immédiatement le contrôle manuel du pilotage de l’avion, ce qui monopolise beaucoup d’attention et de ressources.
     • AUTO FLT A/THR OFF : déconnection de l’auto-poussée, le système de gestion automatique de la poussée des réacteurs qui a pour fonction première de maintenir, en croisière, une vitesse (ou nombre de Mach) sélectionnée. Cette déconnection résulte du même problème de calcul de vitesse en provenance des ADR suite à la panne des sondes Pitot. Les FMGEC réagissent également en commandant la déconnection automatique et immédiate de l’A/THR car il n’y a plus suffisamment d’informations de vitesse valides ou pertinentes pour assurer le contrôle correct de la poussée en raison de l’incohérence d’au moins deux ADR. Une alarme sonore «gong monocoup» retentit et un voyant ambre «master caution» s’allume et clignote au cockpit. La poussée des réacteurs est alors probablement figée à la valeur d’avant déconnection puisque, sur Airbus A330, les manettes de poussée sont fixes et crantées en position «climb» durant toute la croisière. En d’autres termes, la position des manettes de poussée ne correspond pas à la valeur de la poussée (sic)... Il en résulte un message «THR LK» ambre clignotant au panneau annonciateur de mode (FMA) sur l’écran principal de pilotage (PFD) de chaque pilote, une alarme ambre «ENGINE THRUST LOCKED» répétée toutes les 5 secondes à l’ECAM avec apparition du message «THR LEVERS MOVE» et la répétition simultanée de l’alarme sonore «gong monocoup» toutes les 5 secondes... L’équipage a donc été contraint de reprendre le contrôle manuel de la poussée des réacteurs en dégageant du cran «climb» les manettes de poussée afin de faire taire l’alarme. Ce faisant, la valeur instantanée de la poussée a nécessairement été modifiée pour atteindre la valeur correspondant à la position des manettes à leur sortie du cran «climb» : soit une poussée proche du maximum «climb». En se conformant donc au message «THR LEVERS MOVE», qui était assorti de la répétition d’une alarme sonore toutes les 5 secondes jusqu’à action de l’équipage, ce dernier n’a pas pu conserver la poussée en vigueur avant déconnection automatique de l’A/THR. Le contrôle de l’avion s’en est probablement retrouvé compliqué.
     • FLAG ON CPT PFD FD : le directeur de vol (FD) du Commandant de Bord, présentant les ordres de guidage en provenance du FMGEC, n’est plus disponible. La panne des Pitot entraînant le calcul erroné de la vitesse par les différentes ADR, le FMGEC n’est plus capable de calculer les ordres de guidage de trajectoire présentés normalement à l’équipage par le «directeur de vol» (FD). Celui-ci disparaît donc de l’écran de pilotage (PFD) du Commandant de Bord. Cette perte de FD est liée à la panne (partielle ou totale) de deux ADR.
     • FLAG ON F/O PFD FD : le directeur de vol du copilote est pareillement indisponible. Privé de FD sur les 2 PFD, l’équipage a donc été obligé de contrôler la trajectoire de l’avion alors qu’il ne disposait plus de la présentation de la trajectoire requise sur les PFD.
     • F/CTL ALTN LAW : les lois de commande de vol se dégradent et passent de la loi «normale» à un mode alternatif de type 2 (Alternate Law 2) en raison des valeurs anémométriques erronées et divergentes transmises par les ADR suite à la panne Pitot. Ce mode dégradé des calculateurs des commandes de vol entraîne la perte d’un certain nombre de «protections» visant à empêcher l’avion de sortir du domaine de vol dans lequel, uniquement, il reste contrôlable en vol... Ainsi, en loi alternate type 2, les protections suivantes sont perdues : basse vitesse (low energy), haute vitesse (high speed - en raison de l’ADR DISAGREE), assiette (pitch attitude), grande incidence (high aoa - en raison de l’ADR DISAGREE), et inclinaison (bank angle). Le pilotage de l’avion est sérieusement complexifié et l’appareil est alors susceptible, faute de protection, de sortir du domaine de vol en décrochant (à trop basse vitesse par décollement des filets d’air sur l’extrados de l’aile ou à vitesse trop élevée par phénomène transsonique sur la voilure).
     • F/CTL RUD TRV LIM FAULT : la limitation de débattement de la gouverne de direction (rudder) est perdue. Cette limitation est en effet directement et proportionnellement liée à la vitesse de l’appareil (débattement plus faible à haute vitesse). La perte de l’information de vitesse fiable amène donc l’EFCS à ne plus pouvoir déterminer la limitation de débattement requise. Le système se déclare donc en panne et le débattement est forfaitairement limité à une valeur fixe.
     • FLAG ON CAPT PFD SPD LIMIT : disparition des références et bandeaux de vitesse minimale et maximale sur l’écran de pilotage (PFD) du Commandant de Bord. Le calcul et la présentation des limites hautes et basses de vitesse (décrochage bas, vitesse maxi MMO, etc.) correspondant à l’enveloppe de vol déterminée par le FMGEC sont invalides.
     • FLAG ON F/O PFD SPD LIMIT : même phénomène au niveau de l’écran du copilote. L’équipage ne dispose ainsi plus de la matérialisation sur ses instruments de l’enveloppe et des limites du domaine de vol de l’avion à l’altitude à laquelle il vole. En croisière, donc à haute altitude, ce domaine de vol est réduit et la marge entre la vitesse minimale et la vitesse maximale est très faible.
     • AUTO FLT REAC W/S DET FAULT : le calcul de protection contre le cisaillement de vent (Windshear), établi par le FMGEC à partir des informations de vitesse et notamment des variations de vitesse instantanée, est invalide en raison de la perte d’informations fiables de vitesse et du rejet d’au moins deux ADR par le système AUTO FLIGHT.
     • NAV TCAS FAULT : le système d’évitement de collision (Trafic Collision Avoidance System) est en panne puisque le dysfonctionnement des ADR, dû à la panne des Pitot, entraîne la perte de ce système par panne du transpondeur 1 (si sélecté - en raison de la panne d’ADR 1) ou du transpondeur 2 (si sélecté - en raison de la panne d’ADR 2). La perte du mode C aboutit à la perte de la fonction TCAS.

   • La panne EFCS1 27-93-34 FCPC2 (2CE2)/WRG:ADIRU1 BUS ADR1-2 TO FCPC2 apparaît dans la même minute. Elle est visiblement la conséquence de la panne des Pitot. Cette panne s’est accompagnée, sur la page STATUS de l’écran SD (system display) dans le cockpit, par les messages MAINTENANCE STATUS EFCS 2 et EFCS 1. Ces messages indiquent des fluctuations et des incohérences ADR.

     Cette panne indique que l’EFCS (système électronique de gestion des commandes de vol) considère le calculateur FCPC2 (ou en dernier ressort le câblage transmettant les informations et venant de la partie ADR de l’ADIRU1) comme étant défaillant. Ce message indique que la probabilité de panne la plus importante est celle du FCPC2 qui ne reçoit plus les informations des ADR 1 et 2, lesquelles ont été rejetées. L’ADIRU 1 n’envoie pas l’information au PRIM 2 (FCPC2). En second choix de probabilité, le système suggère un problème de câblage (wiring). Les informations erronées de vitesse venant de l'ADR sont ainsi analysées comme une possible défaillance du câblage en regard de l'amplitude des valeurs mesurées par le FCPC2. Ce message est uniquement destiné à la maintenance et lui indique ce qu’il faudra rechercher, à l’arrivée de l’avion, comme cause probable à la panne. C’est une panne consécutive à la panne des Pitot qui affecte les ADR puis, par effet domino, les systèmes qui nécessitent les informations de vitesse en provenance des ADR.

   Ce qui précède est donc ce à quoi l’équipage a été confronté lors des premières 60 secondes du drame...

   La panne initiale des Pitot a ainsi entraîné de multiples alarmes sonores et visuelles, qui retentissent pour certaines en permanence ou toutes les 5 secondes... Mais cette panne a aussi rendu nécessaire la reprise du pilotage de l’avion et le contrôle de la poussée en manuel, avec une manipulation délicate des manettes de poussée, ceci alors que les informations de guidage de la trajectoire et de vitesse venaient de disparaître des écrans de pilotage.

   A cela se rajoutent les messages d’alarme et les checklists qui sont apparus en cascade sur l’écran central E/WD (Engine / Warning Display) du cockpit.

   L’équipage a ainsi été dans l’obligation d’analyser en quelques secondes cette situation surchargée et a été contraint de piloter l’avion en traitant potentiellement (et dans l’ordre qu’il devait lui-même arriver à déterminer) :

   • une perte de vitesse entraînant l’application de la manoeuvre d’urgence «IAS douteuse». Manoeuvre dont Air France a indiqué, par note interne du 5 juin..., qu’elle ne devait pas être exécutée en croisière...
   • une checklist «vol avec indications anémométriques erronées» de 4 pages disponible dans un fascicule...
   • une checklist ADR CHECK PROC
   • une checklist ADR 1+2, 2+3 ou 1+3 FAULT
   • une checklist ADR 1+2+3 FAULT à aller chercher et lire dans un fascicule car la panne des 3 ADR n’est pas présentée à l’écran, celui-ci n’indiquant que la panne de 2 ADR. Le système d’alarme de l’A330 est en effet incapable de faire la différence entre la panne de 2 ADR et celle de 3 ADR... Ceci oblige donc nécessairement l’équipage à déterminer rapidement quelle procédure doit être appliquée : 2 ADR en panne parce que c’est le cas ou 3 ADR en panne parce que le même message «2 ADR en panne» affiché à l’écran est faux...
   • une alarme STALL (voir Glossaire - Annexe 4) présente dans tous les incidents précédents ayant entraîné cette succession de messages et très probablement subie aussi par l’équipage de l’AF 447
   • une checklist F/CTL RUD TRV LIM FAULT
   • une checklist F/CTL ALTN LAW (PROT LOST)
   • une checklist AUTO FLT A/THR OFF
   • une checklist NAV TCAS FAULT
   • une checklist AUTO FLT REAC W/S DET FAULT

   Tout ceci subitement, de nuit, à 4h10 du matin, probablement en IMC (sans références visuelles extérieures), en pilotage manuel et au milieu d’alarmes sonores et visuelles multiples...

   Il convient d’ailleurs de souligner que l’équipage a également pu être confronté à des informations contradictoires :

   Ainsi, la manoeuvre d’urgence (à restituer de mémoire) stipule qu’il faut respecter et réagir à l’alarme décrochage : «en loi ALT LAW respecter l’alarme STALL.»

   En revanche, la checklist F/CTL ADR DISAGREE aboutit, après traitement complet et sur la page STATUS finale, à un message signalant le risque de fausse alarme décrochage (RISK OF UNDUE STALL WARN)...

   Dans de telles conditions cumulées, la soudaine tâche de l’équipage relève de l’impossible pour l’esprit humain.

2. 2h11 UTC

   Les messages de panne ISIS (22FN-10FC) SPEED OR MACH FUNCTION et IR2 EFCS1, IR1, IR3 - ADIRU2 (1FP2) ont été émis par l’avion.

   La panne ISIS, l’instrument de secours de pilotage, concerne la fonction vitesse / Mach de cet instrument. L’information de vitesse et de Mach est perdue, ce qui est dû à la perte de l’information de pression totale fournie directement par la sonde Pitot standby. Ce qui implique la panne de la sonde Pitot Standby, probablement de manière concomitante avec la panne des sondes Pitot Commandant de Bord et copilote. Ce message laisse donc suspecter une anomalie / incohérence dans l’ADR 3 (alimentée par le Pitot standby) n’ayant encore abouti ni à l’isolation des ADR en défaut ni à l’apparition du message ADR DISAGREE. L’équipage n’avait ainsi plus d’information valide de vitesse ni sur ses écrans primaires de pilotage ni sur l’écran de secours. Le pilotage et le contrôle de l’appareil n’en étaient que plus délicats.

   La panne mentionnant l’IR2 est plus déconcertante. L’IR2 est l’une des trois centrales inertielles (gyro-laser) qui fournissent les informations d’attitude, de FPV, de route suivie, de cap, d’accélération, de taux de roulis, de vitesse sol et de position de l’avion. Avec l’ADR2, elle forme l’ensemble appelé ADIRU2. Chaque partie, ADR et IR, peut normalement fonctionner indépendamment en cas de panne. En l’espèce, le message de panne n’est pas un message IR2 FAULT. Ce n’est donc pas une panne totale d’IR2. Il s’agit plus vraisemblablement d’une perte de signal ADR2, de la reprise d’une séquence de test de l’ADR2 n’ayant pas encore abouti à confirmer une possible divergence entre les ADR (ADR DISAGREE) et tentant une isolation des ADR en défaut.

   Cette panne est associée aux messages ACARS d’alarme suivants :

   • FLAG ON CAPT PFD FPV : le FPV du commandant de bord, qui indique la pente sol et la route instantanée, c’est-à-dire la trajectoire de l’avion, est indisponible. Bien que l’attitude soit probablement valide (information d’assiette et d’inclinaison de l’avion), le calcul de la dérive (drift) et/ou de la trajectoire est invalide.
   • FLAG ON F/O PFD FPV  : il s’agit du même message que ci-dessus, mais sur l’écran primaire du copilote.

   L’explication la plus probable de l’apparition de ces messages résulte de la tentative de l’équipage, forcé de reprendre le pilotage en manuel, d’afficher le FPV afin d’obtenir une information de trajectoire sur les écrans primaires de pilotage (PFD). Il est courant, au sein d’Air France, que la fonction FPV soit sélectée par les pilotes lorsque ceux-ci sont en pilotage manuel avec le FD sur OFF. La situation, imposée à cet équipage, d’un pilote automatique et de FD indisponibles a sans doute amené les pilotes à tenter de sélecter le mode FPV pour s’aider. Celui-ci s’est également révélé indisponible bien que l’élaboration de l’indication FPV soit inertielle (partie IR de l’ADIRU) et ne soit pas liée à la partie ADR qui était, elle, affectée par la panne des Pitot. Privé de cette fonction FPV matérialisant la trajectoire, le pilotage manuel de l’avion a été délicat, ceci d’autant que la tentative probable de sélection de cette fonction démontre l’utilité que représentait pour l’équipage ce FPV.

   L’équipage s’est donc retrouvé privé des informations de vitesse sur l’instrument de secours et des informations de trajectoire sur les écrans de pilotage.

3. 2h12 UTC

   Le message NAV ADR DISAGREE a été transmis à 2h12, ce qui ne signifie pas qu’il s’agisse d’une panne se produisant à 2h12. Ce message est un message d’alarme, portant sur le désaccord de vitesse entre ADR, et non pas un message de panne. Il résulte logiquement de la panne des Pitot qui a entraîné des valeurs divergentes de vitesse calculées par les ADR, lesquelles confirment ainsi, par ce message d’alarme, l’altérité des valeurs calculées. Le message ADR DISAGREE est transmis par ACARS au moment où le système parvient à détecter cette situation et la reporte. La panne initiale est celle des Pitot et ce message en est une conséquence supplémentaire qui confirme d’ailleurs l’apparition de la checklist ADR DISAGREE énoncée précédemment. Il est possible que ce message soit le résultat du test interne des systèmes visant à discriminer les ADR en défaut suite, notamment, aux messages IR2 et ISIS précédents. La divergence ayant été confirmée par le test d’isolation des systèmes incriminés, le message ADR DISAGREE déclare définitive cette divergence et prononce l’isolation des ADR en défaut.

4. 2h13 UTC

   Le message de panne FMGEC1 INTERMITTENT (INTM) FAULT est généré et s’accompagne des alarmes suivantes :

   • F/CTL PRIM 1 FAULT : panne du calculateur primaire 1 de commande de vol
   • F/CTL SEC 1 FAULT : panne du calculateur secondaire 1 de commande de vol

   Cette panne intermittente de FMGEC1 apparaît logiquement liée à la panne Pitot qui entraîne le dysfonctionnement ADR et donc celui du FMGEC dont la partie FE (flight enveloppe) est affectée par d’éventuelles variations incohérentes de vitesse en provenance des ADR. Ces incohérences peuvent expliquer les dysfonctionnements dans les calculateurs PRIM 1 et SEC 1, qui utilisent des informations FMGEC. Le SEC, par exemple, contrôle et surveille le canal de limitation de débattement de la gouverne de direction qui a été signalé en FAULT dès 2h10 (F/CTL RUD TRV LIM FAULT).

5. 2h14 UTC

   Plus aucun message de panne ne sera envoyé par l’avion. Seuls deux messages d’alarme sont transmis :

   • MAINTENANCE STATUS ADR2 : l’ADR2 a son fonctionnement dégradé, ce qui n’est qu’une confirmation de la situation résultant de la panne initiale des Pitot.
   • ADVISORY CABIN VERTICAL SPEED : le taux de variation de la pressurisation de la cabine est anormal. Ce message indique une variation de l’altitude de la cabine supérieure à 1800 pieds/minute.

   De façon simplifiée, la pressurisation consiste à «gonfler» la cabine d’un avion en y admettant de l’air extérieur, réchauffé par échange thermique avec certains systèmes de l’avion, et à réguler le débit de fuite au moyen d’une vanne située à l’arrière de l’appareil. Ce faisant, la cabine est dite «pressurisée» et l’air que l’on y respire contient suffisamment de molécules d’oxygène pour éviter l’hypoxie que l’on subirait à l’altitude de croisière des avions de ligne. L’altitude fictive à l’intérieur de la cabine est donc inférieure à celle de l’avion. A une altitude de 35 000 ft (pieds), la pressurisation permet de maintenir l’altitude de l’intérieur de la cabine aux environs de 8 000 ft. Le paramètre d’évolution de cette altitude fictive de cabine est mesuré en pieds/minutes.

   Contrairement à ce qui a pu être pensé, le message d’alarme n’est pas révélateur d’une dépressurisation explosive puisqu’il ne s’agit pas d’une alarme «excess cab alt» qui aurait signifié une altitude cabine excessive (supérieure à 9550 ft). Il s’agit en réalité d’un message d’alerte, matérialisé au cockpit par le clignotement du paramètre Cabin V/S sur l’écran de pressurisation, indiquant que l’altitude de la cabine est en évolution suivant une variation jugée excessive. Cette variation peut se produire dans le sens de la montée de la cabine ou de la descente à plus de 1800 ft/mn. Plusieurs cas de figures peuvent ainsi se présenter :

   • La panne des 3 ADR pourrait entraîner la perte des systèmes contrôleurs de pressurisation et laisser celle-ci évoluer anormalement.
   • L’éventuel passage en survitesse de l’avion, lors d’une perte de contrôle, aurait pu détériorer et même arracher certains éléments structurels, créant alors une fuite de pressurisation expliquant la variation rapide de l’altitude cabine, cette dernière se dépressurisant rapidement avant l’éventuelle rupture de l’avion et la fin des transmissions suite à la désintégration de l’appareil.
   • La descente de l’appareil entraîne une descente de l’altitude de la cabine commandée par le contrôleur de pressurisation principal (l’autre étant fonctionnellement en attente). C’est ce qui se produit à chaque descente afin qu’à l’ouverture de la porte, au sol, la pression extérieure à l’avion soit la même que celle à l’intérieur de la cabine. Il y a donc régulation de la descente de l’altitude cabine au fur et à mesure que l’avion descend. Dans le cas où l’avion serait en descente très rapide, le contrôleur de pressurisation tenterait de faire descendre très rapidement l’altitude de la cabine. Cette variation est par conception limitée à 750 ft/mn, ce qui ne peut donc pas générer une alerte correspondant à une valeur algébriquement supérieure à 1800 ft/mn. Si l’avion n’était pas en descente mais malheureusement en chute, il rejoindrait alors l’altitude de la cabine avant que le contrôleur de pressurisation ait pu faire suffisamment descendre la cabine. Dans ce cas, la pressurisation s’inverserait : la pression à l’extérieur de l’avion deviendrait supérieure à celle de la cabine. Pour éviter l’implosion, des «safety valves» et des «negatif relief valve» s’ouvrent en cas de pression différentielle négative (0,25 psi). Dans ce cas, le taux de variation de la cabine suit la chute de l’avion pour minimiser la différence de pression et le taux peut donc être très supérieur à 1800 ft/mn. C’est ce qu’a pu signifier ce dernier message transmis par l’avion.
   • La perte des signaux ADR, par rejet de l’ADR suite à panne interne partielle ou totale, pourrait aussi avoir entraîné l’apparition de cette alarme.

6. DISCUSSION

   La fin des transmissions, à 2h14 UTC, marque la fin des éléments factuels qui sont à ce stade disponibles, exception faite des débris qui ont été jusqu’ici récupérés. Les conditions d’arrachement de certains débris, notamment la dérive, apporteront quelques précisions sur les tous derniers instants du vol.

   Il faut néanmoins se résoudre à constater que les messages ACARS pointent clairement et logiquement la panne des Pitot comme élément causal dans la séquence des messages reçus.

   Nonobstant le message mentionnant l’IR2, qu’il revient au BEA d’expliquer, cette séquence est très similaire à celle des incidents antérieurs ayant eu pour origine la panne de Pitot.

   Nous pensons extrêmement probable que, face à cette situation soudaine, relativement inextricable, l’équipage aurait perdu le contrôle de l’avion et qu’un décrochage haute vitesse est l’explication la plus plausible de la fin du vol.

   Certes, les orages de la zone intertropicale sont très développés et doivent être traités avec respect. Il n’est pourtant nul besoin d’invoquer, comme Monsieur FELDZER, l’énormité de ceux-ci, pas plus développés que d’habitude le 1er juin dixit Météo France, pour tenter d’expliquer l’accident. De nombreux appareils ont emprunté la même route cette nuit-là et rien, à part une volonté malsaine mais économico-juridiquement logique, ne peut permettre d’affirmer que cet équipage a été incompétent au point d’entrer dans un orage. Rien, car personne n’a le moindre élément démontrant la trajectoire réelle de l’avion après son dernier point de report, 45 minutes avant les messages ACARS...

   Tout, en revanche, permet de penser qu’à proximité de cette zone orageuse et lors de son probable contournement, des cristaux de glace à haute altitude ont pu être rencontrés par l’appareil volant en IMC (sans référence visuelle extérieure) en évitant les orages au radar. Tout permet de penser que c’est la raison, connue et communiquée par Airbus depuis des années, du dysfonctionnement des Pitot.

   Certes, Monsieur Gourgeon a publiquement déclaré, sur une chaîne télévisée au journal de 20h00, que les Pitot n’étaient pas la cause de l’accident et, quelques minutes plus tard, qu’il ne savait pas quelle était la cause de l’accident (sic)...

   Certes, le BEA a indiqué que «rien» ne permettait de lier la catastrophe à une défaillance de ces sondes Pitot... (Pas même les messages ACARS ?...)

   Certes, Airbus revendique la parfaite sécurité et conception de ses avions même avec les Pitot de type AA et les dysfonctionnements qui perdurent depuis 1994.

   Certes, l’Autorité de tutelle et l’EASA assurent que l’A330 est apte au vol et peut être exploité en toute sécurité quel que soit le type de Pitot...

   Certes, il a aussi été invoqué un gros problème de toilettes à l'appui d'un message ACARS de type 2 (moindre importance) du 31 mai 22h45 UTC. Sans doute les colporteurs ayant répandu une rumeur aussi affligeante que techniquement farfelue tentaient-ils d'expédier, par commodité, dans ces "commodités" des faits plus gênants...

   Mais faut-il vraiment être dupe après la lecture détaillée de tous ces messages ACARS ?

   Faut-il donc accepter que les intérêts économico-juridiques, ce que certains appelleront même la raison d’Etat, l’emportent sur la vérité qui est due aux familles anéanties et sur la sécurité qui est due aux équipages et à leurs futurs passagers ?

   Eurocockpit laisse chacun en juger et invite les journalistes à poser des questions au BEA (cf. annexe 3), pour commencer..., et les bonnes volontés à réfléchir aux mesures correctives nécessaires (cf. annexe 4)...

ANNEXE 2 - RECOMMANDATIONS ET MESURES CORRECTIVES

• remplacer immédiatement toutes les sondes Pitot de type AA par celles de type BA
• modifier rapidement les manoeuvres d’urgence et checklists inadaptées ou trop complexes en cas d’anomalie anémométrique
• entraîner les équipages au situations de pannes anémométriques à haute altitude
• entraîner les équipages volant sur AIRBUS à la sortie des positions inusuelles, notamment à haute altitude
• fournir aux équipages les moyens les plus modernes et les plus efficaces leur permettant le choix des routes les plus sures et l’évitement des zones potentiellement dangereuses. Leur présenter, au stade de la préparation des vols, l’étude de routes alternatives classées par intensité des phénomènes météorologiques notables
• Augmenter le temps imparti de préparation des vols dans l’amplitude de travail
• modifier l’organisation des compagnies aériennes en créant une direction de la sécurité dépendant directement du Président, ayant une réelle autorité transverse sur les services au sol (escales, maintenance, etc.) et sur les navigants, dirigée par des pilotes nommés à durée déterminée à ces postes de haut encadrement
• renforcer les attributions et les pouvoirs des CHSCT des personnels navigants en matière de sécurité des vols et d’accès au retour d’expérience
• réaliser une enquête parlementaire visant à faire la lumière sur :
  • les causes et les origines de cet accident
  • la place de la sécurité dans les compagnies aériennes en regard de celle attribuée à la recherche de la meilleure rentabilité
  • l’organisation et l’indépendance du BEA, ses liens avec la tutelle ou certains exploitants et / ou constructeurs
  • l’organisation et les liens entre l’Administration de tutelle et certains exploitants / constructeurs.

ANNEXE 3 - QUESTIONS A POSER AU BEA

• Y-a-t-il une preuve ou un élément quelconque, y compris dans le contenu des messages ACARS, qui démontrerait que les sondes Pitot ne sont pas incriminables dans cet accident ?
• Les incidents précédents, notamment ceux qui concernent les avions d’Air France F-GNIH et F-GLZN, présentent-ils des similitudes avec le vol AF 447 en ce qui concerne les messages ACARS reçus par la Compagnie Air France ?
• En septembre 2008, une contrainte ou une donnée technique faisait-elle opposition au remplacement des sondes Pitot de type AA par des sondes BA sur les A340 / A330 ?
• Y-a-t-il eu des incidents de perte d’indications anémométriques ou d’indications anémométriques erronées avec des Airbus A340 / A330 équipés de sondes Pitot de type BA ?
• Tous les incidents de perte d’indications anémométriques se sont-elles produites avec des sondes Pitot de type AA ou il-y-a-t-il eu d’autres types de sondes Pitot incriminés et à quelle date ?
• La succession d'incidents liés aux sondes Pitot, l'exploitation prévue de ce retour d'expérience, la mission de surveillance et de contrôle des Autorités compétentes (DGAC, EASA, BEA...), l'existence d'un historique détaillé rédigé à ce sujet par le Constructeur et remontant à près de 15 ans, les éléments disponibles en interne à Air France, ne commandaient-ils pas de remplacer les sondes Pitot de type AA par les sondes BA dès que celles-ci ont été disponibles sur le marché et, a fortiori, immédiatement après l'accident ?
• Le BEA a-t-il «saisi» des documents en interdisant à Air France d’en faire une copie ou d’en transmettre copie aux CHSCT des personnels navigants dans le cadre de leur enquête légale ?

ANNEXE 4 - GLOSSAIRE

ACARS : Arinc Communication Addressing and Reporting System, système de communications codées et de rapports automatiques entre l’avion et le sol.

ADIRU : Air Data Inertial Reference Unit, centrale mixte aérodynamique/inertielle.

ADR : Air Data Reference, partie aérodynamique de l’ADIRU.

ALTN LAW : Alternate Law, loi dégradée de pilotage secondaire, par opposition à loi «normal» ou «directe». La loi Alternate, type 1 ou type 2, présente moins de protections (contre la sortie du domaine de vol) que la loi «normale».

AP : pilote automatique.

A/THR : système de contrôle automatique de la poussée des réacteurs basé sur des manettes de poussée fixes et placées dans un cran.

AUTO FLT : Auto flight, systèmes de conduite automatique du vol (pilote automatique, directeurs de vol, auto poussée, etc.).

CAPT : Captain, Commandant de Bord, siège place gauche.

EFCS : Electronic Flight Control System, système électronique de gestion des commandes de vol.

E/WD : Engine / Warning Display, écran central du cockpit présentant les paramètres moteurs, les pannes et les checklists.

FCPC : Flight Control Primary Computer (PRIM), calculateur principal de commandes de vol.

F/CTL : Flight ConTroLs, commandes de vol.

FD : Flight Director, directeur de vol, système d’indication (sur le PFD) de la trajectoire verticale et horizontale à suivre.

FLAG : alerte visuelle apparaissant sur un écran pour indiquer que le système associé ne fonctionne pas. Sur les avions de précédente génération, non équipés d’écrans, il s’agissait d’un pavé rouge, appelé drapeau, apparaissant devant l’instrument pour signaler son dysfonctionnement.

FMA : Flight Mode Annunciator, indicateur de modes de vol sur le PFD.

FMGEC : Flight Management Guidance Envelope Computer, système de gestion et de guidage du vol ainsi que de calcul du domaine de vol de l’avion (vitesse).

FELDZER : spécialiste des orages gigantesques.

F/O : First Officer, copilote,  siège place droite.

FPV : Flight Path Vector, symbole apparaissant sur le PFD et symbolisant la route et la pente sol instantanées de l’avion, c’est-à-dire sa trajectoire.

IR : Inertial Reference, références stabilisées (gyro-laser) servant notamment à établir l’indication d’attitude (représentation de l’horizon, du ciel et de la terre montrant l’angle d’assiette et d’inclinaison).

ISIS : Integrated Stand By Instrument System, instrument de secours censé reprendre toutes les informations vitales au pilotage (Altitude, Attitude, Vitesse….).

OACI : Organisation de l’Aviation Civile Internationale.

PFD : Primary Flight Display, écran principal de présentation de l’information de pilotage situé devant chaque pilote.

PRIM : Calculateur principal de commandes de vol.

PROT LOST : protections de domaine de vol perdues (indisponibles).

REAC W/S DET FAULT : Reactive Windshear Detection Fault, panne de la détection prédictive de cisaillement de vent.

RUD TRV LIM : limitation du débattement de la gouverne de direction (Rudder).

SD : System Display, écran central du cockpit présentant les systèmes de l’avion (carburant, pressurisation, électricité, commandes de vol, etc. et une page STATUS de résumé des systèmes en panne).

SEC : Calculateur secondaire de commandes de vol.

STALL : décrochage. Il s’agit du décollement des filets d’air sur la voilure par vitesse trop faible ou par survitesse. L’alarme STALL est apparue dans les nombreux cas reportés de problèmes liés aux sondes Pitot. Cette alarme implique une action immédiate de l’équipage (manoeuvre d’urgence) qui serait, en l'occurrence, bien mal venue car elle serait susceptible d’aggraver rapidement la situation.

TCAS : Trafic Collision Avoidance System, système anti-collision.

THR LEVERS : Thrust Levers, manettes de poussée.

THR LK : Thrust Lock, poussée figée à une certaine valeur et ne pouvant être modifiée que par reprise en manuel des manettes de poussée en les sortant du cran automatique.