Les dossiers noirs du transport aérien

Dans quelques semaines, le procès de l’accident du Concorde le 25 juillet 2000 débutera. Après quatre ans d'expertises, l'information judiciaire ouverte au lendemain de l'accident pour "homicides et blessures involontaires" avait abouti fin 2004 à un rapport final désignant un "défaut important" du Concorde au niveau de l'intrados de l'aile de l'avion comme une des causes majeures de cet accident. Cette faiblesse était connue du constructeur (Aérospatiale puis, après mutation du groupe, Airbus et enfin EADS), comme du BEA et de la DGAC dès 1979, après l'accident d'un Concorde à Washington (USA) présentant des similitudes avec celui de Gonesse. Ce défaut n'avait été traité qu'après le crash… Malgré 16 incidents graves et 6 accidents précurseurs rapportés sur 24 années d’exploitation d’une flotte de 13 avions, le BEA n’avait pas hésité à écrire dans son rapport que cet accident n’était pas prévisible !

Lire deux documents très complets rédigés par Alain LE CARROUR, Commandant de bord, pour le CHSCT-PN d’Air France :

Evénements précurseurs

Le retour d’expériences

Le 22 décembre dernier, un Boeing 737 d’American Airlines est sorti de la piste 12 de Kingston, Jamaica. L’atterrissage a eu lieu sous une forte pluie. On compte de nombreux blessés parmi les 154 passagers et membres d’équipage.

L’avion a franchi un obstacle situé en bout de piste et s’est brisé en plusieurs morceaux.

Encore une piste qui ne respecte pas les recommandations de l’OACI : une aire de sécurité d’extrémité de piste longue de 300m dépourvue d’obstacles.

A Saint Denis de la Réunion, il y a une marina à l’extrémité de la piste 12 qui est utilisée pour les décollages. Si un avion sort de la piste lors d’un décollage interrompu par exemple, il y aura une catastrophe. La DGAC attend… (dossier)

Les équipements d'un avion doivent fonctionner dans tout son domaine de vol et on admet qu'il peut survenir des pannes dont la fréquence d'occurrence ne doit pas dépasser le seuil défini par la classification du risque associé à la panne : "minor, major, hazardous, catastrophic"

En ce qui concerne les sondes Pitot, cet argument ne tient pas car cet équipement ne fonctionne pas correctement dans une partie du domaine de vol : en présence de cristaux de glace !

Le BEA, l'EASA, la DGAC et Airbus ne veulent pas reconnaître qu'il n'y avait qu'une seule façon de résoudre le problème, éviter les zones où la présence de cristaux de glace est connue lors du dépôt des plans de vol... en attendant le développement d'une nouvelle technologie,une nouvelle architecture des sondes sans tuyaux assurant la liaison sonde/air data module : "plus de tuyaux, plus de bouchons".

On a préféré demander aux pilotes de s'accommoder de ce défaut et d'en assurer la responsabilité par l'application d'une check-list !

On October 31, 1994, Eagle flight 184 from Indianapolis to Chicago-O'Hare, an ATR 72 operated by Simmons Airlines, crashed-during a rapid descent in severe icing conditions after an uncommanded roll excursion. The airplane was destroyed by impact forces; the captain, first officer, 2 flight attendants and 64 passengers received fatal injuries.

The National Transportation Safety Board has determined that the probable cause of this accident was the loss of control, attributed to a sudden and unexpected aileron hinge moment reversal that occurred after a ridge of ice accreted beyond the deice boots because :

1) /…/

2) The French Directorate General for Civil Aviation's (DGAC's) inadequate oversight of the ATR 42 and 72, and its failure to take the necessary corrective action to ensure continued airworthiness in icing conditions;

3) The DGAC's failure to provide the Federal Aviation Administration (FAA) with timely airworthiness information developed from previous ATR incidents and accidents in icing conditions, as specified under the Bilateral Airworthiness Agreement and Annex 8 of the International Civil Aviation Organization.

The Safety Board concludes that no airplane should be authorized or certified for flight into icing conditions more severe than those to which the airplane was subjected in certification testing unless the manufacturer can otherwise demonstrate the safety of flight in such conditions.

As a result of its investigation of this accident, the National Transportation Safety Board recommends that the Federal Aviation Administration :

“Revise the icing certification testing regulation to ensure that airplanes are properly tested for all conditions in which they are authorized to operate, or are otherwise shown to be capable of safe flight into such conditions. If safe operations cannot be demonstrated by the manufacturer, operational limitations should be imposed to prohibit flight in such conditions and flightcrews should be provided with the means to positively determine when they are in icing conditions that exceed the limits for aircraft certification. (Class II, Priority Action) (A-96-56)”

After reading that NTSB safety recommendation, we can expect the French BEA also recommends in the AF 447 report : “Airplanes equipped with Pitot probes must not fly through ice crystal areas” (if you want to receive the NTSB document, mail me please)

Après Airbus en 1995, la DGAC en 2001, la FAA en 2002 et l’EASA en 2007, voilà que le BEA, en bon dernier (un comble pour cet organisme "que le monde entier nous envie"), fait le constat que les sondes Pitot ne résistent pas aux cristaux de glace et que les tests destinés à la validation de ces équipements ne sont pas adaptés. 

Le BEA recommande donc à l’EASA de changer les normes de certification des sondes Pitot.

Sur les 36 incidents graves similaires aux derniers instants du vol AF 447 enregistrés entre 2003 et 2009, 32 (!) ont eu lieu avant le crash du 1^er juin et cette liste n’est sans doute pas exhaustive…

C’est un terrible aveu d’incompétence !

Le fonctionnement du BEA est définitivement à revoir car nul besoin de préciser ici que cette recommandation aurait dû être faite bien avant le drame du vol AF 447 compte tenu du nombre très important d’incidents graves précurseurs que le BEA avait à sa disposition. Elle aurait eu, en plus, l’avantage de faire prendre conscience de la gravité du problème à tous les intervenants dans la chaîne de la sécurité des vols.

Ainsi la DGAC (et l’EASA), dont il ne faut pas oublier le rôle dans la prévention des accidents, avait la possibilité par une info de sécurité ou une consigne opérationnelle de conseiller aux compagnies d'éviter les zones où la présence de cristaux de glace est connue (orages notamment), en attendant que les mesures définitives soient prises.

Le vol AF 447 avait au moins une route dégagée à sa disposition ! L’UN 741 (voir l'image ci-dessous), beaucoup moins exposée aux orages lors de la traversée de la zone de convergence intertropicale. L’équipage aurait dû recevoir cette information dont le CCO d’Air France disposait, mais personne n’a pensé à la leur transmettre, ce qui n’est pas étonnant puisque la DGAC (et l’EASA) était aux abonnés absent.

En l’absence des enregistreurs, on ne saura sans doute jamais « comment » l’A-330 est sorti de son domaine de vol.

Mais on sait définitivement « pourquoi » : à cause de la faillite du retour d’expérience !

Note: la sortie du domaine de vol est un risque lié au blocage des sondes Pitot identifié par la DGAC et la FAA en 2002 !

La faillite du retour d’expérience confirmée !

Il a fallu la disparition de l’Airbus A-330 du vol AF 447, de ses passagers et de son équipage dans les abysses de l’océan atlantique pour que le petit monde responsable du suivi de la navigabilité[1] de ce type d’avion se réveille et prenne en urgence un certain nombre de décisions. Ces décisions auraient dû être prises avant ce drame si le BEA avait fait les recommandations nécessaires après l’analyse des nombreux incidents graves précurseurs dont il avait connaissance, si la DGAC avait exploité les événements de sa base de données, si l’EASA et Airbus ne s’étaient pas contentés de demander aux pilotes de s’accommoder du défaut des sondes Pitot, si Air France avait adopté des mesures correctrices.

Ainsi, recevant au Bourget l'Association des journalistes professionnels de l'aéronautique et de l'espace, le directeur du BEA, Jean-Paul Troadec, a déclaré il y a quelques jours que le prochain rapport comportera « l'analyse de mesures incohérentes de vitesses répertoriées sur d'autres vols. » Il confirme que le BEA ne l’avait pas fait avant l'accident du vol AF 447 !

Ainsi, 2 mois après l’accident, l’EASA et Airbus ont fait disparaître la sonde Pitot Thalès AA jugeant que cette sonde n’était pas fiable (le constructeur avait fait ce constat en juillet 2002 !), puis, en octobre, l’EASA a modifié les normes de certification des sondes Pitot, normes qu’elle avait qualifiées d’obsolètes en septembre 2007.

Ainsi, après s’être limité, en novembre 2008, à une « information sécurité » demandant aux pilotes de rester vigilants dans les conditions de vol où se produisent les anomalies anémométriques, Air France a créé après l’accident une séance de simulateur spécifique « vitesses douteuses » sur Airbus, renforcé le suivi des positions des avions long courrier, créé des supports de formation cristaux de glace, lancé le ré-engineering de la préparation et du suivi des vols

Quant à la DGAC, elle « ne sait pas quoi faire » de la base de données dans laquelle sont recueillis tous les incidents survenus pendant les vols, ainsi que Florence Rousse, directrice de la sécurité, l’a avoué le 30 novembre dernier sur Europe 1 !

La faillite du retour d’expérience avait été démontrée avec l’accident du Concorde en juillet 2000, celui d’Air France 447 la confirme.

Comment ils vont tenter de se défendre.

« Les sondes Pitot ont des défaillances mais ces défaillances sont compensées par une procédure appliquée par les équipages » a affirmé Patrick Goudou, le patron de l’Agence Européenne pour la Sécurité de l’Aviation (EASA) le 18 novembre à Paris. Cette stratégie de communication sera reprise dans le prochain rapport du BEA qui nous « fera comprendre » que si les pilotes du vol AF 447 n’ont pas réussi à se sortir de la situation dangereuse provoquée par le blocage des sondes Pitot, c’est qu’ils n’ont pas appliqué correctement la procédure.

Le blocage des sondes Pitot est un défaut (et non une panne) lié à l’architecture de ces sondes et à des normes de certification obsolètes. Si les pilotes ont la responsabilité de traiter les pannes avec des procédures bien adaptées, l’élimination des défauts d’un avion est de la responsabilité du constructeur et des instances chargées de la navigabilité des avions.

Après le drame du vol AF 447, Airbus, l’EASA et tous les autres ont cependant rappelé aux pilotes que dans le cas d’incohérence dans les vitesses mesurées il faut appliquer la procédure mise à leur disposition. C’est donner, en plus, une fausse idée de la complexité du problème. En fait, les pannes induites qui se succèdent en cascade entraînent l’exécution de… 12 procédures ainsi que l’a constaté le BEA dans son premier rapport.

Ce n’est pas une séance d’entraînement au simulateur et ce genre d’évènement très complexe n’arrive pas toujours pendant un vol paisible et en bonnes conditions météo. Comme dirait Murphy, ça peut aussi arriver pendant la traversée du FIT (zone de convergence intertropicale très active), sous turbulences et en virage d’évitement des orages, donc dans un domaine de vol très restreint.

De mémoire, le pilote aux commandes doit afficher des valeurs erronées de poussée et d’assiette, valeurs qui ne seront corrigées qu’à la page 4 de la procédure en question, si on a la chance d’arriver jusque là, pendant que le sapin de noël s’illumine (alarmes en tous genres) accompagné de la douce musique des différents klaxons. Pour agrémenter le tout, il peut y avoir aussi une fausse alarme « décrochage » mais qu’il faut respecter selon les consignes en vigueur, situation non confortable cependant traitée à Air France dans une procédure anormale complémentaire qui nécessitera la recherche avec fébrilité de la bonne page du document en question pour pouvoir en sortir.

A la complexité des systèmes, on rajoute la complexité des procédures ! Il est très facile, dans ces conditions, de sortir d’un domaine de vol très restreint (risque identifié par la DGAC et la FAA en 2001 !).

Selon la chronologie des messages ACARS, l’équipage du vol AF 447 n’a sans doute eu qu’une petite trentaine de secondes pour réagir aux événements qui se sont succédés.

Quant il s’agit de masquer des responsabilités, le pilote de ligne standard, qui n’est ni un pilote d’essais ni Buck Danny, est une proie facile. Surtout s’il n’est plus là pour se défendre !

La DGAC avoue encore !

Dans son rapport sur la sécurité aérienne qui vient d’être (enfin…) publié, la DGAC confirme page 65 qu’en 2008 plusieurs (combien ?) événements ont été rapportés sur Airbus A320, A330 et A340 sur des données anémométriques incohérentes, attribuées à l’ingestion d’eau ou de cristaux de glace par les sondes Pitot, que « ces événements ont fait l’objet d’analyses spécifiques par le constructeur de ces avions » et que « suite à l’accident du vol AF447, une revue détaillée est réalisée par le BEA. »

Il faut rappeler que la DGAC traite les incidents en exploitation d’abord par « peignage »  des événements puis en établit la liste à suivre plus précisément pour enfin décider des mesures à prendre.

On savait que la DGAC n’avait pas émis d’information de sécurité ni de consigne opérationnelle à propos du blocage des sondes Pitot, on sait maintenant que cette grande institution chargée de maintenir la sécurité du transport aérien à son plus haut niveau n’a même pas fait l’analyse de ces événements !

Grâce au rapport sécurité 2008 de la DGAC, on connaît aussi maintenant de façon officielle la liste des incidents graves survenus en 2008 à des exploitants français de transport public ayant fait l’objet d’une enquête technique du BEA. Dans cette liste de 5 incidents graves (page 30), il n’y a aucun événement lié aux sondes Pitot !

Il faut rappeler qu’en août 2008, l’équipage d’un A-340 d’Air France en route vers Tananarive avait émis un message de détresse « MAYDAY » suite à un blocage des sondes Pitot dans la région d’Addis-Abeba. Ce n’était pas suffisant sans doute pour que le BEA enquête…

Suite aux commentaires de la note précédente "Fatigue : La DGAC et Air France en infraction", l'équipage n'était pas renforcé (voir les précisions du document joint ici) donc la limitation TSV est bien 13h voire même 11h45 (OPS1.1105-2.7) si on prend pour référence l'heure de la base d'affectation (OPS1.1095-1.15). Il y a bien infraction !

En effet, la définition d’un équipage renforcé (OPS1.1095-1.1) est :

« Un équipage de conduite dont le nombre de membres est supérieur au nombre minimal requis pour l’exploitation de l’avion et au sein duquel chaque membre de l’équipage de conduite peut quitter son poste et être remplacé par un autre membre de l’équipage de conduite ayant la qualification appropriée. »

Dans le cas d’AF007, les 2 premiers pilotes de l’équipage sont en AEL (adaptation en ligne) donc en instruction.

(à suivre)

Au cours du vol AF007, voir la note du 9 décembre : « Fatigue : pas de limite pour l’A380 d’Air France », les limitations du temps de travail de l’équipage ont été pulvérisées afin de ne pas bloquer l’A380 d’Air France à New York pour une durée indéterminée.

Deux contrôleurs de la DGAC étaient en charge de ce vol ainsi que ce document le démontre.

Cette affaire est très grave. En effet, dans le contexte post accident AF 447 et les bonnes intentions affichées par les uns et les autres, qui peut croire maintenant que la sécurité des vols est l’objectif N°1 du transport aérien si, la DGAC et Air France se mettent conjointement en infraction en ne respectant pas la réglementation européenne sur le temps de travail des équipages !

On remarque également dans ce document une « curiosité » concernant les horaires du vol reprogrammé pour tenir compte du retour à NY : 1 minute d’escale à NY (03h30/03h31) alors que l’A380 s’est reposé à NY à 03h17 pour repartir à 07h05 après dépannage !!!

(à suivre)

Dans son rapport sur la sécurité aérienne qui vient d’être (enfin…) publié, la DGAC confirme page 65 qu’en 2008 plusieurs (combien ?) événements ont été rapportés sur Airbus A320, A330 et A340 sur des données anémométriques incohérentes, attribuées à l’ingestion d’eau ou de cristaux de glace par les sondes Pitot, que « ces événements ont fait l’objet d’analyses spécifiques par le constructeur de ces avions » et que « suite à l’accident du vol AF447, une revue détaillée est réalisée par le BEA. »

Il faut rappeler que la DGAC traite les incidents en exploitation d’abord par « peignage »  des événements puis en établit la liste à suivre plus précisément pour enfin décider des mesures à prendre.

On savait que la DGAC n’avait pas émis d’information de sécurité ni de consigne opérationnelle à propos du blocage des sondes Pitot, on sait maintenant que cette grande institution chargée de maintenir la sécurité du transport aérien à son plus haut niveau n’a même pas fait l’analyse de ces événements !

Grâce à la DGAC, on connaît aussi maintenant de façon officielle la liste des incidents graves survenus en 2008 à des exploitants français de transport public ayant fait l’objet d’une enquête technique du BEA. Dans cette liste (ci-dessous), il n’y a aucun événement lié aux sondes Pitot !

Il faut rappeler qu’en août 2008, l’équipage d’un A-340 d’Air France en route vers Tananarive avait émis un message de détresse « MAYDAY » suite à un blocage des sondes Pitot dans la région d’Addis-Abeba. Ce n'était sans doute pas suffisant pour que le BEA enquête...