Rapport sur BEA sur le vol AF 447

Dans son rapport final sur l’accident de l’A330 d’Air France, vol AF447, entre Rio et Paris le 1er juin 2009, le Bureau d’enquêtes et d’analyses avance une série de causes. Extrait du rapport final du BEA publié le 5 juillet 2012. L’obturation des sondes Pitot par cristaux de glace en croisière était un phénomène connu mais mal maîtrisé par la communauté aéronautique à l’époque de l’accident. D’un point de vue opérationnel, la perte totale des informations anémométriques qui en résulte était une défaillance répertoriée dans le modèle de sécurité. Après des réactions initiales relevant du « basic airmanship », elle était censée être diagnostiquée par les pilotes et gérée si besoin par des mesures conservatoires sur l’assiette et la poussée indiquées dans la procédure associée. La survenue de la panne dans le contexte du vol en croisière a totalement surpris les pilotes du vol AF 447. Les apparentes difficultés de pilotage à haute altitude dans la turbulence ont entraîné un sur-pilotage en roulis et une brusque action à cabrer de la part du PF. La déstabilisation résultante de la trajectoire ascendante et l’évolution de l’assiette et de la vitesse verticale se sont dès lors ajoutées aux indications de vitesse erronées et à des messages ECAM n’aidant pas au diagnostic. L’équipage, progressivement déstructuré, n’a vraisemblablement jamais compris qu’il était confronté à une « simple » perte des trois sources anémométriques. Dans la minute suivant la déconnexion du pilote automatique, l’échec des tentatives de compréhension de la situation et la déstructuration de la coopération de l’équipage se nourrissent l’un l’autre jusqu’à la perte totale du contrôle cognitif de la situation. Les hypothèses comportementales sous-jacentes au classement comme « majeure » de la perte des informations anémométriques ne sont pas vérifiées dans le contexte de l’accident. La confirmation de ce classement suppose donc un travail complémentaire de retour d’expérience opérationnel permettant de faire évoluer si besoin la formation des équipages, l’ergonomie des informations qui leur sont présentées et la conception des procédures. L’avion est entré dans un décrochage prononcé, annoncé par l’alarme de décrochage et un fort buffet. Malgré ces symptômes persistants, l’équipage n’a jamais compris qu’il décrochait et en conséquence jamais appliqué de manœuvre de récupération. L’association de la réalisation ergonomique de l’alarme, des conditions dans lesquelles les pilotes de ligne sont formés et exposés au décrochage dans leur apprentissage professionnel, et du processus de maintien des compétences, ne génère pas les comportements attendus avec une fiabilité acceptable. Dans son état actuel, la reconnaissance de l’alarme de décrochage, même associée au buffet, suppose que l’équipage attribue à l’alarme une « légitimité » minimum. Ceci suppose à son tour une expérience préalable suffisante du décrochage, un minimum de disponibilité cognitive et de compréhension de la situation, et de connaissance de l’avion (et de ses modes de protection) et de sa physique du vol. L’examen de la formation actuelle des pilotes de ligne ne permet pas de trouver en général une trace convaincante de la construction et du maintien des compétences associées. Plus généralement, le double échec des réponses procédurales prévues montre les limites du modèle de sécurité actuel. Lorsqu’une action de l’équipage est attendue, il est toujours supposé qu’il aura une capacité de maîtrise initiale de la trajectoire et de diagnostic rapide permettant d’identifier la bonne entrée dans le dictionnaire de procédures. Un équipage peut être confronté à une situation imprévue entraînant une perte momentanée mais profonde de compréhension. Si, dans ce cas, les capacités supposées de maîtrise initiale puis de diagnostic sont perdues, alors le modèle de sécurité se retrouve en « défaut de mode commun ». Lors de cet événement, l’incapacité à maîtriser initialement la trajectoire a aussi rendu impossible la compréhension de la situation et l’accès à la solution prévue. Ainsi, l’accident résulte de la succession des événements suivants : * l’incohérence temporaire entre les vitesses mesurées, vraisemblablement à la suite de l’obstruction des sondes Pitot par des cristaux de glace ayant entraîné notamment la déconnexion du pilote automatique et le passage en loi alternate ; * les actions inappropriées sur les commandes déstabilisant la trajectoire ; * l’absence de lien, de la part de l’équipage, entre la perte des vitesses annoncée et la procédure adaptée ; * l’identification tardive par le PNF de l’écart de trajectoire et la correction insuffisante par le PF ; * la non-identification par l’équipage de l’approche du décrochage, l’absence de réaction immédiate et la sortie du domaine de vol ; * l’absence de diagnostic de la part de l’équipage de la situation de décrochage et en conséquence l’absence d’actions permettant de la récupérer. Ces événements peuvent trouver leurs explications dans la combinaison des facteurs suivants : * les mécanismes de retour d’expérience de l’ensemble des acteurs qui n’ont pas permis : - de détecter la non-application récurrente de la procédure relative aux pertes d’informations de vitesses et d’y remédier, - de s’assurer que le modèle de risque des équipages en croisière comprenait le givrage des sondes Pitot et ses conséquences ; * l’absence d’entraînement, à haute altitude, au pilotage manuel et à la procédure « vol avec IAS douteuse » ; * un travail en équipage affaibli par : - l’incompréhension de la situation à la déconnexion du PA, - une mauvaise gestion de l’effet de surprise qui a engendré une charge émotionnelle élevée pour les deux copilotes ; * l’absence d’indication claire dans le poste de pilotage de l’incohérence des vitesses identifiée par les calculateurs ; * la non-prise en compte de l’alarme de décrochage par l’équipage pouvant être la conséquence : - de l’absence d’identification de l’alarme sonore, en conséquence de la faible exposition en formation au phénomène de décrochage, à l’alarme STALL et au buffet, - de l’apparition au début de l’événement d’alarmes furtives pouvant être considérées comme non pertinentes, - de l’absence d’information visuelle permettant de confirmer l’approche du décrochage après la perte des vitesses caractéristiques, - de la confusion possible avec une situation de survitesse dont le buffet est également considéré comme un symptôme, - des indications des directeurs de vol pouvant conforter l’équipage dans ses actions, bien qu’inappropriées, - de la difficulté à reconnaître et comprendre les implications d’une reconfiguration en loi alternate sans aucune protection en incidence. AF447 - Rapport final du BEA. Pages 205, 206 et 207 Source : Rédaction de http://www.aerobuzz.fr/