conclusionsaf447 - les dossiers noirs du transport...

1

AF 447

« Le 31 mai 2009, lorsque le vol AF 447 décolle de Rio pour Paris, l’A 330 F-

GZCP n’avait pas un niveau de sécurité acceptable à cause du défaut des

sondes Pitot Thalès AA qui équipaient cet avion. La condition

compromettant la sécurité, « unsafe condition », qui en résultait réduisait la

capacité de l’équipage à gérer des conditions dégradées et a provoqué la

destruction de l’avion et la mort de 228 personnes. »

Evènements significatifs : chronologie

Une « unsafe condition » non corrigée avant l’accident

Liens de causalité entre le défaut les sondes Pitot Thalès AA et l’accident

Les fautes d’Airbus

Les fautes de l’EASA

Les fautes de la DGAC

Les fautes du BEA

Les fautes d’Air France

Fallait-il attendre pour découvrir l’épave ?

Le mensonge et les omissions du BEA

2

Événements significatifs. Chronologie

Note : Les équipements d’un avion doivent fonctionner dans tout son domaine de vol et on admet qu’il peut y avoir des pannes dont la probabilité d’occurrence ne doit pas dépasser un seuil défini par la gravité du risque (minor, major, hazardous, catastrophic). Dans le cas du blocage des sondes Pitot, il ne peut être retenu de probabilité d’occurrence car il ne s’agit pas d’une panne mais d’un défaut. Le constructeur et le régulateur ont l’obligation d’éliminer tous les défauts d’un avion.

Avant le crash

Octobre 1993: certification de l’A330 avec la sonde Pitot Rosemount P/N 0851GR. Airbus et la DGAC font un certain nombre d’impasses :

Impasse 1 : le JAR 25 exige que les équipements d’un avion fonctionnent dans toutes les conditions prévisibles [1309(a)] et recommande l’évaluation de la vulnérabilité des sondes Pitot aux cristaux de glace et le test de leur bon fonctionnement dans ces conditions [ACJ 25.1419.4+. Airbus et la DGAC ont négligé d’établir le bon fonctionnement des sondes Pitot en présence de cristaux de glace lors de la certification de l’A 330.

Impasse 2 : le JAR 25 exige qu’une alarme « BLOCAGE PITOT » soit mise à la disposition des pilotes *1309(c)+. Cette alarme n’existe pas.

Impasse 3 : le JAR 25 exige que l’alarme décrochage fonctionne tant que l’incidence est supérieure à la valeur pour laquelle cette alarme s’est déclenchée *207+. Or, pour l’A 330, le constructeur a prévu que lorsque les mesures de vitesses des trois ADR sont inférieures à 60 kt, les valeurs d’incidence des trois ADR sont invalides et l’alarme de décrochage est alors inopérante.

Note : le JAR 25 exige que la démonstration du décrochage en vol rectiligne et en virage soit effectuée jusqu’au décrochage effectif qui peut être démontré soit par un « nose down pitch » soit par un « severe buffeting » *201+. Airbus s’est limité au buffeting lors des essais en vol. Le décrochage en lui-même n’a pas été exploré, seule l’approche du décrochage l’a donc été.

Décembre 1995 : TFU 34.13.00.005 (annexe 1). Airbus fait le constat de l’insuffisance de la certification concernant les sondes Pitot en présence de cristaux de glace et lance le développement de la sonde Goodrich P/N 0851HL. Ce document atteste que des cas d’incohérence des vitesses mesurées ont eu lieu dans la flotte A340 d’Air France à cette époque.

Août 1996 : Le NTSB fait la recommandation suivante : Revise the icing certification testing regulation to ensure that airplanes are properly tested for all conditions in which they are authorized to operate, or are otherwise shown to be capable of safe flight into such conditions. If safe operations cannot be demonstrated by the manufacturer, operational limitations should be imposed to prohibit flight in such conditions and flight crews should be provided with the means to positively determine when they are in icing conditions that exceed the limits for aircraft certification. (Class II, Priority Action) (A‐96‐56)

Novembre 1996 : certification de la sonde Goodrich P/N 0851HL (rapport BEA n°2)

3

Avril 1998 : certification de la sonde Sextant (Thalès) P/N C16195AA (rapport BEA n°2). Comment la sonde Pitot Sextant (puis Thalès) C16195-AA a t’elle été certifiée par la DGAC compte tenu de l’expérience Rosemount ?

Juin 1998 : Airbus affirme que l’entraînement des pilotes au décrochage n’est pas nécessaire (annexe 74)

Janvier 1999 : Le BFU recommande la modification des normes de certification des sondes Pitot (annexe 13).

Février 2001 : Mise en place de la nouvelle procédure « UNRELIABLE AIRSPEED » AD 2001-069(B) (annexe 65) par la DGAC

Juin 2001 : La FAA impose également cette nouvelle procédure AD 2001-13-13 (annexe 66) en précisant le risque de sortie du domaine de vol et que c’est la réponse à une « unsafe condition »

Août 2001 : La DGAC rend obligatoire le remplacement de la sonde Rosemount par les sondes Goodrich et Thalès AA par l’AD 2001-354(B) (annexe 3).

Juillet 2002 : Dans l’OIT SE 999.0068/02/VHR (annexe 4), Airbus fait le constat des défauts de la sonde Thalès (ex Sextant) P/N C16195AA.

Décembre 2002 : La FAA rend obligatoire le remplacement de la sonde Rosemount par les sondes Goodrich et Thalès AA en précisant le risque de sortie du domaine de vol et qu’il s’agit de la réponse à une « unsafe condition » (annexe 39)

Janvier 2005 : Thalès lance le projet « ADELINE » (annexe 5). Actual air data equipment is composed of a large number of individual probes and pressure sensors. This equipment delivers vital parameters for the safety of the aircraft’s flight such as air speed, angle of attack and altitude. The loss of these data can cause aircraft crashes especially in case of probe icing.

Août 2006 : Airbus fixe la fréquence du nettoyage des sondes toutes les visites de type « C » (annexe 26). Le constructeur Bombardier a eu le même problème sur certaines sondes équipant ses DHC-8. Transports Canada est intervenu de façon énergique par une AD CF-2005-15R1 du 23 juin 2008 pour imposer un nettoyage toutes les 600h de vol, c’est-à-dire tous les 4 mois environ (annexe 27).

Septembre 2007 : L’EASA fait le constat de l’insuffisance de la certification des sondes Pitot (annexe 6)

Septembre 2007 : Dans un Service Bulletin (annexe 9), Airbus recommande le remplacement de la sonde Thalès C16195AA par la sonde Thalès C16195BA

Avril 2008 : Audit de l’EASA par l’OACI en avril 2008 6 à 38 : audit finding : In accordance with Article 15 of the Basic Regulation and paragraphs 4.2.4 and 4.2.5 of the procedures document C.P006-01 entitled the Continuing Airworthiness of Type Design Procedure (CAP), EASA and the National Aviation Authorities (NAAs) of the EASA Member States shall exchange any available safety-related information, including maintenance and operations-related issues, with all Member States and other affected parties, as appropriate. However, EASA has yet to establish the details regarding its reporting system, including the nature of the information to be exchanged and the exchange procedures. Réponse de l’EASA : States were reluctant to provide data into the CER because of fear that the data could be misused. (Annexe 78)

4

Août 2008 : Air France décide le remplacement des sondes AA par les sondes BA »sur panne » par la NT 34-029 (annexe 32)

Septembre 2008 : 2 événements Compagnie ACA (annexe 33). Airbus reconnaît « toute la difficulté rencontrée par l’équipage pour une mise en application rapide et efficace de la procédure UNRELIABLE AIRSPEED et réfléchit à une modification des check-lists » (annexe 33 page 13)

Septembre 2008 : Air France fait part à Airbus de sa grande inquiétude devant les nombreux cas d’incohérence des vitesses mesurées « as flight safety is involved » (annexe 71)

Septembre/Octobre 2008 : les défauts de la sonde Thalès C16195BA, « qui n’a pas été conçue pour répondre aux problèmes de givrage », sont constatés par Airbus et Air France (annexe 10 Info PNT N°5).

Septembre 2008 : La DGAC sollicite l’EASA sur l’opportunité de rendre obligatoire le remplacement des sondes AA par les sondes BA (émission d’une AD) (rapport des experts judiciaires de mars 2011)

Septembre 2008 : l’OCV propose la publication d’une consigne opérationnelle à la DGAC qui refuse (rapport des experts judiciaires de mars 2011)

Novembre 2008 : Air France demande simplement à ses pilotes d’être vigilants (annexe 17) par une note qui ne fait pas référence à la procédure à appliquer et qui ne reflète pas la dangerosité des événements. Certains pilotes ne la voient pas passer (rapport des experts judiciaires de mars 2011)

Février 2009 : L’EASA prend en compte la recommandation A-96-56 du NTSB (annexe 77)

Mars 2009 : Thalès confirme les limites des tests en « wind tunnel » (annexe 70)

Mars 2009 : L’EASA répond à la DGAC que « l’unsafe condition » n’est pas démontrée et qu’il n’est pas nécessaire de rendre le remplacement de la sonde AA obligatoire (rapport des experts judiciaires de mars 2011)

Avril 2009 : Air France décide le remplacement des sondes Pitot AA par les sondes BA et reçoit son premier lot en mai (annexe 72 page 7). 15 événements précurseurs à Air France entre le 10 mai 2008 et le 1er juin 2009 (annexe 72 page 12). 9 ont fait l’objet d’un ASR. Ni le BEA, ni la DGAC n’ont analysé ces ASR (idem pour les ASR ACA) D’une façon générale, aucun des événements liés au défaut des sondes Pitot n’a été analysé par le BEA ou bénéficié d’un suivi par la DGAC (rapport des experts judiciaires de mars 2011)

Note : le BEA et Airbus ont recensé 32 événements liés au défaut des sondes Pitot entre 2003 et 2009. Il faut rajouter tous ceux survenus entre 1993 et le remplacement de la sonde Rosemount (à AFR notamment voir annexe 1) et tous ceux survenus dans la flotte A320. Cela doit faire beaucoup…

Le 1er juin 2009 à 2h10.05, l’équipage du vol AF 447 récupère brutalement son A330 en pilotage manuel. Les sondes Pitot Thalès sont bloquées, les indications de vitesses sont incohérentes, le Pilote Automatique et l’auto-poussée se sont déconnectés, les commandes de vol sont passées en loi ALTERNATE dégradée.

Alors que le contrôle de son avion est réduit, l’équipage doit le maintenir dans un domaine de vol très restreint et faire face à un nombre invraisemblable d’alarmes, dont certaines sont aussi fausses que les vitesses qu’ils ont sous les yeux, dans un laps de temps très court. C’est une charge

5

de travail excessive, une « unsafe condition » confirmée par le fait que les pilotes sont dans l’incompréhension de ce qui se passe (cf. la définition de l’unsafe condition).

L’A 330 décroche et ne peut être récupéré.

Après le crash

4 juin 2009 : Airbus rappelle aux pilotes la procédure à appliquer en cas d’incohérence des vitesses mesurées (annexe 67). C’est celle qu’Airbus reconnaissait être difficile à appliquer en octobre 2008…

9 juin 2009 : L’EASA affirme : « We confirm that the Airbus A330 type and all other Airbus aircraft types are airworthy and safe to operate » (annexe 47)

10 août 2009 : L’EASA et Airbus procèdent en urgence (PAD 09-099 annexe 12) à l’élimination de la sonde Pitot Thalès AA. Pour cela, l’EASA diffuse une consigne de navigabilité (« airworthiness directive » (AD)) utilisée pour, selon la réglementation en vigueur ((EC) No. 1702/2003 paragraphe 21A.3B), remettre l’A 330 à un niveau de sécurité acceptable et éliminer une « unsafe condition » (annexe 59).

31 août 2009 : l’EASA entreprend la modification des normes de certification des sondes Pitot par la diffusion de la NPA 2009‐08 (annexe 50). C’est une « safety priority » (Page 3 paragraphe A.I.5). L’Agence confirme ainsi qu’elle a bien commis une erreur en ne modifiant pas ces normes avant l’accident. Elle avait fait le constat de la nécessité de cette modification en 2007 (annexe 6) après le BFU en 1999 (annexe 13) et Airbus en 1995 (annexe 1)

4 septembre 2009 : Airbus tente d’influencer la FAA pour corriger son AD à venir (annexe 64). La FAA ne donne pas suite (annexe 82)

8 septembre 2009 : La FAA procède en urgence à l’élimination de la sonde Pitot AA par l’AD 2009-18-08 (annexe 49) en précisant que c’est la réponse à une « unsafe condition »

20 octobre 2009 : Les responsables d’Air France prennent tardivement les mesures qu’ils jugent nécessaires (annexe 53) pour pallier le défaut des sondes Pitot

30 novembre 2009 : l’EASA propose avec la NPA 2009.12 (annexe 56), une modification du document CS‐25. Parmi ces modifications, la perte de toutes les informations de vitesses devient un risque catastrophic

30 novembre 2009 : Déclaration de Florence Rousse, Directrice de la sécurité de l’aviation civile sur Europe N°1 le 30 novembre 2009 à propos de la base de données ECCAIRS (échange d’informations de sécurité entre les États européens) : « qu’est-ce qu’on va faire d’une base de données aussi grosse pour qu’on puisse réellement en tirer une utilité. Aujourd’hui, je ne suis pas sûr qu’on le sache vraiment »

17 décembre 2009 : Dans son rapport N°2, le BEA précise que l’incohérence des vitesses mesurées est un risque classé major par l’EASA. Or, à la date de l’accident, le document en vigueur CS25 qui traite de la certification affirme (annexe 55) que la perte des informations primaires de vitesse est un risque dont la probabilité d’occurrence doit être « Extremely Remote ». C'est une probabilité qui classe le risque « hazardous ».

6

17 décembre 2009 : Dans son rapport N°2, le BEA ose affirmer que c’est l’analyse des événements liés au blocage des sondes Pitot réalisée après l’accident qui a montré que les tests destinés à la validation de ces équipements ne paraissaient pas adaptés aux vols à haute altitude. Le BEA veut nous faire croire que les normes de certification des sondes Pitot sont « apparues » obsolètes après l’accident du 1er juin 2009. C’est un mensonge car le BEA ne peut pas ignorer que ce constat avait été fait par Airbus en 1995, par le BFU en 1999 et par l’EASA en 2007

12 mai 2010 : Airbus modifie la procédure de décrochage (annexe 73) et recommande l’entraînement des pilotes dans ce domaine

12 août 2010 : Rapport sur la proposition de règlement du Parlement européen et du Conseil sur les enquêtes et la prévention des accidents et des incidents dans l'aviation civile. Le rapporteur Christine de Veyrac affirme en pages 62 et 63 : 6. Les comptes rendus d'événements dans l'aviation civile : « Or le système des comptes rendus d'événements ne fonctionne pas de façon optimale. En effet, seule une partie des Etats membres alimente le répertoire central ECCAIRS qui doit regrouper tous les événements survenant dans l'Union. De plus, personne n'est chargé d'analyser les données contenues sur ECCAIRS au niveau européen. » (annexe 79)

Janvier 2011 : Dans le N°11 de « The Airbus safety Magazine » (annexe 76), Jacques ROSAY affirme que l’affichage de TOGA en action initiale, ainsi que le voulait la procédure de sortie de décrochage avant sa modification, peut rendre l’A330 irrécupérable

28 juillet 2011 : Dans un « Safety Information Bulletin », l’EASA informe les exploitants que les normes retenues pour la certification des avions en condition de givrage ne prennent pas en compte certains phénomènes comme les cristaux de glace ou les pluies verglaçantes. De façon pratique, cela signifie que les équipements de protection contre le givrage (notamment des sondes Pitot) peuvent ne pas convenir à toutes les conditions qui se présentent. L’EASA recommande que les compagnies aériennes réexaminent les procédures en vigueur et, si nécessaire les modifient ou les mettent au point (annexe 75). Voir la recommandation du NTSB en août 1996.

29 juillet 2011 : le BEA élimine une recommandation sur le décrochage dans son rapport N°3. Il apparaît que le système STALL WARNING de l’A330 ne respecte pas le JAR 25.207(c).

7

Une « UNSAFE CONDITION »

Cette « unsafe condition » générée par le défaut des sondes Pitot Thalès AA nécessitait une

réponse de l’EASA, d’Airbus et des Autorités Nationales de l’Aviation (NAA) avant l’accident du vol

AF 447.

La définition de l’« unsafe condition » est donnée dans l’AMC 21 A 3b (b):

a) Evénement de nature à occasionner des victimes, avec généralement la destruction de l’avion ou de nature à réduire la capacité de l’avion ou de l’équipage à gérer des conditions dégradées qui amènent à :

Une réduction importante des marges de sécurité ou des capacités fonctionnelles ;

Une détresse physique ou charge de travail excessive qui ne permet plus à l’équipage d’assurer ses tâches avec précision ou de les mener à terme ;

La survenue de blessures graves ou mortelles à au moins un occupant de l’avion.

Sauf s’il est démontré que la probabilité de cet événement est dans les limites définies par les normes de certification.

Note : Les équipements d’un avion doivent fonctionner dans tout son domaine de vol et on admet qu’il peut y avoir des pannes dont la probabilité d’occurrence ne doit pas dépasser un seuil défini par la gravité du risque (minor, major, hazardous, catastrophic). Dans le cas du blocage des sondes Pitot, il ne peut être retenu de probabilité d’occurrence car il ne s’agit pas d’une panne mais d’un défaut. Le constructeur et le régulateur ont l’obligation d’éliminer tous les défauts d’un avion.

1. L’évidence de l’UNSAFE CONDITION

10 août 2009 : L’EASA et Airbus procèdent en urgence à l’élimination de la sonde Pitot Thalès AA en diffusant une « airworthiness directive » (AD).

Cette AD a été émise par l’EASA en accord avec le paragraphe 21A.3B du Règlement EC N° 1702/2003 (annexe 59)

8

L’EASA et Airbus avaient donc déterminé qu'une condition compromettant la sécurité (unsafe condition) existait pour l’A330 et qu’il fallait le remettre à un niveau de sécurité acceptable.

9

Note :

Lorsque le constructeur et l’EASA détectent un problème qui n’est pas une « unsafe condition » mais

qui demande une réponse, l’EASA doit publier un SAFETY INFORMATION BULLETIN (SIB).

Extrait du document de l’EASA intitulé « Continuing Airworthiness of Type Design (CAP) » daté de

mars 2008 (annexe 48 page 39) :

Only when design related issues which may lead to unsafe condition are considered likely to exist or develop, issuance of an airworthiness directive is warranted.

Information may be available to EASA related to airworthiness concerns on aircraft under national registers, but for which insufficient evidence exists to qualify this as an ‘unsafe condition’. In such a case, the PCM may elect the publication of an SIB, containing information for the safe operation of the affected aircraft.

Pour faire disparaître la sonde Pitot Thalès AA, l’EASA a publié une AD et non pas un SIB. Il y avait

donc bien une « unsafe condition » qui nécessitait une réponse. L’EASA devait l’éliminer et, pour le

moins, informer les équipages de son existence.

Le 4 septembre 2009, Airbus tentait d’influencer la FAA afin que celle-ci précise dans son AD à venir

que l’élimination de la sonde AA était une mesure de précaution (annexe 64). La FAA ne donnait pas

suite (paragraphe 3 ci-après)

2. Une situation similaire en 2001

Le 8 août 2001, la DGAC avait éliminé la sonde Pitot Rosemount au moyen d’une consigne de

navigabilité en ces termes (annexe 3) :

Des opérateurs ont rapporté des cas de pertes ou de fluctuations d’indications de vitesses avion

dans des conditions météorologiques sévères.

Suite à investigation, la cause de ces anomalies s’avérerait être la présence de cristaux de glaces

et/ou d’eau dans les sondes Pitot de type ROSEMOUNT P/N 0851GR dans des limites supérieures

aux spécifications d’origine.

L’installation sur avion de sondes Pitot nouvellement certifiées et qui répondent à des critères de

qualification plus sévères est rendue impérative.

La DGAC et Airbus avaient donc déterminé en 2001 qu'une condition compromettant la sécurité

(unsafe condition) existait pour l’A330 et qu’il fallait le remettre à un niveau de sécurité acceptable.

Suite aux nombreux ASR transmis par les commandants de bord, notamment en 2008, la situation

suivante était connue des Autorités de certification et de régulation, de contrôle des compagnies

aériennes et du BEA bien avant le 1er juin 2009 :

Cas de pertes ou de fluctuations d’indications de vitesses avion dans des conditions

météorologiques sévères.

10

la cause de ces anomalies étant la présence de cristaux de glaces dans les sondes Pitot de

type THALES AA dans des limites supérieures aux spécifications d’origine.

La situation était donc similaire à celle de 2001.

Pourtant, l’installation sur l’A 330 de sondes Pitot répondant à des critères de qualification plus

sévères n’a pas été rendue impérative, comme en 2001, par l’émission d’une consigne de

navigabilité avant le 1er juin 2009. Cela a été fait après l’accident.

En effet :

En septembre 2008, La DGAC sollicitait l’EASA sur l’opportunité de rendre obligatoire le

remplacement des sondes AA par les sondes BA par l’émission d’une consigne de navigabilité

(rapport des experts judiciaires de mars 2011)

En mars 2009, l’EASA répondait à la DGAC que « l’unsafe condition » n’était pas démontrée et qu’il n’était pas nécessaire de rendre le remplacement de la sonde AA obligatoire (rapport des experts judiciaires de mars 2011). La DGAC décidait de rester solidaire de l’EASA.

3. La confirmation de « l’UNSAFE CONDITION » par la FAA

8 septembre 2009 : La FAA procède en urgence à l’élimination de la sonde Pitot AA par l’AD 2009-18-

08 (annexe 49) en précisant que c’est la réponse à une « unsafe condition » (Dans le document 14

CFR part 39.5, la FAA affirme qu’une « airworthiness directive » n’est publiée qu’en réponse à une

« unsafe condition »)

Page 3 : La FAA présente ainsi le document :

The European Aviation Safety Agency (EASA), which is the Technical Agent for the Member States of

the European Community, has issued a Notification of a Proposal to Issue an Airworthiness Directive

(PAD), PAD 09‐099, dated August 10, 2009 (referred to after this as “the EASA PAD”), to correct an

unsafe condition for certain Airbus Model A330‐200 and ‐300 series airplanes, Model A340‐200 and

‐300 series airplanes, and Model A340‐541 and ‐642 airplanes.

Page 5 : la FAA détermine qu’une « unsafe condition » résulte du défaut des sondes Thalès AA

“/…/ we have reviewed the numerous airspeed anomalies recently reported on Model A330 and A340

airplanes. Based on our review, we have determined that an unsafe condition exists and immediate

airworthiness action for the Model A330 and A340 fleet is warranted.”

Page 7: la FAA considère qu’une « airworthiness directive » (AD) doit être publiée immédiatement et

sans la concertation habituelle

Because an unsafe condition exists that requires the immediate adoption of this AD, we find that

notice and opportunity for prior public comment hereon are impracticable and that good cause exists

for making this amendment effective in less than 30 days.

11

4. L’obligation d’agir de l’ensemble de la communauté de l’aviation civile

a. Éliminer l’unsafe condition

REGULATION (EC) No 216/2008 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 20

February 2008 (annexe 58)

(15) The effective functioning of a Community civil aviation safety scheme in the fields covered by this

Regulation requires strengthened cooperation between the Commission, the Member States and the

Agency to detect unsafe conditions and take remedial measures as appropriate.

b. Informer les pilotes

ANNEX 1. 1.c.4. Information needed for the safe conduct of the flight and information concerning

unsafe conditions must be provided to the crew,

L’EASA, Airbus et la DGAC n’ont fait ni l’un ni l’autre avant l’accident du 1er juin 2009.

Le BEA n’a émis aucune recommandation.

12

Liens de causalité entre les sondes Pitot et l’accident

Un lien de causalité direct (page 13)

Si la causalité indirecte est définie par l’article 121-3 alinéa 4 du Code Pénal, ce n’est pas le cas de la causalité directe. En effet, le lien de causalité direct est généralement retenu dans deux situations : d’une part en cas de contact physique entre la victime et l’auteur du dommage ou l’objet mis en mouvement par celui-ci, d’autre part lorsque la faute de l’auteur constitue le paramètre déterminant dans la réalisation du dommage (jurisprudence constante). La non prise en compte de l’unsafe condition et la non élimination de la sonde Pitot défectueuse constituent le paramètre déterminant dans la réalisation de l’accident.

Un lien de causalité certain (page 13)

En toute hypothèse, un lien de causalité certain doit être établi entre la faute de l’auteur et la réalisation du dommage. La jurisprudence estime en effet que l’accident doit se rattacher de manière certaine, par une relation de cause à effet avec la faute du prévenu. L’accident se rattache de manière certaine, par une relation de cause à effet, avec la non prise en compte de l’unsafe condition et la non élimination de la sonde Pitot défectueuse.

L’indifférence d’un lien de causalité exclusif

Il n’est en revanche pas nécessaire que ce lien de causalité soit exclusif. Ainsi la responsabilité pénale d’une personne peut être engagée alors que sa faute n’est pas la cause exclusive du dommage. Ainsi, même si les pilotes devaient être tenus en partie responsables de l’accident, la responsabilité pénale de l’EASA, d’Airbus, de la DGAC et du BEA peut être retenue. Cependant, un certain nombre d’arguments tendent à dégager les pilotes de toute responsabilité (page 14)

Une violation « manifestement délibérée »

La violation d’une obligation particulière de prudence ou de sécurité prévue par la loi ou le règlement doit pour engager la responsabilité pénale de l’auteur indirect du dommage, être « manifestement délibérée ». Ainsi l’auteur doit avoir violé cette obligation en pleine connaissance de cause. L’EASA, Airbus et la DGAC ont refusé d’éliminer la sonde Pitot défectueuse en mars 2009, de façon manifestement délibérée et donc en pleine connaissance de cause car, en 2001, le défaut de la sonde Rosemount (similaire à celui de la sonde Thalès AA) avait été considéré comme une condition compromettant la sécurité (unsafe condition) et avait nécessité la publication d’une consigne de navigabilité.

La distinction entre les délits non-intentionnels et la mise en danger délibérée d’autrui

La distinction entre les délits non-intentionnels (homicide non-intentionnel ou blessures non-intentionnelles) et la mise en danger délibérée d’autrui dépend de la survenance ou non d’un accident. En cas de dommage subi par les victimes, les poursuites et condamnations ne peuvent intervenir que sur le fondement des délits non-intentionnels. A l’inverse, en l’absence de dommage, les tribunaux retiendront le délit de mise en danger délibérée d’autrui. Il s’agit ici d’homicides non intentionnels

13

Lien de causalité direct et certain entre les sondes Pitot Thalès AA et l’accident

14

Arguments tendant à dégager les pilotes de toute responsabilité

15


Préambule

Extraits du rapport d’étape n°2 du BEA :

1.17.6.4.1 Obligations du constructeur, titulaire d’un certificat de type

L’Article 21 A.3 de la partie 21 [JAR 21] stipule que :

1) Le titulaire d’un certificat de type doit posséder un système pour recueillir, examiner et analyser les rapports et informations relatifs aux pannes, mauvais fonctionnements, défauts ou tout autre événement qui a ou qui est susceptible d’avoir des effets préjudiciables sur le maintien de la navigabilité du produit couvert par le certificat de type.

2) Le titulaire d’un certificat de type doit rendre compte à l’AESA de toute panne, mauvais fonctionnement, défaut ou autre problème pour lequel il est au courant et qui a abouti ou qui peut aboutir à des conditions pouvant compromettre la sécurité (les « unsafe conditions »). Ces comptes-rendus doivent parvenir à l’AESA sous 72 heures après l’identification de la condition de non sécurité.

3) Pour toute déficience qui pourrait révéler une situation dangereuse ou catastrophique, le constructeur doit rechercher la cause de la déficience, rendre compte à l’AESA des résultats de ses recherches et informer celle-ci de toute action qu’il entreprend ou propose d’entreprendre afin de remédier à cette déficience.

Les impasses lors de la certification de l’A 330 (1993)

Impasse 1 : le JAR 25 (document de référence pour la certification de l’A 330) exige que les équipements d’un avion fonctionnent dans toutes les conditions prévisibles *1309(a)+ et recommande l’évaluation de la vulnérabilité des sondes Pitot aux cristaux de glace et le test de leur bon fonctionnement dans ces conditions [ACJ 25.1419.4]. Airbus et la DGAC (alors en charge de la certification, remplacée par l’EASA en 2003) ont négligé d’établir le bon fonctionnement des sondes Pitot en présence de cristaux de glace lors de la certification de l’A 330.



Note : le JAR 25 exige que la démonstration du décrochage en vol rectiligne et en virage soit effectuée jusqu’au décrochage effectif qui peut être démontré soit par un « nose down pitch » soit par un « severe buffeting » [201]. Airbus s’est limité au buffeting lors des essais en vol.

16

Faits avérés lors de l’accident :

présence de cristaux de glace au niveau de vol de l’A330 dans la ZCIT

incohérence des vitesses mesurées due au blocage des 3 sondes Pitot Thalès AA

« unsafe condition » (voir le document « AF447. UNSAFE CONDITION »)

sortie du domaine de vol de l’A330


Décembre 1995 : TFU 34.13.00.005 (annexe 1). Airbus fait le constat de l’insuffisance de la

certification des sondes Pitot. Les cristaux de glace obstruent les sondes ce qui provoque une

dégradation sévère du calcul des paramètres de vol. C’est un défaut des sondes Pitot. Selon la

réglementation en vigueur le jour de l’accident diffusée au JO de l’UE, Airbus avait l’obligation de

corriger ce défaut. Airbus ne l’a pas fait. Airbus a donc commis une faute.

Les sondes Pitot ne fonctionnent pas dans une partie du domaine de vol de l’A330 : en présence de cristaux de glace. Ce défaut a créé une « unsafe condition »

17

2.a.5. In case of flight into known or expected icing conditions,

the aircraft must be certified, equipped and/or treated to

operate safely in such conditions.

Au lieu d’éliminer ce défaut, Airbus décide de demander aux pilotes d’assurer la responsabilité de ce

défaut par l’application d’une procédure.

Février 2001 : AD 2001-069(B) (annexe 65). Suite à la modification de l’Aircraft Flight Manual de

l’A330 par Airbus, la DGAC impose une nouvelle procédure aux pilotes intitulée « Unreliable airspeed

conditions » en cas de perte ou d’incohérence des vitesses mesurées.

Juin 2001 : AD 2001-13-13 (annexe 66). La FAA reprend l’AD de la DGAC mais en précisant que cette

initiative est la réponse à une « unsafe condition » qui peut entraîner l’A330 en dehors de son

domaine de vol.

The DGAC advises that operators have reported several cases of sudden

fluctuation of airspeed indications (including calibrated airspeed, true airspeed,

and Mach) in cruise during severe icing conditions. Lost or erroneous airspeed

indications could result in lack of sufficient information for the flight crew to

safely operate the airplane, and consequent inadvertent excursions outside the

normal flight envelope.

/…/

Since an unsafe condition has been identified that is likely to exist or develop on

other airplanes of the same type design registered in the United States, this AD is

being issued to prevent inadvertent excursions outside the normal flight envelope

due to insufficient information for the flight crew to safely operate the airplane.

La réglementation en vigueur au moment de l’accident n’autorise pas un constructeur à pallier un

défaut par l’application d’une procédure. De plus, cette procédure va s’avérer d’une application

difficile lors de 2 événements précurseurs de l’accident du vol AF 447. Airbus va l’admettre… 8 mois

avant le crash du 1er juin 2009, mais ne va rien modifier :

A la fin du mois d’août et au début du mois de septembre 2008, deux A330 de la compagnie Air

Caraïbes Atlantique (ACA) rencontrent des conditions de givrage sévère en croisière qui provoquent

le blocage des sondes Pitot Thalès AA et l’incohérence des vitesses mesurées.

Au cours du mois d’octobre suivant, la Direction d’ACA prend l’initiative d’une réunion dans les

locaux de la société Airbus à Toulouse. Selon le rapport de l’Officier de Sécurité des vols (annexe 33),

les ingénieurs d’Airbus ont bien compris lors de cette réunion « toute la difficulté rencontrée par

Les sondes Pitot Thalès AA de l’A330 ne fonctionnent pas dans les conditions de givrage rencontrées lors de la traversée de la ZCIT

18

l’équipage pour une mise en application rapide et efficace de la procédure UNRELIABLE SPEED

INDICATION et « réfléchissent donc à une modification des check-lists ».

Cette procédure mise à la disposition des pilotes pour pallier le défaut des sondes Pitot et « l’unsafe

condition » qui en résultait était donc non seulement inopportune mais aussi inefficace.

Mais après l’accident du vol AF 447, cela n’a pas empêché Airbus de rappeler aux pilotes les

procédures à appliquer en cas d’incohérence des vitesses mesurées (Accident Information Telex du 4

juin 2009 en annexe 67)

19

Les fautes de l’EASA

Les normes de certification des sondes Pitot obsolètes et le défaut de la sonde Pitot Thalès

AA ont créé une « unsafe condition » que l’EASA n’a ni détectée ni corrigée avant l’accident.

L’EASA a laissé le soin d’assurer la responsabilité de cette « unsafe condition » aux pilotes en

leur demandant d’appliquer une check‐list alors que, selon sa définition, une « unsafe

condition » peut entraîner l’équipage dans une détresse physique ou charge de travail

excessive qui ne lui permet plus d’assurer ses tâches avec précision ou de les mener à terme.

Avant l’accident, l’EASA avait l’obligation :

1. de détecter et d’éliminer cette « unsafe condition »

2. de modifier les normes de certification des sondes Pitot

3. de réagir sans délais pour résoudre les problèmes liés à la sécurité des

vols

4. de veiller à ce qu’aucun équipement ne présente un risque « hazardous »

dans sa conception

5. de veiller à ce que tous les équipements de l’A 330 fonctionnent dans la

totalité de son domaine de vol

6. de prévenir les équipages de l’existence de toute « unsafe condition »

potentielle

7. d’informer les équipages de la nécessité d’éviter les zones à risque

(présence de cristaux de glace)

8. de prendre en compte toutes les circonstances liées à l’environnement

afin qu’aucune « unsafe condition » n’en résulte

(9) Après l’accident d’AF 447, l’EASA a émis une « airworthiness directive » pour faire

disparaître la sonde Pitot Thalès AA défectueuse. Il y avait donc bien une « unsafe

condition » qui nécessitait une réponse avant l’accident.

20

REGULATION (EC) No 216/2008 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL (20/02/2008). (annexe 58)

Article 19

Article 20

1-L’utilisation d’une sonde Pitot défectueuse a créé une « unsafe condition » que l’EASA n’a ni détectée ni éliminée avant l’accident.

2-L’analyse des événements précurseurs devait conduire l’EASA à modifier les normes de certification des sondes Pitot avant l’accident.

3-L’EASA a fait preuve d’une grande passivité contrairement à ses obligations.

21

Article 52

1. Product integrity: product integrity must be assured for all anticipated flight conditions for

the operational life of the aircraft. Compliance with all requirements must be shown by assessment or analysis, supported, where necessary, by tests.

1.c. Systems and equipment 1.c.1. The aircraft must not have design features or details that experience has shown to be hazardous. 1.c.2. The aircraft, including those systems, equipment and appliances required for type-certification, or by operating rules, must function as intended under any foreseeable operating conditions, throughout, and sufficiently beyond, the operational envelope of the aircraft, taking due account of the

system, equipment or appliance operating environment. 1.c.4. Information needed for the safe conduct of the flight and information concerning unsafe conditions must be provided to the crew, or maintenance personnel, as appropriate, in a clear, consistent and unambiguous manner. Systems, equipment and controls, including signs and announcements must be designed and located to minimize errors which could contribute to the creation of hazards. 2. Airworthiness aspects of product operation

2.a. The following must be shown to have been addressed to ensure a satisfactory level of safety for those onboard or on the ground during the operation of the product: 2.b. The operating limitations and other information necessary for safe operation must be made available to the crew members. 2.c. Product operations must be protected from hazards resulting from adverse external and internal

conditions, including environmental conditions. 2.c.1. In particular, no unsafe condition must occur from exposure to phenomena such as, but not limited to, adverse weather, lightning, bird strike, high frequency radiated fields, ozone, etc., reasonably expected to occur during product operation.

3-L’EASA a fait preuve d’une grande passivité contrairement à ses obligations.

4-A la date de l’accident, la perte des informations de vitesses primaire et secours est un risque « hazardous » dans le CS25.

6-L’équipage du vol AF 447 n’avait pas été prévenu de l’existence d’une « unsafe condition »

5-Les sondes Pitot ne fonctionnent pas dans une partie du domaine de vol de l’A 330, en présence de cristaux de glace

7-L’EASA n’avait donné aucune consigne aux équipages pour éviter les zones à risque (cristaux de glace)

8-Les sondes Pitot Thalès AA ne fonctionnent pas en présence de cristaux de glace. Ce défaut a créé une « unsafe condition »

22

JO de l’Union Européenne du 27/0999/2003 (annexe 59 page 18)

21A.3B Airworthiness directives

(b) The Agency shall issue an airworthiness directive when:

1. an unsafe condition has been determined by the Agency to exist in an aircraft, as a result of a deficiency in the aircraft, or an engine, propeller, part or appliance installed on this aircraft; and

2. that condition is likely to exist or develop in other aircraft.

9-Après l’accident d’AF 447, l’EASA a émis une « airworthiness directive » pour faire disparaître la sonde Pitot Thalès AA défectueuse. Il y avait donc bien une « unsafe condition » qui nécessitait une réponse avant l’accident.

23

Les fautes de la DGAC

L’existence d‘une « unsafe condition » relative au défaut des sondes Pitot Thalès AA est avérée (voir le document « AF 447. UNSAFE CONDITION »)

L’obligation d’agir de l’ensemble de la communauté de l’aviation civile

c. Éliminer l’unsafe condition

REGULATION (EC) No 216/2008 OF THE EUROPEAN PARLIAMENT AND OF

THE COUNCIL of 20 February 2008 (annexe 58)

(15) The effective functioning of a Community civil aviation safety scheme in

the fields covered by this Regulation requires strengthened cooperation

between the Commission, the Member States and the Agency to detect unsafe

conditions and take remedial measures as appropriate.

d. Informer les pilotes

ANNEX 1. 1.c.4. Information needed for the safe conduct of the flight and

information concerning unsafe conditions must be provided to the crew,

La DGAC était en charge de la certification et du suivi de la navigabilité jusqu’en 2003, puis

l’EASA a pris le relais. Dès la confirmation du défaut de la sonde Pitot Thalès AA en 1999,

dont elle avait assuré la certification, la DGAC devait l’éliminer ou diffuser une consigne

opérationnelle du genre : « Les avions équipés de sondes Pitot Thalès AA doivent éviter les

cristaux de glace et les fortes pluies ».

24

Septembre 2008 : l’OCV propose la publication d’une consigne opérationnelle à la DGAC qui

refuse (rapport des experts judiciaires de mars 2011)

Le 17 septembre 2008, la DGAC transmet à l’AESA une lettre du directeur de la compagnie

Air Caraïbes concernant deux événements de perte d’indications de vitesse survenus sur

deux A330 de la compagnie. Ce dernier précise notamment qu’il a pris la décision de

changer, sur l’ensemble de sa flotte A330, les sondes Pitot C16195AA par le standard

C16195BA conformément au BS A330-34-3206, et demande la position de la DGAC vis-à-vis

de ce type d’incident. La DGAC transmet ce courrier à l’AESA en lui demandant si elle prévoit

de rendre obligatoire le bulletin de service BS A330-34-3206 par l’émission d’une consigne

de navigabilité.

L’EASA répond à la DGAC le 30 mars 2009 que « l’unsafe condition » n’est pas démontrée et

qu’il n’est pas nécessaire de rendre le remplacement de la sonde AA obligatoire (rapport des

experts judiciaires de mars 2011)

La DGAC décide de rester « solidaire » de l’EASA.

Rappel : La DGAC recueille tous les incidents d’exploitation dans la base de données ECCAIRS

(annexe 20 slide 14), traite ces incidents d’abord par « peignage » des événements puis en

établit la liste à suivre plus précisément pour enfin décider des mesures à prendre.

Aucun des événements liés au défaut des sondes Pitot n’a bénéficié d’un suivi par la DGAC (rapport des experts judiciaires de mars 2011)

25

Les impasses de la DGAC lors de la certification de l’A 330 (1993)

Impasse 1 : le JAR 25 (document de référence pour la certification de l’A 330) exige que les équipements d’un avion fonctionnent dans toutes les conditions prévisibles *1309(a)+ et recommande l’évaluation de la vulnérabilité des sondes Pitot aux cristaux de glace et le test de leur bon fonctionnement dans ces conditions [ACJ 25.1419.4]. Airbus et la DGAC (alors en charge de la certification, remplacée par l’EASA en 2003) ont négligé d’établir le bon fonctionnement des sondes Pitot en présence de cristaux de glace lors de la certification de l’A 330.



Note : le JAR 25 exige que la démonstration du décrochage en vol rectiligne et en virage soit effectuée jusqu’au décrochage effectif qui peut être démontré soit par un « nose down pitch » soit par un « severe buffeting » [201]. Airbus s’est limité au buffeting lors des essais en vol.

(justification page suivante)

27

Les fautes du BEA

28

Pannes multiples consécutives au blocage des sondes Pitot

(rapport d’étape N°3 du BEA) auxquelles il faut ajouter l’incohérence des vitesses présentées aux pilotes et les fausses alarmes de décrochage

29

Procédures associées aux pannes (rapport d’étape n°2 du BEA)

30

Ces pannes multiples gênent fortement la conduite de l’A 330

Le rapport émis par la compagnie ACA (annexe 37) dans lequel l’OSV fait état d’un contexte « extrêmement chargé » et l’ASR rédigé par le CDB du vol AF 908 (annexe 38) au cours duquel l’équipage a lancé un message de détresse confirment bien, si besoin, l’existence d’une « unsafe condition » lorsque les sondes Pitot sont bloquées.

Le BEA a ignoré tous les incidents graves précurseurs.

Le BEA et Airbus ont recensé 32 événements liés au défaut des sondes Pitot entre 2003 et 2009 (rapport d’étape n°2 du BEA). Il faut rajouter tous ceux survenus entre 1993 et le remplacement de la sonde Rosemount (à AFR notamment voir annexe 1) et tous ceux survenus dans la flotte A320.

Aucun des événements liés au défaut des sondes Pitot n’a été analysé par le BEA (rapport des experts judiciaires de mars 2011)

31

Les fautes d’Air France

Le 24 septembre 2008, dans un message adressé à Airbus, Air France faisait part de sa « grande inquiétude » à propos des nombreux cas d’incohérence des vitesses mesurées par les sondes Pitot Thalès AA en ces termes :

« The occurence [sic] of these numerous cases in these last 4 months is a big concern for AFR as the flight safety is involved. »

Mais les responsables de la compagnie Air France ont été incapables de résoudre un grave problème lié à la sécurité des vols, les décisions prises par ces responsables n’étant pas adaptées à la gravité constatée.

En novembre 2008, Air France avait enregistré 6 incidents graves précurseurs (A330/340). Il y en aura 15. Air France s’est contentée à cette époque de demander à ses équipages d’être « vigilants » et de demander à ses mécaniciens de remplacer les sondes Pitot Thalès AA par les sondes Thalès BA « sur panne ».

Compte tenu de cette « grande inquiétude » devant les événements liés au défaut des sondes Pitot et l’absence de solution technique de la part du constructeur, les responsables d’Air France devaient engager les équipages et les services dédiés à la préparation et au suivi des vols à la plus extrême prudence : évitement des zones potentiellement dangereuses par la présence de cristaux de glace notamment lors de la traversée de la Zone de Convergence Intertropicale, choix de routes alternatives plus favorables (UN 741 pour AF 447 par exemple).

En réalité, Air France a commencé à s’interroger… après le crash ! En effet, dans une lettre adressée au Personnel Navigant Technique le 20 octobre 2009 (annexe 53 du rapport SPAF), le Directeur des opérations aériennes et le Directeur de la sécurité annonçaient toutes les décisions prises en précisant en préambule : Nous avons choisi de renforcer nos défenses sur l’ensemble des éléments sur lesquels nous nous sommes interrogés à la suite de l’accident de l’AF 447.

33

Fallait-il attendre pour découvrir l’épave ?

Grâce à ses calculateurs et aux protections qu’ils élaborent, un Airbus de nouvelle génération (Fly-BY-Wire) ne « décroche » pas en loi de commande de vol normale. C’est un argument commercial majeur pour le constructeur qui estime que l’entraînement des pilotes n’est pas nécessaire dans ce domaine (Pierre BAUD, vice-président d’Airbus Industrie, 1998).

En cas de décrochage, pas d’action à effectuer de mémoire. L’équipage technique d’un Airbus doit se référer à une procédure complémentaire décrite dans un document situé dans un coffre à couvercle ouvrant à proximité des pilotes. Cette procédure impose d’appliquer la poussée maximum (TOGA) et de réduire simultanément l’assiette longitudinale.

Cela fait des années (depuis 1998) que la communauté aéronautique sait que cette procédure est dangereuse1. La poussée des réacteurs situés sous les ailes peut, en certaines circonstances, générer un couple à cabrer très important difficile à contrer. Il faut la modifier et entraîner les pilotes à l’appliquer. En 1999, William Wainwright, Chief Test Pilot Airbus Industrie, réaffirme pourtant : « There is no need for this type of continuation training [upset recovery] on protected fly-by-wire aircraft ».

27 novembre 2008 : un A 320 se crashe près de Perpignan provoquant la mort de 7 personnes. Lors de la vérification du fonctionnement des protections en incidence, l’alarme décrochage se déclenche, le commandant de bord applique la procédure en vigueur en augmentant la poussée des réacteurs (TOGA). Il s’en suit un couple à cabrer très important que le pilote ne peut contrer. L’A 320 décroche et percute la mer. Conclusion : cette procédure est mauvaise, il faut la changer.

6 mois plus tard, un autre avion de type Airbus Fly-By-Wire décroche et percute l’océan…

1er juin 2009 : le vol AF 447 se crashe au milieu de l’Atlantique provoquant la mort de 228 personnes. Dans son rapport d’étape n°1, le BEA affirme dans les « faits établis » que l’A 330 « paraît avoir heurté la surface de l’eau en ligne de vol, avec une forte accélération verticale. » Dans son rapport d’étape n°2, le BEA confirme que : « l’avion a heurté la surface de l’eau avec une assiette positive, une faible inclinaison et avec une vitesse verticale importante. »

1 travaux du « Working Group » mis en place par la FAA en 1996 sur une recommandation du NTSB

34

Dans son « point sur l’enquête » du 27 mai 2011, le BEA précise que les dernières valeurs enregistrées par le FDR sont « une assiette de 16,2 degrés à cabrer, un roulis de 5,3 degrés à gauche et une vitesse verticale de - 10 912 ft/min. »

La similitude entre les déductions du BEA après le crash et les éléments du FDR publiés en mai 2011 incite à penser que le BEA et Airbus ont très rapidement su, comme la plupart des observateurs attentifs, que l’A 330 F-GZCP avait décroché quelques secondes après le passage de la dernière position connue (LKP). Le BEA ne prendra la décision de rechercher l’épave à proximité du LKP… qu’au début de 2011.

Pourquoi ?

Fallait-il attendre ?

La réponse est, peut-être, dans la chronologie des faits reliant recherches de l’épave et décrochage.

12 mai 2010 : Airbus diffuse le FOT modifiant la procédure de décrochage. La nouvelle procédure est en opposition totale avec la précédente : les pilotes doivent appliquer un ordre à piquer sur les commandes de vol puis, après la sortie du décrochage, augmenter la poussée des réacteurs souplement comme nécessaire. De plus, cette procédure doit désormais être effectuée de mémoire par les pilotes et ceux-ci doivent être entrainés à cette manœuvre d’urgence lors des séances de simulateurs régulières. La phase 3 des recherches de l’épave du vol AF 447 se termine.

16 septembre 2010 : le BEA publie le rapport final de l’accident de Perpignan : il recommande la modification de la procédure de décrochage.

Fin octobre 2010 : le gouvernement prend la décision d’une quatrième phase de recherche. Celle-ci débute le 24 mars 2011. L’épave du vol AF 447 est découverte 6 jours après à proximité du LKP. Les enregistreurs aussi. L’information fait le tour de la planète : l’A330 a décroché.

Alors, afin que la modification de la procédure de décrochage ne soit attribuée qu’au seul crash de Perpignan, fallait-il que l’épave et les enregistreurs du vol AF 447 ne soient découverts qu’APRÈS la publication de la nouvelle procédure ?

Rien ne permet de l’affirmer mais le doute est permis.

35

Le mensonge et les omissions du BEA

Le mensonge :

Dans son rapport d’étape n°2 le BEA a osé affirmer que c’est l’analyse des événements liés au blocage des sondes Pitot réalisée après l’accident qui a montré que les tests destinés à la validation de ces équipements ne paraissaient pas adaptés aux vols à haute altitude.

Dans son communiqué du 4 février 2001, le BEA persiste en affirmant dans la partie « Le point sur l’enquête » qu’il est apparu que les normes de certification des avions ne couvraient pas l'ensemble des conditions pouvant être rencontrées dans les nuages à haute altitude. »

Le BEA cherche à nous faire croire que les normes de certification des sondes Pitot sont « apparues » obsolètes après l’accident du 1er juin 2009.

C’est un mensonge car le BEA ne peut pas ignorer que ce constat avait été fait

par Airbus en 1995

par le BFU en 1999

par l’EASA en 2007

Les omissions :

Dans ses rapports le BEA fait obstruction à la vérité en omettant de dire

Que les sondes Pitot Thalès AA avaient un défaut, elles ne fonctionnaient pas dans une partie du domaine de vol de l’A 330

Qu’Airbus et l’EASA avaient l’obligation de corriger ce défaut

Qu’au lieu d’éliminer ce défaut, Airbus avait décidé de demander aux pilotes d’en assurer la responsabilité par l’application d’une procédure.

36

Que le blocage des sondes Pitot est une « unsafe condition » qui peut occasionner des victimes avec généralement la destruction de l’avion

Que cette « unsafe condition » peut amener les pilotes à une charge de travail excessive qui ne leur permet plus d’assurer leurs tâches avec précision ou de les mener à terme.

Qu’à cause de cette « unsafe condition », l’A330 n’avait pas un niveau de sécurité acceptable.

Que pour remettre l’A330 à un niveau de sécurité acceptable, Airbus et l’EASA ont imposé l’élimination de la sonde Pitot Thalès AA en publiant une « Airworthiness Directive » après l’accident

Que la perte ou incohérence des vitesses mesurées peut entraîner un avion en dehors de son domaine de vol

Que ce constat a été fait en 2001 par la DGAC et la FAA

Qu’en décembre 1995, Airbus avait fait le constat de l’insuffisance de la certification concernant les sondes Pitot

Qu’en septembre 2007, l’EASA avait fait le constat de l’insuffisance de la certification des sondes Pitot

Qu’en septembre 2007, l’EASA avait fait le constat de l’absence dans le poste de pilotage d’une alarme spécifique « blocage Pitot »

Qu’en janvier 1999, le BFU allemand avait recommandé la modification des normes de certification des sondes Pitot

Qu’en septembre 2008 Airbus avait reconnu toute la difficulté rencontrée par un équipage de la compagnie ACA pour une mise en application rapide et efficace de la procédure UNRELIABLE AIRSPEED et qu’Airbus s’était engagé à réfléchir à une modification des check-lists

Que la DGAC n’a jamais publié de consigne opérationnelle ou d’info de sécurité concernant le blocage des sondes Pitot

Que l’UN 741 offrait à AF 447 un passage à travers la Zone de Convergence Intertropicale (ZCIT) plus dégagé que l’UN 873

Que depuis de nombreuses années, on savait que des fluctuations ou pertes d’indications de vitesses liées aux sondes Pitot pouvaient entraîner l’A330 en dehors de son domaine de vol lors de la traversée de zones affectées de conditions météorologiques telles que celles rencontrées dans la ZCIT.

Qu’en conséquence Air France aurait dû donner des consignes à son CCO pour une surveillance accrue des vols lors du passage de la ZCIT

37

Qu’aucune information, qui aurait pu entraîner une modification du plan de vol par l’équipage, n'a été envoyée à AF 447 par le CCO

HMC. mars 2012

conclusionsaf447 - les dossiers noirs du transport...

Documents