Le 1er juin 2009, le vol Air France 447 disparaît au-dessus de l'Atlantique, en route de Rio de Janeiro vers Paris. Les 228 personnes à bord de l'Airbus A330 périssent. Pendant deux ans, personne ne peut dire pourquoi : l'épave et les enregistreurs reposent sous près de quatre kilomètres d'eau. Lorsqu'ils sont enfin récupérés en mai 2011, ils révèlent un enchaînement qui a depuis transformé la formation des pilotes.
Le déclencheur : trois tubes givrés
L'appareil pénètre une zone orageuse près de l'équateur. Des cristaux de glace obstruent les tubes de Pitot — de petites sondes orientées vers l'avant qui mesurent la vitesse par la pression dynamique. Face à des données de vitesse incohérentes, les calculateurs font ce pour quoi ils sont conçus : ils déconnectent le pilote automatique et rendent les commandes à l'équipage, en passant à une loi de pilotage aux protections réduites.
Ce problème était connu sur ce modèle de sonde, et un programme de remplacement était déjà engagé. En soi, il était survivable : d'autres équipages avaient connu le même givrage et poursuivi leur vol. Le givrage des Pitot n'a pas fait tomber l'AF447. Il a amorcé l'enchaînement.
Ce qui a suivi
Le pilote en fonction tire sur le mini-manche et met l'appareil en montée. L'avion monte, perd de la vitesse et entre en décrochage aérodynamique. L'alarme de décrochage retentit. Point décisif : l'ordre à cabrer est maintenu pendant l'essentiel de la descente, et l'appareil tombe de l'altitude de croisière jusqu'à l'océan en environ trois minutes et demie, décroché sur tout le trajet.
Les enregistreurs montrent que l'équipage n'a jamais diagnostiqué le décrochage. Les données révèlent un détail cruel : lorsque la vitesse tombe sous le seuil que le système considère valide, l'alarme de décrochage s'arrête — de sorte que lorsque le pilote pousse un moment sur le manche, l'alarme revient brièvement. L'action correcte semblait aggraver la situation.
Les conclusions de l'enquête
Le rapport final du BEA, en 2012, identifie une chaîne plutôt qu'une cause unique : l'obstruction des Pitot, la perte d'automatisation, une action inadaptée aux commandes, la non-reconnaissance du décrochage, et une rupture de coordination où aucun des deux pilotes n'a établi qui pilotait. Le commandant, en pause au moment des faits, revient au poste mais ne reprend jamais les commandes.
Pourquoi cela a changé l'industrie
L'AF447 met au jour un problème que l'industrie tardait à nommer : les avions très automatisés sont extrêmement sûrs, et c'est précisément pour cette raison que les pilotes ont peu d'occasions de les piloter manuellement en altitude. Quand l'automatisation rend la main — généralement dans les pires conditions, puisque ce sont elles qui ont provoqué la rétrocession — l'équipage doit piloter un appareil dans un état qui lui est peu familier.
Les conséquences ont été concrètes. Le pilotage manuel en haute altitude et la sortie de décrochage complet, jusque-là surtout entraînés en approche du décrochage à basse altitude, sont devenus obligatoires en simulateur récurrent. Les normes d'indication de vitesse ont changé. Les travaux sur les facteurs humains — comment un équipage communique sous l'effet de surprise — sont passés de l'intérêt académique à l'exigence réglementaire.
Le retrouver, tout simplement
La recherche de l'AF447 est une histoire en soi. Des débris flottants et des corps sont récupérés en quelques jours, mais les enregistreurs sont au fond. Quatre phases de recherche sur deux ans, avec modélisation de dérive puis véhicules sous-marins autonomes, localisent l'épave principale en avril 2011 dans un secteur déjà fouillé et écarté. Les enregistreurs remontent intacts, et leurs données restent lisibles après deux ans par 3 900 mètres de fond — un argument sur la robustesse de ces appareils encore cité chaque fois que l'on parle de la conception des boîtes noires.