Le 3 mars 1974, le vol Turkish Airlines 981 s'écrase dans la forêt d'Ermenonville au nord de Paris, peu après son départ d'Orly vers Londres. Les 346 personnes à bord périssent. C'était alors l'accident le plus meurtrier de l'histoire de l'aviation, et ce qui en rend la lecture pénible, c'est que la chose s'était déjà produite une fois, sous une forme survivable, sans que l'avertissement soit suivi d'une mesure contraignante.
Le défaut de conception
La porte cargo arrière du DC-10 s'ouvrait vers l'extérieur plutôt que vers l'intérieur. Une porte à bouchon ouvrant vers l'intérieur est maintenue fermée par la pression cabine; une porte ouvrant vers l'extérieur doit être retenue par ses verrous contre la totalité de la charge de pression. Le mécanisme de verrouillage du DC-10 pouvait, si la porte était forcée alors qu'elle n'était pas correctement verrouillée, donner extérieurement l'apparence d'être sûre alors que les verrous n'étaient pas pleinement engagés.
Sous pressurisation, une telle porte s'ouvre violemment. La décompression explosive qui s'ensuit affaisse le plancher de cabine au-dessus de la soute, ce plancher n'étant pas conçu pour supporter un fort écart de pression. Les câbles de commande vers l'empennage passent sous ce plancher.
L'avertissement : American Airlines 96
En juin 1972, un DC-10 d'American Airlines perd sa porte cargo arrière exactement de cette manière au-dessus de Windsor, en Ontario. Le plancher s'affaisse partiellement, endommageant des câbles de commande. L'équipage, au contrôle réduit, parvient à se poser à Detroit. Aucun mort.
Le NTSB a recommandé que la FAA impose des modifications de conception. Ce qui suivit fut plutôt un « accord entre gentlemen » entre la FAA et McDonnell Douglas pour corriger le problème par bulletins de service plutôt que par une consigne de navigabilité contraignante. Les bulletins de service sont indicatifs; les consignes de navigabilité sont obligatoires.
L'appareil accidenté près de Paris aurait reçu une partie des modifications, mais la porte pouvait toujours être mal fermée. Un agent au sol d'Orly, travaillant dans une langue qu'il ne lisait pas sur une plaque, l'a refermée d'une manière laissant le verrouillage incomplet.
Ce qui s'est passé au-dessus d'Ermenonville
Douze minutes après le décollage, passant environ 11 000 pieds, la porte cède. Six passagers et une partie du plancher de cabine sont éjectés. L'affaissement du plancher sectionne les commandes vers l'empennage. L'équipage n'a plus de gouverne de profondeur ni aucun moyen d'arrêter la descente. L'appareil percute la forêt à grande vitesse.
Ce qui a changé
La réponse, lorsqu'elle est enfin venue, fut complète. Le mécanisme de verrouillage de la porte cargo a été redessiné sur toute la flotte DC-10 sous consigne obligatoire. Plus important encore, l'exigence de certification a changé : un avion de transport doit désormais pouvoir survivre à une décompression soudaine de n'importe quel compartiment sans perte de contrôle. En pratique, cela signifie des évents de plancher qui égalisent la pression assez vite pour empêcher l'affaissement, et un cheminement des commandes qui ne concentre pas tout dans un seul passage vulnérable.
La leçon réglementaire fut tout aussi durable. L'incident de Windsor est aujourd'hui l'exemple type de la raison pour laquelle un défaut de conception connu doit être traité par consigne contraignante et non par accord volontaire. Il est cité chaque fois qu'une autorité envisage de laisser un constructeur régler un problème de sécurité à ses propres conditions.