25 juillet 2000 - Crash du Concorde - Le cinquante-huitième. (A déplacer dans "accidents aériens passés" si possible)
Par Francois Negroni.
https://x.com/IAviateur/status/2080690835046187243
J'étais à Paris-Charles de Gaulle le 25 juillet 2000. Pas sur l'aire de trafic, pas en vol, mais dans les locaux d'Air France, en stage au Bâtiment d'Entraînement du Personnel Navigant (BEPN). C'est là que la nouvelle est tombée, d'abord confuse, puis effroyablement précise. Un Concorde s'était écrasé après son décollage. Je n'ai rien vu de l'accident lui-même, mais j'ai vu ce qu'une catastrophe de cette ampleur produit à l'intérieur d'une compagnie, le silence, la sidération, le besoin de comprendre. C'est de ce jour que date mon intérêt pour l'accidentologie. J'ai beaucoup étudié cet accident, et plus je l'étudiais, moins il ressemblait à ce que la version courante en disait. Cet article est, en un sens, l'aboutissement d'une question que je me pose depuis ce 25 juillet, une question qui n'est pas celle de la lamelle de titane.
La version courante de l'accident du vol AF4590 tient en une phrase. Un Concorde a roulé sur une pièce métallique perdue par un autre avion, un pneu a éclaté, un réservoir s'est rompu, le carburant s'est enflammé, l'appareil s'est écrasé. Cette phrase est exacte. Le rapport du Bureau Enquêtes-Accidents l'établit sans ambiguïté, et nous la suivrons. Mais elle décrit un déclencheur, pas une cause profonde. Elle raconte l'étincelle, et passe sous silence ce qui avait rendu l'incendie possible bien avant qu'aucune lamelle ne se trouve sur la piste. Cette histoire est celle d'une organisation et d'une autorité de tutelle qui, au fil de vingt années, ont vu se répéter le même signal sans jamais y apporter la réponse qui aurait pu rompre la chaîne.
Le mardi 25 juillet 2000, le Concorde immatriculé F-BTSC, exploité par Air France sous l'indicatif AFR 4590, effectue un vol à la demande au départ de Paris-Charles de Gaulle. À bord, trois membres d'équipage de conduite, six membres d'équipage de cabine et cent passagers. À 14h40:02 temps universel, l'équipage est autorisé à s'aligner sur la piste 26 droite. Toutes les heures de ce récit sont en temps universel, l'heure locale s'obtenant en ajoutant deux heures.
À 14h42:17, le contrôleur autorise le décollage en annonçant un vent du 090 degrés pour 8 nœuds. Ce détail mérite qu'on s'y arrête. Un avion aligné au cap 260 degrés avec un vent venant du 090 a le vent presque exactement dans le dos. Or l'appareil décollait à une masse supérieure à sa masse structurale maximale, fixée à 185 070 kilogrammes, le rapport notant qu'il était en légère surcharge quelles que soient les hypothèses de calcul retenues. Pour un vent arrière de 8 nœuds, la masse maximale au décollage était en outre réduite à 180 300 kilogrammes en raison d'une limitation liée à la vitesse des pneumatiques. Le rapport du BEA est clair : ni la surcharge ni le vent arrière ne sont retenus parmi les causes de l'accident, l'excédent de masse étant négligeable sur les performances. L'intérêt de ces deux facteurs est ailleurs. Il est dans ce qu'ils révèlent d'un climat opérationnel. Un appareil en légère surcharge et un décollage vent arrière, aucun des deux n'est une anomalie grave pris isolément, mais les deux ensemble esquissent le portrait d'une exploitation aux marges, devenue routinière, où chaque entorse aux conditions optimales paraissait acceptable parce qu'elle l'avait toujours été.
À 14h42:31, le pilote annonce le top décollage. À 14h42:54,6, l'annonce des cent nœuds, puis neuf secondes plus tard la V1, vitesse au-delà de laquelle le décollage ne peut plus être interrompu. Quelques secondes après, le pneu avant droit du train principal gauche, la roue numéro 2, se détruit après avoir roulé sur une lamelle métallique. Cette lamelle, une wear strip en titane provenant d'un inverseur de poussée d'un DC-10 de Continental Airlines, avait été perdue sur la piste quelques minutes plus tôt. Le rapport du BEA établit que ce matériau n'était pas conforme aux spécifications approuvées. Ce qui suit s'enchaîne en moins de quatre-vingt-dix secondes. La destruction du pneu projette de gros morceaux de caoutchouc contre l'intrados de l'aile gauche et provoque la rupture d'une partie du réservoir 5. Un feu important se déclare sous la voilure. Les moteurs 1 et 2 perdent de la poussée, fortement pour le 2.
Vers 14h43:13, alors que le pilote amorce la rotation à 183 nœuds, en deçà de la VR de 198 nœuds retenue par l'équipage, le contrôleur signale des flammes derrière l'avion. À 14h43:22, l'alarme de feu moteur retentit et l'officier mécanicien navigant annonce « coupe le moteur 2 », puis le commandant appelle la procédure feu réacteur. À 14h43:30, le pilote demande la rentrée du train, qui ne rentrera pas. L'avion vole une minute environ à 200 nœuds, en deçà de la V2 de 220 nœuds, et à 200 pieds d'altitude radiosonde, sans pouvoir prendre ni vitesse ni hauteur. À 14h43:56, l'équipage constate que le train est resté sorti. À 14h43:59, les alarmes de proximité du sol retentissent, le moteur 1 perd sa poussée à son tour, puis les moteurs 3 et 4. À 14h44:31, l'avion percute un hôtel au lieu-dit la Patte d'Oie de Gonesse, à l'intersection de la départementale 902 et de la nationale 17. Cent treize personnes meurent, les cent neuf occupants et quatre personnes au sol, et six personnes au sol sont blessées.
Le rapport du BEA retient comme causes le passage à grande vitesse du pneumatique sur la pièce perdue et sa destruction, l'arrachement d'un important morceau de réservoir par un processus complexe de transmission d'énergie, et l'inflammation du carburant en fuite par un arc électrique dans le puits de train ou au contact des parties chaudes du moteur. Il ajoute que l'impossibilité de rentrer le train a probablement contribué à l'accrochage et à la stabilisation de la flamme. C'est une chaîne causale technique, rigoureuse, et juste. Mais elle commence à la lamelle. La question qui m'a saisi à mesure que j'étudiais ce dossier, et que je n'ai cessé de me poser depuis, est celle-ci. Pourquoi un événement aussi banal qu'un pneu détruit au décollage pouvait-il, en l'an 2000, conduire à la perte d'un avion de transport et de cent treize vies, alors que le danger était connu depuis vingt et un ans ?
Vingt ans de signaux
La réponse est dans une annexe du rapport, celle qui recense l'historique des événements pneumatiques sur Concorde. Les chiffres sont saisissants. Le BEA dénombre cinquante-sept cas d'éclatement ou de dégonflage de pneumatiques sur la flotte, trente pour Air France et vingt-sept pour British Airways. Douze de ces événements ont eu des conséquences structurales sur les ailes ou les réservoirs. Six ont conduit à la perforation de réservoirs. Vingt-deux se sont produits au cours du décollage. Dix-neuf avaient été provoqués par des objets étrangers présents sur la piste.
Que disent ces nombres ? Que la destruction d'un pneumatique sur Concorde n'était pas un événement rare ni imprévisible. Que cette destruction pouvait endommager la structure et les réservoirs, ce qui s'était produit douze fois. Et qu'elle pouvait percer un réservoir, ce qui s'était produit six fois. Le BEA le formule lui-même dès sa recommandation du 16 août 2000, l'expérience en service montre que la destruction d'un pneu pendant les phases de roulage, d'atterrissage ou de décollage n'est pas un événement improbable sur Concorde et qu'il est de nature à entraîner des dégâts à la structure et aux systèmes. Le risque n'était pas une découverte de l'accident. Il était inscrit, noir sur blanc, dans cinquante-sept lignes d'un registre que l'organisation tenait depuis l'entrée en service de l'appareil.
Le premier de ces événements, et le plus instructif, remonte au 14 juin 1979. Ce jour-là , au décollage de Washington-Dulles, un Concorde d'Air France, le F-BVFC, subit le dégonflement puis le déchapage du pneu numéro 6, qui entraîne l'éclatement du pneu numéro 5, la destruction de la roue numéro 5, et des perforations de petites dimensions des réservoirs 2, 5 et 6. La similitude avec ce qui surviendra vingt et un ans plus tard à Gonesse est presque clinique. Un pneu du train principal gauche se détruit au décollage, des débris perforent des réservoirs, du carburant fuit. À Washington, il s'agit d'environ sept à huit tonnes de carburant perdues en vol selon le rapport d'enquête de l'époque. La différence tient à une seule chose, à Washington, le carburant en fuite ne s'est pas enflammé. L'équipage, après des tentatives infructueuses de rentrée du train, la perte du circuit hydraulique vert et une baisse de niveau du circuit jaune, s'est reposé à Washington vingt-quatre minutes plus tard. Personne n'a été blessé. L'incident a été classé incident, et non accident.
Des années plus tard, l'enquêteur désigné par le BEA pour cet incident, Michel Bourgeois, ingénieur général de l'armement, est revenu sur ce qu'il avait constaté à Washington. Interrogé dans un documentaire, il a décrit la traînée de kérosène visible derrière l'appareil en montée, le risque que cette nappe se mélange aux gaz de postcombustion, et ce qui serait advenu si le carburant s'était enflammé. À la question de savoir si c'eût été fini, sa réponse est sans détour. À la question de savoir si l'absence d'inflammation relevait du miracle, sa réponse l'est tout autant. L'homme qui avait enquêté sur Washington employait le mot « miracle » pour qualifier ce qui avait séparé un incident d'une catastrophe. Ce mot, dans la bouche d'un ingénieur général, n'est pas une hyperbole. C'est un constat technique : la non-inflammation n'était le fruit ni d'une conception robuste ni d'une marge de sécurité, mais du hasard.
Washington 1979, c'était Gonesse 2000 moins l'étincelle. Le mécanisme était là tout entier, le pneu, les débris, le réservoir percé, la fuite massive, l'impossibilité de rentrer le train. Il ne manquait que la source d'inflammation pour transformer un incident en catastrophe. Le BEA le note avec une précision qui résonne, parmi les cinquante-sept événements recensés, aucun n'avait fait apparaître de rupture du réservoir, de feu, ou de perte de puissance simultanée significative de deux moteurs. Tout, sauf l'enchaînement complet, s'était déjà produit, par fragments, à des dates différentes, sur des avions différents. Le système avait vu chaque pièce du puzzle. Il n'avait jamais vu, ou voulu voir, l'image qu'elles formaient ensemble.
Vue du dessus de l'aile gauche après l'incident du 14 juin 1979
Il serait injuste de dire que l'incident de Washington n'avait engendré aucune réponse. Il en avait engendré plusieurs. À la suite de cet événement sérieux, quatre consignes de navigabilité furent appliquées à l'ensemble de la flotte franco-britannique au début des années quatre-vingt, l'installation d'un système de détection de sous-gonflage des pneumatiques du train principal, l'installation de roues et de pneus renforcés, une procédure de vérification des pneus et des roues avant chaque décollage, et l'amélioration de la protection du système hydraulique de freinage. L'organisation n'était pas restée inerte. Elle avait réagi.
L'incident avait même été porté au niveau politique le plus élevé. Lors du Conseil des ministres du 3 octobre 1979, le président Valéry Giscard d'Estaing s'était interrogé sur l'opportunité d'arrêter l'avion. Le ministre des transports de l'époque, Joël Le Theule, avait posé la question directement à Bourgeois : est-ce que cela pouvait se reproduire ? L'enquêteur avait répondu qu'un pneu pouvait toujours être endommagé, que c'était peu probable, mais possible. Le ministre avait été explicite : si cela pouvait se reproduire, on arrête les avions. Bourgeois avait répondu qu'on n'en était pas là , que l'on pouvait faire beaucoup de choses, et qu'il y avait dans son rapport des recommandations. Vingt-six ans plus tard, interrogé sur le suivi de ces recommandations, Bourgeois fait un constat sobre : toutes n'ont pas été appliquées. Il ne dit pas lesquelles, il ne dit pas pourquoi, mais le fait lui-même résonne avec une force particulière. La question de l'arrêt avait été posée. La réponse avait été conditionnelle : on n'arrête pas, à condition que les mesures soient prises. Et la condition n'avait pas été pleinement remplie.
Mais l'organisation, alors même qu'elle avait réagi, avait réagi sur l'objet, le pneu, et non sur la conséquence, le réservoir percé par des débris. Le BEA établit un constat décisif. Toutes les perforations de réservoir survenues après l'événement de Washington concernent des avions exploités par British Airways, et après les modifications apportées à la suite de cet événement, ces perforations ont été occasionnées uniquement par des débris secondaires. Autrement dit, les renforcements de pneus et de roues avaient réduit le risque de perforation directe par un morceau de pneu, mais un nouveau chemin causal était apparu, ou avait persisté, celui des débris secondaires, des pièces arrachées dans la zone du train par les morceaux de pneu, qui à leur tour venaient frapper et percer les réservoirs. Parmi ces pièces, le rapport en nomme deux, le crochet de verrouillage de la porte de train, et le déflecteur d'eau.
Le déflecteur d'eau est une pièce d'environ quatre kilogrammes, en matériau composite et fibre de verre, située à l'avant de chaque train principal pour empêcher les projections d'eau d'entrer dans les moteurs. Il est conçu frangible, c'est-à -dire pour se briser plutôt que de transmettre un choc. Mais en se brisant, il libère des morceaux qui deviennent eux-mêmes des projectiles. Et c'est ici qu'apparaît la pièce centrale qui m'a tant occupé. En 1995, ces déflecteurs ont fait l'objet d'un bulletin service, le SST 32-103 du 12 janvier 1995, modifié le 28 février 1995. Ce bulletin prévoyait d'insérer deux câbles dans le bord d'attaque du déflecteur afin de retenir ses morceaux en cas de rupture. Une parade simple, peu coûteuse, directement dirigée contre le mécanisme des débris secondaires que le BEA pointe comme la cause des perforations post-Washington. Le rapport du BEA énonce alors un fait d'une sobriété glaçante, Air France n'a pas adopté ce bulletin service.
Ce bulletin était optionnel. Une amélioration de sécurité avait été identifiée, étudiée, formalisée, mise à disposition de tous les exploitants dès 1995. Mais les autorités de navigabilité ne l'avaient pas rendue obligatoire. Elles avaient jugé, ou laissé juger, que cette modification ne représentait pas un apport de sécurité justifiant de l'imposer. La défense existait, sur le papier, sur l'étagère. Elle n'avait pas été transformée en obligation. Et un exploitant, libre de ce choix, ne l'avait pas retenue. Lorsque je relis ce passage, je ne peux m'empêcher de penser au practical drift décrit par Scott Snook, ce glissement par lequel une organisation mature voit s'écarter peu à peu la procédure écrite et la pratique réellement suivie, chaque adaptation locale paraissant raisonnable à qui la décide. Snook décrit ce phénomène à l'échelle des unités opérationnelles, dans l'écart entre la règle formelle et son application sur le terrain. Ce que je lis dans le dossier du Concorde opère au même ressort, mais un étage plus haut, à l'échelle de la relation entre le régulateur et l'exploitant. Le glissement n'est plus entre une règle et sa pratique, il est entre une règle possible et une règle réelle, entre ce que l'on savait devoir faire et ce que l'on s'autorisait à ne pas faire, faute d'obligation. C'est, si l'on veut, un practical drift réglementaire, une dérive non pas de la conformité opérationnelle, mais de l'exigence elle-même.
Je dois ici être prudent. Le rapport du BEA établit qu'Air France n'avait pas adopté ce bulletin. Il ne conclut pas formellement que le déflecteur a été l'agent de la perforation du réservoir 5 le 25 juillet 2000, le processus retenu étant une transmission complexe d'énergie depuis l'impact d'un morceau de pneumatique. Il reste que des éléments du déflecteur d'eau du train gauche ont été retrouvés sur la piste, et que leur position interroge. En remontant la trajectoire de l'avion depuis le seuil de piste, le premier débris retrouvé est un morceau de déflecteur, vers 1 642 mètres. Vient ensuite, plus loin dans le sens de la course, le premier morceau de pneumatique. Plus loin encore, la lamelle métallique, sur l'accotement droit. Et enfin un élément du réservoir 5. Autrement dit, dans l'ordre où ils jalonnent la course de l'avion, le morceau de déflecteur précède le morceau de pneu, lequel précède la lamelle et le débris de réservoir. Le déflecteur, la pièce même qu'un bulletin de sécurité visait à renforcer, est le premier élément qui se détache. Je ne tire pas de cette séquence une certitude que le rapport ne tire pas lui-même. Je relève seulement que la pièce visée par un bulletin de sécurité non adopté s'est effectivement détachée ce jour-là , et que la question de son rôle exact reste, à mes yeux, une lecture personnelle d'un dossier qui n'a pas tranché ce point avec la netteté qu'il méritait.
Morceau de déflecteur d'eau (premier objet retrouvé dans le sens de la trajectoire).
Ce que la suspension révèle
Le geste le plus éloquent de toute l'affaire est celui que le BEA et l'AAIB britannique ont posé dès le 16 août 2000, trois semaines après l'accident. Ils ont recommandé aux autorités de navigabilité française et britannique de suspendre les certificats de navigabilité des Concorde, en attendant la mise en place de mesures garantissant un niveau de sécurité satisfaisant au regard du risque lié aux destructions de pneumatiques. La recommandation fut immédiatement acceptée, et les certificats suspendus.
Arrêtons-nous sur ce que ce geste signifie. Pour suspendre un certificat de navigabilité, il faut considérer que l'appareil, dans son état du moment, ne garantit plus un niveau de sécurité acceptable face à un risque connu. Or ce risque, la destruction de pneumatiques et ses conséquences structurales, était précisément celui que les cinquante-sept incidents documentaient depuis vingt ans. La suspension d'août 2000 est donc, en creux, un aveu. Elle reconnaît que le niveau de sécurité face au risque pneumatique n'était pas satisfaisant, et qu'il ne l'était sans doute pas davantage la veille de l'accident. Ce qui avait changé entre le 24 et le 26 juillet, ce n'était pas le risque, connu de longue date. C'était la survenue de la catastrophe qui démontrait, dans le sang, ce que le registre des incidents laissait lire depuis 1979. Il aura fallu cent treize morts pour que la défense en profondeur soit enfin imposée, alors que la matière de cette décision dormait dans les archives depuis deux décennies.
Les mesures exigées pour le retour en service confirment, par leur nature même, ce que l'inaction antérieure avait de difficilement compréhensible. Le blindage en Kevlar des réservoirs, conçu pour résister à l'impact de débris projetés par un pneu éclaté, ne nécessitait pas une rupture technologique. Les pneumatiques NZG développés par Michelin, conçus pour ne pas projeter de gros fragments en cas de destruction, répondaient à un cahier des charges que l'historique des incidents permettait de formuler depuis des années. La modification du câblage électrique dans les puits de train, destinée à éliminer les sources d'arc susceptibles d'enflammer le carburant, traitait un risque que l'enquête avait identifié dans la chaîne causale. Ces trois solutions étaient techniquement à portée avant l'accident. Elles l'étaient après Washington. Elles l'étaient après chacune des six perforations de réservoir documentées dans l'intervalle. Qu'elles n'aient été imposées qu'après la catastrophe ne témoigne pas d'une impossibilité technique. Cela témoigne d'un seuil de décision qui, en l'absence de morts, n'avait jamais été atteint.
C'est la signature même de l'accident organisationnel selon James Reason. Les conditions latentes, ici l'absence de réponse de fond au risque pneumatique et le caractère optionnel d'une parade disponible, avaient érodé les défenses en profondeur bien avant qu'aucune défaillance active, la lamelle, ne vienne ouvrir le dernier chemin. L'autorité de tutelle n'avait pas ignoré le danger. Elle l'avait sous-évalué, durablement, en laissant à l'exploitant la liberté de ne pas se protéger contre lui. Et lorsque l'on mesure cet aveuglement à l'aune de l'échange entre Bourgeois et Le Theule en 1979, l'image devient plus nette encore. La question avait été posée, la réponse conditionnelle avait été donnée. Vingt et un ans plus tard, la condition non remplie présentait sa facture.
Une enquête judiciaire distincte de l'enquête technique a suivi l'accident, en France, sur la question des responsabilités, et a connu des développements sur plusieurs années. Cette procédure relève d'une autre logique que la nôtre. L'enquête technique du BEA, dont cet article s'inspire exclusivement, n'a pas pour objet d'établir des fautes ni d'évaluer des responsabilités individuelles ou collectives, mais de tirer de l'événement des enseignements pour prévenir de futurs accidents. C'est dans ce seul esprit que je lis le dossier, et c'est pourquoi je laisse délibérément la question des responsabilités pénales hors de mon propos.
L'étincelle et le terrain
Je repense souvent à ce 25 juillet 2000, à la rumeur qui s'est répandue dans les couloirs du Bâtiment d'Entraînement, à ces visages de navigants qui, comme moi, n'arrivaient pas à croire qu'un Concorde, cet objet d'orgueil et de perfection, ait pu tomber. Pendant des années, j'ai entendu raconter l'accident comme une fatalité, le coup du sort d'une lamelle de titane tombée au mauvais endroit au mauvais moment. Cette lecture est rassurante, parce qu'elle fait de la catastrophe un accident au sens fort, l'irruption du hasard pur, contre lequel personne ne pouvait rien. Plus j'ai étudié le dossier, moins j'ai pu m'en contenter.
Car la lamelle n'est que l'étincelle. Une étincelle ne provoque un brasier que si le terrain est préparé à brûler. Et le terrain, pour le Concorde, était préparé depuis vingt et un ans. Il était fait de cinquante-sept incidents pneumatiques dont nul n'avait su, ou voulu, lire l'enseignement complet. Il était fait d'un précédent de Washington qui avait tout montré sauf le feu, et dont l'enquêteur lui-même savait que seul un miracle avait empêché le pire. Il était fait de recommandations dont toutes n'avaient pas été suivies, et d'un ministre à qui l'on avait répondu qu'on n'arrêterait pas les avions à condition de prendre les mesures nécessaires. Il était fait d'un bulletin de sécurité laissé optionnel, et d'un exploitant qui ne l'avait pas adopté. Il était fait, ce jour-là , d'une surcharge et d'un vent arrière qui rognaient encore les marges. Aucun de ces éléments, isolément, n'était une faute évidente. Ensemble, ils composaient un système qui n'attendait plus que son étincelle.
Une organisation et son autorité de tutelle peuvent voir un danger, le documenter pendant des années, lui apporter des réponses partielles, et néanmoins laisser subsister la vulnérabilité de fond, parce que la rompre coûterait, parce que rien ne s'est encore produit, parce qu'une défense disponible reste qualifiée d'optionnelle. Le retour d'expérience ne sert à rien s'il circule sans contraindre. Cinquante-sept incidents ne valent rien si l'on attend le cinquante-huitième, celui qui tue, pour décider d'agir. Le défaut de suivi de la navigabilité n'est pas un complot. C'est l'habitude lentement prise de s'en remettre à l'industrie pour décider de ce qui est obligatoire, jusqu'au jour où la facture de cette habitude se règle d'un coup, sur une plaine de Gonesse, à l'intersection de deux routes, par un après-midi d'été.
Sources : Rapport d'enquête f-sc000725a du Bureau Enquêtes-Accidents, ministère de l'Équipement, des Transports et du Logement. Témoignage de Michel Bourgeois, ingénieur général de l'armement et ancien enquêteur du BEA, dans le documentaire « L'affaire Concorde », réalisé par Peter Bardehle et Bernard Vaillot, Galaxie Press.
BEA:
https://asn.flightsafety.org/reports/20 ... F-BTSC.pdf#Concorde
Photos Planes Of Legend:
Haut
Flux RSS 
WWW.CRASH-AERIEN.AERO
