Air France 447 a transformé le transfert d'automatisation et la reprise du décrochage en un test de responsabilité en cabine de pilotage

Résumé

• Le vol Air France 447 a été perdu le 1er juin 2009 avec 216 passagers et 12 membres d'équipage après que des indications temporaires de vitesse anormales, probablement causées par l'obstruction des sondes Pitot par des cristaux de glace, ont entraîné la déconnexion du pilote automatique et de l'automanette à haute altitude au-dessus de l'Atlantique.
• La déconnexion a été l'événement déclencheur, non une explication causale complète. L'enquête française de sécurité a mis en lumière une chaîne impliquant des commandes manuelles déstabilisatrices, l'absence d'application de la procédure de vitesse anormale, le retard dans la reconnaissance de l'écart de trajectoire, l'incapacité à identifier l'approche et la poursuite d'un décrochage, les limites de la formation, les caractéristiques des indications et des avertissements en cabine, les faiblesses du retour d'information de l'exploitant, ainsi que des questions de certification et de supervision.
• Neuf événements antérieurs de vitesse anormale avaient été signalés sur des Airbus A330 et A340 d'Air France entre mai 2008 et mars 2009. Air France avait décidé de remplacer les sondes concernées, et le premier appareil avait été modifié, mais pas le F-GZCP. Cet historique établit la connaissance organisationnelle d'une famille de dangers récurrents; il ne prouve pas en soi que la séquence mortelle précise ait été prédite ou attribuable juridiquement.
• La recherche en cinq phases sur deux ans a finalement récupéré les enregistreurs de vol à environ 3 900 mètres de profondeur. Cette récupération a transformé les preuves disponibles, passant de messages automatisés épars et de débris à une reconstitution seconde par seconde. C'est une leçon centrale en matière de responsabilité: les institutions ne peuvent pas apprendre de manière fiable à partir d'événements qu'elles ne peuvent pas localiser, préserver et rejouer.
• L'enquête du BEA était une enquête de sécurité et n'a pas attribué de responsabilité civile ou pénale. Un jugement de première instance de 2023 a acquitté Air France et Airbus. Le 21 mai 2026, la Cour d'appel de Paris a infirmé ce résultat et condamné les deux sociétés pour homicide involontaire, imposant une amende de 225 000 EUR à chacune. Airbus a officiellement annoncé un pourvoi en cassation, et les rapports contemporains indiquaient qu'Air France ferait également appel. Les condamnations étaient donc des jugements d'appel sujets à un examen ultérieur, et non des résultats pénaux définitifs, à la date limite des preuves du 17 juillet 2026.
• Les réparations les plus solides ne sont pas des déclarations selon lesquelles les équipages ont été recyclés ou les équipements modifiés. Ce sont des enregistrements durables: les tendances de fiabilité des sondes, les scénarios de simulateur avec surprise et signaux dégradés, les performances mesurées de reconnaissance et de récupération, les matrices de test des transitions de mode, les preuves de clôture des rapports de sécurité, l'acceptation par le régulateur, les performances de suivi des aéronefs, la capacité de récupération des enregistreurs et l'examen au niveau du conseil d'administration des risques résiduels.

La frontière probatoire

Cette affaire contient plusieurs types d'énoncés qui ne doivent pas être confondus.

Un fait d'événement confirmé est que l'Airbus A330-203 immatriculé F-GZCP a disparu lors du service Rio de Janeiro-Paris et que les 228 personnes à bord sont décédées. Un constat technique est la conclusion du Bureau d'Enquêtes et d'Analyses pour la sécurité de l'aviation civile (BEA) après examen de l'épave, des données des enregistreurs, des dossiers de maintenance, des opérations, des documents de certification, de la formation et des facteurs humains. Une recommandation de sécurité est une proposition préventive, non un constat de faute.

Un jugement judiciaire détermine la responsabilité pénale en vertu du droit et des règles de preuve du tribunal; ce n'est pas un rapport d'accident de substitution. Une déclaration d'entreprise enregistre ce que l'entreprise dit avoir fait ou avoir l'intention de faire, mais ce n'est pas une preuve indépendante qu'un contrôle a fonctionné. Un jugement analytique relie ces enregistrements à une question de responsabilité. Une incertitude identifie ce que le dossier public ne peut toujours pas établir.

Cette distinction est importante car le vol 447 a souvent été réduit à une histoire de pilotes qui tirent vers le haut alors qu'ils auraient dû pousser vers le bas, ou à une histoire de capteurs défectueux. Les deux descriptions isolent des parties réelles de la séquence et occultent le système qui a rendu ces parties conséquentes. Le rapport final du BEA ne soutient pas un récit à cause unique. L'existence d'une condamnation pénale ne permet pas non plus de reformuler chaque constat de sécurité en conclusion juridique.

Les preuves utilisées ici sont figées au 17 juillet 2026. Les documents publics officiels publiés autour de l'arrêt d'appel de 2026 établissent les condamnations, les amendes, la chronologie procédurale et un résumé des fautes que la cour d'appel a déclaré avoir retenues. L'arrêt d'appel motivé complet n'a pas été localisé dans le dossier public officiel cité. Les affirmations détaillées sur la manière dont la cour a pesé chaque fait technique restent donc limitées au matériel récapitulatif officiel ou sont identifiées comme des reportages secondaires. Les procédures de cassation restaient non résolues à la date limite.

Un système qui a changé de nature en quelques secondes

En croisière, l'A330 n'était pas simplement maintenu sur une ligne droite par un seul pilote automatique. Les capteurs de données aérodynamiques fournissaient la vitesse et d'autres paramètres aux ordinateurs. Les lois de pilotage traduisaient les commandes du mini-manche en réaction de l'avion et, en loi normale, incluaient des protections. Les directeurs de vol affichaient des guidages. L'automanette contrôlait la poussée des moteurs selon son mode. Les pilotes supervisaient cet ensemble tout en gérant la météo, la navigation, les communications et le repos.

Les sondes Pitot mesuraient la pression utilisée pour déduire la vitesse. Dans certaines conditions convectives à haute altitude, des cristaux de glace pouvaient obstruer temporairement les sondes et entraîner des valeurs de vitesse discordantes ou invalides. La réponse du système automatique à des données incohérentes comprenait la déconnexion du pilote automatique et de l'automanette, ainsi que le passage des commandes de vol de la loi normale à la loi de remplacement. Ces transitions étaient protectrices dans un sens: l'automatisation ne doit pas continuer à commander l'avion sur des données qu'elle ne juge plus fiables.

Mais elles transféraient également un problème difficile de contrôle et de diagnostic à l'équipage, de nuit, dans des turbulences, près de la partie supérieure du domaine de vol, avec des signaux contradictoires ou disparaissants.

La question de responsabilité commence là. Un transfert n'est pas réussi simplement parce que le système automatisé cesse d'utiliser des données suspectes. Il réussit seulement si l'équipe humaine réceptrice peut comprendre rapidement ce qui a changé, stabiliser l'appareil, identifier la procédure applicable, coordonner les actions et distinguer les indications fiables des conséquences du défaut initial. Le dossier du BEA montre que ces conditions n'étaient pas réunies.

L'avion est resté réactif aux commandes. Les moteurs ont continué à fonctionner. L'incohérence initiale de vitesse était temporaire. Pourtant, les commandes manuelles immédiatement après la déconnexion ont augmenté l'assiette et initié une montée. L'avion s'est éloigné de son état stable antérieur, a perdu de la vitesse, s'est approché du décrochage et est entré dans un décrochage soutenu que l'équipage n'a pas formellement diagnostiqué. Cette différence entre le comportement des composants et le résultat système est essentielle.

Les sondes ont initié le problème de données; le système homme-machine-opérationnel total a déterminé si ce problème resterait un incident gérable.

Historique des avertissements avant l'accident

Le vol fatal n'a pas eu lieu sans aucun signal préalable. Le BEA a documenté neuf événements de vitesse anormale impliquant des Airbus A330 et A340 d'Air France entre mai 2008 et mars 2009. Les rapports n'étaient pas des répliques identiques du vol 447. Leur durée, la météo, la réaction de l'avion, les commandes de l'équipage et les conséquences opérationnelles variaient, et aucun ne fournit un contrefactuel contrôlé pour l'accident. Ils ont néanmoins établi une famille de dangers récurrents au sein de la propre flotte de l'exploitant.

Air France et Airbus ont discuté des événements. Lors d'une réunion technique le 24 novembre 2008, Air France a recherché la cause et une solution et a soulevé l'idée d'une sonde alternative. En avril 2009, Airbus a décrit les cristaux de glace comme un phénomène non pris en compte lors du développement de la sonde originale et a indiqué qu'un autre type de sonde semblait plus robuste, tout en proposant une évaluation en service. Air France a décidé de remplacer les sondes sur l'ensemble de sa flotte d'A330 et d'A340. Un document interne a été émis le 27 avril; le premier lot est arrivé fin mai; le premier appareil a été modifié le 30 mai.

Le F-GZCP portait encore les sondes précédentes lorsqu'il a quitté Rio le lendemain.

Ce sont des conclusions d'enquête sur la séquence et la connaissance organisationnelle. Elles soutiennent le jugement selon lequel l'exploitant et le fabricant connaissaient les anomalies temporaires récurrentes de vitesse et travaillaient sur une réponse matérielle. Elles n'établissent pas qu'une action obligatoire de navigabilité avait déjà exigé le remplacement, que la chaîne précise de perte de contrôle du vol 447 était prévue ou que le remplacement de la sonde était la seule barrière disponible.

La directive ultérieure de l'Agence européenne de la sécurité aérienne (AESA) a décrit la modification comme précautionneuse et a noté que les tests n'avaient pas reproduit le problème dans le domaine de certification alors défini. Cette qualification est importante: des preuves d'un schéma dangereux sur le terrain peuvent dépasser la reproduction en laboratoire, tandis que l'absence de reproduction ne fait pas disparaître les rapports de terrain.

Les événements antérieurs ont également exposé un problème de retour d'information. Un système de compte rendu de sécurité peut compter des événements sans les convertir en un modèle de risque utile sur le plan opérationnel.

Les questions pertinentes n'étaient pas seulement de savoir si une sonde pouvait geler, mais ce que les pilotes voyaient lors de la transition, quelles alertes apparaissaient, si la procédure de vitesse anormale était reconnue et suivie, comment les directeurs de vol se comportaient, comment les commandes du mini-manche et le partage des tâches évoluaient, et si un équipage à haute altitude avait récemment pratiqué le problème de vol manuel qui en résultait.

Le BEA a conclu que les mécanismes de retour d'information de l'exploitant n'avaient pas garanti que la non-application répétée de la procédure de vitesse anormale soit identifiée et corrigée, ou que le modèle de risque des équipages soit adéquat.

Chronologie avant le transfert

Le vol AF447 a quitté Rio de Janeiro le 31 mai 2009 à 22h29 UTC. La destination prévue était Paris Charles de Gaulle. L'avion transportait 216 passagers de 32 nationalités et 12 membres d'équipage. Trois pilotes assuraient le vol long-courrier, permettant au commandant de prendre un repos programmé tandis que deux copilotes occupaient le poste de pilotage.

Le dernier contact radio de routine a eu lieu vers 01h35 UTC. Le vol s'approchait alors d'une bande de temps convectif équatorial. D'autres aéronefs dans la région ont modifié leur route, mais les preuves ne soutiennent pas que l'évitement météo seul soit la cause profonde. Les nuages convectifs fournissaient les conditions environnementales associées aux cristaux de glace et aux turbulences; ils n'ont pas commandé les commandes ultérieures, conçu les avertissements, rédigé les procédures ni déterminé le système de formation.

Vers 02h10 UTC, l'avion se trouvait près de 35 000 pieds, avec une vitesse calibrée enregistrée près de 282 nœuds et Mach 0,82. Le commandant était hors du cockpit. Le pilote en fonction et le pilote de surveillance géraient le vol dans l'obscurité et les turbulences. La séquence enregistrée qui a suivi a duré environ quatre minutes et vingt-trois secondes.

À 02h10:05, les vitesses sont devenues incohérentes. Le BEA a conclu que l'obstruction des sondes Pitot par des cristaux de glace était la cause probable. Le pilote automatique s'est déconnecté. Les commandes de vol sont passées de la loi normale à la loi de remplacement, et l'automanette s'est également déconnectée. Le cockpit a généré plusieurs changements sonores et visuels en succession rapide. Aucun message central unique n'indiquait explicitement que les sources de vitesse étaient en désaccord et ne dirigeait l'équipage vers un diagnostic.

Au lieu de cela, l'équipage a vu et entendu des conséquences système: perte d'automatisation, changement de loi, guidance changeante et indications de vitesse devenues incohérentes.

C'est le déclencheur initiateur. C'est une conclusion technique à haute confiance, pas une affirmation que les sondes seules ont causé les décès. Une analyse solide de la responsabilité préserve la différence.

Quatre minutes et vingt-trois secondes

En quelques secondes après la déconnexion, le pilote en fonction a effectué des commandes de mini-manche vers le haut et alternées latérales. L'assiette a augmenté d'environ deux degrés à environ onze degrés, et l'avion a entamé une montée rapide. Les directeurs de vol ont disparu puis sont réapparus. Les indications de vitesse ont divergé et changé. Un avertissement de décrochage a retenti brièvement.

La logique stabilisatrice standard en cas de vitesse anormale consistait à maintenir ou à établir une assiette et une poussée appropriées tout en diagnostiquant les indications. L'équipage n'a pas fait le lien entre les valeurs de vitesse perdues ou incohérentes et la procédure de vitesse anormale. Le pilote de surveillance a reconnu tardivement l'écart de trajectoire, et la correction a été insuffisante. L'avion a dépassé son altitude de croisière autorisée et a perdu de l'énergie.

Vers 02h10:51, l'avertissement de décrochage a retenti à nouveau alors que l'angle d'attaque augmentait. Le pilote en fonction a sélectionné la poussée de décollage/remise des gaz, mais l'assiette est restée élevée et les commandes vers le haut ont continué. L'avion a atteint une altitude maximale enregistrée près de 37 900 pieds puis a commencé à descendre. Un réglage de poussée élevée ne peut à lui seul récupérer un avion maintenu à un angle d'attaque excessif; la réduction de l'angle d'attaque est fondamentale.

Le commandant est retourné au cockpit après que le décrochage se soit développé. À ce moment-là, l'équipage faisait face à un avion descendant rapidement dans l'obscurité, avec des informations de vitesse contradictoires, des avertissements intermittents, de multiples commandes et aucun diagnostic partagé. L'équipage n'a pas clairement annoncé ou exécuté une récupération de décrochage.

Le comportement de l'avertissement ajoutait une caractéristique contre-intuitive. À un angle d'attaque très élevé et une vitesse calculée très basse, les valeurs d'angle d'attaque pouvaient être traitées comme invalides et l'avertissement de décrochage pouvait cesser. Une commande vers le bas pouvait rendre les valeurs à nouveau valides et réactiver l'avertissement. Ainsi, une commande déplaçant l'avion vers la récupération pouvait être accompagnée du retour de l'avertissement, tandis que l'état de décrochage profond pouvait coïncider avec le silence. Le BEA n'a pas conclu que cette logique avait mécaniquement forcé les actions de l'équipage.

Il a identifié l'environnement d'avertissement et d'indication comme faisant partie de la difficulté à reconnaître et comprendre le décrochage.

L'enregistrement des données de vol s'est terminé à 02h14:28. L'assiette enregistrée restait d'environ 16 degrés cabré, la vitesse de descente était d'environ 10 900 pieds par minute, et l'avion a heurté l'océan. Il n'y a pas eu de phase d'accident survivable ni de temps pour une transmission de détresse organisée une fois la séquence commencée. Les messages de maintenance automatisés envoyés entre 02h10 et 02h15 sont devenus les premières traces techniques disponibles pour les enquêteurs.

Aucune parole de cockpit citée n'est nécessaire pour établir cette séquence. Les paramètres de vol, la reconstitution synchronisée du BEA et son analyse des facteurs humains fournissent les preuves nécessaires sans transformer les dernières minutes de l'équipage en spectacle.

Déclencheur, chaîne causale et conditions profondes

Le déclencheur était une vitesse mesurée temporairement incohérente, probablement due à une obstruction des sondes Pitot par des cristaux de glace, suivie d'une déconnexion automatique et d'un changement de loi de pilotage. Ce déclencheur était grave mais potentiellement gérable.

La chaîne causale immédiate était la déstabilisation de la trajectoire par des commandes inappropriées; l'absence de lien entre l'anomalie de vitesse et la procédure pertinente; la surveillance tardive et la correction insuffisante; l'incapacité à identifier l'approche du décrochage; l'absence de réponse immédiate au décrochage; et l'incapacité à diagnostiquer et à récupérer du décrochage soutenu. Ce sont des paraphrases des constatations de sécurité du BEA, non des conclusions pénales sur la culpabilité individuelle.

Les conditions profondes étaient distribuées. La sensibilité de l'équipement rendait les mauvaises données possibles. L'interface présentait des conséquences sans diagnostic suffisamment direct. La disparition et la réapparition du directeur de vol compliquaient la gestion des signaux. La loi de remplacement modifiait la relation entre la commande du pilote et la protection au moment où l'équipage était déjà surpris. La logique de validité de l'avertissement de décrochage pouvait faire diverger la présence de l'avertissement et la gravité physique.

La formation n'a pas donné aux équipages long-courriers une expérience robuste et récurrente du vol manuel à haute altitude, de la reconnaissance de vitesse anormale, des signaux d'approche du décrochage ou de la récupération d'un décrochage développé. La fidélité du simulateur et la philosophie de formation limitaient ce qui pouvait être répété. La coordination de l'équipage s'est affaiblie sous l'effet de la surprise, de la saturation des tâches et d'un modèle partagé peu clair.

Le retour d'information de l'exploitant n'a pas transformé les événements antérieurs en une combinaison suffisamment efficace de matériel, de procédures, de formation et de suivi avant l'accident. Les hypothèses de certification ne prenaient pas pleinement en compte l'environnement de cristaux de glace à haute altitude ni les conséquences opérationnelles de la séquence de défaillances combinées.

Qualifier tout cela de « causes profondes » peut rendre la responsabilité vague. Une formulation plus utile est que chaque institution possédait une barrière différente:

Cette répartition n'efface pas l'agentivité de l'équipage. Les pilotes restent responsables du pilotage, de la surveillance, de la communication et de l'application des procédures. Elle explique les conditions que les institutions doivent créer pour que cette responsabilité soit significative plutôt que rétrospective. Un équipage ne peut pas pratiquer un scénario que le système de formation omet, ne peut pas inspecter une règle d'avertissement que la documentation n'explique pas, et ne peut pas reconcevoir indépendamment une norme de qualification de capteur.

L'indication n'était pas la compréhension

Les cockpits modernes peuvent présenter de nombreuses alertes et ne pas communiquer le problème principal. Dans le vol 447, l'automatisation s'est désengagée comme prévu lorsque les données sont devenues non fiables, mais l'équipage n'a pas reçu une déclaration unique, persistante et de haut niveau reliant l'événement. Le problème central n'était pas une absence totale d'information. C'était la conversion de multiples changements en un modèle mental correct sous la pression du temps.

La perte d'automatisation elle-même a augmenté la charge de travail. La loi de remplacement a supprimé les protections de la loi normale et modifié les caractéristiques de pilotage. Les directeurs de vol ne sont pas restés constamment absents après le problème de données. Leur retour pouvait conférer une autorité apparente à un guidage généré dans un environnement de données instable. Les mini-manches des pilotes n'étaient pas mécaniquement liés, de sorte qu'un pilote ne ressentait pas la commande de l'autre via une colonne de commande mobile.

Le cockpit fournissait des indications visuelles et sonores de double commande, mais ces signaux devaient rivaliser avec le reste de l'événement.

L'avertissement de décrochage était une couche supplémentaire plutôt qu'un diagnostic décisif. Les équipages avaient rencontré de courts avertissements de type nuisance lors de certains événements antérieurs de vitesse anormale. Les conditions détaillées dans lesquelles l'avertissement cessait et reprenait ne faisaient pas partie des connaissances normales des pilotes. Lorsque l'avion entrait dans une région où les données d'angle d'attaque étaient traitées comme invalides, l'avertissement cessait même si le décrochage aérodynamique se poursuivait. Le système ne fournissait donc pas une relation monotone simple entre le danger et l'alarme.

Ce serait une allégation, et non un fait établi, de dire qu'une alerte unique différente aurait certainement sauvé l'avion. La réponse humaine ne peut pas être rejouée dans des conditions modifiées. Il s'agit cependant d'un jugement de sécurité défendable selon lequel l'interface devrait rendre l'état de plus haut niveau plus facile à reconnaître: vitesse anormale, loi de pilotage modifiée, tendance de trajectoire, angle d'attaque excessif et priorité de réduire l'angle d'attaque. La preuve appropriée est un test comparatif humain dans la boucle, y compris des équipages qui ne savent pas quand l'événement se produira.

Formation, surprise et coordination d'équipage

Au moment de l'accident, le vol manuel à haute altitude et la récupération d'un décrochage développé n'étaient pas des sujets de formation récurrente robuste pour cette exploitation long-courrier. Les démonstrations de transition de type étaient généralement effectuées à plus basse altitude, en mettant l'accent sur la prévention du décrochage et la minimisation de la perte d'altitude.

La documentation opérationnelle ne garantissait pas que les équipages comprenaient la logique d'avertissement complète ou avaient expérimenté à plusieurs reprises la combinaison de vitesse anormale, de perte d'automatisation, de loi de remplacement, de turbulences, de guidage ambigu et de gestion de l'énergie à haute altitude.

Les omissions de formation ne signifient pas que les pilotes n'avaient aucune connaissance pertinente. Ils étaient des professionnels licenciés et qualifiés, et les principes aérodynamiques de base s'appliquaient. La question de responsabilité est de savoir si le système de formation rendait ces principes récupérables et exécutables lors d'un événement non normal rare et surprenant. La reconnaissance sous la surprise est une capacité différente de répondre à une question en classe ou d'effectuer une manœuvre scriptée après que l'instructeur l'ait annoncée.

L'absence temporaire du commandant était autorisée par les arrangements d'exploitation long-courrier. Le problème n'était pas le repos en soi, mais la résilience pendant la période de relève: répartition de l'expérience, partage des tâches entre les deux copilotes, critères et urgence pour rappeler le commandant, et capacité du commandant de retour à acquérir un modèle correct à partir d'un cockpit saturé. Le commandant est revenu, mais l'équipage n'a jamais formé et verbalisé un diagnostic partagé stable d'un décrochage soutenu.

La gestion des ressources de l'équipage est parfois invoquée comme un remède général. C'est trop vague. Un contrôle pratique exigerait des appels explicites pour l'état de l'avion, les paramètres fiables par rapport aux paramètres non fiables, le statut de la loi de pilotage, qui a le contrôle, les objectifs d'assiette et de poussée, la tendance de trajectoire et la condition pour abandonner les commandes du directeur de vol. Le pilote de surveillance a besoin à la fois d'autorité et d'un langage pratiqué pour contester les commandes déstabilisatrices.

Le pilote en fonction a besoin d'une réponse entraînée qui commence par la stabilisation, non par une poursuite improvisée d'indications suspectes. Le commandant qui revient du repos a besoin d'un transfert compressé et structuré plutôt que de fragments.

La réglementation et les orientations de formation ont ensuite évolué vers une formation à la prévention et à la récupération des perturbations, y compris le vol manuel à haute altitude et les scénarios de décrochage dans des simulateurs qualifiés. Ces changements abordent la famille de dangers, mais la publication d'une règle n'est pas une preuve de l'efficacité au niveau de l'exploitant.

La chaîne de preuves doit se poursuivre à travers la conception du programme, la qualification du simulateur, la normalisation des instructeurs, les résultats des scénarios de surprise, l'analyse des défaillances récurrentes, la formation corrective et l'échantillonnage indépendant.

La responsabilité organisationnelle d'Air France

Air France contrôlait la configuration de la flotte, les instructions de maintenance, les procédures opérationnelles, la formation des équipages, la planification, les comptes rendus de sécurité, l'analyse des précurseurs et la rapidité avec laquelle les mesures d'atténuation volontaires étaient mises en œuvre. Elle ne contrôlait pas chaque décision de conception ou de certification en amont, mais elle possédait l'intégration de ces éléments dans son exploitation.

La décision de remplacement des sondes avant l'accident montre que l'exploitant agissait sur le problème. Elle révèle également la valeur de la responsabilité quant au calendrier de mise en œuvre. Une décision qui n'a pas atteint un avion particulier n'est pas encore un contrôle sur cet avion. Le dossier doit donc distinguer l'approbation, l'achat, le début de l'installation, l'achèvement de la flotte et les performances vérifiées après modification. Pour le F-GZCP, le remplacement n'avait pas eu lieu.

Après l'accident, Air France a signalé plusieurs mesures de gouvernance de la sécurité, notamment l'examen externe Trajectoire, des changements dans la culture de sécurité et les comptes rendus, un comité de sécurité des vols au conseil d'administration et un travail plus large de gestion de la sécurité. Ce sont des affirmations de première partie. Elles sont pertinentes car elles identifient les changements de gouvernance prévus, mais elles n'établissent pas de manière indépendante que les contrôles ont empêché la récurrence.

Les volumes de rapports agrégés montrent également l'utilisation d'un canal de rapport, pas nécessairement la qualité de la classification des risques, des actions correctives ou de la clôture.

La responsabilité durable de l'exploitant est de démontrer que les événements précurseurs sont liés. Neuf rapports de vitesse anormale ne doivent pas rester neuf fichiers isolés. Ils doivent devenir un danger de flotte unique avec un propriétaire exécutif responsable, une estimation de l'exposition, des contrôles opérationnels provisoires, une décision matérielle, une décision de formation, une notification au régulateur, une date limite d'achèvement et un test d'efficacité. Si les équipages n'appliquent pas à plusieurs reprises une procédure, la réponse ne peut pas se limiter à leur rappeler de se conformer.

L'exploitant doit tester si la procédure est trouvable, intelligible, formée, compatible avec les signaux et exécutable au niveau de charge de travail réel.

Responsabilité du constructeur et de la certification

Airbus contrôlait l'intégration au niveau de l'avion: l'interaction des capteurs, des ordinateurs, des systèmes automatiques, des lois de pilotage, des avertissements, du comportement du directeur de vol, des procédures et des hypothèses de formation. Les fournisseurs d'équipements contrôlaient la conception des sondes dans leur périmètre. L'AESA et d'autres autorités contrôlaient les décisions de certification et de maintien de la navigabilité dans leurs juridictions.

La certification est nécessairement basée sur des environnements et des combinaisons de défaillances définis. Le vol 447 a démontré le risque lorsque les conditions opérationnelles sortent de ces définitions ou en exposent les limites. La directive post-accident de l'AESA exigeait le retrait d'un standard de sonde et des modifications de certaines configurations tout en décrivant l'action comme précautionneuse. Ce dossier doit être lu avec précision. Il soutient une réponse de configuration obligatoire à une condition dangereuse identifiée.

Il ne prouve pas que les tests d'avant l'accident avaient reproduit l'événement fatal ou que la sonde originale n'a pas satisfait à toutes les exigences de certification alors en vigueur.

Le maintien de la navigabilité doit combler cet écart. Une fois que les rapports de terrain s'accumulent, la question pratique n'est plus de savoir si le test original peut être répété exactement. Il s'agit de savoir si la combinaison de la fréquence, du potentiel de gravité, de la confusion opérationnelle et des alternatives disponibles justifie une action provisoire. Cette décision nécessite un seuil de risque écrit et un calendrier. Sinon, les études du constructeur, les essais de l'exploitant, les modifications du fournisseur et la délibération de l'autorité peuvent chacun être raisonnables isolément tandis que la flotte reste exposée.

Les facteurs humains au niveau de l'avion appartiennent également aux preuves de certification. Un test de réversion de mode réussi ne devrait pas demander seulement si les voyants corrects se sont allumés ou si l'avion est resté contrôlable par un pilote d'essai expert qui s'attendait à l'événement. Il devrait demander si des équipages de ligne représentatifs, sans avertissement préalable, identifient correctement les données non fiables, suppriment les guidages trompeurs, stabilisent l'assiette et la poussée, se coordonnent et récupèrent avant que la trajectoire ne devienne dangereuse.

La matrice de test devrait inclure la nuit, les turbulences, la haute altitude, différents binômes d'équipage, des valeurs de capteurs invalides et en cours de récupération, des transitions d'alerte répétées et des conditions de double commande.

Les parties concernées

Les victimes directes étaient les 216 passagers et 12 membres d'équipage. Leurs familles et communautés ont supporté la perte permanente, l'incertitude prolongée lors des recherches, les processus d'identification, les procédures judiciaires et la répétition publique des dernières minutes. Le fait que les pilotes aient été des acteurs opérationnels ne les retire pas du groupe des victimes ni ne justifie de réduire l'événement à une erreur personnelle.

Le personnel de recherche et de sauvetage a également effectué un travail difficile et dangereux sur une vaste zone océanique et à des profondeurs extrêmes. Des agences publiques, Air France, Airbus, des institutions scientifiques, des moyens navals, des entrepreneurs et des spécialistes ont contribué aux ressources. Le BEA a indiqué que cinq phases de recherche sur deux ans ont coûté plus de 30 millions d'euros. Il s'agit d'une estimation administrative officielle pour l'effort de recherche, et non d'une estimation complète du coût économique ou social de la catastrophe.

Le groupe affecté plus large comprend les passagers et les équipages actuels et futurs dont la sécurité dépend de la survie des leçons au-delà du roulement du personnel et des changements de flotte. Les exploitants et les constructeurs de l'ensemble de l'industrie ont absorbé de nouvelles attentes en matière de formation, de suivi, d'enregistreurs et d'équipement. Les régulateurs ont dû décider quelles leçons nécessitaient une action obligatoire et lesquelles restaient des orientations.

Ces charges sont des conséquences légitimes de la prévention, mais elles doivent être mesurées pour que la conformité ne devienne pas un substitut à l'efficacité.

Le remède a plusieurs formes. Les familles peuvent rechercher la reconnaissance, une compensation et un jugement. Le droit pénal peut déclarer une faute institutionnelle et imposer des sanctions. L'enquête de sécurité peut identifier des changements préventifs. La réglementation peut modifier les contrôles minimaux. Les entreprises peuvent fournir un soutien et réformer leurs opérations. Aucun n'est interchangeable. Une amende ne rend pas la vie; une compensation ne prouve pas un contrôle de formation; une recommandation ne détermine pas la culpabilité; et un programme de sécurité d'entreprise ne règle pas les réclamations légales.

Recherche, récupération et droit à des preuves fiables

Pendant près de deux ans, les enregistreurs décisifs étaient manquants. La première recherche a commencé le 1er juin 2009. Entre le 6 et le 18 juin, les équipes ont récupéré des débris flottants et les restes de 50 personnes. Des recherches acoustiques pour les balises de localisation sous-marines ont suivi, et des campagnes supplémentaires ont utilisé une analyse de plus en plus fine de la dérive, des performances de l'avion et de la probabilité d'une couverture de recherche antérieure.

La quatrième grande phase de recherche océanique a commencé en mars 2011. Le 3 avril, le champ de débris a été localisé à environ 6,5 milles marins au nord de la dernière position connue à environ 3 900 mètres de profondeur. L'enregistreur de données de vol a été trouvé le 1er mai et récupéré le lendemain. L'enregistreur phonique a été récupéré le 3 mai. Le BEA a annoncé que les données pouvaient être lues le 13 mai. Sous autorité judiciaire, l'opération de récupération a également remonté des restes supplémentaires pour identification.

Avant les enregistreurs, les enquêteurs disposaient de messages de maintenance automatisés, de données météorologiques, de débris, de dossiers opérationnels et de preuves d'événements antérieurs. Ces sources soutenaient des hypothèses mais ne pouvaient pas établir la séquence de commandes. La récupération des enregistreurs a transformé l'affaire. Elle a réfuté certaines spéculations, révélé le décrochage soutenu, synchronisé les avertissements et les commandes, et permis des recommandations fondées sur la chaîne réelle.

Cet historique fait de la récupérabilité des preuves un contrôle de sécurité substantiel, et non une réflexion administrative a posteriori. Un système responsable devrait être capable de localiser rapidement un avion en détresse, de préserver une durée d'enregistrement suffisante, de maintenir l'efficacité des dispositifs de localisation pendant l'intervalle de recherche probable et de récupérer ou de transmettre des données critiques. Des règles européennes ultérieures ont étendu la durée de la balise sous-marine et renforcé les exigences d'enregistrement et de suivi pour certaines populations d'aéronefs définies.

L'exigence de suivi automatique de détresse de l'OACI, applicable à certains grands aéronefs nouvellement certifiés à partir de 2024, ajoute une transmission de position minute en détresse. Ce sont des avancées importantes, mais leurs portées et leurs dates d'effet comptent. Elles n'équipent pas rétroactivement chaque avion ni ne garantissent la récupération dans tous les environnements.

La métrique durable n'est pas de savoir si une règle existe. C'est le temps entre l'événement anormal et la dernière position de confiance, la probabilité qu'une balise fonctionne pendant la fenêtre de recherche prévue, la survivabilité de l'enregistreur, la disponibilité des moyens de récupération, le succès de la lecture des données et la fréquence des exercices de bout en bout. Les rapports publics devraient indiquer clairement quels segments de flotte sont couverts et lesquels restent en dehors des exigences les plus récentes.

Enquête de sécurité et jugement pénal

Le BEA indique à plusieurs reprises qu'une enquête de sécurité vise à prévenir les futurs accidents et ne répartit pas le blâme ou la responsabilité. Ses rapports peuvent fournir des preuves à d'autres processus, mais son langage causal ne doit pas être traité comme un verdict pénal. Cette séparation institutionnelle protège l'analyse de sécurité candide et préserve les tests juridiques distincts appliqués par les tribunaux.

La voie judiciaire a été longue. Les juges d'instruction ont rendu une ordonnance de non-lieu en 2019. En 2021, la chambre de l'instruction a ordonné le renvoi en procès d'Air France et d'Airbus, et la Cour de cassation n'a pas admis les recours des sociétés contre ce renvoi. Le tribunal correctionnel de Paris a acquitté les deux sociétés le 17 avril 2023. Le procureur général a fait appel.

Après les audiences d'appel du 29 septembre au 27 novembre 2025, la Cour d'appel de Paris a rendu son arrêt le 21 mai 2026. Son document officiel de points clés indique qu'Air France et Airbus ont été condamnées pour homicide involontaire et chacune condamnée à une amende de 225 000 EUR, le maximum légal mentionné dans le document. Il s'agit d'une constatation judiciaire, non d'une allégation. Elle a infirmé l'acquittement de 2023.

Le caractère définitif est une question distincte. Airbus a annoncé qu'il se pourvoirait en cassation. Les rapports contemporains indiquaient qu'Air France avait également l'intention de le faire. Un pourvoi en cassation examine la validité juridique plutôt que de mener un nouveau procès factuel complet. À la date limite du 17 juillet 2026, l'issue n'était pas résolue. Il serait donc inexact de décrire les condamnations comme étant au-delà de tout examen ultérieur.

Le matériel public accessible de la cour d'appel est concis. Il fournit des points clés et une déclaration résumée des fautes retenues, mais ce n'est pas l'arrêt motivé complet. Cette distinction compte car un court résumé public peut confirmer l'existence des condamnations, des amendes, des dates procédurales et des grandes catégories de fautes sans permettre une reconstruction page par page du raisonnement juridique de la cour.

Les comptes rendus secondaires décrivent la cour comme ayant identifié des défaillances d'entreprise liées à l'information, à la formation et à la gestion du risque lié aux sondes, mais ces descriptions ne doivent pas être élevées au-dessus du dossier officiel. L'énoncé robuste est plus étroit: la cour d'appel a condamné les deux personnes morales et imposé les amendes indiquées; la portée publique du raisonnement détaillé et la procédure de cassation pendante limitent toutes deux l'interprétation finale.

La réparation civile n'est également que partiellement visible. Un arrêt de la Cour de cassation de 2015 concernant une indemnisation provisoire a confirmé une décision qui traitait la responsabilité au-dessus du seuil de la Convention de Montréal comme sérieusement contestée à ce stade procédural. Il n'a pas déterminé l'indemnisation finale de chaque famille ni publié les termes des accords privés. Toute estimation de l'indemnisation totale serait donc spéculative.

Ce que les remèdes ont changé, et ce qu'ils n'ont pas pu

L'action matérielle a été directe. Air France a achevé le changement des sondes, et la directive de navigabilité 2009 de l'AESA a imposé des modifications de configuration pour les flottes d'A330 et d'A340 concernées. Une configuration de sonde différente réduit un risque initiateur. Elle ne traite pas chaque cause de la séquence et ne peut pas éliminer tous les événements de données aérodynamiques non fiables.

L'action de formation s'est élargie. L'AESA a promu la formation au vol manuel à haute altitude et les règles européennes ultérieures ont intégré la formation à la prévention et à la récupération des perturbations dans les parcours de pilote professionnel et de qualification de type. Les simulateurs de vol qualifiés étaient censés prendre en charge des scénarios proches de l'altitude maximale d'exploitation.

La réparation est conceptuellement alignée sur l'accident: les pilotes doivent faire l'expérience de la surprise, de la perte d'énergie, des signaux d'approche du décrochage et des priorités de récupération avant de les rencontrer en ligne.

Les travaux de conception et de certification ont porté sur le givrage des sondes Pitot, la politique d'automatisation, l'enregistrement des vols, les avertissements et les questions de formation. Les leçons des recherches ont contribué à des dispositifs de localisation de plus longue durée, à un meilleur suivi et à des exigences d'enregistrement. Air France a décrit des réformes internes de gouvernance de la sécurité et un examen indépendant.

Chaque remède a une limite. Le remplacement des sondes est spécifique à une configuration. La formation se dégrade sauf si elle est récurrente, réaliste et évaluée. La fidélité du simulateur peut ne pas reproduire chaque signal aérodynamique. Les orientations peuvent être non obligatoires. Les nouvelles règles de suivi peuvent ne s'appliquer qu'aux aéronefs certifiés pour la première fois après une certaine date. La durée et la localisation des enregistreurs n'empêchent pas elles-mêmes un accident. Les comités du conseil d'administration peuvent exister sans résoudre les précurseurs les plus à risque.

Les amendes pénales peuvent reconnaître une faute institutionnelle mais sont petites par rapport à l'ampleur de la perte et ne peuvent pas prouver une réparation opérationnelle.

Il y a aussi une limite d'attribution. De nombreuses règles ultérieures ont été façonnées par plusieurs accidents et études de l'industrie, pas uniquement par le vol 447. Il est approprié de dire que les recommandations du vol 447 ont contribué au dossier politique lorsque l'instrument officiel le dit. Il n'est pas approprié de prétendre que chaque réforme de la formation aux perturbations ou du suivi a été causée exclusivement par cet accident.

Comparaison: la même famille de dangers, des résultats différents

La comparaison la plus utile se situe au sein des preuves antérieures à l'accident. Les neuf événements antérieurs de vitesse anormale d'Air France ne sont pas devenus des décrochages soutenus mortels. Cela ne signifie pas qu'ils étaient inoffensifs, ni n'établit que les équipages étaient confrontés aux mêmes conditions exactes. Cela démontre que l'incohérence temporaire de vitesse n'était pas mécaniquement équivalente à la perte de l'avion.

Cette divergence aide à identifier les barrières. Dans un événement qui reste contrôlé, l'équipage maintient l'assiette et la poussée dans une région sûre, surveille la trajectoire avec des paramètres fiables, reconnaît la procédure de vitesse anormale, se coordonne et évite de poursuivre de fausses données. Dans le vol 447, ces barrières n'ont pas tenu à temps. La famille technique initiatrice était familière; la conséquence était différente parce que la combinaison particulière de commandes, d'indications, de logique d'avertissement, d'altitude, de surprise, de coordination et de formation a permis à l'état énergétique de se dégrader.

Cette comparaison discipline également les affirmations concernant le matériel. Si chaque événement antérieur était survivable, il serait faux de dire que les sondes seules ont prédéterminé le crash. Si des événements répétés existaient et qu'un changement de flotte était déjà en cours, il serait tout aussi faux de traiter le danger initiateur comme un bruit imprévisible. La responsabilité réside dans l'intervalle entre la reconnaissance d'un signal récurrent et l'efficacité de toutes les barrières nécessaires.

Une deuxième comparaison est temporelle. Avant la récupération des enregistreurs, la compréhension publique dépendait fortement de messages épars et d'hypothèses concurrentes. Après la récupération, les enquêteurs ont pu identifier le décrochage soutenu et la séquence réelle des commandes. L'avion n'a pas changé; la qualité de la connaissance institutionnelle, oui. C'est pourquoi les données durables font partie de la légitimité publique.

Les familles, les tribunaux, les régulateurs, les équipages et les ingénieurs ne devraient pas avoir à se fier à la confiance institutionnelle lorsque des preuves récupérables peuvent établir ce qui s'est passé.

Un standard de contrôle pratique

Un exploitant, un constructeur ou un régulateur affirmant que les leçons du vol 447 sont mises en œuvre devrait être en mesure de produire des preuves par rapport à un standard de contrôle concret.

Premièrement, le contrôle des données aérodynamiques devrait identifier chaque configuration de sonde installée, les aéronefs concernés, la base de certification, les limites environnementales connues, les taux de défaillance et de nuisance, les bulletins de service ouverts, le statut de la directive et le délai de mise en œuvre des actions correctives. Les données de tendance devraient combiner les défauts de maintenance et les rapports opérationnels plutôt que de les traiter comme des populations distinctes.

Deuxièmement, le contrôle de transfert devrait définir ce que l'équipage voit et entend lorsque l'automatisation rejette les données. Des preuves de test devraient montrer que les équipages de ligne identifient le problème, comprennent le changement de loi de pilotage, rejettent les guidages non fiables et stabilisent la trajectoire. Les résultats devraient être stratifiés par expérience, rôle, surprise, altitude, turbulences et binôme d'équipage. Les moyennes seules peuvent cacher une queue dangereuse de réponses tardives ou incorrectes.

Troisièmement, le contrôle de formation devrait mesurer les performances. Les enregistrements devraient capturer le temps nécessaire pour établir une assiette et une poussée sûres, l'excursion maximale d'altitude et de vitesse, le temps pour identifier le décrochage, la réduction de l'angle d'attaque, la qualité du partage des tâches, la gestion de la double commande et si l'équipage utilise un appel diagnostique clair. Un certificat de présence prouve l'exposition, non la compétence.

Quatrièmement, le contrôle de gestion des précurseurs devrait relier les rapports aux décisions. Chaque famille d'événements récurrents devrait avoir un énoncé de danger, une évaluation de la gravité et de l'exposition, un propriétaire responsable, des mesures d'atténuation temporaires, une action corrective permanente, une date limite, un seuil d'escalade, une interface avec le régulateur et un examen d'efficacité indépendant. La clôture devrait être rouverte si les données de terrain contredisent les hypothèses.

Cinquièmement, le contrôle de récupération des preuves devrait indiquer la latence de la dernière position connue, la couverture de suivi, l'endurance de la balise, la durée de l'enregistreur, la capacité de lecture et les exercices de récupération. Les exemptions et les aéronefs plus anciens en dehors des nouvelles règles devraient être visibles plutôt que cachés dans les moyennes de flotte.

Sixièmement, la gouvernance devrait rendre le risque résiduel lisible. Un comité de sécurité du conseil d'administration devrait recevoir les familles de précurseurs les plus graves, les contrôles en retard, les scénarios de formation échoués, les constats non résolus du régulateur et les avis techniques divergents. Les comptes rendus n'ont pas besoin d'exposer des données personnelles ou sensibles sur le plan de la sécurité, mais ils devraient laisser une trace vérifiable de la décision, du responsable, des ressources et du suivi.

Ces contrôles répartissent la responsabilité sans prétendre qu'une organisation peut garantir zéro accident. Le standard n'est pas la perfection. Il s'agit de savoir si l'institution peut montrer qu'elle a reconnu le danger, sélectionné une barrière proportionnée, mis en œuvre sur la population exposée, testé dans des conditions réalistes, trouvé des défaillances et les a corrigées.

Vérification durable en juillet 2026

Le dossier public soutient plusieurs conclusions à haute confiance. Les configurations de sondes ont été modifiées par l'action de l'exploitant et une directive obligatoire de l'AESA. Les recommandations de l'enquête de sécurité ont porté sur la formation, la certification, le comportement des avertissements et des affichages, le retour d'information de l'exploitant, la supervision, la recherche et l'enregistrement. Les exigences européennes de prévention et de récupération des perturbations sont devenues plus explicites. Les règles de suivi et d'enregistrement ont été renforcées pour certaines catégories d'aéronefs.

Air France a signalé des changements de gouvernance de la sécurité. L'affaire pénale a abouti à une condamnation des sociétés en appel, sous réserve d'un examen ultérieur.

Le dossier public est moins complet sur l'efficacité. Aucun dossier de clôture unique, spécifique à l'événement, ne lie les 41 recommandations du BEA à des artefacts de mise en œuvre, une acceptation indépendante, une couverture de flotte et des résultats mesurés. Les rapports de l'exploitant décrivent des programmes à un niveau élevé mais ne publient pas les performances de formation récurrente au niveau des scénarios ni une mesure avant-après contrôlée pour les événements de surprise de type vol 447.

Les dossiers publics de certification et de réglementation montrent des normes et des actions, mais pas tous les résultats de tests humains dans la boucle. Les règlements civils privés et les résultats de soutien ne sont pas complètement publics. Les résumés officiels de l'appel de 2026 ne remplacent pas l'arrêt complet et ne fonctionnent pas comme un audit de mise en œuvre des recommandations techniques de sécurité.

Ce sont des incertitudes, pas des preuves qu'aucune réparation n'a eu lieu. Elles définissent ce qu'un ensemble de vérification durable devrait ajouter.

Un ensemble solide préserverait la recommandation du BEA, l'organisme responsable, la réponse formelle, le changement technique ou opérationnel mis en œuvre, la population couverte, la date d'achèvement, le test d'acceptation, le résultat, les limites résiduelles et la date de réévaluation. Il conserverait des scénarios de simulateur versionnés et des performances agrégées anonymisées. Il montrerait si les schémas antérieurs de vitesse anormale réapparaissent avec un équipement ou un logiciel différent. Il documenterait les exemptions aux exigences de suivi et d'enregistrement.

Il lierait l'examen du conseil d'administration à la clôture des actions correctives.

L'ensemble devrait également préserver le désaccord. Si l'exploitant, le constructeur, le régulateur, les enquêteurs et les tribunaux utilisent un langage causal différent, le dossier ne devrait pas forcer un consensus artificiel. Il devrait identifier quelle institution a fait quelle constatation, sous quel mandat, en utilisant quelles preuves et avec quel statut d'appel ou d'examen. C'est ainsi que l'apprentissage technique et la responsabilité juridique peuvent coexister sans que l'un ne déforme l'autre.

Conclusion sur la responsabilité

Le vol 447 n'était pas une histoire morale sur l'automatisation remplaçant les pilotes, ni une preuve que le contrôle humain est intrinsèquement plus sûr. Le retrait du pilote automatique face à des données suspectes était rationnel. L'échec était que le transfert résultant s'est produit au sein d'un système qui ne soutenait pas de manière fiable le diagnostic, la stabilisation, la coordination et la récupération dans les conditions réelles.

L'obstruction des sondes Pitot était le déclencheur. La perte de sustentation soutenue s'est développée par des commandes manuelles et des occasions de récupération manquées. Les conditions profondes s'étendaient au-delà du cockpit jusqu'à la robustesse des capteurs, la sémantique des modes et des avertissements, la formation à haute altitude, la capacité du simulateur, l'apprentissage des précurseurs par l'exploitant, les hypothèses de certification, la supervision et la récupérabilité des preuves. La responsabilité incombe donc à des barrières spécifiques, non à un système indifférencié.

Air France était responsable de l'intégration sûre de l'avion, des procédures, de la formation, de la maintenance, des comptes rendus et des changements de flotte. Airbus était responsable de l'intégration de la conception au niveau de l'avion, des informations et du soutien dans son périmètre. Les fournisseurs d'équipements et les autorités détenaient leurs propres obligations définies. Les pilotes détenaient des devoirs opérationnels, mais ces devoirs existaient au sein d'outils et d'une préparation conçus par les institutions. Le BEA a établi la chaîne de sécurité technique.

La Cour d'appel de Paris a ensuite imposé une responsabilité pénale aux deux personnes morales, tandis que l'examen en cassation restait pendant à la date limite.

La leçon durable est opérationnelle. Lorsque l'automatisation rend le contrôle, l'équipe réceptrice a besoin de plus qu'une alarme et un manuel. Elle a besoin d'un état compréhensible, d'une action stabilisatrice répétée, d'une autorité coordonnée, d'une pratique réaliste et de preuves que l'ensemble du contrôle fonctionne sous la surprise. Lorsqu'une institution dit que ces conditions existent désormais, elle devrait être en mesure de les prouver.

Notes sources

1. Lapage d'enquête du BEAfournit la chronologie officielle de l'événement, des recherches, de la récupération des enregistreurs, de la publication et de l'objectif de l'enquête.
2. Lerapport final du BEAest le dossier technique principal pour la séquence de vol, les événements antérieurs de vitesse anormale, les systèmes de l'avion, la formation, le retour d'information de l'exploitant, les constatations causales et les recommandations.
3. Lepremier rapport intermédiairepréserve l'état précoce des preuves avant la récupération des enregistreurs et limite le biais de rétrospection.
4. Ledeuxième rapport intermédiairedocumente les travaux techniques et opérationnels avant la localisation de l'épave.
5. Letroisième rapport intermédiairefournit la chronologie basée sur les enregistreurs et la première analyse de sécurité post-récupération du BEA.
6. L'annexe de chronologie des données de volsoutient la séquence de temps, altitude, assiette, avertissement, guidage et loi de pilotage.
7. L'annexe de procédure de vitesse anormale d'Air Franceenregistre la procédure de l'exploitant pertinente pour la stabilisation et le diagnostic.
8. L'annexe de procédure de vitesse anormale d'Airbuspermet une comparaison entre le matériel procédural du constructeur et de l'exploitant.
9. L'annexe de formation d'Air Francesoutient la description du contenu de la formation en vigueur au moment de l'accident.
10. L'annexe de certification des sondes Pitotfournit le contexte du domaine de certification et ses limites.
11. L'annexe de procédure de décrochage d'Air Franceenregistre la procédure supplémentaire de l'exploitant et son placement.
12. L'annexe d'avertissement de décrochage d'Airbussoutient l'analyse de la logique d'avertissement et de la documentation.
13. Lesrecommandations finales du BEAidentifient des actions préventives dans les domaines de la certification, de la formation, des opérations, de la supervision, de la recherche et de l'enregistrement sans attribuer de responsabilité.
14. Lerapport de recherche océanique du BEAdocumente l'ampleur, les phases, les méthodes et le résultat de la recherche en eaux profondes.
15. Lerapport du groupe de travail sur la récupération des données de volsoutient le traitement du suivi et des preuves récupérables en tant que contrôles préventifs.
16. Directive de navigabilité AESA 2009-0195fournit l'action obligatoire post-accident sur la configuration des sondes Pitot et son contexte de certification précautionneux.
17. La réponse de l'AESA au rapport finalenregistre le travail déclaré de l'autorité sur le givrage, l'automatisation, la formation et les recommandations connexes.
18. Bulletin d'information de sécurité AESA 2015-17R1traite de la vitesse anormale et du vol manuel à haute altitude mais est une orientation non obligatoire.
19. Règlement (UE) 2018/1974 de la Commissionfournit les exigences ultérieures de formation à la prévention et à la récupération des perturbations.
20. Règlement (UE) 2015/2338 de la Commissionenregistre les exigences ultérieures en matière d'enregistreurs de vol, de localisation sous-marine et de suivi et relie expressément des parties de l'action aux recommandations de l'accident.
21. Orientations de l'OACI sur le suivi automatique de détressedéfinit la portée et la date de l'exigence plus récente de position minute en détresse.
22. L'arrêt de la Cour de cassation de 2021établit le renvoi procédural d'Air France et d'Airbus devant le tribunal correctionnel.
23. Lapage des communiqués de presse de la Cour d'appel de Parisest le contexte public officiel pour les documents d'appel Rio-Paris du 21 mai 2026.
24. Ledocument de points clés de la Cour d'appel de Paris du 21 mai 2026est la source officielle pour les condamnations en appel, les amendes et la chronologie procédurale.
25. La déclaration d'Airbus du 21 mai 2026est une preuve de première partie de sa décision de se pourvoir en cassation, non une analyse indépendante du jugement.
26. Unarrêt civil de la Cour de cassation de 2015fournit le point limité sur l'indemnisation provisoire et ne doit pas être lu comme un compte rendu complet des réparations familiales.
27. Unrapport contemporain sur le jugement de 2026est utilisé uniquement pour la position rapportée d'Air France sur le pourvoi en cassation et pour un contexte non disponible dans le court résumé officiel; il reste secondaire par rapport au dossier du jugement.