Quatre minutes après son décollage de l'aéroport de Singapour Changi le 4 novembre 2010, le vol 32 de Qantas atteignait 7 400 pieds d'altitude lorsque les passagers entendirent une détonation : d'abord une forte détonation, puis une seconde, plus violente, qui fit trembler la cabine. Aux commandes, le commandant Richard de Crespigny l'entendit également. “ C'était plus fort que tout ce que j'avais jamais entendu dans le simulateur ”, se souvint-il plus tard. “ Mais il s'agissait manifestement d'une panne moteur. ”

C'était bien plus grave. Le moteur Rolls-Royce Trent 900 n° 2 du géant Airbus A380 venait de se désintégrer lors d'une panne non contenue – le type de panne où le carter moteur ne parvient pas à retenir les débris. Des fragments d'un disque de turbine, projetés avec une énergie colossale, ont perforé l'aile gauche, sectionné des faisceaux de câbles et déclenché une avalanche de messages d'erreur électroniques qui allaient occuper l'équipage pendant près de deux heures.

Il y avait 469 personnes à bord du tout nouveau superjumbo du monde, un avion que Qantas avait fièrement baptisé Nancy-Bird Walton. Le fait que tous soient sortis indemnes — calmement, en descendant un seul escalier — témoigne d'un des plus remarquables exploits de pilotage de l'aviation moderne. Et d'un heureux concours de circonstances qui a réuni cinq pilotes expérimentés dans un même cockpit.

Deux explosions au-dessus de l'île de Batam

Le vol QF32 avait décollé de Changi à 9h57, à destination de Sydney, pour la deuxième étape de son voyage depuis Londres. À 10h01, au-dessus de l'île de Batam en Indonésie, le disque de turbine moyenne pression du moteur n° 2 s'est détaché. Les enquêteurs ont établi par la suite qu'il s'était brisé en trois fragments à haute énergie. Des morceaux de moteur ont traversé le revêtement de l'aile et se sont abattus sur Batam, certains atterrissant sur des maisons et une école. Miraculeusement, personne au sol n'a été blessé.

Dans le cockpit, de Crespigny et son équipage ont appliqué les consignes de pilotage habituelles : piloter l’avion en premier. Maintien d’altitude, sélection du cap, stabilisation. Ce n’est qu’alors, environ 40 à 50 secondes après l’explosion, qu’est arrivé l’appel radio : “ Pan, Pan, Pan, Qantas 32, panne moteur, moteur numéro deux, maintien de 7 400 pieds, maintien du cap actuel. Attendez les instructions. ”

Un appel “ Pan ” signale l'urgence, un cran en dessous de Mayday. Il reflétait l'évaluation initiale de l'équipage : l'avion volait, les ailes étaient à l'horizontale et il n'y avait pas lieu de paniquer. Ce que les pilotes ne pouvaient pas encore constater, c'était l'état de leur appareil. Du carburant s'échappait de trous dans l'aile gauche. L'un des deux systèmes hydrauliques était hors service. Environ la moitié des réseaux informatiques de l'avion étaient compromis.

De Crespigny dira plus tard que 21 des 22 principaux systèmes de l'A380 avaient été endommagés ou dégradés ce matin-là ; selon son décompte, le seul système intact était celui de l'oxygène des passagers, qui n'était pas nécessaire puisque l'avion est resté en dessous de 10 000 pieds.

Armageddon ECAM

Les cockpits des Airbus modernes sont conçus autour de l'ECAM (Electronic Centralised Aircraft Monitor), un système qui surveille environ 250 000 capteurs et paramètres et génère des listes de vérification en cas de problème. Lors d'une mauvaise simulation, un équipage peut être amené à exécuter quatre de ces listes. Sur le vol QF32, une quarantaine de listes se sont affichées dès les premières secondes, suivies d'une soixantaine d'autres. Au moment où l'avion s'est immobilisé, les pilotes avaient exécuté environ 100 listes de vérification en vol et une vingtaine au sol.

Certaines listes de contrôle contredisaient ce que l'équipage pouvait constater. Des câbles sectionnés empêchaient souvent l'avion de distinguer un capteur défectueux d'une valeur nulle ; l'ECAM signalait donc des systèmes en meilleur état qu'ils ne l'étaient réellement, et d'autres en plus défaillants. L'alarme principale retentissait sans cesse ; chaque fois que l'équipage la désactivait, une nouvelle panne la faisait se réactiver.

Le volume considérable d'alertes est devenu une menace en soi. De Crespigny a fait preuve d'une honnêteté inhabituelle quant au moment où le flot d'informations l'a submergé – une franchise qui a rendu son récit, publié plus tard dans son livre, particulièrement poignant. QF32, une lecture indispensable dans les cockpits et les salles de contrôle, bien au-delà de l'aviation.

Sa réponse lui vint de l'histoire du vol spatial. Se souvenant de la façon dont le directeur de vol de la NASA, Gene Kranz, avait géré la crise d'Apollo 13 — en demandant à ses ingénieurs de cesser de s'acharner sur les échecs et de se concentrer sur ce qui fonctionnait encore —, de Crespigny inversa le raisonnement. En éliminant les systèmes défaillants, il ne restait, en réalité, qu'un simple avion : des ailes, du carburant, des commandes de vol, des roues, des freins. De quoi atterrir.

Cinq capitaines, un seul pont d'envol

Voici le coup du sort qui a rendu célèbre le vol QF32. Un équipage A380 classique se compose de trois pilotes : ce jour-là, il s’agissait du commandant de bord de Crespigny, du copilote Matt Hicks et du second officier Mark Johnson. Mais le commandant de bord de Crespigny devait passer son contrôle annuel de vol, aussi le commandant instructeur Harry Wubben l’accompagna-t-il pour l’évaluer ? Le commandant instructeur principal David Evans l’accompagna pour évaluer Wubben. Cinq pilotes, totalisant des dizaines de milliers d’heures de vol, sur un seul vol qui allait en avoir grand besoin.

Au lieu d'encombrer le cockpit, les commandants supplémentaires s'intégrèrent à l'équipe. Hicks s'occupait des interminables listes de vérification ECAM. Evans prenait en charge les calculs de performance à l'atterrissage. De Crespigny pilotait et prenait les décisions que les ordinateurs ne pouvaient pas prendre.

L'une de ces décisions provenait directement du pilotage militaire. Avant de tenter un atterrissage, de Crespigny insista sur un contrôle de maniabilité en altitude : ralentir l'appareil endommagé en configuration d'atterrissage afin de s'assurer qu'il obéirait toujours aux commandes à la vitesse d'approche. À l'époque, aucun manuel d'Airbus ni de Qantas ne l'exigeait.

Le système de carburant, quant à lui, était plongé dans le chaos : huit des onze réservoirs étaient inutilisables, les pompes et les galeries de transfert hors service, les deux calculateurs de carburant étaient en panne et un déséquilibre croissant se faisait sentir à mesure que le carburant s’écoulait de l’aile gauche percée. Lorsque de Crespigny demanda à ses quatre collègues si quelqu’un comprenait le fonctionnement du système de carburant, ils restèrent silencieux. Ils renoncèrent à tenter de le réparer et firent avec les moyens du bord.

Cinquante tonnes, c'est trop lourd

Un A380 décollant pour Sydney transporte bien plus de carburant que sa capacité d'atterrissage autorisée. Incapable de larguer du carburant (ce système étant également endommagé), le vol QF32 devait atterrir avec environ 50 tonnes de plus que sa masse maximale à l'atterrissage, à grande vitesse et avec une masse importante, des freins dégradés, sans système antiblocage, avec la moitié de son contrôle de roulis et sans ses becs de bord d'attaque.

Lorsque Evans a entré les données de défaillance dans l'application de calcul des performances à l'atterrissage, l'ordinateur a tout simplement refusé de fournir une réponse. Ce n'est qu'après que l'équipage a écarté l'hypothèse d'une piste mouillée — la piste de Changi était sèche — que l'ordinateur a affiché un résultat : l'A380 pouvait s'arrêter avec une marge d'environ 100 mètres sur ses quatre kilomètres de piste.

Après avoir patienté près de deux heures le temps de réaliser les vérifications, le vol QF32 a fait demi-tour vers Changi. Le train d'atterrissage s'est déployé grâce au système de largage par gravité. La vitesse d'approche était supérieure de 35 nœuds à celle d'un atterrissage normal d'un A380. De Crespigny a amorcé un arrondi doux – malgré les recommandations d'un atterrissage brutal – estimant qu'un atterrissage trop appuyé risquait d'endommager l'aile imbibée de carburant.

À 11 h 45, l'avion immatriculé VH-OQA a atterri, a subi un éclatement de quatre pneus lors d'un freinage maximal et s'est immobilisé alors que la piste était encore devant lui. Étrangement, le plus dur restait à venir.

Le moteur qui ne voulait pas mourir

Sur le tarmac, l'équipage coupa les moteurs, mais le moteur n° 1 continua de tourner. Les fragments du disque avaient sectionné les deux faisceaux de câbles de commande indépendants du moteur situé à l'extérieur gauche ; les vannes d'arrêt de carburant, et même les extincteurs, ne répondaient plus. De Crespigny ouvrit la fenêtre de son cockpit, se retourna et observa le ventilateur qui tournait encore tandis qu'environ quatre tonnes de carburant jaillissaient de l'aile, près des freins chauffés par un freinage maximal.

L'échange avec le contrôleur des pompiers est devenu une légende de l'aviation. “ Nous avons dit : 'Versez de l'eau sur les freins chauds et de la mousse sur le carburant'. Ils ont répondu : 'Eh bien, coupez d'abord les moteurs'. Et nous avons dit : 'C'est fait !' ”, raconte de Crespigny. Les pompiers ont finalement noyé le moteur avec de la mousse et de l'eau ; il s'est éteint plus de deux heures après l'atterrissage.

Cette décision – de maintenir tout le monde assis plutôt que de faire évacuer 440 passagers par les toboggans depuis un pont situé à huit mètres de hauteur, à proximité d'un moteur en marche et d'une nappe de kérosène – est désormais enseignée comme une étude de cas sur la gestion des risques. Une fois la situation stabilisée, les passagers ont pu quitter l'appareil par une porte et un escalier. Aucun blessé.

De Crespigny fit alors quelque chose qui ne figurait dans aucun manuel : il suivit ses passagers dans le terminal, leur expliqua en personne ce qui s’était passé, répondit à leurs questions pendant près d’une heure et leur donna son numéro de portable personnel.

Tout a commencé avec un oléoduc

Le Bureau australien de la sécurité des transports a déterminé que l'incident était dû à un seul composant situé au cœur du moteur Trent 900 : un tuyau d'alimentation en huile dont la paroi avait été usinée de manière décentrée lors de sa fabrication, ce qui avait rendu un côté trop fin. Une fissure de fatigue s'est ouverte, de l'huile s'est infiltrée dans une cavité chaude et a pris feu. L'incendie a fragilisé le disque de turbine moyenne pression jusqu'à sa rupture.

Les répercussions furent à la fois industrielles et réglementaires. Qantas immobilisa sa flotte d'A380, des inspections furent menées sur l'ensemble des moteurs Trent 900 du monde entier — 53 moteurs finirent par être démontés en raison de conduites d'alimentation en huile suspectes ou non documentées — et Rolls-Royce versa à Qantas A$95 millions de dollars d'indemnités. Nancy-Bird Walton Les travaux ont duré jusqu'en 2012 et ont coûté environ 139 millions d'euros, dont six kilomètres de nouveaux câbles dans l'aile gauche ravagée.

De Crespigny a été nommé membre de l'Ordre d'Australie en 2016 pour services rendus à la sécurité aérienne. L'appareil a repris les vols en avril 2012, son histoire constituant un contre-exemple permanent pour quiconque pense que les avions de ligne modernes – ou les équipages modernes – ne sont que des systèmes en pilotage automatique. Lorsque 21 des 22 systèmes ont dysfonctionné, le dernier rempart n'était en réalité aucun système, mais bien le personnel aux commandes.

Sources : Rapport final AO-2010-089 du Bureau australien de la sécurité des transports, entretien Eurocontrol HindSight 29 avec Richard de Crespigny, Royal Aeronautical Society, Wikipédia, Richard de Crespigny “ QF32 ” (Pan Macmillan, 2012)