Composition

M. et Mmes les Juges fédéraux Denys, Président, Jacquemoud-Rossari et Jametti.

Greffier : M. Dyens.

Participants à la procédure

X.________,

représenté par Me Philipp Kunz, avocat,

recourant,

contre

Ministère public de la Confédération,

intimé.

Objet

Entrave par négligence à la circulation publique (art. 237 ch. 2 CP), mise en danger par l'aviation par négligence (art. 90 al. 2 LA),

recours contre le jugement du Tribunal pénal fédéral, Cour des affaires pénales, du 21 mars 2018 (SK.2017.53).

Par jugement du 21 mars 2018, le Tribunal pénal fédéral a reconnu X.________ coupable d'entrave à la circulation publique par négligence et de mise en danger de l'aviation par négligence. Il l'a condamné à une peine privative de liberté de 7 mois, assortie du sursis avec un délai d'épreuve de deux ans. Il l'a également condamné à une amende ferme de 5000 fr., la peine privative de liberté de substitution en cas de non-paiement fautif étant fixée à 100 jours.

B. Le jugement précité retient en substance les faits suivants.

B.a. X.________ est commandant de bord au sein de la compagnie aérienne A.________. En cette qualité, il a effectué, en date du 24 novembre 2012, le vol xxx B.________-C.________-D.________ avec un Boeing 737-600 immatriculé yyy. Sa co-pilote, E.________, a fonctionné en tant que "pilote-flying". 124 passagers et 6 membres d'équipages, soit 130 personnes au total, se trouvaient à bord.

L'équipage de conduite, composé du commandant X.________ et de la co-pilote E.________, a effectué son approche au moyen du système d'atterrissage aux instruments de la piste 23 de l'aéroport de D.________. Le ciel était alors obscurci par du brouillard et la visibilité verticale limitée à 200 feet (ft; environ 60 m). Les procédures d'exploitation par faible visibilité étaient en vigueur, ce dont l'équipage de conduite était informé. L'approche a été réalisée en mode automatique, avec les deux pilotes automatiques de l'aéronef et les automanettes ("autothrottle") enclenchés.

B.b. Peu avant 8h45 UTC, au moment d'autoriser l'atterrissage sur la piste 23, le contrôleur aérien de la tour de contrôle de l'aéroport de D.________ (aerodrome control - ADC) a indiqué à l'équipage de conduite que la portée visuelle de piste (runway visual range - RVR) était de 550 m dans la zone de toucher des roues et de 375 m en milieu de piste. L'avion se trouvait alors à 5.4 miles nautiques (nm; env. 10 km) du seuil de piste, à une hauteur de 1800 ft (env. 550 m).

A l'altitude de décision, le balisage lumineux d'approche était dans le champ de vision des pilotes. Le commandant X.________ a annoncé "rampe en vue" et la co-pilote, qui était aux commandes, a déclenché les pilotes automatiques. Les automanettes n'ont en revanche pas été déclenchées. L'assiette de l'avion a alors légèrement augmenté. L'appareil a franchi le seuil de la piste 23 à une hauteur de 92 ft RA (radio altitude - RA; env. 30 m). Il a ensuite survolé les marques de point de visée (aiming point marking) qui, situées sur la piste à une distance comprise entre 300 et 600 m de son seuil et qui définissent la zone de toucher des roues, à une hauteur de 47 ft RA (env. 15 m). L'aéronef a effectué à cette hauteur un palier le long de l'axe de piste durant un peu moins d'une dizaine de secondes, à la vitesse sol (ground speed - GS) de 129 noeuds (knots - kt; env. 240 km/h), avant de virer à gauche. Doutant de la réussite de l'atterrissage, le commandant X.________ a repris les commandes de vol en annonçant "commandes à gauche", puis a rapidement diminué l'assiette de vol. La prise de contact avec le sol s'est effectuée durement, engendrant une accélération verticale de 2.5 g, à proximité du bord gauche de la piste, à 1290 m de son seuil, avec une composante de vitesse latérale déportant l'avion vers l'extérieur. Une seconde plus tard, le train d'atterrissage principal arrière gauche est sorti de la piste et a parcouru une distance de 120 m en brisant deux feux du balisage du bord de piste, tout en creusant des ornières dans le terrain en herbe et en fissurant la bordure de la piste bétonnée. Le coin d'une trappe d'accès a été endommagé et les plaques métalliques la recouvrant ont été déplacées. Des débris, notamment un pied métallique et une lampe, d'une longueur de 15 cm et d'un diamètre variant de 5 à 12 cm, ainsi que son embase, qui mesure une quinzaine de cm de diamètre et 3 cm de haut, ont été projetés sur cette dernière. L'appareil a ensuite rejoint l'axe de la piste avant de la quitter par la bretelle "D" alors qu'un autre avion se trouvait au point d'attente 23, autorisé à s'aligner. Un passager a témoigné avoir été fortement secoué pendant l'atterrissage et a mentionné un état de panique et des hurlements dans la cabine.

B.c. A la tour de contrôle, une alarme de panne totale des feux de bord de piste s'est alors déclenchée. Le contrôleur aérien ADC a tenté de s'enquérir de la situation auprès de l'équipage de l'appareil qui venait de s'aligner sur la piste 23, évoquant une alarme qu'il soupçonnait d'être intempestive. L'équipage n'a pas remarqué de dysfonctionnement et a accepté de décoller. Quelques minutes plus tard, il a toutefois été établi que trois feux étaient défectueux.

Dans l'intervalle, le commandant X.________ a demandé, une fois son avion stationné et jugeant que son atterrissage avait été dur, qu'une inspection soit effectuée par un agent de maintenance. Après le débarquement, un passager choqué d'avoir vu l'avion rouler dans l'herbe a été pris en charge par l'infirmerie de l'aéroport, ce dont la sécurité a été avertie, l'information étant ensuite répercutée à la tour de contrôle.

Une heure environ après son atterrissage à D.________, le commandant X.________ a contacté la tour pour annoncer qu'il serait prêt dans cinq minutes pour effectuer le vol de retour zzz à destination de Tunis. Le contrôleur lui a alors fait état des informations communiquées par le passager choqué qui disait avoir vu l'avion rouler dans l'herbe. Admettant un atterrissage dur à gauche de l'axe de la piste, le commandant X.________ a toutefois nié catégoriquement être sorti de la piste.

B.d. A la mi-journée, les débris de lampes et d'ampoules projetés sur la piste ont été découverts à l'occasion d'un contrôle de routine. Les contrôleurs ADC ont alors réalisés, compte tenu de la présence de ces débris, de l'alarme de panne totale des feux de bord de piste et des affirmations du passager choqué, que le vol xxx était sorti de la piste. Une lampe cassée portait des traces de pneu ou de gomme noire. Un nouveau contrôle entrepris dans la foulée a révélé la présence de traces de roues dans l'herbe. La sortie de piste étant jusqu'alors passée inaperçue, les débris précités y sont demeurés jusqu'au contrôle de routine effectué à la mi-journée. Dans l'intervalle, quelque 80 à 100 mouvements d'aéronefs (atterrissages et décollages) ont été enregistrés sur la piste 23 de l'aéroport de D.________.

C. X.________ forme un recours en matière pénale au Tribunal fédéral contre le jugement du Tribunal pénal fédéral du 21 mars 2018. Il conclut, avec suite de frais et dépens, à l'annulation du jugement attaqué ainsi qu'à son acquittement des chefs d'accusation d'entrave à la circulation publique par négligence et de mise en danger de l'aviation par négligence.

1. Le recourant ne discute pas les faits retenus dans le cadre du jugement querellé. Il ne conteste pas non plus l'application du droit suisse aux faits de la cause, survenus sur territoire helvétique (cf. art. 3 et 8 CP; art. 96 LA; jugement attaqué consid. 1.2) Il conteste en revanche s'être rendu coupable d'infractions aux art. 237 ch. 2 CP et 90 al. 2 LA.

2.1. Aux termes de l'art. 237 ch. 1 al. 1 CP, celui qui, intentionnellement, aura empêché, troublé ou mis en danger la circulation publique, notamment la circulation sur la voie publique, par eau ou dans les airs, et aura par là sciemment mis en danger la vie ou l'intégrité corporelle des personnes sera puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire. L'art. 237 ch. 2 CP prévoit également une telle peine si le délinquant a agi par négligence.

Le délit d'entrave à la circulation publique par négligence est réalisé lorsque trois éléments constitutifs sont réunis: une négligence commise par l'auteur, la mise en danger concrète de la vie ou de l'intégrité corporelle d'une personne qui participe à la circulation publique et un lien de causalité naturelle et adéquate entre la négligence et la mise en danger (ATF 134 IV 255 consid. 4.1 p. 259; arrêt 6B_1132/2017 du 3 octobre 2018 consid. 1.3).

Conformément à la jurisprudence, le comportement punissable par l'art. 237 CP consiste à empêcher, troubler ou mettre en danger la circulation publique. Est ainsi visée toute action humaine qui met en danger la vie ou l'intégrité corporelle des participants à la circulation publique, de sorte que le comportement punissable est déterminé par ses effets, non par une manière caractéristique de se comporter. D'après la jurisprudence, il suffit que l'acte ait mis en danger la vie ou l'intégrité corporelle d'une seule personne; il n'est pas nécessaire que la mise en danger ait un caractère collectif. En revanche, la mise en danger doit être concrète, c'est-à-dire qu'une lésion doit avoir été sérieusement vraisemblable (ATF 134 IV 255 consid. 4.1 p. 259 et les références citées; arrêt 6B_1132/2017 précité consid. 1.3).

2.2. En application de l'art. 90 al. 1 de la loi fédérale du 21 décembre 1948 sur l'aviation (LA; RS 748.0), quiconque, pendant un vol, comme commandant d'un aéronef, membre de l'équipage ou passager, viole intentionnellement les prescriptions légales ou des règles de l'air et met ainsi sciemment en danger la vie ou l'intégrité corporelle de personnes ou des biens de grande valeur appartenant à des tiers à la surface est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire. L'art. 90 al. 2 LA punit d'une peine pécuniaire de 180 jours-amende au plus celui qui agit par négligence.

La mise en danger par l'aviation par négligence suppose la réalisation de quatre éléments constitutifs: un vol, une négligence commise par le commandant d'un aéronef, un membre de l'équipage ou un passager, la mise en danger de la vie ou de l'intégrité corporelle de personnes ou de biens de grande valeur appartenant à des tiers à la surface et un lien de causalité naturelle et adéquate entre la négligence et la mise en danger (arrêt 6B_1132/2017 précité consid. 1.3).

2.3. S'agissant du concours entre les art. 237 CP et 90 LA, la jurisprudence considère que l'infraction sanctionnée par cette dernière disposition ne constitue qu'un simple complément de l'art. 237 CP (ATF 105 IV 41 consid. 3a p. 46), ce dont il faut déduire que l'art. 90 LA est subsidiaire par rapport à l'art. 237 CP (arrêt 6B_1132/2017 précité consid. 1.5 et les références citées). Toutefois, l'art. 237 CP ne protège que la vie ou l'intégrité corporelle de personne, alors que l'art. 90 LA protège également des biens de grande valeur appartenant à des tiers à la surface. Un concours idéal est donc envisageable si la mise en danger a concerné non seulement la vie ou l'intégrité corporelle de personne mais également de tels biens (ibid.).

3. Le recourant conteste la négligence qui lui est imputée par le premier juge. Il conteste également l'existence d'un devoir de garant qui, compte tenu de sa qualité de commandant de bord, aurait impliqué un devoir de surveillance sur les actions et décisions de sa co-pilote.

3.1. Selon l'art. 12 al. 3 CP, agit par négligence quiconque, par une imprévoyance coupable, commet un crime ou un délit sans se rendre compte des conséquences de son acte ou sans en tenir compte. L'imprévoyance est coupable quand l'auteur n'a pas usé des précautions commandées par les circonstances et par sa situation personnelle.

La négligence suppose en premier lieu la violation d'un devoir de prudence. Un comportement viole le devoir de prudence lorsque l'auteur, au moment des faits, aurait pu et dû, au vu des circonstances, de ses connaissances et de ses capacités, se rendre compte qu'il mettait en danger des biens juridiquement protégés de la victime et qu'il excédait les limites du risque admissible (ATF 143 IV 138 consid. 2.1 p. 140; 135 IV 56 consid. 2.1 p. 64 et les références citées). S'il existe des normes de sécurité spécifiques qui imposent un comportement déterminé pour assurer la sécurité et prévenir les accidents, le devoir de prudence se définit en premier lieu à l'aune de ces normes (ATF 143 IV 138 consid. 2.1 p. 140; 135 IV 56 consid. 2.1 p. 64). Une violation du devoir de prudence peut aussi être retenue au regard des principes généraux (ATF 135 IV 56 consid. 2.1 p. 64; 134 IV 255 consid. 4.2.3 p. 262; 134 IV 193 consid. 7.2 p. 204). Lorsque des prescriptions légales ou administratives ont été édictées dans un but de prévention des accidents, ou lorsque des règles analogues émanant d'associations spécialisées sont généralement reconnues, leur violation fait présumer la violation du devoir général de prudence (ATF 143 IV 138 consid. 2.1 p. 140; 135 IV 56 consid. 2.1 p. 64; 134 IV 255 consid. 4.2.3 p. 262). L'étendue du devoir de diligence doit s'apprécier en fonction de la situation personnelle de l'auteur, c'est-à-dire de ses connaissances et de ses capacités (ATF 135 IV 56 consid. 2.1 p. 64; 122 IV 145 consid. 3b/aa p. 147). L'attention et la diligence requises sont d'autant plus élevées que le degré de spécialisation de l'auteur est important (ATF 138 IV 124 consid. 4.4.5 p. 128).

En second lieu, la violation du devoir de prudence doit être fautive, c'est-à-dire qu'il faut pouvoir reprocher à l'auteur une inattention ou un manque d'effort blâmable (ATF 135 IV 56 consid. 2.1 p. 64; 134 IV 255 consid. 4.2.3 p. 262 et les références citées).

3.2. Un comportement constitutif d'une négligence consiste en général en un comportement actif, mais peut aussi avoir trait à un comportement passif contraire à une obligation d'agir (cf. art. 11 al. 1 CP). Reste passif en violation d'une obligation d'agir celui qui n'empêche pas la mise en danger ou la lésion d'un bien juridique protégé par la loi pénale bien qu'il y soit tenu à raison de sa situation juridique, notamment en vertu de la loi, d'un contrat, d'une communauté de risque librement consentie ou de la création d'un risque (art. 11 al. 2 let. a-d CP). N'importe quelle obligation juridique ne suffit pas. Il faut qu'elle ait découlé d'une position de garant, c'est-à-dire que l'auteur se soit trouvé dans une situation qui l'obligeait à ce point à protéger un bien déterminé contre des dangers indéterminés (devoir de protection), ou à empêcher la réalisation de risques connus auxquels des biens indéterminés étaient exposés (devoir de surveillance), que son omission peut être assimilée au fait de provoquer le résultat par un comportement actif (cf. art. 11 al. 2 et 3 CP; ATF 141 IV 249 consid. 1.1 p. 251 s.; 134 IV 255 consid. 4.2.1 p. 259 s. et les références citées).

La distinction entre une infraction de commission et une infraction d'omission improprement dite (commission par omission) n'est pas toujours aisée et l'on peut souvent se demander s'il faut reprocher à l'auteur d'avoir agi comme il ne devait pas le faire ou d'avoir omis d'agir comme il le devait (ATF 129 IV 119 consid. 2.2 p. 122; arrêt 6B_197/2017 du 8 mars 2018 consid. 4.1). Dans les cas limites, il faut s'inspirer du principe de la subsidiarité et retenir un délit de commission dès que l'on peut imputer à l'auteur un comportement actif (ATF 129 IV 119 consid. 2.2 p. 122; arrêt 6B_197/2017 précité consid. 4.1 et les références citées). Le manque de diligence est un élément constitutif de la négligence et non une omission au sens d'un délit d'omission improprement dit. Si une activité dangereuse est entreprise sans prendre les mesures de sécurité suffisantes, il y a lieu, en principe, de considérer un comportement actif. En pareille hypothèse, l'élément déterminant ne réside pas dans l'omission des mesures de sécurité en tant que telle, mais dans le fait d'accomplir l'activité en cause sans les observer (arrêt 6B_197/2017 précité consid. 4.1 et les références citées). Lorsqu'un comportement actif est imputé à l'auteur, la culpabilité de ce dernier doit être envisagée au regard de ses actes, indépendamment du fait qu'il ait eu ou non une position de garant (ATF 122 IV 145 consid. 2 p. 146; 122 IV 17 consid. 2b/aa p. 21; 121 IV 10 consid. 2b p. 14; arrêt 6B_197/2017 précité consid. 4.1).

4. En ce qui concerne la position de garant du recourant, le jugement entrepris relève les éléments suivants.

4.1. Selon de l'art. 5 de l'Ordonnance du DETEC concernant les règles de l'air applicables aux aéronefs (ORA; RS 748.121.11) dans sa teneur en vigueur au moment des faits, le pilote commandant de bord, qu'il tienne ou non les commandes, est responsable de l'application des règles de l'air à la conduite de son aéronef; il ne dérogera à ces règles que s'il le juge nécessaire pour des motifs de sécurité (al. 1). Au demeurant l'ordonnance du 22 janvier 1960 sur les droits et les devoirs du commandant d'aéronef (RS 748.225.1) lui est applicable (al. 2). Selon l'art. 6 al. 1 de cette dernière ordonnance, le commandant est tenu de prendre, dans les limites des prescriptions légales, des instructions données par l'exploitant de l'aéronef et des règles reconnues de la navigation aérienne, toutes les mesures propres à sauvegarder les intérêts des passagers, de l'équipage, des ayants droit à la cargaison et de l'exploitant de l'aéronef. Son art. 7 précise en outre que le commandant est responsable de la conduite de l'aéronef conformément aux dispositions légales, aux prescriptions contenues dans les publications d'informations aéronautique (AIP), aux règles reconnues de la navigation aérienne et aux instructions de l'exploitant.

4.2. En l'espèce, le premier juge a considéré que la position de garant du recourant découlait des dispositions précitées. Il a jugé que sa qualité de commandant de bord lui faisait endosser une entière responsabilité sur les décisions prises en matière de pilotage, même s'il ne pilotait pas lui-même l'aéronef durant le vol. Cette même qualité lui imposait de réduire au maximum les risques auxquels ses passagers pouvaient être exposés, de tenir compte de la situation du terrain, de la météo et le contraignait à empêcher d'éventuelles décisions erronées du pilote aux commandes de l'aéronef. Toujours selon le premier juge, il découle également de ces mêmes dispositions que le commandant de bord assume la responsabilité de ce qui se passe lors du pilotage de l'avion. Le jugement attaqué retient de surcroît qu'il lui appartenait de suivre les prescriptions techniques et opérationnelles édictées pour l'aéronef avec lequel le vol xxx a été effectué, s'agissant en particulier d'une procédure d'approche aux instruments par conditions météorologiques défavorables.

4.3. Face à ces éléments, le recourant se limite à contester, dans son mémoire, l'existence d'un devoir de surveillance sur les actions du co-pilote, en relevant qu'il avait à accomplir ses propres tâches. Or, contrairement à ce qu'il prétend désormais, il ressort du jugement querellé que le recourant a lui-même indiqué en cours d'instruction qu'il lui appartenait, en sa qualité de commandant de bord, de contrôler tout ce que faisait le "pilote-flying" et que tout ce qui se passait à bord se faisait sous sa direction. En tout état, l'art. 5 ORA, ainsi que les art. 6 et 7 de l'ordonnance du 22 janvier 1960 sur les droits et les devoirs du commandant d'aéronef établissent clairement sa position de garant, qui est inhérente à sa position hiérarchique au sein de l'équipage. Au demeurant, les reproches qui lui sont adressés concernent en réalité deux aspects distincts. Le premier concerne la gestion de la manoeuvre d'approche et d'atterrissage en tant que telle, et plus particulièrement l'utilisation des commandes de vol ainsi le choix de poursuivre l'atterrissage dans un environnement visuel défavorable. Il tend à envisager le comportement du recourant sous un angle essentiellement actif. Le second se rapporte à l'absence d'annonce de sortie de piste, partant à un comportement passif. Quoi qu'il en soit, le juge précédent était fondé à considérer que le recourant assumait un devoir de garant y compris en ce qui concerne les actions et décisions de sa co-pilote. Le grief s'avère par conséquent mal fondé.

5. S'agissant des prescriptions techniques et opérationnelles pertinentes dans le cas d'espèce pour apprécier le contenu et l'étendue du devoir de diligence du recourant, le jugement entrepris retient, sur la base du rapport du Service suisse d'enquête de sécurité (SESE), les éléments suivants.

5.1. D'après le permis d'exploitation aérienne du Boeing 737-600 immatriculé yyy, cet aéronef peut effectuer des approches et des atterrissages en catégorie d'opération dite CAT I, par quoi il faut entendre des approches et atterrissages de précision aux instruments exécutés avec une hauteur de décision au moins égale à 60 m (200 ft), une visibilité au moins égale à 800 m ou une portée visuelle de piste (RVR) au moins égale à 550 m. Il ressort également du jugement entrepris que le recourant était qualifié pour cette catégorie d'approche et d'atterrissage, mais non pour les catégories CAT II et III, dont les hauteurs de décision et les portées visuelles sont plus basses.

5.1.1. Selon les dispositions pertinentes du manuel GEN-OPS de A.________, l'approche peut être poursuivie en dessous de l'altitude de décision jusqu'à l'atterrissage complet, à condition que les références visuelles requises soient acquises à cette même altitude et maintenues. La portée visuelle de piste de l'aire de toucher des roues est toujours déterminante. Les portées visuelles à mi-piste et de fin de piste sont également déterminantes, si elles sont transmises et pertinentes.

Ces mêmes dispositions précisent qu'une remise des gaz doit obligatoirement être exécutée à l'altitude de décision si les références visuelles extérieures disponibles, la position ou la trajectoire de l'avion apparaissent telles qu'elles compromettent la réussite de la fin de l'approche et de l'atterrissage avec les moyens disponibles, ou si la piste ou un élément du balisage (diurne ou nocturne) de cette piste n'est pas en vue. Après le passage de l'altitude de décision, si les références visuelles ou la position de l'avion évoluent de façon à compromettre la réussite de la fin de l'approche et de l'atterrissage, le commandant de bord doit engager une remise de gaz ou un atterrissage interrompu.

5.1.2. Selon le " Le manuel FCOM expose en outre que, techniquement, lorsque les deux pilotes automatiques sont enclenchés, le système est conçu pour que l'issue de l'approche soit un atterrissage automatique ou une remise de gaz également automatique. Le rapport d'enquête précise que, dans cette configuration à deux pilotes automatiques, le système de commandes automatiques est ainsi conçu pour n'être déclenché qu'après le toucher des roues, la poussée étant réduite automatiquement. Afin d'anticiper ces phases de vol, les systèmes de commandes de vol incrémentent, à une hauteur de 400 ft RA (env. 120 m), la compensation du stabilisateur vers une assiette (angle du fuselage par rapport à l'horizontale) à cabrer (nez de l'avion se soulève). Le manuel FCOM indique à cet égard que si les pilotes automatiques sont alors déclenchés, une action à pousser sur le manche peut être nécessaire pour maintenir l'assiette souhaitée.

Toujours selon le même manuel FCOM, l'approche couplée à un seul pilote automatique ne peut être conclue en mode automatique. L'arrondi, le toucher des roues ou la remise des gaz doivent être effectués en pilotage manuel. L'incrément de la compensation du stabilisateur n'est dès lors pas appliquée. Lors d'une approche couplée à un seul pilote automatique, le pilote en fonction ("pilote-flying") doit déclencher le pilote automatique et les automanettes au plus tard à la hauteur minimale certifiée pour l'utilisation d'un seul pilote automatique. Le rapport d'enquête précise sur ce même point que si, à l'altitude de décision, le choix est d'atterrir, l'automation prend fin à ce moment avec le déclenchement du pilote automatique et des automanettes par l'équipage de conduite. L'avion est dynamiquement en équilibre et en atmosphère calme, le pilote aux commandes n'ayant que des corrections de trajectoire faibles à apporter jusqu'au toucher des roues. C'est aussi lui qui, au moment approprié, réduit manuellement la poussée au régime ralenti.

Le manuel FCOM décrit ainsi, tour à tour, un système d'approche et d'atterrissage entièrement automatique, couplé à deux autopilotes et aux automanettes, conçu pour n'être déclenché qu'après le toucher des roues. Il évoque également un système couplé à un seul autopilote et aux automanettes, impliquant le déclenchement de l'autopilote et des automanettes avant l'atterrissage, qui se conclut en pilotage manuel.

5.2. En l'espèce, il est constant que la procédure d'opération par faible visibilité était en vigueur au moment des faits et que le recourant en était informé. Il est en outre constant que l'équipage de conduite a effectué une approche couplée à deux pilotes automatiques. Le jugement querellé retient que les valeurs données avec l'autorisation d'atterir (RVR de 550 m dans la zone de toucher des roues et de 375 m en milieu de piste) étaient suffisantes pour la poursuite de l'approche. A l'altitude de décision (200 ft RA; env. 60 m), le recourant avait le balisage lumineux d'approche en vue, si bien que l'atterrissage pouvait être poursuivi.

5.2.1. S'agissant de l'utilisation des commandes automatiques de vol, le jugement querellé retient qu'une approche de catégorie CAT I (cf. supra consid. 5.1) couplée à deux autopilotes est autorisée par les prescriptions techniques et opérationnelles pertinentes. Le recourant a cependant lui-même admis que le procédé demandait beaucoup de précautions. En optant pour cette solution, le recourant s'est placé dans une situation dans laquelle il lui incombait, compte tenu de la mise en oeuvre des deux autopilotes, d'anticiper les effets de l'incrément de la compensation du stabilisateur et de l'assiette à cabrer qu'elle induit. Il lui appartenait en d'autres termes de porter une attention particulière à l'assiette de l'aéronef et de prendre en compte l'éventuelle nécessité d'exercer, au moment du déclenchement des autopilotes, une action à pousser sur le manche pour maintenir l'assiette souhaitée. Qui plus est, les prescriptions techniques imposaient de déclencher les automanettes en même temps que les autopilotes, puisque les prescriptions en question prévoient soit un atterrissage entièrement automatique, soit un atterrissage en pilotage entièrement manuel.

Le rapport d'enquête cité par l'arrêt querellé pointe à cet égard une utilisation inappropriée des commandes automatiques de vol. A l'altitude de décision, le déclenchement des autopilotes a provoqué la déstabilisation de l'avion en raison de l'incrément de la compensation du stabilisateur. L'appareil s'est trouvé en recherche d'équilibre dynamique et a pris une assiette à cabrer, contre laquelle le manuel FCOM met en garde. En outre, dès lors que les automanettes n'ont pas été déclenchées, la vitesse de consigne a été maintenue jusqu'à ce que l'avion descende en dessous de 27 ft RA (env. 8 m). L'effet conjugué de l'augmentation d'assiette et du maintien de la vitesse a écarté l'aéronef de sa trajectoire d'atterrissage idéale. La maîtrise de l'avion a été momentanément perdue. La trajectoire, respectivement les assiettes de vol, n'étaient pas compatibles avec un atterrissage normal.

Dans son mémoire, le recourant fait valoir qu'au moment de décider de poser l'avion, il n'avait pas conscience du fait que les automanettes étaient restées enclenchées. Le recourant contredit sur ce point ses propres déclarations devant le premier juge, à qui il a fait état du déclenchement des autopilotes et d'un atterrissage avec les automanettes enclenchées pour conserver la vitesse minimale d'approche. Il a de surcroît lui-même admis que le choix de procéder à une approche de catégorie CAT I couplée à deux autopilotes requérait beaucoup de précautions. Le fait de ne pas avoir eu conscience du maintien des automanettes apparaît quoi qu'il en soit incompatible avec le degré d'attention requis pour la manoeuvre en cause. L'argument ne lui est donc d'aucun secours. En tout état, son statut de commandant de bord et la position de garant qui en découle lui imposait de superviser la manoeuvre en veillant au respect des prescriptions techniques concernant l'utilisation des commandes de vol automatiques. L'utilisation inadéquate de ces dernières et la perte de maîtrise de l'appareil qui s'est ensuivi lui sont donc imputables. Dans ces circonstances, le juge précédent était fondé à retenir, à la charge du recourant, une violation du devoir de prudence.

5.2.2. Cela étant, la perte de maîtrise en cause a eu pour conséquence de décaler la trajectoire de l'avion vers l'avant et de le faire survoler la piste en pallier alors que la hauteur aurait dû diminuer constamment pour permettre un atterrissage normal au niveau des marques de point de visée (sises entre 300 et 600 m du seuil de piste). Au lieu d'atterrir au niveau de ces marques, l'appareil les a survolées à une hauteur de 47 ft RA (env. 15 m) et la zone d'impact s'en est trouvée déplacée bien au-delà, pour se situer dans la zone du milieu de piste. Or, la portée visuelle de piste (RVR) y était de 375 m, soit une valeur sensiblement inférieure aux 550 m requis pour une opération de catégorie CAT I. Les conditions requises, en termes de références visuelles, n'étaient donc plus satisfaites. Conformément aux règles en la matière, il incombait dès lors au recourant, en sa qualité de commandant de bord, d'engager une remise des gaz. Ce dernier a cependant décidé de reprendre les commandes et de poursuivre l'atterrissage, à l'issue duquel l'appareil a durement heurté le sol, avec une accélération verticale de 2.5 g. Le contact avec le sol est intervenu à 1290 m du seuil de piste, nettement plus loin que les marques de point de visée. Dans la foulée, le train principal arrière gauche est sorti de la piste 23 sur une distance de 120 mètres.

Sur ce dernier point, le recourant conteste la distance en cause. Il ne développe cependant aucun grief d'arbitraire conforme aux exigences de motivation (art. 42 al. 2 LTF et 106 al. 2 LTF). Sa critique est dès lors irrecevable. Le recourant se prévaut au demeurant d'un passage du rapport d'enquête, dont il ressort que " [m] algré des signes évidents de désorientations spatiale et de perte de maîtrise de l'avion, l'équipage de conduite n'a pas eu les ressources nécessaires à l'initiation d'une remise de gaz ". L'extrayant de son contexte, il croit pouvoir en tirer argument pour soutenir qu'il a agi du mieux qu'il a pu et qu'il ne pouvait agir autrement. Le rapport d'enquête évoque toutefois ces éléments face aux circonstances propres au cas d'espèce. En l'occurrence, l'utilisation inadéquate des commandes automatiques de vol déjà en soi imputable au recourant a eu pour conséquence d'affecter la trajectoire de l'appareil et de le placer dans un environnement où la visibilité n'était plus suffisante pour permettre l'atterrissage. La solution à mettre en oeuvre consistait alors, conformément aux prescriptions, en une remise des gaz. Le recourant s'est au contraire obstiné à poursuivre une manoeuvre à l'issue de laquelle son aéronef a quitté la piste d'atterrissage. Sur ce point également, le juge précédent était donc fondé à imputer au recourant une violation de son devoir de prudence.

5.2.3. En définitive, le recourant a violé son devoir de prudence tant au regard de l'utilisation inadéquate des commandes de vol automatiques qu'au vu du choix de poursuivre une manoeuvre d'atterrissage alors qu'une remise de gaz s'imposait. Compte tenu de l'attention et de la diligence que l'on peut attendre d'un commandement de bord d'avions de ligne, vu le haut degré de spécialisation et les responsabilités inhérents à cette profession, ces violations doivent être qualifiées de fautives. Le premier juge pouvait donc admettre une imprévoyance coupable à la charge du recourant sans violer le droit fédéral.

5.3. En marge de ce qui précède, le premier juge a également retenu que le recourant avait violé ses obligations de commandant de bord et fait preuve d'une négligence coupable en omettant d'annoncer sa sortie de piste aux autorités aéroportuaires. Le recourant se borne à objecter qu'il ignorait être sorti de la piste et qu'il aurait sinon signalé la sortie. Ce faisant, le recourant s'en prend en réalité aux constatations de fait de façon purement appellatoire, partant irrecevable (art. 42 al. 2 LTF et 106 al. 2 LTF). Le jugement querellé ne prête pas non plus le flanc à la critique sur ce point.

6. Pour le surplus, le recourant ne discute pas les autres éléments constitutifs des infractions sanctionnées par les art. 237 al. 2 CP et 90 al. 2 LA. Le premier juge les a tenus pour réalisés, en soulignant en substance le risque de "crash" extrêmement élevé survenu au moment des faits, le danger encouru pour cette raison par les passagers et le personnel de cabine du vol xxx, des personnes à bord de l'appareil qui se trouvait au point d'attente de la piste 23. Il a également souligné les risques encourus par les aéronefs, leurs passagers et membres d'équipage qui ont atterri et décollé sur la piste 23 de l'aéroport de D.________ au cours des trois heures durant lesquelles les débris projetés par le vol précité sont restés sur la piste. Ces éléments ne prêtent pas le flanc à la critique. Pour le surplus, le recourant ne discute pas le concours retenu entre les art. 237 al. 2 CP et 90 al. 2 LA, ni la quotité de la peine qui lui a été infligée.

7. Au vu des considérants qui précèdent, le recours doit être rejeté dans la mesure où il est recevable. Le recourant, qui succombe, supporte les frais judiciaires.

1. Le recours est rejeté dans la mesure où il est recevable.

2. Les frais judiciaires, arrêtés à 3000 fr., sont mis à la charge du recourant.

3. Le présent arrêt est communiqué aux parties et au Tribunal pénal fédéral, Cour des affaires pénales.

Lausanne, le 16 avril 2019

Au nom de la Cour de droit pénal

du Tribunal fédéral suisse

Le Président : Denys

Le Greffier : Dyens