Source: https://www.tsb.gc.ca/fra/rapports-reports/aviation/1998/a98h0003/a98h0003-2.html
Timestamp: 2020-02-28 10:02:28+00:00
Document Index: 61397117

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Analyse - Rapport d'enquête aéronautique A98H0003 - Bureau de la sécurité des transports du Canada
Beaucoup plus de données auraient pu être facilement accessibles si l'équipement d'enregistrement des données de bord avait été meilleur. L'amélioration de la quantité et de la qualité des renseignements enregistrés peut raccourcir de beaucoup la durée d'une enquête et augmenter les possibilités de repérer les manquements à la sécurité.
Comme c'est le cas avec la plupart des enregistreurs de données de vol d'accès facile (QAR), celui du SR 111 a enregistré considérablement plus de données que ne l'a fait l'enregistreur de données de vol (FDR). La bande du QAR a été endommagée à un point tel qu'elle est devenue inutilisable. Par conséquent, on n'a pu recueillir de données provenant de cette source par ailleurs potentiellement très intéressante. Les paramètres enregistrés sur le QAR de SR 111 auraient été quatre fois plus nombreux que ceux enregistrés sur le FDR. Certains de ces paramètres portaient sur les températures dans certaines zones dissimulées et les tensions électriques des divers systèmes de bord. Ces renseignements, s'ils avaient été enregistrés sur le FDR protégé en cas d'écrasement, auraient été bien utiles à l'enquête, car ils auraient fourni des détails importants sur la source d'inflammation et la propagation de l'incendie en vol.
Les FDR numériques modernes, installés dans un milieu protégé en cas d'écrasement, sont techniquement aptes à enregistrer toutes les données QAR provenant de diverses sources dans l'avion; cependant, aucune réglementation n'exige que les FDR modernes enregistrent les données QAR.
Même s’il n’est pas nécessaire d’enregistrer des images dans le poste de pilotage en vertu de la réglementation, il est techniquement possible de faire un tel enregistrement et de le protéger en cas d’écrasement. Les images enregistrées fourniraient des renseignements supplémentaires intéressants sur les faits et gestes de l’équipage, les défaillances d’équipement, les réglages, les sélections, les données de vol affichées, l’endroit où se produit de la fumée et d’autres éléments qui permettraient de reconstituer les faits avec plus de certitude. Ces renseignements pourraient être utilisés pour déterminer le cours des événements plus rapidement et plus efficacement et ainsi définir les manquements à la sécurité avec plus de fiabilité.
Une grande partie de la communication dans un poste de pilotage est non verbale. Sans enregistrement des images, il faut recueillir les bribes d’information et faire des déductions en tentant d’établir des liens entre celles-ci à partir d’observations faites pendant l’examen des débris et des enregistrements du CVR et du FDR. Même si les renseignements recueillis avec ces appareils sont inestimables, les enregistrements ne fournissent bien souvent qu’une information partielle et imprécise. Souvent, cette information ne fournit pas de contexte aux événements ou pas assez de détails aux fins d’une enquête de sécurité efficace et efficiente. L’enregistrement d’images à bord de SR 111 aurait permis d’obtenir d’autres renseignements très utiles et fourni plus de précisions pour la compréhension de la séquence des événements.
Les brides de fixation des radiobalises sous-marines de détresse (ULB) des enregistreurs de bord sont demeurées fixées aux enregistreurs; cependant, les radiobalises ont été endommagées à un point tel qu'elles se sont presque détachées. Si les ULB s'étaient détachées des enregistreurs, il aurait peut-être été plus difficile, voire impossible, de récupérer les enregisteurs. La réglementation en vigueur n'exige pas que les brides de fixation des ULB respectent les mêmes niveaux de protection en cas d'écrasement que les autres composants des enregistreurs de données.
Plusieurs MD-11 de Swissair ont fait l'objet d'inspections visant à découvrir des contaminants potentiellement inflammables à l'endroit où l'on croit que l'incendie s'est déclaré; peu de contamination, voire aucune, n'a été observée à cet endroit. On a déterminé par des essais que les matériaux liés au déclenchement de l'incendie à bord de SR 111 étaient inflammables lorsqu'ils étaient neufs au moment de leur installation; par conséquent, on a écarté la contamination comme facteur dans le déclenchement de l'incendie.
Bien que ce ne soit que par intuition qu'on estime que la présence de contaminants à la surface d'un matériau pourrait avoir un effet néfaste sur ses caractéristiques d'inflammabilité, il convient de mener d'autres essais pour quantifier le risque.
Avant l'accident de SR 111, les organismes de réglementation et les constructeurs ne percevaient que des risques mineurs d'incendie en vol ailleurs que dans les zones situées à l'intérieur de la cabine et dans les zones désignées comme zones de feu. Par conséquent, les normes de certification ne tenaient pas compte des conséquences éventuelles d'un bris ou d'une défaillance d'un système de bord attribuable à un incendie dans des zones comme les espaces inoccupés. En raison de cette lacune, les systèmes ont été installés de telle manière qu'une défaillance d'un composant à cause d'un incendie pouvait aggraver ce dernier.
En cas d'incendie, le bris d'un système, comme le circuit hydraulique, le circuit d'oxygène ou le système de ventilation, pourrait considérablement aggraver l'incendie en augmentant la quantité de matières combustibles, en alimentant le feu en oxygène, ou encore en modifiant la circulation d'air dans la zone. Pour la certification d'un avion, on installe habituellement des protections contre ce genre de défaillance après avoir effectué une analyse de sécurité des systèmes mettant en évidence les dangers éventuels. L'analyse de sécurité des systèmes par zone qui a été menée sur le MD-11 dans la zone où l'incendie s'est déclaré à bord de SR 111 n'avait pas porté sur les dangers découlant de défaillances de circuits ou de composants attribuables à un incendie en cours. La réglementation n'exigeait pas que ce type de danger soit compris dans l'analyse de sécurité des systèmes. Le bris d'un embout en élastomère d'une gaine de conditionnement d'air et, peut-être, la défaillance d'un capuchon en aluminium du circuit d'alimentation en oxygène de l'équipage de conduite auraient contribué à l'aggravation de l'incendie en vol.
Les leçons tirées des accidents liés à des incendies en vol ont entraîné divers changements aux procédures de vol et à la conception de l'équipement des avionsNote de bas de page 113. Toutefois, les changements visant à fournir des mesures plus efficaces de lutte contre les incendies ont généralement constitué des initiatives isolées plutôt que des initiatives pleinement intégrées et exhaustives. L'industrie a déployé des efforts considérables pour former les équipages des avions et pour leur donner les moyens de réagir à certains types d'incendie en vol (p. ex. incendies facilement accessibles dans la cabine). Ces efforts n'ont pas permis de préparer adéquatement les équipages à déceler et à localiser des incendies en vol dans des endroits dissimulés et à y accéder pour les supprimer d'une façon rapide, coordonnée et efficace.
Les pilotes de Swissair avaient ordre, par l'entremise de l'information fournie dans le Swissair General/Basics: Flight Crew Manual, d'atterrir à l'aéroport d'urgence le plus proche en cas de fumée persistante de source inconnue. Cette instruction n'indiquait pas qu'un déroutement d'urgence devait être commencé immédiatement, ni que toute fumée devait être traitée comme une situation d'incendie en vol en l'absence de preuve du contraire. Par conséquent, en présence de fumée, on s'attendait à ce que l'équipage catégorise la fumée, choisisse la liste de vérifications appropriée et déroute l'avion si la situation le justifiait.
Les pilotes de SR 111 ont rapidement procédé à l'évaluation de la situation et ont décidé de se dérouter, même si, d'après les indices perçus, la situation ne pouvait pas être catégorisée comme une situation d'urgence.
Le fait qu'il y avait deux listes de vérifications d'urgence plutôt qu'une pour isoler la fumée a fait l'objet d'un examen visant à évaluer si le fait de choisir entre deux listes de vérifications avait pu avoir une incidence sur l'issue du vol. Pour que cette situation ait pu avoir une incidence, il faut supposer que les pilotes auraient réagi différemment si les procédures de Swissair n'avaient tenu que sur une seule liste de vérifications en cas de fumée ou d'émanations d'origine électrique, du système de conditionnement d'air ou d'origine inconnue. Les pilotes avaient déterminé que la fumée provenait du système de conditionnement d'air et ils n'avaient pas jugé qu'elle posait une menace suffisante pour justifier l'utilisation de la liste de vérifications correspondante. Il semble donc peu probable que les pilotes aient utilisé une liste de vérifications unique plus tôt.
Le fait d'offrir un choix entre deux listes de vérifications d'urgence en cas de fumée pour isoler la source de la fumée présuppose qu'il est possible de déterminer avec certitude le type de fumée dont il est question. L'accident de SR 111 démontre que les organes de perception sensorielle des personnes ne permettent pas toujours d'évaluer avec certitude le type de fumée.
Les écarts relevé en ce qui concerne la liste de vérifications de Swissair en cas de fumée ou d’émanations d’origine inconnue étaient susceptibles de poser des problèmes. Cependant, le seul lien direct qui pourrait être établi avec le scénario de SR 111 était l’absence d’éclairage dans la cabine, du fait que l’éclairage d’urgence de cette dernière s’est éteint lorsque les pilotes ont actionné le commutateur CABIN BUS. Le fait de devoir travailler dans une cabine non éclairée peut avoir ralenti l’équipage de cabine qui s’affairait à préparer l’avion en vue d’un atterrissage d’urgence, et ce en l’obligeant à utiliser des lampes de poche. Toutefois, un interrupteur d’éclairage d’urgence de la cabine était installé au poste d’agent de bord normalement occupé par le maître de cabine. L’utilisation de cet interrupteur aurait rétabli l’éclairage d’urgence et éliminé la nécessité d’utiliser temporairement des lampes de poche. On ne sait pas si cet interrupteur d’éclairage d’urgence de la cabine a été utilisé.
Rien n’indique que les décisions prises par les pilotes aient été influencées par l’absence d’instructions dans la liste de vérifications sur le port du masque à oxygène. On ne sait pas si les pilotes auraient entamé un déroutement d’urgence plus tôt s’ils avaient eu à leur disposition une seule liste de vérifications combinée dont l’un des premiers éléments aurait porté sur les préparatifs en vue d’un atterrissage dans les plus brefs délais. On n’a pas pu déterminer si la taille de la police de caractères utilisée pour la liste de vérifications ou si des reflets provenant de la liste de vérifications ont nui à sa lecture par les pilotes, bien que l’une ou l’autre de ces conditions pourrait nuire à la capacité de l’équipage de conduite de bien lire la liste de vérifications, surtout dans un environnement enfumé ou mal éclairé.
Un examen de plusieurs listes de vérifications a démontré que les listes n’insistaient pas assez pour que toute quantité de fumée dans un avion soit traitée comme une menace d’incendie grave. Par exemple, ni la liste de vérifications de Swissair ni la liste de vérifications en cas de fumée d’origine inconnue de McDonnell Douglas n’indiquaient que les préparatifs en vue d’un atterrissage d’urgence éventuel devraient être envisagés immédiatement au moment de l’apparition de fumée d’origine inconnue. Plutôt, dans les deux listes de vérifications, l’atterrissage d’urgence constitue le dernier élément de la liste. De même, les instructions de Swissair fournies aux équipages de conduite à ce sujet prévoyaient l’atterrissage de l’avion à l’aéroport d’urgence le plus proche en cas de fumée d’origine inconnue « persistante ».
Les représentants de Swissair ont consulté McDonnell Douglas lorsqu'ils ont décidé de conserver deux listes de vérifications en cas de fumée pour le MD-11 et de réviser les listes de vérifications en cas de fumée ou d'émanations d'origine inconnue; toutefois, aucune approbation formelle des modifications n'avait été exigée par l'Office fédéral de l'aviation civile (OFAC) suisse.
Au cours de l'enquête, l'état de la maintenance de l'avion a été évalué au moyen de l'examen des dossiers de maintenance de ce dernier et des politiques, des procédures et des pratiques de SR Technics.
Les dossiers de l'avion en question indiquent que les travaux de maintenance requis avaient été effectués et que la maintenance de l'avion avait été faite conformément aux procédures de maintenance approuvées et aux normes de l'industrie. Bien que plusieurs anomalies liées à la « tenue des livres » aient été trouvées, la méthode globale de tenue des dossiers était appropriée.
L'état de l'épave de SR 111 n'a pas permis de déterminer entièrement l'état de l'avion avant l'accident. Par conséquent, les enquêteurs ont inspecté plusieurs avions MD-11, dont ceux de la flotte de Swissair, et ils ont utilisé l'information obtenue au cours de ces inspections pour faciliter l'évaluation des sources d'inflammation possibles. Pendant ces inspections des MD-11, un certain nombre d'anomalies ont été consignées relativement à l'installation et à la maintenance du système électrique, dont l'usure par frottement des fils, un serrage incorrect des connexions de borne, et un manque d'uniformité dans l'acheminement des fils. On a jugé qu'aucune de ces anomalies n'avait eu d'incidence sur la sécurité immédiate du vol. Certaines anomalies étaient attribuables au constructeur de l'avion, et d'autres, aux installations subséquentes et à la maintenance permanente.
Le programme d'assurance qualité de SR Technics satisfaisait aux exigences réglementaires. Il comprenait une approche polyvalente fondée sur la formation, l'analyse des tendances, la fiabilité et des audits structurés. Le nombre et les types d'anomalie découverts pendant l'enquête, qui comprenait un examen des conclusions des divers audits internes et externes, laissent croire que si la conception du programme d'assurance qualité était appropriée, son application ne garantissait pas suffisamment la détermination et la réduction systématiques des problèmes de sécurité éventuels (DIT2-1).
La présentation de l'organisme de maintenance de SR Technics exigeait que tous les employés reçoivent une formation leur permettant d'assumer personnellement la responsabilité de la qualité de leur travail; c'est-à-dire qu'on s'attendait à ce que les employés accomplissent correctement leur travail et réalisent une auto-inspection après chaque « étape du travail ». Lorsqu'une tâche était effectuée pour laquelle les conséquences d'une erreur présentaient un risque pour les personnes ou le matériel (déterminé par une équipe d'évaluation des risques), une deuxième inspection devait être réalisée. Les superviseurs devaient veiller à ce que le programme d'assurance qualité soit suivi, et inspecter le travail accompli dans leur sphère de compétence à des fins de contrôle de la qualité. Les employés avaient reçu des instructions générales en matière d'assurance qualité ainsi qu'une formation de familiarisation sur la documentation, les politiques et les procédures, mais ils n'avaient pas reçu (la présentation de l'organisme de maintenance n'en parlait pas non plus) de formation précise sur l'application uniforme du programme d'assurance qualité. La principale tâche des personnes qui participaient aux activités d'assurance qualité quotidiennes était la maintenance de l'avion. Des éléments indiquent que ces personnes avaient traité certaines des diverses irrégularités et anomalies techniques comme des problèmes de fiabilité plutôt que comme des manquements à la sécurité potentiels. Même si les exigences réglementaires étaient respectées, certains aspects du programme d'assurance qualité n'étaient pas appliqués de façon uniforme.
Un examen après l'-accident par SR Technics de son propre programme d'assurance qualité a permis de déterminer qu'un point faible du programme était le fait qu'il dépendait du discernement des employés. Cette observation ne figurait dans aucune des conclusions des audits internes précédents. Bien que le discernement joue un rôle dans n'importe quel programme d'assurance qualité, il semble que le programme de SR Technics dépendait trop de la capacité des employés de cerner les manquements à la sécurité potentiels tout en continuant d'essayer de satisfaire à des objectifs de rendement.
Bien que le programme d'assurance qualité de SR Technics ait prévu un processus de suivi pour les questions relatives à la sécurité, l'application du programme était telle qu'on manquait parfois des occasions de cerner des questions potentielles liées à la sécurité; par conséquent, aucun suivi axé sur la sécurité n'était effectué dans ces cas. Par exemple, les anomalies relatives aux liseuses de carte avaient été traitées comme un problème de fiabilité; elles n'avaient pas été considérées comme un risque pour la sécurité aérienne.
L'enquête n'a pas tenté d'établir une comparaison directe entre le programme d'assurance qualité de SR Technics et les programmes d'assurance qualité mis en œuvre par d'autres exploitants. Cependant, de l'information a été obtenue d'un rapport d'examen de programme national de la FAA dans lequel on examinait les organismes de maintenance de neuf des plus grandes lignes aériennes des États-UnisNote de bas de page 114. Les observations de ce rapport portent à croire que les insuffisances cernées dans le programme d'assurance qualité de SR Technics ne sont pas un cas isolé. La FAA a conclu que, bien que l'état actuel des programmes d'assurance qualité obligatoires de ces neuf lignes aériennes ne présentait pas de conditions dangereuses, chacune d'entre elles pourrait tirer avantage de l'examen de son programme d'assurance qualité et de l'adaptation de celui-ci en fonction du modèle optimisé de la FAA pour le programme de système de surveillance et d'analyse continues (CASS). De même, l'analyse du programme d'assurance qualité de SR Technics n'a pas permis de cerner des préoccupations immédiates en matière de sécurité aérienne ni des conditions dangereuses, même si le programme n'avait pas toujours été efficace en ce qui concerne la mise en évidence et la résolution des facteurs de risque.
Les observations relatives aux résultats de l'examen de programme national, réalisé par le bureau de l'inspecteur général du département des transports des États-Unis, ont fourni des données intéressantes pour la présente enquête. Le bureau de l'inspecteur général a conclu que, dans son survol des divers programmes CASS, la FAA avait surtout essayé de déterminer si le programme comportait tous les éléments requis, au lieu de chercher à savoir si le programme était efficace pour la détection des problèmes. Le bureau de l'inspecteur général a formulé diverses recommandations qui exigeraient la mise en œuvre d'une formation, d'une surveillance et d'une analyse améliorées du programme CASS. L'analyse des résultats des audits de SR Technics menés par l'OFAC a montré une tendance semblable.
La nature similaire des diverses conclusions des audits de l'OFAC indique que ce dernier avait concentré ses efforts sur le fait de s'assurer que le programme d'assurance qualité comprenne tous les éléments requis. Les conclusions tendaient à cerner des symptômes, plutôt que les facteurs sous-jacents apparaissant dans les conclusions récurrentes. De façon générale, chacun des audits contenait plusieurs conclusions qui remettaient en question la pertinence et la qualité de la formation offerte aux employés, ou la mise en oeuvre des pratiques et des procédures établies ainsi que la conformité à ces pratiques et procédures. L'OFAC a accepté les mesures correctives mises en oeuvre par SR Technics, mais il a formulé les mêmes conclusions lors des audits subséquents. On a aussi remarqué que, de façon générale, les conclusions de l'OFAC étaient comparables à celles des audits internes effectués par SR Technics.
La certification du MD-11 comprenait la tenue d'essais menés dans le but de démontrer que les systèmes de bord étaient protégés de façon acceptable contre les effets des champs rayonnés à haute intensité (CRHI). Les conditions dans lesquelles les essais ont été menés représentaient des intensités de champ rayonné qui excédaient largement les intensités de champ maximales produites par les radars commerciaux et militaires qui, selon les renseignements disponibles, fonctionnaient à proximité de l'avion en question. De la même façon, on ne peut démontrer aucune combinaison hypothétique d'émetteurs connus et de géométrie réaliste d'espacement en fonction de la distance dépassant les critères d'intensité de champ utilisés durant les essais relatifs aux CRHI en vue de la certification du MD-11.
Une fois que l'avion eut quitté l'espace aérien de l'aéroport JFK, les CRHI les plus importants dans lesquels SR 111 s'était retrouvé étaient situés aux environs de Barrington (Nouvelle-Écosse). L'intensité des CRHI près de Barrington, dans le voisinage de l'avion, était environ 100 fois plus faible que la valeur de pointe estimée de l'intensité de champ dans laquelle les avions se retrouvent en conditions normales d'approche et d'atterrissage à de grands aéroports bien équipés. Par conséquent, il est probable que l'environnement normal d'exploitation autour de l'aéroport JFK présentait les CRHI les plus intenses dans lesquels l'avion s'était retrouvé durant n'importe quelle partie du vol ayant mené à l'accident.
L'environnement normal des CRHI à l'aéroport JFK ne pose pas de risque pour l'aviation, comme en font foi l'arrivée et le départ sans incident de nombreux avions tous les jours, y compris les vols antérieurs effectués par l'avion en question. En outre, l'intensité de champ minimale requise pour l'induction d'une décharge électrique entre des conducteurs à nu (31 kilovolts par centimètre au niveau de la mer) est plus de 1 000 fois supérieure à l'intensité de champ maximale associée aux environnements normaux des CRHI aux aéroports, et environ 430 fois supérieure au pire environnement théorique des CRHI pour un avion commercial.
Des effets de résonance n'auraient pas pu produire des gradients de champ localisés d'une intensité suffisante pour provoquer l'induction d'une décharge électrique entre des conducteurs à nu. Le gain requis pour l'intensité de champ ambiante est d'environ trois ordres de grandeur (environ 1 000 fois plus élevé), tandis que le gain en résonance excède rarement un ordre de grandeur.
Les attributions des radiofréquences (RF) sont établies de telle sorte que les sources RF haute puissance autorisées ne causent pas de brouillage aux appareils radio ni aux radars des avions; par conséquent, il est peu probable que l'interruption des communications qui a duré 13 minutes ait été causée par du brouillage en provenance d'un émetteur CRHI. De toute façon, il n'existe pas, sur le plan technique, de lien possible entre le brouillage radio VHF induit par des CRHI et une décharge électrique pouvant causer l'inflammation de matières inflammables. Par conséquent, on a considéré que les CRHI n'avaient pas été un facteur dans cet accident.
Environ 15 minutes aprè;s le décollage, les communications radio avec l'avion ont été interrompues. Cette interruption des communications s'est poursuivie pendant environ 13 minutes, période pendant laquelle les contrôleurs de la circulation aérienne ont tenté à plusieurs reprises de communiquer avec l'avion sur la fréquence radio VHF attribuée. Aucune anomalie n'a été enregistrée sur le FDR, et aucune anomalie n'a été signalée par les pilotes. Aucune anomalie relative aux communications n'a été signalée par les autres avions ou organismes utilisant la même fréquence radio VHF. Aucune explication n'a été donnée par les pilotes et aucune question de suivi n'a été posée par les Services de la circulation aérienne (ATS) quant aux raisons de cette interruption de 13 minutes dans les communications.
La réaction du contrôleur face à la déclaration d'une situation d'urgence par les pilotes était conforme au fait qu'il avait traité dè;s le départ la situation comme une urgence. Tous les contrôleurs qui sont intervenus ont traité la situation comme une urgence même si le pilote, par le message Pan Pan, avait seulement signalé une situation nécessitant une priorité de communication.
Lorsque les pilotes ont déclaré une situation d'urgence, à part d'indiquer qu'ils devaient se poser immédiatement, ils n'ont pas demandé qu'on leur fournisse d'autres renseignements ni que le contrôleur prenne d'autres mesures. Pendant les 20 secondes qui se sont écoulées entre le moment où les pilotes ont pour la premiè;re fois déclaré une situation d'urgence et la derniè;re communication intelligible reçue de SR 111, les pilotes n'ont exprimé aucune demande concernant des mesures ou des services additionnels de la part des ATS.
Pendant le déroutement vers l'aéroport de Halifax, le contrôleur s'occupait exclusivement de SR 111 et il n'avait aucun autre avion sous son contrôle. Une partie de ses fonctions, comme le stipulent les procédures d'exploitation normalisées, consistait à assurer la coordination avec d'autres contrôleurs du centre de contrôle régional en vue de faciliter l'arrivée de SR 111. À 1 h 24 min 53 s, lorsque les pilotes ont indiqué qu'ils commençaient à larguer du carburant et qu'ils devaient atterrir immédiatement, le contrôleur était partiellement occupé à des activités de coordination et il n'a pas été en mesure de comprendre entiè;rement le contenu de la communication radio. Par conséquent, il n'a pas fourni aux pilotes d'autres renseignements, comme un cap radar vers l'aéroport international de Halifax. Le systè;me de communication radio de l'avion a cessé de fonctionner quelques secondes aprè;s cette communication, empêchant toute autre demande de la part des pilotes, ou toute communication de renseignements de la part du contrôleur au sujet des caps radar vers l'aéroport.
L'équipement de communication joue un rôle trè;s important pendant les situations d'urgence et ni le contrôleur ni les pilotes n'auraient pu savoir à l'avance que l'équipement de communication de SR 111 cesserait de fonctionner. Quoi qu'il en soit, les calculs des performances de l'avion montrent qu'en raison de la détérioration rapide des systè;mes de bord qui s'en est suivie et de la propagation de l'incendie, l'avion n'était pas en état de réussir son atterrissage à l'aéroport.
Au moment de l'accident, les contrôleurs de la circulation aérienne canadiens n'avaient pas reçu de formation spéciale sur les exigences générales d'exploitation d'un avion pendant des procédures anormales ou d'urgence, ni sur les procédures spéciales, comme le largage de carburant. Le contrôleur possédait de l'expérience dans les exercices de ravitaillement d'avions militaires, opérations pendant lesquelles certains systè;mes électriques de l'avion ravitaillé étaient coupés. Compte tenu de cette expérience, le contrôleur a supposé que l'absence de réponse radio à son autorisation de procéder au largage de carburant, et la perte subséquente de l'information concernant le transpondeur et l'altitude en mode C, étaient le résultat de procédures intentionnelles de délestage électrique exécutées par les pilotes.
La perte du système ACARS sur la radio VHF 3 à 0 h 47 min 6 s peut s'expliquer par le fait que les pilotes avaient fait passer le trajet VHF 3 du mode de communication des données au mode phonique afin d'utiliser cette radio pour les communications. Les données du protocole de transmission des messages du fournisseur du système ACARS indiquent que les pilotes avaient dû régler la radio VHF 3 au mode phonique à 0 h 47 min 6 s, lorsque le système ACARS est passé au mode de transmission par satellite; les pilotes ont alors remis la radio VHF 3 en mode de communication des données à 1 h 4vmin 14 s.
Les défauts de conception de la liseuse de carte Hella présentaient des risques d'amorçage d'arc électrique en conditions de service normales. La rotation normale du boîtier de la lentille permettait un contact entre le capuchon protecteur isolant et le support; avec le temps, l'usage finirait par endommager le capuchon protecteur et ainsi exposer le contact ressort métallique servant de borne positive. Cette situation risquait de causer un amorçage d'arc électrique entre le contact ressort métallique exposé et le support. La conception de la liseuse créait aussi au moins trois autres occasions d'amorçage d'arc électrique, notamment pendant le remplacement de l'ampoule lors de l'entretien.
Aussi, les liseuses de carte du pilote et du copilote dans le MD-11 étaient situées dans des endroits exigus, près de matières combustibles ou en contact direct avec celles-ci, ce qui risquait d'aggraver les conséquences de tout amorçage d'arc éventuel. Les dommages causés par une surchauffe qui ont été relevés sur plusieurs matelas isolants recouverts de PET métallisé dans d'autres avions MD-11 donnaient une idée de l'accumulation de chaleur qui existait derrière les liseuses de carte. Une chaleur rayonnante combinée à une proximité immédiate augmenterait la probabilité que les matelas isolants recouverts de PET métallisé s'enflamment au cours d'un amorçage d'arc.
Les liseuses de carte n'ont rien à voir avec l'origine de l'incendie à bord de SR toutefois, les lacunes relevées dans la conception des liseuses de carte et leur montage à bord du MD-11 présentaient un risque inacceptable. Ces manquements à la sécurité sont en train d'être réglés par les mesures de suivi qui sont en cours (voir la rubrique 4.1.4).
Les câbles des blocs d'alimentation du réseau de divertissement de bord (RDB) endommagés par des arcs électriques étaient protégés par des disjoncteurs classiques du type utilisé dans le reste de l'avion et dans l'industrie de l'aviation. Deux des câbles des blocs d'alimentation (pièces produites 1-3790 et 1-3791) avaient subi des arcs électriques qui n'avaient pas déclenché leur disjoncteur correspondant. Il est fort probable que les disjoncteurs ne se sont pas déclenchés parce que les caractéristiques électriques des arcs se situaient à l'extérieur de la courbe de variation du courant en fonction du temps.
Les disjoncteurs classiques d'aéronef peuvent offrir une protection suffisante contre les courts-circuits francs, mais une protection limitée contre la gamme complète des amorçages d'arc.
L'industrie et le gouvernement sont engagés dans divers efforts de recherche et développement pour mettre au point un disjoncteur capable de détecter la gamme complète des amorçages d'arc connus, y compris les amorçages d'arc de courte durée qui se produisent souvent à l'extérieur de la courbe définie de variation du courant en fonction du temps des disjoncteurs classiques, et de réagir en conséquence. Le disjoncteur d'amorçage d'arc est conçu pour offrir une protection supérieure à celle qu'offre le disjoncteur thermique classique. Même si les nouveaux dispositifs de protection de circuit permettent de réduire les dommages dus à des arcs successifs le long des mêmes fils, l'arc électrique initial risque quand même d'occasionner l'inflammation de matières inflammables avoisinantes.
En théorie, s'il y avait eu à bord un disjoncteur d'arc électrique pour protéger les câbles des blocs d'alimentation du RDB, il aurait détecté les arcs initiaux qui ont touché les pièces produites 1-3790 et 1-3791, puis il se serait déclenché pour mettre le câble hors tension.
Même si les essais de certification relatifs aux disjoncteurs d'arc électrique se traduiront par de meilleures capacités de détection des amorçages d'arc et de meilleurs temps de réponse, dans leur version actuelle ils ne permettent pas de certifier que ces disjoncteurs pourront empêcher l'inflammation de matières inflammables par des amorçages d'arc. Compte tenu de la présence de matières inflammables dans la construction des avions, il serait prudent d'établir des critères de certification pour ces disjoncteurs en fonction d'une limite de l'énergie des arcs à un niveau inférieur à l'énergie requise pour l'inflammation de tout matériau susceptible d'être utilisé à bord d'un avion. Même si de telles normes d'essai ont déjà été intégrées à la certification des disjoncteurs d'arc électrique d'usage domestique, les exigences provisoires d'essai de certification relatives aux disjoncteurs d'arc électrique destinés aux aéronefs ne comprennent pas de tels critèresNote de bas de page 115.
L'industrie de l'aviation et les organismes de réglementation ont pris des mesures pour passer en revue et uniformiser leur façon d'aborder le réenclenchement des disjoncteurs déclenchés. Les avionneurs ont publié des énoncés de principe, et la FAA a tenté d'uniformiser l'approche de l'industrie. Bien que ces initiatives aient fourni de l'information et suscité une prise de conscience dans certains secteurs de la communauté aéronautique relativement aux conséquences de réenclenchements inappropriés, elles sont d'une portée limitée et de nature transitoire. Le contexte réglementaire (réglementation proprement dite, avis, etc.) ne reflète pas les principes de réenclenchement acceptés à l'heure actuelle par l'industrie de l'aviation et ne met pas l'accent sur les conséquences découlant de réenclenchements inappropriés. La diffusion de tels renseignements dans des documents comme la circulaire consultative (AC) 43.13-1B ferait ressortir le caractère universel de la question et augmenterait les chances que l'approche convenant le mieux au réenclenchement des disjoncteurs déclenchés soit adoptée dans tous les secteurs de l'industrie de l'aviation.
En raison, en partie, de la fiabilité inhérente des disjoncteurs, l’entretien préventif est rare et limité surtout à une inspection générale visuelle et à un nettoyage, le cas échéant. Lorsqu’un disjoncteur est défectueux, la défectuosité se limite généralement à l’une des deux causes suivantes : le disjoncteur se déclenche de façon intempestive, ou il ne se déclenche pas en cas de surintensité. Dans les deux cas, l’entretien se limite habituellement au remplacement du disjoncteur défectueux. Même si ces deux causes ne sont pas souhaitables, le non-déclenchement d’un disjoncteur signifie que le fil ou le câble auquel il est associé n’est pas protégé. L’analyse des disjoncteurs déclenchés montre que, dans certains cas, de longues périodes d’inactivité peuvent entraîner une modification des caractéristiques des disjoncteurs avec le tempsNote de bas de page 116.
D’après la FAA et la Society of Automotive Engineers, ce phénomène de vieillissement des disjoncteurs peut être évité par le déclenchement périodique du mécanisme des disjoncteurs. Malgré de telles recommandations, les programmes de maintenance des aéronefs ne comportent généralement aucune exigence d’essai périodique des disjoncteurs. Dans son récent bulletin publié sur le réenclenchement des disjoncteurs, la FAA n’a fait aucune mention du caractère adéquat des programmes d’entretien préventif des disjoncteurs mis en place par les divers exploitants. Le fait d’aborder la question du déclenchement périodique des disjoncteurs aiderait sont cohérents et optimisés afin d’assurer une fiabilité maximale des disjoncteurs. L’industrie de l’aviation doit adopter le concept des « meilleures pratiques » à l’égard de l’entretien des disjoncteurs et veiller à ce que les programmes d’entretien soient conçus comme il se doit.
2.13.4 Questions relatives à l’espacement des fils électriques
Du point de vue de l’espacement entre les fils, on n’a trouvé aucun lien entre la conception de l’acheminement des fils du MD-11 et la source d’inflammation ayant causé l’incendie à bord. Toutefois, comme les six câbles d’alimentation du bus d’alimentation sont acheminés ensemble à proximité du boîtier du tableau de commutation supérieur, la conception présente un risque accru de perte de tous les services alimentés par ces câbles en cas de défaillance en un seul point. On a établi que la perte des systèmes associés au câble d’alimentation du bus c.a. d’urgence de gauche était attribuable au fait que le câble avait été endommagé par l’incendie. La défaillance de ce câble s’était produite tard dans la séquence des événements, lorsque l’incendie faisait rage. Même si la perte des systèmes connexes aurait compliqué les défis importants auxquels les pilotes faisaient face et pu contribuer à la perte de contrôle de l’avion, il est probable que l’incendie, et non pas la perte des divers systèmes de bord, a constitué le facteur crucial dans l’issue finale. La conception du MD-11 est telle que, même si tous ces câbles étaient mis hors tension, il resterait une capacité limitée, mais suffisante pour permettre aux pilotes de conserver le contrôle de l’avion.
La Federal Aviation Regulations (FAR) 25.1353(b) stipule que les « câbles doivent être groupés, acheminés et espacés de telle sorte que les dommages aux circuits essentiels sont réduits au minimum en cas de défaillance des câbles porteurs de courant de grande intensité ». L’objectif consiste à réduire au minimum l’effet d’une défaillance d’un câble porteur de courant de grande intensité faisant partie du câblage d’un système essentiel. La formulation suppose qu’il ne faut prendre de telles mesures que lorsqu’un faisceau de fils contient à la fois un ou plusieurs fils de système essentiel et un ou plusieurs câbles porteurs de courant de grande intensité. Le document d’information ne précise pas quelles sont les mesures jugées acceptables pour que soient respectées les exigences de la FAR 25.1353(b). Ce paragraphe n’aborde pas non plus, du point de vue de l’espacement entre les fils, la question de l’acceptabilité du groupement ou de l’assemblage en faisceau des câbles d’alimentation censés faire partie du câblage de systèmes essentiels. De plus, l’interprétation de ce règlement est rendue encore plus difficile parce que plusieurs termes, comme « circuits essentiels », ne sont pas définis par l’organisme de réglementation.
Dans la conception des aéronefs, il n’est pas toujours possible de maintenir un espacement physique entre les fils, surtout dans le poste de pilotage où, typiquement, l’espace disponible pour les installations est exigu. Il n’y a pas de lignes directrices claires sur ce qui devrait constituer un autre moyen d’assurer la conformité à ces dispositions lorsqu’il n’est pas pratique ou possible de prévoir un espacement physique entre les fils. Dans le cas du MD-11, l’avionneur utilisait une gaine protectrice, qu’il considère capable d’offrir un niveau de sécurité équivalent à l’espacement physique. Comme il n’y a pas eu de cas problèmes signalés dans la flotte des MD-11 ou des DC-10 pendant bon nombre d’années de service, cette méthode a manifestement répondu aux besoins; toutefois, ni le constructeur du MD-11 ni la FAA n’ont quantifié l’efficacité d’une telle gaine protectrice.
L’absence d’indications claires dans le document d’information est mise en évidence par la difficulté de déterminer la conformité au sujet de l’acheminement des câbles d’alimentation des bus d’alimentation batterie et d’urgence du MD-11. Si la FAR 25.1353(b) s’applique aux fils en question, il n’est pas clair si les faisceaux de fils peuvent contenir à la fois le câblage des systèmes essentiels et les câbles porteurs de courant de grande intensité, même sur de courtes distances. Par exemple, le chemin de câbles situé à proximité du boîtier du tableau de commutation supérieur pourrait être considéré comme non conforme à la FAR 25.1353(b) parce qu’il n’y a pas d’espacement physique; toutefois, la FAA a jugé que cette installation était conforme. Le fondement de cette interprétation n’est pas clair, car aucune méthode n’est précisée pour fournir un autre moyen de se conformer à la FAR 25.1353(b) lorsqu’il n’est pas pratique ou possible de prévoir un espacement physique. Il conviendrait de passer en revue la réglementation et le document d’information à ce sujet.
La FAA reconnaît que le mélange de fils électriques dont les matériaux isolants présentent différentes caractéristiques de dureté peut causer des dommages, surtout aux endroits où les vibrations sont fortes. Malgré l’absence de réglementation relative au mélange des matériaux isolants des fils, les AC 43.13-1B et 25-16 de la FAA donnent certaines indications. L’AC 43.13-1B est un guide général qui établit des pratiques, des techniques et des méthodes acceptables d’inspection et de réparation d’aéronef, tandis que l’AC 25-16 complète l’AC 43.13-1B en ce qui a trait aux défectuosités électriques et à la prévention des incendies.
L’AC 43.13-1B est claire pour ce qui est du mélange des fils, car elle stipule qu’il n’est pas recommandé « d’acheminer, à l’intérieur du même faisceau, des fils ayant des matériaux isolants différents ». L’AC 25-16 donne à penser qu’il y aurait lieu d’éviter de mélanger des fils dont la rigidité de l’isolant est « significativement différente ». Outre la différence de rigidité entre les fils, l’AC 25-16 précise qu’il faut tenir compte du facteur de rigidité entre le matériau isolant du fil et le matériau en contact avec l’isolant, comme des colliers et des guide-fils.
La FAA compte sur les avionneurs ou les ateliers de modification pour établir la compatibilité des matériaux au moyen d’essais ou d’antécédents d’utilisation satisfaisants. À cette fin, les essais de compatibilité des matériaux menés par Boeing ont permis de dresser un répertoire des fils et des matériaux isolants qui, de l’avis de l’avionneur, peuvent être utilisés à l’intérieur d’un même faisceau. Les faisceaux de fils du MD-11 fabriqués par Boeing ont été conçus et installés conformément à des normes acceptables de l’industrie de façon à réduire l’usure par frottement entre les fils et les dommages causés par les matériaux en contact avec l’isolant, comme des colliers. Même si des installations après construction, comme des systèmes de divertissement de bord (SDB), peuvent utiliser les mêmes fils que ceux dont se sert l’avionneur ou des fils de type similaire, la compatibilité entre les fils dépendrait de la qualité de l’installation.
2.13.4.3 Signalement d’anomalies relatives aux fils
Au moment de l’accident, rien n’obligeait à signaler les anomalies de câblage de façon distincte des autres anomalies. Par conséquent, dans de nombreux cas, les anomalies de câblage étaient attribuées à un composant ou à un ensemble remplaçable en première ligne à l’intérieur du système de bord connexe. En outre, il arrive souvent que les anomalies de câblage fassent l’objet de réparations sur place, sans que l’on comprenne bien toutes les conséquences de l’anomalie découverte. L’absence d’un code conjoint d’inspection de composants/systèmes de bord (codes améliorés de l’Air Transport Association) limitait l’élaboration de méthodes de collecte, de compilation et de surveillance des données relatives aux problèmes de câblage en vue de l’analyse des tendances. Bien que des renseignements plus précis sur les câblages soient maintenant consignés par les techniciens et les inspecteurs de la réglementation et que des données deviennent progressivement plus accessibles pour valider des lacunes potentielles dans les câblages, le manque de documents d’information qui prévalait auparavant pour signaler des défaillances liées aux fils n’a permis de disposer que de renseignements limités, ce qui continue d’être une entrave à l’évaluation de la nature et de l’étendue des manquements à la sécurité en ce qui concerne le câblage.
La conception technique du MD-11 est telle que tous les équipements « non essentiels » de la cabine doivent être alimentés par l'un des huit bus cabine. L'actionnement du commutateur CABIN BUS, situé dans le tableau de commutation supérieur du poste de pilotage, sert à isoler toute alimentation « non essentielle » de la cabine. Cette mesure est le premier élément qui figure dans la liste de vérifications d'urgence de Swissair en cas de fumée ou d'émanations d'origine inconnue à bord du MD-11, et elle permet à l'équipage d'évaluer si la fumée provient d'un composant associé aux bus cabine. Au cours de l'examen préliminaire de la documentation sur le RDB, on a déterminé que les blocs d'alimentation du RDB étaient branchés sur l'alimentation électrique de l'avion d'une manière qui n'était pas compatible avec la conception du délestage électrique d'urgence du MD-11.
La documentation montre que, initialement, l'intention était d'alimenter le système RDB à partir des bus cabine. Toutefois, les bus cabine n'offraient pas une alimentation suffisante pour les 257 sièges du RDB prévus à l'origine. C'est pourquoi on a utilisé le bus 2 de 115 V c.a. pour répondre à la plus grande partie des besoins en alimentation électrique du RDB.
L'alimentation du RDB à même le bus 2 de 115 V c.a. n'aurait pas constitué une condition dangereuse latente s'il y avait eu un dispositif de mise hors service du RDB (p. ex. un relais de commutation) lorsque le commutateur CABIN BUS était réglé sur OFF. Un autre moyen de se conformer au certificat de type du MD-11 aurait été de demander l'approbation par la FAA d'un supplément au manuel de vol contenant des directives à l'intention des pilotes sur la façon de mettre hors tension le RDB durant les procédures d'urgence. Toutefois, aucune de ces options n'a été envisagée, et le vice de conception n'a pas été décelé avant l'accident de SR 111. Par conséquent, les pilotes ne savaient probablement pas que le RDB demeurerait sous tension après la mise hors tension du bus cabine.
La conception de l'intégration de l'alimentation RDB-avion a constitué une condition dangereuse latente. Cependant, alors que l'incendie était en cours au moment où le commutateur CABIN BUS a été utilisé (13 minutes, 7 secondes après que l'odeur eut été décelée pour la première fois), aucun lien n'a été établi entre cette condition dangereuse latente et le déclenchement ou la propagation de l'incendie.
2.14.2 Surveillance par la FAA du projet de certification de type supplémentaire du RDB
En tant qu'atelier de modification désigné, Santa Barbara Aerospace (SBA) devait s'assurer que le RDB était conforme aux règlements en vigueur, et qu'il était intégré en toute sécurité à l'avion. Étant donné que SBA agissait pour le compte de la FAA, c'est à la FAA qu'incombait la responsabilité de s'assurer que SBA possédait le savoir-faire voulu pour exercer ses fonctions. Au moment où ce certificat de type supplémentaire (STC) était en cours d'approbation, les procédures suivies par la FAA pour surveiller la délégation de pouvoirs à un atelier de modification désigné pour la délivrance du STC ne garantissaient pas que les anomalies pouvaient être décelées et rectifiées.
Comme en témoigne le document d'analyse de la charge électrique utilisé dans le cadre des travaux préliminaires de conception et de développement du RDB réalisés par Hollingsead International (HI), on avait bien l'intention d'alimenter le RDB à partir du bus cabine. Tandis que les travaux de développement du RDB avançaient, HI a constaté que l'alimentation électrique provenant du bus cabine était insuffisante et elle a apporté des modifications aux plans pour alimenter le RDB à partir du bus 2 de 115 V c.a. Il n'a pas été possible de savoir quelle part des travaux de conception préliminaires réalisés par HI avait été communiquée à SBA. La lettre d'intention présentée par SBA à la FAA reflétait ce qui semblait être l'intention préliminaire de l'installation. Même si on pouvait s'attendre à ce qu'un changement aussi important fasse l'objet d'une modification, la lettre d'intention n'avait pas été modifiée pour refléter les modifications de conception. Aussi, l'examen auquel la FAA avait procédé pour s'acquitter de sa fonction de surveillance avait peu de chances de révéler de telles anomalies, car la FAA comptait être avisée de tout changement apporté à la portée du projet par l'atelier de modification désigné.
Dans le cadre du processus de certification, le RDB devait faire l'objet d'une analyse de sécurité, conformément aux dispositions de la FAR 25.1309. Cette analyse évalue les dangers qui se rattachent à la fois au fonctionnement du système et aux modes de défaillance. Les efforts qu'exige une telle analyse varient d'une évaluation qualitative, comme une évaluation des risques fonctionnels reposant sur le jugement d'un ingénieur expérimenté, à une évaluation quantitative complexe, comme une analyse des effets des modes de défaillance, laquelle comporte une analyse numérique des probabilités. La criticité fonctionnelle du RDB, établie par le demandeur du STC dans sa lettre d'intention adressée à la FAA, avait été qualifiée de « non essentielle, non requise »Note de bas de page 117. Une telle catégorisation doit permettre la réalisation d'une analyse qualitative reposant sur le jugement préalable d'un ingénieur et sur l'expérience préalable satisfaisante.
2.14.4 Rôle du Groupe d’évaluation des aéronefs de la FAA/portée du STC
Le Bureau de certification des aéronefs de la FAA à Los Angeles a bénéficié de l’appui, lors de son examen du certificat de type supplémentaire du RDB, du personnel du Groupe d’évaluation des aéronefs (AEG) de la FAA, notamment des inspecteurs des normes de vol et de la sécurité aérienne qui connaissaient bien les opérations des transporteurs aériens, l’entraînement des équipages de conduite, la maintenance des aéronefs et la procédure de certification des aéronefs. Ces employés de l’AEG sont responsables de la certification et de l’évaluation des qualités opérationnelles des avions commerciaux neufs et modifiés. Même si la FAA délègue une bonne partie de ses responsabilités dans le cadre de la procédure de délivrance du STC, elle ne délègue pas la fonction de l’AEG. C’est pourquoi l’atelier de modification désigné (DAS) n’était pas habilité à prendre des décisions sur des STC dans le domaine des exigences opérationnelles ou des besoins de maintenance.
Dans le cas du STC ST00236LA-D, SBA a présenté une lettre d’intention dans laquelle elle déclarait que celui-ci n’aurait aucun impact sur la charge de travail de l’équipage de conduite. L’AEG a analysé la lettre d’intention et a confirmé cette conclusion. Étant donné que seul l’AEG est investi du pouvoir de tirer une telle conclusion, la présence d’une telle déclaration dans la lettre d’intention aurait dû attirer l’attention de la FAA sur le fait que SBA avait outrepassé son mandat en tant que DAS. Le fait que le RDB ait été qualifié de « non essentiel, non requis » a entraîné un relâchement de la vigilance et une délégation de fait de cette fonction de l’AEG.
Un étude réalisée par la FAA sur les STC de systèmes de divertissement de bord semblables « non essentiels, non requis » a révélé qu’environ 10 % d’entre eux avaient été conçus, installés et certifiés de telle manière que l’équipage de conduite était incapable d’en couper l’alimentation électrique sans entraver le fonctionnement de systèmes essentiels. Bien que l’ampleur de la participation de l’AEG à l’approbation de ces autres STC n’ait pas été déterminée, l’étude a révélé que le caractère incomplet de l’examen opérationnel précédant l’approbation du STC ST00236LA-D n’avait rien d’exceptionnel.
Étant donné que la fonction de l’AEG n’est pas déléguée, la FAA est responsable de la détermination de la conformité d’un STC sur le plan opérationnel et sur celui de la maintenance. Ainsi, l’AEG doit continuer de participer au processus et collaborer de près avec l’atelier de modification désigné pour donner l’approbation nécessaire.
2.17.1 Sources d'inflammation potentielles – généralités
Rien n'indique que l'incendie se soit déclaré à l'extérieur de la zone endommagée par le feu qui a été reconstruite. La zone endommagée par l'incendie renfermait un grand nombre de fils et de câbles électriques, des appareils d'éclairage, une batterie d'éclairage d'urgence, deux offices alimentées à l'électricité, de nombreux connecteurs électriques modulaires et des mécanismes électriques d'ouverture et de fermeture des portes. Les essais ont révélé que les matériaux isolants recouverts de PET métallisé peuvent facilement s'enflammer sous l'effet d'un arc électrique; toutefois, le PET métallisé a tendance à s'écarter par retrait des sources de chaleur intense, comme celles qui peuvent résulter d'un chauffage par résistance à une connexion d'alimentation électrique ou de mise à la terre mal serrée. Diverses sources d'inflammation possibles, électriques et non électriques, ont été évaluées dans la zone endommagée par l'incendie. On a déterminé que la source d'inflammation la plus vraisemblable est l'amorçage d'un arc électrique à travers l'isolant ébréché d'un fil, ce qui a enflammé un matériau isolant recouvert de PET métallisé.
2.17.3 Circulation de l'air, propagation de l'incendie et emplacements possibles de la source d'inflammation
On a évalué les trajets suivis par l'air avant l'incendie pour déterminer les endroits possibles par lesquels l'odeur et la fumée avaient pu pénétrer dans le poste de pilotage, comme l'avaient remarqué les pilotes, sans qu'elles ne puissent être décelées dans la cabine. On a ensuite évalué chacun des endroits possibles pour déterminer si un incendie ayant pris naissance à cet endroit concordait avec les circonstances connues de l'incendie survenu à bord. Au nombre des facteurs examinés, il y avait la présence d'éventuelles sources d'inflammation et de matières inflammables; la probabilité que l'incendie ait pu se propager depuis cet endroit dans le délai que l'on sait, compte tenu de la quantité de matières inflammables à bord; la probabilité que la propagation de l'incendie depuis cet endroit ait pu entraîner l'enchaînement connu des anomalies des systèmes de bord, et la probabilité qu'un incendie se propageant depuis cet endroit ait pu provoquer les dommages causés par le feu qui ont été observés.
De tous les endroits possibles analysés, un seul, situé à droite près de la découpe dans la partie supérieure de la cloison arrière du poste de pilotage, juste en avant de la référence 383, cadrait avec l'ensemble des circonstances connues de l'incendie. De là, l'odeur et la fumée avaient pu pénétrer dans le poste de pilotage à un endroit précis où l'équipage de conduite avait pu penser que la fumée provenait du système de conditionnement d'air par le diffuseur de plafond droit. Au commencement, la fumée produite dans cette zone ne serait sans doute pas perçue ailleurs dans l'avion. Un incendie aurait pu se propager vers l'arrière depuis la zone située près de la référence 383 et, si l'on se base sur les caractéristiques connues de l'inflammabilité des matériaux et les trajets suivis par l'air décrits ci-après, le feu aurait pu regagner le poste de pilotage avec plus d'intensité après un certain temps. Cet enchaînement d'événements a pu se produire avant que le feu n'envahisse la cabine ou ne compromette les systèmes de bord.
Un incendie qui aurait pris naissance plus loin en avant dans le poste de pilotage sous les matelas isolants recouvrant les cadres, devant les fils et les faisceaux de fils qui traversent l'avion dans le sens de la largeur devant la référence 383, se serait sans doute propagé, dans un premier temps, sur une plus grande superficie du poste de pilotage. Si le feu avait pris naissance encore plus en avant, des défectuosités et des défaillances causées par le feu seraient sans doute survenues plus tôt, et les symptômes connexes auraient vraisemblablement été décelés plus rapidement par les pilotes pendant le déroulement de l'incendie et ils auraient probablement été captés par les enregistreurs. De plus, la fumée aurait sans doute pénétré dans le poste de pilotage par des orifices que les pilotes n'auraient vraisemblablement pas associé au système de conditionnement d'air. Le revêtement du plafond du poste de pilotage se prêtait par ailleurs à une pénétration rapide de l'incendie et à une fusion, dans la mesure où ce revêtement est fait d'une matière plastique thermoformable dont la température de formage est relativement basse.
De même, si le feu avait pris naissance plus à l'intérieur, au-dessous des matelas isolants recouvrant les cadres, près de l'axe de l'avion, il aurait essentiellement été limité aussi bien à gauche qu'à droite par les chemins de câbles installés dans le sens de la longueur. Ces chemins de câbles parallèles pénètrent dans le boîtier du tableau de commutation supérieur par des orifices ovales à l'arrière du boîtier. Les chemins de câbles auraient dû agir comme rideaux coupe-feu canalisant la propagation des flammes dans un couloir longitudinal. Comme on a pu l'observer durant les essais en vol, la fumée doit avoir été aspirée dans les ouvertures du boîtier du tableau supérieur avant de pénétrer dans le poste de pilotage par des passages, comme les fentes des poignées coupe-feu moteur dans le tableau supérieur. Là encore, la fumée qui aurait pénétré dans le poste de pilotage par ces orifices n'aurait sans doute pas été associée au système de conditionnement d'air. La même logique vaut également pour les incendies qui auraient pu prendre naissance à gauche de l'espace inoccupé du poste de pilotage. Ces facteurs excluent toute possibilité que l'incendie ait pu prendre naissance ailleurs dans les zones dissimulées du poste de pilotage.
2.17.4.7 Progression du feu – de la gaine verticale vers le côté gauche du fuselage et vers l'arrière
Des parties d'un cadre du fuselage et de la gaine d'air conditionné situées près du tuyau flexible et de son raccord présentaient des dommages causés par une température intense. Les essais par calorimètre à côneNote de bas de page 118 indiquent qu'un matériau semblable à celui du tuyau flexible en question s'enflamme à un flux de chaleur de 25 kW/m2 (ce qui équivaut à peu près à une température d'équilibre en surface de 591 °C (1 095 °F)), et il est probable que le tuyau flexible n'aurait pas pu résister à des températures aussi élevées. On peut en dire autant du tuyau flexible de l'autre buse d'air individuelle située plus en avant dans le revêtement, à gauche du tableau de distribution supérieur. On a également constaté que le cadre du fuselage situé non loin de là avait été endommagé par une chaleur intense. La défaillance de l'embout en élastomère de silicone et des tuyaux flexibles des buses d'air individuelles a alimenté l'incendie en air conditionné, ce qui a sans doute contribué à une détérioration de l'environnement dans le poste de pilotage.
Les cinq dernières minutes trente-sept secondes du vol, c'est-à-dire à partir du moment où les enregistreurs de vol ont cessé de fonctionner à 1 h 25 min 41 s, n'ont pas été enregistrées sur le FDR ou le CVR. Dans la mesure du possible, les événements ont été reconstitués au moyen des données du radar primaire au sol, des données de la mémoire permanente des régulateurs automatiques à pleine autorité redondante (FADEC), des enregistrements du contrôle de l'ATC, des déclarations des témoins et de l'examen de l'épave.
Une analyse des dommages causés par la chaleur, observés sur le poste de pilotage reconstruit, alliée au scénario probable de la propagation de l'incendie, démontre que l'incendie a gagné en intensité au cours des six dernières minutes du vol. La quantité de fumée et l'intensité de la chaleur et de l'incendie dans le poste de pilotage ont continué à augmenter.
À 1 h 25 min 50 s, soit environ huit secondes après l'arrêt des enregistreurs de bord, il y a des indications selon lesquelles les pilotes ont fait passer la source des données du calculateur ADC-1 au calculateur ADC-2 (voir la rubrique 1.18.8.26). Ils ont vraisemblablement agi ainsi pour tenter de rétablir certains instruments de vol perdus. L'examen des fils montre que le bus c.a. d'urgence de gauche qui alimentait l'ADC-1 avait subi un arc électrique, lequel aurait interrompu son alimentation, entraînant la perte de l'ADC-1. Lorsque les pilotes ont sélectionné l'ADC-2, celui-ci a provisoirement rétabli les données sur l'altitude du transpondeur en mode C, lesquelles indiquaient que l'avion se trouvait à 9 700 pi d'altitude. À 1 h 26 min 4 s, le transpondeur de l'avion a cessé d'émettre des données pour le reste du vol. Le radar de l'ATC a continué d'enregistrer la route suivie par l'avion sur le radar primaire jusqu'à ce que celui-ci disparaisse de l'écran radar environ 10 secondes avant de s'abîmer en mer.
Dans leur avant-dernier message à l'ATC, à 1 h 24 min 53 s, les pilotes ont déclaré qu'ils commençaient à larguer du carburant. D'après les comptes rendus des témoins, ils auraient amorcé le largage de carburant après l'arrêt des enregistreurs. Par ailleurs, le robinet d'isolement du réservoir auxiliaire a été trouvé fermé, ce qui est normal une fois le largage de carburant commencé. Les robinets vide-vite étaient fermés au moment de l'impact, indiquant que les pilotes avaient cessé de larguer du carburant.
Avant l'arrêt des enregistreurs, on entend les pilotes indiquer qu'ils doivent atterrir sans plus tarder. Malgré cela, l'avion a poursuivi sa route vers le sud, s'éloignant de l'aéroport et se dirigeant vers l'océan. Voilà qui donne à penser que la situation dans le poste de pilotage s'était rapidement détériorée, à tel point que les pilotes n'étaient plus en mesure de naviguer. Ils avaient sans doute perdu presque toute capacité de navigation électronique, et la quantité croissante de fumée pénétrant dans le poste de pilotage doit avoir progressivement obstrué la visibilité vers l'avant et empêché tout pilotage à vue, surtout la nuit dans une zone inconnue, une couverture nuageuse se trouvant à proximité.
L'avion a poursuivi sa descente en virant sur la droite alors qu'il survolait la localité de Blandford (Nouvelle-Écosse). Des témoins au sol ont affirmé avoir entendu un bruit ayant une fréquence de battement répétitif et émis à un rythme constant qu'il était possible d'entendre malgré le bruit strident des moteurs. C'est à peu près à ce moment que le moteur 2 a été coupé; toutefois, il a été impossible d'expliquer ce « battement répétitif ». Les témoins ont également affirmé avoir vu plusieurs feux de l'avion, signe qu'au moins certains des circuits électriques de l'appareil fonctionnaient encore. C'est ce qu'a confirmé l'examen de certains systèmes, comme les pompes carburant et les ventilateurs, dont les pièces tournantes présentaient des signes de fonctionnement au moment de l'impact. L'examen des pièces a montré que les trois bus d'alternateur étaient alimentés au moment de l'impact.
Peu de temps après avoir franchi le littoral de la Nouvelle-Écosse, l'avion a amorcé un virage sur la droite. Même s'il y a des signes que la fenêtre coulissante du commandant était probablement déverrouillée, il est impossible de savoir quand cette fenêtre a été ouverte, advenant qu'elle ait été ouverte. À un moment donné, les pilotes ont sorti les volets en fonction du réglage DIAL-A-FLAP présélectionné de 15°. Lorsqu'ils ont coupé le moteur 2 à environ 1 800 pi d'altitude, soit environ une minute avant l'impact, la vitesse vraie était d'environ 227 nœuds. La vitesse descensionnelle juste avant ce moment a été estimée à environ 2 000 pi par minute.
On ignore la raison pour laquelle le moteur 2 a été coupé avant l'impact. Une explication possible pourrait être le fait que l'équipage avait reçu une fausse indication d'incendie. Un court-circuit du fil de masse dans la poignée de l'extincteur 2 peut entraîner l'allumage des témoins de cette poignée et du commutateur d'alimentation en carburant du moteur 2. Le fil de masse n'a pas été identifié; toutefois, il se trouvait à un endroit fortement endommagé par la chaleur et le feu. On a constaté qu'un des livrets des listes de vérifications d'urgence du poste de pilotage a subi des dommages mineurs dus à la chaleur à la page décrivant la procédure en cas d'incendie moteur; toutefois, on ne sait si la liste de vérifications était en train d'être consultée au moment de l'arrêt du moteur. La fermeture du commutateur FUEL fait partie de cette procédure de vérifications.
L'environnement dans la cabine était sans doute beaucoup moins pénible que dans le poste de pilotage. Même si l'on a noté des traces de suie dans l'espace inoccupé situé derrière le principal foyer d'incendie, il n'y avait pas de signe de chaleur notable dans l'espace inoccupé situé derrière les sièges de première classe. Les panneaux de plafond dans la cabine ont une forte résistance au feu et à la pénétration de la chaleur et ils ont sans doute protégé la cabine contre les effets de l'incendie. De la fumée a sans doute pénétré dans la cabine durant les dernières minutes du vol, surtout dans la partie avant.
On ignore si les extincteurs à bord ont été utilisés pour lutter contre l'incendie. À l'examen, on a déterminé que, selon toute vraisemblance, aucun des deux extincteurs portatifs à poudre chimique de 5 livres installés dans la cabine n'avait été utilisé. On peut en dire autant de trois des six extincteurs portatifs au halon de 2,5 livres; toutefois, l'état de charge des trois autres extincteurs au halon n'a pu être déterminé en raison des dommages matériels qu'ils avaient subis. Si quelqu'un avait tenté de lutter contre l'incendie, on peut penser que le maître de cabine aurait participé à la tentative; or, le maître de cabine était assis au moment de l'impact et sa ceinture de sécurité était bouclée.
Un des passagers, qui était pilote, portait un gilet de sauvetage au moment de l'impact. Rien n'indique que quelqu'un d'autre ait revêtu son gilet de sauvetage, même s'il a été impossible de tirer des conclusions définitives dans la plupart des cas. On ignore si ce passager avait revêtu son gilet de sauvetage de son propre chef ou à la suite d'une consigne. S'il a revêtu son gilet de sauvetage de lui-même, c'est qu'il a dû être en mesure de discerner ou de déduire que l'avion se trouvait au-dessus de l'eau et qu'il risquait de faire un amerrissage d'urgence. Si, au contraire, il a suivi une consigne de l'équipage, c'est qu'un amerrissage forcé était prévu. En pareil cas, le maître de cabine aurait dû porter son gilet de sauvetage, ce qui n'est pas le cas; d'où la conclusion qu'aucune consigne n'avait été donnée en prévision d'un amerrissage forcé.
Au cours des dernières minutes du vol, à part de peut-être disposer d'un cap généré électroniquement sur l'écran d'affichage (DU) 2, les pilotes ne disposaient d'aucun instrument électronique pour se rendre jusqu'à l'aéroport, et ils auraient été contraints d'envisager d'autres solutions, comme un atterrissage forcé ou un amerrissage forcé. D'après l'examen de l'épave, on sait que l'incendie dans le poste de pilotage a laissé des traces de dommages causés par la chaleur dont la température était comprise entre 482 et 538 °C (900 et 1 000 °F) à l'avant du tableau de distribution avionique et sur la structure des diffuseurs d'air juste au-dessus du plafond du poste de pilotage. Il y avait des indications selon lesquelles un matériau en fusion s'était égoutté sur la moquette et le recouvrement du siège de l'observateur de droite. L'incendie était en train de gagner le siège du pilote depuis l'arrière du poste de pilotage. Les importants dépôts de suie et les dommages causés par la chaleur de certains des matériaux du poste de pilotage indiquent que la visibilité était considérablement réduite dans le poste de pilotage. Il a été impossible de déterminer si l'extincteur du poste de pilotage avait été utilisé.
Le siège du copilote était occupé au moment de l'impact; le siège du pilote était en position d'évacuation. Même si l'indicateur d'assiette de secours indiquait que l'avion était dans un piqué de 20° et une inclinaison latérale de 110° à droite au moment de l'impact, il a été impossible de déterminer si ces indications représentaient l'assiette réelle de l'avion au moment de l'impact. Les dommages structuraux étayent une position de piqué d'environ 20° et une inclinaison latérale de plus de 60° à droite. Si les pilotes n'étaient pas frappés d'incapacité et qu'ils tentaient toujours de reprendre le contrôle de l'avion, cette constatation porte à croire que, dans la dernière minute du vol, ils avaient perdu toute orientation par rapport à l'horizon. Cette situation n'aurait rien eu de surprenant, compte tenu de l'absence d'instruments de référence et du manque de repères visuels à l'extérieur de l'avion. Peu importe qu'il y ait eu une intervention du pilote au moment de l'impact, l'avion n'était pas en vol contrôlé.
2.20.1 Généralités
La présente section porte sur le profil de vol réel de SR 111 et le profil théorique optimal de descente d'urgence. Les calculs théoriques ont été effectués uniquement pour fournir une ligne de base de référence théorique, sans qu'on tienne compte des indices sur lesquels ont reposé les décisions prises par l'équipage de conduite. On n'a pas non plus tenu compte des facteurs défavorables qui auraient pu avoir de graves répercussions sur la capacité des pilotes à maintenir un profil de descente optimal et à faire atterrir l'apparei(DIT2-3).
2.20.2 Heure d'atterrissage la plus hâtive possible
Les calculs théoriques démontrent que, si une descente d'urgence avait été amorcée à partir du point optimal à 1 h 14 min 18 s, l'heure d'atterrissage la plus hâtive possible aurait été 1 h 27. Cette heure d'atterrissage n'aurait été possible que s'il n'y avait pas eu de défectuosités techniques ou un environnement malsain dans le poste de pilotage entravant la capacité des pilotes à piloter et à configurer l'avion pour en tirer les performances optimales. Tout écart par rapport à ces conditions « idéales » entraînerait une heure d'atterrissage plus tardive du fait que l'avion devrait effectuer des manœuvres supplémentaires hors de la route directe vers l'aéroport ou qu'il atteindrait l'aéroport à une altitude ou à une vitesse trop élevées pour pouvoir atterrir.
2.20.3 Effet des défaillances dues à l'incendie sur l'atterrissage
À 1 h 24 min 9 s, soit près de trois minutes avant l'heure d'atterrissage la plus hâtive possible, l'avion avait commencé à subir une succession de plus en plus rapide de défaillances de systèmes. Les pilotes ont déclaré une situation d'urgence à 1 h 24 min 42 s, soit un peu plus de deux minutes avant l'heure théorique d'atterrissage la plus hâtive possible. Plusieurs autres défaillances de systèmes, notamment la perte des écrans d'affichage du copilote et l'arrêt des communications avec les ATS, étaient survenues une minute plus tard (1 h 25 min 42 s), juste avant l'arrêt des enregistreurs de bord.
Au moment où les enregistreurs ont cessé de fonctionner, l'environnement dans le poste de pilotage se détériorait rapidement. L'incendie était en train de gagner tout le poste de pilotage depuis le plafond. Juste avant que les enregistreurs cessent de fonctionner, les pilotes avaient indiqué qu'ils devaient atterrir immédiatement; toutefois, ils avaient apparemment perdu la capacité de naviguer, car ils n'avaient pas mis le cap sur l'aéroport. À un moment donné au cours des cinq dernières minutes, les becs de bord d'attaque de l'avion sont devenus inutilisables. Si l'on se fonde sur les dommages causés par la chaleur aux fils et aux disjoncteurs connexes, il se pourrait que les déporteurs-sol automatiques, les servofreins et le dispositif antipatinage soient tombés en panne avant que l'avion puisse atterrir. Dans les circonstances, il aurait été impossible d'arrêter l'avion dans sa course sur la piste existante, même s'il avait réussi à atterrir.
Compte tenu de ces éléments, il est évident que, même si les pilotes avaient tenté un déroutement d'urgence d'une durée minimale à compter de 1 h 14 min 18 s, ils n'auraient pas réussi à maintenir le contrôle de l'avion le temps nécessaire pour atteindre l'aéroport et effectuer un atterrissage en toute sécurité.
Par exemple, des améliorations précises ont été apportées aux dispositifs de détection et d'extinction des incendies dans les toilettes et les soutes à la suite de l'accident du 2 juin 1983 subi par un avion DC-9 d'Air Canada, près de Cincinnati (Ohio), et de l'accident du 11 mai 1996 subi par un avion DC-9 ValuJet, près de Miami (Floride).
Rapport sommaire de l'examen de programme national de la FAA, daté du 8 décembre 2000.
Underwriters Laboratories Inc. UL 1699 Standard for Safety for Arc Fault Circuit-Interrupters, en date du 26 février 1999.
Society of Automotive Engineers Aerospace Recommended Practice 1199, rév. B , par. 5.7.9.
L'expression « sans danger » est employée dans la procédure canadienne d'approbation de type supplémentaire pour véhiculer l'idée que cette approbation de type supplémentaire ne fera pas courir de risques à la conception de type d'un aéronef.
Le calorimètre à cône est un appareillage d'essai en laboratoire comprenant un réchauffeur de cône, une bougie d'allumage, un porte-éprouvette et une cellule de mesure situés sous une hotte. Cet appareillage est largement utilisé pour déterminer l'émission thermique des solides combustibles.