Rapport d'enquête aéronautique A01F0020

Le 15 février 2001, l'Airbus A330 immatriculé C-FBUS assurant le vol 6315 de Skyservice décolle de Medan, en Indonésie, à 10 h 55, temps universel coordonné (16 h 55 heure locale), pour un vol de biréacteur long-courrier (ETOPS) nolisé approuvé à destination de Djedda, en Arabie Saoudite, avec à son bord 355 passagers et 11 membres d'équipage. Environ 3 heures et 8 minutes après le décollage, alors que l'appareil monte du niveau de vol (FL) 350 au FL390, une forte détonation se fait entendre, et le réacteur n^o 2 (un Pratt & Whitney PW4168, n^o de série P733335) connaît une défaillance. Le réacteur est coupé conformément à la liste de vérifications du moniteur électronique centralisé de bord (ECAM) : le bouton d'incendie est poussé et un extincteur est vidé. L'appareil se trouve à quelque 30 milles marins à l'ouest de Calicut, en Inde, par 11° de latitude nord et 76° de longitude est. Le commandant de bord amorce une descente au FL230 en vue de se dérouter sur Colombo, au Sri Lanka. Il signale la situation au chef de cabine qui informe les agents de bord et les passagers de la situation. L'appareil entreprend ensuite, sous guidage radar et sur un seul réacteur, une approche ILS (système d'atterrissage aux instruments) sur la piste 22. Une heure et demie après la panne réacteur, l'équipage de conduite effectue sans autre incident un atterrissage en surcharge sur un seul réacteur. Les véhicules de secours étaient sur les lieux.

Il s'agit de la seconde défaillance de réacteur sur cet appareil. La première défaillance, qui mettait en cause le réacteur n^o 1, est survenue le 5 février 2001, 13 cycles de réacteur avant le présent incident. L'Indonésie a mené l'enquête sur cette première défaillance; un enquêteur du BST y a participé en tant que représentant accrédité. Les deux réacteurs ont été envoyés aux installations de Pratt & Whitney à Cheshire, dans le Connecticut (États-Unis), où ils ont été démontés et examinés en présence de l'équipe d'enquête du BST. Tous les renseignements recueillis lors de l'examen ont été envoyés en Indonésie.

Le réacteur n^o 1 (Pratt & Whitney PW4168, n^o de série P733336) de cet appareil a connu une défaillance le 5 février 2001. L'appareil assurait alors le vol 6308, un vol de convoyage, entre Djedda, en Arabie Saoudite, et Solo, en Indonésie. Après une heure ou deux de vol, l'équipage a reçu du moniteur électronique centralisé de bord (ECAM) un avis de vibration N₂ du réacteur n^o 1, mais l'équipage n'a détecté aucune vibration induite de la cellule. Cette vibration du réacteur a été analysée par le technicien d'entretien d'aéronef (TEA) à bord de l'avion, ainsi que par le chef de la maintenance à Solo, en Indonésie, avec qui il communiquait par radio. Ils ont conclu que des aubes de la soufflante du réacteur devaient avoir été endommagées et que les dommages pourraient être évalués et réparés à l'arrivée de l'appareil à la base de maintenance de Solo.

Se fondant sur cette information, le commandant de bord a décidé de poursuivre le vol. Environ quatre heures et demie plus tard, l'équipage de conduite a perçu une odeur de réacteur suivie, presque immédiatement, par des vibrations de la cellule. L'ECAM a affiché un message d'avertissement « Eng 1 STALL » et, alors que l'équipage entamait la procédure de coupure du réacteur, l'ECAM a affiché « Eng 1 FAIL ». Le moteur a été coupé conformément à la liste de vérifications de l'ECAM : le bouton d'incendie a été poussé et un extincteur a été vidé.

L'équipage a alors déclaré une urgence à Colombo Radio, à Sri Lanka, avant de ralentir à la vitesse point vert (un réacteur), et est descendu au niveau de vol (FL) 250. Il s'est alors dirigé sur Medan, en Indonésie, à vitesse réduite, en subissant des vibrations N₁ continues et des vibrations occasionnelles de la cellule dues au réacteur en moulinet. Arrivé à Medan, l'équipage a suivi les caps radar de la tour de contrôle en vue d'une approche sur un seul réacteur sur la piste 05. L'appareil s'est posé sans autre incident sur un seul réacteur après deux heures et vingt minutes de vol.

Le réacteur n^o 1 a été déposé et remplacé. L'appareil a été remis en service le 10 février 2001. Le 15 février 2001, le réacteur n^o 2 a connu une défaillance alors qu'on se préparait à l'envoyer aux installations de Pratt & Whitney à Cheshire, dans le Connecticut (États-Unis).

Renseignements sur les réacteurs

Défaillance du réacteur n^o 1 (côté gauche) le 5 février 2001 :

Référence : PW4168

N^o de série : P733336

Date de construction : 28 mars 1995

Temps depuis la mise en service initiale : 18 350,54 h

Nombre de cycles depuis la mise en service initiale : 5121 cycles

Date de la dernière visite en atelier : (révision) mars 1999

Temps depuis la dernière visite en atelier : 6906,2 h

Nombre de cycles depuis la dernière visite en atelier : 1306 cycles

Lorsque ce réacteur a été démonté pour sa révision en mars 1999, certaines des aubes mobiles de turbine du deuxième étage étaient corrodées dans la zone se trouvant sous la plate-forme, et l'ensemble des aubes mobiles a été remplacé. Les aubes de remplacement étaient des aubes remises à neuf provenant de deux sources différentes. Ces aubes avaient été recouvertes d'un revêtement anticorrosion PWA545 avant leur installation.

Défaillance du réacteur n^o 2 (côté droit) le 15 février 2001 :

Référence : PW4168

N^o de série : P733335

Date de construction : 27 septembre 1994

Temps depuis la mise en service initiale : 19 906,25 h

Nombre de cycles depuis la mise en service initiale : 5257 cycles

Date de la dernière visite en atelier : (révision) juillet 1999

Temps depuis la dernière visite en atelier : 5199,11 h

Nombre de cycles depuis dernière visite en atelier : 1020 cycles

Lorsque ce réacteur a été démonté pour sa révision en mars 1999, certaines des aubes mobiles de turbine du deuxième étage étaient corrodées dans la zone se trouvant sous la plate-forme. L'ensemble des aubes a été remplacé. Les aubes de remplacement étaient des aubes neuves recouvertes d'un revêtement anticorrosion PWA36395-1 (aluminiure de platine).

Après ces deux défaillances, les deux réacteurs ont été renvoyés aux installations de Pratt & Whitney à Cheshire, dans le Connecticut, où ils ont été démontés et examinés. Dans les deux cas, l'origine de la défaillance a été attribuée à une fracture due à la corrosion sous contrainte d'une aube mobile de turbine du deuxième étage.

Historique de la corrosion sous contrainte

La première défaillance d'une aube de turbine du deuxième étage d'un réacteur Pratt & Whitney de la série PW4000 attribuable à de la fissuration par corrosion sous contrainte remonte à juin 1995. Depuis lors, plusieurs bulletins de service ont été consacrés au problème de la corrosion sous tension sur les réacteurs Pratt & Whitney des séries 2000 et 4000 ainsi que sur les réacteurs International Aero Engines de la série V2500. Ce type de problème semble toucher uniquement certains exploitants, notamment Skyservice dont les réacteurs étaient sensibles à la fissuration par corrosion sous contrainte. Afin de remédier aux problèmes de défaillance prématurée du réacteur causés par la fissuration par corrosion sous contrainte sur les aubes des turbines, Pratt & Whitney a appliqué un revêtement anticorrosion dans la zone se trouvant sous la plate-forme des aubes de turbine du deuxième étage.

En juin 1996, Pratt & Whitney a commencé à utiliser le revêtement anticorrosion PW545 sur les aubes de turbine du deuxième étage. En février 1997, Pratt & Whitney a publié le bulletin de service alerte PW4G-100-A72-88 qui donnait instruction de recueillir et d'analyser la poussière se trouvant dans l'interstice situé sous la plate-forme des aubes de turbine du deuxième étage en vue de déterminer les types de sels qu'elle contenait. Cette analyse avait pour objet de mesurer le degré de corrosivité de l'environnement interne du réacteur. À partir de juin 1999, un nouveau revêtement (PWA36395-1, connu sous le nom d'aluminiure de platine) a commencé à être utilisé. Il avait été démontré que ce revêtement anticorrosion offrait une protection deux fois supérieure au revêtement PWA545. En avril 2000, Pratt & Whitney a modifié la composition métallurgique des aubes de turbine du deuxième étage, passant d'un alliage PWA1484 à un alliage PWA1480. L'alliage PWA1480 est connu pour sa plus grande résistance à la corrosion. À partir de mai 2000, un troisième type de revêtement anticorrosion (PWA36330) a commencé à être utilisé sur les aubes en PWA1484. Il a été démontré que ce revêtement est cinq fois plus résistant que le revêtement à base d'aluminiure de platine.

Pratt & Whitney a déclaré que la défaillance du réacteur P733336 survenue le 5 février 2001, au bout de seulement 1306 cycles, se situait dans des limites de temps statistiquement prévisibles, tandis que la défaillance du réacteur P733335 survenue le 15 février 2001, au bout de 1020 cycles, était prématurée et inattendue. L'examen des aubes de turbine du deuxième étage des deux réacteurs a révélé que la corrosion, sur la partie non protégée par un revêtement anticorrosion et se trouvant à la base des aubes, était beaucoup plus importante sur le réacteur P733335, et cela même si ces aubes totalisaient moins de temps en service. Les piqûres de corrosion sur ce réacteur avaient une profondeur moyenne de 0,012 pouce, tandis que sur le réacteur P733336 la profondeur moyenne des piqûres n'était que de 0,006 pouce. Ce fait était particulièrement remarquable, puisque les aubes du réacteur P733336 comptaient déjà du temps en service et pouvaient avoir été touchées par la corrosion avant leur installation sur ce réacteur, tandis que les aubes du réacteur P733335 étaient neuves au moment de leur installation.

Dans le cadre de l'enquête sur le degré de corrosivité de l'environnement de l'interstice se trouvant sous la plate-forme des pales de turbine du deuxième étage, Pratt & Whitney a récupéré et analysé des échantillons de poussière provenant des deux réacteurs. Il a été établi que le carbonate double de calcium et de magnésium (dolomite) ainsi que le sulfate de calcium (anhydrite) étaient des constituants importants de cette poussière. Du fait que Skyservice Airlines Inc. est basée à Toronto (Ontario), Pratt & Whitney a également prélevé des échantillons de poussière à l'aéroport international Lester B. Pearson de Toronto. La dolomite était également l'un des principaux constituants de ces échantillons de poussière. La dolomite est un minéral très commun qui se retrouve dans de nombreux contextes géologiques dont celui de la région de Toronto dans le sud-ouest de l'Ontario. Par contre, le sulfate de calcium (anhydrite) ne se retrouve normalement pas dans la région de Toronto.

Quand le réacteur fonctionne correctement, les contaminants environnementaux sont ingérés et traversent le réacteur en suivant les circuits d'écoulement interne de l'air. Le motoriste utilise des joints internes étanches à l'air afin de confiner l'écoulement d'air où il est censé circuler et l'empêcher de pénétrer là où il ne doit pas. L'une des zones où l'écoulement de l'air est indésirable est l'interstice se trouvant sous la plate-forme des aubes de turbine du deuxième étage. L'accumulation de poussière dans cette région révèle la présence d'un écoulement d'air.

L'examen visuel de la face arrière des aubes de turbine visant à déterminer l'état des joints des plaques arrière a révélé un écart entre les deux réacteurs. La présence de marques témoins, sur la face arrière des aubes de turbine du deuxième étage du réacteur P733336, révèle que le joint de la plaque arrière était en place avant la défaillance du moteur. L'absence de telles marques témoins, sur le réacteur P733335, révèle que le joint de la plaque arrière n'était pas en contact avec la face arrière des aubes de turbines, permettant ainsi à l'air de s'écouler dans l'interstice se trouvant sous la plate-forme. Les deux joints des plaques arrière avaient été réparés durant leur révision respective. Après cette découverte, d'autres réacteurs ont été examinés en vue de déterminer l'état des joints des plaques arrière. Sur cinq réacteurs qui ne présentaient aucun signe de corrosion, le contact du joint de la plaque arrière a été décrit comme étant bon ou excellent. Sur les huit réacteurs qui présentaient des signes de corrosion évidente, le contact du joint a été décrit comme médiocre ou mauvais. Sur le réacteur P733336, il a été jugé médiocre et, sur le réacteur P733335, il a été jugé mauvais. Lorsque les joints des plaque arrière ne sont pas étanches, les gaz chauds s'écoulent dans l'interstice se trouvant sous la plate-forme et y apportent du soufre. Le souffre, qui est le résidu de la combustion du carburéacteur, se combine avec le calcium de la dolomite pour former du sulfate de calcium (anhydrite).

Poussée automatisée

Dans les deux incidents, l'équipage de conduite a constaté, après la défaillance du réacteur, que les automanettes ne pouvaient être utilisées. Cela n'a pas causé de problème majeur aux membres de l'équipage de conduite, mais ce problème a légèrement accru leur charge de travail et ne cadrait pas avec la formation qu'ils avaient reçue.

La poussée automatisée est commandée par le calculateur de gestion de vol, du guidage et du domaine de vol (FMGEC) qui reçoit les signaux pertinents du régulateur automatique à pleine autorité redondante (FADEC) de chaque réacteur. Si le FMGEC détecte un réacteur en panne, il autorise la commande de poussée automatisée sur le réacteur qui demeure en service.

Lorsqu'on coupe un réacteur au moyen du bouton d'incendie, la commande réacteur électronique / unité de commande électrique (EEC/ECU) se replie du mode EPR (rapport de pression moteur) au mode de commande N₁. Si le réacteur tourne toujours en moulinet à une vitesse supérieure à un seuil compris entre 3,8 % et 4,8 % de N₂ en mode de commande N₁, le FMGEC détecte le signal de l'alternateur à aimant permanent (PMA) et conclut que le réacteur est toujours en service. La logique du programme FMGEC veut qu'une fois qu'il a établi que les deux réacteurs fonctionnent, mais que l'un d'eux ne répond pas, il n'autorise pas la commande de poussée automatisée. Airbus est en train de réviser la logique du programme.

Les moteurs à réaction modernes sont extrêmement fiables et les défaillances en service sont rares. Cette fiabilité est le fondement de l'approbation des vols de biréacteurs long-courriers (ETOPS). Lorsque deux réacteurs connaissent, sur le même appareil, une défaillance liée à des raisons mécaniques identiques dans un si court délai, cette fiabilité est remise en question. Dans le cas qui nous intéresse, la défaillance des réacteurs est attribuable à la fissuration par corrosion sous contrainte des aubes de turbine du deuxième étage, un mode de défaillance que Pratt & Whitney s'est activement essayé à contrôler au moyen de revêtements anticorrosions. L'analyse de cette enquête se concentrera sur les causes sous-jacentes de la défaillance de ces deux réacteurs.

Les deux réacteurs ont été construits à peu près au même moment. Les aubes de turbine du deuxième étage n'étaient alors recouvertes d'aucun revêtement anticorrosion. Les réacteurs, montés sur le même appareil, ont donc été exposés au même environnement, dans les mêmes conditions d'exploitation, et ont fait l'objet des mêmes procédures de maintenance. On pouvait donc s'attendre à ce que l'état interne des réacteurs ainsi que leurs modes d'usure soient similaires. En fait, les deux réacteurs présentaient, lorsqu'ils ont été démontés pour révision, des dégâts identiques dus à la corrosion au niveau des aubes de turbine du deuxième étage. Ces dégâts révèlent qu'un mécanisme de corrosion a agi au même rythme sur les deux moteurs avant leur révision.

Le taux de corrosion des deux moteurs s'est accru de façon significative après leur révision, bien qu'un revêtement anticorrosion ait été appliqué sur les aubes de turbine du deuxième étage. Avec le revêtement PWA545, on s'attendait à ce que la durée de vie en service des aubes de turbine du deuxième étage du réacteur P733336 soit considérablement plus longue que celle des aubes d'origine (non recouvertes d'un revêtement anticorrosion) qui avaient été retirées du service au bout de quelque 4000 cycles. Cependant, les aubes recouvertes d'un revêtement anticorrosion ont connu une défaillance au bout de 1306 cycles. On s'attendait à ce que les nouvelles aubes de turbine du deuxième étage du réacteur P733335, sur lesquelles on avait appliqué un revêtement anticorrosion encore plus performant, aient une durée de vie deux fois plus longue que celle des aubes du moteur P733336, mais elles ont connu une défaillance au bout de seulement 1020 cycles.

L'environnement corrosif de l'interstice se trouvant sous la plate-forme résultait de l'écoulement, au-delà du joint de bordure, de gaz chauds chargés de poussière (dolomite) et de soufre qui se déposaient à l'emplanture de l'aube sous la plate-forme. Le calcium et le soufre se combinent dans un environnement chaud pour former de l'anhydrite, qui attaque la surface des aubes de turbine et forme des piqûres de corrosion qui deviennent le point de concentration de contraintes et le point de départ de criques. Les criques se propagent sous l'effet de la fatigue jusqu'au point de rupture. Ni la corrosion ni les criques ne peuvent être détectées sans démontage du réacteur. Le fait qu'une telle situation se développait dans les deux réacteurs avant qu'ils ne soient envoyés en révision indique que les joints des plaques arrière n'étaient plus complètement étanches. Le fait que la corrosion s'est aggravée après la révision révèle que le travail de réparation des joints n'a pas permis de rétablir leur étanchéité d'origine. La différence observée entre les deux réacteurs est attribuable à un manque d'étanchéité plus marqué du joint de la plaque arrière du réacteur P733335 qui laissait s'écouler plus d'air, et donc plus de contaminants, dans l'interstice se trouvant sous la plate-forme, accélérant ainsi le taux de corrosion.

Faits établis quant aux causes et aux facteurs contributifs

1. La défaillance des deux réacteurs est attribuable à la fissuration par corrosion sous contrainte des aubes de turbine du deuxième étage. Cette corrosion est attribuable à la réaction de l'alliage PWA1484 des aubes de turbine du deuxième étage recouvertes d'un revêtement anticorrosion, avec l'anhydrite qui s'était formé à leur surface. Les piqûres de corrosion résultantes ont été le point de départ de criques de fatigue qui se sont propagées jusqu'au point de rupture.
2. Le joint des plaques arrière était, sur les deux réacteurs, mal ajusté sur l'arrière des aubes de turbine du deuxième étage. L'écoulement d'air qui en résultait a accéléré le taux de corrosion sur les deux réacteurs. La protection accrue offerte par les revêtements anticorrosions n'a pas contrebalancé la progression de la corrosion accélérée résultant du manque d'étanchéité à l'air des joints.

Autres faits établis

1. Le programme du calculateur de gestion de vol, du guidage et du domaine de vol (FMGEC) n'a pas reconnu que le réacteur avait été coupé; il n'a donc pas autorisé la commande de poussée automatisée sur le réacteur toujours en service.

Mesures de sécurité prises par l'exploitant

À la suite de ces pannes réacteur, le service de formation de l'exploitation des vols de Skyservice a modifié son programme de formation, notamment dans les domaines suivants : les signes de mauvais fonctionnement des turboréacteurs, les procédures de déroutement des vols de biréacteurs long-courriers (ETOPS) et les communications en vol.

La formation sur les défaillances et les défectuosités propres aux réacteurs comprend une présentation vidéo, un document de cours et une discussion conçus spécifiquement pour aider les pilotes à reconnaître les défaillances et les défectuosités propres aux réacteurs et leur apprendre à réagir à ces situations. La vidéo couvre divers types de pannes : le pompage et le décrochage de compresseur, l'incendie de réacteur, l'ingestion d'oiseaux, le grippage de réacteur et la chute de régime lente du réacteur. Le document de cours couvre le fonctionnement de base d'un réacteur, des systèmes auxiliaires, des instruments connexes dans le poste de pilotage ainsi que les différentes causes de défaillance d'un réacteur et les techniques à employer dans un tel cas. Ces procédures et ces techniques sont étudiées plus en détail pendant la formation initiale et les formations périodiques sur simulateur. Les séances de formation sur simulateur portent, entre autres, sur les situations où plus d'un réacteur tombe en panne et sur diverses défaillances dans différentes phases de vol en vue de garantir une bonne maîtrise de ces techniques.

Les pannes réacteur et les procédures de déroutement propres aux vols ETOPS sont abordées durant la formation au sol initiale et durant les formations au sol périodiques. Ces formations se concentrent sur le processus de prise de décision et sur les critères de choix d'un aérodrome de déroutement pour les vols ETOPS, ainsi que sur les défaillances de l'appareil pour lesquelles un déroutement est obligatoire. Y sont également abordées les exigences applicables aux communications d'urgence et les stratégies de déroutement. Le manuel d'exploitation de Skyservice et le guide de référence rapide (HRH) de Skyservice fournissent aux équipages de conduite des vols ETOPS des instructions spécifiques sur la gestion de panne.

Les agents de régulation des vols reçoivent une formation complète sur la régulation et le suivi des vols ETOPS. Cette formation porte sur les exigences de planification et de suivi des vols ETOPS. Elle traite aussi des problèmes de communication dans les zones éloignées ou au-dessus d'une étendue d'eau. Des procédures et des manuels révisés ont été rédigés et approuvés, et les agents de régulation des vols ont terminé leur formation sur ces nouvelles procédures.

Mesures de sécurité prises par l'avionneur

Airbus est en train d'améliorer la logique du programme du calculateur de gestion de vol, du guidage et du domaine de vol (FMGEC) en vue de régler le problème de la commande de poussée automatisée après la coupure d'un réacteur au moyen du bouton d'incendie. Ce nouveau programme devrait être certifié pour utilisation avant la fin de 2003.

Mesures de sécurité prises par le motoriste

Pratt & Whitney a publié les bulletins de service alerte ASB72-1686 et ASB72-133 définissant les procédures d'inspection, avec et sans dépose, des aubes du deuxième étage des turbines haute pression de tous les modèles PW4000-94 et PW4000-100. L'information relative à ces inspections a été utilisée pour adapter les plans de gestion de la flotte des exploitants en vue de régler le problème de corrosion sous contrainte des aubes de turbine haute pression. Des modifications seront apportées en 2003 à la procédure de réparation de la plaque arrière.

Le présent rapport met un terme à l'enquête du Bureau de la sécurité des transports du Canada (BST) sur cet accident. Le Bureau a autorisé la publication du rapport le 25 mars 2003.