Rapport d'enquête aéronautique A09O0117

Le Boeing 767-300 (portant l'immatriculation SP-LPA et le numéro de série 24865), exploité par LOT Polish Airlines SA et assurant le vol LOT 2, décolle de l'aéroport international O'Hare de Chicago à destination de Varsovie, en Pologne. À 22 h 3, heure avancée de l'Est, alors que l'avion se trouve en croisière en palier près de North Bay (Ontario), l'anémomètre du commandant de bord indique soudainement une vitesse dépassant la limite maximale admissible en exploitation, et une alarme de survitesse se déclenche. L'équipage de conduite réduit la poussée jusqu'au ralenti de vol et amorce une montée. Alors que l'avion ralentit, l'alarme de survitesse cesse. L'équipage de conduite maintient l'assiette en cabré à la poussée réduite, mais la vitesse indiquée sur l'anémomètre du commandant de bord augmente soudainement de nouveau et provoque une deuxième alarme de survitesse. Alors que l'équipage de conduite réagit à cette deuxième alarme de survitesse, il y a en même temps activation du vibreur de manche. Pendant cet incident, l'avion monte de 33 000 à 35 400 pieds au-dessus du niveau de la mer (asl), puis il redescend jusqu'à quelque 27 900 pieds asl. L'équipage se déroute vers l'aéroport international de Toronto/Lester B. Pearson, où l'avion atterrit en toute sécurité. L'incident ne cause aucun dommage à l'avion, et personne parmi les 10 membres d'équipage et les 206 passagers n'est blessé.

Déroulement des événements

L'avion était en croisière au niveau de vol (FL) 330, près de North Bay (Ontario). Le commandant de bord était assis en place gauche et occupait les fonctions de pilote aux commandes. Le pilote automatique et les automanettes étaient embrayés. L'avion volait dans des conditions météorologiques de vol aux instruments, dans de la turbulence variant de légère à modérée, ce qui explique pourquoi l'équipage avait demandé le FL350.

À 22 h 3^{Footnote 1}, la vitesse indiquée sur l'anémomètre du commandant de bord est soudain passée de 276 à 320 nœuds, et l'altitude indiquée sur son altimètre a augmenté de 450 pieds en quelque 5 secondes. Pour reprendre la bonne altitude, le pilote automatique a commandé un piqué de quelque 2°. Une alarme de survitesse s'est déclenchée, après quoi le commandant de bord a ramené les manettes des gaz au ralenti de vol. Les automanettes se sont débrayées automatiquement, mais le pilote automatique est demeuré embrayé. Ce dernier a commandé un piqué de 2° de plus, puis un cabré de d'environ 8°. L'alarme de survitesse a retenti pendant quelque 41 secondes.

Le commandant de bord a débrayé le pilote automatique et a amorcé manuellement une montée. La poussée est demeurée au ralenti de vol, et la vitesse indiquée sur l'anémomètre du commandant de bord a diminué jusqu'à 297 nœuds. Le commandant de bord a augmenté le cabré jusqu'à 12°, et la vitesse indiquée sur son anémomètre a vite augmenté jusqu'à 324 nœuds, ce qui a donné lieu à une deuxième alarme de survitesse. L'avion est monté jusqu'à une altitude de quelque 35 400 pieds au-dessus du niveau de la mer (asl)^{Footnote 2}, puis il s'est mis à descendre. La vitesse indiquée sur l'anémomètre du commandant de bord a atteint un maximum de 339 nœuds, avant de commencer à diminuer lorsque l'avion s'est mis à descendre.

Alors que l'avion passait 34 700 pieds asl en descente, que la vitesse indiquée sur l'anémomètre du commandant de bord arrivait à 321 nœuds en diminuant et que l'alarme de survitesse retentissait, il y a eu activation du vibreur de manche (avertisseur de décrochage qui fait vibrer bruyamment le manche du pilote à l'approche de l'angle de décrochage). L'avertissement de décrochage est demeuré actif pendant les 20 secondes qui ont suivi, il est devenu intermittent pendant 26 secondes, puis il a cessé. Le vibreur de manche a été actif de façon intermittente pendant environ 1 minute et 50 secondes à compter de son activation initiale. Alors que l'avion avait passé environ 30 000 pieds asl en descente et que la vitesse indiquée sur l'anémomètre du commandant de bord avait atteint 278 nœuds, ce dernier a augmenté la poussée et, dans les 9 secondes qui ont suivi, le vibreur de manche a cessé de vibrer. Alors que l'avion passait 29 100 pieds asl en descente, la vitesse indiquée sur l'anémomètre du commandant de bord est vite passée de 255 à 230 nœuds, et les variations de vitesse ont cessé. L'avion a poursuivi sa descente jusqu'à 27 900 pieds.

Pendant toute la durée de cet incident, l'anémomètre du copilote a affiché des renseignements qui n'indiquaient pas de survitesse.

L'équipage de conduite a décidé de se dérouter vers l'aéroport international de Toronto/Lester B. Pearson (CYYZ). Il a avisé le contrôle de la circulation aérienne (ATC) qu'il voulait se dérouter sur CYYZ parce qu'il avait subi une survitesse et éprouvé des problèmes à maintenir son altitude. Il a également avisé l'ATC qu'il aurait besoin de larguer du carburant, mais il n'a pas déclaré de situation d'urgence. On n'a décelé aucune autre anomalie de l'avion ou de ses systèmes pendant le reste du vol.

Pour réduire la masse à l'atterrissage, il fallait larguer du carburant en route. Comme cet avion n'est en mesure de larguer du carburant qu'à partir de son réservoir central, l'équipage de conduite a demandé d'être maintenu en attente pour brûler du carburant.

Le pilote automatique était embrayé, mais les automanettes ne l'étaient pas. À l'entrée en attente, l'avion se trouvait à 10 000 pieds asl, et l'équipage de conduite a réduit manuellement la poussée jusqu'au ralenti de vol. Alors que l'avion ralentissait, le pilote automatique a commandé une augmentation du cabré pour maintenir l'altitude. Lorsque le cabré a atteint 7,6°, il y a eu activation du vibreur de manche. Alors que l'avion passait environ 9600 pieds asl en descente, l'équipage de conduite a augmenté manuellement la poussée (un maximum de 111 % a été enregistré sur le FDR) et l'avion s'est mis à monter. Lorsque l'avion est passé à 9860 pieds asl en montée, l'équipage de conduite a débrayé le pilote automatique. L'avion a continué de monter jusqu'à 10 500 pieds asl, ce qui a donné lieu à une perte d'espacement avec un autre avion, lequel a répondu à un avis de résolution du système de surveillance du trafic et d'évitement des collisions (RA du TCAS) pour éviter le conflit. L'ATC était au courant de l'écart d'altitude, et il s'est informé auprès du vol LOT 2 quant à la nature du problème et a demandé s'il pouvait être d'une quelconque aide.

Après avoir atterri, l'équipage de conduite a rempli un rapport technique sur l'avion en mentionnant l'indication de survitesse, le tremblement de nature anormale, les vibrations, le vibreur de manche, le décrochage, la contradiction entre les indications de l'anémomètre du commandant de bord et celui du copilote ainsi que l'apparition de messages relatifs aux commandes moteur électroniques (EEC) de gauche et de droite sur le système d'affichage des paramètres moteurs et d'alerte de l'équipage (EICAS). Aucun autre message EICAS n'a été signalé dans ce rapport technique, et il a été impossible d'établir quels messages EICAS étaient affichés pendant l'incident de survitesse et d'activation du vibreur de manche. L'inspection de l'avion n'a permis de déceler aucun dommage structural à ce dernier ni aucune anomalie du système de données aérodynamiques, et l'avion a été remis en service.

Système d'affichage des paramètres moteurs et d'alerte de l'équipage

L'EICAS regroupe les indications des moteurs et des sous-systèmes. Il permet également un affichage centralisé des messages d'alerte de l'équipage. Les messages d'alerte de ce système sont associés aux pannes ou aux anomalies des systèmes de l'avion, et ils sont affichés en ordre de priorité ainsi qu'en ordre chronologique. L'ordre décroissant de priorité est le suivant :

• warning (alarme) (rouge);
• caution (mise en garde) (jaune);
• advisory (avis) (jaune, décalé).

Les messages d'alarme, de mise en garde et d'avis sont affichés de haut en bas dans la zone des messages de l'écran de l'EICAS. Le message le plus récent est affiché en haut de son niveau respectif.

Un message de survitesse est une alarme à laquelle s'ajoutent le déclenchement d'un « hurleur » et l'apparition d'un voyant principal WARNING. Les messages IAS DISAGREE et ALT DISAGREE sont tous deux des messages de mise en garde auxquels s'ajoutent le déclenchement d'un avertisseur sonore et l'apparition d'un voyant principal CAUTION. Les voyants principaux WARNING ou CAUTION demeurent allumés tant que l'alarme ou la mise en garde prévaut, ou jusqu'à ce l'on appuie sur le bouton de réinitialisation de ces voyants.

Lorsqu'une différence de vitesse de 5 nœuds ou plus est décelée entre les sources des données aérodynamiques de gauche et de droite pendant 5 secondes, le circuit logique de désaccord vitesse ou altitude de l'EICAS génère un message de mise en garde IAS DISAGREE et fait allumer le voyant principal CAUTION. De même, une différence d'altitude de 200 pieds ou plus pendant 5 secondes génère un message de mise en garde ALT DISAGREE et fait allumer le voyant principal CAUTION.

Ces fonctions figuraient dans le bulletin de service 767-34A0332, révision 2 (en date du 30 septembre 2004), de Boeing et elles avaient été installées sur le SP-LPA en février 2006. Cependant, la révision 2 n'exigeait pas que l'on apporte des modifications au manuel d'exploitation de l'équipage de conduite (FCOM). Les révisions 3 et 4 qui ont suivi n'exigeaient pas non plus que l'on apporte des modifications au FCOM. La révision 5 ultérieure (en date du 18 décembre 2008) mentionne que les chapitres 10 et 15 ainsi que la section 10 traitant de la liste de vérifications en situation anormale du FCOM sont les publications concernées. Cependant, ce bulletin de service ne mentionne pas quelles modifications devraient être apportées au FCOM.

À la suite de cet incident, avec l'aide de Boeing, LOT Polish Airlines a procédé à un essai de fonctionnement de l'avion, qui a permis de confirmer que les messages IAS DISAGREE et ALT DISAGREE sont affichés sur l'EICAS si les paramètres mentionnés ci-dessus sont respectés.

Enregistreur de données de vol

L'enregistreur de données de vol (FDR) installé à bord de l'avion avait été fabriqué par Honeywell. Il renfermait quelque 52,5 heures de données, dont certaines qui concernaient l'incident en question, et d'autres qui concernaient 5 vols antérieurs. L'incident de survitesse et les activations ultérieures du vibreur de manche sont représentés à l'annexe A.

D'après les données du FDR, Boeing a calculé la vitesse et l'altitude-pression pour déterminer la vitesse et l'altitude réelles. Il n'y a eu aucune variation de la vitesse calculée lorsque l'alarme de survitesse s'est déclenchée, mais la vitesse calculée a par la suite effectivement augmenté jusqu'à quelque 280 nœuds, avant de diminuer lentement et brièvement jusqu'à 190 nœuds, puis d'augmenter et de se stabiliser à 265 nœuds après l'incident.

On a également calculé les angles de déclenchement du vibreur de manche pour les conditions qui prévalaient lors de l'incident, afin de déterminer quels angles d'attaque de la palette de l'indicateur de décrochage seraient susceptibles de provoquer l'activation du vibreur de manche. Les résultats obtenus ont démontré que, dans le cas des activations du vibreur de manche qui avaient été enregistrées, ces angles de déclenchement avaient été atteints ou dépassés et que le système avait fonctionné comme prévu au moment de sa conception.

Enregistreur de la parole dans le poste de pilotage

L'enregistreur de la parole dans le poste de pilotage (CVR) était un Fairchild A100S, qui permettait un enregistrement d'une durée de 30 minutes. L'avion a atterri quelque 72 minutes après le premier incident de survitesse. Il a été établi que l'enregistrement avait commencé quelque 35 minutes après l'atterrissage, ce qui indique que l'enregistreur est demeuré sous tension pendant plus d'une heure après l'atterrissage.

Le manuel d'exploitation (OM) de LOT Polish Airlines stipule que le commandant de bord ne doit pas permettre qu'un CVR soit désactivé ou mis hors tension pendant un vol, à moins que l'on ne croie que les données enregistrées, lesquelles seraient autrement effacées automatiquement, doivent être préservées en vue d'une enquête sur un incident ou un accident. Il stipule également que le commandant de bord ne doit pas permettre l'effacement manuel des données enregistrées pendant ou après un vol, en cas d'accident ou d'incident.

Incident ultérieur

Le 21 juillet 2009, l'avion en question, qui avait à son bord un équipage différent, assurait un vol similaire en partance de Chicago et à destination de Varsovie. Quelque 2 heures après le début de son segment de vol en croisière, au FL340, alors que le pilote automatique et les automanettes étaient embrayés, la vitesse indiquée sur l'anémomètre du commandant de bord a augmenté brusquement, passant de 278 à 336 nœuds en quelque 11 secondes. En même temps, il y a eu augmentation de 990 pieds de l'altitude indiquée sur l'altimètre du commandant de bord. Une alarme de survitesse s'est déclenchée, l'équipage de conduite a réduit la poussée et débrayé les automanettes. Peu après, il y a eu affichage des messages relatifs aux EEC de gauche et de droite sur l'EICAS. L'équipage a débrayé le pilote automatique et a piloté l'avion manuellement.

L'équipage de conduite qui effectuait ce vol a remarqué une divergence entre la vitesse indiquée sur l'anémomètre du commandant de bord et celles indiquées sur l'anémomètre du copilote et l'anémomètre de secours. L'équipage de conduite a passé en revue la liste de vérifications AIRSPEED UNRELIABLE (VITESSE INDIQUÉE NON FIABLE). L'alarme de survitesse, qui a duré pendant 3 minutes et 20 secondes, a cessé lorsque le commandant de bord a fait passer son sélecteur de calculateur de données aérodynamiques (ADC) de normal à auxiliaire. Les altitudes indiquées sur l'altimètre du commandant de bord sont également redevenues normales et le sont demeurées pendant le reste du vol. Contrairement à l'incident survenu le 19 juin 2009, l'avion ne s'est pas mis en cabré, et il n'y a pas eu activation du vibreur de manche.

Les messages EICAS reçus pendant cet incident ont été les suivants :

• Overspeed (survitesse);
• Autopilot (pilote automatique);
• EEC L (EEC de gauche);
• EEC R (EEC de droite);
• Aileron Lockout (blocage des ailerons);
• Rudder Ratio (débattement gouverne de direction).

Formation et procédures de la compagnie

Le cours initial de qualification de type sur le Boeing 767 (B767) de LOT Polish Airlines comprend une formation théorique au sol sur l'alarme de survitesse et sur le sélecteur de source d'alimentation instruments. La formation pratique sur la sélection de source d'alimentation instruments et sur les indications de désaccord vitesse indiquée se donne sur le simulateur de poste de pilotage (CSS). Il n'y a pas de formation pratique initiale sur les incidents de survitesse, et ce, ni sur le CSS ni sur le simulateur de vol.

Le manuel de formation de l'équipage de conduite (FCTM) de Boeing stipule que, lors de la correction d'une survitesse pendant un vol en croisière à haute altitude, les équipages de conduite doivent éviter de réduire la poussée jusqu'au ralenti de vol, car cela fait accélérer le moteur lentement jusqu'à ce qu'il revienne au régime de croisière et peut se traduire par une correction excessive de la vitesse ainsi que par une perte d'altitude. Dans les deux incidents mentionnés, la réaction immédiate des équipages à l'alarme de survitesse a consisté à ramener les manettes des gaz au ralenti de vol.

La formation périodique de LOT Polish Airlines comporte 6 séances aux 3 ans (2 séances par an), et elle traite des procédures normales et d'urgence ainsi que des autres procédures. Après chaque séance, on procède à un entraînement type vol de ligne (LOFT) et à un vol de vérification de compétence.

La formation périodique sur le désaccord vitesse indiquée se donne au cours de la séance 2 sur un simulateur de vol de B767. Elle comprend un scénario selon lequel l'anémomètre du commandant de bord indique une vitesse inférieure à la normale. L'équipage de conduite doit passer en revue la liste de vérifications AIRSPEED UNRELIABLE figurant dans le manuel de référence rapide (QRH).

La formation sur les alarmes de survitesse ne figure pas dans le programme de cours de formation périodique, mais elle figure sur la liste de vérifications AIRSPEED UNRELIABLE. D'après le QRH (voir l'annexe B), on considère que la vitesse indiquée n'est pas fiable dans l'une ou plusieurs des situations suivantes :

• renseignements sur la vitesse/l'altitude ne correspondant pas à l'assiette en tangage et au réglage de la poussée;
• drapeaux de panne vitesse/vitesse indiquée/nombre de Mach;
• afficheurs de vitesse indiquée vierges ou fluctuants;
• différence entre l'anémomètre du commandant de bord et celui du copilote;
• une ligne ambre traverse une ou plusieurs annonces du mode de vol de l'indicateur d'assiette (ADI);
• indications de survitesse;
• dommages au radome ou perte de ce dernier;
• alarme de survitesse et avertissement de décrochage simultanés;
• affichage de l'un ou plusieurs des messages suivants sur l'EICAS :
  • AILERON LOCKOUT (blocage des ailerons)
  • ALT DISAGREE (désaccord altitude)
  • CAPT PITOT (Pitot, commandant de bord)
  • F/O PITOT (Pitot, copilote)
  • IAS DISAGREE (désaccord vitesse indiquée)
  • L AUX PITOT (Pitot auxiliaire de gauche)
  • OVERSPEED (survitesse)
  • PROBE HEAT (chauffage sonde)
  • R AUX PITOT (Pitot auxiliaire de droite)
  • RUDDER RATIO (débattement gouverne de direction)

Le QRH guide l'équipage de conduite dans la contre-vérification des indications du commandant de bord et du copilote par rapport à l'indication de l'anémomètre de secours. Il stipule aussi qu'une vitesse indiquée qui diffère de plus de 15 nœuds par rapport à celle indiquée sur l'anémomètre de secours devrait être considérée en désaccord. S'il est possible de déterminer la source des données d'où proviennent la vitesse indiquée en accord, l'équipage de conduite doit choisir cette source (à savoir, l'autre ADC).

Le manuel d'exploitation de l'équipage de conduite (FCOM) du B767 de LOT Polish Airlines stipule que le SP-LPA (avion en question dans cet incident) n'affiche pas de message IAS DISAGREE ou ALT DISAGREE sur l'EICAS, et qu'une alarme de survitesse se déclenche lors d'un dépassement de la vitesse maximale admissible en exploitation (Vmo) ou du nombre de Mach maximal admissible en exploitation (Mmo). L'alarme de survitesse comprend les éléments suivants :

• les voyants principaux WARNING s'allument;
• le voyant OVSPD s'allume;
• le message d'alarme OVERSPEED s'affiche sur l'EICAS;
• le « hurleur »retentit.

Équipage de conduite

Les membres de l'équipage de conduite étaient certifiés et qualifiés pour le vol, conformément à la réglementation en vigueur. Au moment de l'incident, le commandant de bord possédait quelque 19 000 heures de vol, dont 8000 sur le B767. Il avait été libre pendant 5 jours consécutifs avant le début de son jumelage, 2 jours avant l'incident, et il avait bénéficié d'une période de repos de quelque 20 heures avant le début du vol en question. Sa plus récente formation remontait au 22 janvier 2009, et sa plus récente formation sur le désaccord vitesse indiquée, au 26 mars 2008.

Le copilote possédait quelque 7000 heures de vol, dont 1800 sur le B767. Il avait été libre pendant 3 jours consécutifs avant le début de son jumelage, 2 jours avant l'incident, et il avait bénéficié d'une période de repos de quelque 20 heures avant le début du vol en question. Sa plus récente formation remontait au 31 mars 2009, et sa plus récente formation sur le désaccord vitesse indiquée, au 13 mars 2008.

Système de données aérodynamiques

Le système de données aérodynamiques comporte les éléments suivants :

• le circuit anémobarométrique;
• 1 sonde de température totale (TAT);
• 2 détecteurs d'angle d'attaque (AOA);
• 2 ADC;
• des instruments de vol électriques.

Ce système fournit aux différents instruments de vol et aux circuits de l'avion des renseignements sur la pression du système anémobarométrique. Il y a également un anémomètre et un altimètre de secours.

Les ADC traitent les données aérodynamiques afin de fournir des signaux d'entrée numériques à certains instruments de vol, comme l'anémomachmètre et l'altimètre électriques. Les instruments de gauche utilisent habituellement l'ADC de gauche et les instruments de droite, l'ADC de droite. L'ADC du côté opposé est disponible comme source auxiliaire de données aérodynamiques. Le commandant de bord et le copilote possèdent tous deux un sélecteur de source d'alimentation instruments en données aérodynamiques, ce qui permet à l'un ou l'autre de passer des instruments d'un côté aux instruments de l'autre côté et d'utiliser l'ADC du côté opposé.

Calculateur de données aérodynamiques

L'ADC de gauche (portant la référence 4040800-906 et le numéro de série 88091436) a été fabriqué par Honeywell et installé à bord du SP-LPA en 1998. Il totalisait 92 302 heures de fonctionnement depuis sa fabrication et 48 296 heures depuis sa révision. Après l'incident de survitesse survenu le 21 juillet 2009, le Bureau de la sécurité des transports a déposé et examiné l'ADC à l'installation de Honeywell, en coopération avec Boeing et le National Transportation Safety Board.

Pendant l'examen initial et le démontage de l'ADC, on a remarqué une importante accumulation de poussière et de saleté à l'intérieur de l'unité; une telle accumulation peut donner lieu à une augmentation de la température interne et amener l'ADC à fonctionner en dehors de la plage de températures ambiantes spécifiée.

Lors d'essais à des altitudes-pressions comprises entre 34 000 et 45 000 pieds, à des températures comprises entre 45 °C et 60 °C (environnement d'exploitation prévu de l'unité), l'ADC générait de façon intermittente des données erronées similaires à celles observées pendant les 2 vols du SP-LPA. On a découvert la défectuosité dans le circuit d'asservissement de phase (PLL) de l'ensemble de cartes imprimées (CCA) A3.

Dans le circuit PLL, il existe un lien entre le signal d'entrée de l'oscillateur à tension variable (VCO) et le signal de sortie du comparateur de phase. Si le signal d'entrée du VCO raccordé au circuit PLL est instable, cela peut faire commencer à osciller le signal de sortie du comparateur du circuit PLL comme s'il tentait de garder asservie la fréquence du circuit PLL. Si ce signal d'entrée du VCO sort de la plage de fonctionnement du comparateur, le circuit PLL peut perdre son asservissement de fréquence. Lorsque cela se produit, il y a une augmentation soudaine de l'intensité du signal relié au multiplexeur qui se traduit par une augmentation soudaine au-dessus de Vmo de la vitesse indiquée sur l'anémomètre et par une alarme de survitesse.

Dans le circuit PLL, on a remplacé 2 amplificateurs par des composants similaires offrant des tolérances plus serrées. Après cette modification, on a procédé à de nombreux essais de l'ADC sans qu'aucune défaillance ne survienne. Il est probable que les pannes initiales ont été causées par des écarts dans les performances des amplificateurs, écarts provoqués par l'installation initiale de composants qui fonctionnaient aux limites des tolérances admises ou par le vieillissement des composants.

Recommandation sur la sécurité aérienne A99-02 formulée par le BST

Le 2 septembre 1998, un avion McDonnell Douglas MD-11 assurant le vol 111 de Swissair s'est abîmé en mer près de Peggy's Cove (Nouvelle-Écosse); les 229 occupants de l'avion ont perdu la vie.

L'une des lacunes relevées durant l'enquête a été la durée limitée de l'enregistrement du CVR. L'enregistrement de ce dernier ne durait que 30 minutes; il ne rendait donc pas compte du moment où l'incendie s'était déclaré.

Le 9 mars 1999, dans le cadre de son enquête, le Bureau a publié des recommandations provisoires en matière de sécurité. Sa recommandation A99-01 à l'intention de Transports Canada mentionnait ce qui suit :

Que dès le 1^er janvier 2003, tout CVR installé à bord d'un aéronef comme condition préalable à la délivrance d'un certificat de navigabilité soit tenu d'avoir une capacité d'enregistrement d'au moins deux heures.

Le 4 mars 2004, Transports Canada a annoncé que les normes du Règlement de l'aviation canadienétaient modifiées. Elles stipulent maintenant ce qui suit : « Le CVR installé à bord d'un aéronef construit après le 31 décembre 2002 doit conserver toute l'information enregistrée pendant le temps d'utilisation de l'aéronef, ou pendant ses deux dernières heures d'utilisation, selon la plus courte de ces périodes. »^{Footnote 3}

On a jugé qu'une attention pleinement satisfaisante avait été accordée pour répondre à la recommandation A99-01 et on a rendu ce dossier inactif.

Le 9 mars 1999, le Bureau a également publié la recommandation A99-02 s'adressant à Transports Canada et aux Autorités conjointes de l'aviation d'Europe et demandant ce qui suit :

Tous les aéronefs qui doivent être équipés d'un FDR et d'un CVR sont tenus d'être équipés d'un CVR d'une capacité d'enregistrement d'au moins deux heures.

Le 7 juin 1999, la réponse de Transports Canada indiquait qu'il appuyait cette recommandation pourvu que les exigences de la Federal Aviation Administration (FAA) des États-Unis et celles du Canada demeurent harmonisées.

Le 7 mars 2008, la FAA a publié le règlement final, Revisions to Cockpit Voice Recorder and Digital Flight Data Recorder Regulations, qui stipulait que, d'ici le 7 avril 2012, tous les CVR des avions à moteurs à turbine devraient posséder une capacité d'enregistrement d'au moins 2 heures.

Depuis sa première réponse en date du 7 juin 1999, Transports Canada a fait part de son intention de présenter un APM pour régler la lacune décrite dans la recommandation A99-02. Dans chaque mise à jour ultérieure, il a répété son intention initiale. Presque 12 ans après sa première réponse, l'APM souvent promis n'a pas encore été présenté lors d'une réunion du Comité technique du CCRAC, ce qui signifie que les modifications réelles, si elles sont adoptées, accuseront de nombreuses années de retard, et ce, malgré la consigne de la FAA en date du 7 mars 2008.

En aucun temps au cours de la dernière décennie, TC n'a fourni au BST des renseignements suffisants concernant sa stratégie d'atténuation. Sans cette information, le BST n'est pas en mesure de fournir une évaluation précise, si ce n'est pour mentionner que TC a toujours l'intention de proposer des changements à sa réglementation pour l'harmoniser avec celle de la FAA. Par conséquent, le BST a continué de juger que l'intention de TC à cet égard était satisfaisante et il s'attendait à ce que ce dernier travaille en vue d'une atténuation satisfaisante des risques liés à la recommandation A99-02.

Les avantages que comportent les plus longues périodes d'enregistrement des CVR sont bien connus. L'absence de périodes plus longues d'enregistrements phoniques ou sonores continue de gêner les enquêtes sur événements et de retarder ou d'empêcher l'identification des lacunes de sécurité. Le Bureau n'a pas la conviction que les intentions de TC ont été appuyées par les mesures concrètes qui s'imposaient. Cela signifie qu'il n'existe aucune garantie que les avions qui doivent être munis d'un FDR et d'un CVR seront équipés d'un CVR d'une capacité d'enregistrement d'au moins 2 heures.

Même si TC a promis d'effectuer un suivi, la période de temps trop longue que nécessite la mise en œuvre des changements au RAC a favorisé le maintien du statu quo et permis à la lacune de sécurité d'exposer aux risques mentionnés des personnes et des biens. C'est pourquoi on estime que la réponse est maintenant insatisfaisante.

L'Agence européenne de la sécurité aérienne n'a pas encore modifié sa réglementation.

Liste de surveillance du BST

Le 16 mars 2010, le Bureau de la sécurité des transports a lancé sa Liste de surveillance^{Footnote 4}, laquelle énumère les problèmes cruciaux de sécurité du réseau de transport du Canada. L'un des problèmes soulevés concerne les enregistreurs de données. Des données cruciales pour comprendre comment et pourquoi surviennent des accidents de transport sont souvent perdues ou endommagées, ou il n'est pas exigé de les recueillir. Il faut déployer des efforts à l'échelle mondiale pour fabriquer de meilleurs enregistreurs, améliorer la qualité et la durée de leurs enregistrements et garantir qu'ils continuent d'enregistrer en cas de panne d'alimentation.

L'enquête a donné lieu aux rapports de laboratoire suivants :

• LP083/2009 – FDR/CVR Analysis (Analyse des données du FDR et du CVR)
• LP136/2009 – ADC Examination and Analysis (Examen et analyse de l'ADC)

On peut obtenir ces rapports en s'adressant au Bureau de la sécurité des transports du Canada.

Des essais effectués sur l'ADC de gauche de l'avion de LOT Polish Airlines ont permis d'établir la présence dans le circuit PLL du CCA d'une défectuosité probablement due à des écarts dans les performances des amplificateurs. Cette défectuosité a donné lieu à une augmentation soudaine des indications des instruments du commandant de bord, provoquant un dépassement de la vitesse maximale Vmo et une alarme de survitesse.

Le 19 juin et le 21 juillet 2009, les conditions propices à ce que cette défectuosité survienne ont été réunies, ce qui s'est traduit par une défaillance temporaire de l'ADC et, ultérieurement, par l'affichage d'indications erronées sur les instruments du commandant de bord.

Le 19 juin 2009, en réaction à une augmentation soudaine et erronée de la vitesse indiquée, le commandant de bord a réduit la poussée au ralenti de vol et mis l'avion en cabré pour amorcer une montée en vue de réduire la vitesse indiquée, ce qui a provoqué un ralentissement et une mise en cabré telle qu'il y a eu activation du vibreur de manche. Les anomalies de vitesse se sont poursuivies pendant quelque 4 minutes, au cours desquelles il y a eu simultanément quelque 40 secondes d'alarme de survitesse et d'activation du vibreur de manche.

Le manque de renseignements en provenance du CVR a empêché toute analyse des décisions et des mesures prises par l'équipage ainsi que de la gestion des ressources dans le poste de pilotage en général. L'anémomètre du copilote n'a pas affiché la même survitesse erronée que celui du commandant de bord. Cependant, on n'a pu déterminer jusqu'à quel point le copilote était devenu conscient de la contradiction entre les vitesses indiquées, s'il l'avait été, ou si cette contradiction avait été communiquée au commandant de bord. La liste de vérifications AIRSPEED UNRELIABLE n'a pas été passée en revue, et les anémomètres n'ont pas été comparés comme le stipule cette liste de vérifications. Il est donc fort probable que cette anomalie de vitesse est passée inaperçue.

Lorsqu'un incident similaire est survenu, le 21 juillet 2009, l'équipage de conduite a remarqué le désaccord vitesse indiquée et a passé en revue la liste de vérifications AIRSPEED UNRELIABLE. Par conséquent, après la commutation à l'ADC auxiliaire, le vol s'est poursuivi jusqu'à destination sans autre incident.

Les données de l'EICAS ne sont pas enregistrées dans le FDR. Ni l'un ni l'autre des équipages de conduite n'a signalé de message IAS DISAGREE ou ALT DISAGREE. Un essai de fonctionnement a permis de confirmer que les messages IAS DISAGREE et ALT DISAGREE sont affichés sur l'EICAS lorsque les paramètres sont respectés, ce qui laisse croire que les messages ont probablement été affichés sur l'EICAS, mais que les équipages de conduite en question dans les 2 incidents ne les ont pas remarqués.

Les révisions 2, 3 et 4 du bulletin de service 767-34A0332 n'exigent pas qu'un exploitant modifie son FCOM. Même si la révision 5 exige que des modifications soient apportées à certains chapitres du FCOM, elle ne mentionne pas précisément quelles devraient être ces modifications. LOT Polish Airlines n'a pas encore intégré la révision 5. Le FCOM n'a donc pas été mis à jour, et il stipulait à tort que les messages IAS DISAGREE et ALT DISAGREE de l'EICAS ne seraient pas affichés à bord de l'avion en question dans cet incident, alors qu'en fait, ils l'ont été.

Même si la révision 5 du bulletin de service 767-34A0332 de Boeing requiert que des modifications soient apportées à certains chapitres du FCOM, elle ne précise pas quelles devraient être ces modifications. Il se peut donc que certains manuels ne soient pas modifiés correctement, ce qui accroît ainsi le risque que les équipages soient mal informés de l'état de l'avion qu'ils pilotent.

Le FCTM de Boeing contient des directives sur la façon de former les équipages de conduite pour qu'ils soient en mesure de bien identifier une alarme de survitesse et d'y réagir. Cependant, le programme de formation initiale et périodique de LOT Polish Airlines n'inclut pas spécifiquement de formation pratique sur les alarmes de survitesse. Les situations de désaccord vitesse indiquée, notamment les indications de survitesse ainsi que les alarmes de survitesse et les avertissements de décrochage survenant simultanément, figurent sur la liste de vérifications AIRSPEED UNRELIABLE. L'équipage de conduite de l'avion en question dans l'incident survenu le 21 juillet 2009 a passé en revue la liste de vérifications AIRSPEED UNRELIABLE. L'absence de formation pratique sur les alarmes de survitesse accroît le risque que les équipages de conduite soient privés des connaissances nécessaires pour réagir en toute sécurité à certaines situations d'alarme de survitesse.

Pendant l'attente, l'avion était sur pilote automatique, alors que les automanettes n'étaient pas embrayées. À l'entrée en attente, on a réduit manuellement la poussée; cependant, l'équipage de conduite n'a pas surveillé la vitesse indiquée, et la poussée n'a pas augmenté. Par conséquent, le pilote automatique a augmenté l'angle d'attaque afin de maintenir l'altitude choisie. L'angle d'attaque a augmenté au point de dépasser l'angle de déclenchement, ce qui a provoqué l'activation du vibreur de manche. Lorsque la poussée a été augmentée et que le manche a cessé de vibrer, on a débrayé le pilote automatique. Cependant, l'équipage de conduite n'a pas stoppé la montée de l'avion, et ce dernier est par la suite entré en conflit avec un autre avion qui arrivait également à l'aéroport international de Toronto/Lester B. Pearson.

Comme le CVR n'a pas été désactivé après l'incident, tous les renseignements qu'il renfermait concernant cet incident ont été oblitérés. Le manque de renseignements provenant d'un CVR ne pouvant enregistrer plus de 30 minutes a empêché les enquêteurs de bien comprendre rapidement l'incident qui s'était produit, ce qui a nui à l'enquête. L'installation de CVR dont la capacité d'enregistrement est inférieure à 2 heures comporte le risque que des enquêteurs travaillant sur un accident soient privés de renseignements pertinents et que des problèmes de sécurité importants ne soient pas déterminés.

Faits établis quant aux causes et aux facteurs contributifs

1. Il y avait dans le circuit d'asservissement de phase (PLL) du calculateur de données aérodynamiques (ADC) une défectuosité qui a donné lieu à des indications soudaines et erronées de vitesse et d'altitude sur les instruments du commandant de bord.
2. On n'a pas comparé les valeurs indiquées sur les instruments du commandant de bord à celles indiquées sur les instruments du copilote ou sur les instruments de secours. Par conséquent, l'équipage a cru que les instruments du commandant de bord fonctionnaient correctement et a manœuvré les commandes de vol au point de provoquer des écarts importants d'altitude et de vitesse.

Faits établis quant aux risques

1. Le programme de formation initiale et périodique au pilotage de LOT Polish Airlines ne comprend aucune formation pratique sur les alarmes de survitesse. Par conséquent, les équipages de conduite peuvent réagir de façon inappropriée à de telles alarmes et aggraver la situation.
2. Même si la révision 5 du bulletin de service 767-34A0332 de Boeing requiert que des modifications soient apportées à certains chapitres du manuel d'exploitation de l'équipage de conduite (FCOM), elle ne précise pas quelles devraient être ces modifications. Il se peut donc que certains manuels ne soient pas modifiés correctement, ce qui accroît ainsi le risque que les équipages soient mal informés de l'état de l'avion qu'ils pilotent.
3. Le manuel d'exploitation de l'équipage de conduite de LOT Polish Airlines stipule à tort que les messages IAS DISAGREE et ALT DISAGREE du système d'affichage des paramètres moteurs et d'alerte de l'équipage (EICAS) ne sont pas affichés à bord de l'avion en question dans cet incident lors d'un incident de désaccord vitesse indiquée, ce qui accroît le risque qu'un membre d'équipage commette une erreur au moment de déterminer un problème.
4. L'installation d'un enregistreur de conversations de poste de pilotage (CVR) dont la capacité d'enregistrement est inférieure à 2 heures comporte le risque que des enquêteurs travaillant sur un accident soient privés de renseignements pertinents et que des problèmes de sécurité importants ne soient pas déterminés.
5. Pendant l'examen initial et le démontage du calculateur de données aérodynamiques (ADC), on a remarqué une importante accumulation de poussière et de saleté à l'intérieur de l'unité qui pouvait donner lieu à une augmentation de la température interne.

Autre fait établi

1. Pendant l'attente, alors que la poussée était au ralenti de vol, l'équipage de conduite n'a pas surveillé la vitesse indiquée. Tentant de maintenir l'altitude, le pilote automatique a augmenté l'angle d'attaque jusqu'à l'activation du vibreur de manche. Lors du rétablissement, l'équipage a permis à l'avion de dépasser en montée l'altitude autorisée pour le vol, ce qui a donné lieu à une perte d'espacement.

Polish Airlines a pris les mesures de sécurité suivantes :

• Publication de bulletins de sécurité de vol s'adressant à tous les équipages de conduite du B767 concernant les 2 incidents en question.
• Lancement du processus de modification de la documentation d'exploitation (manuel d'exploitation de l'équipage de conduite [FCOM] et manuel de référence rapide [QRH]) en ce qui a trait aux messages IAS et ALT DISAGREE.
• Discussion plus détaillée de la notion de « vitesse indiquée non fiable » dans le cadre de la formation périodique et de l'entraînement sur simulateur des équipages du B767.

Le présent rapport met un terme à l'enquête du Bureau de la sécurité des transports du Canada (BST) sur cet événement. Le Bureau a autorisé la publication du rapport le 08 mars 2010.

Annexe A – TRACÉS FDR

(Ce document n'existe pas en français)

Image

Annexe B - VITESSE INDIQUÉE NON FIABLE

(Ce document n'existe pas en français)

Image

Image