Rapport d'enquête aéronautique A00P0101

Le vol 35 de WestJet (WJA35),un Boeing 737-200, numéro de série 20196, était en route de Calgary (Alberta) à Abbotsford (Colombie-Britannique) vers 17 h 40, heure normale des Rocheuses. L'avion est monté au niveau de vol 310, l'altitude de croisière prévue, puis le groupe auxiliaire de bord (APU) a été éteint. Dans les minutes qui ont suivi l'extinction de l'APU, la pressurisation de la cabine a chuté. L'avion a amorcé une descente et s'est dérouté vers Kelowna (Colombie-Britannique). Les masques à oxygène des passagers se sont déployés automatiquement lorsque l'altitude-cabine a atteint 14 000 pieds asl (au-dessus du niveau de la mer). L'altitude-cabine a atteint par la suite environ 24 000 pieds asl avant que la pressurisation ne soit rétablie. L'avion s'est posé sans autre incident à Kelowna où l'on a fait la maintenance du système d'oxygène. Il n'y a eu aucun blessé.

L'état mécanique de l'avion n'a pas été un facteur dans cet incident. Des travaux d'entretien ont été exécutés à Kelowna pour ranger les masques à oxygène des passagers et remplir les bouteilles d'oxygène avant la poursuite du vol. Les conditions météorologiques à Calgary, à Kelowna et en route étaient bonnes.

Le commandant de bord était titulaire d'une licence canadienne de pilote de ligne - avion (ATPL-A) valide, annotée d'une qualification sur Boeing 737. Il avait totalisé environ 17 500 heures de vol, dont 1500 heures sur Boeing 737 parmi lesquelles 800 heures avaient été effectuées à titre de commandant de bord. Au cours des 90 derniers jours, le pilote avait effectué environ 180 heures de vol. Le jour de l'incident était la première journée de travail du pilote après 11 jours de congé.

Le copilote était titulaire d'une licence canadienne de pilote de ligne - avion (ATPL-A) valide, annotée d'une qualification sur Boeing 737. Il avait totalisé environ 16 000 heures de vol, dont 200 sur Boeing 737. Au cours des 90 derniers jours, le copilote avait effectué environ 180 heures de vol. Au cours des 24 dernières heures, il avait été en service 11,7 heures.

Le vol WJA35 a quitté Calgary à 17 h 21, heure normale des Rocheuses^{Note de bas de page 1} et s'est mis en palier au niveau de vol 310, son altitude de croisière, environ 17 minutes plus tard. Les conditions en vigueur à Calgary, combinées à la masse de l'avion, imposaient un décollage avec les vannes de prélèvement d'air sur les compresseurs des réacteurs fermées. Cette procédure permet d'assurer une puissance suffisante en montée advenant la perte d'un moteur. Normalement, une certaine partie de l'air du compresseur du réacteur ait prélevé pour la pressurisation et le conditionnement de l'air de cabine, mais ce prélèvement réduit la puissance disponible.

Lorsqu'on effectue un décollage vannes de prélèvement fermées, on peut utiliser le groupe auxiliaire de bord (APU) - comme dans le cas du vol en question - pour assurer la pressurisation et le conditionnement d'air de la cabine jusqu'à 17 000 pieds. L'exécution d'un décollage vannes de prélèvement fermées est exceptionnelle. Dans les listes des vérifications normales avant démarrage (Before Start) et avant décollage (After Start) de l'exploitant à l'intention de l'équipage, il est bien mentionné à certains endroits que l'équipage devrait parler de l'utilisation de cette procédure. Néanmoins, il n'y a pas de façon spéciale d'alerter l'équipage de conduite de l'utilisation d'une procédure non courante lors de l'exécution en séquence des éléments de la liste de vérification.. L'importance des éléments des listes de vérifications est mise en relief dans le manuel d'exploitation (FOM), qui stipule : « Les listes de vérifications normales renferment seulement les éléments qui, s'ils sont omis, auraient des conséquences directes et néfastes sur les opérations normales. » Le manuel d'exploitation comprend une liste de vérifications supplémentaires qui prescrit la procédure à suivre lors d'un décollage vannes de prélèvement d'air fermées.

Peu après le décollage, l'équipage a commencé à passer en revue la liste des vérifications après décollage. Conformément aux procédures d'utilisation normalisées (SOP - Standard Operating Procedure), une fois l'avion en vol (mis à part certaines exceptions), c'est le pilote non aux commandes (PNF - Pilot Not Flying) qui exécute seul les listes de vérifications. Il exécute de mémoire un circuit géographique le menant d'élément en élément dans le poste de pilotage, en annonçant à haute voix chaque élément à mesure qu'il est traité. Il lit ensuite à voix basse la liste des vérifications pour confirmer qu'aucun élément n'a été omis. Une fois tous les éléments passés en revue, le PNF avise le pilote aux commandes (PF - Pilot Flying) que la liste pertinente est terminée. Cette liste de vérifications comprenaient les deux éléments suivants :

Conditionnement d'air et pressurisation – réglé

APU – au besoin

Au cours de cette procédure, l'équipage a vérifié la pressurisation de la cabine et confirmé qu'elle était normale. Toutefois, pendant le départ, la vérification a été interrompue lorsque le contrôle de la circulation aérienne a modifié l'autorisation de départ du vol WJA35 en raison d'un conflit de trafic. Même si l'élément relatif au réglage du conditionnement d'air et de la pressurisation, qui figure sur la liste de vérifications après décollage, ne comporte que quelques mots, c'est une procédure qui demande plusieurs étapes pour être complétée. À la suite de l'interruption, l'équipement de pressurisation n'a pas été reconfiguré pour le vol normal (les vannes de prélèvement d'air n'ont pas été rouvertes), et le groupe auxiliaire de bord n'a pas été désaccouplé ni arrêté.

La section des procédures normales du manuel d'exploitation du Boeing 737-200 de l'exploitant prescrit une vérification de mémoire, effectuée indépendamment par le PNF lorsque l'avion franchit 10 000 pieds en montée. La consigne suivante en fait partie :

Ces éléments n'ont pas été exécutés. Dès que l'avion a atteint l'altitude de croisière, c'est-à-dire le niveau de vol 310, une autre vérification de mémoire, exécutée par le PNF, est prévue. À ce moment, l'équipage a remarqué que le groupe auxiliaire de bord fonctionnait toujours et l'a coupé sans s'interroger sur la raison de son fonctionnement à ce moment-là du vol. Dans les deux minutes qui ont suivi, le klaxon d'altitude-cabine a retenti parce que l'altitude cabine avait dépassé 10 000 pieds. L'indicateur de taux de montée de l'altitude cabine indiquait une montée d'environ 1 000 pieds par minute, et le voyant AUTO FAIL du tableau du système pneumatique était allumé. Le sélecteur de mode de pressurisation a ensuite été réglé sur la position STANDBY, et l'équipage a consulté la liste des vérifications Auto Fail or Unscheduled Pressurization Change (défectuosité du mode automatique ou modification non prévue de la pressurisation). Le manuel d'exploitation du B737 de l'exploitant renferme deux listes de vérifications différentes en ce qui a trait à la pressurisation : la liste de vérification Auto Fail or Unscheduled Pressurization Change et la liste de consultation rapide en urgence Cabin Altitude Warning / Rapid Depressurization (alerte d'altitude cabine / dépressurisation rapide).

Le PF a mis son masque, a demandé au contrôle de la circulation aérienne l'autorisation de gagner une altitude inférieure et a entamé la descente. Lorsque le contrôle de la circulation aérienne lui a demandé s'il y avait un problème, l'équipage a indiqué qu'il avait besoin d'une altitude inférieure, mais il n'a pas déclaré une situation d'urgence. Lorsque l'altitude cabine a atteint 14 000 pieds, les masques à oxygène des passagers se sont déployés automatiquement. L'exécution de la liste des vérifications Auto Fail or Unscheduled Pressurization Change n'a pas eu d'effet sur la perte de pressurisation, et le PNF a mis son masque à oxygène. L'équipage a demandé à un commandant de bord de la compagnie qui était présent sans être en service d'apporter son aide. Lorsqu'il est arrivé dans le poste de pilotage, l'avion et l'altitude cabine se trouvaient tous deux à 24 000 pieds. L'équipage a immédiatement découvert que les vannes de prélèvement d'air n'avaient pas été configurées pour le vol.

L'équipage a alors consulté la liste des vérifications Cabin Altitude Warning / Rapid Depressurization. L'exécution de cette liste de vérifications, qui comprenait le réglage des interrupteurs des vannes de prélèvement d'air sur ON, a permis de pressuriser la cabine à nouveau. Le dépouillement des données de l'enregistreur des données de vol indique que l'altitude cabine a grimpé à 14 000 pieds en à peu près 3 minutes 50 secondes, ce qui équivaut à un taux de montée moyen de 3650 pieds par minute. L'avion est descendu du niveau de vol 310 à une altitude de 14 000 pieds en 5 minutes 4 secondes, ce qui équivaut à un taux de descente de 3 350 pieds par minute. La descente a été brièvement interrompue à deux reprises alors que l'équipage attendait l'autorisation du contrôle de la circulation aérienne pour gagner des altitudes inférieures.

Au cours de la descente après le déploiement des masques à oxygène des passagers, un des agents de bord a observé qu'une mère avait de la difficulté à placer un masque à oxygène sur son jeune enfant. L'agent de bord s'est procuré une bouteille d'oxygène portative, a mis le masque qui y était raccordé et est allée aider la mère. Il a alors été décidé de donner à l'enfant de l'oxygène provenant de la bouteille portative. L'agent de bord est allée chercher un deuxième masque pour le raccorder à la deuxième sortie de sa bouteille d'oxygène. Il y avait deux masques compatibles par bouteille portative d'oxygène installée dans cet avion, mais il y avait deux types de raccords à bord de l'avion en question: le raccord baïonnette et le raccord droit emboîtable. En raison de l'incompatibilité entre le masque pour l'enfant et le raccord de la bouteille, il a fallu aller chercher une deuxième bouteille portative et son masque pour le jeune enfant. Les vérifications de sécurité cabine de l'exploitant comprennent l'inspection de l'état de chaque bouteille d'oxygène portative et de son masque, mais l'incompatibilité entre les masques et les bouteilles rangées à différents endroits est passée inaperçue. Le Règlement de l'aviation canadien (RAC) n'exige pas de raccords standard pour les masques à oxygène et les bouteilles d'oxygène portatives à bord d'un même avion ou d'une flotte d'avions identiques exploités par un même exploitant.

Bien que cet incident ne mettait pas la vie de quiconque en danger, il a entraîné une lourde charge de travail pour l'équipage de conduite. Certains passagers étaient fort inquiets car l'équipage n'a fait aucune annonce pendant la descente; la confusion et l'inquiétude des passagers se sont accrues parce qu'ils ne savaient pas si l'équipage avait la situation bien en mains. La première annonce a été faite une fois que l'avion s'est mis en palier à 14 000 pieds. Le PNF a annoncé sur le circuit d'annonces aux passagers que la situation était sous contrôle, que les passagers pouvaient retirer leur masque à oxygène et que l'avion allait se poser à Kelowna. Certains passagers, surtout à l'arrière de l'avion n'ont pas entendu ou ne pouvaient pas comprendre les annonces faites à partir du poste de pilotage, et les agents de bord ne pouvaient leur fournir des renseignements qu'ils ne possédaient pas eux-mêmes. Le circuit d'annonces passagers sur les avions B737-200 n'a pas de commande manuelle ni d'urgence qui permette de hausser le volume en cas de besoin.

Après ce vol, certains passagers ont dû consulter des spécialistes du corps médical pour stress post-traumatique. Des 118 passagers, 9 ne sont pas remontés à bord pour poursuivre le vol jusqu'à Abbotsford. L'équipage de conduite n'ayant pas déclaré une situation d'urgence, il n'a pas profité des avantages d'un traitement prioritaire par le contrôle de la circulation aérienne ni n'a bénéficié de l'intervention du personnel médical à Kelowna pour les passagers.

Les masques à oxygène à déclenchement automatique pour passagers (référence Scott 289-701-27) fournissent de l'oxygène supplémentaire pour enrichir l'air ambiant respiré par ceux qui les portent. Certains passagers étaient préoccupés par le fonctionnement des masques à oxygène : le sac sous les masques ne se gonflait pas, et les passagers étaient convaincus que l'oxygène ne circulait pas. Les masques sont pourvus d'un sac réservoir sous le masque, mais ils ne sont pas munis d'un indicateur d'écoulement à même le tube d'alimentation. La circulation de l'oxygène vers les masques est réglée automatiquement en fonction de l'altitude pression à l'intérieur de la cabine de l'avion. Plus l'altitude pression est élevée, plus grande est la circulation d'oxygène. Cette circulation influence le gonflage du sac réservoir. À une altitude-pression élevée, le sac se gonfle complètement, tandis qu'à une altitude-pression faible, la sac pourrait ne pas se gonfler du tout, même si la quantité d'oxygène régulée en fonction du besoin est toujours fournie.

Cet incident a été causé par une réaction à des symptômes d'une défectuosité apparente, mais qui, en fait, a été déclenchée par l'omission d'un élément des listes de vérification. Aucune défectuosité n'a été découverte, et l'avion ainsi que ces composants ont fonctionné de façon prévisible.

Il y a eu interruption de l'exécution de la liste des vérifications After Take-off (Après décollage) et, après l'interruption, la liste des vérifications n'a pas été terminée : le système de pressurisation n'a pas été reconfiguré pour le vol. Pendant toute la montée, les procédures normales applicables aux listes de vérifications n'ont pas permis de reprendre la séquence de la liste des vérifications (en plusieurs occasions), la conscience situationnelle dans le poste de pilotage n'a pas été maintenue, et la priorisation des actions ne s'est pas faite conformément aux procédures d'utilisation normalisées (SOP). Par conséquent, la présente analyse portera sur quatre éléments : les listes de vérifications, la formation, l'assistance aux passagers et l'équipement de secours de la cabine.

Bien que la procédure de décollage avec les vannes de prélèvement d'air fermées ne soit pas une procédure anormale, elle n'est pas habituelle. La liste des vérifications après décollage comprenait les éléments habituels relatifs à la pressurisation, mais elle ne comprenait pas les éléments inhabituels touchant la pressurisation. Le cerveau humain, lorsqu'il doit traiter des éléments inhabituels, comme la reconfiguration après un décollage avec les vannes de prélèvement d'air fermées, utilise la mémoire à court terme. En raison des limites de cette mémoire et de la vulnérabilité humaine aux distractions, la probabilité que cet élément soit omis est relativement élevée.^{Note de bas de page 2} La reconfiguration n'a pas été exécutée au cours de la vérification After Take-off (Après décollage), ni au moment de franchir 10 000 pieds en montée, ni une fois atteinte l'altitude de croisière, autant d'ancrages de vérifications qui auraient dû alerter l'équipage de régler correctement la pressurisation. Le fait de ne pas avoir reconfiguré le circuit pneumatique en temps opportun peut avoir été à l'origine d'une évaluation selon laquelle les listes de vérifications étaient rendues plus loin qu'elles ne l'étaient en réalité, et ces occasions ont aussi été manquées.

La réaction de l'équipage de conduite au déclenchement du klaxon altitude cabine, à l'illumination du voyant AUTO FAIL et à la montée de l'altitude cabine qui se sont tous manifestés simultanément a été de consulter la liste des vérifications Auto Fail or Unscheduled Pressurization Change, plutôt que la liste Cabin Altitude Warning / Rapid Depressurization. Le voyant d'avertissement AUTO FAIL ne pose pas de problème d'interprétation : il signale simplement qu'un aspect du système de pressurisation se situe hors des paramètres acceptables et qu'un diagnostic d'autres données est nécessaire pour cerner la nature de l'anomalie. Les mesures décrites dans la liste des vérifications Auto Fail or Unscheduled Pressurization Change (défectuosité du mode automatique ou modification non prévue de la pressurisation) ne traitent que du fonctionnement et de la commande de la vanne de régulation échappement cabine. Lorsque l'exécution de cette liste de vérifications n'a pas permis de régler le problème, tout autre diagnostic n'a rien donné jusqu'à ce que le pilote qui voyageait à bord sans être en service arrive dans le poste de pilotage. Ces éléments laissent croire que l'équipage de conduite, à ce moment, n'était pas au courant des différences entre les deux listes de vérifications, ni du fait que le voyant AUTO FAIL pouvait indiquer une gamme plus étendue de problèmes. L'entraînement des pilotes de la compagnie ne faisait pas état de scénarios de perte de pressurisation induite par l'exploitant (vannes de prélèvement d'air fermées). Comme l'équipage de conduite n'avait pas vécu une situation semblable, en réalité ou en cours d'entraînement, il n'était probablement pas au fait des limites de la liste des vérifications Auto Fail or Unscheduled Pressurization Change.

Des moyens de protection comprenant notamment les SOP, le pilotage en double commande, la formation et les listes de vérifications étaient en place pour éviter que la situation dégénère. L'enquête a permis de cerner certains écarts par rapport aux SOP, des contre-vérifications insuffisantes de la part des pilotes, une lacune dans l'efficacité des communications et une certaine préoccupation relative à certains éléments démontrant une perte de conscience situationnelle par l'un ou l'autre membre de l'équipage de conduite, ou les deux. Sans méthode adéquate de communication, on élimine une certaine forme « inhérente » de contre-vérification , ce qui rend les personnes victimes de leurs propres erreurs ou omissions lorsqu'elles remplissent leurs tâches seules. Il peut en résulter une rupture de la conscience situationnelle au sein de l'équipage de conduite, ce qui peut réduire à néant la redondance que devrait assurer un équipage de deux pilotes. Les pratiques de gestion des ressources dans le poste de pilotage aident les membres d'équipage à mieux communiquer, ce qui influence leur interaction et peut améliorer grandement leur conscience situationnelle pendant toutes les étapes du vol. La conscience situationnelle est fonction de la gestion des ressources dans le poste de pilotage, et cette dernière doit reposer sur des procédures ou renforcer ces procédures. La pratique chez cet exploitant consiste à confier au seul PNF l'exécution de certaines listes de vérifications ou de certains éléments prescrits. L'élément pressurisation se trouvait au début de la liste des vérifications après décollage et, par conséquent, il aurait dû être le moins vulnérable aux omissions. Néanmoins, il a été omis en plusieurs occasions par les deux pilotes.

Comme l'équipage de conduite n'a pas déclaré de situation d'urgence, le vol a été privé d'un traitement prioritaire par le contrôle de la circulation aérienne et les services médicaux à Kelowna. Le manuel d'exploitation de l'exploitant n'exige pas que l'équipage vérifie l'état des passagers pendant ou après une situation d'urgence. Toutefois, il est peu probable qu'un équipage typique ait l'expérience nécessaire pour reconnaître les symptômes du stress post-traumatique, sauf les plus évidents.

L'équipement incompatible à bord de l'avion en question est passé inaperçu à cause du nombre de raccords d'équipement d'oxygène différents sur le marché et de l'absence d'une norme exigeant une communauté de conception de l'équipement d'oxygène portative au sein de la cabine d'un avion. Par conséquent, il y a eu un délai, bien que peu grave, dans la fourniture d'oxygène au jeune passager.

Le gonflage du sac réservoir des masques à oxygène des passagers a inquiété bien des passagers parce qu'ils n'étaient pas informés de son fonctionnement. Les masques ont fonctionné comme prévu.

Le volume normal de la sonorisation de la cabine des passagers lors d'une communication provenant du poste de pilotage pourrait ne pas être suffisant pour assurer que tous les occupants de la cabine reçoivent des instructions importantes ou de l'information pendant une urgence. Dans le cas qui nous occupe, le fait de ne pas comprendre les messages d'annonces passagers à partir du poste de pilotage quand la charge de travail des agents de bord est élevée empêchait ceux-ci de relayer les messages et a semé la confusion.

Faits établis quant aux causes et aux facteurs contributifs

1. La liste des vérifications après décollage n'a pas été terminée après une interruption. En conséquence, le système de pressurisation et de conditionnement d'air n'a pas été reconfiguré pour le vol après un décollage effectué avec les vannes de prélèvement d'air fermées.
2. La vérification de mémoire à 10 000 pieds n'a pas été terminée, le système de conditionement d'air et de pressurisation n'a pas été reconfiguré, et le groupe auxiliaire de bord n'a pas été coupé.
3. Le problème de pressurisation n'a pas été décelé pendant la vérification de mémoire lorsque l'avion a atteint l'altitude de croisière.
4. Le groupe auxiliaire de bord a été coupé au niveau de vol 310 sans que l'équipage ne se demande pourquoi il n'était pas coupé. L'arrêt du groupe a causé la dépressurisation de la cabine.
5. L'équipage de conduite n'a pas respecté les SOP ni les procédures normales en réaction au klaxon altitude cabine et à la dépressurisation. Il s'est donc écoulé un certain temps avant que l'équipage puisse rétablir la pressurisation de la cabine.

Faits établis quant aux risques

1. L'exécution des listes de vérifications par une seule personne sans la participation de l'autre pilote ne laisse aucune place à l'erreur, ce qui peut entraîner une perte de la conscience situationnelle.
2. L'équipage de conduite n'a pas déclaré de situation d'urgence. Par conséquent, le vol a été privé de l'appui qu'aurait pu donner le contrôle de la circulation aérienne et, si nécessaire, d'une aide immédiate des services d'intervention d'urgence de l'aéroport et des services médicaux.

Autres faits établis

1. Les masques à oxygène des bouteilles portatives pour les passagers associés à une bouteille d'oxygène dans la cabine de l'avion n'étaient pas compatibles (interchangeables) avec les autres bouteilles dans la même cabine.
2. Les annonces aux passagers à partir du poste de pilotage n'ont pu être entendues ou n'étaient pas intelligibles pour certains passagers, surtout ceux situés à l'arrière de l'avion. Le système de sonorisation de la cabine ne comprend pas de bouton manuel ou d'urgence pour régler le volume.
3. Les passagers ne savaient pas que les sacs réservoirs des masques à oxygène pouvaient ne pas se gonfler, même si la quantité régulée d'oxygène appropriée aux besoins est quand même fournie.

L'exploitant a modifié l'exposé sur les situations d'urgence fourni aux passagers avant le vol pour les informer que les masques fournissent de l'oxygène même si le sac réservoir n'est pas gonflé. L'exploitant a aussi pris des mesures pour améliorer la formation des pilotes relativement aux problèmes de pressurisation.

L'exploitant a appliqué à toute sa flotte une ordonnance de maintenance supplémentaire interne exigeant l'uniformisation des raccords entre les bouteilles portatives d'oxygène et les masques de bouteilles portatives.

Le 26 avril 2001, le BST a envoyé une lettre d'information sur la sécurité aérienne (A010005-1) à Transports Canada pour l'encourager à envisager des moyens visant à garantir que les exploitants ne combinent pas par inadvertance de l'équipement portatif d'oxygène incompatible au sein d'une même cabine d'avion. Dans sa réponse, Transports Canada a reconnu la nécessité de communiquer aux exploitants aériens l'anomalie signalée et indique qu'il est en train d'évaluer différentes solutions permettant de cerner la façon la plus pertinente de communiquer cette information à l'industrie.

À la suite de la présente enquête, Boeing a révisé la liste des vérifications Auto Fail or Unscheduled Pressurization Change applicable à tous les modèles de B737. Les deux premiers éléments de la liste de vérifications révisée ont trait aux mesures visant à s'assurer que les interrupteurs des vannes de prélèvement d'air et du groupe de conditionnement d'air sont sur ON. La diffusion de cette révision devrait être terminée vers mai 2002.

Le présent rapport met fin à l'enquête du Bureau de la sécurité des transports sur cet accident. Le Bureau a autorisé la publication du rapport le 4 décembre 2001.