Rapport d'enquête aéronautique A01P0165

Le Cessna amphibie muni de flotteurs U206G, immatriculé C-FHMW et portant le numéro de série U20605459, avait effectué un vol de Boundary Bay (Colombie-Britannique) à l'aérodrome de Chilliwack le matin de l'accident. À Chilliwack, le commandant de bord (CdB) avait embarqué un autre pilote ainsi qu'un passager pour un court vol de démonstration dans la région du lac Cultus, au sud de Chilliwack. Pour ce vol, le CdB s'était assis sur le siège avant droit de sorte que le second pilote puisse piloter l'appareil du siège avant gauche et le passager s'était assis derrière les deux pilotes. Au départ de Chilliwack, le levier du train d'atterrissage a été placé sur UP et les volets ont été rentrés. Durant ce départ, les deux pilotes ont été occupés à surveiller visuellement les autres appareils sur le circuit, dont un volant sans émetteur radio. En approche vers le lac Cultus, les deux pilotes se sont consultés sur la nécessité de rentrer le train pour l'amerrissage. Se fondant sur les renseignements disponibles dans le poste de pilotage, ils ont conclu que le train d'atterrissage était rentré (UP). L'approche s'est déroulée normalement jusqu'à ce que, au toucher, l'avion décélère rapidement et capote, le train d'atterrissage étant sorti. Le CdB et le passager se trouvant à l'arrière s'en sont sortis avec des blessures légères. Le pilote a succombé à ses blessures. L'accident s'est produit durant le jour dans des conditions météorologiques de vol à vue.

Flotteurs

L'appareil accidenté était équipé de flotteurs amphibies Wipline 3730. Ces flotteurs sont équipés d'un train d'atterrissage rétractable qui permet à l'appareil de se poser sur une piste en dur aussi bien que sur l'eau. Les Wipline 3730 sont certifiés en vertu du certificat de type supplémentaire (CTS) SA18GL. Ce CTS stipule que « [traduction ] un supplément au manuel d'utilisation du pilote approuvé par la FAA [...] doit accompagner tout avion modifié en vertu du présent CTS ».

Train d'atterrissage

Le train d'atterrissage des Wipline 3730 est actionné au moyen un bloc d'alimentation électrohydraulique situé dans le compartiment à bagages du flotteur gauche. Une pompe manuelle de secours permet de faire fonctionner manuellement le train d'atterrissage en cas de défaillance du bloc d'alimentation ou du circuit électrique.

Un jeu de quatre voyants bleus (un par roue) indique que le train est en position UP et un jeu de quatre voyants verts indique que le train est en position DOWN. De plus, le pilote peut visuellement vérifier que le train d'atterrissage est en position UP en observant le raccordement pneumatique de la jambe à amortisseur par un orifice situé dans le logement du train principal et, pour le train avant, en observant un câble indicateur dépassant de la coiffe du nez.

Un voyant rouge portant l'indication « PUMP ON » indique au pilote que le bloc d'alimentation électrohydraulique fonctionne durant le mouvement du train. La pompe s'arrête automatiquement une fois que le train est dans la position sélectionnée : un manocontact coupe l'alimentation électrique de la pompe lorsque la pression monte dans le circuit, une fois que le train est complètement sorti ou complètement rentré. Un disjoncteur de 25 A protège le circuit électrique de la pompe. Le supplément au manuel de vol indique que, si le manocontact est défaillant et que la pompe ne s'arrête pas automatiquement, il est possible de couper manuellement l'alimentation électrique en tirant sur le disjoncteur du train d'atterrissage. Le supplément indique aussi que tout manocontact défaillant doit être réparé après le prochain atterrissage.

Examen de l'épave

L'appareil flottait à l'envers sur les lieux de l'écrasement, submergé jusqu'à la partie inférieure des flotteurs. Le train d'atterrissage était complètement sorti.

Une fois l'épave récupérée, on a constaté que la poignée de position du train d'atterrissage était en position UP. Le train d'atterrissage était complètement sorti et verrouillé en position DOWN tandis que le disjoncteur de la pompe hydraulique était déclenché. L'interrupteur électrique général avait été placé sur OFF durant la récupération et aucun des voyants du train d'atterrissage n'était donc allumé (tel que constaté). Le sélecteur (situé sous le levier de position du train d'atterrissage) contrôlant l'intensité des voyants de position du train d'atterrissage était sur la position DIM.

Carnets techniques

Un carnet technique et un carnet de route doivent être tenus à jour pour tout appareil certifié conformément aux normes établies par le ministre des Transports. Ces carnets sont essentiels à la sécurité, car ils permettent de documenter l'historique de la maintenance de l'appareil, de prévoir les exigences de maintenance à venir et permettent donc aux pilotes et aux techniciens d'entretien de vérifier la navigabilité de l'appareil avant tout vol.

Un examen des carnets techniques a révélé que la plus récente inspection aux 100 heures de l'appareil avait été effectuée le 21 février 2001. Lors de cette inspection, un essai de rentrée du train d'atterrissage avait été effectué. Durant les 16 heures de vol qui ont suivi cette inspection, le mécanisme du train d'atterrissage a connu des problèmes intermittents. Après que la position du train avait été sélectionnée, la pompe démarrait, le train d'atterrissage sortait et se verrouillait, mais la pompe continuait à fonctionner jusqu'à ce que, surchauffant, elle déclenche le disjoncteur de sécurité du circuit. On avait constaté que le manocontact était défectueux et une pièce de rechange avait été commandée. En attendant son arrivée, on avait nettoyé et lubrifié le train d'atterrissage, et l'appareil avait été laissé en service. Le train d'atterrissage, après cette intervention de maintenance, a fonctionné normalement, et ce, jusqu'à l'accident. Bien que rien n'indique dans le carnet technique ou dans le carnet de route l'intervention de maintenance effectuée sur le manocontact de la pompe hydraulique, le propriétaire de l'appareil et le commandant de bord (CdB) lors de l'accident étaient au courant de ce problème.

Essais après accident

Les essais du train d'atterrissage Wipline 3730, effectués sous la supervision du BST, ont confirmé que le manocontact de la pompe hydraulique fonctionnait de façon intermittente. Durant les essais, le train d'atterrissage a fonctionné normalement durant huit cycles. Au neuvième cycle, le manocontact a connu une défaillance à la fin de la sortie du train d'atterrissage et le disjoncteur s'est déclenché. Après cette défaillance, les quatre voyants verts étaient allumés, le levier du train était en position DOWN et le voyant (rouge) de la pompe était éteint. Le fait de placer le levier du train en position UP a donné les mêmes résultats que ceux observés sur les lieux de l'accident : levier du train en position UP, quatre voyants verts allumés et voyant rouge de la pompe éteint.

Durant ces essais, la position du train d'atterrissage a pu être vérifiée visuellement à partir du siège du pilote. Lorsque le train d'atterrissage était en position DOWN, le raccord pneumatique de la jambe à amortisseur n'était pas visible par l'orifice se trouvant au sommet du logement du train principal et le câble indicateur du train avant ne dépassait pas de la coiffe du nez. Ce sont là deux signes visuels avertissant que le train d'atterrissage est en position DOWN, même si le levier du train d'atterrissage est en position UP.

Les enquêteurs ont aussi remarqué que les voyants verts (train sorti) étaient difficiles à voir à la lumière du jour lorsque le sélecteur d'intensité des voyants du train d'atterrissage était réglé sur DIM. De plus, parce que les voyants bleus étaient plus translucides que les voyants verts, il était plus difficile de distinguer à la lumière du jour quels voyants étaient allumés lorsque l'intensité des voyants lumineux était réglée sur DIM.

Survivabilité

Les deux pilotes portaient des ceintures-baudriers à quatre points à enrouleur à inertie. Au moment de l'impact, le moteur de l'appareil s'est détaché de son support et, basculant vers le haut, a brisé le pare-brise. Le commandant de bord a détaché sa ceinture-baudrier et est sorti par le pare-brise défoncé. Le pilote aux commandes a été blessé à la tête et, selon le rapport du pathologiste, est mort noyé. Le passager, sur le siège de gauche de la seconde rangée, était retenu par une ceinture de sécurité et, après l'accident, s'est échappé par la fenêtre avant gauche.

Listes de vérifications

Les listes de vérifications ont pour objet d'aider à réduire l'erreur humaine et sont conçues de façon à ce que les membres d'équipage n'aient pas à se fier à leur mémoire pour ce qui est des vérifications de routine telles que celles avant et durant le démarrage du moteur, avant le décollage, avant l'atterrissage et en cas de mauvais fonctionnement du moteur ou de systèmes. Les listes de vérifications constituent le fondement de la normalisation des procédures utilisées par les pilotes pour assurer la sécurité de leurs appareils. La mauvaise utilisation, ou la non-utilisation, d'une liste normalisée par un équipage de conduite est parfois citée comme une des causes probables, ou du moins comme une des causes contributives, d'accidents aéronautiques.

L'erreur, dans l'accomplissement d'une tâche psychomotrice ou cognitive, est une chose normale et elle se produit, pour une tâche répétitive simple, en moyenne 1 fois sur 100. Dans certaines conditions, la fiabilité humaine peut être augmentée de plusieurs ordres de grandeur. Un taux d'erreur de 1 pour 1 000 est généralement considéré comme acceptable. Par comparaison, et afin de mettre le taux d'erreur humaine en perspective, la Civil Aviation Authority britannique exige qu'un dispositif d'atterrissage automatisé ne connaisse pas un taux de défaillance catastrophique supérieur à un pour 10 millions d'atterrissages.^{Note de bas de page 1}

L'article 602.60 du Règlement de l'aviation canadien requiert que tous les aéronefs entraînés par moteur soient dotés d'une liste de vérifications ou d'affichettes permettant l'utilisation de l'aéronef conformément aux limites précisées dans le manuel de vol de l'aéronef, le manuel d'utilisation de l'aéronef, le manuel d'utilisation du pilote ou dans tout autre document équivalent fourni par le constructeur. Le manuel d'utilisation du pilote du Cessna U206G fournit aux pilotes des listes de vérifications comme l'exige la réglementation susmentionnée. L'une de ces vérifications, intitulée « Before Starting Engine », requiert que le pilote vérifie que tous les disjoncteurs sont enclenchés (IN).

Un appareil modifié en vertu d'un CTS peut requérir des vérifications additionnelles. Un flotteur amphibie requiert des vérifications additionnelles portant sur la position et le fonctionnement du train d'atterrissage. Lorsque de telles vérifications sont requises, elles sont publiées dans le supplément au manuel de vol de l'appareil ou bien des affichettes additionnelles sont posées dans l'appareil. Les propriétaires/exploitants d'aéronef ne sont pas officiellement tenus d'insérer les renseignements figurant dans le supplément au manuel de vol dans la liste de vérifications originale de l'appareil.

Malgré la modification subie par l'appareil (l'addition de flotteurs Wipline 3730), aucune liste de vérifications, aucun manuel, ni aucun supplément au manuel de vol n'a été retrouvé à bord de l'appareil. La seule liste de vérifications disponible à bord était le terme mnémotechnique « GUMP », qui était inscrit sur une étiquette collée sur le montant de gauche de l'entretoise en V. Ce terme, qui est souvent enseigné comme une liste de vérifications simplifiée à utiliser avant le décollage, sert à rappeler au pilote de vérifier le carburant, le train, la richesse et l'hélice (Gas, Undercarriage, Mixture, and Propeller).

Qualifications des pilotes

Le CdB détenait une licence valide de pilote de ligne et était qualifié pour piloter des avions terrestres et des hydravions mono- et multimoteurs ainsi que de nombreux types d'hélicoptère. Il volait sur avion à voilure fixe depuis 1980 et totalisait plus de 21 000 heures de vol. Il était médicalement APTE, en catégorie 1, ayant pour seule obligation médicale de porter des verres correcteurs.

L'autre pilote détenait une licence de pilote professionnel - hélicoptère et une licence de pilote privé - avion valides. Il était qualifié pour piloter des avions terrestres et des hydravions monomoteurs et totalisait environ 9 000 heures de vol. Il était médicalement APTE, en catégorie 1, ayant pour seule obligation médicale d'avoir à sa disposition des verres correcteurs.

Les deux pilotes satisfaisaient aux exigences du maintien de la compétence pour des vols privés et possédaient de l'expérience en matière d'appareils amphibies, mais, en règle générale, aucun des deux pilotes accidentés n'utilisait de liste de vérifications formelle durant les vols sur hydravion.

Après examen de l'enchaînement des événements, il est clair que le disjoncteur de la pompe hydraulique du train d'atterrissage s'était déclenché avant le dernier décollage de Chilliwack. D'après la configuration du système sur les lieux de l'accident, il est probable que le disjoncteur s'est déclenché après que le train a été sorti pour l'atterrissage à Chilliwack.

Au départ de Chilliwack, le pilote a placé le sélecteur du train d'atterrissage en position UP. Parce que le disjoncteur de la pompe hydraulique s'était déjà déclenché, la pompe hydraulique n'a pas fonctionné et le train d'atterrissage est demeuré sorti. Une inspection avant-vol effectuée conformément au manuel de vol de l'appareil aurait probablement permis de s'apercevoir que le disjoncteur s'était déclenché et de le réenclencher avant de démarrer le moteur. Lorsque le sélecteur de position du train d'atterrissage a été placé en position UP après le décollage, les deux pilotes étaient concentrés à surveiller la circulation locale et aucun des pilotes n'a remarqué que le train d'atterrissage n'était pas rentré. De plus, le sélecteur d'intensité des voyants du train d'atterrissage était placé en position DIM, ce qui réduisait la perceptibilité des voyants lumineux.

Hormis une description du système, le supplément au manuel de vol des Wipline ne comporte pas de liste de vérifications spécifique requérant que le pilote vérifie que le train d'atterrissage est bien rentré après le décollage d'une piste. Néanmoins, le CTS de Wipline exige l'ajout de certaines affichettes sur les panneaux de l'appareil. L'une de ces affichettes doit être apposée près du levier de commande du train d'atterrissage et indiquer « UP - WATER » et « DOWN - LAND ». Dans le cas de cet accident, les affichettes du panneau de l'appareil n'offraient pas une prévention efficace : le levier du train d'atterrissage avait été placé en position « UP - WATER », mais le train était demeuré sorti. Une liste de vérifications plus détaillée, plutôt qu'une simple description du système, aurait permis de réduire les risques d'accident. Il n'existe à l'heure actuelle aucune exigence quant à fournir une liste de vérifications ou à incorporer des points requis par le CTS dans les procédures de liste de vérifications de l'avionneur d'origine.

Durant leur approche sur le lac Cultus, les deux pilotes qualifiés se sont consultés sur la nécessité de rentrer le train d'atterrissage pour un amerrissage. Ils n'ont cependant pas vérifié la position du train au moyen de toutes les mesures de précaution disponibles :

• Les pilotes n'ont pas remarqué que les quatre voyants de position du train d'atterrissage allumés étaient verts et non bleus (comme indiqué dans le supplément au manuel de vol).
• Les pilotes n'ont pas remarqué que les voyants allumés ne correspondaient pas à la position du levier du train. Bien que le supplément au manuel de vol décrive correctement le fonctionnement du train d'atterrissage, la relation existant entre les voyants et la position du levier peut ne pas être claire pour tous les pilotes, car les affichettes sont placées près du levier du train d'atterrissage plutôt que près des voyants lumineux.
• Les pilotes n'ont pas utilisé les indicateurs visuels externes de configuration du train d'atterrissage.

Le réglage du sélecteur d'intensité sur DIM peut avoir nui à la capacité des pilotes de distinguer quel jeu de voyant était allumé.

Les pilotes auraient probablement remarqué la contradiction existant entre la configuration du train d'atterrissage et l'information disponible dans le poste de pilotage s'ils avaient correctement utilisé une liste de vérifications ou le supplément au manuel de vol, ou bien encore mieux compris les mesures de précautions associées au train d'atterrissage.

Bien que le commandant de bord de ce vol ait été au courant des problèmes de fonctionnement antérieurs du train d'atterrissage, ni ces problèmes, ni l'intervention de maintenance qui s'en était suivie, n'avaient été notés dans le carnet de route ou dans le carnet technique de l'appareil. Faute de ces renseignements, tout autre pilote qui aurait pu par la suite être amené à piloter cet appareil n'aurait pas été informé des problèmes de fonctionnement intermittents du train d'atterrissage qui avaient été observés et aurait ainsi été exposé à des risques accrus.

Faits établis quant aux causes et facteurs contributifs

1. Un manocontact du circuit du train d'atterrissage a connu une défaillance à l'arrivée à Chilliwack, ce qui a entraîné un fonctionnement prolongé de la pompe hydraulique et le déclenchement du disjoncteur du train d'atterrissage.
2. La vérification avant départ de l'appareil a été incomplète : les pilotes ne se sont pas assurés que tous les disjoncteurs étaient enclenchés (IN) avant de démarrer le moteur.
3. Après le départ de Chilliwack, le pilote a tiré le sélecteur de position du train d'atterrissage en position UP. Néanmoins, parce que le disjoncteur s'était déclenché, la pompe n'a pas fonctionné et le train d'atterrissage est demeuré sorti.
4. Les pilotes ont omis de vérifier visuellement la position du train d'atterrissage avant d'amerrir et n'ont pas remarqué que les voyants du train d'atterrissage indiquaient que le train était en position DOWN.
5. L'appareil a amerri avec le train d'atterrissage sorti, ce qui a entraîné son capotage.
6. L'appareil était exploité avec un manocontact de train d'atterrissage défectueux. Le pilote était au courant de cette défectuosité.

Faits établis quant aux risques

1. Le manuel de vol de l'appareil et les listes de vérifications associées n'étaient pas disponibles à bord de l'appareil et n'ont donc pas été utilisés par l'équipage.
2. Le sélecteur d'intensité des voyants du train d'atterrissage étant réglé sur DIM, il était plus difficile de distinguer quel jeu de voyants lumineux était allumé dans des conditions d'exploitation diurnes.
3. Ni le problème de train d'atterrissage, ni l'intervention de maintenance qui s'en était suivie n'avaient été notés dans le carnet de route ou dans le carnet technique de l'appareil, de sorte que les pilotes qui auraient pu par la suite être amenés à piloter cet appareil n'auraient pas été informés des problèmes de fonctionnement intermittents du train d'atterrissage qui avaient été observés et auraient ainsi été exposés à des risques accrus.

Le présent rapport met fin à l'enquête du Bureau de la sécurité des transports sur cet accident. Le Bureau a autorisé sa publication le 26 juin 2002.