Rapport d'enquête aéronautique A05W0222

Le Boeing 737-900 de la compagnie Alaska Airlines Inc. (immatriculation N317AS, numéro de série 30856) doit décoller de l'aéroport international de Calgary (Alberta) à 7 h, heure normale des Rocheuses, pour son premier vol de la journée, à destination de l'aéroport de Los Angeles (Californie), aux États-Unis. L'avion est refoulé sur l'aire de trafic à partir de la porte d'embarquement 26. Après avoir mis le moteur gauche en marche et n'avoir décelé aucun problème, l'équipage lance le démarrage du moteur droit. Pendant la séquence de démarrage, des flammes et une grande quantité de fumée s'échappent de la tuyère du moteur droit, et de la fumée pénètre dans la partie arrière de la cabine. Les moteurs sont coupés et on procède à l'évacuation de la totalité des 113 passagers par les glissières d'évacuation des deux portes principales de gauche, à l'abri de l'incendie dans la tuyère du moteur droit. L'équipage de conduite demande l'aide des services de sauvetage et de lutte contre les incendies d'aéronefs, et les camions arrivent pendant l'évacuation des passagers. À ce moment-là, il n'y a plus de flammes ni de fumée. Aucun passager ni membre d'équipage n'est blessé. L'examen initial a déterminé que l'incendie a été confiné à l'intérieur du circuit d'écoulement gazeux du moteur (CFM 56-7B26, numéro de série 890392). Le moteur et la structure de l'avion n'ont subi aucun dommage.

Les pilotes ne pouvaient pas facilement voir les flammes et la fumée depuis le poste de pilotage. Les images prises par une caméra de surveillance de l'aéroport montrent qu'un vent traversier repoussait la fumée vers la gauche et l'arrière de l'avion. À 7 h 1 min 17, heure normale des Rocheuses^{Footnote 1}, 31 secondes après le lancement du démarrage du moteur droit, l'équipage d'un avion qui se trouvait à proximité a informé les pilotes, par radio, du coup de chalumeau^{Footnote 2}. Onze secondes après l'appel, le commandant de bord a coupé le moteur droit mais a laissé le moteur gauche en marche. Le conducteur du remorqueur de refoulement et le personnel de cabine ont signalé aux pilotes, par le système d'interphone de l'avion, qu'ils pouvaient voir de la fumée et des flammes du côté droit. Le poste de pilotage a accusé réception de ces appels.

À 7 h 2 min 28, le commandant de bord a informé le chef de cabine, par le système d'interphone, que les pilotes étaient au courant de l'incendie et qu'ils se penchaient sur le problème. Au même moment, l'agent de bord a informé le commandant de bord que de la fumée avait commencé à s'infiltrer dans la partie arrière de la cabine. Les deux groupes de conditionnement d'air avaient été arrêtés pour le démarrage, mais le groupe auxiliaire de bord (APU) était en marche. Dans ces conditions, il est possible que de la fumée entre à l'arrière de la cabine en passant par l'entrée d'air de l'APU puis par le système de conditionnement d'air et enfin par les évents de plancher de la partie arrière de la cabine.

Les passagers assis à l'arrière de l'avion étaient impatients de sortir en raison des flammes visibles par les hublots et de l'irritation causée par la fumée dans la cabine. Le chef de cabine, qui se trouvait à l'avant de la cabine, a appelé le poste de pilotage à 7 h 2 min 56 pour savoir s'il y aurait évacuation des passagers. Le commandant de bord a décidé d'attendre de connaître la gravité de la situation avant de décider de procéder à l'évacuation. L'équipage de conduite a reçu plusieurs appels contenant des renseignements pertinents de différentes sources externes tout au long de l'événement. Le commandant de bord a demandé au copilote de commencer à exécuter la liste de vérifications en cas d'incendie dans la tuyère à 7 h 3 min 1.

À 7 h 3 min 28, le chef de cabine a reconfirmé la présence de fumée dans la cabine, a mentionné le niveau d'anxiété des passagers et s'est informé de nouveau à propos d'une évacuation. Après que le personnel de cabine a demandé de pouvoir discuter directement du problème, le copilote a déverrouillé la porte du poste de pilotage. En raison du niveau élevé de bruit dans la cabine, les agents de bord n'ont pas entendu que le verrou avait été retiré et la porte du poste de pilotage est restée fermée.

Le commandant de bord a demandé, sur la fréquence du contrôle de l'aire de trafic, l'intervention des services de sauvetage et de lutte contre les incendies d'aéronefs (SLIA). À 7 h 4 min 28, 3 minutes et 11 secondes après avoir reçu le premier appel d'avertissement, et après avoir déterminé qu'il n'y avait aucun danger à ouvrir les portes de gauche, le commandant de bord a ordonné une évacuation d'urgence par les glissières d'évacuation des portes de gauche uniquement. Le manuel d'exploitation de la compagnie et la liste de vérifications d'évacuation exigent que les moteurs soient coupés avant que les portes soient ouvertes. Lorsque le personnel de cabine a ouvert les portes de gauche, l'équipage de conduite n'avait pas atteint le point d'arrêt du moteur gauche sur la liste de vérifications d'évacuation. Même si le moteur a été coupé 15 secondes après l'ordre d'évacuation, la glissière déployée a battu momentanément le sol en raison de l'écoulement d'air provenant du moteur gauche en décélération.

L'évacuation des passagers s'est déroulée sans problème avec l'aide de l'équipe de refoulement et de deux passagers désignés par le personnel de cabine. Les passagers ont été escortés par l'équipe au sol et par des agents d'une autre compagnie aérienne pour traverser l'aire de trafic et se rendre à une aire d'attente dans l'aérogare. Les membres de l'équipage de conduite et du personnel de cabine sont restés à bord jusqu'à ce que tous les passagers soient sortis, puis ils sont sortis par un escalier mobile. Pour pouvoir se rendre du côté droit de l'avion, le conducteur d'un camion à incendie a décidé de passer dans un espace dégagé dans la file de passagers qui se rendaient à l'aérogare (voir figure 1). Une zone de construction située du côté droit de l'avion bloquait l'accès dans ce sens. La visibilité et les conditions de luminosité permettaient à l'équipage du camion de bien voir les passagers. Lorsque les passagers ont vu que le camion, dont les feux clignotaient, s'était arrêté, ils ont dégagé un espace et le camion a pu passer sans problème. Tous les passagers avaient été évacués à 7 h 8 min 0, 6 minutes et 43 secondes après que l'équipage de conduite a reçu le premier appel d'avertissement.

Image

L'analyse des données de l'enregistreur numérique de données de vol, effectuée au Laboratoire technique du BST, a révélé que, à l'arrivée du carburant au moment du démarrage du moteur droit (CFM 56-7B26, numéro de série 890392), le débit carburant était passé immédiatement à près de 8000 livres à l'heure (lb/h). Le débit carburant normal au démarrage est d'environ 800 lb/h. Ce débit élevé s'est maintenu pendant 43 secondes, jusqu'à ce que la commande d'arrêt carburant du moteur soit actionné. Pendant le démarrage, le voyant indicateur de commande moteur droit et le voyant d'avertissement principal se sont allumés, indiquant que la position du doseur de carburant ne correspondait pas au réglage demandé. La vitesse de la turbine du compresseur basse pression (N1) n'a pas augmenté au-delà de 12 pour cent tandis que celle du moteur gauche s'était stabilisée à 23 pour cent. Aucune alarme incendie moteur ne s'est déclenchée dans le poste de pilotage, et il n'y a eu aucune indication de température excessive des gaz d'échappement associée généralement à un incendie moteur. Par conséquent, les pilotes n'ont pas actionné le système d'extinction d'incendie moteur.

Image

Le système régulateur de débit carburant du moteur CFM 56-7B26 est un système de régulation automatique à pleine autorité redondante (FADEC) qui mesure le débit carburant pour toutes les conditions de fonctionnement du moteur. Le dispositif hydromécanique réagit aux signaux électriques provenant d'une commande moteur électronique. La fonction de dosage de carburant du dispositif hydromécanique est assurée par un des six servodistributeurs électro-hydrauliques intégrés à quatre voies qui, à tour de rôle, commandent le doseur de carburant. Le servodistributeur électro-hydraulique du doseur de carburant comporte deux étages, à savoir un amplificateur fluidique (premier étage) et un distributeur à tiroir (deuxième étage). L'amplificateur fluidique dirige un petit jet de carburant vers deux orifices qui envoient ce carburant à une des deux extrémités du distributeur à tiroir. La position de la buse de l'amplificateur fluidique est déterminée par les données sur le moteur couple fournies par la commande moteur électronique, et le débit de carburant est réparti entre les deux orifices en fonction des commandes du moteur couple (voir figure 2). Le dispositif hydromécanique (modèle CH-T1, référence 442317-9, numéro de série BECW1597) avait été fabriqué par Honeywell International Inc. et comptait 3257 heures de fonctionnement depuis la dernière révision. La commande moteur électronique avait été fabriquée par BAE Systems.

Il n'a pas été possible de reproduire le débit carburant excessif pendant les essais de fonctionnement effectués sur le dispositif hydromécanique et la commande moteur électronique, autant lorsqu'ils étaient jumelés que séparés. Les essais effectués sur les composants éélectroniques et le logiciel de la commande moteur électronique n'ont révélé aucune anomalie qui aurait pu provoquer le débit carburant excessif.

Après avoir démonté et inspecté visuellement la conduite de pulvérisation du servodistributeur électro-hydraulique du doseur de carburant, on a découvert un surplus de métal d'apport sur le joint entre la buse et le collet à ressort de rétroaction de la conduite de dérivation, qui dépassait au-dessus de la buse de la conduite de pulvérisation (voir photo 2). Le joint brasé entre le collet à ressort de rétroaction et la buse de la conduite de pulvérisation aurait dû former un angle, et aucun métal d'apport n'aurait dû dépasser au-delà de la surface de la conduite de pulvérisation (voir photo 1). L'écartement requis entre la buse et le collecteur varie entre 0,0005 et 0,0008 po. L'écartement à l'extrémité de la buse en question était de 0,0001 à 0,00048 po en raison de l'excédent de métal d'apport. Un filtre à carburant de 73 microns empêchait les particules de plus de 0,0003 po de passer à travers le premier étage.

Image

Image

En démontant la bobine et l'aimant du premier étage du servodistributeur électro-hydraulique du doseur de carburant, on a découvert qu'une rondelle d'étanchéité superflue était coincée entre la bobine C1 et la pièce polaire inférieure. Rien n'indique que cette rondelle a nui au fonctionnement du dispositif. On a déterminé que la rondelle, qui aurait dû être jetée, est restée collée à la bobine magnétique réutilisée lorsque les deux composants ont été mis en contact par mégarde pendant la révision du servodistributeur électro-hydraulique du doseur de carburant aux installations de Honeywell International Inc. Les procédures normalisées de révision des dispositifs ne précisent pas de séparer les pièces à jeter de celles à réutiliser, précision qui aurait pu empêcher la contamination par un corps étranger (rondelle) au moment de l'assemblage.

Selon le programme d'assurance de la qualité du constructeur, des vérifications indépendantes sont effectuées avant que les composants soient mis en circulation, mais ces vérifications n'ont pas permis de déceler le surplus de métal d'apport dans le cas présent. Aucun autre cas de surplus de métal d'apport ni de contamination par un corps étranger n'a été découvert à la suite de l'examen des cinq autres servodistributeurs électro-hydrauliques du dispositif hydromécanique en question ainsi que de l'inspection de 117 autres servodistributeurs électro-hydrauliques.

Selon les procédures du Manuel de vol de la compagnie Alaska Airlines Inc., les deux pilotes doivent vérifier N1 pendant le démarrage du moteur afin de confirmer le régime du moteur avant de commander l'arrivée du carburant. Ensuite, les pilotes doivent vérifier le débit carburant, la température des gaz d'échappement et la pression d'huile. Ils doivent aussi vérifier le régime du moteur indiqué par N2 (vitesse de la turbine du compresseur haute pression) afin de s'assurer que le commutateur de démarrage moteur se dégage à 56 pour cent. Dans le Manuel de vol, toute anomalie au niveau de N1, de N2, de la température des gaz d'échappement et de la pression d'huile constitue une condition justifiant l'interruption du démarrage. Par contre, le Manuel de vol ne fournit aucune directive sur les mesures que l'équipage doit prendre lorsque les indications de débit carburant sont anormales.

À bord de l'avion Boeing 737-900 de la compagnie Alaska Airlines Inc., le débit carburant est indiqué sous forme numérique sur le dispositif d'affichage moteur secondaire du tableau de bord selon une échelle de milliers de livres par heure, arrondi à 10 livres près. Par exemple, 820 lb/h se lit 0,820 tandis que 8200 lb/h se lit 8,200. Pendant le démarrage, le débit carburant normal devrait être d'environ 800 lb/h. L'affichage numérique du débit carburant ne changeait pas de couleur afin d'indiquer que les valeurs ne respectaient pas les limites de fonctionnement normales, contrairement à ce qui est prévu sur d'autres instruments.

La façon optimale de présenter les renseignements sur le moteur dépend, en partie, de la raison pour laquelle les renseignements sont requis et du temps dont dispose l'utilisateur du système pour les analyser. Les affichages numériques sont efficaces lorsqu'on a besoin d'une valeur numérique précise qu'il faut noter ou utiliser dans un calcul et que la valeur ne change pas continuellement. Les affichages analogiques sont plus utiles lorsque l'utilisateur a besoin d'un taux, d'un changement de direction ou de renseignements sur l'état d'un système, et que les valeurs changent souvent ou continuellement^{Footnote 3}, ^{Footnote 4}. Afin de déterminer si un système fonctionne normalement uniquement à partir d'un affichage numérique, l'utilisateur doit :

• connaître la plage des valeurs normales prévues;
• lire la valeur affichée;
• comparer cette donnée à la plage des valeurs normales;
• déterminer si la valeur affichée se trouve dans la plage prévue.

Les équipages de conduite doivent consacrer plus de ressources cognitives et de temps pour interpréter correctement un affichage purement numérique.

Image

À bord de l'avion en question, N1, N2 et la température des gaz d'échappement sont indiquées au moyen d'un affichage numérique combiné à un indicateur circulaire analogique stylisé, qui permet de voir facilement le taux de changement et les différences entre les moteurs. De plus, lorsque les plages normales sont dépassées, la couleur de l'indicateur et / ou du chiffre change. La pression d'huile, la température et les vibrations moteur sont aussi indiquées au moyen d'affichages numérique et analogique verticaux qui donnent des renseignements sur les tendances avec codes de couleur. La quantité d'huile moteur est indiquée par un affichage numérique qui change de couleur lorsque le niveau est bas. Le débit de carburant est indiqué par un affichage numérique uniquement, sans changement de couleur (voir figure 3).

Boeing offre une configuration d'affichage côte à côte pour les données moteur qui donne le débit de carburant sous forme numérique et analogique. Cette option n'a pas été retenue pour les avions Boeing 737-900 de nouvelle génération de la compagnie Alaska Airlines Inc. afin d'assurer l'uniformité entre tous les modèles de Boeing 737 de la flotte.

L'écartement réduit entre la buse et le collecteur dans le servodistributeur électro-hydraulique du doseur de carburant faisait en sorte que cette zone aurait pu être sujette au blocage en raison d'une contamination par des particules. Il se peut que de petites particules étrangères aient traversé le filtre de 73 microns et nui temporairement au déplacement de la buse. Pour que le débit de carburant soit aussi élevé au moment du démarrage moteur, la buse a probablement été maintenue dans une position d'où elle projetait presque tout le carburant dans l'orifice du collecteur qui commande un débit élevé de carburant. Le débit carburant au démarrage a donc dépassé les paramètres de démarrage normaux par un facteur de 10. L'examen ultérieur d'autres dispositifs soumis pour inspection et révision après l'incident n'a révélé aucun défaut de fabrication semblable. Par conséquent, il s'agit probablement d'un incident isolé.

Avec un affichage combiné numérique et analogique du débit de carburant, l'équipage de conduite aurait peut-être pu identifier plus facilement le débit anormal au moment du démarrage du moteur droit. L'équipage a porté une attention particulière à N2, à la température des gaz d'échappement et à la pression d'huile jusqu'à ce que le moteur se stabilise au ralenti, ce qui, en plus du type d'affichage du débit de carburant, explique comment il aurait pu ne pas remarquer le débit anormal de carburant.

Le mélange carburant / air à l'intérieur du moteur était extrêmement riche, et presque tout le surplus de carburant a été expulsé du moteur et s'est enflammé au-delà de la zone où se trouvent les capteurs de température des gaz d'échappement. La température des gaz d'échappement n'a donc pas dépassé la plage normale au démarrage. Les flammes ne se trouvaient pas à proximité du système d'alarme incendie qui est conçu pour détecter les incendies plus sérieux sous le capot, et le voyant d'alarme incendie du poste de pilotage ne s'est pas allumé. Les seuls éléments qui indiquaient un démarrage anormal étaient le voyant annonciateur de commande moteur droit et le voyant d'avertissement principal, la diminution de N1 et le changement rapide de l'affichage numérique du débit de carburant. Les instruments ne fournissaient aucune indication précise et facile à identifier sur le débit élevé de carburant et le coup de chalumeau. Les pilotes ne pouvaient pas facilement voir l'importante quantité de flammes et de fumée depuis le poste de pilotage, et ils recevaient de nombreux renseignements à la suite d'appels provenant de différentes sources.

Après avoir été informés de l'incendie moteur, les pilotes ont concentré leurs efforts à déterminer la gravité de la situation et à intervenir en utilisant les listes de vérifications appropriées. Étant donné que le personnel de cabine ne s'était pas rendu compte que le copilote avait déverrouillé la porte du poste de pilotage, celle-ci est restée fermée et les pilotes ont dû se contenter de communiquer avec le chef de cabine par interphone pour savoir quelle quantité de fumée était entrée dans la cabine. Si la porte avait été ouverte, les pilotes auraient probablement vu la fumée et ils auraient pu communiquer directement avec le personnel de cabine et ordonner plus tôt l'évacuation des passagers.

L'enquête a donné lieu au rapport de laboratoire suivant :

• LP 112/2005 – Data Recorders Analysis (Analyse d'enregistreurs de données)

On peut obtenir ce rapport en s'adressant au Bureau de la sécurité des transports du Canada.

Faits établis quant aux causes et aux facteurs contributifs

1. Un surplus de métal d'apport sur une buse de la conduite de pulvérisation des servodistributeurs électro-hydrauliques révisés a réduit la zone d'écartement dans laquelle des particules se sont accumulées et a provoqué un blocage qui a maintenu la buse dans une position commandant un débit élevé de carburant.
2. Le système d'assurance de la qualité du constructeur n'a pas permis de déceler le surplus de métal d'apport sur la buse de la conduite de pulvérisation, et la buse a été remise en service.
3. Un surplus de carburant non brûlé, provoqué par un débit carburant excessif, s'est enflammé à la sortie du moteur et de la tuyère, provoquant un violent coup de chalumeau externe.

Faits établis quant aux risques

1. Lorsque l'ordre d'évacuation a été donné, la liste de vérifications d'évacuation n'avait pas été exécutée en entier et, par conséquent, le moteur gauche ne s'était pas encore arrêté. Au moment d'ouvrir la porte gauche arrière et de déployer la glissière, l'écoulement d'air provenant du moteur aurait pu causer des blessures aux passagers voulant utiliser la glissière.
2. Le fait que la porte du poste de pilotage soit restée fermée a probablement réduit l'efficacité des communications entre le personnel de cabine et l'équipage de conduite et empêché les pilotes de voir par eux-mêmes la quantité de fumée dans la cabine.

Autre fait établi

1. Il se peut que l'affichage numérique du débit de carburant ait influé sur la capacité de l'équipage de conduite à déceler le débit de carburant anormal pendant le démarrage du moteur n^o 2.

Honeywell International Inc.

Honeywell International Inc. a inspecté tous les servodistributeurs électro-hydrauliques retournés pour révision depuis l'incident. En date du 15 juin 2006, 117 servodistributeurs ont été retournés et inspectés, et aucune anomalie n'a été décelée. Le processus de révision a été soumis à un contrôle interne de la qualité, et des modifications y ont été apportées pour éviter que l'incident se reproduise. Les processus ci-dessous ont aussi été mis en place :

• formation des préposés au brasage et des inspecteurs;
• introduction de vérifications trimestrielles par des pairs;
• ajout d'une étape d'inspection de la qualité pour tous les joints brasés révisés;
• introduction de vérifications annuelles des processus;
• séparation complète des composants à rejeter de ceux à réutiliser pendant le démontage, le nettoyage et l'assemblage.

Alaska Airlines Inc.

La compagnie Alaska Airlines Inc. a revu son programme de formation pour s'assurer que les équipages de conduite exécutent la liste de vérifications d'évacuation d'urgence en entier avant d'ordonner une évacuation.

Calgary Airports Authority

Le personnel des opérations aériennes de la Calgary Airports Authority et les locataires de l'aéroport international de Calgary ont discuté des dangers liés à l'exploitation des véhicules de piste à proximité des passagers qui débarquent pendant les situations d'urgence ainsi que des mesures d'atténuation à prendre.

Le présent rapport met un terme à l'enquête du Bureau de la sécurité des transports (BST) sur cet événement. Le Bureau a autorisé la publication du rapport le 13 juin 2007.