Rapport d'enquête aéronautique A06P0123

À 8 h 30, heure avancée des Rocheuses, à l'aéroport de Grande Prairie (Alberta), l'hélicoptère Eurocopter AS 350 B2 (immatriculation C-GBHH; numéro de série 3180) de Highland Helicopters Limited repose sur une surface en dur aménagée à l'extérieur du hangar de la compagnie, et son rotor tourne au régime de vol. Le pilote est en train d'effectuer la séquence d'essais des accumulateurs des servovérins hydrauliques avant vol lorsque, pendant la vérification du servovérin latéral, l'hélicoptère s'incline brusquement vers l'arrière et prend l'air.

Le pilote ne peut rabaisser le levier de pas collectif et est incapable d'empêcher l'hélicoptère de s'élever à environ 15 pieds au-dessus du sol. L'hélicoptère vire alors à gauche, descend en cabré et bascule sur la droite. Les pales du rotor principal heurtent le sol et se rompent, et le fuselage retombe au sol sur le côté droit. Le pilote n'est pas blessé, mais l'hélicoptère subit de lourds dommages; il n'y a pas d'incendie. Un hélicoptère voisin est légèrement endommagé, mais personne n'est blessé au sol. L'accident se produit de jour dans des conditions météorologiques de vol à vue en air calme.

Déroulement du vol

Après un démarrage sans problème, le pilote de C-GBHH a commencé sa séquence normale d'essais hydrauliques avant vol. En préparation de cet essai avant vol, le pilote engage le verrou du levier de pas collectif dans le poste de pilotage et établit un régime rotor (Nr) de 100 pour cent, comme l'exige la procédure approuvée.

Image

Il avait l'habitude de sélectionner HYD TEST sur le commutateur d'essai des accumulateurs hydrauliques situé sur la console centrale « VanIsle » (voir le cercle rouge sur la Photo 2) et de déplacer le manche de pas cyclique un certain nombre de fois (normalement de 12 à 15 sollicitations) dans deux sens donnés (longitudinalement et transversalement) pour vider les accumulateurs des servovérins. Le pilote effectuait habituellement ces deux tâches dans le même ordre chaque fois : d'abord le servovérin avant, puis les servovérins latéraux.

Image

Le pilote a remarqué que l'accumulateur du servovérin avant s'est vidé après 14 sollicitations longitudinales du manche de pas cyclique, ce qui correspondait à ce dont il avait l'habitude. Il était sur le point de continuer avec les accumulateurs des servovérins latéraux de la séquence d'essai lorsqu'il a aperçu le technicien d'entretien d'aéronef (TEA) présent s'approcher de l'hélicoptère par la droite, le carnet de bord de l'hélicoptère en main, indiquant qu'il désirait remettre le carnet au pilote. Dans cet hélicoptère AS 350 B2, le pilote est assis en place droite. Le pilote a alors fait une pause dans sa séquence d'essai, a remis les commandes de vol au neutre pour permettre au TEA de passer en toute sécurité sous le disque rotor. Une fois le TEA rendu à la porte de droite du poste de pilotage, le pilote a repris l'essai des accumulateurs des servovérins latéraux.

Le pilote n'avait sollicité le manche de pas cyclique latéralement que cinq fois lorsque le nez de l'hélicoptère a commencé à se soulever. Le pilote a été incapable d'empêcher l'hélicoptère de continuer à se soulever, et le TEA s'est rapidement écarté de sa position à la droite du poste de pilotage. Malgré les efforts du pilote pour abaisser le levier de pas collectif et empêcher le nez de monter, l'hélicoptère a pris l'air dans un cabré accentué.

L'hélicoptère a rapidement dérivé vers l'arrière, hors de l'aire de trafic asphaltée, a pivoté d'environ 90° sur la gauche, et le sabot de queue de la contre-dérive a heurté le sol et labouré la surface en gravier se trouvant alors au-dessous. L'hélicoptère a glissé vers l'arrière et a basculé sur la droite, et les patins d'atterrissage ainsi que pales du rotor principal ont percuté le sol. À la suite de ce lourd contact avec le sol, l'hélicoptère a basculé sur le côté droit. La tête de rotor et les pales du rotor principal ont été détruites, les pales éclatant en morceaux pour être projetées sur une grande surface. Au même moment, la partie arrière de la poutre de queue s'est rompue près du point de fixation avant du stabilisateur, et le rotor de queue a été arraché de l'extrémité de la poutre de queue.

Après le basculement dynamique, le moteur a continué à fonctionner brièvement, la boîte de transmission principale et la tête de rotor ont continué à tourner jusqu'à ce que le pilote actionne la poignée des gaz et les leviers de coupure d'alimentation en carburant pour couper le moteur. Pendant ces événements, le pilote n'a pas actionné le bouton de coupure hydraulique ni remis en position le commutateur d'essai hydraulique. Le pilote a par contre tenté d'abaisser le levier de pas collectif, mais il a été incapable de le déplacer.

Résistance à l'impact

Il était possible de survivre à cet accident, et le pilote a quitté l'hélicoptère par l'ouverture créée par l'éclatement du pare-brise droit. En général, les structures du poste de pilotage et de la cabine n'avaient pas été substantiellement endommagées, et le volume occupable n'a pas été compromis. Seuls le pare-brise, la structure de la porte du pilote, le siège du pilote et les rails de support du siège ont subi de graves dommages attribuables aux forces de l'impact et du basculement dynamique.

Renseignements sur l'hélicoptère

La base de certification des hélicoptères de série AS 350 est la Federal Aviation Regulation (FAR) 27 des États-Unis, catégorie normale, en vigueur le 1^er février 1965, y compris les modificatifs 27-1 à 27-10. Comme la France est le pays de conception, l'autorité de l'aviation civile française, la Direction Générale de l'Aviation Civile (DGAC), a délivré le certificat de type du produit d'origine (H9EU) pour l'AS 350 B en octobre 1977.

En juin 1978, l'organisme de réglementation de l'aviation civile au Canada, Transports Canada, a délivré le certificat de type canadien numéro H-83 à l'AS 350. En décembre 1990, Transports Canada a certifié l'AS 350 B2. La DGAC est récemment devenue l'Agence européenne de la sécurité aérienne (AESA), mais a conservé les mêmes fonctions de certification.

Maintenance de l'hélicoptère

Les carnets et les dossiers de maintenance de l'hélicoptère indiquent que ce dernier était certifié, équipé et entretenu conformément à la réglementation canadienne en vigueur et aux procédures approuvées.

Renseignements sur le moteur

Le moteur monté dans l'hélicoptère accidenté était un Turbomeca Arriel 1D1 (numéro de série 9631) et il n'a pas été endommagé. Les carnets du moteur indiquent que celui-ci avait subi une maintenance et un entretien courant conformes à la réglementation canadienne en vigueur et aux procédures approuvées. Compte tenu du déroulement des événements rapportés, l'enquête a écarté des circonstances de l'accident un problème de rendement ou un défaillance mécanique du moteur.

Masse et centrage de l'hélicoptère

La masse brute maximale certifiée pour ce modèle d'hélicoptère est de 4961 livres. Des calculs effectués après l'accident révèlent qu'au moment de l'accident l'hélicoptère avait une masse d'environ 4040 livres et que le centre de gravité longitudinal se situait à environ 136,5 pouces du point de référence. Les valeurs de masse et de centrage s'inscrivaient dans les limites prescrites dans le manuel de vol du giravion approuvé par Transports Canada.

Le centre de gravité, par contre, se situait près de la limite arrière (voir la Figure 1). Un centre de gravité arrière en vol exige que le pilote tienne le manche de pas cyclique plus vers l'avant qu'en temps normal, ce qui réduit la course disponible vers l'avant du manche de pas cyclique. Dans les cas de course limitée du manche de pas cyclique en vol, la longueur disponible de la course du manche de pas cyclique vers l'avant pourrait être insuffisante pour permettre au pilote de maîtriser l'hélicoptère.

Image

Renseignements sur le pilote

Les dossiers montrent que le pilote était titulaire de la licence et des qualifications l'autorisant à exécuter le vol conformément à la réglementation en vigueur de Transports Canada, et qu'il était titulaire d'une licence valide de pilote professionnel d'hélicoptère au Canada (CPL (H)). Son expérience de vol totalisait environ 2100 heures de vol sur des hélicoptères légers similaires, environ 850 heures sur l'hélicoptère AS 350, et il travaillait depuis tout juste un peu plus de trois ans pour l'exploitant.

En mars 2006, le pilote avait reçu la formation au pilotage offerte par la compagnie sur hélicoptère AS 350 B2, et il avait subi des simulations de défaillance hydraulique auxquelles il avait correctement réagi. Immédiatement après cette formation, le pilote avait réussi son contrôle de compétence pilote le plus récent sur l'hélicoptère AS 350 B2.

Système hydraulique des commandes de vol

Description générale

En vol, les charges exercées sur les commandes de vol de l'hélicoptère, principalement attribuables aux forces aérodynamiques, sont habituellement considérables. Les commandes de vol de l'hélicoptère AS 350 B2 sont assistées par un seul système hydraulique qui réduit la charge de travail du pilote en vol grâce à des servovérins qui absorbent ces charges sur les commandes, ce qui permet au pilote de piloter l'hélicoptère avec précision et moins d'efforts. La pression normale du système hydraulique est de 40 bars (580 livres par pouce carré (lb/po²)). En cas de perte de pression hydraulique, toutefois, les charges exercées sur les commandes de vol ne sont pas compensées. L'hélicoptère peut être piloté sans l'aide des servovérins hydrauliques, mais le pilote doit alors exercer une force musculaire considérable, difficile à évaluer avec précision, et, dans certains vols prolongés, elle peut dépasser la résistance physique ou l'endurance du pilote^{Note de bas de page 1}. L'AS 350 B2 est aussi équipé d'un compensateur de charges en lacet qui absorbe une bonne partie de la force de réaction aérodynamique générée par le rotor de queue.

Les servovérins de l'hélicoptère de la série AS 350 sont fabriqués par deux fabricants agréés : Goodrich Actuation Systems (SAMM) et Dunlop. Sauf pour une légère différence dans le fonctionnement du tiroir, les deux vérins présentent un montage et un fonctionnement identiques. Selon Eurocopter, l'hélicoptère peut être équipé de servovérins SAMM ou Dunlop ou des deux.

Fonctionnement des servovérins hydrauliques

En tout, il y a quatre servovérins hydrauliques : trois servovérins dans le rotor principal (un longitudinal et deux latéraux) assurent la commande en tangage et en roulis du pas cyclique ainsi que la commande du pas collectif, et un servovérin de rotor de queue assure la commande en lacet. Chacun des quatre servovérins comprend un vérin hydraulique proprement dit, un accumulateur de pression et un robinet à solénoïde (aussi appelé électrorobinet). Hormis des différences de montage sur la cellule, les quatre servovérins montés dans la timonerie sont identiques. Le servovérin du rotor de queue comprend le compensateur de charges en lacet.

L'électrorobinet est un élément de robinetterie à commande électrique qui libère le liquide hydraulique haute pression de chaque servovérin et du régulateur, ce qui neutralise les servovérins simultanément. Chaque accumulateur sert à fournir à son vérin une petite réserve de liquide hydraulique sous pression pour qu'en cas de perte de pression hydraulique du système, le pilote puisse en peu de temps reconfigurer l'hélicoptère en fonction d'un régime de vol compris entre 40 et 60 nœuds, où les forces de réaction des commandes sans assistance hydraulique sont acceptables. La position adoptée par le levier de pas collectif dans cette situation est à peu près la même que celle qu'elle cherche à prendre lors des procédures d'essai hydraulique au sol. Le poste de pilotage de l'hélicoptère de série AS 350 ne comprend aucun indicateur de pression du système hydraulique, ni de dispositif de contrôle de la pression statique des accumulateurs.

Commande du système hydraulique

Le fonctionnement du système hydraulique est assuré par le pilote qui se sert de deux commutateurs dans le poste de pilotage : l'interrupteur de coupure d'alimentation hydraulique et le commutateur d'essai des accumulateurs hydrauliques.

L'interrupteur de coupure d'alimentation hydraulique est un commutateur sous cache à deux position (ON et OFF) et il est monté sur le levier de pas collectif du pilote. L'interrupteur est normalement réglé sur ON, ce qui permet de charger les servovérins lorsque le système hydraulique fonctionne correctement. Lorsque le pilote règle l'interrupteur sur OFF, la pression du système hydraulique est relâchée, la pression des accumulateurs des trois servovérins du rotor principal est relâchée simultanément, et le système de compensation de charges du rotor de queue conserve sa fonction d'assistance (manuel de vol complémentaire d'Eurocopter RR 7D, section 7.7). L'accumulateur du servovérin du rotor de queue n'est pas touché. Le pilote subit alors des forces de réaction supérieures à la normale aux commandes.

Sur l'hélicoptère en question, le commutateur d'essai des accumulateurs hydrauliques est un commutateur à deux positions monté sur le tableau de commutation de la console centrale (voir la Photo 2). Le fait d'actionner ce commutateur au sol permet de vérifier le bon fonctionnement des accumulateurs, et le commutateur est normalement réglé sur OFF. Le fait de le régler sur HYD TEST permet de relâcher la pression dans le système hydraulique (par l'intermédiaire du régulateur) et de relâcher en même temps la pression dans le compensateur de charges en lacet du rotor de queue.

Le manuel de vol du giravion prévient les pilotes d'éviter d'utiliser le commutateur d'essai hydraulique en vol, car lorsque la pression est relâchée dans le compensateur de charges en lacet du rotor de queue, des forces de réaction élevées du rotor de queue sont transmises aux pédales de direction.

Accumulateurs des servovérins hydrauliques

De par leur conception, les accumulateurs des servovérins hydrauliques sont chargés d'azote à une pression de 15 bars (218 lb/po²) qui constitue une réserve donnée de liquide hydraulique sous pression desservant les vérins. Comme aucun appareil à bord de l'hélicoptère ne permet de contrôler la pression réelle dans un accumulateur, Eurocopter exige que le pilote s'assure que tous les accumulateurs fonctionnent bien en exécutant une vérification avant vol des accumulateurs. L'essai prescrit ne permet pas de déterminer la pression réelle dans les accumulateurs, mais uniquement de savoir si les accumulateurs sont en mesure de fournir de l'énergie hydraulique pendant un certain nombre de sollicitations des commandes de vol.

Un des principes de certification de l'hélicoptère était qu'il dispose d'un système de commande de vol qui, en cas de défaillance du système hydraulique, puisse permettre au pilote de continuer à manipuler les commandes de vol en fonction de forces de réaction raisonnables. Des accumulateurs ont été ajoutés pour permettre cette situation, quoique limitée et d'une courte durée, afin que le pilote puisse adopter une vitesse de sécurité. Les accumulateurs font partie intégrante du système hydraulique et ils sont essentiels à son fonctionnement. Ils doivent bien fonctionner avant qu'on entreprenne un vol, de là la justification de leur essai avant vol.

Examen du système hydraulique

Servovérins hydrauliques du rotor principal

Les servovérins hydrauliques montés sur l'hélicoptère accidenté étaient des SAMM et des Dunlop, lesquels affichent respectivement une durée de vie en service de 3000 ou de 1800 heures avant révision (ce qu'on appelle l'intervalle de révision, ou TBO en anglais). Le temps restant constaté sur les servovérins du rotor principal avant la prochaine révision variait entre environ 85 et 2326 heures. Le tableau suivant résume les données sur les servovérins :

Examen et essais de fonctionnement des servovérins

Le 15 août 2006, les servovérins hydrauliques ont fait l'objet d'un examen et d'essais de fonctionnement à Langley (Colombie-Britannique) tels qu'ils étaient montés sur l'hélicoptère en question et sans avoir été dérangés, sous la supervision du BST. Chaque servovérin a réussi tous les essais de fonctionnement préliminaires et on n'y a décelé aucune anomalie.

Avant le début des essais de fonctionnement, on a examiné les accumulateurs des trois servovérins du rotor principal, et tous présentaient une pression inférieure à la valeur prescrite de 15 bars (218 lb/po²), comme en témoigne le tableau ci-contre. L'équipe des enquêteurs sur l'accident a fait fonctionner les composants du système hydraulique et a découvert des écarts dans le nombre de sollicitations nécessaires du manche de pas cyclique pour vider les accumulateurs des servovérins avant et latéraux après coupure du système hydraulique. Il a fallu exercer sur le manche de pas cyclique 9 à 10 sollicitations longitudinales et 4 à 5 sollicitations transversales pour vider les accumulateurs respectifs; ces résultats se sont répétés systématiquement.

En septembre 2006, les quatre servovérins hydrauliques et leurs accumulateurs ainsi que le régulateur ont été déposés de C-GBHH et apportés par le BST à une installation d'Eurocopter Canada à Fort Erie (Ontario) pour un examen et des essais plus poussés. Chaque servovérin a été complètement testé au banc par rapport aux spécifications de la certification pour un servovérin neuf et sous la supervision directe du BST. Chaque servovérin a réussi tous les essais de fonctionnement, sauf pour les vitesses de déploiement et de rentrée. Les vitesses de déplacement minimales et maximales pour les servovérins Dunlop sont de 100 et de 200 mm/s respectivement. Pour les servovérins SAMM, les vitesses de déplacement minimales et maximales sont de 100 et de 160 mm/s. La différence de vitesse maximale admissible entre le déploiement et la rentrée d'un servovérin donné est de 15 pour cent de la vitesse la plus rapide. Le tableau suivant résume les résultats des essais de vitesse des servovérins effectués à Fort Erie.

Ces vitesses de servovérin ont été mesurées en conditions d'essai au banc, réunies à partir de servovérins qui avaient été en service pendant diverses périodes. L'effet des conditions en vol sur le comportement des servovérins selon la spécification n'est pas connu parce qu'il n'y a pas de contrôle en vol de la conformité à la spécification et que celui-ci n'est pas exigé par la réglementation. Le bon fonctionnement des servovérins est uniquement fondé sur leur état. Normalement, si un servovérin ne fonctionne pas bien, il est déposé pour révision.

Il est important de souligner qu'un servovérin et son accumulateur ne sont pas considérés comme des éléments formant un bloc indissociable, c'est-à-dire que le servovérin présente un intervalle de révision, mais que l'accumulateur est un composant à vérifier selon l'état et qu'il n'est pas assujetti à une révision ou à une inspection périodiques. Il est concevable qu'un accumulateur, ayant un comportement limite non décelé, puisse demeurer en service pour une période indéfinie.

Au cours de l'examen des servovérins à Fort Erie, la charge d'azote sous pression de chacun des trois accumulateurs de servovérin de rotor principal a été mesurée de nouveau, et les résultats ont confirmé les pressions initiales inférieures à celles prévues dans la spécification. La pression de l'accumulateur du servovérin du rotor de queue n'a pas été mesurée, mais le compensateur a été inspecté et testé conformément aux procédures de révision. Aucune anomalie n'a été découverte.

Le grand écart statique dans la pression des accumulateurs présente un intérêt puisqu'il indique que les accumulateurs se seraient vidés à différents moments suivant une perte de pression du système hydraulique, ce qui pourrait mener à l'application de forces asymétriques sur les commandes de vol. Sur le plan de la conception, cette situation indésirable est contrée par le pilote actionnant l'interrupteur de coupure de pression hydraulique sur le levier de pas collectif pour réduire par le fait même la pression du système dans chaque servovérin et accumulateur en même temps, pourvu que cette intervention par le pilote se fasse avant que l'un ou l'autre des accumulateurs ne se vide.

Comme pour d'autres enquêtes récentes sur des événements ayant trait à une perte de maîtrise et à une défaillance hydraulique, la pression d'accumulateurs d'autres hélicoptères AS 350, tant mêlés à un accident qu'en service, a été mesurée au moyen de méthodes et d'outils uniformes. Les résultats de certains de ces examens figurent dans le tableau ci-dessous (les valeurs sont indiquées en lb/po²) :

Essais avant vol des servovérins et des accumulateurs hydrauliques

Procédures d'essai des servovérins et des accumulateurs

Cet essai avant vol vise à évaluer le fonctionnement de chaque accumulateur de servovérin de rotor principal et à assurer au pilote qu'ils sont en mesure de permettre au moins deux déplacements des commandes de vol avant que l'énergie hydraulique soit épuisée. Ces déplacements visent à permettre au pilote de placer l'hélicoptère dans un régime de vol stabilisé imposant des charges en vol sur les commandes de vol qui se sont révélées acceptables, et de conserver la maîtrise de son appareil.

Les accumulateurs font l'objet d'un essai à chaque vérification avant vol, lorsque le pilote actionne le commutateur d'essai hydraulique et qu'il déplace le manche de pas cyclique pour vérifier que les accumulateurs fournissent une assistance hydraulique. De plus, l'essai permet de vérifier le bon fonctionnement de chaque accumulateur en contrôlant son temps de récupération.

Les procédures relatives à l'essai hydraulique avant vol prescrites dans le manuel de vol du giravion Eurocopter AS 350 B2, RR 3a, page 5 (voir la page ci-contre) précisent qu'il devrait y avoir deux ou trois mouvements du manche de pas cyclique avant que ne s'épuise le liquide hydraulique sous pression de l'accumulateur. L'essai de l'accumulateur se fait au sol au régime de vol normal du rotor, c'est-à-dire, à au moins 375 tr/min, verrou de levier de pas collectif engagé. En résumé, l'essai demande que le pilote règle le commutateur d'essai hydraulique sur HYD TEST et qu'il déplace le manche de pas cyclique deux ou trois fois pour vérifier qu'il y a bel et bien assistance hydraulique sur les axes de tangage et de roulis. Le pilote règle ensuite le commutateur sur la position normale OFF. À la fin de cet essai d'isolement hydraulique, le pilote vérifie que les accumulateurs se rechargent en deux ou trois secondes, mais pas plus rapidement qu'en une seconde. Un intervalle d'une seconde ou moins indique qu'au moins un des accumulateurs est défectueux.

Image

Mouvement intempestif du levier de pas collectif

Il est important de noter que les procédures de l'essai hydraulique des accumulateurs prescrites dans le manuel de vol du giravion approuvé par Transports Canada préviennent que le levier de collectif va se relever lorsque les accumulateurs se vident ou lorsque l'interrupteur de coupure est réglé sur OFF. Ce mouvement intempestif du levier de pas collectif est une caractéristique intrinsèque du système de commande rotor de l'hélicoptère AS 350, mais il est contré au sol si l'on engage correctement le verrou de levier de pas collectif. Cependant, cette situation nécessite deux conditions pour se réaliser : le verrou de levier de pas collectif doit être dégagé et au moins un des accumulateurs de servovérin du rotor principal doit être vidé. Cette caractéristique est connue de l'hélicoptériste, Eurocopter, de Transports Canada et de nombreux exploitants canadiens de l'hélicoptère de série AS 350. Elle fait l'objet de la consigne de navigabilité (CN) CF-2003-15 et de ses révisions subséquentes, ainsi que de la CN F2004-174 de la DGAC (la CF-2003-15 a été abrogée lors de la promulgation de la F2004-174).

Consignes de navigabilité et avis de navigabilité canadiens

Transports Canada a publié une CN urgente, la CF-2003-15, en date du 16 mai 2003, laquelle exigeait en partie des pilotes de l'hélicoptère AS 350 de vérifier le fonctionnement du système hydraulique et des accumulateurs avant un vol. Cette CN d'origine avait été remplacée par la CN révisée CF-2003-15R1, en date du 1^er juillet 2003, laquelle demandait que soit exécutée une vérification avant vol des accumulateurs avant chaque vol.

En septembre 2003, Transports Canada a publié l'Avis de navigabilité (AN) D006, Édition 1, pour traiter des préoccupations soulevées par les caractéristiques des commandes de vol de l'AS 350 en cas de perte de pression du système hydraulique. Des essais d'Eurocopter ont montré qu'un mouvement intempestif de servovérin est possible lorsqu'un des accumulateurs latéraux est vidé alors que l'autre est chargé. L'Avis indique également que ce mouvement intempestif peut être contré en vol lorsque le pilote, à la suite d'une défaillance hydraulique, ramène promptement l'hélicoptère à une « vitesse de sécurité » spécifique et qu'il règle l'interrupteur de coupure hydraulique du levier de pas collectif sur OFF. Lorsque le pilote règle l'interrupteur sur OFF, toute force déséquilibrée, attribuable à une pression résiduelle asymétrique de l'accumulateur, est évitée. Si l'interrupteur de coupure n'est pas utilisé, et si les accumulateurs se vident à des vitesses différentes, des pressions hydrauliques asymétriques soutenues peuvent se produire. Dans l'accident de Grande Prairie, le pilote n'avait pas encore actionné l'interrupteur de coupure.

Essai de vidage des accumulateurs

La partie de l'essai ayant trait aux accumulateurs, prescrite par la CN canadienne remplacée, exigeait de vider délibérément tous les accumulateurs pour donner un avertissement en temps opportun au pilote qu'un accumulateur devenait progressivement défectueux (fuite interne). Cette détérioration aurait été décelée par le pilote quand il aurait remarqué une diminution progressive du nombre de sollicitations au manche de pas cyclique permettant de vider un accumulateur chaque fois que l'essai avant vol était exécuté. Après cet essai, le pilote savait qu'un certain nombre de sollicitations au manche de pas cyclique permettait de vider un accumulateur, à quoi s'ajoutait l'avantage de donner au pilote une sensation tactile des forces s'exerçant sur le manche de pas cyclique et de la réaction connexe. Le côté négatif de la procédure est que le pilote est volontairement exposé à un déplacement intempestif du levier de pas collectif advenant un dégagement du verrou du levier. Toutefois, ce déplacement est prévu et il serait le même en cas de défaillance des accumulateurs et s'ils se vidaient après deux sollicitations au manche de pas cyclique. Dans l'un ou l'autre cas, un levier de pas collectif non verrouillé se relèverait brusquement à la même position.

La technique d'essai hydraulique actuellement prescrite dans le manuel de vol du giravion (voir la page 10) exige que le pilote ne sollicite le manche de pas cyclique qu'à deux ou trois reprises, mais sans vider l'accumulateur. Cette différence de procédure vise à réduire les risques de déplacement intempestif du levier de pas collectif résultant du vidage d'un accumulateur. Dans la procédure du manuel de vol du giravion, le pilote vérifie que les accumulateurs sont toujours chargés après deux ou trois sollicitations. Par contre, rien n'indique combien de sollicitations supplémentaires seraient assurées par un accumulateur.

Il est clair que l'essai ne permettrait pas de déceler quel accumulateur se viderait après, par exemple, quatre sollicitations au manche de pas cyclique. De plus, en supposant que le verrou de pas collectif soit défectueux ou dégagé, la protection dont profitait le pilote par rapport à tout déplacement intempestif du levier de pas collectif est également perdue avec la technique des « deux ou trois sollicitations », une fois que l'accumulateur en cours de défaillance atteint le point où deux ou trois sollicitations le vident. Le côté négatif de cette procédure réside dans le fait que le pilote est exposé à un déplacement intempestif du levier de pas collectif si le verrou de ce dernier se dégage, sauf que dans ce cas, le pilote pourrait être pris par surprise. Dans la procédure de « vidage » précédente, le pilote s'attendait à ce que ce déplacement se produise parce que c'était l'objet de l'essai.

Même si l'essai avant vol prescrit suppose qu'il resterait deux ou trois sollicitations avant qu'un accumulateur se vide, la réalité des sollicitations aux commandes en vol veut qu'une combinaison de sollicitations au manche de pas cyclique et au levier de pas collectif soient nécessaires pour ramener l'hélicoptère à la vitesse de sécurité et, dans certains cas, il est improbable que seulement deux ou trois sollicitations aux commandes de vol suffisent à atteindre cette vitesse réduite.

Dans le présent accident, le pilote avait l'habitude d'utiliser l'essai des accumulateurs prescrit par la CN canadienne remplacée plutôt que la procédure du manuel de vol du giravion.

Régime rotor de l'essai avant vol

L'essai de l'accumulateur prescrit doit être exécuté au sol au régime de vol normal du rotor (au moins 375 tr/min). Cette situation assure que la pression de service du système hydraulique et le volume de liquide correspondent à un vol normal. L'examen du système hydraulique et des caractéristiques de fonctionnement de la pompe et des servovérins montre que la pression de service complète du système hydraulique est atteinte à un régime rotor inférieur, de l'ordre de 50 pour cent du régime rotor. Des échanges auprès d'exploitants canadiens de ce modèle d'hélicoptère révèlent que le système hydraulique peut être, et a été, testé avec succès à un régime rotor inférieur sans qu'il y ait d'effet nuisible.

Un régime rotor inférieur produit des forces aérodynamiques réduites qui sont insuffisantes pour soutenir un vol. Mener l'essai hydraulique à un régime rotor inférieur offre un avantage sur le plan de la sécurité en réduisant le risque d'un déplacement intempestif et violent de l'hélicoptère découlant d'une réaction intempestive du servovérin à la suite du vidage de l'accumulateur, advenant que le verrou du levier de pas collectif se dégage.

Verrou du levier de pas collectif

L'enquête a révélé une préoccupation au sein du milieu des hélicoptères au Canada relativement au verrou du levier de pas collectif de l'hélicoptère AS 350. Des anecdotes et des cas documentés montrent que le verrou est susceptible de se dégager de façon prématurée ou intempestive.

Le 9 octobre 2003, Eurocopter France a publié le bulletin de service alerte (BSA) 67.00.27 qui, en résumé, exigeait l'inspection des verrous de levier de pas collectif (un « bouton ») sur tous les hélicoptères AS 350 pour vérifier s'ils étaient usés. Ce BSA avait été précipité par un accident dans lequel un hélicoptère avait pris l'air au cours de la procédure d'essai hydraulique, et l'on avait découvert que la plaque de verrouillage du levier de pas collectif s'était dégagée à cause d'une usure excessive en service du bouton de verrouillage.

Un examen préliminaire de la plaque de verrouillage de C-GBHH montre effectivement de l'usure, mais il montre aussi des signes évidents d'engagement incorrect du verrou (voir la Photo 3). De par sa conception, la plaque de verrouillage s'engage sur le bouton de verrouillage du levier de pas collectif dans une gorge usinée servant à immobiliser la plaque de verrouillage faite d'acier à ressort. La plaque est dégagée lorsqu'on abaisse le levier de pas collectif, ce qui permet à la plaque de se dégager de la gorge et de sauter vers l'avant, à l'écart du bouton de verrouillage. Dans des essais pratiques, cette simple fonction était réalisée sans anicroche lorsque la plaque s'engageait correctement dans la gorge.

Image

Si la plaque de verrouillage s'engage au-delà du bouton du levier de pas collectif, elle s'accroche à l'épaulement usiné du bouton et verrouille le levier de pas collectif dans cette position (voir les Photos 4 et 5). Cette position se situe à l'extérieur de la gorge usinée, et il faut alors moins de force pour dégager la plaque de verrouillage que si celle-ci avait été correctement engagée dans la gorge. Encore une fois, des essais pratiques ont montré que la plaque était placée au-delà de la gorge la plupart du temps, ce qui la verrouillait incorrectement sur le levier de pas collectif. L'emplacement du verrou empêche le pilote de déceler facilement cette anomalie, et la seule vérification pratique permettant de confirmer que le verrou s'était bien engagé était de sentir au toucher que le levier de pas collectif ne pouvait se relever.

Image

Image

La conséquence de ce verrouillage incorrect est que le verrou du levier de pas collectif pourrait se dégager accidentellement si le pilote se cognait sur ce levier, une force qui normalement ne dégagerait pas le verrou si celui-ci était engagé dans la gorge. L'intention du BSA est de prévenir tout dégagement intempestif du verrou de levier de pas collectif à cause d'une usure du bord antérieur du bouton de verrouillage. Cependant, la mesure de sécurité du BSA ne s'attarde pas aux circonstances entourant un engagement incorrect du verrou.

Le BSA est une instruction ponctuelle seulement. Il est clair que cette pièce va continuer à s'user en service normal, et les verrous maintenant en bon état de service vont se détériorer sans avoir pu être examinés plus à fond. Eurocopter a depuis modifié les instructions contenues dans les recommandations principales d'entretien courant (MSR), chapitre 05-20-01, ainsi que dans les fiches de travail connexes, pour incorporer une vérification périodique du bouton à toutes les 500 heures de service.

Généralités

Le pilote de l'hélicoptère en question a vu le levier de pas collectif se relever brusquement pendant la procédure de vérification avant vol des accumulateurs hydrauliques. Malgré tout, le pilote a été incapable d'empêcher l'hélicoptère de prendre l'air et il n'a pu en reprendre la maîtrise avant que ce dernier ne percute le sol. Le déplacement intempestif du levier de pas collectif est une caractéristique de conception du système rotor, et des procédures avant vol sont en place pour l'empêcher de se produire.

Les renseignements de base du présent rapport expliquent les raisons mécaniques du déplacement intempestif du levier de pas collectif pendant l'essai hydraulique. Sans que le verrou du levier de pas collectif soit en place, il est clair que les commandes de vol de l'hélicoptère se sont comportées de façon prévisible, et il n'est pas nécessaire de pousser l'analyse pour expliquer le comportement en lui-même.

La présente analyse va donc porter sur les raisons qui ont déclenché la chaîne des événements qui ont permis au levier de pas collectif de se déplacer et de causer l'accident. Aussi, plusieurs anomalies matérielles et de procédure ont été découvertes qui ont eu un impact sur les moyens de sauvegarde intégrés au système des commandes de vol et à son fonctionnement, y compris ceux qui ont déjà donné lieu à une mesure de sécurité du BST.

Circonstances menant au déplacement intempestif du levier de pas collectif

La conception d'origine du bouton de verrouillage du levier de pas collectif du pilote permettait à la plaque de verrouillage de s'engager incorrectement. Cette anomalie a créé une situation dans laquelle la force exercée vers le bas sur le levier de pas collectif pour dégager le verrou était considérablement moins grande qu'elle ne l'aurait été si le verrou avait été engagé correctement. Une fois le verrou dégagé, le levier de pas collectif pouvait se relever librement.

Dans cet accident, le pilote a vidé l'accumulateur du servovérin avant dans le cadre de ses vérifications avant vol habituelles, mais il a interrompu son essai et remis les commandes au neutre pour permettre au TEA de passer sous le disque rotor. Cette action a probablement induit une légère pression vers le bas sur le levier de pas collectif comme réflexe normal du pilote. Cette pression a été suffisante pour dégager le verrou mal engagé et libérer le levier de pas collectif. À ce moment, le pilote ne savait pas que le verrou s'était dégagé. Une fois que le pilote a repris l'essai, ce n'était qu'une question de temps avant que le levier de pas collectif ne se relève après le vidage du ou des accumulateurs latéraux, amenant les commandes de vol à se déplacer en position de non-assistance hydraulique.

Masse et centrage

La masse de l'hélicoptère se situait bien au-dessous de la masse maximale brute certifiée, et le centrage longitudinal se trouvait près de la limite arrière. Du fait de la masse relativement légère de l'hélicoptère, une sollicitation moins importante du levier de pas collectif suffirait pour que l'hélicoptère prenne l'air. Le centrage arrière aurait amené le pilote à maintenir le manche de pas cyclique un peu plus poussé vers l'avant en vol, ce qui aurait réduit la course vers l'avant disponible du manche de pas cyclique. Facteur négligeable jusqu'à ce que l'hélicoptère prenne l'air, cette réduction de la course vers l'avant du manche de pas cyclique rendait l'hélicoptère vulnérable aux cabrés. La vitesse à laquelle serait apparue cette force en cabré et son amplitude pourraient avoir réduit la capacité du pilote d'empêcher le nez de l'hélicoptère de s'élever rapidement.

Procédures d'essai hydraulique

On pouvait affirmer que les procédures d'essai hydraulique antérieures prescrites par la CN canadienne d'origine comprenaient une approche proactive favorisant la détection d'un accumulateur en cours de défaillance, tandis que la procédure figurant présentement dans le manuel de vol du giravion est plutôt réactive. De fait, la procédure permet d'identifier un accumulateur défectueux seulement après qu'il ne peut plus assurer les deux ou trois déplacements du manche de pas cyclique; jusqu'à ce moment, l'accumulateur en cours de défaillance n'est pas décelable.

Il y a des doutes sur le nombre de déplacements du manche de pas cyclique prescrit par Eurocopter pour les procédures touchant à la fois l'essai au sol du système hydraulique et la perte de pression hydraulique en vol. Ces doutes ont principalement surgi à la suite d'une interprétation non uniforme des procédures promulguées dans le manuel de vol du giravion, et une révision en temps opportun de ces procédures par Eurocopter est nécessaire.

En outre, le diagnostic de la dernière étape de l'essai (antérieur et actuel) repose sur un petit intervalle d'une seconde ou moins pour déceler un accumulateur défectueux. Compte tenu du fait que les pilotes pourraient interpréter cette période de façon variable, ce facteur subjectif rend la portion recharge de l'essai avant vol inappropriée pour juger du bon fonctionnement de l'accumulateur.

Un autre facteur dans les circonstances menant à l'accident a été l'exigence dans les procédures de monter au régime de vol complet du rotor pour effectuer la procédure d'essai hydraulique avant vol. Allié à la faible masse brute et aux accumulateurs vidés, le régime de vol du rotor a placé l'hélicoptère dans une condition rendant propice son envol advenant un dégagement du verrou du levier de pas collectif.

Anomalies des servovérins

Les servovérins ont été testés et ils présentaient deux anomalies : des vitesses de déploiement et de rentrée du piston non uniformes, et une faible pression dans les accumulateurs.

Bien qu'il n'ait pas été possible de prouver que des vitesses de déplacement non uniformes des servovérins aient directement contribué à l'accident, on doute que ce comportement des servovérins soit toujours inoffensif. Il est possible qu'une combinaison de limites de tolérance dans le fonctionnement des servovérins, bien qu'insignifiante pour chacun d'eux, pourrait créer une synergie amenant les servovérins à mal fonctionner. Comme les servovérins quittent toujours les ateliers de fabrication ou de révision en présentant de spécifications bien à l'intérieur des tolérances, il est clair que, dans certains cas, un servovérin peut se détériorer en service. Pour le moment, toutefois, aucun lien concret à des défectuosités de servovérin n'a pu être établi.

Quoi qu'il en soit, les essais d'Eurocopter ont montré qu'un vidage asymétrique des accumulateurs de servovérin latéral peut causer un déplacement intempestif des servovérins. Il existe aussi des renseignements qui démontrent que l'hélicoptère est difficile à maîtriser advenant un vidage inégal des accumulateurs. À la suite de la publication de CN et d'AN pertinents, le Canada et la France ont imposé des modifications au système hydraulique. Ces modifications permettent maintenant aux pilotes de couper la pression du système hydraulique et de vider les accumulateurs simultanément, ce qui assure une transition contrôlée vers le vol sans assistance hydraulique.

Contrôle de la pression des accumulateurs hydrauliques

Une partie de la base de certification de l'hélicoptère exigeait que le pilote soit en mesure de continuer à solliciter les commandes de vol selon des forces de réaction raisonnables advenant une panne du système hydraulique. Les accumulateurs hydrauliques sont les seuls composants mécaniques approuvés qui fournissent cette garantie et ils sont essentiels en vol au bon fonctionnement du système des commandes de vol. Si un accumulateur n'est pas en état de service, l'hélicoptère n'est pas autorisé à prendre l'air.

L'essai avant vol constitue la dernière occasion pour le pilote de s'assurer que les accumulateurs fonctionnent bien. Apparemment, la méthode d'essai n'est pas particulièrement efficace puisque de nombreux cas de non-détection de faible pression d'accumulateur ont été découverts, les pressions étant comprises entre 35 à 175 lb/po², alors que qu'on s'attendait à trouver 218 lb/po². En plus de l'incertitude entourant l'essai, il y a la situation selon laquelle ces accumulateurs à basse pression sont demeurés en service sans qu'il n'y ait eu d'indication de leur basse pression aux pilotes ou au personnel de maintenance, alors qu'ils ont tous semblé réussir les procédures d'essai avant vol. La question demeure que l'essai révisé des accumulateurs hydrauliques en tant que tel ne permet pas de déceler les accumulateurs qui ne sont pas à la pression prescrite. Le risque persiste qu'un vol à bord d'un hélicoptère AS 350 pourrait commencer alors qu'un accumulateur hydraulique ou plus serait à peine en bon état de service, réduisant par le fait même le niveau de protection contre une panne du système hydraulique.

Compte tenu du fait que cet élément essentiel du système des commandes de vol est sujet à une défaillance latente et progressive, un simple moyen de mesurer la pression réelle dans les accumulateurs avant le vol semblerait indispensable. Le dispositif en question n'alerterait pas le pilote d'une défaillance en vol d'un accumulateur, mais il l'empêcherait de décoller si la pression était limite du fait d'une détérioration progressive de l'accumulateur.

Faits établis quant aux causes et aux facteurs contributifs

1. La conception du bouton de verrouillage sur le levier de pas collectif a permis à la plaque de verrouillage de s'engager incorrectement et a mené au déverrouillage prématuré du levier de pas collectif pendant la procédure d'essai hydraulique.
2. Lorsque le pilote a interrompu sa séquence d'essai hydraulique avant vol, le verrou du levier de pas collectif s'est dégagé à l'insu du pilote.
3. Lorsque le ou les accumulateurs latéraux se sont vidés, le levier de pas collectif non verrouillé s'est relevé brusquement et a fait prendre l'air à l'hélicoptère; ce déplacement du levier de pas collectif est une caractéristique prévisible de l'hélicoptère AS 350 B2.
4. Les rapides forces de réaction sur les commandes de vol, résultant du vidage des accumulateurs, ont été telles que le pilote a été incapable d'abaisser le levier de pas collectif et d'empêcher l'hélicoptère de prendre l'air, ni de reprendre la maîtrise de l'hélicoptère avant qu'il ne percute le sol.
5. Le centre de gravité de l'hélicoptère se situait dans les limites indiquées dans le manuel de vol du giravion; toutefois, il se situait près de la limite arrière, et cette situation a amplifié le cabré.
6. Le régime du rotor pour l'essai hydraulique avant vol devait, selon la procédure approuvée, être le régime de vol normal; cependant, pendant la procédure d'essai du pilote, lorsqu'un des accumulateurs s'est vidé alors que le verrou du levier de pas collectif était dégagé, un tel régime a permis que l'hélicoptère prenne l'air accidentellement.

Faits établis quant au risque

1. Les accumulateurs des trois servovérins du rotor principal affichaient une pression inférieure à la valeur spécifiée, mais le pilote ou le personnel de maintenance ne disposait d'aucune indication à cet effet.
2. Les documents de maintenance approuvés pour l'hélicoptère AS 350 B2 exigeaient que les accumulateurs soient chargés à l'azote à une pression de 15 bars (218 livres par pouce carré). Toutefois, il n'y avait aucun moyen visuel de contrôler la pression dans chaque accumulateur hydraulique, et une importante différence de pression pouvait se développer avant qu'elle ne devienne apparente pour le pilote.
3. En cas de perte de pression du système hydraulique dans l'hélicoptère AS 350 B2, l'importante différence de pression parmi les accumulateurs du rotor principal cause un vidage inégal de la réserve de liquide hydraulique sous pression, ce qui induit un déplacement asymétrique des servovérins, des forces élevées et imprévisibles sur les commandes de vol et un risque de perte de maîtrise en vol.
4. L'essai actuel des accumulateurs hydrauliques ne permet pas de déceler les accumulateurs qui ne sont pas à la pression prescrite. Le risque est qu'un vol à bord d'un hélicoptère AS 350 pourrait commencer alors qu'un accumulateur hydraulique ou plus est à peine en bon état de service, ce qui réduirait le niveau de protection advenant une panne subséquence du système hydraulique.
5. Les procédures d'essai hydraulique prescrites avant vol exigeaient du pilote qu'il déplace le manche de pas cyclique au moins à deux reprises pour vérifier que le servovérin était toujours sous pression. Une consigne de navigabilité antérieure de Transports Canada demandait de déplacer le manche de pas cyclique pour vider l'accumulateur, ce qui constituait une évaluation plus pertinente de l'état de l'accumulateur.
6. L'essai au sol prescrit du système hydraulique et les procédures en vol figurant dans le manuel de vol du giravion ne sont pas conformes aux procédures d'Eurocopter, et ils ont besoin d'être clarifiés.
7. Le servovérin hydraulique présente un intervalle de révision (TBO) de 1800 ou de 3000 heures en service et, de ce fait, est assujetti à une révision périodique et à un réglage en fonction des spécifications, tandis que l'accumulateur est un élément inspecté selon état et qui n'est pas assujetti à une révision. Il s'ensuit qu'un accumulateur fonctionnant à la limite sans être décelé pourrait demeurer en service pour une période indéfinie.

Autres faits établis

1. Il n'existe aucune donnée significative sur l'effet des conditions de vol sur le comportement des servovérins en fonction des spécifications parce qu'il n'y a pas de contrôle en service, et la réglementation ne l'exige pas.
2. Le relèvement du levier de pas collectif causé par le vidage des accumulateurs hydrauliques est une caractéristique de conception du système de commande rotor de l'hélicoptère AS 350 B2 qui est contrée efficacement au sol si on engage correctement le verrou de levier de pas collectif.
3. Des essais de fonctionnement des servovérins ont révélé des vitesses de déplacement non uniformes qui se situaient hors des spécifications du fabricant; toutefois, aucune donnée ne permet de conclure que cette anomalie a eu un rôle à jouer dans le présent accident ou d'autres pertes de maîtrise de l'hélicoptère AS 350 B2.

Bureau de la sécurité des transports du Canada (BST)

Verrou de levier de pas collectif

Le 6 juin 2007, le BST a émis l'Avis de sécurité A06P0123-D1-A1 (Improper Engagement of Collective Lever Lock in AS 350 Helicopters) indiquant que Transports Canada pourrait souhaiter traiter de la question de l'engagement incorrect du verrou de levier de pas collectif avec l'hélicoptériste dans le but d'améliorer le fonctionnement et la durabilité du verrou pour réduire tout risque de dégagement intempestif.

Procédures d'essai des accumulateurs hydrauliques

Le 18 juin 2007, le BST a émis l'Avis de sécurité A06P0087-D3-A1 (AS 350 Helicopter pre-Flight Hydraulic Test – Duration of Cyclic Movements) à l'intention de Transports Canada, pressant ce dernier de revoir les procédures d'essai avant vol approuvées des accumulateurs hydrauliques figurant dans le manuel de vol du giravion. En résumé, l'Avis indiquait que les procédures actuelles consistant à déplacer le manche de pas cyclique deux ou trois fois ne permettaient pas de s'assurer en temps opportun qu'un accumulateur était en cours de défaillance, c'est-à-dire qu'il perdait de la pression progressivement. Le BST a aussi noté que les anciennes procédures prescrites dans la consigne de navigabilité canadienne expirée, la CF-2003-15R2, adoptaient une approche proactive et qu'elles permettaient d'alerter les pilotes et le personnel de maintenance d'un accumulateur en cours de défaillance.

En juillet 2007, Transports Canada a envoyé une lettre à l'Agence européenne de sécurité aérienne (AESA) pour demander que l'AESA revoie les questions mentionnées dans les avis afin de déterminer si des mesures correctives pouvaient être mises en œuvre.

Régime rotor pour la procédure d'essai hydraulique

Le 6 juin 2007, le BST a émis l'Avis de sécurité A06P0123-D2-A1 (AS 350 Helicopter Hydraulic Accumulator Test – Rotor rpm Requirement) indiquant que Transports Canada pourrait souhaiter examiner et revoir l'exigence de mener la procédure d'essai hydraulique à un régime rotor de 100 pour cent.

Eurocopter France

Régime rotor pour la procédure d'essai hydraulique

En septembre 2006, l'hélicoptériste, Eurocopter France, a publié une révision aux procédures d'exploitation du manuel de vol approuvé du giravion pour l'hélicoptère AS 350 B3. Elle modifiait le régime rotor requis pour l'essai de l'accumulateur hydraulique en le ramenant au ralenti de vol, ce qui éliminait tout risque que l'hélicoptère ne prenne l'air advenant un dégagement du verrou du levier de pas collectif. Au moment de la rédaction du présent rapport, toutefois, cette modification n'existait pas pour les hélicoptères AS 350 B2.

Procédures d'essai hydraulique

La recherche effectuée par le BST dans les procédures du manuel de vol du giravion a révélé une incohérence dans l'interprétation du nombre de sollicitations au manche cyclique, requises par Eurocopter pour cette procédure. De même, l'essai au sol prescrit pour le système hydraulique et les procédures en vol figurant dans le manuel de vol du giravion ne sont pas conformes aux procédures d'Eurocopter. Par conséquent, Eurocopter envisage de réviser le manuel de vol du giravion en conséquence.

Bouton de verrouillage du levier de pas collectif

Eurocopter a conçu un bouton de verrouillage modifié pour le levier de pas collectif afin de remplacer le bouton d'origine décrit dans le présent rapport (nouvelle référence 350A27-3155-22). La forme de cette nouvelle pièce empêche de toute évidence l'engagement incorrect et le dégagement prématuré sur le levier de pas collectif. Eurocopter a prévu que cette pièce améliorée serait à la disposition des exploitants de l'hélicoptère AS 350 en octobre 2007.

Le présent rapport met un terme à l'enquête du Bureau de la sécurité des transports sur cet événement. Le Bureau a autorisé la publication du rapport le 4 mars 2008.

Annexe A – Observations techniques du Bureau d'Enquêtes et d'Analyses pour la Sécurité de l'Aviation Civile

Image

Image

Image

Image