Rapport d'enquête aéronautique A09P0351

Le de Havilland DHC-8-311 d'Air Canada Jazz (immatriculation C-FRUZ, numéro de série 293), effectue le vol JZA8216 entre Cranbrook et Vancouver (Colombie-Britannique) dans des conditions météorologiques de vol aux instruments. Il y a à bord 3 membres d'équipage et 33 passagers. Alors que l'avion franchit en descente 14 000 pieds au-dessus du niveau de la mer, un amorçage d'arc se produit au niveau du bornier du dégivreur du pare-brise avant gauche et celui-ci prend feu. Les flammes durent quelques secondes puis s'éteignent lorsque l'équipage coupe l'alimentation du dégivreur, mais la paroi intérieure de pare-brise est détruite. Une situation d'urgence est déclarée et l'avion se pose à 19 h 58, heure avancée du Pacifique. Les services d'intervention d'urgence se tiennent prêts à agir. Personne n'est blessé.

Au moment où l'avion quitte Cranbrook, le système de dégivrage du pare-brise est réglé sur WARM (chaud). Alors que l'avion franchit 1000 pieds au-dessus du niveau du sol en montée, la température extérieure atteint −1° et l'avion se retrouve dans des conditions de givrage. Le système de dégivrage du pare-brise est alors réglé sur NORMAL. Pendant la montée, le vol de croisière et la descente initiale, l'avion traverse des nuages et se retrouve dans des conditions de givre léger à modéré, et le système de dégivrage du pare-brise reste réglé sur NORMAL. À 10 000 pieds au-dessus du niveau de la mer (asl), l'avion sort des nuages et la température extérieure est de −10°. À Vancouver, la température au sol est de 13 °C.

Les 2 pilotes possédaient la licence et les qualifications nécessaires au vol, étaient certifiés pour agir à titre de commandants de bord et totalisaient un nombre important d'heures de vol sur type et d'heures totales de vol. Le personnel navigant et le personnel de cabine ont réagi à la situation d'urgence selon les procédures établies.

Le copilote désigné était aux commandes et y est demeuré pendant toute la durée de l'événement. Le commandant de bord a tenté d'utiliser l'extincteur fixé sur la cloison derrière son siège, mais il a eu de la difficulté à le détacher de son support. Lorsqu'il a réussi à le faire, les flammes étaient déjà éteintes et il n'a pas eu besoin de l'utiliser. Le disjoncteur du système de dégivrage du pare-brise ne s'est pas déclenché.

L'avion a atterri à 19 h 58^{Note de bas de page 1} et il s'est immobilisé sur la piste. Lorsque l'équipage a jugé qu'il était sécuritaire de le faire, il a conduit l'avion jusqu'à la porte où les passagers ont débarqué de façon normale.

Le Bureau de la sécurité des transports (BST) a été informé de la situation au moment où elle s'est produite et a demandé qu'un message soit envoyé à l'équipage afin qu'il protège les données de l'enregistreur de conversations de poste de pilotage (CVR). L'équipage n'a pas reçu le message et n'a donc pas protégé les données du CVR.

Selon le manuel d'exploitation d'Air Canada Jazz, le disjoncteur du CVR doit être déclenché seulement lorsque l'avion est arrivé à la porte lors d'une étape de vol au cours de laquelle se produit un accident ou un incident. La rubrique 8.2.12 du manuel d'exploitation de la compagnie précise ce qui suit :

[TRADUCTION]
Il est interdit de désactiver volontairement un enregistreur de conversation ou un enregistreur de données (CVR et FDR) lorsque l'avion est en service. Si un incident ou un événement se produit plus de 30 minutes avant que l'avion arrive à la porte, il faut laisser le CVR fonctionner sans interruption, même si les données relatives à l'incident enregistrées sur le CVR risquent d'être oblitérées, conformément à la directive de Transports Canada qui stipule que l'enregistreur ne peut être désactivé qu'une fois l'avion arrivé à la porte. Par conséquent, lors d'une étape de vol au cours de laquelle un accident ou un incident se produit, déclencher le disjoncteur seulement lorsque l'avion est arrivé à la porte.

Le CVR n'a enregistré que les 30 dernières minutes de conversation dans le poste de pilotage. La situation d'urgence a été déclarée à 19 h 46 et l'avion est arrivé à la porte autour de 20 h 8. Le CVR aurait pu contenir environ 22 minutes d'enregistrement relatives à l'événement. Cependant, une fois stationné, l'avion n'a pas été mis en quarantaine et les services de maintenance de l'exploitant ont remplacé le pare-brise. Pendant cette réparation, le CVR a été mis sous tension pendant plus de 30 minutes et toutes les données qui auraient pu servir à l'enquête ont été écrasées.

Les pare-brise de poste de pilotage^{Note de bas de page 2} ne sont pas des composants à vie limitée, mais plutôt des composants à maintenance « selon état ». Le manuel de maintenance du Dash 8 (révision temporaire 56-010 en date du 24 janvier 2006) détermine les limites de décollement, de fissuration et de dommages permis dans les différentes parties des pare-brise. Le fabricant du composant, PPG Aerospace (PPG), précise aussi les limites relatives à l'état du pare-brise dans le manuel de maintenance des composants. L'exploitant se sert de ces 2 documents de référence. La plupart des pare-brise sont remplacés lorsqu'ils atteignent ces limites en service maximales, avant qu'un problème survienne.

PPG offre un service de remplacement fondé sur l'âge de remplacement optimal aux exploitants qui préfèrent éviter que les pare-brise atteignent les limites en service maximales. Ce service vise à restreindre les coûts élevés de remplacement non prévus des pare-brise en remplaçant ces derniers selon un échéancier établi à la suite de l'analyse des données fournies par l'exploitant. En vertu de ce programme, les pare-brise sont généralement remplacés après 10 000 à 15 000 heures de vol. Air Canada Jazz n'a pas recours à ce service.

Le pare-brise en question a été fabriqué en 1996 par PPG et a été installé il y a 9 ans. Depuis, l'avion a totalisé plus de 19 000 heures de vol.

Aucun cas d'amorçage d'arc au niveau du pare-brise ayant causé un accident n'a été recensé dans la banque de données du National Transportation Safety Board (NTSB), dans le système de comptes rendus des événements de Transports Canada et dans la base de données des événements du BST.

Pare-brise

Le pare-brise et le régulateur de température du pare-brise ont été envoyés au laboratoire du BST pour examen.

Le pare-brise est formé d'un stratifié triple. La couche intérieure était fissurée (voir la photo 1), mais les couches médiane et extérieure étaient intactes. Le régulateur de température du pare-brise a été mis à l'essai et fonctionnait correctement.

Image

Le joint d'étanchéité d'origine du pare-brise était toujours en place. Malgré une légère érosion de la couche de polysulfide du côté extérieur causée par la pluie, le joint semblait en bon état.

Les valeurs de résistance des capteurs de température ont été mesurées tout comme la valeur de résistance entre les bus. Ces valeurs ont été comparées aux valeurs de calcul indiquées dans le manuel de maintenance des composants. Les valeurs de résistance des capteurs de température respectaient toutes les limites permises, mais la valeur de résistance entre les bus était nettement au-dessus de la limite permise.

Le pare-brise est relié à un bornier. Ce dernier comporte 8 connecteurs : 3 paires de connecteurs (A-F) sont reliées aux capteurs de température à l'intérieur du pare-brise et 2 connecteurs (L1, L2) alimentent la pellicule conductrice à l'intérieur du pare-brise.

Les fils fixés sur le dessus du bornier à l'aide de bornes circulaires sont reliés au régulateur de température du pare-brise. Les fils soudés en dessous du bornier (y compris une tresse de fils placée sous L2) sont reliés aux capteurs de température et à la pellicule conductrice à l'intérieur de la fenêtre. Au moment de son installation, le bornier est retourné afin que les tresses puissent être soudées aux plages de connexion. Une fois le soudage terminé, le bornier est remis à l'endroit et placé sur le pare-brise. À cette étape, la tresse est repliée de façon que le pli soit aligné avec le bord du bornier.

Le bornier était très peu endommagé, mais le matériel près de la connexion L2 portait des traces de dommages causés par la chaleur et les flammes et avait légèrement fondu. Les parties les plus fondues et endommagées par la chaleur se trouvaient sur le côté du bornier et non au niveau du connecteur L2 lui-même.

La borne circulaire supérieure à laquelle le connecteur L2 était relié ne portait aucune trace de dommages causés par un arc électrique ou la chaleur. Il n'y avait aucune trace de dommages causés par un arc électrique sur les fils toujours reliés à la borne circulaire. La connexion sertie fixant les fils à la borne était intacte.

La vis retenant la borne circulaire supérieure au niveau de la connexion L2 ne portait aucune trace de dommages causés par un arc électrique ou la chaleur. Le filetage de la vis n'avait pas été faussé. La borne recevant la vis a aussi été examinée, et son filetage n'avait pas été faussé. La vis était légèrement décolorée.

La connexion L2 sur le dessous du bornier portait d'importantes traces de brûlure, et la tresse de fils était séparée de la borne en raison des dommages causés par l'arc électrique. Les soudures reliant les tresses aux autres plages de connexion du bornier, y compris celle de l'autre connecteur d'alimentation (L1), semblaient être solides et en bon état.

La borne L2 a été retirée du bornier et examinée au microscope. La tresse de fils était toujours soudée au fond de la borne. La tresse était repliée et le pli était bien aligné avec le bord de la borne. La température à l'endroit où l'amorçage d'arc s'est produit (connecteur L2) a été suffisamment élevée pour faire fondre le cuivre (1083 °C).

Une bille de métal fondu a été trouvée sous le bornier. Elle était noyée dans une section de verre qui avait fondu au-delà de l'épaisseur de la couche de verre.

Compte tenu de l'endroit bien précis où le verre a fondu, il semblerait que la fissuration du pare-brise ait débuté sous la connexion L2 du bornier. Le verre avait fondu au-delà de l'épaisseur de la couche de verre, qui constitue la partie renforcée du verre. Ce type de verre ramollit à environ 593 °C (1100 °F) et fond à environ 815 °C à 1093 °C (1500 °F à 2000 °F). La pression à l'intérieur du verre s'accroit d'environ 50 lb/po² par degré F de différence entre 2 secteurs.

On a écarté la possibilité que des dommages mécaniques causés par un corps étranger aient contribué à l'événement, car le fil se trouvait dans un endroit protégé. De plus, les dossiers de maintenance des 30 derniers jours ne font état d'aucun travail effectué près du pare-brise qui aurait pu causer un amorçage d'arc.

Le disjoncteur du régulateur de température du pare-brise ne s'est pas déclenché. La plupart des disjoncteurs utilisés à bord des aéronefs sont des disjoncteurs thermiques, qui sont conçus de façon à laisser passer un courant prédéterminé sur une période de temps donnée. Si le courant est supérieur à la valeur prédéterminée, les composants thermiques à l'intérieur du disjoncteur chauffent, ce qui entraîne le déclenchement du disjoncteur ou l'ouverture du circuit, et le courant est coupé. Par exemple, un disjoncteur de 5A est conçu pour se déclencher après environ 3,2 à 17 secondes, s'il est soumis à une intensité de courant de 10A.

La vitesse de déclenchement, par contre, est déterminée en fonction d'une intensité de courant continu, car il s'agit du temps nécessaire pour que le courant fasse chauffer les déclencheurs à l'intérieur du disjoncteur. Si le courant est intermittent, le disjoncteur prendra beaucoup plus de temps à se déclencher, car les composants auront le temps de refroidir entre les impulsions de courant. Les disjoncteurs thermiques ne sont donc pas très efficaces pour détecter les amorçages d'arc et protéger les dispositifs contre ceux-ci, car les amorçages d'arc sont formés d'impulsions de courant de très courte durée. Les disjoncteurs thermiques ne sont pas conçus pour détecter les amorçages d'arc. Un autre type de disjoncteur, le disjoncteur d'arc électrique, peut détecter de façon électronique les caractéristiques des arcs électriques et se déclencher en présence de celles-ci.

L'enquête a donné lieu au rapport de laboratoire suivant :

• LP148/2009 – Examination of Windshield Panel and Controller (Examen du pare-brise et du régulateur de température)

On peut obtenir ce rapport en s'adressant au Bureau de la sécurité des transports du Canada.

Un amorçage d'arc au niveau du pare-brise aurait pu être causé par une pellicule conductrice défectueuse ou vieillissante ou par une détérioration causée par l'humidité. Cependant, dans ce cas, la couche extérieure, et non la couche intérieure, du pare-brise se serait fissurée. Puisque c'est la couche intérieure qui s'est fissurée, la pellicule conductrice n'est probablement pas en cause.

La vis et la borne circulaire au niveau de la connexion L2 sur le dessus du bornier ont été décolorées en raison de la proximité de l'arc électrique et de la chaleur, mais elles n'ont pas fondu et n'ont subi aucun dommage physique. Il n'y avait aucune trace d'amorçage d'arc entre la vis, la borne circulaire et la borne L2, ce qui indique qu'il y avait un bon contact entre la vis et la borne L2.

Le bon état du filetage de la vis et du filetage intérieur de la borne indique que la vis n'avait pas été faussée, ce qui aurait pu causer une surchauffe ou un amorçage d'arc à cet endroit en raison d'une augmentation de la résistance au niveau de la connexion. Les dommages causés par les flammes et la fusion se trouvaient principalement sur le côté et le dessous du bornier, ce qui indique qu'ils ne sont pas liés à la connexion extérieure au pare-brise.

L'arc électrique se serait produit au niveau de la soudure sous la connexion L2 du bornier ou de la tresse de fils reliée à la connexion L2. Une défaillance au niveau de la soudure aurait pu détacher celle-ci, permettant ainsi la production d'un arc électrique. Des dommages au niveau de la tresse auraient pu augmenter la résistance du fil et le faire surchauffer suffisamment pour faire fondre la soudure et le séparer de la plage de connexion, permettant ainsi la production d'un arc électrique. Un fil endommagé aurait aussi pu se séparer et permettre la production d'un arc électrique entre les extrémités de fil.

La résistance élevée entre les bus peut s'expliquer par le fait qu'une partie du fil relié à la connexion L2 a brûlé. Même si, en temps normal, le circuit aurait dû s'ouvrir, les restes carbonisés ont formé un chemin de carbone conducteur dont la résistance était supérieure à celle du fil.

Lorsque la borne L2 a été retirée du bornier, on a constaté que la tresse de fils soudée au fond de la borne semblait être dans sa position d'origine. Le bout de tresse encore soudé à la borne était toujours plié, et le pli était aligné avec le bord du bornier. Si l'arc électrique s'était produit au point de raccordement de la tresse sur la plage de connexion L2 en raison d'un joint soudé lâche ou mal fait, il est fort probable que le bout de tresse ne serait pas resté dans sa position d'origine, car la force dégagée par l'arc l'aurait déplacé. La bille de métal fondu, noyée dans une section de verre fondu, proviendrait de la partie manquante de la tresse qui était reliée à la plage de connexion L2. Par conséquent, il est fort probable que le joint soudé de la plage de connexion L2 était bien fait et que la tresse elle-même avait été endommagée, ce qui a causé un amorçage d'arc entre les parties endommagées de cette dernière.

Il n'a pas été possible d'examiner l'endroit sur la tresse où l'arc électrique s'est produit, car cette partie du fil s'est désagrégée. Il n'a pas été possible de déterminer ce qui a causé le dommage initial à la tresse.

Étant donné que le verre a fondu à un endroit bien précis, plus précisément à l'endroit où l'amorçage d'arc s'est produit, la différence de température a été très importante, et puisque le verre a fondu au-delà de la partie renforcée, la couche de verre s'est fissurée. Ce phénomène indique que la fissuration a été causée par l'amorçage d'arc.

Le manuel d'exploitation d'Air Canada Jazz contient les procédures à suivre concernant la désactivation du FDR et du CVR à la suite d'un accident ou d'un incident. Par contre, ces procédures précisent de ne pas désactiver le FDR et le CVR avant que l'avion arrive à la porte ce qui, dans certains cas, peut augmenter les risques que les données du CVR soient écrasées. Lorsque le CVR n'est pas protégé après un événement, toutes les données qui pourraient être utiles à l'enquête du BST sont perdues et il est alors plus difficile de déterminer les lacunes de sécurité et d'élaborer des messages de sécurité.

Faits établis quant aux causes et aux facteurs contributifs

1. Un amorçage d'arc dans la tresse de fils reliée au connecteur L2 du bornier du pare-brise s'est produit en raison de dommages à l'intérieur de la tresse. Il n'a pas été possible de déterminer ce qui a causé le dommage initial à la tresse.
2. La couche intérieure du pare-brise s'est fissurée en raison de sa proximité avec l'amorçage d'arc.

Faits établis quant aux risques

1. Lorsque l'enregistreur de conversations de poste de pilotage (CVR) n'est pas protégé après un événement, les données qui pourraient être utiles dans le cadre d'une enquête du BST sont perdues, et il est alors plus difficile de déterminer les lacunes de sécurité et d'élaborer des messages de sécurité.
2. Dans certaines conditions d'amorçage d'arc, il se peut qu'un disjoncteur thermique ne se déclenche pas, ce qui augmente les risques de surchauffe et d'incendie.

Air Canada Jazz

La compagnie Air Canada Jazz a pris les mesures de sécurité suivantes :

Elle a entrepris la vérification immédiate de toutes les connexions des borniers de dégivreur de pare-brise de la flotte de Dash-8 afin de s'assurer qu'elles étaient bien fixées et serrées et que toutes les pièces étaient en place.

Elle a effectué une évaluation des risques liés aux types d'extincteurs et à leur emplacement. Elle a précisé que l'installation des extincteurs à bord de tous ses appareils se conformait à la norme, qu'elle comportait peu de risques et qu'aucune autre mesure ne serait prise.

Le calendrier de maintenance du DHC-8 a été modifié afin d'inclure une vérification du couple des connexions du bornier de pare-brise lors de chaque vérification de type C (5500 heures).

Elle a ajouté des directives précises dans son Manuel d'intervention d'urgence sur le moment où un avion doit être mis en quarantaine et sur la nécessité de déclencher le disjoncteur du CVR/FDR à la suite d'un incident ou d'un accident. Le manuel précise ce qui suit :

[TRADUCTION]
À quel moment doit-on mettre un avion en quarantaine?

... l'enquête liée à un accident grave sera menée par le Bureau de la sécurité des transports du Canada (BST) et une enquête parallèle sera menée par l'équipe d'enquête sur la sécurité de l'entreprise de Jazz. Même s'il est conseillé à tous les membres d'équipage de le faire, la liste de vérifications du contrôle opérationnel de la maintenance (MOC) précise que les disjoncteurs du CVR et du FDR doivent être déclenchés le plus tôt possible afin de conserver toutes les données électroniques...

Dans la rubrique 6.16.2 du manuel du programme de formation (pilote) de Jazz, on précise maintenant que la formation annuelle des pilotes inclut les procédures à suivre pour désactiver un FDR/CVR. Cette précision a été apportée en réponse à la Circulaire d'information no 700-013 de Transports Canada, qui a été publiée le 1^er janvier 2010.

Le présent rapport met un terme à l'enquête du Bureau de la sécurité des transports du Canada (BST) sur cet événement. Le Bureau a autorisé la publication du rapport le 5 janvier 2011.