Rapport d'enquête aéronautique A95P0073

Constructeur	The Boeing Company
Type	767-233
Année de construction	1983
Numéro de série	22519
Certificat de navigabilité	valide
Nombre total d'heures de vol cellule	40 100
Type de moteur (nombre)	Pratt & Whitney JT9D-7R4D (2)
Type d'hélice (nombre)	sans objet
Masse maximale autorisée au décollage	140 615 kg
Type(s) de carburant recommandé(s)	Jet A, Jet B
Type de carburant utilisé	Jet B

1.7 Renseignements météorologiques

Les conditions météorologiques à Vancouver au moment de l'incident étaient les suivantes : nuages épars à 1 800 pieds et à 2 200 pieds, plafond à 3 500 pieds avec nuages fragmentés, visibilité de 15 milles dans la pluie légère, et vent du 060 degrés à 9 noeuds.

1.8 Dispositif de glissière d'aile

1.8.1 Généralités sur le dispositif

Le Boeing 767 est équipé d'une glissière gonflable du côté arrière intérieur de chaque aile pour permettre l'évacuation des passagers qui utilisent les sorties de secours d'aile lors d'une situation d'urgence. Le déploiement de la glissière se fait en actionnant la poignée de l'issue de secours d'aile depuis l'intérieur de l'avion. Le déplacement de la poignée provoque la fermeture de contacts électriques qui, simultanément, (1) excitent un relais neutralisant toute commande de déplacement de l'actionneur principal du régulateur hydraulique des déporteurs et (2) déclenchent l'actionneur de rétraction des déporteurs qui provoque la rentrée du déporteur intérieur. Deux secondes plus tard (à compter du déclenchement de l'actionneur des déporteurs), l'actionneur du levier de déverrouillage se déclenche. Cet actionneur commande l'ouverture des verrous du compartiment de la glissière d'aile et déclenche les actionneurs d'ouverture de la porte logés dans le compartiment de la glissière d'aile. Les actionneurs font pivoter vers l'extérieur la porte du compartiment de la glissière, y compris la glissière comme telle qui est fixée à la porte. Lorsque la porte s'ouvre, une liaison mécanique avec la bouteille de gonflage haute pression déclenche la sortie d'un gaz qui gonfle la glissière. Des détecteurs de proximité surveillent la position des verrous de la porte et font que des voyants s'allument ou que des messages EICAS apparaissent sur le tableau de bord.

Pendant des travaux de maintenance comme les vérifications de type «A», le dispositif de glissière d'aile est mis hors service et une goupille de sécurité est insérée dans la bouteille de gonflage haute pression pour empêcher la glissière de sortir et de se gonfler par inadvertance pour ne pas causer de blessures ni endommager l'équipement.

1.8.2 Conception et antécédents de l'intégrateur

L'intégrateur avait été conçu et fabriqué à l'origine sans verrou secondaire. Après de nombreux cas d'ouverture en vol de la porte du compartiment de la glissière d'aile, au début des années 80, un nouvel intégrateur a été conçu. Un mécanisme de verrouillage secondaire a été monté sur les nouveaux intégrateurs pour empêcher les vibrations de déplacer l'axe de verrouillage jusqu'à la position déverrouillée. Les intégrateurs existants ont été modifiés pour incorporer ce mécanisme. La goupille de cisaillement est un élément essentiel du verrou secondaire; elle retient le levier de verrouillage secondaire en place en mode de fonctionnement normal, mais elle se sectionne facilement pour permettre à l'actionneur de dégager les verrous de la porte. La goupille de cisaillement est conçue de façon à se sectionner sous l'effet d'une force prédéterminée et permet ainsi l'ouverture des verrous de porte, puis de la porte. Le dispositif de glissière d'aile est conçu de telle façon que l'actionneur ne peut pas être déclenché sans sectionnement de la goupille de cisaillement du verrou secondaire.

Comme les incidents se sont poursuivis, même après la première modification apportée au mécanisme du verrou secondaire, l'intégrateur de la glissière d'aile a été modifié pour simplifier les procédures de désactivation. Cette modification facultative n'avait toutefois pas été exécutée sur l'avion en cause dans le présent incident.

1.8.3 Inspection après l'atterrissage à Vancouver

L'inspection de l'avion après l'atterrissage à Vancouver a révélé ce qui suit : le déclencheur de la bouteille de gonflage de la glissière était débranché, la bouteille de gonflage haute pression était pleine, les actionneurs d'ouverture de la porte et l'actionneur du levier de déverrouillage ne s'étaient pas déclenchés et les goupilles de verrouillage étaient en bon état; les détecteurs et le circuit d'alarme de la porte fonctionnaient normalement, l'intégrateur était déverrouillé, mais en bon état, sauf que la goupille de cisaillement du verrou secondaire s'était sectionnée en trois morceaux, mais qu'elle était restée en place. Une inspection visuelle du verrou secondaire n'a pas révélé que la goupille était sectionnée.

1.9 Remise en état du dispositif de glissière d'aile

1.9.1 Fascicule de travail

Après le déclenchement par inadvertance de l'actionneur de la porte du compartiment de la glissière d'aile pendant le retour à la normale après la vérification de type «A», on s'est servi d'un fascicule de travail de 12 pages intitulé Off-Wing Escape System - Restoration - 6-225, qui énumérait 31 points à vérifier. Il n'était pas nécessaire de vérifier les 31 points parce que la goupille de sécurité qui avait été insérée dans le mécanisme de gonflage pour la vérification de type «A» avait empêché la glissière de se gonfler lorsque la porte du compartiment de la glissière d'aile s'était ouverte. Toutefois, pour remettre le dispositif en état, il fallait remplacer la plupart des pièces, y compris l'actionneur du levier de déverrouillage, les actionneurs de la porte du compartiment de la glissière d'aile et l'amorceur de rentrée du déporteur.

1.9.2 Débranchement du déclencheur de la bouteille de gonflage

Le technicien du quart de nuit qui s'est occupé de la remise en état du dispositif a débranché la liaison mécanique reliant la porte du compartiment de la glissière d'aile au déclencheur situé sur la bouteille de gonflage par mesure de sécurité et pour repousser la glissière afin de faciliter l'exécution des travaux de maintenance. Le débranchement du déclencheur de la bouteille de gonflage n'était pas un point du fascicule de travail. Selon le fascicule, la bouteille de gonflage s'est vidée par suite de la sortie et du gonflage intentionnels de la glissière pendant l'exploitation de l'avion plutôt qu'à la suite d'une sortie par inadvertance pendant que la bouteille de gonflage était bloquée par une goupille pendant les travaux de maintenance.

Quand le quart de jour a commencé, les travaux nécessaires pour remettre le dispositif en état n'étaient toujours pas terminés et se sont poursuivis pendant ce quart. Le technicien du quart de nuit qui avait débranché le déclencheur de la bouteille de gonflage a mentionné à l'un des techniciens du quart de jour qu'il avait débranché ce déclencheur. Toutefois, le technicien du quart de nuit n'a pas présenté de fiche d'anomalie technique ni laissé de note à ce sujet ni fixé de drapeau d'avertissement. Or, le technicien du quart de jour qui avait été mis au courant du débranchement a été assigné à un autre avion, et le déclencheur de la bouteille de gonflage n'a pas été rebranché avant la remise en service de l'avion.

1.9.3 Remplacement de la goupille de cisaillement du verrou secondaire

En plus d'exiger le remplacement des actionneurs qui s'étaient déclenchés, le fascicule de travail exigeait le remplacement de la goupille de cisaillement (point 18) du verrou secondaire. Le technicien du quart de jour qui a préparé l'avion pour la mise en service a apposé sa signature au point 18, qui demandait de remplacer la goupille de cisaillement du verrou secondaire, ce qui indiquait que le remplacement avait été effectué; toutefois, la goupille de cisaillement n'avait pas été remplacée. Le technicien a indiqué qu'il n'y avait pas de goupille de cisaillement de remplacement à sa disposition sur l'anneau à goupilles de cisaillement, contrairement à ce qui était indiqué dans le fascicule de travail.

La goupille s'est sectionnée en trois morceaux, mais ceux-ci sont restés en place dans le verrou secondaire. Par conséquent, il n'était pas évident lors de l'inspection visuelle que la goupille s'était sectionnée. Au lieu d'obtenir une goupille de cisaillement neuve du service des pièces ou de l'intégrateur de la glissière de l'aile gauche, le technicien a effectué une inspection visuelle externe de la goupille de cisaillement, et il a conclu qu'elle n'avait pas besoin d'être remplacée.

Le fait que la goupille de cisaillement du mécanisme du verrou secondaire s'était sectionnée et le déplacement du verrou primaire ont permis aux verrous de la porte de se déplacer sous l'effet des vibrations, ce qui a permis à la porte de se déverrouiller et de s'ouvrir sous l'effet des charges aérodynamiques et d'inertie latérales.

1.10 Liste des équipements indispensables au vol (MEL)

1.10.1 Inspection demandée par la MEL

Le manuel MEL du Boeing 767 stipule que le message R WING SLIDE, qui a d'abord été affiché sur l'EICAS pendant le roulage après le dégivrage de l'avion la première fois, signifie que la porte du compartiment de la glissière de l'aile droite est déverrouillée et qu'elle doit être vérifiée par le personnel de maintenance pour s'assurer qu'elle est bien fermée et verrouillée. Les procédures de la MEL demandent l'exécution de 12 étapes avant chaque vol avant de remettre l'avion en service jusqu'à ce que l'anomalie technique soit corrigée. Ces étapes comprennent une inspection détaillée de l'intégrateur et de la tringlerie connexe, l'actionnement de l'intégrateur pour déverrouiller et reverrouiller correctement la porte du compartiment de la glissière d'aile, la pose d'une affichette sur le voyant d'alerte dans le poste de pilotage, et une inscription dans le carnet de bord.

Sauf en ce qui concerne l'ouverture de la porte d'accès de l'intégrateur pour inspecter l'intégrateur visuellement, aucune des mesures de maintenance demandées n'a été exécutée. Le superviseur de maintenance côté piste avait accès à la MEL, mais le technicien qui effectuait l'inspection sur l'aire de trafic n'a pas reçu la MEL pour effectuer le travail grâce à cette liste. De plus, il n'avait pas facilement accès à la MEL se trouvant à bord de l'avion. Le technicien qui effectuait l'inspection et le superviseur de maintenance côté piste ont convenu qu'il n'était pas nécessaire de retarder le départ de l'avion davantage ni d'effectuer l'inspection demandée par la MEL. Ils ont informé l'équipage qu'ils avaient déterminé que la porte du compartiment d'aile était verrouillée et que le fait que le voyant d'alerte était continuellement allumé était une fausse indication; toutefois, il n'y a pas eu de discussion entre l'équipage de conduite et le personnel de maintenance sur la façon dont ce constat avait été fait.

Le superviseur de maintenance et le technicien de piste étaient au courant de l'actionnement par inadvertance de la porte du compartiment de la glissière d'aile pendant la vérification de type «A» et des travaux de maintenance subséquents qui venaient juste d'être faits pour remettre le dispositif en état. Toutefois, le personnel de maintenance appréhendait généralement la manipulation de tout ce qui était associé aux glissières par peur d'un déploiement intempestif qui pourrait causer des blessures, endommager l'équipement ou retarder le vol.

1.10.2 Acceptation de la remise en service de l'avion par l'équipage

Lorsque le voyant d'alerte s'est allumé et que le message EICAS s'est affiché, l'équipage de conduite a respecté les procédures normales en consultant la MEL. Il est retourné à l'aire de trafic pour que le personnel de maintenance effectue une inspection de la porte. L'équipage ne savait pas que les exigences relatives à l'inspection de la MEL n'avaient pas été respectées par le personnel de maintenance, mais il savait qu'une affichette n'avait pas été posée sur le voyant d'alerte et que l'anomalie n'avait pas été inscrite dans le carnet de bord, ce qui était contraire aux procédures. L'équipage de conduite a accepté la remise en service de l'avion en se fiant à l'autorisation verbale du personnel de maintenance que l'appareil était en état de navigabilité.

1.11 Qualifications et formation du personnel de maintenance

1.11.1 Le technicien qui a remplacé l'actionneur

Le technicien du quart de jour qui a effectué la vérification de type «A» et qui a préparé l'avion pour la remise en service était au service d'Air Canada et il détenait une licence annotée pour le Boeing 767-233. Il avait reçu sa formation initiale sur ce type d'avion en 1991 et depuis, la seule formation relative au B767 qu'il avait reçue se composait d'un cours sur les différences que présente le modèle 767-300. Il n'avait jamais travaillé seul sur le dispositif de glissière d'aile; il avait par contre travaillé sur ce dispositif sous la direction d'un superviseur en une seule occasion, plus de deux ans auparavant.

1.11.2 Le technicien qui a inspecté l'avion sur l'aire de trafic

Le technicien qui a inspecté l'avion sur l'aire de trafic était au service d'Air Canada et détenait une licence annotée pour le Boeing 767-233. Il avait reçu sa formation initiale sur le B767 au début de 1990, et il n'avait reçu aucune autre formation périodique. De plus, bien que ne possédant pas les annotations pour le Boeing 747, le Lockheed L1011 et le McDonnell Douglas DC-9, il avait travaillé sur ces avions. Il n'avait vu aucun intégrateur en quatre ans environ, mais il avait travaillé quelques fois sur le dispositif de la glissière, de nombreuses années auparavant.

1.11.3 Le superviseur de maintenance côté piste

Le superviseur de maintenance côté piste était un technicien d'Air Canada. Il remplissait les fonctions de contremaître intérimaire le matin de l'incident, lorsqu'on lui a demandé de remplir les fonctions de superviseur de maintenance côté piste. Il n'était à ce poste que depuis quelques minutes lorsque le problème du vol 899 a été signalé. Il détenait l'annotation relative au Boeing 767, mais il ne possédait pas beaucoup d'expérience sur cet avion ni sur le dispositif de glissière d'aile. Il ne savait pas ce qui était nécessaire pour remettre l'avion en service conformément à la MEL.

2.0 Analyse

2.1 Introduction

La perte de la glissière d'aile pendant l'approche sur l'aéroport de Vancouver est attribuable à une erreur de maintenance qui est passée inaperçue parce que, à la suite de faits survenus à Toronto, des mesures ont été prises et d'autres n'ont pas été prises avant le départ du vol 899. L'analyse examine comment ces faits ont influé les uns sur les autres et aurait pu donner lieu à un incident en vol potentiellement dangereux.

2.2 Remise en état du dispositif de glissière d'aile

Les méthodes de maintenance acceptables et normales n'ont pas été respectées. Le tout a commencé lorsque la bouteille de gonflage a été débranchée sans que cette situation soit indiquée sur un document officiel qui aurait permis de s'assurer que la bouteille serait rebranchée avant la remise en service de l'avion. Ensuite, le technicien du quart de jour, qui avait été mis au courant du débranchement, a été assigné à un autre avion. L'absence d'une exigence d'inspection adéquate de la zone avant que le panneau d'accès soit remonté a contribué aux conséquences de l'erreur. L'avion a finalement été autorisé à entreprendre le vol 899 dans un état qui compromettait la sécurité; la glissière de l'aile droite était inutilisable et n'aurait pas pu être utilisée si une situation d'urgence avait nécessité l'évacuation des occupants au moyen des issues de secours de l'aile droite.

En ce qui concerne l'ouverture en vol de la porte du compartiment de la glissière d'aile, le manquement le plus important aux procédures est le fait que le technicien du quart de jour n'a pas monté de goupille de cisaillement neuve dans le verrou secondaire, contrairement aux exigences du fascicule de travail. Si le technicien avait compris le fonctionnement du dispositif de la glissière d'aile, il se serait rendu compte que la goupille de cisaillement devait s'être sectionnée pendant le déclenchement par inadvertance du dispositif et qu'il fallait absolument remplacer la goupille. Le fait qu'il y avait des fragments de la goupille de cisaillement sectionnée mais en place sur l'intégrateur a donné l'impression que la goupille était intacte; toutefois, la décision du technicien du quart de jour de ne pas remplacer la goupille contrairement aux exigences a été influencée principalement par le fait qu'il n'avait pas de goupille de remplacement à portée de la main. Comme l'avion était déjà en retard, la pression que subissait le technicien pour remettre l'appareil en service dès que possible a peut-être influé sur sa décision de certifier sur le fascicule de travail que la goupille de cisaillement avait été remplacée alors que ce n'était pas le cas.

Le problème que présentait la goupille de cisaillement aurait été décelé si l'intégrateur avait été actionné manuellement, conformément aux procédures du manuel de maintenance du Boeing 767 traitant du remplacement de l'actionneur du levier de verrouillage.

2.3 Inspection du circuit d'alarme de la porte

Le technicien qui a été envoyé sur l'aire de trafic pour inspecter la porte du compartiment de la glissière de l'aile droite n'avait pratiquement aucune expérience de ce dispositif, et il n'en avait retenu que peu de choses du cours de qualification qu'il avait suivi quatre ans plus tôt. Le fait qu'il ne connaissait pas bien le dispositif de la glissière ni les antécédents reliés au déploiement par inadvertance de la glissière lui ont fait craindre davantage de manipuler tout ce qui était associé à la glissière par peur d'un déploiement intempestif qui aurait pu causer des blessures, endommager l'équipement ou retarder le vol. Par conséquent, l'inspection effectuée sur l'aire de trafic pour s'assurer que l'alarme porte était fausse a été superficielle et inadéquate, et c'est en se fiant à cette hypothèse que l'avion a été remis en service.

2.4 Exigences relatives à l'inspection demandée par la MEL

Le technicien de piste et le superviseur de maintenance côté piste savaient qu'une inspection détaillée était obligatoire avant que l'avion puisse être remis en service, mais cette inspection n'a pas été effectuée. L'actionnement complet de l'intégrateur demandé par la MEL aurait permis de découvrir que la goupille était sectionnée. Le fait que des travaux de maintenance venaient juste d'être effectués sur le dispositif de la glissière aurait dû susciter de plus grandes inquiétudes et faire soupçonner l'existence d'un problème. Toutefois, l'inspection demandée par la MEL n'a pas été effectuée, et des procédures non officielles ont été exécutées. Résultat, on ne s'est pas aperçu que la goupille était sectionnée.

L'équipage de conduite ne savait pas que les exigences relatives à l'inspection exigée par la MEL n'avaient pas été respectées par le personnel de maintenance, mais il savait que l'affichette obligatoire sur le voyant d'alerte n'avait pas été posée et que l'anomalie n'avait pas été inscrite dans le carnet de bord comme il se doit. L'équipage de conduite a accepté la remise en service de l'avion en se fiant à l'autorisation verbale du personnel de maintenance que l'appareil était en état de navigabilité, ce qui, une fois encore, était contraire aux procédures officielles.

2.5 Voyant d'alerte de la porte et ouverture de la porte

Le sectionnement de la goupille de cisaillement a permis au levier de verrouillage du verrou secondaire de tourner et de quitter sa position et à l'axe de verrouillage de se déplacer vers la position non verrouillée, probablement à cause des vibrations. Au premier mouvement, les contacteurs de proximité, qui contrôlent le dispositif, ont fait s'allumer les voyants d'alerte et s'afficher le message EICAS pendant le dégivrage de l'avion avant le départ. Les avertissements ont disparu temporairement lorsque le technicien de piste a manipulé le dispositif pendant l'inspection, mais la cause principale du problème n'a pas été corrigée.

Des cas d'ouverture en vol de la porte du compartiment de la glissière d'aile se sont déjà produits pendant l'approche. Il est probable que la porte s'est déverrouillée sous l'effet des vibrations et qu'elle s'est ouverte sous l'effet des charges aérodynamiques et d'inertie pendant l'approche. La glissière ne s'est pas gonflée; elle s'est simplement déployée et détachée de l'avion.

3.0 Faits établis

1. L'actionneur de la porte du compartiment de la glissière de l'aile droite et l'amorceur du déporteur ont été déclenchés par inadvertance pendant l'exécution des procédures de retour à la normale après une vérification de type «A».
2. Le déclencheur de la bouteille de gonflage de la glissière de l'aile droite a été débranché pendant le remplacement de l'actionneur, et n'a pas été rebranché, par inadvertance.
3. Puisque la bouteille de gonflage était débranchée, la glissière de l'aile droite du vol 899 était inutilisable.
4. La goupille de cisaillement du verrou secondaire a été sectionnée pendant un déclenchement par inadvertance, et elle n'a pas été remplacée au cours de la remise en état du dispositif, contrairement aux exigences du fascicule de travail.
5. À cause du sectionnement de la goupille de cisaillement, l'axe de verrouillage a pu se déplacer jusqu'à la position non verrouillée, probablement à cause des vibrations.
6. Après que le voyant d'alerte de la porte s'est allumé et que le système EICAS a affiché un message d'alerte, une inspection non officielle de la porte du compartiment de la glissière de l'aile droite, qui ne comprenait pas les points énumérés sur la MEL, a été effectuée.
7. Le sectionnement de la goupille de cisaillement n'a pas été décelé parce que l'inspection demandée par la MEL n'a pas été effectuée.
8. L'avion a été remis en service pour le vol en vertu de la MEL, même si l'inspection demandée par la MEL n'avait pas été effectuée.
9. L'affichette obligatoire n'avait pas été placée dans l'avion et l'inscription de l'anomalie technique dans le carnet de bord n'avait pas été faite, mais l'équipage de conduite a tout de même accepté la remise en service de l'avion.
10. En général, le personnel de maintenance en cause dans cet incident ne possède pas suffisamment d'expérience et de connaissances concernant le dispositif.

3.1 Causes

La porte du compartiment de la glissière de l'aile droite s'est ouverte en vol parce que la goupille de cisaillement du verrou secondaire avait été sectionnée par inadvertance lors d'une inspection récente. Cette erreur du service de maintenance n'a pas été décelée parce que les procédures d'inspection en vigueur n'ont pas été respectées. Une mauvaise compréhension du dispositif de la part des techniciens et du superviseur du service de maintenance a contribué au non-respect des pratiques officielles normales.

4.0 Mesures de sécurité

4.1 Mesures prises

4.1.1 Mesures prises par l'exploitant

À la suite de cet incident, Air Canada a pris les mesures suivantes :

• pour confirmer le bon état de la goupille de cisaillement du verrou secondaire, la MEL a été modifiée de façon à exiger que l'on tourne une extrémité de la goupille tout en observant l'autre extrémité; de plus, une vérification non récurrente est en cours afin de s'assurer que cinq goupilles de cisaillement de rechange se trouvent près de l'intégrateur de chaque côté de l'avion;
• les fascicules de travail des vérifications de type «A» ont été modifiés de façon que la porte du compartiment d'aile ne soit plus désactivée pendant une vérification de type «A» et qu'un avertissement soit placé à l'intérieur de la porte afin de réduire les risques de déploiement intempestif de la glissière d'aile;
• les procédures de maintenance du circuit annonciateur de la porte ont été révisées, et deux projets sont en cours d'approbation (le bulletin technique 25A0131 portant sur le remplacement de l'intégrateur, et le bulletin technique 25-0212 portant sur l'amélioration du mécanisme d'armement et de désarmement de la glissière d'aile).

4.1.2 Mesures prises par l'avionneur

Boeing a publié les bulletins techniques 767-25-0051, 767-25A0104 et 767-25-0185 de façon à permettre une vérification plus directe du verrouillage de la porte de la glissière et afin d'améliorer le mécanisme de blocage et de verrouillage de l'intégrateur.

Le présent rapport met fin à l'enquête du Bureau de la sécurité des transports sur cet incident. La publication de ce rapport a été autorisée le 28 février 1996 par le Bureau qui est composé du Président John W. Stants et des membres Zita Brunet et Maurice Harquail.

Annexes

Annexe A— Sigles et abréviations

BST

Bureau de la sécurité des transports du Canada

EICAS

système d'affichage des paramètres réacteurs, de mise en garde et d'alarme

h

heure(s)

HAE

heure avancée de l'Est

HAP

heure avancée du Pacifique

kg

kilogramme(s)

MEL

liste des équipements indispensables au vol

UTC

temps universel coordonné