Rapport d'enquête aéronautique A08Q0082

L'Airbus A330-343 (immatriculation C-GFAH, numéro de série 0279), exploité par Air Canada et assurant le vol ACA418, quitte l'aéroport international Lester B. Pearson de Toronto (Ontario) à 16 h 22, heure avancée de l'Est, à destination de l'aéroport international Pierre Elliott Trudeau de Montréal (Québec), avec 228 passagers et 10 membres d'équipage à son bord. Durant le vol, plusieurs avertissements de basse pression des pompes à carburant apparaissent, et les pompes touchées sont mises hors tension selon la procédure publiée appropriée. Au cours de la descente vers Montréal, des avertissements de basse pression apparaissent pour les pompes qui fonctionnent encore. Elles sont également mises hors tension, et les moteurs continuent de fonctionner normalement au moyen de l'alimentation en carburant par gravité. Durant la mise en palier à 11 000 pieds au-dessus du niveau de la mer, le régime du moteur gauche (Rolls Royce, RB211 TRENT 772B-60) chute sous le régime de ralenti, ce qui génère un avertissement de décrochage du moteur suivi d'un message de panne moteur s'affichant aussitôt sur le moniteur électronique centralisé de bord (ECAM). Toutes les pompes à carburant sont remises sous tension, et le moteur gauche retrouve presque aussitôt sa puissance. Une situation d'urgence est déclarée, et l'avion atterrit sans autre incident.

1.1 Renseignements sur l'équipage de l'avion

L'équipage était certifié et qualifié pour effectuer le vol, conformément à la réglementation en vigueur. Le commandant de bord avait à son actif 15 882 heures de vol; de ce nombre, 669 heures avaient été effectuées sur Airbus A330 et A340, dont 335 à titre de commandant de bord. Il occupait le siège gauche, mais n'était pas aux commandes. Le copilote était assis dans le siège droit, et il était le pilote aux commandes. Le copilote avait à son actif environ 14 370 heures de vol, dont 807 à titre de copilote d'A330 et d'A340.

1.2 Conditions météorologiques

À 16 h^{Footnote 1}, au départ de Toronto, les conditions météorologiques étaient les suivantes : vent soufflant de l'ouest à 15 nœuds, visibilité de 15 milles terrestres, quelques nuages à 3500 pieds au-dessus du sol (agl) et plafond à 7000 pieds agl, température de 11 degrés Celsius (°C) et point de rosée de −6 °C. À 16 h, les conditions météorologiques à destination, à Montréal, étaient les suivantes : vent soufflant de l'ouest de 11 à 17 nœuds, visibilité de 15 milles terrestres, plafond à 6000 pieds agl, température de 8 °C et point de rosée de −6 °C.

La température extérieure prévue en fin de montée, au niveau de vol (FL) 350, était de −57 °C, et, onze minutes plus tard, au début de la descente, de −46 °C. Par conséquent, la température extérieure moyenne pendant la croisière était de −51,5 °C, soit 2,7 °C de plus que la température de l'atmosphère type internationale (ISA) de −54,3 °C.

1.3 Préparatifs avant le vol

L'avion est arrivé à Toronto à 14 h 36, en provenance de l'aéroport international de Vancouver (Colombie-Britannique), et il a été préparé pour le prochain départ prévu à 16 h, à destination de Montréal. Durant la préparation, on a constaté que l'alternateur droit à entraînement intégré ne fonctionnait pas, mais l'avion a été mis en service en vertu de l'article 24-22-01 de la liste d'équipement minimal (MEL) de l'A330. La mise en service de l'avion en vertu de l'article 24-22-01 de la MEL est notamment conditionnelle au fait que le groupe auxiliaire de bord (APU) fonctionne normalement et qu'il reste en marche tout au long du vol. De plus, il faut tenir compte de la consommation en carburant de l'APU au moment du calcul de la quantité de carburant nécessaire au vol. L'APU consomme environ 200 kilogrammes de carburant à l'heure (kg/h) au sol et 65 kg/h en vol.

Le système employé par Air Canada^{Footnote 2} calcule notamment la quantité de carburant nécessaire au vol. Le plan de vol informatisé a été préparé conformément à la politique sur le carburant figurant dans le manuel d'exploitation (FOM)^{Footnote 3}, et il prévoyait un surplus de 300 kilogrammes (kg) de carburant pour le fonctionnement de l'APU tout au long du vol.

Compte tenu de l'estimation du poids des passagers, la masse prévue au décollage était de 160 500 kg; le vol devait évoluer au FL350 et aucun aérodrome de dégagement n'était prévu, conformément au FOM^{Footnote 4}. Le calcul effectué par l'AFPAC pour le vol prévu de 51 minutes était le suivant :

Le BURN est la quantité de carburant nécessaire au vol qui a été établie en fonction de la trajectoire empruntée. La FIT est la quantité minimale de carburant qui, conformément à la réglementation, doit être en réserve une fois que l'aéronef est arrivé à destination.

Lorsqu'un aéronef effectue un vol sans aérodrome de dégagement, la FIT est calculée en fonction du seuil de piste à l'atterrissage. Elle comprend le carburant nécessaire pour exécuter une approche interrompue et entrer dans un circuit d'attente de 30 minutes à 1500 pieds au-dessus du niveau de la mer (asl) à 15 °C.

Quelles que soient les conditions ambiantes, une CF^{Footnote 5} permettant de rester en vol pendant 10 minutes est toujours embarquée. Dans le cas présent, la CF a été établie à 700 kg.

Toute autre quantité de carburant est embarquée en plus des exigences minimales, si le service de régulation des vols ou l'équipage juge qu'elle est nécessaire pour combler tout besoin opérationnel. Le calcul effectué par l'AFPAC comprenait donc une quantité de 1000 kg de carburant servant à tenir compte des demandes de l'ATC ainsi qu'un écart de 300 kg de carburant servant à assurer le fonctionnement de l'APU tout au long du vol, conformément aux exigences de la MEL.

L'avion est équipé de 5 réservoirs de carburant (voir la figure 1) : deux réservoirs alaires intérieurs, deux réservoirs alaires extérieurs et un réservoir d'équilibrage situé dans le stabilisateur. En tout, 4563 litres (3874 kg) de carburant Jet A1 ont été embarqués à Toronto, et la quantité totale de carburant était répartie ainsi : 450 kg de carburant dans chacun des réservoirs alaires extérieurs, gauche et droit, 4500 kg de carburant dans chacun des réservoirs alaires intérieurs, gauche et droit, et aucun carburant dans le réservoir d'équilibrage. La FOB au moment du départ était donc de 9900 kg.

Image

1.4 Renseignements sur l'aéronef

L'avion était certifié, équipé et entretenu conformément à la réglementation en vigueur et aux procédures approuvées. Par contre, l'eau que pouvaient contenir les réservoirs de carburant n'avait pas été vidangée comme le prescrivait le document de planification de la maintenance.

1.4.1 Circuit carburant de l'A330

Chacun des réservoirs intérieurs est équipé de 3 pompes à carburant électriques : deux pompes principales et une pompe auxiliaire. La quantité de carburant de chacun des réservoirs intérieurs est maintenue entre 3500 et 4000 kg au moyen des robinets de transfert des réservoirs extérieurs, lesquels s'ouvrent automatiquement pour assurer le transfert du carburant par gravité, du réservoir extérieur au réservoir intérieur. Un réservoir d'alimentation en carburant d'une capacité d'environ 1150 kg est situé dans chacun des réservoirs intérieurs. Il assure une réserve de carburant pour chacune des pompes à carburant principale ainsi qu'une protection contre le facteur de charge négative pour alimenter les moteurs. Le réservoir d'alimentation reste plein tant et aussi longtemps qu'une des pompes principales fonctionne. Le débit d'essence de l'une ou l'autre des pompes à carburant principales active une pompe jet qui aspire le carburant du réservoir intérieur afin de garder le réservoir d'alimentation plein.

L'arrêt des deux pompes à carburant principales interrompt le fonctionnement de la pompe à jet et le carburant du réservoir d'alimentation correspondant se déverse alors dans le réservoir intérieur jusqu'à ce que le niveau des deux réservoirs s'égalise. Ce processus d'équilibrage peut prendre jusqu'à 45 minutes, tout dépendant de la quantité de carburant contenu dans le réservoir intérieur.

Trois manocontacts (référence HTE69000-1) sont situés l'un à côté de l'autre dans le longeron arrière de chacune des ailes, et ils captent la pression du débit carburant de chacune des pompes au moyen d'une conduite de détection distincte (voir la figure 2). Les manocontacts déclenchent un avertissement de basse pression si la pression du débit assurée par une pompe est inférieure à 6 livres par pouce carré (lb/po²). Les pompes à carburant principales fonctionnement continuellement, tandis que les pompes auxiliaires situées à l'extérieur du réservoir d'alimentation fonctionnent seulement lorsqu'une basse pression du débit des pompes à carburant principales est détectée. Un clapet de non-retour est raccordé à l'orifice de sortie de chacune des pompes pour empêcher le retour du débit carburant vers la pompe hors tension.

Image

N'importe laquelle des 6 pompes peut alimenter les deux moteurs lorsque le robinet d'intercommunication^{Footnote 6} est ouvert. Si les 6 pompes à carburant alaires sont hors tension, l'alimentation en carburant se fait par gravité vers les pompes haute et basse pression entraînées par le moteur.

1.4.2 Renseignements sur la quantité de carburant

Une page du moniteur électronique centralisé de bord (ECAM) présente la quantité de carburant consommée, la température du carburant, la FOB ainsi que la quantité de carburant dans chacun des réservoirs (voir la figure 3). La quantité de carburant du réservoir d'alimentation intérieur est également donnée distinctement, mais elle est comprise dans la quantité de carburant contenue dans le réservoir intérieur.

Image

Les pompes à carburant sont représentées par 6 pictogrammes et une ligne verticale verte indique que la pompe fonctionne, tandis qu'une ligne horizontale signale que la pompe ne fonctionne pas. Un fonctionnement irrégulier de la pompe sera indiqué en jaune. Un avertissement de bas niveau de carburant se déclenche lorsque le niveau de carburant du réservoir alaire gauche ou droit se situe entre 1640 kg et 2700 kg, en fonction de l'assiette de l'avion^{Footnote 7}.

1.4.3 Commandes du circuit carburant

Les pompes à carburant principales et auxiliaires sont mises en marche au moyen de boutons-poussoirs (voir la figure 4) qui sont normalement enfoncés, et ne présentent aucun voyant conformément à la philosophie de « panneau de commutation sombre » d'Airbus. Le voyant du bouton-poussoir s'allume lorsque la pression du débit carburant est inférieure à 6 lb/po², et le voyant « OFF » s'allume lorsque la pompe est mise hors tension.

Image

1.5 Déroulement du vol

L'avion a décollé de Toronto à 16 h 22. La montée initiale s'est déroulée sans incident. Sept minutes après le début du vol, un message s'est brièvement affiché sur l'ECAM^{Footnote 8} pour signaler que la pression de la pompe auxiliaire droite était basse.

À 16 h 32, alors que l'avion passait approximativement le niveau de vol 250, un message d'avertissement de basse pression visant la pompe à carburant principale droite numéro deux s'est affiché, et la pompe à carburant auxiliaire de droite s'est automatiquement mise en marche. L'équipage a mis hors tension la pompe à carburant principale droite numéro deux, selon la procédure indiquée à l'ECAM^{Footnote 9}. Une minute plus tard, un avertissement de basse pression de la pompe à carburant principale droite numéro un s'est déclenché, et celle-ci a également été mise hors tension selon la procédure de l'ECAM^{Footnote 10}. À ce moment-là, les voyants indiquant une défaillance des pompes à carburant principales gauches ont clignoté, et l'équipage a exécuté une vérification du carburant pour confirmer que les nombreux avertissements de basse pression de carburant n'étaient pas causés par une fuite de carburant. On a alors constaté que la quantité de carburant à bord était d'environ 2900 kg dans chacun des réservoirs intérieurs gauche et droit.

À 16 h 37, l'avion a atteint le niveau de vol 350, et comme l'assiette de l'avion était moindre que durant la montée, l'équipage a remis les pompes à carburant principales droites sous tension pour vérifier si elles fonctionnaient, mais les indications de basse pression sont restées les mêmes. À ce moment-là, puisque la quantité de carburant à bord était déjà inférieure à 7000 kg, on a suivi la procédure ECAM prescrite par la compagnie (voir l'annexe A) en cas de bas niveau de carburant , et le service de régulation des vols de la compagnie a été informé des avertissements et des messages donnés par l'ECAM concernant le carburant.

À 16 h 39, un avis de basse pression de la pompe à carburant du réservoir d'équilibrage a été reçu, avis qui confirmait que le réservoir d'équilibrage était vide. Une minute plus tard, des avertissements de basse pression des pompes à carburant principales gauches numéro un et numéro deux ont été reçus, et les deux pompes ont été mises hors tension conformément à la procédure de l'ECAM^{Footnote 11}; il ne restait plus alors qu'une pompe auxiliaire en marche dans chacun des réservoirs intérieurs gauche et droit. L'équipage a avisé le service de régulation des vols de la compagnie des problèmes toujours croissants du circuit carburant. On a envisagé de dérouter l'avion vers un autre aéroport, mais cette solution a été écartée en raison de la proximité de l'aéroport de destination.

À 16 h 46, la descente a été amorcée, et l'équipage a remis toutes les pompes à carburant sous tension pour vérifier une fois de plus si elles fonctionneraient en situation d'assiette réduite, mais les indications de basse pression ont persisté.

À 16 h 54, alors que l'avion passait environ le niveau de vol 200 en descente, la procédure d'alimentation en carburant par gravité a été exécutée par mesure de précaution, au cas où l'une des pompes à carburant auxiliaires restantes tomberait en panne. Il n'a pas été possible de déterminer si le robinet d'intercommunication était fermé à ce moment-là. Toutefois, le robinet d'intercommunication devait être fermé au moment où l'avion se trouverait sous un plafond d'alimentation en carburant par gravité déterminé (voir l'article 1.7.2).

À 16 h 57, comme l'avion passait environ 16 000 pieds asl, des avertissements de basse pression sont apparus pour les pompes à carburant auxiliaires gauche et droite. Un avertissement de basse pression concernant la dernière pompe à carburant d'une aile génère également un avertissement de basse pression des pompes à carburant alaires. Par conséquent, l'ECAM a donné les procédures à suivre en cas de basse pression des pompes à carburant alaires de gauche et de droite^{Footnote 12}. L'équipage a exécuté la procédure affichée, qui prescrit d'ouvrir le robinet d'intercommunication et de mettre hors tension les pompes à carburant restantes, ce qui entraîne l'alimentation en carburant par gravité des moteurs.

Le service de régulation des vols de la compagnie a été avisé des nouvelles pannes, et l'on a demandé l'autorisation à l'ATC de mettre l'avion en palier à 11 000 pieds asl, de conserver une vitesse élevée et de rester à proximité de l'aéroport de destination lors des guidages radar, mais une situation d'urgence n'a pas été déclarée.

À 17 h, l'avion s'est mis en palier à 11 000 pieds asl, et la commande automatique de poussée a généré une accélération du moteur pour maintenir la vitesse. Comme les deux moteurs atteignaient environ 65 % de régime du compresseur basse pression (N1^{Footnote 13}), le débit carburant vers le moteur gauche a diminué rapidement, ce qui a réduit le N1 sous le régime de ralenti en vol et causé l'affichage d'un avertissement de décrochage moteur sur l'ECAM^{Footnote 14}. Peu après, un avertissement de panne moteur a été donné, et l'ECAM a affiché à l'écran la procédure^{Footnote 15} qui s'imposait.

Une situation d'urgence a été déclarée à l'ATC : le pilote automatique a été débranché, les manettes des gaz ont été placées au cran de poussée maximale continue, et toutes les pompes à carburant ont été remises sous tension. Le N1 du moteur gauche est resté inférieur au régime de ralenti pendant environ 30 secondes avant de commencer à augmenter pour finalement atteindre la même poussée que le moteur droit, soit environ 85 % de N1. Même si toutes les pompes à carburant avaient été remises sous tension et que le moteur avait retrouvé sa poussée, les indications concernant les pompes à carburant, affichées sur l'écran de l'ECAM, étaient toujours présentées en jaune, indiquant plusieurs défaillances. À ce moment-là, il y avait une quantité totale d'environ 5000 kg de carburant à bord.

Durant l'approche, la poussée a été augmentée manuellement pour vérifier la réaction du moteur, et l'accélération de ce dernier était normale. L'avion s'est posé à 17 h 12. Pendant que l'avion circulait au sol, on a vérifié la page du circuit carburant de l'ECAM, et plusieurs indications concernant les pompes à carburant étaient affichées en vert, donc des conditions normales. À l'arrivée de l'avion à la porte, le personnel au sol n'a constaté aucune fuite de carburant, et l'ECAM signalait une FOB de 4500 kg, ce qui correspond à la quantité de carburant à l'arrivée qu'avait prévue l'AFPAC.

1.6 Activités après le vol

Les données de l'enregistreur numérique de données de vol (DFDR) ont été téléchargées par l'exploitant, et le BST a ultérieurement obtenu le fichier sur le site Web protégé de l'exploitant. Les données du DFDR n'indiquaient pas la position du robinet d'intercommunication.

Conformément aux procédures^{Footnote 16} du FOM de la compagnie, le disjoncteur de l'enregistreur de conversations de poste de pilotage (CVR) doit être déclenché une fois l'avion arrivé à la porte d'embarquement, si un accident ou un incident s'est produit en vol. En outre, l'emplacement du disjoncteur en question est donné pour chaque type d'avion. Toutefois, le disjoncteur du CVR n'a pas été déclenché à la fin du vol en question.

L'enregistrement du CVR de l'A330 s'interrompt automatique une fois l'avion au sol, 5 minutes après l'arrêt du deuxième moteur^{Footnote 17}. Par contre, l'enregistrement au sol reprend durant les 5 premières minutes suivant l'alimentation du circuit électrique de l'avion et également après le démarrage du premier moteur. Le CVR n'a pas été retiré de l'appareil après le vol; l'enregistrement a été oblitéré au cours de l'exécution ultérieure d'un point fixe, puis oblitéré de nouveau au cours de la tenue d'essais en vol. En conséquence, les données du CVR n'ont pas été disponibles pour l'enquête du BST.

Conformément au Règlement sur le BST, « le propriétaire, l'exploitant, le capitaine et tout membre d'équipage doivent […] conserver et protéger les éléments de preuve relatifs à cet accident ou cet incident^{Footnote 18} ». À la suite de l'incident en question, l'avion a été inspecté, réparé, ravitaillé, soumis à un essai en vol puis remis en service sans que ces activités aient été coordonnées avec le BST.

La quantité de carburant qui restait dans les réservoirs a été mesurée au moyen de jauges magnétiques à main. Les résultats initiaux indiquaient une quantité totale de 3600 kg de carburant, tandis qu'une deuxième mesure a donné une quantité totale de 3800 kg de carburant. Par contre, une fois l'équilibrage du niveau de carburant dans les réservoirs intérieurs fait, les résultats indiquaient une quantité totale de 4500 kg de carburant.

L'eau a été vidangée conformément à la procédure, et chacun des réservoirs intérieurs contenait 4,5 litres d'eau. Cette quantité d'eau est considérée comme normale par Airbus. Le document de planification de la maintenance des aéronefs d'Air Canada prescrit d'exécuter une vidange d'eau à chaque vérification longue escale (intervalle de 7 jours). Si ce n'est pas possible, la vidange d'eau peut être reportée, mais l'intention n'est pas de prolonger la période entre les vidanges au-delà de la prochaine vérification longue escale. La dernière vidange d'eau avait été faite le 4 avril 2008, soit 26 jours avant l'incident en question.

Une analyse d'échantillons de carburant prélevés dans les 6 conduites de détection de carburant raccordées aux manocontacts a révélé la présence de particules en suspension. Des gouttelettes d'eau libre étaient également visibles dans les échantillons prélevés dans les pompes auxiliaires.

Durant le point fixe effectué par le personnel de maintenance après le vol, une fuite provenant du tube de vidange du dispositif de dosage de carburant (FMU) gauche a été remarquée. Même si la fuite n'a pas été un facteur contributif à l'incident, elle était supérieure aux limites acceptables. Pendant le point fixe, toutes les pompes à carburant fonctionnaient normalement. Par mesure de précaution, les pompes à carburant haute pression entraînées par le moteur de gauche et de droite ont été remplacées. Au cours de leur mise à l'essai, le rendement volumétrique et la pression des deux pompes respectaient les limites normales des paramètres de rendement. Lors du démontage de la pompe gauche, on a remarqué des signes de cavitation. Ce phénomène peut se produire lorsque de l'air entre dans la pompe.

Dans le cadre des travaux de dépannage, les FMU gauche et droit, les calculateurs de régulation et de surveillance du carburant (FCMC) et les commandes électroniques des moteurs (EEC) ont été remplacés. Tous les composants déposés ont été envoyés aux fabricants ou à un atelier de réparation agréé pour être mis à l'essai. Ces essais ont démontrés que les composants respectaient toutes les spécifications de rendement respectives. En outre, les vérifications et les essais effectués conformément au manuel de maintenance des composants du circuit carburant n'ont révélé aucune anomalie. De plus, on a constaté que les 6 manocontacts et les pompes à carburant alaires fonctionnaient normalement, et ceux-ci n'ont pas été remplacés.

Conformément aux recommandations particulières formulées par Airbus, un vol d'essai a été effectué le 4 mai 2008 pour vérifier le bon fonctionnement du circuit carburant en vol. Les essais comprenaient des opérations d'alimentation en carburant par gravité, lesquelles se sont déroulées normalement. Par contre, la quantité de carburant des réservoirs intérieurs était plus élevée que celle présente au moment de l'incident. L'avion a été remis en service le 5 mai 2008.

Par la suite, Airbus a suggéré d'autres vérifications comme d'entrer dans les 2 réservoirs internes pour les inspecter. Cette inspection a été effectuée le 4 juin 2008, et elle a permis de confirmer que les conduites de carburant, les raccords et les composants se trouvaient à la bonne place, que les robinets fonctionnaient librement et qu'ils ne fuyaient pas, et que les trous de vidange n'étaient pas obstrués. On a constaté que tous les composants fonctionnaient normalement. Le 17 juin 2008, Airbus a suggéré de remplacer les clapets de non-retour situés sur la cartouche du côté de la pompe à jet qui se trouve à l'intérieur de chacun des réservoirs d'alimentation. Ces composants ont été remplacés conformément aux recommandations. À ce moment-là, l'avion avait volé 611 heures et exécuté 85 cycles de vol depuis l'incident en question, et aucune anomalie du circuit carburant n'avait été signalée.

1.7 Procédures en cas de situation anormale

L'ECAM envoie des avertissements sonores en cas de pannes et de situations nécessitant une intervention ou l'attention de l'équipage. En outre, il analyse automatiquement les défaillances des circuits d'aéronef, et il affiche la procédure à suivre dans la partie supérieure de l'écran, tandis qu'il présente un schéma du système touché dans la partie inférieure.

1.7.1 Procédure d'anticipation d'avertissement ECAM de bas niveau de carburant

Air Canada a d'abord élaboré la procédure d'anticipation d'avertissement ECAM de bas niveau de carburant (ALFE) pour l'A340, procédure à laquelle Airbus n'a pas soulevé d'objection sur le plan technique. La procédure a ensuite été adaptée pour l'A330 et approuvée par Transports Canada. On suggère de l'utiliser lorsque l'on prévoit atterrir avec une quantité de carburant inférieure à 7000 kg à bord, ce qui était le cas dans l'incident en question. La procédure doit être exécutée durant la préparation à la descente ou pendant un circuit d'attente, et l'objectif est de réduire toutes les distractions causées par les avertissements possibles de l'ECAM concernant un bas niveau de carburant (FUEL LO LVL) durant l'approche et l'atterrissage. Cette procédure de la compagnie prévoit l'exécution de directives concernant le bas niveau de carburant des réservoirs alaires gauche et droit (FUEL L (R) WING TK LO LVL) comme, entre autres, l'ouverture du robinet d'intercommunication avant le moment habituel. Toutefois, cette procédure est contraire à la procédure d'alimentation en carburant par gravité, qui prescrit la fermeture du robinet d'intercommunication une fois que l'avion se trouve sous le plafond d'alimentation par gravité.

1.7.2 Alimentation en carburant par gravité

Lorsque les 3 pompes à carburant d'un réservoir intérieur ne fonctionnent pas, on peut quand même avoir accès au carburant grâce à la procédure d'alimentation en carburant par gravité (voir l'annexe B). La procédure prescrit de régler le commutateur d'allumage à « IGN » pour tenter de faire redémarrer le moteur si le régime de celui-ci chute sous le régime de ralenti en vol. On détermine ensuite le plafond d'alimentation en carburant par gravité et, lorsque l'avion se trouve sous ce plafond, le robinet d'intercommunication est fermé. Si, depuis le décollage, le vol dure moins de 30 minutes, le plafond d'alimentation en carburant par gravité sera de 15 000 pieds asl; s'il dure plus de 30 minutes depuis le décollage, le plafond sera de 20 000 pieds. Aucune limite relative à la quantité minimale de carburant n'est publiée concernant les opérations d'alimentation en carburant par gravité.

Une panne électrique^{Footnote 19} coupera l'alimentation électrique des pompes à carburant, et l'alimentation en carburant sera assurée par gravité. Par ailleurs, en configuration d'alimentation électrique d'urgence, alors que l'avion vole à l'aide de la turbine à air dynamique^{Footnote 20}, lorsque la vitesse est réduite^{Footnote 21}, la dernière pompe à carburant sera automatiquement mise hors tension pour réduire les charges électriques, ce qui amorcera l'alimentation en carburant par gravité. De plus, certaines défectuosités électriques commandent d'enfoncer le bouton-poussoir « LAND RECOVERY » pour rétablir l'alimentation de certains éléments nécessaires à l'atterrissage. Toutefois, lorsque l'on enfonce le bouton en question, l'alimentation électrique de toutes les pompes à carburant est coupée, et les moteurs sont alimentés en carburant par gravité.

1.7.3 Procédure en cas de décrochage moteur

Si un décrochage moteur survient, il est automatiquement détecté par le système de régulation automatique^{Footnote 22}, et le rapport air-carburant est automatiquement réduit jusqu'à la disparition du décrochage moteur. La procédure affichée dans la partie supérieure de l'ECAM prescrit de placer la manette des gaz appropriée au régime de ralenti et de vérifier les paramètres du moteur. Pendant le vol en question, un message de panne moteur a remplacé le message de décrochage moteur sur l'ECAM avant que l'équipage n'ait le temps de prendre connaissance de la procédure.

1.7.4 Procédure en cas de panne moteur

La procédure à suivre en cas de panne moteur^{Footnote 23} affichée sur l'ECAM prescrit de régler le commutateur d'allumage à « IGN » pour confirmer la tentative immédiate du système FADEC, visant à rallumer le moteur, ainsi que le réglage de la manette des gaz appropriée au régime de ralenti. Lorsqu'une procédure en cas de panne moteur s'affiche sur l'ECAM, la poussée du moteur qui fonctionne toujours est habituellement augmentée, et l'on assure la maîtrise de l'avion avant d'exécuter tout élément de la liste de vérification. Pendant que l'équipage évaluait l'avertissement de l'ECAM, augmentait la poussée du moteur qui fonctionnait toujours, remettait sous tension toutes les pompes à carburant et déclarait une urgence à l'ATC, le moteur a retrouvé sa poussée et la procédure affichée sur l'ECAM s'est effacée.

1.7.5 Liste d'équipement minimal de l'A330

La liste d'équipement minimal (MEL) de l'A330 permet de mettre l'avion en service si l'une des pompes à carburant principales ne fonctionne pas^{Footnote 24}, ce qui laisse une pompe principale et une pompe auxiliaire qui fonctionnent pour l'aile touchée. D'autres pannes des circuits électriques de l'A330, comme une panne d'un seul omnibus^{Footnote 25} sera traitée de façon semblable.

1.7.6 Manocontacts des pompes à carburant

Plusieurs rapports en service faisant état de fausses indications de basse pression de la pompe à carburant sur l'A300 et l'A310 ont poussé Airbus à publier la lettre d'information en service no 28-059 en date du 18 décembre 1996. Cette lettre indique la modification de l'emplacement de la conduite de détection de la pression carburant, afin d'éliminer tout signal erroné concernant la pression, qui était causé, croyait-on, par de l'eau qui gelait dans la conduite de détection. Airbus a déterminé que le gel du manocontact, référence HTE69000-1, causait les mauvaises indications de pression. La lettre susmentionnée recommandait de remplacer les manocontacts, référence HTE69000-1, par des manocontacts portant la référence FRH100002A ou 587-00501-000, dans les avions pour lesquels une basse pression des pompes à carburant avait été signalée. La recommandation faite dans la lettre d'information en service n'a pas donné lieu à l'adoption des manocontacts améliorés sur la chaîne de montage de l'A330. L'avion en question a été construit après la publication de la lettre d'information en service n^o 28-59, en 1999, et il a été livré avec des manocontacts portant la référence HTE69000-1.

Selon Airbus, une toute petite quantité d'eau gelée peut suffire à pousser le diaphragme à l'intérieur du manocontact, et donner une fausse indication. L'eau provenant de la conduite de détection pourrait geler sur la surface interne du diaphragme, ce qui maintiendrait un signal de pression normale de la pompe. Par conséquent, un signal de basse pression ne serait pas généré si la pompe tombait en panne. Par contre, l'humidité qui gèle et prend de l'expansion dans la zone de l'évent du manocontact pourrait avoir un effet sur l'autre côté du diaphragme et donner un signal erroné de basse pression. Même si de faux avertissements de basse pression ont déjà été signalés (y compris des avertissements de basse pression multiples), personne n'a jamais fait état de signal de basse pression émis simultanément pour toutes les pompes à carburant principales.

Airbus a publié la lettre d'information en service n^o 28-082 en date du 21 juin 2006 pour diffuser rapidement un document de référence traitant de la substitution des manocontacts originaux, référence HTE69000-1, par de nouveaux manocontacts^{Footnote 26}. La lettre en question a été modifiée le 3 mars 2008, 7 semaines après l'incident en question; on y faisait une mise à jour à l'égard de la substitution des manocontacts, et l'on avisait les exploitants aériens qu'un des nouveaux manocontacts était maintenant certifié aux fins de pose dans l'A330 et l'A340. Ces changements ont été mis en œuvre à l'étape de la construction de l'A330 et l'A340 à compter du numéro de série 0916. À la suite de l'incident en question, Airbus a suggéré de poser le tout nouveau manocontact (FRH100002A) dans l'avion. Ce remplacement a seulement pu se faire plusieurs mois après l'incident, à cause de retards dans la livraison du modèle de manocontact amélioré.

1.8 Modélisation du réservoir de carburant intérieur de l'A330

Compte tenu de l'angle du dièdre des ailes, les pompes à carburant sont situées selon différents niveaux sur les références verticales^{Footnote 27} ou l'axe Z (voir la figure 5). Pour l'A330, la référence verticale est située au-dessus du réservoir de carburant; les valeurs de la référence sont donc négatives. Deux capteurs de basse pression se trouvent à une hauteur de -2 055 millimètres (mm) et -2 081 mm dans le réservoir. Le capteur de basse pression le plus élevé est situé à 92 mm sous l'orifice d'entrée de la pompe auxiliaire, lequel se trouve à -1 963 mm.

Image

Durant l'alimentation en carburant par gravité, le carburant entre dans chacun des orifices d'entrée de la pompe principale et de la pompe auxiliaire pour s'écouler vers les pompes à carburant basse pression et haute pression entraînées par le moteur. Les orifices d'entrée des pompes principales numéro un et deux se trouvent respectivement à 126 mm et 195 mm sous l'orifice d'entrée de la pompe auxiliaire. À la longue, l'effet d'aspiration créé par les pompes entraînées par le moteur pendant l'alimentation en carburant par gravité fera entrer de l'air dans la conduite de carburant, lorsque le niveau de carburant s'approchera de l'orifice d'entrée de la pompe auxiliaire.

Théoriquement, une panne d'alimentation carburant de la pompe auxiliaire se produit lorsque la quantité de carburant se trouvant dans le réservoir intérieur, à l'extérieur du réservoir d'alimentation est réduite à 1000 kg. Par contre, un vortex peut se former au-dessus de l'orifice d'entrée de la pompe et de l'air peut être aspiré dans la conduite de carburant, même si le niveau de carburant est plus élevé que le niveau théorique d'une panne d'alimentation carburant. La profondeur du vortex change en fonction du débit du carburant qui entre dans l'orifice d'entrée de la pompe.

1.9 Analyse de Rolls Royce

L'analyse du ralentissement du moteur effectuée par le motoriste (Rolls Royce) a révélé que le débit carburant ne suffisait pas à la demande du moteur, ce qui a entraîné une panne d'alimentation en carburant du moteur. Toutefois, le débit de carburant était suffisant pour que le moteur reste allumé, et la chambre de combustion est restée au moins partiellement allumée, ce qui a permis de rétablir rapidement la poussée lorsque l'on a pu de nouveau assurer une alimentation suffisante en carburant, au moment où les pompes principales ont été remises sous tension.

1.10 Faits établis durant les essais en vol d'Airbus

En tentant de reproduire les indications de fonctionnement irrégulier du circuit carburant données au cours du vol en question, Airbus a utilisé un avion neuf pour effectuer des essais en vol. Le niveau de carburant de l'aile gauche a été réduit pour reproduire la quantité de carburant du vol en question. Les pompes à carburant principales gauches ont ensuite été mises hors tension, et l'alimentation en carburant du moteur s'est poursuivie normalement au moyen de la seule pompe à carburant auxiliaire.

Vingt-quatre minutes après l'arrêt des pompes à carburant principales gauches, un avertissement de basse pression de la pompe à carburant auxiliaire est apparu, et cette dernière a été mise hors tension, conformément à la procédure de l'ECAM. C'est alors que l'alimentation en carburant par gravité a débuté, comme dans le vol d'Air Canada. À ce moment-là, la quantité de carburant dans le réservoir intérieur gauche était de 2150 kg, dont une quantité de 550 kg se trouvait dans le réservoir d'alimentation. Par conséquent, il restait 1600 kg (2150 moins 550) dans le réservoir intérieur gauche, à l'extérieur du réservoir d'alimentation, lorsque l'avertissement de basse pression de la pompe à carburant auxiliaire est apparu.

Quatorze minutes plus tard, le moteur a commencé à fonctionner de façon irrégulière (réduction de la température des gaz d'échappement^{Footnote 28}). Les pompes principales ont été remises sous tension, et le fonctionnement du moteur est redevenu normal. À ce moment-là, le réservoir intérieur contenait 1330 kg de carburant, dont une quantité de 170 kg se trouvait dans le réservoir d'alimentation, ce qui fait que la partie du réservoir intérieur autre que le réservoir d'alimentation contenait 1160 kg de carburant.

Durant les essais en vol, le fonctionnement irrégulier du moteur s'est manifesté alors que le niveau de carburant était supérieur au niveau théorique de panne d'alimentation en carburant (1000 kg) à cause du vortex qui s'était formé à proximité de l'orifice d'entrée de la pompe auxiliaire.

Airbus estime qu'il faut 45 minutes pour que le niveau de carburant du réservoir d'alimentation soit égal à celui du carburant restant dans le réservoir intérieur, lorsque les deux pompes à carburant principales sont hors tension.

Les essais en vol d'Airbus ont démontré que la quantité de carburant du réservoir d'alimentation compris dans le réservoir intérieur est passée de 1150 kg à 550 kg en 24 minutes après la mise hors tension des deux pompes à carburant principales, ce qui donne un taux de vidange moyen de 25 kg par minute pour un réservoir d'alimentation qui contient une telle quantité de carburant.

La régulation du vol a été faite conformément aux politiques établies par la compagnie en matière de carburant, et l'avion transportait plus que la quantité minimale de carburant exigée en vertu de la réglementation en vigueur. Les avertissements de basse pression des pompes à carburant ont donné lieu à l'affichage de procédures sur l'ECAM qui, compte tenu des conditions réelles, n'étaient peut-être pas les bonnes. En outre, la conception du circuit carburant de l'A330 semble présenter des problèmes que personne n'avait encore relevés relativement à l'alimentation par gravité lorsque l'avion transporte peu de carburant. Par conséquent, de l'air a été aspiré dans la conduite de carburant alimentant le moteur, ce qui a fait ralentir le moteur sous le régime de ralenti. Les mesures prises initialement par l'équipage étaient fondées sur des procédures établies par la compagnie et celles d'Airbus. Toutefois, l'équipage a pu rétablir une alimentation suffisante du moteur en prenant des mesures qui n'étaient pas comprises dans les procédures établies, lesquelles consistaient à remettre sous tension toutes les pompes à carburant. Par conséquent, l'analyse de l'incident en question portera sur les composants et la configuration du circuit carburant de l'A330 ainsi que sur les procédures offertes aux équipages à cet égard.

Durant le vol en question, il n'y a pas eu de défectuosités électriques ayant pu toucher le circuit carburant. Après le vol, un examen des pompes à carburant a révélé qu'elles fonctionnaient normalement et, lorsque l'avion a été remis en service, aucun autre rapport n'a fait état d'avertissements de basse pression des pompes à carburant. Par conséquent, l'enquête a surtout porté sur les manocontacts pour justifier les multiples indications de basse pression.

2.1 Manocontacts des pompes à carburant

Plusieurs rapports en service faisant état de fausses indications de basse pression des pompes à carburant ont incité Airbus à publier deux lettres d'information en service : une en 1996 et une en 2006 (modifiée 7 semaines après l'incident en question). Toutefois, ces lettres ne recommandaient pas l'installation sur les avions en service des nouveaux manocontacts sauf si de fausses indications de basse pression apparaissaient.

La vidange d'eau des réservoirs de carburant n'avait pas été faite depuis 26 jours, ce qui est contraire à la consigne voulant qu'elle soit faite tous les 7 jours. Les particules ou gouttelettes d'eau en suspension qui se trouvaient dans les conduites de détection, si elles avaient gelé, auraient exercé une pression à l'intérieur du diaphragme,ce qui aurait donné une fausse indication de pression normale. Par contre, le gel et l'expansion de l'humidité dans l'évent du manocontact auraient pu avoir un effet sur l'autre côté du diaphragme, ce qui aurait donné un signal erroné de basse pression.

Comme de multiples avertissements de basse pression sont apparus, on croit qu'ils ont été faussement générés par du gel dans l'évent des manocontacts. Par conséquent, l'eau se trouvant du côté de la conduite de détection des manocontacts ne peut être considérée comme un facteur ayant contribué aux avertissements de basse pression.

Les manocontacts des 2 pompes auxiliaires et des 4 pompes à carburant principales sont situés côte à côte, ce qui les expose aux mêmes conditions environnementales. Pourtant, seuls les manocontacts des pompes principales ont vraisemblablement généré de faux avertissements de basse pression, et ce, en moins de 7 minutes. Les manocontacts des pompes auxiliaires n'ont pas signalé de fonctionnement irrégulier lorsque les pompes ont été automatiquement mises sous tension à la suite des avertissements de basse pression des pompes principales. Les pompes à carburant auxiliaires gauche et droite ont respectivement fonctionné 17 et 25 minutes avant qu'un signal de basse pression n'apparaisse. À ce moment-là, l'avion passait 16 000 pieds asl en descente vers de l'air plus chaud, et le réservoir de carburant intérieur contenait 2500 kg. Cette quantité est proche de la valeur de 2150 kg consignée par Airbus au cours de ses essais en vol, si l'on tient compte des différences entre les conditions présentes pendant les essais et le vol en question ainsi qu'entre les avions utilisés. Par conséquent, les manocontacts des pompes auxiliaires ont fonctionné normalement.

2.2 Orifice d'entrée de la pompe auxiliaire

La modélisation du réservoir de carburant intérieur d'Airbus, qui représente l'avion ailes à l'horizontale dans un angle de cabrage de 0,5 degré, établit que l'orifice d'entrée de la pompe auxiliaire ne sera pas submergé si la partie du réservoir intérieur ne comprenant pas le réservoir d'alimentation contient 1000 kg de carburant. Le carburant alimentant le moteur par gravité passe d'abord par les orifices d'entrée des deux pompes principales et de la pompe auxiliaire dans chacune des ailes au moyen de la tuyauterie d'intercommunication. Théoriquement, le débit carburant vers le moteur ne devrait pas s'interrompre lorsque l'orifice d'entrée de la pompe auxiliaire, situé à 195 mm au-dessus de la pompe principale la moins élevée, n'est plus submergé. La charge au-dessus des pompes principales devrait continuer à fournir un débit de carburant positif par les orifices d'entrée des pompes principales jusqu'à ce que l'orifice le moins élevé ne soit plus submergé, c'est-à-dire à une quantité de carburant d'environ 288 kg (voir la figure 5).

Toutefois, lorsque la seule pompe auxiliaire fonctionne, la pression de la pompe ferme le clapet de non-retour des deux pompes principales, et tout le carburant acheminé vers le moteur passe par l'orifice d'entrée de la pompe auxiliaire, ce qui crée un vortex plus profond. Par conséquent, l'air est aspiré par l'orifice d'entrée de la pompe auxiliaire plus rapidement que lorsque l'alimentation en carburant se fait par gravité.

Durant les essais en vol menés par Airbus, alors que les pompes principales étaient hors tension, un avertissement de basse pression de la pompe auxiliaire est apparu lorsque la quantité de carburant du réservoir intérieur, sans compter le carburant contenu dans le réservoir d'alimentation, était d'environ 1600 kg; cette quantité de carburant est considérablement plus élevée que la valeur de la modélisation d'Airbus fixée à 1000 kg. Comme le réservoir d'alimentation reste plein (1150 kg) tant qu'une des pompes principales fonctionne, un avertissement de basse pression pourrait apparaître même si le réservoir intérieur contient autant que 2750 kg en tout, si la dernière pompe principale était mise hors tension ou tombait en panne.

2.3 Alimentation en carburant par gravité

Durant l'alimentation en carburant par gravité, le carburant est aspiré par les pompes entraînées par le moteur et passe par les orifices d'entrée des 3 pompes au lieu du seul orifice d'entrée de la pompe auxiliaire. Par conséquent, un débit de carburant moins élevé entre dans l'orifice d'entrée de la pompe auxiliaire, ce qui réduit la profondeur du vortex; l'air ne s'infiltre donc plus dans la conduite de carburant. Toutefois, lorsque le niveau de carburant à l'extérieur du réservoir d'alimentation atteint l'orifice d'entrée de la pompe auxiliaire, l'air est de nouveau aspiré dans la conduite de carburant, ce qui provoque un fonctionnement irrégulier ou un ralentissement du moteur. Durant les essais en vol d'Airbus, l'ingestion d'air en question s'est produite 14 minutes après le début de l'alimentation en carburant par gravité, et elle a provoqué le fonctionnement irrégulier du moteur alors que la quantité de carburant dans le réservoir intérieur à l'extérieur du réservoir d'alimentation était de 1160 kg, ce qui est légèrement supérieur à la valeur de 1000 kg utilisée dans la modélisation d'Airbus.

2.4 Vol en question

Durant le vol de l'événement, la quantité de carburant à l'extérieur du réservoir d'alimentation, au moment où le moteur a ralenti, n'a pu être calculée avec précision, car les pompes à carburant principales ont été remises sous tension par l'équipage à divers moments, aux fins de dépannage. Comme les pompes principales fonctionnaient lorsque l'équipage les a remises sous tension, le débit de sortie de la pompe principale a déclenché la pompe à jet qui a transféré le carburant dans le réservoir d'alimentation. Ce transfert a réduit la quantité de carburant à l'extérieur du réservoir d'alimentation, qui aurait pu alimenter la pompe auxiliaire. Toutefois, il a été déterminé que la quantité de carburant dans le réservoir intérieur était légèrement supérieure à 2500 kg lorsque l'avertissement de basse pression de la pompe auxiliaire a été lancé durant le vol en question, contre une quantité de 2150 kg durant les essais en vol menés par Airbus. Si le réservoir d'alimentation avait été plein à ce moment (1150 kg), la quantité de carburant à l'extérieur du réservoir d'alimentation aurait été de 1350 kg (2500 moins 1150). Compte tenu d'un taux de vidange d'environ 25 kg par minute lorsque les pompes principales étaient hors tension, on peut conclure que le réservoir d'alimentation contenait moins de 1150 kg. Par conséquent, la quantité de carburant à l'extérieur du réservoir d'alimentation était supérieure à 1350 kg, comparativement à 1160 kg au cours des essais en vol, ce qui peut s'expliquer par des différences connues entre les conditions des essais en vol et celles du vol en question, comme le rendement de la pompe entraînée par le moteur et le seuil d'ouverture du clapet de non-retour de la pompe auxiliaire, la pompe étant d'un modèle plus récent dans le nouvel avion que celle de l'avion en cause dans l'incident.

En outre, le changement d'assiette au moment de la mise en palier ainsi que la demande accrue de puissance du moteur pour maintenir la vitesse sélectionnée durant le vol en question ont probablement contribué à la formation d'un vortex plus profond autour de l'orifice d'entrée de la pompe auxiliaire, ce qui peut également expliquer pourquoi, durant le vol en question, le ralentissement du moteur s'est produit seulement 4 minutes après l'avertissement de basse pression de la pompe auxiliaire au lieu du délai de 14 minutes observé durant les essais en vol d'Airbus.

Seul le moteur gauche a ralenti même si, durant le vol en question, les avertissements de basse pression des pompes auxiliaires gauche et droite sont apparus simultanément. Les pompes principales gauches ont été mises hors tension 7 minutes après les pompes principales droites, ce qui fait que le réservoir d'alimentation du réservoir intérieur gauche est resté plein 7 minutes de plus que celui du côté droit. Si l'on se fie au taux de vidange du réservoir d'alimentation gauche et à la consommation en carburant de l'APU, alimenté par le réservoir intérieur gauche, on peut déterminer que la quantité de carburant dans le réservoir intérieur gauche était inférieure à celle du réservoir intérieur droit, ce qui explique le ralentissement du moteur gauche alors que le moteur droit continuait de fonctionner normalement.

2.5 Procédure ALFE

Durant le vol en question, on a effectué la procédure ALFE de la compagnie. L'ouverture prématurée du robinet d'intercommunication n'a probablement pas aggravé les problèmes d'alimentation en carburant, car l'équipage a suivi la procédure d'alimentation en carburant par gravité, qui commande la fermeture du robinet d'intercommunication, après la procédure ALFE. Peu après, l'ECAM a affiché la procédure « FUEL WING PUMPS LO PR » visant les pompes gauches et droites, procédure qui prescrit également d'ouvrir le robinet d'intercommunication. Par conséquent, le robinet d'intercommunication était probablement ouvert au moment où le moteur a ralenti.

La procédure ALFE a été développée comme mesure proactive afin d'éviter que l'équipage ne soit distrait par les messages de l'ECAM et les procédures connexes durant l'approche et l'atterrissage, lorsque la quantité de carburant à bord est inférieure à 7000 kg. Toutefois, elle présente un autre risque puisqu'elle prescrit à l'équipage d'ouvrir prématurément le robinet d'intercommunication, tandis que certaines procédures ECAM d'Airbus précisent qu'il faut fermer le robinet d'intercommunication^{Footnote 29}. Ces instructions contradictoires concernant la position du robinet d'intercommunication pourraient porter à confusion, causer une distraction et inciter l'équipage à prendre des mesures inappropriées.

2.6 Points faibles du circuit carburant

La conception actuelle du circuit carburant de l'A330 est telle que lorsque les pompes à carburant principales ne fonctionnent pas, l'orifice d'entrée de la pompe auxiliaire située au niveau le plus élevé permet à l'air d'entrer dans le circuit, même si la quantité de carburant peut être aussi élevée que 2750 kg. Comme les 2 capteurs de bas niveau de carburant se trouvent sous le niveau de l'orifice d'entrée de la pompe auxiliaire, l'ECAM n'a pas généré un avertissement de bas niveau de carburant au cours des essais en vol et du vol où l'événement s'est produit. Par conséquent, l'équipage n'a pas été avisé à l'avance qu'une panne moteur était imminente à cause d'ingestion d'air dans la conduite de carburant, lorsque les pompes à carburant principales ne fonctionnaient pas.

La MEL autorise la mise en service d'un avion si une pompe à carburant principale ne fonctionne pas, mais que l'autre pompe principale et la pompe auxiliaire fonctionnent. Toutefois, la MEL ne tient pas compte de l'ingestion possible d'air lorsque la quantité de carburant est inférieure à 2750 kg. D'autres pannes électriques de l'A330, comme une panne d'omnibus^{Footnote 30}, pourraient faire que l'avion vole avec une seule pompe à carburant principale qui fonctionne dans le réservoir intérieur, ce qui reproduirait la condition de la MEL citée précédemment et mènerait au même niveau de vunérabilité.

Il est peu probable que diverses pannes non connexes menant à une alimentation en carburant par gravité se produisent tandis qu'un bas niveau de carburant favorise l'entrée d'air dans le circuit. Toutefois, certaines défaillances électriques, ainsi que l'utilisation du bouton-poussoir « LAND RECOVERY », entraînent une alimentation en carburant par gravité, sans aucune défaillance du circuit carburant. Par conséquent, les procédures qui prescrivent l'utilisation de la fonction « LAND RECOVERY » lorsque la quantité de carburant de chacun des réservoirs intérieurs est inférieure à 2500 kg pourraient provoquer une panne moteur, comme dans le vol en question.

Aucun des documents en circulation au moment de l'incident ne faisait état des vulnérabilités du circuit carburant lorsque le niveau de carburant est bas. Il est essentiel que les membres des équipages soient au courant de ces problèmes et les comprennent bien, car ceux-ci peuvent avoir une incidence sur la prise d'une décision de dérouter l'avion plus tôt pendant le vol. Cette documentation doit également expliquer clairement à l'équipage les liens entre le fonctionnement des pompes principales et le niveau de carburant à l'intérieur du réservoir d'alimentation. Les équipages pourraient alors confirmer si les pompes principales fonctionnent en observant si la quantité de carburant atteint 1150 kg dans le réservoir d'alimentation.

Dans les circuits types d'un avion, un composant désigné comme étant « auxiliaire » lui confère une fonction d'élément ou de circuit de secours. Dans le circuit carburant de l'A330, la pompe auxiliaire ne répond pas à ces attentes si le niveau de carburant est bas. Bien que les pompes principales puissent, grâce à la pompe à jet, extraire tout le carburant jusqu'à ce qu'il ne reste plus que 8,3 kg (voir la figure 5) dans le réservoir, la pompe auxiliaire peut ne plus être alimentée lorsque la quantité de carburant dans le réservoir est aussi élevée que 2750 kg. En outre, durant l'alimentation en carburant par gravité, l'orifice d'entrée de la pompe auxiliaire a laissé entrer de l'air dans le circuit alors que la quantité de carburant était tout juste inférieure à 2500 kg, pendant le vol en question. Si le circuit était configuré autrement, c'est-à-dire si la pompe auxiliaire se trouvait dans le réservoir d'alimentation et à la même hauteur que les pompes principales, la panne d'alimentation en carburant se produirait à environ 462 kg (voir la figure 5), lorsque l'orifice d'entrée de la pompe principale la plus haute ne serait plus submergé. Dans ce scénario, l'équipage recevrait un avertissement de bas niveau de carburant avant la panne d'alimentation en carburant.

L'enquête a établi que les avertissements de basse pression des pompes principales étaient fort probablement erronés, tandis que les avertissements de basse pression de la pompe auxiliaire générés durant l'incident étaient justifiés. En outre, il est probable qu'un ralentissement suivi d'une panne du moteur droit étaient éminents, si l'équipage n'avait pas remis toutes les pompes à carburant sous tension.

3.1 Faits établis quant aux causes et aux facteurs contributifs

1. Les avertissements de basse pression des pompes principales ont été générés par erreur, peut-être en raison du gel des manocontacts. En conséquence, les pompes à carburant qui fonctionnaient normalement ont été mises hors tension, comme le prescrivait la procédure affichée sur l'ECAM.
2. La basse pression de la pompe auxiliaire a été provoquée par l'air ingéré par l'orifice d'entrée de la pompe alors que la quantité de carburant dans le réservoir était d'un peu plus de 2500 kg. Ce phénomène peut se produire avec jusqu'à 2750 kg de carburant dans un réservoir de carburant intérieur, lorsque les pompes à carburant principales ne fonctionnent pas.
3. La conception du circuit carburant de l'A330 permet à l'air d'entrer dans le circuit par l'orifice d'entrée de la pompe auxiliaire, au cours d'une alimentation en carburant par gravité, quand la quantité de carburant dans le réservoir intérieur est inférieure à 2500 kg. Par conséquent, il s'est produit un ralentissement du moteur gauche.

3.2 Faits établis quant aux risques

1. La position des capteurs de bas niveau de carburant sous le niveau de l'orifice d'entrée de la pompe auxiliaire fait en sorte qu'une panne d'alimentation de la pompe auxiliaire peut survenir avant que l'ECAM affiche un avertissement de bas niveau de carburant, si les pompes à carburant principales ne fonctionnent pas. Par conséquent, l'équipage peut ne pas être au courant qu'une panne moteur causée par l'ingestion d'air dans le circuit d'alimentation est imminente lorsque la quantité de carburant du réservoir est inférieure à 2750 kg.
2. La documentation actuelle traitant de l'A330 n'informe pas les équipages des vulnérabilités du circuit carburant lorsque le niveau de carburant est bas. Par conséquent, en présence de certaines pannes, les mesures prises par l'équipage pour engager l'alimentation en carburant par gravité pourraient causer une panne moteur.
3. La procédure d'anticipation d'avertissement ECAM de bas niveau de carburant (ALFE) adoptée par la compagnie prescrit des éléments qui peuvent être contraires aux procédures recommandées par Airbus. Par conséquent, elle peut porter à confusion et inciter les équipages à omettre des éléments essentiels figurant dans les procédures recommandées par Airbus, ce qui accroît le risque d'une panne d'alimentation en carburant.
4. La mise en service en vertu de la liste d'équipement minimal (MEL), avec une pompe à carburant principale qui ne fonctionne pas, peut présenter un risque de panne d'alimentation en carburant pendant le vol si la quantité de carburant dans le réservoir intérieur chute sous les 2500 kg et que la pompe à carburant principale restante cesse également de fonctionner.
5. La vidange d'eau des réservoirs de carburant n'avait pas été exécutée selon la procédure de la compagnie. L'avion a été utilisé pendant une longue période sans que la vidange d'eau des réservoirs de carburant soit faite; il y avait donc un risque accru de contamination du carburant par l'eau.
6. L'enregistreur de conversations de poste de pilotage (CVR) n'a pas été mis hors tension, et les données de l'incident n'ont pas été conservées après l'événement; les conversations tenues dans le poste de pilotage ont donc été oblitérées. Par conséquent, les enquêteurs du BST n'ont pas eu accès aux renseignements concernant l'incident contenus dans le CVR.

3.3 Autre fait établi

1. Après l'incident, l'avion a été inspecté, réparé, ravitaillé, mis à l'essai en vol et remis en service sans qu'aucune activité ne soit coordonnée avec le BST. Par conséquent, presque tous les éléments de preuve liés à l'incident en question ont été déplacés par plusieurs parties avant que l'enquête du BST ne commence.

4.1 Mesures prises

4.1.1 Air Canada

• Le chef de la flotte a diffusé un bulletin pour donner des renseignements de base aux équipages et communiquer les renseignements issus des essais en vol, des analyses et des conclusions d'Airbus.
• Tous les manocontacts ont été remplacés par le dernier modèle (FRH100002A) recommandé.
• Un bulletin technique d'aéronef a été publié pour établir à 3600 kg la quantité minimale de carburant à l'arrivée de l'A330.
• La procédure de vidange de l'eau est maintenant exécutée à chaque vérification longue escale sans possibilité de reporter la procédure en question.
• La procédure à suivre en présence d'un ALFE de l'A330 a été abolie.

4.1.2 Airbus

• Une révision provisoire (n^o 251-1) visant l'A330 a été publiée en novembre 2008, et elle précise que la procédure d'alimentation en carburant par gravité ne peut être utilisée si un réservoir contient moins de 2000 kg de carburant.
• Les révisions provisoires n^o 01-28/010 et n^o 02- 28/020, datées d'octobre 2009 et approuvées par l'Agence européenne de la sécurité aérienne (AESA) le 16 novembre 2009, mettent à jour la MEL de l'A330. Les conditions et procédures opérationnelles à suivre dans le cas d'une mise en service de l'avion avec une pompe à carburant principale du réservoir intérieur qui ne fonctionne pas ont été modifiées pour garantir que le robinet d'intercommunication fonctionne et qu'une quantité supplémentaire de 2000 kg est chargée à bord de l'avion.

Le présent rapport met un terme à l'enquête du Bureau de la sécurité des transports du Canada (BST) sur cet événement. Le Bureau a autorisé la publication du rapport le 6 août 2010.

Annexe A — ALFE - Procédure de l'ECAM en cas de présumé bas niveau de carburant

Document disponible en anglais seulement.

Image

Annexe B — Procédure d'alimentation en carburant par gravité de l'A330

Document disponible en anglais seulement.

Image

Annexe C — Abréviations

AESA

Agence européenne de la sécurité aérienne

AFPAC

système automatisé de planification de vol d'Air Canada

agl

au-dessus du sol

ALFE

Procédure d'anticipation d'avertissement ECAM de bas niveau de carburant

ALTN

réserve pour se rendre à l'aérodrome de dégagement

AOM

manuel d'exploitation d'aéronef

APU

groupe auxiliaire de bord

asl

au-dessus du niveau de la mer

ATC

contrôle de la circulation aérienne

BURN

carburant pour se rendre à destination

CVR

enregistreur de conversations dans le poste de pilotage

CF

réserve de carburant en cas d'imprévus

DFDR

enregistreur numérique de données de vol

ECAM

moniteur électronique centralisé de bord

EEC

commandes électroniques des moteurs

EGT

température des gaz d'échappement

FADEC

régulation automatique à pleine autorité redondante

FCMC

calculateurs de régulation et de surveillance du carburant

FIT

réserve minimale de carburant

FMU

dispositif de dosage de carburant

FOB

quantité totale de carburant à bord

FOM

manuel d'exploitation

ISA

atmosphère type internationale

kg

kilogrammes

kg/h

kilogramme à l'heure

MEL

liste d'équipement minimal

mm

millimètres

N₁

régime du compresseur basse pression

lb/po²

livres par pouce carré

RAT

turbine à air dynamique

Tr/min

tours par minute

BST

Bureau de la sécurité des Transports du Canada

°C

degré Celsius

Image

Appendix B — A330 Gravity Fuel Feeding Procedure

Image