Rapport d'enquête aéronautique A11O0031

Le Boeing 737-8Q8 (immatriculé C-FTAH, numéro de série 29351) effectue le vol 531 de Sunwing Airlines en partance de l'Aéroport international Lester B. Pearson-Toronto (Ontario) à destination de l'aéroport international de Cozumel (Mexique), avec 189 passagers et 7 membres d'équipage à bord. Pendant la course au décollage, à une vitesse indiquée d'environ 90 nœuds, l'automanette se désactive une fois la poussée au décollage réglée. Lorsque la vitesse de l'aéronef approche la vitesse minimale en cas de panne de moteur critique, le copilote, qui est le pilote aux commandes, voit l'alerte Airspeed Disagree [TR : désaccord vitesse indiquée] et cède les commandes au commandant de bord, qui poursuit alors le décollage. Au cours de la montée initiale, un avertissement de décrochage est émis (actionnement du vibreur de manche), suivi d'une indication du directeur de vol d'abaisser le nez de 5°. Le décollage est effectué dans des conditions de vol à vue, ce qui permet au commandant de bord de constater que les indications du directeur de vol sont erronées. Le commandant de bord ne tient pas compte de ces indications et maintient l'assiette de montée. L'équipage de conduite avise le contrôleur de la circulation aérienne qu'un problème technique exige le retour de l'aéronef à Toronto. L'équipage de conduite ne déclare pas une urgence, mais demande que les services de sauvetage et de lutte contre les incendies d'aéronef soient mis en état d'alerte en raison de l'atterrissage en surcharge. Cet événement a lieu à 6 h 57, heure avancée de l'Est, alors qu'il fait noir. L'avion atterrit à 7 h 23, pendant le crépuscule civil.

Déroulement du vol

Le vol a été planifié de manière que le copilote, occupant le siège de droite, était le pilote aux commandes pendant le décollage et que le commandant de bord, occupant le siège de gauche, était le pilote surveillant. La longueur de la piste 23 et la masse brute au décollage permettaient un décollage à poussée réduite. Selon le Manuel d’exploitation de l’équipage de conduite de Boeing, la valeur de V1 est une vitesse indiquée de 149 nœuds (KIAS).

Le poste de pilotage était configuré pour que le copilote soit le pilote aux commandes de l’aéronef; par conséquent, le directeur de vol du copilote était sélectionné comme directeur de vol principal. Ceci signifie que ce directeur de vol affichait l’information à la fois sur les instruments de vol du commandant de bord et sur ceux du copilote, sauf pendant la course au décollage et la montée initiale^{Footnote 1}.

Le contrôleur de la tour a demandé au vol 531 de Sunwing Airlines (SWG 531) d’aligner l’aéronef sur la piste 23, et cette autorisation a été confirmée. Le contrôleur de la tour a ensuite autorisé le décollage du vol SWG 531. Le vol SWG 531 a transmis ce qui semblait être un signal porteur avec microphone en service permanent, sans toutefois transmettre une relecture discernable de l’autorisation. Quinze secondes plus tard, le contrôleur de la tour a répété l’autorisation de décollage et a reçu encore une fois une réponse semblable.

À 6 h 55^{Footnote 2}, l’aéronef s’est placé en position de décollage sur la piste. L’équipage a actionné le poussoir de décollage et remise des gaz (TOGA). Les manettes des gaz se sont déplacées vers l’avant pour le réglage de décollage, commandées par le système d’automanettes, et la barre directrice du directeur de vol sur l’écran principal de vol des 2 pilotes indiquait de prendre une assiette de tangage de 10° vers le bas, comme prévu. Le décollage s’est poursuivi comme suit :

Le commandant de bord a fait un compte rendu de l’événement au personnel de maintenance de l’exploitant. Il a aussi été question de ce qui devait être consigné dans le carnet de bord de l’aéronef. En fin de compte, seuls l’indication de vitesse non fiable et l’atterrissage en surcharge ont été consignés dans le carnet de bord^{Footnote 13}. Le commandant de bord a également soumis un rapport de sécurité aérienne de l’entreprise, qui faisait état de l’indication de vitesse non fiable et de l’activation du vibreur de manche. En dernier lieu, le commandant de bord a soumis un troisième rapport, cette fois au pilote en chef. Ce rapport portait notamment sur l’activation du vibreur de manche, l’avertisseur sonore de survitesse, l’indication erronée d’un directeur de vol, l’indication d’altitude non fiable, la désactivation de l’automanette, le retour des EEC en mode « alternate » et le problème de communication radio.

Conditions météorologiques

Les conditions météorologiques signalées au moment de l’événement étaient les suivantes : couvert nuageux à 1800 pieds agl, visibilité de 15 milles terrestres et vents du 290° vrai à 11 nœuds. La température était de 1 °C, et le point de rosée était de −2 °C, avec un calage altimétrique de 29,98 pouces de mercure.

Les conditions météorologiques n’ont pas eu d’incidence sur cet événement. Elles ont d’ailleurs permis à l’équipage de conduite de se fier aux repères visuels extérieurs, jusqu’à ce qu’il puisse établir quels instruments du poste de pilotage étaient fiables et lesquels ne l’étaient pas.

Équipage de conduite

Les dossiers indiquent que l’équipage de conduite possédait les licences et les qualifications nécessaires au vol en vertu de la réglementation en vigueur. Les 2 membres de l’équipage de conduite n’avaient pas été en service depuis 72 heures et étaient bien reposés.

Aéronef

Les dossiers indiquent que l’aéronef était homologué, équipé et entretenu conformément à la réglementation en vigueur et aux procédures approuvées.

Un schéma du circuit anémométrique du Boeing 737-800 se trouve à l’Annexe D. Les tubes de Pitot gauche et droit sont raccordés chacun à un module de données aérodynamiques (ADM) qui convertit la pression totale en un signal électrique qui est transmis à l’ADIRU connexe. L’ADIRU calcule la vitesse indiquée et l’altitude en fonction des pressions statique et totale, y compris les corrections d’erreur de position. Chaque ADIRU fournit l’information obtenue du circuit anémométrique aux autres systèmes de l’aéronef, dont le directeur de vol, le dispositif de gestion du décrochage et d’amortissement de lacet (SMYD) et les modules électroniques d’affichage (DEU). Ces systèmes sont doublés sur le côté gauche et droit de l’avion et fonctionnent indépendamment. Les DEU sont raccordés à un seul bus numérique ARINC 429 qui assure l’échange d’information avec les autres systèmes de l’aéronef, dont les écrans et les EEC du poste de pilotage. L’aéronef est également équipé d’un écran de vol de secours intégré, qui indique la vitesse indiquée et l’altitude depuis une troisième source indépendante.

Le personnel de maintenance a procédé à des tests de diagnostic des systèmes de l’aéronef et n’a trouvé aucun problème, bien que le système de référence inertielle anémobarométrique (ADIRS) ait enregistré 3 événements de désaccord de la vitesse indiquée. Le tube de Pitot droit a été inspecté et aucun corps étranger n’y a été décelé.

Le 11 mars 2011, soit 2 jours avant l’incident, le tube de Pitot droit de l’aéronef a heurté un hibou au cours d’un décollage à Puerto Vallarta (Mexique). Le carnet de bord indique que les EEC sont revenues en mode « soft alternate » et que l’indication de vitesse du copilote était erronée. Le vol est revenu à Puerto Vallarta et le tube de Pitot a été nettoyé. L’aéronef a été remis en service et a effectué 5 vols sans défaillance associée à cet incident jusqu’à l’événement présent.

En se fondant sur cet incident antérieur, et en raison du fait qu’aucun composant défectueux n’a été décelé de façon définitive, le personnel de maintenance a remplacé le tube de Pitot droit et l’ADM correspondant. L’aéronef a été remis en service et le problème n’est pas survenu depuis. L’ADM a été retourné pour une révision. Une inspection effectuée avant la révision a permis de constater qu’il n’y avait aucune défectuosité, débris ou corps étranger, et que l’ADM fonctionnait normalement.

Avis de Boeing concernant les indications de vitesse erronées

Les normes de navigabilité régissant les aéronefs de la catégorie transport exigent que :

[Traduction] […] les systèmes et les composants connexes des aéronefs, pris séparément et en fonction des autres systèmes, soient conçus de manière […] que toute situation de défaillance qui empêcherait la poursuite d’un vol et d’un atterrissage sécuritaires soit extrêmement improbable, et que toute autre situation de défaillance qui réduirait la capacité de l’aéronef ou de l’équipage à prendre des mesures à l’égard de mauvaises conditions de fonctionnement soit improbable^{Footnote 14}.

Ces normes exigent également que des [traduction] « avertissements soient prévus pour alerter l’équipage de conditions d’exploitation non sécuritaires, et pour lui permettre de prendre des mesures correctives appropriées »^{Footnote 15}.

En septembre 2010, Boeing émettait à l’intention des exploitants de Boeing 737NG^{Footnote 16} un avis concernant la détection, par les équipages de conduite et les systèmes d’aéronefs, des indications de vitesse erronées sur l’écran principal, et l’intervention à cet égard. On y indiquait dans les termes suivants que les événements d’indications de vitesse erronées pouvaient compromettre la sécurité d’un vol :

[Traduction] Le taux d’occurrence d’événements de vitesse indiquée non fiable sur plusieurs canaux, ainsi que l’incapacité probable de l’équipage de conduite de reconnaître cette situation et d’intervenir de façon appropriée en temps opportun, font en sorte qu’il n’est pas possible de garantir que la poursuite d’un vol et d’un atterrissage sécuritaires sont extrêmement improbables^{Footnote 17}.

Dans cet avis de Boeing, on indique que ce problème concerne également d’autres modèles d’aéronefs, et qu’il y a d’autres facteurs, dont les conditions environnementales, les facteurs humains ou les défaillances de matériel, qui peuvent contribuer à faire passer le taux d’occurrence de ces événements au-delà du taux prévu. On y indique également que le contenu des listes de vérification en situation anormale pourrait retarder l’intervention de l’équipage ou contribuer à la retarder.

Le volet de surveillance de la sécurité du système de gestion de la sécurité (SGS) de Sunwing comprend un processus d’analyse proactif des dangers. Sunwing a reçu l’avis de Boeing. Bien que l’avis de Boeing relève que le programme de formation des équipages de conduite n’exigeait pas de formation périodique sur les cas d’indications de vitesse erronées et que ces événements se produisaient plus souvent que prévu, Sunwing n’a pas jugé que cet avis énonçait un danger qui devait être soumis à son processus d’analyse proactif. Par conséquent, l’avis n’a pas été distribué aux équipages de conduite.

Le 22 mars 2012, Boeing émettait une mise à jour de cet avis dans laquelle on indiquait ne pas avoir trouvé de cause profonde unique à ce problème. Boeing mentionnait la formation et la prise de mesures procédurales comme moyens de traiter ce problème, et indiquait que des changements seraient apportés au manuel d’exploitation de l’équipage de conduite et aux manuels de maintenance et que des articles seraient ajoutés au manuel de formation des équipages de conduite, et ce, vers le 9 octobre 2012 selon ses estimations.

L’exploitant

Sunwing Airlines Inc. détient un certificat d’exploitation aérienne et est un organisme de maintenance agréé. Sunwing a commencé ses activités en novembre 2005 et offre des vols réguliers et non réguliers à destination des Caraïbes, du Mexique et des États-Unis à partir de l’Aéroport international Lester B. Pearson-Toronto et de l’aéroport international Pierre-Elliott-Trudeau de Montréal.

L’entreprise emploie plus de 500 personnes, dont des techniciens d’entretien d’aéronefs (TEA), des agents de bord et des pilotes. En outre, des employés de différentes disciplines soutiennent les activités de l’entreprise, dont des agents d’opérations, des préposés à l’affectation des équipages et du personnel de soutien pour les tâches de contrôle des opérations et de la maintenance.

Au moment de l’incident, la flotte de Sunwing était constituée de Boeing B737-800 loués. Le nombre d’avions varie selon la saison, soit de 4 à 20 aéronefs environ.

Systèmes de gestion de la sécurité

En 2005, le Règlement de l’aviation canadien (RAC) a été modifié afin d’exiger que les titulaires de certains documents d’aviation canadiens, y compris d’un certificat d’exploitation aérienne délivré en vertu de l’article 705.07 du RAC, établissent et maintiennent un SGS et s’y conforment. Les SGS ont été adoptés à l’échelle internationale par l’Organisation de l’aviation civile internationale (OACI), dont le Canada fait partie.

Un SGS est conçu pour intégrer systématiquement la détection des dangers et la gestion des risques aux activités de l’entreprise et pour faire partie inhérente des activités à tous les échelons. La gestion de la sécurité ne doit plus être considérée comme une activité distincte au sein de l’entreprise. Les entreprises qui mènent leurs activités en vertu de la Partie 705 du RAC sont tenues de disposer d’un SGS qui comprend notamment :

• une politique en matière de sécurité que le gestionnaire supérieur responsable a approuvée et communiquée à tous les employés;
• une politique qui permet de rendre compte à l’interne des dangers, des incidents et des accidents, laquelle prévoit les conditions selon lesquelles l’immunité à l’égard des mesures disciplinaires sera accordée;
• une marche à suivre visant la collecte de données concernant les dangers;
• une marche à suivre visant l’analyse des données recueillies et la prise de mesures correctives;
• des procédures pour l’établissement d’objectifs de performance et des moyens pour déterminer la mesure dans laquelle les objectifs ont été atteints, une marche à suivre visant la présentation de rapports d’étape et un examen du système de gestion de la sécurité pour en déterminer l’efficacité^{Footnote 18}.

Le SGS doit comprendre notamment :

• un processus réactif permettant de faire rapport sur les dangers, les événements et les préoccupations liées à la sécurité, d’enquêter sur ceux-ci, de les analyser et d’apporter des correctifs;
• un processus proactif qui vise à relever les dangers potentiels et à évaluer les risques qui y sont associés avant qu’un incident ne se produise.

Bien que les exploitants régis par la sous-partie 705 du RAC ne soient pas tenus d’avoir un programme d’assurance qualité, leur plan de gestion de la sécurité doit comprendre un examen du système de gestion de la sécurité afin d’en déterminer l’efficacité^{Footnote 19}.

Transports Canada évalue les SGS des exploitants afin d’en déterminer l’efficacité. Cette évaluation comprend un examen des documents et une vérification sur place de toute l’entreprise afin de déterminer si le SGS est documenté, s’il a été mis en œuvre et s’il est efficace. De plus, Transports Canada effectue des inspections de validation de programmes (IVP), qui comprennent l’examen ciblé d’un élément ou plus d’une entreprise ou de son SGS.

Transports Canada surveille l’ensemble des processus du SGS de l’exploitant, plutôt que de surveiller de façon normative et détaillée des activités et des actions données, comme par le passé. Les directives de Transports Canada à ses inspecteurs qui évaluent les SGS et effectuent des IVP au moment de l’événement en cause stipulent ce qui suit :

La mise en place de systèmes de gestion de la sécurité (SGS) au sein du milieu de l’aviation changera radicalement la façon dont Transports Canada (TC) conçoit ses responsabilités en matière de surveillance… Les méthodes de surveillance classiques consistaient uniquement à déterminer la conformité réglementaire au moyen d’un système d’inspection directe qui visait les aéronefs, le personnel, les dossiers et autres systèmes d’un organisme. La nouvelle méthode faisant appel à des évaluations et à des IVP permettra de faire évoluer la surveillance effectuée par TC, au-delà d’une simple vérification de conformité, vers un système qui permet d’examiner l’efficacité du système de gestion d’un organisme. Ces changements vont de pair avec les principes des SGS selon lesquels l’organisme assume son rôle de propriétaire en gérant les risques de façon proactive et en ayant des programmes en place pour assurer son propre niveau de conformité réglementaire. Quant à TC, il veille à ce que l’organisme dispose de politiques, de processus et de procédures efficaces pour remplir le rôle qui lui incombe^{Footnote 20}.

À mesure que le SGS d’un exploitant se perfectionnera, TC passera de la vérification et de l’inspection classiques à la vérification des processus. La surveillance du SGS portera alors de plus en plus sur les résultats du programme d’assurance qualité de l’exploitant.

Système de gestion de la sécurité de Sunwing

Sunwing a mis en place un SGS conformément à l’article 705.07 du RAC. Le manuel du SGS de Sunwing a été publié en mai 2006 et a subi plusieurs modifications au fur et à mesure que l’entreprise se préparait à se conformer à l’exigence du RAC en matière de SGS. Au moment de l’événement en cause, le manuel en était à sa septième révision, datée du 30 juin 2009. Le manuel du SGS traitait de la structure organisationnelle de l’exploitant et de la conception et de la fonction générales du SGS au sein de l’entreprise, ainsi que présentait le gestionnaire supérieur responsable (le président de l’entreprise) et énonçait les rôles et responsabilités des principaux intervenants du SGS, dont ceux du bureau de la sécurité. On y décrivait le plan de gestion de la sécurité, les processus de gestion des documents, la surveillance de la sécurité, la formation, l’assurance qualité, ainsi que la préparation aux situations d’urgence et les mesures prises à cet effet.

Le manuel du SGS indiquait que Sunwing avait terminé l’élaboration initiale de son SGS, dont les volets de gestion des documents, de formation, d’établissement réactif et proactif de rapports et d’analyse des dangers. Le manuel décrivait en détail le processus d’élaboration, d’examen et de diffusion des politiques de l’entreprise en matière de sécurité et de signalement non punitif. Ces 2 éléments ont été annexés au manuel. Le manuel décrivait également les processus de documentation et de communication connexes, y compris les méthodes écrites, orales et électroniques à utiliser, ainsi que différentes façons d’encourager la participation des employés, dont des réunions, des sondages, des concours et des demandes de suggestions.

Dans la partie traitant de la surveillance de la sécurité, on y indiquait que les processus réactifs et proactifs constituaient les 2 principaux moyens de surveillance de la sécurité au sein de l’entreprise. On y précisait que les processus réactifs étaient ceux qu’on engageait à la suite de signalements d’événements, et les processus proactifs, à la suite d’examens de la sécurité, de signalements de dangers et d’évaluations. Le manuel expliquait les politiques sur lesquelles se fondait le signalement d’événements et précisait les formulaires et les méthodes de l’entreprise que les employés pouvaient utiliser pour préparer et présenter un rapport. Les processus réactifs et proactifs sont amorcés lorsqu’un employé signale un événement ou un danger pour la sécurité dans un rapport présenté au bureau de la sécurité. Le manuel du SGS décrivait en détail le processus de traitement des rapports entre le bureau de la sécurité et le service concerné et expliquait en détail la manière d’effectuer une analyse des dangers et des risques^{Footnote 21}.

En ce qui concerne le processus réactif d’établissement de rapports, le manuel du SGS précisait les événements qui requéraient un rapport sur la sécurité. La formation des employés sur le SGS comprenait un module traitant des événements à signaler. Ces événements n’y étaient toutefois pas documentés.

En ce qui concerne le processus proactif, le manuel du SGS indiquait qu’il fallait procéder à une analyse des dangers avant que des changements importants soient apportés aux activités de l’entreprise, y compris, mais non exclusivement, ce qui suit : l’ajout d’un avion de type existant à la flotte, l’ajout d’un nouveau type d’avion, des changements de procédures ayant une incidence sur la sécurité opérationnelle, des changements à la structure organisationnelle de l’entreprise, un changement de personnel clé et des modifications à la voie hiérarchique ou à la voie de communication.

Les processus réactifs et proactifs comprenaient tous deux une évaluation précoce des risques visant à établir le niveau d’intervention requis et le type d’enquête à effectuer. Un événement jugé comme un risque important pour l’entreprise justifiait la tenue d’une enquête approfondie.

La partie du manuel du SGS traitant de l’assurance qualité portait principalement sur le fonctionnement des processus du SGS au sein de l’entreprise, avec l’objectif d’assurer la conformité à la réglementation ainsi que la conformité des méthodes de travail aux processus documentés, et d’évaluer l’efficacité de ces processus.

Le SGS de Sunwing a été examiné par Transports Canada en septembre 2009. Transports Canada a alors effectué une évaluation du SGS, qui comprenait un examen des manuels de politiques et de procédures de Sunwing, afin de vérifier la conformité aux règlements en vigueur. Cette évaluation comprenait aussi un examen sur place visant à évaluer le niveau de connaissance des tâches et des responsabilités de chacun et à déterminer si les processus et procédures documentés de l’entreprise étaient accessibles. À la suite de cette évaluation, TC a relevé plusieurs lacunes dans le SGS de Sunwing.

Les constatations les plus pertinentes par rapport à l’événement en cause sont les suivantes :

• Procédure d’analyse des dangers non suivie conformément au manuel du SGS : l’exemple cité relate que des analyses de dangers concernant l’exploitation dans un nouvel aéroport avaient été effectuées, mais qu’elles n’avaient pas été documentées. Un autre exemple cité est que, bien qu’il y ait en place un processus pour analyser l’incidence d’un changement de personnel clé, aucune documentation ne précisait les personnes constituant ce personnel clé. Le plan de mesures correctives de l’entreprise proposait d’actualiser le processus de formation sur l’analyse des dangers, d’indiquer quand et comment mener à terme et documenter le processus, de modifier le manuel d’exploitation des aéronefs afin d’y inclure l’exigence de documenter et de conserver les évaluations des dangers et de consigner la définition de personnel clé dans le manuel de politiques du SGS.
• Procédure d’enquête : l’évaluation du SGS a révélé que la procédure d’enquête n’était pas détaillée dans le manuel du SGS, et que les coordonnateurs de la sécurité n’étaient pas en mesure d’expliquer ce processus. Le plan de mesures correctives de l’entreprise indiquait qu’un examen de l’efficacité de la procédure d’enquête avait été effectué et que celle-ci serait présentée dans le manuel de procédures du SGS. On y proposait de fournir une formation au personnel concerné.
• Formation incomplète des enquêteurs : l’évaluation du SGS a révélé que les coordonnateurs de la sécurité n’avaient pas reçu de formation ciblée sur leurs responsabilités, et que le programme de formation ne traitait pas de toutes leurs responsabilités. L’évaluation a aussi révélé que le manuel du SGS ne comportait pas de processus permettant d’assurer la compétence des coordonnateurs de la sécurité. Le plan de mesures correctives de l’entreprise proposait d’actualiser la formation pertinente, d’établir les compétences nécessaires et de documenter le processus d’évaluation des compétences.

Le plan de suivi des mesures correctives de l’entreprise a été examiné et accepté par Transports Canada.

Réponse de l’exploitant concernant l’événement en cause

Au moment où il est survenu, cet événement n’a pas été considéré comme étant suffisamment grave pour justifier de faire appel au personnel de sécurité de l’entreprise ou de faire rapport au BST. Aucune mesure immédiate qui aurait pu être utile dans une enquête n’a donc été prise, telle que la conservation des enregistrements des données de vol et des conversations dans le poste de pilotage.

Le commandant de bord a fait rapport au service de maintenance, et a présenté un rapport de sécurité aérienne de l’entreprise au service de sécurité et un rapport écrit distinct au pilote en chef par le truchement des moyens habituels. Aucun de ces différents rapports n’a amené à reconnaître le risque potentiel qui comportait cet événement. Le SGS de l’exploitant reconnaissait qu’une déclaration de situation d’urgence constituait un événement devant être signalé au BST. Dans ce cas toutefois, l’équipage n’a pas déclaré une situation d’urgence, mais a plutôt demandé que les services de sauvetage et de lutte contre les incendies d’aéronef soient mis en état d’alerte en raison du risque de surchauffe des freins causé par un atterrissage en surcharge. Cela a été signalé dans un rapport d’événement d’aviation de NAV CANADA.

Le rapport de sécurité aérienne a été rédigé et présenté le jour de l’incident, mais le bureau de la sécurité de l’entreprise ne l’a reçu que 2 jours plus tard. Les cases du formulaire signalant le déclenchement d’un avertissement ou d’une alerte et la déclaration d’une situation d’urgence étaient cochées, ce qui donnait une indication du type d’événement. Toutefois, une autre case signalant la déclaration d’une urgence était cochée « Non », et un commentaire indiquait qu’aucune urgence n’avait été déclarée, mais qu’on avait demandé que des équipes d’urgence soient sur place à l’atterrissage. Celles-ci ont suivi l’aéronef jusqu’à la porte d’embarquement. On a également indiqué qu’un avertissement de décrochage (activation du vibreur de manche) avait été précédé d’une indication de vitesse V1 non fiable.

Le Règlement sur le BST stipule qu’une demande de mise en état d’alerte des services d’urgence et des problèmes de maîtrise de l’aéronef en raison d’un système de bord défaillant constituent des événements à signaler pour un aéronef d’un poids de celui du Boeing 737. L’exploitant n’a avisé le BST qu’une fois que le rapport d’événement d’aviation de NAV CANADA a été rendu public par l’entremise du Système de compte rendu quotidien des événements de l’aviation civile de Transports Canada, et seulement pour lui indiquer que l’entreprise ne considérait pas l’événement comme un événement à signaler. La véritable nature de l’événement n’a pas été connue avant plusieurs jours, soit seulement lorsque le BST a demandé d’autres renseignements et que le bureau de la sécurité de Sunwing a obtenu une copie du rapport que le commandant de bord a présenté au pilote en chef.

Le rapport de sécurité aérienne permet à un pilote de suggérer des mesures préventives, mais ce rapport n’offre pas la possibilité de préciser la gravité du risque ou le niveau d’urgence. Ni les services responsables des opérations, ni ceux responsables de la sécurité de l’exploitant n’ont reconnu qu’il y avait un risque justifiant un examen plus approfondi dans le cadre du programme de SGS de celui-ci. Cet événement a été traité comme une situation anormale à laquelle l’équipage de conduite a remédié avec succès.

L’exploitant a procédé par la suite à une évaluation de l’événement. Son rapport préliminaire rédigé dans le cadre du SGS relevait 2problèmes. Le premier était l’écart entre les vitesses indiquées, dont on a jugé que la cause profonde était attribuable à un problème technique (contamination du tube de Pitot) qui n’exigeait pas d’analyse plus poussée. Le second était que l’événement n’avait pas été classé comme un événement à signaler au BST. Cela a été attribué aux lacunes dans la formation de l’équipage : celui-ci ne savait pas qu’une demande de mise en état d’alerte de véhicules d’urgence signifiait qu’il y avait une situation d’urgence qui devait être signalée au BST. Cela devait être corrigé en modifiant les programmes de formation des équipages. Cet événement devait être consigné dans la base de données de l’entreprise aux fins d’analyse des tendances.

Manuel d’exploitation de l’équipage de conduite de Sunwing Airlines

Les procédures suivantes indiquées dans le manuel d’exploitation de l’équipage de conduite de Sunwing Airlines sont pertinentes par rapport à l’événement en cause :

Transfert des commandes : Plusieurs procédures dans le manuel d’exploitation de l’équipage de conduite exigent le transfert des commandes entre les 2 membres de l’équipage de conduite, y compris dans des situations anormales. On y indique ou on y laisse entendre que les 2 pilotes doivent être prêts à prendre les commandes au besoin. La procédure pour transférer les commandes est la suivante :

[Traduction]
1.23 TRANSFERT DES COMMANDES
Avant le vol, le commandant de bord déterminera qui sera le pilote aux commandes (PF) et qui sera le pilote surveillant (PM). À tout moment, on saura clairement qui est aux commandes de l’aéronef. La déclaration suivante constitue la méthode acceptable de transférer les commandes :

« J’AI LES COMMANDES », à laquelle on répond « VOUS AVEZ LES COMMANDES ».

Les membres de l’équipage de conduite peuvent s’échanger les rôles de PF et de PM à tout moment, tant que chacun sait clairement quelles sont ses responsabilités et qu’il est clair quel pilote est le PF^{Footnote 22}.

Décollage interrompu : La procédure du manuel d’exploitation de l’équipage de conduite en cas de décollage interrompu, ainsi que d’autres extraits du manuel ayant trait au décollage interrompu, figurent à l’Annexe B. Ce manuel indique un grand nombre de défaillances qui peuvent justifier l’interruption d’un décollage avant que l’avion n’atteigne une vitesse de 80 nœuds. À une vitesse supérieure à 80 nœuds, la directive suivante s’applique :

[Traduction] Un décollage à une vitesse supérieure à 80 nœuds (régime élevé) sera immédiatement interrompu en cas de défaillance d’un moteur, d’un incendie de moteur, d’une configuration non sécuritaire, d’un avertissement de cisaillement de vent ou de toute autre situation compromettant la sécurité du vol. Une fois la poussée réglée et la course au décollage amorcée, l’interruption d’un décollage seulement parce que le voyant principal d’avertissement est allumé n’est PAS recommandé^{Footnote 23}.

Vitesse indiquée non fiable : La procédure à suivre en cas de vitesse indiquée non fiable figure à l’Annexe C. On n’y mentionne rien à propos de la désactivation du pilote automatique ou de la sélection ou de la re-sélection du directeur de vol principal. Il n’y a rien dans l’index des procédures qui indique que la non-fiabilité de la vitesse peut être attribuable à un problème qui peut produire des indications erronées du directeur de vol, une fausse indication de décrochage ou des avertissements de survitesse.

Déclaration d’urgence – Le manuel d’exploitation de l’équipage de conduite relève le besoin de faire appel à des véhicules d’urgence au terme de certaines procédures en situation anormale pouvant provoquer la surchauffe des freins ou exiger l’évacuation des passagers. Il n’y a rien dans le manuel d’exploitation de l’équipage de conduite, ni dans d’autres documents de Sunwing, qui diffère des directives du TP14371, le Manuel d’information aéronautique de Transports Canada (AIM de TC) :

Un état d’urgence est classé de la manière suivante, en fonction de l’importance du danger ou du risque dans lequel vous vous trouvez.

• Détresse : Risque de danger grave et (ou) imminent nécessitant une assistance immédiate.
• Urgence : Situation relative à la sécurité d’un aéronef ou d’un autre véhicule ou encore d’une personne quelconque se trouvant à bord ou ayant été repérée, mais qui ne nécessite pas une assistance immédiate.

Le signal radio de détresse MAYDAY et le signal d’urgence PAN PAN doivent être utilisés respectivement au début de la première communication de détresse et d’urgence, et si nécessaire au début de toute autre communication^{Footnote 24}.

Études sur les décollages interrompus

En 1990, une étude du National Transportation Safety Board^{Footnote 25} révélait que la probabilité d’un accident à la suite d’une interruption de décollage à haute vitesse (à 100 nœuds ou plus) était élevée. On y révèle également que les interruptions de décollage à haute vitesse n’étaient souvent pas nécessaires ou qu’elles étaient souvent mal effectuées. Le rapport de cette étude formule plusieurs recommandations concernant les politiques, les procédures et la formation relatives aux décollages interrompus et 1 recommandation visant à redéfinir V1 afin de mieux en rendre le sens.

À la lumière de ce rapport, la Federal Aviation Administration des États-Unis, en collaboration avec d’importants constructeurs d’aéronefs, a développé un outil de formation sur la sécurité au décollage (Take-off Safety Training Aid)^{Footnote 26} qui porte sur divers facteurs de risque associés aux décollages interrompus. On y souligne que les termes courants pour désigner la vitesse V1, soit la vitesse minimale en cas de panne de moteur critique et vitesse de décision, portent à confusion, car ils ne laissent pas entendre que la reconnaissance de la vitesse minimale et la décision à cet égard doivent précéder l’atteinte de V1 pour qu’il soit possible d’interrompre de façon sécuritaire un décollage et d’obtenir la distance d’arrêt établie dans les méthodes de certification.

Depuis, dans les procédures en cas de situation anormale pour les aéronefs de la catégorie transport, il est déconseillé d’interrompre un décollage à haute vitesse lorsque les défaillances sont relativement mineures. Dans le Take-off Safety Training Aid, il est également recommandé d’éviter d’interrompre un décollage à haute vitesse, sauf dans certaines situations critiques. Boeing et Airbus ont toutes deux publié un document de directives conforme à cette approche, dans lequel Boeing établit à 80 nœuds la limite entre haute et basse vitesses aux fins d’interruption d’un décollage.

Autres événements

Un examen d’événements de vitesse indiquée non fiable révèle qu’il y a un risque de pertes de vie importantes si l’équipage n’intervient pas de façon appropriée.

• Février 1996 – Après avoir décollé de Puerto Plata (République dominicaine), un Boeing 757 s’écrase à cause d’indications de vitesse erronées, probablement attribuables à un tube de Pitot bloqué, et 189 personnes trouvent la mort.

• Octobre 1996 – Peu de temps après son décollage de Lima (Pérou), un Boeing 757 s’écrase à cause d’indications de vitesse et d’altitude erronées, attribuables le plus probablement à des prises statiques bloquées.

• Février 2006 – Au cours du vol d’un Boeing 717-200 (VH-NXH) de National Jet, on constate des indications de vitesse erronées et le vibreur de manche s’active, fort probablement à cause de la glace qui limitait le mouvement des détecteurs d’angle d’attaque.

• 1 juin 2009, vol 447 d’un Airbus A330-203 d’Air France en partance de Rio de Janeiro vers Paris – Le rapport indique qu’il y avait des écarts entre les indications de vitesse avant l’événement et celles au cours de l’événement qui a provoqué la descente non contrôlée de l’aéronef et son écrasement dans l’océan Atlantique, où 228 personnes ont trouvé la mort^{Footnote 27}.

• 19 juin 2009 – Vol 2 d’un Boeing 767-300 de LOT Polish Airlines^{Footnote 28} – Indications d’instruments erronées causant des écarts de vitesse indiquée et d’altitude. Les indications de vitesse et d’altitude erronées au poste du commandant de bord n’ont pas été relevées correctement. Le personnel de maintenance n’a trouvé aucune défaillance dans les systèmes de l’aéronef, qui a volé un autre mois avant que ce problème ne survienne de nouveau. Un problème intermittent a été trouvé dans la centrale aérodynamique gauche.

Enregistreurs

L’aéronef était équipé d’un DFDR et d’un enregistreur de conversations de poste de pilotage (CVR). Ces enregistreurs n’ont pas été retirés, ni lus à la suite de l’événement, et l’aéronef a été remis en service. Les données du CVR ont été écrasées avant que l’enquête ne soit amorcée.

Les données du DFDR ont été téléchargées quelques jours après l’événement, mais le DFDR ne contenait aucune donnée pour la date et l’heure de l’événement. On a établi que le canal des dates du DFDR enregistrait des informations erronées. Aucun vol correspondant à l’événement en cause n’a été trouvé, et on a conclu que les données du DFDR avaient été entièrement écrasées depuis cet événement.

L’exploitant téléchargeait régulièrement les données du DFDR, mais uniquement pour son programme de surveillance des moteurs. Ces fichiers contenaient des données intégrales du DFDR. Les fichiers de 17 vols ont été obtenus, dont plusieurs datant d’avant et d’après le vol en cause. Les données complètes d’un vol manquaient. L’heure consignée dans le DFDR provient de l’horloge de l’aéronef, qui peut être mal réglée lorsque la batterie est remplacée. Dans le cas présent, l’erreur a été relevée par le bureau de surveillance des moteurs, et l’horloge a été réglée et les données de surveillance des moteurs ont été corrigées. Les données initiales de l’enregistreur de données de vol (FDR) n’ont toutefois pas été modifiées. Le bureau de la sécurité de l’exploitant n’était pas au fait de cet écart lorsque les fichiers ont été fournis au BST, car celui-ci ne participe pas au programme de surveillance des moteurs.

Les données du DFDR pour l’événement en cause figurent à l’Annexe A.

Le rapport du laboratoire du BST suivant a été rédigé :

• LP029/2011 – FDR Analysis (analyse du FDR)

Ce rapport peut être obtenu sur demande auprès du Bureau de la sécurité des transports du Canada.

L’analyse portera principalement sur les risques qui pèsent lorsque l’équipage de conduite reçoit des indications d’instruments non résolues ambigües au cours de l’étape haute vitesse de la course au décollage, pendant la rotation et la montée initiale.

Dans le cadre de cet événement, si les conditions météorologiques n’avaient pas permis le vol à vue, l’équipage n’aurait pas eu d’indices visuels pour corroborer sa décision de ne pas se fier au directeur de vol lorsqu’il indiquait un changement d’assiette en piqué de 5° à faible altitude, après que le système soit passé automatiquement au directeur de vol principal à 400 pieds au-dessus du sol (agl).

De plus, l’analyse portera sur la réponse du système de gestion de la sécurité (SGS) de l’exploitant à la suite de la diffusion de l’avis de Boeing et de l’événement en cause.

L’enquête n’a pas permis de déterminer la cause de l’indication de changement d’assiette en piqué vue par le commandant de bord. Les données de l’enregistreur numérique de données de vol (DFDR) indiquaient que l’ordinateur de vol du commandant de bord émettait une indication appropriée pour une assiette de montée. Le premier avertissement de décrochage (activation du vibreur de manche) à une hauteur d’environ 400 pieds agl au cours de la montée n’a pu être expliqué, ni n’a été consigné dans le DFDR. Une deuxième activation du vibreur de manche a été enregistrée peu de temps après sur le côté droit du poste de pilotage et résultait d’un calcul erroné de la vitesse du système de données aérodynamiques de droite. La cause de l’indication de vitesse erronée n’a pu être déterminée avec certitude, et aucune défaillance de système n’a été constatée au cours des tests de diagnostic effectués après l’événement. Le tube de Pitot droit et le module de données aérodynamiques (ADM) ont été remplacés, et aucune défaillance n’a été trouvée dans ceux-ci lorsqu’ils ont été examinés au centre de révision.

À la lumière de l’avis de Boeing concernant les indications de vitesse erronées pouvant compromettre la sécurité des vols et la variété des causes possibles de celles-ci, cette enquête a porté principalement sur les mesures en place pour atténuer les risques. Parmi ces mesures, on compte la détection de ces indications erronées par l’équipage et sur son intervention, y compris la décision de ne pas interrompre le décollage lorsque l’écart entre les vitesses indiquées a été relevé la première fois, la décision de transférer les commandes au cours d’une étape critique du vol juste avant l’atteinte de V1 et la décision de ne pas déclarer une situation d’urgence au cours du retour vers Toronto.

Au cours de la course au décollage, le copilote n’était pas au fait de l’écart entre les vitesses indiquées jusqu’à ce que le capitaine annonce que la vitesse était de 80 nœuds. Il est possible que l’annonce de 80 nœuds ait été précoce. À ce moment, l’automanette s’est désactivée, et le commandant de bord est intervenu. L’équipage n’envisageait pas encore la possibilité d’un écart entre les vitesses. Lorsque le copilote a eu la certitude qu’il s’agissait d’un problème de vitesse indiquée, l’aéronef avait presque atteint V1.

Le copilote a cédé immédiatement les commandes au commandant de bord avant d’atteindre V1. À ce moment, les options consistaient à interrompre le décollage, ce qui exige aussi de céder les commandes au commandant de bord, ou de poursuivre le décollage avec le copilote toujours aux commandes, sans indication fiable de la vitesse ni indications valides du directeur de vol. Le transfert des commandes est exigé dans nombre de situations. Le fait d’être prêt à cette éventualité est conseillé dans le manuel d’exploitation de l’équipage de conduite. C’est un exercice qui se fait couramment, de sorte que le pilote surveillant est prêt à prendre les commandes au cours de toutes les étapes critiques du vol.

Dans le manuel d’exploitation de l’équipage de conduite et dans la formation de l’équipage de conduite, on met en garde contre l’interruption du décollage à cette étape du vol, à moins qu’il y ait une menace importante à l’égard de la sécurité du vol. Le commandant de bord n’a clairement pas jugé qu’il y avait une telle menace, étant donné que les indications de son côté du poste de pilotage étaient normales. La décision d’interrompre le vol relève entièrement du commandant de bord. Si le copilote avait jugé que le décollage devait être interrompu, il devait en faire part au commandant de bord, qui allait alors évaluer la situation et décider si cela était nécessaire. Il est improbable que cela ait pu se produire avant que ne soit atteinte V1.

Au cours du retour pour l’atterrissage, l’équipage a décidé de ne pas déclarer une urgence lorsque le contrôle de la circulation aérienne lui a demandé s’il s’agissait d’une urgence. L’équipage avait la maîtrise complète de l’aéronef et ne considérait pas que le vol était dans une situation de détresse ou d’urgence, telle que le définit le Manuel d’information aéronautique de Transports Canada (AIM de TC). Toutefois, il a demandé que les services de sauvetage et de lutte contre les incendies d’aéronef soient mis en état d’alerte en raison de l’atterrissage en surcharge et du risque de surchauffe des freins. Les atterrissages en surcharge ne sont pas inhabituels, et il n’est pas inhabituel non plus de demander que les services de sauvetage et de lutte contre les incendies d’aéronef confirment que les freins ne sont pas surchauffés avant que l’aéronef n’arrive dans l’aire de trafic. Lorsqu’il a demandé que les services de sauvetage et de lutte contre les incendies d’aéronef soient mis en état d’alerte, l’équipage n’a pas réalisé que cet incident, selon les documents du BST^{Footnote 29}, de l’Organisation de l’aviation civile internationale (OACI)^{Note de bas de page 30}, de NAV CANADA^{Footnote 31} et de Transports Canada^{Footnote 32}, était alors considéré comme un événement à signaler.

Les équipages de conduite disposent de peu de directives concernant les indications de vitesse non fiables au cours du décollage et immédiatement après. Une indication de vitesse non fiable n’est pas considérée comme une situation constituant une menace pour la sécurité d’un vol dans le cadre d’une interruption de décollage à haute vitesse. Ceci est approprié, surtout lorsqu’on pense aux risques associés à une interruption de décollage à haute vitesse et à l’incertitude quant à la vitesse réelle lorsque l’indication de vitesse n’est pas fiable.

Toutefois, il en résulte que l’équipage poursuivra le décollage et la montée initiale avant d’effectuer la liste de vérifications pour établir quels instruments donnent la bonne lecture. Lorsque le vibreur de manche a été activé 12 secondes après le décollage, la réponse normale à cet avertissement de décrochage serait d’abaisser le nez pour réduire l’angle d’attaque. Le directeur de vol indiquait également d’abaisser le nez. À cette étape du vol, la perte de marge de franchissement du relief représente un risque réel. Comme il disposait de bons indices visuels, le commandant de bord a été en mesure, relativement à ces indications contradictoires, de faire la part des choses et de monter vers une altitude sécuritaire.

Ce n’est qu’après avoir effectué la montée initiale critique, et être intervenu par rapport aux avertissements de décrochage erronés, à l’avertissement de survitesse possible et aux indications erronées du directeur de vol, que l’équipage de conduite a pu utiliser l’index des procédures et confirmer que l’indication de vitesse de droite était erronée. L’index des procédures ne traite toutefois pas des indications erronées du directeur de vol ni du système d’avertissement de décrochage, et il n’indique pas non plus de désactiver le directeur de vol sur le côté affichant des indications aérodynamiques erronées, ni n’émet d’avertissement à l’égard du risque d’indications invalides du directeur de vol. L’équipage de conduite n’a pas utilisé le pilote automatique et a décidé de maintenir la sélection du directeur de vol, qui a continué d’afficher des indications erronées. Ceci s’explique par le fait que le directeur de vol droit était le directeur de vol principal qui lisait la pression pitot erronée de droite. Se fier à des indications erronées par mauvais temps peut sérieusement compromettre la sécurité d’un vol.

Dans l’avis de Boeing sur les événements d’indications de vitesse erronées, on convient que le système de données aérodynamiques fait partie d’un système multicanaux intégré complexe et que les défaillances techniques peuvent avoir plusieurs causes. Dans de tels systèmes, non seulement plusieurs causes peuvent être à l’origine d’une seule défaillance, mais une défaillance peut également présenter plusieurs symptômes. Étant donné le taux d’occurrence plus élevé que prévu de telles défaillances, et le problème que pose la détection appropriée de celles-ci par l’équipage de conduite et son intervention en temps opportun, la probabilité que le vol et l’atterrissage se poursuivent de façon sécuritaire pourrait être moindre que ce qui était prévu lorsque l’appareil a été certifié.

Sunwing a reçu l’avis de Boeing. Bien que l’avis de Boeing relève que le programme de formation des équipages de conduite n’exigeait pas de formation périodique sur les cas d’indications de vitesse erronées et que ces événements se produisaient plus souvent que prévu, Sunwing n’a pas jugé que cet avis énonçait un risque qui devait être soumis à son processus d’analyse proactif. Par conséquent, ce document n’a pas été transmis aux équipages de conduite.

L’avertisseur sonore de survitesse entendu par le commandant de bord (mais non par le copilote) ne peut pas s’expliquer par une faible vitesse indiquée sur le système de données aérodynamiques de droite. Il a été entendu lorsque le vibreur de manche a été activé, au moment où il y a eu un problème de commutation entre le micro-rail et le microphone intégré au masque à oxygène dans le poste de pilotage. En toute probabilité, le son apparenté à l’avertisseur sonore de survitesse entendu dans le casque d’écoute est attribuable au fonctionnement du microphone intégré au masque à oxygène qui a alors capté le son du vibreur de manche. Il n’y a eu aucune autre indication d’avertissement de survitesse. Un problème de commutation entre le micro-rail et le microphone intégré au masque à oxygène s’est manifesté au cours de l’événement en cause, et l’équipage s’est résigné à l’accepter. L’acceptation, par les équipages de conduite et les compagnies aériennes, de problèmes d’équipement connus, tels qu’un problème de microphone, peut compromettre la sécurité des vols.

Les problèmes avec les données du DFDR et l’écrasement des données de l’enregistreur de conversations de poste de pilotage (CVR) ont nui à l’enquête. Comme l’exploitant n’a pas reconnu initialement que cet événement mettait en cause la sécurité, plusieurs jours se sont écoulés avant que les données du DFDR ne soient examinées et que l’on constate qu’elles n’étaient pas valides. Ces problèmes auraient pu être examinés et résolus plus facilement si l’exploitant avait reconnu que l’événement révélait un risque qui exigeait une évaluation suivant le processus proactif de son SGS ou qui devait être signalé au BST suivant le processus réactif de son SGS.

La reconnaissance des dangers et la gestion des risques est au cœur du concept du SGS dont traite la sous-partie 705 du RAC régissant l’exploitation d’une entreprise de transport aérien au Canada. Dans l’événement en cause, l’exploitant n’a pas reconnu de dangers justifiant une analyse au moyen de son SGS. L’intervention opportune de l’équipage a fait oublier les risques sous-jacents qu’on pourrait ne pas être en mesure de réduire en raison du manque de directives, de formation et de procédures dont dispose celui-ci.

Cet événement, selon le service de maintenance de l’exploitant, ne concernait que l’atterrissage en surcharge et l’écart entre les vitesses indiquées qui lui ont été signalés dans le carnet de bord de l’aéronef. Le problème de communication radio, l’avertissement de survitesse et de décrochage, le retour des commandes de moteur électroniques (EEC) en mode « soft alternate » et l’indication erronée du directeur de vol d’abaisser le nez sont tous survenus, mais n’ont pas été consignés dans le carnet de bord et ont été ignorés. L’aéronef a été remis en service sans que ces problèmes soient réglés et, par conséquent, sa navigabilité n’était pas assurée. Le rapport préliminaire rédigé par l’exploitant dans le cadre du SGS n’y reconnaissait pas un risque justifiant une analyse de sécurité plus poussée. Il a donc été impossible de relever les dangers et de réduire les risques.

Selon le SGS, une enquête cherche à relever dans un premier temps les dangers et les risques. Les documents d’orientation de Transports Canada (TC) concernant le SGS et le Règlement sur le BST relèvent des types d’événements précis à signaler qui peuvent ensuite faire l’objet d’une enquête et d’une analyse plus poussées. Pour les événements complexes comme celui en cause, les dangers peuvent ne pas être apparents avant que l’événement ne fasse l’objet d’une enquête dans le but précis de relever les conditions et les facteurs sous-jacents qui posent un risque. Cela peut exiger notamment de recourir à des analyses par simulation qui, selon les documents d’orientation de TC, doivent être effectuées beaucoup plus tard dans le processus d’enquête que l’évaluation préliminaire. Cela a fait en sorte que les processus du SGS de Sunwing à ce moment ne permettaient pas d’enquêter de façon appropriée sur les événements afin de relever les dangers qui auraient pu avoir des conséquences tragiques dans d’autres circonstances.

La surveillance par TC des exploitants qui mènent leurs activités en vertu de la sous-partie 705 du RAC consiste à évaluer l’efficacité des processus de leur SGS. TC s’attend à ce que l’exploitant relève les problèmes de sécurité et évalue les risques et qu’il prenne des mesures correctives ou réduise les risques conformément aux processus qu’il a établis dans son SGS. Si le SGS de l’exploitant n’est pas efficace, les dangers peuvent ne pas être relevés et il est possible que les risques ne soient pas réduits. La surveillance de TC permet de déterminer si les rapports de l’exploitant sur ce type d’enquête sont conformes aux exigences de signalement de son manuel du SGS approuvé. TC ne confirme pas directement que l’enquête de l’exploitant est complète, ni que sa portée ou son étendue sont pertinentes. Le rôle de TC consiste à s’assurer que les entreprises ont des politiques, des processus et des procédures efficaces à cet égard. Il ne revient donc pas à TC de relever des dangers précis qui n’ont pas été détectés par l’exploitant. Lorsque le SGS d’un exploitant n’est pas efficace, la probabilité que les dangers ne soient pas relevés et réduits augmente. Au cours de la transition vers le SGS, TC doit reconnaître cet état de fait et modifier ses activités de surveillance en fonction de l’état d’avancement du SGS de l’exploitant.

Faits établis quant aux causes et aux facteurs contributifs

1. Une défaillance du circuit anémométrique de droite est à l’origine de la transmission de données de vitesse erronées de l’unité de référence inertielle anémobarométrique de droite. Cela a produit des indications de vitesse erronées, des avertissements de décrochage et, pour des raisons inconnues, des indications erronées du directeur de vol aux instruments de bord au cours du décollage et de la montée initiale.

Faits établis quant aux risques

1. Lorsque les processus proactifs et réactifs du système de gestion de la sécurité de l’exploitant ne déclenchent pas une évaluation des risques, la probabilité que les dangers ne soient pas atténués augmente.
   
2. Les exploitants qui ne considèrent pas que ce type d’événement doit être signalé peuvent ne pas le signaler, ni mener une enquête pour analyser davantage ou réduire le risque, ni conserver les données de l’enregistreur numérique de données de vol, qui faciliteraient la tenue d’une enquête.
3. Lorsque les exploitants ne consignent pas minutieusement les anomalies, il existe une plus grande probabilité que les défaillances ne soient pas entièrement corrigées avant que l’aéronef ne soit remis en service.
4. L’absence d’enregistrement de conversations dans le poste de pilotage et de données de vol peut empêcher de relever et de communiquer les lacunes de sécurité afin d’améliorer la sécurité des transports.
5. L’acceptation, par les équipages de conduite et les compagnies aériennes, de problèmes d’équipement connus tels qu’un problème de commutation entre le micro-rail et le microphone intégré au masque à oxygène, peut compromettre la sécurité des vols.

Autres faits établis

1. Au cours de la transition vers les systèmes de gestion de la sécurité, Transports Canada doit reconnaître que les exploitants ne relèvent et ne réduisent pas toujours les dangers et doit modifier ses activités de surveillance en fonction de l’état d’avancement du système de gestion de la sécurité de ceux-ci.

Mesures de sécurité prises

Sunwing Airlines Inc.

Le processus réactif du système de gestion de la sécurité a été mis à jour afin d’y inclure un examen des critères du Bureau de la sécurité des transports du Canada (BST) permettant de définir un accident ou un incident à signaler, et ce, afin de faciliter le signalement rapide d’événements et d’établir la portée de l’enquête.

Le présent rapport met un terme à l’enquête du Bureau de la sécurité des transports du Canada (BST) sur cet événement. Le Bureau a autorisé la publication du rapport le 23 janvier 2013. Il est paru officiellement le 28 février 2013.

Annexe A – Enregistreur de données de vol (en anglais seulement)^{Footnote 33}

Image

Annexe B – Manuel d'exploitation de l'équipage de conduite du Boeing 737-800 – Information sur un décollage interrompu (en anglais seulement)^{Footnote 34}

Image

Image

Manuel d'exploitation de l'équipage de conduite de Sunwing (en anglais seulement)^{Footnote 35}

Image

Image

Image

Image

Image

Annexe C – Index des procédures du Boeing 737-800 – Vitesse indiquée non fiable (en anglais seulement)^{Footnote 36}

Image

Annexe D – Schéma du circuit anémométrique du Boeing 737- 800 (en anglais seulement)^{Footnote 37}

Image

• Deux circuits principaux, un sur le côté gauche de l’avion et l’autre sur le côté droit. Chaque circuit comprend un seul tube de Pitot du même côté que le circuit raccordé au module de données aérodynamiques (ADM) et deux prises statiques, une de chaque côté de l’avion, raccordées ensemble à un ADM statique. Les ADM convertissent la pression d’air en un signal électrique qui est transmis à leur unité de référence inertielle anémobarométrique respective, laquelle calcule les valeurs utilisées dans leur écran principal de vol respectif.

• Il existe un autre circuit comprenant un tube de Pitot et deux prises statiques raccordées directement aux écrans d’altitude et à l’anémomètre de secours.

Image

Image

Sunwing flight crew operation manual^{Footnote 35}

Image

Image

Image

Image

Image

Image

The Boeing 737-800 aircraft has three separate and independent pitot-static systems:

• Two primary systems, one on the left side of the airplane, the other on the right. Each system comprises a single pitot probe on the same side as the system connected to a pitot air data module (ADM) and two static ports, one on each side of the airplane, connected together to a static ADM. The ADMs convert the air pressure to an electrical signal that is sent to the respective air data inertial reference unit which calculates the values used in the respective primary flight display.
• One alternate system, comprising a pitot probe and a pair of static ports that are connected directly to standby altitude and airspeed displays.