Rapport d'enquête aéronautique A16O0066

Le 25 mai 2016, un Embraer ERJ 190-100 IGW (immatriculé C-FHOS, numéro de série 19000101) exploité par Air Canada effectuait le vol ACA361 depuis l'aéroport international General Edward Lawrence Logan de Boston (Massachusetts, États-Unis) à destination de l'aéroport international Lester B. Pearson de Toronto (Ontario). À 16 h 52 min 12 s, heure avancée de l'Est, alors que l'aéronef faisait route au niveau de vol FL 360, à environ 97 nm à l'ouest-nord-ouest de l'aéroport international General Edward Lawrence Logan de Boston, un incendie s'est déclaré dans le centre intégré de contrôle droit, situé dans le compartiment avionique central. L'équipage de conduite n'a reçu aucun avertissement d'incendie. Il y a eu panne de plusieurs circuits électriques, y compris la majorité des instruments du poste de pilotage. La turbine à air dynamique s'est automatiquement déployée, et l'équipage de conduite a fini par rétablir l'alimentation électrique aux bus principaux. Le vol s'est poursuivi jusqu'à destination sans autre incident; les services d'urgence étaient en état d'alerte à l'atterrissage. Il n'y a eu aucun blessé. Le centre intégré de contrôle droit de l'aéronef a été lourdement endommagé par l'incendie.

Déroulement du vol

Le 25 mai 2016, à 16 h 29 ^{Note de bas de page 1}, un Embraer ERJ 190-100 IGW (immatriculé C-FHOS, numéro de série 190000101) a décollé de l'aéroport international General Edward Lawrence Logan (KBOS) de Boston (Massachusetts, États-Unis) pour effectuer le vol régulier ACA361 d'Air Canada à destination de l'aéroport international Lester B. Pearson (CYYZ) de Toronto (Ontario) avec 61 passagers, 2 membres d'équipage de conduite et 2 membres de personnel de cabine à son bord. Le commandant de bord était le pilote aux commandes, et le premier officier était le pilote surveillant.

Le vol a atteint son altitude de croisière prévue au niveau de vol (FL) 360 ^{Note de bas de page 2} à 16 h 47 et s'est mis en palier sous le contrôle du pilote automatique. Le vol s'est déroulé dans des conditions météorologiques de vol à vue ^{Note de bas de page 3}.

À 16 h 51 min 13 s, une alarme sonore a retenti dans le poste de pilotage, et le système d'affichage des paramètres moteurs et d'alerte de l'équipage (EICAS) ^{Note de bas de page 4} a affiché 2 avertissements de défaillance de système. Environ 50 secondes plus tard, une alarme sonore a de nouveau retenti, et plusieurs autres avertissements EICAS se sont affichés pour rendre compte de nombreuses défaillances.

À 16 h 52 min 12 s, l'aéronef se trouvait à 97 nm à l'ouest-nord-ouest de KBOS lorsque le voyant principal d'alarme ^{Note de bas de page 5} s'est allumé et que son alarme a retenti. Le pilote automatique s'est débrayé, 3 des 5 panneaux d'affichage du poste de pilotage se sont éteints, et plusieurs autres avertissements EICAS se sont affichés, notamment « ELEC EMERGENCY », « IDG 1 OFF BUS » et « IDG 2 OFF BUS ». Ces avertissements indiquaient à l'équipage de conduite qu'il y avait une urgence électrique et que les 2 générateurs à entraînement intégré (IDG) – principales sources d'alimentation électrique – étaient hors circuit.

La turbine à air dynamique ^{Note de bas de page 6} s'est automatiquement déployée dans les instants qui ont suivi la panne électrique; à 16 h 52 min 19 s, elle avait déjà rétabli l'alimentation électrique aux bus essentiels.

L'équipage de conduite a communiqué avec le contrôle de la circulation aérienne (ATC) de Boston pour l'informer de la panne électrique. L'équipage de conduite disposait toujours d'un autre guidage pour la navigation; toutefois, on n'avait pas encore sélectionné ce guidage, car l'équipage n'était pas certain de l'état du circuit électrique. L'équipage de conduite a informé l'ATC de la panne des instruments de navigation et du pilote automatique, et a demandé un cap et un changement d'altitude possible. L'ATC a demandé à l'équipage de conduite s'il avait besoin d'aide; l'équipage a répondu d'attendre, car on était incertain de la gravité du problème.

L'équipage de conduite a discuté de la possibilité de déclarer une urgence, mais a décidé d'essayer en premier lieu de rétablir l'alimentation principale. À ce stade, l'aéronef se trouvait à environ 290 nm de CYYZ, ou à 100 nm de KBOS.

L'équipage de conduite a exécuté la liste de vérification du manuel de référence rapide (QRH) pour urgence électrique (annexe A). La première instruction de cette liste est de démarrer le groupe auxiliaire de bord (APU). Comme l'aéronef volait toujours au FL 360 et que, selon les limites opérationnelles publiées, l'altitude maximale à laquelle on peut démarrer l'APU est de 30 000 pieds ^{Note de bas de page 7}, l'équipage a demandé à l'ATC l'autorisation de descendre.

Après que l'équipage de conduite a amorcé la descente, on a fait une annonce aux passagers; or, à l'insu des pilotes, la turbine à air dynamique était tellement bruyante (à cause de sa vitesse de rotation élevée) que les passagers et le personnel de cabine n'ont pas entendu l'annonce. Peu de temps après, le personnel de cabine a communiqué directement avec l'équipage de conduite et a été mis au fait de la situation. Le personnel de cabine a ensuite communiqué l'information aux passagers.

À 16 h 59 min 37 s, alors que l'aéronef franchissait le niveau de vol FL 300 en descente, l'équipage de conduite a démarré l'APU. On est ensuite passé à l'étape suivante de la liste de vérification : la réinitialisation des IDG. À 17 h 1 min 41 s, l'IDG 1 a été remis en marche, suivi de l'IDG 2 à 17 h 2 min 4 s. Au même moment, l'aéronef s'est mis en palier au niveau de vol FL 240. Les IDG étant de nouveau en circuit, l'alimentation électrique a été entièrement rétablie aux 2 bus principaux pour courant alternatif (c.a.) et aux 2 bus principaux pour courant continu (c.c.) ^{Note de bas de page 8}.

L'alimentation principale rétablie, le système EICAS a cessé d'afficher l'avertissement d'urgence électrique. Le système EICAS indiquait toujours une défaillance du transformateur-redresseur no 2 (TRU 2), mais les systèmes qui y étaient raccordés étaient alimentés par le transformateur-redresseur no 1 (TRU 1). À ce stade, l'urgence électrique était passée et, même si quelques composants non essentiels étaient toujours hors circuit, le système en général fonctionnait normalement. À 17 h 8 min 43 s, l'équipage de conduite a de nouveau embrayé le pilote automatique.

À 17 h 10, alors que l'aéronef se trouvait à environ 170 nm de CYYZ, l'équipage de conduite a informé l'ATC de Boston que l'alimentation électrique était partiellement rétablie, mais que l'équipage demandait néanmoins des vecteurs radars pour l'approche finale à CYYZ. L'équipage de conduite a demandé la piste la plus longue en service, car on prévoyait un atterrissage avec les volets en position réduite ^{Note de bas de page 9}. L'ATC de Boston a transmis cette information à l'ATC de Cleveland, qui l'a ensuite transmise à l'ATC de Toronto. Toutes les unités ATC en jeu ont pris des dispositions pour réduire au minimum les retards pour l'aéronef durant le reste du vol.

À 17 h 54, l'aéronef a atterri sur la piste 23 à CYYZ sans autre incident. Les services d'urgence étaient en état d'alerte. L'équipage de conduite a ensuite circulé jusqu'à la porte, où les passagers sont descendus de l'aéronef. Il n'y a eu aucun blessé.

Aéronef

Généralités

Les dossiers indiquent que l'aéronef était certifié, équipé et entretenu conformément à la réglementation en vigueur et aux procédures approuvées.

Le vol à l'étude était le premier secteur de la journée pour l'équipage de conduite avec cet aéronef, qu'il avait repris à KBOS. Il s'agissait du troisième secteur de la journée pour l'aéronef, qui avait passé la nuit à l'aéroport LaGuardia (KLGA), à New York, État de New York (États-Unis). Durant l'inspection avant vol à KBOS, l'équipage de conduite a déterminé qu'il n'y avait aucun point d'entretien différé ni rapport de travaux de maintenance majeurs.

Description du circuit électrique

Le circuit électrique de l'Embraer ERJ 190-100 IGW compte de nombreux systèmes qui sont alimentés en électricité par plusieurs bus distincts.

Les 2 générateurs à entraînement intégré (IDG 1 et IDG 2) sont la principale source d'alimentation électrique. Un IDG est raccordé à chacun des moteurs. Les IDG alimentent en courant c.a. leurs bus principaux c.a. respectifs (bus c.a. 1 et bus c.a. 2). Plusieurs systèmes qui fonctionnent au c.a. sont alimentés directement à partir de ces bus.

Chacun des 2 transformateurs-redresseurs (TRU 1 et TRU 2) est connecté à l'un des bus principaux c.a. Les TRU convertissent le courant c.a. en courant c.c. et le distribuent à leurs bus principaux c.c. respectifs (bus c.c. 1 et bus c.c. 2). Plusieurs systèmes qui fonctionnent au c.c. sont alimentés directement à partir de ces bus c.c.

La plupart des composants qui contrôlent, protègent et distribuent le courant électrique à partir de l'IDG 2, entre autres le bus c.a. 2, le TRU 2 et le bus c.c. 2, font partie du centre intégré de contrôle droit (RICC) (annexe B), qui se trouve dans le compartiment avionique central. On accède à ce compartiment par une petite porte sur l'extérieur du fuselage, juste derrière l'emplanture d'aile; une petite échelle est requise pour l'atteindre. En pratique, on y accède uniquement lorsque des travaux d'entretien précis sont nécessaires.

Un contacteur de ligne général (GLC 1 et GLC 2) est connecté à chacun des IDG et commandé par un régulateur d'alternateur (GCU 1 et GCU 2). Le GLC isole l'IDG du circuit lorsque le GCU détecte une importante défectuosité ou sur commande d'un sélecteur dans le poste de pilotage. Le GCU 2 se trouve lui aussi dans le RICC.

En général, les systèmes de distribution d'alimentation principale de gauche et de droite (nº 1 et nº 2) sont isolés l'un de l'autre; toutefois, si nécessaire, l'alimentation peut être transférée automatiquement entre ces systèmes par des connecteurs de couplage bus spécialisés.

Le circuit électrique essentiel est séparé du circuit électrique principal afin d'isoler les composants en cas de panne des 2 systèmes d'alimentation principale. Il comprend les composants qui sont considérés comme cruciaux pour la poursuite sécuritaire du vol. Le courant essentiel est distribué par les bus essentiels (bus ess. c.a., bus ess. c.c. 1, et bus ess c.c. 2), qui reçoivent normalement l'alimentation du système principal par le bus c.a. 1 ou le bus c.a. 2. En cas d'urgence, les bus essentiels peuvent être isolés et alimentés par les batteries de l'aéronef ou la turbine à air dynamique.

La turbine à air dynamique se déploie automatiquement si l'un ou l'autre des circuits secondaires de distribution électrique, qui agissent à titre d'unités de gestion de la charge électrique, détecte l'absence d'alimentation aux bus principaux c.a. On peut aussi déployer manuellement cette turbine au moyen d'un levier dans le poste de pilotage. Une icône verte « RAT » sur un panneau d'affichage dans le poste de pilotage confirme le déploiement réussi de la turbine; la tension de sortie qu'elle génère s'affiche également. Si la turbine ne se déploie pas, les batteries assurent l'alimentation essentielle pendant au moins 10 minutes, comme l'ont démontré les essais de certification. Au-delà de cette période, le maintien de l'alimentation électrique est incertain, car il dépend de plusieurs facteurs.

Séquence de la panne électrique et de l'incendie

Après l'événement, on a téléchargé et examiné les données des 2 enregistreurs numériques de données et de conversations et de la mémoire rémanente des 2 GCU.

À 16 h 51 min 36 s, le GCU 2 a détecté une défectuosité dans la partie disjoncteur c.a. du bus c.a. 2. Cette indication de défectuosité est probablement survenue au moment où la fumée a été produite.

À 16 h 52 min 6 s, le GCU 2 a détecté une distorsion dans la tension causée par la formation d'arcs électriques à grande impédance autour de la barre omnibus du bus c.a. 2. Le GCU 2 a fait disjoncter le GLC 2, ce qui a déconnecté l'IDG 2 du circuit. Coup sur coup, les connecteurs de couplage bus qui raccordaient le bus c.a. 1 et le bus c.a. 2 se sont automatiquement fermés, et l'IDG 1 a ainsi alimenté le bus c.a. 2 pendant les 6 secondes suivantes.

À 16 h 52 min 12 s, comme la défectuosité avait mené à la formation continue d'arcs électriques, de fumée et de feu, le GCU 1 a détecté une surintensité et a fait disjoncter le GLC 1, ce qui a déconnecté l'IDG 1. Les 2 IDG étant désormais hors circuit, l'alimentation électrique était coupée aux bus principaux (bus c.a. 1, bus c.a. 2, bus c.c. 1 et bus c.c. 2). L'interruption de l'alimentation aux bus principaux a déclenché une alarme principale, une alarme sonore et l'avertissement du système EICAS dans le poste de pilotage.

Étant donné l'interruption de l'alimentation au bus a.c. 2, l'endroit où l'incendie s'était déclaré n'était plus alimenté en électricité. Comme cet endroit comprenait peu de matériau combustible, l'incendie a commencé à diminuer d'intensité.

Le module secondaire de distribution de l'alimentation électrique no 1, toujours alimenté par les bus essentiels c.c., a détecté l'interruption de l'alimentation aux bus c.a. 1 et c.a. 2; en moins de 300 millisecondes, il a commandé le déploiement de la turbine à air dynamique.

À 16 h 52 min 20 s, la turbine à air dynamique était déployée et alimentait les bus essentiels; toutefois, l'interruption de l'alimentation aux bus principaux a persisté jusqu'au démarrage de l'APU, environ 8 minutes plus tard.

Détection de fumée

Normalement, l'air du compartiment avionique central est acheminé dans la cabine par le compartiment de recirculation, ce qui permet de chauffer la cabine et de refroidir les systèmes avioniques (figure 1). Des ventilateurs alimentés par le bus c.a. 2 et un réseau de gaines de recirculation connectent les 2 zones.

Image

Un détecteur de fumée alimenté exclusivement par le bus c.c. 2 est installé près des filtres d'admission dans le compartiment de recirculation. Les principales fonctions du détecteur de fumée sont d'informer l'équipage de conduite de la présence de fumée dans l'un des compartiments connectés et d'empêcher la recirculation de la fumée dans la cabine.

En cas de détection de fumée dans le compartiment de recirculation, l'équipage de conduite reçoit l'avertissement « RECIRC SMOKE » du système EICAS. Aucun avertissement de fumée n'a été signalé durant l'événement, et ni l'un ni l'autre des enregistreurs numériques de données et de conversations n'a enregistré d'avertissement de fumée.

Examen par le Laboratoire du BST

Dommages causés au centre intégré de contrôle droit

Le personnel de maintenance d'Air Canada a inspecté l'aéronef après son arrivée à CYYZ. On a noté que le RICC avait été lourdement endommagé par le feu et la fumée. Le RICC au complet a été déposé et expédié au Laboratoire technique du BST pour y être examiné de plus près.

L'inspection initiale a relevé des signes d'arcs électriques intenses sur les barres omnibus triphasées qui sont connectées aux disjoncteurs thermiques du bus c.a. 2 (annexe B). L'inspection a également relevé des signes d'infiltration d'un contaminant liquide par les évents sur la face supérieure du RICC et dans le compartiment du TRU 2.

On a déterminé que le liquide en question avait été renversé directement sur le dessus du RICC. Ce liquide a ensuite coulé sur la face avant du RICC, et à l'intérieur de ce dernier avant de s'infiltrer dans le compartiment du panneau de disjoncteurs. C'est là qu'il est entré en contact avec les barres omnibus et d'autres surfaces conductrices et a causé des arcs électriques, sources de la fumée et du feu.

Les arcs électriques, la fonte de matériaux et le feu ont endommagé le bus c.a. 2 et interrompu la distribution d'électricité à plusieurs systèmes connectés, dont le TRU 2. Les dommages se sont limités au RICC et ne se sont pas étendus à d'autres composants voisins.

Source du liquide

L'examen d'un échantillon du contaminant liquide séché a permis de déterminer qu'il s'agissait d'une boisson, possiblement du café ou une boisson gazeuse.

On n'a pu déterminer exactement combien de temps s'était écoulé entre le déversement et la formation d'arcs électriques. Toutefois, on a pu déterminer que ce contaminant était beaucoup plus conducteur à l'état liquide.

Des liquides semblables ont été testés, et l'on a déterminé que les liquides déversés dans des conditions environnementales semblables à celles près du RICC demeureraient liquides pendant moins de 6 heures.

Des bacs récepteurs installés au-dessus du RICC empêchent l'infiltration de liquides renversés dans la cabine, au-dessus du compartiment avionique central, dans le RICC ou d'autre équipement voisin. Ces bacs récepteurs et l'espace autour du RICC ont été examinés après l'événement, mais ils ne présentaient aucun signe de contaminant.

Le personnel de cabine qui a voyagé à bord de l'aéronef au cours des jours qui ont précédé l'événement n'a signalé aucun déversement, et l'on n'a consigné aucun défaut et aucune rectification de cabine qui aurait exigé un nettoyage de la moquette.

Une inspection générale du compartiment avionique central après l'événement n'a révélé ni débris ni contenant à boisson.

Exploitant

Entretien

Pour la flotte d'aéronefs Embraer d'Air Canada, des vérifications longue escale et des vérifications périodiques tiennent lieu de maintenance en ligne de base. Les vérifications longue escale doivent être effectuées à des intervalles de 48 heures ou moins, tandis que les vérifications périodiques ont lieu à des intervalles de 120 heures de vol ou 14 jours civils, selon la première éventualité.

À KLGA, où l'aéronef a passé la nuit avant le jour de l'événement, une vérification périodique avait été faite par le personnel de maintenance d'Air Canada qui est posté à cet aéroport. Cette inspection n'exigeait aucun accès au compartiment avionique central.

La plus récente tâche de maintenance consignée qui aurait exigé l'accès à ce compartiment remontait au 26 octobre 2015, soit presque 7 mois avant l'événement à l'étude.

Directives de maintenance

Le personnel de maintenance d'Air Canada doit adhérer à des politiques, des méthodes et des normes que les manuels AC – Maintenance Control Manual [manuel de contrôle de la maintenance] et AC – Maintenance Policy Manual [manuel des politiques de maintenance] expliquent en détail.

La seule mesure dans ces manuels relative à la consommation de nourriture et de boissons en milieu de travail concerne la prévention de la contamination de la nourriture dans les endroits où on la consomme.

À l'heure actuelle, il n'y a aucune mesure en place pour prévenir la contamination de l'équipement sensible par la nourriture ou les boissons. Toutefois, en cas de déversement, une norme détaillée dans le manuel des politiques de maintenance stipule que l'on doit immédiatement en informer le contrôle des opérations de maintenance et consigner le déversement dans le carnet de bord de l'aéronef. D'après cette norme, qui décrit différents types de déversements, [traduction] « même de l'eau peut causer de graves défaillances des composants électroniques et circuits électriques ^{Note de bas de page 10} ».

Le manuel de contrôle de la maintenance comprend le processus non punitif d'Air Canada relatif aux signalements en matière de sécurité.

Directives aux équipages de conduite

Le manuel d'utilisation aéronef (AOM) d'Air Canada comprend des procédures d'utilisation détaillées de l'Embraer E190.

Dans le poste de pilotage, les équipages de conduite se servent du manuel de référence rapide (QRH) pour avoir accès rapidement aux renseignements cruciaux. Ce manuel comprend 2 sections (situations normales et anormales) ainsi que des listes de vérification, des procédures, des politiques, des directives et de l'information de référence.

Liste de vérification d'urgence électrique

En cas d'urgence électrique, le voyant principal d'alarme s'allume, une alarme sonore retentit, et le système EICAS affiche l'avertissement « ELEC EMERGENCY ». Lorsque l'équipage de conduite reçoit cet avertissement, il doit exécuter la liste de vérification d'urgence électrique du QRH (annexe A).

Instruction d'atterrissage

La toute première instruction de la liste de vérification d'urgence électrique indique : [traduction] « ATTERRIR À L'AÉROPORT APPROPRIÉ LE PLUS PROCHE ^{Note de bas de page 11} ».

L'introduction de la section de l'AOM intitulée « Abnormals » [Situations anormales] explique l'usage de cette phrase et de sa suite plus critique, [traduction] « AMORCER UN DÉROUTEMENT VERS L'AÉROPORT APPROPRIÉ LE PLUS PROCHE » :

[traduction] […] il y a des situations où l'on doit toujours « AMORCER UN DÉROUTEMENT VERS L'AÉROPORT APPROPRIÉ LE PLUS PROCHE » où l'on pourra réaliser un atterrissage sécuritaire.

Ces situations comprennent notamment :

• un incendie dans un logement de train d'atterrissage;
• de la fumée, un incendie ou des vapeurs dont l'extinction est impossible à confirmer;
• un incendie dans la soute.

Les procédures qui sont moins urgentes que celles indiquées ci-dessus et pour lesquelles le commandant de bord doit user de son jugement afin de déterminer la meilleure marche à suivre et la meilleure destination pour un atterrissage hâtif comprennent la directive « ATTERRIR À L'AÉROPORT APPROPRIÉ LE PLUS PROCHE ». Dans ces cas, le processus décisionnel du commandant de bord doit tenir compte des contraintes opérationnelles ^{Note de bas de page 12}.

Démarrage du groupe auxiliaire de bord

La première instruction de la liste de vérification indique de démarrer l'APU ^{Note de bas de page 13}. Toutefois, dans le cas de l'Embraer ERJ 190-100 IGW, l'altitude maximale à laquelle on peut démarrer l'APU est de 30 000 pieds.

L'urgence électrique s'est produite alors que l'aéronef était en vol de croisière au niveau de vol FL 360. L'équipage de conduite était au courant de l'altitude maximale à laquelle il était possible de démarrer l'APU; on a donc attendu que l'aéronef descende sous le niveau de vol FL 300. L'aéronef a mis environ 7 minutes pour descendre de 6000 pieds.

Réenclenchement des sélecteurs des générateurs à entraînement intégré

Les étapes suivantes de la liste de vérification indiquent à l'équipage de conduite de réenclencher les sélecteurs des IDG 1 et IDG 2 en tournant les boutons d'abord à « OFF » [arrêt], puis en les remettant à « AUTO » [automatique]. Ainsi, les GCU ferment les GLC et redémarrent les IDG. L'alimentation électrique des GCU provient de plusieurs sources différentes, et l'alimentation par l'APU n'est pas nécessaire pour qu'ils effectuent ces tâches.

Comme l'instruction de réenclenchement des sélecteurs des IDG suit l'instruction de redémarrage de l'APU dans la liste de vérification, l'équipage de conduite a d'abord démarré l'APU avant d'effectuer toute autre tâche.

Turbine à air dynamique

Après le démarrage de l'APU et le réenclenchement des IDG, l'étape suivante dans la liste de vérification consiste à déterminer si l'urgence électrique persiste. Dans l'affirmative, et en cas d'avertissement de batterie déchargée, l'équipage de conduite doit tenter de déployer manuellement la turbine à air dynamique et désactiver les 2 TRU afin de conserver l'énergie.

Déclaration d'une urgence

Le manuel d'exploitation d'Air Canada comprend la réglementation, les politiques et les procédures relatives à la conduite de tous les vols, peu importe le type d'aéronef. Ce manuel comprend la section ci-dessous ayant pour objet la déclaration d'une urgence [traduction] :

12.3.1 Déclaration d'une urgence

Le commandant de bord doit déclarer une urgence dans l'une ou l'autre des circonstances suivantes :

1. Lorsque le commandant de bord prend conscience de tout état ou de toute combinaison de circonstances qui compromet la sécurité de l'aéronef; et/ou
2. Lorsque les instruments de navigation ou d'approche sont endommagés ou défectueux au point de ne plus permettre l'orientation et/ou l'approche aux instruments ^{Note de bas de page 14}.

L'équipage de conduite n'a pas déclaré d'urgence à l'ATC durant l'événement à l'étude; or, l'équipage a bien informé l'ATC de la panne de tous les systèmes électriques et de navigation. Toutes les unités ATC en jeu ont facilité de leur propre chef le déroulement du vol, et l'ATC de Toronto a indiqué aux services d'urgence de se tenir en état d'alerte en prévision de l'arrivée de l'aéronef.

Plusieurs rapports d'enquête antérieurs du BST ^{Note de bas de page 15} ont cerné le risque associé à la non-déclaration d'une urgence par les équipages de conduite après une situation qui aurait pu compromettre la poursuite sécuritaire du vol.

Équipage de conduite

Les dossiers indiquent que les 2 membres de l'équipage de conduite possédaient les licences et les qualifications nécessaires au vol, conformément à la réglementation en vigueur.

Le commandant de bord, qui comptait environ 8000 heures de vol à son actif, agissait à titre de commandant instructeur auprès du premier officier afin que ce dernier acquière une expérience opérationnelle initiale au cours d'une série de vols.

Le premier officier comptait environ 8500 heures de vol, mais il était nouveau à Air Canada. Le premier officier avait récemment achevé la formation au sol et l'entraînement sur simulateur requis. La série de vols, y compris le vol à l'étude, devait fournir une expérience opérationnelle initiale au premier officier avant son évaluation opérationnelle, que le premier officier devait réussir avant de passer au service de ligne normal.

Rapports de laboratoire du BST

Le BST a produit les rapports de laboratoire suivants dans le cadre de la présente enquête :

• LP128/2016 – DFDR Download & Analysis [téléchargement et analyse des données du DFDR]
• LP130/2016 – Right Integrated Control Center Analysis [analyse du centre intégré de contrôle droit]

Généralités

L'incident a été causé par le déversement d'un contaminant liquide sur de l'équipement électronique sensible. Toutefois, l'enquête a permis de cerner plusieurs facteurs sous-jacents qui ont accru la gravité réelle ou potentielle de l'événement.

L'analyse portera sur l'origine du contaminant liquide, la raison de la non-détection de l'incendie résultant et la gestion de la situation par l'équipage de conduite relativement aux procédures de la liste de vérification et à l'aide du contrôle de la circulation aérienne (ATC).

Contaminant liquide

À un moment donné, peu de temps avant la panne électrique, il y a eu déversement d'un contaminant liquide sur le dessus du centre intégré de contrôle droit (RICC). L'enquête n'a pas permis de déterminer exactement quand ni comment ce liquide s'est introduit dans le compartiment avionique. La conductivité du contaminant sur une certaine distance est beaucoup plus élevée lorsqu'il est à l'état liquide. Or, comme le contaminant ne pouvait demeurer liquide pendant plus de 6 heures après son déversement, la période entre le contact du liquide avec le RICC et la formation d'arcs électriques a été relativement courte.

Aucun dossier ne faisait état de l'accès au compartiment avionique central par le personnel de maintenance au cours des 7 mois qui ont précédé le vol à l'étude. Étant donné l'accès relativement étroit à ce compartiment et le fait que quiconque voudrait y accéder aurait besoin d'une échelle, on peut douter que quelqu'un ait accédé à ce compartiment sans tâche requise, et par conséquent consignée, à réaliser.

Comme on accède rarement à ce compartiment, il se peut que l'on ait apporté un contenant à boisson dans cet endroit, où il aurait longtemps passé inaperçu. Le temps d'évaporation d'un liquide dans un contenant ouvert peut varier considérablement en fonction de la température, de l'humidité, de l'écoulement de l'air et de la superficie, mais il est improbable qu'une boisson demeure liquide pendant 7 mois. Aucun contenant à boisson n'a été trouvé après l'événement à l'étude. L'enquête n'a pas permis de déterminer l'origine du contaminant liquide.

Air Canada n'a aucune restriction en place à l'heure actuelle pour prévenir la contamination de l'équipement sensible par la nourriture ou les boissons. L'entreprise a toutefois une norme détaillée selon laquelle tout déversement doit être immédiatement signalé et consigné. Si le personnel de maintenance était au courant d'un déversement, on ne sait pourquoi il aurait omis de le signaler et de le nettoyer.

Quoique la politique de signalement non punitive d'Air Canada relative aux déversements est un important mécanisme pour remédier à ce danger, elle n'est efficace que si quelqu'un est au courant d'un déversement. Si les politiques de l'entreprise n'interdisent pas les liquides dans les endroits où ils pourraient endommager de l'équipement sensible, il y a un risque continu de contamination qui pourrait causer la défaillance de composants.

Détection de fumée et d'incendie

Le contaminant liquide est entré en contact avec des composants électriques de l'une des barres omnibus pour courant alternatif. Ce contact a entraîné la formation d'arcs électriques, qui ont produit de la fumée et un incendie. Les défaillances de composants qui en ont résulté ont fini par entraîner la défaillance du circuit électrique principal.

Lorsque la formation d'arcs électriques a commencé, divers systèmes ont détecté des défaillances, et la fumée a commencé à s'accumuler dans le compartiment avionique central. À peine 36 secondes après la première défaillance, l'alimentation électrique de toutes les barres omnibus principales a été interrompue; ainsi, l'alimentation a été coupée au détecteur de fumée dans le compartiment de recirculation et aux ventilateurs de recirculation.

La fumée qui s'était formée dans l'intervalle ne s'est pas déplacée dans les gaines de recirculation jusqu'au détecteur de fumée en quantité suffisante pour déclencher un avertissement avant que le détecteur ne se trouve hors circuit. Sans alimentation électrique, les ventilateurs de recirculation n'ont pu faire circuler l'air entre le compartiment avionique central et la cabine. Par conséquent, la fumée ne s'est pas infiltrée dans la cabine et n'a pas été détectée par l'équipage.

Par suite de la panne de l'alimentation principale, la fumée a probablement commencé à s'échapper par le dessus, depuis le compartiment de recirculation par la vanne de régulation échappement, que le bus essentiel alimentait toujours. Lorsque l'alimentation électrique a été rétablie au détecteur de fumée par la réinitialisation du générateur à entraînement intégré no 1 (IDG 1), presque 10 minutes plus tard, la fumée s'était probablement dissipée au point d'être indétectable.

Comme il n'y a eu aucun avertissement de fumée ou d'incendie, l'équipage de conduite ignorait la gravité de la situation et a choisi de poursuivre le vol jusqu'à destination.

Liste de vérification d'urgence électrique

L'équipage de conduite a exécuté la liste de vérification d'urgence électrique du manuel de référence rapide (QRH) après avoir constaté plusieurs indications de défaillance et avertissements du système d'affichage des paramètres moteurs et d'alerte de l'équipage, et après le déploiement de la turbine à air dynamique.

Aéroport approprié le plus proche

L'aéronef se trouvait à moins de 100 nm de son point de départ et était dans les airs depuis 22 minutes à peine. La liste de vérification indiquait à l'équipage de conduite d'atterrir à l'aéroport approprié le plus proche. Il y avait plusieurs options appropriées plus proches que CYYZ, la destination prévue. Les directives de la liste de vérification sont explicites, mais d'après le manuel d'utilisation aéronef, le commandant de bord peut, à sa discrétion, tenir compte de contraintes opérationnelles dans sa prise de décision.

Une urgence électrique qui touche l'alimentation principale à bord d'un Embraer ERJ 190-100 IGW est un événement grave qui entraîne de nombreuses défaillances. Même s'il connaissait à fond les circuits de l'aéronef, un équipage de conduite serait sans doute incapable de déterminer la source exacte de la défectuosité et la probabilité de fonctionnement sûr ou de risque accru. Comme le montre l'événement à l'étude, même un événement grave comme un incendie peut passer inaperçu.

L'équipage de conduite ignorait tout de l'incendie, et la liste de vérification n'indiquait pas le déroutement. À sa discrétion, comme le prévoit le manuel d'utilisation aéronef, le commandant de bord a donc choisi de poursuivre le vol jusqu'à sa destination après la panne électrique, puisqu'il avait la maîtrise de l'aéronef et qu'il naviguait sous un ciel dégagé.

Si les équipages de conduite ne sont pas pleinement conscients de la gravité d'une urgence et, à leur discrétion, comme le prévoit le manuel d'utilisation aéronef, choisissent de ne pas atterrir à l'aéroport approprié le plus proche comme le prescrit le QRH, il y a un risque accru que le vol se poursuive jusqu'à destination, malgré l'existence d'options plus sécuritaires.

Démarrage du groupe auxiliaire de bord

La première étape de la liste de vérification du QRH indique de démarrer le groupe auxiliaire de bord (APU) de l'aéronef. La liste de vérification omet de préciser l'altitude maximale à laquelle on peut démarrer l'APU, mais l'équipage de conduite connaissait cette limite et n'a pas tenté de le démarrer tandis que l'aéronef volait à 36 000 pieds. L'équipage de conduite a plutôt amorcé une descente. Étant donné que l'aéronef volait dans des conditions météorologiques de vol à vue et que plusieurs systèmes de bord étaient en panne, y compris le pilote automatique, l'équipage de conduite a opté pour un taux de descente modéré plutôt que rapide.

Réenclenchement des sélecteurs des générateurs à entraînement intégré

Les 2 étapes suivantes sur la liste de vérification du QRH portent sur le réenclenchement des sélecteurs des IDG. D'après l'ordre des instructions dans la liste de vérification, l'équipage de conduite a conclu qu'il devait tenter de redémarrer l'APU en premier lieu, avant d'exécuter les étapes suivantes. L'aéronef se trouvait à une altitude supérieure à l'altitude limite pour démarrer l'APU; à cause de la séquence de la liste de vérification, près de 10 minutes se sont écoulées pendant lesquelles l'aéronef était sans alimentation principale alors qu'il descendait à une altitude à laquelle l'équipage de conduite pourrait tenter de démarrer l'APU.

Si l'alimentation principale avait été rétablie plus tôt par le réenclenchement des sélecteurs IDG peu après la panne, le détecteur de fumée ainsi réalimenté aurait peut‑être signalé la présence de feu et de fumée, et l'équipage de conduite aurait pu réagir avec plus d'empressement.

Toutefois, l'équipage de conduite a suivi les instructions de la liste de vérification d'urgence électrique du QRH et attendu le démarrage de l'APU avant de réinitialiser les IDG. Par conséquent, le détecteur de fumée dans le compartiment de recirculation est demeuré hors circuit durant la période où la fumée était probablement détectable.

Turbine à air dynamique

L'étape suivante de la liste de vérification du QRH consiste à évaluer la décharge des batteries et à déployer manuellement la turbine à air dynamique s'il y a lieu. Dans une situation où la turbine ne se déploie pas ou ne peut produire d'électricité, les batteries de l'aéronef ont démontré qu'elles pouvaient alimenter les bus essentiels pendant au moins 10 minutes. Par contre, l'alimentation au-delà de cette période est incertaine.

Dans le cas peu probable où la turbine à air dynamique ne se déploierait pas en cas d'urgence électrique et où l'équipage de conduite, suivant les directives de la liste de vérification courante, observerait un délai semblable avant de tenter de démarrer l'APU, il se pourrait que les batteries se déchargent et cessent d'alimenter les bus essentiels. En outre, les batteries déchargées ne pourraient démarrer l'APU. Dans cette situation, si l'équipage de conduite ne se rendait pas à l'étape où il doit réenclencher les sélecteurs des IDG, le vol serait privé de toute alimentation électrique. Il serait donc beaucoup moins probable que le vol se poursuive en toute sécurité.

Si les directives aux équipages de conduite en cas d'urgence électrique ne prescrivent ni l'évaluation hâtive de l'état de décharge des batteries ni la confirmation d'une source d'alimentation électrique supplémentaire, il y a un risque accru que les batteries ne puissent garantir l'alimentation de l'équipement essentiel jusqu'à l'atterrissage de l'aéronef.

Déclaration d'une situation d'urgence

Outre sa décision de poursuivre le vol jusqu'à destination, l'équipage de conduite, qui estimait qu'il n'y a urgence que si l'alimentation électrique ne peut être rétablie, a retardé la déclaration d'une urgence à l'ATC. Après le rétablissement de l'alimentation principale, l'équipage de conduite a estimé que son approche à CYYZ n'exigeait aucune priorité et que, par conséquent, aucune déclaration d'urgence n'était nécessaire.

Or, étant donné la teneur des communications entre l'équipage de conduite et l'ATC, notamment au sujet de la panne électrique généralisée et de tous les instruments de navigation, toutes les unités ATC ont décidé de leur propre chef de traiter cette situation comme une urgence. Elles ont traité ce vol en priorité et ont demandé aux véhicules d'urgence à CYYZ de se tenir en état d'alerte.

Si les équipages de conduite prennent conscience d'une situation qui pourrait compromettre la sécurité, mais ne déclarent aucune situation d'urgence à l'ATC, il y a un risque accru que, si la situation devait s'aggraver, l'aéronef soit toujours dans les airs faute d'un traitement prioritaire ou qu'il atterrisse sans que les services d'urgence soient en état d'alerte.

Faits établis quant aux causes et aux facteurs contributifs

1. À un moment donné, un contaminant liquide est entré en contact avec le dessus du centre intégré de contrôle droit. L'enquête n'a pas permis de déterminer exactement quand ni comment ce liquide s'est introduit dans le compartiment avionique.
2. Le contaminant liquide est entré en contact avec des composants électriques de l'une des barres omnibus pour courant alternatif. Ce contact a entraîné la formation d'arcs électriques, qui ont produit de la fumée et un incendie. Les défaillances résultantes ont fini par entraîner la défaillance du circuit électrique principal.
3. À peine 36 secondes après la première défaillance, l'alimentation électrique de toutes les barres omnibus principales a été interrompue; ainsi, l'alimentation a été coupée au détecteur de fumée dans le compartiment de recirculation et aux ventilateurs de recirculation.
4. La fumée qui s'était formée dans l'intervalle ne s'est pas déplacée dans les gaines de recirculation jusqu'au détecteur de fumée en quantité suffisante pour déclencher un avertissement avant que le détecteur ne se trouve hors circuit.
5. Sans alimentation électrique, les ventilateurs de recirculation n'ont pu faire circuler l'air entre le compartiment avionique central et la cabine. Par conséquent, la fumée ne s'est pas infiltrée dans la cabine et n'a pas été détectée par l'équipage.
6. L'équipage de conduite a suivi les instructions de la liste de vérification d'urgence électrique du manuel de référence rapide et a attendu le démarrage du groupe auxiliaire de bord avant de réinitialiser les générateurs à entraînement intégré. Par conséquent, le détecteur de fumée dans le compartiment de recirculation est demeuré hors circuit durant la période où la fumée était probablement détectable.
7. Étant donné l'absence d'avertissement de fumée ou d'incendie, l'équipage de conduite ignorait la gravité de la situation et a choisi de poursuivre le vol jusqu'à destination.

Faits établis quant aux risques

1. Si les politiques de l'entreprise n'interdisent pas les liquides dans les endroits où ils pourraient endommager de l'équipement sensible, il y a un risque continu de contamination qui pourrait causer la défaillance de composants.
2. Si les équipages de conduite ne sont pas pleinement conscients de la gravité d'une urgence et, à leur discrétion, comme le prévoit le manuel d'utilisation aéronef, choisissent de ne pas atterrir à l'aéroport approprié le plus proche comme le prescrit le manuel de référence rapide, il y a un risque accru que le vol se poursuive jusqu'à destination, malgré l'existence d'options plus sécuritaires.
3. Si les directives aux équipages de conduite en cas d'urgence électrique ne prescrivent ni l'évaluation hâtive de l'état de décharge des batteries ni la confirmation d'une source d'alimentation électrique supplémentaire, il y a un risque accru que les batteries ne puissent garantir l'alimentation de l'équipement essentiel jusqu'à l'atterrissage de l'aéronef.
4. Si les équipages de conduite prennent conscience d'une situation qui pourrait compromettre la sécurité, mais ne déclarent aucune situation d'urgence au contrôle de la circulation aérienne, il y a un risque accru que, si la situation devait s'aggraver, l'aéronef soit toujours dans les airs faute d'un traitement prioritaire, ou qu'il atterrisse sans que les services d'urgence ne soient en état d'alerte.

Mesures de sécurité prises

Embraer

En janvier 2017, Embraer a présenté à l'organisme de réglementation une proposition de modification de la procédure d'urgence électrique et de la liste de vérification de son manuel de vol.

La nouvelle procédure proposée comprend les séquences d'instructions suivantes :

[traduction] ATTERRIR À L'AÉROPORT APPROPRIÉ LE PLUS PROCHE.

Limiter la vitesse anémométrique à au moins 150 KIAS, déployer manuellement la turbine à air dynamique, réinitialiser (éteindre [« OFF »], puis remettre à « AUTO ») l'IDG 1 et l'IDG 2, démarrer l'APU, et éteindre (« OFF ») l'éclairage d'urgence ^{Note de bas de page 16}.

Le présent rapport conclut l'enquête du Bureau de la sécurité des transports du Canada sur cet événement. Le Bureau a autorisé la publication de ce rapport le 5 septembre 2017. Le rapport a été officiellement publié le 11 septembre 2017.

Annexe A – Liste de vérification pour urgence électrique du manuel de référence rapide

Image

Image

Source : Air Canada, Quick Reference Handbook E190 (26 janvier 2015), section 5 : Emergency and Abnormal Electrical Power, pp. EAP5-4 et EAP5-5 (disponible en anglais seulement).

Annexe B – Dommages au centre intégré de contrôle droit vus sous éclairages normal et ultraviolet

Image