Descente d’urgence à la suite d’une panne du contrôleur de régulation cabine lors d'un vol de démonstration

Evénement : descente d'urgence à la suite d'une panne

du contrôleur de pressurisation cabine

lors d'un vol de démonstration.

Conséquences et dommages : barotraumatismes.

Aéronef : Airbus 330-202, immatriculé F-WWKK.

Date et heure : 21 novembre 2007 à 15 h 20(1)

Exploitant : Airbus, livraison à Air Mauritius.

Lieu : secteur sud de la France,

croisière (FL) 410.

Nature du vol : vol de démonstration en livraison.

Personnes à bord : 2 PNT + 10 passagers.

Déroulement du vol

L'équipage constitué d'un pilote d'essais (CDB), d'un ingénieur d'essai (employés par le constructeur) et d'un pilote de l'exploitant effectue un vol de démonstration à bord d'un Airbus A330 dans le cadre de sa livraison à l'exploitant. Un programme de vérification du constructeur CAM (Customer Acceptance Manual) est utilisé lors de ce vol de démonstration. Sept techniciens et ingénieurs sont également présents à bord. L'ingénieur navigant d'essais est assis sur le siège destiné à un troisième membre d'équipage, un ingénieur de l'exploitant occupe le quatrième siège et 2 ingénieurs se tiennent debout dans l'entrée. L'avion évolue en CER.

Vers 15 h 20, tandis que l'avion vole au niveau FL 410 et que le CDB, alors PNF, termine les vérifications des équipements de radiocommunication de bord, l'ingénieur navigant d'essais débute les vérifications des systèmes de pressurisation conformément au CAM. Elles consistent à noter l'altitude pression cabine en sélectionnant alternativement les contrôleurs de pressurisation cabine CPC(2) (1 et 2) ainsi que la régulation manuelle. Au début de la vérification, le CPC2 est en fonction et l'altitude pression cabine relevée est de 7 400 pieds. L'ingénieur navigant d'essais sélectionne le mode manuel puis le CPC1. Environ 20 secondes plus tard, il observe l'ouverture automatique complète des 2 vannes de régulation (Outflow Valves, OFV).

Le CDB perçoit une variation de pression en subissant un barotraumatisme puis tout de suite après, à 15 h 22 min 23, le seuil de 9 550 pieds d'altitude pression cabine est atteint, ce qui a pour effet de générer un « MASTER WARNING » associé à une alarme sonore « Continuous Repetitive Chime » (CRC). L'équipage de conduite applique la procédure « CAB PR EXCESS CAB ALT », s'équipe des masques à oxygène et débute une descente d'urgence.

Les 4 personnes assises en poste ont pu s'équiper tandis que 2 autres positionnées entre la porte du poste et le siège central du troisième homme, ont perdu connaissance. Le pilote automatique est déconnecté et la descente assurée en pilotage manuel à MMO/VMO. L'altitude pression cabine continue de croître.

L'ingénieur navigant d'essais régule manuellement la fermeture des OFV puis mentionne que l'altitude pression cabine dépasse 15 000 pieds. Leur position passe alors de plein ouvert à environ 60 degrés tandis que l'altitude pression cabine dépasse 20 000 pieds puis atteint une valeur maximale voisine de 30 000 pieds quelques instants plus tard. Il interrompt son action pour porter assistance aux personnes qui ont perdu connaissance dans le poste de pilotage. Il leur applique alternativement son masque à oxygène jusqu'à ce qu'elles reprennent connaissance puis quitte le poste de pilotage vers la cabine passager afin de prêter assistance aux personnels assis dans la cabine avant.

L'un des deux, en poste, se rend dans le poste de repos équipage situé à proximité du poste de pilotage qui est équipé d'un générateur chimique d'oxygène. Le second reste à la place de l'ingénieur navigant.

A 15 h 26 min 12, le CDB sélectionne le mode automatique du contrôleur et le CPC2 contrôle alors la régulation de pression. Les OFV se ferment et l'altitude cabine continue à décroître vers la valeur consigne de 7 500 pieds.

A 15 h 27 min 40, l'avion est stabilisé au FL 100. Après s'être inquiété à plusieurs reprises de ses passagers, et avoir eu la confirmation qu'aucun n'avait besoin d'une assistance médicale en urgence, le commandant de bord décide de poursuivre le vol vers Toulouse. Il négocie avec le service du contrôle aérien une route directe vers l'aérodrome.

Conclusion

L'incident est dû à la défaillance du contrôleur de pressurisation cabine en fonction qui a commandé l'ouverture complète des vannes de régulation pendant la croisière au FL 410.

Les conséquences sur les personnels ont été aggravées par leur nombre supérieur aux équipements de sécurité disponibles.

Enseignement et mesure prise par le constructeur

Modification du logiciel du CPC

Bien que les objectifs statistiques de certification soient satisfaits, la corruption de mémoire suspectée d'un CPC a conduit à un comportement faillible du système de pressurisation sans qu'aucune panne ne soit détectée. Après l'incident, une modification du code des CPC a été entreprise et fait l'objet d'un nouveau standard qui sera effectif en 2011 (CPC PN 20793-42BD) pour l'ensemble de la flotte concernée. Cette modification l'a notamment rendu robuste aux corruptions de mémoire suspectées dans l'évènement et a fourni des fonctions de surveillance améliorées.

Recommandations DE SECURITE

Procédure d'un vol de démonstration

Avant la livraison d'un avion neuf au client, un vol de démonstration est effectué conformément au CAM. Dans sa version de février 2007, Airbus réalisait les essais de taux de fuite cabine dans des conditions proches du plafond pratique (FL 410), s'exposant inutilement à un danger.

Dans une révision de mai 2008, Airbus a changé le niveau de vol des essais relatifs au taux de fuite cabine. Ces derniers sont à présent réalisés au FL 310. En cas de panne accidentelle, les conséquences sont minimisées, compte tenu de l'augmentation significative du temps de conscience utile et de la réduction du temps nécessaire pour rejoindre le FL 100. Le personnel situé à l'arrière du poste de pilotage a dû être assisté car aucun dispositif d'oxygène de secours n'était disponible à cet emplacement.

En conséquence, le BEA recommande que :

- l'EASA fasse évoluer la réglementation des essais en vol afin de limiter l'accès au poste de pilotage au personnel à bord de l'avion en fonction des dispositifs de sécurité disponibles.

5.2 Procédures

Les OFV se ferment automatiquement dès lors que l'altitude pression cabine dépasse 15 000 pieds et cette fermeture est inhibée lorsque la régulation cabine fonctionne manuellement. L'incident a montré que le temps était relativement court avant d'atteindre une altitude-pression cabine de 15 000 pieds à partir du début de dépressurisation. Il est peu fréquent qu'un équipage ait le temps d'agir sur le contrôleur de pression avant que l'automatisme ne soit activé, toutefois la procédure CAB PR EXCESS CAB ALT ne prévoit que le passage en manuel et non un transfert d'autorité à l'autre CPC qui assurerait la régulation. Si ce passage sur manuel intervenait avant que les OFV n'aient été automatiquement fermées, elles resteraient figées à leur dernière position en l'attente d'une consigne manuelle.

En conséquence le BEA recommande que :

- l'EASA évalue avec Airbus la pertinence d'insérer dans le Flight Crew Training Manual (FCTM) une note d'information sur le fonctionnement des Outflow Valves (OFV) et d'une modification de la procédure CAB PR EXCESS CAB ALT.

La procédure CAB PR EXCESS CAB ALT mentionne dans une note :

« If ATC cannot be contacted, select ATC code A7700 or transmit a distress message... ».

Afin de garantir la sécurité, il est nécessaire que tous les contrôleurs aériens concernés voient l'avion en détresse. L'affichage du code transpondeur d'urgence 7700 aurait permis de rendre l'avion visible de tous et dans ce cas, de lui dédier une attention et une gestion particulières, en coordonnant avec les contrôleurs des secteurs adjacents afin qu'aucun appareil n'évolue sous sa trajectoire. A plusieurs reprises, le contrôleur a demandé à l'équipage d'afficher le code 7700, sans succès. L'équipage n'a pas mesuré l'importance et les implications liées à ce refus. Or, la descente d'urgence est une situation qui justifie l'affichage systématique du code transpondeur 7700 et l'émission d'un message de détresse.

En conséquence, le BEA recommande que :

- l'EASA demande à Airbus que la procédure CAB PR EXCESS CAB ALT soit amendée afin d'exiger à la fois l'affichage du code transpondeur d'urgence 7700 et l'émission d'un message de détresse.

(1)Sauf précision contraire, les heures figurant dans ce rapport sont exprimées en temps universel coordonné (UTC). Il convient d'y ajouter une heure pour obtenir l'heure en France métropolitaine le jour de l'événement.

(2)Les deux contrôleurs de pressurisation cabine (CPC) fonctionnent en parallèle, l'un en tant que principal, l'autre en tant que secondaire. Ils gèrent automatiquement la pression cabine en agissant sur les vannes de régulation (OFV).