Incident grave du Boeing 737-800 immatriculé CN-ROJ exploité par Royal Air Maroc survenu le 30/12/2016 à Lyon-Saint Exupéry (69)

Rapport d'Enquête cat.1 : rapport au format OACI, publié à l'issue d'une enquête majeure ou complexe.

Le 30 décembre 2016, le Boeing 737-800, est en guidage vers l’ILS de la piste 06 de Paris-Orly (94). Les conditions météorologiques imposent une approche aux instruments de catégorie 3 (ILS CAT III).
Après avoir reçu la clairance d’approche, l’équipage tente à deux reprises d’engager le deuxième pilote automatique (A/P B). La non-réception par le calculateur de commande de vol (FCC B) des données du radioaltimètre (RA) 2 ne permet pas l’engagement de l’A/P B et provoque le désengagement de l’A/P A.
L’équipage engage de nouveau l’A/P A, informe le contrôleur qu’il ne peut pas effectuer une ILS CAT III, demande à interrompre l’approche et à dégager vers l’aéroport Lyon-Saint Exupéry. Les conditions à Lyon permettent une approche ILS CAT I, réalisable avec un seul A/P fonctionnel.
Lors de l’interception de l’ILS 35R à Lyon-Saint Exupéry, alors que l’A/P est passé en mode d’interception et de suivi du signal radioélectrique du Localizer (mode VOR/ LOC vert), l’avion vire soudainement à droite avec une inclinaison de 30°, croise l’axe du Localizer et s’en éloigne à un cap franchement divergent (cap 70°), sans qu’aucune alarme ne se déclenche à bord. Ce virage à droite inopportun est commandé par l’A/P du fait de données erronées en provenance du module IRS de la Centrale aérodynamique et inertielle (ADIRU) gauche.
L’invalidité des données fournies par l’ADIRU gauche entraîne ensuite le désengagement de l’A/P A. Le pilotage est alors effectué en manuel par le CdB avec les directeurs de vol (F/D) affichés à l’écran de vol primaire (PFD).
L’équipage tente dans un premier temps de revenir sur l’axe. L’écart de trajectoire rendant la poursuite de l’approche compromise, il interrompt l’approche puis engage l’A/P B.
Alors que l’avion vient à nouveau d’être transféré à l’approche, l’alarme L IRS FAULT se déclenche ce qui provoque le désengagement de l’A/P B, la disparition des informations d’assiette, de roulis et de cap ainsi que des barres F/D sur le PFD gauche. Le CdB pilote de nouveau en manuel tout en effectuant de mémoire une des actions de la checklist IRS FAULT en plaçant le sélecteur IRS Transfer Switch sur BOTH ON R. Ainsi, les deux FCC utilisent les données fournies par l’ADIRU droit. L’assiette, le roulis et le cap sont de nouveau affichés sur le PFD gauche et les barres F/D réapparaissent.
Lors de la deuxième approche et de la phase d’interception vers le Localizer et après avoir réengagé l’A/P B et transféré les commandes au copilote, le CdB indique au contrôleur qu’il a des problèmes de positionnement. Le contrôleur poursuit le guidage radar.
Au moment de la capture du Glide, l’A/P B se désengage automatiquement en raison de la non-réception par le FCC B des données du RA 2. Les F/D disparaissent des deux côtés. Le copilote transfère alors les commandes au CdB. Ce dernier indique au contrôleur d’approche qu’il poursuit en pilotage manuel. Le vol est transféré au contrôleur tour.
L’approche, en pilotage manuel et sans F/D, n’est pas stabilisée, aussi bien en ce qui concerne l’axe d’approche, que la vitesse et la configuration avion. Plusieurs alarmes EGPWS « SINK RATE », « GLIDE SLOPE » et « TOO LOW TERRAIN » se déclenchent en finale. L’avion sort de la couche entre les pistes 35L et 35R, effectue une baïonnette et atterrit sur la piste 35R.

Ont contribué à cet incident grave :

• La concomitance de deux défaillances indépendantes au sein de deux systèmes différents dont l’origine, l’absence de lien et les conséquences étaient difficiles à établir pour l’équipage sans information adéquate dans la documentation opérationnelle ni d’alarmes suffisamment saillantes émises par les systèmes avion.
• Une perte de confiance progressive de l’équipage dans les systèmes avion au fil du vol engendrant un stress important et une focalisation de l’attention de l’équipage sur le niveau de carburant restant.
  La dégradation du CRM au sein de l’équipage lors d’une charge de travail devenue très élevée en raison notamment de la nécessité de gérer la panne IRS FAULT pendant la phase d’interruption de l’approche.
• La logique de fonctionnement des FCC qui ne prévoit pas, conformément à ses spécifications, de surveillance des données inertielles fournies par les ADIRU hormis dans les cas d’approches avec les deux A/P engagés.
• La logique de surveillance interne des ADIRU vis-à-vis de la validité des données inertielles transmises aux autres systèmes. Les critères de déclenchement de la panne Drift Angle, facteur déclencheur de l’alarme IRS FAULT, peuvent en effet amener cette dernière à apparaître tardivement par rapport au début du dysfonctionnement du module IR de l’ADIRU.
• Le report non systématique par les équipages de dysfonctionnements techniques sur le TLB tels que la disparition des F/D, les dysfonctionnements ADIRU et les déconnexions automatiques de l’A/P.
  La persistance de pannes intermittentes.