Incident grave du Boeing 737-800 immatriculé CN-ROJ exploité par Royal Air Maroc survenu le 30/12/2016 à Lyon-Saint Exupéry (69)

Progression de l'enquête Cloturée
Progress: 100%

Rapport d'Enquête cat.1 : rapport au format OACI, publié à l'issue d'une enquête majeure ou complexe.

Le 30 décembre 2016, le Boeing 737-800, est en guidage vers l’ILS de la piste 06 de Paris-Orly (94). Les conditions météorologiques imposent une approche aux instruments de catégorie 3 (ILS CAT III).
Après avoir reçu la clairance d’approche, l’équipage tente à deux reprises d’engager le deuxième pilote automatique (A/P B). La non-réception par le calculateur de commande de vol (FCC B) des données du radioaltimètre (RA) 2 ne permet pas l’engagement de l’A/P B et provoque le désengagement de l’A/P A.
L’équipage engage de nouveau l’A/P A, informe le contrôleur qu’il ne peut pas effectuer une ILS CAT III, demande à interrompre l’approche et à dégager vers l’aéroport Lyon-Saint Exupéry. Les conditions à Lyon permettent une approche ILS CAT I, réalisable avec un seul A/P fonctionnel.
Lors de l’interception de l’ILS 35R à Lyon-Saint Exupéry, alors que l’A/P est passé en mode d’interception et de suivi du signal radioélectrique du Localizer (mode VOR/ LOC vert), l’avion vire soudainement à droite avec une inclinaison de 30°, croise l’axe du Localizer et s’en éloigne à un cap franchement divergent (cap 70°), sans qu’aucune alarme ne se déclenche à bord. Ce virage à droite inopportun est commandé par l’A/P du fait de données erronées en provenance du module IRS de la Centrale aérodynamique et inertielle (ADIRU) gauche.
L’invalidité des données fournies par l’ADIRU gauche entraîne ensuite le désengagement de l’A/P A. Le pilotage est alors effectué en manuel par le CdB avec les directeurs de vol (F/D) affichés à l’écran de vol primaire (PFD).
L’équipage tente dans un premier temps de revenir sur l’axe. L’écart de trajectoire rendant la poursuite de l’approche compromise, il interrompt l’approche puis engage l’A/P B.

Alors que l’avion vient à nouveau d’être transféré à l’approche, l’alarme L IRS FAULT se déclenche ce qui provoque le désengagement de l’A/P B, la disparition des informations d’assiette, de roulis et de cap ainsi que des barres F/D sur le PFD gauche. Le CdB pilote de nouveau en manuel tout en effectuant de mémoire une des actions de la checklist IRS FAULT en plaçant le sélecteur IRS Transfer Switch sur BOTH ON R. Ainsi, les deux FCC utilisent les données fournies par l’ADIRU droit. L’assiette, le roulis et le cap sont de nouveau affichés sur le PFD gauche et les barres F/D réapparaissent.
Lors de la deuxième approche et de la phase d’interception vers le Localizer et après avoir réengagé l’A/P B et transféré les commandes au copilote, le CdB indique au contrôleur qu’il a des problèmes de positionnement. Le contrôleur poursuit le guidage radar.
Au moment de la capture du Glide, l’A/P B se désengage automatiquement en raison de la non-réception par le FCC B des données du RA 2. Les F/D disparaissent des deux côtés. Le copilote transfère alors les commandes au CdB. Ce dernier indique au contrôleur d’approche qu’il poursuit en pilotage manuel. Le vol est transféré au contrôleur tour.
L’approche, en pilotage manuel et sans F/D, n’est pas stabilisée, aussi bien en ce qui concerne l’axe d’approche, que la vitesse et la configuration avion. Plusieurs alarmes EGPWS « SINK RATE », « GLIDE SLOPE » et « TOO LOW TERRAIN » se déclenchent en finale. L’avion sort de la couche entre les pistes 35L et 35R, effectue une baïonnette et atterrit sur la piste 35R.

Ont contribué à cet incident grave :

  • La concomitance de deux défaillances indépendantes au sein de deux systèmes différents dont l’origine, l’absence de lien et les conséquences étaient difficiles à établir pour l’équipage sans information adéquate dans la documentation opérationnelle ni d’alarmes suffisamment saillantes émises par les systèmes avion.
  • Une perte de confiance progressive de l’équipage dans les systèmes avion au fil du vol engendrant un stress important et une focalisation de l’attention de l’équipage sur le niveau de carburant restant.
    La dégradation du CRM au sein de l’équipage lors d’une charge de travail devenue très élevée en raison notamment de la nécessité de gérer la panne IRS FAULT pendant la phase d’interruption de l’approche.
  • La logique de fonctionnement des FCC qui ne prévoit pas, conformément à ses spécifications, de surveillance des données inertielles fournies par les ADIRU hormis dans les cas d’approches avec les deux A/P engagés.
  • La logique de surveillance interne des ADIRU vis-à-vis de la validité des données inertielles transmises aux autres systèmes. Les critères de déclenchement de la panne Drift Angle, facteur déclencheur de l’alarme IRS FAULT, peuvent en effet amener cette dernière à apparaître tardivement par rapport au début du dysfonctionnement du module IR de l’ADIRU.
  • Le report non systématique par les équipages de dysfonctionnements techniques sur le TLB tels que la disparition des F/D, les dysfonctionnements ADIRU et les déconnexions automatiques de l’A/P.
    La persistance de pannes intermittentes.

Publications

Le BEA émet 5 recommandations de sécurité:

- Recommandation FRAN-2021-013 / Réévaluation de l’étude de sécurité relative aux conséquences de l’utilisation par le FCC d’une information erronée non détectée provenant de l’ADIRU:

Le BEA recommande que ,considérant que le seul moyen de détection du danger « utilisation par le le calculateur de commande de vol (FCC) d’une information inertielle erronée non détectée » est la surveillance et la réaction par l’équipage et qu’il permet de classer « majeurs » les effets de ce danger ; considérant que cet incident pose question sur les hypothèses de temps de réaction d’un équipage prises en compte lors de la certification de l’avion pour contrer un tel dysfonctionnement ; considérant que les autorités conjointes, à l’origine du JATR publié à la suite des accidents de Boeing 737-Max survenus en Indonésie et en Éthiopie ont également questionné le présupposé selon lequel l’équipage de conduite surveille constamment les automatismes et est prêt à réagir immédiatement en cas de dysfonctionnement ; La FAA, en liaison avec Boeing, réévalue l’étude de sécurité relative aux conséquences de l’utilisation par le FCC d’une information erronée non détectée en provenance de l’ADIRU afin notamment de vérifier le niveau de gravité associé et de s’assurer, sur la base d’événements en service, que l’objectif de sécurité est atteint.

- Recommandation FRAN-2021-014 / Surveillance interne à l’ADIRU et activation de l’alarme IRS FAULT:

Le BEA recommande que, considérant que l’alarme IRS FAULT apparaît tardivement par rapport au début du dysfonctionnement du module IR de l’ADIRU et que des données erronées de l’ADIRU peuvent continuer à être utilisées par certains systèmes bord ; Boeing reconsidère les critères de déclenchement du message de panne DRIFT ANGLE de l’ADIRU et de l’alarme IRS FAULT associée, afin d’éviter d’une part l’utilisation de données inertielles erronées par les systèmes et d’autre part de permettre une réaction en temps opportun de l’équipage de conduite.

- Recommandation FRAN-2021-015 / Procédures de report de pannes par les équipages de conduite de la compagnie Royal Air Maroc:

Le BEA recommande que, considérant que le report non systématique des dysfonctionnements techniques par les équipages ne facilite pas l’identification et le traitement de pannes intermittentes ; La compagnie Royal Air Maroc mette en œuvre les dispositions nécessaires pour que les dysfonctionnements techniques observés en vol soient systématiquement reportés sur les documents prévus à cet effet.

- Recommandation FRAN-2021-016 / Traitement des pannes intermittentes à la compagnie Royal Air Maroc:

Le BEA recommande que, considérant que Boeing laisse à l’opérateur le choix de la stratégie de résolution des pannes intermittentes, considérant la persistance de pannes intermittentes qui ont contribué à cet incident grave ; La compagnie Royal Air Maroc renforce sa politique en matière de traitement des pannes intermittentes.

- Recommandation FRAN-2021-017 / Pratique de la compagnie lors d’interceptions de l’ILS:

Le BEA recommande que pour que les procédures d’interception de l’ILS n’engendrent pas de disparitions de directeurs de vol (F/D) et n’affectent pas les opérations du pilote automatique (A/P) engagé ; La compagnie Royal Air Maroc clarifie sa position sur la procédure d’interception ILS et les pratiques de certains équipages, et en cas d’écarts avec la procédure du constructeur, que les conséquences opérationnelles de ces écarts soient documentées et leurs effets sur la sécurité des vols étudiés.

 

Le suivi de ces recommandation est en cours

Suivi disponible sur SRIS2: cliquez ici

___________________________________________________________________

Rappel : conformément aux dispositions de l’article 17.3 du règlement n° 996/2010 du Parlement européen et du Conseil du 20 octobre 2010 sur les enquêtes et la prévention des accidents et des incidents dans l’aviation civile, une recommandation de sécurité ne constitue en aucun cas une présomption de faute ou de responsabilité dans un accident, un incident grave ou un incident. Les destinataires des recommandations de sécurité rendent compte à l’autorité responsable des enquêtes de sécurité qui les a émises, des mesures prises ou à l’étude pour assurer leur mise en œuvre, dans les conditions prévues par l’article 18 du règlement précité.