Rapport d'enquête aéronautique A01F0094

Le Bœing 727-225 de First Air, immatriculé C-FIFA et portant le numéro de série 20381, assurait un vol de fret régulier entre l'aéroport international de Corcaigh, en Irlande, et l'aéroport d'East Midland, en Angleterre. Peu après le décollage, alors que le train d'atterrissage était rentré, le voyant de la porte cargo arrière s'est allumé sur le tableau d'alarme du second officier. Ce dernier a informé les autres membres d'équipage de cette anomalie alors que l'appareil en montée atteignait les 400 pieds au-dessus du niveau du sol. Peu après, le réacteur n^o 3 a connu une série de calages du compresseur. Le commandant de bord a coupé le réacteur (Pratt & Whitney JT8D-15) et a demandé l'autorisation de revenir immédiatement à l'aéroport de Corcaigh. L'appareil a atterri sans incident : les services d'intervention d'urgence de l'aéroport étaient prêts à entrer en action. La porte cargo arrière était partiellement ouverte et le mécanisme d'ouverture de la porte était endommagé. Personne n'a été blessé.

Le Bœing 727 faisait l'objet d'un affrètement de longue durée de la part d'Air Contractors Ireland Ltd. L'équipage est arrivé à l'aéroport de Corcaigh environ une heure et demie avant le départ prévu pour 20 h 45, heure locale^{Note de bas de page 1}. Les trois membres d'équipage, le commandant de bord, le premier officier et le second officier, avaient eu une journée de repos complète avant d'entreprendre leur journée de service. Ils possédaient les licences et les qualifications nécessaires pour effectuer le vol, conformément à la réglementation en vigueur. L'entretien courant et la maintenance de l'appareil étaient assurés conformément aux consignes en vigueur et rien n'indique qu'il y ait eu un système défectueux avant le vol.

Les conditions météorologiques observées au moment de l'incident étaient les suivantes : plafond, à 3 000 pieds au-dessus du sol, formé de nuages fragmentés culminant à 5 000 pieds, vents légers et bonne visibilité. Toutes les opérations importantes (chargement de l'appareil, démarrage des réacteurs, décollage et atterrissage 34 minutes plus tard) ont été effectuées de jour.

À son arrivée à l'aéroport, le second officier s'est rendu à l'appareil pour s'acquitter de ses tâches avant vol et avant démarrage. Alors qu'il effectuait l'inspection externe, il a remarqué que les portes cargo principale et arrière étaient ouvertes en préparation du chargement. L'escalier arrière était également déployé. Tandis que l'équipage de conduite se rendait dans le poste de pilotage en prévision du départ, le personnel au sol se préparait à effectuer le chargement de l'appareil par la porte cargo principale gauche ainsi que par la porte cargo arrière droite se trouvant au niveau du réacteur n^o 3.

Servisair Ltd. assure à Corcaigh les services d'escale aux appareils^{Note de bas de page 2} sous la supervision de DHL Aviation, une compagnie de messagerie internationale, travaillant pour le compte d'Air Contractors Ireland Ltd. Si DHL Aviation assure la responsabilité de la fourniture des services d'escale sur les grands aéroports, elle sous-traite généralement cette responsabilité à un tiers sur les plus petits aéroports. À Corcaigh, la responsabilité des services d'escale avait été déléguée à Servisair Ltd., mais un membre de l'équipe locale de DHL Aviation était responsable de la répartition des charges, du remplissage des formulaires de masse et de centrage ainsi que de la supervision de Servisair Ltd. En vertu du contrat de sous-traitance, Servisair Ltd. assumait la responsabilité de la fermeture et du verrouillage de toutes les portes cargo des appareils avant le démarrage des réacteurs. Néanmoins, selon une procédure locale en vigueur à Corcaigh, la tâche du chargement de l'appareil par la porte cargo arrière était déléguée à DHL Aviation.

L'appareil a été chargé tandis que les trois membres d'équipage de conduite, dans le poste de pilotage, effectuaient les procédures relatives à la liste de vérifications avant démarrage. Un membre du personnel de DHL Aviation assurait le chargement de l'appareil par la porte cargo arrière conformément à la procédure locale établie. Lorsqu'il a vérifié le tableau d'alarme pour la première fois, le second officier n'a pas fait attention aux voyants des portes cargo principale ou arrière, car il savait que le chargement de l'appareil n'était pas terminé. Une fois le chargement de l'appareil par les portes cargo principale et arrière terminé, un agent de Servisair Ltd. a remis au second officier un formulaire de fret décrivant la nature et la masse du fret embarqué aux fins des calculs de masse et de centrage. Le second officier a alors interrompu ses tâches avant démarrage et est sorti du poste de pilotage pour fermer et verrouiller la porte cargo principale et l'escalier arrière, tel que stipulé par les procédures établies. Alors qu'il repliait l'escalier, il n'a pas vérifié la position de la porte cargo arrière, car le chargement s'y effectue souvent jusqu'au démarrage des réacteurs.

Le second officier est ensuite rentré dans l'appareil par la porte passagers gauche et est retourné au poste de pilotage pour reprendre ses tâches avant démarrage et au démarrage. Il a alors regardé le tableau d'alarme et a remarqué que les voyants des portes cargo principale et arrière n'étaient pas allumés, ce qui confirmait que les portes avaient bien été verrouillées. Les membres d'équipage ont alors entamé la liste de questions et de réponse « Autorisé à démarrer ». Avant que les trois réacteurs ne soient mis en marche, un agent de Servisair Ltd. se trouvant près de la fenêtre du commandant de bord, sur le côté gauche de l'appareil, a donné le « OK » du pouce à l'équipage, lui indiquant ainsi que le personnel s'était éloigné de l'appareil et que l'équipage était autorisé à démarrer les réacteurs. Étant donné la position de l'appareil sur l'aire de trafic, il n'a pas été nécessaire de refouler l'appareil pour qu'il puisse rouler et, pour cette raison, les points de la liste de vérifications de « refoulement » n'ont pas été vérifiés.

La liste de vérifications normale du Bœing 727 demande au second officier de vérifier visuellement le tableau des voyants d'alarme à trois reprises : avant le démarrage des réacteurs, après le démarrage des réacteurs et avant le décollage de l'appareil. Le second officier a visuellement vérifié le panneau conformément à la liste de vérifications. Avant le décollage, le commandant de bord a contrevérifié le panneau afin de s'assurer visuellement, avant le départ, que tous les voyants étaient bien éteints. Lors des trois vérifications du tableau d'alarme, il faut appuyer sur un bouton permettant d'allumer tous les voyants du panneau afin de s'assurer qu'ils sont en état de service, puis le relâcher afin de vérifier qu'ils s'éteignent tous bien. Si un voyant de porte ne s'éteint pas après cette vérification, cela signifie que la porte n'a pas été correctement fermée et verrouillée.

Durant le décollage, le commandant de bord et le premier officier ont concentré leur attention sur l'extérieur, tandis que le second officier surveillait les instruments des réacteurs, ce qui est sa tâche principale durant cette phase de vol. Peu après le décollage, alors que le train était rentré, le second officier s'est penché en arrière et a remarqué que le voyant de la porte cargo arrière, sur le tableau d'alarme, était allumé. Après que le premier officier a annoncé que l'appareil venait de passer l'altitude de franchissement d'obstacles au décollage, le second officier a informé le reste de l'équipage que le voyant de la porte cargo arrière était allumé. Le commandant de bord a accusé réception de cette information. Après la rentrée des volets, l'appareil a connu une série de calages du compresseur du réacteur n^o 3 qui se trouve quelques pieds en aval de la porte cargo arrière. Le commandant de bord a ramené la manette des gaz du réacteur n^o 3 au ralenti, a placé l'appareil en palier au-dessus de la couche de nuages fragmentés et a demandé l'autorisation de revenir immédiatement à l'aéroport de Corcaigh. La procédure dans le cas d'« un réacteur inactif » a été suivie, le réacteur n^o 3 a été coupé et l'appareil s'est posé sans incident avec deux réacteurs. L'appareil s'est immobilisé sur la piste et a été visuellement inspecté par l'équipe des services d'intervention d'urgence qui s'était rendue sur les lieux. Quelques minutes plus tard, l'équipe des services d'intervention d'urgence a signalé que la porte cargo arrière était partiellement ouverte, que le mécanisme de la charnière était légèrement tordu et que la poignée de la porte était complètement sortie. Ni le réacteur, ni la structure de l'appareil ne semblait avoir subi de dégâts. L'appareil a ensuite roulé jusque sur l'aire de trafic.

Après que les réacteurs ont été éteints, l'équipage a essayé de déterminer laquelle des deux sociétés, DHL Aviation ou Servisair Ltd., était responsable de la porte cargo arrière. La responsabilité n'a pas pu être établie sur le moment. Par la suite, l'agent de DHL Aviation qui avait chargé les colis par la porte cargo arrière n'a pas pu se souvenir s'il avait fermé la porte une fois le chargement achevé. Deux des cinq colis embarqués par la porte cargo arrière sont demeurés à bord de l'appareil : un des colis manquant a été retrouvé sur la piste, juste avant l'extrémité de cette dernière, un autre a été retrouvé dans l'herbe au-delà de l'extrémité de la piste et le troisième a été rapporté par une personne qui vit près de l'aéroport.

La structure de la porte cargo arrière, les butées (verrous) de la porte et les points de fixation de la charnière n'étaient pas endommagés. Néanmoins, les tiges de droite et de gauche de la charnière étaient tordues et empêchaient de fermer la porte. Le système de sécurité de la porte (contact, fils et voyant) a fait l'objet de plusieurs essais consistant à tirer avec force sur le contact et les fils électriques afin d'essayer d'éteindre le voyant de la porte cargo arrière alors que la porte était ouverte et de recréer ainsi les conditions d'une telle défectuosité. Aucune défaillance n'a été constatée. Les charnières ont été démontées afin de permettre la fermeture et le verrouillage de la porte cargo arrière. La porte a été fermée et le voyant d'alarme s'est éteint. La porte cargo arrière de l'appareil a été pressurisée et la pression s'est maintenue dans une plage acceptable, ce qui confirmait que la porte était correctement verrouillée.

Le 24 juillet, après en avoir reçu l'autorisation de l'Irish Aviation Authorities et de Bœing, l'appareil a été convoyé, avec un réacteur inactif et la porte cargo arrière verrouillée, jusqu'à Copenhague, au Danemark, pour réparations. Ces réparations consistaient, entre autres, en un remplacement des charnières tordues et du mécanisme de verrouillage (contact de la porte) ainsi qu'en un certain nombre de réparations mineures à l'enveloppe intérieure du corps de turbine du réacteur n^o 3 endommagée par les calages du compresseur. Aucun dégât n'a été constaté sur les aubes de la turbine. Le microcontact de la porte a été par inadvertance mis au rebut durant ou après les travaux de réparation et n'a pu être soumis à analyse.

Le BST n'a pas été informé de cet incident qui aurait dû faire l'objet d'un compte rendu par l'exploitant, mais a reçu l'information de la Sécurité du système de Transports Canada le 24 juillet. Après discussion avec l'Aircraft Accident Investigation Agency irlandaise, l'enquête a été déléguée au BST le 25 juillet.

Le contenu de l'enregistreur de données de vol (FDR) et de l'enregistreur de la parole dans le poste de pilotage (CVR) a été téléchargé et envoyé au laboratoire de génie du BST pour analyse. Les voyants d'alarme des portes et la position ou l'état des portes ne sont pas enregistrés dans le FDR. Le vol, après le cabrage, a duré 34 minutes. La vitesse était en moyenne de 200 nœuds, avec une pointe d'environ 240 nœuds d'une durée d'une minute. Les données relatives au vol enregistrées sur la boucle de 30 minutes du CVR ont été effacées, car l'alimentation de l'appareil a été maintenue plus d'une heure après l'incident afin de permettre à l'équipage et au personnel de maintenance d'effectuer le diagnostic du mécanisme de verrouillage et du système d'alarme de la porte. Le CVR ne renfermait aucunes données relatives à la période allant des procédures avant démarrage à l'incident.

La Bœing Aircraft Company a fourni des renseignements sur des cas antérieurs d'ouverture inopinée de la porte en vol. Depuis décembre 1976, 10 cas d'ouverture inopinée de la porte en vol sur des 727 de même type, dont le présent cas, ont été signalés à Bœing. La cause n'en a généralement pas été déterminée. Néanmoins, le National Transportation Safety Board (NTSB) des États-Unis a enquêté et rédigé un rapport sur un incident similaire s'étant produit le 5 janvier 1999 (Rapport n^o LAX99IA072). Il a été établi que la porte cargo arrière s'était ouverte parce que le personnel d'escale ne l'avait pas correctement verrouillée et que le voyant d'alarme de cette porte fonctionnait de façon intermittente en raison d'une contamination des bornes du contact de proximité. Dans les autres cas où la cause exacte n'a pu être déterminée, on soupçonne généralement un mauvais verrouillage de la porte associée, dans certain cas, à une défectuosité du système électrique du voyant d'alarme et/ou du contact.

Une défaillance d'un microcontact est généralement due à une contamination par l'huile ou par l'eau, à des fiches encastrées souillées ou à des problèmes de câblage. Si un contact est jugé trop difficile à nettoyer, il doit être mis au rebut et remplacé par un neuf. Ces contacts n'ont pas de durée de vie établie et ils ne font pas l'objet d'inspections particulières. Ils sont simplement remplacés lorsque le besoin s'en fait sentir. Quelques semaines après cet incident, un cas, non documenté, de mauvais fonctionnement du voyant d'alarme de la porte cargo arrière s'est produit sur l'aire de trafic de First Air / Bradley Air Services Ltd. à l'Aéroport international Macdonald-Cartier d'Ottawa sur un Bœing 727 du même type. Les différents systèmes de l'appareil ont subi des essais et il a été constaté que le voyant d'alarme était éteint alors que la porte cargo arrière était ouverte, ce qui trahissait une défaillance du système électrique concerné. Le voyant d'alarme a été vérifié et s'est avéré en état de fonctionner. Un diagnostic du microcontact de la porte a révélé que ce dernier fournissait des signaux erronés. Le contact a été nettoyé et réinstallé.

Les portes cargo arrière des Bœing 727 ont été conçues de façon à ce que, une fois correctement fermées et verrouillées au sol, elles ne puissent s'ouvrir inopinément en vol à moins d'une défaillance structurale ou d'une rupture totale du mécanisme de verrouillage. Il est également physiquement impossible que, de par sa conception, une porte soit mal fermée ou mal verrouillée. La porte s'ouvre vers le haut en faisant sortir complètement la poignée de la porte qui s'enclenche et demeure en position sortie. La bielle d'immobilisation de la porte, rattachée à l'intérieur de la porte, permet de maintenir la porte grande ouverte pour un meilleur accès.

Pour fermer et verrouiller la porte cargo arrière, la bielle d'immobilisation est rabattue sur le côté intérieur de la porte, et la porte bascule, sous l'effet de la gravité, pour s'arrêter à quelques pouces de sa position fermée encastrée dans le revêtement extérieur de l'appareil. La poignée étant complètement sortie, la porte est poussée à fond dans la structure de l'appareil, puis la poignée est enfoncée de façon à s'encastrer (rentrer complètement) dans le revêtement extérieur de l'appareil. Le fait de pousser la poignée déplace vers l'extérieur les taquets se trouvant aux quatre coins de la porte. Si la porte est encastrée dans le fuselage, ces quatre taquets mâles coulisseront, d'abord vers le haut puis vers le bas dans les butées femelles, coudées, de verrouillage de la porte montées sur la structure de l'appareil et assurer ainsi le verrouillage de la porte.

Une fois la poignée complètement rentrée, un plongeur vient s'insérer dans le contact, ce qui crée un contact électrique qui entraîne l'extinction du voyant d'alarme de la porte cargo arrière. Si la poignée de la porte est poussée (c'est-à-dire plus ou moins encastrée dans la porte) avant que la porte soit elle-même encastrée dans la structure de l'appareil, les taquets mobiles, qui sont sortis lorsque la poignée est encastrée, ne vont pas pouvoir s'insérer dans les butées de verrouillage de la porte montées sur la structure de l'appareil.

Ce mécanisme de sécurité fait qu'il est impossible de fermer la porte en l'encastrant dans la structure de l'appareil si la poignée est rentrée et élimine toute possibilité que le plongeur établisse un contact électrique entraînant l'extinction du voyant d'alarme. Lorsque la poignée est rentrée et que la porte n'est pas complètement fermée, cette dernière demeure entrebâillée d'environ deux pieds. Si la bielle d'immobilisation est repliée et que la poignée de la porte est sortie, la porte se rabattra jusqu'à quelques pouces du revêtement extérieur de l'appareil. La porte étant dans cette position, il est pratiquement impossible, pour l'équipe de chargement, de remarquer qu'elle n'est pas complètement, ni correctement, fermée.

Le contact incriminé a été mis au rebut avant qu'il ne puisse faire l'objet d'examens et d'essais de la part du BST et il n'a donc pas été possible de déterminer s'il avait connu une défaillance lors du vol en cause.

Le personnel au sol poursuivant le chargement de la soute jusqu'à la dernière minute avant le démarrage des réacteurs, le second officier n'effectue pas, avant la mise en marche des réacteurs, une inspection finale après chargement et avant vol, laquelle n'est d'ailleurs pas exigée par les procédures de la compagnie. L'équipage de conduite se fie aux voyants d'alarme du poste de pilotage pour vérifier la position des portes de l'appareil avant de démarrer les réacteurs, de rouler jusqu'à la piste et de décoller. Si le système fonctionne correctement, un voyant allumé indique que le contact électrique n'a pas été établi dans le microcontact de la porte, ce qui signifie que la porte n'est pas fermée ni verrouillée. Lorsque les systèmes de l'appareil sont alimentés par le groupe auxiliaire de bord, le voyant s'allume également si la porte cargo arrière est partiellement ou complètement ouverte. Le fait que le voyant de la porte cargo arrière est éteint après le chargement et avant le démarrage des réacteurs confirme que la porte cargo arrière est correctement fermée et verrouillée. Il est donc possible d'en conclure qu'il est peu probable que le second officier ait pu, à plusieurs reprises, ne pas remarquer que le voyant de la porte cargo arrière était allumé sur son tableau d'alarme avant le décollage. Même en pleine lumière et sous le soleil, un voyant allumé aurait été clairement visible sur la console du second officier. De plus, le commandant de bord a visuellement vérifié, comme l'exigent les procédures relatives à la liste de vérifications avant décollage, que tous les voyants de ce même tableau étaient bien éteints.

L'enquête a révélé que ni les butées de verrouillage montées sur la structure de l'appareil, ni la structure de la porte, ni les taquets mobiles de cette dernière n'avaient subi de dégâts. Seules les charnières de la porte se sont révélées tordues et ont dû être remplacées. La nature de ces dégâts, de même que la conception de la porte et la position dans laquelle le personnel des services d'intervention d'urgence a trouvé la poignée de la porte lorsqu'il l'a examinée pour la première fois, semble suggérer que, après que le chargement de l'appareil a été achevé, la porte a probablement été laissée en position abaissée, sa poignée étant complètement rentrée et la bielle d'immobilisation repliée.

La présence de trois colis sur la piste confirme également que la porte n'était pas complètement fermée au moment du décollage. La porte a probablement commencé à s'ouvrir au moment où l'appareil a commencé à se cabrer et la force du vent a directement contribué à la torsion des charnières de la porte. Bien que le second officier ait pour la première fois remarqué que le voyant de la porte cargo arrière était allumé au moment où le train était rentré, il est plausible que le voyant se soit allumé plus tôt durant la course au décollage. Le second officier doit, durant la phase critique que constituent la course au décollage et le décollage proprement dit, tourner son siège vers l'avant de l'appareil afin de surveiller les instruments des réacteurs, et il ne regardait donc pas son tableau d'alarme. Le fait de pousser les manettes des gaz à fond, le desserrage des freins, la course au décollage, le cabrage et la rentrée du train d'atterrissage ont tous entraîné des vibrations de la cellule. Ces vibrations ont pu faire que le mécanisme du microcontact de la porte cargo arrière se remette à fonctionner. Les calages du compresseur du réacteur qui ont suivi coïncident avec la rentrée des volets. La perturbation de l'écoulement d'air, causée par la présence, à proximité de l'entrée d'air du réacteur, de la porte cargo ouverte et la modification de l'écoulement résultant du changement de configuration ont probablement été à l'origine de ces calages.

Après des années de collaboration au niveau local, les responsabilités incombant respectivement aux équipes de Servisair Ltd. et de DHL Aviation en matière de chargement des appareils et de verrouillage des portes étaient devenues confuses, les deux équipes faisant tout leur possible pour que le travail soit accompli en temps voulu. Bien que le contrat attribue à Servisair Ltd. la responsabilité du chargement des appareils, un employé de l'équipe locale de DHL Aviation charge généralement les colis dans la partie arrière sans interrompre le chargement de la partie principale par l'équipe de Servisair Ltd.

Bien qu'efficace, cette répartition locale des responsabilités présente des faiblesses. Faute de définir clairement les tâches et/ou les responsabilités de chacun, la confusion ou le manque de communication régnant entre deux équipes de chargement différentes (à savoir, relevant de deux sociétés) soucieuses de terminer, le plus efficacement possible, leur travail en temps voulu peut entraîner des omissions au regard de procédures de sécurité telles que celle de fermeture et de verrouillage de la porte cargo arrière. Une fois la bielle d'immobilisation repliée, une porte légèrement entrebâillée se remarque à peine. Le seul dispositif de prévention empêchant de partir avec une porte ouverte est le voyant d'alarme se trouvant sur le tableau d'alarme du second officier. Ce voyant peut se bloquer par suite d'une contamination ou d'une défectuosité électrique. Au sein des compagnies DHL Aviation et Servisair Ltd., l'inspection extérieure avant vol relève de la responsabilité de l'équipage de conduite. Une fois l'équipage de conduite, qui se trouve dans le poste de pilotage, informé que le chargement est achevé et que les portes ont été fermées, l'équipe de chargement n'est pas censée effectuer une inspection extérieure finale, car la préparation des appareils sur l'aire de trafic ne figure pas dans leur contrat.

Faits établis quant aux causes et aux facteurs contributifs

1. La porte cargo arrière n'a probablement pas été fermée et verrouillée avant le démarrage des réacteurs, le roulage et le départ du Bœing 727. Pour cette raison, la porte s'est ouverte durant la course au décollage.
2. Le microcontact de la porte cargo arrière a probablement connu une défaillance, indiquant à tort à l'équipage que la porte avait été verrouillée avant le décollage.

Faits établis quant aux risques

1. Les procédures locales de Servisair Ltd. et de DHL Aviation en matière de chargement des appareils et de verrouillage des portes cargo peuvent avoir été à l'origine du fait qu'on a oublié de fermer correctement la porte cargo arrière.
2. Lorsque plusieurs compagnies effectuent un même travail sans que soient clairement définies les tâches et les responsabilités de chacune, il existe des risques de confusion et de mauvaise communication qui peuvent entraîner l'oubli d'une procédure de sécurité telle que la fermeture et le verrouillage des portes.

Autres faits établis

1. Cet incident a été signalé au BST quatre jours après qu'ils'est produit. Lorsque le BST s'est vu déléguer l'enquête, des informations essentielles avaient déjà été perdues : le microcontact de la porte cargo arrière avait été mis au rebut et n'a pu faire l'objet d'examens ou d'essais.

Le 3 juillet 2002, Bradley Air Services Ltd et Servisair se sont rencontrées et se sont entendues sur le fait que le personnel de Servisair serait désormais seul responsable du verrouillage des portes cargo des appareils de DHL. Tout le personnel de DHL à Cork en a été informé et n'interviendra plus désormais au regard de cette responsabilité.

Le présent rapport met fin à l'enquête du Bureau de la sécurité des transports sur cet incident. Le Bureau a autorisé sa publication le 14 août 2002.