Rapport d'enquête aéronautique A98H0003

2.0 Analyse

L'enquête sur l'accident du vol 111 (SR 111) de Swissair a été complexe, et le repêchage de l'épave a été très long avant que l'on puisse procéder à un examen détaillé et à une évaluation des questions techniques. Pour permettre l'évaluation de la zone endommagée par le feu et déterminer les éventuels manquements à la sécurité, il a fallu reconstruire une partie de la section avant de l'appareil. On a constaté que les importants dégâts causés par l'incendie en vol et l'impact avec le plan d'eau avaient masqué ou détruit une bonne part de l'information que contenaient beaucoup des pièces de cette section. Toutefois, grâce à un examen détaillé, à la reconstruction et à l'analyse des pièces et des matériaux récupérés, on a élaboré des scénarios d'incendie possibles. La structure de reconstruction ainsi que des renseignements sur l'évaluation de la circulation de l'air, les propriétés des matériaux et la chronologie des événements ont permis de comprendre comment et où les matières inflammables avaient pu s'enflammer et comment l'incendie s'était propagé.

Le temps écoulé entre le moment où l'odeur inhabituelle a été décelée pour la première fois dans le poste de pilotage et le moment où l'avion a percuté le plan d'eau n'a été que de 20 minutes environ; par conséquent, on a mis surtout l'accent sur la détermination des indices à la disposition de l'équipage et sur les facteurs influençant leur évaluation de la situation à bord.

La présente partie analyse et confirme bon nombre des manquements à la sécurité relatifs aux matériaux, aux équipements et aux procédures qui se sont dégagés de l'enquête, et elle examine les données dont le Bureau a tenu compte pour formuler les conclusions de la partie 3 du présent rapport.

2.1 Renseignements généraux

SR 111 a quitté New York pour un vol régulier, et il était piloté par un équipage qualifié conformément aux règlements et aux procédures applicables. Les documents indiquent que l'avion était équipé, entretenu et exploité conformément à la réglementation des Joint Aviation Authorities (JAA).

Rien dans les dossiers n'indiquait que les membres de l'équipage de conduite de SR 111 auraient souffert de problèmes de santé antérieurs qui auraient pu influer sur leur comportement. Avant le départ, selon l'information recueillie, les pilotes étaient frais et dispos et de bonne humeur. L'équipage avait bénéficié des heures de repos réglementaires, de sorte que la fatigue n'a pas été considérée comme un facteur dans le présent accident.

En un point de l'itinéraire de vol, une défaillance a produit une source d'inflammation qui s'est propagée à des matières inflammables se trouvant à proximité et a déclenché un incendie en vol. L'incendie s'est propagé et il a gagné en intensité pour finalement causer la perte de l'avion et de vies humaines. Voici les principaux facteurs dont il faut tenir compte dans le présent accident :

  • la condition ayant produit la source d'inflammation;
  • les matières inflammables présentes qui ont pris feu et qui ont entretenu et propagé l'incendie;
  • les défaillances de matériaux subséquentes qui sont attribuables à l'incendie et qui l'ont aggravé;
  • l'absence d'équipement de détection d'incendie qui aurait permis à l'équipage de repérer précisément la source de l'incendie et d'évaluer avec certitude la gravité de la fumée initiale;
  • l'absence de procédures appropriées de lutte contre les incendies en vol, nécessaires à une intervention efficace en cas de fumée ou d'incendie.

Même si les données confirment que les incendies en vol se soldant par des accidents mortels sont rares, bon nombre des facteurs susmentionnés ne sont pas propres au modèle d'avion, à la compagnie aérienne ou à l'équipage en question.

On a signalé que tout l'équipement de navigation au sol était en bon état de service et qu'il fonctionnait normalement. Les services de lutte contre les incendies d'aéronef de l'aéroport international de Halifax étaient sur un pied d'alerte et ils ont réagi en plaçant rapidement les véhicules d'intervention en position sur le terrain d'aviation.

L'impact à haute vitesse avec le plan d'eau et la destruction de l'avion n'ont pas permis de récupérer tous les éléments et tous les composants de la structure de l'avion. Cependant, on a réussi à récupérer l'équivalent en poids de 98 % de la masse structurale de l'avion. Toutes les extrémités des plans de l'avion ont été retrouvées dans la zone principale des débris au fond de l'océan, ce qui indique que l'avion était intact au moment où il a percuté le plan d'eau.

L'intervention de recherche et de sauvetage a été rapide et exhaustive. Les opérations de secours qui ont exigé la participation de multiples ministères et organismes gouvernementaux de même que celle des habitants des environs, ont été orchestrées avec rapidité et efficacité.

Les politiques, les procédures et les pratiques en matière de sécurité de Swissair, en vigueur à l'aéroport international John F. Kennedy (JFK) relativement au vol SR 111, ont été examinées par les enquêteurs de la Gendarmerie royale du Canada et du Bureau de la sécurité des transports du Canada. Aucune lacune n'a été découverte. La sécurité de l'avion et des passagers n'a pas été un facteur dans le présent accident.

Tous les débris de l'avion ont été récupérés et examinés par les experts en incendie et en explosifs de la GRC. Ils n'ont découvert aucun élément appuyant l'hypothèse de la présence d'un engin explosif ou d'un dispositif incendiaire, ou de toute autre activité criminelle à bord.

La coordination entre les pilotes et l'équipage de cabine correspondait aux procédures et à l'entraînement en vigueur à la compagnie. Les communications de l'équipage indiquaient que la situation n'avait pas été considérée comme une situation d'urgence avant les six dernières minutes environ du vol; toutefois, peu après le début de la descente vers Halifax, de rapides préparatifs de la cabine en vue d'un atterrissage imminent étaient en cours.

2.2 Capacité d'enregistrement des données de bord

2.2.1 Généralités

Beaucoup plus de données auraient pu être facilement accessibles si l'équipement d'enregistrement des données de bord avait été meilleur. L'amélioration de la quantité et de la qualité des renseignements enregistrés peut raccourcir de beaucoup la durée d'une enquête et augmenter les possibilités de repérer les manquements à la sécurité.

2.2.2 Enregistreur de la parole dans le poste de pilotage

2.2.2.1 Durée de l'enregistrement

Les 30 minutes d'enregistrement offertes par l'enregistreur de la parole dans le poste de pilotage (CVR) à bord de SR 111 n'ont pas suffi à fournir la quantité de données nécessaires à l'analyse de tous les facteurs contributifs de l'accident ou de facteurs qui auraient pu mener à l'identification d'autres manquements à la sécurité. Des enregistrements audio plus longs peuvent fournir les renseignements de base supplémentaires permettant d'évaluer la pertinence et l'importance des événements, d'isoler l'information directement liée à l'événement en cause et de résoudre des questions relatives à l'enquête plus rapidement. En l'absence d'enregistrements audio, le même genre d'évaluation par d'autres moyens peut nécessiter beaucoup de temps et de ressources. Une capacité d'enregistrement du CVR d'au moins deux heures aurait permis d'effectuer une évaluation plus rapide et probablement plus approfondie des événements qui s'étaient produits plus tôt pendant le vol. Par exemple, l'enquête aurait été grandement facilitée si on avait disposé de données CVR pour l'analyse des événements antérieurs, comme la période de 13 minutes d'interruption des communications à très haute fréquence (VHF).

Les JAA ont adopté le règlement JAR-OPS 1.700 qui exige que les avions de la catégorie transport certifiés après le 1er avril 1998 soient dotés d'un CVR offrant une capacité d'enregistrement de deux heures. Cependant, le MD-11 avait été certifié en 1991; par conséquent, en vertu du règlement JAR-OPS 1.710, seule une capacité d'enregistrement de 30 minutes était exigée pour SR 111. La réglementation des États-Unis et le Canada n'exigent toujours qu'une capacité d'enregistrement de 30 minutes pour les CVR des avions de la catégorie transport.

2.2.2.2 Source d'alimentation électrique des enregistreurs

Si le CVR avait été équipé d'une source d'alimentation indépendante lui permettant de fonctionner même après la perte de l'alimentation électrique de l'avion, l'information additionnelle obtenue aurait pu favoriser une compréhension beaucoup plus approfondie des circonstances avec lesquelles l'équipage avait dû composer pendant les dernières minutes du vol, et il aurait été possible d'évaluer beaucoup mieux les manquements à la sécurité.

Dans un avion où le CVR et le FDR sont alimentés par le même bus d'alternateur, les enregistreurs cesseraient de fonctionner en même temps si le bus d'alternateur était mis hors circuit. Même si l'exigence actuelle stipulant que les enregistreurs soient alimentés par le bus disponible le plus fiable semble prudente en principe, elle laisse les deux enregistreurs vulnérables à la panne de leur point d'alimentation commun. L'alimentation des enregistreurs par des bus distincts avec séparation du câblage et des disjoncteurs respectifs assurerait qu'au moins un des enregistreurs continue d'être alimenté en cas de perte d'un bus et, par conséquent, améliorerait les chances que d'autres renseignements utiles puissent être enregistrés.

2.2.2.3 Clarté de l'enregistrement CVR

Certaines parties de l'enregistrement par le microphone d'ambiance du poste de pilotage du CVR, qui auraient pu être importantes pour l'enquête, ont été difficiles à déchiffrer. L'expérience acquise avec de nombreux autres enregistrements CVR indique qu'il est beaucoup plus facile de déchiffrer la bande lorsque l'équipage de conduite utilise les micros-rails. La meilleure qualité de l'enregistrement permet de gagner beaucoup de temps pendant l'enquête, ainsi que d'améliorer la précision de la transcription et la probabilité de cerner et de confirmer les manquements à la sécurité. Actuellement, il n'existe aucune exigence réglementaire relative à l'utilisation des micros-rails pendant toutes les phases du vol; il n'y a pas non plus de pratique normalisée au sein des lignes aériennes.

2.2.3 Exploitabilité des renseignements de l'enregistreur de données de vol d'accès facile

Comme c'est le cas avec la plupart des enregistreurs de données de vol d'accès facile (QAR), celui du SR 111 a enregistré considérablement plus de données que ne l'a fait l'enregistreur de données de vol (FDR). La bande du QAR a été endommagée à un point tel qu'elle est devenue inutilisable. Par conséquent, on n'a pu recueillir de données provenant de cette source par ailleurs potentiellement très intéressante. Les paramètres enregistrés sur le QAR de SR 111 auraient été quatre fois plus nombreux que ceux enregistrés sur le FDR. Certains de ces paramètres portaient sur les températures dans certaines zones dissimulées et les tensions électriques des divers systèmes de bord. Ces renseignements, s'ils avaient été enregistrés sur le FDR protégé en cas d'écrasement, auraient été bien utiles à l'enquête, car ils auraient fourni des détails importants sur la source d'inflammation et la propagation de l'incendie en vol.

Les FDR numériques modernes, installés dans un milieu protégé en cas d'écrasement, sont techniquement aptes à enregistrer toutes les données QAR provenant de diverses sources dans l'avion; cependant, aucune réglementation n'exige que les FDR modernes enregistrent les données QAR.

2.2.4 Enregistrement des images

Même s’il n’est pas nécessaire d’enregistrer des images dans le poste de pilotage en vertu de la réglementation, il est techniquement possible de faire un tel enregistrement et de le protéger en cas d’écrasement. Les images enregistrées fourniraient des renseignements supplémentaires intéressants sur les faits et gestes de l’équipage, les défaillances d’équipement, les réglages, les sélections, les données de vol affichées, l’endroit où se produit de la fumée et d’autres éléments qui permettraient de reconstituer les faits avec plus de certitude. Ces renseignements pourraient être utilisés pour déterminer le cours des événements plus rapidement et plus efficacement et ainsi définir les manquements à la sécurité avec plus de fiabilité.

Une grande partie de la communication dans un poste de pilotage est non verbale. Sans enregistrement des images, il faut recueillir les bribes d’information et faire des déductions en tentant d’établir des liens entre celles-ci à partir d’observations faites pendant l’examen des débris et des enregistrements du CVR et du FDR. Même si les renseignements recueillis avec ces appareils sont inestimables, les enregistrements ne fournissent bien souvent qu’une information partielle et imprécise. Souvent, cette information ne fournit pas de contexte aux événements ou pas assez de détails aux fins d’une enquête de sécurité efficace et efficiente. L’enregistrement d’images à bord de SR 111 aurait permis d’obtenir d’autres renseignements très utiles et fourni plus de précisions pour la compréhension de la séquence des événements.

2.2.5 Radiobalises sous-marines de détresse – supports de fixation

Les brides de fixation des radiobalises sous-marines de détresse (ULB) des enregistreurs de bord sont demeurées fixées aux enregistreurs; cependant, les radiobalises ont été endommagées à un point tel qu'elles se sont presque détachées. Si les ULB s'étaient détachées des enregistreurs, il aurait peut-être été plus difficile, voire impossible, de récupérer les enregisteurs. La réglementation en vigueur n'exige pas que les brides de fixation des ULB respectent les mêmes niveaux de protection en cas d'écrasement que les autres composants des enregistreurs de données.

2.3 Vulnérabilité des matériaux au feu – normes de certification

2.3.1 Inflammabilité des matériaux

La lacune la plus grave liée aux événements qui ont conduit à l'accident a été la présence de matériaux inflammables qui ont favorisé le déclenchement de l'incendie et sa propagation. Les essais effectués pendant l'enquête ont démontré que plusieurs matériaux qui se trouvaient dans la zone endommagée par la chaleur étaient inflammables même s'ils étaient conformes aux normes réglementaires relatives à l'inflammabilité. Le matériau de recouvrement à base de poly(éthylène téréphtalate) (PET) métallisé des matelas d'isolation thermique et acoustique (matelas isolants) utilisés dans l'avion était inflammable, et il a constitué la principale source de matières combustibles qui ont alimenté l'incendie. En outre, le matelas isolant recouvert de PET métallisé a fort probablement été le premier matériau à prendre feu. On a aussi déterminé que d'autres matériaux présents dans la zone des dommages causés par l'incendie étaient combustibles et avaient contribué à la propagation et à l'intensité de l'incendie. Ces matériaux étaient des embouts en élastomère de silicone, des dispositifs de fermeture à bouclettes de nylon, des mousses, des adhésifs et différents types de bandes adhésives pour joints utilisées pour la construction, l'installation et la réparation des matelas isolants.

Les procédures d'essai de certification exigées en vertu des normes sur l'inflammabilité en vigueur au moment de l'accident n'étaient pas assez strictes ou exhaustives pour représenter fidèlement la gamme complète des sources d'inflammation possibles. Les procédures ne reproduisaient pas non plus le comportement des matériaux installés avec d'autres matériaux, ou à divers endroits et selon diverses orientations, comme c'est couramment le cas dans les avions et dans des environnements opérationnels réalistes. En l'absence de normes adéquates, des matériaux ont été approuvés pour une installation à bord d'aéronefs même s'ils étaient inflammables et qu'ils pouvaient propager la flamme.

Deux facteurs principaux ont modelé les normes sur l'inflammabilité en vigueur au moment de l'accident.

  1. La démarche adoptée par la Federal Aviation Administration (FAA) au milieu des années 1970 visait à concentrer ses efforts de prévention des incendies dans deux domaines particuliers : l'amélioration des matériaux de revêtement d'intérieur de cabine et l'élaboration de normes plus strictes pour les matériaux qui se trouvent dans des zones désignées comme zones de feu.
  2. Les risques d'incendie dans les autres zones ont été jugés moins prioritaires. On a considéré que les zones dissimulées non désignées comme zones de feu présentaient moins de risques d'incendie, puisqu'on a jugé qu'elles étaient exemptes de la combinaison des deux éléments nécessaires à un incendie : une source d'inflammation potentielle et des matières inflammables.

Les incendies au sol qui mettaient en cause le matériau de recouvrement des matelas isolants au (PET) métallisé et non métallisé et qui ont incité McDonnell Douglas à réévaluer ses essais d'inflammabilité sur les matelas isolants n'ont pas amené les organismes de réglementation à élaborer des mesures d'atténuation. Des essais effectués par les fabricants, l'administration de l'aviation civile de Chine (CAAC) et la FAA ont démontré que ces matériaux pouvaient s'enflammer et brûler; cependant, le suivi effectué par la FAA sur cette question ne comprenait pas de mesures obligatoires pour atténuer la menace potentielle d'incendie que représentaient ces matériaux. Bien que McDonnell Douglas ait cessé d'utiliser les matelas isolants recouverts de PET métallisé dans ses avions de série et qu'elle ait publié un bulletin de service dans lequel elle recommandait que les exploitants les remplacent par un matériau différent, ni la FAA ni d'autres autorités de navigabilité aérienne n'ont exigé son retrait des avions en service jusqu'à la divulgation par le Bureau de la sécurité des transports (BST) de recommandations en matière de sécurité à la suite de l'accident de SR 111.

En 1996, dans ses enquêtes sur deux incendies en vol distincts, la CAAC a signalé que l'inflammabilité de ces matériaux constituait un problème de sécurité. Cependant, d'autres enquêtes sur des incendies à bord d'avions mettant en cause les matelas isolants recouverts de PET métallisé portaient davantage sur la source d'inflammation que sur la matière inflammable. Ces enquêtes n'ont pas mis en relief les problèmes de sécurité que posaient les matières inflammables.

Finalement, la tenue au feu en service des matelas isolants recouverts de PET métallisé utilisés dans les avions a poussé la FAA à mettre en place un programme de recherche visant à évaluer le problème et à élaborer un essai spécifique d'inflammabilité pour les matériaux d'isolation thermique et acoustique. Après plus de deux années de recherche, la FAA a proposé d'adopter un essai plus strict intitulé Radiant Panel Test (RPT) (essai au panneau radiant). Dans cet essai, les matériaux sont exposés à un incendie en vol plus réaliste qui exige réellement un degré d'inflammabilité « zéro ». La validation de cet essai a confirmé que les matelas isolants recouverts de PET métallisé sont très susceptibles de propager la flamme lorsqu'ils prennent feu à partir d'une petite source d'inflammation. À la lumière de ces résultats, la FAA a publié des consignes de navigabilité, visant les aéronefs immatriculés aux États-Unis, qui précisaient qu'il fallait déterminer si des matelas isolants recouverts de PET métallisé sont installés et à quels endroits, et remplacer les matelas isolants recouverts de PET métallisé par de nouveaux matelas isolants. Ces consignes précisaient en outre que les mesures qu'elles imposaient visaient à assurer que les matelas isolant recouverts de PET métallisé soient retirés du fuselage. Même si ces consignes visaient seulement les aéronefs immatriculés aux États-Unis, la plupart des autres autorités de réglementation dans le monde emboîtent le pas à la FAA et adoptent ses consignes de navigabilité.

Alors que les matelas isolants recouverts de PET métallisé sont reconnus comme les plus vulnérables, l'étude a également démontré que beaucoup d'autres matériaux d'isolation thermique et acoustique n'avaient pas satisfait aux exigences de l'essai au panneau radiant. De plus, les consignes de navigabilité exigeant le retrait des matelas isolants recouverts de PET métallisé comprennent une mise en garde spécifiant que d'autres matériaux de recouvrement, même s'ils s'enflamment plus difficilement, brûlent de la même manière que les matériaux recouverts de PET métallisé. Le BST a exprimé ses inquiétudes au sujet des caractéristiques d'inflammabilité d'autres matériaux qui ont été approuvés en vertu des mêmes procédures d'essai utilisées pour certifier le PET métallisé. Bon nombre de ces matériaux de recouvrement se sont révélés inflammables au cours d'essais subséquents.

La plupart des équipages d'avion ne sont pas conscients du fait que, dans certaines conditions, un incendie peut se propager beaucoup de matières inflammables situées dans des endroits dissimulés de l'avion et s'étendre rapidement. Si les pilotes avaient su que des matières inflammables étaient présentes dans l'espace inoccupé du MD-11, leur évaluation de la source de l'odeur et de la fumée en aurait peut-être été influencée.

2.3.2 Questions relatives à la contamination

Plusieurs MD-11 de Swissair ont fait l'objet d'inspections visant à découvrir des contaminants potentiellement inflammables à l'endroit où l'on croit que l'incendie s'est déclaré; peu de contamination, voire aucune, n'a été observée à cet endroit. On a déterminé par des essais que les matériaux liés au déclenchement de l'incendie à bord de SR 111 étaient inflammables lorsqu'ils étaient neufs au moment de leur installation; par conséquent, on a écarté la contamination comme facteur dans le déclenchement de l'incendie.

Bien que ce ne soit que par intuition qu'on estime que la présence de contaminants à la surface d'un matériau pourrait avoir un effet néfaste sur ses caractéristiques d'inflammabilité, il convient de mener d'autres essais pour quantifier le risque.

2.3.3 Systèmes de bord non protégés contre les incendies

Avant l'accident de SR 111, les organismes de réglementation et les constructeurs ne percevaient que des risques mineurs d'incendie en vol ailleurs que dans les zones situées à l'intérieur de la cabine et dans les zones désignées comme zones de feu. Par conséquent, les normes de certification ne tenaient pas compte des conséquences éventuelles d'un bris ou d'une défaillance d'un système de bord attribuable à un incendie dans des zones comme les espaces inoccupés. En raison de cette lacune, les systèmes ont été installés de telle manière qu'une défaillance d'un composant à cause d'un incendie pouvait aggraver ce dernier.

En cas d'incendie, le bris d'un système, comme le circuit hydraulique, le circuit d'oxygène ou le système de ventilation, pourrait considérablement aggraver l'incendie en augmentant la quantité de matières combustibles, en alimentant le feu en oxygène, ou encore en modifiant la circulation d'air dans la zone. Pour la certification d'un avion, on installe habituellement des protections contre ce genre de défaillance après avoir effectué une analyse de sécurité des systèmes mettant en évidence les dangers éventuels. L'analyse de sécurité des systèmes par zone qui a été menée sur le MD-11 dans la zone où l'incendie s'est déclaré à bord de SR 111 n'avait pas porté sur les dangers découlant de défaillances de circuits ou de composants attribuables à un incendie en cours. La réglementation n'exigeait pas que ce type de danger soit compris dans l'analyse de sécurité des systèmes. Le bris d'un embout en élastomère d'une gaine de conditionnement d'air et, peut-être, la défaillance d'un capuchon en aluminium du circuit d'alimentation en oxygène de l'équipage de conduite auraient contribué à l'aggravation de l'incendie en vol.

2.4 Détection et extinction d'incendies à bord de l'avion

Les gros avions de transport sont conçus selon des normes qui exigent la présence de systèmes intégrés de détection et d'extinction incendie seulement dans les zones désignées comme zones de feu, soit près des moteurs et des groupes auxiliaires de bord, et dans des zones de feu potentielles comme les toilettes et les soutes. Autrement dit, seules les zones représentant des risques d'incendie reconnus venant de la présence combinée de sources d'inflammation potentielles et de matières combustibles sont visées par la réglementation exigeant l'installation de systèmes de détection et d'extinction incendie. D'autres endroits, comme les zones dissimulées se trouvant au-dessus du plafond du poste de pilotage et les espaces inoccupés de la cabine du MD-11, ont été reconnus comme présentant un risque d'incendie, car ils contiennent aussi des matières combustibles et des sources d'inflammation potentielles. La FAA était consciente de la présence de matières combustibles et de sources d'inflammation potentielles dans ces endroits; cependant, elle a jugé que le risque d'incendie était mineur. Les normes actuelles n'exigent pas que ces endroits soient dotés de systèmes intégrés de détection de la fumée ou du feu ni de systèmes d'extinction. Par conséquent, la détection de la fumée ou du feu, ailleurs que dans les zones désignées comme zones de feu et les zones de feu potentielles, dépend entièrement de la perception sensorielle de l'équipage. Dans des endroits comme les espaces inoccupés, la circulation normale de l'air et des systèmes de filtration de l'air très performants peuvent isoler les odeurs ou la fumée et, par conséquent, en retarder considérablement la détection.

Dans le cas du MD-11, aucune disposition réglementaire n'exigeait l'installation d'équipement d'extinction incendie intégré ailleurs que dans les zones désignées comme zones de feu et les zones de feu potentielles. La présence de panneaux d'accès ou d'autres moyens d'accès permettant de lutter contre les incendies dans les endroits dissimulés n'était pas non plus obligatoire. Sans équipement d'extinction intégré ni accès aux zones habituellement inaccessibles aux membres de l'équipage, il est très difficile d'intervenir efficacement pour lutter contre un incendie qui se serait déclaré à ces endroits. Même si l'équipage de SR 111 avait pu repérer la source de la fumée plus tôt, il lui aurait été très difficile d'accéder aux espaces inoccupés où l'incendie s'était déclaré. Au moment où l'équipage a pu repérer exactement le foyer d'incendie, soit dans les quelques dernières minutes du vol, il est fort peu probable que quelqu'un ait pu accéder à l'espace inoccupé et éteindre l'incendie ou, du moins, en diminuer l'intensité, à l'aide d'extincteurs manuels. On ne sait s'il y a eu une tentative en ce sens.

Au début, l'équipage ne s'est même pas rendu compte qu'il y avait de la fumée dans l'espace situé au-dessus du plafond du poste de pilotage et dans l'espace inoccupé de la cabine. Une fois la fumée décelée dans le poste de pilotage, il y a eu échange de communications entre les pilotes et l'équipage de cabine. Cependant, aucune mention de fumée dans la cabine ne figure sur l'enregistrement précédant le moment où le CVR a cessé de fonctionner. S'il y avait eu de la fumée dans la cabine, on se serait attendu à ce que l'équipage de cabine relaye cette information aux pilotes.

Le recours aux sens pour la détection d'un incendie n'a pas suffi, car l'emplacement et l'étendue de la fumée et de l'incendie n'ont pas été perçus par l'équipage de l'avion jusqu'à ce que l'incendie ait pris des proportions incontrôlables pour les moyens du bord. Les membres d'équipage étaient extrêmement désavantagés dans leur capacité à lutter contre l'incendie en raison de l'absence d'équipement de détection et d'extinction d'incendie dans la zone du feu.

2.5 Mesures de lutte contre les incendies en vol

Au moment de l'accident du vol SR 111, l'industrie de l'aviation (constructeurs, organismes de réglementation, exploitants et associations) ne traitait pas la question de la protection contre les incendies en vol comme un « système » de mesures interreliées; c'est-à-dire qu'il n'y avait aucune exigence concernant l'évaluation globale des différentes mesures de défense contre les incendies. Une telle évaluation examinerait les liens entre l'équipage, les procédures, les matériaux et l'équipement, et tiendrait compte de la façon dont les différents éléments pourraient se conjuguer aux fins de la prévention, de la détection, de la maîtrise et de l'extinction des incendies. Selon une telle approche, des éléments distincts feraient l'objet d'une évaluation conjointe uniforme qui examinerait les normes d'inflammabilité des matériaux, l'accès aux zones dissimulées, l'équipement de détection et de suppression de fumée ou d'incendie, les procédures d'urgence concernant l'équipage et la formation.

Aucune initiative d'envergure n'a été établie pour évaluer toutes ces composantes conjointement ni pour évaluer les liens existant entre elles en vue de l'élaboration de mesures de lutte contre les incendies améliorées, coordonnées et exhaustives. Il y avait un manque d'intégration des diverses mesures potentielles de lutte contre les incendies en vol.

Les leçons tirées des accidents liés à des incendies en vol ont entraîné divers changements aux procédures de vol et à la conception de l'équipement des avionsNote de bas de page 113. Toutefois, les changements visant à fournir des mesures plus efficaces de lutte contre les incendies ont généralement constitué des initiatives isolées plutôt que des initiatives pleinement intégrées et exhaustives. L'industrie a déployé des efforts considérables pour former les équipages des avions et pour leur donner les moyens de réagir à certains types d'incendie en vol (p. ex. incendies facilement accessibles dans la cabine). Ces efforts n'ont pas permis de préparer adéquatement les équipages à déceler et à localiser des incendies en vol dans des endroits dissimulés et à y accéder pour les supprimer d'une façon rapide, coordonnée et efficace.

2.6 Préparation et formation de l'équipage

2.6.1 Lutte contre les incendies en vol

La formation reçue par l'équipage de SR 111 était conforme aux normes de l'industrie; cependant, elle ne l'a pas préparé à reconnaître ni à combattre l'incendie en vol. La formation reçue par le pilote mettait l'accent sur la suppression de la menace posée par la fumée dans l'avion, qu'elle provienne du système de conditionnement d'air ou du système électrique, au moyen des listes de vérifications fournies. Aucun intervenant de l'industrie de l'aviation n'avait prévu que l'équipage d'un avion pourrait un jour être confronté à un incendie dans l'espace inoccupé d'un avion. Les membres de l'équipage n'ont en outre pas reçu de formation leur permettant de se rendre compte de la vitesse à laquelle un incendie en vol peut se transformer en une situation incontrôlable. Les formations à l'aide d'un simulateur tendaient plutôt à privilégier un résultat positif à des événements liés à la fumée; de façon générale, les décisions prises par les pilotes pendant l'exercice de simulation entraînent une disparition rapide de la fumée. Les procédures enseignées et la formation du pilote étaient généralement fondées sur la prémisse que la source d'inflammation potentielle peut être neutralisée avec succès au moyen des procédures qui permettent de l'isoler. Peu d'éléments exploraient la possibilité qu'un incendie puisse avoir déjà commencé à faire des ravages avant que la fumée soit détectée, ou qu'une fois qu'un incendie avait commencé à faire des ravages, il ne soit pas isolé ou éliminé au moyen des procédures de la liste de vérifications existante.

Au moment de l'accident de SR 111, on s'attendait au sein de l'industrie à ce que les membres d'un équipage soient en mesure de faire la distinction, selon un niveau de certitude élevé, entre de la fumée provenant d'une défaillance du système de conditionnement d'air et de la fumée provenant d'une défaillance du système électrique. Chez Swissair, on croyait qu'une fois que les pilotes auraient fait cette distinction, et qu'ils seraient certains que la fumée provenait du système de conditionnement d'air, il conviendrait qu'ils choisissent la liste de vérifications en cas de fumée dans le système de conditionnement d'air. Cependant, il est faux de supposer que les organes sensoriels d'une personne lui permettent de faire clairement la distinction entre la fumée liée à une défaillance électrique, à une défaillance du système de conditionnement d'air ou à des sous-produits de la combustion d'autres matériaux.

Les membres des équipages de conduite de Swissair s'entraînaient en même temps que les membres des équipages de cabine, et la formation suivie était conforme aux normes de l'industrie en ce qui concerne l'extinction d'incendies faciles d'accès dans la cabine, comme des incendies dans les offices ou les toilettes. La formation sur la lutte contre les incendies ne comportait aucune partie traitant de la lutte contre les incendies dans le poste de pilotage, le compartiment avionique ou les endroits dissimulés derrière les panneaux ou au-dessus du plafond du poste de pilotage ou de la cabine. En général, on s'attend à ce que les pilotes ne quittent pas leur poste pour combattre un incendie à l'extérieur du poste de pilotage. Cette attente est conforme aux normes de l'industrie, qui stipulent que l'équipage de cabine doit combattre l'incendie de façon à permettre aux pilotes de continuer à piloter l'avion.

Les membres de l'équipage de conduite avaient été formés à réagir aux urgences d'une façon mesurée, proportionnelle à la menace perçue. On s'attendait à ce que les pilotes de SR 111 réagissent à l'apparition de fumée en vérifiant l'alimentation, en vérifiant les performances de l'avion, en analysant la situation et en prenant les mesures appropriées, et en élaborant et en exécutant un plan d'action fondé sur leur évaluation de la situation. Bien que cet élément ait été abordé et mis en relief lors des séances d'entraînement en simulateur respectives, aucune formation ni instruction particulière n'avait été fournie au sujet de la nécessité d'exécuter de toute urgence une liste de vérifications et de confirmer, par tous les moyens possibles, le type et la gravité d'une situation où de la fumée ou des émanations étaient présentes.

Les membres de l'équipage de cabine avaient été entraînés à localiser et à éteindre des incendies en vol, mais leur formation se limitait aux endroits de l'avion faciles d'accès. Cette formation ne préparait pas les membres de l'équipage de cabine à combattre un incendie faisant rage dans l'espace inoccupé ou dans d'autres endroits dissimulés de l'avion. De plus, les membres de l'équipage de cabine n'avaient reçu aucune formation portant spécialement sur la lutte contre les incendies dans le poste de pilotage ou dans le compartiment avionique.

2.6.2 Déroutements d'urgence en vol

Les pilotes de Swissair avaient ordre, par l'entremise de l'information fournie dans le Swissair General/Basics: Flight Crew Manual, d'atterrir à l'aéroport d'urgence le plus proche en cas de fumée persistante de source inconnue. Cette instruction n'indiquait pas qu'un déroutement d'urgence devait être commencé immédiatement, ni que toute fumée devait être traitée comme une situation d'incendie en vol en l'absence de preuve du contraire. Par conséquent, en présence de fumée, on s'attendait à ce que l'équipage catégorise la fumée, choisisse la liste de vérifications appropriée et déroute l'avion si la situation le justifiait.

Les pilotes de SR 111 ont rapidement procédé à l'évaluation de la situation et ont décidé de se dérouter, même si, d'après les indices perçus, la situation ne pouvait pas être catégorisée comme une situation d'urgence.

2.7 Questions relatives aux listes de vérifications

2.7.1 Choix de listes de vérifications de Swissair pour isoler la fumée

Le fait qu'il y avait deux listes de vérifications d'urgence plutôt qu'une pour isoler la fumée a fait l'objet d'un examen visant à évaluer si le fait de choisir entre deux listes de vérifications avait pu avoir une incidence sur l'issue du vol. Pour que cette situation ait pu avoir une incidence, il faut supposer que les pilotes auraient réagi différemment si les procédures de Swissair n'avaient tenu que sur une seule liste de vérifications en cas de fumée ou d'émanations d'origine électrique, du système de conditionnement d'air ou d'origine inconnue. Les pilotes avaient déterminé que la fumée provenait du système de conditionnement d'air et ils n'avaient pas jugé qu'elle posait une menace suffisante pour justifier l'utilisation de la liste de vérifications correspondante. Il semble donc peu probable que les pilotes aient utilisé une liste de vérifications unique plus tôt.

Le fait d'offrir un choix entre deux listes de vérifications d'urgence en cas de fumée pour isoler la source de la fumée présuppose qu'il est possible de déterminer avec certitude le type de fumée dont il est question. L'accident de SR 111 démontre que les organes de perception sensorielle des personnes ne permettent pas toujours d'évaluer avec certitude le type de fumée.

2.7.2 Délestage électrique en cas d'urgence

Les pilotes ont d'abord déterminé que la fumée provenait du système de conditionnement d'air. Après quoi, rien n'indique qu'ils aient immédiatement commencé à exécuter quelque liste de vérifications que ce soit. Même s'ils avaient commencé immédiatement avec la liste de vérifications en cas de fumée ou d'émanations d'origine inconnue, cela n'aurait probablement pas eu d'influence sur l'incendie, étant donné qu'on croit que ce dernier s'était déjà propagé avant que la fumée apparaisse dans le poste de pilotage. Cependant, dans certaines circonstances, la mise hors tension rapide des systèmes électriques pourrait prévenir un incendie par le retrait de la source d'inflammation avant que toute matière combustible puisse prendre feu.

Il n'existe aucune exigence réglementaire concernant les avions de la catégorie transport obligeant qu'ils soient conçus de façon à permettre l'utilisation d'une procédure fondée sur une liste de vérifications pour mettre hors tension tous les systèmes électriques, sauf les systèmes électriques essentiels, afin d'éliminer une source d'inflammation potentielle. Les listes de vérifications qui sont utilisées pour le délestage électrique, comme la liste en cas de fumée ou d'émanations d'origine inconnue du MD-11, sont conçues pour isoler un composant défectueux générant de la fumée ou des émanations. Les mesures associées aux listes de vérifications pouvaient prendre jusqu'à 30 minutes ou plus, selon que le composant défectueux était désactivé plus tôt ou plus tard dans la procédure de la liste de vérifications.

Il n'existe aucune exigence réglementaire sur la durée d'exécution des listes de vérifications conçues pour les situations relatives à des odeurs ou à de la fumée. Les 20 à 30 minutes qui sont généralement requises pour exécuter la liste de vérifications en cas de fumée ou d'émanations d'origine inconnue du MD-11 pourraient permettre à une défaillance électrique qui génère de la fumée et une énergie thermique grandissante de se transformer en source d'inflammation. Pour contribuer efficacement à prévenir le début d'un incendie, une procédure fondée sur une liste de vérifications doit supprimer rapidement la source d'inflammation avant que l'incendie devienne auto-entretenu.

2.7.3 Autres questions relatives aux listes de vérifications

Les écarts relevé en ce qui concerne la liste de vérifications de Swissair en cas de fumée ou d’émanations d’origine inconnue étaient susceptibles de poser des problèmes. Cependant, le seul lien direct qui pourrait être établi avec le scénario de SR 111 était l’absence d’éclairage dans la cabine, du fait que l’éclairage d’urgence de cette dernière s’est éteint lorsque les pilotes ont actionné le commutateur CABIN BUS. Le fait de devoir travailler dans une cabine non éclairée peut avoir ralenti l’équipage de cabine qui s’affairait à préparer l’avion en vue d’un atterrissage d’urgence, et ce en l’obligeant à utiliser des lampes de poche. Toutefois, un interrupteur d’éclairage d’urgence de la cabine était installé au poste d’agent de bord normalement occupé par le maître de cabine. L’utilisation de cet interrupteur aurait rétabli l’éclairage d’urgence et éliminé la nécessité d’utiliser temporairement des lampes de poche. On ne sait pas si cet interrupteur d’éclairage d’urgence de la cabine a été utilisé.

Rien n’indique que les décisions prises par les pilotes aient été influencées par l’absence d’instructions dans la liste de vérifications sur le port du masque à oxygène. On ne sait pas si les pilotes auraient entamé un déroutement d’urgence plus tôt s’ils avaient eu à leur disposition une seule liste de vérifications combinée dont l’un des premiers éléments aurait porté sur les préparatifs en vue d’un atterrissage dans les plus brefs délais. On n’a pas pu déterminer si la taille de la police de caractères utilisée pour la liste de vérifications ou si des reflets provenant de la liste de vérifications ont nui à sa lecture par les pilotes, bien que l’une ou l’autre de ces conditions pourrait nuire à la capacité de l’équipage de conduite de bien lire la liste de vérifications, surtout dans un environnement enfumé ou mal éclairé.

Un examen de plusieurs listes de vérifications a démontré que les listes n’insistaient pas assez pour que toute quantité de fumée dans un avion soit traitée comme une menace d’incendie grave. Par exemple, ni la liste de vérifications de Swissair ni la liste de vérifications en cas de fumée d’origine inconnue de McDonnell Douglas n’indiquaient que les préparatifs en vue d’un atterrissage d’urgence éventuel devraient être envisagés immédiatement au moment de l’apparition de fumée d’origine inconnue. Plutôt, dans les deux listes de vérifications, l’atterrissage d’urgence constitue le dernier élément de la liste. De même, les instructions de Swissair fournies aux équipages de conduite à ce sujet prévoyaient l’atterrissage de l’avion à l’aéroport d’urgence le plus proche en cas de fumée d’origine inconnue « persistante ».

2.7.4 Révisions et approbations des listes de vérifications

Les représentants de Swissair ont consulté McDonnell Douglas lorsqu'ils ont décidé de conserver deux listes de vérifications en cas de fumée pour le MD-11 et de réviser les listes de vérifications en cas de fumée ou d'émanations d'origine inconnue; toutefois, aucune approbation formelle des modifications n'avait été exigée par l'Office fédéral de l'aviation civile (OFAC) suisse.

2.8 Aspects relatifs à la maintenance et à l'assurance qualité

Au cours de l'enquête, l'état de la maintenance de l'avion a été évalué au moyen de l'examen des dossiers de maintenance de ce dernier et des politiques, des procédures et des pratiques de SR Technics.

Les dossiers de l'avion en question indiquent que les travaux de maintenance requis avaient été effectués et que la maintenance de l'avion avait été faite conformément aux procédures de maintenance approuvées et aux normes de l'industrie. Bien que plusieurs anomalies liées à la « tenue des livres » aient été trouvées, la méthode globale de tenue des dossiers était appropriée.

L'état de l'épave de SR 111 n'a pas permis de déterminer entièrement l'état de l'avion avant l'accident. Par conséquent, les enquêteurs ont inspecté plusieurs avions MD-11, dont ceux de la flotte de Swissair, et ils ont utilisé l'information obtenue au cours de ces inspections pour faciliter l'évaluation des sources d'inflammation possibles. Pendant ces inspections des MD-11, un certain nombre d'anomalies ont été consignées relativement à l'installation et à la maintenance du système électrique, dont l'usure par frottement des fils, un serrage incorrect des connexions de borne, et un manque d'uniformité dans l'acheminement des fils. On a jugé qu'aucune de ces anomalies n'avait eu d'incidence sur la sécurité immédiate du vol. Certaines anomalies étaient attribuables au constructeur de l'avion, et d'autres, aux installations subséquentes et à la maintenance permanente.

Le programme d'assurance qualité de SR Technics satisfaisait aux exigences réglementaires. Il comprenait une approche polyvalente fondée sur la formation, l'analyse des tendances, la fiabilité et des audits structurés. Le nombre et les types d'anomalie découverts pendant l'enquête, qui comprenait un examen des conclusions des divers audits internes et externes, laissent croire que si la conception du programme d'assurance qualité était appropriée, son application ne garantissait pas suffisamment la détermination et la réduction systématiques des problèmes de sécurité éventuels (DIT2-1).

La présentation de l'organisme de maintenance de SR Technics exigeait que tous les employés reçoivent une formation leur permettant d'assumer personnellement la responsabilité de la qualité de leur travail; c'est-à-dire qu'on s'attendait à ce que les employés accomplissent correctement leur travail et réalisent une auto-inspection après chaque « étape du travail ». Lorsqu'une tâche était effectuée pour laquelle les conséquences d'une erreur présentaient un risque pour les personnes ou le matériel (déterminé par une équipe d'évaluation des risques), une deuxième inspection devait être réalisée. Les superviseurs devaient veiller à ce que le programme d'assurance qualité soit suivi, et inspecter le travail accompli dans leur sphère de compétence à des fins de contrôle de la qualité. Les employés avaient reçu des instructions générales en matière d'assurance qualité ainsi qu'une formation de familiarisation sur la documentation, les politiques et les procédures, mais ils n'avaient pas reçu (la présentation de l'organisme de maintenance n'en parlait pas non plus) de formation précise sur l'application uniforme du programme d'assurance qualité. La principale tâche des personnes qui participaient aux activités d'assurance qualité quotidiennes était la maintenance de l'avion. Des éléments indiquent que ces personnes avaient traité certaines des diverses irrégularités et anomalies techniques comme des problèmes de fiabilité plutôt que comme des manquements à la sécurité potentiels. Même si les exigences réglementaires étaient respectées, certains aspects du programme d'assurance qualité n'étaient pas appliqués de façon uniforme.

Un examen après l'-accident par SR Technics de son propre programme d'assurance qualité a permis de déterminer qu'un point faible du programme était le fait qu'il dépendait du discernement des employés. Cette observation ne figurait dans aucune des conclusions des audits internes précédents. Bien que le discernement joue un rôle dans n'importe quel programme d'assurance qualité, il semble que le programme de SR Technics dépendait trop de la capacité des employés de cerner les manquements à la sécurité potentiels tout en continuant d'essayer de satisfaire à des objectifs de rendement.

Bien que le programme d'assurance qualité de SR Technics ait prévu un processus de suivi pour les questions relatives à la sécurité, l'application du programme était telle qu'on manquait parfois des occasions de cerner des questions potentielles liées à la sécurité; par conséquent, aucun suivi axé sur la sécurité n'était effectué dans ces cas. Par exemple, les anomalies relatives aux liseuses de carte avaient été traitées comme un problème de fiabilité; elles n'avaient pas été considérées comme un risque pour la sécurité aérienne.

L'enquête n'a pas tenté d'établir une comparaison directe entre le programme d'assurance qualité de SR Technics et les programmes d'assurance qualité mis en œuvre par d'autres exploitants. Cependant, de l'information a été obtenue d'un rapport d'examen de programme national de la FAA dans lequel on examinait les organismes de maintenance de neuf des plus grandes lignes aériennes des États-UnisNote de bas de page 114. Les observations de ce rapport portent à croire que les insuffisances cernées dans le programme d'assurance qualité de SR Technics ne sont pas un cas isolé. La FAA a conclu que, bien que l'état actuel des programmes d'assurance qualité obligatoires de ces neuf lignes aériennes ne présentait pas de conditions dangereuses, chacune d'entre elles pourrait tirer avantage de l'examen de son programme d'assurance qualité et de l'adaptation de celui-ci en fonction du modèle optimisé de la FAA pour le programme de système de surveillance et d'analyse continues (CASS). De même, l'analyse du programme d'assurance qualité de SR Technics n'a pas permis de cerner des préoccupations immédiates en matière de sécurité aérienne ni des conditions dangereuses, même si le programme n'avait pas toujours été efficace en ce qui concerne la mise en évidence et la résolution des facteurs de risque.

Les observations relatives aux résultats de l'examen de programme national, réalisé par le bureau de l'inspecteur général du département des transports des États-Unis, ont fourni des données intéressantes pour la présente enquête. Le bureau de l'inspecteur général a conclu que, dans son survol des divers programmes CASS, la FAA avait surtout essayé de déterminer si le programme comportait tous les éléments requis, au lieu de chercher à savoir si le programme était efficace pour la détection des problèmes. Le bureau de l'inspecteur général a formulé diverses recommandations qui exigeraient la mise en œuvre d'une formation, d'une surveillance et d'une analyse améliorées du programme CASS. L'analyse des résultats des audits de SR Technics menés par l'OFAC a montré une tendance semblable.

La nature similaire des diverses conclusions des audits de l'OFAC indique que ce dernier avait concentré ses efforts sur le fait de s'assurer que le programme d'assurance qualité comprenne tous les éléments requis. Les conclusions tendaient à cerner des symptômes, plutôt que les facteurs sous-jacents apparaissant dans les conclusions récurrentes. De façon générale, chacun des audits contenait plusieurs conclusions qui remettaient en question la pertinence et la qualité de la formation offerte aux employés, ou la mise en oeuvre des pratiques et des procédures établies ainsi que la conformité à ces pratiques et procédures. L'OFAC a accepté les mesures correctives mises en oeuvre par SR Technics, mais il a formulé les mêmes conclusions lors des audits subséquents. On a aussi remarqué que, de façon générale, les conclusions de l'OFAC étaient comparables à celles des audits internes effectués par SR Technics.

2.9 Effet potentiel des champs rayonnés à haute intensité

La certification du MD-11 comprenait la tenue d'essais menés dans le but de démontrer que les systèmes de bord étaient protégés de façon acceptable contre les effets des champs rayonnés à haute intensité (CRHI). Les conditions dans lesquelles les essais ont été menés représentaient des intensités de champ rayonné qui excédaient largement les intensités de champ maximales produites par les radars commerciaux et militaires qui, selon les renseignements disponibles, fonctionnaient à proximité de l'avion en question. De la même façon, on ne peut démontrer aucune combinaison hypothétique d'émetteurs connus et de géométrie réaliste d'espacement en fonction de la distance dépassant les critères d'intensité de champ utilisés durant les essais relatifs aux CRHI en vue de la certification du MD-11.

Une fois que l'avion eut quitté l'espace aérien de l'aéroport JFK, les CRHI les plus importants dans lesquels SR 111 s'était retrouvé étaient situés aux environs de Barrington (Nouvelle-Écosse). L'intensité des CRHI près de Barrington, dans le voisinage de l'avion, était environ 100 fois plus faible que la valeur de pointe estimée de l'intensité de champ dans laquelle les avions se retrouvent en conditions normales d'approche et d'atterrissage à de grands aéroports bien équipés. Par conséquent, il est probable que l'environnement normal d'exploitation autour de l'aéroport JFK présentait les CRHI les plus intenses dans lesquels l'avion s'était retrouvé durant n'importe quelle partie du vol ayant mené à l'accident.

L'environnement normal des CRHI à l'aéroport JFK ne pose pas de risque pour l'aviation, comme en font foi l'arrivée et le départ sans incident de nombreux avions tous les jours, y compris les vols antérieurs effectués par l'avion en question. En outre, l'intensité de champ minimale requise pour l'induction d'une décharge électrique entre des conducteurs à nu (31 kilovolts par centimètre au niveau de la mer) est plus de 1 000 fois supérieure à l'intensité de champ maximale associée aux environnements normaux des CRHI aux aéroports, et environ 430 fois supérieure au pire environnement théorique des CRHI pour un avion commercial.

Des effets de résonance n'auraient pas pu produire des gradients de champ localisés d'une intensité suffisante pour provoquer l'induction d'une décharge électrique entre des conducteurs à nu. Le gain requis pour l'intensité de champ ambiante est d'environ trois ordres de grandeur (environ 1 000 fois plus élevé), tandis que le gain en résonance excède rarement un ordre de grandeur.

Les attributions des radiofréquences (RF) sont établies de telle sorte que les sources RF haute puissance autorisées ne causent pas de brouillage aux appareils radio ni aux radars des avions; par conséquent, il est peu probable que l'interruption des communications qui a duré 13 minutes ait été causée par du brouillage en provenance d'un émetteur CRHI. De toute façon, il n'existe pas, sur le plan technique, de lien possible entre le brouillage radio VHF induit par des CRHI et une décharge électrique pouvant causer l'inflammation de matières inflammables. Par conséquent, on a considéré que les CRHI n'avaient pas été un facteur dans cet accident.

2.10 Questions relatives aux Services de la circulation aérienne

Environ 15 minutes aprè;s le décollage, les communications radio avec l'avion ont été interrompues. Cette interruption des communications s'est poursuivie pendant environ 13 minutes, période pendant laquelle les contrôleurs de la circulation aérienne ont tenté à plusieurs reprises de communiquer avec l'avion sur la fréquence radio VHF attribuée. Aucune anomalie n'a été enregistrée sur le FDR, et aucune anomalie n'a été signalée par les pilotes. Aucune anomalie relative aux communications n'a été signalée par les autres avions ou organismes utilisant la même fréquence radio VHF. Aucune explication n'a été donnée par les pilotes et aucune question de suivi n'a été posée par les Services de la circulation aérienne (ATS) quant aux raisons de cette interruption de 13 minutes dans les communications.

Durant le vol, les pilotes de SR 111 et les différents contrôleurs se sont écartés à quelques reprises de la phraséologie radio standard; ces écarts n'ont joué aucun rôle dans l'accident.

La réaction du contrôleur face à la déclaration d'une situation d'urgence par les pilotes était conforme au fait qu'il avait traité dè;s le départ la situation comme une urgence. Tous les contrôleurs qui sont intervenus ont traité la situation comme une urgence même si le pilote, par le message Pan Pan, avait seulement signalé une situation nécessitant une priorité de communication.

Lorsque les pilotes ont déclaré une situation d'urgence, à part d'indiquer qu'ils devaient se poser immédiatement, ils n'ont pas demandé qu'on leur fournisse d'autres renseignements ni que le contrôleur prenne d'autres mesures. Pendant les 20 secondes qui se sont écoulées entre le moment où les pilotes ont pour la premiè;re fois déclaré une situation d'urgence et la derniè;re communication intelligible reçue de SR 111, les pilotes n'ont exprimé aucune demande concernant des mesures ou des services additionnels de la part des ATS.

Pendant le déroutement vers l'aéroport de Halifax, le contrôleur s'occupait exclusivement de SR 111 et il n'avait aucun autre avion sous son contrôle. Une partie de ses fonctions, comme le stipulent les procédures d'exploitation normalisées, consistait à assurer la coordination avec d'autres contrôleurs du centre de contrôle régional en vue de faciliter l'arrivée de SR 111. À 1 h 24 min 53 s, lorsque les pilotes ont indiqué qu'ils commençaient à larguer du carburant et qu'ils devaient atterrir immédiatement, le contrôleur était partiellement occupé à des activités de coordination et il n'a pas été en mesure de comprendre entiè;rement le contenu de la communication radio. Par conséquent, il n'a pas fourni aux pilotes d'autres renseignements, comme un cap radar vers l'aéroport international de Halifax. Le systè;me de communication radio de l'avion a cessé de fonctionner quelques secondes aprè;s cette communication, empêchant toute autre demande de la part des pilotes, ou toute communication de renseignements de la part du contrôleur au sujet des caps radar vers l'aéroport.

L'équipement de communication joue un rôle trè;s important pendant les situations d'urgence et ni le contrôleur ni les pilotes n'auraient pu savoir à l'avance que l'équipement de communication de SR 111 cesserait de fonctionner. Quoi qu'il en soit, les calculs des performances de l'avion montrent qu'en raison de la détérioration rapide des systè;mes de bord qui s'en est suivie et de la propagation de l'incendie, l'avion n'était pas en état de réussir son atterrissage à l'aéroport.

Au moment de l'accident, les contrôleurs de la circulation aérienne canadiens n'avaient pas reçu de formation spéciale sur les exigences générales d'exploitation d'un avion pendant des procédures anormales ou d'urgence, ni sur les procédures spéciales, comme le largage de carburant. Le contrôleur possédait de l'expérience dans les exercices de ravitaillement d'avions militaires, opérations pendant lesquelles certains systè;mes électriques de l'avion ravitaillé étaient coupés. Compte tenu de cette expérience, le contrôleur a supposé que l'absence de réponse radio à son autorisation de procéder au largage de carburant, et la perte subséquente de l'information concernant le transpondeur et l'altitude en mode C, étaient le résultat de procédures intentionnelles de délestage électrique exécutées par les pilotes.

Les mesures prises par le contrôleur n'ont joué aucun rôle dans l'accident.

2.11 Anomalies relatives au système ACARS et à l'interruption des communications VHF

On a évalué les anomalies du système d'échange de données techniques avion-sol en temps réel (ACARS) pour déterminer s'il y avait un lien avec la défaillance technique qui avait précédé l'incendie en vol. Le premier indice d'une anomalie dans le système ACARS avait été l'absence d'enregistrement du message de poursuite à environ 0 h 31 min 18 s, plus de 39 minutes avant la détection d'une odeur inhabituelle dans le poste de pilotage (voir la rubrique 1.18.8.2).

Les deux messages de poursuite du système ACARS qui étaient attendus à environ 0 h 31 min 18 s et 0 h 41 min 18 s n'ont pas été enregistrés par les fournisseurs du système ACARS, mais l'information de mise à jour des comptes obtenue des messages subséquents du système ACARS montre que ces deux messages avaient été envoyés par l'avion. L'explication la plus plausible est que le système ACARS s'était raccordé à un autre réseau, comme ce serait le cas si le système initialement utilisé devenait saturé. Il n'y avait pas de données disponibles pour confirmer cette hypothèse.

Le système de communication du MD-11 est redondant, car il y a trois trajets de communications VHF. Il faudrait une panne complète de tout le système pour que la capacité de communication soit perdue. Ce pourrait être le cas s'il y avait défaillance du système audio à commande numérique, mais cette éventualité est peu probable, du fait que le système audio à commande numérique fonctionnait normalement une fois les communications rétablies. Le seul autre cas où il y aurait interruption complète du système de communication serait en cas de défaillance simultanée des neuf poussoirs d'émission, ce qui est considéré comme impossible. Par conséquent, il est très peu probable que l'interruption des communications ait eu lieu à cause d'une défaillance technique.

L'explication la plus plausible de l'interruption de 13 minutes des communications est que les pilotes auraient sélectionné une fréquence incorrecte durant la tentative de changement de fréquence entre 0 h 33 min 12 s et 0 h 33 min 21 s. La séquence de communication jusqu'à ce changement de fréquence a différé des changements de fréquence antérieurs et subséquents car, après la première instruction donnée par les ATS de passer à une fréquence différente en route, seule une communication tronquée inintelligible de courte durée a été entendue de SR 111. Toutefois, lorsque la nouvelle fréquence a été répétée par le contrôleur, SR 111 a immédiatement accusé réception de la façon normale en répétant la fréquence attribuée. Les opérations subséquentes de manipulation sur les radios VHF 1 et VHF 2 qui ont été enregistrées par le FDR durant l'interruption des communications sont conformes aux tentatives faites par les pilotes pour rétablir le contact radio. Comme les calages de fréquence ne sont pas enregistrés par le FDR, on ne sait pas quelle fréquence les pilotes tentaient d'utiliser.

Lorsque les pilotes ont fini par rétablir le contact, c'était sur une fréquence non attribuée, et les pilotes n'ont fait aucune mention d'un problème technique. Il n'y a rien qui fasse état de difficultés subséquentes de communications radio jusqu'à ce que les effets de l'incendie aient commencé à toucher d'autres systèmes de bord, environ 40 minutes plus tard.

La perte du système ACARS sur la radio VHF 3 à 0 h 47 min 6 s peut s'expliquer par le fait que les pilotes avaient fait passer le trajet VHF 3 du mode de communication des données au mode phonique afin d'utiliser cette radio pour les communications. Les données du protocole de transmission des messages du fournisseur du système ACARS indiquent que les pilotes avaient dû régler la radio VHF 3 au mode phonique à 0 h 47 min 6 s, lorsque le système ACARS est passé au mode de transmission par satellite; les pilotes ont alors remis la radio VHF 3 en mode de communication des données à 1 h 4vmin 14 s.

L'odeur dans le poste de pilotage de SR 111 a été décelée pour la première fois environ 37 minutes après le début de l'interruption des communications VHF et environ 24 minutes après le rétablissement des communications. Aucun lien n'a pu être établi entre les anomalies du système ACARS, l'interruption de 13 minutes des communications VHF et le déclenchement de l'incendie à bord de l'avion.

2.12 Montage des lampes de lecture (liseuses de carte) de l'équipage de conduite

Les défauts de conception de la liseuse de carte Hella présentaient des risques d'amorçage d'arc électrique en conditions de service normales. La rotation normale du boîtier de la lentille permettait un contact entre le capuchon protecteur isolant et le support; avec le temps, l'usage finirait par endommager le capuchon protecteur et ainsi exposer le contact ressort métallique servant de borne positive. Cette situation risquait de causer un amorçage d'arc électrique entre le contact ressort métallique exposé et le support. La conception de la liseuse créait aussi au moins trois autres occasions d'amorçage d'arc électrique, notamment pendant le remplacement de l'ampoule lors de l'entretien.

Aussi, les liseuses de carte du pilote et du copilote dans le MD-11 étaient situées dans des endroits exigus, près de matières combustibles ou en contact direct avec celles-ci, ce qui risquait d'aggraver les conséquences de tout amorçage d'arc éventuel. Les dommages causés par une surchauffe qui ont été relevés sur plusieurs matelas isolants recouverts de PET métallisé dans d'autres avions MD-11 donnaient une idée de l'accumulation de chaleur qui existait derrière les liseuses de carte. Une chaleur rayonnante combinée à une proximité immédiate augmenterait la probabilité que les matelas isolants recouverts de PET métallisé s'enflamment au cours d'un amorçage d'arc.

Les liseuses de carte n'ont rien à voir avec l'origine de l'incendie à bord de SR  toutefois, les lacunes relevées dans la conception des liseuses de carte et leur montage à bord du MD-11 présentaient un risque inacceptable. Ces manquements à la sécurité sont en train d'être réglés par les mesures de suivi qui sont en cours (voir la rubrique 4.1.4).

2.13 Questions relatives aux disjoncteurs et aux fils électriques

2.13.1 Technologie en matière de disjoncteurs

Les câbles des blocs d'alimentation du réseau de divertissement de bord (RDB) endommagés par des arcs électriques étaient protégés par des disjoncteurs classiques du type utilisé dans le reste de l'avion et dans l'industrie de l'aviation. Deux des câbles des blocs d'alimentation (pièces produites 1-3790 et 1-3791) avaient subi des arcs électriques qui n'avaient pas déclenché leur disjoncteur correspondant. Il est fort probable que les disjoncteurs ne se sont pas déclenchés parce que les caractéristiques électriques des arcs se situaient à l'extérieur de la courbe de variation du courant en fonction du temps.

Les disjoncteurs classiques d'aéronef peuvent offrir une protection suffisante contre les courts-circuits francs, mais une protection limitée contre la gamme complète des amorçages d'arc.

L'industrie et le gouvernement sont engagés dans divers efforts de recherche et développement pour mettre au point un disjoncteur capable de détecter la gamme complète des amorçages d'arc connus, y compris les amorçages d'arc de courte durée qui se produisent souvent à l'extérieur de la courbe définie de variation du courant en fonction du temps des disjoncteurs classiques, et de réagir en conséquence. Le disjoncteur d'amorçage d'arc est conçu pour offrir une protection supérieure à celle qu'offre le disjoncteur thermique classique. Même si les nouveaux dispositifs de protection de circuit permettent de réduire les dommages dus à des arcs successifs le long des mêmes fils, l'arc électrique initial risque quand même d'occasionner l'inflammation de matières inflammables avoisinantes.

En théorie, s'il y avait eu à bord un disjoncteur d'arc électrique pour protéger les câbles des blocs d'alimentation du RDB, il aurait détecté les arcs initiaux qui ont touché les pièces produites 1-3790 et 1-3791, puis il se serait déclenché pour mettre le câble hors tension.

Même si les essais de certification relatifs aux disjoncteurs d'arc électrique se traduiront par de meilleures capacités de détection des amorçages d'arc et de meilleurs temps de réponse, dans leur version actuelle ils ne permettent pas de certifier que ces disjoncteurs pourront empêcher l'inflammation de matières inflammables par des amorçages d'arc. Compte tenu de la présence de matières inflammables dans la construction des avions, il serait prudent d'établir des critères de certification pour ces disjoncteurs en fonction d'une limite de l'énergie des arcs à un niveau inférieur à l'énergie requise pour l'inflammation de tout matériau susceptible d'être utilisé à bord d'un avion. Même si de telles normes d'essai ont déjà été intégrées à la certification des disjoncteurs d'arc électrique d'usage domestique, les exigences provisoires d'essai de certification relatives aux disjoncteurs d'arc électrique destinés aux aéronefs ne comprennent pas de tels critèresNote de bas de page 115.

2.13.2 Principes de réenclenchement des disjoncteurs

L'industrie de l'aviation et les organismes de réglementation ont pris des mesures pour passer en revue et uniformiser leur façon d'aborder le réenclenchement des disjoncteurs déclenchés. Les avionneurs ont publié des énoncés de principe, et la FAA a tenté d'uniformiser l'approche de l'industrie. Bien que ces initiatives aient fourni de l'information et suscité une prise de conscience dans certains secteurs de la communauté aéronautique relativement aux conséquences de réenclenchements inappropriés, elles sont d'une portée limitée et de nature transitoire. Le contexte réglementaire (réglementation proprement dite, avis, etc.) ne reflète pas les principes de réenclenchement acceptés à l'heure actuelle par l'industrie de l'aviation et ne met pas l'accent sur les conséquences découlant de réenclenchements inappropriés. La diffusion de tels renseignements dans des documents comme la circulaire consultative (AC) 43.13-1B ferait ressortir le caractère universel de la question et augmenterait les chances que l'approche convenant le mieux au réenclenchement des disjoncteurs déclenchés soit adoptée dans tous les secteurs de l'industrie de l'aviation.

2.13.3 Entretien des disjoncteurs

En raison, en partie, de la fiabilité inhérente des disjoncteurs, l’entretien préventif est rare et limité surtout à une inspection générale visuelle et à un nettoyage, le cas échéant. Lorsqu’un disjoncteur est défectueux, la défectuosité se limite généralement à l’une des deux causes suivantes : le disjoncteur se déclenche de façon intempestive, ou il ne se déclenche pas en cas de surintensité. Dans les deux cas, l’entretien se limite habituellement au remplacement du disjoncteur défectueux. Même si ces deux causes ne sont pas souhaitables, le non-déclenchement d’un disjoncteur signifie que le fil ou le câble auquel il est associé n’est pas protégé. L’analyse des disjoncteurs déclenchés montre que, dans certains cas, de longues périodes d’inactivité peuvent entraîner une modification des caractéristiques des disjoncteurs avec le tempsNote de bas de page 116.

D’après la FAA et la Society of Automotive Engineers, ce phénomène de vieillissement des disjoncteurs peut être évité par le déclenchement périodique du mécanisme des disjoncteurs. Malgré de telles recommandations, les programmes de maintenance des aéronefs ne comportent généralement aucune exigence d’essai périodique des disjoncteurs. Dans son récent bulletin publié sur le réenclenchement des disjoncteurs, la FAA n’a fait aucune mention du caractère adéquat des programmes d’entretien préventif des disjoncteurs mis en place par les divers exploitants. Le fait d’aborder la question du déclenchement périodique des disjoncteurs aiderait sont cohérents et optimisés afin d’assurer une fiabilité maximale des disjoncteurs. L’industrie de l’aviation doit adopter le concept des « meilleures pratiques » à l’égard de l’entretien des disjoncteurs et veiller à ce que les programmes d’entretien soient conçus comme il se doit.

2.13.4 Questions relatives à l’espacement des fils électriques

2.13.4.1 Exigences de la FAR 25.1353(b)

Du point de vue de l’espacement entre les fils, on n’a trouvé aucun lien entre la conception de l’acheminement des fils du MD-11 et la source d’inflammation ayant causé l’incendie à bord. Toutefois, comme les six câbles d’alimentation du bus d’alimentation sont acheminés ensemble à proximité du boîtier du tableau de commutation supérieur, la conception présente un risque accru de perte de tous les services alimentés par ces câbles en cas de défaillance en un seul point. On a établi que la perte des systèmes associés au câble d’alimentation du bus c.a. d’urgence de gauche était attribuable au fait que le câble avait été endommagé par l’incendie. La défaillance de ce câble s’était produite tard dans la séquence des événements, lorsque l’incendie faisait rage. Même si la perte des systèmes connexes aurait compliqué les défis importants auxquels les pilotes faisaient face et pu contribuer à la perte de contrôle de l’avion, il est probable que l’incendie, et non pas la perte des divers systèmes de bord, a constitué le facteur crucial dans l’issue finale. La conception du MD-11 est telle que, même si tous ces câbles étaient mis hors tension, il resterait une capacité limitée, mais suffisante pour permettre aux pilotes de conserver le contrôle de l’avion.

La Federal Aviation Regulations (FAR) 25.1353(b) stipule que les « câbles doivent être groupés, acheminés et espacés de telle sorte que les dommages aux circuits essentiels sont réduits au minimum en cas de défaillance des câbles porteurs de courant de grande intensité ». L’objectif consiste à réduire au minimum l’effet d’une défaillance d’un câble porteur de courant de grande intensité faisant partie du câblage d’un système essentiel. La formulation suppose qu’il ne faut prendre de telles mesures que lorsqu’un faisceau de fils contient à la fois un ou plusieurs fils de système essentiel et un ou plusieurs câbles porteurs de courant de grande intensité. Le document d’information ne précise pas quelles sont les mesures jugées acceptables pour que soient respectées les exigences de la FAR 25.1353(b). Ce paragraphe n’aborde pas non plus, du point de vue de l’espacement entre les fils, la question de l’acceptabilité du groupement ou de l’assemblage en faisceau des câbles d’alimentation censés faire partie du câblage de systèmes essentiels. De plus, l’interprétation de ce règlement est rendue encore plus difficile parce que plusieurs termes, comme « circuits essentiels », ne sont pas définis par l’organisme de réglementation.

Dans la conception des aéronefs, il n’est pas toujours possible de maintenir un espacement physique entre les fils, surtout dans le poste de pilotage où, typiquement, l’espace disponible pour les installations est exigu. Il n’y a pas de lignes directrices claires sur ce qui devrait constituer un autre moyen d’assurer la conformité à ces dispositions lorsqu’il n’est pas pratique ou possible de prévoir un espacement physique entre les fils. Dans le cas du MD-11, l’avionneur utilisait une gaine protectrice, qu’il considère capable d’offrir un niveau de sécurité équivalent à l’espacement physique. Comme il n’y a pas eu de cas problèmes signalés dans la flotte des MD-11 ou des DC-10 pendant bon nombre d’années de service, cette méthode a manifestement répondu aux besoins; toutefois, ni le constructeur du MD-11 ni la FAA n’ont quantifié l’efficacité d’une telle gaine protectrice.

L’absence d’indications claires dans le document d’information est mise en évidence par la difficulté de déterminer la conformité au sujet de l’acheminement des câbles d’alimentation des bus d’alimentation batterie et d’urgence du MD-11. Si la FAR 25.1353(b) s’applique aux fils en question, il n’est pas clair si les faisceaux de fils peuvent contenir à la fois le câblage des systèmes essentiels et les câbles porteurs de courant de grande intensité, même sur de courtes distances. Par exemple, le chemin de câbles situé à proximité du boîtier du tableau de commutation supérieur pourrait être considéré comme non conforme à la FAR 25.1353(b) parce qu’il n’y a pas d’espacement physique; toutefois, la FAA a jugé que cette installation était conforme. Le fondement de cette interprétation n’est pas clair, car aucune méthode n’est précisée pour fournir un autre moyen de se conformer à la FAR 25.1353(b) lorsqu’il n’est pas pratique ou possible de prévoir un espacement physique. Il conviendrait de passer en revue la réglementation et le document d’information à ce sujet.

2.13.4.2 Mélange de matériaux isolants de fils électriques

La FAA reconnaît que le mélange de fils électriques dont les matériaux isolants présentent différentes caractéristiques de dureté peut causer des dommages, surtout aux endroits où les vibrations sont fortes. Malgré l’absence de réglementation relative au mélange des matériaux isolants des fils, les AC 43.13-1B et 25-16 de la FAA donnent certaines indications. L’AC 43.13-1B est un guide général qui établit des pratiques, des techniques et des méthodes acceptables d’inspection et de réparation d’aéronef, tandis que l’AC 25-16 complète l’AC 43.13-1B en ce qui a trait aux défectuosités électriques et à la prévention des incendies.

L’AC 43.13-1B est claire pour ce qui est du mélange des fils, car elle stipule qu’il n’est pas recommandé « d’acheminer, à l’intérieur du même faisceau, des fils ayant des matériaux isolants différents ». L’AC 25-16 donne à penser qu’il y aurait lieu d’éviter de mélanger des fils dont la rigidité de l’isolant est « significativement différente ». Outre la différence de rigidité entre les fils, l’AC 25-16 précise qu’il faut tenir compte du facteur de rigidité entre le matériau isolant du fil et le matériau en contact avec l’isolant, comme des colliers et des guide-fils.

La FAA compte sur les avionneurs ou les ateliers de modification pour établir la compatibilité des matériaux au moyen d’essais ou d’antécédents d’utilisation satisfaisants. À cette fin, les essais de compatibilité des matériaux menés par Boeing ont permis de dresser un répertoire des fils et des matériaux isolants qui, de l’avis de l’avionneur, peuvent être utilisés à l’intérieur d’un même faisceau. Les faisceaux de fils du MD-11 fabriqués par Boeing ont été conçus et installés conformément à des normes acceptables de l’industrie de façon à réduire l’usure par frottement entre les fils et les dommages causés par les matériaux en contact avec l’isolant, comme des colliers. Même si des installations après construction, comme des systèmes de divertissement de bord (SDB), peuvent utiliser les mêmes fils que ceux dont se sert l’avionneur ou des fils de type similaire, la compatibilité entre les fils dépendrait de la qualité de l’installation.

2.13.4.3 Signalement d’anomalies relatives aux fils

Au moment de l’accident, rien n’obligeait à signaler les anomalies de câblage de façon distincte des autres anomalies. Par conséquent, dans de nombreux cas, les anomalies de câblage étaient attribuées à un composant ou à un ensemble remplaçable en première ligne à l’intérieur du système de bord connexe. En outre, il arrive souvent que les anomalies de câblage fassent l’objet de réparations sur place, sans que l’on comprenne bien toutes les conséquences de l’anomalie découverte. L’absence d’un code conjoint d’inspection de composants/systèmes de bord (codes améliorés de l’Air Transport Association) limitait l’élaboration de méthodes de collecte, de compilation et de surveillance des données relatives aux problèmes de câblage en vue de l’analyse des tendances. Bien que des renseignements plus précis sur les câblages soient maintenant consignés par les techniciens et les inspecteurs de la réglementation et que des données deviennent progressivement plus accessibles pour valider des lacunes potentielles dans les câblages, le manque de documents d’information qui prévalait auparavant pour signaler des défaillances liées aux fils n’a permis de disposer que de renseignements limités, ce qui continue d’être une entrave à l’évaluation de la nature et de l’étendue des manquements à la sécurité en ce qui concerne le câblage.

2.14 Réseau de divertissement de bord

2.14.1 Impact opérationnel de l'intégration du RDB

La conception technique du MD-11 est telle que tous les équipements « non essentiels » de la cabine doivent être alimentés par l'un des huit bus cabine. L'actionnement du commutateur CABIN BUS, situé dans le tableau de commutation supérieur du poste de pilotage, sert à isoler toute alimentation « non essentielle » de la cabine. Cette mesure est le premier élément qui figure dans la liste de vérifications d'urgence de Swissair en cas de fumée ou d'émanations d'origine inconnue à bord du MD-11, et elle permet à l'équipage d'évaluer si la fumée provient d'un composant associé aux bus cabine. Au cours de l'examen préliminaire de la documentation sur le RDB, on a déterminé que les blocs d'alimentation du RDB étaient branchés sur l'alimentation électrique de l'avion d'une manière qui n'était pas compatible avec la conception du délestage électrique d'urgence du MD-11.

La documentation montre que, initialement, l'intention était d'alimenter le système RDB à partir des bus cabine. Toutefois, les bus cabine n'offraient pas une alimentation suffisante pour les 257 sièges du RDB prévus à l'origine. C'est pourquoi on a utilisé le bus 2 de 115 V c.a. pour répondre à la plus grande partie des besoins en alimentation électrique du RDB.

L'alimentation du RDB à même le bus 2 de 115 V c.a. n'aurait pas constitué une condition dangereuse latente s'il y avait eu un dispositif de mise hors service du RDB (p. ex. un relais de commutation) lorsque le commutateur CABIN BUS était réglé sur OFF. Un autre moyen de se conformer au certificat de type du MD-11 aurait été de demander l'approbation par la FAA d'un supplément au manuel de vol contenant des directives à l'intention des pilotes sur la façon de mettre hors tension le RDB durant les procédures d'urgence. Toutefois, aucune de ces options n'a été envisagée, et le vice de conception n'a pas été décelé avant l'accident de SR 111. Par conséquent, les pilotes ne savaient probablement pas que le RDB demeurerait sous tension après la mise hors tension du bus cabine.

La conception de l'intégration de l'alimentation RDB-avion a constitué une condition dangereuse latente. Cependant, alors que l'incendie était en cours au moment où le commutateur CABIN BUS a été utilisé (13 minutes, 7 secondes après que l'odeur eut été décelée pour la première fois), aucun lien n'a été établi entre cette condition dangereuse latente et le déclenchement ou la propagation de l'incendie.

2.14.2 Surveillance par la FAA du projet de certification de type supplémentaire du RDB

En tant qu'atelier de modification désigné, Santa Barbara Aerospace (SBA) devait s'assurer que le RDB était conforme aux règlements en vigueur, et qu'il était intégré en toute sécurité à l'avion. Étant donné que SBA agissait pour le compte de la FAA, c'est à la FAA qu'incombait la responsabilité de s'assurer que SBA possédait le savoir-faire voulu pour exercer ses fonctions. Au moment où ce certificat de type supplémentaire (STC) était en cours d'approbation, les procédures suivies par la FAA pour surveiller la délégation de pouvoirs à un atelier de modification désigné pour la délivrance du STC ne garantissaient pas que les anomalies pouvaient être décelées et rectifiées.

Comme en témoigne le document d'analyse de la charge électrique utilisé dans le cadre des travaux préliminaires de conception et de développement du RDB réalisés par Hollingsead International (HI), on avait bien l'intention d'alimenter le RDB à partir du bus cabine. Tandis que les travaux de développement du RDB avançaient, HI a constaté que l'alimentation électrique provenant du bus cabine était insuffisante et elle a apporté des modifications aux plans pour alimenter le RDB à partir du bus 2 de 115 V c.a. Il n'a pas été possible de savoir quelle part des travaux de conception préliminaires réalisés par HI avait été communiquée à SBA. La lettre d'intention présentée par SBA à la FAA reflétait ce qui semblait être l'intention préliminaire de l'installation. Même si on pouvait s'attendre à ce qu'un changement aussi important fasse l'objet d'une modification, la lettre d'intention n'avait pas été modifiée pour refléter les modifications de conception. Aussi, l'examen auquel la FAA avait procédé pour s'acquitter de sa fonction de surveillance avait peu de chances de révéler de telles anomalies, car la FAA comptait être avisée de tout changement apporté à la portée du projet par l'atelier de modification désigné.

2.14.3 Conception du RDB et analyses nécessaires

Dans le cadre du processus de certification, le RDB devait faire l'objet d'une analyse de sécurité, conformément aux dispositions de la FAR 25.1309. Cette analyse évalue les dangers qui se rattachent à la fois au fonctionnement du système et aux modes de défaillance. Les efforts qu'exige une telle analyse varient d'une évaluation qualitative, comme une évaluation des risques fonctionnels reposant sur le jugement d'un ingénieur expérimenté, à une évaluation quantitative complexe, comme une analyse des effets des modes de défaillance, laquelle comporte une analyse numérique des probabilités. La criticité fonctionnelle du RDB, établie par le demandeur du STC dans sa lettre d'intention adressée à la FAA, avait été qualifiée de « non essentielle, non requise »Note de bas de page 117. Une telle catégorisation doit permettre la réalisation d'une analyse qualitative reposant sur le jugement préalable d'un ingénieur et sur l'expérience préalable satisfaisante.

D'après l'analyse qualitative réalisée par SBA, l'impact opérationnel de ce STC sur la charge de travail et les procédures dans le poste de pilotage avait été jugé minime ou inexistant pendant toute la durée du projet du RDB. Par ailleurs, les autres parties qui avaient pris part à la conception, à la certification, à l'installation, à l'essai et à l'exploitation du réseau avaient toutes présumé que la désignation « non essentielle, non requise » confirmait que, peu importe qu'il soit défectueux ou qu'il fonctionne normalement, le RDB n'aurait aucun effet préjudiciable sur le pilotage de l'avion. Voilà pourquoi les seuls essais auxquels on avait soumis le RDB avaient été l'essai de brouillage électromagnétique et de radiofréquences ainsi que l'essai de défaillance du système. Ni l'un ni l'autre de ces essais n'était nécessaire pour déterminer si le RDB était alimenté de telle sorte qu'il entraverait une procédure d'urgence critique, comme celle qui consiste à débrancher les services électriques dans la cabine.

La désignation « non essentielle, non requise » a sans doute créé un climat où les précautions et les défenses normales qui auraient permis de déceler le vice de conception ont été limitées; toutefois, il y a également des lacunes dans la FAR 25.1309 susceptibles de permettre à certains vices de conception critiques de passer inaperçus.

Les dispositions de la FAR 25.1309 stipulent qu'il faut procéder à l'analyse de sécurité d'un système de manière à vérifier l'impact de son fonctionnement en service normal et en cas de défaillance. La première étape de ce processus est une évaluation de criticité fonctionnelle qui se concentre en général sur les conséquences d'une défaillance du système. Lorsque la conséquence d'une défaillance de système est jugée « minime », comme c'est le cas de la plupart des installations de divertissement de bord, l'analyse de sécurité du système est jugée complète. Toutefois, si les conséquences de la défaillance d'un système sont jugées « mineures » ou « majeures », uniquement parce que le système est capable de fonctionner correctement et de tomber en panne sans conséquences graves, cela ne confirme pas que le système a été intégré à l'avion en toute sécurité.

En général, une analyse d'intégration quantitative ou détaillée est réservée à la FAR 25.1309 aux systèmes dont les modes de défaillance sont réputés avoir une incidence « majeure » sur la sécurité des vols et des atterrissages. Ce processus sert à classer officieusement un système donné comme étant soit « essentiel », soit « non essentiel »; c'est pourquoi le RDB installé à bord de la flotte de MD-11 de Swissair portait la désignation « non essentielle, non requise ». De ce fait, aucun minimum d'analyse d'« intégration » quantitative n'était requis par la FAR 25.1309 pour assurer la compatibilité entre le système et les procédures de certification de type de l'aéronef, comme le délestage d'urgence. Une telle analyse aurait permis de savoir si le système avait été intégré d'une manière conforme au certificat de type du MD-11.

2.14.4 Rôle du Groupe d’évaluation des aéronefs de la FAA/portée du STC

Le Bureau de certification des aéronefs de la FAA à Los Angeles a bénéficié de l’appui, lors de son examen du certificat de type supplémentaire du RDB, du personnel du Groupe d’évaluation des aéronefs (AEG) de la FAA, notamment des inspecteurs des normes de vol et de la sécurité aérienne qui connaissaient bien les opérations des transporteurs aériens, l’entraînement des équipages de conduite, la maintenance des aéronefs et la procédure de certification des aéronefs. Ces employés de l’AEG sont responsables de la certification et de l’évaluation des qualités opérationnelles des avions commerciaux neufs et modifiés. Même si la FAA délègue une bonne partie de ses responsabilités dans le cadre de la procédure de délivrance du STC, elle ne délègue pas la fonction de l’AEG. C’est pourquoi l’atelier de modification désigné (DAS) n’était pas habilité à prendre des décisions sur des STC dans le domaine des exigences opérationnelles ou des besoins de maintenance.

Dans le cas du STC ST00236LA-D, SBA a présenté une lettre d’intention dans laquelle elle déclarait que celui-ci n’aurait aucun impact sur la charge de travail de l’équipage de conduite. L’AEG a analysé la lettre d’intention et a confirmé cette conclusion. Étant donné que seul l’AEG est investi du pouvoir de tirer une telle conclusion, la présence d’une telle déclaration dans la lettre d’intention aurait dû attirer l’attention de la FAA sur le fait que SBA avait outrepassé son mandat en tant que DAS. Le fait que le RDB ait été qualifié de « non essentiel, non requis » a entraîné un relâchement de la vigilance et une délégation de fait de cette fonction de l’AEG.

Un étude réalisée par la FAA sur les STC de systèmes de divertissement de bord semblables « non essentiels, non requis » a révélé qu’environ 10 % d’entre eux avaient été conçus, installés et certifiés de telle manière que l’équipage de conduite était incapable d’en couper l’alimentation électrique sans entraver le fonctionnement de systèmes essentiels. Bien que l’ampleur de la participation de l’AEG à l’approbation de ces autres STC n’ait pas été déterminée, l’étude a révélé que le caractère incomplet de l’examen opérationnel précédant l’approbation du STC ST00236LA-D n’avait rien d’exceptionnel.

Étant donné que la fonction de l’AEG n’est pas déléguée, la FAA est responsable de la détermination de la conformité d’un STC sur le plan opérationnel et sur celui de la maintenance. Ainsi, l’AEG doit continuer de participer au processus et collaborer de près avec l’atelier de modification désigné pour donner l’approbation nécessaire.

2.14.5 Gestion du projet de STC relatif au RDB

La décision prise par Swissair de se porter acquéreur d'un système de divertissement de bord à la fine pointe de la technologie pour sa flotte de MD-11 était d'ordre purement commercial. La compagnie s'en était toujours remise à son fournisseur de services de maintenance des MD-11, SR Technics, pour qu'il gère les travaux de modification de ses MD-11. Toutefois, après la restructuration du Groupe SAir à l'issue de laquelle SR Technics était devenue une entité commerciale distincte, Swissair avait également la possibilité d'obtenir des services de modification auprès d'entrepreneurs autres que SR Technics. Pour le projet de RDB, Swissair avait décidé de conclure un contrat avec Interactive Flight Technologies (IFT) pour que cette société fournisse tous les services de conception, de certification et d'intégration nécessaires à l'installation du système. Étant donné que ce type de disposition n'était pas prévu dans le contrat qui liait SR Technics à Swissair, la compagnie aérienne avait conclu un contrat distinct avec SR Technics pour qu'elle fournisse à IFT tout l'appui nécessaire afin de lui permettre de réaliser la modification du RDB à bord de ses MD-11. C'est pourquoi même si Swissair considérait qu'IFT était le responsable global du projet de RDB, la compagnie avait toujours considéré que SR Technics était le seul organisme responsable du maintien de la navigabilité de sa flotte de MD-11.

IFT a respecté son entente contractuelle avec Swissair en sous-traitant d'importantes parties du projet de RDB. Bien que cette sous-traitance n'ait aucunement dégagé IFT de ses responsabilités de gestionnaire global du projet, elle a présenté une difficulté de gestion du fait qu'IFT n'avait pas l'expertise voulue pour vérifier les travaux de ses sous-traitants. Cette situation a été aggravée par le fait que le principal sous-traitant d'IFT, HI, avait lui-même sous-traité les services de certification du projet de RDB. Ainsi, la partie critique des responsabilités contractuelles d'IFT envers Swissair lui avait été soustraite à deux reprises, compliquant d'autant plus sa capacité de surveiller la délivrance d'un STC approuvé par la FAA.

En général, un entrepreneur principal choisit un sous-traitant en fonction de sa réputation et du fait qu'il est certifié par la FAA ou par une instance gouvernementale équivalente. On s'attend tout naturellement à ce qu'une entreprise certifiée soit en mesure d'exercer comme il se doit les fonctions qui lui ont été confiées et à ce qu'elle soit assujettie à un programme de surveillance efficace par l'instance gouvernementale compétente.

La FAA est l'instance suprême, et c'est pourquoi elle doit s'assurer qu'un projet de STC ne compromet pas le certificat de type d'un aéronef certifié sous sa compétence. En s'acquittant de cette responsabilité, la FAA s'en remet largement à son système de délégation à des DAS. La FAA tient le DAS responsable des services de certification de tout projet de STC. En même temps, la FAA ne s'attend pas à ce qu'un DAS exerce la même surveillance sur les entreprises qui exécutent des travaux dans le cadre d'un STC que celle qui serait exigée par la FAA dans la certification de ces entreprises. La FAA reconnaît que le DAS est en droit de s'attendre à ce qu'une entreprise certifiée par la FAA puisse faire preuve du niveau de rendement minimum exigé par la FAA, même si cette entreprise n'est pas tenue par contrat d'utiliser directement sa certification FAA dans le cadre d'un projet donné.

Le responsable du projet de RDB ne s'était pas conformé à la procédure de délégation type de la FAA. SBA n'était pas responsable du projet et ce n'est pas elle qui a assuré la gestion du projet. En revanche, SBA a agi comme sous-traitant de HI, ce qui, dans l'esprit de la FAA, équivaut à travailler sous l'autorité de SBA. Dans une large mesure, SBA s'était fiée à la réputation de certification de HI par la FAA pour s'assurer que le RDB avait été correctement conçu et intégré. Tout comme HI et IFT, SBA avait compté sur SR Technics pour ce qui est de l'assurance qualité pour chacune des installations du RDB. SBA avait certifié le RDB après avoir évalué les documents qui lui avaient été fournis par HI.

Tout ce qui précède explique que la structure de gestion du projet de STC du RDB n'ait pas permis de s'assurer que tous les éléments requis étaient présents pour la conception, l'installation et la certification d'un système compatible avec le certificat de type du MD-11.

2.15 Facteurs influençant la prise de décisions des pilotes relativement aux premiers signes d'odeur et de fumée (DIT2-2)

Les données disponibles relativement aux accidents d'aéronef causés par des incendies en vol montrent le peu de temps disponible pour réagir aux premiers signes d'incendie. Dans le cas de SR 111, les pilotes ont senti une odeur inhabituelle dans le poste de pilotage à 1 h 10 min 38 s, et 20 minutes 40 secondes plus tard, l'avion s'abîmait dans l'océan.

Les pilotes faisaient face à un problème important lorsqu'ils ont tenté d'évaluer les premiers signes d'odeur et de fumée et d'y réagir. En effet, ils ne disposaient pas de dispositifs de détection qui auraient pu leur fournir des données précises sur la source de l'odeur et de la fumée. Ils ne pouvaient pas non plus distinguer avec certitude si l'odeur et la fumée provenaient du système de conditionnement d'air, si elles étaient d'origine électrique ou si elles étaient causées par un incendie de matériaux.

Au début, les pilotes n'ont senti qu'une odeur inhabituelle (voir la rubrique 1.18.8.3). Environ 20 secondes plus tard, à 1 h 10 min 58 s, ils ont remarqué une petite quantité de fumée qui pénétrait dans le poste de pilotage par derrière et au-dessus d'eux. Cette première fumée a disparu rapidement. Plus de deux minutes plus tard, ils ont confirmé que la fumée était réapparue, sans doute au même endroit. L'analyse des renseignements recueillis au cours de l'enquête indique que l'odeur et la fumée provenaient d'un incendie qui s'était probablement déclaré au niveau de la paroi arrière du poste de pilotage, au-dessus du plafond. L'évaluation des trajets empruntés par l'air en circulation dans le poste de pilotage expliquerait que de la fumée provenant de cet endroit pourrait s'infiltrer dans le poste de pilotage par un joint ou quelques trous entre le tableau de distribution avionique supérieur et le panneau de plafond, près du diffuseur d'air de plafond de droite. Si les pilotes ont cru que la fumée arrivait par ce diffuseur d'air, cela aurait raffermi leur conviction que la fumée et l'odeur provenaient du système de conditionnement d'air. Comme l'incendie s'était d'abord déplacé principalement vers l'arrière, dans la zone située au-dessus du plafond suspendu de la partie avant de la cabine, la quantité de fumée pénétrant dans le poste de pilotage aurait été légère et intermittente. La fumée aurait aussi été considérablement diluée en se mélangeant à l'air du diffuseur.

Compte tenu du niveau de sensibilisation générale démontrée par d'autres pilotes lors des entrevues, les pilotes n'auraient sans doute pas été conscients de la présence d'une importante quantité de matières inflammables dans les espaces inoccupés de l'avion. De ce fait, il ne se seraient pas attendus à ce que ces endroits, ni aucun autre endroit dissimulé, représentent une menace d'incendie. Rien dans leur expérience ne pouvait les amener à envisager que la fumée puisse être associée à un incendie non maîtrisé, alimenté par des matières inflammables se trouvant au-dessus du plafond. Les normes en vigueur dans l'industrie au moment de l'accident étaient telles que d'autres équipages de conduite, confrontés au même scénario, auraient selon toute vraisemblance interprété de façon similaire les indices limités à leur disposition.

Sur la foi de données historiques, il est généralement accepté que de la fumée émanant d'un circuit de conditionnement d'air ne représente pas une menace immédiate à la sécurité des passagers ou de l'avion et qu'il est possible d'atténuer le problème en isolant le circuit. Compte tenu du fait que les pilotes évaluaient comme étant relativement faible le risque posé par la fumée, il semble que les pilotes n'aient vu aucune raison tangible de prendre plus de risques en tentant un atterrissage d'urgence immédiat. Ils ont plutôt établi des priorités qui comprenaient l'obtention des renseignements nécessaires à l'approche et à la préparation de l'avion pour un atterrissage en toute sécurité. Au début, la quantité de fumée qui pénétrait dans le poste de pilotage a dû être faible. Autrement, on se serait attendu à ce que les pilotes tentent d'isoler l'origine de la fumée en fermant les sources d'air conditionné. Les FDR ne donnent aucune indication que les pilotes ont exécuté quelque mesure que ce soit de la liste de vérifications en cas de fumée dans le système de conditionnement d'air. Par contre, la première mesure de cette liste de vérifications, qui consiste à régler l'interrupteur ECON sur OFF, n'est pas un paramètre enregistré sur le FDR. La première mesure de la liste de vérifications en cas de fumée ou d'émanations d'origine inconnue enregistrée par le CVR a été exécutée environ 13 minutes après que l'odeur eut été remarquée pour la première fois.

Les pilotes ont mis leur masque à oxygène environ cinq minutes après avoir senti l'odeur inhabituelle (voir la rubrique 1.18.8.4). On sait qu'avant de mettre leur masque à oxygène, les pilotes n'étaient pas incommodés par la fumée, et leurs yeux n'étaient pas irrités, ni leurs voies respiratoires. Les matériaux qui brûlaient auraient dégagé des vapeurs contenant des sous-produits de combustion nocifs et potentiellement toxiques. L'exposition à ces produits en concentrations suffisantes, surtout par inhalation, peut modifier le comportement et influencer le jugement.

2.16 Facteurs influençant la prise de décisions des pilotes lors du déroutement

Lorsque les pilotes ont entamé leur descente vers Halifax à 1 h 15 min 36 s, ils avaient évalué qu'ils avaient affaire à un problème de fumée dans le système de conditionnement d'air qui ne nécessitait pas une descente d'urgence. Compte tenu de la perception des indices limités à leur disposition, ils avaient pris des mesures pour préparer l'avion à une descente rapide, mais non à une descente et à un atterrissage d'urgence.

Les pilotes ne connaissaient pas bien l'aéroport international de Halifax et ils n'avaient pas leurs cartes d'approche à portée de la main. L'approche aux instruments sur faisceau arrière pour la piste 06 n'était pas préprogrammée dans leur système de gestion de vol. Les pilotes savaient qu'il leur faudrait prendre plus de temps pour se familiariser avec l'approche et l'atterrissage, et s'y préparer. L'équipage d'un avion qui les survolait leur a communiqué des renseignements météorologiques, mais ils ne connaissaient pas la longueur des pistes ni leur orientation. La pratique courante veut que l'équipage dispose des renseignements relatifs à la piste et à l'approche aux instruments pour mener à bien l'approche et l'atterrissage, surtout à un aéroport moins connu et de nuit.

En plus de ces situations propres à la gestion du vol, les pilotes savaient que les repas étaient en train d'être servis et qu'il faudrait un certain temps pour préparer la cabine en vue d'un atterrissage en toute sécurité. Compte tenu de la menace minimale que représentait pour eux, selon ce qu'ils savaient de la situation, de la fumée dans le système de conditionnement d'air, et du fait qu'aucune anomalie n'avait été signalée en provenance de la cabine, ils ont probablement jugé qu'il y avait plus de risques pour les passagers et l'équipage de cabine à exécuter une descente et un atterrissage d'urgence si la cabine n'était pas préparée et si l'avion n'était pas positionné en approche stabilisée pour l'atterrissage. On peut donc conclure que les pilotes auraient évalué les risques relatifs différemment s'ils avaient su qu'il y avait un incendie à bord.

Les pilotes savaient aussi que la masse de l'avion dépassait les limites maximales en surcharge à l'atterrissage dans des conditions non urgentes. Cette situation aurait posé des risques à leurs yeux, mais on peut supposer qu'elle ne les aurait pas empêchés de continuer en vue d'exécuter un atterrissage immédiat ni de larguer du carburant durant l'approche s'ils avaient été convaincus que l'avion était gravement menacé. En même temps qu'il déclarait une situation d'urgence, l'équipage de conduite a indiqué qu'il commençait à larguer du carburant, et il y a des indications attestant qu'il l'a fait.

2.17 Propagation de l'incendie

2.17.1 Sources d'inflammation potentielles – généralités

Rien n'indique que l'incendie se soit déclaré à l'extérieur de la zone endommagée par le feu qui a été reconstruite. La zone endommagée par l'incendie renfermait un grand nombre de fils et de câbles électriques, des appareils d'éclairage, une batterie d'éclairage d'urgence, deux offices alimentées à l'électricité, de nombreux connecteurs électriques modulaires et des mécanismes électriques d'ouverture et de fermeture des portes. Les essais ont révélé que les matériaux isolants recouverts de PET métallisé peuvent facilement s'enflammer sous l'effet d'un arc électrique; toutefois, le PET métallisé a tendance à s'écarter par retrait des sources de chaleur intense, comme celles qui peuvent résulter d'un chauffage par résistance à une connexion d'alimentation électrique ou de mise à la terre mal serrée. Diverses sources d'inflammation possibles, électriques et non électriques, ont été évaluées dans la zone endommagée par l'incendie. On a déterminé que la source d'inflammation la plus vraisemblable est l'amorçage d'un arc électrique à travers l'isolant ébréché d'un fil, ce qui a enflammé un matériau isolant recouvert de PET métallisé.

2.17.2 Câbles et fils endommagés par des arcs électriques

On a analysé chacun des arcs sur les 20 segments de câbles et de fils récupérés pour déterminer s'il avait pu être à l'origine de l'incendie ou si, au contraire, l'arc avait été amorcé par l'incendie. Pour cela, il a fallu déterminer le système auquel appartenaient les câbles et les fils endommagés par des arcs électriques et, si possible, l'endroit où il était installé dans l'avion.

On a déterminé que trois fils endommagés par des arcs électriques provenaient de systèmes de bord particuliers, et l'emplacement des arcs a été déterminé avec précision dans l'avion. Si l'un des trois fils avait été endommagé par un arc électrique, les pilotes auraient vraisemblablement remarqué une perte de fonction correspondante, ou la défaillance aurait été enregistrée sur le FDR. Rien n'indique que l'une ou l'autre de ces situations se soit produite.

Il y avait neuf fils endommagés par des arcs électriques pour lesquels il n'a pas été possible de déterminer l'emplacement exact dans l'avion. Pour plusieurs de ces neuf fils endommagés par des arcs électriques, l'amorçage d'arc a pu être raisonnablement lié à une des défaillances connues de systèmes qui avaient été enregistrées par le FDR au cours des 92 secondes qui s'étaient écoulées entre la première défaillance enregistrée et l'arrêt du FDR. Étant donné que les défaillances enregistrées sont survenues près de 14 minutes après qu'une odeur inhabituelle eut été décelée pour la première fois dans le poste de pilotage, on a pu déterminer que ces défaillances et les arcs électriques qui leur sont associés n'étaient pas directement liés à la source d'inflammation principale.

Les huit segments de câbles et de fils restants endommagés par des arcs électriques provenaient du RDB. Les différents câbles du bloc d'alimentation et le fil de commande ont été analysés pour qu'on puisse déterminer s'ils avaient participé à l'amorçage d'arc initial. La plupart des arcs qui ont endommagé les câbles et les fils du RDB étaient liés à des dommages causés par l'incendie; toutefois, l'arc situé à 9 centimètres (cm) (3,5 pouces (po)) de l'extrémité du morceau de câble (pièce produite 1-3791) de bloc d'alimentation du RDB n'a pu être attribué à des dommages causés par l'incendie. Quel que soit le guide-fils utilisé, selon l'emplacement des câbles et des fils décrit à la rubrique 1.14.11.2, cet arc se serait produit juste devant la référence de construction 383, au-dessus du plafond arrière droit du poste de pilotage, juste à l'extérieur de l'extrémité avant du guide-fils.

2.17.3 Circulation de l'air, propagation de l'incendie et emplacements possibles de la source d'inflammation

On a évalué les trajets suivis par l'air avant l'incendie pour déterminer les endroits possibles par lesquels l'odeur et la fumée avaient pu pénétrer dans le poste de pilotage, comme l'avaient remarqué les pilotes, sans qu'elles ne puissent être décelées dans la cabine. On a ensuite évalué chacun des endroits possibles pour déterminer si un incendie ayant pris naissance à cet endroit concordait avec les circonstances connues de l'incendie survenu à bord. Au nombre des facteurs examinés, il y avait la présence d'éventuelles sources d'inflammation et de matières inflammables; la probabilité que l'incendie ait pu se propager depuis cet endroit dans le délai que l'on sait, compte tenu de la quantité de matières inflammables à bord; la probabilité que la propagation de l'incendie depuis cet endroit ait pu entraîner l'enchaînement connu des anomalies des systèmes de bord, et la probabilité qu'un incendie se propageant depuis cet endroit ait pu provoquer les dommages causés par le feu qui ont été observés.

De tous les endroits possibles analysés, un seul, situé à droite près de la découpe dans la partie supérieure de la cloison arrière du poste de pilotage, juste en avant de la référence 383, cadrait avec l'ensemble des circonstances connues de l'incendie. De là, l'odeur et la fumée avaient pu pénétrer dans le poste de pilotage à un endroit précis où l'équipage de conduite avait pu penser que la fumée provenait du système de conditionnement d'air par le diffuseur de plafond droit. Au commencement, la fumée produite dans cette zone ne serait sans doute pas perçue ailleurs dans l'avion. Un incendie aurait pu se propager vers l'arrière depuis la zone située près de la référence 383 et, si l'on se base sur les caractéristiques connues de l'inflammabilité des matériaux et les trajets suivis par l'air décrits ci-après, le feu aurait pu regagner le poste de pilotage avec plus d'intensité après un certain temps. Cet enchaînement d'événements a pu se produire avant que le feu n'envahisse la cabine ou ne compromette les systèmes de bord.

Un incendie qui aurait pris naissance plus loin en avant dans le poste de pilotage sous les matelas isolants recouvrant les cadres, devant les fils et les faisceaux de fils qui traversent l'avion dans le sens de la largeur devant la référence 383, se serait sans doute propagé, dans un premier temps, sur une plus grande superficie du poste de pilotage. Si le feu avait pris naissance encore plus en avant, des défectuosités et des défaillances causées par le feu seraient sans doute survenues plus tôt, et les symptômes connexes auraient vraisemblablement été décelés plus rapidement par les pilotes pendant le déroulement de l'incendie et ils auraient probablement été captés par les enregistreurs. De plus, la fumée aurait sans doute pénétré dans le poste de pilotage par des orifices que les pilotes n'auraient vraisemblablement pas associé au système de conditionnement d'air. Le revêtement du plafond du poste de pilotage se prêtait par ailleurs à une pénétration rapide de l'incendie et à une fusion, dans la mesure où ce revêtement est fait d'une matière plastique thermoformable dont la température de formage est relativement basse.

De même, si le feu avait pris naissance plus à l'intérieur, au-dessous des matelas isolants recouvrant les cadres, près de l'axe de l'avion, il aurait essentiellement été limité aussi bien à gauche qu'à droite par les chemins de câbles installés dans le sens de la longueur. Ces chemins de câbles parallèles pénètrent dans le boîtier du tableau de commutation supérieur par des orifices ovales à l'arrière du boîtier. Les chemins de câbles auraient dû agir comme rideaux coupe-feu canalisant la propagation des flammes dans un couloir longitudinal. Comme on a pu l'observer durant les essais en vol, la fumée doit avoir été aspirée dans les ouvertures du boîtier du tableau supérieur avant de pénétrer dans le poste de pilotage par des passages, comme les fentes des poignées coupe-feu moteur dans le tableau supérieur. Là encore, la fumée qui aurait pénétré dans le poste de pilotage par ces orifices n'aurait sans doute pas été associée au système de conditionnement d'air. La même logique vaut également pour les incendies qui auraient pu prendre naissance à gauche de l'espace inoccupé du poste de pilotage. Ces facteurs excluent toute possibilité que l'incendie ait pu prendre naissance ailleurs dans les zones dissimulées du poste de pilotage.

2.17.4 Propagation de l'incendie à partir d'un amorçage d'arc près de la référence 383

2.17.4.1 Généralités

On a procédé à une évaluation détaillée pour déterminer si l'explication des conditions connues et des phénomènes survenus après coup restait valable si l'incendie avait pris naissance juste en avant de la découpe dans la partie supérieure de la paroi arrière droite du poste de pilotage, près de la référence 383.

2.17.4.2 Propagation initiale de l'incendie

Un amorçage d'arc juste en avant de la référence 383 près du devant des guide-fils longs de 102 cm (40 po) pourrait enflammer des matelas isolants recouverts de PET métallisé. L'inflammation des matelas isolants recouverts de PET métallisé à l'emplacement de l'arc, à la référence 383, aurait d'abord engendré une petite flamme rampante qui aurait dégagé une petite quantité de fumée, accompagnée d'une odeur relativement forte. La majeure partie de la fumée et de l'odeur aurait commencé par emprunter le trajet suivi par l'air qui est constamment aspiré dans l'espace attenant à la descente de câbles en échelle conduisant au compartiment avionique, où elle aurait été filtrée et évacuée à l'extérieur.

La petite flamme se serait lentement propagée sous les matelas isolants recouverts de PET métallisé situés par-dessus les cadres. Elle n'aurait pas pu se propager très loin en avant, avant d'être bloquée et réacheminée par une série de faisceaux de fils qui touchent les matelas isolants dans cette zone. Le feu ne se serait sans doute pas propagé vers le haut et en travers de la face inférieure des matelas isolants dans le sens contraire au débit d'air le long de la descente de câbles en échelle. Par ailleurs, certains fils et faisceaux de fils passent dans le plafond du poste de pilotage et agissent comme coupe-feu. L'incendie aurait pu se propager le long de la descente de câbles en échelle dans le sens de la circulation d'air; toutefois, le front de flamme aurait alors rencontré une série de supports de fils horizontaux qui auraient agi comme coupe-feu. Même s'il est possible que l'incendie ait pu contourner de tels obstacles, on n'a pas trouvé le moindre indice matériel attestant que l'incendie s'était propagé dans le compartiment avionique, car, en dehors d'une couche de suie, ce compartiment n'a pas été endommagé par l'incendie.

2.17.4.3 Odeur et fumée initiales dans le poste de pilotage

Si le front de flamme avait réussi à parcourir une distance relativement courte à l'intérieur avant de se propager essentiellement vers l'arrière, il est probable que l'odeur ou la fumée qui se seraient produites près de la référence 383 auraient momentanément été aspirées dans le poste de pilotage par les orifices et les espaces situés près du sommet du tableau de distribution avionique. Même si le front de flamme ne s'était pas propagé suffisamment à l'intérieur pour que cela se produise, il est probable que l'odeur et la fumée auraient pénétré dans le poste de pilotage par ces endroits peu de temps après le début de l'incendie. Cette situation se serait produite peu après que le feu aurait enflammé l'atténuateur de bruit recouvert de PET métallisé, juste à côté du rideau anti-fumée ou du matelas isolant entourant les gaines verticales. Au cours des essais, de la fumée projetée sur le devant du tableau de distribution avionique supérieur, près de la paroi arrière droite du poste de pilotage, a commencé par être aspirée vers le bas avant d'être de nouveau aspirée vers le haut, finissant par suivre un trajet en colimaçon vers les sièges de l'équipage de conduite.

La fumée aurait suivi un trajet relativement turbulent avant de parvenir jusqu'aux pilotes. Elle serait devenue plus diffuse et, au début, il est probable qu'elle aurait été peu visible. C'est pourquoi les pilotes auraient fort probablement décelé une odeur avant de voir de la fumée. L'endroit le plus probable où la fumée serait finalement devenue visible est à proximité du tableau de distribution avionique, près de la paroi arrière droite du poste de pilotage. La densité de la fumée aurait été la plus forte lorsqu'elle aurait pénétré pour la première fois dans le poste de pilotage. Le diffuseur de plafond droit aurait accéléré le mouvement de la fumée et facilité sa détection. La fumée se serait aussi trouvée à proximité du plafonnier, facilitant du même coup la détection des particules de fumée dans l'air.

2.17.4.4 Propagation de l'incendie vers l'arrière, à l'extérieur du poste de pilotage

Un petit front de flamme pouvait se déplacer vers l'arrière à partir du point où il avait pris naissance et franchir la cloison arrière du poste de pilotage par la découpe. Le cas échéant, le matériau mousse utilisé autour des guide-fils et des chemins de câbles à l'endroit de la découpe du poste de pilotage aurait fondu ou se serait enflammé en dégageant plus de fumée et une odeur plus forte.

Lorsque le petit front de flamme a franchi la paroi du poste de pilotage, il est probable que, pendant un court laps de temps, la fumée n'a plus pénétré en quantité suffisante dans le poste de pilotage pour être visible. Durant ce temps, la majeure partie de la fumée et de l'odeur aurait été aspirée vers le bas le long de la descente de câbles en échelle. Cette situation a dû changer dès que le feu a enflammé l'atténuateur de bruit recouvert de PET métallisé attenant au rideau anti-fumée, ou le matelas isolant entourant les gaines verticales. L'inflammation de ce matelas isolant aurait provoqué de la fumée et une odeur supplémentaires qui auraient fini par se diriger vers le voisinage du rideau anti-fumée. Des essais de circulation d'air démontrent que la fumée et l'odeur présentes à cet endroit peuvent également pénétrer dans le poste de pilotage par les orifices pratiqués dans le rideau anti-fumée.

Peu après l'inflammation de l'atténuateur de bruit recouvert de PET métallisé, il est possible qu'un petit front de flamme ait ébréché dans une certaine mesure l'embout de gaine de ventilation exposé de l'office 2. Cet embout en elastomère de silicone est attenant à l'extrémité avant de l'atténuateur de bruit, à côté de la paroi arrière du poste de pilotage, juste à côté du rideau anti-fumée. L'air aurait été immédiatement aspiré par cette brèche dans la gaine de ventilation de l'office, dès que l'embout aurait été brisé. Cet appel d'air aurait sans doute éteint le petit front de flamme qui se propageait à l'atténuateur de bruit dans le voisinage immédiat de cet embout. Au cours des essais des matelas isolants recouverts de PET métallisé, des courants d'air ont généralement éteint de petits fronts de flamme qui se propageaient sur des matériaux recouverts de PET métallisé.

Il est également probable que l'embout en élastomère de silicone qui brûlait se serait éteint en même temps, du fait de l'appel d'air subit et continu à l'endroit même où le feu avait pénétré initialement. La propagation de la flamme le long des matelas isolants recouverts de PET métallisé aurait pu néanmoins continuer ailleurs, car, au moment où l'embout de gaine de ventilation de l'office 2 s'était enflammé, la flamme se serait sans doute propagée sur une zone nettement plus importante, notamment sur la gaine verticale. L'appel d'air par l'embout de gaine de ventilation n'aurait sans doute pas été important, ne provoquant qu'un effet de courant d'air localisé. Aussitôt que le feu s'est intensifié dans la zone de la gaine verticale et s'est propagé à la paroi latérale droite du fuselage, l'embout de gaine de ventilation se serait sans doute rallumé ou aurait fondu, provoquant sa destruction complète. Il s'en serait suivi une plus rande brèche et un appel d'air plus important dans la gaine de ventilation. L'appel d'air et les sous-produits de combustion dans la gaine de ventilation auraient pu retarder le refoulement de la fumée et de l'odeur dans le poste de pilotage, de même que la détection rapide de l'incendie dans la cabine.

Les espaces d'air verticaux attenants à la gaine verticale centrale et entre la paroi arrière de la gaine verticale arrière et la paroi avant de l'encadrement de la porte D1 auraient dirigé les sous-produits de combustion brûlants et provoqué un effet de cheminée qui aurait produit une chaleur concentrée dans les endroits au-dessus de ces espaces d'air. Cet effet de cheminée aurait été accentué par l'espace clos de la partie inférieure recouverte de PET métallisé des gaines verticales. Des signes d'un effet de cheminée à haute température étaient visibles dans l'épave et ils correspondaient à ces emplacements.

La destruction complète de l'embout de la gaine de ventilation de l'office 2 causée par l'incendie aurait provoqué un important appel d'air dans le système de ventilation de l'office à cet endroit et aurait radicalement changé les trajets suivis par l'air. On a trouvé des traces de dommages liés à un incendie intense sur les gaines attenantes à l'emplacement de l'embout de gaine de ventilation. L'aspect général des dommages à cet endroit laisse croire que des sous-produits de combustion très chauds ont été aspirés derrière la descente de câbles en cascade, puis vers l'avant sous les gaines verticales et, finalement, dans le système des gaines de ventilation de l'office. Le flux de sous-produits de combustion brûlants entre la face inférieure de la gaine verticale arrière et le panneau de plafond CD 207 situé en dessous aurait créé un effet de chaleur convective important, localisé sur le panneau. On a trouvé des traces de dommages liés à l'incendie de cette nature sur un morceau du panneau de plafond CD 207. Ce morceau de panneau provenait vraisemblablement du panneau de plafond coulissant utilisé à l'emplacement de la porte D1. La chaleur subie par ce morceau correspondait à une exposition à une température de 593 °C (1 100 °F) pendant 10 minutes.

2.17.4.5 Feu ayant endommagé les câbles du bloc d'alimentation du RDB au-dessus de l'office 2

Les parties inférieures des cadres de fuselage aux références 401 et 410, entre le plan 15 droit et le plan 15 gauche, présentaient des dommages causés par une température élevée. En outre, des dommages localisés dus à une température élevée ont été constatés sur certains fils isolés au polyimide dans le chemin de câbles FDC, concentrés entre les références 401 et 410. Ce chemin de câbles est situé à proximité du guide-fils médian sur le plafond au-dessus de l'office 2. Ces dommages causés par la chaleur correspondent aux effets de cheminée localisés à haute température résultant de la présence d'un espace d'air vertical de chaque côté de la gaine verticale centrale, le long de sa face extérieure. Les sommets des deux panaches rencontrent le plafond aux références 401 et 410.

Lorsqu'on place le fil de commande du RDB et les câbles de bloc d'alimentation pour simuler le guide-fils extérieur, la disposition des câbles concorde avec le profil global des dommages, cinq fils endommagés par des arcs électriques s'alignant à peu près avec la référence 401. Ils cadrent aussi avec la fusion en premier du guide-fils recouvert d'éthylène-propylène fluoré et du matériau isolant recouvert d'ETFE à cet endroit, qui a entraîné de multiples amorçages d'arc fil sur fil. Ces arcs auraient sans doute déclenché les disjoncteurs connexes et sectionné les fils à l'emplacement de certains arcs, ouvrant ainsi le circuit électrique et mettant hors tension ces câbles d'alimentation.

2.17.4.6 Feu ayant endommagé le câble du bloc d'alimentation du RDB à l'extérieur de l'extrémité arrière du guide-fils

Des dommages causés par une forte chaleur concentrée ont été constatés directement au-dessus de la porte D 1, du déflecteur de rampe de la porte à battant D1 et au-dessus des faisceaux de fils voisins de la descente de câbles en cascade. Ces dommages se manifestaient sous la forme de coulisses sur une zone localisée du rail de la porte avant R1 qui est fixé à la partie inférieure des cadres de fuselage. Sur une pièce aussi solide, il faut une chaleur intense pendant une durée relativement longue pour créer des dommages de ce type. Les dommages causés par la chaleur intense à cet emplacement correspondent à un effet de cheminée qui a aspiré des sous-produits de combustion brûlants vers le haut où ils ont effleuré le plafond. L'emplacement des dommages causés par la chaleur sous forme de coulisses correspond à la zone située au-dessus du rayon intérieur du raccord coudé des gaines verticales. Une telle géométrie, combinée à d'autres facteurs, comme l'alignement d'un espace d'air vertical entre le côté arrière de la gaine verticale arrière et le panneau mural intérieur de la cabine, a été propice à la formation d'un panache de fumée alors que le matelas isolant recouvert de PET métallisé brûlait sur les gaines verticales. Parmi les facteurs qui corroborent l'apparition d'un tel phénomène, il faut mentionner la présence d'autres coulisses juste à côté du même endroit, sur les parties inférieures d'une lisse, entre les références 427 et 435, et à proximité le long des parties inférieures d'un cadre situé à la référence 442, entre le plan 15 droit et le plan 15 gauche. Il se serait produit un échauffement localisé supplémentaire dans la descente de câbles en cascade tandis que les sous-produits de combustion brûlants étaient aspirés sous les gaines verticales vers la gaine de ventilation de l'office 2.

Cet échauffement localisé expliquerait la disparition de l'étamage sur les trois câbles de bloc d'alimentation du RDB récupérés entre les références 420 et 427, juste derrière l'endroit où ils sortaient du guide-fils. À cet emplacement, le câble du bloc d'alimentation (pièce produite 1-3790) était endommagé par des arcs électriques sur chacun de ses trois fils de phase. Ce même câble avait été endommagé par des arcs électriques plus en avant à l'intérieur du guide-fils. Les deux emplacements d'arc électrique distincts sur ce câble laissent croire que l'incendie s'était propagé d'avant en arrière, avait commencé par amorcer un arc à l'avant sans déclencher le disjoncteur, puis un deuxième arc près de la descente de câbles en cascade, lequel avait déclenché le disjoncteur. L'absence d'arcs sur les deux autres câbles du bloc d'alimentation récupérés provenant de la descente de câbles en cascade, en particulier dans la zone où l'étamage avait disparu de ces câbles, correspond à la mise hors tension de ces deux câbles lorsque l'arc s'était amorcé sur la pièce 1-3790 à l'emplacement de la descente de câbles en cascade. Cette dernière observation correspond aussi à la mise hors tension préalable des deux autres câbles du bloc d'alimentation par le déclenchement de leurs disjoncteurs respectifs lorsque l'amorçage d'arcs multiples s'est produit dans le guide-fils. Ce dernier constat confirme le sens de propagation du feu d'avant en arrière.

2.17.4.7 Progression du feu – de la gaine verticale vers le côté gauche du fuselage et vers l'arrière

La combustion de quantités relativement importantes de matériau de recouvrement du matelas isolant au PET métallisé à proximité de la gaine verticale aurait dégagé une chaleur intense. Même si certains des sous-produits de combustion avaient continué d'être aspirés vers la descente de câbles en échelle et dans la gaine de ventilation ébréchée de l'office 2, la majeure partie de ces sous-produits aurait été aspirée vers le haut en panaches flottants brûlants. Ces sous-produits de combustion auraient formé une couche flottante brûlante le long de l'espace inoccupé supérieur, au-dessus du plafond suspendu de la partie avant de la cabine.

Le rideau anti-fumée aurait d'abord empêché la majeure partie des sous-produits de combustion brûlants de se diriger vers l'avant dans l'espace inoccupé du poste de pilotage. Des fuites se seraient produites, qui auraient permis à certains sous-produits de pénétrer dans le compartiment de l'équipage de conduite. Ces mêmes sous-produits de combustion auraient été aspirés dans la descente de câbles des poignées coupe-feu moteur, où de la fumée se serait introduite à l'intérieur du poste de pilotage. On a constaté comme indice d'un tel phénomène la présence de suie sur certaines des surfaces intérieures des morceaux récupérés de l'enveloppe de la descente de câbles.

Les sous-produits de combustion brûlants auraient chauffé par rayonnement l'isolant du plafond et d'autres éléments, notamment ceux situés en dessous de la couche flottante brûlante. Le préchauffage et l'inflammation ultérieure d'autres matériaux se seraient produits, notamment l'inflammation du matériau de recouvrement du matelas isolant recouvert de poly(fluorure de vinyle) (PVF) métallisé et de la bande adhésive pour joints sur les gaines. Se serait alors enflammé l'embout en élastomère de silicone situé à l'extrémité de l'embranchement d'air conditionné se trouvant à environ 30 cm (12 po) derrière la porte du poste de pilotage, au-dessus des panneaux de plafond. Un bris de l'embout aurait provoqué la diffusion ininterrompue d'air conditionné, ce qui n'aurait qu'attisé l'incendie. Le signe que cet embout a bien été ébréché par le feu est la présence de dommages causés par une chaleur intense sur les parties récupérées de l'embranchement où se trouvait l'embout.

Le dégagement d'air conditionné hors de l'embranchement aurait dirigé l'air légèrement vers le haut et latéralement dans le sens de la largeur de l'avion, vers la chambre de tranquillisation de la gaine de ventilation de l'office 1, située à environ 46 cm (18 po) de l'embout d'extrémité. Cette aération par ventilation forcée n'aurait pas seulement refroidi l'air, mais elle aurait également entraîné avec elle des sous-produits de combustion brûlants. Un écoulement d'air chaud (effet de four à convection) se serait fait dans certaines zones le long des lignes de courant. En raison de la géométrie des gaines à cet endroit, l'écoulement se serait fait le long d'un chemin conique conduisant au sommet de la partie exposée de l'office 1. Comme signes d'un écoulement d'air chaud à cet endroit, il y avait la présence de coulisses sur les surfaces inférieures des lisses et des cadres à proximité, et les dommages causés par la chaleur au sommet de l'office 1. On a également constaté des dommages provoqués par une chaleur intense concentrée sur le côté interne des lisses, en face de l'embranchement.

Il est probable que le bris causé par le feu de l'embout en élastomère de silicone de l'embranchement a précédé la défaillance d'au moins un des deux raccords de tuyau flexible de la gaine de ventilation de l'office 1 et y a contribué. Ces tuyaux étaient faits d'un tissu en fibre de verre, qui était imprégné d'un matériau caoutchouteux de couleur rouge ressemblant à de la silicone. Le bris du ou des raccords de tuyau flexible aurait aspiré de l'air et des sous-produits de combustion dans la gaine de ventilation. Cette aspiration aurait attisé l'incendie. Ces raccords de tuyau flexible se seraient rompus durant l'incendie parce que les dommages causés par le feu le long du côté extérieur supérieur de l'office 1 à une hauteur qui correspond à l'un des raccords cessaient brusquement et qu'il y avait des dommages causés par une chaleur intense sur des morceaux de la gaine de ventilation, juste à l'extérieur de l'office 1.

Une chaleur intense dans les espaces inoccupés aurait probablement provoqué la fusion et le bris des attaches en nylon retenant les matelas isolants recouverts de PET métallisé intercalés entre les cadres et recouvrant ces derniers. Il en aurait résulté la chute de parties de matelas isolants ou de matelas isolants complets, exposant au feu une plus grande surface de matériaux recouverts de PET métallisé inflammable. La propagation et l'intensité de l'incendie en auraient été favorisées d'autant.

La couche flottante brûlante au-dessus du plafond suspendu de la partie avant de la cabine se serait écoulée librement vers l'arrière en direction de l'empennage de l'appareil au-dessus du plafond de la cabine. Plusieurs de ces sous-produits de combustion auraient continué d'être aspirés par les prises d'air des ventilateurs de recirculation pendant le fonctionnement de ces systèmes. Après avoir franchi les prises d'air, les sous-produits de combustion se seraient dirigés vers plusieurs endroits dans la cabine. Les traces de suie découvertes sur des pièces comme les supports de fils de même que sur et dans les casiers porte-bagages situés à la référence 1780, indiquent que l'espace inoccupé au-dessus de la cabine a sans doute été envahi de sous-produits de combustion. Pas le moindre indice de fumée n'a été signalé dans la cabine avant l'arrêt des enregistreurs de vol.

2.17.4.8 Progression de l'incendie dans le poste de pilotage

Avant que les pilotes règlent le commutateur CABIN BUS sur OFF à 1 h 23 min 45 s, la circulation d'air au-dessus du plafond suspendu de la partie avant de la cabine se serait sans doute fait principalement vers l'arrière, vers les prises d'air des ventilateurs de recirculation. De la fumée et des sous-produits de combustion se seraient dirigés vers le poste de pilotage. On a trouvé plusieurs dépôts de suie en divers endroits qui indiquent une telle infiltration. C'est vers ce moment que le feu aurait vraisemblablement ébréché l'embout en élastomère de silicone sur un court tronçon d'embranchement d'une gaine du système de conditionnement d'air, situé juste en arrière et au-dessus de la porte du poste de pilotage. Un important volume d'air conditionné aurait pénétré à cet endroit et aurait attisé l'incendie. L'écoulement d'air supplémentaire aurait accéléré rapidement la propagation de l'incendie, comme en témoignent les dommages provoqués par une chaleur intense observés sur les gaines avoisinantes et la structure de l'avion.

Le réglage du commutateur CABIN BUS sur OFF aurait arrêté les ventilateurs de recirculation et provoqué une inversion de l'écoulement d'air au-dessus du plafond suspendu de la partie avant de la cabine. L'écoulement d'air se faisant essentiellement vers l'avant, les sous-produits de combustion brûlants auraient été aspirés vers l'espace inoccupé au-dessus du poste de pilotage.

Il est probable que le rideau anti-fumée affaibli serait devenu complètement inefficace peu après le réglage du commutateur CABIN BUS sur OFF. Bien qu'il soit possible que ce rideau anti-fumée soit devenu inefficace plus tôt, c'est peu probable, car une telle situation aurait vraisemblablement entraîné une défaillance plus rapide du revêtement du plafond du poste de pilotage en plastique thermoformable, lequel fond à des températures relativement basses. Après le bris du rideau anti-fumée, les sous-produits de combustion brûlants auraient alors envahi librement l'espace inoccupé au-dessus du poste de pilotage. Le débit de remplissage aurait sans doute dépassé le débit d'évacuation, entraînant une accumulation rapide et importante de chaleur et de sous-produits de combustion. Les sous-produits de combustion brûlants auraient alors pénétré, envahi et rapidement chauffé les espaces d'air derrière le tableau de distribution avionique, le tableau de distribution supérieur et le boîtier du tableau supérieur. Les matelas isolants recouverts de PET métallisé et de PVF métallisé au-dessus du plafond du poste de pilotage auraient fourni à l'incendie d'autres matières combustibles. Il s'en serait suivi une augmentation de la quantité de fumée qui aurait pénétré dans le poste de pilotage par des passages, comme les fentes des poignées coupe-feu moteur et les diverses découpes dans le revêtement du plafond du poste de pilotage.

L'échauffement rapide des espaces d'air et des éléments électriques derrière les tableaux de distribution et dans d'autres ensembles aurait causé des défauts de fonctionnement aux systèmes de bord. La chaleur aurait déclenché par effet thermique plusieurs disjoncteurs, ce qui explique sans doute bon nombre des anomalies enregistrées par la suite. Par exemple, le débrayage du pilote automatique (AP) 2 était survenu environ 20 secondes après que le commutateur CABIN BUS eut été réglé sur OFF, suivi peu de temps après par une série d'anomalies de système qui ont été enregistrées.

Le côté droit du plafond du poste de pilotage se compose principalement de plusieurs panneaux d'aluminium qui, parallèlement à d'autres pièces métalliques comme les diffuseurs d'air conditionné, auraient empêché le feu et ses sous-produits de combustion de pénétrer dans le poste de pilotage. En revanche, le plafond du poste de pilotage à gauche se compose principalement de panneaux de revêtement qui ramolliraient, s'affaisseraient et fondraient sous l'effet d'une température élevée.

Tandis que le feu pénétrait dans l'espace inoccupé au-dessus du poste de pilotage, la chaleur aurait commencé par toucher les surfaces les plus exposées du revêtement du plafond, juste en avant de la porte du poste de pilotage, en arrière du diffuseur et dans la zone supérieure gauche. Très peu de matériaux de revêtement de ces endroits ont été identifiés dans l'épave. Les rares morceaux qui l'ont été, comme une partie du couvercle et de la charnière du porte-ampoules de rechange (situé dans le plafond à côté de la penderie du poste de pilotage), présentaient des signes de fusion. Plusieurs matériaux de revêtement auraient été entièrement consumés. Des morceaux de revêtement d'autres endroits étaient noircis et brûlés le long de certains bords. D'autres étaient fondus, et certains s'étaient liquéfiés jusqu'à ce que leur épaisseur ait été réduite à celle d'une feuille de papier.

Si l'on se fonde sur l'intensité de la chaleur, il est probable que le bris du revêtement du plafond s'est produit environ une minute après la défaillance du rideau anti-fumée. Le bris du revêtement du plafond correspond sans doute à l'heure où les pilotes ont déclaré l'urgence à 1 h 24 min 42 s. La majeure partie des dommages causés par le feu à la moquette du poste de pilotage était sans doute attribuable à la chute de morceaux de panneaux de plafond fondus. On peut penser qu'une importante quantité de fumée nocive et dense et de sous-produits de combustion brûlants aurait aussitôt pénétré dans le poste de pilotage par les ouvertures pratiquées dans le revêtement du plafond.

Dès le bris du revêtement du plafond, les brèches auraient progressivement pris de l'ampleur, permettant à une plus grande quantité de fumée nocive et dense et de sous-produits de combustion de pénétrer dans le poste de pilotage. La fumée aurait été aspirée par les ouvertures à côté des pédales de direction dans le compartiment avionique. La visibilité dans le poste de pilotage aurait alors été de plus en plus réduite.

Selon toute vraisemblance, le feu a ébréché l'embout en élastomère de silicone situé à l'extrémité d'un embranchement de gaine d'air conditionné, situé au-dessus de l'ensemble inférieur du revêtement du plafond du poste de pilotage à gauche, juste devant la penderie. La bande adhésive pour joints du revêtement isolant installé au-dessus de l'atténuateur de bruit recouvert de PVF métallisé qui maintient l'atténuateur en place au-dessus de l'embout est une source de matière combustible. Aussitôt que la bande adhésive s'est enflammée, l'atténuateur a été détruit et l'embout en silicone s'est enflammé peu de temps après. On a constaté des dommages causés par la chaleur et des signes de fusion sur les bords du revêtement récupéré provenant d'un endroit contigu à l'emplacement de l'embout. La défaillance de l'embout doit avoir entraîné l'expulsion continue d'air conditionné par l'embranchement au-dessus du revêtement du plafond, tout près des matelas isolants recouverts de PET métallisé intercalés entre les cadres et recouvrant ces derniers, ce qui aurait attisé l'incendie. Selon toute vraisemblance, le tuyau flexible conduisant à la buse d'air individuelle, près du centre du revêtement supérieur gauche du plafond du poste de pilotage a lui aussi été ébréché, provoquant un effet analogue.

Des parties d'un cadre du fuselage et de la gaine d'air conditionné situées près du tuyau flexible et de son raccord présentaient des dommages causés par une température intense. Les essais par calorimètre à côneNote de bas de page 118 indiquent qu'un matériau semblable à celui du tuyau flexible en question s'enflamme à un flux de chaleur de 25 kW/m2 (ce qui équivaut à peu près à une température d'équilibre en surface de 591 °C (1 095 °F)), et il est probable que le tuyau flexible n'aurait pas pu résister à des températures aussi élevées. On peut en dire autant du tuyau flexible de l'autre buse d'air individuelle située plus en avant dans le revêtement, à gauche du tableau de distribution supérieur. On a également constaté que le cadre du fuselage situé non loin de là avait été endommagé par une chaleur intense. La défaillance de l'embout en élastomère de silicone et des tuyaux flexibles des buses d'air individuelles a alimenté l'incendie en air conditionné, ce qui a sans doute contribué à une détérioration de l'environnement dans le poste de pilotage.

À mesure que les matériaux de recouvrement au PET métallisé étaient consumés, la nappe ouatée en fibre de verre à l'intérieur des matelas isolants a été exposée, avant d'être sérieusement roussie par les températures élevées et les flammes. L'évacuation forcée d'air conditionné tout près des matelas isolants a vraisemblablement dérangé et disséminé des particules de fibres de verre à partir des surfaces recouvertes de cendres et des endroits moins endommagés sous ces surfaces où le ruban adhésif a été endommagé.

Après les essais de combustion, on a observé la diffusion de nuages de petites particules chaque fois que les matelas isolants brûlés étaient dérangés ou qu'on les enlevait des appareils d'essai.

Le siège du commandant de bord était plus directement aligné sur la zone du revêtement du plafond du poste de pilotage qui a été ébréchée en premier. Un pourcentage plus élevé des sous-produits de combustion s'est écoulé directement vers le siège du commandant et a été aspiré dans le compartiment avionique par les ouvertures des pédales de direction du commandant de bord. La situation dans le poste de pilotage a continué de se dégrader à mesure que les systèmes vacillaient et tombaient en panne sous l'effet de l'incendie.

Finalement, de l'aluminium en fusion a commencé à s'égoutter sur le siège de l'observateur de droite, comme en témoigne la présence de dépôts d'aluminium resolidifié trouvés sur des morceaux de siège récupérés. Un dépôt d'alliage d'aluminium 2024 a été trouvé sur une vis du côté droit du socle du siège, de même que sur la ceinture abdominale droite. Il y avait également des traces d'autres dépôts d'aluminium juste à côté du dépôt d'alliage d'aluminium 2024 sur la ceinture. Il n'a pas été possible de déterminer le type d'alliage(s) sur ces traces, en raison de la quantité insuffisante de matériaux à analyser. Par ailleurs, un dépôt d'alliage d'aluminium 6061 a été trouvé sur le disjoncteur correspondant à ce siège, situé près de l'angle arrière droit du socle du siège.

Il n'a pas été possible de déterminer de manière concluante l'origine des dépôts d'aluminium; toutefois, les sources possibles d'où les dépôts d'alliage d'aluminium 2024 ont pu s'égoutter sur le siège de l'observateur de droite sont limitées. Si l'on suppose que l'intégrité du plafonnier et des diffuseurs en alliage d'aluminium 6061 n'a pas été compromise durant l'incendie, la seule grande brèche qui pouvait être pratiquée dans le plafond juste au-dessus du siège de l'observateur de droite se trouvait le long d'une zone rectangulaire étroite composée essentiellement de revêtement de plafond. Cette zone mesure environ 7,5 cm (3 po) de largeur sur 76 cm (30 po) de longueur. Des dommages causés par une chaleur intense sont manifestes sur des parties des morceaux récupérés des diffuseurs et des cadres du fuselage situés en contre-haut. La majeure partie du bord supérieur des morceaux du tableau de distribution avionique récupérés présentait également des dommages causés par une chaleur intense.

Une source possible connue d'alliage d'aluminium 2024 est le capuchon AN 929-6 situé sur la conduite d'alimentation en oxygène de l'équipage, à la référence 374. Le capuchon d'extrémité est situé au-dessus et juste à côté (à environ 2,5 cm (1 po)) de la section rectangulaire étroite décrite ci-dessus. Ce capuchon de conduite d'alimentation en oxygène est aligné verticalement sur le rebord droit du siège de l'observateur de droite, près de l'emplacement de la ceinture abdominale droite et du côté droit du socle du siège, lorsque le siège est orienté vers l'avant et que les appuis-bras sont à la verticale. Des coulisses ont été trouvées le long des bords inférieurs du cadre du fuselage, juste au-dessus de la référence 374, et à côté du capuchon, ce qui démontre que cet emplacement a été exposé à des températures élevées.

Les essais effectués sur le capuchon de la conduite d'alimentation en oxygène ont révélé qu'avant que le capuchon ne se mette à fuir ou se brise, il fallait qu'il soit exposé à des températures élevées pendant plusieurs minutes (voir la rubrique 1.14.13). Ces températures élevées étaient inférieures à la température à laquelle des signes de fusion externe étaient visibles sur le capuchon. C'est pourquoi si l'on prend l'heure à laquelle le commutateur CABIN BUS a été réglé sur OFF comme point de repère du moment où une chaleur intense a envahi l'espace inoccupé au-dessus du poste de pilotage (environ huit minutes trente secondes avant l'impact), le moment le plus probable où le capuchon a fondu correspond vraisemblablement aux dernières minutes du vol.

Si de l'oxygène pur s'était échappé du capuchon durant l'incendie, il aurait incontestablement intensifié l'incendie de façon rapide et spectaculaire. Il s'en serait suivi rapidement la défaillance complète du capuchon. Dans ce cas, il y aurait eu une perte de pression dans la conduite, ce qui aurait interrompu subitement l'alimentation des masques à oxygène des deux pilotes. De plus, la mise à l'air libre complète de la conduite aurait mené rapidement à l'embrasement général du poste de pilotage, ou à une conflagration intense, ou les deux. On a trouvé peu de traces matérielles de dommages causés par des températures élevées à l'intérieur du poste de pilotage; il est donc probable que, si cette situation s'était réellement produite, elle aurait duré très peu de temps et serait survenue immédiatement avant l'impact.

2.18 Défaillances techniques connues

Pour les pilotes, la première indication d'une défaillance liée aux systèmes a été le débrayage du pilote automatique à 1 h 24 min 9 s (voir la rubrique 1.18.8.6). Vingt-quatre secondes plus tôt, à 1 h 23 min 45 s, le commandant de bord avait réglé le commutateur CABIN BUS sur OFF. Ce réglage est la première mesure à prendre d'après la liste de vérifications de Swissair en cas de fumée ou d'émanations d'origine inconnue. Il semble que, jusque-là, les conditions à l'intérieur du poste de pilotage étaient telles que les pilotes avaient l'impression qu'ils étaient en présence de fumée provenant d'une source de conditionnement d'air.

Les essais relatifs à la circulation de l'air ont montré qu'une fois les ventilateurs de recirculation arrêtés, comme ce serait le cas lorsque le commutateur CABIN BUS est réglé sur OFF, la circulation de l'air dans l'espace inoccupé avant allait principalement en sens inverse, de sorte qu'au lieu d'aller vers l'arrière en direction des ventilateurs, une bonne partie de l'air se dirigeait vers l'avant dans l'espace inoccupé du poste de pilotage, puis vers le bas en passant du poste de pilotage au compartiment avionique situé sous ce dernier.

Entre le moment où le commandant de bord a réglé le commutateur CABIN BUS sur OFF, à 1 h 23 min 45 s, et le moment où les enregistreurs de bord ont cessé d'enregistrer, à 1 h 25 min 41 s, les effets de l'incendie dans le poste de pilotage ont commencé, ce qu'a confirmé la succession rapide des défaillances liées aux systèmes. Les conditions à l'intérieur du poste de pilotage ont aussi commencé à se détériorer rapidement, une quantité croissante de fumée, de chaleur et de flammes pénétrant dans le poste de pilotage par le plafond.

Les défaillances des systèmes qui se sont produites jusque-là doivent avoir réduit la capacité des pilotes à maîtriser l'avion et à naviguer, surtout qu'il faisait nuit, qu'il y avait de la fumée dans le poste de pilotage et qu'on se trouvait en conditions météorologiques de vol aux instruments. La perte du pilote automatique a alourdi la charge de travail des pilotes, et le fait d'entendre le klaxon d'avertissement doit avoir été troublant; le klaxon du pilote automatique a retenti jusqu'à ce que le CVR cesse de fonctionner. Le voyant d'avertissement principal doit s'être allumé au moment de la perte du canal A du calculateur de commandes de vol 1, à 1 h 24 min 57 s; on ne sait si les pilotes avaient réinitialisé le voyant d'avertissement principal. La perte du bus c.a. d'urgence de gauche à 1 h 25 min 06 s aurait, en partie, entraîné la perte des écrans d'affichage 1 et 3 du commandant de bord. L'écran d'affichage 2 afficherait un X rouge, et le voyant d'avertissement principal s'allumerait. Là encore, on ne sait pas si les pilotes avaient réinitialisé ce voyant mais, s'ils l'ont fait, la perte du réchauffage Pitot du commandant de bord, environ 10 s plus tard, l'aurait rallumé. Ces défaillances auraient été accompagnées d'un grand nombre d'alertes, de signaux et de messages d'anomalie. Le fait d'avoir à s'occuper d'un tel nombre de défaillances et de messages aurait créé de la confusion et de la distraction, et il aurait été difficile d'y faire face.

La perte des trois écrans d'affichage du copilote, à environ 1 h 25 min 30 s, aurait forcé ce dernier à se servir des instruments de secours pour maintenir l'orientation spatiale de l'avion (voir la rubrique 1.18.8.21). La transition aux instruments de secours aurait constitué un défi, à cause de la petite taille de ces instruments et de leur position les uns par rapport aux autres, surtout dans le contexte de la détérioration des conditions (épaississement de la fumée et hausse de la chaleur) dans le poste de pilotage.

À ce moment-là, même si le commandant de bord avait réussi à récupérer toutes les données de l'écran principal de vol, comme l'assiette, la vitesse, le cap et l'altitude de l'avion sur l'écran d'affichage 2, les écrans d'affichage 1 et 3 ne fonctionnaient plus, et il aurait été impossible de rétablir ces deux écrans. Même si les trois bus d'alternateur de 115 V c.a. fonctionnaient au moment de l'impact, les dommages causés par l'incendie aux bus de distribution, aux fils et aux câbles ainsi qu'aux disjoncteurs ont perturbé l'alimentation électrique à certains systèmes, si ce n'est à tous (si l'écran d'affichage 2 était perdu), qui fournissaient les données principales sur l'assiette, assuraient la navigation et les communications et exécutaient diverses autres fonctions. Par conséquent, les pilotes auraient eu à exécuter une multitude de tâches, dont bon nombre étaient hautement anormales, alors que les conditions se détérioraient rapidement dans le poste de pilotage.

2.19 Dernières minutes suivant l'arrêt des enregistreurs

Les cinq dernières minutes trente-sept secondes du vol, c'est-à-dire à partir du moment où les enregistreurs de vol ont cessé de fonctionner à 1 h 25 min 41 s, n'ont pas été enregistrées sur le FDR ou le CVR. Dans la mesure du possible, les événements ont été reconstitués au moyen des données du radar primaire au sol, des données de la mémoire permanente des régulateurs automatiques à pleine autorité redondante (FADEC), des enregistrements du contrôle de l'ATC, des déclarations des témoins et de l'examen de l'épave.

Une analyse des dommages causés par la chaleur, observés sur le poste de pilotage reconstruit, alliée au scénario probable de la propagation de l'incendie, démontre que l'incendie a gagné en intensité au cours des six dernières minutes du vol. La quantité de fumée et l'intensité de la chaleur et de l'incendie dans le poste de pilotage ont continué à augmenter.

À 1 h 25 min 50 s, soit environ huit secondes après l'arrêt des enregistreurs de bord, il y a des indications selon lesquelles les pilotes ont fait passer la source des données du calculateur ADC-1 au calculateur ADC-2 (voir la rubrique 1.18.8.26). Ils ont vraisemblablement agi ainsi pour tenter de rétablir certains instruments de vol perdus. L'examen des fils montre que le bus c.a. d'urgence de gauche qui alimentait l'ADC-1 avait subi un arc électrique, lequel aurait interrompu son alimentation, entraînant la perte de l'ADC-1. Lorsque les pilotes ont sélectionné l'ADC-2, celui-ci a provisoirement rétabli les données sur l'altitude du transpondeur en mode C, lesquelles indiquaient que l'avion se trouvait à 9 700 pi d'altitude. À 1 h 26 min 4 s, le transpondeur de l'avion a cessé d'émettre des données pour le reste du vol. Le radar de l'ATC a continué d'enregistrer la route suivie par l'avion sur le radar primaire jusqu'à ce que celui-ci disparaisse de l'écran radar environ 10 secondes avant de s'abîmer en mer.

Dans leur avant-dernier message à l'ATC, à 1 h 24 min 53 s, les pilotes ont déclaré qu'ils commençaient à larguer du carburant. D'après les comptes rendus des témoins, ils auraient amorcé le largage de carburant après l'arrêt des enregistreurs. Par ailleurs, le robinet d'isolement du réservoir auxiliaire a été trouvé fermé, ce qui est normal une fois le largage de carburant commencé. Les robinets vide-vite étaient fermés au moment de l'impact, indiquant que les pilotes avaient cessé de larguer du carburant.

Avant l'arrêt des enregistreurs, on entend les pilotes indiquer qu'ils doivent atterrir sans plus tarder. Malgré cela, l'avion a poursuivi sa route vers le sud, s'éloignant de l'aéroport et se dirigeant vers l'océan. Voilà qui donne à penser que la situation dans le poste de pilotage s'était rapidement détériorée, à tel point que les pilotes n'étaient plus en mesure de naviguer. Ils avaient sans doute perdu presque toute capacité de navigation électronique, et la quantité croissante de fumée pénétrant dans le poste de pilotage doit avoir progressivement obstrué la visibilité vers l'avant et empêché tout pilotage à vue, surtout la nuit dans une zone inconnue, une couverture nuageuse se trouvant à proximité.

L'avion a poursuivi sa descente en virant sur la droite alors qu'il survolait la localité de Blandford (Nouvelle-Écosse). Des témoins au sol ont affirmé avoir entendu un bruit ayant une fréquence de battement répétitif et émis à un rythme constant qu'il était possible d'entendre malgré le bruit strident des moteurs. C'est à peu près à ce moment que le moteur 2 a été coupé; toutefois, il a été impossible d'expliquer ce « battement répétitif ». Les témoins ont également affirmé avoir vu plusieurs feux de l'avion, signe qu'au moins certains des circuits électriques de l'appareil fonctionnaient encore. C'est ce qu'a confirmé l'examen de certains systèmes, comme les pompes carburant et les ventilateurs, dont les pièces tournantes présentaient des signes de fonctionnement au moment de l'impact. L'examen des pièces a montré que les trois bus d'alternateur étaient alimentés au moment de l'impact.

Peu de temps après avoir franchi le littoral de la Nouvelle-Écosse, l'avion a amorcé un virage sur la droite. Même s'il y a des signes que la fenêtre coulissante du commandant était probablement déverrouillée, il est impossible de savoir quand cette fenêtre a été ouverte, advenant qu'elle ait été ouverte. À un moment donné, les pilotes ont sorti les volets en fonction du réglage DIAL-A-FLAP présélectionné de 15°. Lorsqu'ils ont coupé le moteur 2 à environ 1 800 pi d'altitude, soit environ une minute avant l'impact, la vitesse vraie était d'environ 227 nœuds. La vitesse descensionnelle juste avant ce moment a été estimée à environ 2 000 pi par minute.

On ignore la raison pour laquelle le moteur 2 a été coupé avant l'impact. Une explication possible pourrait être le fait que l'équipage avait reçu une fausse indication d'incendie. Un court-circuit du fil de masse dans la poignée de l'extincteur 2 peut entraîner l'allumage des témoins de cette poignée et du commutateur d'alimentation en carburant du moteur 2. Le fil de masse n'a pas été identifié; toutefois, il se trouvait à un endroit fortement endommagé par la chaleur et le feu. On a constaté qu'un des livrets des listes de vérifications d'urgence du poste de pilotage a subi des dommages mineurs dus à la chaleur à la page décrivant la procédure en cas d'incendie moteur; toutefois, on ne sait si la liste de vérifications était en train d'être consultée au moment de l'arrêt du moteur. La fermeture du commutateur FUEL fait partie de cette procédure de vérifications.

L'environnement dans la cabine était sans doute beaucoup moins pénible que dans le poste de pilotage. Même si l'on a noté des traces de suie dans l'espace inoccupé situé derrière le principal foyer d'incendie, il n'y avait pas de signe de chaleur notable dans l'espace inoccupé situé derrière les sièges de première classe. Les panneaux de plafond dans la cabine ont une forte résistance au feu et à la pénétration de la chaleur et ils ont sans doute protégé la cabine contre les effets de l'incendie. De la fumée a sans doute pénétré dans la cabine durant les dernières minutes du vol, surtout dans la partie avant.

On ignore si les extincteurs à bord ont été utilisés pour lutter contre l'incendie. À l'examen, on a déterminé que, selon toute vraisemblance, aucun des deux extincteurs portatifs à poudre chimique de 5 livres installés dans la cabine n'avait été utilisé. On peut en dire autant de trois des six extincteurs portatifs au halon de 2,5 livres; toutefois, l'état de charge des trois autres extincteurs au halon n'a pu être déterminé en raison des dommages matériels qu'ils avaient subis. Si quelqu'un avait tenté de lutter contre l'incendie, on peut penser que le maître de cabine aurait participé à la tentative; or, le maître de cabine était assis au moment de l'impact et sa ceinture de sécurité était bouclée.

Un des passagers, qui était pilote, portait un gilet de sauvetage au moment de l'impact. Rien n'indique que quelqu'un d'autre ait revêtu son gilet de sauvetage, même s'il a été impossible de tirer des conclusions définitives dans la plupart des cas. On ignore si ce passager avait revêtu son gilet de sauvetage de son propre chef ou à la suite d'une consigne. S'il a revêtu son gilet de sauvetage de lui-même, c'est qu'il a dû être en mesure de discerner ou de déduire que l'avion se trouvait au-dessus de l'eau et qu'il risquait de faire un amerrissage d'urgence. Si, au contraire, il a suivi une consigne de l'équipage, c'est qu'un amerrissage forcé était prévu. En pareil cas, le maître de cabine aurait dû porter son gilet de sauvetage, ce qui n'est pas le cas; d'où la conclusion qu'aucune consigne n'avait été donnée en prévision d'un amerrissage forcé.

Au cours des dernières minutes du vol, à part de peut-être disposer d'un cap généré électroniquement sur l'écran d'affichage (DU) 2, les pilotes ne disposaient d'aucun instrument électronique pour se rendre jusqu'à l'aéroport, et ils auraient été contraints d'envisager d'autres solutions, comme un atterrissage forcé ou un amerrissage forcé. D'après l'examen de l'épave, on sait que l'incendie dans le poste de pilotage a laissé des traces de dommages causés par la chaleur dont la température était comprise entre 482 et 538 °C (900 et 1 000 °F) à l'avant du tableau de distribution avionique et sur la structure des diffuseurs d'air juste au-dessus du plafond du poste de pilotage. Il y avait des indications selon lesquelles un matériau en fusion s'était égoutté sur la moquette et le recouvrement du siège de l'observateur de droite. L'incendie était en train de gagner le siège du pilote depuis l'arrière du poste de pilotage. Les importants dépôts de suie et les dommages causés par la chaleur de certains des matériaux du poste de pilotage indiquent que la visibilité était considérablement réduite dans le poste de pilotage. Il a été impossible de déterminer si l'extincteur du poste de pilotage avait été utilisé.

Le siège du copilote était occupé au moment de l'impact; le siège du pilote était en position d'évacuation. Même si l'indicateur d'assiette de secours indiquait que l'avion était dans un piqué de 20° et une inclinaison latérale de 110° à droite au moment de l'impact, il a été impossible de déterminer si ces indications représentaient l'assiette réelle de l'avion au moment de l'impact. Les dommages structuraux étayent une position de piqué d'environ 20° et une inclinaison latérale de plus de 60° à droite. Si les pilotes n'étaient pas frappés d'incapacité et qu'ils tentaient toujours de reprendre le contrôle de l'avion, cette constatation porte à croire que, dans la dernière minute du vol, ils avaient perdu toute orientation par rapport à l'horizon. Cette situation n'aurait rien eu de surprenant, compte tenu de l'absence d'instruments de référence et du manque de repères visuels à l'extérieur de l'avion. Peu importe qu'il y ait eu une intervention du pilote au moment de l'impact, l'avion n'était pas en vol contrôlé.

2.20 Profils de descente d'urgence réel et théorique

2.20.1 Généralités

La présente section porte sur le profil de vol réel de SR 111 et le profil théorique optimal de descente d'urgence. Les calculs théoriques ont été effectués uniquement pour fournir une ligne de base de référence théorique, sans qu'on tienne compte des indices sur lesquels ont reposé les décisions prises par l'équipage de conduite. On n'a pas non plus tenu compte des facteurs défavorables qui auraient pu avoir de graves répercussions sur la capacité des pilotes à maintenir un profil de descente optimal et à faire atterrir l'apparei(DIT2-3).

2.20.2 Heure d'atterrissage la plus hâtive possible

Les calculs théoriques démontrent que, si une descente d'urgence avait été amorcée à partir du point optimal à 1 h 14 min 18 s, l'heure d'atterrissage la plus hâtive possible aurait été 1 h 27. Cette heure d'atterrissage n'aurait été possible que s'il n'y avait pas eu de défectuosités techniques ou un environnement malsain dans le poste de pilotage entravant la capacité des pilotes à piloter et à configurer l'avion pour en tirer les performances optimales. Tout écart par rapport à ces conditions « idéales » entraînerait une heure d'atterrissage plus tardive du fait que l'avion devrait effectuer des manœuvres supplémentaires hors de la route directe vers l'aéroport ou qu'il atteindrait l'aéroport à une altitude ou à une vitesse trop élevées pour pouvoir atterrir.

2.20.3 Effet des défaillances dues à l'incendie sur l'atterrissage

À 1 h 24 min 9 s, soit près de trois minutes avant l'heure d'atterrissage la plus hâtive possible, l'avion avait commencé à subir une succession de plus en plus rapide de défaillances de systèmes. Les pilotes ont déclaré une situation d'urgence à 1 h 24 min 42 s, soit un peu plus de deux minutes avant l'heure théorique d'atterrissage la plus hâtive possible. Plusieurs autres défaillances de systèmes, notamment la perte des écrans d'affichage du copilote et l'arrêt des communications avec les ATS, étaient survenues une minute plus tard (1 h 25 min 42 s), juste avant l'arrêt des enregistreurs de bord.

Au moment où les enregistreurs ont cessé de fonctionner, l'environnement dans le poste de pilotage se détériorait rapidement. L'incendie était en train de gagner tout le poste de pilotage depuis le plafond. Juste avant que les enregistreurs cessent de fonctionner, les pilotes avaient indiqué qu'ils devaient atterrir immédiatement; toutefois, ils avaient apparemment perdu la capacité de naviguer, car ils n'avaient pas mis le cap sur l'aéroport. À un moment donné au cours des cinq dernières minutes, les becs de bord d'attaque de l'avion sont devenus inutilisables. Si l'on se fonde sur les dommages causés par la chaleur aux fils et aux disjoncteurs connexes, il se pourrait que les déporteurs-sol automatiques, les servofreins et le dispositif antipatinage soient tombés en panne avant que l'avion puisse atterrir. Dans les circonstances, il aurait été impossible d'arrêter l'avion dans sa course sur la piste existante, même s'il avait réussi à atterrir.

Compte tenu de ces éléments, il est évident que, même si les pilotes avaient tenté un déroutement d'urgence d'une durée minimale à compter de 1 h 14 min 18 s, ils n'auraient pas réussi à maintenir le contrôle de l'avion le temps nécessaire pour atteindre l'aéroport et effectuer un atterrissage en toute sécurité.

2.20.4 Calculs théoriques sur la descente d'urgence

Par pure coïncidence, l'heure à laquelle il aurait fallu amorcer une descente d'urgence pour atteindre le profil théorique optimal de descente d'urgence afin d'atterrir à l'aéroport international de Halifax correspondait à l'heure réelle de la communication du message radio Pan Pan. Tout retard dans la descente signifierait que l'avion se trouverait au-dessus du profil idéal de descente. Durant la communication du message radio Pan Pan, le commandant de bord avait demandé un déroutement et avait proposé Boston. Ce n'est qu'une minute et vingt-cinq secondes plus tard que les événements suivants se sont déroulés : le contrôleur a proposé Halifax comme aéroport de déroutement, les pilotes ont évalué la situation et accepté Halifax et ils ont amorcé une descente rapide, mais non une descente d'urgence.

Pendant ce temps, l'avion volait dans la direction générale de l'aéroport international de Halifax à une vitesse supérieure à 8 milles marins (nm) à la minute. À partir du point d'amorce réel de la descente, les pilotes n'auraient pas été en mesure de positionner l'appareil pour qu'il atterrisse sur la piste 06 sans effectuer des manœuvres hors route pour perdre de l'altitude et ralentir à la vitesse appropriée. Dans le meilleur des cas, ces manœuvres supplémentaires auraient ajouté deux ou trois minutes au délai d'atterrissage. Vraisemblablement, les pilotes auraient dû effectuer une manœuvre comme un virage de 360° ou ils auraient dû atterrir sur une autre piste. Dans un cas comme dans l'autre, plusieurs minutes se seraient ajoutées à l'heure d'atterrissage la plus hâtive possible, et les effets de l'incendie auraient exclu toute possibilité d'un atterrissage en toute sécurité.

À environ 1 h 25 min, lorsque l'incendie à bord n'a plus fait l'ombre d'un doute dans le poste de pilotage, l'avion se trouvait à environ 25 nm de l'aéroport, à une altitude d'environ 10 000 pi et à une vitesse d'environ 320 nœuds. Il volait en direction sud, en éloignement de l'aéroport. Dans le meilleur des cas, à partir de ce point, il aurait fallu au minimum six minutes pour atteindre la piste.

Les calculs théoriques confirment qu'à partir de n'importe quel point situé le long de la trajectoire de vol après le début de la descente de l'avion, il n'aurait pas été possible pour les pilotes de conserver la maîtrise pendant le temps qu'il leur aurait fallu pour atteindre l'aéroport et effectuer un atterrissage.

2.21 Début de l'incendie

Une évaluation des renseignements disponibles indiquent que l'incendie s'est probablement déclaré dans un endroit relativement petit, situé au-dessus du plafond arrière droit du poste de pilotage, tout juste devant la paroi arrière du poste de pilotage, près de la référence 383. Bien que d'autres endroits potentiels aient été évalués, on n'a trouvé aucun autre endroit qui puisse expliquer de façon aussi complète les premiers signes d'odeur, puis la présence de la fumée et enfin la propagation de l'incendie. Les éléments suivants permettent d'étayer le fait que l'incendie s'est déclaré et propagé à partir de cet endroit précis :

  • la présence de fils électriques comme sources potentielles d'inflammation et le matelas isolant recouvert de PET métallisé facilement inflammable;
  • l'environnement connu du poste de pilotage et de la cabine;
  • la durée pendant laquelle l'incendie s'est propagé à partir du moment où il a été décelé jusqu'à ce que se produisent les défaillances de divers systèmes de bord causées par l'incendie;
  • les trajets suivis par la circulation de l'air;
  • les types de dommages causés par la chaleur et l'incendie.

Là où l'incendie s'est probablement déclaré, l'amorçage d'arc d'un fil constitue la seule source d'inflammation plausible. Plusieurs faisceaux contenant des centaines de fils, dont les quatre câbles de bloc d'alimentation du RDB et le fil de commande de calibre 16 AWG, traversaient cet endroit (voir la rubrique 1.6.1.4). Selon toute probabilité, l'incendie s'est déclaré à la suite de l'amorçage d'arc d'un fil qui a enflammé des matelas isolants recouverts de PET métallisé situés à proximité. Ces matelas isolants recouverts de PET métallisé s'enflamment facilement et ils étaient largement utilisés à cet endroit (voir la rubrique 1.16.8).

De tous les fils et câbles qui se trouvaient à cet endroit, le seul fil endommagé par un arc électrique qui a pu être positionné à cet endroit avec une certaine précision était la paire de câbles 1-3791/1-3793 du bloc d'alimentation du RDB (voir la rubrique 1.14.11.2). Bien qu'il soit possible que d'autres fils se trouvant à cet endroit et qui n'ont pas été retrouvés aient aussi subi des amorçages d'arc, le seul amorçage d'arc connu à cet endroit est l'amorçage d'arc avant sur la pièce produite 1-3791, située tout juste devant la référence 383.

On a procédé à une évaluation pour déterminer si l'amorçage d'arc avant sur la pièce produite 1-3791 était le résultat de dommages causés par l'incendie, ce qui signifierait qu'il ne serait pas l'événement déclencheur. Cette possibilité a été jugée peu probable. Pour que l'amorçage d'arc avant sur la pièce produite 1-3791 soit considéré comme étant le résultat de dommages causés par l'incendie, ce dernier aurait dû se déclarer à partir d'un autre amorçage d'arc non lié à l'endroit en question, et l'incendie aurait eu besoin d'être entretenu suffisamment longtemps à cet endroit pour faire fondre et entamer l'isolant en ETFE du fil au point d'amorçage d'arc avant sur la pièce produite 1-3791. Pour qu'un amorçage d'arc se produise à cet endroit, il fallait que le fil ébréché soit en contact avec une structure de l'avion mise à la masse ou un fil de potentiel électrique différent dont l'isolant aurait été entamé par le feu. Il est peu probable qu'un incendie ciblerait un seul fil (pièce produite 1-3791) pour entamer son isolant et entamer un autre fil voisin pour créer des conditions susceptibles de produire un arc électrique sans aussi entamer l'isolant d'au moins quelques-uns des cinq fils de la paire de câbles 1-3791/1-3793. Il est peu probable que l'isolant de ces cinq autres fils ait été entamé à cet endroit, puisque ces derniers ne présentaient aucun signe d'amorçage d'arc à ce même endroit.

Les parties avant des câbles de bloc d'alimentation 1-3790/1-3792 et le fil de commande de calibre 16 AWG n'ont pas été identifiés et il se peut qu'ils n'aient pas été retrouvés. Par conséquent, à l'endroit où l'amorçage d'arc avant s'est produit sur le câble 1-3790 du bloc d'alimentation, on ne sait si cet arc électrique s'est produit sur la paire de câbles 1-3790/1-3792 ou sur le fil de commande de calibre 16 AWG. Toutefois, comme ces deux câbles de bloc d'alimentation et le fil de commande de calibre 16 AWG ont par la suite subi des arcs électriques à des endroits situés à au moins 50 cm (20 po) plus loin vers l'arrière, tout amorçage d'arc qui se serait produit à l'avant n'avait pas entraîné le déclenchement du disjoncteur connexe.

Compte tenu du nombre de circonstances et d'événements improbables qui auraient été nécessaires, un scénario mettant en cause des dommages causés par un incendie menant à un amorçage d'arc avant sur la pièce produite 1-3791 à la référence 383 ne peut se justifier.

Si l'amorçage d'arc avant sur la pièce produite 1-3791 n'est pas le résultat de dommages causés par l'incendie, un autre scénario possible est que l'arc électrique se serait produit au même moment que l'amorçage d'arc déclencheur de l'incendie; c'est-à-dire qu'il aurait été associé à l'amorçage d'arc déclencheur de l'incendie, soit seul, en combinaison avec l'amorçage d'arc sur un ou plusieurs autres fils, soit comme dommage indirect lié à un amorçage d'arc sur un ou plusieurs fils voisins. Dans aucun de ces scénarios l'arc électrique n'a été suffisamment intense pour déclencher le disjoncteur connexe.

L'amorçage d'arc avant sur la pièce produite 1-3791 a fait l'objet d'une évaluation visant à déterminer s'il était lui-même l'élément déclencheur de l'incendie. Pour qu'il soit le seul élément déclencheur de l'incendie, il aurait fallu que le fil soit d'abord endommagé, par exemple à la suite d'une usure par frottement, à l'emplacement de l'arc électrique pour exposer le conducteur. Il aurait ensuite fallu que le conducteur exposé soit en contact avec la structure mise à la masse de l'avion pour que se produise un amorçage d'arc électrique. Même s'il avait été possible de positionner le segment de câble (pièce produite 1-3791) et, par conséquent, l'arc électrique avant de façon relativement précise, l'ampleur et la nature des dommages nécessitaient une interprétation. Cette interprétation admettait un petit nombre d'emplacements possibles pour le positionnement des fils, comme l'indique la rubrique 1.14.11.2. À l'extrémité avant de ces emplacements possibles, l'arc électrique était positionné de manière qu'il y ait contact avec le support de fils en aluminium. Toutefois, l'usure par frottement d'un fil en lui-même sur ce support ne produirait pas un arc électrique, puisque le support était isolé de la structure de l'avion par une entretoise en nylon et qu'il n'y aurait eu aucun chemin électrique vers la masse.

On a retrouvé de l'aluminium sur une perle en cuivre adhérant aux torons de fils, un peu à l'écart du point principal d'amorçage d'arc sur la perle d'arc électrique de la pièce produite 1-3791, ce qui porte à croire que l'arc électrique aurait pu avoir été causé par un contact avec de l'aluminium. Un amorçage d'arc avec le support en aluminium ne serait possible que si deux conducteurs exposés avaient été en contact avec le support. Il y aurait alors eu possibilité d'amorçage d'arc car l'aluminium est un bon conducteur d'électricité. Un tel scénario signifierait, par exemple, que deux fils de phase d'un câble de bloc d'alimentation se seraient usés séparément sur ce même support jusqu'à ce que leurs conducteurs soient exposés. Cette hypothèse ne peut être écartée; par contre, aucun autre renseignement ne permet de l'étayer. Le support n'a pas été identifié dans l'épave, ni les deux câbles de bloc d'alimentation qui restaient, le fil de commande de calibre 16 AWG ou d'autres fils de l'avion se trouvant à cet endroit qui auraient pu être en cause.

Un autre scénario d'amorçage d'arc ayant déclenché l'incendie mettant en cause l'amorçage d'arc avant de la pièce produite 1-3791 serait que l'arc électrique se serait produit directement à la suite du contact avec un autre fil de potentiel électrique différent. Ce pourrait être un fil de l'avion ou un autre fil du RDB. Dans un cas comme dans l'autre, les deux fils auraient dû être endommagés au point de l'amorçage d'arc pour que leurs conducteurs dénudés se touchent. Comme les fils RDB à la référence 383 étaient acheminés séparément et non dans un faisceau de fils existant, il est moins probable que les fils du RDB puissent avoir été en contact avec des fils de l'avion à l'endroit précis où l'incendie s'est déclaré; par conséquent, les fils les plus probables pour ce scénario seraient les autres fils se trouvant dans le faisceau des quatre câbles de bloc d'alimentation et le fil de commande de calibre 16 AWG. On sait que les autres fils de la paire 1-3791/1-3793 n'ont pas subi d'amorçage d'arc à cet endroit situé à l'avant. Toutefois, les fils d'une autre paire de câbles de bloc d'alimentation et le fil de commande de calibre 16 AWG à cet endroit n'ont pas été identifiés. Par conséquent, on ne peut écarter l'hypothèse que les fils de l'avion et les autres fils RDB aient pu être en cause.

Des dommages à deux fils ou plus dans un faisceau peuvent être causés par contact frottant avec la structure de l'avion, par des dégâts accidentels au cours de l'installation ou de l'entretien subséquent, ou par la présence de particules comme des rognures de métal qui pourraient couper l'isolant des deux fils et exposer leur conducteur. Une rognure de métal pourrait aussi agir comme conducteur. Dans un cas comme dans l'autre, l'amorçage d'arc qui a été produit sur tous les câbles de bloc d'alimentation et sur le fil de commande de calibre 16 AWG confirme que tout amorçage d'arc qui se serait produit près de la référence 383 n'a pas déclenché le disjoncteur connexe.

On a procédé à une évaluation pour déterminer si des dommages causés par l'amorçage d'arc avant sur la pièce produite 1-3791 pourraient avoir été causés par des dommages indirects, soit des dommages dus à un amorçage d'arc sur d'autres fils se trouvant dans le voisinage immédiat selon une intensité suffisante pour entamer l'isolant d'au moins deux autres fils, y compris la pièce produite 1-3791. Pour que cette situation se produise, les fils de l'élément déclencheur auraient dû se trouver très proches de l'arc électrique avant sur la pièce produite 1-3791. Un amorçage d'arc d'une intensité suffisante pour endommager d'autres fils aurait vraisemblablement déclenché les disjoncteurs connexes. Aucun des disjoncteurs du RDB ne s'est déclenché au moment de l'amorçage d'arc déclencheur de l'incendie (un amorçage d'arc subséquent s'est produit sur tous les câbles de bloc d'alimentation et sur le fil de commande de calibre 16 AWG); par conséquent, si un tel amorçage d'arc s'est produit, les fils du RDB n'ont pas été touchés. Un tel amorçage d'arc initial aurait touché des fils de l'avion, mais il n'aurait causé aucun problème électrique observable par les pilotes et il n'aurait pas été enregistré par le FDR. Bien qu'on ne puisse écarter l'hypothèse que la pièce produite 1-3791 ait subi des dommages indirects, elle semble peu probable.

Il n'a pas été possible de déterminer comment l'isolant au point d'amorçage d'arc avant sur la pièce produite 1-3791 a d'abord été entamé, ni avec quoi ce fil est entré en contact, comme la structure ou un autre fil, pour causer l'arc électrique. Même si les renseignements disponibles indiquent que l'amorçage d'arc avant sur la pièce produite 1-3791 s'est produit au moment de l'événement qui a donné naissance à l'incendie, et là où l'incendie s'est le plus probablement déclaré, il n'est pas possible de conclure que l'amorçage d'arc avant sur la pièce produite 1-3791 a été l'amorçage d'arc déclencheur de l'incendie. Selon toute vraisemblance, au moins un autre fil a été mêlé à cet amorçage d'arc initial; toutefois, il n'a pas été possible de déterminer s'il s'agit d'un ou de plusieurs fils du RDB, d'un ou de plusieurs fils de l'avion ou d'une combinaison des deux.

Un ou des amorçages d'arc sont à l'origine de l'incendie; toutefois, cet amorçage d'arc n'aurait pas menacé l'avion s'il ne s'était pas trouvé à proximité d'un matériau facilement inflammable. La présence d'importantes quantités de matières inflammables a permis à l'incendie de se propager et de gagner rapidement en intensité, ce qui a mené à la perte de contrôle de l'avion.

Date de modification :