23.331 - Analyse de l'expérience en service et conclusions

Après avoir analysé l'implication possible du système DME du F-GGED dans le mécanisme de l'accident, la commission a conclu qu'un éventuel dysfonctionnement de ce système ne pouvait être invoqué ni comme générateur possible, ni comme facteur contributif dans l'accident.

Cependant, à 1 'occasion des investigations, techniques conduites pour analyser les dysfonctionnements possibles du DME Collins700, la commission a constaté l'existence de multiples modes de défaillance sur cet équipement.

A l'occasion des expertises qui lui ont été demandées par la commission pour rechercher si un défaut "sleeping mode" avait pu affecter le DME du F-GGED, il a été constaté des incohérences et des désordres dans les données enregistrées dans la mémoire non volatile par le logiciel BITE. Ces désordres entraînent des débordements de tableaux de valeurs, qui perturbent le fonctionnement du logiciel opérationnel de l'équipement (voir § 117.325).

La commission s'est en conséquence interrogée sur la conformité du DME Collins700 au règlement technique de référence, et sur le processus d'homologation suivi par cet équipement.

23.332 - Homologation du DME Collins-700

23.332.1 - Exigences techniques applicables

Les points examinés pour l'homologation d'un équipement radio tel que le DME concernent le respect des exigences en matière de conditions techniques applicables (CA) , d'environnement, et enfin de logiciel. En ce qui concerne le logiciel, ces exigences sont décritès dans le document RTCA DO 178 A (Radio Technical Commission for Aeronautics) et son homologue européen le document EUROCAE ED 12 A.

Ce règlement prévoit pour les logiciels des niveaux de qualité qui dépendent du caractère plus ou moins critique de leur fonction. Le niveau le plus bas envisage est le niveau "non essentiel". La principale exigence qui est alors formulée est de ne pas perturber le fonctionnement des autres logiciels.

Les constatations techniques rapportées au paragraphe précédent indiquent que la condition de plus bas niveau (logiciel "non essentiel") du document RTCA DO 178A n'était pas satisfaite par le logiciel BITE du DME Collins-700.

271

Ces normes n'étaient pas formellement en vigueur au moment de l'homologation du DME Collins-700. Cependant, c'est précisément ce nouvel équipement et sa technique numérique qui avaient servi de base au développement de la nouvelle norme. Celleci était dans un stade suffisant de maturité pour être prise en considération pour l'élaboration et l'homologation des logiciels du DME Collins-700, et il n'existait pas d'autre norme pour les logiciels.

Il est probable que les opérations de vérification des logiciels décrites dans le document RTCA DO 178A, et qui consistent notamment en l'exécution de processus d' intégration et de validation, auraient permis de détecter avant la mise en service de l'équipement l'anomalie qui est à l'origine du "sleeping mode".

23.332.2 - Processus d'homologation appliqué

S'agissant d'un équipement construit aux EtatsUnis, l'autorité primaire pour l'homologation était la FAA. En France, le dossier d'homologation a été instruit par le STNA (Service Technique de la Navigation Aérienne) .

Le STNA a effectué des vérifications de conformité en ce qui concerne les CTA et l'environnement mais n'a pas procédé à une analyse de conformité à la norme de qualification des logiciels. Sur ce point, la DGAC a donc accordé l'homologation en 1982 sur la base du travail accompli par la FAA.

Le DME Collins-700 a subi une modification avant son intégration sur A320 et autres avions de même génération. Il sagissait essentiellement de l'adjonction de protocoles d'interfaces avec le système CFDS de l'A320 et du remplacement du MFM (Maintenance Fault Memory) par un BITE. Cette modification, répertoriée 20558, a été classée "mineure" et a été approuvée en 1988.

S'agissant d'un équipement déjà connu et homologué par un TSO (Technical Standard Order) au moment de son intégration sur A320, le DME Collins -700 n'a pas fait l'objet à cette occasion d'une analyse de sécurité spécifique concernant son fonctionnement propre. Par contre, cet équipement constituant l'un des capteurs périphériques du FMGC, ses modes de panne, leurs probabilités d'occurrence, et leurs moyens de détection ont été pris en compte dans l'analyse de sécurité du FMGC.

23.4 - Le fonctionnement du système de retour d'expérience

23.41 - Du fait notamment de la difficulté à établir le scénario de cet accident, des recherches à la fois extensives et intensives ont été effectuées dans le cadre de cette enquête pour retrouver d'éventuels incidents

272

survenus dans des circonstances comparables, et ayant conduit ou étant susceptibles de conduire à un taux de descente anormalement élevé à l'insu de l'équipage. Ces recherches ont amené la commission à questionner les organismes d'enquêtes ou de recueil d'incidents des principaux pays utilisateurs de 1'A320, et à examiner le témoignage de nombreux pilotes français de cet avion.

A l'occasion de ces recherches, dont le résultat est exposé pour l'essentiel au paragraphe 1.17.6, il est apparu:

- qu'au moins deux incidents très proches de 1'un des scénarios retenus pour l'accident (confusion de mode VS FPA) s'étaient produits dans le passé, dans différents pays, sans que les autorités de certification, ni le constructeur, ni les autres exploitants en aient eu connaissance;

- que ces événements étaient souvent connus de tel ou tel système de collecte d'information, sans que leur gravité potentielle ait été perçue, et le plus souvent sans que la précision des informations disponibles soit suffisante pour fonder une analyse approfondie et des actions éventuelles;

- que des événements de nature analogue se produisent en ligne sur différents types d'avion sans que les équipages perçoivent la nécessité d'en faire un compte rendu à leur compagnie ou aux autorités de 1'aviation civile;

23.42 - Il apparaît en conséquence que parmi les utilisateurs d'A320 il existait des informations diffuses concernant la fréquence des confusions dans la gestion des modes verticaux de pilotage automatique, et les risques associés. Un exploitant au moins avait proscrit à titre préventif l'utilisation du mode FPA à ses équipages, car il ne souhaitait pas effectuer l'investissement de formation supplémentaire qu'il jugeait nécessaire. Mais jamais ces informations n'ont été formulées et centralisées à un échelon convenable, susceptible de faire la synthèse des difficultés rencontrées et de déclencher des mesures correctrices.

23.43 - De toutes les sources d'informations sollicitées par la commission ( bases de données nationales ou internationales alimentées par les systèmes de rapports obligatoires, systèmes de recueil confidentiels de comptesrendus volontaires, bases de données de constructeurs ou d'équipementiers), une seule s'est avérée capable de fournir de façon fiable des informations suffisamment détaillées, complètes, et précises pour permettre une analyse approfondie des incidents de cette nature: il s'agit du système d'analyse systématique des paramètres de vol enregistrés mis en oeuvre par une compagnie, système

273

dans le cadre duquel toute anomalie importante détectée par le système automatique conduit à une analyse opérationnelle approfondie de l'événement, avec si nécessaire la contribution de l'équipage concerné. Cependant le souci de protéger le consensus éminemment délicat obtenu entre les partenaires sociaux au sein de cette compagnie a conduit à ne pas diffuser l'information recueillie vers l'extérieur de la compagnie. Le potentiel de sécurité considérable de tels dispositifs est donc à ce jour très incomplètement exploité.

23.44 - L'organisation générale et les caractéristiques du système français de retour d'expérience (cf § 118.6) constituent un handicap manifeste à un fonctionnement efficace. La commission a relevé en particulier les aspects suivants:

- le dispositif réglementaire est constitué de stratifications successives de textes de statuts très inégaux nayant subi aucune refonte globale depuis les années cinquante, ce qui conduit à un ensemble hétérogène, complexe et difficilement compréhensible par les Parties concernées;

- le dispositif réglementaire n'établit aucune obligation explicite, ni pour le commandant de bord ni pour l'exploitant, d'informer le SFACT, qui est le service chargé de la tutelle technique sur les exploitants, des incidents survenus en exploitation. Il est prévu que toute notification d'incident soit adressée au Bureau Enquêtes Accidents, sans discrimination sur la nature et la gravité de l'incident, et cela n'est pas adapté à la réalité des moyens de traitement de l'information disponibles;

- la position des références concernant les incidents dans le découpage général des textes suggère que leur objectif initial n'est pas d'organiser le retour d'expérience à des fins d'analyse de sécurité, mais d'établir des obligations de notification des événements anormaux dans le but de permettre les fonctions de recherche et sauvetage d'une part, et les actions disciplinaires d'autre part. Cette confusion entre action disciplinaire et retour d'expérience est notamment apparu à la commission comme susceptible de constituer un frein considérable à toute initiative de compterendu volontaire par les équipages d'événements tels que des erreurs graves mais corrigées avant toute conséquence perceptible de l'extérieur;

- a contrario, le dispositif ne comporte aucune procédure de compterendu confidentiel garantissant à l'auteur d'une initiative de compte-rendu volontaire d'un événement par ailleurs transparent qu'il ne sera pas sanctionné ou déconsidéré par suite de son initiative;

274

23.45 - Les autorités françaises ont voulu mettre l'accent ces dernières années sur la promotion de systèmes de collecte organisés, d'une part par l'industriel auprès de ces clients, d'autre part au sein de chaque compagnie utilisatrice. C'est ainsi que dans son annexe relative aux conditions associées à l'autorisation d'exploiter un avion de plus de quarante tonnes en équipage sans mécanicien navigant, l'arrêté du 5 novembre 1987 (chapitre 12) établit une obligation d'analyse systématique des paramètres de vol enregistrés. Cependant cette obligation ne comporte pas celle de tenir la DGAC informée des incidents détectés, sauf au terme de la première année d'exploitation, et de façon synthétique uniquement. Elle ne comporte pas non plus l'obligation d'une investigation opérationnelle approfondie des circonstances et des mécanismes des incidents les plus significatifs.

23.46 - En résumé, la commission d'enquête considère que l'aéronautique est un des rares domaines d'activité qui a su se doter d'un système de retour d'expérience. Celui ci donne des résultats probants lorsqu'il s'agit de traiter des problèmes techniques. Par contre, la commission s'est rendu compte des limites évidentes de ce système dans le domaine de opérationnel. Dans ce domaine, l'information n'est que très rarement disponible, et, même quand elle l'est, elle n'est que rarement analysée avec la participation de tous les acteurs concernés. De plus, les résultats de ces analyses ne sont, en général pas communiqués au constructeur et à l'administration.

275

CHAPITRE 2.4 - SURVIE, RECHERCHE, ET SAUVETAGE

24.1 - Survie à l'impact et à l'accident

24.11 - Dans cette partie, la commission d'enquête analyse les conditions de préparation de la cabine avant l'atterrissage, les causes de la mort des victimes de l'accident et l'état des sièges après l'impact.

Les caractéristiques de cet accident, et en particulier l'énergie d'impact, ne correspondent pas à une situation où on s'attend normalement à des survivants. Plus précisément, les accélérations subies par la cellule de l'avion et son niveau de fragmentation sont tels que les facteurs de survie individuelle ne sont accessibles à aucune modélisation connue. Dès lors, les leçons qu'on peut tirer d'un tel accident en matière de sécurité passive sont assez limitées. La commission a cependant entrepris une réflexion sur le sujet, tout en restant fort consciente des limites de l'exercice.

24.12 - Les consignes de préparation de la cabine avant l'atterrissage ont été appliquées et tous les passagers étaient vraisemblablement attachés. Toutefois un membre du personnel navigant commercial n'était pas assis et attaché mais très probablement encore debout en cabine au moment de l'impact. Le poste de sécurité de ce membre d'équipage était situé à l'arrière de l'appareil dans la partie où il y a eu des survivants. La commission a analysé la séquence des opérations à effectuer par le personnel navigant commercial avant l'atterrissage vis à vis du moment où ces opérations devraient être débutées afin que le PNC puisse en toutes circonstances être assis et attaché dans la phase finale du vol. Les circonstances de cet accident ne permettent pas de tirer de conclusions sur ce point mais un réexamen de ces procédures pourrait être utile de façon à s'assurer que la chronologie de, ces opérations est bien telle que cette condition puisse être satisfaite.

24.13 - La commission d'enquête constate que, en dépit de la violence du choc frontal auquel a été soumis l'avion, neuf personnes ont survécu à cet accident. L'examen de quelques sièges n'a pas permis d'évaluer précisément les facteurs de charge auxquels ils ont été soumis et n'a pas fourni d'éléments significatifs supplémentaires pour expliquer le nombre et la répartition des survivants.

Toutes les victimes ont subi des polytraumatismes, pour certains très étendus. Certains types de lésions présentent toutefois une fréquence particulièrement élevée et il a paru intéressant de les relever pour pouvoir discuter de leur rapport possible avec certaines caracté

276

ristiques des sièges ou de leur disposition en cabine. Ce sont les lésions au niveau de la tête, les lésions au

niveau de la ceinture pelvienne et les lésions de l'extré mité des membres inférieurs.

La fréquence et la nature des lésions au niveau de la tête orientent la réflexion vers un rôle possible de la structure du dossier du siège placé devant chaque passager. Les lésions pelviennes orientent la réflexion vers un rôle possible des ceintures de sécurité qui, pour autant que l'on puisse le savoir, n'ont pas été détruites. Enfin les lésions des membres inférieurs ont pu être dues. pour partie aux attaches des sièges à la structure de l'avion.

La fréquence élevée de certaines lésions subies par les victimes a amené la commission d'enquête à examiner les essais et vérifications effectués par le constructeur ou l'administration pour s'assurer de la conformité de cet avion, dans la configuration choisie par Air Inter, avec les exigences réglementaires en matière de sièges et de ceinture de sécurité.

Les exigences de certification concernant le sièges passagers et les ceintures sont fixées par les paragraphes JAR 25-785 (a) , JAR 25-785 (c) et JAR 25-785 (i) du règlement conjoint de certification européen. Dans le cadre de la certification de type, les sièges passagers et les ceintures correspondantes ne sont pas identifiés de façon individuelle car ces équipements sont, d'une façon générale, choisis par la compagnie utilisatrice. Cependant les exigences qui leur sont applicables sont contenues dans un document, approuvé par les autorités de certification, intitulé "sièges passagers; spécification cadre". Pour ce qui est de la certification individuelle de chaque avion, l'avionneur présente pour approbation aux autorités compétentes un dossier dans lequel la conformité aux exigences de la certification de type est démontrée pour les équipements spécifiques à cet avion.

Le dossier remis par Airbus Industrie pour approbation de la cabine passagers de l'avion F-GGED (dossier ref MBBTLQ 21/135/03/88 Edition 4) se réfère pour les sièges passagers à la spécification approuvée lors de la certification de type (Ref OOD2520004/CO1). La conformité de l'avion aux exigences de certification a été confirmée par les rapports d'inspection TLQ 21562/12/88 et 1OD02IK459OS12. En ce qui concerne les ceintures de sécurité, elles ont été reconnues conformes au TSO C22F délivré par la FAA.

La commission d'enquête a constaté que les exigences réglementaires avaient été satisfaites, mais elle a relevé que le règlement de certification applicable dans le cas de l'A320 (JAR 25 change 10) ne comportait que des essais statiques en ce qui concerne les sièges. Depuis lors, de nouvelles conditions techniques ont été imposées en Europe

277

et aux EtatsUnis pour les sièges passagers, pour renforcer la protection des passagers dans les cas d'atterrissage d'urgence (JAR 25 change 13 publié le 05/1089). Les facteurs de charge statiques ont été augmentés et une exigence d'essais dynamiques pour les sièges a été introduite.

Cependant, la commission a été informée au cours de 1 'enquête que le type de siège qui équipait le F-GGED avait été soumis aux test HIC (Head Injury Criteria) à une date postérieure à celle de l'accident, et avait passé ces essais avec succès.

24.2 - Organisation des recherches

Note: La commission d'enquête a travaillé sur ce point à partir des comptes rendus établis par

Le Centre d'Opérations de La Zone Nord-Est (compte rendu global d'opération SAR) et par La

préfecture du BAS-Rhin (compte rendu de réunion du 14 février 1992).

24.21 - La commission d'enquête a constaté qu'il avait fallu plus de quatre heures pour retrouver l'épave à partir du moment où l'alerte avait été déclenchée. Ce constat remet en cause bien des idées communément admises sur la recherche d'un avion de transport lourd en métro pole. Il s'explique en partie par les caractéristiques du site de l'accident (forêt montagneuses enneigée), par les conditions de son occurrence (nuit d'hiver) et par les difficultés rencontrées pendant les opérations de recherche (conditions climatiques et absence d'émission de la radio balise de détresse).

24.22 - Compte tenu des conditions d'environnement (nuit, crêtes accrochées, givrage dans la couche, difficulté d'emploi des équipements de vision spéciaux), il a fallu essentiellement compter sur les moyens humains pour localiser l'épave par le biais d'opérations de ratissage. La commission d'enquête a donc analysé la façon dont avaient été conduites ces opérations de recherche terrestres et les rôles respectifs qu'y avaient joùéle Centre de coordination de sauvetage (RCC) de Drachenbronn et le dispositif SATER dirigé par le Préfet du BasRhin dans le cadre des dispositions réglementaires prévues (voir § 116.21).

24.23 - Dans le cas des accidents aériens, le RCC assure la conduite générale des recherches. Il dispose pour ce faire de moyens adéquats et de personnels qualifiés capable d'exploiter les renseignements et les informations qui lui parviennent. Pour cet accident, les premiers renseignements ont été transmis au RCC par le centre de contrôle d'approche de Strasbourg à 18h3l avec le déclen chement de l'alerte. Le contrôleur d'approche ayant indiqué que la perte de contact radar avait eu lieu entre 8 et 9

278

NM dans le radial 230° du terrain de Strasbourg, le RCC aimmédiatement (18H34) déclenché auprès de la p réfecture la mesure SATER 2 dans la région du Mont SainteOdile.

C'est à partir de ces premiers éléments que le RCC a déclenché à 19HO9 la mesure SATER 3 en définissant un premier secteur de recherche entre le Mont SainteOdile et Andlau, qu'il a ensuite étendu à 19h3o à un quadrilatère Mont SainteOdile/Barr/Andlau/Le Hohwald. La commission d'enquête considère que la définition de cette première zone de recherche était cohérente avec les premiers éléments connus du RCC (position de l'avion au nord de l'axe d'approche en fin de guidage, limites de précision du radar, trace au sol de 1 'axe de piste, repères de la procédure). La commission note toutefois qu'elle présentait une surface importante (21 km-2) nécessitant la mise en oeuvre d'effectifs importants sur le terrain.

La commission constate par ailleurs qu'il a fallu respectivement lh3o et 3h3O pour que les enregistrements radar en provenance de Drachenbronn et de Reims soient communiqués au RCC et pour que celuici puisse resserrer la zone des recherches terrestres pour le PC fixe. Ce temps lui paraît excessif compte tenu des moyens de traitement de 1'information existant dans ces centres (poursuite radar des vols, enregistrement des données sur les vols, programmes de revisualisation). Enfin, certains centres étrangers auraient également pu être sollicités à cette fin (Karhsruhe par exemple).

La commission relève également que le premier secteur de recherche, dont la définition s'est révélée appropriée, (entre le mont SainteOdile et Andlo) , a été très vite étendu à une zone plus vaste avant d'être progressivement recentré sur cette première définition. Elle s'est donc interrogée sur les causes de ce phénomène de dilution sans pouvoir pour autant y apporter de réponse précise. Le souci d'identification de la zone de recherche par des repères géographiques facilement identifiables par les moyens terrestres peut constituerun élément de réponse à cette question.

La commission note enfin que, malgré la mise en place par la base aérienne de Strasbourg d'un officier de 1'armée de l'air au PC fixe de la préfecture, l'échange des informations entre le RCC et le PC fixe prévu au paragraphe 5.1.3 du protocole SATER TransportsIntérieur Défense du 08 septembre 1987 parait n'avoir pas bien fonctionné, notamment dans le sens PC f ixe vers RCC (le RCC n'a en effet été informé que de deux des témoignages qui avaient été reçus du terrain). Ceci peut provenir de difficultés rencontrées au PC fixe pour faire la synthèse des informations reçues. La commission a remarqué à cette égard que ces difficultés de coordination et de remontée des renseignements, en provenance des unités engagées sur le terrain notamment vers les PC f ixes et organismes SAR

279

étaient déjà apparues fréquemment dans les opérations SATER.

En fonction des informations dont il disposait,il semble que le rôle du RCC pour préciser le polygone des recherches terrestres se soit limité à quelques indications transmises au PC fixe: à 20H15 confirmation du premier polygone et demande de ratissage dans la région du Buchenberg, à 21h25 demande d'envoi de moyens terrestres entre le château de Landsberg et la cote 826 (La Bloss), à 22hO4 communication de la dernière position connue par le centre de Reims et indication de la Bloss comme lieu possible de l'accident.

24.24 - La conduite des opérations de recherche terrestres a donc essentiellement été assurée par les représentants du Préfet du BasRhin. Un PC fixe a été activé immédiatement à la préfecture. Le PC opérationnel a été installé à Barr (20h45). Le rassemblement des moyens de secours pompiers SAMU s'est opéré à partir de 19h20 au centre de secours d'Obernai désigné comme le point de première destination. La direction des recherches y a été assurée par le commandant du groupement de gendarmerie départementale rejoint par le souspréfet de Sélestat. La commission d'enquête n'a pas analysé en détail la totalité des opérations de recherche qui avaient été menées et n'est donc pas en mesure de formuler à cet égard une appréciation globale suffisamment fondée. Deux points lui paraissent toutefois devoir être relevés.

Tout d'abord l'ampleur des recherches terrestres à lancer notamment du fait de l'importance de la première zone de recherche (21 KM 2 ) et des limitations imposées aux moyens aériens, a immédiatement dépassé tous les moyens de la gendarmerie départementale. Des renforts ont été demandés à partir de 19h30 à la Gendarmerie Mobile et à l'Armée de Terre. Compte tenu des délais de rappel et de route, ils ont été disponibles sur zone, respectivement à 2lh3O et 22h. Ce n'est qu'à partir de l'arrivée de ces renforts que les opérations de ratissage intensif ont pu commencer. On peut donc se demander s'il n'aurait pas été préférable, dans les circonstances de cet accident, d'alerter et de mobiliser des effectifs importants dès le déclenchement de la mesure SATER/2, de façon à permettre une mise en oeuvre plus rapide et plus complète de la mesure SATER/3 dès son déclenchement.

D'autre part, si un grand nombre d'opérations de recherche ont été lancées au cours des deux premières heures par les responsables opérationnels, en fonction des éléments disponibles ou d'informations diverses, le dispositif de recherche dirigé à partir du PC fixe de la préfecture parait n'avoir atteint sa pleine efficacité qu'à partir de l'installation du PC opérationnel à Barr vers 20h45 et de son ralliement par les responsables des

280

différents services. Il est donc possible que, dans un premier temps, les décisions n'aient pas intégré toutes les informations disponibles du moment. Ceci met en évidence l'importance de la rapidité de la mise en place du PC opérationnel et de son armement avec tous les responsables concernés, l'importance aussi du choix de son implantation et des moyens de liaison dont il est doté pour communiquer avec les équipes sur le terrain et avec les autres organismes.

24.25 - En résumé, la commission d'enquête constate que les phases durgence ont été déclenchées dans les délais prescrits et que les opérations de recherche ont été conduites conformément aux textes en vigueur. Elle a toutefois relevé le délai important de restitution des trajectoires radar de l'avion, le délai de montée en puissance du dispositif terrestre vis à vis de 1'importance de la zone de recherche, les difficultés rencontrées dans l'échange des informations entre RCC et préfecture, notamment dans le sens PC fixe vers RCC.

24.3 - Analyse du non-fonctionnement de la radio-balise de détresse (RBDA)

24.31 - La radiobalise de détresse, détruite à l'impact, n'a pas fonctionné. Le type de balise installé dans le F-GGED répondait aux normes et recommandations de l'OACI et à la réglementation française en vigueur le jour de l'accident. Cependant, l'essai opérationnel effectué le 9 avril 1992 ne permet pas d'affirmer que, si la balise avait fonctionné, l'épave aurait été retrouvée beaucoup plus rapidement (voir § 118.33).

24.32 - La commission d'enquête constate toutefois que les réglementations françaises et internationales en matière de RBDA (décrites au § 118.3) étaient essentiellement orientées vers la recherche des avions légers. Dans ces types d'accident, les organismes responsables constataient en effet que les recherches étaient extrêmement longues et coûteuses. A l'inverse, à l'exception des amerrissages ou de certains atterrissages en zone désertique, il était communément admis qu'en cas d'accident de gros avion de transport, son épave en était découverte très rapidement, compte tenu de la précision du suivi des trajectoires de ces avions par les services de contrôle. Ce sont ces considérations qui expliquent pourquoi les normes d'homologation de ces équipements ont été fortement influencées par un objectif d'accessibilité de prix pour l'aviation générale. Ceci explique aussi pourquoi, dans le cadre d'une obligation d'emport généralisée, l'administration française a estimé possible de laisser aux transporteurs de grandes facilités sur les conditions d'installation et de fonctionnement des RBDA montées à bord de leurs avions.

281

24.33 - La durée des opérations de recherches du F-GGED remet sérieusement en question cette idée admise tant par les transporteurs que par l'Administration. C'est la raison pour laquelle la commission d'enquête a estimé nécessaire, dès la remise de son rapport préliminaire, de recommander que soient revues les conditions réglementaires d'homologation et d'installation à bord des aéronefs des radiobalises de détresse à déclenchement automatique (RBDA), afin d'assurer une plus grande probabilité de bon fonctionnement après accident. Cette recommandation retenue par le ministre a conduit à une modification de l'arrêté du 5 novembre 1987 relatif aux conditions d'utilisation des avions exploités par une entreprise de transport aérien (arrêté du 12 janvier 1993). Cette modification institue des normes d'homologation et des conditions d'installation propres à diminuer les risques d'endommagement et de non fonctionnement en cas d'accident. La commission relève toutefois qu'il conviendra également de fixer et de contrôler l'application de normes sur le rayonnement de ces installations (puissance rayonnée notamment).

24.41 - Conformément aux pratiques internationales en matière d'enquêtes sur les accidents d'avions (annexe 13 à la convention relative à l'aviation civile internationale), la commission n'a analysé les opérations de secours que de façon succincte. Elle l'a fait à partir des rapports d'analyse établis localement sous l'autorité du Préfet, du rapport de l'Institut de médecine légale de Strasbourg et de divers témoignages. Elle a estimé utile de proposer quelques réflexions sur l'organisation des secours d'une part, sur la technique de traitement des polytraumatismes d'autre part.

24.42 - Le choix d'Obernai comme lieu d'installation du PC médical et d'une partie des équipes de secours en attente a reposé sur des considérations essentiellement dictées par les conditions météorologiques, les distances à franchir de la ville d'Obernai aux divers points du massif où se déroulaient les recherches étant en tout état de cause limités. Pour les mêmes raisons, il a été jugé préférable de privilégier la cohérence de la colonne de secours sans la morceler. Sur les routes sinueuses et verglacées menant au mont Sainte-Odile, il était en effet très difficile de faire demitour et le rappel immédiat d'un éventuel élément avancé aurait donc pu être très difficile.

Il a tout d'abord semblé à la commission que ce choix pouvait avoir retardé l'heure d'arrivée sur le site de l'essentiel des moyens des secours, comptetenu de la gêne créée par l'encombrement des axes routiers et par l'état des routes (neige et verglas) . De plus, dans les conditions du moment, la coordination entre les différents acteurs

282

(directeur des secours et gendarmerie installés à Barr et direction médicale stationnée à Obernai) en a peutêtre été rendue plus difficile.

D'autre part, en ce qui concerne l'option de ne pas faire partir d'élément avancé dès que la zone des recherches a été précisée, la commission a noté que les équipes les mieux rodées aux interventions sur polytraumatismes graves sont arrivées trop tard pour pouvoir intervenir sur le site et sont restées sur la route départementale comme moyen d'accueil des blessés. Les interventions médicales sur le site paraissent n'avoir été le fait que de deux médecins militaires du 153e régiment de Mutzig et d'un médecin militaire de la Base aérienne 124 de Strasbourg-Entzheim, tous trois indépendants du dispositif médical et de secours. En outre, il semblerait que deux médecins civils au moins, dont un nonidentifié, soient également intervenus sur le site. Ce sont les médecins présents sur le site qui ont examiné et autorisé le transport d'une partie des blessés en fonction de leur état, des moyens dont ils disposaient et des conditions climatiques.

24.43 - La commission note enf in que deux victimes ultérieurement décédées étaient encore vivantes au moment de l'arrivée des secours. Selon le rapport de l'Institut médicolégal, elles sont mortes l'une d'un état de choc aggravé par des troubles ventilatoires, l'autre d'un polytraumatisme crâniofacial, abdominal et de membres inférieurs. Les données autopsiques permettent difficilement de juger en toute rigueur des chances de survie d'une victime décédée et de faire la part des différents facteurs ayant conduit à l'issue fatale. Enfin l'un des blessés survivants a été évacué dans des conditions qui auraient rendu ses chances de survie très aléatoires en cas de lésion interne grave.

La commission note cependant que les opérations de secours et de sauvetage ont été effectuées conformément aux règles de l'art en matière de secourisme, la réserve à effectuer étant que les données actuelles de l'auxyologie (médecine d'urgence et de catastrophe) prescrivent la réanimation, le déchocage et le conditionnement sur place, quelles que soient les conditions d'environnement, comme la meilleure stratégie de soins aux victimes d'accident.

24.44 - La commission considère donc qu 'il conviendra de prendre en compte ces données nouvelles de la science pour les inclure dans l'instruction des personnels appelés à intervenir sur ce type d'accident. Un soin particulier devra être accordé à l'instruction de ces personnels car l'attente sur le site en présence d'un blessé grave est particulièrement pénible pour le secouriste, dont l'attitude naturelle est l'intervention et l'évacuation des blessés hors de conditions d'ambiance jugées défavorables.

283

24.5 - Organisation de la communication

De nombreuses personnes engagées dans les opérations de recherche et de secours ont fait état des difficultés de circulation auxquelles elles ont été confrontés sur les routes donnant accès au Mont SainteOdile du fait de la présence de nombreux véhicules et des conditions climatiques.

Ces mouvements de véhicules ont été provoqués par les annonces de la catastrophe par les médias, par les appels aux municipalités ou associations lancés par les responsables des recherches, peutêtre aussi par l'écoute des communications échangées par les acteurs du dispositif de recherche et de secours. La commission d'enquête note qu'il y a probablement une réflexion à conduire dans ce domaine de la communication et de la mobilisation des citoyens, pour prévoir les procédures et moyens permettant d'utiliser les compétences utiles et d'informer le public, tout en contrôlant rigoureusement les voies d'accès au site de l'accident.

284

CHAPITRE 2.5 - ENREGISTREURS.

25.1 - Les enregistreurs réglementaires de bord (DFDR et CVR)

25.11 Résistance à l'accident

25.111 - Les enregistreurs réglementaires DFDR et CVR ont souffert du feu. La bande magnétique du CVR a pu être exploitée. Par contre, celle du DFDR avait été totalement détruite.

Ces enregistreurs embarqués sont les seuls dédiés aux enquêtes. Ils doivent résister à des conditions de feu définies dans le cadre de la certification.

Il est donc apparu nécessaire de tenter de répondre aux questions suivantes :

- le modèle de DFDR qui équipait le F-GGED était-il conforme aux normes de certification?

- les contraintes de température auxquelles a été soumis le DFDR étaientelles supérieures aux normes?

- est-il souhaitable de réviser les normes de certification?

25.112 - En ce qui concerne la premiere interrogation, le modèle Fairchild F800 a été officiellement certifié par de nombreux pays. Le NTSB indique qu'il résiste à un feu plus important (il satisfait aux normes les plus récentes : ED 55) que celui déf ini par la norme TSO C51a applicable aux enregistreurs qui étaient susceptibles d'équiper le F-GGED (cette norme date de 1966).

Extrait du TSO C51a:

„Protection contre le feu.

Le moyen d'enregistrement doit rester intact de sorte que les informations peuvent être analysées après que

l'enregistreur ait été exposé à des flammes de 1100 °C enveloppant au moins 50% de la surface externe du boîtier pendant les périodes de temps suivantes Type I - 30 minutes - Type II 15 minutes - Type 111 1,5 minute."

Extrait de 1'ED 55:

„Feu:

a. L'enregistreur devra être soumis à un feu produisant un flux thermique minimum de 158 kW/m-2 . La totalité de la

285

surface extérieure de l'enregistreur sera exposée à ce feu pendant une période continue d'au moins 30 minutes. Une constante d 'absorption peut s'appliquer. Aucun écran ne sera autorisé.

NOTA : Les fabricants d'équipement sont fortement encouragés à donner une protection pratique

maximale contre le feu supérieure à ta période de 30 minutes prévue dans cette MOPS.

b. La température de la flamme doit être de 1100°C (nominal) , mesurée à une distance de 25 MM (1 pouce) de la surface de l'enregistreur. La configuration du brûleur doit délivrer le flux thermique défini en a.

c. Avant les essais au feu, 1 'enregistreur aura été préconditionné à une température interne stable correspondant à celle atteinte après un fonctionnement à température ambiante de 25 (± 5) °C. Les composants électroniques extérieurs au module mémoire protégé contre le crash pourront être enlevés.

d. L'enregistreur devra se refroidir naturellement après l'essai au feu.

e. La protection du support d'enregistrement peut dépendre entièrement ou en partie d'une barrière thermique qui n'est pas efficace audessous d'une température critique si l'on se rapporte à la température maximale de survie du support d'enregistrement. La survie de ce support devra alors être démontrée à une température minimale efficace de la barrière thermique pendant une certaine période. Cette période devra être d'au moins 30 minutes augmentée d'un facteur proportionnel au rapport entre la température minimale efficace de la barrière thermique et la température maximale de survie du support d'enregistrement.

f. Si l'efficacité du matériau de protection anti-feu diminue lorsque l'enregistreur fonctionne normalement et/ou est stocké, le matériau devra être porté à son niveau minimum acceptable de protection au moyen de cycles prolongés de mise en pression et température par exemple."

25.113 - En ce qui concerne la seconde interrogation, les travaux d'expertise ont montré que le boîtier du DFDR avait été soumis pendant environ quinze minutes à un feu de haute intensité (température supérieure ou égale à 700 ° C) , puis pendant cinq à six heures à un feu d'intensité moindre (température moyenne estimée à 260 °C). Ajoutons que les examens auxquels ont été soumis des éléments du système enregistreur ont montré que l'intérieur du boîtier a dû être soumis à une température de 430°C pendant quarante cinq minutes environ (voir § 112.151). Ces valeurs associées de températures et de durées sont supérieures aux valeurs prévues par la norme de certification. Les contraintes auxquelles a été soumis cet enregistreur sont donc, de ce point de vue, extraordinaires.

286

25.114 - En ce qui concerne la troisième interrogation, la commission observe que le cas rencontré ici n'est pas un cas isolé. Les constats effectués après d'autres accidents sur des enregistreurs qui satisfont pourtant aux normes les plus récentes montrent que ces dernières devraient être reconsidérées, en particulier pour ce qui concerne la résistance au feu de longue durée.

Rappel : le QAR et les mémoires non volatiles de

certains calculateurs embarqués sont des sources de données

enregistrées qui ont été exploitées dans le cadre de cette

enquête, mais qui, contrairement aux enregistreurs

réglementaires (DFDR et CVR), ne sont soumises à aucune

norme en matière de protection aux contraintes subies en

cas d'accident.

25.12 - Informations enregistrées

25.121 - Paramètres de vol enregistrés

Les paramètres enregistrés par le DFDR l'étaient aussi par le QAR (mêmes paramètres et même échantillonnage de l'enregistrement). C'est pourquoi les réflexions qui ont pu être menées dans le cadre de cette enquête sur la quantité et la qualité des informations disponibles sur l'enregistrement QAR, trouvent directement leur application dans le choix de la trame de paramètres à enregistrer.

A l'époque de l'accident, la norme qui s'appliquait aux appareils tels que l'A320 fixait à vingt-cinq paramètres la trame minimale d'enregistrement. En fait les DFDR qui équipent les A320 enregistrent plus de deux cents paramètres.

Malgré cela, la reconstitution des circonstances l'accident a été compliquée par le fait que certain paramètres relatifs principalement à la conduite du vol(commande du FCU) et à la d'informations de vol sur enregistrés. Le recours à des méthodes de simulation (par exemple, la comparaison des valeurs enregirées de certains paramètres du vol du F-GGED avec un comportement simulé suivant différentes hypothèses de commande) et à l'exploitation du contenu de certaines mémoires non volatiles a permis de pallier la plupart de ces manques, sans toutefois permettre de faire la lumière sur toutes les informations importantes. A titre d'exemple il n'a pas été possible de déterminer les affichages sélectionnés par le copilote sur son écran de navigation.

On note que les nouvelles spécifications en la matière (ED 55) répondent à ces préoccupations (voir § 118.42). Néanmoins, les avions construits avant

287

l'introduction de ces normes dans les réglementations nationales demeureront, si aucune action n'est menée, au standard antérieur.

25.122 - Enregistrement des conversations et des alarmes sonores

Il a été fait état dans ce rapport des difficultés rencontrées pour comprendre les paroles des deux pilotes enregistrées sur le CVR (voir § 112.134). Ce problème est souvent rencontré lors des enquêtes. Actuellement, en l'absence d'autres solutions techniques, une solution consiste en l'utilisation de microphones permanents (,"hot mike"), et les travaux internationaux les plus récents (ED 56) en réaffirment l'efficacité pour la compréhension des paroles des pilotes.

25.123 - Enregistrement d'informations visuelles dans le poste de pilotage

Actuellement on ne dispose d'aucun moyen permettant de connaitre avec certitude les informations qui étaient affichées avant un accident sur le FCU et sur les écrans de pilotage et de navigation. De même les actions des pilotes et leurs éventuelles communications non verbales ne sont pas enregistrées.

Compte tenu de l'importance de telles informations dans la connaissance et la compréhension des circonstances d'un accident, il conviendrait d'étudier le concept d'enregistrement d'images sur support protégé.

25.21 - Informations radar

L'image radar fournie à l'approche de Strasbourg n'est pas enregistrée. L'absence d'enregistrement du radar local de Strasbourg a empêché de disposer de l'image des pistes fournies par cette station au contrôleur d'approche.

En France neuf centres de contrôle d'approche sont dotés d'un système d'enregistrement de leur radar local : Bâle-Mulhouse, Bordeaux, Marseille, Nice, Orly, Pointe à Pitre, Roissy, Satolas et Toulouse. Le fait de disposer d'un tel système aurait probablement permis d'affiner la connaissance et l'analyse des conditions dans lesquelles a été fourni le guidage radar.

Il conviendrait donc que l'ensemble des centres de contrôle d'approche qui disposent d'un radar local soient équipés d'un système d'enregistrement de ce radar.

288

25.22 - Radiocommunications

Les radiocommunications établies entre les organismes de la circulation aérienne et les aéronefs qu'ils ont en charge sont enregistrées. Dans le cas du F-GGED, ces enregistrements ont été exploités sans difficulté technique.

25.3 - Coordination des procédures administrative et judiciaire

Le dispositif de coordination des enquêtes administrative et judiciaire a été décrit au § 118.5. La commission d'enquête constate que, bien que le souci de stricte formalisation d'un certain nombre d'actes ait été très présent de la part des autorités judiciaires (vis à vis des enregistreurs notamment) , les enquêteurs techniques ont pu, dans l'ensemble, prendre les dispositions nécessaires sur le terrain et que, vraisemblablement, aucune donnée sensible n'a été perdue du fait de ces procédures.

La commission d'enquête constate toutefois que ce résultat tient plus à la chance et à la qualité des contacts qui ont été établis et maintenus sur le terrain entre les autorités administrative et judiciaire qu'à l'adéquation du cadre de coordination institutionnel fixé par l'instruction interministérielle du 3 janvier 1953 qui ne s'impose pas au juge. Dans le cadre de sa procédure, celuici a en effet toujours tendance à privilégier la rigueur dans la saisie des indices. or, celleci peut parfois être néfaste à leur préservation si certaines mesures de sauvegarde ne sont pas prises immédiatement.

Il conviendrait donc de tirer tous les enseignements de l'expérience vécue à l'occasion de cet accident par les responsables des enquêtes administrative et judiciaire et de mettre au point un cadre juridique permettant l'intervention des enquêteurs techniques de façon à pouvoir rechercher, préserver puis saisir les indices essentiels avec les meilleures garanties de préservation, dans un cadre judiciaire néanmoins incontestable.

289

SECTION 3

CONCLUSIONS

291

CHAPITRE 3.1 - FAITS ETABLIS PAR L'ENQUETE

Le F-GGED détenait un certificat de navigabilité individuel en état de validité.

Il était entretenu conformément à la réglementation en vigueur.

Il était à l'intérieur des limites de masse et de centrage pendant tout le vol de l'accident.

Il était en état de navigabilité sans panne connue.

Sur ce type d'avion des anomalies relatives au traitement par les systèmes de bord des informations VOR avaient été notifiées. Elles faisaient l'objet d'une information aux équipages et d'une procédure opérationnelle. L'enquête n'a pas mis en évidence de dysfonctionnement de la chaîne de traitement des informations VOR, ni de signe que l'équipage ait perçu des battements de l'indication VOR résultant d'un tel dysfonctionnement, au cours de la phase d'alignement sur l'axe d'approche avant la mise en descente vers la piste.

Des anomalies susceptibles d'affecter le fonctionnement des systèmes DME du type de ceux qui équipaient le F-GGED avaient été identifiées. Elles faisaient l'objet d'une information aux équipages et d'une procédure opérationnelle. Les modifications définies par l'équipementier n'avaient pas encore été appliquées sur les équipements DME du F-GGED. Cependant l'enquête a permis de réfuter, sur la base des éléments techniques disponibles, l'hypothèse qu'une défaillance de type „deaf mode", "sleeping mode" ou "jumping mode" se soit produite au voisinage du moment de la décision de mise en descente vers la piste.

Des anomalies de fonctionnement de FCU sur A320 ont été notifiées quelques mois après l'accident. L'enquête n'a pas mis en évidence de dysfonctionnement du FCU qui équipait le F-GGED. Il n'a cependant pas été possible d'écarter l'hypothèse d'une défaillance du bouton poussoir de changement de mode, ou d'une corruption de la valeur cible affichée par le pilote sur le FCU avant sa prise en compte par le calculateur du pilote automatique.

Le F-GGED n'était pas équipé d'un dispositif avertisseur de proximité de sol (GPWS).

La station sol VOR STR de Strasbourg était en état de fonctionnement. Le contrôle en vol a montré que les caractéristiques du signal émis étaient comprises dans les tolérances adoptées par l'OACI. Cependant des irrégularités dues à la recomposition du signal direct et des signaux

293

réfléchis par les reliefs ont été constatées dans le secteur de la trajectoire d'approche, entre 9 et 8 NM de la

station STR. Ces irrégularités étaient de nature à provoquer une instabilité des indications à bord après la

mise en descente, sur le segment correspondant de la trajectoire, d'autant que celle du FGGED était

anormalement basse sur l'horizon radioélectrique de la station sol.

La Procédure d'approche VOR-TAC 05 de Strasbourg est dérogatoire sur trois points en raison des contraintes apportées par l'environnement de la circulation aérienne de Strasbourg et par le relief. En particulier le tronçon d'approche intermédiaire ne comporte pas de palier.

L'équipage détenait les brevets, licences et qualifications réglementaires nécessaires à l'accomplissement du vol. Sur Airbus A320, l'expérience du commandant de bord était de 162 heures, et celle du copilote était de 61 heures.

Les analyses toxicologiques ont permis d'estimer que l'alcoolémie était nulle pour le commandant de bord et inférieure à 0,30 g/l pour le copilote.

Le commandant de bord était le pilote aux commandes.

L'équipage avait Prévu d'effectuer une approche ILS 23 suivie d'une manoeuvre à vue pour la piste 05 en service. Le contrôleur s'attendait quant à lui à ce qu'il effectue une approche directe VOR-TAC 05.

Lors de l'arrivée, après que l'avion ait passé ANDLO et que l'équipage ait signalé son intention d'effectuer une approche ILS 23 suivie d'une manoeuvre à vue pour la piste 05, le contrôleur a informé l'équipage que cela ne serait possible qu'après une attente due à trois départs IFR en piste 05.

Jusqu'à cet instant, l'équipage et le contrôleur n'étaient pas conscients de la différence de leurs projets respectifs.

L'équipage a changé sa stratégie et a choisi d'effectuer une procédure VOR-TAC 05 pour éviter l'attente annoncée.

Pour écourter la procédure VOR-TAC 05, le contrôleur a proposé à l'équipage un guidage radar pour l'amener jusqu'au point ANDLO. L'équipage a accepté cette proposition.

Le guidage radar n'a pas permis à l'équipage d'aligner l'avion sur l'axe d'approche à ANDLO.

294

Autorisé à l'approche finale, l'équipage a entrepris la descente alors que 1 'avion. était encore à environ dix degrés à gauche de l'axe d'approche.

La descente a débuté à 11 NM du TACAN STR c'est à dire à la distance nominale publiée.

La vitesse verticale de l'avion s'est stabilisée à 3300 ft/mn, au lieu de la valeur de 800 ft/mn environ correspondant au plan de descente conforme à la procédure publiée à la vitesse nominale d'approche.

Le mode de pilotage, utilisé pour le dernier virage et la mise en descente, était un mode de pilotage automatique „sélecté". La référence de trajectoire n'a pas été modifiée entre le dernier virage et l'instant de

l'accident et il s'agissait presque sûrement de la référence HDG-VS.

L'auto-poussée était en mode SPEED.

Au moment de l'accident l'avion était en configuration 2, avec le train sorti

Il faisait nuit et 1 'avion était en conditions de vol sans visibilité.

L'avion a percuté le mont La Bloss qui culmine à 826 m (2710 ft) . Le point d'impact est situé à une altitude de 799 m (2620 ft), à environ 0,8 NM à gauche de l'axe de piste, 10,5 NM du seuil de la piste 05, et 8,2 NM des stations sol VOR et TACAN STR.

Les consignes de préparation de la cabine avant l'atterrissage avaient été effectuées et tous les occupants de l'appareil étaient assis et attachés sauf un membre du personnel commercial.

Neuf personnes ont survécu à 1 'accident.

La balise de détresse a été détruite à l'impact.

Les opérations de recherche ont abouti à la découverte de l'avion un peu plus de quatre heures après

l'accident.

295

Peter B. Ladkin, 1999-02-08
	Last modification on 1999-06-15 by Michael Blume