Sundance: Dramatique Erreur de Maintenance

Le mécanicien est l’un des hommes les plus importants dans la chaine qui permet l’exploitation d’un aéronef en toute sécurité. De la perspective des pilotes, l’avion présente des systèmes redondants. Toute la philosophie de la sécurité aérienne est basée sur la disponibilité de systèmes multiples et indépendants ; ils ont une très faible probabilité de tomber en panne au même moment.

De la perspective d’un mécanicien cette redondance n’existe pas. Lors des maintenances, des éléments redondants font l’objet d’interventions. Si des erreurs sont faites, c’est toute la chaine de sécurité qui est irrémédiablement brisée sur tous les niveaux de redondance.

L’accident de l’hélicoptère de Sundance Aviation en décembre 2011 est un exemple type de maintenance ratée qui ne laisse aucune chance au pilote.

Sundance est une compagnie qui a des hélicoptères sur l’aéroport de Las Vegas. Depuis n’importe quel hôtel du Strip, vous pouvez voir leur ballet incessant. Pour quelques centaines de dollars, ils permettent aux touristes de survoler les casinos, les canyons ou le barrage Hoover. Ce barrage immense fournit de l’électricité à Las Vegas qui fait office d’une oasis au milieu d’un désert quasi-lunaire.

Le 7 décembre 2011, en fin de journée, les agents de la compagnie embarquent quatre passagers pour un survol du barrage au coucher du soleil. Il s’agit d’un couple qui fête ses noces d’argent (25 ans de mariage) et d’un autre couple de touristes.

La machine est un Ecureuil AS350 dotée d’un rotor principal à trois pales entrainé par une turbine Turbomeca Arriel 1D1. La veille, cet hélico a subi une grosse maintenance qui a permis de remplacer le moteur, une pièce sur la petite hélice anti-couple ainsi qu’une servocommande permettant de contrôler le rotor. En plus d’un vol d’essai en sortie de maintenance, quatre autres vols commerciaux ont eu lieu et leurs pilotes respectifs n’avaient rien à signaler.

Aux commandes, un pilote de 31 ans avec plus de mille heures d’expérience sur le type et des états de service impeccables. Il décolle à 16:21 et survole Las Vegas Boulevard en allant vers l’est. Le contrôleur aérien lui donne un code transpondeur et le voit s’éloigner à 120 nœuds en remontant vers 3500 pieds.

Comme l’appareil n’avait pas d’enregistreurs de vol et n’était pas tenu d’en avoir, c’est la trace radar qui raconte le reste de la trajectoire. Vers 16:30, alors qu’il est tout près du but, l’hélico grimpe brutalement de 600 pieds puis replonge de 800. Pendant près d’une minute, il réalise une trajectoire qui semble aléatoire en perdant de l’altitude. Enfin, il disparait de l’écran radar sans avoir envoyé de messages.

Les recherches sont immédiatement lancées pour trouver l’hélico dans la nuit et dans une zone très difficile à fréquenter par route. L’épave est localisée par un hélicoptère de la police au fond d’un canyon. Elle est détruite et calcinée par le crash et le feu qui a suivi. Les occupants sont tous morts sur le coup.

Le NTSB envoi une équipe de 12 enquêteurs qui doivent demander de l’aide au National Park Service. Seuls les Rangers de cette agence fédérale ont l’expérience et l’équipement pour arriver sur les lieux de l’accident.

L’enquête
L’épave est récupérée et analysée sous tous les angles avec une attention particulière aux éléments ayant subi une maintenance la veille du drame. Une anomalie saute aux yeux : le bras de la servocommande n’est pas connecté.

Explications : le rotor principal de l’Ecureuil est mobilisé par trois vérins hydrauliques. Quand le pilote agit sur le manche à balai, ces vérins – servocommandes – permettent d’incliner le plan de rotation du rotor vers la gauche, vers la droite, vers l’avant et vers l’arrière.

Une servocommande gauche et une servocommande droite permettent d’incliner le rotor latéralement. Une servocommande unique permet de l’incliner vers l’avant ou vers l’arrière. Les bielles de ces servocommandes sont connectées à un disque non-rotatif appelé « plateau cyclique ». Par un autre jeu de renvois et d’un gros roulement, ce plateau agit sur le rotor. Cette mécanique est le point le plus complexe d’un hélicoptère. La complexité vient du fait que des éléments fixes doivent contrôler plusieurs degrés de liberté d’un élément mobile ; le rotor.

La servocommande avant/arrière est une pièce cruciale. D’après le constructeur, la perte de cette pièce est catastrophique. Ce n’est pas un point fragile de l’Ecureuil, mais un point super critique. Il n’y a pas d’historique de rupture de cette servocommande, mais un historique d’accidents liés à des maintenances incorrectement réalisées. Le système est comme une grosse pièce d’horlogerie qui ne fonctionne que d’une seule façon.

 

Servocommande avant/arriere Ecureuil (Montage Correct)Les Régulations Fédérales (CFR), titre 14, chapitre 27 (Standards de Navigabilité des Aéronefs à Rotors), article 607 définissent les règles auxquelles doivent obéir les éléments critiques : « Chaque boulon amovible, vis, écrous, broches, ou autre moyen de fixation dont la perte pourrait compromettre la sécurité du giravion doivent intégrer deux dispositifs de verrouillage distincts. ».

Afin de certifier l’Ecureuil aux USA, le constructeur français a donc du démontrer que la bielle de la servocommande avant/arrière dispose de deux éléments de fixation dont chacun peut – à lui seul – assurer la sécurité de l’ensemble. Il y a d’abord un écrou autobloquant qui vient fixer la tête de bielle sur une tige filetée. Cet écrou a une zone caoutchoutée qui se comprime au fur et à mesure qu’il est vissé. A terme, elle crée suffisamment de friction pour empêcher un déboulonnage spontané lors des évolutions et vibrations de l’appareil. Dans le cas plus qu’improbable ou un tel écrou viendrait à se déboulonner, il y a un second dispositif de blocage consistant en une goupille qui passe dans la tige filetée du boulon puis elle est tordue à angle droit. Il faut des forces énormes pour la cisailler et ces forces ne se rencontrent pas en vol.

 

Principe de Fonctionnement d’une Goupille 

 

Sur le papier, le système est parfait. On y confierait sa vie ! Maintenant, quand les facteurs humains s’en mêlent, il reste à espérer que le mécanicien qui remplace une servocommande l’installe comme prévu par le constructeur.

Le boulon autobloquant
Le constructeur français explique dans quelles conditions un boulon autobloquant peut être réutilisé : le caoutchouc doit être en « bon état » ; il ne doit pas être possible de serrer le boulon à la main… Le seul critère objectif, c’est l’utilisation d’une clé dynamométrique que le constructeur recommande également pour juger de la qualité du boulon. Eurocopter – Airbus Helicopters depuis janvier 2014 – n’est pas le seul constructeur à faire ce genre de recommandations. On retrouve des instructions similaires chez Sikorsky ou Bell. La FAA a du s’en mêler à plusieurs reprises par des circulaires ou des directives de navigabilité quand des pièces non sécurisées ont été identifiées sur des parties critiques d’hélicoptères.

Une des solutions évidentes pourtant aurait été d’interdire purement et simplement la réutilisation de boulons autobloquants sur les pièces critiques. Ça aurait rajouté quelques Euros au prix de certaines maintenances mais avec une amélioration sensible de la sécurité. Au pire, si on y tient, au lieu de jeter les boulons, on aurait pu les envoyer à un atelier pour les certifier et les remettre en circulation.

Une erreur funeste
Lors de la maintenance la veille de l’accident, le mécanicien dit avoir inspecté le boulon autobloquant et avoir décidé de le réutiliser. Ceci est confirmé par les documents de l’atelier qui n’indiquent aucune commande de pièces de ce genre. Dans la foulée, il oublie de mettre la goupille qui joue le rôle de second système de blocage.

Un autre mécanicien contrôle le travail du premier et valide le montage. La compétence des deux employés n’est pas mise en cause, mais ils sont fatigués à cause de longues heures de travail et les fiches fournies par le constructeur ne sont pas très claires.

Le NTSB fait démonter les boulons de servocommandes de tous les hélicoptères de Sundance. La moitié ne sont pas conformes. C’est-à-dire que leur système d’auto blocage a perdu toute efficacité. La seule raison qui fait qu’ils ne se dévissent pas en vol, c’est la goupille ! Or sur l’hélicoptère accidenté, le mécanicien avait oublié d’installer cette goupille.

Dans une lettre envoyée aux enquêteurs, Eurocopter déclare que si le boulon est en bon état, même si la goupille n’est pas installée, il ne se dévissera jamais en vol. Le boulon n’a jamais été retrouvé mais il était certainement trop usé. Il lui a fallu 4 heures de vol pour se dévisser totalement et laisser le pilote avec une machine impossible à contrôler. En termes de contrôlabilité, c’est un peu comme un avion qui perd la commande de profondeur ; mais pire encore.

Lors de l’accident, l’hélicoptère volait normalement quand soudainement, la bielle de la servocommande s’est désengagée. A cet instant, le plan de rotation du rotor principal bascule brutalement vers l’arrière. Le mouvement est équivalent a ce qui arriverait si le pilote tire brutalement le manche (cyclique) jusqu’en butée. L’hélicoptère se cabre et prend rapidement de l’altitude. Ceci explique la montée rapide observée au radar. Le reste des mouvements est désordonné et doit plus ou moins correspondre à la lutte du pilote pour retrouver un contrôle impossible.

Après cet accident, les responsables de Sundance ont décidé de changer les procédures de maintenance : dorénavant, quand un boulon est retiré d’une servocommande, il est immédiatement jeté et remplacé par un neuf. Après tout, un boulon autobloquant coûte moins cher qu’une canette de Coca.