Bea2017 0003

www.bea.
aero
@BEA_Aero
RAPPORT D’ENQUÊTE
Incident grave du Boeing 737-800
immatriculé CN-ROJ
et exploité par Royal Air Maroc
survenu le 30 décembre 2016
à Lyon-Saint Exupéry (69)
Copyright : Andrea Giribuola / jetphotos.com BEA2017-0003/Novembre 2021

Les enquêtes de sécurité
Le BEA est l’autorité française d’enquêtes de sécurité de l’aviation civile. Ses

enquêtes ont pour unique objectif l’amélioration de la sécurité aérienne et ne
visent nullement la détermination des fautes ou responsabilités.
Les enquêtes du BEA sont indépendantes, distinctes et sans préjudice de toute

action judiciaire ou administrative visant à déterminer des fautes ou des
responsabilités.
2
Table des matières
LES ENQUÊTES DE SÉCURITÉ 2
SYNOPSIS 8
ORGANISATION DE L’ENQUÊTE 11
1 - RENSEIGNEMENTS DE BASE 12
1.1 Déroulement du vol 12
1.1.1 L’approche à Paris-Orly 12
1.1.2 Le vol de croisière entre Paris-Orly et Lyon-Saint Exupéry 14
1.1.3 La première approche à Lyon-Saint Exupéry 14
1.1.4 La deuxième approche à Lyon-Saint Exupéry 17
1.2 Tués et blessés 19
1.3 Dommages à l’aéronef 19
1.4 Autres dommages 19
1.5 Renseignements sur le personnel 20
1.5.1 Équipage de conduite 20
1.5.2 Renseignements sur le personnel des services de contrôle de la
circulation aérienne de Lyon-Saint Exupéry 21
1.6 Renseignements sur l’aéronef 21
1.6.1 Cellule 22
1.6.2 Descriptions des systèmes 22
1.6.3 Opérations de maintenance 32
1.7 Renseignements météorologiques 38
1.7.1 Situation générale 38
1.7.2 Informations reçues par l’équipage 39
1.7.3 Conditions météorologiques régnant à destination
et au dégagement 40
1.8 Aides à la navigation 41
1.9 Télécommunications 42
1.10 Renseignements sur les aérodromes 42
1.10.1 Aérodrome Paris-Orly 42
1.10.2 Aérodrome Lyon-Saint Exupéry 42
1.11 Enregistreurs de bord 43
1.11.1 Enregistreurs de vol 43
1.11.2 Séquence des événements 43
1.12 Renseignements sur l’épave et sur l’impact 48
1.13 Renseignements médicaux et pathologiques 48
1.14 Incendie 48
3
1.15 Questions relatives à la survie des occupants 48
1.16 Essais et recherches 48
1.16.1 Examen des ADIRU 49
1.16.2 Examen des FCC 49
1.16.3 Causes des disparitions des directeurs de vol
et des désengagements de pilote automatique observés
dans les données QAR 52
1.16.4 Analyse des données QAR des autres vols 53
1.16.5 Analyse des reports équipage dans le compte rendu matériel 54
1.16.6 Analyse de l’étude de sécurité Boeing relative
au dysfonctionnement non détecté d’un ADIRU 55
1.16.7 Situation technique de l’avion après l’événement 57
1.17 Renseignements sur les organismes et la gestion 59
1.17.1 L’exploitant 59
1.17.2 Organisme chargé de la maintenance 67
1.17.3 Organismes de contrôle aérien 71
1.18 Renseignements supplémentaires 73
1.18.1 Témoignage du Commandant de bord 73
1.18.2 Témoignage de l’Officier pilote de ligne 75
1.18.3 Technicien de maintenance en ligne à Lyon-Saint Exupéry 76
1.18.4 Contrôleurs 76
2 - ANALYSE 78
2.1 Scénario 78
2.1.1 En croisière : Messages d’alerte FMC (IRS gauche) 78
2.1.2 Approche de catégorie 3 à Paris-Orly et impossibilité d’engager
les deux A/P 78
2.1.3 Le dégagement vers Lyon 79
2.1.4 Interruption de la première approche à Lyon
et alarme IRS FAULT 79
2.1.5 Deuxième approche à Lyon et non-stabilisation de l’approche 80
2.2 Conséquences et moyens de détection du dysfonctionnement
d’un ADIRU 81
2.2.1 Conséquences du dysfonctionnement d’un ADIRU 81
2.2.2 Surveillance interne à l’ADIRU et activation de l’alarme IR FAULT 83
2.3 Perte progressive de confiance dans l’avion et stress généré 84
2.4 Charge de travail et travail en équipage 86
2.5 Interface équipage / contrôle aérien 87
2.5.1 Transfert approche-tour 87
2.5.2 Échanges équipage-contrôle aérien 87
2.6 Pratiques de la RAM 87
2.6.1 Interception ILS 87
2.6.2 Report non systématique dans le TLB de dysfonctionnements
techniques rencontrés par les équipages de conduite 88
4
2.7 Maintenance de la RAM 89
2.7.1 Gestion de la panne du radioaltimètre 2 89
2.7.2 Maintenance en ligne à Lyon 90
3 - CONCLUSIONS 91
3.1 Faits établis par l’enquête 91
3.2 Facteurs contributifs 94
4 - RECOMMANDATIONS DE SECURITÉ 96
4.1 Réévaluation de l’étude de sécurité relative aux conséquences
de l’utilisation par le FCC d’une information erronée non détectée
provenant de l’ADIRU. 96
4.2 Surveillance interne à l’ADIRU et activation de l’alarme IRS FAULT 97
4.3 Procédures de report de pannes par les équipages de conduite de la
compagnie Royal Air Maroc 98
4.4 Traitement des pannes intermittentes à la compagnie Royal Air Maroc 99
4.5 Pratique de la compagnie lors d’interceptions de l’ILS 99
5 - ENSEIGNEMENTS DE SÉCURITÉ 100

5.1 Application des procédures de traitement de panne par les équipages 100
5.2 Entraînement des pilotes au pilotage manuel sans F/D
en approche ILS avec déconnexion subie de l’A/P 100
5.3 Suivi des procédures lors de la maintenance en ligne 101
5.4 Mise à jour de la documentation opérationnelle 101
6 - MESURES PRISES PAR LA COMPAGNIE ROYAL AIR MAROC 101
ANNEXES 102
5
Glossaire
Acronymes Version Anglaise Version Française
A/P Autopilot Pilote automatique
A/T Auto Throttle Automanette
ADIRS Air Data Inertial Reference System

ADIRU Air Data Inertial Reference Unit Centrale aérodynamique et inertielle
Informations de référence
ADR Air Data Reference
anémométriques
European Aviation Safety Agency Agence européenne de la sécurité
AESA
(EASA) aérienne
AMM Aircraft Maintenance Manual Manuel de maintenance
Programme de maintenance des
AMP Aircraft Maintenance Program
aéronefs
APP Approche
APRS Approbation pour remise en service
ATC Air Traffic Control Contrôle de la circulation aérienne
ATP Acceptance Test Protocol
ATPL Airline Transport Pilot Licence Licence de Pilote de ligne
BITE Built-In Test Equipment Dispositif de test intégré
CdB Commandant de Bord
CDU Control Display Unit Tableau de commande et d’affichage
CRM Cockpit Resource Management Gestion des ressources de l’équipage
CTE Certificat technique d’exploitation
DA Decision Altitude Altitude de décision
DAC Direction de l’Aviation Civile (Maroc)
DEU Display Electronics Unit
DFCS Digital Flight Control System
ECP Entraînements et contrôles périodiques
Enhanced Ground Proximity Système d’avertisseur de proximité de
EGPWS
Warning System sol amélioré
F/D Flight Director Directeur de vol
Agence américaine en charge de
FAA Federal Aviation Administration
l’Aviation civile
FCC Flight Control Computer Calculateur de commande de vol
FCOM Flight Crew Operating Manual Manuel d’exploitation des équipages
FIM Fault Isolation Manual Manuel de localisation des pannes
FMA Flight Mode Annunciator Annonciateur de mode
FMC Flight Management Computer Calculateur de gestion de vol
GLIDE Glide slope Radioalignement de descente
6
Acronymes Version Anglaise Version Française
IAF Initial Approach Fix Repère d’approche initiale
ILS Instrument Landing System Système d’atterrissage aux instruments
IR Inertial reference Informations de référence inertielles

IRS Inertial Reference System Centrale à inertie
LOC Localizer Radioalignement de piste
LRU Line-Replaceable Unit Élément remplaçable en escale
LVP Low Visibility Procedures Procédures de faible visibilité
MCC Maintenance Control Center Centre de contrôle de maintenance
MCP Mode Control Panel Tableau de commande de mode
MDA Minimum Descent Altitude Altitude minimale de descente
MML Manuel de maintenance en ligne
MMR Multi-Mode Receiver Récepteur multimode
MOE Manuel de l’organisme d’entretien
MSAW Minimum Safe Altitude Warning Alarme d’altitude minimale de sécurité
MSU IRS Mode Selector Unit Panneau de commande des ADIRU
ND Navigation Display Écran de navigation
National Transportation Safety Organisme d’enquête de sécurité des
NTSB
Board États-Unis
NVM Non-Volatile Memory Mémoire non volatile
OPL Officier pilote de ligne (copilote)
PF Pilot Flying Pilote en Fonction
PFD Primary Flight Display Écran de vol primaire
PM Pilot Monitoring
PNC Personnel Navigant Commercial
QAR Quick Access Recorder Enregistreur de maintenance
QRH Quick Reference Handbook
RA Radioaltimètre
RAM Royal Air Maroc
RG Ring Laser Gyros Gyromètre laser
RVR Runway Visual Range Portée visuelle de piste
SB Service Bulletin Bulletin de service
TEMSI Carte de prévision du temps significatif
TLB Technical Log Book Partie du Compte rendu matériel
Very high frequency
VOR Radiophare omnidirectionnel VHF
Omnidirectional Range
Carte de prévision de vent et
WINTEM WINd TEMperature
températures
7
Synopsis
Déroutement, dysfonctionnement IRS de l’ADIRU, remise
de gaz, approche non stabilisée en pilotage manuel et
conditions IMC, descente sous le plan nominal,
sortie de couche non axée, baïonnette, alerte MSAW,
alarmes EGPWS
Heure À 11 h 09(1) (1)
Sauf précision
contraire, les heures
Exploitant Royal Air Maroc figurant dans
Nature du vol Transport commercial de passagers ce rapport sont
exprimées en temps
Commandant de bord (PF) ; copilote (PM) ; 4 PNC;
Personnes à bord universel coordonné
149 passagers (UTC). Il convient
Conséquences et dommages Aucune d’y ajouter une
heure pour obtenir
l’heure en France
métropolitaine le jour
Le 30 décembre 2016, le Boeing 737-800, est en guidage vers l’ILS de la piste 06 de l’événement.
de Paris-Orly (94). Les conditions météorologiques imposent une approche aux
instruments de catégorie 3 (ILS CAT III).
Après avoir reçu la clairance d’approche, l’équipage tente à deux reprises d’engager
le deuxième pilote automatique (A/P B). La non-réception par le calculateur de
commande de vol (FCC B) des données du radioaltimètre (RA) 2 ne permet pas
l’engagement de l’A/P B et provoque le désengagement de l’A/P A.
L’équipage engage de nouveau l’A/P A, informe le contrôleur qu’il ne peut pas
effectuer une ILS CAT III, demande à interrompre l’approche et à dégager vers
l’aéroport Lyon-Saint Exupéry. Les conditions à Lyon permettent une approche ILS
CAT I, réalisable avec un seul A/P fonctionnel.
Lors de l’interception de l’ILS 35R à Lyon-Saint Exupéry, alors que l’A/P est passé en
mode d’interception et de suivi du signal radioélectrique du Localizer (mode VOR/
LOC vert), l’avion vire soudainement à droite avec une inclinaison de 30°, croise l’axe
du Localizer et s’en éloigne à un cap franchement divergent (cap 70°), sans qu’aucune
alarme ne se déclenche à bord. Ce virage à droite inopportun est commandé par
l’A/P du fait de données erronées en provenance du module IRS de la Centrale
aérodynamique et inertielle (ADIRU) gauche.
L’invalidité des données fournies par l’ADIRU gauche entraîne ensuite le
désengagement de l’A/P A. Le pilotage est alors effectué en manuel par le CdB avec
les directeurs de vol (F/D) affichés à l’écran de vol primaire (PFD).
L’équipage tente dans un premier temps de revenir sur l’axe. L’écart de trajectoire
rendant la poursuite de l’approche compromise, il interrompt l’approche puis engage
l’A/P B.
Alors que l’avion vient à nouveau d’être transféré à l’approche, l’alarme L IRS FAULT
se déclenche ce qui provoque le désengagement de l’A/P B, la disparition des
informations d’assiette, de roulis et de cap ainsi que des barres F/D sur le PFD gauche.
Le CdB pilote de nouveau en manuel tout en effectuant de mémoire une des actions
de la checklist IRS FAULT en plaçant le sélecteur IRS Transfer Switch sur BOTH ON R.
Ainsi, les deux FCC utilisent les données fournies par l’ADIRU droit. L’assiette, le roulis
et le cap sont de nouveau affichés sur le PFD gauche et les barres F/D réapparaissent. 8
Lors de la deuxième approche et de la phase d’interception vers le Localizer et
après avoir réengagé l’A/P B et transféré les commandes au copilote, le CdB indique
au contrôleur qu’il a des problèmes de positionnement. Le contrôleur poursuit le
guidage radar.
Au moment de la capture du Glide, l’A/P B se désengage automatiquement en raison
de la non-réception par le FCC B des données du RA 2. Les F/D disparaissent des
deux côtés. Le copilote transfère alors les commandes au CdB. Ce dernier indique
au contrôleur d’approche qu’il poursuit en pilotage manuel. Le vol est transféré au
contrôleur tour.
L’approche, en pilotage manuel et sans F/D, n’est pas stabilisée, aussi bien en ce
qui concerne l’axe d’approche, que la vitesse et la configuration avion. Plusieurs
alarmes EGPWS « SINK RATE », « GLIDE SLOPE » et « TOO LOW TERRAIN » se déclenchent
en finale. L’avion sort de la couche entre les pistes 35L et 35R, effectue une baïonnette
et atterrit sur la piste 35R.
Ont contribué à cet incident grave :
La concomitance de deux défaillances indépendantes au sein de deux systèmes
différents dont l’origine, l’absence de lien et les conséquences étaient difficiles
à établir pour l’équipage sans information adéquate dans la documentation
opérationnelle ni d’alarmes suffisamment saillantes émises par les systèmes
avion.
Une perte de confiance progressive de l’équipage dans les systèmes avion au
fil du vol engendrant un stress important et une focalisation de l’attention de
l’équipage sur le niveau de carburant restant.
La dégradation du CRM au sein de l’équipage lors d’une charge de travail devenue
très élevée en raison notamment de la nécessité de gérer la panne IRS FAULT
pendant la phase d’interruption de l’approche.
La logique de fonctionnement des FCC qui ne prévoit pas, conformément à
ses spécifications, de surveillance des données inertielles fournies par les ADIRU
hormis dans les cas d’approches avec les deux A/P engagés.
La logique de surveillance interne des ADIRU vis-à-vis de la validité des données
inertielles transmises aux autres systèmes. Les critères de déclenchement de
la panne Drift Angle, facteur déclencheur de l’alarme IRS FAULT, peuvent en
effet amener cette dernière à apparaître tardivement par rapport au début du
dysfonctionnement du module IR de l’ADIRU.
Le report non systématique par les équipages de dysfonctionnements techniques
sur le TLB tels que la disparition des F/D, les dysfonctionnements ADIRU et
les déconnexions automatiques de l’A/P.
La persistance de pannes intermittentes.
9
Le BEA a émis cinq recommandations de sécurité concernant :
Une réévaluation de l’étude de sécurité relative aux conséquences de l’utilisation
par le FCC d’une information erronée non détectée provenant de l’ADIRU.
La surveillance interne à l’ADIRU et l’activation de l’alarme IRS FAULT.
Les procédures de report de pannes par les équipages de conduite.
Le traitement des pannes intermittentes à la compagnie Royal Air Maroc.
La pratique de la compagnie lors d’interceptions de l’ILS.
Quatre enseignements de sécurité ont également été tirés de cet incident.
Ils concernent :
L’application des procédures de traitement de panne par les équipages.
L’entraînement des pilotes au pilotage manuel sans F/D en approche ILS avec
déconnexion subie de l’A/P.
L’importance de la maintenance en ligne.
La mise à jour de la documentation opérationnelle.
10
ORGANISATION DE L’ENQUÊTE
Le 2 janvier 2017 vers 11 h, les Services de la Navigation Aérienne Centre Est (SNA‑CE)
notifient au BEA une quasi-collision avec le sol survenue au vol RAM780S en approche
sur Lyon-Saint Exupéry.
Dans l’après-midi, le BEA initie un échange avec le bureau d’enquêtes marocain et
la compagnie Royal Air Maroc sur les circonstances de l’événement.
Le 5 janvier 2017, le BEA classifie l’événement comme un incident grave et ouvre
une enquête de sécurité. Les organismes d’enquête marocain (au titre de l’état
de l’exploitant) et américain (au titre de l’état de conception et de fabrication de
l’aéronef) sont notifiés et nomment chacun un représentant accrédité.
Les données de l’enregistreur QAR (identiques à celles de l’enregistreur de
paramètres FDR) ainsi que les données ATC ont pu être récupérées. Les données de
l’enregistreur phonique (CVR) n’ont pas été préservées par l’équipage de conduite
après l’événement.
Une équipe d’enquête a été constituée et s’est rendue à Lyon puis à Rabat pour
effectuer les premiers actes d’enquête.
Ce rapport contient cinq recommandations de sécurité.
11
1 - RENSEIGNEMENTS DE BASE
1.1 Déroulement du vol
Note : Ces informations sont issues des témoignages, des paramètres du QAR et Le copilote est
(2)
des enregistrements ATC (communications et radar). Les moments clés de l’événement également désigné
comme Officier pilote
sont assortis d’une lettre de couleur. Ces lettres sont reportées sur les trajectographies de
de ligne (OPL).
ce chapitre.
(3)
Le message IRS-L
DRIFT est émis par
Le 30 décembre 2016, le Boeing 737-800, immatriculé CN-ROJ décolle de l’aérodrome le FMC lorsque les
Rabat-Salé (Maroc) à 07 h 46 pour effectuer le vol RAM 780S, en transport commercial informations de
de passagers, à destination de l’aérodrome Paris-Orly (94). Le commandant de bord vitesse et/ou position
fournies par l’ADIRU
est PF et le copilote(2) est PM. L’A/P A est engagé après le décollage. gauche ne sont pas
cohérentes avec
L’équipage indique dans son témoignage qu’environ une heure après le décollage, celles fournies par
le message d’alerte IRS-L DRIFT (3) apparait sur le Tableau de commande et d’affichage l’ADIRU droit et celles
(CDU). Il cherche sans succès dans la documentation de bord la signification de élaborées à partir
des positions GNSS.
ce message(4). Il vérifie à plusieurs reprises la cohérence des informations de vitesse (4)
Le message
et de position sur le CDU et observe que le problème semble en voie de résolution. IRS-L DRIFT (ou
IRS-R DRIFT) est un
Environ deux heures après le décollage, l’équipage constate que le message « VERIFY nouveau message qui
POS : IRS-IRS » (5) apparaît sur le CDU. À Paris-Orly, les conditions météorologiques est apparu à partir
imposent une approche aux instruments de catégorie 3 (ILS CAT 3). L’équipage de la version U11
du FMC installé sur
indique qu’étant en descente vers Orly et connaissant ce message, il ne se réfère l’avion en mars 2016.
pas à la documentation. Considérant que les informations de vitesse sol des deux La documentation
IRS semblent converger, l’équipage décide de poursuivre l’approche et sélectionne opérationnelle
consultée par
l’aérodrome Lyon-Saint Exupéry en cas de dégagement. l’équipage durant le
vol n’était pas à jour.
1.1.1 L’approche à Paris-Orly Le message VERIFY
(5)
POS : IRS-IRS est émis

À 10 h 01, le vol RAM 780S est transféré du centre de contrôle en route de Paris par le FMC lorsque la
à l’approche de Paris-Orly, en descente vers le FL 110. différence entre les
positions fournies par
À 10 h 07, l’avion est pris en guidage radar pour une approche ILS vers la piste 06 les deux ADIRU est
supérieure à
de Paris Orly. Le contrôle indique à l’équipage que la portée visuelle de piste (RVR) 10 NM pendant 40 s.
est de 400 m. (6)
L’équipage
À 10 h 09, le contrôleur de l’approche autorise l’avion à descendre à l’altitude de n’a pas indiqué
s’il avait identifié
5 000 ft et à intercepter le Localizer de la piste 06. cette déviation.
À 10 h 10 min 53, l’équipage arme le mode VOR/LOC qui s’engage 40 s plus tard. (7)
Les deux A/P
L’avion débute le virage d’interception de l’axe du Localizer 06, s’en écarte à droite ne peuvent
pas s’engager
puis à gauche avant de l’intercepter. Le contrôleur interroge le RAM 780S : « you are simultanément
not in the Localizer confirm ?». L’équipage ne répond pas(6) (voir Figure 1 point A). tant que le mode
Approche n’a pas été
À 10 h 12 min 56, l’équipage engage l’A/P B, l’A/P A se désengage. Puis, neuf secondes armé en appuyant
plus tard, l’équipage engage l’A/P A et l’A/P B se désengage.(7) sur le bouton APP du
MCP. Les approches
À 10 h 13 min 38, le contrôleur d’approche demande : « Maroc 780S confirm you are ILS CAT III nécessitent
l’engagement
established ? ». L’équipage confirme (point B). Le contrôleur d’approche transfère des deux A/P.
le vol au contrôleur tour.
12
À 10 h 14 min 03, le contrôleur tour demande à l’équipage de rappeler à 5 NM
en finale et lui transmet une RVR de 375 m. L’équipage collationne puis demande Mode de guidage
(8)
s’il est autorisé pour l’approche ILS. Le contrôleur tour répond par la négative et qui permet d’activer
les captures
réitère la demande à l’équipage de rappeler à 5 NM. L’équipage répond qu’il descend automatiques du
à 4 000 ft. Le contrôleur l’autorise pour l’approche ILS CAT III. À cet instant l’équipage LOC et du Glide lors
arme le mode Approche (APP(8)) et l’avion commence sa descente finale (point C). d’une approche ILS.
À 10 h 15 min 36, l’équipage sélectionne l’altitude de remise de gaz de 2 000 ft

au Tableau de commande de mode (MCP).
À deux reprises, l’équipage tente d’engager l’A/P B. Celui-ci ne s’engage pas et (9)
Les examens des
provoque le désengagement de l’A/P A. L’équipage engage à nouveau l’A/P A avec deux calculateurs de
commande de vol
succès(9). (FCC) ont montré
qu’à cet instant le
À 10 h 16 min 37, l’équipage informe le contrôleur tour d’Orly qu’il ne peut pas désengagement
effectuer une approche ILS CAT 3 et demande une remise des gaz. L’avion est alors de l’A/P B est dû à
à environ 9 NM du seuil de la piste 06 à une altitude d’environ 3 250 ft (point D). la non-réception
par le FCC B des
À 10 h 17 min 02, le contrôleur tour demande alors à l’équipage de « stopper la données du RA 2.
descente à 2 000 ft » et de maintenir cette altitude. L’équipage collationne puis
demande une clairance vers l’aérodrome Lyon-Saint Exupéry, aérodrome de
dégagement prévu au plan de vol (point E). L’approche est alors interrompue avec
l’A/P A engagé.
Figure 1 : Trajectoire d’approche à Paris-Orly
13
1.1.2 Le vol de croisière entre Paris-Orly et Lyon-Saint Exupéry
À 10 h 31, l’équipage affiche la fréquence 114,75 MHz correspondant au VOR (10)
Un NOTAM
LSE de Lyon-Saint Exupéry sur le récepteur VOR de l’OPL. Le VOR reste inactif. indiquait que
jusqu’au 27 avril
Puis le CdB insère l’indicatif « LSE » en page FIX INFO sur le CDU afin de vérifier la 2017, le VOR LSE de
fréquence du VOR. Le système lui indique alors que le VOR « LSE » se trouve à plus de Lyon Saint-Exupery
3 000 NM.(10) de fréquence
114,75 MHz était
Pendant la descente et la préparation de l’approche ILS 35R à Lyon-Saint Exupéry, remplacé par un VOR
provisoire d’indicatif
l’équipage tente d’armer le système de freinage automatique et constate que le VMP associé à la
voyant ambre AUTOBRAKE DISARM s’allume. Il bascule le système sur OFF comme le fréquence 117,2 MHz.
prévoit la procédure. Ce NOTAM était
présent dans la
À 10 h 40 min 21, l’avion est transféré du centre de contrôle en route de Paris au partie « Area En
route – Destination
centre de contrôle en route de Marseille. Lors de la coordination, le contrôleur de – Destination
Paris informe son homologue de Marseille que le vol RAM 780S a eu des « difficultés Alternate » à la
pour atterrir à Orly et qu’il a dû remettre les gaz, en raison du brouillard ». fin du dossier de
vol et non dans la
partie « Destination
1.1.3 La première approche à Lyon-Saint Exupéry Alternate ».
Cette dernière partie
À 10 h 44 min 43, l’équipage est transféré au contrôle d’approche de Lyon-Saint des NOTAM n’avait
Exupéry. pas été consultée
par l’équipage
À 10 h 45 min 40, le contrôle d’approche de Lyon demande au vol RAM 780S de avant le départ.
descendre au FL 90 puis quelques minutes plus tard à 3000 ft et effectue un guidage

radar vers l’ILS de la piste 35 R.
À 10 h 58 min 23, le contrôleur demande au vol RAM 780S de tourner à gauche au cap
020° et l’autorise à l’approche ILS 35 R (point F).
À 10 h 58 min 55, l’équipage arme le mode VOR/LOC.
À 10 h 59 min 20, le mode VOR/LOC s’engage (point G). Alors que l’équipage s’attend
à un virage à gauche pour l’interception du Localizer de la piste 35R, l’avion effectue
un virage franc à droite puis croise l’axe du Localizer de la piste 35 R et s’en éloigne
vers l’est. L’équipage n’effectue pas d’action particulière pour corriger la trajectoire
à la suite de cet écart.
À 10 h 59 min 27 le contrôleur d’approche demande à l’équipage de réduire sa vitesse
à 180 kt et de contacter le contrôleur tour de Lyon-Saint Exupéry.
À 10 h 59 min 45, l’avion se met en virage gauche, commandé par l’A/P. À cet instant,
l’aéronef est à environ 9 NM du seuil 35 R et à plus de 2,5 points à droite de l’axe
du Localizer, en éloignement. Au même moment, l’équipage établit le contact avec
le contrôleur tour.
À 10 h 59 min 51, le contrôleur d’approche, constatant que l’aéronef s’est écarté de
l’axe d’approche, tente à deux reprises de recontacter le vol RAM 780S. Ce dernier est
en contact avec le contrôleur tour. Le contrôleur d’approche demande à son assistant
de proposer au contrôleur tour la reprise de l’avion par l’approche.
14
À 10 h 59 min 52, l’équipage s’annonce en finale piste 35 R. Au même instant, Les examens
(11)
l’A/P A se désengage automatiquement(11) et l’automanette (A/T) est désengagée des deux FCC ont
montré que le
manuellement (point H). L’aéronef est à 3 000 ft. Six secondes plus tard, l’équipage désengagement de
informe le contrôleur qu’il remet les gaz. Le contrôleur tour lui répond qu’il n’est pas l’A/P A à cet instant
« du tout sur l’axe du Localizer » de la piste 35 R mais à « environ 1 NM à l’est »(12). est dû à l’invalidité
des données
Quelques instants plus tard, il indique à l’équipage qu’il se dirige désormais dans fournies par l’ADIRU
gauche au FCC A.
« la bonne direction ». Il lui précise qu’il peut éventuellement rappeler en vue de
l’aérodrome mais que la météo « n’est pas très bonne », avec une couverture nuageuse
(12)
Les données
QAR montrent que
à une hauteur de 500 ft et que sinon il faudra faire une nouvelle approche. L’équipage l’avion est en réalité à
demande à effectuer une nouvelle approche. À 11 h 00 min 42, le contrôleur lui 1,6 NM à l’est de l’axe.
demande de monter à 5 000 ft et de prendre le cap 360 (point I). L’altitude de 5 000 ft
est sélectionnée par l’équipage au MCP alors que l’avion passe 4 600 ft en montée.
15
Figure 2: Trajectoire d’approche à Lyon-Saint Exupéry
16
1.1.4 La deuxième approche à Lyon-Saint Exupéry
À 11 h 01 min 17, l’avion est transféré à nouveau au contrôleur d’approche. (13)
Le voyant ambre
L IRS FAULT s’allume
À 11 h 01 min 19, l’équipage engage l’A/P B (point J). L’avion se trouve alors à une sur le panneau
altitude d’environ 5 650 ft. L’avion arrête sa montée et commence à redescendre vers supérieur ainsi que
les voyants poussoir
5 000 ft. Master Caution et
le pavé IRS sur le
À 11 h 01 min 35, l’équipage contacte à nouveau l’approche. Au même moment System Annunciator
l’alarme L IRS FAULT se déclenche(13) ce qui provoque le désengagement de l’A/P Panel côté CdB.
B (point K), la disparition des F/D et des affichages de l’assiette, du roulis et du cap Lorsque le
(14)
sur le PFD côté gauche. Le contrôleur demande à l’équipage de tourner à droite au sélecteur est placé
cap 090 pour un nouveau guidage vers l’ILS 35R. Ce dernier collationne. sur la position BOTH
ON R, seules les
À 11 h 01 min 44, le CdB place le sélecteur IRS Transfer Switch sur « BOTH ON R (14)». données fournies par
l’ADIRU droit sont
L’alarme L IRS FAULT s’éteint(15). Les F/D côté gauche réapparaissent ainsi que les utilisées par les FCC.
affichages de l’assiette, du roulis et du cap. L’avion est en VMC, en pilotage manuel
et reprend une montée. (15)
La check-list de
secours à appliquer
À 11 h 02 min 06, l’A/T est engagée. lorsque l’alarme L IRS
FAULT se déclenche
À 11 h 02 min 11, l’A/P B est engagé. L’avion est à une altitude d’environ 6 500 ft. indique à l’équipage
Les modes actifs sont HDG et MCP SPD. Le cap sélecté est 090° et l’avion redescend que dans le cas où
l’usage de l’A/P est
vers l’altitude sélectée de 5 000 ft (point L). souhaité, l’équipage
doit basculer le
À 11 h 03 min 01, l’OPL demande un cap de rapprochement sous la forme « Air Maroc bouton IRS Transfer
780S, we need an…on demande un cap de rapprochement » (point M). L’avion vole Switch du côté de
l’ADIRU restant au
alors au cap 090°, à une altitude de 5 000 ft. Le contrôleur demande à l’équipage de
panneau supérieur
tourner à droite au cap 180° et s’il souhaite avoir la trajectoire d’approche la plus et désengager
courte possible. L’équipage ne répond pas à cette demande. Le contrôleur lui donne l’A/P avant la
phase d’approche
alors le cap 200°.
(voir § 1.6.2.2.4).
À 11 h 03 min 12, l’amortisseur de lacet se désengage(16). (16)
Lorsqu’un seul
ADIRU est valide,
À 11 h 04 min 20, le contrôle l’autorise à descendre à 3 000 ft, puis lui demande de l’engagement de
tourner à gauche au cap 180° pour pouvoir intercepter correctement. l’amortisseur de lacet
n’est possible que
Le CdB indique alors avoir transféré les commandes à l’OPL. si l’A/P n’a pas été
engagé depuis au
À 11 h 05 min 42, le contrôle demande à l’équipage de tourner à droite au cap 240°. moins une minute.
Le CdB collationne le message. L’amortisseur de
lacet est désengagé
À 11 h 06 min 32, le contrôle demande à l’équipage de tourner à droite au cap 320° automatiquement
par l’avion une
et l’autorise à l’approche ILS pour la piste 35 R. minute après
l’engagement de
À 11 h 07 min 30, l’équipage demande un guidage radar. Le contrôleur indique à l’A/P (voir § 1.6.2.2.2)
l’équipage qu’il est sur le cap d’interception de l’ILS. L’équipage lui indique qu’il a des
problèmes de positionnement (point N). Le contrôleur répond qu’il devrait prendre
le cap 355°.
À 11 h 07 min 36, à 8 NM du seuil de piste, l’équipage arme le mode VOR/LOC.
Trente secondes plus tard, le mode VOR/LOC s’active (point O). L’équipage engage
le mode APP trois secondes plus tard.
À 11 h 08 min 15, le contrôleur demande si l’avion a intercepté le signal du Glide.
Le CdB répond qu’ils ont capturé le signal du Localizer mais pas encore celui du Glide.
17
À 11 h 08 min 28, le mode G/S s’engage Au même instant, l’A/P B se désengage (17)
Les examens des
automatiquement(17) (point P). À cet instant, les F/D en tangage et en roulis ont deux FCC ont montré
disparu sur les PFD gauche et droit. À son initiative, l’OPL transfère les commandes qu’à cet instant le
désengagement
au CdB. de l’A/P B est dû à
la non-réception
À 11 h 08 min 30, le CdB informe le contrôleur d’approche qu’ils poursuivent par le FCC B des
l’approche en manuel. Le contrôleur demande si cela signifie qu’ils ont visuel ; données du RA 2.
l’équipage répond par la négative. Le CdB ajoute qu’il continue en manuel et
demande en français « confirmez si on est sur le bon Glide et le bon LOC ». La suite
des échanges avec le contrôleur d’approche se fait en français. Le contrôleur répond
qu’il est dans l’incapacité de confirmer si le signal capté par l’avion est bien celui de
l’ILS 35 R mais que, compte tenu de la position de l’aéronef au radar, il devrait être
sur le Glide.
À 11 h 08 min 36, l’équipage commande la sortie des trains d’atterrissage.
À 11 h 08 min 58, le contrôleur demande à l’équipage s’il a la vue du sol, l’équipage
répond par la négative. Le contrôleur demande alors à l’équipage ses intentions. Le CdB
répond qu’il continue manuellement sur le Localizer et le Glide. À 11 h 09 min 09,
le contrôleur d’approche transfère le vol à la tour de Lyon. L’avion passe 2 350 ft
en descente.
À 11 h 09 m 28, l’alerte EGPWS « Glideslope » se déclenche dans le poste de pilotage
alors que l’avion se trouve à une altitude de 1 750 ft (hauteur radio-sonde de 950 ft)
et 2 points sous le glide. Une seconde après, une alarme d’altitude minimale de
sécurité (MSAW) se déclenche sur l’écran radar du contrôleur approche et dure environ
dix secondes (point Q). Au moment du déclenchement de cette alarme, vue par les
contrôleurs approche et tour, l’équipage n’est plus sur la fréquence d’approche et
n’a pas encore contacté la tour.
À 11 h 09 min 33, l’équipage déconnecte l’A/T.
À 11 h 09 min 48, quelques secondes après la fin de l’alarme MSAW, l’OPL contacte
la tour. La suite des échanges se fait en anglais et se poursuivra ainsi jusqu’à
(18)
L’écoute de
l’enregistrement
l’atterrissage. Le contrôleur tour demande à l’équipage s’il a la piste en vue. radio ATC montre
qu’à partir de cet
À 11 h 09 m 56, l’équipage répond que ce n’est pas encore le cas. Quatre secondes instant et jusqu’à
plus tard, l’alerte EGPWS « Sink rate » s’active. À ce moment l’avion est à une altitude l’atterrissage,
de 1 480 ft (environ 710 ft radio-sonde), avec une vitesse indiquée de 162 kt les communications
bord se font sur
en augmentation, un taux de descente d’environ 2 250 ft/min. Il est au cap 345° et un ton hésitant
à environ 2,1 NM du seuil (point R). et angoissé.
Les messages
À 11 h 10 min 02, l’OPL annonce « We are….we are…..Go around Air Maroc »(18). sont quant à eux
Deux secondes plus tard, l’alerte EGPWS « Glideslope » s’active alors que l’avion difficilement
compréhensibles.
se trouve à une hauteur radio-sonde de 560 ft avec une déviation de 1,3 point Le message de
en dessous du glide. Le contrôleur tour indique à l’équipage que l’intensité lumineuse remise des gaz
du balisage de piste est à son maximum, qu’ils sont à 2 NM du seuil de la piste 35 R n’est notamment
pas compris par
et lui demande de rappeler piste ou balisage de piste en vue. L’avion poursuit le contrôle.
sa descente.
18
À 11 h 10 min 14, l’alerte EGPWS « Glideslope » s’active de nouveau. L’avion se trouve
alors à une hauteur de 400 ft et 1,4 point en dessous du glide avec une vitesse
indiquée de 178 kt, entre les axes des deux pistes et à une distance d’environ 1,4 NM
du seuil de la piste 35 R (point S). Au même instant, l’équipage annonce qu’il « poursuit
l’atterrissage » et puis « qu’il poursuit la manœuvre ». Il effectue une baïonnette à droite
pour s’aligner avec la piste 35 R. Il indique à nouveau au contrôle qu’il continue leur
manœuvre (sans autre précision).
À 11 h 10 min 20, l’alerte EGPWS « Too low terrain » se déclenche. L’avion se trouve
alors à une hauteur de 240 ft.
À 11 h 10 min 29, le contrôleur demande s’ils ont le balisage d’approche en vue.
L’équipage répond par l’affirmative. À ce moment, l’aéronef vient de s’aligner sur
l’axe de la piste 35 R, à environ 1 000 m du seuil et à une hauteur d’environ 180 ft.
La vitesse indiquée est de 180 kt. Trois secondes plus tard, l’alerte EGPWS « Too low
terrain » s’active (point T).
À 11 h 10 min 34, le contrôleur autorise l’avion à l’atterrissage. Une seconde après,
l’alerte EGPWS « Too low terrain » s’active de nouveau. L’avion se trouve alors à une
hauteur d’environ 150 ft.
À 11 h 10 min 38, l’équipage sélectionne les volets en position 40. Une seconde après,
l’alerte EGPWS « Sink rate » s’active. L’avion se trouve alors à une hauteur d’environ
80 ft avec un taux de descente d’environ 1 050 ft/min (point U).
À 11 h 10 min 40, l’avion passe le seuil de piste à une hauteur d’environ 60 ft.
Huit secondes plus tard, il touche la piste environ 160 m après la zone de toucher
des roues de la piste 35 R à une vitesse indiquée de 159 kt (point V). L’avion dégage
la piste à environ 900 m de l’extrémité de piste.
1.2 Tués et blessés

Blessures
CN-ROJ
Mortelles Graves Légères/Aucune
Membres d’équipage - - 6
Passagers - - 149
Autres personnes - - -
1.3 Dommages à l’aéronef

Sans objet.
1.4 Autres dommages

Sans objet.
19
1.5 Renseignements sur le personnel
1.5.1 Équipage de conduite
1.5.1.1 Commandant de bord
Âge : 47 ans
Aptitude médicale de classe 1 établie le 25/05/2016 et valide jusqu’au
31/05/2017.
Compétence linguistique en langue anglaise de niveau 5 obtenue le 15/12/2011
et valide jusqu’au 31/12/2017.
Licence
ATPL (A) délivrée le 5/11/2010 par l’autorité de l’aviation civile du Maroc.
Qualifications
Vol aux instruments valide jusqu’au 30/09/2017.
LVP (approches CAT II et III) valide jusqu’au 31/03/2017.
De type B73C valide jusqu’au 30/09/2017.
Stage
Stage CRM réalisé le 29/03/2016 et valide jusqu’au 31/03/2017.
Contrôle
Dernier contrôle hors ligne réalisé le 05/09/2016 au simulateur.
Dernier contrôle en vol réalisé le 11/10/2016.
Expérience
Totale : 14 885 heures de vol, dont 4 535 en qualité de CdB.
Sur type B737 : 6 641 heures de vol, dont 4 003 en qualité de CdB.
Dans les 28 derniers jours : 62 heures, 20 atterrissages et 20 décollages.
1.5.1.2 Copilote
Âge : 30 ans
Aptitude médicale de classe 1 établie le 06/05/2016 et valide jusqu’au
31/05/2017.
Compétence linguistique en langue anglaise de niveau 4 obtenue le 16/06/2016
et valide jusqu’au 30/06/2019.
Licence
CPL (A) délivrée le 28/05/2010 par l’autorité de l’aviation civile du Maroc.
Qualifications
Vol aux instruments valide jusqu’au 30/04/2017.
LVP (approches CAT II et III) valide jusqu’au 30/04/2017.
De type B73C jusqu’au 30/04/2017.
Stage
Stage CRM réalisé le 12/01/2016 et valide jusqu’au 31/01/2017.
20
Contrôle
Dernier contrôle hors ligne réalisé le 05/10/2016, au simulateur.
Dernier contrôle en vol réalisé le 08/03/2016.
Expérience en tant qu’OPL

Totale : 2 219 heures de vol, dont 2 207 heures de vol sur type et 12 heures
sur BBJ.
1.5.2 Renseignements sur le personnel des services de contrôle de la circulation

aérienne de Lyon-Saint Exupéry
1.5.2.1 Contrôleur LOC (contrôleur tour)
Qualifications
Ingénieur du Contrôle de la Navigation Aérienne.
Premier contrôleur à la tour de contrôle de Lyon depuis octobre 2013.
Expérience
9 ans en tant que premier contrôleur à Paris-Charles de Gaulle entre 2002
et 2012.
1 an de détachement à la Qualité de Service à Paris-Charles de Gaulle.
1.5.2.2 Assistant LOC

Qualifications
Ingénieur du Contrôle de la Navigation Aérienne depuis 2009.
Premier contrôleur à la tour de contrôle de Lyon depuis juillet 2013.
1.5.2.3 Contrôleur INI (contrôleur approche)

Qualification
Ingénieur du Contrôle de la Navigation Aérienne depuis 1997.
Premier contrôleur à la tour de contrôle de Lyon depuis le 7 février 2014.
Expérience
Premier contrôleur à la tour de contrôle de Strasbourg Entzheim de 1997 à 2008.
Instructeur Circulation Aérienne à l’École Nationale de l’Aviation Civile de 2008
à 2012.
1.6 Renseignements sur l’aéronef

Le Boeing 737 est un avion de ligne court à moyen-courrier biréacteur à fuselage
étroit développé et construit depuis 1967 par The Boeing Company. Les versions 600,
700, 800 et 900 sont communément appelées 737-NG (« Next Generation »).
21
1.6.1 Cellule
Constructeur Boeing
Type 737-800-85P
SN : 33 979
Numéro de série(19) (19)
Le SN est unique
LN : 1 963 pour tous les avions
Immatriculation CN-ROJ construits par
Premier vol 31/05/2006 Boeing, tandis que
le LN (Line Number)
Mise en service par l’exploitant 31/03/2007 est un SN par type
N°0173 du 12/06/2006 délivré par Direction de avion Boeing.
Certificat de navigabilité
l’Aéronautique Civile Marocaine
Certificat d’examen de navigabilité N°35/16 valable jusqu’au 08/02/2017
Utilisation depuis visite grand entretien 9 308 heures de vol et 3 994 cycles de vol
Utilisation au 30/12/2016 35 628 heures de vol et 15 223 cycles de vol
1.6.2 Descriptions des systèmes

1.6.2.1 Calculateur de gestion du vol (FMC)
1.6.2.1.1 Description générale
Le CN-ROJ est équipé d’un calculateur de gestion du vol (FMC(20)) qui utilise les Une architecture
(20)
informations du plan de vol renseignées par l’équipage, les données fournies par système composée
de deux FMC est
d’autres systèmes, ainsi que les informations contenues dans sa base de données proposée en option
de navigation afin de calculer la position de l’avion et les commandes en assiette, sur les Boeing 737NG.
roulis et poussée nécessaires pour le suivi d’une trajectoire optimisée. Le FMC envoie
ces commandes aux calculateurs de commande de vol (FCC).
L’équipage utilise les deux CDU pour interagir avec le FMC et renseigner les
informations du plan de vol :
Figure 3: Tableaux de commande et d’affichage (CDU)
Le FMC détermine la position de l’avion à partir des informations de position

transmises par les centrales aérodynamiques et inertielles (ADIRU), les récepteurs
GNSS, et les moyens de radionavigation (VOR, DME).
22
1.6.2.1.2 Messages d’alerte FMC IRS-L DRIFT et VERIFY POS : IRS-IRS
Le message IRS-L DRIFT, reçu par l’équipage en croisière vers Paris-Orly, indique
que les informations de vitesse et/ou position fournies par l’ADIRU gauche ne sont
pas cohérentes avec celles fournies par l’ADIRU droit et celles élaborées à partir
des positions GNSS, les deux dernières devant être cohérentes entre elles. Dans ce cas,
le FMC utilise uniquement les données fournies par l’ADIRU droit.
Le message VERIFY POS : IRS-IRS apparaît lorsque la différence entre la position fournie
par les deux ADIRU est supérieure à 10 NM pendant 40 s.
Le Manuel d’exploitation des équipages (FCOM) § 11.60.2 indique que ces messages
concernent des conditions affectant significativement le fonctionnement du FMC.
Lorsque les conditions d’activation sont rencontrées :
les messages d’alertes associés sont affichés sur chaque CDU,
le voyant d’alerte FMC ambre de chaque côté du tableau de bord s’allume
(voir Figure 4), et
les voyants MSG (couleur blanche) sur chaque CDU s’allument.
Les messages disparaissent quand l’équipage appuie sur la touche CLR du CDU ou
si les conditions d’apparition des messages ne sont plus présentes.
D’autre part, l’équipage peut à tout moment consulter les messages actifs, c’est‑à‑dire
dont les conditions d’activation sont toujours présentes, en affichant la page
MESSAGE RECALL via la page INIT/REF INDEX.
1.6.2.1.3 Checklist FMC/CDU Alerting messages
Cette checklist figure dans le mémento de l’équipage (QRH) et concerne les messages
FMC IRS-L DRIFT et VERIFY POS : IRS-IRS.
Ces deux messages renvoient vers la procédure FMC Navigation Check de la partie
Supplementary Procedure du FCOM.
Celle-ci demande de déterminer la position réelle de l’avion et de la comparer avec
celle calculée par le FMC. Pour déterminer la position réelle de l’avion, la procédure
recommande de s’appuyer sur les aides de navigation radio comme les VOR/ADF,
des points de référence au sol, et les informations radar à disposition des contrôleurs
aériens. La procédure demande également de comparer la position FMC avec
les positions IRS et de basculer la position FMC vers l’une des positions IRS en cas
d’indisponibilité des moyens de radionavigation.
Le message d’alerte IRS-L DRIFT n’existait pas dans la documentation opérationnelle
à disposition de l’équipage. Ce message a été introduit dans le FMC version U11
installée sur l’avion en mars 2016.
La publication des mises à jour de la documentation opérationnelle fournie par Boeing
a lieu tous les six mois. Lorsqu’une compagnie applique un Bulletin de service (SB)
qui implique des modifications dans la documentation opérationnelle (c’est le cas
avec la version U11 du FMC), elle doit en notifier Boeing par l’intermédiaire du site
internet MyBoeingFleet, qui pourra alors préparer la mise à jour de la documentation
opérationnelle de la compagnie et la lui fournir lors de la prochaine date de
publication programmée.
23
Boeing a été informé sur le site MyBoeingFleet de la fin de l’installation de la version
U11 du FMC sur la flotte B 737 de la RAM en octobre 2017 et n’a pas trouvé d’autre
notification de la part de l’opérateur. C’est la raison pour laquelle la documentation
opérationnelle de la RAM n’a été ni mise à jour, ni fournie et que celle à disposition
de l’équipage le jour de l’incident grave ne contenait pas de référence au message
d’alerte IRS-L DRIFT.
Seul le message d’alerte VERIFY POS : IRS-IRS (introduit avec la version U10.7 du FMC)
était présent dans la liste du FCOM, section « Systems Description » (§ 11.60.13).
Voir annexe 5 : procédure « FMC Navigation Check ».
Figure 4 : Voyant « FMC Push to Reset » lié aux messages FMC
1.6.2.2 Centrales aérodynamiques et inertielles (ADIRU)

Le Boeing 737-800 est équipé de deux ADIRU (gauche et droit). Les ADIRU fournissent
à d’autres systèmes de l’avion les informations inertielles, ainsi que les informations
anémométriques.
Chaque ADIRU comprend deux sous-ensembles :
Un sous-ensemble en charge d’élaborer les informations de référence inertielles :
IR (Inertial Reference) ;
Un sous-ensemble en charge d’élaborer les informations de référence
anémométriques : ADR (Air Data Reference).
24
1.6.2.2.2 Sous-ensemble IR
Le sous-ensemble IR est constitué de trois gyromètres laser (RG : Ring laser Gyros) et
de trois accéléromètres linéaires orientés suivant les trois axes du référentiel avion.
Les données fournies aux autres systèmes avion par le sous-ensemble IR d’une unité
ADIRU incluent :
les angles d’assiette, de roulis et de lacet ;
la latitude et la longitude ;
le cap magnétique et le cap vrai ;
les accélérations linéaires ;
les vitesses angulaires ;
la vitesse sol ;
la vitesse verticale ;
l’angle de route.
Ces données sont notamment utilisées par :
les deux DEU pour l’affichage des données de vol sur les écrans EFIS, en particulier
les attitudes et le cap ;
les deux FCC pour le calcul des commandes A/P et F/D ;
le FMC pour le calcul de position ;
le système de freinage automatique.
1.6.2.2.3 Alarme IRS FAULT
Une panne critique inertielle de l’ADIRU est une panne qui affecte les fonctions
inertielles primaires telles que les attitudes, le cap, les vitesses angulaires ou
les accélérations.
Lorsqu’une telle panne est détectée par le test interne de l’ADIRU, le voyant
IRS FAULT associé à l’ADIRU en panne, situé sur le panneau supérieur, est allumé
ainsi que les voyants Master Caution sur le tableau de bord et le voyant IRS sur le
système annonciateur côté gauche (voir Figure 5 et Figure 6). Les voyants Master
Caution restent allumés jusqu’à ce qu’un pilote appuie sur l’un d’entre eux ou
jusqu’à ce que leurs conditions d’extinction soient rencontrées. D’autre part, toutes
les données fournies par un sous-ensemble IR subissant une panne critique sont
déclarées invalides et ne seront donc plus utilisées par les autres systèmes.
Lors du vol de l’événement, l’alarme IRS FAULT a été causée par la surveillance
Drift Angle de l’ADIRU gauche qui se déclenche lorsque la différence entre la route
vraie et le cap vrai de l’avion est supérieure à 60° et la vitesse sol est supérieure à
200 kt.
25
1.6.2.2.4 Checklist IRS FAULT
Le QRH à bord de l’avion inclut la checklist de secours IRS FAULT.
À la lecture de la checklist, deux cas se présentent :
Si l’usage du pilote automatique est souhaité pour la suite du vol :
Dans ce cas, la procédure consiste notamment à positionner le sélecteur IRS

TRANSFER SWITCH sur BOTH ON R (dans le cas de la panne de l’IRS gauche),
ce qui permet de récupérer l’affichage complet des deux PFD, en utilisant comme
source commune d’attitude la centrale IRS fonctionnelle (IRS droite).
La checklist indique que le pilote automatique sera opérationnel du côté de l’IRS
fonctionnelle (A/P B, côté droit), excepté pendant l’approche durant laquelle
l’usage du pilote automatique n’est pas autorisé.
Si l’usage du pilote automatique n’est pas souhaité pour la suite du vol :
La procédure propose dans le cas où un vol en palier rectiligne et stable est

possible pendant au moins trente secondes, de restaurer la partie « Attitude »
de l’ADIRU concerné (ADIRU L) en plaçant le sélecteur IRS MODE (L) sur ATT.
Si le voyant FAULT s’éteint sur l’IRS considérée, la fonction « Attitude » de l’ADIRU
sera alors récupérable en sélectionnant HDG/STS sur le panneau supérieur
et en entrant régulièrement le cap magnétique de l’avion via cette fonction.
La redondance des sources est maintenue, chaque PFD utilisant la source
d’attitude de la centrale IRS correspondante.
Dans ce cas, aucun des deux pilotes automatiques ne peut être engagé pour
toute la suite du vol (item 12 de la check-list).
À la suite de la checklist, des items différés (« differed items ») sont présentés et
sont à effectuer ultérieurement, lors des phases de vol correspondantes.
Une liste d’items différés est notamment à effectuer avant l’approche (« Prior to
start approach »). Il est demandé, en plus des actions normales, de désengager
le pilote automatique avant l’approche ainsi que l’auto-manette (si elle était
engagée) et de positionner le switch « Yaw Damper » sur ON.
Voir annexe 3 : checklist « IRS FAULT ».
26
Figure 5 : Voyant « Master Caution Push to reset » et système annonciateur avec le voyant IRS
sur le tableau de bord côté gauche
Figure 6 : Voyant IRS FAULT sur l’IRS Mode Selector Unit sur le panneau supérieur
27
1.6.2.3 Calculateurs de commande de vol (FCC)
Le Boeing 737-800 est équipé de deux calculateurs de commande de vol :

FCC A et FCC B. Ils réalisent en particulier les fonctions de pilote automatique
(respectivement A/P A et A/P B) et de directeur de vol (F/D), respectivement affichés
sur les PFD gauche et PFD droit.
Figure 7: Barres de tendances du directeur de vol - couleur magenta
Pour les fonctions de pilote automatique (A/P), chaque FCC envoie les commandes
qu’il élabore à ses actionneurs hydrauliques sur les axes de tangage et de roulis qui
déplacent les surfaces de contrôles au travers de deux circuits hydrauliques.
Afin de réaliser les fonctions de pilote automatique et de directeur de vol, les FCC
acquièrent les données nécessaires auprès de différents calculateurs, en particulier
les ADIRU, les récepteurs VHF NAV (VOR et ILS), et les radioaltimètres.
1.6.2.3.2 Interface FCC – ADIRU
Pour élaborer les ordres des A/P et des F/D, chaque FCC utilise entre autres des
informations fournies par les ADIRU. Ces informations sont notamment utilisées pour
le guidage lors d’une approche ILS.
Ces informations sont déclarées valides ou invalides par l’ADIRU. Conformément
à ses spécifications, le FCC ne vérifie pas la validité des données en provenance
d’un ADIRU, hormis dans les cas d’approches avec les deux A/P engagés.
28
La position du bouton « IRS Transfer Switch » (situé sur le panneau supérieur) détermine
la source des informations inertielles (ADIRU gauche ou droit) utilisées par les FCC.
Le tableau suivant illustre les différentes configurations pouvant être rencontrées :
Position A/P A A/P B
bouton « IRS (ordre A/P A (ordre A/P B
F/D A F/D B
Transfer longitudinal et (ordre latéral) longitudinal et (ordre latéral)
Switch » directionnel) directionnel)
NORMAL gauche droit droit gauche gauche droit
BOTH ON L gauche gauche gauche gauche gauche gauche
BOTH ON R droit droit droit droit droit droit
Comme le montre le tableau ci-dessus, en fonctionnement normal, les FCC utilisent,

pour élaborer les ordres A/P, des informations inertielles provenant de l’ADIRU
du même côté mais aussi de l’ADIRU opposé. Dans le plan latéral, il s’agit notamment
de l’angle de roulis et du taux de roulis. Pour les autres données de navigation
latérale, comme la route sol et le cap par exemple, les FCC utilisent les informations
de l’ADIRU du même côté.
En cas de dysfonctionnement d’un ADIRU avec un seul A/P engagé, deux cas se
présentent (le second pouvant évoluer vers le premier) :
Soit l’ADIRU détecte le dysfonctionnement et transmet l’information aux FCC
sur le ou les paramètres erronés. Ces paramètres ne seront alors plus utilisés par
les FCC. C’est le cas par exemple lorsque l’alarme IRS FAULT se déclenche ;
Soit l’ADIRU ne détecte pas le dysfonctionnement et les FCC continuent d’utiliser
tous les paramètres transmis, certains d’entre eux pouvant être erronés.
1.6.2.3.3 Interface FCC – Récepteurs VHF NAV (VOR et ILS)
La logique de fonctionnement de la liaison FCC – Récepteurs VHF NAV est décrite

dans le FCOM (en mode VOR/LOC ou en mode APP) :
L’A/P A et les F/D du côté gauche utilisent les signaux de radionavigation fournis
par le récepteur VOR 1, et le récepteur multimode (MMR) 1 pour les signaux LOC
et GLIDE ;
L’A/P B et les F/D du côté droit utilisent les signaux de radionavigation fournis
par le récepteur VOR 2, et le récepteur MMR 2 pour les signaux LOC et GLIDE.
Une seule fréquence VOR ou ILS, réglée au travers de l’un des panneaux de
commandes des moyens de radionavigation, est nécessaire afin d’armer et d’engager
le mode VOR/LOC ou le mode APP. Pour pouvoir engager les deux A/P en mode APP,
il faut en revanche que la même fréquence ILS soit réglée sur les deux panneaux de
commandes des moyens de radionavigation.
Des fréquences différentes affichées sur les deux panneaux de commandes des
moyens de radionavigation peuvent entraîner une différence d’affichage des F/D
gauche et droit et affecter les opérations de l’A/P engagé.
L’affichage d’une fréquence VOR sur un des panneaux de commande des moyens de
radionavigation empêche l’engagement des deux A/P, nécessaire pour les approches
CAT III.
29
1.6.2.3.4 Interface FCC – Radioaltimètres
Le Boeing 737-800 est équipé de deux radioaltimètres (RA 1 et RA 2) indépendants
fournissant la radio altitude à leur FCC associé. Les données du RA 1 (respectivement
RA 2) sont fournies au FCC A (respectivement FCC B). Elles sont notamment utilisées
pour le guidage lors d’une approche ILS.
En cas de non-réception par un FCC de données de radio altitude due à un
dysfonctionnement du RA ou à un problème de communication entre le FCC et
le radioaltimètre, l’A/P associé se désengagera après la capture du LOC et du Glide.
Ce dysfonctionnement entraînera également une perte de l’affichage des directeurs
de vol associé au radioaltimètre défaillant.
1.6.2.4 Système de freinage automatique

Le système de freinage automatique permet d’atteindre automatiquement, lors de

l’atterrissage, une valeur de décélération présélectionnée par l’équipage. Le freinage
débute immédiatement après le toucher des roues.
1.6.2.4.2 Alarme AUTOBRAKE DISARM
Lorsque l’équipage sélectionne un niveau de freinage automatique pour

l’atterrissage, le système effectue un autotest. Ce dernier consiste à vérifier la validité
d’un certain nombre de paramètres avion dont les paramètres inertiels suivants
fournis par l’ADIRU gauche : l’assiette, l’accélération longitudinale et la vitesse sol.
Si l’autotest détecte des paramètres invalides, alors le système de freinage
automatique ne s’arme pas et le voyant ambre AUTO BRAKE DISARM, situé au-dessus
du commutateur de sélection du niveau de freinage, s’allume.
Les données de l’ADIRU droit ne sont utilisées que pour réaliser deux fonctions sur
la roue intérieure du train d’atterrissage droit et leur validité n’est pas nécessaire
pour assurer l’armement et l’activation du système de freinage automatique.
1.6.2.4.3 Checklist AUTO BRAKE DISARM
Si l’alarme survient en vol, le QRH indique qu’il faut positionner le sélecteur AUTO
BRAKE sur OFF puis sélectionner à nouveau le niveau de freinage souhaité. Si le voyant
d’alarme s’éteint, le problème est résolu. Dans le cas contraire, la checklist indique
de positionner le sélecteur AUTO BRAKE sur OFF et d’utiliser le freinage manuel pour
l’atterrissage.
30
Figure 8 : Voyant ambre AUTOBRAKE DISARM
1.6.2.5 Système avertisseur de proximité du sol (EGPWS)

L’EGPWS est un système qui fournit des alertes visuelles et vocales dans des conditions
de vol potentiellement dangereuses qui pourraient conduire à une collision avec
le sol.
Deux types d’alertes sont générées par l’EGPWS :
Les alertes réactives basées sur la valeur ou l’évolution de la radio altitude en
fonction d’autres paramètres tels que l’altitude, la vitesse air, les déviations par
rapport au plan de descente, ou la configuration de l’avion ;
Les alertes prédictives basées sur la connaissance du relief à proximité de la
position de l’avion. Le relief est renseigné dans une base de données terrain de
couverture mondiale.
1.6.2.5.2 Messages d’alerte EGPWS GLIDESLOPE, SINK RATE et TOO LOW TERRAIN
L’alerte auditive « GLIDESLOPE » est une alerte réactive générée lorsque l’avion
se trouve en dessous d’un certain seuil sous le plan de descente de l’ILS.
Elle s’accompagne de l’allumage de deux voyants lumineux BELOW GLIDESLOPE
P-INHIBIT situés sur les panneaux d’instruments gauche (au-dessus du PFD) et droit
(au-dessus du ND).
L’alerte auditive « SINK RATE » est une alerte réactive générée lorsque le taux de
descente de l’avion devient excessif. Elle s’accompagne de l’affichage du message
PULL UP sur la partie centrale (indicateur d’attitudes) des deux PFD.
L’alerte auditive « TOO LOW TERRAIN » émise lors de cet événement est une alerte
prédictive générée lorsque l’avion se trouve à une hauteur trop faible par rapport
à la distance qui le sépare d’un aérodrome. Elle s’accompagne de l’affichage du
message PULL UP sur la partie centrale (indicateur d’attitudes) des deux PFD.
31
Source : FCOM 737-800 de l’exploitant. Copyright © Boeing. Used with permission.
Figure 9: Affichage du message PULL UP sur le PFD lors de l’activation des alertes SINK RATE
et TOO LOW TERRAIN
1.6.2.5.3 Checklist EGPWS GLIDESLOPE / SINK RATE / TOO LOW TERRAIN
Pour ces alertes, la procédure figurant dans le « Policy Manual » en § 8.3.5.2, ainsi
que dans le QRH partie Maneuvers-Non Normal Maneuvers - MAN 1.5, demande
à l’équipage de corriger la trajectoire de l’avion, sa configuration, ou sa vitesse.
(21)
AMP : L’Aircraft
1.6.3 Opérations de maintenance Maintenance
Program a été établi
1.6.3.1 Opérations d’entretien afin de donner une
vue coordonnée de
Des visites journalières et hebdomadaires permettent d’assurer des tâches de toutes les tâches
de maintenance
maintenance préventive et de corriger les problèmes rapportés après le vol par à accomplir
les équipages. périodiquement
sur les systèmes,
Des visites de type A, réparties en 8 sous-visites (de A01 à A08) ont lieu toutes les la structure, ou les
650 heures de vol. Des visites de type C, réparties en 21 sous-visites (de C01 à C21) moteurs dans le but
de détecter ou de
ont lieu toutes les 5 000 heures de vol ou au maximum tous les 18 mois. prévenir toute panne
pouvant affecter
La nature des tâches à réaliser pour chaque visite est établie par la fonction Gestion la navigabilité
de flotte de la Royal Air Maroc conformément aux périodicités fixées dans l’AMP(21). de l’avion.
1.6.3.2 Dernières opérations d’entretien

La dernière visite de type C était la C09. Celle-ci a eu lieu le 10/06/2016 à l’aéroport
de Casablanca Mohammed V (Maroc) à 33 590 heures de vol. La précédente visite
de type C (C08) a été effectuée le 18/05/2015 à l’aéroport de Bacau Georges-Enesco
(Roumanie) à 30 182 heures de vol.
La dernière visite de type A a été effectuée le 14/12/2016 (visite A05) à Casablanca
Mohammed V à 35 427 heures de vol.
32
1.6.3.3 Actions de maintenance réalisées sur l’avion avant le départ
L’examen, par l’équipe d’enquête, des documents de maintenance et du programme Partie du
(22)
d’entretien de l’avion a fait apparaître que : compte rendu

manuel permettant
L’ADIRU droit a été installé lors de la C09 de juin 2016, le précédent ayant été notamment à
l’équipage de
déposé pendant cette opération d’entretien pour dépannage d’un autre avion. reporter des
L’ADIRU gauche a été installé le 14 décembre 2016 suite à un message « Left IRS événements/
INOP » reporté par l’équipage dans le Technical Log Book le même jour. anomalies et à la
maintenance d’y
Le FCC A était celui d’origine, installé depuis mai 2006. retranscrire les
Le FCC B a été installé lors de la C09 de juin 2016. actions menées en
réponse à ces reports.
Entre le 1er décembre 2016 et le jour de l’événement, les équipages et la maintenance
(23)
Digital Flight
ont indiqué dans le TLB (22) des éléments liés aux automatismes et au système ADIRS Control System :
(Air Data Inertial Reference System) : ce système englobe
principalement les
Le 10 décembre 2016, lors d’une approche CAT III, les deux A/P se sont fonctions de pilotage
déconnectés à 30 ft du sol au début de l’arrondi. La maintenance a effectué la automatique et de
directeurs de vol.
procédure BITE du DFCS(23) et a remplacé le RA 2 suite au report de l’équipage Le BITE du DFCS est
dans le TLB indiquant l’affichage du drapeau ambre RA (24) sur le PFD droit lors du le point d’entrée en
désengagement des A/P. cas de problème lié
aux automatismes.
Le 12 décembre 2016, l’A/P B s’est désengagé à la capture du Glide Slope et n’a Il permet notamment
pas pu être réengagé. Le Dispositif de test intégré (BITE) du DFCS a été réalisé et de visualiser les
aucune panne n’a été reportée par la maintenance. Un autotest du DFCS a été pannes concernant
ce système
passé avec succès. rencontrées
Le 14 décembre 2016, l’ADIRU gauche a été déclaré inopérant et a été remplacé pendant les vols
par la maintenance ; l’ADIRU de remplacement était installé auparavant sur le ou actuellement
détectables au sol.
CN-ROZ du 20.06.2016 au 01.09.2016. Il avait été déposé suite à une panne et
deux gyromètres avaient été remplacés. (24)
Le drapeau ambre
RA s’affiche à la place
Le 25 décembre 2016, l’A/P B et les F/D droit se sont désengagés en mode des valeurs de radio
approche (APP). Le BITE du DFCS a été réalisé et aucune panne n’a été reportée altitudes lorsqu’un
par la maintenance. problème ne permet
pas leur affichage.
Le 26 décembre 2016, le voyant désarmement de l’autobrake s’est allumé juste
après le décollage. Plus tard, lors de l’approche sous A/P A, le F/D gauche a donné
des indications erronées après que le mode approche (APP) ait été engagé.
L’avion s’est incliné de lui-même sur la droite de 20°.
La FIM 32-42 tâche 828 AUTOBRAKE DISARM Lights is ON a été appliquée et aucune
panne n’a été détectée. Le BITE du DFCS a également été réalisé et aucune panne
(25)
Permutation
dans le cadre de
n’a été reportée. Les tests relatifs au F/D et MMR/ILS ont été passés avec succès. la recherche d’une
Les MMR 1 et 2 ont été permutés par la maintenance(25). panne intermittente.
L’ADIRU gauche déposé le 14 décembre 2016 a été expertisé par KLM engineering
& maintenance. L’expertise a révélé la présence de traces de liquide inconnu sur les
cartes électroniques calculateur.
Aucun autre report n’est effectué jusqu’au jour de l’événement.
Le 30 décembre 2016, l’avion a décollé de Rabat-Salé sans action de maintenance
différée.
33
1.6.3.4 Maintenance en ligne à LYS
1.6.3.4.1 Rôle du Maintenance Control Center (MCC)
Le rôle du Centre de contrôle de maintenance (MCC) de la RAM est décrit dans la

documentation de la RAM et en particulier dans le manuel de maintenance en ligne.
Le sous-traitant, étant un organisme agréé Part 145, il est responsable de la remise en
service de l’avion en conformité avec la règlementation Part 145.
La documentation technique est transmise en amont par le MCC aux différents
sous‑traitants. Une copie de cette documentation, sous forme de CD, est présente
à bord de l’ensemble des avions de la RAM. Un extrait peut en être fourni par email
à la demande du sous-traitant.
Le MCC fournit également un support documentaire et logistique en cas de besoin.
Si le technicien a une difficulté d’accès à une procédure de maintenance donnée
le MCC peut la lui envoyer ou, en cas de besoin de pièces de rechange, le MCC
peut coordonner l’envoi nécessaire à l’escale en question. C’est également le MCC
qui a la connaissance de l’historique des pannes sur l’avion ; il peut donc orienter
le technicien de maintenance en ligne vers des actions de maintenance adaptées.
1.6.3.4.2 Rôle et actions du technicien de maintenance en ligne
À la suite du vol de l’événement, la maintenance en ligne a été assurée par un

technicien de maintenance de la société Aviacare située sur l’aéroport de LYS, agréée
Part 145 et sous contrat avec la RAM.
Le technicien était détenteur d’une licence B1 Part-66 sur avions à turbines et
détenait entre autres une qualification de type de catégorie B1.1 sur « Boeing 737-
600/700/800/900 (moteurs CFM56) » depuis le 12/11/2009.
Une licence Part-66 permet à son titulaire de délivrer l’Approbation pour remise
en service (APRS) après des travaux d’entretien, à l’intérieur d’un domaine identifié
sur la licence. Détenteur d’une licence B1, le technicien était autorisé aux travaux
d’entretien effectués sur la structure, la motorisation et les systèmes mécaniques et
électriques de l’aéronef ; travaux sur les systèmes avioniques n’exigeant que des tests
simples pour démontrer leur bon fonctionnement et ne nécessitant pas de recherche
des pannes.
En cas d’incident technique et de nécessité de dépannage en escale, le technicien
en ligne doit effectuer la recherche de panne conformément à la documentation
technique et aux procédures de maintenance approuvées, fournies par la compagnie.
Les informations sur les opérations réalisées ont été récupérées au moyen du TLB
et des entretiens avec le CdB et le technicien qui a pris en charge le CN-ROJ et qui
a signé la remise en service.
Dans la case du TLB dédié au report de l’équipage, le CdB a retranscrit le problème
d’IRS rencontré en vol : « L IRS FAULT ». Dans la case associée, dédiée aux actions de
maintenance, le technicien a inscrit que le test opérationnel avait été mené selon
la documentation de maintenance du constructeur (référence AMM 34-21-00/501
REV 61) et n’a révélé aucun défaut. Le statut a été indiqué résolu (« F » pour Fixed) et
l’APRS a été signé.
34
1.6.3.5 Procédure Boeing de recherche de pannes liées aux ADIRS
La documentation applicable de Boeing pour une recherche de pannes est le Manuel
de localisation des pannes (FIM). La section 34-21 est dédiée aux ADIRS (Air Data
Inertial Reference System).
À la suite d’un report par l’équipage, la maintenance doit rechercher dans la liste
des pannes observées (Observed Fault List) la procédure de recherche de pannes à
appliquer.
Pour le message d’alerte FMC VERIFY POS : IRS-IRS, il faut appliquer la tâche 836.
Pour la panne L IRS FAULT, il s’agit de la tâche 803.
1.6.3.5.1 Procédure VERIFY POSITION shows on the CDU, and POS SHIFT page shows large Titre de la
(26)
ADIRU drift – Fault Isolation FIM 34-21 tâche 836(26) procédure liée au
message VERIFY
Cette tâche demande la réalisation de deux tâches du Manuel de maintenance POS : IRS-IRS.
(AMM) consistant en la vérification des erreurs de positionnement radial par l’IR pour
la première et la vérification des erreurs de vitesse sol résiduelle pour la seconde.
Si les erreurs de positionnement radial ou de vitesse sol résiduelle sont supérieures
aux seuils définis dans la procédure, l’ADIRU devra être changé. C’est le cas par
exemple si l’erreur de vitesse sol résiduelle est supérieure à 21 kt à l’issue d’un vol.
Ainsi, un report pilote du message FMC VERIFY POS : IRS-IRS pourra conduire au
remplacement de l’ADIRU en cause.
1.6.3.5.2 Procédure IR Failure – Fault Isolation FIM 34-21 tâche 803
Cette procédure débute par l’évaluation initiale de la panne et la résolution

potentielle du problème sans remplacement de l’ADIRU. Il s’agit dans un premier
temps de vérifier si la panne est toujours active en appliquant la procédure ADIRS
BITE correspondant à la FIM 34-21 tâche 801 décrite au § 1.6.3.5.3 :
Si le message de panne IR Failure ne s’affiche pas sur le CDU, alors la panne n’est
pas active. Le FIM indique dans ce cas qu’il s’agit d’une panne intermittente et
la tâche est terminée.
Si le message de panne IR Failure s’affiche sur le CDU, alors la panne est active.
La procédure indique d’abord de vérifier si d’autres pannes relatives aux ADIRS
sont actives également et de les résoudre, le cas échéant, en appliquant les
tâches FIM associées. À l’issue, si le message de panne IR Failure ne s’affiche plus
sur le CDU, alors la panne est corrigée. Dans le cas contraire, il faut remplacer
l’ADIRU.
35
1.6.3.5.3 Procédure ADIRS BITE FIM 34-21 tâche 801
Cette procédure permet de visualiser sur le CDU, pour chaque ADIRU, les messages
de pannes enregistrés et leur code d’identification. Pour récupérer les messages de
panne de l’ADIRU gauche, il faut dans le menu ADIRS BITE aller dans le sous-menu
ADIRS-L.
Copyright © Boeing. Used with permission.
Figure 10 : Menu principal du test ADIRS BITE - extrait documentation Boeing
L’enregistrement des pannes est divisé en deux sections, les pannes actives au
moment de la réalisation de la tâche de maintenance (section « CURRENT STATUS »)
et les pannes détectées lors des vols précédents (section « INFLIGHT FAULTS »).
La procédure indique de rechercher dans un premier temps dans la section CURRENT
STATUS afin d’identifier d’éventuelles pannes actives et d’appliquer les procédures
de recherche de pannes associées. Si aucune panne n’est récupérée, l’opérateur doit
alors se reporter à la seconde section, INFLIGHT FAULTS, afin de récupérer le message
de panne enregistré lors du vol durant lequel la panne est survenue. La procédure
indique alors d’appliquer la tâche FIM associée au message de panne.
Lorsque la panne IR FAULT est active, le message de panne IR Failure apparaîtra à
la fois dans la section CURRENT STATUS et dans la section INFLIGHT FAULTS.
36
1.6.3.6 Procédure Boeing de recherche de pannes liées aux automatismes
Lors du mois précédent l’événement, ainsi qu’après l’événement, le TLB indique à
plusieurs reprises des problèmes rencontrés par les équipages avec l’utilisation des
automatismes (en particulier A/P et F/D). Pour résoudre ces problèmes la maintenance
a indiqué avoir effectué à chaque fois la procédure BITE du DFCS. Cette opération
correspond à la tâche 801 de la FIM 22-11. Elle permet d’accéder à l’historique des
pannes enregistrées et aux pannes actives en lien avec les automatismes au moment
de la réalisation de la tâche.
Les pannes actives sont affichées dans la section « CURRENT STATUS ». L’historique (27)
Pannes
des pannes enregistrées se trouve dans la section « FAULT HISTORY SORTED BY FLIGHT enregistrées dans
l’historique organisé
LEG » et la section « FAULT HISTORY SORTED BY FLIGHT DECK EFFECT »(27). par vol ou par « effet
cockpit » (« Flight Deck
La séquence normale de cette procédure commence par la revue de ces dernières. Effect » en anglais).
Si des pannes sont enregistrées, l’opérateur de maintenance doit identifier
l’Élément remplaçable en escale (LRU) (par exemple FCC, MMR, RA) qui est
suspecté. L’opérateur est alors invité à réaliser le test associé dit LRU test :
Si le LRU test passe (TEST PASSED affiché sur le CDU), la procédure Boeing indique
que le DFCS BITE n’a pas trouvé de problème avec le LRU suspecté. Cette panne
peut être soit une panne intermittente, soit une panne qui n’apparaît qu’en
condition de vol. La procédure indique qu’il est possible d’effectuer la procédure
BITE d’autres systèmes (comme le FMC ou l’A/T par exemple) ou d’effectuer
un auto-test du LRU dont la panne a été enregistrée précédemment.
Si le LRU test échoue (TEST FAILED affiché sur le CDU), il faut appliquer les
tâches associées au message de panne relevé durant le test afin de les corriger.
La procédure inclut la liste exhaustive des messages de pannes potentiellement
enregistrés et leur tâche associée.
Si aucune panne n’est enregistrée dans l’historique, l’opérateur doit alors
interroger le système sur les pannes en cours. Depuis le menu CURRENT STATUS,
l’autotest du DFCS (Current Status Quick Test) est automatiquement réalisé dans
un premier temps. Puis, les tests additionnels applicables doivent être effectués
et sélectionnés parmi les cinq proposés (Current Status Additional Test) :
AUTOPILOT, FLIGHT DIRECTOR, MACH TRIM SYSTEM, SPEED TRIM SYSTEM et ALT
ALERT. Les tests additionnels sont des tests réalisés de manière non automatique.
37
Copyright © Boeing. Used with permission.
Figure 11: Menu principal du test DFCS BITE - extrait documentation Boeing
1.7 Renseignements météorologiques

1.7.1 Situation générale
Des conditions anticycloniques couvrent l’ensemble du territoire français.
Ces conditions amènent la formation de phénomènes de basses couches (stratus
bas, brume, brouillard) dans plusieurs régions françaises, notamment celles de Paris
et de Lyon. Les nappes de brumes et brouillards peinent à se dissiper du fait des
hautes pressions et du vent moyen qui reste faible. La carte TEMSI France Basse
altitude, valide à 09 h, indique pour la zone allant de Paris à Lyon une couche de
5 à 8 octas de stratus dont la base est située entre le sol et une altitude de 300 ft et
le sommet à 1 000 ft, une visibilité horizontale comprise entre 0 et 5 km, de la brume
ou du brouillard, possiblement givrant (iso 0 °C au sol).
38
Figure 12 : Carte TEMSI France valable le 30/12/2016 à 9 heures
1.7.2 Informations reçues par l’équipage

1.7.2.1 Dossier de vol
Le dossier de vol contenant les informations météorologiques reçu par l’équipage
a été préparé le 29 décembre vers 22 h 00. La partie météorologie de ce dossier
contient :
L’ensemble des messages d’observations et de prévisions disponibles au moment
de la préparation du vol pour les aérodromes de destination et de dégagement.
En particulier, les messages de prévisions prévoyaient :
À Paris-Orly : une visibilité horizontale de 300 m avec du brouillard givrant et
un ciel invisible jusqu’à 09 h ; une amélioration est prévue à partir de 11 h avec
une visibilité atteignant 8 km et un ciel se dégageant.
À Lyon : une visibilité horizontale de 600 m avec du brouillard givrant et un ciel
invisible jusqu’à 10 h ; une amélioration de la visibilité à 6 km est prévue à partir
de 11 h avec un plafond s’élevant à 600 ft.
À Nantes : une visibilité horizontale de 1 400 m avec de la brume et 5 à 7 octas
de nuages à 600 ft jusqu’à 06 h°; une amélioration de la visibilité à 6 km est
prévue à partir de 10 h.
Des cartes WINTEM et TEMSI (Europe et monde), concernant les niveaux supérieurs
au FL 100, disponibles au moment de la préparation du vol et valides pendant
celui-ci.
Un profil du vent sur le trajet, en coupe verticale.
Deux photo satellites infrarouges datées du 29 à 21 h 30, indiquant la température
du sommet des nuages.
39
1.7.2.2 Informations reçues pendant le vol
L’équipage a indiqué qu’il s’était procuré en vol les informations relatives aux
conditions météorologiques sur les aérodromes de dégagement sur le trajet et
de dégagement à destination (voir § 1.18).
1.7.3 Conditions météorologiques régnant à destination et au dégagement

1.7.3.1 Situation météorologique à Paris-Orly (destination)
Le brouillard s’était formé la veille au soir (29/12) en raison d’une zone de très hautes
pressions en surface (autour de 1038 hPa), d’un vent faible et d’une forte humidité
au sol et est devenu givrant à partir de 01 h 30, du fait des températures négatives.
En particulier, le message de prévision (TAF) émis à 05 h valable du 30/12 à 06 h
jusqu’au 31/12 à 12 h, prévoyait une visibilité horizontale de 600 m avec du brouillard
et une couche de nuages soudée à 100 ft et temporairement entre 06 h et 10 h
une visibilité de 100 m avec du brouillard givrant et un ciel invisible évoluant de 10 h
à 13 h vers une visibilité de 4 000 m avec de la brume. Cependant ce message de
prévision avait été amendé à 10 h 03 en raison de la persistance du brouillard givrant
et du ciel invisible avec une visibilité horizontale de 100 m, l’évolution favorable de
la visibilité n’étant prévue qu’à partir de 12 h.
Les messages d’observation (METAR) émis entre 09 h et 10 h 30 indiquaient un
vent variable pour 2 ou 3 kt, du brouillard givrant avec ciel invisible, une visibilité
horizontale fluctuant entre 150 et 200 m, des RVR au seuil de piste 06 fluctuant entre
400 et 450 m sans évolution sensible et temporairement une visibilité de 100 m.
Lors de l’approche, la température de l’air est de -2 °C, proche de celle du point de
rosée qui est de -3 °C, le vent était calme et le ciel invisible. La visibilité horizontale
était de 200 m à 10 h et de 250 m à 10 h 30.
1.7.3.2 Situation météorologique à Lyon-Saint Exupéry (dégagement de Paris Orly)

Le TAF émis à 05 h, valable du 30/12 06 h jusqu’au 31/12 12 h, indiquait une visibilité
de 3 km avec de la brume et un plafond d’une couche soudée de nuages à 100 ft,
avec une probabilité de 40 % d’avoir temporairement le 30/12 entre 06 h et 09 h
une visibilité diminuant à 600 m avec du brouillard givrant et un ciel invisible, puis
s’améliorant entre 09 h et 12 h, avec une visibilité horizontale augmentant jusqu’à
6 km et un plafond s’élevant avec 5 à 7 octas de nuages à 600 ft.
Les messages d’observation (METAR) émis entre 07 h et 10 h indiquaient des visibilités
comprises entre 2 et 3 km, 800 m en direction du sud avec des bancs de brouillard
et un plafond d’une couche soudée de nuages entre 100 et 400 ft. Les RVR reportées
en piste 35R étaient de 900 m à 06 h 30 pour évoluer graduellement jusqu’à 2 000 m
à 08 h 30.
L’information ATIS (information Kilo enregistrée à 10 h 16, obtenue par l’équipage
avant le premier contact radio avec l’Approche de Lyon) indiquait vent calme,
visibilité 3 000 m, brume, OVC 400 ft, température 0 °C, point rosée : -1 °C, QNH :
1038 hPa.
Le METAR de 11 h (au moment de la deuxième approche) indiquait : vent variable
pour 2 kt, brume, visibilité 4 000 m, OVC 500 ft, température 0 °C, point rosée : -1 °C,
QNH 1038 hPa.
40
1.7.3.3 Situation météorologique sur les aérodromes accessibles à partir de Lyon
(Grenoble, Marseille)
1.7.3.3.1 Situation météorologique à Grenoble Isère
METAR de 10 h 30 : Auto vent 120/05 kt CAVOK température 4 °C QNH 1037 NOSIG.

METAR de 11 h : Auto vent variable/03 kt visibilité 9 000 m température 2 °C QNH
1036 NOSIG.
METAR de 11 h 30 : Auto vent 070°/04 kt CAVOK température 2 °C QNH 1036 NOSIG.
1.7.3.3.2 Situation météorologique à Marseille Provence
Les METAR émis entre 10 h 30 et 12 h indiquaient un vent du 340°/6 kt, CAVOK,

QNH 1037 hPa.
1.8 Aides à la navigation

VOR/DME “OL” (Orly) :
Un NOTAM présent dans le dossier de vol précisait que le VOR/DME d’indicatif « OL »
et de fréquence 111.200 Mhz était en test et ne devait pas être utilisé du fait de
fausses indications possibles.
Ce VOR n’a pas été sélecté par l’équipage au cours de l’approche.
VOR/DME « LSE » (Lyon St-Exupery) :
Le jour de l’événement, dans le cadre du renouvellement du VOR/DME de Lyon-Saint

Exupéry nommé « LSE », ce dernier avait été remplacé par le VOR/DME provisoire
« VMP ».
L’équipage a sélecté la fréquence correspondant au VOR/DME LSE (114.75) sur les
récepteurs VOR à 10 h 31 et ce jusqu’à la fin du vol à la place du VOR/DME provisoire
VMP.
Le VOR LSE avait les caractéristiques suivantes :
Fréquence : 114.75 Mhz / 094 Y
Coordonnées : 45°44’43.90’’N 005°05’26.10’’E
Le VOR mobile provisoire VMP qui remplace LSE émet sur la fréquence 117.2 et
est placé à proximité du VOR/DME LSE désactivé.
Dans ce cadre, les trajectoires des différentes procédures de vol aux instruments
restaient identiques.
Cette information et les changements afférents à l’information aéronautique étaient
disponibles via le supplément AIP 219/16.
De plus, la période d’indisponibilité du VOR/DME LSE ainsi que la mise en service du
VOR/DME VMP étaient annoncées par NOTAM. Ce NOTAM se trouvait dans la partie
en-route « destination alternate(s) » du dossier de vol de l’équipage, que ce dernier
n’a pas consultée (voir §1.18).
Aucun dysfonctionnement des autres moyens de radionavigation au sol associés aux
procédures d’approches (voir § 1.10) n’a été reporté le jour de l’événement.
41
1.9 Télécommunications
À partir de la demande d’interruption de l’approche à Paris-Orly, et jusqu’à
l’atterrissage à Lyon, l’équipage a été successivement en contact avec les organismes
du contrôle suivant :
Orly Tour ;
Orly Approche ;
Centre de contrôle en route de Paris ;
Centre de contrôle en route de Marseille ;
Lyon Approche ;
Lyon Tour.
Voir retranscription des échanges radiotéléphoniques en annexe 1.
1.10 Renseignements sur les aérodromes

1.10.1 Aérodrome Paris-Orly
L’aérodrome Paris-Orly est un aérodrome civil, contrôlé et ouvert à la circulation
aérienne publique. Il dispose de trois pistes.
Le jour de l’événement, la piste 06 était en service pour les atterrissages. Cette piste
permet d’effectuer des approches ILS CAT I, II et III.
Le segment initial pour une approche en 06 débute au point ODILO, où aboutissent
les procédures d’arrivée ainsi que l’hippodrome d’attente. À ce point, sauf dans le cas
où l’avion est guidé au préalable par radar, l’aéronef entame son approche au FL 100,
puis il descend vers 4 000 ft, sur un cap 035° pendant 24,3 NM, avant d’intercepter
l’axe d’approche finale.
L’axe d’approche de la procédure ILS est orienté au 063°. En cas d’approche
interrompue, la consigne publiée est de poursuivre dans l’axe en montée jusqu’à
2 000 ft et de prévoir un guidage radar par les services ATC.
Pour ces procédures, les minima publiés pour un avion de type Boeing 737
(catégorie C) sont les suivants :
Altitude (Hauteur) de la DA
Approche RVR (m)
ou MDA (ft)
ILS CAT I 490 (200) 550
LOC 700 (440) 1 300
1.10.2 Aérodrome Lyon-Saint Exupéry

L’aérodrome Lyon-Saint Exupéry est un aérodrome civil, contrôlé et ouvert à la
circulation aérienne publique. Il dispose de deux pistes parallèles dont les axes sont
distants de 350 m.
Le jour de l’événement, la piste 35R était en service pour les atterrissages. Cette piste
permet d’effectuer des approches ILS CAT I, II et III.
Le segment initial pour une approche en 35L ou 35R débute au point TALAR.
À ce point, sauf guidage radar préalable, l’aéronef entame son approche sur un cap
153° jusqu’au VOR VNE où il vire au 101° pour intercepter l’axe d’approche finale.
42
L’axe d’approche de la procédure ILS 35R est orienté au 354°. La trajectoire
d’approche interrompue publiée est de poursuivre dans l’axe en montée vers 5 000 ft
et de prévoir un guidage radar par les services ATC.
Les minima publiés pour un appareil de type Boeing 737 sont les suivants :
Altitude (Hauteur) de la DA
Approche RVR (m)
ou MDA (ft)
ILS 1 020 (200) 550
LOC 1 250 (430) 1 300
VOR 1 260 (440) 1 300
1.11 Enregistreurs de bord

1.11.1 Enregistreurs de vol
Au moment où le BEA a été notifié de cet événement, l’équipage et l’avion étaient
déjà repartis au Maroc. Les enregistreurs de vol n’ont donc pas pu être prélevés.
L’enregistrement CVR de l’événement n’a pas été préservé.
Cependant, à la demande du BEA, l’exploitant a fourni les données de l’enregistreur de
maintenance QAR du vol de l’événement. Environ 1 000 paramètres sont enregistrés.
Des planches de paramètres sont présentées en annexe 2.
L’exploitant a fourni ultérieurement les données QAR des vols effectués les jours
précédant et suivant l’événement. Le BEA a obtenu les données de l’ensemble des
vols effectués entre le 25 décembre 2016 et le 3 janvier 2017.
1.11.2 Séquence des événements

Les données du vol de l’incident, extraites du QAR de l’avion, font apparaître les
événements significatifs suivants :
Approche Orly ILS CAT III RWY 06
A/P A engagé (modes MCP SPD/HDG, ALT SEL 5 000 ft, SPD SEL 230 kt),
F/D A et B engagés, A/T engagée
Altitude QNH
1°038 (ft) Vitesse
Heure UTC Événements
(QNH identique conventionnelle (kt)
à Orly et Lyon)
10 h 10 min 53 7 444 230 Le mode VOR/LOC est armé.
La vitesse air sélectionnée
10 h 11 min 10 7 104 231
est de 180 kt.
Le mode VOR/LOC s’engage.
10 h 11 min 33 6 838 222 Le paramètre « F/D ROLL R »
se met à osciller (BOV).
Activation de la fréquence
10 h 11 min 44 6 742 219 ILS sur le récepteur MMR du
côté droit.
Sélection des volets en
10 h 11 min 55 6 666 210
position 1.
10 h 12 min 15 6 522 197
position 5.
10 h 12 min 17 6 501 196
est de 165 kt.
10 h 12 min 56 6 151 174 A/P B engagé.
43
10 h 12 min 58 6 134 173 A/P A désengagé.
10 h 13 min 05 6 059 170 A/P A engagé.
10 h 13 min 07 6 032 170 A/P B désengagé.
Le mode ALT ACQUIRE
10 h 14 min 08 5 086 165
s’engage.
Le mode ALT HOLD
10 h 14 min 15 5 018 165
s’engage.
Le mode G/S s’engage.
10 h 14 min 53 5 023 165 Le paramètre « F/D PITCH R »
10 h 15 min 17 4 577 177
est de 155 kt.
10 h 15 min 18 4 543 177
position 15.
Les trains d’atterrissage sont
10 h 15 min 26 4 281 177
verrouillés bas.
L’altitude sélectionnée est
10 h 15 min 37 4 017 170
de 2 000 ft.
A/P A désengagé pendant
10 h 15 min 47 3 940 161
1 seconde.
A/P B engagé pendant
10 h 15 min 58 3 881 157
1 seconde.
A/P A désengagé pendant
10 h 15 min 59 3 875 157
1 seconde.
Les trains d’atterrissage
10 h 16 min 47 3 150 156
rentrent.
est de 169 kt.
10 h 16 min 53 3 073 158
position 5.
Les modes VOR/LOC et G/S
sont désengagés.
Le mode MCP SPD est
2 829
10 h 17 min 09 169 engagé.
(RA = 2 280)
Le mode CWS Roll s’engage.
Le paramètre « F/D PITCH R »
s’arrête d’osciller.
Le mode HDG est engagé.
2 687
10 h 17 min 18 170 Le paramètre « F/D ROLL R »
(RA = 2 151)
2 158 L’altitude sélectionnée est
10 h 17 min 48 169
(RA = 1 594) de 4 000 ft.
44
Première approche Lyon ILS CAT III RWY 35R
A/P A engagé (modes MCP SPD/HDG, ALT SEL 3 000 ft, SPD SEL 210 kt),
Altitude QNH
1°038 (ft) Vitesse
à Orly et Lyon)
Le mode ALT HOLD
10 h 58 min 52 3 008 213
s’engage.
10 h 59 min 06 3 000 210
position 1.
10 h 59 min 19 3 027 210
est de 185 kt.
L’avion se met en virage
à droite jusqu’à une
10 h 59 min 22 3 024 210 inclinaison maximale de
30.4° atteinte
à 10 h 59 min 33.
10 h 59 min 31 3 025 200
position 5.
10 h 59 min 33 3 028 198
est de 171 kt.
Après avoir atteint le cap
maximal de 070°, l’avion
se met en virage à gauche
10 h 59 min 45
jusqu’à une inclinaison
maximale de 27.1° atteinte à
10 h 59 min 50.
10 h 59 min 52 3 048 180 A/P A désengagé.
10 h 59 min 56 3 036 179 A/T est désengagée.
11 h 00 min 49 4 624 189
de 5 000 ft.
Le mode VOR/LOC est
désengagé.
11 h 00 min 50 4 657 189 Le mode HDG est engagé.
Le paramètre « F/D ROLL R »
est de 188 kt.
11 h 00 min 53 4 770 188
Le mode ALT ACQUIRE
s’engage.
11 h 01 min 03 5 200 182 Le cap 0° est sélecté.
11 h 01 min 19 5 674 187 A/P B engagé.
11 h 01 min 27 5 850 189
position 1.
11 h 01 min 35 5 836 203 A/P B désengagé.
45
Le paramètre « IR FAULT »
est déclenché pendant
11 secondes.
Les paramètres
« F/D ROLL L » et
« F/D PITCH L » se mettent à
11 h 01 min 36 5 821 205 osciller (BOV).
Les paramètres « CAPTAIN
DISPLAY PITCH ATT »,
« CAPTAIN DISPLAY ROLL »
et « CAPTAIN DISPLAY
HEADING » se mettent à
osciller (NCD – FW)
Le paramètre « IRS Transfer
11 h 01 min 47 5 770 223 Switch » est enregistré à
« BOTH ON R ».
11 h 01 min 57 6 054 223 Le mode V/S est engagé.
est de 222 kt.
11 h 02 min 00 6 178 221 Le mode MCP SPD est
engagé (LVL CHG activé à
bord).
11 h 02 min 06 6 399 216 A/T engagée.
11 h 02 min 11 6 476 208 A/P B engagé.
11 h 02 min 15 6 410 207
de 4 000 ft.
11 h 02 min 31 5 760 218
position 0.
11 h 02 min 35 5 647 218
est de 210 kt.
11 h 03 min 12 4 884 216 Le Yaw Damper désengagé.
11 h 03 min 47 4 418 210
de 5 000 ft.
11 h 04 min 17 4 634 210
de 4 000 ft.
11 h 04 min 29 4 825 210
de 3 000 ft.
46
Deuxième approche Lyon ILS CAT I RWY 35R
A/P B engagé (modes MCP SPD/HDG, ALT SEL 3 000 ft, SPD SEL 210 kt),
Altitude QNH
1°038 (ft) Vitesse
à Orly et Lyon)
11 h 06 min 08 3 239 210
position 1.
11 h 06 min 12 3 172 211
est de 186 kt.
Le mode ALT ACQUIRE
11 h 06 min 25 3 037 203
s’engage.
11 h 06 min 27 3 021 202
position 5.
Le mode ALT HOLD
11 h 06 min 28 3 016 201
s’engage.
11 h 06 min 30 3 016 199
est de 170 kt.
11 h 08 min 12 3 024 171 Le mode G/S est armé.
Le mode G/S s’engage.
Les paramètres
« F/D PITCH R »,
11 h 08 min 28 3 023 170 « F/D PITCH L » et
« F/D ROLL L » se mettent à
osciller (BOV).
A/P B désengagé.
Les trains d’atterrissage sont
11 h 08 min 39 2 956 172
verrouillés bas.
11 h 09 min 04 2 447 177
position 15.
11 h 09 min 08 2 348 178
est de 156 kt.
11 h 09 min 20 2 031 180
position 30.
Sortie des aérofreins jusqu’à
11 h 09 min 26 1 811 183
11 h 09 min 46.
1 745 EGPWS Alert GLIDESLOPE
11 h 09 min 28 184
(RA = 949) pendant 1 à 2 secondes.
1 478 GPWS Warning SINK RATE
11 h 10 min 00 162
1 420 GPWS Alert GLIDESLOPE
11 h 10 min 04 167
1 263 GPWS Alert GLIDESLOPE
11 h 10 min 14 178
GPWS Warning TOO LOW
1 182
11 h 10 min 20 178 TERRAIN pendant
(RA = 242)
3 à 5 secondes.
47
1 062
11 h 10 min 32 180 TERRAIN pendant
(RA = 180)
1 à 3 secondes.
1 011
11 h 10 min 35 178 TERRAIN pendant 3 à 5
(RA = 147)
secondes.
949 Sélection des volets en
11 h 10 min 38 177
(RA = 116) position 40.
930 GPWS Warning SINK RATE
11 h 10 min 39 175
11 h 10 min 51 825 159 Toucher des roues.
1.12 Renseignements sur l’épave et sur l’impact

Sans Objet.
1.13 Renseignements médicaux et pathologiques

Sans Objet.
1.14 Incendie
Sans Objet.
1.15 Questions relatives à la survie des occupants

Sans Objet.
1.16 Essais et recherches

Les éléments factuels recueillis au travers de l’analyse des paramètres de vol
enregistrés dans le QAR (voir § 1.11.2) ont conduit le BEA à faire examiner les deux
ADIRU et les deux FCC qui étaient installés sur le CN-ROJ lors du vol de l’événement.
Le type et l’historique de ces calculateurs sont synthétisés dans le tableau suivant :
ADIRU #1 ADIRU #2 FCC #1 FCC #2
(ADIRU gauche) (ADIRU droit) (FCC A) (FCC B)
Constructeur Honeywell Honeywell Rockwell Collins Rockwell Collins
Numéro de type HG2050AC07 HG2050AC07 822-1604-101 822-1604-101
Numéro de série 56002660 56019441 16D1XL 17F969
Installé sur
14/12/2016 10/06/2016 22/05/2006 10/06/2016
CN-ROJ
Déposé du
06/01/2017 23/01/2017 04/05/2017 03/01/2017
CN-ROJ
Installé sur Installé sur
le CN-ROR le le CN-ROZ le
Historique Mis en Mis en
23/01/2017, 03/01/2017,
après dépose quarantaine pour quarantaine pour
puis déposé le puis déposé le
du CN-ROJ examen examen
04/04/2017 pour 27/01/2017 pour
examen examen
48
1.16.1 Examen des ADIRU
Les deux ADIRU ont été envoyés par l’exploitant vers le centre d’Honeywell situé
aux États-Unis à Coon Rapids, Minnesota. Les examens ont eu lieu les 8 et 9 mai 2017
en présence du BEA.
Les mémoires non volatiles (NVM) contenant les données des BITE des deux ADIRU
ont été lues. Leur contenu a pu être ensuite analysé :
Aucun message de panne n’était enregistré dans le BITE de l’ADIRU droit et
les tests après maintenance (ATP) n’ont pas mis en évidence d’erreurs ou de
dysfonctionnement.
Le contenu des NVM de l’ADIRU gauche présentait plusieurs messages de panne
dont un le jour de l’événement : « Drift Angle ». Ce message de panne a été
enregistré également par le BITE de l’ADIRU gauche lors d’un vol le 01/01/2017.
Il se traduit par l’illumination du voyant L IRS FAULT sur le panneau supérieur du
cockpit, des voyants Master Caution sur le tableau de bord et du voyant IRS sur
le système annonciateur côté gauche (voir § 1.6.2.2.3).
La vitesse sol résiduelle enregistrée dans l’ADIRU gauche à la fin du vol de
l’événement était de 187 kt.
La position de l’avion enregistrée dans l’ADIRU gauche au parking à l’aéroport de
Lyon était à environ 64 NM de la position réelle de l’avion.
Des examens supplémentaires ont été menés par Honeywell sur l’ADIRU gauche
pendant plusieurs semaines entre les mois de juin et août 2017 afin de reproduire
la panne « Drift Angle » et d’identifier la cause de cette panne.
L’ensemble des tests réalisés sur cette unité n’a pas permis d’identifier de composants
défectueux qui pourraient expliquer ce message de panne.
Néanmoins, Honeywell a précisé que la cause de la panne pouvait être due à la
défaillance soit d’un gyromètre, soit d’un accéléromètre.
Les paramètres QAR montrent que les attitudes ainsi que le cap fournis par l’ADIRU
gauche sont cohérents. Une défaillance d’un gyromètre semble donc pouvoir être
écartée.
Par conséquent, il est probable que le message de panne « Drift Angle » soit lié
à une défaillance d’un accéléromètre qui pourrait expliquer les valeurs résiduelles de
vitesse sol et de position enregistrées à la fin du vol à Lyon.
1.16.2 Examen des FCC

Les deux FCC ont été envoyés par l’exploitant vers le centre de Rockwell Collins situé
aux États-Unis à Cedar Rapids, Iowa. Les examens en présence du BEA ont eu lieu les
10 et 11 mai 2017.
Les tests de continuité électrique n’ont pas indiqué de problème et les lectures du
contenu du BITE des deux FCC ont pu être effectuées. Aucun message de panne lié
à une défaillance des FCC n’était enregistré. Les ATP ont été réalisés et n’ont pas mis
en évidence de panne liée aux FCC.
49
En revanche, le contenu des NVM du BITE de chacun des FCC a révélé de nombreux
messages de panne datant du jour de l’événement mais également présents sur toute
la durée d’enregistrement du BITE (du 20/04/2015 au 04/05/2017 pour le FCC A, et du
01/01/2015 au 27/01/2017 pour le FCC B).
Ces messages de panne concernent principalement les équipements suivants (dans
l’ordre croissant du nombre de messages) :
L’ADIRU gauche ;
Le RA 2 ;
Le panneau de contrôle 1 de réglage des moyens de navigation : VHF/NAV Control
Panel 1 ;
Le panneau de contrôle 2 de réglage des moyens de navigation : VHF/NAV Control
Panel 2 ;
Le récepteur 1 des signaux des moyens de navigation : Multi Mode Receiver 1 ;
Le récepteur 2 des signaux des moyens de navigation : Multi Mode Receiver 2.
Ces messages de panne sont associés, dans la plupart des cas, aux effets suivants
sur les fonctions assurées par les FCC (effets observés en particulier lors du vol de
l’événement) :
Déconnexion de l’A/P ;
Suppression de l’affichage d’une ou plusieurs barres de tendance des F/D.
Le tableau ci-dessous rassemble les informations recueillies par le BEA afin d’expliquer
l’origine de ces messages de panne :
Équipement FCC Date des messages Causes des messages
Ces messages sont liés au message de
panne « Drift Angle » enregistré aux
mêmes dates par le BITE de l’ADIRU
gauche (voir § 1.16.1).
Pour le vol de l’événement, les messages
de panne indiquent l’invalidité du cap
ou de la route au moment du virage à
droite et de la déconnexion de l’A/P lors
30/12/2016
ADIRU gauche A&B de la première approche à Lyon. Le cap
01/01/2017
de l’ADIRU gauche est enregistré dans
le QAR et est correct ce qui permet de
conclure sur l’invalidité de la route (non
enregistrée dans le QAR). D’autre part,
Boeing et Rockwell Collins ont réussi
à reproduire cette situation au travers
d’une simulation avec des valeurs de
route volontairement biaisées.
50
Le RA 2 présent sur le CN-ROJ au
moment de l’événement a été
installé le 10/12/2016. Or les premiers
messages de panne relatifs au RA 2
Plusieurs occurrences ont été enregistrés sur le CN-ROJ dès
entre le 26/06/2016 le 26/06/2016. Il semble donc que
et le 02/01/2017 ces messages ne soient pas dus à
et en particulier une défaillance du RAe. D’autre part,
RA 2 B les antennes du RA 2 ont été vérifiées
lors du vol de
l’événement (FCC B le 16/01/2017 par la maintenance de
déposé du CN-ROJ l’exploitant sans révéler de défaut.
le 03/01/2017) Sur la base de ces éléments, il paraît
probable que ces messages de panne
aient été causés par un problème de
communication entre le RA 2 et le
FCC B.
FCC A : de très
nombreuses
occurrences entre
le 20/04/2015 et le
04/05/2017 et en
particulier lors du vol
VHF/NAV Control de l’événement
A&B
Panel 1 FCC B : de très
nombreuses
occurrences entre
le 01/01/2015 et le
23/06/2015 et une
occurrence lors du vol
de l’événement
De très nombreuses L’enquête a montré que ces messages
occurrences entre de panne sont la conséquence d’une
VHF/NAV Control le 23/06/2015 et le procédure opérationnelle de la
B compagnie qui demande aux PM de
Panel 2 26/01/2017 et en
particulier lors du vol régler le VOR/DME de l’aérodrome de
de l’événement destination au cours des approches ILS
afin de vérifier la capture du bon signal
FCC A : de très glide. L’origine de ces messages est
nombreuses détaillée dans le paragraphe suivant.
occurrences entre
le 20/04/2015 et le
Multi Mode 04/05/2017
A&B
Receiver 1 FCC B : de très
nombreuses
occurrences entre
le 01/01/2015 et le
23/06/2015
De très nombreuses
occurrences entre
Multi Mode le 23/06/2015 et le
B
Receiver 2 26/01/2017 et en
particulier lors du vol
de l’événement
51
1.16.3 Causes des disparitions des directeurs de vol et des désengagements de
pilote automatique observés dans les données QAR
Lors de l’analyse des données QAR, de multiples disparitions des F/D et
désengagements d’A/P ont été constatés lors du vol de l’événement mais également
au cours de plusieurs autres vols précédant et suivant celui de l’événement.
Les examens des deux FCC ont permis d’en comprendre les causes, au nombre de
quatre lors du vol de l’événement :
Cas 1 : L’application par les équipages d’une pratique usuelle de l’opérateur qui
consiste à retarder l’affichage de la fréquence du Localizer sur l’ensemble de
navigation du PM et de garder l’affichage d’une fréquence VOR sur cet ensemble.
Cette méthode permet de garder un VOR affiché dans l’avion afin que le pilote
ait une meilleure représentation de sa position par-rapport à l’aérodrome,
puisse vérifier l’anticipation de virage nécessaire pour un bon alignement sur
le Localizer et éventuellement la capture du bon signal Glide à l’aide du DME (28)
Pour rappel,
associé au VOR dans le cas où l’ILS ne comporte pas de DME. En effet, la sélection l’affichage d’une
sur le panneau de contrôle du côté PM d’une fréquence active autre que celle fréquence VOR sur
de l’ILS lors de l’interception de celui-ci, entraîne la disparition, de ce côté, du un des panneaux
de commande
F/D en roulis au moment de l’engagement du mode VOR/LOC et du F/D en des moyens de
tangage au moment de l’engagement du mode Glideslope (G/S). Cette méthode radionavigation
de travail correspond à une ancienne pratique utilisée également dans d’autres empêche
l’engagement
compagnies, notamment françaises dans le passé. La procédure actuelle présente des deux A/P,
dans le FCOM (voir § 1.17.1.3.1.1) demande l’affichage des fréquences Localizer nécessaire pour les
sur les deux ensembles de navigation avant l’interception du Localizer(28). approches CAT III.
Cas 2 : Le non-armement du mode APP qui empêche l’engagement des deux A/P.
Cas 3 : La non-réception par le FCC B des données du RA 2 qui entraîne la disparition
des F/D sur le PFD droit, le désengagement de l’A/P B, et le désengagement des
deux A/P lorsqu’ils sont tous les deux engagés.
Cas 4 : La transmission de données inertielles erronées de l’ADIRU gauche aux
FCC A et B qui provoque la disparition des F/D sur le PFD gauche, le désengagement
de l’A/P A, et le désengagement de l’A/P B.
La séquence des perturbations des automatismes lors du vol de l’événement est
la suivante :
Approche à Paris-Orly
À 10 h 10 min 53, l’équipage arme le mode VOR/LOC. La fréquence active sur
le panneau de contrôle des moyens de radionavigation côté gauche est celle de
l’ILS 06, tandis que la fréquence active côté droit est celle du DME (POY) d’Orly.
À 10 h 11 min 33, le mode VOR/LOC est engagé et l’avion vire à droite. À cet instant le
directeur de vol en roulis (barre de tendance verticale) disparaît sur le PFD droit (cas 1).
Puis onze secondes plus tard, la fréquence de l’ILS 06 est activée côté droit, mais F/D
en roulis ne réapparaît pas (cas 3).
À 10 h 12 min 58, à l’engagement de l’A/P B, l’A/P A se désengage. De la même façon,
neuf secondes plus tard, la nouvelle tentative d’engagements successifs des deux
A/P engendre le désengagement de l’A/P B (cas 2).
52
À 10 h 14 min 53, l’équipage est autorisé à l’approche ILS CAT III. À cet instant
l’équipage sélectionne le mode Approche, ce qui a pour effet d’armer le mode G/S.
Le mode G/S est engagé, le F/D en tangage (barre horizontale) disparaît sur le PFD
droit (cas 3).
À 10 h 15 min 47, l’A/P A se désengage (cas 3).
À 10 h 15 min 58, l’A/P B puis l’A/P A se désengagent (cas 3).
Approches à Lyon
À 10h 58 min 26, l’équipage est autorisé ILS 35R à Lyon. Il affiche la fréquence de
l’ILS de la piste 35R (à la place de la fréquence du VOR-DME LSE) sur le panneau
de contrôle des moyens de radionavigation côté gauche et droit. L’avion intercepte
l’altitude de 3 000 ft puis l’équipage arme le mode VOR/LOC.
À 10 h 59 min 19, le mode VOR/LOC s’engage. Au même instant, le F/D en roulis
disparaît sur le PFD droit (cas 3).
À 10 h 59 min 52, l’A/P A se désengage (cas 4).
À 11 h 01 min 35, l’alarme L IRS FAULT engendre le désengagement de l’A/P B (cas 4).
À 11 h 08 min 09, le mode VOR/LOC est engagé. Au même instant, le F/D en roulis
disparaît sur le PFD droit (cas 3). L’équipage active le mode App trois secondes après
ce qui a pour effet d’armer le mode G/S.
À 11 h 08 min 28, le mode G/S est engagé. Au même instant, l’A/P B est
automatiquement désengagé et le F/D en tangage disparaît sur le PFD droit (cas 3).
À cet instant les F/D en roulis et en tangage disparaissent également sur le PFD
gauche pour une raison qui n’a pas pu être expliquée au cours de l’enquête.
Synthèse
Il apparaît que la plupart des disparitions de F/D sont dues à la non-réception par
le FCC B des données du RA 2 (cas 3).
Ce mode de panne explique également la majorité des désengagements d’A/P.
1.16.4 Analyse des données QAR des autres vols

La compagnie Royal Air Maroc a fourni au BEA les données de 43 vols supplémentaires
réalisés sur le même avion entre le 25 décembre 2016 et le 3 janvier 2017. L’analyse
de ces données a fait ressortir les éléments suivants :
La signature caractéristique des paramètres « F/D Roll » et « F/D Pitch » indiquant
la disparition de l’affichage des F/D est observée à de très nombreuses reprises
du côté gauche comme du côté droit. Ce phénomène se produit au cours de
29 vols sur les 43.
Des difficultés d’interception de l’axe LOC au cours d’approches ILS avec
l’A/P engagé sont observées lors de sept vols entre le 26 décembre 2016 et le
2 janvier 2017. Ces difficultés se caractérisent par des oscillations de la trajectoire
de l’avion autour de l’axe LOC telles que celles observées au cours de cet incident
lors de l’approche à Paris Orly, ou par une trajectoire divergente par rapport à
l’axe LOC nécessitant la déconnexion de l’A/P comme celle observée lors de la
première approche à Lyon.
53
L’alarme L IRS FAULT se déclenche au cours d’un vol le 1 er janvier 2017.
L’alarme EGPWS « SINK RATE » se déclenche au cours de l’approche finale du vol
suivant celui de l’incident entre Lyon et Paris-Orly effectué par le même équipage.
1.16.5 Analyse des reports équipage dans le compte rendu matériel

La mise en parallèle des données extraites des BITE FCC et des données QAR,
d’une part, et de la partie TLB du compte rendu matériel d’autre part a permis d’évaluer
la cohérence entre le report dans le TLB des problèmes techniques rencontrés
par les équipages et les pannes enregistrées. Cette comparaison a été effectuée
pour les vols réalisés sur le CN-ROJ entre le 25 décembre 2016 et le 3 janvier 2017,
soit 43 vols.
Au cours de cette période, les données QAR et les informations contenues dans les
BITE FCC font apparaître 29 vols au cours desquels l’affichage des F/D a disparu.
Parmi ces 29 cas, 17 sont dus à l’application de la procédure opérationnelle de
l’exploitant qui consiste à vérifier la capture du bon signal Glide lors d’une approche
ILS en réglant un VOR-DME du côté PM. Il ne s’agit donc pas pour l’exploitant d’une
défaillance de système nécessitant un report dans le TLB.
Les 12 autres cas ont été causés par des problèmes techniques. D’après les résultats
des examens des FCC (voir § 1.16.2 ), 11 cas parmi ces 12 sont dus à la non-réception
par le FCC B des données du RA 2. Le dernier cas est dû à la divergence entre les
commandes des F/D gauche et droit avec les modes VOR/LOC et G/S engagés.
Dans le TLB figurent deux reports équipage relatifs à des problèmes de F/D.
De même, les données QAR et les informations contenues dans les BITE FCC font
apparaître 18 cas de désengagements automatiques d’A/P provoqués par les
problèmes de communication entre le FCC B et le RA 2, ou les problèmes de l’ADIRU
gauche.
Dans le TLB figurent six reports équipage relatifs à des problèmes d’A/P.
Enfin, le 1er janvier 2017, l’ADIRU gauche a enregistré un message de panne DRIFT
ANGLE, visible également dans les données QAR ainsi que dans les données BITE du
FCC A. Aucun report équipage n’a été effectué dans le TLB à l’issue de ce vol.
Cette analyse fait donc ressortir un report non systématique dans le TLB des problèmes
techniques rencontrés par les équipages de conduite.
Le vol de l’événement ne fait pas exception. En effet, seule l’information « L IRS
FAULT » est mentionnée dans le TLB. L’apparition des messages de pannes FMC IRS-L
DRIFT et VERIFY POS : IRS-IRS, les multiples désengagements d’A/P et disparitions de
F/D, ainsi que l’activation du voyant AUTOBRAKE DISARM n’y figurent pas.
54
1.16.6 Analyse de l’étude de sécurité Boeing relative au dysfonctionnement
non détecté d’un ADIRU
Lors de la 1ère approche à Lyon, réalisée avec l’A/P A engagé, l’ADIRU gauche qui
subissait des problèmes internes durant ce vol a fourni des informations erronées
marquées valides au FCC A. Le FCC A qui prend en compte directement ces
informations sans vérification supplémentaire, a envoyé un ordre de commande
erroné.
Des problèmes similaires ont pu être observés au cours de sept vols entre le
26 décembre 2016 et le 2 janvier 2017.
Boeing a présenté une synthèse de l’étude de sécurité réalisée pour évaluer le risque
lié à un départ en virage non commandé sous A/P, provoqué par la non-détection
d’une information inertielle erronée.
1.16.6.1 Évaluation du risque

Boeing a défini les effets du danger « utilisation par le FCC d’une information inertielle
erronée non détectée » comme pouvant être :
Guidage erroné des F/D ;
Braquage brusque, et pouvant être de grande amplitude (« hardover »), par l’A/P,
d’une gouverne de tangage ou de roulis (l’un ou l’autre des deux axes, mais pas
les deux en même temps) ;
Commandes oscillantes ;
Contrôle dégradé.
Ces effets sont classés par Boeing comme « mineurs » ou « majeurs »(29) en fonction (29)
Cette classification
de la phase de vol. Ils sont classés « majeurs » en phase d’approche. Dans ce cas, est définie dans
la réglementation
l’utilisation par le FCC d’une information inertielle erronée non détectée ne doit pas de certification
se produire plus de 10-5 fois par heure de vol environ. américaine Federal
Aviation Regulations
Cette classification repose sur les considérations de conception suivantes : Part 25 § 1309.
L’utilisation d’un seul A/P est autorisée au-dessus de 400 ft après décollage et
jusqu’à 158 ft en approche.
Une information inertielle erronée non détectée transmise par un ADIRU à un
FCC ne peut provoquer un « hardover » que sur un seul axe (tangage ou roulis).
En effet, pour élaborer ses ordres en tangages et en roulis, le FCC A (B) utilise les
informations inertielles transmises respectivement par l’ADIRU gauche (droit) et
l’ADIRU droit (gauche).
L’amortisseur de lacet surveille et compare les données fournies par les deux
ADIRU. Lorsqu’un seul ADIRU est valide, il n’est pas possible de maintenir engagés
à la fois le pilote automatique et l’amortisseur de lacet. Ce choix de conception
permet de garantir qu’une information inertielle erronée ne pourra pas perturber
la trajectoire de l’avion sur les trois axes simultanément.
Ces choix de conception permettent de diminuer la gravité des effets du danger en
limitant le nombre d’axes avion simultanément impactés par le dysfonctionnement
non détecté d’un ADIRU. Ils n’apportent en revanche aucun moyen de détection et
ne permettent donc pas de limiter le temps d’exposition à ce danger.
55
Le seul moyen de détection de ce danger identifié dans l’étude de sécurité est la
surveillance par l’équipage :
Les pilotes sont entraînés pour surveiller la trajectoire de l’avion, sa vitesse,
son altitude et corriger toute déviation par rapport au plan de vol prévu.
Boeing a identifié de plus, dans le cas d’une approche, les moyens en réduction de
risque suivant :
Affichage des données inertielles de l’autre ADIRU sur le PFD et l’écran de
navigation (ND) opposés et des données inertielles de l’instrument de secours ;
Affichage des déviations ILS sur les PFD, ND, et sur l’instrument de secours ;
Affichage de la position de l’avion sur les ND ;
Surveillance par le TCAS ;
Surveillance par le GPWS ;
Surveillance par l’ATC.
1.16.6.2 Estimation de la probabilité d’occurrence

La probabilité d’occurrence du danger « transmission par un ADIRU d’une information
inertielle erronée non détectée » a été estimée par Honeywell à 1,22.10 -5 par heure
de vol. Il s’agit d’une estimation réalisée lors de la phase de conception de l’ADIRU
qui n’a pas été vérifiée ni mise à jour a posteriori sur la base du retour d’expérience
en raison de la nature « non détectée » du danger.
Boeing a également fait le calcul de la probabilité d’occurrence de ce même danger
durant une phase d’approche en supposant que celle-ci dure 12 minutes. Cela donne
une probabilité d’occurrence de 2,44.10-6.
1.16.6.3 Efficacité de la surveillance par l’équipage comme moyen de détection

Le seul moyen de détection identifié dans l’étude de sécurité présentée par Boeing est Bien que la
(30)
basé uniquement sur la capacité de l’équipage de détecter et corriger toute déviation nature des pannes
de trajectoire par rapport au plan de vol prévu. L’efficacité de ce moyen repose systèmes des
deux accidents du
principalement sur le temps de détection et le temps de réaction de l’équipage. Le Boeing 737 Max soit
présupposé dans l’étude de sécurité est que ces temps seront suffisamment courts pour différente de celle
éviter que ce danger n’évolue vers une situation dangereuse, voire catastrophique. de l’incident grave
survenu au CN-ROJ,
D’une façon plus générale, il s’agit d’un présupposé du modèle de sécurité développé certaines analyses et
recommandations
et utilisé dans le cadre de la certification du Boeing 737. Sa validité est discutée émises dans la JATR
dans la publication appelée JATR présentant les travaux menés conjointement par sont applicables
dix autorités de l’aviation civile, ainsi que la NASA et le NTSB à la suite des accidents également aux
avions de type
du Boeing 737 Max survenus en Indonésie et en Éthiopie(30). Dans leur rapport, Boeing 737-NG.
ces autorités(31) indiquent que les candidats à l’obtention d’un certificat de type
délivré par l’Agence américaine en charge de l’Aviation civile (FAA) ont pour habitude Ces autorités
(31)
d’utiliser les temps de détection et de réaction définis dans le guide de la FAA AC seront désignées
comme « autorités
25-7D développé pour la réalisation des essais en vol. Ce guide préconise d’utiliser
conjointes » dans la
un temps de détection d’une seconde et un temps de réaction de trois secondes. suite du rapport.
Or, les autorités conjointes soulignent le fait que ces temps sont utilisés lors de la
conception des avions et en particulier dans les études de sécurité bien que l’AC 25-7D
soit destiné à la réalisation des essais en vol.
56
D’autre part, les autorités conjointes n’ont trouvé aucune étude permettant de Casner, S.M.,
(32)
justifier ces temps de réaction et détection. En revanche, une étude de la NASA (32) R.W. Geven, and
K.T. Williams (2013).
et l’analyse de plusieurs accidents montrent que les équipages peuvent prendre un The Effectiveness of
temps significativement plus long que ceux définis dans l’AC 25-7D pour détecter et Airline Pilot Training
réagir suite à un dysfonctionnement. for Abnormal Events,
Human Factors,
Enfin, les autorités conjointes rappellent que le présupposé selon lequel l’équipage 55, 477-485-33.
surveille de façon permanente le fonctionnement des automatismes, et en particulier
qu’il est capable de réagir en moins de quatre secondes, date de plusieurs décennies,
à une époque où la fiabilité des systèmes nécessitait une surveillance constante de
leur bon fonctionnement. Ce présupposé n’est peut-être plus valable de nos jours.
Les autorités conjointes ont donc fait plusieurs recommandations à la FAA sur
ce sujet :
La FAA devrait établir des temps appropriés de détection et de réaction par
les équipages, basés sur des études scientifiques en prenant en considération
l’environnement opérationnel, les circonstances dans lesquelles le
dysfonctionnement peut survenir, et l’effet de surprise (Recommandation R2.8).
Dans le cadre du processus de certification des avions de transport commercial,
la FAA devrait examiner tous les dangers classés « majeur » pour lesquels un
moyen essentiel d’atténuation est l’action de l’équipage afin d’évaluer s’ils sont
potentiellement catastrophiques. La FAA devrait évaluer les effets du danger et
les moyens d’atténuation au niveau avion, y compris les effets sur l’équipage et
l’environnement cockpit, afin de déterminer si des caractéristiques de conception
supplémentaires sont nécessaires (Recommandation R6.2).
1.16.7 Situation technique de l’avion après l’événement

1.16.7.1 Actions de maintenance réalisées le 30 décembre 2016
Suite au vol de l’événement, le CN-ROJ repart sur Paris-Orly puis effectue le vol
Paris‑Orly-Marrakech le même jour. Sur ce dernier segment, l’équipage a reporté
dans le TLB que lors de l’approche l’A/P B s’est déconnecté en approche finale.
La maintenance de la Royal Air Maroc a retranscrit dans le TLB que le message de
panne 22-11052 Radio Alt-2 (J1B-B04, A04) a été relevé lors du déroulement de la
procédure BITE du DFCS. Cette panne renvoie l’opérateur à réaliser la FIM 22-11 tâche
805 : Radio Altimeter Output Problem – Fault Isolation.
Dans cette nouvelle tâche, il est indiqué que le message Radio Alt-2 (J1B-B04, A04)
est enregistré lorsque le FCC-B reçoit des données invalides ou pas de données
du RA 2.
Avant de débuter la procédure d’isolation de la panne, l’étape préliminaire est de
confirmer cette panne au sol. Associé à la panne visualisée sur le CDU, il est possible
de lancer un test nommé LRU test. Le LRU test a été passé avec succès. Cela signifie (33)
Test
que la panne était soit intermittente, soit déclenchée sous des conditions différentes supplémentaire du
F/D impliquant des
de celles rencontrées lors de l’opération de maintenance.
actions du technicien
de maintenance
Il est également indiqué dans le TLB qu’un message relatif au F/D est apparu au CDU,
demandées par
que le test associé était un test interactif(33) et qu’il a été passé avec succès. le système.
57
1.16.7.2 Actions de maintenance réalisées début 2017
Après le jour de l’événement, les équipages en fonction sur le CN-ROJ ont été
confrontés à plusieurs reprises à des désengagements automatiques de l’A/P.
L’exploitant a alors effectué les actions de maintenance présentées dans le tableau
ci-dessous :
Date Description Actions de maintenance
- ILS APP MODE UNVAILABLE IN
BOTH A/P A AND B
- IRS-L DRIFT MSG VERIFY-POS :
IRS L
02/01/17 Remplacement du FCC B
- A/P B DISCONNECTED AT G/S
CAPTURE
- A/P DISCONNECTED AT G/S
CAPTURE
- REF MORE COMPLAINTS A/P B
- Remplacement du Multi Mode Receiver 1 ;
DISCONNECD AT FINAL
06/01/17 - Remplacement du VHF/NAV Control Panel 1.
- IRS L DRIFT MSG FMC VERIFY
- Remplacement ADIRU gauche.
POS IRS LH
- Vérification du câblage entre le RA 2 et
les FCC A et B ;
- Dépose/remontage des deux antennes
A/P B DISENGAGE AFTER G/S associées au RA 2 pour inspection et
16/01/17
CAPTURE nettoyage ;
- Permutation temporaire des RA 1 et 2 pour
réaliser le test BITE DFCS. Aucune panne
relevée.
LEFT IRS DRIFTED ON GROUND BY - Dépose ADIRU droit (pour enquête) et
23/01/17 MORE THAN 6 WITH MSG IRS POS remplacement
ORIGIN DESAGREE - Remplacement ADIRU gauche.
- Vérification du câblage entre le Multi Mode
Receiver 2 et le FCC B ;
ON APP A/P RIGHT SIDE - Vérification du câblage entre les VHF/NAV
06/02/17
DISENGAGE STP Control Panel 1 et 2 et le FCC B ;
- Remplacement du Multi Mode Receiver 2 ;
- Remplacement du VHF/NAV Control Panel 2.
- Inspection détaillée des antennes associées
au RA 2 ;
DUE TO RECCURENT MSG
- Remplacement des antennes associées au
11/02/17 SHOWED ON RH DFCS FAULT
RA 2 ;
HISTORY AT DESCENT PHASES
- Vérification du câblage entre le RA 2 et les
FCC A et B.
AUTO PILOT B DISENGAGED ON
22/02/17 - Remplacement du RA 2.
MODE APP AND NO FD BARS
Ces différentes actions de maintenance n’ont pas révélé de défaillance sur les systèmes
inspectés pouvant expliquer les problèmes rencontrés lors du vol de l’événement.
Néanmoins, la compagnie Royal Air Maroc a indiqué au BEA que les problèmes de
désengagement automatique de l’A/P rencontrés sur le CN-ROJ ont disparu après le
22 février 2017, date de remplacement du RA 2.
58
1.17 Renseignements sur les organismes et la gestion
1.17.1 L’exploitant
1.17.1.1 Description générale
La compagnie Royal Air Maroc, RAM, compagnie aérienne nationale marocaine, a (34)
On entend par CTE
été créée le 29 juin 1957 et est basée à l’aérodrome Mohammed V - Nouasser de le permis autorisant
un exploitant
Casablanca.
marocain à effectuer
des services aériens
Le jour de l’incident grave, elle disposait d’un Certificat technique d’exploitation
de transport public
(CTE)(34) (n°CN XC01/96) établi par le Ministère de l’Équipement, du Transport et de (passagers, cargo
la Logistique du Royaume du Maroc, le 24 juin 2015 et valable jusqu’au 26 juin 2017. et poste), de taxi et
de travail aériens.
Elle est autorisée à effectuer du transport commercial de passagers et de fret, lors de
Le même document
vols domestiques ou internationaux. Une annexe à ce certificat précise que l’avion est dénommé permis
CN-ROJ détenait une autorisation pour les approches aux instruments CAT I à IIIA. d’exploitation
aérienne (AOC)
Au moment de l’événement, la compagnie exploitait 48 avions Boeing et Embraer, par l’Annexe 6 à la
Convention relative
dont 36 avions de type Boeing 737-700 (6) et 737-800 (30).
à l’aviation civile
internationale.
La compagnie détient la certification IOSA depuis 2005.
1.17.1.2 Procédures opérationnelles en cas de survenue d’incident

Le « Policy Manual » de la RAM précise dans son chapitre 1.4.2.7 que le CdB doit
respecter les dispositions suivantes après le vol :
Déposer un ASR en cas d’accident ou d’incident ;
Préserver les données enregistrées sur l’enregistreur de données de vol (DFDR) et
l’enregistreur phonique (CVR) dans le cas d’un accident ou d’un incident qui peut
être soumis à déclaration obligatoire ou d’une enquête.
Le document précise dans son chapitre 2.4.5 que le Cadre de permanence PNT de
la compagnie a pour missions de traiter les événements, incidents ou accidents.
Son numéro de téléphone portable y figure.
Le chapitre 11 spécifie le traitement des incidents et accidents.
Le chapitre 11.2.3 définit un incident comme un événement, autre qu’un accident,
lié à l’utilisation d’un aéronef, qui compromet ou pourrait compromettre la sécurité
de l’exploitation et un incident grave comme un incident dont les circonstances
indiquent qu’un accident a failli se produire. Le manuel précise que la différence
entre un accident et un incident grave ne réside que dans le résultat.
À titre d’exemples d’incidents graves, sont cités, entre autres, les quasi-collisions
ayant exigé une manœuvre d’évitement pour prévenir un abordage ou une
situation dangereuse et cas où une action d’évitement aurait été appropriée, ainsi
que les pannes de systèmes, phénomènes météorologiques, évolution en dehors
de l’enveloppe de vol approuvée ou autres occurrences qui pourraient avoir rendu
difficile la maîtrise de l’aéronef.
59
Le chapitre 11.5 indique les mesures à prendre en cas d’incident grave :
60
1.17.1.3 Procédures de vol
1.17.1.3.1 Procédures normales
1.17.1.3.1.1 Configuration et préparation de l’approche pour une procédure ILS de catégorie I
La procédure Descente du FCOM indique en page NP 21.40 que lors de la descente,
il faut qu’entre autres :
Le PF et le PM appellent (touche Recall) et revoient l’ensemble des voyants
systèmes ; (35)
L’affichage
le PF et le PM affichent et vérifient les moyens de radionavigation ainsi que des fréquences
les axes affichés pour l’approche. Localizer sur les
deux ensembles de
La procédure App (FCOM NP.21.42) indique que, pour une approche ILS, l’équipage navigation remplace
de fait les fréquences
doit afficher les fréquences Localizer(35) avant le Repère d’approche initiale (IAF) ou VOR éventuellement
bien avant le début du guidage vers l’axe d’approche finale en cas de guidage radar. affichées.
Le FCOM indique (36) en page NP.21.44 les configurations et vitesses types pour une (36)
La compagnie
approche ILS CAT I : précise que ce
canevas est à utiliser
Sélecter les volets 1 et vitesse « 1 » (Vref40 + 50) puis volets 5 et vitesse « 5 » comme un guide,
pouvant être laissé
(Vref40 + 30) avant l’interception du Loc ;
à l’appréciation du
Commander la sortie des trains d’atterrissage et sélecter les volets 15 et vitesse CdB, permettant de
« 15 » (Vref40 + 20) lorsque le Glide est actif, placer le switch Engine start sur CONT ; respecter les critères
de stabilisation,
Armer les speed brakes ;
à 1 000 ft AAL en
À la capture du Glide, sélecter les volets en configuration prévue pour l’atterrissage IMC ou 500 ft AAL
et la VAPP = Vref+ facteur de vent ; en VMC, qui sont
eux obligatoires.
Afficher l’altitude de remise des gaz au MCP ;
Effectuer la CL Avant Atterrissage (Landing checklist) ;
Au repère d’approche finale (FAF ou FAP), vérifier l’altitude de passage ;
Désengager l’A/P et l’A/T au plus tard à la DA.
Lors de la 2ème approche ILS CAT I piste 35R à Lyon-Saint Exupery, les paramètres
suivants ont été observés (Vref40 = 135 kt) :
Volets 1 et vitesse sélectée de 186 kt, puis volets 5 et vitesse sélectée de 170 kt.
Commande de la sortie des trains d’atterrissage juste après l’engagement du
mode G/S. Environ 30 secondes après, sélection des volets 15 et vitesse sélectée
de 156 kt.
Speed brakes non armés.
Volets 30 et vitesse sélectée non modifiée 52 secondes après l’engagement du
mode G/S. Les volets 40 sont sélectés à une hauteur d’environ 115 ft.
Affichage altitude 2 700 ft au MCP (altitude approche interrompue 5 000 ft) ;
Inconnu (pas de CVR).
Altitude de 2 270ft à D4.5 LSN (d’après la carte d’approche, à ce repère l’altitude
doit être de 2 260 ft).
A/P / A/T déconnectés pendant toute l’approche finale.
61
1.17.1.3.1.2 Stabilisation de l’approche
Le manuel « Policy Manual » de la compagnie indique dans le § 8.1.3.6.2 qu’une (37)

Du fait des
approche est considérée comme stabilisée lorsque toutes les conditions ci-après conditions
météorologiques,
sont acquises, au plus tard à 1 000 ft AGL si l’avion se trouve en conditions de vol IMC l’approche finale à
ou à 500 ft AGL en conditions VMC(37). Lyon a été réalisée
en conditions IMC.
Le manuel indique que si un seul des critères de stabilisation n’est pas acquis au plus
tard à 1 000 ft AGL en conditions météorologiques IMC ou si une approche devient
non stabilisée en dessous de 1 000 ft AGL, cette approche devra impérativement
être interrompue et faire l’objet d’une remise des gaz et toute remise des gaz déjà
amorcée devra être poursuivie.
Lors de la deuxième finale à Lyon, à 1 000 ft AGL, la vitesse était supérieure de 41
kt au-dessus de Vref, le variomètre de 2 000 ft/min pour un maximum autorisé de
1 000 ft/min et 1,8 point de Glide pour un maximum de 1 point.
1.17.1.3.2 Répartition des tâches en équipage
Le manuel « Policy Manual » de la compagnie décrit la méthode à laquelle tous

les équipages doivent adhérer dans l’exercice de leurs fonctions et notamment
la répartition des tâches en équipage.
Les § 1.5.2 et 1.5.3 indiquent que le pilotage et la navigation sont assurés par le PF et
que les télécommunications sont assurées par le PM (ou le PF si nécessaire). Il y est
précisé qu’en toutes circonstances, au sol comme en vol, la conduite de trajectoire
assurée par le PF, doit être contrôlée par le PM. Il est indiqué également que le CdB
reste seul responsable de l’entière exécution du vol et qu’il doit intervenir chaque
fois qu’il le juge nécessaire.
Le § 13.1.1.2 précise qu’en pilotage manuel le PF gére les manettes de poussée,
l’engagement des A/P et les trims (excepté le réglage au neutre du trim de direction
en finale) et que le PM est en charge de tous les autres commandes et switchs sous
la responsabilité du CdB et en respect des procédures opérationnelles.
En pilotage automatique, le PF est en charge des manettes de poussée, affichages
au MCP et aérofreins alors que le PM s’occupe de toutes les actions sur le panneau
supérieur.
1.17.1.3.3 Procédures anormales et d’urgence
Les procédures opérationnelles anormales et d’urgence de l’exploitant en relation

avec l’incident figurent en annexe 4. Elles sont une reprise intégrale des procédures
figurant dans le Policy Manual de la RAM concernant les généralités pour le traitement
d’une situation anormale ainsi que celles présentes dans le FCOM et le QRH de l’avion
pour les pannes concernées.
Le Policy Manual indique dans le chapitre 0.1.2 que rien ne doit empêcher le personnel
d’agir selon son propre jugement en cas d’urgence et selon les circonstances.
En cas d’urgence et selon les circonstances, le CdB doit prendre toutes les mesures
qu’il considère nécessaires dans l’intérêt de la sécurité, peut s’écarter des règles,
des procédures et des méthodes d’exploitation, et devra dans les plus brefs délais
le notifier aux autorités locales concernées et remplir un ASR selon la procédure
décrite au chapitre 11 du manuel (voir § 1.17.1.2).
62
1.17.1.3.3.1 Cas général : Réaction à une situation anormale
Le manuel d’exploitation de la RAM (Policy Manual) traite dans son chapitre 13.1.1.6
des généralités concernant la réaction souhaitée de l’équipage à une alarme ou
une situation anormale ainsi que le traitement associé.
Ce canevas s’applique notamment lors de la survenue de l’alarme L IRS FAULT, comme
celle qui s’est produite à 11 h 01 min 36 lors de la première approche à Lyon.
Ce canevas préconisait à l’équipage de :
Annoncer et identifier l’alarme L IRS FAULT sur le panneau supérieur et effacer
l’alarme MASTER CAUTION ;
Confirmer ou redéfinir les tâches PF et PM (CdB) : le PF assure normalement le
suivi de la trajectoire, le pilotage et la navigation et le PM les communications ;
Appeler la Checklist « IRS FAULT » présente dans le QRH (PF) ;
Lire et effectuer la Checklist « IRS FAULT » du QRH avec la vérification mutuelle
adaptée (PM) ;
Vérifier que les breakers relatifs à l’IRS gauche sont bien enclenchés ;
Faire un bilan technique, économique, commercial et humain ;
Prendre en compte les considérations opérationnelles :
Limitations
Carburant
Météorologie (aérodromes de destination et de déroutement)
Transport et hébergement passagers
Consulter le CCO de la compagnie si possible ;
Prendre une décision ;
Informer la compagnie, l’ATC, les passagers.
Cette philosophie générale s’applique également dans le cas des messages
FMC IRS-L DRIFT et VERIFY POS : IRS-IRS.
1.17.1.4 Entraînements et contrôles périodiques (ECP)

1.17.1.4.1 Dispositions générales
Au sein de la compagnie Royal Air Maroc, chaque membre d’équipage de conduite

doit suivre le programme d’entraînement et de contrôles périodiques (ECP) de
l’exploitant, conformément à l’arrêté ministériel de l’autorité marocaine N°3163-12
du 21 septembre 2012 relatif aux licences et qualifications des membres d’équipage
de conduite.
Le programme de formation des équipages de l’exploitant prévoit un cycle d’ECP,
découpés en semestre, sur une période de trois ans. Au moment de l’événement,
les équipages se trouvaient dans un cycle ECP commençant en 2015 et se terminant
en 2017.
63
1.17.1.4.2 Entraînement périodique
L’entraînement périodique comprend chaque année :
Un cours de rafraîchissement au sol des connaissances théoriques incluant
les systèmes avion ainsi que l’étude des procédures normales, anormales, et
d’urgence de l’exploitant, les formations marchandises dangereuses et sûreté
(ces deux dernières formations se font lors de cycles de deux ans).
Deux entraînements sur simulateur de vol. Ce programme est établi de
façon à ce que toutes les défaillances majeures des systèmes de l’avion, ainsi
que les procédures associées soient couvertes au cours des trois années.
Ces entraînements comprennent également les procédures par faible visibilité
(LVP) et CAT II et III). Le chapitre 2.4.1.2 de l’Operations Manual Part D indique que
l’entraînement au simulateur devra inclure une réversion vers le pilotage manuel
et des approches avec panne des équipements de pilotage automatique à basse
altitude.
Un entraînement sécurité sauvetage et sureté.
Un entraînement à la gestion des ressources de l’équipage (CRM) ; il est précisé
que la radiotéléphonie est obligatoirement effectuée en langue anglaise.
1.17.1.4.3 Contrôles périodiques
Les contrôles périodiques comprennent chaque année :

Deux contrôles hors ligne au simulateur. Une de ces séances comprend les exercices
de contrôle des compétences pour la qualification de type, dont une approche ILS
jusqu’au minima, manuelle, sans F/D, et au minimum trois exercices d’utilisation
normale et anormale des systèmes avions et trois procédures normales et
d’urgence.
Un contrôle sécurité - sauvetage et sûreté.
Un contrôle en ligne sur avion comprenant la vérification de l’aptitude à la gestion
des ressources humaines de l’équipage (CRM).
1.17.1.4.4 Combinaison de la séance d’entraînement avec le contrôle hors ligne
La documentation de l’exploitant précise que l’entraînement sur simulateur peut être

combiné avec le contrôle hors ligne. En pratique, l’exploitant indique que les séances
d’entraînements sont toujours combinées avec les contrôles hors ligne effectués au
simulateur tous les six mois.
64
1.17.1.4.5 Cycles ECP réalisés par l’équipage
L’ensemble du dossier de formation de l’équipage a été examiné lors de l’enquête.
Le tableau ci-dessous indique lors de quelles séances semestrielles sont étudiés les
items relatifs à l’A/P ainsi que les pannes des centrales de navigation.
2015 2016 2017

ATA Séance Séance Séance Séance Séance Séance
A B C D E F
Autopilot
Automatic flight X
disengage
Autothrottle
Automatic flight X
disengage
FMC Disagree -
FMC Disagree X
vertical
FMC fail X
GPS X
FMC / CDU
Flight X
alerting message
management
navigation IRS DC fail, IRS
X
FAULT, IRS on DC
Unable REQ NAV
X
Perf-RNP
Go around
1 ou 2 moteurs en X X X X X X
fonctionnement
X : séance effectuée au moment de l’événement.
X : séance non encore effectuée au moment de l’événement.
1.17.1.4.6 Entraînements effectués concernant les pannes IRS
Le cycle ECP de l’exploitant prévoyait un cours de rafraichissement sur l’IRS pour

l’année 2016 comprenant un résumé relatif au système, les situations anormales
et un questionnaire. La panne IRS FAULT est étudiée lors de la séance annuelle de
rafraichissement au sol. Seule la panne IRS DC FAIL est effectuée au simulateur,
lors de la phase de roulage ou décollage lorsque le CdB est PF.
1.17.1.4.7 Entraînements effectués concernant les approches ILS en pilotage manuel et

les déconnexions subies du pilote automatique
Le programme des ECP prévoyait d’effectuer les entraînements correspondants aux
pannes et à la déconnexion subite de l’A/P en 2017 au cours de la séance E (tableau
ci-dessus).
65
1.17.1.5 Emport et gestion carburant
1.17.1.5.1 Aspects règlementaires
Le manuel d’exploitation de la compagnie précise en partie Policy Manual dans le

chapitre 8.1.7.1 que les quantités de carburant prises en compte pour l’établissement
du plan de vol sont les suivantes :
a) Roulage
b) Délestage d’étape : Quantité de carburant nécessaire depuis le lâcher des freins
à l’aérodrome de départ jusqu’au toucher des roues à l’aérodrome de destination,
compte tenu de toutes les conditions prévisibles sur la route ;
c) Réserve de route : Quantité représentant 5 % du délestage d’étape, prévue pour
faire face à des aléas susceptibles d’avoir une incidence sur la quantité de carburant
réellement consommée jusqu’à l’aérodrome de destination (écart de consommation
réelle par rapport aux prévisions, changements de route ou de niveau de vol,
conditions météorologiques…) ;
d) Réserve de dégagement : Quantité de carburant nécessaire pour effectuer
une approche interrompue à l’aérodrome de destination, la montée, la croisière,
la descente et une approche aux instruments ainsi que l’atterrissage sur l’aérodrome
de dégagement le plus éloigné prévu au plan de vol (Lyon-Saint Exupéry ) ;
e) Réserve finale : Réserve correspondant à 30 minutes de vol à une hauteur de
1 500 ft au-dessus de l’aérodrome de dégagement ;
f) Carburant additionnel : Si le type d’exploitation l’exige : sans objet pour ce vol ;
g) Carburant supplémentaire : Quantité de carburant destinée à couvrir la spécificité
de l’aérodrome de destination (attente systématique, approche longue...).
Cette quantité est à la discrétion du CdB.
1.17.1.5.2 Emport carburant pour ce vol
Compte tenu des éléments ci-dessus de a) à e), la quantité minimale règlementaire

à embarquer au départ de Rabat et figurant sur le plan de vol opérationnel était
de 9,7 t.
Cette quantité comprenait 0,2 t pour le roulage + 6 t de délestage d’étape + 0,3 t de
réserve de route + 2,1 t de réserve de dégagement + 1,1 t de réserve finale.
Du fait des conditions météorologiques défavorables régnant à Paris-Orly (brouillard)
pouvant entraîner une attente à l’arrivée, le CdB a choisi d’ajouter une quantité de
carburant supplémentaire d’une tonne. La quantité réelle présente lors du départ du
parking à Rabat était donc de 10,7 t.
66
1.17.1.5.3 Gestion du carburant en vol
Le manuel d’exploitation de la RAM donne les consignes aux pilotes concernant la
gestion du carburant en vol (Policy Manual § 8.1.7.5 et 8.3.7).
Le CdB doit contrôler régulièrement la quantité de carburant réelle en comparaison
de la consommation prévue, vérifier que le carburant restant est suffisant pour
terminer le vol et prévoir d’atterrir à destination ou bien au dégagement avec une
quantité de carburant au moins égale à la réserve finale qui était de 1 100 kg.
Si la quantité de carburant à bord risque d’amener à passer le seuil de la piste
d’atterrissage avec une quantité de carburant inférieure à la réserve finale, l’équipage
doit déclarer une situation d’urgence (MAYDAY).
Le manuel précise que pour entamer un dégagement, la quantité de carburant
présente dans l’avion doit être au moins égale à la réserve finale additionnée de
la réserve de dégagement (§ 8.1.7.5.3), soit pour ce vol une quantité minimum de
3 200 kg à Paris-Orly lors de la décision de dégagement vers Lyon.
Dans le cas présent, les quantités de carburant présentes en vol, enregistrées dans
le QAR, étaient :
À Orly au moment du dégagement vers Lyon : 4 300 kg ;
À Lyon au moment du déclenchement de l’alarme IRS FAULT : 2 600 kg ;
Au moment de l’atterrissage : 2 180 kg.
1.17.2 Organisme chargé de la maintenance

La RAM est agréée Part 145 par l’Agence européenne de la sécurité aérienne (AESA)
depuis 2011 pour la maintenance en ligne et est agréée par la Direction de l’Aviation
Civile (DAC) marocaine pour la maintenance en ligne jusqu’à la visite de type A.
Les visites de type C et D sont sous-traitées, après appel d’offre au Maroc pour
les 737-NG. La RAM est auditée an-nuellement par l’AESA et deux à quatre fois par an
par la DAC.
La maintenance en ligne peut être sous-traitée ou non. Si elle est sous-traitée,
elle peut s’inscrire dans plusieurs cadres :
Organisme agréé par la DAC marocaine ;
Organisme agréé AESA Part 145 ;
Organisme agréé FAR ou canadien reconnu par l’AESA ;
Intégration d’un personnel de maintenance dans le système qualité de la RAM,
exclusivement pour l’Afrique.
La procédure QP 06-04 de la RAM, intitulée « Gestion des audits internes et externes »
indique dans sa partie 5 consacrée à la procédure de programmation des audits que :
« Pour les sous-traitants agréés EASA PART 145, l’audit est formalisé sous forme de
questionnaire (Réf. QP 06-04-07) qui [est] envoyé au sous-traitant par e-mail pour
évaluation. Néanmoins un audit sur site peut être déclenché selon l’appréciation du
responsable qualité ».
La RAM fait remplir un questionnaire tous les deux ans à ses sous-traitants.
67
Le Manuel de maintenance en ligne de la RAM (MML - amendé le 29 avril 2015, Désigné par
(38)
révision 0) prescrit notamment les procédures applicables pour le travail en CRM au sein de la
compagnie. Pour
maintenance en ligne. La maintenance en ligne couvre en outre les rectifications éviter la confusion
de défauts reportés dans le compte rendu matériel (38) ou observés lors de visites avec la gestion
journalières ou hebdomadaires. des ressources de
l’équipage désignée
Une formation est donnée au sein de chaque nouveau sous-traitant de la maintenance CRM dans le rapport,
cet acronyme n’est
par un membre du département technique de la RAM ; un certificat est délivré suite pas repris ici.
à cette formation.
Un CD-ROM contenant la documentation technique nécessaire à la maintenance au
format pdf est mis à disposition en permanence dans le poste de pilotage des avions
de la RAM. Il contient notamment les documentations AMM, IPC, WDM, FIM et SSM.
1.17.2.1 Aviacare
La société Aviacare, sous-traitant de la RAM au moment de l’événement, assurait
la maintenance en ligne à Lyon-Saint Exupéry. Celle-ci était agréée EASA PART 145.
Conformément à la procédure, un questionnaire lui avait été envoyé en mai 2015.
Avant cette date, la maintenance à Lyon était réalisée par la société Atis Derichbourg.
La société Aviacare a déposé le bilan en mars 2017. Un seul questionnaire a donc été
rempli par Aviacare.
1.17.2.2 Coordination RAM – maintenance en ligne

Le Manuel de l’organisme d’entretien (MOE) de la RAM expose l’organisation,
les moyens, les méthodes et les procédures de la Direction Technique du Groupe
RAM en vue d’assurer l’entretien des avions et des éléments d’avion exploités par
le groupe RAM et ceux des organismes tiers. La partie 2 « procédures d’entretien »
expose les procédures d’entretien des avions et des éléments d’avion conformément
aux règles requises et est complétée par la partie L2 « Procédures complémentaires
d’entretien en ligne » s’attachant spécifiquement aux procédures de travail des escales
régulières.
68
Figure 13 : Extrait documentation RAM - MOE / L2.3
La partie L2.3 du MOE traite du suivi des défauts et des défauts répétitifs pour
l’entretien en ligne. Il est mentionné que : « La coordination entre le personnel APRS
en entretien en ligne et l’opérateur pour la rectification et le report des défauts est
assurée par le centre de maintenance (MCC). Pour les défauts importants et dépannages
complexes, ils font appel à la fonction Maintenance Support qui, par téléphone, fax, télex
et moyens HF, les assiste techniquement 24 heures / 24 et 7 jours / 7 ».
Il est précisé que la fonction Maintenance Support de la RAM dispose en outre des
TLB et de l’historique des dépannages dans le système informatique AMOS.
Il est indiqué que pour les exploitants sous-contrat, des procédures pour traiter des
défauts pour l’entretien en ligne peuvent être établies.
1.17.2.3 Technical Log Book

Royal Air Maroc utilise le compte rendu matériel comme système d’enregistrement
des défauts et des anomalies de fonctionnement découverts lors de l’exploitation
ainsi que toutes les opérations d’entretien entreprises sur l’avion entre les visites
programmées sur les sites d’entretien. Il est composé de :
Technical Log Book (TLB) ;
Hold Item List (HIL) ;
Cabin Log Book (CLB).
Le TLB est un document relatif à un aéronef permettant d’enregistrer les informations

d’exploitation relatives au fonctionnement des équipements et circuits avion.
69
Le chapitre 8.1.11 du Manuel d’Exploitation de la RAM indique que :
« Pour chaque vol, le TLB est renseigné par le CDB et signé par lui, notamment en ce qui
concerne :
Le nom du CDB.
La date, numéro et l’étape du vol.
Le temps de vol (airborne).
La quantité de carburant prévue d’embarquer.
La quantité de carburant embarquée lors de l’avitaillement.
La quantité de carburant disponible dans les réservoirs au commencement de
l’avitaillement.
Les détails de tout défaut susceptible d’affecter la navigabilité ou la sécurité de
l’exploitation, y compris les systèmes de sécurité. Dans le cas où aucune plainte
n’aurait été signalée pendant l’étape, la mention ‘RAS’ ou ‘NIL’ sera inscrite dans la
case ‘REP’. Tout renseignement porté sur le TLB ne doit pas être effaçable, il peut être
corrigé en cas d’erreur à condition que la correction soit identifiable et que l’erreur
reste lisible ».
Dans le Manuel de Maintenance de l’Exploitant (MME), il est précisé que toutes les
plaintes ainsi que leur traitement des défauts ponctuels et répétitifs signalés sur
le TLB sont enregistrés sur AMOS.
1.17.2.4 Gestion des pannes intermittentes

Les pannes intermittentes, par opposition aux pannes franches, sont des pannes qui
peuvent apparaître de façon aléatoire pour une durée, elle-aussi, aléatoire.
La documentation de maintenance FIM de Boeing est organisée sous forme de tâches
incluant pour la plupart une étape d’évaluation initiale avant d’appliquer les étapes
de la procédure d’isolation de la panne rencontrée.
L’étape d’évaluation initiale de la tâche permet généralement de confirmer que
la panne rencontrée est active.
Si la panne n’est pas active, la tâche en cours d’application ne permettra pas d’isoler
la faute car la panne est une panne intermittente.
La documentation FIM indique qu’en cas de panne intermittente, il faut :
Suivre la politique de la compagnie en la matière ;
Utiliser son jugement et l’historique de la maintenance de l’avion pour décider de
l’action à entreprendre ;
Suivre l’avion pour voir si la panne survient sur les vols suivants ;
Si la panne se reproduit sur des vols suivants, utiliser alors son propre jugement
afin de déterminer quelle autre action de maintenance entreprendre.
Dans le cas du CN-ROJ, la panne liée à la non-réception par le FCC B de données du
RA 2 (22-11052 Radio Alt-2 (J1B-B04, A04)) était une panne intermittente. Elle est
apparue à plusieurs reprises sans pouvoir être confirmée au sol.
70
En effet, le 10 décembre, la carte de travail associée aux actions de maintenance
effectuées indique que le DFCS BITE a réalisé son autotest avec succès pour les voies A
et B. Des pannes liées au FCC A et au FCC B sont enregistrées. L’équipage a mentionné
que le voyant ambre relatif au RA 2 avait été allumé pendant la déconnexion A/P.
Le RA 2 a été remplacé.
Le 25 décembre, le TLB précise que le DFCS BITE a été réalisé et que les tests
(probablement autotests) ont été effectués avec succès alors que cette panne a bien
été enregistrée ce jour-là.
Le 2 janvier, les équipages reportent dans le TLB les messages suivant pour des vols
différents :
« ILS APP MODE UNAVAILABLE IN BOTH A/P A AND B »
« IRS-L DRIFT MSG VERIFY POS : IRS L »
« A/P B DISCONNECTED AT G/S CAPTURE »
« A/P B DISCONNECTED AT G/S CAPTURE »
Le message 52 RADIO ALT-2 (J1B-B04,A04) NO RADIO ALT DATA, responsable de la
déconnexion de l’A/P B est enregistré à plusieurs reprises dans le BITE du FCC B
ce jour‑là. Au sol, les BITE du DFCS sont passés et il n’est pas mentionné dans le TLB que
ce message ait été relevé par la maintenance. En revanche, le FCC B a été remplacé.
1.17.3 Organismes de contrôle aérien

1.17.3.1 Organisation du contrôle aérien à Lyon-Saint Exupéry.
L’organisme de contrôle aérien de Lyon-Saint Exupéry assure la gestion du trafic
aérien évoluant à l’intérieur du secteur d’information de vol de Lyon, ainsi que
des TMA et CTR Lyon.
À cet effet, le service est organisé selon les secteurs suivants : PVOL, SOL, LOC, DEP,
INI, ITM, et INFO.
Les secteurs concernés par l’événement considéré sont les suivants :
INI : La zone de responsabilité du secteur d’approche initiale (lui-même découpé
en sous-secteurs Est et Ouest) comprend les différents IAF ainsi que des itinéraires
spécifiques décrits dans la documentation opérationnelle.
ITM : Ce secteur gère les aéronefs transférés par le secteur INI, jusqu’au transfert
avec l’organisme de contrôle de l’aérodrome de destination.
DEP : La zone de responsabilité du secteur de départs (lui-même découpé en
sous-secteurs Est et Ouest) comprend les procédures SID de Lyon, des itinéraires
spécifiques décrits dans la documentation opérationnelle, ainsi que la gestion
des trafics à l’arrivée et au départ de certains terrains satellites.
LOC : Ce secteur a pour zone de responsabilité la CTR de Lyon, les pistes,
leurs servitudes et les voies de circulation.
Remarque : L’ensemble des secteurs INI, ITM, et DEP est souvent désigné sous l’appellation
générique « approche ».
71
1.17.3.2 Procédures de contrôle
1.17.3.2.1 Procédures de guidage vers l’ILS
L’arrêté du 6 juillet 1992 relatif aux procédures pour les organismes rendant les
services de la circulation aérienne aux aéronefs de la circulation aérienne générale
(RCA 3) stipule notamment :
Qu’un aéronef qui utilise une aide d’approche finale dont les données sont
interprétées par le pilote doit recevoir pour consigne de rappeler lorsqu’il est
bien établi sur la trajectoire d’approche finale. Le guidage radar prend fin à ce
moment. (§ 10.7.4.2).
Que la clairance d’approche est délivrée :
avant l’IAF pour un aéronef autorisé à effectuer une procédure d’approche
aux instruments complète ;
en cas de guidage radar la délivrance d’une clairance d’approche peut être
différée jusqu’à la dernière clairance de guidage (§ 4.3.1.5).
1.17.3.2.2 Procédure approche interrompue
Le manuel d’exploitation de Lyon-Saint Exupéry stipule que la procédure API

quelle que soit la piste utilisée est la suivante « Montée dans l’axe vers 5 000 pieds et
prévoir guidage radar ». Elle précise qu’en cas de besoin le contrôleur peut anticiper
une modification éventuelle de la procédure API, en amendant cette procédure
en début d’approche finale. Il est précisé que durant la phase initiale de remise
des gaz, cette procédure ne peut être amendée qu’en cas de nécessité afin d’assurer
les séparations dues.
1.17.3.2.3 Alarmes MSAW
Si l’aéronef n’est pas en guidage radar, le contrôleur doit en cas d’alarme MSAW :
Aviser immédiatement le pilote qu’une alerte relief a été générée ;
Donner l’instruction au pilote de vérifier immédiatement le niveau ou l’altitude
de l’aéronef ;
Fournir le QNH.
La phraséologie à utiliser est la suivante :

« xxxxxx, alerte relief, vérifier votre altitude immédiatement, QNH xxxx ».
Si l’aéronef est en guidage radar, le contrôleur doit :
Donner au pilote l’instruction de rejoindre immédiatement un niveau supérieur
ou égal à l’altitude minimale de sécurité radar ;
Fournir le QNH ;
Si nécessaire, donner au pilote un nouveau cap radar pour éviter le relief.
La phraséologie à utiliser est la suivante :

« xxxxxx, immédiatement montez xxxx pieds, QNH xxxx, immédiatement cause relief ».
72
1.18 Renseignements supplémentaires
1.18.1 Témoignage du Commandant de bord
Au niveau de la préparation du vol, le CdB explique qu’il a récupéré le plan de
vol technique sur sa tablette. Le plan de vol mentionnait deux aérodromes de
dégagement (Nantes-Atlantique et Lyon-Saint Exupery). Il ajoute qu’en raison des
mauvaises conditions météorologiques à Paris-Orly, il a demandé une tonne de
carburant discrétionnaire au lieu des 500 kg qu’il ajoute habituellement. Il s’attendait
à faire une approche CAT III à Paris-Orly.
Le CdB indique que pendant les actions au sol, les voyants LNAV(39) sont passés Mode de
(39)
directement en vert lors de leur armement. Il a déconnecté le mode LNAV et l’a remis navigation pour
lequel le FMS produit
à environ 400 ft d’altitude. un guidage latéral.
Il explique qu’environ une heure après le décollage, il a constaté l’apparition du
message « L IRS DRIFT » sur le CDU. Il n’a pas trouvé ce message dans la documentation
présente dans sa tablette. Il précise que la position et la vitesse indiquées par l’IRS
gauche variaient et que la position de l’IRS droit était normale. À ce moment, il a pensé
que l’IRS gauche était en train de se corriger et de se rapprocher de la position réelle
de l’avion. La position de l’IRS gauche a rejoint puis dépassé la position réelle de
l’avion. Il espérait que le problème se corrige avant la finale à Paris-Orly.
Ensuite le message « Check IRS Position »(40) est apparu. Il indique que c’est un message Il s’agit en fait
(40)
qui survient peu fréquemment et qui disparaît lorsque les moyens de positionnement du message VERIFY
POS : IRS-IRS.
se recalent, généralement avec l’affichage d’un moyen de radio navigation.
Il explique que lors du briefing arrivée, les conditions météorologiques sur
l’aérodrome de Nantes étaient défavorables, Lyon était en CAT I. Il ajoute que les
messages d’observations des aérodromes de Marseille et de Bordeaux indiquaient
CAVOK. Il précise que les dégagements sur ces deux villes n’étaient pas prévus sur
le plan de vol. Il explique que l’approche CAT I à Lyon convenait ; le TGV permettant
éventuellement d’acheminer les passagers jusqu’à Paris. Malgré sa préférence pour
Bordeaux, il a confirmé le dégagement vers Lyon en cas de problème à Paris-Orly afin
de rester conforme au plan de vol.
Lors de l’approche ILS CAT III pour la piste 06 à Paris-Orly, au moment où il active l’A/P
B, celui-ci s’est déconnecté. L’équipage a remis les gaz immédiatement et a demandé
le dégagement vers l’aérodrome de Lyon. Il ne se rappelle pas avoir indiqué au
contrôleur la nature du problème. Il ajoute que c’est lors du dégagement vers Lyon
que la gestion du carburant est devenue une préoccupation.
Le pilote indique que lors de la descente le sélecteur Auto-brake a été positionné
sur 3. Le voyant AUTOBRAKE DISARM est apparu, et le sélecteur a été placé sur « OFF ».
Par ailleurs, lorsqu’il a sélectionné le VOR LSE sur le CDU, le système lui a indiqué
que le moyen de radionavigation se trouvait à une distance de 3 000 NM. Il précise
que le NOTAM indiquant le remplacement du VOR LSE par VMP était dans la partie
« En route » et non dans la partie « Terminal » du plan de vol. Ces deux éléments ont
été décrits comme stressant.
73
Il explique que l’approche s’effectue en IMC, avec un guidage radar vers la piste 35R.
L’ILS est capturé en mode VOR/LOC avec l’autopilote engagé. L’avion a viré à droite
au lieu de tourner à gauche. Le CdB indique que cet événement était particulièrement
stressant. Il pense que cette manœuvre intempestive est liée à la réception d’un signal
inadéquat du LOC et a indiqué à la tour un problème de trajectoire, avant de remettre
les gaz.
Lors de l’interruption de l’approche, le voyant L IRS FAULT s’est allumé. Il a placé
le commutateur IRS TRANSFER sur « BOTH ON R » et a enclenché l’A/P B. Il précise
qu’il n’a pas pris la checklist par manque de temps et car la pression temporelle
était forte.
Peu après l’OPL et le CdB ont changé de rôles : l’OPL est passé PF. À ce moment,
le CdB indique avoir eu des doutes sur la position de l’avion et a questionné
l’opportunité d’une nouvelle approche à Lyon face à un dégagement vers l’aérodrome
de Marseille Provence. Il précise que l’ACARS affiche alors le message « ACARS
NO COM » ; en conséquence l’équipage disposait uniquement des informations
météorologiques relatives à la dernière heure à Marseille. Ce nouvel événement
a encore inquiété d’avantage le commandant de bord quant à l’état technique de
l’avion et de ses systèmes.
Il indique que la Tour de Lyon a demandé leurs intentions. Il a décidé de refaire une
approche à Lyon. Il précise que l’équipage a reçu des caps de rapprochement avec
l’A/P B en fonctionnement.
Il précise qu’après la capture du signal radio du LOC, l’A/P s’est déconnecté lors de
l’interception du GS ; l’OPL a alors annoncé « commandes à gauche » et le CdB est
redevenu PF. L’avion était dans la couche et en configuration « Flaps 5 ». Il indique
qu’il avait des doutes sur la position de l’avion, que la charge de travail était très
élevée et que la quantité de carburant restante à bord était une préoccupation
supplémentaire pour lui. Il ajoute qu’il a alors entendu de nombreuses alarmes, parmi
lesquelles, l’alarme de proximité sol « Terrain » et « Glide Slope » ; il ne se rappelle
pas avoir entendu de message « PULL UP » mais qu’il était possible qu’elle se soit
déclenchée.
Le CdB explique que l’avion est sorti de la couche à une hauteur d’environ 400 ft et à
gauche de l’axe de la piste 35R. Il a accepté la proposition du contrôleur tour d’effectuer
une baïonnette vers la piste 35R. Il précise qu’il avait conscience que l’avion n’était
pas stabilisé mais qu’il a préféré corriger la trajectoire et atterrir en raison du niveau
de stress généré par les deux approches aux instruments et interrompues, déjà
effectuées. Il ajoute qu’après l’atterrissage, il a constaté un message de bas niveau
carburant dans un des réservoirs ; il n’a rien constaté de particulier à propos des
directeurs de vols (F/Ds). Il explique qu’ils se sont « battus avec la machine » et
qu’ils étaient « heureux de toucher le sol ».
Une fois l’avion au parking, l’équipage a sollicité l’entreprise réalisant l’entretien hors
base pour l’exploitant. Un technicien est intervenu et a redémarré les IRS. Le CdB
indique qu’il n’était pas satisfait de l’intervention et a appelé les services techniques
de l’exploitant à la base. Ces derniers ont demandé au technicien de se rendre dans
la soute avionique afin de chercher d’éventuelles traces d’eau sur les IRS (en raison
d’événements antérieurs).
74
Le technicien a indiqué qu’il n’y avait pas de trace d’eau. Le CdB a alors pris la
décision de décoller en direction de l’aérodrome Paris Orly en prenant un total de
10 tonnes de carburant (pour pouvoir dégager n’importe où si besoin) et en raison
de l’amélioration des conditions météorologiques (approche CAT I).
Le vol entre Lyon et Orly s’est déroulé sans particularité. En revanche, le CdB explique
que lors du vol retour entre Orly et Marrakech, en finale, avec l’OPL PF et l’A/P B
en fonctionnement, le F/D a disparu puis l’A/P s’est déconnecté lors de l’interception
de l’ILS et qu’il l’a retranscrit dans le TLB. Il précise que l’atterrissage s’est déroulé en
condition VMC sans problème.
1.18.2 Témoignage de l’Officier pilote de ligne

L’OPL explique que lors de la préparation du vol (Rabat – Paris Orly – Marrakech),
la visibilité était réduite à Paris Orly et qu’une approche CAT III était prévue.
Les aérodromes de dégagements prévus par le Dispatch sont ceux de Lille et Lyon ;
il se souvient que le plafond prévu à Lyon était de 400 ft et qu’une approche CAT III
était en vigueur à Lille. Il précise enfin qu’il était PM sur le vol entre les aérodromes
Rabat Salé et Paris Orly et qu’une tonne de carburant supplémentaire a été embarquée.
Il indique qu’environ 1 h 30 après le décollage, le message « IRS L DRIFT » est apparu
sur le CDU. Il précise que les deux pilotes ont cherché la signification de ce message
dans le FCOM et le QRH, sans pouvoir le trouver. Il ajoute que les pilotes ont vérifié
les informations de position et de vitesse sur la page POS INIT 2 du CDU. Ils ont alors
constaté d’importantes incohérences concernant la vitesse indiquée par l’IRS gauche ;
celle-ci variait entre 200 et 600 kt, alors que la vitesse indiquée par l’IRS droit était de
400 kt ; ils constatent également une différence de position entre les deux IRS.
Environ 30 minutes après ce premier message, un nouveau message « VERIFY POS –
IRS » est affiché sur le CDU. L’OPL explique que les deux pilotes n’ont pas cherché
la signification de ce dernier message car ils la connaissaient et que l’avion était en
descente. Il ajoute que voyant les valeurs de vitesse des deux IRS converger, ils ont
décidé d’attendre et ont discuté des dégagements et de l’approche CAT III. Du fait de
l’absence d’alarme Master Caution et de message « IRS FAIL », ils ont considéré que
l’IRS fonctionnait et que les valeurs allaient redevenir cohérentes.
Ils ont réalisé une approche CAT III à Orly, avec Lyon comme dégagement où la CAT I
était possible. L’OPL indique qu’après l’interception de l’ILS, au FAF, l’enclenchement
du deuxième A/P n’a pas fonctionné et l’équipage a interrompu l’approche puis
dégagé vers l’aérodrome de Lyon où une approche CAT I était possible.
L’OPL explique que lors de l’approche VOR/LOC à Lyon, au moment d’intercepter
le LOC, sous A/P et avec le mode LOC activé, l’avion a viré à droite alors que
l’aérodrome était à gauche. Il précise que l’équipage n’a pas compris l’origine du
problème et qu’il a interrompu l’approche. C’est lors de cette remise de gaz que
l’alarme « IRS FAULT » s’est déclenchée. La checklist correspondante n’a pas été
effectuée par manque de disponibilité des pilotes, préoccupés par la gestion du
carburant.
75
Le CdB (PF) a mis le commutateur IRS TRANSFER sur « BOTH ON R ». Puis les rôles PF et
PM ont été échangés. Il indique que lors de la deuxième approche, à l’interception du
LOC, l’A/P s’est de nouveau désengagé ; il précise que les F/D ont disparu des deux
côtés. Il ajoute que le CdB a repris les commandes après la sortie du premier cran de
volets et que l’approche a été réalisée en manuel, sans A/P, ni F/D. Il précise qu’il n’a
pas annoncé les écarts du LOC et du GLIDE car le PF était en train de corriger. Ensuite,
il a entendu des alarmes « GLIDE SLOPE » et « PULL UP »(41). À la suite de cette dernière (41)
L’enquête
alarme, il a annoncé une nouvelle interruption de l’approche ; concomitamment, a montré que
l’alarme auditive
les deux pilotes ont vu la piste et le PF fait une baïonnette avant d’atterrir. Il précise « Too Low Terrain »
qu’ils ont préféré atterrir pour ne pas poursuivre plus longtemps avec une machine avait été générée
dégradée. et qu’elle avait
été accompagnée
L’OPL évoque un événement très stressant avec beaucoup de systèmes qui ne de l’affichage du
message PULL UP
fonctionnaient pas. sur la partie
centrale (indicateur
Il précise que l’équipage n’a pas transmis de message « PAN PAN » pour une « simple d’attitudes) des
panne d’A/P ». Il estime qu’il restait environ 1 900 kg de carburant après l’atterrissage deux PFD. Il n’y a
à Lyon. pas eu d’alarme
auditive « PULL UP »
Il ajoute qu’après l’incident, le CdB a appelé la compagnie par téléphone. Ils n’ont pas (voir § 1.6.2.3).
évoqué la survenue d’alarmes GPWS, ni la nécessité de bloquer le CVR.
1.18.3 Technicien de maintenance en ligne à Lyon-Saint Exupéry

Le technicien qui a effectué la maintenance à Lyon-Saint Exupéry a indiqué que
la maintenance en ligne avec la RAM se déroulait principalement en suivant des
instructions du Centre de Contrôle de la Maintenance (MCC) par téléphone. Il précise
qu’il n’avait notamment pas de documentation technique disponible. Il indique que
le MCC lui a demandé d’effectuer un redémarrage des IRS avant d’effectuer leur
alignement. Il précise que ces étapes se sont déroulées sans apparition de panne.
Il n’a pas effectué la recherche de messages de pannes au travers du CDU.
1.18.4 Contrôleurs
1.18.4.1 Contrôleur d’approche (INI) de Lyon-Saint Exupéry
Note : Lors de l’événement, les secteurs INI E, INI W et ITM sont regroupés sous
la dénomination INI et la position de contrôle correspondante est armée par un contrôleur
et un assistant.
Le contrôleur indique que l’événement s’est déroulé le matin, par conditions

météorologiques dégradées, mais non LVP. Une relève venait d’avoir lieu. Il y avait
peu de trafic car le pic d’activité était passé et il n’y avait que deux ou trois avions
en fréquence. La situation était tout à fait normale.
Le contrôleur ne se souvient pas que le pilote ait annoncé de problème particulier au
premier contact. S’étant assuré grâce à la visualisation radar que l’aéronef était bien
sur le plan d’approche, il l’a transféré au contrôleur tour.
L’avion lui semblait bien aligné sur le Localizer, mais alors qu’il venait de quitter
sa fréquence, il s’est aperçu qu’il quittait l’axe.
Le contrôleur assistant a donc appelé le contrôleur tour en demandant ce que faisait
l’avion.
76
Le contrôleur INI a donc demandé à son assistant de proposer au contrôleur LOC de
reprendre l’avion en compte à l’approche.
Le contrôleur note qu’à son retour sur la fréquence INI, le pilote communiquait en
français.
Il lui a paru très stressé. Le contrôleur en a déduit qu’il était pressé, pensant qu’il
n’avait pas beaucoup de carburant.
Sans insister afin de ne pas augmenter la charge de travail à bord, le contrôleur
indique avoir pris l’aéronef en guidage radar et lui avoir donné un cap d’interception.
Il ajoute que le pilote lui a demandé s’il était bien aligné sur l’axe ILS. Le contrôleur lui
a répondu en indiquant la fréquence correcte de l’ILS. Le pilote lui a alors dit qu’il ne
captait pas le Localiser, mais qu’il continuait « en manuel ».
Ayant des doutes sur la signification de cette dernière phrase, le contrôleur a
demandé s’il s’agissait d’une approche à vue. Il souligne avoir demandé si l’équipage
avait le visuel sur les installations car il doutait de ce fait compte tenu des conditions
météorologiques, et avoir proposé l’option de l’approche interrompue.
Il a ensuite appelé la Tour qui lui a demandé de transférer l’avion.
Une alarme MSAW s’est déclenchée mais il n’avait plus l’avion en fréquence.
Le contrôleur ajoute que l’équipage n’a jamais exprimé clairement le souci à bord,
ce qui ne lui a pas permis de l’aider davantage.
1.18.4.2 Contrôleur Tour (LOC)

Le contrôleur tour est informé par le chef de salle du centre de contrôle en route de
Marseille que le vol RAM se déroute d’Orly en raison des conditions météorologiques.
À Lyon, les conditions LVP ne sont plus en vigueur depuis quelques instants.
Le plafond est d’environ 300 ft. La rampe d’approche est sur maximum.
Le contrôleur voit arriver l’avion sans inquiétude particulière. Son rôle consiste à
gérer les pistes. L’avion s’annonce établi sur la piste 35 droite alors qu’il a un cap
au nord-est (40-50° à droite de l’axe). Il s’en rend compte et en informe l’équipage,
lui demande s’il est en vue sans trop y croire et l’avion remet les gaz. Le contrôleur
le renvoie sur l’approche.
L’approche le guide à nouveau. Le contrôleur LOC surveille la trajectoire.
Pendant le transfert de l’avion entre l’approche et la tour, l’alarme MSAW se déclenche.
Lorsqu’il a l’avion en fréquence, l’alarme est terminée et le taux de descente est
« cohérent ».
Il lui donne des relèvements en lui indiquant des distances et des hauteurs.
S’en suivent quelques échanges difficiles à comprendre. L’équipage finit par lui dire
qu’il a « contact », ce qu’il interprète comme l’équipage a visuel sur la piste et le
contrôleur l’autorise à atterrir.
Le contrôleur indique que l’avion atterrit de manière « acrobatique ». L’avion dégage
la piste, le contrôleur lui demande s’il a besoin d’assistance. L’équipage répond que
tout va bien.
77
2 - ANALYSE
2.1 Scénario
2.1.1 En croisière : Messages d’alerte FMC (IRS gauche)
Environ une heure après le décollage, le calculateur de gestion de vol (FMC) a
détecté une vitesse et une position incohérentes de l’avion provenant de la centrale
inertielle (IRS) gauche. Le message d’alerte IRS-L DRIFT s’est affiché sur l’écran de
la console centrale (CDU). Ne trouvant pas la procédure associée à ce message
dans la documentation bord, l’équipage a fait des actions de mémoire consistant
à vérifier la position donnée par les IRS. Il est apparu que l’IRS gauche indiquait des
valeurs erronées et fluctuantes de position et de vitesse. L’équipage a observé que
le problème semblait être en cours de résolution.
En descente vers Paris-Orly, un second message d’alerte est apparu sur le CDU
(VERIFY POS : IRS-IRS). En raison de l’absence d’alarmes Master Caution et IRS FAULT,
l’équipage a considéré que l’IRS fonctionnait et que les valeurs allaient redevenir
cohérentes avant l’arrivée à Paris-Orly.
L’équipage a décidé de poursuivre l’arrivée à Paris-Orly pour une approche ILS 06
de CAT III et de dégager sur Lyon en cas de problème durant l’approche.
2.1.2 Approche de catégorie 3 à Paris-Orly et impossibilité d’engager les deux

A/P
Lors de l’interception du signal LOC, l’A/P a commandé une trajectoire « en S » autour
de l’axe, ce qui a conduit le contrôleur d’approche à demander à l’équipage s’il l’avait
bien intercepté le LOC. L’équipage n’a pas répondu.
Le vol a été transféré à la tour sans fourniture de la clairance d’approche. Le mode
APP n’a ainsi pas été armé. De ce fait, la tentative par l’équipage d’engager les deux
A/P à cet instant a échoué.
Après avoir reçu la clairance d’approche par la tour et armé le mode APP, l’équipage
a tenté à deux reprises, d’engager le deuxième pilote automatique (A/P B). Cette fois,
c’est la non-réception par le calculateur de commande de vol (FCC B) des données
du RA 2 qui n’a pas permis l’engagement de l’A/P B et a également provoqué
le désengagement de l’A/P A. L’approche ILS CAT III n’était pas réalisable avec
ce dysfonctionnement.
L’équipage a de nouveau engagé l’A/P A, a informé le contrôleur qu’il ne pouvait pas
effectuer une ILS CAT III et a demandé à interrompre l’approche et à dégager vers En tenant compte
(42)
l’aéroport Lyon-Saint Exupéry. Les conditions à Lyon permettaient une approche ILS du délestage
CAT I, réalisable avec un seul A/P fonctionnel. prévu de 2 100 kg
entre Orly et Lyon
Au moment de l’interruption de l’approche à Paris-Orly vers Lyon, la quantité de (incluant l’approche
à Lyon) et d’une
carburant à bord permettait un temps d’attente prévisionnel de 27 minutes à Lyon (42), consommation en
avant d’effectuer l’approche et d’atterrir au dégagement avec la réserve finale de attente de 40 kg/mn.
1 100 kg.
78
2.1.3 Le dégagement vers Lyon
Lors du dégagement et de la préparation de l’approche ILS 35R à Lyon-Saint
Exupéry, l’équipage a indiqué avoir tenté sans succès d’armer le système de freinage
automatique et a constaté que le voyant ambre AUTOBRAKE DISARM s’allumait.
Le non-fonctionnement du système de freinage automatique était possiblement lié
au dysfonctionnement de l’IRS gauche.
La documentation du constructeur n’indiquant pas de conséquences possibles sur
le système de freinage automatique suite aux messages FMC IRS-L DRIFT et VERIFY POS :
IRS-IRS, et le voyant IRS FAULT n’étant pas allumé, l’équipage n’avait pas de moyen
d’anticiper la survenue du non-armement du système de freinage automatique et
d’être informé du dysfonctionnement de l’IRS gauche qui semble néanmoins présent
à cet instant.
L’affichage par erreur du VOR LSE combinée avec l’indication du CDU que le VOR LSE
se situait à une distance improbable, ont créé ensuite des doutes pour l’équipage sur
la position de l’avion donnée par le FMS.
2.1.4 Interruption de la première approche à Lyon et alarme IRS FAULT

Alors que l’A/P est passé en mode d’interception et de suivi du signal radioélectrique
du Localizer (mode VOR/LOC vert), l’avion a soudainement viré à droite avec une
inclinaison de 30°, a croisé l’axe du Localizer et s’en est éloigné à un cap franchement
divergent (cap 70°), sans qu’aucune alarme ne se déclenche à bord. Ce virage à droite
inopportun a été commandé par l’A/P du fait de données erronées en provenance du
module IRS de l’ADIRU gauche.
Le CdB a pensé que cette manœuvre intempestive était liée à la réception d’un signal
inadéquat du LOC.
L’invalidité des données fournies par l’ADIRU gauche a ensuite entraîné le
désengagement de l’A/P A. Le pilotage a alors été effectué en manuel par le CdB avec
les F/D affichés au PFD.
L’équipage a tenté dans un premier temps de revenir sur l’axe. L’écart de trajectoire
rendant la poursuite de l’approche compromise, il a interrompu l’approche.
Le contrôleur tour l’a autorisé à monter à 5 000 ft.
L’équipage a affiché l’altitude cible de 5 000 ft au MCP passant 4 600 ft en montée.
Les ordres du F/D n’ont pas été suivis par le CdB qui pilotait manuellement. Celui-ci
a dépassé involontairement l’altitude de 5 000 ft et a engagé l’A/P B alors que l’avion
passait 5 650 ft, toujours en montée. L’avion a temporairement arrêté sa montée puis
a effectué une légère descente vers l’altitude de 5 000 ft sélectionnée.
Alors que l’avion venait à nouveau d’être transféré à l’approche, l’alarme L IRS FAULT
s’est déclenchée ce qui a provoqué le désengagement de l’A/P B, la disparition des
informations d’assiette, de roulis et de cap ainsi que des barres F/D sur le PFD gauche.
Le CdB a de nouveau piloté en manuel tout en effectuant de mémoire une des actions
de la checklist en plaçant le sélecteur IRS Transfer Switch sur BOTH ON R. Ainsi les deux
FCC ont utilisé les données fournies par l’ADIRU droit. L’assiette, le roulis et le cap
sont de nouveau affichés sur le PFD gauche et les barres F/D sont réapparues.
79
Vingt secondes après son action sur le sélecteur IRS Transfer Switch, le CdB a engagé
l’A/T et l’A/P B. L’avion qui était monté à une altitude d’environ 6 500 ft a amorcé une
descente afin de revenir vers 5 000 ft.
Le CdB a transféré les commandes à l’OPL puis a tenté d’utiliser le système ACARS afin
d’obtenir les dernières informations météorologiques pour un éventuel dégagement
vers Marseille. Le système a alors affiché le message « ACARS NO COM ».
Le CdB, qui a indiqué être préoccupé par le carburant durant cette phase, a décidé
d’effectuer une seconde approche à Lyon-Saint Exupéry.
À cet instant, la réserve de dégagement de 2 100 kg avait été consommée comme En tenant
(43)
prévu et la quantité de carburant présente à bord permettait une attente de compte d’une
27 minutes avant d’effectuer une nouvelle approche à Lyon (43) et atterrir avec au quantité nécessaire
de 400 kg pour
moins la réserve finale de 1 100 kg. effectuer la deuxième
approche à Lyon.
Durant cette phase, l’équipage n’a pas exécuté la checklist « IRS FAULT » dans le QRH,
par manque de temps selon lui, ce qui ne lui a pas permis d’avoir conscience des
limitations concernant l’utilisation de l’A/P en approche imposées par le constructeur.
2.1.5 Deuxième approche à Lyon et non-stabilisation de l’approche

Lors de la phase d’interception vers le Localizer, le CdB a demandé un guidage radar
en indiquant qu’il avait des problèmes de positionnement. Le contrôleur l’a guidé
vers l’ILS.
L’équipage a effectué une arrivée « rapide », par rapport aux configurations
préconisées (vitesse, volets, train) par la procédure d’approche ILS décrite dans
le FCOM. L’A/P B a été maintenu actif pendant l’approche.
Au moment de la capture du Glide, l’A/P B s’est désengagé automatiquement en
raison de la non-réception par le FCC B des données du RA 2. Les F/D ont alors disparu
des deux côtés. L’OPL a transféré les commandes au CdB. L’A/P s’étant déconnecté
avant la mise en descente finale, le CdB devait donc gérer à la fois la reprise des
commandes et une mise en descente immédiate, afin de rattraper la pente d’approche.
Ce rattrapage était d’autant plus difficile que le CdB n’avait pas eu le temps de
calibrer ses mouvements sur le manche, c’est-à-dire de les ajuster à la force et
l’amplitude requises pour corriger les écarts de trajectoire, comme cela est le cas
lorsque la déconnexion de l’A/P est anticipée et déclenchée en amont par le pilote.
Le CdB a gardé la gestion des communications radio jusqu’au transfert au contrôleur
tour et a informé le contrôleur approche à deux reprises qu’il poursuivait l’approche
en pilotage manuel.
L’approche, en pilotage manuel et sans F/D, n’a pas été stabilisée, aussi bien en ce qui
concerne l’axe et le plan que la vitesse et la configuration avion. Plusieurs alarmes
EGPWS « SINK RATE », « GLIDE SLOPE » et « TOO LOW TERRAIN » se sont déclenchées
en finale.
La remise des gaz annoncée par l’OPL n’a pas été suivie car elle a été selon lui
concomitante avec le contact visuel sur la piste. L’OPL a alors annoncé au contrôleur,
avec une voix traduisant une hésitation et un stress important, qu’ils continuaient
finalement la manœuvre.
80
Le CdB précisera plus tard qu’il avait conscience que l’avion n’était pas stabilisé mais
qu’il a préféré corriger la trajectoire et atterrir en raison du niveau de stress généré
par les deux approches interrompues déjà effectuées.
2.2 Conséquences et moyens de détection du dysfonctionnement d’un

ADIRU
2.2.1 Conséquences du dysfonctionnement d’un ADIRU
Au cours de ce vol, l’ADIRU gauche, dont le module inertiel subissait des problèmes
internes, a fourni des informations erronées ou invalides à plusieurs autres systèmes,
en particulier :
Des données erronées de vitesse sol et de position au FMC durant la croisière.
Le problème a été détecté par le FMC et a donné lieu à l’affichage sur le CDU des
messages d’alerte IRS-L DRIFT et VERIFY POS : IRS-IRS, ainsi qu’à l’activation des
voyants ambre FMC. L’équipage a pu ainsi être informé de la dérive de l’IR gauche
à ces instants-là du vol. Le FMC a automatiquement arrêté de prendre en compte
les données de l’IR gauche pour ses calculs de position afin de ne pas dégrader
sa précision et s’est basé sur les données de l’IR droit.
Des données erronées de route au FCC A lors de la première approche à Lyon.
Le FCC A a pris en compte ces données sans vérification supplémentaire et
a envoyé un ordre de virage à droite inadéquat au moment où l’avion était en
train de virer à gauche pour intercepter le Localizer de la piste 35 R. L’avion a
atteint un angle de roulis maximum de 30° et une divergence de cap de 70°.
Puis l’A/P A s’est désengagé lorsque les données de route ont été déclarées
invalides par l’ADIRU gauche. À ce moment-là, l’avion se trouvait à une distance
d’environ 1,6 NM à droite de l’axe du Localizer.
Des données invalides d’angle de roulis au FCC B lors de l’approche interrompue
à Lyon. À cet instant l’IR gauche s’est déclarée en panne et le voyant ambre L IRS
FAULT s’est allumé. Cela a entraîné le désengagement de l’A/P B.
D’autre part, il est vraisemblable que l’ADIRU gauche a transmis des données
d’accélération longitudinale, et/ou de vitesse sol déclarées invalides par le système de
freinage automatique lors de son autotest au moment où l’équipage a voulu l’armer
durant la descente vers Lyon. Cela s’est traduit par l’activation du voyant ambre
AUTOBRAKE DISARM sur le tableau de bord ce qui a permis d’informer l’équipage de
l’impossibilité d’utiliser le système de freinage automatique pour l’atterrissage.
Les conséquences du dysfonctionnement d’un ADIRU sont donc multiples et leur
gravité dépend de la capacité des systèmes et des équipages de conduite à détecter
ce dysfonctionnement.
Dans le cas où le dysfonctionnement de l’ADIRU n’est pas détecté à temps, la gravité
de ses conséquences est d’autant plus importante que le système affecté est critique
comme c’est le cas pour un FCC. Aucune mesure corrective ne peut en effet être
appliquée.
81
C’est ce qui s’est produit lors de la première approche à Lyon avec le FCC A engagé.
Les ordres du F/D étaient erronés et l’A/P a dirigé l’avion sur une trajectoire quasiment
perpendiculaire à celle qu’il aurait dû suivre. Ce phénomène a également pu être
observé à un degré moindre au cours du même vol à Paris-Orly lorsque l’avion a suivi
une trajectoire en « S » autour de l’axe du Localizer au moment de son interception.
Au total, entre le 26 décembre 2016 et le 2 janvier 2017, sept vols ont été identifiés
au cours desquels l’A/P a rencontré des difficultés similaires pour intercepter l’axe du
Localizer lors d’approche ILS, avec parfois la nécessité pour l’équipage de reprendre
la main afin de corriger la trajectoire de l’avion. Les trajectoires erratiques qui en ont
résulté étaient fort probablement dues au dysfonctionnement de l’IR gauche.
Tant que l’ADIRU ne se déclarera pas en panne, des systèmes qui ne testent pas
les informations qu’il leur transmet (cas des FCC hormis dans les cas d’approches
avec les deux A/P engagés), utilisent des données potentiellement erronées, ce
qui constitue un danger. Ce dernier peut avoir des conséquences significatives sur
la conduite du vol, en particulier lorsqu’il survient en phase d’approche. Par exemple :
Dans le cas d’approches parallèles simultanées d’un aéroport à fort trafic, cela
pourrait conduire à un conflit entre plusieurs avions. En outre, si ce conflit se
produit à basse hauteur, les systèmes TCAS des avions concernés n’émettront pas
d’avis de résolution.
Dans le cas d’une approche d’un aéroport avec du relief environnant, cela
pourrait conduire à une trajectoire de l’avion en direction du relief nécessitant
une manœuvre d’urgence afin de l’éviter.
Les effets et la gravité de ce danger ont été évalués par Boeing en réalisant une analyse
de sécurité lors de la conception du FCC (voir § 1.16.6). La gravité retenue est « majeure
» en phase d’approche. Cette évaluation repose sur des choix de conception qui
permettent d’atténuer les conséquences du danger, mais également sur l’hypothèse
qu’il sera finalement détecté par l’équipage qui est entraîné pour surveiller la
trajectoire de l’avion, sa vitesse, son altitude et corriger toute déviation par rapport
au plan de vol prévu. La détection repose donc uniquement sur l’équipage et aucune
fonction de surveillance et de détection de ce type de danger n’a été intégrée dans
le FCC, hormis dans les cas d’approches avec les deux A/P engagés. L’équipage ne
peut donc savoir qu’une information inertielle est erronée que si celle-ci est déclarée
invalide par l’ADIRU, à la différence d’autres systèmes comme le FMC ou le système
de freinage automatique.
La validité du présupposé selon lequel l’équipage de conduite surveille constamment
les automatismes et est prêt à réagir immédiatement en cas de dysfonctionnement
est questionnée dans la publication appelée JATR présentant les travaux menés
conjointement par dix autorités de l’aviation civile, ainsi que la NASA et le NTSB
à la suite des accidents du Boeing 737 Max survenus en Indonésie et en Éthiopie
(voir § 1.16.6.3). Cet incident grave ainsi que les observations faites par les autorités
conjointes démontrent que les temps de détection et de réaction par les équipages
peuvent être significativement plus longs que les hypothèses retenues lors de la
conception de l’avion et dans les études de sécurité. Ce constat peut alors remettre
en question la classification des dangers ayant pour seul moyen de détection la
surveillance de l’équipage.
82
2.2.2 Surveillance interne à l’ADIRU et activation de l’alarme IR FAULT
La dérive inhérente à toute centrale inertielle ne peut pas être détectée par l’ADIRU
lui-même car il n’a pas de référence. Le FMC est capable de le faire car il a accès
à d’autres sources d’informations que sont la position GNSS et la position élaborée
à partir de VOR-DME.
L’ADIRU peut en revanche vérifier la cohérence de certains de ses paramètres.
C’est ce qui est fait par exemple avec le cap et la route et qui donne lieu à l’émission
du message de panne DRIFT ANGLE et à l’activation de l’alarme IRS FAULT lorsque la
différence entre ces deux paramètres est supérieure à 60° et que la vitesse sol de
l’avion est supérieure à 200 kt.
Toutefois, la définition des critères de déclenchement de la panne DRIFT ANGLE est
telle que cette dernière ne peut apparaître que tardivement par rapport au début
du dysfonctionnement du module IR de l’ADIRU. En effet, un écart de plus de 60°
entre le cap et la route constitue une différence significative.
En outre, en cas de défaillance de l’ADIRU semblable à celle rencontrée au cours
de ce vol, cette différence ne sera pas systématiquement atteinte. Cela implique
que ce type de dysfonctionnement de l’ADIRU peut ne pas être détecté ni par
les équipages, ni par certains systèmes utilisateurs des données fournies par l’ADIRU
qui continueront par conséquent à les utiliser. C’est ainsi que, lors de cet événement,
le FCC A a utilisé des données erronées en provenance de l’ADIRU gauche jusqu’à
ce qu’il se déclare en panne, en émettant le message DRIFT ANGLE, alors même que
son dysfonctionnement s’est manifesté 2 min 15 auparavant au moment de la mise
en virage à droite de l’avion au cours de l’interception de l’axe du Localizer, mais
aussi plusieurs dizaines de minutes plus tôt au moment de la tentative d’armement
du système de freinage automatique et lors de l’apparition des messages d’alertes
FMC.
De même, le message de panne DRIFT ANGLE ne pourra pas être émis en phase
d’approche finale puisque la vitesse sol de l’avion sera inférieure à 200 kt. Ce fut
le cas lors d’un vol le 26 décembre 2016, soit quatre jours avant celui de l’événement,
au cours duquel l’avion a tourné à droite avec l’A/P A engagé alors qu’il allait capturer
l’axe du Localizer. Cette évolution inattendue de l’avion est probablement due
au dysfonctionnement de l’IR gauche mais la vitesse de l’avion était d’environ 180 kt
à ce moment-là et le message de panne DRIFT ANGLE, facteur déclencheur de l’alarme
IRS FAULT, ne pouvait donc pas être activé.
L’AAIB a souligné également ce délai significatif entre le début du dysfonctionnement https://assets.
(44)
de l’ADIRU et l’apparition de la panne DRIFT ANGLE dans son rapport d’enquête publishing.service.gov
concernant l’incident grave du Boeing 737-800 immatriculé EI-GJT(44) survenu le .uk/media/5f58dab2
d3bf7f7232e7e631/
9 octobre 2018 en croisière. Boeing_737-8AS_
EI-GJT_12-19.pdf
En conclusion, l’absence de vérification par les FCC de la validité des données
inertielles transmises par l’ADIRU, hormis dans les cas d’approches avec les deux
A/P engagés, ainsi que la logique de surveillance interne à l’ADIRU vis-à-vis de la
panne DRIFT ANGLE peuvent entraîner l’utilisation par les FCC, pendant une durée
prolongée, de données inertielles erronées en cas de dysfonctionnement du module
IR, et être à l’origine de perturbations significatives de la trajectoire de l’avion,
en particulier en phase d’approche finale.
83
2.3 Perte progressive de confiance dans l’avion et stress généré
Les deux pilotes ont, au cours de leurs entretiens, témoigné du stress important
qu’ils ont ressenti. L’OPL évoque « un événement très stressant avec beaucoup de
systèmes qui ne fonctionnent pas », le CdB explique qu’ils se sont « battus avec la
machine » et qu’ils étaient « heureux de toucher le sol ».
Au cours de la première partie du vol, l’équipage est confronté à des perturbations
mineures. Les deux premiers messages du FMC, IRS-L DRIFT et VERIFY POS : IRS-IRS, n’ont
dans un premier temps pas d’impact sur la gestion du vol, les pilotes constatent des
incohérences de vitesse de l’IRS gauche et des différences de position entre les deux
IRS puis observent que le problème semble être en cours de résolution. Un premier
élément perturbateur est l’absence de description du message IRS-L DRIFT dans la
documentation. Le deuxième message n’est lui pas inhabituel, il survient de temps
en temps et conduit également l’équipage à surveiller la cohérence des données
provenant des deux IRS.
La première déviation lors de la capture du LOC à Paris-Orly ne semble pas être
marquante pour l’équipage, il ne répond pas au contrôleur sur cet aspect et ne
l’évoque pas ensuite en entretien. Il était alors quasi impossible à l’équipage de faire
le lien entre cette déviation et les messages reçus précédemment. L’impossibilité
d’engager les deux A/P en raison du mode APP non armé, n’est pas non plus évoquée
par l’équipage en entretien, il s’agit d’une perturbation opérationnelle mineure qui
ne porte à aucune conséquence au moment où elle se produit. Elle peut cependant
instiller un doute au sein de l’équipage sur sa maîtrise de la situation ou être assimilée
ensuite aux autres désengagements d’A/P.
Aucun élément ne permet à l’équipage de comprendre que par la suite le
désengagement de l’A/P lors de la capture du LOC à Paris-Orly est dû au problème du
RA 2. Aucun message n’est émis dans le cockpit pour en expliquer l’origine.
L’interruption d’une approche CAT I et un dégagement, s’ils sont des événements
prévus, n’en sont pas moins des événements peu fréquents et très consommateurs
de ressources pour un équipage. Le CdB explique que l’équipage a commencé à être
préoccupé par le carburant à ce moment. L’aérodrome de Lyon est prévu comme
aérodrome de dégagement et la quantité de carburant nécessaire est présente
à bord. Le carburant est cependant prévu pour une seule approche à l’aérodrome de
dégagement.
Il est probable qu’à cet instant l’équipage s’inquiète de la quantité restante de
carburant à bord en cas d’éventuels imprévus.
Lors de la descente, un message de non-armement du système de freinage
automatique (AUTOBRAKE DISARM) survient. Puis lorsque le VOR sélectionné dans
le CDU est indiqué à une distance de plus de 3 000 NM, l’équipage dont le niveau de
confiance dans l’avion est déjà dégradé attribue ce nouveau dysfonctionnement aux
systèmes de positionnement de l’avion, sans pouvoir en expliquer l’origine.
84
L’équipage peut alors avoir en tête pour aborder la nouvelle approche sur Lyon :
une météo « convenable », une possible dérive de l’IRS gauche, un possible problème
d’A/P, un système autobrake non disponible et des moyens de navigation présentant
potentiellement des dysfonctionnements. Or, outre la perception d’éléments et
leur compréhension, l’une des composantes fondamentales de la conscience de la
situation est la possibilité de prévoir leur état dans un futur proche. Cette projection
était impossible pour l’équipage puisque certains dysfonctionnements étaient
difficilement explicables. Pour d’autres, comme les problèmes de VOR, qui sont
des moyens radioélectriques avec leur fréquence propre et indépendants des
informations données par l’IRS, un biais de confirmation a pu les amener à interpréter
toute perturbation comme révélatrice d’un nouveau dysfonctionnement des
systèmes de l’avion.
Cette difficulté à se construire une conscience de la situation adéquate peut expliquer
le stress graduellement ressenti par l’équipage. Le stress résulte de façon générale de
l’interaction entre l’évaluation d’une situation, la capacité à y faire face et la perception
de l’importance d’y faire face. Or dans le contexte du vol, l’équipage pouvait juger
la situation menaçante d’autant plus que les dysfonctionnements paraissaient
sans lien et ainsi d’autant plus difficiles à prévoir ; l’importance d’y faire face étant,
de plus, accrue par la préoccupation pour le carburant. Cette préoccupation suit
un cercle vicieux : l’appréhension sur le manque de carburant engendre une pression
temporelle qui conduit l’équipage à estimer qu’il est important de faire face vite et
cette pression temporelle ressentie le conduit à ne pas objectiver le problème et
à en surestimer l’importance.
L’interruption de la première approche à Lyon, à la suite de la déviation importante
de trajectoire et du désengagement de l’A/P, a constitué un point de basculement où
le stress ressenti par l’équipage a atteint un niveau tel qu’il en a impacté la gestion
du vol. Ce niveau de stress dépassé est évoqué dans le témoignage de l’équipage et
peut également être observé dans les communications avec le contrôle, que ce soit
dans le ton employé ou les demandes effectuées.
Cela s’est également traduit par une dissociation de l’équipage, la charge de travail
n’était plus répartie, les checklists et les procédures de traitement de panne non
effectuées en raison de la pression temporelle perçue, et le CdB semblant agir seul
par exemple après le transfert des commandes par l’OPL durant la seconde approche
à Lyon (voir § 2.4). Les conséquences du stress sur la conduite du vol sont manifestes :
un dépassement du niveau autorisé de plus de 1 500ft, une approche non stabilisée
au-delà du plancher de stabilisation défini par la compagnie et de multiples écarts
à l’origine des alarmes EGPWS.
Au cours du vol, l’équipage a été confronté à différents dysfonctionnements, soit
liés à des défaillances techniques soit de nature opérationnelle. Confronté à des
dysfonctionnements qu’il ne pouvait expliquer, prévoir ou lier entre eux, son niveau
de confiance dans l’avion s’est progressivement dégradé, son attention s’est
notamment focalisée sur un niveau de carburant qu’il croyait insuffisant. Chaque
instant retardant l’atterrissage risquait de voir apparaître de nouvelles pannes.
L’équipage est ainsi passé progressivement d’une gestion classique en mode normal,
en début de vol, à une gestion en mode « urgence » les conduisant à vouloir à atterrir
le plus vite possible.
85
Or, les conditions météorologiques sur l’aéroport utilisé pour le dégagement
permettaient une approche CAT I, pouvant être effectuée en pilotage manuel et le
carburant restant à bord permettait d’effectuer une attente et une poursuite du vol
sans précipitation.
Un décalage s’est donc créé entre l’état effectif de l’avion et la perception qu’en a eu
l’équipage.
2.4 Charge de travail et travail en équipage

En l’absence de données provenant du CVR, le travail en équipage n’a pas pu être
analysé finement dans le cadre de l’enquête. Toutefois, l’écoute des communications
avec le contrôle et les témoignages ont permis de mettre en évidence les éléments
suivants.
Aucun événement notable n’est mis en évidence lors de la première partie du vol.
Dans les témoignages lorsque les pilotes évoquent les premiers messages au CDU,
ils expliquent avoir cherché tous deux le message dans la documentation et
expliquent s’être concertés pour le choix de Lyon comme aérodrome de dégagement.
La charge de travail peut être ponctuellement élevée dans le cockpit, comme
en témoigne par exemple l’absence de réponse à une demande du contrôleur de
Paris‑Orly lors de l’interception erratique du LOC.
La charge de travail devient ensuite telle qu’à certains moments l’équipage priorise
les tâches en en omettant volontairement certaines. Lors de la survenue de la panne
L IRS FAULT, le CdB est PF, sans A/P engagé, il explique avoir lui-même actionné le
sélecteur IRS Transfer Switch sur BOTH ON R. Au cours de cette action, l’avion dépasse
le niveau de vol autorisé de plus de 1 500 ft. Le CdB explique dans son témoignage
que l’équipage n’a pas sorti la checklist par manque de temps.
L’équipage redéfinit les rôles pour gérer la surcharge de travail. Alors que l’avion est
à nouveau sous A/P, le CdB devient PM et gère les communications pour demander
un guidage radar et une aide au contrôleur sur la capture du LOC. Lorsque l’A/P B
se désengage lors de la capture du Glide, le CdB redevient PF à la demande de l’OPL
mais garde cependant les communications et demande l’assistance du contrôleur
pour les aider dans la confirmation de la capture du LOC et du glide. Alors que le CdB
utilisait l’anglais jusque-là, il passe au français. Le vocabulaire employé est le même
que celui employé précédemment en anglais, le passage en français ne peut ainsi
pas être associé à un problème de langue mais est symptomatique d’une surcharge
cognitive.
La répartition des tâches redevient en apparence plus standard ensuite, le CdB garde
les commandes et l’OPL reprend les communications. Cependant, dans les deux
minutes de vol restantes, les tâches de l’équipage sont dissociées. Le CdB poursuit
l’approche finale en pilotage manuel, l’OPL est en communication constante avec
le contrôleur, et annonce une remise de gaz. Concomitamment, l’équipage acquiert
le contact visuel sur la piste et l’approche est poursuivie par le CdB.
Avec l’augmentation du niveau de stress, le CRM est devenu défaillant alors même que
la situation et la charge de travail élevée nécessitaient une répartition et priorisation
des tâches adéquates.
86
2.5 Interface équipage / contrôle aérien
2.5.1 Transfert approche-tour
À Paris-Orly, après avoir reçu la confirmation que l’avion avait bien intercepté
le Localizer, le contrôleur d’approche a transféré le vol au contrôleur tour sans
avoir préalablement fourni la clairance d’approche. Ceci a eu pour effet de
retarder l’armement du mode APP par l’équipage. Lors de la première approche à
Lyon-Saint Exupéry, le contrôleur d’approche a transféré le vol au contrôleur tour sans
lui avoir demandé préalablement de rappeler établi sur le Localizer. Immédiatement
après ce transfert, l’avion a effectué un virage inattendu dans le sens opposé au
virage d’interception du Localizer et s’est éloigné franchement de l’axe. Le contrôleur
d’approche s’en est rendu compte et a tenté de rappeler l’équipage. Celui-ci avait
déjà quitté la fréquence. Le contrôleur tour a été contacté quelques instants plus tard
par l’équipage qui s’est annoncé dans un premier temps en finale pour la piste 35R
avant d’annoncer six secondes plus tard qu’il remettait les gaz, ce qui a nécessité un
nouveau transfert sur l’approche. Un maintien de l’avion sur la fréquence approche,
maintien nécessaire et règlementaire car l’avion n’était pas établi sur le Localizer,
pouvait permettre une meilleure continuité dans la gestion du vol et alléger ainsi
la charge de travail à bord.
2.5.2 Échanges équipage-contrôle aérien

Les échanges entre l’équipage et le contrôle aérien ont été basés sur beaucoup
d’implicite et n’ont pas permis au contrôle aérien d’avoir une compréhension fine
de ce qui se passait à bord. Lors de la première approche à Lyon, malgré l’écart de
trajectoire constaté, le contrôleur d’approche ne s’est pas inquiété des problèmes
rencontrés. Il a pensé, lors du dernier guidage vers l’ILS, à un possible problème
carburant et a ainsi proposé à l’équipage une trajectoire raccourcie. Celle-ci n’était
pas de nature à favoriser une seconde approche dans les meilleures conditions.
L’équipage n’a, pour sa part, mentionné au contrôle aérien la nature des problèmes
rencontrés que lors de la deuxième approche à Lyon-Saint Exupéry lorsqu’il a annoncé
un problème de positionnement.
La faiblesse de ces échanges n’a pas permis au contrôle aérien de fournir une
assistance adaptée.
2.6 Pratiques de la RAM

2.6.1 Interception ILS
Une pratique de la compagnie consiste à conserver l’affichage de la fréquence du
VOR côté PM jusqu’à la capture du glide, à l’opposé de la procédure Approche du
FCOM qui indique que, pour une approche ILS, l’équipage doit afficher les fréquences
Localizer avant l’IAF ou bien avant le début du guidage vers l’axe d’approche finale
en cas de guidage radar.
Cette pratique de la compagnie a comme conséquence de causer la disparition des
F/D du côté PM si le VOR est toujours réglé au moment de l’engagement du mode
LOC.
87
Le FCOM précise par ailleurs à cet égard que des fréquences différentes sur les deux
récepteurs VHF NAV peuvent entraîner une différence d’affichage des F/D gauche et
droit et affecter les opérations de l’A/P engagé.
Cette pratique peut créer aussi une accoutumance des équipages au phénomène de
disparition des F/D. Ainsi, celle-ci peut ne plus constituer une défaillance de systèmes
nécessitant un report systématique dans le TLB alors que, comme le montre cette
enquête, ces disparitions peuvent être la conséquence de problèmes techniques
nécessitant l’intervention de la maintenance.
Enfin, en provoquant l’enregistrement dans les BITE FCC de nombreux messages de
panne relatifs aux MMR et aux panneaux de contrôle des moyens de radionavigation
(VHF NAV), cette pratique a induit en erreur la maintenance de la RAM qui a pensé
que ces systèmes connaissaient des problèmes techniques.
2.6.2 Report non systématique dans le TLB de dysfonctionnements techniques

rencontrés par les équipages de conduite
L’analyse des données QAR et des messages de panne enregistrés dans les BITE FCC
a mis en exergue le report non systématique de dysfonctionnements techniques par
les équipages de la RAM dans le TLB du CN-ROJ.
L’accoutumance des équipages au phénomène de disparition des F/D expliquée
ci-dessus peut en être une raison.
Il est en revanche plus difficile d’expliquer l’absence de reports des désengagements
automatiques d’A/P, ou de dysfonctionnements d’un ADIRU se traduisant par
l’apparition d’une alarme IR FAULT ou de messages d’alertes FMC.
Le manuel d’exploitation de la RAM prévoit que le CdB mentionne dans le TLB « Les
détails de tout défaut susceptible d’affecter la navigabilité ou la sécurité de l’exploitation,
y compris les systèmes de sécurité ». Ce principe n’a pas été suffisamment appliqué par
les pilotes de la RAM sur la période analysée par le BEA.
Les reports équipages tiennent un rôle essentiel dans les actions de maintenance qui
seront appliquées a posteriori sur l’aéronef. Si une panne déclenchée en vol n’est pas
reportée, elle ne fera l’objet d’aucune action de maintenance corrective, ni de suivi
particulier par le service responsable du suivi et de la gestion des pannes.
Un report systématique des défauts et des anomalies rencontrées par l’équipage
donne la possibilité à la maintenance de pouvoir corriger les problèmes ou en cas
de panne intermittente, de surveiller leur évolution. Il aurait permis à la maintenance
de la RAM d’être mieux armée pour résoudre les problèmes rencontrés sur cet
avion. En particulier, elle aurait probablement pu identifier plus tôt le problème
de communication entre le RA 2 et le FCC B, et remplacer plus rapidement l’ADIRU
gauche.
Par ailleurs, un report sur le TLB, après l’atterrissage à Lyon, du message FMC VERIFY
POS : IRS-IRS survenu en vol, pouvait permettre à la maintenance de constater que
la vitesse sol résiduelle enregistrée à la fin du vol de l’événement était de 187 kt,
ce qui nécessitait le remplacement de l’ADIRU (erreur de vitesse sol résiduelle
supérieure à 21 kt).
88
2.7 Maintenance de la RAM
2.7.1 Gestion de la panne du radioaltimètre 2
L’examen des FCC effectué après l’incident a montré que le RA 2 du CN-ROJ
rencontrait des dysfonctionnements depuis le 26 juin 2016, soit six mois environ avant
l’événement. Ces dysfonctionnements, traduits par le message de panne RADIO ALT-2
(J1B-B04, A04) dans le BITE du FCC B, étaient dus à la non-réception par le FCC B de
données valides issues du RA 2. Ces messages de panne ont des conséquences sur
les automatismes : disparition de l’affichage de F/D et/ou désengagement de l’A/P
en phase d’approche.
Jusqu’à la veille de l’événement, cette panne liée au RA 2 avait été enregistrée
35 fois durant ces six derniers mois dont 16 fois depuis le 9 décembre. Lors du vol
de l’événement cette même panne, RADIO ALT-2 (J1B-B04, A04) a été enregistrée à
sept reprises dans le FCC B. (45)
La compagnie
Bien que non systématiquement reportés par les équipages dans le TLB, a indiqué que les
techniciens en base
ces dysfonctionnements l’ont été à l’issue de vols effectués les 10, 12 et 25 décembre. sont désormais
Dans les TLB de ces vols, toutes les étapes des opérations de maintenance n’ont équipés de tablette
pas été indiquées systématiquement, ce qui n’a pas permis au BEA de suivre le afin de retranscrire
les opérations et
cheminement complet de chaque action de maintenance. La RAM a indiqué au BEA les résultats au
que la réponse sur les TLB représente l’action de maintenance finale/majeure réalisée fur et à mesure
dès le retour dans les locaux techniques (45). La lecture des documents de maintenance des opérations
ce qui n’était pas
laisse supposer que lors des tests au sol, la panne n’est pas réapparue, indiquant de le cas à l’époque
ce fait que, conformément à la FIM, elle était soit intermittente, soit n’apparaissant de l’incident.
qu’en condition de vol.
La procédure Boeing indique que, dans ce cas, les techniciens de maintenance
doivent suivre la politique de la compagnie en matière de traitement des pannes
intermittentes, utiliser leur jugement et l’historique de la maintenance de la
compagnie et assurer un suivi particulier de l’avion en question.
À la suite du report par un équipage d’un problème lié au RA 2 le 10 décembre
2016, la compagnie RAM a procédé au remplacement de celui-ci. La panne s’est
néanmoins reproduite le 12 décembre 2016. L’origine de la panne n’a donc pas été
supprimée. Celle-ci s’est ensuite reproduite le 25 décembre 2016 après 54 vols sans
problème. Le FCC B sera lui remplacé trois jours après l’événement, le 2 janvier 2017,
sans que le problème ne disparaisse. Il est par conséquent fort probable que le
dysfonctionnement ne provenait ni du RA 2 ni du FCC B mais de la connexion entre
les deux.
Bien qu’apparue à de multiples reprises et ses conséquences notifiées par les
équipages, cette panne n’a pas pu être résolue par la maintenance en base,
aboutissant, le jour de l’événement à un avion dégradé, présentant des problèmes
d’automatisme principalement en phase d’approche.
89
2.7.2 Maintenance en ligne à Lyon
Lors des actions de maintenance réalisées à Lyon-Saint Exupéry à l’issue du vol de
l’événement, le technicien a indiqué au BEA avoir uniquement redémarré l’IR gauche
comme suite aux instructions fournies par le centre de maintenance (MCC) de la RAM
par téléphone, et il a indiqué ne pas avoir utilisé de documentation. Or, le technicien,
de par sa qualification et la documentation fournie par la compagnie, avait les moyens
de gérer cette panne de façon autonome, contrairement à ses indications.
Comme le préconise la documentation du constructeur, le report par l’équipage
du message L IRS FAULT dans le TLB aurait dû le conduire à effectuer la procédure
IR Failure – Fault isolation (FIM 34-21 tâche 803) et vérifier si la panne de l’ADIRU
gauche était toujours active. Dans un tel cas, la recherche aurait été effectuée sur
d’éventuelles autres pannes actives. Puis si ces résolutions ne permettaient pas
d’effacer la panne IR Failure du CDU, la procédure aurait exigé dans un second temps
le remplacement de l’ADIRU gauche.
Bien que ces procédures n’aient pas été rigoureusement appliquées, elles n’auraient
probablement pas eu d’effet dans le cas présent puisqu’après le redémarrage des
IRS par le technicien de maintenance, aucun voyant n’indiquait au sol de panne
L IRS FAULT. Cette panne n’était fort probablement pas active au sol et était donc
une panne intermittente. Cela est renforcé par le fait que durant le vol suivant
l’événement, la panne L IRS FAULT ne s’est pas déclenchée.
Néanmoins, il est intéressant de noter qu’un compte rendu de l’équipage concernant
les messages FMC reçus en vol (IRS-L DRIFT et VERIFY POS : IRS-IRS) aurait amené la
maintenance à effectuer une tâche aboutissant au changement de l’ADIRU gauche.
En tout état de cause, l’analyse des données du QAR et des messages de panne
enregistrés dans le BITE de l’ADIRU gauche montrera que l’ADIRU gauche
dysfonctionnera à nouveau deux jours après l’événement, le 1er janvier 2017,
en déclenchant l’alarme L IRS FAULT. Le lendemain, le 2 janvier, un message
IRS-L DRIFT MSG VERIFY POS : IRS L sera également mentionné par l’équipage dans
le TLB.
90
3 - CONCLUSIONS
3.1 Faits établis par l’enquête
L’équipage de conduite détenait les licences et les qualifications nécessaires
pour effectuer le vol.
L’avion avait un certificat de navigabilité en état de validité.
L’avion a décollé de l’aérodrome Rabat-Salé sans action de maintenance différée.
Environ une heure après le décollage, le message d’alerte FMC IRS-L DRIFT est
apparu à bord. L’équipage a cherché, sans succès, la signification de ce message
dans la documentation de bord. Il a ensuite observé que le problème semblait
être en voie de résolution.
Le message d’alerte FMC IRS-L DRIFT (ou IRS-R DRIFT) est un nouveau message
apparu à partir d’une nouvelle version du calculateur de gestion de vol (FMC)
installé sur l’avion en mars 2016. Il ne figurait pas dans la documentation de bord.
La compagnie Royal Air Maroc (RAM) n’avait pas informé Boeing de l’application
d’un bulletin de service (SB) relatif à l’installation de la version U11 du FMC.
Cette notification était nécessaire à la réalisation de la modification de la
documentation opérationnelle par Boeing.
Pendant la descente vers Paris-Orly, où les approches de catégorie 3 (CAT III)
étaient en vigueur, l’équipage a constaté l’apparition du message FMC VERIFY
POS : IRS-IRS sur les tableaux de commande et d’affichage (CDU). Connaissant
ce message, il ne s’est pas référé à la documentation. Constatant que les
informations de vitesse des deux centrales à inertie (IRS) convergeaient et
allaient redevenir cohérentes avant l’arrivée à Paris-Orly, l’équipage a décidé de
poursuivre l’approche et a sélectionné l’aéroport Lyon-Saint Exupéry en cas de
dégagement.
Une fois le mode approche armé (APP), l’équipage n’a pu engager les deux pilotes
automatiques (A/P), condition nécessaire pour effectuer une approche CAT III,
en raison de la non-réception par l’un des calculateurs de commande de vol
(FCC B) des données du radioaltimètre (RA) 2.
L’équipage a interrompu l’approche et a demandé un dégagement sur l’aéroport
Lyon Saint-Exupéry. Les conditions météorologiques à Lyon permettaient une
approche de catégorie 1 (CAT I), ce qui n’imposait pas d’utiliser les deux A/P.
Pendant la descente vers l’aéroport Lyon-Saint Exupéry, l’équipage a tenté
d’armer le système de freinage automatique et a constaté l’allumage du voyant
ambre AUTOBRAKE DISARM.
Le contrôleur d’approche de Lyon-Saint Exupéry a transféré l’avion au contrôleur
tour, sans s’être assuré qu’il était établi sur le plan Localizer de la piste 35 R.
Lors de l’interception du Localizer, et alors que le mode VOR/LOC vert était
enclenché, l’avion a effectué un virage soudain dans le sens opposé au virage
d’interception du Localizer, a croisé l’axe du Localizer et s’en est éloigné.
Ce phénomène a été causé par des problèmes internes à l’ADIRU gauche. Celui-ci
a fourni des informations erronées au FCC A. Le FCC A a pris en compte ces
informations sans vérification supplémentaire et a envoyé un ordre de virage
inadéquat.
L’A/P A s’est ensuite désengagé en raison de l’invalidité des données fournies par
l’ADIRU gauche.
L’équipage a interrompu l’approche et a demandé à effectuer une nouvelle
approche.
91
L’équipage a engagé l’A/P B et a été transféré à l’approche pour un nouveau
circuit de présentation vers l’ILS.
Peu après le transfert à l’approche, l’alarme L IRS FAULT s’est déclenchée et a
provoqué le désengagement de l’A/P B. Cette alarme est intervenue 2 min 15
après l’ordre de virage inadéquat lors de l’interception ILS.
L’équipage n’a pas consulté la checklist IRS FAULT, par manque de temps selon
lui. Il était préoccupé par ailleurs par la quantité de carburant restant à bord.
Le commandant de bord (CdB) a placé de mémoire le sélecteur IRS Transfer Switch
sur BOTH ON R. La checklist indique qu’il n’est pas possible d’utiliser le système
de pilotage automatique pour l’approche et demande de le déconnecter avant
celle-ci (« Deferred item »).
L’écoute des enregistrements ATC met en évidence des communications dont
le ton, le contenu et le rythme sont révélateurs d’un haut niveau de stress à bord,
lors de la deuxième approche sur Lyon.
Ce stress résultait notamment des deux approches interrompues précédentes,
d’une perte de confiance progressive dans l’avion et ses systèmes et d’une
préoccupation quant au carburant restant.
L’enquête a montré que le carburant restant au moment de l’alarme IRS FAULT
permettait une attente de plus de vingt minutes avant de débuter la deuxième
approche et d’atterrir avant d’atteindre la réserve finale.
L’équipage a débuté l’approche finale vers Lyon avec une configuration vitesse/
volets non standard par rapport aux dispositions du Manuel d’exploitation des
équipages (FCOM).
Alors que l’équipage suivait le cap d’interception vers le Localizer, le CdB a
demandé un guidage radar en indiquant qu’il rencontrait des problèmes de
positionnement.
Juste après la capture du Glide, l’A/P B s’est désengagé. Ce désengagement a été
causé par la non-réception par le FCC B des données du RA 2.
La déconnexion de l’A/P B a entraîné le transfert des commandes du copilote
(OPL) au CdB et la poursuite de l’approche finale ILS, sans références visuelles
extérieures, en pilotage manuel, sans directeur de vol (F/D).
Le CdB a indiqué au contrôle qu’il poursuivait l’approche en pilotage manuel.
Plusieurs alertes du système d’avertisseur de proximité de sol (EGPWS) (« GLIDE
SLOPE », « TOO LOW TERRAIN » et « SINK RATE ») et d’altitude minimale de sécurité
(MSAW) se sont déclenchées durant l’approche finale.
Au moment du déclenchement de l’alarme MSAW, vue par les contrôleurs
approche et tour, l’équipage n’était plus sur la fréquence d’approche et n’avait
pas encore contacté la tour.
L’avion n’était pas stabilisé selon les critères de la compagnie lors du passage des
1 000 ft AGL.
La remise de gaz annoncée par l’OPL n’a pas été suivie par le CdB qui, à la vue
de la piste, concomitante à l’annonce faite par l’OPL, a décidé de réaliser une
« baïonnette ».
Selon le CdB, l’avion est sorti de la couche à environ 400 ft. Celui-ci a annoncé
qu’il poursuivait l’atterrissage.
L’avion est sorti de la couche entre les deux axes de piste et le CdB (PF) a effectué
une « baïonnette » à droite pour s’aligner sur la piste 35 R.
92
L’avion a atterri à environ 600 m du seuil de la piste 35 R et à une vitesse indiquée
de 159 kt.
La quantité de carburant restant à l’atterrissage est de 2 180 kg, supérieure à
la réserve finale (1 100 kg). Au sol, un message de bas niveau carburant a été
constaté dans un des réservoirs.
Le stress et la surcharge de travail se sont traduits par à une dissociation de
l’équipage, la Gestion des ressources de l’équipage (CRM) étant devenu défaillante.
L’ensemble des tests réalisés sur l’ADIRU gauche défectueux n’a pas permis
d’identifier l’origine des messages de panne émis au cours de ce vol, le changement
de cap soudain survenu au moment de l’interception du Localizer lors de la
première approche à Lyon-Saint Exupéry, puis les deux désengagements d’A/P.
L’analyse des données QAR met en évidence une probable défaillance d’un
accéléromètre.
L’enquête n’a pas permis d’identifier l’origine des messages de panne relatifs à
la non-réception par le FCC B de données en provenance du RA 2. Il a été établi
que le RA 2 n’était pas en cause. Il paraît probable que ces messages de panne
aient été causés par un problème de communication entre le RA 2 et le FCC B.
Ces dysfonctionnements ont été à l’origine de plusieurs cas de disparitions
des F/D et de deux désengagements d’A/P : l’un à Paris -Orly, l’autre à Lyon-Saint
Exupéry.
L’absence de vérification par les FCC, conformément aux spécifications, de
la validité des données inertielles transmises par l’ADIRU (hormis dans les cas
d’approches avec les deux A/P engagés), ainsi que la logique de surveillance
interne à l’ADIRU vis-à-vis de la panne DRIFT ANGLE peuvent entraîner l’utilisation
par les FCC, pendant une durée prolongée, de données inertielles erronées en
cas de dysfonctionnement du module IR, et être à l’origine de perturbations
significatives de la trajectoire de l’avion, en particulier en phase d’approche finale.
Une pratique de la compagnie demande au PM de régler un VOR/DME au cours
des approches ILS ce qui a pour effet de causer la disparition des F/D dans les
phases d’interception de l’ILS.
L’absence d’échanges explicites entre l’équipage et le contrôle aérien sur la
nature des problèmes rencontrés à bord n’a pas permis aux contrôleurs aériens
de fournir une assistance adaptée à l’équipage.
Les dysfonctionnements et anomalies rencontrés par les équipages n’ont pas été
systématiquement reportés sur les documents prévus à cet effet (en particulier
sur la partie TLB du compte rendu matériel) ;
Les éléments recueillis dans la documentation de maintenance lors de l’enquête
n’ont pas permis de vérifier si les procédures de maintenance relatives aux pannes
reportées par les équipages sur le CN-ROJ, lors de vols précédents, avaient été
appliquées dans leur totalité par la compagnie RAM.
Les tests effectués indiquent que la panne associée au RA 2 n’était pas confirmée
au sol et qu’elle était par conséquent de nature intermittente. Cette panne
pouvait, au travers du Tableau de commande et d’affichage (CDU), être relevée
systématiquement par la maintenance dans l’historique de pannes (procédure
DFCS BITE).
93
Les messages de panne enregistrés par les mémoires non volatiles (BITE) des FCC
indiquent que la panne intermittente lié au RA 2 était présente sur le CN-ROJ
depuis au moins six mois.
Le technicien de la société de maintenance en ligne à Lyon, détenteur d’une
licence Part 66, avait la qualification nécessaire pour effectuer la gestion de la
panne L IRS FAULT.
La documentation de maintenance nécessaire, bien que non consultée par le
technicien, était disponible.
L’équipage du CN-ROJ n’a pas préservé le CVR à l’issue du vol, contrairement aux
préconisations de la compagnie en cas d’incident grave.
3.2 Facteurs contributifs

Enchaînement des événements
Le Boeing 737-800, immatriculé CN-ROJ, a décollé de l’aérodrome de Rabat (Maroc)
à destination de l’aérodrome d’Orly. Lors de la croisière, l’équipage a reçu sur le CDU
des messages d’alerte relatifs à la dérive de la centrale inertielle gauche. L’équipage
a observé que le problème était en voie de résolution et a poursuivi le vol vers
Paris‑Orly. Lors de l’approche ILS CAT III pour la piste 06 à Paris-Orly l’avion a capturé
le Localizer de la piste 06 en oscillant du fait probablement de la réception de données
erronées en provenance de l’ADIRU gauche. Puis l’équipage n’a pu engager les deux
A/P simultanément, ce qui a rendu l’approche ILS CAT III non réalisable, en raison de
la non-réception par le calculateur de commande de vol (FCC B) des données du RA 2.
L’équipage a remis les gaz et a demandé un dégagement vers l’aérodrome Lyon‑Saint
Exupéry où les conditions météorologiques permettaient une approche CAT I.
Lors de l’interception de l’ILS 35R à Lyon, l’avion a effectué un virage à droite
intempestif, alors qu’il était en capture du Localizer en mode VOR/LOC vert, en raison
de données erronées fournies par l’ADIRU gauche. Aucune alarme n’a été produite à
bord à cet instant. L’A/P A s’est ensuite désengagé. L’équipage a demandé à effectuer
une nouvelle approche puis a engagé l’A/P B. Quelques instants plus tard, l’alarme
L IRS FAULT s’est déclenchée et a provoqué le désengagement de l’A/P B. Le CdB a
placé le sélecteur IRS Transfer Switch sur BOTH ON R, un des items figurant dans la
check-list IRS FAULT, puis a réengagé l’A/P B. Un des items suivants de la check-list
précise que l’A/P ne peut être utilisé lors de l’approche.
Lors du guidage vers le Localizer, le CdB a indiqué au contrôleur qu’il avait des
problèmes de positionnement. Au moment de la capture du Glide, l’A/P B s’est
désengagé en raison à nouveau de la non-réception par le FCC B des données du
radioaltimètre 2. Aucune alarme ne s’est déclenchée à bord. Les F/D ont disparu côté
PF et côté PM. Les commandes ont été transférées au CdB par l’OPL et le CdB a décidé
de poursuivre l’approche en pilotage manuel, sans A/P, ni F/D. Durant l’approche,
effectuée en IMC, des alertes EGPWS « SINK RATE », « GLIDE SLOPE » et « TOO LOW
TERRAIN » se sont succédées à bord. L’avion, non stabilisé à 1000 ft AGL, est sorti de
la couche, peu après 400 ft sol, entre les deux axes de piste.
L’équipage a effectué une « baïonnette » à droite pour s’aligner sur la piste 35 R.
Les alertes EGPWS « TOO LOW TERRAIN » et « SINK RATE » ont continué à retentir à
bord jusqu’à l’atterrissage. L’avion a atterri à environ 600 m du seuil de la piste 35 R.
94
Facteurs contributifs
Ont contribué à cet incident grave :
La concomitance de deux défaillances indépendantes au sein de deux systèmes
différents dont l’origine, l’absence de lien et les conséquences étaient difficiles
à établir pour l’équipage sans information adéquate dans la documentation
opérationnelle ni d’alarmes suffisamment saillantes émises par les systèmes
avion.
Une perte de confiance progressive de l’équipage dans les systèmes avion au
fil du vol engendrant un stress important et une focalisation de l’attention de
l’équipage sur le niveau de carburant restant.
La dégradation du CRM au sein de l’équipage lors d’une charge de travail devenue
très élevée en raison notamment de la nécessité de gérer la panne IRS FAULT
pendant la phase d’interruption de l’approche.
La logique de fonctionnement des FCC qui ne prévoit pas, conformément à ses
spécifications, de surveillance des données inertielles fournies par les ADIRU,
hormis dans les cas d’approches avec les deux A/P engagés.
La logique de surveillance interne des ADIRU vis-à-vis de la validité des données
inertielles transmises aux autres systèmes. Les critères de déclenchement de
la panne Drift Angle, facteur déclencheur de l’alarme IRS FAULT, peuvent en
effet amener cette dernière à apparaître tardivement par rapport au début du
dysfonctionnement du module IR de l’ADIRU.
Le report non systématique par les équipages de dysfonctionnements techniques
sur le TLB tels que la disparition des F/D, les dysfonctionnements ADIRU et les
déconnexions automatiques de l’A/P.
La persistance de pannes intermittentes.
95
4 - RECOMMANDATIONS DE SECURITÉ
Rappel : conformément aux dispositions de l’article 17.3 du règlement n° 996/2010 du
Parlement européen et du Conseil du 20 octobre 2010 sur les enquêtes et la prévention
des accidents et des incidents dans l’aviation civile, une recommandation de sécurité ne
constitue en aucun cas une présomption de faute ou de responsabilité dans un accident,
un incident grave ou un incident. Les destinataires des recommandations de sécurité
rendent compte à l’autorité responsable des enquêtes de sécurité qui les a émises,
des mesures prises ou à l’étude pour assurer leur mise en œuvre, dans les conditions
prévues par l’article 18 du règlement précité.
4.1 Réévaluation de l’étude de sécurité relative aux conséquences de

l’utilisation par le FCC d’une information erronée non détectée provenant
de l’ADIRU.
L’enquête a montré que des informations erronées en provenance d’un ADIRU
avaient mené à une mise en virage inattendue de l’avion commandée par le FCC,
sous A/P, sans que cette information ne soit détectée comme erronée par les systèmes
de l’avion.
Conformément à ses spécifications, le FCC ne vérifie pas la validité des données en
provenance d’un ADIRU, hormis dans les cas d’approches avec les deux A/P engagés.
L’utilisation d’une information inertielle erronée par le FCC peut avoir des
conséquences significatives sur la conduite du vol, en particulier lorsqu’il survient en
phase d’approche.
Ces effets sont classés par Boeing comme « mineurs » ou « majeurs » en fonction de la
phase de vol. L’effet est classé « majeur » en phase d’approche.
Pour établir cette classification, Boeing a retenu l’hypothèse selon laquelle les
pilotes sont entraînés pour surveiller la trajectoire de l’avion, sa vitesse, son altitude
et corriger toute déviation par rapport au plan de vol prévu. En approche finale,
la correction de la déviation peut nécessiter de déconnecter l’A/P. Or, un passage en
pilotage manuel lors de l’approche, de façon non anticipée, présente des difficultés
de pilotage susceptibles d’altérer la trajectoire suivie et de remettre en cause la
sécurité du vol.
D’autre part, la validité du présupposé selon lequel l’équipage de conduite surveille
constamment les automatismes et est prêt à réagir immédiatement en cas de
dysfonctionnement, est questionnée dans la publication appelée JATR présentant
les travaux menés conjointement par dix autorités de l’aviation civile, ainsi que la
NASA et le NTSB à la suite des accidents du Boeing 737 Max survenus en Indonésie
et en Éthiopie. Cet incident grave, ainsi que les observations faites par les autorités
conjointes, démontrent que les temps de détection et de réaction par les équipages
peuvent être significativement plus longs que les hypothèses retenues lors de la
conception de l’avion et dans les études de sécurité. Ce constat peut alors remettre
en question la classification des dangers ayant pour seul moyen de détection la
surveillance de l’équipage.
96
Un dysfonctionnement avec effet classé « majeur » ne doit pas se produire à une
fréquence supérieure à 10-5 fois par heure de vol environ.
La probabilité de la transmission par un ADIRU d’une information inertielle erronée «
non détectée » a été estimée par l’équipementier à 1,22.10 -5 par heure de vol. Le calcul
par Boeing de la probabilité d’occurrence de ce même danger durant une phase
d’approche est de 2,44.10-6.
Il s’agit d’une estimation réalisée lors de la phase de conception de l’ADIRU qui n’a
pas été vérifiée ni mise à jour a posteriori sur la base du retour d’événements en
service en raison de la nature « non détectée » de ce danger.
En conséquence, le BEA recommande que :
considérant que le seul moyen de détection du danger « utilisation par
le le calculateur de commande de vol (FCC) d’une information inertielle
erronée non détectée » est la surveillance et la réaction par l’équipage et
qu’il permet de classer « majeurs » les effets de ce danger ;
considérant que cet incident pose question sur les hypothèses de temps
de réaction d’un équipage prises en compte lors de la certification de
l’avion pour contrer un tel dysfonctionnement ;
considérant que les autorités conjointes, à l’origine du JATR publié
à la suite des accidents de Boeing 737-Max survenus en Indonésie et
en Éthiopie ont également questionné le présupposé selon lequel
l’équipage de conduite surveille constamment les automatismes et est
prêt à réagir immédiatement en cas de dysfonctionnement ;
La FAA, en liaison avec Boeing, réévalue l’étude de sécurité relative aux

conséquences de l’utilisation par le FCC d’une information erronée non
détectée en provenance de l’ADIRU afin notamment de vérifier le niveau
de gravité associé et de s’assurer, sur la base d’événements en service,
que l’objectif de sécurité est atteint.
[Recommandation FRAN 2021-013]
4.2 Surveillance interne à l’ADIRU et activation de l’alarme IRS FAULT

La définition des critères de déclenchement de la panne DRIFT ANGLE, facteur
déclencheur de l’alarme IRS FAULT, est telle que cette dernière ne peut apparaître que
tardivement par rapport au début du dysfonctionnement du module IR de l’ADIRU.
En effet, un écart de plus de 60° entre le cap et la route constitue une différence
significative.
L’AAIB avait souligné également ce délai significatif entre le début du
dysfonctionnement de l’ADIRU et l’apparition de la panne DRIFT ANGLE dans son
rapport d’enquête concernant l’incident grave du Boeing 737-800 immatriculé EI-GJT
survenu le 9 octobre 2018 en croisière.
97
En outre, en cas de défaillance de l’ADIRU semblable à celle rencontrée au cours de
ce vol, cette différence ne sera pas systématiquement atteinte. Cela implique que
ce type de dysfonctionnement de l’ADIRU peut ne pas être détecté par certains
systèmes utilisateurs des données fournies par l’ADIRU qui continueront par
conséquent à les utiliser.
De même, le message de panne DRIFT ANGLE ne pourra pas être émis en phase
d’approche finale puisque la vitesse sol de l’avion sera inférieure à 200 kt.
considérant que l’alarme IRS FAULT apparaît tardivement par rapport
au début du dysfonctionnement du module IR de l’ADIRU et que des
données erronées de l’ADIRU peuvent continuer à être utilisées par
certains systèmes bord ;
Boeing reconsidère les critères de déclenchement du message de panne

DRIFT ANGLE de l’ADIRU et de l’alarme IRS FAULT associée, afin d’éviter
d’une part l’utilisation de données inertielles erronées par les systèmes et
d’autre part de permettre une réaction en temps opportun de l’équipage de
conduite.
[Recommandation FRAN 2021-014]
4.3 Procédures de report de pannes par les équipages de conduite de la

compagnie Royal Air Maroc
L’enquête a fait ressortir un report non systématique, dans les TLB, de problèmes
techniques rencontrés par les équipages de conduite. Cela concerne à la fois les
problèmes liés aux disparitions de F/D, les déconnexions inopportunes d’A/P et les
dysfonctionnements de l’ADIRU.
Le vol de l’événement ne fait pas exception. En effet, seule l’information « L IRS
FAULT » a été mentionnée dans le TLB. L’apparition des messages de panne FMC, les
multiples désengagements A/P et disparitions des F/D, ainsi que l’activation du voyant
AUTOBRAKE DISARM n’y figuraient pas. L’enquête a permis d’identifier qu’un report
sur le TLB, après l’atterrissage à Lyon, du message FMC VERIFY POS : IRS-IRS survenu
en vol, aurait pu permettre à la maintenance en ligne de constater que la vitesse sol
résiduelle enregistrée à la fin du vol de l’événement était de 187 kt, ce qui nécessitait
le remplacement de l’ADIRU (erreur de vitesse sol résiduelle supérieure à 21 kt).
Un report systématique des défauts et des anomalies rencontrées par les équipages
de conduite est nécessaire pour que la maintenance puisse corriger les problèmes
ou en cas de panne intermittente, surveiller leur évolution, comme le prévoit les
procédures du constructeur.
98
considérant que le report non systématique des dysfonctionnements
techniques par les équipages ne facilite pas l’identification et le
traitement de pannes intermittentes;
La compagnie Royal Air Maroc mette en œuvre les dispositions nécessaires

pour que les dysfonctionnements techniques observés en vol soient
systématiquement reportés sur les documents prévus à cet effet.
[Recommandation - FRAN 2021-015]
4.4 Traitement des pannes intermittentes à la compagnie Royal Air Maroc

L’enquête a montré que les dysfonctionnements liés au RA 2, observés durant le vol
de l’incident, étaient des pannes intermittentes et qu’elles perduraient sur le CN-ROJ
depuis au moins six mois.
Boeing demande aux exploitants de mettre en place une politique de traitement
des pannes intermittentes et un suivi particulier de ces pannes sur plusieurs vols
consécutifs. Il est en outre possible d’accéder aux pannes enregistrées par les
calculateurs principaux au travers du CDU, après un vol, même si celles-ci ne sont
plus actives au sol.
considérant que Boeing laisse à l’opérateur le choix de la stratégie de
résolution des pannes intermittentes ;
considérant la persistance de pannes intermittentes qui ont contribué à
cet incident grave ;
La compagnie Royal Air Maroc renforce sa politique en matière de traitement

des pannes intermittentes.
4.5 Pratique de la compagnie lors d’interceptions de l’ILS

Le FCOM précise que, pour une approche ILS, l’équipage de conduite doit afficher les
fréquences Localizer, côté PF et côté PM, avant l’IAF ou bien avant le début du guidage
vers l’axe d’approche finale en cas de guidage radar. Il indique que l’affichage de
fréquences différentes sur les deux récepteurs VHF NAV peut entraîner une différence
d’affichage des F/D gauche et droit et affecter les opérations de l’A/P engagé.
À l’opposé, une pratique de la compagnie consiste à garder l’affichage du VOR
côté PM jusque l’interception du GLIDE lors d’une approche ILS afin de pouvoir
vérifier le positionnement de l’avion par-rapport à l’aérodrome ainsi que le virage
d’anticipation d’alignement sur le LOC et confirmer la capture du bon signal Glide
dans le cas où l’ILS n’est pas DME. Cette pratique a pour conséquence d’entraîner
la disparition, de ce côté, du F/D en roulis au moment de l’engagement du mode
VOR/LOC et du F/D en tangage au moment de l’engagement du mode Glideslope (G/S).
L’affichage d’une fréquence VOR sur un des panneaux de commande des moyens de
radionavigation empêche par ailleurs l’engagement des deux A/P, nécessaire pour
les approches CAT III.
99
En outre, cette pratique peut créer une accoutumance des équipages au phénomène
de disparition des F/D et ne plus donner lieu à un report systématique dans le TLB alors
que, comme le montre cette enquête, ces disparitions peuvent être la conséquence
de problèmes techniques nécessitant l’intervention de la maintenance.
pour que les procédures d’interception de l’ILS n’engendrent pas de
disparitions de directeurs de vol (F/D) et n’affectent pas les opérations
du pilote automatique (A/P) engagé ;
La compagnie Royal Air Maroc clarifie sa position sur la procédure

d’interception ILS et les pratiques de certains équipages, et en cas d’écarts
avec la procédure du constructeur, que les conséquences opérationnelles de
ces écarts soient documentées et leurs effets sur la sécurité des vols étudiés.
5 - ENSEIGNEMENTS DE SÉCURITÉ
5.1 Application des procédures de traitement de panne par les équipages
L’enquête a montré que l’équipage de conduite n’avait pas « appelé » la check-list
appropriée et a effectué de mémoire un des items de celle-ci. L’équipage n’a par
ailleurs pas effectué de bilan technique et opérationnel tel que demandé par le
manuel d’exploitation.
En cas de panne, sauf cas d’urgence et selon les circonstances, l’application
exhaustive de la procédure de traitement de la panne reste le moyen le plus adapté
de poursuivre le vol en toute sécurité, tout en ayant traité les conséquences directes
et indirectes de la panne.
5.2 Entraînement des pilotes au pilotage manuel sans F/D en approche

ILS avec déconnexion subie de l’A/P
Les études de sécurité se basent sur le fait que les pilotes sont entraînés pour surveiller
la trajectoire de l’avion, sa vitesse, son altitude et corriger toute déviation par rapport
au plan de vol prévu.
Le passage en pilotage manuel pour une approche finale, de façon non anticipée,
correspond à une difficulté supplémentaire pour un pilote. En effet, il ne dispose
pas de temps en pilotage manuel pour calibrer ses mouvements sur le manche,
c’est-à-dire les ajuster à la force et l’amplitude requises pour corriger les écarts de
trajectoire. De plus, l’absence d’affichage d’une information de positionnement VOR
côté PM peut créer un positionnement plus difficile pour le pilote avant l’interception
de l’ILS et un temps de réaction plus long en cas de dysfonctionnement de l’A/P
lors de l’interception du Localizer ou du Glide.
Les entraînements récurrents au simulateur au pilotage manuel subi sans F/D pour
les approches ILS doivent permettre de s’y préparer, en incluant une déconnexion
intempestive de l’A/P à différents moments de l’approche finale, dont l’interception
du Glide.
100
5.3 Suivi des procédures lors de la maintenance en ligne
À l’issue du report par l’équipage de la survenue de la panne « L IRS FAULT »
le technicien de maintenance à Lyon-Saint Exupéry, n’a pas effectué la recherche de
panne pourtant demandée dans la documentation technique et aux procédures de
maintenance approuvées, fournies par la compagnie.
La maintenance en ligne, effectuée par un technicien qualifié, employé par une
société agréée Part 145, permet une recherche de pannes conforme aux procédures
de maintenance approuvées. La maintenance en ligne est un maillon important dans
la chaîne de la sécurité aérienne.
5.4 Mise à jour de la documentation opérationnelle

Le message d’alerte IRS-L DRIFT n’existait pas dans la documentation opérationnelle
à disposition de l’équipage du CN-ROJ. Ce message avait été introduit dans le
FMC version U11 installée sur l’avion en mars 2016, soit neuf mois avant l’incident.
La compagnie Royal Air Maroc n’avait pas notifié Boeing du début de l’installation du
nouveau logiciel sur sa flotte Boeing 737 et de ce fait ne bénéficiait pas d’une mise
à jour temporaire de la documentation opérationnelle pour les avions concernés au
fur et à mesure de l’installation du nouveau logiciel.
C’est la raison pour laquelle la documentation opérationnelle de la RAM ne contenait
pas, au moment de l’incident, de référence au message d’alerte IRS-L DRIFT.
La documentation a été mise à jour en octobre 2017 lorsque la compagnie RAM a
informé Boeing de la fin de l’installation de la version U11 du FMC sur sa flotte B 737.
Il est important que les compagnies s’assurent que les procédures internes soient en
place pour que toute modification de logiciel à bord d’un avion soit intégrée sans
délai dans la documentation opérationnelle de celui-ci.
6 - MESURES PRISES PAR LA COMPAGNIE ROYAL AIR MAROC

À la suite de cet incident grave du 30 décembre 2016, une réunion du comité Qualité,
Sûreté & Sécurité (CQSS) de RAM a eu lieu le 27 janvier 2017 pour analyser l’événement
et décider des actions correctives à mettre en place.
L’équipage concerné par l’événement a pu bénéficier, entre autres, des actions
suivantes :
Un rafraîchissement Module Facteurs Humains sur plusieurs thématiques dont le
respect des procédures.
Deux sessions de simulateur de quatre heures chacune avec entraînement
à la panne IRS FAULT et pilotage manuel en IMC sans F/D en insistant sur le
fonctionnement des IRS et des procédures associées.
De plus, l’entraînement à la panne IRS FAULT suivi d’une approche en pilotage manuel
en IMC sans F/D été inséré dans le cycle de formation triennal de l’ensemble des
pilotes de la compagnie.
101
ANNEXES
Annexe 1
Retranscription des échanges radiotéléphoniques
Annexe 2
Planches de paramètres QAR
Annexe 3
Check-List QRH « IRS FAULT »
Annexe 4
Extrait Policy Manual de la RAM
Réaction et traitement d’une situation anormale
Annexe 5
Procédure « FMC Navigation Check »
102
ANNEXE 1
Retranscription des échanges radiotéléphoniques
Transcription d’enregistrement ATC
AVERTISSEMENT
Ce qui suit représente la transcription des éléments qui ont pu être compris au cours de
l'exploitation de l’enregistrement des communications radios d’un ou des organismes de
contrôle (ATC).
L'attention du lecteur est attirée sur le fait que l'enregistrement et la transcription
d'un enregistrement ATC ne constituent qu'un reflet partiel des événements. En
conséquence, l'interprétation d'un tel document requiert la plus extrême prudence.
GLOSSAIRE
Temps UTC Origine : Enregistrement ATM
[xxx] Contrôleur de la fréquence utilisée [TWR].
() Les mots ou groupes de mots placés entre parenthèses n’ont pu être établis
avec certitude
(*) Mots ou groupes de mots non compris
102
103
Modèle de rapport type OACI
Temps UTC CN-ROJ (RAM 780 S) Organismes de contrôle Remarques, bruits

10h00min38 Début de transcription
10h01min05 [PARIS]: Air Maroc 780S, maintain FL110,

contact Orly 123.875, bye
10h01min24 Orly, Air Maroc 780S bonjour, descending FL110,
Information N
10h01min33 [ORLY]:RAM 780S, good day, descent FL 100,
hold at ODILO, expected approach time 15
10h01min40 Descend 100, hold ODILO, expecting approach time
15, Air Maroc 780 S
10h07min04 [ORLY]: Air Maroc 780 S, fly heading 020,

vectoring ILS RWY 06
10h07min11 (*) Maroc 780S and heading 020 , by left Air Maroc
780 S
10h08min09 [ORLY]: Air Maroc 780S, descend FL70
10h08min14 Descend 70, Maroc 780 S
10h08min16 [ORLY]: RAM 780S, RVR 400 m
10h08min24 Copied Maroc 780S
10h09min13 [ORLY]: Air Maroc 780S, turn 10° right
10h09min18 10° by the right, Air Maroc 780S
10h09min20 [ORLY]: Air Maroc 780S, contact Orly Approach,
124.450, bye
10h09min24 124.450, Air Maroc 780S, bye
10h09min34 Orly Approach, Air Maroc 780S, bonjour, descending
70
10h09min38 [ORLY APP]: 780S bonjour, descend 5000 ft,
1038 and intercept Localizer 06
10h09min47 And for your information, I need you to fly 020 for
the interception
10h09min56 Descent 5000 ft, QNH 1038, on heading 020 then to
intercept Localizer RWY 06, Air Maroc 780S
- 103 -
104

10h11min05 [ORLY APP]: RAM 780S, speed back 180 kts
please
10h11min09 Speed 180 kts RAM 780S
10h11min55 [ORLY APP]: RAM 780S, please speed back 160
kts
10h11min59 Speed 160, Maroc 780S
10h12min01 [ORLY APP]: For your information 780S, you took
the message of the 640E when you (*)
10h12min24 [ORLY APP]: Maroc 780S, you are not on the
Localizer, confirm?
10h13min13 [ORLY APP]: Maroc 780S, 160 kts
10h13min16 160 kts, Air Maroc 780S
10h13min38 [ORLY APP]: Maroc 780S, confirm you are
established
10h13min41 Affirm Maroc 780S
10h13min43 [ORLY APP]: Maroc 780S, 160 kts Tower 118.7,
au revoir
10h13min46 160 kts, 118.7 Maroc 780S
10h13min51 Orly Tower, Maroc 780S, bonjour
10h14min03 [ORLY TWR]: Maroc 780S bonjour, report 5 miles
final RWY 06, wind calm, RVR 375
10h14min12 Call you 5 miles RWY 06, Air Maroc 780S
10h14min37 780S, confirmed we are cleared for ILS
10h14min40 [ORLY TWR]: Maroc 780S, negative report 5
miles final RWY 06
10h14min46 And we descent to 4000 ft, Air Maroc 780S
10h14min50 [ORLY TWR]: Yes you are cleared to the ILS CAT
3 approach
10h14min54 Cleared ILS RWY 06 CAT3, Air Maroc 780S
10h16min37 Air Maroc 780 S, category 3 unable and requesting
go around Air Maroc 780 S
10h16min45 [ORLY TWR]: Maroc 780S copied, call you back
soon
10h16min48 OK
10h16min53 [ORLY TWR]: Maroc 780S, stop descent 2000 ft
- 104 -
105

10h16min58 Confirm we descent to 2000 ft, Air Maroc 780S?
10h17min02 [ORLY TWR]: You stop the descent at 2000 ft,
you maintain 2000 ft reaching
10h17min06 We will maintaining 2000 ft, Air Maroc 780S
10h17min31 Air Maroc 780S, requesting clearance to Lyon
10h17min36 [ORLY TWR]: You want to divert to Lille?
10h17min39 To Lyon, Air Maroc 780S
10h17min42 [ORLY TWR]: Ly..?
10h17min43 (*) Lima Lima
10h17min45 [ORLY TWR]: That is copied, direct climb now
altitude 4000 ft
10h17min50 Climb now 4000 ft Air Maroc 780S
10h17min53 [ORLY TWR]: Maroc 780S turn right heading 160
10h17min56 Turn right heading 160 Maroc 780S
10h18min00 [ORLY TWR]: RAM780S, confirm you stop the
descent at 2000 ft?
10h18min08 Air Maroc 78...
10h18min42 [ORLY TWR]: Maroc 780S contact 124.450 the
Approach
10h18min47 124.450 Maroc 780S, bye bye
10h18min59 Orly Approach Air Maroc 780S, rebonjour, climbing
4000 ft, on heading 160
10h19min06 [ORLY APP]: 780S bonjour, confirm you want to
divert?
10h19min11 Affirm Maroc 780S, our destination is LFLL
10h19min17 [ORLY APP]: Oui Lyon, ok copied, I call you back
10h19min28 [ORLY APP]: RAM780S for the moment you turn
right direct to UDILO and you climb FL 70
10h19min38 To UDILO by the right, climb 70, Maroc 780S
10h19min53 [ORLY APP]: RAM780S, are you sure you want to
divert now or do you want the MET report of Lyon
before?
10h20min03 We want to divert to Lyon, Air Maroc 780S
10h20min05 [ORLY APP]: Ah you are sure, you want to divert
to Lyon and you know now?
- 105 -
106

10h20min10 Affirm Maroc 780S
10h20min12 [ORLY APP]: Copied. In this case, make 360s by
the... continue present heading, continue heading
180 and climb FL70
10h20min24 Confirm heading 180 and climb 70 Maroc 780S
10h21min32 [ORLY APP]: RAM 780S climb FL130, heading
South
10h21min36 Climb 130, heading South, Air Maroc780S
10h21min45 [ORLY APP]: Maroc 780S, direct LESPI
10h21min49 Direct LESPI, Air Maroc 780S
10h21min51 [ORLY APP]: Négatif, LESPI, Lima Echo Sierra
Papa India
10h21min54 Lima Echo Sierra Papa India, Air Maroc 780S
10h22min36 [ORLY APP]: Maroc 780S, contact Paris 135.405,
au revoir
10h22min41 135.405, Air Maroc 780S, bye bye
10h22min50 Paris Bonjour, Air Maroc 780S, climbing FL 130 to
LESPI
10h22min56 [PARIS]: Marocair 780S bonjour, climb FL 190 to
LESPI
10h23min03 190 to LESPI Air Maroc 780S
10h25min20 [PARIS]: Marocair 780S, say estimated time of
arrival to Lyon please
10h25min27 Call you back Air Maroc 780S
10h26min10 780S, may we have the runway in use at Lyon?
10h26min14 [PARIS]: I call you back
10h26min15 Merci madame
10h26min58 [PARIS]: Marocair 780S, continue climb FL 250,
runway in use RWY 35 in Lyon
10h27min05 35 in use, continue climb 250 Maroc 780S
10h29min14 [PARIS]: Please Marocair 780S, can you give me
the estimated time of arrival Lyon please?
10h29min26 Call you back Air Maroc 780S
10h30min48 Air Maroc 780S, we estimating LESPI at 1056
10h30min54 [PARIS]: Roger and arrival please?
- 106 -
107

10h31min00 Fifteen minutes later
10h31min01 [PARIS]: Roger
10h34min45 [PARIS]: Marocair 780S direct TALAR
10h34min49 Direct TALAR, RAM 780S
10h37min07 [PARIS]: Marocair 780S, descent FL200
10h37min11 Descent 200, Air Maroc 780S
10h40min09 [PARIS]: Marocair 780S, contact Marseille
123.805, bye bye
10h40min15 123.874, au revoir madame
10h40min17 [PARIS]: Negatif, frequency 123.805
10h40min21 123.805 Air Maroc 780S, bye bye
RAM 780 S en contact avec Marseille
10h45min33 L'Approche Air Maroc 780S, descending FL 120 to

VNE
10h45min40 [LYON APP]: RAM 780S, bonjour descent FL90,
vector ILS 35 R, Information Kilo
10h45min54 Descent 90, expect vectoring ILS 35R, Air Maroc
780S
10h48min41 [LYON APP]: RAM 780S, continue present
heading, descent FL 70
10h48min49 Descent 70 on present heading, Air Maroc 780S
10h53min10 [LYON APP]: RAM 780S, descent FL 60
10h53min14 Descent 60, Air Maroc 780S
10h54min12 [LYON APP]: RAM 780S, say heading
10h54min16 Heading 143, Air Maroc 780S
10h54min19 [LYON APP]: Roger, RAM 780S, turn left heading
130, descent 5000 ft, QNH 1038
10h54min26 At left 130, descent 5000 ft, QNH 1038, Air Maroc
780S
10h56min11 [LYON APP]: RAM 780S, descend 3000 ft, QNH
1038
10h56min16 Descent 3000 ft, QNH 1038, Air Maroc 780S
- 107 -
108

10h57min13 [LYON APP]: Air Maroc 780S, turn left heading
100 and reduce speed 210
10h57min20 Reduce speed 210, by the left heading 110, Air
Maroc 780S
10h58min23 [LYON APP]: Royal Air Maroc 780 S, turn left
heading 020, cleared ILS 35 R
10h58min28 Turn left heading 020, cleared ILS 35 R, Air Maroc
780 S
10h59min27 [LYON APP]: Air Maroc 780 S, reduce 180 kts, À cet instant, l'aéronef
and Tower 120.450, bye bye vire à droite et quitte
l'axe du Localizer
10h59min33 One... 170 kts, 120.450, Air Maroc 780 S, bye
10h59min45 TWR, Royal Air Maroc 780 S, bonjour
10h59min49 [LYON TWR]: Bonjour, Maroc 780 S.
10h59min51 [LYON APP]: Royal Air Maroc 780 S?
10h59min51 [LYON APP]: RAM 780 S?
10h59min52 Maroc 780 S, on final RWY 35 R En arrière-plan,
alarme "Wail"
(déconnexion AP)
10h59min58 Maroc 780 S, going around
11h00min01 [LYON TWR]: Maroc seven zero..., Maroc 70S, for
me you are not at all on LOC RWY 35R. You are on
heading...maybe you are turning, but you are like
1 NM East of the axis
11h00min16 Copied Air Maroc 780 S
11h00min23 [LYON TWR]: Maroc 780S, you are going the
good direction, report maybe insight of the field but
the weather is not very good. You got overcast 500
ft, report if any visual on the field otherwise we
have to make another approach
11h00min39 We will make another approach Air Maroc 780S
11h00min42 [LYON TWR]: Ok in that case, climb 5000 ft, QNH
1038, 5000 ft on heading 360.
11h00min50 Confirm (*) on heading 360, Air Maroc 780S
11h01min17 [LYON TWR]: Maroc 780S for another approach,
contact Radar on 125.425
- 108 -
109

11h01min22 125.45, Maroc 780S
11h01min35 Lyon, Royal Air Maroc 780 S, bonjour En arrière-plan,
alarme "Wail"
(déconnexion AP)
11h01min38 [LYON APP]: Bonjour RAM 780S, turn right
heading 090 for another radar vectoring ILS 35 R
11h01min47 Turn right heading 090, Air Maroc 780S
11h02min08 [LYON APP]: Air Maroc 780S, you can descent
4000 ft now, QNH 1038
11h02min14 Descent 4000ft, QNH 1038, Air Maroc 780S
11h02min18 [LYON APP]: Affirm, could you confirm your
speed please?
11h02min22 Within 180 kts, Air Maroc 780S
11h03min01 Air Maroc 780S, we need an...on demande un cap Remarque: stress
d'approchement dans la voix du
copilote
11h03min07 [LYON APP]: Pas de problème RAM 780S, turn
right heading 180
11h03min12 180, Air Maroc 780S
11h03min17 [LYON APP]: RAM 780S, you want the shortest
approach you can have, confirm?
11h03min39 [LYON APP]: Air Maroc 780S turn right heading
200
11h03min42 200, Air Maroc 780S
11h04min18 Confirm Air Maroc 780S (*) please
11h04min20 [LYON APP]: Affirm RAM 780S, now you can
descent 3000 ft, 3000 ft, QNH 1038.
11h04min29 3000 ft QNH 1038, Air Maroc 780S
11h04min38 [LYON APP]: Air Maroc 780S?
11h04min41 780 S, go ahead
11h04min42 [LYON APP]: 780 S, turn left heading 180 to be
correctly... to intercept correctly, heading 180 by
the left please
11h05min42 [LYON APP]: RAM 780S, turn right heading 240
11h05min49 Heading 240, Air Maroc780S À partir de cet instant,
les messages entre
- 109 -
110

l'équipage et Lyon APP
sont émis par le CdB
11h06min32 [LYON APP]: RAM 780S, turn right heading 320,
cleared ILS 35 R
11h06min39 Right heading 320, cleared ILS 35R, Air Maroc 780S.
11h07min30 Air Maroc 780S, request radar vector
11h07min34 [LYON APP]: You intercept now, it's the heading
to intercept the ILS. Do you have the frequency?
11h07min39 We have 111.5 but we have problems of positioning
11h07min44 [LYON APP]: But the heading now normaly, you
will have the glide in 2 NM, at heading 355
11h07min51 We will set heading 355, RAM 780S
11h08min15 [LYON APP]: RAM 780S, did you catch the glide
now?
11h08min20 We catch the LOC and coming for the glide, RAM
780S
11h08min24 [LYON APP]: Exactly 780S
11h08min30 We continue manually RAM 780 S En arrière-plan,
alarme "Wail"
(déconnexion AP)
11h08min35 [LYON APP]: You mean visual?
11h08min37 Negative, we continue manually...heu confirmez si
on est sur le bon glide et le bon LOC.
11h08min43 [LYON APP]: Moi je ne peux pas vous confirmer
ça, si vous recevez l'ILS 35 R, la fréquence c'est
111.5, donc normalement vous devriez êtes sur le
glide et en l'occurrence ça a l'air d'être bon là
11h08min55 Bien reçu on continue RAM 780S
11h08min58 [LYON APP]: Est-ce que vous avez au moins la
vue du sol?
11h09min00 Négatif pour le moment
11h09min01 [LYON APP]: D'accord. Vous voulez poursuivre
sur l'ILS, vous avez tout, le LOC, le glide ou on
remet les gaz? Qu'est-ce-que vous souhaitez faire?
11h09min05
- 110 -
111

11h09min07 Continuer manuellement et on continue sur le LOC
et le glide
11h09min09 [LYON APP]: D'accord RAM 780S. Dans ce cas,
contactez la Tour 120.450, au revoir Monsieur
11h09min16 Cent cinquante, au revoir
############## Déclenchement d'une alarme MSAW d'une durée de 8 à 12 secondes ##############
11h09min48 Tower Air Maroc 780S bonjour À partir de cet instant,

les messages entre
l'équipage et Lyon
TWR sont émis par le
copilote
11h09min51 [LYON TWR]: Maroc 780S bonjour. Do you have
visual on the runway?
11h09min56 Not yet Air Maroc 780S, confirm we are... we are... En arrière-plan
Alarme GPWS "Sink
rate, Sink rate"
11h10min02 Go around Air Maroc...
11h10min04 [LYON TWR]: Maroc 780S, the lights are on the
strongest possible, you are 2NM from threshold 35
R, report visual on the runway or the approach
lights
11h10min14 (Tower) continue landing Air Maroc 780S
11h10min22 Poursuit manoeuvering, Maroc 780S
11h10min24 [LYON TWR]: Say again
11h10min26 (Continue) manoeuvering Air Maroc780S
11h10min29 [LYON TWR]: Ok you have visual on the approach
lights on the runway?
11h10min32 Contact ground three five right
11h10min34 [LYON TWR]: Ok cleared to land 35 R, wind calm
11h11min31 Now vacate the runway Air Maroc 780S
11h11min33 [LYON TWR]: Maroc 780S, clear to cross runway
35 L via B4
11h11min38 Cross 35L via B4, Air Maroc 780S
- 111 -
112

11h12min08 [LYON TWR]: 780 S so just for our information,
the ... you could not follow the glide and the
localizer on automatic, the aircraft was not able to
do that anymore?
11h12min18 Affirm Air Maroc 780S
11h12min20 [LYON TWR]: Ok. Is everything okay for you, do
you need something?
11h12min24 Thank you very much Air Maroc 780S
11h12min26 [LYON TWR]: You welcome Sir, contact ground
121.825
11h12min29 121.825, Air Maroc 780 S bye bye
11h11min46 Fin de transcription
- 112 -
113
ANNEXE 2
Planches de paramètres QAR
Figure 14 : Approche Orly - Longitudinal
114
Figure 15 : Approche Orly - Latéral
115
Figure 16 : Première approche Lyon - Longitudinal
116
Figure 17 : Première approche Lyon - Latéral
117
Figure 18 : Deuxième approche Lyon - Longitudinal
118
Figure 19 : Deuxième approche Lyon - Latéral
119
Figure 20 : Deuxième approche Lyon - alarmes EGPWS
120
ANNEXE 3
CHECK-LIST « IRS FAULT » - Extrait du QRH version 4.3.1
Note du BEA : les items 1 à 5 de la check list « IRS FAULT » concernent la survenue de la
Note du BEA : les items 1 à 5 de la checkpannelistau« sol
IRS FAULT » concernent la survenue de la panne
Note du BEA : les items 1 à 5 de la check list « IRS FAULT » concernent la survenue de la
au sol. panne au sol
- 122 -
- 122 -
121
- 124 -
122
ANNEXE 4
Extrait Policy Manual de la RAM - Réaction et traitement d’une situation anormale
- 127 -
123
ANNEXE 5
Procédure « FMC Navigation Check »
124
Bureau d’Enquêtes et d’Analyses
pour la sécurité de l’aviation civile
10 rue de Paris
Zone Sud - Bâtiment 153
Aéroport du Bourget
93352 Le Bourget Cedex - France
T : +33 1 49 92 72 00 - F : +33 1 49 92 72 03
www.bea.aero

Bea2017 0003

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Bea2017 0003

Transféré par

Droits d'auteur :

Formats disponibles

www.bea.

Copyright : Andrea Giribuola / jetphotos.com BEA2017-0003/Novembre 2021

Le BEA est l’autorité française d’enquêtes de sécurité de l’aviation civile. Ses

Les enquêtes du BEA sont indépendantes, distinctes et sans préjudice de toute

LES ENQUÊTES DE SÉCURITÉ 2

5 - ENSEIGNEMENTS DE SÉCURITÉ 100

6 - MESURES PRISES PAR LA COMPAGNIE ROYAL AIR MAROC 101

A/P Autopilot Pilote automatique

A/T Auto Throttle Automanette

ADIRS Air Data Inertial Reference System

IAF Initial Approach Fix Repère d’approche initiale

ILS Instrument Landing System Système d’atterrissage aux instruments

IR Inertial reference Informations de référence inertielles

POS : IRS-IRS est émis

À 10 h 15 min 36, l’équipage sélectionne l’altitude de remise de gaz de 2 000 ft

Figure 1 : Trajectoire d’approche à Paris-Orly

descendre au FL 90 puis quelques minutes plus tard à 3000 ft et effectue un guidage

1.2 Tués et blessés

1.3 Dommages à l’aéronef

1.4 Autres dommages

Expérience en tant qu’OPL

1.5.2 Renseignements sur le personnel des services de contrôle de la circulation

1.5.2.2 Assistant LOC

1.5.2.3 Contrôleur INI (contrôleur approche)

1.6 Renseignements sur l’aéronef

1.6.2 Descriptions des systèmes

Figure 3: Tableaux de commande et d’affichage (CDU)

Le FMC détermine la position de l’avion à partir des informations de position

1.6.2.1.3 Checklist FMC/CDU Alerting messages

Figure 4 : Voyant « FMC Push to Reset » lié aux messages FMC

1.6.2.2 Centrales aérodynamiques et inertielles (ADIRU)

1.6.2.2.3 Alarme IRS FAULT

Dans ce cas, la procédure consiste notamment à positionner le sélecteur IRS

La procédure propose dans le cas où un vol en palier rectiligne et stable est

Le Boeing 737-800 est équipé de deux calculateurs de commande de vol :

Figure 7: Barres de tendances du directeur de vol - couleur magenta

1.6.2.3.2 Interface FCC – ADIRU

Comme le montre le tableau ci-dessus, en fonctionnement normal, les FCC utilisent,

1.6.2.3.3 Interface FCC – Récepteurs VHF NAV (VOR et ILS)

La logique de fonctionnement de la liaison FCC – Récepteurs VHF NAV est décrite

1.6.2.4 Système de freinage automatique

Le système de freinage automatique permet d’atteindre automatiquement, lors de

1.6.2.4.2 Alarme AUTOBRAKE DISARM

Lorsque l’équipage sélectionne un niveau de freinage automatique pour

1.6.2.4.3 Checklist AUTO BRAKE DISARM

1.6.2.5 Système avertisseur de proximité du sol (EGPWS)

1.6.2.5.3 Checklist EGPWS GLIDESLOPE / SINK RATE / TOO LOW TERRAIN

1.6.3.2 Dernières opérations d’entretien

d’entretien de l’avion a fait apparaître que : compte rendu

Le rôle du Centre de contrôle de maintenance (MCC) de la RAM est décrit dans la

1.6.3.4.2 Rôle et actions du technicien de maintenance en ligne

À la suite du vol de l’événement, la maintenance en ligne a été assurée par un

1.6.3.5.2 Procédure IR Failure – Fault Isolation FIM 34-21 tâche 803

Cette procédure débute par l’évaluation initiale de la panne et la résolution

Copyright © Boeing. Used with permission.

Figure 10 : Menu principal du test ADIRS BITE - extrait documentation Boeing

1.7 Renseignements météorologiques

1.7.2 Informations reçues par l’équipage

1.7.3 Conditions météorologiques régnant à destination et au dégagement

1.7.3.2 Situation météorologique à Lyon-Saint Exupéry (dégagement de Paris Orly)

METAR de 10 h 30 : Auto vent 120/05 kt CAVOK température 4 °C QNH 1037 NOSIG.

1.7.3.3.2 Situation météorologique à Marseille Provence

Les METAR émis entre 10 h 30 et 12 h indiquaient un vent du 340°/6 kt, CAVOK,