Programme de surveillance de l’intégrité des systèmes mécaniques d’aéronefs (MSIP)

Date d'entrée en vigueur : le 01 février 2019

Version en vigueur : 2 (révisé le 13 mai 2021)

Référence : MNT, partie 3, chapitre 4, annexe B

BPR/Téléphone : DNAST 7-8 / 819-939-4820

1. Objet

1.1 Le présent avis de l’Autorité de navigabilité technique (ANT) donne des explications et des conseils sur la manière de respecter les exigences du ministère de la Défense nationale (MDN) en ce qui a trait à un Programme canadien de surveillance de l’intégrité des systèmes mécaniques d’aéronefs (MSIP).

2. Applicabilité

2.1 Le présent avis de l’ANT est applicable à tous les aéronefs à voilure fixe et à voilure tournante du MDN. Dans le cas des systèmes aériens sans pilote et des aéronefs loués, il faut demander des directives à l’ANT pour déterminer si le présent avis est applicable.

3. Renseignements connexes

3.1 Définitions

3.1.1 Les définitions de la plupart des termes en lien avec la navigabilité du présent document sont consignées dans le glossaire du Manuel de navigabilité technique (MNT). Les définitions répertoriées ci-dessous ne font pas partie du glossaire du MNT :

1. Système mécanique essentiel à la sécurité : Système mécanique pour lequel une reconnaissance, des performances, une tolérance et un contrôle adéquats sont essentiels au fonctionnement sécuritaire du système et, par conséquent, de l’aéronef. Cette définition comprend les systèmes de secours comme les systèmes d’extinction d’incendie, d’oxygène d’appoint et d’évacuation.
2. Difficulté en service : Toute défectuosité, tout mauvais fonctionnement ou toute défaillance d’un système ou d’un composant d’aéronef qui, si le problème n’est pas corrigé, risque de porter atteinte à la sécurité d’un aéronef, de ses passagers ou de toute autre personne.
3. Défaillance latente : Toute défaillance qui survient sans être détectée ou annoncée.
4. Inflammable : En ce qui concerne un fluide ou un gaz, susceptibilité de prendre feu facilement ou d’exploser.

3.2 Références réglementaires:

1. C‑05‑005‑001/AG‑001 – Manuel de navigabilité technique (MNT);
2. Avis consultatif de l’ANT 2018-01 – Exigences de surveillance de l'intégrité du circuit d'interconnexion du câblage électrique (EWIS) d'aéronef;
3. C-05-005-P12/AM-001 – Manuel des procédés techniques de la division GPEA, Partie 11, Surveillance de la navigabilité et établissement de rapports connexes, Contrôle des documents de navigabilité et de sécurité aérienne (DNSA) dans les organismes de gestion des systèmes d’armes (GSA);

3.3 Références non-réglementaires:

1. The Nimrod Review: An Independent Review into the Broader Issues Surrounding the Loss of the RAF Nimrod MR2 Aircraft XV230 in Afghanistan in 2006, par Charles Haddon-Cave (disponible en anglais seulement);
2. National Transportation Safety Board – Safety Report on the Treatment of Safety-Critical Systems in Transport Airplanes, Safety Report NTSB/SR-06/02 (disponible en anglais seulement);
3. Notes techniques de la DNAST 5 relatives aux inspections des conduites de liquides inflammables sur le CC130J (NT 56‑16‑04, disponible à l’interne, au sein du MDN, au SGDDI de la division de GPEA n^o 1623302) et le CH147F (NT 56‑16‑05, disponible à l’interne, au sein du MDN, au SGDDI de la division de GPEA n^o 1627031) de l’ARC;
4. U.S. Department of Defense Standard of Practice, Mechanical Equipment and Subsystems Integrity Program (MECSIP), MIL-STD-1798C, 8 août 2013 (disponible à l’interne, au sein du MDN, au SGDDI de la division de GPEA n^o 1852224);
5. United Kingdom (U.K.) Defence Safety Authority (DSA), System Integity Handbook Guidance Document in Support of Regulatory Article 5721 (System Integrity Management), v. 7.1 (disponible à l’interne, au sein du MDN, au SGDDI de la division de GPEA n^o 1877300);
6. ATA MSG-3 – Operator/Manufacturer Scheduled Maintenance Development (Volume 1 – Fixed Wing Aircraft), 2015;
7. C-17-010-002/ME-001 – Système d'interconnexion du cablage électrique (EWIS) des aéronefs, volume 1 de 10 (livre 2 de 2);
8. Documents consultatifs sur le dégagement et le support convenables des conduites transportant des liquides inflammables :
   1. C-12-010-040/TR-011 – Procédures normalisées de réparation – Tuyauteries rigides pour fluides, réparation et remplacement
   2. MIL-H-5440H, Requirements for Hydraulic Systems, Aircraft, Design and Installation;
   3. Circulaire d’information n^o 43.13‑1B de la FAA – Acceptable Methods, Techniques, and Practices - Aircraft Inspections and Repair;
   4. Circulaire d’information n^o 25‑8 de la FAA, Auxillary Fuel System Installations.
9. Liste de vérification des exigences de la procédure d’analyse zonale normalisée (SZAP) pour les systèmes mécaniques, créée par le DNAST 7-8, disponible à l’interne, au sein du MDN, au SGDDI de la division de GPEA n^o 1892083
10. Model de Rapport annuel de la navigabilité technique (AAR(Tech)), contrôlé par le DNAST 4, disponible à l’interne, au sein du MDN, au SGDDI de la division de GPEA n^o 500715.

4. Discussion

4.1 Le MNT (référence 3.2.a) décrit les exigences du MSIP prescrit. Cette section de l’avis fournit la justification historique du MSIP, des précisions quant aux systèmes visés par le MSIP et les mesures de la réussite du MSIP.

4.2 Le rapport Haddon‑Cave (référence 3.3.a) relève un certain nombre de facteurs ayant contribué à l’accident du Nimrod de la Royal Air Force (RAF) en 2006. Parmi les principaux facteurs identifiés, on compte les suivants :

1. les personnes concernées présumaient que le Nimrod était sécuritaire puisque ses missions de vol étaient menées avec succès depuis 30 ans;
2. le nombre de fuites signalées au niveau des raccords de carburant avait quadruplé, mais aucune importance n’a été accordée à l’analyse des tendances, de sorte que cette augmentation est passée inaperçue et qu’aucune mesure n’a été prise; 
3. l’analyse de la sécurité du système original présumait qu’une fuite de carburant était improbable; toutefois, 38 événements de ce type survenaient chaque année, ce qui serait considéré comme un problème fréquent;
4. les essais de fonctionnement du système de carburant n’étaient pas effectués sous pression, ce qui diminuait la probabilité de détection d’une fuite pendant la maintenance;
5.  aucun échantillonnage n’a été effectué sur les joints d’étanchéité du système de carburant afin d’y déceler des signes de détérioration malgré les recommandations du constructeur indiquant de les remplacer tous les cinq ans;
6. les manuels de maintenance ne fournissaient pas de directives appropriées sur la manière de remplacer les joints d’étanchéité des raccords de carburant.

Ces lacunes mettent en lumière la façon dont la mise en oeuvre d’un programme de surveillance en service des systèmes mécaniques pourrait améliorer le niveau de sécurité des vols. 

4.3 Un certain nombre d’accidents de l’aviation civile très médiatisés, comme la défaillance du vérin à vis du stabilisateur d’un McDonnell Douglas MD‑80 et la défaillance des servocommandes hydrauliques (PCU) du gouvernail de direction d’un Boeing 737, constituent des exemples de lacunes de conception du système qui ne sont devenues apparentes qu’en service. Le National Transportation Safety Board a publié un rapport (référence 3.3.b) à la suite de ces accidents et de l’explosion d’un réservoir de carburant central d’un TWA 800. L’une des recommandations formulées suggérait l’établissement d’un programme de surveillance et d’évaluation continue des systèmes essentiels à la sécurité pendant la totalité du cycle de vie d’un aéronef.

4.4 Mettre en application les pratiques exemplaires de l’industrie ainsi que les leçons apprises est important pendant la conception, la fabrication et la maintenance. Des problèmes d’acheminement, de fixation et de frottement de conduites de liquide hydraulique ou de carburant ont notamment causé, dans certains cas, jusqu’à la perte d’aéronefs et d’équipages. En 1994, le Sea King CH12425 s’est écrasé; deux membres d’équipage ont été tués et deux autres ont été gravement blessés après qu’un incendie s’est déclaré à bord en raison de la fuite de la conduite de carburant principale du moteur, qui s’est usée par frottement contre une conduite d’évacuation jusqu’à sa perforation (RESV disponible auprès de la DSV). En 1998, l’incendie qui s’est déclaré à bord du Labrador CH11305 et qui a entraîné la perte de l’appareil et de six membres d’équipage a probablement été causé par une usure par frottement de la conduite de carburant principale du moteur n° 2 (RESV disponible auprès de la DSV). En 2012, le Hercules CC130342 a subi un incendie à bord, ce qui a donné lieu à un événement de catégorie A, en raison de problèmes d’acheminement et de fixation de conduites lors d’une modification visant à installer des prises d’essai au sol reliées au système hydraulique auxiliaire (RESV disponible auprès de la DSV). Le frottement du câble d’alimentation du moteur de la pompe hydraulique contre un tuyau souple hydraulique sous pression a provoqué la formation d’un arc électrique entre le câble et le tuyau, ce qui a percé d’un trou d’épingle le tuyau souple et entraîné la fuite du liquide hydraulique sous haute pression et le déclenchement de l’incendie.

4.5 Les flottes relativement récentes de l’ARC ne sont pas à l’abri de tels événements. La référence 3.3.c détaille deux inspections réalisées par le MDN, sur un avion CC130J et un hélicoptère CH147F, lesquelles ont révélé des problèmes liés aux conduites transportant des liquides inflammables. La découverte de ces éléments problématiques pourrait avoir permis de prévenir des accidents futurs pour ces flottes.

4.6 Les États‑Unis et le Royaume-Uni sont deux exemples de pays alliés qui recourent à des programmes de surveillance de l’intégrité des systèmes mécaniques pour leurs aéronefs. Les références 3.3.d et 3.3.e renferment des sources de renseignements sur la façon dont les États-Unis et le Royaume-Uni procèdent à la surveillance de l’intégrité des systèmes mécaniques. Elles sont fournies uniquement à des fins de référence :

1. Le programme MECSIP du DoD (référence 3.3.d) est un programme de surveillance de l’intégrité à grande échelle propre aux systèmes mécaniques et mis en place pour chaque flotte d’aéronefs des États-Unis. L’approche du programme américain MECSIP consiste à créer un processus de gestion et de conception organisé et discipliné de manière à assurer l’intégrité (p.ex., la durabilité, la sécurité, la fiabilité et la soutenabilité) de l’équipement et des systèmes mécaniques lors du développement ainsi qu’à la maintenir pendant toute la durée de vie opérationnelle du système. Le MECSIP couvre la totalité du cycle de vie des aéronefs de la phase de conception à la phase en service, jusqu’aux prolongations de la durée de vie des flottes, le cas échéant, et à leur mise hors service. Pour de plus amples renseignements sur ce que le programme américain MECSIP considère comme un système essentiel à la sécurité, voir référence 3.3.d.
2. La Defence Safety Authority du Royaume-Uni a publié un System Integrity Guidance Handbook (référence 3.3.e) qui couvre tous les systèmes d’aéronefs qui ne sont pas liés aux structures ou à la propulsion. Il s’agit d’un exemple de programme de surveillance des systèmes mécaniques intégré à un programme de surveillance des aéronefs de niveau supérieur. 

4.7 Le programme canadien MSIP vise principalement à réduire la fréquence des difficultés en service des systèmes mécaniques grâce à une maintenance préventive et à une surveillance appropriée de l’état des systèmes. Les inspections de maintenance constituent le principal moyen de détecter la dégradation en service. Le calendrier de maintenance préventive et les tâches d’inspection associées qui y figurent jouent un rôle essentiel dans le maintien du niveau de sécurité établi lors de la certification initiale. Le calendrier et les tâches de maintenance préventive sont d’abord élaborés sans pouvoir tirer profit d’aucune expérience en service; c’est pourquoi il peut s’avérer nécessaire de modifier le calendrier et les tâches de maintenance préventive de manière à refléter l’expérience acquise en service. Des dégradations imprévues et de nouveaux modes de défaillance sont couramment découverts lors de l’expérience en service d’un aéronef et tout au long de sa vie utile.

4.8 Mesures de la réussite du programme MSIP :

1. Adoption de normes de conception appropriées pour la certification initiale et pour les modifications de conception en service des systèmes mécaniques;
2. Intégration des meilleures pratiques aux programmes d’inspection préventive;
3. Capacité de déceler, de suivre et de corriger les tendances de difficultés des systèmes mécaniques en service.

5. Mesure/Méthode de conformité

5.1 Le programme MSIP couvre trois phases du cycle de vie d’une flotte d’aéronefs :

1. la phase d’acquisition initiale des aéronefs
2. la phase en service;
3. la phase de prolongation de la durée de vie prévue (le cas échéant)

5.2 Phase d’acquisition initiale des aéronefs : Lors de l’acquisition de nouvelles flottes d’aéronefs par le MDN, le programme de soutien de la flotte doit comprendre un programme de surveillance de l’intégrité des systèmes mécaniques, soit en tant que programme autonome, soit dans le cadre d’un programme de surveillance plus vaste des systèmes d’aéronefs. Le paragraphe 2 contenu dans l’annexe B de la partie 3, chapitre 4, du MNT définit les systèmes qui sont considérés comme des systèmes mécaniques. Cette liste est reproduite au paragraphe a ci-dessous :

1. Identification des systèmes mécaniques :
   1. Le système de carburant, y compris les réservoirs de carburant, les pompes, les canalisations, etc.;
   2. Le système hydraulique, y compris les réservoirs, les pompes, les canalisations, etc.;
   3. Le système d’oxygène, y compris les réservoirs, les pompes, les canalisations, les régulateurs, etc.;
   4. Le contrôle environnemental;
   5. Les commandes de vol, y compris les poulies, les câbles, les tiges, les points d’attache, etc.;
   6. Les hélices et les pales de rotor;
   7. Pitot statique;
   8. Le mécanisme du train d’atterrissage (aspect non structural);
   9. Les roues, les pneus et les freins;
   10. Le système pneumatique (air d’écoulement, antigivrage ou dégivrage, pressurisation, etc.);
   11. La protection contre l’incendie, les cloisons pare-feu, la détection ou l’extinction, les canalisations, etc.;
   12. Les composants de transmission ou d’entraînement;
   13. L’intérieur de l’aéronef, les sièges, les sièges éjectables et les dispositifs de retenue;
   14. L’équipement de suspension des charges emportées par aéronef (les pylônes, les râteliers, les dispositifs de lancement, les charges non largables, etc.).
2. Le programme de maintenance élaboré lors de l’acquisition de nouveaux aéronefs doit être suffisamment détaillé en ce qui a trait aux systèmes mécaniques d’aéronefs et comprendre l’identification et le suivi des éléments suivants :
   1. les composants et les systèmes essentiels à la sécurité;
   2. les composants à durée de vie limitée;
   3. les exigences appropriées en matière de révision (conformément aux normes et aux techniques approuvées d’analyse de sécurité du système);
   4. les exigences appropriées en matière d’inspection des composants et des zones de l’aéronef;
   5. les programmes de contrôle et de prévention de la corrosion.
3. Conformément au document MSG-3 de l’ATA (référence 3.3.f), le personnel du MDN doit exécuter une procédure d’analyse zonale normalisée (SZAP) avant la livraison du premier aéronef pour confirmer l’installation adéquate des systèmes mécaniques, y compris l’acheminement et le dégagement des canalisations et des raccords. Toute demande de dérogation à cette exigence doit être préalablement approuvée par l’ANT. Le programme de surveillance de l’intégrité qui s’appliquent au système d’interconnexion du câblage électrique (EWIS) (le MNT, (référence 3.2.a), partie 3, chapitre 4, annexe D et l'Avis de l’ANT 2018‑01 (référence 3.2.b)) incluent les exigences relatives à la procédure d'analyse zonale améliorée (EZAP), de sorte qu’une inspection concurrente des systèmes mécaniques et de l’EWIS est fortement recommandée. Les références 3.3.g et 3.3.h fournissent des indications additionnelles sur les conduites transportant des liquides inflammables. La référence 3.3.i fournit, à titre consultatif, une suggestion de liste de vérification pour la procédure d’analyse zonale normalisée du MSIP, qui a été créée par le personnel du DNAST 7-8.

5.3 Phase en service : Conformément au paragraphe 3 de l’annexe B de la partie 3, chapitre 4 du MNT, un programme relatif à l’intégrité des systèmes mécaniques doit être mis en œuvre pendant la durée de vie en service de l’aéronef par le titulaire du certificat de type de chaque flotte. Il est reconnu que le programme de maintenance peut être placé sous le contrôle du gestionnaire des systèmes d’armes (GSA) ou d’un membre du Réseau de soutien des systèmes d’armes (RSSA). Il est aussi reconnu que la surveillance des systèmes mécaniques peut être intégrée à un programme de surveillance plus vaste relatif à une flotte. Les méthodes de collecte des données sont également souples afin de s’adapter aux différentes configurations de maintien en puissance (soutien en service) de la flotte. De façon générale, les éléments suivants doivent faire partie de tout programme de surveillance en service des systèmes mécaniques d’une flotte :

1. Maintenir un programme de surveillance du suivi des composants pouvant détecter rapidement les tendances de difficultés en service;
2. Veiller à ce que le programme de maintenance de la flotte soit mis à jour afin de remédier aux difficultés imprévues en service des systèmes mécaniques. Ces difficultés imprévues en service comprennent :
   1. les défaillances imprévues ou la découverte de nouveaux modes de défaillances, plus particulièrement là où aucune tâche d’inspection n’existe ou que la tâche est inefficace;
   2. les taux de défaillance de composants ou de systèmes qui sont significativement plus élevés que ceux présumés dans l’analyse de sécurité initiale de l’aéronef;
   3. les conséquences inattendues à la suite de telles défaillances, comme les effets en cascade ou les dommages secondaires à d’autres systèmes ou structures;
   4. les défaillances latentes qui influencent la réaction de l’équipage ou son absence de réaction. Afin de réagir en cas de défaillance, l’équipage doit d’abord reconnaître qu’une défaillance est survenue. Une défaillance qui survient sans préavis augmente la gravité du danger dans le cas des fonctions essentielles à la sécurité;
   5. toute autre défaillance inattendue de systèmes mécaniques.
3. Être en mesure d’effectuer efficacement des recherches dans le système de tenue de dossiers électroniques (STDE) de la flotte afin de déceler des tendances de difficultés en service des systèmes mécaniques;
4. Créer et mettre en œuvre des plans de mesures correctives afin d’améliorer la sécurité et l’état de navigabilité des aéronefs en lien avec les systèmes mécaniques d’aéronefs;
5. Quand la situation le permet (p. ex., lors d’une inspection périodique de deuxième échelon à bord de l’aéronef), exécuter une procédure d’analyse zonale normalisée du MSIP conformément au paragraphe 5.2.c du présent avis si la procédure n’a pas été effectuée à l’acquisition de la flotte. Le titulaire du certificat de type devrait veiller à ce que toutes les modifications effectuées lors de la phase en service de la flotte d’aéronefs ne compromettent pas l’installation adéquate des systèmes mécaniques, y compris l’acheminement et le dégagement des canalisations et des raccords, de même que leurs interactions avec les câbles électriques.

5.4 Phase de prolongation de la durée de vie prévue (le cas échéant) : Dans certains cas, il s’avère nécessaire de prolonger la durée de vie prévue d’une flotte d’aéronefs du MDN au-delà de la durée de vie établie au moment de l’acquisition de la flotte. En pareils cas, le constructeur d’origine (OEM) de l’aéronef n’a vraisemblablement pas effectué d’analyse technique des systèmes et des composants de l’aéronef au-delà de la durée de vie prévue d’origine. Les éléments suivants doivent être pris en considération lors de la planification de la prolongation de la durée de vie utile d’une flotte aéronef du MDN :

1. Passer en revue les limites de durée de vie des composants de systèmes mécaniques essentiels à la sécurité dont la mise hors service ou la prolongation de la durée de vie n’était pas prévue précédemment. Lors de la conception de l’aéronef, il est probable que l’OEM a prévu que certains composants essentiels à la sécurité qui ne sont normalement pas remplacés ne subiraient pas de défaillance pendant la durée de vie de l’aéronef et qu’il a en fait assigné comme limite de durée de vie à ces composants la durée de vie prévue en service de l’aéronef. Cependant, dans le cas d’une prolongation de la durée de vie prévue, la durabilité de tous ces composants doit être réévaluée afin de choisir laquelle des options suivantes s’appliquera :
   1. la durée de vie du composant peut être prolongée jusqu’à la nouvelle date de fin de durée de vie prévue;
   2. le composant nécessite la création et la réalisation d’une tâche d’inspection de maintenance afin de déterminer si la durée de vie du composant peut être prolongée jusqu’à la nouvelle date de fin de durée de vie prévue;
   3. le composant nécessite la création et la mise en œuvre d’un nouvel intervalle de remplacement par une nouvelle pièce;
   4. le composant doit être réparé ou révisé afin de demeurer fonctionnel jusqu’à la nouvelle date de fin de durée de vie prévue.
2. Veiller à ce que le programme de surveillance en service de l’intégrité des systèmes mécaniques des aéronefs soit maintenu jusqu’à la fin de la nouvelle durée de vie prévue;
3. Passer en revue les composants qui pourraient devenir désuets ou pour lesquels il n’y aurait plus de pièces de rechange avant la nouvelle date de fin de durée de vie prévue;
4. Déterminer si une révision des critères de certification pour une modification de conception est nécessaire pour la nouvelle durée de vie prévue, puis produire les déclarations de conformité correspondantes;
5. Consulter d’autres pays qui utilisent la même flotte d’aéronefs, dans le cas où ces pays ont effectué une prolongation similaire de la durée de vie prévue ou si leur flotte d’aéronefs est en service depuis plus longtemps que celle du MDN.

5.5 Exigences en matière de rapports sur le MSIP qui incombent au GSA : Les titulaires des certificats de type doivent fournir des mises à jour sur le MSIP dans leur Rapport technique annuel sur la navigabilité (AAR – Tech) en conformité avec les référence 3.2.c et 3.3.j.

5.6 Calendriers de conformité du MSIP : Toutes les flottes devront se conformer aux exigences du Programme canadien de surveillance de l’intégrité des systèmes mécaniques d’aéronefs (MSIP) (référence 3.2.a, partie 3, chapitre 4, annexe B) suivant les détails indiqués dans la lettre envoyée aux ingénieurs de conception principaux par le DNAST 4.