Boeing est-il le seul responsable des crashs du 737 MAX ?

Ecrit le 26 Septembre 2019

‍

Boeing a failli dans la conception de son 737 MAX. Un logiciel de protection du domaine de vol baptisé MCAS a été installé sur l’avion pour compenser un risque de décrochage accru par le repositionnement des moteurs, et celui-ci pouvait se déclencher de manière inappropriée dans certaines conditions de dysfonctionnement des capteurs d’incidence et mettre l’avion en descente, provoquant deux accidents (voir cet article détaillant la situation). Boeing a fait des erreurs impardonnables et deux avions se sont crashés, mais l’image de l’avionneur américain est tellement entachée que tous les autres co-accusés potentiels baissent la tête en espérant passer inaperçus : autorités de sécurité, compagnies aériennes, contrôleurs, écoles de formation, fournisseurs de pièces détachées… Sans vouloir dédouaner ou excuser l’avionneur américain, il est nécessaire de prendre le recul et d’analyser la situation, en prenant en compte les enquêtes et révélations qui s’accumulent et permettent de percevoir plus globalement une réalité moins manichéenne. Les commentaires additionnels ont été rédigés avec l’aide de deux pilotes de Boeing 737 MAX souhaitant conserver l’anonymat.

‍

‍

1) L’article / enquête du New York Times

Le sous-titre de cette très longue enquête enquête (disponible en entier ici) est clair : « une industrie qui met des pilotes non-préparés aux commandes est tout aussi coupable« .

La compagnie Lion Air : « Lion Air est connue pour recruter des pilotes sans expérience -en général tout juste sortis d’école- et les payer pas cher pour un travail dur. Les pilotes […] s’engagent dans l’espoir d’accumuler des heures avant de changer vers une compagnie offrant de meilleures conditions. […] Il y a une réalité connue en aviation : aucun accident n’a lieu sans que des signes précurseurs ne soient perceptibles. Les égratignures et les petites bosses comptent, ils sont les signes d’une mentalité. Et Lion Air en avait beaucoup. »

Commentaire : La compagnie, qui avait déjà connu 6 crashs depuis 2002, avait été interdite de vol aux USA et classée sur la Liste Noire de l’Union Européenne pendant des années (photo ci-dessous du crash d’un autre appareil en 2013).

‍

‍

Les pilotes du vol accidenté : Dès le début de l’enquête, les suspicions se sont concentrées sur le système de compensation du vol Lion Air 610 – et plus spécifiquement sur une situation appelée « runaway trim » dans laquelle le compensateur peut se dérouler et lever ou baisser le nez de l’avion sans raison. […] Une telle défaillance est facilement contrée par les pilotes – d’abord en utilisant les boutons présents sur le manche au niveau des pouces pour compenser le déroulement, puis en déconnectant deux interrupteurs électriques avant de rétablir l’assiette de l’avion grâce à un compensateur manuel. Mais pour une raison inconnue, les pilotes n’ont pas mis en œuvre cette simple solution.«

Nous avions expliqué le fonctionnement de ces systèmes lors d’une séance de simulateur de vol, à voir ici :

‍

‍

La maintenance Lion Air : « L’accident de Lion Air a en réalité commencé 3 jours avant le jour fatal, quand le même appareil -sous différents numéros de vol et avec plusieurs équipages- a affiché des indications d’altitude et de vitesse erronées sur les affichages du commandant (place de gauche). [… Malgré des tentatives de corrections sans effet sur l’origine du problème], les techniciens ont systématiquement remis à zéro le système pour faire disparaître les affichages et autoriser l’avion à redécoller. Deux jours avant l’accident, les techniciens ont également remplacé la sonde d’incidence en réponse à un nouveau message d’erreur. [Mais c’est] une pièce douteuse [qui est installée, et un expert estime qu’]aucun test de bon fonctionnement n’a été réalisé, car les techniciens auraient détecté que la nouvelle pièce était défaillante« .

Remarque : Les affichages de vitesse et altitude défaillants côté commandant n’auraient pas pu provoquer d’accident. Ils peuvent par contre empêcher la mise en route du système de pilotage automatique côté gauche. Dans ce cas il est possible d’utiliser les équipements côté copilote en place droite.

Les pilotes ayant utilisé l’avion avant l’accident : Jusqu’à l’installation de la pièce défectueuse, le problème était une suite d’indications erronées mais l’avion restait maîtrisable. Désormais, les informations fausses sur l’incidence font que le MCAS se déclenche et met l’avion en descente. Sur le premier vol après la maintenance de Bali, c’est un pilote supplémentaire (qui devait simplement s’asseoir dans le cockpit en tant que passager) qui a invité le commandant à désactiver le trim grâce aux deux interrupteurs. A la fin du vol, le commandant de bord n’indique pas que la nouvelle sonde d’incidence installée est inopérante et oublie de détailler la plupart des anomalies rencontrées ni l’activation des interrupteurs destinés à couper le trim…

Commentaire : Sans connaître l’existence du MCAS, un pilote correctement formé a su prendre les bonnes mesures. Comme c’est le cas sur tous les avions Boeing possédant une roue de compensation, ce qui est le cas depuis près de 50 ans et le B707 (entourées en vert sur le schéma ci-dessous).

‍

‍

Les pilotes du vol Lion Air 610 : Les pilotes arrivent à leur avion et n’ont aucune information évoquant le moindre problème sur l’avion. Chez Boeing, le manche vibre et fait un bruit caractéristique pour indiquer aux pilotes qu’ils se trouvent proche du décrochage, c’est le stick shaker. Après le décollage, « le stick shaker du commandant Suneja se déclenche et ses indications de vitesse et d’altitude sont erronées. L’avion se comportait exactement de la même manière que la veille. Malgré ces difficultés, le commandant garde les commandes [au lieu de rendre la main au copilote dont les indications sont correctes et dont le manche ne vibre pas].

‍

‍

Evolutions du vol JT610 – site flightradar24

Le contrôle aérien indonésiens : « [Une minute après le décollage], Harvino (le copilotes) demande au contrôleur aérien de lui confirmer son altitude. La demande était inhabituelle et alors inexpliquée. Le contrôleur lui répond 900 pieds, Harvino confirme la bonne réception sans commentaire, comme s’il était d’accord. 25 secondes plus tard, il demande une autorisation vers une zone d’attente. La demande était surprenante, le contrôleur ne fournit pas de zone d’attente mais s’inquiète de la difficulté rencontrée. « Problèmes de commandes de vol », sans préciser lesquelles. […] Il aurait du être évident pour les contrôleurs que les pilotes rencontraient des difficultés, mais puisqu’ils n’avaient pas déclaré d’urgence ils continuaient à les gérer de manière normale, leur demandant de maintenir l’altitude choisie et leur donnant de multiples nouveaux caps à suivre. Chaque virage rendait plus dur la tache de l’équipage de maintenir le nez de l’avion à l’horizontale. Au lieu de dégager le ciel autour du Lion 610, les contrôleurs ont demandé à ses pilotes de réaliser des manœuvres pour éviter une proximité aérienne, au lieu de demander ce virage à l’autre avion en vol. » L’article donne d’autres exemples d’incohérences et d’incompréhensions entre les pilotes et la tour, ainsi que des ordres de virages inutiles…

Les pilotes du vol Lion Air 610 : Au moment de rentrer les volets, le MCAS se déclenche et met l’avion en descente. Les pilotes compensent et tirent sur leur manche avant de ressortir les volets, ce qui désinhibe le MCAS (dont ils ignorent l’existence), celui-ci ne fonctionnant qu’en vol manuel avec les volets rentrés. « Il aurait été logique de mettre fin au vol et revenir se poser. Au lieu de cela, les pilotes ont suivi les derniers ordres de la tour de contrôle et sont montés à 5000 pieds avant de rentrer une nouvelle fois les volets. […] Suneja était cette fois prêt à faire face à la mise en descente de l’avion provoquée par le MCAS. Harvino, sur le siège de droite, cherchait désespérément une check-list appropriée, tandis que Suneja se débattait comme face à un chien enragé. Il aurait pu désactiver les deux interrupteurs à tout moment pour mettre fin à cette tendance à piquer, mais cela ne lui est apparemment jamais venu à l’esprit, et aucun troisième pilote ne se trouvait dans le cockpit pour lui donner ce conseil."

‍

‍

Conséquences de ce premier accident : L’ensemble de ces éléments conduit Boeing et les autorités de sécurité aérienne (la FAA) à considérer que l’accident aurait pu être évité par de bonnes actions de la part des pilotes : la déconnexion du trim électrique par les deux interrupteurs. Boeing émet donc un bulletin pour les pilotes du 737MAX pour rappeler le comportement face à un trim runaway. La FAA donne la même recommandation le lendemain. Et le MCAS est décrit en détail pour que toutes les compagnies et les pilotes puissent en comprendre le fonctionnement. « Il semblait alors hautement improbable que les erreurs du vol Lion Air soient un jour répétées. Dans ma propre vie de pilote, les 4 trim runaways que j’ai rencontré ont été un problème de 10 secondes : 8 secondes pour être surpris et 2 secondes pour désactiver le trim électrique."

‍

‍

Les capteurs existent en au moins trois exemplaires afin de pouvoir les comparer

Les pilotes du deuxième accident, l’Ethiopian Airlines 302 : « Les pilotes connaissaient le crash de Lion Air, ils avaient été briefés sur le MCAS, savaient qu’il ne s’activait pas quand les volets étaient sortis ou que le pilote automatique était activé, qu’il pouvait être désactivé par les interrupteurs et qu’il serait ensuite possible de compenser manuellement l’avion. […] Après le décollage, la mesure de l’incidence est fausse et le stick shaker du manche du commandant Getachew en place gauche s’active. » Les pilotes savent donc alors que l’avion croît être proche du décrochage en place gauche. « Les indications des instruments du copilote sont correctes puisque les pilotes les comparent avec les équipements de secours, et son stick shaker ne se déclenche pas. Arrivés à une altitude de 1000 pieds, ils engagent le pilote automatique du commandant. Ce choix est étonnant car ce sont ses instruments qui ont justement des erreurs. Quelques secondes plus tard, le contrôle aérien autorise l’avion à rejoindre 34.000 pieds. Malgré les difficultés dans le cockpit, le copilote Mohammod confirme la bonne réception du message [et configure le pilote automatique pour la montée]. »

« Malgré l’activation de l’indicateur de proximité de décrochage et le fait que cela soit vraisemblablement lié à une erreur de mesure de l’angle d’attaque, malgré sa connaissance du cas indonésien, malgré sa formation sur le MCAS et malgré la nécessité de retourner vers l’aéroport, Getachew donne l’ordre à Mohammod de rentrer les volets. » Or le MCAS s’active uniquement avec volets  rentrés et le pilote automatique déconnecté. « Cinq secondes plus tard, l’autopilote se désengage, peut-être à cause des informations erronées des instruments du commandant (si c’est le pilote automatique du copilote qui avait été choisi, il ne se serait certainement pas désenclenché). Le MCAS s’active (puisque les volets sont rentrés et que le PA s’est désactivé) et met l’avion en légère descente. Mohammod désactive les interrupteurs, ce qui aurait du mettre fin aux difficultés. Getachew maintient le manche en arrière pour empêcher l’avion de se mettre davantage en descente. Il est alors urgent d’utiliser le compensateur manuel. Mais les pilotes sont toujours avec la puissance moteur maximale du décollage et l’avion prend de la vitesse puisqu’il est en légère descente. Les données de vol montreront ultérieurement que les manettes de gaz resteront en position de puissance décollage jusqu’à la fin. »

Commentaire : En réduisant la puissance moteur, les pilotes auraient probablement pu utiliser le trim manuel.

‍

‍

Le fait de tirer sur le manche (pour faire monter l’avion) élève l’élévateur (aussi appelé gouverne de profondeur). Lorsque le compensateur (ou trim) s’active, c’est l’ensemble du stabilisateur qui bouge, sur lequel se trouve l’élévateur. Le tab, situé sur le bord de fuite, doit réduire les contraintes aérodynamiques qui s’exercent sur l’ensemble. Image d’illustration d’un Boeing 737 NG (qui ne possède pas le MCAS).

« La vitesse produit de telles contraintes aérodynamiques sur la queue que le trim manuel est quasi-inopérant, restant dans la position où le MCAS l’a laissé -pas franchement en piqué, mais dangereusement en descente. Le seul moyen de re-compenser l’avion à cette vitesse aurait été l’utilisation du compensateur électrique dont la commande se trouve sur le manche du pilote, mais qui nécessitent de relancer le compensateur électrique et potentiellement le MCAS (la commande sur le manche des pilotes annule l’activation du MCAS). Sur demande de Getachew, Mohammod réactive les interrupteurs et donc le compensateur, mais apparemment pas pour utiliser la commande sous son pouce, plutôt pour tenter de réactiver le pilote automatique (PA). L’enregistrement montre quatre tentatives rapides d’activation, toutes étant refusées car le PA n’est pas pas un système de récupération, il ne s’enclenche que si aucun ordre n’est donné sur le manche. Or Getachew tire franchement sur le manche. Pour permettre à l’auto-pilote de s’activer, il va commettre l’impensable : relâcher le manche. L’avion répond par une violente mise en descente à 20° sous l’horizon. […] Le MCAS s’active une nouvelle fois, doublant l’angle de descente. Six minutes après le décollage, l’avion tape le sol à une vitesse approximative de 950 km/h. »

Commentaire : Outre cette obstination à réactiver le PA, d’autres erreurs de pilotage de base peuvent également être relevées. Si le stick shaker s’active dans la minute qui suit le décollage, dans ce cas la procédure impose de ramener l’avion à plat et de ne pas en changer la configuration (voir le manuel de vol ci-dessous). Alors que les pilotes savent que l’avion pense (à tort) être proche du décrochage, ils rentrent les volets, ce qui est totalement contraire aux procédures, quel que soit l’avion, que le MCAS soit présent ou pas. Accessoirement, les pilotes savent depuis le crash du Lion Air que le funeste MCAS s’active quand les volets sont rentrés… Une (autre) double erreur de leur part donc.

‍

‍

Manuel de vol du Boeing 737 : en cas d’indication de proximité du décrochage (comme l’activation du stick shaker), cesser la montée et ne pas changer la configuration du vol. Les pilotes vont faire ces deux erreurs.

Globalement : « Dans le drame du 737 MAX, ce sont les décisions prises par les quatre pilotes qui ont conduit au décès de 346 personnes et à l’interdiction de vol de la flotte, plus que le dysfonctionnement d’un unique composant. […] Il n’y a pas un pilote de 737 dans le monde qui [ignore les interrupteurs destinés à faire face à un déroulement du compensateur, qu’il soit provoqué par une panne ou l’activation du MCAS].  Boeing a estimé que si nécessaire, les pilotes de 737 MAX les activeraient tout comme les générations précédentes de 737 l’auraient fait. Ce serait une situation gérée en 30 secondes. Il s’est avéré que cette assomption était obsolète. »

« Ces pilotes n’étaient pas capables de déchiffrer une variante d’un simple trim runaway, et ils ont fini par voler trop vite et trop bas, oubliant de réduire les gaz […]. Ils ont été les facteurs décisifs ici, pas le MCAS ni le MAX. Ces différentes causes et ces multiples acteurs, cependant, ont été noyées dans le bruit. Après que le président Trump soit intervenu sur les bases de sa visible méconnaissance du sujet, et que la FAA soit forcée d’abandonner la défense initiale de l’avion, Boeing a été obligé de subir silencieusement les attaques.«

Commentaire : L’ensemble de ces éléments permettent d’avoir une vision plus globale et juste de la réalité. Boeing n’aurait jamais du mettre en place un système ne reposant sur les informations que d’une seule sonde d’incidence, la FAA n’aurait pas du accepter cette architecture, l’indicateur « AOA DISAGREE » qui auraient permis d’informer les pilotes qu’au moins une sonde d’incidence dysfonctionne aurait dû rester installé de série comme sur les versions précédentes… Le premier rapport officiel qui est en passe d’être publié par l’Indonésie identifie 100 facteurs en cause dans l’accident de l’avion, mais manquera certainement de neutralité pour faire porter le chapeau à Boeing (l’article décrit longuement également les enquêtes truquées à la fois en Indonésie et en Ethiopie). La presse unanime n’a d’ailleurs retenu que ce que l’Indonésie voulait faire apparaître : le constructeur est LE coupable…

‍

‍

Capture d’écran des principaux articles suite au rapport faisant apparaître plus de 100 causes…

‍

Le Boeing 737 MAX ne reprendra les vols que lorsque toutes les interrogations sur le MCAS seront levées, que les avions auront été modifiés et les pilotes une nouvelle fois formés. La totalité de la flotte mondiale en circulation est fiable, et elle le restera tout autant quand cet avion aura repris ses vols. Mais il est peu probable que l’image de Boeing retrouve le niveau qu’elle avait atteint après des décennies d’efforts continus. Le MAX est l’ultime perfectionnement d’un avion vieux de 50 ans, chaque évolution a toujours permis une meilleure expérience passager, une réduction des coûts pour les compagnies exploitantes, et évidemment une amélioration continue de la sécurité aérienne. Jamais aucune évolution, qu’elle soit écologique ou économique ne prendrait le pas sur cette priorité placée au-dessus de toutes les autres. Faire une erreur « de bonne foi » est très différent d’une volonté de mettre sciemment en vol un avion défaillant. On pensait le système organisé pour que ces erreurs ne puissent plus exister, il sera donc réformé, avec des évolutions attendues à la FAA et l’annonce récente de la création d’un organe interne à Boeing permettront d’atteindre cet objectif. Ceux qui auraient pu penser que le fait de réaliser quelques économies sur la sécurité est bénéfique ont ici une nouvelle démonstration de leur erreur.

‍