Faut-il encore un Pilote dans l'avion ?

Évolution du métier de pilote de ligne

Alexandre Aubin

 

Ancien pilote de ligne

À l’approche de mon départ à la retraite (1er mai 2019), j’ai mené une réflexion sur le devenir de mon métier que je mets aujourd’hui à disposition et qui s’adresse au grand public comme aux professionnels.

Avec la perspective d’une grande mutation technologique de notre société, celle de l’automatisation globalisée, le métier de pilote de ligne fait partie de ceux qui seront remis en cause.

 

J’ai étudié l’histoire de l’aviation civile et ses ruptures technologiques, la formation et la santé des pilotes, abordé les sujets de l’automatisation et de l’intelligence artificielle pour imaginer la prochaine génération d’avion de ligne avec ou sans pilote.

Né en 1956, j’ai appris à piloter à l’aéroclub, puis je me suis perfectionné au Canada et aux USA. J’ai travaillé en Afrique comme pilote de brousse, à Marseille et au Bourget en aviation d’affaires, ensuite à Air Inter et Air France en tant que pilote de ligne.

J’ai piloté des monomoteurs et bimoteurs légers, l’Airbus 320 (pendant 18 ans) et le Boeing 777 (12 ans). J'ai été commandant de bord pendant 21 ans et je totalise 18 000 heures de vol.

Hommage

 

L'homme et la machine

« La grandeur d’un métier est peut-être avant tout d’unir les hommes :

il n’est qu’un luxe véritable, et c’est celui des relations humaines. »

 

« J’ai toujours pensé qu’aucun métier n’unit davantage l’homme et les machines. En ce sens, tous ceux qui rêvent d’un siècle de robot aérien sont bien présomptueux.

 

La technique n’est qu’un moyen, elle ne saurait être un but. Chaque progrès qu’elle marque augmente encore la servitude finale de l’homme

et grandit sa part.

 

Que les navigants d’aujourd’hui et tous ceux qui œuvrent dans les cabinets d’ingénieurs, les bureaux, les ateliers, les escales, ne l’oublient pas !

 

Qu’ils s’inspirent de leurs aînés, défricheurs de routes et se souviennent qu’ils sont tombés pour que la fraternité rayonne plus haut entre les hommes…

 

Tous seront payés largement de leurs sacrifices, si leurs aventures d’hier permettent aujourd’hui à ceux qui vivent au fond de la mine de voir

le ciel​.»

L'aviation d'hier

L'aviation d'hier

 

L'aviation d'aujourd'hui

 

Gérer les risques

 

L'aviation de demain

 

 

Les derniers articles

Boeing 2020, la chute

1/ Brève histoire de Boeing et comparaison des productions avec Airbus

2/ Dérives sécuritaires de la FAA

3/ MCAS description et accidents. Simulation vols et mesures correctives

4/ Certification du Max 

5/ Perspectives d’avenir pour Boeing et les services de certification

6/ Épilogue

Brève histoire de Boeing et comparaison des productions avec Airbus (1/6)

En 2019, Boeing était encore le premier constructeur aéronautique mondial jusqu’aux deux crashes du nouveau 737 Max : Lion Air, le 28 octobre 2018, et Ethiopian Airlines, le 10 mars 2019, des avions neufs pulvérisés à grande vitesse (à plus de 400 kt) en moins de six mois ; du jamais vu dans l’histoire de l’aviation moderne.

 

Mais c’est peut-être aussi la déchéance d’une icône, celle d’un constructeur qui a élaboré un avion sous une forte pression économique et dans l’approximation, « aidé » par un service de certification, la « Federal Aviation Administration » (FAA), qui n’a pas joué son rôle.

 

Aujourd’hui, l’épidémie du Covid-19 pourrait précipiter la chute du géant. Comme tout accident majeur, les prémices se situent loin en amont.

 

Brève histoire de Boeing

 

Les premiers avions à réaction sont apparus à la fin de la Seconde Guerre mondiale, et le plus remarquable d’entre eux est le chasseur-bombardier Messerschmitt 262 qui sera opérationnel la dernière année du conflit.

 

Après la guerre, il n’y a que la Grande-Bretagne qui dispose de moteurs à réaction, qu’elle va adapter et développer pour le civil. Ainsi, en 1949, le premier avion de ligne à réaction sera le De Havilland 106 Comet de la British Overseas Aircraft Corporation (BOAC), un des ancêtres de la British Airways. De conception aérodynamique traditionnelle (comme les avions à hélices), avec notamment une aile avec peu de flèche qui ne permet pas de dépasser Mach 0,8, le Comet sera condamné après une série d’accidents dus à l’explosion en vol de ses fuselages. De Havilland paiera le prix fort pour le manque d’expérience de l’industrie dans les domaines du vol en haute altitude et des vitesses élevées, mais certainement aussi pour sa précipitation à vouloir être leader sur un nouveau marché très prometteur. Malgré un carnet de commandes initialement bien rempli, le Comet ne sera produit qu’à 164 exemplaires, dont 50 patrouilleurs maritimes Nimrod.   

 

Boeing est avant tout un constructeur militaire. Son expérience dans le civil ne s’est pas avérée fructueuse, tels le B-247 (1933) – qui devra faire face au DC-3 – ou le joli B-314, Clipper Flying Boat (1938), produits respectivement à 75 et à 12 exemplaires ; ou bien le B-307 Stratoliner pressurisé dérivé du B-17 (1938) et le B-377 Stratocruiser pressurisé dérivé du B-29 (1947), produits respectivement à 56 et seulement 10 exemplaires, soit un total de 153 avions civils produit en 17 ans.

 

En revanche, boosté par la guerre, Boeing sera un extraordinaire constructeur militaire. Avec ses partenaires, il produira plus de 20 000 bombardiers lourds B-17 et B-29 en moins de 10 ans…

 

Puis, après la guerre, pour faire face à l’URSS, Boeing produit le bombardier B-47 Strato-Jet à plus de 2 000 exemplaires. C’est un avion à réaction révolutionnaire avec une aile en flèche prononcée (35°), un plan horizontal arrière entièrement mobile et des moteurs montés en pod à l’extérieur des ailes. Aujourd’hui encore, tous les gros avions à réaction bénéficient de ces technologies copiées chez les Allemands à la fin de la guerre[1]

 

C’est grâce à cette suprématie industrielle, à un bureau d’études réactif et performant ainsi qu’à une trésorerie largement positive, que Boeing a pu se relancer dans le civil. Ainsi en 1954, il finance à ses frais le démonstrateur Dash-80[2] (16 millions de dollars) pour le marché des ravitailleurs en vol qu’il emporte. Puis Boeing adapte le ravitailleur KC-135[3] au marché civil avec le B-707, dont le diamètre de fuselage est légèrement supérieur à celui du ravitailleur (10 cm), afin de contrer le DC-8[4] de Douglas qui propose des rangées de six sièges.

 

Boeing récidive avec le 747 (1969) en utilisant son projet d’avion cargo militaire pour répondre aux besoins générés par la guerre du Vietnam, mais le marché sera attribué en 1965 au C-5 Galaxy de Lockheed. Cette fois-ci encore, Boeing financera entièrement son avion géant[5] qui faillit manquer de le faire chuter, puisque son endettement atteindra 2 milliards de dollars en raison de commandes qui seront annulées en nombre avec la crise de l’OPEP de 1973. 

 

 

Comparaison des productions[6] de Boeing et Airbus

 

a/ Boeing

 

Étude de la production :

  • 4 modèles (707, 727, 737, 747) en 14 ans (1955[7]-1969) ; 

  • 2 modèles (757 et 767) en 12 ans (1970-82) ;

  • 1 modèle (777) en 11 ans (1983-1994) ;

  • 1 modèle (787) en 14 ans (1995-2009).

 

Il n’y a pas eu de modèle raté puisqu’ils ont tous passé la barre des 1 000 exemplaires. Son best-seller est le 737, vendu à plus de 11 000 exemplaires à ce jour avec un carnet de commandes de plus de 4 000 exemplaires pour le Max. Actuellement, cinq modèles sont toujours en production : B737, B747, B767, B777 et B787. L’avenir du B737 est sérieusement menacé par la crise du Max, la chaine du 747 va prochainement s’arrêter et celle du 767 reste en production pour les besoins de l’armée (version modifié pour le ravitailleur en vol KC-46).

 

Si le lancement du B707 a été facilité par les commandes militaires du KC-135, le lancement du B747 en revanche a souffert de la crise du pétrole et de la baisse d’activité qui s’est ensuivie, l’avion étant devenu trop gros.

 

Les effectifs chez Boeing sont ainsi passés de 142 000 employés en 1968 à 56 000 en 1971 après que le programme supersonique a été abandonné et parce que la crise énergétique a affecté les compagnies, qui ont suspendu leurs commandes.

 

En 1993, le président Clinton dénoncera les subventions publiques d’Airbus qui commencent sérieusement à mettre à mal Boeing, qui absorbera McDonnell Douglas en 1997 pour contrer son concurrent avec lequel il sera en compétition pour l’appel d’offres du nouveau ravitailleur en vol en remplacement des vieux KC-135 et KC-10. Après plusieurs rebondissements, dont l’un mettant en cause des faits de corruption de la part de Boeing, le contrat du siècle sera finalement attribué au B767.

 

b/ Airbus

 

Airbus est né en 1970, réunissant les compétences notamment de British Aerospace et de l’Aérospatiale, qui construisaient à cette époque le Concorde. Auparavant, le plus important succès commercial côté anglais avait été le BAC 1-11 avec 244 exemplaires (1963-1989) et côté français, la Caravelle avec 279 exemplaires (1958-1973).

 

Airbus fait le choix d’un premier avion gros-porteur moyen-courrier, bimoteur, donc plus économique que les équivalents américains tri ou quadrimoteur. Si l’A300 n’a rien de révolutionnaire techniquement, il s’impose aujourd’hui comme le standard d’avion bimoteur gros-porteur. L’A310 a été un avion de transition avec un poste de pilotage à deux et des écrans cathodiques ; il a été le premier Airbus à obtenir la dérogation ETOPS[8] pour les vols long-courriers en bimoteur.

 

Étude de la production :

  • 2 nouveaux modèles (A300 & 310) en 12 ans (1970-1982) ;

  • 3 nouveaux modèles (320, 340, 330) en 11 ans (1983-1994) ;

  • 1 nouveau modèle (380) en 10 ans (1995-2005) ;

  • 1 nouveau modèle (350) en 7 ans (2006-2013).

 

On note un début difficile pour Airbus, qui doit s’imposer sur un marché verrouillé par les Américains, puis il y a une accélération de la production de nouveaux modèles avec les séries 320, 330 et 340. Ensuite, il faudra respectivement 10 et 7 ans pour développer le 380 et le 350. Autrement dit, la tendance de production des derniers modèles est supérieure à celle de Boeing (voir graphique).

 

 

 

Production Boeing (orange) et Airbus (bleu)

 

La commercialisation de certains modèles sera faible pour les 300 et les 310 (816 exemplaires pour les deux), voire ratée pour le 340 (377 exemplaires) et pour le 380 (seulement 251) avec une production qui s’arrêtera l’année prochaine.

 

Le péché d’orgueil d’Airbus à vouloir faire des quadrimoteurs, dont le 380 qui devait être plus gros que le B747, aura coûté cher. Actuellement, quatre modèles sont en production : l’A320, qui domine son créneau, avec son dérivé l’A321LR (Long Range) qui prend maintenant celui du B757.

 

L’A320 aura été l’avion révolutionnaire (de 4e génération) qui a permis à Airbus de rattraper Boeing. Avec des commandes de vol entièrement électriques (fonctionnant avec des ordinateurs), des minimanches, des check-lists électroniques, un système de communication ACARS, une imprimante, etc.

 

Son arrivée bousculera l’industrie, particulièrement les pilotes[9]. Après sa mise en service (1988), il s’est ensuivi une série d’accidents[10] qui ont déstabilisé le constructeur. Le pari de lancer un avion aussi révolutionnaire était très risqué, il aurait pu tuer Airbus dans l’œuf.

 

Boeing a produit plus de 20 000 avions civils en 52 ans, et en a quelque 6 000 en commande.  Airbus a commencé 15 ans après Boeing et a produit presque 13 000 exemplaires en 43 ans, dont 7 500 sont en commande.

 

Initialement les Boeing se sont mieux vendus notamment en l’absence d’Airbus, cependant aujourd’hui, le carnet de commandes d’Airbus est supérieur à celui de son concurrent de 1420 avions (24 %).

 

Les productions et carnets de commandes des best-sellers B737 et A320 – 16 000 exemplaires pour le 737 et 15 500 (l’équivalent) pour l’A320 – montrent que ce sont les avions monocouloir qui font essentiellement tourner les usines.

 

Les points d’inflexion (graphique) de la production des nouveaux modèles se situent chez Boeing en1982 avec la sortie du B757, et chez Airbus, en 1994, pour celle du 330, le temps qu’Airbus puisse offrir un nombre de modèles comparable à celui de son concurrent. Puis les constructeurs n’ont sorti que deux modèles : les B777 (1994) et B787 (2009), les A380 (2005) et A350 (2013). Les B787 et A350 étant en compétition, il n’y a plus que 4 ans qui séparent leurs sorties (voir graphique).

 

Le prochain challenge entre les deux compétiteurs sera le remplacement des B737 et A320. Boeing sera le premier à se lancer, compte tenu des difficultés du Max (arrêté de vol depuis 13 mois, un record) et des vingt ans d’ancienneté du B737 sur l’A320.

 

Le projet Y1 de Boeing pour le remplacement du B737, maintes fois repoussé, montre que la crise chez Boeing est profonde. Même si les avions sont de plus en plus complexes à étudier et à mettre au point, au fil du temps, il semble que le bureau d’études de Boeing ait perdu la main. 

 

Pour résumer, Boeing a connu son heure de gloire dans les années 1957-1969, d’une part en réussissant brillamment la transition vers le civil avec le 707, d’autre part en produisant quatre modèles en douze ans, notamment le « roi du ciel », le 747, dont la chaîne de production pourrait s’arrêter après celle du 380.

 

Si Boeing a réchappé à la crise pétrolière lors des débuts du 747, aujourd’hui vient s’ajouter à la crise du Max celle du Coronavirus ainsi qu’une trésorerie largement ponctionnée pour satisfaire les actionnaires. 

_________________________________________

[1]. Near the end of World War II, Boeing aerodynamicist George Schairer was in Germany as part of a fact-finding mission. At a hidden German aeronautics’ laboratory, Schairer saw wind tunnel data on swept-wing jet airplanes and sent the information home. Engineers then used the recently completed Boeing High-Speed Wind Tunnel to develop and design the XB-47, with its slender 35-degree swept-back wings (boeing.com/history/products/). 

[2]. Avion remarquable mis en scène par son pilote d’essai Tex Johnston et ses deux tonneaux barriqué en 1955, lors d’un vol de démonstration devant le patron Bill Allen qui n’a pas vraiment apprécié.

[3]. Because the prototype was constructed to sell first as a military-tanker transport, it had few windows and no seats, but had two large cargo doors (https://www.boeing.com/history/products/model-367-80.page).

[4]. DC-8 produit à 556 exemplaires entre 1958 et 1972.

[5]. À la suite d’une partie de pêche en Alaska, en 1965, entre Bill Allen et Juan Trippe le patron de PanAm.

[6]. Sources Wikipédia et Boeing https://www.boeing.com/history/

[7]. Lancement du B707.

[8]. ETOPS (Extended Twinjet Operations) : par définition, les avions bimoteur n’avaient pas le droit de s’éloigner à plus de 60 minutes de vol d’un aéroport adéquat (de secours). Avec l’arrivée du B767 en 1981, les pourparlers s’engagent entre Boeing et la FAA afin d’améliorer la règle des 60 minutes pour pouvoir traverser l’Atlantique. Les moteurs doivent avoir fait la preuve de leur fiabilité par des statistiques, et les systèmes électriques et hydrauliques – dépendant des moteurs – doivent être adaptés en vue d’un vol prolongé en monomoteur sans trop pénaliser les capacités de l’avion. La règle a ainsi évolué vers 75, 90, 120, 180, 207 et 240 minutes.

[9]. J’ai obtenu ma qualification 320 en novembre 1988 chez Aéroformation à Toulouse. Les instructeurs téléphonaient régulièrement chez Airbus, en face, pour avoir des informations sur l’avion. Mon captain ne fut jamais lâché et retourna sur A300, il avait plus de 50 ans. 

[10]. Trois accidents en quatre ans : Habsheim en 1988, 3 morts (Air France) ; Bangalore en1990, 92 morts (Air India), Strasbourg en 1992, 87 morts (Air Inter).

Production Boeing militaire.png
Production Boeing civile.png
Production Airbus.png
Production Boeing (orange) et Airbus (bl

Les dérives sécuritaires de la Federal Aviation Administration (FAA) (2/6)

 

Ce n’est pas la première fois que la FAA est épinglée pour sa complaisance avec les acteurs du transport aérien américain (compagnies aériennes low-cost et constructeurs comme Boeing), en outrepassant son rôle de garant de la sécurité pour celui de soutien à l’économie.

 

Précédents cas avant celui le Max

 

1972 : Certification du McDonnell-Douglas DC-10

 

Pour ne pas se faire distancer par le Boeing 747, McDonnell-Douglas avait obtenu la certification de son trimoteur DC-10-10 en 1971 alors que certains problèmes graves n’avaient pas été résolus. En effet, en 1972, après la perte de la porte de la soute arrière du DC-10, le commandant McCormick [1] et son équipage avaient réussi un atterrissage d’urgence à Detroit sans faire de victime, en utilisant la poussée des moteurs pour manœuvrer l’avion (descendre : réduire les moteurs ; monter : augmenter la puissance et tourner en jouant sur la différence de poussée des moteurs d’aile).

Cet incident grave a été le précurseur de la catastrophe, en 1974, du DC-10 de la Turkish Airlines, dans la forêt d’Ermenonville au nord de Paris, qui avait fait 345 victimes. L’avion avait également perdu sa porte de soute arrière qui avait sectionné les commandes de vol par l’effondrement du plancher à l’arrière, et six passagers avaient été éjectés à l’extérieur. Afin que cette porte cargo arrière[2] soit correctement verrouillée, le personnel au sol devait suivre les instructions d’une notice en anglais affichée sur celle-ci. Après cet accident, les portes ont été rapidement modifiées, et la FAA a de plus exigé, sur recommandation du National Transportation Safety Board (NTSB), le Bureau Enquêtes et Accident américain, qu’il y ait des caissons de décompression au niveau du plancher des futurs avions, entre la cabine passagers et les soutes pour éviter, en cas de dépressurisation brutale, d’endommager le plancher qui supporte des servitudes vitales.

Le DC-10 et son évolution le MD-11 ont eu une mauvaise réputation (« avions maudits »), en raison d’un nombre plus important d’accidents.

 

Déréglementation

 

1996 : ValuJet

 

Au début des années 1990, la déréglementation aux États-Unis fut à l’origine d’une déstabilisation du transport aérien. De nouveaux entrants bousculèrent les compagnies institutionnelles[3] avec leur politique de management agressive et l’utilisation excessive de sous-traitants mal payés. Ce fut le cas pour la low-cost ValuJet Airlines qui crasha, le 13 mai 1996, un McDonnell-Douglas DC-9 de 27 ans dans les Everglades en Floride qui fit 110 morts. Le non-respect des procédures du chargement de marchandises dangereuses par son sous-traitant mal formé fut la cause d’un feu incontrôlable dans les soutes de l’avion.

 

ValuJet, créée quatre ans plus tôt, n’achetait que des avions d’occasion, ce qui lui avait permis d’avoir une croissance rapide et d’engendrer des profits. Mais en contrepartie elle eut toute une série d’incidents, dont certains graves, comme en 1995 l’explosion d’un moteur et la destruction par le feu d’un DC-9 au décollage d’Atlanta. Le commandant put procéder à l’évacuation de tous les passagers et du personnel navigant. En voyant l’avion s’embraser, un homme d’affaires s’interrogea sur le bien-fondé d’une telle concurrence au détriment de la sécurité. Après l’accident du DC-9 des Everglades, la compagnie changea de nom (AirTran Airways) pour se faire oublier et commanda des avions neufs.

 

2009 : Colgan Air

 

Le 12 février 2009, entre New York et Buffalo, le vol Continental Airlines 3407 effectué par la compagnie régionale Colgan Air fit 50 victimes, après la perte de contrôle en vol du De Havilland Canada Dash 8, lors de l’approche au-dessus de la ville côtière du lac Erié.

 

Un an plus tard, le reportage Flying Cheap de Frontline[4] retraça, de façon magistrale, la descente aux enfers du transport aérien du troisième niveau américain, devenu sous la pression économique une activité complètement dévalorisée. En termes de sécurité, Colgan Air et ValuJet symbolisent la dérive du libéralisme jusqu’à ce « que tout aille de travers dans cette industrie ».

 

En effet, les contrats signés avec Continental (CO) étaient rémunérés au vol réalisé à la destination. Autrement dit, si le vol était annulé du fait de CO ou s’il n’allait pas directement à destination – en cas de dégagement météo par exemple –, celui-ci n’était pas payé. De plus, si Colgan Air était défaillante vis-à-vis de CO, elle devait lui verser des indemnités…

 

Faute de pilotes d’expérience disponibles sur le marché, Colgan embauchait des copilotes qui sortaient de l’école et qui pour certains se retrouvaient, neuf mois plus tard, commandant de bord sur des avions de 50 places. Ainsi, le commandant du crash, âgé de 47 ans, ne totalisait que 3 400 heures de vol, ce qui est peu pour le transport public. Les équipages faisaient régulièrement 10 vols par jour avec des amplitudes de 16 heures, soit 80 heures de travail hebdomadaires… Avec de très faibles salaires, les pilotes étaient amenés à dormir jusqu’à 12 dans des dortoirs (crash-pad) près des aéroports, l’hébergement n’étant pas pris en charge par l’employeur. Les pilotes étaient payés lorsque les portes de l’avion étaient fermées, peu importe le retard qu’ils pouvaient subir en amont. 

 

Colgan Air avait déjà été épinglée pour plusieurs manquements graves. Mais le directeur de la FAA avait demandé au dernier inspecteur qui avait contrôlé la compagnie de la considérer comme un client qu’il fallait ménager. À cause de ses difficultés rencontrées, Colgan Air fut rachetée en 2007 par Pinacle Airlines Corporation.

 

Lors du procès qui s’ensuivit, interrogé par le président du tribunal, le patron de Continental expliqua qu’il ne se sentait pas en droit de se substituer à la FAA pour exiger des compagnies affrétées un niveau de sécurité équivalent exigé par sa compagnie, même si les passagers avaient acheté des billets Continental Airlines. Suite à ce scandale, la réglementation devint plus restrictive.

 

2013 : Vols cargo

 

Le 13 août 2013, un Airbus 300-600F cargo d’UPS eut un accident lors de son approche à l’aéroport de Birmingham-Shuttlesworth, en Alabama, dans lequel les deux pilotes trouvèrent la mort. Le NTSB[5] a évoqué la fatigue comme cause contributive au crash. Car la réglementation relative aux conditions de travail sur les vols cargo aux États-Unis est beaucoup moins restrictive que celle concernant les vols avec passagers, notamment sur la question des repos en vol qui nécessiterait la présence d’un pilote supplémentaire.

 

En effet, un accident d’avion sans passager, impliquant « uniquement » deux pilotes, a un faible impact médiatique et engage moins d’indemnisations pour les assureurs. Pourtant, ces avions fréquentent les mêmes aéroports et espaces aériens que les autres et peuvent provoquer un accident plus grave, comme cela a été le cas, en 2002, lors d’une collision en vol près d’Uberlingen en Allemagne qui a fait 72 victimes[6].  

 

Malgré les protestations auprès de la FAA de Deborah Hersman, la directrice du NTSB, et des syndicats de pilotes américains, la logique productiviste a gardé le dessus.

 

2013 : Batteries du B787

 

Lancé en 2004 pour une mise en service en 2008, le 787 Dreamliner a fait son premier vol en 2009 et n’est véritablement entré en service qu’en 2011. Le retard est imputable à une coopération internationale (80 %) excessivement complexe en raison du nombre d’intervenants et des problèmes liés aux innovations techniques de l’avion. En effet, l’utilisation du carbone sur de grandes surfaces (le fuselage d’un seul tenant) et les servitudes électriques n’ont pas cessé de prendre de l’importance pour les besoins croissants des appareils modernes comme le 787[7] [8].

 

Puis en janvier 2013, en moins de dix jours, il y eut une série d’incidents graves sur les B787 dus à l’emballement thermique[9] de leurs batteries au lithium-ion[10] :

  • le 7, Japan Airlines (JAL), à Boston Logan[11], déclenchement d’un début d’incendie ;

  • le 14, encore la JAL, dégagement de fumée au parking à Narita Tokyo ;

  • le 16, All Nippon Airways (ANA), atterrissage d’urgence d’un B787 à l’aéroport de Takamatsu sur l’île de Shikoku après que de la fumée a été détectée dans la soute électronique située sous le cockpit.

 

Le 17 janvier 2013, la FAA et l’autorité équivalente japonaise immobilisèrent l’ensemble de la flotte B787 pendant trois mois dans le monde[12]. En effet, le risque d’emballement thermique majeur était tombé à 52 000 heures de vol, nettement inférieur aux 10 millions d’heures de vol prévues par Boeing.

 

Pourtant, un premier problème avait déjà eu lieu en 2010 durant la campagne d’essai du B787 : le prototype nº 2 (ZA002) avait dû se poser en urgence[13] à Laredo au Texas et procéder à une évacuation d’urgence après que de la fumée avait envahi le poste de pilotage. À la suite de cet incident, Boeing avait suspendu un moment ses vols d’essai.

 

Le rapport du NTSB[14] (1er décembre 2014) a déterminé que la cause de ces emballements thermiques provenait d’un court-circuit interne dans une des cellules de la batterie qui utilisent l’oxyde de lithium cobalt (LiCoO2) comme électrode positive. Ces électrodes, connues pour leur risque d’emballement thermique, fournissent de l’oxygène pour alimenter un incendie… Le rapport a recommandé l’installation d’un sarcophage autour de la batterie pour contenir son éventuel embrasement, ce qui augmente son poids de 84 kg…

 

L’enquête du NTSB a aussi révélé que Boeing n’avait pas supervisé le travail de ses deux équipementiers, Thales pour le système électrique de l’avion et GS Yuasa[15] pour la fabrication des batteries. Après l’arrêt de la flotte, Boeing a recensé 17 défauts de procédure entre Thales et GS Yuasa qui n’avait jamais réalisé de tests d’emballement thermique sur ses batteries dans des conditions suffisamment strictes. Enfin, l’enquête pointe du doigt la FAA qui n’a pas su estimer le risque potentiel de ces nouvelles batteries et qui n’a pas exigé les tests appropriés.

________________________________

[1]. Le commandant Bryce McCormick, qui venait d’être affecté sur le nouvel appareil, avait demandé à s’entraîner au simulateur à la panne totale des commandes de vol, panne qui n’était pas prévue au programme d’instruction. Il avait justifié à l’époque sa demande par l’arrivée de la nouvelle génération d’avions tout hydrauliques, à l’instar des avions tout électriques d’aujourd’hui. Auparavant, les premiers avions long-courriers à réaction (B707, DC-8) avaient encore des commandes de vol actionnées directement par des câbles – même si elles étaient assistées par des servomoteurs –, tandis que celles de la génération du DC-10 utilisaient des vérins hydrauliques pour mouvoir directement les commandes de vol, lesquels étaient actionnés par les câbles du manche et du palonnier. Autrement dit, il y avait un intermédiaire (le vérin hydraulique) entre les commandes (câbles) du pilote et les gouvernes de l’avion.

[2]. Le dysfonctionnement provenait de l’indication erronée du verrouillage de la porte. Alors que le voyant était éteint au cockpit, les tiges métalliques de fermeture pouvaient se tordre en forçant sur la poignée de fermeture.

[3]. Dont certaines firent faillite comme PanAm (1991) et TWA (2001).

[4]file:///Users/alexandreaubin/Documents/Personnels%20documents/Alexandre/Projets/Faut-il%20encore%20un%20pilote%20dans%20l’avion%20%3F/Annexes/Buffalo%20Crash%20of%20Continental%203407.webarchive

[5]. Les règles de limitation de vol des avions cargo (Part 121) sont en-dessous du standard.

[6]. Collision en vol, le 1er juillet 2002, près de la ville d’Uberlingen (Lac de Constance), entre un Boeing 757 cargo de DHL et un Tupolev 154 de Bashkirian Airlines, qui a fait 72 morts, dont 52 enfants qui partaient en vacances.

[7]. Sur l’avion précédant le Boeing B777, il y avait quatre circuits pneumatiques qui fonctionnaient par un piquage d’air sur les réacteurs (dégivrage des ailes, conditionnement d’air, pressurisation cabine et démarrage des réacteurs). Tous ces systèmes sont maintenant électriques sur B787. Fini aussi l’abondance de fusibles dans le cockpit, un système Multi Function Display situé dans la soute électronique permet de gérer et de surveiller toute la distribution électrique de l’avion.

[8]. Le B787 a une puissance électrique totale de 1,45 mégawatt (deux fois supérieure à celle de l’A380), distribuée par 6 alternateurs de 250 Kva (2 par moteur et 2 x 225 Kva pour l’APU) qui fonctionnent en 235 volts avec des fréquences variables de 360 à 800 hertz au lieu des 115 volts/400 hertz que l’on trouve sur les autres avions.

[9]. Deux des éléments du triangle du feu (combustible, comburant et énergie) sont présents dans une batterie au lithium-ion. Autrement dit, il ne manque plus que l’augmentation de la température pour atteindre le seuil critique d’emballement thermique (autour de 60°C). Son origine peut être liée à un court-circuit interne ou à une surcharge. En effet, à haute température, il y a des phénomènes de dégradation des matériaux constitutifs de la batterie, (séparateur, électrode et électrolyte) qui peuvent rentrer en contact.

[10]. Le B787 utilise 2 batteries de 32 volts (à la place de 24) au lithium-ion à base d’oxyde de cobalt (de première génération) qui sont moins sûres que celles à base de phosphate de fer plus récentes.

[11]. L’avion était en stand-by au parking à Boston Logan, il n’y avait pas d’équipage à bord, seulement l’équipe de nettoyage et un mécanicien pour sa visite prévol.

[12]. Événement rarissime qui n’était plus arrivé depuis 1979 après le crash du DC-10 d’American Airlines (AA) au décollage de Chicago par l’arrachage du pylône. Son moteur gauche coupa l’hydraulique des becs du bord d’attaque de l’aile qui se rétractèrent. L’accident fit 273 victimes, le plus important des USA. Le NTSB mit en cause une procédure de démontage « sauvage » des moteurs d’aile des DC-10 chez AA.

[13]. L’équipage a utilisé l’éolienne de secours Ram Air Turbine (RAT), après avoir perdu l’alimentation électrique du circuit primaire. http://boeing.mediaroom.com/index.php?s=20295&item=1513

[14]http://www.ntsb.gov/investigations/AccidentReports/Documents/Airworthiness_Factual_Addendum.pdf

[15]. Au Japon, GS Yuasa fabrique la majorité des batteries pour les motos et est aussi présent dans le spatial.

Le MCAS du B 737 Max (3/6)

  1. Historique et description

  2. Accidents du Lion Air, du vol précédant le Lion Air et l’Ethiopian Airlines

  3. Mesures correctives. Simulation des deux vols.

 

MCAS : Maneuvering Characteristics Augmentation System ou système d’amélioration des caractéristiques de manœuvrabilité.

 

Ce système connecté aux commandes de vol a été conçu pour améliorer la stabilité en tangage du 737 Max, pour qu’il réagisse et se pilote comme les autres 737, afin de préserver la qualification commune avec les précédents. Le MCAS ne peut s’activer qu’en pilotage manuel avec les volets rentrés (au-delà de 230 nœuds ou de 425 km/h) et à un « angle of attack » (AOA) ou d’incidence élevé.

 

 

 

 

 

 

 

 

 

 

 

 

Cockpit du Boeing 737 Max

1/ Historique et description

 

À force d’allonger et d’alourdir le Boeing 737, d’y ajouter des moteurs toujours plus puissants et encombrants[1], le 737 Max a eu des difficultés pour répondre aux critères de qualification commune de la famille 737 (Original, Classic, NG et Max). Cela faisait en effet partie des exigences des compagnies aériennes qui ne voulaient pas dépenser davantage d’argent pour que les pilotes soient contraints à des séances de simulateur pour passer du 737 NG (le précédent) au Max. C’était une demande particulièrement insistante de Southwest Airlines, la compagnie de lancement du Max, qui en a commandé 240 exemplaires et qui possède la flotte la plus importante de 737 (environ 720 NG et 30 Max).

 

En un demi-siècle, le Boeing 737 a considérablement évolué. Après un premier vol en 1967, il a fait partie de la deuxième génération d’avions à réaction et a subi durant sa carrière trois évolutions afin de rester dans la course technologique et commerciale. Cependant, l’absence de commandes de vol électriques (à travers des computers) montre aujourd’hui ses limites.

 

Mais, paradoxalement, c’est aussi la dernière version, celle du Max, qui a connu le plus grand nombre de commandes de l’histoire de Boeing (plus de 5 000), et qui génère 40 % des bénéfices de l’entreprise. Ces chiffres ont conforté les dirigeants de Boeing d’avoir fait le bon choix. Et pourtant…

 

Les médias ont focalisé sur le nouveau moteur LEAP considéré comme la cause des problèmes du Max. Toutefois le tableau ci-dessous montre que la différence a été plus importante entre le premier moteur (JT8) et le deuxième (CFM-56), lequel est à l’origine de l’introduction de systèmes automatiques comme le « Speed Trim System » (STS).  

Évolution de la motorisation du B737

  • retiré du service, sauf en Amérique du Sud.

 

Paradoxalement, le moteur JT8D du 737 Original est le plus long. Il est collé sous l’aile et n’a pas de mât, contrairement à son prédécesseur, le B707.

 

 

Principales différences entre le 737 Max (2016) et le modèle précédent, le NG (1997) à capacité identique (longueur). 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Boeing a décidé tardivement d’équiper le Max du système MCAS pour pallier un problème de pilotage, afin qu’il soit au plus près de l’ancienne version Next Generation (NG) et qu’il se conforme à la réglementation qui exige qu’une force opposée augmente sur le manche de façon linéaire lorsque le pilote manœuvre son avion. Ce n’est donc pas à cause d’un problème de centrage dû à la position plus avancée des moteurs ou à leur plus forte poussée, comme cela a pu être dit.

 

Si les nouveaux moteurs du Max (Leap-1B de CFM International) peuvent faire cabrer l’avion dans certaines circonstances, cela se traduit par une force de réaction au manche insuffisante de nature à surprendre les pilotes.  

 

Le MCAS est un des composants du STS

 

Auparavant, avec l’introduction du moteur CFM-56 en 1984 sur le 737 Classic, le nouvel appareil a vu sa puissance moteur augmenter significativement de plus de 20 %. Cela a justifié l’introduction du Speed Trim System (STS), un système de compensation d’aide au pilotage manuel, qui ajuste automatiquement le plan horizontal réglable (PHR) lors de fortes variations de poussée pendant les phases de décollage et de remise de gaz, particulièrement à faible masse et centrage arrière.

 

Le STS s’active automatiquement lorsque l’assiette est trop importante et s’approche du décrochage. Le système n’utilise qu’une seule sonde pour son fonctionnement, en alternant à chaque vol entre celle de gauche et droite. À l’époque, cette conception a été jugée acceptable par la Federal Aviation Administration (FAA), même en cas d’emballement du STS, en raison de la capacité des pilotes à contrer manuellement le système avec l’aide du trim ou en coupant son alimentation électrique (STAB TRIM), grâce à deux interrupteurs situés sur la console centrale.

 

Le STS a été conservé sur les générations suivantes : le 737 NG en 1997 et le 737 Max en 2016. En revanche, sur le Max, le STS a incorporé dans son système le MCAS pour gérer la prise d’assiette de l’avion, jugé plus efficace pour éviter un décrochage.

 

 

C’est en 2012, au cours de la définition aérodynamique du Max et d’essais en soufflerie à des vitesses élevées et à hautes altitudes, que Boeing a détecté un problème de stabilité lors de départs en virage engagé[2], procédure qui fait partie de la certification de l’avion.

Après des modifications de l’aile – ajout de générateurs de vortex[3] modifiant le flux d’air, testés à différents endroits et angles –, les résultats n’ont pas été satisfaisants. Mais il n’a pas été question pour autant d’en fabriquer une nouvelle pour le Max.

Afin de pallier ce défaut, Boeing a décidé d’intégrer le système MCAS qui avait été initialement développé pour les besoins du ravitailleur en vol KC-46[4], dérivé du B767 (1981). Les 737 et 767 sont des Boeing d’anciennes générations qui n’ont pas de commandes de vol électriques pour corriger ce genre de problème.   

 

Le MCAS du KC-46 a été uniquement conçu pour protéger l’avion à de hautes altitudes, et il ne peut se déclencher qu’en cas de circonstances exceptionnelles, notamment pendant les phases de ravitaillement en vol, qui peuvent occasionner des changements rapides de masse et de centrage de l’appareil.

 

Contrairement au Max, le pilote du KC-46[5] a autorité sur le MCAS, lorsqu’il prend les commandes en manuel, lequel ne se déclenche qu’une seule fois par événement et ne peut se réinitialiser automatiquement. Il est de plus alimenté par deux sources distinctes d’incidence (AOA), alors qu’il n’y en a qu’une seule sur le Max.

 

D’après The Seattle Times, ce choix semble être guidé par des raisons économiques pour réduire par deux le risque de panne des sondes et par conséquent celui d’immobilisation de l’avion pour dépannage. En effet, ce type de panne est considérée comme interdisant tout départ (NO-GO).

 

 

 

 

 

En réalité, l’architecture du 737 – qui date des années 1960 – ne possédait qu’une sonde d’incidence, côté commandant, puis deux (une par côté et par pilote), au passage du 737 Classic (300/400/500). En revanche, les avions de la génération de l’A320 – dans les années 1980 – en ont trois. Pour les systèmes importants, il y a par sécurité un système de secours supplémentaire. Si l’un tombe en panne ou si l’information fournie n’est pas satisfaisante, il y a un basculement automatique vers le système de secours ou bien le pilote intervient en utilisant un sélecteur. Cependant, même redondant, si l’un des trois systèmes tombe en panne avant le départ, l’avion ne peut pas partir (NO-GO).

 

Sur le plan philosophique et jusqu’au Max, Boeing s’était toujours opposé aux automatismes autoritaires, tel le pousseur de manche sur certains avions (MD, CRJ, Learjet) pour éviter le décrochage. C’est pourtant ce qu’il a fait en introduisant le MCAS, s’inspirant par-là de la philosophie d’Airbus qui laisse moins de liberté aux pilotes, notamment par des commandes de vol électriques qui évite la sortie du domaine de vol en utilisation normale. 

 

Puis, en mars 2016, lors d’essais à basse vitesse sur le simulateur de vol d’ingénierie (E-Cab) pour évaluer les performances du Max, il s’est avéré que les efforts physiques du pilote sur le manche n’étaient pas suffisamment proches de ceux relevés sur le NG, ce qui risquait de remettre en cause la qualification commune.   

 

En effet, l’effort sur les commandes doit rester souple et régulier : il doit être de 10 livres (4,54 kg) pour le déplacement d’un pouce (2,54 cm) du manche. Autrement dit, le déplacement (en butée cabré) de 25 cm du manche doit correspondre un effort de 45 kg.

 

Conçu pour s’activer automatiquement en cas d’approche du décrochage, le MCAS « pousse sur le manche » par un déroulement du trim de profondeur, qui fait bouger le plan horizontal réglable (PHR) d’une valeur maximale par événement de - 0,6° en altitude à hautes vitesses et facteur de charge élevé, et de - 2,5° à basses vitesses, volets rentrés.

 

Boeing a fait appel à la société Collins Aerospace[6] pour lui fournir le MCAS et lui a demandé en 2016 que le logiciel puisse aussi protéger le Max aux basses vitesses.

 

 

 

 

 

 

 

 

Alarme de panne de l’incidencemètre en option[7] sur le 737 Max mais en série sur le 737 NG…

 

 

 

 

La « Non-Normal Checklist » (NNC) de la panne d’une des sondes d’incidence (AOA DISAGREE) peut induire des erreurs de vitesse et d’altitude. C’est ce qui s’est produit lors des deux accidents (Lion Air et Ethiopian Airlines).

 

De plus, le vibreur de manche s’est déclenché et a fonctionné continuellement. La NNC ne suggère pas la coupure des STAB TRIM sur CUTOUT ni le renvoi vers une autre checklist, comme celle de l’emballement du trim (RUNAWAY STABILIZER).

 

Cependant, une activation erronée du MCAS ne ressemble pas à un emballement de trim, qui se matérialise par un mouvement continu du PHR. Lors des accidents, le mouvement du PHR était limité à 2,5° à chaque déclenchement du MCAS, et les pilotes ont pu initialement stopper le mouvement à piquer en utilisant le trim électrique qui inhibe le MCAS. Mais 5 secondes après avoir relâché le trim, celui-ci se réinitialise et repart à piquer.

 

Cela signifie que si l’avion n’est pas rapidement trimé au neutre en vol horizontal (ce qui peut prendre plus de 5 secondes), le MCAS, qui est toujours actif, se déclenche à nouveau modifiant à chaque fois la trajectoire de l’appareil toujours plus en piqué. Autrement dit, en deux cycles à 2,5°, le MCAS peut mettre le PHR en butée à piquer, qui est limité à 4,2°. Sur les deux accidents, les deux vérins à vis des PHR ont été retrouvés en butée à piquer.

 

Lorsque le trim électrique est désactivé, l’utilisation manuelle de la roue du trim nécessite jusqu’à 40 tours pour ramener le PHR au neutre (même en s’aidant de la manivelle intégrée). Mais plus la vitesse de l’avion augmente en plongeant, plus les forces aérodynamiques qui s’exercent sur le PHR (qui est en piqué) et sur la gouverne de profondeur (qui est plein cabré) risquent de bloquer le trim.

 

Plusieurs années avant la certification du 737 Max, Boeing et la FAA avaient engagé des discussions sur le contenu de la formation des pilotes et des manuels d’utilisation de l’avion (FCOM et FCTM). À partir de mars 2016, Boeing a proposé de supprimer le MCAS et les tableaux des différences entre le Max et le NG des manuels, ce que la FAA a approuvé.

 

En effet, Boeing a considéré que la fonction du MCAS est automatique, sans aucune commande de la part de l’équipage de conduite, et qu’elle fonctionne en arrière-plan. Boeing a également estimé que la procédure requise pour répondre au MCAS n’était pas différente des procédures existantes et que les équipages ne devaient pas avoir affaire au MCAS en fonctionnement normal. Les discussions entre la FAA et Boeing n’ont pas pris en compte les scénarios de défaillance du MCAS.

 

Cette nouvelle démarche a été à l’encontre d’une longue tradition chez Boeing qui consistait à toujours donner au pilote le contrôle complet de l’avion. Le service d’analyse de sécurité de Boeing prévoyait que les pilotes seraient le principal filet de sécurité en cas de défaillance du système.

 

Le manque d’information des pilotes sur le MCAS a rendu plus difficile le diagnostic de la panne de la sonde d’incidence (AOA) et la recherche de la procédure appropriée.

 

Un mémo interne signé par Todd Zarfos, le vice-président de Boeing qui dirigeait le centre de conception technique de la compagnie, recommandait à l’époque que la « vitesse synthétique[8] » soit installée sur le Max, un système déjà existant sur le 787. Il pensait que cela améliorerait la fiabilité de ses systèmes de données anémométriques.

 

Mais Boeing a soutenu qu’il serait préférable de garder les systèmes actuels du Max communs avec ceux des modèles 737 antérieurs, afin d’éviter toute confusion lorsque les pilotes passeraient d’un type d’appareil à l’autre. Cela aurait nécessité de plus une révision majeure pour la mise en conformité de l’ensemble de la formation et de la documentation pour 75 000 pilotes dans le monde, plus un grand nombre de mécaniciens et d’ingénieurs des compagnies aériennes.

 

2/ Accident du Lion Air, du vol précédant le Lion Air et de l’Ethiopian Airlines

 

Résumé de l’accident du Lion Air (LNI 610) du 28 octobre 2018

 

L’avion, immatriculé PK-LQP, est entré en service chez Lion Air le 18 août 2018.

Le commandant, de nationalité indienne et âgé de 31 ans, avait 6 000 heures de vol (hdv), dont 5 200 sur B737. Le copilote, un Indonésien de 41 ans, avait quant à lui 5 200 hdv, dont 4 200 sur B737.

 

Le vol 610 de Lion Air a décollé de Jakarta le 29 octobre 2018 à destination de Pangkal Pinang Indonésie ; le commandant de bord était le pilote en fonction (PF), c’est-à-dire celui qui pilote l’avion.   

 

Lors de la rotation au décollage, les pilotes ont perçu les alarmes de désaccord de vitesse et d’altitude sur leurs écrans primaires (PFD) respectifs. Le vibreur de manche du commandant s’est activé. C’est sa sonde d’incidence (AOA) gauche qui était en défaut.

 

La prise d’assiette n’a été que de 7° au décollage au lieu de 13°, à cause d’un écart de 21° entre les deux sondes AOA, qui est resté jusqu’à la fin du vol.  

 

Le copilote a annoncé l’alarme TAKEOFF CONFIG, puis celle de vitesse en désaccord (IAS DISAGREE), et le message est resté affiché jusqu’à la fin du vol. Il a ensuite demandé au commandant s’il avait l’intention de retourner se poser à l’aéroport de départ.  

 

Le commandant a ordonné plusieurs fois au copilote d’exécuter des items de mémoire de la procédure de vitesse non fiable (AIRSPEED UNRELIABLE), mais ce dernier a mis beaucoup de temps pour trouver la checklist dans le répertoire des checklists (QRH).  

 

 

 

Les items de mémoire sont les quatre premiers, jusqu’au tireté (- - - -).

 

Le commandant a ensuite demandé au copilote, qui s’occupait de la radio, de réclamer au contrôleur un endroit pour se mettre en attente à l’altitude de 5 000 ft en vue de régler le problème.

 

Après la rétractation des volets, le MCAS s’est activé 21 fois pendant les six dernières minutes du vol. Le commandant a partiellement réussi à le contrer mais sans avoir effectué la checklist non-normale d’emballement du stabilisateur (RUNAWAY STABILIZER), qui aurait arrêté l’activation du MCAS.

 

Une minute avant le crash, le commandant a donné les commandes au copilote, lequel a trimé plusieurs fois l’avion vers le haut mais pas suffisamment pour contrer le MCAS.  

 

Les forces exercées sur le manche vers l’avant, résultant des pressions aérodynamiques sur le PHR et la gouverne de profondeur, ont dépassé 45 kg (100 Lbs), ce qui est plus que les 34 kg (75 Lbs) limite fixés par le règlement. La compagnie Lion Air n’avait pas pris l’option de l’alarme AOA DISAGREE.

 

 

Résumé du vol précédent (LNI 043, Denpasar – Djakarta)

 

La veille de l’accident, le même Boeing 737 Max (PK-LQP) avait fait un vol entre Denpasar et Djakarta sous le numéro LNI 043.

 

Lors de la visite prévol, le commandant de bord a été informé par le mécanicien du changement de la sonde AOA gauche (la sienne), responsable des alarmes de vitesse et d’altitude sur le vol précédent.  

 

Le commandant, pilote en fonction (PF), a fait le briefing départ et a mentionné le remplacement de la sonde AOA gauche. Sur ce vol, il y avait également un copilote voyageant sur le strapontin (jump seat) du cockpit, qualifié sur 737 Max.

 

Après le décollage et la rentrée du train d’atterrissage, l’alarme de configuration au décollage s’est déclenchée, alors qu’elle ne le fait normalement qu’au sol. Puis, à 400 pieds de hauteur (120 m), le commandant a noté sur son écran primaire (PFD) l’alarme de désaccord de vitesse et du déclenchement du vibreur de manche, lequel est resté actif durant tout le vol, soit 96 minutes.

 

Le commandant a comparé les informations sur les deux PFD (celui du copilote et le sien), ainsi que celles de l’instrument de secours, et a déterminé que les siennes étaient erronées. Il a alors transféré les commandes au copilote.

 

Il a lancé et exécuté les items de mémoire de la procédure de vitesse peu fiable (AIRSPEED UNRELIABLE) et, lorsqu’il a baissé les yeux pour prendre le guide des checklists (QRH), le pilote sur le jump seat l’a informé que l’avion plongeait. Le commandant a ordonné au copilote de suivre son directeur de vol (F/D) en s’aidant du trim pour redresser l’appareil. Il avait remarqué que lorsque le copilote arrêtait de trimer l’avion, celui-ci se remettait à plonger.

 

Puis il a lancé un message d’urgence « PAN PAN ». Le contrôleur de Denpasar lui a demandé s’il voulait revenir à l’aéroport, et le commandant lui a répondu STANDBY.

 

Après que le MCAS s’est déclenché à trois reprises, le copilote a fait part de sa difficulté à maintenir l’avion à l’horizontal. Le commandant a considéré alors qu’il s’agissait d’un emballement du stabilisateur (RUNAWAY STABILIZER). Il a exécuté les items de mémoire et positionné les commutateurs STAB TRIM sur CUTOUT, ce qui a désactivé le MCAS.

 

 

Quelques minutes plus tard, le commandant a réenclenché les commutateurs STAB TRIM sur NORMAL, et le MCAS s’est réactivé. Il a remis les commutateurs sur CUTOUT, qui sont restés dans cette position jusqu’à la fin du vol.

 

Le commandant a informé le contrôleur de Denpasar que le problème avait été résolu et a demandé de poursuivre le vol au niveau de vol 290, en dessous de la zone d’espacement verticale réduite (RVSM).

 

Il a remarqué sur son PFD que la vitesse minimale et la vitesse maximale rouge et noir (ruban de poteau de barbier) avaient fusionné. Le commandant s’est alors concentré sur le PFD du copilote pendant le reste du vol. Il a pris conscience des difficultés de communication avec le bruit permanent du vibreur de manche.

 

À l’arrivée, après avoir parqué l’avion, le commandant a informé verbalement le mécanicien des problèmes survenus durant le vol et a noté sur le carnet de vol de l’aéronef (AFML) le déclenchement des alarmes de vitesse et d’altitude, ainsi que celle de pression différentielle sur les commandes de vol. Il n’a pas mentionné l’activation du vibreur de manche, car il croyait que l’activation était le résultat des problèmes mentionnés. Il n’a pas signalé non plus que les interrupteurs STAB TRIM avaient été positionnés sur CUTOUT pendant tout le vol et qu’il les avait remis en position NORMAL après l’atterrissage.

 

Le commandant a également fait un compte rendu de sécurité[9] électronique, Air Safety Report (ASR), à la compagnie soupçonnant le STS de mauvais fonctionnement. Il a enfin tenté de joindre le Duty Management Pilot pour lui signaler l’incident, mais il n’était pas joignable. 

 

Le commandant a indiqué aux enquêteurs qu’il avait exécuté trois checklists non-normales, Airspeed Unreliable, Altitude Disagree et Runaway Stabilizer, et qu’aucune ne contenait l’instruction de prévoir d’atterrir à l’aéroport approprié le plus proche. Il a donc décidé de poursuivre le vol malgré les instruments de vol dégradés, volant sans pilote automatique ni automanette de poussée et l’activation continue du vibreur de manche.

 

Toutefois, il ne s’agit que des propos du commandant rapportés aux enquêteurs. Sa décision de poursuivre le vol est critiquable, et le rapport d’incident est incomplet et insuffisamment détaillé.

 

 

Résumé du vol Ethiopian Airlines ET-302 du 10 mars 2019

 

Le 10 mars 2019, le vol 302 d’Ethiopian Airlines, un Boeing 737-8 Max immatriculé ET-AVJ, s’est écrasé peu de temps après le décollage de l’aéroport d’Addis-Abeba en Éthiopie.

 

Le commandant de bord avait 29 ans et 8 122 heures de vol, dont 1 417 sur B737 et 103 sur B737 Max ; le copilote, 25 ans, 361 hdv, dont 207 sur B737 et 56 sur Max.

 

Le roulage au décollage s’est déroulé normalement, les moteurs se sont stabilisés à environ 94 % de leur puissance et le sont restés pendant tout le vol ; ce qui signifie que les manettes des gaz n’ont jamais été déplacées.

 

Moins d’une minute après le décollage, les valeurs des incidencemètres (AOA) sont passées de 74,5° en 3/4 de seconde pour la gauche, tandis que l’AOA droite n’a pas dépassée 15,3°. Le vibreur de manche gauche s’est activé et est resté actif jusqu’à la fin du vol.

 

À environ 400 ft (120 m) de hauteur au radioaltimètre, le commandant a engagé le pilote automatique (A/P), puis a commandé la rentrée des volets. Le copilote a demandé au contrôleur aérien de maintenir le cap de la piste et de pouvoir monter à 14 000 pieds[10]. Il a alors signalé qu’il avait des problèmes de commandes de vol.

 

Vers 1 000 ft, l’A/P s’est déconnecté et, 5 secondes plus tard, le MCAS s’est activé trois fois, suivi de plusieurs alarmes du système de proximité du sol (GPWS) « Ne pas plonger » (DON’T SINK).

 

Le commandant a demandé au copilote de l’aider à maintenir l’avion, et tandis que ce dernier demandait à deux reprises « STAB TRIM CUTOUT », le commandant a mis les interrupteurs STAB TRIM sur CUTOUT. Puis il a ordonné au copilote de tourner la roue du trim manuel, lequel lui a répondu qu’elle ne fonctionnait pas (elle était bloquée).

 

Enfin le commandant a remis les interrupteurs STAB TRIM sur NORMAL certainement pour pouvoir réutiliser le trim électrique, ce qui a activé le MCAS une nouvelle fois.

 

Bien que les pilotes aient tiré sur leur manche avec un effort allant jusqu’à 180 livres (82 kg), l’angle de piqué de l’avion a continué d’augmenter. À la fin de l’enregistrement, la vitesse indiquée atteignait 500 nœuds (> 900 km/h). 

 

 

3/ Mesures correctives. Simulations des deux vols

 

Mesures correctives

 

Après le premier accident du Lion Air, Boeing a publié un bulletin du manuel d’exploitation (OMB), le 6 novembre 2018, indiquant aux exploitants les procédures existantes pour remédier au cas d’entrée erronée d’une sonde AOA.

 

 

 

 

 

 

 

Le 7 novembre, la FAA a publié une consigne de navigabilité d’urgence exigeant la révision des limitations de certificat et des procédures d’exploitation du manuel de vol de l’avion (AFM), afin de fournir aux équipages de conduite des procédures de rattrapage d’emballement du PHR.

 

Après le deuxième accident, Boeing a produit une mise à jour du logiciel du MCAS avec des couches de protection supplémentaires au cas où les sondes AOA fourniraient des informations erronées. Le logiciel devra être validé par des tests de certification en vol avec des pilotes de la FAA.

 

Les couches de protection supplémentaires sont les suivantes :

  • le logiciel compare les entrées des deux sondes AOA. Si elles sont en désaccord de 5,5 degrés ou plus, le MCAS ne s’active pas ;

  • une alarme AOA DISAGREE sur l’écran PFD alertera les pilotes et fournira une information supplémentaire pour mieux comprendre la situation. Elle ne sera plus en option ;

  • si le MCAS s’active, il ne se déclenchera qu’une seule fois par événement d’AOA élevé, et non plus continuellement ;

  • le MCAS ne pourra pas surpasser les efforts des pilotes ;

  • les pilotes déjà qualifiés sur 737 NG devront suivre une formation sur les différences entre NG et Max et faire une séance au simulateur, notamment pour s’entraîner aux pannes du MCAS ;

  • il y aura un indicateur de la valeur de l’incidence AOA sur chaque PFD, cela à titre d’information supplémentaire. Cependant, aucune action ou procédure ne nécessitera de connaître l’incidence[11] ou l’angle d’attaque de l’avion en vol.

 

 

Réactions de certains spécialistes de l’aéronautique

 

Au lendemain de l’accident du Lion Air, les responsables des syndicats des pilotes d’American et de Southwest Airlines ont critiqué Boeing pour n’avoir fourni aucune information sur le MCAS ni sur son éventuel dysfonctionnement dans les manuels du 737 Max.

Chez United Airlines, compagnie qui exploite 14 B737 Max, 23 000 heures de vol avaient été effectuées sur l’avion sans aucun problème technique ou ayant affecté les performances du Max. Même constat chez Southwest Airlines avec 34 B737 Max en opération.

Chinar Shah, instructrice sur 737 Max chez Jet Airways, pense qu’un cours d’introduction sur le MCAS aurait été utile, mais elle comprend la logique de Boeing considérant les besoins en termes de connaissances du MCAS de « Nice to know » et non de « Need to know ». Car les actions requises sont les mêmes que pour l’emballement du stabilisateur, qui est enseigné dès le premier jour. Elle explique : « Vous faites toujours les mêmes items de mémoire... vous suivez toujours la même checklist. […] En tant qu’industrie, nous sommes tous devenus excessivement dépendants de l’automatisation et de la technologie. La perception répandue est que l’automatisation du cockpit est là pour faire le travail pour vous, plutôt que pour vous aider. Si l’automatisation échoue, et nous savons que c’est parfois le cas, les pilotes doivent avoir l’expérience, la formation et les capacités techniques pour prendre instantanément le relais et piloter l’avion en toute sécurité.  […] Les pilotes nouvellement embauchés en fonction de leurs compétences ont eu 11 ou 12 séances de simulateur, contre environ 14 auparavant. Pendant ce temps, les taux d’échecs des pilotes ont considérablement diminué. Des transporteurs asiatiques font face à une pression identique pour former davantage de pilotes à mesure que les flottes se développent et met en évidence une pénurie mondiale de pilotes. »

 

D’autres initiés sont préoccupés par la licence multipilote (MPL) de l’OACI. La MPL ne nécessite pas de temps de vol minimum. Les titulaires n’ont besoin que d’une licence professionnelle et de 240 heures passées dans un avion ou simulateur. La MPL permet aux pilotes débutants de s’asseoir sur le siège droit d’un avion de ligne. Mais cela est insuffisant pour les préparer aux situations du monde réel.

 

En comparaison, la réglementation américaine exige que les pilotes de transport aient 1 500 heures de vol, à quelques exceptions près. Elle est controversée, car les compagnies aériennes régionales américaines ont aggravé la pénurie de pilotes sans améliorer la qualité de leurs qualifications.

 

John Goglia, ancien membre du NTSB américain, a expliqué que l’équipage du Lion Air a montré d’importants problèmes de connaissances et de discipline. Les pilotes qualifiés devraient être en mesure de terminer rapidement les items de mémoire. De telles lacunes, non corrigées, disqualifieraient les pilotes aux États-Unis.

 

Andrew Kornecki, ancien professeur à l’université d’Embry-Riddle Aeronautical en Floride, qui a étudié les systèmes de redondance dans les Airbus et Boeing, a déclaré que le fonctionnement du système automatisé avec un ou deux capteurs conviendrait si tous les pilotes étaient suffisamment formés pour évaluer et gérer l’avion en cas de problème. Mais il a ajouté que s’il devait concevoir le système à partir de zéro, il mettrait l’accent sur la formation tout en construisant l’avion avec trois capteurs.

 

Des données publiées au Parlement indonésien montrent que les pilotes ont tiré désespérément le manche pour redresser l’avion. Sur les modèles 737 précédents et d’autres avions Boeing, un pilote qui tire fort sur le manche désactiverait la commande automatique du STS. Afin de faire fonctionner le MCAS, Boeing a supprimé cette possibilité.

 

Peter Lemme, un ancien ingénieur des commandes de vol chez Boeing qui est maintenant consultant en avionique et en communications satellitaires, a déclaré que, parce que le MCAS se réinitialisait chaque fois qu’il était utilisé, il avait le plein pouvoir de déplacer le PHR jusqu’au maximum de son débattement autorisé. Il considère que le MCAS a de ce fait une autorité illimitée. Précisant que personne n’aurait dû accepter cela ; ce n’était pas nécessaire.

 

Lemme a souligné que pratiquement tous les équipements d’un avion commercial, y compris les différents capteurs, sont suffisamment fiables pour répondre à l’exigence de défaillance majeure, à savoir que la probabilité d’une défaillance doit être inférieure à un sur 100 000 cas. De tels systèmes sont donc généralement autorisés en s’appuyant sur un seul capteur. Mais lorsque les conséquences sont jugées plus graves, avec une exigence de défaillance dangereuse, nécessitant une probabilité plus stricte d’un sur 10 millions, un système doit avoir au moins deux canaux d’entrée distincts.

 

Face aux déclenchements intempestifs et répétés du MCAS, la procédure d’urgence a échoué de manière désastreuse. « Les forces aérodynamiques sur l’ensemble PHR et gouverne de profondeur ont pu être trop importantes à contrôler, les pilotes ne pouvaient plus faire tourner la roue du trim manuelle.  Finalement, plus les avions sont sophistiqués, moins il y a de procédures pertinentes pour les aider dans des situations critiques », ajoute Lemme.

 

Il fait également référence à une ancienne procédure de pilotage décrite dans le Pilot Training Manual du Boeing 737-200 de 1982, publiée sur un forum de pilotes en ligne, le  « Roller Coaster » ou « montagnes russes[12] », aussi appelée « yo-yo procédure » qui décrit : « Si une compensation à cabrer est requise, soulevez le nez bien au-dessus de l’horizon avec la commande de profondeur. Relâchez ensuite lentement la pression sur le manche et trimez manuellement. Laissez le nez redescendre en dessous de l’horizon pendant que vous utilisez le trim. Répétez cette séquence jusqu’à ce que l’avion soit correctement trimé. »

 

Un extrait de cette procédure est paru dans le magazine Airliner de Boeing de mai 1961, qui décrit une technique similaire sur le 707, le premier jet de Boeing. D’ailleurs, la roue du trim du 737 n’est-elle pas la même que celle du 707 ? Tout comme le nez de l’avion qui est identique sur les deux modèles.

 

John Cox, consultant en sécurité aérienne, directeur général de Safety Operating Systems et ancien haut responsable de la sécurité du syndicat Air Line Pilots Association, a déclaré qu’il avait été formé à la technique des montagnes russes dans les années 1980 pour faire face au risque de survitesse en piqué notamment, mais que, depuis le 737-300 (1984), le produit est devenu si fiable qu’il n’y a pas eu d’accident de ce type.

 

Il est possible que les pilotes éthiopiens, en alerte à cause du risque de déclenchement intempestif du MCAS après l’accident de Lion Air, aient coupé directement les interrupteurs du trim avant même d’essayer de le contrer avec le trim électrique en fonctionnement.   

 

Selon Cox, la procédure proposée par Boeing après l’accident de Lion Air pour assurer la sécurité des Max est désormais terriblement inadéquate et pourrait avoir condamné le 737 d’Ethiopian Airlines.

 

Réactions au niveau de la certification

 

Les directives de la FAA indiquent que, dans l’hypothèse où une urgence survienne, le pilote doit réagir dans les trois secondes pour un avion volant en pilotage automatique, et en une seconde si l’avion est piloté manuellement. Or, ces valeurs semblent insuffisantes puisque la non-réaction des pilotes au-delà de dix secondes interdit la récupération de l’avion après le déclenchement de MCAS. Or, pour comprendre la situation et contrer le déroulement du trim, cela prend plutôt sept secondes.

 

Après les deux crashs, Boeing a sollicité la création d’un comité d’experts internationaux, le JATR[13], qui a trouvé la technologie sans précédent : « Si le personnel technique de la FAA avait été pleinement au courant des détails de la fonction du MCAS, nous pensons que l’agence européenne EASA aurait probablement eu besoin d’un document plus consistant pour son évaluation et aurait certainement exigé plus de protections. »

En septembre 2019, dans la mise à niveau proposée par Boeing pour le Max, l'AESA a déclaré qu'elle préférait que les capteurs AOA soient à triple redondance plutôt que double (comme pour l’A320). Mais l'installation d'une troisième sonde coûtera cher et prendra du temps. S'il est mandaté, le changement, pourrait être étendu à des milliers d'anciens modèles 737 en service dans le monde. 

L’administration Transports Canada a demandé que Boeing développe un moyen pour les pilotes de désengager le stick-shaker, le vibreur du manche qui a pollué continuellement les deux vols créant une puissante distraction en milieu d’urgence.

 

Des experts canadiens sont également inquiets que les charges sur la vis du vérin du PHR aient significativement augmenté depuis la création du 737. La réglementation exige que les commandes soient conçues pour supporter 125 % des charges maximales prévisibles. Ils ont fait part de leurs préoccupations concernant la surchauffe possible des moteurs du trim sur la vis sans fin.  

Simulations de déclenchements intempestifs du MCAS

 

En juin 2019, trois pilotes d’essai de la FAA ont effectué des tests de déclenchements intempestifs du MCAS. Ils ont estimé que cela avait pris trop de temps et qu’un pilote moins attentif, pris par surprise, aurait échoué à reprendre le contrôle de l’avion. En effet, selon une autre source, le pilote, représentant un commandant de bord d’une compagnie américaine typique, n’a pas récupéré l’avion. Les deux autres, ex-militaires, ont réussi non sans difficultés.

 

Plusieurs autres pilotes ont simulé le déclenchement intempestif du MCAS au simulateur

 

Dennis Tajer, un capitaine d’American Airlines et porte-parole de l’Allied Pilots Association, a reproduit cette situation, provoquant délibérément un piqué à grande vitesse, comme le MCAS, sans dépasser toutefois la vitesse maximale autorisée. Il a pu déplacer la roue du trim de quelques pouces mais pas suffisamment. Alors, avec son copilote, ils ont pu reprendre le contrôle en utilisant l’ancienne technique des montagnes russes.

 

Un commandant suédois, instructeur et expert sur 737, qui héberge Mentour Pilot sur YouTube, commente en détails les particularités de pilotage d’un avion de ligne. Il a abordé les difficultés du 737 Max, mais pour se protéger, il a retiré son nom et celui de sa compagnie du site. Lors d’un test sur simulateur 737 effectué avec un autre pilote européen, ils ont simulé un vol lorsque le MCAS s’active, en programmant des pannes de désaccord de vitesse et d’altitude, puis ils sont intervenus en suivant les procédures et checklists de Boeing. Malgré cela, la vitesse a continué d’augmenter jusqu’à bloquer le trim et sa roue manuelle.  L’instructeur suédois a fait tout son possible pour retenir le manche en le bloquant avec ses bras autour, tandis que le copilote a seulement réussi à bouger la roue du trim. Si cela avait été un vrai vol, les deux pilotes 737, pourtant très compétents, auraient certainement échoué.

 

Au début de cette vidéo impressionnante, le pilote suédois dit qu’il l’a affiché à la fois comme une alerte de sécurité mais aussi pour couper court aux propos de certains pilotes, en particulier ceux de syndicats américains affirmant que les équipages indonésiens et éthiopiens étaient incompétents. Il a depuis retiré la vidéo, puisque que l’enquête sur le crash de l’Ethiopian Airlines est toujours en cours.  

 

Dans un éditorial du New York Times Magazine[14] (octobre 2019), le commandant Sullenberger, dit « Sully », le pilote de l’amerrissage sur l’Hudson en 2009, a sévèrement critiqué Boeing et la FAA pour avoir autorisé le système MCAS qui « n’aurait jamais dû être approuvé. […] Ces procédures d’urgence ne se sont pas présentées comme un problème classique d’emballement de trim, mais correspondent à des situations ambiguës, de vitesse et d’altitude non fiables, masquant le MCAS. »

 

Sully est l’un des rares à avoir piloté un simulateur du Boeing 737 Max de niveau D, le plus élevé, reproduisant au plus près les deux vols accidentés. Il s’en est pris à ceux qui blâment les pilotes, qualifiant le MCAS de piège mortel.

_____________________________

[1]. Depuis sa conception originelle, le 737 Max est devenu 40 % plus long, 61 % plus lourd, et ses moteurs deux fois plus puissants.

[2]. Ou Wind-up turn (NASA IS-97/08-DFRC-WUT).

[3]. Petites aubes métalliques soudées sur les ailes.

[4]. Programme commencé en 2006 avec un premier vol en 2015.

[5]. L’US Air Force n’a pas observé d’activation inopinée du MCAS sur le KC-46 au cours des tests similaires à ceux des deux crashs du Max. Lors de la compétition exacerbée pour l’obtention du marché du siècle des ravitailleurs en vol KC-X, Boeing a été dénigré par la presse pour avoir bricolé un « Franken-tanker » pour contrer l’A330 (1994). AIR FORCE Magazine, 14 septembre 2009.

[6]. Collins Aerospace, anciennement Rockwell Collins, fournit aussi les écrans (PFD, ND) du poste de pilotage. La société mère est United Technologies, qui possède aussi Rosemount Aerospace, laquelle produit les sondes d’incidence du 737 Max.

[7]. Cette option payante n’a pas été sélectionnée par Lion Air ni par la plupart des compagnies aériennes, sauf par Air Canada, American Airlines et Westjet. Mais Air Canada et American Airlines ont acheté, en plus, l’indicateur de la sonde « Angle Of Attack » (AOA).

[8]. Airspeed indication system description. The B787 aircraft incorporated a pitot-static air-data reference system (ADIRS), consisting of three independent pitot-static sensors. The sensed values from all three systems were input to a fault detection system that provided an airspeed value to the primary flight displays. This value was termed the voted airspeed.  The B787 also computed an angle of attack, synthetic airspeed (AOA speed) value that was available to the flight crew. This speed was derived from angle of attack and inertial data. Significant disparities between voted airspeed and AOA speed alerted the crew via AIRSPEED UNRELIABLE and the autopilot disconnecting.

If voted airspeed dropped to a specific threshold level, a reversion to a secondary flight control occurred. In secondary mode, the following functions of the flight control system were no longer available: • Autopilot • Auto speedbrakes • Envelope protection • Gust suppression • Pitch compensation • Roll/yaw asymmetry compensation • Tail strike protection Elevator and rudder inputs are also more sensitive at some airspeeds, and yaw damping is degraded.

For the conditions of this event, secondary mode is a latched condition and once activated, normal mode can only be re-instated on the ground.  

[9]. “Airspeed unreliable and ALT Disagree shown after takeoff, STS (Speed Trim System) also running to the wrong direction, suspected because of speed difference, identified that CAPT instrument was unreliable and handover control to FO. Continue NNC of Airspeed Unreliable and ALT Disagree. Decide to continue flying to CGK at FL280, landed safely runway 25L.”[Même remarque qu’en page 11.]

[10]. L’aéroport est à une altitude de 7 650 ft (2 330 m). L’altitude de 14 000 ft correspond à une hauteur au-dessus de l’aéroport de 6 350 ft (1 940 m).

[11]. Certainement, mais cela apporte un confort supplémentaire dans la gestion du vol. Pour avoir volé sur A320 avec des incidencemètres, j’avais toujours un œil qui traînait dessus, particulièrement lors des changements de configuration des volets. Par exemple, le passage des volets de 1 à 2 ramenait l’incidence d’environ 5° à 2°. L’interception du localizer d’un ILS pouvait faire monter l’incidence (volets 1) jusqu’à 7-8° par le virage, à cela pouvait s’ajouter de la turbulence…

[12]. Recovery from a Severe Out of Trim: Accelerate or decelerate the airplane to an in-trim airspeed. If a recovery must be initiated from an extreme nose-down out-of-trim requiring a high pull force, an increase in airspeed may relieve enough of the elevator load and control displacement to permit manual trimming. Do not exceed speed limitation. If a recovery must be initiated from an extreme nose-up out-of-trim requiring a high push force, a decrease in airspeed may relieve enough of the elevator load and control displacement to permit manual trimming. It should be noted that the relationship between airspeed change and trim change do not remain constant. As airspeed is increased, trim change requirements decrease.

In an extreme nose-up out-of-trim condition, requiring almost full forward column, decelerate, extend the flaps and/or reduce thrust to a minimum practical setting consistent with flight conditions until elevator control is established. Do not decrease airspeed below the minimum maneuvering speed for the flap configuration. A bank of 30 degrees or more will relieve some force on the control column. This, combined with flap extension and reduced speed, should permit easier manual trimming.

If other methods fail to relieve the elevator load and control column force, use the "roller coaster" technique. If nose-up trim is required, raise the nose well above the horizon with elevator control. Then slowly relax the control column pressure and manually trim nose-up. Allow the nose to drop below the horizon while trimming. Repeat this sequence until the airplane is trim. If nose-down trim is required, slowing down and extending the flaps will account for a large degree of nose-up pitch. If this does not allow manual trimming then the reverse "roller coaster" can be performed to permit manual trimming.

That is called aerodynamically relieving air-loads and was sometimes called the Yo-Yo maneuver. Yet that advice was removed from the Boeing 737-300 FCTM and subsequent variants of the 737 series.

[13]. Joint Authorities Technical Review, présidé par Christopher Hart, l’ancien président du National Transportation Safety Board (NTSB), réunit des experts de la FAA, de la NASA et de neuf autres autorités de régulation du trafic aérien (l’Agence européenne de la sécurité aérienne et des représentants de l’Australie, du Brésil, du Canada, de la Chine, du Japon, de l’Indonésie, de Singapour et des Émirats arabes unis).

[14] Letter to the Editor New York Times Magazine, Published in print on October 13, 2019.

In “What Really Brought Down the Boeing 737 MAX?” William Langewiesche draws the conclusion that the pilots are primarily to blame for the fatal crashes of Lion Air 610 and Ethiopian 302. In resurrecting this age-old aviation canard, Langewiesche minimizes the fatal design flaws and certification failures that precipitated those tragedies, and still pose a threat to the flying public. I have long stated, as he does note, that pilots must be capable of absolute mastery of the aircraft and the situation at all times, a concept pilots call airmanship. Inadequate pilot training and insufficient pilot experience are problems worldwide, but they do not excuse the fatally flawed design of the Maneuvering Characteristics Augmentation System (MCAS) that was a death trap. As one of the few pilots who have lived to tell about being in the left seat of an airliner when things went horribly wrong, with seconds to react, I know a thing or two about overcoming an unimagined crisis. I am also one of the few who have flown a Boeing 737 MAX Level D full motion simulator, replicating both accident flights multiple times. I know firsthand the challenges the pilots on the doomed accident flights faced, and how wrong it is to blame them for not being able to compensate for such a pernicious and deadly design. These emergencies did not present as a classic runaway stabilizer problem, but initially as ambiguous unreliable airspeed and altitude situations, masking MCAS. The MCAS design should never have been approved, not by Boeing, and not by the Federal Aviation Administration (FAA). The National Transportation Safety Board has found that Boeing made faulty assumptions both about the capability of the aircraft design to withstand damage or failure, and the level of human performance possible once the failures began to cascade. Where Boeing failed, the Federal Aviation Administration (FAA) should have stepped in to regulate but it failed to do so. Lessons from accidents are bought in blood and we must seek all the answers to prevent the next one. We need to fix all the flaws in the current system — corporate governance, regulatory oversight, aircraft maintenance, and yes, pilot training and experience. Only then can we ensure the safety of everyone who flies. Capt. “Sully” Sullenberger

1 B737 Max Flight Deck.png
2_Évolution_de_la_motorisation_du_B737
3 Differences between 737 NG:Max 5.png
4 Differences between 737 NG:Max 2.png
5 Differences between 737 NG:Max 1.png
6 Differences between 737 NG:Max 3.png
7 Boeing 737 Max Flight controls.png
8 Stabilizer control.png
9 MCAS Overview.png
10_Plan_Horizontal_Réglable_(PHR).png
11 AOA Disagree Alert.png
12 B737 Max - Non Normal Checklist %22AO
13 Airspeed Unreliable 1:3.png
14 B737 Max - Non Normal Checklist %22Ru
15_Flight_Crew_Opérations_Manuel_Bulle
16_Flight_Crew_Opérations_Manuel_Bulle
17 AOA Indicator on PFD.png

Certification du B737 Max (4/6)

Après l’échec patent de la mise en ligne du Boeing 737 Max, la certification de l’avion a été sérieusement mise en cause.

 

Certification d’un aéronef : un processus long et complexe (faa.gov)

 

La FAA américaine délivre des certificats de navigabilité pour chaque modèle d’aéronef. C’est un document qui lui accorde l'autorisation d'être exploité en toute sécurité. Il peut être révoqué ou suspendu si l'aéronef ne répond plus à sa conception prévue et/ou s’il n'est plus en état de voler. Le processus de certification accompagne les études et essais tout au long du programme de développement. Cela peut prendre entre 5 et 9 ans pour un nouvel appareil, et 3 à 5 ans pour un modifié comme le Boeing 737 Max[1] dérivé du 737 NG.  

 

Dans le cadre du processus de certification, la FAA doit :

  • Examiner la conception et les méthodes de réalisation utilisées pour s’assurer que l'avion sera conforme aux normes édictées,

  • Effectuer des tests au sol et en vol pour vérifier que l'avion répond bien à ces normes,

  • Définir le programme de maintenance de l’avion pour garantir le maintien de ses performances,

  • Collaborer avec d’autres autorités pour faciliter la certification à l’étranger.

 

Le service de certification des aéronefs de la FAA comprend plus de 1 300 ingénieurs, scientifiques, inspecteurs, pilotes d'essai et autres experts. Ils sont responsables de la surveillance de la conception, production, certification de navigabilité et des programmes de navigabilité pour tous les produits de l'aviation civile américaine et ceux d'importations. La FAA collabore avec l'Organisation de l'aviation civile internationale (OACI) et d'autres autorités de l'aviation civile pour maintenir et faire progresser la sécurité du transport aérien international.

 

Seuls les inspecteurs en sécurité aérienne de la FAA et les représentants autorisés de l'administrateur, c'est-à-dire les personnes désignées, sont autorisés à délivrer un certificat de navigabilité.

 

La FAA s’est défendu de n'avoir jamais autorisé les entreprises à s’auto contrôler ou à certifier elles-mêmes leurs appareils. Sa délégation étend le processus de certification à d'autres professionnels reconnus, multipliant ainsi l'expertise technique axée sur la garantie d'un avion conforme aux normes. L'agence reste directement impliquée dans les tests et la certification de toutes nouvelles fonctionnalités et technologies.

 

Pourtant la FAA peut déléguer à une personne ou une organisation qualifiée la responsabilité à mener certaines activités en son nom. Le Congrès lui avait ordonné de rationaliser le processus de certification, y compris par une délégation accrue aux Autorisations de Désignation Organisationnelle (ODA).

 

Les membres de l'ODA peuvent être autorisés à délivrer des certificats de navigabilité, après avoir inspecté l'aéronef et vérifié ses performances qui doivent répondre aux exigences de la FAA.

 

Le recours à la délégation ODA est un élément essentiel du système de certification depuis les années 1920, il est similaire aux programmes utilisés en Europe et dans d'autres pays. Il aide les États-Unis à maintenir des règles du jeu économique équitables avec leurs concurrents étrangers.

 

En effet, la FAA n’aurait pas les moyens techniques et humains pour tout contrôler et vérifier, d’autant que les systèmes avion évoluent rapidement, notamment les mises à jour de logiciels, que seuls les ingénieurs et techniciens travaillant dans l’entreprise peuvent effectuer et ont seuls les compétences, les plus en pointe, pour répondre aux exigences de certification. Autrement dit, si la FAA débauche un ingénieur à la pointe dans une discipline, il ne le sera plus quelques années plus tard.

 

Authorized Representatives (AR)

 

Jusqu’en 2004, la FAA nommait directement ses représentants techniques, « Authorized Representatives » (AR) qui pouvaient exercer leurs fonctions au sein d'une entreprise et/ou être consultants externes.

 

Les AR entreprise étaient employés et payés par elle, mais ils rendaient compte directement de leur travail à la FAA. Chaque année un audit sur leurs activités permettait le renouvellement de leur mission l'année suivante. Ils recevaient une prime de la FAA.

 

Les AR approuvaient ou recommandaient les données fournies des sujets techniques sur lesquels ils travaillaient et s'assurer qu’elles étaient conformes aux normes de navigabilité en vigueur.

 

Les AR devaient être titulaires d'un diplôme d'ingénieur ou équivalent, posséder des connaissances et une expérience techniques, et répondre aux exigences de qualification publiées par la FAA. Ils étaient spécialisés dans différentes disciplines : analyste de vol, pilote d'essai, structure avion, propulseur, systèmes et équipements, etc.   

Lorsque l’entreprise Boeing désigne elle-même les représentants de la FAA

 

Le passage des AR aux DER

 

2004 fut un tournant dans le processus de certification de la FAA. Une nouvelle autorisation de désignation d'organisation (ODA) fut adoptée pour remplacer les AR par des « Designated Engineering Representatives » (DER).

 

À partir de cette date, les nouveaux représentants (de la FAA) furent nommés par les responsables de Boeing à qui ils devaient rendre compte de leur travail sans plus passer par la FAA. L’audite annuel pour le maintien à leur poste ne dépendait plus que du bon vouloir de l'entreprise.

 

Les DER se sont ainsi retrouvés sous le joug de Boeing pour fournir les dossiers de certification à la FAA, sans pourvoir être soutenu par elle, puisque Boeing peut intervenir directement sur le processus de certification en mettant à l’écart ceux qui ne seraient pas suffisamment coopératifs. Un ancien DER ayant travaillait sur le Max parle du « système (de la FAA) absolument brisé ».

 

La sénatrice Maria Cantwell D-Wash, championne du soutien à Boeing et des emplois qu'elle apporte à l'État de Washington, avait fait passer juste avant les deux crashs du Max un amendement « Reauthorization Act », qui éliminait les derniers obstacles de la FAA, pour que l’ensemble des travaux de certification reviennent entièrement à Boeing.

 

Les partisans du libéralisme absolu, basé sur la confiance et le sens des responsabilités des entreprises, excluant tout interventionnisme étatique, a ici atteint son paroxysme. Plus qu’une erreur de jugement, c’est une faute, une aberration pour maintenir un système à un niveau de sécurité élevé. Boeing devint ainsi juge et partie, et la FAA fut discrédité après les deux accidents du 737 Max par une remise en cause profonde de son autorité.  

 

Une copie du manuel ODA de Boeing, un document interne, obtenu par The Seattle Times, a fait part des préoccupations des DER concernant leur charge de travail et la pression exercée par les gestionnaires de l’entreprise, avec comme obsession l'approbation dans les délais de leur travail. Si nécessaire les DER faisaient des demandes de dérogations à la FAA pour réduire les tests, quitte à modifier le contenu du programme officiel.  

Exemple de demande de dérogation, celui du EICAS (Engine Indicating and Crew Alerting System)

 

En 2014, Boeing a convaincu la FAA d'assouplir les exigences en matière de sécurité pour ne pas intégrer l’EICAS, un système d’alarme pour les pilotes qui gère les pannes de l’avion et qui propose les checklists électroniques appropriées[2]. Système que Mike Carriker, le chef pilote pour le développement produits de l’époque, avait proposé d’installer sur le Max.

 

Le 737 est peut-être le seul avion en production qui ne dispose pas d’un système d’alarme moderne. En cas de panne, la checklist est à chercher dans un répertoire en papier situé dans un vide poche. Ce principe de travail date de la première certifiée en 1967.   

 

Pourtant les règles de la FAA pour re-certifier un avion déjà existant, précisent les critères à prendre en compte pour les nouveaux systèmes dans la conception de l'avion, ainsi que l'expérience acquise avec l’ancien modèle et les mesures prises à la suite d'accidents rencontrés.

 

Pour convaincre la FAA, Boeing a fait valoir le record de fiabilité du 737 NG au cours des 10 années précédentes le lancement du Max[3] avec son système d'alarme qui compte quelque 6 400 exemplaires volant dans le monde actuellement. Autre argument, le Max ne représentera pas la majorité de la flotte mondiale de 737 en 2030. Ce qui signifie que les compagnies aériennes pourront, plus aisément, continuer à exploiter leurs flottes mixtes de 737 avec le même système d’alarme.

 

Boeing s'est aussi appuyé sur une dérogation de la FAA, dite du « produit modifié », qui pour satisfaire les dernières exigences en matière de sécurité, serait difficile à mettre en œuvre, peu pratique avec une faible amélioration du niveau de sécurité et surtout coûterait cher à produire.      

 

En effet, le constructeur a estimé que pour cette importante modification de conception, la formation et documentation pour assurer la pleine et totale conformité du 737 Max avec les modèles précédents, serait supérieur à 10 milliards de dollars de 2013. Autrement dit, l’équivalent d’un avion entièrement nouveau et rendrait le Max moins attrayant à acheter.

 

Enfin, pour faire face aux trois accidents mortels de la décennie écoulée où le système d’alarme a été mis en cause, Boeing a apporté les modifications suivantes :

  • 2005, Helios Airways (Athènes, 121 morts), après une intervention de la maintenance, le système de pressurisation n’a pas été reconfiguré correctement dans le cockpit avant le départ. L’équipage n’a pas su identifier le problème de dépressurisation lente (l’avion ne se pressurisant pas) avant de tomber en hypoxie. Boeing a ajouté une alarme visuelle à celle sonore de dépressurisation pour ne pas la confondre les autres alarmes.

  • 2008, Aeroflot-Nord, (Russie, 88 morts), le pilote s’est retrouvé en désorientation spatiale en volant manuellement ​​la nuit à travers les nuages et lorsque l'avion s'est incliné dangereusement ce qui déclencha l’alarme vocale « BANK ANGLE », le pilote a tourné le manche dans le mauvais sens, augmentant le roulis jusqu’à ce que l’avion se retourne et s’écrase. Sur recommandation de l’Interstate Aviation Committee Russe, Boeing a ajouté une alarme sonore qui annonce « Rouler à droite ou à gauche » en indiquant au pilote, le sens à prendre sur son écran. Le Roll Command Alerting Systems, (RCAS[4]), fut ainsi proposé en option sur NG, mais est en série sur Max.

  • 2009, Turkish Airlines (Amsterdam, 9 morts[5]), réduction inopinée des moteurs en approche à cause d’une panne de sonde de radioaltimètre, l'avion s'est écrasé avant la piste. En effet, une seule sonde fournissait les informations à l'automanette des moteurs. Les pilotes, occupés à terminer des checklists et à la recherche de la piste par mauvaise visibilité, n'ont pas remarqué l’alarme visuelle basse vitesse. Boeing a ajouté une alarme sonore « LOW SPEED ».   

 

Le document ci-joint (The Seattle Times) que Boeing a soumis à la FAA supprime quatre clauses distinctes qui sont pourtant des exigences pour tout nouvel avion produit aujourd'hui.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Un précédant aux accidents du Max, celui d’un B 737 de la Turkish Airlines en 2009

Faisant suite à l’article du New York Times, du 5/1/2020, sur le B737 Max (It’s Not Just Software: New Safety Risks Under Scrutiny on Boeing’s 737 Max), qui a fait polémique en relançant le débat sur les « automatismes pièges ».  

En effet, l’article fait référence à l’accident d’un B737-800 NG de la Turkish Airlines (TK1951) précédemment cité. Comme pour le Max, il y avait deux sondes indépendantes, mais une seule utilisée. Le NYT reprocha à Boeing de ne pas avoir appris de l’accident de la Turkish Airlines lors de l’introduction du MCAS sur le 737 Max et de ne pas avoir suffisamment informé les pilotes sur le fonctionnement de ses automatismes.

Dans un communiqué, Boeing souligna les différences entre l'accident de 2009 et ceux du Max. « Ces accidents ont impliqué des systèmes, entrées de données et phases de vol fondamentalement différentes. » La FAA fit de même en soulignant « l'ensemble unique de circonstances entourant chaque accident. Le fait d'établir des liens larges entre les accidents impliquant différents types d'urgences simplifie à outrance ce qui est, par définition, une science complexe. »

Le Dutch Safety Board (DSB), le BEA hollandais, fut en charge de l’analyse et de la publication du rapport final de l’accident de la Turkish Airlines. Sous la pression des américains (FAA, NTSB et Boeing) qui faisait cause commune pour défendre leur industrie, le DSB a dû minimiser la responsabilité de Boeing et laisser charger celle des pilotes par les américains. En réduisant la gravité des conclusions du rapport, les américains ont sauvegardé la réputation de Boeing tout en minimisant les modifications à apporter au 737 NG.  

Le lobbying américains a été jusqu’à refuser que soit joint au rapport final, un complément d’analyse sur les facteurs humains des pilotes. Pourtant cette analyse faite par le Professeur Sidney Dekker de l’université de Lund aux Pays Bas, qui jouit pourtant d’une excellente réputation, apportait un éclairage différent sur les causes de l’accident.

Finalement, après la parution de l’article du NYT, le DSB publia l’analyse de Dekker en février 2020. L'agence néerlandaise avait considéré l'étude de Dekker comme confidentielle, et les parties jugées pertinentes ont été utilisées pour la rédaction du rapport final.

L’analyse du Dr Dekker[6] était particulièrement pertinente car en 2009, il portait une double casquette, celle de professeur en facteurs humains et, à temps partiel, de copilote sur B737.

 

Dekker parle « d’événement sentinelle » qui n'a pas été pris en compte par Boeing en concevant le fonctionnement de l'automanette en n’utilisant qu’une seule des deux sondes radioaltimètres. Ce choix a laissé « une voie de défaillance unique en place », augmentant le risque qu'une seule erreur puisse conduire à un accident.

 

David Woods, professeur à l'université d’Ohio State, qui a été conseiller technique auprès de la FAA, a déclaré que le crash de la Turkish Airlines aurait dû réveiller tout le monde, car certaines similitudes entre cet accident et ceux des Max sont particulièrement frappantes.

 

Boeing avait conservé l’hypothèse que l'équipage (bien formé et vigilant) reconnaîtrait suffisamment tôt, tout problème mettant l'avion en difficulté.

 

Pourtant, faisant suite à une série d’incidents avec les radiosondes, avant le crash de Turkish Airlines, Boeing avait déjà développé un correctif du logiciel afin qu’il compare en permanence les informations des deux sondes. Ce correctif fut intégré aux nouveaux avions à partir de 2006, mais pas pour les appareils plus anciens, dont celui du TK1951. Après l'accident, la FAA exigea de Boeing une mise à jour du logiciel pour les 737 NG construit avant 2006 et obligea les compagnies aériennes qui en avaient dans leur flotte à l'installer.

  

Le Dr Dekker a montré que le manque d’informations sur le fonctionnement de l’automanette dans le manuel d’utilisation de l’avion avait pénalisé les pilotes dans leur diagnostic. Sans cet accident, et comme pour ceux du Max, Boeing s’est montré avare d’informations, qui furent mises au jour après ces tragédies.

 

Erik van der Lely, un pilote instructeur sur 737 NG qui a travaillé avec le Dr Dekker, a déclaré au NYT qu'il ne connaissait pas la particularité de l’utilisation d’une seule sonde sur deux (celle du commandant) pour le fonctionnement de l’automanette et « Je suis à peu près sûr qu'aucun des pilotes de 737 ne le savait. »

 

« Il est vraiment facile de blâmer les pilotes morts et de dire que cela n'a rien à voir avec notre système mal conçu », a déclaré le Dr Shawn Pruchnicki de l'Air Line Pilots Association, qui enseigne à l'Ohio State. Pruchnicki, qui a étudié auprès du Dr Dekker, avait participé à de nombreuses enquêtes dans lesquelles les experts en facteurs humains avaient été largement ignorés. « Cela devient frustrant parce que nous continuons d'avoir les mêmes types d'accidents ».

 

Pour Dekker, même un avion aussi éprouvé que le 737 contient encore des « pièges de fous ». Après la publication du rapport d’accident, une des recommandations du constructeur (N°14) consistait à exhorter les pilotes à être toujours plus attentif et réactif en pilotant, autrement dit, à se méfier de leur avion. Le Pr Dekker note que cela ne correspond pas aux décennies de facteurs humains et de recherche en automatisation.

 

De plus en plus de pilotes ont appris à faire fonctionner le système, plutôt que de savoir comment fonctionne le système. Ce changement de formation se situe en 1965, lorsque TWA a pris livraison de ses premiers DC-9[7], son premier jet avec un équipage de conduite à deux pilotes, plutôt qu’à trois ou quatre membres. À cette occasion, TWA avait totalement revu sa philosophie, ce qui a permis de réduire significativement le temps alloué à la formation. La méthode consistait à enseigner juste ce dont les pilotes avaient besoin de savoir pour piloter un DC-9. Elle s'est ensuite répandue aux États-Unis et dans le monde.

 

Les manuels d'utilisation de l'avion présentent alors des diagrammes considérablement simplifiés, des simulacres par rapport aux systèmes d'ingénierie et la logique qui les sous-tendent. Les diagrammes, ainsi que les informations textuelles, sont souvent incomplets et superficiels, car l'industrie juge que les pilotes n'ont pas besoin de tout savoir. La nouvelle doctrine étant : « si vous ne pouvez pas le voir, le toucher ou l'afficher, vous n'avez pas besoin de le savoir ».

 

Ce nouveau paradigme correspond à l’arrivée des microprocesseurs et des logiciels dans les systèmes des avions. Le Pr Dekker note : « vous ne pouvez pas vraiment offrir une expérience « pratique » avec un logiciel. Non seulement les systèmes sont devenus plus invisibles et intouchables, véritablement boîtes noires pour les pilotes, mais ils sont également devenus de plus en plus complexes, puissants et interconnectés. »

 

En 1989, l'industrie a pris conscience que si l’automatisation offrait de nombreux avantages, elle posait aussi des problèmes, notamment sur la façon dont ils ont été pensés, conçus et comment les pilotes s’en servent.

 

Les enquêtes ont montré que le « vide cognitif » n’existe pas et que la complexité des postes de pilotage automatisés permet aux pilotes de développer facilement des modèles mentaux simplifiés ou erronés du fonctionnement des systèmes. Les pilotes peuvent acquérir un faux sens de la compréhension et même résister à l'apprentissage d'un modèle plus complexe une fois que le plus simple leur a prouvé son apparente utilité.

Révélation du MCAS aux compagnies et de son extension pour les basses vitesses à la FAA

 

Après le crash du Lion Air (octobre 2018), Boeing a révélé l’existence du MCAS aux compagnies aériennes, ainsi que son descriptif complet à la FAA. Notamment une fonction importante qui avait été dissimulée ; l’autorité à piquer de 2,5 degrés aux basses vitesses et non de 0,6°, comme sous-entendu pour les hautes vitesses.

 

Promesses aux clients

 

La formation pour la transition des pilotes du NG au Max, réduite à son strict minimum, a été une bonne nouvelle pour les clients de Boeing. Un argument clé pour la vente de plus de 5 000 appareils, qui représente des millions de dollars d’économie.

 

Boeing aurait même été jusqu’à promette à Southwest Airlines un rabais d’un million de dollars par avion si le Max devait nécessiter une formation sur simulateur.

 

Pression chez Boeing

 

The Seattle Times a interviewé de nombreux ingénieurs et employés de Boeing alors qu'ils étaient officiellement désignés pour être les yeux et les oreilles de la FAA, qui ont dû faire face à une forte pression de la part des dirigeants de Boeing pour limiter l'analyse et les tests de sécurité afin que l'entreprise puisse respecter son calendrier de certification et réduire ses coûts.

 

Deux anciens pilotes d'essai de Boeing ont décrit une culture de pression à l'intérieur de l'entreprise en limitant les essais en vol au minimum pour ne pas retarder le programme à un moment où les commandes s'accumulaient.

 

Comme pour l’EICAS, le système d’alarme électronique qui ne fut pas installé sur le Max, un ingénieur principal de Boeing, représentant de la FAA, a dû céder en 2016 aux demandes de la direction du constructeur pour obtenir des tests moins rigoureux du système d'extinction incendie pour les nouveaux moteurs LEAP du Max.

 

Un employé et un pilote maison ont conclu que ce concept avait cassé l'entreprise, et l’obligation que s’était infligé Boeing de maintenir une qualification commune avec le Max et les autres modèles de 737 était « une affaire tellement énorme » qu'elle a bloqué toutes mises à jour potentielles des systèmes de l’avion.  

Plainte d’un employé contre Boeing

 

Pour stopper la démarche autocratique de Boeing à raccourcir les délais nécessaires à la certification du Max, des employés ont été jusqu’à porter plainte contre leur employeur.

 

Comme Curtis Ewbank, un jeune ingénieur, après le deuxième accident du 737 Max, qui a déposé une plainte éthique interne dénonçant la direction pour avoir bloqué des améliorations de sécurité du Max en 2014, alors que son groupe de travail avait justement pour mission de trouver des améliorations de sécurité.

 

L’ingénieur dénonce une demande de relevé d’incidents[8] de l’agence européenne (AESA) et dont il fut en charge pour la recherche. Il en avait identifié cinq, mais son supérieur ne les a pas communiqués à l'AESA sous prétexte que « nous réglerions le problème nous-mêmes. » 

 

Dans sa plainte, Ewbank parle de culture d'entreprise basée sur les opportunités de conception et de réduction des coûts. Boeing allait simplement mettre de nouveaux moteurs et faire le minimum de modification pour y arriver. Le Max a été conçu par des mises à jour de logiciels, au coup par coup, pour éviter une certification coûteuse et longue ainsi qu’une obligation de formation pilote.  

 

Enfin : « Compte tenu de la nature de cette démarche, la crainte de représailles est grande, malgré toutes les assurances officielles que cela ne devrait pas être le cas (…) Il y a une attitude culturelle suppressive envers la critique de la politique des entreprises - surtout si cette critique résulte d'accidents mortels.[9] » Ses collègues ne l’ont pas suivi de peur de perdre leur emploi.

 

Insultes et moqueries

 

À la demande du congrès américain, Boeing a fourni plus de 100 pages de documents et messages internes qui révèlent l’attitude hostile, voire agressive de certains employés (dont des pilotes), avec des propos tel que : « Cet avion a été conçu par des clowns qui sont supervisés par des singes. » Boeing a présenté des excuses au Congrès, ses compagnies clientes et la FAA.

 

Des hauts responsables, comme le pilote principal adjoint technique et le chef pilote technique, impliqués dans le développement et la qualification des simulateurs 737 Max ont vilipendé des compagnies comme Lion Air : « ces idiots » qui voulait faire faire du simulateur à ses pilotes pour la transition sur Max. « Je tiens à souligner combien il est important de tenir bon ; aucune formation sur simulateur ne sera nécessaire pour passer du NG au Max. Boeing ne le permettra pas (…) Nous irons à la confrontation avec tout régulateur qui tentera d'en faire une exigence. »

 

Le représentant Peter DeFazio, Président du comité de la Chambre enquêtant sur le 737 Max, a considéré ces documents d’accablants. Ils brossent un tableau profondément troublant jusqu’où Boeing était disposé à aller pour échapper aux contrôles de la FAA, des équipages, alors même que ses propres employés tiraient en interne la sonnette d’alarme.

Pénal

 

Les procureurs du ministère de la Justice, les inspecteurs du ministère des Transports et les fonctionnaires de la « Securities and Exchange Commission » (SEC) participent tous à une enquête fédérale de grande envergure sur d'éventuels actes répréhensibles chez Boeing lors de la certification du Max. Cette enquête était déjà en cours avant qu’un ingénieur ne dépose sa plainte.

 

« La sécurité est notre priorité absolue », a déclaré Boeing après les accidents. « Grâce au travail que nous effectuons actuellement en partenariat avec nos clients et les régulateurs pour certifier et mettre en œuvre la mise à jour du logiciel, le 737 Max sera l'un des avions les plus sûrs à avoir jamais volé. »

 

Pourtant en 2018, des documents montrent que plusieurs employés de Boeing travaillant sur le simulateur du Max avaient de sérieuses inquiétudes sur la mise en œuvre et les déficiences techniques de l’avion, exprimé par cet échange de mail entre deux employés : « … lorsque la vie est en jeu, les programmes de formation ne devraient pas être pris à la légère (…) Mettriez-vous votre famille dans un Max sans une formation des pilotes sur simulateur ? »

Pression sur la FAA

 

Au sein de la FAA, un ancien ingénieur en charge de la certification du Max a expliqué qu’il y avait une pression constante pour réévaluer ses décisions initiales, et même après réévaluation, la direction a continué à discuter des possibilités de déléguer encore plus de dossiers à Boeing. 

 

Le temps d’examen des documents techniques fournis par Boeing a été réduit, ne permettant pas une étude complète et appropriée pour se forger un avis objectif avant d’atteindre certaines dates butoirs de certification.

 

Parfois, lorsque le délai était trop court pour qu’un ingénieur puisse étudier un dossier technique en vue de son approbation, à une date fixée par le planning de certification, alors son supérieur le signait à sa place ou le déléguait à Boeing…

 

Dans un rapport DER concernant des systèmes hérités des modèles 737 précédents, quatre observations préoccupantes[10] ont été jugées non conformes par rapport aux dernières normes en vigueur et ont été rejetées par les gestionnaires de Boeing qui ont considéré, avec l’aval de la FAA, qu'il s'agissait de problèmes peu importants.

Évaluation des risques

 

Un risque est le potentiel de conséquences négatives qui, selon les estimations, découlerait d’un danger et sa probabilité à causer des dommages.

 

L’industrie aéronautique et les agences de certification utilisent différentes méthodes pour identifier, évaluer et éliminer, ou maîtriser, des risques liés à l’utilisation d’un aéronef et ses équipements.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Évaluation des risques par Boeing

 

À la suite de l'accident de Lion Air, la FAA a effectué une nouvelle évaluation des risques si Boeing n’apportait pas de correction au MCAS. Le résultat serait d’environ 15 accidents mortels et catastrophiques supplémentaires pendant la durée de vie de la flotte du Max. Évaluation sous-estimée puisque cinq mois plus tard, le deuxième accident avait lieu avec moins de 10% des 737 Max en service.  

 

L’incroyable cécité des dirigeants de Boeing et du service de certification américain à ne pas voir la nécessité d’une certification rigoureuse du Max, montre que lorsque les enjeux financiers sont considérables (un carnet de commande de 5 000 Max x 100 millions = 500 milliards de dollars), l’être humain, mais aussi la collectivité, perd tout sens commun ou principe de rationalité ; tel l’application élémentaires de règles de prudence.    

 

Boeing a caché à la FAA le réel fonctionnement du MCAS sur le Max, laissant croire qu’il n’était pas nécessaire de recertifier un équipement qui l’avait déjà été, mais sur le ravitailleur en vol. Alors que celui du Max opérait en plus dans la plage des basses vitesses, avait une autorité illimitée (supérieure à celle du pilote) et n’utilisait qu’une seule sonde d’incidence, sans secours.

 

Pour ne pas attirer l’attention, Boeing avait fait une évaluation des risques de défaillance du système qu’il a situé au niveau de dangereux, juste avant celui de catastrophique, ce qui aurait dû entrainer une réaction de la part de la FAA par une investigation plus poussée.  

 

Après le premier accident, la FAA s’est défendu d’avoir suivi le processus de certification standard pour le Max tout en avouant qu’elle n'avait pas été en mesure de se plonger dans les enquêtes détaillées de vérification.

 

Cependant, six mois après le deuxième accident, Boeing a remanié sa structure sécuritaire interne afin que les ingénieurs relèvent d'un ingénieur en chef, et non plus d’un chef commercial, ainsi qu’une refonte des structures de surveillance de la sécurité.

 

Un ingénieur de la FAA a déclaré au The Seattle Times que dans les accidents où les pilotes sont souvent blâmés, le système d'information et d'alarme fourni des informations confuses ou trompeuses. « Oui, Boeing est allé régler chaque problème, mais est resté dans une démarche réactive pour le 737 et non d’anticipation proactive. »

 

La démarche réactive consiste à attendre un accident avant d’apporter les modifications qui s’imposent. Au contraire, la démarche proactive consiste à apporter des modifications avant que l’accident se produise. Pour cela, l’entreprise (constructeur, compagnies aériennes) analyse tous les incidents (les pré-accidents) d’exploitation. Elle les classe par thèmes, les hiérarchise par risques et occurrences, puis détermine les mesures correctives : modifications à apporter à l’avion et formation aux pilotes.

 

Mais il est très difficile de faire entendre raison aux financiers, éloignés du terrain technique, et tant que l’accident n’est pas arrivé, ils n’y croient pas, qui serait une remise en cause leur business model.

Cinq étapes pour un retour en vol du 737 Max

Avec la FAA, Boeing doit satisfaire cinq étapes importantes pour un retour en service du Max :

  1. Test au simulateur du MCAS modifié par des pilotes d’essais de la FAA : vérification en conditions normales et en cas de défaillance du système,

  2. Facteurs humains : évaluation au simulateur de la charge de travail de pilotes de différentes compagnies aériennes dans diverses conditions de fonctionnement du MCAS,

  3. Essais de certification en vol par les pilotes de la FAA avec la version finale du logiciel,

  4. Une fois le dernier vol de certification effectué : Boeing soumettra à la FAA les documents et éléments de vérification nécessaires à la certification du logiciel,

  5. Évaluation et validation de la formation sur simulateur des pilotes d’origine différentes.

À l’issue, le conseil de normalisation des vols de la FAA (Flight Standardisation Board) publiera un rapport disponible au public, pendant une période définie, à des fins de commentaires, suivi de l’approbation finale de la formation.

Il revient à la FAA et les autres autorités de réglementation de déterminer en dernier lieu le calendrier de retour en service du 737 Max dans leurs juridictions respectives. « Cette approche peut être progressive, et le calendrier varier d’une juridiction à l’autre. », précise Boeing.

Afin d’inverser la tendance de délégation dans le processus de certification, le sénat américain a élaboré (juin 2020) un projet de loi visant à renforcer les contrôles, la supervision et l’approbation de la conception des nouveaux avions par la FAA.

 

Ainsi la sénatrice Cantwell changea de position, pour s'assurer que la surveillance de la FAA soit forte, claire et transparente. Avec des moyens de communications et d'autorités significativement améliorées entre la FAA et les constructeurs, plus une solide expertise technique de la FAA sur le terrain.  

 

De plus, aucun employé de la FAA ne pourra se voir offrir une quelconque incitation financière à la performance. Ni la FAA et la direction de Boeing ne pourront interdire au personnel technique de part et d'autre du système de surveillance de communiquer librement entre eux.

 

En fait, ces changements consistent à un retour à la version antérieure du système de surveillance, lorsque les ingénieurs de Boeing travaillaient en tant que « représentants autorisés » (RA) de la FAA.

 

Le projet de loi prévoit également une protection judiciaire pour les dénonciateurs qui font part de leurs préoccupations en matière de sécurité, chez les constructeurs comme Boeing, mais aussi chez les fournisseurs et sous-traitants.

 

La FAA qui collabore avec le congrès américain pour améliorer la certification des prochains avions a proposé un amendement pour que les constructeurs utilisent les systèmes de gestion de sécurité (Safety Management Systems – SMS), tel que décrit par l’OACI, destinés à intégrer une culture de la sécurité dans les entreprises. Un comble, pour ceux qui se devaient d’expliquer aux compagnies aériennes comment maintenir un haut niveau de sécurité.

 

Et pour renforcer les capacités de surveillance de la FAA, 10 millions de dollars supplémentaires par an seront alloués à l’agence pour embaucher « du personnel technique spécialisé ayant une expertise dans les technologies nouvelles émergentes.

 

Les certificateurs étrangers se rebellent et exigent de nouvelles améliorations sur le Max

 

les Européens et les Canadiens ont insisté pour mener leurs propres évaluations de sécurité indépendantes de la recertification du Max, plutôt que de suivre systématiquement la FAA.

 

Ils ont évoqué trois problèmes à corriger :

1/ Les européens veulent 3 sondes d’incidences (AOA) plutôt que les deux actuellement. Il s’agit d'une philosophie de conception fondamentalement différente entre Airbus et Boeing.

2/ L'AESA exige un changement de conception découle des enquêtes qui ont établi que les pilotes sur les deux vols de crash ont été confronté à une cacophonie d'alarmes. Autrement dit, il veulent un système électronique (EICAS) de surveillance et d’alarmes avec affichage des checklists correspondant aux pannes.

3/ Le troisième problème soulevé par Transports Canada concerne le « vibreur de manche » qui alerte le pilote tactilement et par alarme sonore que l’avion va décrocher. Il ne peut pas être désactivé même lorsqu'il est manifestement erroné, puisque sur le dernier vol (faute d’EICAS), il y avait les alarmes de survitesse et de sous vitesse en même temps.

 

Si la demande du Canada est « raisonnable », celles de l’EASA risque de remettre en cause le certificat de navigabilité du B 737 Max en Europe.

 

Enfin, à ce jour, et ce n’est peut-être pas fini, la FAA exige une inspection de blindages de certains câblages électriques qui pourraient, dans des circonstances extrêmes, provoquer des pannes de deux moteurs ou des données de moteur erronées…

 

Recertification du 737 Max

 

En juillet 2020, après 15 mois d’arrêt de vol du Max, la FAA a repris les vols d'essais.

 

Début août, elle a proposé une nouvelle consigne de navigabilité (CN) pour la remise en service de l’avion. Cette consigne est assortie de quatre obligations importantes :

  1.  l'installation d'un nouveau logiciel du MCAS basé sur l’information des deux sondes d’incidence (AOA) et la révision du manuel de vol,

  2. la publication de nouvelles procédures d’utilisation du MCAS pour l'équipage de conduite,

  3. l'installation d'un nouveau logiciel de système d'affichage d’alarmes (ECAS) prenant en compte la défaillance des sondes AOA,

  4. la modification de l'acheminement des fils électriques du stabilisateur horizontal, par leurs séparations, pour être en conformité avec les dernières normes en vigueurs.

 

De plus, la FAA obligera les exploitants du Max à effectuer une calibration des sondes AOA et exécuter un vol de contrôle avant la remise en service de chaque appareil.

 

Du côté européenne, l’AESA commencera en septembre les évaluations au simulateur à Gatwick et les vols d’essais se feront à Vancouver près de Seattle à cause des restrictions de circulation dues au Covid-19.

Pour résumer l’échec de certification du B737 Max :

  • Mauvais choix stratégique en prolongeant la vie du vieux 737 plutôt que lancer le nouveau programme Y1, constamment repoussé,

  • Prédominance à l’autocertification, manque de vérification de la FAA, Boeing s’est retrouvé juge et parti,

  • Sous-estimation des risques pour certifier le Max, afin de ne pas augmenter les délais,

  • Non-respect des procédures de certification (MCAS),

  • Dissimulation d’informations auprès de la FAA et des compagnies aérienne (MCAS),

  • Pression sur le personnel pour augmenter la productivité et les délais de livraison.

___________________________________________________________

[1] Boeing a demandé la certification du 737 Max en janvier 2012 et l’a obtenue en mars 2017.

[2] S’il y en a plusieurs alarmes affichées à l’écran, elles sont hiérarchisées par ordre d’importance et sont accompagnées d’une alarme sonore.

[3] En 2011, le 737 avait effectué 321 millions d’heures de vol et 213 millions de départs, notamment la dernière version (NG) avait effectué 80 millions d'heures de vol et 42 millions de départs.

[4] RCAS consists of a ROLL/YAW ASYMMETRY alert, ROLL AUTHORITY alert and a Roll Command Arrow. RCAS is optional equipment on the B-737-NG and standard on the B-737-MAX. The FSB found Level B training to be sufficient for initial, transition, and upgrade training in that series aircraft (U.S. Department of Transportation Federal Aviation Administration Washington, DC Flight Standardization Board (FSB) Report Revision: 16 Date: 10/17/2018).

[5] Dont trois ingénieurs de Boeing qui se trouvaient à bord par hasard.

[6] Sidney W. A. Dekker, né en 1969, près d'Amsterdam, est professeur aux universités du Queensland et Griffith à Brisbane en Australie, où il a fondé le Safety Science Innovation Lab. C’est un universitaire de haut niveau (h-index = 39). Auparavant, Dekker a été professeur en facteurs humains et sécurité des systèmes à l'université de Lund en Suède, où il a fondé le laboratoire Leonardo da Vinci pour la complexité et la pensée systémique. Passionné d’aviation, il a été copilote sur Boeing 737 pour les compagnies Sterling et Cimber Air.

[7] Trois ans avant que le Boeing 737 soit en service (1968). Chez Boeing, les équipages de conduite sont passés de quatre opérateurs (Pilote, copilote, mécanicien, radionavigateur) sur B707 (4 moteurs, 1958), à trois (Pilote, copilote, mécanicien) sur B727 (3 moteurs, 1964) à deux pilotes sur B737 (2 moteurs).

[8] Incidents au cours desquels des 737 ont rencontré un problème de déconnexion de l'automanette en approche suivi d’une alarme confuse qui a conduit à une réponse inappropriée du pilote.

[9] J’ai moi-même subit ce genre de pressions de la part de la direction d’Air France pour avoir osé dénoncer un système de sécurité que je jugé insuffisant après l’accident du Concorde en 2000 et celui de l’A340 à Toronto en 2005. Je fus destitué de mon poste d’intervenant facteurs humains (par JFT le responsable des FH à l’époque) et menacé de voir ma carrière bloquée, notamment à l’accès au long courrier. Après l’accident du Rio Paris en 2009, un journaliste qui avait eu la copie du courrier que j’avais adressé au président Spinetta, ressortit mes arguments comme ayant été prémonitoire. Je n’avais pourtant pas été le seul à monter aux créneaux, comme les syndicats, ainsi qu’un haut responsable pilote qui avait fourni un rapport (Colin, 2006) pour réformer la culture d’entreprise. Son rapport fut enterré.

[10] Un manque de redondance dans les câbles de la gouverne de direction ; une température maximale autorisée trop élevée dans les réservoirs de carburant ; ignifugation insuffisante autour du groupe auxiliaire de puissance (APU) dans la queue de l’avion ; et l’utilisation d’un câblage haute puissance à l'intérieur d’un réservoir de carburant.

737 Max Exemptions regulations from Crew
Functional Hazard Assessment for MCAS.pn
FAA Risk Assement Matrix.png

Perspectives d’avenir pour Boeing et les services de certification (5/6)

Historique, retards et modifications Max et NG

 

À ce jour, le B737, toutes versions confondues, est l’avion de ligne qui a été le plus vendu dans le monde devant le 320 d’Airbus. Le 737 Max est aussi celui qui a engrangé le plus de commandes dans l’histoire du constructeur avec près de 5 000 avant son interdiction de vol le 13 mars 2019. Le directeur commercial de Boeing, Kevin McAllister, avait déclaré que le 737 Max « changera la face du marché des monocouloirs ».

Capture d’écran 2020-09-07 à 15.58.40.

Les programmes chez Airbus (320) et chez le Chinois Comac (919) ont été lancés après l’arrivée de nouveaux moteurs : le LEAP, qui remplace le CFM-56 qui équipait jusqu’à lors les Boeing 737 NG et Airbus 320, et le Pratt & Whitney PW1100G qui a assuré la première livraison de l’A320 neo pour Lufthansa en 2016.

 

Le programme du 737 Max a été lancé neuf mois après celui du 320 neo, et les premières livraisons ont débuté un an et quatre mois après celles du neo. Pour quelles raisons ?

 

Boeing a hésité, parce qu’adapter un nouveau moteur encore plus gros que le précédent sur son vieux 737 allait poser des problèmes de plusieurs ordres : cellule, pylônes moteurs, train d’atterrissage avant déplacé, soute électronique réduite, stabilité en vol et améliorations aérodynamiques à trouver pour prétendre au gain de consommation qu’Airbus annonçait pour son nouveau 320 neo, c’est-à-dire - 15 %. Airbus s’est contenté de changer de moteur sans modification significative, hormis l’installation de « winglet » de haute performance au bout des ailes.

 

Pour tenir l’objectif de baisse de consommation, le total des modifications du Max s’est avéré donc plus important que celle du neo, générant plus de travail et de temps pour certifier l’avion plus long de sept mois.

 

Politique de rentabilité de Boeing et délégation de pouvoir de la FAA

 

Boeing a connu une phase de prospérité inégalée de l’entrée en guerre des USA, en 1941, jusqu’à la première crise du pétrole de 1973. Trois décennies durant lesquelles le constructeur s’est imposé comme leader aéronautique militaire (bombardiers) puis civil. Avec la montée en puissance d’Airbus dans les années 1990, Boeing, alors en perte de vitesse, a racheté McDonnell Douglas (MDD) en 1997, espérant mieux contrôler son marché domestique mais aussi rééquilibrer son activité dans le militaire, secteur qui avait fait autrefois sa fortune.

 

Cependant, l’arrivée de l’ancien patron de MDD aux commandes de Boeing va conduire la compagnie dans l’incertitude à cause d’un management trop orienté vers la rentabilité et la valorisation de l’action, et d’une productivité exacerbée où la sécurité est devenue une charge de gestion comme une autre, qu’il faut constamment diminuer.  

 

Pourtant, l’idée proposée de production du nouveau 787 était attrayante : elle consistait à faire travailler les partenaires de Boeing : Américains, Japonais, Coréens et Européens, à tour de rôle en fonction du décalage horaire, avec des passations de consignes en fin de journée, d’un continent à l’autre, afin qu’il y ait un travail continu du programme 24 heures sur 24.   

 

Mais c’était sans compter les différences de culture et l’absence de moyens de coopération efficaces. Boeing a dû envoyer sur place des ingénieurs et dans certains cas racheter des entreprises étrangères qui maitrisaient mal certaines nouvelles techniques, notamment l’utilisation du carbone sur de grandes surfaces, comme le fuselage.

 

C’était la première fois que Boeing prenait autant de retard (trois ans) avec un nouveau programme, et dès lors il a été incapable d’en tenir un dans les délais.

 

Son lobbying auprès des politiciens, ses tentatives de corruption pour l’obtention du marché des ravitailleurs en vol (KC-46 en 2015) face à Airbus – puisqu’il n’y a pratiquement plus d’acteurs américains – et son ascendant malsain sur la FAA, le certificateur officiel, vont précipiter sa chute avec le scandale du 737 Max en 2019, aggravé par la pandémie du Covid-19 en 2020.  

 

Chronologie d’un désastre orchestré

  • 1970 : naissance du consortium européen Airbus.

  • 1973 : crise pétrolière, Boeing frôle la faillite[1] avec son nouveau 747 devenu trop gros qu’il a développé sur fond propre. C’est un coup de frein au développement de l’entreprise.

  • 1982 : sortie des 757 et 767 avec une qualification de type commune. Un fantasme économique qui pèsera lourd par la suite pour certifier le Max.

  • 1997 : absorption de MDD et adoption de méthodes de gestion radicales axées sur la rentabilité plus que sur la sécurité. Déménagement du siège social de Seattle à Chicago, tout un symbole.

  • 2004 : la FAA passe un seuil critique de délégation d’autorité à Boeing pour certifier ses avions plus facilement, c’est aussi l’année de lancement du 787.

  • 2005 : lancement du 747-8 et premier vol en 2010 avec un an de retard, en raison notamment d’un manque de disponibilité en ingénieurs.

  • 2006 : Boeing est en compétition avec Airbus pour le renouvellement des ravitailleurs en vol de l’USAF. Il remportera finalement le « contrat du siècle » après moult péripéties, complexification du programme et allégations de corruption. Premier vol du KC-46 en 2015 qui sera finalement opérationnel qu’en 2019.

  • 2009 : premier vol du 787 et livraison en 2011. Le programme a accumulé trois ans de retard, une première pour Boeing.

  • 2010 : Airbus lance la remotorisation de la famille 320 neo avec le nouveau moteur de Pratt & Whitney et le LEAP de CFM.

  • 2011 : face au succès du 320 neo, Boeing lance son 737 Max dans la précipitation avec un programme de certification plus conséquent pour tenir ses objectifs de performances économiques.

  • 2013 : tous les 787 sont arrêtés de vol pendant trois mois, suite aux emballements thermiques des nouvelles batteries au lithium dont la certification a été mise en cause. Une nouvelle mauvaise première pour Boeing.

  • 2017 : premières livraisons du Max, un an et 4 mois après celles du 320 neo.

  • 2019 : tous les Max sont arrêtés de vol après le double crash de Lion Air et Ethiopian Airlines en moins de 5 mois, un événement inédit dans l’aviation moderne.

  • 2019 : la nouvelle capsule Starliner prévue pour rejoindre la station spatiale a échoué lors de son premier essai à rejoindre la bonne orbite. Boeing ne sera pas sélectionné par la NASA pour développer un vaisseau de démonstration pour retourner sur la Lune en 2024, comme il l’avait été avec Apollo.

  • 2020 : le 777X fait son premier vol avec un an de retard, après qu’une porte de la cabine a explosé lors d’un essai de pressurisation au sol. 

  • 2020 : compte tenu de ses difficultés financières, Boeing renonce à l’alliance avec le Brésilien Embraer[2] pour contrer Airbus qui a fait l’acquisition du Canadien Bombardier.

  • 2020 : l’épidémie de Covid-19 ébranle l’économie mondiale et les compagnies aériennes, qui, si elles ne font pas faillite, annulent une partie de leurs commandes d’avion.

Une situation financière préoccupante 

 

À la suite des deux accidents du Max, Boeing doit faire face à sa pire crise en 103 ans d’existence, avec un chiffre d’affaires de 84 milliards de dollars en 2019, en baisse de 20 % par rapport aux 101 milliards de dollars en 2018.

 

À la fin du premier semestre 2020, le carnet de commandes du 737 Max a diminué de 864 appareils. Il ne s’élève plus qu’à 3 498 exemplaires pour un total de 4 496 avions civils en commandes chez Boeing. Chez Airbus, le carnet de commandes de la famille A320 neo est de 6 065, pour un total de 7 539 avions, après 302 annulations.

 

Boeing semble avoir évité toute crise à court terme en ayant levé 25 milliards de dollars de financement au début 2020, la compagnie a accumulé plus de 8,3 milliards de dollars de coûts supplémentaires depuis juillet 2019, dont des annulations de commandes pour un montant de 5,6 milliards de dollars, plus 2,7 milliards de dollars en raison de futurs coûts de production prévus pour le Max et un versement initial d’indemnisation aux familles des victimes de 100 millions de dollars.

 

Et le montant de l’indemnisation des familles des victimes, des compagnies clientes privées d’avions et des fournisseurs de Boeing va continuer à augmenter. Au-delà de l’image écornée de la compagnie, la perte totale dépassera largement les 10 milliards de dollars initiaux prévus pour développer et certifier le Max dans les règles.

 

Au fur et à mesure des annulations de commande du 737 Max, Boeing doit rembourser les avances des clients, ou plutôt augmenter leur part d’avance pour ceux qui n’annulent pas leur commande tout simplement. Quoi qu’il en soit, il s’agit de trésorerie en moins pour Boeing, au moment où il en a le plus besoin.

 

Cependant en juillet 2020, l’USAF a commandé 144 chasseur-bombardier F-15EX pour un montant de 23 milliards de dollars. Une main tendu de l’état. Même si l’heure de vol est inférieure à celle du F-35, le F-15 (un avion de MDD) est âgé de 48 ans… Depuis l’absorption de son ancien concurrent en 1997, Boeing n’a pas produit de nouveaux avions militaires. Seul le projet de drone ravitailleur MQ-25 Stingray pour porte-avions est en développement ($ 800 millions), il a fait son premier vol l’an passé.

 

Déjà, le lancement du B787 Dreamliner en 2004 reflétait les difficultés d’une collaboration technique internationale complexe et finalement inefficace et très coûteuse. The Seattle Times parle de 33 milliards de perte, transformant le programme du Dreamliner en « Nightmareliner ». Fin mars 2020, Boeing indiquait 18,8 milliards de dollars de surcoûts imputables au 787 et qui restaient à amortir.

 

Richard Aboulafia, un analyste du groupe Teal, pensait que si la recertification du Max ne se réalisait pas au premier trimestre 2020, Boeing se retrouverait en grande difficulté. À ce jour, c’est le dernier trimestre 2020 qui semble le plus probable.

 

Ainsi Boeing, dernier constructeur d’avions de transport civil américain, qui ne veut pas d’aides de l’État au nom de l’économie libérale, se prépare à la banqueroute. Il n’est pas à l’abri d’une OPA de Lockheed Martin ou de Northrop Grumman, qui pesaient respectivement à la fin de l’année 2018 la moitié et un tiers du chiffre d’affaires de Boeing.

 

Face à la faillite de la FAA, pourquoi ne pas créer une agence internationale de certification ?

 

Après le scandale de la certification du 737 Max qui a entraîné la mort de 347 personnes en deux crashs rapprochés, l’autorité de certification la plus puissante au monde, la FAA américaine a perdu sa crédibilité.

 

Aujourd’hui, le pays qui produit l’aéronef est l’autorité primaire de certification et celui-ci collabore avec d’autres États grâce à des accords de coopération « BASA[3] » et de certification réciproque.

 

Il en existe déjà entre l’Europe, les USA et le Canada, mais il s’agit d’un projet hautement politique qui aura du mal à se concrétiser. Cependant, l’Europe, les USA et le Canada, qui travaillent ensemble, pourraient être les instigateurs de cette agence pour l’élargir au fur et à mesure à d’autres pays.

 

Les agences actuelles de certification pourraient s’unir pour :

  1. Harmoniser au maximum leurs règles de certification, quitte à conserver certaines spécificités propres à leur pays ;

  2. Renforcer leur structure grâce à l’expertise de constructeurs aéronautiques civils et de compagnies aériennes :

    • Constructeurs : Brésil, Canada, Chine, Corée du Sud, Europe, Inde, Japon, Russie, USA…

    • Compagnies dont la flotte comporte plus de 100 appareils (à définir),

  3. Définir un nombre d’experts au prorata de la taille des constructeurs et des compagnies, tout en donnant plus de poids aux petites unités afin qu’elles ne subissent pas le diktat des plus forts ;

  4. Élargir les lieux de certification pour satisfaire les besoins variés : Amérique du Nord ou du Sud ; Asie, Europe ;

  5. Former des experts (à définir).

S’inspirer du Joint Authorities Technical Review (JATR)

Le 19 avril 2019, une équipe internationale « Joint Authorities Technical Review » (JATR), a été mandatée par la FAA pour enquêter sur la façon dont elle avait approuvé le MCAS du Boeing 737 Max, vérifier si la conception du MCAS avait été conforme à la réglementation et si des modifications auraient dû être apportées à son processus de certification. Le JATR inclut des représentants de la FAA, de la NASA et des neuf autorités de l’aviation civile : Australie, Brésil, Canada, Chine, Europe (EASA), Indonésie, Japon, Singapour et des Émirats arabes unis.

 

Réactions

L’Association du transport aérien international (IATA) presse les autorités étatiques responsables de la sécurité aérienne de continuer à s’harmoniser au sujet des exigences techniques de validation et des calendriers prévus pour la remise en service en toute sécurité du Boeing 737 Max (Montréal, 27 juin 2019).

Extrait du rapport final d’accident du Lion Air (page 224) :

« Informer les autres organismes de réglementation internationaux qui certifient les conceptions de type d’avion de catégorie transport (par exemple, l’Agence de la sécurité aérienne de l’Union européenne, Transports Canada, l’Agence nationale de l’aviation civile du Brésil, l’Administration de l’aviation civile de Chine et l’Agence fédérale russe des transports aériens)  de la recommandation A-19-11 et les encourage à évaluer sa pertinence par rapport à leurs processus et à apporter des modifications le cas échéant. » (A-19-12).

 

Steve Dickson, administrateur de la FAA :

« Le 737 MAX ne transportera pas de passagers tant que je ne serai pas sûr de faire voyager ma propre famille […] Ce n’est pas une tâche facile, et cela exigera la coopération et la transparence de l’industrie et du gouvernement. Cependant, il est prometteur qu’au cours des derniers mois les régulateurs de l’aviation dans le monde ont travaillé ensemble à un degré jamais vu auparavant. » (The Seattle Times, 13/3/2020).

 

European Cockpit Association (ECA) :

L’association, regroupant les syndicats de pilotes de ligne en Europe, accuse et met en question la légitimité de Boeing et de la FAA pour la remise en service du 737 Max : « Comment un concepteur et un certificateur qui ont précédemment failli en approuvant la mise en service d’un avion déficient peuvent-ils apporter à présent une solution de manière crédible sans une remise en cause importante ? Boeing et FAA se doivent de prendre enfin leurs responsabilités et faire preuve de transparence dans cette affaire. » Et l’ECA de se tourner vers l’EASA qui selon lui « a un rôle clé à jouer en Europe en fournissant aux pilotes et aux voyageurs des garanties de transparence et d’indépendance ». Les pilotes encouragent l’agence européenne à faire preuve de rigueur et d’indépendance.

 

Enfin, les associations de défense des victimes des deux accidents du Max veulent aussi une disposition claire selon laquelle tous les systèmes critiques d’avion, tels que le MCAS, soient approuvés directement par la FAA, et non par le constructeur. Elles souhaitent également obtenir une clause d’extinction lorsqu’un avion a été certifié depuis longtemps (par exemple vingt ans) de sorte que les modèles dérivés de l’original passent par un processus complet de certification.

 

Boeing a pourtant l’expérience d’une recertification réussie, celle du 747-8

 

Lancé en 2005 (l’année du premier vol de son rival, l’A380), le 747-8 a effectué le sien en 2010. Il s’agissait de la quatrième version du 747 qui date de 1969. Nous retrouvons des similitudes avec le 737. Si le 747-8 a réussi sa certification, cela tient au fait que sa version précédente, le 747-400, a été recertifié à cause d’un changement radical de configuration : passage de l’équipage à deux pilotes (suppression du mécanicien navigant et de son tableau de bord) avec la modernisation du poste de pilotage qui n’avait rien à envier aux Airbus 320/330/340 de la même époque.

 

 

 

 

Si l’on compare les deux modèles (737 et 747), le point d’inflexion entre avion classique et moderne se situe à plus 19 ans pour le 747-400 et à plus 17 ans pour le 737, qui a reçu une motorisation moderne en 1984 (CFM-56), avec l’introduction des premiers écrans au cockpit et du Speed Trim System (STS), système électronique de commandes de vol pour contrer l’effet cabreur du nouveau moteur.

 

La suggestion de recertifier complètement un avion de plus de vingt ans, faite par les associations de victimes des deux crashs du Max, est ici tout à fait pertinente.  

 

Évolution des tableaux de bord de la famille 737

 

Plus que l’extérieur ou l’intérieur de la cabine, le tableau de bord est le meilleur indicateur d’âge et de modernité d’un avion.

                                  1967 : B737 Original (100/200)                                                            1984 : B737 Classic (300/400/500)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

                             1997: Boeing 737 NG (600/700/800)                                                  2016: Boeing 737 Max (8/9/10)

 

 

Quel remplaçant pour le 737 Max ?

 

Pour Airbus, le remplaçant du 320 pourrait être lancé dans la seconde moitié de cette décennie, avec une entrée en service au début des années 2030.

 

La société Acubed[4], la branche d’innovation d’Airbus basée à Sunnyvale, proche de la Silicon Valley en Californie, fait progresser la technologie autonome pour permettre au remplaçant du 320 d’être piloté par un seul pilote.

 

Le contraste est saisissant ; Airbus vient puiser les talents aux USA pour son prochain avion, alors que Boeing se bat pour sa survie et n’a pas encore mis à l’ordre du jour le remplaçant du Max…

À suivre…

----------------------------------------------------------------------------------------------------------------------------------------------------------

[1] “Will the last person leaving SEATTLE — turn out the lights.” Affiché sur un panneau publicitaire près de l'aéroport international de Seattle-Tacoma en 1971.

[2]. Cet accord de 4,2 milliards de dollars concernait la branche des avions régionaux d’Embraer. Boeing comptait sur leur bureau d’études – où les ingénieurs sont payés en réals brésiliens – pour réaliser des économies sur l’étude de ses avions. 

[3]. Bilateral Aviation Safety Agreements.

[4] Créée en 2015 : https://acubed.airbus.com

Capture d’écran 2020-09-07 à 15.59.07.
Capture d’écran 2020-09-07 à 16.02.26.
Capture d’écran 2020-09-07 à 16.02.45.
Capture d’écran 2020-09-07 à 16.04.07.
Capture d’écran 2020-09-07 à 16.04.34.

 Incidents en vol au cours de ma carrière de pilote 

En 40 ans de pilotage et 18 000 heures de vol, j’ai eu quelques incidents, mais je ne me suis jamais senti en danger de mort.

 

En revanche, j’ai connu beaucoup trop d’accidents et perdu des amis et connaissances, notamment en Afrique où les conditions météorologiques étaient difficiles, les infrastructures souvent en panne et les avions parfois obsolètes.

 

En France, en aviation d’affaires, j’ai remplacé le copilote qui s’était tué lors de l’accident en Learjet 55, en 1987, qui transportait Michel Baroin, le père de l’ancien ministre, maire de Troyes.

 

En aviation de ligne, à Air Inter : le crash du mont Sainte-Odile, en 1992, m’avait particulièrement ébranlé, car je ne pensais pas qu’une grande compagnie leader dans bien des domaines pouvait être ainsi frappée.

 

Enfin, à Air France : le Concorde en 2000, le Toronto en 2005 et le Rio-Paris en 2009. Ces accidents ont eu pour conséquence de faire évoluer la gestion de la sécurité des vols de la compagnie nationale.

 

J’ai eu trois pannes moteur, dont deux en bimoteurs légers. Une sur Britten Norman, en 1984, un moteur que j’ai dû arrêter en descente à Nouakchott, Mauritanie, faisant suite à une révision, la veille, le câble de la manette des gaz était mal fixé, et le moteur ne pouvait plus réduire. Une en Cessna 310, en 1986, au décollage de Barcelonnette, un problème d’alimentation carburant : le moteur qui broutait et ne délivrait pas suffisamment de puissance pendant la montée, m’a contraint à me reposer. Enfin une en Airbus 320, en 1991, au décollage de Lyon-Saint-Éxupéry (Satolas à l’époque), un aigle avalé par le moteur droit, que nous avons vu arriver. Les vibrations étaient si importantes qu’il était impossible de lire les informations sur l’écran moteur. Le commandant (CDB), pilote en fonction (PF), a réduit la puissance du moteur jusqu’à ce que les vibrations soient soutenables. Il n’a pas voulu se reposer à Lyon, considérant qu’il n’y avait que des cons dans cette escale… Nous avons été jusqu’à Orly, notre destination, avec un moteur et demi… Après l’atterrissage, en observant l’état du fan du moteur, qui avait 12 ailettes froissées sur 36, j’ai regretté de ne pas avoir davantage insisté pour revenir se poser à Lyon.

Finalement, je n’ai jamais eu de panne moteur franche.

 

J’ai endommagé, en 1977, un bout d’aile d’un Cessna 402 (bimoteur de neuf places) à Ouesso, au Congo, en garant l’avion sur son aire de stationnement (en terre), en brisant la fenêtre d’une voiture de Chinois, laquelle n’avait pas à être ici. J’ai réparé le bout de l’aile avec du scotch, et je suis rentré à Brazzaville.

 

J’ai eu deux pannes de circuits hydrauliques en A320. L’une lors du roulage à Munich avec retour au parking ; l’autre en finale 06 à Orly, en 1999, où j’ai effectué une remise de gaz pour traiter la panne tranquillement. Deux pannes d’alternateur moteur en 2002 et en 2014 ; l’une en allant à Stockholm en 320 (démarrage de l’APU[1]), vol poursuivi jusqu’à destination, l’autre en B777 au décollage de Roissy (démarrage de l’APU), demi-tour après vidange carburant de 70 tonnes au-dessus de la Manche et à haute altitude, car il n’y en avait plus suffisamment pour assurer le vol avec le fonctionnement de l’APU pendant 12 heures jusqu’à San Francisco.

 

J’ai eu la panne des trois pilotes automatiques (A/P) au-dessus de l’Atlantique (2012). J’ai d’abord accusé le copilote d’avoir débrayé l’A/P, mais il fut impossible de le réenclencher. J’ai appelé par téléphone satellite la maintenance de CDG, qui était au courant du problème sur cet avion et qui savait qu’il était possible de faire un reset du système en tirant puis en repoussant un breaker. J’ai demandé si ce reset était possible en vol. « Standby… Non, il s’agit d’une procédure au sol. » Ouf ! Si l’autotest consistait à bouger les commandes dans tous les sens en vol, je ne serais peut-être plus là pour en parler.

 

Nous avons prévenu le contrôle aérien de Shanwick que la navigation n’allait plus être aussi précise, dans son espace où un pilote automatique de précision est obligatoire. J’ai réveillé le copilote de renfort, et nous avons piloté l’avion à tour de rôle pendant 15 minutes, en maintenant une altitude à +/- 100 ft, un cap à +/- 2°, ce qui demande beaucoup de concentration, alors qu’il restait trois heures de vol.

 

Mais l’événement le plus marquant a été celui d’un feu de soute en B777-200 (F-GSPY), vol AF902, CDG-NSI (Yaoundé Cameroun), au décollage de Roissy, le 2 août 2010.

 

Le scénario de panne était idéal : pas de fatigue, début de rotation et fin de matinée ; ça s’est passé « à la maison » (CDG), radio en français avec une météo clémente.

 

J’avais déjà eu un problème similaire en A319LR (Dedicace), en 2005, au décollage de Nouakchott. Avant le départ, plusieurs bouteilles d’insecticide avaient été vidées dans les soutes à bagages pour éviter les transmissions de maladies par des parasites. L’alarme incendie se déclenchait parfois, et nous avions connaissance de ce risque. Cependant, nous sommes revenus nous poser.

 

Pour en revenir au vol AF902, il y avait une dispense « APU indisponible » qui faisait suite à une fuite d’huile de son moteur. De la salle de la préparation des vols, nous avons interrogé la maintenance qui nous a informés que l’APU avait été changé et la dispense levée. Les packs (climatiseurs) pollués par l’air vicié avaient été lavés, et l’APU avait fonctionné pendant plusieurs heures pour évacuer la mauvaise odeur d’huile qui s’était introduite dans les conduits de conditionnement d’air. Lors du briefing avec les PNC (hôtesses et stewards), j’ai parlé de ce risque d’odeur en entrant dans l’avion.

 

Il y avait du transport de carburant à faire sur ce vol pour le complément de plein du vol retour, car il était très cher à Yaoundé. Dans le dossier de vol, le dispatcheur qui l'avait préparé proposé un atterrissage à la masse maximale pour emporter le plus de carburant possible, même si cela ne permettait pas de faire l’aller-retour.

 

Compte tenu de l’absence de bulletin météo à Yaoundé (absence de METAR, et le TAF était périmé à l’heure prévue d’arrivée), nous avons vérifié les météos des terrains de dégagement, qui étaient correctes. Nous avons décidé d’une prise de carburant inférieure de 3 tonnes à la masse maximale atterrissage afin de diminuer les risques de sortie de piste à l’atterrissage au cas où l’unique piste serait détrempée par une éventuelle averse. Cette décision fut profitable à notre retour à CDG.

 

Il s’agissait d’un vol court à deux pilotes (< 8 heures). Je ne connaissais pas Pascal, le copilote, et nous allions à Yaoundé pour la première fois. J’ai décidé qu’il ferait l’étape aller afin que je garde de la disponibilité pour l’arrivée.

 

Lors du briefing départ (avant la mise en route), nous avons parlé de la panne moteur au décollage. Comme d’habitude, nous avons évoqué deux scénarios : 1/ atterrissage en surcharge en cas de retour rapide (situation d’urgence, par exemple feu incontrôlable) ; 2/ retour en cas de problème moins grave qui nous conduirait à vidanger du carburant sur une zone réservée à cet effet. Pour cela, j’ai parlé de la checklist « Fuel Jettison » (vidange carburant) en associant à la procédure la gestuelle des boutons à utiliser. Puis j’ai évoqué de stopper la montée à 4000 ft (au-dessus de celle de sécurité), et enfin de demander la piste la plus longue (26R, réservée aux décollages) qui est systématiquement attribuée par les contrôleurs en cas d’atterrissage problématique.

 

Après le décollage en piste 26R, vers 2000 ft, l’alarme sonore et visuelle rouge « FIRE CARGO AFT » (feu cargo soute arrière) a retenti. Nous nous sommes demandé avec le copilote si cela avait un rapport avec la fuite d’huile de l’APU qui avait été changé. Cependant il n’y avait pas à spéculer pour savoir s’il s’agissait ou pas d’une fausse alarme. J’ai lancé la procédure. À l’époque, la répartition des tâches était encore à la main du CDB, et j’ai gardé ma fonction de PNF (Pilot Non Flying), aujourd’hui appelé PM (Pilot Monitor), en laissant le soin à Pascal de piloter. Il a rapidement enclenché l’A/P pour être plus disponible. J’ai fait les actions évoquées lors du briefing, et l’alarme s’est arrêtée.

 

Puis j’ai lancé à la radio un Mayday en signalant un feu à bord et demandé un retour rapide. Il y a eu un temps mort sur la fréquence et un changement de contrôleur, lequel nous a fait virer à gauche (à 4000 ft) pour passer en vent arrière et revenir se poser. Étant un ancien du Bourget, je ne voulais pas virer d’autorité avec le risque de me retrouver en face d’une finale, car le trafic est dense avec ces deux aéroports très proches, et faire une arrivée à vue aurait alourdi notre charge de travail et celle du contrôleur.

 

Le responsable de l’instruction B777 de l’époque (Vincent Pina) s’était plaint que ses pilotes mettaient trop de temps à lancer la procédure de vidange carburant, occasionnant des temps d’attente plus longs en vol, générateurs de risques et de stress. Il avait donc préconisé de lancer cette procédure dès que possible, ce que j’ai fait de mémoire, mais cela m’a été reproché par la suite.

 

J’ai informé la tour de contrôle que la procédure « Vidange carburant » était en cours. Le contrôleur a voulu s’y opposer, mais je lui ai rappelé que nous étions en situation d’urgence. Je n’avais pas annulé le Mayday pour être tranquille jusqu’à l’atterrissage, et j’ai exprimé mes regrets pour cette pollution à basse altitude. En effet, il y a eu une plainte (rejetée) du maire d’un des villages aux alentours de l’aéroport.

 

J’ai appelé la CCP (chef de cabine principal) dans le cockpit pour lui expliquer la situation, que nous devions retourner nous poser dans moins de 10 minutes et pour lui demander de faire une préparation cabine phase 1 (peu de risques de sortie de piste) et, par commodité, de laisser la porte du poste ouverte, que j’avais déverrouillée.

 

Pascal a demandé à garder les volets partiellement sortis (5), ce que j’ai approuvé. Pendant l’approche vent arrière, je lui ai laissé la radio pour que je puisse informer calmement les passagers, en français et anglais, que nous allions nous reposer à cause d’un problème technique.

 

En faisant la checklist « Overweight Landing » (atterrissage en surcharge), j’ai clôturé celle de la vidange carburant en m’assurant que les trois items que j’avais faits de mémoire, avaient bien été effectués.  

 

Le contrôle de la tour nous a pressés pour virer en étape de base pour rejoindre la finale, ce que j’ai refusé dans un premier temps, car nous n’étions pas tout à fait prêts. J’avais sous la pince la fiche (papier) départ, celle d’atterrissage, en cas justement de retour rapide. Étant à vue, le briefing arrivée s’est résumé à vérifier l’indicatif de l’ILS.

 

Pascal a posé l’appareil, en surcharge de 6 tonnes, en douceur. Aucun dégât structurel de l’avion n’a été relevé après l’inspection effectuée par la mécanique.

 

Nous avons immobilisé le B777 une fois la piste dégagée, et j’ai demandé aux pompiers de faire une inspection du fuselage arrière, et, à leur leader, sur une autre fréquence donnée par la tour, de ne pas ouvrir les soutes tant que tous les passagers et l’équipage n’étaient pas débarqués (risque d’inflammation/explosion avec un apport d’air/ oxygène). Il m’a interrogé sur le nombre de personnes à bord et le type de matières dangereuses que nous avions dans les soutes.

 

Puis, j’ai demandé à reprendre le roulage vers un parking éloigné, sans avion à proximité, afin que les pompiers puissent opérer aisément et sans que le 777 soit une menace pour d’autres appareils ou infrastructures.

 

Le parking L67 fut attribué. À l’arrivée, il n’y avait pas de placeur, et c’est un pompier qui a guidé l’avion.

 

Durant le roulage, j’ai réclamé à l’escale un escabeau rapidement ainsi que des bus en nombre suffisant. J’ai rappelé à la CCP qu’en cas de problème, et tant que l’avion n’avait pas d’escabeau, l’évacuation des passagers se ferait par les toboggans. Je lui ai aussi recommandé de veiller à ce que ceux-ci restent à bord en attendant que tous les bus soient arrivés, car je ne voulais pas qu’ils s’éparpillent sur le tarmac.

 

Le débarquement s’est effectué dans le calme, les passagers nous demandant quand nous pourrions repartir. Cela ne se pourrait pas se faire avec cet avion, et l’ensemble de l’équipage pensait pouvoir repartir rapidement avec un autre appareil. Mais la compagnie a refusé, à juste titre. Un équipage qui a vécu une situation exceptionnelle met plusieurs jours pour s’en remettre et être à nouveau 100 % opérationnel.

 

Une fois l’ensemble des passagers et l’équipage débarqué, je suis allé voir les pompiers qui ouvraient les portes des soutes cargo. Il ne s’est rien passé. Il s’agissait d’une fausse alarme : j’étais déçu.

 

J’ai été critiqué pour la gestion de cet événement. J’aurais dû aller vidanger plus loin, plus haut (> 6000 ft) et revenir peut-être deux heures plus tard. Mais, à l’inverse, si cette fausse alarme n’avait pas fonctionné, en laissant croire que le feu était totalement maîtrisé, alors qu’une piste d’atterrissage était sous nos pieds ?

 

La compagnie a accueilli l’équipage à l’arrivée de la DO (direction des opérations). Lors du debriefing à chaud qui s’est ensuivi, en semaine et en milieu de journée, les cadres OSV (officiers sécurité des vols) étaient présents. Il y a eu un tour de table où chacun d’entre nous s’est exprimé, en commençant par les PNC les plus jeunes et en progressant vers les plus anciens et gradés, c’est-à-dire en terminant par moi. Cela a permis à chacun de s’exprimer sans être sous l’influence d’un navigant (PNC et pilote) plus expérimenté ou plus élevé hiérarchiquement.

 

Ainsi un steward a expliqué qu’il avait forcé la trappe d’accès au poste de repos PNC, situé en soute arrière (sur B777-200), contigu aux soutes à bagages et de fret, là où le feu s’était déclaré, pour aller le combattre avec un extincteur… Ça nous a tous sidérés, car le blocage mécanique de l’accès permet d’isoler cette partie de l’avion et non de l’alimenter en air et oxygène. Que ce serait-il passé s’il y avait eu réellement le feu à 3 heures de vol[2] d’un terrain de secours ?

 

La CC (chef de cabine) de l’arrière a été beaucoup plus stressée que celle de l’avant, n’étant pas au contact de la gestion de la situation entre la CCP et moi. Le bruit de percussion des bouteilles incendie sous ses pieds ainsi que la vue de la vaporisation du carburant au bout des ailes y ont contribué.

 

J’ai avoué ma déviation de la procédure de vidange, en précisant avoir été conscient de se que je faisais. Conditionné certainement par le briefing départ, lors de la répétition gestuelle de la checklist, j’aurais mieux fait de me taire pour éviter d’être réprimandé. Mais ma culture m’a toujours obligé à la franchise, surtout lorsqu’il s’agit de sécurité des vols.

 

J’ai eu un peu de mal à lancer le Mayday : c’était la première fois que je le faisais en dehors du simulateur. Mon niveau de stress a atteint son point culminant en fin de vent arrière, espérant n’avoir rien oublié d’important. Les jets pompes de vidange ont été arrêtés en finale vers 1000 ft sol.

 

Par la suite, avec le copilote, nous avons été convoqués pour nous expliquer. On m’a reproché de ne pas avoir suivi la checklist vidange carburant et d’avoir vidangé 17 tonnes aux abords de l’aéroport ; bref, d’avoir traité ce problème tel un cow-boy à l’époque d’Air Inter.

 

Le temps de vol n’a été que de 14 minutes, c’est peu pour faire face à autant de procédures, et j’estimais avoir fait le boulot. Peu de temps après, Vincent, le responsable de la sécurité des vols de la division B777, m’avait envoyé un message (ACARS) en vol lors d’un retour de Pékin. Il m’attendait dans son bureau à mon retour à 19 heures, et je pensais me prendre encore un savon.

 

Il me dit que j’avais raconté mon histoire à tout le monde sauf à lui, lui qui n’avait jamais lancé de Mayday en vol de sa vie de pilote. À la fin de mon récit, il me serra la main et me félicita. Par la suite, j’ai su qu’il avait été critiqué pour m’avoir soutenu. Vincent n’était pas un technocrate, mais un chef humain proche de ses pilotes.  

 

Certains cadres attendent des pilotes qu’ils fassent les SOP (Standard Operation Procedure) jusque dans les moindres détails, comme dans les manuels ou au simulateur.

 

C’est ainsi que le commandant De Crespigny (A380, Qantas 32 en 2010), qui avait subi l’explosion non contenue d’un moteur en montée au départ de Singapour, n’a pas eu son contrôle en ligne ce jour-là. Sully (A320, US Airways en 2009), qui avait amerri dans l’Hudson River à New York, avait oublié de demander la checklist « Ditching » (amerrissage) et avait démarré prématurément l’APU par rapport à la checklist « Panne des deux moteurs ». Il aurait lui aussi été sanctionné s’il avait été en contrôle. Quant à Piché (A330, Air Transat 236 en 2001), qui s’est posé de nuit en vol plané (21 minutes moteurs arrêtés) au-dessus de l’Atlantique, sur l’île de Lajes aux Açores, à cause d’une fuite carburant mal gérée, il s’est fait crucifier.

 

Et pourtant ces commandants ont ramené, dans des conditions exceptionnelles, passagers et équipage sains et saufs. Alors, que les donneurs de leçons me montrent ce qu’est un bon pilote. Certainement celui qui ne commet aucune erreur et qui suit les checklists à la lettre, même si celles-ci ne sont pas toujours pertinentes.

 

En revanche, la compagnie s’est mise en défaut flagrant de non-communication en occultant cet événement, qui est resté inexistant aux yeux des pilotes et PNC d’Air France. Alors qu’ils auraient pu en tirer des enseignements significatifs – d’autant que j’avais obtenu six retours d’expérience (REX) PNC sur douze, sur la façon dont ils avaient vécu l’événement. Et avec Pascal, j’avais rédigé un ASR (Air Safety Report) détaillé, dont ce récit est extrait.

 

Elle a certainement eu peur de mettre en lumière un exemple de traitement de panne répréhensible. Mais la sécurité progresse en apprenant des erreurs en son sein et certainement pas les dissimulant. Un an après le drame du Rio-Paris (AF447), la mentalité des dirigeants d’Air France n’avait pas encore beaucoup évolué…

_____________________________

[1]. Auxiliary Power Unit: groupe auxiliaire dans la queue de l’avion qui fournit le conditionnement d’air et d’électricité au sol et qui peut suppléer en vol l’air et l’électricité fournis par un moteur.

[2]. Distance maximale d’éloignement d’un terrain de secours pour un B777 d’Air France.

Feu de soute B777-200 (F-GSPY) AF902 CDG

Il y a dix ans : le Rio-Paris, AF447

La faillite d’un système sécuritaire

Il y a dix ans, le 1er juin 2009, un Airbus 330-200 d’Air France disparaissait dans l’Atlantique Sud faisant 228 morts. Cet accident, le plus important d’une compagnie française, a traumatisé Air France et ébranlé l’ensemble de la communauté aéronautique.  

Comment un avion moderne, réputé sûr, a-t-il pu se crasher sans panne majeure ?

 

Qu’en était-t-il de la sécurité des vols chez Air France en 2009 ?

 

AF avait eu trois accidents majeurs en moins de dix ans – Concorde en 2000, Gonesse, 113 morts ; A340 en 2005, Toronto, aucune victime, mais destruction de l’appareil par le feu ; et A330 en 2009, Atlantique Sud, 228 morts –, ce qui en a fait une compagnie extraordinairement résiliente aux accidents. En effet, d’autres ont disparu après de telles circonstances, comme Pan Am en 1991 (B747 en 1988, Lockerbie Écosse, 270 morts), TWA en 2001 (B747 en 1996, Moriches USA, 230 morts) ou Swissair en 2002 (MD-11 en 1998, Peggy’s Cove Canada, 229 morts).

Voici un tableau comparatif du nombre de décès dus aux accidents aériens, entre 1960 et 2010[1], de trois compagnies européennes de tailles similaires, Air France, British Airways (BA) et Lufthansa (LH) :

 

 

 

                 (a). UTA, DC-10, attentat au Ténéré en 1989, 170 morts. Air Littoral, Bordeaux en 1987, 16 morts.

                 (b). Air Inter, Mont Sainte-Odile en 1992, 87 morts. TAME, Bogota en 1998, 53 morts.

                 (c). Germanwings, suicide du pilote, dans les Alpes en 2015, 150 morts.

 

Ce qui interpelle, c’est l’écart entre les résultats. En effet, à partir des années 1980, British Airways et Lufthansa  sont des compagnies sûres. Chez AF, le protocole d’analyse des vols, signé par le Syndicat national des pilotes de ligne et la direction en 1974, a dû contribuer à une baisse significative des accidents puisque, de 1980 à 2000, il n’y a eu que dix décès en avion propre AF.

Alors pour quelles raisons, à partir de 2000, AF ne pratique-t-elle pas un niveau de sécurité équivalent ?  

Quant aux Allemands, le sens du consensus pour trouver des accords entre direction et partenaires sociaux ainsi que leur discipline sont certainement à mettre à l’actif de leur performance, excepté pour Germanwings.  

On peut également se demander pourquoi le premier transporteur européen, Ryanair, tant décrié pour maltraiter son personnel et ses passagers, n’a jamais eu d’accident mortel en trente-quatre ans d’existence (1985).

 

Après l’accident de la navette spatiale en 2003, le rapport du Columbia Accident Investigation Board (CAIB) fut sans complaisance sur les causes et les remèdes à apporter à l’agence spatiale américaine. Il lui était reproché une culture orientée vers l’économie et gérée par une administration interne trop lourde. Pour redresser la situation, le CAIB considérait que changer les hommes n’était pas suffisant et qu’il fallait aussi modifier l’organisation et les procédures de la Nasa, c’est-à-dire la culture d’entreprise, ce qui devait prendre beaucoup de temps, certains spécialistes parlant de dix ans.

Le professeur Patrick Hudson[5] précise que la sécurité aérienne n’est jamais un objectif facile à atteindre pour des organismes complexes. En reconnaissant l’importance de la mise en place d’une culture de la sécurité en leur sein, Hudson avance l’idée que seule une révolution dans la manière de penser des gestionnaires pourrait réellement garantir la sécurité.

« Les accidents fournissent des preuves éclatantes et irréfutables de la gravité des dangers. Trop souvent, il faut qu’une organisation ait fait l’expérience de la nature catastrophique et extrêmement coûteuse des accidents pour qu’elle se décide à allouer des ressources en vue de réduire ou d’éliminer les conditions dangereuses jusqu’à un niveau qu’elle n’aurait pas atteint en d’autres circonstances (OACI[6]) ».

 

Les compagnies gèrent la sécurité sous trois formes différentes. De manière :

– réactive. Après qu’un accident ou qu’un incident grave (visible) s’est produit, la compagnie applique les recommandations du Bureau Enquêtes et Accidents (BEA), puis « attend » le suivant ;

– proactive. Elle met en place plusieurs outils : un service d’enregistrement de tous ses vols qui analyse les écarts, un retour d’expériences efficace et des audits réguliers. Le traitement de toutes ces données permet d’identifier et de hiérarchiser les menaces pour la sécurité, afin de mettre en place des procédures correctives avant qu’un nouvel accident se produise ;

– prédictive, par une anticipation des menaces à venir, en fonction des évolutions techniques, environnementales et législatives, ou en raison d’une nouvelle activité (par exemple se lancer dans le long-courrier). Toute menace potentiellement dangereuse doit être traitée comme si elle existait (Clausewitz[7]).

 

Après le Toronto (2005), AF a commencé à prendre conscience de sa situation et a mis en place un programme de redressement (rapport Colin, 2006). Mais l’inertie de l’entreprise n’a pas permis de passer en pente ascendante (vario positif pour les pilotes). Il aura malheureusement fallu la catastrophe du Rio-Paris (AF447) pour produire un véritable électrochoc et un réel changement de situation.

 

Toutefois, la compagnie n’était pas la seule en cause dans cette tragédie. L’État et ses administrations n’ont pas fait leur travail, notamment la DGAC qui n’a pas su mesurer l’importance du risque associé au défaut des sondes pitot.

L’État, actionnaire d’Air France, la dirigeait en sous-main sans réelle compétence aéronautique, et aucun employé ne pouvait imaginer qu’une telle entreprise puisse un jour disparaître. Ainsi le service Prévention et sécurité des vols était géré comme une composante ordinaire de l’entreprise, placée en 4e position dans la Direction des opérations et du développement technique, elle-même en 5e position de l’organigramme de la Direction générale des opérations aériennes, alors que la Sûreté opérations aériennes se situait en 1re position.

Les dirigeants étaient issus de l’establishment : haut fonctionnaires, chefs d’entreprise, nommés pour service rendu. Rares étaient ceux qui provenaient du milieu aéronautique, comme l’est aujourd’hui Ben Smith. L’accès aux postes importants se faisait dans un jeu de chaises musicales, où les compétences importaient moins que la patience. L’organisation décourageait toute initiative, et chacun défendait son pré carré. Après l’accident du Toronto, j’ai été démis sans ménagement de mes fonctions aux Facteurs Humains par son responsable (JFT), qui a menacé de bloquer mon avancement, pour avoir osé écrire au président Spinetta pour dénoncer les manquements en matière de sécurité des vols[8].

Pourtant une réponse formelle aurait consisté à nommer un directeur de la sécurité, un pilote dont la sécurité serait la spécialité, qui aurait disposé de moyens suffisamment puissants pour assurer sa mission. Il aurait fallu que ce haut responsable (directeur général) soit en relation directe avec le président de la compagnie (au même niveau que le DG Sûreté), avec une autorité sur l’ensemble des services qui impactent, de près ou de loin, la sécurité des vols, tout en étant indépendant de tous facteurs économiques pouvant corrompre sa démarche.

 

Airbus, enfin, a une part de responsabilité non négligeable. J’ai à mon actif 9 000 heures de vol sur A320 : je connais donc les qualités et les défauts des Airbus à commandes de vol électrique de première génération. Si l’avion est agréable à piloter et facile à mettre en œuvre, il devient difficile à traiter pour certaines pannes. Le système qui gère les pannes (ECAM) ne facilite pas toujours leur compréhension.

Il y a aussi des aberrations chez Airbus, à commencer par les commandes de vol non conjuguées (les minimanches ne sont pas reliés entre eux) et les manettes de poussée fixes, ce qui enlèvent les perceptions tactile des minimanches (que fait l’autre pilote en pilotage manuel) et visuelle des manettes qui ne bougent pas en fonction des variations de régime des moteurs. Il faut lire l’information à l’ECAM, faisant davantage des Airbus des avions d’ingénieurs que de pilotes.

De même, l’alarme de décrochage fonctionne avec l’anémomètre plutôt qu’à l’incidencemètre dont elle dépend directement. J’ai fait des tours de piste en A320 sans anémomètre, juste à l’incidencemètre, et cela se passait très bien. Pourquoi l’administration a-t-elle laissé faire ça ? Pour aider son champion ? Avec une FAA complaisante, on voit aujourd’hui dans quelle situation se retrouve Boeing avec le 737 Max et son système anti décrochage, Maneuvering Characteristics Augmentation System (MCAS), qui répond à l’inverse de ce qui est attendu.

Airbus a fait preuve d’un orgueil démesuré en prétendant que ses avions ne pouvaient pas décrocher. Cela est typique du « syndrome du Titanic » : inutile d’apprendre à récupérer un avion en décrochage, ou même impossible d’imaginer qu’il puisse décrocher. C’est toujours cela d’économisé pour former les pilotes…

Pourtant, déjà en 1994, lors d’une campagne d’essai du moteur Pratt & Whitney chez Airbus à Toulouse, un A330 avait décroché faisant sept morts, dont le chef pilote des essais en vol qui était aux commandes. Si la personne la plus compétente dans le domaine de l’utilisation d’un avion de ligne peut se faire « piéger » sans panne aucune, que peut-on alors attendre des pilotes de base, en milieu de nuit, par conditions orageuses avec une panne ? 

 

L’élément déclencheur de l’accident fut un défaut des trois sondes pilot (blocage par cristaux de glace) qui alimentent des calculateurs pour obtenir l’information de vitesse air. Cette panne a aussi privé le pilote automatique d’informations nécessaires à son fonctionnement, qui s’est déconnecté laissant brutalement les pilotes face à une situation complexe et avec peu de temps pour la diagnostiquer.

Les systèmes de l’avion (dont l’architecture interne repose sur une grande autonomie) transmettent aux pilotes des alarmes qui ne sont pas suffisamment progressives et qui ne permettent pas de dialogue entre l’homme et la machine. Trop souvent les systèmes se déclarent en panne tardivement, sans anticipation, lorsqu’ils ont épuisé toutes leurs possibilités de restauration, générant un « effet falaise », exigeant alors des pilotes d’être des super-opérateurs, à la « James Bond », capables d’intervenir efficacement et rapidement au moment ultime.    

Comment peut-on expliquer qu’un équipage expérimenté n’ait pas entendu l’alarme décrochage stall retentir plus de soixante-dix fois ?

L’examen des mécanismes neuronaux impliqués dans la prise de décision sous stress met en évidence des biais d’inhibitions (blocages) où la surdité non intentionnelle est plus courante que la cécité. Les résultats des neurologues définissent celle-ci comme un phénomène cognitif essentiel pour la sécurité aérienne. Ainsi, l’objectif opérationnel du travail sur le « contexte » peut se résumer en une phrase : « Avoir la bonne information au bon moment sous le bon format (Pinet[9]). »

Apprendre à gérer les situations complexes, voire incompréhensibles[10], impossibles à élucider en un temps limité (celui de la durée critique du vol), repose sur des schémas mentaux difficilement représentables pour des esprits cartésiens, pour lesquels tout problème doit trouver une solution rationnelle. En particulier pour les pilotes français dont « le niveau moyen intellectuel, supérieur aux autres compagnies, pourrait parfois être lu comme un handicap sur des machines complexes, conçues, par d’autres intelligences, pour être utilisées sans interprétation. »

 

La surconfiance engendrée par le très haut niveau de fiabilité des avions modernes fragilise les pilotes qui ne sont plus préparés à faire face à des situations inattendues comme une panne improbable. L’analyse des incidents en vol montre, par l’enregistreur de vol vocal, que leurs réactions sont parfois bien différentes de celles observées lors d’une séance de simulateur. Et pourtant, les pilotes impliqués ne sont pas toujours considérés comme « mauvais » au simulateur, au contraire.

La formation, essentiellement orientée vers le simulateur au détriment des contrôles en vol, crée un biais entre virtualisation et réalité, propice à favoriser les situations de déni, laissant croire que l’évaluation des compétences des pilotes, et les pannes associées, se situent au sol dans un hangar plutôt qu’en vol.

___________________________________________________________________

[1] D’après Aviation Safety Network de la Flight Safety Foundation.

[2]. Air France (1933), UTA (1963-1990), Air Inter (1957-1997).

[3]. British Airways (1974), British Overseas Airways Corporation (1939-1974), British European Airways (1946-1974).

[4]. Lufthansa (1926), Lufthansa Cargo (1994), Lufthansa CityLine (1958), Lufthansa Regional (2004), Germanwings (1996).

[5]. Professeur au Centre for Safety Research de l’université de Leiden aux Pays-Bas.

[6]. Manuel de gestion de la sécurité (MGS), OACI 2006.

[7].  « En raison de leurs conséquences, les événements possibles doivent être jugés comme réels. »

[8]. Extrait de mon courrier en date du 26 septembre 2005 : « Après l’accident du Concorde, nous avons eu deux événements majeurs de nature à ruiner Air France : le 25/09/2001, une quasi-collision à l’aéroport de Mexico entre un de nos Boeing 777 et un DC 8 de DHL au décollage. Le DHL effectua une manœuvre d’urgence sortant délibérément de la piste à grande vitesse pour éviter la collision. Puis, cet été, à Toronto, avec la sortie de piste et la destruction par le feu d’un Airbus 340, que tout le monde a encore à l’esprit. Ces deux catastrophes ratées, qui n’ont fait miraculeusement aucune victime, doivent cependant être perçues comme les précurseurs d’une véritable tragédie. »

[9]. Guy Boy, Jean Pinet, L’être Techno-Logique, une discussion entre un chercheur et un pilote d’essais du Concorde, L’Harmattan, 2008, p. 243.

[10]. L’incident du Qantas 32 a cumulé cinquante-deux pannes liées aux systèmes informatiques, théoriquement indépendants.

Tableau comparatif AF-BA-LH.png