Le MCAS du B 737 Max (3/6)

​

1. Historique et description

2. Accidents du Lion Air, du vol précédant le Lion Air et l’Ethiopian Airlines

3. Mesures correctives. Simulation des deux vols.

MCAS : Maneuvering Characteristics Augmentation System ou système d’amélioration des caractéristiques de manœuvrabilité.

Ce système connecté aux commandes de vol a été conçu pour améliorer la stabilité en tangage du 737 Max, pour qu’il réagisse et se pilote comme les autres 737, afin de préserver la qualification commune avec les précédents. Le MCAS ne peut s’activer qu’en pilotage manuel avec les volets rentrés (au-delà de 230 nœuds ou de 425 km/h) et à un « angle of attack » (AOA) ou d’incidence élevé.

​

​

​

​

​

​

​

​

​

​

​

​

Cockpit du Boeing 737 Max

​

1/ Historique et description

À force d’allonger et d’alourdir le Boeing 737, d’y ajouter des moteurs toujours plus puissants et encombrants[1], le 737 Max a eu des difficultés pour répondre aux critères de qualification commune de la famille 737 (Original, Classic, NG et Max). Cela faisait en effet partie des exigences des compagnies aériennes qui ne voulaient pas dépenser davantage d’argent pour que les pilotes soient contraints à des séances de simulateur pour passer du 737 NG (le précédent) au Max. C’était une demande particulièrement insistante de Southwest Airlines, la compagnie de lancement du Max, qui en a commandé 240 exemplaires et qui possède la flotte la plus importante de 737 (environ 720 NG et 30 Max).

En un demi-siècle, le Boeing 737 a considérablement évolué. Après un premier vol en 1967, il a fait partie de la deuxième génération d’avions à réaction et a subi durant sa carrière trois évolutions afin de rester dans la course technologique et commerciale. Cependant, l’absence de commandes de vol électriques (à travers des computers) montre aujourd’hui ses limites.

Mais, paradoxalement, c’est aussi la dernière version, celle du Max, qui a connu le plus grand nombre de commandes de l’histoire de Boeing (plus de 5 000), et qui génère 40 % des bénéfices de l’entreprise. Ces chiffres ont conforté les dirigeants de Boeing d’avoir fait le bon choix. Et pourtant…

Les médias ont focalisé sur le nouveau moteur LEAP considéré comme la cause des problèmes du Max. Toutefois le tableau ci-dessous montre que la différence a été plus importante entre le premier moteur (JT8) et le deuxième (CFM-56), lequel est à l’origine de l’introduction de systèmes automatiques comme le « Speed Trim System » (STS).  

Évolution de la motorisation du B737

​

​

​

​

​

​

​

• retiré du service, sauf en Amérique du Sud.

Paradoxalement, le moteur JT8D du 737 Original est le plus long. Il est collé sous l’aile et n’a pas de mât, contrairement à son prédécesseur, le B707.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Principales différences entre le 737 Max (2016) et le modèle précédent, le NG (1997) à capacité identique (longueur). 

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Boeing a décidé tardivement d’équiper le Max du système MCAS pour pallier un problème de pilotage, afin qu’il soit au plus près de l’ancienne version Next Generation (NG) et qu’il se conforme à la réglementation qui exige qu’une force opposée augmente sur le manche de façon linéaire lorsque le pilote manœuvre son avion. Ce n’est donc pas à cause d’un problème de centrage dû à la position plus avancée des moteurs ou à leur plus forte poussée, comme cela a pu être dit.

Si les nouveaux moteurs du Max (Leap-1B de CFM International) peuvent faire cabrer l’avion dans certaines circonstances, cela se traduit par une force de réaction au manche insuffisante de nature à surprendre les pilotes.  

Le MCAS est un des composants du STS

Auparavant, avec l’introduction du moteur CFM-56 en 1984 sur le 737 Classic, le nouvel appareil a vu sa puissance moteur augmenter significativement de plus de 20 %. Cela a justifié l’introduction du Speed Trim System (STS), un système de compensation d’aide au pilotage manuel, qui ajuste automatiquement le plan horizontal réglable (PHR) lors de fortes variations de poussée pendant les phases de décollage et de remise de gaz, particulièrement à faible masse et centrage arrière.

Le STS s’active automatiquement lorsque l’assiette est trop importante et s’approche du décrochage. Le système n’utilise qu’une seule sonde pour son fonctionnement, en alternant à chaque vol entre celle de gauche et droite. À l’époque, cette conception a été jugée acceptable par la Federal Aviation Administration (FAA), même en cas d’emballement du STS, en raison de la capacité des pilotes à contrer manuellement le système avec l’aide du trim ou en coupant son alimentation électrique (STAB TRIM), grâce à deux interrupteurs situés sur la console centrale.

Le STS a été conservé sur les générations suivantes : le 737 NG en 1997 et le 737 Max en 2016. En revanche, sur le Max, le STS a incorporé dans son système le MCAS pour gérer la prise d’assiette de l’avion, jugé plus efficace pour éviter un décrochage.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

C’est en 2012, au cours de la définition aérodynamique du Max et d’essais en soufflerie à des vitesses élevées et à hautes altitudes, que Boeing a détecté un problème de stabilité lors de départs en virage engagé[2], procédure qui fait partie de la certification de l’avion.

Après des modifications de l’aile – ajout de générateurs de vortex[3] modifiant le flux d’air, testés à différents endroits et angles –, les résultats n’ont pas été satisfaisants. Mais il n’a pas été question pour autant d’en fabriquer une nouvelle pour le Max.

Afin de pallier ce défaut, Boeing a décidé d’intégrer le système MCAS qui avait été initialement développé pour les besoins du ravitailleur en vol KC-46[4], dérivé du B767 (1981). Les 737 et 767 sont des Boeing d’anciennes générations qui n’ont pas de commandes de vol électriques pour corriger ce genre de problème.   

Le MCAS du KC-46 a été uniquement conçu pour protéger l’avion à de hautes altitudes, et il ne peut se déclencher qu’en cas de circonstances exceptionnelles, notamment pendant les phases de ravitaillement en vol, qui peuvent occasionner des changements rapides de masse et de centrage de l’appareil.

Contrairement au Max, le pilote du KC-46[5] a autorité sur le MCAS, lorsqu’il prend les commandes en manuel, lequel ne se déclenche qu’une seule fois par événement et ne peut se réinitialiser automatiquement. Il est de plus alimenté par deux sources distinctes d’incidence (AOA), alors qu’il n’y en a qu’une seule sur le Max.

D’après The Seattle Times, ce choix semble être guidé par des raisons économiques pour réduire par deux le risque de panne des sondes et par conséquent celui d’immobilisation de l’avion pour dépannage. En effet, ce type de panne est considérée comme interdisant tout départ (NO-GO).

​

​

​

​

​

​

​

​

​

​

​

​

​

En réalité, l’architecture du 737 – qui date des années 1960 – ne possédait qu’une sonde d’incidence, côté commandant, puis deux (une par côté et par pilote), au passage du 737 Classic (300/400/500). En revanche, les avions de la génération de l’A320 – dans les années 1980 – en ont trois. Pour les systèmes importants, il y a par sécurité un système de secours supplémentaire. Si l’un tombe en panne ou si l’information fournie n’est pas satisfaisante, il y a un basculement automatique vers le système de secours ou bien le pilote intervient en utilisant un sélecteur. Cependant, même redondant, si l’un des trois systèmes tombe en panne avant le départ, l’avion ne peut pas partir (NO-GO).

Sur le plan philosophique et jusqu’au Max, Boeing s’était toujours opposé aux automatismes autoritaires, tel le pousseur de manche sur certains avions (MD, CRJ, Learjet) pour éviter le décrochage. C’est pourtant ce qu’il a fait en introduisant le MCAS, s’inspirant par-là de la philosophie d’Airbus qui laisse moins de liberté aux pilotes, notamment par des commandes de vol électriques qui évite la sortie du domaine de vol en utilisation normale. 

Puis, en mars 2016, lors d’essais à basse vitesse sur le simulateur de vol d’ingénierie (E-Cab) pour évaluer les performances du Max, il s’est avéré que les efforts physiques du pilote sur le manche n’étaient pas suffisamment proches de ceux relevés sur le NG, ce qui risquait de remettre en cause la qualification commune.   

En effet, l’effort sur les commandes doit rester souple et régulier : il doit être de 10 livres (4,54 kg) pour le déplacement d’un pouce (2,54 cm) du manche. Autrement dit, le déplacement (en butée cabré) de 25 cm du manche doit correspondre un effort de 45 kg.

Conçu pour s’activer automatiquement en cas d’approche du décrochage, le MCAS « pousse sur le manche » par un déroulement du trim de profondeur, qui fait bouger le plan horizontal réglable (PHR) d’une valeur maximale par événement de - 0,6° en altitude à hautes vitesses et facteur de charge élevé, et de - 2,5° à basses vitesses, volets rentrés.

Boeing a fait appel à la société Collins Aerospace[6] pour lui fournir le MCAS et lui a demandé en 2016 que le logiciel puisse aussi protéger le Max aux basses vitesses.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Alarme de panne de l’incidencemètre en option[7] sur le 737 Max mais en série sur le 737 NG…

​

​

​

​

​

​

​

​

​

La « Non-Normal Checklist » (NNC) de la panne d’une des sondes d’incidence (AOA DISAGREE) peut induire des erreurs de vitesse et d’altitude. C’est ce qui s’est produit lors des deux accidents (Lion Air et Ethiopian Airlines).

De plus, le vibreur de manche s’est déclenché et a fonctionné continuellement. La NNC ne suggère pas la coupure des STAB TRIM sur CUTOUT ni le renvoi vers une autre checklist, comme celle de l’emballement du trim (RUNAWAY STABILIZER).

Cependant, une activation erronée du MCAS ne ressemble pas à un emballement de trim, qui se matérialise par un mouvement continu du PHR. Lors des accidents, le mouvement du PHR était limité à 2,5° à chaque déclenchement du MCAS, et les pilotes ont pu initialement stopper le mouvement à piquer en utilisant le trim électrique qui inhibe le MCAS. Mais 5 secondes après avoir relâché le trim, celui-ci se réinitialise et repart à piquer.

Cela signifie que si l’avion n’est pas rapidement trimé au neutre en vol horizontal (ce qui peut prendre plus de 5 secondes), le MCAS, qui est toujours actif, se déclenche à nouveau modifiant à chaque fois la trajectoire de l’appareil toujours plus en piqué. Autrement dit, en deux cycles à 2,5°, le MCAS peut mettre le PHR en butée à piquer, qui est limité à 4,2°. Sur les deux accidents, les deux vérins à vis des PHR ont été retrouvés en butée à piquer.

Lorsque le trim électrique est désactivé, l’utilisation manuelle de la roue du trim nécessite jusqu’à 40 tours pour ramener le PHR au neutre (même en s’aidant de la manivelle intégrée). Mais plus la vitesse de l’avion augmente en plongeant, plus les forces aérodynamiques qui s’exercent sur le PHR (qui est en piqué) et sur la gouverne de profondeur (qui est plein cabré) risquent de bloquer le trim.

Plusieurs années avant la certification du 737 Max, Boeing et la FAA avaient engagé des discussions sur le contenu de la formation des pilotes et des manuels d’utilisation de l’avion (FCOM et FCTM). À partir de mars 2016, Boeing a proposé de supprimer le MCAS et les tableaux des différences entre le Max et le NG des manuels, ce que la FAA a approuvé.

En effet, Boeing a considéré que la fonction du MCAS est automatique, sans aucune commande de la part de l’équipage de conduite, et qu’elle fonctionne en arrière-plan. Boeing a également estimé que la procédure requise pour répondre au MCAS n’était pas différente des procédures existantes et que les équipages ne devaient pas avoir affaire au MCAS en fonctionnement normal. Les discussions entre la FAA et Boeing n’ont pas pris en compte les scénarios de défaillance du MCAS.

Cette nouvelle démarche a été à l’encontre d’une longue tradition chez Boeing qui consistait à toujours donner au pilote le contrôle complet de l’avion. Le service d’analyse de sécurité de Boeing prévoyait que les pilotes seraient le principal filet de sécurité en cas de défaillance du système.

Le manque d’information des pilotes sur le MCAS a rendu plus difficile le diagnostic de la panne de la sonde d’incidence (AOA) et la recherche de la procédure appropriée.

Un mémo interne signé par Todd Zarfos, le vice-président de Boeing qui dirigeait le centre de conception technique de la compagnie, recommandait à l’époque que la « vitesse synthétique[8] » soit installée sur le Max, un système déjà existant sur le 787. Il pensait que cela améliorerait la fiabilité de ses systèmes de données anémométriques.

Mais Boeing a soutenu qu’il serait préférable de garder les systèmes actuels du Max communs avec ceux des modèles 737 antérieurs, afin d’éviter toute confusion lorsque les pilotes passeraient d’un type d’appareil à l’autre. Cela aurait nécessité de plus une révision majeure pour la mise en conformité de l’ensemble de la formation et de la documentation pour 75 000 pilotes dans le monde, plus un grand nombre de mécaniciens et d’ingénieurs des compagnies aériennes.

​

2/ Accident du Lion Air, du vol précédant le Lion Air et de l’Ethiopian Airlines

Résumé de l’accident du Lion Air (LNI 610) du 28 octobre 2018

L’avion, immatriculé PK-LQP, est entré en service chez Lion Air le 18 août 2018.

Le commandant, de nationalité indienne et âgé de 31 ans, avait 6 000 heures de vol (hdv), dont 5 200 sur B737. Le copilote, un Indonésien de 41 ans, avait quant à lui 5 200 hdv, dont 4 200 sur B737.

Le vol 610 de Lion Air a décollé de Jakarta le 29 octobre 2018 à destination de Pangkal Pinang Indonésie ; le commandant de bord était le pilote en fonction (PF), c’est-à-dire celui qui pilote l’avion.   

Lors de la rotation au décollage, les pilotes ont perçu les alarmes de désaccord de vitesse et d’altitude sur leurs écrans primaires (PFD) respectifs. Le vibreur de manche du commandant s’est activé. C’est sa sonde d’incidence (AOA) gauche qui était en défaut.

La prise d’assiette n’a été que de 7° au décollage au lieu de 13°, à cause d’un écart de 21° entre les deux sondes AOA, qui est resté jusqu’à la fin du vol.  

Le copilote a annoncé l’alarme TAKEOFF CONFIG, puis celle de vitesse en désaccord (IAS DISAGREE), et le message est resté affiché jusqu’à la fin du vol. Il a ensuite demandé au commandant s’il avait l’intention de retourner se poser à l’aéroport de départ.  

Le commandant a ordonné plusieurs fois au copilote d’exécuter des items de mémoire de la procédure de vitesse non fiable (AIRSPEED UNRELIABLE), mais ce dernier a mis beaucoup de temps pour trouver la checklist dans le répertoire des checklists (QRH).  

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Les items de mémoire sont les quatre premiers, jusqu’au tireté (- - - -).

Le commandant a ensuite demandé au copilote, qui s’occupait de la radio, de réclamer au contrôleur un endroit pour se mettre en attente à l’altitude de 5 000 ft en vue de régler le problème.

Après la rétractation des volets, le MCAS s’est activé 21 fois pendant les six dernières minutes du vol. Le commandant a partiellement réussi à le contrer mais sans avoir effectué la checklist non-normale d’emballement du stabilisateur (RUNAWAY STABILIZER), qui aurait arrêté l’activation du MCAS.

Une minute avant le crash, le commandant a donné les commandes au copilote, lequel a trimé plusieurs fois l’avion vers le haut mais pas suffisamment pour contrer le MCAS.  

Les forces exercées sur le manche vers l’avant, résultant des pressions aérodynamiques sur le PHR et la gouverne de profondeur, ont dépassé 45 kg (100 Lbs), ce qui est plus que les 34 kg (75 Lbs) limite fixés par le règlement. La compagnie Lion Air n’avait pas pris l’option de l’alarme AOA DISAGREE.

Résumé du vol précédent (LNI 043, Denpasar – Djakarta)

La veille de l’accident, le même Boeing 737 Max (PK-LQP) avait fait un vol entre Denpasar et Djakarta sous le numéro LNI 043.

Lors de la visite prévol, le commandant de bord a été informé par le mécanicien du changement de la sonde AOA gauche (la sienne), responsable des alarmes de vitesse et d’altitude sur le vol précédent.  

Le commandant, pilote en fonction (PF), a fait le briefing départ et a mentionné le remplacement de la sonde AOA gauche. Sur ce vol, il y avait également un copilote voyageant sur le strapontin (jump seat) du cockpit, qualifié sur 737 Max.

Après le décollage et la rentrée du train d’atterrissage, l’alarme de configuration au décollage s’est déclenchée, alors qu’elle ne le fait normalement qu’au sol. Puis, à 400 pieds de hauteur (120 m), le commandant a noté sur son écran primaire (PFD) l’alarme de désaccord de vitesse et du déclenchement du vibreur de manche, lequel est resté actif durant tout le vol, soit 96 minutes.

Le commandant a comparé les informations sur les deux PFD (celui du copilote et le sien), ainsi que celles de l’instrument de secours, et a déterminé que les siennes étaient erronées. Il a alors transféré les commandes au copilote.

Il a lancé et exécuté les items de mémoire de la procédure de vitesse peu fiable (AIRSPEED UNRELIABLE) et, lorsqu’il a baissé les yeux pour prendre le guide des checklists (QRH), le pilote sur le jump seat l’a informé que l’avion plongeait. Le commandant a ordonné au copilote de suivre son directeur de vol (F/D) en s’aidant du trim pour redresser l’appareil. Il avait remarqué que lorsque le copilote arrêtait de trimer l’avion, celui-ci se remettait à plonger.

Puis il a lancé un message d’urgence « PAN PAN ». Le contrôleur de Denpasar lui a demandé s’il voulait revenir à l’aéroport, et le commandant lui a répondu STANDBY.

Après que le MCAS s’est déclenché à trois reprises, le copilote a fait part de sa difficulté à maintenir l’avion à l’horizontal. Le commandant a considéré alors qu’il s’agissait d’un emballement du stabilisateur (RUNAWAY STABILIZER). Il a exécuté les items de mémoire et positionné les commutateurs STAB TRIM sur CUTOUT, ce qui a désactivé le MCAS.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Quelques minutes plus tard, le commandant a réenclenché les commutateurs STAB TRIM sur NORMAL, et le MCAS s’est réactivé. Il a remis les commutateurs sur CUTOUT, qui sont restés dans cette position jusqu’à la fin du vol.

Le commandant a informé le contrôleur de Denpasar que le problème avait été résolu et a demandé de poursuivre le vol au niveau de vol 290, en dessous de la zone d’espacement verticale réduite (RVSM).

Il a remarqué sur son PFD que la vitesse minimale et la vitesse maximale rouge et noir (ruban de poteau de barbier) avaient fusionné. Le commandant s’est alors concentré sur le PFD du copilote pendant le reste du vol. Il a pris conscience des difficultés de communication avec le bruit permanent du vibreur de manche.

À l’arrivée, après avoir parqué l’avion, le commandant a informé verbalement le mécanicien des problèmes survenus durant le vol et a noté sur le carnet de vol de l’aéronef (AFML) le déclenchement des alarmes de vitesse et d’altitude, ainsi que celle de pression différentielle sur les commandes de vol. Il n’a pas mentionné l’activation du vibreur de manche, car il croyait que l’activation était le résultat des problèmes mentionnés. Il n’a pas signalé non plus que les interrupteurs STAB TRIM avaient été positionnés sur CUTOUT pendant tout le vol et qu’il les avait remis en position NORMAL après l’atterrissage.

Le commandant a également fait un compte rendu de sécurité[9] électronique, Air Safety Report (ASR), à la compagnie soupçonnant le STS de mauvais fonctionnement. Il a enfin tenté de joindre le Duty Management Pilot pour lui signaler l’incident, mais il n’était pas joignable. 

Le commandant a indiqué aux enquêteurs qu’il avait exécuté trois checklists non-normales, Airspeed Unreliable, Altitude Disagree et Runaway Stabilizer, et qu’aucune ne contenait l’instruction de prévoir d’atterrir à l’aéroport approprié le plus proche. Il a donc décidé de poursuivre le vol malgré les instruments de vol dégradés, volant sans pilote automatique ni automanette de poussée et l’activation continue du vibreur de manche.

Toutefois, il ne s’agit que des propos du commandant rapportés aux enquêteurs. Sa décision de poursuivre le vol est critiquable, et le rapport d’incident est incomplet et insuffisamment détaillé.

Résumé du vol Ethiopian Airlines ET-302 du 10 mars 2019

Le 10 mars 2019, le vol 302 d’Ethiopian Airlines, un Boeing 737-8 Max immatriculé ET-AVJ, s’est écrasé peu de temps après le décollage de l’aéroport d’Addis-Abeba en Éthiopie.

Le commandant de bord avait 29 ans et 8 122 heures de vol, dont 1 417 sur B737 et 103 sur B737 Max ; le copilote, 25 ans, 361 hdv, dont 207 sur B737 et 56 sur Max.

Le roulage au décollage s’est déroulé normalement, les moteurs se sont stabilisés à environ 94 % de leur puissance et le sont restés pendant tout le vol ; ce qui signifie que les manettes des gaz n’ont jamais été déplacées.

Moins d’une minute après le décollage, les valeurs des incidencemètres (AOA) sont passées de 74,5° en 3/4 de seconde pour la gauche, tandis que l’AOA droite n’a pas dépassée 15,3°. Le vibreur de manche gauche s’est activé et est resté actif jusqu’à la fin du vol.

À environ 400 ft (120 m) de hauteur au radioaltimètre, le commandant a engagé le pilote automatique (A/P), puis a commandé la rentrée des volets. Le copilote a demandé au contrôleur aérien de maintenir le cap de la piste et de pouvoir monter à 14 000 pieds[10]. Il a alors signalé qu’il avait des problèmes de commandes de vol.

Vers 1 000 ft, l’A/P s’est déconnecté et, 5 secondes plus tard, le MCAS s’est activé trois fois, suivi de plusieurs alarmes du système de proximité du sol (GPWS) « Ne pas plonger » (DON’T SINK).

Le commandant a demandé au copilote de l’aider à maintenir l’avion, et tandis que ce dernier demandait à deux reprises « STAB TRIM CUTOUT », le commandant a mis les interrupteurs STAB TRIM sur CUTOUT. Puis il a ordonné au copilote de tourner la roue du trim manuel, lequel lui a répondu qu’elle ne fonctionnait pas (elle était bloquée).

Enfin le commandant a remis les interrupteurs STAB TRIM sur NORMAL certainement pour pouvoir réutiliser le trim électrique, ce qui a activé le MCAS une nouvelle fois.

Bien que les pilotes aient tiré sur leur manche avec un effort allant jusqu’à 180 livres (82 kg), l’angle de piqué de l’avion a continué d’augmenter. À la fin de l’enregistrement, la vitesse indiquée atteignait 500 nœuds (> 900 km/h). 

3/ Mesures correctives. Simulations des deux vols

Mesures correctives

Après le premier accident du Lion Air, Boeing a publié un bulletin du manuel d’exploitation (OMB), le 6 novembre 2018, indiquant aux exploitants les procédures existantes pour remédier au cas d’entrée erronée d’une sonde AOA.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Le 7 novembre, la FAA a publié une consigne de navigabilité d’urgence exigeant la révision des limitations de certificat et des procédures d’exploitation du manuel de vol de l’avion (AFM), afin de fournir aux équipages de conduite des procédures de rattrapage d’emballement du PHR.

Après le deuxième accident, Boeing a produit une mise à jour du logiciel du MCAS avec des couches de protection supplémentaires au cas où les sondes AOA fourniraient des informations erronées. Le logiciel devra être validé par des tests de certification en vol avec des pilotes de la FAA.

Les couches de protection supplémentaires sont les suivantes :

• le logiciel compare les entrées des deux sondes AOA. Si elles sont en désaccord de 5,5 degrés ou plus, le MCAS ne s’active pas ;

• une alarme AOA DISAGREE sur l’écran PFD alertera les pilotes et fournira une information supplémentaire pour mieux comprendre la situation. Elle ne sera plus en option ;

• si le MCAS s’active, il ne se déclenchera qu’une seule fois par événement d’AOA élevé, et non plus continuellement ;

• le MCAS ne pourra pas surpasser les efforts des pilotes ;

• les pilotes déjà qualifiés sur 737 NG devront suivre une formation sur les différences entre NG et Max et faire une séance au simulateur, notamment pour s’entraîner aux pannes du MCAS ;

• il y aura un indicateur de la valeur de l’incidence AOA sur chaque PFD, cela à titre d’information supplémentaire. Cependant, aucune action ou procédure ne nécessitera de connaître l’incidence[11] ou l’angle d’attaque de l’avion en vol.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

Réactions de certains spécialistes de l’aéronautique

Au lendemain de l’accident du Lion Air, les responsables des syndicats des pilotes d’American et de Southwest Airlines ont critiqué Boeing pour n’avoir fourni aucune information sur le MCAS ni sur son éventuel dysfonctionnement dans les manuels du 737 Max.

​

Chez United Airlines, compagnie qui exploite 14 B737 Max, 23 000 heures de vol avaient été effectuées sur l’avion sans aucun problème technique ou ayant affecté les performances du Max. Même constat chez Southwest Airlines avec 34 B737 Max en opération.

​

Chinar Shah, instructrice sur 737 Max chez Jet Airways, pense qu’un cours d’introduction sur le MCAS aurait été utile, mais elle comprend la logique de Boeing considérant les besoins en termes de connaissances du MCAS de « Nice to know » et non de « Need to know ». Car les actions requises sont les mêmes que pour l’emballement du stabilisateur, qui est enseigné dès le premier jour. Elle explique : « Vous faites toujours les mêmes items de mémoire... vous suivez toujours la même checklist. […] En tant qu’industrie, nous sommes tous devenus excessivement dépendants de l’automatisation et de la technologie. La perception répandue est que l’automatisation du cockpit est là pour faire le travail pour vous, plutôt que pour vous aider. Si l’automatisation échoue, et nous savons que c’est parfois le cas, les pilotes doivent avoir l’expérience, la formation et les capacités techniques pour prendre instantanément le relais et piloter l’avion en toute sécurité.  […] Les pilotes nouvellement embauchés en fonction de leurs compétences ont eu 11 ou 12 séances de simulateur, contre environ 14 auparavant. Pendant ce temps, les taux d’échecs des pilotes ont considérablement diminué. Des transporteurs asiatiques font face à une pression identique pour former davantage de pilotes à mesure que les flottes se développent et met en évidence une pénurie mondiale de pilotes. »

D’autres initiés sont préoccupés par la licence multipilote (MPL) de l’OACI. La MPL ne nécessite pas de temps de vol minimum. Les titulaires n’ont besoin que d’une licence professionnelle et de 240 heures passées dans un avion ou simulateur. La MPL permet aux pilotes débutants de s’asseoir sur le siège droit d’un avion de ligne. Mais cela est insuffisant pour les préparer aux situations du monde réel.

En comparaison, la réglementation américaine exige que les pilotes de transport aient 1 500 heures de vol, à quelques exceptions près. Elle est controversée, car les compagnies aériennes régionales américaines ont aggravé la pénurie de pilotes sans améliorer la qualité de leurs qualifications.

John Goglia, ancien membre du NTSB américain, a expliqué que l’équipage du Lion Air a montré d’importants problèmes de connaissances et de discipline. Les pilotes qualifiés devraient être en mesure de terminer rapidement les items de mémoire. De telles lacunes, non corrigées, disqualifieraient les pilotes aux États-Unis.

Andrew Kornecki, ancien professeur à l’université d’Embry-Riddle Aeronautical en Floride, qui a étudié les systèmes de redondance dans les Airbus et Boeing, a déclaré que le fonctionnement du système automatisé avec un ou deux capteurs conviendrait si tous les pilotes étaient suffisamment formés pour évaluer et gérer l’avion en cas de problème. Mais il a ajouté que s’il devait concevoir le système à partir de zéro, il mettrait l’accent sur la formation tout en construisant l’avion avec trois capteurs.

Des données publiées au Parlement indonésien montrent que les pilotes ont tiré désespérément le manche pour redresser l’avion. Sur les modèles 737 précédents et d’autres avions Boeing, un pilote qui tire fort sur le manche désactiverait la commande automatique du STS. Afin de faire fonctionner le MCAS, Boeing a supprimé cette possibilité.

Peter Lemme, un ancien ingénieur des commandes de vol chez Boeing qui est maintenant consultant en avionique et en communications satellitaires, a déclaré que, parce que le MCAS se réinitialisait chaque fois qu’il était utilisé, il avait le plein pouvoir de déplacer le PHR jusqu’au maximum de son débattement autorisé. Il considère que le MCAS a de ce fait une autorité illimitée. Précisant que personne n’aurait dû accepter cela ; ce n’était pas nécessaire.

Lemme a souligné que pratiquement tous les équipements d’un avion commercial, y compris les différents capteurs, sont suffisamment fiables pour répondre à l’exigence de défaillance majeure, à savoir que la probabilité d’une défaillance doit être inférieure à un sur 100 000 cas. De tels systèmes sont donc généralement autorisés en s’appuyant sur un seul capteur. Mais lorsque les conséquences sont jugées plus graves, avec une exigence de défaillance dangereuse, nécessitant une probabilité plus stricte d’un sur 10 millions, un système doit avoir au moins deux canaux d’entrée distincts.

Face aux déclenchements intempestifs et répétés du MCAS, la procédure d’urgence a échoué de manière désastreuse. « Les forces aérodynamiques sur l’ensemble PHR et gouverne de profondeur ont pu être trop importantes à contrôler, les pilotes ne pouvaient plus faire tourner la roue du trim manuelle.  Finalement, plus les avions sont sophistiqués, moins il y a de procédures pertinentes pour les aider dans des situations critiques », ajoute Lemme.

Il fait également référence à une ancienne procédure de pilotage décrite dans le Pilot Training Manual du Boeing 737-200 de 1982, publiée sur un forum de pilotes en ligne, le  « Roller Coaster » ou « montagnes russes[12] », aussi appelée « yo-yo procédure » qui décrit : « Si une compensation à cabrer est requise, soulevez le nez bien au-dessus de l’horizon avec la commande de profondeur. Relâchez ensuite lentement la pression sur le manche et trimez manuellement. Laissez le nez redescendre en dessous de l’horizon pendant que vous utilisez le trim. Répétez cette séquence jusqu’à ce que l’avion soit correctement trimé. »

Un extrait de cette procédure est paru dans le magazine Airliner de Boeing de mai 1961, qui décrit une technique similaire sur le 707, le premier jet de Boeing. D’ailleurs, la roue du trim du 737 n’est-elle pas la même que celle du 707 ? Tout comme le nez de l’avion qui est identique sur les deux modèles.

John Cox, consultant en sécurité aérienne, directeur général de Safety Operating Systems et ancien haut responsable de la sécurité du syndicat Air Line Pilots Association, a déclaré qu’il avait été formé à la technique des montagnes russes dans les années 1980 pour faire face au risque de survitesse en piqué notamment, mais que, depuis le 737-300 (1984), le produit est devenu si fiable qu’il n’y a pas eu d’accident de ce type.

Il est possible que les pilotes éthiopiens, en alerte à cause du risque de déclenchement intempestif du MCAS après l’accident de Lion Air, aient coupé directement les interrupteurs du trim avant même d’essayer de le contrer avec le trim électrique en fonctionnement.   

Selon Cox, la procédure proposée par Boeing après l’accident de Lion Air pour assurer la sécurité des Max est désormais terriblement inadéquate et pourrait avoir condamné le 737 d’Ethiopian Airlines.

Réactions au niveau de la certification

Les directives de la FAA indiquent que, dans l’hypothèse où une urgence survienne, le pilote doit réagir dans les trois secondes pour un avion volant en pilotage automatique, et en une seconde si l’avion est piloté manuellement. Or, ces valeurs semblent insuffisantes puisque la non-réaction des pilotes au-delà de dix secondes interdit la récupération de l’avion après le déclenchement de MCAS. Or, pour comprendre la situation et contrer le déroulement du trim, cela prend plutôt sept secondes.

Après les deux crashs, Boeing a sollicité la création d’un comité d’experts internationaux, le JATR[13], qui a trouvé la technologie sans précédent : « Si le personnel technique de la FAA avait été pleinement au courant des détails de la fonction du MCAS, nous pensons que l’agence européenne EASA aurait probablement eu besoin d’un document plus consistant pour son évaluation et aurait certainement exigé plus de protections. »

​

En septembre 2019, dans la mise à niveau proposée par Boeing pour le Max, l'AESA a déclaré qu'elle préférait que les capteurs AOA soient à triple redondance plutôt que double (comme pour l’A320). Mais l'installation d'une troisième sonde coûtera cher et prendra du temps. S'il est mandaté, le changement, pourrait être étendu à des milliers d'anciens modèles 737 en service dans le monde. 

​

L’administration Transports Canada a demandé que Boeing développe un moyen pour les pilotes de désengager le stick-shaker, le vibreur du manche qui a pollué continuellement les deux vols créant une puissante distraction en milieu d’urgence.

Des experts canadiens sont également inquiets que les charges sur la vis du vérin du PHR aient significativement augmenté depuis la création du 737. La réglementation exige que les commandes soient conçues pour supporter 125 % des charges maximales prévisibles. Ils ont fait part de leurs préoccupations concernant la surchauffe possible des moteurs du trim sur la vis sans fin.  

​

Simulations de déclenchements intempestifs du MCAS

En juin 2019, trois pilotes d’essai de la FAA ont effectué des tests de déclenchements intempestifs du MCAS. Ils ont estimé que cela avait pris trop de temps et qu’un pilote moins attentif, pris par surprise, aurait échoué à reprendre le contrôle de l’avion. En effet, selon une autre source, le pilote, représentant un commandant de bord d’une compagnie américaine typique, n’a pas récupéré l’avion. Les deux autres, ex-militaires, ont réussi non sans difficultés.

Plusieurs autres pilotes ont simulé le déclenchement intempestif du MCAS au simulateur

Dennis Tajer, un capitaine d’American Airlines et porte-parole de l’Allied Pilots Association, a reproduit cette situation, provoquant délibérément un piqué à grande vitesse, comme le MCAS, sans dépasser toutefois la vitesse maximale autorisée. Il a pu déplacer la roue du trim de quelques pouces mais pas suffisamment. Alors, avec son copilote, ils ont pu reprendre le contrôle en utilisant l’ancienne technique des montagnes russes.

Un commandant suédois, instructeur et expert sur 737, qui héberge Mentour Pilot sur YouTube, commente en détails les particularités de pilotage d’un avion de ligne. Il a abordé les difficultés du 737 Max, mais pour se protéger, il a retiré son nom et celui de sa compagnie du site. Lors d’un test sur simulateur 737 effectué avec un autre pilote européen, ils ont simulé un vol lorsque le MCAS s’active, en programmant des pannes de désaccord de vitesse et d’altitude, puis ils sont intervenus en suivant les procédures et checklists de Boeing. Malgré cela, la vitesse a continué d’augmenter jusqu’à bloquer le trim et sa roue manuelle.  L’instructeur suédois a fait tout son possible pour retenir le manche en le bloquant avec ses bras autour, tandis que le copilote a seulement réussi à bouger la roue du trim. Si cela avait été un vrai vol, les deux pilotes 737, pourtant très compétents, auraient certainement échoué.

Au début de cette vidéo impressionnante, le pilote suédois dit qu’il l’a affiché à la fois comme une alerte de sécurité mais aussi pour couper court aux propos de certains pilotes, en particulier ceux de syndicats américains affirmant que les équipages indonésiens et éthiopiens étaient incompétents. Il a depuis retiré la vidéo, puisque que l’enquête sur le crash de l’Ethiopian Airlines est toujours en cours.  

Dans un éditorial du New York Times Magazine[14] (octobre 2019), le commandant Sullenberger, dit « Sully », le pilote de l’amerrissage sur l’Hudson en 2009, a sévèrement critiqué Boeing et la FAA pour avoir autorisé le système MCAS qui « n’aurait jamais dû être approuvé. […] Ces procédures d’urgence ne se sont pas présentées comme un problème classique d’emballement de trim, mais correspondent à des situations ambiguës, de vitesse et d’altitude non fiables, masquant le MCAS. »

Sully est l’un des rares à avoir piloté un simulateur du Boeing 737 Max de niveau D, le plus élevé, reproduisant au plus près les deux vols accidentés. Il s’en est pris à ceux qui blâment les pilotes, qualifiant le MCAS de piège mortel.

​

_____________________________

[1]. Depuis sa conception originelle, le 737 Max est devenu 40 % plus long, 61 % plus lourd, et ses moteurs deux fois plus puissants.

[2]. Ou Wind-up turn (NASA IS-97/08-DFRC-WUT).

[3]. Petites aubes métalliques soudées sur les ailes.

[4]. Programme commencé en 2006 avec un premier vol en 2015.

[5]. L’US Air Force n’a pas observé d’activation inopinée du MCAS sur le KC-46 au cours des tests similaires à ceux des deux crashs du Max. Lors de la compétition exacerbée pour l’obtention du marché du siècle des ravitailleurs en vol KC-X, Boeing a été dénigré par la presse pour avoir bricolé un « Franken-tanker » pour contrer l’A330 (1994). AIR FORCE Magazine, 14 septembre 2009.

[6]. Collins Aerospace, anciennement Rockwell Collins, fournit aussi les écrans (PFD, ND) du poste de pilotage. La société mère est United Technologies, qui possède aussi Rosemount Aerospace, laquelle produit les sondes d’incidence du 737 Max.

[7]. Cette option payante n’a pas été sélectionnée par Lion Air ni par la plupart des compagnies aériennes, sauf par Air Canada, American Airlines et Westjet. Mais Air Canada et American Airlines ont acheté, en plus, l’indicateur de la sonde « Angle Of Attack » (AOA).

[8]. Airspeed indication system description. The B787 aircraft incorporated a pitot-static air-data reference system (ADIRS), consisting of three independent pitot-static sensors. The sensed values from all three systems were input to a fault detection system that provided an airspeed value to the primary flight displays. This value was termed the voted airspeed.  The B787 also computed an angle of attack, synthetic airspeed (AOA speed) value that was available to the flight crew. This speed was derived from angle of attack and inertial data. Significant disparities between voted airspeed and AOA speed alerted the crew via AIRSPEED UNRELIABLE and the autopilot disconnecting.

If voted airspeed dropped to a specific threshold level, a reversion to a secondary flight control occurred. In secondary mode, the following functions of the flight control system were no longer available: • Autopilot • Auto speedbrakes • Envelope protection • Gust suppression • Pitch compensation • Roll/yaw asymmetry compensation • Tail strike protection Elevator and rudder inputs are also more sensitive at some airspeeds, and yaw damping is degraded.

For the conditions of this event, secondary mode is a latched condition and once activated, normal mode can only be re-instated on the ground.  

[9]. “Airspeed unreliable and ALT Disagree shown after takeoff, STS (Speed Trim System) also running to the wrong direction, suspected because of speed difference, identified that CAPT instrument was unreliable and handover control to FO. Continue NNC of Airspeed Unreliable and ALT Disagree. Decide to continue flying to CGK at FL280, landed safely runway 25L.”[Même remarque qu’en page 11.]

[10]. L’aéroport est à une altitude de 7 650 ft (2 330 m). L’altitude de 14 000 ft correspond à une hauteur au-dessus de l’aéroport de 6 350 ft (1 940 m).

[11]. Certainement, mais cela apporte un confort supplémentaire dans la gestion du vol. Pour avoir volé sur A320 avec des incidencemètres, j’avais toujours un œil qui traînait dessus, particulièrement lors des changements de configuration des volets. Par exemple, le passage des volets de 1 à 2 ramenait l’incidence d’environ 5° à 2°. L’interception du localizer d’un ILS pouvait faire monter l’incidence (volets 1) jusqu’à 7-8° par le virage, à cela pouvait s’ajouter de la turbulence…

[12]. Recovery from a Severe Out of Trim: Accelerate or decelerate the airplane to an in-trim airspeed. If a recovery must be initiated from an extreme nose-down out-of-trim requiring a high pull force, an increase in airspeed may relieve enough of the elevator load and control displacement to permit manual trimming. Do not exceed speed limitation. If a recovery must be initiated from an extreme nose-up out-of-trim requiring a high push force, a decrease in airspeed may relieve enough of the elevator load and control displacement to permit manual trimming. It should be noted that the relationship between airspeed change and trim change do not remain constant. As airspeed is increased, trim change requirements decrease.

In an extreme nose-up out-of-trim condition, requiring almost full forward column, decelerate, extend the flaps and/or reduce thrust to a minimum practical setting consistent with flight conditions until elevator control is established. Do not decrease airspeed below the minimum maneuvering speed for the flap configuration. A bank of 30 degrees or more will relieve some force on the control column. This, combined with flap extension and reduced speed, should permit easier manual trimming.

If other methods fail to relieve the elevator load and control column force, use the "roller coaster" technique. If nose-up trim is required, raise the nose well above the horizon with elevator control. Then slowly relax the control column pressure and manually trim nose-up. Allow the nose to drop below the horizon while trimming. Repeat this sequence until the airplane is trim. If nose-down trim is required, slowing down and extending the flaps will account for a large degree of nose-up pitch. If this does not allow manual trimming then the reverse "roller coaster" can be performed to permit manual trimming.

That is called aerodynamically relieving air-loads and was sometimes called the Yo-Yo maneuver. Yet that advice was removed from the Boeing 737-300 FCTM and subsequent variants of the 737 series.

[13]. Joint Authorities Technical Review, présidé par Christopher Hart, l’ancien président du National Transportation Safety Board (NTSB), réunit des experts de la FAA, de la NASA et de neuf autres autorités de régulation du trafic aérien (l’Agence européenne de la sécurité aérienne et des représentants de l’Australie, du Brésil, du Canada, de la Chine, du Japon, de l’Indonésie, de Singapour et des Émirats arabes unis).

[14] Letter to the Editor New York Times Magazine, Published in print on October 13, 2019.

In “What Really Brought Down the Boeing 737 MAX?” William Langewiesche draws the conclusion that the pilots are primarily to blame for the fatal crashes of Lion Air 610 and Ethiopian 302. In resurrecting this age-old aviation canard, Langewiesche minimizes the fatal design flaws and certification failures that precipitated those tragedies, and still pose a threat to the flying public. I have long stated, as he does note, that pilots must be capable of absolute mastery of the aircraft and the situation at all times, a concept pilots call airmanship. Inadequate pilot training and insufficient pilot experience are problems worldwide, but they do not excuse the fatally flawed design of the Maneuvering Characteristics Augmentation System (MCAS) that was a death trap. As one of the few pilots who have lived to tell about being in the left seat of an airliner when things went horribly wrong, with seconds to react, I know a thing or two about overcoming an unimagined crisis. I am also one of the few who have flown a Boeing 737 MAX Level D full motion simulator, replicating both accident flights multiple times. I know firsthand the challenges the pilots on the doomed accident flights faced, and how wrong it is to blame them for not being able to compensate for such a pernicious and deadly design. These emergencies did not present as a classic runaway stabilizer problem, but initially as ambiguous unreliable airspeed and altitude situations, masking MCAS. The MCAS design should never have been approved, not by Boeing, and not by the Federal Aviation Administration (FAA). The National Transportation Safety Board has found that Boeing made faulty assumptions both about the capability of the aircraft design to withstand damage or failure, and the level of human performance possible once the failures began to cascade. Where Boeing failed, the Federal Aviation Administration (FAA) should have stepped in to regulate but it failed to do so. Lessons from accidents are bought in blood and we must seek all the answers to prevent the next one. We need to fix all the flaws in the current system — corporate governance, regulatory oversight, aircraft maintenance, and yes, pilot training and experience. Only then can we ensure the safety of everyone who flies. Capt. “Sully” Sullenberger

Certification du B737 Max (4/6)

​

Après l’échec patent de la mise en ligne du Boeing 737 Max, la certification de l’avion a été sérieusement mise en cause.

Certification d’un aéronef : un processus long et complexe (faa.gov)

La FAA américaine délivre des certificats de navigabilité pour chaque modèle d’aéronef. C’est un document qui lui accorde l'autorisation d'être exploité en toute sécurité. Il peut être révoqué ou suspendu si l'aéronef ne répond plus à sa conception prévue et/ou s’il n'est plus en état de voler. Le processus de certification accompagne les études et essais tout au long du programme de développement. Cela peut prendre entre 5 et 9 ans pour un nouvel appareil, et 3 à 5 ans pour un modifié comme le Boeing 737 Max[1] dérivé du 737 NG.  

Dans le cadre du processus de certification, la FAA doit :

• Examiner la conception et les méthodes de réalisation utilisées pour s’assurer que l'avion sera conforme aux normes édictées,

• Effectuer des tests au sol et en vol pour vérifier que l'avion répond bien à ces normes,

• Définir le programme de maintenance de l’avion pour garantir le maintien de ses performances,

• Collaborer avec d’autres autorités pour faciliter la certification à l’étranger.

Le service de certification des aéronefs de la FAA comprend plus de 1 300 ingénieurs, scientifiques, inspecteurs, pilotes d'essai et autres experts. Ils sont responsables de la surveillance de la conception, production, certification de navigabilité et des programmes de navigabilité pour tous les produits de l'aviation civile américaine et ceux d'importations. La FAA collabore avec l'Organisation de l'aviation civile internationale (OACI) et d'autres autorités de l'aviation civile pour maintenir et faire progresser la sécurité du transport aérien international.

Seuls les inspecteurs en sécurité aérienne de la FAA et les représentants autorisés de l'administrateur, c'est-à-dire les personnes désignées, sont autorisés à délivrer un certificat de navigabilité.

La FAA s’est défendu de n'avoir jamais autorisé les entreprises à s’auto contrôler ou à certifier elles-mêmes leurs appareils. Sa délégation étend le processus de certification à d'autres professionnels reconnus, multipliant ainsi l'expertise technique axée sur la garantie d'un avion conforme aux normes. L'agence reste directement impliquée dans les tests et la certification de toutes nouvelles fonctionnalités et technologies.

Pourtant la FAA peut déléguer à une personne ou une organisation qualifiée la responsabilité à mener certaines activités en son nom. Le Congrès lui avait ordonné de rationaliser le processus de certification, y compris par une délégation accrue aux Autorisations de Désignation Organisationnelle (ODA).

Les membres de l'ODA peuvent être autorisés à délivrer des certificats de navigabilité, après avoir inspecté l'aéronef et vérifié ses performances qui doivent répondre aux exigences de la FAA.

Le recours à la délégation ODA est un élément essentiel du système de certification depuis les années 1920, il est similaire aux programmes utilisés en Europe et dans d'autres pays. Il aide les États-Unis à maintenir des règles du jeu économique équitables avec leurs concurrents étrangers.

En effet, la FAA n’aurait pas les moyens techniques et humains pour tout contrôler et vérifier, d’autant que les systèmes avion évoluent rapidement, notamment les mises à jour de logiciels, que seuls les ingénieurs et techniciens travaillant dans l’entreprise peuvent effectuer et ont seuls les compétences, les plus en pointe, pour répondre aux exigences de certification. Autrement dit, si la FAA débauche un ingénieur à la pointe dans une discipline, il ne le sera plus quelques années plus tard.

Authorized Representatives (AR)

Jusqu’en 2004, la FAA nommait directement ses représentants techniques, « Authorized Representatives » (AR) qui pouvaient exercer leurs fonctions au sein d'une entreprise et/ou être consultants externes.

Les AR entreprise étaient employés et payés par elle, mais ils rendaient compte directement de leur travail à la FAA. Chaque année un audit sur leurs activités permettait le renouvellement de leur mission l'année suivante. Ils recevaient une prime de la FAA.

Les AR approuvaient ou recommandaient les données fournies des sujets techniques sur lesquels ils travaillaient et s'assurer qu’elles étaient conformes aux normes de navigabilité en vigueur.

Les AR devaient être titulaires d'un diplôme d'ingénieur ou équivalent, posséder des connaissances et une expérience techniques, et répondre aux exigences de qualification publiées par la FAA. Ils étaient spécialisés dans différentes disciplines : analyste de vol, pilote d'essai, structure avion, propulseur, systèmes et équipements, etc.   

​

Lorsque l’entreprise Boeing désigne elle-même les représentants de la FAA

Le passage des AR aux DER

2004 fut un tournant dans le processus de certification de la FAA. Une nouvelle autorisation de désignation d'organisation (ODA) fut adoptée pour remplacer les AR par des « Designated Engineering Representatives » (DER).

À partir de cette date, les nouveaux représentants (de la FAA) furent nommés par les responsables de Boeing à qui ils devaient rendre compte de leur travail sans plus passer par la FAA. L’audite annuel pour le maintien à leur poste ne dépendait plus que du bon vouloir de l'entreprise.

Les DER se sont ainsi retrouvés sous le joug de Boeing pour fournir les dossiers de certification à la FAA, sans pourvoir être soutenu par elle, puisque Boeing peut intervenir directement sur le processus de certification en mettant à l’écart ceux qui ne seraient pas suffisamment coopératifs. Un ancien DER ayant travaillait sur le Max parle du « système (de la FAA) absolument brisé ».

La sénatrice Maria Cantwell D-Wash, championne du soutien à Boeing et des emplois qu'elle apporte à l'État de Washington, avait fait passer juste avant les deux crashs du Max un amendement « Reauthorization Act », qui éliminait les derniers obstacles de la FAA, pour que l’ensemble des travaux de certification reviennent entièrement à Boeing.

Les partisans du libéralisme absolu, basé sur la confiance et le sens des responsabilités des entreprises, excluant tout interventionnisme étatique, a ici atteint son paroxysme. Plus qu’une erreur de jugement, c’est une faute, une aberration pour maintenir un système à un niveau de sécurité élevé. Boeing devint ainsi juge et partie, et la FAA fut discrédité après les deux accidents du 737 Max par une remise en cause profonde de son autorité.  

Une copie du manuel ODA de Boeing, un document interne, obtenu par The Seattle Times, a fait part des préoccupations des DER concernant leur charge de travail et la pression exercée par les gestionnaires de l’entreprise, avec comme obsession l'approbation dans les délais de leur travail. Si nécessaire les DER faisaient des demandes de dérogations à la FAA pour réduire les tests, quitte à modifier le contenu du programme officiel.  

​

Exemple de demande de dérogation, celui du EICAS (Engine Indicating and Crew Alerting System)

En 2014, Boeing a convaincu la FAA d'assouplir les exigences en matière de sécurité pour ne pas intégrer l’EICAS, un système d’alarme pour les pilotes qui gère les pannes de l’avion et qui propose les checklists électroniques appropriées[2]. Système que Mike Carriker, le chef pilote pour le développement produits de l’époque, avait proposé d’installer sur le Max.

Le 737 est peut-être le seul avion en production qui ne dispose pas d’un système d’alarme moderne. En cas de panne, la checklist est à chercher dans un répertoire en papier situé dans un vide poche. Ce principe de travail date de la première certifiée en 1967.   

Pourtant les règles de la FAA pour re-certifier un avion déjà existant, précisent les critères à prendre en compte pour les nouveaux systèmes dans la conception de l'avion, ainsi que l'expérience acquise avec l’ancien modèle et les mesures prises à la suite d'accidents rencontrés.

Pour convaincre la FAA, Boeing a fait valoir le record de fiabilité du 737 NG au cours des 10 années précédentes le lancement du Max[3] avec son système d'alarme qui compte quelque 6 400 exemplaires volant dans le monde actuellement. Autre argument, le Max ne représentera pas la majorité de la flotte mondiale de 737 en 2030. Ce qui signifie que les compagnies aériennes pourront, plus aisément, continuer à exploiter leurs flottes mixtes de 737 avec le même système d’alarme.

Boeing s'est aussi appuyé sur une dérogation de la FAA, dite du « produit modifié », qui pour satisfaire les dernières exigences en matière de sécurité, serait difficile à mettre en œuvre, peu pratique avec une faible amélioration du niveau de sécurité et surtout coûterait cher à produire.      

En effet, le constructeur a estimé que pour cette importante modification de conception, la formation et documentation pour assurer la pleine et totale conformité du 737 Max avec les modèles précédents, serait supérieur à 10 milliards de dollars de 2013. Autrement dit, l’équivalent d’un avion entièrement nouveau et rendrait le Max moins attrayant à acheter.

Enfin, pour faire face aux trois accidents mortels de la décennie écoulée où le système d’alarme a été mis en cause, Boeing a apporté les modifications suivantes :

• 2005, Helios Airways (Athènes, 121 morts), après une intervention de la maintenance, le système de pressurisation n’a pas été reconfiguré correctement dans le cockpit avant le départ. L’équipage n’a pas su identifier le problème de dépressurisation lente (l’avion ne se pressurisant pas) avant de tomber en hypoxie. Boeing a ajouté une alarme visuelle à celle sonore de dépressurisation pour ne pas la confondre les autres alarmes.

• 2008, Aeroflot-Nord, (Russie, 88 morts), le pilote s’est retrouvé en désorientation spatiale en volant manuellement ​​la nuit à travers les nuages et lorsque l'avion s'est incliné dangereusement ce qui déclencha l’alarme vocale « BANK ANGLE », le pilote a tourné le manche dans le mauvais sens, augmentant le roulis jusqu’à ce que l’avion se retourne et s’écrase. Sur recommandation de l’Interstate Aviation Committee Russe, Boeing a ajouté une alarme sonore qui annonce « Rouler à droite ou à gauche » en indiquant au pilote, le sens à prendre sur son écran. Le Roll Command Alerting Systems, (RCAS[4]), fut ainsi proposé en option sur NG, mais est en série sur Max.

• 2009, Turkish Airlines (Amsterdam, 9 morts[5]), réduction inopinée des moteurs en approche à cause d’une panne de sonde de radioaltimètre, l'avion s'est écrasé avant la piste. En effet, une seule sonde fournissait les informations à l'automanette des moteurs. Les pilotes, occupés à terminer des checklists et à la recherche de la piste par mauvaise visibilité, n'ont pas remarqué l’alarme visuelle basse vitesse. Boeing a ajouté une alarme sonore « LOW SPEED ».   

Le document ci-joint (The Seattle Times) que Boeing a soumis à la FAA supprime quatre clauses distinctes qui sont pourtant des exigences pour tout nouvel avion produit aujourd'hui.

​

​

​

​

​

​

​

Un précédant aux accidents du Max, celui d’un B 737 de la Turkish Airlines en 2009

​

Faisant suite à l’article du New York Times, du 5/1/2020, sur le B737 Max (It’s Not Just Software: New Safety Risks Under Scrutiny on Boeing’s 737 Max), qui a fait polémique en relançant le débat sur les « automatismes pièges ».  

​

En effet, l’article fait référence à l’accident d’un B737-800 NG de la Turkish Airlines (TK1951) précédemment cité. Comme pour le Max, il y avait deux sondes indépendantes, mais une seule utilisée. Le NYT reprocha à Boeing de ne pas avoir appris de l’accident de la Turkish Airlines lors de l’introduction du MCAS sur le 737 Max et de ne pas avoir suffisamment informé les pilotes sur le fonctionnement de ses automatismes.

​

Dans un communiqué, Boeing souligna les différences entre l'accident de 2009 et ceux du Max. « Ces accidents ont impliqué des systèmes, entrées de données et phases de vol fondamentalement différentes. » La FAA fit de même en soulignant « l'ensemble unique de circonstances entourant chaque accident. Le fait d'établir des liens larges entre les accidents impliquant différents types d'urgences simplifie à outrance ce qui est, par définition, une science complexe. »

​

Le Dutch Safety Board (DSB), le BEA hollandais, fut en charge de l’analyse et de la publication du rapport final de l’accident de la Turkish Airlines. Sous la pression des américains (FAA, NTSB et Boeing) qui faisait cause commune pour défendre leur industrie, le DSB a dû minimiser la responsabilité de Boeing et laisser charger celle des pilotes par les américains. En réduisant la gravité des conclusions du rapport, les américains ont sauvegardé la réputation de Boeing tout en minimisant les modifications à apporter au 737 NG.  

​

Le lobbying américains a été jusqu’à refuser que soit joint au rapport final, un complément d’analyse sur les facteurs humains des pilotes. Pourtant cette analyse faite par le Professeur Sidney Dekker de l’université de Lund aux Pays Bas, qui jouit pourtant d’une excellente réputation, apportait un éclairage différent sur les causes de l’accident.

Finalement, après la parution de l’article du NYT, le DSB publia l’analyse de Dekker en février 2020. L'agence néerlandaise avait considéré l'étude de Dekker comme confidentielle, et les parties jugées pertinentes ont été utilisées pour la rédaction du rapport final.

​

L’analyse du Dr Dekker[6] était particulièrement pertinente car en 2009, il portait une double casquette, celle de professeur en facteurs humains et, à temps partiel, de copilote sur B737.

Dekker parle « d’événement sentinelle » qui n'a pas été pris en compte par Boeing en concevant le fonctionnement de l'automanette en n’utilisant qu’une seule des deux sondes radioaltimètres. Ce choix a laissé « une voie de défaillance unique en place », augmentant le risque qu'une seule erreur puisse conduire à un accident.

David Woods, professeur à l'université d’Ohio State, qui a été conseiller technique auprès de la FAA, a déclaré que le crash de la Turkish Airlines aurait dû réveiller tout le monde, car certaines similitudes entre cet accident et ceux des Max sont particulièrement frappantes.

Boeing avait conservé l’hypothèse que l'équipage (bien formé et vigilant) reconnaîtrait suffisamment tôt, tout problème mettant l'avion en difficulté.

Pourtant, faisant suite à une série d’incidents avec les radiosondes, avant le crash de Turkish Airlines, Boeing avait déjà développé un correctif du logiciel afin qu’il compare en permanence les informations des deux sondes. Ce correctif fut intégré aux nouveaux avions à partir de 2006, mais pas pour les appareils plus anciens, dont celui du TK1951. Après l'accident, la FAA exigea de Boeing une mise à jour du logiciel pour les 737 NG construit avant 2006 et obligea les compagnies aériennes qui en avaient dans leur flotte à l'installer.

Le Dr Dekker a montré que le manque d’informations sur le fonctionnement de l’automanette dans le manuel d’utilisation de l’avion avait pénalisé les pilotes dans leur diagnostic. Sans cet accident, et comme pour ceux du Max, Boeing s’est montré avare d’informations, qui furent mises au jour après ces tragédies.

Erik van der Lely, un pilote instructeur sur 737 NG qui a travaillé avec le Dr Dekker, a déclaré au NYT qu'il ne connaissait pas la particularité de l’utilisation d’une seule sonde sur deux (celle du commandant) pour le fonctionnement de l’automanette et « Je suis à peu près sûr qu'aucun des pilotes de 737 ne le savait. »

« Il est vraiment facile de blâmer les pilotes morts et de dire que cela n'a rien à voir avec notre système mal conçu », a déclaré le Dr Shawn Pruchnicki de l'Air Line Pilots Association, qui enseigne à l'Ohio State. Pruchnicki, qui a étudié auprès du Dr Dekker, avait participé à de nombreuses enquêtes dans lesquelles les experts en facteurs humains avaient été largement ignorés. « Cela devient frustrant parce que nous continuons d'avoir les mêmes types d'accidents ».

Pour Dekker, même un avion aussi éprouvé que le 737 contient encore des « pièges de fous ». Après la publication du rapport d’accident, une des recommandations du constructeur (N°14) consistait à exhorter les pilotes à être toujours plus attentif et réactif en pilotant, autrement dit, à se méfier de leur avion. Le Pr Dekker note que cela ne correspond pas aux décennies de facteurs humains et de recherche en automatisation.

De plus en plus de pilotes ont appris à faire fonctionner le système, plutôt que de savoir comment fonctionne le système. Ce changement de formation se situe en 1965, lorsque TWA a pris livraison de ses premiers DC-9[7], son premier jet avec un équipage de conduite à deux pilotes, plutôt qu’à trois ou quatre membres. À cette occasion, TWA avait totalement revu sa philosophie, ce qui a permis de réduire significativement le temps alloué à la formation. La méthode consistait à enseigner juste ce dont les pilotes avaient besoin de savoir pour piloter un DC-9. Elle s'est ensuite répandue aux États-Unis et dans le monde.

Les manuels d'utilisation de l'avion présentent alors des diagrammes considérablement simplifiés, des simulacres par rapport aux systèmes d'ingénierie et la logique qui les sous-tendent. Les diagrammes, ainsi que les informations textuelles, sont souvent incomplets et superficiels, car l'industrie juge que les pilotes n'ont pas besoin de tout savoir. La nouvelle doctrine étant : « si vous ne pouvez pas le voir, le toucher ou l'afficher, vous n'avez pas besoin de le savoir ».

Ce nouveau paradigme correspond à l’arrivée des microprocesseurs et des logiciels dans les systèmes des avions. Le Pr Dekker note : « vous ne pouvez pas vraiment offrir une expérience « pratique » avec un logiciel. Non seulement les systèmes sont devenus plus invisibles et intouchables, véritablement boîtes noires pour les pilotes, mais ils sont également devenus de plus en plus complexes, puissants et interconnectés. »

En 1989, l'industrie a pris conscience que si l’automatisation offrait de nombreux avantages, elle posait aussi des problèmes, notamment sur la façon dont ils ont été pensés, conçus et comment les pilotes s’en servent.

Les enquêtes ont montré que le « vide cognitif » n’existe pas et que la complexité des postes de pilotage automatisés permet aux pilotes de développer facilement des modèles mentaux simplifiés ou erronés du fonctionnement des systèmes. Les pilotes peuvent acquérir un faux sens de la compréhension et même résister à l'apprentissage d'un modèle plus complexe une fois que le plus simple leur a prouvé son apparente utilité.

​

Révélation du MCAS aux compagnies et de son extension pour les basses vitesses à la FAA

Après le crash du Lion Air (octobre 2018), Boeing a révélé l’existence du MCAS aux compagnies aériennes, ainsi que son descriptif complet à la FAA. Notamment une fonction importante qui avait été dissimulée ; l’autorité à piquer de 2,5 degrés aux basses vitesses et non de 0,6°, comme sous-entendu pour les hautes vitesses.

Promesses aux clients

La formation pour la transition des pilotes du NG au Max, réduite à son strict minimum, a été une bonne nouvelle pour les clients de Boeing. Un argument clé pour la vente de plus de 5 000 appareils, qui représente des millions de dollars d’économie.

Boeing aurait même été jusqu’à promette à Southwest Airlines un rabais d’un million de dollars par avion si le Max devait nécessiter une formation sur simulateur.

Pression chez Boeing

The Seattle Times a interviewé de nombreux ingénieurs et employés de Boeing alors qu'ils étaient officiellement désignés pour être les yeux et les oreilles de la FAA, qui ont dû faire face à une forte pression de la part des dirigeants de Boeing pour limiter l'analyse et les tests de sécurité afin que l'entreprise puisse respecter son calendrier de certification et réduire ses coûts.

Deux anciens pilotes d'essai de Boeing ont décrit une culture de pression à l'intérieur de l'entreprise en limitant les essais en vol au minimum pour ne pas retarder le programme à un moment où les commandes s'accumulaient.

Comme pour l’EICAS, le système d’alarme électronique qui ne fut pas installé sur le Max, un ingénieur principal de Boeing, représentant de la FAA, a dû céder en 2016 aux demandes de la direction du constructeur pour obtenir des tests moins rigoureux du système d'extinction incendie pour les nouveaux moteurs LEAP du Max.

Un employé et un pilote maison ont conclu que ce concept avait cassé l'entreprise, et l’obligation que s’était infligé Boeing de maintenir une qualification commune avec le Max et les autres modèles de 737 était « une affaire tellement énorme » qu'elle a bloqué toutes mises à jour potentielles des systèmes de l’avion.  

​

Plainte d’un employé contre Boeing

Pour stopper la démarche autocratique de Boeing à raccourcir les délais nécessaires à la certification du Max, des employés ont été jusqu’à porter plainte contre leur employeur.

Comme Curtis Ewbank, un jeune ingénieur, après le deuxième accident du 737 Max, qui a déposé une plainte éthique interne dénonçant la direction pour avoir bloqué des améliorations de sécurité du Max en 2014, alors que son groupe de travail avait justement pour mission de trouver des améliorations de sécurité.

L’ingénieur dénonce une demande de relevé d’incidents[8] de l’agence européenne (AESA) et dont il fut en charge pour la recherche. Il en avait identifié cinq, mais son supérieur ne les a pas communiqués à l'AESA sous prétexte que « nous réglerions le problème nous-mêmes. » 

Dans sa plainte, Ewbank parle de culture d'entreprise basée sur les opportunités de conception et de réduction des coûts. Boeing allait simplement mettre de nouveaux moteurs et faire le minimum de modification pour y arriver. Le Max a été conçu par des mises à jour de logiciels, au coup par coup, pour éviter une certification coûteuse et longue ainsi qu’une obligation de formation pilote.  

Enfin : « Compte tenu de la nature de cette démarche, la crainte de représailles est grande, malgré toutes les assurances officielles que cela ne devrait pas être le cas (…) Il y a une attitude culturelle suppressive envers la critique de la politique des entreprises - surtout si cette critique résulte d'accidents mortels.[9] » Ses collègues ne l’ont pas suivi de peur de perdre leur emploi.

Insultes et moqueries

À la demande du congrès américain, Boeing a fourni plus de 100 pages de documents et messages internes qui révèlent l’attitude hostile, voire agressive de certains employés (dont des pilotes), avec des propos tel que : « Cet avion a été conçu par des clowns qui sont supervisés par des singes. » Boeing a présenté des excuses au Congrès, ses compagnies clientes et la FAA.

Des hauts responsables, comme le pilote principal adjoint technique et le chef pilote technique, impliqués dans le développement et la qualification des simulateurs 737 Max ont vilipendé des compagnies comme Lion Air : « ces idiots » qui voulait faire faire du simulateur à ses pilotes pour la transition sur Max. « Je tiens à souligner combien il est important de tenir bon ; aucune formation sur simulateur ne sera nécessaire pour passer du NG au Max. Boeing ne le permettra pas (…) Nous irons à la confrontation avec tout régulateur qui tentera d'en faire une exigence. »

Le représentant Peter DeFazio, Président du comité de la Chambre enquêtant sur le 737 Max, a considéré ces documents d’accablants. Ils brossent un tableau profondément troublant jusqu’où Boeing était disposé à aller pour échapper aux contrôles de la FAA, des équipages, alors même que ses propres employés tiraient en interne la sonnette d’alarme.

​

Pénal

Les procureurs du ministère de la Justice, les inspecteurs du ministère des Transports et les fonctionnaires de la « Securities and Exchange Commission » (SEC) participent tous à une enquête fédérale de grande envergure sur d'éventuels actes répréhensibles chez Boeing lors de la certification du Max. Cette enquête était déjà en cours avant qu’un ingénieur ne dépose sa plainte.

« La sécurité est notre priorité absolue », a déclaré Boeing après les accidents. « Grâce au travail que nous effectuons actuellement en partenariat avec nos clients et les régulateurs pour certifier et mettre en œuvre la mise à jour du logiciel, le 737 Max sera l'un des avions les plus sûrs à avoir jamais volé. »

Pourtant en 2018, des documents montrent que plusieurs employés de Boeing travaillant sur le simulateur du Max avaient de sérieuses inquiétudes sur la mise en œuvre et les déficiences techniques de l’avion, exprimé par cet échange de mail entre deux employés : « … lorsque la vie est en jeu, les programmes de formation ne devraient pas être pris à la légère (…) Mettriez-vous votre famille dans un Max sans une formation des pilotes sur simulateur ? »

​

Pression sur la FAA

Au sein de la FAA, un ancien ingénieur en charge de la certification du Max a expliqué qu’il y avait une pression constante pour réévaluer ses décisions initiales, et même après réévaluation, la direction a continué à discuter des possibilités de déléguer encore plus de dossiers à Boeing. 

Le temps d’examen des documents techniques fournis par Boeing a été réduit, ne permettant pas une étude complète et appropriée pour se forger un avis objectif avant d’atteindre certaines dates butoirs de certification.

Parfois, lorsque le délai était trop court pour qu’un ingénieur puisse étudier un dossier technique en vue de son approbation, à une date fixée par le planning de certification, alors son supérieur le signait à sa place ou le déléguait à Boeing…

Dans un rapport DER concernant des systèmes hérités des modèles 737 précédents, quatre observations préoccupantes[10] ont été jugées non conformes par rapport aux dernières normes en vigueur et ont été rejetées par les gestionnaires de Boeing qui ont considéré, avec l’aval de la FAA, qu'il s'agissait de problèmes peu importants.

​

Évaluation des risques

Un risque est le potentiel de conséquences négatives qui, selon les estimations, découlerait d’un danger et sa probabilité à causer des dommages.

L’industrie aéronautique et les agences de certification utilisent différentes méthodes pour identifier, évaluer et éliminer, ou maîtriser, des risques liés à l’utilisation d’un aéronef et ses équipements.

​

​

Évaluation des risques par Boeing

À la suite de l'accident de Lion Air, la FAA a effectué une nouvelle évaluation des risques si Boeing n’apportait pas de correction au MCAS. Le résultat serait d’environ 15 accidents mortels et catastrophiques supplémentaires pendant la durée de vie de la flotte du Max. Évaluation sous-estimée puisque cinq mois plus tard, le deuxième accident avait lieu avec moins de 10% des 737 Max en service.  

L’incroyable cécité des dirigeants de Boeing et du service de certification américain à ne pas voir la nécessité d’une certification rigoureuse du Max, montre que lorsque les enjeux financiers sont considérables (un carnet de commande de 5 000 Max x 100 millions = 500 milliards de dollars), l’être humain, mais aussi la collectivité, perd tout sens commun ou principe de rationalité ; tel l’application élémentaires de règles de prudence.    

Boeing a caché à la FAA le réel fonctionnement du MCAS sur le Max, laissant croire qu’il n’était pas nécessaire de recertifier un équipement qui l’avait déjà été, mais sur le ravitailleur en vol. Alors que celui du Max opérait en plus dans la plage des basses vitesses, avait une autorité illimitée (supérieure à celle du pilote) et n’utilisait qu’une seule sonde d’incidence, sans secours.

Pour ne pas attirer l’attention, Boeing avait fait une évaluation des risques de défaillance du système qu’il a situé au niveau de dangereux, juste avant celui de catastrophique, ce qui aurait dû entrainer une réaction de la part de la FAA par une investigation plus poussée.  

Après le premier accident, la FAA s’est défendu d’avoir suivi le processus de certification standard pour le Max tout en avouant qu’elle n'avait pas été en mesure de se plonger dans les enquêtes détaillées de vérification.

Cependant, six mois après le deuxième accident, Boeing a remanié sa structure sécuritaire interne afin que les ingénieurs relèvent d'un ingénieur en chef, et non plus d’un chef commercial, ainsi qu’une refonte des structures de surveillance de la sécurité.

Un ingénieur de la FAA a déclaré au The Seattle Times que dans les accidents où les pilotes sont souvent blâmés, le système d'information et d'alarme fourni des informations confuses ou trompeuses. « Oui, Boeing est allé régler chaque problème, mais est resté dans une démarche réactive pour le 737 et non d’anticipation proactive. »

La démarche réactive consiste à attendre un accident avant d’apporter les modifications qui s’imposent. Au contraire, la démarche proactive consiste à apporter des modifications avant que l’accident se produise. Pour cela, l’entreprise (constructeur, compagnies aériennes) analyse tous les incidents (les pré-accidents) d’exploitation. Elle les classe par thèmes, les hiérarchise par risques et occurrences, puis détermine les mesures correctives : modifications à apporter à l’avion et formation aux pilotes.

Mais il est très difficile de faire entendre raison aux financiers, éloignés du terrain technique, et tant que l’accident n’est pas arrivé, ils n’y croient pas, qui serait une remise en cause leur business model.

​

Cinq étapes pour un retour en vol du 737 Max

​

Avec la FAA, Boeing doit satisfaire cinq étapes importantes pour un retour en service du Max :

1. Test au simulateur du MCAS modifié par des pilotes d’essais de la FAA : vérification en conditions normales et en cas de défaillance du système,

2. Facteurs humains : évaluation au simulateur de la charge de travail de pilotes de différentes compagnies aériennes dans diverses conditions de fonctionnement du MCAS,

3. Essais de certification en vol par les pilotes de la FAA avec la version finale du logiciel,

4. Une fois le dernier vol de certification effectué : Boeing soumettra à la FAA les documents et éléments de vérification nécessaires à la certification du logiciel,

5. Évaluation et validation de la formation sur simulateur des pilotes d’origine différentes.

​

À l’issue, le conseil de normalisation des vols de la FAA (Flight Standardisation Board) publiera un rapport disponible au public, pendant une période définie, à des fins de commentaires, suivi de l’approbation finale de la formation.

​

Il revient à la FAA et les autres autorités de réglementation de déterminer en dernier lieu le calendrier de retour en service du 737 Max dans leurs juridictions respectives. « Cette approche peut être progressive, et le calendrier varier d’une juridiction à l’autre. », précise Boeing.

​

Afin d’inverser la tendance de délégation dans le processus de certification, le sénat américain a élaboré (juin 2020) un projet de loi visant à renforcer les contrôles, la supervision et l’approbation de la conception des nouveaux avions par la FAA.

Ainsi la sénatrice Cantwell changea de position, pour s'assurer que la surveillance de la FAA soit forte, claire et transparente. Avec des moyens de communications et d'autorités significativement améliorées entre la FAA et les constructeurs, plus une solide expertise technique de la FAA sur le terrain.  

De plus, aucun employé de la FAA ne pourra se voir offrir une quelconque incitation financière à la performance. Ni la FAA et la direction de Boeing ne pourront interdire au personnel technique de part et d'autre du système de surveillance de communiquer librement entre eux.

En fait, ces changements consistent à un retour à la version antérieure du système de surveillance, lorsque les ingénieurs de Boeing travaillaient en tant que « représentants autorisés » (RA) de la FAA.

Le projet de loi prévoit également une protection judiciaire pour les dénonciateurs qui font part de leurs préoccupations en matière de sécurité, chez les constructeurs comme Boeing, mais aussi chez les fournisseurs et sous-traitants.

La FAA qui collabore avec le congrès américain pour améliorer la certification des prochains avions a proposé un amendement pour que les constructeurs utilisent les systèmes de gestion de sécurité (Safety Management Systems – SMS), tel que décrit par l’OACI, destinés à intégrer une culture de la sécurité dans les entreprises. Un comble, pour ceux qui se devaient d’expliquer aux compagnies aériennes comment maintenir un haut niveau de sécurité.

Et pour renforcer les capacités de surveillance de la FAA, 10 millions de dollars supplémentaires par an seront alloués à l’agence pour embaucher « du personnel technique spécialisé ayant une expertise dans les technologies nouvelles émergentes.

Les certificateurs étrangers se rebellent et exigent de nouvelles améliorations sur le Max

les Européens et les Canadiens ont insisté pour mener leurs propres évaluations de sécurité indépendantes de la recertification du Max, plutôt que de suivre systématiquement la FAA.

Ils ont évoqué trois problèmes à corriger :

1/ Les européens veulent 3 sondes d’incidences (AOA) plutôt que les deux actuellement. Il s’agit d'une philosophie de conception fondamentalement différente entre Airbus et Boeing.

2/ L'AESA exige un changement de conception découle des enquêtes qui ont établi que les pilotes sur les deux vols de crash ont été confronté à une cacophonie d'alarmes. Autrement dit, il veulent un système électronique (EICAS) de surveillance et d’alarmes avec affichage des checklists correspondant aux pannes.

3/ Le troisième problème soulevé par Transports Canada concerne le « vibreur de manche » qui alerte le pilote tactilement et par alarme sonore que l’avion va décrocher. Il ne peut pas être désactivé même lorsqu'il est manifestement erroné, puisque sur le dernier vol (faute d’EICAS), il y avait les alarmes de survitesse et de sous vitesse en même temps.

Si la demande du Canada est « raisonnable », celles de l’EASA risque de remettre en cause le certificat de navigabilité du B 737 Max en Europe.

Enfin, à ce jour, et ce n’est peut-être pas fini, la FAA exige une inspection de blindages de certains câblages électriques qui pourraient, dans des circonstances extrêmes, provoquer des pannes de deux moteurs ou des données de moteur erronées…

Recertification du 737 Max

En juillet 2020, après 15 mois d’arrêt de vol du Max, la FAA a repris les vols d'essais.

Début août, elle a proposé une nouvelle consigne de navigabilité (CN) pour la remise en service de l’avion. Cette consigne est assortie de quatre obligations importantes :

1.  l'installation d'un nouveau logiciel du MCAS basé sur l’information des deux sondes d’incidence (AOA) et la révision du manuel de vol,

2. la publication de nouvelles procédures d’utilisation du MCAS pour l'équipage de conduite,

3. l'installation d'un nouveau logiciel de système d'affichage d’alarmes (ECAS) prenant en compte la défaillance des sondes AOA,

4. la modification de l'acheminement des fils électriques du stabilisateur horizontal, par leurs séparations, pour être en conformité avec les dernières normes en vigueurs.

De plus, la FAA obligera les exploitants du Max à effectuer une calibration des sondes AOA et exécuter un vol de contrôle avant la remise en service de chaque appareil.

Du côté européenne, l’AESA commencera en septembre les évaluations au simulateur à Gatwick et les vols d’essais se feront à Vancouver près de Seattle à cause des restrictions de circulation dues au Covid-19.

​

Pour résumer l’échec de certification du B737 Max :

• Mauvais choix stratégique en prolongeant la vie du vieux 737 plutôt que lancer le nouveau programme Y1, constamment repoussé,

• Prédominance à l’autocertification, manque de vérification de la FAA, Boeing s’est retrouvé juge et parti,

• Sous-estimation des risques pour certifier le Max, afin de ne pas augmenter les délais,

• Non-respect des procédures de certification (MCAS),

• Dissimulation d’informations auprès de la FAA et des compagnies aérienne (MCAS),

• Pression sur le personnel pour augmenter la productivité et les délais de livraison.

​

___________________________________________________________

[1] Boeing a demandé la certification du 737 Max en janvier 2012 et l’a obtenue en mars 2017.

[2] S’il y en a plusieurs alarmes affichées à l’écran, elles sont hiérarchisées par ordre d’importance et sont accompagnées d’une alarme sonore.

[3] En 2011, le 737 avait effectué 321 millions d’heures de vol et 213 millions de départs, notamment la dernière version (NG) avait effectué 80 millions d'heures de vol et 42 millions de départs.

[4] RCAS consists of a ROLL/YAW ASYMMETRY alert, ROLL AUTHORITY alert and a Roll Command Arrow. RCAS is optional equipment on the B-737-NG and standard on the B-737-MAX. The FSB found Level B training to be sufficient for initial, transition, and upgrade training in that series aircraft (U.S. Department of Transportation Federal Aviation Administration Washington, DC Flight Standardization Board (FSB) Report Revision: 16 Date: 10/17/2018).

[5] Dont trois ingénieurs de Boeing qui se trouvaient à bord par hasard.

[6] Sidney W. A. Dekker, né en 1969, près d'Amsterdam, est professeur aux universités du Queensland et Griffith à Brisbane en Australie, où il a fondé le Safety Science Innovation Lab. C’est un universitaire de haut niveau (h-index = 39). Auparavant, Dekker a été professeur en facteurs humains et sécurité des systèmes à l'université de Lund en Suède, où il a fondé le laboratoire Leonardo da Vinci pour la complexité et la pensée systémique. Passionné d’aviation, il a été copilote sur Boeing 737 pour les compagnies Sterling et Cimber Air.

[7] Trois ans avant que le Boeing 737 soit en service (1968). Chez Boeing, les équipages de conduite sont passés de quatre opérateurs (Pilote, copilote, mécanicien, radionavigateur) sur B707 (4 moteurs, 1958), à trois (Pilote, copilote, mécanicien) sur B727 (3 moteurs, 1964) à deux pilotes sur B737 (2 moteurs).

[8] Incidents au cours desquels des 737 ont rencontré un problème de déconnexion de l'automanette en approche suivi d’une alarme confuse qui a conduit à une réponse inappropriée du pilote.

[9] J’ai moi-même subit ce genre de pressions de la part de la direction d’Air France pour avoir osé dénoncer un système de sécurité que je jugé insuffisant après l’accident du Concorde en 2000 et celui de l’A340 à Toronto en 2005. Je fus destitué de mon poste d’intervenant facteurs humains (par JFT le responsable des FH à l’époque) et menacé de voir ma carrière bloquée, notamment à l’accès au long courrier. Après l’accident du Rio Paris en 2009, un journaliste qui avait eu la copie du courrier que j’avais adressé au président Spinetta, ressortit mes arguments comme ayant été prémonitoire. Je n’avais pourtant pas été le seul à monter aux créneaux, comme les syndicats, ainsi qu’un haut responsable pilote qui avait fourni un rapport (Colin, 2006) pour réformer la culture d’entreprise. Son rapport fut enterré.

[10] Un manque de redondance dans les câbles de la gouverne de direction ; une température maximale autorisée trop élevée dans les réservoirs de carburant ; ignifugation insuffisante autour du groupe auxiliaire de puissance (APU) dans la queue de l’avion ; et l’utilisation d’un câblage haute puissance à l'intérieur d’un réservoir de carburant.