1/ Brève histoire de Boeing et comparaison des productions avec Airbus
2/ Dérives sécuritaires de la FAA
3/ MCAS description et accidents. Simulation vols et mesures correctives
4/ Certification du Max
5/ Perspectives d’avenir pour Boeing et les services de certification
6/ Épilogue
Brève histoire de Boeing et comparaison des productions avec Airbus (1/6)
En 2019, Boeing était encore le premier constructeur aéronautique mondial jusqu’aux deux crashes du nouveau 737 Max : Lion Air, le 28 octobre 2018, et Ethiopian Airlines, le 10 mars 2019, des avions neufs pulvérisés à grande vitesse (à plus de 400 kt) en moins de six mois ; du jamais vu dans l’histoire de l’aviation moderne.
Mais c’est peut-être aussi la déchéance d’une icône, celle d’un constructeur qui a élaboré un avion sous une forte pression économique et dans l’approximation, « aidé » par un service de certification, la « Federal Aviation Administration » (FAA), qui n’a pas joué son rôle.
Aujourd’hui, l’épidémie du Covid-19 pourrait précipiter la chute du géant. Comme tout accident majeur, les prémices se situent loin en amont.
Brève histoire de Boeing
Les premiers avions à réaction sont apparus à la fin de la Seconde Guerre mondiale, et le plus remarquable d’entre eux est le chasseur-bombardier Messerschmitt 262 qui sera opérationnel la dernière année du conflit.
Après la guerre, il n’y a que la Grande-Bretagne qui dispose de moteurs à réaction, qu’elle va adapter et développer pour le civil. Ainsi, en 1949, le premier avion de ligne à réaction sera le De Havilland 106 Comet de la British Overseas Aircraft Corporation (BOAC), un des ancêtres de la British Airways. De conception aérodynamique traditionnelle (comme les avions à hélices), avec notamment une aile avec peu de flèche qui ne permet pas de dépasser Mach 0,8, le Comet sera condamné après une série d’accidents dus à l’explosion en vol de ses fuselages. De Havilland paiera le prix fort pour le manque d’expérience de l’industrie dans les domaines du vol en haute altitude et des vitesses élevées, mais certainement aussi pour sa précipitation à vouloir être leader sur un nouveau marché très prometteur. Malgré un carnet de commandes initialement bien rempli, le Comet ne sera produit qu’à 164 exemplaires, dont 50 patrouilleurs maritimes Nimrod.
Boeing est avant tout un constructeur militaire. Son expérience dans le civil ne s’est pas avérée fructueuse, tels le B-247 (1933) – qui devra faire face au DC-3 – ou le joli B-314, Clipper Flying Boat (1938), produits respectivement à 75 et à 12 exemplaires ; ou bien le B-307 Stratoliner pressurisé dérivé du B-17 (1938) et le B-377 Stratocruiser pressurisé dérivé du B-29 (1947), produits respectivement à 56 et seulement 10 exemplaires, soit un total de 153 avions civils produit en 17 ans.
En revanche, boosté par la guerre, Boeing sera un extraordinaire constructeur militaire. Avec ses partenaires, il produira plus de 20 000 bombardiers lourds B-17 et B-29 en moins de 10 ans…
Puis, après la guerre, pour faire face à l’URSS, Boeing produit le bombardier B-47 Strato-Jet à plus de 2 000 exemplaires. C’est un avion à réaction révolutionnaire avec une aile en flèche prononcée (35°), un plan horizontal arrière entièrement mobile et des moteurs montés en pod à l’extérieur des ailes. Aujourd’hui encore, tous les gros avions à réaction bénéficient de ces technologies copiées chez les Allemands à la fin de la guerre[1].
C’est grâce à cette suprématie industrielle, à un bureau d’études réactif et performant ainsi qu’à une trésorerie largement positive, que Boeing a pu se relancer dans le civil. Ainsi en 1954, il finance à ses frais le démonstrateur Dash-80[2] (16 millions de dollars) pour le marché des ravitailleurs en vol qu’il emporte. Puis Boeing adapte le ravitailleur KC-135[3] au marché civil avec le B-707, dont le diamètre de fuselage est légèrement supérieur à celui du ravitailleur (10 cm), afin de contrer le DC-8[4] de Douglas qui propose des rangées de six sièges.
Boeing récidive avec le 747 (1969) en utilisant son projet d’avion cargo militaire pour répondre aux besoins générés par la guerre du Vietnam, mais le marché sera attribué en 1965 au C-5 Galaxy de Lockheed. Cette fois-ci encore, Boeing financera entièrement son avion géant[5] qui faillit manquer de le faire chuter, puisque son endettement atteindra 2 milliards de dollars en raison de commandes qui seront annulées en nombre avec la crise de l’OPEP de 1973.
Comparaison des productions[6] de Boeing et Airbus
a/ Boeing
Étude de la production :
4 modèles (707, 727, 737, 747) en 14 ans (1955[7]-1969) ;
2 modèles (757 et 767) en 12 ans (1970-82) ;
1 modèle (777) en 11 ans (1983-1994) ;
1 modèle (787) en 14 ans (1995-2009).
Il n’y a pas eu de modèle raté puisqu’ils ont tous passé la barre des 1 000 exemplaires. Son best-seller est le 737, vendu à plus de 11 000 exemplaires à ce jour avec un carnet de commandes de plus de 4 000 exemplaires pour le Max. Actuellement, cinq modèles sont toujours en production : B737, B747, B767, B777 et B787. L’avenir du B737 est sérieusement menacé par la crise du Max, la chaine du 747 va prochainement s’arrêter et celle du 767 reste en production pour les besoins de l’armée (version modifié pour le ravitailleur en vol KC-46).
Si le lancement du B707 a été facilité par les commandes militaires du KC-135, le lancement du B747 en revanche a souffert de la crise du pétrole et de la baisse d’activité qui s’est ensuivie, l’avion étant devenu trop gros.
Les effectifs chez Boeing sont ainsi passés de 142 000 employés en 1968 à 56 000 en 1971 après que le programme supersonique a été abandonné et parce que la crise énergétique a affecté les compagnies, qui ont suspendu leurs commandes.
En 1993, le président Clinton dénoncera les subventions publiques d’Airbus qui commencent sérieusement à mettre à mal Boeing, qui absorbera McDonnell Douglas en 1997 pour contrer son concurrent avec lequel il sera en compétition pour l’appel d’offres du nouveau ravitailleur en vol en remplacement des vieux KC-135 et KC-10. Après plusieurs rebondissements, dont l’un mettant en cause des faits de corruption de la part de Boeing, le contrat du siècle sera finalement attribué au B767.
b/ Airbus
Airbus est né en 1970, réunissant les compétences notamment de British Aerospace et de l’Aérospatiale, qui construisaient à cette époque le Concorde. Auparavant, le plus important succès commercial côté anglais avait été le BAC 1-11 avec 244 exemplaires (1963-1989) et côté français, la Caravelle avec 279 exemplaires (1958-1973).
Airbus fait le choix d’un premier avion gros-porteur moyen-courrier, bimoteur, donc plus économique que les équivalents américains tri ou quadrimoteur. Si l’A300 n’a rien de révolutionnaire techniquement, il s’impose aujourd’hui comme le standard d’avion bimoteur gros-porteur. L’A310 a été un avion de transition avec un poste de pilotage à deux et des écrans cathodiques ; il a été le premier Airbus à obtenir la dérogation ETOPS[8] pour les vols long-courriers en bimoteur.
Étude de la production :
2 nouveaux modèles (A300 & 310) en 12 ans (1970-1982) ;
3 nouveaux modèles (320, 340, 330) en 11 ans (1983-1994) ;
1 nouveau modèle (380) en 10 ans (1995-2005) ;
1 nouveau modèle (350) en 7 ans (2006-2013).
On note un début difficile pour Airbus, qui doit s’imposer sur un marché verrouillé par les Américains, puis il y a une accélération de la production de nouveaux modèles avec les séries 320, 330 et 340. Ensuite, il faudra respectivement 10 et 7 ans pour développer le 380 et le 350. Autrement dit, la tendance de production des derniers modèles est supérieure à celle de Boeing (voir graphique). Production Boeing (orange) et Airbus (bleu) La commercialisation de certains modèles sera faible pour les 300 et les 310 (816 exemplaires pour les deux), voire ratée pour le 340 (377 exemplaires) et pour le 380 (seulement 251) avec une production qui s’arrêtera l’année prochaine. Le péché d’orgueil d’Airbus à vouloir faire des quadrimoteurs, dont le 380 qui devait être plus gros que le B747, aura coûté cher. Actuellement, quatre modèles sont en production : l’A320, qui domine son créneau, avec son dérivé l’A321LR (Long Range) qui prend maintenant celui du B757. L’A320 aura été l’avion révolutionnaire (de 4e génération) qui a permis à Airbus de rattraper Boeing. Avec des commandes de vol entièrement électriques (fonctionnant avec des ordinateurs), des minimanches, des check-lists électroniques, un système de communication ACARS, une imprimante, etc. Son arrivée bousculera l’industrie, particulièrement les pilotes[9]. Après sa mise en service (1988), il s’est ensuivi une série d’accidents[10] qui ont déstabilisé le constructeur. Le pari de lancer un avion aussi révolutionnaire était très risqué, il aurait pu tuer Airbus dans l’œuf. Boeing a produit plus de 20 000 avions civils en 52 ans, et en a quelque 6 000 en commande. Airbus a commencé 15 ans après Boeing et a produit presque 13 000 exemplaires en 43 ans, dont 7 500 sont en commande. Initialement les Boeing se sont mieux vendus notamment en l’absence d’Airbus, cependant aujourd’hui, le carnet de commandes d’Airbus est supérieur à celui de son concurrent de 1420 avions (24 %). Les productions et carnets de commandes des best-sellers B737 et A320 – 16 000 exemplaires pour le 737 et 15 500 (l’équivalent) pour l’A320 – montrent que ce sont les avions monocouloir qui font essentiellement tourner les usines. Les points d’inflexion (graphique) de la production des nouveaux modèles se situent chez Boeing en1982 avec la sortie du B757, et chez Airbus, en 1994, pour celle du 330, le temps qu’Airbus puisse offrir un nombre de modèles comparable à celui de son concurrent. Puis les constructeurs n’ont sorti que deux modèles : les B777 (1994) et B787 (2009), les A380 (2005) et A350 (2013). Les B787 et A350 étant en compétition, il n’y a plus que 4 ans qui séparent leurs sorties (voir graphique). Le prochain challenge entre les deux compétiteurs sera le remplacement des B737 et A320. Boeing sera le premier à se lancer, compte tenu des difficultés du Max (arrêté de vol depuis 13 mois, un record) et des vingt ans d’ancienneté du B737 sur l’A320. Le projet Y1 de Boeing pour le remplacement du B737, maintes fois repoussé, montre que la crise chez Boeing est profonde. Même si les avions sont de plus en plus complexes à étudier et à mettre au point, au fil du temps, il semble que le bureau d’études de Boeing ait perdu la main. Pour résumer, Boeing a connu son heure de gloire dans les années 1957-1969, d’une part en réussissant brillamment la transition vers le civil avec le 707, d’autre part en produisant quatre modèles en douze ans, notamment le « roi du ciel », le 747, dont la chaîne de production pourrait s’arrêter après celle du 380. Si Boeing a réchappé à la crise pétrolière lors des débuts du 747, aujourd’hui vient s’ajouter à la crise du Max celle du Coronavirus ainsi qu’une trésorerie largement ponctionnée pour satisfaire les actionnaires. _________________________________________ [1]. Near the end of World War II, Boeing aerodynamicist George Schairer was in Germany as part of a fact-finding mission. At a hidden German aeronautics’ laboratory, Schairer saw wind tunnel data on swept-wing jet airplanes and sent the information home. Engineers then used the recently completed Boeing High-Speed Wind Tunnel to develop and design the XB-47, with its slender 35-degree swept-back wings (boeing.com/history/products/). [2]. Avion remarquable mis en scène par son pilote d’essai Tex Johnston et ses deux tonneaux barriqué en 1955, lors d’un vol de démonstration devant le patron Bill Allen qui n’a pas vraiment apprécié. [3]. Because the prototype was constructed to sell first as a military-tanker transport, it had few windows and no seats, but had two large cargo doors (https://www.boeing.com/history/products/model-367-80.page). [4]. DC-8 produit à 556 exemplaires entre 1958 et 1972. [5]. À la suite d’une partie de pêche en Alaska, en 1965, entre Bill Allen et Juan Trippe le patron de PanAm. [6]. Sources Wikipédia et Boeing https://www.boeing.com/history/ [7]. Lancement du B707. [8]. ETOPS (Extended Twinjet Operations) : par définition, les avions bimoteur n’avaient pas le droit de s’éloigner à plus de 60 minutes de vol d’un aéroport adéquat (de secours). Avec l’arrivée du B767 en 1981, les pourparlers s’engagent entre Boeing et la FAA afin d’améliorer la règle des 60 minutes pour pouvoir traverser l’Atlantique. Les moteurs doivent avoir fait la preuve de leur fiabilité par des statistiques, et les systèmes électriques et hydrauliques – dépendant des moteurs – doivent être adaptés en vue d’un vol prolongé en monomoteur sans trop pénaliser les capacités de l’avion. La règle a ainsi évolué vers 75, 90, 120, 180, 207 et 240 minutes. [9]. J’ai obtenu ma qualification 320 en novembre 1988 chez Aéroformation à Toulouse. Les instructeurs téléphonaient régulièrement chez Airbus, en face, pour avoir des informations sur l’avion. Mon captain ne fut jamais lâché et retourna sur A300, il avait plus de 50 ans. [10]. Trois accidents en quatre ans : Habsheim en 1988, 3 morts (Air France) ; Bangalore en1990, 92 morts (Air India), Strasbourg en 1992, 87 morts (Air Inter).
Les dérives sécuritaires de la Federal Aviation Administration (FAA) (2/6)
Ce n’est pas la première fois que la FAA est épinglée pour sa complaisance avec les acteurs du transport aérien américain (compagnies aériennes low-cost et constructeurs comme Boeing), en outrepassant son rôle de garant de la sécurité pour celui de soutien à l’économie.
Précédents cas avant celui le Max
1972 : Certification du McDonnell-Douglas DC-10
Pour ne pas se faire distancer par le Boeing 747, McDonnell-Douglas avait obtenu la certification de son trimoteur DC-10-10 en 1971 alors que certains problèmes graves n’avaient pas été résolus. En effet, en 1972, après la perte de la porte de la soute arrière du DC-10, le commandant McCormick [1] et son équipage avaient réussi un atterrissage d’urgence à Detroit sans faire de victime, en utilisant la poussée des moteurs pour manœuvrer l’avion (descendre : réduire les moteurs ; monter : augmenter la puissance et tourner en jouant sur la différence de poussée des moteurs d’aile).
Cet incident grave a été le précurseur de la catastrophe, en 1974, du DC-10 de la Turkish Airlines, dans la forêt d’Ermenonville au nord de Paris, qui avait fait 345 victimes. L’avion avait également perdu sa porte de soute arrière qui avait sectionné les commandes de vol par l’effondrement du plancher à l’arrière, et six passagers avaient été éjectés à l’extérieur. Afin que cette porte cargo arrière[2] soit correctement verrouillée, le personnel au sol devait suivre les instructions d’une notice en anglais affichée sur celle-ci. Après cet accident, les portes ont été rapidement modifiées, et la FAA a de plus exigé, sur recommandation du National Transportation Safety Board (NTSB), le Bureau Enquêtes et Accident américain, qu’il y ait des caissons de décompression au niveau du plancher des futurs avions, entre la cabine passagers et les soutes pour éviter, en cas de dépressurisation brutale, d’endommager le plancher qui supporte des servitudes vitales.
Le DC-10 et son évolution le MD-11 ont eu une mauvaise réputation (« avions maudits »), en raison d’un nombre plus important d’accidents.
Déréglementation
1996 : ValuJet
Au début des années 1990, la déréglementation aux États-Unis fut à l’origine d’une déstabilisation du transport aérien. De nouveaux entrants bousculèrent les compagnies institutionnelles[3] avec leur politique de management agressive et l’utilisation excessive de sous-traitants mal payés. Ce fut le cas pour la low-cost ValuJet Airlines qui crasha, le 13 mai 1996, un McDonnell-Douglas DC-9 de 27 ans dans les Everglades en Floride qui fit 110 morts. Le non-respect des procédures du chargement de marchandises dangereuses par son sous-traitant mal formé fut la cause d’un feu incontrôlable dans les soutes de l’avion.
ValuJet, créée quatre ans plus tôt, n’achetait que des avions d’occasion, ce qui lui avait permis d’avoir une croissance rapide et d’engendrer des profits. Mais en contrepartie elle eut toute une série d’incidents, dont certains graves, comme en 1995 l’explosion d’un moteur et la destruction par le feu d’un DC-9 au décollage d’Atlanta. Le commandant put procéder à l’évacuation de tous les passagers et du personnel navigant. En voyant l’avion s’embraser, un homme d’affaires s’interrogea sur le bien-fondé d’une telle concurrence au détriment de la sécurité. Après l’accident du DC-9 des Everglades, la compagnie changea de nom (AirTran Airways) pour se faire oublier et commanda des avions neufs.
2009 : Colgan Air
Le 12 février 2009, entre New York et Buffalo, le vol Continental Airlines 3407 effectué par la compagnie régionale Colgan Air fit 50 victimes, après la perte de contrôle en vol du De Havilland Canada Dash 8, lors de l’approche au-dessus de la ville côtière du lac Erié.
Un an plus tard, le reportage Flying Cheap de Frontline[4] retraça, de façon magistrale, la descente aux enfers du transport aérien du troisième niveau américain, devenu sous la pression économique une activité complètement dévalorisée. En termes de sécurité, Colgan Air et ValuJet symbolisent la dérive du libéralisme jusqu’à ce « que tout aille de travers dans cette industrie ».
En effet, les contrats signés avec Continental (CO) étaient rémunérés au vol réalisé à la destination. Autrement dit, si le vol était annulé du fait de CO ou s’il n’allait pas directement à destination – en cas de dégagement météo par exemple –, celui-ci n’était pas payé. De plus, si Colgan Air était défaillante vis-à-vis de CO, elle devait lui verser des indemnités…
Faute de pilotes d’expérience disponibles sur le marché, Colgan embauchait des copilotes qui sortaient de l’école et qui pour certains se retrouvaient, neuf mois plus tard, commandant de bord sur des avions de 50 places. Ainsi, le commandant du crash, âgé de 47 ans, ne totalisait que 3 400 heures de vol, ce qui est peu pour le transport public. Les équipages faisaient régulièrement 10 vols par jour avec des amplitudes de 16 heures, soit 80 heures de travail hebdomadaires… Avec de très faibles salaires, les pilotes étaient amenés à dormir jusqu’à 12 dans des dortoirs (crash-pad) près des aéroports, l’hébergement n’étant pas pris en charge par l’employeur. Les pilotes étaient payés lorsque les portes de l’avion étaient fermées, peu importe le retard qu’ils pouvaient subir en amont.
Colgan Air avait déjà été épinglée pour plusieurs manquements graves. Mais le directeur de la FAA avait demandé au dernier inspecteur qui avait contrôlé la compagnie de la considérer comme un client qu’il fallait ménager. À cause de ses difficultés rencontrées, Colgan Air fut rachetée en 2007 par Pinacle Airlines Corporation.
Lors du procès qui s’ensuivit, interrogé par le président du tribunal, le patron de Continental expliqua qu’il ne se sentait pas en droit de se substituer à la FAA pour exiger des compagnies affrétées un niveau de sécurité équivalent exigé par sa compagnie, même si les passagers avaient acheté des billets Continental Airlines. Suite à ce scandale, la réglementation devint plus restrictive.
2013 : Vols cargo
Le 13 août 2013, un Airbus 300-600F cargo d’UPS eut un accident lors de son approche à l’aéroport de Birmingham-Shuttlesworth, en Alabama, dans lequel les deux pilotes trouvèrent la mort. Le NTSB[5] a évoqué la fatigue comme cause contributive au crash. Car la réglementation relative aux conditions de travail sur les vols cargo aux États-Unis est beaucoup moins restrictive que celle concernant les vols avec passagers, notamment sur la question des repos en vol qui nécessiterait la présence d’un pilote supplémentaire.
En effet, un accident d’avion sans passager, impliquant « uniquement » deux pilotes, a un faible impact médiatique et engage moins d’indemnisations pour les assureurs. Pourtant, ces avions fréquentent les mêmes aéroports et espaces aériens que les autres et peuvent provoquer un accident plus grave, comme cela a été le cas, en 2002, lors d’une collision en vol près d’Uberlingen en Allemagne qui a fait 72 victimes[6].
Malgré les protestations auprès de la FAA de Deborah Hersman, la directrice du NTSB, et des syndicats de pilotes américains, la logique productiviste a gardé le dessus.
2013 : Batteries du B787
Lancé en 2004 pour une mise en service en 2008, le 787 Dreamliner a fait son premier vol en 2009 et n’est véritablement entré en service qu’en 2011. Le retard est imputable à une coopération internationale (80 %) excessivement complexe en raison du nombre d’intervenants et des problèmes liés aux innovations techniques de l’avion. En effet, l’utilisation du carbone sur de grandes surfaces (le fuselage d’un seul tenant) et les servitudes électriques n’ont pas cessé de prendre de l’importance pour les besoins croissants des appareils modernes comme le 787[7] [8].
Puis en janvier 2013, en moins de dix jours, il y eut une série d’incidents graves sur les B787 dus à l’emballement thermique[9] de leurs batteries au lithium-ion[10] :
le 7, Japan Airlines (JAL), à Boston Logan[11], déclenchement d’un début d’incendie ;
le 14, encore la JAL, dégagement de fumée au parking à Narita Tokyo ;
le 16, All Nippon Airways (ANA), atterrissage d’urgence d’un B787 à l’aéroport de Takamatsu sur l’île de Shikoku après que de la fumée a été détectée dans la soute électronique située sous le cockpit.
Le 17 janvier 2013, la FAA et l’autorité équivalente japonaise immobilisèrent l’ensemble de la flotte B787 pendant trois mois dans le monde[12]. En effet, le risque d’emballement thermique majeur était tombé à 52 000 heures de vol, nettement inférieur aux 10 millions d’heures de vol prévues par Boeing. Pourtant, un premier problème avait déjà eu lieu en 2010 durant la campagne d’essai du B787 : le prototype nº 2 (ZA002) avait dû se poser en urgence[13] à Laredo au Texas et procéder à une évacuation d’urgence après que de la fumée avait envahi le poste de pilotage. À la suite de cet incident, Boeing avait suspendu un moment ses vols d’essai. Le rapport du NTSB[14] (1er décembre 2014) a déterminé que la cause de ces emballements thermiques provenait d’un court-circuit interne dans une des cellules de la batterie qui utilisent l’oxyde de lithium cobalt (LiCoO2) comme électrode positive. Ces électrodes, connues pour leur risque d’emballement thermique, fournissent de l’oxygène pour alimenter un incendie… Le rapport a recommandé l’installation d’un sarcophage autour de la batterie pour contenir son éventuel embrasement, ce qui augmente son poids de 84 kg… L’enquête du NTSB a aussi révélé que Boeing n’avait pas supervisé le travail de ses deux équipementiers, Thales pour le système électrique de l’avion et GS Yuasa[15] pour la fabrication des batteries. Après l’arrêt de la flotte, Boeing a recensé 17 défauts de procédure entre Thales et GS Yuasa qui n’avait jamais réalisé de tests d’emballement thermique sur ses batteries dans des conditions suffisamment strictes. Enfin, l’enquête pointe du doigt la FAA qui n’a pas su estimer le risque potentiel de ces nouvelles batteries et qui n’a pas exigé les tests appropriés. ________________________________ [1]. Le commandant Bryce McCormick, qui venait d’être affecté sur le nouvel appareil, avait demandé à s’entraîner au simulateur à la panne totale des commandes de vol, panne qui n’était pas prévue au programme d’instruction. Il avait justifié à l’époque sa demande par l’arrivée de la nouvelle génération d’avions tout hydrauliques, à l’instar des avions tout électriques d’aujourd’hui. Auparavant, les premiers avions long-courriers à réaction (B707, DC-8) avaient encore des commandes de vol actionnées directement par des câbles – même si elles étaient assistées par des servomoteurs –, tandis que celles de la génération du DC-10 utilisaient des vérins hydrauliques pour mouvoir directement les commandes de vol, lesquels étaient actionnés par les câbles du manche et du palonnier. Autrement dit, il y avait un intermédiaire (le vérin hydraulique) entre les commandes (câbles) du pilote et les gouvernes de l’avion. [2]. Le dysfonctionnement provenait de l’indication erronée du verrouillage de la porte. Alors que le voyant était éteint au cockpit, les tiges métalliques de fermeture pouvaient se tordre en forçant sur la poignée de fermeture. [3]. Dont certaines firent faillite comme PanAm (1991) et TWA (2001). [4]. file:///Users/alexandreaubin/Documents/Personnels%20documents/Alexandre/Projets/Faut-il%20encore%20un%20pilote%20dans%20l’avion%20%3F/Annexes/Buffalo%20Crash%20of%20Continental%203407.webarchive [5]. Les règles de limitation de vol des avions cargo (Part 121) sont en-dessous du standard. [6]. Collision en vol, le 1er juillet 2002, près de la ville d’Uberlingen (Lac de Constance), entre un Boeing 757 cargo de DHL et un Tupolev 154 de Bashkirian Airlines, qui a fait 72 morts, dont 52 enfants qui partaient en vacances. [7]. Sur l’avion précédant le Boeing B777, il y avait quatre circuits pneumatiques qui fonctionnaient par un piquage d’air sur les réacteurs (dégivrage des ailes, conditionnement d’air, pressurisation cabine et démarrage des réacteurs). Tous ces systèmes sont maintenant électriques sur B787. Fini aussi l’abondance de fusibles dans le cockpit, un système Multi Function Display situé dans la soute électronique permet de gérer et de surveiller toute la distribution électrique de l’avion. [8]. Le B787 a une puissance électrique totale de 1,45 mégawatt (deux fois supérieure à celle de l’A380), distribuée par 6 alternateurs de 250 Kva (2 par moteur et 2 x 225 Kva pour l’APU) qui fonctionnent en 235 volts avec des fréquences variables de 360 à 800 hertz au lieu des 115 volts/400 hertz que l’on trouve sur les autres avions. [9]. Deux des éléments du triangle du feu (combustible, comburant et énergie) sont présents dans une batterie au lithium-ion. Autrement dit, il ne manque plus que l’augmentation de la température pour atteindre le seuil critique d’emballement thermique (autour de 60°C). Son origine peut être liée à un court-circuit interne ou à une surcharge. En effet, à haute température, il y a des phénomènes de dégradation des matériaux constitutifs de la batterie, (séparateur, électrode et électrolyte) qui peuvent rentrer en contact. [10]. Le B787 utilise 2 batteries de 32 volts (à la place de 24) au lithium-ion à base d’oxyde de cobalt (de première génération) qui sont moins sûres que celles à base de phosphate de fer plus récentes. [11]. L’avion était en stand-by au parking à Boston Logan, il n’y avait pas d’équipage à bord, seulement l’équipe de nettoyage et un mécanicien pour sa visite prévol. [12]. Événement rarissime qui n’était plus arrivé depuis 1979 après le crash du DC-10 d’American Airlines (AA) au décollage de Chicago par l’arrachage du pylône. Son moteur gauche coupa l’hydraulique des becs du bord d’attaque de l’aile qui se rétractèrent. L’accident fit 273 victimes, le plus important des USA. Le NTSB mit en cause une procédure de démontage « sauvage » des moteurs d’aile des DC-10 chez AA. [13]. L’équipage a utilisé l’éolienne de secours Ram Air Turbine (RAT), après avoir perdu l’alimentation électrique du circuit primaire. http://boeing.mediaroom.com/index.php?s=20295&item=1513 [14]. http://www.ntsb.gov/investigations/AccidentReports/Documents/Airworthiness_Factual_Addendum.pdf [15]. Au Japon, GS Yuasa fabrique la majorité des batteries pour les motos et est aussi présent dans le spatial.
Le MCAS du B 737 Max (3/6)
Historique et description
Accidents du Lion Air, du vol précédant le Lion Air et l’Ethiopian Airlines
Mesures correctives. Simulation des deux vols.
MCAS : Maneuvering Characteristics Augmentation System ou système d’amélioration des caractéristiques de manœuvrabilité.
Ce système connecté aux commandes de vol a été conçu pour améliorer la stabilité en tangage du 737 Max, pour qu’il réagisse et se pilote comme les autres 737, afin de préserver la qualification commune avec les précédents. Le MCAS ne peut s’activer qu’en pilotage manuel avec les volets rentrés (au-delà de 230 nœuds ou de 425 km/h) et à un « angle of attack » (AOA) ou d’incidence élevé.
Cockpit du Boeing 737 Max
1/ Historique et description
À force d’allonger et d’alourdir le Boeing 737, d’y ajouter des moteurs toujours plus puissants et encombrants[1], le 737 Max a eu des difficultés pour répondre aux critères de qualification commune de la famille 737 (Original, Classic, NG et Max). Cela faisait en effet partie des exigences des compagnies aériennes qui ne voulaient pas dépenser davantage d’argent pour que les pilotes soient contraints à des séances de simulateur pour passer du 737 NG (le précédent) au Max. C’était une demande particulièrement insistante de Southwest Airlines, la compagnie de lancement du Max, qui en a commandé 240 exemplaires et qui possède la flotte la plus importante de 737 (environ 720 NG et 30 Max).
En un demi-siècle, le Boeing 737 a considérablement évolué. Après un premier vol en 1967, il a fait partie de la deuxième génération d’avions à réaction et a subi durant sa carrière trois évolutions afin de rester dans la course technologique et commerciale. Cependant, l’absence de commandes de vol électriques (à travers des computers) montre aujourd’hui ses limites.
Mais, paradoxalement, c’est aussi la dernière version, celle du Max, qui a connu le plus grand nombre de commandes de l’histoire de Boeing (plus de 5 000), et qui génère 40 % des bénéfices de l’entreprise. Ces chiffres ont conforté les dirigeants de Boeing d’avoir fait le bon choix. Et pourtant…
Les médias ont focalisé sur le nouveau moteur LEAP considéré comme la cause des problèmes du Max. Toutefois le tableau ci-dessous montre que la différence a été plus importante entre le premier moteur (JT8) et le deuxième (CFM-56), lequel est à l’origine de l’introduction de systèmes automatiques comme le « Speed Trim System » (STS).
Évolution de la motorisation du B737
retiré du service, sauf en Amérique du Sud.
Paradoxalement, le moteur JT8D du 737 Original est le plus long. Il est collé sous l’aile et n’a pas de mât, contrairement à son prédécesseur, le B707.
Principales différences entre le 737 Max (2016) et le modèle précédent, le NG (1997) à capacité identique (longueur).
Boeing a décidé tardivement d’équiper le Max du système MCAS pour pallier un problème de pilotage, afin qu’il soit au plus près de l’ancienne version Next Generation (NG) et qu’il se conforme à la réglementation qui exige qu’une force opposée augmente sur le manche de façon linéaire lorsque le pilote manœuvre son avion. Ce n’est donc pas à cause d’un problème de centrage dû à la position plus avancée des moteurs ou à leur plus forte poussée, comme cela a pu être dit.
Si les nouveaux moteurs du Max (Leap-1B de CFM International) peuvent faire cabrer l’avion dans certaines circonstances, cela se traduit par une force de réaction au manche insuffisante de nature à surprendre les pilotes.
Le MCAS est un des composants du STS
Auparavant, avec l’introduction du moteur CFM-56 en 1984 sur le 737 Classic, le nouvel appareil a vu sa puissance moteur augmenter significativement de plus de 20 %. Cela a justifié l’introduction du Speed Trim System (STS), un système de compensation d’aide au pilotage manuel, qui ajuste automatiquement le plan horizontal réglable (PHR) lors de fortes variations de poussée pendant les phases de décollage et de remise de gaz, particulièrement à faible masse et centrage arrière.
Le STS s’active automatiquement lorsque l’assiette est trop importante et s’approche du décrochage. Le système n’utilise qu’une seule sonde pour son fonctionnement, en alternant à chaque vol entre celle de gauche et droite. À l’époque, cette conception a été jugée acceptable par la Federal Aviation Administration (FAA), même en cas d’emballement du STS, en raison de la capacité des pilotes à contrer manuellement le système avec l’aide du trim ou en coupant son alimentation électrique (STAB TRIM), grâce à deux interrupteurs situés sur la console centrale.
Le STS a été conservé sur les générations suivantes : le 737 NG en 1997 et le 737 Max en 2016. En revanche, sur le Max, le STS a incorporé dans son système le MCAS pour gérer la prise d’assiette de l’avion, jugé plus efficace pour éviter un décrochage.
C’est en 2012, au cours de la définition aérodynamique du Max et d’essais en soufflerie à des vitesses élevées et à hautes altitudes, que Boeing a détecté un problème de stabilité lors de départs en virage engagé[2], procédure qui fait partie de la certification de l’avion.
Après des modifications de l’aile – ajout de générateurs de vortex[3] modifiant le flux d’air, testés à différents endroits et angles –, les résultats n’ont pas été satisfaisants. Mais il n’a pas été question pour autant d’en fabriquer une nouvelle pour le Max.
Afin de pallier ce défaut, Boeing a décidé d’intégrer le système MCAS qui avait été initialement développé pour les besoins du ravitailleur en vol KC-46[4], dérivé du B767 (1981). Les 737 et 767 sont des Boeing d’anciennes générations qui n’ont pas de commandes de vol électriques pour corriger ce genre de problème.
Le MCAS du KC-46 a été uniquement conçu pour protéger l’avion à de hautes altitudes, et il ne peut se déclencher qu’en cas de circonstances exceptionnelles, notamment pendant les phases de ravitaillement en vol, qui peuvent occasionner des changements rapides de masse et de centrage de l’appareil.
Contrairement au Max, le pilote du KC-46[5] a autorité sur le MCAS, lorsqu’il prend les commandes en manuel, lequel ne se déclenche qu’une seule fois par événement et ne peut se réinitialiser automatiquement. Il est de plus alimenté par deux sources distinctes d’incidence (AOA), alors qu’il n’y en a qu’une seule sur le Max.
D’après The Seattle Times, ce choix semble être guidé par des raisons économiques pour réduire par deux le risque de panne des sondes et par conséquent celui d’immobilisation de l’avion pour dépannage. En effet, ce type de panne est considérée comme interdisant tout départ (NO-GO).
En réalité, l’architecture du 737 – qui date des années 1960 – ne possédait qu’une sonde d’incidence, côté commandant, puis deux (une par côté et par pilote), au passage du 737 Classic (300/400/500). En revanche, les avions de la génération de l’A320 – dans les années 1980 – en ont trois. Pour les systèmes importants, il y a par sécurité un système de secours supplémentaire. Si l’un tombe en panne ou si l’information fournie n’est pas satisfaisante, il y a un basculement automatique vers le système de secours ou bien le pilote intervient en utilisant un sélecteur. Cependant, même redondant, si l’un des trois systèmes tombe en panne avant le départ, l’avion ne peut pas partir (NO-GO).
Sur le plan philosophique et jusqu’au Max, Boeing s’était toujours opposé aux automatismes autoritaires, tel le pousseur de manche sur certains avions (MD, CRJ, Learjet) pour éviter le décrochage. C’est pourtant ce qu’il a fait en introduisant le MCAS, s’inspirant par-là de la philosophie d’Airbus qui laisse moins de liberté aux pilotes, notamment par des commandes de vol électriques qui évite la sortie du domaine de vol en utilisation normale.
Puis, en mars 2016, lors d’essais à basse vitesse sur le simulateur de vol d’ingénierie (E-Cab) pour évaluer les performances du Max, il s’est avéré que les efforts physiques du pilote sur le manche n’étaient pas suffisamment proches de ceux relevés sur le NG, ce qui risquait de remettre en cause la qualification commune.
En effet, l’effort sur les commandes doit rester souple et régulier : il doit être de 10 livres (4,54 kg) pour le déplacement d’un pouce (2,54 cm) du manche. Autrement dit, le déplacement (en butée cabré) de 25 cm du manche doit correspondre un effort de 45 kg.
Conçu pour s’activer automatiquement en cas d’approche du décrochage, le MCAS « pousse sur le manche » par un déroulement du trim de profondeur, qui fait bouger le plan horizontal réglable (PHR) d’une valeur maximale par événement de - 0,6° en altitude à hautes vitesses et facteur de charge élevé, et de - 2,5° à basses vitesses, volets rentrés.
Boeing a fait appel à la société Collins Aerospace[6] pour lui fournir le MCAS et lui a demandé en 2016 que le logiciel puisse aussi protéger le Max aux basses vitesses.
Alarme de panne de l’incidencemètre en option[7] sur le 737 Max mais en série sur le 737 NG…
La « Non-Normal Checklist » (NNC) de la panne d’une des sondes d’incidence (AOA DISAGREE) peut induire des erreurs de vitesse et d’altitude. C’est ce qui s’est produit lors des deux accidents (Lion Air et Ethiopian Airlines).
De plus, le vibreur de manche s’est déclenché et a fonctionné continuellement. La NNC ne suggère pas la coupure des STAB TRIM sur CUTOUT ni le renvoi vers une autre checklist, comme celle de l’emballement du trim (RUNAWAY STABILIZER).
Cependant, une activation erronée du MCAS ne ressemble pas à un emballement de trim, qui se matérialise par un mouvement continu du PHR. Lors des accidents, le mouvement du PHR était limité à 2,5° à chaque déclenchement du MCAS, et les pilotes ont pu initialement stopper le mouvement à piquer en utilisant le trim électrique qui inhibe le MCAS. Mais 5 secondes après avoir relâché le trim, celui-ci se réinitialise et repart à piquer.
Cela signifie que si l’avion n’est pas rapidement trimé au neutre en vol horizontal (ce qui peut prendre plus de 5 secondes), le MCAS, qui est toujours actif, se déclenche à nouveau modifiant à chaque fois la trajectoire de l’appareil toujours plus en piqué. Autrement dit, en deux cycles à 2,5°, le MCAS peut mettre le PHR en butée à piquer, qui est limité à 4,2°. Sur les deux accidents, les deux vérins à vis des PHR ont été retrouvés en butée à piquer.
Lorsque le trim électrique est désactivé, l’utilisation manuelle de la roue du trim nécessite jusqu’à 40 tours pour ramener le PHR au neutre (même en s’aidant de la manivelle intégrée). Mais plus la vitesse de l’avion augmente en plongeant, plus les forces aérodynamiques qui s’exercent sur le PHR (qui est en piqué) et sur la gouverne de profondeur (qui est plein cabré) risquent de bloquer le trim.
Plusieurs années avant la certification du 737 Max, Boeing et la FAA avaient engagé des discussions sur le contenu de la formation des pilotes et des manuels d’utilisation de l’avion (FCOM et FCTM). À partir de mars 2016, Boeing a proposé de supprimer le MCAS et les tableaux des différences entre le Max et le NG des manuels, ce que la FAA a approuvé.
En effet, Boeing a considéré que la fonction du MCAS est automatique, sans aucune commande de la part de l’équipage de conduite, et qu’elle fonctionne en arrière-plan. Boeing a également estimé que la procédure requise pour répondre au MCAS n’était pas différente des procédures existantes et que les équipages ne devaient pas avoir affaire au MCAS en fonctionnement normal. Les discussions entre la FAA et Boeing n’ont pas pris en compte les scénarios de défaillance du MCAS.
Cette nouvelle démarche a été à l’encontre d’une longue tradition chez Boeing qui consistait à toujours donner au pilote le contrôle complet de l’avion. Le service d’analyse de sécurité de Boeing prévoyait que les pilotes seraient le principal filet de sécurité en cas de défaillance du système.
Le manque d’information des pilotes sur le MCAS a rendu plus difficile le diagnostic de la panne de la sonde d’incidence (AOA) et la recherche de la procédure appropriée.
Un mémo interne signé par Todd Zarfos, le vice-président de Boeing qui dirigeait le centre de conception technique de la compagnie, recommandait à l’époque que la « vitesse synthétique[8] » soit installée sur le Max, un système déjà existant sur le 787. Il pensait que cela améliorerait la fiabilité de ses systèmes de données anémométriques.
Mais Boeing a soutenu qu’il serait préférable de garder les systèmes actuels du Max communs avec ceux des modèles 737 antérieurs, afin d’éviter toute confusion lorsque les pilotes passeraient d’un type d’appareil à l’autre. Cela aurait nécessité de plus une révision majeure pour la mise en conformité de l’ensemble de la formation et de la documentation pour 75 000 pilotes dans le monde, plus un grand nombre de mécaniciens et d’ingénieurs des compagnies aériennes.
2/ Accident du Lion Air, du vol précédant le Lion Air et de l’Ethiopian Airlines
Résumé de l’accident du Lion Air (LNI 610) du 28 octobre 2018
L’avion, immatriculé PK-LQP, est entré en service chez Lion Air le 18 août 2018.
Le commandant, de nationalité indienne et âgé de 31 ans, avait 6 000 heures de vol (hdv), dont 5 200 sur B737. Le copilote, un Indonésien de 41 ans, avait quant à lui 5 200 hdv, dont 4 200 sur B737.
Le vol 610 de Lion Air a décollé de Jakarta le 29 octobre 2018 à destination de Pangkal Pinang Indonésie ; le commandant de bord était le pilote en fonction (PF), c’est-à-dire celui qui pilote l’avion.
Lors de la rotation au décollage, les pilotes ont perçu les alarmes de désaccord de vitesse et d’altitude sur leurs écrans primaires (PFD) respectifs. Le vibreur de manche du commandant s’est activé. C’est sa sonde d’incidence (AOA) gauche qui était en défaut.
La prise d’assiette n’a été que de 7° au décollage au lieu de 13°, à cause d’un écart de 21° entre les deux sondes AOA, qui est resté jusqu’à la fin du vol.
Le copilote a annoncé l’alarme TAKEOFF CONFIG, puis celle de vitesse en désaccord (IAS DISAGREE), et le message est resté affiché jusqu’à la fin du vol. Il a ensuite demandé au commandant s’il avait l’intention de retourner se poser à l’aéroport de départ.
Le commandant a ordonné plusieurs fois au copilote d’exécuter des items de mémoire de la procédure de vitesse non fiable (AIRSPEED UNRELIABLE), mais ce dernier a mis beaucoup de temps pour trouver la checklist dans le répertoire des checklists (QRH).
Les items de mémoire sont les quatre premiers, jusqu’au tireté (- - - -).
Le commandant a ensuite demandé au copilote, qui s’occupait de la radio, de réclamer au contrôleur un endroit pour se mettre en attente à l’altitude de 5 000 ft en vue de régler le problème.
Après la rétractation des volets, le MCAS s’est activé 21 fois pendant les six dernières minutes du vol. Le commandant a partiellement réussi à le contrer mais sans avoir effectué la checklist non-normale d’emballement du stabilisateur (RUNAWAY STABILIZER), qui aurait arrêté l’activation du MCAS.
Une minute avant le crash, le commandant a donné les commandes au copilote, lequel a trimé plusieurs fois l’avion vers le haut mais pas suffisamment pour contrer le MCAS.
Les forces exercées sur le manche vers l’avant, résultant des pressions aérodynamiques sur le PHR et la gouverne de profondeur, ont dépassé 45 kg (100 Lbs), ce qui est plus que les 34 kg (75 Lbs) limite fixés par le règlement. La compagnie Lion Air n’avait pas pris l’option de l’alarme AOA DISAGREE.
Résumé du vol précédent (LNI 043, Denpasar – Djakarta)
La veille de l’accident, le même Boeing 737 Max (PK-LQP) avait fait un vol entre Denpasar et Djakarta sous le numéro LNI 043.
Lors de la visite prévol, le commandant de bord a été informé par le mécanicien du changement de la sonde AOA gauche (la sienne), responsable des alarmes de vitesse et d’altitude sur le vol précédent.
Le commandant, pilote en fonction (PF), a fait le briefing départ et a mentionné le remplacement de la sonde AOA gauche. Sur ce vol, il y avait également un copilote voyageant sur le strapontin (jump seat) du cockpit, qualifié sur 737 Max.
Après le décollage et la rentrée du train d’atterrissage, l’alarme de configuration au décollage s’est déclenchée, alors qu’elle ne le fait normalement qu’au sol. Puis, à 400 pieds de hauteur (120 m), le commandant a noté sur son écran primaire (PFD) l’alarme de désaccord de vitesse et du déclenchement du vibreur de manche, lequel est resté actif durant tout le vol, soit 96 minutes.
Le commandant a comparé les informations sur les deux PFD (celui du copilote et le sien), ainsi que celles de l’instrument de secours, et a déterminé que les siennes étaient erronées. Il a alors transféré les commandes au copilote.
Il a lancé et exécuté les items de mémoire de la procédure de vitesse peu fiable (AIRSPEED UNRELIABLE) et, lorsqu’il a baissé les yeux pour prendre le guide des checklists (QRH), le pilote sur le jump seat l’a informé que l’avion plongeait. Le commandant a ordonné au copilote de suivre son directeur de vol (F/D) en s’aidant du trim pour redresser l’appareil. Il avait remarqué que lorsque le copilote arrêtait de trimer l’avion, celui-ci se remettait à plonger.
Puis il a lancé un message d’urgence « PAN PAN ». Le contrôleur de Denpasar lui a demandé s’il voulait revenir à l’aéroport, et le commandant lui a répondu STANDBY.
Après que le MCAS s’est déclenché à trois reprises, le copilote a fait part de sa difficulté à maintenir l’avion à l’horizontal. Le commandant a considéré alors qu’il s’agissait d’un emballement du stabilisateur (RUNAWAY STABILIZER). Il a exécuté les items de mémoire et positionné les commutateurs STAB TRIM sur CUTOUT, ce qui a désactivé le MCAS.
Quelques minutes plus tard, le commandant a réenclenché les commutateurs STAB TRIM sur NORMAL, et le MCAS s’est réactivé. Il a remis les commutateurs sur CUTOUT, qui sont restés dans cette position jusqu’à la fin du vol.
Le commandant a informé le contrôleur de Denpasar que le problème avait été résolu et a demandé de poursuivre le vol au niveau de vol 290, en dessous de la zone d’espacement verticale réduite (RVSM).
Il a remarqué sur son PFD que la vitesse minimale et la vitesse maximale rouge et noir (ruban de poteau de barbier) avaient fusionné. Le commandant s’est alors concentré sur le PFD du copilote pendant le reste du vol. Il a pris conscience des difficultés de communication avec le bruit permanent du vibreur de manche.
À l’arrivée, après avoir parqué l’avion, le commandant a informé verbalement le mécanicien des problèmes survenus durant le vol et a noté sur le carnet de vol de l’aéronef (AFML) le déclenchement des alarmes de vitesse et d’altitude, ainsi que celle de pression différentielle sur les commandes de vol. Il n’a pas mentionné l’activation du vibreur de manche, car il croyait que l’activation était le résultat des problèmes mentionnés. Il n’a pas signalé non plus que les interrupteurs STAB TRIM avaient été positionnés sur CUTOUT pendant tout le vol et qu’il les avait remis en position NORMAL après l’atterrissage.
Le commandant a également fait un compte rendu de sécurité[9] électronique, Air Safety Report (ASR), à la compagnie soupçonnant le STS de mauvais fonctionnement. Il a enfin tenté de joindre le Duty Management Pilot pour lui signaler l’incident, mais il n’était pas joignable.
Le commandant a indiqué aux enquêteurs qu’il avait exécuté trois checklists non-normales, Airspeed Unreliable, Altitude Disagree et Runaway Stabilizer, et qu’aucune ne contenait l’instruction de prévoir d’atterrir à l’aéroport approprié le plus proche. Il a donc décidé de poursuivre le vol malgré les instruments de vol dégradés, volant sans pilote automatique ni automanette de poussée et l’activation continue du vibreur de manche.
Toutefois, il ne s’agit que des propos du commandant rapportés aux enquêteurs. Sa décision de poursuivre le vol est critiquable, et le rapport d’incident est incomplet et insuffisamment détaillé.
Résumé du vol Ethiopian Airlines ET-302 du 10 mars 2019
Le 10 mars 2019, le vol 302 d’Ethiopian Airlines, un Boeing 737-8 Max immatriculé ET-AVJ, s’est écrasé peu de temps après le décollage de l’aéroport d’Addis-Abeba en Éthiopie.
Le commandant de bord avait 29 ans et 8 122 heures de vol, dont 1 417 sur B737 et 103 sur B737 Max ; le copilote, 25 ans, 361 hdv, dont 207 sur B737 et 56 sur Max.
Le roulage au décollage s’est déroulé normalement, les moteurs se sont stabilisés à environ 94 % de leur puissance et le sont restés pendant tout le vol ; ce qui signifie que les manettes des gaz n’ont jamais été déplacées.
Moins d’une minute après le décollage, les valeurs des incidencemètres (AOA) sont passées de 74,5° en 3/4 de seconde pour la gauche, tandis que l’AOA droite n’a pas dépassée 15,3°. Le vibreur de manche gauche s’est activé et est resté actif jusqu’à la fin du vol.
À environ 400 ft (120 m) de hauteur au radioaltimètre, le commandant a engagé le pilote automatique (A/P), puis a commandé la rentrée des volets. Le copilote a demandé au contrôleur aérien de maintenir le cap de la piste et de pouvoir monter à 14 000 pieds[10]. Il a alors signalé qu’il avait des problèmes de commandes de vol.
Vers 1 000 ft, l’A/P s’est déconnecté et, 5 secondes plus tard, le MCAS s’est activé trois fois, suivi de plusieurs alarmes du système de proximité du sol (GPWS) « Ne pas plonger » (DON’T SINK).
Le commandant a demandé au copilote de l’aider à maintenir l’avion, et tandis que ce dernier demandait à deux reprises « STAB TRIM CUTOUT », le commandant a mis les interrupteurs STAB TRIM sur CUTOUT. Puis il a ordonné au copilote de tourner la roue du trim manuel, lequel lui a répondu qu’elle ne fonctionnait pas (elle était bloquée).
Enfin le commandant a remis les interrupteurs STAB TRIM sur NORMAL certainement pour pouvoir réutiliser le trim électrique, ce qui a activé le MCAS une nouvelle fois.
Bien que les pilotes aient tiré sur leur manche avec un effort allant jusqu’à 180 livres (82 kg), l’angle de piqué de l’avion a continué d’augmenter. À la fin de l’enregistrement, la vitesse indiquée atteignait 500 nœuds (> 900 km/h).
3/ Mesures correctives. Simulations des deux vols
Mesures correctives
Après le premier accident du Lion Air, Boeing a publié un bulletin du manuel d’exploitation (OMB), le 6 novembre 2018, indiquant aux exploitants les procédures existantes pour remédier au cas d’entrée erronée d’une sonde AOA.
Le 7 novembre, la FAA a publié une consigne de navigabilité d’urgence exigeant la révision des limitations de certificat et des procédures d’exploitation du manuel de vol de l’avion (AFM), afin de fournir aux équipages de conduite des procédures de rattrapage d’emballement du PHR.
Après le deuxième accident, Boeing a produit une mise à jour du logiciel du MCAS avec des couches de protection supplémentaires au cas où les sondes AOA fourniraient des informations erronées. Le logiciel devra être validé par des tests de certification en vol avec des pilotes de la FAA.
Les couches de protection supplémentaires sont les suivantes :
le logiciel compare les entrées des deux sondes AOA. Si elles sont en désaccord de 5,5 degrés ou plus, le MCAS ne s’active pas ;
une alarme AOA DISAGREE sur l’écran PFD alertera les pilotes et fournira une information supplémentaire pour mieux comprendre la situation. Elle ne sera plus en option ;
si le MCAS s’active, il ne se déclenchera qu’une seule fois par événement d’AOA élevé, et non plus continuellement ;
le MCAS ne pourra pas surpasser les efforts des pilotes ;
les pilotes déjà qualifiés sur 737 NG devront suivre une formation sur les différences entre NG et Max et faire une séance au simulateur, notamment pour s’entraîner aux pannes du MCAS ;
il y aura un indicateur de la valeur de l’incidence AOA sur chaque PFD, cela à titre d’information supplémentaire. Cependant, aucune action ou procédure ne nécessitera de connaître l’incidence[11] ou l’angle d’attaque de l’avion en vol.
Réactions de certains spécialistes de l’aéronautique Au lendemain de l’accident du Lion Air, les responsables des syndicats des pilotes d’American et de Southwest Airlines ont critiqué Boeing pour n’avoir fourni aucune information sur le MCAS ni sur son éventuel dysfonctionnement dans les manuels du 737 Max. Chez United Airlines, compagnie qui exploite 14 B737 Max, 23 000 heures de vol avaient été effectuées sur l’avion sans aucun problème technique ou ayant affecté les performances du Max. Même constat chez Southwest Airlines avec 34 B737 Max en opération. Chinar Shah, instructrice sur 737 Max chez Jet Airways, pense qu’un cours d’introduction sur le MCAS aurait été utile, mais elle comprend la logique de Boeing considérant les besoins en termes de connaissances du MCAS de « Nice to know » et non de « Need to know ». Car les actions requises sont les mêmes que pour l’emballement du stabilisateur, qui est enseigné dès le premier jour. Elle explique : « Vous faites toujours les mêmes items de mémoire... vous suivez toujours la même checklist. […] En tant qu’industrie, nous sommes tous devenus excessivement dépendants de l’automatisation et de la technologie. La perception répandue est que l’automatisation du cockpit est là pour faire le travail pour vous, plutôt que pour vous aider. Si l’automatisation échoue, et nous savons que c’est parfois le cas, les pilotes doivent avoir l’expérience, la formation et les capacités techniques pour prendre instantanément le relais et piloter l’avion en toute sécurité. […] Les pilotes nouvellement embauchés en fonction de leurs compétences ont eu 11 ou 12 séances de simulateur, contre environ 14 auparavant. Pendant ce temps, les taux d’échecs des pilotes ont considérablement diminué. Des transporteurs asiatiques font face à une pression identique pour former davantage de pilotes à mesure que les flottes se développent et met en évidence une pénurie mondiale de pilotes. » D’autres initiés sont préoccupés par la licence multipilote (MPL) de l’OACI. La MPL ne nécessite pas de temps de vol minimum. Les titulaires n’ont besoin que d’une licence professionnelle et de 240 heures passées dans un avion ou simulateur. La MPL permet aux pilotes débutants de s’asseoir sur le siège droit d’un avion de ligne. Mais cela est insuffisant pour les préparer aux situations du monde réel. En comparaison, la réglementation américaine exige que les pilotes de transport aient 1 500 heures de vol, à quelques exceptions près. Elle est controversée, car les compagnies aériennes régionales américaines ont aggravé la pénurie de pilotes sans améliorer la qualité de leurs qualifications. John Goglia, ancien membre du NTSB américain, a expliqué que l’équipage du Lion Air a montré d’importants problèmes de connaissances et de discipline. Les pilotes qualifiés devraient être en mesure de terminer rapidement les items de mémoire. De telles lacunes, non corrigées, disqualifieraient les pilotes aux États-Unis. Andrew Kornecki, ancien professeur à l’université d’Embry-Riddle Aeronautical en Floride, qui a étudié les systèmes de redondance dans les Airbus et Boeing, a déclaré que le fonctionnement du système automatisé avec un ou deux capteurs conviendrait si tous les pilotes étaient suffisamment formés pour évaluer et gérer l’avion en cas de problème. Mais il a ajouté que s’il devait concevoir le système à partir de zéro, il mettrait l’accent sur la formation tout en construisant l’avion avec trois capteurs. Des données publiées au Parlement indonésien montrent que les pilotes ont tiré désespérément le manche pour redresser l’avion. Sur les modèles 737 précédents et d’autres avions Boeing, un pilote qui tire fort sur le manche désactiverait la commande automatique du STS. Afin de faire fonctionner le MCAS, Boeing a supprimé cette possibilité. Peter Lemme, un ancien ingénieur des commandes de vol chez Boeing qui est maintenant consultant en avionique et en communications satellitaires, a déclaré que, parce que le MCAS se réinitialisait chaque fois qu’il était utilisé, il avait le plein pouvoir de déplacer le PHR jusqu’au maximum de son débattement autorisé. Il considère que le MCAS a de ce fait une autorité illimitée. Précisant que personne n’aurait dû accepter cela ; ce n’était pas nécessaire. Lemme a souligné que pratiquement tous les équipements d’un avion commercial, y compris les différents capteurs, sont suffisamment fiables pour répondre à l’exigence de défaillance majeure, à savoir que la probabilité d’une défaillance doit être inférieure à un sur 100 000 cas. De tels systèmes sont donc généralement autorisés en s’appuyant sur un seul capteur. Mais lorsque les conséquences sont jugées plus graves, avec une exigence de défaillance dangereuse, nécessitant une probabilité plus stricte d’un sur 10 millions, un système doit avoir au moins deux canaux d’entrée distincts. Face aux déclenchements intempestifs et répétés du MCAS, la procédure d’urgence a échoué de manière désastreuse. « Les forces aérodynamiques sur l’ensemble PHR et gouverne de profondeur ont pu être trop importantes à contrôler, les pilotes ne pouvaient plus faire tourner la roue du trim manuelle. Finalement, plus les avions sont sophistiqués, moins il y a de procédures pertinentes pour les aider dans des situations critiques », ajoute Lemme. Il fait également référence à une ancienne procédure de pilotage décrite dans le Pilot Training Manual du Boeing 737-200 de 1982, publiée sur un forum de pilotes en ligne, le « Roller Coaster » ou « montagnes russes[12] », aussi appelée « yo-yo procédure » qui décrit : « Si une compensation à cabrer est requise, soulevez le nez bien au-dessus de l’horizon avec la commande de profondeur. Relâchez ensuite lentement la pression sur le manche et trimez manuellement. Laissez le nez redescendre en dessous de l’horizon pendant que vous utilisez le trim. Répétez cette séquence jusqu’à ce que l’avion soit correctement trimé. » Un extrait de cette procédure est paru dans le magazine Airliner de Boeing de mai 1961, qui décrit une technique similaire sur le 707, le premier jet de Boeing. D’ailleurs, la roue du trim du 737 n’est-elle pas la même que celle du 707 ? Tout comme le nez de l’avion qui est identique sur les deux modèles. John Cox, consultant en sécurité aérienne, directeur général de Safety Operating Systems et ancien haut responsable de la sécurité du syndicat Air Line Pilots Association, a déclaré qu’il avait été formé à la technique des montagnes russes dans les années 1980 pour faire face au risque de survitesse en piqué notamment, mais que, depuis le 737-300 (1984), le produit est devenu si fiable qu’il n’y a pas eu d’accident de ce type. Il est possible que les pilotes éthiopiens, en alerte à cause du risque de déclenchement intempestif du MCAS après l’accident de Lion Air, aient coupé directement les interrupteurs du trim avant même d’essayer de le contrer avec le trim électrique en fonctionnement. Selon Cox, la procédure proposée par Boeing après l’accident de Lion Air pour assurer la sécurité des Max est désormais terriblement inadéquate et pourrait avoir condamné le 737 d’Ethiopian Airlines. Réactions au niveau de la certification Les directives de la FAA indiquent que, dans l’hypothèse où une urgence survienne, le pilote doit réagir dans les trois secondes pour un avion volant en pilotage automatique, et en une seconde si l’avion est piloté manuellement. Or, ces valeurs semblent insuffisantes puisque la non-réaction des pilotes au-delà de dix secondes interdit la récupération de l’avion après le déclenchement de MCAS. Or, pour comprendre la situation et contrer le déroulement du trim, cela prend plutôt sept secondes. Après les deux crashs, Boeing a sollicité la création d’un comité d’experts internationaux, le JATR[13], qui a trouvé la technologie sans précédent : « Si le personnel technique de la FAA avait été pleinement au courant des détails de la fonction du MCAS, nous pensons que l’agence européenne EASA aurait probablement eu besoin d’un document plus consistant pour son évaluation et aurait certainement exigé plus de protections. » En septembre 2019, dans la mise à niveau proposée par Boeing pour le Max, l'AESA a déclaré qu'elle préférait que les capteurs AOA soient à triple redondance plutôt que double (comme pour l’A320). Mais l'installation d'une troisième sonde coûtera cher et prendra du temps. S'il est mandaté, le changement, pourrait être étendu à des milliers d'anciens modèles 737 en service dans le monde. L’administration Transports Canada a demandé que Boeing développe un moyen pour les pilotes de désengager le stick-shaker, le vibreur du manche qui a pollué continuellement les deux vols créant une puissante distraction en milieu d’urgence. Des experts canadiens sont également inquiets que les charges sur la vis du vérin du PHR aient significativement augmenté depuis la création du 737. La réglementation exige que les commandes soient conçues pour supporter 125 % des charges maximales prévisibles. Ils ont fait part de leurs préoccupations concernant la surchauffe possible des moteurs du trim sur la vis sans fin. Simulations de déclenchements intempestifs du MCAS En juin 2019, trois pilotes d’essai de la FAA ont effectué des tests de déclenchements intempestifs du MCAS. Ils ont estimé que cela avait pris trop de temps et qu’un pilote moins attentif, pris par surprise, aurait échoué à reprendre le contrôle de l’avion. En effet, selon une autre source, le pilote, représentant un commandant de bord d’une compagnie américaine typique, n’a pas récupéré l’avion. Les deux autres, ex-militaires, ont réussi non sans difficultés. Plusieurs autres pilotes ont simulé le déclenchement intempestif du MCAS au simulateur Dennis Tajer, un capitaine d’American Airlines et porte-parole de l’Allied Pilots Association, a reproduit cette situation, provoquant délibérément un piqué à grande vitesse, comme le MCAS, sans dépasser toutefois la vitesse maximale autorisée. Il a pu déplacer la roue du trim de quelques pouces mais pas suffisamment. Alors, avec son copilote, ils ont pu reprendre le contrôle en utilisant l’ancienne technique des montagnes russes. Un commandant suédois, instructeur et expert sur 737, qui héberge Mentour Pilot sur YouTube, commente en détails les particularités de pilotage d’un avion de ligne. Il a abordé les difficultés du 737 Max, mais pour se protéger, il a retiré son nom et celui de sa compagnie du site. Lors d’un test sur simulateur 737 effectué avec un autre pilote européen, ils ont simulé un vol lorsque le MCAS s’active, en programmant des pannes de désaccord de vitesse et d’altitude, puis ils sont intervenus en suivant les procédures et checklists de Boeing. Malgré cela, la vitesse a continué d’augmenter jusqu’à bloquer le trim et sa roue manuelle. L’instructeur suédois a fait tout son possible pour retenir le manche en le bloquant avec ses bras autour, tandis que le copilote a seulement réussi à bouger la roue du trim. Si cela avait été un vrai vol, les deux pilotes 737, pourtant très compétents, auraient certainement échoué. Au début de cette vidéo impressionnante, le pilote suédois dit qu’il l’a affiché à la fois comme une alerte de sécurité mais aussi pour couper court aux propos de certains pilotes, en particulier ceux de syndicats américains affirmant que les équipages indonésiens et éthiopiens étaient incompétents. Il a depuis retiré la vidéo, puisque que l’enquête sur le crash de l’Ethiopian Airlines est toujours en cours. Dans un éditorial du New York Times Magazine[14] (octobre 2019), le commandant Sullenberger, dit « Sully », le pilote de l’amerrissage sur l’Hudson en 2009, a sévèrement critiqué Boeing et la FAA pour avoir autorisé le système MCAS qui « n’aurait jamais dû être approuvé. […] Ces procédures d’urgence ne se sont pas présentées comme un problème classique d’emballement de trim, mais correspondent à des situations ambiguës, de vitesse et d’altitude non fiables, masquant le MCAS. » Sully est l’un des rares à avoir piloté un simulateur du Boeing 737 Max de niveau D, le plus élevé, reproduisant au plus près les deux vols accidentés. Il s’en est pris à ceux qui blâment les pilotes, qualifiant le MCAS de piège mortel. _____________________________ [1]. Depuis sa conception originelle, le 737 Max est devenu 40 % plus long, 61 % plus lourd, et ses moteurs deux fois plus puissants. [2]. Ou Wind-up turn (NASA IS-97/08-DFRC-WUT). [3]. Petites aubes métalliques soudées sur les ailes. [4]. Programme commencé en 2006 avec un premier vol en 2015. [5]. L’US Air Force n’a pas observé d’activation inopinée du MCAS sur le KC-46 au cours des tests similaires à ceux des deux crashs du Max. Lors de la compétition exacerbée pour l’obtention du marché du siècle des ravitailleurs en vol KC-X, Boeing a été dénigré par la presse pour avoir bricolé un « Franken-tanker » pour contrer l’A330 (1994). AIR FORCE Magazine, 14 septembre 2009. [6]. Collins Aerospace, anciennement Rockwell Collins, fournit aussi les écrans (PFD, ND) du poste de pilotage. La société mère est United Technologies, qui possède aussi Rosemount Aerospace, laquelle produit les sondes d’incidence du 737 Max. [7]. Cette option payante n’a pas été sélectionnée par Lion Air ni par la plupart des compagnies aériennes, sauf par Air Canada, American Airlines et Westjet. Mais Air Canada et American Airlines ont acheté, en plus, l’indicateur de la sonde « Angle Of Attack » (AOA). [8]. Airspeed indication system description. The B787 aircraft incorporated a pitot-static air-data reference system (ADIRS), consisting of three independent pitot-static sensors. The sensed values from all three systems were input to a fault detection system that provided an airspeed value to the primary flight displays. This value was termed the voted airspeed. The B787 also computed an angle of attack, synthetic airspeed (AOA speed) value that was available to the flight crew. This speed was derived from angle of attack and inertial data. Significant disparities between voted airspeed and AOA speed alerted the crew via AIRSPEED UNRELIABLE and the autopilot disconnecting. If voted airspeed dropped to a specific threshold level, a reversion to a secondary flight control occurred. In secondary mode, the following functions of the flight control system were no longer available: • Autopilot • Auto speedbrakes • Envelope protection • Gust suppression • Pitch compensation • Roll/yaw asymmetry compensation • Tail strike protection Elevator and rudder inputs are also more sensitive at some airspeeds, and yaw damping is degraded. For the conditions of this event, secondary mode is a latched condition and once activated, normal mode can only be re-instated on the ground. [9]. “Airspeed unreliable and ALT Disagree shown after takeoff, STS (Speed Trim System) also running to the wrong direction, suspected because of speed difference, identified that CAPT instrument was unreliable and handover control to FO. Continue NNC of Airspeed Unreliable and ALT Disagree. Decide to continue flying to CGK at FL280, landed safely runway 25L.”[Même remarque qu’en page 11.] [10]. L’aéroport est à une altitude de 7 650 ft (2 330 m). L’altitude de 14 000 ft correspond à une hauteur au-dessus de l’aéroport de 6 350 ft (1 940 m). [11]. Certainement, mais cela apporte un confort supplémentaire dans la gestion du vol. Pour avoir volé sur A320 avec des incidencemètres, j’avais toujours un œil qui traînait dessus, particulièrement lors des changements de configuration des volets. Par exemple, le passage des volets de 1 à 2 ramenait l’incidence d’environ 5° à 2°. L’interception du localizer d’un ILS pouvait faire monter l’incidence (volets 1) jusqu’à 7-8° par le virage, à cela pouvait s’ajouter de la turbulence… [12]. Recovery from a Severe Out of Trim: Accelerate or decelerate the airplane to an in-trim airspeed. If a recovery must be initiated from an extreme nose-down out-of-trim requiring a high pull force, an increase in airspeed may relieve enough of the elevator load and control displacement to permit manual trimming. Do not exceed speed limitation. If a recovery must be initiated from an extreme nose-up out-of-trim requiring a high push force, a decrease in airspeed may relieve enough of the elevator load and control displacement to permit manual trimming. It should be noted that the relationship between airspeed change and trim change do not remain constant. As airspeed is increased, trim change requirements decrease. In an extreme nose-up out-of-trim condition, requiring almost full forward column, decelerate, extend the flaps and/or reduce thrust to a minimum practical setting consistent with flight conditions until elevator control is established. Do not decrease airspeed below the minimum maneuvering speed for the flap configuration. A bank of 30 degrees or more will relieve some force on the control column. This, combined with flap extension and reduced speed, should permit easier manual trimming. If other methods fail to relieve the elevator load and control column force, use the "roller coaster" technique. If nose-up trim is required, raise the nose well above the horizon with elevator control. Then slowly relax the control column pressure and manually trim nose-up. Allow the nose to drop below the horizon while trimming. Repeat this sequence until the airplane is trim. If nose-down trim is required, slowing down and extending the flaps will account for a large degree of nose-up pitch. If this does not allow manual trimming then the reverse "roller coaster" can be performed to permit manual trimming. That is called aerodynamically relieving air-loads and was sometimes called the Yo-Yo maneuver. Yet that advice was removed from the Boeing 737-300 FCTM and subsequent variants of the 737 series. [13]. Joint Authorities Technical Review, présidé par Christopher Hart, l’ancien président du National Transportation Safety Board (NTSB), réunit des experts de la FAA, de la NASA et de neuf autres autorités de régulation du trafic aérien (l’Agence européenne de la sécurité aérienne et des représentants de l’Australie, du Brésil, du Canada, de la Chine, du Japon, de l’Indonésie, de Singapour et des Émirats arabes unis). [14] Letter to the Editor New York Times Magazine, Published in print on October 13, 2019. In “What Really Brought Down the Boeing 737 MAX?” William Langewiesche draws the conclusion that the pilots are primarily to blame for the fatal crashes of Lion Air 610 and Ethiopian 302. In resurrecting this age-old aviation canard, Langewiesche minimizes the fatal design flaws and certification failures that precipitated those tragedies, and still pose a threat to the flying public. I have long stated, as he does note, that pilots must be capable of absolute mastery of the aircraft and the situation at all times, a concept pilots call airmanship. Inadequate pilot training and insufficient pilot experience are problems worldwide, but they do not excuse the fatally flawed design of the Maneuvering Characteristics Augmentation System (MCAS) that was a death trap. As one of the few pilots who have lived to tell about being in the left seat of an airliner when things went horribly wrong, with seconds to react, I know a thing or two about overcoming an unimagined crisis. I am also one of the few who have flown a Boeing 737 MAX Level D full motion simulator, replicating both accident flights multiple times. I know firsthand the challenges the pilots on the doomed accident flights faced, and how wrong it is to blame them for not being able to compensate for such a pernicious and deadly design. These emergencies did not present as a classic runaway stabilizer problem, but initially as ambiguous unreliable airspeed and altitude situations, masking MCAS. The MCAS design should never have been approved, not by Boeing, and not by the Federal Aviation Administration (FAA). The National Transportation Safety Board has found that Boeing made faulty assumptions both about the capability of the aircraft design to withstand damage or failure, and the level of human performance possible once the failures began to cascade. Where Boeing failed, the Federal Aviation Administration (FAA) should have stepped in to regulate but it failed to do so. Lessons from accidents are bought in blood and we must seek all the answers to prevent the next one. We need to fix all the flaws in the current system — corporate governance, regulatory oversight, aircraft maintenance, and yes, pilot training and experience. Only then can we ensure the safety of everyone who flies. Capt. “Sully” Sullenberger
Certification du B737 Max (4/6)
Après l’échec patent de la mise en ligne du Boeing 737 Max, la certification de l’avion a été sérieusement mise en cause.
Certification d’un aéronef : un processus long et complexe (faa.gov)
La FAA américaine délivre des certificats de navigabilité pour chaque modèle d’aéronef. C’est un document qui lui accorde l'autorisation d'être exploité en toute sécurité. Il peut être révoqué ou suspendu si l'aéronef ne répond plus à sa conception prévue et/ou s’il n'est plus en état de voler. Le processus de certification accompagne les études et essais tout au long du programme de développement. Cela peut prendre entre 5 et 9 ans pour un nouvel appareil, et 3 à 5 ans pour un modifié comme le Boeing 737 Max[1] dérivé du 737 NG.
Dans le cadre du processus de certification, la FAA doit :
Examiner la conception et les méthodes de réalisation utilisées pour s’assurer que l'avion sera conforme aux normes édictées,
Effectuer des tests au sol et en vol pour vérifier que l'avion répond bien à ces normes,
Définir le programme de maintenance de l’avion pour garantir le maintien de ses performances,
Collaborer avec d’autres autorités pour faciliter la certification à l’étranger.
Le service de certification des aéronefs de la FAA comprend plus de 1 300 ingénieurs, scientifiques, inspecteurs, pilotes d'essai et autres experts. Ils sont responsables de la surveillance de la conception, production, certification de navigabilité et des programmes de navigabilité pour tous les produits de l'aviation civile américaine et ceux d'importations. La FAA collabore avec l'Organisation de l'aviation civile internationale (OACI) et d'autres autorités de l'aviation civile pour maintenir et faire progresser la sécurité du transport aérien international.
Seuls les inspecteurs en sécurité aérienne de la FAA et les représentants autorisés de l'administrateur, c'est-à-dire les personnes désignées, sont autorisés à délivrer un certificat de navigabilité.
La FAA s’est défendu de n'avoir jamais autorisé les entreprises à s’auto contrôler ou à certifier elles-mêmes leurs appareils. Sa délégation étend le processus de certification à d'autres professionnels reconnus, multipliant ainsi l'expertise technique axée sur la garantie d'un avion conforme aux normes. L'agence reste directement impliquée dans les tests et la certification de toutes nouvelles fonctionnalités et technologies.
Pourtant la FAA peut déléguer à une personne ou une organisation qualifiée la responsabilité à mener certaines activités en son nom. Le Congrès lui avait ordonné de rationaliser le processus de certification, y compris par une délégation accrue aux Autorisations de Désignation Organisationnelle (ODA).
Les membres de l'ODA peuvent être autorisés à délivrer des certificats de navigabilité, après avoir inspecté l'aéronef et vérifié ses performances qui doivent répondre aux exigences de la FAA.
Le recours à la délégation ODA est un élément essentiel du système de certification depuis les années 1920, il est similaire aux programmes utilisés en Europe et dans d'autres pays. Il aide les États-Unis à maintenir des règles du jeu économique équitables avec leurs concurrents étrangers.
En effet, la FAA n’aurait pas les moyens techniques et humains pour tout contrôler et vérifier, d’autant que les systèmes avion évoluent rapidement, notamment les mises à jour de logiciels, que seuls les ingénieurs et techniciens travaillant dans l’entreprise peuvent effectuer et ont seuls les compétences, les plus en pointe, pour répondre aux exigences de certification. Autrement dit, si la FAA débauche un ingénieur à la pointe dans une discipline, il ne le sera plus quelques années plus tard.
Authorized Representatives (AR)
Jusqu’en 2004, la FAA nommait directement ses représentants techniques, « Authorized Representatives » (AR) qui pouvaient exercer leurs fonctions au sein d'une entreprise et/ou être consultants externes.
Les AR entreprise étaient employés et payés par elle, mais ils rendaient compte directement de leur travail à la FAA. Chaque année un audit sur leurs activités permettait le renouvellement de leur mission l'année suivante. Ils recevaient une prime de la FAA.
Les AR approuvaient ou recommandaient les données fournies des sujets techniques sur lesquels ils travaillaient et s'assurer qu’elles étaient conformes aux normes de navigabilité en vigueur.
Les AR devaient être titulaires d'un diplôme d'ingénieur ou équivalent, posséder des connaissances et une expérience techniques, et répondre aux exigences de qualification publiées par la FAA. Ils étaient spécialisés dans différentes disciplines : analyste de vol, pilote d'essai, structure avion, propulseur, systèmes et équipements, etc.
Lorsque l’entreprise Boeing désigne elle-même les représentants de la FAA
Le passage des AR aux DER
2004 fut un tournant dans le processus de certification de la FAA. Une nouvelle autorisation de désignation d'organisation (ODA) fut adoptée pour remplacer les AR par des « Designated Engineering Representatives » (DER).
À partir de cette date, les nouveaux représentants (de la FAA) furent nommés par les responsables de Boeing à qui ils devaient rendre compte de leur travail sans plus passer par la FAA. L’audite annuel pour le maintien à leur poste ne dépendait plus que du bon vouloir de l'entreprise.
Les DER se sont ainsi retrouvés sous le joug de Boeing pour fournir les dossiers de certification à la FAA, sans pourvoir être soutenu par elle, puisque Boeing peut intervenir directement sur le processus de certification en mettant à l’écart ceux qui ne seraient pas suffisamment coopératifs. Un ancien DER ayant travaillait sur le Max parle du « système (de la FAA) absolument brisé ».
La sénatrice Maria Cantwell D-Wash, championne du soutien à Boeing et des emplois qu'elle apporte à l'État de Washington, avait fait passer juste avant les deux crashs du Max un amendement « Reauthorization Act », qui éliminait les derniers obstacles de la FAA, pour que l’ensemble des travaux de certification reviennent entièrement à Boeing.
Les partisans du libéralisme absolu, basé sur la confiance et le sens des responsabilités des entreprises, excluant tout interventionnisme étatique, a ici atteint son paroxysme. Plus qu’une erreur de jugement, c’est une faute, une aberration pour maintenir un système à un niveau de sécurité élevé. Boeing devint ainsi juge et partie, et la FAA fut discrédité après les deux accidents du 737 Max par une remise en cause profonde de son autorité.
Une copie du manuel ODA de Boeing, un document interne, obtenu par The Seattle Times, a fait part des préoccupations des DER concernant leur charge de travail et la pression exercée par les gestionnaires de l’entreprise, avec comme obsession l'approbation dans les délais de leur travail. Si nécessaire les DER faisaient des demandes de dérogations à la FAA pour réduire les tests, quitte à modifier le contenu du programme officiel.
Exemple de demande de dérogation, celui du EICAS (Engine Indicating and Crew Alerting System)
En 2014, Boeing a convaincu la FAA d'assouplir les exigences en matière de sécurité pour ne pas intégrer l’EICAS, un système d’alarme pour les pilotes qui gère les pannes de l’avion et qui propose les checklists électroniques appropriées[2]. Système que Mike Carriker, le chef pilote pour le développement produits de l’époque, avait proposé d’installer sur le Max.
Le 737 est peut-être le seul avion en production qui ne dispose pas d’un système d’alarme moderne. En cas de panne, la checklist est à chercher dans un répertoire en papier situé dans un vide poche. Ce principe de travail date de la première certifiée en 1967.
Pourtant les règles de la FAA pour re-certifier un avion déjà existant, précisent les critères à prendre en compte pour les nouveaux systèmes dans la conception de l'avion, ainsi que l'expérience acquise avec l’ancien modèle et les mesures prises à la suite d'accidents rencontrés.
Pour convaincre la FAA, Boeing a fait valoir le record de fiabilité du 737 NG au cours des 10 années précédentes le lancement du Max[3] avec son système d'alarme qui compte quelque 6 400 exemplaires volant dans le monde actuellement. Autre argument, le Max ne représentera pas la majorité de la flotte mondiale de 737 en 2030. Ce qui signifie que les compagnies aériennes pourront, plus aisément, continuer à exploiter leurs flottes mixtes de 737 avec le même système d’alarme.
Boeing s'est aussi appuyé sur une dérogation de la FAA, dite du « produit modifié », qui pour satisfaire les dernières exigences en matière de sécurité, serait difficile à mettre en œuvre, peu pratique avec une faible amélioration du niveau de sécurité et surtout coûterait cher à produire.
En effet, le constructeur a estimé que pour cette importante modification de conception, la formation et documentation pour assurer la pleine et totale conformité du 737 Max avec les modèles précédents, serait supérieur à 10 milliards de dollars de 2013. Autrement dit, l’équivalent d’un avion entièrement nouveau et rendrait le Max moins attrayant à acheter.
Enfin, pour faire face aux trois accidents mortels de la décennie écoulée où le système d’alarme a été mis en cause, Boeing a apporté les modifications suivantes :
2005, Helios Airways (Athènes, 121 morts), après une intervention de la maintenance, le système de pressurisation n’a pas été reconfiguré correctement dans le cockpit avant le départ. L’équipage n’a pas su identifier le problème de dépressurisation lente (l’avion ne se pressurisant pas) avant de tomber en hypoxie. Boeing a ajouté une alarme visuelle à celle sonore de dépressurisation pour ne pas la confondre les autres alarmes.
2008, Aeroflot-Nord, (Russie, 88 morts), le pilote s’est retrouvé en désorientation spatiale en volant manuellement la nuit à travers les nuages et lorsque l'avion s'est incliné dangereusement ce qui déclencha l’alarme vocale « BANK ANGLE », le pilote a tourné le manche dans le mauvais sens, augmentant le roulis jusqu’à ce que l’avion se retourne et s’écrase. Sur recommandation de l’Interstate Aviation Committee Russe, Boeing a ajouté une alarme sonore qui annonce « Rouler à droite ou à gauche » en indiquant au pilote, le sens à prendre sur son écran. Le Roll Command Alerting Systems, (RCAS[4]), fut ainsi proposé en option sur NG, mais est en série sur Max.
2009, Turkish Airlines (Amsterdam, 9 morts[5]), réduction inopinée des moteurs en approche à cause d’une panne de sonde de radioaltimètre, l'avion s'est écrasé avant la piste. En effet, une seule sonde fournissait les informations à l'automanette des moteurs. Les pilotes, occupés à terminer des checklists et à la recherche de la piste par mauvaise visibilité, n'ont pas remarqué l’alarme visuelle basse vitesse. Boeing a ajouté une alarme sonore « LOW SPEED ».
Le document ci-joint (The Seattle Times) que Boeing a soumis à la FAA supprime quatre clauses distinctes qui sont pourtant des exigences pour tout nouvel avion produit aujourd'hui.
Un précédant aux accidents du Max, celui d’un B 737 de la Turkish Airlines en 2009
Faisant suite à l’article du New York Times, du 5/1/2020, sur le B737 Max (It’s Not Just Software: New Safety Risks Under Scrutiny on Boeing’s 737 Max), qui a fait polémique en relançant le débat sur les « automatismes pièges ».
En effet, l’article fait référence à l’accident d’un B737-800 NG de la Turkish Airlines (TK1951) précédemment cité. Comme pour le Max, il y avait deux sondes indépendantes, mais une seule utilisée. Le NYT reprocha à Boeing de ne pas avoir appris de l’accident de la Turkish Airlines lors de l’introduction du MCAS sur le 737 Max et de ne pas avoir suffisamment informé les pilotes sur le fonctionnement de ses automatismes.
Dans un communiqué, Boeing souligna les différences entre l'accident de 2009 et ceux du Max. « Ces accidents ont impliqué des systèmes, entrées de données et phases de vol fondamentalement différentes. » La FAA fit de même en soulignant « l'ensemble unique de circonstances entourant chaque accident. Le fait d'établir des liens larges entre les accidents impliquant différents types d'urgences simplifie à outrance ce qui est, par définition, une science complexe. »
Le Dutch Safety Board (DSB), le BEA hollandais, fut en charge de l’analyse et de la publication du rapport final de l’accident de la Turkish Airlines. Sous la pression des américains (FAA, NTSB et Boeing) qui faisait cause commune pour défendre leur industrie, le DSB a dû minimiser la responsabilité de Boeing et laisser charger celle des pilotes par les américains. En réduisant la gravité des conclusions du rapport, les américains ont sauvegardé la réputation de Boeing tout en minimisant les modifications à apporter au 737 NG.
Le lobbying américains a été jusqu’à refuser que soit joint au rapport final, un complément d’analyse sur les facteurs humains des pilotes. Pourtant cette analyse faite par le Professeur Sidney Dekker de l’université de Lund aux Pays Bas, qui jouit pourtant d’une excellente réputation, apportait un éclairage différent sur les causes de l’accident.
Finalement, après la parution de l’article du NYT, le DSB publia l’analyse de Dekker en février 2020. L'agence néerlandaise avait considéré l'étude de Dekker comme confidentielle, et les parties jugées pertinentes ont été utilisées pour la rédaction du rapport final.
L’analyse du Dr Dekker[6] était particulièrement pertinente car en 2009, il portait une double casquette, celle de professeur en facteurs humains et, à temps partiel, de copilote sur B737.
Dekker parle « d’événement sentinelle » qui n'a pas été pris en compte par Boeing en concevant le fonctionnement de l'automanette en n’utilisant qu’une seule des deux sondes radioaltimètres. Ce choix a laissé « une voie de défaillance unique en place », augmentant le risque qu'une seule erreur puisse conduire à un accident.
David Woods, professeur à l'université d’Ohio State, qui a été conseiller technique auprès de la FAA, a déclaré que le crash de la Turkish Airlines aurait dû réveiller tout le monde, car certaines similitudes entre cet accident et ceux des Max sont particulièrement frappantes.
Boeing avait conservé l’hypothèse que l'équipage (bien formé et vigilant) reconnaîtrait suffisamment tôt, tout problème mettant l'avion en difficulté.
Pourtant, faisant suite à une série d’incidents avec les radiosondes, avant le crash de Turkish Airlines, Boeing avait déjà développé un correctif du logiciel afin qu’il compare en permanence les informations des deux sondes. Ce correctif fut intégré aux nouveaux avions à partir de 2006, mais pas pour les appareils plus anciens, dont celui du TK1951. Après l'accident, la FAA exigea de Boeing une mise à jour du logiciel pour les 737 NG construit avant 2006 et obligea les compagnies aériennes qui en avaient dans leur flotte à l'installer.
Le Dr Dekker a montré que le manque d’informations sur le fonctionnement de l’automanette dans le manuel d’utilisation de l’avion avait pénalisé les pilotes dans leur diagnostic. Sans cet accident, et comme pour ceux du Max, Boeing s’est montré avare d’informations, qui furent mises au jour après ces tragédies.
Erik van der Lely, un pilote instructeur sur 737 NG qui a travaillé avec le Dr Dekker, a déclaré au NYT qu'il ne connaissait pas la particularité de l’utilisation d’une seule sonde sur deux (celle du commandant) pour le fonctionnement de l’automanette et « Je suis à peu près sûr qu'aucun des pilotes de 737 ne le savait. »
« Il est vraiment facile de blâmer les pilotes morts et de dire que cela n'a rien à voir avec notre système mal conçu », a déclaré le Dr Shawn Pruchnicki de l'Air Line Pilots Association, qui enseigne à l'Ohio State. Pruchnicki, qui a étudié auprès du Dr Dekker, avait participé à de nombreuses enquêtes dans lesquelles les experts en facteurs humains avaient été largement ignorés. « Cela devient frustrant parce que nous continuons d'avoir les mêmes types d'accidents ».
Pour Dekker, même un avion aussi éprouvé que le 737 contient encore des « pièges de fous ». Après la publication du rapport d’accident, une des recommandations du constructeur (N°14) consistait à exhorter les pilotes à être toujours plus attentif et réactif en pilotant, autrement dit, à se méfier de leur avion. Le Pr Dekker note que cela ne correspond pas aux décennies de facteurs humains et de recherche en automatisation.
De plus en plus de pilotes ont appris à faire fonctionner le système, plutôt que de savoir comment fonctionne le système. Ce changement de formation se situe en 1965, lorsque TWA a pris livraison de ses premiers DC-9[7], son premier jet avec un équipage de conduite à deux pilotes, plutôt qu’à trois ou quatre membres. À cette occasion, TWA avait totalement revu sa philosophie, ce qui a permis de réduire significativement le temps alloué à la formation. La méthode consistait à enseigner juste ce dont les pilotes avaient besoin de savoir pour piloter un DC-9. Elle s'est ensuite répandue aux États-Unis et dans le monde.
Les manuels d'utilisation de l'avion présentent alors des diagrammes considérablement simplifiés, des simulacres par rapport aux systèmes d'ingénierie et la logique qui les sous-tendent. Les diagrammes, ainsi que les informations textuelles, sont souvent incomplets et superficiels, car l'industrie juge que les pilotes n'ont pas besoin de tout savoir. La nouvelle doctrine étant : « si vous ne pouvez pas le voir, le toucher ou l'afficher, vous n'avez pas besoin de le savoir ».
Ce nouveau paradigme correspond à l’arrivée des microprocesseurs et des logiciels dans les systèmes des avions. Le Pr Dekker note : « vous ne pouvez pas vraiment offrir une expérience « pratique » avec un logiciel. Non seulement les systèmes sont devenus plus invisibles et intouchables, véritablement boîtes noires pour les pilotes, mais ils sont également devenus de plus en plus complexes, puissants et interconnectés. »
En 1989, l'industrie a pris conscience que si l’automatisation offrait de nombreux avantages, elle posait aussi des problèmes, notamment sur la façon dont ils ont été pensés, conçus et comment les pilotes s’en servent.
Les enquêtes ont montré que le « vide cognitif » n’existe pas et que la complexité des postes de pilotage automatisés permet aux pilotes de développer facilement des modèles mentaux simplifiés ou erronés du fonctionnement des systèmes. Les pilotes peuvent acquérir un faux sens de la compréhension et même résister à l'apprentissage d'un modèle plus complexe une fois que le plus simple leur a prouvé son apparente utilité.
Révélation du MCAS aux compagnies et de son extension pour les basses vitesses à la FAA
Après le crash du Lion Air (octobre 2018), Boeing a révélé l’existence du MCAS aux compagnies aériennes, ainsi que son descriptif complet à la FAA. Notamment une fonction importante qui avait été dissimulée ; l’autorité à piquer de 2,5 degrés aux basses vitesses et non de 0,6°, comme sous-entendu pour les hautes vitesses.
Promesses aux clients
La formation pour la transition des pilotes du NG au Max, réduite à son strict minimum, a été une bonne nouvelle pour les clients de Boeing. Un argument clé pour la vente de plus de 5 000 appareils, qui représente des millions de dollars d’économie.
Boeing aurait même été jusqu’à promette à Southwest Airlines un rabais d’un million de dollars par avion si le Max devait nécessiter une formation sur simulateur.
Pression chez Boeing
The Seattle Times a interviewé de nombreux ingénieurs et employés de Boeing alors qu'ils étaient officiellement désignés pour être les yeux et les oreilles de la FAA, qui ont dû faire face à une forte pression de la part des dirigeants de Boeing pour limiter l'analyse et les tests de sécurité afin que l'entreprise puisse respecter son calendrier de certification et réduire ses coûts.
Deux anciens pilotes d'essai de Boeing ont décrit une culture de pression à l'intérieur de l'entreprise en limitant les essais en vol au minimum pour ne pas retarder le programme à un moment où les commandes s'accumulaient.
Comme pour l’EICAS, le système d’alarme électronique qui ne fut pas installé sur le Max, un ingénieur principal de Boeing, représentant de la FAA, a dû céder en 2016 aux demandes de la direction du constructeur pour obtenir des tests moins rigoureux du système d'extinction incendie pour les nouveaux moteurs LEAP du Max.
Un employé et un pilote maison ont conclu que ce concept avait cassé l'entreprise, et l’obligation que s’était infligé Boeing de maintenir une qualification commune avec le Max et les autres modèles de 737 était « une affaire tellement énorme » qu'elle a bloqué toutes mises à jour potentielles des systèmes de l’avion.
Plainte d’un employé contre Boeing
Pour stopper la démarche autocratique de Boeing à raccourcir les délais nécessaires à la certification du Max, des employés ont été jusqu’à porter plainte contre leur employeur.
Comme Curtis Ewbank, un jeune ingénieur, après le deuxième accident du 737 Max, qui a déposé une plainte éthique interne dénonçant la direction pour avoir bloqué des améliorations de sécurité du Max en 2014, alors que son groupe de travail avait justement pour mission de trouver des améliorations de sécurité.
L’ingénieur dénonce une demande de relevé d’incidents[8] de l’agence européenne (AESA) et dont il fut en charge pour la recherche. Il en avait identifié cinq, mais son supérieur ne les a pas communiqués à l'AESA sous prétexte que « nous réglerions le problème nous-mêmes. »
Dans sa plainte, Ewbank parle de culture d'entreprise basée sur les opportunités de conception et de réduction des coûts. Boeing allait simplement mettre de nouveaux moteurs et faire le minimum de modification pour y arriver. Le Max a été conçu par des mises à jour de logiciels, au coup par coup, pour éviter une certification coûteuse et longue ainsi qu’une obligation de formation pilote.
Enfin : « Compte tenu de la nature de cette démarche, la crainte de représailles est grande, malgré toutes les assurances officielles que cela ne devrait pas être le cas (…) Il y a une attitude culturelle suppressive envers la critique de la politique des entreprises - surtout si cette critique résulte d'accidents mortels.[9] » Ses collègues ne l’ont pas suivi de peur de perdre leur emploi.
Insultes et moqueries
À la demande du congrès américain, Boeing a fourni plus de 100 pages de documents et messages internes qui révèlent l’attitude hostile, voire agressive de certains employés (dont des pilotes), avec des propos tel que : « Cet avion a été conçu par des clowns qui sont supervisés par des singes. » Boeing a présenté des excuses au Congrès, ses compagnies clientes et la FAA.
Des hauts responsables, comme le pilote principal adjoint technique et le chef pilote technique, impliqués dans le développement et la qualification des simulateurs 737 Max ont vilipendé des compagnies comme Lion Air : « ces idiots » qui voulait faire faire du simulateur à ses pilotes pour la transition sur Max. « Je tiens à souligner combien il est important de tenir bon ; aucune formation sur simulateur ne sera nécessaire pour passer du NG au Max. Boeing ne le permettra pas (…) Nous irons à la confrontation avec tout régulateur qui tentera d'en faire une exigence. »
Le représentant Peter DeFazio, Président du comité de la Chambre enquêtant sur le 737 Max, a considéré ces documents d’accablants. Ils brossent un tableau profondément troublant jusqu’où Boeing était disposé à aller pour échapper aux contrôles de la FAA, des équipages, alors même que ses propres employés tiraient en interne la sonnette d’alarme.
Pénal
Les procureurs du ministère de la Justice, les inspecteurs du ministère des Transports et les fonctionnaires de la « Securities and Exchange Commission » (SEC) participent tous à une enquête fédérale de grande envergure sur d'éventuels actes répréhensibles chez Boeing lors de la certification du Max. Cette enquête était déjà en cours avant qu’un ingénieur ne dépose sa plainte.
« La sécurité est notre priorité absolue », a déclaré Boeing après les accidents. « Grâce au travail que nous effectuons actuellement en partenariat avec nos clients et les régulateurs pour certifier et mettre en œuvre la mise à jour du logiciel, le 737 Max sera l'un des avions les plus sûrs à avoir jamais volé. »
Pourtant en 2018, des documents montrent que plusieurs employés de Boeing travaillant sur le simulateur du Max avaient de sérieuses inquiétudes sur la mise en œuvre et les déficiences techniques de l’avion, exprimé par cet échange de mail entre deux employés : « … lorsque la vie est en jeu, les programmes de formation ne devraient pas être pris à la légère (…) Mettriez-vous votre famille dans un Max sans une formation des pilotes sur simulateur ? »
Pression sur la FAA
Au sein de la FAA, un ancien ingénieur en charge de la certification du Max a expliqué qu’il y avait une pression constante pour réévaluer ses décisions initiales, et même après réévaluation, la direction a continué à discuter des possibilités de déléguer encore plus de dossiers à Boeing.
Le temps d’examen des documents techniques fournis par Boeing a été réduit, ne permettant pas une étude complète et appropriée pour se forger un avis objectif avant d’atteindre certaines dates butoirs de certification.
Parfois, lorsque le délai était trop court pour qu’un ingénieur puisse étudier un dossier technique en vue de son approbation, à une date fixée par le planning de certification, alors son supérieur le signait à sa place ou le déléguait à Boeing…
Dans un rapport DER concernant des systèmes hérités des modèles 737 précédents, quatre observations préoccupantes[10] ont été jugées non conformes par rapport aux dernières normes en vigueur et ont été rejetées par les gestionnaires de Boeing qui ont considéré, avec l’aval de la FAA, qu'il s'agissait de problèmes peu importants.
Évaluation des risques
Un risque est le potentiel de conséquences négatives qui, selon les estimations, découlerait d’un danger et sa probabilité à causer des dommages.
L’industrie aéronautique et les agences de certification utilisent différentes méthodes pour identifier, évaluer et éliminer, ou maîtriser, des risques liés à l’utilisation d’un aéronef et ses équipements.
Évaluation des risques par Boeing
À la suite de l'accident de Lion Air, la FAA a effectué une nouvelle évaluation des risques si Boeing n’apportait pas de correction au MCAS. Le résultat serait d’environ 15 accidents mortels et catastrophiques supplémentaires pendant la durée de vie de la flotte du Max. Évaluation sous-estimée puisque cinq mois plus tard, le deuxième accident avait lieu avec moins de 10% des 737 Max en service.
L’incroyable cécité des dirigeants de Boeing et du service de certification américain à ne pas voir la nécessité d’une certification rigoureuse du Max, montre que lorsque les enjeux financiers sont considérables (un carnet de commande de 5 000 Max x 100 millions = 500 milliards de dollars), l’être humain, mais aussi la collectivité, perd tout sens commun ou principe de rationalité ; tel l’application élémentaires de règles de prudence.
Boeing a caché à la FAA le réel fonctionnement du MCAS sur le Max, laissant croire qu’il n’était pas nécessaire de recertifier un équipement qui l’avait déjà été, mais sur le ravitailleur en vol. Alors que celui du Max opérait en plus dans la plage des basses vitesses, avait une autorité illimitée (supérieure à celle du pilote) et n’utilisait qu’une seule sonde d’incidence, sans secours.
Pour ne pas attirer l’attention, Boeing avait fait une évaluation des risques de défaillance du système qu’il a situé au niveau de dangereux, juste avant celui de catastrophique, ce qui aurait dû entrainer une réaction de la part de la FAA par une investigation plus poussée.
Après le premier accident, la FAA s’est défendu d’avoir suivi le processus de certification standard pour le Max tout en avouant qu’elle n'avait pas été en mesure de se plonger dans les enquêtes détaillées de vérification.
Cependant, six mois après le deuxième accident, Boeing a remanié sa structure sécuritaire interne afin que les ingénieurs relèvent d'un ingénieur en chef, et non plus d’un chef commercial, ainsi qu’une refonte des structures de surveillance de la sécurité.
Un ingénieur de la FAA a déclaré au The Seattle Times que dans les accidents où les pilotes sont souvent blâmés, le système d'information et d'alarme fourni des informations confuses ou trompeuses. « Oui, Boeing est allé régler chaque problème, mais est resté dans une démarche réactive pour le 737 et non d’anticipation proactive. »
La démarche réactive consiste à attendre un accident avant d’apporter les modifications qui s’imposent. Au contraire, la démarche proactive consiste à apporter des modifications avant que l’accident se produise. Pour cela, l’entreprise (constructeur, compagnies aériennes) analyse tous les incidents (les pré-accidents) d’exploitation. Elle les classe par thèmes, les hiérarchise par risques et occurrences, puis détermine les mesures correctives : modifications à apporter à l’avion et formation aux pilotes.
Mais il est très difficile de faire entendre raison aux financiers, éloignés du terrain technique, et tant que l’accident n’est pas arrivé, ils n’y croient pas, qui serait une remise en cause leur business model.
Cinq étapes pour un retour en vol du 737 Max
Avec la FAA, Boeing doit satisfaire cinq étapes importantes pour un retour en service du Max :
Test au simulateur du MCAS modifié par des pilotes d’essais de la FAA : vérification en conditions normales et en cas de défaillance du système,
Facteurs humains : évaluation au simulateur de la charge de travail de pilotes de différentes compagnies aériennes dans diverses conditions de fonctionnement du MCAS,
Essais de certification en vol par les pilotes de la FAA avec la version finale du logiciel,
Une fois le dernier vol de certification effectué : Boeing soumettra à la FAA les documents et éléments de vérification nécessaires à la certification du logiciel,
Évaluation et validation de la formation sur simulateur des pilotes d’origine différentes.
À l’issue, le conseil de normalisation des vols de la FAA (Flight Standardisation Board) publiera un rapport disponible au public, pendant une période définie, à des fins de commentaires, suivi de l’approbation finale de la formation.
Il revient à la FAA et les autres autorités de réglementation de déterminer en dernier lieu le calendrier de retour en service du 737 Max dans leurs juridictions respectives. « Cette approche peut être progressive, et le calendrier varier d’une juridiction à l’autre. », précise Boeing.
Afin d’inverser la tendance de délégation dans le processus de certification, le sénat américain a élaboré (juin 2020) un projet de loi visant à renforcer les contrôles, la supervision et l’approbation de la conception des nouveaux avions par la FAA.
Ainsi la sénatrice Cantwell changea de position, pour s'assurer que la surveillance de la FAA soit forte, claire et transparente. Avec des moyens de communications et d'autorités significativement améliorées entre la FAA et les constructeurs, plus une solide expertise technique de la FAA sur le terrain.
De plus, aucun employé de la FAA ne pourra se voir offrir une quelconque incitation financière à la performance. Ni la FAA et la direction de Boeing ne pourront interdire au personnel technique de part et d'autre du système de surveillance de communiquer librement entre eux.
En fait, ces changements consistent à un retour à la version antérieure du système de surveillance, lorsque les ingénieurs de Boeing travaillaient en tant que « représentants autorisés » (RA) de la FAA.
Le projet de loi prévoit également une protection judiciaire pour les dénonciateurs qui font part de leurs préoccupations en matière de sécurité, chez les constructeurs comme Boeing, mais aussi chez les fournisseurs et sous-traitants.
La FAA qui collabore avec le congrès américain pour améliorer la certification des prochains avions a proposé un amendement pour que les constructeurs utilisent les systèmes de gestion de sécurité (Safety Management Systems – SMS), tel que décrit par l’OACI, destinés à intégrer une culture de la sécurité dans les entreprises. Un comble, pour ceux qui se devaient d’expliquer aux compagnies aériennes comment maintenir un haut niveau de sécurité.
Et pour renforcer les capacités de surveillance de la FAA, 10 millions de dollars supplémentaires par an seront alloués à l’agence pour embaucher « du personnel technique spécialisé ayant une expertise dans les technologies nouvelles émergentes.
Les certificateurs étrangers se rebellent et exigent de nouvelles améliorations sur le Max
les Européens et les Canadiens ont insisté pour mener leurs propres évaluations de sécurité indépendantes de la recertification du Max, plutôt que de suivre systématiquement la FAA.
Ils ont évoqué trois problèmes à corriger :
1/ Les européens veulent 3 sondes d’incidences (AOA) plutôt que les deux actuellement. Il s’agit d'une philosophie de conception fondamentalement différente entre Airbus et Boeing.
2/ L'AESA exige un changement de conception découle des enquêtes qui ont établi que les pilotes sur les deux vols de crash ont été confronté à une cacophonie d'alarmes. Autrement dit, il veulent un système électronique (EICAS) de surveillance et d’alarmes avec affichage des checklists correspondant aux pannes.
3/ Le troisième problème soulevé par Transports Canada concerne le « vibreur de manche » qui alerte le pilote tactilement et par alarme sonore que l’avion va décrocher. Il ne peut pas être désactivé même lorsqu'il est manifestement erroné, puisque sur le dernier vol (faute d’EICAS), il y avait les alarmes de survitesse et de sous vitesse en même temps.
Si la demande du Canada est « raisonnable », celles de l’EASA risque de remettre en cause le certificat de navigabilité du B 737 Max en Europe.
Enfin, à ce jour, et ce n’est peut-être pas fini, la FAA exige une inspection de blindages de certains câblages électriques qui pourraient, dans des circonstances extrêmes, provoquer des pannes de deux moteurs ou des données de moteur erronées…
Recertification du 737 Max
En juillet 2020, après 15 mois d’arrêt de vol du Max, la FAA a repris les vols d'essais.
Début août, elle a proposé une nouvelle consigne de navigabilité (CN) pour la remise en service de l’avion. Cette consigne est assortie de quatre obligations importantes :
l'installation d'un nouveau logiciel du MCAS basé sur l’information des deux sondes d’incidence (AOA) et la révision du manuel de vol,
la publication de nouvelles procédures d’utilisation du MCAS pour l'équipage de conduite,
l'installation d'un nouveau logiciel de système d'affichage d’alarmes (ECAS) prenant en compte la défaillance des sondes AOA,
la modification de l'acheminement des fils électriques du stabilisateur horizontal, par leurs séparations, pour être en conformité avec les dernières normes en vigueurs.
De plus, la FAA obligera les exploitants du Max à effectuer une calibration des sondes AOA et exécuter un vol de contrôle avant la remise en service de chaque appareil.
Du côté européenne, l’AESA commencera en septembre les évaluations au simulateur à Gatwick et les vols d’essais se feront à Vancouver près de Seattle à cause des restrictions de circulation dues au Covid-19.
Pour résumer l’échec de certification du B737 Max :
Mauvais choix stratégique en prolongeant la vie du vieux 737 plutôt que lancer le nouveau programme Y1, constamment repoussé,
Prédominance à l’autocertification, manque de vérification de la FAA, Boeing s’est retrouvé juge et parti,
Sous-estimation des risques pour certifier le Max, afin de ne pas augmenter les délais,
Non-respect des procédures de certification (MCAS),
Dissimulation d’informations auprès de la FAA et des compagnies aérienne (MCAS),
Pression sur le personnel pour augmenter la productivité et les délais de livraison.
___________________________________________________________ [1] Boeing a demandé la certification du 737 Max en janvier 2012 et l’a obtenue en mars 2017. [2] S’il y en a plusieurs alarmes affichées à l’écran, elles sont hiérarchisées par ordre d’importance et sont accompagnées d’une alarme sonore. [3] En 2011, le 737 avait effectué 321 millions d’heures de vol et 213 millions de départs, notamment la dernière version (NG) avait effectué 80 millions d'heures de vol et 42 millions de départs. [4] RCAS consists of a ROLL/YAW ASYMMETRY alert, ROLL AUTHORITY alert and a Roll Command Arrow. RCAS is optional equipment on the B-737-NG and standard on the B-737-MAX. The FSB found Level B training to be sufficient for initial, transition, and upgrade training in that series aircraft (U.S. Department of Transportation Federal Aviation Administration Washington, DC Flight Standardization Board (FSB) Report Revision: 16 Date: 10/17/2018). [5] Dont trois ingénieurs de Boeing qui se trouvaient à bord par hasard. [6] Sidney W. A. Dekker, né en 1969, près d'Amsterdam, est professeur aux universités du Queensland et Griffith à Brisbane en Australie, où il a fondé le Safety Science Innovation Lab. C’est un universitaire de haut niveau (h-index = 39). Auparavant, Dekker a été professeur en facteurs humains et sécurité des systèmes à l'université de Lund en Suède, où il a fondé le laboratoire Leonardo da Vinci pour la complexité et la pensée systémique. Passionné d’aviation, il a été copilote sur Boeing 737 pour les compagnies Sterling et Cimber Air. [7] Trois ans avant que le Boeing 737 soit en service (1968). Chez Boeing, les équipages de conduite sont passés de quatre opérateurs (Pilote, copilote, mécanicien, radionavigateur) sur B707 (4 moteurs, 1958), à trois (Pilote, copilote, mécanicien) sur B727 (3 moteurs, 1964) à deux pilotes sur B737 (2 moteurs). [8] Incidents au cours desquels des 737 ont rencontré un problème de déconnexion de l'automanette en approche suivi d’une alarme confuse qui a conduit à une réponse inappropriée du pilote. [9] J’ai moi-même subit ce genre de pressions de la part de la direction d’Air France pour avoir osé dénoncer un système de sécurité que je jugé insuffisant après l’accident du Concorde en 2000 et celui de l’A340 à Toronto en 2005. Je fus destitué de mon poste d’intervenant facteurs humains (par JFT le responsable des FH à l’époque) et menacé de voir ma carrière bloquée, notamment à l’accès au long courrier. Après l’accident du Rio Paris en 2009, un journaliste qui avait eu la copie du courrier que j’avais adressé au président Spinetta, ressortit mes arguments comme ayant été prémonitoire. Je n’avais pourtant pas été le seul à monter aux créneaux, comme les syndicats, ainsi qu’un haut responsable pilote qui avait fourni un rapport (Colin, 2006) pour réformer la culture d’entreprise. Son rapport fut enterré. [10] Un manque de redondance dans les câbles de la gouverne de direction ; une température maximale autorisée trop élevée dans les réservoirs de carburant ; ignifugation insuffisante autour du groupe auxiliaire de puissance (APU) dans la queue de l’avion ; et l’utilisation d’un câblage haute puissance à l'intérieur d’un réservoir de carburant.
Perspectives d’avenir pour Boeing et les services de certification (5/6)
Historique, retards et modifications Max et NG À ce jour, le B737, toutes versions confondues, est l’avion de ligne qui a été le plus vendu dans le monde devant le 320 d’Airbus. Le 737 Max est aussi celui qui a engrangé le plus de commandes dans l’histoire du constructeur avec près de 5 000 avant son interdiction de vol le 13 mars 2019. Le directeur commercial de Boeing, Kevin McAllister, avait déclaré que le 737 Max « changera la face du marché des monocouloirs ».
Les programmes chez Airbus (320) et chez le Chinois Comac (919) ont été lancés après l’arrivée de nouveaux moteurs : le LEAP, qui remplace le CFM-56 qui équipait jusqu’à lors les Boeing 737 NG et Airbus 320, et le Pratt & Whitney PW1100G qui a assuré la première livraison de l’A320 neo pour Lufthansa en 2016.
Le programme du 737 Max a été lancé neuf mois après celui du 320 neo, et les premières livraisons ont débuté un an et quatre mois après celles du neo. Pour quelles raisons ?
Boeing a hésité, parce qu’adapter un nouveau moteur encore plus gros que le précédent sur son vieux 737 allait poser des problèmes de plusieurs ordres : cellule, pylônes moteurs, train d’atterrissage avant déplacé, soute électronique réduite, stabilité en vol et améliorations aérodynamiques à trouver pour prétendre au gain de consommation qu’Airbus annonçait pour son nouveau 320 neo, c’est-à-dire - 15 %. Airbus s’est contenté de changer de moteur sans modification significative, hormis l’installation de « winglet » de haute performance au bout des ailes.
Pour tenir l’objectif de baisse de consommation, le total des modifications du Max s’est avéré donc plus important que celle du neo, générant plus de travail et de temps pour certifier l’avion plus long de sept mois.
Politique de rentabilité de Boeing et délégation de pouvoir de la FAA
Boeing a connu une phase de prospérité inégalée de l’entrée en guerre des USA, en 1941, jusqu’à la première crise du pétrole de 1973. Trois décennies durant lesquelles le constructeur s’est imposé comme leader aéronautique militaire (bombardiers) puis civil. Avec la montée en puissance d’Airbus dans les années 1990, Boeing, alors en perte de vitesse, a racheté McDonnell Douglas (MDD) en 1997, espérant mieux contrôler son marché domestique mais aussi rééquilibrer son activité dans le militaire, secteur qui avait fait autrefois sa fortune.
Cependant, l’arrivée de l’ancien patron de MDD aux commandes de Boeing va conduire la compagnie dans l’incertitude à cause d’un management trop orienté vers la rentabilité et la valorisation de l’action, et d’une productivité exacerbée où la sécurité est devenue une charge de gestion comme une autre, qu’il faut constamment diminuer.
Pourtant, l’idée proposée de production du nouveau 787 était attrayante : elle consistait à faire travailler les partenaires de Boeing : Américains, Japonais, Coréens et Européens, à tour de rôle en fonction du décalage horaire, avec des passations de consignes en fin de journée, d’un continent à l’autre, afin qu’il y ait un travail continu du programme 24 heures sur 24.
Mais c’était sans compter les différences de culture et l’absence de moyens de coopération efficaces. Boeing a dû envoyer sur place des ingénieurs et dans certains cas racheter des entreprises étrangères qui maitrisaient mal certaines nouvelles techniques, notamment l’utilisation du carbone sur de grandes surfaces, comme le fuselage.
C’était la première fois que Boeing prenait autant de retard (trois ans) avec un nouveau programme, et dès lors il a été incapable d’en tenir un dans les délais.
Son lobbying auprès des politiciens, ses tentatives de corruption pour l’obtention du marché des ravitailleurs en vol (KC-46 en 2015) face à Airbus – puisqu’il n’y a pratiquement plus d’acteurs américains – et son ascendant malsain sur la FAA, le certificateur officiel, vont précipiter sa chute avec le scandale du 737 Max en 2019, aggravé par la pandémie du Covid-19 en 2020.
Chronologie d’un désastre orchestré
1970 : naissance du consortium européen Airbus.
1973 : crise pétrolière, Boeing frôle la faillite[1] avec son nouveau 747 devenu trop gros qu’il a développé sur fond propre. C’est un coup de frein au développement de l’entreprise.
1982 : sortie des 757 et 767 avec une qualification de type commune. Un fantasme économique qui pèsera lourd par la suite pour certifier le Max.
1997 : absorption de MDD et adoption de méthodes de gestion radicales axées sur la rentabilité plus que sur la sécurité. Déménagement du siège social de Seattle à Chicago, tout un symbole.
2004 : la FAA passe un seuil critique de délégation d’autorité à Boeing pour certifier ses avions plus facilement, c’est aussi l’année de lancement du 787.
2005 : lancement du 747-8 et premier vol en 2010 avec un an de retard, en raison notamment d’un manque de disponibilité en ingénieurs.
2006 : Boeing est en compétition avec Airbus pour le renouvellement des ravitailleurs en vol de l’USAF. Il remportera finalement le « contrat du siècle » après moult péripéties, complexification du programme et allégations de corruption. Premier vol du KC-46 en 2015 qui sera finalement opérationnel qu’en 2019.
2009 : premier vol du 787 et livraison en 2011. Le programme a accumulé trois ans de retard, une première pour Boeing.
2010 : Airbus lance la remotorisation de la famille 320 neo avec le nouveau moteur de Pratt & Whitney et le LEAP de CFM.
2011 : face au succès du 320 neo, Boeing lance son 737 Max dans la précipitation avec un programme de certification plus conséquent pour tenir ses objectifs de performances économiques.
2013 : tous les 787 sont arrêtés de vol pendant trois mois, suite aux emballements thermiques des nouvelles batteries au lithium dont la certification a été mise en cause. Une nouvelle mauvaise première pour Boeing.
2017 : premières livraisons du Max, un an et 4 mois après celles du 320 neo.
2019 : tous les Max sont arrêtés de vol après le double crash de Lion Air et Ethiopian Airlines en moins de 5 mois, un événement inédit dans l’aviation moderne.
2019 : la nouvelle capsule Starliner prévue pour rejoindre la station spatiale a échoué lors de son premier essai à rejoindre la bonne orbite. Boeing ne sera pas sélectionné par la NASA pour développer un vaisseau de démonstration pour retourner sur la Lune en 2024, comme il l’avait été avec Apollo.
2020 : le 777X fait son premier vol avec un an de retard, après qu’une porte de la cabine a explosé lors d’un essai de pressurisation au sol.
2020 : compte tenu de ses difficultés financières, Boeing renonce à l’alliance avec le Brésilien Embraer[2] pour contrer Airbus qui a fait l’acquisition du Canadien Bombardier.
2020 : l’épidémie de Covid-19 ébranle l’économie mondiale et les compagnies aériennes, qui, si elles ne font pas faillite, annulent une partie de leurs commandes d’avion.
Une situation financière préoccupante
À la suite des deux accidents du Max, Boeing doit faire face à sa pire crise en 103 ans d’existence, avec un chiffre d’affaires de 84 milliards de dollars en 2019, en baisse de 20 % par rapport aux 101 milliards de dollars en 2018.
À la fin du premier semestre 2020, le carnet de commandes du 737 Max a diminué de 864 appareils. Il ne s’élève plus qu’à 3 498 exemplaires pour un total de 4 496 avions civils en commandes chez Boeing. Chez Airbus, le carnet de commandes de la famille A320 neo est de 6 065, pour un total de 7 539 avions, après 302 annulations.
Boeing semble avoir évité toute crise à court terme en ayant levé 25 milliards de dollars de financement au début 2020, la compagnie a accumulé plus de 8,3 milliards de dollars de coûts supplémentaires depuis juillet 2019, dont des annulations de commandes pour un montant de 5,6 milliards de dollars, plus 2,7 milliards de dollars en raison de futurs coûts de production prévus pour le Max et un versement initial d’indemnisation aux familles des victimes de 100 millions de dollars.
Et le montant de l’indemnisation des familles des victimes, des compagnies clientes privées d’avions et des fournisseurs de Boeing va continuer à augmenter. Au-delà de l’image écornée de la compagnie, la perte totale dépassera largement les 10 milliards de dollars initiaux prévus pour développer et certifier le Max dans les règles.
Au fur et à mesure des annulations de commande du 737 Max, Boeing doit rembourser les avances des clients, ou plutôt augmenter leur part d’avance pour ceux qui n’annulent pas leur commande tout simplement. Quoi qu’il en soit, il s’agit de trésorerie en moins pour Boeing, au moment où il en a le plus besoin.
Cependant en juillet 2020, l’USAF a commandé 144 chasseur-bombardier F-15EX pour un montant de 23 milliards de dollars. Une main tendu de l’état. Même si l’heure de vol est inférieure à celle du F-35, le F-15 (un avion de MDD) est âgé de 48 ans… Depuis l’absorption de son ancien concurrent en 1997, Boeing n’a pas produit de nouveaux avions militaires. Seul le projet de drone ravitailleur MQ-25 Stingray pour porte-avions est en développement ($ 800 millions), il a fait son premier vol l’an passé.
Déjà, le lancement du B787 Dreamliner en 2004 reflétait les difficultés d’une collaboration technique internationale complexe et finalement inefficace et très coûteuse. The Seattle Times parle de 33 milliards de perte, transformant le programme du Dreamliner en « Nightmareliner ». Fin mars 2020, Boeing indiquait 18,8 milliards de dollars de surcoûts imputables au 787 et qui restaient à amortir.
Richard Aboulafia, un analyste du groupe Teal, pensait que si la recertification du Max ne se réalisait pas au premier trimestre 2020, Boeing se retrouverait en grande difficulté. À ce jour, c’est le dernier trimestre 2020 qui semble le plus probable.
Ainsi Boeing, dernier constructeur d’avions de transport civil américain, qui ne veut pas d’aides de l’État au nom de l’économie libérale, se prépare à la banqueroute. Il n’est pas à l’abri d’une OPA de Lockheed Martin ou de Northrop Grumman, qui pesaient respectivement à la fin de l’année 2018 la moitié et un tiers du chiffre d’affaires de Boeing.
Face à la faillite de la FAA, pourquoi ne pas créer une agence internationale de certification ?
Après le scandale de la certification du 737 Max qui a entraîné la mort de 347 personnes en deux crashs rapprochés, l’autorité de certification la plus puissante au monde, la FAA américaine a perdu sa crédibilité.
Aujourd’hui, le pays qui produit l’aéronef est l’autorité primaire de certification et celui-ci collabore avec d’autres États grâce à des accords de coopération « BASA[3] » et de certification réciproque.
Il en existe déjà entre l’Europe, les USA et le Canada, mais il s’agit d’un projet hautement politique qui aura du mal à se concrétiser. Cependant, l’Europe, les USA et le Canada, qui travaillent ensemble, pourraient être les instigateurs de cette agence pour l’élargir au fur et à mesure à d’autres pays.
Les agences actuelles de certification pourraient s’unir pour :
Harmoniser au maximum leurs règles de certification, quitte à conserver certaines spécificités propres à leur pays ;
Renforcer leur structure grâce à l’expertise de constructeurs aéronautiques civils et de compagnies aériennes :
Constructeurs : Brésil, Canada, Chine, Corée du Sud, Europe, Inde, Japon, Russie, USA…
Compagnies dont la flotte comporte plus de 100 appareils (à définir),
Définir un nombre d’experts au prorata de la taille des constructeurs et des compagnies, tout en donnant plus de poids aux petites unités afin qu’elles ne subissent pas le diktat des plus forts ;
Élargir les lieux de certification pour satisfaire les besoins variés : Amérique du Nord ou du Sud ; Asie, Europe ;
Former des experts (à définir).
S’inspirer du Joint Authorities Technical Review (JATR) Le 19 avril 2019, une équipe internationale « Joint Authorities Technical Review » (JATR), a été mandatée par la FAA pour enquêter sur la façon dont elle avait approuvé le MCAS du Boeing 737 Max, vérifier si la conception du MCAS avait été conforme à la réglementation et si des modifications auraient dû être apportées à son processus de certification. Le JATR inclut des représentants de la FAA, de la NASA et des neuf autorités de l’aviation civile : Australie, Brésil, Canada, Chine, Europe (EASA), Indonésie, Japon, Singapour et des Émirats arabes unis. Réactions L’Association du transport aérien international (IATA) presse les autorités étatiques responsables de la sécurité aérienne de continuer à s’harmoniser au sujet des exigences techniques de validation et des calendriers prévus pour la remise en service en toute sécurité du Boeing 737 Max (Montréal, 27 juin 2019). Extrait du rapport final d’accident du Lion Air (page 224) : « Informer les autres organismes de réglementation internationaux qui certifient les conceptions de type d’avion de catégorie transport (par exemple, l’Agence de la sécurité aérienne de l’Union européenne, Transports Canada, l’Agence nationale de l’aviation civile du Brésil, l’Administration de l’aviation civile de Chine et l’Agence fédérale russe des transports aériens) de la recommandation A-19-11 et les encourage à évaluer sa pertinence par rapport à leurs processus et à apporter des modifications le cas échéant. » (A-19-12). Steve Dickson, administrateur de la FAA : « Le 737 MAX ne transportera pas de passagers tant que je ne serai pas sûr de faire voyager ma propre famille […] Ce n’est pas une tâche facile, et cela exigera la coopération et la transparence de l’industrie et du gouvernement. Cependant, il est prometteur qu’au cours des derniers mois les régulateurs de l’aviation dans le monde ont travaillé ensemble à un degré jamais vu auparavant. » (The Seattle Times, 13/3/2020). European Cockpit Association (ECA) : L’association, regroupant les syndicats de pilotes de ligne en Europe, accuse et met en question la légitimité de Boeing et de la FAA pour la remise en service du 737 Max : « Comment un concepteur et un certificateur qui ont précédemment failli en approuvant la mise en service d’un avion déficient peuvent-ils apporter à présent une solution de manière crédible sans une remise en cause importante ? Boeing et FAA se doivent de prendre enfin leurs responsabilités et faire preuve de transparence dans cette affaire. » Et l’ECA de se tourner vers l’EASA qui selon lui « a un rôle clé à jouer en Europe en fournissant aux pilotes et aux voyageurs des garanties de transparence et d’indépendance ». Les pilotes encouragent l’agence européenne à faire preuve de rigueur et d’indépendance. Enfin, les associations de défense des victimes des deux accidents du Max veulent aussi une disposition claire selon laquelle tous les systèmes critiques d’avion, tels que le MCAS, soient approuvés directement par la FAA, et non par le constructeur. Elles souhaitent également obtenir une clause d’extinction lorsqu’un avion a été certifié depuis longtemps (par exemple vingt ans) de sorte que les modèles dérivés de l’original passent par un processus complet de certification. Boeing a pourtant l’expérience d’une recertification réussie, celle du 747-8 Lancé en 2005 (l’année du premier vol de son rival, l’A380), le 747-8 a effectué le sien en 2010. Il s’agissait de la quatrième version du 747 qui date de 1969. Nous retrouvons des similitudes avec le 737. Si le 747-8 a réussi sa certification, cela tient au fait que sa version précédente, le 747-400, a été recertifié à cause d’un changement radical de configuration : passage de l’équipage à deux pilotes (suppression du mécanicien navigant et de son tableau de bord) avec la modernisation du poste de pilotage qui n’avait rien à envier aux Airbus 320/330/340 de la même époque. Si l’on compare les deux modèles (737 et 747), le point d’inflexion entre avion classique et moderne se situe à plus 19 ans pour le 747-400 et à plus 17 ans pour le 737, qui a reçu une motorisation moderne en 1984 (CFM-56), avec l’introduction des premiers écrans au cockpit et du Speed Trim System (STS), système électronique de commandes de vol pour contrer l’effet cabreur du nouveau moteur. La suggestion de recertifier complètement un avion de plus de vingt ans, faite par les associations de victimes des deux crashs du Max, est ici tout à fait pertinente. Évolution des tableaux de bord de la famille 737 Plus que l’extérieur ou l’intérieur de la cabine, le tableau de bord est le meilleur indicateur d’âge et de modernité d’un avion. 1967 : B737 Original (100/200) 1984 : B737 Classic (300/400/500) 1997: Boeing 737 NG (600/700/800) 2016: Boeing 737 Max (8/9/10) Quel remplaçant pour le 737 Max ? Pour Airbus, le remplaçant du 320 pourrait être lancé dans la seconde moitié de cette décennie, avec une entrée en service au début des années 2030. La société Acubed[4], la branche d’innovation d’Airbus basée à Sunnyvale, proche de la Silicon Valley en Californie, fait progresser la technologie autonome pour permettre au remplaçant du 320 d’être piloté par un seul pilote. Le contraste est saisissant ; Airbus vient puiser les talents aux USA pour son prochain avion, alors que Boeing se bat pour sa survie et n’a pas encore mis à l’ordre du jour le remplaçant du Max… À suivre… ---------------------------------------------------------------------------------------------------------------------------------------------------------- [1] “Will the last person leaving SEATTLE — turn out the lights.” Affiché sur un panneau publicitaire près de l'aéroport international de Seattle-Tacoma en 1971. [2]. Cet accord de 4,2 milliards de dollars concernait la branche des avions régionaux d’Embraer. Boeing comptait sur leur bureau d’études – où les ingénieurs sont payés en réals brésiliens – pour réaliser des économies sur l’étude de ses avions. [3]. Bilateral Aviation Safety Agreements. [4] Créée en 2015 : https://acubed.airbus.com
Incidents en vol au cours de ma carrière de pilote
En 40 ans de pilotage et 18 000 heures de vol, j’ai eu quelques incidents, mais je ne me suis jamais senti en danger de mort. En revanche, j’ai connu beaucoup trop d’accidents et perdu des amis et connaissances, notamment en Afrique où les conditions météorologiques étaient difficiles, les infrastructures souvent en panne et les avions parfois obsolètes. En France, en aviation d’affaires, j’ai remplacé le copilote qui s’était tué lors de l’accident en Learjet 55, en 1987, qui transportait Michel Baroin, le père de l’ancien ministre, maire de Troyes. En aviation de ligne, à Air Inter : le crash du mont Sainte-Odile, en 1992, m’avait particulièrement ébranlé, car je ne pensais pas qu’une grande compagnie leader dans bien des domaines pouvait être ainsi frappée. Enfin, à Air France : le Concorde en 2000, le Toronto en 2005 et le Rio-Paris en 2009. Ces accidents ont eu pour conséquence de faire évoluer la gestion de la sécurité des vols de la compagnie nationale. J’ai eu trois pannes moteur, dont deux en bimoteurs légers. Une sur Britten Norman, en 1984, un moteur que j’ai dû arrêter en descente à Nouakchott, Mauritanie, faisant suite à une révision, la veille, le câble de la manette des gaz était mal fixé, et le moteur ne pouvait plus réduire. Une en Cessna 310, en 1986, au décollage de Barcelonnette, un problème d’alimentation carburant : le moteur qui broutait et ne délivrait pas suffisamment de puissance pendant la montée, m’a contraint à me reposer. Enfin une en Airbus 320, en 1991, au décollage de Lyon-Saint-Éxupéry (Satolas à l’époque), un aigle avalé par le moteur droit, que nous avons vu arriver. Les vibrations étaient si importantes qu’il était impossible de lire les informations sur l’écran moteur. Le commandant (CDB), pilote en fonction (PF), a réduit la puissance du moteur jusqu’à ce que les vibrations soient soutenables. Il n’a pas voulu se reposer à Lyon, considérant qu’il n’y avait que des cons dans cette escale… Nous avons été jusqu’à Orly, notre destination, avec un moteur et demi… Après l’atterrissage, en observant l’état du fan du moteur, qui avait 12 ailettes froissées sur 36, j’ai regretté de ne pas avoir davantage insisté pour revenir se poser à Lyon. Finalement, je n’ai jamais eu de panne moteur franche. J’ai endommagé, en 1977, un bout d’aile d’un Cessna 402 (bimoteur de neuf places) à Ouesso, au Congo, en garant l’avion sur son aire de stationnement (en terre), en brisant la fenêtre d’une voiture de Chinois, laquelle n’avait pas à être ici. J’ai réparé le bout de l’aile avec du scotch, et je suis rentré à Brazzaville. J’ai eu deux pannes de circuits hydrauliques en A320. L’une lors du roulage à Munich avec retour au parking ; l’autre en finale 06 à Orly, en 1999, où j’ai effectué une remise de gaz pour traiter la panne tranquillement. Deux pannes d’alternateur moteur en 2002 et en 2014 ; l’une en allant à Stockholm en 320 (démarrage de l’APU[1]), vol poursuivi jusqu’à destination, l’autre en B777 au décollage de Roissy (démarrage de l’APU), demi-tour après vidange carburant de 70 tonnes au-dessus de la Manche et à haute altitude, car il n’y en avait plus suffisamment pour assurer le vol avec le fonctionnement de l’APU pendant 12 heures jusqu’à San Francisco. J’ai eu la panne des trois pilotes automatiques (A/P) au-dessus de l’Atlantique (2012). J’ai d’abord accusé le copilote d’avoir débrayé l’A/P, mais il fut impossible de le réenclencher. J’ai appelé par téléphone satellite la maintenance de CDG, qui était au courant du problème sur cet avion et qui savait qu’il était possible de faire un reset du système en tirant puis en repoussant un breaker. J’ai demandé si ce reset était possible en vol. « Standby… Non, il s’agit d’une procédure au sol. » Ouf ! Si l’autotest consistait à bouger les commandes dans tous les sens en vol, je ne serais peut-être plus là pour en parler. Nous avons prévenu le contrôle aérien de Shanwick que la navigation n’allait plus être aussi précise, dans son espace où un pilote automatique de précision est obligatoire. J’ai réveillé le copilote de renfort, et nous avons piloté l’avion à tour de rôle pendant 15 minutes, en maintenant une altitude à +/- 100 ft, un cap à +/- 2°, ce qui demande beaucoup de concentration, alors qu’il restait trois heures de vol. Mais l’événement le plus marquant a été celui d’un feu de soute en B777-200 (F-GSPY), vol AF902, CDG-NSI (Yaoundé Cameroun), au décollage de Roissy, le 2 août 2010. Le scénario de panne était idéal : pas de fatigue, début de rotation et fin de matinée ; ça s’est passé « à la maison » (CDG), radio en français avec une météo clémente. J’avais déjà eu un problème similaire en A319LR (Dedicace), en 2005, au décollage de Nouakchott. Avant le départ, plusieurs bouteilles d’insecticide avaient été vidées dans les soutes à bagages pour éviter les transmissions de maladies par des parasites. L’alarme incendie se déclenchait parfois, et nous avions connaissance de ce risque. Cependant, nous sommes revenus nous poser. Pour en revenir au vol AF902, il y avait une dispense « APU indisponible » qui faisait suite à une fuite d’huile de son moteur. De la salle de la préparation des vols, nous avons interrogé la maintenance qui nous a informés que l’APU avait été changé et la dispense levée. Les packs (climatiseurs) pollués par l’air vicié avaient été lavés, et l’APU avait fonctionné pendant plusieurs heures pour évacuer la mauvaise odeur d’huile qui s’était introduite dans les conduits de conditionnement d’air. Lors du briefing avec les PNC (hôtesses et stewards), j’ai parlé de ce risque d’odeur en entrant dans l’avion. Il y avait du transport de carburant à faire sur ce vol pour le complément de plein du vol retour, car il était très cher à Yaoundé. Dans le dossier de vol, le dispatcheur qui l'avait préparé proposé un atterrissage à la masse maximale pour emporter le plus de carburant possible, même si cela ne permettait pas de faire l’aller-retour. Compte tenu de l’absence de bulletin météo à Yaoundé (absence de METAR, et le TAF était périmé à l’heure prévue d’arrivée), nous avons vérifié les météos des terrains de dégagement, qui étaient correctes. Nous avons décidé d’une prise de carburant inférieure de 3 tonnes à la masse maximale atterrissage afin de diminuer les risques de sortie de piste à l’atterrissage au cas où l’unique piste serait détrempée par une éventuelle averse. Cette décision fut profitable à notre retour à CDG. Il s’agissait d’un vol court à deux pilotes (< 8 heures). Je ne connaissais pas Pascal, le copilote, et nous allions à Yaoundé pour la première fois. J’ai décidé qu’il ferait l’étape aller afin que je garde de la disponibilité pour l’arrivée. Lors du briefing départ (avant la mise en route), nous avons parlé de la panne moteur au décollage. Comme d’habitude, nous avons évoqué deux scénarios : 1/ atterrissage en surcharge en cas de retour rapide (situation d’urgence, par exemple feu incontrôlable) ; 2/ retour en cas de problème moins grave qui nous conduirait à vidanger du carburant sur une zone réservée à cet effet. Pour cela, j’ai parlé de la checklist « Fuel Jettison » (vidange carburant) en associant à la procédure la gestuelle des boutons à utiliser. Puis j’ai évoqué de stopper la montée à 4000 ft (au-dessus de celle de sécurité), et enfin de demander la piste la plus longue (26R, réservée aux décollages) qui est systématiquement attribuée par les contrôleurs en cas d’atterrissage problématique. Après le décollage en piste 26R, vers 2000 ft, l’alarme sonore et visuelle rouge « FIRE CARGO AFT » (feu cargo soute arrière) a retenti. Nous nous sommes demandé avec le copilote si cela avait un rapport avec la fuite d’huile de l’APU qui avait été changé. Cependant il n’y avait pas à spéculer pour savoir s’il s’agissait ou pas d’une fausse alarme. J’ai lancé la procédure. À l’époque, la répartition des tâches était encore à la main du CDB, et j’ai gardé ma fonction de PNF (Pilot Non Flying), aujourd’hui appelé PM (Pilot Monitor), en laissant le soin à Pascal de piloter. Il a rapidement enclenché l’A/P pour être plus disponible. J’ai fait les actions évoquées lors du briefing, et l’alarme s’est arrêtée. Puis j’ai lancé à la radio un Mayday en signalant un feu à bord et demandé un retour rapide. Il y a eu un temps mort sur la fréquence et un changement de contrôleur, lequel nous a fait virer à gauche (à 4000 ft) pour passer en vent arrière et revenir se poser. Étant un ancien du Bourget, je ne voulais pas virer d’autorité avec le risque de me retrouver en face d’une finale, car le trafic est dense avec ces deux aéroports très proches, et faire une arrivée à vue aurait alourdi notre charge de travail et celle du contrôleur. Le responsable de l’instruction B777 de l’époque (Vincent Pina) s’était plaint que ses pilotes mettaient trop de temps à lancer la procédure de vidange carburant, occasionnant des temps d’attente plus longs en vol, générateurs de risques et de stress. Il avait donc préconisé de lancer cette procédure dès que possible, ce que j’ai fait de mémoire, mais cela m’a été reproché par la suite. J’ai informé la tour de contrôle que la procédure « Vidange carburant » était en cours. Le contrôleur a voulu s’y opposer, mais je lui ai rappelé que nous étions en situation d’urgence. Je n’avais pas annulé le Mayday pour être tranquille jusqu’à l’atterrissage, et j’ai exprimé mes regrets pour cette pollution à basse altitude. En effet, il y a eu une plainte (rejetée) du maire d’un des villages aux alentours de l’aéroport. J’ai appelé la CCP (chef de cabine principal) dans le cockpit pour lui expliquer la situation, que nous devions retourner nous poser dans moins de 10 minutes et pour lui demander de faire une préparation cabine phase 1 (peu de risques de sortie de piste) et, par commodité, de laisser la porte du poste ouverte, que j’avais déverrouillée. Pascal a demandé à garder les volets partiellement sortis (5), ce que j’ai approuvé. Pendant l’approche vent arrière, je lui ai laissé la radio pour que je puisse informer calmement les passagers, en français et anglais, que nous allions nous reposer à cause d’un problème technique. En faisant la checklist « Overweight Landing » (atterrissage en surcharge), j’ai clôturé celle de la vidange carburant en m’assurant que les trois items que j’avais faits de mémoire, avaient bien été effectués. Le contrôle de la tour nous a pressés pour virer en étape de base pour rejoindre la finale, ce que j’ai refusé dans un premier temps, car nous n’étions pas tout à fait prêts. J’avais sous la pince la fiche (papier) départ, celle d’atterrissage, en cas justement de retour rapide. Étant à vue, le briefing arrivée s’est résumé à vérifier l’indicatif de l’ILS. Pascal a posé l’appareil, en surcharge de 6 tonnes, en douceur. Aucun dégât structurel de l’avion n’a été relevé après l’inspection effectuée par la mécanique. Nous avons immobilisé le B777 une fois la piste dégagée, et j’ai demandé aux pompiers de faire une inspection du fuselage arrière, et, à leur leader, sur une autre fréquence donnée par la tour, de ne pas ouvrir les soutes tant que tous les passagers et l’équipage n’étaient pas débarqués (risque d’inflammation/explosion avec un apport d’air/ oxygène). Il m’a interrogé sur le nombre de personnes à bord et le type de matières dangereuses que nous avions dans les soutes. Puis, j’ai demandé à reprendre le roulage vers un parking éloigné, sans avion à proximité, afin que les pompiers puissent opérer aisément et sans que le 777 soit une menace pour d’autres appareils ou infrastructures. Le parking L67 fut attribué. À l’arrivée, il n’y avait pas de placeur, et c’est un pompier qui a guidé l’avion. Durant le roulage, j’ai réclamé à l’escale un escabeau rapidement ainsi que des bus en nombre suffisant. J’ai rappelé à la CCP qu’en cas de problème, et tant que l’avion n’avait pas d’escabeau, l’évacuation des passagers se ferait par les toboggans. Je lui ai aussi recommandé de veiller à ce que ceux-ci restent à bord en attendant que tous les bus soient arrivés, car je ne voulais pas qu’ils s’éparpillent sur le tarmac. Le débarquement s’est effectué dans le calme, les passagers nous demandant quand nous pourrions repartir. Cela ne se pourrait pas se faire avec cet avion, et l’ensemble de l’équipage pensait pouvoir repartir rapidement avec un autre appareil. Mais la compagnie a refusé, à juste titre. Un équipage qui a vécu une situation exceptionnelle met plusieurs jours pour s’en remettre et être à nouveau 100 % opérationnel. Une fois l’ensemble des passagers et l’équipage débarqué, je suis allé voir les pompiers qui ouvraient les portes des soutes cargo. Il ne s’est rien passé. Il s’agissait d’une fausse alarme : j’étais déçu. J’ai été critiqué pour la gestion de cet événement. J’aurais dû aller vidanger plus loin, plus haut (> 6000 ft) et revenir peut-être deux heures plus tard. Mais, à l’inverse, si cette fausse alarme n’avait pas fonctionné, en laissant croire que le feu était totalement maîtrisé, alors qu’une piste d’atterrissage était sous nos pieds ? La compagnie a accueilli l’équipage à l’arrivée de la DO (direction des opérations). Lors du debriefing à chaud qui s’est ensuivi, en semaine et en milieu de journée, les cadres OSV (officiers sécurité des vols) étaient présents. Il y a eu un tour de table où chacun d’entre nous s’est exprimé, en commençant par les PNC les plus jeunes et en progressant vers les plus anciens et gradés, c’est-à-dire en terminant par moi. Cela a permis à chacun de s’exprimer sans être sous l’influence d’un navigant (PNC et pilote) plus expérimenté ou plus élevé hiérarchiquement. Ainsi un steward a expliqué qu’il avait forcé la trappe d’accès au poste de repos PNC, situé en soute arrière (sur B777-200), contigu aux soutes à bagages et de fret, là où le feu s’était déclaré, pour aller le combattre avec un extincteur… Ça nous a tous sidérés, car le blocage mécanique de l’accès permet d’isoler cette partie de l’avion et non de l’alimenter en air et oxygène. Que ce serait-il passé s’il y avait eu réellement le feu à 3 heures de vol[2] d’un terrain de secours ? La CC (chef de cabine) de l’arrière a été beaucoup plus stressée que celle de l’avant, n’étant pas au contact de la gestion de la situation entre la CCP et moi. Le bruit de percussion des bouteilles incendie sous ses pieds ainsi que la vue de la vaporisation du carburant au bout des ailes y ont contribué. J’ai avoué ma déviation de la procédure de vidange, en précisant avoir été conscient de se que je faisais. Conditionné certainement par le briefing départ, lors de la répétition gestuelle de la checklist, j’aurais mieux fait de me taire pour éviter d’être réprimandé. Mais ma culture m’a toujours obligé à la franchise, surtout lorsqu’il s’agit de sécurité des vols. J’ai eu un peu de mal à lancer le Mayday : c’était la première fois que je le faisais en dehors du simulateur. Mon niveau de stress a atteint son point culminant en fin de vent arrière, espérant n’avoir rien oublié d’important. Les jets pompes de vidange ont été arrêtés en finale vers 1000 ft sol. Par la suite, avec le copilote, nous avons été convoqués pour nous expliquer. On m’a reproché de ne pas avoir suivi la checklist vidange carburant et d’avoir vidangé 17 tonnes aux abords de l’aéroport ; bref, d’avoir traité ce problème tel un cow-boy à l’époque d’Air Inter. Le temps de vol n’a été que de 14 minutes, c’est peu pour faire face à autant de procédures, et j’estimais avoir fait le boulot. Peu de temps après, Vincent, le responsable de la sécurité des vols de la division B777, m’avait envoyé un message (ACARS) en vol lors d’un retour de Pékin. Il m’attendait dans son bureau à mon retour à 19 heures, et je pensais me prendre encore un savon. Il me dit que j’avais raconté mon histoire à tout le monde sauf à lui, lui qui n’avait jamais lancé de Mayday en vol de sa vie de pilote. À la fin de mon récit, il me serra la main et me félicita. Par la suite, j’ai su qu’il avait été critiqué pour m’avoir soutenu. Vincent n’était pas un technocrate, mais un chef humain proche de ses pilotes. Certains cadres attendent des pilotes qu’ils fassent les SOP (Standard Operation Procedure) jusque dans les moindres détails, comme dans les manuels ou au simulateur. C’est ainsi que le commandant De Crespigny (A380, Qantas 32 en 2010), qui avait subi l’explosion non contenue d’un moteur en montée au départ de Singapour, n’a pas eu son contrôle en ligne ce jour-là. Sully (A320, US Airways en 2009), qui avait amerri dans l’Hudson River à New York, avait oublié de demander la checklist « Ditching » (amerrissage) et avait démarré prématurément l’APU par rapport à la checklist « Panne des deux moteurs ». Il aurait lui aussi été sanctionné s’il avait été en contrôle. Quant à Piché (A330, Air Transat 236 en 2001), qui s’est posé de nuit en vol plané (21 minutes moteurs arrêtés) au-dessus de l’Atlantique, sur l’île de Lajes aux Açores, à cause d’une fuite carburant mal gérée, il s’est fait crucifier. Et pourtant ces commandants ont ramené, dans des conditions exceptionnelles, passagers et équipage sains et saufs. Alors, que les donneurs de leçons me montrent ce qu’est un bon pilote. Certainement celui qui ne commet aucune erreur et qui suit les checklists à la lettre, même si celles-ci ne sont pas toujours pertinentes. En revanche, la compagnie s’est mise en défaut flagrant de non-communication en occultant cet événement, qui est resté inexistant aux yeux des pilotes et PNC d’Air France. Alors qu’ils auraient pu en tirer des enseignements significatifs – d’autant que j’avais obtenu six retours d’expérience (REX) PNC sur douze, sur la façon dont ils avaient vécu l’événement. Et avec Pascal, j’avais rédigé un ASR (Air Safety Report) détaillé, dont ce récit est extrait. Elle a certainement eu peur de mettre en lumière un exemple de traitement de panne répréhensible. Mais la sécurité progresse en apprenant des erreurs en son sein et certainement pas les dissimulant. Un an après le drame du Rio-Paris (AF447), la mentalité des dirigeants d’Air France n’avait pas encore beaucoup évolué… _____________________________ [1]. Auxiliary Power Unit: groupe auxiliaire dans la queue de l’avion qui fournit le conditionnement d’air et d’électricité au sol et qui peut suppléer en vol l’air et l’électricité fournis par un moteur. [2]. Distance maximale d’éloignement d’un terrain de secours pour un B777 d’Air France.
Il y a dix ans : le Rio-Paris, AF447 La faillite d’un système sécuritaire Il y a dix ans, le 1er juin 2009, un Airbus 330-200 d’Air France disparaissait dans l’Atlantique Sud faisant 228 morts. Cet accident, le plus important d’une compagnie française, a traumatisé Air France et ébranlé l’ensemble de la communauté aéronautique. Comment un avion moderne, réputé sûr, a-t-il pu se crasher sans panne majeure ? Qu’en était-t-il de la sécurité des vols chez Air France en 2009 ? AF avait eu trois accidents majeurs en moins de dix ans – Concorde en 2000, Gonesse, 113 morts ; A340 en 2005, Toronto, aucune victime, mais destruction de l’appareil par le feu ; et A330 en 2009, Atlantique Sud, 228 morts –, ce qui en a fait une compagnie extraordinairement résiliente aux accidents. En effet, d’autres ont disparu après de telles circonstances, comme Pan Am en 1991 (B747 en 1988, Lockerbie Écosse, 270 morts), TWA en 2001 (B747 en 1996, Moriches USA, 230 morts) ou Swissair en 2002 (MD-11 en 1998, Peggy’s Cove Canada, 229 morts). Voici un tableau comparatif du nombre de décès dus aux accidents aériens, entre 1960 et 2010[1], de trois compagnies européennes de tailles similaires, Air France, British Airways (BA) et Lufthansa (LH) : (a). UTA, DC-10, attentat au Ténéré en 1989, 170 morts. Air Littoral, Bordeaux en 1987, 16 morts. (b). Air Inter, Mont Sainte-Odile en 1992, 87 morts. TAME, Bogota en 1998, 53 morts. (c). Germanwings, suicide du pilote, dans les Alpes en 2015, 150 morts. Ce qui interpelle, c’est l’écart entre les résultats. En effet, à partir des années 1980, British Airways et Lufthansa sont des compagnies sûres. Chez AF, le protocole d’analyse des vols, signé par le Syndicat national des pilotes de ligne et la direction en 1974, a dû contribuer à une baisse significative des accidents puisque, de 1980 à 2000, il n’y a eu que dix décès en avion propre AF. Alors pour quelles raisons, à partir de 2000, AF ne pratique-t-elle pas un niveau de sécurité équivalent ? Quant aux Allemands, le sens du consensus pour trouver des accords entre direction et partenaires sociaux ainsi que leur discipline sont certainement à mettre à l’actif de leur performance, excepté pour Germanwings. On peut également se demander pourquoi le premier transporteur européen, Ryanair, tant décrié pour maltraiter son personnel et ses passagers, n’a jamais eu d’accident mortel en trente-quatre ans d’existence (1985). Après l’accident de la navette spatiale en 2003, le rapport du Columbia Accident Investigation Board (CAIB) fut sans complaisance sur les causes et les remèdes à apporter à l’agence spatiale américaine. Il lui était reproché une culture orientée vers l’économie et gérée par une administration interne trop lourde. Pour redresser la situation, le CAIB considérait que changer les hommes n’était pas suffisant et qu’il fallait aussi modifier l’organisation et les procédures de la Nasa, c’est-à-dire la culture d’entreprise, ce qui devait prendre beaucoup de temps, certains spécialistes parlant de dix ans. Le professeur Patrick Hudson[5] précise que la sécurité aérienne n’est jamais un objectif facile à atteindre pour des organismes complexes. En reconnaissant l’importance de la mise en place d’une culture de la sécurité en leur sein, Hudson avance l’idée que seule une révolution dans la manière de penser des gestionnaires pourrait réellement garantir la sécurité. « Les accidents fournissent des preuves éclatantes et irréfutables de la gravité des dangers. Trop souvent, il faut qu’une organisation ait fait l’expérience de la nature catastrophique et extrêmement coûteuse des accidents pour qu’elle se décide à allouer des ressources en vue de réduire ou d’éliminer les conditions dangereuses jusqu’à un niveau qu’elle n’aurait pas atteint en d’autres circonstances (OACI[6]) ». Les compagnies gèrent la sécurité sous trois formes différentes. De manière : – réactive. Après qu’un accident ou qu’un incident grave (visible) s’est produit, la compagnie applique les recommandations du Bureau Enquêtes et Accidents (BEA), puis « attend » le suivant ; – proactive. Elle met en place plusieurs outils : un service d’enregistrement de tous ses vols qui analyse les écarts, un retour d’expériences efficace et des audits réguliers. Le traitement de toutes ces données permet d’identifier et de hiérarchiser les menaces pour la sécurité, afin de mettre en place des procédures correctives avant qu’un nouvel accident se produise ; – prédictive, par une anticipation des menaces à venir, en fonction des évolutions techniques, environnementales et législatives, ou en raison d’une nouvelle activité (par exemple se lancer dans le long-courrier). Toute menace potentiellement dangereuse doit être traitée comme si elle existait (Clausewitz[7]). Après le Toronto (2005), AF a commencé à prendre conscience de sa situation et a mis en place un programme de redressement (rapport Colin, 2006). Mais l’inertie de l’entreprise n’a pas permis de passer en pente ascendante (vario positif pour les pilotes). Il aura malheureusement fallu la catastrophe du Rio-Paris (AF447) pour produire un véritable électrochoc et un réel changement de situation. Toutefois, la compagnie n’était pas la seule en cause dans cette tragédie. L’État et ses administrations n’ont pas fait leur travail, notamment la DGAC qui n’a pas su mesurer l’importance du risque associé au défaut des sondes pitot. L’État, actionnaire d’Air France, la dirigeait en sous-main sans réelle compétence aéronautique, et aucun employé ne pouvait imaginer qu’une telle entreprise puisse un jour disparaître. Ainsi le service Prévention et sécurité des vols était géré comme une composante ordinaire de l’entreprise, placée en 4e position dans la Direction des opérations et du développement technique, elle-même en 5e position de l’organigramme de la Direction générale des opérations aériennes, alors que la Sûreté opérations aériennes se situait en 1re position. Les dirigeants étaient issus de l’establishment : haut fonctionnaires, chefs d’entreprise, nommés pour service rendu. Rares étaient ceux qui provenaient du milieu aéronautique, comme l’est aujourd’hui Ben Smith. L’accès aux postes importants se faisait dans un jeu de chaises musicales, où les compétences importaient moins que la patience. L’organisation décourageait toute initiative, et chacun défendait son pré carré. Après l’accident du Toronto, j’ai été démis sans ménagement de mes fonctions aux Facteurs Humains par son responsable (JFT), qui a menacé de bloquer mon avancement, pour avoir osé écrire au président Spinetta pour dénoncer les manquements en matière de sécurité des vols[8]. Pourtant une réponse formelle aurait consisté à nommer un directeur de la sécurité, un pilote dont la sécurité serait la spécialité, qui aurait disposé de moyens suffisamment puissants pour assurer sa mission. Il aurait fallu que ce haut responsable (directeur général) soit en relation directe avec le président de la compagnie (au même niveau que le DG Sûreté), avec une autorité sur l’ensemble des services qui impactent, de près ou de loin, la sécurité des vols, tout en étant indépendant de tous facteurs économiques pouvant corrompre sa démarche. Airbus, enfin, a une part de responsabilité non négligeable. J’ai à mon actif 9 000 heures de vol sur A320 : je connais donc les qualités et les défauts des Airbus à commandes de vol électrique de première génération. Si l’avion est agréable à piloter et facile à mettre en œuvre, il devient difficile à traiter pour certaines pannes. Le système qui gère les pannes (ECAM) ne facilite pas toujours leur compréhension. Il y a aussi des aberrations chez Airbus, à commencer par les commandes de vol non conjuguées (les minimanches ne sont pas reliés entre eux) et les manettes de poussée fixes, ce qui enlèvent les perceptions tactile des minimanches (que fait l’autre pilote en pilotage manuel) et visuelle des manettes qui ne bougent pas en fonction des variations de régime des moteurs. Il faut lire l’information à l’ECAM, faisant davantage des Airbus des avions d’ingénieurs que de pilotes. De même, l’alarme de décrochage fonctionne avec l’anémomètre plutôt qu’à l’incidencemètre dont elle dépend directement. J’ai fait des tours de piste en A320 sans anémomètre, juste à l’incidencemètre, et cela se passait très bien. Pourquoi l’administration a-t-elle laissé faire ça ? Pour aider son champion ? Avec une FAA complaisante, on voit aujourd’hui dans quelle situation se retrouve Boeing avec le 737 Max et son système anti décrochage, Maneuvering Characteristics Augmentation System (MCAS), qui répond à l’inverse de ce qui est attendu. Airbus a fait preuve d’un orgueil démesuré en prétendant que ses avions ne pouvaient pas décrocher. Cela est typique du « syndrome du Titanic » : inutile d’apprendre à récupérer un avion en décrochage, ou même impossible d’imaginer qu’il puisse décrocher. C’est toujours cela d’économisé pour former les pilotes… Pourtant, déjà en 1994, lors d’une campagne d’essai du moteur Pratt & Whitney chez Airbus à Toulouse, un A330 avait décroché faisant sept morts, dont le chef pilote des essais en vol qui était aux commandes. Si la personne la plus compétente dans le domaine de l’utilisation d’un avion de ligne peut se faire « piéger » sans panne aucune, que peut-on alors attendre des pilotes de base, en milieu de nuit, par conditions orageuses avec une panne ? L’élément déclencheur de l’accident fut un défaut des trois sondes pilot (blocage par cristaux de glace) qui alimentent des calculateurs pour obtenir l’information de vitesse air. Cette panne a aussi privé le pilote automatique d’informations nécessaires à son fonctionnement, qui s’est déconnecté laissant brutalement les pilotes face à une situation complexe et avec peu de temps pour la diagnostiquer. Les systèmes de l’avion (dont l’architecture interne repose sur une grande autonomie) transmettent aux pilotes des alarmes qui ne sont pas suffisamment progressives et qui ne permettent pas de dialogue entre l’homme et la machine. Trop souvent les systèmes se déclarent en panne tardivement, sans anticipation, lorsqu’ils ont épuisé toutes leurs possibilités de restauration, générant un « effet falaise », exigeant alors des pilotes d’être des super-opérateurs, à la « James Bond », capables d’intervenir efficacement et rapidement au moment ultime. Comment peut-on expliquer qu’un équipage expérimenté n’ait pas entendu l’alarme décrochage stall retentir plus de soixante-dix fois ? L’examen des mécanismes neuronaux impliqués dans la prise de décision sous stress met en évidence des biais d’inhibitions (blocages) où la surdité non intentionnelle est plus courante que la cécité. Les résultats des neurologues définissent celle-ci comme un phénomène cognitif essentiel pour la sécurité aérienne. Ainsi, l’objectif opérationnel du travail sur le « contexte » peut se résumer en une phrase : « Avoir la bonne information au bon moment sous le bon format (Pinet[9]). » Apprendre à gérer les situations complexes, voire incompréhensibles[10], impossibles à élucider en un temps limité (celui de la durée critique du vol), repose sur des schémas mentaux difficilement représentables pour des esprits cartésiens, pour lesquels tout problème doit trouver une solution rationnelle. En particulier pour les pilotes français dont « le niveau moyen intellectuel, supérieur aux autres compagnies, pourrait parfois être lu comme un handicap sur des machines complexes, conçues, par d’autres intelligences, pour être utilisées sans interprétation. » La surconfiance engendrée par le très haut niveau de fiabilité des avions modernes fragilise les pilotes qui ne sont plus préparés à faire face à des situations inattendues comme une panne improbable. L’analyse des incidents en vol montre, par l’enregistreur de vol vocal, que leurs réactions sont parfois bien différentes de celles observées lors d’une séance de simulateur. Et pourtant, les pilotes impliqués ne sont pas toujours considérés comme « mauvais » au simulateur, au contraire. La formation, essentiellement orientée vers le simulateur au détriment des contrôles en vol, crée un biais entre virtualisation et réalité, propice à favoriser les situations de déni, laissant croire que l’évaluation des compétences des pilotes, et les pannes associées, se situent au sol dans un hangar plutôt qu’en vol. ___________________________________________________________________ [1] D’après Aviation Safety Network de la Flight Safety Foundation. [2]. Air France (1933), UTA (1963-1990), Air Inter (1957-1997). [3]. British Airways (1974), British Overseas Airways Corporation (1939-1974), British European Airways (1946-1974). [4]. Lufthansa (1926), Lufthansa Cargo (1994), Lufthansa CityLine (1958), Lufthansa Regional (2004), Germanwings (1996). [5]. Professeur au Centre for Safety Research de l’université de Leiden aux Pays-Bas. [6]. Manuel de gestion de la sécurité (MGS), OACI 2006. [7]. « En raison de leurs conséquences, les événements possibles doivent être jugés comme réels. » [8]. Extrait de mon courrier en date du 26 septembre 2005 : « Après l’accident du Concorde, nous avons eu deux événements majeurs de nature à ruiner Air France : le 25/09/2001, une quasi-collision à l’aéroport de Mexico entre un de nos Boeing 777 et un DC 8 de DHL au décollage. Le DHL effectua une manœuvre d’urgence sortant délibérément de la piste à grande vitesse pour éviter la collision. Puis, cet été, à Toronto, avec la sortie de piste et la destruction par le feu d’un Airbus 340, que tout le monde a encore à l’esprit. Ces deux catastrophes ratées, qui n’ont fait miraculeusement aucune victime, doivent cependant être perçues comme les précurseurs d’une véritable tragédie. » [9]. Guy Boy, Jean Pinet, L’être Techno-Logique, une discussion entre un chercheur et un pilote d’essais du Concorde, L’Harmattan, 2008, p. 243. [10]. L’incident du Qantas 32 a cumulé cinquante-deux pannes liées aux systèmes informatiques, théoriquement indépendants.
Air France 447, Rio-Paris : le procès
2770
1 j'aime. Vous n'aimez plus ce post1
Les pilotes d'avion sont les nouveaux maréchaux-ferrants
2240
Vous n'aimez plus ce post
AIRWAYS N°11 - octobre/novembre/décembre 2018
1270
Vous n'aimez plus ce post
Mes derniers vols : ultime séance
Premier acte : nous sommes en vol de retour de Rio, au-dessus de l’Atlantique Sud, au niveau de vol 340 (10300 m), nous avons devant nous une masse nuageuse isolée que j’observe à l’extérieur et au radar de bord. À la préparation du vol, l’application météo (eWAS de Pilot Mission) faisait apparaître dans cette région un risque de cristaux de glace, ce que semble confirmer l’image radar. Je demande au contrôle aérien de Canarias une déviation par la droite, mais il est occupé avec un autre avion. Après plusieurs minutes, nous commençons la déviation sans son approbation et nous effleurons le nuage de faible densité. J’entends le bruit caractéristique de la pluie surfondue qui crépite sur le pare-brise ; la température d’impact extérieure est à 0 °C (TAT), alors qu’elle était encore à – 20° quelques secondes auparavant. Il y a des vibrations moteur, et j’ai peur que les moteurs ne givrent. Nous avons tous en tête la catastrophe du Rio-Paris, il y a bientôt dix ans, et nous nous méfions du risque de givrage des sondes pitots et des moteurs. Mais nous sommes de jour, et il fait beau, ce qui peut laisser croire que c’est moins risqué. Nous ressentons une embardée, puis apparaît l’alarme « ENG FAIL R ». Je sens le pilote automatique qui contre la dissymétrie de poussée avec l’arrêt du moteur droit. Nous analysons la situation avec le copilote, et d’un coup tous ses écrans s’éteignent. Je ne le crois pas : le deuxième moteur vient aussi de s’arrêter ! Nous sommes en vol plané, et l’alarme « Autopilot Disconnect » sonne sans interruption, jusqu’à ce que je l’arrête. Je prends les commandes en manuel, car j’ai encore mes deux écrans en fonctionnement devant moi et je pousse légèrement sur le manche pour mettre l’avion en descente et éviter que la vitesse ne se casse la gueule. Je lance la « Dual Engines Fail/Stall » procédure ; le copilote effectue les actions d’urgence en resetant les deux moteurs par l’alimentation carburant (Fuel Control) et confirme la sortie de la RAT (éolienne sous le ventre de l’avion qui permet d’avoir rapidement un minimum d’énergie électrique et hydraulique, notamment pour les commandes de vol). À 255 tonnes, je trouve l’avion lourd à piloter. Nous sommes en loi de pilotage direct : les calculateurs de vol ont disjonctés après la perte du réseau électrique, il ne reste plus que la batterie de l’avion en ultime secours. Le copilote lance un « Mayday » et informe le contrôle d’une descente d’urgence après une panne moteur. Nous sommes sortis du nuage, et il fait un temps magnifique. Nous voyons les îles des Canaries et même la côte africaine. Le temps semble s’immobiliser, et j’en viens presque à aimer ce moment si exceptionnel. Mais il nous faut sortir rapidement d’une situation potentiellement catastrophique. Je me recentre sur la panne. Le copilote a retrouvé ses écrans, et je lance la « Dual Engines Fail/Stall » checklist » (suite de la procédure commencée de mémoire), alors que le moteur gauche est déjà reparti. Nous essayons de redémarrer le moteur droit mais sans succès. Il va falloir se poser sur un terrain de secours pas trop loin, car j’ai peur que le moteur restant ait lui aussi souffert. Je me remémore la vidéo que l’on nous avait montré en instruction : le dépôt de glace au pied des pales du stator du réacteur qui se détache et percute violemment celles du rotor, provoquant la destruction et la déformation d’aubes. Et comme un problème n’arrive jamais seul, il n’y qu’un terrain de secours disponible dans le secteur, qui est Fuerteventura (FUE/GCFV), petit aéroport qui n’est même pas disponible dans notre documentation de bord électronique, ni dans le FMS… Le contrôle nous autorise à rejoindre le terrain et descendre vers 4000 ft, mais je préfère arrêter la descente plus haut pour une éventuelle vidange carburant en vol afin d’éviter une pollution au sol et de se poser pas trop lourd, car la piste n’est pas immense. Entre-temps j’ai appelé Michel, notre chef de cabine principal, et je lui ai expliqué brièvement la situation en lui donnant environ trente minutes de vol avant l’atterrissage pour qu’il prépare sa cabine passager (phase 2), car il y a un risque de sortie de piste à l’atterrissage Je m’assure qu’il ait bien compris la situation et je repars dans nos préparatifs. Il y a une procédure spéciale pour se poser sur un terrain non répertorié dans la data base, qui prend du temps. En douze ans, sur B777, je ne l’ai effectuée qu’une fois au simulateur, mais c’était la première fois pour le copilote. J’ai rappelé le copilote de renfort dans le poste de repos pour nous aider pour les calculs de performance d’atterrissage (tableaux). Finalement, il n’y a pas eu besoin de vidanger, et d’un commun accord nous avons opté pour se poser en piste 01. J’ai pris le temps de faire une annonce en français et en anglais aux passagers pour leur expliquer la situation. Entre-temps, le copilote de renfort a appelé le centre de contrôle des opérations aériennes d’Air France à Paris (CCO) pour préparer notre arrivée, prévoir des possibilités de réacheminement des passagers par d’autres compagnies et trouver des chambres d’hôtel pour ceux qui ne pourraient pas repartir rapidement ainsi que pour l’équipage. En approche finale de la 01 de Fuerteventura, je débraye le pilote automatique et je trouve l’avion facile à piloter en monomoteur. L’atterrissage est plus court que prévu : je suis passé légèrement sous le plan du seuil de piste décalé de 1000 mètres et j’ai freiné manuellement en enfonçant les pédales au maximum. Finalement, je me suis arrêté bien avant la fin de la piste. Les pompiers, qui nous attendaient en bout de piste, sont là rapidement. Je mets le frein de parc et je leur demande de vérifier l’état de l’avion et des moteurs avant d’envisager de gagner le parking, car je ne suis pas sûr que l’escale dispose d’une barre B777 pour tracter l’avion jusqu’au terminal. Acte deux : nous sommes maintenant au décollage de Rio en piste 33 à 335 tonnes, proche de la masse maxi. Loïc, le copilote, est à la manœuvre. À la vitesse d’envol (VR) de l’avion, le moteur droit se met à pomper. Nous appliquons la procédure d’urgence jusqu’à ce que le moteur ne tousse plus. Entre-temps nous avons pris l’avion en cap manuel pour le sortir de sa trajectoire de départ et suivre celle de secours qui nous permet d’éviter le relief. C’est une trajectoire qu’il faut suivre précisément lorsque l’on n’est pas en vue des obstacles, ce qui est le cas. De plus, cette procédure (à la française) est très complexe : il y a trois possibilités de suivi de la trajectoire en fonction d’où survient la panne. Cependant, le « Stall » du moteur s’est transformé en feu moteur. Nous voilà donc partis dans la procédure feu moteur : nous coupons le moteur tout en surveillant la trajectoire de près, car en perdant 50 % de sa puissance, l’avion à masse élevée à vraiment du mal à monter. Loïc a eu le temps de prendre un top chrono à la percussion de la première bouteille d’extincteur moteur, tandis que je m’étonne à haute voix de ne pas voir le chronomètre de la checklist s’afficher pour le décompte de la percussion de la deuxième bouteille, dans le cas où le feu ne serait pas éteint, et c’est le cas. Je m’imagine être obligé de revenir rapidement avec un avion aussi lourd et avec un feu non maîtrisé. Vidanger en vol n’est pas envisageable et nous transformerait en torchère… Les trente secondes de décompte sont passées, et je percute le deuxième extincteur. Ouf ! L’alarme incendie du moteur s’est éteinte… L’instructeur simulateur me fait alors remarquer que la première bouteille était défectueuse : elle ne s’était pas vidée, et son voyant de décharge ne s’était pas allumé. Il y a eu un raté dans mon action contrôle : j’aurais pu percuter l’autre bouteille plus rapidement… Nous avons eu ensuite d’autres exercices de vent rabattants (windshear) au décollage et à l’atterrissage. La séance simulateur s’est terminée avec un petit goût d’amertume pour avoir mal réalisé l’exercice « feu moteur ». Mais, c’est aussi le principe d’entraînement périodique au simulateur. Au parking, en normalisant le simulateur, Michel l’instructeur (qui a joué les rôles des contrôleurs aériens, du chef de cabine, du deuxième copilote, etc.) me serre la main et me félicite : « Tu sais, pour moi aussi c’est mon dernier simu en tant qu’instructeur, j’ai terminé mon mandat et je pars à la retraite dans un an. » Voilà, c’était le 27 janvier 2019, la dernière séance simulateur de ma vie, après y être passé deux fois par an depuis plus de trente-trois ans, du Mystère 20 au Boeing 777, trente-trois ans de souffrance à endurer des exercices difficiles, avec parfois des sentences dures, où l’on ne vous laisse pas repartir en vol sans un nouvel entraînement. Mais c’est aussi l’obligation de résultat nécessaire pour maintenir un niveau de sécurité élevé. Mais ce jour-là, malgré une séance dominicale très matinale (commencée à 5 heures), je sors du simulateur avec la banane : fini la boîte à torture ! La retraite, c’est pour début avril. J’aurai soixante-trois ans.
Mes derniers vols : celui du cargo
C’était le 29 janvier 2019, mon dernier vol en cargo B777F, car je pars à la retraite début avril, sans en avoir un autre programmé. L’atmosphère n’est pas du tout la même sur un avion-cargo. Ce n’est pas l’ambiance feutrée du long-courrier, bien au chaud en hiver et au frais l’été, des passagers qui s’installent tranquillement en business ou en première classe, avec le sourire de l’hôtesse en plus. Non, ça se passe dans le bruit des transpalettes qui chargent le pont principal au milieu des courants d’air, des portes ouvertes, qui donnent directement sur l’extérieur, avec l’assistant du chargement qui annonce que ça va être plus long que prévu. Une fois, c’était le vilebrequin de 25 tonnes d’un navire qui avait du mal à rentrer, placé sur une série de palettes. J’avais été vérifié si le fret compressible[1], positionné derrière la cloison du galley et du cockpit, était bien attaché, en cas de décélération brutale… Nous ne sommes plus sur B747 avec son cockpit au-dessus. Malgré ces inconvénients, il règne un esprit aventurier sur ces vols qui sortent de l’ordinaire, avec des itinéraires et horaires inhabituels, souvent des changements de destination en cours de rotation, et régulièrement en retard. Le B777F est un mélange de B777 200 et 300, il a des performances et des procédures différentes. De plus nous sommes livrés à nous-mêmes, en effet nous assurons la sécurité de la partie avant, composée du galley, du poste de repos, des toilettes et de quatre sièges pour d’éventuels accompagnants ou mécaniciens pour l’Afrique. Ce travail de vérification avant le départ est dédié aux hôtesses et stewards et nous faisons notre popote, dont les copilotes sont les experts. En termes de pilotage, au retour d’Afrique notamment, nous nous faisons plaisir après le décollage lorsque l’avion est vide : le 777F monte comme un Learjet, se satellise au FL430 (13 000 mètres), altitude maximum de certification, en moins de quinze minutes, là où il en faut le double lorsqu’il est plein. Aujourd’hui, nous sommes trois pilotes pour aller à Chicago et nous rentrerons deux jours plus tard, en passant par Prestwick en Écosse, déposer du fret, parfois ce peut être des chevaux. Chicago O’Hare (KORD) est l’un des aéroports les plus denses au monde avec ses sept pistes (il y en a quatre à Roissy). La météo annonce une vague de froid dans la région des Grands Lacs : le vortex polaire, ou plutôt le jet stream polaire, descend sur l’Amérique du Nord, – 30 °C et vent prévus pour les prochains jours… Nous nous sommes donc couverts en conséquence. Au départ de CDG, nous avons effectué un retour au parking à cause d’une panne de conditionnement d’air, qui n’est pas partie après la mise en route des moteurs, malgré l’assistance de la mécanique par radio, et avons fait rajouter 700 kg de pétrole brûlé. À l’approche de la dépression Gabriel, il neigeait légèrement à Roissy avec une température de + 3°C. Comme tout le monde ici (à part Air Algérie), nous avons dégivré l’avion et pris une tonne de carburant supplémentaire pour le temps nécessaire à cette procédure de dégivrage. En vol, nous avons eu des problèmes de connexion (LOGO ON) du système de communication avec le contrôle aérien, qui nous permet de dialoguer par écrit, nous obligeant à faire nos reports de position au-dessus de l’Atlantique par radio HF, ce moyen de transmission devenu archaïque. L’imprimante de bord faisait aussi des siennes pour la prise des météos… Arrivés à Chicago, après le passage du front neigeux, la température au sol est déjà de – 20 °. L’air plus dense oblige à majorer les minimas d’atterrissage de 30 pieds. Nous nous posons sur la piste 28C, avec le freinage automatique mis sur 4 et Jean-Charles, l’un des copilotes, à la manœuvre. Il passe les reverses « Full », le vent est dans l’axe, et l’avion freine sans à-coup. Il dégage la piste à faible vitesse par la droite sur le taxiway Papa, puis nous attendons pour retraverser la piste pour nous diriger vers notre zone de fret, située au sud de l’aéroport (Southest Cargo). Les taxiways ont été partiellement déneigés, mais pas celui qui donne accès au cargo (Fox), nous nous avançons donc prudemment dans 20 centimètres de neige en suivant les traces des autres avions et en essayant de rester bien au milieu du taxiway. Pour pénétrer dans la zone de fret, il n’y a qu’un taxiway (common use TXY) qui dessert différents hangars, dont celui d’Air France. Avant d’entrer, il faut s’annoncer sur la radio en auto-information (sans contrôleur) pour s’assurer qu’il n’y a pas un autre avion qui est en train de partir. Si c’est le cas, nous attendrons qu’il sorte. Nous arrivons au parking avec 90 tonnes de fret et une heure et deux minutes de retard. Un van nous amène au terminal passager pour les formalités d’entrées. Il y a peu de passagers – la moitié des vols ayant été annulés –, mais certains arrivent de Punta Cana, en tongs, short et tee-shirt… Durant l’escale, au petit-déjeuner, nous rencontrons un équipage Airbus. Malgré le froid (il fait – 28 °C et il y a du vent), nous décidons de sortir et d’aller jusqu’au bord du lac Michigan qui fume, car de la vapeur se forme au contact de l’air très froid sur l’eau et la glace plus chaudes. L’air brûle les poumons, et, lors du retour à l’hôtel, face au vent, j’ai l’impression d’avoir le visage transpercé par mille aiguilles de glace. Nous faisons des haltes tous les quarts d’heure pour nous réchauffer dans un magasin ou dans un bar. Le départ du vol retour, prévu initialement à 0050TU (18 h 50 locale), est décalé à 0230TU (20 h 30) à cause de l’arrivée tardive de l’avion. Parvenus en navette au bâtiment du fret AF, l’agent qui nous accueille nous remet le dossier de vol et nous invite à patienter, car notre avion n’est pas encore arrivé, il est bloqué à l’entrée de l’aire du fret. En effet, un avion-cargo se fait dégivrer sur le taxiway commun alors que la procédure est de le faire au parking, faisant ainsi attendre deux autres avions, dont le nôtre. La sentence ne se fait pas attendre : 15 000 dollars d’amende pour le contrevenant. En montant dans l’avion sur l’escabeau enneigé, je me tiens fermement à la rampe avec ma main droite et je porte ma valise de la main gauche, en mettant le pied sur le seuil de porte en inox de l’appareil, je glisse et manque de tomber, rattrapé par les agents d’opération qui nous attendent à bord. Nous nous installons, mais il est impossible de s’isoler dans le cargo : il n’y a pas de porte au cockpit, juste un rideau. Un froid sibérien règne, je demande alors à ce que la porte d’entrée de l’avion soit fermée, ce qui arrange aussi un agent de la sûreté, qui reste à bord jusqu’à notre départ. La température remonte à 15 ° avec le chauffage à fond. Le dispatch du CCO (Centre de contrôle des opérations) d’AF me téléphone, car il s’inquiète des difficultés avec la neige et du retard. Il nous a fait sauter l’escale de Prestwick pour ne pas dépasser la butée d’amplitude de temps de travail. Il a calculé que la limite au-delà de laquelle nous ne serions plus réglementaires (à cause de la fatigue) est une arrivée à Paris à 1315TU au plus tard. Nous faisons nos calculs, et je fixe la butée de départ de Chicago à 0515TU (23 h 15 locale). Pendant que l’avion est déchargé puis rechargé, nous sommes dans les préparatifs, notamment dans les calculs de protection antigivrage. En effet, il neige, et la visibilité est impactée. Il fait tellement froid que la protection ne dure que 20 minutes, voire 10, puisque le temps de protection commence au début des opérations de dégivrage, qui est déjà de 10 minutes. Autrement dit, il est impossible d’arriver jusqu’à la piste de décollage, la 28R en l’occurrence. Les contrôleurs aériens ne comprennent pas cette situation (pourquoi une protection aussi courte), ils n’ont jamais été confrontés à une telle météo. British Airways et Turkish Airlines s’en inquiètent, comme nous, et demandent s’il n’y a pas d’aires de dégivrage plus proches des pistes comme à Roissy. Non. Nous sommes dans l’impasse, et je m’imagine devoir retourner à l’hôtel. Le deuxième copilote, Pierre-Yves, ancien ingénieur, gère parfaitement les calculs de temps d’antigivrage. À force d’attendre, la météo finit par s’améliorer, la température remonte doucement, les précipitations diminuent. Enfin à – 18 °C, nous changeons de case dans le tableau de protection d’antigivrage, nous passons d’un coup à + 40 minutes de protection. Lors du briefing départ, nous avons défini un carburant pour le vol et, comme à l’aller, pris plus pour le roulage. Ne sachant pas combien de temps cela prendrait, nous avons pris 4 tonnes, sur les conseils de Jean-Charles, un ancien de l’Airbus 330/340 qui connaît le mieux le terrain. Le plan de vol avait été repoussé à 0330TU (21 h 30), finalement nous quittons le parking à 0501TU (6 heures de Paris), avec quatre heures et onze minutes de retard. Je suis déjà fatigué et j’ai les pieds gelés. Une fois en vol, le retour de nuit s’est passée sans anicroche, et, sept heures plus tard, le 1er février, je pose le cargo à Roissy. Il a neigé, mais la piste 26L et les taxiways sont totalement dégagés. Il fait 6 °C, pour nous, c’est le printemps. Mais il paraît que la région a été mise en état d’urgence météo… Nous arrivons au parking cargo de CDG à 13 h 40 locale, avec 99 tonnes de fret, dont un réacteur d’avion, et malgré une heure quarante-cinq de repos pendant le vol, je suis épuisé. ------------------------------------------ [1]. Le B777F n’a pas donné satisfaction au test de certification de décélération de la FAA à 9 g de palettes lourdes retenu par un filet en acier de protection pour le cockpit. Des palettes tampons sont donc positionnées en amont, constituées de produits compressibles (comme certains produits pharmaceutiques) pouvant absorber l’énergie de palettes lourdes.
Mes derniers vols : Santiago du Chili, destination mythique
J’avais fait un desiderata pour obtenir un dernier Santiago du Chili avant mon départ à la retraite. C’est la destination la plus longue du réseau d’Air France : 14 heures de vol en Boeing 777. C’est aussi une destination mythique : celle de l’Aéropostale des années 1920-1930 et des pionniers de grands raids aériens qui croyaient, malgré un nombre impressionnant d’accidents, que ce type de transport était l’avenir. Les récits de Saint-Exupéry ont bercé mon adolescence à travers les aventures de Mermoz, Guillaumet et les autres… La ligne Toulouse-Santiago du Chili se composait d’une succession de déserts à franchir. À commencer par le Sahara, entre Casablanca et Dakar, où les Maures guettaient les naufragés du ciel pour les échanger contre rançon. Ensuite venaient des déserts de vagues, puis de forêts, jusqu’à Buenos Aires, et enfin de sable et de glace pour la traversée de la cordillère des Andes. En 1931, Mermoz effectua la première traversée de l’Atlantique Sud, entre Dakar et Natal, la distance la plus courte entre les continents africain et sud-américain. Le vol se fit en en monomoteur Latécoère 28, en 19 heures, sans copilote ni pilote automatique, à la moyenne de 160 km/h. Les pilotes décollaient souvent de nuit afin d’arriver de jour sur la côte d’en face. Ces vols ne pouvaient se faire que lorsque la Lune était présente à plus de sa moitié, c’est-à-dire seulement pendant quinze jours par mois. Celle-ci leur servait de projecteur pour éviter et contourner le front intertropical, cette redoutable masse nuageuse, toujours présente autour de l’équateur en milieu maritime, appelée aussi Pot-au-noir par les marins. Mermoz disparut cinq ans plus tard dans l’océan, après la panne d’un moteur de son quadrimoteur Latécoère 300. En 2009, Air France subissait aussi le plus grave accident de son histoire : la disparition d’un Airbus 330 (Rio-Paris) toujours dans l’Atlantique Sud. Cette destination, c’était aussi le survol du lac Diamante, où s’est crashé Guillaumet, le 3 juin 1930, avec un Potez 25, au pied du volcan Maipo (5 223 m) que l’on survolait encore lorsque l’on faisait la bretelle entre Santiago et Buenos Aires, dans les années 2000 en B777. Pour survivre, Guillaumet traversa la Cordillère seul à pied, avant d’être secouru par des paysans. En s’adressant plus tard à Saint-Exupéry, il lui dit : « Ce que j’ai fait, je te le jure, jamais aucune bête ne l’aurait fait » (Terre des hommes, Saint-Exupéry). Je me suis promis, une fois en grandes vacances, de venir faire un pèlerinage sur ce lieu symbolique avant 2030… Ce dernier vol vers Santiago était aussi l’occasion de revoir mon ami José Miguel Ramos, mécanicien chez Air France, qui est aussi mon fournisseur attitré de vins chiliens. Mais ma mère (86 ans) s’est aussi invitée au voyage. Elle voulait faire un dernier vol avec son pilote de fils. Je lui avais pourtant déconseillé, compte tenu de son âge, et proposé un New York, deux fois moins long, avec deux jours sur place, mais elle refusa, car elle ne connaissait pas le Chili. De plus les remplissages aller et retour n’étaient pas bons. Il était hors de question que je l’emmène sur un jump seat (strapontin), réservé au personnel de la compagnie, ou même en siège éco, dans la « bétaillère ». Finalement, au dernier moment, il restait trois places libres en business. Il y avait plusieurs menaces à gérer avec ce vol, notamment une immense zone nuageuse active en passant l’équateur, sur l’Amazonie, que j’estimais à deux fois la superficie de la France, mais la plus importante pour moi était de gérer ma mère. Voici quelques informations techniques concernant ce long vol. Nous sommes partis de Roissy en B777-300 (F-GZNQ) à la masse maximum décollage, soit 344,5 tonnes, c’est-à-dire avec très peu de marge carburant. Pour éviter la grosse masse nuageuse, une autre route, plus au nord, nous a été proposée par le dispatch des opérations aériennes, mais cela nécessitait de prendre 9 tonnes de carburant supplémentaire et de fret en moins, et rallonger le vol de plus 30 minutes. Après concertation avec mes copilotes, j’en avais trois[1] pour la circonstance, nous avons opté pour garder notre route initiale, mais en prenant 3 tonnes de carburant en plus pour éviter les orages et pour ne pas trop pénaliser la charge. Nous avons donc demandé au responsable du chargement de l’avion de retirer plusieurs palettes de fret. Dans le pire des cas, si les évitements météo s’avéraient importants et entamaient nos réserves finales de carburant, nous nous poserions avant l’arrivée pour refaire un ravitaillement. Situation exceptionnelle, mais qui ne me pose pas d’états d’âme. C’est un choix d’éviter autant que possible les orages. J’ai toujours été surpris de voir les faibles évitements que font certains copilotes, de peur de perdre du temps, de manquer de carburant à l’arrivée, avec le risque de s’enferrer au milieu des cumulonimbus. Pour une masse totale décollage de 344,5 tonnes (100 %), nous avons pris 127,5 tonnes de carburant (37 %) pour 47,2 tonnes de charge passagers, bagages et fret (14 %). La masse de base de l’avion (armement sécurité, commissariat hôtellerie, équipage, etc.) étant de 171,6 tonnes (50 %). Sur 125,7 tonnes de carburant, 114,5 tonnes ont été consommées durant le vol, pour 388 personnes à bord. C’est-à-dire, en prenant une densité carburant de 0,8, une consommation de 369 litres par personne, pour une distance de 6441 nautiques miles (11 929 km). Autrement dit, 3 litres aux 100 km par personne. Si je me risque à faire une comparaison avec une voiture à cinq places (personnes), cela représente 15 litres aux 100 km, mais à 900 km/h et sans faire d’arrêt. Avec une moyenne de 130 km/h, il faudrait 92 heures (soit 4 jours) et un réservoir d’essence de 1 800 litres pour arriver à destination. Cependant, c’est aussi 357 tonnes de CO2 rejetés dans l’atmosphère… J’ai mal pour ma planète. Finalement, la zone d’orage s’est avérée beaucoup moins active que prévue, et nous avons pu slalomer entre les nuages épars sans trop nous faire secouer et sans entamer la totalité de notre carburant supplémentaire. Même en aéronautique, les prévisions météo ne sont pas toujours exactes. À la fin du vol, le passage de la cordillère des Andes avec son magnifique panorama est le clou du voyage. D’autant qu’il fait toujours beau, contrairement à Lima ou à Vancouver (survol des Rocheuses). L’Aconcagua (6 960 m), en forme de dôme, au milieu d’un ensemble de montagnes, est le point culminant de l’Amérique du Sud et aussi le deuxième sommet au monde après l’Himalaya. Je suis surpris par le peu de neige qu’il y a sur les montagnes, même, si en cette fin de février, nous sommes en été austral. En termes de navigation, le passage de la Cordillère nécessite de définir un point de décision (pré-calculé) en cas de descente d’urgence, faisant suite à une dépressurisation de la cabine ou à une panne moteur. Habituellement, le terrain de secours (appui) utilisé est Mendoza en Argentine, le plus proche, de l’autre côté de la Cordillère. En arrivant à l’hôtel, nous sommes allés nous reposer. Puis rendez-vous à 18 heures pour le traditionnel pot équipage, près de la piscine, où Isabel, une des copilotes, fêtait ses 40 ans. José, le mécanicien, nous a rejoints, et je lui ai passé commande de six bouteilles de bon vin. Le lendemain, certains sont partis en randonnée, et j’ai amené ma mère visiter Valparaiso, autre lieu mythique pour les marins. Le jour d’après, celui du retour, le vol était aussi très chargé, et je m’inquiétais pour ma mère, mais pas elle, qui comptait sur sa bonne étoile. Il restait finalement un dernier siège en business… Moi-même, je n’ai pas toujours voyagé dans d’aussi bonnes conditions. Nous sommes partis de l’hôtel avec plus de 30 minutes de retard : la navette avait été prise dans un embouteillage à cause d’un accident sur la route. José nous attendait dans l’avion. C’est lui qui fera le départ au casque, relié à la coque de l’avion par un fil. Le dialogue entre l’agent du sol (José) et le pilote sera en français, habituellement en anglais pour les escales étrangères. José coordonnera le repoussage de l’avion avec le conducteur du tracteur, s’assurera de la bonne mise en route des moteurs et fera retirer la barre de tractage qui relie le tracteur au train d’atterrissage avant de l’avion. L’aéroport de Santiago Arturo Merino Benitez est entouré de petites montagnes et de la cordillère des Andes au nord. Le départ nécessite beaucoup d’attention en cas de panne moteur ou de pressurisation, trois points de décision ponctuent la montée jusqu’au passage de la Cordillère. Nous sommes près à partir, toujours en B777-300 (F-GZNP) à la masse de 342 t : – « José, tu me confirmes que les opérations de départ sont effectuées ? » – « Frein de parc relâché, bloc à 19 h 47 (2 minutes de retard), le push face à l’ouest pour la piste 17R. » – « Alex, la mise en route quand tu veux. » – « OK, on commence par le deux (moteur tribord). » C’est dans une longue complainte sonore que le plus puissant moteur au monde démarre. Le GE 90-115 (115 000 livres de poussée, soit 52,210 tonnes) a cette musique si caractéristique, reconnaissable parmi tous les autres moteurs d’avions. – « La mise en route est terminée, tu peux retirer le tracteur et te déconnecter. Merci pour tout, José, je t’attends cet été à Paris. » Le vol retour s’est passé sans encombre. ---------------------------------------------------------------------------------------------------------------------------------------------------- [1]. Les avions long-courriers se pilotent à deux minimum, cela peut aller de trois ou quatre pilotes, en fonction de la durée du vol et des différentes réglementations des compagnies. Par exemple, après 8 heures de vol, il faut un copilote de renfort, et au-delà de 12 heures, un deuxième. Certaines compagnies utilisent deux commandants et deux copilotes, qui se relaient à mi-parcours.
Mes derniers vols : San José, l'avant dernier vol
Air France propose aux navigants qui partent à la retraite de choisir un dernier courrier et d’y gréer l’équipage de leur choix. Habituellement, ils choisissent un courrier qui ne se situe pas à la limite de la date de départ pour, en cas de problème, pouvoir en réorganiser un. Il y a donc deux derniers courriers : celui avec un équipage constitué et l’ultime avant la date d’échéance de départ à la retraite. C’est-à-dire le 11 avril pour moi : soit un jour avant ma date anniversaire. Choisir le courrier se fait plusieurs mois à l’avance, sans réelle visibilité par rapport aux plannings en cours d’élaboration. J’ai ainsi découvert que la rotation que j’avais choisie était différente pour les pilotes de celle des hôtesses et stewards, ou du personnel navigant commercial (PNC). Autrement dit, je n’ai pas eu le même équipage PNC à l’aller qu’au retour, ce qui aurait pu gâcher la fête. Mais l’équipage retour s’est avéré très attentionné à mon égard. Pour obtenir deux copilotes, il faut en questionner six, compte tenu des engagements de chacun (personnel, congés, autre vol désidératé). En effet, il n’est pas possible d’être sur un dernier vol et en désidérater un autre. Idem pour les PNC : j’ai dû en questionner vingt pour en avoir cinq, avec des difficultés de communication entre les services pilotes et PNC. J’avais choisi un courrier exotique qui rentrait le 31 mars, date à laquelle les pilotes doivent avoir réalisé la saison de maintien des compétences théoriques 2018-2019 (eS1). Cela consiste en un travail sur iPad d’une vingtaine d’heures sur différents modules, avec contrôles à valider avant le 31 mars 2019. Habituellement je termine ces cours au dernier moment, mais, cette fois-ci, j’avais fini en janvier. J’ai donc pu mettre à profit un tout dernier courrier début avril. Même si pour celui-ci, qui s’est terminé le 7 avril, j’ai réalisé l’eS1 de l’année en cours valable un an, soit jusqu’en 31 mars 2020. Avant-dernier vol CDG – San José au Costa Rica – CDG (AF430 28/3 - AF431 31/3) J’avais proposé à Cédric, un pistard d’Orly chargé d’accueillir et de faire partir les avions, responsable de la zone avion (RZA), de m’accompagner sur ce vol. Ce jour-là, il y a eu une panne informatique chez Air France. À bord, nous avions reçu le devis préliminaire de masse et centrage, mais il était impossible d’obtenir le définitif avant le départ prévu à 15 h 55. Le temps passait dans l’attente du rétablissement de l’informatique. Au bout d’un moment, sur la fréquence escale, certains pilotes se sont lancés dans l’établissement d’un devis manuel, à l’ancienne, sur un imprimé papier. J’ai demandé à Benoît, le plus jeune des deux copilotes de s’y coller. Ça a pris du temps, car ce genre d’exercice ne se fait plus depuis le départ des chefs avions il y a dix ans sur long-courrier. Cédric nous a aidés pour le calcul et la répartition de la masse des conteneurs de fret et de bagages. Finalement, nous avons reçu notre devis électronique. En manuel, nous étions à plus ou moins 1 % d’erreur de la valeur du centrage de décollage électronique. Nous sommes partis avec 65 minutes de retard. Puis le vol aller s’est passé sans encombre. Avec mes collègues copilotes, Patrice et Benoît, nous ne connaissions pas San José (SJO), qui est une destination récente. J’ai fait la radio, et Patrice, ancien chasseur militaire, a posé l’avion et l’a laissé rouler pour dégager au bout de la piste 07, où se situait notre parking. Après une douche, je me suis rendu dans le hall de l’hôtel pour un pot équipage. Il y avait Muriel, la chef de cabine principale (CCP), Didier et Sonia (CC), laquelle m’a fait imprimer un tee-shirt « Libéré, délivré, je ne travaillerai plus jamais. Libéré retraité, c’est décidé je m’en vais ». Géraldine, une hôtesse, est venue avec une bouteille de champagne, accompagnée d’autres PNC. Thierry, un cadre pilote qui s’était occupé de moi lorsque j’étais en arrêt maladie m’a offert, par l’intermédiaire de Patrice, un tee-shirt relatant mes 18 000 heures de vol, du début de ma carrière professionnelle en Afrique, comme Thierry, jusqu’à mon départ sur B777. Le lendemain, nous sommes partis de bonne heure avec trois voitures de location au parc Manuel Antonio, sur la côte du Pacifique. Christophe, un steward, avait réservé des chambres dans un hôtel homonyme. Nous avions apporté des bouteilles pour un apéritif sur la plage au coucher de soleil, puis nous avons dîné au restaurant El Avion. L’équipage m’a offert une petite pancarte en bois peinte « pura vida, Costa Rica », où chacun avait écrit un mot. J’ai remercié l’équipage de l’aller et ceux du vol retour, dont le CC Éric qui nous avaient rejoints pour la circonstance. Tous m’ont souhaité une bonne et longue retraite. Le surlendemain matin, visite du parc avec un guide, puis retour à l’hôtel pour ceux qui repartaient avec moi, afin d’avoir un temps de repos d’au moins trois heures avant l’heure de réveil. J’avais révisé les performances décollage au départ de SJO. En effet, l’aéroport est situé à 1000 m d’altitude avec du relief autour, ce qui limite la charge et oblige à suivre une trajectoire spécifique en cas de panne moteur. D’ailleurs, l’escale limite le nombre de passagers au retour (- 50) pour qu’en fonction des conditions météo du jour aucun passager ne soit débarqué. Nous avons décollé à contre-sens du vent, en piste 25, ce qui était moins pénalisant grâce à une pente descendante et à une trouée d’envol dégagée permettant, malgré un léger vent arrière, d’emporter plus de charge. Au départ de l’hôtel, l’équipage PNC de l’aller était présent et m’a fait une ovation. En arrivant au comptoir AF du terminal de l’aéroport, les hôtesses sol m’ont accueilli avec un drapeau du Costa Rica sur lequel était inscrit « Vivement la retraite ». J’étais très touché, d’autant qu’à bord un gâteau avec la même inscription m’attendait. Le départ s’est fait avec dix minutes d’avance, et le temps de vol était inférieur de trente minutes au temps prévu, grâce à un vent favorable, ce qui nous a fait arriver avec beaucoup d’avance. Lorsqu’en vol l’on me demandait l’heure d’arrivée, je précisais : « Suffisamment en avance pour faire trois remises de gaz. » Et j’étais le pilote en fonction sur cette étape. À l’arrivée de Roissy, le temps était très beau (CAVOK), aussi j’ai décidé de faire une arrivée en pilotage entièrement manuel, sans automanette ni directeur de vol (qui permet de suivre très précisément la trajectoire). Mais je m’y suis mal pris, et sous le plancher de stabilisation (500 ft ou 150 m du sol), référence où tout avion doit être paré pour l’atterrissage, j’avais une vitesse trop importante. La remise de gaz s’imposait donc… Malgré un tour de l’aéroport et d’une partie de Paris, je n’ai pas mis l’avion en retard à l’arrivée. Lors du débarquement auquel j’assistais, les passagers m’ont souhaité une bonne retraite, prévenus par la CCP Catherine. L’un d’eux m’a dit : « Alors commandant, vous ne vouliez pas vous poser ! » Oui, c’était tout à fait ça. Avant de nous quitter, à la direction des opérations d’AF (DO), nous avons fait des photos devant le moteur du B777.
Mes derniers vols : San Francisco, l'ultime vol
CDG – San Francisco – CDG (AF082 3/4 - AF083 6/4/2019) Pour ce tout dernier vol, j’étais accompagné de mon épouse Cathy et de mes trois enfants, Charlotte, Sébastien et Margaux. Contrairement au vol précédent, je n’ai pas pu positionner de navigant. Sauf le copilote, Frédéric, un ancien militaire chasseur, avec qui j’ai fait plusieurs vols ces quinze dernières années, qui avait fait un desiderata à ma demande. J’ai donc découvert mon équipage en salle de briefing départ, content de partager cet événement, mais sans velléité particulière. Nous sommes partis en B777-200, et le retour s’est fait en 300 avec trois PNC supplémentaires. J’avais informé par mail l’équipage qu’il s’agissait de mon ultime vol ainsi que l’escale de San Francisco. Les remplissages au retour n’étant pas très bons, j’ai sollicité cette dernière afin qu’elle facilite l’accès de mes quatre accompagnants aux sièges business qui pouvaient être libres. Par précaution, j’avais pris quatre billets avec réservation (GP R1). En arrivant à la division B777/787, Éloïse, chargée de communication du site interne Air France « Pilot News », m’a proposé de faire une série de photos pour la postérité d’AF. Puis, en salle de préparation des vols, j’en ai pris une autre avec les agents qui impriment nos dossiers de vol. Une fois installé dans un box (34), Isabelle, l’agent qui avait préparé le vol, m’a appelé pour me faire part, de vive voix, des différentes options qu’elle avait étudiées. À la fin de son explication, je lui ai demandé de descendre du dispatch, situé au centre de contrôle des opérations (CCO), pour faire une photo souvenir de mon dernier départ de CDG. Ainsi le suivi du vol opéré par le dispatch a été très chaleureux. J’ai remercié le service par texte (ACARS), qui a été affiché au CCO, pour avoir veillé sur mes vols pendant tant d’années. Je me rends compte à quel point ceux avec qui nous travaillons, ou plutôt les prestataires qui travaillent pour nous, puisque nous sommes le point d’aboutissement pour faire voler un avion de ligne, sont sensibles à toutes marques de considération. Au départ de CDG, j’ai insisté auprès du responsable de la zone avion (RZA) pour partir à l’heure : c’est tellement rare sur gros-porteurs. Ce que nous avons réussi avec seulement une minute de retard, autrement dit à l’heure. Pour la circonstance, j’avais demandé à mes copilotes de faire l’aller et le retour en pilote aux commandes. J’avais préparé mes deux derniers vols comme si j’avais été en contrôle, et le niveau de stress s’en est ressenti. J’avais notamment inscrit sur une feuille tous les points particuliers à évoquer lors des briefings départ et arrivée. Le deuxième copilote, Sébastien, avait été déclenché de réserve la veille, et c’est lui qui connaissait le mieux San Francisco bien qu’il soit nouveau sur la machine. Cela nous a permis de sortir le soir plus facilement. À l’arrivée à l’aéroport de SFO, en passant les formalités d’entrée, j’ai expliqué à l’officier que je faisais mon dernier vol. Il m’a félicité et m’a demandé si j’avais des accompagnants. Il a ainsi fait sortir ma famille de la file d’attente pour passer avec moi. Le premier soir, nous avons été nous coucher avec mon épouse, mais une partie de l’équipage, guidé par Sébastien, est sorti avec mes enfants. J’avais fixé le pot de départ au deuxième soir, à l’hôtel, où j’ai offert le champagne. Puis nous avons été dîner. Avec la complicité de Catherine, la CCP, Christelle et Gilles, les CC, ainsi que d’autres PNC, une grande carte « Love is in the air » m’a été offerte, signée par l’équipage, ainsi qu’un mug et une casquette de SF. Frédéric, le copilote, m’a offert une maquette de Boeing 777. Ce jour-là, nous sommes allés en famille au Pear 39 voir les lions de mer, manger du crabe et visiter Alcatraz. Le troisième jour, celui du départ, je suis resté dans ma chambre pour me reposer et écouter ATCLive, un site où l’on trouve les enregistrements des conversations entre contrôleurs et pilotes, afin de connaître la tendance pour notre départ de SFO. En arrivant au comptoir AF, il n’y avait pas le même accueil qu’à San José, cependant, j’ai demandé à ce que mon épouse et mes enfants puissent être surclassés en priorité. Arrivé à l’avion, la responsable de l’escale m’a demandé si c’était bien mon dernier vol, et je l’ai invité à faire une photo souvenir. Elle est revenue avec ses collègues du sol et un panier de cookies et de macarons, une fleur ainsi qu’une bouteille de champagne. J’étais gêné, mais tellement heureux. Le mécano de KLM, qui avait fait la prévol, a également été « réquisitionné » pour faire une série de photos à l’intérieur de l’avion avec mon équipage au complet. J’ai toutefois été un peu frustré de ne pas avoir pu inviter dans le cockpit un membre de ma famille, à l’arrivée et au départ de SFO, parce que la loi américaine l’interdit. En revanche mon fils a fait le départ de CDG, et mon épouse, l’arrivée. Au retour, le temps de vol était supérieur de dix minutes au prévisionnel. En dehors de la traversée océanique à Mach constant (0.84), nous avons essayé de combler le retard pour arriver à l’heure. J’y tenais. Durant la croisière, j’ai pris le premier tour de repos afin d’être présent pour la prise de la clairance océanique. Il s’agit d’un moment délicat, car il y a parfois des erreurs de route, notamment en cas de changement. J’avais conservé les coordonnées téléphoniques d’un contrôleur de CDG rencontré en 2002-2004 lorsque, délégué de mon syndicat, je me rendais à des réunions entre contrôleurs et pilotes sur les incidents relevés sur la plate-forme. Je lui avais envoyé un message pour remercier l’ensemble des contrôleurs pour leur coopération depuis 1986, date à laquelle j’ai commencé à fréquenter l’aéroport. Encore une fois, la réponse a été au-delà de mes espérances puisque, chose inédite, il était imprimé sur la météo d’arrivée de CDG (ATIS) : « ENJOY RETIREMENT ALEXANDRE ». N’en jetez plus, j’étais plus que comblé. Les contrôleurs, informés, nous ont demandé quelle piste je voulais à l’atterrissage – la 26L pour rattraper le retard –, et la tour, si j’avais un autre souhait. J’ai pensé à faire une baïonnette pour me poser sur la 26R, qui permet encore de gagner du temps, mais j’étais dans une logique d’atterrir sans prendre de risque. Pour satisfaire la proposition de la tour, nous avons demandé les pompiers pour la parade avec les lances incendie au-dessus de l’avion, mais malheureusement cela ne se fait plus. Le contrôleur au sol nous a demandé si cela me ferait plaisir de faire le tour de l’aéroport. Non, je désirais simplement faire mon dernier bloc arrivée à l’heure, avec toutefois deux minutes de retard. Philippe, un ami pilote retraité m’avait prévenu : il y a toujours la hantise d’un problème sur les derniers vols. Mais je termine ma carrière sans incident significatif, après avoir fait de la brousse en Afrique en avions légers, de l’aviation d’affaires à Marseille sur bimoteur et au Bourget sur jets, enfin sur avions de ligne chez Air Inter et Air France. J’avais réservé un petit message d’adieu aux passagers[1], lors de l’annonce, avant la descente. Émouvant et difficile à faire, car j’avais les larmes aux yeux. « Chers passagers, votre commandant. Aujourd’hui j’effectue mon tout dernier vol, après quarante ans passés dans les avions. Demain je commence une nouvelle vie, moins stressante, pour entreprendre ce que je n’ai pas eu le temps de faire jusqu’à présent. Je voulais vous dire ma fierté de vous avoir amené à bon port jusqu’à l’autre bout du monde, toujours en toute sécurité. Pour sauver votre vie, j’aurais donné la mienne. Merci pour votre confiance. » Il y a eu un tonnerre d’applaudissements dans la cabine. Mon épouse a filmé, en pleurant, mon dernier atterrissage. Ensuite, à l’arrivée au parking, lorsque je terminais la SHUTDOWN CHECKLIST, j’ai dit : « Voilà, c’est fini, il va falloir que je passe à autre chose ». Au débarquement, j’ai du serrer une centaine de mains, et j’étais sur un petit nuage. Nous avons bu la bouteille de champagne de l’escale de SFO, et l’équipage m’a offert un tee-shirt de SF avec des dédicaces, que j’ai enfilé par-dessus de ma veste. Puis il y a eu une ultime séance de photos, notamment dans et devant le moteur, finalisant un événement inoubliable. Parmi l’équipage, certain avaient les yeux humides. Oui, j’étais heureux d’avoir réussi ma sortie. Sur les photos, je fais le V de la victoire. En effet, six mois auparavant, j’étais en arrêt maladie depuis dix mois avec le sentiment d’avoir effectué mon dernier vol sans le savoir. J’ai fait du forcing afin de retrouver mon médical pour les six mois qu’il me restait à faire. C’est donc moi qui ai tourné la dernière page du livre de ma carrière aéronautique, et non un médecin. J’arrête de voler à 63 ans, deux ans avant l’échéance, usé par les décalages horaires et les vols de nuit. Malgré du temps alterné en fin de carrière, je n’ai fait que voler de plus en plus : 500 heures de vol à 40 ans chez Air Inter, 650 à 50 ans en arrivant sur long-courrier. Enfin, jusqu’à 850 hdv à 60 ans pour une limite annuelle de 900 heures. J’aurais préféré le contraire… J’ai exercé plusieurs métiers dans ma vie, dont celui de directeur technique d’un important chaix d’embouteillage en Côte de Provence, pendant quatre ans, à une époque où je n’avais plus de travail dans l’aviation. Ainsi que gérant d’un hôtel restaurant (Air Plus à Orly) que j’avais fait construire pour les navigants à l’époque d’Air Inter. C’est de loin le métier de pilote qui m’a le plus passionné. Un grand merci à mes équipages et à Air France, car, derrière une façade parfois austère et empreinte d’indifférence, il y a aussi beaucoup de générosité. J’ai été comblé. CDG, le 7 avril 2019. [1]. “Dear passengers, Today, this flight marks my very last flight as commercial pilot and captain, after spending forty years in planes. Tomorrow, I will start a new life with less stress and more time to do what I have not done before. I would like to say you, how proud I have been to carry you around the world, always ensuring the safest conditions. To save your life, I would have given my own. Thank you very much for your confidence.” Texte corrigé par Alex Biron Clark, CDB AF.
Gérer les risques
Commenti