Comment une erreur catastrophique a-t-elle pu se glisser dans les Boeing 737 MAX?

Les mises à jour du système de sécurité MCAS, présentées mercredi par Boeing, doit résoudre le problème du 737 MAX, dit la compagnie. Quelles modifications la compagnie a-t-elle apportées exactement et pourquoi n’ont-elles pas été apportées plus tôt?

Le vol d’Ethiopian Airlines qui s’est écrasé juste après le décollage présentait un problème de système de sécurité dû à des data erronées. C’est ce qui ressort d’un premier rapport d’enquête des autorités éthiopiennes, rapportait le Wall Street Journal vendredi dernier. Le système de sécurité en question, le MCAS, a également provoqué le crash d’un avion de Lion Air en Indonésie cinq mois auparavant. Au total, 346 personnes ont été tuées dans les deux accidents. Presque partout dans le monde, y compris aux États-Unis, dans l’UE et en Chine, le 737 MAX est cloué au sol en attendant l’enquête sur les deux accidents. Au total, 376 avions MAX sont utilisés dans le monde.

Mercredi dernier, Boeing a présenté les améliorations apportées au système MCAS qui, selon le Seattle Times, étaient déjà disponibles il y a sept semaines (avant le crash d’Ethiopian Airlines). Les mises à jour devraient pouvoir être téléchargées en une heure sur le système logiciel d’un avion. Mais les premières autorités aéronautiques du monde entier doivent certifier les mises à jour avant que les compagnies aériennes ne puissent remettre leurs 737 MAX en service.

Pourquoi a-t-il fallu des centaines de morts avant que Boeing ne publie ces mises à jour ? Comment un système aussi défectueux a-t-il pu se retrouver sur le marché ? Et le nouveau système MCAS est-il suffisamment sûr ?

Sécurisation du décrochage

Le système MCAS a été développé comme système de sécurité pour le cas exceptionnel où un avion décrocherait. Cela se produit lorsque le nez est trop haut et que survient une chute de la portance sous les ailes. L’avion tombe alors en spirale. « Pour un pilote, une telle situation est une expérience violente qui le ramène aux réflexes qui lui ont été enseignés lors de sa première formation générale de pilote. Tout son être lui dit qu’il est dans la merde », explique Bjorn Fehrm, expert en aviation et pilote breveté du bureau d’études Leeman. « Une alarme se déclenche dans le cockpit et indique ‘stall’, ‘stall’ (NDLR : décrochage en anglais). Le pilote doit réagir en baissant le nez de l’avion, en saisissant le manche et en accélérant. » C’est ainsi qu’on redresse un avion en situation de décrochage.

Le MCAS est conçu pour intervenir avant que cela ne se produise. Dans la version originale, le MCAS a capté le signal à partir d’un des capteurs d’incidence situés sous le nez de l’avion. L’incidence, angle of attack en anglais, est l’angle entre le nez de l’avion et l’air affluant. Lorsqu’un avion est au sol, l’incidence est nulle. Si l’incidence en l’air devient trop grande, il y a un risque de décrochage.

Le MCAS réagit à une incidence trop importante en pointant progressivement le nez de l’appareil vers le bas. Il le fait via les stabilisateurs horizontaux situés sur la queue de l’avion.

Input fautif

C’est au niveau de l’input que les choses ont mal tourné pour les vols de Lion Air et d’Ethiopian Air. Celui-ci indiquait à tort que l’incidence était beaucoup plus grande qu’elle ne l’était en réalité. Le MCAS s’est déclenché à l’insu des pilotes. Les pilotes de Boeing n’ont pratiquement pas eu de formation supplémentaire pour voler avec les avions MAX, qui, selon eux, volaient presque comme la génération précédente d’avions 737, les Next Generation (NG). Mais il n’y avait pas de MCAS sur l’avion NG. C’était un nouveau système, spécifique au MAX.

Lors de la présentation des mises à jour à la presse mercredi dernier, le vice-président du développement de produits de Boeing Mike Sinnett s’est empressé de dire que le fonctionnement du MCAS peut être restauré manuellement. « Via les commutateurs de compensation sur la colonne de direction ou la molette de compensation au milieu du cockpit’, dit-il. Lorsque le MCAS est activé, on entend le compensateur tourner, ce qui est également perceptible visuellement », ajoute-t-il. Mais Boeing n’a pas donné de formation supplémentaire aux pilotes volant sur le MAX, car le MCAS ne s’active que très exceptionnellement, et la compagnie s’attendait à ce que les pilotes sachent ce qui se passait.

Cependant, Fehrm doute que le fonctionnement du MCAS soit aussi évident pour les pilotes. La molette de compensation tourne continuellement au décollage et en montée, raconte-t-il. « Le Boeing 737 est équipé d’un système appelé compensateur de vitesse, qui fonctionne pendant le décollage, la montée, la descente et l’atterrissage. Pour mieux comprendre cela, il est bon de savoir exactement ce que signifie la compensation. Le réglage est le degré de pression sur la colonne de direction du pilote. Dans la situation idéale, il n’y a pas de pression sur la colonne de direction et l’avion maintient le tangage (le mouvement de l’avion sur l’axe du nez à la queue, NDLR.) sans que le pilote ait à corriger en permanence. Le pilote utilise un interrupteur sur la colonne de direction ou la molette de compensation, ou le réglage se fait automatiquement avec la compensation de vitesse. »

Trois fausses hypothèses

Le mauvais input des capteurs d’angle d’incidence sur Lion Air et Ethiopian Air s’est produit juste après le décollage, pendant la montée. Lorsque la molette de compensation tourne déjà en continu. Le pilote ne remarquera donc pas l’activation du MCAS et la molette qui tourne, dit Fehrm.

L’avion de Lion Air qui s’est écrasé avait déjà eu des problèmes avec le système MCAS lors d’un vol précédent, mais ce dernier s’est bien terminé. « La seule raison en est qu’un troisième pilote était présent dans le cockpit », explique Fehrm. « Il n’était pas directement impliqué dans le contrôle et pouvait donc surveiller la situation. Il a suggéré d’éteindre tous les systèmes de compensation (y compris le MCAS, qu’aucun des pilotes ne connaissait parce qu’il n’y avait pas eu de formation à ce sujet).

« Boeing a avancé trois hypothèses erronées lors de l’implémentation du MCAS », conclut Fehrm. « Qu’il ne répondrait qu’à un signal fiable du capteur, ce qui s’est avéré faux. Que le MCAS ne serait activé dans aucune situation et que, dans le cas exceptionnel où il le serait, les pilotes comprendraient clairement ce qui se passait. Ces trois hypothèses étaient fausses ».

Deux capteurs

Boeing a modifié le système MCAS de diverses façons. Tout d’abord, le MCAS utilise désormais deux capteurs d’incidence au lieu d’un. Si l’input des deux capteurs diffère de plus de 5,5 degrés, le MCAS sera désactivé pour le reste du vol, déclarait mercredi dernier le vice-président Mike Sinnett. De plus, un message « AoA disagree  » apparaît sur l’écran de vol dans le cockpit. Fehrm se félicite de ce changement, mais souligne qu’Airbus a toujours pris en compte les données de trois capteurs.

Pourquoi Boeing pensait-il qu’il serait acceptable de faire dépendre d’un seul capteur un système qui peut avoir autant d’influence sur le vol, dans une industrie où la redondance est la norme ? Fehrm a ses idées. « Cela a dû être une décision de gestion », dit-il. Ils auront dit : quoi que vous fassiez, assurez-vous que les pilotes de la MAX n’aien pas besoin d’une nouvelle formation par rapport au Next Generation. » Si Boeing avait incorporé les données de deux capteurs dans le MCAS dès le départ, il aurait fallu expliquer le message ‘AoA disagree’, ce qui aurait soulevé des questions sur le MCAS lui-même. Et n’oubliez pas que Boeing supposait que le MCAS ne serait jamais activé », dit Fehrm. Pour éviter que les pilotes ne posent des questions à ce sujet pendant la phase d’essai (après quoi elle devrait être incluse dans un manuel de formation), la direction de Boeing a décidé, selon Fehrm, de ne recueillir que les données d’un capteur.

Jusqu’au crash de Lion Air. Boeing s’est vite rendu compte que le MCAS avait joué un rôle et qu’il devait trouver une solution auprès de la FAA, l’autorité aéronautique américaine. L’un d’entre eux consiste à utiliser deux capteurs, mais la question est de savoir si c’est suffisant. Tant sur le vol de Lion Air qui s’est écrasé, que sur le vol précédent qui s’est bien terminé, ainsi que sur le vol d’Ethiopian Air qui s’est écrasé, les capteurs ont donné des informations erronées. Les capteurs ne sont-ils pas également en cause?

Fehrm en doute. « Ces capteurs sont vraiment utilisés sur tous les 737 et beaucoup d’autres avions et ne causent jamais de problèmes », dit-il. « Mais c’est une bonne question de savoir pourquoi l’input a échoué trois fois en peu de temps. Aucune information officielle n’a filtré, mais d’autres experts et moi-même pensons que c’est lié à la manière dont les données des capteurs sont traitées dans un avion MAX ». Les données du capteur d’incidence sont traitées par l’ADIRU (Air Data and Inertial Reference Unit) puis envoyées à d’autres systèmes, dont MCAS. Fehrm soupçonne que quelque chose a également changé dans l’ADIRU de l’avion MAX par rapport aux NG, mais ne peut l’établir avec certitude. Mais je pense que là aussi il y a quelque chose à réparer. »

Un système agressif

Le prochain changement important du système MCAS est qu’il ne peut faire tourner le stabilisateur qu’une seule fois à chaque input des capteurs d’incidence. Dans la version originale, il n’y avait pas de limite. Du coup lors du crash du Lion Air, chaque fois que les pilotes redressaient la position de l’avion, le MCAS piquait du nez. 22 fois au total, avant que l’avion ne s’écrase dans la mer. « C’était une erreur grossière de la part de Boeing que d’avoir mis au point un système aussi agressif », explique Fehrm.

La question est aussi pourquoi. Le MCAS n’est pas un système de sécurité essentiel pour un avion commercial de passagers. « C’est pourquoi vous pouvez désactiver le MCAS », dit Fehrm,  » et vous pouvez continuer votre vol comme d’habitude. Le MCAS devrait être activé lorsque l’avion décroche, une situation qui ne se produit pratiquement jamais dans l’aviation commerciale. « C’est un système pertinent pour les pilotes de chasse qui veulent effectuer des manoeuvres extrêmes pour gagner un combat « , explique Fehrm.

La nécessité de MCAS

« Pourquoi le Boeing MAX a-t-il installé le MCAS? Pour ce faire, il faut examiner l’historique des origines de l’avion. Au début, Boeing ne voulait pas du tout fabriquer de MAX », écrit le blog de Fehrm, Leeham News. Les 737 Next Generation ont fait un excellent travail. Mais Airbus travaillait sur de plus gros moteurs pour le modèle A320, ce qui permettrait d’avoir des avions plus rapides et d’améliorer le rendement énergétique. Boeing n’était pas si inquiet que ça. Les NG fonctionnaient bien, et la compagnie voulait se concentrer sur un tout nouvel avion. Mais lorsqu’en 2011, Airbus semblait prêt à conclure un accord majeur avec la compagnie aérienne American Airlines, Boeing s’est soudainement réveillé. Il est intervenu, a conclu une entente avec American et a officiellement lancé le développement du MAX : une nouvelle version de la NG avec de plus gros moteurs. Le premier MAX a été mis en service en 2017.

Boeing voulait être en mesure de livrer le MAX rapidement aux compagnies aériennes, de préférence sans trop de formation supplémentaire pour les pilotes qui passeraient du NG au MAX. Le MAX devait avoir les mêmes sensations que le NG, malgré les gros moteurs. « C’est pourquoi on a introduit le MCAS. En cas de décrochage, baisser encore davantage le nez de l’avion donnerait la même sensation qu’un ancien modèle 737 dans la même situation », écrit le Seattle Times.

Lorsque, après le crash de Lion Air, il est apparu que le MCAS ne fonctionnait pas comme prévu, Boeing n’a pas pu simplement décider de retirer complètement le système. Parce qu’alors l’avion ne serait plus certifiable, explique Fehrm. « Comparez ça à une voiture équipée d’un système antidérapant pour rouler 180 kilomètres à l’heure sur une route glacée. S’il s’avère que le système ne fonctionne pas aussi bien que prévu et si l’agence déclare pouvoir l’améliorer, vous devez le faire. Même si personne n’est susceptible de prendre un virage à 180 km/h sur une route glacée: si la voiture en est techniquement capable, le système de sécurité que vous avez conçu pour elle doit fonctionner. En d’autres termes, pour le MAX : en pratique, un avion commercial ne se retrouve jamais en situation de décrochage, mais en théorie, il le peut. Le système de sécurité qui existe pour cela, le MCAS, doit donc fonctionner.

Surveillée de près

Dans la nouvelle version, le MCAS ne peut jamais piquer plus bas que ce que les pilotes peuvent régler manuellement. En outre, il y aura désormais un cours de formation pour les pilotes sur ce sujet. Fehrm affirme qu’il ose monter à bord d’un 737 MAX en toute sérénité, qu’il soit passager ou pilote.

Reste à voir quand les avions seront autorisés à repartir. Les mises à jour doivent être à nouveau certifiées par les autorités du trafic aérien de tous les pays. Aux États-Unis, la Federal Aviation Administration (FAA), est surveillée de très près. Plusieurs ministères et organismes enquêtent actuellement sur la certification initiale du MAX, où la FAA avait laissé un certain nombre de responsabilités à Boeing. La FAA n’approuvera pas seulement les nouvelles mises à jour. De plus, les autorités d’autres pays ne suivront pas automatiquement la FAA. Il n’est pas impensable que les pays veuillent jouer un jeu politique avec la réadmission des avions MAX, même si les intérêts des compagnies aériennes qui ne sont pas en mesure d’utiliser une partie considérable de leur flotte (dont TUI, qui a ajusté ses prévisions de bénéfices cette semaine) jouent également un rôle.

Lors de la conférence de presse de mercredi dernier, Mike Sinnett a indiqué qu’il faisait face à une procédure difficile. « Je ne pense pas qu’il n’y ait jamais eu de mise à jour scrutée de plus près », a-t-il dit.