En 2011, pour faire face à son concurrent Airbus qui vend de modernes A320 NEO par milliers, Boeing n’a sous la main que son 737, un avion cinquantenaire qui a déjà connu trois lifting. Faute de temps pour concevoir un nouvel avion, il se résout à lancer une quatrième modernisation. Apparemment l’équation est simple, puisque c’est la nouvelle génération de réacteurs qui séduisent les compagnies aériennes, ils seront la seule véritable nouveauté de cette version. Jugeant que le 737 actuel simplement équipés de nouveaux moteurs répond aux attentes des clients Boeing fait de la minimisation des modifications à réaliser le pivot de sa stratégie commerciale. Cela tombe bien car le temps presse, Airbus a près de deux ans d’avance, chaque mois qui passe Airbus vend des dizaines d’A320 Neo sans que Boeing n’ait rien à proposer d’équivalent à ses clients. Cette stratégie implique d’écarter toute nouveauté et tout perfectionnement par rapport à la génération précédente qui puisse ralentir la fabrication et la mise en ligne du nouvel avion. Il est particulièrement important d’éviter tout complément de formation et de certification des pilotes, l’argument central de Boeing est qu’un pilote de 737 de 3ème génération sera prêt à prendre les commandes du nouveau 737 Max avec l’avantage d’une économie substantielle de carburant. Il est décidé qu’un simulateur dédié au 737 Max est inutile car il n’y aura pas besoin d’enseigner ou de certifier des nouveautés pour la raison simple raison qu’il n’y en aura pas.
Cette stratégie apparemment idéale porte cependant en elle une faille dans laquelle le destin va s’engouffrer cruellement. Cette faille se trouve dans le train d’atterrissage très court qui rend le 737 "bas sur pattes", c’était un avantage lorsque les réacteurs étaient de petit diamètre mais devient une contrainte majeure avec les réacteurs modernes dont le diamètre augmente à chaque nouvelle génération. Il est impossible d’allonger le train d’atterrissage principal du 737, cela obligerait à reconcevoir lourdement l’avion. Une première fissure se manifeste au cours des essais en vol par une anomalie aérodynamique pendant la montée à l’altitude de croisière : l’avion a tendance à accentuer son cabrage ce qui le rapproche dangereusement de la valeur au-delà de laquelle il décroche, dans ce cas l’air ne peut plus s’écouler normalement sur la partie supérieure des ailes, la portance s’effondre brutalement et l’avion tombe… Cette anomalie semble avoir surpris Boeing pendant les essais en vol. C’est catastrophique car la phase de conception et les essais en soufflerie sont achevés, le temps presse, le programme touche à sa fin, le prototype doit obtenir de la FAA (*) sa certification pour débuter les livraisons.
Le pire est que cette anomalie est due aux nouveaux moteurs, ils sont plus lourds, plus puissants et d’un diamètre plus important que les précédents, les nacelles des réacteurs avaient été aplaties sur les générations précédentes pour éviter de racler sur la piste à l’atterrissage, les ingénieurs sont maintenant obligés d’avancer les réacteurs et de les mettre plus haut, ces caractéristiques ont pour effet de cabrer anormalement l’avion pendant la phase de montée en altitude. Le 737 Max s’avère avion instable pendant une phase critique du vol. Mais alors que faire alors que les clients attendent impatiemment les milliers d’exemplaires commandés et les actionnaires les dividendes promis par l’avion aux ailes d’or ?
Ne pouvant remédier aux causes du problème ni adapter l’aérodynamique de l’avion, les ingénieurs n’ont d’autre choix que d’élaborer un dispositif qui compense cette dangereuse tendance au cabrage. Il est décidé d’ajouter un automatisme agissant sur les commandes sans intervention des pilotes. L’idée n’est pas neuve, le pilote automatique en est un exemple, Airbus a généralisé ce principe avec ses avions à commandes de vol électriques dont l’ordinateur empêche toute manœuvre dépassant les capacités de l’appareil. Mais la situation dans laquelle se trouve les ingénieurs de Boeing est bien différente de celle des équipes d’Airbus, l’automatisme doit être intégré dans un avion qui n’a pas été conçu pour cela, le projet est en phase finale, le temps est compté. Il est à espérer que soit révélé ce qui s’est véritablement passé chez Boeing à la suite de la découverte de cette anomalie, la crédibilité de l’avionneur en dépend. Quand l’anomalie a-t-elle été découverte ? Combien de temps ont eu les ingénieurs pour concevoir et réaliser une solution ? Comment s’est déroulée la revue des risques qui accompagne tout nouveau dispositif critique ? Quel a été le programme des essais du MCAS ? Quels en ont été les résultats et à la suite de quelle évaluation et décision a-t-il été décidé que ces résultats étaient satisfaisants ? Et finalement, qu’elles informations ont été fournies à la FAA pour sa certification ?
Le MCAS, l’automatisme qui devait colmater une faille dans le comportement de l’avion est un système fragile car reposant sur le fonctionnement d’un seul capteur d’incidence. Pire, il a été dissimulé aux pilotes, il agit hors de leur contrôle, c'est son comportement autonome qui est la cause de deux drames tuant 346 personnes. MCAS est l’acronyme de Manoeuvring Characteristic Augmentation System soit en français Système d'Augmentation des Caractéristiques de Manœuvre, ce qui ne veut rien dire de précis. Son principe est simple, une sonde aérodynamique détecte l’incidence (l’angle de l’avion dans l’air) et si celle-ci dépasse la valeur dangereuse, le MCAS déclenche automatiquement une action des gouvernes pour réduire le cabrage et sortir l’avion de cette mauvaise passe. Alors qu’est ce qui ne va pas ? Le problème est la défaillance du MCAS lui-même. Etant un système critique pour la sécurité de l’avion, il ne doit pas tomber en panne et si par malheur cela se produit, il faut qu’il y ait une procédure dégradée qui permette la survie de l’avion et de ses passagers. Les avions modernes sont redondants sur tous leurs systèmes critiques ce qui leur permet de poursuivre le vol et de se poser d’urgence même en cas de défaillance d’un ou plusieurs systèmes. Autre principe de sécurité, les équipages sont formés à réagir à ces défaillance avec des procédures apprises lors de leur qualification sur chaque type d’avion et notamment dans des simulateurs de vols qui reproduisent précisément ces défaillances sous l’œil exercé d’instructeurs seuls habilités à délivrer les certifications…
Aucun de ces principes n’a été appliqué par Boeing avec le MCAS. Ainsi la seule procédure pour faire face à une panne de ce système est de le débrancher pour redonner aux pilotes le contrôle de l’avion... Mais il y a pire, bien pire. La procédure de débranchement du MCAS n’a pas été fournie, elle ne figure pas dans le tutoriel communiqué aux pilotes de 737 censé les rendre aptes à piloter le 737 MAX ! C’est la conséquence directe de la volonté de Boeing d’éviter toute qualification supplémentaire des pilotes de 737 pour qu’ils se mettent aux commandes du MAX. Ce n’est pas tout, après la mise en service de l’avion, Boeing a décidé de désactiver le signal de panne du MCAS pour le rendre optionnel, payant et le tout sans prévenir les compagnies aériennes...
Ce qui se passe lorsque que le MCAS tombe en panne est diabolique. Il y a d’abord la sonde d’incidence qui donne des valeurs fausses, dépourvu de toute autre référence (une seconde sonde d’incidence par exemple) l’ordinateur du MCAS interprète cela comme le franchissement de la limite maximale de cabrage et donne l’ordre à l’avion de piquer alors que celui-ci est sur une trajectoire normale. Les pilotes réagissent et tentent de redresser l’avion en tirant sur le manche mais le MCAS continue son action et s’oppose aux tentatives des pilotes, les pilotes appuient alors sur le bouton désactivant le compensateur de profondeur (la gouverne provoquant le piqué), mais en vain, le MCAS déclenche de nouveau l’action à piquer. Les pilotes cherchent alors dans les procédures d’urgence de l’avion qui sont toujours à portée de leur main ce qu’il faut faire et ne trouvent rien. L’action infernale du MCAS fini par l’emporter sur l’action des pilotes et l’avion s’engage dans un piqué de plus en plus prononcé et irrécupérable…
Le 28 octobre 2018, la sonde d’incidence d’un 737 MAX tombe en panne, aucune alerte ne prévient les pilotes, le MCAS déclenche la mise en piqué de l’avion, par miracle il y a dans le cockpit un troisième pilote en transit qui connait la procédure de déconnexion, le MCAS est désactivé et tout rentre dans l’ordre. Malheureusement le lendemain il n’y a pas d’ange gardien dans le cockpit d’un 737 MAX de Lion Air, l’avion décolle puis, 13 minutes plus tard, s’abime en mer, pendant ce laps de temps très court, les pilotes ont correctement diagnostiqué l’anomalie du MCAS et tenté de le désactiver à douze reprises mais en vain. Dans sa réaction, Boeing ne fait aucune mention du MCAS ni ne diffuse aucune information sur son fonctionnement. Lorsque l’enquête préliminaire met en cause le MCAS, Boeing se contente de répondre qu’il y a une procédure pour le débrancher jetant la suspicion sur le comportement des pilotes en ‘’oubliant’’ de préciser que cette procédure n’a pas été communiquée aux compagnies. Cinq mois plus tard le même scénario se reproduit tuant également l’équipage et les passagers d’un 737 MAX. Les premières conclusions ont dédouané les pilotes de toute erreur, le MCAS et Boeing restent seuls en cause dans ces drames.
Il y a plusieurs enquêtes qui sont en cours, on peut espérer qu’elles apporteront des réponses aux questions que posent ces drames et notamment comment un constructeur d’avions de légendes ayant acquis la pleine confiance des compagnies aériennes, des pilotes et des passagers a pu transformer son avion aux ailes d’or en canard de plomb. Comment Boeing conçoit-il véritablement la sécurité de ses avions ? Ce ne sont pas ses dénégations et les conclusions d’enquêtes se limitant à l’analyse des vols ayants aboutis aux deux drames qui permettront de reprendre confiance.
(*) Federal Aviation Agency : Organisme chargé aux Etats-Unis de la certification des avions civils et de la réglementation aérienne. La certification est indispensable pour qu'un avion puisse transporter des passagers. Au niveau international, la qualité de certification de la FAA était, du moins jusqu'à présent, suffisamment reconnue pour qu'un avion certifié par la FAA le soit automatiquement dans d'autres pays, notamment en Europe.
A suivre : 3 - Errare humanum est, perseverare diabolicum
