Crash Ethiopian : rapport préliminaire du BEA : l’avion s’est crashé en respectant les procédures de Boeing !
Les Allemands ayant refusé de procéder à l‘analyse des enregistreurs, c’est le BEA français qui s’en est chargé, en liaison avec le Bureau d’Investigation Ethiopien, le NTSB, Boeing et la FAA.
Lien vers le rapport préliminaire du BEA du 10 avril 2018 (33 pages en anglais) :
Voici les commentaires que nous pouvons faire dans cette analyse du rapport préliminaire.
Comme ma qualification sur Boeing 737 est très lointaine (1982) et que cette affaire est très pointue, j’ai demandé à des amis, pilotes chevronnés, de participer à cette analyse. Ces pilotes suivent mes cogitations depuis des années sur ce blog et m’ont fréquemment apporté des compléments intéressants. Il s’agit de Jean-Baptiste Berger, 61 ans, qui vient de prendre sa retraite de Captain de B 777 Air France, de Gilles Demmerlé, 71 ans, ex ingénieur d’essai chez Dassault et Guy Marel, 69 ans, ex Captain d’Airbus 330/340 Air France, que je remercie de leur coopération.
Notre quatuor partage une passion : celle de décortiquer les analyses d’accidents pour que les causes exactes soient connues. Notre indépendance est totale, étant désintéressés financièrement, sans casseroles à trainer et peu soucieux de plaire ou déplaire.
Certains disent que 75% des accidents ont une cause humaine et comme les pilotes sont bien souvent au premier rang des victimes, il est d’usage de leur faire porter un chapeau qui, bien souvent, n’est pas le leur. 75% d’accidents pour cause humaine, cela comprend aussi les erreurs humaines des concepteurs des avions, ou de leur maintenance et dans les deux crashs de Boeing 737 Max, il s’avère que c’est Boeing qui porte la totalité de la responsabilité des 356 morts que ses errements ont entraînés.
Au demeurant, il ne faut pas jeter le bébé avec l’eau du bain et se souvenir que chaque année, ce sont 4 milliards de passagers qui survolent la planète et que si les accidents sont spectaculaires, ils sont en nombre dérisoire. En 2017, il n’y a eu aucun crash d’avions de plus de 24 places !
Depuis 1945, le transport aérien s’est développé à 5%/an, c’est-à-dire deux à trois fois plus vite que la croissance économique mondiale et tous les augures laissent penser qu’il va continuer ainsi.
Dans ce document, nous souhaitons rendre hommage aux deux pilotes de ce vol, qui ont bien fait leur job et qui ont été trahis par une avionique démente.
Le Commandant de bord avait 29 ans, sorti d’école en 2010 et totalisait 8122 heures de vol, dont 1417 sur B737, après avoir été copilote sur B777
Le copilote (F/O) était âgé de 25 ans et n’avait que 361 heures de vol, dont 207 sur B737. Il aura fait une bien courte carrière.
Rapport du BEA : Déroulement du vol
Photo de deux enregistreurs FDR (Flight data recorder) et CVR (Cockpit voice recorder)
Le piteux état dans lequel étaient ces enregistreurs donne la mesure de la technicité pour les décrypter.
Une video pédagoqique sur un simulateur B737 explique le drame
Le commentateur évoque quelques modifications à l’étude :
- Une seule action possible du MACS et non pas en revenant à la charge toutes les 5 secondes.
- Installation d’un indicateur d’incidence et d’une alarme visuelle. En cas d divergence entre les deux sondes AOA de plus de 10° pendant 10 secondes, une indication « AOA disagree » apparaîtrait.
Notre propos étant l’analyse des systèmes, nous n’évoquerons que très peu les échanges radio entre les pilotes et la Tour concernant la trajectoire, qui ont été très professionnels.
Nous mettons en bleu la traduction littérale des pages 9 à 12 du rapport du BEA, qui donnent le déroulé du vol, secondes par secondes.
Un temps de vol très court
Le vol du drame va être très court. Il ne s’écoulera que 5 minutes entre la mise en poussée de décollage et l’impact. Le rapport donne la chronologie de ce vol de 300 secondes, avec les éléments suivants, classés par l’heure UTC de l’évènement :
05.38.44 : juste après le lever des roues au décollage, apparaît une divergence entre les deux sondes d’incidence (AOA = Angle Of Attack). La sonde gauche passe à une valeur erronée de 75° et restera dans cette position jusqu’à la fin du vol. Le stick shaker gauche s’active et le restera jusqu’à la fin du vol.
Rappelons que sur les Boeing, ce stick shaker fait vibrer les manches de pilotage avec un bruit très caractéristique pour signaler l’approche de la vitesse de décrochage.
05.39.22 : le pilote automatique gauche (PA) est enclenché
05.39.45 : les volets sont rentrés à 0.
05.39.55 : désengagement du PA. Sans intervention des pilotes. L’avion a quelques oscillations en roulis.
05.39.57 : le Captain demande au copilote (F/O) de demander au contrôle de maintenir le cap et de signaler qu’ils ont un problème de commandes de vol.
05.40.00 : Quelques secondes après le dégagement du PA, l’enregistreur FDR (Flight Data Recorder) signale indique qu’un ordre automatique de piqué (Aircraft Nose Down = AND) s’est mis en route pendant 9 secondes. La montée est stoppée et l’avion descend lentement.
Une absence de mention du MACS par le BEA tout à fait incompréhensible
Pour des raisons inconnues et surprenantes, le rapport du BEA n’évoque jamais le fameux logiciel MACS, ((Manoeuvering Characteristics Augmentation System,) à l’origine des deux crashs de B737, alors que cette action intempestive AND est justement le fait de ce logiciel !
Une première apparition du MACS
Comme les volets sont rentrés et le PA déconnecté, les conditions permettant l’intervention du MACS sont réunies. Comme la sonde AOA lui indique une donnée erronée de l’incidence, le processus AND amorce une correction à piquer d’une incidence détectée trop élevée.
05.40.03 : le GPWS (Ground Proximity Warning System), indicateur vocal de proximité du sol, s’active par l’annonce : « Don’t sink » (Ne descendez pas).
05.40.06 : le manche pilote est placé çà cabrer et une montée est enregistrée durant la séquence AND.
05.40.12 : 3 secondes après la fin de la séquence AND, le trim électrique de manche est activé à cabrer et entraîne un ANU (Aircraft Nose Up). L’assiette de l’avion ne change pas et la pression à cabrer est accentuée avec les manches pilotes.
Une deuxième intervention du MACS
05.40.20 : 5 secondes après la fin de la séquence ANU, une deuxième intervention du MACS se produit vers un piqué.
05.40.23 à 05.40.31 : 3 annonces du GPWS « Don’t sink »
05.40.27 : le Captain demande au pilote (F/O) de trimer avec lui.
05.40.28 : le trim électrique est activé et un ANU enregistré.
Mise des interrupteurs de Stab trim sur « Cut-out »
05.40.35 : après accord du Captain, le pilote place les interrupteurs de stab trim sur « Cut out ».
On voit sur la photo le jaune des deux interrupteurs « Cut-out », sous les manettes des gaz
Il est fondamental d’avoir la certitude qu’effectivement, les deux interrupteurs de trim aient été placés sur Cut-out. Cette action apparaît certainement sur les données informatiques du FDR et il est regrettable, vu son importance, que le BEA n’en fasse pas état dans les graphiques de données du vol en pages 26 et 27 du rapport, où sur les données du vol secondes par secondes.
On note qu’en mettant les deux interrupteurs sur Cut-out, les pilotes ont appliqué la procédure définie par Boeing le 6 novembre 2018, après le crash du premier B737 Max de Lions Air.
Selon cette note, (Apendix 4 – page 32 du rapport), ce « Cut-Out » devait désactiver les tentatives de piqué du MACS.
De plus, cette note du 6 novembre mentionne l’existence d’une indication « AOA desagree », si l’option est installée. Il s’agit d’un indicateur de l’incidence de l’avion, qui donne l’indication d’incidence (Angle entre le profil de l’aile et l’écoulement de l’air) et signale éventuellement une différence entre les deux sondes AOA droite et gauche. Cet indicateur précieux que je n’ai de cesse de recommander depuis des décennies sur les Airbus comme sur les Boeing était chez Boeing une option payante, comme s’il s’agissait d’un enjoliveur de l’avion, alors qu’elle est un outil essentiel pour la sécurité du vol sur tous les avions du monde.
Une troisième intervention du MACS
05.40.41 : 5 secondes après la fin de l’ANU, une troisième intervention du MACS se produit, qui entraîne selon le BEA aucune variation d’attitude puisque les interrupteurs sont sur « Cut out ».
Le libellé de cette absence de variation ci-dessus implique que le BEA considère que les deux interrupteurs « Cut-out » de trim ont bien été placés sur OFF.
05.40.42 à 05.43.11 : le stabilisateur passe à nouveau sur AND, alors que les manches sont maintenus à cabrer. La vitesse s’accroit à 340kt (VMO=vitesse maximum opérationnelle).
Les manches sont maintenus à cabrer jusqu’à la fin du vol.
Une poussée de décollage conservée qui accroit la difficulté de trim manuel
Nous avons été étonnés de constater que sur le graphique de la page 27 du rapport, durant la quasi-totalité de ce vol de 5 minutes, les pilotes ont gardé constante la poussée de 94% mise au décollage et n’ont réduit que 15 secondes avant le crash.
Cela les a conduits à atteindre en 3 minutes après le décollage la vitesse VMO maximum, alors que cela ne présentait aucune nécessité ni avantage. Comme les deux interrupteurs stab trim étaient sur OFF, la roue de trim manuel devait être tournée manuellement par le F/O et au fur et à mesure que la vitesse augmentait, la manœuvre devenait de plus en plus difficile et quasiment bloquée dans les grandes vitesses.
On se demande comment les pilotes n’ont pas pensé à ce phénomène qui rendait impossible l’action du trim manuel. Il s’agit probablement d’un blocage psychologique sous l’effet du stress intense des deux pilotes.
On est donc en droit de supposer que Boeing, la FAA et l’EASA ont autorisé à voler un avion de transport de passagers avec un système de compensation en profondeur qui n’est pas utilisable dans tout le domaine de vol !
Il y a fort à parier que l’essai de récupération de l’avion, nez bas, à grande vitesse, avec le trim plein piqué n’a jamais été réalisé par le constructeur !
Posons la question : sur les modèles B737 300, 600,800 et Max cet essai a-t-il été effectivement réalisé ?
C’est pourtant une norme de certification.
Cette réactivation du logiciel MACS alors que les interrupteurs « Cut-Out » sont sur OFF conduit à deux hypothèses possibles :
- Hypothèse 1 : les interrupteurs Cut-Out ont été replacés sur ON, en violation des consignes de Boeing du 6 novembre 2018. Si cela était, le Captain aurait eu du mal à faire cette action, très absorbé physiquement par le maintien du manche à cabrer, avec un effort de 40kg. Il aurait donc été logique qu’il donne une consigne orale au F/O et cela devrait apparaître sur le CVR.
Il est peu vraisemblable que le F/O ait pris cette décision sans en informer son Captain, eu égard à sa très faible expérience sur le B737 (207 heures de vol).
On s’interroge sur l’objectif qu’auraient pu avoir les pilotes, s’ils avaient décidé de replacer les interrupteurs « Cut-out » sur ON, puisqu’ils savaient que cela réactiverait le MACS ?
Une explication de cette action funeste aurait pu être que bien que la procédure Boeing indique expressément de ne pas remettre les « Trim Cut-Out » sur ON, ils auraient tenté une dernière tentative pour retrimmer l’avion et surtout relâcher les efforts à tirer les manches vers la montée, qui devaient être très importants.
- Hypothèse 2 : les interrupteurs sur Cut-out n’empêchent pas le MACS de s’activer vers un piqué répétitif et scélérat.
Le rapport final de cette enquête devra apporter une réponse claire à cette question fondamentale.
05.41.20 : la sonnerie de« claquettes » d’excès de vitesse est enregistrée sur le CVR jusqu’à l’impact.
05.41.30 : le Captain demande au F/O de l’aider à cabrer.
05.41.46 : le CDB demande au F/O si le trim fonctionne. Le F/O répond que le trim ne fonctionne pas et demande s’il peut essayer manuellement, ce que la Captain approuve. À 05.41.54, le F/O répond que cela ne fonctionne pas.
Il est probable que la vitesse atteinte rend impossible la manœuvre manuelle de la roue de trim.
05.42.51 : Le F/O signale « Master caution Anti-ice », qui est enregistré sur le FDR.
05.42.54 : les deux pilotes annoncent « left alpha vane ».
05.43.11 : Environ 32 secondes avant la fin de l’enregistrement, 2 impulsions sont enregistrées du trim électrique manuel (celui actionné par un bouton du manche des pilotes) et entraînent un ANU.
Etant donné que le trim électrique des manches est coupé quand on a les deux interrupteurs « Cut-out » sur OFF, le fonctionnement même très bref de ce trim électrique implique que l’un des pilotes a remis les deux interrupteurs sur ON.
05.43.15 : l’enregistreur FDR enregistre une tentative de connexion du pilote automatique.
Il est probable que le Captain, en désespoir de cause, a tenté une remise en route du PA pour neutraliser l’action du MACS, mais ce faisant, il a relancé un AND du MACS.
Une quatrième intervention du MACS
05.43.20 : nouveau AND et piqué durant 5 secondes. Le nez de l’avion pique vers le bas. Le manche est tiré vers cabrer, mais le piqué continue à 40° de nez bas.
La vitesse indiquée est de 458 nœuds et dépasse 500kt à la fin de l’enregistrement.
Je me souviens des navigations de ma jeunesse à 500kt à très basse altitude sur le Super Mystère B2 et du bruit effroyable, auquel s’ajoute dans le cockpit de ce B737 le bruit du « Stick Shaker » et les « claquettes » de dépassement de vitesse. Terrifique et peu propice à une analyse de panne !
05.43.45. : fin de l’enregistrement.
***********************
Boeing se trouva fort dépourvu quand l’Airbus 320 NEO fut venu !
En décembre 2010, Airbus lança le projet du A320 NEO, très prometteur, essentiellement du fait d’une diminution de 15% de la consommation de fuel, à l’aide de moteurs double flux performants fournis par Safran, notre ex SNECMA, ou Pratt et Whitney. Ces nouveaux moteurs étaient plus lourds et d’un diamètre plus important que les précédents, ce qui ne posait pas de problème pour les Airbus, mais qui était un furieux obstacle pour Boeing, qui était court sur pattes, qui ne permettait pas le minimum de distance nécessaire entre la piste et la base de la nacelle du moteur.
Il fallait absolument trouver une solution, car avec les moteurs anciens, les B737 n’auraient plus été compétitifs face aux A320 NEO, qui cartonnèrent 1.250 commandes dès la première année où ils furent annoncés.
Bizarrement, il ne semble pas qu’on ait envisagé de modifier le train d’atterrissage du B737 pour lui donner des pattes plus longues et installer la marge nécessaire aux nouveaux moteurs. Bien sûr, selon nos informations auprès de brillants ingénieurs, c’était envisageable et le temps existait, puisque le premier A320 NEO ne vola qu’en 2016.
Boeing a préféré déplacer les moteurs vers l’avant, ce qui modifiait l’aérodynamique de l’avion, et qui amena les ingénieurs de Boeing à installer un logiciel qui mettait l’avion en piqué pour rattraper une éventuel cabré trop important, appelé le MCAS ((Manoeuvering Characteristics Augmentation System,)
L’avionneur américain avait estimé que le système n’avait pas besoin d’être connu des pilotes puisqu’il devait être totalement autonome, s’activant simplement en cas de besoin, pour faire prendre une action à piquer de manière normalement très progressive. En cas de déclenchement intempestif du MCAS, les pilotes étaient censés revenir à une gestion de panne connue depuis les années 60 et le Boeing 707 : empêcher le compensateur de se dérouler en le déconnectant.
Mais pour prendre la décision de déconnecter le compensateur, encore fallait-il que les pilotes soient informés de l’existence du système à déconnecter, ce qui n’était pas le cas ! Cette vision très « ingénieur » de la situation a provoqué de nombreuses protestations des pilotes se sentant trahis, et une formation complémentaire a été mise en place après le premier accident.
Problème : le MCAS n’utilise qu’une seule sonde pour s’activer
Le B 737 dispose de deux sondes d’incidence AOA (Angle Of Attack) et le problème est qu’en cas de divergence, on n’a pas les moyens de savoir laquelle est la bonne ! Le MCAS n’est basé que sur la lecture d’une seule sonde d’incidence (« sonde AOA ») pour s’enclencher, et il possède donc un taux de panne beaucoup plus élevé que s’il utilisait les 2 capteurs AOA de l’avion (c’est le concept de la redondance aéronautique). Il en résulte une situation inédite sur le 737 MAX résumée par cette phrase :
“If an AOA vane provide an erroneous signal, the MCAS will treat the signal as valid.”.
(Si une sonde d’incidence produit un signal erroné, le MCAS traitera ce signal comme valide) ! Fâcheux !
Le MCAS s’enclenchera même si la sonde d’incidence envoie un signal erroné. » (Capture d’écran extraite de l’application Cockpit Companion.)
Dès les semaines qui ont suivi le premier accident de l’appareil, certaines compagnies utilisant l’avion, comme Southwest, ont donc décidé d’ajouter un indicateur de l’angle d’attaque pour permettre de détecter rapidement un problème et répondre à la question : laquelle des valeurs AOA est la bonne. La formation complémentaire proposée par Boeing ne semblait déjà pas être suffisante pour tout le monde… !
Problème : le MCAS est quatre fois plus rapide que prévu
Des informations que nous n’avons pu vérifier montreraient que le MCAS peut s’activer jusqu’à 4 fois plus vite que le rythme annoncé dans les documents de sécurité initiaux 8 degrés par période de 10 secondes au lieu de seulement 2° annoncé. À moins d’appliquer la procédure de gestion de panne du compensateur, les actions que doivent conduire les pilotes pour contrer le MCAS sont donc quasi continues.
Boeing certifie tout seul une partie de ses avions
Tous les avions sont systématiquement certifiés par les autorités de régulation locales, la FAA aux Etats-Unis et l’EASA pour l’Europe. Mais les performances des avions sont telles qu’il faudrait des armées d’ingénieurs aussi importantes à la FAA que chez Boeing pour pouvoir valider chaque système. Une partie de la certification est donc laissée à la charge de l’avionneur qui s’auto-contrôle. Un rapport du Government Accountability Office s’inquiétait déjà de la situation en 1993: 70 à 75% de la certification était réalisée par l’avionneur dans les années 80 et cette proportion était montée à 95% sur le Boeing 747-400 en 1989… L’autorité de sécurité aérienne ne vérifiait alors que 5% des spécificités techniques de l’appareil, qu’en est-il aujourd’hui ?
Les évolutions nécessaires sur le B737 MAX sont bien plus lourdes que celles de l’A320 NEO et notamment, les ingénieurs de Boeing ont dû passer 200.000 heures à chercher une solution aux problèmes de batterie du B787 Dreamliner, l’appareil précédemment lancé par Boeing et lui aussi cloué au sol en 2013. Des voix nombreuses s’élèvent contre les liens trop étroits entre l’avionneur et le régulateur : la certification a-t-elle été trop rapide pour permettre à l’avionneur américain de ne pas accumuler plus de retard?
Le B787 a montré qu’un appareil pouvait retrouver une fiabilité totale après des déboires de lancement. Le MAX, qui réalisait plus de 8600 vols par semaine avant son interdiction de vol, reprendra les vols et aura retrouvé la fiabilité du B737 NG qui vole et continue à voler sans défaut depuis maintenant 25 ans. Personne n’aura de doute sur la fiabilité totale de l’avion, mais la certification de l’avion fera l’objet d’enquêtes, avec des responsabilités à la fois chez l’avionneur et dans l’administration.
Une perte considérable pour Boeing, mais qui reste supportable
Boeing a mis un frein à la production de ses 737 MAX. En principe 2 avions sont produits chaque jour et il y a environ 5.000 avions en commande (500 milliards de dollars) à 121 millions de dollars unitaire.
Il est possible que Boeing perde une dizaine de milliards, ce qui n’est pas rien, mais ce n’est quand même pas catastrophique eu égard au chiffre d’affaires.
Et cela ne veut pas dire que les compagnies aériennes vont se reporter sur Airbus, dont les carnets de commandes sont complets pour environ 7 ans.
Mais attention : dans une note du 13 avril, les pilotes de South West ont demandé à leur Direction d’envisager un changement de fournisseur, inquiets pour leur avenir. South West dispose de 730 B 737 et c’est le plus gros client de Boeing !
Une FAA sur la sellette
Une enquête qui ne fait que débuter, mais en cas de condamnation du constructeur et de la FAA (Federal Aviation Administration) qui a autorisé l’avion à voler, il va y avoir tout le défilé des dommages et intérêts des compagnies, des familles, etc.
S’il est prouvé et cela va être le cas que Boeing et la FAA ont failli, les dommages et intérêts vont être substantiels !
Les conséquences pour Boeing seront dans la crédibilité sur la sécurité des vols de certains États, sur leurs process de certification et cet effet délétère durera longtemps.
Le MCAS est une nouveauté dont les pilotes n’avaient pas connaissance : « Nous étions très préoccupés par le fait que cette information ne nous avait pas été communiquée initialement », relate à CNN un commandant de B737, expliquant avoir reçu une formation en ligne de 56 minutes pour faire la transition entre son B737 NG et le nouveau 737 Max. « Nous sentions fermement qu’il y avait eu un certain abus de confiance entre le constructeur et les pilotes », continue-t-il.
Un discours qui met à mal la promotion faite par Boeing de la nouvelle version de son appareil, promettant aux compagnies aériennes qui l’achèteraient des « millions de dollars » d’économie en formation des pilotes, tant cette version était similaire à la précédente. Une formation, minimaliste, approuvée par la direction de l’aviation civile américaine.
Les autorités US font une enquête au pénal contre le constructeur et l’agence de certification Pour Boeing il n’y a pas pire.
La FAA se défend en évoquant des restrictions de personnels, ayant donc délégué la conduite d’essais aux pilotes de Boeing.
Les ingénieurs de Boeing ont auto-certifié leur travail. Ce ne sont pas des gens de la FAA qui ont certifié les commandes de vol, c’est Boeing.
En fait, la FAA, organisme de certification, a protégé le constructeur, le plus longtemps possible.
Il est remarquable de constater que ce sont les pilotes qui ont râlé au début, puis les syndicats de pilotes, puis les compagnies, puis les pays, puis les pays n’ayant même pas de B737, mais ne voulant pas être survolés et à la fin, vraiment en dernier, cela a été l’organisme certificateur. C’est le monde à l’envers !
L’accord donné par l’EASA à Boeing : une lourde erreur
L’EASA (organisme européen de certification) avait refusé la proposition de Boeing et de la FAA de ne pas faire de supplément de formation pour les pilotes, en disant qu’il en fallait un.
Des discussions ont eu lieu avec Boeing, assorties probablement de menaces lors de la sortie d’un appareil chez Airbus et ils ont fini par céder, ce qui est une erreur !
L’existence de la FAA et l’EASA sont-elles justifiées ?
De facto, la FAA comme l’EASA ne certifient qu’environ 5% des certifications d’avions, c’est-à-dire pratiquement rien, laissant les deux constructeurs Boeing et Airbus assurer ce travail.
Cela n’empêche pas ces deux organismes de soi-disant service public de facturer grassement leur soi-disant service, pour la modique somme de 237€/heure travaillée/personne, c’est-à-dire environ 350.000€/an/personne. Ainsi, la certification de l’A380 a couté 2 milliards de dollars à Airbus ! Une bagatelle, n’est-il pas ?
En fait, c’est un ticket d’entrée pour avoir le droit de commercialiser un avion.
Le but de ces organismes n’est pas de contribuer à la sécurité des vols, dont ils ne contrôlent que 5% de la certification, mais de protéger ces organismes comme le ferait un « parrain » de la Mafia !
Pour les nouveaux entrants, comme les chinois avec leur C919, cela leur impose de ne pas s’écarter des standards techniques de Boeing ou Airbus, où de ne pas être admis dans le club !
Une bonne solution serait donc le démantèlement total de la FAA et de l’EASA et de les remplacer par des normes à satisfaire, une espèce de cahier des charges international, établi à l’aide notamment de statistiques. Il y a deux choses redoutées par les entreprises : la prison pour ses dirigeants (parlez-en à Carlos Ghosn ou Le Floch Prigent) et pour les actionnaires des amendes dissuasives (cf les 10 milliards payés par la BNP aux USA).
C’est ce qui s’appliquerait en cas de manquement et cela serait éminemment dissuasif pour les persuader de leur intérêt à s’occuper de la vie de leurs passagers !
Cette réglementation éventuellement punitive s’appliquerait également aux compagnies aériennes et à la maintenance des avions.
Quid de la remise en vol des B737 MAX ?
Pour Boeing :
Dans la Rome antique, le Capitole où se menait la politique était tout proche de la roche Tarpéienne d’où on précipitait les condamnés à mort. Le drame que vit Boeing montre qu’aujourd’hui aussi, les honneurs et la célébrité n’empêchent pas la déchéance ou la chute d’arriver.
Pour une très longue durée, Boeing s’est aliéné la confiance que les pilotes et passagers avaient dans cette entreprise magnifique, qui a construit des centaines de milliers d’avions depuis 1916 avec un objectif constant : que les pilotes qu’elle mettait à bord aient le dernier mot pour la décision de la trajectoire.
Il est inconcevable et inadmissible qu’un petit nombre de dirigeants stupides, rompant avec cette doctrine aient pu concevoir un logiciel aussi inepte, qui s’est traduit par 356 morts, en en dissimulant de plus aux pilotes son existence, de façon à ne pas augmenter le coût de leur transition vers ce nouveau modèle.
Les récentes déclarations du Pdt de Boeing sur un jeu de chaises musicales entre Directeurs pour remédier à ce désastre sont irrecevables. On prendrait les mêmes et on recommencerait ! Les cadres qui ont trempé dans cette affaire n’ont plus leur place au sein de l’entreprise et doivent prendre la porte et cela doit se savoir.
Dans un récent article filandreux autant qu’imprécis, la Direction semble vouloir traiter cette affaire avec quelques modifications du logiciel MACS, qu’elle essaye de faire adopter par quelques pilotes.
Il ne semble pas qu’ils aient pris conscience que la gent des pilotes et des usagers attend des certitudes :
- Un retour à la doctrine séculaire de Boeing de laisser la décision de trajectoire au pilote.
- La certitude que cette aberration ne se renouvellera pas.
- Un indicateur d’incidence sur les tableaux de bord, qui permettrait de lever le doute sur une éventuelle panne de sonde AOA.
- Une redondance améliorée sur les sondes AOA en en portant le nombre à 3 au lieu de 2, à l’image du concurrent Airbus.
- Et pourquoi ne pas adopter 4 sondes AOA, comme le fait Dassault sur ses avions, ce qui lui a permis d’éradiquer les pannes par la redondance acquise.
On attendra donc des propositions complètes et précises pour juger de l’opportunité d’une reprise des vols, sur un B737 certes d’origine ancienne, mais qui avait démontré sa fiabilité.
Boeing se doit d’expliquer pourquoi deux avions sont allés au tapis avec des pilotes qui avaient appliquées les procédures édictées par le constructeur, en tuant 356 personnes !
La FAA :
Dans l’arrêt de vol des Boeing 787 durant des mois en 2013, elle avait montré son indépendance, mais ses atermoiements à interdire de vol les B 737 MAX après le crash de Lion Air sont venus briser cette confiance et fait apparaître une collusion entre la FAA et la Direction de Boeing.
L’agence a déclaré qu’elle espérait recevoir de Boeing le dernier package d’améliorations logicielles au cours des prochaines semaines.
Tout comme pour Boeing, les autorités US ont lancé des procédures au pénal contre ces deux entreprises et il est donc certain que la FAA va prendre des précautions avant de réautoriser les vols des Boeing 737 MAX.
La FAA a mis en place un examen technique conjoint des autorités (JATR), afin de procéder à un examen complet de la certification du système de contrôle de vol automatisé de l’avion. Présidé par l’ancien président du NTSB, Christopher Hart, le JATR est composé d’une équipe de la FAA, de la NASA et des autorités de l’aviation internationales
Attendons donc de voir ce que Boeing propose pour que pareille ineptie ne se reproduise pas.
********************
“
»
2 mai 2019 at 14 h 55 min -
Mon analyse complémentaire:
Le MCAS s’active lorsque les volets sont rentrés ET que le Pilote Automatique est déconnecté et agit sur la profondeur pour faire piquer l’avion.
La sonde AOA gauche donne une fausse valeur depuis le décollage.
Le PA est engagé a 05:39:20
A la rentré des volets, le PA se déconnecte tout seul (!) et ne peut pas être réengagé, à 05:39:55 donc le MCAS s’active a ce moment la puisqu’il est prêt a agir depuis le décollage mais il attend les conditions de volets et de PA pour faire piquer l’avion, le MCAS entre en action 5 secondes plus tard pour faire piquer l’avion.
Heureusement que le B737 ne peut pas décoller avec les volets rentrés, sinon c’est le crash immédiat en bout de piste.
On voit sur le 1er graphique en ROUGE le PITCH TRIM ( coté droit, la plage va de 0 à 10, le neutre est a 5 )
Au décollage, la profondeur à un trim à 5,5, et de 4,6 à la rentrée des volets.
Après la 1ere action du MCAS a piquer le TRIM est a 2,1 ! (à 05:40:15)
Si ils avait coupé les TRIM CUT OUT SWITCHES a ce moment la, ils seraient quasiment au même point que (à 05:40:45) et de la suite du vol…
Après la 2eme action du MCAS a piquer le TRIM est a 0,4 ! (à 05:40:30) c’est la mort assurée
Si ils avait coupé les TRIM CUT OUT SWITCHES a ce moment la c’etait fini !
Ils ont ensuite réussi a retrimer de suite a cabrer vers 2,3 (à 05:40:45)
puis ont coupé les TRIM CUT OUT SWITCHES, si ils ne l’avaient pas fait l’ordre du MACS à 05:40:45 aurait probablement été fatal, tout comme ( à 05:43:15)
Les pilotes n’ont jamais pu trimer correctement l’avion en électrique, notamment parce que le MCAS trim plus vite (a piquer) que le trim électrique (a cabrer) et que la MCAS se met en route toutes les 5 secondes.
On comprend bien que maintenant Boeing propose de limiter le MCAS a une seule action par vol, et de réduire sa vitesse de TRIM a piquer.
Les pilotes n’ont jamais pu trimer l’avion en MANUEL (lorsque les TRIM électriques étaient désactivés), il semble que l effort sur le manche était beaucoup trop important (40KG) pour que le trim puisse etre tourné à la main, c’est la une grosse erreur de conception.
Ils ont donc été forcés de tenir ces 40 kg dans les bras pour sauver l’avion.
Au dela des 2 hypothèses données sur ce blog, la mienne est que les pilotes commençaient, apres quelques minutes, a ne plus avoir la force de tenir a bout de bras les 40Kg sur le manche pour TENIR l’avion.
Sachant qu’ils ne tiendraient pas beaucoup plus longtemps, ils ont tenté de réengager le TRIM électrique pour trimer a cabrer et soulager leur effort, (en remettant les TRIM CUT OUT switches sur ON )
Cela a fonctionné et leur a permis de retrimer un peu a cabrer de 2,1 à 2,3 (à 05:43:15)
MAIS 5 secondes plus tard le MCAS c’est remis en route et a de nouveau fait piquer l’avion.
Après la 3eme action du MCAS a piquer le TRIM est a 1.0 ! et la c’était définitivement terminé !.
On en déduit qu’avec une seule action du MCAS le trim est déja a 2 ! et que l’avion n’est pas tenable comme cela a long terme, puisqu’ils n’ont pu le trimer en manuel !
Avec 1 actions du MCAS, s’en sortir semble déjà être une prouesse, avec 2 c’est quasi impossible.
Au final, c’est bien l’erreur de la seule sonde de mesure d’incidence AOA gauche du MCAS qui a perdu cet avion avec ses passagers et son équipage,
mais bien évidement le constructeur a-déjà dit et dira encore que ce n’est pas de sa faute.
Ils auraient pu s’en sortir si il avaient recoupé de suite les CUT OUT apres avoir trimé a cabré, et de recommencer si besoin, bref ne pas laisser les TRIM CUT OUT sur ON plus de 5 sec…
mais il n’est quasiment pas possible de faire cette analyse dans cette situation.
Ils aurait PEUT ETRE pu s’en sortir si ils avaient relâché le manche pour réduire/annuler l’effort sur le manche et trimer à la main pendant ce temps la, (oops l’avion pique vers le sol pendant ce temp la… il faut faire vite ) et ensuite il faut reprendre le manche a cabrer pour relever le nez de l’avion, et recommencer cette manoeuvre oscillatoire jusqu’a ce que le trim soit correct.
Une sorte de pêche au thon méga sportive entre la canne (le manche) et le moulinet (le trim)!
mais il est quasiment impossible de faire cette analyse dans cette situation, et c’est un peu la roulette russe avec un barillet plein si ça ne marche pas…
Ils étaient tellement accaparés par la tenu de l’assiette de l’avion que l’avion a accéléré jusqu’a environ 300 kts puis 340 kts, ce qui augmente les effots nécessaires a la tenu de l’avion, dommage, mais le Captain etait un peu seul a gerer toute cette histoire…
En effet, le copi n’avait aucune expérience pour aider le CDB.
CDB qui lui non plus n’était pas très expérimenté sur B737 et aucune non plus sur B737 max.
Le captain faisait près de 90 heures de vol par mois, c’est quasiment la limite réglementaire,
Il faisait du B737 depuis environ 1,5 an.
Il faisait du B737 max depuis environ 1,5 mois.
Le copi avait 150 heures de vol avant de faire du B737, donc sa formation de base
Il était dans la compagnie depuis moins de 3 mois
Il faisait du B737 depuis moins de 3 mois
Il faisait du B737 MAX depuis moins d’un mois
Stephane
Ex CDB B737 200-500-800
2 mai 2019 at 18 h 26 min -
C’est gentil de reprendre la quasi totalité que ce que j’ai déja exprimé.Hi, Hi !
3 mai 2019 at 9 h 47 min -
Le sujet étant particulièrement complexe pour les non-initiés, je pense qu’un résumé de synthèse pourrait aider à la compréhension. De toutes façons, grand merci aux divers intervenants qui éclairent le problème de leur savoir. E félicitations à « Jumboroger » pour l’excellente tenue de son blog, que je suis avec passion.
Signé : Jacques H, ancien petit pilote de « trapanelle » (SIAI MARCHETTI S205 et SF260)
3 mai 2019 at 19 h 12 min -
Merci Jacques
2 mai 2019 at 19 h 50 min -
Bonjour Stephane,
Excellente analyse.
Je pense que tu as parfaitement synthétisé le déroulement de l’accident (ce qu’avait effectivement déjà fait Christian) mais tes remarques chronologiques avec, à chaque moment clé, les différentes options avec leur chance de réussite donnent une idée encore plus juste de ce qu’est cette s…rie de MCAS.
Jean Baptiste
10 juin 2019 at 13 h 45 min -
Aujourd’hui, on sait que le mode AUTO du TRIM ne fonctionnait pas, puisque désactivé a cause du dysfonctionnement du MCAS.
ET que le mode MANUEL du TRIM ne fonctionnait pas non plus, puisque la force sur la colonne était trop importante. ( d’ailleurs quels sont les pilotes de B737 qui savent cela ? )
Au final, plus de moyen de faire bouger le TRIM, alors que les pilotes doivent exercer un force d’environ 40kg sur le manche !
Qui peut tenir 40 kg a bout de bras pendant 15 à 20 minutes le temps de ramener la machine ?? Quasiment personne, donc le crash était assuré.
En complément, un article du WALL STREET JOURNAL sur le B737MAX du 07 JUIN 2019,
https://www.lopinion.fr/edition/wsj/boeing-737-max-plongee-coeur-tests-correctifs-189162
Au vu des essais sur un vrai simulateur avec des pilotes expérimentés, ils n’ont pas du faire beaucoup mieux que les pilotes de l’ETHIPOAN… et meme avec les correctifs en cours, une formation s’impose (!)
PUISQUE LE MODE AUTOMATIQUE EST DECONNECTE, ET LE MODE MANUEL NE FONCTIONNE PAS LORSQU IL Y A UN EFFORT CABRER SUR LE MANCHE !
ils n’avaient donc quasiment aucune chance de s’en sortir…
Les 2 seules options de s’en sortir sont bien celles indiquées précédemment:
1) remette les switch du trim automatique UNIQUEMENT le temps de trimer l’avion et les re-desactiver aussitôt.
2) relâcher le manche, donc laisser l’avion piquer vers le sol, le temps de trimer un peu manuellement, puis reprendre a cabrer et ainsi de suite…
mais qui oserait faire cela sans le savoir a l’avance, ?
d’ou une formation spécifique !
Stéphane
20 juin 2019 at 18 h 26 min -
Le final est bien qu’ils n’avaient aucune chance ni possibilité de sortir de leur piège à cons
1 mai 2019 at 11 h 40 min -
« Bizarrement, il ne semble pas qu’on ait envisagé de modifier le train d’atterrissage du B737 pour lui donner des pattes plus longues et installer la marge nécessaire aux nouveaux moteurs. Bien sûr, selon nos informations auprès de brillants ingénieurs, c’était envisageable et le temps existait, puisque le premier A320 NEO ne vola qu’en 2016. »
.
Je pense que cette modification a été suggérée, de même que la création d’un nouvel avion qui doit être sur le tapis depuis une décennie. La question est plutôt les raisons qui ont fait préférer le déplacement des moteurs. Les coûts directs sans doute. Après tout, si on prend la verrue logicielle telle qu’elle sera après la nouvelle certification, ces développements auraient pu coûter beaucoup moins cher qu’un changement de train d’atterrissages, toutes ses incidences et qui réduit les possibilités d’emports.
.
Pourquoi y a t-il eu tant de fautes dans le développement du MCAS ? Quelle norme interne à la noix a fait choisir 2 sondes AOA ?
1 mai 2019 at 19 h 32 min -
J’ai souligné ce manque de recherche sur un allongement du train
21 avril 2019 at 18 h 19 min -
D’abord merci à tous de ces explications et hypothèses très explicites.
Avec une seule sonde d’incidence prise en considération, qui plus est par un système d’auto-stabilisation vital dans certaines phases de vol, l’objectif contractuel de faible occurrence de panne catastrophique n’était pas respecté : pour un avion de transport civil ce taux doit être, de l’ordre d’une panne catastrophique admise pour 1000 millions d’heures de vol (10 puissance moins 9 par heure de vol ou encore inférieur : 10 puissance moins 12, je ne sais plus exactement). Comment la FAA a-t-elle pu accepter une architecture si pauvre et non compatible avec ce critère de sécurité. Pour le programme Mirage 2000 le taux contractuel figurant dans les clauses techniques avait été porté à 10 puissance moins 9 mais l’avionneur s’était donné pour objectif d’atteindre jusqu’à 10 puissance moins 12, au moins pour les commandes de vol électriques.
Les incidents de vol de même nature qu’ont vécu certains pilotes qui avaient réussi à ramener leur Boeing 737 Max 8, ont bien du être signalés : Boeing et les compagnies des avions objets de ces incidents de vol ne semblent pas avoir avoir attaché la pleine mesure de ces incidents, et ont manqué de réactivité.
22 avril 2019 at 10 h 52 min -
Il ne pouvait exister une réelle sécurité en installant un logiciel MACS qui ne se servait que d’une seule sonde d’incidence
21 avril 2019 at 18 h 13 min -
Bonjour, et félicitations pour cet exposé et ces commentaires que je trouve très pertinents.
Je voudrais revenir sur l’origine du problème ayant conduit ,selon ce qui est actuellement publié, à ces deux accidents:
Le marché (c’est à dire vous et moi, en tant que passager ) demande des avions plus écolos, plus économes, plus confortables, etc…les moteurs en sont un élément important. Le développement d’un moteur est 3 à 5 fois plus long et plus couteux que celui d’un avion, les motoristes travaillent donc en étroite coopération (technique, économique c’est autre chose…) avec les avionneurs.
Le LEAP 1B (« B » pour Boeing, comme « A » pour Airbus et « C » pour COMAC) a donc été fabriqué pour être monté sur le B 737 selon les spec. Boeing. Qu’il soit plus gros, plus lourd, plus puissant est donc pris en compte dès le départ par Boeing et relativement facile à modéliser.
L’optimisation des interactions aérodynamiques nacelle motrice /avion est encore aujourd’hui beaucoup plus difficile à modéliser et je pense (opinion personnelle) que la diminution de stabilité statique (efforts par g inférieurs à la norme à haute incidence) dont il est fait état, a été découverte tardivement dans le programme , voire même au cours des essais en vol, ….qui sont là pour çà !
La solution peut être structurale ( allonger le train pour maintenir la garde au sol ) ou modifier le système de commande de vol (aide au pilotage….)
Allonger le train conduit à augmenter le diamètre du fuselage pour le contenir.
Le diamètre du fuselage (idem B 707, 727) est limité par le gabarit des chemins de fer US et les tunnels des montagnes rocheuses. Les fuselages sont en effet fabriqués à Wichita (Kansas) où la main d’œuvre est moins chère et plus docile qu’à Renton (Wa) et transférés par train, sur des wagons plats sans aucune protection entre des wagons de céréales et de charbon…Augmenter le diamètre du fuselage est donc industriellement très cher et long ,et comment certifier selon la loi du grand père un avion avec un fuselage, une aile, des moteurs différents…
Ceci a donc probablement Boeing à introduire une aide au système de commande de vol longitudinal, via le Stab Trim , qui en possède déjà plusieurs ( Speed Trim, Mach Trim ,etc…)
Pour atteindre les performances requises ( vitesse ou manoeuvrabilité ou furtivité pour les avions d’armes , vitesse, autonomie et coût d’exploitation pour les avions de transport ), tous les avions depuis les années 50 ont des systèmes destinés à les rendre pilotables par des pilotes « non doués d’une force herculéenne ou d’une habileté exceptionnelle « .
Voir amortisseur de tangage du Mirage III, amortisseurs de lacet pour tous les avions à aile en flèche, systèmes de sensation artificielle pour tous les avions à servocommandes irréversibles ,contrôle de la profondeur pour suivre le déplacement du centre de poussée en transsonique, etc…
L’introduction de ce « MCAS » ne me parait donc pas aberrante .
Mais que ce système utilise la donnée d’un seul capteur (AOA vane) pour agir sur le trim de profondeur me parait non conforme à la norme de certification FAR 25.1309:
« » Any single failure can’t lead to a catastrophic failure condition « ».
Sauf à considérer que cette panne est « extremely improbable » (10 exp.-9 /hdv)
ou que la conséquence catastrophique peut être évitée par une procédure appropriée.
Or les effets du MCAS après panne AOA sont difficiles à identifier par un pilote n’ayant pas l’information suffisante, la procédure recommandée (après le premier crash…) est difficile à mettre en œuvre par un pilote ne l’ayant pas pratiquée au simulateur.
Je ne comprends donc pas comment l’analyse de sécurité du constructeur, du certificateur, a pu valider ce concept, comment les pilotes d’essais , de Boeing, de la FAA, ont pu donner leur feu vert, comment les autorités ont accepté un complément de formation aussi minimal !
Je crains que ces évènements ne portent le discrédit sur le constructeur, sur les autorités, et par ricochet sur l’ensemble de l’industrie aéronautique qui n’en n’a vraiment pas besoin !
22 avril 2019 at 10 h 55 min -
Allonger le train aurait éventuellement modifié l’aile où il est logé, mais pas le fuselage
22 avril 2019 at 14 h 37 min -
C’est faux, Christian, le train du 737 est bien logé dans le fuselage (les roues, en tout cas).
Peut-être la solution de « rallonger les jambes de train » aurait elle pu se trouver en en décalant les fixations dans l’aile , façon « Caravelle » (pour des raisons de centrage au sol, les « pattes » de la Caravelle étaient fixées, dans l’aile près d’un mètre en avant de la position des roues au sol).
Les ingénieurs de chez Boeing ont choisi une autre option pour adapter le « Leap » sur leur 737.
Je crois que tout le monde, sur ce blog, est f’accord pour affirmer que les conséquences de cette solution n’ont pas été suffisamment étudiées, et qu’elles mettent en défaut la solidité de la sécurité du système de pilotage en profondeur en ramenant de 10 puissance moins neuf l’occurence d’une panne catastrophique à presque ….un sur deux !
Ils doivent s’en mordre les doigts !
Jean -Baptiste
24 avril 2019 at 19 h 18 min -
Exacts tes propos
1 mai 2019 at 9 h 11 min -
On aurait pu imaginer que soit retenue la solution qui avait été adoptée sur Concorde : un système d’élongation des jambes de train augmentant la longueur du fût de train (et donc la garde au sol) celui-ci déployé, et au contraire le raccourcissant en vue de sa rétraction. Je ne sais pas quel serait le surpoids généré par ce système, mais celui-ci devrait pouvoir rester dans des limites acceptables, si on considère que cette technologie a été utilisée sur au moins un autre type d’avion.
2 mai 2019 at 13 h 47 min -
Bonjour,
La technologie de l’allongement du train est réaliste puisqu’elle a été retenue pour le 737 MAX 10 pour résoudre le problème de « tail stricke » avec son fuselage rallongé de plus de 4m par rapport au MAX 8.
« Comme Boeing ne voulait pas remettre en question le logement du train, les ingénieurs d’UTC Aerospace Systems ont mis au point un système de levier hydraulique automatique. Situé juste au dessus de la roue, il permet de rallonger le train de 24 cm lors des phases d’atterrissage et de décollage. L’avion est ainsi suffisamment surélevé pour faire sa rotation ou son arrondi. Une fois en l’air, un mécanisme de rétraction redonne au train sa taille normale. Il peut ainsi se replier dans sa case identique à celle de ces prédécesseurs. »
Ce système complexe de train montre combien l’architecture actuelle du 737 est à bout de souffle et nécessite à chaque nouvelle version des bricolages matériels et logiciels.
Pierre A.
2 mai 2019 at 18 h 27 min -
Tout à fait d’accord
22 avril 2019 at 17 h 51 min -
Bonjour, vous avez écris :
»Je ne comprends donc pas comment l’analyse de sécurité du constructeur, du certificateur, a pu valider ce concept, comment les pilotes d’essais , de Boeing, de la FAA, ont pu donner leur feu vert, comment les autorités ont accepté un complément de formation aussi minimal ! »
Ce ne sont pas les pilotes d’essais ou les ingénieurs qui les accompagnent qui ont la compétence et la mission de juger ou de valider l’analyse de panne d’un système et sa conformité à la FAR 25.1309 même avant de se mettre en l’air pour accomplir le programme d’essais de certification. Chacun son métier c’est à l’engineering de Boeing et aux experts de la FAA de faire correctement leur métier à chacun ses responsabilités dans ce métier.
24 avril 2019 at 19 h 21 min -
Le problème,c’est que les agences FAA et EASA ne font pas le boulot pour lequel elles sont payées grassement !
19 avril 2019 at 17 h 07 min -
Tout cela me fait penser à une proposition que j’avais fais à AIRBUS, sur suggestion des responsables sécurité des vols de l’armée, de créer ce que j’appelais un expert de synthèses, pour une appréhension de la sûreté de fonctionnement globale des systèmes embarqués des aéronefs, cette approche globale n’étant pas faite, y compris à ce jour je pense. Ils ont refusé. La formation à cette fonction n’existe pas mais les expériences rares tenu par les « moutons à 5 pattes « existent …… un ancien, Jean-claude Wanner, expert accident Mont St Odile SNPL quand je l’était pour la direction generale et (et oui) l’USPNT serait de mon avis.
22 avril 2019 at 11 h 12 min -
Message transmis
18 avril 2019 at 16 h 43 min -
@ Jean-Baptiste Berger.
Je reviens sur certains de vos commentaires.
Je suis désolé, mais on ne peut, aujourd’hui, que punir après coup. Punir avant est tout simplement et fort heureusement interdit par la loi. Regardez le problème que cela pose avec les fichés S…
Par ailleurs, le système que je propose est un peu comme la force de dissuasion française dont nous sommes aujourd’hui quand même très contents. Je crois, personnellement, à la dissuasion, à condition qu’elle soit crédible. Hélas, aujourd’hui, dans les hautes sphères en particulier, c’est surtout l’impunité qui règne…
Quant au MCAS et aux statistiques, vous me permettrez d’être en désaccord avec vous. Si nous avions regardé les paramètres avion, statistiques, depuis la sortie des premiers 737 max, nous aurions très facilement détecté des trajectoires anormale statistiquement. Cela aurait dû, dans un monde effectivement bien fait, mais logique, des enquêtes approfondies et, à mon avis, on aurait évité les morts que nous devons déplorer aujourd’hui.
Les deux crashs mortels, donc, non seulement ne défient pas les statistiques, mais sont la conséquence du non-traitement statistique des vols…!
19 avril 2019 at 12 h 18 min -
Jean François,
Tout ce que vous dites est vrai, mais ne correspond pas tout à fait au problème posé ;
C’est vrai qu’une analyse systématique de tous les vols réalisés par les 737 Max aurait révélé en amont des accidents la faiblesse du circuit de profondeur de ce dernier.
Mais là on parle d’incidents en exploitation.
Or , dans nos commentaires, nous évoquons la certification, et je maintiens que l’absence d’incidents relatifs au dysfonctionnement du trim des 737 (tous types confondus) en exploitation et, vraisemblablement l’absence totale de panne du système MCAS lors des quelques essais réalisés (s’il y en a eu….) n’ont pas permis d’en apréhender les dangers.
De plus, lorsqu’on « certifie » un avion nouveau ,ce que Boeing aurait gagné à faire au lieu de tirer à l’extrême sur un modèle qui a fait son temps, on ne dispose pas de la matière statistique permettant de se prémunir de pannes encore inconnues….
Je maintiens que seules des normes « fortes » peuvent imposer à un constructeur de tester systematiquement toutes les interactions des systemes embarqués (de plus en plus complexes) et qu’il faut un regard « global » en fin de projet, pour essayer de synthétiser tout ça . (Un organisme indépendant du constructeur, qui s’appuie sur une grande expérience en la matière, en s’aidant bien sûr de toutes les données statistiques dont il peut maintenant disposer.)
Nos « anciens », suite aux dramatiques accidents du « Comet », avaient mis en place cette double protection qui a plutôt bien fonctionné jusqu’ici, sauf pour Airbus (Aie, je sens que Gehem va encore me tacler….) parceque les organismes de certification ont été dépassés par le modernisme des ces nouveaux avions.
Il faut donc que les constructeurs se « ressaisissent » et ne livrent des machines qu’une fois certains de ne pas avoir laissé passer des « bugs » énormes comme ce MCAS.
Il faut que la FAA et l’EASA (et leurs équivalents Russes et Chinois) arrêtent de ronfler et appréhendent la certification des avions (nouveaux ou retrofittés) avec le même esprit critique qu’ils l’avaient fait juste après le Comet.
Et bien sûr, constructeurs comme certificateurs doivent utiliser tous les outils à leur disposition pour arriver à un résultat optimum, la compilation des données en exploitation étant l’un d’eux, cette compilation devant bien sûr être continuée après la mise en ligne, remettant éventuellement en cause la navigabilité d’un avion certifié si un doute est révélé.
La rigueur des conditions de la mise en ligne ne doit pas interdire un suivi continu, et là je vous rejoins à 100%.
Quand à la dissuasion par la menace de punition…..j’ai toujours une réticence à traiter de la même manière des gens qui ont commis une faute involontaire (personne, chez Boeing, n’a jamais souhaité qu’aucun de ses avions (civils…) ne tue qui que ce soit) et les malfaisants qui commettent délibérément des actes ayant les mêmes conséquences (terroristes…)
C’est juste une question d’éthique, et elle est discutable, je vous l’accorde.
Bien à vous,
Jean Baptiste
18 avril 2019 at 13 h 00 min -
300 secondes Durée de vie d’un moteur électrique fortement sollicité et contré ….
No comments
17 avril 2019 at 13 h 55 min -
Merci pour cet exposé très clair, et qui mets à jour de graves problèmes et autant de révélations sur le copinage FAA/BOEING, qui n’est pas très reluisants, ni visiblement efficace pour la sécurité des passagers.
Que la FAA protège Boeing, que l’EASA fasse les yeux doux à Airbus est une chose, mais attendez que les Chinois prennent une part non négligeables du marché et vous verrez ce qu’exigeront les certificateurs Chinois pour les avions non-Chinois !
Comme les Allemands, champions des normes contre tout ce qui n’est pas Allemand !
17 avril 2019 at 9 h 54 min -
Ce débat est intéressant, on voit petit à petit « s’aligner les trous dans les plaques » (théorie exposée précédemment par l’auteur de ce blog je crois), chemin de la catastrophe devenant vite inévitable et reproductible (elle s’est produite 2 fois en quelques mois)
– défauts de conception liés au choix délétère de ne pas concevoir une nouvel avion
– non redondance de l’information pour l’activation d’un mécanisme délicat voire dangereux
– impasses de la certification (notamment concernant l’item précédent)
– processus global de certification mis en cause
– absence de formation suffisante des pilotes
etc………
Avec un tel nombre de facteurs causaux, que peut-il arriver d’autre…….
17 avril 2019 at 14 h 53 min -
Efectivement, toutes les données de la théorie des trous dans les plaques sont présentes et cela donne 356 tués
17 avril 2019 at 6 h 23 min -
très triste d’apprendre que les erreurs incombent en partie à l’inaptitude des organismes certificateurs !! 2 jeune pilotes sont morts et plus de 350 personnes !!
En espérant que toutes personnes aimant voyager pourront prendre l’avion en toute sérénité à l’avenir . Très bel exposé que j’ai lu avec beaucoup d’attention.
16 avril 2019 at 21 h 05 min -
Merci cher ami. C’est un plaisir instructif de lire tout ceci . On voit bien que l’aviation qu’elle soit de transport ou de loisir ne doit laisser aucune place à l’approximatif . On voit également qu’en toute circonstance les pilotes doivent pouvoir reprendre la main et le contrôle de la trajectoire. A bientôt
16 avril 2019 at 20 h 32 min -
@ François Lecamus.
Je suis en désaccord avec votre point 1. Tout d’abord, dans une entreprise industrielle normale, la qualité est une organisation censée être indépendante. La fiabilité / sécurité en font généralement partie et les organismes certificateurs n’interviennent qu’après, un peu en inspecteurs des travaux finis… De toute façon, il est bien connu dans le métier que les tâches de fiabilité / sécurité ne peuvent être efficaces que si elles débutent des la phase de conception et dure tout au long de la vie du produit… Que peut bien faire de sérieux une agence qui, encore une fois ne participe pas et n’a pas à participer à la conception ?
J’ajoute que dans un monde où seule le quantitatif fait loi, la meilleure solution me semble être une approche statistique pointue. Et je m’explique. Transmission obligatoire temps réel de tous les paramètres avion par satellite en temps réel. Deep learning et autres merhodes de big data pour déterminer la qualité opérationnelle du type d’avion avec, le cas échéant, pénalités financières. Quant à la sécurité, augmentant le Big Data par des enquêtes du type BEA, la prison pure et simple pour les dirigeants, le cas échéant spoliation de l’actionnaire principal qui aurait mis un peu trop « la pression » fera rentrer les choses dans l’ordre bien vite…!
Je terminerai par les normes. Jetons les par la fenêtre ! Elles aussi sont comme la FAA ou l’AESA. Elles ne servent qu’à protege des intérêts déjà bien installés. La seule norme qui vaille, c’est de transporter des passagers de A à B en toute sécurité. Les seules normes que l’on pourrait ajouter, comme pour toute activité sont celles relatives à la liberté: on a le droit de faire ce que l’on veut à condition de ne pas gêner les autres. Cela peut donc concerner le bruit, la pollution, etc. Mais il n’y a pas besoin d’organisme certificateur pour cela. Une mesure, en opérations, prise aléatoirement (contrairement à ce que l’on fait pour l’automobile pour les mêmes raisons), par un organisme nécessairement etatique et indépendant, suffit amplement.
17 avril 2019 at 11 h 14 min -
Jean François,
Je reste d’accord avec François Lecamus pour ce qui relève de « l’autocertification », des normes et du rôle des organismes certificateurs.
Ce que vous dites serait réaliste dans un monde où l’homme est bon et ne commet jamais d’erreur ce qui, nous le savons tous, est une utopie.
Punir « après coup » un constructeur parcequ’un de ses employés a fait une erreur est bon pour la satisfaction des justiciers en tout genre mais n’a jamais rattrapé les catastrophes passées ni empêché celles à venir.
Ce qu’il faut combattre c’est la « dérive » des organismes d’état, devenus des rentes pour paresseux inefficace (et il n’y a pas qu’en aviation….) et le relâchement des constructeurs, habitués à travailler avec des normes et des procédures de contrôle très strictes, lorsqu’une opportunité commerciale leur ferait dévier de cette politique.
Je suis d’accord avec vous sur l’emploi, autant que possible, des nouvelles possibilités de collecte et de vérification de « datas » pour aider celui, au niveau du constructeur comme au niveau de l’administration, qui donnera le feu vert à la mise en ligne d’un avion.
Mais il faut quand même se méfier de l’utilisation des lois statistiques ; dans le cas qui nous préoccupe, aucun incident d’emballement de trim n’est advenu sur Boeing depuis cinquante ans ; Le MCAs, qui shunte librement toutes les protections qui équipaient les avions précédents pouvait donc, statistiquement, être installé sans plus d’inquiétude.
Dommage, déjà deux crashs mortels qui défient les statistiques.
Dans ce cas, au moins, il aurait mieux valu demander à un vieil ingénieur à la retraite de chez Boeing, et qui n’y connait rien en informatique, de donner son avis sur ce « patch » ajouté au circuit de commandes de vol de l’avion.
La « vision globale » que cite François Lecamus.
Jean baptiste
17 avril 2019 at 15 h 00 min -
Désolé, je persiste et signe avec mon ami Jean-François : la peur de la prison pour les dirigeants et des amendes spectaculaires pour les actionnaires, donneraient la certitude que les intérêts des pilotes et passagers seraient suivis de près.
C’est justement parce que l’homme n’est pas bon, contrairement à ce que disait Rousseau, qu’il faut qu’il existe une férule qui le conserve dans le droit chemin !
1 mai 2019 at 11 h 25 min -
« qualité est une organisation censée être indépendante »
.
C’est un point de vue, mais c’est très relatif. La qualité c’est surtout l’application de normes, et un ensemble de tests qui vérifient la norme mais qui n’engagent pas tellement au delà de ce qu’est la norme. On est dans la standardisation. Si les tests couvrant un élément non standard, spécifiquement les cas délétères du MCAS, n’ont pas été prévus par la norme, parce que personne n’a jamais pensé que ça aurait un jour un sens, et bien les bugs passeront dans le tamis.
.
Le cas des deux sondes d’incidence est révélateur. Ma main à couper que ce bug résulte directement d’une norme interne à Boeing. Il y en a 2 parce que la « norme » qualité interne imposait une redondance pour l’électronique, donc la sonde ne pouvait être unique. Manque de bol, dans ce cas, c’était un bug puisque dans ce cas c’est également un élément mécanique pouvant tomber en panne sans s’arrêter de produire un résultat.
.
Et si un ingé du bureau d’étude dit « il n’y a aucun sens à couvrir spécifiquement ce cas parce qu’il n’est pas dans la norme » et qu’un autre dit « de toutes façon ce n’est qu’un mécanisme de compensation qui n’a aucune incidence sur le reste, on en reste à la norme » et bien personne à la qualité ne viendra le remettre en cause. Pour ça, il faut un pilote, si possible indépendant.
.
Et pire pour une norme, c’est justement qu’elle est une norme et qu’il est difficile de faire différemment ce qui un jour peut avoir du sens. Si un jour, au pif, un constructeur sort des catapultes pour avions de ligne pour économiser du carburant au décollage, la norme risque de rendre obligatoire des éléments qui ne font plus sens.
.
Par ailleurs, je reste stupéfait des fautes de base qui ont été commises. Vu le prix d’une sonde par rapport à l’avion, n’en mettre que deux, ce n’est plus de la mesquinerie, c’est du vol. En mettre 4 pour être sûr qu’au moins 2 indiqueront des valeurs identiques est pertinent.
1 mai 2019 at 19 h 30 min -
Mettons la norme à 4 sondes pour tous les avions et on se passera de FAA et EASA. ET si un constructeur ne suit pas la norme : au gnouf !
2 mai 2019 at 20 h 01 min -
C’est du bon sens…
16 avril 2019 at 17 h 52 min -
Bonjour et merci pour cette analyse collective,
Citation : « Mais nous pensons très peu crédible qu’une manœuvre d’une telle importance ait pu être faite sans des échanges oraux entre les deux pilotes, qui devraient figurer au CVR et considérons donc que les pilotes sont bien restés sur « Cut-out ». »
Le CVR n’ayant pas été publié, ce qui est fort regrettable puisque disponible, je comprend que l’absence de précision à ce sujet dans la partie « déroulement de vol » vous amène à cette considération.
Personnellement, je penche néanmoins pour votre hypothèse N°1 : Ils en ont plein les bras et ont besoin de l’aide du trim électrique.
Les relevés du DFDR indiquent que le MCAS ne s’active plus pendant plus de 2mn alors que la condition AoA persiste, l’AP est « OFF », les volets « UP ».
Mais surtout :
– Le rapport indique : « The data indicates that aft force was applied to both columns simultaneously several times throughout the remainder of the recording ».
– à 05:43:04, il est indiqué que : « the Captain asked the First Officer to pitch up together and said that pitch is not enough » : on remarque à ce moment précis que les colonnes sont légèrement relâchées et que l’attitude (Pitch) régresse : ils lachent certainement une main chacun sur les manches et tentent d’actionner la roue de trim manuellement, sans succès.
– à 05:43:11 (7 secondes après la précédente demande du CDB), deux entrées de compensation électrique manuelles momentanées sont enregistrées dans le sens « nose up ». Sauf erreur, ces entrées ne peuvent apparaitre sur le DFDR que si les switch du STAB TRIM ont été remis sur « ON ».
Dans la seconde qui suit la deuxième entrée, on remarque qu’une tentative d’engagement de l’AP est enregistrée et je pense que le CDB se raccroche à l’espoir qu’il s’engage, sachant que le MCAS ne s’active pas si AP « ON » ; en vain.
Le MCAS se réactive 5 secondes après le dernier ordre du trim électrique manuel, à cette vitesse ils passent en g négatif et s’en est fini.
Voilà comment « je vis » ce relevé, précision faite que je ne suis pas qualifié sur ces questions.
17 avril 2019 at 13 h 02 min -
J’adhère entièrement avec l’analyse de François je n’avais pas remarqué la tentative de réengagement de l’AP qui se traduit par un pic d’alarme dur le paramètre Warn AP. Bravo § quel œil !
Oui la première impulsion sur le trim manuel électrique ne peux s’expliquer que si les TRIM CUT OFF Switches ont été remis sur ON a 05.42.12
Il reste néanmoins le »mystère » à 05.40.43 de l’ordre du MCAS de 10s sans réaction sur la position PHR.
18 avril 2019 at 17 h 05 min -
Citation Gilles : « Il reste néanmoins le »mystère » à 05.40.43 de l’ordre du MCAS de 10s sans réaction sur la position PHR »
Bonjour Gilles et merci pour ta réponse. Oui, cette trace du MCAS est mystérieuse. Je pense qu’elle ne peut répondre qu’à une logique de « traitement » du signal (DFDAU ?) vers le DFDR.
Sans certitude aucune…
Amitiés.
François
19 avril 2019 at 11 h 05 min -
Votre commentaire semble apporter une nouvelle vue.
Est-ce que quelqu’un (Christian ?) peut confirmer ou infirmer votre affirmation :
« – à 05:43:11 (7 secondes après la précédente demande du CDB), deux entrées de compensation électrique manuelles momentanées sont enregistrées dans le sens « nose up ». Sauf erreur, ces entrées ne peuvent apparaitre sur le DFDR que si les switch du STAB TRIM ont été remis sur « ON ». »
Dans ce cas, l’analyse proposés par les 4 auteurs pourrait être remise en question.
Ceci dit, j’en profite pour remercier Christian et ses collègues pour les méthodes d’analyses poussées et pertinentes qu’ils nous proposent à chaque événement malheureux, méthodes dont je m’inspire maintenant dans des domaines complètement différents 🙂
16 avril 2019 at 17 h 30 min -
Comme l’a signalé Christian, j’ai participé avec lui, Guy et Gilles à de nombreux échanges pour permettre que le minimum d’erreurs émaillent le commentaire final qu’il fait de cet accident.
Rien n’étant absolu dans nos analyses, toute intervention de spécialistes mieux placés et/ou renseignés serait forcément enrichissant.
Pour ce qui est des circonstances, le déroulé que Christian en fait, basé sur les enregistrements déjà divulgués est certainement très proche de la réalité;
J’insisterai, pour ceux qui s’interrogeraient « après coup » sur « pourquoi les pilotes n’ont pas fait ceci ou cela ? » qu’il faut se remettre dans l’ambiance d’un cockpit où fonctionnent en permanence des alarmes bruyantes et contradictoires (survitesse, stick shaker) en plus du bruit aérodynamique terrifiant d’un avion qui dépasse sa vitesse limite de presque 150 kts (sur la fin).
Pour ce qui est du MCAS, nous trouvons tous les quatre qu’il est invraisemblable, après le crash de Lion air, qu’une simple note de service ait été divulguée aux équipages volant sur 737 « max » pour « rappeler » la procédure d’emballement de trim.
D’une part (j’y reviendrai) cette procédure a perdu de son intensité dans la formation des pilotes car il n’y a pas eu d’accident liés à ce système depuis des décennies.
D’autre part, les protections contre un éventuel « emballement de trilm » sont redondantes et très efficaces sur 737 (et tous les Boeing en général).
Elles consistent en :
-Un dédoublement des interrupteurs de commande de trim sur les manches (évitant la non coupure par contact permanent après mise en action
-Une annulation de tout ordre au moteur de trim lorsque la commande de profondeur est activée dans le sens opposé (protection « manche à contre ») (annulation temporaire,qui dure tant qu’il y a mouvement à contre)
-Un blocage du stabilisateur en saisissant la roue manuelle de trim (une roue par pilote, les deux sont indissociables et liées directement à la vis sans fin qui manoeuvre le stabilisateur de profondeur (PHR).
-Les fameux interrupteurs « STABTRIM CUTOUT » du pylone qui coupent toute alimentation (définitivement) éléctrique du moteur de trim.
Le résultat de tout ça est l’absence de panne de ce système depuis longtemps, je le répète, avec comme corollaire que la procédure qui faisait « sauter les pilotes sur l’alimentation du trim » dès qu’il dysfonctionnait est passée aux oubliettes. (J’ai fait, à Air France, une qualif 747 et une qualif 777 où jamais on n’a eu à utiliser ces fameux « STABTRIM CUTOUT » en dehors de pannes de systèmes spécifiques, et en appliquant tranquillement des check list lues.
Le « scandale » du MCAS est qu’il « shunte » allègrement tous ces systèmes de protection, à l’exception du « STABTRIM CUTOUT » dont je viens de dire à quel point il est peu valorisé depuis longtemps.
Le deuxième « scandale » est que ce système, qui agit directement (et de façon transparente, aucune information aux pilotes….) sur une commande majeure de pilotage, le compensateur de profondeur, le fait sur l’initiative d’un seul capteur (sonde d’incidence), même pas comparé à l’autre, pourtant existant sur l’avion.
Tout le système de redondance qui a rendu solide la sécurité des systèmes utilisés dans un avion est anéanti .
Et pour finir, je rebondirai sur la remarque de Christian concernant « les autres 737 » ;
Si, comme on peut le penser, la commande « manuelle » du trim (la roue) s’est révélée impossible à utiliser au delà d’une certaine vitesse (le copilote tente en vain de la manoeuvrer alors que la vitesse de l’avion est encore dans le domaine de vol certifié) on est en droit de se demander si les modèles précédents (le 500, le 600; le 700 etc..) ont eux-même subi les essais élémentaires de contrôlabilité à l’aide du trim de secours (pour les profanes, est-ce que le frein à main qui suffisait à arrêter une 2CV à pleine vitesse est suffisamment dimensionné pour stopper une C5 ?).
Cette remarque est liée à la polémique sur la « certification » des nouveaux modèles d’avion dérivés de modèles déjà existants et pour lesquels une étude « globale » n’est pas forcément réalisée, comme le souligne François Lecamus.
Le MCAS introduit sur le « max » est surement passé au travers.
Est-ce que la roue de trim secours,qui semble identique à celle qui équipait le 737/100 d’il y a soixante ans et qui pesait 50tonnes à pleine charge permet de manoeuvrer dans les mêmes circonstances une gouverne (PHR) qui est forcément bien plus grande, dimensionnée pour un avion qui pèse 90 tonnes !
La triste « saga » du « max » risque bien d’éclabousser Boeing et la FAA au delà de ces deux accidents.
Jean Baptiste
16 avril 2019 at 12 h 28 min -
Si je comprend bien , ce système MCAS vient palier au fait que cette nouvelle version du B737 est « normalement » in-pilotable à cause du changement de réacteurs .
Ingénieurs versus pilotes ?
Au lieu de bidouiller un logiciel mortifère , ne vaudrait il pas mieux revoir les fondamentaux de cet avion , qui , ne l’oublions pas , n’est qu’un planeur auquel on adjoint des Gmp ?
Cordialement
16 avril 2019 at 17 h 32 min -
J’ai déjà exprimé que pour moi, Boeing est dans l’erreur en ne lançant pas un successeur au 737
16 avril 2019 at 10 h 53 min -
Je ne sais pas si la proposition a été rejetée mais je suppose que la difficile voir impossible manœuvre du trim en secours manuel nécessite d’autres investigations et corrections qu’une simple modification de logiciel on parle d’une remise en vol vers juillet voir aout
16 avril 2019 at 9 h 10 min -
Salut Christian,
Bel exposé avec toujours ta rigueur et clarté habituelles.
En informatique, j’ai toujours adopté le principe de ceinture plus bretelles. Cela porta ses fruit puisqu’en 40 ans de carrière, je n’ai jamais eu à déplorer de désastre.
Je ne sais pas combien coûte ces sondes AOA mais c’est certainement dérisoire en proportion du prix total de l’avion. Quand on sais l’importance que revêtent leurs informations dans le maintien de l’appareil en vol, il est totalement incompréhensible de n’en avoir installée (au moins) une troisième afin d’utiliser la méthode du quorum qui a fait ses preuves dans de nombreux domaines. Cela laisse planer un doute extrêmement désagréable sur la façon dont a été géré le projet d’une façon générale tant sur la modification inappropriée des moteurs, de la (non) prise en compte de l’avis ds pilotes, de l’inaptitude des organismes certificateurs. bref, de tous les points que tu as si justement exposés. Merci pour ce travail d’expert qui j’espère sera entendu au plus haut niveau pour que l’on puisse continuer à voyager en toute sérénité.
16 avril 2019 at 17 h 35 min -
Merci très cher ami. Mais le bon sens a du mal à s’imposer
16 avril 2019 at 8 h 51 min -
1) L’auto-certification est acceptable sur tout ce qui est mesurable et encadré par des normes. Elle ne peut donc pas s’appliquer au plus important, la robustesse de la conception et de l’architecture du système. Cette activité ne peut être conduite que par un organisme externe indépendant et impartial.
2) Si le MCAS n’utilise qu’une sonde pourquoi en mettre deux puisque de toute façon il n’y a pas survie à une panne simple, il en faudrait trois (et quatre pour la panne double, comme sur Concorde).
3) Pas d’enquête sur l’origine de ces dysfonctionnements de sonde ?
1 mai 2019 at 15 h 30 min -
1/ bien d’accord. Ca rejoint mon commentaire supra.
2/ Tout semble avoir été traité comme s’il s’agissait d’un dispositif purement électronique : donne un résultat pertinent / ne donne pas de résultat du tout. Je pense que le stagiaire qui a conçu le MCAS et l’étudiant qui l’a validé se sont appuyés sur une norme interne électronique ou informatique car c’était son domaine de formation, mais il se sont plantés lourdement puisque c’est (aussi) un élément mécanique qui donne un résultat même s’il est faux.
16 avril 2019 at 4 h 30 min -
Bon, j’ai entendu dire que la ꜰᴀᴀ avait rejeté la première proposition de modification de Boeing. Vous confirmez ?
Qui suis-je ?
Commandant de Bord Boeing 747 Air France ER
Ex Leader de la Patrouille de France
Expert de l’accident de Sharm El Sheikh (2004)
Ancien Président du Bureau Air France du SNPL, Syndicat National de Pilotes de Ligne – 1986 / 1990
Biographie
Soyez informés de la parution de mes articles