Accueil > Actualité > Le profit tue

Le profit tue

A propos des accidents de Boeing 737 MAX

par Mathieu VANDER PLAETSE, le 6 mai 2019

Enregistrer au format PDF

Le 29 octo­bre 2018 et le 10 mars 2019, deux Boeing 737 MAX se sont écrasés, entraî­nant la mort de tous les pas­sa­gers et mem­bres d’équipage. Ces deux crashs ont eu lieu dans des cir­cons­tan­ces simi­lai­res et avec des appa­reils sem­bla­bles. Selon les infor­ma­tions remon­tées, le crash serait dû à un dys­fonc­tion­ne­ment logi­ciel. Un ingé­nieur et pilote, Gregory Travis, a fait des recher­ches sur les causes du crash, et décrit dans un arti­cle (voir réfé­ren­ces) les causes et moti­va­tions qui ont conduit à ces défaillan­ces.

Dans cet arti­cle, je vais résu­mer son ana­lyse.

Description des accidents

Les deux acci­dents sont dûs au dys­fonc­tion­ne­ment d’un module logi­ciel du 737 MAX. Le module en ques­tion est le MCAS, un sys­tème de sta­bi­li­sa­tion anti-décro­chage. Dans les deux cas, ce module a reçu des infor­ma­tions erro­nées d’un cap­teur AoA (angle-of-attack) qui permet de connaî­tre l’incli­nai­son d’un avion. Ce cap­teur don­nant de mau­vai­ses infor­ma­tions, le MCAS a forcé l’appa­reil à poin­ter vers le bas, et cela a entraîné les deux crashs.

Il y a plu­sieurs causes qui ont poussé Boeing à intro­duire le MCAS dans le 737, que nous allons voir main­te­nant.

Problématique de remise en conformité

Dans le domaine de l’avia­tion, les régle­men­ta­tions n’auto­ri­sent les pilo­tes à pilo­ter qu’un type d’avion à la fois. Cependant, plu­sieurs avions peu­vent appar­te­nir au même type si les simi­la­ri­tés sont suf­fi­san­tes. Cela permet aux com­pa­gnies aérien­nes plus de flexi­bi­lité au niveau de la ges­tion de leur flotte. C’est aussi la raison pour laquelle les cons­truc­teurs d’avion font en sorte d’avoir des appa­reils sem­bla­bles d’une géné­ra­tion à l’autre. Dans le cas d’un nou­veau modèle, la FAA (Fédération amé­ri­caine de l’avia­tion) cer­ti­fie que l’avion est conforme aux régle­men­ta­tions.

Dans le cadre du 737 MAX, Boeing était dans une situa­tion com­pli­quée après l’annonce du A320neo d’Airbus. En effet, ce nouvel A320 pro­met­tait une consom­ma­tion de fuel au kilo­mè­tre infé­rieure aux avions sur le marché. L’A320 étant sur la même ligne de marché que le 737, Boeing a dû conce­voir dans l’urgence un nouvel avion. Pour éviter le coût de la cer­ti­fi­ca­tion d’un nouvel appa­reil et la for­ma­tion de pilo­tes, Boeing a décidé de partir sur une base de 737 NG et d’y ajou­ter des moteurs plus économiques.

Problématique des nouveaux moteurs

Ces moteurs posaient cepen­dant un pro­blème : ils étaient plus gros que leur pré­dé­ces­seurs, et ne pou­vaient pas être placés sous les ailes car il n’y aurait pas eu assez d’espace entre le sol et les moteurs lors du décol­lage.

La solu­tion appor­tée par Boeing a été de déca­ler les moteurs vers l’avant, pour per­met­tre de les suré­le­ver un peu. Ainsi, la car­lin­gue du 737 res­tait la même, ce qui évitait de perdre du temps à redé­fi­nir une struc­ture et per­met­tait de lancer le concur­rent du A320neo plus tôt.

Problématique de l’aérodynamisme

Avec le dépla­ce­ment des moteurs vers l’avant, l’aéro­dy­na­misme de l’avion a été modi­fié et le centre de pous­sée avancé. Cela a pour consé­quence un cabrage de l’appa­reil quand le pilote aug­mente les gaz. Dans le cadre de la régle­men­ta­tion, des avions de même type doi­vent par­ta­ger un cabrage simi­laire lors de l’accé­lé­ra­tion. Boeing a dû trou­ver une solu­tion pour contrer ce cabrage et s’assu­rer que l’appa­reil reste dans la même caté­go­rie que son pré­dé­ces­seur.

Pour cela, plutôt que de trou­ver une solu­tion phy­si­que, en cor­ri­geant la struc­ture de l’avion, Boeing a ajouté un com­po­sant logi­ciel : le MCAS. Ce module permet de cor­ri­ger l’incli­nai­son de l’appa­reil lors de sa phase d’ascen­sion au décol­lage pour assu­rer un com­por­te­ment simi­laire au 737 NG.

Problématique de remise en conformité

Pour éviter une demande de recer­ti­fi­ca­tion de la part de la FAA, l’ajout du MCAS a été fait dis­crè­te­ment, sans ajou­ter d’ins­truc­tions spé­ci­fi­ques dans le manuel d’emploi du 737 MAX, sans faire de cam­pa­gnes de for­ma­tion pour les pilo­tes et sans infor­mer les com­pa­gnies aérien­nes de son fonc­tion­ne­ment.

Les pilo­tes n’avaient donc pas connais­sance de ce module, et ne savaient pas com­ment le désac­ti­ver en cas de dys­fonc­tion­ne­ment.

Mauvaise implémentation du MCAS

Le pro­blème du MCAS, c’est qu’il avait un cer­tain nombre de vices de fabri­ca­tion, qui ont entraîné un fonc­tion­ne­ment erra­ti­que.

Tout d’abord, la cor­rec­tion d’un pro­blème phy­si­que par un ajout logi­ciel n’est pas la solu­tion la plus simple. Il y a donc un ajout de com­plexité plus dif­fi­cile à maî­tri­ser.

Ensuite, ce module a été ajouté dans l’urgence, puis­que Boeing devait rat­tra­per son retard sur son rival Airbus. On peut faci­le­ment ima­gi­ner que ce cadre n’est pas pro­pice au déve­lop­pe­ment serein d’un tout nou­veau module.

Troisièmement, le contrôle qua­lité des avions ne se fait plus direc­te­ment par la FAA, mais par des ingé­nieurs inter­nes aux cons­truc­teurs. C’est donc un vali­da­teur interne à Boeing qui a validé les chan­ge­ments appor­tés et notam­ment le module MCAS.

Enfin, ce module se base sur un cap­teur unique. Dans l’avia­tion, tous les cap­teurs sont redon­dés au moins une fois. Il y a une série de cap­teurs côté pilote et une série côté copi­lote. Lorsqu’une infor­ma­tion semble erro­née, le pilote peut regar­der ce que remon­tent les cap­teurs du côté copi­lote, et il peut ensuite déduire si un cap­teur ne fonc­tionne pas. Il peut aussi déduire d’un ensem­ble de cap­teurs des don­nées en recou­pant les infor­ma­tions.

Dans le cadre du MCAS, le module n’a pas cette capa­cité. Il se base sur un seul cap­teur, et lui fait entiè­re­ment confiance. Pourtant, c’est un fait connu dans l’avia­tion que les cap­teurs, étant expo­sés à des condi­tions extrê­mes, ont des pério­des de dys­fonc­tion­ne­ment au cours d’un vol. Dans les cas des ces deux crashs, le module MCAS a donc suivi les infor­ma­tions d’un cap­teur défaillant.

Conclusion

Ces crashs de 737 MAX met­tent une fois encore en lumière un prin­cipe de notre société : au nom du profit, une entre­prise peut pren­dre une série de déci­sions qui va mettre en péril la vie de mil­liers de per­son­nes et conduire à la mort de cen­tai­nes. Ces acci­dents auraient pu être évités, si à un seul des stades, la déci­sion avait été autre. Si Boeing avait redes­siné la struc­ture du 737, il n’y aurait pas eu besoin du MCAS. Si le MCAS avait été conçu et implé­menté avec plus de pré­cau­tions et plus de temps, il aurait pu être plus fiable, notam­ment en se basant sur le résul­tat de plu­sieurs cap­teurs pour pren­dre sa déci­sion. Enfin, si Boeing avait clai­re­ment expli­cité les consé­quen­ces de l’ajout du MCAS sur le 737 MAX, les pilo­tes auraient su com­ment réagir en cas de dys­fonc­tion­ne­ment. Mais toutes ces dan­ge­reu­ses déci­sions ont été prises dans un seul but : per­met­tre à Boeing de rester com­pé­ti­tif face à Airbus. La libre concur­rence permet des pro­duits de meilleure qua­lité paraît-il…

Références

http://www.lefi­garo.fr/inter­na­tio­nal/2019/03/10/01003-20190310ART­FIG00252-le-boeing-737-max-impli­que-dans-deux-crashs-en-quel­ques-mois.php

https://www.the­verge.com/2019/5/2/18518176/boeing-737-max-crash-pro­blems-human-error-mcas-faa

https://spec­trum.ieee.org/aeros­pace/avia­tion/how-the-boeing-737-max-disas­ter-looks-to-a-soft­ware-deve­lo­per