Accueil
Portail
Galerie
S'enregistrer
Connexion
par Vector Mer 22 Jan 2020 - 18:08Pour ceux qui seraient intéressés, voici une traduction machine de l'article du NYT cité par Poncho.
Après l’écrasement d’un Boeing 737 près d’Amsterdam il y a plus d’une décennie, les enquêteurs néerlandais ont reproché aux pilotes de ne pas avoir bien réagi lorsqu’un système automatisé a mal fonctionné et que l’avion a plongé dans un champ, tuant neuf personnes.
Toutefois, l’équipage n’était pas le seul responsable. Les décisions de Boeing, y compris les choix de conception risqués et les évaluations de sécurité erronées, ont également contribué à l’accident du vol de Turkish Airlines. Mais dans son rapport final, le Bureau néerlandais de la sécurité a écarté ou minimisé les critiques adressées au constructeur, après avoir essuyé les critiques d’une équipe d’Américains comprenant des responsables de la sécurité de Boeing et du gouvernement fédéral, des documents et des entrevues ont été présentés.
L’écrasement, survenu en février 2009, impliquait un prédécesseur du 737 Max de Boeing, l’avion qui a été interdit de vol l’année dernière après que 346 personnes eurent perdu la vie en Indonésie et en Éthiopie et que la société eut été plongée dans la pire crise de son histoire.
Un examen par le New York Times des preuves de l’accident de 2009, dont certaines étaient auparavant confidentielles, révèle des parallèles frappants avec les récents accidents – et la résistance de l’équipe d’enquêteurs américains à un examen complet des résultats qui se sont plus tard révélés pertinents pour le Max.
Dans les accidents de 2009 et du Max, par exemple, la défaillance d’un seul capteur a causé un raté des systèmes, avec des résultats catastrophiques, et dans les deux cas, Boeing n’avait pas fourni aux pilotes l’information qui aurait pu les aider à réagir à la défaillance. L’accident précédent « représente un tel événement sentinelle qui n’a jamais été pris au sérieux », a déclaré Sidney Dekker, un expert en sécurité aérienne qui a été chargé par le Bureau néerlandais de la sécurité d’analyser l’écrasement.
L’étude du Dr Dekker accusait Boeing d’avoir tenté de détourner l’attention de ses propres « lacunes de conception » et d’autres erreurs en faisant des déclarations « à peine crédibles » qui enjoignaient aux pilotes d’être plus vigilants, selon une copie examinée par The Times.
L’étude n’a jamais été rendue publique. Selon M. Dekker et une autre personne qui connaît bien sa gestion, le conseil néerlandais a renoncé à publier le rapport. Une porte-parole du conseil d’administration néerlandais a déclaré qu’il n’était pas habituel de publier des études d’experts et que la décision concernant le Dr Dekker était prise uniquement par le conseil.
[Mise à jour : Les Néerlandais ont finalement publié l’étude après la publication de l’enquête par le The Times.]
À l’époque, le comité néerlandais avait supprimé ou modifié les conclusions de son propre rapport d’accident sur les problèmes de conception de l’avion, à la suite de l’intervention de la même équipe américaine. Le Bureau a également ajouté des déclarations, dont certaines étaient presque textuelles et sans attribution, rédigées par les Américains, qui ont déclaré que certaines erreurs des pilotes n’avaient pas été « correctement soulignées ».
Les critiques étouffées à l’endroit de Boeing après l’accident de 2009 s’inscrivent dans un schéma plus large, mis en lumière depuis les tragédies du Max, de la compagnie bénéficiant d’une approche tolérante de la part des responsables de la sécurité.
Selon de nombreux experts en sécurité aérienne ayant de l’expérience dans les enquêtes sur les accidents qui ont lu les deux documents, les références aux conclusions du Dr Dekker dans le rapport final étaient brèves, peu claires et pas suffisamment mises en relief,.
L’un d’entre eux, David Woods, professeur à l’Université d’État de l’Ohio qui a été conseiller technique auprès de la Federal Aviation Administration, a déclaré que l’écrasement de Turkish Airlines « aurait dû réveiller tout le monde ».
Certains des parallèles entre cet accident et les plus récents sont particulièrement dignes de mention. Les décisions de conception de Boeing sur le Max et l’avion impliqué dans l’écrasement de 2009, le 737 NG, ou Next Generation, ont permis qu’une puissante commande informatique soit déclenchée par un seul capteur défectueux, même si chaque avion était équipé de deux capteurs, comme Bloomberg l’a signalé l’an dernier. Dans les deux accidents Max, un capteur mesurant l’angle d’incidence de l’avion par rapport à l’air a incité un ordinateur de commande de vol à pousser sur le nez après le décollage; lors du vol de Turkish Airlines, un capteur d’altitude a fait en sorte qu’un autre ordinateur a coupé la vitesse de l’avion juste avant l’atterrissage.
Avant 2009, Boeing avait déterminé que, si le capteur fonctionnait mal, l’équipage reconnaîtrait rapidement le problème et empêcherait l’avion de décrocher, ce qui est à peu près à la même hypothèse faite au sujet du comportement du pilote avec le Max.
Comme dans le cas des écrasements plus récents, Boeing n’avait pas inclus dans le manuel d’exploitation de NG des renseignements qui auraient pu aider les pilotes à réagir lorsque le capteur est tombé en panne.
Même une solution proposée pour le Max a des similitudes avec le passé : après l’écrasement près d’Amsterdam, la FAA a exigé des compagnies aériennes qu’elles installent une mise à jour logicielle pour la NG qui comparait les données des deux capteurs de l’avion, plutôt que de n’en utiliser qu’un seul. Le changement de logiciel que Boeing a mis au point pour le Max compare également les données de deux capteurs.
Dans le cas du NG, Boeing avait déjà mis au point le logiciel bien avant l’écrasement de Turkish Airlines, y compris sur de nouveaux avions construits à partir de 2006 et l’avait offert comme mise à jour facultative sur des centaines d’autres avions. Mais pour certains avions plus anciens, y compris celui qui s’est écrasé près d’Amsterdam, la mise à niveau ne fonctionnerait pas, et Boeing n’a mis au point une version compatible qu’après l’accident.
Les enquêteurs néerlandais ont jugé « remarquable » que Boeing ait laissé aux compagnies aériennes le choix d’obtenir la protection pour certains avions plus anciens. Toutefois, en examinant l’ébauche du rapport d’accident, les Américains se sont opposés à la déclaration, selon l’annexe de la version finale, indiquant qu’une modification logicielle n’était pas nécessaire parce qu’« aucun risque inacceptable n’avait été identifié ». GE Aviation, qui avait acheté l’entreprise qui fabriquait les ordinateurs pour les avions plus anciens, a également suggéré de supprimer ou de modifier la phrase.
Le comité néerlandais a retiré la déclaration, mais a critiqué Boeing de ne pas en faire plus pour alerter les pilotes au sujet du problème de capteur.
M. Woods, qui était le conseiller au doctorat de M. Dekker, a déclaré que la décision d’exclure ou de sous-évaluer les principales conclusions de l’étude a permis à Boeing et à ses organismes de réglementation américains de réaliser « les changements les plus limités possible ».
Le problème du capteur unique, a-t-il dit, aurait dû dissuader Boeing d’utiliser une conception similaire dans le Max, au lieu de cela, « le problème a été enterré ».
Boeing a refusé de répondre aux questions détaillées du Times. Dans une déclaration, la compagnie a souligné les différences entre l’accident de 2009 et l’écrasement du Max. « Ces accidents impliquaient des entrées de système et des phases de vol fondamentalement différentes », a déclaré la compagnie.
Interrogé au sujet de sa participation au rapport d’accident néerlandais, Boeing a déclaré qu’il était « typique et essentiel pour le succès des enquêtes que Boeing et d’autres constructeurs collaborent avec les autorités chargées de l’enquête ».
Joe Sedor, le représentant du National Transportation Safety Board qui a dirigé l’équipe américaine chargée de l’enquête sur Turkish Airlines, a déclaré qu’il n’était pas inhabituel pour les organismes d’enquête d’apporter des changements à un rapport après avoir reçu des commentaires, ou que les responsables américains de la sécurité soumettent conjointement leurs commentaires à Boeing.
M. Sedor supervise maintenant les travaux de l’Université du Nouveau-Brunswick sur les écrasements Max. Il a reconnu que le fait de se fier à un seul capteur était un facteur contributif dans les deux cas, mais il a mis en garde contre l’idée de se concentrer uniquement sur cet aspect.
« Chacun de ces accidents était un événement complexe et dynamique, avec de nombreux facteurs contributifs », a-t-il dit. « En les résumant simplement au nombre d’intrants, on ne tient pas compte des nombreuses autres questions qui les différencient. »
Dans une déclaration, la FAA a également mis l’accent sur « l’ensemble unique de circonstances » entourant chaque accident. « Établir de vastes liens entre les accidents impliquant différents types d’urgences simplifie exagérément ce qui est, par définition, une science complexe », a-t-il déclaré.
L’agence, qui fait également partie de l’équipe américaine dans l’enquête néerlandaise, a refusé de dire si les leçons tirées de l’écrasement de Turkish Airlines avaient été prises en compte dans sa décision de certifier le Max, qui a été approuvé pour voler en 2017 et qui est devenu le record de ventes d’avions dans l’histoire de Boeing.
Mais un cadre supérieur de la FAA, qui n’était pas autorisé à parler publiquement, a fait l’éloge de l’étude du Dr Dekker et a dit qu’il avait bien identifié des enjeux importants qui n’avaient pas reçu suffisamment d’attention de la part du public. Le fonctionnaire a souligné les similitudes — comme le fait de se fier à un seul capteur — entre l’écrasement de Turkish Airlines et les accidents du Max.
Une porte-parole du conseil d’administration néerlandais, Sara Vernooij, a déclaré qu’il était pratique courante de modifier les projets de rapport en réponse à des commentaires de l’extérieur, mais elle a refusé de parler de ces changements spécifiques. D’autres entreprises et organismes gouvernementaux qui ont participé à l’enquête, comme la firme française qui a fabriqué les capteurs et le Bureau de la sécurité aérienne de ce pays, ont également soumis des commentaires, mais le mémoire américain était le plus volumineux.
Mme Vernooij a déclaré que l’agence néerlandaise considérait l’étude Dekker comme confidentielle. « Les parties jugées pertinentes par la commission ont été utilisées lors de la rédaction du rapport final », a-t-elle dit.
Se concentrer sur les pilotes
Le matin du 25 février. En 2009, le vol 1951 de Turkish Airlines était en approche d’Amsterdam, avec à bord 128 passagers en provenance d’Istanbul. Le copilote a dirigé l’avion vers la piste 18R en annonçant les changements de vitesse et de direction. Il était nouveau à bord de l’avion de Boeing, alors l’équipage comprenait un troisième pilote en plus du commandant de bord, qui était un ancien officier de l’aviation turque ayant environ 13 ans d’expérience de pilotage de l’avion.
En raison des instructions du contrôle de la circulation aérienne, l’équipage a dû exécuter une manœuvre qui pouvait s’avérer délicate, c’est-à-dire ralentir en faisant une descente plus accentuée que la normale. Ils ont alors enclenché un ordinateur qui contrôlait la poussée du moteur, appelé automanette, pour aider à régulariser la diminution de la vitesse.
Alors que l’avion descendait à 1 000 pieds, les pilotes n’avaient pas encore terminé leur liste de vérifications avant l’atterrissage. Le strict respect de la procédure de la compagnie aérienne aurait signifié qu’on aurait dû interrompre son approche pour faire une autre tentative, mais les enquêteurs ont déterminé par la suite que ce genre d’infraction était courant sur la piste très occupée.
Environ une minute plus tard, alors que l’avion se trouvait à environ 450 pieds, les manches des pilotes ont commencé à vibrer, signalant un décrochage imminent. Le jet avait trop ralenti. Immédiatement, l’un des pilotes a réagi en poussant les manettes de puissance vers l’avant pour reprendre de la vitesse, mais dès qu’il a lâché prise, l’ordinateur a ramené les moteurs au ralenti.
Le commandant de bord est alors intervenu en désactivant l’automanette et en remettant les manettes à leur maximum. Neuf secondes s’étaient écoulées depuis l’avertissement de décrochage et il était trop tard. Le jet s’est enfoncé dans un champ à moins d’un mille de l’aéroport.
Les trois pilotes, un autre membre d’équipage et cinq passagers ont perdu la vie.
Les enquêteurs néerlandais ont déterminé que la cause du mauvais fonctionnement était un capteur d’altitude de mesure extérieure de l’avion. Le capteur avait indiqué par erreur que l’avion n’était qu’à quelques instants du toucher des roues, ce qui avait incité l’ordinateur à ramener les moteurs au ralenti.
Pendant 70 secondes, l’automanette a fait ce que l’équipage avait prévu : réduire progressivement la vitesse de l’avion. Mais les pilotes n’ont pas remarqué que l’ordinateur ne maintenait pas la vitesse cible à ce moment-là; il a plutôt continué de ralentir l’avion. Les pilotes ne se sont rendu compte du problème que lorsque le manche a commencé à vibrer.
Ne pas surveiller la vitesse est considéré comme une grave erreur. Les pilotes, qui, selon les enquêteurs, étaient préoccupés par la liste de vérifications à l’atterrissage, ont également ignoré de multiples avertissements indiquant que l’automanette se déplaçait. Les conclusions du comité néerlandais portaient sur la décision de ne pas interrompre l’atterrissage, le fait de ne pas avoir reconnu la chute dangereuse de vitesse et la réaction inadéquate à la vibration du manche, peut-être en raison d’un manque de formation adéquate.
À la demande de l’équipe américaine dirigée par le NTSB, les Hollandais ont ajouté des commentaires qui insistaient davantage sur la culpabilité des pilotes. Le rapport final, par exemple, comprenait une nouvelle déclaration qui réprimandait le commandant de bord, disant qu’il aurait pu utiliser la situation pour enseigner au copilote une « leçon » sur le protocole à suivre.
Dans leurs commentaires, qui se retrouvent en grande partie en annexe, les Américains adressaient des critiques à Boeing dans le projet de rapport. Une description des procédures de surveillance et de correction des problèmes de sécurité potentiels de la compagnie était « techniquement incorrecte, incomplète et trop simpliste », ont-ils écrit. En réponse, le Bureau a inséré une description du programme de sécurité de Boeing rédigé par les Américains et une déclaration selon laquelle l’approche de Boeing était plus rigoureuse que les exigences de la FAA.
L’ébauche faisait également référence à des études selon lesquelles il était courant que l’automatisation complexe sème la confusion chez les pilotes et suggérait des améliorations à la conception et à la formation. Selon le projet, les études comprenaient des recherches effectuées par « Boeing lui-même ».
Les Américains s’y sont opposés, déclarant que les déclarations « déforment et simplifient exagérément les résultats de la recherche ». Dans son rapport final, le Bureau a donc supprimé la référence à Boeing.
Lorsque le comité néerlandais a annoncé ses conclusions lors d’une conférence de presse, son président a déclaré : « Les pilotes auraient pu empêcher cela ».
Renseignements manquants
Le Bureau de la sécurité des Pays-Bas avait également commandé à M. Dekker une analyse de l’accident, qui portait sur une discipline du génie connue sous le nom de facteurs humains. Comme les avions en sont venus à se fier à des systèmes informatiques complexes, les chercheurs et les chercheurs ont identifié des pratiques de conception et de formation qui peuvent rendre les erreurs de pilote moins probables.
M. Dekker, qui était alors professeur en Suède et qui avait enquêté sur d’autres accidents graves et avait travaillé à temps partiel sur un 737, a reconnu les erreurs fatales commises par les pilotes de Turkish Airlines dans son étude de 129 pages.
Mais il a aussi trouvé que Boeing avait une responsabilité importante.
Bien que son étude n’ait jamais été rendue publique, des copies ont été distribuées à certains chercheurs et à des pilotes. Son rôle dans l’enquête a été cité en annexe du rapport de la commission. Il est maintenant professeur en Australie et aux Pays-Bas.
Dans l’étude, M. Dekker a reproché à Boeing d’avoir conçu l’automanette en se fiant à un seul des deux capteurs qui mesurent l’altitude. Cette décision, a-t-il écrit, a laissé « une voie d’échec fondé sur un facteur unique en place », ce qui a augmenté le risque qu’une seule erreur puisse aboutir à une catastrophe.
Cinq ans avant l’écrasement de Turkish Airlines, Boeing savait qu’une défectuosité d’un capteur pouvait mettre les moteurs au ralenti de façon inappropriée, mais la compagnie a décidé que ce n’était pas une question de sécurité, ont écrit les enquêteurs néerlandais. Après avoir reçu des rapports sur des incidents d’automanette qui n’ont pas conduit à des accidents, un comité d’examen de Boeing a jugé qu’en cas de défaillance, les pilotes le reconnaîtraient et interviendraient.
Entre-temps, Boeing a mis au point une mise à jour du logiciel qui a permettait à l’automanette de comparer les lectures des deux capteurs d’altitude. S’ils différaient de plus de 20 pieds, l’automanette ne pourrait pas mettre les moteurs au ralenti de façon inappropriée.
Cette mesure de sauvegarde était disponible en 2006, mais le changement n’était pas compatible avec certains modèles du 737 NG, comme l’avion de Turkish Airlines, qui utilisait un ordinateur de commande automatique fabriqué par une autre compagnie. Après l’écrasement de 2009, Boeing a mis au point une version de la mise à jour compatible avec ces ordinateurs, et la FAA a exigé que les compagnies aériennes l’installent.
L’étude Dekker a révélé qu’une autre décision de Boeing — de ne pas inclure dans le manuel d’exploitation des informations importantes— avait également joué contre les pilotes de Turkish Airlines.
Le 737 NG dispose de deux chaînes parallèles d’ordinateurs et de capteurs, l’un à gauche et l’autre à droite de l’avion. La plupart du temps, un seul ensemble est en contrôle.
Sur le vol de Turkish Airlines, le système de droite était en contrôle. Les pilotes ont reconnu les lectures d’altitude inexactes et ont remarqué qu’elles provenaient du capteur de gauche. Cela les aurait amenés à conclure que les mauvaises données provenant de la gauche n’avaient pas d’importance parce que l’automanette obtenait les bonnes données de la chaîne droite, a constaté M. Dekker.
Ce que les pilotes ne pouvaient pas savoir, c’est que l’ordinateur qui contrôlait la poussée du moteur se fiait toujours au capteur de gauche, même lorsque le système de droite était aux commandes de l’avion. Cette information essentielle ne se trouvait nulle part dans le manuel des pilotes de Boeing, a appris M. Dekker.
Erik van der Lely, pilote de 737 NG et instructeur pour une compagnie aérienne européenne qui a étudié sous la direction de M. Dekker, a déclaré au Times qu’il ne connaissait pas cette conception particulière avant de lire une copie de l’étude. « Je suis à peu près certain qu’aucun des 737 pilotes n’était au courant », a-t-il dit.
Lorsque le projet de rapport reprochait à Boeing de ne pas avoir donné aux pilotes des renseignements qui auraient pu aider à prévenir l’accident, les Américains n’étaient pas d’accord, citant des directives générales du manuel de formation et de la rédaction, « Boeing a fourni des directives appropriées aux équipages de conduite. » L’avion était « facilement récupérable » si les pilotes avaient suivi les procédures appropriées, ont-ils dit.
Dans son rapport final, le conseil a conservé sa conclusion générale, mais a assoupli certaines formulations.
Boeing a par la suite fait une évaluation semblable du 737 Max. Les enquêteurs ont déterminé que la compagnie n’avait pas informé les pilotes d’un nouveau système automatisé qui avait contribué aux deux écrasements mortels, ce qui a nui à leur capacité de contrer ses commandes erronées.
Dans l’ensemble, le rapport final du Bureau néerlandais de la sécurité mentionnait certaines des conclusions de M. Dekker, mais les experts en sécurité aérienne qui ont lu son étude ont dit que les questions systémiques qu’il soulevait n’avaient pas reçu beaucoup d’attention.
Par exemple, même si le rapport faisait état d’un vice de conception qui n’était pas inclus dans le manuel, il ne l’a fait que brièvement dans d’autres documents techniques, et son importance n’était pas claire. Le Dr Dekker a estimé que la commission avait inclus l’équivalent d’environ une page d’information de son étude dans son rapport, qui comptait 90 pages en plus des annexes.
‘Défaut de responsabilité
Aujourd’hui, face à la levée de boucliers provoquée par les écrasements du Max et aux demandes de réformes, Boeing et la FAA ont convenu qu’il fallait accorder plus d’attention à la discipline d’ingénierie que M. Dekker a appliquée dans son étude.
Le Nouveau-Brunswick et un groupe d’experts internationaux ont constaté que Boeing et la FAA n’avaient pas suffisamment tenu compte des leçons tirées de cette recherche sur les facteurs humains lors de l’élaboration et de la certification du Max.
Mais même si la recherche existe depuis des décennies — une étude de la FAA de 1996 recommandait que l’industrie et les organismes de réglementation adoptent plus sytématiquement cette approche —, les enquêtes sur les accidents ont eu tendance à mettre l’accent sur les erreurs des pilotes tout en réduisant au minimum ou en ignorant les facteurs systémiques, des problèmes de conception et de formation, ont déclaré les experts.
« Il est très facile de rejeter le blâme sur les pilotes décédés et de dire que cela n’a rien à voir avec notre système mal conçu », a déclaré Shawn Pruchnicki, qui enseigne dans l’État de l’Ohio et qui a travaillé aux enquêtes sur les accidents pour l’Association des pilotes de ligne.
Le Dr Pruchnicki, qui a étudié sous la direction du Dr Dekker, a déclaré qu’il avait participé à de nombreuses enquêtes dans lesquelles les experts en facteurs humains étaient largement ignorés. « C’est tout simplement frustrant parce que nous avons toujours les mêmes types d’accidents », a-t-il dit.
M. Woods, professeur d’État de l’Ohio qui a conseillé la FAA, a écrit un courriel à ses collègues peu après le premier écrasement du 737 Max, en octobre 2018, du vol 610 de Lion Air, qui a tué 189 personnes à peine quelques minutes après avoir décollé de Jakarta, en Indonésie. Les détails initiaux, a-t-il écrit, indiquaient qu’il s’agissait d’un désastre causé par l’automatisation, comme ceux que lui et d’autres avaient étudié pendant près de 30 ans. Il a cité des recherches des années 1990 et a notamment mentionné l’écrasement de Turkish Airlines.
« Que cette situation perdure depuis si longtemps sans que des mesures majeures soient prises n’est pas la façon dont l’ingénierie est censée fonctionner », a-t-il écrit.
Après le deuxième écrasement du Max, en mars 2019, du vol 302 d’Ethiopian Airlines, qui a tué les 157 personnes à bord peu après le décollage d’Addis-Abeba, M. Woods a déclaré en entrevue : « J’étais consterné. »
« C’est un tel manque de responsabilité », a-t-il dit. « Nous ne sommes pas censés laisser cela se produire. »
Après l’écrasement d’un Boeing 737 près d’Amsterdam il y a plus d’une décennie, les enquêteurs néerlandais ont reproché aux pilotes de ne pas avoir bien réagi lorsqu’un système automatisé a mal fonctionné et que l’avion a plongé dans un champ, tuant neuf personnes.
Toutefois, l’équipage n’était pas le seul responsable. Les décisions de Boeing, y compris les choix de conception risqués et les évaluations de sécurité erronées, ont également contribué à l’accident du vol de Turkish Airlines. Mais dans son rapport final, le Bureau néerlandais de la sécurité a écarté ou minimisé les critiques adressées au constructeur, après avoir essuyé les critiques d’une équipe d’Américains comprenant des responsables de la sécurité de Boeing et du gouvernement fédéral, des documents et des entrevues ont été présentés.
L’écrasement, survenu en février 2009, impliquait un prédécesseur du 737 Max de Boeing, l’avion qui a été interdit de vol l’année dernière après que 346 personnes eurent perdu la vie en Indonésie et en Éthiopie et que la société eut été plongée dans la pire crise de son histoire.
Un examen par le New York Times des preuves de l’accident de 2009, dont certaines étaient auparavant confidentielles, révèle des parallèles frappants avec les récents accidents – et la résistance de l’équipe d’enquêteurs américains à un examen complet des résultats qui se sont plus tard révélés pertinents pour le Max.
Dans les accidents de 2009 et du Max, par exemple, la défaillance d’un seul capteur a causé un raté des systèmes, avec des résultats catastrophiques, et dans les deux cas, Boeing n’avait pas fourni aux pilotes l’information qui aurait pu les aider à réagir à la défaillance. L’accident précédent « représente un tel événement sentinelle qui n’a jamais été pris au sérieux », a déclaré Sidney Dekker, un expert en sécurité aérienne qui a été chargé par le Bureau néerlandais de la sécurité d’analyser l’écrasement.
L’étude du Dr Dekker accusait Boeing d’avoir tenté de détourner l’attention de ses propres « lacunes de conception » et d’autres erreurs en faisant des déclarations « à peine crédibles » qui enjoignaient aux pilotes d’être plus vigilants, selon une copie examinée par The Times.
L’étude n’a jamais été rendue publique. Selon M. Dekker et une autre personne qui connaît bien sa gestion, le conseil néerlandais a renoncé à publier le rapport. Une porte-parole du conseil d’administration néerlandais a déclaré qu’il n’était pas habituel de publier des études d’experts et que la décision concernant le Dr Dekker était prise uniquement par le conseil.
[Mise à jour : Les Néerlandais ont finalement publié l’étude après la publication de l’enquête par le The Times.]
À l’époque, le comité néerlandais avait supprimé ou modifié les conclusions de son propre rapport d’accident sur les problèmes de conception de l’avion, à la suite de l’intervention de la même équipe américaine. Le Bureau a également ajouté des déclarations, dont certaines étaient presque textuelles et sans attribution, rédigées par les Américains, qui ont déclaré que certaines erreurs des pilotes n’avaient pas été « correctement soulignées ».
Les critiques étouffées à l’endroit de Boeing après l’accident de 2009 s’inscrivent dans un schéma plus large, mis en lumière depuis les tragédies du Max, de la compagnie bénéficiant d’une approche tolérante de la part des responsables de la sécurité.
Selon de nombreux experts en sécurité aérienne ayant de l’expérience dans les enquêtes sur les accidents qui ont lu les deux documents, les références aux conclusions du Dr Dekker dans le rapport final étaient brèves, peu claires et pas suffisamment mises en relief,.
L’un d’entre eux, David Woods, professeur à l’Université d’État de l’Ohio qui a été conseiller technique auprès de la Federal Aviation Administration, a déclaré que l’écrasement de Turkish Airlines « aurait dû réveiller tout le monde ».
Certains des parallèles entre cet accident et les plus récents sont particulièrement dignes de mention. Les décisions de conception de Boeing sur le Max et l’avion impliqué dans l’écrasement de 2009, le 737 NG, ou Next Generation, ont permis qu’une puissante commande informatique soit déclenchée par un seul capteur défectueux, même si chaque avion était équipé de deux capteurs, comme Bloomberg l’a signalé l’an dernier. Dans les deux accidents Max, un capteur mesurant l’angle d’incidence de l’avion par rapport à l’air a incité un ordinateur de commande de vol à pousser sur le nez après le décollage; lors du vol de Turkish Airlines, un capteur d’altitude a fait en sorte qu’un autre ordinateur a coupé la vitesse de l’avion juste avant l’atterrissage.
Avant 2009, Boeing avait déterminé que, si le capteur fonctionnait mal, l’équipage reconnaîtrait rapidement le problème et empêcherait l’avion de décrocher, ce qui est à peu près à la même hypothèse faite au sujet du comportement du pilote avec le Max.
Comme dans le cas des écrasements plus récents, Boeing n’avait pas inclus dans le manuel d’exploitation de NG des renseignements qui auraient pu aider les pilotes à réagir lorsque le capteur est tombé en panne.
Même une solution proposée pour le Max a des similitudes avec le passé : après l’écrasement près d’Amsterdam, la FAA a exigé des compagnies aériennes qu’elles installent une mise à jour logicielle pour la NG qui comparait les données des deux capteurs de l’avion, plutôt que de n’en utiliser qu’un seul. Le changement de logiciel que Boeing a mis au point pour le Max compare également les données de deux capteurs.
Dans le cas du NG, Boeing avait déjà mis au point le logiciel bien avant l’écrasement de Turkish Airlines, y compris sur de nouveaux avions construits à partir de 2006 et l’avait offert comme mise à jour facultative sur des centaines d’autres avions. Mais pour certains avions plus anciens, y compris celui qui s’est écrasé près d’Amsterdam, la mise à niveau ne fonctionnerait pas, et Boeing n’a mis au point une version compatible qu’après l’accident.
Les enquêteurs néerlandais ont jugé « remarquable » que Boeing ait laissé aux compagnies aériennes le choix d’obtenir la protection pour certains avions plus anciens. Toutefois, en examinant l’ébauche du rapport d’accident, les Américains se sont opposés à la déclaration, selon l’annexe de la version finale, indiquant qu’une modification logicielle n’était pas nécessaire parce qu’« aucun risque inacceptable n’avait été identifié ». GE Aviation, qui avait acheté l’entreprise qui fabriquait les ordinateurs pour les avions plus anciens, a également suggéré de supprimer ou de modifier la phrase.
Le comité néerlandais a retiré la déclaration, mais a critiqué Boeing de ne pas en faire plus pour alerter les pilotes au sujet du problème de capteur.
M. Woods, qui était le conseiller au doctorat de M. Dekker, a déclaré que la décision d’exclure ou de sous-évaluer les principales conclusions de l’étude a permis à Boeing et à ses organismes de réglementation américains de réaliser « les changements les plus limités possible ».
Le problème du capteur unique, a-t-il dit, aurait dû dissuader Boeing d’utiliser une conception similaire dans le Max, au lieu de cela, « le problème a été enterré ».
Boeing a refusé de répondre aux questions détaillées du Times. Dans une déclaration, la compagnie a souligné les différences entre l’accident de 2009 et l’écrasement du Max. « Ces accidents impliquaient des entrées de système et des phases de vol fondamentalement différentes », a déclaré la compagnie.
Interrogé au sujet de sa participation au rapport d’accident néerlandais, Boeing a déclaré qu’il était « typique et essentiel pour le succès des enquêtes que Boeing et d’autres constructeurs collaborent avec les autorités chargées de l’enquête ».
Joe Sedor, le représentant du National Transportation Safety Board qui a dirigé l’équipe américaine chargée de l’enquête sur Turkish Airlines, a déclaré qu’il n’était pas inhabituel pour les organismes d’enquête d’apporter des changements à un rapport après avoir reçu des commentaires, ou que les responsables américains de la sécurité soumettent conjointement leurs commentaires à Boeing.
M. Sedor supervise maintenant les travaux de l’Université du Nouveau-Brunswick sur les écrasements Max. Il a reconnu que le fait de se fier à un seul capteur était un facteur contributif dans les deux cas, mais il a mis en garde contre l’idée de se concentrer uniquement sur cet aspect.
« Chacun de ces accidents était un événement complexe et dynamique, avec de nombreux facteurs contributifs », a-t-il dit. « En les résumant simplement au nombre d’intrants, on ne tient pas compte des nombreuses autres questions qui les différencient. »
Dans une déclaration, la FAA a également mis l’accent sur « l’ensemble unique de circonstances » entourant chaque accident. « Établir de vastes liens entre les accidents impliquant différents types d’urgences simplifie exagérément ce qui est, par définition, une science complexe », a-t-il déclaré.
L’agence, qui fait également partie de l’équipe américaine dans l’enquête néerlandaise, a refusé de dire si les leçons tirées de l’écrasement de Turkish Airlines avaient été prises en compte dans sa décision de certifier le Max, qui a été approuvé pour voler en 2017 et qui est devenu le record de ventes d’avions dans l’histoire de Boeing.
Mais un cadre supérieur de la FAA, qui n’était pas autorisé à parler publiquement, a fait l’éloge de l’étude du Dr Dekker et a dit qu’il avait bien identifié des enjeux importants qui n’avaient pas reçu suffisamment d’attention de la part du public. Le fonctionnaire a souligné les similitudes — comme le fait de se fier à un seul capteur — entre l’écrasement de Turkish Airlines et les accidents du Max.
Une porte-parole du conseil d’administration néerlandais, Sara Vernooij, a déclaré qu’il était pratique courante de modifier les projets de rapport en réponse à des commentaires de l’extérieur, mais elle a refusé de parler de ces changements spécifiques. D’autres entreprises et organismes gouvernementaux qui ont participé à l’enquête, comme la firme française qui a fabriqué les capteurs et le Bureau de la sécurité aérienne de ce pays, ont également soumis des commentaires, mais le mémoire américain était le plus volumineux.
Mme Vernooij a déclaré que l’agence néerlandaise considérait l’étude Dekker comme confidentielle. « Les parties jugées pertinentes par la commission ont été utilisées lors de la rédaction du rapport final », a-t-elle dit.
Se concentrer sur les pilotes
Le matin du 25 février. En 2009, le vol 1951 de Turkish Airlines était en approche d’Amsterdam, avec à bord 128 passagers en provenance d’Istanbul. Le copilote a dirigé l’avion vers la piste 18R en annonçant les changements de vitesse et de direction. Il était nouveau à bord de l’avion de Boeing, alors l’équipage comprenait un troisième pilote en plus du commandant de bord, qui était un ancien officier de l’aviation turque ayant environ 13 ans d’expérience de pilotage de l’avion.
En raison des instructions du contrôle de la circulation aérienne, l’équipage a dû exécuter une manœuvre qui pouvait s’avérer délicate, c’est-à-dire ralentir en faisant une descente plus accentuée que la normale. Ils ont alors enclenché un ordinateur qui contrôlait la poussée du moteur, appelé automanette, pour aider à régulariser la diminution de la vitesse.
Alors que l’avion descendait à 1 000 pieds, les pilotes n’avaient pas encore terminé leur liste de vérifications avant l’atterrissage. Le strict respect de la procédure de la compagnie aérienne aurait signifié qu’on aurait dû interrompre son approche pour faire une autre tentative, mais les enquêteurs ont déterminé par la suite que ce genre d’infraction était courant sur la piste très occupée.
Environ une minute plus tard, alors que l’avion se trouvait à environ 450 pieds, les manches des pilotes ont commencé à vibrer, signalant un décrochage imminent. Le jet avait trop ralenti. Immédiatement, l’un des pilotes a réagi en poussant les manettes de puissance vers l’avant pour reprendre de la vitesse, mais dès qu’il a lâché prise, l’ordinateur a ramené les moteurs au ralenti.
Le commandant de bord est alors intervenu en désactivant l’automanette et en remettant les manettes à leur maximum. Neuf secondes s’étaient écoulées depuis l’avertissement de décrochage et il était trop tard. Le jet s’est enfoncé dans un champ à moins d’un mille de l’aéroport.
Les trois pilotes, un autre membre d’équipage et cinq passagers ont perdu la vie.
Les enquêteurs néerlandais ont déterminé que la cause du mauvais fonctionnement était un capteur d’altitude de mesure extérieure de l’avion. Le capteur avait indiqué par erreur que l’avion n’était qu’à quelques instants du toucher des roues, ce qui avait incité l’ordinateur à ramener les moteurs au ralenti.
Pendant 70 secondes, l’automanette a fait ce que l’équipage avait prévu : réduire progressivement la vitesse de l’avion. Mais les pilotes n’ont pas remarqué que l’ordinateur ne maintenait pas la vitesse cible à ce moment-là; il a plutôt continué de ralentir l’avion. Les pilotes ne se sont rendu compte du problème que lorsque le manche a commencé à vibrer.
Ne pas surveiller la vitesse est considéré comme une grave erreur. Les pilotes, qui, selon les enquêteurs, étaient préoccupés par la liste de vérifications à l’atterrissage, ont également ignoré de multiples avertissements indiquant que l’automanette se déplaçait. Les conclusions du comité néerlandais portaient sur la décision de ne pas interrompre l’atterrissage, le fait de ne pas avoir reconnu la chute dangereuse de vitesse et la réaction inadéquate à la vibration du manche, peut-être en raison d’un manque de formation adéquate.
À la demande de l’équipe américaine dirigée par le NTSB, les Hollandais ont ajouté des commentaires qui insistaient davantage sur la culpabilité des pilotes. Le rapport final, par exemple, comprenait une nouvelle déclaration qui réprimandait le commandant de bord, disant qu’il aurait pu utiliser la situation pour enseigner au copilote une « leçon » sur le protocole à suivre.
Dans leurs commentaires, qui se retrouvent en grande partie en annexe, les Américains adressaient des critiques à Boeing dans le projet de rapport. Une description des procédures de surveillance et de correction des problèmes de sécurité potentiels de la compagnie était « techniquement incorrecte, incomplète et trop simpliste », ont-ils écrit. En réponse, le Bureau a inséré une description du programme de sécurité de Boeing rédigé par les Américains et une déclaration selon laquelle l’approche de Boeing était plus rigoureuse que les exigences de la FAA.
L’ébauche faisait également référence à des études selon lesquelles il était courant que l’automatisation complexe sème la confusion chez les pilotes et suggérait des améliorations à la conception et à la formation. Selon le projet, les études comprenaient des recherches effectuées par « Boeing lui-même ».
Les Américains s’y sont opposés, déclarant que les déclarations « déforment et simplifient exagérément les résultats de la recherche ». Dans son rapport final, le Bureau a donc supprimé la référence à Boeing.
Lorsque le comité néerlandais a annoncé ses conclusions lors d’une conférence de presse, son président a déclaré : « Les pilotes auraient pu empêcher cela ».
Renseignements manquants
Le Bureau de la sécurité des Pays-Bas avait également commandé à M. Dekker une analyse de l’accident, qui portait sur une discipline du génie connue sous le nom de facteurs humains. Comme les avions en sont venus à se fier à des systèmes informatiques complexes, les chercheurs et les chercheurs ont identifié des pratiques de conception et de formation qui peuvent rendre les erreurs de pilote moins probables.
M. Dekker, qui était alors professeur en Suède et qui avait enquêté sur d’autres accidents graves et avait travaillé à temps partiel sur un 737, a reconnu les erreurs fatales commises par les pilotes de Turkish Airlines dans son étude de 129 pages.
Mais il a aussi trouvé que Boeing avait une responsabilité importante.
Bien que son étude n’ait jamais été rendue publique, des copies ont été distribuées à certains chercheurs et à des pilotes. Son rôle dans l’enquête a été cité en annexe du rapport de la commission. Il est maintenant professeur en Australie et aux Pays-Bas.
Dans l’étude, M. Dekker a reproché à Boeing d’avoir conçu l’automanette en se fiant à un seul des deux capteurs qui mesurent l’altitude. Cette décision, a-t-il écrit, a laissé « une voie d’échec fondé sur un facteur unique en place », ce qui a augmenté le risque qu’une seule erreur puisse aboutir à une catastrophe.
Cinq ans avant l’écrasement de Turkish Airlines, Boeing savait qu’une défectuosité d’un capteur pouvait mettre les moteurs au ralenti de façon inappropriée, mais la compagnie a décidé que ce n’était pas une question de sécurité, ont écrit les enquêteurs néerlandais. Après avoir reçu des rapports sur des incidents d’automanette qui n’ont pas conduit à des accidents, un comité d’examen de Boeing a jugé qu’en cas de défaillance, les pilotes le reconnaîtraient et interviendraient.
Entre-temps, Boeing a mis au point une mise à jour du logiciel qui a permettait à l’automanette de comparer les lectures des deux capteurs d’altitude. S’ils différaient de plus de 20 pieds, l’automanette ne pourrait pas mettre les moteurs au ralenti de façon inappropriée.
Cette mesure de sauvegarde était disponible en 2006, mais le changement n’était pas compatible avec certains modèles du 737 NG, comme l’avion de Turkish Airlines, qui utilisait un ordinateur de commande automatique fabriqué par une autre compagnie. Après l’écrasement de 2009, Boeing a mis au point une version de la mise à jour compatible avec ces ordinateurs, et la FAA a exigé que les compagnies aériennes l’installent.
L’étude Dekker a révélé qu’une autre décision de Boeing — de ne pas inclure dans le manuel d’exploitation des informations importantes— avait également joué contre les pilotes de Turkish Airlines.
Le 737 NG dispose de deux chaînes parallèles d’ordinateurs et de capteurs, l’un à gauche et l’autre à droite de l’avion. La plupart du temps, un seul ensemble est en contrôle.
Sur le vol de Turkish Airlines, le système de droite était en contrôle. Les pilotes ont reconnu les lectures d’altitude inexactes et ont remarqué qu’elles provenaient du capteur de gauche. Cela les aurait amenés à conclure que les mauvaises données provenant de la gauche n’avaient pas d’importance parce que l’automanette obtenait les bonnes données de la chaîne droite, a constaté M. Dekker.
Ce que les pilotes ne pouvaient pas savoir, c’est que l’ordinateur qui contrôlait la poussée du moteur se fiait toujours au capteur de gauche, même lorsque le système de droite était aux commandes de l’avion. Cette information essentielle ne se trouvait nulle part dans le manuel des pilotes de Boeing, a appris M. Dekker.
Erik van der Lely, pilote de 737 NG et instructeur pour une compagnie aérienne européenne qui a étudié sous la direction de M. Dekker, a déclaré au Times qu’il ne connaissait pas cette conception particulière avant de lire une copie de l’étude. « Je suis à peu près certain qu’aucun des 737 pilotes n’était au courant », a-t-il dit.
Lorsque le projet de rapport reprochait à Boeing de ne pas avoir donné aux pilotes des renseignements qui auraient pu aider à prévenir l’accident, les Américains n’étaient pas d’accord, citant des directives générales du manuel de formation et de la rédaction, « Boeing a fourni des directives appropriées aux équipages de conduite. » L’avion était « facilement récupérable » si les pilotes avaient suivi les procédures appropriées, ont-ils dit.
Dans son rapport final, le conseil a conservé sa conclusion générale, mais a assoupli certaines formulations.
Boeing a par la suite fait une évaluation semblable du 737 Max. Les enquêteurs ont déterminé que la compagnie n’avait pas informé les pilotes d’un nouveau système automatisé qui avait contribué aux deux écrasements mortels, ce qui a nui à leur capacité de contrer ses commandes erronées.
Dans l’ensemble, le rapport final du Bureau néerlandais de la sécurité mentionnait certaines des conclusions de M. Dekker, mais les experts en sécurité aérienne qui ont lu son étude ont dit que les questions systémiques qu’il soulevait n’avaient pas reçu beaucoup d’attention.
Par exemple, même si le rapport faisait état d’un vice de conception qui n’était pas inclus dans le manuel, il ne l’a fait que brièvement dans d’autres documents techniques, et son importance n’était pas claire. Le Dr Dekker a estimé que la commission avait inclus l’équivalent d’environ une page d’information de son étude dans son rapport, qui comptait 90 pages en plus des annexes.
‘Défaut de responsabilité
Aujourd’hui, face à la levée de boucliers provoquée par les écrasements du Max et aux demandes de réformes, Boeing et la FAA ont convenu qu’il fallait accorder plus d’attention à la discipline d’ingénierie que M. Dekker a appliquée dans son étude.
Le Nouveau-Brunswick et un groupe d’experts internationaux ont constaté que Boeing et la FAA n’avaient pas suffisamment tenu compte des leçons tirées de cette recherche sur les facteurs humains lors de l’élaboration et de la certification du Max.
Mais même si la recherche existe depuis des décennies — une étude de la FAA de 1996 recommandait que l’industrie et les organismes de réglementation adoptent plus sytématiquement cette approche —, les enquêtes sur les accidents ont eu tendance à mettre l’accent sur les erreurs des pilotes tout en réduisant au minimum ou en ignorant les facteurs systémiques, des problèmes de conception et de formation, ont déclaré les experts.
« Il est très facile de rejeter le blâme sur les pilotes décédés et de dire que cela n’a rien à voir avec notre système mal conçu », a déclaré Shawn Pruchnicki, qui enseigne dans l’État de l’Ohio et qui a travaillé aux enquêtes sur les accidents pour l’Association des pilotes de ligne.
Le Dr Pruchnicki, qui a étudié sous la direction du Dr Dekker, a déclaré qu’il avait participé à de nombreuses enquêtes dans lesquelles les experts en facteurs humains étaient largement ignorés. « C’est tout simplement frustrant parce que nous avons toujours les mêmes types d’accidents », a-t-il dit.
M. Woods, professeur d’État de l’Ohio qui a conseillé la FAA, a écrit un courriel à ses collègues peu après le premier écrasement du 737 Max, en octobre 2018, du vol 610 de Lion Air, qui a tué 189 personnes à peine quelques minutes après avoir décollé de Jakarta, en Indonésie. Les détails initiaux, a-t-il écrit, indiquaient qu’il s’agissait d’un désastre causé par l’automatisation, comme ceux que lui et d’autres avaient étudié pendant près de 30 ans. Il a cité des recherches des années 1990 et a notamment mentionné l’écrasement de Turkish Airlines.
« Que cette situation perdure depuis si longtemps sans que des mesures majeures soient prises n’est pas la façon dont l’ingénierie est censée fonctionner », a-t-il écrit.
Après le deuxième écrasement du Max, en mars 2019, du vol 302 d’Ethiopian Airlines, qui a tué les 157 personnes à bord peu après le décollage d’Addis-Abeba, M. Woods a déclaré en entrevue : « J’étais consterné. »
« C’est un tel manque de responsabilité », a-t-il dit. « Nous ne sommes pas censés laisser cela se produire. »
