Comment la responsabilité de Boeing dans un accident mortel a été «enterrée»
Par Chris Hamby
20 janvier 2020, 6 h 00 HE
Après qu'un Boeing 737 s'est écrasé près d'Amsterdam il y a plus de dix ans, les enquêteurs néerlandais ont blâmé les pilotes pour ne pas avoir réagi correctement lorsqu'un système automatisé a mal fonctionné et a fait plonger l'avion dans un champ, tuant neuf personnes.
Cependant, la faute n’est pas à lui seul. Les décisions de Boeing, y compris des choix de conception risqués et des évaluations de sécurité erronées, ont également contribué à l'accident du vol de Turkish Airlines. Mais le Dutch Safety Board a exclu ou minimisé les critiques du fabricant dans son rapport final après le rejet d'une équipe d'Américains qui comprenait Boeing et des responsables fédéraux de la sécurité, des documents et des interviews montrent.
L'accident, en février 2009, a impliqué un prédécesseur du Boeing 737 Max, l'avion qui a été immobilisé l'an dernier après que des accidents en Indonésie et en Éthiopie ont tué 346 personnes et plongé la compagnie dans la pire crise de son histoire.
Un examen par le New York Times des preuves de l'accident de 2009, dont certaines étaient auparavant confidentielles, révèle des parallèles frappants avec les récents accidents - et la résistance de l'équipe américaine à une diffusion complète des résultats qui se sont révélés plus tard pertinents pour le Max.
Dans les accidents de 2009 et de Max, par exemple, la défaillance d'un seul capteur a provoqué des ratés de fonctionnement des systèmes, avec des résultats catastrophiques, et Boeing n'avait pas fourni aux pilotes des informations qui auraient pu les aider à réagir au dysfonctionnement. L'accident antérieur "représente un événement sentinelle qui n'a jamais été pris au sérieux", a déclaré Sidney Dekker, un expert en sécurité aérienne chargé par le Dutch Safety Board d'analyser l'accident.
L'étude du Dr Dekker a accusé Boeing d'essayer de détourner l'attention de ses propres «défauts de conception» et d'autres erreurs avec des déclarations «à peine crédibles» qui exhortaient les pilotes à être plus vigilants, selon une copie examinée par le Times.
L'étude n'a jamais été rendue publique. Le conseil néerlandais a renoncé à son intention de le publier, selon le Dr Dekker et une autre personne connaissant sa gestion. Une porte-parole du conseil néerlandais a déclaré qu'il n'était pas courant de publier des études d'experts et que la décision concernant le Dr Dekker était prise uniquement par le conseil.
Dans le même temps, le conseil néerlandais a supprimé ou modifié les conclusions de son propre rapport d'accident concernant des problèmes avec l'avion lorsque la même équipe américaine a pesé. Le conseil a également inséré des déclarations, certaines presque mot pour mot et sans attribution, écrites par les Américains, qui ont déclaré que certaines erreurs du pilote n'avaient pas été «correctement soulignées».
La critique sourde de Boeing après l'accident de 2009 s'inscrit dans un schéma plus large, mis en évidence depuis les tragédies Max, à propos de la société bénéficiant d'une approche légère par les responsables de la sécurité.
Les références aux conclusions du Dr Dekker dans le rapport final étaient brèves, pas clairement écrites et pas suffisamment mises en évidence, selon plusieurs experts en sécurité aérienne ayant une expérience des enquêtes sur les accidents qui ont lu les deux documents.
L'un d'eux, David Woods, professeur à l'Ohio State University, qui a été conseiller technique de la Federal Aviation Administration, a déclaré que le crash de Turkish Airlines "aurait dû réveiller tout le monde".
Certains des parallèles entre cet accident et les plus récents sont particulièrement remarquables. Les décisions de conception de Boeing sur le Max et l'avion impliqué dans le crash de 2009 - le 737 NG, ou Next Generation - ont permis à une puissante commande informatique d'être déclenchée par un seul capteur défectueux, même si chaque avion était équipé de deux capteurs, comme Bloomberg signalé l'année dernière. Dans les deux accidents Max, un capteur mesurant l’angle de l’avion par rapport au vent a incité un ordinateur de contrôle de vol à baisser le nez après le décollage; sur le vol de Turkish Airlines, un capteur d'altitude a provoqué un autre ordinateur pour réduire la vitesse de l'avion juste avant l'atterrissage.
Boeing avait déterminé avant 2009 que si le capteur fonctionnait mal, l'équipage reconnaîtrait rapidement le problème et empêcherait l'avion de décrocher - à peu près la même hypothèse sur le comportement du pilote faite avec le Max.
Et comme pour les accidents plus récents, Boeing n'avait pas inclus dans le manuel d'exploitation NG des informations qui auraient pu aider les pilotes à réagir en cas de défaillance du capteur.
Même un correctif maintenant proposé pour le Max présente des similitudes avec le passé: après le crash près d'Amsterdam, le F.A.A. obligé les compagnies aériennes à installer une mise à jour logicielle pour le NG qui comparait les données des deux capteurs de l'avion, plutôt que de s'appuyer sur un seul. Le changement de logiciel développé par Boeing pour le Max compare également les données de deux capteurs.
Surtout, dans le cas du NG, Boeing avait déjà développé le correctif logiciel bien avant le crash de Turkish Airlines, l'incluant dans de nouveaux avions à partir de 2006 et le proposant comme une mise à jour facultative sur des centaines d'autres appareils. Mais pour certains jets plus anciens, y compris celui qui s'est écrasé près d'Amsterdam, la mise à jour ne fonctionnerait pas, et Boeing n'a développé une version compatible qu'après l'accident.
Les enquêteurs néerlandais ont jugé "remarquable" que Boeing ait laissé les compagnies aériennes sans option pour obtenir la sauvegarde de certains avions plus anciens. Mais en examinant le projet de rapport d'accident, les Américains se sont opposés à la déclaration, selon l'annexe de la version finale, écrivant qu'une modification logicielle n'avait pas été nécessaire car "aucun risque inacceptable n'avait été identifié". GE Aviation, qui avait acheté la société qui avait fabriqué les ordinateurs des anciens avions, ont également suggéré de supprimer ou de modifier la phrase.
Le conseil néerlandais a retiré la déclaration, mais a critiqué Boeing pour ne pas faire plus pour alerter les pilotes sur le problème des capteurs.
Le Dr Woods, qui était Ph.D. du Dr Dekker Le conseiller, a déclaré que la décision d’exclure ou de minimiser les principales conclusions de l’étude a permis à Boeing et à ses régulateurs américains d’effectuer «les changements les plus étroits possibles».
Le problème avec le capteur unique, a-t-il dit, aurait dû dissuader Boeing d'utiliser une conception similaire dans le Max. Au lieu de cela, «le problème a été enterré».
Boeing a refusé de répondre aux questions détaillées du Times. Dans un communiqué, la société a souligné les différences entre l'accident de 2009 et les accidents de Max. "Ces accidents ont impliqué des entrées et des phases de vol fondamentalement différentes", a expliqué la compagnie.
Interrogé sur son implication dans le rapport d'accident aux Pays-Bas, Boeing a déclaré qu'il était «typique et essentiel pour des enquêtes réussies que Boeing et d'autres fabricants travaillent en collaboration avec les autorités chargées de l'enquête».
Joe Sedor, le N.T.S.B. Un responsable qui a dirigé l'équipe américaine travaillant sur l'enquête de Turkish Airlines a déclaré qu'il n'était pas inhabituel que les organes d'enquête modifient un rapport après avoir reçu des commentaires ou que les responsables de la sécurité américains soumettent conjointement leurs commentaires à Boeing.
M. Sedor supervise maintenant les travaux du N.T.S.B.sur les crashs de Max. Il a reconnu que le recours à un seul capteur était un facteur contributif dans les deux cas, mais a mis en garde contre une concentration sur celui-ci.
"Chacun de ces accidents était des événements complexes et dynamiques avec de nombreux facteurs contributifs", a-t-il déclaré. «Les résumer simplement au nombre d'entrées ignore les nombreux, beaucoup plus de problèmes qui les différencient.»
Le F.A.A., dans un communiqué, a également souligné «l'ensemble unique de circonstances» entourant chaque accident. "Le fait d'établir des liens larges entre les accidents impliquant différents types d'urgences simplifie à outrance ce qui est, par définition, une science complexe", a-t-il déclaré.
L'agence, qui fait également partie de l'équipe américaine dans l'enquête hollandaise, a refusé de dire si les leçons du crash de Turkish Airlines tenaient compte de sa décision de certifier le Max - qui a été autorisé à voler en 2017 et est devenu l'avion le plus vendu de Boeing. histoire.
Mais un senior F.A.A. Le fonctionnaire, qui n’a pas été autorisé à parler publiquement, a salué l’étude du Dr Dekker et a déclaré qu’il avait identifié des questions importantes qui n’avaient pas reçu suffisamment d’attention du public. Le responsable a souligné les similitudes - telles que la dépendance à un seul capteur - entre le crash de Turkish Airlines et les accidents de Max.
Une porte-parole du conseil d'administration néerlandais, Sara Vernooij, a déclaré qu'il était courant de modifier les projets de rapports en réponse aux commentaires extérieurs, mais elle a refusé de répondre aux changements spécifiques. D’autres sociétés et organismes gouvernementaux impliqués dans l’enquête, comme la société française qui a fabriqué les capteurs et le bureau de la sécurité aérienne de ce pays, ont également présenté des observations, mais la communication américaine était la plus complète.
Mme Vernooij a déclaré que l'agence néerlandaise considérait l'étude Dekker comme confidentielle. "Les parties jugées pertinentes par le conseil d'administration ont été utilisées lors de la rédaction du rapport final", a-t-elle déclaré.
Focus sur les pilotes
Le matin du 25 février 2009, le vol 1951 de Turkish Airlines s'est approché d'Amsterdam, transportant 128 passagers depuis Istanbul. Le copilote a guidé l'avion vers la piste 18R, annonçant des changements de vitesse et de direction. Il était nouveau sur le Boeing, de sorte que l'équipage comprenait un troisième pilote en plus du commandant de bord, qui était un ancien officier de l'armée de l'air turque avec environ 13 ans d'expérience de pilotage de l'avion.
En raison des instructions du contrôle de la circulation aérienne, l'équipage a dû exécuter une manœuvre qui pouvait être difficile: ralentir en descendant plus rapidement que la normale. Ils ont engagé un ordinateur qui contrôlait la poussée du moteur, connu sous le nom de manette des gaz, pour aider à réguler la baisse de vitesse.
Alors que l'avion plongeait à 1 000 pieds, les pilotes n'avaient pas encore terminé leur liste de vérifications d'atterrissage. Le strict respect de la procédure des compagnies aériennes aurait signifié tourner autour pour un nouvel essai, mais les violations étaient monnaie courante sur la piste achalandée, ont déterminé les enquêteurs plus tard.
Environ une minute plus tard, avec l’avion à environ 450 pieds, les manettes de contrôle des pilotes ont commencé à trembler, signalant un décrochage imminent. Le jet avait trop ralenti. Immédiatement, l'un des pilotes a poussé le levier de poussée vers l'avant pour prendre de la vitesse, mais lorsqu'il a lâché prise, l'ordinateur lui a ordonné de tourner au ralenti.
Le commandant de bord est intervenu, désactivant l'auto-manette et réglant les leviers de poussée à leur maximum. Neuf secondes s'étaient écoulées depuis l'avertissement de décrochage. A ce moment là , il était trop tard. L'avion a plongé dans un champ à moins d'un mile de l'aéroport.
Les trois pilotes, un autre membre d'équipage et cinq passagers ont été tués.
Les enquêteurs néerlandais ont déterminé que la cause du dysfonctionnement était un capteur situé à l'extérieur de l'altitude de mesure de l'avion. Le capteur avait indiqué par erreur que l'avion n'était qu'à quelques instants du toucher des roues, ce qui a incité l'ordinateur à faire tourner les moteurs au ralenti.
Pendant 70 secondes, la manette des gaz a fait ce que l’équipage avait prévu: réduire régulièrement la vitesse de l’avion. Mais les pilotes n'ont pas remarqué que l'ordinateur n'a pas alors maintenu la vitesse cible lorsqu'elle a été atteinte; au lieu de cela, il a continué de ralentir l'avion. Les pilotes n'ont réalisé ce qui s'était passé que lorsque le manche de contrôle a commencé à vibrer.
La perte de la vitesse est considérée comme une grave erreur. Les pilotes, qui, selon les enquêteurs, étaient préoccupés par la liste de contrôle d'atterrissage, ont également manqué plusieurs avertissements indiquant que l'auto-manette fonctionnait. Les conclusions de la commission néerlandaise se sont concentrées sur la décision de ne pas interrompre l'atterrissage, l'incapacité à reconnaître la baisse dangereuse de vitesse et la réponse incorrecte au joystick de contrôle, peut-être en raison d'une formation inadéquate.
À la demande de l'équipe américaine dirigée par le N.T.S.B., les Néerlandais ont ajouté des commentaires qui mettaient davantage l'accent sur la culpabilité des pilotes. Le rapport final, par exemple, comprenait une nouvelle déclaration qui a réprimandé le capitaine, disant qu'il aurait pu utiliser la situation pour enseigner au copilote une «leçon» sur le protocole suivant.
Dans leurs commentaires, reflétés en grande partie dans une annexe, les Américains ont abordé la critique de Boeing dans le projet de rapport. Une description des procédures de l'entreprise pour surveiller et corriger les problèmes de sécurité potentiels était «techniquement incorrecte, incomplète et trop» simpliste, ont-ils écrit. En réponse, le conseil a inséré une description du programme de sécurité de Boeing rédigée par les Américains et une déclaration selon laquelle l'approche de Boeing était plus rigoureuse que celle de F.A.A. exigences.
L'ébauche avait également fait référence à des études qui ont révélé qu'il était courant qu'une automatisation complexe confonde les pilotes et suggère des améliorations de conception et de formation. Selon le projet, ces études incluaient des recherches de «Boeing lui-même».
Les Américains s'y sont opposés, affirmant que les déclarations «dénaturent et simplifient à outrance les résultats de la recherche». Dans son rapport final, le conseil d'administration a supprimé la référence Boeing.
Continuez à lire l'histoire principale
Lorsque le conseil néerlandais a annoncé ses conclusions lors d'une conférence de presse, son président a déclaré: "Les pilotes auraient pu empêcher cela."
Information manquante
Le Bureau néerlandais de la sécurité avait également commandé l’analyse de l’accident par le Dr Dekker, qui appliquait une discipline technique appelée facteurs humains. Comme les avions en sont venus à compter sur des systèmes informatiques complexes, les chercheurs et les enquêteurs ont identifié des pratiques de conception et de formation qui peuvent rendre les erreurs de pilotage moins probables.
Le Dr Dekker, alors professeur en Suède, qui avait enquêté sur d'autres accidents graves et avait travaillé à temps partiel sur un 737, a reconnu des erreurs fatales commises par les pilotes de Turkish Airlines dans son étude de 129 pages.
Mais il a également constaté que Boeing avait une responsabilité importante.
Bien que son étude n'ait jamais été rendue publique, des copies ont circulé parmi certains chercheurs et pilotes. Et son rôle dans l'enquête a été cité dans une annexe au rapport de la commission. Il est maintenant professeur en Australie et aux Pays-Bas.
Dans l'étude, le Dr Dekker a reproché à Boeing d'avoir conçu l'auto-manette pour s'appuyer sur un seul des deux capteurs mesurant l'altitude. Cette décision, a-t-il écrit, a laissé «une voie de défaillance unique en place», augmentant le risque qu'une seule erreur puisse conduire à une catastrophe.
Cinq ans avant l'accident de Turkish Airlines, Boeing était conscient qu'un dysfonctionnement du capteur pouvait tourner au ralenti incorrectement les moteurs, mais la société a décidé qu'il ne s'agissait pas d'un problème de sécurité, ont écrit les enquêteurs néerlandais. Après avoir reçu des informations sur des ratés d'allumage de l'auto-manette qui n'ont pas entraîné d'accident, un comité d'examen de Boeing a déterminé que si un dysfonctionnement se produisait, les pilotes le reconnaîtraient et interviendraient.
Dans l'intervalle, Boeing a développé une mise à jour logicielle qui a permis à l'auto-manette de comparer les relevés des deux capteurs d'altitude. S'ils différaient de plus de 20 pieds, l'auto-manette ne pourrait pas tourner au ralenti de manière incorrecte les moteurs.
La sauvegarde était disponible en 2006, mais le changement ne fonctionnerait pas sur certains modèles 737 NG, comme l'avion Turkish Airlines, qui utilisaient un ordinateur d'automanette fabriqué par une autre société. Après le crash de 2009, Boeing a développé une version de la mise à jour compatible avec ces ordinateurs et le F.A.A. obligé les compagnies aériennes à l'installer.
L'étude Dekker a révélé qu'une autre décision de Boeing - de supprimer des informations importantes du manuel d'exploitation - avait également gêné les pilotes de Turkish Airlines.
Le 737 NG dispose de deux ensembles parallèles d'ordinateurs et de capteurs, l'un sur le côté gauche de l'avion et l'autre sur la droite. La plupart du temps, un seul ensemble est en contrôle.
Sur le vol de Turkish Airlines, le système de droite était aux commandes. Les pilotes ont reconnu les relevés d'altitude inexacts et ont noté qu'ils provenaient du capteur de gauche. Cela les aurait amenés à conclure que les mauvaises données provenant de la gauche n'avaient pas d'importance parce que l'auto-manette obtenait les bonnes données de la droite, a découvert le Dr Dekker.
Ce que les pilotes ne pouvaient pas savoir, c'est que l'ordinateur contrôlant la poussée du moteur se reposait toujours sur le capteur gauche, même lorsque les commandes de droite pilotaient l'avion. Cette information cruciale ne se trouvait nulle part dans le manuel du pilote de Boeing, a appris le Dr Dekker.
Erik van der Lely, un pilote 737 NG et instructeur pour une compagnie aérienne européenne qui a étudié avec le Dr Dekker, a déclaré au Times qu'il ne connaissait pas cette particularité de la conception jusqu'à ce qu'il ait lu une copie de l'étude. "Je suis à peu près sûr qu'aucun ou presque aucun des 737 pilotes ne le savait", a-t-il déclaré.
Lorsque le projet de rapport a critiqué Boeing pour ne pas avoir donné aux pilotes des informations qui auraient pu aider à prévenir l'accident, les Américains n'étaient pas d'accord, citant les instructions générales du manuel de formation et écrivant: «Boeing a fourni des conseils appropriés aux équipages de conduite.» L'avion était «facilement récupérable «Si les pilotes avaient suivi les procédures appropriées, ont-ils déclaré.
Dans son rapport final, le conseil a conservé sa conclusion générale mais a assoupli certains termes.
Boeing a ensuite fait une évaluation similaire sur le 737 Max. La compagnie n'a pas informé les pilotes d'un nouveau système automatisé qui a contribué aux deux accidents mortels, entravant leur capacité à contrecarrer ses commandes erronées, ont déterminé les enquêteurs.
Dans l’ensemble, le rapport final du Dutch Safety Board mentionne certaines des conclusions du Dr Dekker, mais les experts en sécurité aérienne qui ont lu son étude ont déclaré que les problèmes systémiques qu’il a soulevés n’ont pas été suffisamment mis en avant.
Par exemple, bien que le rapport ait noté la bizarrerie de conception non incluse dans le manuel, il ne l'a fait que brièvement parmi d'autres documents techniques, et son importance n'était pas claire. Le Dr Dekker a estimé que le jury avait inclus l'équivalent d'environ une page d'information tirée de son étude dans son rapport, soit 90 pages en plus des annexes.
«Défaut de responsabilité»
Aujourd'hui, face au tollé général suscité par les crashs de Max et les demandes de réformes, Boeing et le F.A.A. ont convenu qu'une plus grande attention devrait être accordée à la discipline d'ingénierie appliquée par le Dr Dekker dans son étude.
Le N.T.S.B. et un panel d'experts internationaux a constaté que Boeing et le F.A.A. n'avait pas suffisamment intégré les leçons de cette recherche sur les facteurs humains lors du développement et de la certification du Max.
Mais même si la recherche existe depuis des décennies - une étude de la F.A.A. a recommandé en 1996 que l'industrie et les régulateurs adoptent cette approche plus facilement - les enquêtes sur les accidents ont eu tendance à se concentrer sur les erreurs des pilotes tout en minimisant ou en ignorant les facteurs systémiques, tels que les problèmes de conception et de formation, selon les experts.
«Il est vraiment facile de blâmer les pilotes morts et de dire que cela n'a rien à voir avec notre système mal conçu», a déclaré Shawn Pruchnicki, qui enseigne à l'Ohio State et a travaillé sur les enquêtes sur les accidents pour l'Air Line Pilots Association.
Le Dr Pruchnicki, qui a étudié auprès du Dr Dekker, a déclaré qu'il avait participé à de nombreuses enquêtes dans lesquelles les experts en facteurs humains étaient largement ignorés. "Cela devient frustrant parce que nous continuons d'avoir les mêmes types d'accidents", a-t-il déclaré.
Le Dr Woods, le professeur de l'Ohio qui a conseillé la FAA, a écrit un e-mail à ses collègues peu de temps après le premier crash du 737 Max, en octobre 2018, sur le vol 610 de Lion Air, qui a tué 189 personnes quelques minutes seulement après son décollage de Jakarta, en Indonésie. . Les premiers détails, écrit-il, indiquent qu'il s'agit d'une catastrophe déclenchée par l'automatisation du type que lui et d'autres ont étudié pendant près de 30 ans. Il a cité des recherches des années 1990 et a souligné le crash de Turkish Airlines.
"Le fait que cette situation se poursuive depuis si longtemps sans action majeure n'est pas comme cela que l'ingénierie est censée fonctionner", écrit-il.
Après le deuxième crash de Max - en mars 2019, sur le vol 302 d'Ethiopian Airlines, tuant les 157 personnes à bord peu après le décollage d'Addis-Abeba - le Dr Woods a déclaré dans une interview: «J'ai été consterné».
"C'est un tel manque de responsabilité", a-t-il dit. "Nous ne sommes pas censés laisser cela se produire."