Boeing a reconnu hier qu’il était au courant depuis 2017 de l’absence d’activation de l’alarme AOA Disagree dans les cockpits de ses 737 MAX, mais continue d’affirmer que le logiciel ne présentait pas de risque pour la sécurité des vols.

Le communiqué de Boeing du 5 mai 2019 explique qu’en 2017, plusieurs mois après l’entrée en service des monocouloirs remotorisés et près d’un an avant le crash de Lion Air, suivi en mars dernier par celui d’Ethiopian Airlines, il avait été averti de l’existence d’un problème : ses ingénieurs ont constaté que le logiciel du système d’affichage 737 MAX « ne répondait pas correctement aux exigences en matière d’alerte AOA Disagree » ; cette dernière compare les deux données de deux sondes de mesure d’angle d’attaque, contrairement au système MCAS basé sur les mesures d’une seule. Le communiqué de Boeing précise que ses « exigences de conception » pour le 737 MAX incluaient l’alerte AOA Disagree « en tant que fonctionnalité standard et autonome », « conformément à la philosophie de conception fondamentale de Boeing consistant à conserver les caractéristiques communes du 737NG ». Mais le logiciel fourni à Boeing « a lié l’alerte AOA Disagree à l’indicateur AOA », qui est une fonction optionnelle sur le MAX comme sur le NG. En conséquence, le logiciel « n’a activé l’alerte AOA Disagree que si une compagnie aérienne avait opté pour l’indicateur AOA ».

Lorsque la divergence entre ses exigences et le logiciel a été identifiée, Boeing souligne qu’il a « suivi son processus standard » pour déterminer la résolution appropriée de ces problèmes. Cet examen, qui impliquait plusieurs experts en la matière de la société, avait permis de déterminer que l’absence de l’alerte AOA Disagree « n’avait pas d’incidence négative sur la sécurité ou l’exploitation de l’avion ». En conséquence, l’examen a conclu que les fonctionnalités existantes étaient « acceptables jusqu’à ce que l’alerte et l’indicateur puissent être dissociés dans la prochaine mise à jour logicielle du système d’affichage prévue ». Les dirigeants de la société n’ont pas participé à l’examen, et ont « pris conscience de ce problème » au lendemain de l’accident de Lion Air en octobre dernier.

Six jours après, le 6 novembre 2018, Boeing a publié un bulletin du manuel d’exploitation (OMB), suivi un jour plus tard par la publication par la FAA (Administration fédérale de l’aviation) d’une consigne de navigabilité (AD). En identifiant l’alerte AOA Disagree « parmi les nombreuses indications pouvant résulter d’une AOA erronée », l’OMB et l’AD ont décrit la fonctionnalité d’alerte AOA Disagree comme étant disponible uniquement si l’option d’indicateur AOA est installée. Boeing a discuté de l’état de l’alerte AOA Disagree avec la FAA à la suite de l’accident de Lion Air : à ce moment-là, le constructeur a informé la FAA que ses ingénieurs « avaient identifié le problème de logiciel en 2017 et avaient déterminé, conformément au processus standard de Boeing, que le problème n’avait pas d’incidence négative sur la sécurité ou l’exploitation de l’avion ». En décembre 2018, Boeing a convoqué un comité d’examen de la sécurité (Security Review Board, SRB) pour examiner à nouveau si l’absence de l’alerte AOA Disagree sur certains écrans de vol du 737 MAX posait un problème de sécurité. Ce SRB a « confirmé la conclusion antérieure de Boeing » selon laquelle ce n’était pas le cas ; cette conclusion et l’analyse de SRB ont été transmises à la FAA.

Boeing rappelle en conclusion préparer une mise à jour du système MCAS et de la formation des pilotes, qui devait être approuvée par la FAA « dans les prochaines semaines ». Lorsque les 371 MAX cloués au sol depuis la mi-mars seront remis en service, tous les opérateurs pourront activer l’alarme AOA Disagree, l’alarme AOA restant optionnelle ; tous les appareils produits à partir de cette date seront équipés en standard d’un alarme AOA Disagree activée par défaut. Rappelons que cette mise à jour inclura des modifications « dans les lois de contrôle de l’avion » ainsi qu’une mise à jour des affichages du cockpit, « du manuel de vol et de la formation », « afin d’améliorer encore la sécurité et d’éviter que cela ne se reproduise ».

Si le système MCAS est mis en cause dans les deux accidents de Lion Air et Ethiopian Airlines, qui ont fait 346 victimes au total, rien ne permet de dire que l’activation de l’alarme AOA Disagree (absente dans les deux appareils) aurait permis de les éviter. Boeing rappelle à ce propos : « les paramètres de vitesse de l’air, d’attitude, d’altitude, de vitesse verticale, de cap et de puissance du moteur sont les principaux paramètres que les équipages utilisent pour piloter l’avion en toute sécurité en vol normal. Le vibreur de manche et l’indicateur de limite de tangage sont les principales caractéristiques utilisées pour le fonctionnement de l’avion à des angles d’attaque élevés. Toutes les actions pilotes, listes de contrôle et formations recommandées sont basées sur ces indicateurs primaires. Ni l’indicateur AOA ni l’alerte AOA Disagree ne sont nécessaires pour une exploitation en toute sécurité de l’avion. Ils fournissent uniquement des informations supplémentaires, et n’ont jamais été considérés comme des éléments de sécurité sur les avions de transport à réaction commerciaux »…

Selon KTLA5 News, un porte-parole de la FAA a confirmé que Boeing les avait averti de l’absence d’activation de l’alarme AOA Disagree en novembre seulement, après l’accident de Lion Air. Les employés de l’administration ont alors « jugé que cela présentait un risque faible », tout en estimant qu’une communication de Boeing « dans les temps avec les compagnies aériennes aurait pu réduire ou éliminer une possible confusion » chez les pilotes. On retiendra par ailleurs que la chambre des Représentants a fixé la date de son audition sur le 737 MAX au 15 mai prochain, avant donc la réunion de la FAA et des régulateurs du reste du monde prévue le 23.

Boeing 737 MAX : le problème de logiciel connu depuis 2017 1 Air Journal