Comment un logiciel censé rassurer les pilotes a-t-il provoqué deux crashs du Boeing 737 MAX ?

Le contexte

Face au succès de l’Airbus A320neo, doté de nouveaux moteurs plus économes en carburant, Boeing choisit en 2011 de ne pas concevoir un nouvel avion mais de moderniser son best-seller, le 737, plutôt que de lancer un programme entièrement nouveau, plus long et plus coûteux. Cette version, baptisée 737 MAX, reçoit des moteurs plus gros et plus performants, mais leur taille oblige à les positionner plus haut et plus en avant sur l’aile, modifiant sensiblement le comportement aérodynamique de l’appareil et provoquant une tendance accrue à cabrer dans certaines phases de vol par rapport aux précédentes générations de 737.

La décision

Pour corriger cette tendance sans modifier la cellule de l’avion, Boeing développe un logiciel de pilotage automatique baptisé MCAS, capable d’abaisser automatiquement le nez de l’appareil en cas d’angle d’attaque jugé excessif. Dans sa version définitive, ce système ne prend en compte les données que d’un seul des deux capteurs d’angle d’attaque dont dispose l’avion, et peut déclencher une correction de plusieurs secondes sans que les pilotes en soient informés dans leur documentation de formation. Ce choix de conception répond à un objectif commercial précis : convaincre les compagnies clientes, dont Southwest Airlines, que le 737 MAX reste suffisamment proche des précédents modèles pour éviter à leurs pilotes une coûteuse requalification sur un nouveau type d’appareil. Le contrat liant Boeing à Southwest, premier client mondial du 737 MAX avec 280 appareils commandés, prévoit même une ristourne d’un million de dollars par avion si jamais une formation sur simulateur venait à être exigée par les autorités, une clause qui pèse directement sur les arbitrages internes de conception du constructeur.

La chute

Le 29 octobre 2018, le vol Lion Air 610 s’abîme dans la mer de Java treize minutes après son décollage d’Indonésie, tuant les 189 personnes à bord, après que le capteur défectueux a déclenché de façon répétée le système MCAS malgré les tentatives des pilotes pour reprendre le contrôle. Moins de cinq mois plus tard, le 10 mars 2019, le vol Ethiopian Airlines 302 s’écrase près d’Addis-Abeba dans des circonstances quasi identiques, faisant 157 morts. Les enquêtes révèlent que des ingénieurs et pilotes d’essai de Boeing avaient identifié des problèmes liés au comportement du MCAS bien avant les deux accidents, sans que cette information ne soit transmise à l’agence fédérale de l’aviation américaine, aux compagnies aériennes ni aux pilotes eux-mêmes.

Les conséquences

L’ensemble de la flotte mondiale de 737 MAX est interdit de vol à partir du 13 mars 2019, une décision prise en dernier par les autorités américaines après que la quasi-totalité des autres pays ont déjà agi de leur côté. Le 23 décembre 2019, le conseil d’administration de Boeing démet de ses fonctions le directeur général Dennis Muilenburg, jugé responsable d’une gestion de crise défaillante. L’avion reste cloué au sol pendant vingt et un mois, jusqu’à sa recertification par les autorités américaines en novembre 2020, après une refonte complète du logiciel MCAS intégrant désormais les deux capteurs d’angle d’attaque. En 2021, Boeing conclut avec la justice américaine un accord pénal reconnaissant avoir trompé les régulateurs, assorti d’une amende et de compensations totalisant 2,5 milliards de dollars.

Et depuis ?

Le coût direct de la crise pour Boeing, entre compensations versées aux compagnies aériennes et surcoûts de production, dépasse les 20 milliards de dollars selon les propres estimations de l’entreprise, sans compter l’impact durable sur sa réputation et ses parts de marché face à Airbus. L’affaire reste depuis étudiée comme un cas d’école emblématique des dérives d’un arbitrage industriel où des impératifs commerciaux de rapidité et d’économie, notamment celui d’éviter une nouvelle certification et une requalification coûteuse des pilotes, ont pris le pas sur une conception redondante et transparente d’un système de sécurité critique, avec des conséquences humaines irréversibles pour les 346 victimes des deux accidents.

Le même arbitrage entre coût et sécurité, avec des conséquences tout aussi mortelles, se retrouve quarante ans plus tôt dans la conception de la Ford Pinto, et la même « normalisation de la déviance » qui a produit le MCAS avait déjà causé, en 1986, la destruction de la navette Challenger.