Ouvert aux commentaires.
Les disruptions sont plus risquées dans les gros systèmes : le 737 MAX, Vasa moderne et métaphore de l’économie hyper-financiarisée.
Le déroulement de la crise du Boeing 737 MAX est intéressant parce que l’accident industriel qui se profile après le crash ET302 d’Ethiopian Airlines le 10 mars survient au moment d’une industrialisation bien lancée, au « pied de la courbe », puisqu’on en est à 350 appareils livrés sur environ 5.000 commandés. Il pose la question des vertus ou vices intrinsèques de cette industrie au point où elle a le plus de mal à faire excuser ce qu’on croit deviner. Et en filigrane, je propose à la fin de ce billet une analogie sur l’hyper-financiarisation.
Les gros sous d’abord. Le Boeing 737 MAX cote à environ 100M€ pièce prix catalogue (il y a 3 modèles : MAX 7 8 et 9), on parle donc de grosses sommes pour des ventes annuelles de grosso modo 700 appareils/ans pour un horizon à 7 ans: 70 Mds d’€ par an, la capitalisation de Boeing étant 200-250 Mds de $ (et l’action Boeing compte pour 11% dans le Dow Jones, la plus grosse fraction).
En soit, 350 avions immobilisés, ce n’est pas la cata complète, il y a 50.000 vols/jour assuré par environ 17.000 appareils, on en a immobilisé 2%, d’un type le plus représenté et donc substituable.
Ce qui interroge, c’est la propagation persistante d’une erreur de départ. De fait, on croit comprendre que Boeing avait pu faire fi de sa responsabilité dans l’accident du vol 610 de Lion Air en fin octobre 2018 du fait de la réputation plus que modeste de cette compagnie indonésienne (liste noire en Europe jusqu’en 2016), mais le crash du ET302 Ethiopian est venu briser cette cape de vertu en 3 jours. La question de comment se construit la vertu est donc à l’épreuve dans cette affaire.
Globalement, le monde de l’aéronautique civile est, en termes de système, à la pointe de ce que sait faire l’humanité dans la régulation vertueuse au sens général : grâce au retour d’expérience et à une croissance progressive des tailles et performances (biréacteur autorisé en transatlantique seulement depuis 25-30 ans), la croissance du trafic s’est faite avec un taux d’accidents en baisse régulière, même lors de l’arrivée des Low Cost qu’on a imaginé comme devant être source d’accidents. Que non : il n’y a pas eu d’accident Ryan Air, Air Berlin ou Norwegian. Il est presque plus risqué en France de traverser un passage à niveau que de prendre un avion, et sûrement plus risqué de conduire 1h par jour (en gros 1 chance sur 10.000 de mourir par an avec nos 3.000 morts par an et si on compte 30.000.000 de gens qui font pareil).
Traduit en termes d’heures d’avion, le taux de panne technique grave (les plus rares car ce sont les erreurs de pilotage qui sont les premières causes d’accident aérien grave) est visé, en ordre de grandeur, pour viser 1 pour 1 milliard d’heure de vol, c’est ainsi qu’on le dimensionne à la conception, avec des taux de pannes plausibles de chaque morceau. Pour une flotte de 1.000 appareils volant 5.000 h/ an chaque (~12h/jour), il faut dans ce cadre de principe 200 ans avant d’avoir la première panne, et sur les grosses flottes (A320 B737), la multiplication des appareils amène à une panne tous les 30 ans, c’est encore « dans le bruit ». De fait, la réalité est disons 10 fois pire que le calcul à cause d’imprévus (mauvaise maintenance notamment), mais ça reste à 1 pour 100 millions d’heures de vols en très gros.
Bilan global : l’enchaînement de deux pannes fatales en 6 mois sur 350 appareils correspondrait en gros à « x 100 » sur le taux d’erreur le plus haut ci-dessus : il y a eu 2.000.000 d’heure de vols (5000 * 350, les premiers 737 MAX ont 18 mois, l’âge moyen est proche de 9 mois…) en ordre de grandeur, alors qu’on devrait avoir 0,02 pannes de ce type.
Si on rentre dans le détail de toutes les régulations qui font que « ça vole bien d’habitude », on s’aperçoit que les jets ont un « domaine de vol » (ou « enveloppe de vol ») assez étroit : la vitesse à altitude et assiette donnée est dans une fourchette de +/-10% en gros. Les ailes sont calculées pour porter à 800 km/h à 10.000 m, et ne porteront pas à 600 km/h à 12.000 m. Et quand cela vous est arrivé de monter dans des avions un peu vides et qu’on vous interdit de vous mettre dans les 15 rangées du devant, ce n’est pas de la rigolade pour les qualités de vol. Hors de cette enveloppe, dès qu’on monte trop fort notamment (inclinaison >15°), on risque le décrochage : si l’air attaque l’aile trop en oblique (ce qui se produit nécessairement en montant, pour gagner de la force ascensionnelle) les filets d’air de l’extrados (le dessus des ailes) « se décrochent » en commençant par l’arrière des ailes, la dépression associée (du fait qu’ils vont plus vite que sur l’intrados…) disparait avec lesdits filets et la portance n’est plus au rendez-vous. Ça ne vole donc pas du tout aussi facilement qu’un Cessna du coin, c’est le prix à payer pour assurer un avion économique, qui s’appuie sur l’air « minimalement ». Et donc par ricochet cela donne une idée de la perfection que le système dans son ensemble a atteint malgré cette contrainte, et cela est aussi probant pour moi que le reste des exploits plus évidents (se poser par temps de brouillard, résister aux trous d’air et aux éclairs, etc.) qu’on mentionne comme bienfait de la technologie.
Plongeons un peu dans les causes immédiates : le résumé de l’actuelle saga noire du 737 MAX, c’est que pour concevoir rapidement une réponse aux A320 NEO d’Airbus et en particulier à son budget kérosène alléchant (-15% des classiques A320 et 737, les monocouloirs de référence du « duopole » Airbus-Boeing), Boeing est reparti du vieux fuselage 737, et a retouché surtout l’ensemble « aile + nacelle +moteur ». Les moteurs économes sont plus gros, et il a fallu déplacer la nacelle vers l’avant, ça ne passe pas sous l’aile, et redimensionner les trains et roulette de nez pour faire la place en bas (ils sont plus gros car le gros de la poussée dans ces réacteurs dits à double flux est obtenue par l’air froid chassé par le gros « fan », lui-même propulsé par le puissant mais petit réacteur mis au centre sur l’axe, qui est le seul moteur à proprement parler, il peut être puissant en poussée, mais s’il est seul (comme du temps des bruyants Boeing 707), il rejette alors des gaz chauds, donc de l’énergie, qu’on essaye de regagner au maximum, un peu comme dans une chaudière à condensation, mutatis mutandis (ma chaudière vole bien merci).
Du coup, on peut penser au célèbre accident du Vasa, ce bateau renfloué en 1961 qui avait coulé en 1628 à son inauguration à Stockholm en l’absence du roi de Suède qui n’en fut pas moins fumasse, parce que centre de poussée et de gravité n’étaient pas l’un sur l’autre, mais l’un sous l’autre, le second étant trop remonté par des canons entre autres, c’était quasi évident à la première mise en eau de la quille.
Pour nos Boeing, et donc en 2019, des bévues aussi énormes dans le 737 sont hors de propos, mais quand même ce n’est pas complètement différent : le positionnement à l’avant des moteurs fait que, lorsque la poussée est forte, l’avion tend davantage à basculer vers le haut (les ailes résistent, l’avion pivote (tangage) autour des bords d’attaque, en gros). Le post le plus documenté là-dessus est suivant, suite au crash indonésien de fin octobre 2018 : celui-ci. La raison principale invoquée n’est pas le placement vers l’avant en soi car les mécaniciens et physiciens vous diront que le moment de la force (par rapport à la rotation de tangage, donc le « pitch ») est le même qu’avec moteur en position normale puisque c’est la distance de la droite de la force à l’axe de rotation qui compte, et elle est quasi inchangée. C’est apparemment la portance supplémentaire des grosses nacelles, neutres en assiette normale (3-5°) mais qui cessent d’être neutres en assiette élevée, proche du décrochage (14°), qui est le responsable de cet effet de surtangage. Du coup, pour éviter un « effet Vasa dynamique », et ne pas risquer qu’une fois proche des 14°, et avec des poussées fortes de réacteurs nouveaux et puissants, la limite du décrochage soit franchie, Boeing a « patché » dans l’ordinateur de bord un système (du doux nom de MCAS) qui « prend la main » sur le contrôle de cet angle, le « trim » usuellement actionné par un… trimmer aux mains des pilotes : cela agit au niveau des surfaces aérodynamiques par les ailerons arrières (eux-mêmes séparés en « elevator » et « trim » lui-même, mais on n’a pas besoin du détail). Le MCAS les incline de façon à re-piquer, pour éviter le décrochage. Et cela se produit évidemment avec une alarme de décrochage (« stall ») avec vibration du manche pour bien réveiller le pilote, lequel doit rester calme, hum.
Supposant que cette configuration serait très rare et relativement transparente, cette possibilité n’est pas mentionnée dans les manuels abrégés, et on a vendu aux pilotes et aux compagnies surtout l’interchangeabilité à peu près parfaite avec le 737 plus classique (le « NG »…), donc pas d’heures de formations et/ou de simulateurs à payer en plus (rappelez-vous l’épisode des suppressions de centaines de vols Ryan Air en 2017/2018, le pilote est une denrée précieuse, et si la denrée en a marre qu’on la dispatche n’importe comment et qu’on la paye mal elle va voir ailleurs dès qu’elle a un peu de bouteille).
Le bug semble arriver quand les deux détecteurs d’angle d’incidence de l’air (des petites girouettes à axe horizontal sur les flancs du fuselage à l’avant, bien sûr très « intégrées ») sont un peu malades et donnent des lectures erronées (bloquées par des nids d’insectes ou d’autres bêtises). La panne de capteur est un vieux problème du design d’aviation, et tant qu’on n’automatise pas trop, on la contourne. Mais pas quand on automatise un peu trop ou trop vite : le système de trim automatique MCAS utilisant ces capteurs pour détecter l’approche du décrochage a donc indument pris la main toutes les 15-20 secondes dans les deux vols semble-t-il, pour re-forcer l’appareil vers le bas le croyant trop incliné vers le haut ; telle semble être la leçon qui se profile dans le cas des crash Ethiopian et Lion Air. On pourra vérifier ce qu’il en est en regardant les dernières secondes des boites noires et en regardant si dans les pièces pas trop carbonisées, on voit que l’aileron arrière était forcé en position de baisse par la vis sans fin qui vient l’actionner.
Prenons un peu de recul. Tout d’abord, la merveille de l’aéronautique civile. Selon moi, c’est le symbole parfait dans le monde moderne de ce que Stiegler appelle des « systèmes associés » : les locuteurs parlent le même langage et se comprennent, les « receveurs » sont aussi « émetteurs », l’amélioration par le retour d’expérience est « contributive » et pas trop top-down. Ce n’est pas le cas dans d’autres branches d’industrie où la ségrégation sociale et la sanction qui n’est « que » une mort lente — et non la mort immédiate du vol qui s’interrompt — rend les choses différentes : qu’on pense à l’industrie minière au hasard, dont les tenants et aboutissants sont traités en évitant tout dialogue avec les gens concernés (les restes de minerais, l’or extrait au cyanure…) : « No sé ! » comme disent les personnages de Tintin en Amérique du Sud. A l’inverse, dans le monde aérien, il y a des cas difficile, mais assez rapidement, quand les passagers sont trop méprisés, les journalistes ne sont pas loin, même si ce sont les tabloïds. Les riverains des aéroports, exposés aux nuisances, ont, eux, encore le choix de voter avec leurs pieds, ou de se faire payer du double vitrage par leur commune dans la zone autorisée. Bref, pas le bonheur, mais pas que du malheur. Et à ceux qui me disent « kérosène = CO2, comment peut-on appeler cela une merveille », je réponds (1) 4 l/100km, c’est pas un scandale absolu pour assez peu de km2 artificialisés au sol et (2) si la possibilité technique du vol très-court-courrier électrique existe (elle n’est plus très loin), ce sera la première industrie à rationaliser une approche tout électrique.
Dans le cas d’espèce, le système est devenu aussi très gros. Le duopole Airbus / Boeing est engagé dans une course d’échelle industrielle immense, parsemée de décisions délicates (l’A380 est un quasi échec commercial, mais il a permis que l’A350 arrive au bon moment) qui augmentent la pression sur la chaine de design et de fabrication. Du coup, au lieu de rester dans les recettes de régulations classiques, on a introduit ce « MCAS », cette boucle supplémentaire qui évite ce que le design aéronautique nouveau semble induire, et on l’a fait en partant d’une bonne intention. Mais, pour ne pas casser le reste du système (et du profit), on ne l’a pas dit à tout le monde. Et on n’a pas le recul pour connaitre l’effet vis-à-vis de toutes les pannes, donc un effet de « cumul complexe inconnu ». Sans doute aussi une perte de transmission entre les précédents designers qui avaient fait croitre la robustesse et ceux du dernier petit. C’est ce que je voulais dire dans le titre : il y a un plus grand risque d’échec lors des changements un peu « disruptifs » (des réacteurs plus gros x1.5) dans les gros systèmes, malgré le nombre augmenté d’ingénieurs sur le même projet.
L’analogie avec l’hyper-financiarisation de l’économie me parait ici éclairante, je la tente : le « domaine de vol » de l’économie hyper-financiarisée est étroit (le repos du rentier n’y est même pas un souvenir, la volatilité oblige à une attention constante), mais tout le monde veut y aller quand même. Les moteurs sont puissants, ils s’appellent « HFT » « high-frequency-trading », ils se sont appelés auparavant « CDS » ou « subprime », il a fallu les placer « autrement par rapport aux ailes » et allonger les « pattes » du véhicule, s’éloigner du réel. Le moteur lui-même est-il un gros danger ? Si on le met à faire autre chose que pousser, oui : le cas d’Enron fut emblématique à cet égard (je pourrais citer un certain Paul J., mais j’ai oublié le nom). Leur moteur réinjectait la poussée …dans l’entrée… Ça vole apparemment plus vite pendant quelques heures, et puis crac !
Alors on passe bien devant des gens fort sages qui « auditent » votre design financier, comme l’avion qui doit être certifié par la FAA (l’autorité américaine prévue à cet effet, dont l’indépendance vis-à-vis de Boeing est souvent mise à l’épreuve), on essaye de réguler (loi Dodd-Frank aux USA par exemple). Le gendarme (la SEC) dit qu’il faut brider ceci et cela. Pour ne pas risquer de dépasser de façon trop voyante les normes d’encadrement, on peut supposer que ces braves gens ont installé des « MCAS financiers », des régulateurs cachés pour pallier les effets de leur « disruptions », des coupe-circuits censés être là pour quand « tel truc qu’on exploite un peu à sa limite va mal »… mais sans penser que dans un système complexe, il n’y a pas qu’une seule chose qui va mal à la fois. Et quand on n’a pas opté pour la transparence, les autres n’anticipent pas ce qui va partir de travers vu qu’on n’a pas communiqué sur ces « innovations cachées ».
L’analogie est donc assez inspiratrice me semble-t-il .
De fait, quand on nous promet que les GAFA et autres seront régulés correctement, on peut supposer que dans un système économique qui se veut soi-disant « associé » au sens de Stiegler (les anticipations rationnelles sont la projection pauvre de la chose, le marché contient toute l’information), et qui est en réalité le plus mauvais élève de la classe en termes de transparence (avant ou après les mafias, au choix), les effets d’amplification des erreurs sont majeurs. Ne soyons donc pas surpris outre mesure du prochain « accident industriel » qui attend les investisseurs sur des « produits régulés » mais un peu nouveaux, ou les GAFA sur un nouveau mode « d’expérience client ». L’expérience du « domaine de vol », et de ce que cela veut dire d’y rester de façon stable, on a vu que cela s’oublie sur 20 ans ou 25 ans chez Boeing, apparemment. Dans la finance, c’est plutôt sur 10 ans qu’on oublie le comment du pourquoi. Et 2008 + 10 = 2018…
Peut-on étendre ces effets-systèmes à la politique ? En tout cas, dans la gouvernance (anti)sociale macronienne telle qu’elle va, la multiplication des « tuyaux sociaux» permet des cachoteries semblables (cf. les soit-disant 100 euros d’augmentation du smic dans le discours du 10 décembre), des petits mensonges qu’un Chirac lui-même aurait sans doute jugés un peu malséants, il y avait plus de culture dans son art de la menterie : il était encore un peu du côté des systèmes associés, fut-ce par la tête de veau.
Laisser un commentaire