Vol MH370 : une quête inachevée (2/5 : les indices d’un détournement)

Lorsque l’on rassemble tous les indices connus, on est amené à la conclusion que le MH370 a été détourné selon une stratégie conçue pour tirer le meilleur parti de toutes les faiblesses du système de gestion du trafic aérien, faiblesses connues des spécialistes de ce domaine mais largement ignorées du grand public.

Lorsque l’on rassemble tous les indices connus, on est amené à la conclusion que le MH370 a été détourné selon une stratégie conçue pour tirer le meilleur parti de toutes les faiblesses du système de gestion du trafic aérien, faiblesses connues des spécialistes de ce domaine mais largement ignorées du grand public.

Indépendamment des contraintes de localisation fournies par Inmarsat qui ne concernent que la dernière phase du vol, quels sont ces indices ?

1°) l’endroit où l’avion a brusquement cessé de suivre son plan de vol.

Le demi-tour de l’avion pour traverser la Malaisie coïncide avec le moment du changement de centre de contrôle en route ; le pilote venait de dire au revoir au contrôleur malaisien et de couper la liaison radio avec le centre de Kuala-Lumur et aurait dû, dans les minutes qui suivaient, contacter le centre de contrôle de Ho-Chi-Minh Ville sur une autre fréquence, mais cette prise de contact n’a pas eu lieu. Cet endroit (zone en grisé sur la carte ci-dessous) est d’autant plus particulier qu’il s’agit d’une petite portion de l’espace contrôlé depuis Singapour mais qui avait été délégué à Kuala Lumpur afin d’éviter deux transferts de responsabilité du contrôle au sol. De ce fait, le contrôleur vietnamien pouvait être encore plus dans l’incertitude : si pour une raison quelconque l’avion avait décalé son trajet pour entrer dans l’espace singapourien, devait-il contacter seulement son homologue à Kuala Lumpur ou se coordonner aussi avec Singapour ? Bref, toutes les conditions opérationnelles étaient réunies pour retarder au maximum la détection du détournement :

mh370-igari

Source : rapport final de l’enquête malaisienne (2018)

Cette façon de gérer les transferts de responsabilité entre secteurs de contrôle est appelée « transfert silencieux » et fait dépendre le changement de fréquence radio d’une action du pilote qui doit sélectionner manuellement une nouvelle fréquence pour appeler chaque nouveau contrôleur le long de sa route. C’est un des nombreux talons d’Achille du système de gestion du trafic aérien.
Il peut sembler incroyable qu’à l’époque des réseaux mondiaux de communication et d’Internet, on en soit encore à utiliser des radios analogiques à commande manuelle à bord des avions de ligne, et c’est pourtant la réalité.
Ce n’est pourtant pas faute d’avoir exploré depuis des décennies des solutions techniques plus avancées, mais les compagnies aériennes, dont la rentabilité moyenne est extrêmement faible, ont toujours rechigné à investir dans le déploiement d’un système moderne, sauf à le faire financer par l’usage qu’en font les passagers, ce qui explique le développement du téléphone et de l’Internet par satellite, sauf que le contrôle aérien n’en a jamais profité. C’en est au point que des applications grand public comme radar24 peuvent disposer en temps réel d’autant voire plus d’informations que les centres de contrôle censés gérer le trafic...
Je me souviens d’avoir développé en 1988-89 un projet de recherche au Centre d’Etudes de la Navigation Aérienne (une très dynamique structure aujourd’hui disparue, sacrifiée dans la deuxième moitié des années 2000 sur l’autel de l’intégration européenne et de l’austérité budgétaire réunies) pour évaluer diverses applications des liaisons de données numériques. J’avais alors développé un protocole triangulaire de transfert de contrôle qui permettait un rebouclage explicite entre le contrôleur donnant, le pilote et le contrôleur recevant. Mais plus de trente ans plus tard, force est de constater que le contrôle du trafic aérien en est toujours opérationnellement au même stade antédiluvien que dans les années 1960.
Choisir le moment d’un transfert de responsabilité entre deux centres de contrôle pour détourner l’avion est donc très habile car si le contrôleur qui attend que le pilote l’appelle est momentanément occupé par ailleurs à gérer d’autres avions, il peut s’écouler un peu de temps avant qu’il ne réagisse à l’absence de contact et essaie de localiser l’avion en contactant les centres adjacents puis en demandant l’aide des autres avions volant à proximité et c’est bien ce qui s’est passé dans le cas du MH370 (il s’est écoulé 20 mn avant que l’alerte ne soit donnée).
De plus, lorsqu’un avion cesse de communiquer avec les centres de contrôle, en l’absence d’un message de détresse, il est présumé avoir continué de suivre son plan de vol et avoir été simplement victime d’une panne de radio, et c’est la raison pour laquelle les premières recherches de l’avion disparu ont été menées en Mer de Chine au large des côtes vietnamiennes, avant qu’en dépouillant leurs enregistrements radar le lendemain et les jours suivants les militaires malaisiens ne comprennent ce qui s’était réellement passé.

2°) la coupure simultanée de tous les moyens de communication.

Juste après la sortie de la zone de contrôle malaisienne à 17h19 TU, l’ensemble des moyens de communication et de surveillance ont été coupés à 17h21 TU (soit 1h21 du matin en heure locale) deux minutes après la fin des échanges vocaux par la radio VHF avec le contrôleur malaisien. La coupure du transpondeur radar (un équipement qui répond aux interrogations émises par les radars secondaires) a nécessairement été effectuée depuis le cockpit car en cas de panne d’alimentation électrique le transpondeur dispose d’une batterie lui offrant une autonomie de fonctionnement d’une dizaine de minutes et surtout parce qu’un petit décalage a été détecté entre les instants où se sont interrompues les différentes émissions du transpondeur ce qui signifierait que quelqu’un a volontairement tourné le bouton d’arrêt du transpondeur dans le cockpit (pour une analyse technique détaillée lire ceci : https://mh370.radiantphysics.com/2019/04/03/insights-from-new-mh370-tracking-data/) mais d’autres interprétations moins plausibles restent néanmoins envisageables : qu’une donnée fournie au transpondeur par le système de navigation devienne indisponible avant les autres et avant que le transpondeur lui-même ne s’éteigne, si la coupure électrique grille le transpondeur par une surtension en raison du déséquilibre transitoire créé dans la distribution de l’énergie électrique, par exemple).

Mais le plus intriguant est la coupure brutale du système de communication satellitaire : si une déconnexion avait été commandée depuis le cockpit, les échanges protocolaires correspondant auraient été enregistrés par la station sol Inmarsat de Perth. Or, rien de tel n’a été observé, il y a seulement eu une interruption non commandée de tous les échanges prévus pour transiter par le satellite. On sait que cette interruption a été effectuée avant 17h25 TU, car un envoi automatique de paramètres des moteurs (un report périodique de données techniques destinées à la maintenance) devait avoir lieu à ce moment-là. Il est donc raisonnable de penser que tous les systèmes de communication de l’avion ont été arrêtés quasi-simultanément.
C’est cette liaison via le satellite Inmarsat qui s’est remise en marche automatiquement un peu plus tard et qui a suscité des échanges périodiques (et tout aussi automatiques) de vérification de bon fonctionnement de la liaison lorsqu’elle est restée inutilisée pendant un certain temps, ce que l’on appelle dans le jargon des télécommunications des messages de « keepalive » (« maintien en vie » de la liaison), et ce sont ces signaux analysés par Inmarsat dont j’ai parlé dans le billet précédent.

Cette coupure brutale du SatCom ne peut donc s’expliquer que par une interruption temporaire de son alimentation électrique car contrairement à d’autres équipements plus critiques (comme la radio VHF ou le transpondeur radar) la SDU n’est ni redondée ni secourue et elle ne dispose pas d’une batterie-tampon lui permettant de continuer à fonctionner en cas de panne de l’alimentation électrique.

3°) la trajectoire subséquente dans l’espace malaisien.

Les radars militaires malaisiens étaient au moment du détournement le seul moyen qui restait pour pister l’avion et ils l’ont effectivement détecté après son demi-tour. Il repart vers la côte en suivant la route aérienne M765, puis la B219 qui longe la frontière thaïlandaise vers Penang et après son virage au sud de Penang il remonte le détroit de Malacca en s’alignant sur la N571:

mh370-trajetmalaisie

Source : rapport final de l’enquête malaisienne (2018)

Les points rouges correspondent aux débuts et les points bleus aux fins du suivi fragmentaire de l’avion par les radars primaires militaires. Le point 10 situé à 10 milles nautiques après MEKAR correspond précisément à la limite de portée du radar militaire pistant l’avion vers le nord-ouest sur la N571.

Cette façon de se couler dans le trafic en suivant des routes aériennes où circulent d’autres avions est une autre preuve d’habileté du (ou des) auteur(s) du détournement. De plus en longeant la frontière, on laisse chaque contrôleur supposer que cet avion non identifié par le radar secondaire doit souffrir d’une panne de transpondeur (ce sont des choses qui arrivent) mais qu’il est géré par le contrôleur d’à côté puisqu’il ne s’est pas manifesté sur la fréquence. Bref, on constate que les faiblesses et les lenteurs de la coordination au sol entre contrôleurs aériens situés de part et d’autre des frontières de différents pays ont été exploitées au maximum.

4°) le rétablissement de l’alimentation électrique :

La SDU a redémarré à 18h25 TU, alors que l’avion s’apprêtait à sortir du détroit de Malacca et à contourner Sumatra pour partir dans l’Océan Indien. Ce redémarrage indique que la SDU, et sans doute simultanément un certain nombre d’autres équipements, ont été remis sous tension à ce moment-là. Il faut comprendre que la SDU fonctionne de ce point de vue comme votre modem de liaison Internet qui redémarre automatiquement après une coupure et se resynchronise en quelques dizaines de secondes avec le système de votre fournisseur d’accès, même si tous les systèmes informatiques qui l’utilisent restent à l’arrêt. Qui que ce soit qui ait détourné l’avion, il ignorait que la remise en marche de l’alimentation électrique ferait redémarrer la SDU (une chose que seul un spécialiste de l’architecture du système embarqué aurait pu savoir) et que les quelques échanges entre la SDU et le système Inmarsat joueraient, certes imparfaitement, le rôle des petits cailloux dans le conte du Petit Poucet.

5°) la durée totale du vol.

Après un dernier « keepalive » normal définissant le 6ème arc Inmarsat à 0h11 TU, la SDU a eu un dernier hoquet à 0h19 TU qui a servi à positionner le fameux 7ème et dernier arc. Il s’agit d’une tentative incomplète de reconnexion, ce qui veut dire qu’une deuxième coupure de l’alimentation électrique de la SDU s’est produite entre 0h11 TU et 0h19 TU.
L’interprétation sur laquelle tous les experts ayant étudié cet événement sont tombés d’accord est que l’avion s’est trouvé en panne de carburant à ce moment-là et que les deux moteurs se sont arrêtés (pas forcément exactement au même instant), provoquant une coupure électrique générale et donc l’arrêt de la SDU, mais que le peu de kérosène restant dans la tuyauterie a permis le démarrage du générateur électrique de secours (Auxiliary Power Unit ou APU). Dans le film « Sully », on peut voir le réflexe du pilote consistant à presser le bouton d’allumage de l’APU au plafond du cockpit lorsque ses deux moteurs s’arrêtent. En l’absence d’action du pilote, l’APU démarre automatiquement en une minute environ, s’il y a du carburant pour la faire tourner.
Mais du fait de l’épuisement du carburant, l’APU du MH370 s’est elle aussi arrêtée sans laisser le temps à la SDU d’achever sa reconnexion au système Inmarsat. On a pu vérifier sur simulateur que la quantité totale de carburant disponible à bord permettait tout juste à l’avion de voler pendant la durée ainsi déterminée.

Cette longue durée de vol démontre que l’avion n’a souffert d’aucune avarie grave (dans les premiers mois de l’enquête, l’hypothèse d’une explosion ou d’un incendie à bord pouvant expliquer une panne électrique généralisée, l’incapacitation des pilotes et la destruction des systèmes de communication avait été évoquée) et les multiples changements de cap réalisés à partir de son demi-tour indiquent que l’avion a été piloté activement et astucieusement pendant au minimum une heure et demie à deux heures.

Reste à comprendre comment ce détournement a pu être effectué et avec quel objectif, et aussi comment le vol s’est terminé. Cette réflexion, plus spéculative par nature, sera l’objet du prochain billet.

Le Club est l'espace de libre expression des abonnés de Mediapart. Ses contenus n'engagent pas la rédaction.