le crash de trop
Le crash de l’Air India 171, le 12 juin 2025, a été provoqué par l’improbable extinction simultanée des deux réacteurs en plein décollage, du fait de l’ordinateur qui gère la propulsion. Le nom de ce dernier annonce son pouvoir sans partage : Full Authority Digital Engine Control (FADEC). Remplaçant l’officier mécanicien, il peut interpréter, filtrer, modifier, annuler les ordres des pilotes. La seule commande directe dont disposent ces derniers est celle de l’extincteur. Toutes les autres passent par le filtre du logiciel.
Lorsque survient une catastrophe aérienne, les enquêteurs publient un rapport préliminaire dans un délai d’un mois. C’est lui qui va influencer les journalistes et l’opinion publique. C’est pourquoi, sous la pression des constructeurs et des autorités, il est le plus souvent orienté vers une culpabilité affirmée ou suggérée des pilotes. Le rapport définitif n’intervient qu’au bout d’une année, voire deux, quand l’événement ne fait plus la une de la presse. Dans le cas de l’Air India 171, le rapport préliminaire a surpassé les performances du genre[1].
Sa rédaction intervient après un mystérieux aller-retour des enregistreurs à Washington avant d’être restitués à l’autorité indienne. Contrairement à l’habitude, il n’est pas signé. Son ou ses auteurs restent anonymes. Il ne publie pas la transcription de l’enregistrement des conversations du cockpit, comme cela se fait généralement. Mais il en donne une ligne de compte rendu lapidaire selon laquelle un des pilotes aurait demandé à l’autre s’il avait éteint les moteurs, ce à quoi l’apostrophé aurait répondu « I didn’t »[2]. On n’en sait pas plus.
Les relais médiatiques traditionnellement mobilisés par la vérité officielle en ont immédiatement donné l’interprétation qui convient : l’un des pilotes a fermé volontairement les interrupteurs de l’alimentation des moteurs en kérosène. Une propagande aussi grossière s’explique par la dimension de ce qui est en cause. Cette fois, ce ne sont plus seulement les manquements et faiblesses d’un constructeur, d’une compagnie ou d’un service officiel qui sont en cause. Le problème est passé au niveau pan-idéologique : la défense du principe du remplacement d’un cerveau humain par un logiciel.
Le rapport préliminaire contient cependant une information qui permet de reconstituer un déroulé plus vraisemblable des événements. Les caméras de la surveillance aéroportuaire d’Ahmadabad montrent que la turbine de secours en cas de perte du réseau électrique était sortie deux secondes après que les roues eurent quitté le sol, soit encore deux secondes avant l’action des pilotes sur les interrupteurs de l’alimentation des réacteurs. La panne est première, ce ne sont pas les pilotes qui l’ont provoquée. Au contraire, ils ont fait preuve de professionnalisme jusqu’à la mort.
La turbine en question est une hélice qui sort automatiquement sous le fuselage, notamment en cas de panne des deux moteurs (donc des alternateurs qui fournissent normalement l’électricité du bord). Entraînée par le vent relatif, elle supplée aux servitudes essentielles en énergie électrique et hydraulique, permettant ainsi le rallumage d’un des réacteurs. Pour ce faire, les pilotes doivent d’abord couper les interrupteurs d’alimentation, afin de réinitialiser (reset) le logiciel qui gère les moteurs. C’est ce qu’a fait le commandant de bord, deux secondes après avoir constaté le ralentissement des moteurs. Ensuite, il a fallu attendre que la turbine de secours fournisse la tension nécessaire. Quand ce fut le cas, un premier interrupteur a été rouvert, et l’ordinateur a commencé à remettre en route le moteur concerné. Après quoi il a fallu attendre que son alternateur se substitue à la turbine de secours. Toutes ces opérations ont été menées à bien par l’équipage dans une durée qui se compte en secondes. Les deux réacteurs sont montés en régime, mais l’avion était encore trop bas (moins de 60 mètres) pour fournir à temps la poussée nécessaire à une reprise d’altitude.
La raison pour laquelle le logiciel a éteint les réacteurs reste à déterminer. D’aucuns avancent l’hypothèse d’un court-circuit électrique suite à une fuite d’eau dans la soute électronique, à partir d’un cabinet de toilette. Cette hypothèse s’appuie sur une telle fuite précédemment constatée sur un Dreamliner et ayant fait l’objet d’une communication de Boeing aux utilisateurs. Un court-circuit s’en serait suivi, arrêtant le fonctionnement des pompes de gavage qui, au sein des réservoirs, entretiennent le flux de kérosène. Mais il est difficile de concevoir une élasticité exactement égale des flux de carburant, au même instant, en provenance de deux réservoirs distincts. En outre, le gavage s’additionne à l’approvisionnement par gravité qui demeure, quoi qu’il arrive, les réservoirs se situant au-dessus des moteurs. Ce sont les pompes haute pression qui alimentent les chambres de combustion. Leur fonctionnement n’est pas électrique, il est entraîné par le compresseur du réacteur. La valve qui admet le carburant dans la pompe haute pression est électrique. Elle est commandée par les interrupteurs du tableau de bord, mais à travers l’ordinateur FADEC.
C’est lui qui a coupé l’alimentation des deux moteurs. Il dispose du pouvoir de se substituer à l’autorité des pilotes. Le schéma des commandes, tiré du manuel d’utilisation du Boeing 787-8, montre en effet que tout passe par le contrôle logiciel des moteurs (EEC)[3]. C’est là que se trouve la cause principale. Elle montre aux ingénieurs « progressistes » l’inaptitude de leur créature à la contextualisation : le FADEC ne peut pas savoir s’il est en vol ou au parking.
On voit sur ce schéma que les ordres des pilotes, par les manettes de poussée et les interrupteurs d’alimentation, sauf la commande de l’extincteur, passent par le logiciel (EEC), avant d’arriver à la valve d’alimentation du moteur.
Il y a un précédent. Le 17 janvier 2019, un Boeing 787 de la compagnie All Nippon Airlines (ANA) a connu une extinction des deux réacteurs pendant un atterrissage à Osaka. L’ordre en a été donné par le logiciel ECE (FADEC), sur la constatation supposée d’un trop fort décalage entre les poussées des réacteurs lors de leur mise en position reverse pour le freinage. Cette dissymétrie, réelle ou supposée (je n’ai pas eu accès au rapport de l’équipage), ne peut survenir lors d’un décollage ; mais nul ne sait quels sont les événements qui peuvent être interprétés dans le même sens par l’informatique embarquée. Les logiciels ont atteint un tel niveau de complexité, qu’ils peuvent surprendre leurs auteurs eux-mêmes.
La responsabilité de l’orientation philosophico-technologique est patente. C’est non seulement le remplacement d’un cerveau humain par un ordinateur, mais, de surcroît, la délégation de l’autorité à ce dernier. Si le FADEC s’était contenté d’avertir les pilotes de la panne constatée (réelle ou supposée), ils auraient pu accomplir un retour et un atterrissage d’urgence. Mais une telle orientation aurait mis un terme au rêve du remplacement des pilotes. Je qualifie cette catastrophe de meurtre idéologiquement programmé. Les avionneurs ne modifieront la hiérarchie entre les pilotes et les systèmes, que si cette catastrophe provoque un mouvement d’opinion suffisamment puissant pour les y contraindre.
Romain Kroës
ancien commandant de bord instructeur,
économiste,
analyste des systèmes embarqués et du rapport homme/machine
[1] https://aaib.gov.in/What’s%20New%20As…
[2] Je ne l’ai pas fait.
[3] Https://randomflightdatabase.fr/Documents/Manuel%20Aviation/787/787-TBC_OM_TBC_C_100215_V1V2_B2P-C.pdf