Rappel des A320: Le jour où Airbus a décidé de ne pas devenir Boeing
Une chronique de Charles Cuvelliez, Ecole Polytechnique de Bruxelles (ULB) et Jean-Jacques Quisquater, Ecole Polytechnique de Louvain (UCLouvain) et MIT.
- Publié le 10-12-2025 à 13h36
- Mis à jour le 10-12-2025 à 21h53
La difficile décision de rappeler les Airbus A320 pour procéder, non pas à une mise à jour d'un logiciel mais à la réinstallation de la version précédente, est une belle leçon d'arbitrage entre deux risques, aux probabilités de matérialisation très faibles mais aux conséquences plus graves dans un cas que dans l'autre.
Le logiciel en question équipe l'Elevator Aileron Computer, ou ELAC, qui est un calculateur de commandes de vol sur Airbus A320, le modèle le plus vendu au monde. Il interprète les commandes du pilote et les traduit en mouvements précis des gouvernes de profondeur (pour le tangage, c'est-à-dire l'orientation du nez de l'avion vers le haut ou vers le bas) et des ailerons (pour le roulis) en fonction des données des capteurs. Il prévient toute manœuvre dangereuse du pilote. C'est ce qu'on appelle le fly-by-wire, qui a révolutionné la sécurité des avions depuis longtemps et dont l'A320 a été le pionnier : entre le pilote et la commande mécanique, il y a une couche électronique qui sait où ne pas aller (trop loin) quoique que fasse le pilote.
La version L104 du logiciel visait à garder ces protections même en environnement dégradé, en cas défaillance des systèmes de protection (par exemple, la perte de certains ordinateurs, capteurs, ou défaillance hydraulique).
Contrairement à Boeing qui avait attendu deux crashes de son modèle 737MAX (le concurrent de A320) pour s'inquiéter, Airbus gère tout de suite un signal précurseur porteur d'un risque qui n'avait pas été identifié.
Les éruptions solaires
Mais voilà, de fortes radiations solaires sont donc capables d'altérer les données de vol traitées par le logiciel et entraîner des mouvements involontaires des gouvernes de profondeur au point, s'est rendu compte Airbus, sans doute en analysant l'incident du 30 octobre (qui n'est pas allé jusque-là), de dépasser les limites structurelles de l'appareil et le faire décrocher (quoique fasse le pilote).
Les éruptions solaires - car c'est de cela qu'il s'agit - émettent un rayonnement ionisant susceptible de provoquer une corruption de données ou des erreurs électroniques. On les qualifie d'événement unique (SEE) qui provoquent des erreurs transitoires ou permanentes dans les dispositifs électroniques. Elles sont causées par l'impact d'une particule chargée unique, comme un rayon cosmique ou un proton, sur un semi-conducteur. Cette particule perturbe le fonctionnement normal du dispositif. Les SEE peuvent se manifester de différentes manières, notamment par des pics de tension (SET), des basculements de bits (SEU) et des interruptions fonctionnelles (SEFI).
Ce n'est pas nouveau : les satellites sont très exposés au rayonnement cosmique : la protection à mettre en œuvre doit être logicielle et matérielle, avec du blindage, des cages de Faraday et des protections algorithmiques. Ces protections doivent utiliser la caractéristique qu'un tel événement est unique et isolé dans le temps (une stratégie est d'étaler la protection dans le temps).
L'analyse de l'incident devra expliquer pourquoi les deux ELAC ont, semble-t-il, été soumis au même événement cosmique, ici solaire (un ELAC en commande et un ELAC en réserve et en observation, prêt à reprendre la fonction du premier ELAC en cas de défaillance). La corruption de données n'a peut-être pas été considérée comme une défaillance matérielle justifiant la reprise de l'ELAC qui l'a subie par l'ELAC de réserve. Une logique de vote était-elle en place (mais alors il faut au moins 3 ELAC pour avoir un jeu 2 contre 1) ?
Revenir en arrière, une option saine ?
Ce n'est pas fréquent en sécurité logicielle de revenir à une version antérieure (rollback) pour corriger une vulnérabilité. C'est le cas quand la nouvelle version s'avère vulnérable à un facteur externe différent de celui qu'on cherchait à résoudre. Un "rollback" est parfois nécessaire quand la nouvelle version est incompatible avec d'autres systèmes qui l'utilisent mais jamais pour des raisons de sécurité.
A part quelques centaines d'appareils pour lesquels un remplacement de l'ELAC sera nécessaire, la plupart des A320 sont déjà revenus à la version antérieure L103+.Mais il faudra sans doute revenir à la version L104, pour ne pas se passer des améliorations qui amenaient la sécurité de l'A320 au niveau de l'A350. Avec la version L104, il s'agissait de l'initiative "Safety Beyond Standard" (Sécurité au-delà des normes) qui, comme son nom l'indique, va plus loin que les normes. D'autres industries critiques ont la même ambition.
Contrairement à Boeing qui avait attendu deux crashes de son modèle 737MAX (le concurrent de A320) pour s'inquiéter, Airbus gère tout de suite un signal précurseur porteur d'un risque qui n'avait pas été identifié (une corruption de données due au rayonnement solaire capable de sortir l'avion de ses limites structurelles). L'autre risque qu'Airbus voulait couvrir avec L104 ne faisait pas le poids : il est connu et maîtrisable par le pilote sans L104.
Chaque catastrophe a son lot de signaux précurseurs négligés : la Bourse est bien ingrate avec Airbus !
