“Fly by wire” ou le pilotage électronique
Il restait à un industriel de prendre le risque commercial d’une telle innovation. Ce fut naturellement le « challenger », Airbus Industrie, qui le prit pour pénétrer le marché du moyen-courrier alors totalement dominé par les deux géants Boeing et Douglas.
Les années 70
Très vite après la dernière guerre mondiale ont crû, dans des proportions considérables, la taille et, avec l’avènement des réacteurs, la vitesse des avions de transport. Les efforts sur les commandes de vol ont rapidement dépassé la capacité des muscles des pilotes. L’utilisation de » tabs » pour piloter les grandes surfaces de gouvernes devenues nécessaires a permis d’y pallier pour un temps. Mais la définition et le réglage de ces tabs étaient délicats et posaient des problèmes de stabilité aérolastique redoutables. On dut donc, déjà sur les Constellations, introduire des servocommandes réversibles.
Même les premiers « jets » commerciaux en restèrent là, plus par tradition de bureaux d’études aguerris que par nécessité. À ma connaissance la Caravelle fut le premier avion de transport civil entièrement piloté sur les trois axes par des vérins hydrauliques irréversibles sans secours mécaniques. C’était, techniquement et psychologiquement, un grand pas franchi.
L’introduction des servocommandes irréversibles rendait nécessaire de restituer artificiellement des efforts pour le pilote.
Avec l’augmentation de l’altitude de vol et du nombre de Mach, il fallut faire face à de nouveaux phénomènes aérodynamiques : restituer une stabilité de vitesse évanescente en haut subsonique, stabiliser le roulis hollandais, cette oscillations en lacet-roulis sur laquelle le pilote se couplait facilement entretenant une valse d’abord inconfortable puis vite dangereuse.
Puis, avec l’arrivée de voilures plus fines, l’on dut faire face à des comportements à basse vitesse désagréables, voire dangereux et des » trims » automatiques, des pousseurs de manche firent leur apparition.
Des normes de sécurité de plus en plus exigeantes obligeaient à doubler, tripler parfois quadrupler tous ces automates. Le long cheminement de plusieurs voies de câbles dans des avions qui ne cessait de grandir posait des problèmes diaboliques de frottement, de dilatation, de protection. Il fallait même se prémunir contre le blocage d’une ligne de commande en insérant des systèmes de découplage.
Sans que les pilotes en aient toujours parfaitement conscience, il devenait impossible de piloter régulièrement ces machines sans l’aide de tous ces automates.
Telle était la situation dans les années 70, lorsque furent mis en service les premiers gros porteurs (Wide bodies). Certes tous les problèmes étaient résolus mais par des solutions de plus en plus complexes qui posaient de solides casse-têtes aux pilotes lorsqu’ils devaient changer de machine et aux mécaniciens qui entretenaient et réglaient ces mécanismes.
En revanche, les problèmes posés par le vol d’un gros avion supersonique civil paraissaient ainsi pratiquement insolubles. Le Concorde fut donc le premier avion civil doté d’un pilotage électronique. Les commandes étaient actionnées par des vérins électro-hydrauliques dirigés par le pilote au travers de calculateurs analogiques. Cependant, par prudence vis-à-vis d’un système si nouveau, l’ensemble restait doublé par un système de dernier secours mécanique, un peu difficile mais certifiable compte tenu de la très faible probabilité d’utilisation. À ma connaissance ce dernier secours n’a jamais été utilisé en service, au moins dans sa totalité, mais il imposait de maintenir toute la timonerie de câbles et, bien sûr, un manche classique.
Une autre grande nouveauté fit son apparition sur le Concorde : le calculateur digital.
Le pilotage des entrées d’air dans tout le domaine de vol était d’une telle complexité qu’il fallut faire appel à cette toute nouvelle technologie pour le traiter.
La conception
L’expérience accumulée sur le Concorde entre autres dans ce domaine, avait convaincu les bureaux d’études européens qu’une nouvelle voie de pilotage était ouverte pour tous les avions. On ne répétera jamais assez combien le « désastre économique » de cet avion permit le véritable décollage de l’industrie aéronautique européenne, comme, plus tard, un autre « désastre économique », l’exploration lunaire, permit des avancées fantastiques à la haute technologie des États-Unis. Cela devrait faire méditer les amateurs de « business plan » à court terme.
La maturité atteinte par les calculateurs numériques et le fantastique potentiel de calcul qu’ils promettaient firent le reste. Disons, pour être honnête, qu’il y eut même au début un enthousiasme un peu excessif : les calculateurs digitaux étaient considérés comme très économiques et sans problèmes (free of charge, free of trouble). Il fallut par la suite quelque peu déchanter mais peut-on avancer sans quelques illusions ?
La prudence dictait aux anciens de ne faire d’abord qu’un premier pas et les premiers dessins d’une nouvelle architecture de commandes de vol ne prévoyaient en commande tout électronique que la seule chaîne de lacet. Au sein des bureaux d’études, des esprits plus jeunes voulaient franchir le pas sur les trois axes d’un seul coup. Cette tendance était fortement soutenue par des ingénieurs et pilotes d’essai, lassés des imperfections des commandes classiques et des difficultés, parfois extrêmes, de leur mise au point. Leur vieux rêve, jusque-là inaccessible, de qualités de vol irréprochables leur paraissait maintenant à portée de main.
Un compromis fut trouvé par le biais d’une architecture imaginative : franchir complètement le pas sur les deux axes majeurs, tangage et roulis, mais conserver en commandes classiques le trim de profondeur et la direction. On conservait ainsi un » secours » sur le tangage par le trim et en latéral par le roulis induit par la direction. Ce ne pouvait être que d’un pilotage plutôt acrobatique mais démontrable si la probabilité d’occurrence était suffisamment faible. Les bureaux d’études se faisaient fort de démontrer une probabilité d’occurrence quasi nulle, en matière d’aéronautique cela veut dire inférieure à 10–9. À titre de référence, tous facteurs confondus, la probabilité d’accident sur les meilleurs avions (les plus modernes) est aujourd’hui légèrement inférieure à 10–6, ce qui est déjà tout à fait remarquable.
Cette architecture avait de grands mérites :
. elle permettait un gain de masse conséquent, de l’ordre de 250 kg sur un avion de taille moyenne, soit trois passagers !
. elle promettait des gains extrêmement substantiels sur les coûts de maintenance. Elle permettait théoriquement de totalement protéger l’avion contre les excursions hors du domaine de vol. Nous y reviendrons. Il devenait possible de concevoir une famille d’avions de toutes tailles, ressentis identiquement par l’équipage, ce qui laissait espérer des gains importants dans les coûts d’entraînement et promettait à terme une amélioration notable de la sécurité ;
. elle permettait enfin d’ouvrir la voie à tous les développements futurs concevables, y compris l’introduction d’avions naturellement instables.
Il restait à mettre la cerise sur le gâteau.
Mon professeur d’architecture à l’X nous avait expliqué que le matériau imposait largement l’architecture. Le gothique qu’imposait la pierre aux cathédrales devenait grotesque avec le béton ! Dans un cockpit, le gothique c’était le manche ou le volant qui permettait à un pilote arc-bouté de tirer plus de cinquante kilos pour braquer la gouverne de profondeur. Ce volant devenait superfétatoire pour commander un calculateur que l’on pouvait parfaitement piloter avec un mini-manche (joy stick). De plus, il encombrait les cockpits et cachait largement la planche de bord. Mais sa suppression se heurtait à deux obstacles. L’un, factuel, était qu’il retransmettait sous forme de déplacements et d’efforts des informations essentielles à l’équipage. L’autre était d’ordre essentiellement psychologique : les pilotes y étaient habitués !
Il était industriellement impossible, et d’ailleurs peu conforme à l’évolution souhaitée, de réaliser un mini-manche restituant des efforts et des déplacements variables. La seule réponse, aux deux problèmes, était donc de trouver des lois de pilotage qui rendraient le mini-manche naturel et vite habituel.
Heureusement, l’on disposait en tangage, l’axe le plus difficile, d’une loi mise au point sur Concorde, encore lui, la loi dite C*. Cette loi lie linéairement l’ordre pilote et le facteur de charge produit : pas de déplacement maintient 1g, donc une trajectoire rectiligne. Toute loi de pilotage doit être bornée aux limites du domaine de vol, là où les réactions aérodynamiques cessent d’être linéaires. Sur un système classique, des efforts excessifs avertissent le pilote de l’approche des limites. Sur un système électronique il était possible de borner les ordres à la sortie de la loi C* par des limites dures. Nous tenions là un bon outil.
En roulis nous adoptâmes une loi déplacement/taux de roulis bornée elle aussi par des limites dures en inclinaison (interdisant de passer sur le dos).
Un des grands avantages de cet ensemble était de rendre l’avion remarquablement homogène quels que soit sa masse, son centrage et sa vitesse. Élégante solution à un très vieux problème : un avion classique est mou à basse vitesse, aux centrages avant, très sensible à grande vitesse, aux centrages arrière, il ne faut pas se tromper dans l’amplitude de ses réactions.
La flexibilité de l’outil dont nous disposions nous permit d’ajouter bien d’autres améliorations. Par exemple, une augmentation du facteur de charge proportionnelle à l’inclinaison permettant une coordination souple de la profondeur et du gauchissement, une facile maîtrise du dérapage en virage qui aurait ravi nos moniteurs d’école de pilotage, un contre partiel de la panne de moteur et bien d’autres.
Quant à la forme et à la cinématique du mini-manche lui-même, des essais effectués sur simulateur puis sur un Concorde expérimental avaient largement dégrossi le problème. Le choix s’était porté sur un mini-manche à déplacements faibles et efforts proportionnels, avec tout de même une double pente pour faciliter les petites corrections. Cette solution avait été jugée plus humaine qu’un pilotage aux efforts purs pourtant adopté sur un chasseur U.S. après de nombreux essais.
Lancement
Il restait à convaincre le grand patron.
Il existait à l’époque dans la petite équipe d’Airbus Industrie une grande symbiose entre commerçants, industriels, ingénieurs et navigants, même les financiers partageaient nos enthousiasmes aéronautiques.
Le grand patron, qui était un entrepreneur et commerçant avisé, restait aussi un navigant dans l’âme et un grand ingénieur capable de voir loin dans le futur. Il ne fut pas difficile à convaincre.
Notre ambition à l’époque était de lancer un moyen-courrier, ce qui deviendra l’A320. Je suis convaincu qu’au-delà de son enthousiasme de professionnel pour cette solution d’avenir, ce fut la difficulté de pénétrer un marché alors totalement dominé par les tout-puissants concurrents d’outre-Atlantique qui arracha sa décision. Il fallait mettre l’enjeu technique au niveau de l’enjeu commercial.
Développement
La mise au point d’un système de commande de vol est toujours une opération délicate. L’on travaille en effet sur une boucle qui comprend des éléments artificiels, assez facilement maîtrisables en laboratoire, et un équipage de nature extrêmement variable. Culture et habitudes, imagination, psychologie, préoccupations et fatigue sont des éléments pratiquement impossibles à correctement modéliser surtout lorsque l’on a affaire à des hommes de tous âges et venant de tous horizons.
Bien entendu la nouveauté du système compliquait encore la tâche face à une population de pilotes naturellement conservatrice (il ne faut pas oublier qu’ils doivent passer un examen d’aptitude tous les six mois, ce qui ne leur rend pas les révolutions techniques très sympathiques).
Dans bien des domaines cette même nouveauté rendait surannés des documents de certification reposant bien souvent sur le seul savoir-faire d’une époque dépassée. Il nous fallut bien souvent retrouver l’esprit dans une lettre qui perdait son sens, et il fallut le faire en accord avec les cinq autorités de certification que notre monde divisé comportait.
Des moyens considérables furent mis en œuvre, techniques et humains.
Après de longs mois de simulation au sol, l’un des prototypes du premier Airbus, un A300B2, fut transformé en simulateur volant : pilotage électronique de la place gauche, classique de la place droite. Nous fîmes voler des centaines de pilotes, pilotes d’essai, pilotes des multiples services officiels mondiaux, pilotes commerciaux de nombreuses compagnies, jeunes brevetés et vieux chibanis, de tous âges, de toutes nationalités. Très au-delà des essais classiques, nous imaginâmes et fîmes jouer de nombreux scénarios, dans les deux modes de pilotage sur la même machine, pour comparer résultats et charges de travail.
Nous fîmes cependant quelques découvertes, parfois inattendues, et dûmes apporter des centaines de modifications.
Par exemple, la loi C* ne permettait pas un atterrissage précis. D’instinct les pilotes refusent le sol, avec une loi par nature constante, ils montraient une forte tendance à se mettre parallèle à quelques centimètres de la piste et il fallut introduire dans la phase finale de l’arrondi une tendance à piquer forçant l’avion vers le sol.
En roulis nous découvrîmes un changement radical de la sensibilité de perception du pilote au-dessous d’une centaine de pieds. Au-dessus nous pilotons à un degré prés, au-dessous à un dixième de degré. Il fallut modifier en proportion la sensibilité de la commande en fonction de la hauteur au-dessus du sol.
Dès le départ de l’expérimentation en vol, le pilotage s’avéra remarquablement aisé, nous sûmes dès le premier vol que nous étions sur la bonne voie. Au cours des essais, aucun des pilotes néophytes qui défilèrent aux commandes, parfois sans aucun entraînement préalable, n’eurent le moindre problème d’adaptation.
Il nous fallut même inventer de nouveaux instruments, comme cette bille électronique permettant un pilotage plus fin en cas de panne moteur. Voilà un cas typique de la nécessité de rechercher un compromis : le contre automatique de cette panne que nous avions introduit améliorait considérablement la sécurité immédiate mais compromettait ensuite la recherche de la meilleure performance.
Ces essais nous permirent de trouver une solution à une caractéristique sujette à polémiques parfois passionnées. Pour des raisons de sécurité, il nous était pratiquement impossible d’asservir les deux mini-manches. Cela paraissait pourtant indispensable à beaucoup de commandants de bord qui voulaient pouvoir aisément détecter toutes les actions du copilote, cela ne nous paraissait pas nécessaire puisqu’il existait désormais une relation biunivoque entre l’ordre du pilote et le mouvement de l’avion, les mouvements dus à l’atmosphère étant automatiquement contrés.
Les ordres des deux manches s’ajoutaient algébriquement et un bouton de priorité permettait à l’un ou l’autre des pilotes d’éliminer temporairement l’autre commande. Il fallut mettre au point cette logique, il fallut surtout convaincre. Pour ce faire, nous disposâmes une sorte de paravent entre place gauche et droite et tout au long du vol, y compris dans les phases les plus critiques le pilote de droite introduisait des ordres, parfois aberrants, que le pilote de gauche, non prévenu, devait détecter et corriger. L’instinct eut raison de toutes les tentations de tricherie. Tous ne furent pas tout à fait convaincus, mais une fois de plus la solution apparut comme un heureux compromis entre la plus grande facilité de reprise en main et un certain appauvrissement de la surveillance.
Il fallut attendre les essais en vol de l’A320 pour calmer une autre controverse au moins aussi passionnée. Elle portait sur certaines des protections dures du domaine de vol que nous avions mis en place.
Les protections d’inclinaison latérale et de vitesse excessive furent facilement acceptées.
La protection contre le décrochage fit l’objet de quelques discussions qui relevaient plus d’une certaine psychose contre les automates que d’arguments opérationnels mais les avantages étaient si éclatants qu’elles firent long feu (elles furent indûment ravivées plus tard à l’occasion d’un dramatique accident). Cependant sa mise au point fut laborieuse. Il nous fallait garantir, sous l’œil vigilant des services officiels, l’obtention de la portance maximum sans jamais verser dans le décrochage quelle que fut la dynamique de l’approche. Pas facile lorsque portance et incidence ne marchent plus du même pas. Cela nous fit faire quelques belles galipettes.
Il restait la protection contre les facteurs de charge excessifs qui fit couler beaucoup d’encre : la structure de tous les avions civils est calculée pour un facteur de charge limite de 2,5 g. Bien entendu des marges considérables sont prises et bien d’autres facteurs entrent en jeu dans le dimensionnement de la structure, tant et si bien qu’il est très généralement possible de » tirer » davantage sans briser l’avion. Mais ce ne peut être garanti et si le seuil de rupture est dépassé il n’y a pas de retour.
Nous nous étions posé la question de l’utilité réelle de cette possibilité laissée au pilote de » tirer » d’avantage en cas extrême, pour éviter une collision par exemple. De longues recherches nous avaient montré qu’il n’existait aucun cas enregistré où un facteur de charge plus élevé aurait évité la catastrophe, qu’il existait plusieurs cas où une limitation aurait évité de très graves et inutiles endommagements et dans certains cas la rupture définitive, et, enfin et surtout, que certaines collisions auraient été évitées si le pilote avait » tiré » tout de suite sans hésitation jusqu’au maximum permis, mais qu’il ne pouvait mesurer dans l’urgence.
PHOTO AEROSPATIALE
La logique commandait donc cette limitation à l’autorité du pilote mais il fallait convaincre quelques irréductibles qui allaient jusqu’à dire qu’ils voulaient pouvoir choisir leur mort (que vaut un choix lorsque l’on est dans l’incapacité de peser l’un des termes ?). Nous dûmes faire quelques vols avec ces irréductibles en leur demandant de » tirer » aussi fort qu’ils s’en ressentaient. Cela demandait une belle confiance dans le système. Aucun d’entre eux, jamais, n’atteint la limite imposée ce qui confirmait bien une réticence instinctive que seule l’assurance d’un solide garde-fou pouvait vaincre.
Une crainte très généralement répandue portait sur la fiabilité de notre électronique. Échaudés par l’extrême difficulté d’éliminer tous » bugs » d’un programme informatique tant soit peu sophistiqué, certains grands spécialistes mettaient en doute la sûreté de nos chaînes électroniques de pilotage. Tout système, qu’il soit mécanique, hydraulique ou électrique, est faillible, nous ne prétendions pas là à l’infaillibilité mais n’avions pas ménagé nos efforts pour rendre extrêmement improbable un mauvais fonctionnement fatal : cinq calculateurs indépendants, appartenant à deux familles distinctes, conçus et fabriqués par deux fournisseurs différents, deux chaînes de calcul dissimilaires dans chaque calculateur avec des comparaisons à l’entrée et à la sortie, tous les senseurs doublés ou triplés. Nous avions mis toutes les chances de notre côté. De fait, après des années d’exploitation, aucune panne non détectée n’est survenue.
Toutes les précautions imaginables avaient été prises pour éviter toute interférence électromagnétique. Mais l’on parlait dans le domaine militaire de sources d’émission aux puissances considérables, dans des fréquences débordant largement le domaine familier aux civils. D’ailleurs la rumeur de quelques accidents survenus à des avions militaires relevant de la même technologie nous inquiétait, bien que nous ne sachions pas grand-chose ni des architectures ni des circonstances gardées secrètes. Aussi nous prîmes, avec quelques peines, rendez-vous avec un centre de recherche réputé équipé des plus terrifiants émetteurs. Un avion y fut convoyé. Il fut mis sous tension, tous équipements et toutes commandes branchés et l’équipage fut prié de quitter le bord, compte tenu des risques physiologiques.
Les ingénieurs du centre d’essai commencèrent le bombardement de la malheureuse machine, se faisant fort de tout faire sauter en quelques minutes. Après plusieurs heures d’essais, tout fonctionnait encore parfaitement et nous n’eûmes plus qu’à boire le champagne. Nous eûmes très vite à nous féliciter des précautions prises. Lors de la campagne d’essai de givrage, il nous fallut aller chercher les bonnes conditions de formation imposées par une norme exigeante dans des cumulo-nimbus virulents. L’avion fut frappé 17 fois par la foudre, qui provoqua des dommages structuraux significatifs, mais ni les commandes de vol ni aucun de nos systèmes digitaux n’eurent le moindre hoquet.
Il va de soi qu’il y eut bien d’autres essais, bien d’autres controverses, d’autres corrections d’erreurs, d’autres améliorations, mais tout fut fini, certifié avec quelques jours d’avance sur le programme défini cinq ans auparavant.
Mise en service
Comme pour tout avion complètement nouveau, la mise en service ne se fit pas sans difficultés. De nombreuses mises au point furent nécessaire avant d’atteindre la disponibilité que nous offrons aujourd’hui, la meilleure du monde.
À ces difficultés prévisibles car, par nature même, les essais ne peuvent complètement couvrir l’exploitation, s’ajoutèrent quelques difficultés d’accoutumance. Avec les équipages partagés entre un enthousiasme parfois excessif et une méfiance tout aussi excessive. Il faut dire que notre avion cumulait beaucoup de nouveautés, à commencer par la systématisation de l’équipage à deux, sujet de grandes controverses à l’époque.
Aussi avec les équipes d’entretien qui devaient passer de la mécanique à l’électronique sans avoir fait dès l’école la transition du calcul mental à la calculette ou du tour à manivelle à la fraiseuse digitale. Il faut ajouter que notre système électronique d’analyse de panne fut long à mettre au point et qu’au début il ne leur facilitait guère la tâche.
Quelques accidents endeuillèrent les premières années d’exploitation, aucun ne fut dû à une défaillance de l’avion et tout particulièrement du système de commande de vol, mais cela maintint pour un temps une atmosphère suspicieuse sur les démons de l’informatique.
Cela est aujourd’hui bien fini. Depuis l’A340, le quadrimoteur long-courrier, jusqu’au petit A319, une grande famille a pu être créée autour de l’A320. Les équipages peuvent passer de l’un à l’autre sans dépaysement. Des grands au petit frère, près de mille Airbus » fly by wire » volent sur les cinq continents, sous les drapeaux d’une centaine de compagnies aériennes, entre les mains de plus de dix mille pilotes. Cette flotte vient de franchir le cap des dix millions d’heures de vol avec une disponibilité et une sûreté au moins égales aux meilleurs. Et, bien sûr, ce n’est pas fini…
