Le 25 mai 1972, le pilote d’essai de la NASA Gary Krier prit place dans un F-8C Crusader modifié et décolla de la base aérienne d’Edwards. Contrairement à tout appareil antérieur, ce chasseur faisait transiter chaque commande de manche par un calculateur de vol numérique qui actionnait ensuite les ailerons, les gouvernes de profondeur et la dérive. C’était le premier vol d’un avion à systèmes de commandes de vol fly-by-wire numérique sans sauvegarde mécanique[s], et il allait redéfinir la manière dont les hommes pilotent les aéronefs.
Comment les systèmes fly-by-wire ont remplacé les commandes mécaniques
Pendant des décennies, les pilotes contrôlaient les avions par une chaîne physique directe : tirer sur le manche actionnait mécaniquement la gouverne de profondeur via des câbles et des poulies. Ce système était intuitif, immédiat et entièrement tributaire du jugement et des compétences du pilote.
Les systèmes de commandes de vol fly-by-wire ont fondamentalement modifié cette relation. Dans un avion fly-by-wire, les actions du pilote sur les commandes sont converties en signaux électroniques. Des ordinateurs traitent ces signaux et décident comment déplacer les surfaces de contrôle[s]. Le pilote ne commande plus directement l’avion ; il formule une demande, et l’ordinateur décide d’y répondre ou non, et de quelle manière.
La technologie qui a rendu cela possible est venue d’une source inattendue : le programme Apollo. L’ordinateur de guidage qui avait aidé les astronautes à naviguer vers la Lune avait démontré que les systèmes numériques pouvaient être confiés à des vies humaines. Neil Armstrong, après son retour de la surface lunaire, avait plaidé pour le transfert de cette technologie à l’aviation[s].
L’expérience de 13 ans
Le programme F-8 Digital Fly-By-Wire de la NASA s’est déroulé pendant 13 ans et a effectué 211 vols[s]. Les recherches ont démontré que les systèmes fly-by-wire numériques pouvaient être rendus suffisamment fiables pour un usage pratique, et qu’ils offraient des avantages que les systèmes mécaniques ne pouvaient égaler : poids réduit, maintenance allégée, et capacité à faire voler des configurations d’appareils qui auraient autrement été incontrôlables.
Ces travaux de la NASA ont directement influencé la navette spatiale, qui utilisait un système fly-by-wire numérique à quadruple redondance. Lors des essais de la navette Enterprise en 1977, un problème d’oscillation induite par le pilote est apparu à l’atterrissage, causé par un délai dans le système de commande de vol[s]. Le problème fut identifié et corrigé grâce aux enseignements tirés du programme F-8.
Deux philosophies s’affrontent
Lorsque les systèmes fly-by-wire sont passés des avions militaires aux appareils commerciaux, deux philosophies de conception concurrentes ont émergé.
Airbus, avec l’A320 en 1988, a introduit le premier avion commercial doté d’une protection complète de l’enveloppe de vol[s]. Ce système empêche les pilotes de dépasser les limites structurelles et aérodynamiques de l’appareil, même s’ils le tentent. Tirer trop fort sur le manche latéral, et l’ordinateur refusera de cabrer l’avion au-delà de l’angle de décrochage. Virer trop fort, et l’ordinateur limitera l’inclinaison. Ces « limites dures » ne peuvent être contournées en vol normal[s].
Boeing a suivi une voie différente avec le 777 en 1994. La philosophie de Boeing stipule que « le pilote est l’autorité finale pour la conduite de l’avion »[s]. Ses systèmes fly-by-wire émettent des avertissements et offrent une résistance accrue, mais les pilotes peuvent les outrepasser en appliquant une force excessive sur les commandes — un choix défendu de longue date face aux autorités de certification[s].
Des conséquences réelles
Les deux philosophies ont été mises à l’épreuve lors de situations d’urgence.
En janvier 2009, le commandant Chesley Sullenberger a fait face à une double panne moteur après que des oiseaux ont percuté le vol US Airways 1549 peu après le décollage de LaGuardia. Lors de la descente d’urgence et de l’amerrissage, la protection de l’enveloppe de vol de l’A320 lui a permis de tirer à fond sur le manche latéral sans risquer le décrochage, tirant le maximum de performances de l’appareil en détresse[s]. Les 155 personnes à bord ont survécu.
Moins de cinq mois plus tard, le vol Air France 447 a offert un dénouement plus sombre. Lorsque les sondes Pitot se sont givrées et ont fourni des données de vitesse incohérentes, les ordinateurs de l’A330 sont passés en « loi alternative », désactivant la protection anti-décrochage. Les pilotes, désorientés par la cascade de pannes, ont effectué des actions sur les commandes qui ont mis l’appareil en décrochage aérodynamique. Sans la protection anti-décrochage habituelle, l’avion s’est abîmé dans l’Atlantique, tuant les 228 personnes à bord[s].
Le bilan global de sécurité plaide en faveur de la protection de l’enveloppe. Airbus indique que les accidents dus à la perte de contrôle ont été réduits de 89 % pour les avions équipés d’une protection complète de l’enveloppe de vol[s].
Un débat toujours ouvert
La question de l’autorité du pilote reste sans réponse définitive. Airbus soutient que la protection de l’enveloppe « libère le pilote de l’incertitude »[s] en permettant des manœuvres d’évitement maximales sans crainte de solliciter excessivement la cellule. Boeing maintient que les pilotes doivent conserver le contrôle ultime pour faire face à des situations imprévues.
Les deux positions ont leur mérite. Ce qui a débuté avec le vol d’essai de Gary Krier en 1972 est devenu le fondement de l’aviation moderne, les systèmes de commandes de vol fly-by-wire étant désormais standards sur la quasi-totalité des grands aéronefs. La technologie a permis des conceptions d’appareils qui auraient autrement été ingouvernables, de la navette spatiale au bombardier B-2[s]. Mais la question fondamentale posée par ce premier vol demeure : lorsque pilote et ordinateur ne sont pas d’accord, qui doit avoir le dernier mot ?
Le 25 mai 1972, le pilote de recherche de la NASA Gary Krier a effectué le premier vol d’un avion à systèmes de commandes de vol fly-by-wire numérique fonctionnant sans capacité de réversion mécanique. Le banc d’essai F-8C Crusader utilisait un système de guidage, navigation et contrôle primaire Apollo adapté à usage aéronautique[s]. Ce vol a validé le principe fondamental du fly-by-wire numérique : le traitement électronique des signaux et le contrôle médié par ordinateur peuvent remplacer les liaisons mécaniques directes dans des applications aérospatiales à enjeux critiques de sécurité.
Architecture des systèmes fly-by-wire modernes
Les systèmes fly-by-wire contemporains utilisent plusieurs calculateurs de commande de vol numérique redondants qui traitent les entrées du pilote provenant de transducteurs montés sur la colonne de commande ou le manche latéral. Ces calculateurs exécutent des lois de commande, des algorithmes qui traduisent les ordres du pilote en commandes de déflexion d’actionneurs, en tenant compte des conditions de vol actuelles, de la configuration de l’appareil et des limites de protection.
Le programme F-8 a démontré que les systèmes fly-by-wire pouvaient procurer des avantages significatifs : réduction du poids du système par suppression des composants mécaniques, diminution des besoins de maintenance, et possibilité d’implémenter des lois de commande avancées impossibles avec les systèmes hydro-mécaniques[s].
Point crucial, le fly-by-wire permet une stabilité statique réduite. Plus un avion est aérodynamiquement instable, plus il peut être manœuvrant. Un ordinateur surveillant l’attitude à haute fréquence peut compenser une instabilité qui dépasserait les temps de réaction humains[s]. Le F-16, l’un des premiers chasseurs de production fly-by-wire, exploite ce principe pour des performances au combat supérieures.
Lois de commande et protection de l’enveloppe de vol
L’Airbus A320, introduit en 1988, a été le premier avion commercial avec une protection complète de l’enveloppe de vol intégrée à ses lois de commande[s]. Bernard Ziegler, vice-président senior ingénierie d’Airbus, a piloté ce développement[s].
Les systèmes fly-by-wire Airbus implémentent plusieurs modes de protection dans leur configuration « Loi Normale »[s] :
- Protection haute incidence : Limite les ordres de tangage pour prévenir le décrochage aérodynamique
- Protection grande vitesse : Prévient les survitesses susceptibles de causer des difficultés de contrôle ou des dommages structurels
- Protection d’assiette en tangage : Contraint l’angle de tangage pour éviter les montées ou descentes excessivement raides
- Protection d’angle de roulis : Limite l’angle et le taux de roulis pour prévenir une inclinaison excessive ou l’inversion
- Protection en facteur de charge : Maintient l’accélération verticale dans les limites structurelles
- Protection alpha-sol : Augmente automatiquement la poussée lorsque des états de faible énergie sont détectés
Ces protections fonctionnent comme des « limites dures » en Loi Normale. Le pilote ne peut pas les contourner sans que le système ne passe en Loi Alternative ou Directe, ce qui nécessite généralement plusieurs pannes simultanées[s].
Boeing contre Airbus : limites souples contre limites dures
L’implémentation fly-by-wire de Boeing sur le 777 reflète une philosophie différente. La position déclarée de Boeing : « Le pilote est l’autorité finale pour la conduite de l’avion »[s]. Les systèmes fly-by-wire du 777 fournissent un retour haptique et des gradients de force de commande accrus à l’approche des limites de l’enveloppe, mais les pilotes peuvent outrepasser ces « limites souples » en appliquant une force suffisante[s].
Ce choix de conception préserve la continuité avec les caractéristiques de vol des appareils Boeing antérieurs, simplifiant les transitions d’équipage au sein de la flotte. Il reflète également la conviction que des situations d’urgence imprévues peuvent nécessiter de dépasser les limites normales de l’enveloppe de vol.
L’incident du vol China Airlines 006 en 1985 illustre l’argument en faveur de la capacité d’outrepassement. Le Boeing 747SP-09 est entré en descente incontrôlée après une extinction moteur et une mauvaise gestion. Le redressement a nécessité un facteur de charge estimé à 5,5G, soit plus du double de la limite de conception de l’appareil[s]. Un système fly-by-wire à limites dures aurait empêché cette manœuvre.
Modes de défaillance du système
Les systèmes fly-by-wire introduisent des modes de défaillance qui n’existent pas dans les systèmes mécaniques. L’accident du vol Air France 447 a illustré les conséquences lorsque des sondes Pitot givrées ont fourni des données de vitesse incohérentes. Les calculateurs de commande de vol, incapables de concilier les entrées contradictoires, ont dégradé la Loi Normale vers la Loi Alternative, supprimant la protection anti-décrochage. L’équipage, confronté à des pannes en cascade et à des indications de vitesse erronées, a appliqué des ordres à cabrer qui ont induit un décrochage aérodynamique sans retour[s].
Les pannes du MCAS du Boeing 737 MAX en 2018 et 2019 ont révélé un mode de défaillance différent. Le système d’augmentation des caractéristiques de manœuvre, conçu pour améliorer la stabilité en tangage à fortes incidences plutôt que pour assurer une véritable protection de l’enveloppe, a reçu des données d’incidence erronées et a commandé à plusieurs reprises un cabrage négatif. L’autorité et la persistance du système ont dépassé la capacité des pilotes à le contrer, entraînant deux crashs et 346 victimes[s]. Ces accidents ont mis en lumière de profondes failles dans la surveillance réglementaire du processus de certification.
Redondance et fiabilité
Obtenir une fiabilité acceptable dans les systèmes fly-by-wire nécessite une redondance étendue. Le programme F-8 Phase II de la NASA a développé un système numérique triplex avec des capacités de détection et d’isolation des pannes[s]. Les systèmes fly-by-wire commerciaux modernes utilisent généralement plusieurs ordinateurs, capteurs et actionneurs redondants, avec une logique de vote pour détecter et isoler les composants défaillants.
La navette spatiale utilisait une architecture à quadruple redondance avec quatre ordinateurs IBM AP-101 fonctionnant en parallèle. Le programme F-8 DFBW a directement contribué au développement du système de contrôle de vol de la navette, en identifiant des problèmes matériels et en aidant à résoudre les problèmes d’oscillation induite par le pilote découverts lors des essais de l’Enterprise[s].
54 ans d’évolution
Du vol d’essai de Krier en 1972 aux systèmes fly-by-wire modernes, la technologie a considérablement mûri. Le F-16 a prouvé la viabilité du fly-by-wire pour les chasseurs de production ; le F/A-18 Hornet en 1978 est devenu le premier appareil de production avec un fly-by-wire numérique plutôt qu’analogique[s]. La technologie a permis des conceptions d’aéronefs qui seraient impossibles avec des commandes mécaniques, notamment le bombardier B-2 aérodynamiquement instable et la navette spatiale[s].
Airbus fait état d’une réduction de 89 % des accidents de perte de contrôle en vol pour les avions dotés d’une protection complète de l’enveloppe de vol[s]. Cette statistique plaide fortement pour l’approche à limites dures. Pourtant, la tension de conception fondamentale persiste : le système qui prévient les erreurs du pilote peut aussi l’empêcher d’accomplir l’exploit qui sauve des vies. Les deux possibilités sont réelles. Le débat sur qui doit avoir l’autorité finale, l’humain ou l’ordinateur, demeure la question ouverte la plus cruciale de l’aviation.
