Vol 501 d'Ariane 5 - Définition
La liste des auteurs de cet article est disponible ici.
Les causes
Un système de guidage inertiel est un ensemble composé d'un appareil informatique, d'accéléromètres et de gyroscopes qui permettent de mesurer les mouvements effectués par un véhicule. L'appareil informatique calcule la position, la vitesse et l'inclinaison du véhicule sur la base des mesures des capteurs. C'est un équipement standard dans les bateaux, les avions, les missiles et les véhicules spatiaux.
Le système de guidage inertiel qui se trouvait dans la fusée Ariane 5 est le même que celui qui équipait les précédents modèles de la fusée Ariane. Le plan de vol d'Ariane 5 est différent de celui d'Ariane 4 et les accélérations sont 5 fois plus fortes. Les valeurs élevées mesurées par les accéléromètres ont provoqué un dépassement de capacité lors du calcul de la position de la fusée par le dispositif informatique du système de guidage.
Tout comme pour Ariane 4, le système de guidage inertiel est en mode de calibrage durant les premières secondes du vol, quand l'incident s'est produit. Le calibrage est maintenu jusqu'au démarrage du pilote automatique après 40 secondes de vol. Sur Ariane 5 il n'est plus nécessaire de maintenir le mode de calibrage au début du vol, il a néanmoins été maintenu pour des raisons de commodité.
L'ordinateur de bord reconnait la défaillance du système de guidage inertiel principal. En cas de défaillance, l'ordinateur de bord se branche au système de guidage inertiel de secours. Il n'a pas reconnu la défaillance du système de secours, et interprété le signal de panne de celui-ci comme une information de trajectoire de la fusée – trajectoire très différente de celle que la fusée suivait. L'ordinateur a alors commandé une violente correction de trajectoire suite à une déviation qui n'a en fait jamais eu lieu.
Le virage serré demandé par l'ordinateur de bord a provoqué un dérapage de la fusée. L'angle d'incidence de plus de 20 degrés dû au dérapage a arraché un des moteurs d'appoint. Un interrupteur de sécurité déclenche l'auto-destruction préventive de la fusée en cas de détachement accidentel des moteurs d'appoint à basse altitude.
Conclusions
Dans le rapport de la commission d'enquête, les points suivants ont été soulevés :
Des simulations en laboratoire ont en principe lieu avant le décollage. La réussite des simulations est nécessaire pour obtenir le certificat de vol. Le système de navigation, utilisé depuis longtemps sur Ariane 4, étant réputé fiable, le Centre national d'études spatiales a demandé de ne pas faire de simulations de vol pour ces appareils, et ainsi économiser 800 000 frs sur le coût des préparatifs.
Réalisées après la catastrophe, les simulations en laboratoire ont permis de vérifier que l'explosion était inéluctable.
Le bug informatique qui a causé la mise hors service des systèmes de guidage inertiel a eu lieu durant la procédure de calibration de l'appareil. La calibration sert à préparer l'appareil avant le vol, mais ne sert plus à rien après le décollage.
Le choix de laisser l'appareil en mode calibrage après le décollage date du début du programme Ariane, plus de dix ans avant l'incident. Il est motivé par le fait que sur les premières fusées Ariane, en cas de retardement du décollage, il était nécessaire de relancer le calibrage, qui durait plus de 45 minutes. Ce n'est plus le cas avec Ariane 5.
L'arrêt automatique du système de guidage inertiel principal en cas d'avarie était un choix de conception décidé longtemps avant l'incident. L'avarie simultanée des deux systèmes de guidage (principal et secours) n'avait pas été envisagé et les conséquences n'avaient pas été anticipées avant le décollage de Ariane 5.
D'une manière générale, le cahier des charges du programme Ariane est tourné sur les erreurs aléatoires et momentanées des appareils. Dans ces cas un appareil de secours identique fait généralement l'affaire. En cas de défaut de construction des appareils, deux appareils identiques sont susceptibles de tomber en panne en même temps.
Une centrale inertielle mesure des grandeurs physiques telles que accélération et vitesse angulaire, qui sont très difficiles à reproduire en laboratoire. Les essais en laboratoires consistent à remplacer les mesures de la centrale inertielle par de fausses valeurs. La vérification de l'ensemble centrale inertielle + ordinateur de bord ne peut se faire que lors des vols d'essai (une pratique courante dans l'industrie aéronautique et astronautique).
Un logiciel ne tombe pas en panne de la même manière qu'un appareil matériel. Un logiciel est le résultat d'une analyse très détaillée, la flexibilité d'un logiciel encourage des demandes très complexes qui sont difficiles à mettre en œuvre et à vérifier.
