L'espace, les succés, les échecs

Consultant en management, maîtrise des risques, sécurité des vols avions et systèmes spatiaux, Jean Pierre MAGNY est un ancien de l'Agence Spatiale Européenne (ESA).

Son expérience a été très tôt orientée vers les programmes de coopération internationale avec le moteur franco-allemand de l'Alphajet dont il coordonna la production.

Directeur qualité d'Arianespace dans les années 1980, période où le sort d'Ariane s'est joué après les premiers échecs, il s'est fortement impliqué dans un gros effort de requalification et d'amélioration de l'organisation. Il a continué ensuite à l'ESA à auditer les projets, enquêter sur les échecs, définir les mesures correctives et les méthodes de management pour réduire les risques.

Sa position d'officier de réserve, pilote de chasse, contribua à le désigner comme point focal entre les aviations civiles et l'Agence Spatiale pour les programmes de navigation par satellite.

Il est aussi professeur vacataire de :

• Risk management à l'Ecole Normale Supérieure
• Systèmes de Navigation à l'Ecole Nationale de L'Aviation Civile.

Son analyse des deux derniers accidents spatiaux nous est donc précieuse et elle replace bien ces catastrophes dans notre univers cindynique

NDLR

Introduction

L 'échec du 17 e lancement d 'Ariane 5, la catastrophe de Columbia sont deux évènements majeurs qui soulèvent beaucoup de questions sur la fiabilité de ces véhicules.Cet article vous propose de passer en revue les caractéristiques des programmes spatiaux,les facteurs de risques,les causes des accidents et d 'en dégager une démarche de maîtrise des risques dans laquelle,l 'analyse des causes doit permettre d 'éviter les mêmes pièges.Les embûches sont nombreuses et la tâche très difficile.

L 'accident de la navette Columbia,est trop récent pour tirer des conclusions,mais l 'accident de Challenger apporte des enseignements précieux.

Les exemples d 'échecs cités dans le texte ne sont pas confidentiels,mais la hiérarchie des causes, est présentée sous un éclairage peut-être différent des communiqués officiels.

Caractéristiques des grands programmes spatiaux

Niveau technologique.

Ils sont certes d 'un niveau technologique élevé et mettent en œuvre des concepts spécifiques,mais beaucoup d 'éléments ne présentent pas d'innovations particulières.On ne peut pas dire que les turbopompes d 'un lanceur sont plus évoluées techniquement que les turboréacteurs, ni que les boosters à poudre sont plus évolués que les propulseurs d 'un missile M4.Il en est de même pour les équipements électroniques et les structures. Il y a par contre d 'importants changements de configuration d 'un programme à l 'autre.E ntre un Airbus A300 et un A320, il y a trente ans d 'écart, mais toujours la même configuration générale. Entre une fusée saturne et une navette spatiale, comme entre Ariane 4 et Ariane 5, les énormes différences d'architecture apparaissent. Elles affectent les techniques, les moyens de production, l 'expérience acquise et changent les partenaires.

Organisation

La complexité de l 'organisation est un fait d 'importance majeure.Les programmes en coopération internationale, doivent associer plusieurs pays et de nombreux industriels dans une structure avec 4, 5 voire 6 niveaux de sous-traitance. Le schéma industriel est souvent spécifique d 'un projet. Certains partenaires ont déjà produit des éléments similaires,mais pas dans une même structure. L 'organisation et ses multiples composantes,dont la communication,doivent être sans failles dès le début. Les partenaires de culture différente devront apprendre à se connaître,à travailler ensemble en évitant les incompréhensions aux conséquences graves. Dans l 'aéronautique tout le monde se connaît,raisonne avec les mêmes valeurs,et fabrique à peu près les mêmes choses depuis 30 ou 40 ans. Le domaine de l 'espace est plus proche des débuts du nucléaire civil ou il a fallu faire travailler des plombiers, des entreprises du bâtiment avec des règles strictes de gestion technique sur des systèmes qu 'ils ne connaissaient pas.

Aux USA,les contraintes dites de "Retour Géographique "n 'existent pas comme telles, mais la NASA aussi, fait face à des structures composées de multiple contractants et sous contractants répartis sur un vaste territoire. L 'organisation est également différente d 'un projet à l 'autre.

Dans tous les cas il faut assurer la coordination d 'ensemble tout en évitant que chaque interface soit génératrice d 'erreurs et s 'érige en barrière d'informations. Cette information doit fonctionner de haut en bas pour définir ce qu 'il faut faire et de bas en haut afin de vérifier les résultats et transmettre les alertes Dans une organisation stable,comme elle l 'est d 'un avion à l 'autre,les rôles de chacun sont clairement définis depuis longtemps. Les procédures de travail sont rodées, tout le monde se connaît et les coups de téléphone pallient aux imperfections possibles de l'organisation.

Structures mentales et psychologie.

Dans une organisation nouvelle,il faut définir et commencer par découper le travail pour allouer des tâches de façon précise.Il faut aussi définir les interfaces entre les éléments de l 'organisation, les règles de communication et les fonctions de coordination

C'est le rôle d'un architecte de l'ensemble. Il dirige un immense orchestre composé d'une centaine de petites formations et de milliers d'exécutants. Cette fonction est fondamentale Sans elle,il n 'y aurait pas d 'Airbus,pas d 'Ariane,pas de TGV etc.C 'est une tâche difficile qui requiert des aptitudes particulières. Certaines structures mentales sont peu adaptées à cette approche globale souvent mal comprise de ceux qui aiment cloisonner leur activité de façon hermétique. Dans une société humaine, tout le monde ne peut pas devenir chef d'orchestre, encore faut-il que l'importance de cette fonction soit reconnue.

Ce rôle est jalousé et convoité. Mais avant de le revendiquer, tout prétendant doit mesurer pleinement la difficulté de la tache et vérifier ses compétences.

Souvenez-vous d 'EUROPA,infortuné lanceur européen des années 60,prédécesseur d 'Ariane.Il y a eu 8 lancements,8 échecs.La fusée avait trois étages développés par trois pays différents.Ils fonctionnaient parfaitement de façon individuelle mais jamais correctement ensemble.Une maîtrise d 'œuvre ou une coordination globale était considérée comme une atteinte à la souveraineté nationale des pays concernés.Rares étaient ceux qui étaient conscients des risques résultant de ce comportement,tant au niveau des entreprises qu 'au sein des entités politiques responsables.

Difficulté supplémentaire,les cadres dirigeants n 'ont pas toujours appris ce métier et ne sont pas forcément conscients des difficultés,ni du processus de décision qu 'impliquent de telles structures.Une querelle entre chefs d 'état pour la maîtrise d 'œuvre de l 'ensemble (ex Galileo), aboutira sans doute à une décision très politique mais les compétences rares d 'architecte d 'ensemble seront peut-être éliminées si elles n 'ont pas la bonne nationalité.

L 'espace est un domaine ou beaucoup d 'idées directrices viennent des scientifiques.Il n 'est donc pas étonnant que le domaine de la recherche soit moteur et par son prestige influence état d 'esprit et motivations. Faut-il encore que les concepts théoriques des scientifiques soient rendus faisables par des réalisateurs capables de prendre en compte les problèmes triviaux de production et d 'organisation pour en faire des systèmes qui fonctionnent avec une bonne probabilité de succès.

Nous avons un exemple remarquable avec le satellite XMM (Xray Multi Mirror) de l 'Agence Spatiale Européenne.C 'est une sorte de télescope à rayons X, (ils sont émis par les galaxies,trous noirs en particulier).Ces miroirs qui ressemblent à des cylindres avec des génératrices à faibles courbes. L 'équipe de projet a tenu à bout de bras un industriel qui n 'avait jamais rien fait de semblable,pour lui faire fabriquer ces miroirs que personne n 'avait réussi à produire en Europe avec les tolérances de quelques _. L 'ensemble du satellite avec son "segment sol "a été conçu et réalisé dans une organisation multinationale complexe avec un succès total en orbite.La qualité de la coordination d 'ensemble avec les industriels du programme et les scientifiques se retrouva bien sur lors de l 'intégration du satellite et des essais au sol,puis dans l 'espace.Ils battirent tous les records de performances et de délais. Grâce à l 'excellence du management,les dépenses furent inférieures aux prévisions et le reliquat a été reversé aux autres programmes scientifiques européens.Les échecs attirent la curiosité, délient les langues, mais il faut aussi commenter des réussites.

Après de tels succès,les équipes de projet sont souvent dissoutes,se retrouvent en ordre dispersé sur d 'autres programmes,dans une structure industrielle différente. Sait-on toujours retransmettre le savoir-faire à une autre équipe ?Oui,quelquefois,aujourd 'hui l 'ATV (Automatic Transfer Vehicle,le vaisseau "Progress " européen pour ravitailler la station spatiale internationale avec Ariane 5) a fait le bon héritage.

Durée entre programmes

Il y a 20 ans d 'écart entre Ariane 1-4 et Ariane 5. Les dispositions d 'organisations qui permettent à un programme de fonctionner sont prises par des personnes motivées par ce sujet.Ce sont souvent les plus anciennes,l es plus expérimentées, qui partiront en retraite en premier. Les plus jeunes se retrouveront en position de décideurs pour le programme suivant sans avoir forcément été formés, ni motivés à ces disciplines. A ce problème culturel s 'ajoute l'euphorie due aux succès du programme précédent dont on a oublié certaines composantes fondamentales.

Il est même très possible que l 'effort énorme de requalification d 'Ariane 1 après les premiers échecs ait été non seulement oublié,mais perçu sur le moment comme une contrainte perturbatrice.Alors qu 'il aurait fallu incorporer les méthodes spécifiques,mises en oeuvres à cette époque,dans la culture de base des équipes de projet.

Les mêmes problèmes peuvent ressurgir à 20 ans d 'intervalle.Toute organisation a un problème permanent de maintien des connaissances et d'identification de celles qui sont vitales pour sa survie.

De même le lancement du satellite européen SOHO effectué par la NASA est passé très près de la catastrophe.Un incident sur une vanne lors des essais au sol a mis en évidence une anomalie sur une électrovanne.

L 'analyse montra la défaillance d 'une membrane due à un changement de matière.La disparition du fournisseur initial en était la raison.La nouvelle matière n 'avait pas été qualifiée correctement.Cette non-conformité affectait plusieurs vannes dont la défaillance entraînait un arrêt de propulsion.

Méthodologie et Formation

Les efforts méthodologiques accomplis dans les domaines de l 'espace,du nucléaire,de l 'armement, nous ont laissé une documentation abondante et fort bien faite pour le management des organisations complexes et programmes de l 'espace en particulier.Les principes sont parfaitement adaptables aux situations les plus simples,encore faut-il expliquer comment.

Citons les documents militaires US Military Standards,ceux de la NASA,de l 'ESA (les ECSS),du nucléaire,de l 'IEEE et l 'excellente RG Aéro 0040 de la DGA.Ils reprennent tous la même approche.

Mais le caractère exhaustif de cette documentation la rend volumineuse et les principes fondamentaux sont malheureusement noyés dans la masse. La pédagogie en est dramatiquement absente. Au lieu d 'obtenir une culture commune,on assiste à une séparation de castes entre les adeptes de la méthodologie et les opérationnels qui veulent ignorer la "Grammaire " du management en la considérant comme théorique et incompatible avec leurs décisions rapides.Facteur aggravant,méthode et discipline sont trop souvent perçues comme des entraves au pouvoir de décision.

Il y a une différence très nette entre les Etats Unis d 'Amérique et l 'Europe.Aux USA on trouve des enseignements adaptés au management des projets dans un environnement complexe avec une approche globale prenant en compte tous les paramètres.La notion de "Total System Engineering "apparaît clairement dans les cours et les guides du DSMC (Defense Systems Management College).A l 'inverse d 'outre atlantique,il n 'y a pratiquement pas d 'universités ni de grandes écoles en Europe accordant une place réelle à cet enseignement.

Ce problème culturel de base,aggravé par la complexité de la documentation disponible,laisse bon nombre de cadres dans l 'ignorance des principes élémentaires d 'une approche rationnelle.La faiblesse des logiques de développement et de qualification qui en résulte sont en général les plus grands générateurs d 'échecs.

Analyses de pannes.

Un satellite ou un lanceur,à de rares exceptions près, n 'est pas récupéré.Les études de comportement du matériel sont basées sur les télémesures et sur les essais de qualification au sol.Il en résulte une difficulté d 'analyser le comportement des éléments concernés après un échec sans les voir.

Niveau de risque

Un véhicule spatial peut difficilement avoir un niveau de fiabilité très élevé,le niveau de risque reste fort. La navette spatiale présente, par conception, de nombreux points de défaillance unique qu 'il est difficile d 'éliminer. Un taux d 'accident de 1 pour 50 lancements est un bon résultat.Pour un avion de chasse en mission de temps de paix,c 'est 1 pour 100 000 vols. Pour un avion de ligne c 'est 1 accident pour 1 000 000 vols avec un objectif de 1 pour 10 000 000 d 'ici 20 ans. L 'opinion publique perçoit mal les différences,surtout quand la routine des succès a hypnotisé tout le monde.

Les échecs

Quelques exemples significatifs

Ariane 1 &endash; 4 :

• L5, 5 e lancement d 'Ariane 1 fut la conséquence de défaillances de simples pignons de la turbo pompe du 3 e étage.Faits marquants :
  • Le processus de qualification ne prévoyait pas un examen des pièces après essais au sol. Les tenants d 'une analyse de ces pièces ayant finalement réussi à l 'obtenir, ont mis en évidence plusieurs cas de dégradations qui donnaient une idée précise des modes de défaillance et des faiblesses d'exécution de ces engrenages.
  • Un conflit interne portant sur la logique de qualification éclata avant le lancement,mais la décision fut prise de lancer malgré les alertes.
  • Cause de l'échec : logique de qualification des systèmes à durée de vie courte inadaptée avec confusion entre durée de vie courte, absence de démonstration des marges et examen des précurseurs.
  • Faiblesse du raisonnement simpliste :«Ça a marché,c 'est qualifié ?»
• V15 et V17 - Non-allumage du moteur cryogénique du 3 e étage (HM7).
  • Cause : L 'énergie thermique nécessaire à l 'allumage d 'un mélange LOX /LH2 est variable avec la température.Il faut donc un allumeur développant plus d 'énergie si le LOX a été plus fortement refroidi lors de la mise en froid préalable au lancement.Aune température du LOX plus basse que lors de vols précédents le moteur ne s 'est pas allumé.
  • Il y a eu deux échecs successifs avec cette même cause.L 'analyse du premier échec a été incomplète.Le deuxième échec a déclenché une investigation poussée avec une étude de sensibilité des paramètres et démonstration des marges Une revue complète de qualification fut très salutaire pour la suite du programme.

L 'ensemble du programme Ariane 1-4 bénéficia ainsi de nombreuses retouches de l 'organisation et de compléments de qualification qui donnèrent les résultats que l 'on connaît.La dernière Ariane 4 (vol 156) fut lancée en février 2003.

Challenger : que savait-on 18 mois avant l'accident ?

• Cape Kennedy,août 1982,18 mois avant l 'accident, discussion sur la qualité et la sécurité des véhicules spatiaux.Echanges à l 'américaine entre Ariane et la Space Shuttle :«Je te donne une idée, tu me donnes une idée, nous avons chacun deux idées ».Coté navette,Ted un des responsables reparle de son expérience du programme Apollo et de l 'impérative nécessité d 'évaluer la sensibilité des paramètres et les marges correspondantes Avec cette approche, huit évènements majeurs concernant la navette, retiennent son attention.Parmi eux,les boosters.Ils sont récupérés, non pas pour faire des économies, mais pour les examiner après lancement et identifier les évènements précurseurs à partir desquels on construit la fiabilité.Le système d 'étanchéité entre deux segments se compose de deux joints toriques placés en série.Les cas ou un joint a été retrouvé brûlé sont nombreux. Quelques cas de début de dégradation du deuxième joint lui font dire que les marges sont faibles et que la moindre évolution d 'une quelconque variable, entraînera une fuite de gaz chauds et la catastrophe en quelques secondes. Il a obtenu un réexamen du comportement des différents éléments soumis aux charges mécaniques et thermiques,ce qui permit de déceler une erreur dans les modélisations.Les viroles en forme de mâchoires qui maintiennent les joints O ring en place, s 'ouvraient sous les contraintes au lieu de conserver leurs formes, ce qui demandait aux joints O ring, plus d 'élasticité qu 'ils ne pouvaient donner. La température froide de cette fin d 'hiver 1983, réduisit l 'élasticité des élastomères,plus que lors des vols précédents et suffit à créer la fuite mortelle.
• Son immense frustration était de ne pas pouvoir communiquer sa logique et ses certitudes à un niveau hiérarchique suffisant pour agir. Il fallait alors admettre un arrêt des vols de plusieurs mois et faire accepter la décision à tous les niveaux concernés, jusqu'au sommet de l 'Etat.
• Parmi les 8 points établis par lui,avec la même logique,4 à ma connaissance ont entraîné des incidents graves avant adoptions de mesures correctives efficaces.Pitch up en transsonique avec centrage arrière limite après récupération d 'un satellite en orbite ;la perte de contrôle fut évitée de justesse. Destruction d 'un frein arrivé en limite thermique et blocage de la roue à l 'atterrissage en limite de vent de travers.Défaillances en série des calculateurs de bord principaux suivies d 'une rentrée en mode "ultime secours ".

Ariane 5

Des échecs Ariane 5, retenons le dernier appelé vol 517 ou 17 e lancement d 'Ariane 5.Vous avez lu dans la presse qu 'il est du à la défaillance en compression du divergent du moteur principal Vulcain par flambage mécanique.Vous avez aussi lu que la commission d 'enquête a trouvé des évènements précurseurs valables sous forme d'éléments déformés après essais au sol. Leur exploitation aurait permis d 'analyser le phénomène, d'évaluer les marges, la sensibilité des paramètres et de définir les actions correctives au travers d'un complément de qualification. Conclusion sur cet accident ?Vous pouvez vous-même vous forger une opinion en combinant les différents facteurs influents évoqués dans cet article.Je dois vous dire que la fabrication de ce divergent se trouve au 4 e niveau de sous-traitance et à 2000Km de l 'équipe projet !

Conclusion

Comme le montrent les exemples évoqués, on peut dire que :

• Les causes principales des échecs ne sont en général pas liées à des problèmes technologiques pointus.
• La complexité de l 'organisation est un facteur extrêmement défavorable.La faire fonctionner correctement, requiert des compétences,une culture spécifique et une grande motivation.Les dispositions de début de programme sont déterminantes.
• Le rôle de l 'architecte d 'ensemble est fondamental.
• Dans la logique de qualification de systèmes à durée de vie courte, il ne faut pas confondre endurance faible avec absence de démonstration des marges et d'étude de sensibilité des paramètres. Il faut faire comprendre et adopter cette logique aux différents partenaires, acteurs et décideurs au sein de cette organisation tentaculaire.
• La plupart des défaillances ont été précédés d'évènements précurseurs, non ou mal exploités. Une analyse poussée des alertes apparaît comme la mesure la plus efficace pour prévenir les acci-dents. Elle doit faire partie intégrante de la logique de qualification.
• La logique de qualification par sa robustesse ou sa défaillance détermine souvent la limite entre succès et échec.
• Dans ce même esprit,les configurations et/ou modifications non correctement validées sont des causes fréquentes d 'échecs ou des facteurs aggravants.
• Les principes de bases du management des projets (organisation,System Engineering etc..) et de l 'Assurance Qualité sont souvent mal assimilés par les décideurs.
• La maîtrise des risques passe par une ample campagne de formation des différents acteurs.
• L 'espace est aussi un domaine ou l 'esprit de pionniers a fait énormément avancer les premiers lanceurs et satellites.L 'aviation a eu aussi ses pionniers.

Mais dans les deux cas,l 'obtention de véhicules opérationnels fiables passe par une évolution des cultures.

Quelques questions pour terminer

• Pourquoi les événements précurseurs sont-ils psychologiquement rejetés ?Souvenez-vous du film "Le désert des tartares "ou la hiérarchie confisquait les jumelles aux officiers qui posaient des questions embarrassantes en voyant les mouvements de l 'ennemi ….
• Est-il plus facile de faire admettre deux ans de retard et des conséquences considérables après un accident, que 6 mois d 'arrêt de lancements pour modification avant ?
• Pourquoi certains décideurs prennent-ils des décisions hâtives et à haut risque ?Peut-être aiment-ils les décharges d 'adrénaline ?
• Pensez-vous que l 'on puisse améliorer réellement la formation des responsables ?
• Faute de pouvoir influer leur comportement,n 'est-il pas préférable d 'apprendre aux Ingénieurs comment communiquer avec leur hiérarchie pour mieux faire passer leurs alertes ?

Jean-Pierre MAGNY