Un enregistreur sécurisé qui n'a rien changé sur l'avion

Le contexte

Secteur

Opérateur étatique, Europe

Plateforme

Avion de mission à équipage multiple

Périmètre

Remplacement d'un enregistreur audio de mission

Mise en service

2024

Sur un avion de mission, un équipage nombreux travaille à bord et communique en permanence : postes d'interphonie, voies radio, coordination entre opérateurs. Tout enregistrer fait partie de la mission — pour le débriefing, pour l'analyse, et parce que ce qui a été dit fait partie de ce qui s'est passé.

L'enregistreur en place arrivait en fin de vie. Le remplacer n'était pas un projet de capacité, c'était un projet d'obsolescence, ce qui constitue un jeu de contraintes très différent.

La contrainte : remplacer sans modifier l'avion

Un appareil en service est une configuration approuvée. Changer l'installation mécanique, le harnais ou les interfaces revient à une modification, donc à une approbation, donc à une immobilisation de l'appareil et à un programme qui se compte en années plutôt qu'en mois.

L'exigence a donc été formulée à l'envers d'une spécification normale. Non pas « voici ce que le nouvel enregistreur doit faire », mais « voici l'enveloppe, voici les interfaces, et rien ne doit changer sur l'avion ». Tout le reste — nombre de voies, sécurité, exploitation en vol — devait tenir là-dedans.

L'architecture

Une acquisition distribuée sur soixante-quatre voies audio, couvrant tous les postes d'interphonie et de communication du bord, écrivant sur un support chiffré — l'ensemble étant conçu pour présenter le même encombrement et les mêmes interfaces que le système remplacé.

L'enregistreur se pilote depuis une télécommande installée dans une autre zone de l'appareil, et l'enregistrement se relit en vol depuis un portable — un équipage peut donc vérifier que ce dont il avait besoin a bien été capté, sans attendre le sol.

La sécurité, comme une chaîne

• Le support est chiffré en AES-256 : une cartouche retirée n'est pas une divulgation.
• Le système détient une certification TEMPEST complète — parce qu'un enregistreur qui protège son support et rayonne son contenu ne protège rien.
• Le poste d'exploitation est séparé : la commande se trouve dans une autre zone de l'appareil que l'enregistreur.
• Et la relecture est disponible en vol, ce qui garde la vérification à l'intérieur du même périmètre protégé au lieu de la reporter à une station sol.

Ces quatre points forment une seule exigence, pas quatre. La sécurité d'un enregistreur de mission se décide au maillon le plus faible de la chaîne qui va du micro à l'archive, et le support n'en est qu'un maillon.

Ce que cela a changé

C'est le dernier chiffre qui a décidé du programme. Un remplacement qui tient dans l'installation existante est une action de maintenance ; un remplacement qui n'y tient pas est un projet de modification, avec une approbation, une immobilisation et un budget d'un autre ordre.

Ce que nous en retenons

Le remplacement pour obsolescence est une discipline à part, et la tentation est toujours de profiter de l'occasion pour tout améliorer. L'exigence qui comptait ici était celle qui ressemblait le moins à de l'ingénierie : ne pas toucher à l'avion. Lire une spécification en cherchant cette contrainte d'abord, avant les chiffres de performance, c'est ce qui rend un rétrofit livrable.