DO-160 et MIL-STD-810 : ce que veut dire « qualifié »

Deux normes, deux philosophies

La RTCA DO-160, publiée en Europe sous la référence EUROCAE ED-14 avec le même texte, est la référence civile : conditions d'environnement et procédures d'essai des équipements embarqués. L'édition G est celle que demandent les programmes en pratique. Sa logique est un catalogue de catégories : vous déclarez la catégorie que votre équipement tient dans chaque section, et le tableau qui en résulte est ce que lit un installateur pour décider si l'équipement a sa place dans telle baie de tel aéronef.

La MIL-STD-810, actuellement en révision H, est l'autre grande référence : considérations d'ingénierie environnementale et essais en laboratoire. Sa logique est inverse. Plutôt que des niveaux standard, elle attend que vous dériviez les conditions d'essai du profil environnemental de vie de la plateforme — où vit l'équipement, sur quoi il est fixé, à quoi ressemble la mission — et que vous justifiiez ce tailoring. Ses méthodes décrivent comment essayer, pas quel niveau appliquer.

Cette différence a une conséquence pratique. La DO-160 apporte la comparabilité : deux équipements qui déclarent la même catégorie ont subi la même chose. La MIL-STD-810 apporte le réalisme : l'essai correspond à la plateforme, et à rien d'autre. Les programmes demandent couramment les deux, ce qui est parfaitement raisonnable — elles répondent à des questions différentes.

Catégories et tailoring : ce que tout le monde comprend de travers

Une catégorie DO-160 n'est pas une note de qualité. Elle décrit une installation. Les catégories de température et d'altitude découlent du fait que l'équipement se trouve dans une baie pressurisée et régulée ou dans une zone non pressurisée exposée aux conditions extérieures ; les catégories de vibration découlent du type d'aéronef et de la zone ; et la catégorie X signifie que la section ne s'applique pas et qu'aucun essai n'est réalisé.

La catégorie X est légitime et largement mal comprise. Un équipement installé à demeure dans une baie pressurisée n'a pas besoin d'une catégorie d'étanchéité, et en déclarer une serait trompeur plutôt qu'impressionnant. Ce qui compte, c'est que les catégories déclarées couvrent l'installation visée — et c'est précisément pourquoi le livrable est une fiche, pas un adjectif.

Du côté MIL-STD-810, la discipline équivalente s'appelle le tailoring : un essai de vibration, c'est un spectre choisi, une durée choisie et un nombre d'axes choisi, et chacun de ces choix doit être traçable jusqu'à la plateforme. « Essayé selon MIL-STD-810 » sans les méthodes, procédures et niveaux ne veut absolument rien dire — la norme le dit elle-même.

Ce que couvrent les sections

La DO-160G compte vingt-six sections, dont une vingtaine d'essais. Elles se répartissent en quatre familles pratiques, et un enregistreur embarqué typique est qualifié sur une quinzaine d'entre elles.

Toutes les sections n'imposent pas un équipement complet en enceinte. La norme autorise explicitement à démontrer certains environnements sur des éprouvettes représentatives — la tenue aux fluides sur des échantillons de matériaux plutôt que sur l'équipement assemblé, la résistance aux moisissures sur une déclaration de matériaux — et d'autres à être couverts par analyse ou par similitude avec une configuration déjà qualifiée. Utiliser ces dispositions n'est pas contourner la norme : c'est la lire correctement, et cela économise du matériel comme des semaines de planning.

Une section est régulièrement mal interprétée : le choc de sécurité au crash de la section 7. Il existe pour qu'un équipement installé ne devienne pas un projectile lors d'un accident survivable — il ne dit rien de la survie des données à l'intérieur. La protection au crash au sens des enregistreurs relève d'une norme totalement distincte et d'une séquence d'essais totalement différente.

Lire les deux normes en parallèle

Cette correspondance est un repère, pas une équivalence. Réussir la méthode 514 ne vous donne pas la section 8 : les spectres, les durées et les critères fonctionnels diffèrent, et une autorité de certification n'acceptera pas la substitution sans analyse. Là où le rapprochement est vraiment utile, c'est à la conception — une même architecture thermique et mécanique peut satisfaire les deux, à condition de le savoir dès le départ plutôt que de le découvrir après la première campagne.

Au laboratoire : une séquence typique

1. Convenir du plan d'essais : sections et catégories, configuration de l'équipement, ce qui est surveillé, et surtout le critère de réussite de chaque essai.
2. Établir la référence fonctionnelle. L'équipement est caractérisé dans un état sain connu, et tous les contrôles ultérieurs seront comparés à cette référence.
3. Campagne climatique : température et altitude, variations de température, humidité — des journées en enceinte, sous tension et surveillé, avec contrôles fonctionnels aux extrêmes et après retour aux conditions normales.
4. Campagne mécanique : vibrations aléatoires et sinusoïdales sur pot vibrant dans les trois axes, puis chocs opérationnels et de sécurité au crash.
5. Environnements particuliers selon l'installation : étanchéité, sable et poussière, brouillard salin, givrage, fluides, atmosphère explosive.
6. Campagne CEM en chambre blindée ou anéchoïque : les émissions d'abord, puis la susceptibilité, y compris les transitoires induits par la foudre et les décharges électrostatiques.
7. Contrôle fonctionnel final, puis le rapport — chaque écart, chaque reprise d'essai, et la fiche de qualification environnementale qui sera citée pendant les vingt années suivantes.

La CEM mérite son propre paragraphe

La compatibilité électromagnétique est l'endroit où les campagnes de qualification dérapent le plus souvent. Elle occupe neuf des vingt-six sections — alimentation et surtensions, susceptibilité conduite et induite, émissions et susceptibilité rayonnées, transitoires de foudre, effets directs et décharges électrostatiques — et c'est la famille où l'installation compte autant que l'équipement.

En chambre anéchoïque, le cheminement du harnais, la reprise des blindages et la position du point de masse décident couramment de la réussite ou de l'échec. C'est une bonne nouvelle au stade de la conception : les corrections sont peu coûteuses si elles sont anticipées — filtrage au connecteur, référence de masse propre, reprises de blindage maîtrisées — et chères si elles sont découvertes en chambre, puisque chaque itération coûte un créneau.

Comment lire une annonce de qualification

• Quelle édition ? Les révisions de la DO-160 changent les niveaux et ajoutent des sections ; l'édition fait partie de l'affirmation.
• Quelles sections, et quelle catégorie dans chacune ? Une fiche, pas une phrase.
• Sur quelle configuration ? Indice matériel, options installées, version de logiciel embarqué.
• Essayé, analysé, ou par similitude ? Les trois sont légitimes ; les confondre ne l'est pas.
• Quel était le critère fonctionnel, et existe-t-il une référence de rapport que l'on puisse vous communiquer ?

« Conçu selon la DO-160 » est une intention de conception. « Qualifié DO-160G, sections et catégories selon la fiche joint, rapport référence X » est une affirmation d'ingénieur. C'est dans l'écart entre les deux que se cache le risque programme — et la réponse honnête, quand une section a été couverte par analyse plutôt que par essai, consiste simplement à le dire.

Ce que cela coûte, et comment réduire le risque

Une campagne complète représente des semaines de laboratoire et plusieurs spécimens, dont certains ne reviennent pas : un choc de sécurité au crash ou un essai d'inflammabilité consomme du matériel. Le vrai coût, cependant, n'est pas le laboratoire : c'est la reprise. Échouer sur un axe de vibration en fin de campagne peut signifier une modification mécanique, un nouveau spécimen et un redémarrage, avec le jalon programme déjà engagé.

D'où le principe : la réduction de risque peu coûteuse se fait tôt. Simulation thermique avant le premier prototype, pré-essai sur pot vibrant avec une maquette structurale, pré-balayage des émissions rayonnées sur l'établi, et un critère fonctionnel convenu avec le client avant que quoi que ce soit n'entre en enceinte. Un laboratoire intégré change toute l'économie de l'exercice : on itère dans l'après-midi au lieu de réserver un créneau dans trois semaines.