FDR, enregistreur d'essais, enregistreur de mission : quelles différences ?

Trois objets, trois questions

Posez côte à côte un enregistreur de paramètres de vol, un enregistreur d'essais et un enregistreur de mission : ils ressemblent à trois variantes d'un même produit — un boîtier durci, de la mémoire solid-state, des connecteurs aéronautiques, des données qui entrent et des fichiers qui sortent. La ressemblance est réelle et trompeuse. Ce qui les sépare n'est pas leur fonctionnement mais la question à laquelle ils existent pour répondre, et donc l'identité de celui qui a le droit d'en être mécontent.

Ce positionnement mérite d'être gardé en tête, car il explique les arbitrages. Un enregistrement qui doit satisfaire un règlement est contraint et pauvre. Un enregistrement qui doit répondre à des questions d'ingénierie est riche et libre. Rien ne tient les deux coins à la fois.

Le FDR : une obligation, pas un outil d'ingénieur

Un enregistreur de paramètres de vol existe parce qu'un règlement d'exploitation interdit à l'appareil de voler sans lui. Cette seule phrase détermine tout le reste. La liste de paramètres est imposée par la réglementation applicable à la classe d'aéronef, pas choisie par l'exploitant. La rétention est définie — vingt-cinq heures de paramètres de vol. L'équipement doit être protégé au crash et détenir une autorisation, et son installation est une partie certifiée et permanente de l'appareil.

Les cadences qui en découlent sont modestes à l'échelle de l'instrumentation : la plupart des paramètres obligatoires sont enregistrés à quelques hertz, certains à un hertz, une poignée plus vite. Ce n'est pas une faiblesse. Un enquêteur qui reconstitue les dernières minutes d'un vol a besoin d'une image complète, fiable et juridiquement recevable à faible cadence — pas d'un spectre.

D'où le fait qu'utiliser un FDR comme source d'analyse d'ingénierie déçoit tout le monde. Les cadences sont trop basses, la liste est figée, et l'accès aux enregistrements est délibérément restreint par des règles dont l'objet est de protéger l'équipage et l'enquête. Le FDR répond à « que s'est-il passé ». Il n'a jamais été fait pour répondre à « pourquoi, à trois décimales ».

L'enregistreur d'essais : richesse et flexibilité

Un enregistreur d'essais existe parce qu'un programme a des questions. Personne n'impose de liste de paramètres : l'ingénieur d'instrumentation l'écrit, et elle va de quelques voies à plusieurs milliers, à des cadences allant du hertz à quelques dizaines de kilohertz, avec des bus, de la vidéo, de l'audio et des événements à côté.

Deux propriétés dominent sa conception et aucune n'apparaît dans le monde du FDR. Il doit être reconfigurable, parce que la campagne suivante mesure autre chose et que l'appareil sera réinstrumenté entre les deux. Et il doit être démontable, parce que l'installation est temporaire — approuvée dans le cadre de la configuration d'essais, sous permis de vol ou modification documentée, puis retirée à la fin de la campagne.

La protection au crash est généralement absente, pour une bonne raison : l'appareil est instrumenté précisément pour que les données atteignent le sol avant que quoi que ce soit n'arrive, et la télémesure plus un enregistreur récupéré couvrent la plupart des cas. Sur une ouverture de domaine à risque élevé, un module protégé au crash est parfois ajouté à l'installation d'essais — ce qui est une décision de risque, pas une décision de famille.

L'enregistreur de mission : l'exploitation quotidienne

Un enregistreur de mission existe parce qu'un exploitant a besoin que l'appareil ramène quelque chose : des images, des données de capteurs, des événements de mission, un débriefing, des données de santé et d'usage pour la maintenance. Il est installé à demeure, il vole tous les jours, et il est mis en œuvre par des gens qui ne sont pas ingénieurs d'instrumentation et n'ont pas à l'être.

Cela change les caractéristiques qui comptent. La simplicité d'emploi et le temps de rotation viennent d'abord — une cartouche qu'un chef mécanicien échange en une minute vaut mieux qu'une interface plus rapide qui exige un portable. La sécurité vient ensuite, car la donnée est souvent classifiée : chiffrement à l'écriture, effacement démontrable, parfois destruction physique. Puis la logistique et l'obsolescence, car l'équipement doit être soutenable pendant vingt ans, un horizon plus long que ce que survit la plupart de l'électronique.

La performance brute est ce qui compte le moins des trois. Un enregistreur de mission simplement suffisant mais toujours disponible vaut mieux qu'un excellent qui réclame un spécialiste.

Les différences, côte à côte

Ce qui se confond le plus souvent

• « Boîte noire » n'est pas une catégorie. Pour le public, cela désigne le FDR et le CVR ; pour un ingénieur, cela ne désigne rien de précis. Et les boîtiers sont orange.
• La protection au crash est une propriété, pas une famille. Un enregistreur de mission peut porter un module mémoire protégé, et une installation d'essais le fait parfois. Être protégé au crash ne fait pas d'un enregistreur un FDR — le FDR est défini par sa réglementation, pas par son boîtier.
• Un enregistreur de mission n'est pas un enregistreur d'essais avec moins de voies. Ses exigences dures sont la sécurité, le temps de rotation et la soutenabilité sur vingt ans, dont aucune n'apparaît dans une spécification d'essais.
• « Vingt-cinq heures » appartient au monde du FDR. Le citer pour un enregistreur d'essais ou de mission est une erreur de catégorie : ceux-là enregistrent un vol ou une mission, pas une fenêtre glissante.
• Et l'erreur inverse, tout aussi fréquente : spécifier un enregistreur d'essais pour une flotte opérationnelle, puis découvrir que chaque exploitant a besoin d'un ingénieur d'instrumentation pour s'en servir.

Un seul équipement peut-il faire les trois ?

Essais et mission se combinent bien, et c'est d'ailleurs ce qui se fait : une plateforme d'acquisition, deux configurations. Les interfaces sont les mêmes, l'enregistrement est le même, et la différence porte sur la quantité acquise et sur qui met en œuvre. Beaucoup de programmes achètent d'abord la configuration d'essais et gardent la plateforme en service ensuite pour l'enregistrement opérationnel.

C'est la fonction FDR qui résiste, et pas pour des raisons techniques. Ce qu'on achète avec un FDR, c'est une autorisation, une liste réglementaire de paramètres, une approbation d'installation et une obligation de maintenance. Le matériel est la partie facile ; le dossier de certification est le produit. Vouloir satisfaire le règlement et l'appétit d'ingénierie avec une seule configuration produit généralement un enregistreur d'essais coûteux qui fait un FDR médiocre.

L'architecture qui fonctionne devient évidente dès qu'on la formule : une plateforme d'acquisition et d'enregistrement pour les besoins d'ingénierie et d'exploitation, et un enregistreur protégé au crash — ou un module mémoire protégé — là où le règlement en exige un. Deux produits, une chaîne, et chaque obligation traitée par ce qui a été conçu pour elle.

Les trois questions qui donnent la réponse

1. Qui exige cet enregistrement — une autorité, un programme d'essais, ou un exploitant ? Cette seule réponse donne la famille, et avec elle les contraintes qui ne se négocient pas.
2. Qui va le lire, avec quels outils, et dans quel délai ? Cela donne les cadences, le format et le chemin de déchargement.
3. Combien de temps doit-il survivre, et à quoi doit-il survivre ? Cela donne le support, les options de sécurité, et si la protection au crash a sa place dans la spécification.

Répondez à ces trois questions avant de comparer des fiches techniques. La plupart des spécifications d'enregistreur qui tournent mal ont mal tourné à la première.