Histoire & héritage
Trente ans en service : faire durer un équipement embarqué
Un aéronef vole vingt, trente, parfois quarante ans. La puce mémoire de son enregistreur peut quitter le catalogue de son fabricant au bout de trois. Entre les deux calendriers se joue un métier dont personne ne parle à la réunion de lancement, et c'est lui qui décide si une installation pourra encore être maintenue la quinzième année. Voici comment il fonctionne, avec des exemples tirés de notre propre flotte.
Deux calendriers qui ne coïncident jamais
Une cellule est conçue pour des décennies de service, et l'équipement qu'on y installe doit suivre. Les composants électroniques vivent sur un autre calendrier. Un processeur, un convertisseur ou une mémoire flash est produit tant qu'il se vend, puis annoncé en fin de vie, généralement avec une date de dernière commande à quelques mois. Le constructeur de l'équipement se tient entre les deux calendriers, et son métier est de faire durer le premier pendant que le second ne cesse de repartir de zéro.
faire défiler
Ce n'est pas propre aux enregistreurs. Toutes les industries à longue durée de vie — aéronautique, ferroviaire, énergie, spatial — y sont confrontées sous un nom qui leur est propre ; dans l'aérospatial, on parle souvent de DMSMS, pour diminishing manufacturing sources and material shortages. Ce qui change d'un produit à l'autre, c'est la part du problème qui a été anticipée quand le premier schéma a été dessiné.
Ce qui disparaît en premier
- La mémoire, d'abord. Les générations de mémoire flash suivent le marché grand public, et les plus petites capacités partent les premières, parce que plus personne d'autre n'en veut. Sur l'une de nos cartouches amovibles, le disque flash de la plus petite capacité est arrivé en fin de production, et la génération qui le remplace commence huit fois plus grande : même connecteur, même format, mais une pièce différente, qu'il faut qualifier avant qu'elle vole.
- La logique programmable et les processeurs, ensuite. Une famille de composants finit par être retirée, et son successeur est rarement compatible broche à broche : ce qui était un changement de pièce devient un changement de carte.
- Les connecteurs et les composants passifs, plus rarement. Mais une série de connecteurs arrêtée peut être plus difficile à remplacer qu'une puce, parce qu'elle touche au faisceau de l'avion.
- Et parfois une réglementation. En 2020, les règles sur les batteries lithium rechargeables ont assez changé pour que nous retirions du catalogue une option de batterie interne et reportions la réserve d'énergie au niveau de l'avion. Rien n'était tombé en panne : c'est le monde autour du produit qui avait changé.
Trois réponses, trois coûts
Quand une pièce disparaît, il n'existe que trois réponses, et aucune n'est gratuite.
faire défiler
| Réponse | Ce qu'elle coûte | Quand c'est la bonne |
|---|---|---|
| Dernier achat | Un stock acheté une fois et conservé des années, dans des conditions maîtrisées pour les pièces sensibles à l'humidité ; de l'argent immobilisé bien avant d'être utilisé | Des rechanges identiques sont nécessaires sur un horizon connu, la flotte est petite, et requalifier un équivalent coûterait plus cher que le stock |
| Équivalent forme, ajustement et fonction | Une requalification par rapport à la définition d'origine, ou une déclaration de similitude quand le changement est limité et que les preuves restent valables | La pièce a un successeur qui s'adapte à la carte existante et remplit la même fonction |
| Refonte | Une nouvelle carte, de nouvelles preuves de qualification, parfois une nouvelle référence | Les équivalents sont épuisés, ou le changement est l'occasion d'apporter des améliorations utiles à la flotte |
Le choix se fait rarement une seule fois. Un produit qui vit vingt ans connaît en général les trois : un dernier achat pour franchir un creux, un équivalent qualifié sur le lot suivant, et un jour une refonte qui remet à zéro l'horloge de ses composants.
Dimensionner un dernier achat
Un dernier achat est un pari sur l'avenir, et il se dimensionne comme tel : avec la flotte, son usage et son taux de défaillance. Prenons 40 unités qui volent 300 heures par an, avec 15 ans devant elles : 180 000 heures de fonctionnement. Avec un MTBF de 50 000 heures, on attend environ 3,6 pannes sur la période. Six rechanges la couvrent avec une probabilité d'environ 93 % ; quatre ne la couvriraient qu'environ sept fois sur dix.
Les consommables se dimensionnent à part. Une cartouche mémoire amovible est manipulée à chaque vol, tombe, se perd, s'use : sa consommation suit l'exploitation, pas le taux de défaillance, et seul l'exploitant en connaît le rythme. Les deux chiffres ensemble donnent la quantité ; une marge pour la croissance de la flotte donne la commande.
Équivalent ne veut pas dire identique
« Forme, ajustement et fonction » est une promesse précise : l'unité garde les mêmes dimensions, les mêmes interfaces et le même comportement, pour rester interchangeable avec celles qui volent déjà. Tenir cette promesse demande des preuves. L'équivalent est essayé par rapport à la définition d'origine, sur les mêmes bancs ; quand le changement est limité, une déclaration de similitude explique pourquoi la qualification antérieure reste valable, et dit quels essais ont été refaits.
C'est pourquoi les bancs d'essais et les unités de référence restent en vie aussi longtemps que le produit : une requalification la quinzième année a besoin des bancs de la première. Et c'est pourquoi la gestion de configuration compte : la référence d'une unité et son numéro de série doivent encore dire, des années plus tard, exactement ce qui a été livré.
Les données doivent survivre à l'équipement
Un enregistreur existe pour ses données, et les données comptent souvent longtemps après le vol : un incident réexaminé des années plus tard, une analyse de fatigue sur la vie de toute une flotte, un dossier de certification rouvert. Les supports ont changé quatre fois dans notre propre histoire — bande, disque, cartouche SSD, flux réseau — et un enregistrement fait sur chacun doit encore s'ouvrir aujourd'hui.
- Les formats ouverts aident : un fichier IRIG 106 Chapter 10 se lit avec n'importe quel outil conforme, aujourd'hui comme demain.
- Les formats propriétaires doivent rester documentés et convertibles : le format D.T.MUX se convertit sans perte en Chapter 10.
- Le logiciel de relecture doit continuer à lire les anciens enregistrements en évoluant, sur des ordinateurs qui n'existaient pas quand ils ont été faits.
- Les lecteurs d'anciens supports doivent survivre aux supports : une cartouche qu'on ne sait plus lire est un enregistrement perdu.
Ce que cela demande
- Écrire l'horizon du programme dans le cahier des charges. Vingt ans de service ne se spécifient pas comme une campagne de six mois, et les points sensibles coûtent le moins cher tant qu'ils sont encore des choix de conception.
- Préférer les composants à long cycle de vie industriel, et garder la conception en interne : une refonte ne doit pas dépendre de la disponibilité de quelqu'un d'autre.
- Suivre chaque unité par son numéro de série, de la fabrication à la flotte qu'elle sert. Nos registres identifient encore en service des unités livrées en 2006.
- Garder en vie, aussi longtemps que la flotte, les bancs d'essais, les unités de référence et la documentation de chaque définition.
- Publier les changements qui touchent la commande ou l'exploitation, avec une date de dernier achat quand il y en a une ; laisser invisibles ceux qui le sont.