Comment une confusion d’unités a-t-elle détruit une sonde de la NASA en 1999 ?

Le contexte

Lancée le 11 décembre 1998, la sonde Mars Climate Orbiter fait partie d’un programme de la NASA visant à étudier le climat, l’atmosphère et les changements de surface de Mars sur le long terme. D’un coût total de 327,6 millions de dollars pour l’ensemble de la mission, elle doit se placer en orbite autour de la planète après un voyage de neuf mois et demi, puis servir également de relais de communication pour une autre sonde, Mars Polar Lander, prévue pour atterrir quelques mois plus tard.

Le développement du logiciel de navigation implique plusieurs équipes distinctes : celle du Jet Propulsion Laboratory (JPL), chargée de la navigation de la sonde, et celle de Lockheed Martin Astronautics, à Denver, responsable de la conception du véhicule et de la fourniture de certaines données de propulsion au sol.

La décision

Le logiciel développé par Lockheed Martin calcule l’impulsion produite par les petits propulseurs de la sonde en livres-force par seconde, une unité du système impérial encore couramment utilisée dans l’industrie aérospatiale américaine. Le logiciel de navigation du JPL, lui, attend cette même donnée exprimée en newtons-seconde, l’unité du système métrique. Les spécifications techniques échangées entre les deux équipes ne précisent pas explicitement l’unité attendue, et aucune étape de vérification croisée ne permet de détecter l’incohérence avant le lancement.

Cette différence — un facteur d’environ 4,45 entre les deux unités — s’accumule au fil des corrections de trajectoire effectuées pendant le voyage vers Mars, sans être repérée par les équipes au sol.

La chute

Le 23 septembre 1999, alors que la sonde doit se placer en orbite à une altitude comprise entre 140 et 150 kilomètres au-dessus de la surface martienne, elle plonge en réalité jusqu’à environ 57 kilomètres d’altitude — une distance bien trop faible, où les frictions atmosphériques exercent des contraintes que la structure de la sonde n’est pas conçue pour supporter. Le contact avec Mars Climate Orbiter est perdu et ne sera jamais rétabli. La commission d’enquête de la NASA, présidée par Arthur G. Stephenson, publie son rapport le 10 novembre 1999 et confirme l’origine de l’incident : une erreur de conversion d’unités, restée indétectée à chaque étape de vérification du projet.

Les conséquences

La perte de la sonde s’ajoute à celle de sa mission jumelle Mars Polar Lander, disparue à son tour en décembre 1999 lors de sa tentative d’atterrissage, pour des raisons distinctes mais tout aussi révélatrices d’une insuffisance de vérification : selon l’enquête de la NASA, un signal parasite émis par les capteurs des jambes d’atterrissage a été interprété à tort par le logiciel de bord comme le contact avec le sol, coupant prématurément les moteurs de freinage à environ 40 mètres d’altitude et provoquant un écrasement de l’engin. Les deux échecs consécutifs, survenus à quelques mois d’intervalle sur le même programme d’exploration martienne, conduisent la NASA à revoir en profondeur ses procédures de gestion de projet et de vérification logicielle pour ses missions suivantes, avec notamment un renforcement des revues indépendantes et des tests croisés entre équipes utilisant des systèmes d’unités différents.

Et depuis ?

L’incident est devenu l’un des exemples les plus cités dans l’enseignement du génie logiciel et de la gestion de projet pour illustrer les conséquences d’une spécification technique imprécise, au même titre que d’autres accidents historiques attribués à des erreurs de conversion d’unités, comme le détournement de trajectoire de vols commerciaux faute de plein de carburant correctement calculé. Il est régulièrement mentionné comme argument en faveur d’une adoption plus stricte et généralisée du système métrique dans l’industrie aérospatiale américaine, qui continue pourtant, encore aujourd’hui, à faire cohabiter les deux systèmes d’unités dans de nombreux projets, en particulier lorsque des sous-traitants historiques comme Lockheed Martin travaillent encore largement en unités impériales.