Avions et Informatique embarquée : « plus un système est complexe moins on voit ses limites »

Un standard en cours de révision 

Le standard DO-178B est en cours de révision, dans le cadre des travaux d’un comité international ouvert qui se réunit « depuis 4 à 5 ans ». Une démarche tellement ouverte qu’elle vient de donner à une initiative open-source baptisée Open-DO. « Participent au comité les autorités, les développeurs, les fournisseurs d’outils logiciels, etc. » Leurs travaux visent particulier à moderniser un standard « qui ne couvre pas bien certaines technologies comme le développement orienté objet. Ils impliquent aussi une réflexion sur l’amélioration des protocoles de test avec notamment la mise en oeuvre des méthodes formelles, ces techniques de validation mathématique du code informatique par rapport à ses spécifications.

En particulier, le développement orienté objet « faisait un peu peur au monde de l’avionique ; il a longtemps été perçu comme produisant du code plus difficile à tester, voire non déterministe. En outre, il y a un fort besoin de contrôle des bornes temporelles d’exécution des algorithmes. » Et puis, « que veut dire "une couverture de code raisonnable en programmation orientée objet ?" Y a-t-il des vulnérabilités spécifiques ? » En particulier, alors que le risque de dépassement de pile était inexistant en programmation classique, « c’est un nouveau problème que l’on peut rencontrer avec la programmation orientée objet. » 

A cela s’ajoutent aussi des réflexions sur la conception basée sur les modèles, la généralisation du standard aux équipements au sol – « qui sont appelés à communiquer avec l’embarqué » –, ou encore « l’adaptation face aux anomalies qui ont pu être rapportées depuis plus de 15 ans », date à laquelle le standard a été révisé pour la dernière fois. Reste que, « s’il n’existe pas de preuve formelle que le standard couvre toutes les situations, il fonctionne plutôt bien depuis le début. » Au point que d’autres industries s’en seraient inspirées. « 

Un problème d’horizon 

» Mais pour Cyrille Comar, la plus importante question touche à « un problème d’horizon : plus un système d’information grossit et se complexifie, moins on arrive à en voir les limites. » Et c’est vrai aussi avec l’avionique. Dans les premières versions de l’informatique embarquée de l’Airbus A380, il faut compter avec quelque 18 millions de lignes de code, un chiffre « très probablement appelé à doubler voire tripler au fil des évolutions. » Et, pour ne rien gâcher, s’ajoute à cela une ouverture de plus en plus grande de certains systèmes : à priori, l’informatique embarquée de divertissement n’a rien à voir avec l’avionique, « mais il y a de plus en plus d’échanges d’informations, pour l’affichage de l’altitude, du temps de vol restant estimé, etc. Le tout dans un système largement réparti donc plus complexe. » En particulier, « quand le DO-178B a été conçu, il n’y avait pas problème de sécurité logicielle – le soft était flashé en dur et fermé – ; plus le système communique, plus il faut tenir compte de risques de malveillance logicielle ». Reste une question qui touche à la conception des procédures selon lesquelles sont développés les logiciels : « pour chaque panne, il y a un scénario de prévu. Mais lorsque trois pannes s’enchaînent en cascade, il n’est pas sûr que les scénarios vont pouvoir s’imbriquer ; ce n’est pas abordé par le standard. » 

Pour autant il ne faudrait pas désespérer  des systèmes informatiques embarqués dans les avions : malgré leur mise en cause par certains dans des crash récents, les commandes de vol informatiques retenues par Airbus depuis l’A320, et aujourd'hui adoptées par son concurrent Boeing, ont probablement aidé à sauver des avions, à commencer par celui de la compagnie US Airways que son commandant de Bord, Chesley Sullenberger, est parvenu à faire amerrir sur l’Hudson, le long de Manhattan, le 15 janvier dernier.