33
Premières notions de sécurité
Chapitre 1
présent sans qu’un accident survienne, il pouvait être accepté pour la prochaine
fois ».
Pour ce qui nous concerne ici, la passage le plus intéressant du texte est celui
qui a trait aux moteurs à combustible liquide de la navette (Space Shuttle Main
Engines, SSME). Ces composants sont parmi les plus complexes de l’ensemble.
Feynman explique que la méthode habituelle de conception de tels moteurs (par
exemple pour des avions civils ou militaires) procède selon une démarche de bas en
haut (bottom up) : on commence par étudier les caractéristiques souhaitables des
matériaux à utiliser, puis on teste des pièces élémentaires au banc d’essai. Sur la
base des connaissances acquises ainsi, on commence à tester des sous-ensembles
plus complexes. Les défauts et les erreurs de conception sont corrigés au fur et à
mesure : comme ils ne portent que sur des parties de l’ensemble, les coûts sont
modérés. Si des défauts sont encore détectés au moment de l’assemblage de l’ensemble, ils restent relativement faciles à localiser et à corriger, notamment du fait
de l’expérience acquise par les tests de sous-ensembles.
Or les moteurs à combustible liquide de la navette n’ont pas été conçus selon cette
démarche bottom up, mais selon l’approche inverse, de haut en bas (top down),
c’est-à-dire que le moteur a été conçu et réalisé tout en même temps, avec très
peu d’études et d’essais préalables des matériaux et des composants ; avec une telle
démarche, la recherche de l’origine d’un défaut ou d’une erreur de conception est
beaucoup plus difficile qu’avec la méthode bottom up, parce que l’on dispose de peu
d’informations sur les caractéristiques des composants. Il faut alors utiliser le moteur complet comme banc d’essai pour trouver la panne, ce qui est très difficile et
onéreux. Il est en outre difficile dans ces conditions d’acquérir une compréhension
détaillée des caractéristiques et du fonctionnement du moteur, compréhension qui
aurait été de nature à fonder la confiance que l’on aurait pu avoir en lui.
La méthode top down a un autre inconvénient : si l’on trouve une erreur de conception sur un sous-ensemble, comme la conception n’en a pas été isolée, mais intégrée dans la conception d’ensemble, il faut repenser la conception générale. Il est
à craindre que pour des erreurs jugées mineures (à tort ou à raison), la lourdeur
des investigations à entreprendre n’incite à renoncer à reprendre la conception de
l’ensemble, alors qu’il faudrait le faire.
Premières notions de sécurité
Chapitre 1
présent sans qu’un accident survienne, il pouvait être accepté pour la prochaine
fois ».
Pour ce qui nous concerne ici, la passage le plus intéressant du texte est celui
qui a trait aux moteurs à combustible liquide de la navette (Space Shuttle Main
Engines, SSME). Ces composants sont parmi les plus complexes de l’ensemble.
Feynman explique que la méthode habituelle de conception de tels moteurs (par
exemple pour des avions civils ou militaires) procède selon une démarche de bas en
haut (bottom up) : on commence par étudier les caractéristiques souhaitables des
matériaux à utiliser, puis on teste des pièces élémentaires au banc d’essai. Sur la
base des connaissances acquises ainsi, on commence à tester des sous-ensembles
plus complexes. Les défauts et les erreurs de conception sont corrigés au fur et à
mesure : comme ils ne portent que sur des parties de l’ensemble, les coûts sont
modérés. Si des défauts sont encore détectés au moment de l’assemblage de l’ensemble, ils restent relativement faciles à localiser et à corriger, notamment du fait
de l’expérience acquise par les tests de sous-ensembles.
Or les moteurs à combustible liquide de la navette n’ont pas été conçus selon cette
démarche bottom up, mais selon l’approche inverse, de haut en bas (top down),
c’est-à-dire que le moteur a été conçu et réalisé tout en même temps, avec très
peu d’études et d’essais préalables des matériaux et des composants ; avec une telle
démarche, la recherche de l’origine d’un défaut ou d’une erreur de conception est
beaucoup plus difficile qu’avec la méthode bottom up, parce que l’on dispose de peu
d’informations sur les caractéristiques des composants. Il faut alors utiliser le moteur complet comme banc d’essai pour trouver la panne, ce qui est très difficile et
onéreux. Il est en outre difficile dans ces conditions d’acquérir une compréhension
détaillée des caractéristiques et du fonctionnement du moteur, compréhension qui
aurait été de nature à fonder la confiance que l’on aurait pu avoir en lui.
La méthode top down a un autre inconvénient : si l’on trouve une erreur de conception sur un sous-ensemble, comme la conception n’en a pas été isolée, mais intégrée dans la conception d’ensemble, il faut repenser la conception générale. Il est
à craindre que pour des erreurs jugées mineures (à tort ou à raison), la lourdeur
des investigations à entreprendre n’incite à renoncer à reprendre la conception de
l’ensemble, alors qu’il faudrait le faire.