Une sonde de 125 millions perdue pour quelques livres

Pasadena, 23 septembre 1999 : la salle de contrôle attendait un signal qui devait réapparaître derrière Mars, et il n'est jamais revenu. Mars Climate Orbiter était un orbiteur construit pour étudier le climat martien et avait coûté environ 125 millions de dollars : le prix de l'engin seul, sans la fusée ni les neuf mois de contrôle depuis le sol. Elle a été perdue parce qu'un programme écrivait l'impulsion de ses moteurs en livres-force seconde et qu'un autre la lisait comme des newtons seconde.

Quelques minutes avant le silence, la sonde avait allumé son moteur principal pour freiner. Elle arrivait trop vite pour rester autour de Mars : il fallait perdre de la vitesse et laisser la gravité de la planète la capturer. Pendant la manœuvre, elle devait passer derrière le disque martien, et les antennes terrestres allaient perdre le signal sur ce tronçon pour le retrouver de l'autre côté.

La trajectoire prévue la menait à environ 226 kilomètres au-dessus de la surface, un peu plus de la moitié de l'altitude à laquelle la Station spatiale internationale tourne autour de la Terre. Les calculs reconstitués ensuite ont situé le passage réel autour de 57. La structure ne tenait pas en dessous de 80 environ. À cette altitude, l'atmosphère martienne a pu la détruire par échauffement et forces aérodynamiques, ou la faire rebondir vers une orbite impossible à rattraper.

Des semaines avant cette mise à feu, il y avait déjà un indice. Les navigateurs du Jet Propulsion Laboratory, le centre de la NASA à Pasadena qui dirige ses missions robotiques, voyaient que les trajectoires calculées ne collaient pas tout à fait à la position mesurée. Ils l'ont dit. Il y a eu des conversations entre spécialistes et des tentatives de comprendre pourquoi les petites corrections produisaient un effet différent de celui attendu. Personne n'a ouvert de rapport formel d'anomalie, le document qui aurait obligé à enregistrer le problème, à lui affecter des responsables et à le suivre jusqu'à sa clôture.

Chaque écart isolé paraissait minuscule. Les propulseurs auxiliaires s'allumaient un instant pour décharger les roues de réaction, les volants qui orientent l'engin sans consommer de carburant, et ces décharges se sont produites entre dix et quatorze fois plus souvent que l'équipe de navigation ne l'avait prévu. Le logiciel au sol de Lockheed Martin, le contractant qui avait construit la sonde à Denver, mesurait l'impulsion de ces poussées — la force multipliée par le temps qu'elle dure — en livres-force seconde. Le logiciel de navigation du JPL recevait le nombre et le traitait comme des newtons seconde. Une livre-force vaut 4,45 newtons : chaque décharge entrait dans la comptabilité 4,45 fois plus petite qu'elle ne l'avait été réellement. La commission qui a enquêté sur l'accident, le Mars Climate Orbiter Mishap Investigation Board, a publié la première partie de son rapport le 10 novembre et a réparti la faute entre deux équipes que personne n'avait obligées à vérifier dans quelles unités elles parlaient.

Neuf mois plus tôt, l'écart n'avait pas encore eu le temps de s'accumuler. La sonde était partie de Cap Canaveral, la base spatiale de Floride, le 11 décembre 1998, et avait voyagé 286 jours. Décharge après décharge, cette erreur de comptabilité a peu à peu tordu le couloir d'arrivée.

La spécification d'interface exigeait des newtons seconde depuis le premier jour ; le logiciel au sol ne s'y est jamais conformé. Soixante et onze jours après la perte de l'orbiteur, le 3 décembre 1999, la NASA a également perdu Mars Polar Lander, le module frère du même programme, lancé trois semaines plus tard pour se poser à la surface ; celui-là s'est écrasé pour une autre raison.