La panne du contrôle aérien britannique qui a provoqué 2 000 annulations de vols le 8 septembre venait d’un défaut logiciel déclenché par un événement séparé d’une milliseconde. NATS, l’opérateur du système, a publié son rapport préliminaire : une demande prioritaire a interrompu au pire moment l’attribution d’un code d’identification à un avion, forçant le passage à des procédures de secours beaucoup plus lentes.
Une interruption d’une milliseconde au mauvais endroit
Le système concerné traite les données de vol et attribue notamment les codes qui permettent d’identifier les appareils sur les écrans radar. Lors de l’incident, une demande normale d’attribution de code était en cours lorsqu’une opération plus prioritaire l’a mise en pause. Selon le rapport, si cette seconde requête était arrivée une milliseconde plus tôt ou plus tard, la mise à jour se serait terminée normalement.
Le défaut se situait dans une petite portion du code. Il n’a pas fait disparaître la capacité de contrôler les avions, mais a déclenché les mécanismes de protection. Les transferts de vols entre secteurs ont alors dû être réalisés manuellement. Cette procédure préserve la sécurité en limitant le nombre d’appareils que les contrôleurs doivent gérer, au prix d’une forte réduction de capacité.
L’effet s’est propagé bien au-delà des quelques heures de fonctionnement dégradé. Les compagnies ont dû replacer leurs avions et leurs équipages, rembourser des voyageurs et réorganiser leurs rotations. Les 2 000 annulations ont perturbé des centaines de milliers de passagers pendant plusieurs jours. Le coût exact n’est pas encore établi, mais les transporteurs parlent de millions de livres.
NATS écarte une cyberattaque et l’erreur humaine
Martin Rolfe, directeur général de NATS, assure que la panne n’a pas été provoquée par une action incorrecte d’un contrôleur civil ou militaire. Elle n’est pas non plus liée à une intervention extérieure ni à une cyberattaque. L’opérateur la distingue également de la panne nationale d’août 2023, alors déclenchée par un plan de vol contenant deux points géographiques différents portant le même nom.
Ce précédent avait placé simultanément le système principal et sa sauvegarde en mode de sécurité, avec une facture estimée à 100 millions de livres pour les compagnies. Un autre incident, lié à un radar, avait entraîné environ 150 annulations en juillet 2025. La répétition de ces pannes alimente les critiques sur la robustesse d’une infrastructure dont la mission impose pourtant de privilégier la prudence dès qu’une donnée devient incohérente.
La ministre britannique des Transports, Heidi Alexander, juge la perturbation « complètement inacceptable ». Elle a demandé à l’Autorité de l’aviation civile de conduire un examen indépendant afin de vérifier la cause avancée par NATS, les investissements réalisés et la capacité de l’opérateur à éviter un nouvel incident. Ryanair réclame de nouveau la démission de Martin Rolfe, une demande que la compagnie formule depuis la panne de 2023.
Un correctif permanent encore en test
NATS a installé une mesure de mitigation afin d’empêcher la même séquence de bloquer le système. Un correctif définitif est en cours de test de sécurité avant son déploiement. Cette étape ne peut pas être expédiée : dans le contrôle aérien, une modification logicielle doit démontrer qu’elle corrige le cas limite sans introduire de comportement imprévu dans les traitements normaux ou les procédures de secours.
L’incident illustre aussi la différence entre optimisation et sûreté. Des logiciels peuvent aider à fluidifier le trafic, comme le système prédictif SMART récemment lancé par la FAA pour réduire les retards, mais les fonctions critiques doivent rester prévisibles lorsque plusieurs événements se produisent presque simultanément. Ici, le mécanisme de repli a évité un problème de sécurité, tout en révélant que la reprise manuelle ne pouvait absorber le trafic prévu.
Le rapport publié le 18 septembre reste préliminaire. L’enquête indépendante devra encore déterminer pourquoi ce conflit de requêtes n’a pas été découvert pendant les essais, puis vérifier le correctif permanent avant sa mise en production.
