Une milliseconde a suffi pour révéler la fragilité d’un maillon du contrôle aérien britannique. Dans son rapport préliminaire sur l’incident du 8 septembre, NATS attribue les perturbations à un défaut logiciel latent dans le National Airspace System, chargé notamment d’attribuer les codes permettant d’identifier les avions sur les écrans radar. Selon l’organisme, le problème ne résulte ni d’une erreur d’un opérateur civil ou militaire, ni d’une cyberattaque.
Le défaut s’est manifesté lors du traitement d’une demande valide de code transpondeur. Une interruption de très courte durée a corrompu une donnée de vol, puis déstabilisé le lien entre le système national et le centre de contrôle de Londres. Le premier signal, à 10 heures, a semblé se résorber automatiquement. À 12 h 32, les ruptures de liaison sont devenues répétées et certaines fonctions automatisées n’étaient plus disponibles.
Les contrôleurs ont alors basculé vers des procédures manuelles, plus lentes. Pour maintenir des marges de sécurité, NATS a limité les flux dans plusieurs secteurs et suspendu temporairement des départs depuis les aéroports britanniques. Le dispositif a protégé les avions en vol, mais il a créé un effet de chaîne : plus de 2 000 vols ont été annulés, selon l’Associated Press, et des centaines de milliers de voyageurs ont été concernés. Le retour à la normale a pris plusieurs jours.
NATS précise qu’une mesure de réduction du risque est déjà en place pendant que la correction permanente est testée. Le rapport reste toutefois préliminaire : il décrit le mécanisme technique connu à ce stade, sans clore les questions de gouvernance, de tests et d’investissement. La ministre britannique des Transports, Heidi Alexander, a donc demandé à l’Autorité de l’aviation civile une expertise indépendante.
Pour les passagers, l’enseignement dépasse ce défaut précis. Un système peut rester sûr tout en devenant brutalement indisponible, et les restrictions prises pour préserver la sécurité peuvent produire des perturbations massives. L’enquête finale devra surtout expliquer pourquoi ce scénario n’avait pas été détecté avant son apparition en exploitation et si les protections prévues suffisent à empêcher qu’un événement comparable ne paralyse à nouveau le trafic.
