« Nous avons décidé de continuer » : un contrôleur de Houston raconte les alarmes d’Eagle

Reprenons depuis le début. Où étiez-vous, et que faisiez-vous, quand la descente a commencé ?

J’étais à ma console, à la place de l’officier de guidage — ce que nous appelons ici le GUIDO. Mon travail, c’est de surveiller la trajectoire et l’ordinateur de guidage du module lunaire : est-ce que la machine fait bien ce qu’elle doit, est-ce que les chiffres de descente tiennent ? Je ne suis pas seul : derrière moi, dans une salle d’appui, j’ai toute une équipe, et en particulier un garçon qui connaît cette calculatrice mieux que personne, Jack Garman. Au moment de l’allumage du moteur pour la descente motorisée, tout est nominal. On respire à peine, on lit nos écrans, on attend.

Et puis cette alarme s’allume. Que voyez-vous, exactement, à cette seconde ?

L’équipage nous signale un code, « 1202 », et nous demande de leur dire ce que ça vaut. Pour qui ne connaît pas la machine, c’est un simple nombre qui clignote ; pour nous, c’est l’ordinateur qui crie qu’il est débordé. En clair : il a plus de tâches à traiter qu’il n’a de place pour les ranger à un instant donné, et il vous prévient qu’il a dû en mettre de côté. Sur le moment, croyez-moi, votre cœur fait un bond. Vous êtes à quelques minutes du sol lunaire, et la calculatrice qui pilote la descente vous dit qu’elle est en surcharge.

Vous aviez, dit-on, à peine quelques secondes pour répondre. Comment décide-t-on en si peu de temps ?

On ne décide pas vraiment en quelques secondes : on décide en quelques secondes parce qu’on a passé des mois à préparer ce moment-là. La vérité, c’est qu’on avait déjà vu cette alarme. Lors d’une répétition au sol, quelques semaines plus tôt, un superviseur de simulation nous avait glissé une de ces alarmes, et j’avais, à tort, demandé d’interrompre la descente. La machine, en réalité, pouvait continuer. La leçon a porté. Après cet exercice, on a demandé à Jack Garman de reprendre chaque code d’alarme possible, un par un, et d’écrire noir sur blanc, pour chacun, s’il fallait s’arrêter ou poursuivre. Cette liste, il l’avait sous les yeux, sous une plaque, au moment de la descente.

Donc, quand le « 1202 » s’allume, votre adjoint a la réponse devant lui ?

Exactement. Jack me dit, en substance : celui-là, c’est bon, on continue — tant que ça ne devient pas continu. C’est tout le sens de notre règle : une alarme qui apparaît, puis se calme, vous dit que l’ordinateur s’est encombré un instant mais qu’il a su lâcher le moins urgent et garder l’essentiel, c’est-à-dire le guidage et la navigation. Tant que les chiffres de descente restent bons sur mon écran et que l’alarme ne se met pas à hurler sans discontinuer, la machine fait son travail. C’est ce que je transmets : « go ». Le directeur de vol le reprend, et notre CAPCOM le renvoie à l’équipage. Tout cela tient en quelques secondes, mais ces quelques secondes-là, on les avait répétées.

Savez-vous, à cette heure, pourquoi l’ordinateur s’est trouvé débordé ?

Nous avons une explication, et nous sommes encore en train de la vérifier dans le détail, alors je vous la donne pour ce qu’elle est. Le module portait un radar de rendez-vous, celui qui sert à retrouver le vaisseau resté en orbite. Or il semble que ce radar ait renvoyé à l’ordinateur un flot de signaux dont celui-ci n’avait pas besoin pendant la descente, et qu’il a fallu traiter quand même. Cela a mangé une part de la capacité de la machine, juste au moment où la descente lui en demandait déjà beaucoup. D’où la surcharge, et l’alarme. Je préfère rester prudent : c’est notre meilleure lecture aujourd’hui, on l’étudie encore.

L’alarme est revenue, ensuite ? Une seule fois aurait été déjà beaucoup.

Non, pas une seule fois. Le « 1202 » est revenu, puis nous avons eu un « 1201 », qui est de la même famille — une autre manière, pour la machine, de dire qu’elle est saturée. À chaque fois, c’est la même discipline : on regarde si le guidage tient, et si l’alarme passe puis s’efface. À chaque fois, elle s’est effacée. C’est précisément ce qui nous rassure : une calculatrice qui se plaint, encaisse, lâche le superflu et continue de piloter, ce n’est pas une calculatrice qui décroche. Mais je ne vous cache pas que, dans la salle, à chaque retour de l’alarme, on serrait les dents. On répétait notre « go », mais le souffle était court.

Pendant que vous teniez ce raisonnement, à bord, les hommes descendaient pour de bon. Suiviez-vous aussi le terrain ?

Chaque console suit sa partie ; moi, je suis rivé au guidage et à l’ordinateur. Mais on entend tout, et l’on comprend vite que là-haut, le commandant a pris la main. À mesure qu’Eagle approchait, il est apparu que l’endroit visé n’était pas bon : un terrain semé de gros blocs de rocher, près de ce qui ressemble à un cratère. Armstrong a repris le pilotage de façon plus directe pour faire glisser le module au-delà, vers une zone dégagée. De notre place, on ne voit pas ce qu’il voit ; on voit la trajectoire s’allonger, le module filer plus loin que prévu pour chercher un sol propre. Et l’on sait ce que cela coûte.

Cela coûte du carburant. C’est la deuxième angoisse de ces minutes.

C’est l’autre compte à rebours, oui, et il est implacable. Chaque seconde de vol stationnaire, chaque déplacement pour éviter les rochers, c’est de l’ergol brûlé. Une console suit le niveau qui descend, et à un moment on lance l’appel de « niveau bas » : à partir de là, il ne reste plus qu’une réserve mesurée en secondes, pas en minutes. On annonce alors les paliers — il reste tant de secondes, puis tant. Je préfère rester prudent sur le chiffre exact, parce qu’on l’affine encore avec les données du bord ; mais nous étions, à l’atterrissage, sur une marge de l’ordre de quelques dizaines de secondes de carburant, pas davantage. Autant dire que cela s’est joué de très peu.

Quelques dizaines de secondes, après tout ce chemin. Comment vit-on cela, à une console, sans pouvoir rien faire de plus ?

C’est le plus dur, je crois : à cet instant précis, tout est entre les mains de l’équipage et de la machine. Nous, au sol, nous avons donné nos « go », nous avons dit que l’ordinateur tenait, nous lisons les chiffres — mais nous ne pilotons pas. On écoute la voix annoncer les secondes de carburant, on regarde la trajectoire chercher son sol, et l’on attend. Il faut un sang-froid que l’on ne se connaît pas avant de l’avoir éprouvé. Personne, dans la salle, n’a élevé la voix. On fait son métier, on parle bas, on coche. C’est la seule façon de tenir.

Si l’ordinateur avait, lui, vraiment décroché, qu’auriez-vous fait ?

Nous aurions demandé l’interruption de la descente. C’est pour cela que ma faute de la simulation a tant compté : appeler un arrêt à tort, c’est renoncer pour rien à un alunissage ; ne pas l’appeler quand il le faut, c’est l’inverse, et c’est pire. Toute la valeur de la liste de Jack, c’est qu’elle nous évite de trancher au jugé dans la panique. Devant chaque code, on savait déjà, posément, écrit à l’avance : celui-ci tue la descente, celui-là non. Le jour venu, il n’y avait plus qu’à lire et à avoir confiance dans ce qu’on avait préparé. C’est cela qui nous a permis de dire « on continue » au lieu de « on renonce ».

Vous parlez beaucoup de préparation. C’est elle, plus que l’improvisation, qui vous a sauvés ?

Sans aucun doute. On imagine volontiers le contrôle de mission comme des hommes qui inventent des solutions en direct, sous la pression. C’est faux. Ce que vous avez vu hier, c’est l’inverse : des mois de répétitions, des pannes qu’on nous a infligées exprès au sol pour nous y casser les dents, des listes dressées à froid. Le « go » que j’ai prononcé n’était pas un coup d’audace, c’était l’application d’une décision déjà prise des semaines plus tôt, à tête reposée. La calculatrice elle-même a été conçue pour cela : pour lâcher le moins important et garder le vital quand on la surcharge. Tout le mérite est dans la préparation ; le sang-froid ne fait que la laisser s’exprimer.

Un dernier mot. Cette nuit a-t-elle changé le regard que vous portez sur ces machines ?

Elle a confirmé ce que nous espérions sans tout à fait y croire : qu’une calculatrice, bien conçue et bien comprise, peut crier qu’elle souffre et continuer pourtant de faire son travail. Hier, elle nous a fait une peur terrible et elle ne nous a jamais lâchés. Reste que rien n’est fini. Il y a là-haut une mission en cours, des hommes qu’il faut ramener, et nous reprenons nos consoles dans un instant. Je ne me permettrai pas de tirer des leçons définitives de ce que nous venons de vivre : pour cela, il sera bien temps quand tout le monde sera rentré. Pour l’heure, nous faisons ce que nous savons faire — surveiller, vérifier, et ne rien tenir pour acquis.