BIBLE MARS — RISQUE & RÉSILIENCE
Panne combinée énergie + thermique + ECLSS : la cascade qui menace toute la base
Une panne d’énergie devient beaucoup plus dangereuse lorsqu’elle dégrade en même temps le refroidissement et le support-vie : trois systèmes jusque-là séparés entrent alors dans une même horloge de survie.
Ce dossier suit une cascade où la production électrique chute, certaines pompes thermiques s’arrêtent et l’ECLSS perd progressivement ses marges. L’objectif est de comprendre les dépendances communes, les charges à délester en premier, les seuils irréversibles et les chemins de redémarrage qui doivent rester indépendants.
1 — Une panne peut changer de nature en quelques minutes
L’énergie alimente pompes, vannes, capteurs et calculateurs. Si le bus principal tombe, certains équipements passent sur batterie ; mais leur durée disponible n’est pas la même.
La crise devient thermique lorsque les pompes ou ventilateurs s’arrêtent, puis atmosphérique quand CO₂, humidité ou température sortent de leur plage. L’ordre des événements détermine ce qu’il faut sauver en premier.
2 — Construire un graphe de dépendances avant l’urgence
Pour chaque fonction vitale, il faut identifier alimentation électrique, refroidissement, données, capteurs, réseau fluide et opérateur. Une redondance qui partage le même convertisseur ou la même boucle thermique n’est pas réellement indépendante.
Un graphe de dépendances permet de simuler la suppression d’un nœud : si deux chemins de secours disparaissent en même temps, le design possède une vulnérabilité commune.
3 — Mesurer le temps avant seuil, pas seulement l’état présent
Une batterie peut afficher 60 % mais la question utile est : combien de minutes reste-t-il au débit de puissance actuel ? Un volume peut être respirable maintenant mais atteindre son seuil de CO₂ dans deux heures.
Les opérateurs ont besoin de comptes à rebours associés aux seuils : énergie, température, CO₂, pression, oxygène et eau.
Les délais ne sont pas les mêmes dans chaque sous-système
Une panne électrique peut affecter immédiatement une pompe, tandis que la température ou la concentration de dioxyde de carbone ne franchissent leur seuil critique que plus tard. Cette différence de dynamique est précieuse : elle permet de hiérarchiser les actions. Le système doit connaître quels paramètres changent en secondes, minutes ou heures.
Un tableau de crise devrait donc afficher non seulement l’état actuel, mais une estimation du temps avant limite pour les fonctions essentielles. Cette estimation doit être prudente et mise à jour avec les mesures réelles. Le temps devient une ressource calculable au même titre que l’énergie restante.
Redémarrer dans le mauvais ordre peut recréer la panne
Après le retour d’une source d’énergie, la tentation est de remettre tous les équipements en service. Or certains appels de courant, besoins thermiques ou démarrages simultanés peuvent dépasser la capacité encore disponible. Un redémarrage sûr doit donc être séquencé : fonctions de mesure et de contrôle, fonctions vitales, puis charges secondaires selon la marge réelle.
La même logique vaut pour l’ECLSS. Un système longtemps arrêté peut nécessiter vérification, purge ou stabilisation avant d’être considéré nominal. La restauration est une phase d’ingénierie à part entière, pas la simple inversion de la séquence d’arrêt.
4 — Délester avec une logique multi-ressources
Arrêter un équipement économise de l’électricité mais peut augmenter une autre demande. Couper une pompe de refroidissement réduit la puissance électrique mais accélère la surchauffe ; arrêter une serre économise beaucoup d’énergie mais crée un coût alimentaire différé.
Le bon délestage maximise le temps de survie global, pas seulement le nombre de kilowatts économisés.
5 — Redémarrer est une deuxième crise possible
Lorsque l’énergie revient, tous les équipements ne doivent pas redémarrer simultanément. Les appels de courant, débits et charges thermiques peuvent provoquer une nouvelle chute.
Le black start d’une base martienne doit restaurer d’abord mesure, commande et fonctions vitales, puis ajouter progressivement les charges en vérifiant les marges.
6 — Tester des cascades volontairement
La recette d’un système ne doit pas seulement vérifier “pompe A tombe, pompe B prend le relais”. Il faut tester des combinaisons : pompe A + capteur erroné + batterie vieillie + forte charge thermique.
Les scénarios combinés révèlent les dépendances qu’un essai unitaire ne voit pas.
Calculer le temps avant épuisement d’une réserve électrique
CALCUL PÉDAGOGIQUE — LES HYPOTHÈSES SONT EXPLICITES
HYPOTHÈSE PÉDAGOGIQUE : batterie utile restante = 420 kWh ; charges vitales après délestage = 70 kW.
Autonomie idéale = 420 kWh ÷ 70 kW = 6 h. Si une marge opérationnelle de 20 % est gardée, capacité planifiable = 420 × 0,80 = 336 kWh, donc 336 ÷ 70 = 4,8 h.
Ce calcul ignore rendement, température, vieillissement et puissance maximale de décharge. Il sert à distinguer énergie stockée (kWh) et puissance consommée (kW).
Questions de décision propres à ce risque
- Quel équipement vital perd son refroidissement si le bus principal tombe ?
- Quel seuil sera atteint en premier : batterie, température ou CO₂ ?
- Quelle charge peut être arrêtée sans créer une autre urgence différée ?
- Les secours électriques et thermiques partagent-ils un même convertisseur ou contrôleur ?
- Quel ordre de black start évite un second effondrement ?
Sources primaires principales
À relier aux autres dossiers
Pourquoi ces trois systèmes peuvent tomber ensemble
Le support-vie consomme de l’électricité pour faire circuler l’air, pomper l’eau, contrôler les vannes et traiter certains flux. Les équipements électriques et biologiques produisent de la chaleur qu’il faut rejeter. Le contrôle thermique dépend lui-même de pompes, ventilateurs et automatismes. Une panne électrique peut donc réduire simultanément le support-vie et le refroidissement.
Cette interaction explique pourquoi trois systèmes déclarés séparément « redondants » peuvent encore partager un même réseau électrique ou une même boucle de refroidissement. La cartographie des dépendances doit identifier ces intersections avant la mission.
Le temps avant seuil n’est pas le même pour chaque ressource
Après une perte de puissance, certaines températures montent lentement tandis que le dioxyde de carbone peut atteindre plus vite un seuil opérationnel. Une batterie peut tenir plusieurs heures mais un équipement de circulation d’air ne disposer que de quelques minutes de capacité locale. La crise doit donc être ordonnée selon les délais réels.
Un tableau de bord de survie doit afficher des temps estimés avant seuil et leur incertitude, pas seulement des voyants rouge/vert. La priorité est de restaurer la fonction qui possède la marge temporelle la plus courte ou dont la perte rendrait les autres réparations impossibles.
Le redémarrage doit être séquencé
Rétablir toute la charge simultanément après une panne peut provoquer un nouvel effondrement électrique. Les systèmes doivent pouvoir repartir par étapes : contrôle minimal, circulation vitale, refroidissement, traitement de l’air, puis fonctions moins critiques. Cette séquence doit être testée avec des équipements réellement représentatifs.
Le black start d’une cité martienne devient ainsi un scénario de mission à part entière. Il faut savoir quelles sources peuvent démarrer sans réseau, quelles charges sont autorisées en premier et comment confirmer que le réseau est stable avant de reconnecter le reste.