BIBLE MARS — RISQUE & RÉSILIENCE
Perte d’une source d’énergie sur Mars : îlotage, délestage et black start
La puissance installée ne garantit pas la survie : ce qui compte est la puissance encore disponible après la panne, au bon endroit et au bon moment.
Une base martienne peut combiner solaire, stockage, fission ou autres sources. Cette diversité devient utile seulement si le réseau peut isoler une panne, redistribuer l’énergie et redémarrer des sous-réseaux sans dépendre de l’équipement qui vient de tomber.
L’îlotage : empêcher une panne locale de devenir générale
L’îlotage consiste à séparer une partie du réseau pour qu’elle continue à fonctionner de manière autonome. Une anomalie de convertisseur, de câble ou de source peut ainsi être isolée avant de déstabiliser le bus entier.
La séparation doit être sélective et rapide, mais elle doit aussi préserver les charges indispensables. Une protection mal coordonnée peut couper la partie saine ou laisser un défaut tirer le réseau jusqu’à l’effondrement. Les réglages deviennent donc une composante de sûreté.
Le délestage doit être préparé et hiérarchisé
Lorsque la puissance disponible diminue, certaines charges doivent être réduites. Une liste statique est insuffisante : le besoin dépend du contexte. Le chauffage d’un volume peut devenir vital la nuit tandis qu’une charge industrielle identique reste non prioritaire.
Le système de contrôle doit connaître puissance minimale, temps maximal d’arrêt et conditions de redémarrage de chaque charge. L’équipage doit pouvoir comprendre et reprendre la main sur l’algorithme si les priorités automatiques ne correspondent plus à la situation réelle.
Black start : redémarrer sans réseau déjà vivant
Après un effondrement complet, certains générateurs ou convertisseurs ont besoin d’électricité pour leurs pompes, contrôleurs, chauffages ou excitations. Le black start désigne la capacité à amorcer le système depuis une source indépendante suffisamment petite mais protégée.
Cette batterie ou source de démarrage doit elle-même être maintenue. Si elle est utilisée quotidiennement jusqu’à un faible état de charge, la fonction de black start devient théorique. Les essais périodiques doivent démontrer qu’elle peut réellement réénergiser les équipements nécessaires.
Le redémarrage est une séquence, pas un interrupteur
Réactiver toutes les charges simultanément peut provoquer un nouveau pic et faire rechuter le réseau. On commence par commande, communications, refroidissement et systèmes nécessaires au prochain niveau, puis on ajoute progressivement les charges.
Chaque étape vérifie tension, fréquence ou paramètres équivalents, puissance disponible et stabilité thermique. Une séquence de black start doit être chronométrée et exercée avec des pannes simulées pour connaître le temps réel avant restauration du support-vie complet.
Calculer le délestage minimal après perte d’une source
CALCUL PÉDAGOGIQUE — LES HYPOTHÈSES SONT EXPLICITES
Exercice : la base consomme 240 kW. Une source de 90 kW est perdue alors que la production restante stable est de 180 kW. Le déficit vaut 240 − 180 = 60 kW.
Pour retrouver un équilibre instantané, il faut délester au moins 60 kW. Si l’on impose une marge opérationnelle de 15 % sur les 180 kW restants, puissance planifiable = 180 × 0,85 = 153 kW. Le délestage nécessaire devient 240 − 153 = 87 kW.
Le facteur 0,85 vient de 1 − 0,15. Le vrai réseau doit aussi traiter démarrages, batteries, rendement, puissance réactive éventuelle, transitoires et contraintes thermiques.
Tester l’architecture comme si l’équipe ne connaissait pas la panne
Un test réaliste ne dit pas aux opérateurs exactement quel composant va tomber. Il injecte une anomalie, mesure détection, isolement, compréhension, délestage et récupération. Cette méthode teste l’interface homme-machine autant que le matériel.
Les journaux doivent permettre de reconstruire la séquence à la seconde : quel relais a ouvert, quelle charge a disparu, quelle commande a échoué. Sans observabilité, une panne intermittente risque de revenir sans explication.
Questions de décision propres à ce risque
- Quelle partie du réseau peut continuer en îlot autonome si le bus principal est perdu ?
- Quelle charge est délestée en premier dans le scénario actuel, et pourquoi ?
- La source de black start est-elle protégée de la même cause de panne que le réseau principal ?
- Combien de minutes faut-il pour restaurer ECLSS, communications et contrôle thermique minimum ?
- Le dernier essai de black start a-t-il démarré depuis une véritable condition noire ou seulement simulé quelques commandes ?