BIBLE MARS — SÉCURITÉ SYSTÈME DE SYSTÈMES
Aller sur Mars ne consiste pas à survivre à un danger unique. Le risque naît de l’addition du lancement, du voyage interplanétaire, de l’atterrissage, des radiations, de la gravité partielle, de la poussière, de l’isolement, des microbes et surtout des défaillances qui se combinent. Cette page cartographie ces menaces et les transforme en exigences d’ingénierie, de stocks, de procédures et d’autonomie.
La NASA regroupe les risques humains du vol spatial autour de cinq grandes familles qui interagissent : les rayonnements spatiaux, l’isolement et le confinement, l’éloignement de la Terre, les changements de gravité et les environnements fermés ou hostiles. Pour une implantation martienne, cette grille doit être complétée par les risques propres au véhicule, à l’entrée-descente-atterrissage, aux tempêtes de poussière, à la production d’énergie, aux opérations industrielles et à la contamination.
Une tempête de poussière, par exemple, n’est pas seulement un problème météorologique. Elle peut diminuer la production photovoltaïque, modifier les conditions atmosphériques d’atterrissage, accélérer l’encrassement des mécanismes, réduire la visibilité, retarder une sortie extravéhiculaire et augmenter la consommation des réserves. Le danger sérieux apparaît lorsque plusieurs conséquences arrivent en même temps.
NASA Human Research Program — Five Hazards of Human Spaceflight : cadre de référence pour comprendre les risques humains interdépendants.
Défaillance propulsive, incendie, rupture structurelle, perte de contrôle, explosion au sol ou en vol. La réduction du risque repose sur la fiabilité démontrée, la détection précoce, les marges, les procédures d’arrêt et, pour un véhicule habité, une stratégie de sauvetage adaptée à chaque portion du vol.
Rayonnements, panne de propulsion ou d’énergie, fuite, incendie, micrométéoroïdes, dégradation du support-vie, maladie grave, conflit humain et incapacité à recevoir une aide immédiate. Le véhicule doit être réparable de l’intérieur et emporter des capacités de refuge.
Échauffement, dispersion atmosphérique, instabilité, insuffisance de décélération, propulsion terminale ou erreur de navigation. Les masses d’une mission humaine rendent cette phase beaucoup plus difficile que l’atterrissage d’un petit rover.
Dépressurisation, incendie, poussière, perchlorates, froid, radiations, panne d’énergie, rupture d’eau, défaillance des sas, perte de véhicule et erreurs humaines. La survie dépend de la compartimentation et de la redondance.
Effets inconnus de 0,38 g, perte osseuse et musculaire, évolution du microbiome, maladies chroniques, fatigue, santé mentale, pénurie de pièces, dérive organisationnelle et dépendance à quelques composants impossibles à fabriquer localement.
Deux équipements identiques peuvent partager le même défaut. La redondance n’est réelle que si les chaînes indépendantes ne dépendent pas toutes du même logiciel, du même capteur, du même tableau électrique ou de la même pièce rare.
Un système de lancement concentre des quantités considérables d’énergie dans une machine soumise à des vibrations, des gradients thermiques, des pressions et des séquences de fonctionnement rapides. Dans une architecture martienne, la première protection n’est donc pas un « blindage » mais une discipline de conception : qualification des composants, essais intégrés, analyse des modes de défaillance, marges, instrumentation, capacité à détecter les écarts et règles de décision permettant d’interrompre un vol lorsque les données cessent d’être compatibles avec la sécurité.
Pour l’équipage, la stratégie de sauvetage doit être pensée comme une fonction complète, et non comme un bouton magique. Elle dépend de l’altitude, de la vitesse, de la trajectoire, de la capacité du véhicule habité à se séparer, du lieu d’amerrissage ou d’atterrissage, de la météo et de la disponibilité des équipes de récupération. Un système réellement habité doit donc raisonner par fenêtres de survie pendant toute l’ascension.
Le coût de cette sécurité n’est pas isolable en une somme universelle : il se répartit entre développement, essais, véhicules de qualification, redondance des équipements, moyens de secours et opérations. Supprimer les essais peut réduire le coût visible à court terme tout en augmentant le risque de perdre un véhicule, un équipage et le programme lui-même.
Entre les planètes, il faut distinguer les débris orbitaux artificiels, surtout préoccupants près de la Terre, et les micrométéoroïdes naturels présents dans l’espace. Une particule minuscule peut posséder une énergie d’impact importante à très grande vitesse relative. La réponse classique consiste à éviter qu’une unique peau externe soit la seule barrière : boucliers espacés, couches sacrificielles, détection de fuite, compartiments isolables et stocks de réparation.
Une perforation n’est dangereuse que par sa chaîne de conséquences : perte de pression, projection de débris secondaires, perte d’un circuit, incendie électrique éventuel et temps nécessaire pour localiser la fuite. Il faut donc que les portes internes puissent isoler rapidement un volume et que l’équipage puisse rejoindre un autre compartiment sans traverser la zone endommagée.
La distance ajoute une contrainte radicale. Une urgence médicale, une panne informatique ou un incendie ne peut pas être piloté comme dans une station proche de la Terre. Les procédures, les outils de diagnostic, les pièces, les médicaments et l’autorité de décision doivent être à bord. C’est le sens de l’autonomie opérationnelle : l’équipage et les systèmes automatiques doivent pouvoir stabiliser la situation avant de demander conseil.
Les radiations imposent de distinguer l’exposition chronique aux rayons cosmiques galactiques et les événements solaires pouvant augmenter brutalement le débit de dose. Une architecture raisonnable prévoit un refuge plus fortement protégé, souvent entouré de masses déjà nécessaires à bord — eau, nourriture, consommables — afin de cumuler les fonctions plutôt que de transporter du blindage mort.
Mars possède une atmosphère assez dense pour produire un échauffement et une traînée aérodynamique, mais trop ténue pour qu’un parachute suffise à poser facilement des charges humaines très massives. Cette combinaison rend l’EDL — Entry, Descent and Landing, c’est-à-dire entrée, descente et atterrissage — particulièrement exigeant. Les technologies ayant posé des rovers ne se mettent pas simplement à l’échelle par multiplication.
Une implantation durable doit en outre répéter l’opération. Le problème n’est pas seulement de poser un premier habitat, mais des cargaisons lourdes, des véhicules, des réacteurs, des équipements industriels et finalement des équipages à proximité d’une zone déjà occupée, sans que les panaches ou les débris n’endommagent les installations. Cela conduit à penser dès le départ aux zones d’atterrissage, aux distances de sécurité, à la navigation de précision et aux infrastructures de surface.
Les systèmes critiques — énergie, communications, habitation, production d’eau — ne doivent pas être concentrés sous la trajectoire d’un véhicule entrant. Une ville martienne mature devra posséder une géographie de sécurité : pistes ou plateformes distinctes, routes logistiques, zones de quarantaine et possibilités de dérouter un atterrissage.
NASA — Mars Entry, Descent and Landing Architecture White Paper : difficultés de mise à l’échelle des systèmes d’atterrissage pour des charges humaines.
Les vents martiens ne frappent pas les structures avec la même force qu’un ouragan terrestre, parce que l’atmosphère est très peu dense. Il serait donc trompeur d’imaginer des bâtiments massifs arrachés comme dans un film. En revanche, la poussière constitue un véritable problème opérationnel : elle réduit l’ensoleillement lors de certains épisodes, se dépose sur des surfaces, s’insinue dans les mécanismes, dégrade la visibilité et peut être transportée jusque dans les sas.
L’histoire des missions robotiques illustre l’enjeu énergétique : la production solaire peut chuter lorsque l’opacité atmosphérique augmente. La solution pour une implantation humaine n’est pas « enlever la poussière une fois par semaine », mais disposer d’un budget énergétique de crise : batteries, production pilotable, délestage des charges non vitales, nettoyage ou géométrie de panneaux adaptée, prévision météo et réserve permettant de tenir un épisode prolongé.
Une base exclusivement solaire doit démontrer son autonomie pendant la pire combinaison crédible de poussière, dégradation des panneaux, température et consommation. Une architecture mixte peut réduire cette vulnérabilité : solaire quand il est disponible, stockage, éventuellement fission de surface ou autre source pilotable, et micro-réseau capable d’isoler un secteur défaillant.
La poussière est également un problème sanitaire et chimique. Le régolithe fin ne doit pas circuler librement entre l’extérieur et les espaces de vie. Sas, zones sales, nettoyage, filtration, textiles et combinaisons doivent constituer une chaîne cohérente.
NASA Science — Mars Dust Storms : les tempêtes globales affectent notamment l’éclairement solaire, tandis que la faible densité atmosphérique limite les forces aérodynamiques par rapport à la Terre.
La gravité de surface de Mars vaut environ 38 % de la gravité terrestre. Nous disposons d’une grande expérience de la microgravité en orbite et de données plus limitées sur des séjours en gravité lunaire, mais nous n’avons jamais observé des humains vivant des années, encore moins toute une vie, à 0,38 g. Cette absence de données est en elle-même un risque.
En microgravité, les astronautes peuvent perdre de la densité minérale osseuse et de la masse musculaire sans contre-mesures. Sur Mars, une partie de la charge mécanique revient, mais nul ne peut aujourd’hui affirmer avec certitude que 0,38 g suffit à préserver à long terme le squelette, le système cardiovasculaire, la vision, l’équilibre, la grossesse ou le développement d’un enfant.
La réponse doit combiner recherche, exercice résistif, suivi médical, nutrition, conception des postes de travail et éventuellement dispositifs produisant une gravité artificielle pour certaines phases si leur bénéfice est démontré. Il faut également prévoir la transition brutale entre des mois de microgravité et une arrivée où il faut immédiatement gérer une situation opérationnelle.
NASA HRP — Hazard: Gravity Fields : la transition entre microgravité, gravité martienne et retour terrestre fait partie des risques humains majeurs.
Il n’existe aujourd’hui aucune preuve qu’un virus ou une bactérie martienne pathogène pour l’être humain existe. Présenter ce scénario comme un danger démontré serait scientifiquement faux. En revanche, une cité fermée emporte avec elle des milliers d’espèces microbiennes terrestres, et son microbiome évoluera sous l’effet de l’isolement, des surfaces artificielles, des désinfectants, de l’alimentation et de la santé des habitants.
Le risque immédiat est donc beaucoup plus classique : infection humaine, transmission dans un volume fermé, résistance antimicrobienne, contamination d’un circuit d’eau ou de nourriture, déséquilibre du microbiome, capacité limitée du laboratoire médical et stocks pharmaceutiques finis. Une petite population ne peut pas disposer de toutes les spécialités médicales terrestres ; elle doit former des professionnels polyvalents, disposer de diagnostics automatisés et organiser la quarantaine sans rendre toute la cité inhabitable.
La biosécurité a une deuxième dimension : la protection planétaire. Si des microorganismes terrestres sont dispersés dans des zones scientifiquement sensibles, une future biosignature pourrait devenir ambiguë. La ville doit donc distinguer espaces industriels, espaces de vie et zones scientifiques protégées, avec traçabilité des prélèvements et chaîne de garde.
Une cité peut survivre à une panne de pompe si elle possède une deuxième pompe. Elle peut survivre à une perte de production solaire si ses batteries et sa production pilotable tiennent. Elle peut survivre à un incendie si le compartiment est isolé. Mais que se passe-t-il si l’incendie endommage un tableau électrique au moment où la poussière limite le solaire et où le véhicule de secours est immobilisé ? C’est là que commence l’ingénierie de résilience.
Chaque système vital doit posséder une analyse des modes de défaillance : quelle panne peut se produire, comment la détecter, combien de temps existe avant conséquence grave, quelle barrière l’arrête, quel mode dégradé reste disponible et quelle ressource permet la réparation. Les scénarios doivent être joués comme des exercices, avec des personnes réellement fatiguées, des communications différées et des informations incomplètes.
Cette chaîne correspond à l’esprit du FDIR — Fault Detection, Isolation and Recovery. En termes simples : constater qu’il y a un problème, identifier ce qui est en panne, empêcher le problème de se propager et restaurer un fonctionnement acceptable.
Au début, les composants de sécurité les plus sophistiqués devront être fabriqués et qualifiés sur Terre : électronique de puissance, capteurs de haute fiabilité, membranes, médicaments, composants de scaphandre, roulements spéciaux, valves, contrôleurs et pièces dont une défaillance peut tuer rapidement. Ils devront être transportés sous forme de pièces installées, de rechanges et parfois de sous-ensembles complets.
La fabrication locale doit commencer par ce qui offre un fort gain de masse et une criticité contrôlable : structures secondaires, blindage en régolithe, supports, conduites simples, pièces usinées, éléments de route ou de plateforme, réservoirs ou pièces dont le contrôle qualité est maîtrisé. À mesure que métrologie, métallurgie, chimie, électronique et contrôle non destructif progressent, la frontière entre « importé » et « produit sur Mars » peut se déplacer.
Le critère n’est pas le prestige technologique. Il faut mesurer la dépendance critique : une ville qui produit 95 % de sa masse annuelle mais dépend d’un composant terrestre de 200 grammes impossible à remplacer peut rester vulnérable. Les stocks stratégiques doivent donc être déterminés par criticité, délai de réapprovisionnement, taux de panne et capacité de substitution.
Il n’existe pas de « prix de la sécurité martienne » indépendant de l’architecture. Une redondance peut doubler un sous-système mais éviter de doubler l’habitat ; un refuge radiologique peut utiliser l’eau et les consommables déjà présents ; un atelier de réparation peut réduire les stocks futurs mais ajouter des machines et du personnel. Le coût doit donc être calculé en masse, énergie, volume, temps humain, fiabilité et argent.
Le bon raisonnement est celui du coût d’un risque résiduel. Si la perte d’une pompe menace l’eau de toute la ville, ajouter une pompe indépendante et des pièces vaut beaucoup. Si un objet est non critique, rarement utilisé et facilement fabricable localement, en stocker dix exemplaires peut être un gaspillage. La hiérarchie des risques décide où placer les marges.
Elle n’est pas invulnérable. Elle possède plusieurs quartiers pressurisés, plusieurs sources énergétiques ou chemins de distribution, des réserves physiques séparées, des ateliers, un hôpital, des capteurs redondants, des procédures imprimées hors réseau, des logiciels récupérables, des équipes capables d’exercer plusieurs métiers et des zones de refuge. Elle peut perdre un bâtiment ou un sous-réseau sans perdre toute la cité.
Elle accepte aussi que certains risques ne sont pas encore quantifiables. La gravité partielle sur plusieurs décennies, la démographie, le vieillissement d’infrastructures exposées à la poussière et le comportement social d’une communauté très éloignée de la Terre sont des domaines où l’expérience sera nécessaire. La Bible Mars doit donc distinguer ce qui est démontré, ce qui est en développement et ce qui reste à découvrir.
Ces dossiers analysent le passage du danger isolé à la chaîne de défaillances : détection, temps disponible, mode dégradé, réparation et reprise.
