Survie & ECLSS : fermer les boucles sans cacher les pannes
Un ECLSS est un système de fonctions vitales, pas une machine unique. Il doit maintenir air, eau, température et qualité tout en restant contrôlable lorsqu’un composant tombe en panne.
Le module distingue performances démontrées sur l’ISS, objectifs de longue durée et scénarios pédagogiques martiens.
1. Partir des fonctions vitales
Un ECLSS n’est pas une boîte unique mais un ensemble de fonctions : atmosphère respirable, eau potable, contrôle thermique, hygiène, traitement des déchets et surveillance. Les machines peuvent changer ; la fonction à maintenir reste.
Pour chaque fonction, notez stock, débit, qualité et temps avant conséquence. Une panne de capteur CO₂ et une rupture de coque n’ont ni la même vitesse ni le même mode de réponse. Les constantes de temps sont donc une donnée de sûreté.
Intuition système
Un système vital doit être décrit comme une fonction mesurable avant de choisir son matériel. Pour chaque fonction, on écrit une variable contrôlée, un domaine acceptable, un capteur, une action, une voie de secours et un critère de récupération. Cette méthode évite de confondre la marque d’un équipement avec la fonction de survie qu’il assure.
Le même matériel peut participer à plusieurs fonctions ; cette interconnexion doit être visible dans l’analyse de causes communes.
Cas de conception — fonction et secours
Prenez la fonction « retirer le CO₂ ». Écrivez successivement le capteur qui détecte la dérive, la capacité nominale de retrait, le signal de saturation, la voie de secours et le critère autorisant le retour au mode normal. Si la voie de secours utilise le même ventilateur ou le même bus électrique, elle n’est pas indépendante. Cette simple fiche transforme une liste d’équipements en architecture de survie vérifiable.
2. Atmosphère : pression plus composition
Une atmosphère habitable possède une pression totale et des pressions partielles. O₂, CO₂, vapeur d’eau et contaminants doivent être suivis ; une pression totale correcte peut cacher une composition dangereuse.
La pression est aussi une charge structurelle. Une différence de 70 kPa sur 1 m² correspond idéalement à 70 kN. Le même gaz est donc simultanément ressource vitale et chargement mécanique de la coque.
Bilan quantifié
Pression totale et composition ne suffisent pas séparément. Une atmosphère peut avoir une pression correcte mais une pression partielle d’oxygène insuffisante, ou l’inverse. Les capteurs doivent donc distinguer pression, fractions gazeuses, température, humidité et contaminants plutôt que de réduire « l’air » à une seule lecture.
Un changement de pression modifie toutes les pressions partielles même si les fractions molaires restent provisoirement stables.
Cas de calcul — atmosphère
Supposons 70 kPa avec 30 % d’O₂ et 0,6 % de CO₂ dans un exercice. Les pressions partielles sont 21 kPa pour O₂ et 0,42 kPa pour CO₂. Si la pression totale tombe à 60 kPa sans changement instantané de fraction, elles deviennent 18 kPa et 0,36 kPa. Le même pourcentage ne produit donc pas le même état physiologique lorsque la pression totale change.
3. CO₂, humidité et contaminants s’accumulent
Le crew produit continuellement CO₂ et vapeur d’eau. Les systèmes de retrait doivent couvrir le régime nominal, les pointes d’activité, les redémarrages et certaines pannes. Le débit de traitement doit être comparé au débit de production.
La mesure est une barrière. Un absorbeur performant avec un capteur faux peut laisser dériver l’atmosphère sans alarme crédible. Étalonnage, redondance et vérification croisée appartiennent donc à la boucle vitale.
Mode dégradé
CO₂, vapeur d’eau et contaminants sont des flux produits en continu. Le dimensionnement doit comparer leur production maximale plausible au retrait disponible, puis ajouter les périodes de régénération, de changement de lit adsorbant ou de maintenance. Une capacité nominale exactement égale à la production laisse aucune marge à une dérive ou à un membre d’équipage supplémentaire.
Un stock tampon ou un volume cabine important peut ralentir la hausse de concentration sans corriger le déséquilibre de débit.
Cas de dérive — contaminant
Une boucle génère 0,25 kg/h d’un contaminant équivalent et en retire 0,24 kg/h. L’écart semble minuscule : 0,01 kg/h. Pourtant il accumule 0,24 kg en 24 h et 7,2 kg en 30 jours. L’exercice montre pourquoi le bilan de débit doit être fermé à la précision nécessaire et pourquoi une petite dérive persistante peut devenir une urgence lente.
4. Oxygène, électrolyse et Sabatier
L’électrolyse de l’eau produit O₂ et H₂. Le CO₂ retiré de l’atmosphère peut réagir avec H₂ dans une unité Sabatier pour produire CH₄ et H₂O. L’eau peut revenir vers l’électrolyse, augmentant la récupération globale d’oxygène.
Le couplage crée aussi des interfaces. Une architecture sûre doit pouvoir isoler un catalyseur contaminé, un compresseur ou un séparateur sans perdre simultanément eau potable et production d’oxygène.
Lecture de sûreté
L’oxygène peut provenir d’un stock, d’électrolyse ou d’une chaîne couplée au traitement du CO₂. Chaque voie possède des dépendances différentes en eau, énergie, compression et consommables. Une architecture sûre doit pouvoir isoler un sous-système défaillant sans contaminer ou arrêter l’ensemble de la boucle.
La stœchiométrie indique les masses idéales ; elle ne donne ni l’efficacité électrique, ni la pureté, ni la durée de vie des catalyseurs.
Cas de matière — oxygène
Dans un bilan idéal, 72 kg d’eau électrolysés donnent 8 kg d’H₂ et 64 kg d’O₂. Si les 8 kg H₂ alimentent Sabatier avec 44 kg CO₂, la réaction produit 36 kg d’eau et 16 kg CH₄ ; seule la moitié de l’hydrogène initial revient après ré-électrolyse de cette eau. Le circuit possède donc encore une frontière ouverte à identifier.
5. Eau : comprendre le jalon des 98 %
NASA a annoncé que l’ECLSS de l’ISS avait démontré environ 98 % de récupération totale d’eau avec le Brine Processor Assembly, contre environ 93–94 % avant ce système. Ce chiffre agrégé ne signifie pas que chaque flux individuel récupère 98 %.
Scénario pédagogique : q = 20 kg/personne/jour de flux brut. À 100 personnes, qN = 2 000 kg/j. À R = 0,98, appoint = 40 kg/j ; à R = 0,94, appoint = 120 kg/j. L’écart est 80 kg/j, soit 29,2 t/an.
Exercice 5
Pour 1 000 personnes, q = 20 kg/j et R = 0,98 : appoint annuel ?
Correction : 400 kg/j × 365 = 146 000 kg = 146 t/an. q est une hypothèse pédagogique.
Le résultat de 146 t/an montre pourquoi 98 % de récupération n’équivaut pas à l’autonomie. Avec 1 000 personnes, les 2 % restants deviennent une masse logistique majeure ; q doit rester explicitement identifié comme hypothèse pédagogique.
Étude intégrée — l’eau à 98 % ne supprime pas les pertes
NASA a démontré sur l’ISS un jalon d’environ 98 % de récupération totale de l’eau, contre environ 93–94 % auparavant. Prenons un scénario pédagogique de flux brut de 20 kg/personne/jour. Pour 20 personnes, le flux brut vaut 400 kg/j. À 98 %, l’appoint idéal dû à la seule fraction non récupérée vaut 8 kg/j, soit environ 2,92 t/an. À 94 %, il vaut 24 kg/j, soit 8,76 t/an. Quatre points de récupération changent donc l’appoint annuel de 5,84 t dans cet exemple.
Le calcul ne doit pas être confondu avec une exigence NASA sur la consommation d’un colon : 20 kg/personne/jour est une hypothèse pédagogique de flux à travers la boucle. Les fuites, pertes de maintenance, rejets de qualité, eau immobilisée dans des procédés ou nourriture et inventaire de sécurité s’ajoutent. Un chiffre global de récupération ne remplace pas le bilan détaillé des flux.
Intuition système
Le jalon ISS de 98 % est une performance de récupération globale démontrée dans une architecture précise, pas une promesse que toute boucle martienne perdra exactement 2 %. Pour apprendre à dimensionner, il faut convertir le pourcentage en masse d’appoint, puis ajouter stockage, qualité, pertes de maintenance et scénarios de panne.
Le flux q doit être défini : eau potable seule, eau totale traitée ou débit de boucle donnent des résultats radicalement différents.
Cas de logistique — eau
Pour 100 personnes, prenez un débit traité pédagogique de 20 kg/personne/jour. À 98 % de récupération, l’appoint idéal est 40 kg/j ; à 94 %, 120 kg/j. Sur une année, l’écart est 29,2 tonnes. Ce calcul ne fixe pas le débit réel d’une colonie : il montre la sensibilité logistique à quelques points de récupération lorsque la population devient grande.
6. Récupérer l’eau ne suffit pas : il faut la qualifier
NASA décrit une chaîne ISS comprenant filtration, traitement catalytique, capteurs de qualité et retraitement d’une eau non conforme. Une boucle de récupération est donc aussi un laboratoire permanent.
Un faux “bon” de capteur peut être plus dangereux qu’un filtre clairement arrêté. Échantillonnage, étalonnage, critères d’acceptation et stockage tampon réduisent le risque qu’une mesure unique contamine tout le réseau.
Bilan quantifié
La qualité de l’eau est une fonction séparée du rendement massique. Une boucle très efficace qui laisse passer un contaminant critique est inutilisable. Il faut donc définir paramètres de qualité, fréquence d’échantillonnage, capteurs, analyses de confirmation, capacité de retraitement et volume de quarantaine pour un lot douteux.
Une mesure conforme ne prouve pas que tous les contaminants possibles ont été mesurés ; le plan de contrôle doit relier risque et méthode analytique.
Cas de qualification — eau
Imaginez qu’un processeur produise 500 L/j et que 2 % des lots soient temporairement hors spécification. Même avec un excellent bilan de masse, l’exploitation doit disposer d’un tampon pour isoler ces lots, les retraiter ou les analyser. Si le temps de confirmation laboratoire est 12 h, le volume tampon ne peut pas être dimensionné uniquement sur le débit moyen de consommation.
7. Nourriture et déchets : fermeture partielle
La nourriture combine calories, protéines, micronutriments, eau, durée de stockage et acceptabilité. Les cultures peuvent fournir du frais et contribuer à certains échanges gazeux, sans supprimer immédiatement la logistique alimentaire.
Les déchets contiennent encore eau, carbone, azote, phosphore et matériaux. Les récupérer demande énergie, réacteurs, contrôles sanitaires et maintenance. Une boucle optimale peut accepter une perte résiduelle lorsque le coût de fermeture supplémentaire devient supérieur à sa valeur.
Mode dégradé
La nourriture introduit un compromis entre masse expédiée, eau contenue, stabilité nutritionnelle, temps équipage, cultures fraîches et déchets. Les végétaux peuvent fournir variété et micronutriments sans que l’habitat devienne automatiquement autosuffisant en calories. Le bilan doit compter énergie lumineuse, eau, nutriments, volume, maintenance et pertes de récolte.
Une réduction de masse d’aliment peut déplacer la charge vers l’eau ou l’énergie ; l’optimum se juge au niveau du système.
Cas de système — nourriture
Une ration préemballée de 2,0 kg/j à 46 % d’eau contient 1,08 kg de matière sèche. À 30 % d’eau, conserver la même matière sèche donnerait 1,54 kg/j. La masse expédiée diminue d’environ 0,46 kg/j, mais la boucle d’eau doit fournir davantage lors de la consommation. Il faut donc déplacer la frontière du bilan plutôt que compter deux fois le gain.
8. Incendie, dépressurisation et refuge
Un incendie combine chaleur, fumées et gaz toxiques ; une dépressurisation combine perte d’atmosphère et risque structurel. Dans les deux cas, il faut pouvoir abandonner localement le mode nominal : compartiments, portes, masques, extincteurs, réserves et refuge.
Un refuge possède son propre budget d’air, eau, puissance et communications pour une durée définie. Cette durée doit couvrir détection, isolement, diagnostic et réparation, pas seulement rassurer. Les consommables de secours doivent être physiquement indépendants du défaut contre lequel ils protègent.
Scénario refuge — 72 heures sans ressource externe
Imaginez un compartiment refuge pour 6 personnes pendant 72 h. Au lieu de commencer par une masse arbitraire, dressez la liste des fonctions : pression, oxygène, retrait du CO₂, eau potable, température, puissance de contrôle, éclairage minimal, communication, soins et toilettes. Chaque fonction reçoit un stock ou une capacité, une marge et un critère de sortie. Le refuge n’est pas seulement « une pièce renforcée » ; c’est un mini-système vital isolable.
Pour l’eau potable, si le scénario pédagogique retient 4 kg/personne/jour de besoin direct, la base arithmétique vaut 6×4×3=72 kg avant marge. Ajouter 25 % donne 90 kg. Cette masse n’inclut pas l’eau de lutte incendie ni les usages médicaux. Pour l’électricité, une charge critique moyenne de 1,5 kW pendant 72 h exige 108 kWh utiles ; avec 85 % de chaîne de stockage, il faut environ 127 kWh stockés en amont. Deux fonctions, deux budgets, deux hypothèses clairement séparées.
Lecture de sûreté
Incendie et dépressurisation exigent des réponses opposées sur certains points : un feu peut demander confinement, coupure de ventilation ou extinction, tandis qu’une fuite impose isolement de volume et gestion d’une perte de pression. Le refuge doit rester habitable pendant la réparation sans dépendre du même défaut qui a déclenché l’urgence.
Le concept NASA de refuge 30 jours est une architecture étudiée, pas une durée universelle ; la mission doit démontrer son propre temps de récupération.
Cas d’urgence — refuge
Pour huit personnes pendant 30 jours, une charge vitale moyenne de 3 kW représente 2 160 kWh si aucune production n’est disponible. Avec 80 % d’énergie utilisable et 90 % de rendement de conversion, le stockage nominal nécessaire devient 2 160/(0,8×0,9)≈3 000 kWh. L’exercice sépare consommation utile, profondeur de décharge et pertes.
9. Poussière martienne : un risque de contamination mesurable
En juillet 2026, NASA a établi une exigence préliminaire de 0,1 mg/m³ en moyenne sur 24 h pour les particules martiennes <10 µm dans des scénarios d’exposition jusqu’à 30 jours. L’agence souligne les incertitudes dues à l’absence d’échantillons authentiques de poussière aéroportée retournés pour toxicologie complète.
À cette concentration, 100 m³ d’air contiennent 10 mg suspendus en moyenne. La masse est minime mais l’exposition respiratoire concerne précisément des particules fines. Sas, gestion des scaphandres, nettoyage, filtration et capteurs forment donc une défense en profondeur.
Scénario EVA — poussière, sas et contamination croisée
NASA a publié en juillet 2026 une exigence préliminaire visant les particules martiennes de moins de 10 µm : moyenne pondérée sur 24 h inférieure à 0,1 mg/m³ pour certains scénarios jusqu’à 30 jours. Dans un habitat de 150 m³, cette concentration moyenne correspond à 15 mg de masse aérienne à cet instant moyen. Une faible masse totale peut donc suffire à dépasser un critère respiratoire quand elle est dispersée en particules fines.
L’architecture de contamination cherche à empêcher la poussière d’atteindre l’air habitable : zones sales et propres, dépoussiérage des scaphandres, surfaces nettoyables, filtration, mesure et procédures après EVA. Comme aucune poussière martienne aéroportée authentique n’a encore été rapportée sur Terre, la NASA souligne l’incertitude de la limite initiale. Le bon réflexe est donc de concevoir pour mesurer et réviser, pas de traiter 0,1 mg/m³ comme une vérité biologique définitive.
Intuition système
La poussière martienne doit être traitée comme un flux de contamination : entrée par EVA, dépôt, remise en suspension, filtration et élimination. La nouvelle exigence NASA 2026 fournit une limite moyenne de 24 h pour les particules <10 µm, mais la conception doit également regarder les pics locaux et l’incertitude toxicologique.
Une concentration moyenne acceptable peut cacher un pic important près d’un sas ; échantillonnage et localisation des capteurs comptent.
Cas d’exposition — poussière
Une moyenne pondérée sur 24 h peut combiner 0,20 mg/m³ pendant 2 h près du sas et 0,05 mg/m³ pendant 22 h dans le reste de la journée. La moyenne vaut 0,0625 mg/m³. Elle reste sous 0,1 mg/m³ dans cet exemple, mais le pic à 0,20 peut encore être important pour l’exploitation et la stratégie de prélèvement.
10. Radiations, EVA et temps de retour
Le rayonnement de fond et les événements solaires imposent blindage et gestion du temps d’exposition. L’EVA ajoute vide, poussière, fatigue, thermique et dépendance au scaphandre. Ces risques doivent être reliés au planning et aux capacités de retour.
Une architecture peut réserver une zone mieux protégée et définir des règles d’entrée en fonction des alertes. Une EVA doit conserver une marge de consommables et un chemin de retour compatible avec une panne crédible. La survie est aussi une gestion du temps disponible.
Bilan quantifié
Radiation et EVA deviennent une question de temps vers le blindage. Une sortie lointaine ajoute un délai de retour, une dépendance à la mobilité et une possibilité de panne simultanée. La procédure doit relier prévision, alarme, distance, vitesse dégradée, dose déjà accumulée et capacité du refuge.
Le calcul de temps ne convertit pas directement un événement radiatif en dose ; il sert à déterminer la fenêtre de réponse opérationnelle.
Cas de retour — EVA
Une équipe travaille à 24 km du refuge. À 12 km/h nominal, le retour prend 2 h. Si une panne réduit la vitesse à 6 km/h, il faut 4 h. Une limite d’excursion fondée sur la vitesse nominale peut donc doubler le temps d’exposition au moment précis où l’on dépend d’un mode dégradé. La distance doit être liée au pire mode crédible.
11. Médecine et facteurs humains
Le délai de communication Terre-Mars interdit une téléassistance instantanée. Le crew doit reconnaître, stabiliser et traiter localement un ensemble de problèmes. L’hôpital dépend lui-même de l’eau, la puissance, la stérilisation, la pharmacie, le froid et les déchets.
Fatigue, sommeil, conflits et charge de maintenance influencent le risque. Une architecture théoriquement redondante peut devenir fragile si chaque panne consomme trop d’heures d’un spécialiste rare. Le temps humain est une ressource d’ECLSS au sens large.
Mode dégradé
La médecine de mission doit classer ce qui peut être diagnostiqué localement, ce qui peut attendre une expertise terrestre et ce qui exige une action immédiate. Le stock médical est donc un portefeuille de capacités : médicaments, consommables, stérilisation, imagerie, sang ou substituts, procédures et compétence humaine.
Le délai de communication varie avec la géométrie ; l’architecture doit être robuste à la plage de délais et aux coupures, pas à une valeur unique.
Cas clinique — autonomie
Une procédure de décision médicale exige quatre échanges avec un spécialiste terrestre. Avec 18 min aller, un échange question-réponse minimal prend 36 min ; quatre séquences pourraient dépasser 2 h 20 avant même les temps humains. Toute urgence dont la fenêtre thérapeutique est plus courte doit être gérée localement avec procédures, compétence et matériel disponibles.
12. Redondance et causes communes
Deux unités identiques branchées sur la même alimentation ou le même logiciel ne sont pas deux barrières indépendantes. Une cause commune — énergie, contamination, configuration, erreur de procédure — peut les perdre ensemble.
Le mode dégradé est une configuration volontairement moins confortable mais stable : certaines zones isolées, expériences reportées, consommation réduite. Définir ces états avant l’urgence permet de dimensionner réserves et procédures.
Lecture de sûreté
La redondance utile sépare les causes. Deux équipements sur la même alimentation, dans le même local poussiéreux et avec le même logiciel peuvent échouer ensemble. Diversité, isolation, surveillance indépendante et capacité de réparation comptent parfois davantage que le simple nombre d’unités.
Les calculs probabilistes indépendants doivent être présentés comme des modèles conditionnels, jamais comme une preuve que les causes communes ont disparu.
Cas de cause commune
Deux pompes de secours sont installées dans le même compartiment et partagent un contrôleur. Une contamination liquide du compartiment ou une erreur logicielle peut neutraliser les deux. Ajouter une troisième pompe identique au même endroit augmente le nombre de composants sans créer une vraie diversité. Le bon exercice consiste à chercher quelle séparation physique ou fonctionnelle casse la cause commune.
13. Échelle : 4, 20, 100, 1 000 habitants
À quatre personnes, un équipement et un stock peuvent suffire. À vingt, pièces et charge de maintenance structurent l’organisation. À cent, hôpital, atelier, qualité de l’eau et redondance multi-zone deviennent des infrastructures. À mille, 2 % de perte d’un gros flux représente des centaines de kilogrammes chaque jour.
La grande population apporte davantage de compétences mais aussi réseaux, interfaces et risques de contamination commune. Une ville n’est pas une mission multipliée par 250.
14. Exercice intégrateur : 72 h sans récupération d’eau
Scénario : 100 personnes, demande vitale réduite à 4 kg/personne/j, récupération nulle, réserve séparée de 1 500 kg. La demande vaut 400 kg/j. En trois jours, 1 200 kg sont consommés ; il reste 300 kg, soit 18 h au même régime.
Le chiffre ouvre les vraies questions : peut-on réduire encore le débit, la réserve est-elle de qualité vérifiée, la réparation finira-t-elle avant 72 h, le stock est-il isolé de la panne et quels usages non vitaux sont automatiquement coupés ?
Changement d’échelle — quand une boucle devient une infrastructure
À quatre personnes, un unique appareil peut parfois être surveillé directement par tout l’équipage. À vingt, le système devient un service avec maintenance planifiée et pièces dédiées. À cent, l’arrêt d’une boucle peut affecter une population qui ne participe pas à son exploitation ; il faut compartimenter, distribuer, isoler et documenter. À mille, plusieurs trains parallèles, stocks stratégiques, ateliers et équipes spécialisées deviennent plausibles, mais de nouvelles causes communes apparaissent : même logiciel, même alimentation, même filtre ou même erreur de métrologie.
Le changement d’échelle ne se résume donc pas à multiplier la puissance par le nombre d’habitants. Prenez une pompe dont le MTTR pédagogique est de 8 h. Une seule pompe impose huit heures de fonction indisponible lors d’une panne. Deux trains réellement isolables peuvent maintenir un service partiel, mais seulement si la panne n’est pas due à une contamination de l’eau commune ou à un défaut électrique partagé. La redondance utile exige l’indépendance des causes de panne autant que la duplication des machines.
- 4 : équipe intégrée, stocks simples mais peu de profondeur humaine.
- 20 : spécialisation et premières redondances dédiées.
- 100 : services distribués, compartimentage et maintenance institutionnalisée.
- 1 000 : trains multiples, industrie de support et maîtrise des causes communes.
Projet de fin de module — sept jours en mode dégradé contrôlé
Une base de 20 personnes perd une unité de traitement d’eau et doit fonctionner sept jours sur stocks et capacité réduite. Le scénario pédagogique suppose 5 kg/personne/jour de besoin direct non différable et 3 kg/personne/jour d’usages reportables. Le besoin vital minimal vaut 20×5×7 = 700 kg. Les usages reportables ajouteraient 420 kg. Cette séparation crée immédiatement une politique de mode dégradé : 700 kg sont une fonction vitale ; les 420 kg peuvent être réduits ou différés selon la situation.
Le stock disponible est de 1 050 kg, dont 150 kg sont réservés à la médecine et aux événements imprévus. Il reste donc 900 kg pour l’exploitation courante. Le besoin vital de 700 kg laisse 200 kg, insuffisants pour maintenir les 420 kg d’usages reportables. Le système doit rationner environ 220 kg sur sept jours, soit 31,4 kg/j. Cette phrase ne dit pas qui boit moins : on réduit d’abord les usages non vitaux définis par le scénario. Une règle de sûreté découle du bilan avant de devenir une règle organisationnelle.
En parallèle, le train principal de retrait du CO₂ est indisponible 10 h et un train de secours assure 70 % de la capacité nominale. Sans modèle métabolique détaillé, on ne calcule pas ici une concentration réelle ; on définit plutôt les informations nécessaires : production de CO₂ par personne, volume habitable, ventilation, capacité d’adsorption, seuils et dynamique du capteur. Savoir quand ne pas calculer avec des données absentes est une compétence de sûreté. Inventer un taux métabolique pour remplir une équation serait moins rigoureux que déclarer l’information manquante.
Une EVA imprévue ramène ensuite une charge de poussière. La base doit pouvoir isoler le sas, nettoyer le scaphandre, surveiller l’air et remplacer un filtre sans arrêter la totalité du système. Le scénario cherche une cause commune : si le même circuit électrique alimente filtration principale et filtration du sas, une seule panne peut annuler la séparation fonctionnelle. La redondance dessinée sur un schéma n’est utile que si alimentation, capteurs, logiciel et consommables ne recréent pas un point unique de défaillance.
Le bilan final comporte donc cinq colonnes : fonction, capacité normale, capacité dégradée, ressource tampon, critère de retour au nominal. Pour l’eau, le critère peut être réparation et qualification de la boucle. Pour l’air, retour du train principal et confirmation capteurs. Pour la poussière, nettoyage, mesure et remplacement consommable. Le projet est réussi quand l’équipe peut expliquer pourquoi la base reste dans une enveloppe sûre pendant sept jours, quelles activités sont suspendues et quel événement supplémentaire ferait basculer le scénario dans l’évacuation ou le refuge.
| Fonction | Nominal | Dégradé | Tampon / décision |
|---|---|---|---|
| Eau | 8 kg/p/j dans ce scénario | 5 kg/p/j vital | 900 kg courants +150 kg réservés |
| CO₂ | train principal | 70 % secours | surveiller tendance, limiter activité si nécessaire |
| Poussière | sas + filtration | isolement local | filtre, nettoyage, contrôle air |
| Puissance | réseau complet | charges critiques | délestage des fonctions reportables |
Série d’exercices corrigés — contrôle autonome
1. 20 personnes, 10 kg/j/personne de flux brut, 98 % récupéré : appoint ?
Flux brut 200 kg/j ; perte 2 % = 4 kg/j. Sur 365 jours, 1 460 kg. C’est l’appoint associé à cette hypothèse de flux et à ce seul taux de récupération.
2. Pourquoi deux filtres identiques ne suffisent-ils pas toujours à la redondance ?
S’ils partagent alimentation, logiciel, lot de consommables ou contamination commune, une seule cause peut neutraliser les deux. La redondance physique doit être accompagnée d’indépendance fonctionnelle.
3. Une réserve de 300 kg consommée à 25 kg/j dure combien ?
12 jours si le débit reste constant et si toute la réserve est mobilisable. Une réserve médicale ou un seuil minimal réduirait le stock disponible.
4. Que faut-il vérifier après réparation d’une boucle d’eau ?
Pas seulement que la pompe tourne : débit, pression, étanchéité, capteurs, qualité de l’eau et retour stable au nominal. Une fonction vitale est qualifiée par sa sortie utile.
5. Pourquoi la poussière relie-t-elle santé et maintenance ?
Elle peut affecter l’exposition humaine, les joints, filtres, surfaces, capteurs et procédures EVA. La barrière de contamination doit donc être traitée comme architecture multi-système.
Atelier d’entraînement approfondi
Pour chaque scénario de survie, commencez par identifier la fonction vitale et son autonomie temporelle : combien de temps avant que pression, CO₂, eau, température ou soins sortent de la plage acceptable ? Établissez ensuite le bilan de ressources et la voie de secours. Les corrigés privilégient la décision opérationnelle : détecter, isoler, fonctionner en mode dégradé, réparer puis requalifier.
1. Eau 98 %
20 personnes, 20 kg/pers/j, récupération 98 %. Appoint ?
Correction : 20×20×0,02=8 kg/j ; 2 920 kg/an.
2. Dérive CO₂ équivalente
Production 4,0 kg/j, retrait 3,95 kg/j pendant 60 j.
Correction : Accumulation=0,05×60=3 kg.
Une différence quotidienne de seulement 0,05 kg paraît minuscule, mais l’intégration sur soixante jours crée 3 kg de CO₂ non retiré. Un habitat suit donc les écarts cumulés, pas seulement le débit instantané.
3. Pression partielle
70 kPa à 30 % O₂.
Correction : 21 kPa.
4. Poussière
0,1 mg/m³ dans 120 m³ parfaitement mélangés.
Correction : 12 mg en suspension à la moyenne considérée.
Les 12 mg décrivent une masse présente dans 120 m³ à la concentration moyenne choisie. Ils ne donnent ni la distribution près du sas, ni la fraction inhalée, ni la durée d’exposition d’un membre d’équipage.
5. Refuge
20 personnes, 30 j, appoint eau 2 kg/pers/j.
Correction : 1 200 kg d’appoint dans ce scénario dégradé.
Les 1 200 kg proviennent d’un besoin dégradé de 2 kg par personne et par jour pendant trente jours. Une vraie réserve de refuge doit ajouter pertes, soins, incendie, remise en route et incertitude sur la durée d’isolement.
6. Vote capteurs
p=0,01 indépendant, vote 2/3.
Correction : 3p²(1-p)+p³=0,000298=0,0298 %.
Le vote 2-sur-3 réduit fortement une erreur indépendante à 1 %, mais la formule suppose précisément cette indépendance. Une alimentation, un logiciel ou un étalonnage commun peut faire échouer les trois capteurs ensemble et invalider le gain théorique.
7. Délai
22 min aller : boucle question-réponse minimale.
Correction : 44 min, sans décision ni transmission supplémentaire.
Quarante-quatre minutes est uniquement le temps lumière aller-retour pour 22 min dans chaque sens. Une décision médicale ou technique ajoute observation, analyse humaine, rédaction du message et éventuelle nouvelle question.
8. Capstone panne combinée
Une base de 20 personnes perd son unité principale de traitement d’eau pendant 72 h. Mode secours récupère 90 % d’un flux de 15 kg/pers/j. Quel stock d’appoint minimum idéal, et pourquoi ce chiffre est-il insuffisant pour une procédure ?
Correction : Déficit=20×15×0,10=30 kg/j. Sur 3 j : 90 kg. Mais une procédure doit ajouter marge, eau non potable, incendie, soins, démarrage, incertitude de réparation et possibilité que la panne affecte aussi énergie ou capteurs. Le nombre 90 kg est une base de calcul, pas un stock de sûreté final.
Le déficit de 90 kg sur trois jours est la première ligne du budget de secours, pas la réserve finale. Le scénario doit aussi protéger l’eau non potable nécessaire à certaines fonctions et conserver une marge de redémarrage.
Problèmes avancés supplémentaires
1. Tampon eau
Déficit 25 kg/j, réparation estimée 5 j, marge 2 j.
Correction raisonnée : Stock minimal de scénario=25×7=175 kg.
2. Atmosphère
60 kPa, O₂ 32 %. pO₂ ?
Correction raisonnée : 19,2 kPa.
3. Poussière TWA
0,2 mg/m³ pendant 2 h puis 0,05 pendant 22 h. Moyenne 24 h ?
Correction raisonnée : (0,2×2+0,05×22)/24=0,0625 mg/m³.
La moyenne pondérée sur 24 h est inférieure au pic de deux heures parce que les 22 autres heures pèsent davantage. Une moyenne conforme ne décrit cependant pas à elle seule les risques d’un pic local ou la distribution des tailles de particules.
4. Mini-projet refuge
8 personnes, 30 j, 3 kW de charge vitale moyenne. Énergie totale sans production ?
Correction raisonnée : 8 personnes n’interviennent pas directement dans ce calcul si 3 kW est déjà la charge totale : 3×24×30=2 160 kWh. Il faut ensuite rendement, réserve et puissance de pointe.
Les 2 160 kWh supposent que 3 kW est déjà la charge totale du refuge. Le nombre de personnes influe sur d’autres consommables mais pas sur cette multiplication ; vérifier la frontière du chiffre évite de compter deux fois la population.
Sources et références
Les références documentent l’ECLSS réel, le jalon de récupération de l’eau et la limite préliminaire de poussière. Les budgets de refuge sont des exercices de dimensionnement et non des prescriptions opérationnelles NASA.
- NASA — Environmental Control and Life Support System — Operational ISS life-support architecture.
- NASA — ISS 98% water recovery milestone — Demonstrated total water recovery milestone and prior 93–94% level.
- NASA — Deep Space Habitation Systems — Long-duration habitation and life-support context.
- NASA — Martian dust exposure limits — 2026 preliminary exposure requirement for Martian particles under 10 µm.
- NASA NTRS — Safe Haven Configurations — Source primaire ou institutionnelle utilisée pour les définitions, le statut technologique ou les données du module.
- NASA NTRS — Space Crop Considerations — Source primaire ou institutionnelle utilisée pour les définitions, le statut technologique ou les données du module.
- NASA-STD-3001 Volume 2 — Source primaire ou institutionnelle utilisée pour les définitions, le statut technologique ou les données du module.