Résilience aux défaillances multiples : reconfiguration et retour au service
Raisonner lorsque deux ou trois pannes se combinent, épuisent les redondances et imposent de reconstruire progressivement un service sûr.
Objectifs de maîtrise
- distinguer panne indépendante, cause commune et cascade
- raisonner par fonctions vitales plutôt que par équipements isolés
- définir une configuration minimale sûre puis un plan de récupération
- tester la résilience avec scénarios multi-pannes et ressources limitées
1. La seconde panne change la nature du problème
Une architecture peut tolérer une panne simple et devenir extrêmement fragile face à une seconde. Deux pompes redondantes ne protègent pas si elles partagent alimentation, refroidissement ou logiciel. La résilience commence donc par la carte des dépendances communes et par la capacité à maintenir une fonction minimale même lorsque la configuration nominale n’est plus disponible.
2. Causes communes
Les causes communes comprennent incendie, inondation, contamination, erreur logicielle, mauvais lot de pièces, surtension ou erreur humaine. Elles peuvent neutraliser plusieurs redondances simultanément. Séparer physiquement, diversifier les technologies ou les versions et isoler les stocks réduit ce risque, mais chaque mesure a un coût. Le choix doit être lié à la criticité de la fonction.
3. Cascades entre systèmes
Une panne énergie peut arrêter pompes et refroidissement ; la hausse thermique peut ensuite dégrader batteries ou électronique ; la perte de communication complique le diagnostic. La cascade n’est pas une liste de pannes indépendantes : c’est une chaîne causale. Les procédures doivent reconnaître les signaux précoces et couper certaines charges avant que la propagation ne rende la récupération impossible.
4. Configuration minimale sûre
En crise, l’objectif n’est pas de restaurer immédiatement toute la colonie. On cherche d’abord un état stable : volume refuge, atmosphère contrôlée, eau minimale, puissance critique, communication et capacité médicale. Les fonctions industrielles ou scientifiques restent arrêtées jusqu’à ce que les réserves et la marge énergétique permettent leur retour.
5. Reconfiguration
La reconfiguration utilise les chemins alternatifs prévus : basculer un bus, raccorder une pompe de secours, isoler un compartiment, transférer l’équipage ou déplacer une charge vers un autre contrôleur. Ces actions doivent être testées avant la crise. Une connexion d’urgence jamais essayée peut être mécaniquement inaccessible ou incompatible au moment où elle devient vitale.
6. Diagnostic sous incertitude
Après plusieurs pannes, certains capteurs peuvent eux-mêmes être faux. Le diagnostic croise mesures indépendantes, observation locale et comportement du système. On évite de multiplier les changements simultanés car cela masque la causalité. Une bonne procédure restaure d’abord la capacité d’observer puis modifie une variable à la fois lorsque le temps le permet.
7. Ressources de récupération
Réparer exige énergie, personnes, outils, pièces, temps et parfois atmosphère sûre. La planification de résilience réserve donc ces ressources. Utiliser toute la batterie pour maintenir une charge non essentielle peut supprimer la capacité de redémarrer une pompe critique quelques heures plus tard.
8. Retour progressif au nominal
Lorsque la cause est maîtrisée, les charges reviennent par étapes. Chaque étape possède un critère de stabilité. On surveille tension, température, pression, débit et consommation avant d’ajouter la fonction suivante. Le retour au nominal trop rapide peut recréer la cascade ou vider les réserves juste après la première récupération.
Approfondissement : scénarios au-delà de N+1
Le classique N+1 protège contre la perte d’un élément, pas nécessairement contre une panne de zone ou de ressource commune. Les exercices doivent donc inclure des scénarios comme « un générateur perdu + une boucle de refroidissement limitée + un technicien indisponible ». L’objectif est de révéler les dépendances que le calcul de redondance simple ne voit pas.
Approfondissement : dette de configuration après crise
Les contournements accumulés pendant une crise créent une configuration atypique : câbles temporaires, protections désactivées, pièces empruntées ailleurs. Cette dette doit être inventoriée et résorbée. Sinon la colonie peut revenir à une apparence nominale tout en ayant perdu plusieurs barrières invisibles.
9. Exemple calculé : énergie de récupération
Le refuge consomme 22 kW et la capacité disponible après panne est de 35 kW. Il reste donc 13 kW pour récupération. Une pompe de remise en service exige 9 kW pendant trois heures : elle est compatible, mais seulement 4 kW restent pour les autres charges temporaires. Si un atelier de 8 kW est démarré en même temps, la limite est dépassée. La séquence de récupération doit donc être planifiée énergétiquement.
10. Exercice
Une colonie perd un des deux convertisseurs principaux puis détecte une fuite sur une boucle d’eau. Construire les trois premières actions, la configuration minimale sûre et l’ordre de retour des fonctions non vitales.
11. Solution raisonnée
La priorité est d’empêcher la cascade : stabiliser le réseau électrique, isoler la fuite, préserver eau et refuge, puis vérifier les capteurs. Les charges industrielles restent arrêtées. Une fois les réserves connues et la boucle stabilisée, les fonctions sont réintroduites par ordre de criticité avec contrôle de marge. Le diagnostic de la cause commune vient avant le redémarrage du second équipement si elle pourrait aussi l’endommager.
12. Mini-projet
Construire un exercice multi-pannes de six heures impliquant énergie, ECLSS, mobilité et communication. Définir événements injectés, informations disponibles, décisions attendues, critères de réussite et données à conserver pour le débriefing.