Un bras robotique vieux de 25 ans vient de devenir le point de défaillance unique de l'ISS

Une manœuvre de routine, puis plus rien ne bouge

À bord de la Station spatiale internationale, les astronautes ont récemment effectué ce qu'Ars Technica décrit comme un « walk-off » de routine avec Canadarm2, le bras robotique de 58 pieds fourni par l'Agence spatiale canadienne. Après la manœuvre, ni le bras ni le transporteur mobile qui le déplace le long de la poutre principale de la station n'ont pu être déplacés. Dimanche soir, selon deux sources citées par Ars, les ingénieurs cherchaient encore à déterminer si la panne relevait des données et du logiciel ou du matériel lui-même. Un porte-parole de la NASA n'avait pas fait de commentaire lundi en fin de matinée.

Cette distinction, logiciel ou matériel, est tout l'enjeu. L'un se résout par un correctif. L'autre est un ensemble de deux tonnes métriques, dans un vide poussé, dont la durée de vie prévue est dépassée de dix ans, et sans équipe de réparation en route.

Pourquoi un bras qui marche est plus difficile qu'il n'y paraît

Canadarm2, conçu et développé par l'entreprise canadienne MDA et lancé à bord de la navette spatiale Endeavour en avril 2001, est inhabituel parce que ses deux extrémités sont fonctionnellement identiques. N'importe laquelle peut saisir un point d'ancrage sur l'extérieur de la station ; l'autre extrémité se libère alors et pivote vers l'avant. C'est le « walk-off » : le bras se déplace sur l'extérieur de la station comme une chenille arpenteuse, au lieu d'être fixé à un seul endroit. Lorsqu'il doit parcourir une plus grande distance, il circule sur le transporteur mobile le long de la poutre.

Cette conception répondait à un vrai problème. Une station de la taille d'un terrain de football ne peut pas être desservie par un bras boulonné à un point fixe. La contrepartie est que chaque walk-off est un transfert de charge et de contrôle entre deux points de préhension, coordonné par logiciel, sur un matériel qui répète cette opération depuis un quart de siècle. Sa durée de vie nominale était de 15 ans.

La capacité en jeu n'a rien de décoratif. Le bras a une masse de près de deux tonnes métriques et peut manipuler des charges utiles allant jusqu'à 116 tonnes. Il positionne de gros équipements, des pompes de refroidissement par exemple, avant les sorties dans l'espace. Et pendant une grande partie de la vie de la station, c'est lui qui a permis aux cargaisons d'arriver : la première version du vaisseau cargo de SpaceX, le Cygnus de Northrop et le HTV-X japonais ont tous été conçus pour être capturés par le bras à l'approche, puis amarrés à la station.

Le signal : une redondance dépensée en silence

Voici ce qui a changé cette semaine. Les Dragon modernes, équipage et fret, s'amarrent de manière autonome, tout comme le Starliner de Boeing. Cette évolution a fait paraître le bras facultatif. Il ne l'est pas. Cygnus et HTV-X, les deux autres principaux véhicules cargo de la NASA, ne peuvent pas s'amarrer seuls. Il faut les saisir. Et SpaceX prévoit de retirer Dragon du service d'ici quatre ans.

Projetons-nous. Si le bras ne peut pas être récupéré, la chaîne de ravitaillement de la station se réduit aux véhicules qui s'amarrent seuls, à une échéance où le principal d'entre eux est en cours de retrait. La mise à niveau de l'amarrage autonome n'a pas ajouté de redondance au trajet du fret : elle a masqué le fait que deux fournisseurs sur trois dépendent encore d'un unique mécanisme vieillissant.

Le point plus général, comme le note Ars, est que la station approche de son 30e anniversaire, qu'une grande partie de son exploitation dépasse la durée de vie prévue, et que le vieillissement s'est jusqu'ici déroulé sans heurts. Sans heurts ne veut pas dire garanti. La NASA entend remplacer l'ISS par une ou plusieurs stations développées par le secteur privé, mais ce processus de contractualisation ne s'est pas bien passé. Une dépendance que tout le monde croyait dotée de plusieurs années de marge en a peut-être moins.

Les questions à vous poser

• La panne vient-elle du logiciel ou du matériel, et si la NASA ne peut pas encore le dire, qu'est-ce que cela implique sur la qualité de l'instrumentation des modes de défaillance du bras dès l'origine ?
• Parmi vos propres fonctions critiques, lesquelles ont été « modernisées » de manière à supprimer l'apparence de dépendance sans supprimer la dépendance elle-même ?
• Si Dragon est retiré à la date prévue, qu'est-ce qui s'amarrera à la station, et qui est responsable de cette réponse aujourd'hui plutôt que dans trois ans ?
• Combien de composants de l'ISS fonctionnent au-delà de leur durée de vie prévue sans solution de repli testée, et qui tient publiquement cette liste ?
• Si la contractualisation des stations commerciales continue de prendre du retard, quel est le plan qui ne suppose pas que l'ISS reste disponible ?

À surveiller

Attendez la première déclaration technique de fond de la NASA désignant la panne comme relevant des données/du logiciel ou du matériel. Un diagnostic logiciel fait gagner des années et se règle par un correctif. Un diagnostic matériel transforme chaque manifeste de Cygnus et de HTV-X, ainsi que tout le calendrier des stations commerciales, en question ouverte, et l'absence de réponse claire est en soi une information.