Dans les missions spatiales, le maintien de la température correcte des composants spatiaux est une exigence non négociable pour la réussite de la mission et la sécurité de l'équipage. Le système de contrôle thermique (STC) gère les échanges de chaleur pour maintenir l'équipement dans les limites opérationnelles, des capteurs cryogéniques aux appareils électroniques à faible puissance. Mais dans le vide de l'espace, où les oscillations de température peuvent dépasser 200°C entre les faces éclairées au soleil et les faces ombragées, même un seul point de défaillance du STC peut entraîner une perte catastrophique de la mission.

Le besoin critique de redondance dans le contrôle thermique des engins spatiaux

L'environnement spatial pose des défis thermiques extrêmes. Sur le côté ensoleillé d'un vaisseau spatial, les températures peuvent monter au-dessus de +120°C; sur le côté obscur, elles peuvent plonger à -150°C ou moins. À l'intérieur du véhicule, la chaleur générée par l'électronique, la propulsion et le support de vie doit être efficacement rejetée ou retenue. Si le TCS échoue, les composants peuvent surchauffer – entraînant une panne de semi-conducteur, une ventilation de batterie ou une déformation structurelle – ou geler, provoquant la solidification des lubrifiants, la défaillance des joints et l'optique au brouillard.

La redondance n'est pas seulement une amélioration facultative, mais une exigence fondamentale de conception pour la plupart des agences spatiales et des exploitants commerciaux de satellites. Le principe est simple : fournir deux ou plusieurs moyens indépendants pour remplir une fonction critique afin que la défaillance d'un seul ne compromette pas la mission.Comme un SDC comprend généralement des pompes, des vannes, des radiateurs, des sangles thermiques et de l'électronique de contrôle, chacun de ces éléments doit être pris en compte dans l'architecture de redondance.

Types de redondance dans les systèmes de contrôle thermique

Les ingénieurs emploient trois grandes catégories de redondance pour protéger le TCS : actif, passif et hybride. Chacun a ses propres avantages et compromis en termes de poids, de consommation d'énergie et de complexité.

Redondance active

Dans un TCS activement redondant, plusieurs composants identiques fonctionnent simultanément. Par exemple, deux pompes peuvent fonctionner en parallèle dans une boucle fluide, chacune ayant une capacité suffisante pour supporter la charge thermique totale si l'autre échoue. Si une pompe s'arrête, la seconde continue sans interruption. De même, un vaisseau spatial peut avoir deux ou plusieurs circuits de chauffage indépendants alimentés en continu, chacun pouvant maintenir la température dans les limites requises. L'avantage clé est un passage sans rupture : il n'y a pas d'écart transitoire où le contrôle thermique est perdu. L'inconvénient est une augmentation de la masse, du tirage de puissance et de l'usure sur toutes les unités opérationnelles.

Redondance passive

Par exemple, un appareil spatial peut avoir un radiateur primaire et un radiateur secondaire qui sont rangés et déployés uniquement si le primaire est endommagé par des micrométéoroids ou un mécanisme de déploiement défectueux. De même, les radiateurs de secours peuvent être activés par un minuteur de veille ou par une commande manuelle de la commande au sol après que le chauffage primaire échoue. La redondance passive permet d'économiser de l'énergie et prolonge la durée de vie de la sauvegarde, mais elle introduit un délai pour la détection, le diagnostic et le basculement des défaillances. Ce délai peut être acceptable pour des processus thermiques plus lents (p. ex., refroidissement passif d'un télescope massif) mais problématique pour les transitoires thermiques rapides (p. ex., refroidissement des diodes laser).

Redondance hybride

Par exemple, une pompe peut fonctionner à 50 % avec une pompe de secours qui démarre automatiquement si le débit tombe en dessous d'un seuil. Ou un vaisseau spatial peut utiliser une boucle de fluide avec deux pompes à demi-vitesse (active) tandis qu'une troisième pompe reste éteinte (passive). Si une pompe active échoue, la troisième est mise en ligne et la pompe active restante augmente la vitesse. Les conceptions hybrides produisent souvent le meilleur équilibre de fiabilité, de poids et de consommation d'énergie. Elles sont particulièrement populaires dans les satellites commerciaux à coût moyen où le coût et le risque doivent être gérés avec soin.

Niveaux de redondance: Composante, Sous-système et Système

Au niveau des composants, des appareils de chauffage individuels, des vannes ou des capteurs de température peuvent avoir des duplications. Au niveau du sous-système, un panneau de boucle ou de radiateur peut avoir une pièce de rechange. Au niveau du système, un système de chauffage entièrement indépendant peut être installé, tel qu'un réseau de tubes de chaleur séparé pour le refroidissement de la charge utile qui peut soutenir le bus primaire TCS. Le choix du niveau dépend de la criticité de la fonction, du volume disponible et des marges de masse, et des conséquences d'une défaillance.

Considérations de conception pour le TCS redondant

La conception d'un système de commande thermique redondant implique un équilibre prudent des exigences contradictoires. Les ingénieurs doivent allouer des budgets de masse et de puissance tout en veillant à ce que la logique de redondance elle-même n'introduise pas de nouveaux modes de défaillance.

Analyse des modes et effets de défaillance

Par exemple, une vanne bloquée qui empêche le flux de liquide de refroidissement doit être traitée par un chemin de dérivation parallèle ou une vanne redondante. Les ingénieurs utilisent les modes de défaillance, les effets et l'analyse de la criticité (FMECA) pour classer les modes de défaillance et déterminer où la redondance est essentielle. L'analyse doit également tenir compte des défaillances communes – comme une simple frappe micrométéoroidique qui pourrait désactiver les composants primaires et de secours s'ils sont colocalisés.

Mécanismes de basculement et autonomie

Sur les sondes de l'espace profond, où les retards de temps de lumière peuvent dépasser des minutes ou des heures, l'engin spatial doit sentir de façon autonome une défaillance (p. ex. perte de débit, perte de température hors de portée ou chute de courant de chauffage) et engager la sauvegarde. Cela nécessite des algorithmes robustes de détection de la défaillance, des capteurs redondants et des circuits d'actionnement fiables. La logique de basculement doit éviter les faux positifs qui pourraient inutilement engager des sauvegardes, gaspiller de la puissance ou introduire des transitoires.

Peines de poids et de masse

Chaque composant redondant ajoute de la masse. Pour les engins spatiaux, la masse est l'une des contraintes les plus critiques car elle affecte directement les coûts de lancement et les budgets des propulseurs. Une pompe redondante peut peser des dizaines de kilogrammes et un panneau de radiateur de secours peut ajouter de la surface et de la masse qui pourraient être autrement utilisées pour les instruments scientifiques ou les propulseurs. Les ingénieurs doivent effectuer une analyse des risques de coûts pour déterminer le niveau optimal de redondance.

Consommation d'énergie et bilan thermique

Les composants actifs redondants consomment de l'énergie même lorsqu'ils ne sont pas nécessaires pour la fonction primaire. La conduite de deux pompes à demi-vitesse au lieu d'une pompe à pleine vitesse peut économiser peu d'énergie; la conservation d'un chauffage de secours sur une énergie de gaspillage continu. Les concepteurs doivent équilibrer le budget de puissance. Pour la redondance passive, le système de secours peut être inépuisable jusqu'à ce qu'il soit nécessaire, ce qui conserve l'énergie mais nécessite une interface de commutation fiable.

Essais et vérification

Les essais thermiques-vacuum au niveau du système peuvent démontrer que les pompes de secours, les radiateurs et les radiateurs activent et maintiennent des températures adéquates. Cependant, il est souvent impossible de tester complètement toutes les combinaisons de défaillances possibles. Les ingénieurs se fient plutôt à des essais d'injection de défaillance, où des points de défaillance uniques sont intentionnellement déclenchés (p. ex., simuler une valve bloquée ou un radiateur court) et où la réponse du système est mesurée. La campagne de test doit également vérifier que la redondance n'interfère pas avec les opérations normales – par exemple, que les composants primaires et de secours ne rivalisent pas avec une boucle de fluide partagée ou ne créent pas de charges thermiques imprévues.

Exemples de SDC redondants dans les missions spatiales dans le monde réel

Les missions suivantes illustrent comment la redondance a été mise en œuvre pour obtenir une fiabilité extraordinaire dans le contrôle thermique.

Station spatiale internationale

L'ISS exploite l'un des systèmes de commande thermique les plus complexes jamais construits, avec des boucles de refroidissement externes qui utilisent l'ammoniac comme fluide de travail. Chacun des huit systèmes de commande thermique photovoltaïque a deux boucles d'ammoniac indépendantes, une primaire et une sauvegarde, qui peuvent être reliées entre elles. En outre, le TCS interne pour les modules d'équipage utilise plusieurs boucles d'eau avec des pompes redondantes. Au cours de l'Expédition 38 en 2013, un module de pompe à liquide de refroidissement a échoué et la pompe de secours a été commandée pour prendre le relais sans perturber les opérations de station. L'année suivante, une deuxième pompe a échoué et les astronautes ont effectué un saut d'espace pour remplacer l'ensemble du module de pompe, démontrant la valeur de la redondance en orbite et de la capacité de réparation humaine.

Voyager Spacecraft

Lancés en 1977, les Voyager 1 et 2 continuent à fonctionner plus de 40 ans plus tard, bien au-delà de leur durée de vie initiale. Leurs systèmes de commande thermique reposent principalement sur des mesures passives : les appareils de chauffage radio-isotopes (RHU) qui assurent une chaleur régulière de la décomposition du plutonium-238, l'isolation multicouche (MLI) pour retenir la chaleur et les louvets qui s'ouvrent et qui sont proches de rayonner la chaleur excédentaire.Chaque RHU est une source redondante : plusieurs unités sont placées pour maintenir une chaleur suffisante même si on échoue.

Laboratoire scientifique Mars (Curiosité Rover)

Le rover Curiosity utilise une boucle de fluide mécanique pompée appelée le système de contrôle thermique du laboratoire de sciences de Mars (MSTCS), qui circule un fluide de transfert de chaleur à travers l'électronique et un radiateur du rover. La boucle a deux pompes : une primaire et une sauvegarde. Si la pompe primaire échoue ou que son débit tombe sous un seuil, la sauvegarde s'allume automatiquement. Le système comprend également des appareils de chauffage et des capteurs de température redondants. En 2013, la pompe de secours a été utilisée pour la première fois après une anomalie logicielle, ce qui a provoqué l'arrêt de la pompe primaire; la transition s'est effectuée sans faille et le rover a poursuivi ses opérations scientifiques.

Téléscope spatial James Webb

Le télescope spatial James Webb (JWST) nécessite un environnement extrêmement froid pour ses instruments infrarouges, soit moins de 50 K pour les détecteurs. Son TCS utilise un pare-soleil multicouches, des cryocoolers et des radiateurs passifs. La redondance est mise en œuvre principalement dans les systèmes de cryocooler : chacun des trois instruments possède deux cryocoolers indépendants (primaire et de sauvegarde). De plus, le pare-soleil est conçu avec cinq couches, chacune pouvant survivre à des perforations micrométéoroides qui pourraient dégrader la capacité d'isolation. Bien que le pare-soleil n'est pas complètement redondant, les cryocoolers de sauvegarde offrent une couche de protection critique.

Porte lunaire (prévue)

La prochaine porte d'accès Lunar, une petite station spatiale autour de la Lune, intégrera une redondance avancée du SDC. Sa conception comprend un système hybride de gestion thermique avec deux boucles de fluide indépendantes (semblable à l'ISS), mais ces boucles seront plus compactes et utiliseront des fluides respectueux de l'environnement. La redondance s'étendra aux radiateurs, qui peuvent être déployés et rétractés indépendamment. La passerelle comptera également sur le STC d'Orion comme sauvegarde pendant les opérations en équipage, fournissant un soutien croisé au niveau du système.

Défis et limites de la redondance

Bien que la redondance soit indispensable, elle n'est pas une panacée. Plusieurs défis doivent être soigneusement gérés.

Complexité accrue et coûts

L'ajout de composants redondants multiplie le nombre de pièces, d'interfaces et de câblages, ce qui augmente les efforts de conception, de fabrication et de test, souvent de 30 à 50% pour le sous-système TCS. D'autres composants augmentent également la probabilité de défaillances de la mortalité infantile au cours de la phase initiale de la mission.

Défauts de cause courante

Si le principal et la sauvegarde partagent le même bus électrique, la même version logicielle ou sont placés dans le même emplacement physique, un seul événement (comme une surtension, un bug logiciel ou une frappe micrométéoroid) peut désactiver les deux. Les ingénieurs doivent introduire la diversité : utiliser des cartes électroniques différentes, des alimentations séparées et une séparation physique. Par exemple, lors de la mission Europa Clipper, le système de contrôle thermique utilise des chauffages de deux fabricants différents pour éviter une défaillance de cause commune due à un défaut de fabrication.

Budgets de masse et de volume

Sur de nombreux petits satellites (CubeSats et microsats), la masse et le volume disponibles sont tellement serrés que la redondance totale est impossible. Au contraire, les ingénieurs comptent sur des pièces à haute fiabilité et des marges de conception prudentes. Certaines missions acceptent le risque d'une défaillance unique du SDC si le coût d'ajout de redondance rend la mission inabordable.

Défaut Propagation

Un système redondant peut parfois créer de nouvelles voies de défaillance. Par exemple, si une pompe de secours échoue de manière à bloquer la boucle du fluide, elle peut également désactiver la pompe primaire. Les soupapes d'isolement et les soupapes de contrôle sont utilisées pour empêcher de tels scénarios. De même, un court-circuit de chauffage de secours pourrait surcharger l'alimentation en énergie, affectant les deux chauffages.

Innovations futures dans le SDC redondant

À mesure que les missions spatiales deviennent plus ambitieuses, y compris les missions en équipage sur Mars, les grands télescopes spatiaux et l'exploitation minière dans l'espace profond, de nouvelles approches de redondance du SDC se dessinent.

Fabrication additive et intégration

Les échangeurs de chaleur et les canaux fluides imprimés en 3D peuvent créer des voies compactes et légères redondantes au sein d'un seul composant. Par exemple, un radiateur imprimé en monolithique pourrait avoir deux circuits de fluide indépendants qui sont physiquement séparés par une paroi mince. Si un circuit fuit, l'autre reste fonctionnel.

Contrôle thermique actif avec détection de défaillance AI

Par exemple, un modèle d'IA formé à la télémétrie peut identifier des changements subtils du courant de pompe ou du coefficient de transfert de chaleur qui précèdent une défaillance. L'IA peut alors engager de façon autonome des composants de sauvegarde ou ajuster des points de consigne pour éviter une défaillance complète. Cette redondance proactive réduit la dépendance à des seuils déterministes et améliore la fiabilité globale.

Chauffe-eau et tuyaux de chauffage en boucle

Les dispositifs avancés de commande thermique biphasée comme les tubes à chaleur en boucle (LHP) et les tubes à chaleur à conduction variable (VCHP) fournissent intrinsèquement un certain degré de redondance parce qu'ils peuvent fonctionner avec plusieurs évaporateurs ou condenseurs parallèles. Un LHP unique peut avoir trois évaporateurs : si l'un échoue, les autres continuent à circuler le fluide de travail.

Entretien et réparation en orbite

Les missions d'entretien robotique, telles que NASA-SOSAM-1 (Service en orbite, Montage et Fabrication), visent à ravitailler et remplacer des composants thermiques comme les radiateurs sur satellites existants. Cette capacité pourrait réduire le besoin de redondance complète parce que les unités défaillantes peuvent être échangées. Cependant, l'entretien lui-même nécessite un TCS redondant sur l'engin spatial de service, et la logistique ajoute de la complexité.

Conclusion

La redondance dans le système de contrôle thermique est essentielle pour assurer la fiabilité de la mission dans l'environnement de l'espace. En intégrant plusieurs couches de systèmes de secours – des pompes et des chauffages à des boucles de refroidissement complètes – les ingénieurs peuvent prévenir les défaillances qui pourraient compromettre la mission dans son ensemble. Le choix entre la redondance active, passive et hybride dépend de la tolérance aux risques, des budgets de masse et de puissance et de la criticité de la stabilité thermique.

Pour plus de détails sur la conception de la commande thermique et de la redondance des engins spatiaux, voir NASA=S Technologie de pointe des petits engins spatiaux: la commande thermique et ESA=S Aperçu de la commande thermique. Des conseils supplémentaires sur les architectures de redondance peuvent être trouvés dans NASA Goddard Space Flight Center=S Redondance Management Guidelines[ et une étude de cas détaillée du Mars Science Laboratory=S système de commande thermique.