Artemis II n’est pas sûre pour le vol

• Le défaut du bouclier thermique de la capsule Orion est désigné comme le problème central qui menace la survie de l’équipage lors du vol habité d’Artemis II
• Lors de la rentrée d’Artemis I, le matériau Avcoat s’est détaché à grande échelle, provoquant des dommages structurels, dont la gravité a été confirmée par un rapport du Bureau de l’inspecteur général de la NASA (OIG)
• La NASA a attribué la cause à un arrachement explosif dû à un piégeage de gaz et a affirmé qu’un changement de trajectoire pouvait résoudre le problème, mais a décidé d’utiliser tel quel le même bouclier thermique présentant le même défaut
• Des experts internes et d’anciens ingénieurs avertissent qu’une prise de décision fondée sur l’auto-illusion, similaire aux accidents de Challenger et Columbia, est en train de se répéter
• Sous la pression politique et avec un calendrier figé, le risque structurel d’une NASA qui impose un vol habité sans essai non habité est en train de se reproduire

---

Défaut de la capsule Orion et controverse sur la sécurité de la mission Artemis II

• La mission Artemis II prévoit d’envoyer 4 astronautes en orbite lunaire ; il s’agit du deuxième vol de la fusée SLS et du premier vol habité de la capsule Orion
• Le bouclier thermique (heat shield) d’Orion a subi des dommages et une perte de matériau pendant la rentrée du précédent vol non habité (Artemis I), révélant un défaut potentiellement fatal pour la survie de l’équipage
• La NASA a d’abord minimisé le problème, mais la gravité des dégâts a été confirmée par le rapport de l’OIG et par des photos rendues publiques
• La NASA a défini la cause comme un « arrachement explosif dû à un piégeage de gaz » et a soutenu qu’un changement de trajectoire permettrait de résoudre le problème, mais elle a décidé d’utiliser tel quel le même bouclier thermique présentant le même défaut
• Des experts estiment qu’une auto-illusion organisationnelle comparable aux accidents de Challenger et Columbia est en train de se répéter et critiquent la décision de la NASA de maintenir un vol habité sans essai non habité

Les dommages du bouclier thermique révélés par Artemis I

• Lors de la mission Artemis I en 2022, le matériau de bouclier thermique Avcoat de la capsule Orion s’est détaché en gros morceaux pendant la rentrée, laissant de profondes rainures et des trous
  • Certains gros boulons ont partiellement fondu, mais le communiqué initial de la NASA n’a pas mentionné ce problème
• En mai 2024, des photos publiées par le Bureau de l’inspecteur général (OIG) de la NASA ont révélé la gravité des dégâts
  • Le problème n’était pas une simple usure de surface, mais un dommage structurel des blocs du bouclier thermique
• L’Avcoat est censé se carboniser de façon régulière tout en conservant la forme de la surface, mais Orion est plus de deux fois plus lourde qu’une capsule Apollo et utilise une conception segmentée expérimentale
  • Ce type de bouclier thermique n’a jamais été testé au retour de la vitesse lunaire

Les trois risques critiques signalés par l’OIG

• 1. Écaillage du bouclier thermique (Spalling)

  • La chute de matériau peut exposer le corps de la capsule sans protection
  • Le flux d’air peut être perturbé, créant un risque de surchauffe locale et de dommages en chaîne

• 2. Risque d’impact de fragments du bouclier thermique

  • Les morceaux détachés peuvent frapper le compartiment des parachutes
  • La NASA n’ayant pas pu récupérer les parachutes ni leur capot, on ignore si un impact réel a eu lieu

• 3. Érosion des boulons

  • 3 des 4 gros boulons de séparation ont fondu

    • Si des gaz chauds pénètrent derrière le bouclier thermique, il existe un risque de rupture du véhicule et de mort de l’équipage

Réponse de la NASA et pression organisationnelle

• La capsule Orion est déjà couplée à son module de service, ce qui rend le remplacement du bouclier thermique pratiquement impossible
  • Il n’existe pas non plus de budget ni de calendrier pour un nouveau matériel ou un vol d’essai
• Sous l’effet des contraintes budgétaires et de la pression du calendrier, la NASA cherche à justifier sa propre conclusion selon laquelle « il n’y a pas de problème »
  • Le président de la commission d’enquête sur l’accident de Columbia, l’amiral Harold Gehman, a averti que la NASA « répète des choix qui rognent les marges de sécurité lorsque calendrier et budget sont figés »
• Un comité d’examen indépendant a été constitué en 2024, mais ses résultats n’ont pas été rendus publics
  • La NASA a attribué la cause à une « explosion due au piégeage de gaz » et a annoncé qu’un changement de trajectoire de rentrée permettrait de résoudre le problème
  • Pourtant, le bouclier thermique d’Artemis II a été fabriqué avec une conception encore moins perméable aux gaz

Critiques internes et défiance technique

• La NASA prévoit d’appliquer un nouveau design de bouclier thermique à partir d’Artemis III, mais son premier essai est lui aussi prévu pendant un vol habité
• Des observateurs externes comme Eager Space soulignent que si un vaisseau privé comme Dragon ou Starliner avait subi de tels dégâts, la NASA aurait immédiatement exigé une refonte et un nouvel essai non habité
• Les modèles et outils de simulation utilisés par la NASA sont les mêmes systèmes qui n’ont pas su prédire le problème, et leur fiabilité dans de nouvelles conditions ne peut pas être garantie
• L’ancien ingénieur de la NASA et astronaute Charles Camarda a lancé des avertissements publics, en interne comme en externe
  • Il critique le fait que la NASA justifie sa conclusion selon laquelle le vol est “sûr” à l’aide de modèles simplistes dépourvus de base physique
  • Selon lui, cela correspond à la même structure de décision fondée sur l’auto-illusion qu’au moment des accidents de Columbia et Challenger

L’inutilité du vol habité et l’aveuglement organisationnel

• Artemis II avait initialement été prévue comme l’unique vol d’essai habité avant l’alunissage,
  • mais en 2026, la NASA a ajouté une nouvelle mission Artemis III (essai en orbite proche de la Terre), reportant l’alunissage à Artemis IV
• Ce changement fournit des raisons suffisantes pour effectuer Artemis II sans équipage
  • Vérifier les problèmes en orbite terrestre serait bien plus sûr et permettrait aussi de valider le bouclier thermique
  • Pourtant, la NASA entend maintenir le vol habité pour des raisons de prestige et de coûts irrécupérables

Structure de risque répétée et conclusion

• Le personnel de la NASA est compétent et prudent, mais le contexte politique et organisationnel fausse les jugements de sécurité
  • un programme lunaire ayant englouti environ 100 milliards de dollars sur 25 ans avec peu de résultats,
  • des coupes budgétaires et des réductions d’effectifs,
  • et la pression politique visant un alunissage avant 2029
• Il en résulte une atmosphère dans laquelle il devient impossible de reconnaître officiellement une évidence : « le bouclier thermique doit réussir un essai à la vitesse du retour lunaire »
• Si Artemis II subit un accident pendant la rentrée, toutes les causes prévisibles sont déjà connues
  • Des années d’enquête, de critiques du Congrès et de retards du programme seraient alors inévitables
• Le texte se conclut sur cet avertissement : « J’espère qu’Artemis II reviendra sain et sauf, mais il ne faut pas qu’on doive encore attendre la mort d’astronautes pour réapprendre la leçon »

[GN⁺]

Réactions sur Hacker News

• Je dois donner demain à Harvard un cours sur les causes systémiques des échecs de décision
  J’y traite les accidents de Columbia et de Challenger comme études de cas, et j’ai modifié mes slides hier pour y ajouter Artemis II
  Cette culture de sécurité brisée existe depuis les débuts du programme de la navette
  En 1980, Gregg Easterbrook avertissait dans « Goodbye, Columbia » que la « planification orientée vers le succès » de la NASA finirait par provoquer une catastrophe, et il avait effectivement anticipé les problèmes de protection thermique de Columbia
  Après Challenger (1986), la commission Rogers a pointé la hiérarchie, les défaillances de communication et le fait que la direction ignorait les jugements techniques, mais les mêmes problèmes se sont répétés avec Columbia (2003)
  Le rapport du CAIB indique aussi explicitement que les recommandations de 1986 n’avaient pas été mises en œuvre
  Et maintenant, Charles Camarda lance le même avertissement

  • En lisant le compte rendu après réunion de Charles Camarda, on croirait un texte écrit en 1986 ou en 2003
    La navette était déjà un système intrinsèquement défectueux dès sa conception, et il est douloureux de voir que, des décennies plus tard, la même combinaison de pressions liées à la sécurité, au budget et au calendrier se répète telle quelle
  • Ce problème n’est pas propre à la NASA
    Dans les organisations où j’ai travaillé aussi, des managers égocentriques se préoccupaient davantage de leur image et de leurs récompenses que de la sécurité
    Certains refusaient d’admettre leurs torts, d’autres étouffaient les problèmes pour éviter le conflit
    Cette culture de fanfaronnade masculine détruit la sécurité
  • Dans les années 80, il y avait la pression de battre l’Union soviétique, mais Artemis est un projet qui s’étale sur des décennies
    L’humanité a tellement progressé que je ne comprends pas pourquoi il faudrait encore sacrifier la sécurité
  • Je recommande aussi de lire le rapport complet du CAIB
  • Si vous avez des recommandations de travaux récents sur la culture de sécurité, je suis preneur

• J’ai beaucoup lu sur Challenger et Columbia, et dans cet article deux points m’ont particulièrement marqué
  Le premier, c’est que le matériau Avcoat était censé ne pas pouvoir « se détacher par morceaux » selon la conception même
  Lors de Challenger aussi, les fuites de gaz au niveau des joints toriques avaient été minimisées comme étant « dans des limites acceptables », et c’était similaire pour Columbia
  Au fond, le problème était d’avoir justifié le risque par la modélisation
  Dans une telle situation, je pense qu’Artemis II devrait tester son bouclier thermique sans équipage plutôt qu’avec un vol habité

  • Selon le document de Charles Camarda, la cause de Challenger n’était pas le joint torique mais une mauvaise conception du joint
    Ça m’a surpris, car cela diffère de l’explication de Feynman
  • J’ai été choqué de voir que la NASA avait inversé son calcul de sécurité en se disant : « si la probabilité de défaillance globale est de 1/1000, alors chaque composant doit être à 1/10000 »
    En pratique, ils ont calculé la sécurité à partir de chiffres sur le papier sans validation réelle
  • À ce stade, je pense qu’il faut considérer l’exploration habitée comme un budget de divertissement
  • La NASA devrait pouvoir faire un test de rentrée non habité avec Falcon Heavy sans utiliser SLS
    La masse d’Orion est dans les 20 tonnes, donc c’est largement faisable
  • Ce phénomène s’explique bien par la « normalisation de la déviance »

• Je trouve que l’article d’Ars Technica offre une vision un peu plus équilibrée
  Camarda est une voix minoritaire, et la plupart des ingénieurs de la NASA ainsi que les astronautes jugent la mission sûre
  Contrairement à Challenger ou Columbia, le problème est cette fois identifié et en cours d’analyse

  • Mais comme on dit, « jouer une fois à la roulette russe ne tue pas la plupart des gens, mais ce n’est pas pour autant sûr » : une faible probabilité ne signifie pas que c’est sûr
    Je m’inquiète de voir réapparaître la pensée de groupe (groupthink) à l’intérieur de la NASA
  • Cet article soi-disant « équilibré », qui déformait la position de Camarda, relevait en réalité d’un récit promotionnel
    Dans le témoignage direct de Camarda, il dit au contraire que ses inquiétudes se sont encore renforcées après la réunion
  • « Il y a de fortes chances que ce soit sûr » et « ce n’est pas assez sûr pour voler » peuvent être vrais en même temps
    Si la probabilité d’un échec à la rentrée est de 10 %, les deux affirmations sont justes
  • Par le passé, la direction de la NASA a toujours dit « aucun problème », alors qu’en réalité elle ignorait les avertissements des ingénieurs
    Pour Challenger, on a forcé des signatures « no-go », pour Columbia des signatures « unsafe »
    J’espère que ce sera différent cette fois
  • La sécurité n’est pas binaire, c’est un continuum d’évaluation du risque
    Ce n’est qu’un risque parmi des milliers : en cas d’échec on passe pour un prophète, et en cas de succès tout le monde oublie

• Je me demandais pourquoi il fallait une nouvelle conception alors qu’on réutilise Avcoat, déjà employé à l’époque d’Apollo

  • Apollo remplissait une structure en nid d’abeilles métallique avec de l’Avcoat, tandis qu’Orion le fixe sous forme de blocs
    La méthode en nid d’abeilles était trop gourmande en main-d’œuvre
  • Orion est beaucoup plus grand et plus lourd, donc beaucoup pensent qu’Apollo représentait déjà la limite maximale de ce qu’Avcoat permettait
  • Selon le document de Camarda, les problèmes de fissuration et de perméation des gaz étaient déjà connus dans les années 1960
  • En réalité, l’objectif d’Artemis n’est pas seulement de retourner sur la Lune, mais aussi de faire progresser les technologies de vol spatial
    L’amélioration des technologies de bouclier thermique en fait partie
  • Comme l’incendie d’Apollo 1 a tué trois personnes, nous ne sommes plus aujourd’hui dans une époque de volontarisme aussi téméraire
  • Je suis aussi curieux du matériau de bouclier thermique utilisé sur SpaceX Dragon. Je me demande s’il pourrait s’appliquer à Orion

• J’ai été surpris de lire que le programme Artemis avait dépensé 100 milliards de dollars en 25 ans
  Je comprends pourquoi la NASA se sent pressée, mais à l’échelle des États-Unis, ce n’est pas un budget si énorme pour un projet de long terme

• La déclaration de la NASA sur les limites des essais de bouclier thermique m’a semblé étrange
  Par le passé, Johnson et Ames disposaient d’installations capables de reproduire de vraies conditions de rentrée
  L’Arc Jet Complex est d’ailleurs toujours en service

  • Cela dit, le bouclier thermique d’Orion fait 16 pieds de diamètre, donc la limite est qu’on ne peut faire que des essais au niveau des matériaux

• Je suis quelqu’un de peureux, mais malgré ça, si on me proposait une place à bord d’Artemis II, je voudrais quand même me porter volontaire
  Même en cas d’échec, ça ne ferait mal que quelques secondes

  • D’autres pourraient interpréter ce genre de propos comme un signal d’idées suicidaires
  • La vie a de la valeur, et il y aura peut-être dans le futur des choses encore plus formidables
  • Plus jeune, j’aurais peut-être dit ça, mais en vieillissant je pense que je répondrais « non »
  • HN a plutôt une mentalité pro-vie, donc il y aura sans doute peu d’écho à ce sentiment, mais ça a quand même l’air plus sûr qu’un champ de bataille

• J’ai travaillé sur le projet EFT-1
  À l’époque, le bouclier thermique était en Avcoat sans structure en nid d’abeilles, et le risque était clair
  Le vol d’essai de 2014 était impressionnant, mais j’ai changé de projet à cause du risque structurel

  • Exploration Flight Test-1 était un lancement non habité en décembre 2014

• Si on veut vraiment explorer la Lune, il faut d’abord préparer le terrain avec des dizaines d’atterrisseurs non habités
  Passer à une mission habitée dès la deuxième mission, c’est une mauvaise conception

  • Mais cela tient peut-être à des raisons politiques
    Certains y voient la conséquence de la promesse lunaire nostalgique de Trump

• La NASA subit un gros accident environ tous les 20 ans
  Apollo 1 en 1967, Challenger en 1986, Columbia en 2003
  Cela fait maintenant 23 ans, et je crains qu’on ne retrouve encore ce cycle où la vigilance de l’organisation se relâche