Pourquoi la sonde Mars Polar Lander s’est-elle crashée à cause de ses propres capteurs de jambes ?

Le contexte

Lancée le 3 janvier 1999 depuis Cap Canaveral, la sonde Mars Polar Lander fait partie du même programme d’exploration martienne de la NASA que Mars Climate Orbiter, perdue quelques mois plus tôt à cause d’une confusion entre unités impériales et métriques. Sa mission scientifique consiste à se poser près du pôle sud de Mars pour y étudier le climat local et rechercher des traces de glace d’eau sous la surface, en utilisant un train d’atterrissage à trois jambes équipé de capteurs de contact destinés à détecter précisément le moment du toucher des roues au sol et à déclencher, au tout dernier instant utile, la coupure complète des moteurs de freinage.

La décision

Contrairement à la mission Mars Pathfinder, qui avait atterri avec succès en 1997 grâce à un système de coussins gonflables amortissant directement le choc au sol, Mars Polar Lander doit se poser en douceur grâce à des rétrofusées classiques, une méthode plus précise mais nettement plus exigeante en matière de fiabilité logicielle. Le concepteur du logiciel de vol programme les capteurs de jambes pour qu’ils signalent l’atterrissage dès qu’ils détectent une secousse mécanique caractéristique du contact avec le sol. Lors des essais au sol menés avant le lancement, différentes équipes testent séparément le déploiement des jambes et le fonctionnement des capteurs, sans jamais vérifier l’ensemble de la séquence de bout en bout dans des conditions représentatives du vol réel.

La chute

Le 3 décembre 1999, alors que la sonde entame sa descente vers la surface martienne, le déploiement mécanique des trois jambes du train d’atterrissage génère lui-même une secousse que les capteurs interprètent à tort comme le contact avec le sol — alors que l’engin se trouve encore à environ 40 mètres d’altitude, en pleine phase de freinage. Le logiciel de vol, qui n’a jamais été conçu pour ignorer ce signal parasite momentané, coupe immédiatement les moteurs de descente. Privée de propulsion, la sonde s’écrase à grande vitesse sur la surface martienne. Aucun signal n’est plus jamais reçu depuis l’engin ; la petite sonde jumelle Deep Space 2, embarquée pour s’enfoncer dans le sol martien lors du même vol, disparaît également sans laisser de trace.

Les conséquences

Une commission d’enquête de la NASA, chargée d’examiner cet échec ainsi que celui de Mars Climate Orbiter survenu la même année, établit dans son rapport que le défaut de conception du logiciel des capteurs de jambes n’a jamais pu être détecté avant le lancement, faute de test complet combinant le déploiement mécanique réel des jambes et le comportement du logiciel de vol dans les mêmes conditions. Les deux échecs consécutifs du même programme d’exploration martienne, survenus à quelques mois d’intervalle, provoquent une remise en cause profonde à la NASA de la stratégie dite du « plus vite, mieux, moins cher » (faster, better, cheaper), qui avait guidé la conception de plusieurs missions successives avec des budgets et des délais de développement particulièrement serrés.

Et depuis ?

La NASA renforce durablement, à partir de ces deux échecs consécutifs de 1999, ses procédures de tests d’intégration de bout en bout pour ses missions robotiques suivantes, en exigeant désormais une vérification complète du comportement logiciel dans des conditions les plus proches possible du vol réel. La sonde Phoenix, qui se pose avec succès près du pôle nord de Mars le 25 mai 2008 — premier atterrissage stationnaire réussi sur Mars depuis la sonde Viking 2 en 1976 —, embarque des versions directement améliorées de plusieurs instruments initialement conçus pour Mars Polar Lander, faisant de sa réussite une forme explicite de rédemption technique pour le programme d’exploration martienne de la NASA.