Navigation relative au terrain, dangers et choix du site martien

Atterrir sur Mars sans GPS : le moment où une image devient une position

Sur Terre, un téléphone peut demander sa position à une constellation de satellites dont les éphémérides, les horloges et les référentiels ont été construits pour cette fonction. Sur Mars, aucun GPS planétaire n’attend le véhicule. Pendant les dernières minutes, la sonde possède une estimation inertielle, des mesures radar ou lidar selon l’architecture, des cartes préparées avant le lancement et surtout un temps extrêmement court pour comprendre ce qu’elle voit. La navigation relative au terrain consiste à transformer les reliefs visibles dans une caméra de descente en une estimation de position par rapport à une carte connue. Ce n’est pas de la reconnaissance d’image au sens grand public : c’est une chaîne de navigation temps réel dont chaque erreur finit en mètres sur le sol.

Mars 2020 a fourni la démonstration martienne de référence. Le Lander Vision System de Perseverance prenait des images du terrain après séparation du bouclier thermique, projetait ces images en utilisant l’altitude et l’attitude estimées, puis cherchait des correspondances avec des cartes orbitales embarquées. JPL décrit des cartes dérivées de l’imagerie HiRISE, dont la résolution source peut atteindre environ 30 cm/pixel, transformées pour le système en niveaux de 12 et 6 m/pixel. Le traitement procédait d’abord grossièrement, puis raffinait l’estimation en exploitant davantage de repères. Le résultat n’était pas une photographie « comprise » comme un humain comprendrait un paysage, mais une position et une incertitude utilisables par le guidage.

La distinction navigation–guidage–contrôle est essentielle. La navigation répond : où suis-je, à quelle vitesse, avec quelle attitude et avec quelle incertitude ? Le guidage répond : compte tenu de cet état, quelle trajectoire dois-je viser pour rejoindre une zone sûre ? Le contrôle répond : quelles commandes envoyer aux moteurs ou actionneurs pour suivre cette trajectoire ? Mélanger ces trois fonctions conduit à des descriptions trompeuses. TRN améliore d’abord l’information de navigation ; cette meilleure information permet ensuite au guidage de choisir une cible sûre et au contrôle d’exécuter le divert.

Le mot « sûreté » exige lui aussi une définition. Une carte de dangers n’est pas simplement une image rouge et verte. Chaque cellule représente une décision prise en amont sur la pente, la rugosité, les rochers, les dunes, l’incertitude cartographique et la capacité du véhicule à tolérer le terrain. Pour Perseverance, l’avantage de TRN a été de rendre Jezero accessible malgré des falaises, dunes et champs de blocs qui auraient imposé une ellipse d’atterrissage trop prudente aux générations précédentes. Pour une colonie, le problème devient plus complexe encore : une surface plate peut être géologiquement sûre mais opérationnellement interdite parce qu’elle se trouve trop près d’un habitat, d’un réservoir, d’un panneau solaire ou d’une trajectoire de rover.

Un système de navigation ne cherche pas seulement une latitude et une longitude ; il cherche un état. Cet état contient au minimum la position, la vitesse et l’attitude du véhicule, auxquels s’ajoutent des biais de capteurs et leurs incertitudes. L’IMU — unité de mesure inertielle — mesure accélérations et rotations à haute fréquence. En intégrant ces mesures, l’ordinateur propage sa meilleure estimation entre deux observations externes. Mais une petite erreur de biais, intégrée pendant plusieurs secondes, devient une erreur de vitesse puis de position. C’est pour cela qu’une navigation purement inertielle dérive et qu’elle doit être recalée par des observations du monde extérieur.

Sur Mars, ces observations peuvent provenir de l’altimétrie radar, d’images du terrain, du Soleil, des étoiles ou de données radio selon la phase de mission. Pendant l’atterrissage, la caméra voit un morceau de sol qui tourne, grossit et change de contraste rapidement. L’ordinateur doit décider quels détails de cette image correspondent à quels détails de la carte de référence. Une falaise, un cratère et un champ de blocs ne sont donc plus seulement des objets géologiques : ils deviennent des points d’information permettant de corriger l’état estimé.

La difficulté est que la verticale et l’horizontale ne se mesurent pas de la même manière. Un altimètre peut donner une distance au sol alors que le système reste mal localisé dans le plan horizontal ; une caméra peut reconnaître une zone horizontalement mais être perturbée par la géométrie d’éclairage. Une architecture robuste fusionne plusieurs capteurs parce que leurs faiblesses ne sont pas identiques. Le mot important est fusion : on ne remplace pas l’IMU par une caméra, on utilise la caméra pour empêcher l’erreur inertielle de devenir incontrôlable.

Perseverance : de trois images grossières à une cible atteignable

Le dossier d’atterrissage JPL donne une chronologie instructive. Le Lander Vision System fonctionnait approximativement entre 4,2 et 2,2 km au-dessus du sol et devait fournir une localisation de l’ordre de 40 m en moins de dix secondes. JPL Robotics décrit un mode grossier utilisant quinze repères répartis sur trois images, puis un mode fin pouvant traiter jusqu’à environ 150 repères par image et fusionner l’information avec la centrale inertielle. Ce sont des chiffres propres à Mars 2020, pas une norme universelle, mais ils montrent la nature du problème : quelques secondes, des images limitées, un processeur qualifié spatialement et une décision irréversible.

Perseverance pouvait ensuite déplacer son point d’atterrissage jusqu’à environ 600 m selon le dossier de mission. Cette portée latérale transforme la carte de dangers en problème d’optimisation : le site le plus sûr n’est utile que s’il reste dynamiquement atteignable compte tenu de la vitesse, de l’altitude et du propergol. Le logiciel doit donc chercher une cible qui maximise la sûreté tout en respectant l’enveloppe de divert. Un point parfait mais hors d’atteinte est équivalent à un point inexistant.

La performance publiée par JPL Robotics est remarquable : LVS a atteint une erreur de position inférieure à 40 m relativement à la carte, et Perseverance s’est posé à environ 5 m du point visé par LVS. Il serait cependant faux d’interpréter ces 5 m comme « l’erreur TRN » à reproduire automatiquement. JPL souligne que ce résultat dépend de plusieurs erreurs simultanément faibles : distorsion locale de la carte, alignement des capteurs, qualité des corrélations et navigation après la dernière solution visuelle. Dans un bilan d’ingénierie, on sépare donc erreur de carte, erreur de localisation, erreur inertielle, erreur de guidage et dispersion propulsive.

On peut illustrer cette logique par un calcul RSS — root-sum-square — uniquement si l’on suppose provisoirement des erreurs indépendantes. Imaginons 20 m d’erreur de localisation, 15 m d’erreur cartographique et 10 m d’erreur résiduelle de guidage. L’écart combiné vaut √(20² + 15² + 10²) = √725 ≈ 26,9 m. Le symbole √ désigne la racine carrée. Ce résultat n’est valable que si les erreurs sont suffisamment indépendantes ; des biais communs ou des corrélations peuvent rendre l’addition quadratique optimiste. C’est précisément le rôle de la covariance et des essais end-to-end que de révéler ces dépendances.

L’image prise par LCAM pendant la descente de Perseverance montre un détail presque poétique : le bouclier thermique s’éloigne au-dessus du paysage martien, tandis que la caméra qui vient d’être libérée commence à fournir au véhicule les données dont il a besoin pour reconnaître son monde. Derrière cette image se trouve une contrainte sévère : exposition de moins de fractions de milliseconde, calibration optique, synchronisation temporelle, attitude connue et carte dans le même référentiel. Une seule image ne « donne » pas une position ; toute la chaîne métrologique la construit.

Le système Mars 2020 donne des chiffres particulièrement instructifs. La documentation JPL décrit une phase de localisation grossière utilisant environ quinze repères répartis sur trois images, puis une phase plus fine pouvant exploiter jusqu’à environ cent cinquante repères par image. La carte de base provient notamment d’images HiRISE pouvant atteindre environ 30 cm par pixel, transformées en produits cartographiques de résolution plus faible adaptés au calcul embarqué. Le but n’est pas de transporter toute la science orbitale dans l’ordinateur de bord, mais une représentation suffisamment compacte pour répondre en temps réel.

Le Landing Vision System de Perseverance visait une erreur de localisation inférieure à environ 40 m dans son domaine de performance documenté. Le rover s’est finalement posé à environ cinq mètres du point que le système avait choisi comme cible au cours de la descente, performance meilleure que l’exigence mais qu’il ne faut pas convertir en promesse universelle de cinq mètres. Une réalisation particulière contient une part de conditions favorables et de dispersion. L’exigence, le résultat de vol et la capacité future sont trois choses différentes.

Le procédé révèle aussi pourquoi la précision n’est pas une fin en soi. La navigation relative au terrain sert à déplacer la cible vers une zone jugée plus sûre. Si la position était connue parfaitement mais que le système ne disposait d’aucune carte de danger ou d’aucune autorité pour modifier la trajectoire, cette précision ne sauverait pas le véhicule. Inversement, une carte de dangers parfaite est inutile si l’incertitude de position est plus grande que la taille des zones sûres. Localisation, cartographie et guidage doivent donc être dimensionnés ensemble.

Ce qui peut tromper un système de vision à deux kilomètres du sol

Un système TRN peut échouer en ne trouvant aucune correspondance, ce qui est intuitivement dangereux mais relativement facile à diagnostiquer. Le cas plus délicat est la fausse correspondance : l’algorithme trouve une solution apparemment excellente mais au mauvais endroit. Les terrains répétitifs, des cratères ressemblants, des ombres différentes ou une carte présentant une distorsion locale peuvent produire des ambiguïtés. La logique de confiance doit donc regarder la hauteur du pic de corrélation, la cohérence entre plusieurs repères, la compatibilité avec l’état inertiel et l’évolution temporelle de la solution.

L’éclairage est un autre adversaire. Une carte orbitale peut avoir été acquise à une saison, une heure locale et un angle solaire différents de ceux de l’atterrissage. Les ombres changent la forme apparente des reliefs. La poussière atmosphérique réduit le contraste ; les panaches, plus tard, peuvent obscurcir le sol. Les caméras doivent aussi survivre au froid, aux vibrations et au passage brutal d’un environnement protégé derrière le bouclier à la scène extérieure. C’est pourquoi l’algorithme ne peut pas dépendre d’une beauté photographique idéale.

La chaîne temporelle mérite un budget à part entière. Une image est exposée, lue, transférée, traitée, corrélée, fusionnée avec l’inertiel, puis transmise au calculateur de guidage. Si chaque étape prend un peu plus longtemps que prévu, la solution reçue décrit un véhicule qui a déjà parcouru des dizaines ou centaines de mètres supplémentaires. L’horodatage de chaque mesure et la compensation de latence sont donc aussi importantes que la résolution. Le système doit savoir quelle position il avait au moment de l’image et propager correctement cette estimation jusqu’au présent.

Les pannes doivent être hiérarchisées. Perte complète de caméra : le véhicule retombe sur une navigation inertielle/radar moins précise et doit viser une zone de secours plus conservatrice. Dégradation partielle : il peut réduire son ambition de divert. Carte douteuse : il peut préférer des cibles dont la sûreté est robuste à l’erreur cartographique. IMU incohérente : il faut isoler le capteur ou utiliser une redondance. Cette logique est du FDIR, et elle doit être décidée avant le vol ; à plusieurs minutes-lumière de la Terre, aucun opérateur ne peut reprendre la main à temps.

On peut représenter pédagogiquement l’incertitude par une covariance, c’est-à-dire une description statistique des erreurs et de leurs corrélations. Dans un cas simplifié où trois erreurs indépendantes valent 20 m, 15 m et 10 m sur trois axes, une grandeur RSS — racine de la somme des carrés — donne √(20²+15²+10²) = √725 ≈ 26,9 m. Ce calcul n’est pas une véritable ellipse de navigation Mars : il montre seulement pourquoi plusieurs erreurs indépendantes ne s’additionnent pas toujours linéairement et pourquoi l’ordinateur transporte aussi une estimation de son ignorance.

Le risque le plus dangereux est parfois une mesure très précise mais fausse. Si une image est associée au mauvais motif de la carte, le filtre peut recevoir une correction cohérente numériquement et catastrophique géographiquement. Les algorithmes doivent donc tester la qualité d’un appariement : nombre de repères cohérents, résidus, géométrie, continuité avec l’état précédent et seuils de rejet. Plus l’ordinateur est rapide, plus il peut comparer d’hypothèses ; mais la sécurité vient surtout de la capacité à dire « je ne sais pas » lorsque l’image ne justifie pas une correction.

Éclairage rasant, poussière, ombres saisonnières, changements de surface, flou de mouvement, saturation et occultations peuvent modifier l’apparence. Une carte vieille de plusieurs années peut rester excellente à l’échelle des grands reliefs mais être imparfaite pour un site où une tempête, un nouvel impact ou les opérations d’une base ont changé le sol. La colonisation introduit ainsi un paradoxe : plus le site est occupé, plus il peut être instrumenté ; mais plus il est occupé, plus il peut aussi être modifié par pistes, panaches, excavations et équipements.

Le logiciel doit en outre gérer le temps. Une image prise à l’instant t décrit un terrain que le véhicule a déjà dépassé lorsque le traitement s’achève. Si la chaîne acquisition–correction–commande consomme 500 ms et que la vitesse horizontale vaut 100 m/s, le véhicule s’est déplacé d’environ 50 m pendant le calcul. Ce nombre est un exemple, pas une latence Mars 2020 ; il montre pourquoi le budget temporel est un élément de navigation au même titre que le bruit d’un capteur. Il faut dater précisément les mesures, propager l’état jusqu’au présent et éviter qu’une information ancienne ne soit appliquée comme si elle était instantanée. À mesure que la descente accélère en termes de décisions par seconde, la qualité d’un algorithme se mesure donc autant à sa robustesse et à sa latence garantie qu’à sa précision sur un ordinateur de laboratoire.

Pour un atterrisseur humain, la « zone sûre » devient une infrastructure

Un cargo fondateur peut viser une grande plaine. Une colonie établie voudra au contraire se poser près des stocks, routes, ateliers et habitats pour limiter la logistique de surface. Ces deux objectifs entrent en tension avec la sécurité. Plus le véhicule s’approche des infrastructures, plus la précision devient utile, mais plus les conséquences d’une erreur augmentent. Le choix du site doit donc passer d’une simple carte de danger naturel à une carte opérationnelle comprenant zones d’exclusion, corridors d’approche, dépôts d’ergols, lignes électriques, panneaux solaires, antennes, véhicules mobiles et historiques des atterrissages précédents.

La carte devra également évoluer. Sur Mars, une tempête peut déplacer la poussière, un rover peut laisser une tranchée, un chantier peut créer une berme, un précédent atterrissage peut creuser ou contaminer une zone. Une carte préparée deux ans avant le lancement ne suffit plus pour une base active. La colonie aura besoin d’une chaîne de mise à jour : imagerie orbitale lorsqu’elle est disponible, drones ou aéronefs si l’architecture en possède, caméras de rovers, relevés lidar, balises locales et contrôle de configuration. Le véhicule entrant doit savoir quelle version de la carte il utilise et à quelle date chaque zone a été validée.

La notion de « landing pad » ne résout pas tout. Une plateforme préparée simplifie la rugosité et peut réduire l’érosion, mais elle devient une cible de petite taille dont l’approche doit être précise. Si elle est inutilisable, le véhicule a besoin de sites alternatifs. Une architecture robuste définira donc plusieurs niveaux : cible nominale préparée, zone secondaire aménagée, zone tertiaire naturelle mais caractérisée, et éventuellement procédure d’abandon vers un site plus lointain. La portée latérale et le propergol de divert doivent être dimensionnés en conséquence.

Pour des vols répétés, le système de navigation peut enfin profiter d’infrastructures locales que Perseverance n’avait pas : balises radio, réflecteurs lidar, transpondeurs, cartes haute résolution produites par la base, voire réseau de positionnement local. Mais ces aides ne doivent pas créer une dépendance unique. Un blackout de la colonie ne peut pas condamner un véhicule en descente. La navigation autonome fondée sur terrain et inertiel doit rester suffisamment robuste pour atteindre une zone sûre même si l’infrastructure de précision disparaît.

Pour un premier atterrissage humain, il faut éviter une dépendance circulaire : on ne peut pas exiger des balises, un radar de précision et une piste préparée si leur installation suppose déjà qu’un véhicule lourd ait atterri. La stratégie doit donc être progressive. Les premières missions s’appuient davantage sur cartographie orbitale, autonomie embarquée et larges zones sûres. Les cargos suivants peuvent déposer balises, stations météo et repères artificiels. Une base mature peut enfin disposer d’une zone d’atterrissage cartographiée après chaque événement, de moyens de surveillance et peut-être d’aides radio locales.

Cette progression transforme le site en infrastructure. Une balise n’est utile que si son alimentation, son horloge, son intégrité et sa position sont connues ; un repère optique doit rester visible malgré la poussière ; un radar au sol doit être placé hors des zones d’éjecta ; une liaison radio doit continuer à fonctionner lorsqu’un panache ionisé ou un relief masque certaines directions. La redondance ne signifie donc pas installer dix fois le même capteur, mais combiner des modes de mesure dont les défaillances ne sont pas communes.

Une colonie ajoute aussi le trafic. Deux véhicules ne doivent pas converger vers la même zone lorsque le premier a endommagé le sol ou saturé les capteurs du second de poussière. Les corridors d’approche, les zones d’exclusion, les cartes mises à jour et la connaissance des obstacles mobiles deviennent des problèmes de gestion d’aérodrome. La navigation de précision devient alors non seulement une technologie de véhicule, mais une fonction de sécurité collective de la cité.

La météo locale complète cette infrastructure. Pression, température, vent et poussière modifient la trajectoire terminale et l’apparence du terrain. Une station proche du site peut fournir un contexte, mais elle ne mesure pas nécessairement l’atmosphère traversée quelques kilomètres plus haut. Les prévisions, les observations orbitales et les capteurs du véhicule doivent donc rester complémentaires. Pour une flotte, l’enjeu est de transformer chaque arrivée en donnée pour les suivantes : erreurs de navigation observées, état du pad, visibilité, vent, poussière soulevée, précision des balises. Une base qui apprend de ses propres atterrissages peut réduire progressivement l’incertitude sans prétendre que le site est devenu déterministe.

La bonne métrique n’est pas la précision moyenne, mais la probabilité d’éviter le mauvais sol

Les présentations de navigation aiment un nombre unique — 40 m, 20 m, 5 m — parce qu’il est facile à comparer. Pour la sûreté d’atterrissage, la moyenne est pourtant moins importante que les queues de distribution. Un système qui atteint 5 m la plupart du temps mais produit une fausse localisation catastrophique une fois sur mille peut être moins sûr qu’un système systématiquement à 30 m mais très bien borné. Il faut donc suivre taux de non-corrélation, probabilité de fausse correspondance, erreur au percentile élevé, disponibilité du divert, qualité de la carte et probabilité conditionnelle de toucher un danger.

La validation doit reproduire cette diversité. Images synthétiques, campagnes sur terrains terrestres, archives orbitales, transformations d’éclairage, poussière simulée, erreurs d’horodatage et pannes de capteurs doivent nourrir les tests. Les scénarios ne doivent pas être choisis uniquement parce qu’ils produisent une jolie démonstration. Un test crédible cherche les scènes pauvres, répétitives, saturées ou mal alignées qui peuvent faire échouer la chaîne.

Cette logique rejoint la certification logicielle : exigences traçables, jeu de données de validation indépendant, gestion des versions de cartes et d’algorithmes, déterminisme des fonctions critiques, enregistrement des décisions et capacité de rejouer un atterrissage après coup. Chaque arrivée enrichit alors la base de connaissance de la colonie. Les images, erreurs et trajectoires réelles deviennent des données d’ingénierie pour les vols suivants.

Le chapitre suivant descend encore de quelques centaines de mètres. Même lorsqu’un système de navigation a choisi le bon endroit, les moteurs peuvent transformer ce bon endroit en environnement hostile. La descente terminale doit donc relier précision géométrique et physique du sol : un point atteignable n’est réellement sûr que si les panaches, les particules et les infrastructures peuvent survivre aux dernières secondes.

La performance moyenne peut être trompeuse. Supposons, uniquement comme exemple de raisonnement, qu’un système se pose généralement à quelques dizaines de mètres de sa cible mais possède une très petite probabilité de produire une erreur de plusieurs kilomètres. Pour un robot isolé, cette queue de distribution peut être acceptable selon la mission ; pour un véhicule transportant des dizaines de personnes vers une base, elle peut dominer le risque. Il faut donc connaître les distributions d’erreur, les conditions qui créent les valeurs extrêmes et la façon dont le système se comporte lorsque la confiance baisse.

Le choix du site doit lui aussi intégrer cette statistique. Une zone théoriquement parfaite mais entourée de falaises et de blocs laisse peu de marge à une dégradation de navigation. Une plaine moins optimale scientifiquement mais offrant plusieurs kilomètres de solutions de repli peut être meilleure pour les premières rotations humaines. À mesure que la précision et les infrastructures progressent, la surface utilisable peut se resserrer. La précision technique et la stratégie d’implantation de la colonie évoluent donc ensemble.

Enfin, il faut séparer trois métriques : connaître sa position, choisir une cible sûre, et atteindre cette cible malgré les perturbations. La première relève de l’estimation d’état ; la deuxième de la perception et de la carte de dangers ; la troisième du guidage et du contrôle. Les présenter comme une seule fonction appelée « TRN » masque les interfaces où les erreurs peuvent naître. Un site de référence doit précisément montrer ces frontières, parce que c’est aux frontières entre sous-systèmes que se construisent les exigences de validation.

Cette logique conduit naturellement à une notion de niveau de service. Une base pourrait définir plusieurs solutions : cible nominale, zone de repli proche, zone de repli lointaine et, dans certains profils, décision d’abandon ou de maintien en orbite avant l’engagement irréversible. Chaque option possède des seuils de carburant, de navigation et de météo. Le logiciel ne doit pas seulement savoir où il est ; il doit savoir quelles options restent physiquement atteignables. Cette approche rapproche la navigation martienne de la gestion moderne de la sécurité aéronautique : on ne certifie pas uniquement un capteur, on certifie les décisions autorisées à partir de son niveau de confiance.

La base doit enfin conserver un historique de configuration : version de carte, version logicielle, calibration des caméras, position des balises, état de la zone d’atterrissage et conditions atmosphériques. Sans cette traçabilité, comparer deux atterrissages devient trompeur parce que l’on ne sait plus ce qui a changé. La précision n’est donc pas seulement un nombre produit en temps réel ; c’est une capacité que l’on doit pouvoir expliquer après le vol, auditer et améliorer avant le suivant.