Cette partie traite du sous-système explosif du module lunaire.
Elle est décrite dans la partie 8 du manuel du module lunaire
Lien vers le maneul du module lunaire
Ceci est le bloc diagramme du sous-système explosif; les relais sont doublés pour une raison de sécurité.
Ceci est le diagramme fonctionnel du sous-système explosif.
Un interrupteur MASTER ARM permet de connecter le bus ED au 28 volts continu, ce qui est nécessaire pour que les interrupteurs de mise à feu aient un effet.
Le bouton ABORT STAGE permet également de connecter le bus ED, mais permet de plus de positionner les interrupteurs reliés aux engins explosifs des valves d'isolation des réservoirs de remontée, et de fermer l'interrupteur K2 qui permet de déclencher les interrupteurs commandant les engins explosifs permettant la séparation des deux étages du module lunaire.
Ils disent ceci à propos de la réinitialisation de l'interrupteur K2.
"S'il y a une alarme maître, ou un allumage de la lampe d'avertissement des RELAYS ED, ou un allumage de la lampe de signalement de composants des STAGE SEQ RELAYS, indiquant le transfert inopiné de l'alarme maître ou des relais de séquence, l'interrupteur STAGE RELAY RESET devrait être momentanément mis sur RESET pour réinitialiser l'état de K2. Si la lampe d'avertissement de ED RELAYS et la lampe de signalement de composants des STAGE SEQ RELAYS s'éteignent, K2 a eu un problème momentané; Si les lampes restent allumées, la panne est due aux relais K1, ou K3 à K6".
Cela signifie que l'astronaute n'a pas de moyen de savoir quel relais a un problème si cela arrive, et, au cas où la lampe de signalement de composants des STAGE SEQ RELAYS s'allume, la seule procédure disponible est de réinitialiser l'interrupteur K2 pour savoir si le problème vient de lui ou non.
Ceci est le diagramme schématique du contrôle de séparation d'étage.
Au cas où l'interrupteur K1 est fermé, mais pas les interrupteurs K2 à K6 (interrupteur des engins explosifs), la liaison du contrôle de séparation d'étage est fermée, et les lampes d'avertissement s'allument.
Normalement, l'interrupteur K1 est positionné par l'interrupteur MASTER ARM ou le bouton ABORT STAGE, et, dans ce cas, il y a une logique d'inhibition qui empêche de générateur de tonalité, la lampe d'alarme maître, et les lampe d'avertissement de relais de se déclencher.
Au cas où un interrupteur K2 à K6 est positionné, mais pas l'interrupteur K1, tous les signaux d'avertissement sont déclenchés.
Au cas où les interrupteurs K1 et K2 sont tous deux positionnés, la liaison est interrompue dans le contrôle de séparation d'étage, et il n'y a pas de signal d'avertissement.
Mais c'est une situation normale dans le cas d'un abandon, car l'abandon positionne à la fois K1 et K2.
Dans le cas où les interrupteurs K1 et K3 sont tous deux positionnés, mais par l'interrupteur K2, la liaison est également interrompue dans le contrôle de séparation d'étage, et il n'y a pas de signal d'avertissement non plus.
Mais, différemment du cas précédent, ce n'est pas une situation normale, car l'interrupteur K3 peut seulement être positionné par l'interrupteur K2; le fait qu'il puisse être positionné, sans que l'interrupteur K2 le soit, n'est pas une situation normale, et cette situation anormale n'est pourtant pas signalée!
Ce schéma montre comment le bus était armé soit par l'interrupteur MASTER ARM et le bouton ABORT STAGE.
Tous deux permettent de positionner l'interrupteur K1, lequel relie le bus ED au 28 volts.
Ceci est nécessaire pour que les boutons de mise à feu aient un effet.
Le bouton de déploiement du train d'alunissage permet de fermer les interrupteurs K8 et K8A qui permettent de mettre à feu les engins explosifs reliés au train d'alunissage, à condition que le bus ED ait été armé (soit avec l'interrupteur MASTER ARM, soit avec le bouton ABORT STAGE).
Les engins explosifs reliés au train d'alunissage permettent le déploiement des pattes du module lunaire qui sont initialement en position repliée.
Une logique permet de vérifier que le train d'alunissage a été correctement déployé.
Si tous les contacts du déploiement sont activés, cela signifie que le déploiement du train d'alunissage est complétement réussi, ce qui est indiqué par une lampe qui s'allume.
Mais, dans le cas où un contact ne se déclencherait pas, la lampe du déploiement du train d'alunissage ne s'allumera pas, et les astronautes seront avertis qu'il y a eu un problème dans le déploiement du train d'alunissage.
Mais les astronautes sauront seulement qu'il y a eu un problème, mais ils ne sauront pas lequel.
Ils ne sauront pas quelle patte ne s'est pas correctement déployée (ou éventuellement plusieurs pattes), et pourtant il serait mieux s'ils savaient quelle patte a eu un problème.
Il serait possible de savoir quelle patte ne s'est pas correctement déployée, si toutes les connections intermédiaires du circuit de contrôle étaient aussi testées.
Il pourrait y avoir un indicateur par contact, ou, si cela fait trop de lampes, un interrupteur rotatif permettant de tester visuellement l'état de chaque contact individuellement (ou un programme de l'AGC affichant leur état).
Ceci est le diagramme schématique de la prépressurisation du réservoir de propulseur de descente.
Des boutons de mise à feu permettent d'activer les engins explosifs des valves d'isolation des réservoirs de descente, à condition que le bus ED ait été armé.
Ceci est le diagramme schématique de la prépressurisation du réservoir de propulseur de remontée.
Un bouton de mise à feu permet d'activer les engins explosifs des valves d'isolation des réservoirs de descente, à condition que le bus ED ait été armé.
Le réservoir 1, ou le réservoir 2, ou tous les deux peut être activés, suivant la position d'un interrupteur rotatif.
Comme la séquence de l'ABORT STAGE doit aussi mettre à feu le moteur de remontée, le bouton ABORT STAGE permet également d'activer les engins explosifs des valves d'isolation des réservoirs de remontée.
Dans le système B, il y a une diode entre le bouton ABORT STAGE et l'activation des engins explosifs des valves d'isolation des réservoirs de remontée qui est manquante (à l'endroit que j'ai cerclé), alors qu'elle est présente dans le système A.
Ceci est le diagramme schématique de la prépressurisation du réservoir de propulseur du RCS.
Un bouton de mise à feu permet d'activer les engins explosifs des valves d'isolation des réservoirs du RCS, à condition que le bus ED ait été armé.
Mais, différemment de la prépressurisation du réservoir de propulseur de remontée, le bouton ABORT STAGE n'ouvre pas automatiquement les valves d'isolation du RCS.
En fait, c'est normal, car le RCS doit aussi fonctionner dans la descente.
Il y avait deux systèmes permettant de faire fonctionner le RCS, le Système A et le Système B, lesquels travaillaient en parallèle.
Ces deux systèmes travaillaient en parallèle, seulement pour une raison de redondance, car chacun d'eux pouvait faire fonctionner le RCS tout seul.
C'est pourquoi leurs valves d'isolation étaient simultanément mises à feu au début de la descente.
Toutefois, cela signifiait que leurs réservoirs restaient ouverts pendant toute la durée du séjour sur le sol lunaire, jusqu'à plusieurs jours (contrairement aux réservoirs de remontée, dont les valves d'isolation étaient mises à feu seulement au décollage).
Ceci n'est pas bon du tout pour la sécurité de la remontée (ceci est confirmé par les limitations qui sont spécifiées sur les systèmes de remontée et descente à la fin du chapitre du sous-système explosif, car, si de telles limitations existent sur les systèmes de descente et remontée, elles existent certainement aussi sur le système du RCS).
Cela aurait été bien plus sûr si seulement le système A avait été rendu opérationnel durant la descente, et le système B rendu opérationnel seulement au moment de la remontée (comme les réservoirs de remontée), surtout puisque le RCS est plus sollicité dans la remontée que dans la descente.
1) D'abord à cause du déséquilibre créé par le placement aberrant d'un réservoir de carburant, qui forçait le RCS à corriger continuellement le couple causé par le désalignement de la poussée du moteur de remontée avec le centre de gravité.
2) Et ensuite parce que le module lunaire à besoin du RCS pour faire la maneuvre de retournement à la fin de al remontée pour s'arrimer au module de commande.
Donc les engins explosifs des valves d'isolation des réservoirs du RCS devraient être mis à feu par différentes commandes au lieu de la même.
Un bouton de mise à feu permettrait d'abord de déclencher l'engin explosif relié à la valve d'isolation du système A, au début de la descente.
L'engin explosif relié à la valve d'isolation du système B serait mis à feu dans trois cas de figure:
1) S'il y a un problème avec le système A durant la descente.
2) Au moment du décollage.
3) si le bouton ABORT STAGE est appuyé.
En fait, s'il y avait un problème avec le système A durant la descente, cela mettrait en péril la sécurité du reste de la mission, et il serait probablement plus sûr d'abandonner la mission.
Le diagramme de la prépressurisation du réservoir de propulseur du RCS serait alors modifié comme je le montre.
Sur ce diagramme, le bouton ABORT STAGE permet également de mettre à feu l'engin explosif de la valve d'isolation du système B.
Ceci est le diagramme schématique de la séquence de séparation d'étage.
Le bouton ABORT STAGE positionne les interrupteurs K1 (connexion du bus ED au 28 volts), et K2 qui qui déclenche la circuiterie qui permet de positionner les interrupteurs des engins explosifs.
Les intyerrupteurs K5, K6, and K6A sont immédiatement positionnés; il séparent vis et boutons.
Les interrupteurs K3 et K4 ne sont pas immédiatement positionnés.
Ils donnent la raison suivante pour les retarder:
"Un retard est nécessaire pour garantir la disparition de toute puissance de la connection inter-étage avant qu'elle ne soit coupée".
Après un retard d'environ 20 millisecondes, qui correspond au temps de séparation des vis et boulons, un premier circuit RC (un circuit RC est un circuit qui permet de retarder un signal électrique), que j'ai cerclé d'orange, sort un signal (coloré en orange) qui permet de positionner l'interrupteur K3; l'interrupteur K3 permet de déclencher un second circuit RC, que j'ai cerclé de jaune.
Après un nouveau retard, le deuxième circuit RC sort un signal (coloré en orange) qui permet de positionner un second interrupteur K4.
Une fois que les deux interrupteurs K3 et K4 sont fermés, les engins explosifs des coupeurs de cable sont mis à feu, terminant la séquence explosive.
Mais en fait, le retard nécessaire pour la séparation des vis et boulons est appliqué deux fois par les deux circuits RC, car chacun d'eux applique successivement ce retard.
Conséquemment, il y a le double du retard nécessaire entre la séparation des vis et boulons et le coupure finale des câbles.
L'interface pourrait être simplifié en utilisant seulement un circuit RC appliquant le retard nécessaire.
De plus, cela réduit la probabilité de problème, car il y a moins de chance qu'un transistor sur deux passe en circuit coupé qu'un sur quatre (Si in transistor passe en circuit coupé, le délai deviendra infini, ce qui signifie que l'interrupteur K3 ou K4 ne sera jamais fermé).
Maintenant, vous pouvez dire: OK, il y a moins de chance que le délai n'arrive pas à échéance de cette manière, mais, d'un autre côté, si un transistor passe en court-circuit, K3 changera immédiatement d'état, ce qui signifie qu'il n'y aura pas de délai entre les engins explosifs séparant les vis et boulons, et ceux coupant les câbles de connexion; dans le schéma précédent, si K3 change immédiatement d'état, le second circuit RC appliquera encore un délai.
C'est vrai, mais si K3 change immédiatement, l'interrupteur que j'ai cerclé de rouge changera immédiatement de position lorsque K2 est positionné, et il y a de bonnes chances que les relais électromécaniques que j'ai coloriés ne se déclenchent pas tous, ce qui signifie que les câbles seront coupés alors qu'il y a des vis et boulons qui ne sont pas séparés, ce qui aurait des conséquences catastrophiques.
Maintenant, est-ce que ce schéma peut être amélioré de manière que, si un transistor passe en court-circuit un délai puisse encore être appliqué?
Oui, c'est possible, en le modifiant de cette manière.
Sur ce nouveau schéma, si un transistor passe en court-circuit dans l'un des deux couples de transistors, le délai peut encore être appliqué par l'autre couple.
OK, allez-vous dire, nous sommes protégés contre l'éventualité d'un transistor passant en court-circuit, mais nous le sommes pas contre celle d'un transistor passant en circuit coupé, auquel cas le délai deviendrait infini; K3 ne changerait jamais d'état, et les câbles ne seraient pas coupés dans une telle éventualité.
Dans le schéma précédent, nous n'étions effectivement pas protégés contre l'éventualité d'un transistor passant en circuit coupé, mais, si nous modifions le schéma de cette manière, en ajoutant un second circuit RC doublé en parallèle, alors nous devenons protégés contre cette éventualité; si un transistor passe en état coupé sur un circuit RC, l'autre circuit RC pourra encore appliquer le délai.
A présent, nous avons une vraie redondance permettant au délai d'être normalement appliqué qu'un transistor passe en court-circuit ou en circuit coupé.
Bien sûr, si plusieurs composants tombent en panne, cela peut ne pas marcher, mais il n'existe pas de redondance qui permet à un système de marcher si trop de composants tombent en panne; les systèmes redondants sont toujours prévus pour pallier à la panne d'un composant (quelque fois plusieurs).
Ce n'est pas la seule manière d'appliquer une redondance.
Dans ce nouveau schéma, trois circuits RC appliquent indépendamment un délai; chacun d'eux peut éventuellement avoir un délai infini ou un délai nul suivant qu'un transistor passe en circuit coupé ou en court-circuit respectivement.
Chacun de ces circuits RC positionne deux interrupteurs à travers des relais électromécaniques au lieu d'un seul.
Le premier positionne les interrupteurs KA1 et KA2, le second les interrupteurs KB1 et KB2, et le troisième les interrupteurs KC1 et KC2.
Trois liaisons en parallèle se ferment soit si KA1 et KB2 se ferment, soit si KA1 et KC1 se ferment, soit si KB2 et KC2 se ferment.
- si KA1 et KA2 se ferment immédiatement, la liaison KA1&KB1 se fermera seulement quand KB1 se ferme, et la liaison KA2&KC1 se fermera seulement quand KC1 se ferme.
- Si KA1 et KA2 ne se ferment jamais, les liaisons KA1&KB1 et KA2&KC1 ne se fermeront pas, mais la liaison KB2&KC2 se fermera après le délai normal.
Le raisonnement est le même pour les deux autres paires d'interrupteurs.
Cela signifie que le délai sera toujours appliqué qu'un transistor passe en circuit coupé ou en court-circuit dans l'un des trois circuits RC, avec moins de transistors que dans le schéma précédent.
Toutefois, si ce schéma réduit le risque de panne de transistor, d'un autre côté il augmente celle de la panne d'un relais électromécanique.
Rien n'est parfait!
Les limitations et restrictions opérationnelles qui sont à la fin de chaque chapitre réservent toujours des surprises.
Ils disent ceci:
"Les pattes du train d'alunissage doivent être déployées avant que le moteur de descente ne soit mis à feu. Dans la position repliée, les pattes sont sur le chemin de la plume du moteur de descente; la mise à feu du moteur de descente les endommagerait".
Les astronautes ne devraient même pas avoir la possibilité de mettre à feu le moteur de descente si les pattes sont repliées, une sécurité devrait les empêcher de le faire; si le train d'alunissage ne se déployait pas, la seule action qui devrait leur être permise serait l'abandon de la mission.
Ils disent:
"L'interrupteur ASCENT He PRESS ne devrait pas être changé plus de 24 heures après la mise en service du moteur de remontée. Les valves de pressurisation de remontée sont prévues pour opérer pour seulement 24 heures après exposition aux vapeurs du propulseur. Dépasser cette limite pourrait avoir comme conséquence un mauvais fonctionnement de la valve".
Sûr, il y a des chances pour le temps de remontée puisse dépasser 24 heures!
Ils disent:
"Les interrupteurs DES START He PRESS and DES PRPLNT ISOL VLV ne devraient pas être changés plus de 3,5 jours après la mise en service du moteur de descente; Les valves de pressurisation de descente sont prévues pour opérer pour seulement 3,5 jours après exposition aux vapeurs du propulseur. Dépasser cette limite pourrait avoir comme conséquence un mauvais fonctionnement de la valve"
Sûr, il y a des chances pour que le temps de descente dépasse 3,5 jours!
Maintenant, si les valves des moteurs de remontée et de descente peuvent être sujettes à une panne à cause de l'exposition aux vapeurs de propulseur après qu'elles aient commencé d'être utilisées, il n'y a pas de raison que cela ne soit pas aussi vrai pour le RCS.
Dans le cas du RCS, les valves de régulation de l'hélium ne sont pas peut-être pas exposées aux vapeurs de propulseur, mais les valves d'admission du carburant et de l'oxydant le sont.
Si le système B du RCS est aussi utilisé dans la descente, il y a de bonnes chances que, après plusieurs jours de séjour sur la lune, ses valves seraient déficientes lorsqu'il doit être utilisé pour le retour au module de commande (pour avoir été exposé aux vapeurs de propulseur dans la descente).
Si seul le système A était utilisé dans la descente, et que les valves d'isolation du système B soient mise à feu seulement au décollage, ses valves seraient opérationnelles pour la remontée.
Cela justifie mon affirmation que les valves d'isolation des deux systèmes du RCS ne devraient pas être mises à feu en même temps.
Si le RCS ne fonctionnait pas dans la remontée, il ne pourrait pas corriger le torque créé par le désalignement de la poussée du moteur de remontée venant d'un placement aberrant d'un réservoir de carburant,...et le module lunaire s'écraserait peu après le décollage!
