Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. L'explosion d'un lanceur détruit en quelques secondes un satellite de télécommunications valant plusieurs centaines de millions. Qu'est-ce qui distingue ce sinistre de la plupart des sinistres industriels de même montant ?
Il est instantané, total et sans expertise possible sur les débris
L'assurance de lancement couvre la phase qui va de l'allumage des moteurs à la séparation et à la mise à poste, parfois étendue aux premiers mois en orbite, et cette phase concentre l'essentiel du risque spatial. Le montant se retrouve dans l'industrie lourde ; ce qui rend ce sinistre singulier, c'est sa forme : il est instantané, il est total, et il ne laisse rien à examiner. Un incendie d'usine laisse des murs, des relevés, des témoins, et son montant se construit sur plusieurs mois d'expertise ; un échec de lanceur laisse une télémétrie de quelques secondes et des débris dispersés en mer. La conséquence pratique est que tout le travail de l'assureur se déplace avant le tir, dans l'examen de la fiabilité du véhicule, de la charge utile et des procédures, puisque rien ne pourra être instruit après. Il faut ajouter que ce marché est étroit et concentré sur quelques porteurs spécialisés, ce qui le rend très cyclique : une série d'échecs peut consommer plusieurs années de primes et durcir brutalement les conditions, sans qu'aucun assuré n'ait rien changé à son propre risque.
Fiche du glossaire →2. Le 4 juin 1996, le vol inaugural d'Ariane 5 s'achève par une autodestruction trente-sept secondes après le décollage, sur une erreur du logiciel de guidage. Qu'est-ce que ce cas illustre pour la tarification d'un premier vol ?
Le défaut se révèle au premier vol réel, que la simulation au sol ne reproduit pas entièrement
Le taux d'échec des lanceurs est structurellement plus élevé sur leurs premiers vols que sur une flotte mature, et la statistique du secteur le vérifie lanceur après lanceur. La raison tient à la nature des défauts en cause : erreurs de conception, d'intégration ou de procédure, qui se révèlent en conditions réelles et que la simulation au sol ne reproduit pas intégralement. Le vol de 1996 en est l'exemple canonique, puisque la cause n'était ni un moteur ni une structure mais un logiciel de guidage repris d'un véhicule précédent, dans un environnement de vol différent : exactement le genre de défaut qu'aucun essai partiel ne fait apparaître. Un assureur applique donc au premier vol commercial d'un nouveau véhicule une prime nettement supérieure à celle d'un lanceur éprouvé, et le point à retenir est que cette surprime ne rémunère pas une incertitude vague mais une absence d'historique propre au véhicule. Certains opérateurs en tirent la conséquence inverse et diffèrent le lancement de leur charge la plus précieuse jusqu'à ce que le véhicule ait accumulé quelques vols réussis, ce qui est une décision de calendrier avant d'être une décision d'assurance.
Fiche du glossaire →3. Depuis le Commercial Space Launch Act de 1984, toute licence de lancement délivrée aux États-Unis exige que l'État, le lanceur et l'opérateur de charge utile renoncent à tout recours entre eux. Qu'est-ce que cela impose à l'opérateur ?
Assurer ses propres dommages, sans recours contre les autres parties au lancement
La renonciation réciproque est une clause standard des contrats de lancement, imposée par plusieurs cadres nationaux comme condition d'octroi de la licence : chaque partie renonce à tout recours contre les autres pour les dommages qu'elle-même ou ses biens subissent, indépendamment de la faute. Chacune assume donc son propre risque et celui de ses sous-traitants, et se couvre par une assurance de dommages propres plutôt qu'en comptant sur un recours. Le motif est industriel avant d'être juridique : un lancement met en présence un État, un lanceur, un motoriste, un constructeur de satellite, des équipementiers et parfois plusieurs clients de la même coiffe, et sans cette clause chaque échec deviendrait un contentieux de plusieurs années sur la répartition des fautes entre des parties qui doivent continuer à travailler ensemble. La conséquence pour l'assureur est double et il faut la voir entièrement : la subrogation, qui est ailleurs une part réelle de la valeur d'un dossier, ne vaut ici presque rien, et la prime doit porter seule tout le risque. C'est aussi ce qui explique que la garantie spatiale soit une garantie de dommages, là où l'intuition attendrait de la responsabilité.
Fiche du glossaire →4. La convention de 1972 sur la responsabilité pour dommages causés par des objets spatiaux distingue deux régimes selon le lieu du dommage. Lesquels, et qu'est-ce que cela change ?
Responsabilité absolue au sol et sur les aéronefs, responsabilité pour faute en orbite
La convention précise et complète le principe de responsabilité étatique posé par le traité de 1967, et sa distinction est le pivot de tout le traitement juridique des collisions et des retombées. Pour les dommages causés au sol ou aux aéronefs en vol, l'État de lancement supporte une responsabilité absolue : la victime n'a pas à prouver une faute, ce qui se comprend puisqu'elle n'a rien choisi et n'a aucun moyen d'établir ce qui s'est passé à des centaines de kilomètres d'altitude. Pour les dommages causés en orbite à un autre objet spatial, la responsabilité repose au contraire sur la preuve d'une faute, la logique étant que les deux parties sont des opérateurs avertis, présents volontairement dans le même environnement. Cette asymétrie a une conséquence pratique très concrète, et c'est elle qu'il faut retenir : établir une faute en orbite suppose de démontrer qui devait manoeuvrer, sur la foi de quelles données de conjonction et dans quel délai, sur des objets détruits dont il ne reste que des débris. La convention organise enfin la réclamation entre États, ce qui ajoute un échelon diplomatique là où un assureur voudrait un interlocuteur.
Fiche du glossaire →5. Le 10 février 2009, le satellite actif Iridium 33 percute le satellite russe désaffecté Kosmos 2251 à plus de onze kilomètres par seconde, produisant environ deux mille débris traçables. En quoi ce péril diffère-t-il d'une défaillance interne ?
Il dépend de l'environnement orbital, et son sinistre dégrade cet environnement pour tous
Une défaillance interne est propre à l'engin : elle dépend de sa conception, de ses composants et de son exploitation, c'est-à-dire de choses que l'assureur peut examiner chez l'assuré. La collision dépend d'autre chose, la densité d'objets à une altitude donnée et la qualité du suivi des conjonctions, autrement dit d'un environnement partagé sur lequel aucun opérateur n'a la main seul. La vitesse relative, ici plus de onze kilomètres par seconde, suffit à détruire intégralement les deux objets, et ce n'est pas la seule conséquence. Le nuage de débris produit persiste souvent des années et dégrade l'orbite pour tous ceux qui l'occupent, ce qui fait de ce péril l'un des rares dont un sinistre augmente la probabilité des suivants. Un assureur y voit donc un risque qui ne se diversifie pas comme les autres : couvrir dix satellites sur la même altitude n'est pas couvrir dix risques indépendants. Il faut noter enfin que les opérateurs équipés de propulsion manoeuvrent de plus en plus souvent pour éviter, ce qui consomme des ergols et raccourcit la durée de vie utile, tandis que les satellites non manoeuvrables restent pleinement exposés.
Fiche du glossaire →6. Le 15 novembre 2021, un missile détruit le satellite désaffecté Cosmos 1408, produisant plus de mille cinq cents débris traçables et contraignant l'équipage de la Station spatiale internationale à se réfugier dans les vaisseaux de secours. Quelle question cet événement pose-t-il aux polices spatiales ?
Celle de l'exclusion de guerre ou d'acte hostile, pour un dommage subi par des tiers non visés
Un essai antisatellite se distingue d'une collision accidentelle sur un point qui change tout pour la rédaction : il est intentionnel, et son ampleur est prévisible pour l'État qui le conduit. Les conséquences, elles, échappent à tout contrôle une fois le nuage créé, et se répartissent sur une large plage d'altitudes et de durées de vie orbitale, certains fragments menaçant des satellites et des équipages pendant des années. La difficulté d'assurance est là : l'acte est hostile ou militaire dans sa nature, ce qui appelle les exclusions de guerre présentes dans la plupart des polices spatiales, mais le dommage éventuel frappe des opérateurs civils qui ne sont partie à rien et que personne ne visait. Appliquer l'exclusion à la lettre reviendrait à laisser sans garantie un exploitant dont le satellite est détruit par un débris venu d'un essai conduit à l'autre bout du monde, des années plus tôt ; ne pas l'appliquer reviendrait à faire porter au marché une conséquence d'acte étatique. C'est une question de rédaction avant d'être une question de sinistre, et elle se règle dans la définition de l'acte hostile plutôt que dans la discussion d'après coup.
Fiche du glossaire →7. Entre 2017 et 2019, des fuites de propulsion touchant plusieurs satellites d'un même modèle sont réglées non en pertes totales mais en pertes partielles indexées sur la réduction de durée de vie utile. Comment fonctionne ce règlement ?
Un barème sur la capacité ou les années perdues, avec un seuil qui bascule en perte totale
Peu de défaillances spatiales sont aussi nettes qu'une explosion au lancement. Un satellite peut perdre une partie de ses répéteurs, de sa puissance électrique ou de ses années de service prévues sans cesser d'émettre, et c'est même le cas le plus fréquent une fois l'engin en orbite. La clause de perte partielle indemnise cette dégradation sans attendre une perte totale, selon un barème défini à la police, souvent en pourcentage de la valeur assurée, calculé sur la capacité perdue ou sur le raccourcissement de la durée de vie utile par rapport à celle prévue à la souscription. Un seuil de dégradation cumulée, généralement autour de la moitié de la capacité ou de la valeur, déclenche la qualification de perte totale constructive : l'assureur règle alors comme pour une perte totale et récupère le cas échéant l'actif dégradé. Ce que ce mécanisme évite mérite d'être vu, parce qu'il n'a pas d'équivalent immédiat ailleurs : sans lui, l'assuré n'aurait le choix qu'entre continuer d'exploiter un actif diminué sans rien percevoir, et prétendre à une perte totale que les faits ne soutiennent pas. Le barème est donc l'endroit où se joue la valeur réelle de la garantie, bien plus que le montant assuré.
Fiche du glossaire →8. En avril 2010, un satellite géostationnaire perd tout contrôle depuis le sol tout en continuant d'émettre sur sa bande de fréquences, et dérive pendant des mois à travers la ceinture géostationnaire. Pourquoi ce cas est-il difficile à qualifier ?
L'actif est intact et émet encore, alors que son exploitation est perdue
Un satellite à la dérive, qu'on appelle parfois satellite zombie, a perdu tout contrôle depuis le sol à la suite d'une défaillance électronique ou logicielle, mais reste physiquement intact et continue parfois d'émettre sur ses fréquences d'origine. La difficulté de qualification tient exactement à cet écart : la perte d'exploitation est certaine pour l'opérateur tant que dure la dérive, et peut sembler définitive, alors que l'actif n'est pas détruit et qu'un expert qui le regarderait ne verrait rien de cassé. Les polices règlent cela par la notion de perte totale constructive, qui regarde l'usage et non l'intégrité physique, et c'est l'un des rares endroits de l'assurance où l'on indemnise un bien qui fonctionne encore. Le cas d'avril 2010, Galaxy 15, montre aussi le risque inverse : sa batterie vidée, il s'est réinitialisé le 23 décembre 2010 et a été repris puis remis en service, ce qui interdit de conclure trop tôt à une perte définitive. S'ajoute un second problème, qui n'est pas celui de l'assuré mais celui de ses voisins : l'engin dérive sans manoeuvre possible à travers des orbites étroitement coordonnées, la ceinture géostationnaire en particulier, et le brouillage qu'il continue d'émettre gêne les opérateurs sur sa trajectoire. Un même événement produit donc un sinistre de dommages propres et une exposition de responsabilité envers des tiers qui n'ont rien à voir avec la défaillance, et les deux ne se traitent ni dans la même police ni avec les mêmes preuves.
Fiche du glossaire →9. Une constellation compte des milliers de satellites identiques en orbite basse, produits en série et exploités par un même opérateur. Qu'est-ce que ce modèle change à l'accumulation, par rapport à une flotte de gros satellites géostationnaires ?
Un défaut de série ou une dégradation d'orbite atteint la flotte entière d'un coup
L'intuition dit qu'un grand nombre d'unités diversifie, et c'est vrai quand les unités sont indépendantes. Elles ne le sont pas ici, et pour deux raisons qui se cumulent. La première tient à la fabrication : des satellites produits en série partagent une conception, des composants et des procédures, si bien qu'un défaut de série ne se répartit pas, il frappe l'ensemble du modèle. La seconde tient à l'orbite : la congestion qu'engendre le déploiement de milliers d'objets accroît la probabilité de collisions, dont les débris alimentent à leur tour un effet d'emballement, et une dégradation de l'environnement orbital atteint simultanément toute la flotte qui l'occupe. C'est la même mécanique que le point de défaillance unique en cyber, transposée à un milieu physique : une dépendance commune que le décompte des unités ne fait pas apparaître. S'ajoute une troisième exposition, qui n'est pas celle de l'opérateur mais celle de ses clients : la dépendance croissante de services critiques à ces constellations crée un risque de carence dont les sinistres se produiront ailleurs que dans le spatial. C'est ce faisceau, plus que la valeur unitaire, qui rend l'assurabilité du modèle difficile.
Fiche du glossaire →