La sécurité: objectif central du cours

Transcription

1 La sécurité: objectif central du cours Le graphe ci-dessus est extrait d une statistique élaborée par Boeing au début des années 90 qui démontre que la répartition entre les différentes causes d'accidents est stable sur les 30 dernières années. Il se produit environ un accident mortel par million d heures de vol, la durée moyenne d un vol étant de 2 heures. Ce chiffre est trop important. Projeté en 2010, avec une croissance de 5% par an du transport aérien, on atteint le chiffre inacceptable pour le public d un accident grave toutes les semaines L actualité se charge de nous rappeler la véracité de ces chiffres. Le sous développement de certaines contrées de la planète pourrait expliquer ces chiffres mais contrairement à une idée bien souvent répandue, les compagnies internationales des pays dits «émergeants» n ont pas plus d accidents que celles des pays dits «industrialisés». En revanche, le nombre d accidents est sept fois plus élevée pour les compagnies intérieures de ces mêmes pays. Ceci est dû surtout à des défauts d'infrastructure bien que parfois une influence culturelle puisse jouer un rôle dans l accident. D une manière générale, les études et audits effectués auprès de compagnies aériennes de tous niveaux et de tous pays montrent que la sécurité reste meilleure dans les grandes compagnies Les fonctions y sont en fait démultipliées, les décisions ne reposent pas sur un seul homme. ATPL 040 page 1.1

2 Accidents et causes humaines Le pourcentage respectif des différentes causes est remarquablement stable sur les 30 dernières années La part des causes «équipage» reste largement majoritaire. Mais elle reflète plus encore notre mode d analyse des accidents qu une véritable compréhension de leurs mécanismes profonds Les statistiques nous montrent que la cause «panne mécanique» dans les accidents d avions civils ne représente pas plus de 10% du total. Des sommes d argent considérables ont été investies pour fiabiliser la techniques mais, cependant, la part des accidents n a pas diminué corrélativement. Un accident est toujours dû à un enchaînement de problèmes et les statistiques nous montrent que 70% des accidents sont dus à l'équipage. Comment pourrai-t-il en être autrement, celui ci étant en première ligne? C'est donc dans ce domaine qu'il a fallu chercher à améliorer la sécurité des vols. Plutôt que de culpabiliser le PNT avec ce pitoyable score, des constations plus constructives ont pu être élaborées. Un tel niveau de responsabilité pour l opérateur humain représente en fait autant de possibilités d amélioration car il est en effet plus facile, en partant de ce score de 70% de tenter de le réduire. Plutôt que «d erreur humaine du pilote» il faut voir derrière ces chiffres une mauvaise gestion des ressources disponibles au moment de l accident, en fait une mauvaise compréhension de la situation. Le registre des ressources étant finalement assez large, on va pouvoir y trouver autant de voies d amélioration. Malgré cela, les modèles de grands systèmes complexes de type «mécanique» (telle action implique telle réaction calibrée, prévisible) arrivent en fin de vie. S ils ont aidé à atteindre les niveaux de sécurités actuels (1 accident par million d heures de vol), ils sont inefficaces voire nocifs pour atteindre 1 accident par dizaine de million d heures de vol. Voir chaque erreur comme une défaillance et lui attribuer une procédure entraînera des effets secondaires difficilement appréhensibles par l opérateur humain. Les défaillances à répétition des systèmes d exploitation des micro-ordinateurs en sont la meilleure illustration. Les dysfonctionnements humains seraient plutôt à envisager comme des adaptations sociologiques. Le flou fait partie de l être humain, il va falloir le prendre en compte. Un peu d histoire : Au cours des années 70, plusieurs accidents on conduit à l étude du facteur humain. Parmi ceux ci citons: ATPL 040 page 1.2

3 Accident de Portland : un DC8 s écrase en panne d essence à cause d un problème de confirmation de sortie du train d atterrissage. Le CDB aux commandes est resté sourd aux informations sur le niveau de carburant que lui fournissaient l OMN et l OPL. Accident des Everglades : un L1011 s écrase dans les marais à cause d une ampoule de position de train d atterrissage défectueuse, toutes les personnes présentes dans le poste traitaient la panne et personne ne pilotait l avion... Accident du Potomac : des connaissances erronées et une météo particulièrement défavorable ont conduit à cet accident survenu en centre ville. Collision au sol de Detroit : perdu dans la brume lors du roulage, l équipage du vol 1492 s arrête à l intersection de deux piste. Il est heurté par le vol 299 au décollage sur cette même piste. Accident de Tenerife : deux Boeing 747 se percutent dans le brouillard créant ainsi la plus grande catastrophe aérienne de l histoire. Parmi les causes de cet accident, un équipage qui n a pas su faire prendre conscience au CDB qu ils pensaient que l autre 747 n avait pas dégagé Accident de Dryden, Canada : un Fokker 28 s écrase lors d un décollage en conditions givrantes car l avion n avait pas été dégivré. L étude de cet accident et le rapport exemplaire qui ont suivi sont à la base de l approche «systémique» des accidents aériens. Les compagnies impliquées ont réagi en organisant des stages de gestion des ressources du cockpit pour leurs pilotes. United Airlines fut le pionnier avec son stage appelé CLR pour «command, leadership and resource management». Le taux d accidents de cette compagnie est passé de 1 pour d heures de vol à 1 pour d heures de vol depuis son application. Au cours d un stage CLR chez United, on va étudier : command: o autorité du CDB o climat du cockpit leadership: o communication o définition des problèmes o processus de décision resource management: o gestion de la charge de travail o compréhension de la situation o utilisation des ressources Singapore Airlines insiste de son côté sur les effets des comportements individuels sur l efficacité du groupe, sur l importance de la communication et du travail d équipe. Très culturellement asiatique, ce stage dénommé ARM (Airline Resource Management) est un hymne à la compagnie avec tous les dangers que cela peut comporter. Qantas de son côté insiste sur le modèle de l iceberg : le «nain sécurité» est plus fort que le «mammouth rentabilité». Un investissement dans la sécurité n est pas immédiatement rentable, on ne mesure sa portée économique que si on ne l a pas fait. Ça marche, 0 accident! Enfin, chez feue Swissair on étudiait un jour par an un concept parmi les suivants: stress risque communication automatisation ATPL 040 page 1.3

4 Le système du transport aérien Avec l accident de Dryden en 1989, les accidents ont plutôt été analysés comme l échec d un système. Le système du transport aérien présente des caractéristiques communes à diverses échelles, un fonctionnement basé sur la coopération et la distribution des rôles et un besoin de standardisation. Il est vulnérable car la complexité du système et les intervenants multiples qui le composent expose ce système à des «actes non sûrs». Utilisons une métaphore : les moustiques et les marécages. Les actes non sûrs sont comme les moustiques. La meilleure chose à faire pour essayer de s en débarrasser est d assécher les marécages dans lesquels ils se nourrissent. James REASON a défini des actes «non sûrs» comme des «maladies» situées au niveau de la production. Ceux ci peuvent avoir des précurseurs ou «agents pathogènes» aux échelons supérieurs. Si les défenses sont inadaptées, c est l accident. Plus la position d une personne est élevée dans la hiérarchie des décisions, plus son potentiel de diffusion «d agents pathogènes» est grand. La probabilité d accident augmente avec le nombre d agents pathogènes présents dans le système. Plus un système est complexe et opaque, plus il contient d agents pathogènes. Le ATPL 040 page 1.4

5 nombre d agents pathogènes nécessaires pour provoquer un accident est plus faible pour les systèmes simples et peu défendus, une petite compagnie exploitant un ou deux avions par exemple. Dans une telle entreprise, le patron sera souvent chef pilote, instructeur et même contrôleur en vol Comment lui faire alors comprendre qu il se trompe s il cumule tous les pouvoirs. Une entreprise de plus grande taille aura des fonctions plus démultipliées qui, impliquant des contrôles par différentes personnes permettrait de détecter ces agents pathogènes avant qu ils n atteignent la production. ATPL 040 page 1.5

6 Étude de cas : Accident de Dryden o Compagnie régionale canadienne o Fokker 28 o Dryden, Canada Le vendredi 10 mars 1989, à 12h09, le commandant de bord d un Fokker 28 d une compagnie régionale canadienne décolle en piste 29 de l aéroport de Dryden (Ontario). Agé de 52 ans, le CDB est un pilote expérimenté totalisant heures de vol dont 673 sur avion à réaction. Son copilote est âgé de 35 ans avec plus de heures de vol dont 3500 sur avion à réaction, il est donc aussi un pilote expérimenté. Une minute après, moins d un kilomètre plus loin, le Fokker 28 heurte des arbres, s écrase et prend feu. 21 passagers et 3 membres d équipage dont les pilotes périssent dans l accident. o Les faits Le vol 1362 part de Winnipeg à 7h49 locales en retard de 24 minutes à cause du dégivrage de l avion. C est le commandant de bord qui a demandé ce dégivrage. La rotation du jour se compose d un aller retour Winnipeg Thunder Bay avec escale à Dryden et d un aller retour Winnipeg Thunder Bay sans escale. Les conditions météorologiques sont mauvaises sur toute la région avec une prévision en dessous des minima à Winnipeg et Thunder Bay ce qui implique le choix d aéroports de dégagement lointains. Ces dégagements impliquent de fortes réserves de carburant. Ce 10 mars correspond au début des vacances scolaires. Le nombre de passagers impose de refaire le plein à Dryden. L APU de l avion est en panne depuis 5 jours. Il faut donc demander un groupe de démarrage (ASU) ou garder un moteur en fonctionnement à l escale. Il n y a pas d ASU à Dryden Les incidences opérationnelles de cette panne vont être multiples. L avion arrive à Dryden avec 13 minutes de retard. Alors que Thunder Bay est au-dessous des minima et que l avitaillement se fera un moteur en marche le départ est décidé. Il arrive à Thunder Bay avec 20 minutes de retard. La feuille de charge (loadsheet) est fausse, 10 passagers ont été ajoutés après les pleins ce qui impose une reprise carburant. Le CDB demande à les débarquer mais les opérations annulent sa décision 1. L avion quitte Thunder Bay avec 35 minutes de retard et des passagers inquiets pour leur correspondance. La bonne humeur de l équipage a disparu. L avion arrive à Dryden avec une heure de retard. L avitaillement moteur tournant commence une fois l embarquement terminé. Cette procédure bien qu autorisée est dangereuse et le CDB, connu pour son souci de la sécurité est contrarié car l équipe de pompiers qui doit être prête à intervenir ne s est positionnée qu après le début des pleins. Le CDB s entretient avec les opérations de sa compagnie pendant les pleins pour vérifier les conditions météo à Winnipeg. La conversation est animée. Il retourne directement à l avion sans faire le «tour de l avion». Le copilote entre en contact avec le contrôle, une FSS (AFIS) qui lui indique un début de chute de neige, avec un risque d averse de neige. Au vu de ces évènements, le CDB ne demande pas le dégivrage 1 En Amérique du nord, le CDB n est pas 100% libre de ses décisions. Pour tout ce qui touche au commercial, il est assujetti aux décisions de ses opérations et plus particulièrement de son «dispatcher» attitré. ATPL 040 page 1.6

7 Pendant le roulage, le F28 en retard de 1 heure 10, doit laisser un Cessna se poser à cause des conditions météo. Lors du décollage, les performances aérodynamiques dues à l accumulation de glace dégradent les performances de l avion qui s envole légèrement, entre en buffeting puis retouche la piste. Assiette cabrée, l avion heurte les arbres, s immobilise à 900 mètres du bout de piste et commence à brûler. o Pourquoi cet accident? De nombreuses défenses composantes normales du système aéronautique, auraient dû rendre très improbable la décision de l équipage de décoller sans dégivrer ce 10 mars Les défenses qui ont échoué sont présentées ci après : Le F28 a été mis en ligne avec une tolérance sur le système d extinction incendie de l APU, alors que la panne était en réalité celle du système de détection incendie. Plusieurs agents de la compagnie ont mal retranscrit la panne, privant l équipage d un APU qu ils auraient pu utiliser sous conditions. Le CRM (compte rendu matériel : état de l avion) indiquait 6 problèmes non soldés ou dépannages différés. Il a été établi que les services de maintenance de la compagnie différaient souvent de manière non réglementaire les opérations d entretien. La piste était contaminée par 6 à 12 millimètres de neige. Les règles de calcul des distances de décollage qu appliquait la compagnie provenaient des manuels d exploitation d USAir ou de Piedmont. Le manuel constructeur était moins restrictif. La compagnie n indiquait pas quelle documentation utiliser et les pilotes de la compagnie n étaient pas d accord à ce sujet. Les pilotes de la compagnie ne connaissaient pas les problèmes liés à l inertie thermique du carburant dans les réservoirs qui pouvait provoquer une contamination de l intrados des ailes. Ni la compagnie, ni Transports Canada n avaient fourni d information à l usage des pilotes sur ce sujet précis. L agent de trafic chargé du départ ne connaissait pas bien les caractéristiques du F28 et sa préparation du vol comportait de nombreuses erreurs. Les membres de l équipage du vol 1363 n ont pas agi en équipe bien soudée mais plutôt comme une somme d individus. Les PNC de la compagnie avaient été dissuadés de porter des informations techniques à l attention des pilotes. Or elles avaient vu une accumulation de neige sur les ailes Le copilote s est inquiété de la décision de décoller prise par le CDB et il s est efforcé d exprimer son inquiétude dans les limites de ses capacités et de l étiquette. Il n a pas réussi. Si les équipages avaient reçu une formation CRM, la synergie de cet équipage aurait pu être meilleure. A aucun moment, le CDB n a demandé le dégivrage. Il avait pourtant parcouru la distance terminal avion en bras de chemise. Il savait que la neige tombait. Le dégivrage moteurs tournants était interdit dans les manuels USAir et Piedmont mais pas dans le manuel constructeur. SAS, exploitant des F28 dans des conditions équivalentes le pratiquait couramment. A aucun moment, le CDB n a fait le tour de l avion. o Défaillances organisationnelles : L enquête a montré que des défaillances latentes ont contribué à cet accident. Parmi celles ci citons : Des procédures d exploitation ambiguës. «L exploitation du F28 chez Air Ontario traduisait des procédures opérationnelles qui ne sont pas recommandées dans l exploitation d avions à réaction» mentionne le rapport. L absence de manuels normalisés. Des déficiences de la formation technique et CRM des pilotes. ATPL 040 page 1.7

8 Un équipage peu expérimenté sur avion à réaction. Un équipage contrarié, un CDB dont on remet en cause les décisions. La fusion de compagnies et la culture d entreprise car Air Ontario est le produit de la fusion d Austin Airways (compagnie du Nord du Canada) et d Air Ontario (compagnie du Sud du Canada). Austin Airways a racheté Air Ontario, sa culture est celle d une compagnie travaillant dans un espace aérien non déréglementé et peu syndicalisé. Air Ontario était tout le contraire. Une grève a éclaté. Le copilote venait d Austin Airways, le CDB d Air Ontario 3 entités distinctes ont «contribué» aux défaillances latentes qui ont finalement conduit au crash du 10 mars : L exploitant : après une période de fusion agitée, la compagnie ne fonctionnait pas au mieux. Il y avait eu de gros changements dans la direction et les personnes ayant joué un grand rôle dans l exploitation du F28 avaient quitté l entreprise. La compagnie était caractérisée par un grand turn over chez ses cadres, préjudiciable aux «actes non surs». D autre part, la formation des agents de trafic et des agents d opérations était insuffisante. Il n y avait aucun moyen de rattraper une erreur au niveau de la «pré production». Le chef pilote cumulait les fonctions de chef de secteur F28, instructeur F28, inspecteur F28 pour la compagnie et chef de secteur Convair 580, c était pourtant une «personne bien intentionnée». Le poste de responsable de la sécurité des vols était demeuré vacant jusqu en février 1989 malgré un premier accident en novembre L autorité de tutelle a bien audité cette compagnie mais pas à propos du F28 car le chef de file de l audit ne connaissait pas le F28. La réglementation canadienne prévoit la transmission du rapport de l audit dans les 10 jours ouvrables. Il mettra cinq mois à parvenir à la compagnie. Dans le contexte de déréglementation, Transport Canada était dans une situation précaire avec des effectifs réduits. La compagnie mère, Air Canada avait fait en sorte que le public croie que l avion était un avion d Air Canada Le rapport montre l absence d intervention et de contrôle d Air Canada sur son feeder. La compagnie mère exploitait pourtant des jets depuis longtemps. Air Canada ne s est jamais intéressée aux procédures techniques de son feeder. Air Canada exploitant avec des règles de sécurité supérieures aux minima réglementaires, elle n astreignait pas feeder aux mêmes normes et se contentait des minima. Le rapport conclut : «le CDB, par définition de sa fonction doit porter la responsabilité de la décision d atterrir et de décoller de Dryden ce jour-là. Il est toutefois clair que le système de transport aérien l a placé dans une situation où il n avait pas tous les outils nécessaires pour prendre la bonne décision». ATPL 040 page 1.8

9 Une prise de conscience à tous les niveaux Suite à l accident de Dryden, l Organisation de l Aviation Civile Internationale (OACI) a émis une directive conseillant l étude des facteurs humains par les navigants dans des stages CRM. La réglementation impose aux pilotes de suivre un entraînement CRM pour identifier, comprendre et appliquer des concepts liés à la gestion des ressources. Les problèmes qui peuvent affecter le fonctionnement d'un équipage sont: les facteurs physiologiques et psychologiques la compréhension de la situation le leadership et l'exercice de l'autorité la communication la gestion du système «avion» (automatismes) Les JAA, au travers des JAR-FCL et JAR-OPS ont imposé aux pilotes et aux compagnies la définition d un programme CRM. En France, la mise en place s est effectuée en plusieurs étapes: création du certificat FH du brevet théorique du pilote de ligne en 1996 rattrapage FH pour les titulaires de ce pilote de ligne théorique jusqu au 31/12/96 depuis le 1er juillet 1997, tous les pilotes actifs sont supposés avoir suivi un cours CRM avant leur contrôle annuel. depuis juillet 1998, toutes les compagnies françaises ont déposé leur programme CRM. depuis juillet 1999, le certificat FH du brevet théorique du pilote de ligne est remplacé par le module ATPL 040 Le stage initial FH et les stages CRM en compagnie entendent apporter aux participants les moyens de connaître, d améliorer leur compréhension, et d appliquer les réponses effectives à ces différents éléments facteurs de risques. Ce stage suit généralement le plan suivant : une phase de prise de conscience : l enseignement des concepts CRM une phase d application de ces concepts lors d un vol LOFT au simulateur une phase de rafraîchissement périodique des concepts de base Vers une culture de sécurité Airbus Industrie qui a enquêté sur le crash de l A d Air China à Taipei met en évidence le «facteur culturel» dans la chaîne de l accident. Lors de la remise de gaz qui conduisit à l accident et qui suivit une approche manquée, le commandant de bord demande la rentrée du train. Le copilote lui suggère alors de rentrer les volets d abord comme le prévoit la procédure de remise de gaz. Le commandant rentre alors le train tout seul mais pendant ce temps l avion part à 50 d assiette et décroche. La culture asiatique qui vénère la hiérarchie plus que tout a inhibé les actes du copilote qui aurait du rentrer les volets puis le train malgré l avis du ATPL 040 page 1.9

10 commandant. Plus près de nous, la provenance «chasse» de certains pilotes peut aussi favoriser l installation de tels comportements. L'aéronautique subit plus que toute autre technologie l'influence de la culture américaine et ceci n'est pas sans conséquence sur les difficultés de coordination et sur la sécurité. L'anglais est une première source de difficultés. On ne peut plus piloter les glass-cockpits sans être obligé pour des raisons procédurales, mais aussi pratiques, de mélanger l'anglais à sa langue maternelle. Les différences entre pilotes appartenant à des cultures différentes sont peu liées aux connaissances techniques mais sont surtout liées aux communications et aux relations interprofessionnelles. Partout les bons équipages font preuve des mêmes qualités : coordination et orientation en permanence vers les tâches liées à la conduite du vol. mais leur manière d'y parvenir peut varier largement même dans le cadre des Standard Operating Procedure (procédures d exploitation standard de l avion), procédures stéréotypées établies par les constructeurs pour un type d avion. Cette observation est aussi valable pour les cultures d'entreprise différentes. On distingue par exemple 4 traits culturels présentant un rapport avec la sécurité: la distance entre CDB et copilote le degré d'individualisme le degré de procédurisation le degré de machisme individualisme faible taux díaccidents fort faible distance hi_rarchique forte culture et taux díaccidents Contrairement aux idées reçues, la masculinité (machisme très fort en Italie) et le degré de procédurisation (très fort au Japon) sont sans influence sur la sécurité. Par contre, on s aperçoit que les équipages des pays à culture totalitaire et collectivistes qui maintiennent une forte distance entre chef et subordonné ont les plus grandes difficultés dans la coordination et la régulation des communications dans le cockpit. Enfin, les équipages à fort degré d individualisme ont généralement démontré une meilleure propension à communiquer. Donc la sécurité est meilleure avec un individualisme fort et une distance hiérarchique faible. Face au danger, les organisations humaines peuvent réagir selon 3 modes de fonctionnement en matière de sécurité : Le mode pathologique où les problème sont niés ou minimisés. On attend le problème, «on verra bien, on prend le risque». Le mode préventif où les problèmes sont anticipés, leurs conséquences aussi avec les parades associées ce qui permet d interdire telle ou telle manœuvre. «On consolide le système au coup par coup». ATPL 040 page 1.10

11 Le mode inventif où les problèmes possibles sont anticipés, leurs causes analysées ce qui permet aux opérateurs de comprendre pourquoi les problèmes se produisent, pourquoi il faut faire les choses de telle manière et pourquoi leur expérience est précieuse pour améliorer le système. «On réforme le système s il ne fonctionne pas bien». Fonctionner en mode inventif est un des objectifs de la division sécurité des vols : maintenir une bonne compréhension et une bonne conscience du risque d accident auquel les personnels et les clients de la compagnie peuvent être exposés. «La sécurité c est l affaire de tous». Les facteurs organisationnels qui créent les accidents sont les mêmes que ceux qui: Créent des pertes de production Créent des problèmes de «non qualité» Sont en rapport avec l augmentation des coûts En clair, on ne peut pas réguler la conscience du risque extérieurement, on ne peut réguler le bon jugement dans l action. La conscience du risque doit faire partie de la culture de chaque acteur du système. Pour prendre conscience du risque, chaque acteur doit comprendre pourquoi il doit agir de telle ou telle manière. Il ne suffit pas qu il soit conscient qu il doit faire son travail de telle manière parce que c est de cette manière qu on travaille Afin de lui faire prendre conscience de l importance d effectuer correctement telle ou telle procédure, l opérateur devra s approprier cette procédure. En fait, l opérateur n appliquera cette procédure que s il la trouve pertinente. Les procédures ne tombent pas de ciel. Elles sont la conséquence d une stratégie d utilisation (doctrine), elle même découlant d une philosophie générale de l entreprise. La chaîne de défaillances Nous avons tendance à comprendre un accident comme un enchaînement de défaillances. Chaque maillon se décompose indéfiniment en d autres chaînes de défaillances. Lors d une enquête accident, on recherche les causes selon différents niveaux d analyse suivants : Niveau descriptif o le scénario Niveau normatif o les écarts par rapport aux règles aux procédures, etc ATPL 040 page 1.11

12 Niveau système o interprétation améliorer la sécurité Pour tenter de prévenir un accident, on va gérer le risque. On recherche des précurseurs ce qui impose un programme de prévention et de gestion du risque qui va rendre les événements visibles, identifier ces précurseurs, affecter des priorités, et mettre en place des stratégies de prévention en obtenant l adhésion de tous. Pour rendre les évènements visibles, retenir : les paroles «s envolent», les écrits «restent». Il faut donc un retour d expérience. Celui ci suppose : Une adaptation réactive qui corrige les erreurs après que leurs conséquences néfastes ne se soient produites Une adaptation proactive qui corrige les erreurs avant que leurs conséquences néfastes ne se soient produites «Pas d événement» dans la compagnie signifie seulement «pas d événement reporté». Seules les choses visibles sont gérables. Une compagnie «sûre» ne signifie pas une compagnie sans événement relaté. En donnant un modèle et un langage commun à propos de l erreur humaine aux équipages, en encourageant les équipages à reporter les informations de sécurité ensembles, en encourageant l encadrement à aller au-delà de la répression en s axant plutôt sur la prévention, la visibilité des précurseurs devient la clé de la sécurité. La connaissance des facteurs humains améliore l efficacité du retour d expérience. Les compagnies doivent s adapter à un environnement qui change continuellement sans accident. Ce qui est vrai du point de vue commercial ou économique est aussi vrai pour la sécurité. Sans visibilité, on ne peut s adapter. Sans adaptation, on ne peut gérer le risque Les niveaux d'étude des facteurs humains En France, nos cours CRM sont généralement calqués sur le modèle défini par la société DÉDALE - IFSA pour Air France. Cette référence n est pas JAR-FCL cependant elle reste particulièrement valable. On étudiera le facteur humain au niveau de l individu puis du groupe (l équipage) puis du système. ATPL 040 page 1.12

13 On donne aux initiales CRM deux définitions courantes: CRM peut être l acronyme de Crew resource management ce qui se traduirait en français par «gestion des ressources de l équipage». C est intéressant mais ne risque-t-on pas de restreindre la notion de CRM aux seuls membres d équipage voire aux seuls PNT? CRM peut être l acronyme de Cockpit resource management traduisible par «gestion des ressources du cockpit». Ce terme inclut toutes les ressources disponibles à bord. Celles ci ne sont pas uniquement concentrées chez les PNT mais se trouvent aussi dans la cabine (PNC, passagers), à l extérieur via un contact radio (ATC, opérations, maintenance) ou sous une forme non humaine (ordinateurs de l avion, automatismes, protections, manuels de vol, etc.) Cette extension de la définition du terme «C pour cockpit» à un ensemble de ressources dans l avion et hors de l avion permet d envisager le CRM même si le pilote est seul à bord. Elle permet d ouvrir un faisceau de possibilités d améliorations de la sécurité non pas uniquement à partir des seuls PNT mais aussi à partir d un ensemble de ressources disponibles à bord. Le modèle SHELL illustré ci dessous dépeint la place de l homme dans le système et plus particulièrement dans l environnement. Le CRM c est : un projet étendu destiné à améliorer la performance un projet destiné à tous les navigants un concept applicable à tous les entraînements PN un concept qui étudie les attitudes et les comportements un concept qui permet à chacun d améliorer son travail un concept qui utilise l équipage comme une unité ATPL 040 page 1.13

14 Le CRM n est pas un remède miracle qui guérit tout du jour au lendemain. La formation n est pas ciblée sur quelques problèmes particuliers. Ce n est pas un module indépendant des autres actions de formation entreprises par la compagnie. Loin d être un sermon ennuyeux, le CRM n est surtout pas un moyen de régler des comptes vis à vis d autres pilotes de la compagnie. Ce n est pas une vérification de compétences supplémentaire. L étude des facteurs humains a évolué depuis le début : L époque de la médecine aéronautique et de la physiologie aérospatiale : les limites de l homme dans l environnement aérien L époque de la psychologie des comportements : le groupe, les attitudes, le leadership, les communications L époque de la psychologie cognitive: les compétences, les représentations, les raisonnements, la décision De ce melting-pot émergent deux principes opposés d'approche du problème : l'approche systémique qui tente de plaquer un modèle théorique sur ce qui est observé et faire coller la réalité à ce cadre pré défini ; l'approche empirique qui prend pour point de départ l'observation de l'opérateur humain et bâtit autour de lui des solutions spécifiques et adaptées. Le cours des interventions varie donc entre ces deux bornes et, comme souvent, la solution se trouve sûrement vers le milieu. Mais il est évidemment naturel d'utiliser le cadre d'un modèle si l'on veut appliquer les solutions à grande échelle tout comme chacun sait que chaque opérateur est différent et qu'une grande partie de sa valeur ajoutée est justement celle qu'on ne peut modéliser et donc prévoir. Pour parler approche systémique, la présentation d'un CDB de LANCHILE, J.Castellanos, également professeur d'économie en faculté, donne un aperçu intéressant des interactions entre l'assurance qualité et les facteurs humains. Ainsi, la non qualité coûterait environ 30% du revenu total de l'entreprise. La qualité totale nécessite de décomposer le processus de production pour pouvoir évaluer et agir sur chaque élément de base. Les objectifs de l'aviation commerciale sont : d'augmenter la sécurité et la sûreté, mais aussi la qualité de service et l'efficacité du système. Il faut donc appliquer les principes suivants : une approche systémique, des pratiques et standards internationaux, une assurance qualité pour donner confiance dans la conformité, une orientation de la production et enfin une évaluation de cette production. De l'autre côté, la qualité du management doit s'entendre au départ sur les qualités personnelles des individus qui permettent la qualité du secteur, et donc de la division, de l'organisation mais aussi et enfin de la production. LANCHILE fait, par exemple, la synthèse du TQM (total quality management) et du CRM (Company Ressource Management) en un processus appelé: «flight operation integrated management system», certifié iso Ainsi le TQM et le CRM sont liés et c'est cette question du coût qui ne laisse pas indifférent. On parle rarement du coût d'un membre d'équipage dans un calcul de versement de primes après un accident. Dans la hiérarchie des dédommagés, pas d'inquiétudes, les pilotes sont bon marché: 0.4 millions $ par tête contre 2.5 pour un passager (voire plus s'il est américain). Voici un exemple de calcul : Pour un (520 pax), l'estimation est réalisée comme suit: 200 millions $ pour l'épave, 9.6 pour l'équipage (24), 1300 pour les pax et 50 pour les tiers soit un total d'environ 1.6 milliard $. Le calcul pour un A380 (660 pax) monte à 2 milliards $. Dans le classement des primes versées, on retrouve en tête le MD11 de Swissair qui a donné lieu à un versement de 760 mi11ions $ puis au 747 de TWA avec 556 mi11ions $ acquittés. Anecdote intéressante, en 1999, comme les autres années d'ai1ieurs, les sommes versées pour catastrophes naturelles ont été cinq fois plus élevées que pour celles déboursées dans le ATPL 040 page 1.14

15 cas d'une erreur humaine directe (25 contre 5 milliards $). C'est aussi cela les facteurs humains, l'évaluation d'un risque et son coût associé, bon nombre de décideurs le savent mieux que personne. Jean PARIES, de la société DEDALE, explique que les investissements en faveur de la sécurité sont dus à des pressions externes et non pas internes. La réglementation est une expression de la pression extérieure mais c est aussi un moyen puissant d'améliorer l'organisation. Les décideurs réagissent face à une règle, ils en oublient ensuite l'objectif initial, puis ils essayent d'en réduire les coûts induits, se détournant toujours du but premier. L'assurance qualité ne résout pas ces dérives, elle promeut une sécurité normative, ce qui est illusoire dans le domaine des facteurs humains. Une réglementation des facteurs humains, spécifique et adaptée semble indispensable. Certes, les opérateurs de première ligne que sont les pilotes se disent favorables à une réglementation mais pas sous n'importe quelle forme. Depuis quelques temps déjà, les JAA planchent sur l'introduction d'une nouvelle réglementation CRM «opérationnel» qui trouve sa substance dans la mise en place d'une notation «attitude CRM» lors des contrôles annuels. Ce nouveau projet réglementaire «JAR TEL» est cependant sérieusement battu en brèche par l'intervention de nombreux pilotes instructeurs. Dispenser un savoir à minima revient à mettre l'information à la disposition des stagiaires. Il n'est pas nécessaire de posséder le savoir soi-même. La simple distribution d'un manuel suffit. Beaucoup de compagnies aériennes le savent, la publication constitue dès lors leur unique politique de formation. Contrôler qu'un tel savoir a été correctement acquis demande en revanche de le posséder soit même. Enseigner un savoir-faire exige d'être capable de le restituer, ne serait-ce que pour montrer et permettre l'initiation. En aéronautique civile, le savoir-faire des pilotes, leur interaction sur l'interface modélisable qu'est l'avion s'enseigne au simulateur. Les formateurs sont normalement détenteurs de ce savoir-faire. Enseigner le CRM, les Facteurs Humains, revient à enseigner un savoir-être. Un savoirinteragir avec un environnement, avec d'autres hommes, avec du «non modélisable». Il faut alors pour cela être non seulement un professionnel reconnu, mais encore être un enseignant légitime pour les stagiaires. Sans cette légitimité, l'enseignement ne passe pas, le discours peut même être rapidement ridiculisé. Contrôler un savoir-être procède d'un autre ordre. Dans les sociétés humaines, il constitue le privilège des parents, des juges, des médecins ou des prêtres ATPL 040 page 1.15

16 Questionnaire FH n 1 Introduction aux facteurs humains 1. Dans le transport aérien: a. la proportion des erreurs humaines dans les causes d'accidents a doublé entre 1960 et 1990 b. il se produit environ un accident mortel par million d'heures de vol c. le taux moyen d'accidents des compagnies internationales est supérieur à celui des compagnies domestiques d. la proportion d'accidents dus aux erreurs humaines est de l'ordre de 20% 2. Les statistiques au niveau mondial montrent que la sécurité est meilleure: a. dans les grandes compagnies, car les erreurs individuelles seront mieux détectées, puisque les fonctions sont démultipliées b. dans les petites compagnies car le cumul des fonctions permet une meilleure détection des erreurs c. dans les grandes compagnies, par ce que le total d'erreur est moins grand d. dans les petites compagnies, car les erreurs sont mieux détectées 3. Le taux d'accident est plus faible pour les cultures à: a. masculinité forte et évitement de l'incertitude faible b. individualisme fort et distance hiérarchique faible c. masculinité faible et évitement de l'incertitude forte d. individualisme faible et distance hiérarchique forte 4. En se basant sur le modèle actuel d'analyse des accidents, nous voyons que pour les accidents avec perte totale de l'avion: a. l'équipage est impliqué comme cause essentielle dans 70% des cas b. il y a une baisse très nette ces 10 dernières années de l'implication des équipages c. les causes dénommées problème avion sont invoquées dans plus de 50% des cas d. l'équipage est impliqué comme cause essentielle dans 20% des cas 5. Pour qu'une organisation complexe soit fiable, il faut: a. que sa structure soit stable et ne se modifie jamais b. que son adaptation à un événement particulier se fasse toujours dans un temps différé c. quelle possède une capacité d'auto organisation d. quelle ne présente aucune rigidité ATPL 040 page 1.16

17 6. Les procédures sont des pièces maîtresses de la sécurité et pour éviter les incohérences, on doit trouver dans l'ordre (filiation): a. philosophie -> procédure -> doctrine -> tache b. philosophie -> doctrine -> tache -> procédure c. doctrine -> philosophie -> procédure -> tache d. philosophie -> doctrine -> procédure -> tache 7. L'adaptation pro-active a. s'appuie sur les rapports enquête accident b. ne concerne que les acteurs de première ligne c. s'appuie sur le retour d'expérience et l'analyse des vols d. est l'exploration systématique des modes de défaillance avant la mise en service 8. Une politique de sécurité aéronautique, pour être efficace doit: a. demander aux pilotes d'augmenter leurs connaissances car un pilote expert ne commet plus d'erreurs b. interdire aux pilotes de fonctionner sur un mode routinier, générateur d'erreurs de routine c. accepter que des erreurs seront produites et chercher à limiter leurs conséquences d. motiver les pilotes pour qu'il soient attentifs et, ainsi, ne commettent plus d'erreurs 9. La sécurité en aéronautique dispose de plusieurs modèles qui servent à l'analyse des causes de défaillance a. le modèle DECIDE décrit comment la hiérarchie doit prend ses décisions b. le modèle SHELL permet d'identifier les différentes interfaces techniques et humaines c. le modèle SECURE permet d'identifier les lieux et moments de défaillances dans les procédures d. le modèle de Reason montre qu'un système sûr assure une étanchéité totale à tous les niveaux 10. Dans une démarche de sécurité, comprendre les mécanismes des erreurs a. aide à les détecter, les anticiper et les éviter en partie b. est important pour les éradiquer totalement c. est important pour situer la culpabilité d. n'est pas nécessaire au pilote puisque le grand système met en place les protections 11. Une démarche de sécurité doit tendre à : 1 - réduire les déclencheurs d'erreur 2 - former les acteurs pour éliminer toute erreur 3 - apprendre à mieux profiter des erreurs commises 4 - mettre l'accent sur la récupération de l'erreur et ses conséquences 5 - accepter que l'erreur est une faute coupable a b c d ATPL 040 page 1.17

18 12. La part liée à l'équipage dans les accidents aériens: a. est constante depuis la fin des années cinquante b. est en nette diminution depuis le début des années quatre-vingts c. a augmenté depuis la généralisation des équipages bi-pilote d. a augmenté durant les dix dernières années, conséquence de la plus grande fiabilité des aéronefs 13. Ne considérant que les accidents ayant pour facteur causal l'équipage, le taux par million de départ: a. est minimum en Asie b. est sensiblement égal à travers le monde c. varie en fonction des zones culturelles d. varie en fonction des zones climatiques 14. Le paradoxe le plus fréquemment rencontré dans les stratégies de prévention des accidents aériens est: a. un investissement faible dans la technologie alors qu'elle est encore responsable de nombreux accidents b. un investissement considérable dans la technologie alors que le facteur humain est la cause première des accidents dans 70% des cas c. un investissement équilibré entre technique et facteur humain alors que leur contribution à la sécurité sont différentes d. un investissement majeur dans le facteur humain alors qu'il contribue peu aux accidents 15. On peut dire du retour d'expérience: a. qu'il joue un rôle décisif pour la sécurité aérienne, permettant, notamment une adaptation proactive b. qu'il concerne exclusivement les relations d'ordre technique entre exploitants et constructeurs, permettant une adaptation exclusivement réactive c. qu'il représente une alternative souhaitable à l'adaptation proactive en vue d'améliorer la sécurité du transport aérien d. qu'il doit être limité à une communication d'ordre technique entre exploitation et maintenance, sans interférer avec les objectifs stratégiques de l'entreprise 16. Le Crew Ressource Management (CRM) est enseigné aux pilotes dans le cadre d'une formation qui vise à: a. prolonger sous une forme pratique et proche des opérations, l'acquis théorique sur les facteurs humains lié à la licence b. apporter principalement des concepts théoriques sans lien immédiat avec les opérations c. apporter les premières connaissances dans le domaine des facteurs humains appliqués au pilotage d. prolonger en les augmentant, les acquis théoriques indépendamment de la formation technique ATPL 040 page 1.18

19 17. Les formations CRM ont pour objectif de modifier : a. l'environnement social des pilotes b. l'aptitude des pilotes vers des comportements positifs vis-à-vis de la sécurité c. la personnalité des pilotes vers des comportements positifs vis-à-vis de la sécurité d. les attitudes des pilotes vers des comportements positifs vis-à-vis de la sécurité 18. Les organisations aéronautiques ont des réactions variables aux informations indiquant un danger. On parlerait d'action de réparation locale ou de «prévention - réparation» lorsque : a. Le problème est admis comme global, et une action de réforme globale est entreprise b. Les observateurs sont retenus mais la validité de leurs observations est contestée c. L'action corrective amène à une réforme du système opérationnel d. Le problème est uniquement admis et corrigé, mais les implications plus larges sont niées ATPL 040 page 1.19

20 GRILLE DE REPONSES Question Réponse Commentaire 1 B p1 2 A p1 3 B p10 4 A p2 5 C p11 6 D p11 7 C p12 : rendre les événements visibles 8 C p11 9 B p13 10 A p11 à D p11 à A p2 13 C p10 14 B p2 15 A p11 à A p13 à D p14 18 D p10 ATPL 040 page 1.20