La sécurité: objectif central du cours - cockpitseeker · Performance humaine et limitations REV 01 Introduction aux facteurs humains 03/12/01 ATPL 040 page 1.2 Accidents et causes

Performance humaine et limitations REV 01

Introduction aux facteurs humains 03/12/01

ATPL 040 page 1.1

La sécurité: objectif central du cours

Le graphe ci-dessus est extrait d’une statistique élaborée par Boeing au début des années 90qui démontre que la répartition entre les différentes causes d'accidents est stable sur les 30dernières années. Il se produit environ un accident mortel par million d’heures de vol, la duréemoyenne d’un vol étant de 2 heures. Ce chiffre est trop important. Projeté en 2010, avec unecroissance de 5% par an du transport aérien, on atteint le chiffre inacceptable pour le publicd’un accident grave toutes les semaines… L’actualité se charge de nous rappeler la véracité deces chiffres.

Le sous développement de certaines contrées de la planète pourrait expliquer ces chiffresmais contrairement à une idée bien souvent répandue, les compagnies internationales despays dits « émergeants » n’ont pas plus d’accidents que celles des pays dits« industrialisés ». En revanche, le nombre d’accidents est sept fois plus élevée pour lescompagnies intérieures de ces mêmes pays. Ceci est dû surtout à des défauts d'infrastructurebien que parfois une influence culturelle puisse jouer un rôle dans l’accident.

D’une manière générale, les études et audits effectués auprès de compagnies aériennes detous niveaux et de tous pays montrent que la sécurité reste meilleure dans les grandescompagnies… Les fonctions y sont en fait démultipliées, les décisions ne reposent pas sur unseul homme.



ATPL 040 page 1.2

Accidents et causes humaines

¸ Le pourcentage respectif des différentes causes est remarquablement stable sur les 30dernières années

¸ La part des causes « équipage » reste largement majoritaire.¸ Mais elle reflète plus encore notre mode d’analyse des accidents qu’une véritable

compréhension de leurs mécanismes profonds

Les statistiques nous montrent que la cause « panne mécanique » dans les accidents d’avionscivils ne représente pas plus de 10% du total. Des sommes d’argent considérables ont étéinvesties pour fiabiliser la techniques mais, cependant, la part des accidents n’a pas diminuécorrélativement.

Un accident est toujours dû à un enchaînement de problèmes et les statistiques nous montrentque 70% des accidents sont dus à l'équipage. Comment pourrai-t-il en être autrement, celui ciétant en première ligne ? C'est donc dans ce domaine qu'il a fallu chercher à améliorer la sécuritédes vols. Plutôt que de culpabiliser le PNT avec ce pitoyable score, des constations plusconstructives ont pu être élaborées.

Un tel niveau de responsabilité pour l’opérateur humain représente en fait autant de possibilitésd’amélioration car il est en effet plus facile, en partant de ce score de 70% de tenter de le réduire.Plutôt que « d’erreur humaine du pilote » il faut voir derrière ces chiffres une mauvaise gestiondes ressources disponibles au moment de l’accident, en fait une mauvaise compréhension de lasituation. Le registre des ressources étant finalement assez large, on va pouvoir y trouver autantde voies d’amélioration.

Malgré cela, les modèles de grands systèmes complexes de type « mécanique » (telle actionimplique telle réaction calibrée, prévisible) arrivent en fin de vie. S’ils ont aidé à atteindre lesniveaux de sécurités actuels (1 accident par million d’heures de vol), ils sont inefficaces voirenocifs pour atteindre 1 accident par dizaine de million d’heures de vol. Voir chaque erreur commeune défaillance et lui attribuer une procédure entraînera des effets secondaires difficilementappréhensibles par l’opérateur humain. Les défaillances à répétition des systèmes d’exploitationdes micro-ordinateurs en sont la meilleure illustration.

Les dysfonctionnements humains seraient plutôt à envisager comme des adaptationssociologiques. Le flou fait partie de l’être humain, il va falloir le prendre en compte.

Un peu d’histoire :

Au cours des années 70, plusieurs accidents onconduit à l’étude du facteur humain. Parmi ceuxci citons:



ATPL 040 page 1.3

Accident de Portland : un DC8 s’écrase en panne d’essence à cause d’un problème deconfirmation de sortie du train d’atterrissage. Le CDB aux commandes est resté sourd auxinformations sur le niveau de carburant que lui fournissaient l’OMN et l’OPL.Accident des Everglades : un L1011 s’écrase dans les marais à cause d’une ampoule deposition de train d’atterrissage défectueuse, toutes les personnes présentes dans le postetraitaient la panne et personne ne pilotait l’avion...Accident du Potomac : des connaissances erronées et une météo particulièrementdéfavorable ont conduit à cet accident survenu en centre ville.Collision au sol de Detroit : perdu dans la brume lors du roulage, l’équipage du vol 1492s’arrête à l’intersection de deux piste . Il est heurté par le vol 299 au décollage sur cettemême piste.Accident de Tenerife : deux Boeing 747 se percutent dans le brouillard créant ainsi la plusgrande catastrophe aérienne de l’histoire. Parmi les causes de cet accident, un équipage quin’a pas su faire prendre conscience au CDB qu’ils pensaient que l’autre 747 n’avait pasdégagé…Accident de Dryden, Canada : un Fokker 28 s’écrase lors d’un décollage en conditionsgivrantes car l’avion n’avait pas été dégivré. L’étude de cet accident et le rapport exemplairequi ont suivi sont à la base de l’approche « systémique » des accidents aériens.

Les compagnies impliquées ont réagi en organisant des stages de gestion des ressources ducockpit pour leurs pilotes.

United Airlines fut le pionnier avec son stage appelé CLR pour « command, leadership andresource management ». Le taux d’accidents de cette compagnie est passé de 1 pour1000000 d’heures de vol à 1 pour 4800000 d’heures de vol depuis son application.

Au cours d’un stage CLR chez United, on va étudier :

¸ command:o autorité du CDBo climat du cockpit

¸ leadership:o communicationo définition des problèmeso processus de décision

¸ resource management:o gestion de la charge de travailo compréhension de la situationo utilisation des ressources

Singapore Airlines insiste de son côté sur les effets des comportements individuels surl’efficacité du groupe, sur l’importance de la communication et du travail d’équipe. Trèsculturellement asiatique, ce stage dénommé ARM (Airline Resource Management) est unhymne à la compagnie avec tous les dangers que cela peut comporter.

Qantas de son côté insiste sur le modèle de l’iceberg : le « nain sécurité » est plus fort que le« mammouth rentabilité ». Un investissement dans la sécurité n’est pas immédiatementrentable, on ne mesure sa portée économique que si on ne l’a pas fait. Ça marche, 0accident !

Enfin, chez feue Swissair on étudiait un jour par an un concept parmi les suivants:

¸ stress¸ risque¸ communication¸ automatisation



ATPL 040 page 1.4

Le système du transport aérien

Avec l’accident de Dryden en 1989, les accidents ont plutôt été analysés comme l’échec d’unsystème.

Le système du transport aérien présente des caractéristiques communes à diverses échelles,un fonctionnement basé sur la coopération et la distribution des rôles et un besoin destandardisation. Il est vulnérable car la complexité du système et les intervenants multiplesqui le composent expose ce système à des « actes non sûrs ».

Utilisons une métaphore : les moustiques et les marécages. Les actes non sûrs sont commeles moustiques. La meilleure chose à faire pour essayer de s’en débarrasser est d’assécher lesmarécages dans lesquels ils se nourrissent.

James REASON a défini des actes « non sûrs » comme des « maladies » situées au niveau dela production. Ceux ci peuvent avoir des précurseurs ou « agents pathogènes » aux échelonssupérieurs. Si les défenses sont inadaptées, c’est l’accident.

Plus la position d’une personne est élevée dans la hiérarchie des décisions, plus son potentielde diffusion « d’agents pathogènes » est grand.

La probabilité d’accident augmente avec le nombre d’agents pathogènes présents dans lesystème. Plus un système est complexe et opaque, plus il contient d’agents pathogènes. Le



ATPL 040 page 1.5

nombre d’agents pathogènes nécessaires pour provoquer un accident est plus faible pour lessystèmes simples et peu défendus, une petite compagnie exploitant un ou deux avions parexemple. Dans une telle entreprise, le patron sera souvent chef pilote, instructeur et mêmecontrôleur en vol… Comment lui faire alors comprendre qu’il se trompe s’il cumule tous lespouvoirs. Une entreprise de plus grande taille aura des fonctions plus démultipliées qui,impliquant des contrôles par différentes personnes permettrait de détecter ces agentspathogènes avant qu’ils n’atteignent la production.



ATPL 040 page 1.6

Étude de cas :¸ Accident de Dryden

o Compagnie régionale canadienneo Fokker 28o Dryden, Canada

Le vendredi 10 mars 1989, à 12h09, lecommandant de bord d’un Fokker 28 d’unecompagnie régionale canadienne décolle en piste29 de l’aéroport de Dryden (Ontario). Agé de 52ans, le CDB est un pilote expérimenté totalisant24000 heures de vol dont 673 sur avion à réaction.Son copilote est âgé de 35 ans avec plus de 10000heures de vol dont 3500 sur avion à réaction, il estdonc aussi un pilote expérimenté. Une minute après, moins d’un kilomètre plusloin, le Fokker 28 heurte des arbres, s’écrase et prend feu. 21 passagers et 3membres d’équipage dont les pilotes périssent dans l’accident.

o Les faits

Le vol 1362 part de Winnipeg à 7h49 locales en retard de 24 minutes à cause du dégivrage del’avion. C’est le commandant de bord qui a demandé ce dégivrage. La rotation du jour secompose d’un aller retour Winnipeg – Thunder Bay avec escale à Dryden et d’un aller retourWinnipeg – Thunder Bay sans escale. Les conditions météorologiques sont mauvaises surtoute la région avec une prévision en dessous des minima à Winnipeg et Thunder Bay ce quiimplique le choix d’aéroports de dégagement lointains. Ces dégagements impliquent de fortesréserves de carburant.

Ce 10 mars correspond au début des vacances scolaires. Le nombre de passagers impose derefaire le plein à Dryden. L’APU de l’avion est en panne depuis 5 jours. Il faut donc demanderun groupe de démarrage (ASU) ou garder un moteur en fonctionnement à l’escale. Il n’y a pasd’ASU à Dryden… Les incidences opérationnelles de cette panne vont être multiples.

L’avion arrive à Dryden avec 13 minutes de retard. Alors que Thunder Bay est au-dessous desminima et que l’avitaillement se fera un moteur en marche le départ est décidé. Il arrive àThunder Bay avec 20 minutes de retard.

La feuille de charge (loadsheet) est fausse, 10 passagers ont été ajoutés après les pleins cequi impose une reprise carburant. Le CDB demande à les débarquer mais les opérationsannulent sa décision1. L’avion quitte Thunder Bay avec 35 minutes de retard et des passagersinquiets pour leur correspondance. La bonne humeur de l’équipage a disparu.

L’avion arrive à Dryden avec une heure de retard. L’avitaillement moteur tournant commenceune fois l’embarquement terminé. Cette procédure bien qu’autorisée est dangereuse et leCDB, connu pour son souci de la sécurité est contrarié car l’équipe de pompiers qui doit êtreprête à intervenir ne s’est positionnée qu’après le début des pleins.

Le CDB s’entretient avec les opérations de sa compagnie pendant les pleins pour vérifier lesconditions météo à Winnipeg. La conversation est animée. Il retourne directement à l’avionsans faire le « tour de l’avion ». Le copilote entre en contact avec le contrôle, une FSS (AFIS)qui lui indique un début de chute de neige, avec un risque d’averse de neige. Au vu de cesévènements, le CDB ne demande pas le dégivrage…

1 En Amérique du nord, le CDB n’est pas 100% libre de ses décisions. Pour tout ce qui touche au commercial, ilest assujetti aux décisions de ses opérations et plus particulièrement de son « dispatcher » attitré.



ATPL 040 page 1.7

Pendant le roulage, le F28 en retard de 1 heure 10, doit laisser un Cessna se poser à causedes conditions météo. Lors du décollage, les performances aérodynamiques dues àl’accumulation de glace dégradent les performances de l’avion qui s’envole légèrement, entreen buffeting puis retouche la piste. Assiette cabrée, l’avion heurte les arbres, s’immobilise à900 mètres du bout de piste et commence à brûler.

o Pourquoi cet accident ?

De nombreuses défenses composantes normales du système aéronautique, auraient dûrendre très improbable la décision de l’équipage de décoller sans dégivrer ce 10 mars 1998.Les défenses qui ont échoué sont présentées ci après :

¸ Le F28 a été mis en ligne avec une tolérance sur le système d’extinctionincendie de l’APU, alors que la panne était en réalité celle du système dedétection incendie. Plusieurs agents de la compagnie ont mal retranscrit lapanne, privant l’équipage d’un APU qu’ils auraient pu utiliser sous conditions.

¸ Le CRM (compte rendu matériel : état de l’avion) indiquait 6 problèmes nonsoldés ou dépannages différés. Il a été établi que les services de maintenancede la compagnie différaient souvent de manière non réglementaire lesopérations d’entretien.

¸ La piste était contaminée par 6 à 12 millimètres de neige. Les règles de calculdes distances de décollage qu’appliquait la compagnie provenaient desmanuels d’exploitation d’USAir ou de Piedmont. Le manuel constructeur étaitmoins restrictif. La compagnie n’indiquait pas quelle documentation utiliser etles pilotes de la compagnie n’étaient pas d’accord à ce sujet.

¸ Les pilotes de la compagnie ne connaissaient pas les problèmes liés à l’inertiethermique du carburant dans les réservoirs qui pouvait provoquer unecontamination de l’intrados des ailes. Ni la compagnie, ni Transports Canadan’avaient fourni d’information à l’usage des pilotes sur ce sujet précis.

¸ L’agent de trafic chargé du départ ne connaissait pas bien les caractéristiquesdu F28 et sa préparation du vol comportait de nombreuses erreurs.

¸ Les membres de l’équipage du vol 1363 n’ont pas agi en équipe bien soudéemais plutôt comme une somme d’individus. Les PNC de la compagnie avaientété dissuadés de porter des informations techniques à l’attention des pilotes.Or elles avaient vu une accumulation de neige sur les ailes…

¸ Le copilote s’est inquiété de la décision de décoller prise par le CDB et il s’estefforcé d’exprimer son inquiétude dans les limites de ses capacités et del’étiquette. Il n’a pas réussi. Si les équipages avaient reçu une formation CRM,la synergie de cet équipage aurait pu être meilleure.

¸ A aucun moment, le CDB n’a demandé le dégivrage. Il avait pourtantparcouru la distance terminal avion en bras de chemise. Il savait que la neigetombait. Le dégivrage moteurs tournants était interdit dans les manuels USAiret Piedmont mais pas dans le manuel constructeur. SAS, exploitant des F28dans des conditions équivalentes le pratiquait couramment.

¸ A aucun moment, le CDB n’a fait le tour de l’avion.

o Défaillances organisationnelles :

L’enquête a montré que des défaillances latentes ont contribué à cet accident. Parmi celles cicitons :

¸ Des procédures d’exploitation ambiguës. « L’exploitation du F28 chez AirOntario traduisait des procédures opérationnelles qui ne sont pasrecommandées dans l’exploitation d’avions à réaction » mentionne le rapport.

¸ L’absence de manuels normalisés.¸ Des déficiences de la formation technique et CRM des pilotes.



ATPL 040 page 1.8

¸ Un équipage peu expérimenté sur avion à réaction.¸ Un équipage contrarié, un CDB dont on remet en cause les décisions.¸ La fusion de compagnies et la culture d’entreprise car Air Ontario est le

produit de la fusion d’Austin Airways (compagnie du Nord du Canada) et d’AirOntario (compagnie du Sud du Canada). Austin Airways a racheté Air Ontario,sa culture est celle d’une compagnie travaillant dans un espace aérien nondéréglementé et peu syndicalisé. Air Ontario était tout le contraire. Une grèvea éclaté. Le copilote venait d’Austin Airways, le CDB d’Air Ontario…

3 entités distinctes ont « contribué » aux défaillances latentes qui ont finalement conduit aucrash du 10 mars :

¸ L’exploitant : après une période de fusion agitée, la compagnie ne fonctionnaitpas au mieux. Il y avait eu de gros changements dans la direction et lespersonnes ayant joué un grand rôle dans l’exploitation du F28 avaient quittél’entreprise. La compagnie était caractérisée par un grand turn over chez sescadres, préjudiciable aux « actes non surs ». D’autre part, la formation des agentsde trafic et des agents d’opérations était insuffisante. Il n’y avait aucun moyen derattraper une erreur au niveau de la « pré production ». Le chef pilote cumulaitles fonctions de chef de secteur F28, instructeur F28, inspecteur F28 pour lacompagnie et chef de secteur Convair 580, c’était pourtant une « personne bienintentionnée ». Le poste de responsable de la sécurité des vols était demeurévacant jusqu’en février 1989 malgré un premier accident en novembre 1988.

¸ L’autorité de tutelle a bien audité cette compagnie mais pas à propos du F28 carle chef de file de l’audit ne connaissait pas le F28. La réglementation canadienneprévoit la transmission du rapport de l’audit dans les 10 jours ouvrables. Il mettracinq mois à parvenir à la compagnie. Dans le contexte de déréglementation,Transport Canada était dans une situation précaire avec des effectifs réduits.

¸ La compagnie mère, Air Canada avait fait en sorte que le public croie que l’avionétait un avion d’Air Canada… Le rapport montre l’absence d’intervention et decontrôle d’Air Canada sur son feeder. La compagnie mère exploitait pourtant desjets depuis longtemps. Air Canada ne s’est jamais intéressée aux procédurestechniques de son feeder. Air Canada exploitant avec des règles de sécuritésupérieures aux minima réglementaires, elle n’astreignait pas feeder aux mêmesnormes et se contentait des minima.

Le rapport conclut : « le CDB, par définition de sa fonction doit porter la responsabilité de ladécision d’atterrir et de décoller de Dryden ce jour-là. Il est toutefois clair que le système detransport aérien l’a placé dans une situation où il n’avait pas tous les outils nécessaires pourprendre la bonne décision ».



ATPL 040 page 1.9

Une prise de conscience à tous les niveaux

Suite à l’accident de Dryden, l’Organisation de l’Aviation Civile Internationale (OACI) a émisune directive conseillant l’étude des facteurs humains par les navigants dans des stages CRM.

La réglementation impose aux pilotes de suivre un entraînement CRM pour identifier,comprendre et appliquer des concepts liés à la gestion des ressources. Les problèmes quipeuvent affecter le fonctionnement d'un équipage sont:

¸ les facteurs physiologiques et psychologiques¸ la compréhension de la situation¸ le leadership et l'exercice de l'autorité¸ la communication¸ la gestion du système « avion » (automatismes)

Les JAA, au travers des JAR-FCL et JAR-OPS ont imposé aux pilotes et aux compagnies ladéfinition d’un programme CRM. En France, la mise en place s’est effectuée en plusieursétapes:

¸ création du certificat FH du brevet théorique du pilote de ligne en 1996¸ rattrapage FH pour les titulaires de ce pilote de ligne théorique jusqu’au 31/12/96¸ depuis le 1er juillet 1997, tous les pilotes actifs sont supposés avoir suivi un cours

CRM avant leur contrôle annuel.¸ depuis juillet 1998, toutes les compagnies françaises ont déposé leur programme

CRM.¸ depuis juillet 1999, le certificat FH du brevet théorique du pilote de ligne est remplacé

par le module ATPL 040

Le stage initial FH et les stages CRM en compagnie entendent apporter aux participants lesmoyens de connaître, d’améliorer leur compréhension, et d’appliquer les réponses effectives àces différents éléments facteurs de risques. Ce stage suit généralement le plan suivant :

¸ une phase de prise de conscience : l’enseignement des concepts CRM¸ une phase d’application de ces concepts lors d’un vol LOFT au simulateur¸ une phase de rafraîchissement périodique des concepts de base

Vers une culture de sécurité…

Airbus Industrie qui a enquêté sur le crash de l’A300-600 d’Air China à Taipei met en évidencele « facteur culturel » dans la chaîne de l’accident. Lors de la remise de gaz qui conduisit àl’accident et qui suivit une approche manquée, le commandant de bord demande la rentrée dutrain. Le copilote lui suggère alors de rentrer les volets d’abord comme le prévoit la procédurede remise de gaz. Le commandant rentre alors le train tout seul mais pendant ce tempsl’avion part à 50° d’assiette et décroche. La culture asiatique qui vénère la hiérarchie plus quetout a inhibé les actes du copilote qui aurait du rentrer les volets puis le train malgré l’avis du



ATPL 040 page 1.10

commandant. Plus près de nous, la provenance « chasse » de certains pilotes peut aussifavoriser l’installation de tels comportements.

L'aéronautique subit plus que toute autre technologie l'influence de la culture américaine etceci n'est pas sans conséquence sur les difficultés de coordination et sur la sécurité. L'anglaisest une première source de difficultés. On ne peut plus piloter les glass-cockpits sans êtreobligé pour des raisons procédurales, mais aussi pratiques, de mélanger l'anglais à sa languematernelle.

Les différences entre pilotes appartenant à des cultures différentes sont peu liées auxconnaissances techniques mais sont surtout liées aux communications et aux relations inter-professionnelles. Partout les bons équipages font preuve des mêmes qualités :

¸ coordination et orientation en permanence vers les tâches liées à laconduite du vol.

mais leur manière d'y parvenir peut varier largement même dans le cadre des StandardOperating Procedure (procédures d’exploitation standard de l’avion), procédures stéréotypéesétablies par les constructeurs pour un type d’avion. Cette observation est aussi valable pourles cultures d'entreprise différentes.

On distingue par exemple 4 traits culturels présentant un rapport avec la sécurité:

¸ la distance entre CDB et copilote¸ le degré d'individualisme¸ le degré de procédurisation¸ le degré de machisme

individualisme

distance hi_rarchique

faible

fort

forte faible

taux dÍaccidents

culture et taux dÍaccidents

Contrairement aux idées reçues, la masculinité (machisme très fort en Italie) et le degré deprocédurisation (très fort au Japon) sont sans influence sur la sécurité. Par contre, ons’aperçoit que les équipages des pays à culture totalitaire et collectivistes qui maintiennentune forte distance entre chef et subordonné ont les plus grandes difficultés dans lacoordination et la régulation des communications dans le cockpit. Enfin, les équipages à fortdegré d’individualisme ont généralement démontré une meilleure propension à communiquer.Donc la sécurité est meilleure avec un individualisme fort et une distance hiérarchique faible.

Face au danger, les organisations humaines peuvent réagir selon 3 modes de fonctionnementen matière de sécurité :

¸ Le mode pathologique où les problème sont niés ou minimisés. On attend leproblème, « on verra bien, on prend le risque ».

¸ Le mode préventif où les problèmes sont anticipés, leurs conséquences aussi avec lesparades associées ce qui permet d’interdire telle ou telle manœuvre. « On consolide lesystème au coup par coup ».



ATPL 040 page 1.11

¸ Le mode inventif où les problèmes possibles sont anticipés, leurs causes analysées cequi permet aux opérateurs de comprendre pourquoi les problèmes se produisent,pourquoi il faut faire les choses de telle manière et pourquoi leur expérience estprécieuse pour améliorer le système. « On réforme le système s’il ne fonctionne pasbien ».

Fonctionner en mode inventif est un des objectifs de la division sécurité des vols : maintenirune bonne compréhension et une bonne conscience du risque d’accident auquel lespersonnels et les clients de la compagnie peuvent être exposés. « La sécurité c’est l’affaire detous ». Les facteurs organisationnels qui créent les accidents sont les mêmes que ceux qui:

¸ Créent des pertes de production¸ Créent des problèmes de « non qualité »¸ Sont en rapport avec l’augmentation des coûts

En clair, on ne peut pas réguler la conscience du risque extérieurement, on ne peut réguler lebon jugement dans l’action. La conscience du risque doit faire partie de la culture dechaque acteur du système.

Pour prendre conscience du risque, chaque acteur doit comprendre pourquoi il doit agir detelle ou telle manière. Il ne suffit pas qu’il soit conscient qu’il doit faire son travail de tellemanière parce que c’est de cette manière qu’on travaille…

Afin de lui faire prendre conscience de l’importance d’effectuer correctement telle ou telleprocédure, l’opérateur devra s’approprier cette procédure. En fait, l’opérateur n’appliqueracette procédure que s’il la trouve pertinente.

Les procédures ne tombent pas de ciel. Elles sont la conséquence d’une stratégie d’utilisation(doctrine), elle même découlant d’une philosophie générale de l’entreprise.

La chaîne de défaillances

Nous avons tendance à comprendre un accident comme un enchaînement de défaillances.Chaque maillon se décompose indéfiniment en d’autres chaînes de défaillances.

Lors d’une enquête accident, on recherche les causes selon différents niveaux d’analysesuivants :

¸ Niveau descriptifo le scénario

¸ Niveau normatifo les écarts par rapport aux règles aux procédures, etc…



ATPL 040 page 1.12

¸ Niveau systèmeo interprétation améliorer la sécurité

Pour tenter de prévenir un accident, on va gérer le risque. On recherche des précurseurs cequi impose un programme de prévention et de gestion du risque qui va rendre lesévénements visibles, identifier ces précurseurs, affecter des priorités, et mettre en place desstratégies de prévention en obtenant l’adhésion de tous.

Pour rendre les évènements visibles, retenir : les paroles « s’envolent », les écrits « restent ».Il faut donc un retour d’expérience. Celui ci suppose :

¸ Une adaptation réactive qui corrige les erreurs après que leurs conséquences néfastesne se soient produites

¸ Une adaptation proactive qui corrige les erreurs avant que leurs conséquencesnéfastes ne se soient produites

« Pas d’événement » dans la compagnie signifie seulement « pas d’événement reporté ».Seules les choses visibles sont gérables. Une compagnie « sûre » ne signifie pas unecompagnie sans événement relaté.

En donnant un modèle et un langage commun à propos de l’erreur humaine aux équipages,en encourageant les équipages à reporter les informations de sécurité ensembles, enencourageant l’encadrement à aller au-delà de la répression en s’axant plutôt sur laprévention, la visibilité des précurseurs devient la clé de la sécurité. La connaissance desfacteurs humains améliore l’efficacité du retour d’expérience.

Les compagnies doivent s’adapter à un environnement qui change continuellement sansaccident. Ce qui est vrai du point de vue commercial ou économique est aussi vrai pour lasécurité. Sans visibilité, on ne peut s’adapter. Sans adaptation, on ne peut gérer lerisque

Les niveaux d'étude des facteurs humains

En France, nos cours CRM sont généralement calqués sur le modèle défini par la sociétéDÉDALE - IFSA pour Air France. Cette référence n’est pas JAR-FCL cependant elle resteparticulièrement valable. On étudiera le facteur humain au niveau de l’individu puis du groupe(l’équipage) puis du système.



ATPL 040 page 1.13

On donne aux initiales CRM deux définitions courantes:

¸ CRM peut être l’acronyme de Crew resource management ce qui se traduirait enfrançais par « gestion des ressources de l’équipage ». C’est intéressant mais nerisque-t-on pas de restreindre la notion de CRM aux seuls membres d’équipage voireaux seuls PNT?

¸ CRM peut être l’acronyme de Cockpit resource management traduisible par « gestiondes ressources du cockpit ». Ce terme inclut toutes les ressources disponibles à bord.Celles ci ne sont pas uniquement concentrées chez les PNT mais se trouvent aussidans la cabine (PNC, passagers), à l’extérieur via un contact radio (ATC, opérations,maintenance) ou sous une forme non humaine (ordinateurs de l’avion, automatismes,protections, manuels de vol, etc.)

Cette extension de la définition du terme « C pour cockpit » à un ensemble de ressourcesdans l’avion et hors de l’avion permet d’envisager le CRM même si le pilote est seul à bord.Elle permet d’ouvrir un faisceau de possibilités d’améliorations de la sécurité non pasuniquement à partir des seuls PNT mais aussi à partir d’un ensemble de ressourcesdisponibles à bord.

Le modèle SHELL illustré ci dessous dépeint la place de l’homme dans le système et plusparticulièrement dans l’environnement.

Le CRM c’est :

¸ un projet étendu destiné à améliorer la performance¸ un projet destiné à tous les navigants¸ un concept applicable à tous les entraînements PN¸ un concept qui étudie les attitudes et les comportements¸ un concept qui permet à chacun d’améliorer son travail¸ un concept qui utilise l’équipage comme une unité



ATPL 040 page 1.14

Le CRM n’est pas un remède miracle qui guérit tout du jour au lendemain. La formation n’estpas ciblée sur quelques problèmes particuliers. Ce n’est pas un module indépendant desautres actions de formation entreprises par la compagnie. Loin d’être un sermon ennuyeux, leCRM n’est surtout pas un moyen de régler des comptes vis à vis d’autres pilotes de lacompagnie. Ce n’est pas une vérification de compétences supplémentaire.

L’étude des facteurs humains a évolué depuis le début :¸ L’époque de la médecine aéronautique et de la physiologie aérospatiale : les limites

de l’homme dans l’environnement aérien¸ L’époque de la psychologie des comportements : le groupe, les attitudes, le

leadership, les communications¸ L’époque de la psychologie cognitive: les compétences, les représentations, les

raisonnements, la décision

De ce melting-pot émergent deux principes opposés d'approche du problème : l'approchesystémique qui tente de plaquer un modèle théorique sur ce qui est observé et faire coller laréalité à ce cadre pré défini ; l'approche empirique qui prend pour point de départl'observation de l'opérateur humain et bâtit autour de lui des solutions spécifiques etadaptées.

Le cours des interventions varie donc entre ces deux bornes et, comme souvent, la solution setrouve sûrement vers le milieu. Mais il est évidemment naturel d'utiliser le cadre d'un modèlesi l'on veut appliquer les solutions à grande échelle tout comme chacun sait que chaqueopérateur est différent et qu'une grande partie de sa valeur ajoutée est justement celle qu'onne peut modéliser et donc prévoir .

Pour parler approche systémique, la présentation d'un CDB de LANCHILE, J.Castellanos,également professeur d'économie en faculté, donne un aperçu intéressant des interactionsentre l'assurance qualité et les facteurs humains. Ainsi, la non qualité coûterait environ30% du revenu total de l'entreprise. La qualité totale nécessite de décomposer leprocessus de production pour pouvoir évaluer et agir sur chaque élément de base. Lesobjectifs de l'aviation commerciale sont : d'augmenter la sécurité et la sûreté, maisaussi la qualité de service et l'efficacité du système. Il faut donc appliquer les principessuivants : une approche systémique, des pratiques et standards internationaux, uneassurance qualité pour donner confiance dans la conformité, une orientation de laproduction et enfin une évaluation de cette production. De l'autre côté, la qualité dumanagement doit s'entendre au départ sur les qualités personnelles des individus quipermettent la qualité du secteur, et donc de la division, de l'organisation mais aussi et enfinde la production. LANCHILE fait, par exemple, la synthèse du TQM (total quality management)et du CRM (Company Ressource Management) en un processus appelé: « flight operationintegrated management system », certifié iso 9001.

Ainsi le TQM et le CRM sont liés et c'est cette question du coût qui ne laisse pas indifférent.On parle rarement du coût d'un membre d'équipage dans un calcul de versement de primesaprès un accident. Dans la hiérarchie des dédommagés, pas d'inquiétudes, les pilotes sontbon marché: 0.4 millions $ par tête contre 2.5 pour un passager (voire plus s'il est américain).Voici un exemple de calcul :

• Pour un 747-400 (520 pax), l'estimation est réalisée comme suit: 200 millions $ pourl'épave, 9.6 pour l'équipage (24), 1300 pour les pax et 50 pour les tiers soit un totald'environ 1.6 milliard $.

• Le calcul pour un A380 (660 pax) monte à 2 milliards $.

Dans le classement des primes versées, on retrouve en tête le MD11 de Swissair qui a donnélieu à un versement de 760 mi11ions $ puis au 747 de TWA avec 556 mi11ions $ acquittés.Anecdote intéressante, en 1999, comme les autres années d'ai1Ieurs, les sommes verséespour catastrophes naturelles ont été cinq fois plus élevées que pour celles déboursées dans le



ATPL 040 page 1.15

cas d'une erreur humaine directe (25 contre 5 milliards $). C'est aussi cela les facteurshumains, l'évaluation d'un risque et son coût associé, bon nombre de décideurs le saventmieux que personne. Jean PARIES, de la société DEDALE, explique que les investissements enfaveur de la sécurité sont dus à des pressions externes et non pas internes. La réglementationest une expression de la pression extérieure mais c’est aussi un moyen puissant d'améliorerl'organisation. Les décideurs réagissent face à une règle, ils en oublient ensuite l'objectifinitial, puis ils essayent d'en réduire les coûts induits, se détournant toujours du but premier.

L'assurance qualité ne résout pas ces dérives, elle promeut une sécurité normative, ce qui estillusoire dans le domaine des facteurs humains. Une réglementation des facteurs humains,spécifique et adaptée semble indispensable. Certes, les opérateurs de première ligne que sontles pilotes se disent favorables à une réglementation mais pas sous n'importe quelle forme.Depuis quelques temps déjà, les JAA planchent sur l'introduction d'une nouvelleréglementation CRM « opérationnel » qui trouve sa substance dans la mise en place d'unenotation « attitude CRM » lors des contrôles annuels. Ce nouveau projet réglementaire « JARTEL » est cependant sérieusement battu en brèche par l'intervention de nombreux pilotesinstructeurs.

Dispenser un savoir à minima revient à mettre l'information à la disposition des stagiaires. Iln'est pas nécessaire de posséder le savoir soi-même. La simple distribution d'un manuel suffit.Beaucoup de compagnies aériennes le savent, la publication constitue dès lors leur uniquepolitique de formation. Contrôler qu'un tel savoir a été correctement acquis demande enrevanche de le posséder soit même. Enseigner un savoir-faire exige d'être capable de lerestituer, ne serait-ce que pour montrer et permettre l'initiation. En aéronautique civile, lesavoir-faire des pilotes, leur interaction sur l'interface modélisable qu'est l'avion s'enseigne ausimulateur. Les formateurs sont normalement détenteurs de ce savoir-faire.

Enseigner le CRM, les Facteurs Humains, revient à enseigner un savoir-être. Un savoir-interagir avec un environnement, avec d'autres hommes, avec du « non modélisable ». Il fautalors pour cela être non seulement un professionnel reconnu, mais encore être un enseignantlégitime pour les stagiaires. Sans cette légitimité, l'enseignement ne passe pas, le discourspeut même être rapidement ridiculisé.

Contrôler un savoir-être procède d'un autre ordre. Dans les sociétés humaines, il constitue leprivilège des parents, des juges, des médecins ou des prêtres…



ATPL 040 page 1.16

Questionnaire FH n°1 Introduction aux facteurs humains

1. Dans le transport aérien:

a. la proportion des erreurs humaines dans les causes d'accidents a doublé entre 1960 et1990

b. il se produit environ un accident mortel par million d'heures de volc. le taux moyen d'accidents des compagnies internationales est supérieur à celui des

compagnies domestiquesd. la proportion d'accidents dus aux erreurs humaines est de l'ordre de 20%

2. Les statistiques au niveau mondial montrent que la sécurité est meilleure:

a. dans les grandes compagnies, car les erreurs individuelles seront mieux détectées,puisque les fonctions sont démultipliées

b. dans les petites compagnies car le cumul des fonctions permet une meilleure détectiondes erreurs

c. dans les grandes compagnies, par ce que le total d'erreur est moins grandd. dans les petites compagnies, car les erreurs sont mieux détectées

3. Le taux d'accident est plus faible pour les cultures à:

a. masculinité forte et évitement de l'incertitude faibleb. individualisme fort et distance hiérarchique faiblec. masculinité faible et évitement de l'incertitude forted. individualisme faible et distance hiérarchique forte

4. En se basant sur le modèle actuel d'analyse des accidents, nous voyons que pourles accidents avec perte totale de l'avion:

a. l'équipage est impliqué comme cause essentielle dans 70% des casb. il y a une baisse très nette ces 10 dernières années de l'implication des équipagesc. les causes dénommées problème avion sont invoquées dans plus de 50% des casd. l'équipage est impliqué comme cause essentielle dans 20% des cas

5. Pour qu'une organisation complexe soit fiable, il faut:

a. que sa structure soit stable et ne se modifie jamaisb. que son adaptation à un événement particulier se fasse toujours dans un temps différéc. quelle possède une capacité d'auto organisationd. quelle ne présente aucune rigidité



ATPL 040 page 1.17

6. Les procédures sont des pièces maîtresses de la sécurité et pour éviter lesincohérences, on doit trouver dans l'ordre (filiation):

a. philosophie -> procédure -> doctrine -> tacheb. philosophie -> doctrine -> tache -> procédurec. doctrine -> philosophie -> procédure -> tached. philosophie -> doctrine -> procédure -> tache

7. L'adaptation pro-active

a. s'appuie sur les rapports enquête accidentb. ne concerne que les acteurs de première lignec. s'appuie sur le retour d'expérience et l'analyse des volsd. est l'exploration systématique des modes de défaillance avant la mise en service

8. Une politique de sécurité aéronautique, pour être efficace doit:

a. demander aux pilotes d'augmenter leurs connaissances car un pilote expert ne commetplus d'erreurs

b. interdire aux pilotes de fonctionner sur un mode routinier, générateur d'erreurs de routinec. accepter que des erreurs seront produites et chercher à limiter leurs conséquencesd. motiver les pilotes pour qu'il soient attentifs et, ainsi, ne commettent plus d'erreurs

9. La sécurité en aéronautique dispose de plusieurs modèles qui servent à l'analysedes causes de défaillance

a. le modèle DECIDE décrit comment la hiérarchie doit prend ses décisionsb. le modèle SHELL permet d'identifier les différentes interfaces techniques et humainesc. le modèle SECURE permet d'identifier les lieux et moments de défaillances dans les

procéduresd. le modèle de Reason montre qu'un système sûr assure une étanchéité totale à tous les

niveaux

10. Dans une démarche de sécurité, comprendre les mécanismes des erreurs

a. aide à les détecter, les anticiper et les éviter en partieb. est important pour les éradiquer totalementc. est important pour situer la culpabilitéd. n'est pas nécessaire au pilote puisque le grand système met en place les protections

11. Une démarche de sécurité doit tendre à :

1 - réduire les déclencheurs d'erreur2 - former les acteurs pour éliminer toute erreur3 - apprendre à mieux profiter des erreurs commises4 - mettre l'accent sur la récupération de l'erreur et ses conséquences5 - accepter que l'erreur est une faute coupable

a. 1 - 2 - 4b. 1 - 4 - 5c. 2 - 3 - 4d. 1 - 3 - 4



ATPL 040 page 1.18

12. La part liée à l'équipage dans les accidents aériens:

a. est constante depuis la fin des années cinquanteb. est en nette diminution depuis le début des années quatre-vingtsc. a augmenté depuis la généralisation des équipages bi-piloted. a augmenté durant les dix dernières années, conséquence de la plus grande fiabilité des

aéronefs

13. Ne considérant que les accidents ayant pour facteur causal l'équipage, le taux parmillion de départ:

a. est minimum en Asieb. est sensiblement égal à travers le mondec. varie en fonction des zones culturellesd. varie en fonction des zones climatiques

14. Le paradoxe le plus fréquemment rencontré dans les stratégies de prévention desaccidents aériens est:

a. un investissement faible dans la technologie alors qu'elle est encore responsable denombreux accidents

b. un investissement considérable dans la technologie alors que le facteur humain est lacause première des accidents dans 70% des cas

c. un investissement équilibré entre technique et facteur humain alors que leur contributionà la sécurité sont différentes

d. un investissement majeur dans le facteur humain alors qu'il contribue peu aux accidents

15. On peut dire du retour d'expérience:

a. qu'il joue un rôle décisif pour la sécurité aérienne, permettant, notamment une adaptationproactive

b. qu'il concerne exclusivement les relations d'ordre technique entre exploitants etconstructeurs, permettant une adaptation exclusivement réactive

c. qu'il représente une alternative souhaitable à l'adaptation proactive en vue d'améliorer lasécurité du transport aérien

d. qu'il doit être limité à une communication d'ordre technique entre exploitation etmaintenance, sans interférer avec les objectifs stratégiques de l'entreprise

16. Le Crew Ressource Management (CRM) est enseigné aux pilotes dans le cadred'une formation qui vise à:

a. prolonger sous une forme pratique et proche des opérations, l'acquis théorique sur lesfacteurs humains lié à la licence

b. apporter principalement des concepts théoriques sans lien immédiat avec les opérationsc. apporter les premières connaissances dans le domaine des facteurs humains appliqués au

pilotaged. prolonger en les augmentant, les acquis théoriques indépendamment de la formation

technique



ATPL 040 page 1.19

17. Les formations CRM ont pour objectif de modifier :

a. l'environnement social des pilotesb. l'aptitude des pilotes vers des comportements positifs vis-à-vis de la sécuritéc. la personnalité des pilotes vers des comportements positifs vis-à-vis de la sécuritéd. les attitudes des pilotes vers des comportements positifs vis-à-vis de la sécurité

18. Les organisations aéronautiques ont des réactions variables aux informationsindiquant un danger. On parlerait d'action de réparation locale ou de « prévention -réparation » lorsque :

a. Le problème est admis comme global, et une action de réforme globale est entrepriseb. Les observateurs sont retenus mais la validité de leurs observations est contestéec. L'action corrective amène à une réforme du système opérationneld. Le problème est uniquement admis et corrigé, mais les implications plus larges sont niées



ATPL 040 page 1.20

GRILLE DE REPONSES

Question Réponse Commentaire1 B ¸ p12 A ¸ p13 B ¸ p104 A ¸ p25 C ¸ p116 D ¸ p117 C ¸ p12 : rendre les événements visibles…8 C ¸ p119 B ¸ p13

10 A ¸ p11 à 1311 D ¸ p11 à 1312 A ¸ p213 C ¸ p1014 B ¸ p215 A ¸ p11 à 1316 A ¸ p13 à 1417 D ¸ p1418 D ¸ p10

Documents

La sécurité: objectif central du cours - cockpitseeker · Performance humaine et limitations REV 01 Introduction aux facteurs humains 03/12/01 ATPL 040 page 1.2 Accidents et causes