Point de vue : par Alexandre Aubin, pilote de ligne, administrateur du site : www.unpilotedanslavion.com
« Les accidents ne se produisent pas du fait que les gens jouent et perdent, ils surviennent parce que les gens ne croient tout simplement pas que l’accident qui va se produire soit possible » (James Reason).
Lorsque l’accident touche un système ultrasûr, comme le transport aérien, et tolérant à l’erreur, c’est-à-dire comportant un nombre significatif de barrières de sécurité devant être franchies en même temps, c’est qu’il y a eu défaillance en profondeur d’un nombre important d’échelons.
Avec l’arrivée des avions « tout électronique » qui gèrent l’ensemble de leurs systèmes, la relation homme-machine s’est radicalement transformée. Elle a atteint un tel niveau de sophistication que la gestion des automatismes pose problème. La machine moderne est devenue exigeante, chronophage et secrète, répondant à sa propre logique, et l’opérateur est sommé de s’y soumettre, rendant l’homme toujours plus dépendant d’elle.
L’industrie n’a pas préparé les pilotes à la gestion des automatismes modernes. Voici une liste non exhaustive d’accidents provoqués par leur mauvaise utilisation.
– Au décollage : A330 (Airbus) Toulouse 1994.
– En croisière : A320 (Air Asia) mer de Java 2014 ; A330 (Air France) avec panne, Atlantique sud 2009.
– En approche : B777 (Asiana[1]) San Francisco 2013 ; B737-800[*] (Turkish Airlines) avec panne, Amsterdam 2009 ; Bombardier Q400* (Colgan Air) 2009 ; A320 (Air Inter) Strasbourg 1992 ; A320 (Air India) Bangalore 1990.
– En remise de gaz : B777 (Emirates) Dubaï 2016, A320 (Air France) Habsheim 1988.
L’accident le plus remarquable est certainement celui du constructeur Airbus (A330, Toulouse, 1994), qui a fait sept morts, dont le chef pilote des essais en vol qui était aux commandes. Il s’agissait pourtant d’un vol d’essai de routine simulant une panne de moteur au décollage qui s’est terminé par le décrochage de l’avion, comme pour le Rio-Paris. Si la personne la plus compétente dans le domaine de l’utilisation d’un avion de ligne moderne peut se faire « piéger » par ses automatismes, que peut-on alors attendre des pilotes de base privés de ses automatismes, de nuit par conditions orageuses ?
La surconfiance engendrée par le très haut niveau de fiabilité des avions fragilise les pilotes qui ne sont plus préparés à faire face à des situations inattendues comme une panne importante. La distance qui les isole de la gestion de leur appareil est devenue critique.
Leur capacité à gérer la panne ou le mauvais fonctionnement d’un automatisme est « LE sujet que nous ne pouvons plus cacher au transport aérien. Nous avons mis beaucoup de temps à en reconnaître les conséquences et à y faire face » (Bill Voss, President of the Flight Safety Foundation in Alexandria, Va[2]). L’industrie du transport aérien souffre « d’addiction aux automatismes » (Kay) comme le souligne la Royal Aeronautical Society conference[3]. Il y a un problème potentiel avec les automatismes : ils s’accompagnent de complaisance et d’ignorance » (de Crespigny).
Aujourd’hui trop de compagnies découragent les pilotes de piloter l’avion à la main, et certains espaces aériens sont même interdits sans l’utilisation d’un pilote automatique performant (RVSM).
En effet, les statistiques d’une grande compagnie européenne[4] montrent que, sur une année, le temps réel de pilotage manuel d’un pilote sans assistance électronique (pilote automatique et directeur de vol) est de six heures sur réseau court/moyen-courrier et moins d’une heure sur réseau long-courrier.
La technophilie a ainsi créé ses dogmes, notamment celui de l’automatisme supérieur à l’homme en termes de fiabilité et de précision avec une surconfiance dans la machine, ou plutôt une sous-confiance en l’homme.
Depuis l’arrivée de l’A320 (1988) et ses commandes de vol électriques, Airbus vend des avions « facile à piloter », source d’économies pour ses clients. Avant l’accident du Rio-Paris, il était inutile de perdre du temps en formation, notamment avec le décrochage, puisque cet avion ne pouvait pas décrocher. Les pilotes ont subi un désapprentissage en règle de leur métier (déqualification), et le pilotage en manuel est devenu la victime expiatoire de la sur-automatisation des avions. C’est une part importante du savoir-faire des pilotes qui s’est évaporée au fil des années.
Ainsi, lorsque la machine perd son autonomie à cause de pannes internes, elle met l’opérateur encore plus à distance, et il dispose de moins de moyens pour la contrôler. Et face à l’imprévu ou à l’inattendu, certains comportements de pilotes se sont avérés être à l’opposé de ceux attendus. Le temps de réaction consécutif à l’effet de surprise, voire de sidération (Startle effect), a grandement pénalisé les chances de rétablir rapidement une situation critique. Dans une telle phase dynamique, il est illusoire de vouloir élucider en peu de temps une situation qui pourrait ne pas avoir de solution idéale.
Dès l’apparition de tendances négatives ou de situations non nominales détectées, les systèmes de l’avion (dont l’architecture interne repose sur une grande autonomie) transmettent aux pilotes des alarmes qui ne sont pas suffisamment progressives et qui ne permettent aucun dialogue entre l’homme et la machine. Trop souvent les systèmes se déclarent en panne tardivement, sans anticipation, lorsqu’ils ont épuisé toutes leurs possibilités de restauration, générant un « effet falaise », exigeant alors des pilotes d’être des super-opérateurs, à la « James Bond », capables d’intervenir efficacement et rapidement au moment ultime.
Peu de temps après la publication du troisième rapport d’étape du BEA sur cet accident, le Syndicat national des pilotes de ligne (SNPL[5]) notait que les pilotes avaient été confrontés à une situation complexe et « totalement inédite pour laquelle le constructeur n’avait jamais prévu de les former, avec peu de temps pour la diagnostiquer ».
« Plus généralement, le double échec des réponses procédurales prévues montre les limites du modèle de sécurité actuel. Lorsqu’une action de l’équipage est attendue, il est toujours supposé qu’il aura une capacité de maîtrise initiale de la trajectoire et de diagnostic rapide permettant d’identifier la bonne entrée dans le dictionnaire de procédures. Un équipage peut être confronté à une situation imprévue entraînant une perte momentanée mais profonde de compréhension. Si, dans ce cas, les capacités supposées de maîtrise initiale puis de diagnostic sont perdues, alors le modèle de sécurité se retrouve en “défaut de mode commun”. Lors de cet événement, l’incapacité à maîtriser initialement la trajectoire a aussi rendu impossible la compréhension de la situation et l’accès à la solution prévue[6]. »
Comment peut-on expliquer qu’un équipage expérimenté n’ait pas entendu l’alarme décrochage « stall » retentir plus de soixante-dix fois ?
L’examen des mécanismes neuronaux impliqués dans la prise de décision sous stress met en évidence des biais d’inhibitions (blocages) où la surdité non intentionnelle est plus courante que la cécité. Les résultats des neurologues définissent celle-ci comme un phénomène cognitif essentiel pour la sécurité aérienne. Ainsi, l’objectif opérationnel du travail sur le « contexte » peut se résumer en une phrase : « avoir la bonne information au bon moment sous le bon format » (Pinet[7]).
Le crash de l’AF447 a été un véritable traumatisme pour Air France, mais aussi une remise en cause profonde pour l’industrie aéronautique. Airbus et Boeing ont travaillé de concert pour revoir leurs procédures de perte de vitesse anémométrique et de décrochage. En effet, la perte de contrôle en vol (LOC) qui en résulte est la catégorie d’accident aérien la plus meurtrière.
Il est désormais impératif de se libérer du syndrome du Titanic[8] et, de cette idée reçue que la machine est infaillible qu’elle ne peut ni couler ni décrocher.
Il est indispensable, notamment en France, de favoriser la séparation des instances industrielles, administratives et politiques. L’OACI le recommande[9], comme cela se pratique dans les pays anglo-saxons où le niveau de sécurité est plus élevé.
Ainsi, le NTSB américain peut critiquer Boeing, et la FAA a été en mesure d’arrêter la flotte mondiale du best-seller B787 pendant trois mois, en 2013, après une série d’incidents (emballement thermique de batteries cadmium nickel). Ce scénario n’est pas imaginable en France et en Europe vis-à-vis d’Airbus, et rien de sérieux n’a été fait dans ce sens avec le défaut des pannes Pitot des Airbus 330/340, alors que plusieurs événements graves s’étaient produits.
« Une enquête sur un accident devrait donc cibler une maîtrise efficace des risques. Si l’enquête est dirigée non plus sur “la chasse aux coupables” mais sur une réelle atténuation des risques, elle encouragera la coopération entre les personnes concernées par l’accident, ce qui facilitera la découverte des causes sous-jacentes. L’intérêt à court terme de trouver un coupable est préjudiciable à l’objectif à long terme de prévenir de futurs accidents » (OACI[10]).
C’est ce qui se passe aujourd’hui avec le procès de l’AF447 qui jette au bûcher les coupables pilotes, lesquels ne sont d’ailleurs plus présents pour se défendre, pour protéger un système défaillant, propre aux régimes totalitaires ou aux religions aux rites sacrificatoires.
C’est ce qui s’était déjà passé avec le procès de l’accident de l’A320 d’Air Inter du mont Sainte-Odile, en 1992, qui s’est terminé seize ans plus tard par la relaxe générale des prévenus, dont Airbus.
[2]. AP IMPACT: Automation in the air dulls pilot skill, by JOAN LOWY, Associated Press – Aug 30, 2011.
[3]. “Aircraft Commander in the 21st Century: Decision-making, are we on the right path?” 25-26 March 2014, London. http://aerosociety.com/Events/Event-List/1168/Aircraft-Commander-in-the-21st-Century-Decisionmaking-are-we-on-the-right-path
[4]. Sûrvol, revue sur la sécurité des vols des opérations aériennes d’Air France, nº 50, mars 2017, p. 33.
[5]. Jean-Louis Barder, président du Syndicat national des pilotes de ligne.
[6]. BEA, Rapport final accident de l’AF 447 Rio-Paris, Juillet 2012, p. 208.
[7]. BOY Guy, PINET Jean, L’être Techno-Logique » une discussion entre un chercheur et un pilote d’essais, L’Harmattan, 2008, p. 243.
[8]. Le syndrome du Titanic aborde le thème de l’invulnérabilité des machines (livre et film documentaire de Nicolas Hulot (2004 et 2008). Les créateurs de ces dernières, qui ont expérimenté les limites des nouvelles technologies, croient de bonne foi qu’elles couvrent les principaux risques qu’elles pourraient rencontrer, mais ce n’est pas le cas.
[9]. OACI, Annexe 13, p. 202.
[10]. Manuel de gestion de la sécurité (MGS) – OACI 2006, § 8.1.4, p. 117.
[*] Avion sans commandes de vol électriques