C’est bien entendu un pilier du transport aérien.

La certification des avions de ligne n’est actée par les autorités aéronautiques que s’il est démontré, par des études de sécurité, que la probabilité d’occurrence d’un dommage potentiellement catastrophique est inférieure à 10-9 (un sur un milliard).

Ainsi, par exemple, les carters des moteurs sont-ils conçus pour contenir les graves dommages (en particulier les ruptures de disques de turbine); les circuits électriques sont isolés, ségrégués, protégés contre les surtensions, les surintensités ; les servitudes électriques sont individuellement protégées par disjoncteur ; les circuits hydrauliques sont ségrégués des sources de chaleur et ils sont refroidis etc. ... D’une manière générale la construction aéronautique n’a pas attendu la norme ISO 9000 pour pratiquer l’assurance qualité.

Le transport de matières dangereuses est soumis tant par la réglementation que par les pratiques effectives à des conditions très restrictives : Matières interdites, quantités limitées, conformité des emballages, compatibilité, etc.

Lorsque l’exploitation révèle une anomalie remettant en cause les hypothèses de certification, le suivi de la navigabilité par les constructeurs et les autorités aéronautiques conduit à mettre en place les correctifs adéquats : Les "Service Bulletins" des Constructeurs sont éventuellement traduits en Consignes de Navigabilité, d'application règlementaire, etc.

Lorsque la probabilité d’occurrence d’un événement potentiellement catastrophique est supérieure à 10-9 alors la navigabilité des avions repose sur la mise en oeuvre d’une surveillance des systèmes de bord, associée à des procédures ayant pour objet de faire en sorte que les conséquences de l’événement ne soient pas catastrophiques : Les circuits et les différentes zones de l'avion sont surveillés par des alarmes sonores et visuelles (ceci concerne notamment les anomalies électriques, hydrauliques, les fumées dans les soutes, les feux "moteur", les fumées dans les toilettes, les surchauffes hydrauliques, les températures des freins excessives ou les feux de train, etc.). En cas d’alarme, il faut "reconfigurer" les systèmes s’ils ne sont pas reconfigurés par les logiques automatiques, et l’équipage doit alors réaliser les procédures et check-lists d'urgence ou de secours prévues.

S’agissant de prévenir les conséquences d’un feu, beaucoup de matériaux du bord sont ignifugés. Néanmoins des progrès sont encore à faire car, aujourd’hui encore, il y a toujours des risques d’émanations toxiques.

Dans le transport aérien de cette fin de siècle, dont les résultats en matière de sécurité des vols en font de très loin le moyen de transport le plus sûr, quels sont, s'agissant du risque de feu, les défauts du système?

Le vieillissement des avions, de leur structure mais aussi de leurs circuits en est un : L’accident du vol TWA 800 au large de Long Island en 1996 a révélé une famille de défauts sur certains composants électriques (vieillissement ou usure des gaines de protection...).

La fabrication sur un marché parallèle de pièces de rechange à bon marché mais ne répondant pas aux spécifications de la construction aéronautique est une préoccupation majeure des autorités Américaines, Européennes, et de l’OACI.

La pression économique qui pousse les exploitants à sous-dimensionner la formation des personnels, à ne plus ajouter de marges par rapport aux exigences réglementaires, et qui rend l’application des procédures opérationnelles et de maintenance plus difficile à mettre en œuvre correctement, est un facteur qui globalement dégrade le niveau de sécurité.

Ainsi, lorsque l’événement feu ou fumée à bord survient, l'équipage est prévenu soit par une alarme soit par une observation directe du phénomène et doit entreprendre la procédure adéquate

Sur les avions modernes, Les Airbus et les Boeing de dernière génération, des détecteurs de fumée se trouvent dans les soutes cargo, dans la soute électronique, dans les toilettes de bord en sus des classiques détecteurs de feu sur les moteurs ou le groupe auxiliaire (APU). (Sur MD11 on remarque qu’il n’y a pas de détecteurs de fumée dans une zone aussi névralgique que la soute électronique).

Des alarmes sonores sont générées de manière centralisée au cockpit, et localement s’agissant des toilettes. Des extincteurs peuvent être commandés par l'équipage technique pour éteindre des feux sur les moteurs ou dans les soutes. Des extincteurs automatiques éteignent les feux de poubelle dans les offices et dans les toilettes. L’équipage commercial intervient directement sur les feux en cabine à l’aide d’extincteurs.

La philosophie des procédures est commune aux différents constructeurs : D’abord, arrêter l’émanation de fumée et le feu, ensuite, procéder à une évacuation de la fumée.

Dans tous les cas où la source du feu ou de la fumée est identifiée, une procédure spécifique est réalisée : Elle consiste à intervenir directement sur le système ou la partie de l'avion en cause.

La procédure amène l'équipage à couper le système, le circuit, ou l’équipement en défaut, puis, si nécessaire, il procède à une évacuation de la fumée.

Lorsque la source de fumée est d’origine inconnue, la check-list amène l'équipage à faire une recherche du système en défaut en coupant certains circuits ou composants de circuits, puis à attendre pour voir le résultat produit (la fumée diminue..... ou ne diminue pas). Il s’agit d’une procédure longue, et l'équipage doit faire preuve de patience de manière à conclure de façon sûre, car il ne sera pas toujours évident d’observer l’évolution de l’ampleur de la fumée.

Note: Trois semaines après l'accident du vol Swissair 111 il est établi que l'équipage avait entrepris la check-list " feu/fumée d’origine indéterminée".

Lorsque plusieurs check-lists fumées coexistent (l’une pouvant être orientée sur le conditionnement d’air, l’autre sur le circuit électrique), le choix de la bonne check-list n’est pas toujours évident ou peut être source d’erreurs.

Les deux sources principales de fumée qui font l’objet d’une recherche de défaut sont en effet le circuit de conditionnement d’air, ou les circuits électriques.

S’agissant du conditionnement d’air, les procédures prévoient de couper les ventilateurs d’aération de cabine, les ventilateurs de recirculation d’air, et de couper un par un les groupes de conditionnement d’air.

S’agissant des circuits électriques, les philosophies semblent diverger d’un avion à l’autre, selon qu’il est bimoteur, trimoteur, quadrimoteur, et selon qu’il est plus ou moins dépendant de la génération électrique (cas des avions modernes). Certaines procédures (comme sur MD11 ou A340) ont pour philosophie de supprimer le couplage des alternateurs, puis de couper alternativement la distribution électrique associée à chaque alternateur (McDonnell) ou à la moitié du réseau (Airbus). Sur les Boeing de première génération, comme le B747 "classique", le principe de la procédure est de ne plus alimenter que ce que l'équipage considère comme circuit essentiel à la conduite sûre de l'avion; enfin sur d’autres types d’avion la philosophie est de couper alternativement la distribution normale et la distribution essentielle. On ne peut que relever ici l'approche de Boeing concernant la fumée d'origine électrique sur B747-400, et qui ne préconise, si la source des fumées n'est pas identifiée, que des délestages électriques, sans recherche de défaut.... Que penser de cette procédure qui conseille seulement de rejoindre l'aérodrome le plus proche lorsque l'on est éloigné de celui-ci de plusieurs heures et que la fumée perdure?!

La part de l’électrique et de l’électronique est très importante sur les avions de dernière génération : Les secours mécaniques sont limités et parfois inexistants. Sur ces appareils, il semble que les constructeurs soient réticents à ce que l’on réduise de manière extrême la distribution électrique. Ce serait alors dégrader sérieusement la capacité des systèmes et, sur les avions à commandes de vol numériques, dégrader les qualités de vol: Perte des fonctions d’augmentation du domaine de vol, perte de nombreuses protections etc...

Et pourtant ? Ne devrions-nous pas reconsidérer les risques et envisager a priori une alimentation électrique minimale (essentielle) dès l’apparition de la fumée, afin d’augmenter la probabilité de coupure de l’équipement en défaut ?

Sur avions équipés de générateur électrique de dernier secours, comme par exemple sur MD11, sur Concorde, ou sur tous les Airbus de dernière génération, ne devrait-on limiter la génération électrique à ce seul générateur, dès le début de la check-list ?

Sur MD11 la procédure en vigueur amène à couper un par un les alternateurs et les groupes de conditionnement d’air. Serait-il déraisonnable d’en couper deux à la fois et de n’en laisser qu’un en service ?

Ces questions méritent d’être posées aux constructeurs et aux autorités de certification.

En général les délestages électriques se traduiront par une diminution de l’éclairage au cockpit, qui pourra se réduire à un ou deux plafonniers, ce qui compliquera la tâche des équipages.

S’agissant des alarmes en soute électronique sur avion Airbus, la philosophie consiste à forcer la ventilation vers l’extérieur de l'avion.

Bien que les équipages soient entraînés de manière très réaliste sur les simulateurs de vol les plus modernes (avec génération de fumées réelles à base de paraffine), les procédures sont longues, et très difficiles à réaliser.

Elles commencent pour l'équipage par le port du masque à oxygène à pose rapide, et par le port des lunettes antifumées. Sur les avions récents un seul équipement — masque dit « full face »— fait office de masque et de lunettes, avec un harnais pneumatique s’ajustant automatiquement. Il est déplorable de voir encore certains avions gréés avec les anciens équipements qui sont difficiles à mettre en place sur le visage, peu ergonomiques, limitant indûment le champ de vision, et d'une médiocre étanchéité.

Les membres d’équipage communiquent alors par Interphone, ce qui dégrade quelque peu la qualité des communications. La vision périphérique se trouve elle aussi dégradée. La moindre transpiration (qui est favorisée par le stress) produit de la condensation dans le masque ou les lunettes et altère la vision.

Le port du masque et des lunettes, la diminution éventuelle de la visibilité à l’intérieur du cockpit, l’altération des communications (intelligibilité, identification de l’émetteur, bruit de respiration amplifié par l’Interphone...), le stress de la situation, dégradent aussitôt les capacités cognitives des équipages.

Dans ce contexte on attend de l'équipage un traitement académique de la check-list de secours. En effet, la prise en compte des facteurs humains depuis les années 80 et le souci louable de prévenir l'erreur humaine se traduit par un formalisme dans la réalisation des actions liées aux check-lists. Chaque action qu’un membre d’équipage doit faire est validée par l’autre : Il y a contre vérification systématique ("cross-check" en Anglais), afin de prévenir une erreur éventuelle.

Ce type de traitement rallonge évidement le temps de réalisation de la procédure.

Ce choix est-il opportun ?

On distingue en effet deux types de traitement des procédures :

Ainsi que l’a conceptualisé le psychologue Danois Rasmussen, l’opérateur humain est aussi capable d’un mode de fonctionnement autre que ceux basés sur les procédures. Le mode de fonctionnement basé sur les connaissances profondes permet de faire face aux situations complexes d’anomalies multiples, il permet de hiérarchiser les priorités, de raisonner par analogie ou en logiques floues etc.

La prise en compte du seul aspect négatif du facteur humain, c'est-à-dire de l’erreur humaine, est regrettable.

On devrait réaliser de mémoire les premiers items des check-lists de fumées : masques à oxygène et lunettes bien sûr (on fait déjà ainsi), mais aussi coupure des ventilateurs, coupure d’une partie de la distribution électrique, d’une partie du conditionnement d’air.

Mieux, les constructeurs pourraient étudier l’installation dans le cockpit d’un interrupteur unique permettant à l'équipage d’un seul geste de mettre les systèmes en configuration d’alimentation électrique et de conditionnement d’air minimaux, à la suite de quoi les équipages pourraient, éventuellement, et prudemment, rétablir les différentes alimentations des systèmes une à une.

Enfin, il importe d’améliorer la détection et la localisation de la source des fumées ou du feu : 
La multiplication et la distribution adéquate de capteurs (détecteurs de fumées, de surchauffe...) doit être reconsidérée par l’industrie. Il y a un certain anachronisme sur les avions modernes à entreprendre des check-lists «fumée d’origine indéterminée».

S’agissant de la conduite du vol, les nombreux cas de perte de contrôle ci-dessus évoqués militent pour un choix immédiat et conservatoire de déroutement vers le terrain adéquat le plus proche, au besoin en effectuant une procédure d’atterrissage en surcharge.

Sur les parcours océaniques, donc suffisamment éloignés d’un terrain de déroutement, la décision d’amerrissage, procédure à haut risque, devra être envisagée avant que la situation ne devienne incontrôlable...
En tout état de cause il faut remarquer que , même lors d'un survol continental, il faut compter environ 15 minutes pour qu'un avion en vol de croisière ne puisse rejoindre et atterrir sur un aérodrome proche....

Ceci implique que l'équipage aura peut-être à traiter successivement, et parfois de manière parallèle, plusieurs procédures: La procédure liée au feu, une éventuelle procédure d’évacuation de fumées, la procédure d’atterrissage en surcharge, voire d'amerrissage, et les procédures normales de vol en vue de la descente, de l’approche et de l’atterrissage.

Bien sûr il s’agit d’une situation à risque du point de vue de l’erreur humaine, la charge de travail étant énorme pour un équipage à deux pilotes, mais le feu n’est-il pas une situation de plus grand risque?

Ici, il faut considérer le facteur humainsous son aspect positif car l’homme a l’avantage sur l’ordinateur de pouvoir fonctionner en mode créatif, pour le pire, peut-être, mais aussi pour le meilleur comme l’ont montré plusieurs événements du transport aérien (accident du DC10 de Sioux City par exemple).

Sur les avions de dernière génération le savoir faire en pilotage avec les seuls paramètres bruts de trajectoire et sans les automatismes s’émousse, et, s’agissant des jeunes pilotes, est parfois moins consistant que pour les pilotes plus anciens qui ont accumulé des milliers d’heures de vol avec des instruments classiques. Or, précisément, le traitement des procédures feu fumées va conduire au pilotage des paramètres bruts, sans automatismes, et en « panneau partiel », c'est-à-dire avec seulement une partie de l’instrumentation de pilotage. La difficulté sera accrue du fait du port du masque et des lunettes comme il a été dit plus haut.

Dans ce contexte, le pilote aux commandes est exposé au risque de perte de contrôle de la trajectoire.

Sur les avions modernes, il importe donc de mettre davantage l’accent, dans les programmes d’entraînement basiques et récurrents des équipages, sur le pilotage à l’aide des « raw data » et sur la récupération des attitudes inusuelles.

Mais aujourd'hui il est difficile d'accepter l'idée qu'un équipage ait à entreprendre une check-list "feu/fumée d'origine indéterminée". Une telle procédure, ainsi qu'il a été vu, est longue. On se doit de mettre l'emphase sur le fait qu'elle est potentiellement inefficace. En effet, la coupure, de manière aléatoire, d'une partie de l'alimentation électriquetraduit l'acceptation du facteur chance et du risque de laisser propager le feu ou les fumées si la malchance a voulu que le système en défaut soit sur la partie non déconnectée du circuit électrique.

L'époque est venue, et c'est le prix à payer pour le progrès aéronautique, pour que l'industrie aéronautique conçoive un système qui permette de localiser précisément et rapidement la source du feu ou de la fumée, de manière à ce que l'équipage soit rapidement informé et puisse (avec l'aide de la technologie moderne) déconnecter instantanément le circuit fautif: Les Autorités devraient réviser les règlements de navigabilité et, par exemple, demander aux constructeurs de disposer le nombre de capteurs qui convient tout au long des circuits électriques et de conditionnement d'air pour détecter le moindre départ de feu ou de fumée.

Seule l’enquête exhaustive entreprise par les autorités Canadiennes permettra, lorsqu’elle sera terminée, d’avoir une relative compréhension des événements, et seulement alors sera-t-il peut-être possible d’émettre un avis sur les options prises par l'équipage du vol SR 111... Il faudra, comme il se doit, impérativement déconnecter la réflexion de sécurité de toute connotation de jugement.

Les pilotes du vol SR 111 ont eu à faire face à la situation la plus redoutée par la communauté internationale des Pilotes de Ligne : Le feu à bord.

Les quelques idées avancées ici ne veulent que contribuer à la réflexion de sécurité et à la démarche de prévention qui fait suite à tout accident aérien.

l y a maintenant une quinzaine d'années que les principaux exploitants Anglo-saxons ont mis en oeuvre une doctrine sur les facteurs humains, avec formation des équipages à la clé.

Les dernières "Majors" du monde occcidental et du continent Asiatique ont suivi. Aujourd'hui les règlementations imposent une formation, initiale et récurrente, aux facteurs humains.

A l'époque où la démarche fut entreprise, l'attaque frontale contre le facteur humain, dans le continuum des facteurs causaux de l'accident aérien, était considérée comme la "nouvelle frontière" du système de prévention.

Aujourd'hui la question mérite alors d'être posée:

Les espérances de progrès ont-elles abouti ?

Il serait insultant pour la communauté aéronautique et pour les chercheurs en sciences comportementales ou cognitives de soutenir ici que les formations aux facteurs humains n'ont pas eu un effet positif pour la sécurité des vols. Le prolongement du travail de ces brillants spécialistes se retrouve, du point de vue du risque causal "facteur humain", dans une meilleure conscience, de la part des équipages, des risques d'erreur et de leurs mécanismes. Il se situe également dans de meilleurs Standards et pratiques opérationnels.

Il est permis d'affirmer, qu'aujourd'hui, le pilote de la ligne est mieux armé face aux risques d'erreurs de routine, d'erreurs de représentation (encore que...), de défauts de communications.

Il dispose d'une culture "facteurs humains" qui peut lui permettre tant de prévenir que de limiter les conséquences des erreurs humaines.

Alors la question suivante s'impose:

Est-ce que les résultats sont à la hauteur des espérances? Et puisque la sécurité des vols se mesure, est-ce que les statistiques démontrent une amélioration significative de celle-ci?

Le taux d'accident par million de décollages semble stagner, au plan mondial, sur l'asymptote d'un accident par million de décollages. Au plan régional, à commencer par l'Occident, il ne semble pas que l'on puisse faire ressortir une amélioration quelconque.

Il est patent que des catastrophes majeures de ces dernières années (737 à Pittsburgh et à Colorado Springs, 767 de Lauda Air, 747 du TWA 800, MD11 de Swissair, Concorde à Gonesse...) replacent la question du facteur humain dans une perspective plus réaliste, à savoir que les fondements de la sécurité des vols se trouvent, essentiellement, dans la conception des avions et dans leur entretien, et ce n'est qu'en aval de ces piliers que se situent les autres fondements (en analogie avec le Modèle de Reason).

Puisque l'on a postulé que la politique "facteurs humains" (entendue au niveau de l'équipage) a eu un effet positif sur la sécurité, alors il importe de rechercher un ou des facteurs venant contrarier cette avancée.

Nous en voyons au moins deux :

Les équipages qui vont au Japon ont pu observer que les Bus Japonais étaient équipés de caméras vidéos permettant au chauffeur de véritablement "voir" l'environnement de son véhicule lorsqu'il effectue une marche arrière. 
Pour ce qui me concerne... ce constat est vieux d'environ 20 ans. Un tel équipement paraissait avantgardiste et luxueux... 20 ans après, ces qualificatifs tombent... C'est "banal" et "bon marché".

Question:

Tire-t-on le meilleur parti, et tout le parti, des tubes cathodiques équipant les cockpits sur les avions de dernière génération?

Il semble évident que la sécurité trouverait son avantage dans l'utilisation de capteurs vidéo, judicieusement placés, permettant d'afficher les images au cockpit. Est-ce faisable? Bien sûr..Economiquement viable? Probablement... Alors, imaginons...

Des capteurs vidéo, diposés de manière adéquate, et pilotables à distance, pourraient permettre :

Aujourd'hui nombre de situations obligent l'équipage à se contruire, à partir d'informations instrumentales symboliques, et d'un niveau de traitement complexe, une représentation du monde réel.

Cet exercice n'est pas innocent du point de vue de la sécurité des vols; les erreurs résultantes ont été conceptualisées et qualifiées d'erreurs de représentation.

L'histoire a montré l'acuité des questions de "situation awareness" sur les avions de dernière génération et les spécialistes en facteurs humains ont expliqué combien il était difficile, pour un opérateur, de sortir d'une erreur de ce type, les schémas mentaux et les représentations étant particulièrement stables.

Ces erreurs de représentation, ou ces insuffisances de représentation(par manque de moyens), traduisent une mauvaise connaissance, par les équipages, de l'état d'un système, ou de l'état de tout ou partie de l'avion lui-même.

Il est vrai que souvent ces erreurs concernent les automatismes (avec les redoutables erreurs de mode en particulier), il existe néanmoins dans l'histoire récente du transport aérien quelques situations qui permettent de soutenir le point de vue exprimé ici.

Depuis la publication de cet article dans la "gazette de l'A340" d'Air France en 1995, l'auteur a eu le bonheur d'apprendre que les bureaux d'étude d'Airbus Industrie en avaient été rendus destinataires. Il apparaît aujourd'hui que l'A3XX serait équipé, en version de base, d'un tel système de capteurs. Si l'auteur a pu infléchir tant soit peu un tel choix, il en est ravi. Il se trouve qu'une expérimentation a, par ailleurs, été conduite en Grande-Bretagne, à la fin des années 90,de manière semble-t-il positive. Des doutes ont été émis sur les risques de distraction, au sein de l'équipage, du fait de la présence d'un tel système. L'auteur ne partage pas ces doutes, s'agissant d'équipages professionnels disposant d'une culture"facteurs humains" aujourd'hui largement répandue et bien ancrée. Les bénéfices potentiels d'un tel système sont tellement considérables qu'il est permis de penser qu'ils supplanteront largement les quelques inconvénients que les opérations aériennes pourraient révéler. En tout état de cause deux dépêches d'agence récentes (la première de Février 99, l'autre de Mars 2000) font état d'une utilisation positive, et particulièrement révélatrice, du sytème conçu de fait pour la distraction des passagers !!!

"FLIGHTVU COULD BE WATCHING YU :
Tying passengers to their seats and injecting them with tranquilizers hasn't seemed to work, but maybe Big Brother will. AD Aerospace has developed a system of "covert" cameras they're calling FlightVu Witness. The security system can be fitted throughout the passenger cabins to keep an eye on potential rowdies. AD Aerospace says FlightVu will help deter air rage and get convictions."

"IN-FLIGHT ENTERTAINMENT SYSTEM LOCATES PROBLEM :
AD Aerospace tells AVweb one of their externally mounted FlightVu cameras helped a crew on an unnamed British airline locate the cause of a low fuel pressure warning. Normal checklist procedures turned up nothing, and as crewmembers pondered, they noticed the FlightVu camera showing fuel leaking from the right-hand engine/strut. The engine was shut down, the crew issued a "mayday" call and the plane returned safely to the airport, thus proving an extra set of "eyes" can definitely help."