En gros titre

Logo - En gros titre

Omissions mortelles

par Alan Dean et Shawn Pruchnicki. Cet article, paru à l'origine dans le numéro de décembre 2008 du magazine AeroSafety World, est reproduit et traduit avec l'autorisation de la Flight Safety Foundation.

La mémoire des êtres humains fait défaut selon des modèles prévisibles que l’on peut éviter en prêtant une attention particulière aux SOP lorsque surviennent des distractions.

En août 1987, l’équipage de conduite d’un McDonnell Douglas DC-9 qui roulait jusqu’à la piste 03C de l’aéroport Detroit Metropolitan Wayne County (DTW) n’a pas exécuté la liste de vérifications au roulage. Par conséquent, les volets n’ont jamais été prêts pour le décollage, ce qui a donné lieu à l’écrasement de l’avion en manque de portance immédiatement après le décollage et au décès de 156 personnes. L’avion, victime d’un décrochage aérodynamique, s’est écrasé dans un stationnement, juste à l’extrémité de la piste.

Près de 21 ans plus tard, en janvier 2008, l’équipage d’un Bombardier CRJ200 a commis une omission identique quant à cette même liste de vérifications, à un autre important aéroport du Midwest des États-Unis. Cependant, au lieu de se traduire par un accident mortel, cette omission a généré une alarme sonore de « configuration des volets », et le décollage a été interrompu en toute sécurité.

Dans le cas du DC-9 au DTW, l’alarme sonore n’avait jamais retenti et, même si la cause de la panne du système d’alarme n’a jamais été établie, il est important de comprendre que cette panne du système est la seule variable distinguant l’écrasement du DC-9 du décollage interrompu du CRJ. Mis à part cette unique différence, ces deux événements comportent des facteurs humains parfaitement identiques.

Il est alarmant de constater que ce type d’événement peut être plus courant que l’on ne croit. L’enquête préliminaire sur l’accident au décollage du Spanair McDonnell Douglas MD-82, survenu en août 2008 à Madrid (Espagne), a permis d’établir que les volets de l’aéronef étaient en position rentrée. Une étude récente de la base de données de l’Aviation Safety Reporting System de la National Aeronautics and Space Administration des États-Unis a révélé de nombreux comptes rendus faisant état de membres d’équipage de conduite d’entreprises de transport aérien ayant omis de configurer adéquatement les volets pour le décollage. Pour comprendre les similitudes entre les facteurs humains de ces types d’incidents, nous avons réuni les résumés des événements relatifs au DC-9 et au CRJ.

L’embarquement à bord du DC-9 avait été retardé pendant près d’une heure par les conditions météorologiques. Après l’embarquement des passagers, on a exécuté la liste de vérifications avant le démarrage des moteurs, et l’aéronef a quitté le poste de stationnement. Le contrôle au sol a répondu à la demande de roulage du copilote en acheminant ce dernier vers une piste différente de celle prévue à l’origine. Le contrôleur a également avisé l’équipage qu’on avait mis à jour l’enregistrement du service automatique d'information de région terminale (ATIS) pour y inclure un avertissement à l’effet que des avis de cisaillement du vent à basse altitude étaient en vigueur, en raison du temps convectif dans la région.

Comme le commandant de bord commençait à rouler, le copilote a obtenu la nouvelle information ATIS et a recalculé les données relatives aux performances de décollage. Pendant que le copilote avait la « tête baissée », le regard à l’intérieur du poste de pilotage, le commandant de bord est passé à côté d’une voie de circulation assignée. Le contrôle au sol l’a redirigé, et le roulage s’est poursuivi au son de diverses conversations concernant le retard antérieur dû aux conditions météorologiques. Ce retard revêtait une grande importance, car le prochain vol de l’équipage était à destination d’un aéroport où l’on imposait un couvre-feu pour les vols à l’arrivée.

Sept minutes après avoir quitté le poste de stationnement, l’équipage du DC-9 a été autorisé à rouler jusqu’à sa position et à attendre sur la piste. Même si le commandant de bord n’a pas demandé la liste de vérifications avant décollage, le copilote a verbalisé tous les éléments associés avant de recevoir une autorisation de décoller. Au moment où le commandant de bord commençait la course au décollage, le copilote a d’abord été incapable d’embrayer le système d’automanette. Ce problème a toutefois été rapidement résolu lorsque la vitesse de l’aéronef s’est approchée de 100 kt. Ensuite, l’enregistreur de la parole dans le poste de pilotage (CVR) a enregistré le copilote verbaliser « V1 », puis « rotation », suivi de près des sons du vibreur de manche et, par la suite, de l’impact avec le sol.

Après l’embarquement des passagers, l’équipage du CRJ avait exécuté la liste de vérifications avant roulage et demandé la permission de rouler. En disant « volets 20, liste de vérifications au roulage », le commandant de bord a amorcé un virage à droite comme l’avait demandé le contrôleur, mais il s’est vite aperçu que ce virage les mènerait dans la mauvaise direction. En arrêtant l’aéronef, il a interrompu la séquence de la liste de vérifications du copilote pour obtenir des précisions. Une fois ce problème résolu, l’équipage a manoeuvré le long d’une aire de trafic encombrée, vers la piste qui lui était assignée. Dès que l'équipage a eu atteint la piste, le contrôleur de la tour l’a autorisé à décoller immédiatement. On a demandé la liste de vérifications d’alignement, et le copilote l’a lue en terminant par « configuration de décollage OK… vérification d’alignement terminée ». Le contrôle de l’aéronef a ensuite été transféré au copilote, lequel a commencé à pousser sur les manettes des gaz. L’alarme sonore de « configuration des volets » a immédiatement retenti et, alors que l’avion atteignait quelque 30 kt, le commandant de bord a interrompu le décollage.

Pressions extérieures
D’après les récits, il semble que les deux équipages aient subi des pressions extérieures qui ont eu pour effet de précipiter leur départ. Dans le cas de l’équipage du DC-9 en retard, il s’agissait d’un aéroport avec couvre-feu à l’arrivée, alors que l’équipage du CRJ s’est senti pressé lorsqu’il a été autorisé à décoller immédiatement.

Les équipages ont tous deux été distraits dès qu’ils ont eu quitté leur poste de stationnement. Dans le cas de l’équipage du DC-9, dès que le roulage a commencé, il est devenu nécessaire d’obtenir de l’information ATIS à jour et de vérifier les données de performance concernant le changement de piste imprévu. L’équipage du CRJ a reçu des directives de roulage erronées qui nécessitaient des précisions. Fait important : les distractions des deux équipages sont survenues au moment précis où, selon la liste de vérifications au roulage, il faut habituellement sortir les volets pour le décollage.

Il serait toutefois trop simpliste d’affirmer bêtement que ces vols ont fait l’objet d’erreurs dues à l’empressement et à des distractions. De nombreuses autres menaces insidieuses planaient sur chaque poste de pilotage; des menaces et des limites humaines qui n’ont pas été décelées — c’est-à-dire, qui n’ont pas été détectées ni gérées — et qui ont fini par faire en sorte que les deux équipages omettent complètement les listes de vérifications. Parmi ces menaces, on compte celles dues à l’expérience et à la répétition, les problèmes de mémoire, la tendance à l'anticipation et le manque de discipline dans l’exécution des listes de vérifications.

Menaces dues à l’expérience et à la répétition
Comment des pilotes expérimentés peuvent-ils en arriver à omettre complètement une liste de vérifications? L’expérience confère évidemment de nombreux avantages, mais elle peut également compromettre même les experts les plus chevronnés lorsque ces derniers s’acquittent de tâches répétitives, comme l’exécution d’une liste de vérifications.

Le premier concept critique est le suivant : à mesure que l’expérience s’acquiert, les tâches répétitives, comme l’exécution de listes de vérifications, s’incrustent dans l’esprit comme de simples schémas de cheminement. Ainsi, un pilote peut en arriver à passer automatiquement de l’élément « A » à l’élément « B », puis à l’élément « C » d’une liste de vérifications sans porter véritablement attention à la signification de chacun des éléments.

Le deuxième concept important est que chaque élément subséquent (A, B, C…) de la liste de vérifications est mentalement jugé vérifié en raison de la perception que l’élément précédent l’a été.

Troisièmement, l’accomplissement d’une tâche répétitive, comme l’exécution d’une liste de vérifications, doit être déclenché par l’arrivée d’un certain repère. Ce repère déclencheur peut être un commandement verbal (« volets 20, liste de vérifications au roulage »), une situation particulière (incendie moteur) ou même une indication liée à l’environnement (proximité de la piste). C’est précisément là où se trouve la menace. Les interruptions, les distractions et les écarts par rapport aux procédures d’utilisation normalisées (SOP) peuvent briser les schémas de cheminement mentaux et créer de faux souvenirs et même masquer ou éliminer les repères déclencheurs. Finalement, cela peut empêcher la détection d’une anomalie importante, comme le prouvent les réactions des deux équipages de conduite ayant omis de sortir les volets.

Dans les scénarios du DC-9 et du CRJ, chaque équipage a été interrompu au tout début du roulage. Ce fait est important, car le début du roulage et la proximité du poste de stationnement constituent des repères déclencheurs typiques liés à un état et à l’environnement qui incitent les pilotes à l’exécution de la liste de vérifications au roulage. Les interruptions causées par la nécessité d’obtenir des renseignements ATIS et des précisions sur les directives de roulage ont masqué ces repères et ont mené à l’omission de la liste de vérifications qui exigeait la sortie des volets. Par la suite, à mesure que les avions s’approchaient de leur piste de décollage, les équipages s’éloignaient davantage de l’environnement qui aurait pu leur rappeler d’exécuter la liste de vérifications au roulage.

De plus, en s’approchant de la piste, chaque équipage percevait de nouveaux repères qui l’incitaient à exécuter d’autres listes de vérifications. Dans le cas de l’équipage du CRJ, l’approche de la piste constituait un repère lié à l’environnement qui l’incitait à exécuter la liste de vérifications avant décollage. À ce point, l’équipage était alors si loin mentalement de la vérification avant roulage qu’il y avait peu de chance qu’il parvienne à se rappeler qu’il avait omis de l’exécuter.

Menaces liées à la mémoire
Une autre menace pernicieuse relative aux facteurs humains et aux tâches répétitives peut avoir de dangereuses conséquences sur la mémoire humaine. En effet, le cerveau peut parfois forger de faux souvenirs d’événements qui ne se sont jamais produits. Ce phénomène survient lorsqu’on rencontre des repères souvent associés à l’exécution d’une tâche donnée, comme le fait d’entrer sur la piste rappelle à l’équipage qu’il doit exécuter la liste de vérifications d’alignement, et il est particulièrement fréquent après des interruptions.

Par exemple, il est fort probable que l’équipage du CRJ ait eu l’intention d’exécuter la liste de vérifications au roulage après avoir éclairci les directives de roulage. En fait, le commandant de bord avait d’abord demandé au copilote d’exécuter la liste de vérifications au roulage au moment où l’aéronef avait commencé à se déplacer, mais il l’avait subséquemment interrompu afin d’obtenir des éclaircissements sur le chemin à suivre au roulage. Dans le cas de scénarios d’interruptions comme celui-ci, l’esprit peut créer de faux souvenirs basés sur des expériences antérieures. C’est ainsi que, au moment de l’exécution de la liste de vérifications avant décollage, il se peut que l’équipage se soit faussement « souvenu » avoir exécuté la liste de vérifications au roulage. Ce faux souvenir aurait été créé en raison des centaines d’autres vols où, à ce moment-là de la procédure de décollage, la liste de vérifications au roulage avait déjà été exécutée.

Ce concept est connu sous le nom de confusion de la mémoire source. Les êtres humains sont particulièrement vulnérables à ce phénomène lorsqu’ils sont interrompus ou pressés, variables qui étaient présentes dans le cas des deux équipages.

Une autre faiblesse des êtres humains liée à la mémoire est qu’ils ne sont généralement pas très aptes à se rappeler d’exécuter une tâche qu’ils ont remis à plus tard. Ce phénomène est connu sous le nom d’erreur mémoire prospective. On omet souvent d’exécuter une tâche différée, à moins qu’une indication évidente ne vienne nous rappeler de le faire, comme l’alarme sonore de « configuration des volets ». Voici un autre exemple : lorsqu’un contrôleur demande à un pilote de l’aviser lorsqu’il reprendra la route directe après s’en être écarté en raison des conditions météorologiques, le pilote oubliera souvent d’accomplir cette tâche différée jusqu’à ce que le contrôleur l’interroge.

Il est évident que les deux copilotes avaient décidé de reporter la sortie des volets et qu’ils ont subséquemment oublié d’effectuer cette tâche différée. L’alarme sonore de « configuration des volets » a rappelé à l’ordre l’équipage du CRJ, mais l’équipage du DC-9 n’a pas eu cette chance.

Menaces liées à la tendance à l'anticipation
Une autre menace qui pesait sur le poste de pilotage du CRJ et du DC-9 est connue sous le nom de tendance à l'anticipation. En termes simples, la tendance à l'anticipation consiste à « voir » ce que vous vous attendez à voir, même lorsque cette chose n’est pas là. Dans le cas du décollage du CRJ, le dernier élément de la liste de vérifications d’alignement consiste à s’assurer que le message d’avis « CONFIGURATION DE DÉCOLLAGE OK » apparaît sur l’écran d’affichage. Ce message confirme entre autres que les volets sont correctement sortis. Même si ce message n’a pas été affiché, dans son témoignage après l’incident, le copilote a déclaré qu’il « pensait » l’avoir vu.

Il est difficile de comprendre une telle aberration, mais il existe une explication plausible. L’expérience a conditionné le copilote. Puisque ce dernier a toujours vu le message « CONFIGURATION DE DÉCOLLAGE OK » affiché au moment où il arrivait sur la piste en service, en raison de ce taux de réussite de cent pour cent de l’affichage, il se peut que la tendance à l'anticipation lui ait fait croire que ce message était présent. Le copilote n’a peut-être jeté qu’un coup d’oeil à l’écran d’affichage et la tendance à l'anticipation lui a fait « voir » ce qu’il s’attendait à voir.

Menaces liées au manque de discipline dans l’exécution des listes de vérifications
Les aéronefs et les procédures comportent de multiples niveaux de défense qui ont pour rôle d’empêcher l’aggravation d’erreurs. L’enregistrement du CVR du DC-9 se termine par le son du vibreur de manche, un autre dispositif qui ajoute un niveau de défense. Normalement, un équipage qui reçoit un avertissement du vibreur de manche abaisse le nez de l’avion et augmente la poussée pour faire accélérer l’aéronef. Dans le cas du DC-9 cependant, comme l’équipage n’était pas conscient du manque de portance de l’avion, il a supposé que le vibreur de manche avait été déclenché par un cisaillement du vent, et il a cabré davantage l’aéronef. Cette décision, qui devait être prise très rapidement, n’était pas sans fondement, car l’ATIS avait signalé la présence de cisaillement du vent à basse altitude. L’enquête subséquente a toutefois révélé que le cisaillement du vent n’était pas en cause.

Ainsi, même si le dispositif d'avertissement de décrochage a bien fonctionné, la protection offerte par ce mécanisme de défense intégré a été annulée par la perception erronée du commandant de bord des effets du cisaillement du vent. Ce résultat met en évidence l’extrême importance du niveau de défense qui précède immédiatement celui de l’aéronef — le niveau humain. Il révèle également de quelle façon l’erreur humaine et ses limites peuvent facilement neutraliser de multiples niveaux de défense fiables.

Tout comme les systèmes de défense des aéronefs, les systèmes de défense des êtres humains fonctionnent au moyen d’algorithmes sophistiqués. Dans le poste de pilotage, l’un de ces algorithmes est la liste de vérifications.

Selon le rapport d’accident, tout porte à croire que le commandant de bord du DC-9 n’a pas demandé l’exécution des listes de vérifications au roulage et avant le décollage conformément aux SOP. En ne suivant pas les protocoles normalisés des listes de vérifications, le commandant de bord est devenu dépendant du copilote pour s’assurer que les procédures nécessaires étaient exécutées. À cause de cet écart aux SOP, on peut concevoir que le copilote se soit senti bombardé de tâches. Il devait à la fois obtenir la nouvelle information ATIS, confirmer les données de décollage, s’acquitter de ses fonctions normales et penser à exécuter les listes de vérifications que le commandant de bord avait oublié de lui demander.

De plus, en confiant au copilote l’entière responsabilité des listes de vérifications, le commandant de bord s’est trouvé à annuler un facteur de sécurité critique à deux volets que comprend normalement une liste de vérifications. La procédure correcte prévoit qu’un pilote annonce une liste de vérifications en fonction de la phase du vol et du pilote qui est aux commandes. Comme mesure de sécurité, si le pilote chargé d’annoncer une liste de vérifications omet de le faire, l’autre pilote doit l’interroger à ce sujet. En confiant à un seul pilote la responsabilité d’annoncer les listes de vérifications, on prive l’équipage de cette mesure de sécurité critique.

Un commandant de bord peut transférer passivement ou activement la responsabilité d’exécuter une liste de vérifications. Il peut le faire activement en disant au copilote d’« exécuter les listes de vérifications à sa guise », ou il peut le faire passivement en laissant un copilote trop confiant se charger d’exécuter les listes de vérifications à sa guise sans en recevoir l’ordre. Dans les deux cas, il s’agit d’une pratique inacceptable, car elle compromet grandement un niveau de défense critique. Les deux pilotes doivent conserver leur part de responsabilité pour s’assurer que les listes de vérifications sont correctement exécutées.

Saturation cognitive
Il convient également d’aborder la question du maintien du « silence en poste de pilotage ». Les capacités du cerveau humain sont étonnantes mais, comme dans le cas d’un ordinateur, chaque tâche à accomplir et chaque variable à traiter exige un effort cognitif. Lorsque ces efforts dépassent les capacités de traitement du cerveau d’une personne, il peut arriver que cette dernière soit incapable de percevoir ou de comprendre toute nouvelle information.

On appelle cette situation la saturation cognitive et, lorsqu’elle survient, l’exécution d’autres tâches est impossible. Le simple fait d’ignorer une conversation non pertinente demande un effort mental, ce qui peut compromettre la sécurité. Par exemple, en prêtant l’oreille à un commandant de bord qui lui confie ses projets pour la fin de semaine, un copilote peut être victime de confusion de la mémoire source, ce qui peut lui faire croire à tort qu’il a exécuté une liste de vérifications.

S’il est vrai que les conversations informelles favorisent la création de liens entre les membres d'équipage, de telles conversations doivent néanmoins respecter les limites cognitives et les avantages en matière de sécurité que comporte la conformité à la réglementation sur le silence en poste de pilotage.

Stratégies d’atténuation
Ces menaces représentent des faiblesses inhérentes associées à l’environnement dans le poste de pilotage et aux professionnels qui mettent tout en oeuvre pour travailler de façon impeccable dans cet environnement. Malheureusement, un manquement ou un écart mineur aux SOP peuvent mettre en danger l’équipage et les passagers. Individuellement, certaines infractions peuvent sembler sans conséquence — un exposé avant roulage incomplet ou une infraction mineure à la règle du silence en poste de pilotage. Cependant, si on les combine à la perte d’autres niveaux de protection qu’ignore parfois l’équipage, la marge de sécurité peut vite s’éroder et le risque d’accident peut augmenter.

En présence de menaces, les pilotes professionnels veulent savoir comment les contrer. Les stratégies d’atténuation suivantes décrivent des techniques éprouvées pour surmonter les limites humaines normales pouvant provoquer l’érosion des marges de sécurité :

  • Reconnaître que des interruptions peuvent influencer le comportement humain et provoquer une importante érosion des marges de sécurité. Les interruptions sont des menaces; on doit les considérer comme des éléments précurseurs d’accidents et les traiter avec précaution.
  • Surmonter toute défaillance potentielle de la mémoire en avisant clairement son partenaire de vol si des interruptions ou toute nécessité opérationnelle exigent le report d’une liste de vérifications. Ce faisant, verbaliser également un plan spécifique décrivant en détail quand la tâche retardée sera exécutée. Cette mesure peut permettre à l’autre membre d’équipage de confirmer que la tâche sera exécutée.
  • Comprendre que la mémoire est très influencée par les repères. Un aide-mémoire reconnu par les deux membres d’équipage peut servir de rappel pour l’exécution d’une tâche différée.
  • En cas d’interruption pendant l’exécution d’une liste de vérifications, passer en revue tous les points de la liste. Cette mesure réduit grandement la probabilité de succomber à la confusion de la mémoire source.
  • Pour surmonter la tendance à l'anticipation, utiliser la technique de confirmation dire-regarder-toucher. Par exemple, lors de la confirmation de la sortie des volets, pendant l’exécution d’une liste de vérifications, dire quel devrait être le degré de sortie, regarder l’indicateur de position des volets et toucher le levier volets. L’intégration de multiples perceptions sensorielles permet d’atteindre un niveau supérieur d’attention aux tâches.
  • Prendre son temps. Se dépêcher constitue la principale cause des défaillances liées aux facteurs humains, notamment celles associées aux tâches répétitives.
  • Les listes de vérifications doivent être spécifiquement demandées par le pilote approprié conformément aux SOP. Cela permet de garantir que la philosophie de vérification et de contrôle qu’elles permettent demeure intacte, en plus d’améliorer la conscience de la situation des deux pilotes, car ceux-ci peuvent demeurer au courant de l’état de l’aéronef. Il ne faut pas promouvoir l’idée d’exécuter une liste de vérifications « à sa guise ».

Alan Dean est le chef de la sécurité du service des opérations aériennes d’une entreprise importante. Il possède également beaucoup d’expérience chez des transporteurs aériens en qualité de commandant de bord, de pilote chargé des vérifications de compétence en ligne et de gestionnaire de la sécurité aérienne. Pendant près d’une décennie, il a travaillé comme enquêteur en sécurité aérienne pour l’Air Line Pilots Association, International (ALPA).

Shawn Pruchnicki, commandant de bord de CRJ200 chez Comair Airlines, est un ancien enquêteur sur les accidents et directeur des facteurs humains pour l’ALPA, et il a participé à de nombreuses enquêtes sur des accidents. Il enseigne à l’Ohio State University où il diffuse ses connaissances sur les systèmes de sécurité, les facteurs humains et les enquêtes sur les accidents.

Références :

1. U.S. National Transportation Safety Board. Aircraft accident report: Northwest Airlines, Inc., McDonnell Douglas DC-9-82, N312RC, Detroit Metropolitan Wayne County Airport, Romulus, Michigan, August 16, 1987. NTSB/AAR-07/05.

2. Dismukes, R.K.; Berman, A.B.; Loukopoulos, L.D. The Limits of Expertise. Aldershot, Hampshire, England : Ashgate Publishing.

3. Pruchnicki, S. « Raising Awareness for All. » Professional Pilot. Volume 42, nº4 (2008) 72–74.

Date de modification :