Une idée... une suggestion ?
Votre avis m'intéresse !
   
     
   
     
   
Feu/fumées à bord
 
Première parution : Septembre 1998
©Jean Louis CHATELAIN

L'événement dramatique du vol SR111 New York Genève et son destin tragique au large de la Nouvelle Écosse dans la nuit du 2 au 3 septembre 1998 va faire l’objet d’une enquête extensive dont il n’est pas question d’en préjuger la teneur, les conclusions et recommandations.

 
 

Il est d'ores et déjà établi que des fumées ont envahi le poste de pilotage.

Il ne fait aucun doute que les autorités Canadiennes, dans ce pays de grande tradition aéronautique, auront à cœur de faire toute la lumière sur cet accident et de faire progresser la sécurité des vols par une enquête ambitieuse.

Il est extrêmement regrettable, quoiqu'en disent certains experts, que les 6 dernières minutes de vol n'aient été enregistrées par aucun des deux enregistreurs. On ne peut que le déplorer pour la compréhension de l'accident car si l'arrêt des enregistreurs ne résulte pas, à ce stade, d'une anomalie grave mais résulte du traitement normal de la check-list par l'équipage, les circonstances de la perte de contrôle seront peut-être difficiles à déterminer.

 
 
CVR du vol SR111
Laboratoire du TSB à Ottawa
DFDR du vol SR111
L aboratoire du TSB à Ottawa
 
Il est donc regrettable que sur MD11 les deux enregistreurs aient une alimentation électrique voisine. Ce n’est pas une fatalité et, à titre d’exemple, on notera que sur l’Airbus A340 l’enregistreur de conversation et d’alarmes sonores au cockpit (CVR) est sur une barre d’alimentation notoirement différente de celle de l’enregistreur de paramètres (DFDR). Ainsi dans la réalisation de la check-list "fumées" on ne déleste pas en même temps l'alimentation de chacun des enregistreurs de bord: On perdra soit l'un, soit l'autre.
 
Dans la réalisation de la check-list "fumée d'origine inconnue" sur MD11, l'équipage devra tourner l'interrupteur «smoke elec/air» dans le sens des aiguilles d'une montre vers la position «3/1 OFF» et en conséquence il déconnectera les deux enregistreurs de bord en même temps.
 
Nonobstant les conclusions de l’enquête officielle, cette catastrophe commande un réexamen de la problématique du feu ou des fumées à bord.

Les banques de données concernant les accidents appartenant à cette famille nous permettent de rappeler un certain nombre d’événements notoires dont on fera ici une exégèse.

Nous en tirerons quelques conclusions à caractère général.

Nous proposerons ensuite des réflexions sur les pratiques opérationnelles actuelles.
Quelques événements notoires
 

Les banques de données révèlent un certain nombre d’événements en rapport avec le feu à bord.

Dans la grande majorité des cas le facteur temps est déterminant dans le sens où il se passe très peu de temps entre l’apparition du feu ou de la fumée, et la véracité d’une situation de détresse : Les événements se précipitent tant du point de vue de la conduite du vol que de la navigabilité de l'avion, c'est-à-dire de son aptitude au vol.

On peut distinguer deux grandes familles : Les accidents ayant pour circonstance une perte de contrôle ( par atteinte à l’intégrité structurale de l'avion, par incapacitation de l'équipage, ou par une combinaison de ces deux causes), et ceux qui, en l’absence de perte de contrôle, se sont néanmoins traduits par de nombreuses victimes du fait du feu ou des fumées toxiques.

Les sources de fumées ou de feu sont soit d’origine accidentelle (feu électrique, feu dans le conditionnement d’air, dans le logement de train...), soit le résultat de négligences de la part de passagers (cigarettes dans les toilettes, matières dangereuses dans les bagages de soute ou en cabine, par exemple) ou dans le traitement du frêt.

Voici quelques extraits des banques de données qui font ressortir ces différentes circonstances.

 
Le 23 juin 1967, le BAC 111 (immatriculé N1116J) de la compagnie Mohawk Airlines développe un feu d’origine conditionnement d’air, alimenté par du liquide hydraulique, se propageant vers l’empennage. L’avion perd des morceaux important de son empennage. Il devient incontrôlable en tangage et s’écrase. Bilan : 34 morts sur 34 occupants.
   
Le 11 septembre 1968 la Caravelle III SE 210 (immatriculée F-BOHB) d’Air France s’abîme en mer au large du cap d’Antibes près de Nice, sur une liaison domestique d’Ajaccio vers Nice (France). Bilan : 95 morts sur 95 occupants. Un feu s’est déclaré à l’arrière de l'avion, et s’est très rapidement propagé. L’équipage technique portait son masque à oxygène. Il perd le contrôle de l'avion.
   
Le 26 juillet 1969, en route de Marseille (France) vers Hassi Messaoud ( Sahara Algérien) pour assurer la relève des pétroliers, la Caravelle SE 210 (immatriculé 7T-VAK) d’Air Algérie développe un incendie d’origine électrique (probablement au niveau des batteries de bord). Alors que l’avion survole le massif de l’Atlas, de nuit, la situation en cabine devient très vite incontrôlable et le Commandant de bord décide un atterrissage forcé, en campagne. L’avion s’immobilise et les deux pilotes évacuent par les issues de secours du cockpit. Impuissants, ils ne verront personne d’autre évacuer l'avion. Il est vraisemblable que les passagers et le mécanicien navigant ont été asphyxiés ou victimes d’émanations gazeuses incapacitantes. Bilan : 35 morts sur 37 occupants.
   
Le 11 juillet 1973 un Boeing 707 de la compagnie Varig (immatriculé PP-VJZ) termine sa descente en vue d’un atterrissage à Orly (France). L’équipage contacte le contrôle d’approche et signale un problème de feu à bord. Autorisé à faire une approche directe pour la piste 07,la situation se dégrade rapidement (fumées au cockpit, passagers intoxiqués). L’équipage s’équipe de masques à oxygène et le Commandant de bord décide un atterrissage forcé (il ne s’est passé que 5 minutes depuis l’apparition du feu), car la fumée ne permet plus de lire les instruments. Le 707 s ‘immobilise 5 km avant la piste, fuselage intègre. Seuls 10 occupants, tous membres d’équipage, évacuent. Lorsque, 6 minutes plus tard, les secours atteignent l'avion, le feu passe à travers le dessus du fuselage. Seuls 4 occupants inconscients peuvent être évacués, dont un seul survivra. Bilan : 123 morts sur 134 occupants. L’enquête établit que les occupants de la cabine passagers étaient empoisonnés, à des degrés divers, par du monoxyde de carbone et d’autres produits de combustion.
   
Le 3 novembre 1973 un Boeing 707 des Pan American Airways (immatriculé N458PA), vol cargo de New-York à Prestwick, perd le contrôle et s’écrase en approche vers l’aéroport de Boston-Logan. Bilan : 3morts sur 3 occupants. Le cockpit s’est empli de fumées et l'équipage a dérouté vers Boston. La fumée épaisse a mis l'équipage en état d’incapacité. La source de fumée est probablement dans les marchandises dangereuses transportées (fuite d’acide, emballage non conforme).
   
Le 26 novembre 1979 le Boeing 707 C des Pakistan International Airlines, (immatriculé AP-AWZ), transportant des pèlerins de Jeddah (Arabie Saoudite) vers Karachi (Pakistan), s’écrase à la suite d’un feu ayant démarré à l’arrière de la cabine passagers . L’équipage a été en état d’incapacité physique. Il ne s’est écoulé que 16 minutes entre l’apparition du feu et l’écrasement. Bilan : 156 morts sur 156 occupants. Cause du feu : Soit un réchaud à essence transporté par un pèlerin, soit, moins probablement, un feu d’origine électrique.
   
Le 19 août 1980 un Lockheed L-1011Tristar 200 de la compagnie Saudia, (immatriculé HZ-AHK) décolle de Riyadh vers Jeddah et 6 minutes après le décollage une alarme sonore et visuelle signale un feu en soute arrière. Durant le demi tour en vol vers Riyadh la situation se dégrade très rapidement : Feu en cabine, panique à bord, commande de poussée du moteur central bloquée...Néanmoins l'avion atterrit. Le Commandant de bord ne déclenche pas l’évacuation immédiatement et dégage la piste pour rejoindre un taxiway.. 6 minutes plus tard les moteurs sont coupés mais aucune évacuation ne se produit. Les secours mettront 20 minutes avant de pouvoir ouvrir une porte, et ne pourront que constater l’embrasement de la cabine. Bilan : 301 morts sur 301 occupants.
   
Le 2 juin 1983 un McDonnell Douglas DC-9-32 d’Air Canada (immatriculé C-FTLU), en croisière entre Dallas et Toronto, développe un feu d’origine indéterminée dans les toilettes arrières. La communication entre l’avant et l’arrière de l’avion est imparfaite et l’équipage tarde à prendre conscience de la gravité de la situation. Ce n’est que 13 minutes après l’événement initial qu’un message de détresse Mayday est envoyé. Le vol est dérouté vers Cincinatti. L’atterrissage d’urgence sur la piste27L intervient 36 minutes après l’événement initial. Les services de lutte contre l’incendie n’arrivent pas à maîtriser le feu. Bilan : 23 morts sur 46 occupants.
   
Le 31 mars 1986 le Boeing 727-200 de la compagnie Mexicana, (immatriculé XA-MEM) en route de Mexico vers Puerto Vallarta, en phase de croisière, et à la suite d’une surchauffe du frein gauche du train principal, a un pneu qui éclate. Il s’ensuit une rupture des conduits hydrauliques et de kérosène et un énorme incendie se développe à bord. L’équipage perd le contrôle de l'avion qui va s’écraser dans la Sierra Madre. Bilan : 167 morts sur 167 occupants.
   
Le 2 juillet 1986 le Tupoleev 134 de la compagnie Aeroflot (immatriculé SSSR-65120) est conduit à un atterrissage forcé dans une forêt de Sibérie près de Syktyvkar. Le feu a pris source dans un bagage situé dans la soute arrière. Bilan : 54 morts sur 94 occupants.
   
Le 9 mai 1987 l’Ilyushin 62 de la compagnie Polonaise LOT (immatriculé SP-LBG) décolle de Varsovie en route pour New York. En phase de montée, le disque de turbine du moteur 2 casse. Des débris traversent le fuselage et engendrent un feu en soute cargo. La commande de profondeur est endommagée. L’équipage pense à tort que le feu est maîtrisé, et retourne vers Varsovie au lieu de retenir l’aéroport proche de Modlin. Le feu cause la perte de contrôle longitudinal de l'avion et celui-ci s’écrase à grande vitesse 31 minutes après l’événement initial. Bilan : 183 morts sur 183 occupants.
   
Le 28 novembre 1987 un B747 des South African Airways (immatriculé ZS-SAS), est de retour de Taïpeh (Taïwan) en route vers l'Afrique du Sud. C’est un avion combi, c'est-à-dire avec soute cargo au pont principal, derrière la cabine passagers. Un feu a démarré dans cette zone cargo. Le Commandant de bord signale ce feu au contrôle d’approche de l’île Maurice et entreprend une descente d’urgence. C’est le dernier message émis. Il apparaît que la situation s’est rapidement dégradée. L’avion se trouve en perte de contrôle et se rompt en vol. Bilan : 159 morts sur 159 occupants. Il n’a pas été possible de déterminer l’origine du feu. Hypothèses retenues par l’enquête :
1 - Le feu a mis l'équipage en état d’incapacité physique.
2 - Le feu a désorienté l'équipage du fait de l’épaisseur de la fumée.
3 - Le feu a accaparé l'équipage et l’a distrait de la conduite de la trajectoire.
4 - Le feu a atteint l’intégrité de la structure de l'avion ce qui a causé la désintégration en vol.
5 - Le feu a endommagé des câbles de commandes de vol.
6 - Le feu a entraîné une déformation du fuselage causant la perte de contrôle.
 
1 -
Le feu a mis l'équipage en état d’incapacité physique.
2 -
Le feu a désorienté l'équipage du fait de l’épaisseur de la fumée.
3 - Le feu a accaparé l'équipage et l’a distrait de la conduite de la trajectoire.
4 - Le feu a atteint l’intégrité de la structure de l'avion ce qui a causé la désintégration en vol.
5 - Le feu a endommagé des câbles de commandes de vol.
6 - Le feu a entraîné une déformation du fuselage causant la perte de contrôle.
   

Le 11 Mai 1996 un Douglas DC-9 32 de la Compagnie Valuejet (immatriculé N904VJ) s’écrase dans le parc des Everglades (Floride). Il n’y a que dix minutes qu’il a décollé de l’aéroport international de Miami. Des générateurs d’oxygène chimique sont indûment transportés, mal conditionnés (sans bouchons protecteurs), dans une soute de classe D, sans système de détection de fumée ou d’incendie. L’équipage n’est pas informé de ce transport de matières dangereuses (le manifeste mentionne des « boîtes » à oxygène vides). Un bruit en soute alerte l'équipage; 12 secondes plus tard des anomalies électriques surviennent, puis 5 secondes après le Commandant de bord dit « nous perdons tout ». Le retour d’urgence vers Miami est décidé mais l'équipage perd le contrôle de l'avion : les câbles de commandes de vol et de contrôle des moteurs sont touchés par l’incendie. Environ 3 minutes 30 après le bruit en soute l'avion percute à très grande vitesse, sur une trajectoire verticale, et creuse un cratère dans un marais des Everglades. Le destin des 105 passagers et des 5 membres d’équipage est scellé.

On dénombre aussi plusieurs cas de destruction totale accidentelle d’un avion au sol par incendie. Les causes en ont été des courts-circuits électriques, et récemment on a observé un cas de surchauffe de pompe hydraulique. Les avions étaient peu surveillés alors qu’ils étaient en stationnement ou en opérations de maintenance.

   
Prévenir plutôt que guérir
 

C’est bien entendu un pilier du transport aérien.

La certification des avions de ligne n’est actée par les autorités aéronautiques que s’il est démontré, par des études de sécurité, que la probabilité d’occurrence d’un dommage potentiellement catastrophique est inférieure à 10-9 (un sur un milliard).

Ainsi, par exemple, les carters des moteurs sont-ils conçus pour contenir les graves dommages (en particulier les ruptures de disques de turbine); les circuits électriques sont isolés, ségrégués, protégés contre les surtensions, les surintensités ; les servitudes électriques sont individuellement protégées par disjoncteur ; les circuits hydrauliques sont ségrégués des sources de chaleur et ils sont refroidis etc. ... D’une manière générale la construction aéronautique n’a pas attendu la norme ISO 9000 pour pratiquer l’assurance qualité.

Le transport de matières dangereuses est soumis tant par la réglementation que par les pratiques effectives à des conditions très restrictives : Matières interdites, quantités limitées, conformité des emballages, compatibilité, etc.

Lorsque l’exploitation révèle une anomalie remettant en cause les hypothèses de certification, le suivi de la navigabilité par les constructeurs et les autorités aéronautiques conduit à mettre en place les correctifs adéquats : Les "Service Bulletins" des Constructeurs sont éventuellement traduits en Consignes de Navigabilité, d'application règlementaire, etc.

Lorsque la probabilité d’occurrence d’un événement potentiellement catastrophique est supérieure à 10-9 alors la navigabilité des avions repose sur la mise en oeuvre d’une surveillance des systèmes de bord, associée à des procédures ayant pour objet de faire en sorte que les conséquences de l’événement ne soient pas catastrophiques : Les circuits et les différentes zones de l'avion sont surveillés par des alarmes sonores et visuelles (ceci concerne notamment les anomalies électriques, hydrauliques, les fumées dans les soutes, les feux "moteur", les fumées dans les toilettes, les surchauffes hydrauliques, les températures des freins excessives ou les feux de train, etc.). En cas d’alarme, il faut "reconfigurer" les systèmes s’ils ne sont pas reconfigurés par les logiques automatiques, et l’équipage doit alors réaliser les procédures et check-lists d'urgence ou de secours prévues.

S’agissant de prévenir les conséquences d’un feu, beaucoup de matériaux du bord sont ignifugés. Néanmoins des progrès sont encore à faire car, aujourd’hui encore, il y a toujours des risques d’émanations toxiques.

Dans le transport aérien de cette fin de siècle, dont les résultats en matière de sécurité des vols en font de très loin le moyen de transport le plus sûr, quels sont, s'agissant du risque de feu, les défauts du système ?

Le vieillissement des avions, de leur structure mais aussi de leurs circuits en est un : L’accident du vol TWA 800 au large de Long Island en 1996 a révélé une famille de défauts sur certains composants électriques (vieillissement ou usure des gaines de protection...).

La fabrication sur un marché parallèle de pièces de rechange à bon marché mais ne répondant pas aux spécifications de la construction aéronautique est une préoccupation majeure des autorités Américaines, Européennes, et de l’OACI.

La pression économique qui pousse les exploitants à sous-dimensionner la formation des personnels, à ne plus ajouter de marges par rapport aux exigences réglementaires, et qui rend l’application des procédures opérationnelles et de maintenance plus difficile à mettre en œuvre correctement, est un facteur qui globalement dégrade le niveau de sécurité.

Ainsi, lorsque l’événement feu ou fumée à bord survient, l'équipage est prévenu soit par une alarme soit par une observation directe du phénomène et doit entreprendre la procédure adéquate

Traitement des procédures fumées
par l'équipage
 

Sur les avions modernes, Les Airbus et les Boeing de dernière génération, des détecteurs de fumée se trouvent dans les soutes cargo, dans la soute électronique, dans les toilettes de bord en sus des classiques détecteurs de feu sur les moteurs ou le groupe auxiliaire (APU). (Sur MD11 on remarque qu’il n’y a pas de détecteurs de fumée dans une zone aussi névralgique que la soute électronique).

Des alarmes sonores sont générées de manière centralisée au cockpit, et localement s’agissant des toilettes. Des extincteurs peuvent être commandés par l'équipage technique pour éteindre des feux sur les moteurs ou dans les soutes. Des extincteurs automatiques éteignent les feux de poubelle dans les offices et dans les toilettes. L’équipage commercial intervient directement sur les feux en cabine à l’aide d’extincteurs.

La philosophie des procédures est commune aux différents constructeurs : D’abord, arrêter l’émanation de fumée et le feu, ensuite, procéder à une évacuation de la fumée.

Dans tous les cas où la source du feu ou de la fumée est identifiée, une procédure spécifique est réalisée : Elle consiste à intervenir directement sur le système ou la partie de l'avion en cause.

La procédure amène l'équipage à couper le système, le circuit, ou l’équipement en défaut, puis, si nécessaire, il procède à une évacuation de la fumée.

Lorsque la source de fumée est d’origine inconnue, la check-list amène l'équipage à faire une recherche du système en défaut en coupant certains circuits ou composants de circuits, puis à attendre pour voir le résultat produit (la fumée diminue..... ou ne diminue pas). Il s’agit d’une procédure longue, et l'équipage doit faire preuve de patience de manière à conclure de façon sûre, car il ne sera pas toujours évident d’observer l’évolution de l’ampleur de la fumée.

Note: Trois semaines après l'accident du vol Swissair 111 il est établi que l'équipage avait entrepris la check-list " feu/fumée d’origine indéterminée".

Lorsque plusieurs check-lists fumées coexistent (l’une pouvant être orientée sur le conditionnement d’air, l’autre sur le circuit électrique), le choix de la bonne check-list n’est pas toujours évident ou peut être source d’erreurs.

  Une seule check-list devrait couvrir
la partie commune à toutes les procédures
 

Les deux sources principales de fumée qui font l’objet d’une recherche de défaut sont en effet le circuit de conditionnement d’air, ou les circuits électriques.

S’agissant du conditionnement d’air, les procédures prévoient de couper les ventilateurs d’aération de cabine, les ventilateurs de recirculation d’air, et de couper un par un les groupes de conditionnement d’air.

S’agissant des circuits électriques, les philosophies semblent diverger d’un avion à l’autre, selon qu’il est bimoteur, trimoteur, quadrimoteur, et selon qu’il est plus ou moins dépendant de la génération électrique (cas des avions modernes). Certaines procédures (comme sur MD11 ou A340) ont pour philosophie de supprimer le couplage des alternateurs, puis de couper alternativement la distribution électrique associée à chaque alternateur (McDonnell) ou à la moitié du réseau (Airbus). Sur les Boeing de première génération, comme le B747 "classique", le principe de la procédure est de ne plus alimenter que ce que l'équipage considère comme circuit essentiel à la conduite sûre de l'avion; enfin sur d’autres types d’avion la philosophie est de couper alternativement la distribution normale et la distribution essentielle. On ne peut que relever ici l'approche de Boeing concernant la fumée d'origine électrique sur B747-400, et qui ne préconise, si la source des fumées n'est pas identifiée, que des délestages électriques, sans recherche de défaut.... Que penser de cette procédure qui conseille seulement de rejoindre l'aérodrome le plus proche lorsque l'on est éloigné de celui-ci de plusieurs heures et que la fumée perdure?!

La part de l’électrique et de l’électronique est très importante sur les avions de dernière génération : Les secours mécaniques sont limités et parfois inexistants. Sur ces appareils, il semble que les constructeurs soient réticents à ce que l’on réduise de manière extrême la distribution électrique. Ce serait alors dégrader sérieusement la capacité des systèmes et, sur les avions à commandes de vol numériques, dégrader les qualités de vol: Perte des fonctions d’augmentation du domaine de vol, perte de nombreuses protections etc...

Et pourtant ? Ne devrions-nous pas reconsidérer les risques et envisager a priori une alimentation électrique minimale (essentielle) dès l’apparition de la fumée, afin d’augmenter la probabilité de coupure de l’équipement en défaut ?

Sur avions équipés de générateur électrique de dernier secours, comme par exemple sur MD11, sur Concorde, ou sur tous les Airbus de dernière génération, ne devrait-on limiter la génération électrique à ce seul générateur, dès le début de la check-list ?

Sur MD11 la procédure en vigueur amène à couper un par un les alternateurs et les groupes de conditionnement d’air. Serait-il déraisonnable d’en couper deux à la fois et de n’en laisser qu’un en service ?

Ces questions méritent d’être posées aux constructeurs et aux autorités de certification.

En général les délestages électriques se traduiront par une diminution de l’éclairage au cockpit, qui pourra se réduire à un ou deux plafonniers, ce qui compliquera la tâche des équipages.

S’agissant des alarmes en soute électronique sur avion Airbus, la philosophie consiste à forcer la ventilation vers l’extérieur de l'avion.

Bien que les équipages soient entraînés de manière très réaliste sur les simulateurs de vol les plus modernes (avec génération de fumées réelles à base de paraffine), les procédures sont longues, et très difficiles à réaliser.

Elles commencent pour l'équipage par le port du masque à oxygène à pose rapide, et par le port des lunettes antifumées. Sur les avions récents un seul équipement — masque dit « full face »— fait office de masque et de lunettes, avec un harnais pneumatique s’ajustant automatiquement. Il est déplorable de voir encore certains avions gréés avec les anciens équipements qui sont difficiles à mettre en place sur le visage, peu ergonomiques, limitant indûment le champ de vision, et d'une médiocre étanchéité.

  Un "rétrofit" des anciens avions en masques "full face"
devrait être rendu obligatoire
.
 

Les membres d’équipage communiquent alors par Interphone, ce qui dégrade quelque peu la qualité des communications. La vision périphérique se trouve elle aussi dégradée. La moindre transpiration (qui est favorisée par le stress) produit de la condensation dans le masque ou les lunettes et altère la vision.

Le port du masque et des lunettes, la diminution éventuelle de la visibilité à l’intérieur du cockpit, l’altération des communications (intelligibilité, identification de l’émetteur, bruit de respiration amplifié par l’Interphone...), le stress de la situation, dégradent aussitôt les capacités cognitives des équipages.

Dans ce contexte on attend de l'équipage un traitement académique de la check-list de secours. En effet, la prise en compte des facteurs humains depuis les années 80 et le souci louable de prévenir l'erreur humaine se traduit par un formalisme dans la réalisation des actions liées aux check-lists. Chaque action qu’un membre d’équipage doit faire est validée par l’autre : Il y a contre vérification systématique ("cross-check" en Anglais), afin de prévenir une erreur éventuelle.

Ce type de traitement rallonge évidement le temps de réalisation de la procédure.

Ce choix est-il opportun ?

On distingue en effet deux types de traitement des procédures :

 
D’une part, les procédures de secours, concernant de très nombreuses procédures, dans lesquelles on prend le temps de réaliser les actions et qui sont empreintes du formalisme dont on vient de parler ci-dessus, dans le but de prévenir l’erreur humaine.
   
D’autre part, les procédures d’urgence, dans la réalisation desquelles le facteur temps est important, et qui consistent donc en la restitution rapide par l'équipage d’actions mémorisées ? Pour ces dernières, la lecture de la check-list se fait a posteriori.
   
 

Il est donc curieux de constater que, s’agissant des procédures «fumées», on ne privilégie pas le facteur temps par rapport au facteur humain.

Un premier réexamen des procédures en vigueur consiste à poser la question du principe de traitement de la procédure : Doit-on conserver ce type de traitement ou doit-on, en cas de feu ou de fumée, adopter un traitement d’urgence avec la réalisation de mémoire de certains items de check-list, comme il est pratiqué dans d’autres procédures, telles que la descente d’urgence, ou la réponse à une alarme du GPWS (avertisseur de proximité du sol) ?

  Faire vite est essentiel. Il y a plus à craindre du feu que de l’homme.
 
Ainsi que l’a conceptualisé le psychologue Danois Rasmussen, l’opérateur humain est aussi capable d’un mode de fonctionnement autre que ceux basés sur les procédures. Le mode de fonctionnement basé sur les connaissances profondes permet de faire face aux situations complexes d’anomalies multiples, il permet de hiérarchiser les priorités, de raisonner par analogie ou en logiques floues etc...

La prise en compte du seul aspect négatif du facteur humain, c'est-à-dire de l’erreur humaine, est regrettable.

On devrait réaliser de mémoire les premiers items des check-lists de fumées : masques à oxygène et lunettes bien sûr (on fait déjà ainsi), mais aussi coupure des ventilateurs, coupure d’une partie de la distribution électrique, d’une partie du conditionnement d’air.

Mieux, les constructeurs pourraient étudier l’installation dans le cockpit d’un interrupteur unique permettant à l'équipage d’un seul geste de mettre les systèmes en configuration d’alimentation électrique et de conditionnement d’air minimaux, à la suite de quoi les équipages pourraient, éventuellement, et prudemment, rétablir les différentes alimentations des systèmes une à une.

Enfin, il importe d’améliorer la détection et la localisation de la source des fumées ou du feu :
La multiplication et la distribution adéquate de capteurs (détecteurs de fumées, de surchauffe...) doit être reconsidérée par l’industrie. Il y a un certain anachronisme sur les avions modernes à entreprendre des check-lists «fumée d’origine indéterminée».

S’agissant de la conduite du vol, les nombreux cas de perte de contrôle ci-dessus évoqués militent pour un choix immédiat et conservatoire de déroutement vers le terrain adéquat le plus proche, au besoin en effectuant une procédure d’atterrissage en surcharge.

Sur les parcours océaniques, donc suffisamment éloignés d’un terrain de déroutement, la décision d’amerrissage, procédure à haut risque, devra être envisagée avant que la situation ne devienne incontrôlable...
En tout état de cause il faut remarquer que , même lors d'un survol continental, il faut compter environ 15 minutes pour qu'un avion en vol de croisière ne puisse rejoindre et atterrir sur un aérodrome proche....

Ceci implique que l'équipage aura peut-être à traiter successivement, et parfois de manière parallèle, plusieurs procédures: La procédure liée au feu, une éventuelle procédure d’évacuation de fumées, la procédure d’atterrissage en surcharge, voire d'amerrissage, et les procédures normales de vol en vue de la descente, de l’approche et de l’atterrissage.

Bien sûr il s’agit d’une situation à risque du point de vue de l’erreur humaine, la charge de travail étant énorme pour un équipage à deux pilotes, mais le feu n’est-il pas une situation de plus grand risque ?

Ici, il faut considérer le facteur humainsous son aspect positif car l’homme a l’avantage sur l’ordinateur de pouvoir fonctionner en mode créatif, pour le pire, peut-être, mais aussi pour le meilleur comme l’ont montré plusieurs événements du transport aérien (accident du DC10 de Sioux City par exemple).

Sur les avions de dernière génération le savoir faire en pilotage avec les seuls paramètres bruts de trajectoire et sans les automatismes s’émousse, et, s’agissant des jeunes pilotes, est parfois moins consistant que pour les pilotes plus anciens qui ont accumulé des milliers d’heures de vol avec des instruments classiques. Or, précisément, le traitement des procédures feu fumées va conduire au pilotage des paramètres bruts, sans automatismes, et en « panneau partiel », c'est-à-dire avec seulement une partie de l’instrumentation de pilotage. La difficulté sera accrue du fait du port du masque et des lunettes comme il a été dit plus haut.

Dans ce contexte, le pilote aux commandes est exposé au risque de perte de contrôle de la trajectoire.

Sur les avions modernes, il importe donc de mettre davantage l’accent, dans les programmes d’entraînement basiques et récurrents des équipages, sur le pilotage à l’aide des « raw data » et sur la récupération des attitudes inusuelles.

Mais aujourd'hui il est difficile d'accepter l'idée qu'un équipage ait à entreprendre une check-list "feu/fumée d'origine indéterminée". Une telle procédure, ainsi qu'il a été vu, est longue. On se doit de mettre l'emphase sur le fait qu'elle est potentiellement inefficace. En effet, la coupure, de manière aléatoire, d'une partie de l'alimentation électrique traduit l'acceptation du facteur chance et du risque de laisser propager le feu ou les fumées si la malchance a voulu que le système en défaut soit sur la partie non déconnectée du circuit électrique.

L'époque est venue, et c'est le prix à payer pour le progrès aéronautique, pour que l'industrie aéronautique conçoive un système qui permette de localiser précisément et rapidement la source du feu ou de la fumée, de manière à ce que l'équipage soit rapidement informé et puisse (avec l'aide de la technologie moderne) déconnecter instantanément le circuit fautif: Les Autorités devraient réviser les règlements de navigabilité et, par exemple, demander aux constructeurs de disposer le nombre de capteurs qui convient tout au long des circuits électriques et de conditionnement d'air pour détecter le moindre départ de feu ou de fumée.

Seule l’enquête exhaustive entreprise par les autorités Canadiennes permettra, lorsqu’elle sera terminée, d’avoir une relative compréhension des événements, et seulement alors sera-t-il peut-être possible d’émettre un avis sur les options prises par l'équipage du vol SR 111... Il faudra, comme il se doit, impérativement déconnecter la réflexion de sécurité de toute connotation de jugement.

Les pilotes du vol SR 111 ont eu à faire face à la situation la plus redoutée par la communauté internationale des Pilotes de Ligne : Le feu à bord.

Les quelques idées avancées ici ne veulent que contribuer à la réflexion de sécurité et à la démarche de prévention qui fait suite à tout accident aérien.
Cockpit Resource Management
et Compétence en Pilotage
 
Où en sommes-nous?
Quel est l'effet de la formation aux facteurs humains
sur les indicateurs de sécurité?


Edition : mars 1998
©Jean Louis CHATELAIN
  Les opinions exprimées ici sont personnelles et ne reflètent pas nécessairement
celles des entreprises ou organisations avec lesquelles l'auteur collabore.
 
Il y a maintenant une quinzaine d'années que les principaux exploitants Anglo-saxons ont mis en oeuvre une doctrine sur les facteurs humains, avec formation des équipages à la clé.

Les dernières "Majors" du monde occcidental et du continent Asiatique ont suivi. Aujourd'hui les règlementations imposent une formation, initiale et récurrente, aux facteurs humains.

A l'époque où la démarche fut entreprise, l'attaque frontale contre le facteur humain, dans le continuum des facteurs causaux de l'accident aérien, était considérée comme la "nouvelle frontière" du système de prévention.

Aujourd'hui la question mérite alors d'être posée:

Les espérances de progrès ont-elles abouti ?

Il serait insultant pour la communauté aéronautique et pour les chercheurs en sciences comportementales ou cognitives de soutenir ici que les formations aux facteurs humains n'ont pas eu un effet positif pour la sécurité des vols. Le prolongement du travail de ces brillants spécialistes se retrouve, du point de vue du risque causal "facteur humain", dans une meilleure conscience, de la part des équipages, des risques d'erreur et de leurs mécanismes. Il se situe également dans de meilleurs Standards et pratiques opérationnels.

Il est permis d'affirmer, qu'aujourd'hui, le pilote de la ligne est mieux armé face aux risques d'erreurs de routine, d'erreurs de représentation (encore que...), de défauts de communications.

Il dispose d'une culture "facteurs humains" qui peut lui permettre tant de prévenir que de limiter les conséquences des erreurs humaines.

Alors la question suivante s'impose:

Est-ce que les résultats sont à la hauteur des espérances? Et puisque la sécurité des vols se mesure, est-ce que les statistiques démontrent une amélioration significative de celle-ci?

  Je crains que la réponse ne soit négative.
 
Le taux d'accident par million de décollages semble stagner, au plan mondial, sur l'asymptote d'un accident par million de décollages. Au plan régional, à commencer par l'Occident, il ne semble pas que l'on puisse faire ressortir une amélioration quelconque.

Il est patent que des catastrophes majeures de ces dernières années (737 à Pittsburgh et à Colorado Springs, 767 de Lauda Air, 747 du TWA 800, MD11 de Swissair, Concorde à Gonesse...) replacent la question du facteur humain dans une perspective plus réaliste, à savoir que les fondements de la sécurité des vols se trouvent, essentiellement, dans la conception des avions et dans leur entretien, et ce n'est qu'en aval de ces piliers que se situent les autres fondements (en analogie avec le Modèle de Reason).

Puisque l'on a postulé que la politique "facteurs humains" (entendue au niveau de l'équipage) a eu un effet positif sur la sécurité, alors il importe de rechercher un ou des facteurs venant contrarier cette avancée.

Nous en voyons au moins deux :
   
1
Au delà de l'acteur de première ligne (l'équipage, c'est-à-dire en général un tandem de pilotes, l'un d'eux assurant et assumant la fonction de commandant de bord), on trouve un sytème dans lequel l'erreur humaine est à la fois possible ET intolérante.
 
Nous sommes encore loin du sytème idéal dans lequel l'erreur humaine n'est, certes, pas éradiquée (car elle est un régulateur des comportements et de l'apprentissage) mais où le système la tolère en prévenant les conséquences catastrophiques de celle-ci.

Or aujourd'hui des facteurs dormants sont toujours là qui permettent un nombre sensible d'erreurs potentiellement désastreuses. Citons en deux, particulièrement significatifs, et un troisième, qui illustre bien le propos:
   
La communication pilotes/contrôleurs, laquelle, sur toutes les grandes plateformes, fonctionne en mode saturé, et de manière exclusivement verbale.

Les seules règles de la phraséologie ne sont, aujourd'hui, qu'un piètre garde-fou contre l'erreur de communication.
   
La pression économique.

Celle-ci confine les budgets de formation et d'entraînement, d'entretien etc... au minimum prévu par le réglement, c'est-à-dire n'offrant que des marges minimales.

La pression sur les acteurs des opérations aériennes (conditions de travail, syndrome du hub, effets induits de l'actionnariat salarié...) réduit également les marges. On frise l'horreur économique.

... On peut citer ici la boutade: "Si les frêres Wright vivaient de nos jours, Wilbur serait contraint de licencier Orville pour réduire les coûts." (Herb Kelleher, Southwest Airlines, USA Today, 8 Juin 1994)
   
L'ergonomie des avions, qui n'est pas encore à la hauteur de ce que la technologie permet, en particulier au niveau de la représentation de l'environnement.
   
  A quand un sytème de capteurs vidéos
pour donner à l'équipage
une représentation directe de l'environnement
extérieur et intérieur à l'avion?
   
 
La dernière version de l'annexe 13 à la Convention de Chicago, qui traite de l'enquête-accidents, stipule que soit faite une analyse systémique de l'accident. Du point de vue des facteurs humains, celà implique que l'origine des défaillances humaines soit recherchée dans l'ensemble du système. Cette démarche a bien cours, de nos jours, mais il est permis de penser que les outils appropriés et performants font défaut à l'enquêteur.
   
2 La formation aux facteurs humains
a trop souvent obéré la formation classique en pilotage.
   
 
On retrouve ici la pression économique par laquelle trop souvent les ajouts de formation aux facteurs humains se sont faits à coûts constants, et donc au détriment de l'acquisition ou du maintien de certains savoirs-faire de base en pilotage.

On a déshabillé Pierre pour habiller Paul (ou plutôt, Georges!!!).

(Anthropomorphisme: Dans le jargon des postes de pilotage Georges est le prénom attribué, par les pilotes, au pilote automatique...)

Les fondamentaux, tels que piloter manuellement (par vent de travers, en approche de précision sans barres de tendance, en approche classique, freiner sans autobrake, contrôler la poussée sans automanettes...), ou tels qu'élaborer une représentation exacte de la trajectoire à l'aide des seuls paramètres bruts, sans outils de synthèse tels qu'un Navigation Display, sont de moins en moins acquis ou rafraichis lors des formations et entraînements.

Comment expliquer autrement, de la part d'équipages à jour de leurs contrôles de compétences, des pertes grossières de conscience de la situation telles que celles identifiées dans les accidents de l'A310 des Thai Airways à Kathmandu et du Boeing 757 d'American Airlines à Cali ?

Certains commentateurs seront tentés d'invoquer le manque d'airmanship, mais ce sera de peu d'effet en matière de prévention. Ces accidents doivent être compris comme appartenant à la typologie de l'accident aérien moderne.

Il importe de reconsidérer les programmes de formation et d'entraînement des pilotes sur une solide base de savoirs-faire classiques.

Les formations aux facteurs humains ne sont qu'une part de la gestion générale du facteur humain. Elles aident les pilotes à comprendre qu'ils ne sont pas des surhommes mais elles ne devraient pas remplacer ni dévaluer les fondamentaux de la compétence d'un pilote:

Boucle de pilotage sur les informations primaires, Maitrise de la trajectoire, Conscience de la situation.
Capteurs vidéo
 
Publié en 1995 chez Air France
dans la
"gazette de l'A340"

©Jean Louis CHATELAIN
  Les opinions exprimées ici sont personnelles et ne reflètent pas nécessairement
celles des entreprises ou organisations avec lesquelles l'auteur collabore.
 
Aéroport de Mexico...Il fait nuit.... Il pleut... L'horloge biologique indique qu'il est tard (à moins qu'il ne soit tôt)... Le PF roule l'avion... "ça passe ?"... La réponse du PNF installe définitivement le doute.
   
Aéroport Kennedy.... Il fait jour.... On quitte le taxiway Kilo vers la Gate 34...La New York Port Authorithy n'a toujours pas mis un coup peinture au sol pour clarifier le guidage... "Le pylône, çà passe ou çà casse ?"
   
Riad... il fait nuit (etc...!) ... l'OPL roule l'avion pour un "nose in"... Tout va bien... Non tout va mal...* Le mécanicien sol s'agite... Ouf l'avion est arrêté 30 cm avant le choc ... Ah oui, mais c'est bien sûr, c'était une mire de type RLG (à moins qu'il ne s'agisse d'un système APIS, ou SAFEGATE -sic- ou PNEUTRONIC, enfin bref)!
   

Aéroport de Mirabel... La procédure de dégivrage moteurs en route est terminée... On reprend le roulage... L'avion est dégagé...
Au fait, l'est-il ?

Etc... Etc... Etc.

   
 

Les équipages qui vont au Japon ont pu observer que les Bus Japonais étaient équipés de caméras vidéos permettant au chauffeur de véritablement "voir" l'environnement de son véhicule lorsqu'il effectue une marche arrière.
Pour ce qui me concerne... ce constat est vieux d'environ 20 ans. Un tel équipement paraissait avantgardiste et luxueux... 20 ans après, ces qualificatifs tombent... C'est "banal" et "bon marché".

Question:

Tire-t-on le meilleur parti, et tout le parti, des tubes cathodiques équipant les cockpits sur les avions de dernière génération?

Il semble évident que la sécurité trouverait son avantage dans l'utilisation de capteurs vidéo, judicieusement placés, permettant d'afficher les images au cockpit. Est-ce faisable? Bien sûr..Economiquement viable? Probablement... Alors, imaginons...

Des capteurs vidéo, diposés de manière adéquate, et pilotables à distance, pourraient permettre :

   
 
De mieux traiter un certain nombre de problèmes au sol:
   
La sécurité au roulage serait sérieusement améliorée si les pilotes voyaient où passent leurs bouts d'aile , ou bien leurs trains d'atterrissage.

Les exemples de collision au roulage au sol, ou d'embourbage - 5 cas en 14 mois à la compagnie , sont hélas nombreux. L'encombrement de certains aéroports est tel, que l'opération de roulage, avec les moyens actuels, devient une conjecture sur le plan de carrière du CDB, un pari sur l'avenir !
   
L'équipage pourrait suivre les opérations de traitement de l'avion (chargement, avitaillement...) et surveiller en particulier les périmètres de sécurité collision ou incendie.
   

La vue des obstacles sur l'arrière permettrait de prévenir les effets du souffle des réacteurs.

   
La sécurité de certaines opérations de maintenance pourrait être améliorée en piste comme au hangar (manipulations sur les portes de train ou les inverseurs -cf. l'accident mortel au hangar d'Orly il y a quelques années-, opérations de dégivrage -cf. l'accident mortel à Montréal récemment-).
   
 

Aujourd'hui nombre de situations obligent l'équipage à se contruire, à partir d'informations instrumentales symboliques, et d'un niveau de traitement complexe, une représentation du monde réel.

Cet exercice n'est pas innocent du point de vue de la sécurité des vols; les erreurs résultantes ont été conceptualisées et qualifiées d'erreurs de représentation.

L'histoire a montré l'acuité des questions de "situation awareness" sur les avions de dernière génération et les spécialistes en facteurs humains ont expliqué combien il était difficile, pour un opérateur, de sortir d'une erreur de ce type, les schémas mentaux et les représentations étant particulièrement stables.

Ces erreurs de représentation, ou ces insuffisances de représentation (par manque de moyens), traduisent une mauvaise connaissance, par les équipages, de l'état d'un système, ou de l'état de tout ou partie de l'avion lui-même.

Il est vrai que souvent ces erreurs concernent les automatismes (avec les redoutables erreurs de mode en particulier), il existe néanmoins dans l'histoire récente du transport aérien quelques situations qui permettent de soutenir le point de vue exprimé ici.

 
 
Des capteurs vidéo, diposés de manière adéquate, et pilotables à distance, pourraient ainsi permettre en outre :
   
 
De voir les moteurs :

Pour en connaître l'état apparent
Le 8 Janvier 89 un 737-400 de British Midlands Airways s'écrase près de l'aéroport d'East Midlands, à la suite à d'une alarme incendie traitée de manière erronée par l'équipage qui a coupé le moteur vif, alors même qu'il y avait des signes apparents de feu sur le moteur en cause... Ceci n'a été vu que depuis la cabine.

Pour avoir confirmation de l'extinction d'un feu
après procédure "feu"

To evacuate or, not to evacuate?..." That is the question.

Pour vérifier la position des inverseurs

Etc.
   
De voir les surfaces:

Pour évaluer la présence de givre


On pourrait peut-être faire l'économie d'un déplacement en cabine.

Le 13 Janvier 82, écrasement du B737 d'Air Florida à Washington, dans le Potomac: Sans méconnaître le problème de l'insuffisance de poussée, il se trouve que les ailes étaient sérieusement contaminées par le givre...

Pour simplement en connaître l'état

Certaines pertes d'éléments structuraux ou détériorations seraient tout simplement vues, comme dans le cas de l'incident de l'A 320 compagnie au décollage de Nîmes, ou du Concorde de British Airways au décollage de Sydney, ou encore de l'A 320 endommagé par la grêle au décollage de Rome en octobre 93..., etc.

On pourrait également faire les constatations utiles sur les intrados d'ailes ou de volets après éclatement de pneus, etc.

Tout simplement pour en constater la position

Plusieurs décollages sans volets, ou avec une position erronée des volets, ont été la cause d'accidents, les sécurités "classiques" n'ayant pas été opérantes; par exemple: MD-82 Northwest Airlines à Detroit le 16 Août 87, B747 de DLH le 20 Novembre 74 à Nairobi ...

   
De voir le train d'atterrissage:

Pour lever le doute sur sa position
On éviterait ainsi les peu glorieux et peu probants passages à basse altitude devant la tour, comme en 88 s'agissant d'un A320 compagnie à CDG.

Pour constater les éclatements de pneus, les pertes d'éléments de trappes...

Pour détecter un éventuel feu de train, en vol, ou au sol après arrêt décollage
   

De voir la cabine passagers (veille sécurité)

   
De voir les soutes (confirmation fumées ou feu)
   
  Autres aspects
   
 
Sûreté :

Il faudrait bien sûr prendre en compte les problèmes de sûreté.

La capture des images extérieures à l'avion devrait pouvoir être inhibée, par exemple depuis le cockpit, ou bien de l'extérieur de l'avion. D'un point de vue positif, la surveillance ou la simple observation de la cabine passagers depuis le cockpit n'est pas sans intérêt.

   
Collisions sur piste dans le brouillard.

La technique des capteurs infrarouges a probablement ses limites... Mais il est permis de se demander si l'utilisation de caméras infrarouges aurait évité certains événements, parmi les plus douloureux du transport aérien, que sont les collisions entre aéronefs sur la piste en service.

Ténériffe 27 Mars 77, Madrid 7 Décembre 83, Detroit 3 Décembre 90, etc.

L'effectivité d'un tel équipement pourrait permettre à l'équipage de réellement "voir" les obstacles sur la piste, d'autant que ceux-ci peuvent émettre dans le spectre infrarouge (moteurs).



   
Enquêtes sur les accidents.

Des capteurs viédo, strictement limités à l'enregistrement des planches de bord, permettraient, d'une part, de fidèlement restituer ce qui est effectivement présenté à l'équipage sur les écrans cathodiques et autres afficheurs, et d'autre part d'enregistrer la communication non verbale dont on connaît toute l'importance pour une meilleure compréhension des événements.

Il existe sans aucun doute de nombreuses autres applications.

Je ne doute pas qu'une étude ait déjà été faite chez les constructeurs, et, si l'installation de capteurs vidéos n'a pas été retenue jusqu'à maintenant, ma démarche vise à exprimer le point de vue d'un utilisateur (qualifié dans les milieux de l'enquête-accident d'"acteur de première ligne", ce qui l'autorise sans doute à émettre quelqu'opinion sur le matériel qu'il utilise!) quant aux avantages qu'il trouverait à un tel équipement, avec le sentiment qu'un certain nombre d'entre eux ont pu ne pas être pris en compte.

Je suis convaincu que le premier constructeur qui proposera de tels équipements marquera une avancée technique et commerciale significative.

Si vous avez, d'un point de vue d'utilisateur, des idées sur le sujet, et des exemples pour les illustrer, vous pouvez me les faire connaître... J'en ferai la synthèse et alimenterai le dossier.

   
Aéronautiquement votre

Jean Louis CHATELAIN
   
Note :
 
Depuis la publication de cet article dans la "gazette de l'A340" d'Air France en 1995, l'auteur a eu le bonheur d'apprendre que les bureaux d'étude d'Airbus Industrie en avaient été rendus destinataires. Il apparaît aujourd'hui que l'A3XX serait équipé, en version de base, d'un tel système de capteurs. Si l'auteur a pu infléchir tant soit peu un tel choix, il en est ravi. Il se trouve qu'une expérimentation a, par ailleurs, été conduite en Grande-Bretagne, à la fin des années 90,de manière semble-t-il positive. Des doutes ont été émis sur les risques de distraction, au sein de l'équipage, du fait de la présence d'un tel système. L'auteur ne partage pas ces doutes, s'agissant d'équipages professionnels disposant d'une culture "facteurs humains" aujourd'hui largement répandue et bien ancrée. Les bénéfices potentiels d'un tel système sont tellement considérables qu'il est permis de penser qu'ils supplanteront largement les quelques inconvénients que les opérations aériennes pourraient révéler. En tout état de cause deux dépêches d'agence récentes (la première de Février 99, l'autre de Mars 2000) font état d'une utilisation positive, et particulièrement révélatrice, du sytème conçu de fait pour la distraction des passagers !!!

"FLIGHTVU COULD BE WATCHING YU :
Tying passengers to their seats and injecting them with tranquilizers hasn't seemed to work, but maybe Big Brother will. AD Aerospace has developed a system of "covert" cameras they're calling FlightVu Witness. The security system can be fitted throughout the passenger cabins to keep an eye on potential rowdies. AD Aerospace says FlightVu will help deter air rage and get convictions."


"IN-FLIGHT ENTERTAINMENT SYSTEM LOCATES PROBLEM :
AD Aerospace tells AVweb one of their externally mounted FlightVu cameras helped a crew on an unnamed British airline locate the cause of a low fuel pressure warning. Normal checklist procedures turned up nothing, and as crewmembers pondered, they noticed the FlightVu camera showing fuel leaking from the right-hand engine/strut. The engine was shut down, the crew issued a "mayday" call and the plane returned safely to the airport, thus proving an extra set of "eyes" can definitely help."
  DEBUT