Parlons Facteurs Humains : Comprendre les procédures anormales et d’urgence

Qu’elles soient présentées sous forme papier dans un Quick Reference Handbook (QRH) ou sous forme numérique sur un des écrans de la suite avionique, les procédures anormales et d’urgence reflètent une stratégie de sécurisation et récupération des systèmes affectés. Ouvrons ensemble le QRH …

Stratégie des procédures anormales et d’urgence

Chaque procédure anormale ou d’urgence reflète une stratégie (coping strategy) qui a été développée et testée durant la conception et les essais en vol de l’avion. Cette stratégie peut comporter plusieurs phases, chaque phase comportant plusieurs actions dont l’exécution peut être liée ou non à une condition préalable (Si … / If …).

Les procédures anormales et d’urgence (tout comme les procédures standards) ne devraient pas être modifiées sans la consultation – voire l’accord – du constructeur. En effet, leur stratégie, l’ordre et la nature des différentes actions, leur pre-condition éventuelle, leur regroupement en blocs d’action, … ont une importance que la compagnie / le pilote peut ne pas percevoir.

Le principal but de ces procédures est de :

• sécuriser l’état des systèmes affectés (confirmation d’une reconfiguration automatique, …),
• recouvrer ceux qui peuvent l’être (transfert manuel, …),
• déterminer les implications résultantes sur la poursuite du vol (limitation opérationnelle, …),
• déterminer les conséquences sur l’approche et l’atterrissage (capacité d’approche / atterrissage automatique, configuration, incréments de vitesse, capacité de freinage, …) et donc sur les performances d’atterrissage (incrément de distance d’atterrissage, …).

Toute déviation des procédures publiées pourrait donc affecter la sécurisation des systèmes, la récupération conditionnelle de ceux-ci, la configuration de l’appareil et ses performances … donc la sécurité du vol.

Détection / reconnaissance de la situation

La référence à une procédure dans le QRH ou son affichage automatique sur un écran du cockpit nécessite d’abord la détection / reconnaissance de la situation et l’identification / affichage de la procédure correspondante.

Certaines situations peuvent être détectées par le système de gestion de pannes / système central d’alarmes (c’est le cas de la plupart des pannes liées à un système avion), d’autres ne peuvent être détectées / déterminées que par l’humain, c’est le cas des conditions suivantes :

• vol en atmosphère turbulente,
• vol en conditions de cendres volcaniques,
• vol avec indication de vitesse non-fiable,
• récupération d’une attitude de vol inusuelle,
• suspicion de la présence d’une bombe à bord,
• incapacitation d’un membre d’équipage,
• [ … ].

Quelques pannes ne sont pas surveillées par le système de gestion de pannes / système central d’alarmes (par exemple la perte d’un écran) mais dans ces rares cas l’action de récupération ne nécessite qu’un transfert de source d’information (panne du générateur de symboles / graphismes) ou un transfert d’information d’écran à écran (panne de l’écran lui-même ou de son alimentation), dont l’action est intuitive et enseignée durant la qualification de type.

La perte du système gestion de pannes / système central d’alarme lui même prive les pilotes de la « mécanisation » automatique décrite ci-après mais n’affecte pas normalement les « alarmes locales » situées sur les panneaux cockpits ou sur les pages systèmes de la suite avionique.

Affichage de la procédure

Une condition anormale / procédure donnée peut être entièrement affichée / gérée à l’écran si le système de gestion de pannes est capable de :

• détecter la condition anormale (au travers d’un capteur ou d’un ensemble de conditions logiques),
• activer les alertes visuelles et auditives correspondantes,
• déterminer les conditions qui vont gouverner l’exécution ou pas des « actions conditionnelles »,
• déterminer l’état du système après chaque action et acquérir les signaux nécessaires pour mettre à jour – avec ce « retour d’information sur action » – la procédure affichée ainsi que les schémas d’illustration des systèmes,
• tenir compte des reconfigurations automatiques ou manuelles des systèmes affectés,
• déterminer le statut final du système (systèmes partiellement ou totalement perdus, …),
• déterminer les répercussions en termes de capacité des automatismes (atterrissage automatique ou pas, catégorie d’atterrissage, …),
• identifier les limitations applicables (vitesse d’approche, distance d’atterrissage, …),
• [ … ].

Lorsque la panne primaire conduit à une panne secondaire (par exemple, une panne moteur conduisant à la perte d’un système hydraulique), les considérations ci-dessus s’appliquent intégralement pour l’affichage de la procédure correspondant à cette panne secondaire.

Par conception, le système de gestion de pannes peut être amené à définir des priorités dans l’ordre d’affichage des informations respectives.

Lorsque le système de gestion de pannes n’est pas ou plus capable d’acquérir une des informations ci-dessus (généralement par perte du capteur / signal correspondant), un prompt (par exemple, l’invite PROC) indique à l’équipage que la procédure doit être poursuivie en consultant le QRH. Dans tous les cas, lorsque les conditions le permettent, l’équipage peut également se référer au manuel d’utilisation pour des informations complémentaires concernant la gestion et surveillance ultérieure du vol.

Certaines procédures anormales ou d’urgence (telle que la récupération d’une attitude de vol inusuelle, le vol avec une vitesse indiquée non fiable, …) comportent des actions à effectuer de mémoire (memory items) qui constituent en fait de véritables « actions de survie », afin de stabiliser la situation et de donner au PNF (PM) le temps de se référer au QRH pour la gestion complète de la situation et celle ultérieure du vol.

Checklists et QRH

Le terme « checklist » est souvent utilisé de manière abusive pour designer deux types différents de documents :

• les checklists du type question-réponse (challenge-and-response), utilisées pour vérifier / confirmer les points les plus critiques des procédures standards,

• les checklists du type lire-et-faire (read-and-do), utilisées pour appliquer , pas à pas, les procédures anormales et d’urgence.

Les checklists (des deux types) sont rassemblées en un document nommé QRH (Quick Reference Handbook) dont la reliure « spirales » permet une utilisation (plus ou moins) aisée dans l’environnement du cockpit.

Pour les appareils équipés seulement d’un système central d’alarmes, le QRH est l’unique référence pour les procédures anormales et d’urgence. Pour les appareils équipés d’un système central d’alarmes et de gestion de pannes avec affichage sur écran, une utilisation coordonnée de l’écran et du QRH est nécessaire. Pour les appareils de la dernière génération, la totalité des procédures étant disponibles à l’écran – soit automatiquement, soit par sélection dans un index – le QRH ne constitue qu’un back-up en cas de perte du système.

Exécution des procédures

Que la situation soit anormale (alarme ambre) ou d’urgence (alarme rouge), agir vite ne veut pas dire agir de façon précipitée (sauf actions de « survie » … et encore !). Toute situation requiert une réponse adaptée, méthodique et contrôlée. L’exécution d’une procédure anormale suit donc une « chorégraphie » où les rôles du PNF (PM) et du PF sont codifiés avec précision dans le manuel d’utilisation et enseignés durant la formation initiale.

Encore plus que pour les procédures normales, l’exécution des procédures anormales et d’urgence requiert une verbalisation précise des actions effectuées et de leurs résultats. En particulier, l’accord préalable des deux pilotes doit être clairement verbalisé avant l’exécution de toute action conditionnelle (accord mutuel sur la condition introduite par un « Si … ») ou de toute action critique ou irréversible (coupure d’un moteur, désembrayage d’un alternateur, …). Après toute action, le résultat de l’action doit être observé / vérifié avant de passer à l’action suivante.

Lorsque la procédure propose un bilan de la situation et de l’état des systèmes (par exemple, entre deux phases de procédure), chaque pilote doit verbaliser sa compréhension de la situation afin de confirmer que ce bilan est partagé par l’autre membre d’équipage (le PNF résume la situation et le PF acquiesce ou argumente son interprétation).

A l’issue de la procédure, de manière similaire, les deux pilotes doivent confirmer leur compréhension mutuelle concernant les fonctions et équipements affectés, et les répercussions associées sur la poursuite du vol, sur l’approche et l’atterrissage (maniabilité / contrôlabilité, performance, freinage, incréments de vitesse et de distance d’atterrissage, …).

Ergonomie du QRH

Le défi du QRH est de refléter une situation dynamique sur un support statique, ce défi peut être relevé grâce à des standards d’ergonomie appropriés. L’utilisation du QRH au simulateur par les premiers pilotes en qualification de type reste le test le plus riche d’enseignements pour parfaire la conception et la présentation des procédures. En effet, le QRH doit être résistant-à-l’erreur, l’omission d’une action ou l’exécution d’une action non prévue / non pertinente / involontaire n’étant pas envisageable.

L’affichage d’une procédure sur un écran est dynamique et géré par la « mécanisation » du système, le QRH se doit d’atteindre les mêmes résultats avec des standards de présentation adaptés, afin de faciliter la « navigation » dans la procédure ; voici quelques exemples de standards éditoriaux utilisés:

• espacements entre les différentes phases de la procédure,
• identification alertante des pre-conditions (par des symboles spécifiques, pour les conditions exclusives ou non-exclusives),
• décalages successifs (effet de cascade / arborescence) des actions ou groupes d’actions dépendant d’une même phase et/ou pre-condition,
• utilisation de « prompts » (invites) de référence aux procédures applicables pour les pannes secondaires,
• [ …].

Règles d’or en situation anormale ou d’urgence

Il est bon de rappeler ici les règles d’or qui viendront renforcer le caractère de résistance-à-l’erreur du QRH … ou le compléter en l’absence de procédure directement liée / applicable à la situation rencontrée :

• piloter, naviguer, communiquer, gérer, … dans cet ordre,
• respecter le partage des tâches, … tout en assurant un support mutuel et une surveillance croisée,
• comprendre la situation avant d’agir,
• s’assurer que chaque membre d’équipage comprend / partage cette analyse,
• passer en revue et évaluer les options possibles,
• choisir l’option la plus adaptée à la situation,
• s’assurer que ce choix est compris et partagé par chaque membre d’équipage,
• distribuer les tâches et gérer la charge de travail,
• appliquer l’option choisie en fonction de l’urgence de la situation,
• vérifier le(s) résultat(s) immédiat(s) de chaque action avant de passer à l’étape / action suivante ; ceci permet de détecter immédiatement toute « erreur de manipulation » (action slip),
• [ … ].

En résumé

Cet article marque le terme de la série d’articles consacrés aux facteurs opérationnels et humains, Aerobuzz espère que vous aurez pris plaisir à revisiter des sujets, certainement connus de vous, avec … un certain regard. Le monde des facteurs opérationnels et humains regorge de bien d’autres sujets de réflexion ; cela sera peut-être l’objet de futurs articles.

Epilogue

En cette veille de fêtes, il nous a paru important que vous puissiez piloter en toute sécurité un appareil … de circonstances. Suivant votre expérience, vous pourrez choisir le traineau Mark I ou Mark II ; le Mark II nous a paru surmotorisé en remise de gaz, nécessitant une bonne surveillance de l’assiette … de fêtes … bien sûr !

 

Michel Trémaud