Untitled Document

BASES FACTEURS HUMAINS POUR LA CONCEPTION DE SYSTÈMES
HOMME-MACHINE EN AÉRONAUTIQUE

ORIGINE DES ERREURS DE REPRESENTATION DANS LES COCKPITS MODERNES
SUR LA BASE D'ETUDE D'ACCIDENTS ET D'INCIDENTS

Bureau Enquêtes-accidents
Bâtiment 153 - Aéroport du Bourget - 93352 LE BOURGET Cédex
Téléphone 33 - 1 49 92 72 00
Télécopie 33 - 1 49 92 72 03

Un nombre important d'accidents et d'incidents d'un type nouveau sont apparus avec l'entrée en service d'avions dits de " nouvelle génération " dans lesquels les fonctions d'automatisation sont de plus en plus nombreuses, performantes et évoluées. Ces automatismes se retrouvent dans les fonctions de pilotage (pilote automatique), de gestion du vol (FMGS) et également dans la protection du domaine de vol et ce chez tous les constructeurs d'avions actuels.

Cette étude s'attachera, sur la base d'incidents et d'accidents, à identifier dans quelles conditions ces automatismes, qui sont en premier lieu des outils d'assistance aux pilotes peuvent parfois augmenter la charge de travail de l'équipage et conduire à des situations plus ou moins dangereuses pour la sécurité. Le phénomène que l'on étudiera plus particulièrement est l'antagonisme homme-machine, ou en d'autres termes pourquoi dans certains cas le pilote lutte contre l'automatisme.

Dans un second temps, on établira une typologie de ces événements qui s'attachera à définir une grille d'analyse à même de décrire les phénomènes cognitifs impliqués. Cette approche pourra alors aider à suggérer des axes d'amélioration des architectures, de l'ergonomie et de l'utilisation de ces automatismes de sorte que les antagonismes équipage/automatismes puissent être réduits.

La loi confère au BEA le rôle de conduire en France des enquêtes sur les accidents et les incidents, qui ont pour seul but d'améliorer la sécurité. Dans ce même cadre il participe à des enquêtes internationales dans lesquels les avions de construction française sont impliqués. Des recommandations de sécurité concluent souvent ces enquêtes et certaines ont déjà porté sur les interactions entre les pilotes et les automatismes. Les rapports publiés sur ces événements fourniront en partie la matière de cette étude mais on utilisera également des éléments d'enquêtes n'ayant pas encore fait l'objet d'un rapport. D'autre part, des références bibliographiques sur ce sujet serviront également à étayer cette réflexion.

Il faut noter que, conformément à l'annexe 13 de l'OACI, les rapports publiés par le Bureau Enquêtes-Accidents ainsi que par ses homologues étrangers sont publics. Les informations contenues dans cette étude ne sont par conséquent pas confidentielles. Cependant, compte tenu des limites matérielles des organismes d'enquête, tous les accidents et surtout les incidents ne peuvent pas toujours être traités en profondeur. Les informations concernant la plus grande partie des événements est conservée et, comme c'est le cas ici, des études peuvent être menées pour en rapprocher certains, dont les caractéristiques présentent des points communs.

La liste présentée ci-dessous regroupe des événements qui ont des caractéristiques communes. Ils ne sont a priori pas regroupés dans la base de données du BEA dans une catégorie particulière. Seule la lecture attentive des faits et des causes peut permettre de les rapprocher.

On trouve plus d'événements concernant des Airbus car le BEA participe aux enquêtes à l'étranger sur ces avions.
Pour les autres constructeurs il ne s'agit que des événements survenus sur le territoire français.

Tous ces événements ont en commun une analyse erronée de la situation par l'équipage et des actions inappropriées compte tenu des automatismes engagés et de la configuration de l'avion. En effet dans tous ces cas, l'équipage s'est trouvé confronté à une situation particulière où ses actions sur les commandes de l'avion n'avaient pas les effets escomptés sur la conduite du vol. Soit parce qu'il combattait un mode actif du pilote automatique soit que la configuration de l'avion lui échappait, essentiellement la position du trim de profondeur, l'équipage était confronté à une situation que l'on peut assimiler à une perte de contrôle, parfois partielle, d'autres fois totale de l'aéronef.

Même si l'étude d'accidents et d'incidents constitue un prisme déformant, qui s'attachant à analyser des situations exceptionnelles, n'est pas représentatif d'une majorité des cas, elle est instructive dans la mesure où elle renseigne sur les conséquences limite de telle ou telle défaillance. L'intérêt de l'enquête est également de fournir des moyens à l'analyse d'une situation et à la diffusion de l'information. Si beaucoup de ces problèmes sont bien connus des pilotes qui utilisent au quotidien les avions et leurs automatismes, certaines situations et particularités passent parfois inaperçues par défaut d'analyse de l'événement et surtout par manque de perspective des conséquences potentielles de l'incident. L'enquête constitue ainsi un révélateur des risques liés à l'utilisation de systèmes complexes. Le niveau de sécurité dans l'aviation est très élevé. Dans ce contexte, la majorité des utilisateurs du système, en l'occurrence les pilotes, n'est pratiquement jamais confronté en pratique à des problèmes graves.

Il existe en fait tout un domaine opaque, auquel les utilisateurs ont un accès limité : à travers la formation initiale, les formations sur les types de machine, les entraînements et l'utilisation quotidienne des systèmes, les pilotes appréhendent un grand nombre de situations. Cependant des zones d'ombres sont toujours susceptibles de subsister et c'est le rôle de l'enquête que de mettre à jour les risques potentiels qui n'ont pas encore été pris en compte.

Le nombre important d'événements de ce type, les similitudes observées concernant les circonstances, la gravité des conséquences, avérée ou potentielle, conduit naturellement à rechercher des causes communes et à identifier les mécanismes sous-jacents afin de prévenir de nouvelles occurrences.

On peut considérer que dès l'antiquité, l'homme a pris conscience du fait que son accès au monde était limité. Déjà avec Platon et le mythe de la caverne l'homme est présenté comme agissant à partir d'une représentation qui n'est que la projection d'ombres de la réalité. Il apparaît que cette idée est résolument moderne car le monde est évidemment d'une complexité telle que l'homme n'a pas la capacité d'appréhender sa véritable nature. Il ne le fait qu'à travers des simplifications et des raccourcis qui sont en rapport avec ses capacités et donc agit avec une image, ou représentation, fatalement déformée du monde. De même, l'Œdipe de Sophocle (repris au XXème siècle par Cocteau et renommé par lui " La machine Infernale " !) met en scène l'homme, obligé d'agir dans un monde qu'il ne comprend pas. Même si ces exemples ont des portées allégorique et philosophique qui sont peut-être éloignées de l'utilisation d'un avion, on y retrouve les thèmes qui sous tendent nos objectifs et ils illustrent parfaitement le cadre et les limites de notre activité humaine. Car c'est bien là la place de l'ergonomie que de définir les moyens de fournir à l'homme l'information la plus pertinente pour l'exercice de son activité et d'éviter que celui-ci ne soit victime de faux semblants qui représentent un réel danger pour la sécurité.

Avec l'accident de l'Airbus A320 au Mont Saint Odile, 1992 marque un tournant dans l'approche sur les enquêtes au niveau des facteurs humains en France. L'enquête a mis en évidence une mauvaise conscience de l'équipage du mode de pilotage automatique vertical et a conduit à des recommandations concernant la formation des équipages aux facteurs humains ainsi que les automatismes, notamment sur la présentation et la symbologie des affichages relatifs aux différents modes de pilotage.

En 1995, après une série d'incidents et d'accidents, le BEA émettait des recommandations visant à améliorer la conscience de la situation des équipages vis à vis des automatismes. A partir du constat que dans certains cas "le pilote aux commandes surpasse (volontairement ou involontairement) le système automatique de vol, soit en ne se rendant pas compte de la situation soit en constatant la configuration de l'avion mais sans en comprendre les causes… La réaction des systèmes automatiques de vol entraîne des configurations potentiellement dangereuses : hors trim, poussée moteur(s) incompatible avec la trajectoire souhaitée…" la recommandation était formulée comme suit : "qu'une étude soit lancée pour que la priorité du pilote sur les systèmes automatiques de vol soit maintenue en toutes circonstances, ce qui pourrait se traduire par la déconnexion des systèmes automatiques de vol (pilote automatique et automanette) en cas d'antagonisme entre les actions du pilote et celles du système automatique de vol, et/ou par une information claire en cockpit alertant l'équipage d'un tel antagonisme."

La prise en compte de ces questions a été faite par les autorités au niveau de la certification et de la réglementation. Pourtant on considère encore que " des dispositifs de déconnexion des systèmes automatiques sont déjà présents sur tous les avions munis de tels systèmes, assurant la priorité du pilote sur les automatismes en toutes circonstances ". Or cela ne se vérifie pas dans le cas du Fokker 100 (voir § 4.3.1). D'autre part, le point de vue de l'autorité est qu'en cas de déconnexion intentionnelle des automatismes, la reprise en pilotage manuel " doit se faire dans de bonnes conditions, notamment en évitant les situations hors trim ".

Au niveau réglementaire, un amendement des textes de certification (JAR 25) a été proposé au niveau des JAA, traitant notamment du surpassement manuel des systèmes automatiques et précisant qu'un tel surpassement ne doit pas résulter en une situation dangereuse.

Sous l'impulsion des autorités, de nombreuses études ont par ailleurs été menées dans le domaine des interfaces homme/machine et des nouveaux types de problèmes que ces changements apportent. Parmi celles-ci on peut citer :

Il serait difficile de toutes les citer tant les publications sur ce sujet sont nombreuses. Cela révèle cependant son importance pour toute la communauté aussi bien scientifique qu'aéronautique. La prise en compte de ces aspects s'avère une préoccupation majeure aussi bien pour les industriels que pour les opérateurs. La complexité croissante des techniques et des systèmes rend à la fois la résolution de ces questions difficile et malgré tout cruciale pour la sécurité. Les grandes tendances qui se dégagent font apparaître une nécessité accrue de former les équipages à la gestion de ces automatismes.

On note cependant que pour l'instant, les démarches pour faire évoluer les automatismes et les interfaces homme/machine sont assez timides. L'approche se résume souvent à se satisfaire de l'automatisme tel qu'il est et de tenter d'adapter l'homme à ses spécificités. Il faut admettre que la prise en compte des facteurs humains en conception est une préoccupation très récente. L'ensemble des systèmes tels qu'ils existent sont le fruit d'années de travail de techniciens et d'ingénieurs. Il est évidemment très difficile de revoir en profondeur des architectures d'automatismes qui ont été développés progressivement, par strates et toujours dans le sens d'une complexification croissante.

Le but de notre étude est d'alimenter la réflexion dans ce domaine en fournissant une mise à jour des informations par l'intermédiaire de nouveaux événements qui apportent un nouvel éclairage sur des phénomènes qui apparaissent de manière récurrente.

Quelques événements vont être étudiés en détail. La sélection des événements a été faite pour prendre en compte différentes familles d'avions (ce qui montre que le phénomène est commun à tous les avions de nouvelle génération et s'apparente à la philosophie de conception des systèmes telle que l'ingénierie moderne la conçoit) et pour illustrer plusieurs types de confusion que peut générer l'introduction des automatismes dans le travail des équipages.

Le fonctionnement des automatismes peut générer deux types de situations gênantes pour les équipages :

Commençons par un truisme : l'automatisme a été introduit pour faciliter certaines tâches de l'équipage et le rendre plus disponible pour en effectuer d'autres, dans un souci de sécurité et de rentabilité. On a également constaté que l'on pouvait également fiabiliser ainsi l'exploitation des avions et que les automatismes étaient capables de rattraper certaines " erreurs " des pilotes.

Nous allons dans les chapitres qui suivent nous appuyer sur les travaux de théoriciens de l'erreur. Même si d'autres modèles existent, on utilisera essentiellement celui de Reason basé sur les études préalables de Rasmussen car les processus décrits permettent d'expliquer efficacement ce que l'on peut observer dans le travail des équipages. Le modèle SRK de Rasmussen définit trois niveaux de processus cognitifs dans les actions humaines. Il semble que l'évolution des automatismes a sensiblement suivi la hiérarchie de ces processus, relativement logiquement d'ailleurs, puisque l'on va dans le sens d'un accroissement de la complexité. Les progrès techniques ont permis de développer des systèmes à la complexité croissante. Cependant une réflexion doit être menée sur l'opportunité d'accroître constamment le niveau d'automatisation. Ainsi, dans les avions modernes, on a automatisé tout ce qui était automatisable, de la préparation des vols qui tient compte d'une masse d'information et de paramètres que l'individu ne pourrait pas seul prendre en compte (données de vent réel sur la route, calcul de l'itinéraire le plus économique), planification informatisée des plans de vol imposée par les systèmes ATC, au déroulement lui même du vol (le pilote automatique peut être engagé à 200 pieds et déconnecté au sol à l'issue d'une approche automatique) alors même que grâce aux liaisons air-sol, les services d'exploitation de la compagnie auront été informés en temps réel de la consommation de l'avion, des pannes survenues en vol et auront ainsi pu prendre les mesures nécessaires pour raccourcir au maximum le temps d'escale. On constate ainsi que les opérations aériennes sont caractérisées par un double objectif de rentabilité et de sécurité. Pour atteindre ces objectifs, le système a massivement utilisé l'automatisation et les nouveaux systèmes d'information.

Cependant, on va voir que l'évolution des automatismes a avant tout suivi un processus de disponibilité technologique laissant parfois les questions d'opportunité de côté. Compte tenu de la rapidité des évolutions et de la complexité de l'environnement, ce n'est d 'ailleurs qu'a posteriori que l'on a pu constater les effets pervers de l'abondance d'automatismes. On peut donc reprendre en détail cette évolution avec l'éclairage d'un modèle, celui développé par Rasmussen pour décrire le processus de prise de décision, en s'attachant à constater quelle devient la place de l'homme lorsqu'on le remplace par des automatismes dans l'exécution de tâches plus ou moins complexes.

Modèle dit de " l'échelle double " de Rasmussen (1986) Au premier niveau on trouve le niveau d'habileté (ou Skill Based).

1 - Skill Based (habileté) : ce niveau correspond aux actions effectuées de manière quasi automatique après un apprentissage pouvant être relativement long. Une fois intégrées l'appel à ces fonctions nécessite un minimum de ressources pour être mises en œuvre. Le schéma d'action est dans ce cas celui représenté sur la figure par le circuit le plus court.

Les actions de pilotage pur (tenue de l'avion, maintien sur la trajectoire) appartiennent à cette catégorie. Ce sont ces fonctions qui ont été automatisées en premier dans les avions. En effet d'un point de vue cognitif, ce sont des actions qui sont aisément modélisables et les lois des automatismes associés sont simples.

Ces automatismes sont maintenant totalement éprouvés sur les avions et il ne serait absolument plus possible de s'en passer. Dans ce cas l'automatisme est nettement plus performant que l'homme. Ainsi le pilotage à des altitudes élevées est pratiquement impossible " à la main " et seul le pilote automatique permet de maintenir une stabilité suffisante.

2 - Rule Based (Règles) : dans ce processus, l'homme utilise des règles apprises pour définir son action ; ce mode nécessite un niveau supplémentaire d'analyse dans la mesure où à partir de ses perceptions, l'homme doit reconnaître une situation, sélectionner une règle appropriée avant d'entreprendre son action. Le schéma est alors le suivant :

Perception -> Reconnaissance de la situation -> Choix de Règles -> Mise en oeuvre des règles -> Action

Avec l'introduction de l'informatique dans les cockpits, l'automatisation des actions basées sur des règles s'est avérée grandement facilitée. Le nombre croissant de capteurs, les capacités de calcul de plus en plus grande des calculateurs, font de l'avion un système complexe sous surveillance monitorée. Il est évident que cette surveillance est dans une immense majorité des cas supérieure à celle qu'effectue l'être humain (pas de phénomène de lassitude, réactivité et capacité de traitement simultané nettement supérieur). Donc beaucoup d'automatismes fonctionnent selon ce schéma, que l'on pourrait qualifier d'algorithmique, et qui fournissent des résultats probants en déchargeant les pilotes de tâches répétitives de surveillance et de contrôle.

Parmi ces automatismes ont peut citer les modes sélectés des automatismes, le système centralisé ECAM de traitement des pannes, etc..

Enfin lorsque la prise de décision ne repose sur aucun des deux schémas présentés ci-dessus, on se trouve dans le cas du comportement basé sur les connaissances. Il est alors nécessaire de parcourir toute l'échelle dans les deux sens pour prendre une décision et mettre en œuvre son action. C'est un processus qui nécessite beaucoup de ressources cognitives et qui prend du temps. Sur la base des connaissances mémorisées et de processus analytiques, le plan d'action est élaboré.

Quand il s'agit d'automatiser de tels fonctionnements, les technologies actuelles sont beaucoup plus tâtonnantes. Il s'agit en général de systèmes experts qui s'appuient sur des bases de données très fournies et sur des moteurs d'inférence qui permettent des interprétations proches de celles que le raisonnement humain est capable de produire. Cependant, on ne connaît pas encore de système capable d'élaborer en temps réel une solution efficace qui n'aurait pas été imaginée auparavant. Cela oblige donc à une réflexion très poussée en amont de la part des concepteurs, fondée sur l'anticipation des défaillances, pour intégrer dans les systèmes des lois de fonctionnement complexes qui retranscrivent des schémas KB.

Comme exemple, on peut citer le fonctionnement en mode " managé " du pilote automatique, certaines aides du système centralisé de recherche de panne et des modes de protection évolués.

C'est lorsque l'automatisme adopte ce mode de fonctionnement que le risque de décalage entre la représentation de l'équipage et le " projet d'action " de l'automatisme est le plus important. En effet, certains automatismes peuvent agir avec une logique qui n'est pas partagée par l'équipage à ce moment là. Cet écart n'est pas fortuit puisque évidemment les comportements de l'automatisme dérivent d'une analyse de type " knowledge based " par le concepteur. Tout se passe en fait comme si sur la base d'observations, le système appliquait un raisonnement " préprogrammé ", reflet du raisonnement du concepteur. (Par exemple, le mode de fonctionnement en protection de vitesse du F100 tient compte du mode actif du pilote automatique pour contrôler la vitesse à travers la poussée des réacteurs si l'avion est en croisière ou à travers l'incidence si l'avion est en montée). La différence avec le fonctionnement humain réside dans le fait que ces schémas sont rigides et se déroulent sans être conditionnés par le temps. En d'autre terme la réflexion en amont qui a conduit à leur élaboration s'est affranchie des contraintes temporelles que l'on rencontre dans un avion. C'est à la fois un avantage et un inconvénient, puisque cela permet de fournir aux pilotes une aide quand leurs ressources sont insuffisantes, mais cela crée en même temps un décalage cognitif important : quand un pilote est confronté à une fonction évoluée d'un automatisme dans un cadre de pression temporelle, il n'a pas non plus les ressources pour comprendre la logique du système et peut paniquer si, comme c'est souvent le cas, le système n'indique pas clairement ce qu'il fait.

Selon James Reason, les modes de contrôle de l'activité sont au nombre de deux :

L'activité des pilotes, dans un cockpit d'avion moderne est essentiellement axée sur la surveillance des automatismes, la planification à long terme et la gestion des systèmes. Si l'on prend en compte ce qui a été évoqué ci-dessus, la majeure partie des contrôles effectués sur le fonctionnement des automatismes se fait selon le mode de contrôle schématique, c'est à dire par analogie. En effet puisqu'une partie des tâches est déléguée à l'automatisme, il est logique que les pilotes n'exercent qu'un contrôle superficiel sur celle-ci.

Dans ce cadre, on peut s'intéresser à ce qu'il se passe lorsqu'il apparaît un écart entre un but fixé par l'opérateur humain dont la réalisation a été confiée à l'automatisme et le résultat obtenu.
D'un point de vue théorique, des travaux ont été réalisés sur les mécanismes de production d'erreur pour les trois niveaux d'activités décrits dans le chapitre précédent. Ces travaux, s'appuyant sur deux théories de l'erreur, celle de Norman (1981) et celle de Reason et Mycielska (1982), ont débouché sur un modèle appelé " système générique de modélisation de l'erreur (GEMS) ". Ce modèle peut-être résumé par la figure ci-après :

On peut en outre citer deux réflexions Reason qui nous intéressent dans le cadre de notre étude, l'une sur la surveillance des défaillances, l'autre sur les défaillance dans la résolution de problème :

Par conséquent, lorsque le pilote va détecter une erreur dans le fonctionnement de l'automatisme, c'est à dire un écart entre le but à atteindre et le résultat obtenu, que va-t-il faire ?

Dans un premier temps il va sans doute avoir une réaction immédiate consistant à rattraper l'erreur par une action instantanée sur les commandes. Cette réaction très primaire est sans doute liée aux acquis initiaux de pilotage qui sous la forme de routines, induisent une action immédiate dès qu'un écart est détecté. Cette réaction ne tiendra même pas compte du fait que l'automatisme est engagé et donc qu'il est inutile dans ce cas d'agir sur les commandes.

Ensuite, conformément au modèle GEMS, le pilote va passer dans un mode basé sur les règles. Il va fonctionner par analogie avec des situations bien connues. C'est sans doute là le point de départ de la problématique qui nous intéresse. Le pilote agit par rapport à un référentiel qu'il connaît bien et pour atteindre un but qu'il s'est préalablement fixé. Cette réalisation passe souvent par une stratégie qui se présente sous la forme d'un plan d'action. Dans les cas que l'on va étudier, il y a une divergence entre ce plan d'action et celui qu'un des automatismes, par le biais du mode KB résident dans l'automatisme, a établi.

Bien souvent, ce second plan d'action passe inaperçu, car le pilote est focalisé sur son objectif. L'écart qui apparaît est dès lors analysé comme un dysfonctionnement du système mais aléatoire et non pas comme un objectif " concurrent " de l'automatisme. Comme on l'a vu, l'individu a beaucoup de difficultés à appliquer d'emblée un raisonnement de type KB pour résoudre les problèmes.

Alors que dans ces cas, seule la confrontation entre le plan d'action du pilote et celui " imprimé " dans l'automatisme permettrait de résoudre efficacement le problème. On peut donc assister à un phénomène de " bouclage ", qui va être favorisé par d'autres facteurs comme le stress, sur le mode de traitement de l'erreur au niveau RB. On a ainsi étudié plusieurs événements où les pilotes appliquent successivement et sans succès différentes " recettes " pour essayer de résoudre un problème, mais sans jamais passer au niveau supérieur d'analyse exigeant le recours aux connaissances déclaratives. On assiste là à un phénomène de saturation qui laisse de moins en moins de ressources mentales au cours du temps et qui conduit à l'emprisonnement dans le schéma erroné (voir le chapitre stress).

Parmi les facteurs qui affectent l'activité humaine, le stress s'avère très important, surtout en situation dégradée. Une définition qui a été donnée du stress est la suivante : " la réponse de stress est le résultat d'un déséquilibre entre la perception individuelle des exigences de la situation et celle des ressources de l'individu pour faire face à ces demandes " (Folkman et Lazarus, 1986). Tous les individus sont sujets au stress et son contrôle échappe grandement à la volonté.

Il faut noter qu'en situation de stress, l'individu verra ses fonctions motrices privilégiées par rapport aux fonctions cognitives. En d'autres termes, le stress prépare l'individu à l'action et modifie ses capacités intellectuelles.

On peut dire à propos des réactions liées au stress qu'elles sont fortement influencées par la limitation des capacités cognitives à court terme. Ainsi, pour faire le lien avec le sujet du traitement de l'erreur, on peut dire qu'il existe un risque de dégradation des ressources cognitives lié à l'obstination naturelle qu'a le sujet à résoudre les problèmes par analogie :

L'acquisition des connaissances par un pilote sur les automatismes qui sont disponibles dans l'avion sur lequel il vole passe évidemment par la formation sur le type. Cette phase est ce qu'Anderson appelle dans son modèle d'acquisition d'expertise, le stade cognitif. Beaucoup de connaissances déclaratives sont apprises à ce moment là, au prix d'un effort important. Cependant, l'ensemble des connaissances n'est pas intégralement retenu (d'autant plus que les systèmes sont complexes) et seul un noyau de connaissance est acquis.

Cette connaissance initiale va s'enrichir au fur et à mesure de l'expérience acquise sur l'avion. De lui même, le pilote va développer des routines qui lui permettront d'être plus efficace, de diminuer la charge cognitive liée à l'utilisation de l'avion et il va ainsi se forger des schémas qui seront utilisés de manière privilégiée. Il va également " explorer " le domaine que représente l'avion, en fonction de son intérêt personnel pour tel ou tel système ou fonction. De nouvelles connaissances pourront ainsi être acquises, mais de manière aléatoire (phase d'exploration). On ne peut donc pas assurer que tous les pilotes utilisent les mêmes informations concernant le fonctionnement de l'avion, même et surtout si leur expérience sur celui-ci est importante. D'autant plus que, comme on l'a dit plus haut, la complexité des systèmes est croissante. Par conséquent le champ des connaissances s'élargissant, les accès aux informations peu utilisées est plus difficile et certaines connaissances, peu utilisées, vont être oubliées (phase de rétraction).

On peut ainsi très bien envisager le cas où certaines connaissance peu utilisées s'estompent de l'espace des connaissances déclaratives et ne sont plus disponibles au moment où elles ont besoin d'être activées. Elles peuvent même être occultées par d'autres connaissances plus robustes. Ce cas a été rencontré au cours d'une des enquêtes. Un pilote de ligne, instructeur, qui a été confronté à une réduction de vitesse non commandée de l'avion par prise d'assiette a expliqué qu'il était préoccupé par l'arrivée de l'avion " aux grands angles ", alors que celui-ci dispose d'une entière protection du domaine de vol. Cette analyse lui venait de son expérience passée sur un avion classique, particulièrement sensible à des problèmes d'incidence.

Certaines situations dans les cockpits découlent de la manière dont les pilotes perçoivent l'outil de travail c'est à dire l'avion. Avant l'introduction des automatismes, celui-ci était une machine au sens premier du terme qui fonctionne selon des critères mécaniques (en d'autres termes prévisibles) et un certain bagage de connaissances techniques permettaient d'analyser et de comprendre toutes ses réactions. Avec l'apparition et la généralisation des automatismes, il s'avère que la perception de l'avion par ses utilisateurs a évolué. Plusieurs études ont été réalisées en exploitant les données issues de réponses de pilotes à des questionnaires sur leur perception des changements induits par l'introduction des automatismes dans les avions. Parmi ces études, on peut citer :

Certains résultats de ces études nous intéressent ici. Tout d'abord, il faut noter une confiance limitée des pilotes dans les automatismes. Par exemple, à la question " Avez-vous le sentiment de toujours connaître les systèmes de votre avion et leurs interactions ? ", 79,2% de la population d'une de ces études a répondu non. De même, 48,7% de cette population considère que " la machine détient des informations qui seraient utiles et qu'elle ne restitue pas quand ils en ont besoin ".

Et pour s'attacher à la problématique développée ici, il est également intéressant de noter que 49,2% de ces pilotes rapportent que " la gestion des modes de l'avion leur a déjà posé des problèmes ".

Sur la base de ces constatations, il est possible d'avancer, à cause d'une part de leur expérience personnelle mais aussi des échanges d'information dans la corporation sur les problèmes rencontrés, qu'une population non négligeable de pilotes ont un état d'esprit qui les rend méfiants vis-à-vis des automatismes. Par conséquent, face à un comportement de l'automatisme qu'ils ne comprendront pas, leur attitude pourra être influencée par cette méfiance et dès lors leur capacité à analyser la situation d'une manière rationnelle sera affectée.

Sur tous les avions que nous allons évoquer, la plupart des informations qui intéressent le pilote automatique sont regroupées sur un indicateur unique appelé FMA pour Flight Mode Annnunciator. Cet indicateur est un bandeau de quelques centimètres de hauteur dans la partie supérieure de l'écran EFIS qui se présente comme ci-dessous :

Exemple d'affichage EFIS sur Fokker 100 - PFD avec FMA (Le FMA est la partie supérieure de l'affichage.

Il comprend cinq colonnes où apparaissent les modes sous forme d'abréviations.) L'équipage s'y reporte généralement pour vérifier l'engagement des modes qu'il a consciemment sélectionnés. Cet affichage est beaucoup moins efficace pour alerter les membres d'équipage au cours d'un changement de mode automatique. En effet, les informations qui y sont affichées sont nombreuses (état d'engagement du PA, mode de poussée, de tenue de vitesse, mode vertical, mode longitudinal) et les différents états sont caractérisés par des codes de couleur. L'interprétation de cet affichage nécessite donc une attention particulière.

D'autre part tous les modes apparaissent sous forme d'abréviations et souvent pour comprendre la logique de fonctionnement de l'avion il faut faire appel à une combinaison de modes. Le décodage de ces informations demande donc un effort supplémentaire de compréhension. On peut résumer en disant que les affichages des informations sur les EFIS et en particulier le FMA, utilisent un langage codé. Ce code sert à simplifier l'affichage. Cependant il peut arriver qu'il ne soit pas en mesure de décrire de manière précise et efficace les évolutions et les enchaînements de modes. C'est en tout cas ce que l'on a pu identifier dans les événements étudiés où l'absence d'information explicite sur les raisons de la réversion automatique des modes ont conduit les équipages à penser à un mauvais fonctionnement du système.

La prise en compte des automatismes est également importante dans les aspects de coordination au sein de l'équipage. L'architecture des avions modernes a diminué les possibilités de communication non verbales entre les membres d'équipage. En effet, les mouvements sont plus limités et l'abondance des informations disponibles nécessite un effort accru de communication afin que les pilotes partagent un référentiel commun propice aux actions concertées.

Mais pour aller plus loin, les nouvelles capacités des automatismes confèrent parfois à ceux-ci un rôle proche d'un " troisième membre d'équipage ". En effet, les systèmes automatiques qui génèrent des changements de mode, souvent pour des raisons de protection du domaine de vol , agissent avec un plan d'action précis, mais qui est souvent ignoré de l'équipage. On constate qu'au cours de ces prises de contrôle de l'aéronef par l'automatisme, celui-ci n'indique pas toujours à l'équipage ce qu'il fait. On identifie là un réel problème de communication entre l'équipage et l'automatisme, qui devient dans ce cas le pilote " virtuel " de l'avion.

On peut ajouter à cela que les effets d'une prise de contrôle de l'avion par l'automatisme sont pervers et ne sont pas propices à l'échange d'informations au sein de l'équipage. En effet lorsque l'automatisme engage un mode non projeté par le pilote en fonction, celui-ci est contrarié dans son projet d'action. Il a alors du mal à informer l'autre membre d'équipage sur ce qui se passe. D'une part parce qu'il lui manque ces informations lorsque le changement de mode n'est pas compris, d'autre part parce qu'il peut être réticent à exposer les difficultés qu'il éprouve pour contrôler l'avion. Ceci peut se produire dans tous les cas de figures, membre d'équipage expérimenté ou non, et est influencé par le jugement de l'autre. Il est en effet difficile d'admettre son impuissance à gérer une situation qui de l'extérieur ne présente pas de difficultés. Même si cet aspect psychologique est difficile à confirmer, on peut penser que ce genre de comportements est susceptible de se manifester dans les circonstances que l'on étudie.

Ce qui nous intéresse ici rentre dans le cadre des transitions autonomes de mode. Celles-ci ont déjà été étudiées, mais avec une approche descendante qui s'est attachée à identifier les processus cognitifs sous-jacents dans la compréhension des changements de mode. On retrouve à ce titre les publications de Javaux et de Keyser.

Parmi les phénomènes considérés comme pouvant être à l'origine des problèmes de mode, ces auteurs retiennent :

Les fiches qui suivent sont représentatives des phénomènes décrits dans le second point du § 4.1. On ne détaillera pas ici les événements évoqués dans le premier point. On retrouve dans les deux cas des points communs et une partie des conclusions que l'on tire pourraient aisément être étendues. Cependant, les modes d'erreur sont plus simples car dans ces cas, l'automatisme n'est plus engagé et la confusion ne provient que du manque de conscience de la situation du pilote par rapport à la configuration de l'avion.

La difficulté réside alors dans la méthode pour remettre le pilote dans la boucle. Cela passe sans doute par des moyens de fournir à l'équipage les éléments d'information essentiels à la reprise de contrôle manuelle de l'avion. Ces problèmes ont déjà été considérés et il semble que des solutions mettant en jeu la formation initiale et récurrente des équipages soient relativement efficaces pour améliorer les choses. Cependant, il faut néanmoins que ces événements fassent également l'objet d'un suivi particulier afin d'évaluer l'efficacité des solutions mises en œuvre et l'opportunité de rechercher de nouveaux moyens d'amélioration.

Attention: les éléments présentés ci-dessous ne constituent pas un résumé des accidents ou incidents mais un rappel des seules circonstances et caractéristiques intéressant cette étude.

Le Fokker 100 décolle sur la piste 08 d'Orly pour un vol à destination de Bordeaux. Le copilote est le pilote en fonction. Peu après le décollage, pendant la phase d'accélération (passage de la poussée "Take Off" à la poussée "Climb"), le Commandant de bord constate que l'avion n'accélère pas normalement et relève un EPR du moteur droit faible (1.2 au lieu de 1.5). Cependant les autres paramètres lui semblent normaux (il ne regarde pas le fuel flow). Il déconnecte l'automanette et ramène la manette du moteur droit vers l'arrière pour vérifier l'évolution des paramètres et lorsqu'il atteint le ralenti, l'alarme ENG 2 FAIL apparaît sur l'écran du MFDS ainsi que la procédure associée. Cette panne (signifiant un arrêt du moteur) ne lui semble pas cohérente avec les paramètres qu'il relève (moteur tournant avec une puissance intermédiaire). Il applique la procédure qui consiste en une tentative de rallumage, puis, si échec, en l'arrêt du moteur. Le moteur droit est arrêté. Le Commandant de bord demande au contrôleur un retour terrain. Il est autorisé pour un circuit à vue sur la piste 07. Durant la branche vent arrière, le pilote automatique numéro 2 est engagé. Alors qu'il vire en vent traversier, le copilote perd la piste de vue (il a le soleil en face). Le Commandant de bord est en vue de la piste mais estime que l'avion est trop haut pour atterrir en 07. En revanche l'avion est sur le plan pour un atterrissage en 08. Le changement de piste est accordé par le contrôle. Le Commandant de bord reprend les commandes à ce moment là. Elles lui semblent dures et quand il pousse sur le manche pour descendre, il constate que le trim déroule en sens inverse. Il n'analyse pas la situation et poursuit jusqu'à l'atterrissage en forçant sur le manche. C'est au poser qu'il entend la déconnexion du pilote automatique. L'avion dégage normalement la piste et les passagers sont débarqués.

Le commandant de bord et le copilote ont apporté certaines précisions sur la façon dont il ont perçu l'événement :

Le commandant de bord a souligné qu'à la reprise des commandes, celles-ci lui ont paru dures. Il ajoute ensuite " c'est là que l'on a commis une "erreur pilote". Je ne me suis pas rendu compte que le PA était engagé. C'est l'OPL qui l'avait engagé pendant la vent arrière. Je dois forcer beaucoup pour pousser le manche en avant. Je vois le trim qui part en sens inverse. Je pense à un déroulement de trim. Je vois l'indicateur de trim à plein cabré pendant la finale. L'AP2 était engagé et je pensais être en manuel. " A la question avez-vous vu le FMA, il répond par "Non, je ne l'ai pas vu. Compte-tenu de la position du soleil qui éblouissait, les informations n'étaient pas faciles à voir."

" En vent arrière, le CdB m'a conseillé de passer en pilotage automatique, que cela serait plus facile. J'étais en vue du terrain d'Orly. Le contrôleur nous a donné un cap pour tourner en base. J'ai tourné avec le pilote automatique. Arrivé en base, j'ai été ébloui par le soleil et j'ai perdu la piste de vue. J'ai dit alors au commandant de bord "Commandes à gauche". "

Le stress occasionné par la panne moteur au décollage et par l'apparente incohérence des paramètres affichés dans un premier temps, augmenté par la perte de vue de la piste par le copilote a conduit l'équipage à une percevoir la situation comme une situation d'urgence et a généré des réactions typiques du stress : focalisation, biais de sélection des données.

Le manque de coordination des membres d'équipage au moment du passage des commandes. Le commandant de bord avait conseillé au copilote d'engager le pilote automatique. Au moment où il a repris les commandes, il avait oublié cette information et elle n'a été rappelée par le copilote ni par une communication verbale ni par une communication non verbale (si le pilote automatique est engagé lors du passage des commandes, celui-ci doit être désigné par le pilote en fonction à l'autre pilote). L'ergonomie du FMA rendait les informations affichées difficilement lisibles dans ces conditions. De ce fait, la communication automatisme équipage était également déficiente. L'antagonisme a été combattu par l'automatisme sans qu'aucune information saillante sur cet état de fait ne soit donnée à l'équipage.

Les manifestations de l'avion alors que le commandant de bord poussait sur les commandes qui lui paraissaient " dures " ont été interprétées par lui comme un déroulement de trim. Il a constaté que le trim partait à plein cabré, mais n'a pas analysé plus avant la situation. Sans doute parce que les équipages, comme on l'a vu au § 4.2.5, s'attendent dans un certain sens à des comportements " incompréhensibles " dans les avions de nouvelle génération, ce pilote, qui comme on l'a vu par ailleurs était déjà confronté à une situation particulière, a préféré gérer le problème de manière instantanée en forçant sur les commandes, plutôt que de chercher à en comprendre l'origine. Il pouvait inconsciemment anticiper ceci comme une charge cognitive supplémentaire qu'il aurait eu du mal à gérer en plus du pilotage de l'avion. Cette manifestation est évidemment liée au stress. Il faut également noter qu'il n'a pas fait part de ses difficultés au copilote, ce qui confirme qu'il ne pouvait pas verbaliser ce qui se passait. L'utilisation d'un biais de confirmation : il y a un déroulement de trim donc il faut considérer une défaillance du système, montre comment dans une situation de pression temporelle il est peu réaliste d'attendre d'un équipage qu'il déploie des stratégies élaborées. En effet cette hypothèse est la première retenue par le commandant de bord et cela sera la dernière. Dans la mesure ou il réussissait à piloter l'avion, cette hypothèse n'a pas été remise en cause et l'antagonisme a persisté jusqu'à l'atterrissage.
La situation a été gérée avec succès par l'équipage. Elle était pourtant potentiellement dangereuse. En effet, la position du trim à plein cabré présentait un risque certain en cas de remise de gaz. Il est également intéressant de noter que l'atterrissage s'est effectué à vue donc a priori la charge de travail de l'équipage n'était pas élevée.

Enfin, on était en présence d'un équipage composé d'un commandant de bord expérimenté et d'un copilote qui l'était moins. Cela a pu contribuer a réduire la communication entre eux.

Fiche N°2 : accident B747-400 - passage en mode GO-AROUND à l'atterrissage

L'équipage effectue à vue avec confirmation aux instruments une approche VOR-DME avec directeur de vol engagé et auto-manette active en mode VNAV (navigation verticale).

Le suivi de trajectoire est assuré manuellement par le copilote (pilote en fonction), tandis que l'auto-manette gère la vitesse.

Comme prévu par la logique du mode actif du système automatique de vol, celui-ci déclenche une remise de gaz automatique en arrivant au point End of Descent (situé à 2,3 Nm du seuil de piste) et le signale au niveau du FMA (partie supérieure du tube cathodique Primary Flight Display).

Le pilote non en fonction annonce le changement de statut de mode au FMA, sans commentaires ou analyse.

L'avion passe au dessus du plan et la vitesse augmente (elle atteindra Vref + 35 kt à une hauteur de 150 pieds).

Le pilote aux commandes ramène et maintient au ralenti les manettes de gaz; il a indiqué avoir senti que les manettes "tiraient vers l'avant" et avoir essayé de déconnecter l'auto-manette mais n'avoir pas trouvé le bouton d'instinctive disconnect situé sur les manettes

Suite à une remarque du commandant de bord sur la vitesse excessive, le pilote aux commandes répond par une phrase embrouillée sans référence à son problème avec les manettes des gaz, et il poursuit l'approche en maintenant toujours les manettes en position ralenti.

Environ 2 secondes avant le toucher, la manette des gaz n° 1 lui échappe, l'auto-manette étant toujours active en mode Go Around. La manette n. 1 et la poussée du moteur n° 1 partent vers la pleine poussée positive, où elles resteront jusqu'à l'arrêt de l'avion, sans que l'équipage s'en aperçoive.

En conséquence, à l'atterrissage, les spoilers ne sortent pas, l'auto brake se désarme, et il y a une forte dissymétrie de poussée.

L'avion sort de piste et termine sa course dans le lagon, sans dommages corporels.

Dans le cas de cet accident, on rencontre le problème des changements autonomes de mode. L'enquête a montré que l'équipage ne connaissait pas le mode dans lequel l'avion s'est retrouvé parce que sa fréquence d'activation est très rare. En effet il n'est pas usuel d'être en mode VNAV lors d'une approche à vue jusqu'au point de End of Descent et cette information est dès lors hors du champ de connaissance des pilotes. Du fait de la méconnaissance de cette règle, la remise de gaz automatique n'est pas interprétée comme telle par le copilote.

Une contradiction s'est présentée à lui : le commandant de bord a bien annoncé le changement de mode conformément aux procédures mais cela n'était pas suffisant pour l'alerter sur la situation. Son plan d'action activé à ce moment là était un atterrissage à vue. La piste étant en vue, il n'y avait donc aucune contre indication à son atterrissage. Pour lui, il lui suffisait de piloter la trajectoire puisque l'automanette maintenait la vitesse. Du fait que le changement de mode lui était inconnu, l'annonce de ce changement n'a provoqué aucune activation de schéma préétabli.

Le passage en mode TOGA de l'automatisme a eu pour conséquences un départ vers l'avant des manettes de poussée. Comme il est toujours possible de surpasser manuellement le mouvement commandé par l'automatisme, le copilote a retenu les manettes au ralenti pour poursuivre son approche, tout en ne trouvant pas le bouton de déconnexion situé sur celles-ci. Comme sur un B747 il y a quatre manettes, cette opération est très difficile à réaliser avec une seule main. (Sur les Airbus à partir de l'A320, les manettes puissance ne sont pas mobiles. Ce type de manifestation ne peut donc pas apparaître sur ces avions).

Sans faire part au commandant de bord de ses difficultés, le copilote a poursuivi son approche en éludant le problème lié aux manettes. En effet, concentré sur le pilotage de l'avion et sur la trajectoire, il n'avait pas suffisamment de ressources pour appréhender la situation inusuelle. Durant toute cette phase, il n'y a pas eu de remise en cause de l'atterrissage, même si comme l'a fait remarquer le commandant de bord la vitesse était excessive.

On voit ainsi comment la communication dans le cockpit était difficile, puisque le copilote, ne comprenant pas le comportement de l'automatisme, n'était pas capable de décrire la situation au commandant de bord. Cela a sans doute généré un stress important chez le copilote qui ne pouvait plus dès lors que se focaliser sur l'accomplissement de son objectif qui était l'atterrissage.

Fiche N°3 : incident A310 - Déclenchement de la protection de vitesse en approche

Le commandant de bord (PF), au cours de l'approche pour atterrissage en piste 26 à Orly, (2PA et auto-manette (ATHR) engagés) voulait effectuer une approche ILS avec capture automatique de l'ILS. Voyant que l'appareil n'interceptait pas le GLIDE, il désengage le PA et poursuit l'interception en manuel avec les modes Tenue de Vitesse Verticale (V/S) en longitudinal et Localizer (LOC) en horizontal et ATHR toujours engagée (la non interception du glide est normale car dans la logique de cet avion, on ne peut l'intercepter avant le LOC). L'avion est alors en configuration trains sortis, volets becs 15°, altitude sélectée au FCU de 4000 pieds, la Vc est de 205 nœuds en régression.

L'avion est aligné sur le LOC et au-dessus du plan de descente. L'équipage sélecte les volets sur 20 degrés, la Vc est alors de 197 nœuds.

Le PA étant débrayé, le directeur de vol et l'ATHR activés, l'A 310 dispose, dans le mode V/S, d'une protection qui le fait passer automatiquement en mode "level change" en cas de dépassement de vitesse sur trajectoire. Il a été établi que la sélection des volets en position 20°, à une vitesse de 197 nœuds, très légèrement supérieure à la vitesse maximale dans cette configuration (soit 195 nœuds) a provoqué l'activation de cette protection. L'équipage n'a pas identifié les causes de ce comportement de l'avion.

Il constate que les manettes de poussée avancent et que les réacteurs montent en puissance.

L'équipage contre cette montée en puissance par une action à piquer de la gouverne de profondeur, l'A/THR restant engagée. Les manettes de poussée sont ensuite ramenée à la position ralentie. Au même instant, le PHR se déplace vers une position à cabrer. Cette tendance à cabrer est contrée par une action à pousser sur le manche. Alors que le PHR atteint sa valeur maximale à cabrer (-13°), et que la gouverne de profondeur atteint sa valeur maximale à piquer (+14,7), les manettes de poussée avancent rapidement jusqu'à leur butée avant mécanique (TRA = 84°). L'assiette de l'avion croît de + 6° vers 59° et l'avion grimpe jusqu'à une altitude de 4 000 pieds à une Vc inférieure à 45 nœuds (valeur minimale enregistrée). N'ayant plus d'information de vitesse, l'ATHR se désengage automatiquement. Des témoins voient l'avion décrocher sur l'aile droite, puis sur l'aile gauche avant de prendre une forte assiette négative (-32,7°). Les volets sont rentrés.

L'équipage reprend le contrôle de l'avion vers 800 ft. Le train est rentré. L'équipage effectue un nouveau circuit et se pose.

Plusieurs incompréhensions liées aux automatismes apparaissent dans l'étude de cet événement. Dans un premier temps il s'agit de l'impossibilité d'engager le mode GLIDE sil le LOC n'est pas capturé. Cela a conduit le commandant de bord à forcer la descente en utilisant des modes sélectés du pilote automatique. Cette modification entraînait cependant une variation par rapport à la situation habituelle en ce sens que du fait du retard survenu pour la mise descente de l'appareil, celle-ci a dû être précipitée et par conséquent la vitesse a augmenté.

Le pilote automatique a ensuite été déconnecté, mais avec le directeur de vol et l'automanette toujours engagés. On se trouvait là dans le cas d'une fonction non usuelle de l'aéronef et l'équipage a été confronté au déclenchement d'un mode autonome du pilote automatique agissant en protection de vitesse.

Lorsque ce mode s'est manifesté, avec passage de l'automanette en mode LVL CHG, l'équipage a agi immédiatement en poussant sur le manche et en réduisant manuellement les manettes de puissance. Cette réaction n'a pas été verbalisée. Elle correspondait à la volonté d'accomplir un objectif fixé par l'équipage, la descente, et contrariée par une manifestation " incompréhensible " de l'avion. Cette incompréhension s'explique par le caractère apparemment contradictoire des manifestations de l'automatisme par rapport à l'objectif de l'équipage et par le manque de lisibilité de ces manifestations. En effet, rien n'indique à l'équipage que la remise de gaz a été déclenchée parce que la vitesse limite volets sortis a été atteinte.

On peut dire qu'au cours de ces actions, aucun schéma ordonné n'a été appliqué. Tout d'abord action à piquer sur le manche, puis réduction des manettes de puissance. Ce sont là des actions qui sont du niveau instinctif et qui sont adaptées au rattrapage d'écarts en mode manuel. On constate donc un décalage cognitif très important entre les mode de fonctionnement de l'équipage et de l'automatisme. Alors que l'équipage réagit de manière instinctive parce qu'il est surpris, l'automatisme applique un mode complexe qui met en œuvre un plan d'action élaboré non directement interprétable par l'équipage. En effet, la survitesse est traitée par l'automatisme par une remise de gaz avec une indication sur les barres de tendance du directeur de vol de cabrer l'avion.

De part la rareté de ce mode, le manque d'informations fournies à l'équipage sur son engagement autonome et l'absence de description de la logique des fonctions automatiques, l'équipage est confronté à un problème qui ne peut se résoudre qu'en faisant appel au raisonnement ou, comme on l'a vu au § 4.2.5, à l'utilisation des connaissances déclaratives. Or on a vu que ce processus nécessite beaucoup de ressources et qu'il est difficile d'y faire appel dans des conditions de pression temporelle. Par conséquent on assiste au paradoxe suivant : devant l'impossibilité de rétablir un plan d'action cohérent avec les données extérieures, l'équipage ne fait plus appel qu'à ses habiletés pour résoudre la situation.

Ainsi il se " bat " littéralement avec l'avion et durant cette phase " physique ", il actionne de manière non consciente le bouton du trim pour l'amener jusqu'à la position plein cabré. Cependant l'automatisme poursuit toujours la logique " remise de gaz " et les manettes repartent vers l'avant. Les effets conjugués de la position du trim et de la poussée conduisent à la perte de contrôle de l'avion.

Au cours de la montée, après le décollage, l'équipage constate l'apparition d'une alarme de mauvais fonctionnement du calculateur de contrôle des volets (en fait les volets ne sortent pas réellement mais c'est le calculateur de position des volets qui a une défaillance). Les automatismes de l'avion induisent une diminution de vitesse par augmentation de l'assiette, puis par réduction de la poussée. L'équipage tente de maintenir la vitesse de l'avion et de contrer les actions du pilote automatique. Le commandant de bord finit par désenclencher le pilote automatique en forçant sur la roue de trim. L'équipage reprend l'avion en pilotage manuel.

Le mode de protection de vitesse qui s'est déclenché ne permet pas la déconnexion de l'auto manette par les moyens usuels. L'équipage a tout d'abord déconnecté le pilote automatique mais l'automanette est restée connectée. Puis, n'ayant pas suffisamment d'information pour interpréter le ralentissement de l'avion, notamment la connaissance de la vitesse cible, a contré l'auto manette tout en essayant de déconnecter l'automatisme. Ce faisant, il a sans doute reconnecté le pilote automatique par inadvertance en raison de la proximité des boutons-poussoirs.
L'avion a continué à vouloir ralentir, mais cette fois-ci en cabrant. L'équipage n'ayant toujours pas cerné l'origine du problème a contré le pilote automatique sans s'en apercevoir en croyant à un blocage des commandes.

Le système AFCAS (Automatic Flight Control and Augmentation System), en plus des fonctions de pilotage automatique, a comme tâche permanente de protéger le domaine de vol de l'avion. C'est à travers lui que les modes de protection se déclenchent.

En cas de sélection d'un braquage volets à une vitesse excessive, la protection de vitesse maximale agit immédiatement a posteriori. En fonction de l'engagement du pilote automatique et du mode sélectionné, le pilote automatique commande le ralentissement de l'avion par le biais de l'automanette où des commandes de profondeur.
Lorsque le pilote automatique est engagé, il n'est pas possible de le faire déclencher en le contrant au travers des commandes de vol. Le trim étant un Plan Horizontal Réglable, la logique du système rend les ordres du pilote automatique, qui contrôle le trim, prépondérants par rapport à toute action sur les commandes de profondeur.

L'information du bandeau FMA est utile dans la mesure où l'on porte son attention dessus. L'équipage s'y reporte pour vérifier l'engagement des modes qu'il a consciemment sélectionnés.

En revanche, dans le cas d'un engagement non conscient du PA ou d'un changement de mode non commandé par l'équipage, par exemple dans le cas d'un passage dans un mode de protection de vitesse, rien n'attire spécialement l'attention de l'équipage cette partie du PFD.

De ce qui précède, il ressort que l'équipage ne se représentait pas correctement la situation. A aucun moment il n'a fait le lien entre le ralentissement de l'avion et l'indication de volets sortis. Il ne s'est également jamais aperçu que lorsque les commandes de vol lui semblaient bloquées, le pilote automatique était en fait connecté.

La faible lisibilité des informations et le caractère confondant de certaines de ces informations :

au niveau des procédures fournies à l'équipage. La procédure FLAP POS CMPTR informe que " l'utilisation de l'avion n'est pas affectée ". D'autre part, l'affichage de " SPD LIM " au PFD indique à l'équipage que les protections à basse vitesse ne sont plus disponibles. Si l'équipage ne sait pas pourquoi l'avion ralentit, cette information ne peut que l'inquiéter et dans ce cas le conduire à des actions qui ne sont pas en rapport avec la situation.

L'information relative à l'engagement du pilote automatique est fournie uniquement sur le bandeau FMA. La différence entre un pilote automatique connecté ou déconnecté peut-être aussi ténue qu'une différence de couleur dans l'affichage des lettres " AP " (blanche ou ambre). Pour connaître les modes actifs, il faut volontairement porter son regard sur ce bandeau. Si l'équipage n'est pas conscient que le pilote automatique est engagé, il n'est pas certain que son attention se reportera sur les informations du FMA dans le cas ou il constate une anomalie dans les commandes de vol.

Le manque de travail en équipage dans l'analyse de la situation est un autre facteur. Le Commandant de bord est instructeur au sein de la compagnie et a formé le copilote. Il se crée ainsi dans le cockpit un gradient d'autorité qui incite le copilote, dans une situation dégradée, à faire entièrement confiance au Commandant de bord, sans qu'un échange s'installe. Il faut cependant noter que ni les procédures du manuel de vol, ni celles de la compagnie ne permettaient à l'équipage de cerner efficacement le problème.

La confusion a été aggravée par la connexion par inadvertance du pilote automatique. Sans cela, l'équipage n'aurait été confronté qu'à une réduction de la poussée des moteurs.

Au vu de ces événements, on constate qu'ils partagent de nombreuses caractéristiques communes. L'analyse d'autres événements qui ont été évoqués au début de cette étude montrerait que ces phénomènes se répètent relativement souvent. On peut donc tenter d'élaborer, comme outil d'enquête une grille d'analyse, qui intégrerait les facteurs explicatifs décrits ci-dessus. Cette grille pourrait servir à développer cette étude en synthétisant les résultats d'autres enquêtes qui ont été réalisées pour ces types d'événements et pourrait également servir pour des enquêtes futures.

Le tableau suivant présente les phénomènes rencontrés de manière récurrente dans l'analyse des événements :

La complexité des avions est croissante. Les ressources de l'homme sont quant à elles constantes, en particulier dans des situations très dynamiques comme on en rencontre souvent dans les avions. Quel que soit leur niveau d'expertise et leur entraînement, on ne peut pas penser que les pilotes sont en mesure de reconnaître toutes les situations liées à l'utilisation des automatismes et ce dans toutes les circonstances. Notamment les cas décrits plus haut d'automatismes engagés par inadvertance, de défaillances techniques conduisant à l'engagement d'un mode ou enfin d'apparition d'un mode peu connu sont les reflets de situations rares mais particulièrement dangereuses.

On a vu précédemment que si l'équipage ne comprend pas le comportement d'un automatisme, il est exposé au risque de bouclage cognitif qui conduit à l'antagonisme homme-machine. Il faut dans ce contexte accepter les erreurs, donner des outils aux pilotes pour les reconnaître et minimiser leurs conséquences.

Ceci doit passer par la prise en compte par les constructeurs et les autorités de ces problèmes au niveau de la conception. Dans ce cadre cette étude pourra servir de base à l'élaboration par le BEA d'un rapport conduisant à des recommandations. Ces recommandations ont déjà été émises, sous différentes formes, à la suite de plusieurs enquêtes (Mont Saint Odile, Tarom Orly..). La synthèse de résultats plus généraux pourrait peut-être aider à leur mise en œuvre en contribuant à la compréhension des phénomènes et à la définition des besoins d'évolution.

Ces pistes ne sont évidemment pas les seules. Il semble également essentiel que ces éléments devront être pris en compte dans la conception de nouveau avions. Malgré l'introduction de nouvelles protections et de nouveau systèmes, l'avion restera toujours vulnérable. Car les systèmes sont faillibles ; ils peuvent subir des défaillances ou générer des conflits dans des situations particulières. Le pilote reste donc le dernier maillon de la chaîne de sécurité. Il est indispensable qu'il ait toujours la meilleure conscience de la situation possible et la conception des automatismes doit dans ce sens intégrer au mieux l'équipage dans la boucle et lui permettre d'être en toutes circonstances en mesure de comprendre les comportements de l'avion.

Date	Lieu	Evénement	Avion	Phase de vol
9 janvier 1989	Helsinki (Finlande)	Incident	A300-B4	Approche
14 février 1990	Bangalore (Inde)	Accident	A320	Approche
11 février 1991	Moscou (Russie)	Incident	A310	Approche
13 septembre 1993	Tahiti	Accident	B747-400	Atterrissage
26 avril 1994	Nagoya (Japon)	Accident	A300-600	Remise de gaz
24 septembre 1994	Orly	Incident	A310	Approche
20 juin 1997	Nice	Incident	F100	Montée
12 mai 1997	Miami (Etats-Unis)	Incident	A300	Attente
16 février 1998	Taïpeh (Taïwan)	Accident	A300-B4	Remise de gaz
25 août 1999	Orly	Incident	F100	Atterrissage
27 juin 2000	Dubai (Emirats)	Incident	A310	Remise de gaz
2 avril 2001	Atlantique Nord	Incident	A340	Croisière
13 avril 2001	Orly	Incident	F100	Approche