Information du site SKYbrary (en anglais seulement)
La gestion des menaces et des erreurs (TEM) est un concept fondamental de sécurité au chapitre des opérations aériennes et de la performance humaine. La TEM n’est pas un concept révolutionnaire, mais il a évolué de façon graduelle comme conséquence d’une quête constante d’amélioration des marges de sécurité des opérations aériennes, en intégrant de façon pratique les connaissances sur les facteurs humains.
La TEM a été conçue comme un produit de l’expérience collective de l’industrie du transport aérien. Une telle expérience a favorisé la reconnaissance selon laquelle les études passées — et plus particulièrement, la considération opérationnelle de la performance humaine en aviation — avaient grandement ignoré le facteur le plus important influençant la performance humaine dans les milieux de travail dynamiques : l’interaction entre les personnes et le contexte opérationnel (c.-à-d. facteurs organisationnels, réglementaires et environnementaux) dans lequel les personnes s’acquittent de leurs fonctions.
La reconnaissance de l’influence du contexte opérationnel dans le contexte de la performance humaine a, par la suite, donné lieu à la conclusion selon laquelle l’étude et la considération de la performance humaine liée aux opérations aériennes ne devaient pas être une fin en soi. En ce qui concerne l’amélioration des marges de sécurité des opérations aériennes, l’étude et la considération de la performance humaine sans contexte ne règlent qu’une partie d’un problème plus général. La TEM, par conséquent, vise à fournir une approche fondée sur des principes d’examen général de la dynamique et des complexités du contexte opérationnel de la performance humaine, puisque c’est l’influence de ces complexités qui est à l’origine des conséquences affectant directement la sécurité.
La TEM dans le contexte des opérations aériennes
Il existe trois composantes de base dans le modèle de TEM du point de vue des équipages de conduite : les menaces, les erreurs et les états indésirables des aéronefs (UAS). Le modèle propose que les menaces et les erreurs fassent partie des opérations aériennes quotidiennes qui doivent être gérées par les équipages de conduite, puisque les menaces et les erreurs peuvent provoquer des UAS. Les équipages de conduite doivent également gérer ces états, puisque ceux-ci pourraient avoir des conséquences fâcheuses. La gestion d’un état indésirable est une composante essentielle du modèle de TEM, aussi importante que la gestion des menaces et des erreurs. La gestion de l’état indésirable d’un aéronef représente en pratique la dernière occasion d’éviter une situation fâcheuse et, de ce fait, c’est elle qui permet de ne pas empiéter sur les marges de sécurité en vol.
- Les menaces sont généralement définies comme étant des événements ou des erreurs survenant au-delà de l’influence de l’équipage de conduite, augmentant la complexité opérationnelle et devant être gérées pour assurer les marges de sécurité. Durant les opérations de vol habituelles, les équipages de conduite doivent gérer diverses complexités contextuelles. Ces complexités comprennent la gestion de conditions météorologiques défavorables, la présence de hautes montagnes, la congestion de l’espace aérien, les mauvais fonctionnements de l’aéronef, les erreurs commises par d’autres personnes en dehors du poste de pilotage, notamment les contrôleurs de la circulation aérienne, les agents de bord, les employés de maintenance, etc. Le modèle de TEM considère ces complexités comme des menaces parce qu’elles peuvent nuire aux opérations de vol en réduisant les marges de sécurité.
Menaces prévues
Certaines menaces peuvent être anticipées, puisqu’elles sont attendues ou connues par l’équipage de conduite. Par exemple, les équipages de conduite peuvent prévoir les conséquences d’un orage en faisant connaître à l’avance les mesures qu’ils prendront, ou se préparer en vue d’une congestion aéroportuaire en s’assurant qu’il n’y a aucun autre aéronef lorsqu’ils effectuent l’approche.
Menaces imprévues
Certaines menaces peuvent survenir de façon inattendue, comme un mauvais fonctionnement de l’aéronef en vol qui se produit soudainement, sans avertissement. Dans ce cas, les équipages de conduite doivent appliquer les connaissances et les compétences acquises au moment de la formation et de l’expérience opérationnelle.
Menaces latentes
Enfin, certaines menaces peuvent ne pas être directement évidentes ou observables pour les équipages de conduite plongés dans le contexte opérationnel, et peuvent devoir être découvertes au moyen d’analyses de sécurité. Ce type de menaces est considéré comme des menaces latentes. Par exemple : les problèmes de conception d’équipement, les illusions d’optique ou une programmation plus serrée des calendriers de rotation.
Que les menaces soient prévues, imprévues ou latentes, on peut mesurer l’efficacité de la capacité de l’équipage de conduite à gérer les menaces, en déterminant si les menaces sont détectées suffisamment à temps pour permettre à l’équipage de conduite d’y répondre en déployant des contre-mesures appropriées.
La gestion des menaces est la pierre d’assise de la gestion des erreurs (en anglais seulement) et de la gestion des UAS. Bien que le lien entre les erreurs et les menaces ne soit pas nécessairement direct — même si on ne peut pas toujours établir un lien direct, ni une adéquation entre les menaces, les erreurs et les UAS — les données d’archive démontrent que les menaces mal gérées sont normalement liées aux erreurs des équipages de conduite, qui sont souvent liées à des UAS. La gestion des menaces offre l’option la plus proactive pour assurer des marges de sécurité lors d’opérations aériennes, en évitant des situations compromettant la sécurité à leur racine. À titre de gestionnaire des menaces, les équipages de conduite sont la dernière ligne de défense pour empêcher les menaces de nuire aux opérations aériennes.
Le tableau 1 montre des exemples de menaces regroupées en deux catégories de base extraites du modèle de TEM. Les menaces environnementales surviennent en raison de l’environnement dans lequel les opérations aériennes ont lieu. Certaines menaces environnementales peuvent être prévues et d’autres peuvent survenir spontanément, mais elles doivent toutes être gérées par les équipages de conduite en temps réel. Les menaces organisationnelles, en revanche, peuvent être contrôlées (c.-à-d. éliminées ou au moins minimisées) à la source par les organismes d’aviation. Les menaces organisationnelles sont habituellement latentes de nature. Les équipages de conduite demeurent toujours la dernière ligne de défense, même si les organismes d’aviation eux-mêmes peuvent les atténuer à l’avance.
|
Menaces environnementales |
Menaces organisationnelles |
|---|---|
|
|
- Les erreurs sont généralement définies comme étant des actions ou des inactions menées par le personnel de première ligne qui donnent lieu à des écarts par rapport aux intentions ou aux attentes de l’organisation ou de l’exploitation. Les erreurs non gérées ou mal gérées entraînent fréquemment des états indésirables des aéronefs. Les erreurs tendent donc dans le contexte opérationnel à réduire les marges de sécurité et à augmenter la probabilité qu’un événement indésirable se produise.
Les erreurs peuvent être spontanées (c.-à-d. sans lien direct avec des menaces particulières ou évidentes), liées à des menaces ou faire partie d’une chaîne d’erreurs. Des exemples d’erreurs incluraient l’incapacité de maintenir des paramètres d’approche stabilisée, la sélection d’un mode d’automatisation incorrect, le fait de ne pas faire une annonce requise ou l’interprétation incorrecte d’une autorisation du contrôle de la circulation aérienne (ATC).
Peu importe le type d’erreur, l’effet d’une erreur sur la sécurité dépend de l’aptitude ou de l’inaptitude de l’équipage de conduite à détecter ou à réagir à l’erreur avant qu’elle n’entraîne un état indésirable de l’aéronef et un risque pour la sécurité. C’est pourquoi l’un des objectifs de la TEM est de comprendre la gestion des erreurs (c’est-à-dire,
la détection et la réponse), plutôt que de se concentrer uniquement sur la causalité des erreurs (c’est-à-dire, la causalité et la commission). Du point de vue de la sécurité, les erreurs opérationnelles qui sont détectées à temps et auxquelles on répond rapidement (c’est-à-dire, qui sont correctement gérées) ne conduisent pas à des UAS, ne réduisent pas les marges de sécurité lors d’opérations aériennes et deviennent donc négligeables sur le plan opérationnel. Outre sa valeur de sécurité, une bonne gestion des erreurs représente un exemple de performance humaine réussie, présentant à la fois une valeur d’apprentissage et de formation.
Le fait de saisir comment les erreurs sont gérées est donc aussi important, si ce n’est plus, que de saisir la prévalence des différents types d’erreurs. Il est intéressant de saisir quand les erreurs sont détectées, à quel moment elles sont détectées, qui les détectent, quelles sont les réponses lors de la détection des erreurs et quel est le résultat des erreurs. Certaines erreurs sont rapidement détectées et résolues, n’entraînant ainsi aucune conséquence au niveau opérationnel, alors que d’autres ne sont pas détectées ou sont mal gérées. Une erreur mal gérée est définie comme étant une erreur entraînant une autre erreur ou un état indésirable de l’aéronef.
Le tableau 2 présente des exemples d’erreurs regroupées en trois catégories de base extraites du modèle de TEM. Selon le concept de TEM, les erreurs doivent être « observables » et par conséquent, le modèle de TEM utilise l’« interaction primaire » comme point de référence pour définir les catégories d’erreurs.
Le modèle de TEM classifie les erreurs en se basant sur l’interaction primaire du pilote ou de l’équipage de conduite au moment où l’erreur est commise. Ainsi, pour qu’une erreur puisse être classée comme étant une erreur de pilotage de l’aéronef, il faut que le pilote ou l’équipage de conduite soit en train d’interagir avec l’aéronef (p. ex. par le biais de ses commandes, de l’automatisation ou de systèmes). Pour qu’une erreur soit classée comme étant une erreur procédurale, le pilote ou l’équipage de conduite doit être en train d’engager une procédure (p. ex., consultation de listes de vérification, exécution de procédures normalisées d’exploitation [SOP], etc.). Pour qu’une erreur soit classée comme erreur de communication, le pilote ou l’équipage de conduite doit être en train d’interagir avec des personnes (ATC; équipage au sol; autres membres d’équipage; etc.).
Les erreurs de pilotage de l’aéronef, les erreurs procédurales et les erreurs de communication peuvent être non intentionnelles ou comprendre une non-conformité intentionnelle. Pareillement, les considérations de compétence (c.-à-d. qualifications ou connaissances déficientes ou système de formation déficient) peuvent appartenir aux trois catégories d’erreurs. Afin de garder l’approche simple et d’éviter toute confusion, le modèle de TEM ne tient pas compte de la non-conformité intentionnelle ni de la compétence comme étant des catégories distinctes d’erreurs, mais plutôt comme des sous-ensembles des trois catégories principales d’erreurs.
|
Erreurs de pilotage de l’aéronef |
|
|---|---|
|
Erreurs procédurales |
|
|
Erreurs de communication |
|
- États indésirables — généralement définis comme des conditions d’exploitation au cours desquelles une situation imprévue réduit les marges de sécurité. Les UAS découlant d’une gestion inefficace des menaces et des erreurs peuvent créer des situations compromettantes et réduire les marges de sécurité lors d’opérations aériennes. Un tel état est souvent considéré comme le dernier stade avant un incident ou un accident.
Les exemples d’UAS comprendraient le fait de s’aligner vers une piste incorrecte lors de l’approche à l’atterrissage, d’excéder les restrictions de vitesse de l’ATC durant l’approche ou de faire un atterrissage long sur une piste courte
exigeant un freinage maximal. Des événements comme de mauvais fonctionnements de l’équipement ou des erreurs du contrôleur de la circulation aérienne peuvent également réduire les marges de sécurité des opérations aériennes, mais ces événements seraient considérés comme des menaces. Les UAS peuvent être gérés efficacement en restaurant les marges de sécurité, ou les réponses des équipages de conduite peuvent entraîner une autre erreur ou un autre incident ou accident.
Le tableau 3 présente des exemples d’UAS regroupés en trois catégories de base extraites du modèle de TEM.
|
Pilotage des aéronefs |
|
|---|---|
|
Navigation terrestre |
|
|
Configurations incorrectes de l’aéronef |
|
Passer rapidement de la gestion d’erreurs à la gestion des UAS est un élément d’apprentissage et de formation important pour les équipages de conduite. Voici un exemple : un membre d’équipage de conduite choisit une mauvaise approche dans l’ordinateur de gestion de vol (FMC). Par la suite, un autre membre de l’équipage de conduite décèle l’erreur lors d’une contre-vérification avant le repère d’approche finale (FAF). Toutefois, au lieu d’utiliser un mode de base (p. ex., cap) ou de voler manuellement sur la trajectoire désirée, les deux membres de l’équipage de conduite essaient de reprogrammer la bonne approche avant d’atteindre le FAF. À cause de cela, l’aéronef zigzague dans l’alignement de piste, descend en retard et effectue une approche instable. Ceci montrerait que l’équipage de conduite s’est empêtré dans la gestion des erreurs au lieu d’opter pour la gestion des UAS. L’utilisation du modèle de TEM aide à enseigner aux équipages de conduite que leur tâche de base est d’opter pour la gestion des UAS au lieu de la gestion des erreurs, lorsque l’aéronef est dans un état indésirable. Elle illustre aussi à quel point il est facile de s’empêtrer dans la phase de gestion des erreurs.
En outre, du point de vue de la formation et de l’apprentissage, il est important d’établir une différence claire entre les UAS et les résultats. Les UAS sont des états transitionnels entre l’état opérationnel normal (p. ex., une approche stabilisée) et un résultat. Les résultats, en revanche, sont des états finaux, plus particulièrement, des occurrences pouvant être rapportées (c.-à-d. incidents et accidents). Voici un exemple : une approche stabilisée (état opérationnel normal) devient une approche non stabilisée (état indésirable de l’aéronef) qui entraîne une sortie de piste (résultat).
Les implications de cette différenciation en termes de formation et de remédiation sont importantes. Lorsque l’aéronef est dans un état indésirable, l’équipage de conduite a la possibilité — en utilisant une TEM appropriée — de remédier à la situation, en revenant à l’état opérationnel normal, restaurant ainsi les marges de sécurité. Une fois que l’état indésirable de l’aéronef devient un résultat, il n’est plus possible de remédier à la situation, de revenir à un état opérationnel normal, ni de restaurer les marges de sécurité.
Contre-mesures
Les équipages de conduite doivent, dans le cadre normal de leurs fonctions opérationnelles, employer des contre-mesures pour empêcher les erreurs, les menaces et les UAS de réduire les marges de sécurité lors d’opérations aériennes. Les exemples de contre-mesures incluraient les listes de vérification, les exposés, les annonces et les SOP, ainsi que les stratégies et tactiques personnelles. Les équipages de conduite consacrent beaucoup de temps et d’énergie à l’application de contre-mesures afin de conserver des marges de sécurité durant les opérations aériennes. Les observations empiriques durant la formation et la vérification suggèrent qu’au moins 70 % des activités des équipages de conduite pourraient être des activités liées à des contre-mesures.
Toutes les contre-mesures sont nécessairement des mesures prises par les équipages de conduite. Cependant, certaines contre-mesures contre les menaces, les erreurs et les états indésirables qu’emploient les équipages de conduite se basent sur des ressources matérielles fournies par le système d’aviation. Ces ressources sont déjà en place dans le système avant que les équipages de conduite exécutent leurs fonctions et sont, par conséquent, considérées comme des contre-mesures basées sur des systèmes. Les exemples suivants illustreraient les ressources matérielles qu’emploient les équipages de conduite à titre de contre-mesures systémiques :
- système anticollision embarqué (ACAS);
- dispositif avertisseur de proximité du sol (GPWS);
- SOP;
- listes de vérification;
- exposés;
- formation;
- etc.
D’autres contre-mesures sont plus directement reliées à la contribution humaine à la sécurité des opérations aériennes. Ce sont des stratégies et des tactiques personnelles, des contre-mesures individuelles et d’équipe, qui incluent généralement des compétences, des connaissances et des attitudes développées au moyen de la formation sur la performance humaine, plus particulièrement, la formation sur la gestion des ressources en équipe (CRM). Il existe principalement trois catégories de contre-mesures individuelles et d’équipe :
- Planification des contre-mesures : essentielles pour gérer des menaces prévues ou imprévues;
- Exécution des contre-mesures : essentielles pour détecter des erreurs et répondre à celles-ci;
- Examen des contre-mesures : essentielles pour gérer l’évolution des conditions de vol.
La TEM améliorée est le produit de l’utilisation combinée des contre-mesures systémiques et des contre-mesures individuelles et d’équipe. Le tableau 4 présente des exemples détaillés de contre-mesures individuelles et d’équipe.
|
Planification des contre-mesures |
||
|---|---|---|
|
Exposé sur les SOP |
L’exposé nécessaire était interactif et détaillé sur le plan opérationnel |
|
|
Transmission des plans |
Les plans et les décisions opérationnels ont été communiqués et un accusé de réception a été reçu |
|
|
Affectation de la charge de travail |
Les rôles et les responsabilités ont été définis pour les situations normales et anormales |
|
|
Gestion des contingences |
Les membres d’équipage ont conçu des stratégies efficaces pour gérer les menaces contre la sécurité |
|
|
Exécution des contre-mesures |
||
|
Surveillance/contre-vérification |
Les membres d’équipage ont surveillé et contre-vérifié activement les systèmes et les interventions des autres membres d’équipage |
|
|
Gestion de la charge de travail |
Les tâches opérationnelles ont été priorisées et adéquatement gérées pour exécuter les fonctions principales de vol |
|
|
Gestion de l’automatisation |
L’automatisation a été correctement gérée afin d’équilibrer les exigences situationnelles et la charge de travail |
|
|
Examen des contre-mesures |
||
|
Évaluation/modification des plans |
Les plans existants ont été examinés et modifiés au besoin |
|
|
Interrogation |
Les membres d’équipage ont posé des questions afin d’étudier ou de préciser les plans actuels de mesure |
|
|
Assertivité |
Les membres d’équipage ont communiqué des renseignements critiques ou des solutions en persistant de façon appropriée |
|