La très haute fiabilité du transport aérien de passagers a, sans surprise, été rappelée. Il n’empêche pas moins qu’avoir de temps à autre de 200 à 300 morts en un seul accident, par nature fortement médiatisé, pose problè me, d’autant que le secteur s’attend à une croissance continue de la demande et donc à une augmentation de la densité du trafic aux alentours des grands aéroports dont les capacités d’extension sont souvent très limitées. Or les phases de vol les plus accidentogènes sont justement celles qui sont proches d’un aéro port: décollage, montée en altitude, approche et atterrissage. En phase de croisière, donc sur les longs courriers, le pilote automatique est branché, le risque étant au plus bas. Ce sujet avait été abordé en 2012. L’Académie de l’air et de l’espace (AEE) l’a repris les 1er et 2 juin, en proposant une feuille de route devant mener à une plus grande sécurité, donc à une plus grande automatisation de l’avion au service du pilote.
Pour une majorité d’intervenants, tous ingénieurs, il existe une sorte de tendance « naturelle » qui pousse vers la SPO (Single Pilot Operation), sous réserve cependant que soit menée une sérieuse évaluation coûts/avantages. Mais pour des raisons « éthiques, sociétales et juridiques », la présence d’un pilote à bord semble acquise, partageant le sort des passagers, a expliqué Jean-Claude Ripoll. Aucun intervenant n’a osé dire publiquement – contrairement aux allégations de Rolls Royce, des responsables du projet européen Munin (Maritime Unman ned Navigation Through Intel – ligence in Net works) et du DnV GL concernant les navires plus ou moins autonomes – que puisque l’erreur humaine était la cause principale des accidents aériens (ou maritimes), il suffisait de rendre l’avion (ou le navire) totalement autonome, pour éliminer ce risque.
Feuille de route
Tout cela a amené l’AEE à définir une sorte de feuille de route, présentée par Alain Garcia, visant à définir les différentes étapes techniques qui devront être franchies pour arriver à ce que la sécurité des vols court, moyen et long courrier soit conforme aux exigences internationales, avec un seul pilote, qu’il soit à bord ou à terre. Devront faire de gros progrès, voire changer leurs méthodes de travail, les spécialistes de la météo et surtout du contrôle aérien. De nouvelles capacités radioélectriques de vront être dégagées pour assurer l’augmentation des échanges entre l’avion et le sol. De nouveaux automatismes à haute fiabilité devront être capables de « tenir » l’avion durant dix minutes, le temps nécessaire pour que le pilote se remette dans la boucle en cas d’incident grave. La détection de son état physique et mental devra être certifiée. Il faut s’y mettre dès maintenant car en matière aéronautique, 2050 se prépare aujourd’hui, sachant que la durée de vie d’un avion de transport de passagers est d’une quarantaine d’années. Cela dit, il n’est pas exclu d’exploiter des avions tout cargo totalement autonomes (décollage-vol-atterissage) vers 2050, en fonction des progrès réalisés, a-t-on laissé entendre. La sécurité des personnes et des biens survolés n’a pas été évoquée.
Des interrogations sur les facteurs humains
Les spécialistes du comportement humain et quelques ingénieurs se sont montrés plus nuancés sur le SPO. L’un au moins a qualifié les automatismes de « prothèses » du pilote. Un autre a invité les acteurs du secteur à ne pas oublier que ce sont les passagers qui font vivre le transport aérien.
Première nuance, si l’erreur humaine dans la conduite de systèmes complexes est bien documentée, cela n’est pas le cas des probables nombreuses réactions positives de l’humain, qui a rattrapé un comportement inapproprié d’automatismes dans des circonstances extrê mes, ou plus simplement en cas de situation « imprévue » donc non-programmée dans les procédures suivies par les automatismes. Non négligeable en fréquence, la situation « imprévue » a donné lieu à plusieurs développements notamment sur son caractère non-déterministe. Il convient de distinguer l’inattendu qui peut être programmé mais pas planifié, de l’imprévu.
Autre nuance, comment doit-on gérer un conflit de décisions entre un robot et un humain? L’accident de l’avion de la Ger manwings, causé par la décision du copilote de se diriger vers le sol, semble avoir marqué les esprits des spécialistes. Doit-on concevoir un logiciel qui, « conscient » de la phase de vol dans laquelle se trouve l’avion, prend les commandes en lieu et place du copilote car il n’y a aucune raison, à ce moment précis, de descendre de façon volontaire? Contrairement à ce qui existe déjà en aérien et en maritime, il ne s’agit pas de faire sonner une alarme (qui peut être éteinte en passerelle), mais d’interdire le pilotage humain. Qui, in fine, décide surtout en cas de conflit entre la machine et l’homme, s’est interrogée Catherine Tessier de l’Onera (Office national d’études et de recherches aéronautiques).
Stéphane Chatty (Enac) a rappelé la difficulté d’interfacer des automatismes (qui sont le fruit d’une modélisation, réussie, de phénomènes physiques) avec des opérateurs humains, pilote ou contrôleur aérien. « Il n’existe pas de passerelle entre les modèles pour les dispositifs physiques ou les systèmes automatiques, et les modèles issus des sciences cognitives, portant sur le comportement humain. Ces deux types de modèles ne se mélangent pas. » La seule solution pour éviter de cuisants échecs – comme le rejet par les contrôleurs aériens de la numérisation des bandes de papier utilisées manuellement pour suivre un avion – est la méthode empirique, a conclu Stéphane Chatty. Il faut observer le travail des utilisateurs, analyser leurs besoins conscients, concevoir une interface, la faire tester par les opérateurs pour détecter d’éventuelles exigences inconscientes, et possiblement recommencer le processus. Cette méthode empirique est désignée sous le terme de user-centered design ou conception participative, qui s’est progressivement répandue chez Airbus et Thales. Exemple: avantages et inconvénients du remplacement des boutons électriques par un écran tactile dans un cockpit. À terme, l’algèbre des processus ou modèle cyberphysique semble être une solution permettant d’éviter l’usage de la méthode empirique.
Plusieurs intervenants ont rappelé certains risques:
– l’automatisation croissante de l’avion doit éviter de créer une baisse de vigilance du pilote qui, « n’ayant rien à faire », s’ennuie et donc devient moins vigilant;
– pilotant de plus en plus rarement, il risque de perdre sa capacité à réagir correctement en cas de situation « imprévue » ou dégradée;
– les effets des automatismes doivent être transparents pour le pilote afin de lui éviter tout effet de surprise;
– face à une situation critique, le pilote a besoin de quelques informations très spécifiques. Il ne doit pas avoir à les rechercher au milieu d’une masse de données;
– le cerveau humain n’est pas fait pour surveiller de façon efficace des automatismes, ce qui pose un problème;
– focalisé sur une tâche à accomplir, un être humain, pilote ou non, peut facilement être frappé par une « cécité d’inattention » (test du gorille invisible mené en 1999 par deux chercheurs de l’université de Harvard);
– l’être humain privilégie l’information visuelle à l’information auditive. Et le pilote a tendance à se poser sans « entendre » le son d’une alarme qui l’avertit qu’un train d’atterrissage n’est pas sorti;
– l’être humain se « déconnecte » régulièrement du réel. C’est la « divagation intentionnelle », une sorte d’hypnose naturelle détectable par IRM. Un état non-souhaitable qui ralentit le retour dans la boucle quand surgit une situation « imprévue ». Le suivi du mouvement des yeux du pilo te montre qu’il cherche à comprendre la situation.
Si le monde aérien est conscient de ces contraintes et cherche à comprendre d’autres phénomènes comme les effets du gradient hiérarchique, il n’est pas sûr que le transport maritime soit si proactif. En tout cas, les colloques sur ces sujets sont exceptionnels, voire inexistants.
Les projets de navires plus ou moins autonomes, télépilotables à distance, à une échéance de dix ans, selon Rolls Royce, sont donc à considérer avec prudence, même si en cas d’accident le risque d’une forte médiatisation est bien moindre. À moins qu’il ne s’agisse d’un pétrolier ou d’un paquebot.
Recherche sur la matérialisation des effets du gradient hiérarchique
Un timonier philippin n’a pas contesté le comportement d’un lieutenant français de quart à la passerelle et le paquebot a fini sur les coraux d’une île. Un copilote français n’a pas exprimé ses doutes sur le contenu exact d’un message de la tour de contrôle mal entendu, laissant faire le commandant qui fut son instructeur. Et l’avion d’Air France n’est pas passé loin d’une collision avec un appareil qui atterissait. Le respect aveugle de la hiérarchie est l’une des causes de la non-récupération de l’erreur humaine.
Si tout se passe comme prévu, une étude doit commencer prochainement en France afin d’étudier les éventuelles modifications du fonctionnement du cerveau d’un commandant et du copilote en situation de conflit ou de doute plus ou moins marqué sur leur comportement respectif. Les progrès de l’imaginerie cérébrale portable sont redoutables.