AF 447...

<br /> Bon....normalement 'est la fin du sujet <br /> <br /> <br /> Une fois que l’on est entré dans la réglementation, on<br /> ne fait plus machine arrière, on décline la sécurité sur les familles 1, 2, 3 jusqu’au bout du<br /> bout, jusqu’au moment où l’on se dit que l’on n’est plus du tout résilient. Mais on ne sait pas<br /> comment s’en sortir, à part sans doute par le maintien de cow-boys. Mais on voit aussi qu’il n’est<br /> pas simple de réintroduire les cow-boys surtout quand on a une culture qui les a pratiquement tous « tués »<br /> pendant plus de 20 ans. Plusieurs questions se posent alors. Qu’est ce qu’un cow-boy? Où le met-on<br /> dans l’entreprise ? Qu’est qu’il a le droit de faire ? Comment va-t-on le gérer ? etc.<br /> <br /> <br />  <br /> <br /> <br /> Il est étonnant qu’il n’y ait pas de compagnie aérienne qui communique sur sa sécurité performante ?<br /> <br /> Il est interdit de le faire, c’est le privilège de la famille 3 poussée au bout, quand on a décliné<br /> toutes les familles dans un modèle ultra sûr. À ce niveau là, on interdit toute valorisation<br /> compétitive commerciale de la sécurité car la sécurité n’est plus un objet commercial, c’est un<br /> objet devenu obligatoire. La déclinaison absolue de ce concept, dans les systèmes ultra sûrs,<br /> c’est l’interdiction de remettre des primes au mérite pour distinguer des opérateurs de même<br /> niveau avec la même qualification car sinon, on recrée des artisans, ou des cow-boys…..(mais parfois cela se fait…..<br /> <br /> <br /> Parler résilience, ce n’est pas un problème de riche ?<br /> <br /> La question de résilience est à la mode.<br /> Il reste des cow-boys . . . des micro-cowboys pour des micro sorties du « tube. » .<br /> Mais est-ce qu’on les laisse faire ?<br /> Les cow-boys, ils sont peu… dans le contrôle aérien et l’aviation militaire notamment, et encore un peu dans l’aviation civil, les anciens…là, il y a encore des cow-boys.<br /> Ils se cachent, se reconnaissent entre eux . . .<br /> Mais ils sont surveillés, il y a des régulations.<br /> C’est le niveau de l’équipe qui régule.<br /> <br /> <br />  <br /> <br /> <br /> Petit extrait d’un colloque à Toulouse en 2009.<br /> <br /> <br /> Incertitude dans la  sécurité gérée et la  sécurité contrainte.<br /> <br /> <br /> Lier à l’industrie, à la médecine et l’aéronautique. <br /> <br /> <br /> C'est fini <br /> <br /> <br />  <br /> <br /> <br /> <br /> <br />

<br /> La suite <br /> <br /> <br /> par définition extrêmement rares, et<br /> par conséquent le système peut se conforter dans sa stratégie de sur sécurité pendant très<br /> longtemps.<br /> Malheureusement, il n’existe aucune solution aujourd’hui pour à la fois sur sécuriser un<br /> système et continuer à entretenir une résilience importante chez les professionnels.<br /> On a deux philosophies résultantes de ce constat :<br /> • un modèle sûr mais peu performant et pas adaptable ;<br /> • ou un modèle économiquement compétitif et très performant, mais risqué.<br /> <br /> Illustration dans l’aviation<br /> Par exemple, alors que la plupart des compagnies aériennes meurent après un accident grave :<br /> TWA, Swissair, etc., une compagnie a montré de remarquables capacités résilientes au niveau de sa direction.<br />  L’accident qu’elle a vécu est une belle illustration de cette stratégie de résilience : par<br /> le fait d’une conduite facteurs humains de l’équipage très discutable, l’avion a raté la piste et<br /> s’est brisé à l’atterrissage de nuit, mais heureusement les passagers ont été évacués. La stratégie<br /> de résilience, préparée de façon générique par la direction a merveilleusement fonctionné : elle<br /> consiste à réagir très vite en moins d’une heure après l’accident, à capturer immédiatement le<br /> point positif que l’on peut mettre en valeur dans l’événement, et à passer l’information à toutes les<br /> agences de presse : passer une dépêche dans le monde entier annonçant que cette compagnie est<br /> la plus performante pour évacuer les gens. Le bénéfice net a été inimaginable : alors qu’une autre compagnie serait morte d’un accident équivalent, celle-ci a gagné des clients.<br /> <br /> <br /> <br />  <br /> <br /> <br /> Illustration à l’hôpital<br /> <br /> <br /> Arrivée, dans une soirée, de 200 enfants avec des signes de bronchiolite dans un service<br /> <br /> <br /> d’urgence. Sur les 10 premiers patients, le taux d’erreur est voisin de zéro. Pour les enfants<br /> <br /> <br /> entre les rangs 100 et 110, le taux est d’erreur est multiplié par plus de 10 par le fait de la<br /> <br /> <br /> saturation des équipes médicales.<br /> <br /> <br /> N’importe quelle industrie sûre qui se trouve avec ce type de risques aurait fermé ses<br /> <br /> <br /> portes. L’aéronautique par exemple aurait laissé les avions au sol quand le risque aurait<br /> <br /> <br /> augmenté de façon significative. Les 50 premiers avions auraient été mis en service, puis,<br /> <br /> <br /> après atteinte du taux plafond de risques acceptables, on aurait fermé la plate-forme, pour<br /> <br /> <br /> la rouvrir plus tard. La médecine ne ferme jamais, mais elle «tue» un patient sur 1000. Il<br /> <br /> <br /> s’agit du prix à payer inéluctable à cette logique de «pas de fermeture». Évidemment, si<br /> <br /> <br /> on fermait, les malades suivants s’exposeraient aussi à un risque considérable : ne pas<br /> <br /> <br /> être soignés à temps. La sécurité est toujours un échange de risques entre l’action et<br /> <br /> <br /> la non-activité<br /> <br /> <br />  <br /> <br /> <br /> Discutions:<br /> <br /> On pourrait donc conclure qu’il faut faire des formations de cow-boys ?<br /> Non, les formations ne suffisent pas ; il n’y a pas de formation aux situations exceptionnelles,<br /> il n’y a que l’exposition.<br />  <br />  Il faut générer des situations exceptionnelles dans un créneau particulier. . . Imaginons<br /> le cas ou ferait « jouer » les cow-boys sur l’entretien de stratégies totalement différentes de ce qui est<br /> très réglé. On peut imaginer également que l’on entretienne des pilotes<br /> d’essais qui font des choses que tous les autres pilotes ne font pas. Ce n’est pas simple . . .<br /> <br /> Quand on dit, les pilotes ne sont pas entraînés . . . ils sont tout de même entraînés, non ?<br /> Dans la normalité oui, mais très peu à l’exceptionnel (les cow-boys le sont !ils ont surtout l'instinct ! mais ils sont rares…). L’exceptionnel, quand on a<br /> réglé les familles 1,<br /> 2 et 3, c’est 1 risque sur 1 million. . .<br /> <br /> <br /> Oui, mais en même temps, dans les crashs d’avion, ce n’est pas l’exceptionnel qui est en cause,<br /> c’est la routine . . .<br /> Oui et non. Les accidents résiduels ne sont pas vraiment des accidents de routine ; Ils dénotent<br /> presque tous maintenant d’une histoire complexe où la sécurité mise en place est paradoxalement<br /> une des causes, voire parfois la principale, qui a participé au risque réalisé.<br /> <br /> Quelle acceptation publique et politique y a t il à l’égard des cow-boys dans les nouvelles technologies ?<br /> <br /> Une fois que vous avez réalisé le parcours 1-2-3, le risque résiduel est si petit dans les nouvelles<br /> technologies que vous ne pouvez pas justifier de ré augmenter le risque avec le prétexte d’avoir<br /> une solution pour faire face à des risques tout à fait hypothétiques et exceptionnels. Mais vous pouvez quand même le faire, avec une stratégie impliquant un<br /> sous-ensemble de personnes en interne. Vous pourriez avoir quelques cow-boys au sein des entreprises, comme il y en a encore dans certains métiers.<br />  Ou bien au sein de sections particulières, testant de nouvelles<br /> procédures sans les contraintes imposées par les familles 1-2-3.<br /> <br /> <br /> La résilience est de premier intérêt pour l’industrie et les entreprises de services, mais pas tant pour les consommateurs. Une<br /> compagnie aérienne très résiliente survivra à un crash, mais ce qui importe au consommateur,<br /> ça n’est pas la survie de la compagnie. La résilience est très égoïste en termes de concept. Pour<br /> être vraiment sûr, il faut développer les familles 1-2-3 et diminuer l’expertise exceptionnelle,<br />  mais pour vivre longtemps, il faut développer la quatrième famille.<br /> <br /> Quand il n’y a pas de réglementation, les entreprises ont alors libre choix ?<br /> <br /> Oui, mais  elles ont d’autres intérêts. La réglementation va venir avec la contrainte publique. En effet,<br /> certains risques sociétaux sont considérés comme inacceptables (nucléaire, aviation, énergie<br /> en général, transports terrestres en général, etc.). Une foi<br /> <br /> <br /> <br /> <br />

<br /> <br /> Bonsoir Monsieur Feeser ! je me permets d'écrire la suite de mon commentaire, pour que votre réponse soit en corrélation avec le texte intégral !<br /> <br /> <br /> Cordialement<br /> <br /> <br /> et on gardera 10% de cow-boys qui seront des chirurgiens exceptionnels, qui feront des actes<br /> exceptionnels sur des patients exceptionnels en demande de soins exceptionnels.<br /> <br /> Là ils gardent des artisans"cow-boys" c'est accepté par la société, mais pas dans l'aviation civile !......seriez-vous prêt de choisir votre vol en fonction du pilote et de son équipage.... comme<br /> beaucoup de clients le font en médecine... les compagnies aériennes pourraient-elles gérées une telle situation ? Bien sûr que non ! Il faut bien comprendre et admettre que dans certains métiers,<br /> il n'est pas bon de maximiser les différences, et accepter la standardisation... <br /> <br /> <br />  <br /> <br /> <br />  <br /> <br /> <br /> <br /> En aviation, l’obsession depuis plus de vingt ans a été d’éliminer les artisans, les « cow-boys » qui<br /> étaient capables de faire des choses exceptionnelles dans des conditions exceptionnelles. C’est le cas par exemple pour deux<br /> accidents au cours desquels les pilotes n’ont pas su récupérer les avions dans des conditions<br /> extrêmes d’inclinaison, alors qu’il y a encore quelques années, ils auraient su le<br /> faire. Suite à ces accidents, il y a eu une grande réunion au niveau international pour<br /> prendre des décisions. On aurait pu choisir le réentraînement les pilotes à ce genre de situations<br /> exceptionnelles, mais on n’a pas voulu le faire, ça coûte cher et c’est risqué : ils<br /> pourraient faire les cow-boys même quand cela n’est pas nécessaire. On ne veut surtout<br /> plus d’artisans dans l’aviation.mais parfois cela sauve des vies !! quand il en reste…des « cow-boys »<br /> Exemple de l’accident aéronautique du capitaine "Sully" qui a fait un geste héroïque (dépassant toute attente) le 15 Janvier 2009, en sauvant la vie de 150 passagers d’un Airbus A320 à New York<br /> via un amerrissage, lorsque leurs moteurs ont été frappés par des oies et ils ont atterri dans la rivière Hudson. Un « cow-boy » ancien pilote de chasse sur F4 Phantom II<br /> Lors de son engagement dans l'USAF, il était également membre de la commission d'enquête sur les accidents d'aéronefs….<br /> <br />  <br /> <br /> <br /> Dans les crashs d’avion,les accidents résiduels ne sont pas vraiment des accidents de routine ; Ils dénotent<br /> presque tous maintenant d’une histoire complexe où la sécurité mise en place est paradoxalement<br /> une des causes, voire parfois la principale, qui a participé au risque réalisé.<br /> <br /> <br /> Par exemple :<br /> l’accident du MD11 de Swissair qui s’est écrasé dans la fin des années 1990 à la suite d’un feu<br /> à bord a vu son équipage appliquer parfaitement les procédures. . . procédures qui ont retardé<br /> une prise de décision de déroutement qui aurait sauvé l’avion. La communauté aéronautique<br /> reconnaît qu’un accident de ce type ne serait pas survenu si on avait à bord des pilotes moins<br /> procéduriers et plus autonomes……des cow-boys…..<br /> <br /> <br />  <br /> <br /> <br /> En fin, dans les dernières barrières, dans les systèmes ultra sûrs, on arrive à une perte<br /> de visibilité et on est davantage piloté par ce qui est surveillé par les tutelles et par ce<br /> qui est médiatisé.<br /> L’accident du Tunnel du Mont-blanc (34 morts)<br /> On a investit des sommes colossales pour sécuriser trois tunnels sous les Alpes alors que<br /> cela couvre un risque marginal par rapport au risque routier !<br /> <br /> Au bilan, la sécurité se construit avec la vie d’un système, et on n’a jamais de problèmes de<br /> sécurité quand on est au début du système. On entend ici par système, une solution industrialisée<br /> pour parvenir à fournir un service. La photographie argentique ou numérique est un système ; l’aviation<br /> pilotée par des équipages et guidée par le contrôle aérien dans les couches de l’atmosphère est<br /> un autre système . . .<br /> Au début, au temps de réglage du système, on tolère un risque élevé.<br /> <br /> On parle toujours de qualité avant de parler de sécurité. On passe toujours dans toutes les<br /> histoires des organismes et entreprises par :<br /> • une phase initiale sans direction, ni de qualité ni de sécurité ;<br /> • puis, une direction de la qualité qui optimise surtout la performance et règle le système<br /> en modèle idéal ;<br /> • et pour finir, dans la dernière phase d’existence du système, par la création d’une direction<br /> de la sécurité qui remplace la direction de la qualité.<br /> Le jour où Qualité, commence à s’appeler Qualité Sécurité puis Sécurité, on peut affirmer que<br /> l’on est entré dans la dernière phase de vie du système. . . Bien sûr, il y a tout de même un<br /> futur : les systèmes durent longtemps, mais il y a toujours aussi une fin, et une nouvelle<br /> technologie et organisation qui vient remplacer la précédente.<br /> <br /> <br />  <br /> <br /> <br /> Quatrième étape du modèle : la résilience<br /> Cette dernière étape de sécurisation d’un système aéronautique ou industriel est vraiment très différente des<br /> précédentes. Pour résumer :<br /> • la première étape a construit un modèle idéal ;<br /> • dans la deuxième étape, on a progressivement compris les déviances et réduit la variance<br /> des comportements ;<br /> • avec la troisième, on n’est pas resté sur les acteurs, on a fait du systémique pour régler<br /> les problèmes d’assemblage.<br /> <br /> On a donc maintenant un système particulièrement sûr, mais est-on toujours adaptable, robuste<br /> aux conditions exceptionnelles, en bref « résilient » ?<br /> <br /> <br /> Plus on renforce les trois premières étapes de la sécurisation (plus de protocoles, plus de<br /> contrôles, plus d’interdictions, plus de supervision, etc.), plus on réduit l’exposition des professionnels<br /> aux situations exceptionnelles ; et on perd la capacité à gérer ces situations. Plus on<br /> cultive les trois premières familles, plus on va mourir d’un manque de la quatrième.<br /> <br /> Évidemment, tout dépend de son niveau de maîtrise des trois premières phases. . .<br /> <br /> <br />  <br /> <br /> <br /> Au bilan, le manque de résilience est comme une fatalité liée aux succès des phases précédentes.<br /> Si on est très sûr, on va mourir d’un manque de résilience, mais il faut bien voir que ce manque<br /> ne s’exprimera que pour des situations exceptionnelles, par définition extr&ecir<br /> <br /> <br /> <br /> <br />

<br /> Bonjour mon colonel,ayant participé à un colloque sur la sécurité aéronautique et industrielle , je tenais à vous faire part des conclusions qu'il en ressort.<br /> Le sujet qui suit, n'a pas le but de jeter un pavé dans la mare...mais de s'interroger et de comprendre le principe d'incertitude du monde qui est le nôtre.<br /> <br /> Equilibre entre sécurité contrainte et sécurité gérée<br /> <br /> L’incertitude est un mélange d’aléas et de méconnaissance.<br /> Il existe quatre familles de modèles pour sécuriser un système quel qu’il soit.<br /> <br /> Ces quatre familles, nous les faisons toujours intervenir dans le même<br /> ordre.<br /> Première famille : la famille sécurité, ou fiabilité. . .<br /> <br /> . . . Par laquelle il faut toujours commencer pour engager une action de sécurité. Il s’agit d’une<br /> famille technique, qui évalue les risques potentiels et construit le modèle idéal de défense qu’il<br /> faut mettre en place.<br /> <br /> L’estimation des risques s’appuie sur des outils formels d’évaluation du risque a priori ou a<br /> posteriori combinant l’analyse du retour d’expérience avec une analyse du système.<br /> Cette évaluation est plus ou moins sérieuse. Elle est encadrée réglementairement<br /> et bien conduite dans les domaines très techniques comme les transports publics,<br /> l’industrie chimique, l’aviation ou le nucléaire, etc. ; elle reste plus intuitive dans des activités comme la<br /> médecine. Mais cette étape est toujours franchie, parfois mal, mais franchie quand même. . .<br /> À partir de cette estimation, on construit un modèle idéal de sécurité, une sorte de château<br /> fort, qui est toujours le même, combinaison de trois types de barrières : prévention (éviter<br /> le problème, parfois en interdisant carrément l’activité dans certaines conditions), récupération<br /> (corriger le problème qui existe, avant que ses conséquences soient dommageables), et<br /> atténuation (réduire les dommages quand l’accident est arrivé).<br /> <br /> Ceci s’applique à tous les processus. Cependant, plus un processus est naïf, plus il croit qu’il peut<br /> toujours éviter l’accident et mise essentiellement sur les barrières de prévention en délaissant<br /> les deux autres barrières du modèle (récupération et atténuation) ; c’est typiquement le cas de<br /> la médecine. Inversement, plus un processus entre dans sa phase de maturité, plus il développe<br /> les barrières de récupération et d’atténuation (c’est le cas du nucléaire et de l’aviation).<br /> Pour créer un modèle idéal de sécurité, on conviendra qu’il faut prescrire des recommandations,<br /> règles, lois. Ceci implique par suite un contrôle sur les établissements, sur le système et sur les<br /> personnes.<br /> Deuxième famille de modèles et deuxième étape, axée sur le comportement<br /> Cette étape consiste à se poser la question de la réalité sur le terrain du modèle idéal développé<br /> avant. Quatre mécanismes de base expliquent que l’on dévie et induisent cette deuxième<br /> famille :<br /> Il s’agit de conflits entre des logiques de sécurité développées par des « silos » séparés de<br /> professionnels qui traitent un problème local de façon parfaite sans se synchroniser avec les<br /> actions d’autres spécialistes de la sécurité, qui traitent d’un autre problème de façon parfaite<br /> également.<br /> Plus on est dans un domaine complexe, plus on a de silos.<br /> La théorie du réverbère<br /> Ceci consiste à ne construire la défense que là où l’on voit le risque.<br /> <br /> La politique des petits pas<br /> Il est toujours tentant de l’appliquer : «Peu est mieux que rien.. »<br /> On préfère faire de petites choses plutôt que rien du tout. Mais ceci a fondamentalement pour<br /> conséquences une complexification accrue du système avec des solutions peu performantes<br /> dont l’agrégation finit même par être négative (temps perdu) et très faussement rassurante.<br /> Troisième famille de modèles, la famille systémique<br /> Le modèle de Reason, le fromage suisse.<br /> <br /> Chaque niveau d'opération protège de l'accident, comme une plaque, mais ces plaques présentent des trous, des lacunes qui sont autant de contributeurs potentiels à un accident.<br /> L'accident se produit lorsque les trous sont alignés : l'accident peut passer.<br /> Il est vraisemblable qu'un de ces contributeurs a été une erreur du pilote décédé.<br /> Mais quel est l'enchainement qui a amené à cette erreur ? Fatigue ? Méconnaissance du matériel ? Incompréhension ? Ergonomie de l'avion ?<br /> Dans l'analyse de l'accident, dire qu'il y a eu erreur humaine n'est pas la conclusion mais seulement une des étapes.<br /> Car le génie des plaques de Reason est qu'il n'y a pas des grandes causes et des petites causes d'accidents, mais seulement des contributeurs qui sont tous à traiter avec le même sérieux.<br /> C'est pourquoi ceux qui s'empressent de crier au complot feraient mieux d'attendre la fin de l'enquête.Si l'accident est analysé correctement, cela se verra dans la rigueur de l'exposé.<br /> Les deux étapes précédentes(familles) permettent d’améliorer la sécurité, mais ne résument pas toute la<br /> sécurité.<br /> Tout le monde fera des erreurs, on construira des défenses pour qu’il n’y ait pas d’accident, on redoutera toute<br /> la partie d’organisation verticale qui peut provoquer une accélération des erreurs par le climat<br /> social qu’elle induit, etc.<br /> <br /> Or, ce modèle a déjà 28 ans ! Les accidents de demain n’en sont plus là. . . Quand on dit que<br /> ce modèle est systémique, en fait, il ne l’est pas tant que ça. . . Les vrais modèles systémiques<br /> postulent que c’est le mauvais assemblage de composants qui n’ont pas de panne et pas d’erreur,<br /> qui créera le risque de demain.(à méditer….)<br /> <br /> L’accident d’avion d’Überlingen<br /> Deux avions sont entrés en collision après que les pilotes ont reçu des instructions contradictoires<br /> des contrôleurs aériens au sol et de leurs systèmes anti-collision, les TCAS. En effet, si les avions<br /> sont un peu trop proches avant la réaction du contrôleur, les TCAS s’auto déclenchent et donnent<br /> également une direction d’évitement. On a donc ici deux systèmes corrects, qui ont fonctionné<br /> correctement, cependant, la complexité du système et le couplage étaient mauvais, d’où l’accident.<br /> C’est le futur systémique : des systèmes sans erreur, mais dont « l’erreur » se trouve dans<br /> l’assemblage erroné des parties, la mauvaise coordination des systèmes distribués.<br /> <br /> Deuxième barrière : l’autonomie des acteurs.<br /> Dans les systèmes très sûrs, il y a des priorités : on enlève une très grosse partie de leur<br /> autonomie aux acteurs. Dès qu’ils récupèrent l’autonomie, cela devient plus dangereux.<br /> À titre d’exemple,  dans<br /> l’aviation qui est très sûre, on ne décide pas individuellement.(sauf dans la chasse notamment ou vous êtes seul..ou à deux parfois )<br /> Ainsi, certains acteurs dans certains métiers prennent de gros risques, et ils deviennent<br /> aussi immensément experts dans ces conditions extrêmes. . . pour ceux qui survivent.<br /> Leur sécurité, c’est leur savoir : leur expertise, leur stratégie .<br /> Nous entrons dans une logique d'artisans,de" Cow-boys"<br /> C’est donc une étonnante barrière à devenir sûr,<br /> tout simplement parce que l’on maximise les différences. On crée l’entropie qui nous<br /> tue. Si l’on accepte des opérateurs exceptionnels, on doit aussi accepter qu’il existe par<br /> définition des moins bons que ces personnes exceptionnelles. Cela donne parfois des<br /> miracles : on peut tomber sur l’artisan qui a le coup de génie. On peut également tomber<br /> sur celui qui nous tue. . .<br /> Considérons la médecine<br /> On devrait avoir dans le futur une médecine standardisée pour 90% des médecins et on<br /> <br /> <br />

<br /> Un simple commentaire de ma part mon colonel !<br /> Aujourd'hui encore , quelques pilotes de ligne avouent ( en privé ) que des confrères sous-estiment certains risques (entre autres le danger du "pot au noir ")<br /> Certains équipages ne se déroutent pas par sécurité lors de problèmes météo, mais pour une optimisation, qualité totale du vol, être à l'heure ! et même un peu en avance ! quand le vol et optimisé<br /> , et même meilleur que prévu les primes tombent ....<br /> Qu'en pensez-vous ?<br /> Amitiés aériennes !<br /> <br /> <br />