Je republie ici un article que j’avais écrit pour un blog généraliste voila une dizaine d’années peu après le crash du vol Rio-Paris. Il traite des accidents en général et montre, au travers d’un exemple d’un déraillement survenu en Californie, que les accidents ont rarement une seule cause.
La disparition du vol AF 447 au dessus de l’Atlantique, entre Rio et Paris, a marqué les esprits en raison de l’importance de la tragédie et d’une médiatisation importante. Contrepartie de l’émotion légitime suscitée, les journalistes en mal de sensationnel ont été fort enclins à mettre en avant une explication, et une seule, à la catastrophe. Le but de cet article n’est pas de présenter un scoop sur le dossier AF 447, ni de débattre d’éventuelles hypothèses concernant ce crash, mais d’expliquer qu’en matière de transports hautement sécurisés, comme le sont l’aérien et le ferroviaire, les accidents ont rarement une cause unique.
Pour comprendre comment se produisent les accidents dans le domaine des transports, rien de tel que l’analyse de cas connus. Au travers du cas d’un accident ferroviaire d’importance, celui de San Bernardino (Californie), on essayera de montrer que seul un enchaînement et/ou une accumulation d’évènements individuellement anodins ont pu conduire à une catastrophe.
San Bernardino se situe au bas du col de Cajon (Cajon pass), un endroit mythique pour le chemin de fer américain. Par ce col, la voie ferrée quitte les plaines et les collines de Californie du sud pour rejoindre les hauts plateaux du désert Mojave. Le dénivelé est impressionnant, puisque la voie s’élève d’environ 1200 m en 150 km environ. Les locomotives capables de franchir cet obstacle sont des engins « Diesel-électriques » de 3000 à 4000 ch. Elles sont donc équipées d’un moteur Diesel qui entraîne une génératrice, fournissant du courant aux moteurs de traction localisés dans les bogies. Les très longs convois de marchandises sont tractés par deux, trois ou quatre engins en tête et une ou deux machines « en pousse », le tout permettant d’obtenir une puissance suffisante pour l’ascension et des efforts plus réduits sur les attelages.
Contrairement à ce que l’on pourrait penser il faut à peu près autant de machines dans la descente, principalement pour maintenir un effort de freinage suffisant. En effet, pour ralentir de telles charges, on ne peut utiliser les seuls freins pneumatiques qui agissent via des sabots de freinage, sur toutes les roues du convoi, au risque d’échauffer ces freins au-delà des limites raisonnables, leur faisant perdre toute utilité. Les machines sont donc équipées d’un frein rhéostatique, qui transforme les moteurs de tractions en génératrices de courant, celui-ci étant le plus souvent dissipé dans des résistantes chauffantes situées sur la toiture des locomotives. L’effort demandé pour entraîner les moteurs permet donc de ralentir les convois, et de maintenir dans de très longues descentes des vitesses constantes. Ce type de freinage est utilisé presque partout dans le monde, et très largement en France.
Le 12 mai 1989, un train d’engrais correspondant à une commande de 6 200 tonnes (t) est formé à proximité des mines du désert Mojave. Il comporte 69 wagons autorisés à 90 t de chargement. La compagnie minière charge donc les 6 200 t d’engrais et informe la compagnie de chemin de fer « Southern Pacific » (SP), que le convoi est prêt au départ. Ce faisant, premier événement anodin, la compagnie minière oublie de fournir à la SP le « manifest », document qui indique la charge totale du convoi. Sont attelées à ce convoi 6 locomotives, 4 en tête et 2 en queue. Avant le départ, le responsable du triage de la SP à Barstow, ne disposant pas du manifeste, estime la charge totale du convoi en inspectant, conformément au règlement, le contenu de chaque wagon. Événement important numéro 2 : habitué à d’autres chargements que celui-ci, le responsable indique un poids total de 4 000 t environ, soit une sous-estimation d’environ 35%. Erreur importante mais pas critique puisque les 6 machines du convoi sont largement suffisantes pour retenir les 6 200 t de charge maximale, soit un poids total du convoi (charge plus masse des locomotives et des wagons) d’environ 7 800 t. A bord de la première machine, prennent place le mécanicien principal et son aide, un aide s’installe à bord de la troisième machine, et de nouveau un mécanicien et son aide à bord d’une des deux machines de queue. Toutes sont reliées par radio. Évènement n°3 : le mécanicien principal prend en compte les informations des carnets d’entretien des machines 1, 2, 3 et 4, sur lesquels ne figure aucune mention de problème. Évènement n°4 : au lancement des moteurs, la machine 2 refuse de démarrer. Le train n’est donc plus tracté et retenu que par 5 machines, une composition toujours suffisante pour assurer la traction et le freinage, d’autant plus, dira le conducteur, que la charge totale annoncée est de 4 000 t soit un poids total pour le convoi de 5 500 t.
Le train s’ébranle lourdement, et après plusieurs dizaines de km, aborde les premières pentes de Cajon pass. Pendant de longues minutes, utilisant le frein rhéostatique des machines en fonction, le convoi maintient une vitesse de 25 miles par heure, soit environ 40 kmh. Rapidement, cependant, le mécanicien principal et son aide constatent que le freinage ne semble pas aussi efficace qu’à l’habitude. Il informe par radio l’aide dans la machine n°3 et les deux autres conducteurs dans les machines en pousse. Tous actionnent alors les freins rhéostatiques au maximum de leur puissance. Ceci maintient le train à sa vitesse limite, mais le mécanicien principal reste inquiet. En effet le convoi se trouve en pleines courbes serrées, ce qui ralentit naturellement le convoi par un effet de frottement fort des roues sur le rail. Or, quelques dizaines de kilomètres plus loin, la voie est bien plus rectiligne et la pente toujours aussi forte. Le train gagne donc de la vitesse. Le mécanicien actionne alors le frein pneumatique Westinghouse, qui agit par réduction de pression dans la conduite de freinage du convoi. Le train ralentit un peu mais pas assez. Le mécanicien actionne de nouveau le robinet de frein : nouvelle dépression dans la conduite. L’effet devient faible, car le poids du convoi est trop élevé et le freinage rhéostatique peu efficace, l’enquête expliquera pourquoi. Du coup, événement n°5, le mécanicien place le frein pneumatique sur « urgence ». Or cette action a pour effet de déconnecter automatiquement le frein rhéostatique pour éviter l’enrayement des roues (leur blocage). La conduite de frein se vide de l’air sous pression, et les freins à semelles se serrent sur les roues au maximum. Mais sans l’aide du frein rhéostatique, et compte tenu du poids du convoi, les freins s’échauffent, et commencent à fondre entraînant la fonte aussi de plusieurs roues. La vitesse du convoi atteint plus de 160 km/h, et il déraille dans la courbe de « Duffy street » à San Bernardino, limitée à 65 km/h, pulvérisant totalement sept des maisons situées en contre bas de la voie. Le bilan est lourd : deux enfants de 7 et 9 ans, résidents de San Bernardino sont tués, ainsi que les deux aides du mécanicien principal. Celui-ci n’est par miracle que légèrement blessé, les deux autres agents dans les machines de pousse s’en sortant avec des blessures sérieuses mais non mortelles. Onze résidents sont aussi sérieusement blessés.
Pour ce quartier défavorisé de San Bernardino, le traumatisme ne s’arrêtera pas là. Un pipeline d’essence de 35 cm de diamètre passe en effet juste sous l’endroit ou les 4 machines de tête ont emporté plusieurs maisons. L’accident n’a pas entraîné de dommage au pipeline enfoui à plus de 4 mètres de profondeur. Lors des travaux de nettoyage du site, une pelle mécanique endommage le conduit. Les opérations de nettoyage et de vérification de l’intégrité du pipeline sont menées très – probablement trop – rapidement pour permettre la reprise de l’exploitation de la voie ferrée. Le 25 mai 1989, une fuite importante se déclenche, entraînant une explosion énorme et un incendie qui tueront encore deux résidents.
Les enquêtes techniques et judiciaires mettront en lumière les insuffisances des travaux de remise en état de la voie et de vérification du pipeline. Elles mettront aussi en lumière plusieurs facteurs supplémentaires qui expliquent pourquoi le convoi d’engrais n’a pu respecter la vitesse limite dans la descente de Cajon pass. En effet, en plus des éléments fournis plus haut, les enquêtes révèleront que le freinage rhéostatique de la machine n°3 était déficient, ne fonctionnant que par alternance, sans que l’aide présent à bord de la machine ne puisse s’en rende compte. De plus, ce freinage était aussi hors service sur la machine n°6 en pousse, sans que l’information ait été transmise au mécanicien principal. Dès lors l’effort de retenue rhéostatique avec 2 machines actives en tête et une en pousse était trop faible pour que le train puisse freiner dans la descente.
A posteriori, il apparaît clairement que l’accident de San Bernardino résulte bien d’un enchaînement d’évènements individuellement anodins ou mineurs dont la survenue, isolément des autres incidents, n’aurait pas conduit à la catastrophe. L’analyse de nombreux autres accidents ferroviaires, tel celui survenu gare de Lyon en 1988 (59 morts, plus de 50 blessés), révèle aussi un tel enchaînement délétère d’évènements. Il en est souvent de même dans le transport aérien. Il y a donc fort à parier que l’accident du vol AF 447 ne résulte pas des seules conditions météo défavorables ou du seul modèle de tubes de Pitot qui équipait l’Airbus A 330, même si ces évènements ont probablement joué un rôle dans la catastrophe aérienne.
Pour en savoir plus
1. Sur l’accident de San Bernardino
http://en.wikipedia.org/wiki/San_Bernardino_train_disaster
http://pstrust.org/library/docs/ntsb_doc26.pdf
2. Sur l’accident de la gare de Lyon
http://fr.wikipedia.org/wiki/Accident_ferroviaire_de_la_gare_de_Lyon
http://www.humanite.fr/1993-09-18_Articles_-L-homme-et-la-machine-au-proces-de-la-gare-de-Lyon
En tombant là dessus, j’ai trouvé intéressante cette allégorie des tranches de gruyère pour illustrer le propos de cet article : https://fr.wikipedia.org/wiki/Mod%C3%A8le_du_fromage_suisse
Sinon un alignement des planètes, c’est bien lorsque que tous les trous sont alignés que la catastrophe arrive !
Je développe cette problématique dans un article que je viens de publier.
Il traite d’études en sociologie des organisations sur le thème de la « Normalisation de la Déviance ».
Je vous invite donc à le lire : https://franckcie.fr/la-normalisation-de-la-deviance-1-2/
Salut & Fraternité
https://youtu.be/0NS84qoYV_Y , en anglais bien sur
Bonjour
Je rejoins vos propos pour dire que tout « événement de sécurité » devrait être analysée dans une approche systémique intégrant à la fois les facteurs humains, techniques, organisationnels et leurs interactions. Toute analyse de l erreur sur la seule dimension humaine ne serait qu incomplète et généralement inefficace. La question qui se pose: comment réussir l établissement d une arbre de causes?… A suivre
Merci pour cette explication très complète.
Je crois avoir déjà vu un truc sur cet accident très spectaculaire. Il me semble aussi me souvenir qu’avec ce cas une pratique pour estimer la tare a été abandonné. Le responsable du triage, qui comme tu dis, n’avais pas les infos complète sur le train, et dans ce cas la pratique de la compagnie voulait qu’on prenne un tare de chaque wagon en demi charge ou un truc du genre. Ce qui sera interdit après. En tout cas c’est un vague souvenir sur l’explication de l’erreur de tonnage indiqué et je me trompe peut-être, ou alors j’ai vu une mauvaise version.
Bonjour,
Les accidents ont une cause unique dans un cas unique : une expérience de laboratoire mono-facteur.
Hors ce périmètre particulier permettant de réduire les facteurs, les accidents sont dûs à un faisceaux de causes. Les causes s’influencent entre elles créant des effets induits bénéfiques ou non pour la situation.
Enfin, il faut ajouter le facteur humain (pas le postier). Celui des individus directement impliqués, celui des structures qui les ont formés, ceux qui les emploient, ceux qui les contrôlent, etc…
Il est notable qu’une approche sécuritaire doit constamment raisonner sur des causes possibles d’accident. Une approche mono-facteur ne réduira le risque que pour ce facteur considéré (et encore). Exemple de raisonnement mono-facteur :
« Accident évitable en fiabilisant le freinage. Ou alors en fiabilisant le manifeste de chargement. Ou alors en augmentant la puissance de freinage de chaque locomotive. Ou alors avec un avertissement de dysfonctionnement du freinage rhéostatique. Ou alors en modifiant le freinage d’urgence. »
Aucune approche ne protège efficacement, mais elles sont tentantes car simples à présenter et à permettent de valoriser/héroiser ceux qui les mettent en place.
Une approche large, tant humaine que technique permet à moyen terme de créer un environnement plus sûr avec un volume d’accident moindre, sans tous les empêcher. Ces approches sont en revanches peu « sexy » car elles touchent plein de domaines, ne sont pas facilement explicables, demandent du temps et valorisent peu ceux qui les pratiquent.