Pourquoi vous n’avez jamais vécu un crash d’avion
(asteriskmag.com)- La sécurité aérienne s’est améliorée non pas en punissant une personne après un accident, mais en supprimant les conditions qui rendaient possible la même erreur ; la collision du vol USAir 1493 à LAX en 1991 en montre bien la raison
- Le vol USAir 1493, en train d’atterrir sur la piste 24L de LAX, est entré en collision avec le SkyWest 5569, qui attendait son autorisation de décollage, faisant au total 35 morts
- La contrôleuse aérienne Robin Lee Wascher a autorisé l’atterrissage en oubliant que le SkyWest 5569 se trouvait encore sur la piste, mais le NTSB a considéré qu’il ne s’agissait pas d’une faute individuelle, plutôt d’un problème systémique combinant une panne du radar au sol, une visibilité masquée, la structure de transmission des informations et les pratiques d’attente sur piste de nuit
- Depuis l’Annexe 13 de la Convention de Chicago, les enquêtes sur les accidents aériens ont pour objectif premier de prévenir les accidents futurs, et il faut pouvoir témoigner sans craindre une sanction pour identifier les causes réelles
- La just culture et les analyses post-mortem sans recherche de faute ont encouragé la transparence sur les erreurs et conduit à de vraies améliorations de sécurité, notamment la disparition des collisions mortelles sur piste dans les aéroports américains dotés d’une tour de contrôle après l’accident de LAX
La question posée par l’accident de LAX en 1991
- Le 1er février 1991, le vol USAir 1493 a atterri sur la piste 24L du Los Angeles International Airport après un vol ordinaire en provenance de Columbus, dans l’Ohio
- Le temps était clair, le Boeing 737 ne présentait aucun défaut mécanique, et l’approche ne posait pas de problème particulier
- Juste après l’atterrissage, le 737 a percuté par l’arrière le petit avion de transport régional SkyWest flight 5569 qui se trouvait sur la piste
- Le SkyWest 5569 était un Fairchild Metroliner biturbopropulseur de 19 places à destination de Palmdale
- Les deux appareils ont quitté la piste ensemble avant de percuter une ancienne caserne de pompiers de l’aéroport à la vitesse de l’autoroute
- Le bilan final a été de 35 morts
- Les 12 personnes à bord de l’avion régional ainsi que le commandant de bord d’USAir, Colin Shaw, sont mortes sur le coup
- De la fumée et un incendie se sont propagés dans la cabine d’USAir, empêchant certains passagers de s’échapper
- Deux passagers grièvement brûlés sont ensuite morts à l’hôpital
L’erreur de Robin Wascher et son traitement
- Robin Lee Wascher, qui était alors contrôleuse locale dans la tour de contrôle de LAX, a été relevée de son poste après l’accident, conformément à la procédure standard
- Wascher avait demandé au SkyWest 5569 de « taxi into position and hold », mais a réalisé qu’elle ne se souvenait pas lui avoir donné l’autorisation de décollage
- Elle est ensuite retournée à la tour et a dit à son supérieur qu’elle pensait que l’avion percuté par USAir était le SkyWest 5569
- Elle n’a été punie d’aucune manière
- Ses collègues l’ont conduite à l’hôtel pour empêcher les médias de l’approcher
- Quelques mois plus tard, elle a témoigné devant les audiences du NTSB en racontant les faits dont elle se souvenait
- Elle a eu la possibilité de revenir à la tour, mais l’a refusée
- Personne n’a fait l’objet de poursuites pénales
- Dans l’industrie aéronautique, on considère qu’en matière d’erreur honnête, il est plus utile pour la sécurité d’enquêter sur les causes que de punir
Le principe d’absence de faute dans les enquêtes aériennes
- Juste après une catastrophe, il est courant de vouloir désigner une personne responsable, mais tous les accidents n’impliquent pas un acteur malveillant ou une négligence manifeste
- Le secteur aérien a officialisé depuis longtemps des pratiques proches du blameless postmortem
- Lors de la collision de deux avions de ligne au-dessus du Grand Canyon en 1956, le Bureau of Aviation Safety du Civil Aeronautics Board a estimé qu’il était probable que les deux équipages se soient vus trop tard, et que ce n’était donc la faute de personne
- La cause de l’accident tenait à l’absence de moyen actif pour empêcher les collisions en vol
- En 1951, les experts mondiaux de l’aviation ont créé l’Annexe 13 de la Convention de Chicago relative à l’aviation civile internationale afin de standardiser la manière d’enquêter sur les accidents aériens
- Le cœur de l’Annexe 13 est que l’objectif premier d’une enquête sur un accident aérien est la prévention des accidents futurs
- C’est un choix qui fait passer la prévention avant la recherche de responsabilité juridique
- Une enquête de type policier visant à attribuer une faute à un pilote décédé ne réduit pas la probabilité d’un accident futur
- Le NTSB considère lui aussi que les enquêtes sur les accidents et incidents ne sont pas une procédure destinée à déterminer des droits ou des responsabilités, et il applique le principe de ne pas attribuer de faute ni de blâme
Les problèmes systémiques révélés à LAX
- Le NTSB ne s’est pas contenté d’examiner le moment où Wascher a autorisé deux avions sur la même piste ; il a cherché à comprendre pourquoi une telle erreur avait été possible
- LAX disposait d’un radar au sol permettant d’identifier la position des avions sur la surface de l’aéroport, mais comme il s’agissait d’un équipement fabriqué sur mesure, il était difficile d’obtenir des pièces de rechange et il était souvent indisponible
- Le jour de l’accident, l’écran radar au sol du poste de Wascher ne fonctionnait pas
- L’Intersection 45, où se trouvait le SkyWest 5569, était difficile à voir depuis la tour à cause de l’éclairage d’un terminal nouvellement construit
- Après avoir autorisé l’atterrissage d’USAir, Wascher n’a pas remarqué son erreur parce qu’elle cherchait des informations sur un autre avion
- Ces informations auraient dû lui être transmises par un autre contrôleur, mais elles ne l’ont pas été
- En raison de la hiérarchie de transmission des informations dans l’installation, la résolution de cette information manquante est retombée sur Wascher, alors même qu’elle occupait un rôle plus critique pour la sécurité
- Faire attendre un avion sur la piste de nuit ou en conditions de faible visibilité était risqué, mais c’était alors légal et fréquent
- Il existait des systèmes d’alerte anticollision en vol, mais ils ne pouvaient pas avertir les contrôleurs d’une collision avec le trafic au sol
- Dans les procédures de SkyWest, la plupart des feux de l’avion n’étaient allumés qu’après l’autorisation de décollage
- Le SkyWest 5569 n’ayant pas reçu cette autorisation, la plupart de ses feux étaient éteints
- Il était presque impossible pour les pilotes d’USAir de le voir
Les améliorations rendues possibles par l’élimination des causes plutôt que par la punition
- L’erreur de Wascher n’était qu’un facteur parmi d’autres ; ce n’était pas un séisme faisant s’effondrer une structure solide, mais plutôt une petite secousse renversant un château de cartes
- L’enquête sur l’accident de LAX a débouché sur de véritables améliorations de sécurité
- Des radars au sol plus fiables ont été déployés dans davantage d’aéroports
- Des technologies automatiques d’alerte de collision au sol ont été développées
- L’attente d’avions sur la piste en conditions de faible visibilité a été interdite dans l’ensemble des États-Unis
- Si l’enquête s’était arrêtée à la question de savoir « qui a eu tort ? », ces améliorations n’auraient pas vu le jour
- La just culture est une culture organisationnelle qui enquête sur les causes profondes de l’erreur humaine afin de maintenir un haut niveau de sécurité opérationnelle
- L’important n’est pas tant de savoir qui a commis l’erreur que pourquoi elle s’est produite
- Si les employés craignent des représailles, ils cachent leurs erreurs et l’organisation ne peut pas connaître ses vulnérabilités
- Même lorsqu’une erreur a causé des morts, si la personne agissait de bonne foi au moment des faits, le principe veut que l’on ne module pas la sanction en fonction de la seule gravité du résultat
Un cadre juridique qui permet des déclarations sincères
- Le NTSB n’a pas de pouvoir de police, et les résultats de ses enquêtes ne peuvent pas être utilisés comme preuve de responsabilité juridique
- Ces garanties sont ce qui permet aux pilotes et aux contrôleurs de faire des déclarations sincères lors des enquêtes sur les accidents
- Si Wascher avait été poursuivie au pénal, son avocat aurait dû construire une stratégie de défense, et l’enquête aurait été brouillée dès le départ
- L’affaire du « Gimli Glider », un Boeing 767 d’Air Canada en 1983, montre comment la menace d’une sanction peut brouiller une enquête
- Cet avion a atterri sur une piste de dragster au Manitoba après être tombé en panne de carburant
- Le commandant de bord avait décollé sans jauge de carburant fonctionnelle, ce qui contrevenait aux exigences de navigabilité imposant qu’au moins une jauge fonctionne
- À l’époque, l’enquête canadienne était menée par une commission dirigée par un juge, avec le pouvoir de recommander des poursuites pénales contre les personnes concernées
- Le commandant a déclaré que Maintenance Central avait autorisé le vol dans cet état, mais les autres personnes présentes sur place l’ont nié
- Maintenance Central n’avait de toute façon pas le pouvoir d’accorder une telle autorisation
- La menace d’une sanction a pu empêcher le commandant d’expliquer franchement la véritable raison de ce décollage sans jauge de carburant, et l’on n’a pas pu conclure sur ce point
Bilan de sécurité et conclusion
- On considère que les États-Unis ont construit l’industrie aérienne la plus sûre du monde grâce à une analyse des causes profondes fondée sur un engagement envers la transparence, l’équité et la vérité
- Au cours des 33 années ayant suivi l’accident de LAX, aucun autre accident mortel de collision sur piste ne s’est produit dans les aéroports américains dotés d’une tour de contrôle
- Les accidents aériens dans le monde ont diminué au point de devenir presque inexistants, alors même que le trafic aérien augmente chaque année
- En 1972, environ 1 passager aérien mondial sur 200 000 n’arrivait pas vivant à destination
- En 2022, ce chiffre était tombé à 1 sur 17 millions
- Aux États-Unis, les compagnies aériennes régulières n’ont connu aucun crash mortel pendant 15 ans
- La cause profonde de l’accident de Los Angeles n’était pas simplement que Robin Wascher avait oublié un avion, mais qu’un système impitoyable ne pouvait rester sûr qu’à condition qu’un être humain se comporte avec une constance inhumaine
1 commentaires
Commentaires Hacker News
L’une des lois clés qui ont amélioré la sécurité au travail au Royaume-Uni a été le Health and Safety at Work Act 1974, qui a imposé aux organisations un devoir de diligence envers le bien-être de leurs employés
L’un de ses principes consiste à prendre les quasi-accidents au sérieux. Lors d’une formation suivie il y a longtemps, un ingénieur en santé-sécurité disait qu’un quasi-accident était comme un « cadeau du ciel », parce que personne n’avait été blessé, tout en montrant exactement ce qui aurait pu mal tourner et comment, ce qui donne à l’organisation l’occasion d’améliorer ses procédures
Lorsqu’un véritable accident du travail se produit, le Health and Safety Executive applique la loi aux grandes organisations et peut infliger d’énormes amendes, en particulier pour des accidents évitables lorsqu’il existait déjà des signes précurseurs sous forme de quasi-accidents
Un accident, c’est la combinaison d’un système dans un état dangereux et de conditions environnementales défavorables qui transforment ce danger en accident réel
Un quasi-accident, c’est le cas où le système était bien dans un état dangereux, mais où, par chance, les conditions environnementales étaient favorables et l’accident ne s’est pas produit. On ne peut pas contrôler les conditions environnementales ; la seule chose possible est d’éviter de laisser le système dans un état dangereux
C’est pourquoi un quasi-accident fournit à lui seul suffisamment d’informations pour une véritable analyse a posteriori, et les conditions environnementales sont en pratique secondaires
Les quasi-accidents sont vraiment des cadeaux du ciel. J’ai participé à l’enquête post-incident d’un quasi-accident qui, avec très peu de différences, aurait ressemblé à ceci : https://en.wikipedia.org/wiki/NOAA-19#Damage_during_manufact...
Si on suit cette logique, le récent incident du Boeing 737 devrait aussi être vu comme un cadeau du ciel. Je pense effectivement que c’est une bonne manière de le considérer, mais on ne sait pas encore si ce cadeau sera gaspillé
Quand on voit les fuites de données à répétition, on se dit qu’on pourrait peut-être créer une loi similaire pour rendre les entreprises responsables de la gestion sécurisée des données personnelles
J’étais devenu accro aux vidéos de la US Chemical Safety Board sur YouTube, qui expliquent avec énormément de détails les événements menant aux accidents industriels
Le schéma commun, c’est qu’il y a eu un signal d’alerte ou un quasi-accident, mais que les responsables l’ont ignoré parce qu’il n’y avait pas eu de dégâts majeurs, puis quelques jours ou quelques mois plus tard le système s’effondre d’une manière totalement prévisible et provoque une catastrophe
La fuite mortelle de phosgène dans une usine chimique de DuPont en est un bon exemple1
Cet article est de Kyra Dempsey, alias Admiral Cloudberg, qui publie depuis longtemps sur Medium de longues enquêtes approfondies sur des accidents aériens : https://admiralcloudberg.medium.com/
Voici son article Medium sur la collision sur piste à LAX : https://admiralcloudberg.medium.com/cleared-to-collide-the-c...
Il contient aussi des détails supplémentaires qui ont peut-être brouillé le message principal que l’article d’Asterisk voulait faire passer. Par exemple, le contrôleur aérien qui a commis l’erreur fatale faisait partie des personnes recrutées après que Ronald Reagan a licencié 11 345 contrôleurs aériens en 1981 et leur a interdit tout réembauchage : https://en.wikipedia.org/wiki/Professional_Air_Traffic_Contr...
Vers 1986-87, le corps des contrôleurs aurait déjà dû avoir retrouvé des effectifs correctement formés ; il est donc difficile d’y voir un lien entre les deux. Faire entrer la PATCO dans une discussion sur un accident de 1991 ne fait qu’avancer un agenda politique sans enrichir le débat
Si vous voulez affiner votre recherche, celles qui contiennent ‘possible pilot deviation’ ou ‘number to call’ sont particulièrement intéressantes et vivantes. Je ne suis ni pilote ni spotter, et je ne m’intéresse pas particulièrement aux avions, mais après être tombé plusieurs fois dans ce terrier de lapin, j’ai trouvé ça assez fascinant
J’en suis même venu à me dire que ce serait bien d’avoir dans le divertissement à bord une option « écouter les échanges pilote/tour de contrôle »
Je me demande comment elle est devenue si bonne pour écrire sur les accidents aériens alors qu’elle ne semble pas avoir de formation dans l’aviation
Très bon article. J’adhère fortement à la culture de la sécurité de l’aviation commerciale et à son engagement à enquêter sur les causes profondes puis à les corriger
Ne devrait-on pas appliquer les mêmes standards aux accidents de voiture ? On voit les mêmes erreurs humaines et les mêmes mauvaises infrastructures se répéter sans cesse, et la situation empire avec la hausse des SUV et de la conduite distraite
Il existe une communauté qui alerte sur les méfaits insidieux de la culture automobile : https://www.reddit.com/r/fuckcars/ . Si FuckCars vous semble trop radical, il y a aussi des chaînes d’urbanisme plus modérées qui valent le détour : https://www.youtube.com/@OhTheUrbanity/videos , https://www.youtube.com/@NotJustBikes/videos , https://www.youtube.com/@CityNerd/videos
La dissonance cognitive autour de ce sujet est stupéfiante
On est prêt à clouer au sol tous les 737MAX parce que quelques personnes ont vécu l’horreur d’un ciel ouvert, mais presque personne ne semble se soucier du fait que 44 000 personnes meurent chaque année sur les routes américaines, et que ce chiffre est en hausse
Pour la plupart des tranches d’âge, les décès liés à l’automobile sont la première cause de mortalité. Aux États-Unis, la probabilité de mourir dans un accident de voiture au cours de sa vie est de 1 sur 107. Même des mesures simples et raisonnables pour réduire ces chiffres délirants sont perçues comme des atteintes tyranniques à la liberté. C’est le cas, par exemple, de la mesure actuelle en Californie visant à introduire des limiteurs de vitesse
L’industrie automobile, la culture automobile et la mentalité centrée sur la voiture aux États-Unis et dans de nombreuses régions du monde sont complètement hors de contrôle
https://en.m.wikipedia.org/wiki/Motor_vehicle_fatality_rate_...
J’ai découvert que les décès liés à l’automobile avaient diminué jusqu’en 2019, avant de repartir à la hausse depuis
Que s’est-il passé ces cinq dernières années ? Les dispositifs de sécurité des voitures eux-mêmes s’améliorent, avec le freinage d’urgence par exemple. L’alcool peut être un facteur, mais pourquoi précisément ces cinq dernières années ? Les voitures sont plus grosses depuis déjà un bon moment, et le télétravail a dû réduire les temps de trajet domicile-travail. Dans d’autres pays, la tendance semble être à la baisse
La différence entre les voitures et les avions me semble être la suivante
Avion : parfois une erreur de pilotage, souvent un problème mécanique ou de maintenance. Presque jamais parce que le pilote conduisait comme un dingue
Voiture : parfois une erreur du conducteur ou un manque d’expérience, parfois un problème mécanique ou de maintenance, presque toujours parce que le conducteur roule n’importe comment
Sur r/fuckcars, il y a des membres qui dégonflent ou crèvent les pneus de véhicules qu’ils jugent « trop gros ». Vous soutenez aussi ce genre de méthode ?
Depuis que notjustbikes a pris de l’ampleur, il a abandonné toute humilité et s’est mis à prêcher à des gens déjà convaincus, tout en traitant de racistes idiots ceux qui ne sont pas d’accord
Avant, je pouvais recommander ses vidéos même à des personnes qu’il fallait convaincre, sans même les regarder moi-même. Maintenant, c’est devenu difficile ; quand j’ai écrit ce commentaire, il m’a lui-même répondu pour m’insulter, en disant que je venais à peine de découvrir la chaîne et que j’étais incapable de supporter la vérité
« Pour aller droit au but, Wascher n’a été puni d’aucune manière. »
Il faut saluer les auteurs qui n’obligent pas le lecteur à aller jusqu’au bout d’un texte pour connaître la fin de l’histoire
La réponse semble sans doute être une culture/procédure sans blâme qui maintient la circulation de l’information et permet des améliorations. Cela dit, le « sans blâme » ne fonctionne pas en entreprise
Ça me rappelle quand, chez GitLab, quelqu’un avait accidentellement supprimé plusieurs dépôts de façon irrécupérable
GitLab avait remarquablement bien géré cet incident et toute l’humiliation publique qui l’a accompagné. Au lieu d’accuser une personne, ils se sont reproché à eux-mêmes de ne pas avoir mis en place des mesures d’urgence adéquates ; ça vaut la peine d’être relu
Il y a une dizaine d’années, quelque chose de semblable s’est produit dans mon équipe. Un ingénieur a supprimé la base de données de production, et heureusement nous avons pu la restaurer
L’analyse post-mortem s’est concentrée sur la question : « Comment a-t-on pu laisser une telle chose être possible ? » Si mes souvenirs sont bons, cette personne est restée dans l’entreprise encore huit ans, et nous avons corrigé les problèmes systémiques
Après avoir lu des analyses post-mortem sans blâme dans le secteur médical, je dis toujours cela à mon équipe. Si des médecins peuvent faire une analyse post-mortem sans blâme après la mort de quelqu’un, alors nous le pouvons aussi
Cela me rappelle aussi un fil Reddit0 où quelqu’un a détruit la base de données de production en utilisant par erreur des identifiants dotés de droits d’écriture qui figuraient dans la documentation d’onboarding. La personne impliquée dans l’incident GitLab a aussi participé à la discussion
Ressource connexe : analyse CAST http://sunnyday.mit.edu/CAST-Handbook.pdf
C’est une approche centrée sur l’apprentissage maximal de tous les facteurs ayant contribué à un accident. Elle englobe plusieurs approches, y compris l’analyse sans blâme, et considère qu’il n’existe pas une seule « cause » par facteur, mais un réseau de facteurs différents en interaction
Pour pinailler sur le titre, vous n’avez probablement jamais vécu un crash aérien. Si cela avait été le cas, vous ne seriez pas en train de lire cet article :)
Si quelqu’un est assez intrigué pour arriver jusqu’à cette section de commentaires, il devrait vraiment prendre le temps de lire le manuel CAST
Il a changé ma manière de voir non seulement les accidents, mais aussi les organisations et le monde. Cela devrait être une lecture indispensable pour toute personne en position de responsabilité
Je voulais depuis longtemps en faire une critique ou un résumé sur mon blog, mais le contenu utile y est si dense qu’il est difficile de le condenser davantage. Je ne l’ai donc toujours pas publié ; merci d’être indulgent envers ses aspects encore bruts. La dernière fois que j’ai abandonné, le brouillon ressemblait à ceci : https://two-wrongs.com/root-cause-analysis-youre-doing-it-wr...
En Suisse, il y a un homme politique remarquable qui a survécu à une avalanche (1993) et à un crash aérien1 (2001)
[1]https://en.wikipedia.org/wiki/Crossair_Flight_3597
https://en.wikipedia.org/wiki/Jacqueline_Badran
Dans un monde contrefactuel où les compagnies aériennes auraient été moins capables d’empêcher les crashs, le taux de survie aux crashs aurait probablement aussi été plus faible.
Il est possible que des collisions entre avions au sol à très faible vitesse faussent les statistiques, mais je pense qu’on voit ce que signifie « crash d’avion ».
En réalité, environ 90 % des crashs d’avion sont survivables, et certaines personnes lisent même le récit de leur propre accident.
Voulait-on dire que vivre un crash d’avion implique forcément la mort ? Ce n’est clairement pas vrai.
Il arrive qu’il y ait des survivants même après un crash assez violent pour provoquer une explosion.
Une analyse de cause racine bien menée est vraiment satisfaisante. Pour parvenir à la « bonne réponse », une culture sans blâme est absolument essentielle.
Quand plusieurs équipes d’une entreprise passent en revue une panne majeure ou à fort impact, le moment idéal est celui où les personnes concernées creusent l’état initial et la séquence d’événements qui ont causé la panne. On se concentre sur les actions et leurs conséquences, y compris les actions au cœur de l’incident, les actions périphériques et même celles de personnes qui n’en savaient rien à l’avance.
Atteindre ce niveau exige une très grande confiance en soi, en ses collègues et en l’organisation.
Après l’avoir fait correctement quelques fois, des principes simples apparaissent. Si un mécanisme dépend de la perfection humaine, il finira par échouer. La discussion devient alors presque toujours : « que va-t-on faire maintenant ? ». Faut-il des garde-fous contre l’imperfection humaine ? Le coût de mise en œuvre est-il cohérent avec la valeur de ce qu’ils protègent ? Peut-on accepter l’imperfection humaine dans cette situation ?
Les organisations capables d’avoir ce niveau de discussion disposent d’un avantage net dans l’exécution.
C’est un texte bien écrit. J’ai particulièrement apprécié la manière dont il montre que la pensée de long terme est plus puissante que la pensée de court terme. Il montre aussi une organisation qui n’utilise pas l’espoir comme stratégie.
Je pense qu’il est erroné de se focaliser sur le « sans blâme ». Ce qui produit de meilleurs résultats, c’est une culture de la responsabilité, et cela commence par des dirigeants impliqués qui assument. Le blâme est à bien des égards l’inverse du fait d’assumer ses responsabilités, mais on peut avoir une culture sans blâme sans avoir une culture de la responsabilité. Une culture du blâme est toujours une culture de l’irresponsabilité.
L’absence de blâme était le résultat du choix actif des dirigeants d’assumer la responsabilité du problème. Ils disaient : « la responsabilité de cette tragédie incombe non pas à un individu, mais à notre organisation », « ce n’est pas le contrôleur aérien, c’est nous qui l’avons causée par négligence systémique ».
Si Boeing a encore des problèmes, c’est parce que sa direction n’a pas assumé ses responsabilités. Les dirigeants de Boeing n’ont pas dit : « j’ai créé un système d’incitations et de sanctions qui produit des avions dangereux », et c’est pourquoi des problèmes de sécurité continuent de survenir.
Le paradoxe du leadership tient à ceci : « les dirigeants sont responsables du comportement de l’organisation, mais ce comportement naît des décisions individuelles de ceux qui la composent ».
À moins que le contrôleur aérien n’ait consciemment commis une erreur, c’est un problème manifeste que le leadership doit résoudre. Le leadership a la responsabilité de produire le changement, et le blâme aurait empêché ce changement.
L’amiral Rickover a introduit cette culture de la responsabilité dans la marine nucléaire, et cette organisation a un bilan de sécurité assez bon. Ce texte ressemble beaucoup à ce que j’ai lu sur la tradition d’ingénierie de l’US Navy. Voici de courts textes qui donnent un aperçu de l’amiral Rickover :
https://www.ans.org/news/article-1592/caught-in-the-leadersh... https://govleaders.org/rickover.htm
Si l’auteur ne l’a pas encore lu, je suis sûr qu’il prendra plaisir à découvrir l’amiral Rickover et sa philosophie.
Quiconque a aimé ce texte trouvera aussi Extreme Ownership intéressant. C’est un livre bien, bien, bien meilleur que ce que sa couverture et son sous-titre laissent penser, et il est applicable à tous les métiers de la Silicon Valley.
Rickover est de manière générale un personnage intéressant qui mérite d’être lu. Il existe plusieurs versions de ses « règles » ; en voici un ensemble :
https://www.linkedin.com/posts/kelly-robinson-phd-92842b6_ri...
J’en colle un autre ensemble ci-dessous.
Je voudrais souligner deux points. Non seulement il a bâti une organisation très sensibilisée à la sécurité, mais il a aussi créé une organisation étonnamment innovante sur le plan technique, née malgré une forte résistance au sein de l’US Navy.
Il suffit de penser qu’il essayait non seulement de construire un petit réacteur, ce qui n’avait jamais été fait, mais un réacteur que l’on pourrait installer dans un sous-marin. Ce n’était pas un objectif technique facile. Et il cherchait à y parvenir malgré l’opposition du plus haut niveau de l’organisation à laquelle il avait consacré sa vie, y compris des tentatives pour l’écarter complètement.
Ce n’était pas un homme parfait, mais ses accomplissements ont été considérables. Cela mérite particulièrement d’être lu si vous travaillez en mécanique.
Deuxième ensemble de règles de Rickover :
Rule 1: Les standards de qualité doivent s’élever avec le temps et dépasser largement le niveau exigé par tout standard minimal
Rule 2: Les personnes qui exploitent des systèmes complexes doivent être très compétentes
Rule 3: Les superviseurs doivent faire face aux mauvaises nouvelles lorsqu’elles arrivent et les faire remonter à un niveau suffisamment élevé pour pouvoir résoudre le problème
Rule 4: Il faut avoir un respect sain pour les dangers et les risques de son travail
Rule 5: La formation doit être continue et rigoureuse
Rule 6: Toutes les fonctions de réparation, de contrôle qualité et de support technique doivent être imbriquées les unes dans les autres
Rule 7: L’organisation et ses membres doivent avoir la capacité et la volonté d’apprendre des erreurs du passé
Il y a justement eu ce mois-ci en Suisse un procès dans lequel un contrôleur aérien a été inculpé et reconnu coupable pour avoir donné de mauvaises instructions à un avion militaire, le conduisant à percuter une paroi rocheuse.
C’était assez intéressant à suivre en raison des différentes implications d’un verdict de culpabilité ou d’innocence, et la couverture médiatique a été importante.
https://www.swissinfo.ch/eng/swiss-military-jet-crash--publi...
https://www.swissinfo.ch/eng/air-traffic-controller-blamed-f...
Il s’agissait d’un tribunal militaire, pas d’un tribunal civil. Même si les contrôleurs aériens civils et militaires travaillent tous pour la même entreprise, Skyguide, les procédures peuvent être différentes dans ce type de cas.
C’est facile à dire, mais quand on vous réveille à 3 h du matin pendant une astreinte à cause du chaos créé par quelqu’un d’autre, « sans blâme » n’est pas ma première réaction.
Malgré tout, aller jusqu’à la racine du problème, faire en sorte que toutes les personnes concernées proposent une solution, et continuer à améliorer les procédures d’exécution, c’est clairement la meilleure voie. Bien sûr, c’est réactif, mais aucune consigne préventive ne peut saboter quelque chose avec autant de créativité que du trafic de production.
Je n’en voudrais pas personnellement à quelqu’un pour une panne bizarre ou fortuite, mais la question essentielle est : « pourquoi est-ce arrivé ? »
Cela dit, vous resterez à jamais cette fichue personne qui a provoqué une panne de base de données à Noël. Vous n’aviez peut-être pas le choix, mais vous vous ferez quand même engueuler.
Nous avons tous ce genre de cicatrices.
Et on en revient à se poser la question : pourquoi avons-nous tous ce genre de cicatrices ? Est-ce que les systèmes que nous gérons ne sont pas tout simplement pas assez bons ? Une colère locale peut être le signal d’un problème plus systémique. Au final, on revient encore à l’idée des analyses post-mortem sans blâme.