Kathy Fox
Présidente, Bureau de la sécurité des transports du Canada
Orlando (Floride)
8 août 2016
Seul le texte prononcé fait foi.
Bonjour. Merci beaucoup de m'avoir invitée aujourd'hui. Je suis ravie d'être ici pour m'entretenir avec vous. Pour ceux et celles d'entre vous qui ne connaissent peut-être pas le Bureau de la sécurité des transports du Canada (ou BST), nous sommes un organisme fédéral indépendant, dont le seul objectif est de promouvoir la sécurité des transports. Depuis plus de 25 ans, nous nous employons à enquêter sur des accidents de transport maritime, ferroviaire, aérien et par pipeline sous réglementation fédérale. Lorsqu'un événement se produit, où que ce soit, nous découvrons non seulement ce qui s'est passé, mais également pourquoi, afin de pouvoir faire des recommandations dans le but d'éviter que cela ne se reproduise.
Au fil des ans, notre tâche a considérablement évolué. Autrefois, par exemple, les enquêtes sur les accidents portaient principalement sur les défaillances mécaniques. Puis, avec l'amélioration de la technologie, les enquêteurs ont commencé à examiner de plus près le rôle joué par le comportement des équipages et les limites du rendement humain. Néanmoins, on a continué de croire le plus souvent que la sécurité serait assurée tant que chacun suivrait les procédures d'utilisation normalisées. Suivez les règles ou les règlements à la lettre, disait-on; assurez-vous que l'équipement tiendra le coup; et surtout, soyez attentif à votre tâche et ne commettez pas d'erreurs « stupides ».
Cette logique a été appliquée pendant assez longtemps. En fait, même aujourd'hui, tout de suite après un accident, le public et les médias pensent encore que l'accident est causé par les personnes aux commandes — les pilotes, s'il s'agit d'un accident d'aéronef, ou le mécanicien de locomotive, dans le cas d'un déraillement. Et ils tirent ainsi des conclusions prématurées en affirmant : « Oh! Cet accident a été causé par une erreur du pilote », par exemple, ou « par quelqu'un qui n'a pas suivi les règles », comme si cela expliquait tout. Point final.
Ce n'est jamais aussi simple que cela. Comme les ingénieurs en sécurité systémique le savent probablement très bien, aucun accident n'est causé par une seule personne ou par un seul facteur. C'est ainsi que nous avons dû, au BST, faire évoluer notre mode de réflexion, et qu'il est devenu primordial d'approfondir l'examen des accidents afin de comprendre pourquoi les personnes prennent certaines décisions. Après tout, qui se réveille le matin en disant « je pense que je vais avoir un accident aujourd'hui »? Donc, si les personnes concernées ont jugé que leurs décisions et leurs actions étaient sensées à un moment donné, d'autres personnes pourraient ultérieurement faire de même. Autrement dit, si nous nous focalisons uniquement sur « l'erreur humaine », nous faisons abstraction du contexte dans lequel ces personnes évoluent.
Aujourd'hui, j'aimerais examiner de plus près deux enquêtes très publicisées menées par le BST au cours des dernières années. Je commencerai par vous en communiqu er les causes et les facteurs contributifs. Ensuite, j'illustrerai comment ces deux enquêtes révèlent des problèmes systémiques allant bien au-delà de la personne sur laquelle toute l'attention s'est initialement focalisée. Enfin, je conclurai par ce que cela signifie pour l'avenir, par les défis que les ingénieurs en sécurité systémique auront à relever et par les risques qu'ils auront à gérer.
En juillet 2013, un train transportant 7,7 millions de litres de pétrole brut a déraillé dans le centre de Lac-Mégantic (Québec). Les explosions et l'incendie qui a suivi ont tué 47 personnes et détruit une grande partie du centre-ville. Immédiatement après l'accident, le BST a déployé une équipe d'enquêteurs sur les lieux, incluant des spécialistes des facteurs humains. Au cours de l'année suivante, nous appuyant sur ce que nous avions appris, nous avons publié plusieurs recommandations visant à améliorer la sécurité ferroviaire — non seulement sur une seule voie ferrée ou au sein d'une seule entreprise, mais à l'échelle de l'Amérique du Nord. Mais tout d'abord, regardons une brève animation qui vous donnera une idée du déroulement des événements ce soir-là.
[Transcription de la vidéo.]
Le 5 juillet 2013, vers 22 h 50, un train de la Montreal, Maine & Atlantic Railway (MMA) transportant du pétrole brut dans 72 wagons-citernes de catégorie 111 est arrivé à Nantes (Québec). Conformément aux pratiques de la compagnie, le mécanicien de locomotive a garé le train pour la nuit sur une pente descendante sur la voie principale.
Après avoir éteint quatre des cinq locomotives, le mécanicien a serré sept freins à main. Les règles ferroviaires exigent que les freins à main soient capables à eux seuls de retenir un train, ce qui doit être vérifié à l'aide d'un essai. Toutefois, ce soir-là, les freins à air des locomotives n'ont pas été desserrés pendant l'essai. Le train était donc retenu par l'effort jumelé des freins à main et des freins à air. Cela a également donné l'impression erronée que les freins à main à eux seuls étaient suffisants.
Le mécanicien a ensuite communiqué avec deux contrôleurs de la circulation ferroviaire : un à Farnham (Québec), pour l'informer que le train avait été immobilisé, et l'autre à Bangor, au Maine, pour discuter de la fumée en provenance de la locomotive de tête et des problèmes que cette fumée pourrait engendrer pour la prochaine équipe. Étant donné qu'on s'attendait à ce que la fumée se résorbe, il a été convenu de laisser le train tel qu'il était et de s'en occuper le lendemain matin.
Peu de temps après que le mécanicien est parti pour la nuit, le service d'incendie de Nantes a répondu à un appel 911 au sujet d'un incendie à bord du train. Les pompiers ont éteint l'incendie sur la locomotive de tête en coupant l'alimentation en carburant. Ensuite, conformément aux instructions ferroviaires, ils ont ouvert les disjoncteurs. Après, ils ont discuté de la situation avec le contrôleur de la circulation ferroviaire de Farnham et un employé de la MMA envoyé sur les lieux, puis les pompiers et l'employé de la MMA sont partis.
Toutes les locomotives étant éteintes, le circuit de freinage à air a commencé à perdre de la pression, et les freins sont graduellement devenus de moins en moins efficaces. Environ une heure plus tard, juste avant 1 heure du matin, la pression d'air a baissé à un point tel que l'effort jumelé des freins à air et des freins à main ne pouvait plus retenir le train. Le train a commencé à se déplacer sur la pente descendante et a roulé vers Lac-Mégantic, sur une distance de sept milles.
À mesure que le train dévalait la pente, il a pris de la vitesse, atteignant 65 milles à l'heure. Le train a déraillé juste après le passage à niveau de la rue Frontenac.
Presque tous les wagons-citernes déraillés ont subi des dommages, un grand nombre d'entre eux ayant été éventrés, et environ 6 millions de litres de pétrole brut se sont déversés rapidement dans les rues. L'incendie a commencé presque immédiatement, et 47 personnes ont perdu la vie en raison des flammes et des explosions. Deux mille autres résidants ont été évacués de leurs domiciles, et une grande partie du centre-ville a été détruit.
Après l'accident, il y avait beaucoup plus de questions que de réponses, pourtant cela n'a pas empêché de nombreuses personnes de sauter aux conclusions — y compris le public et les médias. Beaucoup ont déclaré : « Le mécanicien n'a pas serré suffisamment de freins à main. Il n'a pas respecté les règles. »
Mais ce n'était pas aussi simple que cela. En fait, le BST a trouvé 18 causes et facteurs contributifs. Oui, les lacunes concernant le nombre de freins à main et la façon dont le mécanicien les a mis à l'essai ce soir-là en font partie, mais également les règles permettant de laisser le train sans surveillance sur une voie en pente, la méthode d'entretien de la locomotive et la raison de l'incendie qui s'est déclaré à bord ainsi que l'arrêt du moteur qui a entraîné la fuite d'air du circuit de freins. Notre enquête a également révélé que la volatilité du pétrole brut, les faiblesses bien connues de longue date des wagons-citernes de classe 111, la piètre culture de sécurité de la compagnie ferroviaire et la gestion inefficace de ses risques de sécurité ont contribué à cette tragédie.
Puis, nous avons mis en évidence les faiblesses du contrôle exercé par l'organisme de réglementation fédéral, à savoir Transports Canada. En effet, chaque fois qu'une entreprise n'est pas en mesure de gérer la sécurité de son exploitation, ou n'est pas disposée à le faire, l'organisme de réglementation — idéalement — devrait intervenir, pour exercer une surveillance équilibrée en la matière, en alliant des inspections de conformité et des vérifications d'efficacité. Or, ce que nous avons découvert à Lac-Mégantic, c'est que Transports Canada n'exerçait pas un contrôle assez fréquent et approfondi des compagnies de chemin de fer pour savoir comment elles géraient effectivement — ou ne géraient pas — les risques.
Donc, des lacunes ont été relevées à plusieurs niveaux, à savoir de l'individu, de l'entreprise et du gouvernement fédéral. En modifiant n'importe lequel des faits établis quant aux causes et aux facteurs contributifs, l'accident aurait pu ne jamais se produire. Si, par exemple, le moteur n'avait pas pris feu. Ou s'il n'y avait pas eu une pente raide conduisant à une petite localité. Ou si le mécanicien avait immobilisé le train ailleurs pour la nuit.
De même que les accidents ne sont pas causés par une seule personne ou une seule organisation, la sécurité ne doit pas dépendre d'un unique moyen de défense. Il est préférable de discuter plutôt du système et des multiples manières dont on peut le renforcer. Et ce, non seulement en mettant en œuvre des protections administratives, comme des règles et des procédures, mais également des dispositifs physiques, comme des cales de roues ou des dérailleurs supplémentaires, ou encore une technologie de freinage plus moderne pour empêcher les trains de partir à la dérive, même quand ils sont laissés sans surveillance sur une pente raide. Des moyens de protection comme : la planification des itinéraires et l'analyse des risques, l'atténuation des risques associés aux wagons qui transportent des marchandises dangereuses ou les plans d'intervention d'urgence pour chaque transport ferroviaire d'hydrocarbures liquides. D'autres moyens également comme des wagons-citernes plus résistants, de conception plus robuste; ou une intervention plus stricte de l'organisme de réglementation quant aux vérifications des systèmes de gestion de la sécurité (SGS) des compagnies de chemin de fer — vérifications qui doivent être suffisamment approfondies et fréquentes pour s'assurer que ces systèmes sont efficaces... et que des mesures correctives sont prises lorsque des dangers sont repérés.
Je voudrais maintenant vous présenter un second exemple d'enquête menée par le BST, dont les premières conclusions — exactement comme pour Lac-Mégantic — paraissaient évidentes. Du moins pour le public et jusqu'à ce que nous ayons terminé notre enquête.
[Transcription de la vidéo.]
Le matin du 18 septembre 2013, l'autobus à deux étages nº 8017 d'OC Transpo, qui effectuait le circuit express 76, est arrivé à la station d'autobus Fallowfield dans Ottawa-Sud. L'autobus faisait route vers le centre-ville d'Ottawa sur le Transitway, une route privée à 2 voies, réservée aux autobus de banlieue. Depuis la station d'autobus, le Transitway s'étend vers l'est jusqu'à un virage prononcé à gauche qui le fait bifurquer vers le nord, puis il longe l'avenue Woodroffe. L'autobus était en bon état mécanique. Le conducteur était apte au travail et connaissait bien le circuit.
À l'intérieur de l'autobus, le poste de conduite comprenait des commandes standards et plusieurs affichages de bord, dont un écran vidéo placé au-dessus et à la gauche du siège du conducteur.
L'écran vidéo mesurait environ 6 pouces sur 4 pouces et était subdivisé en quatre affichages plus petits, chacun montrant une vue prise à partir d'une des quatre caméras vidéo de bord. L'affichage inférieur droit présentait une vue de l'étage.
Les conducteurs d'OC Transpo étaient tenus de surveiller cet écran aux arrêts en station et en cours de route, et d'annoncer qu'il était interdit de rester debout à l'étage s'ils y voyaient des passagers debout, mais aucune affiche ne faisait mention de cette interdiction.
À la station Fallowfield, des passagers sont montés à bord de l'autobus et d'autres en sont descendus. Le conducteur a jeté un coup d'œil à l'écran vidéo et a annoncé qu'il y avait des sièges libres à l'étage. Un passager de cet étage, n'y voyant aucun siège libre, est resté debout près du haut de l'escalier; et était visible à l'écran vidéo.
Tout juste avant de quitter la station Fallowfield, le conducteur s'est entretenu avec au moins un passager au sujet de la disponibilité de sièges à l'étage.
L'autobus a quitté la station d'autobus environ 4 minutes plus tard que prévu à l'horaire avec quelque 95 passagers à bord. À ce moment-là, les feux clignotants et la barrière du passage à niveau étaient déjà en marche. Cependant, des arbres, des arbustes et du feuillage obstruaient la vue du conducteur.
Pendant que l'autobus roulait sur le Transitway, le conducteur aurait été en mesure d'entendre les passagers près de lui qui discutaient de la disponibilité de sièges à l'étage.
Pendant qu'il négociait le virage à gauche – une tâche qui exige une plus grande attention que la conduite sur une route droite – le conducteur a probablement été distrait par les conversations autour de lui et par la nécessité perçue de faire une annonce sur l'interdiction de rester debout à l'étage. Pendant ce temps, le conducteur a levé les yeux vers l'écran vidéo.
Alors que l'autobus accélérait en direction du passage à niveau, des passagers se sont mis à crier, et le conducteur a reporté son attention sur la route devant lui et a serré les freins.
La collision a fait dérailler le train no 51 de VIA. L'autobus a subi des dommages importants. Le conducteur et cinq passagers de l'autobus ont perdu la vie, neuf ont été grièvement blessés, et 25 environ ont subi des blessures mineures.
Encore une fois, tout de suite après l'accident, le public a sauté aux conclusions. « C'était entièrement la faute du conducteur », ont déclaré de nombreuses voix. « Il roulait trop vite, a-t-on dit, et s'il avait fait attention, six personnes seraient encore en vie aujourd'hui. »
Or, en pensant ainsi, on omet plusieurs faits importants concernant le système au sein duquel le conducteur travaillait :
Premièrement, cet écran permettant de voir l'étage de l'autobus était de petite taille — quelques pouces seulement. Et qui plus est, il était subdivisé en quatre quadrants plus petits. En outre, le règlement de l'entreprise stipulait que le conducteur devait consulter l'écran en cours de route, même si, pour ce faire, il devait quitter la route des yeux.
Deuxièmement, il y avait la question des lignes de visibilité : négocier un virage demande plus d'attention que de conduire en ligne droite. Or, la vue sur le passage à niveau était obstruée par des arbres et du feuillage. En conséquence, même si la signalisation du passage à niveau — feux, sonnerie, barrière descendante — avait été actionnée avant même que l'autobus n'ait quitté la gare, le conducteur ne pouvait ni la voir ni l'entendre.
Troisièmement, lorsque le conducteur a finalement commencé à freiner, il l'a fait conformément à la formation reçue, à savoir non de manière soudaine ou brusque, mais en douceur, pour réduire au minimum l'inconfort des passagers et éviter tout risque de blessure.
Quatrièmement, les activités de surveillance et de contrôle d'application de la vitesse menées par l'entreprise dans cette zone étaient insuffisantes. Bien que le conducteur ait effectivement dépassé la vitesse limite, cela n'a pas été de beaucoup. Mais nous avons constaté que même une petite accélération peut augmenter considérablement la distance d'arrêt, et cela a peut-être été déterminant dans ce cas.
En fin de compte, pourtant, se profilait encore la question de la distraction du conducteur. Avait-il été distrait? Presque certainement. Pendant très longtemps? Quelques secondes au maximum. Peut-être même encore moins, compte tenu de tous les autres éléments systémiques en cause. Nous avons donc conclu que cet accident aurait pu arriver à presque n'importe lequel des conducteurs de l'entreprise de transport par autobus dans les mêmes circonstances.
À mettre à son actif, la Ville a immédiatement pris des mesures, par exemple, faire tailler les branches, arbustes et arbres de manière à rendre les signaux visibles dès que les autobus quittent la gare. Elle a également amélioré la signalisation, en ajoutant notamment un panneau indicateur avancé doté d'un feu, et réduit les limites de vitesse dans les deux sens d'approche du passage à niveau. De leur côté, l'entreprise de transport par autobus et le syndicat ont rappelé aux conducteurs de respecter la vitesse limite, de faire attention aux feux clignotants des passages à niveau et de toujours être prêts à s'arrêter.
Quant à nous, au Bureau de la sécurité des transports, nous ne nous arrêtons ni à ce qui s'est passé ni même au pourquoi. Une part de notre mandat consiste à faire des recommandations de sorte qu'un accident ne se reproduise pas. Dans ce cas, le BST a fait cinq recommandations. Elles visaient à séparer le trafic routier du trafic ferroviaire, à ce passage à niveau, au moyen d'un pont d'étagement ou d'un passage inférieur; à fournir une orientation générale plus explicite aux administrations routières et aux compagnies ferroviaires sur le moment où il conviendrait d'aménager une infrastructure étagée pour séparer les routes des voies ferrées; à procurer de meilleures lignes directrices sur l'installation et l'utilisation des écrans de contrôle vidéo de bord pour réduire le risque de distraction chez les conducteurs ainsi qu'à mettre en œuvre des normes de résistance à l'impact et des enregistreurs de données pour les autobus commerciaux.
Certains des moyens de protection proposés dans nos recommandations, comme de meilleures lignes directrices sur l'installation et l'utilisation d'écrans de contrôle vidéo, sont de type procédural ou administratif. Mais ce sont les dispositifs physiques qui sont les plus susceptibles de prévenir les accidents, comme le fait de séparer les routes des voies ferrées au moyen d'infrastructure en étage, rendant impossible toute collision entre train et autobus.
Malheureusement, cela n'est pas toujours possible, tout comme il est impossible de dérouter les trains transportant du pétrole brut pour éviter chaque ville ou cité.
J'en arrive ainsi au thème de la présente conférence et à ce qui, à mon avis, constituera l'un des plus grands défis que vous aurez à relever. Pour les ingénieurs en sécurité systémique de demain, le plus grand défi ne sera pas de concevoir un système capable d'empêcher un train transportant du pétrole brut — et immobilisé sur une pente — de partir à la dérive. Ce ne sera pas non plus de concevoir un système capable de prévenir à temps les conducteurs d'autobus qu'ils doivent freiner pour s'arrêter au passage à niveau en raison de l'arrivée imminente d'un train. Ces systèmes ont déjà été conçus.
Non, votre défi sera de gérer les risques humains au sein de vos systèmes. Votre défi consistera à imaginer comment, dans la réalité, les personnes — celles qui font des erreurs, qui ne suivent pas toujours les règles — utiliseront les systèmes à leur disposition; comment et où elles chercheront des raccourcis ou adapteront les règles à leur convenance. Bref, comment elles réagiront. Vous devrez non seulement concevoir des moyens de protection complémentaires, mais aussi les suivre pour vous assurer qu'ils fonctionnent comme prévu… de sorte que les erreurs, quand elles se produisent inévitablement, ne conduisent pas à une catastrophe.
Merci.