Rapport d'enquête aéronautique A99H0001

Le Boeing 767 du vol 987 des Lignes aériennes Canadien International (CDN 987) avait quitté Toronto (Ontario) et se rendait à Vancouver (Colombie-Britannique) au niveau de vol (FL) 390. Le Boeing 767 du vol 118 d'Air Canada (ACA 118) avait décollé de Calgary (Alberta) à destination de Toronto et volait au FL 370. Quelque 55 milles marins (nm) à l'ouest du radiophare omnidirectionnel (VOR) à très haute fréquence (VHF) de Langruth (Manitoba), ACA 118 a demandé à monter au FL 410 et y a été autorisé. À environ 35 nm à l'ouest du VOR de Langruth, le pilote de CDN 987 a signalé au contrôleur qu'il quittait le FL 390 pour monter plus haut à cause d'un avis de résolution (RA) d'un conflit avec un autre appareil droit devant que lui donnait son système de surveillance du trafic et d'évitement des collisions (TCAS). Les deux avions sont passés à moins de 3 nm l'un de l'autre sur le plan horizontal et à moins de 1 000 pieds sur le plan vertical. L'espacement aurait dû être de 5 nm ou de 2 000 pieds.

Services de contrôle de la circulation aérienne

Les deux avions étaient placés sous la responsabilité du contrôleur chargé du secteur supérieur en route de Gimli à l'intérieur du centre de contrôle régional (ACC) de Winnipeg (voir l'annexe A). CDN 987, qui se dirigeait vers l'ouest au FL 390, a contacté le contrôleur de Gimli à 10 h 46 min 21, heure normale du Centre (HNC)^{Note de bas de page 1}, peu après que ce dernier eut pris son poste vers 10 h 45. Le contrôleur du secteur de Gimli a identifié l'avion au radar, a vérifié la route suivie dans le secteur qui était indiquée sur la fiche de progression de vol et a confirmé qu'à cette altitude, aucun autre appareil n'entrait en conflit avec CDN 987. ACA 118, qui se dirigeait vers l'est au FL 370, a contacté le contrôleur du secteur de Gimli à 10 h 53 min 25 et a été identifié au radar. Sa fiche de progression de vol a été annotée en conséquence.

D'après le Manuel d'exploitation - Contrôle de la sécurité aérienne (MANOPS ATC) de NAV CANADA, les contrôleurs qui sont relevés sont tenus de faire des exposés oraux aux collègues qui prennent leur place lorsque le besoin s'en fait sentir. Le Manuel de gestion et d'administration des services de la circulation aérienne (ATSAMM) précise les renseignements qui peuvent être inclus dans les listes de vérifications utilisées lors du transfert de responsabilités d'un poste. On mentionne notamment à la rubrique 203.2B Note A de l'ATSAMM, « les conflits potentiels, les renseignements de départ et d'arrivée, les circuits ».

Lorsque le contrôleur de Gimli a pris en charge le secteur de Gimli une quinzaine de minutes avant l'incident, le contrôleur qu'il relevait lui a signalé qu'ACA 118 risquait de rattraper un autre avion (C-GMTR) qui volait à la même altitude sur la même route et qui se trouvait environ à 40 nm devant. Même si, d'après les calculs, ce conflit ne devait pas survenir dans le secteur de Gimli, les contrôleurs ont l'habitude d'avertir le plus tôt possible le secteur adjacent des situations qui demandent une attention particulière. Au début, le contrôleur de Gimli a été averti qu'ACA 118 rattrapait C-GMTR et que la différence de vitesse était de 10 noeuds. Toutefois, quand le transfert d'ACA 118 a eu lieu à 10 h 53 min 25, le contrôleur de Gimli s'est rendu compte que la différence de vitesse était de l'ordre de 30 noeuds.

Le contrôleur radar dispose d'un outil appelé « trajectoire de vol prévue » (predict track line) qui l'aide à identifier les conflits potentiels entre les appareils. Cet outil genère automatiquement une ligne sur l'écran radar qui représente la direction devant être suivie et la distance devant être parcourue à partir de la position du symbole d'un avion précis, et ce, pendant le temps en minutes entré par le contrôleur. La bande radar montre que le contrôleur de Gimli s'est servi de cet outil à 10 h 53, soit sept minutes avant le conflit, pour déterminer la position qu'occuperaient dans 10 minutes tous les avions apparaissant à l'écran radar. À ce moment-là, ACA 118 n'était pas encore entré en contact avec le contrôleur de Gimli. Au moment de la communication, rien ne permettait de penser qu'ACA 118 allait demander un changement d'altitude qui créerait un conflit avec CDN 987 volant à plus haute altitude.

La droite azimut-distance (RBL) est un autre outil à la disposition du contrôleur radar. Il s'agit d'un moyen électronique qui affiche sur l'écran radar une droite indiquant la distance en milles marins et le gisement magnétique entre deux points ou deux cibles sélectionnées, celles-ci pouvant être mobiles ou fixes. À 10 h 57 min 20, le contrôleur de Gimli a fait apparaître une RBL entre ACA 118 et C-GMTR pour surveiller l'espacement entre ces appareils. Au moment où la RBL a été obtenue entre ACA 118 et C-GMTR, CDN 987 se trouvait à 9 nm au sud-est de C-GMTR et volait cap à l'ouest. La distance entre ACA 118 et C-GMTR étant de l'ordre de 37 nm, il est apparu qu'il faudrait plus d'une heure avant que le deuxième avion rattrape le premier au point de créer une situation de conflit, donc bien au-delà de l'espace aérien placé sous la responsabilité du contrôleur de Gimli. Toutefois, à 10 h 58 min 12, quand ACA 118 a demandé l'autorisation de monter au FL 410, le contrôleur de Gimli a vu dans ce changement d'altitude une solution au problème de rattrapage qu'il voyait venir, et il a autorisé sans tarder la montée à 10 h 58 min 16. À ce moment-là, CDN 987 se trouvait à 32 nm d'ACA 118 à un relèvement magnétique de 103 degrés, et à 7 nm au sud-ouest de C-GMTR. La fonction RBL n'a pas été utilisée pour l'espacement entre ACA 118 et CDN 987.

Les symboles de la position actuelle des aéronefs affichés à l'écran radar sont identifiés par des blocs-données qui contiennent des renseignements sur les aéronefs, notamment l'indicatif, l'altitude et la vitesse-sol. Un bloc-données est relié au symbole de la position actuelle de l'aéronef par une petite ligne, et chaque bloc est placé par rapport au symbole de la position de l'aéronef, soit à un endroit fixe déterminé par le contrôleur, soit à un endroit établi automatiquement (auto-étiquetage) de façon à éviter tout chevauchement de blocs-données lorsque des aéronefs sont très proches l'un de l'autre. Lorsque le contrôleur de Gimli a pris le secteur en charge, il ne s'est pas rendu compte que la fonction d'auto-étiquetage n'était pas sélectionnée. L'utilisation de cette fonction n'est pas obligatoire.

Lorsque CDN 987 a croisé C-GMTR vers 10 h 58, les blocs-données des deux avions se sont chevauchés partiellement. Comme la fonction d'auto-étiquetage n'était pas sélectionnée, les blocs-données ne se sont pas séparés automatiquement l'un de l'autre, si bien que la partie du bloc-données de CDN 987 affichant l'indicatif de l'appareil s'est trouvée masquée par l'altitude de C-GMTR. L'altitude du bloc-données de CDN 987 était alors masquée par le symbole de la position actuelle de C-GMTR. À 10 h 58 min 12, au moment où ACA 118 a demandé à monter, les blocs-données de C-GMTR et de CDN 987 se chevauchaient encore partiellement, ce qui masquait des parties de l'indicatif et de l'altitude de CDN 987.

À 11 h 00 min 01, CDN 987 a contacté le contrôleur de Gimli et lui a signalé qu'il quittait le FL 390 en montée à cause d'un contact droit devant établi par le TCAS. Le pilote de CDN 987 a fait savoir que le TCAS avait d'abord donné un avertissement, puis avait donné un RA indiquant que l'autre appareil se trouvait à 800 pieds au-dessous. À cet instant, il a coupé le pilote automatique et, conformément aux procédures de la compagnie demandant de suivre les instructions données par les RA, il s'est mis en montée à performances maximales de façon à prendre le taux exigé par le RA. Par la suite, l'équipage a établi le contact visuel avec l'avion d'Air Canada qui se trouvait au nord. Après avoir atteint le FL 399, CDN 987 est retourné à l'altitude de croisière qui lui avait été assignée (FL 390). Le pilote d'ACA 118 a fait savoir que l'équipage avait établi le contact visuel avec l'appareil de Canadien à quelque 15 milles et avait reçu une alerte suivie d'un RA au FL 382. L'équipage d'ACA 118 n'a pas suivi l'instruction du RA l'enjoignant de descendre, car il avait CDN 987 en vue et était également convaincu que l'espacement était assuré visuellement. En vertu de la politique d'Air Canada, les pilotes doivent suivre les instructions des RA. L'installation d'un TCAS dans un aéronef immatriculé au Canada et devant être utilisé au Canada est laissée à l'entière discrétion du transporteur.

Charge de travail du contrôleur

Selon l'information recueillie, le volume du trafic était de faible à modéré, et tout l'équipement nécessaire était en bon état de marche et était utilisé comme il se devait. Voici l'emploi du temps du contrôleur avant l'incident : au cours des 6 minutes et 36 secondes ayant précédé le message transmis par CDN 987 au sujet du RA du TCAS, autrement dit entre l'arrivée d'ACA 118 sur la fréquence à 10 h 53 min 25 et le message relatif au TCAS transmis par CDN 987 à 11 h 00 min 01, le contrôleur de Gimli a transmis ou reçus 13 estimées à destination ou en provenance de secteurs adjacents et a fait les mises à jour nécessaires sur les fiches de progression de vol. Ces échanges téléphoniques ont duré en tout quelque trois minutes, ce qui correspond à 45 % du temps du contrôleur pendant cet intervalle. D'autres échanges radio ordinaires avec divers aéronefs ont duré au total quelque 41 secondes. Environ 69 secondes (17 % du temps disponible) ont été occupées à transmettre des renseignements à d'autres aéronefs sur le confort des vols, renseignements qui n'étaient ni critiques ni reliés au contrôle (comptes rendus de turbulence). La pire condition décrite faisait état de « secousses légères ». La Publication d'information aéronautique (A.I.P. Canada) définit une secousse légère comme de la turbulence qui produit des secousses faibles, rapides et quelque peu « rythmiques », sans causer de changement important d'altitude ou d'assiette. La réaction à l'intérieur de l'aéronef est décrite comme suit : « Les occupants peuvent ressentir une légère pression des ceintures ou des harnais de sécurité. Les objets libres peuvent se déplacer légèrement. On peut toutefois servir la nourriture et se déplacer sans trop de difficulté. »

Le MANOPS ATC stipule que les contrôleurs doivent transmettre aux avions concernés les comptes rendus météorologiques de pilotes (PIREP) si les conditions qu'ils contiennent sont d'une certaine importance.

Au total, le temps passé à transmettre ou à recevoir des renseignements, soit à la radio en provenance ou à destination des aéronefs, soit au téléphone en provenance ou à destination des autres secteurs, s'est élevé à 4 minutes et 50 secondes (73 % du temps disponible). Les 80 à 90 dernières secondes ayant précédé l'avis de résolution du TCAS (composées de 69 secondes de messages transmis par le contrôleur, de quelque 10 secondes d'accusés de réception en provenance d'aéronefs et d'environ 10 secondes de silence entre les divers messages) ont été quasiment toutes consacrées à des échanges de renseignements sur le confort des vols, renseignements qui n'étaient ni critiques ni reliés au contrôle. Le temps additionnel passé à calculer les estimées, à faire les entrées informatiques dans le système de traitement des données radar (RDPS) et à mettre à jour et à agencer les fiches de progression de vol autrement que pendant les communications téléphoniques, n'est pas connu.

L'article 131 du MANOPS ATC précise que le service de contrôle doit avoir la priorité sur tous les autres services. Le MANOPS ATC mentionne que les services de la circulation aérienne comme la transmission de renseignements sur le mauvais temps en vol ont une priorité moindre que les services de contrôle des aéronefs volant aux instruments ou à vue, services qui portent notamment sur la prévention des collisions et l'écoulement rapide du trafic. Toutefois, il a été signalé que les contrôleurs ont l'habitude de fournir des renseignements sur le confort des vols en raison des attentes et des demandes des utilisateurs pour ce type d'information. Les équipages concernés dans le présent incident n'ont pas demandé ce type d'information. Des entretiens avec des contrôleurs dans le cadre de la présente enquête et d'autres enquêtes ont montré que les attentes liées à ces demandes pouvaient être une grave source de distraction par rapport à la mission qui consiste à assurer l'espacement entre les aéronefs. Dans son Rapport sur l'enquête spéciale portant sur les services de la circulation aérienne au Canada, publié en 1990, le Bureau canadien de la sécurité aérienne (BCSA) note que « les tâches multiples que doit assurer le contrôleur (surveillance, télécommunications, préparation des données de vol, interaction avec l'ordinateur, etc.) le rendent très vulnérable au phénomène de la distraction ». En général, lorsqu'un secteur est exploité par un contrôleur radar et un contrôleur des données, le contrôleur radar a le temps de fournir les renseignements demandés.

Antécédents professionnels du contrôleur

Le Bulletin d'information ATSI - 9702 de NAV CANADA, en date du 2 octobre 1997, intitulé « Accent sur la sécurité dans les SCA à NAV CANADA » précise, qu'en vertu de l'objectif fonctionnel n^o1 de NAV CANADA, les contrôleurs sont tenus de consacrer tout leur temps et toute leur attention à la surveillance des vols et à l'information de vol. Tout le reste est secondaire. Dans la rubrique « Analyse de l'objectif fonctionnel n^o1 » de ce bulletin, NAV CANADA fait remarquer que « bon nombre d'événements sont attribuables surtout à des omissions ou à un manque d'attention. Ces situations se produisent souvent parce que l'attention d'une personne a été détournée par des sujets beaucoup moins prioritaires ». Il convient de noter que les oublis ou le manque d'attention peuvent également se produire à cause d'un certain relâchement inhérent à une faible charge de travail.

Le contrôleur de Gimli travaillait seul au secteur de Gimli, assurant le contrôle radar et le contrôle des données. Il était qualifié pour s'acquitter de ces deux fonctions. La présence d'un seul contrôleur au secteur de Gimli est pratique courante et respecte les normes établies par NAV CANADA en matière d'effectifs. Le contrôleur de Gimli avait 26 ans d'expérience comme contrôleur IFR (règles de vol aux instruments) et il travaillait à la sous-unité de Winnipeg, dont Gimli est l'un des secteurs, depuis 18 ans. La sous-unité de Winnipeg se compose de quatre secteurs, chacun étant configuré pour un contrôleur radar et un contrôleur des données, ce qui fait au total huit postes de travail. Les secteurs de Gimli et de Dryden sont des secteurs supérieurs, tandis que ceux de Winnipeg-Est et de Winnipeg-Ouest sont des secteurs inférieurs. Ces deux derniers secteurs étaient également occupés par un seul contrôleur au moment de l'incident. À ce moment de la journée, les effectifs doivent comprendre six contrôleurs et deux surveillants; le premier surveillant est là pour permettre à ses collègues de faire des pauses et l'autre pour surveiller l'ensemble des opérations. Toutefois, ce dernier occupait un poste de contrôle (les postes regroupés de contrôle radar et de contrôle des données du secteur de Winnipeg-Ouest) au moment de la perte d'espacement. La présence d'un surveillant à un poste de contrôle, pour permettre à d'autres contrôleurs de faire des pauses, est chose courante.

Le contrôleur de Gimli était en service depuis 4 heures et 15 minutes (depuis le début de son quart de travail) et se trouvait au poste de contrôle du secteur de Gimli depuis 15 minutes (depuis sa dernière pause). Il effectuait le premier jour de son cycle de travail normal. Toutefois, il avait fait un quart supplémentaire la veille, de 9 h 45 à 18 h, ce qui lui avait laissé 12 heures et 45 minutes de temps libre entre ses deux quarts de travail. Au cours de cette période, il avait pris 6 heures de sommeil, soit son temps de sommeil nocturne ordinaire. Au cours des 7 derniers jours, il avait travaillé pendant 6 jours. Au cours des 32 derniers jours, il avait effectué 16 quarts normaux, 6 quarts supplémentaires prévus et 2 autres quarts supplémentaires non prévus. La convention collective conclue entre NAV CANADA et l'Association canadienne du contrôle du trafic aérien (ACCTA) stipule que les employés doivent avoir au moins deux jours de repos consécutifs. Au cours des 32 derniers jours, le contrôleur de Gimli n'avait bénéficié qu'à deux reprises d'au moins deux jours de repos consécutifs. L'information recueillie au cours de l'enquête montre que, au cours de l'année précédente à l'ACC de Winnipeg, de grandes quantités d'heures supplémentaires et des nombres limités de jours de repos consécutifs étaient loin d'être rares. Toujours d'après la convention collective conclue entre NAV CANADA et l'ACCTA, les contrôleurs doivent travailler en moyenne 34 heures par semaine. La convention précise qu'il s'agit d'une moyenne hebdomadaire calculée sur un an. Dans des circonstances normales, cela devrait donner un total approximatif de 155 heures de travail en 32 jours. Le contrôleur de Gimli avait effectué 198 heures de travail en 32 jours. Pendant cette période, il avait travaillé de 14 à 16 heures par période de 24 heures à 6 reprises, bénéficiant alors de moins de 10 heures de repos entre deux quarts de travail, et trois fois sur six, la période qui lui aurait permis de dormir 8 heures consécutives est survenue en après-midi ou en début de soirée. À ces moments de la journée, on dort habituellement moins longtemps et le sommeil est moins réparateur.

Les signes de fatigue^{Note de bas de page 2} ou d'un manque de sommeil sont les suivants : une mauvaise fonction d'exécution (planification), une mauvaise répartition de l'attention, une diminution de la capacité à assimiler de l'information, une attention moindre (qui amène à oublier ou à ignorer des tâches importantes) et une réduction de la capacité à répartir ses ressources mentales entre diverses tâches (diminution de la capacité de traitement parallèle).

Le nombre d'heures durant lesquelles les contrôleurs peuvent travailler pendant un laps de temps donné est laissé à la discrétion de l'employeur, dans le cadre des limites imposées par les conventions collectives. Dans son Rapport sur l'enquête spéciale portant sur les services de la circulation aérienne au Canada, publié en 1990, le BCSA fait remarquer que :

• Un trop grand recours aux heures supplémentaires risque de provoquer de la fatigue chez les contrôleurs et d'aggraver la pénurie d'effectifs à cause d'une augmentation des congés de maladie et, en fin de compte, à cause d'un accroissement de l'usure des effectifs. Pour que la charge de travail soit répartie de façon plus sûre et plus équitable, le Bureau recommande que :
  • le ministère des Transports fixe le nombre de quarts de travail autorisé à être effectués dans un cycle de neuf jours, qu'il fixe le nombre minimal de jours de repos entre les cycles de travail et qu'il fixe le nombre maximal d'heures de travail autorisées à être effectuées dans une période de 24 heures.

  • BCSA 90-15

Transports Canada a répondu pour donner un accord de principe à cette recommandation, mais aucune limite n'a été fixée.

Dans le même rapport, le BCSA précise :

• Étant donné la fréquence des erreurs d'inattention et de prise de décision, des problèmes de transfert d'information et de coordination, etc.; étant donné les effets naturels de la fatigue engendrée par le travail par postes; et étant donné les effets multiplicateurs de la charge de travail actuelle et de la forte demande d'heures supplémentaires, des restrictions supplémentaires portant sur les cycles de repos et de travail sont requises. En plus des restrictions suggérées dans la recommandation BCSA 90-15, le Bureau recommande que :
  • le ministère des Transports prépare et mette en vigueur des restrictions supplémentaires portant sur :
    • le nombre maximal d'heures qu'un contrôleur peut travailler à un poste de contrôle donné sans bénéficier d'une pause;
    • le nombre minimal d'heures de repos entre deux quarts de travail.

  • BCSA 90-37

Transports Canada a rejeté cette recommandation sous le prétexte que « la convention était respectée » et que les pratiques actuelles ne mettaient pas la sécurité en jeu. « Vu que les pratiques actuelles [étaient] acceptées tant par l'employeur que par l'Association canadienne du contrôle du trafic aérien, elles [seraient] maintenues. » L'accord entre NAV CANADA et l'ACCTA ratifié le 13 août 1999 exige un minimum de 10 heures entre deux quarts de travail ainsi que la mise sur pied d'un comité constitué de représentants des deux parties et de Transports Canada qui aurait pour objectif d'étudier diverses questions, dont le travail par postes et la fatigue. L'accord stipule également que Transports Canada doit faire appel au processus réglementaire pour prendre des mesures consécutives à des recommandations.

Les rapports d'enquête n^os A93C0208, A94C0232, A96O0196, A97P0153, A97A0150, A97H0006, A98H0002, A98H0004 ainsi que le rapport Securitas n^o A99Z0015 ont déjà traité des heures supplémentaires trop nombreuses, du manque de personnel, du manque de pauses, des périodes de repos insuffisantes et de la fatigue chez les contrôleurs.

Avant de prendre en charge le secteur de Gimli, le contrôleur de Gimli avait fait une pause. Pendant celle-ci, il avait tenu une discussion informelle avec des gestionnaires à propos d'une proposition de modification des limites de certaines parties de l'espace aérien de Winnipeg. Ce plan, qui devait entrer en vigueur dans un avenir proche, suscitait une forte controverse chez les contrôleurs. Le contrôleur de Gimli se demandait si la modification n'allait pas nuire à la formation et à la satisfaction professionnelle des contrôleurs.

Alerte en cas de conflit

Les spécifications de rendement originales du logiciel du RDPS de l'ATC prévoyaient des fonctions de détection et d'alerte en cas de conflit entre des aéronefs. Pendant les essais faits à la fin des années 80 et au début des années 90, on s'est aperçu que la fonction d'alerte en cas de conflit du RDPS présentait plusieurs défauts, si bien que son utilisation opérationnelle n'a pas été jugée acceptable, ce qui est encore le cas aujourd'hui. En 1990, le BCSA avait recommandé que :

BCSA 90-36

Transports Canada a accepté cette recommandation et a fait savoir que « le système d'avertissement d'altitude minimale de sécurité et de conflit serait mis en oeuvre lorsque le système de traitement des données radar sera installé, dans le cadre du programme de modernisation des radars, à partir de juin 1990. » Au début de 1997, NAV CANADA a fait savoir que la question relative à l'impossibilité d'utiliser la fonction d'alerte en cas de conflit du RDPS n'était toujours pas réglée. Cette fonction d'alerte du RDPS était encore en cours d'élaboration, les personnes concernées espérant pouvoir l'intégrer à la version 700 du logiciel du RDPS censée être prête au cours de l'automne 1997. Au début de 1998, NAV CANADA a fait savoir que les essais du logiciel portant sur cette fonction étaient en cours, les essais pratiques devant avoir lieu pendant l'automne 1998. On s'attendait à ce que la réception opérationnelle prenne du temps. Les essais du logiciel portant sur cette fonction d'alerte en cas de conflit se poursuivent toujours. NAV CANADA, dans son plan global de sécurité 1998/99, a fait savoir qu'il s'engageait à ajouter sur une base nationale les fonctions d'avertissement d'altitude minimale de sécurité et de conflit sur les systèmes de surveillance existants. Aucune date de mise en oeuvre n'a été donnée, et les ressources qui allaient être consacrées au respect de cet engagement n'ont pas été précisées non plus.

Pendant l'enquête sur le présent incident, les données radar ont été examinées afin de déterminer les séquences de temps et les entrées au clavier faites par le contrôleur. Bien que les enregistrements radar soient censés consigner fidèlement les entrées au clavier et les indications de l'écran radar telles que les voit le contrôleur, la droite RBL n'est pas apparue pendant la lecture de l'enregistrement, malgré la présence des entrées au clavier correspondant à cette fonction RBL et du déplacement du pointeur de la souris, indiquant que cette fonction avait été utilisée pour les deux avions (ACA 118 et C-GMTR). Avant l'incident, la RBL avait fonctionné correctement.

Le contrôleur radar de Gimli avait devant lui tous les renseignements nécessaires pour déceler le conflit entre ACA 118 et CDN 987 et le résoudre, et ce, bien avant que la perte d'espacement ne se produise. Compte tenu de l'affichage des cibles à l'écran, malgré le masquage temporaire et partiel du bloc-données de CDN 987, auquel s'ajoutaient les renseignements fournis par les fiches de progression de vol qui étaient à la disposition du contrôleur, ce dernier disposait de toute l'information nécessaire à la planification, à l'exécution et à la surveillance de l'espacement entre les avions.

L'examen des dossiers des quarts de travail et des comptes rendus du contrôleur a révélé que le contrôleur avait fait plusieurs quarts de travail supplémentaires récemment. De plus, ce genre de travail par postes avait probablement nui à son rythme circadien, ce qui, combiné au fait que le contrôleur prenait régulièrement des périodes de sommeil de six heures, a peut-être contribué à engendrer un manque de sommeil.

La première erreur s'est produite quand ACA 118 a été autorisé à monter au FL 410. Depuis l'exposé fait par le contrôleur relevé au moment de la prise en charge du secteur, le contrôleur de Gimli s'était intéressé au fait qu'ACA 118 rattrapait C-GMTR et que cela posait un problème. Le fait de se préoccuper d'une seule chose est le signe d'une mauvaise répartition de l'attention. Quand ACA 118 a demandé à monter au FL 410, le contrôleur a oublié la présence d'un appareil en direction opposée (l'avion du vol CDN 987 au FL 390) à cause d'un trou de mémoire, et il a immédiatement retenu ce changement d'altitude comme la solution au problème perçu, sans bien examiner visuellement son écran radar pour voir si cette mesure n'entraînerait pas de conflits. Une perte de conscience de la situation révèle que la personne est moins apte à assimiler de l'information.

Après avoir autorisé ACA 118 à monter, ce qui constitue les parties de planification et d'exécution du plan visant à assurer l'espacement des aéronefs, le contrôleur de Gimli avait alors la responsabilité de surveiller l'évolution de la situation liée à cette autorisation. Le contrôleur de Gimli n'avait pas beaucoup de travail à ce moment-là, et comme il avait de l'expérience, il s'attendait à pouvoir offrir le même niveau de service aux appareils placés sous son contrôle, même s'il accomplissait les tâches de contrôleur radar et de contrôleur des données. Lorsqu'un contrôleur occupe deux postes en même temps, il se peut qu'il ait du mal à s'abstenir de donner des renseignements « facultatifs », car il s'agit d'une habitude bien ancrée chez les contrôleurs. De plus, cette habitude est encore plus susceptible de se manifester si le contrôleur est fatigué. Le contrôleur de Gimli a donné aux équipages des renseignements sur le confort des vols à un moment où il aurait dû s'occuper de l'espacement entre les avions (persévération).

Les horaires et les occasions de dormir du contrôleur de Gimli correspondent à une situation connue pour causer un taux élevé d'erreurs au travail. L'autorisation qui a mené au conflit, l'oubli de la position de l'avion du vol CDN 987 et la fourniture de renseignements sur le confort des vols alors que le conflit se préparait sont tous des signes de fatigue, même si ces éléments ne sont pas suffisants pour prouver que les erreurs commises sont attribuables à la fatigue. Même s'il a fait une pause seulement 15 minutes avant la perte d'espacement, le contrôleur de Gimli ne s'est pas reposé pendant cette pause. Au lieu de se reposer, il s'est engagé dans une discussion potentiellement stressante avec des gestionnaires. La personne qui ne se détend pas vraiment pendant une pause ne récupère pas beaucoup ou pas du tout pendant cette pause.

À la sous-unité de Winnipeg de l'ACC de Winnipeg, on avait pris l'habitude d'assigner un seul contrôleur pour s'occuper de plusieurs secteurs. Cette pratique a donné lieu à une situation au cours de laquelle le contrôleur a dû s'acquitter de ses tâches sans l'appui d'autres personnes au sol ni sans aide électronique.

Transports Canada a déjà rejeté une recommandation du BCSA visant à instaurer et à mettre en oeuvre des restrictions relatives aux heures de travail, sous le prétexte que la convention était respectée et que les pratiques actuelles ne mettaient pas la sécurité en jeu. Au moment où le BCSA a fait cette recommandation, Transports Canada était à la fois l'employeur et l'instance de réglementation du système ATC.

Le TCAS des avions concernés a donné une alerte de conflit et un avis de résolution en l'absence de fonctions équivalentes à la disposition des contrôleurs.

Faits établis quant aux causes et facteurs contributifs

1. Le contrôleur de Gimli n'a pas bien examiné son écran radar pour s'assurer qu'il n'y avait pas de conflits avant d'autoriser ACA 118 à monter.
2. Le volume du trafic était de faible à modéré; toutefois, dans les 6 minutes et 36 secondes ayant précédé l'incident, le contrôleur de Gimli a consacré au moins 73 % de son temps à transmettre et à recevoir des estimées par téléphone, à transmettre et à recevoir des messages ordinaires visant d'autres aéronefs et à communiquer des renseignements sur le confort des vols; ces derniers renseignements ont été donnés dans les 80 à 90 secondes précédant l'incident.
3. Au cours des 32 derniers jours, le contrôleur de Gimli avait fait de nombreuses heures supplémentaires, il avait fait plusieurs quarts de travail espacés de périodes de repos minimales et il n'avait bénéficié d'au moins deux jours de repos consécutifs qu'à deux reprises.
4. Le comportement du contrôleur de Gimli, avant et pendant les faits, est typique d'une personne fatiguée. La fatigue a probablement joué un rôle dans l'incident.
5. Compte tenu du cycle de travail et de repos du contrôleur de Gimli, les risques d'incidents liés à des erreurs induites par la fatigue étaient plus grands.
6. Bien que devant être mis en oeuvre au début des années 90 pour répondre aux besoins des services de la circulation aérienne, les mécanismes automatiques d'alerte et de prévision de conflit recommandés par le BCSA en 1990 ne sont toujours pas opérationnels.
7. La transmission de comptes rendus peu importants sur le confort des vols a détourné l'attention du contrôleur de ses tâches plus urgentes, notamment de la surveillance radar pendant la montée d'ACA 118. Selon toute vraisemblance, le contrôleur a donné des comptes rendus de turbulence légère même s'ils ne revêtaient pas une importance critique pour la sécurité parce qu'il avait l'habitude de le faire et parce qu'il était fatigué.
8. Le surveillant chargé de surveiller les opérations travaillait à un autre secteur au moment des faits; il y avait donc un dispositif de sécurité en moins dans l'unité.
9. Le contrôleur en cause possédait les qualifications nécessaires pour occuper le poste de contrôle et ses connaissances étaient à jour.
10. Tout l'équipement de contrôle mis à la disposition du contrôleur était en état de marche et était utilisé.
11. Les effectifs du secteur respectaient les normes de l'unité. Il n'y avait souvent qu'un seul contrôleur au secteur de Gimli pour s'occuper du contrôle radar et du contrôle des données.
12. L'examen des données radar relatives à l'incident n'a pas montré la droite RBL utilisée par le contrôleur pour déterminer la distance entre ACA 118 et C-GMTR.
13. L'équipage de CDN 987 s'est conformé à la politique de la compagnie relative aux RA du TCAS. L'équipage d'ACA 118 n'a pas suivi les instructions du RA de son TCAS; par conséquent, l'équipage de CDN 987 a dû monter plus haut pour respecter l'espacement obligatoire, ce qui a pris plus de temps.

Mesures prises

L'Association canadienne du contrôle du trafic aérien et NAV CANADA ont signé une convention collective qui fait passer de 8 à 10 heures le temps minimal entre deux quarts de travail consécutifs et qui fait passer de 12 à 11 heures le nombre maximal d'heures de travail consécutives.

NAV CANADA a pris des mesures visant à réduire le nombre de quarts de travail prolongés effectués par les contrôleurs. Dans la même veine, NAV CANADA a adopté une politique voulant qu'on prévoie, dans toutes les unités ATS, des effectifs de 105 % par rapport à ceux établis par NAV CANADA et qu'on alloue 50 millions de dollars par année à la formation pour atteindre cet objectif.

Mesures à prendre

Des risques de collision entre de gros avions de transport évoluant sous couverture radar continuent de se produire dans l'espace aérien canadien. Il existe plusieurs dispositifs de sécurité, tant au sol qu'à bord des aéronefs, pour éviter des collisions en vol résultant d'erreurs humaines. Le dernier dispositif de sécurité au sol (c'est-à-dire la présence d'une deuxième personne) qui aurait pu éviter le présent incident n'était pas en place, puisque le secteur n'était occupé que par un seul contrôleur et que le surveillant assumait toutes les fonctions d'un autre contrôleur dans un autre secteur. Le TCAS en sa qualité de dispositif de sécurité embarqué a atténué la gravité de la situation. Cependant, vouloir se fier au seul moyen de protection automatique que représente le TCAS pour parer aux erreurs humaines pouvant conduire à des collisions en vol n'offre pas une protection à tous les aéronefs immatriculés au Canada transportant des passagers. En effet, la réglementation canadienne n'exige pas la présence d'un TCAS à bord des avions effectuant des vols intérieurs de transport de passagers, et aucune exigence relative au TCAS ne s'applique aux avions-cargos.

Le BST a déjà enquêté sur d'autres pertes d'espacement similaires (rapport n^o A98H0002, rapport n^oA97H0007 et dossier n^o A99W0064 dont l'enquête n'est pas terminée) qui présentent beaucoup d'éléments identiques à ceux étudiés dans le présent rapport. L'incident le plus récent (dossier n^oA00H0002 dont l'enquête est en cours) concerne deux avions Airbus A-340. Les avions volaient à la même altitude sur des trajectoires de collision (qui n'avaient pas été décelées) au-dessus du Golfe du Saint-Laurent quand le pilote de l'un des avions a reçu un avertissement de son TCAS et a alerté le contrôleur. Tous ces événements soulèvent des inquiétudes concernant le manque de bons systèmes au sol d'alerte et de prévision de conflit, au Canada.

Dans sa recommandation BCSA 90-36, le BCSA a identifié la nécessité d'élaborer et de mettre en oeuvre des mécanismes automatiques d'alerte et de prévision de conflit à l'intérieur des services de la circulation aérienne au Canada. Bien que, au fil des ans, Transports Canada et, plus récemment, NAV CANADA, aient poursuivi leurs travaux dans ce sens, aucun engagement ferme n'a encore été pris quant à la date de mise en service de tels mécanismes.

Toute collision en vol entre deux gros avions de transport est lourde de conséquences. De plus, les dispositifs de sécurité au sol sont insuffisants pour tenir compte du niveau normal d'erreurs humaines pouvant donner lieu à des pertes d'espacement. C'est pourquoi le Bureau recommande, tant à l'intention de NAV CANADA que du ministre des Transports, que :

Le présent rapport met fin à l'enquête du Bureau de la sécurité des transports sur cet incident. Le Bureau a autorisé la publication du rapport le 13 juin 2000.

Annexe A— Secteur de Gimli

Image