Rapport d’enquête sur la sécurité du transport maritime M17C0108

Le 15 juin 2017 à 18 h 35^{Note de bas de page 1}, le Damia Desgagnés quittait le mur de l'écluse Eisenhower vers l'amont avec 20 personnes à son bord (figure 1). Au moment du départ, le centre de contrôle de circulation à Iroquois a informé l'équipage que le transit à l'écluse Iroquois serait retardé en raison d'un navire descendant qui se trouvait dans l'écluse.

Image

Le Damia Desgagnés a fait route à vitesse réduite en direction de l'écluse. De 19 h 50 à 22 h 50, l'équipage a reçu des mises à jour régulières du centre de contrôle de circulation à Iroquois, indiquant qu'il y aurait des retards supplémentaires et que le mur d'approche était occupé par un autre navire montant. Le capitaine a discuté avec le personnel de la passerelle, et il a été décidé de jeter l'ancre juste avant l'écluse Iroquois pour attendre que le navire descendant sorte de l'écluse et que le navire montant y entre.

À 22 h 51, alors que le Damia Desgagnés naviguait en direction de l’écluse Iroquois, de nombreuses alarmes ont commencé à retentir sur la passerelle. Après environ 1 minute et sans intervention volontaire du personnel de la passerelle, le Damia Desgagnés a perdu sa propulsion.

À 22 h 52, le capitaine a communiqué avec le personnel de la salle des machines, qui a confirmé que le moteur avait cessé de fonctionner. Le personnel de la salle des machines a demandé que le capitaine lui transfère la commande de la propulsion pour qu'il puisse redémarrer le moteur; le capitaine a transféré la commande de la propulsion comme demandé. Comme le navire devrait ensuite tourner à bâbord, le propulseur d'étrave a été utilisé, avec la barre à bâbord toute, pour tenter de diriger le navire dans cette direction, mais le courant a entraîné le navire vers la rive.

À 22 h 53, pendant que le personnel de la salle des machines tentait toujours de redémarrer le moteur principal, l'ancre avant bâbord a été mouillée au moyen des commandes à distance de la passerelle, et le troisième officier est allé à l'avant pour veiller sur l'ancre. Le propulseur de poupe a été réglé à la puissance maximale tribord afin de contrebalancer la force transversale produite par l'ancre bâbord. Cependant, le navire s'est échoué peu de temps après.

À 22 h 57, la machine principale a été remise en marche et la commande de la propulsion a été retransmise à la passerelle. Le capitaine a donné l'ordre au troisième officier de remonter l'ancre bâbord.

À 23 h, l'ancre bâbord était arrimée et le transmetteur d'ordres a été réglé à « en arrière très lentement ». À 23 h 03, la propulsion a été coupée; le capitaine a informé le centre de contrôle de circulation à Iroquois que le navire avait subi une perte de propulsion et s'était échoué près de Robertson Point. Le capitaine a donné l'ordre à l'équipage d'allumer les projecteurs sur le pont et de sonder les réservoirs. Aucune pollution ni aucune voie d'eau n'a été détectée.

Le 17 juin, le navire a été remis à flot à l'aide de 2 remorqueurs, puis a été remorqué jusqu'à Johnstown (Ontario). Une inspection sous-marine ultérieure a révélé que le navire n'avait pas subi de dommage apparent.

L'enquête a déterminé que la machine principale avait été arrêtée par inadvertance lorsque le bouton d'arrêt de la machine principale avait été accidentellement activé sur l'écran tactile du système intégré de contrôle et surveillance des alarmes de la passerelle. L'écran tactile était installé sur un plan horizontal dans la console centrale près des commandes de barre et de propulsion (figure 2). Au moment de la perte de propulsion, 4 membres d'équipage se trouvaient à moins de 2 m de l'écran. Des tests menés après l'événement ont montré que l'écran tactile répondait au contact de différents matériaux, y compris le cordon du téléphone situé à côté. À la figure 2, le cordon du téléphone est visible près de la surface de l'écran.

Image

Lorsque le bouton d'arrêt de la machine principale a été activé sur l'écran tactile, un message d'état du système est apparu, indiquant : « SLOWDOWN alarm. CANCELLABLE UNIC^{Note de bas de page 2} SLOWDOWN REQUEST[.] Engine will be reduced in 60 sec^{Note de bas de page 3} » [Alarme de RALENTISSEMENT. DEMANDE DE RALENTISSEMENT UNIC ANNULABLE. La machine ralentira dans 60 sec.] (figure 3). Le message ne précisait pas que la machine était sur le point de s'arrêter, ni de quelle manière ou de quel endroit l'arrêt avait été déclenché (de la passerelle, de la salle des machines, arrêt d'urgence, etc.)^{Note de bas de page 4}.

Image

Bien que le personnel de la passerelle ait remarqué ce message, personne ne connaissait sa signification ni ne savait que la propulsion pouvait être coupée de cette manière. Un message similaire est apparu sur l’écran d’alarme dans la salle de contrôle des machines (figure 4). Quelque 60 secondes après l’apparition du message sur les deux écrans, la machine s’est arrêtée.

Image

Le navire a été construit dans un chantier naval étranger. Pendant sa construction, le capitaine a assisté à un de ses essais en mer. Le capitaine a eu peu de temps pour se familiariser avec les systèmes du navire. Il a reçu environ 4 heures de familiarisation avec le système intégré de contrôle et surveillance des alarmes. À la suite de l'arrivée du navire à Sorel (Québec), le capitaine a rejoint le navire pour son voyage inaugural.

Le 17 juin, des enquêteurs du BST ont assisté à des tests menés après l’événement sur les systèmes et ont déterminé que l’alarme de ralentissement ne pouvait pas être annulée, malgré ce qu’indiquait le message à l’écran.

Des tests menés après l'événement ont démontré que l'alarme de ralentissement ne pouvait pas être annulée, contrairement à ce que semblait indiquer le message à l'écran.

Toujours le 17 juin, la compagnie de gestion a installé un couvercle en plastique sur l’écran tactile du navire afin d’éviter tout nouvel arrêt involontaire. Le 21 décembre, après un examen exhaustif, le fabricant a désactivé la fonction d’arrêt de la machine principale à partir de l’écran tactile, et le couvercle a été retiré sous la supervision de la compagnie de gestion. L’écran tactile étant très sensible, certaines fonctions ont été retirées du poste de pilotage, sans nuire à la capacité de maîtriser convenablement le navire. En date de février 2018, ces modifications ont été apportées aux 2 navires de la compagnie munis d’un équipement semblable. En cas d’urgence, la machine principale peut toujours être coupée depuis la passerelle à l’aide du bouton d’arrêt traditionnel.

Le 14 juin 2017, le Damia Desgagnés a heurté le mur entre les écluses 3 et 4 près de Beauharnois (Québec). Le capitaine n'avait pas fait correspondre la position des commandes du propulseur d'étrave de la console de l'aileron de passerelle avec celle de la console centrale, ce qui avait rendu impossible le transfert des commandes du propulseur d'étrave entre les deux consoles. La configuration de la fonction de transfert entre les postes de commande ne correspondait pas aux attentes de l'équipe de la passerelle. Afin de guider l'utilisateur dans le processus normal de transfert de contrôle, un clignotant indique que les contrôles ne sont pas synchronisés, et le transfert peut être effectué seulement lorsque les commandes sur les deux contrôles sont identiques^{Note de bas de page 5}.

Interface humain–machine

Au cours des dernières années, d'abondantes recherches sur les facteurs humains dans le domaine maritime ont permis d'élaborer des lignes directrices en matière d'ergonomie et d'interface homme-machine, et des normes sur la conception de l'équipement et la configuration des passerelles et des salles des machines^{Note de bas de page 6}. L'Organisation maritime internationale ainsi que certaines sociétés de classification reconnaissent l'importance de tenir compte des facteurs humains et des principes de conception ergonomique dans l'aménagement de navires modernes.

La configuration des consoles sur ce navire, y compris des commandes s'effectuant à partir de l'écran tactile et des messages du système, n'était pas conforme aux lignes directrices concernant l'ergonomie et l'interface humain-machine^{Note de bas de page 7}. Selon les directives sur l'ergonomique et l'interface homme-machine, la norme ISO 8468:2007 5 – Bridge functions and tasks and their relations to workstations, les alertes et les messages devraient permettre à l'utilisateur de :

• consacrer toute son attention à la navigation sécuritaire du navire;
• reconnaître facilement toute situation anormale qui nécessite la prise de mesures afin d'assurer la navigation sécuritaire du navire;
• éviter les distractions causées par des annonces qui exigent de l'attention mais ne sont pas des alarmes.

Parce que le message affiché sur l'écran tactile était ambigu et n'indiquait pas clairement la situation anormale ni la source de l'alarme, il a créé une distraction.

Le pétrolier Damia Desgagnés, y compris ses systèmes d'automatisation à bord, a été inspecté et classifié par le Bureau Veritas, malgré les exigences suivantes des Rules for the Classification of Steel Ships^{Note de bas de page 8} du Bureau Veritas, (partie C, chapitre 3) :

• Il faut fournir suffisamment d'information pour la gestion adéquate des alarmes.
• La conception de l'interface utilisateur doit suivre les principes d'ergonomie.
• L'utilisation des dispositifs d'entrée de commandes, lorsqu'installés, doit être logique et doit correspondre à la direction du mouvement de l'équipement commandé. L'utilisateur doit recevoir une confirmation positive de l'action.
• Si l'utilisation d'un bouton-poussoir risque d'entraîner des conséquences non voulues, il faut prévoir un moyen d'empêcher qu'une instruction soit exécutée à la suite d'une seule action (p. ex., il faudrait appuyer sur 2 boutons-poussoirs en même temps, ou appuyer plus d'une fois sur un bouton). Sinon, le bouton-poussoir peut être protégé par un couvercle pour empêcher une activation involontaire, ou il peut être remplacé par un bouton-tirette, selon le cas.

Dans l’événement à l’étude, l’écran tactile de la console centrale de la passerelle était installé sur un plan horizontal près des commandes de barre et de propulsion, ce qui augmentait la probabilité que l’opérateur active les commandes du navire accidentellement. Le message sur l’écran tactile ne fournissait pas suffisamment de renseignements pour permettre à l’opérateur de la passerelle de réagir à l’alarme ou de la gérer. L’opérateur ne pouvait pas accuser réception de l’alarme, parce que le message sur l’écran tactile ne donnait pas la possibilité de confirmer l’activation accidentelle du bouton d’arrêt de la machine principale. L’arrêt de la machine a été déclenché par un seul mouvement (une action) sur l’écran tactile.

Le nombre de navires qui ont été équipés de systèmes de navigation intégrés semblables n'a pas été déterminé.

Dans les 10 dernières années, 13 événements maritimes signalés au BST^{Note de bas de page 9} concernaient en tout ou en partie un problème de conception du système de contrôle d'un navire ayant pour résultat que les commandes n'étaient pas utilisées de la manière prévue par les concepteurs. Au fur et à mesure que les navires sont de plus en plus souvent équipés de systèmes de navigation intégrés et de systèmes de contrôle automatisés, il devient encore plus important de concevoir des interfaces qui permettent une utilisation et une commande humaines efficaces tout en fournissant une rétroaction concise pour aider l'opérateur dans le processus de prise de décisions.

Afin d'être en mesure d'utiliser de l'équipement à bord d'un navire de manière efficace, les membres des équipages doivent savoir comment utiliser l'équipement dans les situations normales et dans les situations d'urgence. Cette connaissance peut être obtenue par l'entremise de manuels techniques, de familiarisation et/ou de formation.

Dans l'événement à l'étude, étant donné que l'écran tactile du système intégré de contrôle et surveillance des alarmes était très sensible, il était particulièrement important que les membres de l'équipage soient conscients de la sensibilité de l'écran et de l'absence de confirmation positive des commandes données à l'écran. L'équipe de la passerelle connaissait peu les différentes configurations du système intégré et par conséquent n'a pas pu réagir de manière efficace.

Il est important que les membres d'équipage se familiarisent avec tous les aspects de l'utilisation de l'équipement essentiel à la sécurité à bord d'un navire, comme le système intégré de contrôle et surveillance des alarmes, de sorte qu'ils aient les connaissances requises pour utiliser le système habilement ou de reprendre le contrôle lorsqu'une urgence se produit.

Le présent rapport conclut l'enquête du Bureau de la sécurité des transports du Canada sur cet événement. Le Bureau a autorisé la publication de ce rapport le 25 avril 2018. Il a été initialement publié le 9 mai 2018.