Ce que la sécurité maritime peut apprendre de l’aviation : l’histoire du TCAS et du TAWS

Comment l’aviation a relevé le défi de l’anticollision — et quelles leçons s’appliquent à la mer.

Pour améliorer la sécurité en mer, il serait imprudent de ne pas lever les yeux vers le ciel. L’aviation évolue dans un environnement bien plus impitoyable que le monde maritime : trois dimensions au lieu de deux, des vitesses qui se comptent en centaines de noeuds, et des marges d’erreur qui se mesurent en secondes plutôt qu’en minutes. Pourtant, au cours du dernier demi-siècle, l’industrie aéronautique a réalisé des progrès remarquables en matière de sécurité — notamment pour prévenir les deux types d’accidents les plus catastrophiques : les collisions en vol et les impacts avec le relief en vol contrôlé.

Les technologies nées de cet effort — le TCAS (Traffic Collision Avoidance System) et le TAWS (Terrain Awareness and Warning System) — offrent de précieuses leçons à tous ceux qui œuvrent à rendre les mers plus sûres.

Le problème : les limites humaines dans un environnement à grande vitesse

Pendant la majeure partie de son histoire, l’aviation s’est appuyée, pour éviter les collisions, sur le principe qui régit encore une bonne part de la navigation maritime : voir et éviter. Les pilotes devaient maintenir une séparation visuelle avec les autres aéronefs. Les contrôleurs aériens ajoutaient une couche de sécurité supplémentaire, mais en définitive, les yeux du pilote restaient l’ultime rempart.

Aux débuts de l’aviation, le système fonctionnait tant bien que mal. Mais à mesure que le ciel s’est encombré et que les appareils ont volé plus vite, ses limites se sont révélées mortelles. La vitesse de rapprochement entre deux jets se présentant face à face peut dépasser 1 000 noeuds — autrement dit, de l’instant où le pilote aperçoit un point sur son pare-brise à celui de l’impact, il ne peut s’écouler que quelques secondes. Le temps de réaction humain est tout simplement insuffisant.

De même, l’« impact avec le relief en vol contrôlé » (CFIT) — lorsqu’un appareil parfaitement opérationnel est précipité au sol, souvent par mauvaise visibilité — est demeuré l’une des principales causes d’accidents mortels jusque dans les années 1970. Des pilotes désorientés ou distraits descendaient vers des montagnes ou un relief qu’ils ne voyaient jamais venir.

Le TCAS : le gardien électronique contre la collision en vol

Le Traffic Collision Avoidance System est né d’une intuition simple mais puissante : les aéronefs embarquent déjà des transpondeurs qui diffusent leur identité et leur altitude. Et si ces transpondeurs pouvaient dialoguer entre eux, indépendamment du contrôle au sol ?

Le TCAS fonctionne en interrogeant activement les transpondeurs des appareils voisins. Lorsque le TCAS de votre aéronef émet un signal radio, tout transpondeur à portée répond en communiquant son identité et son altitude. En chronométrant ces réponses et en les suivant au fil d’interrogations successives, le TCAS construit une image tridimensionnelle du trafic environnant : la distance, l’altitude relative et, surtout, la vitesse de rapprochement de chaque appareil.

Tout le génie du TCAS réside dans ses prédictions. Il ne se contente pas d’indiquer où se trouvent les autres aéronefs à l’instant présent : il calcule où ils seront, et si vos trajectoires sont appelées à se croiser.

Lorsque les calculs annoncent un danger, le TCAS émet des alertes en deux phases croissantes :

Ce qui rend le TCAS particulièrement élégant, c’est sa capacité de coordination. Lorsque deux appareils équipés du TCAS sont en route de collision, leurs systèmes communiquent par liaison de données pour garantir des manœuvres complémentaires. Si l’un reçoit l’ordre de monter, l’autre reçoit celui de descendre. Le système écarte le scénario cauchemardesque où les deux pilotes feraient le même choix d’évitement.

L’interface humaine : comment déclencher une action immédiate

Pour les concepteurs de systèmes maritimes, l’aspect le plus instructif du TCAS et du TAWS tient peut-être à la manière dont ils communiquent avec les pilotes. L’aviation a appris à ses dépens que l’interface entre la machine et l’homme est tout aussi déterminante que la technologie elle-même.

Songez à ce que vit un pilote : un cockpit saturé d’instruments, le brouhaha de la radio, le bruit des moteurs et la charge mentale qu’impose la conduite d’un vol complexe. Dans cet environnement, le système de sécurité doit faire surgir une alerte qui capte instantanément l’attention et déclenche la bonne réaction.

La réponse de l’aviation combine trois canaux à la fois :

1. Un signal sonore distinctif

Les alertes vocales sont soigneusement conçues pour percer le bruit du cockpit et le trafic radio. Le TCAS recourt à des formules comme « Traffic, traffic » pour les avis, et « Climb, climb! » ou « Descend, descend! » pour les ordres. Le TAWS se fait plus pressant encore : « Terrain, terrain — pull up! » La formulation est normalisée à l’échelle mondiale — les mots exacts sont imposés, et non simplement recommandés. Un pilote formé au Brésil entendra exactement les mêmes ordres qu’un pilote formé en Norvège.

Anecdote : les premières recherches sur les facteurs humains suggéraient que les voix féminines retenaient mieux l’attention des pilotes masculins — d’où le surnom du système, « Bitching Betty » dans l’aviation militaire nord-américaine (ou « Nagging Nora » au Royaume-Uni).

2. Un affichage visuel

Le TCAS superpose ses informations directement sur l’indicateur de vitesse verticale (VSI) — un instrument que le pilote surveille déjà. Lorsqu’un avis de résolution est émis, des arcs colorés apparaissent sur le cadran du VSI : le rouge indique la plage de vitesse verticale qui conduirait à la collision (la zone à « éviter »), tandis que le vert indique la plage sûre vers laquelle le pilote doit se diriger. Aucune ambiguïté : voler vers le vert, fuir le rouge.

C’est essentiel. Le système ne se contente pas de dire au pilote ce qu’il doit faire : il le lui montre, sur un instrument qu’il a déjà sous les yeux, dans des couleurs qui n’appellent aucune interprétation.

3. Une hiérarchie des priorités

Lorsque plusieurs systèmes se disputent l’attention, l’aviation a fixé un ordre de préséance clair. Les alertes du TAWS (relief) priment sur celles du TCAS (trafic), car heurter le sol est plus immédiatement fatal qu’une collision potentielle que l’on peut encore éviter. Les systèmes sont conçus pour ne pas se contredire : si le TCAS ordonne une descente alors que le relief se trouve en dessous, le TAWS prend le dessus avec « Pull up! »

Comparez cela aux alarmes maritimes habituelles : un bip, peut-être un voyant clignotant, voire un message à l’écran que le skipper doit lire et interpréter tout en gérant la barre, la voilure et l’équipage. Le contraste est saisissant.

Comparaison avec le RIPAM : le problème de l’ambiguïté maritime

Voyons maintenant comment fonctionne l’anticollision en mer. Le Règlement international pour prévenir les abordages en mer — le RIPAM (COLREGs) — est un chef-d’œuvre de jurisprudence du XIXe siècle. Codifié pour la première fois en 1972, il établit un cadre de règles déterminant quel navire doit s’écarter dans chaque rencontre.

Le problème ? Elles exigent une interprétation.

Prenez une simple situation de croisement au titre de la règle 15. Un navire à moteur qui approche par tribord est prioritaire ; vous devez vous écarter. Jusque-là, c’est clair. Mais qu’est-ce qui définit un « croisement » ? À partir de quel angle une situation de rattrapage devient-elle une situation de croisement ? Le règlement précise qu’un navire venant de plus de 22,5 degrés sur l’arrière du travers est en rattrapage — mais comment un skipper peut-il mesurer cet angle avec précision, de nuit, par mer formée, face à un feu qui peut se trouver à un mille comme à trois ?

La difficulté s’aggrave quand un voilier rencontre un autre voilier. La règle 12 régit les navires à voile : lorsque chacun reçoit le vent d’un bord différent, celui qui le reçoit par bâbord doit s’écarter. Lorsque tous deux reçoivent le vent du même bord, c’est le navire au vent qui s’écarte. Mais voici où l’esprit du marin commence à s’embrouiller : et si je ne parviens pas à déterminer de quel bord l’autre navire reçoit le vent ? La règle 12(a)(iii) impose au navire tribord amures de s’écarter — mais cela suppose une connaissance que le skipper peut ne pas avoir, surtout de nuit ou à distance.

Considérez ensuite la hiérarchie de la règle 18. Les navires à moteur doivent s’écarter des navires à voile. Sauf lorsque le voilier est en rattrapage. Sauf dans les chenaux étroits relevant de la règle 9, où un voilier « ne doit pas gêner » un navire qui ne peut naviguer en sécurité qu’à l’intérieur du chenal. Qu’entend-on par « gêner » ? Le règlement ne le dit pas. À partir de quelle largeur un chenal est-il « étroit » ? Au skipper d’en juger.

La règle 17(a)(ii) autorise le navire privilégié à « prendre des mesures pour éviter l’abordage par sa seule manœuvre » dès lors qu’il devient évident que le navire non privilégié ne prend pas les dispositions appropriées — mais quand cela devient-il évident ? Le règlement n’offre aucune réponse chiffrée. Pendant ce temps, la vitesse de rapprochement augmente.

La différence fondamentale avec l’aviation est frappante : le TCAS supprime entièrement l’interprétation. « Climb, climb! » ne se discute pas. Le skipper d’un voilier, lui, peut se retrouver à dérouler un arbre de décision d’une complexité extraordinaire : S’agit-il d’un voilier ou d’un navire à moteur ? Sur quel bord amure se trouve-t-il ? Sommes-nous en croisement ou en rattrapage ? Ce chenal est-il étroit ? Suis-je en train de gêner, ou bien suis-je prioritaire ? Et comment l’autre se représente-t-il la situation ?

Le RIPAM présuppose que les deux parties analyseront correctement la situation et parviendront à la même conclusion. Lorsque ce n’est pas le cas — et ça l’est souvent —, le résultat est la confusion, les quasi-collisions, et parfois le drame.

Le TAWS : voir le relief avant de le heurter

Le Terrain Awareness and Warning System répond à une menace différente, mais tout aussi mortelle. Le système d’origine, le Ground Proximity Warning System (GPWS), mis au point par C. Donald Bateman chez Honeywell dans les années 1960, utilisait un radioaltimètre pour mesurer directement la hauteur de l’appareil au-dessus du sol situé à la verticale. Si l’aéronef descendait trop vite vers le relief, des alarmes retentissaient.

Mais les premiers GPWS présentaient une limite critique : ils ne voyaient qu’à la verticale, droit en dessous. Si un appareil volait en palier vers le flanc ascendant d’une montagne, le système ne détectait la menace que trop tard.

Le TAWS moderne (aussi appelé Enhanced GPWS ou EGPWS) résout ce problème en combinant le positionnement GPS et une base de données numérique du relief mondial. Le système sait où se trouvent chaque montagne, chaque colline et chaque obstacle. Il compare en permanence la position et la trajectoire de l’appareil à cette base de données, fournissant une alerte anticipée en cas de conflit avec le relief — y compris un relief situé devant, et non seulement en dessous.

Lorsque le TAWS détecte une menace, les pilotes entendent des alertes sans équivoque : « Terrain, terrain — pull up! » ou « Too low — terrain! » On lui attribue la quasi-disparition des accidents de type CFIT parmi les aéronefs qui en sont équipés.

Le facteur humain : quand la technologie rencontre la culture

La technologie seule ne saurait garantir la sécurité. La tragique collision en vol d’Überlingen, en 2002, l’a démontré avec une clarté dévastatrice.

Dans la nuit du 1er juillet 2002, un Tupolev Tu-154 de la Bashkirian Airlines transportant 69 personnes (dont 52 enfants) et un Boeing 757 cargo de DHL se trouvaient en route de collision au-dessus du sud de l’Allemagne. Les deux appareils étaient équipés du TCAS. Le système a fonctionné exactement comme prévu : il a ordonné au Tupolev de monter et au Boeing de descendre.

Mais presque au même instant, un contrôleur aérien — seul à son poste et débordé — a demandé par radio au Tupolev de descendre. L’équipage russe, formé à faire primer les instructions du contrôleur, a obéi à l’homme plutôt qu’à la machine. L’équipage du Boeing, lui, a suivi son TCAS et est descendu. Les deux appareils se sont percutés. Les 71 personnes à bord des deux avions ont péri.

Cette leçon — qu’un système de sécurité doit être utilisé de manière identique par toutes les parties, partout — a des implications profondes pour la technologie maritime. L’ambiguïté tue.

Les bus de données : le système nerveux de l’aéronef moderne

Pour qui connaît le NMEA 2000 à bord des bateaux, l’approche de l’aviation en matière de communication de données offre des parallèles intéressants — et des contrastes.

La norme dominante dans l’aviation commerciale a longtemps été l’ARINC 429, déployée dès le début des années 1980 sur des appareils comme le Boeing 757 et l’Airbus A310. Contrairement au réseau bidirectionnel du NMEA 2000, l’ARINC 429 est strictement unidirectionnel : un émetteur unique diffuse vers un maximum de 20 récepteurs par l’intermédiaire d’une paire torsadée. Cette simplicité garantit un timing déterministe — on sait toujours quand les données vont arriver —, mais elle exige de nombreux câblages distincts, ce qui ajoute du poids et de la complexité.

Les appareils modernes comme le Boeing 787 conjuguent plusieurs technologies : l’ARINC 664 (un Ethernet pour ainsi dire déterministe) pour les systèmes principaux, le CAN bus (ARINC 825) prenant en charge les fonctions moins critiques. Les interrupteurs du panneau supérieur d’un 787, par exemple, communiquent par CAN bus — ce qui élimine des dizaines de câblages individuels.

Le monde maritime, dont le NMEA 2000 repose sur la technologie CAN bus, a, en un sens, devancé l’architecture héritée de l’aviation. Mais l’approche rigoureuse de l’aviation en matière de redondance, de détection d’erreurs et de comportement déterministe livre de précieux enseignements sur la façon de rendre de tels systèmes véritablement fiables pour des applications critiques.

Le cadre réglementaire : comment l’aviation impose la sécurité

En aviation, la sécurité n’est pas optionnelle. Le cadre réglementaire, coordonné par l’OACI (Organisation de l’aviation civile internationale) et appliqué par les autorités nationales comme la FAA (États-Unis) et l’AESA (Union européenne), impose des équipements précis pour des opérations précises.

Le TCAS II est obligatoire sur tous les aéronefs commerciaux de plus de 30 sièges ou dont la masse maximale au décollage dépasse 5 700 kg. Le TAWS est obligatoire pour les aéronefs à turbine équipés de six sièges passagers ou plus. Il ne s’agit pas de recommandations, mais d’obligations légales : sans eux, l’appareil ne peut pas voler.

Le monde maritime a traditionnellement adopté une réglementation plus souple. L’AIS (Automatic Identification System) est obligatoire pour les navires de commerce au-delà d’une certaine taille, mais les bateaux de plaisance en sont largement dispensés. L’anticollision reste fondamentalement tributaire des règles de barre et de route et de la vigilance humaine.

À mesure que la technologie rend des systèmes de sécurité sophistiqués plus abordables et plus pratiques pour les unités de petite taille, une question se pose : la réglementation maritime devrait-elle s’inspirer de l’exemple de l’aviation ?

Les leçons pour le monde maritime

Que pouvons-nous, qui œuvrons à la sécurité maritime, retenir de l’expérience de l’aviation ? Plusieurs principes se dégagent :

• Automatiser les décisions où le temps est critique. Lorsque la vitesse de rapprochement dépasse les temps de réaction humains, la technologie doit prendre le relais. Le TCAS n’attend pas que le pilote calcule les trajectoires : il fait les mathématiques en continu et émet des ordres dès que nécessaire.
• Rendre les alertes sans ambiguïté. « Climb, climb! » ne laisse aucune place à l’interprétation. Les alarmes maritimes, trop souvent, signalent à l’équipage qu’un problème existe sans préciser clairement ce qu’il faut faire.
• Normaliser à l’échelle mondiale. Überlingen a enseigné à l’aviation que les variations nationales dans les procédures de sécurité engendrent des confusions mortelles. Toute technologie maritime d’anticollision doit fonctionner de manière identique partout dans le monde.
• Concevoir pour le pire scénario. Le TCAS part du principe que le contrôle aérien a failli. Le TAWS part du principe que le pilote ne peut rien voir à l’extérieur. Un système de sécurité efficace doit fonctionner lorsque tout le reste a échoué.
• Intégrer plutôt que superposer. Les systèmes des aéronefs modernes échangent leurs données de façon transparente grâce à des bus normalisés. Les systèmes maritimes restent trop souvent des îlots isolés, obligeant l’équipage à intégrer mentalement, sous tension, des informations issues de sources multiples.

Les mers ne seront jamais aussi réglementées que le ciel. Les plaisanciers jouiront toujours de libertés que les pilotes privés ne peuvent qu’envier. Mais à mesure que la technologie rend les systèmes de sécurité sophistiqués plus compacts, moins coûteux et plus pratiques, l’occasion se présente de doter les navires de toutes tailles d’une anticollision digne de l’aviation. La question n’est pas de savoir si la sécurité maritime doit apprendre de l’aviation — mais à quelle vitesse nous saurons appliquer ces leçons pour sauver des vies en mer.

Cet article s’appuie sur des informations publiques émanant des autorités de l’aviation, des rapports d’enquête sur les accidents et de sources de l’industrie. Son auteur est un ancien pilote ayant une expérience directe des systèmes décrits.