Organisme d’Enquête pour les Accidents et Incidents Ferroviaires

RÉSUMÉ DU RAPPORT D’ENQUÊTE DE SÉCURITÉCOLLISION DE DEUX TRAINS DE VOYAGEURS

À BUIZINGEN LE 15 FÉVRIER 2010

Mai 2012

Le lundi 15 février 2010 à 8h28:19, les trains E3678 et E1707 exploités par la SNCB entrent en col-lision quasi frontale entre la gare de Hal et le PANG de Buizingen.

Le train omnibus E3678, parti de Leuven, se di-rigeait vers Braine-le-Comte sur la voie A de la ligne 96 conformément à l’horaire prévu. Le train E1707 Quiévrain-Liège se dirigeait de Hal vers Bruxelles-Midi sur la voie B de la ligne 96 et avait accumulé un retard de 10 minutes en ar-rivant à Hal. Aux environs de 8h26 le train E3678 avait effectué son arrêt au PANG de Buizingen au quai N°1.

Après environ 30 secondes d’arrêt, ayant reçu l’information que les opérations de débarque-ment–embarquement étaient terminées via la « lampe porte » située en cabine de conduite, le conducteur a redémarré à pleine accélération. Il est pratiquement certain qu’à ce moment, le grand signal H-E.1 situé à 335 mètres en aval des quais de Buizingen était au rouge. Le conduc-teur en avait reçu et acquitté l’avertissement en passant le signal avertisseur C-D.1 au double jaune, 590 mètres avant les quais.

L’enquête n’a fait apparaître aucune action, même fugitive, du signaleur de la cabine de Brux-elles-Midi en charge de la zone, susceptible d’ouvrir le signal H-E.1. Au contraire, à 8h26, le sig-

naleur a tracé pour le train E1707 un itinéraire qui le dévi-ait vers la voie B de la ligne 96 N en cisaillant l’itinéraire du train E3678. De par la logique du système, cette manœuvre verrouille automatiquement le signal H-E.1 à la fermeture. L’enquête n’a fait apparaître aucune des causes physiques imaginables d’un allumage intempes-tif du signal au vert. On peut donc considérer que con-duire la réflexion sur l’hypothèse que le signal H-E.1 ait toujours été rouge pendant l’arrêt puis le démarrage et l’accélération du train suffit à extraire de cet accident les leçons de sécurité nécessaires et pertinentes.

Le train E3678 est passé à hauteur du signal H-E.1 à une vitesse de 60km/h environ, et a poursuivi son accéléra-

tion. Le conducteur s’est alors aperçu que le train E1707 cisaillait son parcours. Il a klaxonné à plusieurs reprises, et enclenché le freinage d’urgence. Les deux trains sont entrés en collision de manière quasiment frontale. Le conducteur du train E1557 s’est arrêté à hauteur de l’accident et a donné l’alerte. Dans un premier temps, le plan d’urgence d’Infrabel a été déclenché.

Le Traffic Control a appelé les services de secours à 8h32. Le plan d’urgence des services publics de secours a été déclenché rapidement suivi par le plan d’intervention provincial à 9h15. On dénombrera 19 morts, 35 blessés graves, et 44 blessés légers et environ 92 contusionnés. De très gros dégâts ont été provoqués sur la voie, les caténaires, le matériel roulant, les biens personnels des passagers.

Le scénario de l’accident repose sur le franchissement d’un signal fermé. L’accident a mis en évidence un échec du principe de sécurité fondamental du système ferroviaire qui veut que les conducteurs respectent les signaux fermés. On a conduit une analyse des raisons possibles de ce franchissement. Le signal H-E.1 était normalement visible. L’analyse n’a pas mis en évi-dence de raisons physiques ou physiologiques susceptibles d’expliquer une mauvaise percep-tion de la couleur du signal par le conducteur du train E3678. Elle n’a pas identifié non plus de cause particulière de distraction, ni un état de fatigue anormal, ni une pression du temps ou un état de stress. L’étude du planning des prestations du conducteur sur les 45 jours ayant précédé l’accident ne montre pas de dette cumulée de sommeil et donc ne majore pas le niveau de fa-tigue du conducteur. Le seul élément significatif susceptible d’affecter le niveau de vigilance du conducteur est la privation de sommeil induite par un lever tôt (3h30) pour la prise de poste le matin de l’accident.

En ce qui concerne les dimensions psychologiques, et notamment cognitives de l’activité du conducteur du train E3678, le contexte opérationnel qu’il a rencontré fournit des éléments d’ex-plication possibles au franchissement d’un signal fermé :

• l’arrêt au PANG facilite la perte de mémoire à court terme du signal avertisseur double jaune rencontré avant l’arrêt au PANG, d’autant plus qu’aucun soutien externe à cette mé-morisation ne lui était fourni,

• les routines de conduite « sur du jaune » acquises de par la fréquence élevée de rencontre de signaux en position « double jaune » avec libération de la voie avant le signal fermé font perdre ou affaiblissent l’association mentale « double jaune-rouge »,

• la diversité de modalités de communication aux conducteurs de l’information OT (Opéra-tions terminées) favorise les confusions,

• la fourniture de l’information OT avant que la voie ne soit libre et indépendamment du signal de voie libre favorise le déclenchement intempestif de la routine de départ.

Dans un contexte global d’activité très routinière (omnibus), avec un niveau de vigilance sans doute un peu réduit par une nuit courte, un niveau d’attention sans doute momentanément plutôt bas mais sans distraction majeure, l’ensemble de ces éléments suggère que le conducteur a réagi par automatisme à la lampe porte et s’est alors enfermé dans une représentation erronée de la situation dans laquelle le signal symboliquement ouvert ne pouvait qu’être vu « vert ». Ces éléments ne révèlent pas un mécanisme de défaillance clair sur lequel on pourrait bâtir une action corrective vraiment efficace. De ce point de vue, les pistes suggérées par l’analyse de la défaillance sont notamment :

• la suppression de l’interruption de séquence double jaune – rouge par les arrêts au PANG•uniformiser les modalités de communication de l’information OT• l’imposition d’attente du signal de voie ouvert avant toute information OT•une prise en compte du risque fatigue dans la conception des plannings des conducteurs

Mais un constat essentiel est que le scénario de ce franchissement de signal est un scénario con-nu, sur lequel de nombreux efforts ont été faits depuis des années. L’accident confirme donc surtout l’existence d’un « bruit de fond » de franchissements de signaux fermés pour des raisons complexes, liées aux limites de la fiabilité humaine, et sur lequel le système ne peut pas vérita-blement avoir de prise. Le taux de respect des signaux fermés est déjà à un niveau (de l’ordre de 10-5) qui témoigne d’une fiabilité humaine excellente et difficilement améliorable dans un tel contexte.

4

La croissance d’année en année du nombre de franchissements de signaux fermés en Belgique est due à la progression du trafic voyageur (nombre de trains circulant) et de sa densité relative aux capacités du réseau, dont la croissance entraîne une croissance plus rapide des interférenc-es et donc du nombre de signaux rencontrés fermés par les conducteurs. Même si des marges de progression résiduelle de la fiabilité humaine existent, elles ne permettraient plus à elles seules de rattraper puis de compenser cette croissance de l’exposition au risque.

La seule solution pour sécuriser suffisamment le système ferroviaire belge est d’installer des automatismes de protection par contrôle de la vitesse et freinage automatique, comme l’ont fait d’autres pays comparables en Europe et tel qu’en cours d’implémentation en Belgique depuis 2009 par le système TBL1+.Une solution complémentaire serait de doter aussi le système, au delà des automatismes, d’une vraie capacité de récupération des franchissements de signaux fermés. Celle-ci est quasi inex-istante aujourd’hui  : rien n’indique le franchissement d’un signal fermé au conducteur ou au signaleur, le signaleur n’a pas de moyen d’action suffisamment rapide, etc.Plus généralement, la sécurité du système ferroviaire gagnerait à se doter d’une vraie préoccu-pation pour la récupération des situations de perte de contrôle, et pour la sécurité passive.Les éléments principaux – l’impuissance à réduire « suffisamment » l’erreur humaine, et sa con-clusion, la nécessité inéluctable d’une béquille technologique – étaient connus du système fer-roviaire belge depuis presqu’une décennie. Dès lors qu’est-ce qui a fait que le système de gestion de la sécurité ferroviaire belge, pris au sens le plus large, n’ai pas été en mesure de transformer cette conscience en action efficace ?Un premier élément est l’héritage culturel. Le système ferroviaire belge a été marqué historique-ment par une culture réactive, réagissant aux accidents au cas par cas, très normative, misant tout sur l’obéissance au prescrit, et donc logiquement centrée sur les défaillances des opérateurs de première ligne vues comme « explication » des problèmes de sécurité. Il a donc assez logiquement « bouclé » sur ses efforts pour éradiquer, cause après cause, les franchissements de signal fermé.

Les rythmes de changement adoptés ont été peu représentatifs d’une adhésion enthousiaste des directions et des autorités de tutelle à la cause du SGS. Le concept n’a pas fait immédiate-ment apparaître dans les esprits l’intérêt qu’il présentait par rapport à tout ce qui se faisait déjà pour la sécurité. La reconnaissance par le système ferroviaire du besoin de renforcer la sécurité

5

par un dispositif de surveillance et de freinage automatique n’a pas été suffisante pour choisir une stratégie corrective efficace et la mettre en œuvre rapidement.L’évaluation du problème de sécurité posé par le franchissement de signaux fermés est restée assez qualitative, biaisée par la perception culturelle d’une responsabilité principale des con-ducteurs, donc d’un problème soluble (par la formation, l’exhortation, la sanction). Tout cela a construit le cadre d’une sous-estimation politique du problème et de ses délais de résolution, d’une absence de remise en question et d’une sur-confiance des dirigeants dans la sécurité du rail, dans un contexte institutionnel par ailleurs marqué par nature par une certaine instabilité des décisions et du suivi des investissements sur le long terme.On a relevé aussi une certaine faiblesse de l’autorité nationale de sécurité, pourtant seule en position de proposer et d’imposer une vision systémique intégrée et externe aux intérêts d’entreprise, et une délégation importante de la responsabilité de gestion de la sécurité vers le gestionnaire d’infrastructure Infrabel. Cette faiblesse est le résultat direct du fait que l’installation de cette autorité, et plus généralement la mise en œuvre du cadre réglementaire de la gestion de la sécurité ferroviaire s’est faite avec des retards systématiques sur les butées temporelles des obligations réglementaires.L’application de la directive européenne a entraîné une formalisation des démarches de ges-tion de risque. Des progrès ont été réalisés mais l’appropriation et la maîtrise des méthodes de gestion de risque et d’analyse systémique et organisationnelle des incidents et des accidents restent améliorables.

Les deux entreprises Infrabel et SNCB ont déposé un plan d’équipement accéléré du système TBL1+ au niveau de l’infrastructure (fin 2015) et au niveau du matériel roulant (fin 2013). Ce plan constitue un rattrapage d’urgence acceptable répondant à la nécessité exprimée. Néanmoins le système d’aide à la conduite TBL1+ n’est pas un système « full supervision ». Son installation ac-célérée sur le réseau belge ne peut constituer qu’une solution transitoire et s’articuler avec une installation telle que prévue par les deux entreprises du système ETCS.

Organisme d’Enquête pour les Accidents et Incidents Ferroviaires

http://www.mobilit.belgium.be