L’ERCS s’articule en deux étapes:
ÉTAPE 1: Détermination des valeurs des deux variables: gravité et probabilité.
ÉTAPE 2: Notation du risque pour la sécurité dans la matrice ERCS sur la base des deux valeurs déterminées des variables.
ÉTAPE 1: DÉTERMINATION DES VALEURS DES VARIABLES
1. Gravité de l’accident consécutif potentiel
1. 1. Identification
La gravité de l’accident consécutif potentiel s’établit en deux étapes, à savoir:
a) détermination du type d’accident le plus probable auquel aurait pu aboutir l’événement faisant l’objet de l’évaluation (ou «principal domaine de risques»);
b) détermination de la catégorie de pertes potentielles en vies humaines sur la base de la taille de l’aéronef et de la proximité de zones habitées ou à haut risque.
Les principaux domaines de risques sont les suivants:
a) collision en vol: une collision entre aéronefs en vol, ou entre des aéronefs et d’autres objets en vol (à l’exclusion des oiseaux et animaux sauvages);
b) décrochage de l’aéronef: un état non désiré de l’aéronef, caractérisé par des divergences involontaires par rapport aux paramètres d’exploitation normaux et pouvant conduire en définitive à un impact incontrôlé avec le terrain;
c) collision sur la piste: une collision entre un aéronef et un autre objet (autre aéronef, véhicules, etc.) ou une personne, survenant sur une piste d’aérodrome ou une autre aire d’atterrissage préalablement désignée. Ne sont pas incluses les collisions avec des oiseaux ou animaux sauvages;
d) sortie de piste: un événement lors duquel un aéronef quitte la piste ou l’aire de mouvement d’un aérodrome ou la surface d’atterrissage de toute autre aire d’atterrissage préalablement désignée, sans quitter le sol. Sont inclus les atterrissages verticaux à fort impact pour les aéronefs à voilure tournante ou à décollage et atterrissage verticaux et les ballons ou dirigeables;
e) incendie, fumée et pressurisation: un événement accompagné de manifestations d’incendie, de fumées, d’émanations ou de problèmes de pressurisation pouvant devenir incompatibles avec la vie humaine. Sont inclus les événements impliquant un incendie, des fumées ou des émanations touchant n’importe quelle partie d’un aéronef, en vol ou au sol, et qui ne résultent pas d’un impact ou d’actes de malveillance;
f) dommages subis au sol: les dommages subis par un aéronef à la suite d’opérations au sol effectuées dans toute zone au sol autre qu’une piste ou une aire d’atterrissage préalablement désignée;
g) collision avec un obstacle en vol: collision entre un avion en vol et des obstacles se dressant sur la surface terrestre. Les obstacles comprennent les bâtiments élevés, les arbres, les câbles électriques et télégraphiques, les antennes et les objets captifs;
h) collision avec le terrain: un événement lors duquel un aéronef en vol heurte le terrain, sans qu’il apparaisse que l’équipage de conduite n’était pas en mesure de maîtriser l’aéronef. Sont inclus les cas dans lesquels l’équipage de conduite est abusé par des illusions visuelles ou un environnement visuel dégradé;
i) autres lésions: un événement ayant entraîné des lésions mortelles et non mortelles et qui ne peut être imputé à aucun autre principal domaine de risques;
j) sûreté: un acte d’intervention illicite contre l’aviation civile. Sont inclus tous les incidents et violations se rapportant à la surveillance et à la protection, au contrôle d’accès, à l’inspection/au filtrage, à la mise en œuvre des contrôles de sûreté et à tout autre acte malveillant ou délibéré destiné à entraîner la destruction d’aéronefs et de biens, mettant en péril ou visant par des interventions illicites l’aviation civile et ses installations. Sont inclus les événements touchant aussi bien à la sûreté physique qu’à la cybersécurité.
Les pertes potentielles en vies humaines se répartissent entre les catégories suivantes:
a) nombre de tués potentiel supérieur à 100 — lorsque l’événement évalué implique au moins un des éléments suivants:
— un aéronef certifié de grande taille pouvant transporter plus de 100 passagers,
— un aéronef cargo de taille équivalente,
— un aéronef de tout type dans une zone à forte densité de population ou une zone à haut risque ou les deux,
— toute situation impliquant tout type d’aéronef dans laquelle le nombre de tués peut être supérieur à 100;
b) nombre de tués potentiel compris entre 20 et 100 — lorsque l’événement évalué implique au moins un des éléments suivants:
— un aéronef certifié de taille moyenne pouvant transporter de 20 à 100 passagers ou un aéronef cargo de taille équivalente,
— toute situation dans laquelle le nombre de tués peut se situer entre 20 et 100;
c) nombre de tués potentiel compris entre 2 et 19 — lorsque l’événement évalué implique au moins un des éléments suivants:
— un aéronef certifié de petite taille pouvant transporter jusqu’à 19 passagers,
— un aéronef cargo de taille équivalente,
— toute situation dans laquelle le nombre de tués peut se situer entre 2 et 19;
d) un tué potentiel — lorsque l’événement évalué implique au moins un des éléments suivants:
— un aéronef non certifié, c’est-à-dire non soumis aux exigences de certification de l’Agence européenne pour la sécurité aérienne,
— toute situation pouvant donner lieu à un seul tué;
e) aucun tué potentiel — lorsque l’événement évalué s’accompagne uniquement de lésions corporelles, qu’elles soient légères ou graves, sans aucune perte en vies humaines.
1. 2. Détermination
La gravité de l’accident est indiquée par l’un des indices de gravité suivants:
— «A»correspond à une probabilité d’accident nulle,
— «E»correspond à un accident impliquant des lésions légères et graves (non invalidantes) ou des dommages légers à l’aéronef,
— «I» correspond à un accident impliquant la perte d’une seule vie humaine, une lésion invalidante ou des dommages importants,
— «M» correspond à un accident grave impliquant un nombre limité de tués, des lésions invalidantes ou la destruction de l’aéronef,
— «S» correspond à un accident de grande ampleur comportant des risques de pertes en vies humaines et de lésions,
— «X» correspond à un accident de gravité extrême pouvant s’accompagner d’importantes pertes en vies humaines.
L’indice de gravité est établi en combinant le principal domaine de risques et l’ampleur des pertes potentielles en vies humaines, comme indiqué dans le tableau ci-dessous:
| PRINCIPAL DOMAINE DE RISQUES | CATÉGORIE | INDICE DE GRAVITÉ
| Collision en vol | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Décrochage de l’aéronef | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Collision sur la piste | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Aucun tué potentiel | E
| Sortie de piste | Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Aucun tué potentiel | E
| Incendie, fumée et pressurisation | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Dommages subis au sol | Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Aucun tué potentiel | E
| Collision avec un obstacle en vol | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Collision avec le terrain | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Autres lésions | Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Aucun tué potentiel | E
| Sûreté | Nombre de tués potentiel supérieur à 100 | X
| Nombre de tués potentiel compris entre 20 et 100 | S
| Nombre de tués potentiel compris entre 2 et 19 | M
| Un tué potentiel | I
| Aucun tué potentiel | E
2. Probabilité de survenance de l’accident consécutif potentiel
La probabilité de survenance du pire accident consécutif s’obtient en appliquant le modèle des barrières ERCS défini au point 2.1.
2. 1. Modèle des barrières ERCS
Le modèle des barrières ERCS a pour finalité d’évaluer l’efficacité (c’est-à-dire le nombre et la force) des barrières du système de sécurité indiquées dans le tableau du point 2.1.1 qui sont restées en place entre l’événement effectif et l’accident consécutif le plus défavorable. En définitive, le modèle des barrières ERCS permet de déterminer à quel point l’événement examiné a été proche de l’accident potentiel.
2. 1.1. Barrières
Le modèle des barrières ERCS est constitué de 8 barrières se succédant dans un ordre logique et pondérées selon le tableau suivant:
| Numéro de barrière | Barrière | Pondération de la barrière
| 1 | «Conception de l’aéronef, de l’équipement et de l’infrastructure», comprenant l’entretien et les corrections, l’appui opérationnel, la prévention des problèmes liés aux facteurs techniques pouvant conduire à un accident. | 5
| 2 | «Planification tactique», comprenant la planification organisationnelle et individuelle avant le vol ou les autres activités opérationnelles contribuant à réduire les causes d’accident et les facteurs propices aux accidents. | 2
| 3 | «Réglementations, procédures, processus», comprenant les réglementations, procédures et processus efficaces, compréhensibles et disponibles qui sont appliqués (à l’exclusion de l’utilisation des procédures relatives aux barrières opérationnelles). | 3
| 4 | «Appréciation de la situation et action», comprenant la vigilance humaine vis-à-vis des menaces opérationnelles, qui permet de détecter les risques opérationnels et d’agir efficacement pour éviter un accident. | 2
| 5 | «Fonctionnement des systèmes d’alerte et action» de nature à éviter un accident, ces systèmes étant adaptés à leur finalité, en état de fonctionnement, opérationnels et effectivement mis en œuvre. | 3
| 6 | «Intervention tardive permettant d’éviter un accident potentiel». | 1
| 7 | «Protections», c’est-à-dire, lorsqu’un événement s’est produit, des barrières immatérielles ou des mesures préventives qui atténuent l’ampleur des conséquences de l’événement ou en empêchent l’aggravation. | 1
| 8 |
«Événement à faible énergie», dont la note est identique à celle des «Protections», mais uniquement pour les principaux domaines de risques liés à des événements à faible énergie (dommages subis au sol, sorties de piste, lésions corporelles).
«Non applicable» pour tous les autres principaux domaines de risques.
| 1
2. 1.2. Efficacité des barrières
L’efficacité de chaque barrière est classée comme suit:
— «Stopped» (événement arrêté): si la barrière a empêché l’accident de se produire,
— «Remaining Known» (maintien avéré): s’il est avéré que la barrière est restée en place entre l’événement évalué et l’accident consécutif potentiel,
— «Remaining Assumed» (maintien supposé): s’il est supposé que la barrière est restée en place entre l’événement évalué et l’accident consécutif potentiel,
— «Failed Known» (défaillance avérée): s’il est avéré que la barrière a cédé,
— «Failed Assumed» (défaillance supposée): s’il est supposé que la barrière a cédé, même si les informations permettant de l’établir sont insuffisantes ou inexistantes,
— «Non Applicable» (sans objet): si la barrière est sans rapport avec l’événement évalué.
2. 1.3. Évaluation des barrières
Les barrières sont évaluées en deux étapes:
Étape 1: déterminer laquelle des barrières définies dans le tableau du point 2.1.1 (1-8) a empêché l’événement de s’aggraver pour provoquer l’accident consécutif potentiel (dénommée «barrière d’arrêt»).
Étape 2: déterminer l’efficacité des barrières qui sont restées en place, selon les modalités indiquées au point 2.1.2. Les barrières qui sont restées en place sont celles qui, dans le tableau du point 2.1.1, sont situées entre la barrière d’arrêt et l’accident consécutif potentiel. Les barrières qui, dans le tableau du point 2.1.1, sont situées avant la barrière d’arrêt ne sont pas considérées comme ayant contribué à éviter l’accident consécutif et, partant, ne reçoivent pas la note «Stopped» ou «Remaining».
2. 2. Calcul
La probabilité de survenance de l’accident consécutif potentiel est la valeur numérique résultant des étapes suivantes:
Étape 1: somme de toutes les pondérations des barrières (1 à 5) figurant dans le tableau du point 2.1.1 de toutes les barrières évaluées ayant reçu soit la note «Stopped», soit la note «Remaining Known», soit la note «Remaining Assumed». Les barrières ayant reçu les notes «Failed» et «Non applicable» ne sont pas prises en compte dans la note finale car elles n’auraient pas pu empêcher l’accident. La somme des pondérations des barrières qui sont restées en place est une valeur numérique comprise entre 0 et 18.
Étape 2: la somme des pondérations des barrières correspond à une notation des barrières comprise entre 0 et 9, comme indiqué dans le tableau suivant, couvrant l’éventail complet des barrières qui sont restées en place, fortes ou faibles.
| Somme des pondérations des barrières | Notation correspondante des barrières
| 0 Aucune barrière ne subsiste. Le scénario du pire accident consécutif se réalise. | 0
| 1-2 | 1
| 3-4 | 2
| 5-6 | 3
| 7-8 | 4
| 9-10 | 5
| 11-12 | 6
| 13-14 | 7
| 15-16 | 8
| 17-18 | 9
ÉTAPE 2: NOTATION DU RISQUE POUR LA SÉCURITÉ DANS LA MATRICE ERCS
La note de risque pour la sécurité est une valeur à deux positions, dont la première correspond à la valeur alphabétique résultant du calcul de la gravité de l’événement (indices de gravité A à X) et la seconde représente la valeur numérique du calcul de la note de l’événement s’y rapportant (0 à 9).
La note de risque pour la sécurité est insérée dans la matrice ERCS.
À chaque note de risque pour la sécurité donnée correspond également une note numérique équivalente à des fins d’agrégation et d’analyse, ainsi qu’il est expliqué ci-dessous dans la rubrique «note numérique équivalente».
La matrice ERCS reflète la note de risque pour la sécurité et les valeurs numériques associées d’un événement, comme indiqué ci-après:
En plus de la note de risque pour la sécurité, et pour faciliter la détermination de l’urgence de l’action recommandée en réaction à l’événement, les trois couleurs suivantes pourraient être utilisées dans la matrice ERCS:
| Couleur | Note ERCS | Signification
| ROUGE | X0, X1, X2, S0, S1, S2, M0, M1, I0 | Haut risque. Événement présentant le risque le plus élevé.
| JAUNE | X3, X4, S3, S4, M2, M3, I1, I2, E0, E1 | Risque assez élevé. Événements présentant un risque intermédiaire.
| VERT | X5 à X9, S5 à S9, M4 à M9, I3 à I9, E2 à E9. | Événements à faible risque.
La zone verte de la matrice contient les valeurs de risque inférieures. Elles fournissent des données devant permettre une analyse détaillée des événements liés à la sécurité qui pourraient, soit isolément soit en combinaison avec d’autres événements, accroître les valeurs de risque de ces événements.
Note numérique équivalente
À chaque note ERCS est attribuée une valeur numérique correspondante qui indique l’importance du risque afin de faciliter l’agrégation et l’analyse numérique d’événements multiples assortis d’une note ERCS:
| Note ERCS | X9 | X8 | X7 | X6 | X5 | X4 | X3 | X2 | X1 | X0
| Valeur numérique correspondante | 0,001 | 0,01 | 0,1 | 1 | 10 | 100 | 1000 | 10000 | 100000 | 1000000
| Note ERCS | S9 | S8 | S7 | S6 | S5 | S4 | S3 | S2 | S1 | S0
| Valeur numérique correspondante | 0,0005 | 0,005 | 0,05 | 0,5 | 5 | 50 | 500 | 5000 | 50000 | 500000
| Note ERCS | M9 | M8 | M7 | M6 | M5 | M4 | M3 | M2 | M1 | M0
| Valeur numérique correspondante | 0,0001 | 0,001 | 0,01 | 0,1 | 1 | 10 | 100 | 1000 | 10000 | 100000
| Note ERCS | I9 | I8 | I7 | I6 | I5 | I4 | I3 | I2 | I1 | I0
| Valeur numérique correspondante | 0,00001 | 0,0001 | 0,001 | 0,01 | 0,1 | 1 | 10 | 100 | 1000 | 10000
| Note ERCS | E9 | E8 | E7 | E6 | E5 | E4 | E3 | E2 | E1 | E0
| Valeur numérique correspondante | 0,000001 | 0,00001 | 0,0001 | 0,001 | 0,01 | 0,1 | 1 | 10 | 100 | 1000
Pour la colonne 10 et la ligne A de la matrice, la valeur numérique correspondante est 0 dans les deux cas.