Rendre le dossier de sécurité concret

Risque au sol et risque aérien

Deux risques dominent un vol de livraison, et ils ne sont pas supprimés par le même dispositif. Le risque au sol est le dommage causé si l'aéronef, l'une de ses pièces ou le colis heurte une personne, un véhicule ou un site sensible. Il croît avec le nombre de personnes, le temps passé au-dessus d'elles, l'énergie de la machine et la probabilité qu'une défaillance ne soit pas maîtrisée. Le risque aérien est une collision avec un autre aéronef, avec ou sans équipage. Il croît près des aéroports, le long des routes d'hélicoptères et dans tout couloir à basse altitude déjà emprunté par le trafic à vue. Un parachute ne fait rien contre une collision en vol. Une radio coopérative ne fait pas grand-chose pour la personne dans son jardin si l'aéronef y arrive tout de même intact et rapide.

L'opération doit être décrite avec assez de précision pour réfléchir aux deux risques. « Nous volerons en ville » n'est pas une description. L'altitude, la vitesse, la masse, qui se trouve sous l'itinéraire selon l'heure, les abris disponibles, l'emplacement des terrains de dégagement et les autres usagers de l'espace aérien constituent la description. Une mesure d'atténuation qui réduit l'exposition, comme passer au-dessus de l'eau ou voler quand une rue est vide, diffère d'une mesure qui réduit les conséquences d'un impact, et diffère encore d'une mesure qui rend la défaillance moins probable. Coller une étiquette sur l'aéronef sans modifier l'itinéraire, ce n'est pas avoir fait le travail. Écrivez le risque résiduel en mots simples, qu'une personne non ingénieure puisse discuter.

Pour envoyer un drone dans des espaces où les personnes ne peuvent pas entrer, voir dans le guide Inspection faire voler des drones dans des espaces pauvres en oxygène ou toxiques.

Mode de sécurité intégrée, et pourquoi un parachute ne suffit pas

Un mode de sécurité intégrée est un comportement défini pour une défaillance définie, et il a été testé. La perte de propulsion, la perte de navigation, la perte de la liaison de commande, une panne de batterie et une commande qui s'emballe n'appellent pas toutes la même réponse. L'une doit aboutir à un atterrissage immédiat dans un terrain reconnu à cet effet. Une autre doit aboutir à un retour. Une autre encore doit aboutir à l'arrêt des moteurs, pour qu'un aéronef toujours actif ne se promène pas sur un toit. Une réponse préprogrammée inadaptée est en soi un danger. Le manuel précise qui peut la court-circuiter, et quand ce court-circuit est interdit parce que la liaison ne dit plus la vérité. L'espoir ne fait pas partie des modes.

Un parachute est une manière de mettre fin à un vol. Ce n'est pas un bouclier universel, et les archives publiques montrent déjà pourquoi. Le rapport d'expertise de La Poste suisse sur l'opération Matternet décrit deux événements survenus à Zurich en 2019. Le 25 janvier, une perte du GPS a conduit le système de terminaison de vol à déployer un parachute, et l'aéronef est descendu dans le lac. Le 9 mai, le même type de système s'est déclenché, la suspente du parachute s'est rompue et l'aéronef a heurté le sol sans contrôle à proximité d'enfants. Le programme a été suspendu. Une voilure peut être sectionnée par son propre aéronef, dériver hors de la zone prévue, et prive le télépilote de toute possibilité de diriger une fois ouverte. L'énergie, la vitesse de descente et ce qui se trouve en dessous comptent toujours.

Avant toute fonction de l'aéronef vient la procédure humaine. Apprendre l'ordre des vérifications avant vol et les premières actions d'urgence (Tobira, en japonais) en est une introduction.

Géorepérage, perte de liaison et survol de personnes

Un géorepérage peut maintenir dans un volume un aéronef sain et bien positionné. Il ne contient pas une machine qui a perdu sa position, et il n'empêche pas un parachute de sortir du polygone. Utilisez-le comme une vérification que l'itinéraire prévu a bien été chargé, et comme une barrière procédurale, non comme une preuve que les tiers sont en sécurité. Testez le comportement à la limite. Un aéronef qui traite la clôture comme une ligne sur l'écran du télépilote et la traverse n'a pas de clôture. Un aéronef qui s'arrête au milieu d'une route parce que c'est là que le polygone s'arrêtait a une clôture et un nouveau danger au sol. Le polygone fait partie de la conception de l'itinéraire ; ce n'est pas un autocollant apposé une fois l'itinéraire tracé.

La perte de liaison exige un comportement temporisé adapté à l'espace aérien dans lequel vous vous trouvez réellement. Rester en stationnaire au-dessus d'un carrefour jusqu'à épuisement de la batterie n'est pas le choix prudent. Revenir à la base en traversant une trajectoire d'approche d'hélicoptères ne l'est pas davantage. Le délai, la trajectoire et le site d'atterrissage sont présentés au briefing avant le décollage, sous une forme qu'un télépilote absent de la réunion commerciale peut appliquer. La décision de faire passer l'itinéraire au-dessus de personnes est distincte de tous ces outils. C'est une décision selon laquelle le risque résiduel, avec cet aéronef, ce jour-là et à cette densité, est acceptable pour le dirigeant responsable. Des outils qui ne fonctionnent que lorsque l'aéronef est déjà en bon état ne justifient pas d'accepter le survol. Si vous n'avez analysé que le cas nominal, vous n'avez pas analysé la défaillance.

Ce qu'il faut décider à l'avance pour le moment où la liaison tombe ou la position est perdue est traité dans surveillance et réponse aux défaillances : se préparer au moment où l'on perd le suivi (Airffic Flight Institute).

Ce que l'exploitation doit décider à l'avance en cas de perte de liaison ou de position est exposé dans comment les exploitants se préparent à la perte de position ou de liaison (Airffic Flight Institute). Les fonctions de l'aéronef et les décisions d'exploitation sont des couches distinctes.

Le maintien de la liaison près des antennes et des lignes sous tension est traité dans le guide Inspection : faire voler des drones près de champs électromagnétiques intenses.

Le dossier de sécurité : la procédure à part de la conception

Un dossier de sécurité est un argumentaire, étayé de preuves, montrant que l'opération est suffisamment sûre pour l'approbation demandée. Une structure utilisable est ordinaire. Décrivez l'opération et ses limites. Identifiez les dangers pour les personnes au sol et pour les autres aéronefs. Présentez les mesures d'atténuation, et indiquez si chacune relève de l'aéronef, de la procédure ou de l'environnement. Énoncez le risque qui subsiste et nommez la personne qui l'accepte. Joignez le manuel pour le travail normal, anormal et d'urgence, ainsi que la formation, le maintien des compétences, la maintenance, la gestion de configuration, les limites météorologiques, les limites de chargement et les modalités de compte rendu des incidents. Les preuves sont des essais, des analyses et un historique en service. Une image de synthèse de l'aéronef n'est pas une preuve, pas plus qu'un nombre de vols excluant le mauvais temps.

Gardez la conception de l'aéronef et la procédure d'exploitation dans des colonnes distinctes, même lorsqu'une seule entreprise fait les deux. Les affirmations de conception, comme la redondance, un parachute, un système de terminaison ou le confinement, doivent être vraies pour l'aéronef tel qu'il est entretenu, et pas seulement pour le prototype du dossier. Les affirmations de procédure, comme une aire dégagée, un destinataire formé, une limite de vent et une personne habilitée à interrompre le vol, doivent être vraies lors d'un poste ordinaire, et pas seulement le jour de la démonstration sous le regard du constructeur. Un aéronef robuste ne répare pas une remise confuse à l'hôpital. Une remise soignée ne répare pas une défaillance non testée au-dessus d'une foule. L'approbation doit nommer les deux colonnes, et l'audit doit échantillonner les deux. Si une seule a été vérifiée, dites-le.

Une procédure n'est pas vérifiée parce qu'elle est écrite. Elle doit être répétée quelque part, sans personne en dessous. Airffic Training Hyperspace esquisse comment de tels terrains d'entraînement et d'essai pourraient être loués à l'heure. Ses annonces, disponibilités et prix actuels sont des exemples (en japonais).

Pour appliquer la même procédure dans le même ordre à chaque fois, utilisez une checklist qui transforme une procédure en modèle.