BIBLE MARS — RISQUE & RÉSILIENCE
Fatigue, erreur humaine et procédure inadéquate : le risque qui traverse tous les systèmes
Une colonie martienne peut disposer de bons équipements et pourtant échouer si la fatigue, la charge cognitive ou une procédure mal conçue poussent l’équipage vers une mauvaise décision.
Le risque humain n’est pas séparé du risque technique : sommeil insuffisant, interruptions, alarmes multiples, ambiguïtés de procédure et pression temporelle peuvent transformer une anomalie récupérable en cascade. Ce dossier examine comment concevoir horaires, interfaces, check-lists, entraînement et droit à l’arrêt pour rendre l’erreur détectable avant qu’elle ne devienne irréversible.
1 — L’erreur humaine n’est pas une cause finale
Écrire “opérateur s’est trompé” arrête l’analyse trop tôt. Pourquoi l’interface, la procédure, l’horaire ou l’organisation ont-ils permis à l’erreur d’atteindre le système ?
Les facteurs humains traitent l’humain comme partie du système, avec capacités et limites prévisibles.
2 — Fatigue et dette de sommeil
La fatigue réduit vigilance, mémoire de travail et capacité à détecter une anomalie subtile.
Une colonie ne peut pas compter sur l’héroïsme quotidien pour compenser un sous-effectif permanent.
3 — Procédures trop longues ou ambiguës
Une checklist doit attirer l’attention sur les décisions et pièges, pas noyer l’utilisateur sous des pages illisibles.
Les étapes critiques gagnent à contenir critères mesurables et confirmations indépendantes.
4 — Interfaces qui favorisent la mauvaise action
Deux boutons identiques côte à côte, unités ambiguës ou alarmes incessantes peuvent produire des erreurs prévisibles.
L’ergonomie est une barrière de sécurité au même titre qu’un clapet ou un fusible.
5 — Culture de signalement
Une équipe qui cache les quasi-accidents perd ses meilleures données préventives.
Le système doit permettre de déclarer une erreur sans que chaque signalement devienne automatiquement une sanction.
6 — Entraîner le scénario dégradé
Les opérateurs doivent pratiquer avec données incomplètes, délais de communication et équipements indisponibles.
L’entraînement révèle aussi les procédures impossibles à exécuter dans le temps réel.
Calcul pédagogique : transformer une réserve en temps de décision
CALCUL PÉDAGOGIQUE — LES HYPOTHÈSES SONT EXPLICITES
HYPOTHÈSE PÉDAGOGIQUE : une procédure contient 24 étapes ; une opération critique doit être achevée en 6 min.
Temps moyen disponible si toutes les étapes étaient égales : 360 s ÷ 24 = 15 s/étape. Si certaines étapes exigent 60 s, la procédure est probablement irréaliste dans cette urgence.
Le calcul ne mesure pas la charge cognitive ; il révèle une incohérence temporelle à tester en simulation.
Questions de décision propres à ce risque
- Quelle fatigue est prévisible au moment de l’opération ?
- La procédure peut-elle réellement être exécutée dans le temps disponible ?
- L’interface rend-elle deux actions dangereuses faciles à confondre ?
- Les alarmes prioritaires restent-elles visibles dans un flot d’alertes ?
- Les quasi-accidents sont-ils enregistrés et transformés en corrections ?
Le système doit être conçu pour un humain imparfait
Sur une mission longue, il est irréaliste de supposer que chaque opérateur sera toujours reposé, concentré et parfaitement informé. Une bonne interface rend les actions dangereuses plus difficiles à commettre par inadvertance, distingue les états normaux des états dégradés et évite de demander à la mémoire humaine de conserver des dizaines de paramètres simultanément.
Cette philosophie ne déresponsabilise pas l’équipage. Elle reconnaît que la sûreté vient d’une combinaison : compétence, procédure, ergonomie, automatisation et vérification croisée. Si une seule erreur ordinaire peut détruire un système vital, l’architecture mérite d’être remise en question.
Mesurer la charge de travail avant la crise
Les journaux d’opérations peuvent révéler qu’une équipe accumule les heures supplémentaires, que certaines alarmes se multiplient ou que les maintenances sont régulièrement reportées. Ces signaux faibles doivent être traités comme des indicateurs de risque, pas comme une preuve de dévouement. Une organisation surchargée devient progressivement moins capable de détecter ses propres erreurs.
La planification martienne doit donc conserver des marges humaines, au même titre que des marges d’énergie ou d’eau. Le temps de sommeil, la rotation des astreintes et la disponibilité d’une relève sont des ressources de sûreté.
Sources primaires principales
À relier aux autres dossiers
La fatigue transforme les petites ambiguïtés en pannes
Une procédure parfaitement claire au bureau peut devenir dangereuse à trois heures du matin après une journée d’EVA et une alarme imprévue. La fatigue réduit attention, mémoire de travail et capacité à détecter une incohérence. La prévention doit donc agir sur l’organisation du travail autant que sur la compétence individuelle.
Les interfaces et procédures doivent être conçues pour rester compréhensibles lorsque l’opérateur est sous charge. Codes cohérents, confirmations explicites, étapes critiques visibles et limitation des actions irréversibles réduisent la probabilité qu’une erreur simple devienne une catastrophe.
Une checklist n’est pas une excuse pour ne plus comprendre
Les listes de contrôle sont puissantes pour éviter les oublis, mais elles deviennent dangereuses si l’équipage les applique sans comprendre l’état du système. Une situation dégradée peut sortir du scénario prévu et rendre une étape normalement sûre inadaptée.
La formation croisée et les exercices doivent donc apprendre à reconnaître l’intention derrière une procédure. L’équipage doit savoir ce que chaque étape protège, quels signes indiquent que l’hypothèse n’est plus valide et quand il faut interrompre la séquence pour réévaluer.
Le retour d’expérience doit modifier les procédures
Après un incident, l’objectif n’est pas seulement de désigner une faute humaine. Il faut rechercher pourquoi l’erreur était possible : interface confuse, alarme noyée parmi d’autres, information manquante, rythme de travail excessif ou procédure contradictoire. Une cause dite « humaine » peut être le symptôme d’un système mal conçu.
La cité doit conserver une boucle de retour d’expérience locale et rapide. Chaque quasi-accident devient une donnée : il peut conduire à modifier une interface, un ordre de travail, une redondance ou une règle de vérification croisée avant qu’un événement plus grave ne se produise.