Auteur moral

France. Bureau d'enquêtes sur les accidents de transport terrestre

Auteur secondaire

Résumé

Cet incident, survenu le lundi 26 décembre 2016 à 16 h 10 en gare d'Antibes, n'a fait aucune victime, ni dégât matériel du matériel roulant. L'analyse de cet incident a conduit le BEA-TT à formuler deux recommandations dans les domaines suivants : - le traitement du bug informatique perturbant le fonctionnement du KVB sur le matériel Regio 2N ; - la capacité des nouveaux agents circulation à traiter des situations complexes.

Editeur

BEA-TT

Descripteur Urbamet

accident ;enquête

Descripteur écoplanete

Thème

Transports

Texte intégral

RAPPORT D'ENQUÊTE TECHNIQUE Juin 2018 sur le franchissement d'un signal fermé et le talonnage d'une aiguille par un TER à Antibes (06) survenus le 26 décembre 2016 Ministère de la Transition écologique et solidaire www.ecologique-solidaire.gouv.fr Bureau d'Enquêtes sur les Accidents de Transport Terrestre Affaire n° BEATT-2016-012 Rapport d'enquête technique sur le franchissement d'un signal fermé et le talonnage d'une aiguille par un TER à Antibes (06) survenus le 26 décembre 2016 Bordereau documentaire Organisme commanditaire : Ministère de la Transition écologique et solidaire (MTES) Organisme auteur : Bureau d'Enquêtes sur les Accidents de Transport Terrestre (BEA-TT) Titre du document : Rapport d'enquête technique sur le franchissement d'un signal fermé et d'un talonnage d'aiguille par un TER à Antibes (06) survenus le 26 décembre 2016 N° ISRN : EQ-BEAT--18-05--FR Proposition de mots-clés : talonnage, KVB, signal fermé, répétition Avertissement L'enquête technique faisant l'objet du présent rapport est réalisée dans le cadre des articles L. 1621-1 à 1622-2 et R. 1621-1 à 1621-26 du code des transports relatifs, notamment, aux enquêtes techniques après accident ou incident de transport terrestre. Cette enquête a pour seul objet de prévenir de futurs accidents, en déterminant les circonstances et les causes de l'événement analysé et en établissant les recommandations de sécurité utiles. Elle ne vise pas à déterminer des responsabilités. En conséquence, l'utilisation de ce rapport à d'autres fins que la prévention pourrait conduire à des interprétations erronées. SOMMAIRE GLOSSAIRE...................................................................................................................................9 RÉSUMÉ.......................................................................................................................................11 1 CONSTATS IMMÉDIATS ET ENGAGEMENT DE L'ENQUÊTE..............................................13 1.1 Constatations immédiates..................................................................................................13 1.1.1 Le talonnage de l'aiguille 1310a............................................................................................................. 13 1.1.2 La suspicion de dérangement contraire à la sécurité.............................................................................13 1.1.3 La circulation du TER n° 86086 et des autres trains..............................................................................13 1.2 Le bilan humain et matériel................................................................................................14 1.3 L'engagement de l'enquête................................................................................................14 2 CONTEXTE DE L'ACCIDENT..................................................................................................15 2.1 La ligne Marseille ­ Ventimiglia..........................................................................................15 2.2 Le poste d'aiguillage d'Antibes...........................................................................................16 2.2.1 Généralités - Utilisation.......................................................................................................................... 16 2.2.2 Sûreté de fonctionnement...................................................................................................................... 16 2.3 Les rames automotrices de la série Z55500......................................................................17 2.4 Le KVB ­ Contrôle de vitesse par balises..........................................................................18 2.4.1 Un système d'appui à la conduite.......................................................................................................... 18 2.4.2 Les versions du KVB.............................................................................................................................. 19 2.4.3 Structure technique du KVB pour le Regio 2N.......................................................................................20 2.5 Des éléments de signalisation...........................................................................................21 2.5.1 Présentation des signaux....................................................................................................................... 21 2.5.2 La répétition des signaux....................................................................................................................... 22 2.5.3 Le détonateur de signal carré................................................................................................................ 23 2.5.4 La zone d'approche d'un signal carré.................................................................................................... 24 3 COMPTE RENDU DES INVESTIGATIONS EFFECTUÉES.....................................................25 3.1 Les résumés des déclarations et des témoignages...........................................................25 3.1.1 Les déclarations du conducteur du TER................................................................................................25 3.1.2 Les déclarations de l'encadrement de proximité du conducteur............................................................26 3.1.3 Les déclarations de l'agent circulation................................................................................................... 26 3.1.4 Les déclarations de l'encadrement local de l'agent circulation..............................................................27 3.1.5 Les déclarations des agents de maintenance........................................................................................27 3.2 Les observations des enregistrements..............................................................................28 3.2.1 L'examen des données de l'enregistreur de bord..................................................................................28 3.2.2 La reconstitution menée le 28 décembre 2016 par SNCF Mobilités et SNCF Réseau..........................29 3.2.3 L'intervention du service de maintenance.............................................................................................. 30 3.2.4 Le service horaire.................................................................................................................................. 30 3.2.5 Conclusions........................................................................................................................................... 31 3.3 La problématique de la panne bord du KVB......................................................................31 3.3.1 Mise en service de la cabine de conduite..............................................................................................32 3.3.2 Dérangements et anomalies.................................................................................................................. 32 3.3.3 Les investigations menées sur la rame Z55685.....................................................................................35 3.3.4 Les investigations menées sur banc de test..........................................................................................35 3.3.5 Défaut « code 14 » du KVB sur STM autonome....................................................................................36 3.3.6 Conclusions de l'investigation................................................................................................................ 36 3.4 Les investigations menées sur les gestes de conduite du conducteur..............................37 3.4.1 La mise en service de la cabine de conduite à Ventimiglia....................................................................37 3.4.2 La règle de la VISA................................................................................................................................ 38 3.4.3 La répétition optique des signaux.......................................................................................................... 38 3.4.4 Conclusions sur les gestes de conduite mis en oeuvre..........................................................................39 3.5 Les investigations menées sur les mesures prises par l'agent circulation........................39 3.5.1 Le constat sur les actions effectuées..................................................................................................... 39 3.5.2 Le cursus de l'agent circulation.............................................................................................................. 40 3.5.3 Analyse du cursus de formation............................................................................................................. 40 4 RECONSTITUTION DU DÉROULEMENT DE L'ÉVÈNEMENT...............................................41 5 ANALYSE DES CAUSES ET FACTEURS ASSOCIÉS, ORIENTATIONS PRÉVENTIVES....47 5.1 Le schéma des causes et des facteurs associés...............................................................47 5.2 Les causes de l'évènement................................................................................................49 5.3 Le bug informatique............................................................................................................49 5.4 L'absence de KVB..............................................................................................................50 5.5 L'application des gestes métier par le conducteur.............................................................50 5.5.1 Le non-respect de la VISA..................................................................................................................... 50 5.5.2 La répétition inattendue « signal fermé »...............................................................................................51 5.5.3 Le détonateur de carré........................................................................................................................... 51 5.5.4 Conclusion............................................................................................................................................. 51 5.6 Les actions de l'agent circulation.......................................................................................51 6 CONCLUSIONS ET RECOMMANDATIONS............................................................................53 6.1 Les causes de l'incident.....................................................................................................53 6.2 Recommandations.............................................................................................................53 ANNEXES.....................................................................................................................................55 Annexe 1 : Décision d'ouverture d'enquête.............................................................................57 Annexe 2 : Le système KVB.....................................................................................................59 Annexe 3 : Les investigations menées sur banc de test..........................................................61 Glossaire AC : Agent Circulation ADC : Agent De Conduite ATESS : Acquisition et Traitement des Événements de Sécurité en Statique COGC : Centre Opérationnel de Gestion des Circulations Ferroviaires DCF : Direction de la Circulation Ferroviaire DMI : Driver Machine Interface (IHM en français) : écran du système ERTMS affichant notamment l'indicateur de vitesse et assurant l'interface du KVB EVC : European Vital Computer ; calculateur central de sécurité embarqué du système ERTMS EPSF : Établissement Public de Sécurité Ferroviaire ERA : European union Agency for Railways ­ Agence de l'Union Européenne pour les chemins de fer ERTMS : European Railway Traffic Management System - Système européen de gestion du trafic ferroviaire ET : Etablissement Traction de SNCF-Mobilités IHM : Interface Homme-Machine IV : Indicateur de Vitesse KVB : Contrôle de Vitesse par Balises RFN : Réseau Ferré National SGC : Service de Gestion des Circulations SNCF Mobilités : Société Nationale des Chemins de fer Français, assurant l'activité de transports SNCF Réseau : Société Nationale des Chemins de fer Français, assurant l'activité de gérant de l'infrastructure STI : Spécification Technique d'Interopérabilité STM : Specific Transmission Module ; module embarqué du système ERTMS assurant la compatibilité avec les systèmes sol nationaux STM A KVB : STM Autonome KVB : équipement KVB nouvelle génération équipant les matériels prédisposés ERTMS TER : Train Express Régional TGV : Train à Grande Vitesse VI : Vitesse Imposée VISA : VItesse Sécuritaire d'Approche 9 Résumé Le lundi 26 décembre 2016 à 16 h 10, en gare d'Antibes, le TER n° 86036 Ventimiglia Cannes talonne à la vitesse de 15 km/h environ l'aiguille située sur la voie principale AN2 et positionnée pour permettre le passage d'un TGV arrivant voie centrale. Le talonnage est la conséquence du franchissement du carré C1324 qui était fermé et qui n'a pas été observé par le conducteur. Mal renseigné par le conducteur, l'agent-circulation d'Antibes a estimé qu'il s'agissait d'un défaut de fonctionnement des installations du poste d'aiguillage mais a continué à exploiter son poste. Le conducteur du TER poursuit sa mission et ne sera relevé que le lendemain lorsque les investigations auront démontré le franchissement du signal. Le TGV, qui était arrivé 5 minutes après, s'est arrêté normalement au signal protégeant l'aiguille talonnée et désormais hors service. Il a poursuivi sa route en empruntant un autre itinéraire. Il n'y a eu aucune victime ni dégât au matériel roulant. Seule l'aiguille talonnée a été détériorée, rendant impossible son franchissement et donc la circulation sur la voie AN2. Le talonnage a été la conséquence immédiate du franchissement du signal fermé. Le franchissement du signal fermé a eu pour cause la non observation par le conducteur du TER du signal de protection de l'aiguille. Néanmoins un accident de collision entre le TGV et le TER a été évité. Plusieurs boucles de rattrapage n'ont pas opéré : l'automatisme de contrôle de la vitesse (KVB) qui s'était mis hors service suite à un défaut logiciel sur la rame ; le détonateur du signal dont l'explosion de la cartouche n'a pas été perçue par le conducteur ; la répétition « signal fermé » en cabine qui aurait dû conduire le conducteur à déclencher un freinage d'urgence. Par ailleurs le traitement de la situation par l'agent circulation n'a pas été adéquat. L'analyse de cet incident a conduit le BEA-TT à formuler deux recommandations dans les domaines suivants : le traitement du bug informatique perturbant le fonctionnement du KVB sur le matériel Regio 2N ; la capacité des nouveaux agents circulation à traiter des situations complexes. 11 1 Constats immédiats et engagement de l'enquête 1.1 1.1.1 Constatations immédiates Le talonnage de l'aiguille 1310a Vue n° 1 : schéma simplifié des voies de la gare d'Antibes Le lundi 26 décembre 2016 à 16 h 10, en gare d'Antibes, le TER n° 86036, circulant entre Ventimiglia et Cannes, franchit à la vitesse de 15 km/h environ l'aiguille 1310a située sur la voie principale AN2 et positionnée pour le TGV n° 6168 arrivant voie ANC. L'aiguille 1310a protégée par le signal carré 1324 est talonnée1. Le TER devait attendre le passage du TGV arrivant voie centrale ANC et le suivre sur la voie AN2. Le TER a circulé sur un itinéraire enregistré mais non formé. Le signal carré 1324 a été franchi fermé, sans être observé par le conducteur ; des trois systèmes de contrôle de franchissement, ni le KVB, ni l'explosion du détonateur équipant le C1324, ni la répétition « signal fermé » n'arrêtent le TER. Le TGV quant à lui s'arrête normalement au signal de protection de l'aiguille 1310a, devenu rouge une fois celle-ci talonnée. Après modification d'itinéraire, il sera dirigé vers la voie centrale d'Antibes pour assurer le service de la gare, puis expédié vers Cannes après le TER. 1.1.2 La suspicion de dérangement contraire à la sécurité L'agent-circulation constate une divergence entre la position réelle du TER telle qu'elle apparaît sur le tableau de contrôle optique de son poste d'aiguillage et la position théorique de ce même train qui aurait dû être arrêté devant le signal carré 1324. Il perçoit aussi une alarme de dérangement de l'aiguille 1310a. Après avoir questionné le conducteur, il va estimer qu'il s'agit d'un défaut de fonctionnement des installations du poste d'aiguillage et orienter les investigations des agents de maintenance sur cette fausse piste. Il ne prend pas les mesures de sécurité prévues dans un tel cas et se contente d'interdire le passage sur l'aiguille avariée. 1.1.3 La circulation du TER n° 86086 et des autres trains Le conducteur du TER a poursuivi sa journée de service et n'a été relevé que le lendemain matin une fois le franchissement identifié. 1 talonnage d'une aiguille : abordage dans le sens de la confluence (par le talon) d'une aiguille non disposée pour sa voie 13 L'aiguille 1310a étant inutilisable, les trains en provenance de Nice ont circulé sur la voie centrale alors que les trains de l'autre sens ont circulé normalement sur voie AN1. 1.2 Le bilan humain et matériel Après le départ normal du TER puis du TGV, la circulation des trains a été immédiatement interrompue sur la voie 2 entre Nice et Antibes ; elle a été reportée sur la voie centrale. L'incident n'a fait aucune victime. Il n'y a eu aucun déraillement, ni aucune conséquence sur le matériel roulant. L'aiguillage talonné a nécessité une intervention de la maintenance de SNCF Réseau afin de remplacer différents composants. 1.3 L'engagement de l'enquête Au vu des circonstances de cet incident, le directeur du bureau d'enquêtes sur les accidents de transport terrestre (BEA-TT) a ouvert, le 29 décembre 2016, une enquête technique en application des articles L. 1621-1 et R. 1621-22 du code des transports. Les enquêteurs du BEA-TT se sont rendus sur place et ont rencontré les différents agents directement impliqués dans l'incident ainsi que les représentants des différents services concernés de SNCF Mobilités et de SNCF Réseau. Ils ont également rencontré l'Établissement Public de Sécurité Ferroviaire (EPSF) dont l'une des missions est la délivrance d'un agrément de sécurité à SNCF Réseau et d'un certificat de sécurité à SNCF Mobilités. Ils ont pu disposer de l'ensemble des pièces et documents nécessaires à leurs analyses, et en particulier des rapports d'enquêtes établis par les exploitants. 14 2 Contexte de l'accident 2.1 La ligne Marseille ­ Ventimiglia La gare d'Antibes est située sur la ligne de Marseille à Ventimiglia en Italie. Il s'agit d'une ligne dotée de deux ou trois voies selon les sections, électrifiée en courant alternatif 25 000 V jusqu'à l'entrée de Ventimiglia côté France. En décembre 2016, environ 150 trains ont circulé quotidiennement au niveau de la gare d'Antibes. Vue n° 2 : la ligne Marseille- Ventimiglia (partie est) La régulation est assurée par le centre opérationnel de gestion des circulations (COGC) de Marseille. Les liaisons avec les conducteurs se font par radio sol-train. L'espacement des trains y est assuré par block automatique lumineux (BAL). La ligne Marseille - Ventimiglia est équipée du suivi automatique des trains qui informe en temps réel les opérateurs des postes de circulation de la position des trains. La ligne est équipée du KVB*. C'est le système de contrôle de vitesse et de franchissement des signaux d'arrêt utilisé sur le RFN (voir §2.4). Il est présent de Marseille à Ventimiglia. La vitesse maximale des trains les plus rapides est de 130 km/h à Antibes dans le sens Ventimiglia ­ Marseille, et de 125 km/h dans l'autre sens. * Terme figurant dans le glossaire 15 2.2 Le poste d'aiguillage d'Antibes C'est un poste d'aiguillage informatique à technologie Personnal Computer (PIPC) mis en service en 2013. Il est situé à l'extrémité des quais d'Antibes côté Nice et voie AN2. Pour le commander, l'agent circulation dispose d'un clavier et de 3 écrans. Vue n° 3 : le poste d'aiguillage d'Antibes L'interface avec le terrain (signaux, aiguillages, circuits de voie, etc.) se fait par un système classique à relais NS1 largement utilisés sur le RFN. 2.2.1 Généralités - Utilisation Ce poste dispose de la fonction d'enregistrement d'itinéraire tel que réalisé dans les postes de générations antérieures. Un seul enregistrement peut être réalisé directement par l'opérateur en plus de l'itinéraire déjà commandé ; les postes de génération plus récente sont équipés d'un programmateur informatisé qui mémorise une succession d'itinéraires. La section Cannes ­ Nice dispose d'équipements permettant la circulation des trains dans les 2 sens sur chacune des voies. La section de ligne de Cannes à Antibes est à deux voies ; la section d'Antibes à Cagnes sur Mer est à 3 voies. Le poste d'Antibes est chargé d'assurer le lien entre ces 2 sections. La partie Cagnes-sur-Mer ­ Nice est gérée depuis Nice. 2.2.2 Sûreté de fonctionnement Les installations de signalisation ferroviaire sont conçues pour présenter une situation sécuritaire en cas de défaillance. Un poste d'aiguillage respecte cette règle, de telle sorte qu'une panne ne doit pas se traduire par une situation pouvant présenter un risque pour les circulations, ferroviaires ou routières, ou pour les personnes. Ainsi, par construction, 16 lorsqu'un dérangement survient, les automatismes sont débrayés automatiquement et les signaux restent fermés, nécessitant une intervention humaine pour permettre la circulation de chaque train. Cependant, il ne peut pas être exclu de façon certaine qu'un défaut ou une combinaison de défauts ne puisse aboutir à une situation dangereuse. Un tel cas est appelé « dérangement contraire à la sécurité ». Lors d'un dérangement contraire à la sécurité, la procédure à la charge de l'agent circulation prévoit l'arrêt immédiat des circulations dans la zone correspondante du poste, et l'appel de son dirigeant et de la maintenance. Pour un poste à commande informatique, c'est l'ensemble du poste qui se trouve impliqué. Nous verrons que cette procédure n'a pas été respectée par l'agent circulation. 2.3 Les rames automotrices de la série Z55500 Vue n° 4 : une rame de la série Z55500 et sa cabine de conduite Les rames Z55500, également appelées Regio 2N, constituent la série des automotrices électriques bicourant à deux niveaux de la famille des Porteurs Haute Densité (PHD), conçues par Bombardier-Transport pour les régions françaises et la SNCF en vue d'assurer des services de transport régionaux, périurbains et intervilles. Elles sont produites depuis 2010 suite à une commande de 253 rames dont 113 ont été livrées fin janvier 2017. Elles sont équipées pour l'exploitation à agent seul (EAS), qui permet au conducteur d'assurer le service de sa rame sans l'assistance d'un agent d'accompagnement (contrôleur) à bord. Elles sont autorisées à la vitesse maximale de 160 km/h ou 200 km/h selon les sous-séries. La série comporte des variantes à six, sept, huit et dix caisses articulées. 17 Vue n° 5 : le schéma d'une rame Z55500 Ces rames se caractérisent par une spécialisation des voitures : les voitures à 1 niveau sont dédiées à l'accueil et aux services pour les passagers : portes d'accès au train, toilettes, espaces vélo et système d'information ; les voitures à 2 niveaux sont réservées aux salles où se trouvent les places assises. En application des Spécifications Techniques d'Interopérabilité (STI), ces rames sont prédisposées pour l'équipement ERTMS*. Notamment, la cabine de conduite est dotée des équipements techniques et des d'interfaces homme/machine permettant la circulation sous différents systèmes de contrôle-commande. Dans ce cadre, les fonctionnalités KVB ne sont pas assurées par le tiroir KVB classique (tiroir U-Eval) mais par le module STM-Autonome KVB dans l'environnement ERTMS. L'interface avec le conducteur n'est plus assurée par le panneau de visualisation classique mais par l'écran DMI type ERTMS. Le TER n° 86036 du 26 décembre était assuré par la rame Z55685, livrée le 25 août 2016 et constituée de 8 caisses. 2.4 2.4.1 Le KVB ­ Contrôle de vitesse par balises Un système d'appui à la conduite Le KVB, qui équipe les principales lignes du RFN, a pour but de garantir le respect des signaux d'arrêt fermés et des limites de vitesse. Il est généralisé sur les lignes importantes. Il utilise des balises en voie, représentatives de l'état de la signalisation, lues par les locomotives et les automotrices. En cas de discordance entre l'action du conducteur et l'information remontée des balises, le système arrête le train automatiquement. La description technique du système est consultable en annexe 2. Le KVB n'est pas considéré comme un système de sécurité mais comme une boucle de rattrapage concourant à la sécurité des circulations, couvrant une éventuelle défaillance de l'homme assurant la conduite du train. Il n'a pas été conçu avec les exigences d'une installation de sécurité2. * Terme figurant dans le glossaire 2 Le taux de défaillance contraire à la sécurité d'une installation de sécurité doit être inférieur à 10 -9 défaillance par heure de fonctionnement ; le taux de défaillance opérationnel pour le KVB est de l'ordre de 4 × 10-5 défaillance/heure/engin 18 Il a été conçu et perfectionné avec le souci que son fonctionnement ne change pas la façon de conduire et ne diminue pas la vigilance du conducteur. Dans cet esprit, les informations affichées pendant la marche sont réduites au strict minimum. 2.4.2 Les versions du KVB Plusieurs types d'équipements peuvent assurer la fonction KVB à bord des trains. Historiquement, la fonction KVB est réalisée par un équipement dit KVB « Classique » avec une interface homme-machine réalisée par le panneau de visu KVB. Cet équipement existe en plusieurs versions : 5, 6 et 7. Les éléments affichés au conducteur ont notamment été significativement réduits à partir de la version 6. Vue n° 6 : le panneau du KVB classique Le STM* Autonome a été développé comme une solution permettant d'assurer la fonction KVB tout en répondant à la problématique d'obsolescence du KVB « Classique ». L'équipement du STM Autonome, conçu comme une prédisposition à ERTMS, utilise pour interface un DMI* (Driver Machine Interface) de type ERTMS tel que présenté sur la vue n° 7. Il présente les versions 6 ou 7 du KVB exclusivement. Vue n° 7 : l'affichage KVB sur DMI type ERTMS * Terme figurant dans le glossaire 19 Le passage de la version 5 à la version 6 dite « à visu réduite », est motivé par la volonté de supprimer certains affichages dont l'expérience montre qu'ils ne sont plus strictement indispensables. La version 5 se caractérise notamment par l'affichage permanent de 3 tirets verts dans le visualisateur principal dès que le train se trouve dans les zones équipées, puis par différents affichages si des limitations temporaires de vitesse ou des séquences d'arrêt sont rencontrées. Sur la version 6 les affichages sont très généralement éteints et ne s'allument que dans des séquences très particulières. La version 7 est une version 6 enrichie de fonctions internationales et d'interopérabilité pour certains pays ; sans lien avec l'évènement, elle ne sera plus abordée dans la suite du présent rapport. 2.4.3 Structure technique du KVB pour le Regio 2N Le Regio 2N est équipé de la version 6 avec affichage sur DMI type ERTMS. Chaque cabine de conduite est dotée d'un équipement complet KVB, qui se compose de : un tiroir électronique avec : · une partie KVB ; · une partie EVC (European Vital Computer) ; un DMI qui assure notamment l'affichage de la vitesse par l'intermédiaire de l'indicateur de vitesse (IV) ; une antenne pour la lecture de balises KVB en voie. Vue n° 8 : structure technique du système KVB pour une cabine de Regio 2N 20 La vitesse est élaborée par l'ATESS3 (Acquisition et Traitement des Événements de Sécurité en Statique), puis elle est transmise : au DMI pour l'affichage au conducteur ; à la partie EVC du tiroir électronique, qui la transmet à la partie KVB pour le contrôle de vitesse. gère l'antenne ; il transmet les informations remontées des balises à la partie KVB pour que cette dernière les traite ; assure pour la vitesse l'interface entre l'ATESS et la partie KVB du tiroir électronique. L'EVC : Les fonctions du KVB (contrôle de franchissement, contrôle de la vitesse du train...) sont assurées par la partie KVB du tiroir électronique du STM Autonome. En cas de défaillance de la partie EVC, le KVB, n'ayant plus ni vitesse ni antenne, ne peut plus fonctionner et se met en défaut. Cette architecture permet de conserver l'indicateur de vitesse en service alors que l'EVC et/ou la partie KVB se trouverait hors service. 2.5 Des éléments de signalisation Il existe, pour le respect des signaux d'autres boucles de rattrapage que le KVB. Deux sont concernées dans l'évènement : la répétition des signaux et le détonateur de signal carré. En préalable, une présentation de la notion signal ouvert-signal fermé, ainsi que des signaux Carré et Avertissement, peut être utile à la compréhension de l'évènement. Un signal est dit fermé lorsqu'il présente une indication restrictive (réduction de vitesse ou arrêt) ; il est dit ouvert dans l'autre cas. 2.5.1 Présentation des signaux Le feu vert Lorsqu'un signal présente un feu vert, il est dit ouvert. Le feu vert indique au conducteur que la circulation en marche normale est autorisée. 3 La fonction principale de l'ATESS est l'enregistrement des données du train. 21  Le carré Le carré présente deux feux rouges sur une ligne verticale ou horizontale. C'est un signal fermé. Le carré commande au conducteur l'arrêt avant le signal. Le carré est précédé par un avertissement à une distance permettant normalement l'arrêt. L'avertissement L'avertissement présente un feu jaune. C'est un signal fermé. L'avertissement commande au conducteur d'être en mesure de s'arrêter avant le signal d'arrêt annoncé, carré ou sémaphore, ou d'observer un feu rouge clignotant. Si le signal annoncé est ouvert, le conducteur peut reprendre sa marche normale. 2.5.2 La répétition des signaux La sécurité ferroviaire repose sur l'observation et le respect des signaux. Le retour d'expérience a montré la nécessité d'équiper les cabines de conduite avec un dispositif qui pouvait permettre de pallier un défaut d'observation des signaux fermés. Ce dispositif s'appelle la répétition des signaux, ou répétition « optique ». Il fonctionne par contact entre un « crocodile » installé entre les deux files de rail de la voie et une « brosse » fixée sous la cabine de conduite. Vue n° 9 : à gauche un crocodile ; à droite une brosse sous une locomotive 22 La répétition des signaux intervient comme boucle de rattrapage afin d'attirer l'attention du conducteur sur la position du dernier signal qu'il vient de franchir. Lors du franchissement d'un signal fermé, elle répète au conducteur par une lampe jaune orangé clignotante, appuyée par un bip sonore d'attention, l'état du signal donné par le crocodile. Ce dispositif requiert alors une action d'acquittement : le conducteur dispose de 4 secondes pour appuyer sur un bouton en cabine. En cas d'absence d'acquittement d'un signal fermé dans ce délai, un arrêt d'urgence non rémissible est déclenché automatiquement. L'acquittement rend fixe l'allumage de la lampe. Elle restera allumée jusqu'au prochain signal franchi en position d'ouverture. Lorsqu'un signal observé ouvert est répété fermé, ainsi qu'en cas de répétition « signal fermé » en dehors de tout signal susceptible d'être répété, le conducteur a des actions précises à mettre en oeuvre : il doit s'acquitter de la répétition, s'arrêter d'urgence, aviser de l'anomalie le Service Gestionnaire des Circulations (SGC). Puis lorsqu'il repart, il doit reprendre en marche à vue sur une distance dite « de couverture des obstacles de la ligne », permettant de vérifier à vitesse faible l'absence de danger. Nous verrons que cette procédure n'a pas été respectée par le conducteur. 2.5.3 Le détonateur de signal carré Des détonateurs sont employés pour appuyer, en position de fermeture, certains carrés. Vue n° 10 : le boîtier d'un détonateur de carré Lorsque, au franchissement d'un tel signal qu'il a vu ouvert, le conducteur perçoit l'explosion d'un détonateur, il doit, en toutes circonstances, le considérer comme un carré fermé. Il doit alors s'arrêter d'urgence. 23 2.5.4 La zone d'approche d'un signal carré Le contact rail-roue métal contre métal, qui est la marque du ferroviaire, est à faible rugosité. Cela rend nécessaire une distance importante pour arrêter les trains ; aussi, les signaux commandant l'arrêt sont annoncés par des avertissements 4, comme vu au §2.5.1. Ces avertissements sont implantés à une distance telle que, compte tenu des déclivités, des caractéristiques de freinage des trains et des vitesses maximales, ils permettent l'arrêt au signal annoncé. La zone d'approche d'un signal carré débute a minima à la première zone située devant le premier signal d'annonce et se termine audit carré. Elle est dimensionnée de telle sorte que le conducteur puisse observer, à vitesse maximale de la ligne, le premier signal d'annonce pendant 15 secondes. L'enclenchement d'approche, qui se met en action dès qu'un train se trouve sur la zone d'approche, a pour rôle de figer dans leur position tous les aiguillages protégés par le carré et ainsi d'interdire physiquement la destruction de l'itinéraire. Sans cet enclenchement, l'aiguilleur pourrait refermer le carré au nez du train, détruire l'itinéraire et en commander un autre, y compris pour un autre train. Le train, ne pouvant s'arrêter correctement, arriverait sur des aiguillages non positionnés pour lui, ou à vitesse trop élevée, voire sur un autre train. Le risque de déraillement ou de heurt serait trop élevé. Le signal carré peut toutefois être fermé par une commande d'urgence à disposition du poste d'aiguillage, ainsi que par les enclenchements de sécurité, les aiguillages restant cependant figés dans leur position. 4 Des feux jaunes clignotants sont utilisés en amont des avertissements pour annoncer les carrés dont les avertissements sont implantés à distance réduite. 24 3 Compte rendu des investigations effectuées 3.1 Les résumés des déclarations et des témoignages Les résumés présentés ci-dessous ont été établis par les enquêteurs techniques sur la base des déclarations écrites dont ils ont eu connaissance et de celles qu'ils ont recueillies verbalement lors des auditions qu'ils ont réalisées. Ils ne retiennent que les éléments utiles pour éclairer la compréhension et l'analyse des événements et pour formuler des recommandations. Il peut exister des divergences entre ces différentes déclarations recueillies et les constats ou analyses présentés par ailleurs. 3.1.1 Les déclarations du conducteur du TER Le conducteur a pris la conduite de la rame Z55685 assurant la mission du TER n° 86033 au passage à Nice pour se diriger vers Ventimiglia ; le conducteur précédent a quitté la rame en indiquant que tout était normal. À Ventimiglia lors du changement de cabine de conduite pour le changement de sens de circulation, le conducteur initialise tous les essais prévus, mais ne prête pas attention aux signaux sonores et ne vérifie pas l'aboutissement des procédures sur ses écrans de contrôle. Il déclare ne pas avoir vérifié la présence ou non du pictogramme KVB sur son écran. Le début de la circulation du train n° 86036 s'effectue normalement. Le conducteur règle sa vitesse en utilisant la vitesse imposée (VI) 5 . Avant l'arrêt à la gare de Biot, la signalisation présente un avertissement, signal qui annonce au conducteur que le prochain signal présentera un ordre d'arrêt. Le conducteur interprète cette signalisation de la façon suivante : il suit un train à distance d'espacement ; l'arrêt de son train à Biot et une vitesse lente après l'arrêt permettront au train précédent d'avancer et de dégager la voie ; l'ordre d'arrêt au signal suivant aura disparu, lui permettant de poursuivre sa route. Après l'arrêt à la gare de Biot, il règle son limitateur de vitesse à 27 km/h et repense à un appel téléphonique personnel reçu à Nice et auquel il n'a pas répondu. Le soleil est de face, nécessitant que le pare-soleil soit tiré très bas sur le pare-brise. La voie est en alignement rectiligne. Il profite de cette faible vitesse sur une ligne droite pour prendre une bouteille d'eau dans son sac posé sur le plancher de la cabine et se désaltérer. Le conducteur ne regarde pas l'indication présentée par le signal C1324. Il est surpris et étonné d'avoir une répétition « signal fermé » qui se déclenche au franchissement du signal. Toutefois il acquitte et poursuit sa route. Lors du passage sur l'aiguillage suivant, il perçoit un bruit inhabituel. Il l'interprète toutefois comme un son justifié par le franchissement de l'aiguille. À Antibes, il constate que l'écran du milieu de son tableau de bord est éteint. Il indique au poste d'aiguillage et au régulateur, qui l'interrogent à l'aide de la radio sol-train, que le signal franchi à l'entrée d'Antibes présentait un avertissement. Il va continuer d'utiliser la VI pour respecter la vitesse de circulation. Il rapportera avoir vu le DMI se rallumer en cours de route, mais ne pourra indiquer ni où, ni quand. Il 5 VI : Vitesse Imposée. Il s'agit d'un système régulateur de vitesse qui équipe classiquement les engins moteurs et automoteurs 25 poursuivra normalement sa conduite des TER jusqu'à la fin de sa journée de service par un retour à Ventimiglia. Après une nuit au foyer-dépot de Ventimiglia, il reprend son service le lendemain matin et sera relevé lors de son passage à Menton. 3.1.2 Les déclarations de l'encadrement de proximité du conducteur Le Regio 2N est un matériel roulant dont la conception est totalement nouvelle, avec une rupture marquée par rapport à la philosophie antérieure sur l'ergonomie d'une cabine de conduite : les organes de commande, les interrupteurs, les organes de contrôle, leurs dispositions, les alarmes, visuelles et sonores, ont tous été revus. Les conducteurs, comme l'encadrement de proximité, assimilent plus ou moins rapidement cette nouvelle ergonomie. L'encadrement de proximité indique que l'audition de l'explosion inattendue d'une cartouche de détonateur de carré est un évènement très rare pour le personnel de conduite des trains. 3.1.3 Les déclarations de l'agent circulation Les trains allant de Nice vers Cannes passent habituellement par la voie AN2 ; à cet effet, l'opérateur d'Antibes a commandé ces itinéraires en tracé permanent6 ; c'est-à-dire que sans action nouvelle de sa part, tous les trains circuleront voie AN2. Vers 15 h 50, l'agent-circulation prépare le passage du TGV arrivant de la voie ANC vers la voie AN2 devant le TER. Pour ce faire, l'agent-circulation supprime le tracé permanent sur l'itinéraire depuis le signal C1324 vers le signal C1310 et commande l'itinéraire de la voie ANC vers la voie AN2, soit du signal C1326 vers le signal 1310 pour le TGV : il vérifie l'ouverture du signal de protection, ce qui lui permet d'avoir l'assurance que tous les aiguillages sont positionnés correctement. Il prépare ensuite le passage du TER sur la voie AN2 derrière le TGV en enregistrant l'itinéraire depuis le signal C1324 vers le signal C1310. Vue n° 11 : les passages prévus À 16 h 04, une alarme retentit dans le poste. L'agent-circulation fait des recherches sur l'origine de cette alarme : il constate une anomalie dans les informations fournies par le tableau de contrôle du poste : des parties de voie apparaissent occupées par un train alors qu'elles devraient être libres, et une alarme générique d'anomalie de position des aiguillages. Poursuivant ses recherches, il constate que l'aiguille 1310a de l'itinéraire C1326 vers C1310 n'est plus en bonne position. 6 Tracé Permanent : ce mode de commande des itinéraires permet aux trains de circuler sans action spécifique de l'agent circulation lorsque ils se suivent sur les mêmes itinéraires. 26 L'opérateur appelle le TER pour connaître sa position et l'état de la signalisation rencontrée : le conducteur déclare être à quai, voie AN2 en gare d'Antibes, et avoir eu un avertissement à l'entrée. Le TGV est, quant à lui, arrêté au C1326 qui s'est automatiquement refermé dès le C1324 franchi par le TER en association avec l'aiguille 1310a commandée à gauche. L'agent circulation conclut à un dysfonctionnement de son poste d'aiguillage contraire à la sécurité et appelle le service de maintenance. 3.1.4 Les déclarations de l'encadrement local de l'agent circulation L'activité de la gare d'Antibes est élevée avec 150 trains environ par jour. L'agent circulation présent l'après-midi du 26 décembre a reçu une formation initiale en début de carrière en 2003, mais n'avait jamais exercé le métier d'agent circulation avant son arrivée en gare d'Antibes en juin 2016. Un complément de formation personnalisée au poste de travail lui a donc été donné. De plus, il se perfectionne auprès de collègues plus expérimentés. La qualité de son travail donne satisfaction. Au cours des premiers mois après la prise de fonction de cet agent circulation, son dirigeant local a dû faire face à un déficit de ressources en personnel et a été contraint d'assurer la tenue de postes opérationnels. Sa disponibilité auprès de ses agents s'en est ressentie. Le suivi de la prise de poste de cet opérateur n'a donc pas pu se réaliser avec la rigueur habituelle. Ainsi, l'opérateur en place le 26 décembre 2016 n'avait jamais été confronté réellement à un dérangement d'appareil de voie. 3.1.5 Les déclarations des agents de maintenance Appelés par l'agent circulation d'Antibes pour un dérangement contraire à la sécurité, les agents du service de maintenance mènent rapidement des investigations qui concluent à un fonctionnement normal des installations. Ils découvrent l'aiguillage 1310a talonné et des éléments métalliques constitutifs abîmés, orientant les investigations vers un franchissement de carré fermé. 27 3.2 3.2.1 Les observations des enregistrements L'examen des données de l'enregistreur de bord Vue n° 12 : extrait des données ATESS La vue n° 12 montre un extrait des données issues de l'enregistrement ATESS de la rame Z55685. Les vitesses sont conformes aux limites en vigueur le jour de l'incident. Avant la gare de Biot, le signal 207,5 V.AN2 présentait l'avertissement. Il annonçait un signal fermé au panneau suivant, le signal C1324. Cet avertissement, répété fermé, a été acquitté immédiatement par le conducteur. Cette action réflexe montre que le conducteur s'attendait à devoir faire un acquittement ; cela montre également qu'il observait la signalisation. Après l'arrêt à Biot, le train circule à la vitesse de 27 km/h. Puis le signal C1324 a été enregistré fermé lors de son franchissement. Le système ATESS ne donne pas l'indication exacte du signal. Il se limite à noter la nature restrictive de sa position : le signal C1324 ne présentait pas un feu vert, mais un Avertissement, un Carré ou un signal d'espacement fermé. Concernant la répétition des signaux, le conducteur avait acquitté immédiatement dès le franchissement tous les signaux fermés précédents : il se tenait prêt à les acquitter. Or l'enregistrement ATESS montre un temps de deux secondes pour acquitter le signal C1324. Cela indique que le conducteur a été surpris par cette répétition fermée : il ne se tenait pas prêt à acquitter car il ne regardait pas la signalisation. Lorsqu'il acquitte, le signal n'est déjà plus en visibilité. En forte hypothèse, il ne connaissait pas le signal présenté : carré ou avertissement. La vitesse chute de moitié à environ 15 km/h, mais le train poursuit sa route. Lors du franchissement du signal suivant, le C1310 qui était ouvert et donc répété comme tel, le TER reprend de la vitesse franchement, remontant à 45 km/h et il s'arrête 300 m plus loin en gare d'Antibes pour le service voyageurs. L'enregistrement ne montre pas de nouvelle particularité sur la suite du parcours. 28 3.2.2 La reconstitution menée le 28 décembre 2016 par SNCF Mobilités et SNCF Réseau La mise en situation de l'incident du lundi 26 décembre 2016 a eu lieu le mercredi 28 décembre sur le même train (TER n° 86036) avec le même type de matériel (rame Regio 2N Z55639) en circulant sur la même voie dans le même sens de circulation. L'objectif de cette reconstitution était de vérifier, dans les mêmes heures de circulation, la visibilité du signal C1324 en prenant en compte l'environnement lumineux (soleil rasant, de face), la distance de visibilité avec perception de la présence du signal et des indications présentées. Il y avait également lieu de confirmer le fonctionnement du KVB au franchissement du signal présentant l'indication « carré », ainsi que du détonateur associé. La cabine de conduite était occupée par le conducteur en service sur le train, son dirigeant de proximité (DPx) et une personne du pôle Qualité Sécurité de l'établissement local en charge de la maintenance du réseau. Lors de sa circulation, le train de la reconstitution était dans le même horaire que le train du 26 décembre et avec la même signalisation, c'est-à-dire un avertissement présenté avant l'arrêt de Biot. Le conducteur a observé la VISA7 depuis son départ de cette gare. Après la gare de Biot, la voie s'inscrit dans une courbe à gauche. Le signal C1324 est situé en ligne droite d'environ 500 m après la sortie de courbe. Le soleil était rasant de face légèrement à droite non directement dans le champ de vision. Dans les conditions de reconstitution, la présence du signal C1324 était perceptible avec certitude à la distance d'environ 400 m. Ses indications étaient visibles avec certitude à environ 300 m du signal : présentation du carré. En procédure VISA (vitesse ne dépassant pas 30 km/h) la durée permettant de percevoir le signal est de l'ordre de 40 secondes. Aux abords du signal C1324 et du côté voie AN1, un bâtiment d'environ deux étages projette une ombre sur l'ensemble des voies. À l'heure de la reconstitution, le signal C1324 se situe dans la zone d'ombre projetée (environ 70 m en aval de la zone la plus éclairée). Les indications portées sur le signal sont clairement visibles et donnaient l'indication « carré » lors de la reconstitution. Après arrêt en amont du signal C1324 vers 16 h 08, soit pratiquement dans le même horaire que l'évènement du 26 décembre, le train reçoit à 16 h 12 une autorisation de franchir fermé le C1324. Pour le franchissement du carré fermé, un freinage d'urgence automatique par le KVB se déclenche et arrête le train. Ce freinage automatique confirme le fonctionnement du système de sécurité. En parallèle un détonateur a explosé et sa fumée a été observée, confirmant également le fonctionnement de ce système d'appui sonore. 7 VISA : vitesse sécuritaire d'approche ; règle de l'art définie par l'EPSF, consistant, après un avertissement fermé, à réduire sa vitesse jusqu'à 30 km/h au maximum jusqu'au signal suivant 29 Concernant le détonateur, sa perception auditive depuis la cabine de conduite d'un Regio 2N est très assourdie, le son pouvant aisément être couvert par tout autre bruit ambiant (bruits de roulement, compartiment voyageurs jouxtant la cabine, circulation routière, klaxon...). Au moment de la reconstitution, les observateurs ont perçu ce bruit qu'ils attendaient. Les enquêteurs du BEA-TT se sont interrogés sur la perception du détonateur de carré dans une cabine de conduite moderne. L'insonorisation ne fait pas obstacle à la perception de l'explosion d'un détonateur. Mais les conducteurs ne sont plus habitués à ce signal car le KVB aura agi avant qu'ils n'y soient confrontés. 3.2.3 L'intervention du service de maintenance Influencés par les déclarations de l'agent circulation d'Antibes, les agents du service de maintenance ont d'abord considéré que le poste d'aiguillage d'Antibes était affecté par un dérangement contraire à la sécurité : présentation d'un avertissement au lieu d'un carré. Mais très rapidement, ils se sont aperçus que les installations fonctionnaient normalement. Néanmoins, et compte tenu du retour d'expérience de l'accident récent de Denguin 8, le service de la maintenance a procédé à des investigations sur l'ensemble du périmètre de la gare d'Antibes pour s'assurer qu'aucun défaut caché n'avait pas été détecté. Aucun écart n'a été relevé par rapport à l'évènement du 26 décembre ; par contre, différents défauts d'isolement électrique ont été décelés et ont fait l'objet de mesures correctives dans les semaines suivantes. Concernant le détonateur du carré C1324, ce dispositif était opérationnel lors du passage du TER. Ce fait est corroboré par les visites de SNCF Réseau spécifiant la présence de l'ensemble des cartouches avant l'événement et l'absence d'une d'elles après, aucun autre franchissement de carré n'étant relevé dans l'intervalle temporel. 3.2.4 Le service horaire Vue n° 13 : à gauche, la circulation théorique des trains et à droite, la circulation réelle 8 Accident de Denguin du 17 juillet 2014 : voir rapport du BEA-TT, consultable par Internet 30 Le poste d'Antibes se situe à l'interface d'une section à 2 voies avec une section à 3 voies ; il a en charge dans le sens Marseille - Ventimiglia la distribution des trains arrivant de Cannes sur les voies AN1 et ANC et dans l'autre sens la convergence des voies AN2 et ANC vers Marseille. Le service horaire annuel a été étudié en utilisant toutes les possibilités offertes par l'infrastructure : les trains de parcours locaux circulent sur les voies extérieures AN1 et AN2 et desservent toutes les gares ; les trains de grands parcours circulent sur la voie centrale ANC lorsqu'elle est libre, leur permettant de dépasser les trains s'arrêtant à toutes les gares. Ce qui permet des vitesses moyennes plus élevées. Le service horaire prévoit que le TER n° 86036 quitte Nice à 15 h 35 par la voie AN2 pour desservir toutes les gares jusqu'à Cannes ; le TGV n° 6168, quant à lui, part de Nice à 15 h 47 pour rejoindre sans arrêt Antibes ; il dépasse le TER avant Biot. Ainsi c'est le TGV qui, le premier, arrive à Antibes et en repart ; le TER est immédiatement derrière. Pour des raisons de commodité la gare d'Antibes a demandé au poste d'aiguillage que le TGV desserve la gare sur la voie AN2 plutôt que la voie ANC. La desserte côté bâtiment de la gare est plus pratique pour les clients : en effet l'accessibilité du quai de la voie centrale est problématique pour les voyageurs avec bagages ainsi que pour les PMR. Cette organisation suppose que le TGV respecte bien son horaire, ce qui n'est pas toujours le cas. Le 26 décembre 2016, le TGV est parti de Nice avec 5 minutes de retard, puis circule avec 7 minutes de retard ; il n'a pas rattrapé le TER. Le TER aurait dû attendre au C1324 quelques minutes le passage du TGV. 3.2.5 Conclusions L'exploitation des enregistrements montre une impréparation du conducteur du TER face à la répétition « signal fermé » du panneau C1324 ; la reconstitution du 28 décembre n'a pas révélé de difficulté particulière à percevoir le signal et à y observer l'indication « carré » ; de plus la vitesse du train est assurée par un automatisme, la VI déchargeant potentiellement le conducteur de l'activité de conduite. Le service de la Maintenance a conclu à l'absence de dérangement du poste d'aiguillage ; en parallèle, la cartouche explosée du détonateur du C1324 indique que ce carré a récemment été franchi fermé. Ces éléments convergents montrent que, n'étant pas attentif à sa conduite, le conducteur n'a pas observé l'indication présentée par le signal C1324 alors que ce signal présentait le carré fermé. Il a franchi le carré fermé. 3.3 La problématique de la panne bord du KVB Dès le départ du projet KVB, il a été décidé que celui-ci serait « transparent » afin de ne pas perturber le conducteur dans sa conduite. Les affichages ont donc été réduits autant que possible. Son équipement n'étant, à l'époque, pas obligatoire ni généralisé, son absence ou son indisponibilité ne devait pas interdire la circulation normale du train. Toutefois, pour permettre sa réparation dans les meilleurs délais, il est nécessaire que la panne du 31 système bord soit visible du conducteur afin que celui-ci puisse la signaler au service d'entretien du matériel roulant. Dans la cabine du Regio 2N, la panne bord se traduit par l'extinction de l'icône KVB et des boutons poussoirs du KVB, le clignotement des deux lampes de signalisation et l'affichage d'un message de diagnostic. 3.3.1 Mise en service de la cabine de conduite À la mise en service d'une cabine de conduite équipée avec l'interface KVB affichée sur DMI ERTMS, lorsque tout se passe normalement, l'initialisation est silencieuse. En cas de dysfonctionnement, des appuis sonores sont émis, appelant l'opérateur à consulter les écrans. 3.3.2 Dérangements et anomalies Le KVB est une boucle de rattrapage pour pallier une éventuelle défaillance du conducteur. Fonctionnellement le KVB n'est pas un élément indispensable à la circulation d'un train : même en son absence, la sécurité continuera d'être assurée par le conducteur qui a été sélectionné et formé à cet effet. Aussi, une panne ou un non-fonctionnement de KVB ne doit pas empêcher un train de circuler, ne serait-ce que pour dégager les voies ou pour rejoindre un centre de maintenance. En principe, en cas de dérangement ou d'anomalie, le conducteur est informé ; il a diverses procédures à appliquer et, s'il est en ligne, il peut mener le train en cours à son terminus. Il n'y a alors plus aucun verrou technique de contrôle ; tout repose sur le conducteur qui reste un être humain avec son taux de fiabilité moindre qu'un automate. Dans la mesure où le conducteur est informé, cette situation est acceptée. Les référentiels RFN-CG-SE 07 B-00-n° 001 « Équipement des trains en personnelDysfonctionnement des dispositifs de sécurité ou automatismes embarqués » de SNCF Réseau et EF03100 (S1C) « Équipement des trains en dispositifs de sécurité embarqués, en personnel et en signalisation » de SNCF Mobilités, le second texte déclinant le premier, règlent la situation des dérangements et anomalies. Ils prescrivent : Lorsque le dérangement du KVB est connu avant l'origine du train, le correspondant de l'entreprise ferroviaire gestionnaire des engins moteurs remplace le matériel avarié par une rame avec KVB en service ; Lorsque l'anomalie se produit en ligne, elle est à traiter à l'arrêt par le conducteur par application de son livret de procédure. Le parcours effectué depuis la constatation de l'anomalie jusqu'au point d'application de son livret de procédures ne doit pas excéder 80 kilomètres. Si l'anomalie a provoqué un freinage d'urgence, le conducteur applique son livret de procédure d'entente avec le SGC. L'application du livret peut conduire à des restrictions de vitesse et/ou à la mise hors service du KVB. Le principe du KVB voulu par la direction de la traction de SNCF Mobilités est qu'une panne de celui-ci ne doit pas conduire à une action spécifique immédiate du conducteur, ce dernier pouvant avoir des interventions plus urgentes à réaliser. Lors du début de mission d'un train, il n'existe pas de verrou technique de contrôle du bon fonctionnement du KVB. Ainsi, avant qu'un conducteur ne mette son train en mouvement, il est exigé de sa part qu'il observe son tableau de bord, lui permettant de détecter alors un éventuel dysfonctionnement d'un équipement. Spécifiquement lors de la remise en service d'une cabine, le manuel de conduite du Regio 2N prescrit de vérifier sur l'écran DMI l'absence d'indication de panne et la présence du KVB. (TT00412 « REGIO2NManuel de conduite » page 11) 32 Vue n° 14 : KVB en service Vue n° 15 : KVB hors service En cas de panne, que le DMI soit allumé avec le message « perte de la connexion à l'EVC » (voir vue n° 15) ou que cet écran soit éteint, le conducteur est tenu d'appliquer une même procédure figurant dans le manuel de conduite du Regio 2N (page 170) : arrêt immédiat, puis consultation du guide de dépannage. En pareille circonstance, une relance du système DMI-KVB est alors nécessaire. Ci-après figurent les 2 écrans présentés par le Guide de Dépannage Informatisé (GDI) du Regio 2N et indiquant au conducteur, suivant la situation dans laquelle il se trouve, les actions à effectuer pour relancer le KVB. 33 Vue n° 16 : GDI « perte de la connexion à l'EVC » Vue n° 17 : GDI : le DMI est éteint Aucun des différents relevés consultés n'indique cette action le 26 décembre 2016. 34 3.3.3 Les investigations menées sur la rame Z55685 À la suite de l'incident, les éléments constitutifs du système KVB de la rame Z55685 ont été analysés. Des investigations ont été menées sur l'ATESS et les fichiers télédiagnostic des systèmes KVB et EVC de la rame. À 12 h 28, les fichiers de diagnostic du KVB enregistrent un redémarrage des deux équipements KVB lors de la préparation de la cabine de conduite par le conducteur précédent pour assurer le TER n° 86033, train allant de Cannes à Ventimiglia et qui précède le trajet retour en TER n° 86036. Le motif de ce redémarrage n'est pas identifié. L'équipement KVB de la cabine de conduite utilisée pour assurer le TER n° 86033 redémarre correctement, permettant de disposer de toutes les fonctions et d'assurer le train dans des conditions normales. Le défaut de communication persiste en cabine arrière, mais sans impact sur l'autre cabine. À 13 h 29 au changement de conducteur en gare de Nice, le système KVB est complètement fonctionnel dans la cabine de conduite du TER n° 86033. À 14 h 35 à Ventimiglia, lors de la mise en service de la cabine de conduite pour le TER n° 86036, la fonction KVB n'est pas opérationnelle et des codes défauts sont enregistrés. Les divers relevés ne portent pas de trace d'une relance, action alors nécessaire et à effectuer par le conducteur. Selon le fonctionnel du STM Autonome, le DMI doit être allumé et le message permanent « Perte de la connexion à l'EVC » doit être affiché sous l'indicateur de vitesse. Aucun des boutons KVB ni l'icône KVB ne doit être présenté. Deux leds rouge et jaune doivent clignoter en haut à droite. L'indicateur de vitesse doit rester fonctionnel. 3.3.4 Les investigations menées sur banc de test Les investigations ont consisté en la reproduction des enchaînements vécus par la rame Z55685 le 26 décembre 2016 avec des équipements identiques afin de reproduire et comprendre la panne. Puis des investigations ont été menées sur les éléments en service sur le train TER n° 86036 du 26 décembre 2016 afin d'en vérifier le fonctionnement. Le développement de ces investigations figure en annexe 3. La panne a été reproduite sur banc, permettant sa compréhension. Le test sur banc a permis de tirer les conclusions suivantes : suite au redémarrage des deux équipements KVB à 12 h 28, le DMI ne s'initialise pas correctement dans la cabine de conduite pour le TER n° 86036 et ne se connecte pas au tiroir électronique du STM Autonome ; les essais sur banc ont permis de reproduire sur le DMI de la cabine de conduite du train n°86036 un défaut de type « code 14»9 ; à 14 h 35, au changement de poste de conduite, le conducteur prend la main dans la cabine du TER n° 86036. Le DMI n'étant pas connecté au tiroir électronique du STM Autonome, ce dernier se déclare en défaut et le KVB n'est pas opérationnel. Une relance par utilisation du commutateur Z(REL)KVB-DMI (vues 16 et 17) peut rendre le système KVB à nouveau fonctionnel et ré-afficher l'indicateur de vitesse sur le DMI. 9 Le « code 14 » est le nom qui a été donné au bug informatique générateur, car, lors de ce défaut, un numéro 14 est présent en permanence sur un afficheur digital situé à l'arrière du DMI. (afficheur non visible par le conducteur) 35 3.3.5 Défaut « code 14 » du KVB sur STM autonome Lors des investigations effectuées en atelier (voir annexe 3), un défaut « code 14 » a été constaté à plusieurs reprises sur le DMI de la cabine active du TER n° 86036. La défaillance du DMI suite à un défaut de type « code 14 » est due à un bug informatique qui intervient seulement lors de l'initialisation du système. Ce dernier était déjà identifié avant le 26 décembre 2016, date du présent évènement. Ce défaut « code 14 » : se produit de façon aléatoire lors d'une réinitialisation du DMI ; a pour conséquence : · l'arrêt de l'initialisation du DMI sur un écran noir : pas de vitesse affichée, pas de message « perte de connexion à l'EVC », pas de voyant lumineux clignotant, pas d'appui sonore, la non-connexion du DMI avec le tiroir électronique du STM Autonome, la mise en défaut du tiroir électronique du STM Autonome ; · · Le KVB est donc inopérant. L'absence d'affichage doit amener le conducteur à arrêter son train, ou à le maintenir à l'arrêt, et à utiliser sa documentation de dépannage. Le bug disparaît après relance du système KVB. Suite à l'évaluation de ce bug et ses conséquences, SNCF Mobilités a actualisé le guide de dépannage du Regio 2N dès mars 2015 et a organisé sur sa flotte un plan de correction logicielle. Sur les 145 rames Regio 2N livrées, 119 sont affectées par le bug « code 14 » ; soit 238 cabines à corriger. 96 cabines ont été traitées ; il restait, fin 2017, 142 cabines encore affectées. SNCF Mobilités prévoit l'achèvement du plan de correction à la fin du mois d'octobre 2018. Conséquences du bug informatique Le fonctionnel du KVB est inopérant. Le DMI est noir : il ne présente aucune information, ni l'indicateur de vitesse. Le témoin de fonctionnement et les témoins d'alarme sont éteints ; aucun appui sonore ne peut être émis. 3.3.6 Conclusions de l'investigation Le 26 décembre 2016, suite à une relance des équipements KVB lors de la préparation du train pour le TER n° 86033, le DMI de la cabine utilisée pour la conduite du TER n° 86036 ne s'est pas initialisé correctement. En conséquence, pour la circulation du TER n° 86036, le KVB n'était pas en fonctionnement. En outre, du fait du bug informatique « code 14 », aucune alarme, qu'elle soit visuelle ou sonore, n'est délivrée. Le DMI reste éteint, privant le conducteur de l'indicateur de vitesse. Aucune trace d'un dépannage par « relance du système KVB-EVC » n'a été trouvée. En l'absence de cette relance, le KVB reste inactif pour la cabine du TER n° 86036 ; aucun contrôle de vitesse, ni de franchissement n'est réalisé par le KVB. 36 3.4 Les investigations menées sur les gestes de conduite du conducteur La conduite d'un train est une succession de situations dans lesquelles le conducteur doit utiliser des gestes métier ; SNCF Mobilités a défini l'ensemble de ces gestes métier dans son document « Référentiel conducteur de ligne » (TT0510 et suivants). Ces gestes métier sont précisés pour chaque matériel moteur dans un document dédié « Manuel de conduite ». 3.4.1 La mise en service de la cabine de conduite à Ventimiglia La règle Le document « REGIO2N-Manuel de conduite » décrit la remise en service d'une cabine de conduite ; il prescrit 2 vérifications spécifiques sur le DMI : l'absence d'indicateur de panne présenté sur l'indicateur de vitesse ; la présence du niveau d'exploitation KVB. Une anomalie sur le DMI interdit le départ en ligne ou impose l'arrêt immédiat et requiert l'utilisation du guide de dépannage. Par ailleurs, le document « Référentiel du Conducteur de Ligne » article D24.05 définit les contrôles et surveillance liés à la conduite du train. Cet article stipule que le conducteur doit surveiller fréquemment tous les appareils de contrôle, notamment les appareils intéressant la sécurité de la circulation ; l'indicateur de vitesse est au premier rang de ces appareils. Le 26 décembre 2016 Lors de la mise en service de la cabine de conduite pour le TER n° 86036, la liaison entre le tiroir électronique KVB-EVC et le DMI n'est pas assurée et le DMI s'éteint : aucun son ne peut être émis, aucun voyant lumineux ne peut s'éclairer. La mise en service de la cabine se fait en silence et sans voyant lumineux, telle une mise en service normale : aucune alarme ne se déclenche. Le train part alors en ligne avec un équipement KVB hors service et un conducteur se trouvant dans l'ignorance de la panne. En effet, il n'effectue pas les vérifications prescrites pour son tableau de bord. Ensuite le conducteur utilise la VI pour réguler la vitesse de son train. Se reposant sur ce système qui lui permet de ne pas avoir à observer son tableau de bord, il se détache de la conduite de son train. Il ne constate pas que l'écran10 affichant l'indicateur de vitesse est éteint. Il ne connaît pas l'état fonctionnel du KVB. Une conséquence annexe de l'absence du système KVB sera que l'enregistreur de bord ATESS n'enregistrera aucune balise KVB pour le TER n° 86036. Le conducteur n'a pas respecté les règles prescrites par sa documentation « REGIO2NManuel de conduite » : compte tenu de l'état de son train, il devait ne pas partir de Ventimiglia. En parallèle une surveillance des appareils de contrôle lui aurait permis de constater l'absence d'IV, et donc que le DMI était éteint. 10 Sur Regio 2N, la sélection VI se fait sur un écran autre que le DMI ; le conducteur peut sélectionner une VI bien que l'écran portant l'indicateur de vitesse soit éteint. 37 Le témoignage du conducteur n'est pas très clair concernant les moments où il avait l'affichage ou non de l'indicateur de vitesse et l'on peut mettre en doute la fiabilité de ses propos. La conviction de l'enquêteur BEA-TT, fondée sur les reconstitutions a posteriori, est que l'écran est resté éteint jusqu'à Cannes, donc sans indicateur de vitesse présenté. Le conducteur aurait dû appliquer son guide de dépannage. 3.4.2 La règle de la VISA La vitesse sécuritaire d'approche (VISA) est une règle de l'art définie par l'EPSF et qui a pour objet de définir le comportement sécuritaire du conducteur dès qu'il perçoit un avertissement fermé. L'objectif de la VISA est une modification d'attitude du conducteur afin de mieux appréhender le point d'arrêt annoncé. L'application de la VISA doit permettre au conducteur de mobiliser ses ressources et ses compétences lors de la phase particulière de conduite vers un signal commandant l'arrêt. La VISA comporte 4 phases : une réduction significative de la vitesse dès la perception d'un avertissement, si la vitesse du moment est proche de la vitesse maximale ; une recherche active de la position du signal annoncé, tout en maîtrisant la vitesse ; une attention continue à l'observation de la signalisation ; le respect de l'indication présentée ; si l'indication d'arrêt n'est pas présentée, une vitesse maximale de 30 km/h est alors prescrite jusqu'à ce signal. Le conducteur a observé l'avertissement lors du freinage pour l'arrêt en gare de Biot : la première phase ne s'imposait pas à lui. Après desserte de la gare, il a réglé la VI à 27 km/h ; ce qui a permis la maîtrise de la vitesse. Par contre, en abaissant le pare-soleil, en fixant ses gestes et pensées sur des affaires personnelles et en se désaltérant à ce moment précis, il s'est créé des obstacles à une recherche active du signal annoncé, rendant impossible une attention continue à l'observation de la signalisation. Ce qui l'a amené à ne pas respecter l'indication d'arrêt présentée par le C1324. Le conducteur transgresse la règle de la VISA : il devait consacrer toutes ses ressources à rechercher le signal annoncé et à observer la signalisation. 3.4.3 La répétition optique des signaux Entre les gares de Biot et d'Antibes, le conducteur a perçu le son d'une répétition « signal fermé » ; il a acquitté cette répétition après 2 secondes alors que les répétitions « signal fermé » précédentes étaient acquittées dans l'instant. Ce retard montre que le conducteur ne s'attendait pas à cette répétition « signal fermé ». À cet instant, il aurait dû mettre en place les actions prévues en cas de perception d'une répétition « signal fermé » en dehors de tout signal : acquittement de la répétition, arrêt d'urgence, avis de l'anomalie au SGC, et reprise en marche à vue sur la distance de couverture des obstacles. Mais il se borne à acquitter et réduire la vitesse. Il est sur l'idée qu'il s'agissait du franchissement d'un avertissement, avertissement qu'il n'a pas observé. Notre conviction est qu'il n'en avait pas la certitude et qu'il en a pris le risque. 38 Le conducteur transgresse les règles de conduite. Il aurait dû arrêter son train faute d'avoir l'assurance de la cohérence de l'observation du signal et de la répétition. 3.4.4 Conclusions sur les gestes de conduite mis en oeuvre Le conducteur n'a clairement pas appliqué plusieurs règles du métier lors de la conduite du train n° 86036 : il n'a pas vérifié l'affichage de l'indicateur de vitesse et du témoin de fonctionnement du DMI à la mise en service de la cabine et pendant la conduite ; il n'a pas vérifié le fonctionnement du KVB à la mise en service de la cabine ; il n'a pas mobilisé toute son attention à la recherche du signal lors de la procédure VISA ; il ne s'est pas arrêté après la répétition « signal fermé » d'un signal qu'il n'avait pas observé. Ces manquements ont clairement contribué à créer une situation dangereuse qui a amené au talonnage de l'aiguillage 1310a. Ensuite, il a déclaré à l'AC avoir franchi le signal C1324 à l'avertissement ce qui a induit celui-ci en erreur. Lorsqu'un geste métier est incorrectement appliqué, il est d'usage de rechercher les facteurs exogènes et systémiques qui ont pu conduire à cette situation. On les nomme les facteurs organisationnels et humains. Dans le cas présent, le grand nombre de manquements nous conduit à penser que l'origine des écarts est principalement le fait du comportement propre de ce conducteur et qu'il n'y a pas lieu de mener des investigations plus avant. 3.5 Les investigations menées sur les mesures prises par l'agent circulation L'agent circulation n'est pas partie prenante dans le talonnage de l'aiguillage 1310a. Mais au regard de son diagnostic sur la situation, ses actions ont été inappropriées. Et son diagnostic s'est révélé erroné. 3.5.1 Le constat sur les actions effectuées À la suite des déclarations du conducteur du TER et de l'analyse qu'il a effectuée sur les alarmes fournies par son poste, l'agent circulation n'a pas identifié l'éventualité d'un franchissement intempestif de carré fermé et a conclu à un dérangement contraire à la sécurité. Les éléments à sa disposition, itinéraire commandé pour le TGV et préalablement établi et vérifié, position anormale ou prématurée d'un train, anomalie dans les informations de localisation des trains, aiguille en discordance, sont des signes convergents d'un carré probablement franchi fermé. Mais l'agent circulation n'avait jamais été confronté jusqu'alors à des anomalies simultanées. En parallèle, la procédure à appliquer à la suite de son diagnostic de dérangement contraire à la sécurité prévoit l'arrêt immédiat de toutes les circulations pour l'ensemble de son poste d'aiguillage, avec appel à son encadrement à fin de procéder à une enquête immédiate et appel à la maintenance pour diagnostiquer. Or, en dehors de l'aiguille 1310a inutilisable, il a poursuivi normalement son travail d'aiguillage, sans mesure autre que l'avis au service de maintenance et l'appel à son dirigeant. 39 3.5.2 Le cursus de l'agent circulation Cet agent était arrivé sur l'Établissement Infra Circulation (EIC)11 en juin 2016, c'est-à-dire 6 mois avant l'évènement. Jusqu'alors, il avait effectué toute sa carrière à SNCF Mobilités. Il y avait tenu divers emplois, de difficulté croissante ; ce qui lui avait permis d'accéder à la qualification d'agent de maîtrise. Cependant cette montée en compétences s'était faite sans exercer de tache en relation avec la circulation des trains dans un poste d'aiguillage. Son arrivée à Antibes repose sur des motivations personnelles : l'intérêt géographique et l'activité d'un poste d'aiguillage sur voies principales fortement circulées qui est, à ses yeux, le coeur de son métier agent Mouvement. Dans le cadre de l'adaptation à sa nouvelle activité, il a reçu à sa demande une formation de rappel et d'actualisation sur des éléments de circulation pendant trois jours par un formateur à sa disposition exclusive, ces éléments ayant été vus initialement il y a 13 ans. Puis dans le cadre de l'adaptation à son nouvel emploi, il a disposé du module standard de 12 jours en double en compagnonnage dans le poste d'aiguillage. Avant le talonnage de l'aiguillage 1310a, il n'avait jamais eu à traiter en réel une discordance d'aiguillage ou bien la délivrance d'un bulletin de franchissement pour un carré resté fermé. Son parcours professionnel antérieur ne l'avait pas préparé à un emploi d'agent circulation à forte activité, tel que celui d'Antibes. La formation qu'il a reçue à son arrivée n'a comblé qu'imparfaitement l'écart entre son niveau de compétences et le niveau nécessaire à la tenue de l'emploi d'agent circulation à Antibes. 3.5.3 Analyse du cursus de formation À la suite de cet évènement, la Direction de la Circulation de SNCF Réseau (DCF) a analysé l'incorporation d'agents, qualifiés et anciens, mutés depuis SNCF Mobilités pour la tenue d'emplois d'agents circulation. Pour tout agent n'ayant pas tenu un poste d'agent circulation depuis au moins 3 ans, elle envisage de le reprendre en formation, avec évaluation avant prise de poste, en le faisant suivre la formation complémentaire « Agent Circulation Double Voie » intégralement. L'objectif de cette formation est d'amener l'apprenant en capacité d'accéder à la formation en compagnonnage dans le poste d'aiguillage. Cette formation complémentaire est composée de 2 modules, chaque module comprenant une période d'immersion dans le milieu de l'activité future et une période en centre de formation. Au total, 31 jours se passent au centre de formation, avec alternance d'apports théoriques et de mises en pratique sur maquette, simulateur... Ainsi dans la situation telle que projetée, un nouvel arrivant ayant le même profil que l'agent circulation d'Antibes se verra suivre 31 jours en centre de formation au lieu des 3 jours reçus. Ce cursus devrait rendre les opérateurs moins démunis face aux situations complexes. 11 L'EIC est un établissement local de SNCF Réseau, en charge de l'ordonnancement et la circulation des trains sur son territoire. 40 4 Reconstitution du déroulement de l'évènement Déroulé chronologique le 26 décembre 2016 12:28 Lors de la préparation de la cabine de conduite pour assurer le TER n° 86033, train allant de Cannes à Ventimiglia et qui précède le TER n° 86036, les deux équipements KVB redémarrent. Le KVB de la cabine de conduite utilisée pour assurer le TER n° 86033 redémarre correctement, permettant de disposer de toutes les fonctions et d'assurer le train dans des conditions normales. Dans la cabine arrière (cabine de conduite qui sera utilisée pour le TER n° 86036), un défaut d'initialisation du DMI empêche la communication avec le tiroir électronique du STM Autonome. Le défaut de communication en cabine arrière persiste, mais sans impact sur la cabine menante. Le conducteur prend la conduite de la rame Z55685 au passage à Nice pour se diriger vers Ventimiglia afin d'assurer la fin de la mission du TER n° 86033. Le conducteur précédent a quitté la rame en indiquant que tout était normal ; ce qui était bien le cas pour lui. À Ventimiglia, après avoir changé d'extrémité, le conducteur procède à la mise en service de la cabine de conduite pour assurer le TER n° 86036 en direction de Cannes ; il initie tous les essais prévus, mais n'en regarde pas le déroulement. Du fait de la panne système apparue 2 heures plus tôt et qui affecte seulement cette cabine de conduite, le système KVB se met en défaut et n'est pas opérationnel. Suite à cette panne, la situation de l'écran de contrôle aurait dû être la suivante : le message « Perte de connexion à l'EVC » est affiché sous l'indicateur de vitesse ; 13:04 14:35 les boutons KVB et le pictogramme de niveau KVB ne sont pas présents sur le DMI ; les 3 leds (marche, t° et défaut) du DMI clignotent en permanence ; des appuis sonores ponctuels sont émis ; l'indicateur de vitesse est présent. Cependant la présence du bug informatique « code 14 » conduit à une situation très différente : l'écran du DMI est complètement noir ; les leds d'attention ne sont pas allumés. Aucun appui sonore n'est émis, comme pour une mise en service normale. Ne vérifiant pas l'aboutissement des procédures de mise en service sur ses écrans de contrôle, le conducteur n'a pas conscience que le système KVB n'est pas opérationnel. 14:39 Le train quitte Ventimiglia. Le début de la mission n° 86036 s'effectue normalement. Le conducteur règle sa marche en utilisant la vitesse imposée (VI). L'indicateur de vitesse n'est pas présent sur le DMI sans que cela ne perturbe le conducteur. 15:45 Les itinéraires du poste d'aiguillage d'Antibes sont en tracé permanent pour la circulation des trains sur les voies AN1 et AN2. L'agent circulation prévoit de faire passer à Antibes d'abord le TGV qui arrive de Nice par la voie centrale : il supprime donc le tracé permanent sur l'itinéraire C1324 vers C1310. 15:52 L'agent-circulation commande l'itinéraire C1326 vers C1310 pour le TGV ; il vérifie à l'aide de ses contrôles l'ouverture du signal de protection, ce qui lui donne l'assurance que tous les aiguillages sont positionnés correctement. Il prépare ensuite le passage du TER sur la voie AN2 derrière le TGV en enregistrant l'itinéraire depuis le signal C1324 vers le signal C1310. 41 15:58 Le TER rencontre un avertissement sur le signal 207,5 V.AN2 avant l'arrêt à la gare de Biot ; ce signal annonce au conducteur que le prochain signal commandera l'arrêt. Le soleil est de face, nécessitant que le pare-soleil soit tiré très bas sur le pare-brise. Le conducteur interprète cette signalisation de la façon suivante : il suit un train à distance d'espacement ; l'arrêt à la gare de Biot et une vitesse lente après l'arrêt permettront à ce train précédent d'avancer et de dégager la voie ; l'ordre d'arrêt au signal suivant aura disparu, lui permettant de poursuivre sa route. Il s'arrête à la gare de Biot ; puis, pour la reprise de marche, il règle son limitateur de vitesse à 27 km/h et repense à un appel téléphonique personnel reçu à Nice et auquel il n'a pas répondu. La vitesse reste constante. L'enregistreur ATESS ne détecte aucune action du conducteur jusqu'au franchissement du C1324 voie AN2. Après la gare de Biot, la voie s'inscrit en courbe à gauche. Bien que le soleil soit toujours rasant, il ne parvient plus directement de face, mais de la droite. La perception des indications portées par le signal est visible à 300 m. À une vitesse de 27 km/h, le signal C1324 est visible pendant 40 secondes environ. Le conducteur profite de cette faible vitesse sur une ligne droite pour prendre une bouteille d'eau dans son sac posé sur le plancher de la cabine et se désaltérer. Il n'est pas attentif à sa conduite : il ne respecte pas la VISA lui commandant une recherche active du signal annoncé. 16:03:40 Le conducteur du TER franchit fermé le C1324 sans observation du signal. Il est surpris par le déclenchement d'une répétition « signal fermé » qui nécessite un acquittement sous peine d'un freinage d'urgence ; il met deux secondes pour l'acquitter. Ce fait est à comparer avec le franchissement de l'avertissement du signal précédent pour lequel l'acquittement est effectué dans la même seconde, montrant qu'il s'y était préparé et donc regardait le signal contrairement à la situation du C1324. À cet instant, il aurait dû mettre en place les actions prévues en cas de perception d'une répétition inattendue, dont l'arrêt d'urgence ; mais, transgressant les règles de conduite, il ne fait rien, se rangeant à l'idée qu'il s'agissait du franchissement d'un avertissement. Suite à ce franchissement indu, le KVB, dispositif de sécurité qui aurait dû provoquer automatiquement l'arrêt du TER, n'a pas pu agir car en dérangement depuis le départ du train de Ventimiglia. Après le franchissement, un détonateur appuyant la fermeture du carré C1324 a explosé. L'explosion du détonateur est cependant difficilement perceptible depuis la cabine de conduite insonorisée. Cette détonation peut être couverte par tout autre bruit parasite. Cette faible perception du détonateur peut éventuellement n'avoir pas permis au conducteur de comprendre la situation dans laquelle il se trouve et expliquer en partie son manque de réaction. Le TER occupe alors la zone 1330 qui fait partie de l'itinéraire C1326 vers C1310 établi pour le TGV. Les enclenchements de sécurité du poste d'aiguillage fonctionnant normalement, les signaux S207,5 V.ANC et C1326 au-devant du TGV se ferment automatiquement et immédiatement, le premier à l'avertissement et le second au carré. 16:03:46 60 m en aval du C1324, le conducteur du TER effectue cependant un freinage pour descendre à la vitesse de 13 km/h mais sans arrêter sa circulation ; puis il va poursuivre sa route à cette vitesse. Cet agissement est une action réflexe ne correspondant à aucune prescription. Le conducteur gère son doute en appliquant une marche à très faible vitesse. La circulation à vitesse réduite montre que le conducteur est en recherche d'une circulation devant lui. 42 16:04:21 232 m après le franchissement du C1324, le TER talonne l'aiguille 1310a positionnée pour le passage du TGV. Le conducteur n'interprète pas le bruit anormal qu'il perçoit lors du franchissement de l'aiguillage. Le conducteur traduit ce bruit par un son typique de zone d'aiguille. S'agissant d'une aiguille disposée en ligne droite et prise en talon, l'expérience du conducteur aurait dû l'alerter sur la problématique de « bruit bizarre ». Mais cela n'a pas été le cas. L'aiguille 1310a perd son contrôle de bonne position sur l'itinéraire C1326 vers C1310. Ce qui déclenche une alarme dans le poste d'aiguillage. L'agent-circulation fait des recherches sur l'origine de l'alarme. Il constate une alarme d'anomalie de position des aiguillages et une anomalie dans les informations fournies par le tableau de contrôle du poste : des parties de voie apparaissent occupées par un train alors qu'elles devraient être libres ; le TER est présent dans 2 endroits à la fois ; de plus il se trouve là où le TGV devait arriver le premier. Ces anomalies sont provoquées par l'arrivée inappropriée du TER en lieu et place du TGV. 16:04:22 Le TGV attaque la zone d'approche du C1326. Le TGV est alors à une distance de 2 800 m environ du C1326, et à une distance de 1 400 m environ de l'avertissement annonçant le carré refermé depuis 40 secondes. Le conducteur du TGV ne voit pas le signal S207,5 V.ANC présenter l'indication « Voie libre », ni son passage de voie libre à l'avertissement : le conducteur du TGV va avoir une séquence de signalisation d'arrêt tout à fait courante. Le TGV circule avec 7 minutes de retard. Le TER circule à l'heure et se présente à 16 h 06 à l'entrée de la gare d'Antibes devant le TGV. 16:07 Poursuivant ses investigations, l'agent circulation constate une alarme indiquant que l'aiguillage 1310a est en position anormale, alors que, lors de la dernière manoeuvre pour préparer le passage du TGV, l'agent circulation avait bien vérifié l'aboutissement de la commande et la bonne position. En parallèle, le TER franchit le signal C1310 présentant « voie libre », signal à partir duquel il reprend de la vitesse franchement, remontant à 45 km/h et il s'arrête 300 m plus loin en gare d'Antibes à 16:09:16 (2 min 16 s de retard) pour le service voyageurs. Cette reprise de vitesse sur « voie libre » corrobore la recherche de circulation devant le TER ; mais le conducteur n'a pas pris en compte la position de l'aiguillage, ni du risque correspondant. 16:09 Étonné par cette situation, l'agent circulation appelle le TER pour connaître sa position et l'état de la signalisation rencontrée : le conducteur déclare être à quai voie AN2 à Antibes et avoir observé un avertissement à l'entrée en gare. En forte hypothèse comme nous l'avons vu, le conducteur ne connaît pas le signal présenté sur le panneau C1324 : carré ou avertissement. À aucun moment, l'agent circulation n'envisage que le conducteur soit dans l'erreur, ni qu'il ait franchi un carré fermé. Au vu des contrôles et informations dont il dispose, l'agent circulation considère qu'un dérangement contraire à la sécurité affecte le poste d'aiguillage : d'une part, il avait vérifié l'ouverture du signal C1326 vers la voie AN2 lors de la commande de l'itinéraire ; d'autre part le conducteur lui indique maintenant que le signal C1324 n'était pas à l'indication « carré » mais à l'avertissement vers la même partie de voie ; or, les installations d'un poste d'aiguillage ne permettent jamais cette situation, y compris en situation de dérangement. En pareille circonstance, la procédure à appliquer par l'agent circulation prévoit l'arrêt immédiat de toutes les circulations et l'appel de son dirigeant et de la Maintenance. Or, bien qu'il ait conclu à un dérangement contraire à la sécurité, l'agent circulation va poursuivre ses taches de circulation pour l'ensemble du poste, hormis pour la voie AN2 rendue inutilisable du fait du talonnage de l'aiguillage 1310a. 43 En parallèle, toujours arrêté à Antibes, le conducteur du TER constate l'extinction du DMI ERTMS ; mais sans que cela n'entraîne de sa part l'application du guide de dépannage, procédure prévue en une telle circonstance. 16:09 16:11 Après une séquence normale de signalisation lui commandant l'arrêt, le TGV s'arrête devant le signal C1326, fermé depuis le franchissement du C1324 par le TER. Le TER quitte Antibes vers Cannes ; le conducteur du TER va continuer d'utiliser la VI pour respecter la vitesse de circulation. Il constate avoir vu le DMI se rallumer en cours de route, mais ne pourra indiquer ni où, ni quand. L'agent-circulation aiguille le TGV en direction de la voie centrale d'Antibes. Le TGV quitte la gare d'Antibes avec 21 minutes de retard. Les conséquences de cet évènement sont les suivantes : 16:16 16:25 aucune victime n'est à déplorer. aucun dégât n'est à signaler sur les matériels roulants. quelques constituants de l'aiguillage 1310a sont constatés détériorés et feront l'objet de réparations dans les semaines suivantes. Le retard du TGV a permis d'éviter une prise en écharpe catastrophique des deux trains qui pouvaient converger sur le même aiguillage au même instant. 44 5 Analyse des causes et facteurs associés, orientations préventives 5.1 Le schéma des causes et des facteurs associés Les investigations effectuées permettent d'établir l'arbre des causes ci-dessous : Vue n°18-1 : déroulement de l'incident, causes et facteurs associés 45 Vue n° 18-2 : déroulement de l'incident, causes et facteurs associés (suite) 46 5.2 Les causes de l'évènement Le talonnage de l'aiguillage 1310a a été causé par le non-respect par le conducteur du TER d'une signalisation lui commandant l'arrêt. Trois systèmes de couverture n'ont pas eu d'effet : le KVB, le détonateur de carré, la répétition des signaux. Les facteurs explicatifs de l'absence d'effet de ces systèmes sont : pour le KVB : la panne non détectée par le conducteur à la mise en service de la cabine de conduite ; pour le détonateur de carré : l'insonorisation des cabines de conduite modernes vis-à-vis des bruits externes rendant plus difficile la perception de ce signal ; pour la répétition : la transgression de la règle métier d'arrêt immédiat en cas de non-observation du signal répété. Certes les deux derniers systèmes n'empêchent pas le franchissement du signal d'arrêt mais leur prise en compte aurait évité le talonnage et le risque de convergence du TER et du TGV. Par ailleurs et bien que cela ne participe pas à la survenue de l'évènement, les réactions de l'agent circulation n'ont pas été en cohérence avec la situation, qu'elle fut réelle ou supposée. Cette analyse a conduit le BEA-TT à rechercher des orientations préventives dans les domaines suivants : le bug informatique affectant la disponibilité du KVB STM autonome ; la bonne application des gestes métier par le conducteur ; l'entraînement de l'agent circulation à traiter des situations complexes. 5.3 Le bug informatique Le bug informatique « code 14 » s'active à la mise en service de la cabine de conduite, dès lors que le KVB s'est réinitialisé automatiquement pendant la période inactive. Le redémarrage automatique d'un système en panne est un choix de système non contestable ; mais il ne doit pas conduire à une panne. À cause du bug informatique « code 14 », le DMI était éteint et silencieux, privant le conducteur des alarmes prévues, mais aussi de l'indicateur de vitesse. Le conducteur a fait ses procédures de mise en service de la cabine, sans vérifier quoi que ce soit sur les différents appareils du train car, sans doute, conforté par l'absence d'alarmes lumineuses ou sonores. Depuis le départ de Ventimiglia, le conducteur conduit avec la VI active pour réguler la vitesse de son train ; ainsi il n'observe pas l'indicateur de vitesse de son tableau de bord. Faute d'avoir procédé aux vérifications initiales et d'avoir observé son tableau de bord pendant la conduite, il ne s'est, semble-t-il, pas aperçu que cet indicateur était absent et que le KVB était lui aussi absent. L'absence de message d'indisponibilité du système conduit à ce que le train roule sans KVB, donc sans boucle de rattrapage d'une éventuelle défaillance humaine. SNCF Mobilités a lancé le plan de correction du bug informatique « code 14 » qui rend hors service le KVB. Fin 2017, sur un volume initial de 238 cabines, il restait encore 142 cabines à traiter. SNCF Mobilités prévoit l'achèvement du plan de correction au cours du dernier trimestre de 2018 seulement. 47 Il semble prioritaire de corriger ce bug qui affecte la disponibilité du KVB. Ces éléments conduisent le BEA-TT à formuler la recommandation suivante. Recommandation R1 adressée à SNCF Mobilités Mettre en oeuvre dans les plus brefs délais sur l'ensemble du parc concerné équipé en KVB sur DMI ERTMS la suppression du bug informatique, qui conduit à l'extinction de l'écran du tableau de bord. 5.4 L'absence de KVB Le KVB est une barrière technique renforçant le niveau de fiabilité humaine ; c'est un système qui vient en appui du conducteur. Ses règles d'utilisation prévoient qu'un train avec le KVB en panne peut continuer à circuler dans certaines limites. En corollaire, un KVB devenant hors service n'arrête pas le train. Ce paradoxe peut être admis compte tenu des éventuelles conséquences de l'arrêt d'un train en un point quelconque (tunnel, viaduc, incendie, zone dense), le conducteur en cabine devant rester le premier acteur de la sécurité ferroviaire. Ce qui n'était pas la situation pour le TER n° 86036 du 26 décembre 2016. Par ailleurs le KVB est un système en usage depuis une trentaine d'années, venu s'ajouter par-dessus les autres systèmes déjà en place ; il a permis de récupérer de nombreuses situations dangereuses. Tant du point de vue technique que du point de vue économique, il apparaît plus pertinent d'orienter les développements sur les systèmes émergents, du type ERTMS, ou carrément nouveaux, plutôt que de projeter une évolution de ce dispositif arrivé aujourd'hui à maturité. L'incident d'Antibes, dont on a vu que la cause est due à une succession de manquements du conducteur, ne nous semble pas justifier une modification de ce système mature, mais qui conserve toute sa pertinence pour maintenir le système ferroviaire dans un domaine sécuritaire. Le BEA-TT n'émet pas de recommandations sur ce dispositif. 5.5 5.5.1 L'application des gestes métier par le conducteur Le non-respect de la VISA Après le franchissement d'un avertissement fermé, la VISA requiert une recherche active du signal annoncé et une attention continue à la signalisation. Lors de son arrivée à la gare de Biot, le conducteur rencontre un avertissement sur le signal S207,5 VAN2, qu'il n'a aucune difficulté à reconnaître, mais qu'il interprète comme étant la conséquence de la présence d'un train devant lui à distance de block. Il est persuadé qu'au signal suivant, il pourra poursuivre sa marche. À partir de cet instant, sa vigilance vis-à-vis de la conduite de son train se réduit ; il s'appuie sur la VI pour régler la vitesse et ne se met plus en recherche du signal d'arrêt annoncé (C1324). Il ne respecte pas les prescriptions de la VISA : ainsi il franchit le signal C1324 présentant le carré sans jamais l'avoir observé. 48 5.5.2 La répétition inattendue « signal fermé » Le déclenchement de la répétition « signal fermé » au C1324 surprend le conducteur. Mais cela ne remet pas en cause sa représentation de la situation et, au lieu de s'arrêter immédiatement, il poursuit sa route en réduisant seulement sa vitesse. Le conducteur est resté dans sa représentation de la situation : il a interprété la signalisation au lieu de lui obéir passivement. Les manquements précédents pouvaient être rattrapés par cette ultime barrière : l'absence de réaction sur la répétition inattendue « signal fermé » est une nouvelle erreur du conducteur qui amène, toutes les barrières étant franchies, au talonnage. 5.5.3 Le détonateur de carré Au franchissement du C1324 fermé, l'explosion d'une cartouche de détonateur parviendra au conducteur assourdie dans sa cabine de conduite moderne et insonorisée, pouvant expliquer l'absence de réaction à ce signal acoustique. De plus, aujourd'hui, les conducteurs sont peu confrontés à l'explosion inopinée d'un détonateur de carré. L'isolation acoustique des cabines de conduite est une évolution naturelle et normale, qui ne saurait être empêchée. Ce qui renforce la recommandation sur l'efficacité de l'autre barrière technique qu'est le KVB. Comparé à d'autres barrières, le détonateur agit alors que le carré est déjà franchi et le conducteur doit encore y réagir, retardant son efficacité. Aussi, compte tenu de son efficacité reposant sur une réaction humaine comparée à celle de systèmes automatisés plus récents, KVB ou ERTMS, le BEA-TT n'émet pas de recommandation vis-à-vis de cette installation. Quoi qu'il en soit, elle reste majoritairement utile pour la circulation des manoeuvres et des engins de travaux. 5.5.4 Conclusion Le 26 décembre 2016, le conducteur du TER n° 86036 n'était pas appliqué à la conduite de son train : il utilisait la VI pour rester dans la plage de vitesse autorisée. Il a franchi le signal C1324 présentant l'indication « carré » sans le voir et il a talonné l'aiguillage 1310a. Il a transgressé des règles de conduite. Depuis, son encadrement lui a fait cesser son activité de conduite des trains. Constatant qu'un écart de comportement significatif et dangereux s'est produit et que, à défaut d'avoir pu l'anticiper, une telle situation fait l'objet d'une mesure corrective par le management, le BEA-TT n'investigue pas plus avant sur le thème et n'émet pas de recommandation. 5.6 Les actions de l'agent circulation L'agent circulation avait préparé l'itinéraire pour le premier train à faire passer, c'est-à-dire le TGV arrivant de la voie ANC vers la voie 2, positionnant l'aiguille 1310a pour cet itinéraire. En franchissant fermé le signal C1324, le TER a franchi l'aiguille dans une position incompatible avec sa route. L'agent circulation a alors entendu une alarme qui a retenti dans le poste. Dans un premier temps, il a identifié un écart dans les informations de suivi : le TER était présent dans deux endroits à la fois ; de plus il se trouvait là où le TGV devait arriver le premier. 49 Puis deux minutes après le premier évènement, l'agent circulation a détecté un dérangement sur l'aiguillage 1310a : cet aiguillage n'était plus dans une position conforme alors que, lors de la dernière manoeuvre pour préparer le passage du TGV, il avait bien vérifié l'aboutissement de la commande et la bonne position. Étonné par cette situation, l'agent circulation interroge le conducteur sur l'aspect de la signalisation rencontrée à l'entrée d'Antibes ; ce dernier lui répond qu'il a rencontré un avertissement sur le signal C1324 et que tout est normal. À partir de ces éléments, l'agent circulation ne met pas en doute la véracité des dires du conducteur : il conclut que son poste ne fonctionne plus correctement et qu'il se trouve face à un dérangement contraire à la sécurité. Conformément à ce diagnostic, il aurait dû arrêter immédiatement toutes les circulations. Or, le 26 décembre 2016, bien qu'il ait conclu à ce dérangement contraire à la sécurité, l'agent circulation va poursuivre ses taches de circulation pour l'ensemble du poste, hormis pour la voie 2 rendue inutilisable du fait du talonnage de l'aiguillage 1310a. Bien que collaborateur de SNCF depuis une quinzaine d'années, il était nouveau dans un emploi d'agent circulation et nouveau à Antibes : il n'avait jamais eu à traiter un dérangement d'aiguille en réel. La formation reçue par l'agent circulation montre une adéquation imparfaite avec l'objectif de la tenue du poste d'agent circulation à Antibes. Plus généralement, l'examen du processus de formation suivie par cet agent montre que les agents nouveaux dans un emploi d'agent circulation présentent des fragilités en cas de situation complexe. Ces éléments conduisent le BEA-TT à formuler la recommandation ci-après : Recommandation R2 adressée à SNCF Réseau Mettre en oeuvre immédiatement pour les agents mutés de SNCF Mobilités vers SNCF Réseau et devant prendre un emploi d'agent circulation un module complet de formation « Agent Circulation Double Voie ». 50 6 Conclusions et recommandations 6.1 Les causes de l'incident La cause directe du talonnage de l'aiguillage 1310a survenu le 26 décembre 2016 à 16 h 04 dans la gare d'Antibes est le franchissement par le train TER n° 86036 du signal carré présenté sur le panneau C1324. Le franchissement du signal carré est la conséquence du manque d'attention du conducteur du TER dans la préparation de son train, puis dans la conduite de celui-ci, ainsi que sa passivité face au déclenchement d'une répétition inattendue « signal fermé ». Trois systèmes de couverture n'ont pas eu d'effet : le KVB, le détonateur de carré, la répétition des signaux. Les facteurs explicatifs de l'absence d'effet de ces systèmes sont : pour le KVB : l'absence de disponibilité non détectée par le conducteur à la mise en service de la cabine de conduite ; pour le détonateur de carré : l'insonorisation des cabines de conduite modernes vis-à-vis des bruits externes rendant plus difficile la perception de ce signal ; pour la répétition : la transgression de la règle métier d'arrêt immédiat en cas de non-observation du signal répété. Certes ces deux derniers systèmes n'empêchent pas le franchissement du signal d'arrêt mais leur prise en compte aurait évité le talonnage et le risque de convergence avec le TGV circulant voie centrale. L'agent circulation n'est pas partie prenante dans le talonnage de l'aiguillage 1310a. Mais au regard de son diagnostic sur la situation, ses actions ont été inappropriées ; et son diagnostic s'est révélé erroné. Sa formation n'était pas en adéquation avec la tenue d'un emploi d'agent circulation à Antibes. Le BEA-TT formule deux recommandations sur ces thèmes. 6.2 Recommandations Recommandation R1 adressée à SNCF Mobilités Mettre en oeuvre dans les plus brefs délais sur l'ensemble du parc concerné équipé en KVB sur DMI ERTMS la suppression du bug informatique, qui conduit à l'extinction de l'écran du tableau de bord. Recommandation R2 adressée à SNCF Réseau Mettre en oeuvre immédiatement pour les agents mutés de SNCF Mobilités vers SNCF Réseau et devant prendre un emploi d'agent circulation un module complet de formation « Agent Circulation Double Voie ». 51 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Le système KVB Annexe 3 : Les investigations menées sur banc de test 53 Annexe 1 : Décision d'ouverture d'enquête 55 Annexe 2 : Le système KVB Les origines Suite aux accidents ferroviaires de 1985, l'autorité de tutelle des transports ferrés guidés a demandé à SNCF de trouver un dispositif permettant de renforcer la sécurité des circulations ferroviaires. Il existait alors en Suède un dispositif développé par Ericsson qui fut retenu et expérimenté. Cette expérimentation était destinée à étudier, d'une part l'adaptation du produit suédois à la réglementation française et, d'autre part l'implantation sur l'ensemble du matériel. Suite à cette expérimentation, le marché d'équipement du système KVB sur les engins et signaux de SNCF a été signé en 1988. Les principaux rôles du système KVB Le KVB est un système de contrôle de vitesse continu des mobiles, à transmission ponctuelle d'informations. Il est employé pour améliorer la sécurité des circulations sur le RFN et est utilisé en boucle de sécurité vis-à-vis de l'agent de conduite toujours présent et responsable de ses actions. (système dit « parachute ») Ce système permet de : contrôler par défaut la vitesse maximale d'un train ; contrôler la vitesse de « fond de ligne » sur une zone donnée vis-à-vis d'un train donné ; surveiller les zones à vitesse limitée liées aux travaux de la voie et de son environnement ; surveiller en permanence la présence de la signalisation de cabine des trains circulant sur les lignes à grande vitesse ; surveiller le respect des signalisations d'arrêt ; assurer des automatismes divers (changement automatique de canal radio sur LGV par exemple). Le matériel du système KVB Le système utilise : au sol : des balises fixées sur les traverses, dans l'axe de la voie, et, si nécessaire, les codeurs pour réaliser l'interface entre le signal ou les indications de limitations de vitesse et les balises. L'équipement sol transmet de manière ponctuelle les informations en provenance de l'infrastructure ; à bord du véhicule : un tiroir électronique, une interface homme-machine et une antenne. Cet équipement capte et décode les informations provenant de l'équipement sol, analyse le comportement du mobile, provoque l'arrêt automatique de ce dernier en cas de situation jugée dangereuse et informe l'agent de conduite. 57 Le contrôle de vitesse La vitesse maximale contrôlée est : soit la vitesse maximale du train ; soit l'une des vitesses limites données par la voie, en cas de limitation de vitesse, permanente ou temporaire (chantier de voie, par exemple). Pour une séquence de contrôle de vitesse classique, dans le cas de la signalisation d'espacement, les balises du signal, présentant une information d'avertissement, transmettent une distance but et une vitesse but. La courbe de contrôle est illustrée dans la figure ci-dessous : Le principe reste le même dans le cas d'une limite de vitesse permanente ou temporaire. En fonction des données transmises par l'équipement au sol et par le train lui-même, le calculateur embarqué établit les courbes de vitesse autorisée et les compare à la vitesse réelle. Lorsque la vitesse atteint une valeur telle qu'elle ne peut être maintenue sans constituer un danger, l'équipement KVB embarqué : émet un signal sonore destiné à alerter le conducteur dans le cas où les conditions de circulation lui permettent de ramener la vitesse à une valeur convenable ; déclenche les opérations d'arrêt automatique (freinage d'urgence), dans le cas contraire. Sources : « KVB Le système français de contrôle de vitesse à balises », RGCF, décembre 2000 « Notice Système KVB (Contrôle Vitesse par Balise) », TT 457, Édition du 31/12/2001 « Les équipements qui concourent à la sécurité des circulations sur le matériel moteur », SPTM, MTZS -HIS-sig3-Vers 1.0, 2002 « Revue technique GEC ALSTHOM n°1 », 1990 58 Annexe 3 : Les investigations menées sur banc de test Des investigations approfondies ont été menées sur banc de test afin de comprendre la panne et la reproduire. Investigations réalisées sur banc de formation au Technicentre Industriel SNCF Mobilités d'Hellemmes L'objectif est de reproduire les enchaînements du 26 décembre 2016 et la situation de la rame Z55685. Les équipements (éléments du KVB, DMI et antenne) utilisés ne sont pas ceux de la rame Z55685, mais identiques. création d'un défaut de communication entre le DMI et les éléments de l'EVC, en cabine arrière (cabine qui aurait servi pour le TER n° 86036) : réveil de l'écran et apparition du message « perte de connexion à l'EVC » ; attente de 2 h 40 min avant mise en service de la cabine de conduite, correspondant au temps de circulation du TER n° 86033 pour aller de Cannes à Ventimiglia et confirmé par les enregistrements ; mise en service de la cabine de conduite : les équipements KVB se déclarent hors service ; attente d'une durée supérieure à une heure : le message « perte de connexion à l'EVC » reste présenté. Investigations réalisées sur les éléments de la rame Z55685 L'objectif est de constater le fonctionnement des éléments en service sur le train TER n° 86036 du 26 décembre 2016. À la première mise sous tension du seul DMI, ce dernier commence son initialisation (apparition de la mire Alstom durant deux secondes), puis se bloque sur un écran éteint : absence de l'indicateur de vitesse et des éléments KVB, niveau et boutons ; le code « erreur 14 » est généré dans le fichier télédiagnostic. Après plusieurs tentatives de relance, le DMI reste bloqué sur un écran noir et le message d'erreur « code 14 » est généré dans le fichier télédiagnostic, ce fichier n'étant exploité qu'en centre de maintenance. Dans un second temps, le DMI est intégré dans le banc de formation où il se trouve relié aux constituants du système KVB, tiroirs de l'électronique et antenne, ainsi qu'avec la cabine de conduite qui a été activée. La mise sous tension aboutit au même résultat que précédemment : écran noir et erreur « code 14 ». Puis deux minutes après, c'est l'électronique du KVB qui se déclare hors service. Puis la même expérience que précédemment est tentée, mais avec la cabine de conduite inactivée à la mise sous tension : le DMI se bloque sur un écran noir avec le message d'erreur « code 14 » ; l'électronique du KVB ne se déclare pas hors service. Lors de l'activation de la cabine de conduite 3 min 50 s après la mise sous tension, soit 1 min 40 s après la fin de l'initialisation du DMI, l'électronique du KVB se déclare hors service. Ce dernier cas est la situation la plus vraisemblable de ce qui s'est passé le 26 décembre 2016 : les systèmes KVB opèrent un redémarrage automatique alors que la cabine de conduite qui servira pour le TER n° 86036 est inactive, la rame Z55685 servant alors pour le TER n° 86033 ; le système tombera hors service à Ventimiglia lors de la mise en service pour le TER n° 86036. 59 Ensuite les défauts du système KVB ont été effacés, sans incidence sur les défauts du DMI. Lors de la relance du système, le DMI affiche l'indicateur de vitesse ainsi que les informations et les boutons du KVB. Des essais complémentaires permettront de conclure que le système est de nouveau opérationnel. 60 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  (ATTENTION: OPTION mploi d'agent circulation un module complet de formation « Agent Circulation Double Voie ». 51 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Le système KVB Annexe 3 : Les investigations menées sur banc de test 53 Annexe 1 : Décision d'ouverture d'enquête 55 Annexe 2 : Le système KVB Les origines Suite aux accidents ferroviaires de 1985, l'autorité de tutelle des transports ferrés guidés a demandé à SNCF de trouver un dispositif permettant de renforcer la sécurité des circulations ferroviaires. Il existait alors en Suède un dispositif développé par Ericsson qui fut retenu et expérimenté. Cette expérimentation était destinée à étudier, d'une part l'adaptation du produit suédois à la réglementation française et, d'autre part l'implantation sur l'ensemble du matériel. Suite à cette expérimentation, le marché d'équipement du système KVB sur les engins et signaux de SNCF a été signé en 1988. Les principaux rôles du système KVB Le KVB est un système de contrôle de vitesse continu des mobiles, à transmission ponctuelle d'informations. Il est employé pour améliorer la sécurité des circulations sur le RFN et est utilisé en boucle de sécurité vis-à-vis de l'agent de conduite toujours présent et responsable de ses actions. (système dit « parachute ») Ce système permet de : contrôler par défaut la vitesse maximale d'un train ; contrôler la vitesse de « fond de ligne » sur une zone donnée vis-à-vis d'un train donné ; surveiller les zones à vitesse limitée liées aux travaux de la voie et de son environnement ; surveiller en permanence la présence de la signalisation de cabine des trains circulant sur les lignes à grande vitesse ; surveiller le respect des signalisations d'arrêt ; assurer des automatismes divers (changement automatique de canal radio sur LGV par exemple). Le matériel du système KVB Le système utilise : au sol : des balises fixées sur les traverses, dans l'axe de la voie, et, si nécessaire, les codeurs pour réaliser l'interface entre le signal ou les indications de limitations de vitesse et les balises. L'équipement sol transmet de manière ponctuelle les informations en provenance de l'infrastructure ; à bord du véhicule : un tiroir électronique, une interface homme-machine et une antenne. Cet équipement capte et décode les informations provenant de l'équipement sol, analyse le comportement du mobile, provoque l'arrêt automatique de ce dernier en cas de situation jugée dangereuse et informe l'agent de conduite. 57 Le contrôle de vitesse La vitesse maximale contrôlée est : soit la vitesse maximale du train ; soit l'une des vitesses limites données par la voie, en cas de limitation de vitesse, permanente ou temporaire (chantier de voie, par exemple). Pour une séquence de contrôle de vitesse classique, dans le cas de la signalisation d'espacement, les balises du signal, présentant une information d'avertissement, transmettent une distance but et une vitesse but. La courbe de contrôle est illustrée dans la figure ci-dessous : Le principe reste le même dans le cas d'une limite de vitesse permanente ou temporaire. En fonction des données transmises par l'équipement au sol et par le train lui-même, le calculateur embarqué établit les courbes de vitesse autorisée et les compare à la vitesse réelle. Lorsque la vitesse atteint une valeur telle qu'elle ne peut être maintenue sans constituer un danger, l'équipement KVB embarqué : émet un signal sonore destiné à alerter le conducteur dans le cas où les conditions de circulation lui permettent de ramener la vitesse à une valeur convenable ; déclenche les opérations d'arrêt automatique (freinage d'urgence), dans le cas contraire. Sources : « KVB Le système français de contrôle de vitesse à balises », RGCF, décembre 2000 « Notice Système KVB (Contrôle Vitesse par Balise) », TT 457, Édition du 31/12/2001 « Les équipements qui concourent à la sécurité des circulations sur le matériel moteur », SPTM, MTZS -HIS-sig3-Vers 1.0, 2002 « Revue technique GEC ALSTHOM n°1 », 1990 58 Annexe 3 : Les investigations menées sur banc de test Des investigations approfondies ont été menées sur banc de test afin de comprendre la panne et la reproduire. Investigations réalisées sur banc de formation au Technicentre Industriel SNCF Mobilités d'Hellemmes L'objectif est de reproduire les enchaînements du 26 décembre 2016 et la situation de la rame Z55685. Les équipements (éléments du KVB, DMI et antenne) utilisés ne sont pas ceux de la rame Z55685, mais identiques. création d'un défaut de communication entre le DMI et les éléments de l'EVC, en cabine arrière (cabine qui aurait servi pour le TER n° 86036) : réveil de l'écran et apparition du message « perte de connexion à l'EVC » ; attente de 2 h 40 min avant mise en service de la cabine de conduite, correspondant au temps de circulation du TER n° 86033 pour aller de Cannes à Ventimiglia et confirmé par les enregistrements ; mise en service de la cabine de conduite : les équipements KVB se déclarent hors service ; attente d'une durée supérieure à une heure : le message « perte de connexion à l'EVC » reste présenté. Investigations réalisées sur les éléments de la rame Z55685 L'objectif est de constater le fonctionnement des éléments en service sur le train TER n° 86036 du 26 décembre 2016. À la première mise sous tension du seul DMI, ce dernier commence son initialisation (apparition de la mire Alstom durant deux secondes), puis se bloque sur un écran éteint : absence de l'indicateur de vitesse et des éléments KVB, niveau et boutons ; le code « erreur 14 » est généré dans le fichier télédiagnostic. Après plusieurs tentatives de relance, le DMI reste bloqué sur un écran noir et le message d'erreur « code 14 » est généré dans le fichier télédiagnostic, ce fichier n'étant exploité qu'en centre de maintenance. Dans un second temps, le DMI est intégré dans le banc de formation où il se trouve relié aux constituants du système KVB, tiroirs de l'électronique et antenne, ainsi qu'avec la cabine de conduite qui a été activée. La mise sous tension aboutit au même résultat que précédemment : écran noir et erreur « code 14 ». Puis deux minutes après, c'est l'électronique du KVB qui se déclare hors service. Puis la même expérience que précédemment est tentée, mais avec la cabine de conduite inactivée à la mise sous tension : le DMI se bloque sur un écran noir avec le message d'erreur « code 14 » ; l'électronique du KVB ne se déclare pas hors service. Lors de l'activation de la cabine de conduite 3 min 50 s après la mise sous tension, soit 1 min 40 s après la fin de l'initialisation du DMI, l'électronique du KVB se déclare hors service. Ce dernier cas est la situation la plus vraisemblable de ce qui s'est passé le 26 décembre 2016 : les systèmes KVB opèrent un redémarrage automatique alors que la cabine de conduite qui servira pour le TER n° 86036 est inactive, la rame Z55685 servant alors pour le TER n° 86033 ; le système tombera hors service à Ventimiglia lors de la mise en service pour le TER n° 86036. 59 Ensuite les défauts du système KVB ont été effacés, sans incidence sur les défauts du DMI. Lors de la relance du système, le DMI affiche l'indicateur de vitesse ainsi que les informations et les boutons du KVB. Des essais complémentaires permettront de conclure que le système est de nouveau opérationnel. 60 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  INVALIDE) (ATTENTION: OPTION stigations menées sur banc de test 53 Annexe 1 : Décision d'ouverture d'enquête 55 Annexe 2 : Le système KVB Les origines Suite aux accidents ferroviaires de 1985, l'autorité de tutelle des transports ferrés guidés a demandé à SNCF de trouver un dispositif permettant de renforcer la sécurité des circulations ferroviaires. Il existait alors en Suède un dispositif développé par Ericsson qui fut retenu et expérimenté. Cette expérimentation était destinée à étudier, d'une part l'adaptation du produit suédois à la réglementation française et, d'autre part l'implantation sur l'ensemble du matériel. Suite à cette expérimentation, le marché d'équipement du système KVB sur les engins et signaux de SNCF a été signé en 1988. Les principaux rôles du système KVB Le KVB est un système de contrôle de vitesse continu des mobiles, à transmission ponctuelle d'informations. Il est employé pour améliorer la sécurité des circulations sur le RFN et est utilisé en boucle de sécurité vis-à-vis de l'agent de conduite toujours présent et responsable de ses actions. (système dit « parachute ») Ce système permet de : contrôler par défaut la vitesse maximale d'un train ; contrôler la vitesse de « fond de ligne » sur une zone donnée vis-à-vis d'un train donné ; surveiller les zones à vitesse limitée liées aux travaux de la voie et de son environnement ; surveiller en permanence la présence de la signalisation de cabine des trains circulant sur les lignes à grande vitesse ; surveiller le respect des signalisations d'arrêt ; assurer des automatismes divers (changement automatique de canal radio sur LGV par exemple). Le matériel du système KVB Le système utilise : au sol : des balises fixées sur les traverses, dans l'axe de la voie, et, si nécessaire, les codeurs pour réaliser l'interface entre le signal ou les indications de limitations de vitesse et les balises. L'équipement sol transmet de manière ponctuelle les informations en provenance de l'infrastructure ; à bord du véhicule : un tiroir électronique, une interface homme-machine et une antenne. Cet équipement capte et décode les informations provenant de l'équipement sol, analyse le comportement du mobile, provoque l'arrêt automatique de ce dernier en cas de situation jugée dangereuse et informe l'agent de conduite. 57 Le contrôle de vitesse La vitesse maximale contrôlée est : soit la vitesse maximale du train ; soit l'une des vitesses limites données par la voie, en cas de limitation de vitesse, permanente ou temporaire (chantier de voie, par exemple). Pour une séquence de contrôle de vitesse classique, dans le cas de la signalisation d'espacement, les balises du signal, présentant une information d'avertissement, transmettent une distance but et une vitesse but. La courbe de contrôle est illustrée dans la figure ci-dessous : Le principe reste le même dans le cas d'une limite de vitesse permanente ou temporaire. En fonction des données transmises par l'équipement au sol et par le train lui-même, le calculateur embarqué établit les courbes de vitesse autorisée et les compare à la vitesse réelle. Lorsque la vitesse atteint une valeur telle qu'elle ne peut être maintenue sans constituer un danger, l'équipement KVB embarqué : émet un signal sonore destiné à alerter le conducteur dans le cas où les conditions de circulation lui permettent de ramener la vitesse à une valeur convenable ; déclenche les opérations d'arrêt automatique (freinage d'urgence), dans le cas contraire. Sources : « KVB Le système français de contrôle de vitesse à balises », RGCF, décembre 2000 « Notice Système KVB (Contrôle Vitesse par Balise) », TT 457, Édition du 31/12/2001 « Les équipements qui concourent à la sécurité des circulations sur le matériel moteur », SPTM, MTZS -HIS-sig3-Vers 1.0, 2002 « Revue technique GEC ALSTHOM n°1 », 1990 58 Annexe 3 : Les investigations menées sur banc de test Des investigations approfondies ont été menées sur banc de test afin de comprendre la panne et la reproduire. Investigations réalisées sur banc de formation au Technicentre Industriel SNCF Mobilités d'Hellemmes L'objectif est de reproduire les enchaînements du 26 décembre 2016 et la situation de la rame Z55685. Les équipements (éléments du KVB, DMI et antenne) utilisés ne sont pas ceux de la rame Z55685, mais identiques. création d'un défaut de communication entre le DMI et les éléments de l'EVC, en cabine arrière (cabine qui aurait servi pour le TER n° 86036) : réveil de l'écran et apparition du message « perte de connexion à l'EVC » ; attente de 2 h 40 min avant mise en service de la cabine de conduite, correspondant au temps de circulation du TER n° 86033 pour aller de Cannes à Ventimiglia et confirmé par les enregistrements ; mise en service de la cabine de conduite : les équipements KVB se déclarent hors service ; attente d'une durée supérieure à une heure : le message « perte de connexion à l'EVC » reste présenté. Investigations réalisées sur les éléments de la rame Z55685 L'objectif est de constater le fonctionnement des éléments en service sur le train TER n° 86036 du 26 décembre 2016. À la première mise sous tension du seul DMI, ce dernier commence son initialisation (apparition de la mire Alstom durant deux secondes), puis se bloque sur un écran éteint : absence de l'indicateur de vitesse et des éléments KVB, niveau et boutons ; le code « erreur 14 » est généré dans le fichier télédiagnostic. Après plusieurs tentatives de relance, le DMI reste bloqué sur un écran noir et le message d'erreur « code 14 » est généré dans le fichier télédiagnostic, ce fichier n'étant exploité qu'en centre de maintenance. Dans un second temps, le DMI est intégré dans le banc de formation où il se trouve relié aux constituants du système KVB, tiroirs de l'électronique et antenne, ainsi qu'avec la cabine de conduite qui a été activée. La mise sous tension aboutit au même résultat que précédemment : écran noir et erreur « code 14 ». Puis deux minutes après, c'est l'électronique du KVB qui se déclare hors service. Puis la même expérience que précédemment est tentée, mais avec la cabine de conduite inactivée à la mise sous tension : le DMI se bloque sur un écran noir avec le message d'erreur « code 14 » ; l'électronique du KVB ne se déclare pas hors service. Lors de l'activation de la cabine de conduite 3 min 50 s après la mise sous tension, soit 1 min 40 s après la fin de l'initialisation du DMI, l'électronique du KVB se déclare hors service. Ce dernier cas est la situation la plus vraisemblable de ce qui s'est passé le 26 décembre 2016 : les systèmes KVB opèrent un redémarrage automatique alors que la cabine de conduite qui servira pour le TER n° 86036 est inactive, la rame Z55685 servant alors pour le TER n° 86033 ; le système tombera hors service à Ventimiglia lors de la mise en service pour le TER n° 86036. 59 Ensuite les défauts du système KVB ont été effacés, sans incidence sur les défauts du DMI. Lors de la relance du système, le DMI affiche l'indicateur de vitesse ainsi que les informations et les boutons du KVB. Des essais complémentaires permettront de conclure que le système est de nouveau opérationnel. 60 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  INVALIDE)