Auteur moral

France. Bureau d'enquêtes sur les accidents de transport terrestre

Auteur secondaire

Résumé

Ce rapport du BEA-TT concerne l'arrêt inopiné du téléphérique Panoramic Mont-Blanc situé sur le territoire de la commune de Chamonix dans le massif du Mont-Blanc, le 8 septembre 2016. L'arrêt a immobilisé 110 passagers. Le BEA-TT émet cinq recommandations.

Editeur

BEA-TT

Descripteur Urbamet

accident ;sécurité ;TELEPHERIQUE

Descripteur écoplanete

évacuation des victimes

Thème

Transports

Texte intégral

RAPPORT D'ENQUÊTE TECHNIQUE Août 2018 sur l'immobilisation et l'évacuation tardive du téléphérique (Panoramic Mont-Blanc( survenues le 8 septembre 2016 à Chamonix (74) Ministère de la Transition écologique et solidaire www.ecologique-solidaire.gouv.fr Bureau d'Enquêtes sur les Accidents de Transport Terrestre Affaire n° BEATT-2016-007 Rapport d'enquête technique sur l'immobilisation et l'évacuation tardive du téléphérique « Panoramic Mont-Blanc » survenues le 8 septembre 2016 à Chamonix (74) Bordereau documentaire Organisme commanditaire : Ministère de la Transition écologique et solidaire (MTES) Organisme auteur : Bureau d'Enquêtes sur les Accidents de Transport Terrestre (BEA-TT) Titre du document : Rapport d'enquête technique sur l'immobilisation et l'évacuation tardive du téléphérique « Panoramic Mont-Blanc » survenues le 8 septembre 2016 à Chamonix (74) N° ISRN : EQ-BEAT--18-06--FR Proposition de mots-clés : téléphérique, immobilisation, évacuation, récupération intégrée, croisement de câbles Avertissement L'enquête technique faisant l'objet du présent rapport est réalisée dans le cadre des articles L. 342-8 du Code du tourisme et L. 1621-1 à L. 1622-2 du Code des transports relatifs, notamment, aux enquêtes techniques après accident ou incident de transport terrestre. Cette enquête a pour seul objet de prévenir de futurs accidents, en déterminant les circonstances et les causes de l'événement analysé et en établissant les recommandations de sécurité utiles. Elle ne vise pas à déterminer des responsabilités. En conséquence, l'utilisation de ce rapport à d'autres fins que la prévention pourrait conduire à des interprétations erronées. SOMMAIRE GLOSSAIRE...................................................................................................................................9 RÉSUMÉ.......................................................................................................................................11 1 - CONSTATS IMMÉDIATS ET ENGAGEMENT DE L'ENQUÊTE............................................13 1.1 - L'évènement.....................................................................................................................13 1.2 - Le bilan de l'évènement...................................................................................................14 1.3 - Les mesures prises après l'évènement...........................................................................14 1.4 - L'engagement et l'organisation de l'enquête...................................................................15 2 - CONTEXTE DE L'ACCIDENT................................................................................................17 2.1 - La société d'exploitation du téléphérique.........................................................................17 2.2 - Le Panoramic Mont-Blanc................................................................................................17 2.3 - Les caractéristiques techniques générales......................................................................18 2.4 - Les modes d'exploitation et la motorisation.....................................................................21 2.5 - La régulation automatique de la vitesse sur la ligne........................................................22 2.6 - Les cabines de transport de passagers...........................................................................23 2.7 - La problématique de croisement des câbles...................................................................24 2.8 - L'évacuation des passagers en cas d'incident.................................................................26 3 - COMPTE RENDU DES CONSTATS IMMÉDIATS.................................................................27 3.1 - Les résumés des déclarations et des témoignages........................................................27 3.1.1 -Le conducteur présent à la gare de l'Aiguille du Midi............................................................................27 3.1.2 -Les agents présents à la gare de la Pointe Helbronner........................................................................27 3.1.3 -L'un des agents présents à la station du Rognon.................................................................................28 3.1.4 -Le chef d'exploitation............................................................................................................................ 28 3.1.5 -Un passager ayant passé la nuit dans les cabines...............................................................................29 3.1.6 -Un autre passager ayant passé la nuit dans les cabines......................................................................29 3.2 - Les conditions météorologiques......................................................................................30 3.3 - Les données enregistrées par l'automate lors de l'arrêt initial........................................30 3.4 - La chronologie des évènements......................................................................................31 4 - COMPTE RENDU DES INVESTIGATIONS EFFECTUÉES..................................................33 4.1 - Les investigations sur l'arrêt de sécurité initial................................................................33 4.1.1 -Le réglage de l'installation effectué la veille..........................................................................................33 4.1.2 -La reconstitution du 20 septembre 2016...............................................................................................34 4.1.3 -L'évaluation des effets dynamiques liés aux oscillations du câble tracteur...........................................35 4.1.4 -Les exigences sur les valeurs encadrantes de l'accélération...............................................................36 4.1.5 -Le cadre réglementaire de traitement des modifications de l'installation..............................................36 4.1.6 -Les exigences nouvelles demandées pour l'encadrement des modifications.......................................37 4.1.7 -Les réglages arrêtés postérieurement à l'évènement...........................................................................37 4.2 - Les investigations sur le croisement des câbles..............................................................38 4.2.1 -Le phénomène de croisement des câbles............................................................................................ 38 4.2.2 -La problématique physique du croisement des câbles.........................................................................39 4.2.3 -Les essais dynamiques sur le freinage de sécurité..............................................................................41 4.2.4 -L'historique des incidents d'exploitation................................................................................................42 4.2.5 -Les exigences nouvelles demandées sur les croisements de câbles...................................................43 4.3 - Les investigations sur le décroisement des câbles.........................................................45 4.3.1 -La procédure de décroisement............................................................................................................. 45 4.3.2 -La défaillance du moteur hydraulique de sauvetage.............................................................................46 4.3.3 -La réparation du flexible hydraulique du moteur de sauvetage............................................................48 4.3.4 -Le déraillement de cabine suite au décroisement.................................................................................48 4.3.5 -Les exigences nouvelles demandées sur le décroisement des câbles.................................................50 4.4 - Les investigations sur la récupération intégrée...............................................................51 4.4.1 -L'étude de sécurité de récupération intégrée........................................................................................51 4.4.2 -L'étude de sécurité post 8 septembre 2016.......................................................................................... 51 4.5 - Les investigations sur l'évacuation..................................................................................52 4.5.1 -Le plan d'évacuation............................................................................................................................. 52 4.5.2 -Les scénarios de récupération de l'installation et leurs durées.............................................................53 4.5.3 -Les risques physiologiques d'une immobilisation prolongée................................................................55 4.5.4 -Les moyens d'assistance aux passagers.............................................................................................55 4.5.5 -La préparation des services de secours et la gestion de crise.............................................................56 5 - RESTITUTION DU DÉROULEMENT DE L'ÉVÈNEMENT ET DES SECOURS...................59 6 - ANALYSE DES CAUSES ET FACTEURS ASSOCIÉS, ORIENTATIONS PRÉVENTIVES. .61 6.1 - L'arbre des causes...........................................................................................................61 6.2 - Les causes de l'évènement.............................................................................................62 6.3 - La sensibilité de l'installation aux effets dynamiques......................................................63 6.4 - La vérification de l'aptitude au décroisement...................................................................67 6.5 - Le principe d'évacuation par récupération intégrée.........................................................67 6.6 - Les moyens d'assistance et de secours en cas d'immobilisation prolongée..................68 6.7 - La rigueur de l'exploitation en faveur du maintien d'un haut niveau de sécurité.............69 7 - CONCLUSIONS ET RECOMMANDATIONS.........................................................................71 7.1 - Conclusions......................................................................................................................71 7.2 - Recommandations...........................................................................................................71 ANNEXES.....................................................................................................................................73 Annexe 1 : Décision d'ouverture d'enquête.............................................................................75 Annexe 2 : Relevé chronologique et détaillé des évènements................................................76 Annexe 3 : Données sur les incidents d'exploitation................................................................80 Glossaire CCTP : Cahier des Clauses Techniques Particulières d'un marché de travaux à l'entreprise CMB : Compagnie du Mont-Blanc DCSA : Société d'ingénierie de transports par câbles DZ : Drop Zone ou zone d'atterrissage pour un hélicoptère HYDRO-TS : entreprise spécialisée dans le matériel hydraulique, sous-traitante de POMA. NOVI : Plan d'urgence « NOmbreuses VIctimes » PGHM : Peloton de Gendarmerie de Haute Montagne PMB : Téléphérique Panoramic Mont-Blanc POMA : Société de fabrication et de construction de téléportés RM 1 / RM 2 : Guides techniques des Remontées Mécaniques édités par le STRMTG SEMER : Société d'ingénierie et de réalisation d'équipements électriques et d'automatismes industriels STRMTG : Service Technique des Remontées Mécaniques et des Transports Guidés TAM : Téléphérique de l'Aiguille du Midi 9 Résumé L'évènement concerne le téléphérique Panoramic Mont-Blanc situé sur le territoire de la commune de Chamonix dans le massif du Mont-Blanc. Le jeudi 8 septembre 2016, à 15 h 20, à la suite d'un arrêt inopiné de l'appareil, des oscillations de la ligne se produisent et conduisent à un emmêlement du câble tracteur avec le câble porteur en trois endroits de la ligne. Une procédure de « décroisement » des câbles est alors engagée. La casse subite d'un élément de moteur va l'interrompre et empêcher de la mener à terme. À 17 h 20 le téléphérique est toujours immobilisé avec 110 passagers en ligne. Toutes les chances de redémarrage semblent épuisées. Il est alors décidé une évacuation par hélitreuillage. 54 personnes seront secourues jusqu'à 20 h 50, heure de la tombée de la nuit. 24 autres personnes seront encore secourues avant 22 h 30, mais par sauvetage vertical et marche sur le glacier. 32 passagers resteront dans les cabines toute la nuit. Durant la nuit, la panne de moteur est réparée. Une nouvelle tentative de décroisement est effectuée à 7 h 15, avec succès. Elle occasionne toutefois un nouvel incident : le déraillement d'une cabine vide du câble porteur. Le rapatriement des derniers passagers s'effectue à basse vitesse et s'achève à 8 h 50. Ils auront été bloqués en ligne pendant 17 h 30 min. Le fait initiateur de l'immobilisation prolongée de la télécabine est le déclenchement d'une sécurité, qui aurait théoriquement eu vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du réglage de l'installation effectuée la veille. Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes de l'immobilisation prolongée et de ses répercussions ont été : la sensibilité de l'appareil aux oscillations du câble tracteur qui a conduit à plusieurs croisements avec le câble porteur et à l'immobilisation ; la casse, lors d'une tentative de décroisement, d'un flexible mal serti, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été vérifiée ; l'omission de dispositifs palliant certains risques d'immobilisation, du fait d'une étude de sécurité incomplète ; la surestimation, avant l'évènement, de la capacité de résistance des passagers en milieu hostile, sur une longue durée, et la sous-estimation de l'assistance qui leur était nécessaire ; le manque de rigueur de l'exploitation pour assurer un haut niveau de sécurité de l'installation. 11 Le BEA-TT émet cinq recommandations et une invitation dans les domaines suivants : la connaissance des effets dynamiques sur le Panoramic Mont-Blanc ; la sécurité des cabines au déraillement ; la rigueur de l'exploitation pour le maintien d'un haut niveau de sécurité ; la consistance des essais probatoires concernant plus généralement les installations sensibles aux effets dynamiques ; la qualité des études de sécurité des téléphériques à évacuation intégrée ; la vigilance du service de contrôle de la sécurité des téléphériques. 12 1 - Constats immédiats et engagement de l'enquête 1.1 L'évènement L'évènement concerne le téléphérique Panoramic Mont-Blanc situé sur le massif du Mont-Blanc. Le jeudi 8 septembre 2016, le temps est clair et la fréquentation de l'installation touristique est importante. À 15 h 20, dans une phase d'accélération de l'appareil, alors que des cabines sortaient de gare, un arrêt d'urgence se déclenche. L'appareil s'immobilise, mais la très grande souplesse des câbles provoque d'importantes oscillations. Un emmêlement du câble tracteur sur le câble porteur se produit en trois endroits de la ligne. Une procédure de « décroisement » des câbles est alors engagée. La casse subite d'un élément du moteur de sauvetage va l'interrompre et empêcher de la mener à terme. À 17 h 20 le téléphérique est toujours immobilisé avec 110 passagers en ligne. Toutes les chances de redémarrage semblent épuisées. L'exploitant alerte alors le peloton de gendarmerie de haute montagne (PGHM) de Chamonix, qui décide d'une évacuation par hélitreuillage, sous la direction du préfet de Haute-Savoie qui se rend sur les lieux. Quatre hélicoptères sont mobilisés. 54 personnes seront secourues jusqu'à 20 h 50, heure de la tombée de la nuit. 24 autres personnes seront encore secourues avant 22 h 30, par sauvetage vertical et marche sur le glacier. Trois gendarmes seront acheminés alors vers les cabines non évacuées et assisteront les 32 passagers qui resteront en cabine toute la nuit. Figure 1 : l'un des hélicoptères du PGHM vu d'une cabine lors de l'évacuation Durant la nuit, l'installateur de la machinerie, qui a proposé son soutien à l'exploitant, parvient à réparer la panne du moteur de secours. Une nouvelle tentative de décroisement est effectuée à 7 h 15, avec succès. Elle occasionne cependant un nouvel incident de déraillement d'une cabine vide du câble porteur. Le rapatriement des derniers passagers s'effectue à basse vitesse et s'achève à 8 h 50. Ces derniers auront été bloqués en ligne pendant 17 h 30 min. 13 1.2 - Le bilan de l'évènement 110 personnes ont été touchées par l'arrêt de l'appareil. 54 ont été secourues dans un délai inférieur à 5 h 30 min, 24 dans un délai de 7 h 10 min et 32 dans un délai de 17 h 30 min. Il y avait deux enfants, de 10 et 12 ans, parmi les 32 passagers qui sont restés la nuit. L'un a été conduit chez le médecin et est sorti avec un diagnostic rassurant. Une personne âgée est rentrée à l'hôpital pour des problèmes d'ordre urinaire et en est ressortie le jour même sans séquelle. Toutes les autres personnes sont restées en bonne santé et n'auront eu à subir que le désagrément, l'émotion voire l'énervement de leur longue attente. Les retombées médiatiques ont été conséquentes. L'opération de sauvetage a mobilisé 35 secouristes du PGHM, 10 secouristes italiens, 25 employés de l'exploitant, 3 techniciens de l'installateur de la machinerie, 4 hélicoptères avec leur équipage, 10 employés du téléphérique « Skyway » sur le versant italien, et 3 médecins. Le seul dommage au matériel est la casse du flexible à l'origine de la panne. Les anomalies techniques qui se sont produites, à savoir le croisement des câbles, la panne de motorisation et le déraillement de cabine, n'ont pas provoqué d'autre dégradation. Figure 2 : le site du Panoramic Mont-Blanc 1.3 - Les mesures prises après l'évènement À la suite de l'évènement, le préfet de Haute-Savoie a rendu un arrêté, en date du 13 septembre 2016, suspendant l'exploitation de l'installation. L'exploitant, ses prestataires, et le service du contrôle technique de l'État (STRMTG *) ont mené leurs investigations et conclu à la nécessité de mettre en place plusieurs mesures correctives concernant les conditions d'exploitation et les conditions de sauvetage en cas d'incident. L'une des mesures est l'établissement d'un plan d'intervention du PGHM de Chamonix. * Terme figurant dans le glossaire 14 Au vu de l'avancement de ces mesures, par un arrêté du 26 octobre 2016, le préfet a levé la suspension de l'exploitation. Il a toutefois assorti cette décision de plusieurs réserves à lever avant la réouverture prévue pour la fin mai 2017. Ces réserves portaient sur les équipements de survie en cabine, les réglages, essais et contrôles de l'installation, et la documentation d'exploitation. Au vu du bilan de la mise en oeuvre des réserves, par un arrêté du 6 juin 2017, le préfet a approuvé la remise en exploitation. L'arrêté mentionnait trois mesures à initier, relatives à l'engagement d'études de sécurisation de certains constituants. Le téléphérique a réouvert pour la saison estivale 2017. 1.4 - L'engagement et l'organisation de l'enquête Au vu des circonstances et du contexte de l'accident, le directeur du bureau d'enquêtes sur les accidents de transport terrestre (BEA-TT) a ouvert le 9 septembre 2016 une enquête technique en application de l'article L 342-8 du code du tourisme et des articles L. 1621-2 à L. 1622-2 du code des transports. Les enquêteurs techniques du BEA-TT se sont rendus sur place. Ils ont rencontré les représentants de l'exploitant, la Compagnie du Mont-Blanc (CMB), ainsi que les agents opérationnels impliqués dans l'accident. Ils ont par ailleurs interviewé une partie des passagers des cabines évacuées. Ils ont rencontré le préfet de Haute-Savoie, le PGHM, et les sociétés DCSA, POMA et SEMER, impliquées dans les travaux sur la machinerie du téléphérique. Ils se sont entretenus téléphoniquement avec le prestataire ayant installé l'élément défaillant du moteur de secours. Ils ont enfin rencontré les experts du STRMTG en charge du contrôle de l'exploitation. Ils ont eu communication de l'ensemble des pièces et documents nécessaires à l'enquête. 15 2 - Contexte de l'accident 2.1 La société d'exploitation du téléphérique L'exploitant du Panoramic Mont-Blanc est la Compagnie du Mont-Blanc (CMB), société anonyme cotée en bourse. Elle opère dans la vallée de Chamonix en Haute-Savoie. Elle gère, dans le cadre de délégations de service public, 3 domaines skiables et 3 sites d'excursion touristique de haute altitude. Son parc de remontées comprend 2 trains à crémaillère, 1 funiculaire, 7 téléphériques, 7 télécabines, 14 télésièges et 8 téléskis. La fréquentation annuelle est de 2,2 millions de visiteurs, avec 1,2 million de journées-skieur en hiver, et une activité presque aussi importante de 1 million de visiteurs en été. L'effectif de la compagnie est de 255 permanents et 215 saisonniers. Depuis décembre 2008, la Compagnie du Mont-Blanc a une triple certification, Qualité, Sécurité et Environnement, selon les exigences des normes ISO 9001, OHSAS 18001 et ISO 14001, pour l'ensemble de ses sites et activités. 2.2 - Le Panoramic Mont-Blanc Le téléphérique Panoramic Mont-Blanc (PMB) franchit le massif du Mont-Blanc, en reliant l'Aiguille du Midi, située au-dessus de Chamonix, à la Pointe Helbronner qui marque la frontière avec l'Italie. Il effectue un parcours de 5 km qui traverse la vallée Blanche et le glacier du Géant. Son altitude est en moyenne de 3 500 m. Il permet d'embarquer 72 passagers dans chaque sens. Le trajet dure à peu près 30 minutes, avec une vitesse maximale de 7 m/s. Le débit est de 150 passagers par heure et par sens. Son accès s'effectue par deux voies : sur le versant français, par le téléphérique de l'Aiguille du Midi (TAM) qui relie Chamonix (1 035 m) à l'Aiguille du Midi (3 777 m) en passant par la gare relais du Plan de l'Aiguille (2 317 m) ; sur le versant italien, par le téléphérique Skyway qui relie Pontal d'Entrèves (1 300 m) près de Courmayeur à la Pointe Helbronner (3 456 m) en passant par la gare relais du Mont Frety (2 170 m). Le tracé des trois téléphériques suit à peu près l'aplomb du tracé du tunnel routier du Mont-Blanc. Figure 3 : plan de situation 17 Mis en service en 1958, le Panoramic Mont-Blanc a plus de 60 ans. Il est aujourd'hui géré au titre de la concession d'exploitation du site de l'Aiguille du Midi, délivrée à la CMB par la commune de Chamonix, en date du 6 janvier 1989 et dont la durée a été prolongée jusqu'au 31 décembre 2028. L'autorisation d'exploitation en vigueur a été délivrée le 23 juillet 1963. Suite à des travaux portant sur une modification non substantielle 1, réalisés avant la saison 2016, le service du contrôle technique de l'État (STRMTG) a émis un avis favorable à la poursuite de l'exploitation, le 27 mai 2016, pour une durée provisoire allant jusqu'au 30 septembre 2016. 2.3 - Les caractéristiques techniques générales Le Panoramic Mont-Blanc est un téléphérique de type « bicâble pulsé ». Les cabines, soutenues par un câble porteur, sont reliées fixement à un câble tracteur qui assure leur déplacement. La vitesse d'entraînement des cabines est ralentie au passage des gares pour permettre le débarquement et l'embarquement des passagers. Les cabines font demi-tour en gare autour de la poulie de rotation du câble tracteur. Ce type de téléphérique se distingue d'une télécabine débrayable par le ralentissement de l'ensemble de la ligne à chaque passage des cabines en gare, ce qui permet sur un plan technique une plus grande simplicité. Pour optimiser les cycles de ralentissement des passages en gare, les cabines sont disposées en « train », qui sont composés de trois cabines. Il y a 12 trains de cabines sur la ligne. Chaque cabine embarque 4 passagers assis. Figure 4 : principe de fonctionnement du Panoramic Mont-Blanc Les gares d'extrémité, Aiguille du Midi et Pointe Helbronner, sont distantes de 4 969 m. Les trains de cabine sont interdistants de 825 m. En marche normale les cabines vont de l'Aiguille du Midi à la Pointe Helbronner par la voie côté nord, appelée voie « Requin ». Elles reviennent par la voie côté sud, appelée voie « Mont-Blanc ». 1 Modification substantielle : toute modification qui remet en cause de manière significative les caractéristiques principales de l'installation, l'emplacement et la nature des ouvrages ou la capacité de transport. Une modification qui n'entre pas dans cette catégorie est dite non substantielle. 18 Figure 5 : un train de cabines traversant la Vallée blanche Le passage du sommet du Gros Rognon, à environ un tiers du parcours, s'effectue au moyen d'une gare technique intermédiaire, appelée dans la suite du rapport station du Rognon : les cabines passent mais les passagers ne sont pas autorisés à descendre. Cette station permet en outre une légère déviation en plan de la ligne. Le passage du col des Flambeaux, à l'approche de la Pointe Helbronner, s'effectue par une solution originale de pylône suspendu sur câbles (voir photo en figure 7). La portée entre la station du Rognon et le pylône suspendu du col des Flambeaux est exceptionnelle pour ce type d'installation : 2 835 m. La flèche2 de cette portée atteint 300 m, ce qui est exceptionnel aussi. Le survol de la vallée s'effectue à une altitude d'environ 300 m. Figure 6 : profil en long du Panoramic Mont-Blanc Le Panoramic Mont-Blanc a fait l'objet d'une grande rénovation en 1996, notamment le remplacement des cabines. Les derniers travaux de modernisation se sont déroulés en 2015 et 2016. Ils ont eu pour vocation de rénover des constituants anciens afin de permettre un maintien de l'appareil à un bon niveau de sécurité et de disponibilité. Ils ont été effectués en deux tranches. 2 Plus grande distance entre la ligne d'une courbe incurvée et sa corde. 19 La première tranche, avant la saison 2015, a concerné la gare de l'Aiguille du Midi et la station du Rognon. Elle a porté sur le remplacement de la motorisation principale, de la motorisation de sauvetage à l'Aiguille du Midi, et de l'appareillage électrique de commande. La seconde tranche, avant la saison 2016, a concerné la gare de la Pointe Helbronner. Elle a porté sur le remplacement de l'appareillage électrique de cette gare, de la poulie de renvoi, et, de la motorisation de sauvetage (dont la puissance a été renforcée). Le câble aérien de liaison entre la gare de la Pointe Helbronner et l'Aiguille du Midi a aussi été remplacé par une liaison radio. Les autres constituants sont restés en l'état (câbles, cabines). Ces deux tranches de travaux furent réalisées par les deux entreprises POMA3 et SEMER4, en groupement, sous maîtrise d'oeuvre de la société d'ingénierie DCSA5. Figure 7 : vue du pylône suspendu du col des Flambeaux Le Panoramic Mont-Blanc a connu trois accidents mortels par le passé : le 31 août 1958, un hélicoptère télescope le câble téléphonique suspendu. Les 4 occupants de l'hélicoptère décèdent. Il n'y a pas de conséquence pour la télécabine. Le câble est aujourd'hui enlevé et remplacé par des liaisons par radio ; le 29 août 1961 : un avion de chasse en exercice a sectionné le câble tracteur entre l'Aiguille du Midi et le Rognon. Trois cabines se sont écrasées, tuant six touristes. L'évacuation des autres touristes a duré toute la nuit, pour certains avec un délai de 19 heures ; le 9 juillet 1966 : fragilisé suite à un orage, le pylône suspendu a cédé. Un train de cabines a été projeté à terre, tuant 4 personnes et en blessant 15 autres. L'évacuation a duré 7 heures. Depuis l'immobilisation du 8 septembre 2016, un autre accident, de rupture du câble porteur au niveau du pylône suspendu, s'est produit hors exploitation, le 5 janvier 2018 lors de la tempête Eleanor. 3 POMA : société de conception, de fabrication et de construction de téléportés dont le siège est à Voreppe près de Grenoble. Son nom d'origine est Pomagalski. 4 SEMER : société d'ingénierie et de réalisation d'équipements électriques et d'automatismes industriels, filiale de POMA, dont le siège est à Passy près de Chamonix. 5 DCSA : société d'ingénierie de transport à câbles basée à Grenoble et Chamonix. 20 2.4 - Les modes d'exploitation et la motorisation Le téléphérique est exploité pendant 4 mois en saison estivale, de juin à septembre, sur un horaire de 7 h 30 à 16 h (9 h 15 à 15 h 30 en septembre). L'installation est pilotée par un automate de conduite avec logiciel de sécurité, sous la surveillance d'un conducteur au pupitre de commande situé en gare de l'Aiguille du Midi. Des agents sont également présents dans la station technique du Rognon et en gare de la Pointe Helbronner. Figure 8 : vue panoramique (au grand angle) de la gare de la Pointe Helbronner Il existe trois modes de fonctionnement du téléphérique : la marche normale pour l'exploitation, avec entraînement au moyen du moteur principal électrique de 180 kW situé en gare de l'Aiguille du Midi (L0) ; la marche de secours pour le rapatriement des véhicules, avec entraînement par le moteur électrique de sauvetage situé aussi en gare de l'Aiguille du Midi (L1) ; la marche dite de « sauvetage intégré » pour le rapatriement des véhicules en cas de défaillance des motorisations de l'Aiguille du Midi, avec entraînement par le moteur hydraulique de sauvetage situé en gare de la Pointe Helbronner (L2). L'installation dispose ainsi de trois moteurs : un moteur principal en gare de l'Aiguille du Midi, un moteur de sauvetage dans cette même gare et un autre moteur de sauvetage en gare de la Pointe Helbronner. Figure 9 : vue de la poulie de retournement en gare de la Pointe Helbronner 21 À cette motorisation sont associés des freins de sécurité. Un premier frein de sécurité, dit de service ou 1er frein, est disposé sur l'arbre de transmission du moteur principal en gare de l'Aiguille du Midi. Un autre frein de sécurité, dit d'urgence ou 2e frein, est disposé directement sur la poulie d'entraînement en gare de l'Aiguille du Midi. Un 3e frein agit sur la poulie de la gare de la Pointe Helbronner et n'est utilisé que lorsque le moteur de cette gare est activé, en marche de sauvetage intégré L2. 2.5 - La régulation automatique de la vitesse sur la ligne Comme nous l'avons dit, le Panoramic Mont-Blanc est un téléphérique pulsé. Sa vitesse est maximale lorsque les cabines sont en ligne et elle s'élève à 7 m/s. En revanche sa vitesse est diminuée lorsque un train de cabine passe en gare pour permettre la montée/descente des passagers. La vitesse est alors de 0,2 m/s. La vitesse est aussi adaptée aux points singuliers de la ligne : au passage des cabines sur le pylône suspendu du col des Flambeaux, la vitesse est limitée à 5 m/s ; au passage des cabines dans la station du Rognon, la vitesse est limitée à 3 m/s. Compte tenu des distances entre gares, ce passage s'effectue de façon à peu près concomitante avec l'entrée et la sortie d'autres trains de cabine dans les gares d'extrémité. Toutes ces contraintes conduisent à réguler la vitesse des cabines tout au long de la ligne selon un profil de vitesse à paliers donné sur la figure ci-après. Figure 10 : schéma de profil de vitesse sur un cycle de passage de cabines Le profil de vitesse est préenregistré dans l'automate de commande et se dénomme la « vitesse de référence ». Il y a plusieurs contrôles qui sont faits par l'automate de sécurité pour surveiller la vitesse de l'installation. L'un d'eux porte sur l'écart entre la vitesse réelle mesurée au compteur de la télécabine et la vitesse de référence. Le défaut correspondant, qui s'est activé le 8 septembre 2016, s'appelle « écart vitesse / référence ». Il provoque un arrêt automatique d'urgence. Il pare à certaines anomalies de comportement, par exemple à une résistance anormale de la ligne à l'avancement lors de la traction du moteur. 22 2.6 - Les cabines de transport de passagers Les cabines contiennent chacune, au maximum, quatre passagers qui doivent rester assis durant le transport. Figure 11 : une cabine Chaque cabine est équipée d'un dispositif de sonorisation qui permet la diffusion de messages d'information et de sécurité. La communication s'effectue uniquement du conducteur vers les passagers. Le système ne permet pas aux passagers de contacter le conducteur. Chaque cabine contient pour la sonorisation une antenne VHF et un boîtier récepteur alimenté par une pile au lithium de longue durée, branché sur un haut-parleur. Les cabines sont équipées d'une sacoche de secours qui a pour rôle de dispenser un « kit de survie » en cas d'immobilisation prolongée. Figure 12 : le contenu de la trousse de secours placée en cabine 23 Ce kit contient, pour l'ensemble des occupants de la cabine, 2 bouteilles d'eau de 50 cl (soit une ration de 25 cl par personne), 4 barres chocolatées, 4 sachets de 40 g de bonbons et 4 couvertures de survie de taille moyenne. Ce contenu s'est avéré assez minimaliste le 8 septembre 2016. 2.7 - La problématique de croisement des câbles La distance entre deux trains de cabines est très importante : 825 m. La flèche du câble tracteur entre deux trains sur la ligne est très importante aussi. Elle est d'environ 35 m. Dans une utilisation normale du téléphérique, le câble tracteur est le siège d'importantes oscillations qui apparaissent dès la moindre variation de vitesse. Une variation de vitesse du câble tracteur s'accompagne en effet d'une variation de sa tension mécanique, et donc d'une variation des flèches sur les travées. Les oscillations peuvent avoir une amplitude de plusieurs dizaines de mètres. Elles cheminent en onde le long de la ligne. Elles se produisent en phase d'accélération, en phase de décélération, et aussi lors du passage des cabines sur les appuis. Cet effet est assez faible sur les remontées mécaniques courantes. Il ne concerne que quelques rares téléphériques ayant de très grandes portées. Ces oscillations affectent dans une moindre mesure le câble porteur. Elles peuvent provoquer des à-coups de déplacement des cabines qui sont inconfortables. Lors des oscillations verticales du câble tracteur, du fait de l'ample variation d'altitude, il arrive également, que le câble passe au-dessus du câble porteur et retombe, lorsqu'il redescend, du côté opposé à celui par lequel il s'est élevé. Il se produit alors un croisement des deux câbles porteur et tracteur. Cet évènement se produit surtout lors des fortes décélérations de certains arrêts d'urgence, par nature brutaux. Figure 13 : schématisation du résultat d'un croisement de câble 24 Figure 14 : mise en évidence en ligne du croisement de câble Lorsqu'un tel croisement se produit, les opérateurs ont pour consigne de procéder au décroisement pour retrouver le fonctionnement normal de la télécabine. Il s'agit alors de tirer le câble tracteur dans la zone où il est croisé au moyen de la poulie d'entraînement, tout en immobilisant le câble à l'autre extrémité au moyen d'une pince appelée « mordache » (voir figure ci-après). Le câble tracteur ainsi tendu, sa flèche diminue, elle devient plus faible que celle du câble porteur, et le câble peut se replacer en bonne position. Le croisement de câble peut avoir d'autres origines que l'oscillation du câble tracteur, comme un vent extrême par exemple : mais ce type de croisement ne se produit pas en situation d'exploitation. Figure 15 : pincement du câble tracteur par la mordache au Rognon 25 2.8 - L'évacuation des passagers en cas d'incident Un téléphérique est dit à « récupération intégrée » lorsque des dispositions de conception et des procédures particulières sont prévues pour assurer en exploitation et, en toute circonstance, le retour en station de tous les véhicules. Ces dispositions et ces procédures doivent être élaborées à partir d'une étude de sécurité qui identifie de façon exhaustive tous les désordres et scénarios susceptibles d'empêcher le retour en station des véhicules, et qui y remédie au moyen de solutions fiables et sûres6. À ce jour, peu d'installations recourent à cette « récupération intégrée ». Elles sont au nombre de 7 en exploitation en France. Il s'agit de remontées à très grande portée avec des hauteurs de surplomb des zones traversées de plusieurs centaines de mètres. Essentiellement récentes, elles ont été conçues pour la récupération intégrée avec un haut niveau de sécurité et de disponibilité. Malgré son ancienneté, le Panoramic Mont-Blanc est classé comme tel. Son évacuation n'est donc pas prévue d'être organisée par le recours à la descente en vertical ou à l'hélitreuillage comme cela se fait sur les remontées mécaniques en général. Ici, le sauvetage sera obtenu au prix d'un accroissement des possibilités et scénarios de secours de l'installation pour absolument ramener les cabines dans les gares. 6 Ce descriptif de la récupération intégrée est donné au préambule de la partie B du guide technique RM 1 du STRMTG sur « l'exploitation, la modification et la maintenance des téléphériques » 26 3 - Compte rendu des constats immédiats 3.1 Les résumés des déclarations et des témoignages Les résumés présentés ci-dessous sont établis par les enquêteurs techniques sur la base des déclarations, orales ou écrites, dont ils ont eu connaissance. Ils ne retiennent que les éléments qui paraissent utiles pour éclairer la compréhension et l'analyse des évènements et pour formuler des recommandations. Il peut exister des divergences entre les différents témoignages recueillis ou avec les constats ou les analyses présentés par ailleurs. 3.1.1 - Le conducteur présent à la gare de l'Aiguille du Midi Deux agents étaient présents à la gare de l'Aiguille du Midi au début des évènements. Le BEA-TT a entendu le conducteur. Il a 5 ans d'ancienneté sur ce poste. La machinerie et le pupitre de commande ont été changés en 2015, il a été formé avant leur mise en service et a en outre participé aux essais de réception. Le 8 septembre, il a ouvert l'installation aux voyageurs à 9 h 15. Vers 15 h 20, le défaut « écart vitesse / référence » (cf § 2.5) déclenche un arrêt d'urgence, qui occasionne trois croisements de câbles, deux entre l'Aiguille du Midi et le Rognon, le dernier entre le Rognon et la Pointe Helbronner. Sur cette installation, de tels croisements font, pour lui, « partie du décor ». Il s'en produit un à deux avec voyageurs par saison. C'est aussi systématique pendant l'arrêt hivernal à cause du vent. Il faut décroiser à la remise en route au printemps. C'est toutefois la première fois qu'il voit s'en produire un entre le Rognon et la Pointe Helbronner. Il fait appliquer la procédure de décroisement et en informe sa hiérarchie. Il fait également lancer les messages automatiques d'information des voyageurs en cabine. La radio le permet depuis son changement en 2015. À la mise en service de la nouvelle radio, celle-ci ne disposait que d'un seul canal. Selon lui, il n'a pas été informé qu'il existe dorénavant deux canaux, l'un pour l'information vers le personnel d'exploitation, et l'autre pour celle vers les passagers. Pendant environ deux heures, les messages ont été diffusés tous les quarts d'heure vers les opérateurs des autres gares et non vers les voyageurs, sans qu'il en prenne conscience. Après que l'agent présent à la station du Rognon l'a informé qu'il avait bloqué le câble tracteur à l'aide de mordaches, il a réussi à décroiser les deux premiers noeuds entre l'Aiguille du Midi et le Rognon à l'aide de sa machinerie. Depuis l'arrêt initial 40 min s'étaient écoulées. C'est au cours du décroisement du troisième noeud, à l'aide de la machinerie d'Helbronner, qu'un flexible hydraulique a lâché dans cette dernière gare. 3.1.2 - Les agents présents à la gare de la Pointe Helbronner Trois agents étaient présents à la gare de la Pointe Helbronner, l'un officiait aux caisses de vente situées dans un local reliant les parties française et italienne du bâtiment, les deux autres surveillaient l'installation et l'embarquement/débarquement des usagers. Ces deux derniers ont été entendus par les enquêteurs du BEA-TT. Ils sont employés par la CMB depuis respectivement 17 et 4 ans. À cette gare, une nouvelle machinerie et un nouveau pupitre de commande ont été mis en service en début de saison 2016. Bien qu'ils aient été formés à leur maniement, ils « ne sentent pas encore à l'aise ». L'un d'eux a par ailleurs parfois des difficultés à comprendre certains termes techniques utilisés. Ils ont réalisé un exercice de rapatriement des cabines en mai, avant la saison. Le 8 septembre, ils ont pris leur service vers 8 h, la météo a été clémente toute la journée, et l'affluence importante. Vers 15 h 20, un arrêt d'urgence se déclenche. Ils examinent la ligne et les cabines avec des jumelles, échangent avec les opérateurs des autres gares, 27 et concluent rapidement à trois croisements de câbles, deux situés entre l'Aiguille du midi et le Rognon, à traiter en premier, et le troisième entre la Pointe Helbronner et le Rognon, à traiter en dernier. Ils doivent alors mettre en place le moteur hydraulique de sauvetage et son frein. Ils rencontrent pour cela des difficultés dues aux capteurs qui ne détectent pas toujours que le frein est en bonne position pour donner le « prêt au départ ». Ils parviennent après quelques manipulations à obtenir le « prêt au départ » environ trois quarts d'heure après l'arrêt. Vers 16 h [alors que les opérateurs des deux autres gares ont réalisé avec succès le décroisement des câbles entre l'Aiguille du Midi et le Rognon], le conducteur leur demande de mettre en marche le moteur hydraulique pour reprendre le « mou de câble » généré, ce qu'ils réalisent avec succès. Vers 16 h 30, le conducteur leur demande d'actionner à nouveau le moteur pour décroiser le noeud situé entre la Pointe Helbronner et le Rognon. Ils mettent en tension le câble à deux reprises mais n'obtiennent pas le décroisement. À la troisième tentative, vers 16 h 40 , l'un des flexibles alimentant le moteur hydraulique rompt projetant de l'huile dans la gare alors vide de voyageurs car ceux-ci ont été bloqués à l'entrée avant l'embarquement suite à l'immobilisation de l'appareil. Les deux opérateurs confirment l'impossibilité de réparer, et demandent aux voyageurs en attente dans le bâtiment d'accès de redescendre par le téléphérique italien. Ils se mettent alors à disposition des équipes de secours du PGHM. 3.1.3 - L'un des agents présents à la station du Rognon Deux agents étaient présents à la station du Rognon, l'un d'eux a été entendu par le BEA-TT. Il a 12 ans d'ancienneté à la CMB, dont deux en CDI. Le pupitre d'alarme et le confort de la gare ont été améliorés en 2015. Il a suivi une formation avant sa mise en service. Le jour des évènements, après l'arrêt d'urgence, il a vérifié la ligne à l'aide de jumelles. C'est la première fois de son expérience qu'il constate trois croisements de câbles simultanés dont l'un situé entre le Rognon et la Pointe Helbronner. Lorsque le conducteur lance la procédure de décroisement, avec son collègue, il bloque le câble tracteur situé du côté Aiguille du Midi, à l'aide d'une mordache. Après avoir constaté que les deux premiers noeuds ont été décroisés, ils enlèvent la mordache puis en reposent une sur le câble tracteur de la même voie, du côté de la gare de la Pointe Helbronner. C'est au travers des échanges radio qu'il apprend la rupture du flexible hydraulique et l'impossibilité de décroiser. Vers 17 h, il informe les agents des autres gares du comportement agité de certains passagers. Il se met ensuite à disposition des agents du PGHM qui ont été déposés par hélicoptère à la station du Rognon. Il passe la nuit sur place. Le lendemain matin, vers 6 h 30, il remet en place la mordache sur le câble tracteur lorsque les opérations de décroisement reprennent après la réparation du moteur hydraulique. Il informe du succès du décroisement à la troisième tentative, mais alerte sur le déraillement de l'une des cabines. 3.1.4 - Le chef d'exploitation Le chef d'exploitation a été prévenu vers 15 h 30 et s'est rendu en gare de l'Aiguille du Midi. Le temps passant et constatant les difficultés, il a affrété un hélicoptère pour survoler la ligne et tenter de rassurer par gestes les passagers présents dans les cabines. C'est durant ce déplacement, vers 17 h, qu'il a été informé de la rupture du flexible du moteur hydraulique rendant impossible la poursuite de la procédure de décroisement. Il a ensuite participé à la gestion de la crise, et notamment à la tentative, vers 22 h 20, de faire glisser le câble tracteur croisé le long du câble porteur à l'aide de la machinerie de la gare de l'Aiguille du Midi. Les craintes que des brins du câble tracteur se rompent par frottement et les difficultés de l'opération ont conduit à arrêter après un déplacement du noeud de 100 mètres. 28 3.1.5 - Un passager ayant passé la nuit dans les cabines L'un des passagers est un guide de haute montagne, qui revenait d'un trek de plusieurs jours avec ses deux clients. Ils étaient chaudement vêtus, équipés d'une radio, de matériels d'escalade et de vivres. À 15 h, ils ont pris place dans l'une des cabines depuis la gare de la Pointe Helbronner pour redescendre à Chamonix. Environ 15 minutes après leur embarquement, l'installation s'arrête, et ils sont alors restés 1 h 30 min sans information. Le passager contacte alors la CMB avec sa propre radio, qui l'informe des difficultés. À la vue des hélicoptères du PGHM vers 18 h, il comprend que celles-ci sont importantes. Une famille d'origine asiatique, avec deux jeunes enfants, est dans la cabine qui les précède. Elle parle un mauvais anglais et ne semble pas avoir de moyens de communication. Il tente alors de les rassurer. À la tombée de la nuit, des nuages arrivent par le versant italien, recouvrent une partie de la ligne et les hélicoptères arrêtent leur sauvetage. Leur cabine fait partie du train pour lequel aucun gendarme du PGHM n'a été en mesure de se rendre pour les aider ou les rassurer si besoin. Sans qu'il se souvienne précisément de l'heure, l'exploitant les informe de la présence des « kits de survie » assez minimalistes. Il s'apprête alors à passer la nuit dans la cabine « en courbant l'échine », mais compte tenu de leurs équipements, de leur condition physique et de la météo clémente, il n'est pas très inquiet pour lui et ses clients. Au milieu de la nuit, des rafales de vent secoueront fortement la cabine, et il aura malgré tout quelques instants de doute. Au petit matin, vers 6 h, le survol des hélicoptères reprend. Se branchant sur la fréquence des secours, il comprend que les sauveteurs hésitent entre une opération de remise en route des cabines et un hélitreuillage. Puis, vers 7 h 30, l'installation est remise en marche à très petite vitesse. Sa cabine atteint la station du Rognon à 8 h et lui et ses clients y descendent et sont alors rapatriés par hélicoptère à Chamonix. 3.1.6 - Un autre passager ayant passé la nuit dans les cabines Ce passager et sa femme, en séjour touristique à Chamonix, sont montés ensemble jusqu'à l'Aiguille du Midi. Vers 14 h, il a pris seul le Panoramic Mont-Blanc. Après avoir visité la Pointe Helbronner, il a rembarqué dans l'une des cabines, avec trois autres passagers. L'installation s'est arrêtée une quinzaine de minutes plus tard. Il est alors resté une heure trente à deux heures sans information, apercevant à un moment un hélicoptère passer sans en comprendre la signification [celui dans lequel le chef d'exploitation a pris place]. C'est tardivement, en fin de soirée, qu'il a reçu l'information, par la sonorisation en cabine, de la présence d'un « kit de survie », qu'il a trouvé simpliste, bien qu'il n'ait alors guère d'appétit. Il a ensuite vécu de manière très dégradante de devoir uriner devant les autres, dans une bouteille en plastique, sans pourvoir se retourner, même si l'ambiance était à l'empathie et la compréhension entre les passagers, et il a attendu l'obscurité. Deux des autres passagers ont d'ailleurs préféré se retenir pendant les quelque 17 heures qu'ont duré les évènements. Il s'est ensuite mentalement enfermé dans un état de résignation/prostration volontaire pour supporter l'attente, l'inconfort, l'immobilité et le froid. Il était vêtu d'un vêtement de type « k-way », d'une polaire simple et de chaussures de marche, et la couverture de survie du « kit de survie » était trop petite pour être efficace. Il n'a réussi qu'à somnoler par intermittence, ne pouvant poser ni sa tête, ni ses épaules contre les vitrages comptetenu de la condensation qui s'y formait. Au milieu de la nuit, à cinq à six reprises, des rafales de vent ont vigoureusement chahuté les cabines, qui ont provoqué chez lui un fort sentiment d'inquiétude. 29 Au petit matin, il a vu reprendre le ballet des hélicoptères. Il a, à un moment ressenti une secousse, puis plus aucun mouvement. Il a fallu attendre plus d'une heure avant que l'installation ne reparte à très faible vitesse, puis encore environ près d'une heure de déplacement de la cabine avant de pouvoir enfin débarquer et être rapatrié par hélicoptère à Chamonix. 3.2 - Les conditions météorologiques La journée du jeudi 8 septembre 2016 a été ensoleillée et chaude à Chamonix (1 034 m) avec des températures maximales voisines de 23 °C en ville, et de 10 °C à l'Aiguille du Midi (3 777 m). L'isotherme de 0 °C était à une altitude de 4 400 m. Le vent était faible, atteignant 20 - 30 km/h en altitude en soirée. En fin de journée, quelques cumulus de montagne se sont formés et se sont désagrégés en début de nuit. Le ciel est redevenu clair. La nuit, la température est descendue à 8 °C sur Chamonix, et était négative à l'Aiguille du Midi. Des alarmes vent fort sont survenues à partir de 4 h du matin. 3.3 - Les données enregistrées par l'automate lors de l'arrêt initial À la lecture du fichier d'archives de la supervision de l'installation, nous apprenons que : un ordre d'arrêt a eu lieu à 15 h 20 min 04 s avec un train de cabines à 95,3 m en sortie de la gare de l'Aiguille du Midi. La vitesse de la ligne était alors de 6,368 m/s (23 km/h). L'ordre d'arrêt est la conséquence d'un défaut « écart vitesse droit / référence » ; le temps nécessaire à l'arrêt de l'installation a été de 11 secondes +/- 1 seconde compte tenu de la fréquence de rafraîchissement de l'afficheur (arrêt à 15 h 20 min 15 s). Ce temps correspond à une décélération moyenne = 0,58 ± 0,05 m/s² ( = V/t ), mais la décélération instantanée a été supérieure compte tenu du délai de stabilisation ; un défaut « chevauchement des câbles » est survenu pendant la phase d'arrêt, 2 secondes avant l'arrêt effectif de l'installation (15 h 20 min 13 s) ; 33 minutes après l'arrêt, l'appareil est commandé en marche arrière (15 h 53). Ce moment correspond au début de la procédure de décroisement des câbles. Figure 16 : fichier archive de l'installation au moment de l'arrêt 30 Le défaut « écart vitesse droit / référence », initiateur de l'arrêt, signifie que la vitesse de la poulie d'entraînement, mesurée par un capteur de vitesse situé sur le côté droit de la poulie, était en écart par rapport à la vitesse de référence calculée par le système (cf § 2.5). L'automatisme est programmé pour déclencher, dans ce cas, un arrêt de sécurité au moyen du frein d'urgence qui agit directement sur la poulie d'entraînement. Selon le paramétrage du système, le défaut se déclare dès que l'écart de vitesse dépasse 0,4 m/s. Nous étudierons plus loin, au § 4.1, la raison de cet écart. Figure 17 : vue des capteurs sur la poulie en gare de l'Aiguille du Midi 3.4 - La chronologie des évènements Nous avons reconstitué une chronologie détaillée des évènements à partir des trois sources d'information que sont les relevés de l'installation dans les trois gares, les mains courantes et les témoignages. Elle figure en annexe 2. Les principaux jalons de cette chronologie sont les suivants : Depuis 9 h 15 du matin : le Panoramic est exploité nominalement. 770 passagers sont passés à la gare de l'Aiguille du Midi depuis le début de journée. L'immobilisation de l'installation 15 h 20 : arrêt d'urgence de l'appareil suite à un défaut : « écart de vitesse droit / référence ». 110 passagers sont en ligne. 15 h 25 : confirmation de 3 croisements de câbles par la station du Rognon et mise en place de la procédure de décroisement. Les opérations de décroisement 15 h 53 : 1er tir de décroisement par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière, suivi d'un 2e tir. 1er décroisement. Puis, 3e tir de décroisement et 2e décroisement. Il ne reste plus qu'un seul croisement. 31 16 h 22 : 1ère tentative de décroisement par l'appareil d'Helbronner, suivi d'une 2 e puis d'une 3e. À la 3e tentative de décroisement, rupture d'un flexible hydraulique d'alimentation du moteur de sauvetage d'Helbronner. Le moteur est hors service. 16 h 30 : affrètement d'un hélicoptère de la compagnie Chamonix Mont-Blanc Hélicoptère, puis survol de la ligne par le chef d'exploitation. Mise en préalerte du PGHM de Chamonix. Les opérations d'évacuation 17 h 20 : demande d'intervention au PGHM et engagement d'un 1er hélicoptère de la sécurité civile par le PGHM. 18 h 42 : engagement d'un 2e hélicoptère de la sécurité civile, suivi d'un hélicoptère italien, ce qui porte à 4 le nombre d'hélicoptères en opération. 19 h 43 : 26 personnes sont évacuées par hélitreuillage. 20 h 30 : 54 personnes au total sont évacuées par hélitreuillage. Fin de l'hélitreuillage. 22 h 30 : 24 personnes supplémentaires sont évacuées par sauvetage vertical. 32 personnes restent présentes dans les cabines. J+1 ­ 3 h 30 : réparation du flexible défaillant par l'installateur POMA, accompagné de son sous-traitant HYDRO-TS7. J+1 ­ 7 h 10 : tir de décroisement par l'appareil d'Helbronner et confirmation du décroisement par la station du Rognon. L'opération occasionne le déraillement d'une cabine en ligne. J+1 ­ 7 h 36 : évacuation des cabines à petite vitesse. J+1 ­ 8 h 50 (soit 17 h 30 min après l'arrêt initial) : fin de l'évacuation Le recueil ainsi constitué laisse apparaître les premiers éléments d'analyse qui orienteront la suite de nos investigations, à savoir : 1. L'évènement déclencheur est un arrêt de sécurité pour défaut « d'écart de vitesse » ; 2. La conséquence immédiate et accidentelle a été le croisement du câble tracteur avec le câble porteur en trois endroits ; 3. La survenue d'une casse inopinée d'un élément du moteur de sauvetage a immobilisé l'appareil et a rendu caduque les possibilités de décroiser et l'aptitude à la « récupération intégrée » ; 4. Enfin, les secours se sont déroulés dans un contexte de manque de préparation des opérations, de difficulté de communication avec les passagers et de désagrément élevé pour certains passagers. Nos investigations, dans la suite du rapport, se concentreront sur ces quatre dimensions. 7 HYDRO-TS : entreprise spécialisée dans le matériel hydraulique qui est intervenue comme sous-traitant du groupement SEMER/POMA pour la pose de la machinerie de la gare Helbronner. 32 4 - Compte rendu des investigations effectuées 4.1 Les investigations sur l'arrêt de sécurité initial Comme nous l'avons vu au § 3.3, l'arrêt de sécurité à l'origine de l'immobilisation de l'appareil, a été produit par un écart « vitesse / référence », c'est-à-dire un écart entre la vitesse réelle mesurée sur la poulie d'entraînement, et la vitesse théorique, dite de référence, définie par le pilote automatique. Cet écart a dépassé le seuil de tolérance fixé de 0,4 m/s. Lorsque la ligne est à la vitesse maximale de 7 m/s, ce seuil de 0,4 m/s correspond à 5,7 % de la vitesse, ce qui est faible. C'est dire combien le nouvel automate est conçu pour suivre la marche nominale et ne pas s'en écarter. Bien qu'un arrêt de sécurité soit un évènement normal et prévisible, il semble important de comprendre son origine au vu des conséquences extrêmes qu'il a engendrées. 4.1.1 - Le réglage de l'installation effectué la veille L'apparition d'un écart de vitesse le 8 septembre, qui ne se produisait pas auparavant, peut être rapproché d'un réglage de l'installation qui a été effectué la veille, mercredi 7 septembre. Le technicien de l'entreprise SEMER est intervenu sur site pour modifier les paramètres de pilotage. La modification qu'il a effectuée portait sur l'accélération et la décélération de l'installation, et donc le profil de vitesse. Le but recherché par le technicien était de diminuer le temps de cycle8 de passage des cabines pour augmenter le débit de la ligne. Avant son intervention, l'accélération et la décélération de la ligne étaient de 0,3 m/s². Elles conduisaient à un temps de cycle de 287 s. Après son intervention, l'accélération et la décélération ont été portées à 0,4 m/s². Le temps de cycle est passé à 283 s. Le temps de cycle faisait l'objet d'une réserve du maître d'ouvrage CMB sur la réception des travaux de la machinerie de l'Aiguille du Midi, depuis juillet 2015, 14 mois plus tôt. Cette réserve portait le numéro 11. Elle demandait « d'optimiser le cycle à 4 min 42 s (282 s), alors que le cycle constaté en juillet 2015 était de 5 min 16 s (316 s, soit +34 s) ». Le temps de cycle de 4 min 42 s était celui qui existait avant les travaux de rénovation. Il figurait comme un objectif dans le cahier des clauses techniques particulières (CCTP) à satisfaire par le titulaire du marché dans la réalisation des travaux de remise en état des machineries en 2015 (marché dévolu au groupement POMA/SEMER). Divers réglages, qui ne concernaient pas les paramètres d'accélération et de décélération, avaient déjà permis à l'entreprise SEMER d'abaisser le temps de cycle de 316 s à 296 s en 2015 ; puis de 296 s à 290 s en juillet 2016 ; et de 290 s à 287 s en août 2016. L'objectif du réglage du 7 septembre 2016, jouant sur les paramètres de l'accélération et de la décélération, était de l'abaisser à 283 s. Il est à noter que la valeur de 282 s permet de faire passer 108 trains de cabines en gare sur la durée d'exploitation de 7 h 30 à 16 h. Avec une valeur de 287 s en vigueur avant le 7 septembre 2016, il en passe 107. Ce dernier réglage est bien à l'origine de la modification du comportement de la ligne, et du déclenchement de l'écart de vitesse, comme nous allons le voir. 8 Temps de cycle : durée entre deux passages successifs de trains de cabines en gare 33 4.1.2 - La reconstitution du 20 septembre 2016 Une reconstitution de l'évènement sur site a été organisée le 20 septembre 2016, dans des conditions d'environnement analogues au 8 septembre. L'objectif était de vérifier le comportement de l'installation dans les deux cas de figure, celui des paramètres de réglage antérieurs au 7 septembre 2016, et celui des paramètres de réglage postérieurs. Cette reconstitution a confirmé que c'est le changement de réglage des accélérations qui a produit la survenance du défaut d'écart-vitesse. Lors de la reconstitution, ont été mesurées, sur un cycle de passage des cabines, la vitesse réelle de la ligne au niveau de la poulie et la vitesse de référence du calculateur, dans les deux configurations. Il a pu être observé que : avec acc = 0,3 m/s², durant toute la phase d'accélération vers la vitesse maximale, la vitesse réelle suit fidèlement la courbe de référence. Le comportement de la ligne est stable. L'écart de vitesse mesuré reste inférieur à 0,25 m/s (voir les courbes vertes de la figure ci-après) ; avec acc = 0,4 m/s², la vitesse réelle s'écarte de la référence dans la montée vers la vitesse maximale, 8 s après le palier de 3 m/s (courbes rouges de la figure ci-après). L'écart de vitesse sur la référence atteint 0,4 m/s. Dépassant le seuil admissible, un arrêt de sécurité se déclenche. Figure 18 : courbes de vitesse en phase d'accélération de la ligne La vitesse réelle ne suit pas la vitesse de référence du fait d'un effet de rappel de la ligne, dû au choix d'une trop forte accélération. Ainsi, c'est bien le réglage des accélérations de la veille qui a conduit à l'arrêt d'urgence, et consécutivement à l'immobilisation prolongée de l'appareil. Le défaut ne s'est pas produit immédiatement après le réglage, mais seulement après quelques cycles, à un moment où l'effet de rappel était maximal, la ligne étant fortement chargée par l'affluence de voyageurs du milieu d'après-midi. Le taux d'occupation atteignait 76 % (110 passagers pour 144 places assises). S'agissant d'un effet dynamique, la masse en mouvement sur la ligne joue directement sur l'ampleur de l'effet. 34 4.1.3 - L'évaluation des effets dynamiques liés aux oscillations du câble tracteur Comme nous l'avons dit en partie 2, l'installation est, du fait des très grandes portées des câbles, sensible aux effets dynamiques. Les accélérations, décélérations, ou les passages de cabine sur les pylônes, produisent des variations de tension dans le câble tracteur qui se propagent en onde le long de la ligne. Le déclenchement de la sécurité résultant de la modification du réglage de l'installation, est provenu d'un tel effet dynamique de rappel de la ligne. Nous avons ainsi vérifié, dans un premier temps, les conditions dans lesquelles sont évalués et encadrés ces effets dynamiques sur l'installation. Nous avons pu constater que la sensibilité particulière de l'installation aux effets dynamiques n'a pas fait l'objet d'évaluation technique détaillée par le passé, dans le cadre des études initiales d'ingénierie et de la démonstration de sécurité de l'installation. Les études conduites en 2014 et 2015 dans le cadre des travaux de rénovation ne l'ont pas abordée non plus. Une exploration de ce sujet avait été effectuée lors de la précédente rénovation en 1996 et 1997. Il s'agissait alors d'obtenir un réglage satisfaisant du système de pilotage de la référence de vitesse mis en place lors de cette rénovation. Les résultats obtenus étaient satisfaisants. Ils ont été considérés comme suffisants. Il n'existe cependant pas d'évaluation méthodique qui permette de répondre aux interrogations suivantes : quels sont les effets dynamiques redoutés ? quels sont les cas de charge les plus pénalisants les produisant ? quelles sont les marges de sécurité pour l'installation ? La réglementation s'appliquant aux téléphériques précise que la justification des installations doit prendre en compte les effets dynamiques. Mais celle-ci est généralement effectuée de manière forfaitaire, par application de coefficients d'amplification sur les chargements statiques. Les téléportés sont en général peu concernés par des effets amples sauf quelques rares installations à grandes portées. La spécificité des phénomènes et de leurs risques pour ces quelques installations est peu encadrée. Il n'y a pas d'obligation dans la réglementation sur les justifications détaillées à fournir les concernant. L'évaluation précise des effets dynamiques lors des études d'ingénierie serait complexe. La mise en équation du problème est possible avec les savoirs de la science moderne de la dynamique des structures mais moyennant des techniques assez élaborées dites d'analyse « non-linéaire » et « transitoire ». Les ingénieries des remontées mécaniques n'utilisent aujourd'hui pas de code de calcul éprouvé pour les quantifier. Certaines ingénieries (celle de POMA par exemple) commencent à développer des modèles mais ceux-ci ne sont pas encore assez aboutis. Il en résulte que les effets dynamiques pour le Panoramic Mont-Blanc sont peu décrits et peu délimités. L'évaluation de la puissance de ces effets, et des paramètres qui les conditionnent, ne sont pas accessibles dans l'état actuel des outils et des pratiques. Les risques les concernant sont peu explicités. La sécurité de l'installation vis-à-vis de ces effets repose sur une démonstration restreinte. Elle repose d'une part, sur quelques essais physiques réalisés en configurations limitées lors des inspections annuelles, sur lesquels nous reviendrons plus loin au § 4.2. Elle repose d'autre part sur une expérience d'utilisation longue de près de 60 années, qui a permis de stabiliser des réglages ne produisant pas de comportement dynamique indésirable. Les savoirs sous-tendus sont cependant aujourd'hui imprécis et ne sont pas formalisés. 35 4.1.4 - Les exigences sur les valeurs encadrantes de l'accélération Le cahier des clauses techniques particulières (CCTP), établi par le maître d'oeuvre DCSA, définissait les exigences et objectifs à satisfaire par l'installateur dans la réalisation des travaux de remise en état des machineries en 2015 (marché dévolu au groupement POMA/SEMER). Le cadre de traitement de la sensibilité aux effets dynamiques n'y est traité qu'au travers d'une prescription portant sur le confort des passagers. Ainsi, l'article 6.4 du CCTP, intitulé « prestations de confort », stipule : « Dans un souci de confort pour la clientèle et le personnel exploitant, il est demandé de prendre en compte comme objectifs techniques particuliers, les éléments définis ci-après : [...] Accélérations en ligne Les gammas d'accélération et de décélération sur changement de vitesse, devront être inférieurs ou égaux aux existants, actuellement en place. [...] Pompage en ligne Actuellement l'installation est équipée d'un dispositif de pilotage de la référence de vitesse9, permettant d'optimiser le cycle de l'installation avec un minimum de pompage en ligne10. Dans l'offre de base, le constructeur devra argumenter son choix de pilotage. Le résultat en termes de temps de cycle et de pompage de ligne devra être au moins égal aux valeurs et au comportement de l'installation existante. » L'exigence spécifiée au paragraphe « accélérations en ligne » ci-dessus est celle d'une accélération maximale en moyenne de 0,3 m/s², valeur préexistante aux travaux. Il s'agit pour information d'une valeur inférieure à la valeur maximale réglementaire11 qui est pour le démarrage de 0,5 m/s². Ainsi, les risques de sécurité de l'installation liés à la sensibilité aux effets dynamiques, dont nous avons vus au § 4.1.3 qu'ils n'étaient ni décrits, ni explicités, sont encadrés au moyen de cette exigence du CCTP sur la valeur maximale d'accélération, exigence portant de manière équivoque sur le confort. Le CCTP exigeait de l'entreprise d'atteindre un objectif en termes de temps de cycle, tout en respectant une valeur limite d'accélération qui se révèle importante pour la sécurité. L'installateur de la machinerie de l'Aiguille du Midi n'a pas trouvé le réglage optimal répondant à ces contraintes et, procédant par tâtonnement, a dépassé les limites de bon fonctionnement de l'installation. 4.1.5 - Le cadre réglementaire de traitement des modifications de l'installation Compte tenu des conséquences du réglage effectué par SEMER, et de ces répercussions extrêmes, nous avons analysé le cadre formel dans lequel s'est effectuée l'intervention de l'entreprise sur l'automate de sécurité alors même que l'installation était en exploitation. Les règles techniques qui s'appliquent aux interventions sont celles du guide technique des remontées mécaniques RM 1 du STRMTG sur « l'exploitation, la modification et la maintenance des téléphériques ». La partie « I » concerne la modification de l'architecture électrique. 9 Ce système de pilotage de la référence de vitesse a été installé sur le Panoramic Mont-Blanc lors de la rénovation de 1996. 10 Le terme de « pompage » est utilisé en physique dynamique pour désigner des phénomènes d'instabilité vibratoire. Selon le maître d'oeuvre DCSA, il désigne le fait que le mouvement des câbles peut entraîner les véhicules dans des mouvements non naturels (roulis, tangage, autres). Le terme n'est pas employé dans les guides techniques réglementaires s'appliquant aux téléphériques. 11 La valeur d'accélération moyenne du câble au démarrage ne doit pas dépasser 0,5 m/s² selon l'article A5 ­ 5.4.2.1 du guide technique RM 2 du STRMTG sur la « Conception générale et modification substantielle des téléphériques » 36 Selon le guide, une modification du logiciel de sécurité (traitement et paramètres) nécessite de reprendre une vérification complète de la sécurité. On peut s'en dispenser s'il peut être démontré que la modification n'a pas d'impact sur les essais probatoires déjà réalisés. Cette exigence concerne les modifications de paramètres de sécurité du logiciel et non celles des paramètres fonctionnels. L'intervention de SEMER concernait le réglage de l'accélération et de la décélération sur le profil de vitesse. Ce sont des paramètres fonctionnels. La vérification complète de l'installation, ou la démonstration de l'absence d'impact, n'est pas exigée. L'intervention de SEMER n'est pas en écart avec les exigences réglementaires sur les organes sécuritaires. Le Panoramic Mont-Blanc ne fait pas l'objet de prescriptions spécifiques supplémentaires qui soient formalisées par l'exploitant, sous forme d'une procédure par exemple, eu égard à la sensibilité particulière aux effets dynamiques. L'intervention de SEMER s'est déroulé dans un cadre très informel, d'échanges verbaux généraux entre l'entreprise, le maître d'oeuvre et l'exploitant. Aucune autorisation et validation à caractère formel n'a été délivrée. En conclusion sur ce point, le dysfonctionnement résulte de la conjonction de deux facteurs. Le premier facteur est la méthodologie inadaptée qui a été employée pour les réglages, par « tâtonnement » et sans évaluation préalable des risques. Le second facteur est le cadre d'exigence succinct et peu contraignant qui régit ce type d'intervention sur un appareil particulièrement sensible à des effets dynamiques. 4.1.6 - Les exigences nouvelles demandées pour l'encadrement des modifications Postérieurement à l'évènement, l'arrêté préfectoral pris le 26 octobre 2016, qui levait la suspension de l'exploitation, était assorti d'une réserve à lever concernant les conditions des réalisations de réglages sur l'installation pour couvrir les risques des effets dynamiques. Cette réserve était formulée comme suit : « Recenser les cas de modification de paramètres fonctionnels de l'appareil engendrant des mouvements de câbles et pour lesquels des essais complémentaires avec simulation de charge globale sous second regard maître d'oeuvre seraient nécessaires. » La réserve n'a pas été instruite par l'exploitant sur le fond. La raison serait l'impossibilité actuelle de simuler les effets dynamiques, avec les technologies connues et utilisées par DCSA et POMA, pour évaluer de façon précise ces effets. L'exploitant a conclu que les modifications devront à l'avenir faire l'objet de son approbation formelle préalable. 4.1.7 - Les réglages arrêtés postérieurement à l'évènement Des essais ont été réalisés postérieurement au 8 septembre 2016 pour évaluer la sensibilité dynamique de l'installation et finaliser les réglages de celle-ci. Ils ont permis de tester les effets de l'accélération dans le même cas de chargement que le 8 septembre 2016 (occupation à 76 %). La reconstitution effectuée le 20 septembre 2016, évoquée plus haut, en faisaient partie. Ces essais ont permis de constater qu'un paramètre d'accélération de 0,4 m/s², mais aussi de 0,3 m/s², produisait des effets dynamiques de rappel sur la ligne. L'accélération a ainsi été ramenée à 0,2 m/s². La décélération du diagramme de vitesse a été maintenue à 0,3 m/s². Le seuil d'écart avec la vitesse de référence a aussi été augmenté, passant de 0,4 à 0,7 m/s, valeur moins restrictive qui ne modifie pas les risques encourus et reste dans les fourchettes acceptées pour ce type d'installation. Ce choix de paramètres de pilotage a donné satisfaction à l'ensemble des parties. Il permet de diminuer notablement la probabilité d'un arrêt d'urgence. Nous notons malgré tout que les essais n'ont pas cherché à évaluer des chargements supérieurs à celui du 8 septembre qui n'avait que 76 % de la charge maximale. Rien ne garantit que certaines 37 situations d'affluence, conduisant à une charge supérieure et donc à une énergie de mouvement supérieure, ne produiraient pas des effets dynamiques plus élevés et ne seraient pas plus pénalisantes. 4.2 - Les investigations sur le croisement des câbles Si les raisons de l'arrêt d'urgence déclencheur de l'immobilisation du Panoramic Mont-Blanc sont élucidées, elles n'expliquent pas pour autant les conséquences extrêmes qui ont suivi. Un arrêt d'urgence est un évènement qui n'est pas anormal et qui doit rester acceptable pour l'installation. Nous avons donc enquêté plus avant sur la nature du risque produit par un arrêt d'urgence sur cette installation. 4.2.1 - Le phénomène de croisement des câbles Les effets d'un arrêt d'urgence, dans la configuration du 8 septembre 2016, ont été observés en situation lors de l'évènement et à l'occasion de la reconstitution du 20 septembre 2016. Le premier constat est que l'arrêt d'urgence provoque des oscillations dynamiques importantes des câbles qui conduisent, dans certaines configurations de chargement, au croisement des câbles porteur et tracteur. Le visionnage image par image de l'arrêt du train de cabine en sortie de la gare de l'Aiguille du Midi, filmé à la reconstitution du 20 septembre 2016, montre l'ampleur des mouvements qui animent le câble tracteur lors de l'arrêt (voir figure ci-après). L'amplitude des oscillations est de plusieurs mètres. Le câble tracteur, dans son oscillation, passe nettement au-dessus du câble porteur, se plaçant ainsi en position de croisement. Figure 19 : la séquence de croisement de câbles image par image 38 Lors des deux arrêts d'urgence, celui du 8 septembre et celui de la reconstitution, trois points de croisement des câbles ont été observés, sensiblement aux mêmes emplacements dans les deux cas d'après les témoignages. Le relevé des trois points de croisement est le suivant : deux croisements entre l'Aiguille du Midi et le Rognon et un croisement sur la portée du Rognon au pylône suspendu. La figure ci-après donne le positionnement précis des croisements par rapport aux positions des trains de cabine. Les trains sont numérotés dans le sens de la marche depuis l'Aiguille du Midi. Figure 20 : positionnement du croisement des câbles sur la ligne La photographie ci-dessous, prise par un passager lors de l'immobilisation du 8 septembre, donne l'aperçu de l'entortillement du câble tracteur autour du câble porteur à un noeud de croisement. Il y a un empêchement au déplacement de l'un des câbles par rapport à l'autre, et donc à tout mouvement de la ligne. Figure 21 : vue d'un noeud de croisement de câbles depuis la 2e cabine du train n° 1 4.2.2 - La problématique physique du croisement des câbles Le phénomène mécanique du croisement des câbles est assez difficile à représenter. Comme nous l'avons déjà dit, il n'existe pas aujourd'hui de modèle de calcul au sein des ingénieries des remontées mécaniques pour les quantifier et évaluer les paramètres qui en sont la cause. 39 Physiquement, on observe qu'au moment de la montée en vitesse de la ligne, le câble tracteur se tend en arrière de la poulie d'entraînement, sur la voie Mont-Blanc, et se détend en avant de la poulie, sur la voie Requin. La tension voie Mont-Blanc se propage en onde sur la ligne, jusqu'à revenir de l'autre côté, sur la voie Requin. La voie Requin devient tendue à son tour tandis que la voie Mont-Blanc se relâche. Dès lors qu'un arrêt d'urgence se produit, au phénomène que nous venons de voir, se superpose l'effet du freinage : le câble tracteur se tend en avant de la poulie sur la voie Requin et se détend sur la voie Mont-Blanc. Ainsi, avec la superposition des deux ondes, la voie Requin est « doublement » tendue. La flèche du câble tracteur diminue jusqu'à ce qu'il passe au-dessus du câble porteur. L'énergie de mise en oscillation du câble tracteur est très importante. Nous l'estimons à environ la moitié de l'énergie cinétique initiale de l'appareil avant freinage. Cette énergie initiale est considérable. En effet plus une structure est souple, plus elle emmagasine d'énergie sous forme de vibration, et non sous forme d'énergie dissipatrice de freinage, lors de son arrêt. En situation stationnaire, hors accélération et décélération, la flèche normale du câble tracteur sur la portée entre deux trains de cabine est d'environ 36 m. Celle du câble porteur, sur la même portée, d'environ 19 m. Il suffit que la tension du câble tracteur provoque une remontée de 17 m pour créer les conditions d'un croisement. Cela se produit sur la voie Requin, dans les premières travées en avant de la poulie d'entraînement, comme cela a été observé sur les trois premières portées 1-2, 2-3 et 3-4. Figure 22 : variation des flèches lors du freinage La mise en équation de ce problème serait aujourd'hui possible avec les savoirs de la dynamique des structures. Elle n'a pas été réalisée au sein d'un code de calcul éprouvé des ingénieries des remontées mécaniques comme nous l'avons déjà dit. Il n'y a pas eu non plus de campagne d'essai exploratoire méthodique du phénomène. Seul un essai dynamique annuel de freinage est réalisé. Nous y reviendrons ci-après. Peu d'installations de téléphérique connaissent le phénomène de croisement des câbles en exploitation courante. Sur le périmètre de la CMB, seuls deux autres téléphériques « gros porteurs » y sont sujets tout en y étant moins sensibles : le téléphérique de l'Aiguille du Midi et le téléphérique des Grands-Montets. Au final, sachant qu'il n'y a pas eu d'évaluation préalable du phénomène, nous nous sommes interrogés sur la manière dont les essais probatoires de cette installation particulière ont pu mettre en évidence ce phénomène et, plus globalement, le danger lié à un arrêt brutal. 40 4.2.3 - Les essais dynamiques sur le freinage de sécurité L'exploitation d'une remontée mécanique n'est possible que si des essais probatoires et des épreuves sont réalisés pour apporter la preuve de la sécurité de l'installation. Réglementairement, on distingue deux catégories d'essais : les essais probatoires avant autorisation de mise en exploitation. Ces essais sont réglementés par le chapitre A7 du guide RM 2 du STRMTG sur la « Conception générale et modification substantielle des téléphériques » ; les essais dans le cadre des inspections périodiques, notamment l'inspection périodique annuelle. Ces essais sont réglementés par le chapitre D2 du guide RM 1 sur « l'exploitation, la modification et la maintenance des téléphériques ». Les essais dans le cadre de l'inspection périodique annuelle Le guide RM 1 du STRMTG impose que tout téléphérique soit soumis à une inspection complète annuelle comprenant des contrôles et des essais afin de vérifier la bonne intégrité et la non dérive de fonctionnement de l'installation. Le guide fixe précisément le contenu de cette inspection annuelle. L'une des obligations est de réaliser des « essais représentatifs des différents cas d'exploitation de l'installation pour chacun des freins de sécurité afin de vérifier que les décélérations engendrées respectent les limites réglementaires [...] » (RM 1 ­ § D 2). Ces essais sont appelés les essais dynamiques. L'exploitant a bien respecté cette obligation réglementaire. Il a fait procéder à l'inspection et aux essais chaque année. La dernière inspection, avant 8 septembre 2016, a eu lieu en mai 2016. Des essais ont été conduits pour être représentatifs d'un arrêt par le frein de sécurité d'urgence (celui qui a agi le 8 septembre 2016), dans différentes configurations. L'installation s'est comportée de façon satisfaisante. Plus précisément, sur chaque campagne d'essais dynamiques, 28 essais sont réalisés. Deux concernent le comportement avec freinage au frein d'urgence. Dans ces deux essais, 4 groupes de cabines sont lestées, les autres sont vides (soit un taux de charge de 33 %). Un des deux essais est dit en « montée » avec les cabines chargées sur des pentes montantes (déclenchement du freinage avec les cabines 600 m après la gare de l'Aiguille du Midi), et un essai est dit en « descente » avec les cabines chargées sur des pentes descendantes (déclenchement à 170 m après la gare). Chaque essai fait l'objet de l'enregistrement d'une courbe de vitesse permettant d'évaluer la décélération et sa bonne régularité. Les décélérations mesurées sont de 1,3 m/s² en montée et de 0,7 m/s² en descente. Réglementairement, elles doivent être comprises entre 0,5 et 2 m/s². Le rapport d'inspection précise que « les essais en charge descendantes sont [faits] à 170 m pour minimiser les mouvements de flèches ». Le 8 septembre 2016, le train de cabines était aussi en descente mais en position plus défavorable, à 95,3 m après la gare, et avec plus de charge. Ainsi, les chargements des essais ont été choisis au regard des performances de freinage et non des effets de flèche. Ils n'ont produit aucun croisement de câbles. Ils permettent de vérifier le fonctionnement satisfaisant du frein de sécurité mais en minimisant les effets secondaires potentiellement dangereux des flèches. Il est à noter que la réglementation se limite à demander de vérifier les freins de sécurité et que « les décélérations engendrées respectent les limites réglementaires ». Elle ne prescrit pas de tester l'acceptabilité d'effets secondaires. Nous sommes étonnés que les essais soient, dans leur mise en oeuvre, limités à tester le frein, et non à tester l'ensemble du comportement de l'appareil dans la fonction de freinage. Les essais probatoires avant autorisation de mise en exploitation Les essais dynamiques probatoires pour remise en exploitation, après les travaux des machineries de 2015 et de 2016, ont des cas de charge identiques à ceux réalisés dans le cadre de l'inspection annuelle. Ils n'apportent pas d'éléments nouveaux. 41 Ainsi, il ressort de l'examen des conditions d'essai de l'installation, tant dans les tests probatoires après travaux que dans les inspections périodiques, que les essais ne cherchent pas à éprouver l'installation dans les configurations les plus critiques que pourrait produire une exploitation normale. Ainsi, ni les calculs préalables, ni les essais probatoires n'ont visé à évaluer les risques de mouvement de câble lors des arrêts d'urgence, ainsi que leurs conséquences. Si, ni les études, ni les essais, n'ont recherché à explorer le phénomène, il nous a semblé que l'exploitation de l'appareil en situation normale aurait pu alors être l'occasion de plusieurs occurrences de croisement et d'arrêts de sécurité initiateurs. Nous avons donc étudié l'historique des incidents d'exploitation, afin de déceler les éléments précurseurs de la situation survenue le 8 septembre 2016. 4.2.4 - L'historique des incidents d'exploitation L'annexe 3 donne une analyse détaillée des occurrences d'incidents de type croisement ou chevauchement des câbles, ainsi que des arrêts d'urgence. Nous ne reprenons ci-après que les principales conclusions. L'historique des croisements de câble L'historique n'est tracé par l'exploitant qu'à partir de 2013. Il n'est pas exhaustif. Ainsi les croisements en sortie de l'arrêt d'exploitation hivernal n'y figurent pas. Les croisements sont assez courants (par exemple 7 sur l'année 2014). Une part importante des croisements tracés ont comme cause initiatrice l'arrêt de l'installation, principalement au frein d'urgence mais aussi au freinage électrique. Les croisements se produisent partout : sur les deux voies, et sur les deux vallées, c'est-à-dire entre l'Aiguille du Midi et le Rognon, et entre la Pointe Helbronner et le Rognon. Toutefois ce dernier cas ne s'est pas produit en exploitation du moins pour les croisements tracés. Un croisement, non tracé, s'est produit lors de la dernière période d'arrêt hivernale entre la Pointe Helbronner et le Rognon. Pour décroiser sur cette vallée, il faut retendre le câble tracteur au moyen de la machinerie d'Helbronner, comme nous le verrons au § 4.3 (décroisement des câbles). Mais cette fois-ci la configuration de ligne était non chargée. Elle était donc beaucoup plus favorable pour l'opération de décroisement que celle du 8 septembre 2016. La puissance de traction à mobiliser par le moteur de sauvetage pour retendre le câble tracteur était plus faible. La configuration de croisement survenue le 8 septembre 2016 était une première dans la mobilisation de la nouvelle machinerie de sauvetage d'Helbronner pour le décroisement. L'historique des arrêts d'urgence Le dépouillement du fichier-archive de l'installation sur la saison 2016 a permis d'identifier 51 arrêts d'urgence alors que la ligne était en vitesse. Parmi ces arrêts, peu se sont produits alors que les cabines étaient en phase d'accélération en sortie de gare, et avec une vitesse proche des conditions de l'arrêt du 8 septembre. Seuls trois arrêts sont dans ce cas mais, à des horaires où la ligne était peu fréquentée. Les conditions de masse et d'inertie en ligne étaient nettement insuffisantes pour être comparables à celles du 8 septembre et provoquer un croisement de câble. Un seul arrêt d'urgence a provoqué un croisement de câble sur la saison, le 25 juillet 2016. Il s'est produit dans un positionnement des cabines différent, à 470 m des gares. Il a été moins défavorable que le 8 septembre 2016. Il a conduit à deux croisements de câbles entre l'Aiguille du Midi et le Rognon. Cet arrêt confirme néanmoins la réalité de la situation de croisement en exploitation courante suite à arrêt d'urgence. La configuration de l'arrêt d'urgence du 8 septembre était toutefois une situation que l'exploitation courante n'avait jusqu'alors pas produite. 42 L'historique des alarmes « chevauchement des câbles » Les alarmes « chevauchement des câbles »12 sont intéressantes à étudier comme signe annonciateur d'une situation de croisement. Le dépouillement du fichier de la saison 2016, pendant les heures d'ouverture au public (voir annexe 3), a permis de mettre en évidence 43 occurrences, soit près d'une alarme par jour en moyenne. Sept de ces alarmes ont eu lieu lorsque les cabines étaient en dehors des zones de gare. Pour ces cas, il y a une forte présomption de contact entre les câbles tracteur et porteur. Ainsi, la fréquence de chevauchements des câbles est élevée. Ce constat confirme la grande sensibilité de l'installation aux mouvements du câble tracteur qui vient toucher le câble porteur. Les données concernent cependant la saison 2016 et ne donnent pas la fréquence des chevauchements avant les travaux de rénovation, et s'il y a eu aggravation. Conclusion sur l'analyse des incidents d'exploitation Il apparaît que l'exploitant était confronté depuis longtemps à la problématique de croisement des câbles. Il n'a pas, dans le cahier des charges des travaux de rénovation, cherché à réduire les incidents. Il a reconduit le même système de pilotage de la référence de vitesse préexistant depuis 1994. Il n'a pas cherché non plus à explorer l'ampleur des chevauchements de câbles tels que nous les observons sur la saison 2016, et les risques encourus avec ces écarts à répétition. Il n'a pas envisagé qu'ils pouvaient être précurseurs de situations plus extrêmes. Il s'y est plutôt accoutumé. La banalisation des incidents a pu conduire à sous-estimer leur degré de dangerosité et l'éventualité de ces situations extrêmes. La situation du 8 septembre 2016, avec trois chevauchements de câble, est cependant particulière. Le réglage de l'accélération de montée en vitesse à 0,4 m/s², effectué par SEMER la veille, a conduit à amplifier les oscillations et les chevauchements. Les essais du 20 septembre 2016 ont montré qu'avec un réglage de l'accélération à 0,3 m/s², ce ne sont pas trois chevauchements mais deux qui se produisaient. Or c'est bien le troisième chevauchement qui a posé problème. Pour autant, cette situation à multiples chevauchements n'était pas à exclure : les chevauchements se produisaient déjà ; il n'avait pas été recherché à les réduire ; et les cas de charge les produisant n'ont pas été explorés au moyen d'une analyse méthodique et complète qui détermine leur enveloppe, au-delà du seul retour d'expérience de l'appareil lui-même peu formalisé. 4.2.5 - Les exigences nouvelles demandées sur les croisements de câbles L'arrêté préfectoral pris le 26 octobre 2016, levant la suspension de l'exploitation, était assorti de deux réserves à lever concernant le renforcement du traitement du risque de croisement des câbles. Ces réserves sont les suivantes : « Valider par des essais les valeurs des paramètres d'accélération et de décélération de l'appareil pour éviter au maximum les croisements de câbles et régler l'appareil avec ces valeurs ; Définir les cas de charges et les essais à réaliser en inspection annuelle les plus pénalisants pour le croisement (freinage, accélération, décélération, freinage d'urgence sur accélération...) et vérifier annuellement l'absence de mouvement dynamique excessif ou de croisement sur ces essais. » 12 L'alarme « chevauchement de câble » indique qu'un contact électrique entre le câble tracteur et le câble porteur s'est effectué. Celui-ci peut résulter de plusieurs situations : déraillement d'un câble ou d'une cabine, frôlement lors d'oscillation, faux contact électrique, ou croisement de câbles. 43 La première réserve a été traitée en limitant l'accélération sur la marche de référence à 0,2 m/s² comme nous l'avons dit au § 4.1.7. Le seuil de contrôle de l'écart à la vitesse de référence a aussi été augmenté passant de 0,4 à 0,7 m/s. L'organigramme de freinage a de plus été modifié. Certains défauts ne produisent plus un arrêt au frein d'urgence mais un arrêt électrique lent. Ces réglages réduisent les occurrences d'arrêt d'urgence et donc les risques de croisement. Le paramètre de décélération lors des arrêts en ligne influe directement sur les oscillations de câble et les croisements (plus le freinage est doux, plus l'énergie de mise en vibration du câble tracteur est faible). Ce paramètre a été diminué pour certains types d'arrêt, avec l'introduction dans le logiciel de sécurité de la notion d'arrêt électrique lent. Toutefois, il n'a pas été recherché à adoucir le freinage au frein d'urgence. Il faut sans doute prendre en considération que l'allongement de la distance d'arrêt n'irait pas dans le sens de la sécurité pour certains défauts. Mais de ce fait, le risque de mouvement ample de câble et donc de croisement demeure et n'est pas évité. En ce qui concerne la seconde réserve, des propositions ont été faites sur l'évaluation de la capacité de décroisement, sur lesquelles nous reviendrons plus loin. La demande portait toutefois principalement sur la définition des cas de charge les plus pénalisants pour les mouvements de câbles. Elle n'a pas eu de réponse sur le fond. L'exploitant a expliqué ce faible résultat par le fait que les logiciels de calcul des ingénieries ne permettent pas de calculer les effets dynamiques comme nous l'avons déjà dit. Ainsi, les cas de charge « enveloppe » demandés n'ont pas été clairement définis. Le cas de charge du 8 septembre a été considéré comme le plus pénalisant qui soit connu, bien que celui-ci ne représente que 76 % de la charge maximale d'exploitation. Plus la masse en mouvement est importante, plus l'énergie cinétique est élevée, plus grande est alors l'énergie de déformation des câbles lors d'un arrêt. Certains cas de charge pourraient être plus pénalisants. Les effets dynamiques sont parfois trompeurs comme cela a pu être constaté le 8 septembre 2016. Il n'y a pas eu de développement d'une méthodologie pour estimer l'enveloppe des situations. Des modèles, même simplifiés, auraient pu être mis en oeuvre pour évaluer les effets et approfondir la réserve. Les essais réalisés après le 8 septembre témoignent d'une démarche visant à s'en approcher mieux que par le passé. Les effets maximaux d'oscillation, et de croisement, suite à arrêt d'urgence, ne sont malgré tout pas rigoureusement explorés. Nous arrivons à la constatation que les croisements restent inéluctables. Ils sont à considérer comme « indissociables » de l'installation. Un freinage d'urgence produira, dans certaines configurations de charge et de positionnement en ligne, oscillations et croisements de câbles. La fréquence occasionnelle, connue par le passé, diminuera mais demeurera. Les effets maximaux ne sont rigoureusement pas connus. Il est sans doute impossible de poursuivre une exploitation en souhaitant s'affranchir des croisements. Le Panoramic Mont-Blanc n'est pas exploité dans le domaine sécuritaire « usuel » applicable aux autres télécabines. Ces phénomènes dynamiques redoutés ailleurs, se produisent fatalement à l'intérieur même du domaine d'utilisation courante de l'installation dès que la charge des cabines est importante, et que les arrêts se produisent aux endroits défavorables. Il convient dès lors de garantir l'aptitude des outils et des personnels à bien gérer le retour au nominal après leur occurrence. Nous verrons dans le chapitre suivant que ce point a été traité. 44 4.3 - Les investigations sur le décroisement des câbles Bien que le risque de croisement n'ait pas fait l'objet d'une exploration méthodique dans les démarches de conception et d'essai de la télécabine, le phénomène était connu de l'exploitant. Les opérations de décroisement faisaient l'objet d'une procédure à l'usage des opérateurs, portant la référence « spécification particulière n° TAM-SPPA 027 ». Cette procédure décrit précisément l'enchaînement des tâches à effectuer pour revenir à une situation normale. Les tâches de décroisement sont synthétiquement les suivantes : Avant tout, il y a lieu de procéder à une reconnaissance précise de la ligne pour identification des points de croisement. Cette reconnaissance s'opère aux jumelles. Le PMB n'est normalement pas exploité si la visibilité est inférieure au 2/3 de la ligne, selon les consignes d'exploitation. Le 8 septembre 2016, le temps était bien dégagé. Ensuite, dans tous les cas, le câble tracteur est immobilisé à la station du Rognon. Des mordaches et autres équipements sont disponibles à demeure dans cette gare pour y parvenir (voir figure 15). Enfin : · si le point de croisement est situé entre la station du Rognon et la gare de l'Aiguille du Midi, le câble est mis en tension au moyen de la motorisation de cette gare ; · inversement, si le point de croisement est situé entre la station du Rognon et la gare de la Pointe Helbronner, le câble est mis en tension au moyen du moteur de sauvetage de cette autre gare. Le 8 septembre 2016, à 15 h 53, pour procéder aux premiers décroisements des deux points de croisement entre l'Aiguille du Midi et le Rognon sur la voie Requin (croisements 1-2 et 2-3 de la figure 20), le moteur principal de la gare de l'Aiguille du Midi a été utilisé en rotation arrière, conformément à la procédure. Les deux décroisements ont été obtenus en 6 min. Puis, pour procéder au décroisement du point de croisement entre la Pointe Helbronner et le Rognon sur la voie Requin (croisement 3-4), le moteur de sauvetage de la Pointe Helbronner a été utilisé en rotation avant. Cette intervention a posé deux difficultés. Une première difficulté a été de rendre opérationnel le treuil. En situation normale, le moteur hydraulique, et la centrale de freinage associée, sont positionnés à proximité immédiate de la poulie d'entraînement, mais en position repliée. Leur mise en fonctionnement nécessite les opérations suivantes : 1. D'abord, positionnement du frein de poulie : les mâchoires du frein sont basculées vers la poulie, de la position « escamotée » à la position normale de freinage. Cette bascule s'effectue au moyen d'un vérin. 2. Puis, positionnement du moteur hydraulique : le moteur, équipé du pignon d'entraînement, est basculé de la position « escamotée » à la position « engrenée » sur la couronne dentée intérieure de la poulie. Cette manoeuvre s'effectue au moyen d'un autre vérin. 3. Enfin, prêt au départ : des capteurs permettent en fin d'opération de vérifier le bon positionnement du moteur de rotation et du frein de poulie, afin de réaliser le « prêt au départ » dans l'automate de sécurité. 4.3.1 - La procédure de décroisement 45 Figure 23 : manoeuvre du moteur et du frein en gare de la Pointe Helbronner Le premier problème est survenu lors de ces opérations : le capteur d'ouverture du frein de sécurité n'a pas détecté la position ouverte de celui-ci, empêchant ainsi d'obtenir le « prêt au départ » et le démarrage. Il s'agissait d'un défaut plusieurs fois observé sur l'installation depuis sa mise en service en début de saison, mais les demandes de résolution de l'exploitant auprès de l'installateur n'avaient pas abouti. Les opérateurs avaient trouvé un « palliatif », par une manoeuvre manuelle du contacteur. L'absence de résolution préalable du défaut a conduit à l'ajout d'une perte de temps de 10 minutes, sans compter le manquement aux règles de sécurité et le stress en résultant pour les opérateurs. Une seconde difficulté est alors survenue lors de la mise en action du moteur. 4.3.2 - La défaillance du moteur hydraulique de sauvetage Le moteur est alimenté par un groupe hydraulique qui délivre la pression hydraulique nécessaire à l'entraînement. Le branchement entre le groupe et le moteur est réalisé par deux flexibles haute pression. À la troisième tentative de décroisement, à 16 h 39, l'un des deux flexibles s'est rompu. L'expertise métallurgique du flexible a posteriori a permis d'expliquer la rupture : les analyses, mécanique et chimique, n'ont pas révélé d'anomalies particulières des matériaux constitutifs qui étaient conformes aux normes en vigueur ; les composants utilisés dans la constitution du raccord étaient compatibles entre eux (embout, flexible, jupe) ; la rupture se situe sur la jupe de fixation du flexible au niveau de l'embout. La surface de rupture présente un faciès à « grains brillants » caractéristique d'une rupture fragile ; 46  la jupe du raccord avait un « vice caché » : le diamètre de sertissage de l'embout, dont l'empreinte est très visible, était largement inférieur à la valeur recommandée par le fournisseur. Le diamètre de sertissage était de 50,9 mm pour une valeur recommandée de 54,2 mm (voir figure 25). Figure 24 : les parties constitutives de l'extrémité du flexible rompu Le sertissage inapproprié de l'embout lors de la pose par le sous-traitant du groupement SEMER-POMA, HYDRO-TS, est la cause de la défaillance du raccord hydraulique. Ce sertissage avait été réalisé directement sur le site lors des travaux de montage. L'utilisation d'un outil de diamètre trop petit a conduit à un « sursertissage » et à une déformation excessive de l'embout. Sous le double effet de la précontrainte excessive de sertissage et de la contrainte additionnelle apportée par la pression d'huile alimentant le moteur le 8 septembre 2016, la limite de résistance de l'acier de la jupe a été atteinte. L'embout s'est rompu. Figure 25 : comparaison des flexibles défaillant et non défaillant lors de l'expertise Ce sont les conditions de réalisation des travaux de pose des flexibles d'alimentation du moteur par HYDRO-TS qui sont à l'origine de la rupture. Les opérations de contrôle interne de l'installateur au titre de sa démarche qualité n'ont pas détecté la malfaçon. Bien 47 que contribuant à la sécurité, ce composant n'avait pas été pas considéré comme un constituant devant faire l'objet d'un contrôle extérieur, ou d'un marquage CE, ou d'un essai probatoire de capacité en charge. C'est l'analyse de risques qui doit permettre d'identifier les constituants de sécurité devant faire l'objet d'un marquage CE (cf décret 2003-426 relatif à la mise sur le marché des constituants et sous-systèmes assurant la sécurité des remontées mécaniques). Le moteur avait été utilisé lors des essais probatoires et aussi pour un décroisement en sortie de la période d'arrêt hivernale mais dans une configuration de ligne non chargée. Moins sollicité dans ces situations, il n'avait pas donné de signe de défaillance. L'aptitude de cet équipement à réaliser le décroisement n'avait ainsi pas été vérifiée. Seul un test de fonctionnement du moteur avait été opéré. 4.3.3 - La réparation du flexible hydraulique du moteur de sauvetage La rupture du flexible s'est produite à 16 h 39. L'analyse de la situation a conclu qu'il n'y avait aucune possibilité de remise en route. L'évacuation par hélitreuillage de la ligne a été lancée. Il y avait une autre option possible : celle de réparer le flexible. Cette option n'a pas été envisagée. Elle aurait pu être étudiée en parallèle à l'option de l'évacuation par hélicoptère. Elle n'a été prise en considération que tard dans la nuit. L'entreprise POMA a été informée de la situation vers 19 h par la voie des médias. Elle a contacté à plusieurs reprises l'exploitant pour intervenir mais celui-ci n'a pas donné suite. Le diagnostic sur le composant défaillant a été fait grâce à un échange de photographies par téléphone, entre les responsables de POMA et la gare de la Pointe Helbronner. À 22 h 36 la proposition d'intervention a été acceptée. L'entreprise a immédiatement dépêché une équipe sur place et la réparation a été terminée à 3 h . Il aura fallu 4 h 30 min entre le lancement de l'intervention et la réparation de la panne. Un scénario de déclenchement d'une intervention « en express » du réparateur, plus tôt dans la soirée et avec des délais d'acheminement plus réduits, n'aurait toutefois vraisemblablement pas permis la réparation avant l'arrivée de la nuit (à 20 h 50). 4.3.4 - Le déraillement de cabine suite au décroisement Une fois le moteur réparé, et le jour levé, l'opération de décroisement entre le Rognon et la Pointe Helbronner a été relancée. Elle a permis de réaliser le décroisement avec succès à 7 h 10. Toutefois, lors du « tir » de décroisement, une cabine a déraillé. Ce risque, qui était lui aussi connu de l'exploitant, montre à nouveau combien l'installation souffre d'une très grande sensibilité. Nous n'avons pas eu connaissance de l'exhaustivité des déraillements sur l'installation. Le relevé des évènements significatifs du STRMTG fait état de quatre déraillements de cabine par le passé : les 26 juillet 1988, 31 août 1992, 5 avril 1993 (ce jour-là un groupe complet de trois cabines a déraillé, à l'occasion d'essais) et le dernier en 2006 (date non précisée). Ces déraillements étaient à chaque fois conjugués à des croisements de câbles et se sont produits hors exploitation. Le déraillement survient soit au moment du croisement, soit lors du décroisement qui le suit. Dans ces phases, le câble tracteur est fortement tendu, et, passant au-dessus du câble porteur, il exerce un effort de soulèvement sur une ou plusieurs cabines (voir figure ci-après). Lorsque le soulèvement s'est produit le 9 septembre 2016 au matin, la cabine concernée avait été vidée de ses occupants par les opérations d'hélitreuillage. 48 Figure 26 : mise en évidence du déraillement de cabine (source DCSA) Le risque de déraillement est traité sur l'installation au moyen d'une disposition constructive consistant en l'ajout de « diabolos » sur les chariots-supports de cabine. Ils ont pour rôle de rattraper la cabine en cas d'échappement des galets du câble porteur (voir figure ci-dessous). Ce dispositif a été ajouté en 1997. Cette disposition constructive assez simple a bien rempli sa fonction le 9 septembre au matin. La cabine a été correctement rattrapée. Notre opinion est que ces diabolos semblent bien sommaires au regard du risque, dans la mesure où le déraillement se produit dans des configurations d'utilisation produites par une exploitation normale, avec des efforts et des mouvements mettant en jeu beaucoup d'énergie. Figure 27 : dispositif de sécurisation et de détection du déraillement des chariots 49 Précisons enfin que chaque chariot est équipé d'un détecteur de déraillement (voir figure ci-dessus). Il signale au conducteur du téléphérique toute occurrence d'un déraillement. Le détecteur a correctement rempli sa fonction le matin du 9 septembre après le décroisement. Une fois le déraillement détecté, le rapatriement des cabines a eu lieu à petite vitesse, de 0,5 m/s, conformément aux procédures d'exploitation prévues dans ce cas. L'opération d'évacuation a alors pris un délai de 1 h 15 min. 4.3.5 - Les exigences nouvelles demandées sur le décroisement des câbles L'arrêté préfectoral pris le 26 octobre 2016, levant la suspension de l'exploitation, était assorti de deux réserves à lever concernant le décroisement des câbles. Les réserves sont les suivantes : « Proposer une périodicité de contrôle de la capacité des treuils de l'Aiguille et d'Helbronner à décroiser les câbles dans les cas de charge les plus défavorables [...] ; Produire une étude sur les possibilités de réglage du groupe hydraulique du treuil d'Helbronner et du treuil de l'Aiguille pour délivrer plus de puissance. » Des études ont depuis été conduites pour déterminer, par le calcul, les cas de charge les plus défavorables pour le décroisement. Elles ont permis de définir les deux configurations de charges les plus pénalisantes, l'une pour les décroisements avec la machinerie de l'Aiguille du Midi, l'autre pour ceux avec la machinerie d'Helbronner. Elles ont permis aussi de s'assurer que les puissances à mobiliser étaient disponibles sur les motorisations des deux gares, et que les efforts induits sur l'ensemble de l'installation étaient admissibles pour la structure. L'exploitant a proposé que le contrôle de l'aptitude au décroisement, sous ces deux cas de charge, soit intégré à l'inspection périodique annuelle. L'aptitude est vérifiée par le fait que le câble tracteur peut être tiré au-dessus du câble porteur dans la configuration des cas de charge les plus défavorables. À noter que les câbles n'ont pas besoin d'être croisés au préalable pour réaliser le contrôle. Par ailleurs, la machinerie défaillante d'Helbronner a fait l'objet de travaux correctifs : le frein de poulie est simplifié en passant en position fixe et non plus escamotable ; la force de traction du moteur au décroisement a été renforcée par augmentation de la pression hydraulique ; un second actionneur de décroisement a été ajouté et permet de se substituer au moteur de sauvetage en cas de défaillance, ou possiblement de le renforcer ; un stock critique de pièces de rechange a été constitué sur site pour faciliter le dépannage en urgence. Ces adaptations sont de nature à améliorer notablement la sécurité de l'installation au décroisement. Concernant le déraillement de cabine, l'arrêté préfectoral du 6 juin 2017, approuvant la remise en exploitation, a prescrit une mesure concernant « l'étude de l'amélioration de la détection du déraillement de cabine ». Celle-ci a conclu à l'installation, sur chaque chariot de cabine, d'un connecteur électrique qui améliore la détection de déraillement par mise du câble tracteur au potentiel du câble porteur. Cette amélioration n'a pas d'effet sur une sécurisation anti-déraillement. 50 4.4 - Les investigations sur la récupération intégrée Le Panoramic Mont-Blanc est, comme nous l'avons vu au § 2.8, à « récupération intégrée ». Des dispositions de conception et des procédures particulières sont prévues pour assurer en exploitation, et en toute circonstance, le retour en station de tous les véhicules. Selon la réglementation technique (guide RM 1 du STRMTG, partie B ­ Définitions), ces dispositions et ces procédures doivent être élaborées à partir d'une étude de sécurité qui permette d'identifier au préalable les risques susceptibles d'empêcher le rapatriement des véhicules, et d'y remédier. Dans la mesure où, dans la réalité du 8 septembre 2016, ce rapatriement n'a pas été possible, nous avons contrôlé l'étude de sécurité et les mesures de traitement des risques prévues en conséquence. 4.4.1 - L'étude de sécurité de récupération intégrée L'aptitude à la récupération intégrée est d'origine sur le Panoramic Mont-Blanc. Elle est antérieure aux principes concernant la récupération intégrée tels que définis ci-dessus. Il n'y a ainsi pas d'étude de sécurité initiale formalisée identifiant les risques et les parades pour y remédier. Dans le cadre des travaux de régénération de 2015 et 2016, le maître d'oeuvre DCSA a réalisé cette étude. La dernière version, avant l'évènement, date du 6 juillet 2016. L'étude a identifié 75 risques couvrant des évènements extérieurs à l'installation (vent violent, séisme...) et des défaillances de constituant (machinerie d'entraînement, freins, électricité, câbles...) Cette étude, bien que très consistante sur le dénombrement des situations envisagées, avait plusieurs carences. Ainsi, la défaillance de la motorisation de sauvetage en gare de la Pointe Helbronner, telle qu'elle est survenue le 8 septembre 2016, n'était pas prise en considération au motif suivant : « ne peut être considérée compte tenu des contrôles préventifs et du cumul de panne ». Ainsi, au motif que l'entraînement serait toujours assuré par une autre motorisation, la défaillance du treuil d'Helbronner n'était pas considérée. L'étude n'identifiait toutefois pas le croisement de câble comme un risque pour l'immobilisation de l'installation. Elle n'identifiait pas que la seule panne du moteur de sauvetage d'Helbronner empêcherait certains décroisements. Il n'y avait ainsi pas de mesure palliative prévue pour traiter le risque de la panne du moteur. Les évènements ont montré qu'il en était tout autrement. L'analyse de risque d'une récupération intégrée exige plus de rigueur dans l'évaluation des risques et la définition des parades à mettre en place pour y remédier. Il est vrai toutefois, à la décharge des auteurs de l'étude, que les cas d'application d'études de sécurité sont aujourd'hui rares et que le retour d'expérience est quasi inexistant pour eux. Seuls six autres téléphériques en service sont aujourd'hui à récupération intégrée et ont fait l'objet d'une telle étude13. 4.4.2 - L'étude de sécurité post 8 septembre 2016 L'analyse de sécurité a été reprise après l'évènement, comme le demandait l'une des réserves de l'arrêté préfectoral levant la suspension de l'exploitation (« Réaliser une analyse de sécurité du mode de récupération intégrée de cet appareil, et à son issue, arrêter un plan d'actions approuvé par le STRMTG permettant de minimiser les occurrences d'immobilisation ou d'y faire face. ») 13 Ces téléphériques sont celui de l'Aiguille du Midi 2 et du Brévent-Flégère à Chamonix, le Vanoise Express à Peisey, le Marmottes 3 à l'Alpe d'Huez, le Prodains Express à Avoriaz, et le téléphérique urbain de Brest. 51 L'analyse d'origine a été actualisée en avril 2017 et complétée sur les points suivants : l'intégration de nouveaux risques issus du retour d'expérience (défaillance de motorisation, croisement de câbles, déraillement de cabine...) et une nouvelle hiérarchisation des risques ; l'évaluation, pour chaque cas de défaillance, de son niveau de risque selon le couple [probabilité d'occurrence ; gravité pour le rapatriement] ; l'ajout de nouvelles mesures palliatives de traitement de certains risques, comme, à titre d'illustration, le doublement du moteur actionneur de décroisement en gare de la Pointe Helbronner ; l'identification, pour chaque risque, de procédures préalablement écrites à appliquer ; et enfin, de façon notoire, le développement d'un « plan de sauvetage ultime ». Ce plan permet de pallier toutes les situations pour lesquelles le risque a été évalué non acceptable sans qu'aucune parade n'ait pu être identifiée. Au total, sur les 59 types d'évènement redouté recensés, 53 sont traitables par les procédures prévues, et 6 peuvent conduire à l'application du plan de sauvetage ultime. La défaillance de la machinerie pour opérer un décroisement de câble, conjuguée à l'impossibilité de réparer, en fait partie. Précisons que certains scénarios ne sont objectivement pas pris en compte dans l'analyse, car dépassant le cadre de la récupération intégrée. Il s'agit par exemple de l'accident avec un avion, de l'attentat ou d'un séisme de grande magnitude. Ces cas supposent la mise en oeuvre du plan de sauvetage ultime. 4.5 - Les investigations sur l'évacuation Divers manquements affectaient la documentation d'exploitation de l'appareil. L'installation n'avait pas, le 8 septembre 2016, de règlement d'exploitation approuvé par le préfet. Le règlement d'exploitation est obligatoire au titre de l'article 27 de l'arrêté du 7 août 2009 relatif à la conception, à la réalisation, à la modification, à l'exploitation et à la maintenance des téléphériques. Il est établi par l'exploitant. Il précise les principales caractéristiques et les dispositions relatives à l'exploitation du téléphérique. Le maintien d'un haut niveau de sécurité le concerne en premier lieu. Il doit recevoir un avis conforme du préfet (article L472-4 du code de l'urbanisme), au titre de la vérification de la sécurité des installations. Un projet de règlement d'exploitation était en préparation par l'exploitant. Sa dernière version, à l'état de projet, date du 13 juillet 2016. Elle n'avait fait l'objet d'aucune instruction externe. De la même manière, le règlement de police, qui a pour finalité de fixer les mesures préventives visant à assurer le maintien du bon ordre public, faisait défaut. Il n'existait pas, non plus, de plan d'évacuation. Le dernier « plan de sauvetage » était daté du 12 février 1977. Faisant référence à une configuration de l'installation et à du matériel qui n'est plus en place depuis plusieurs années, il était caduque. Le plan d'évacuation est obligatoire au titre de l'article 34 de l'arrêté du 7 août 2009. Il définit les dispositions relatives aux moyens humains et matériels, et aux procédures, à mettre en oeuvre pour l'évacuation des usagers. En « récupération intégrée », le plan d'évacuation prend la forme d'un « plan de récupération »14. 4.5.1 - Le plan d'évacuation 14 On désigne par « évacuation » les opérations permettant, en cas d'immobilisation du téléphérique, de ramener les usagers en lieu sûr. Elles consistent à sortir les usagers des véhicules. On désigne, de façon 52 Lors de l'instruction du dossier présenté par l'exploitant sur la modification de la machinerie Helbronner, le STRMTG avait émis un avis favorable à la poursuite de l'exploitation, en date du 27 mai 2016. Cet avis favorable était provisoire jusqu'au 30 septembre 2016, dans l'attente de « la mise à jour des documents d'exploitation (règlement d'exploitation, règlement de police, plan d'évacuation d'urgence) pour prendre en compte les spécificités des nouveaux modes d'exploitation et de récupération ». L'exploitant n'avait pas instruit cette demande. Un même avis favorable avait déjà été émis par le STRMTG l'année précédente, le 29 mai 2015, à titre provisoire également jusqu'au 30 septembre 2015, avec les mêmes motifs. L'exploitant n'avait donc pas diligenté, depuis longtemps, ces demandes. Le service de contrôle a laissé passer. L'absence de ces documentations finalisées rend imprécises les modalités prévues pour l'évacuation. Au-delà, certaines dispositions, non formalisées mais manifestes, semblent sous-estimées. Les fragilités concernent : le délai prévisionnel d'évacuation ; les moyens d'assistance aux passagers ; l'engagement des services de secours. Ces points sont détaillés ci-après. 4.5.2 - Les scénarios de récupération de l'installation et leurs durées L'article 35 de l'arrêté du 7 août 2009 exige que la durée prévisionnelle totale de l'ensemble des opérations permettant l'évacuation de tous les usagers ne dépasse pas trois heures trente minutes. Le délai peut éventuellement être supérieur pour certaines installations particulières, après accord du STRMTG, et si des mesures d'accompagnement sont prévues pour permettre aux passagers de patienter. Le Panoramic Mont-Blanc est dans ce cas. Comme nous le verrons plus loin, l'un des modes de récupération envisagé par l'exploitant est estimé, en théorie, à 6 h 20 min. Ce délai est très supérieur à 3 h 30 min. L'instruction d'un accord du STRMTG, permettant de vérifier que toutes les mesures d'accompagnement étaient prises en fonction de ces délais importants, aurait été nécessaire. Cela n'a pas été fait. L'exploitant ne l'a pas demandé. L'article 34 de l'arrêté spécifie aussi : « Pour chaque installation dont l'évacuation repose sur la récupération intégrée, des essais fonctionnels des dispositifs mis en oeuvre pour assurer cette récupération intégrée doivent être prévus annuellement. » L'exploitant s'acquittait de cette obligation. L'exercice s'effectue en présence du STRMTG. Il consiste à organiser une récupération en simulant un problème mécanique conséquent, comme un blocage de l'axe de la poulie principale. Cela nécessite de passer le câble tracteur sur des « molettes » de secours en gare de l'Aiguille du Midi. L'entraînement s'effectue alors en mode de sauvetage au moyen du moteur d'Helbronner. L'exercice permet d'effectuer un début de cycle complet de l'opération, sur une durée proche de 2 heures, puis le temps d'évacuation complet est calculé par extrapolation. Le tableau ci-dessous récapitule les durées d'évacuation ainsi obtenues au cours des cinq dernières années. Il s'agit de durée « estimée » par extrapolation des durées réelles mesurées sur le début de l'opération. Un incident lors de l'essai peut conduire, par extrapolation, à des temps estimés importants. distincte, par « récupération » la manoeuvre qui permet de ramener les véhicules avec leurs usagers dans les gares pour s'en affranchir. 53 Durée « estimée » d'évacuation en récupération intégrée lors de l'essai annuel Année 2012 2013 2014 2015 Date de l'essai 18/06/12 06/06/13 20/06/14 22/05/15 Temps d'installation du mode de sauvetage 51 min 78 min 60 min 60 min Temps estimé d'évacuation figurant au PV des essais 4 h 30 min ~ 4 h 30 min ~ 5 h 30 min 7 h 20 min Commentaire La vitesse de rapatriement était de 1 m/s La vitesse de rapatriement obtenue a été de 0,24 m/s (au lieu de 1 m/s) La vitesse de rapatriement a été de 0,25 m/s. Un dysfonctionnement du treuil Helbronner a ajouté un retard d'1 h 2016 12/05/16 60 min ~ 8 h 20 min On observe que le temps d'évacuation en sauvetage intégré s'est dégradé au fil des années. La rénovation des machineries des deux gares n'aurait pas, semble-t-il, apporté d'amélioration. Mais cela est le résultat de réglages mal achevés de l'installation après les travaux. L'essai de récupération en a seulement été le révélateur. Ces durées, constatées par essai, sont bien supérieures au délai de 3 h 30 min mentionné plus haut. Le temps théorique affiché par l'exploitant pour la mise en oeuvre de la récupération intégrée, est de 6 h 18 min (valeur fournie par la dernière version du projet de plan d'évacuation post évènement). L'importance des durées d'évacuation contraste avec la faiblesse des moyens mis en place pour l'assistance aux passagers en difficulté que nous examinerons plus loin. Il semble, de l'ensemble de ces observations, que les conditions d'organisation d'une récupération intégrée sur une installation à risque, comme peut l'être le Panoramic MontBlanc, soient en fait globalement sous-évaluées par les parties prenantes, opérateur comme services de contrôle. Signalons que deux enquêtes techniques du BEA-TT ont par le passé concerné le thème de l'évacuation15 : la première a concerné le déraillement du téléphérique de la Grande Motte à Tignes, survenu le 3 décembre 2011. L'évacuation a duré 7 h 30 min. Au cours de celle-ci une enfant était restée suspendue dans le vide pendant 20 minutes par vent fort et neige ; la seconde a concerné le déraillement du téléphérique de la Bastille à Grenoble, survenu le 29 juin 2014. L'évacuation s'est déroulée correctement en 3 h 30 min. Le premier accident avait montré que l'évacuation pouvait être considérablement compliquée en cas de conditions météorologiques difficiles ou de passager supportant mal cette évacuation (vertige...). Il avait conduit le BEA-TT à émettre des recommandations concernant la vérification, lors d'exercices en conditions difficiles, que les objectifs fixés dans le plan d'évacuation peuvent être tenus. Les téléphériques concernés par ces enquêtes n'étaient pas à « récupération intégrée ». Cependant, les conditions de survenue des accidents montraient que l'imprévu est toujours possible, compliquant les scénarios préétablis, et que le recours en situation ultime à l'évacuation doit toujours être sérieusement envisagé. L'analyse des accidents rappelait aussi que l'évacuation reste, malgré toute autre disposition, une procédure nécessaire qui doit être préparée avec grand soin par l'exploitant. 15 Les rapports d'enquête technique de ces deux accidents sont consultables sur le site Internet du BEA-TT. 54 4.5.3 - Les risques physiologiques d'une immobilisation prolongée Comme nous l'avons vu, avant même l'évènement du 8 septembre 2016, il était de notoriété que le temps d'évacuation sur l'installation pouvait durer de nombreuses heures. Le dernier exercice l'avait estimé à 8 h 20 min. Une attente prolongée en haute altitude présente des risques physiologiques importants pour les personnes, le principal étant le mal aigu des montagnes (MAM). Ce mal est lié à une montée trop rapide en haute altitude et à l'absence d'acclimatation. La sensibilité personnelle est plus ou moins importante. Une personne de jeune âge, ou en surcharge pondérale, ou avec certaines dispositions génétiques y sera plus particulièrement sensible. Il s'agit d'un mal fréquent touchant des gens en bonne santé. Son incidence augmente très rapidement avec l'altitude. Faible en dessous de 2 500 mètres d'altitude, le mal toucherait 60 % des personnes à 4 000 mètres. Le mal apparaît habituellement dans les 4 à 12 heures qui suivent l'arrivée en altitude. Il disparaît immédiatement à la redescente. Les personnes en provenance de la vallée empruntant un téléphérique pour un séjour de courte durée ne sont a priori pas touchées tant que ce séjour ne se prolonge pas. Les symptômes sont variés comme des céphalées, des vomissements ou des vertiges. Les complications sont l'oedème (gonflement) cérébral, l'oedème pulmonaire, ou des comportements désorientés et dangereux. Le mal peut évoluer en coma et être fatal s'il n'est pas pris en charge en urgence médicale. D'autres risques physiologiques sont également à redouter en cas d'attente prolongée : la station assise de plus de 10 heures en hypoxie d'altitude peut occasionner une thrombophlébite favorisée par la déshydratation ; une longue position immobile dans un environnement froid peut conduire le lendemain ou surlendemain à quelques désordres pulmonaires ; le confinement, l'attente, le stress et la peur peuvent entraîner des malaises, crises de panique et conduire à des comportements inconsidérés. L'ensemble de ces risques traduit une évidente exigence à porter une attention particulière à l'assistance aux passagers. 4.5.4 - Les moyens d'assistance aux passagers Les moyens d'assistance aux passagers se sont révélés nettement sous-évalués. Les outils de communication radiophonique Le premier élément d'assistance est la communication avec les passagers. L'article 33 de l'arrêté du 7 août 2009 fait obligation à l'exploitant de mettre en place cette communication : « L'exploitant met en oeuvre les moyens appropriés permettant de communiquer aux usagers l'information de façon claire et intelligible quelle que soit la position des véhicules sur la ligne et même dans des conditions météorologiques défavorables. » Le système d'information a été régénéré à l'occasion du remplacement du système de conduite en 2015. Il permet au conducteur de faire des annonces en cabine, ou de délivrer un message préenregistré en huit langues indiquant où trouver les vivres et les couvertures de survie. Le 8 septembre 2016, trois premières annonces ont été faites par le conducteur vers les cabines entre 15 h 25 et 16 h 30. En réalité, peu habitué au module, il s'est trompé. Le conducteur disposait de deux canaux d'émission des messages. L'un diffuse les messages dans les cabines, l'autre les diffuse uniquement vers les opérateurs qui l'assistent dans la station du Rognon et la gare de la Pointe Helbronner. Il a utilisé le mauvais canal et le message n'a pas été délivré dans les cabines. 55 Le système est aussi unilatéral. Il n'y a pas de possibilité pour les passagers de contacter un opérateur, afin de leur permettre de signaler un malaise par exemple. Sans message, lors de l'immobilisation, certains passagers ont appelé directement le standard de l'exploitant et ont ainsi pu donner l'alerte. Le bon canal d'émission a alors été rétabli. Plus tardivement dans la gestion de crise, le besoin d'un échange bilatéral avec les passagers s'est fait ressentir pour s'assurer de la situation dans chaque cabine. L'exploitant et le PGHM ont constitué une liste des portables dans les cabines. Sur la douzaine de cabines non évacuées avant la nuit, une seule, occupée par une famille étrangère, n'a pas été jointe. À la suite de l'évènement, la phonie a été revue pour mieux répondre aux exigences d'une meilleure gestion d'une immobilisation. Le fonctionnement est désormais à un seul canal dédié à la diffusion des messages. Un numéro d'appel d'urgence, renvoyant vers le standard de la CMB, est affiché dans les cabines pour permettre d'alerter. La phonie n'est en revanche pas bidirectionnelle. L'équipement des cabines Le second élément d'assistance est le nécessaire d'urgence disposé en cabine. Comme nous l'avons décrit au § 2.6, ce kit de survie, tel qu'il était présent dans les cabines le 8 septembre 2016, était très minimaliste. Il s'est avéré que, dans plusieurs cabines le kit était de plus incomplet, l'exploitant ne prenant pas la peine d'en vérifier fréquemment le contenu. Le dispositif a été revu en profondeur à la suite de l'évènement. Désormais, un solide sac de stockage est positionné dans chaque cabine comprenant : 4 anoraks-duvet taille XL à capuche en plume, d'une température de confort de -5 °C ; 4 sacs de survie, plus performants que des couvertures ; 24 barres de céréales et 4 bouteilles d'un litre d'eau. Le poids de l'ensemble est de 8,4 kg et constitue une surcharge de cabine admissible. Le sac est disposé sous une banquette de chaque cabine, avec un plomb de scellement, permettant au personnel d'exploitation, une vérification quotidienne de l'intégrité du sac. Ces dispositions sont de nature à mieux répondre aux exigences d'une attente prolongée. 4.5.5 - La préparation des services de secours et la gestion de crise L'absence de plan d'évacuation et la trop grande confiance de l'exploitant dans le principe de récupération intégrée, avaient conduit à ce qu'aucun dispositif de coordination ne soit établi avec les services publics de secours susceptibles d'intervenir (PGHM). L'exploitant disposait seulement d'une procédure d'urgence qui n'était d'ailleurs pas à jour. Ce point a été revu et a donné lieu aux dispositions suivantes : l'organisation de la récupération intégrée est formalisée dans un « plan de récupération intégrée » en date du 6 juin 2017 validé par arrêté préfectoral ; l'intervention du PGHM en cas d'immobilisation prolongée a été formalisée dans un « plan d'intervention terrestre » en date du 11 mai 2017. Celui-ci organise le secours par 23 gendarmes, l'assistance aux passagers, et l'évacuation de passagers si nécessaire ; un contact annuel est organisé entre CMB et le PGHM, en prévision d'une intervention ; CMB a procédé à une numérotation plus visible des cabines pour les hélicoptères ; des chariots autotracteurs de l'entreprise IMMOOS16, permettant un déplacement facilité des équipes sur les câbles, ont été acquis ; 16 IMMOOS : société suisse spécialisée dans les systèmes et équipements d'évacuation des installations de transport à câble. 56  un enregistrement vidéo des quais est désormais opérationnel permettant de recoller les profils des clients par cabine et d'orienter les secouristes sur les cibles prioritaires (enfants, personnes âgées...) ; deux toilettes sont installées au Rognon, cette gare étant utilisée pour les évacuations ultimes. Ces mesures améliorent significativement la préparation et la capacité d'intervention des secours. Par ailleurs la préparation de CMB à la gestion de crise était aussi insuffisante : les opérateurs ne disposaient pas d'un réel plan de gestion de crise ; l'annuaire de gestion de crise n'était pas à jour ; un modèle de main courante existait, mais n'a été que partiellement utilisé lors de l'évènement. Ces points ont été corrigés. 57 5 - Restitution du déroulement de l'évènement et des secours Le 7 septembre 2016, veille de l'évènement, l'entreprise SEMER intervient sur le Panoramic Mont-Blanc. Elle effectue une opération de réglage de l'installation pour diminuer le temps de cycle de passage des cabines. Cette intervention répond à une attente de CMB, l'exploitant, et de DCSA, son maître d'oeuvre, dans le cadre de la levée des réserves sur les travaux de remplacement des machineries de la télécabine, mais elle n'a pas été validée dans son mode opératoire par eux. L'intervention vise à diminuer le temps de cycle de passage en gare des cabines de 287 à 283 secondes, pour un cadencement optimal. L'opération consiste à augmenter les accélérations et les décélérations lors des changements de vitesse de la ligne, de 0,3 à 0,4 m/s². L'opération, qui modifie des paramètres fonctionnels dans le logiciel de sécurité, s'effectue sous exploitation, sans encadrement des conditions de réalisation, et sans validation de l'exploitant et du maître d'oeuvre, malgré la grande sensibilité de l'installation. Le 8 septembre 2016, le temps est clair. L'affluence des passagers est maximale en début d'après-midi. Depuis le matin, 770 passages ont été enregistrés. Peu après 15 h, 110 passagers sont en ligne, soit un taux d'occupation de 76 %. À 15 h 20, lors de l'accélération de la ligne vers le palier de vitesse maximale de 7 m/s, un effet de rappel se produit. Il est dû à la charge élevée de la ligne et à la valeur forte de l'accélération choisie la veille. L'automatisme de la télécabine détecte un écart de vitesse entre la vitesse mesurée sur la poulie, et la vitesse théorique attendue. Un arrêt d'urgence au frein de sécurité se déclenche conformément au fonctionnel de sécurité de l'installation. L'intense effort de retenue de la ligne dû au freinage provoque des oscillations verticales importantes du câble tracteur sur les portées. Elles se couplent aux oscillations persistant de l'accélération antérieure. Le câble tracteur passe au-dessus du câble porteur et redescend par le côté opposé à sa montée. Il croise en trois endroits : sur deux portées entre les trains de cabine situées sur la voie Requin, entre l'Aiguille du Midi et le Rognon, et sur une portée de cette même voie entre le Rognon et la Pointe Helbronner. Le croisement empêche tout déplacement relatif des deux câbles. La ligne est immobilisée. Le phénomène de croisement est connu de l'exploitant. Treize situations de croisement ont été tracées depuis 2008, année où un suivi des occurrences de croisement a été commencé. De plus, une procédure écrite prescrit les opérations à conduire pour opérer un décroisement. Il s'agit de « tirer » sur le câble tracteur pour le refaire passer au-dessus du câble porteur, à partir des machineries de l'Aiguille du Midi ou de la Pointe Helbronner selon la position du point à décroiser. À 15 h 53, des tentatives de décroisement sont conduites entre l'Aiguille du Midi et le Rognon, avec le moteur principal de l'Aiguille du Midi. Elles parviennent à supprimer deux croisements. Il en reste alors un, entre le Rognon et la Pointe Helbronner. À 16 h 39, après trois tentatives de décroisement avec le moteur de sauvetage d'Helbronner, un flexible de haute pression d'alimentation du moteur se rompt. La rupture est due à une malfaçon dans le sertissage du flexible, effectué à la pose, quelques mois plus tôt. Après rupture du flexible, le moteur est hors service. La ligne est immobilisée sans espoir de décroisement. Pendant toutes ces opérations, les passagers patientent sur la ligne immobilisée. Ils devraient être normalement tenus informés à intervalle régulier par des messages sur la sonorisation installée en cabine. Mais par suite d'une erreur de manipulation du canal radio par le conducteur peu habitué au système, les messages ne sont pas délivrés en cabine. L'erreur est corrigée vers 17 h, à la suite d'appels téléphoniques de passagers 59 inquiets au standard de l'exploitant. Les messages d'information sur l'immobilisation de la télécabine sont alors normalement délivrés. La télécabine est dite à « récupération intégrée ». Son évacuation est prévue moyennant le retour des véhicules en gare, en toute circonstance. Il en est ainsi depuis l'origine de l'appareil. L'assurance du retour des cabines est obtenue par des dispositions de conception et des procédures particulières, fiables et sécuritaires. Une analyse de sécurité justifiant ces dispositions a été élaborée avant la saison 2016 mais comportait certaines lacunes. L'une est la non-prise en compte du risque de panne du moteur de sauvetage d'Helbronner. Une autre est l'absence de plan de sauvetage ultime. À 17 h 20, après confirmation de l'impossibilité de redémarrer le moteur en panne, aucun moyen de récupération des cabines ne semble possible. L'assistance du PGHM de Chamonix est sollicitée. Une évacuation par hélitreuillage est alors décidée. Aucune coordination, ni exercice préalable entre l'exploitant et le PGHM, ne l'a préparée. Le plan NOVI est déclaré. Le préfet de Haute-Savoie se rend sur les lieux. À 18 h, les opérations d'hélitreuillage démarrent. Elles mobiliseront quatre hélicoptères sur la zone. À 20 h 30, 54 personnes sont évacuées. L'arrivée de nuages, puis la tombée de la nuit, empêchent de poursuivre l'hélitreuillage. Le sauvetage se poursuit par sauvetage vertical puis marche sur le glacier ; 24 passagers sont à nouveau secourus. Puis l'évacuation est suspendue dans la nuit ; 32 passagers vont rester dans les cabines, assistés de 3 sauveteurs qui ont été acheminés. Pendant la nuit, l'entreprise POMA, et son sous-traitant HYDRO-TS, installateurs de la motorisation défaillante de la télécabine, arrivent sur les lieux. Leur intervention permet de rendre le moteur de sauvetage de la Pointe Helbronner à nouveau opérationnel à 3 h 30. À 6 h 45, après le lever du jour, de nouvelles tentatives de décroisement sont engagées, avec succès. À 7 h 05, le dernier point de croisement est supprimé. Toutefois, le décroisement occasionne un déraillement de l'une des cabines, vide : la grande sensibilité de l'installation produit à nouveau un autre incident de sécurité. Quatre déraillements de ce type ont été recensés par le passé dans la liste des évènements significatifs connus du STRMTG. Un dispositif de « diabolos » sur le chariot support de cabine permet de rattraper celle-ci dans ce cas. Bien qu'assez léger, il a correctement fonctionné. L'évacuation reprend en ripant la cabine déraillée à une très faible allure de 0,5 m/s. Elle prend fin à 8 h 50. Depuis l'immobilisation initiale, 17 h 30 min se sont écoulées. 60 6 - Analyse des causes et facteurs associés, orientations préventives 6.1 L'arbre des causes Figure 28 : arbre des causes ­ première partie 61 Figure 29 : arbre des causes ­ deuxième partie 6.2 - Les causes de l'évènement Le fait initiateur de l'immobilisation prolongée de la télécabine est le déclenchement d'une sécurité, qui aurait théoriquement vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du comportement dynamique de la ligne due à un nouveau réglage de l'installation effectué la veille par le technicien de l'entreprise SEMER. 62 Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes ayant conduit à ces circonstances sont les suivantes : la sensibilité de l'appareil aux oscillations du câble tracteur qui conduit, dans certaines configurations, à des croisements avec le câble porteur et à une immobilisation à risque ; l'existence d'une malfaçon, qui a provoqué la casse d'un flexible lors des tentatives de décroisement, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été préalablement vérifiée ; un principe d'évacuation par « récupération intégrée » fragile reposant sur une analyse de défaillance incomplète ne traitant pas certaines éventualités, doublée d'une confiance en ce principe qui a amené à ne pas élaborer de « plan de sauvetage ultime » ; des dispositifs de secours, d'assistance et de communication aux passagers, sous-estimés malgré des durées de récupération prévisionnelles susceptibles de prendre plusieurs heures ; un manque de rigueur de l'exploitation dans le traitement de défauts latents et dans l'organisation d'un haut niveau de sécurité permanent de l'installation. En situation de crise, les moyens importants déployés, conjointement par l'exploitant et les services de secours, ont permis d'assurer un dénouement positif et sans victime. Les orientations préventives sont à rechercher dans les cinq domaines mentionnés ci-dessus. 6.3 - La sensibilité de l'installation aux effets dynamiques La cause première de l'évènement a été la modification, dans le pilote automatique, du paramètre de l'accélération de la ligne, par le technicien de l'entreprise SEMER, la veille. Cette modification a eu des conséquences en raison de la sensibilité particulière de l'appareil aux phénomènes dynamiques. Du fait de ses caractéristiques techniques, le Panoramic Mont-Blanc est sensible à plusieurs phénomènes dynamiques non courants sur les téléphériques. L'enquête en a dénombré de trois natures : les amples oscillations du câble tracteur en ligne, lors des accélérations ou décélérations, qui peuvent atteindre plusieurs dizaines de mètre d'amplitude, et qui produisent des effets de mouvement des cabines ou de rappel sur la ligne ; le croisement des câbles, conséquence du précédent, qui produit des immobilisations et conduit à des opérations de décroisement délicates ; le déraillement de cabine, conséquence du précédent et à l'issue incertaine. Les oscillations du câble tracteur et le croisement des câbles La réglementation technique ne définit pas précisément de prescription concernant la limitation des oscillations du câble tracteur. Leur effet, très souvent limité, est pris en compte par simple application d'un coefficient forfaitaire d'amplification des effets statiques. Le croisement de câbles et le déraillement de cabine sont des phénomènes redoutés, contraires à la sécurité. Les oscillations sont d'une nature très particulière sur cette installation et sans commune mesure avec la majorité des téléportés. 63 À titre d'illustration de cet écart avec les autres téléportés, le guide RM 2 du STRMTG fixe la règle suivante pour l'évaluation de l'amplitude de l'oscillation du câble tracteur : selon le paragraphe A3-7.2.1.3, « déviation verticale des câbles », l'évaluation de l'enveloppe du gabarit du câble s'effectue « en supposant une variation de ±20 % de la flèche extrême en mouvement uniforme ». Pour le Panoramic Mont-Blanc la flèche du câble tracteur en mouvement uniforme est de 36 m. Sous freinage, elle diminue à 17 m (voir figure 22), soit -47 %. L'effet est hors norme. L'exploitant a recherché, par l'installation d'un pilotage de la référence de vitesse lors de la rénovation de 1996, à minimiser l'occurrence des effets dynamiques atypiques. S'accommodant des résultats obtenus, et bien que les effets subsistent en partie, il n'a pas cherché à approfondir spécifiquement leur compréhension. Il n'a pas cherché à donner un cadre très sécuritaire à leur maîtrise, ni encore, à l'occasion de la dernière rénovation de l'appareil en 2015 et 2016, à amoindrir leur risque d'occurrence. Les ingénieries qui ont étudié la rénovation de l'installation se sont basées sur l'expérience rapportée par l'exploitant, peu documentée, et n'ont pas cherché à mieux évaluer ces phénomènes. Les technologies connues et utilisées par ces ingénieries ne permettent pas la simulation des effets dynamiques de ligne de l'appareil pour les quantifier. Dans le cadre des travaux, une prescription du CCTP donnait une valeur limite de l'accélération, mais elle concernait de manière équivoque le confort. Enfin, avant l'évènement du 8 septembre 2016, les essais dynamiques de l'appareil se déroulaient selon des modalités qui minimisaient volontairement les mouvements de câbles et les risques encourus dans des configurations plus pénalisantes. Suite au 8 septembre 2016, de nombreux essais ont permis de mieux appréhender le comportement dynamique. Il a été mis en évidence des cas de charge et des configurations d'arrêt qui produisent des croisements de câbles. Il apparaît clair que ces croisements sont inéluctables et doivent être considérés comme « indissociables » de l'installation. Un freinage d'urgence produit, dans certaines configurations de charge, des oscillations du câble tracteur qui amènent à un ou plusieurs croisements. Il serait vraisemblablement impossible de poursuivre une exploitation en souhaitant s'en affranchir sur le Panoramic Mont-Blanc. Contrairement aux autres téléportés, ces phénomènes dynamiques se produisent fatalement à l'intérieur même du domaine d'utilisation courante de l'installation. Afin d'amoindrir ces effets, le paramétrage du pilote automatique a été revu : l'accélération a été ramenée de 0,3 à 0,2 m/s². La décélération de certains types de freinage a été atténuée. Les croisements n'ont pas pour autant pu être supprimés. L'ensemble de ces développements ont permis de progresser dans la connaissance et la maîtrise des effets dynamiques. Une réserve de l'arrêté préfectoral de remise en service demandait d'aller plus loin et de « définir les cas de charges et les essais, à réaliser en inspection annuelle, les plus pénalisants pour le croisement (freinage, accélération, décélération, freinage d'urgence sur accélération...) [...] ». Elle a été traitée incomplètement. Les cas de charge pénalisants n'ont pas été clairement définis. Le cas de charge du 8 septembre 2016, considéré comme le plus pénalisant qui soit connu, ne représente que 76 % de la charge maximale d'exploitation. Certaines configurations pourraient être plus pénalisantes. Faute de définition des cas de charge « enveloppes », il nous semble que la géométrie des essais annuels n'a pas non plus évolué. Notre perception est que la connaissance des risques dynamiques a bien été approfondie sans pour autant qu'elle conduise à une analyse stabilisée, précise et formalisée. 64 Il nous semble que ces risques, parce qu'ils sont hors du commun par rapport aux autres installations, et parce qu'ils conduisent à une insécurité, devraient faire l'objet d'un encadrement rigoureux qui n'a pas encore été atteint. Ainsi, les réglages finalisés de l'installation permettant de minimiser les risques devraient être décrits formellement, en précisant l'attention particulière à porter vis-à-vis des modifications ou des dérives de ceux-ci (accélération, décélération, tension du câble...) et en décrivant les mesures propres à garantir la stabilité du comportement. L'enveloppe des effets dynamiques devrait être caractérisée, avec description des configurations de charge à risque qui les produisent (nature des arrêts, charge en ligne...) Les essais dynamiques périodiques seraient aussi à compléter avec les configurations les plus pénalisantes, de manière à vérifier la stabilité de comportement dans le temps. Il conviendrait de statuer préalablement sur des critères, mesurables lors de ses essais, permettant de valider le comportement et sa non-dérive. La transcription de l'ensemble de ces enseignements de retour d'expérience permettrait de donner un cadre pérenne formalisé et accessible à tous les intervenants pour l'exploitation future, afin de ne pas renouveler les approximations des interventions sur l'installation. Afin de renforcer le traitement du risque associé aux effets dynamiques dangereux d'oscillation du câble tracteur et de croisement des câbles, le BEA-TT émet la recommandation ci-après. Recommandation R1 adressée à la société Compagnie du Mont-Blanc (CMB) : Formaliser les enseignements des analyses et essais sur le comportement dynamique du Panoramic Mont-Blanc dans un document de type « consigne » à l'usage des intervenants futurs de l'exploitation, décrivant : les réglages retenus pour l'installation devant faire l'objet d'une attention soutenue vis-à-vis de leurs modifications ou de leurs dérives ; l'enveloppe des effets dynamiques à risque avec description des configurations de charge qui les produisent ; les essais dynamiques périodiques à réaliser de manière à garantir la stabilité de comportement dans le temps, en statuant sur les critères, mesurables lors des essais, permettant de valider le comportement et sa non-dérive. Les modifications des paramètres fonctionnels Les interventions de modification des paramètres de réglage impactent les effets dynamiques. Elles n'étaient pas encadrées par des règles nettes. Une prescription figurait bien dans le CCTP des travaux, sur la limitation du choix d'accélération de l'installateur à la valeur préexistant aux travaux. Elle concernait un objectif de confort des passagers et des personnels et non la sécurité. Il n'y avait, de plus, pas de cadre spécifique pour les interventions sur l'appareil, sous forme d'une procédure par exemple, eu égard à sa sensibilité dynamique particulière. Une réserve faite dans l'arrêté préfectoral de remise en service demandait de « recenser les cas de modification de paramètres fonctionnels de l'appareil engendrant des mouvements de câbles et pour lesquels des essais complémentaires [...] seraient nécessaires ». Elle n'a pas été instruite par l'exploitant sur le fond. L'impossibilité de simuler les effets dynamiques, avec les technologies connues et utilisées par DCSA et POMA, et de déterminer donc les paramètres sensibles, l'explique. 65 L'exploitant a conclu que les modifications devront à l'avenir faire l'objet de son approbation formelle préalable, avec avis, si nécessaire, d'un second regard de maître d'oeuvre. La recommandation R1 doublée de cette disposition formelle sont de nature à encadrer le risque d'une intervention intempestive d'un prestataire telle que celle effectuée la veille du 8 septembre 2016. Le BEA-TT n'émet donc pas de recommandation supplémentaire. La réglementation Au-delà des mesures de renforcement citées ci-dessus et concernant l'installation, nous avons noté de manière plus générale que la réglementation ne fixe pas assez d'exigence sur les effets dynamiques à risque. La réglementation fait peu de cas des risques liés à l'oscillation des câbles. Ceux-ci sont à prendre en compte par des coefficients amplificateurs des effets statiques non adaptés dans le cas présent. La réglementation sur les essais dynamiques demande une vérification de la capacité du frein. Elle ne prescrit pas de tester l'acceptabilité des effets secondaires, tels que les oscillations de câble. Elle ne demande pas de tester l'ensemble du système dans la fonction de freinage. Certes, sur les installations classiques les effets secondaires sont négligeables. Mais pour certaines installations, comme le Panoramic Mont-Blanc, ils peuvent être prépondérants. Le manque de précision de la réglementation peut inciter les acteurs, exploitants, techniciens d'inspection et services de contrôle, à minimiser l'importance des risques, comme ce fut le cas pour la conduite des essais dynamiques du Panoramic Mont-Blanc. Pour y remédier, la réglementation doit être améliorée. Le BEA-TT émet la recommandation ci-après. Recommandation R2 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Compléter les règles des guides techniques RM1 et RM2 sur les essais dynamiques, pour les installations qui sont sensibles aux effets d'oscillations de câble, par une double obligation d'évaluation des cas de charge dynamique les plus pénalisants, et de conduite d'essais avec ces cas de charge. Le déraillement de cabine L'installation présente un risque vis-à-vis du déraillement de cabine en exploitation courante. Celui-ci survient soit au moment du croisement, soit lors du décroisement. Le risque est traité au moyen d'une disposition constructive qui semble sommaire pour assurer la retenue de la cabine en toute circonstance. Les efforts et les mouvements lors d'un croisement ou décroisement mettent en jeu beaucoup d'énergie. Des dispositions pertinentes ont été prises par le passé pour améliorer le rattrapage et la détection en cas de déraillement. Celles-ci ont correctement fonctionné jusqu'à présent. Pour le rattrapage, le système de diabolo semble bien sommaire au regard du risque dans la mesure où le déraillement se produit en situation d'exploitation normale. Il conviendrait de vérifier le réalisme de la parade au vu des énergies en jeu. Le BEA-TT émet ainsi la recommandation ci-après. Recommandation R3 adressée à la société Compagnie du Mont-Blanc (CMB) : Étudier la faisabilité d'améliorer la sécurité au déraillement des cabines par le renforcement du dispositif physique de retenue des cabines. 66 6.4 - La vérification de l'aptitude au décroisement Une fois l'installation arrêtée et les croisements de câbles constatés, le décroisement du troisième croisement n'a pas pu être réalisé, immobilisant l'appareil pour une longue durée. La cause est la casse du flexible d'alimentation du moteur de sauvetage d'Helbronner qui souffrait d'une malfaçon. L'aptitude de cet équipement à réaliser le décroisement n'avait pas été vérifiée. Concernant ce point, des études ont été conduites pour déterminer, par le calcul, les cas de charge les plus défavorables pour le décroisement. L'exploitant a proposé que le contrôle de l'aptitude au décroisement, sous ces cas de charge, soit intégré à l'inspection périodique annuelle. Par ailleurs, la machinerie défaillante d'Helbronner a fait l'objet de plusieurs travaux correctifs pour améliorer sa performance. Ces adaptations sont de nature à garantir plus efficacement la sécurité de l'installation au décroisement. Concernant la malfaçon, nous pouvons constater que l'ensemble de la chaîne de contrôle qualité ne l'a pas détectée, depuis, et en premier lieu, le poseur, jusqu'à l'exploitant, en passant par l'entreprise titulaire et la maîtrise d'oeuvre. Il nous semblerait normal que chacun des intervenants instruise, au travers de son système de management de la qualité, la non-conformité qui a conduit à mettre en service un organe défaillant. La mesure nouvelle de vérification de l'aptitude au décroisement nous semble de nature à désormais garantir un contrôle final. Ainsi, les dispositions arrêtées par l'exploitant vis-à-vis de la vérification de l'aptitude au décroisement nous semblent suffisantes. Le BEA-TT n'émet pas de recommandation. 6.5 - Le principe d'évacuation par récupération intégrée Le principe d'évacuation par récupération intégrée a montré sa pertinence dans le présent évènement : au final, les cabines ont pu être rapatriées en gare après le traitement des multiples défaillances du système. Ce qui pose question, c'est l'incomplétude et l'inexactitude de l'analyse de risque justifiant la récupération intégrée, et la mauvaise résilience de l'installation en résultant. L'étude de sécurité de l'appareil esquissée par le maître d'oeuvre s'appuyait pour l'essentiel sur la probabilité quasi nulle d'une défaillance simultanée de la motorisation de sauvetage en gare de la Pointe Helbronner avec une autre motorisation. Elle n'identifiait pas le croisement de câbles comme un risque, et en conséquence le fait que la seule défaillance de la motorisation d'Helbronner empêcherait le décroisement et immobiliserait l'installation. Pour certains évènements extrêmes (séisme...), l'étude ne trouvait pas de parade et ne les traitait pas. Ceci aurait dû inciter au développement d'un « plan de sauvetage ultime ». La justification d'une récupération intégrée exige plus de rigueur. L'évaluation des risques et la définition de parades doivent être plus complètes. Il est vrai, à la faveur des auteurs d'une telle étude, que les cas d'application sont rares et que le retour d'expérience est peu développé. L'étude de risque du Panoramic Mont-Blanc a aujourd'hui été reprise et offre les garanties d'une plus grande rigueur et complétude. Le principe de récupération intégrée des téléphériques gros porteurs ne doit pas être remis en cause. Sur les installations où l'évacuation verticale présente des difficultés flagrantes, ce principe reste à privilégier, et serait à promouvoir sur plusieurs installations aujourd'hui en service. 67 Avec le retour d'expérience de cet évènement, il convient de fiabiliser les études de sécurité de ces installations autour de deux principes : garantir l'exhaustivité des risques en intégrant le plus large retour d'expérience qui soit ; prendre en compte un « plan de sauvetage ultime », couvrant les situations imprévues et incontrôlables, coordonné avec les services publics de secours qui sont appelés à intervenir en soutien. Le retour d'expérience peut être capitalisé par le service national de contrôle des remontées mécaniques, le STRMTG qui a la vision globale à la fois des incidents et des études de sécurité produites sur le plan national. II serait à diffuser largement aux acteurs en charge de l'établissement des études. Le BEA-TT émet ainsi la recommandation ci-après. Recommandation R4 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Établir la liste minimale des risques à prendre en compte dans les études de sécurité des téléphériques à récupération intégrée, et la mettre à disposition des bureaux d'études et exploitants. Imposer, dans ces études de sécurité, la prise en compte de dispositions ultimes pour couvrir les risques extrêmes d'immobilisation sans recours. 6.6 - Les moyens d'assistance et de secours en cas d'immobilisation prolongée Les risques physiologiques d'une immobilisation prolongée ont été incomplètement pris en compte. De ce fait, les moyens d'assistance aux passagers se sont avérés nettement sous-évalués, tant sur le plan des moyens de communication avec les passagers, que sur l'équipement de « survie » en cabine. Ces moyens ont été depuis sérieusement renforcés par l'exploitant. Le kit de survie a été revu. Un numéro d'appel de l'exploitant est désormais affiché en cabine. La vidéosurveillance permet de connaître l'état d'occupation de chaque cabine. Un « plan d'intervention terrestre » a été formalisé pour préparer et faciliter l'intervention d'assistance aux passagers par le PGHM en cas de secours ultime. Dans la mesure où ces moyens ont été profondément renforcés, le BEA-TT n'émet pas de recommandation sur ce point. Préalablement à l'évènement, le cadre formel par lequel les moyens d'assistance et de secours ont été définis a fait l'objet de plusieurs manquements. On peut citer, en premier lieu, l'absence du règlement d'exploitation avec avis conforme du Préfet, qui est pourtant obligatoire. On peut citer également l'absence du plan d'évacuation d'urgence. Ces documents avaient été demandés par le STRMTG dans son avis favorable à la poursuite de l'exploitation suite à la modification de la machinerie, sur deux saisons successives. L'absence de ces documentations, et de leur instruction en préfecture, a contribué à l'imprécision des modalités prévues pour l 'évacuation, des délais à prendre en compte et des moyens à déployer pour assister les passagers lors d'immobilisation prolongée. Nous observons que le STRMTG, service de contrôle, a manqué d'exigence en tolérant que ses propres demandes soient sans effet, et ceci dans la durée. Le BEA-TT invite le STRMTG à vérifier plus rigoureusement l'existence et la pertinence des documents d'exploitation requis par la réglementation. 68 6.7 - La rigueur de l'exploitation en faveur du maintien d'un haut niveau de sécurité L'immobilisation prolongée est pour partie le résultat de défauts latents et d'une faible résilience de l'installation et de son exploitation. L'enquête a mis en évidence plusieurs écarts dans la rigueur d'exploitation nécessaire à maintenir un haut niveau de sécurité. Ont ainsi été décrits dans le présent rapport : l'absence de production d'un règlement d'exploitation malgré la demande formulée sur deux saisons successives par le STRMTG. Comme nous venons de le dire ci-dessus, ce document est une exigence réglementaire incontournable qui formalise les principes de toute l'organisation de la sécurité de l'exploitation ; l'absence de production d'un plan d'évacuation malgré la demande formulée sur deux saisons successives par le STRMTG ; l'absence de demande d'accord au STRMTG sur le non-respect du temps maximum de rapatriement en cas d'évacuation, fixé à 3 h 30 min par la réglementation. Le scénario de rapatriement en mode de sauvetage intégré était évalué par l'exploitant à une durée de 6 h 20 min ; l'absence d'analyse ou de suite au constat du temps de rapatriement des cabines qui augmentait au fil des ans lors des essais. La durée estimée de rapatriement augmentait du fait de défauts latents de l'installation qui présageaient de difficultés en cas de sauvetage et demandaient un traitement ferme ; l'absence de réponse donnée aux sollicitations du PGHM sur la sensibilité du PMB et du Téléphérique de l'Aiguille du Midi (TAM) concernant l'évacuation, conjuguée à l'absence de présentation de l'installation au PGHM, l'exploitant restant trop confiant dans le principe de récupération intégrée ; l'absence d'un réel plan de gestion de crise, d'annuaire de gestion de crise à jour, d'une main courante bien renseignée lors des évènements ; une appropriation insuffisante de la nouvelle ergonomie du poste de conduite par les opérateurs, évoquée lors de nos entretiens et constatée lors de la mise en situation sur site ; l'acceptation d'interventions de prestataires durant l'exploitation avec passagers, sans accord/information/contrôle préalable, sans évaluation des risques pour les passagers, sans comptes rendus d'intervention ni communication immédiate des paramètres changés avec justification de l'absence d'impact sur la sécurité d'une installation particulièrement sensible ; l'existence de défauts de fonctionnement connus sur la nouvelle installation, sans être encore corrigés, conduisant les opérateurs à trouver des palliatifs non sécuritaires (cas du capteur de « prêt au départ » du frein de secours d'Helbronner) ou gênant la tâche du personnel exploitant (cas des communications radio entre les stations sautant très fréquemment ­ ce point est cité pour mémoire. Il n'a pas été approfondi, ni décrit, dans le corps du rapport) ; une traçabilité non rigoureuse lors des opérations de décroisement, et lors d'autre accidents comme les déraillements ou les alarmes de chevauchement, alors que l'installation est particulièrement sensible, et que cette traçabilité est fondamentale pour alimenter un retour d'expérience utile pour l'exploitant. La culture de sécurité de l'exploitant et de ses opérateurs doit être renforcée. Le BEA-TT émet la recommandation ci-après. 69 Recommandation R5 adressée à la société Compagnie du Mont-Blanc (CMB) : Mettre en oeuvre un plan pour renforcer de manière pérenne le management de la sécurité de l'exploitation du Panoramic Mont-Blanc en : garantissant la complétude de la documentation de sécurité, et la bonne information des personnels et interlocuteurs externes qui doivent l'appliquer ; assurant une traçabilité et un suivi des défauts de fonctionnement, ainsi que de la réalisation des actions conduites pour y remédier ; assurant une traçabilité exhaustive des incidents et accidents pour consolider le retour d'expérience ; assurant un plan de maîtrise des interventions des prestataires lors des périodes d'exploitation. 70 7 - Conclusions et recommandations 7.1 Conclusions Le fait initiateur de l'immobilisation prolongée du téléphérique est le déclenchement d'une sécurité, qui aurait théoriquement vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du comportement dynamique de la ligne due à un nouveau réglage de l'installation effectué la veille par le technicien de l'entreprise SEMER. Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes ayant conduit à ces circonstances sont les suivantes : la sensibilité de l'appareil aux oscillations du câble tracteur qui conduit, dans certaines configurations, à des croisements avec le câble porteur et à une immobilisation à risque ; l'existence d'une malfaçon, qui a provoqué la casse d'un flexible lors des tentatives de décroisement, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été préalablement vérifiée ; un principe d'évacuation par « récupération intégrée » fragile reposant sur une analyse de défaillance incomplète ne traitant pas certaines éventualités, doublée d'une confiance en ce principe qui a amené à ne pas élaborer de « plan de sauvetage ultime » ; des dispositifs de secours, d'assistance et de communication aux passagers, sous-estimés malgré des durées de récupération prévisionnelles susceptibles de prendre plusieurs heures ; un manque de rigueur de l'exploitation dans le traitement de défauts latents et dans l'organisation d'un haut niveau de sécurité permanent de l'installation. 7.2 - Recommandations Recommandation R1 adressée à la société Compagnie du Mont-Blanc (CMB) : Formaliser les enseignements des analyses et essais sur le comportement dynamique du Panoramic Mont-Blanc dans un document de type « consigne » à l'usage des intervenants futurs de l'exploitation, décrivant : les réglages retenus pour l'installation devant faire l'objet d'une attention soutenue vis-à-vis de leurs modifications ou de leurs dérives ; l'enveloppe des effets dynamiques à risque avec description des configurations de charge qui les produisent ; les essais dynamiques périodiques à réaliser de manière à garantir la stabilité de comportement dans le temps, en statuant sur les critères, mesurables lors des essais, permettant de valider le comportement et sa non-dérive. 71 Recommandation R2 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Compléter les règles des guides techniques RM1 et RM2 sur les essais dynamiques, pour les installations qui sont sensibles aux effets d'oscillations de câble, par une double obligation d'évaluation des cas de charge dynamique les plus pénalisants, et de conduite d'essais avec ces cas de charge. Recommandation R3 adressée à la société Compagnie du Mont-Blanc (CMB) : Étudier la faisabilité d'améliorer la sécurité au déraillement des cabines par le renforcement du dispositif physique de retenue des cabines. Recommandation R4 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Établir la liste minimale des risques à prendre en compte dans les études de sécurité des téléphériques à récupération intégrée, et la mettre à disposition des bureaux d'études et exploitants. Imposer, dans ces études de sécurité, la prise en compte de dispositions ultimes pour couvrir les risques extrêmes d'immobilisation sans recours. Recommandation R5 adressée à la société Compagnie du Mont-Blanc (CMB) : Mettre en oeuvre un plan pour renforcer de manière pérenne le management de la sécurité de l'exploitation du Panoramic Mont-Blanc en : garantissant la complétude de la documentation de sécurité, et la bonne information des personnels et interlocuteurs externes qui doivent l'appliquer ; assurant une traçabilité et un suivi des défauts de fonctionnement, ainsi que de la réalisation des actions conduites pour y remédier, assurant une traçabilité exhaustive des incidents et accidents pour consolider le retour d'expérience ; assurant un plan de maîtrise des interventions des prestataires lors des périodes d'exploitation. Le BEA-TT invite le STRMTG à vérifier plus rigoureusement l'existence et la pertinence des documents d'exploitation requis par la réglementation. 72 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Relevé chronologique et détaillé des évènements Annexe 3 : Données sur les incidents d'exploitation 73 Annexe 1 : Décision d'ouverture d'enquête 75 Annexe 2 : Relevé chronologique et détaillé des évènements Heure 15 h 20 Délai écoulé Opérations techniques Arrêt d'urgence de l'appareil en gare de l'Aiguille du Midi suite à défaut : « écart de vitesse droit/référence » Lors de l'arrêt signalement des défauts : « tension câble haute » et « chevauchement de câble » Analyse des défauts par le conducteur Acquittement des défauts Appel radio du conducteur au Rognon et à Helbronner pour contrôle visuel Observation aux jumelles de la ligne depuis les trois gares RAS depuis la gare Helbronner Appel du conducteur au chef de secteur Confirmation de 3 croisements par la station du Rognon Mise en place de la procédure de décroisement Mise en place du 1er amarrage fixe côté Aiguille du Midi en station du Rognon Actions de prise en charge des passagers 15 h 21 1 min 15 h 22 2 min 15 h 23 3 min 15 h 25 5 min 15 h 28 8 min 15 h 30 10 min 15 h 45 25 min Accouplement de la machinerie de secours Information des passagers en attente à la en gare Helbronner gare Helbronner Appel du chef d'exploitation Réception des 1ers appels téléphoniques de passagers bloqués Arrivée du chef d'exploitation Confirmation de la mise en place des mordaches par la station du Rognon Machinerie au « prêt » en gare Helbronner Envoi Info panne sur installation Appel du PC info et de la direction générale Information du conducteur vers les cabines 1er tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière Pas de décroisement Mise en tension de la fixation à la station du Rognon 2e tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière 1er décroisement de la ligne entre l'Aiguille du Midi et le Rognon Reprise du mou du câble en sens marche arrière 3e tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière 2e décroisement de la ligne entre l'Aiguille du Midi et le Rognon 15 h 46 26 min 15 h 53 33 min 15 h 54 34 min 15 h 59 39 min 76 16 h 07 47 min Mise en route de l'appareil de l'Aiguille du Midi en marche avant pour relâcher le tir Confirmation du décroisement par la station du Rognon Mise en route de l'appareil de l'Aiguille du Midi en marche avant pour retirer le point fixe et suppression du point fixe à la station du Rognon Mise en place du 2e amarrage fixe en station du Rognon du côté de la Pointe Helbronner Mise en tension du fixe par l'appareil de la Réception par l'exploitant d'appels gare Helbronner en marche avant téléphoniques de passagers avec demande 1re tentative de décroisement par l'appareil d'information d'Helbronner en marche avant Reprise du mou de câble par l'appareil de l'Aiguille du Midi en marche avant Information par la station du Rognon que des passagers tentent de sortir de cabine Affrètement d'un hélicoptère de la compagnie Chamonix Mont-Blanc Hélicoptère, puis survol de la ligne par le chef d'exploitation pour tenter de rassurer les passagers Mise en pré-alerte du PGHM Constat depuis la station du Rognon que la flèche se tend mais pas suffisamment 2e tentative de décroisement par l'appareil d'Helbronner en marche avant 2e reprise du mou de câble par l'appareil de l'Aiguille du Midi en marche avant Constat de non possibilité de décroiser 3e tentative de décroisement par l'appareil d'Helbronner en marche avant Rupture d'un flexible hydraulique Appel du chef d'exploitation au Directeur Général Tentative d'identification du problème en gare Helbronner Rupture sur moteur hydraulique identifiée par la gare Helbronner Mise en pré-alerte du PGHM par le chef d'exploitation Appel informant de l'immobilisation l'appareil au STRMTG, au Maire Chamonix et au PGHM de de 16 h 10 50 min 16 h 15 55 min 16 h 22 1 h 2 min 16 h 26 1 h 6 min 16 h 30 1 h 10 min 16 h 35 1 h 15 min 16 h 38 1 h 18 min 16 h 39 1 h 19 min 16 h 40 1 h 20 min 16 h 45 1 h 25 min 16 h 50 1 h 30 min 17 h 00 1 h 40 min Héliportage de renforts vers la gare Communication au Directeur Général des Helbronner. Survol des cabines par le chef numéros des passagers bloqués. d'exploitation pour tenter de rassurer les passagers 77 17 h 10 1 h 50 min Confirmation de l'impossibilité de réparer Information de comportement agité de passagers Information aux passagers (heure estimée de la correction du canal de diffusion des messages vers les cabines) 17 h 20 2 h Tentative vaine de décroisement à partir de Décision d'évacuation par le SKYWAY des l'appareil de l'Aiguille du Midi clients en attente à la Pointe Helbronner Demande d'intervention au PGHM 2e tentative de tir, vaine également Recherche de moyens de transport entre l'Italie et la France Engagement d'un 1er hélicoptère de la sécurité civile par le PGHM Accueil de représentants du STRMTG ; reconstitution des faits Réception des équipes de secours Mise en place d'une structure d'accueil des retours sur le versant italien Mise en place d'un accueil des passagers en gare du TAM 1 et en DZ de Chamonix 1res évacuations par hélitreuillage 17 h 30 2 h 10 min 17 h 35 18 h 00 2 h 40 min 18 h 30 3 h 10 min 18 h 42 19 h 20 Déclenchement du plan « Novi » (nombreuses victimes) destiné à secourir des victimes en nombre important. PC de crise avec le préfet dans les locaux du PGHM à Chamonix Engagement d'un 2e hélicoptère de la sécurité civile venu en renfort Engagement d'un hélicoptère italien, ce qui porte à 4 le nombre d'hélicoptère sur l'intervention Arrivée de nuages gênant l'évacuation Approvisionnement de vivres de secours sur l'aire d'atterrissage d'hélicoptère (Drop Zone) de Chamonix 26 personnes sont évacuées des cabines, hélitreuillées et déposées au Rognon ou à la Pointe Helbronner Coucher du soleil Accueil et organisation du rapatriement des personnes héliportées vers la Pointe Helbronner : Réservation d'hôtels et transferts entre France et Italie 19 h 30 4 h 10 min 19 h 46 19 h 55 4 h 35 min 20 h 25 5 h 5 min 20 h 30 Tombée de la nuit 54 personnes évacuées Arrêt des opérations d'hélitreuillage et rapatriement par hélicoptère des passagers déposés à la DZ du Rognon Début des opérations sauvetage vertical. Décision de faire intervenir POMA pour réparation de l'appareil d'Helbronner Demande du décroisement préfet de tenter un d'évacuation par 21 h 21 h 30 6 h 10 min 21 h 45 6 h 25 min 78 22 h 07 6 h 47 min Marche en avant de l'appareil en gare de Conférence de presse l'Aiguille du Midi pendant 5 min pour tenter de déplacer le point de croisement 6 tentatives de décroisement, vaines. 24 personnes sont évacuées par sauvetage vertical vers la Pointe Helbronner Fin des opérations de sauvetage vertical 3 membres du PGHM rejoignent les cabines non évacuées pour assister les 32 passagers non évacués qui vont rester la nuit Décision de lancement d'une tentative de Appel régulier des passagers en cabine dont décroisement après réparation de l'appareil le numéro a été identifié. Une cabine avec une famille étrangère n'a pu être jointe faute en gare Helbronner de réseau ou de portable Arrivée de l'installateur POMA, accompagné de son sous-traitant HYDRO-TS Réparation l'installateur du flexible défaillant par 22 h 20 7 h 5 min 22 h 30 Nuit J+1 1 h 30 3 h 30 6 h 30 6 h 45 à 7 h 05 15 h 10 min 15 h 25 min Mise en place d'un amarrage fixe en station du Rognon du côté de la Pointe Helbronner Mise en tension de la ligne par l'appareil d'Helbronner en marche avant Reprise du mou donné par Helbronner, par l'appareil de l'Aiguille du Midi Surveillance, depuis la station du Rognon, du tir et retour d'information sur position câble croisé Confirmation par la station du Rognon du décroisement de câble Marche arrière pour détendre la ligne depuis les deux appareils de l'Aiguile du Midi et d'Helbronner Confirmation déraillement cabine suite au décroisement Héliportage de techniciens sur le pylône suspendu Désaccouplement de l'appareil en gare `Helbronner Évacuation des cabines à petite vitesse Accueil des passgers en station du Rognon et évacuation par hélicoptère Accueil passagers voie Requin/ cellule Psy. Accueil passagers évacués sur DZ 7 h 10 7 h 15 15 h 50 min 15 h 55 min 7 h 30 16 h 10 min 7 h 36 16 h 16 min 8 h 50 9 h 00 9 h 30 9h 12 h 17 h 30 min 17 h 40 min 18 h 10 min à 20 h 40 min Fin de l'évacuation Marche avant de l'appareil de l'Aiguille du Midi pour ramener la cabine déraillée Fin des opérations techniques Cellule accueil évacués au vertical Conférences de presse 79 Annexe 3 : Données sur les incidents d'exploitation Historique des croisements de câble Un historique des situations de croisement des câbles est tenu à jour par l'exploitant depuis 2008. Cet historique a été mis en place à l'image du suivi assez complet des croisements qui se produisent, aussi, sur le téléphérique d'accès à l'Aiguille du Midi, le TAM. L'historique du Panoramic Mont-Blanc est plus complet à partir de 2013, sans être exhaustif. Les croisements en sortie d'arrêt hivernal n'y figure pas. Plusieurs croisements, antérieurs à la liste, sont aussi enregistrés dans le recueil des évènements significatifs de l'installation maintenu à jour par le Bureau de contrôle territorial du STRMTG. Deux ont donné lieu à un dépannage problématique : le 12 avril 1999 : croisement lors de l'inspection annuelle à la suite d'un arrêt d'urgence. Le croisement a lieu sur la voie Requin, entre l'Aiguille du Midi et le Rognon. Le rapatriement en gare des personnels, qui étaient en ligne, a duré 7 h 50 min. en 2006 : croisement en exploitation à la suite d'un arrêt au frein de service. Le rapatriement des voyageurs a duré 3 heures. Sur la première liste, celle tenue à jour par l'exploitant, figurent 13 incidents de croisement antérieurs au 8 septembre 2016. Ils totalisent 19 croisements effectifs de câbles (certains incidents connaissant plusieurs croisements). La liste est la suivante : N° 1 2 3 4 5 6 7 8 9 10 11 12 13 Date 08/05/08 " 08/06/08 30/06/13 29/05/14 03/06/14 12/06/14 22/06/14 05/07/14 12/07/14 " 31/05/15 25/07/16 08/09/16 20/09/17 " " Emplacement 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 5 Crnts en 2 jours dont : · 1 voie Requin entre Hel. et Rog. · 2 voie Mont-Blanc entre Hel. et Rog. · 2 voie Mont-Blanc entre Aig. et Rog. nt Durée du décroisement 20 min 45 min 15 min 50 min 30 min 9 min 38 min 20 min 25 min 23 min 45 min 950 min - Cause initiatrice Arrêt Arrêt Vent Vent non précisé « « Vent Arrêt Arrêt Arrêt Arrêt Arrêt Arrêt électrique Arrêt Arrêt Charge 2 opérateurs Vide Vide 19 passagers Vide Vide 18 passagers 19 passagers 23 passagers 20 passagers 63 passagers 12 passagers 110 passagers Essais Essais Essais 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Crnt voie Requin entre Aig. et Rog. 1 Cr nt nt nt nt 1 Cr voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 2 Cr voie Requin entre Aig. et Rog. 3 Crnts dont : · 2 voie Requin entre Aig. et Rog. · 1 voie Requin entre Hel. et Rog. nt nt nt 2 Crnt voie Requin entre Aig. et Rog. 2 Crnt voie Requin entre Aig. et Rog. 3 Crnts identiques au 08/09/17 80 Nous notons qu'avant le 8 septembre 2016 : 45 % des croisements répertoriés se sont produits en exploitation, 55 % en dehors ; 80 % se sont produits entre l'Aiguille du Midi et le Rognon (décroisement par la machinerie de l'Aiguille du Midi) et 20 % entre la Pointe Helbronner et le Rognon (décroisement par la machinerie d'Helbronner). Aucun croisement entre la Pointe Helbronner et le Rognon ne s'est produit en exploitation avant le 8 septembre 2016. La nouvelle machinerie d'Helbronner, ayant fait l'objet de travaux de modernisation en 2015, n'a pas connu non plus de décroisement. Nous pouvons donc conclure que les croisements sont assez courants (par exemple 7 sur l'année 2014). Ils concernent toute la ligne, et celui survenu le 8 septembre 2016 était le premier à mobiliser la nouvelle machinerie d'Helbronner. Enfin, la cause initiatrice principale d'un croisement des câbles est l'arrêt de l'installation. Les trois types d'arrêt (électrique, frein de service ou frein d'urgence) sont concernés. Historique des arrêts d'urgence Nous avons pu exploiter le fichier-archive de l'installation sur les 76 jours d'exploitation commerciale allant du 24 juin au 8 septembre 2016. Sur cette période, il s'est produit 59 arrêts d'urgence en vitesse, c'est-à-dire arrêts alors que la vitesse de ligne était significative et supérieure à une valeur que nous avons délibérément choisie de 3 m/s (La liste de ces arrêts est donnée en page suivante). La ligne étant à une vitesse supérieure à 3 m/s, les cabines étaient en dehors des zones de gare. Sur ces 59 arrêts : 1. 30 arrêts ont été provoqués par les opérateurs. Certains de ces arrêts proviennent d'ailleurs des essais périodiques qui sont obligatoires comme l'essai de vérification mensuel du temps d'arrêt, à réaliser sur chaque type de frein. 2. 20 arrêts sont survenus pour un défaut de « gamma d'accélération », et ceci entre le 6 et le 26 juillet 2016. Ce défaut a généré en moyenne un arrêt par jour sur la période. Le défaut « gamma d'accélération » résulte d'une variation anormale de la vitesse du câble (gamma accélération ­ acc) qui fait l'objet d'un contrôle dans l'installation depuis 2015. La forte occurrence de ce défaut après les travaux a tardé à être traitée et avait conduit à des échanges, notamment par mail, empreints d'irritation de l'exploitant envers l'installateur. Le défaut se produisait au passage des cabines sur le pylône suspendu à mi-distance d'un cycle de sortie/entrée des cabines en gare. La valeur de contrôle du acc, de 0,5 m/s², avait été choisie trop faible. Elle a été corrigée à une valeur supérieure de 1,5 m/s² sur arrêt de ce type, le 26 juillet 2016. Le défaut n'est plus apparu. Sur l'ensemble des arrêts dus à ce défaut durant cette période, un croisement de câble s'est produit, le 25 juillet. Il y a eu deux points de croisement entre la gare de l'Aiguille du Midi et le Rognon. Tous deux ont pu être décroisés en appliquant la procédure de décroisement. 3. Les 9 autres arrêts provenaient d'autres types de défaut, dont le plus important est le « chevauchement des câbles », ayant provoqué 6 arrêts en vitesse. 81 82 Parmi l'ensemble de ces 59 arrêts en vitesse, peu se sont produits alors que les cabines étaient en phase d'accélération, en sortie de gare, et avec une vitesse proche des conditions de l'arrêt du 8 septembre 2016. Seuls trois arrêts, relevant de la première catégorie des arrêts ci-dessus, sont de ce type : le 25 juin à 9 h 56 (à 82 m) ; le 26 juin à 9 h 16 (à 127 m) ; le 27 juin à 8 h 25 (à 127 m). Aux horaires de ces arrêts, la ligne était peu fréquentée. Les conditions de masse et d'inertie en ligne étaient nettement insuffisantes pour être comparables à celles du 8 septembre et provoquer les mêmes conséquences. Au total, un seul arrêt d'urgence a provoqué un croisement de câble sur la saison. Il s'est produit dans un positionnement des cabines différent, plus favorable. Il a conduit à seulement deux croisements de câbles. L'arrêt d'urgence du 8 septembre était bien une situation inédite que ni les essais dynamiques, ni l'exploitation courante n'avaient jusqu'alors produite. Historique des alarmes « chevauchement des câbles » Sur les 76 jours précédant le 8 septembre 2016, dont nous avons étudié les archives d'exploitation, l'alarme « chevauchement de câble » est apparue 43 fois pendant les heures d'ouverture au public (La liste de ces alarmes est donnée en page suivante). Dans 1 cas, il s'agissait d'un croisement de câbles : le 25 juillet suite à l'arrêt d'urgence pour défaut de « gamma d'accélération » que nous venons de voir ; Dans 25 cas, l'alarme s'est produite à l'occasion d'une marche en avant sans autre défaut simultané. L'arrêt a été provoqué par l'alarme dans 22 cas, et l'alarme a fait suite à l'arrêt dans 3 cas. Seulement 6 de ces 25 cas ont eu lieu en dehors des zones de gare. Pour tous ces défauts, un contact électrique des câbles est avéré. Un croisement est donc suspecté. Dans 17 autres cas, soit l'installation était à l'arrêt ou en marche arrière, soit le défaut était simultané à plusieurs autres défauts. Il est difficile de statuer sur la réalité d'un croisement devant tout autre hypothèse (mauvais contact électrique, déraillement...) Ainsi, avec près d'une alarme par jour en moyenne, la fréquence des chevauchements est très élevée. Ce point confirme à nouveau la grande sensibilité de l'installation aux mouvements du câble tracteur. L'exploitant était au final confronté fréquemment, quasi quotidiennement, à cette problématique de défaut de chevauchement des câbles. Tout comme il l'était pour les arrêts d'urgence et pour le croisement de câble. Il n'a pas cherché à supprimer ces incidents divers d'exploitation, et s'y est plutôt « habitué ». Leur banalisation a pu conduire à sous-estimer le degré de dangerosité des évènements, que ni les études, ni les essais dynamiques, n'avaient exploré. La situation du 8 septembre 2016, avec 3 croisements de part et d'autre de la station du Rognon, bien que réalisée strictement dans le cadre d'une exploitation courante, était inédite. Elle n'avait jamais été anticipée. 83 84 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  (ATTENTION: OPTION ire de capacité en charge. C'est l'analyse de risques qui doit permettre d'identifier les constituants de sécurité devant faire l'objet d'un marquage CE (cf décret 2003-426 relatif à la mise sur le marché des constituants et sous-systèmes assurant la sécurité des remontées mécaniques). Le moteur avait été utilisé lors des essais probatoires et aussi pour un décroisement en sortie de la période d'arrêt hivernale mais dans une configuration de ligne non chargée. Moins sollicité dans ces situations, il n'avait pas donné de signe de défaillance. L'aptitude de cet équipement à réaliser le décroisement n'avait ainsi pas été vérifiée. Seul un test de fonctionnement du moteur avait été opéré. 4.3.3 - La réparation du flexible hydraulique du moteur de sauvetage La rupture du flexible s'est produite à 16 h 39. L'analyse de la situation a conclu qu'il n'y avait aucune possibilité de remise en route. L'évacuation par hélitreuillage de la ligne a été lancée. Il y avait une autre option possible : celle de réparer le flexible. Cette option n'a pas été envisagée. Elle aurait pu être étudiée en parallèle à l'option de l'évacuation par hélicoptère. Elle n'a été prise en considération que tard dans la nuit. L'entreprise POMA a été informée de la situation vers 19 h par la voie des médias. Elle a contacté à plusieurs reprises l'exploitant pour intervenir mais celui-ci n'a pas donné suite. Le diagnostic sur le composant défaillant a été fait grâce à un échange de photographies par téléphone, entre les responsables de POMA et la gare de la Pointe Helbronner. À 22 h 36 la proposition d'intervention a été acceptée. L'entreprise a immédiatement dépêché une équipe sur place et la réparation a été terminée à 3 h . Il aura fallu 4 h 30 min entre le lancement de l'intervention et la réparation de la panne. Un scénario de déclenchement d'une intervention « en express » du réparateur, plus tôt dans la soirée et avec des délais d'acheminement plus réduits, n'aurait toutefois vraisemblablement pas permis la réparation avant l'arrivée de la nuit (à 20 h 50). 4.3.4 - Le déraillement de cabine suite au décroisement Une fois le moteur réparé, et le jour levé, l'opération de décroisement entre le Rognon et la Pointe Helbronner a été relancée. Elle a permis de réaliser le décroisement avec succès à 7 h 10. Toutefois, lors du « tir » de décroisement, une cabine a déraillé. Ce risque, qui était lui aussi connu de l'exploitant, montre à nouveau combien l'installation souffre d'une très grande sensibilité. Nous n'avons pas eu connaissance de l'exhaustivité des déraillements sur l'installation. Le relevé des évènements significatifs du STRMTG fait état de quatre déraillements de cabine par le passé : les 26 juillet 1988, 31 août 1992, 5 avril 1993 (ce jour-là un groupe complet de trois cabines a déraillé, à l'occasion d'essais) et le dernier en 2006 (date non précisée). Ces déraillements étaient à chaque fois conjugués à des croisements de câbles et se sont produits hors exploitation. Le déraillement survient soit au moment du croisement, soit lors du décroisement qui le suit. Dans ces phases, le câble tracteur est fortement tendu, et, passant au-dessus du câble porteur, il exerce un effort de soulèvement sur une ou plusieurs cabines (voir figure ci-après). Lorsque le soulèvement s'est produit le 9 septembre 2016 au matin, la cabine concernée avait été vidée de ses occupants par les opérations d'hélitreuillage. 48 Figure 26 : mise en évidence du déraillement de cabine (source DCSA) Le risque de déraillement est traité sur l'installation au moyen d'une disposition constructive consistant en l'ajout de « diabolos » sur les chariots-supports de cabine. Ils ont pour rôle de rattraper la cabine en cas d'échappement des galets du câble porteur (voir figure ci-dessous). Ce dispositif a été ajouté en 1997. Cette disposition constructive assez simple a bien rempli sa fonction le 9 septembre au matin. La cabine a été correctement rattrapée. Notre opinion est que ces diabolos semblent bien sommaires au regard du risque, dans la mesure où le déraillement se produit dans des configurations d'utilisation produites par une exploitation normale, avec des efforts et des mouvements mettant en jeu beaucoup d'énergie. Figure 27 : dispositif de sécurisation et de détection du déraillement des chariots 49 Précisons enfin que chaque chariot est équipé d'un détecteur de déraillement (voir figure ci-dessus). Il signale au conducteur du téléphérique toute occurrence d'un déraillement. Le détecteur a correctement rempli sa fonction le matin du 9 septembre après le décroisement. Une fois le déraillement détecté, le rapatriement des cabines a eu lieu à petite vitesse, de 0,5 m/s, conformément aux procédures d'exploitation prévues dans ce cas. L'opération d'évacuation a alors pris un délai de 1 h 15 min. 4.3.5 - Les exigences nouvelles demandées sur le décroisement des câbles L'arrêté préfectoral pris le 26 octobre 2016, levant la suspension de l'exploitation, était assorti de deux réserves à lever concernant le décroisement des câbles. Les réserves sont les suivantes : « Proposer une périodicité de contrôle de la capacité des treuils de l'Aiguille et d'Helbronner à décroiser les câbles dans les cas de charge les plus défavorables [...] ; Produire une étude sur les possibilités de réglage du groupe hydraulique du treuil d'Helbronner et du treuil de l'Aiguille pour délivrer plus de puissance. » Des études ont depuis été conduites pour déterminer, par le calcul, les cas de charge les plus défavorables pour le décroisement. Elles ont permis de définir les deux configurations de charges les plus pénalisantes, l'une pour les décroisements avec la machinerie de l'Aiguille du Midi, l'autre pour ceux avec la machinerie d'Helbronner. Elles ont permis aussi de s'assurer que les puissances à mobiliser étaient disponibles sur les motorisations des deux gares, et que les efforts induits sur l'ensemble de l'installation étaient admissibles pour la structure. L'exploitant a proposé que le contrôle de l'aptitude au décroisement, sous ces deux cas de charge, soit intégré à l'inspection périodique annuelle. L'aptitude est vérifiée par le fait que le câble tracteur peut être tiré au-dessus du câble porteur dans la configuration des cas de charge les plus défavorables. À noter que les câbles n'ont pas besoin d'être croisés au préalable pour réaliser le contrôle. Par ailleurs, la machinerie défaillante d'Helbronner a fait l'objet de travaux correctifs : le frein de poulie est simplifié en passant en position fixe et non plus escamotable ; la force de traction du moteur au décroisement a été renforcée par augmentation de la pression hydraulique ; un second actionneur de décroisement a été ajouté et permet de se substituer au moteur de sauvetage en cas de défaillance, ou possiblement de le renforcer ; un stock critique de pièces de rechange a été constitué sur site pour faciliter le dépannage en urgence. Ces adaptations sont de nature à améliorer notablement la sécurité de l'installation au décroisement. Concernant le déraillement de cabine, l'arrêté préfectoral du 6 juin 2017, approuvant la remise en exploitation, a prescrit une mesure concernant « l'étude de l'amélioration de la détection du déraillement de cabine ». Celle-ci a conclu à l'installation, sur chaque chariot de cabine, d'un connecteur électrique qui améliore la détection de déraillement par mise du câble tracteur au potentiel du câble porteur. Cette amélioration n'a pas d'effet sur une sécurisation anti-déraillement. 50 4.4 - Les investigations sur la récupération intégrée Le Panoramic Mont-Blanc est, comme nous l'avons vu au § 2.8, à « récupération intégrée ». Des dispositions de conception et des procédures particulières sont prévues pour assurer en exploitation, et en toute circonstance, le retour en station de tous les véhicules. Selon la réglementation technique (guide RM 1 du STRMTG, partie B ­ Définitions), ces dispositions et ces procédures doivent être élaborées à partir d'une étude de sécurité qui permette d'identifier au préalable les risques susceptibles d'empêcher le rapatriement des véhicules, et d'y remédier. Dans la mesure où, dans la réalité du 8 septembre 2016, ce rapatriement n'a pas été possible, nous avons contrôlé l'étude de sécurité et les mesures de traitement des risques prévues en conséquence. 4.4.1 - L'étude de sécurité de récupération intégrée L'aptitude à la récupération intégrée est d'origine sur le Panoramic Mont-Blanc. Elle est antérieure aux principes concernant la récupération intégrée tels que définis ci-dessus. Il n'y a ainsi pas d'étude de sécurité initiale formalisée identifiant les risques et les parades pour y remédier. Dans le cadre des travaux de régénération de 2015 et 2016, le maître d'oeuvre DCSA a réalisé cette étude. La dernière version, avant l'évènement, date du 6 juillet 2016. L'étude a identifié 75 risques couvrant des évènements extérieurs à l'installation (vent violent, séisme...) et des défaillances de constituant (machinerie d'entraînement, freins, électricité, câbles...) Cette étude, bien que très consistante sur le dénombrement des situations envisagées, avait plusieurs carences. Ainsi, la défaillance de la motorisation de sauvetage en gare de la Pointe Helbronner, telle qu'elle est survenue le 8 septembre 2016, n'était pas prise en considération au motif suivant : « ne peut être considérée compte tenu des contrôles préventifs et du cumul de panne ». Ainsi, au motif que l'entraînement serait toujours assuré par une autre motorisation, la défaillance du treuil d'Helbronner n'était pas considérée. L'étude n'identifiait toutefois pas le croisement de câble comme un risque pour l'immobilisation de l'installation. Elle n'identifiait pas que la seule panne du moteur de sauvetage d'Helbronner empêcherait certains décroisements. Il n'y avait ainsi pas de mesure palliative prévue pour traiter le risque de la panne du moteur. Les évènements ont montré qu'il en était tout autrement. L'analyse de risque d'une récupération intégrée exige plus de rigueur dans l'évaluation des risques et la définition des parades à mettre en place pour y remédier. Il est vrai toutefois, à la décharge des auteurs de l'étude, que les cas d'application d'études de sécurité sont aujourd'hui rares et que le retour d'expérience est quasi inexistant pour eux. Seuls six autres téléphériques en service sont aujourd'hui à récupération intégrée et ont fait l'objet d'une telle étude13. 4.4.2 - L'étude de sécurité post 8 septembre 2016 L'analyse de sécurité a été reprise après l'évènement, comme le demandait l'une des réserves de l'arrêté préfectoral levant la suspension de l'exploitation (« Réaliser une analyse de sécurité du mode de récupération intégrée de cet appareil, et à son issue, arrêter un plan d'actions approuvé par le STRMTG permettant de minimiser les occurrences d'immobilisation ou d'y faire face. ») 13 Ces téléphériques sont celui de l'Aiguille du Midi 2 et du Brévent-Flégère à Chamonix, le Vanoise Express à Peisey, le Marmottes 3 à l'Alpe d'Huez, le Prodains Express à Avoriaz, et le téléphérique urbain de Brest. 51 L'analyse d'origine a été actualisée en avril 2017 et complétée sur les points suivants : l'intégration de nouveaux risques issus du retour d'expérience (défaillance de motorisation, croisement de câbles, déraillement de cabine...) et une nouvelle hiérarchisation des risques ; l'évaluation, pour chaque cas de défaillance, de son niveau de risque selon le couple [probabilité d'occurrence ; gravité pour le rapatriement] ; l'ajout de nouvelles mesures palliatives de traitement de certains risques, comme, à titre d'illustration, le doublement du moteur actionneur de décroisement en gare de la Pointe Helbronner ; l'identification, pour chaque risque, de procédures préalablement écrites à appliquer ; et enfin, de façon notoire, le développement d'un « plan de sauvetage ultime ». Ce plan permet de pallier toutes les situations pour lesquelles le risque a été évalué non acceptable sans qu'aucune parade n'ait pu être identifiée. Au total, sur les 59 types d'évènement redouté recensés, 53 sont traitables par les procédures prévues, et 6 peuvent conduire à l'application du plan de sauvetage ultime. La défaillance de la machinerie pour opérer un décroisement de câble, conjuguée à l'impossibilité de réparer, en fait partie. Précisons que certains scénarios ne sont objectivement pas pris en compte dans l'analyse, car dépassant le cadre de la récupération intégrée. Il s'agit par exemple de l'accident avec un avion, de l'attentat ou d'un séisme de grande magnitude. Ces cas supposent la mise en oeuvre du plan de sauvetage ultime. 4.5 - Les investigations sur l'évacuation Divers manquements affectaient la documentation d'exploitation de l'appareil. L'installation n'avait pas, le 8 septembre 2016, de règlement d'exploitation approuvé par le préfet. Le règlement d'exploitation est obligatoire au titre de l'article 27 de l'arrêté du 7 août 2009 relatif à la conception, à la réalisation, à la modification, à l'exploitation et à la maintenance des téléphériques. Il est établi par l'exploitant. Il précise les principales caractéristiques et les dispositions relatives à l'exploitation du téléphérique. Le maintien d'un haut niveau de sécurité le concerne en premier lieu. Il doit recevoir un avis conforme du préfet (article L472-4 du code de l'urbanisme), au titre de la vérification de la sécurité des installations. Un projet de règlement d'exploitation était en préparation par l'exploitant. Sa dernière version, à l'état de projet, date du 13 juillet 2016. Elle n'avait fait l'objet d'aucune instruction externe. De la même manière, le règlement de police, qui a pour finalité de fixer les mesures préventives visant à assurer le maintien du bon ordre public, faisait défaut. Il n'existait pas, non plus, de plan d'évacuation. Le dernier « plan de sauvetage » était daté du 12 février 1977. Faisant référence à une configuration de l'installation et à du matériel qui n'est plus en place depuis plusieurs années, il était caduque. Le plan d'évacuation est obligatoire au titre de l'article 34 de l'arrêté du 7 août 2009. Il définit les dispositions relatives aux moyens humains et matériels, et aux procédures, à mettre en oeuvre pour l'évacuation des usagers. En « récupération intégrée », le plan d'évacuation prend la forme d'un « plan de récupération »14. 4.5.1 - Le plan d'évacuation 14 On désigne par « évacuation » les opérations permettant, en cas d'immobilisation du téléphérique, de ramener les usagers en lieu sûr. Elles consistent à sortir les usagers des véhicules. On désigne, de façon 52 Lors de l'instruction du dossier présenté par l'exploitant sur la modification de la machinerie Helbronner, le STRMTG avait émis un avis favorable à la poursuite de l'exploitation, en date du 27 mai 2016. Cet avis favorable était provisoire jusqu'au 30 septembre 2016, dans l'attente de « la mise à jour des documents d'exploitation (règlement d'exploitation, règlement de police, plan d'évacuation d'urgence) pour prendre en compte les spécificités des nouveaux modes d'exploitation et de récupération ». L'exploitant n'avait pas instruit cette demande. Un même avis favorable avait déjà été émis par le STRMTG l'année précédente, le 29 mai 2015, à titre provisoire également jusqu'au 30 septembre 2015, avec les mêmes motifs. L'exploitant n'avait donc pas diligenté, depuis longtemps, ces demandes. Le service de contrôle a laissé passer. L'absence de ces documentations finalisées rend imprécises les modalités prévues pour l'évacuation. Au-delà, certaines dispositions, non formalisées mais manifestes, semblent sous-estimées. Les fragilités concernent : le délai prévisionnel d'évacuation ; les moyens d'assistance aux passagers ; l'engagement des services de secours. Ces points sont détaillés ci-après. 4.5.2 - Les scénarios de récupération de l'installation et leurs durées L'article 35 de l'arrêté du 7 août 2009 exige que la durée prévisionnelle totale de l'ensemble des opérations permettant l'évacuation de tous les usagers ne dépasse pas trois heures trente minutes. Le délai peut éventuellement être supérieur pour certaines installations particulières, après accord du STRMTG, et si des mesures d'accompagnement sont prévues pour permettre aux passagers de patienter. Le Panoramic Mont-Blanc est dans ce cas. Comme nous le verrons plus loin, l'un des modes de récupération envisagé par l'exploitant est estimé, en théorie, à 6 h 20 min. Ce délai est très supérieur à 3 h 30 min. L'instruction d'un accord du STRMTG, permettant de vérifier que toutes les mesures d'accompagnement étaient prises en fonction de ces délais importants, aurait été nécessaire. Cela n'a pas été fait. L'exploitant ne l'a pas demandé. L'article 34 de l'arrêté spécifie aussi : « Pour chaque installation dont l'évacuation repose sur la récupération intégrée, des essais fonctionnels des dispositifs mis en oeuvre pour assurer cette récupération intégrée doivent être prévus annuellement. » L'exploitant s'acquittait de cette obligation. L'exercice s'effectue en présence du STRMTG. Il consiste à organiser une récupération en simulant un problème mécanique conséquent, comme un blocage de l'axe de la poulie principale. Cela nécessite de passer le câble tracteur sur des « molettes » de secours en gare de l'Aiguille du Midi. L'entraînement s'effectue alors en mode de sauvetage au moyen du moteur d'Helbronner. L'exercice permet d'effectuer un début de cycle complet de l'opération, sur une durée proche de 2 heures, puis le temps d'évacuation complet est calculé par extrapolation. Le tableau ci-dessous récapitule les durées d'évacuation ainsi obtenues au cours des cinq dernières années. Il s'agit de durée « estimée » par extrapolation des durées réelles mesurées sur le début de l'opération. Un incident lors de l'essai peut conduire, par extrapolation, à des temps estimés importants. distincte, par « récupération » la manoeuvre qui permet de ramener les véhicules avec leurs usagers dans les gares pour s'en affranchir. 53 Durée « estimée » d'évacuation en récupération intégrée lors de l'essai annuel Année 2012 2013 2014 2015 Date de l'essai 18/06/12 06/06/13 20/06/14 22/05/15 Temps d'installation du mode de sauvetage 51 min 78 min 60 min 60 min Temps estimé d'évacuation figurant au PV des essais 4 h 30 min ~ 4 h 30 min ~ 5 h 30 min 7 h 20 min Commentaire La vitesse de rapatriement était de 1 m/s La vitesse de rapatriement obtenue a été de 0,24 m/s (au lieu de 1 m/s) La vitesse de rapatriement a été de 0,25 m/s. Un dysfonctionnement du treuil Helbronner a ajouté un retard d'1 h 2016 12/05/16 60 min ~ 8 h 20 min On observe que le temps d'évacuation en sauvetage intégré s'est dégradé au fil des années. La rénovation des machineries des deux gares n'aurait pas, semble-t-il, apporté d'amélioration. Mais cela est le résultat de réglages mal achevés de l'installation après les travaux. L'essai de récupération en a seulement été le révélateur. Ces durées, constatées par essai, sont bien supérieures au délai de 3 h 30 min mentionné plus haut. Le temps théorique affiché par l'exploitant pour la mise en oeuvre de la récupération intégrée, est de 6 h 18 min (valeur fournie par la dernière version du projet de plan d'évacuation post évènement). L'importance des durées d'évacuation contraste avec la faiblesse des moyens mis en place pour l'assistance aux passagers en difficulté que nous examinerons plus loin. Il semble, de l'ensemble de ces observations, que les conditions d'organisation d'une récupération intégrée sur une installation à risque, comme peut l'être le Panoramic MontBlanc, soient en fait globalement sous-évaluées par les parties prenantes, opérateur comme services de contrôle. Signalons que deux enquêtes techniques du BEA-TT ont par le passé concerné le thème de l'évacuation15 : la première a concerné le déraillement du téléphérique de la Grande Motte à Tignes, survenu le 3 décembre 2011. L'évacuation a duré 7 h 30 min. Au cours de celle-ci une enfant était restée suspendue dans le vide pendant 20 minutes par vent fort et neige ; la seconde a concerné le déraillement du téléphérique de la Bastille à Grenoble, survenu le 29 juin 2014. L'évacuation s'est déroulée correctement en 3 h 30 min. Le premier accident avait montré que l'évacuation pouvait être considérablement compliquée en cas de conditions météorologiques difficiles ou de passager supportant mal cette évacuation (vertige...). Il avait conduit le BEA-TT à émettre des recommandations concernant la vérification, lors d'exercices en conditions difficiles, que les objectifs fixés dans le plan d'évacuation peuvent être tenus. Les téléphériques concernés par ces enquêtes n'étaient pas à « récupération intégrée ». Cependant, les conditions de survenue des accidents montraient que l'imprévu est toujours possible, compliquant les scénarios préétablis, et que le recours en situation ultime à l'évacuation doit toujours être sérieusement envisagé. L'analyse des accidents rappelait aussi que l'évacuation reste, malgré toute autre disposition, une procédure nécessaire qui doit être préparée avec grand soin par l'exploitant. 15 Les rapports d'enquête technique de ces deux accidents sont consultables sur le site Internet du BEA-TT. 54 4.5.3 - Les risques physiologiques d'une immobilisation prolongée Comme nous l'avons vu, avant même l'évènement du 8 septembre 2016, il était de notoriété que le temps d'évacuation sur l'installation pouvait durer de nombreuses heures. Le dernier exercice l'avait estimé à 8 h 20 min. Une attente prolongée en haute altitude présente des risques physiologiques importants pour les personnes, le principal étant le mal aigu des montagnes (MAM). Ce mal est lié à une montée trop rapide en haute altitude et à l'absence d'acclimatation. La sensibilité personnelle est plus ou moins importante. Une personne de jeune âge, ou en surcharge pondérale, ou avec certaines dispositions génétiques y sera plus particulièrement sensible. Il s'agit d'un mal fréquent touchant des gens en bonne santé. Son incidence augmente très rapidement avec l'altitude. Faible en dessous de 2 500 mètres d'altitude, le mal toucherait 60 % des personnes à 4 000 mètres. Le mal apparaît habituellement dans les 4 à 12 heures qui suivent l'arrivée en altitude. Il disparaît immédiatement à la redescente. Les personnes en provenance de la vallée empruntant un téléphérique pour un séjour de courte durée ne sont a priori pas touchées tant que ce séjour ne se prolonge pas. Les symptômes sont variés comme des céphalées, des vomissements ou des vertiges. Les complications sont l'oedème (gonflement) cérébral, l'oedème pulmonaire, ou des comportements désorientés et dangereux. Le mal peut évoluer en coma et être fatal s'il n'est pas pris en charge en urgence médicale. D'autres risques physiologiques sont également à redouter en cas d'attente prolongée : la station assise de plus de 10 heures en hypoxie d'altitude peut occasionner une thrombophlébite favorisée par la déshydratation ; une longue position immobile dans un environnement froid peut conduire le lendemain ou surlendemain à quelques désordres pulmonaires ; le confinement, l'attente, le stress et la peur peuvent entraîner des malaises, crises de panique et conduire à des comportements inconsidérés. L'ensemble de ces risques traduit une évidente exigence à porter une attention particulière à l'assistance aux passagers. 4.5.4 - Les moyens d'assistance aux passagers Les moyens d'assistance aux passagers se sont révélés nettement sous-évalués. Les outils de communication radiophonique Le premier élément d'assistance est la communication avec les passagers. L'article 33 de l'arrêté du 7 août 2009 fait obligation à l'exploitant de mettre en place cette communication : « L'exploitant met en oeuvre les moyens appropriés permettant de communiquer aux usagers l'information de façon claire et intelligible quelle que soit la position des véhicules sur la ligne et même dans des conditions météorologiques défavorables. » Le système d'information a été régénéré à l'occasion du remplacement du système de conduite en 2015. Il permet au conducteur de faire des annonces en cabine, ou de délivrer un message préenregistré en huit langues indiquant où trouver les vivres et les couvertures de survie. Le 8 septembre 2016, trois premières annonces ont été faites par le conducteur vers les cabines entre 15 h 25 et 16 h 30. En réalité, peu habitué au module, il s'est trompé. Le conducteur disposait de deux canaux d'émission des messages. L'un diffuse les messages dans les cabines, l'autre les diffuse uniquement vers les opérateurs qui l'assistent dans la station du Rognon et la gare de la Pointe Helbronner. Il a utilisé le mauvais canal et le message n'a pas été délivré dans les cabines. 55 Le système est aussi unilatéral. Il n'y a pas de possibilité pour les passagers de contacter un opérateur, afin de leur permettre de signaler un malaise par exemple. Sans message, lors de l'immobilisation, certains passagers ont appelé directement le standard de l'exploitant et ont ainsi pu donner l'alerte. Le bon canal d'émission a alors été rétabli. Plus tardivement dans la gestion de crise, le besoin d'un échange bilatéral avec les passagers s'est fait ressentir pour s'assurer de la situation dans chaque cabine. L'exploitant et le PGHM ont constitué une liste des portables dans les cabines. Sur la douzaine de cabines non évacuées avant la nuit, une seule, occupée par une famille étrangère, n'a pas été jointe. À la suite de l'évènement, la phonie a été revue pour mieux répondre aux exigences d'une meilleure gestion d'une immobilisation. Le fonctionnement est désormais à un seul canal dédié à la diffusion des messages. Un numéro d'appel d'urgence, renvoyant vers le standard de la CMB, est affiché dans les cabines pour permettre d'alerter. La phonie n'est en revanche pas bidirectionnelle. L'équipement des cabines Le second élément d'assistance est le nécessaire d'urgence disposé en cabine. Comme nous l'avons décrit au § 2.6, ce kit de survie, tel qu'il était présent dans les cabines le 8 septembre 2016, était très minimaliste. Il s'est avéré que, dans plusieurs cabines le kit était de plus incomplet, l'exploitant ne prenant pas la peine d'en vérifier fréquemment le contenu. Le dispositif a été revu en profondeur à la suite de l'évènement. Désormais, un solide sac de stockage est positionné dans chaque cabine comprenant : 4 anoraks-duvet taille XL à capuche en plume, d'une température de confort de -5 °C ; 4 sacs de survie, plus performants que des couvertures ; 24 barres de céréales et 4 bouteilles d'un litre d'eau. Le poids de l'ensemble est de 8,4 kg et constitue une surcharge de cabine admissible. Le sac est disposé sous une banquette de chaque cabine, avec un plomb de scellement, permettant au personnel d'exploitation, une vérification quotidienne de l'intégrité du sac. Ces dispositions sont de nature à mieux répondre aux exigences d'une attente prolongée. 4.5.5 - La préparation des services de secours et la gestion de crise L'absence de plan d'évacuation et la trop grande confiance de l'exploitant dans le principe de récupération intégrée, avaient conduit à ce qu'aucun dispositif de coordination ne soit établi avec les services publics de secours susceptibles d'intervenir (PGHM). L'exploitant disposait seulement d'une procédure d'urgence qui n'était d'ailleurs pas à jour. Ce point a été revu et a donné lieu aux dispositions suivantes : l'organisation de la récupération intégrée est formalisée dans un « plan de récupération intégrée » en date du 6 juin 2017 validé par arrêté préfectoral ; l'intervention du PGHM en cas d'immobilisation prolongée a été formalisée dans un « plan d'intervention terrestre » en date du 11 mai 2017. Celui-ci organise le secours par 23 gendarmes, l'assistance aux passagers, et l'évacuation de passagers si nécessaire ; un contact annuel est organisé entre CMB et le PGHM, en prévision d'une intervention ; CMB a procédé à une numérotation plus visible des cabines pour les hélicoptères ; des chariots autotracteurs de l'entreprise IMMOOS16, permettant un déplacement facilité des équipes sur les câbles, ont été acquis ; 16 IMMOOS : société suisse spécialisée dans les systèmes et équipements d'évacuation des installations de transport à câble. 56  un enregistrement vidéo des quais est désormais opérationnel permettant de recoller les profils des clients par cabine et d'orienter les secouristes sur les cibles prioritaires (enfants, personnes âgées...) ; deux toilettes sont installées au Rognon, cette gare étant utilisée pour les évacuations ultimes. Ces mesures améliorent significativement la préparation et la capacité d'intervention des secours. Par ailleurs la préparation de CMB à la gestion de crise était aussi insuffisante : les opérateurs ne disposaient pas d'un réel plan de gestion de crise ; l'annuaire de gestion de crise n'était pas à jour ; un modèle de main courante existait, mais n'a été que partiellement utilisé lors de l'évènement. Ces points ont été corrigés. 57 5 - Restitution du déroulement de l'évènement et des secours Le 7 septembre 2016, veille de l'évènement, l'entreprise SEMER intervient sur le Panoramic Mont-Blanc. Elle effectue une opération de réglage de l'installation pour diminuer le temps de cycle de passage des cabines. Cette intervention répond à une attente de CMB, l'exploitant, et de DCSA, son maître d'oeuvre, dans le cadre de la levée des réserves sur les travaux de remplacement des machineries de la télécabine, mais elle n'a pas été validée dans son mode opératoire par eux. L'intervention vise à diminuer le temps de cycle de passage en gare des cabines de 287 à 283 secondes, pour un cadencement optimal. L'opération consiste à augmenter les accélérations et les décélérations lors des changements de vitesse de la ligne, de 0,3 à 0,4 m/s². L'opération, qui modifie des paramètres fonctionnels dans le logiciel de sécurité, s'effectue sous exploitation, sans encadrement des conditions de réalisation, et sans validation de l'exploitant et du maître d'oeuvre, malgré la grande sensibilité de l'installation. Le 8 septembre 2016, le temps est clair. L'affluence des passagers est maximale en début d'après-midi. Depuis le matin, 770 passages ont été enregistrés. Peu après 15 h, 110 passagers sont en ligne, soit un taux d'occupation de 76 %. À 15 h 20, lors de l'accélération de la ligne vers le palier de vitesse maximale de 7 m/s, un effet de rappel se produit. Il est dû à la charge élevée de la ligne et à la valeur forte de l'accélération choisie la veille. L'automatisme de la télécabine détecte un écart de vitesse entre la vitesse mesurée sur la poulie, et la vitesse théorique attendue. Un arrêt d'urgence au frein de sécurité se déclenche conformément au fonctionnel de sécurité de l'installation. L'intense effort de retenue de la ligne dû au freinage provoque des oscillations verticales importantes du câble tracteur sur les portées. Elles se couplent aux oscillations persistant de l'accélération antérieure. Le câble tracteur passe au-dessus du câble porteur et redescend par le côté opposé à sa montée. Il croise en trois endroits : sur deux portées entre les trains de cabine situées sur la voie Requin, entre l'Aiguille du Midi et le Rognon, et sur une portée de cette même voie entre le Rognon et la Pointe Helbronner. Le croisement empêche tout déplacement relatif des deux câbles. La ligne est immobilisée. Le phénomène de croisement est connu de l'exploitant. Treize situations de croisement ont été tracées depuis 2008, année où un suivi des occurrences de croisement a été commencé. De plus, une procédure écrite prescrit les opérations à conduire pour opérer un décroisement. Il s'agit de « tirer » sur le câble tracteur pour le refaire passer au-dessus du câble porteur, à partir des machineries de l'Aiguille du Midi ou de la Pointe Helbronner selon la position du point à décroiser. À 15 h 53, des tentatives de décroisement sont conduites entre l'Aiguille du Midi et le Rognon, avec le moteur principal de l'Aiguille du Midi. Elles parviennent à supprimer deux croisements. Il en reste alors un, entre le Rognon et la Pointe Helbronner. À 16 h 39, après trois tentatives de décroisement avec le moteur de sauvetage d'Helbronner, un flexible de haute pression d'alimentation du moteur se rompt. La rupture est due à une malfaçon dans le sertissage du flexible, effectué à la pose, quelques mois plus tôt. Après rupture du flexible, le moteur est hors service. La ligne est immobilisée sans espoir de décroisement. Pendant toutes ces opérations, les passagers patientent sur la ligne immobilisée. Ils devraient être normalement tenus informés à intervalle régulier par des messages sur la sonorisation installée en cabine. Mais par suite d'une erreur de manipulation du canal radio par le conducteur peu habitué au système, les messages ne sont pas délivrés en cabine. L'erreur est corrigée vers 17 h, à la suite d'appels téléphoniques de passagers 59 inquiets au standard de l'exploitant. Les messages d'information sur l'immobilisation de la télécabine sont alors normalement délivrés. La télécabine est dite à « récupération intégrée ». Son évacuation est prévue moyennant le retour des véhicules en gare, en toute circonstance. Il en est ainsi depuis l'origine de l'appareil. L'assurance du retour des cabines est obtenue par des dispositions de conception et des procédures particulières, fiables et sécuritaires. Une analyse de sécurité justifiant ces dispositions a été élaborée avant la saison 2016 mais comportait certaines lacunes. L'une est la non-prise en compte du risque de panne du moteur de sauvetage d'Helbronner. Une autre est l'absence de plan de sauvetage ultime. À 17 h 20, après confirmation de l'impossibilité de redémarrer le moteur en panne, aucun moyen de récupération des cabines ne semble possible. L'assistance du PGHM de Chamonix est sollicitée. Une évacuation par hélitreuillage est alors décidée. Aucune coordination, ni exercice préalable entre l'exploitant et le PGHM, ne l'a préparée. Le plan NOVI est déclaré. Le préfet de Haute-Savoie se rend sur les lieux. À 18 h, les opérations d'hélitreuillage démarrent. Elles mobiliseront quatre hélicoptères sur la zone. À 20 h 30, 54 personnes sont évacuées. L'arrivée de nuages, puis la tombée de la nuit, empêchent de poursuivre l'hélitreuillage. Le sauvetage se poursuit par sauvetage vertical puis marche sur le glacier ; 24 passagers sont à nouveau secourus. Puis l'évacuation est suspendue dans la nuit ; 32 passagers vont rester dans les cabines, assistés de 3 sauveteurs qui ont été acheminés. Pendant la nuit, l'entreprise POMA, et son sous-traitant HYDRO-TS, installateurs de la motorisation défaillante de la télécabine, arrivent sur les lieux. Leur intervention permet de rendre le moteur de sauvetage de la Pointe Helbronner à nouveau opérationnel à 3 h 30. À 6 h 45, après le lever du jour, de nouvelles tentatives de décroisement sont engagées, avec succès. À 7 h 05, le dernier point de croisement est supprimé. Toutefois, le décroisement occasionne un déraillement de l'une des cabines, vide : la grande sensibilité de l'installation produit à nouveau un autre incident de sécurité. Quatre déraillements de ce type ont été recensés par le passé dans la liste des évènements significatifs connus du STRMTG. Un dispositif de « diabolos » sur le chariot support de cabine permet de rattraper celle-ci dans ce cas. Bien qu'assez léger, il a correctement fonctionné. L'évacuation reprend en ripant la cabine déraillée à une très faible allure de 0,5 m/s. Elle prend fin à 8 h 50. Depuis l'immobilisation initiale, 17 h 30 min se sont écoulées. 60 6 - Analyse des causes et facteurs associés, orientations préventives 6.1 L'arbre des causes Figure 28 : arbre des causes ­ première partie 61 Figure 29 : arbre des causes ­ deuxième partie 6.2 - Les causes de l'évènement Le fait initiateur de l'immobilisation prolongée de la télécabine est le déclenchement d'une sécurité, qui aurait théoriquement vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du comportement dynamique de la ligne due à un nouveau réglage de l'installation effectué la veille par le technicien de l'entreprise SEMER. 62 Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes ayant conduit à ces circonstances sont les suivantes : la sensibilité de l'appareil aux oscillations du câble tracteur qui conduit, dans certaines configurations, à des croisements avec le câble porteur et à une immobilisation à risque ; l'existence d'une malfaçon, qui a provoqué la casse d'un flexible lors des tentatives de décroisement, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été préalablement vérifiée ; un principe d'évacuation par « récupération intégrée » fragile reposant sur une analyse de défaillance incomplète ne traitant pas certaines éventualités, doublée d'une confiance en ce principe qui a amené à ne pas élaborer de « plan de sauvetage ultime » ; des dispositifs de secours, d'assistance et de communication aux passagers, sous-estimés malgré des durées de récupération prévisionnelles susceptibles de prendre plusieurs heures ; un manque de rigueur de l'exploitation dans le traitement de défauts latents et dans l'organisation d'un haut niveau de sécurité permanent de l'installation. En situation de crise, les moyens importants déployés, conjointement par l'exploitant et les services de secours, ont permis d'assurer un dénouement positif et sans victime. Les orientations préventives sont à rechercher dans les cinq domaines mentionnés ci-dessus. 6.3 - La sensibilité de l'installation aux effets dynamiques La cause première de l'évènement a été la modification, dans le pilote automatique, du paramètre de l'accélération de la ligne, par le technicien de l'entreprise SEMER, la veille. Cette modification a eu des conséquences en raison de la sensibilité particulière de l'appareil aux phénomènes dynamiques. Du fait de ses caractéristiques techniques, le Panoramic Mont-Blanc est sensible à plusieurs phénomènes dynamiques non courants sur les téléphériques. L'enquête en a dénombré de trois natures : les amples oscillations du câble tracteur en ligne, lors des accélérations ou décélérations, qui peuvent atteindre plusieurs dizaines de mètre d'amplitude, et qui produisent des effets de mouvement des cabines ou de rappel sur la ligne ; le croisement des câbles, conséquence du précédent, qui produit des immobilisations et conduit à des opérations de décroisement délicates ; le déraillement de cabine, conséquence du précédent et à l'issue incertaine. Les oscillations du câble tracteur et le croisement des câbles La réglementation technique ne définit pas précisément de prescription concernant la limitation des oscillations du câble tracteur. Leur effet, très souvent limité, est pris en compte par simple application d'un coefficient forfaitaire d'amplification des effets statiques. Le croisement de câbles et le déraillement de cabine sont des phénomènes redoutés, contraires à la sécurité. Les oscillations sont d'une nature très particulière sur cette installation et sans commune mesure avec la majorité des téléportés. 63 À titre d'illustration de cet écart avec les autres téléportés, le guide RM 2 du STRMTG fixe la règle suivante pour l'évaluation de l'amplitude de l'oscillation du câble tracteur : selon le paragraphe A3-7.2.1.3, « déviation verticale des câbles », l'évaluation de l'enveloppe du gabarit du câble s'effectue « en supposant une variation de ±20 % de la flèche extrême en mouvement uniforme ». Pour le Panoramic Mont-Blanc la flèche du câble tracteur en mouvement uniforme est de 36 m. Sous freinage, elle diminue à 17 m (voir figure 22), soit -47 %. L'effet est hors norme. L'exploitant a recherché, par l'installation d'un pilotage de la référence de vitesse lors de la rénovation de 1996, à minimiser l'occurrence des effets dynamiques atypiques. S'accommodant des résultats obtenus, et bien que les effets subsistent en partie, il n'a pas cherché à approfondir spécifiquement leur compréhension. Il n'a pas cherché à donner un cadre très sécuritaire à leur maîtrise, ni encore, à l'occasion de la dernière rénovation de l'appareil en 2015 et 2016, à amoindrir leur risque d'occurrence. Les ingénieries qui ont étudié la rénovation de l'installation se sont basées sur l'expérience rapportée par l'exploitant, peu documentée, et n'ont pas cherché à mieux évaluer ces phénomènes. Les technologies connues et utilisées par ces ingénieries ne permettent pas la simulation des effets dynamiques de ligne de l'appareil pour les quantifier. Dans le cadre des travaux, une prescription du CCTP donnait une valeur limite de l'accélération, mais elle concernait de manière équivoque le confort. Enfin, avant l'évènement du 8 septembre 2016, les essais dynamiques de l'appareil se déroulaient selon des modalités qui minimisaient volontairement les mouvements de câbles et les risques encourus dans des configurations plus pénalisantes. Suite au 8 septembre 2016, de nombreux essais ont permis de mieux appréhender le comportement dynamique. Il a été mis en évidence des cas de charge et des configurations d'arrêt qui produisent des croisements de câbles. Il apparaît clair que ces croisements sont inéluctables et doivent être considérés comme « indissociables » de l'installation. Un freinage d'urgence produit, dans certaines configurations de charge, des oscillations du câble tracteur qui amènent à un ou plusieurs croisements. Il serait vraisemblablement impossible de poursuivre une exploitation en souhaitant s'en affranchir sur le Panoramic Mont-Blanc. Contrairement aux autres téléportés, ces phénomènes dynamiques se produisent fatalement à l'intérieur même du domaine d'utilisation courante de l'installation. Afin d'amoindrir ces effets, le paramétrage du pilote automatique a été revu : l'accélération a été ramenée de 0,3 à 0,2 m/s². La décélération de certains types de freinage a été atténuée. Les croisements n'ont pas pour autant pu être supprimés. L'ensemble de ces développements ont permis de progresser dans la connaissance et la maîtrise des effets dynamiques. Une réserve de l'arrêté préfectoral de remise en service demandait d'aller plus loin et de « définir les cas de charges et les essais, à réaliser en inspection annuelle, les plus pénalisants pour le croisement (freinage, accélération, décélération, freinage d'urgence sur accélération...) [...] ». Elle a été traitée incomplètement. Les cas de charge pénalisants n'ont pas été clairement définis. Le cas de charge du 8 septembre 2016, considéré comme le plus pénalisant qui soit connu, ne représente que 76 % de la charge maximale d'exploitation. Certaines configurations pourraient être plus pénalisantes. Faute de définition des cas de charge « enveloppes », il nous semble que la géométrie des essais annuels n'a pas non plus évolué. Notre perception est que la connaissance des risques dynamiques a bien été approfondie sans pour autant qu'elle conduise à une analyse stabilisée, précise et formalisée. 64 Il nous semble que ces risques, parce qu'ils sont hors du commun par rapport aux autres installations, et parce qu'ils conduisent à une insécurité, devraient faire l'objet d'un encadrement rigoureux qui n'a pas encore été atteint. Ainsi, les réglages finalisés de l'installation permettant de minimiser les risques devraient être décrits formellement, en précisant l'attention particulière à porter vis-à-vis des modifications ou des dérives de ceux-ci (accélération, décélération, tension du câble...) et en décrivant les mesures propres à garantir la stabilité du comportement. L'enveloppe des effets dynamiques devrait être caractérisée, avec description des configurations de charge à risque qui les produisent (nature des arrêts, charge en ligne...) Les essais dynamiques périodiques seraient aussi à compléter avec les configurations les plus pénalisantes, de manière à vérifier la stabilité de comportement dans le temps. Il conviendrait de statuer préalablement sur des critères, mesurables lors de ses essais, permettant de valider le comportement et sa non-dérive. La transcription de l'ensemble de ces enseignements de retour d'expérience permettrait de donner un cadre pérenne formalisé et accessible à tous les intervenants pour l'exploitation future, afin de ne pas renouveler les approximations des interventions sur l'installation. Afin de renforcer le traitement du risque associé aux effets dynamiques dangereux d'oscillation du câble tracteur et de croisement des câbles, le BEA-TT émet la recommandation ci-après. Recommandation R1 adressée à la société Compagnie du Mont-Blanc (CMB) : Formaliser les enseignements des analyses et essais sur le comportement dynamique du Panoramic Mont-Blanc dans un document de type « consigne » à l'usage des intervenants futurs de l'exploitation, décrivant : les réglages retenus pour l'installation devant faire l'objet d'une attention soutenue vis-à-vis de leurs modifications ou de leurs dérives ; l'enveloppe des effets dynamiques à risque avec description des configurations de charge qui les produisent ; les essais dynamiques périodiques à réaliser de manière à garantir la stabilité de comportement dans le temps, en statuant sur les critères, mesurables lors des essais, permettant de valider le comportement et sa non-dérive. Les modifications des paramètres fonctionnels Les interventions de modification des paramètres de réglage impactent les effets dynamiques. Elles n'étaient pas encadrées par des règles nettes. Une prescription figurait bien dans le CCTP des travaux, sur la limitation du choix d'accélération de l'installateur à la valeur préexistant aux travaux. Elle concernait un objectif de confort des passagers et des personnels et non la sécurité. Il n'y avait, de plus, pas de cadre spécifique pour les interventions sur l'appareil, sous forme d'une procédure par exemple, eu égard à sa sensibilité dynamique particulière. Une réserve faite dans l'arrêté préfectoral de remise en service demandait de « recenser les cas de modification de paramètres fonctionnels de l'appareil engendrant des mouvements de câbles et pour lesquels des essais complémentaires [...] seraient nécessaires ». Elle n'a pas été instruite par l'exploitant sur le fond. L'impossibilité de simuler les effets dynamiques, avec les technologies connues et utilisées par DCSA et POMA, et de déterminer donc les paramètres sensibles, l'explique. 65 L'exploitant a conclu que les modifications devront à l'avenir faire l'objet de son approbation formelle préalable, avec avis, si nécessaire, d'un second regard de maître d'oeuvre. La recommandation R1 doublée de cette disposition formelle sont de nature à encadrer le risque d'une intervention intempestive d'un prestataire telle que celle effectuée la veille du 8 septembre 2016. Le BEA-TT n'émet donc pas de recommandation supplémentaire. La réglementation Au-delà des mesures de renforcement citées ci-dessus et concernant l'installation, nous avons noté de manière plus générale que la réglementation ne fixe pas assez d'exigence sur les effets dynamiques à risque. La réglementation fait peu de cas des risques liés à l'oscillation des câbles. Ceux-ci sont à prendre en compte par des coefficients amplificateurs des effets statiques non adaptés dans le cas présent. La réglementation sur les essais dynamiques demande une vérification de la capacité du frein. Elle ne prescrit pas de tester l'acceptabilité des effets secondaires, tels que les oscillations de câble. Elle ne demande pas de tester l'ensemble du système dans la fonction de freinage. Certes, sur les installations classiques les effets secondaires sont négligeables. Mais pour certaines installations, comme le Panoramic Mont-Blanc, ils peuvent être prépondérants. Le manque de précision de la réglementation peut inciter les acteurs, exploitants, techniciens d'inspection et services de contrôle, à minimiser l'importance des risques, comme ce fut le cas pour la conduite des essais dynamiques du Panoramic Mont-Blanc. Pour y remédier, la réglementation doit être améliorée. Le BEA-TT émet la recommandation ci-après. Recommandation R2 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Compléter les règles des guides techniques RM1 et RM2 sur les essais dynamiques, pour les installations qui sont sensibles aux effets d'oscillations de câble, par une double obligation d'évaluation des cas de charge dynamique les plus pénalisants, et de conduite d'essais avec ces cas de charge. Le déraillement de cabine L'installation présente un risque vis-à-vis du déraillement de cabine en exploitation courante. Celui-ci survient soit au moment du croisement, soit lors du décroisement. Le risque est traité au moyen d'une disposition constructive qui semble sommaire pour assurer la retenue de la cabine en toute circonstance. Les efforts et les mouvements lors d'un croisement ou décroisement mettent en jeu beaucoup d'énergie. Des dispositions pertinentes ont été prises par le passé pour améliorer le rattrapage et la détection en cas de déraillement. Celles-ci ont correctement fonctionné jusqu'à présent. Pour le rattrapage, le système de diabolo semble bien sommaire au regard du risque dans la mesure où le déraillement se produit en situation d'exploitation normale. Il conviendrait de vérifier le réalisme de la parade au vu des énergies en jeu. Le BEA-TT émet ainsi la recommandation ci-après. Recommandation R3 adressée à la société Compagnie du Mont-Blanc (CMB) : Étudier la faisabilité d'améliorer la sécurité au déraillement des cabines par le renforcement du dispositif physique de retenue des cabines. 66 6.4 - La vérification de l'aptitude au décroisement Une fois l'installation arrêtée et les croisements de câbles constatés, le décroisement du troisième croisement n'a pas pu être réalisé, immobilisant l'appareil pour une longue durée. La cause est la casse du flexible d'alimentation du moteur de sauvetage d'Helbronner qui souffrait d'une malfaçon. L'aptitude de cet équipement à réaliser le décroisement n'avait pas été vérifiée. Concernant ce point, des études ont été conduites pour déterminer, par le calcul, les cas de charge les plus défavorables pour le décroisement. L'exploitant a proposé que le contrôle de l'aptitude au décroisement, sous ces cas de charge, soit intégré à l'inspection périodique annuelle. Par ailleurs, la machinerie défaillante d'Helbronner a fait l'objet de plusieurs travaux correctifs pour améliorer sa performance. Ces adaptations sont de nature à garantir plus efficacement la sécurité de l'installation au décroisement. Concernant la malfaçon, nous pouvons constater que l'ensemble de la chaîne de contrôle qualité ne l'a pas détectée, depuis, et en premier lieu, le poseur, jusqu'à l'exploitant, en passant par l'entreprise titulaire et la maîtrise d'oeuvre. Il nous semblerait normal que chacun des intervenants instruise, au travers de son système de management de la qualité, la non-conformité qui a conduit à mettre en service un organe défaillant. La mesure nouvelle de vérification de l'aptitude au décroisement nous semble de nature à désormais garantir un contrôle final. Ainsi, les dispositions arrêtées par l'exploitant vis-à-vis de la vérification de l'aptitude au décroisement nous semblent suffisantes. Le BEA-TT n'émet pas de recommandation. 6.5 - Le principe d'évacuation par récupération intégrée Le principe d'évacuation par récupération intégrée a montré sa pertinence dans le présent évènement : au final, les cabines ont pu être rapatriées en gare après le traitement des multiples défaillances du système. Ce qui pose question, c'est l'incomplétude et l'inexactitude de l'analyse de risque justifiant la récupération intégrée, et la mauvaise résilience de l'installation en résultant. L'étude de sécurité de l'appareil esquissée par le maître d'oeuvre s'appuyait pour l'essentiel sur la probabilité quasi nulle d'une défaillance simultanée de la motorisation de sauvetage en gare de la Pointe Helbronner avec une autre motorisation. Elle n'identifiait pas le croisement de câbles comme un risque, et en conséquence le fait que la seule défaillance de la motorisation d'Helbronner empêcherait le décroisement et immobiliserait l'installation. Pour certains évènements extrêmes (séisme...), l'étude ne trouvait pas de parade et ne les traitait pas. Ceci aurait dû inciter au développement d'un « plan de sauvetage ultime ». La justification d'une récupération intégrée exige plus de rigueur. L'évaluation des risques et la définition de parades doivent être plus complètes. Il est vrai, à la faveur des auteurs d'une telle étude, que les cas d'application sont rares et que le retour d'expérience est peu développé. L'étude de risque du Panoramic Mont-Blanc a aujourd'hui été reprise et offre les garanties d'une plus grande rigueur et complétude. Le principe de récupération intégrée des téléphériques gros porteurs ne doit pas être remis en cause. Sur les installations où l'évacuation verticale présente des difficultés flagrantes, ce principe reste à privilégier, et serait à promouvoir sur plusieurs installations aujourd'hui en service. 67 Avec le retour d'expérience de cet évènement, il convient de fiabiliser les études de sécurité de ces installations autour de deux principes : garantir l'exhaustivité des risques en intégrant le plus large retour d'expérience qui soit ; prendre en compte un « plan de sauvetage ultime », couvrant les situations imprévues et incontrôlables, coordonné avec les services publics de secours qui sont appelés à intervenir en soutien. Le retour d'expérience peut être capitalisé par le service national de contrôle des remontées mécaniques, le STRMTG qui a la vision globale à la fois des incidents et des études de sécurité produites sur le plan national. II serait à diffuser largement aux acteurs en charge de l'établissement des études. Le BEA-TT émet ainsi la recommandation ci-après. Recommandation R4 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Établir la liste minimale des risques à prendre en compte dans les études de sécurité des téléphériques à récupération intégrée, et la mettre à disposition des bureaux d'études et exploitants. Imposer, dans ces études de sécurité, la prise en compte de dispositions ultimes pour couvrir les risques extrêmes d'immobilisation sans recours. 6.6 - Les moyens d'assistance et de secours en cas d'immobilisation prolongée Les risques physiologiques d'une immobilisation prolongée ont été incomplètement pris en compte. De ce fait, les moyens d'assistance aux passagers se sont avérés nettement sous-évalués, tant sur le plan des moyens de communication avec les passagers, que sur l'équipement de « survie » en cabine. Ces moyens ont été depuis sérieusement renforcés par l'exploitant. Le kit de survie a été revu. Un numéro d'appel de l'exploitant est désormais affiché en cabine. La vidéosurveillance permet de connaître l'état d'occupation de chaque cabine. Un « plan d'intervention terrestre » a été formalisé pour préparer et faciliter l'intervention d'assistance aux passagers par le PGHM en cas de secours ultime. Dans la mesure où ces moyens ont été profondément renforcés, le BEA-TT n'émet pas de recommandation sur ce point. Préalablement à l'évènement, le cadre formel par lequel les moyens d'assistance et de secours ont été définis a fait l'objet de plusieurs manquements. On peut citer, en premier lieu, l'absence du règlement d'exploitation avec avis conforme du Préfet, qui est pourtant obligatoire. On peut citer également l'absence du plan d'évacuation d'urgence. Ces documents avaient été demandés par le STRMTG dans son avis favorable à la poursuite de l'exploitation suite à la modification de la machinerie, sur deux saisons successives. L'absence de ces documentations, et de leur instruction en préfecture, a contribué à l'imprécision des modalités prévues pour l 'évacuation, des délais à prendre en compte et des moyens à déployer pour assister les passagers lors d'immobilisation prolongée. Nous observons que le STRMTG, service de contrôle, a manqué d'exigence en tolérant que ses propres demandes soient sans effet, et ceci dans la durée. Le BEA-TT invite le STRMTG à vérifier plus rigoureusement l'existence et la pertinence des documents d'exploitation requis par la réglementation. 68 6.7 - La rigueur de l'exploitation en faveur du maintien d'un haut niveau de sécurité L'immobilisation prolongée est pour partie le résultat de défauts latents et d'une faible résilience de l'installation et de son exploitation. L'enquête a mis en évidence plusieurs écarts dans la rigueur d'exploitation nécessaire à maintenir un haut niveau de sécurité. Ont ainsi été décrits dans le présent rapport : l'absence de production d'un règlement d'exploitation malgré la demande formulée sur deux saisons successives par le STRMTG. Comme nous venons de le dire ci-dessus, ce document est une exigence réglementaire incontournable qui formalise les principes de toute l'organisation de la sécurité de l'exploitation ; l'absence de production d'un plan d'évacuation malgré la demande formulée sur deux saisons successives par le STRMTG ; l'absence de demande d'accord au STRMTG sur le non-respect du temps maximum de rapatriement en cas d'évacuation, fixé à 3 h 30 min par la réglementation. Le scénario de rapatriement en mode de sauvetage intégré était évalué par l'exploitant à une durée de 6 h 20 min ; l'absence d'analyse ou de suite au constat du temps de rapatriement des cabines qui augmentait au fil des ans lors des essais. La durée estimée de rapatriement augmentait du fait de défauts latents de l'installation qui présageaient de difficultés en cas de sauvetage et demandaient un traitement ferme ; l'absence de réponse donnée aux sollicitations du PGHM sur la sensibilité du PMB et du Téléphérique de l'Aiguille du Midi (TAM) concernant l'évacuation, conjuguée à l'absence de présentation de l'installation au PGHM, l'exploitant restant trop confiant dans le principe de récupération intégrée ; l'absence d'un réel plan de gestion de crise, d'annuaire de gestion de crise à jour, d'une main courante bien renseignée lors des évènements ; une appropriation insuffisante de la nouvelle ergonomie du poste de conduite par les opérateurs, évoquée lors de nos entretiens et constatée lors de la mise en situation sur site ; l'acceptation d'interventions de prestataires durant l'exploitation avec passagers, sans accord/information/contrôle préalable, sans évaluation des risques pour les passagers, sans comptes rendus d'intervention ni communication immédiate des paramètres changés avec justification de l'absence d'impact sur la sécurité d'une installation particulièrement sensible ; l'existence de défauts de fonctionnement connus sur la nouvelle installation, sans être encore corrigés, conduisant les opérateurs à trouver des palliatifs non sécuritaires (cas du capteur de « prêt au départ » du frein de secours d'Helbronner) ou gênant la tâche du personnel exploitant (cas des communications radio entre les stations sautant très fréquemment ­ ce point est cité pour mémoire. Il n'a pas été approfondi, ni décrit, dans le corps du rapport) ; une traçabilité non rigoureuse lors des opérations de décroisement, et lors d'autre accidents comme les déraillements ou les alarmes de chevauchement, alors que l'installation est particulièrement sensible, et que cette traçabilité est fondamentale pour alimenter un retour d'expérience utile pour l'exploitant. La culture de sécurité de l'exploitant et de ses opérateurs doit être renforcée. Le BEA-TT émet la recommandation ci-après. 69 Recommandation R5 adressée à la société Compagnie du Mont-Blanc (CMB) : Mettre en oeuvre un plan pour renforcer de manière pérenne le management de la sécurité de l'exploitation du Panoramic Mont-Blanc en : garantissant la complétude de la documentation de sécurité, et la bonne information des personnels et interlocuteurs externes qui doivent l'appliquer ; assurant une traçabilité et un suivi des défauts de fonctionnement, ainsi que de la réalisation des actions conduites pour y remédier ; assurant une traçabilité exhaustive des incidents et accidents pour consolider le retour d'expérience ; assurant un plan de maîtrise des interventions des prestataires lors des périodes d'exploitation. 70 7 - Conclusions et recommandations 7.1 Conclusions Le fait initiateur de l'immobilisation prolongée du téléphérique est le déclenchement d'une sécurité, qui aurait théoriquement vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du comportement dynamique de la ligne due à un nouveau réglage de l'installation effectué la veille par le technicien de l'entreprise SEMER. Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes ayant conduit à ces circonstances sont les suivantes : la sensibilité de l'appareil aux oscillations du câble tracteur qui conduit, dans certaines configurations, à des croisements avec le câble porteur et à une immobilisation à risque ; l'existence d'une malfaçon, qui a provoqué la casse d'un flexible lors des tentatives de décroisement, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été préalablement vérifiée ; un principe d'évacuation par « récupération intégrée » fragile reposant sur une analyse de défaillance incomplète ne traitant pas certaines éventualités, doublée d'une confiance en ce principe qui a amené à ne pas élaborer de « plan de sauvetage ultime » ; des dispositifs de secours, d'assistance et de communication aux passagers, sous-estimés malgré des durées de récupération prévisionnelles susceptibles de prendre plusieurs heures ; un manque de rigueur de l'exploitation dans le traitement de défauts latents et dans l'organisation d'un haut niveau de sécurité permanent de l'installation. 7.2 - Recommandations Recommandation R1 adressée à la société Compagnie du Mont-Blanc (CMB) : Formaliser les enseignements des analyses et essais sur le comportement dynamique du Panoramic Mont-Blanc dans un document de type « consigne » à l'usage des intervenants futurs de l'exploitation, décrivant : les réglages retenus pour l'installation devant faire l'objet d'une attention soutenue vis-à-vis de leurs modifications ou de leurs dérives ; l'enveloppe des effets dynamiques à risque avec description des configurations de charge qui les produisent ; les essais dynamiques périodiques à réaliser de manière à garantir la stabilité de comportement dans le temps, en statuant sur les critères, mesurables lors des essais, permettant de valider le comportement et sa non-dérive. 71 Recommandation R2 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Compléter les règles des guides techniques RM1 et RM2 sur les essais dynamiques, pour les installations qui sont sensibles aux effets d'oscillations de câble, par une double obligation d'évaluation des cas de charge dynamique les plus pénalisants, et de conduite d'essais avec ces cas de charge. Recommandation R3 adressée à la société Compagnie du Mont-Blanc (CMB) : Étudier la faisabilité d'améliorer la sécurité au déraillement des cabines par le renforcement du dispositif physique de retenue des cabines. Recommandation R4 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Établir la liste minimale des risques à prendre en compte dans les études de sécurité des téléphériques à récupération intégrée, et la mettre à disposition des bureaux d'études et exploitants. Imposer, dans ces études de sécurité, la prise en compte de dispositions ultimes pour couvrir les risques extrêmes d'immobilisation sans recours. Recommandation R5 adressée à la société Compagnie du Mont-Blanc (CMB) : Mettre en oeuvre un plan pour renforcer de manière pérenne le management de la sécurité de l'exploitation du Panoramic Mont-Blanc en : garantissant la complétude de la documentation de sécurité, et la bonne information des personnels et interlocuteurs externes qui doivent l'appliquer ; assurant une traçabilité et un suivi des défauts de fonctionnement, ainsi que de la réalisation des actions conduites pour y remédier, assurant une traçabilité exhaustive des incidents et accidents pour consolider le retour d'expérience ; assurant un plan de maîtrise des interventions des prestataires lors des périodes d'exploitation. Le BEA-TT invite le STRMTG à vérifier plus rigoureusement l'existence et la pertinence des documents d'exploitation requis par la réglementation. 72 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Relevé chronologique et détaillé des évènements Annexe 3 : Données sur les incidents d'exploitation 73 Annexe 1 : Décision d'ouverture d'enquête 75 Annexe 2 : Relevé chronologique et détaillé des évènements Heure 15 h 20 Délai écoulé Opérations techniques Arrêt d'urgence de l'appareil en gare de l'Aiguille du Midi suite à défaut : « écart de vitesse droit/référence » Lors de l'arrêt signalement des défauts : « tension câble haute » et « chevauchement de câble » Analyse des défauts par le conducteur Acquittement des défauts Appel radio du conducteur au Rognon et à Helbronner pour contrôle visuel Observation aux jumelles de la ligne depuis les trois gares RAS depuis la gare Helbronner Appel du conducteur au chef de secteur Confirmation de 3 croisements par la station du Rognon Mise en place de la procédure de décroisement Mise en place du 1er amarrage fixe côté Aiguille du Midi en station du Rognon Actions de prise en charge des passagers 15 h 21 1 min 15 h 22 2 min 15 h 23 3 min 15 h 25 5 min 15 h 28 8 min 15 h 30 10 min 15 h 45 25 min Accouplement de la machinerie de secours Information des passagers en attente à la en gare Helbronner gare Helbronner Appel du chef d'exploitation Réception des 1ers appels téléphoniques de passagers bloqués Arrivée du chef d'exploitation Confirmation de la mise en place des mordaches par la station du Rognon Machinerie au « prêt » en gare Helbronner Envoi Info panne sur installation Appel du PC info et de la direction générale Information du conducteur vers les cabines 1er tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière Pas de décroisement Mise en tension de la fixation à la station du Rognon 2e tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière 1er décroisement de la ligne entre l'Aiguille du Midi et le Rognon Reprise du mou du câble en sens marche arrière 3e tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière 2e décroisement de la ligne entre l'Aiguille du Midi et le Rognon 15 h 46 26 min 15 h 53 33 min 15 h 54 34 min 15 h 59 39 min 76 16 h 07 47 min Mise en route de l'appareil de l'Aiguille du Midi en marche avant pour relâcher le tir Confirmation du décroisement par la station du Rognon Mise en route de l'appareil de l'Aiguille du Midi en marche avant pour retirer le point fixe et suppression du point fixe à la station du Rognon Mise en place du 2e amarrage fixe en station du Rognon du côté de la Pointe Helbronner Mise en tension du fixe par l'appareil de la Réception par l'exploitant d'appels gare Helbronner en marche avant téléphoniques de passagers avec demande 1re tentative de décroisement par l'appareil d'information d'Helbronner en marche avant Reprise du mou de câble par l'appareil de l'Aiguille du Midi en marche avant Information par la station du Rognon que des passagers tentent de sortir de cabine Affrètement d'un hélicoptère de la compagnie Chamonix Mont-Blanc Hélicoptère, puis survol de la ligne par le chef d'exploitation pour tenter de rassurer les passagers Mise en pré-alerte du PGHM Constat depuis la station du Rognon que la flèche se tend mais pas suffisamment 2e tentative de décroisement par l'appareil d'Helbronner en marche avant 2e reprise du mou de câble par l'appareil de l'Aiguille du Midi en marche avant Constat de non possibilité de décroiser 3e tentative de décroisement par l'appareil d'Helbronner en marche avant Rupture d'un flexible hydraulique Appel du chef d'exploitation au Directeur Général Tentative d'identification du problème en gare Helbronner Rupture sur moteur hydraulique identifiée par la gare Helbronner Mise en pré-alerte du PGHM par le chef d'exploitation Appel informant de l'immobilisation l'appareil au STRMTG, au Maire Chamonix et au PGHM de de 16 h 10 50 min 16 h 15 55 min 16 h 22 1 h 2 min 16 h 26 1 h 6 min 16 h 30 1 h 10 min 16 h 35 1 h 15 min 16 h 38 1 h 18 min 16 h 39 1 h 19 min 16 h 40 1 h 20 min 16 h 45 1 h 25 min 16 h 50 1 h 30 min 17 h 00 1 h 40 min Héliportage de renforts vers la gare Communication au Directeur Général des Helbronner. Survol des cabines par le chef numéros des passagers bloqués. d'exploitation pour tenter de rassurer les passagers 77 17 h 10 1 h 50 min Confirmation de l'impossibilité de réparer Information de comportement agité de passagers Information aux passagers (heure estimée de la correction du canal de diffusion des messages vers les cabines) 17 h 20 2 h Tentative vaine de décroisement à partir de Décision d'évacuation par le SKYWAY des l'appareil de l'Aiguille du Midi clients en attente à la Pointe Helbronner Demande d'intervention au PGHM 2e tentative de tir, vaine également Recherche de moyens de transport entre l'Italie et la France Engagement d'un 1er hélicoptère de la sécurité civile par le PGHM Accueil de représentants du STRMTG ; reconstitution des faits Réception des équipes de secours Mise en place d'une structure d'accueil des retours sur le versant italien Mise en place d'un accueil des passagers en gare du TAM 1 et en DZ de Chamonix 1res évacuations par hélitreuillage 17 h 30 2 h 10 min 17 h 35 18 h 00 2 h 40 min 18 h 30 3 h 10 min 18 h 42 19 h 20 Déclenchement du plan « Novi » (nombreuses victimes) destiné à secourir des victimes en nombre important. PC de crise avec le préfet dans les locaux du PGHM à Chamonix Engagement d'un 2e hélicoptère de la sécurité civile venu en renfort Engagement d'un hélicoptère italien, ce qui porte à 4 le nombre d'hélicoptère sur l'intervention Arrivée de nuages gênant l'évacuation Approvisionnement de vivres de secours sur l'aire d'atterrissage d'hélicoptère (Drop Zone) de Chamonix 26 personnes sont évacuées des cabines, hélitreuillées et déposées au Rognon ou à la Pointe Helbronner Coucher du soleil Accueil et organisation du rapatriement des personnes héliportées vers la Pointe Helbronner : Réservation d'hôtels et transferts entre France et Italie 19 h 30 4 h 10 min 19 h 46 19 h 55 4 h 35 min 20 h 25 5 h 5 min 20 h 30 Tombée de la nuit 54 personnes évacuées Arrêt des opérations d'hélitreuillage et rapatriement par hélicoptère des passagers déposés à la DZ du Rognon Début des opérations sauvetage vertical. Décision de faire intervenir POMA pour réparation de l'appareil d'Helbronner Demande du décroisement préfet de tenter un d'évacuation par 21 h 21 h 30 6 h 10 min 21 h 45 6 h 25 min 78 22 h 07 6 h 47 min Marche en avant de l'appareil en gare de Conférence de presse l'Aiguille du Midi pendant 5 min pour tenter de déplacer le point de croisement 6 tentatives de décroisement, vaines. 24 personnes sont évacuées par sauvetage vertical vers la Pointe Helbronner Fin des opérations de sauvetage vertical 3 membres du PGHM rejoignent les cabines non évacuées pour assister les 32 passagers non évacués qui vont rester la nuit Décision de lancement d'une tentative de Appel régulier des passagers en cabine dont décroisement après réparation de l'appareil le numéro a été identifié. Une cabine avec une famille étrangère n'a pu être jointe faute en gare Helbronner de réseau ou de portable Arrivée de l'installateur POMA, accompagné de son sous-traitant HYDRO-TS Réparation l'installateur du flexible défaillant par 22 h 20 7 h 5 min 22 h 30 Nuit J+1 1 h 30 3 h 30 6 h 30 6 h 45 à 7 h 05 15 h 10 min 15 h 25 min Mise en place d'un amarrage fixe en station du Rognon du côté de la Pointe Helbronner Mise en tension de la ligne par l'appareil d'Helbronner en marche avant Reprise du mou donné par Helbronner, par l'appareil de l'Aiguille du Midi Surveillance, depuis la station du Rognon, du tir et retour d'information sur position câble croisé Confirmation par la station du Rognon du décroisement de câble Marche arrière pour détendre la ligne depuis les deux appareils de l'Aiguile du Midi et d'Helbronner Confirmation déraillement cabine suite au décroisement Héliportage de techniciens sur le pylône suspendu Désaccouplement de l'appareil en gare `Helbronner Évacuation des cabines à petite vitesse Accueil des passgers en station du Rognon et évacuation par hélicoptère Accueil passagers voie Requin/ cellule Psy. Accueil passagers évacués sur DZ 7 h 10 7 h 15 15 h 50 min 15 h 55 min 7 h 30 16 h 10 min 7 h 36 16 h 16 min 8 h 50 9 h 00 9 h 30 9h 12 h 17 h 30 min 17 h 40 min 18 h 10 min à 20 h 40 min Fin de l'évacuation Marche avant de l'appareil de l'Aiguille du Midi pour ramener la cabine déraillée Fin des opérations techniques Cellule accueil évacués au vertical Conférences de presse 79 Annexe 3 : Données sur les incidents d'exploitation Historique des croisements de câble Un historique des situations de croisement des câbles est tenu à jour par l'exploitant depuis 2008. Cet historique a été mis en place à l'image du suivi assez complet des croisements qui se produisent, aussi, sur le téléphérique d'accès à l'Aiguille du Midi, le TAM. L'historique du Panoramic Mont-Blanc est plus complet à partir de 2013, sans être exhaustif. Les croisements en sortie d'arrêt hivernal n'y figure pas. Plusieurs croisements, antérieurs à la liste, sont aussi enregistrés dans le recueil des évènements significatifs de l'installation maintenu à jour par le Bureau de contrôle territorial du STRMTG. Deux ont donné lieu à un dépannage problématique : le 12 avril 1999 : croisement lors de l'inspection annuelle à la suite d'un arrêt d'urgence. Le croisement a lieu sur la voie Requin, entre l'Aiguille du Midi et le Rognon. Le rapatriement en gare des personnels, qui étaient en ligne, a duré 7 h 50 min. en 2006 : croisement en exploitation à la suite d'un arrêt au frein de service. Le rapatriement des voyageurs a duré 3 heures. Sur la première liste, celle tenue à jour par l'exploitant, figurent 13 incidents de croisement antérieurs au 8 septembre 2016. Ils totalisent 19 croisements effectifs de câbles (certains incidents connaissant plusieurs croisements). La liste est la suivante : N° 1 2 3 4 5 6 7 8 9 10 11 12 13 Date 08/05/08 " 08/06/08 30/06/13 29/05/14 03/06/14 12/06/14 22/06/14 05/07/14 12/07/14 " 31/05/15 25/07/16 08/09/16 20/09/17 " " Emplacement 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 5 Crnts en 2 jours dont : · 1 voie Requin entre Hel. et Rog. · 2 voie Mont-Blanc entre Hel. et Rog. · 2 voie Mont-Blanc entre Aig. et Rog. nt Durée du décroisement 20 min 45 min 15 min 50 min 30 min 9 min 38 min 20 min 25 min 23 min 45 min 950 min - Cause initiatrice Arrêt Arrêt Vent Vent non précisé « « Vent Arrêt Arrêt Arrêt Arrêt Arrêt Arrêt électrique Arrêt Arrêt Charge 2 opérateurs Vide Vide 19 passagers Vide Vide 18 passagers 19 passagers 23 passagers 20 passagers 63 passagers 12 passagers 110 passagers Essais Essais Essais 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Crnt voie Requin entre Aig. et Rog. 1 Cr nt nt nt nt 1 Cr voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 2 Cr voie Requin entre Aig. et Rog. 3 Crnts dont : · 2 voie Requin entre Aig. et Rog. · 1 voie Requin entre Hel. et Rog. nt nt nt 2 Crnt voie Requin entre Aig. et Rog. 2 Crnt voie Requin entre Aig. et Rog. 3 Crnts identiques au 08/09/17 80 Nous notons qu'avant le 8 septembre 2016 : 45 % des croisements répertoriés se sont produits en exploitation, 55 % en dehors ; 80 % se sont produits entre l'Aiguille du Midi et le Rognon (décroisement par la machinerie de l'Aiguille du Midi) et 20 % entre la Pointe Helbronner et le Rognon (décroisement par la machinerie d'Helbronner). Aucun croisement entre la Pointe Helbronner et le Rognon ne s'est produit en exploitation avant le 8 septembre 2016. La nouvelle machinerie d'Helbronner, ayant fait l'objet de travaux de modernisation en 2015, n'a pas connu non plus de décroisement. Nous pouvons donc conclure que les croisements sont assez courants (par exemple 7 sur l'année 2014). Ils concernent toute la ligne, et celui survenu le 8 septembre 2016 était le premier à mobiliser la nouvelle machinerie d'Helbronner. Enfin, la cause initiatrice principale d'un croisement des câbles est l'arrêt de l'installation. Les trois types d'arrêt (électrique, frein de service ou frein d'urgence) sont concernés. Historique des arrêts d'urgence Nous avons pu exploiter le fichier-archive de l'installation sur les 76 jours d'exploitation commerciale allant du 24 juin au 8 septembre 2016. Sur cette période, il s'est produit 59 arrêts d'urgence en vitesse, c'est-à-dire arrêts alors que la vitesse de ligne était significative et supérieure à une valeur que nous avons délibérément choisie de 3 m/s (La liste de ces arrêts est donnée en page suivante). La ligne étant à une vitesse supérieure à 3 m/s, les cabines étaient en dehors des zones de gare. Sur ces 59 arrêts : 1. 30 arrêts ont été provoqués par les opérateurs. Certains de ces arrêts proviennent d'ailleurs des essais périodiques qui sont obligatoires comme l'essai de vérification mensuel du temps d'arrêt, à réaliser sur chaque type de frein. 2. 20 arrêts sont survenus pour un défaut de « gamma d'accélération », et ceci entre le 6 et le 26 juillet 2016. Ce défaut a généré en moyenne un arrêt par jour sur la période. Le défaut « gamma d'accélération » résulte d'une variation anormale de la vitesse du câble (gamma accélération ­ acc) qui fait l'objet d'un contrôle dans l'installation depuis 2015. La forte occurrence de ce défaut après les travaux a tardé à être traitée et avait conduit à des échanges, notamment par mail, empreints d'irritation de l'exploitant envers l'installateur. Le défaut se produisait au passage des cabines sur le pylône suspendu à mi-distance d'un cycle de sortie/entrée des cabines en gare. La valeur de contrôle du acc, de 0,5 m/s², avait été choisie trop faible. Elle a été corrigée à une valeur supérieure de 1,5 m/s² sur arrêt de ce type, le 26 juillet 2016. Le défaut n'est plus apparu. Sur l'ensemble des arrêts dus à ce défaut durant cette période, un croisement de câble s'est produit, le 25 juillet. Il y a eu deux points de croisement entre la gare de l'Aiguille du Midi et le Rognon. Tous deux ont pu être décroisés en appliquant la procédure de décroisement. 3. Les 9 autres arrêts provenaient d'autres types de défaut, dont le plus important est le « chevauchement des câbles », ayant provoqué 6 arrêts en vitesse. 81 82 Parmi l'ensemble de ces 59 arrêts en vitesse, peu se sont produits alors que les cabines étaient en phase d'accélération, en sortie de gare, et avec une vitesse proche des conditions de l'arrêt du 8 septembre 2016. Seuls trois arrêts, relevant de la première catégorie des arrêts ci-dessus, sont de ce type : le 25 juin à 9 h 56 (à 82 m) ; le 26 juin à 9 h 16 (à 127 m) ; le 27 juin à 8 h 25 (à 127 m). Aux horaires de ces arrêts, la ligne était peu fréquentée. Les conditions de masse et d'inertie en ligne étaient nettement insuffisantes pour être comparables à celles du 8 septembre et provoquer les mêmes conséquences. Au total, un seul arrêt d'urgence a provoqué un croisement de câble sur la saison. Il s'est produit dans un positionnement des cabines différent, plus favorable. Il a conduit à seulement deux croisements de câbles. L'arrêt d'urgence du 8 septembre était bien une situation inédite que ni les essais dynamiques, ni l'exploitation courante n'avaient jusqu'alors produite. Historique des alarmes « chevauchement des câbles » Sur les 76 jours précédant le 8 septembre 2016, dont nous avons étudié les archives d'exploitation, l'alarme « chevauchement de câble » est apparue 43 fois pendant les heures d'ouverture au public (La liste de ces alarmes est donnée en page suivante). Dans 1 cas, il s'agissait d'un croisement de câbles : le 25 juillet suite à l'arrêt d'urgence pour défaut de « gamma d'accélération » que nous venons de voir ; Dans 25 cas, l'alarme s'est produite à l'occasion d'une marche en avant sans autre défaut simultané. L'arrêt a été provoqué par l'alarme dans 22 cas, et l'alarme a fait suite à l'arrêt dans 3 cas. Seulement 6 de ces 25 cas ont eu lieu en dehors des zones de gare. Pour tous ces défauts, un contact électrique des câbles est avéré. Un croisement est donc suspecté. Dans 17 autres cas, soit l'installation était à l'arrêt ou en marche arrière, soit le défaut était simultané à plusieurs autres défauts. Il est difficile de statuer sur la réalité d'un croisement devant tout autre hypothèse (mauvais contact électrique, déraillement...) Ainsi, avec près d'une alarme par jour en moyenne, la fréquence des chevauchements est très élevée. Ce point confirme à nouveau la grande sensibilité de l'installation aux mouvements du câble tracteur. L'exploitant était au final confronté fréquemment, quasi quotidiennement, à cette problématique de défaut de chevauchement des câbles. Tout comme il l'était pour les arrêts d'urgence et pour le croisement de câble. Il n'a pas cherché à supprimer ces incidents divers d'exploitation, et s'y est plutôt « habitué ». Leur banalisation a pu conduire à sous-estimer le degré de dangerosité des évènements, que ni les études, ni les essais dynamiques, n'avaient exploré. La situation du 8 septembre 2016, avec 3 croisements de part et d'autre de la station du Rognon, bien que réalisée strictement dans le cadre d'une exploitation courante, était inédite. Elle n'avait jamais été anticipée. 83 84 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  INVALIDE) (ATTENTION: OPTION le marché des constituants et sous-systèmes assurant la sécurité des remontées mécaniques). Le moteur avait été utilisé lors des essais probatoires et aussi pour un décroisement en sortie de la période d'arrêt hivernale mais dans une configuration de ligne non chargée. Moins sollicité dans ces situations, il n'avait pas donné de signe de défaillance. L'aptitude de cet équipement à réaliser le décroisement n'avait ainsi pas été vérifiée. Seul un test de fonctionnement du moteur avait été opéré. 4.3.3 - La réparation du flexible hydraulique du moteur de sauvetage La rupture du flexible s'est produite à 16 h 39. L'analyse de la situation a conclu qu'il n'y avait aucune possibilité de remise en route. L'évacuation par hélitreuillage de la ligne a été lancée. Il y avait une autre option possible : celle de réparer le flexible. Cette option n'a pas été envisagée. Elle aurait pu être étudiée en parallèle à l'option de l'évacuation par hélicoptère. Elle n'a été prise en considération que tard dans la nuit. L'entreprise POMA a été informée de la situation vers 19 h par la voie des médias. Elle a contacté à plusieurs reprises l'exploitant pour intervenir mais celui-ci n'a pas donné suite. Le diagnostic sur le composant défaillant a été fait grâce à un échange de photographies par téléphone, entre les responsables de POMA et la gare de la Pointe Helbronner. À 22 h 36 la proposition d'intervention a été acceptée. L'entreprise a immédiatement dépêché une équipe sur place et la réparation a été terminée à 3 h . Il aura fallu 4 h 30 min entre le lancement de l'intervention et la réparation de la panne. Un scénario de déclenchement d'une intervention « en express » du réparateur, plus tôt dans la soirée et avec des délais d'acheminement plus réduits, n'aurait toutefois vraisemblablement pas permis la réparation avant l'arrivée de la nuit (à 20 h 50). 4.3.4 - Le déraillement de cabine suite au décroisement Une fois le moteur réparé, et le jour levé, l'opération de décroisement entre le Rognon et la Pointe Helbronner a été relancée. Elle a permis de réaliser le décroisement avec succès à 7 h 10. Toutefois, lors du « tir » de décroisement, une cabine a déraillé. Ce risque, qui était lui aussi connu de l'exploitant, montre à nouveau combien l'installation souffre d'une très grande sensibilité. Nous n'avons pas eu connaissance de l'exhaustivité des déraillements sur l'installation. Le relevé des évènements significatifs du STRMTG fait état de quatre déraillements de cabine par le passé : les 26 juillet 1988, 31 août 1992, 5 avril 1993 (ce jour-là un groupe complet de trois cabines a déraillé, à l'occasion d'essais) et le dernier en 2006 (date non précisée). Ces déraillements étaient à chaque fois conjugués à des croisements de câbles et se sont produits hors exploitation. Le déraillement survient soit au moment du croisement, soit lors du décroisement qui le suit. Dans ces phases, le câble tracteur est fortement tendu, et, passant au-dessus du câble porteur, il exerce un effort de soulèvement sur une ou plusieurs cabines (voir figure ci-après). Lorsque le soulèvement s'est produit le 9 septembre 2016 au matin, la cabine concernée avait été vidée de ses occupants par les opérations d'hélitreuillage. 48 Figure 26 : mise en évidence du déraillement de cabine (source DCSA) Le risque de déraillement est traité sur l'installation au moyen d'une disposition constructive consistant en l'ajout de « diabolos » sur les chariots-supports de cabine. Ils ont pour rôle de rattraper la cabine en cas d'échappement des galets du câble porteur (voir figure ci-dessous). Ce dispositif a été ajouté en 1997. Cette disposition constructive assez simple a bien rempli sa fonction le 9 septembre au matin. La cabine a été correctement rattrapée. Notre opinion est que ces diabolos semblent bien sommaires au regard du risque, dans la mesure où le déraillement se produit dans des configurations d'utilisation produites par une exploitation normale, avec des efforts et des mouvements mettant en jeu beaucoup d'énergie. Figure 27 : dispositif de sécurisation et de détection du déraillement des chariots 49 Précisons enfin que chaque chariot est équipé d'un détecteur de déraillement (voir figure ci-dessus). Il signale au conducteur du téléphérique toute occurrence d'un déraillement. Le détecteur a correctement rempli sa fonction le matin du 9 septembre après le décroisement. Une fois le déraillement détecté, le rapatriement des cabines a eu lieu à petite vitesse, de 0,5 m/s, conformément aux procédures d'exploitation prévues dans ce cas. L'opération d'évacuation a alors pris un délai de 1 h 15 min. 4.3.5 - Les exigences nouvelles demandées sur le décroisement des câbles L'arrêté préfectoral pris le 26 octobre 2016, levant la suspension de l'exploitation, était assorti de deux réserves à lever concernant le décroisement des câbles. Les réserves sont les suivantes : « Proposer une périodicité de contrôle de la capacité des treuils de l'Aiguille et d'Helbronner à décroiser les câbles dans les cas de charge les plus défavorables [...] ; Produire une étude sur les possibilités de réglage du groupe hydraulique du treuil d'Helbronner et du treuil de l'Aiguille pour délivrer plus de puissance. » Des études ont depuis été conduites pour déterminer, par le calcul, les cas de charge les plus défavorables pour le décroisement. Elles ont permis de définir les deux configurations de charges les plus pénalisantes, l'une pour les décroisements avec la machinerie de l'Aiguille du Midi, l'autre pour ceux avec la machinerie d'Helbronner. Elles ont permis aussi de s'assurer que les puissances à mobiliser étaient disponibles sur les motorisations des deux gares, et que les efforts induits sur l'ensemble de l'installation étaient admissibles pour la structure. L'exploitant a proposé que le contrôle de l'aptitude au décroisement, sous ces deux cas de charge, soit intégré à l'inspection périodique annuelle. L'aptitude est vérifiée par le fait que le câble tracteur peut être tiré au-dessus du câble porteur dans la configuration des cas de charge les plus défavorables. À noter que les câbles n'ont pas besoin d'être croisés au préalable pour réaliser le contrôle. Par ailleurs, la machinerie défaillante d'Helbronner a fait l'objet de travaux correctifs : le frein de poulie est simplifié en passant en position fixe et non plus escamotable ; la force de traction du moteur au décroisement a été renforcée par augmentation de la pression hydraulique ; un second actionneur de décroisement a été ajouté et permet de se substituer au moteur de sauvetage en cas de défaillance, ou possiblement de le renforcer ; un stock critique de pièces de rechange a été constitué sur site pour faciliter le dépannage en urgence. Ces adaptations sont de nature à améliorer notablement la sécurité de l'installation au décroisement. Concernant le déraillement de cabine, l'arrêté préfectoral du 6 juin 2017, approuvant la remise en exploitation, a prescrit une mesure concernant « l'étude de l'amélioration de la détection du déraillement de cabine ». Celle-ci a conclu à l'installation, sur chaque chariot de cabine, d'un connecteur électrique qui améliore la détection de déraillement par mise du câble tracteur au potentiel du câble porteur. Cette amélioration n'a pas d'effet sur une sécurisation anti-déraillement. 50 4.4 - Les investigations sur la récupération intégrée Le Panoramic Mont-Blanc est, comme nous l'avons vu au § 2.8, à « récupération intégrée ». Des dispositions de conception et des procédures particulières sont prévues pour assurer en exploitation, et en toute circonstance, le retour en station de tous les véhicules. Selon la réglementation technique (guide RM 1 du STRMTG, partie B ­ Définitions), ces dispositions et ces procédures doivent être élaborées à partir d'une étude de sécurité qui permette d'identifier au préalable les risques susceptibles d'empêcher le rapatriement des véhicules, et d'y remédier. Dans la mesure où, dans la réalité du 8 septembre 2016, ce rapatriement n'a pas été possible, nous avons contrôlé l'étude de sécurité et les mesures de traitement des risques prévues en conséquence. 4.4.1 - L'étude de sécurité de récupération intégrée L'aptitude à la récupération intégrée est d'origine sur le Panoramic Mont-Blanc. Elle est antérieure aux principes concernant la récupération intégrée tels que définis ci-dessus. Il n'y a ainsi pas d'étude de sécurité initiale formalisée identifiant les risques et les parades pour y remédier. Dans le cadre des travaux de régénération de 2015 et 2016, le maître d'oeuvre DCSA a réalisé cette étude. La dernière version, avant l'évènement, date du 6 juillet 2016. L'étude a identifié 75 risques couvrant des évènements extérieurs à l'installation (vent violent, séisme...) et des défaillances de constituant (machinerie d'entraînement, freins, électricité, câbles...) Cette étude, bien que très consistante sur le dénombrement des situations envisagées, avait plusieurs carences. Ainsi, la défaillance de la motorisation de sauvetage en gare de la Pointe Helbronner, telle qu'elle est survenue le 8 septembre 2016, n'était pas prise en considération au motif suivant : « ne peut être considérée compte tenu des contrôles préventifs et du cumul de panne ». Ainsi, au motif que l'entraînement serait toujours assuré par une autre motorisation, la défaillance du treuil d'Helbronner n'était pas considérée. L'étude n'identifiait toutefois pas le croisement de câble comme un risque pour l'immobilisation de l'installation. Elle n'identifiait pas que la seule panne du moteur de sauvetage d'Helbronner empêcherait certains décroisements. Il n'y avait ainsi pas de mesure palliative prévue pour traiter le risque de la panne du moteur. Les évènements ont montré qu'il en était tout autrement. L'analyse de risque d'une récupération intégrée exige plus de rigueur dans l'évaluation des risques et la définition des parades à mettre en place pour y remédier. Il est vrai toutefois, à la décharge des auteurs de l'étude, que les cas d'application d'études de sécurité sont aujourd'hui rares et que le retour d'expérience est quasi inexistant pour eux. Seuls six autres téléphériques en service sont aujourd'hui à récupération intégrée et ont fait l'objet d'une telle étude13. 4.4.2 - L'étude de sécurité post 8 septembre 2016 L'analyse de sécurité a été reprise après l'évènement, comme le demandait l'une des réserves de l'arrêté préfectoral levant la suspension de l'exploitation (« Réaliser une analyse de sécurité du mode de récupération intégrée de cet appareil, et à son issue, arrêter un plan d'actions approuvé par le STRMTG permettant de minimiser les occurrences d'immobilisation ou d'y faire face. ») 13 Ces téléphériques sont celui de l'Aiguille du Midi 2 et du Brévent-Flégère à Chamonix, le Vanoise Express à Peisey, le Marmottes 3 à l'Alpe d'Huez, le Prodains Express à Avoriaz, et le téléphérique urbain de Brest. 51 L'analyse d'origine a été actualisée en avril 2017 et complétée sur les points suivants : l'intégration de nouveaux risques issus du retour d'expérience (défaillance de motorisation, croisement de câbles, déraillement de cabine...) et une nouvelle hiérarchisation des risques ; l'évaluation, pour chaque cas de défaillance, de son niveau de risque selon le couple [probabilité d'occurrence ; gravité pour le rapatriement] ; l'ajout de nouvelles mesures palliatives de traitement de certains risques, comme, à titre d'illustration, le doublement du moteur actionneur de décroisement en gare de la Pointe Helbronner ; l'identification, pour chaque risque, de procédures préalablement écrites à appliquer ; et enfin, de façon notoire, le développement d'un « plan de sauvetage ultime ». Ce plan permet de pallier toutes les situations pour lesquelles le risque a été évalué non acceptable sans qu'aucune parade n'ait pu être identifiée. Au total, sur les 59 types d'évènement redouté recensés, 53 sont traitables par les procédures prévues, et 6 peuvent conduire à l'application du plan de sauvetage ultime. La défaillance de la machinerie pour opérer un décroisement de câble, conjuguée à l'impossibilité de réparer, en fait partie. Précisons que certains scénarios ne sont objectivement pas pris en compte dans l'analyse, car dépassant le cadre de la récupération intégrée. Il s'agit par exemple de l'accident avec un avion, de l'attentat ou d'un séisme de grande magnitude. Ces cas supposent la mise en oeuvre du plan de sauvetage ultime. 4.5 - Les investigations sur l'évacuation Divers manquements affectaient la documentation d'exploitation de l'appareil. L'installation n'avait pas, le 8 septembre 2016, de règlement d'exploitation approuvé par le préfet. Le règlement d'exploitation est obligatoire au titre de l'article 27 de l'arrêté du 7 août 2009 relatif à la conception, à la réalisation, à la modification, à l'exploitation et à la maintenance des téléphériques. Il est établi par l'exploitant. Il précise les principales caractéristiques et les dispositions relatives à l'exploitation du téléphérique. Le maintien d'un haut niveau de sécurité le concerne en premier lieu. Il doit recevoir un avis conforme du préfet (article L472-4 du code de l'urbanisme), au titre de la vérification de la sécurité des installations. Un projet de règlement d'exploitation était en préparation par l'exploitant. Sa dernière version, à l'état de projet, date du 13 juillet 2016. Elle n'avait fait l'objet d'aucune instruction externe. De la même manière, le règlement de police, qui a pour finalité de fixer les mesures préventives visant à assurer le maintien du bon ordre public, faisait défaut. Il n'existait pas, non plus, de plan d'évacuation. Le dernier « plan de sauvetage » était daté du 12 février 1977. Faisant référence à une configuration de l'installation et à du matériel qui n'est plus en place depuis plusieurs années, il était caduque. Le plan d'évacuation est obligatoire au titre de l'article 34 de l'arrêté du 7 août 2009. Il définit les dispositions relatives aux moyens humains et matériels, et aux procédures, à mettre en oeuvre pour l'évacuation des usagers. En « récupération intégrée », le plan d'évacuation prend la forme d'un « plan de récupération »14. 4.5.1 - Le plan d'évacuation 14 On désigne par « évacuation » les opérations permettant, en cas d'immobilisation du téléphérique, de ramener les usagers en lieu sûr. Elles consistent à sortir les usagers des véhicules. On désigne, de façon 52 Lors de l'instruction du dossier présenté par l'exploitant sur la modification de la machinerie Helbronner, le STRMTG avait émis un avis favorable à la poursuite de l'exploitation, en date du 27 mai 2016. Cet avis favorable était provisoire jusqu'au 30 septembre 2016, dans l'attente de « la mise à jour des documents d'exploitation (règlement d'exploitation, règlement de police, plan d'évacuation d'urgence) pour prendre en compte les spécificités des nouveaux modes d'exploitation et de récupération ». L'exploitant n'avait pas instruit cette demande. Un même avis favorable avait déjà été émis par le STRMTG l'année précédente, le 29 mai 2015, à titre provisoire également jusqu'au 30 septembre 2015, avec les mêmes motifs. L'exploitant n'avait donc pas diligenté, depuis longtemps, ces demandes. Le service de contrôle a laissé passer. L'absence de ces documentations finalisées rend imprécises les modalités prévues pour l'évacuation. Au-delà, certaines dispositions, non formalisées mais manifestes, semblent sous-estimées. Les fragilités concernent : le délai prévisionnel d'évacuation ; les moyens d'assistance aux passagers ; l'engagement des services de secours. Ces points sont détaillés ci-après. 4.5.2 - Les scénarios de récupération de l'installation et leurs durées L'article 35 de l'arrêté du 7 août 2009 exige que la durée prévisionnelle totale de l'ensemble des opérations permettant l'évacuation de tous les usagers ne dépasse pas trois heures trente minutes. Le délai peut éventuellement être supérieur pour certaines installations particulières, après accord du STRMTG, et si des mesures d'accompagnement sont prévues pour permettre aux passagers de patienter. Le Panoramic Mont-Blanc est dans ce cas. Comme nous le verrons plus loin, l'un des modes de récupération envisagé par l'exploitant est estimé, en théorie, à 6 h 20 min. Ce délai est très supérieur à 3 h 30 min. L'instruction d'un accord du STRMTG, permettant de vérifier que toutes les mesures d'accompagnement étaient prises en fonction de ces délais importants, aurait été nécessaire. Cela n'a pas été fait. L'exploitant ne l'a pas demandé. L'article 34 de l'arrêté spécifie aussi : « Pour chaque installation dont l'évacuation repose sur la récupération intégrée, des essais fonctionnels des dispositifs mis en oeuvre pour assurer cette récupération intégrée doivent être prévus annuellement. » L'exploitant s'acquittait de cette obligation. L'exercice s'effectue en présence du STRMTG. Il consiste à organiser une récupération en simulant un problème mécanique conséquent, comme un blocage de l'axe de la poulie principale. Cela nécessite de passer le câble tracteur sur des « molettes » de secours en gare de l'Aiguille du Midi. L'entraînement s'effectue alors en mode de sauvetage au moyen du moteur d'Helbronner. L'exercice permet d'effectuer un début de cycle complet de l'opération, sur une durée proche de 2 heures, puis le temps d'évacuation complet est calculé par extrapolation. Le tableau ci-dessous récapitule les durées d'évacuation ainsi obtenues au cours des cinq dernières années. Il s'agit de durée « estimée » par extrapolation des durées réelles mesurées sur le début de l'opération. Un incident lors de l'essai peut conduire, par extrapolation, à des temps estimés importants. distincte, par « récupération » la manoeuvre qui permet de ramener les véhicules avec leurs usagers dans les gares pour s'en affranchir. 53 Durée « estimée » d'évacuation en récupération intégrée lors de l'essai annuel Année 2012 2013 2014 2015 Date de l'essai 18/06/12 06/06/13 20/06/14 22/05/15 Temps d'installation du mode de sauvetage 51 min 78 min 60 min 60 min Temps estimé d'évacuation figurant au PV des essais 4 h 30 min ~ 4 h 30 min ~ 5 h 30 min 7 h 20 min Commentaire La vitesse de rapatriement était de 1 m/s La vitesse de rapatriement obtenue a été de 0,24 m/s (au lieu de 1 m/s) La vitesse de rapatriement a été de 0,25 m/s. Un dysfonctionnement du treuil Helbronner a ajouté un retard d'1 h 2016 12/05/16 60 min ~ 8 h 20 min On observe que le temps d'évacuation en sauvetage intégré s'est dégradé au fil des années. La rénovation des machineries des deux gares n'aurait pas, semble-t-il, apporté d'amélioration. Mais cela est le résultat de réglages mal achevés de l'installation après les travaux. L'essai de récupération en a seulement été le révélateur. Ces durées, constatées par essai, sont bien supérieures au délai de 3 h 30 min mentionné plus haut. Le temps théorique affiché par l'exploitant pour la mise en oeuvre de la récupération intégrée, est de 6 h 18 min (valeur fournie par la dernière version du projet de plan d'évacuation post évènement). L'importance des durées d'évacuation contraste avec la faiblesse des moyens mis en place pour l'assistance aux passagers en difficulté que nous examinerons plus loin. Il semble, de l'ensemble de ces observations, que les conditions d'organisation d'une récupération intégrée sur une installation à risque, comme peut l'être le Panoramic MontBlanc, soient en fait globalement sous-évaluées par les parties prenantes, opérateur comme services de contrôle. Signalons que deux enquêtes techniques du BEA-TT ont par le passé concerné le thème de l'évacuation15 : la première a concerné le déraillement du téléphérique de la Grande Motte à Tignes, survenu le 3 décembre 2011. L'évacuation a duré 7 h 30 min. Au cours de celle-ci une enfant était restée suspendue dans le vide pendant 20 minutes par vent fort et neige ; la seconde a concerné le déraillement du téléphérique de la Bastille à Grenoble, survenu le 29 juin 2014. L'évacuation s'est déroulée correctement en 3 h 30 min. Le premier accident avait montré que l'évacuation pouvait être considérablement compliquée en cas de conditions météorologiques difficiles ou de passager supportant mal cette évacuation (vertige...). Il avait conduit le BEA-TT à émettre des recommandations concernant la vérification, lors d'exercices en conditions difficiles, que les objectifs fixés dans le plan d'évacuation peuvent être tenus. Les téléphériques concernés par ces enquêtes n'étaient pas à « récupération intégrée ». Cependant, les conditions de survenue des accidents montraient que l'imprévu est toujours possible, compliquant les scénarios préétablis, et que le recours en situation ultime à l'évacuation doit toujours être sérieusement envisagé. L'analyse des accidents rappelait aussi que l'évacuation reste, malgré toute autre disposition, une procédure nécessaire qui doit être préparée avec grand soin par l'exploitant. 15 Les rapports d'enquête technique de ces deux accidents sont consultables sur le site Internet du BEA-TT. 54 4.5.3 - Les risques physiologiques d'une immobilisation prolongée Comme nous l'avons vu, avant même l'évènement du 8 septembre 2016, il était de notoriété que le temps d'évacuation sur l'installation pouvait durer de nombreuses heures. Le dernier exercice l'avait estimé à 8 h 20 min. Une attente prolongée en haute altitude présente des risques physiologiques importants pour les personnes, le principal étant le mal aigu des montagnes (MAM). Ce mal est lié à une montée trop rapide en haute altitude et à l'absence d'acclimatation. La sensibilité personnelle est plus ou moins importante. Une personne de jeune âge, ou en surcharge pondérale, ou avec certaines dispositions génétiques y sera plus particulièrement sensible. Il s'agit d'un mal fréquent touchant des gens en bonne santé. Son incidence augmente très rapidement avec l'altitude. Faible en dessous de 2 500 mètres d'altitude, le mal toucherait 60 % des personnes à 4 000 mètres. Le mal apparaît habituellement dans les 4 à 12 heures qui suivent l'arrivée en altitude. Il disparaît immédiatement à la redescente. Les personnes en provenance de la vallée empruntant un téléphérique pour un séjour de courte durée ne sont a priori pas touchées tant que ce séjour ne se prolonge pas. Les symptômes sont variés comme des céphalées, des vomissements ou des vertiges. Les complications sont l'oedème (gonflement) cérébral, l'oedème pulmonaire, ou des comportements désorientés et dangereux. Le mal peut évoluer en coma et être fatal s'il n'est pas pris en charge en urgence médicale. D'autres risques physiologiques sont également à redouter en cas d'attente prolongée : la station assise de plus de 10 heures en hypoxie d'altitude peut occasionner une thrombophlébite favorisée par la déshydratation ; une longue position immobile dans un environnement froid peut conduire le lendemain ou surlendemain à quelques désordres pulmonaires ; le confinement, l'attente, le stress et la peur peuvent entraîner des malaises, crises de panique et conduire à des comportements inconsidérés. L'ensemble de ces risques traduit une évidente exigence à porter une attention particulière à l'assistance aux passagers. 4.5.4 - Les moyens d'assistance aux passagers Les moyens d'assistance aux passagers se sont révélés nettement sous-évalués. Les outils de communication radiophonique Le premier élément d'assistance est la communication avec les passagers. L'article 33 de l'arrêté du 7 août 2009 fait obligation à l'exploitant de mettre en place cette communication : « L'exploitant met en oeuvre les moyens appropriés permettant de communiquer aux usagers l'information de façon claire et intelligible quelle que soit la position des véhicules sur la ligne et même dans des conditions météorologiques défavorables. » Le système d'information a été régénéré à l'occasion du remplacement du système de conduite en 2015. Il permet au conducteur de faire des annonces en cabine, ou de délivrer un message préenregistré en huit langues indiquant où trouver les vivres et les couvertures de survie. Le 8 septembre 2016, trois premières annonces ont été faites par le conducteur vers les cabines entre 15 h 25 et 16 h 30. En réalité, peu habitué au module, il s'est trompé. Le conducteur disposait de deux canaux d'émission des messages. L'un diffuse les messages dans les cabines, l'autre les diffuse uniquement vers les opérateurs qui l'assistent dans la station du Rognon et la gare de la Pointe Helbronner. Il a utilisé le mauvais canal et le message n'a pas été délivré dans les cabines. 55 Le système est aussi unilatéral. Il n'y a pas de possibilité pour les passagers de contacter un opérateur, afin de leur permettre de signaler un malaise par exemple. Sans message, lors de l'immobilisation, certains passagers ont appelé directement le standard de l'exploitant et ont ainsi pu donner l'alerte. Le bon canal d'émission a alors été rétabli. Plus tardivement dans la gestion de crise, le besoin d'un échange bilatéral avec les passagers s'est fait ressentir pour s'assurer de la situation dans chaque cabine. L'exploitant et le PGHM ont constitué une liste des portables dans les cabines. Sur la douzaine de cabines non évacuées avant la nuit, une seule, occupée par une famille étrangère, n'a pas été jointe. À la suite de l'évènement, la phonie a été revue pour mieux répondre aux exigences d'une meilleure gestion d'une immobilisation. Le fonctionnement est désormais à un seul canal dédié à la diffusion des messages. Un numéro d'appel d'urgence, renvoyant vers le standard de la CMB, est affiché dans les cabines pour permettre d'alerter. La phonie n'est en revanche pas bidirectionnelle. L'équipement des cabines Le second élément d'assistance est le nécessaire d'urgence disposé en cabine. Comme nous l'avons décrit au § 2.6, ce kit de survie, tel qu'il était présent dans les cabines le 8 septembre 2016, était très minimaliste. Il s'est avéré que, dans plusieurs cabines le kit était de plus incomplet, l'exploitant ne prenant pas la peine d'en vérifier fréquemment le contenu. Le dispositif a été revu en profondeur à la suite de l'évènement. Désormais, un solide sac de stockage est positionné dans chaque cabine comprenant : 4 anoraks-duvet taille XL à capuche en plume, d'une température de confort de -5 °C ; 4 sacs de survie, plus performants que des couvertures ; 24 barres de céréales et 4 bouteilles d'un litre d'eau. Le poids de l'ensemble est de 8,4 kg et constitue une surcharge de cabine admissible. Le sac est disposé sous une banquette de chaque cabine, avec un plomb de scellement, permettant au personnel d'exploitation, une vérification quotidienne de l'intégrité du sac. Ces dispositions sont de nature à mieux répondre aux exigences d'une attente prolongée. 4.5.5 - La préparation des services de secours et la gestion de crise L'absence de plan d'évacuation et la trop grande confiance de l'exploitant dans le principe de récupération intégrée, avaient conduit à ce qu'aucun dispositif de coordination ne soit établi avec les services publics de secours susceptibles d'intervenir (PGHM). L'exploitant disposait seulement d'une procédure d'urgence qui n'était d'ailleurs pas à jour. Ce point a été revu et a donné lieu aux dispositions suivantes : l'organisation de la récupération intégrée est formalisée dans un « plan de récupération intégrée » en date du 6 juin 2017 validé par arrêté préfectoral ; l'intervention du PGHM en cas d'immobilisation prolongée a été formalisée dans un « plan d'intervention terrestre » en date du 11 mai 2017. Celui-ci organise le secours par 23 gendarmes, l'assistance aux passagers, et l'évacuation de passagers si nécessaire ; un contact annuel est organisé entre CMB et le PGHM, en prévision d'une intervention ; CMB a procédé à une numérotation plus visible des cabines pour les hélicoptères ; des chariots autotracteurs de l'entreprise IMMOOS16, permettant un déplacement facilité des équipes sur les câbles, ont été acquis ; 16 IMMOOS : société suisse spécialisée dans les systèmes et équipements d'évacuation des installations de transport à câble. 56  un enregistrement vidéo des quais est désormais opérationnel permettant de recoller les profils des clients par cabine et d'orienter les secouristes sur les cibles prioritaires (enfants, personnes âgées...) ; deux toilettes sont installées au Rognon, cette gare étant utilisée pour les évacuations ultimes. Ces mesures améliorent significativement la préparation et la capacité d'intervention des secours. Par ailleurs la préparation de CMB à la gestion de crise était aussi insuffisante : les opérateurs ne disposaient pas d'un réel plan de gestion de crise ; l'annuaire de gestion de crise n'était pas à jour ; un modèle de main courante existait, mais n'a été que partiellement utilisé lors de l'évènement. Ces points ont été corrigés. 57 5 - Restitution du déroulement de l'évènement et des secours Le 7 septembre 2016, veille de l'évènement, l'entreprise SEMER intervient sur le Panoramic Mont-Blanc. Elle effectue une opération de réglage de l'installation pour diminuer le temps de cycle de passage des cabines. Cette intervention répond à une attente de CMB, l'exploitant, et de DCSA, son maître d'oeuvre, dans le cadre de la levée des réserves sur les travaux de remplacement des machineries de la télécabine, mais elle n'a pas été validée dans son mode opératoire par eux. L'intervention vise à diminuer le temps de cycle de passage en gare des cabines de 287 à 283 secondes, pour un cadencement optimal. L'opération consiste à augmenter les accélérations et les décélérations lors des changements de vitesse de la ligne, de 0,3 à 0,4 m/s². L'opération, qui modifie des paramètres fonctionnels dans le logiciel de sécurité, s'effectue sous exploitation, sans encadrement des conditions de réalisation, et sans validation de l'exploitant et du maître d'oeuvre, malgré la grande sensibilité de l'installation. Le 8 septembre 2016, le temps est clair. L'affluence des passagers est maximale en début d'après-midi. Depuis le matin, 770 passages ont été enregistrés. Peu après 15 h, 110 passagers sont en ligne, soit un taux d'occupation de 76 %. À 15 h 20, lors de l'accélération de la ligne vers le palier de vitesse maximale de 7 m/s, un effet de rappel se produit. Il est dû à la charge élevée de la ligne et à la valeur forte de l'accélération choisie la veille. L'automatisme de la télécabine détecte un écart de vitesse entre la vitesse mesurée sur la poulie, et la vitesse théorique attendue. Un arrêt d'urgence au frein de sécurité se déclenche conformément au fonctionnel de sécurité de l'installation. L'intense effort de retenue de la ligne dû au freinage provoque des oscillations verticales importantes du câble tracteur sur les portées. Elles se couplent aux oscillations persistant de l'accélération antérieure. Le câble tracteur passe au-dessus du câble porteur et redescend par le côté opposé à sa montée. Il croise en trois endroits : sur deux portées entre les trains de cabine situées sur la voie Requin, entre l'Aiguille du Midi et le Rognon, et sur une portée de cette même voie entre le Rognon et la Pointe Helbronner. Le croisement empêche tout déplacement relatif des deux câbles. La ligne est immobilisée. Le phénomène de croisement est connu de l'exploitant. Treize situations de croisement ont été tracées depuis 2008, année où un suivi des occurrences de croisement a été commencé. De plus, une procédure écrite prescrit les opérations à conduire pour opérer un décroisement. Il s'agit de « tirer » sur le câble tracteur pour le refaire passer au-dessus du câble porteur, à partir des machineries de l'Aiguille du Midi ou de la Pointe Helbronner selon la position du point à décroiser. À 15 h 53, des tentatives de décroisement sont conduites entre l'Aiguille du Midi et le Rognon, avec le moteur principal de l'Aiguille du Midi. Elles parviennent à supprimer deux croisements. Il en reste alors un, entre le Rognon et la Pointe Helbronner. À 16 h 39, après trois tentatives de décroisement avec le moteur de sauvetage d'Helbronner, un flexible de haute pression d'alimentation du moteur se rompt. La rupture est due à une malfaçon dans le sertissage du flexible, effectué à la pose, quelques mois plus tôt. Après rupture du flexible, le moteur est hors service. La ligne est immobilisée sans espoir de décroisement. Pendant toutes ces opérations, les passagers patientent sur la ligne immobilisée. Ils devraient être normalement tenus informés à intervalle régulier par des messages sur la sonorisation installée en cabine. Mais par suite d'une erreur de manipulation du canal radio par le conducteur peu habitué au système, les messages ne sont pas délivrés en cabine. L'erreur est corrigée vers 17 h, à la suite d'appels téléphoniques de passagers 59 inquiets au standard de l'exploitant. Les messages d'information sur l'immobilisation de la télécabine sont alors normalement délivrés. La télécabine est dite à « récupération intégrée ». Son évacuation est prévue moyennant le retour des véhicules en gare, en toute circonstance. Il en est ainsi depuis l'origine de l'appareil. L'assurance du retour des cabines est obtenue par des dispositions de conception et des procédures particulières, fiables et sécuritaires. Une analyse de sécurité justifiant ces dispositions a été élaborée avant la saison 2016 mais comportait certaines lacunes. L'une est la non-prise en compte du risque de panne du moteur de sauvetage d'Helbronner. Une autre est l'absence de plan de sauvetage ultime. À 17 h 20, après confirmation de l'impossibilité de redémarrer le moteur en panne, aucun moyen de récupération des cabines ne semble possible. L'assistance du PGHM de Chamonix est sollicitée. Une évacuation par hélitreuillage est alors décidée. Aucune coordination, ni exercice préalable entre l'exploitant et le PGHM, ne l'a préparée. Le plan NOVI est déclaré. Le préfet de Haute-Savoie se rend sur les lieux. À 18 h, les opérations d'hélitreuillage démarrent. Elles mobiliseront quatre hélicoptères sur la zone. À 20 h 30, 54 personnes sont évacuées. L'arrivée de nuages, puis la tombée de la nuit, empêchent de poursuivre l'hélitreuillage. Le sauvetage se poursuit par sauvetage vertical puis marche sur le glacier ; 24 passagers sont à nouveau secourus. Puis l'évacuation est suspendue dans la nuit ; 32 passagers vont rester dans les cabines, assistés de 3 sauveteurs qui ont été acheminés. Pendant la nuit, l'entreprise POMA, et son sous-traitant HYDRO-TS, installateurs de la motorisation défaillante de la télécabine, arrivent sur les lieux. Leur intervention permet de rendre le moteur de sauvetage de la Pointe Helbronner à nouveau opérationnel à 3 h 30. À 6 h 45, après le lever du jour, de nouvelles tentatives de décroisement sont engagées, avec succès. À 7 h 05, le dernier point de croisement est supprimé. Toutefois, le décroisement occasionne un déraillement de l'une des cabines, vide : la grande sensibilité de l'installation produit à nouveau un autre incident de sécurité. Quatre déraillements de ce type ont été recensés par le passé dans la liste des évènements significatifs connus du STRMTG. Un dispositif de « diabolos » sur le chariot support de cabine permet de rattraper celle-ci dans ce cas. Bien qu'assez léger, il a correctement fonctionné. L'évacuation reprend en ripant la cabine déraillée à une très faible allure de 0,5 m/s. Elle prend fin à 8 h 50. Depuis l'immobilisation initiale, 17 h 30 min se sont écoulées. 60 6 - Analyse des causes et facteurs associés, orientations préventives 6.1 L'arbre des causes Figure 28 : arbre des causes ­ première partie 61 Figure 29 : arbre des causes ­ deuxième partie 6.2 - Les causes de l'évènement Le fait initiateur de l'immobilisation prolongée de la télécabine est le déclenchement d'une sécurité, qui aurait théoriquement vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du comportement dynamique de la ligne due à un nouveau réglage de l'installation effectué la veille par le technicien de l'entreprise SEMER. 62 Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes ayant conduit à ces circonstances sont les suivantes : la sensibilité de l'appareil aux oscillations du câble tracteur qui conduit, dans certaines configurations, à des croisements avec le câble porteur et à une immobilisation à risque ; l'existence d'une malfaçon, qui a provoqué la casse d'un flexible lors des tentatives de décroisement, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été préalablement vérifiée ; un principe d'évacuation par « récupération intégrée » fragile reposant sur une analyse de défaillance incomplète ne traitant pas certaines éventualités, doublée d'une confiance en ce principe qui a amené à ne pas élaborer de « plan de sauvetage ultime » ; des dispositifs de secours, d'assistance et de communication aux passagers, sous-estimés malgré des durées de récupération prévisionnelles susceptibles de prendre plusieurs heures ; un manque de rigueur de l'exploitation dans le traitement de défauts latents et dans l'organisation d'un haut niveau de sécurité permanent de l'installation. En situation de crise, les moyens importants déployés, conjointement par l'exploitant et les services de secours, ont permis d'assurer un dénouement positif et sans victime. Les orientations préventives sont à rechercher dans les cinq domaines mentionnés ci-dessus. 6.3 - La sensibilité de l'installation aux effets dynamiques La cause première de l'évènement a été la modification, dans le pilote automatique, du paramètre de l'accélération de la ligne, par le technicien de l'entreprise SEMER, la veille. Cette modification a eu des conséquences en raison de la sensibilité particulière de l'appareil aux phénomènes dynamiques. Du fait de ses caractéristiques techniques, le Panoramic Mont-Blanc est sensible à plusieurs phénomènes dynamiques non courants sur les téléphériques. L'enquête en a dénombré de trois natures : les amples oscillations du câble tracteur en ligne, lors des accélérations ou décélérations, qui peuvent atteindre plusieurs dizaines de mètre d'amplitude, et qui produisent des effets de mouvement des cabines ou de rappel sur la ligne ; le croisement des câbles, conséquence du précédent, qui produit des immobilisations et conduit à des opérations de décroisement délicates ; le déraillement de cabine, conséquence du précédent et à l'issue incertaine. Les oscillations du câble tracteur et le croisement des câbles La réglementation technique ne définit pas précisément de prescription concernant la limitation des oscillations du câble tracteur. Leur effet, très souvent limité, est pris en compte par simple application d'un coefficient forfaitaire d'amplification des effets statiques. Le croisement de câbles et le déraillement de cabine sont des phénomènes redoutés, contraires à la sécurité. Les oscillations sont d'une nature très particulière sur cette installation et sans commune mesure avec la majorité des téléportés. 63 À titre d'illustration de cet écart avec les autres téléportés, le guide RM 2 du STRMTG fixe la règle suivante pour l'évaluation de l'amplitude de l'oscillation du câble tracteur : selon le paragraphe A3-7.2.1.3, « déviation verticale des câbles », l'évaluation de l'enveloppe du gabarit du câble s'effectue « en supposant une variation de ±20 % de la flèche extrême en mouvement uniforme ». Pour le Panoramic Mont-Blanc la flèche du câble tracteur en mouvement uniforme est de 36 m. Sous freinage, elle diminue à 17 m (voir figure 22), soit -47 %. L'effet est hors norme. L'exploitant a recherché, par l'installation d'un pilotage de la référence de vitesse lors de la rénovation de 1996, à minimiser l'occurrence des effets dynamiques atypiques. S'accommodant des résultats obtenus, et bien que les effets subsistent en partie, il n'a pas cherché à approfondir spécifiquement leur compréhension. Il n'a pas cherché à donner un cadre très sécuritaire à leur maîtrise, ni encore, à l'occasion de la dernière rénovation de l'appareil en 2015 et 2016, à amoindrir leur risque d'occurrence. Les ingénieries qui ont étudié la rénovation de l'installation se sont basées sur l'expérience rapportée par l'exploitant, peu documentée, et n'ont pas cherché à mieux évaluer ces phénomènes. Les technologies connues et utilisées par ces ingénieries ne permettent pas la simulation des effets dynamiques de ligne de l'appareil pour les quantifier. Dans le cadre des travaux, une prescription du CCTP donnait une valeur limite de l'accélération, mais elle concernait de manière équivoque le confort. Enfin, avant l'évènement du 8 septembre 2016, les essais dynamiques de l'appareil se déroulaient selon des modalités qui minimisaient volontairement les mouvements de câbles et les risques encourus dans des configurations plus pénalisantes. Suite au 8 septembre 2016, de nombreux essais ont permis de mieux appréhender le comportement dynamique. Il a été mis en évidence des cas de charge et des configurations d'arrêt qui produisent des croisements de câbles. Il apparaît clair que ces croisements sont inéluctables et doivent être considérés comme « indissociables » de l'installation. Un freinage d'urgence produit, dans certaines configurations de charge, des oscillations du câble tracteur qui amènent à un ou plusieurs croisements. Il serait vraisemblablement impossible de poursuivre une exploitation en souhaitant s'en affranchir sur le Panoramic Mont-Blanc. Contrairement aux autres téléportés, ces phénomènes dynamiques se produisent fatalement à l'intérieur même du domaine d'utilisation courante de l'installation. Afin d'amoindrir ces effets, le paramétrage du pilote automatique a été revu : l'accélération a été ramenée de 0,3 à 0,2 m/s². La décélération de certains types de freinage a été atténuée. Les croisements n'ont pas pour autant pu être supprimés. L'ensemble de ces développements ont permis de progresser dans la connaissance et la maîtrise des effets dynamiques. Une réserve de l'arrêté préfectoral de remise en service demandait d'aller plus loin et de « définir les cas de charges et les essais, à réaliser en inspection annuelle, les plus pénalisants pour le croisement (freinage, accélération, décélération, freinage d'urgence sur accélération...) [...] ». Elle a été traitée incomplètement. Les cas de charge pénalisants n'ont pas été clairement définis. Le cas de charge du 8 septembre 2016, considéré comme le plus pénalisant qui soit connu, ne représente que 76 % de la charge maximale d'exploitation. Certaines configurations pourraient être plus pénalisantes. Faute de définition des cas de charge « enveloppes », il nous semble que la géométrie des essais annuels n'a pas non plus évolué. Notre perception est que la connaissance des risques dynamiques a bien été approfondie sans pour autant qu'elle conduise à une analyse stabilisée, précise et formalisée. 64 Il nous semble que ces risques, parce qu'ils sont hors du commun par rapport aux autres installations, et parce qu'ils conduisent à une insécurité, devraient faire l'objet d'un encadrement rigoureux qui n'a pas encore été atteint. Ainsi, les réglages finalisés de l'installation permettant de minimiser les risques devraient être décrits formellement, en précisant l'attention particulière à porter vis-à-vis des modifications ou des dérives de ceux-ci (accélération, décélération, tension du câble...) et en décrivant les mesures propres à garantir la stabilité du comportement. L'enveloppe des effets dynamiques devrait être caractérisée, avec description des configurations de charge à risque qui les produisent (nature des arrêts, charge en ligne...) Les essais dynamiques périodiques seraient aussi à compléter avec les configurations les plus pénalisantes, de manière à vérifier la stabilité de comportement dans le temps. Il conviendrait de statuer préalablement sur des critères, mesurables lors de ses essais, permettant de valider le comportement et sa non-dérive. La transcription de l'ensemble de ces enseignements de retour d'expérience permettrait de donner un cadre pérenne formalisé et accessible à tous les intervenants pour l'exploitation future, afin de ne pas renouveler les approximations des interventions sur l'installation. Afin de renforcer le traitement du risque associé aux effets dynamiques dangereux d'oscillation du câble tracteur et de croisement des câbles, le BEA-TT émet la recommandation ci-après. Recommandation R1 adressée à la société Compagnie du Mont-Blanc (CMB) : Formaliser les enseignements des analyses et essais sur le comportement dynamique du Panoramic Mont-Blanc dans un document de type « consigne » à l'usage des intervenants futurs de l'exploitation, décrivant : les réglages retenus pour l'installation devant faire l'objet d'une attention soutenue vis-à-vis de leurs modifications ou de leurs dérives ; l'enveloppe des effets dynamiques à risque avec description des configurations de charge qui les produisent ; les essais dynamiques périodiques à réaliser de manière à garantir la stabilité de comportement dans le temps, en statuant sur les critères, mesurables lors des essais, permettant de valider le comportement et sa non-dérive. Les modifications des paramètres fonctionnels Les interventions de modification des paramètres de réglage impactent les effets dynamiques. Elles n'étaient pas encadrées par des règles nettes. Une prescription figurait bien dans le CCTP des travaux, sur la limitation du choix d'accélération de l'installateur à la valeur préexistant aux travaux. Elle concernait un objectif de confort des passagers et des personnels et non la sécurité. Il n'y avait, de plus, pas de cadre spécifique pour les interventions sur l'appareil, sous forme d'une procédure par exemple, eu égard à sa sensibilité dynamique particulière. Une réserve faite dans l'arrêté préfectoral de remise en service demandait de « recenser les cas de modification de paramètres fonctionnels de l'appareil engendrant des mouvements de câbles et pour lesquels des essais complémentaires [...] seraient nécessaires ». Elle n'a pas été instruite par l'exploitant sur le fond. L'impossibilité de simuler les effets dynamiques, avec les technologies connues et utilisées par DCSA et POMA, et de déterminer donc les paramètres sensibles, l'explique. 65 L'exploitant a conclu que les modifications devront à l'avenir faire l'objet de son approbation formelle préalable, avec avis, si nécessaire, d'un second regard de maître d'oeuvre. La recommandation R1 doublée de cette disposition formelle sont de nature à encadrer le risque d'une intervention intempestive d'un prestataire telle que celle effectuée la veille du 8 septembre 2016. Le BEA-TT n'émet donc pas de recommandation supplémentaire. La réglementation Au-delà des mesures de renforcement citées ci-dessus et concernant l'installation, nous avons noté de manière plus générale que la réglementation ne fixe pas assez d'exigence sur les effets dynamiques à risque. La réglementation fait peu de cas des risques liés à l'oscillation des câbles. Ceux-ci sont à prendre en compte par des coefficients amplificateurs des effets statiques non adaptés dans le cas présent. La réglementation sur les essais dynamiques demande une vérification de la capacité du frein. Elle ne prescrit pas de tester l'acceptabilité des effets secondaires, tels que les oscillations de câble. Elle ne demande pas de tester l'ensemble du système dans la fonction de freinage. Certes, sur les installations classiques les effets secondaires sont négligeables. Mais pour certaines installations, comme le Panoramic Mont-Blanc, ils peuvent être prépondérants. Le manque de précision de la réglementation peut inciter les acteurs, exploitants, techniciens d'inspection et services de contrôle, à minimiser l'importance des risques, comme ce fut le cas pour la conduite des essais dynamiques du Panoramic Mont-Blanc. Pour y remédier, la réglementation doit être améliorée. Le BEA-TT émet la recommandation ci-après. Recommandation R2 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Compléter les règles des guides techniques RM1 et RM2 sur les essais dynamiques, pour les installations qui sont sensibles aux effets d'oscillations de câble, par une double obligation d'évaluation des cas de charge dynamique les plus pénalisants, et de conduite d'essais avec ces cas de charge. Le déraillement de cabine L'installation présente un risque vis-à-vis du déraillement de cabine en exploitation courante. Celui-ci survient soit au moment du croisement, soit lors du décroisement. Le risque est traité au moyen d'une disposition constructive qui semble sommaire pour assurer la retenue de la cabine en toute circonstance. Les efforts et les mouvements lors d'un croisement ou décroisement mettent en jeu beaucoup d'énergie. Des dispositions pertinentes ont été prises par le passé pour améliorer le rattrapage et la détection en cas de déraillement. Celles-ci ont correctement fonctionné jusqu'à présent. Pour le rattrapage, le système de diabolo semble bien sommaire au regard du risque dans la mesure où le déraillement se produit en situation d'exploitation normale. Il conviendrait de vérifier le réalisme de la parade au vu des énergies en jeu. Le BEA-TT émet ainsi la recommandation ci-après. Recommandation R3 adressée à la société Compagnie du Mont-Blanc (CMB) : Étudier la faisabilité d'améliorer la sécurité au déraillement des cabines par le renforcement du dispositif physique de retenue des cabines. 66 6.4 - La vérification de l'aptitude au décroisement Une fois l'installation arrêtée et les croisements de câbles constatés, le décroisement du troisième croisement n'a pas pu être réalisé, immobilisant l'appareil pour une longue durée. La cause est la casse du flexible d'alimentation du moteur de sauvetage d'Helbronner qui souffrait d'une malfaçon. L'aptitude de cet équipement à réaliser le décroisement n'avait pas été vérifiée. Concernant ce point, des études ont été conduites pour déterminer, par le calcul, les cas de charge les plus défavorables pour le décroisement. L'exploitant a proposé que le contrôle de l'aptitude au décroisement, sous ces cas de charge, soit intégré à l'inspection périodique annuelle. Par ailleurs, la machinerie défaillante d'Helbronner a fait l'objet de plusieurs travaux correctifs pour améliorer sa performance. Ces adaptations sont de nature à garantir plus efficacement la sécurité de l'installation au décroisement. Concernant la malfaçon, nous pouvons constater que l'ensemble de la chaîne de contrôle qualité ne l'a pas détectée, depuis, et en premier lieu, le poseur, jusqu'à l'exploitant, en passant par l'entreprise titulaire et la maîtrise d'oeuvre. Il nous semblerait normal que chacun des intervenants instruise, au travers de son système de management de la qualité, la non-conformité qui a conduit à mettre en service un organe défaillant. La mesure nouvelle de vérification de l'aptitude au décroisement nous semble de nature à désormais garantir un contrôle final. Ainsi, les dispositions arrêtées par l'exploitant vis-à-vis de la vérification de l'aptitude au décroisement nous semblent suffisantes. Le BEA-TT n'émet pas de recommandation. 6.5 - Le principe d'évacuation par récupération intégrée Le principe d'évacuation par récupération intégrée a montré sa pertinence dans le présent évènement : au final, les cabines ont pu être rapatriées en gare après le traitement des multiples défaillances du système. Ce qui pose question, c'est l'incomplétude et l'inexactitude de l'analyse de risque justifiant la récupération intégrée, et la mauvaise résilience de l'installation en résultant. L'étude de sécurité de l'appareil esquissée par le maître d'oeuvre s'appuyait pour l'essentiel sur la probabilité quasi nulle d'une défaillance simultanée de la motorisation de sauvetage en gare de la Pointe Helbronner avec une autre motorisation. Elle n'identifiait pas le croisement de câbles comme un risque, et en conséquence le fait que la seule défaillance de la motorisation d'Helbronner empêcherait le décroisement et immobiliserait l'installation. Pour certains évènements extrêmes (séisme...), l'étude ne trouvait pas de parade et ne les traitait pas. Ceci aurait dû inciter au développement d'un « plan de sauvetage ultime ». La justification d'une récupération intégrée exige plus de rigueur. L'évaluation des risques et la définition de parades doivent être plus complètes. Il est vrai, à la faveur des auteurs d'une telle étude, que les cas d'application sont rares et que le retour d'expérience est peu développé. L'étude de risque du Panoramic Mont-Blanc a aujourd'hui été reprise et offre les garanties d'une plus grande rigueur et complétude. Le principe de récupération intégrée des téléphériques gros porteurs ne doit pas être remis en cause. Sur les installations où l'évacuation verticale présente des difficultés flagrantes, ce principe reste à privilégier, et serait à promouvoir sur plusieurs installations aujourd'hui en service. 67 Avec le retour d'expérience de cet évènement, il convient de fiabiliser les études de sécurité de ces installations autour de deux principes : garantir l'exhaustivité des risques en intégrant le plus large retour d'expérience qui soit ; prendre en compte un « plan de sauvetage ultime », couvrant les situations imprévues et incontrôlables, coordonné avec les services publics de secours qui sont appelés à intervenir en soutien. Le retour d'expérience peut être capitalisé par le service national de contrôle des remontées mécaniques, le STRMTG qui a la vision globale à la fois des incidents et des études de sécurité produites sur le plan national. II serait à diffuser largement aux acteurs en charge de l'établissement des études. Le BEA-TT émet ainsi la recommandation ci-après. Recommandation R4 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Établir la liste minimale des risques à prendre en compte dans les études de sécurité des téléphériques à récupération intégrée, et la mettre à disposition des bureaux d'études et exploitants. Imposer, dans ces études de sécurité, la prise en compte de dispositions ultimes pour couvrir les risques extrêmes d'immobilisation sans recours. 6.6 - Les moyens d'assistance et de secours en cas d'immobilisation prolongée Les risques physiologiques d'une immobilisation prolongée ont été incomplètement pris en compte. De ce fait, les moyens d'assistance aux passagers se sont avérés nettement sous-évalués, tant sur le plan des moyens de communication avec les passagers, que sur l'équipement de « survie » en cabine. Ces moyens ont été depuis sérieusement renforcés par l'exploitant. Le kit de survie a été revu. Un numéro d'appel de l'exploitant est désormais affiché en cabine. La vidéosurveillance permet de connaître l'état d'occupation de chaque cabine. Un « plan d'intervention terrestre » a été formalisé pour préparer et faciliter l'intervention d'assistance aux passagers par le PGHM en cas de secours ultime. Dans la mesure où ces moyens ont été profondément renforcés, le BEA-TT n'émet pas de recommandation sur ce point. Préalablement à l'évènement, le cadre formel par lequel les moyens d'assistance et de secours ont été définis a fait l'objet de plusieurs manquements. On peut citer, en premier lieu, l'absence du règlement d'exploitation avec avis conforme du Préfet, qui est pourtant obligatoire. On peut citer également l'absence du plan d'évacuation d'urgence. Ces documents avaient été demandés par le STRMTG dans son avis favorable à la poursuite de l'exploitation suite à la modification de la machinerie, sur deux saisons successives. L'absence de ces documentations, et de leur instruction en préfecture, a contribué à l'imprécision des modalités prévues pour l 'évacuation, des délais à prendre en compte et des moyens à déployer pour assister les passagers lors d'immobilisation prolongée. Nous observons que le STRMTG, service de contrôle, a manqué d'exigence en tolérant que ses propres demandes soient sans effet, et ceci dans la durée. Le BEA-TT invite le STRMTG à vérifier plus rigoureusement l'existence et la pertinence des documents d'exploitation requis par la réglementation. 68 6.7 - La rigueur de l'exploitation en faveur du maintien d'un haut niveau de sécurité L'immobilisation prolongée est pour partie le résultat de défauts latents et d'une faible résilience de l'installation et de son exploitation. L'enquête a mis en évidence plusieurs écarts dans la rigueur d'exploitation nécessaire à maintenir un haut niveau de sécurité. Ont ainsi été décrits dans le présent rapport : l'absence de production d'un règlement d'exploitation malgré la demande formulée sur deux saisons successives par le STRMTG. Comme nous venons de le dire ci-dessus, ce document est une exigence réglementaire incontournable qui formalise les principes de toute l'organisation de la sécurité de l'exploitation ; l'absence de production d'un plan d'évacuation malgré la demande formulée sur deux saisons successives par le STRMTG ; l'absence de demande d'accord au STRMTG sur le non-respect du temps maximum de rapatriement en cas d'évacuation, fixé à 3 h 30 min par la réglementation. Le scénario de rapatriement en mode de sauvetage intégré était évalué par l'exploitant à une durée de 6 h 20 min ; l'absence d'analyse ou de suite au constat du temps de rapatriement des cabines qui augmentait au fil des ans lors des essais. La durée estimée de rapatriement augmentait du fait de défauts latents de l'installation qui présageaient de difficultés en cas de sauvetage et demandaient un traitement ferme ; l'absence de réponse donnée aux sollicitations du PGHM sur la sensibilité du PMB et du Téléphérique de l'Aiguille du Midi (TAM) concernant l'évacuation, conjuguée à l'absence de présentation de l'installation au PGHM, l'exploitant restant trop confiant dans le principe de récupération intégrée ; l'absence d'un réel plan de gestion de crise, d'annuaire de gestion de crise à jour, d'une main courante bien renseignée lors des évènements ; une appropriation insuffisante de la nouvelle ergonomie du poste de conduite par les opérateurs, évoquée lors de nos entretiens et constatée lors de la mise en situation sur site ; l'acceptation d'interventions de prestataires durant l'exploitation avec passagers, sans accord/information/contrôle préalable, sans évaluation des risques pour les passagers, sans comptes rendus d'intervention ni communication immédiate des paramètres changés avec justification de l'absence d'impact sur la sécurité d'une installation particulièrement sensible ; l'existence de défauts de fonctionnement connus sur la nouvelle installation, sans être encore corrigés, conduisant les opérateurs à trouver des palliatifs non sécuritaires (cas du capteur de « prêt au départ » du frein de secours d'Helbronner) ou gênant la tâche du personnel exploitant (cas des communications radio entre les stations sautant très fréquemment ­ ce point est cité pour mémoire. Il n'a pas été approfondi, ni décrit, dans le corps du rapport) ; une traçabilité non rigoureuse lors des opérations de décroisement, et lors d'autre accidents comme les déraillements ou les alarmes de chevauchement, alors que l'installation est particulièrement sensible, et que cette traçabilité est fondamentale pour alimenter un retour d'expérience utile pour l'exploitant. La culture de sécurité de l'exploitant et de ses opérateurs doit être renforcée. Le BEA-TT émet la recommandation ci-après. 69 Recommandation R5 adressée à la société Compagnie du Mont-Blanc (CMB) : Mettre en oeuvre un plan pour renforcer de manière pérenne le management de la sécurité de l'exploitation du Panoramic Mont-Blanc en : garantissant la complétude de la documentation de sécurité, et la bonne information des personnels et interlocuteurs externes qui doivent l'appliquer ; assurant une traçabilité et un suivi des défauts de fonctionnement, ainsi que de la réalisation des actions conduites pour y remédier ; assurant une traçabilité exhaustive des incidents et accidents pour consolider le retour d'expérience ; assurant un plan de maîtrise des interventions des prestataires lors des périodes d'exploitation. 70 7 - Conclusions et recommandations 7.1 Conclusions Le fait initiateur de l'immobilisation prolongée du téléphérique est le déclenchement d'une sécurité, qui aurait théoriquement vocation à mettre l'installation dans un état plus sûr. Cette sécurité s'est activée en raison d'une modification du comportement dynamique de la ligne due à un nouveau réglage de l'installation effectué la veille par le technicien de l'entreprise SEMER. Des défauts latents et une faible résilience de l'installation et de son exploitation ont conduit à une dégradation progressive de la situation, que l'exploitant n'a plus su gérer sans le recours aux services publics de secours. Les causes ayant conduit à ces circonstances sont les suivantes : la sensibilité de l'appareil aux oscillations du câble tracteur qui conduit, dans certaines configurations, à des croisements avec le câble porteur et à une immobilisation à risque ; l'existence d'une malfaçon, qui a provoqué la casse d'un flexible lors des tentatives de décroisement, sur un moteur qui venait d'être remplacé et dont l'aptitude à décroiser les câbles n'avait pas été préalablement vérifiée ; un principe d'évacuation par « récupération intégrée » fragile reposant sur une analyse de défaillance incomplète ne traitant pas certaines éventualités, doublée d'une confiance en ce principe qui a amené à ne pas élaborer de « plan de sauvetage ultime » ; des dispositifs de secours, d'assistance et de communication aux passagers, sous-estimés malgré des durées de récupération prévisionnelles susceptibles de prendre plusieurs heures ; un manque de rigueur de l'exploitation dans le traitement de défauts latents et dans l'organisation d'un haut niveau de sécurité permanent de l'installation. 7.2 - Recommandations Recommandation R1 adressée à la société Compagnie du Mont-Blanc (CMB) : Formaliser les enseignements des analyses et essais sur le comportement dynamique du Panoramic Mont-Blanc dans un document de type « consigne » à l'usage des intervenants futurs de l'exploitation, décrivant : les réglages retenus pour l'installation devant faire l'objet d'une attention soutenue vis-à-vis de leurs modifications ou de leurs dérives ; l'enveloppe des effets dynamiques à risque avec description des configurations de charge qui les produisent ; les essais dynamiques périodiques à réaliser de manière à garantir la stabilité de comportement dans le temps, en statuant sur les critères, mesurables lors des essais, permettant de valider le comportement et sa non-dérive. 71 Recommandation R2 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Compléter les règles des guides techniques RM1 et RM2 sur les essais dynamiques, pour les installations qui sont sensibles aux effets d'oscillations de câble, par une double obligation d'évaluation des cas de charge dynamique les plus pénalisants, et de conduite d'essais avec ces cas de charge. Recommandation R3 adressée à la société Compagnie du Mont-Blanc (CMB) : Étudier la faisabilité d'améliorer la sécurité au déraillement des cabines par le renforcement du dispositif physique de retenue des cabines. Recommandation R4 adressée au Service technique des remontées mécaniques et des transports guidés (STRMTG) : Établir la liste minimale des risques à prendre en compte dans les études de sécurité des téléphériques à récupération intégrée, et la mettre à disposition des bureaux d'études et exploitants. Imposer, dans ces études de sécurité, la prise en compte de dispositions ultimes pour couvrir les risques extrêmes d'immobilisation sans recours. Recommandation R5 adressée à la société Compagnie du Mont-Blanc (CMB) : Mettre en oeuvre un plan pour renforcer de manière pérenne le management de la sécurité de l'exploitation du Panoramic Mont-Blanc en : garantissant la complétude de la documentation de sécurité, et la bonne information des personnels et interlocuteurs externes qui doivent l'appliquer ; assurant une traçabilité et un suivi des défauts de fonctionnement, ainsi que de la réalisation des actions conduites pour y remédier, assurant une traçabilité exhaustive des incidents et accidents pour consolider le retour d'expérience ; assurant un plan de maîtrise des interventions des prestataires lors des périodes d'exploitation. Le BEA-TT invite le STRMTG à vérifier plus rigoureusement l'existence et la pertinence des documents d'exploitation requis par la réglementation. 72 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Relevé chronologique et détaillé des évènements Annexe 3 : Données sur les incidents d'exploitation 73 Annexe 1 : Décision d'ouverture d'enquête 75 Annexe 2 : Relevé chronologique et détaillé des évènements Heure 15 h 20 Délai écoulé Opérations techniques Arrêt d'urgence de l'appareil en gare de l'Aiguille du Midi suite à défaut : « écart de vitesse droit/référence » Lors de l'arrêt signalement des défauts : « tension câble haute » et « chevauchement de câble » Analyse des défauts par le conducteur Acquittement des défauts Appel radio du conducteur au Rognon et à Helbronner pour contrôle visuel Observation aux jumelles de la ligne depuis les trois gares RAS depuis la gare Helbronner Appel du conducteur au chef de secteur Confirmation de 3 croisements par la station du Rognon Mise en place de la procédure de décroisement Mise en place du 1er amarrage fixe côté Aiguille du Midi en station du Rognon Actions de prise en charge des passagers 15 h 21 1 min 15 h 22 2 min 15 h 23 3 min 15 h 25 5 min 15 h 28 8 min 15 h 30 10 min 15 h 45 25 min Accouplement de la machinerie de secours Information des passagers en attente à la en gare Helbronner gare Helbronner Appel du chef d'exploitation Réception des 1ers appels téléphoniques de passagers bloqués Arrivée du chef d'exploitation Confirmation de la mise en place des mordaches par la station du Rognon Machinerie au « prêt » en gare Helbronner Envoi Info panne sur installation Appel du PC info et de la direction générale Information du conducteur vers les cabines 1er tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière Pas de décroisement Mise en tension de la fixation à la station du Rognon 2e tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière 1er décroisement de la ligne entre l'Aiguille du Midi et le Rognon Reprise du mou du câble en sens marche arrière 3e tir par l'appareil de la gare de l'Aiguille du Midi en sens marche arrière 2e décroisement de la ligne entre l'Aiguille du Midi et le Rognon 15 h 46 26 min 15 h 53 33 min 15 h 54 34 min 15 h 59 39 min 76 16 h 07 47 min Mise en route de l'appareil de l'Aiguille du Midi en marche avant pour relâcher le tir Confirmation du décroisement par la station du Rognon Mise en route de l'appareil de l'Aiguille du Midi en marche avant pour retirer le point fixe et suppression du point fixe à la station du Rognon Mise en place du 2e amarrage fixe en station du Rognon du côté de la Pointe Helbronner Mise en tension du fixe par l'appareil de la Réception par l'exploitant d'appels gare Helbronner en marche avant téléphoniques de passagers avec demande 1re tentative de décroisement par l'appareil d'information d'Helbronner en marche avant Reprise du mou de câble par l'appareil de l'Aiguille du Midi en marche avant Information par la station du Rognon que des passagers tentent de sortir de cabine Affrètement d'un hélicoptère de la compagnie Chamonix Mont-Blanc Hélicoptère, puis survol de la ligne par le chef d'exploitation pour tenter de rassurer les passagers Mise en pré-alerte du PGHM Constat depuis la station du Rognon que la flèche se tend mais pas suffisamment 2e tentative de décroisement par l'appareil d'Helbronner en marche avant 2e reprise du mou de câble par l'appareil de l'Aiguille du Midi en marche avant Constat de non possibilité de décroiser 3e tentative de décroisement par l'appareil d'Helbronner en marche avant Rupture d'un flexible hydraulique Appel du chef d'exploitation au Directeur Général Tentative d'identification du problème en gare Helbronner Rupture sur moteur hydraulique identifiée par la gare Helbronner Mise en pré-alerte du PGHM par le chef d'exploitation Appel informant de l'immobilisation l'appareil au STRMTG, au Maire Chamonix et au PGHM de de 16 h 10 50 min 16 h 15 55 min 16 h 22 1 h 2 min 16 h 26 1 h 6 min 16 h 30 1 h 10 min 16 h 35 1 h 15 min 16 h 38 1 h 18 min 16 h 39 1 h 19 min 16 h 40 1 h 20 min 16 h 45 1 h 25 min 16 h 50 1 h 30 min 17 h 00 1 h 40 min Héliportage de renforts vers la gare Communication au Directeur Général des Helbronner. Survol des cabines par le chef numéros des passagers bloqués. d'exploitation pour tenter de rassurer les passagers 77 17 h 10 1 h 50 min Confirmation de l'impossibilité de réparer Information de comportement agité de passagers Information aux passagers (heure estimée de la correction du canal de diffusion des messages vers les cabines) 17 h 20 2 h Tentative vaine de décroisement à partir de Décision d'évacuation par le SKYWAY des l'appareil de l'Aiguille du Midi clients en attente à la Pointe Helbronner Demande d'intervention au PGHM 2e tentative de tir, vaine également Recherche de moyens de transport entre l'Italie et la France Engagement d'un 1er hélicoptère de la sécurité civile par le PGHM Accueil de représentants du STRMTG ; reconstitution des faits Réception des équipes de secours Mise en place d'une structure d'accueil des retours sur le versant italien Mise en place d'un accueil des passagers en gare du TAM 1 et en DZ de Chamonix 1res évacuations par hélitreuillage 17 h 30 2 h 10 min 17 h 35 18 h 00 2 h 40 min 18 h 30 3 h 10 min 18 h 42 19 h 20 Déclenchement du plan « Novi » (nombreuses victimes) destiné à secourir des victimes en nombre important. PC de crise avec le préfet dans les locaux du PGHM à Chamonix Engagement d'un 2e hélicoptère de la sécurité civile venu en renfort Engagement d'un hélicoptère italien, ce qui porte à 4 le nombre d'hélicoptère sur l'intervention Arrivée de nuages gênant l'évacuation Approvisionnement de vivres de secours sur l'aire d'atterrissage d'hélicoptère (Drop Zone) de Chamonix 26 personnes sont évacuées des cabines, hélitreuillées et déposées au Rognon ou à la Pointe Helbronner Coucher du soleil Accueil et organisation du rapatriement des personnes héliportées vers la Pointe Helbronner : Réservation d'hôtels et transferts entre France et Italie 19 h 30 4 h 10 min 19 h 46 19 h 55 4 h 35 min 20 h 25 5 h 5 min 20 h 30 Tombée de la nuit 54 personnes évacuées Arrêt des opérations d'hélitreuillage et rapatriement par hélicoptère des passagers déposés à la DZ du Rognon Début des opérations sauvetage vertical. Décision de faire intervenir POMA pour réparation de l'appareil d'Helbronner Demande du décroisement préfet de tenter un d'évacuation par 21 h 21 h 30 6 h 10 min 21 h 45 6 h 25 min 78 22 h 07 6 h 47 min Marche en avant de l'appareil en gare de Conférence de presse l'Aiguille du Midi pendant 5 min pour tenter de déplacer le point de croisement 6 tentatives de décroisement, vaines. 24 personnes sont évacuées par sauvetage vertical vers la Pointe Helbronner Fin des opérations de sauvetage vertical 3 membres du PGHM rejoignent les cabines non évacuées pour assister les 32 passagers non évacués qui vont rester la nuit Décision de lancement d'une tentative de Appel régulier des passagers en cabine dont décroisement après réparation de l'appareil le numéro a été identifié. Une cabine avec une famille étrangère n'a pu être jointe faute en gare Helbronner de réseau ou de portable Arrivée de l'installateur POMA, accompagné de son sous-traitant HYDRO-TS Réparation l'installateur du flexible défaillant par 22 h 20 7 h 5 min 22 h 30 Nuit J+1 1 h 30 3 h 30 6 h 30 6 h 45 à 7 h 05 15 h 10 min 15 h 25 min Mise en place d'un amarrage fixe en station du Rognon du côté de la Pointe Helbronner Mise en tension de la ligne par l'appareil d'Helbronner en marche avant Reprise du mou donné par Helbronner, par l'appareil de l'Aiguille du Midi Surveillance, depuis la station du Rognon, du tir et retour d'information sur position câble croisé Confirmation par la station du Rognon du décroisement de câble Marche arrière pour détendre la ligne depuis les deux appareils de l'Aiguile du Midi et d'Helbronner Confirmation déraillement cabine suite au décroisement Héliportage de techniciens sur le pylône suspendu Désaccouplement de l'appareil en gare `Helbronner Évacuation des cabines à petite vitesse Accueil des passgers en station du Rognon et évacuation par hélicoptère Accueil passagers voie Requin/ cellule Psy. Accueil passagers évacués sur DZ 7 h 10 7 h 15 15 h 50 min 15 h 55 min 7 h 30 16 h 10 min 7 h 36 16 h 16 min 8 h 50 9 h 00 9 h 30 9h 12 h 17 h 30 min 17 h 40 min 18 h 10 min à 20 h 40 min Fin de l'évacuation Marche avant de l'appareil de l'Aiguille du Midi pour ramener la cabine déraillée Fin des opérations techniques Cellule accueil évacués au vertical Conférences de presse 79 Annexe 3 : Données sur les incidents d'exploitation Historique des croisements de câble Un historique des situations de croisement des câbles est tenu à jour par l'exploitant depuis 2008. Cet historique a été mis en place à l'image du suivi assez complet des croisements qui se produisent, aussi, sur le téléphérique d'accès à l'Aiguille du Midi, le TAM. L'historique du Panoramic Mont-Blanc est plus complet à partir de 2013, sans être exhaustif. Les croisements en sortie d'arrêt hivernal n'y figure pas. Plusieurs croisements, antérieurs à la liste, sont aussi enregistrés dans le recueil des évènements significatifs de l'installation maintenu à jour par le Bureau de contrôle territorial du STRMTG. Deux ont donné lieu à un dépannage problématique : le 12 avril 1999 : croisement lors de l'inspection annuelle à la suite d'un arrêt d'urgence. Le croisement a lieu sur la voie Requin, entre l'Aiguille du Midi et le Rognon. Le rapatriement en gare des personnels, qui étaient en ligne, a duré 7 h 50 min. en 2006 : croisement en exploitation à la suite d'un arrêt au frein de service. Le rapatriement des voyageurs a duré 3 heures. Sur la première liste, celle tenue à jour par l'exploitant, figurent 13 incidents de croisement antérieurs au 8 septembre 2016. Ils totalisent 19 croisements effectifs de câbles (certains incidents connaissant plusieurs croisements). La liste est la suivante : N° 1 2 3 4 5 6 7 8 9 10 11 12 13 Date 08/05/08 " 08/06/08 30/06/13 29/05/14 03/06/14 12/06/14 22/06/14 05/07/14 12/07/14 " 31/05/15 25/07/16 08/09/16 20/09/17 " " Emplacement 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 5 Crnts en 2 jours dont : · 1 voie Requin entre Hel. et Rog. · 2 voie Mont-Blanc entre Hel. et Rog. · 2 voie Mont-Blanc entre Aig. et Rog. nt Durée du décroisement 20 min 45 min 15 min 50 min 30 min 9 min 38 min 20 min 25 min 23 min 45 min 950 min - Cause initiatrice Arrêt Arrêt Vent Vent non précisé « « Vent Arrêt Arrêt Arrêt Arrêt Arrêt Arrêt électrique Arrêt Arrêt Charge 2 opérateurs Vide Vide 19 passagers Vide Vide 18 passagers 19 passagers 23 passagers 20 passagers 63 passagers 12 passagers 110 passagers Essais Essais Essais 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Crnt voie Requin entre Aig. et Rog. 1 Cr nt nt nt nt 1 Cr voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Crnt voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 1 Cr voie Requin entre Aig. et Rog. 2 Cr voie Requin entre Aig. et Rog. 3 Crnts dont : · 2 voie Requin entre Aig. et Rog. · 1 voie Requin entre Hel. et Rog. nt nt nt 2 Crnt voie Requin entre Aig. et Rog. 2 Crnt voie Requin entre Aig. et Rog. 3 Crnts identiques au 08/09/17 80 Nous notons qu'avant le 8 septembre 2016 : 45 % des croisements répertoriés se sont produits en exploitation, 55 % en dehors ; 80 % se sont produits entre l'Aiguille du Midi et le Rognon (décroisement par la machinerie de l'Aiguille du Midi) et 20 % entre la Pointe Helbronner et le Rognon (décroisement par la machinerie d'Helbronner). Aucun croisement entre la Pointe Helbronner et le Rognon ne s'est produit en exploitation avant le 8 septembre 2016. La nouvelle machinerie d'Helbronner, ayant fait l'objet de travaux de modernisation en 2015, n'a pas connu non plus de décroisement. Nous pouvons donc conclure que les croisements sont assez courants (par exemple 7 sur l'année 2014). Ils concernent toute la ligne, et celui survenu le 8 septembre 2016 était le premier à mobiliser la nouvelle machinerie d'Helbronner. Enfin, la cause initiatrice principale d'un croisement des câbles est l'arrêt de l'installation. Les trois types d'arrêt (électrique, frein de service ou frein d'urgence) sont concernés. Historique des arrêts d'urgence Nous avons pu exploiter le fichier-archive de l'installation sur les 76 jours d'exploitation commerciale allant du 24 juin au 8 septembre 2016. Sur cette période, il s'est produit 59 arrêts d'urgence en vitesse, c'est-à-dire arrêts alors que la vitesse de ligne était significative et supérieure à une valeur que nous avons délibérément choisie de 3 m/s (La liste de ces arrêts est donnée en page suivante). La ligne étant à une vitesse supérieure à 3 m/s, les cabines étaient en dehors des zones de gare. Sur ces 59 arrêts : 1. 30 arrêts ont été provoqués par les opérateurs. Certains de ces arrêts proviennent d'ailleurs des essais périodiques qui sont obligatoires comme l'essai de vérification mensuel du temps d'arrêt, à réaliser sur chaque type de frein. 2. 20 arrêts sont survenus pour un défaut de « gamma d'accélération », et ceci entre le 6 et le 26 juillet 2016. Ce défaut a généré en moyenne un arrêt par jour sur la période. Le défaut « gamma d'accélération » résulte d'une variation anormale de la vitesse du câble (gamma accélération ­ acc) qui fait l'objet d'un contrôle dans l'installation depuis 2015. La forte occurrence de ce défaut après les travaux a tardé à être traitée et avait conduit à des échanges, notamment par mail, empreints d'irritation de l'exploitant envers l'installateur. Le défaut se produisait au passage des cabines sur le pylône suspendu à mi-distance d'un cycle de sortie/entrée des cabines en gare. La valeur de contrôle du acc, de 0,5 m/s², avait été choisie trop faible. Elle a été corrigée à une valeur supérieure de 1,5 m/s² sur arrêt de ce type, le 26 juillet 2016. Le défaut n'est plus apparu. Sur l'ensemble des arrêts dus à ce défaut durant cette période, un croisement de câble s'est produit, le 25 juillet. Il y a eu deux points de croisement entre la gare de l'Aiguille du Midi et le Rognon. Tous deux ont pu être décroisés en appliquant la procédure de décroisement. 3. Les 9 autres arrêts provenaient d'autres types de défaut, dont le plus important est le « chevauchement des câbles », ayant provoqué 6 arrêts en vitesse. 81 82 Parmi l'ensemble de ces 59 arrêts en vitesse, peu se sont produits alors que les cabines étaient en phase d'accélération, en sortie de gare, et avec une vitesse proche des conditions de l'arrêt du 8 septembre 2016. Seuls trois arrêts, relevant de la première catégorie des arrêts ci-dessus, sont de ce type : le 25 juin à 9 h 56 (à 82 m) ; le 26 juin à 9 h 16 (à 127 m) ; le 27 juin à 8 h 25 (à 127 m). Aux horaires de ces arrêts, la ligne était peu fréquentée. Les conditions de masse et d'inertie en ligne étaient nettement insuffisantes pour être comparables à celles du 8 septembre et provoquer les mêmes conséquences. Au total, un seul arrêt d'urgence a provoqué un croisement de câble sur la saison. Il s'est produit dans un positionnement des cabines différent, plus favorable. Il a conduit à seulement deux croisements de câbles. L'arrêt d'urgence du 8 septembre était bien une situation inédite que ni les essais dynamiques, ni l'exploitation courante n'avaient jusqu'alors produite. Historique des alarmes « chevauchement des câbles » Sur les 76 jours précédant le 8 septembre 2016, dont nous avons étudié les archives d'exploitation, l'alarme « chevauchement de câble » est apparue 43 fois pendant les heures d'ouverture au public (La liste de ces alarmes est donnée en page suivante). Dans 1 cas, il s'agissait d'un croisement de câbles : le 25 juillet suite à l'arrêt d'urgence pour défaut de « gamma d'accélération » que nous venons de voir ; Dans 25 cas, l'alarme s'est produite à l'occasion d'une marche en avant sans autre défaut simultané. L'arrêt a été provoqué par l'alarme dans 22 cas, et l'alarme a fait suite à l'arrêt dans 3 cas. Seulement 6 de ces 25 cas ont eu lieu en dehors des zones de gare. Pour tous ces défauts, un contact électrique des câbles est avéré. Un croisement est donc suspecté. Dans 17 autres cas, soit l'installation était à l'arrêt ou en marche arrière, soit le défaut était simultané à plusieurs autres défauts. Il est difficile de statuer sur la réalité d'un croisement devant tout autre hypothèse (mauvais contact électrique, déraillement...) Ainsi, avec près d'une alarme par jour en moyenne, la fréquence des chevauchements est très élevée. Ce point confirme à nouveau la grande sensibilité de l'installation aux mouvements du câble tracteur. L'exploitant était au final confronté fréquemment, quasi quotidiennement, à cette problématique de défaut de chevauchement des câbles. Tout comme il l'était pour les arrêts d'urgence et pour le croisement de câble. Il n'a pas cherché à supprimer ces incidents divers d'exploitation, et s'y est plutôt « habitué ». Leur banalisation a pu conduire à sous-estimer le degré de dangerosité des évènements, que ni les études, ni les essais dynamiques, n'avaient exploré. La situation du 8 septembre 2016, avec 3 croisements de part et d'autre de la station du Rognon, bien que réalisée strictement dans le cadre d'une exploitation courante, était inédite. Elle n'avait jamais été anticipée. 83 84 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  INVALIDE)