Auteur moral

France. Bureau d'enquêtes sur les accidents de transport terrestre

Auteur secondaire

Résumé

Le 11 avril 2014, une rame de la ligne T1 du tramway de Valenciennes déraille à la suite d'un bi-voie, heurte un poteau et se disloque sous l'effet du choc. L'accident n'a fait aucune victime mais les dégâts sur le matériel roulant et l'infrastructure sont importants.<br />L'analyse des causes amène le BEA-TT à formuler les deux recommandations suivantes adressées à l'exploitant:<br />Recommandation R1 (Transvilles): renforcer la sécurité de l'exploitation au Poste de Commande Centralisée par l'écriture d'une consigne d'exploitation définissant clairement l'organisation en sécurité des circulations pour le mode nominal et pour le mode dégradé (dérangements).<br />Recommandation R2 (Transvilles): décrire l'organisation de la circulation des engins de maintenance en dehors du cadre d'une circulation commandée du Poste de Commande Centralisée, ainsi que les mesures à prendre pour revenir à la situation nominale.<br />Ces recommandations sont complétées d'une invitation à destination du STRMTG, de finaliser le guide sur la «Sécurité des zones de manoeuvre de tramways» pour amener concepteurs, constructeurs et exploitants à renforcer la prise en compte de la sécurité dans les zones de manoeuvre.

Editeur

BEA-TT

Descripteur Urbamet

accident ;transport terrestre ;tramway ;enquête ;DERAILLEMENT

Descripteur écoplanete

collision

Thème

Transports

Texte intégral

RAPPORT D'ENQUÊTE TECHNIQUE sur le déraillement et la dislocation d)une rame de la ligne T1 du tramway de Valenciennes v592 survenus le 11 avril 2014 Mai 2017 Ministère de l'Environnement, de l'Energie et de la Mer Bordereau documentaire Organisme commanditaire : Ministère de l'Environnement, de l'Énergie et de la Mer (MEEM) Organisme auteur : Bureau d'Enquêtes sur les Accidents de Transport Terrestre (BEA-TT) Titre du document : Rapport d'enquête technique sur le déraillement et la dislocation d'une rame de la ligne T1 du tramway de Valenciennes (59) survenus le 11 avril 2014 N° ISRN : EQ-BEAT--17-3--FR Proposition de mots-clés : circuit de voie, sabrage, tramway, zone fictive Bureau d'Enquêtes sur les Accidents de Transport Terrestre Affaire n° BEATT-2014-007 Rapport d'enquête technique sur le déraillement et la dislocation d'une rame de la ligne T1 du tramway de Valenciennes (59) survenus le 11 avril 2014 Avertissement L'enquête technique faisant l'objet du présent rapport est réalisée dans le cadre des articles L. 1621-1 à 1622-2 et R. 1621-1 à 1621-26 du code des transports relatifs, notamment, aux enquêtes techniques après accident ou incident de transport terrestre. Cette enquête a pour seul objet de prévenir de futurs accidents, en déterminant les circonstances et les causes de l'événement analysé et en établissant les recommandations de sécurité utiles. Elle ne vise pas à déterminer des responsabilités. En conséquence, l'utilisation de ce rapport à d'autres fins que la prévention pourrait conduire à des interprétations erronées. SOMMAIRE GLOSSAIRE...................................................................................................................................9 RÉSUMÉ.......................................................................................................................................11 1 - CONSTATS IMMÉDIATS ET ENGAGEMENT DE L'ENQUÊTE............................................13 1.1 - Les circonstances de l'accident.......................................................................................13 1.2 - Le bilan de l'accident........................................................................................................13 1.3 - Les mesures prises après l'accident................................................................................14 1.4 - L'engagement et l'organisation de l'enquête...................................................................14 2 - CONTEXTE DE L'ACCIDENT................................................................................................15 2.1 - Le réseau de tramway de l'agglomération de Valenciennes...........................................15 2.2 - Les rames du tramway de Valenciennes.........................................................................16 2.3 - La sortie du dépôt de Saint-Waast...................................................................................16 2.4 - Les principales modalités d'exploitation du tramway de Valenciennes...........................19 3 - COMPTE RENDU DES INVESTIGATIONS EFFECTUÉES..................................................23 3.1 - Les résumés des témoignages........................................................................................23 3.1.1 -Le conducteur de la rame 417.............................................................................................................. 23 3.1.2 -Le régulateur au PCC........................................................................................................................... 23 3.1.3 -L'agent de maîtrise d'astreinte.............................................................................................................. 24 3.2 - L'examen de l'enregistrement tachymétrique de la rame 417.........................................25 3.3 - Les investigations sur les installations de signalisation...................................................25 3.3.1 -L'analyse des enregistrements du système de signalisation................................................................25 3.3.2 -Pourquoi les ZT 22, 20 et 16/23 étaient-elles occupées à la prise de service ?...................................26 3.3.3 -Pourquoi la ZT 16/23 n'a-t-elle pas pu être libérée par l'opérateur du PCC ?.......................................28 3.3.4 -Pourquoi, une commande automatique des aiguillages s'est-elle opérée au passage des rames ?....29 3.3.5 -Pourquoi l'aiguille SWA 2 a changé de position sous la rame 417 ?....................................................31 3.3.6 -Reconstitution du 28 avril 2014............................................................................................................. 33 3.4 - Les investigations sur la documentation de sécurité.......................................................33 3.4.1 -La réglementation de sécurité d'exploitation......................................................................................... 33 3.4.2 -Les règles d'exploitation propres à la commande des circulations.......................................................34 3.4.3 -Les recommandations faites à l'occasion de la mise en service...........................................................34 3.4.4 -L'évaluation permanente du niveau de sécurité....................................................................................35 4 - DÉROULEMENT CHRONOLOGIQUE DE L'ACCIDENT......................................................37 5 - ANALYSE DES CAUSES ET FACTEURS ASSOCIÉS, ORIENTATIONS PRÉVENTIVES ET CONCLUSION.........................................................................................................................39 5.1 - L'arbre des causes...........................................................................................................39 5.2 - Les causes de l'événement.............................................................................................40 5.3 - Le manque de documentation de référence au PCC pour l'organisation des circulations en sécurité.......................................................................................................................40 5.4 - Les règles locales pour la circulation des engins de maintenance.................................41 5.5 - Le cadre réglementaire national......................................................................................42 ANNEXES.....................................................................................................................................43 Annexe 1 : Décision d'ouverture d'enquête.............................................................................45 Annexe 2 : Relevé détaillé des opérations de l'automate........................................................47 Glossaire AOM : Autorité Organisatrice de Mobilité (le SITURV) CdV : Circuit de Voie LAC : Ligne Aérienne de Contact PCC : Poste de Commande Centralisée PO : Pupitre Opérateur RSE : Règlement de Sécurité d'Exploitation SITURV : Syndicat Intercommunal pour les Transports Urbains de la Région de Valenciennes STRMTG : Service Technique des Remontées Mécaniques et des Transports Guidés TCO : Tableau de Contrôle Optique ZT : Zone de Transit fictive, appelée aussi zone technique 9 Résumé Vendredi 11 avril 2014 à 4h40, la rame 417 sort du dépôt de remisage de Saint-Waast et s'engage sur la ligne de tramway T1 du réseau de Valenciennes. Seuls les deux premiers bogies passent normalement l'aiguillage permettant de s'engager sur la voie 1. Le troisième bogie poursuit sa course sur la voie 2 à la suite d'un bi-voie. La rame accélère jusqu'à la vitesse de 24 km/h et parcourt ainsi « en crabe » 70 mètres. Elle heurte alors un poteau de support des lignes aériennes de contact situé dans l'entrevoie. La rame se disloque en deux sous l'effet du choc et s'arrête. L'accident ne fait aucun blessé, seul le conducteur est présent. Les dégâts sont importants sur le matériel roulant et sur l'infrastructure. La cause directe et immédiate de cet accident est le changement de position d'un appareil de voie entre le passage du second et du troisième bogie de la rame, sur l'itinéraire de sortie du dépôt. Plusieurs facteurs ont contribué à la survenue de cet accident : le passage sur les voies, la nuit précédant l'accident, d'une « nacelle » automotrice de travaux dont la manoeuvre n'a pas été compatible avec un fonctionnement normal des automatismes de signalisation et qui a laissé une situation erronée de l'occupation des voies au poste de commande ; l'existence d'une erreur de programmation dans le logiciel d'exploitation du poste de commande, depuis son installation, qui a empêché de corriger cette situation et qui a conduit à une exploitation en mode dégradé ; l'organisation de circulations en mode dégradé, avec des franchissements de signaux fermés et des manoeuvres manuelles des aiguillages, sans application de mesures strictes pour garantir la sécurité, comme notamment l'inhibition des automatismes. Ces causes trouvent leur origine dans un manque de rigueur d'utilisation des automatismes de signalisation par les opérateurs, lui-même induit par le manque de consignes précises détaillant les modes opératoires à mettre en oeuvre, et par le manque de rigueur de l'encadrement à observer et traiter les anomalies de sécurité au poste de commande centralisée. L'analyse des causes amène le BEA-TT à formuler les deux recommandations suivantes adressées à l'exploitant : Recommandation R1 (Transvilles) : Renforcer la sécurité de l'exploitation au Poste de Commande Centralisée par l'écriture d'une consigne d'exploitation définissant clairement l'organisation en sécurité des circulations pour le mode nominal et pour le mode dégradé (dérangements). Recommandation R2 (Transvilles) : Décrire l'organisation de la circulation des engins de maintenance en dehors du cadre d'une circulation commandée du Poste de Commande Centralisée, ainsi que les mesures à prendre pour revenir à la situation nominale. Ces recommandations sont complétées d'une invitation à destination du STRMTG, de finaliser le guide sur la « Sécurité des zones de manoeuvre de tramways » pour amener concepteurs, constructeurs et exploitants à renforcer la prise en compte de la sécurité dans les zones de manoeuvre. 11 1 - Constats immédiats et engagement de l'enquête 1.1 Les circonstances de l'accident Vendredi 11 avril 2014 à 4h40, la rame 417 du réseau de tramway de l'agglomération de Valenciennes sort du dépôt de remisage de Saint-Waast pour effectuer son service commercial. Elle s'engage d'abord sur la voie 2 de la ligne, puis sur la communication de voie lui permettant de passer de la voie 2 à la voie 1 parallèle. L'aiguillage SWA2 change de position sous le passage de celle-ci, provoquant un bi-voie. Les deux premiers bogies roulent alors sur la voie 1, alors que le troisième bogie reste sur la voie 2. La rame poursuit son trajet en avançant « en crabe », et percute, 70 mètres plus loin, le premier poteau supportant la ligne aérienne de contact (LAC) implanté dans l'entrevoie. La rame se disloque en deux sous l'effet du choc et s'arrête. Figure 1 : schéma de l'accident 1.2 - Le bilan de l'accident Cet accident n'a pas fait de victime. Le conducteur était seul dans la rame. Les dégâts matériels sont importants : la rame est coupée en deux et le poteau supportant la ligne aérienne de contact (LAC) a été tordu à un angle de plus de 60 degrés. La LAC est affaissée. 13 Figure 2 : la rame et le poteau support de caténaire après l'accident 1.3 - Les mesures prises après l'accident Au moment du choc entre la rame et le poteau supportant la ligne aérienne de contact, l'alimentation électrique a disjoncté. Le conducteur s'est retrouvé privé de radio et de feux. Un agent de maîtrise présent sur place, qui assistait à la manoeuvre pour la commande des aiguillages, a constaté immédiatement l'accident et prévenu le PCC* qui a alors déclenché l'alerte. En l'absence de victime, les services de secours n'ont pas eu à intervenir. La ligne a été fermée à l'exploitation toute la journée dans l'attente de l'évacuation de la rame et de la réparation des installations. La remise en service normal a eu lieu le lendemain à 4h30. 1.4 - L'engagement et l'organisation de l'enquête Au vu des circonstances de cet accident, le directeur du bureau d'enquêtes sur les accidents de transport terrestre (BEA-TT) a ouvert, le 18 avril 2014, une enquête technique en application des articles L. 1621-1 à 1622-2 du code des transports. Les enquêteurs techniques du BEA-TT se sont rendus sur place. Ils ont rencontré les représentants de l'autorité organisatrice des transports, le syndicat intercommunal des transports de Valenciennes, ceux de l'exploitant de la ligne de tramway, Transvilles, et ceux du constructeur des installations de la zone de manoeuvre concernées, la société Vossloh Cogifer. Ils ont eu communication de l'ensemble des pièces et documents nécessaires à l'analyse. Ils ont entendu les agents opérationnels impliqués dans l'accident, et ont participé à un essai de reconstitution des événements, le 28 avril 2014. * Terme figurant dans le glossaire 14 2 - Contexte de l'accident 2.1 Le réseau de tramway de l'agglomération de Valenciennes Le réseau de tramway de l'agglomération de Valenciennes comprend deux lignes : la ligne T1 est longue de 18 km et dessert 28 stations. Elle a été mise en service entre les stations « Université » et « Dutemple » en juin 2006, puis prolongée jusqu'à la station « Espace-Villars » en septembre 2007. Elle comporte deux voies, une par sens de circulation, sur toute la longueur ; la ligne T2 s'étend sur 15 km et dessert 20 stations supplémentaires. Elle utilise les voies de la ligne T1 entre « Université » et « Pont-Jacob », puis une voie unique avec des stations de croisement. Elle a été mise en service en février 2014 entre « PontJacob » et « Le Boulon ». Figure 3 : le réseau de tramway de Valenciennes L'autorité organisatrice de la mobilité (AOM) est le Syndicat intercommunal pour les transports urbains de la région de Valenciennes (SITURV), syndicat mixte couvrant 81 communes. À la date de l'accident, l'exploitation était assurée par une filiale du groupe Transdev, agissant sous la marque commerciale « Transvilles », dans le cadre d'une délégation de service public. Depuis le 1er janvier 2015, et pour une durée de sept ans, cette exploitation est dévolue à une filiale de la société RATP Dev, sous la même marque commerciale. Les lignes sont exploitées de 4h45 à 0h30 avec une fréquence de 5 minutes en heures de pointe et de 10 minutes en heures creuses. 15 La plate-forme des voies est constituée d'une dalle de béton avec rails à ornière. Le revêtement est souvent en gazon hors des traversées routières. 2.2 - Les rames du tramway de Valenciennes Pour l'exploitation des deux lignes, 30 rames de la gamme Citadis 302 du constructeur Alstom sont utilisées. Ces rames ont une longueur de 33 mètres, une largeur de 2,4 mètres et une masse à vide de 39 tonnes. Elles se composent de 5 caisses articulées, portées par 3 bogies. Deux bogies sont moteurs et situés sous les caisses d'extrémité. Le 3e bogie, situé sous la caisse centrale, est uniquement porteur. La capacité des rames est de 48 places assises et de 164 places debout. La vitesse maximale d'exploitation est de 70 km/h. La rame accidentée s'est disloquée entre le 3e élément, où est placé le bogie porteur central, et le 4e élément articulé. Figure 4 : vue et coupe de la rame Citadis 2.3 - La sortie du dépôt de Saint-Waast Le réseau de tramway de Valenciennes possède un unique dépôt où la totalité des rames des deux lignes T1 et T2 sont remisées chaque soir. L'accident a eu lieu à l'embranchement du dépôt sur les voies principales. Les installations du dépôt abritent : le poste de commande centralisée (PCC), d'où est régulé à distance l'ensemble du réseau bus et tramway ; un remisage et un atelier tramway ; un remisage, une station-service et un atelier pour les bus. 16 Le dépôt est situé sur la ligne T1 en direction de « Espace Villars », juste avant la station « Saint-Waast » lorsque l'on vient du centre. Figure 5 : vue aérienne de la sortie du dépôt de Saint-Waast Figure 6 : plan des voies de sortie du dépôt de Saint-Waast 17 Le plan de voie de l'embranchement du dépôt sur la ligne permet d'assurer tous les échanges. Il est constitué de deux voies d'entrées/sorties du dépôt : l'une des voies, L1, bifurque vers le nord sur la voie V2 de la ligne du T1, et est suivie d'une jonction V2/V1 ; l'autre voie, L2, bifurque symétriquement vers le sud sur la voie V2 et est suivie d'une autre jonction. Ainsi les rames qui sortent du dépôt par la voie L1, accèdent à la ligne de tramway grâce à l'aiguillage SWA4. Elles sont alors sur la voie 2, en contre-sens. Une communication de voie, composée des aiguillages SWA2 et SWA1, leur permet de rejoindre la voie 1 et d'y circuler dans le sens normal de circulation. C'est le trajet qu'a suivi la rame accidentée le 11 avril 2014. Les deux premiers bogies ont parcouru l'ensemble de l'itinéraire. Par contre, le 3 e bogie est, par suite d'un mouvement de l'appareil SWA2, resté sur la voie 2. Figure 7 : la sortie du dépôt vue de la voie L1 vers la voie 2. On remarque à droite le signal d'arrêt S30 au rouge. 18 Figure 8 : la communication en sortie du dépôt, vue de la voie 1 vers le dépôt 2.4 - Les principales Valenciennes modalités d'exploitation du tramway de Le principe général de l'exploitation du tramway de Valenciennes est, comme sur d'autres lignes de tramway, celui de la « marche à vue ». Le conducteur doit faire preuve de prudence et d'anticipation pour pouvoir arrêter sa rame avant tout obstacle. Toutefois, dans les terminus de la ligne et d'une manière générale dans toutes les zones de manoeuvre, le mouvement des rames s'opère au moyen d'aiguillages motorisés. Pour pouvoir commander les aiguillages en fonction de l'itinéraire choisi, et pour qu'ils soient franchis en « sécurité » par les rames, des automatismes et des signaux ont été installés. Le PCC supervise l'ensemble de la circulation des rames de tramway sur les deux lignes du réseau, en ligne comme dans le dépôt de Saint-Waast. Les manoeuvres des aiguillages et des signaux y sont télécommandés par un opérateur depuis le pupitre opérateur. Celui-ci dispose d'un écran, le TCO*, lui permettant de visualiser à distance la position des signaux (ouvert/fermé) et l'occupation des voies (libre ou non). Les feux de la signalisation des zones de manoeuvre présentent soit un feu rouge, soit un feu vert. La signalisation de la ligne T1 du réseau de Valenciennes est d'une technologie développée par Vossloh Cogifer pour le tramway. Cette technologie est d'inspiration ferroviaire et elle en met en oeuvre les grands principes : commande d'un itinéraire, protection de celui-ci par interdiction des itinéraires non compatibles, « destruction » de l'itinéraire après passage de la circulation. * Terme figurant dans le glossaire 19 Figure 9 : Vue du PCC Circuits de voie et zones de transit fictives Dans cette technologie, la présence d'une rame est reconnue, non pas de façon continue sur la voie, mais par des détecteurs ponctuels de présence des rames, constitués de boucles magnétiques de longueur limitée à 12 mètres. Ils sont appelés « circuits de voie » (à ne pas confondre avec les circuits de voie continus que l'on trouve communément sur les lignes ferroviaires). Les circuits de voie sont installés en plusieurs points distants de plusieurs dizaines de mètres. Le passage d'une rame sur le circuit de voie indique à l'automatisme l'occupation de la portion de voie qui suit ce circuit de voie jusqu'au circuit de voie suivant. Le passage de la rame sur le circuit suivant indique la libération de la portion de voie précédente. Les portions de voie qui séquencent ainsi le plan de voie entre les circuits de voie sont appelées les « zones de transit fictives » (ZT). Les zones de transit fictives sont ainsi activées et désactivées dans l'automatisme par leurs deux circuits de voies encadrants. L'occupation du premier circuit de voie active la zone de transit, la libération du second circuit de voie libère la zone. L'automatisme enregistre aussi dans cette séquence le sens de parcours de la zone de transit, soit pair (venant du centre-ville), soit impair (vers le centre-ville) pour un bon enchaînement logique du cycle. 20 Figure 10 : extrait du schéma de signalisation de l'embranchement du dépôt. Position des circuits de voie et des zones de transit Tracé et libération des itinéraires Le tracé des itinéraires est commandé depuis le pupitre opérateur (PO). Il n'est possible que s'il n'y a aucune incompatibilité. Si l'itinéraire commandé croise une circulation déjà présente ou un itinéraire déjà tracé, il est enregistré mais pas activé. Dès la commande d'un itinéraire, l'automatisme provoque le mouvement des aiguillages, il fige ces mouvements jusqu'au passage de la rame et il interdit tout itinéraire incompatible. Il est « enclenché ». Une fois le premier signal de l'itinéraire ouvert, le conducteur du tramway doit vérifier la bonne orientation des aiguilles (et donc de l'itinéraire) et il avance en étant protégé des autres tramways. La libération (ou destruction) d'un itinéraire se fait après le passage de la rame de tramway, c'est-à-dire après activation et libération du circuit de voie placé à la sortie de la portion de voie protégée. Mode dégradé En cas de dérangement de l'installation, selon le Règlement de sécurité d'exploitation (RSE), une exploitation en mode dégradé peut être organisée. Elle permet par exemple le franchissement de signaux fermés uniquement sur autorisation délivrée par le PCC qui reste maître de la manoeuvre. En résumé, cette installation permet d'assurer un niveau de sécurité satisfaisant, mais elle présente aussi une difficulté : l'activation, et la libération, des zones de transit par les circuits de voie ponctuels demandent une utilisation rigoureuse. Le cycle occupation puis libération du circuit de voie de sortie est indispensable pour détruire un itinéraire et rendre en « voie libre » la portion de voie considérée. Si l'on introduit des perturbations, par exemple l'activation ou non, intempestive ou désordonnée, des circuits de voie, l'automatisme ne remplira plus ses fonctions. 21 3 - Compte rendu des investigations effectuées 3.1 Les résumés des témoignages Les résumés présentés ci-dessous sont établis par les enquêteurs techniques sur la base des déclarations, orales ou écrites, dont ils ont eu connaissance. Ils ne retiennent que les éléments qui ont paru utiles pour éclairer la compréhension et l'analyse des événements et pour formuler des recommandations. Il peut exister des divergences entre les différentes déclarations recueillies ou entre ces déclarations et des constats ou analyses présentés par ailleurs. 3.1.1 - Le conducteur de la rame 417 Le 11 avril 2014, en sortant du dépôt Saint-Waast par la voie L1, le conducteur s'est arrêté au signal de sortie qui présentait un feu rouge. Par radio, il reçoit un avis du régulateur du PCC l'informant de l'arrivée d'un agent de maîtrise chargé de manoeuvrer les aiguillages à pied d'oeuvre pour permettre sa sortie en franchissant le signal fermé. Après manipulation des aiguillages par cet agent de maîtrise, le PCC donne l'autorisation au conducteur de s'avancer vers la voie 1, signal fermé. Le conducteur s'exécute, passe sur l'aiguillage d'accès à la voie 1 alors en bonne position « voie déviée » et se dirige vers la station « Anzin ­ Hôtel de Ville ». Il commence à accroître la vitesse de la rame. À ce moment, aucun dysfonctionnement n'est perceptible en cabine de conduite. À hauteur du premier poteau supportant la LAC*, la rame est brutalement stoppée suite à un choc. L'alimentation électrique de la rame est coupée. Il ne peut plus faire usage de sa radio pour prévenir. Après être sorti de la rame, le conducteur constate que l'aiguillage après la sortie du dépôt est maintenant en position « voie directe » et que seuls les deux premiers bogies de la rame sont sur la voie 1. Le dernier bogie est sur la voie 2. 3.1.2 - Le régulateur au PCC À sa prise de service à 3h55, il constate la présence des agents d'astreinte exploitation et informatique de Transvilles au PCC. Sur le TCO, trois zones de transit sont occupées. Il réussit à annuler l'occupation de deux zones de transit mais pas de la troisième qui reste occupée après un message d'erreur sur l'écran « annulation impossible ». Pour sortir la rame 403, et afin de réinitialiser le fonctionnement de l'automatisme, il organise un passage en franchissant le signal de sortie du dépôt fermé. Il s'assure de la manoeuvre des aiguillages de sortie du dépôt vers la voie 1 manuellement à pied d'oeuvre. La rame 403 sort. La zone de transit reste occupée après le passage de cette rame et une nouvelle annulation depuis le pupitre reste inopérante. Le service de maintenance est appelé et prend acte. Puis la rame 417 demande à sortir du dépôt pour se diriger vers « Anzin ­ Hôtel de Ville ». * Terme figurant dans le glossaire 23 Pour permettre l'acheminement de la rame, il organise à nouveau un passage avec signal fermé. La position de l'aiguillage de sortie est mise en voie déviée à pied d'oeuvre par l'agent de maîtrise d'astreinte. Le conducteur de la rame 417 est autorisé à sortir du dépôt en franchissant le signal resté fermé et celui-ci s'engage vers la voie 1. Voulant vérifier l'extinction de la zone de transit au TCO, il y voit avancer la rame en constatant le passage au rouge des différentes zones de transit du trajet, puis la libération complète et momentanée des zones en même temps. L'agent d'astreinte le prévient alors que la rame 417 a fait un bi-voie. 3.1.3 - L'agent de maîtrise d'astreinte Appelé pour un dérangement du système informatique qui avait eu lieu la veille pour la rentrée des rames, l'agent de maîtrise d'astreinte exploitation arrive sur place vers 4h, en même temps que l'agent d'astreinte informatique. Il constate qu'une des zones de transit reste occupée et ne peut être annulée. L'agent du PCC est obligé de manoeuvrer les aiguilles manuellement pour sortir la première rame du dépôt à 4h24. Ensuite, il constate que l'agent du PCC est toujours dans l'impossibilité de tracer un itinéraire de sortie. Il se déplace alors au pied du signal pour vérifier la position des aiguilles. Il manipule en manuel l'appareil SWA4 en voie déviée puis vérifie sa position ainsi que celle des appareils SWA1 et SWA2, restés en voie déviée vers la voie1. Il autorise le conducteur à franchir le signal fermé et la rame 417 sort. Il constate le franchissement des appareils SWA2 puis SWA1 par la partie avant de la rame. Par contre, la partie arrière de cette même rame s'engage sur la voie 2. Il prévient immédiatement le régulateur du PCC, mais la rame est déjà arrêtée suite à son choc avec le premier poteau de support caténaire rencontré. Il vérifie que le conducteur n'est pas blessé et constate les dégâts. 24 3.2 - L'examen de l'enregistrement tachymétrique de la rame 417 Figure 11 : extrait du relevé tachymétrique de la rame 417 Le relevé confirme la sortie du dépôt de la rame 417 à faible vitesse, l'utilisation du gong lors de la mise en mouvement de la rame, sa rapide montée en vitesse, jusqu'à 24 km/h, puis l'arrêt brutal suite au choc avec le poteau de support LAC. 3.3 - Les investigations sur les installations de signalisation 3.3.1 - L'analyse des enregistrements du système de signalisation Le système de signalisation est doté d'un enregistrement de l'historique des états du système à des fins de maintenance. L'analyse séquence par séquence de l'enregistrement permet de reconstruire les faits. Figure 12 : indications du TCO à la prise de service à 4 h 25 À 4 h, à la prise de service du matin, l'opérateur du PCC découvre une situation sur le TCO où la zone de transit appelée ZT 16/23, placée sur la jonction entre les voies 1 et 2, était déjà activée et affichée comme occupée (en rouge sur l'écran). Il en était de même des zones ZT 22 et ZT 20. Les zones de transit ZT 22, ZT 20 et ZT 16/23, bien qu'activées sur le TCO, n'en étaient pas pour autant réellement occupées par des circulations. À 4h01, l'opérateur procède alors à l'« annulation » de ces zones en actionnant la commande prévue à cet effet qui permet, sous certaines conditions, de détruire des itinéraires ou des occupations de zones, en cas de mauvaise manipulation. Les zones ZT 22 et ZT 20 s'annulent normalement. La zone ZT 16/23 ne s'annule pas. L'impossibilité d'annuler la zone ZT 16/23 interdit alors à l'opérateur, la commande d'un itinéraire de la voie L1 vers la voie 1 pour sortir une rame du dépôt en direction de « Université ». Cet itinéraire est en effet incompatible avec l'occupation d'une zone sur son tracé, révélatrice de la présence d'une rame. Cette situation s'était déjà produite à plusieurs reprises auparavant. Les agents d'exploitation, par habitude et par facilité, faisaient alors circuler une rame pour « réarmer » le dispositif et forcer l'annulation. Ce procédé, qui ne figure dans aucune consigne écrite, avait, jusqu'à la date du 11 avril, et sans doute dans des configurations légèrement différentes de ce jour-là, suffit. L'opérateur prend donc la décision de sortir une première rame en s'affranchissant des enclenchements et de la signalisation, c'est-à-dire en manoeuvrant manuellement les aiguillages et en franchissant les signaux fermés. L'automatisme va, dans la suite des événements, réagir d'une manière qui paraîtra tout à fait compréhensible et logique à l'analyse a posteriori, mais qui sera très en écart par rapport à la compréhension que l'opérateur s'en est faite en situation. À aucun moment, l'opérateur du PCC n'a, semble-t-il, perçu cet écart jusqu'à l'accident. Pour rendre compte le plus fidèlement possible de l'enchaînement des faits, nous allons tenter de répondre aux 4 questions suivantes : pourquoi les ZT 22, 20 et 16/23 étaient-elles occupées à la prise de service ? Pourquoi la ZT 16/23 n'a-t-elle pas pu être libérée par l'opérateur du PCC ? Pourquoi, une commande automatique des aiguillages s'est-elle opérée au passage des rames ? Pourquoi l'aiguillage SWA 2 a changé de position sous la rame 417 ? 3.3.2 - Pourquoi les ZT 22, 20 et 16/23 étaient-elles occupées à la prise de service ? Il faut remonter au milieu de la nuit pour reconstruire le fil des événements qui ont conduit aux occupations anormales de zones de transit : une nacelle de travaux automotrice, « rail route », est en effet sortie de l'atelier et est revenue plus tard dans la nuit. Elle a effectué son déplacement sur rail sans qu'il n'y ait de commande d'itinéraire depuis le PCC. 26 Figure 13 : la nacelle qui a circulé la nuit du 10 au 11 avril La nacelle est sortie du dépôt à 0h03 par la voie L1 pour rejoindre la voie 1. Dans son déplacement, elle est passée sur des circuits de voie et a ainsi activé l'occupation des zones de transit fictives leur correspondant. Les activations des ZT correspondent à une réponse normale de l'automatisme qui « découvre » des occupations de voies successives sans commande préalable d'un itinéraire et qui les enregistre pour éviter les collisions. Trois aiguillages ont été tournés manuellement au fur et à mesure de l'avancement de la nacelle : SWA 4, SWA 2 puis SWA 1. Du fait que les aiguillages étaient manoeuvrés en manuel, sur des zones de transit déjà activées dans l'automatisme, la nacelle a emprunté une direction ne correspondant pas aux zones de transit activées, mais à d'autres, créant ainsi des anomalies. Ainsi lorsque la nacelle est passée sur le CdV 23 de la voie 2, elle a activé la ZT 22. Puis l'aiguille SWA 2 a été manoeuvrée en voie déviée. La nacelle est alors passée sur la communication V1/V2 correspondant non pas à la ZT 22, mais à la ZT 16/23. Le passage ensuite de la nacelle sur le CdV 16 a activé la ZT 16/23, jusqu'ici libre, dans le sens pair ainsi que la ZT 16 dans le sens impair. Figure 14 : trajet de la nacelle 27 Le système a pris en compte ces sollicitations désordonnées. Il a affiché de nombreuses occupations des circuits de voie et de zones de transit, et délivré de nombreux messages d'alerte : 3 franchissements des signaux, 2 discordances d'aiguilles. La nacelle est revenue, toujours sur rail, par la voie 2 à 1h52. Dans un souci de simplification, nous ne donnons pas ici le détail de toutes les opérations logiques successives qu'a effectuées l'automate. Celui-ci figure en annexe 2 du rapport. Au final, après rentrée de la nacelle au dépôt, 3 zones de transit sont restées activées et non libérées sur l'embranchement de sortie du dépôt : la ZT 16/23 dans le sens pair, la ZT 20 et la ZT 22 dans le sens impair. Ces activations de ZT correspondent à la réponse normale de l'automatisme. C'est la manoeuvre en manuel des aiguillages, au cours des mouvements, qui est venue rompre les enchaînements normaux des séquences d'activation/libération des zones et qui a créé les nombreuses anomalies. 3.3.3 - Pourquoi la ZT 16/23 n'a-t-elle pas pu être libérée par l'opérateur du PCC ? Lorsque l'opérateur du PCC découvre les zones ZT 20, 22 et 16/23 indûment occupées à sa prise de service à 4 h, il procède à leur annulation au moyen de la commande à sa disposition. Les ZT 20 et 22 se libèrent normalement. En revanche, il lui est impossible d'en faire de même avec la ZT 16/23. Postérieurement à l'accident, le fabricant du poste, Vossloh Cogifer, fait une analyse de cette anomalie de libération. Il est apparu que le logiciel comportait une erreur de conception : l'inversion dans un dialogue informatique de deux opérations de vérifications entre la ZT 16/23 et la ZT 15/24 (l'autre communication). On peut s'interroger sur les conditions dans lesquels s'étaient effectués les essais exhaustifs du système de signalisation tels qu'ils doivent normalement se dérouler au moment de la mise en service. Ces essais auraient dû détecter l'anomalie et ils ne l'ont pas fait. Quoi qu'il en soit, cette anomalie n'est pas pour autant contraire à la sécurité. En effet, elle ne place pas le système en situation dangereuse pour la sécurité. Elle produit un dérangement qui interdit seulement de tracer un nouvel itinéraire. La situation dangereuse ne résulte que de l'action des opérateurs qui, voulant contourner le problème, risquent d'effectuer des opérations contraires à la sécurité. L'impossibilité de réarmer la ZT 16/23 est donc due à une erreur de programmation du système depuis l'origine. On peut aussi s'interroger sur l'antériorité d'occurrence de ce défaut d'annulation. Il apparaît à l'examen des compte-rendus des événements d'exploitation depuis la mise en service, que les non-réarmements de la zone fictive ZT 16/23 sont nombreux (plusieurs dérangements par an enregistrés). La ZT 15/24 (l'autre communication) est affectée du même dérangement par inversion de « mot », comme nous l'avons dit, dans la programmation. Lors de ces dérangements, les opérateurs avaient développé un mode opératoire consistant à faire circuler une rame et il s'ensuivait la disparition du défaut. Il nous a été rapporté que, dans tous les cas, cela avait suffit. 28 Le défaut a donc été plusieurs fois reproduit et tracé dans le système d'exploitation. Il n'a pour autant été ni analysé, ni identifié comme précurseur d'un dysfonctionnement à risque. Cette situation n'a jamais été remontée par Transvilles au concepteur de l'installation Vossloh Cogifer. Aucune correction de logiciel n'a donc été apportée avant l'accident du 11 avril 2014. Les nombreuses anomalies de fonctionnement de la ZT 16/23 n'ont pas fait l'objet de l'engagement d'actions correctives. 3.3.4 - Pourquoi, une commande automatique des aiguillages s'est-elle opérée au passage des rames ? Après l'échec de la commande de libération de la ZT 16/23, il est décidé, peu après 4 h, de sortir la première rame, la 403, en mode dégradé. Faute de pouvoir enclencher l'itinéraire, les aiguilles SWA4, SWA2 et SWA1 sont manoeuvrées à pied d'oeuvre pour ouvrir le tracé de la voie L1 vers la voie 1. Remarquons qu'aucune précaution n'est prise pour inhiber les aiguilles vis-à-vis des automatismes. Aucune consigne ne précise cette nécessité. Le conducteur de la rame est alors autorisé à franchir le signal de sortie, le S30, fermé. Figure 15 : indications du TCO à 4h29 avant la sortie de la rame 403 À 4h30 , la rame 403 sort. La rame va activer, et libérer, successivement les circuits de voie et les zones de transit en avançant, indépendamment de toute commande d'itinéraire qui n'a pu être réalisée. Lorsque la rame passe et quitte le circuit de voie CdV 23 à mi-chemin des aiguillages SWA 4 et SWA 2, elle va libérer : la zone de transit ZT30, qu'elle a elle-même activé dans le sens impair, et dont le CdV 23 est le circuit de voie sortant, et aussi, la ZT 16/23, qui a été activée préalablement dans le sens pair par la nacelle de travaux, et dont le CdV 23 est aussi le circuit de voie sortant. 29 À ce moment précis, et pour une fraction de secondes, toutes les zones de transit sont libérées. Bien que la rame soit en train de rouler sur la communication voie 2 / voie 1, il n'y a plus d'occupation de zone de transit dans le calculateur du poste. Figure 16 : situation de l'automate après la libération du Cdv 23 Cette situation résulte à nouveau d'une réponse normale de l'automatisme qui « découvre » des occupations de voies successives sans tracé préalable d'un itinéraire et qui met en oeuvre les enchaînements logiques produits par ces activations. Le rétablissement de l'itinéraire par défaut « voies principales » consécutivement à la libération des ZT : Dans la zone de Saint-Waast, l'automatisme est programmé avec un itinéraire prioritaire réalisant la continuité des deux voies principales. Lorsque l'automatisme ne repère plus de rames sur la zone, cet itinéraire s'active automatiquement par défaut. Dans ce cas, les aiguilles de la zone se remettent automatiquement en position directe. Dans la situation que nous venons de décrire précédemment, toutes les conditions sont ainsi réunies pour stabiliser le plan de voie selon l'itinéraire par défaut de continuité des voies principales, et donc pour manoeuvrer automatiquement les aiguilles en position directe. Bien qu'une rame soit en réalité en train de rouler sur la communication voie 2 / voie 1, il n'y en a plus de trace dans l'automatisme. Cela ne résulte aucunement d'un dysfonctionnement, mais plutôt de l'enchaînement des activations/désactivations successives forcées par les circulations successives en dehors de tout tracé d'itinéraire. Les plans techniques : Les plans techniques sont des plans de conception du poste qui explicitent toutes les conditions logiques à réaliser pour activer ou libérer des zones. L'examen détaillé des plans techniques confirme le fonctionnement normal des automatismes tel que décrit cidessus. 30 3.3.5 - Pourquoi l'aiguille SWA 2 a changé de position sous la rame 417 ? Il nous reste à comprendre pourquoi l'aiguille SWA 2 n'a pas changé de position sous la rame 403, alors qu'elle va le faire sous la rame suivante, la 417, envoyée dans les mêmes conditions. L'explication se trouve dans l'action d'une sécurité du logiciel sur les conditions de manoeuvre automatique des aiguilles après leur manoeuvre en manuel. La manoeuvre manuelle des aiguilles : La manoeuvre en manuel des aiguilles s'effectue à pied d'oeuvre : il faut d'abord, ouvrir une trappe de manoeuvre, insérer un levier appelé « sabre » et le manoeuvrer. L'ouverture de la trappe a pour effet d'interrompre l'asservissement de l'aiguille à l'automatisme. On dit que l'aiguille est alors déverrouillée. Réciproquement, en fin d'opération si l'opérateur referme la trappe de manoeuvre, il rétablit l'asservissement. L'aiguille est reverrouillée. Selon que la trappe est refermée ou laissée ouverte, après la manoeuvre manuelle, on réactive ou non la commande automatique de l'aiguillage. Figure 17 : la manoeuvre de l'aiguillage en manuel La sécurité installée sur le logiciel, en cas de manoeuvre manuelle d'une aiguille : Le logiciel du poste de commande dispose d'une sécurité en cas de manoeuvre manuelle d'une aiguille. L'aiguille, remise en mode automatique, reste bloquée tant que le système n'a pas constaté de passage effectif d'un cycle complet de circulation. Ce verrouillage logiciel permet d'éviter une commande de rappel automatique de l'aiguille dans la position inverse de celle qui vient d'être faite manuellement lors de la remise en automatique de l'aiguille. Ce verrouillage n'est actif que pour le premier passage d'une rame sur l'aiguille. Il est mis en oeuvre lorsque la zone de manoeuvre dispose d'itinéraires à tracé permanent. Passage de la rame 403 : Avant le passage de la rame 403, les aiguillages SWA 4, SWA 2 et SWA 1 sont manoeuvrés manuellement puis reverrouillés sur l'automatisme. Lors du passage de la rame 403, au moment où les conditions sont réunies pour un rétablissement automatique de l'itinéraire prioritaire « voies principales », les aiguilles SWA1 et SWA2 ne sont pas commandées électriquement car, le système n'ayant pas encore constaté de passage 31 effectif sur ces aiguilles depuis leur remise en mode automatique, elles restent enclenchées par le logiciel de l'automate. La rame passe sans incident. La rame, en sortant de la communication V2/V1, passe aussi sur le circuit de voie CdV 16. Ce passage réactive la zone ZT 16/23 dans le sens pair de nouveau, ainsi que la ZT 16 dans le sens impair. Cette dernière sera désactivée dans la suite du parcours. Passage de la rame 417 : Cinq minutes plus tard, à 4h35, la rame 417 se présente pour prendre son service commercial. Le TCO affiche la même situation que précédemment. Nous avons en effet vu que la rame 403 avait réactivé la ZT 16/23 dans le sens pair, comme elle l'était initialement. Il est décidé, à nouveau, de sortir la rame en mode dégradé. Figure 18 : indications du TCO à 4h38 avant la sortie de la rame 417 Les aiguillages SWA1 et SWA2 sont déjà en position déviée, verrouillés à l'automatisme. Ils le restent. Seul l'aiguillage SWA 4 est manoeuvré manuellement par l'agent de maîtrise d'astreinte. Lorsque la rame 417 avance et quitte le CdV 23, comme précédemment la rame 403, elle libère l'ensemble des ZT, et de ce fait, engage le rétablissement de la continuité des voies principales. Une première rame est déjà passée depuis le reverrouillage des aiguillages. De ce fait, la sécurité logiciel qui avait empêché leur manoeuvre automatique n'agit plus. Les aiguilles SWA 2 et SWA 1 se remettent en position directe immédiatement. La rame est en train d'avancer, les deux premiers boggies ont passé SWA 2 en voie déviée, le 3e est en amont. Il passe SWA 2 en voie directe. 32 Figure 19 : indications du TCO à 4h40 au passage de la communication V1/V2 par la rame 417 (toutes les zones de transit sont libérées) 3.3.6 - Reconstitution du 28 avril 2014 Le 28 avril 2014, à la suite de l'accident, une reconstitution est organisée avec l'exploitant du réseau Transvilles. Cette reconstitution permettra de reproduire très précisément le séquencement des opérations qui a conduit au changement de direction de l'aiguille SWA 2 sous la rame tel que nous venons de le détailler. Chaque mouvement automatique d'aiguillage, chaque information affichée sur le TCO tout au long de la nuit du 11 avril ont pu être reconstitués finement. Une 2e reconstitution s'est déroulée le 18 mai 2015, et a confirmé à nouveau ces conclusions. 3.4 - Les investigations sur la documentation de sécurité La sortie du dépôt s'est effectuée dans un mode d'exploitation « dégradé » amenant à s'affranchir du système de signalisation et à manoeuvrer les aiguilles manuellement. Il est donc important de se reporter au mode opératoire prescrit lorsqu'une telle situation se produit en exploitation. 3.4.1 - La réglementation de sécurité d'exploitation Les enquêteurs ont pu avoir accès aux documents de gestion de la sécurité sur le réseau de tramway de Valenciennes et aux explications nécessaires. La maîtrise de la sécurité sur le réseau est encadrée par le règlement de sécurité de l'exploitation (RSE). Ce règlement fixe les mesures d'exploitation et de maintenance pour assurer la sécurité des usagers et des tiers. Il décrit les modalités de mise en oeuvre du dispositif permanent de contrôle et d'évaluation du niveau de sécurité du système. Il donne les références des documents d'exploitation et de maintenance plus détaillés définissant les procédures, règles et consignes mises en oeuvre par l'exploitant. Selon cette documentation, l'exploitation peut s'effectuer soit en « mode nominal », soit « en mode dégradé ». Le RSE décrit la conduite à tenir pour les différentes opérations selon l'un ou l'autre des modes. 33 3.4.2 - Les règles d'exploitation propres à la commande des circulations Les consignes d'exploitation sont pour partie des présentations sous forme de « powerpoint » dont l'objectif semble essentiellement d'assurer la formation des agents, et pour une autre partie des « notes de service ». Leur formalisme n'a pas la rigueur et la précision habituelle de ce type de document. Les consignes évoquent explicitement la possibilité pour les conducteurs d'être exceptionnellement autorisés à franchir certains signaux de manoeuvre au rouge. Les conditions à réaliser pour cela sont décrites. On peut citer l'arrêt au droit du signal, la communication avec le PCC pour recevoir les consignes, le franchissement du signal après autorisation, la possibilité de manoeuvrer manuellement les aiguilles à pied d'oeuvre si elles ne sont pas dans la bonne direction. Le mode opératoire utilisé par les conducteurs pour la manoeuvre du 11 avril respecte ces instructions. Il apparaît toutefois que si les informations à l'usage des conducteurs sont assez étoffées, les règles à l'usage des agents chargés des circulations ne le sont pas autant. Dans un certain nombre de cas, comme le franchissement de signaux fermés, le conducteur doit suivre impérativement les instructions du PCC. Mais il n'y a pas de consigne qui développe comment l'opérateur du PCC doit élaborer ses instructions et quelles assurances il doit prendre pour le faire. Le système de signalisation peut être qualifié de « sensible » au regard de son fonctionnement au moyen de zones de transit fictives, ainsi qu'au regard de l'absence de « circuits de voie » au droit des aiguillages. Pour autant, malgré cette sensibilité, les procédures d'utilisation du système en situation non nominale ne sont pas élaborées. Les assurances à obtenir et les sécurités à mettre en place en cas de manoeuvre en mode dégradé, ou en cas de manoeuvre de la nacelle travaux, ne sont pas explicitées. Un dispositif d'inhibition de l'automate existe sous la forme d'un commutateur, sur l'armoire de l'automate, qui neutralise la commande électrique des aiguillages et ferme les signaux. Un autre dispositif d'inhibition des aiguillages existe au travers du commutateur de déverrouillage de ceux-ci pour effectuer leur manoeuvre en manuel. L'utilisation de ces dispositifs n'est pas réglementée. Ils pourraient constituer des boucles de sécurité en mode « dégradé », qui n'ont pas été activées le jour de l'accident. Enfin, en avril 2014, les régulateurs recevaient, en matière de sécurité, une formation et une habilitation aux risques électriques. Il nous semble que cette option ne laisse pas de place pour aborder la spécificité de leur métier et de leurs tâches. 3.4.3 - Les recommandations faites à l'occasion de la mise en service La mise en service de la ligne a fait l'objet, conformément à la réglementation, de la présentation d'un dossier de sécurité au préfet du département. Ce dossier contient une évaluation de la sécurité réalisée par un expert ou organisme qualifié agréé par le Ministère en charge des Transports (EOQA). CERTIFER, organisme qualifié agréé pour les systèmes de transports guidés urbains et ferroviaires, a établi le 6 juin 2006 l'évaluation de la signalisation du réseau, intégrée au dossier de sécurité. Dans cette évaluation, CERTIFER pointe le risque de l'utilisation du poste en dehors de son fonctionnement nominal. Il recommande « d'interdire toutes les manoeuvres ou itinéraires non prévus dans les plans fonctionnels. Si l'exploitant manifeste le désir d'utiliser ces possibilités de manoeuvre, il devra produire une consigne d'exploitation qui 34 décrira l'ensemble des mesures particulières à prendre pour assurer la sécurité des circulations ». Mais cette remarque a conduit à considérer que ces situations ne se produiraient pas. Il nous semble que la manoeuvre de la nacelle travaux entre pourtant dans ce cadre. De même, l'organisation de circulation en mode dégradé relève de cette catégorie. CERTIFER pointe aussi le risque du « retour automatique des aiguilles sur les itinéraires à tracé prioritaire » et le manque de clarté sur la possibilité de coupure de ceux-ci. Le risque de mouvement inopiné des aiguilles est bien identifié, et la parade par coupure de celles-ci également. Cela n'a pas été traduit en consignes d'utilisation aptes à assurer la sécurité. Il semble donc que les alertes et recommandations signalées par CERTFIER n'ont pas été suivies d'un travail d'approfondissement et de transcription dans les règles de sécurité. Les consignes et procédures correspondantes, de nature à gérer les risques, n'étaient pas en place lors de l'accident en avril 2014. 3.4.4 - L'évaluation permanente du niveau de sécurité Le RSE* prescrit, conformément à la réglementation, la production d'évaluations régulières annuelles de la sécurité. Celles-ci sont effectivement réalisées par Transvilles. L'examen des analyses annuelles de sécurité, transcrites dans les rapports annuels de sécurité, montrent une prépondérance très forte des problématiques de cohabitation entre les tramways et les circulations routières et piétonnes. Ces questions sont effectivement dominantes. L'attention sur le comportement, la formation et le contrôle des conducteurs est en conséquence prépondérante. Viennent ensuite, dans l'ordre des préoccupations, les enjeux de maintenance et de risque électrique. Les sujets tels que les pratiques des agents de circulation, les risques et les incidents les affectant, leur formation, leur contrôle, ne sont d'une façon générale pas abordés. En conclusion, il apparaît que les modes opératoires à mettre en oeuvre au PCC en situation dégradée, sont au sein des documents d'exploitation peu développés. La formation et le suivi des opérateurs est similaire. Les opérateurs sont placés dans une situation d'impréparation et de risque au regard de la sensibilité et de la complexité de l'installation. L'évaluation permanente du niveau de sécurité ne détecte pas ces déficits. * Terme figurant dans le glossaire 35 4 - Déroulement chronologique de l'accident Dans la nuit du 10 au 11 avril 2014, à 0h03, la nacelle automotrice de travaux sort du dépôt de Saint-Waast pour la maintenance de l'infrastructure. Elle revient à 1h55. Pour permettre les échanges entre le dépôt et les voies principales, aucun itinéraire n'est commandé du PCC. Les aiguillages sont manoeuvrés à pied d'oeuvre manuellement. Pendant toutes ces opérations, bien que non tenu, le poste de signalisation est activé. Il adresse plusieurs messages de discordance d'aiguillage et enregistre plusieurs occupations de zones sans libération. À l'issue des manoeuvres de la nacelle, trois zones de transit fictives n'ont pas été libérées et sont affichées occupées au TCO : la ZT 22, la ZT 20, et la ZT 16/23. Ces zones ne sont en réalité occupées par aucune circulation. À 4 h, à la prise de service au PCC, le TCO affiche toujours les trois zones de transit fictives comme occupées. Afin de sortir les rames du dépôt, pour leur service commercial, le régulateur actionne la fonction de libération des zones de transit indûment occupées. La zone ZT 22 se libère, puis la zone ZT 20 également. Il ne parvient pas à libérer la zone ZT 16/23 qui couvre la communication entre la voie 2 et la voie 1 à la sortie du dépôt. Sa libération est rendue impossible à cause d'une erreur de programmation du poste, qui remonte à sa construction. L'erreur n'a jamais été corrigée par le passé, malgré l'occurrence répétée d'anomalies symptomatiques. Le régulateur décide alors de sortir une rame en mode dégradé, s'attendant à « forcer » la libération de la zone 16/23. Ce procédé, qui n'est décrit dans aucune procédure, est pourtant habituel. L'itinéraire de sortie du dépôt vers la voie 1 ne peut être commandé du fait de l'occupation de la ZT 16/23 située sur le trajet. Les aiguillages de l'itinéraire sont donc manoeuvrés à pied d'oeuvre, en manuel. Le conducteur de la rame 403 qui s'est présenté, reçoit l'ordre de franchir le signal fermé S30. L'automatisme de commande n'est pas inhibé pendant toutes ces opérations. À 4h29, la rame 403 sort en franchissant le signal de sortie resté fermé. Dans son parcours des circuits de voie qui jalonnent son trajet, elle va, pendant un court instant, libérer l'intégralité des zones préalablement occupées. Toutes les conditions ne sont toutefois pas complètement réunies pour un rétablissement automatique et normal de l'itinéraire prioritaire de continuité des voies principales, car une sécurité logiciel empêche la manoeuvre automatique des aiguillages SWA 1 et SWA 2 avant le passage d'une première circulation. La zone ZT 16/23 est à nouveau affichée « occupée » au TCO après le passage de cette première rame. À 4h37, la rame 417 se présente et s'arrête au signal S30 qui est fermé. L'opérateur du PCC ne peut toujours pas tracer un itinéraire de sortie vers la voie 1. Il décide une nouvelle fois de faire franchir le signal fermé. L'agent de maîtrise d'astreinte se déplace au pied des aiguillages pour les manoeuvrer en manuel. Les aiguillages SWA 2 et SWA 1, qui assurent la communication entre la voie 2 et la voie 1, sont déjà en position déviée et ne sont pas manoeuvrés. 37 À 4h40, le conducteur de la rame 417 reçoit l'ordre de franchir le signal de sortie du dépôt S30 qui est fermé. Il s'engage vers la voie 2, puis sur la communication vers la voie 1. Dans son parcours, la rame va de nouveau, pendant un court instant, libérer l'intégralité des zones préalablement occupées. Toutes les conditions sont alors réunies pour engager un rétablissement automatique et normal de l'itinéraire prioritaire de continuité des voies principales. Les aiguilles SWA 2 et SWA 1 manoeuvrent automatiquement en position « voie directe ». La rame est seulement en train de passer sur la communication. À la suite du mouvement des aiguillages, l'arrière de la rame 417 qui est encore sur la voie 2, poursuit sa course sur la voie 2. La rame circule ainsi en partie sur la voie 2 et en partie sur la voie 1. Le conducteur accélère en l'absence de comportement suspect. La rame heurte, 70 mètres plus loin, le premier poteau support de la LAC, au niveau de la 4e caisse. Elle se disloque et s'arrête. 38 5 - Analyse des causes et facteurs associés, orientations préventives et conclusion 5.1 L'arbre des causes 39 5.2 - Les causes de l'événement L'accident par bi-voie de la rame de tramway 417 a été provoqué par le mouvement de l'aiguillage SWA 2 sous la rame, consécutivement au rétablissement automatique de la continuité des voies principales après que la zone de transit couvrant cet appareil de voie se soit libérée en présence de la rame sur celle-ci. Quatre raisons ont successivement provoqué cette situation : la circulation nocturne d'une nacelle de travaux sur des itinéraires non commandés, qui a provoqué l'occupation de nombreuses zones de transit sans les libérer dans l'automatisme du PCC, laissant à la prise de service du matin, de multiples anomalies sur l'occupation des voies ; l'existence d'une erreur de programmation dans le logiciel d'exploitation du poste, jamais corrigée malgré plusieurs occurrences, qui a empêché l'annulation d'une zone occupée et qui a notablement complexifié les actions à mettre en oeuvre par les opérateurs ; la faiblesse de l'organisation des circulations en mode dégradé (hors commande d'itinéraire), sans documentation et sans application de mesures strictes pour garantir la sécurité ; le passage des circulations en mode dégradé sur des aiguillages sans déverrouillage, c'est-à-dire sans inhibition des mouvements pouvant être provoqués par l'automatisme. Sur ces quatre raisons, les deux premières ont simplement provoqué un dérangement qui aurait dû mettre en alerte les opérateurs, et face auquel ceux-ci ont eu à initier une stratégie de contournement. Les deux autres raisons, relatives à la mise en oeuvre d'une solution de contournement en dehors de toute précaution de sécurité, ont clairement conduit à l'accident. 5.3 - Le manque de documentation de référence au PCC pour l'organisation des circulations en sécurité Lorsque, à sa prise de service au PCC, le régulateur découvre 3 zones de transit indûment occupées au TCO, il met tout de suite en oeuvre une première action qui est légitime : aucune rame n'étant présente sur le périmètre de la sortie du dépôt, il utilise les annulateurs de ces ZT à sa disposition. Lorsque, par la suite, l'annulation de la ZT 16/23 lui est impossible, il en conclut, encore à bon escient, que l'installation est en dérangement. Les opérations qu'il effectue après cela sont plus hasardeuses : il organise le passage d'une rame dans l'espoir de « réamorcer » le système, et ce mode opératoire, bien que déjà pratiqué auparavant, ne correspond à aucune instruction formelle et documentée ; de façon beaucoup plus critique, il organise ce mouvement en mode dégradé sans prendre de précaution et sans respecter une logique qui lui permette de garantir la sécurité de la circulation. Il ne suit pas de procédure pour la simple raison qu'il n'en dispose pas parce qu'elle n'existe pas. Il apparaît ainsi que les modes opératoires mis en oeuvre au PCC n'intègrent pas suffisamment les risques. La documentation concernant la gestion des circulations est 40 imprécise et peu développée. La formation et le suivi des opérateurs du PCC est similaire. L'évaluation permanente du niveau de sécurité ne délivre pas les alertes correspondantes. L'installation qui équipe le PCC est d'inspiration ferroviaire, dite de type à « commandes d'itinéraires ». La sécurité d'un tel poste est assurée lorsque les itinéraires sont commandés. Lorsque la commande d'itinéraire ne peut pas être obtenue, la sécurité n'est plus assurée par l'automatisme. Il convient alors de mettre en place des mesures garantissant un niveau de sécurité au moins comparable. Ces mesures sont à décrire. Elles le sont, classiquement dans le ferroviaire, au sein d'une consigne d'exploitation de poste qui prescrit les modes opératoires en mode nominal et en mode dégradé (dérangements). Ces consignes d'exploitation, lorsqu'elles existent, et qu'elles sont écrites par des hommes de l'art, identifient assez prioritairement le risque de mouvement des aiguillages en cas de non-enclenchement d'un itinéraire. Elles prescrivent dans cette situation que les aiguillages de l'itinéraire non commandé à parcourir soient immobilisés par tous les moyens disponibles (moteur débrayé, fusible ôté... selon le type d'installation). Sur le réseau de Valenciennes, il existe au moins deux manières d'immobiliser les aiguilles qui ont été citées en cours d'enquête : l'ouverture des trappes de manoeuvre des aiguillages, qui déverrouille ceux-ci vis-à-vis de leur commande automatique et le dispositif d'inhibition du poste, sous la forme d'un commutateur sur l'armoire du poste, qui neutralise la commande électrique des aiguillages et ferme les signaux. Mais au PCC de Valenciennes, la consigne d'exploitation de poste n'existe pas. Elle fait défaut. Face au risque, les opérateurs ne sont ni préparés, ni outillés. CERTIFER, dans son évaluation de la sécurité de la signalisation lors de la mise en service de la ligne de tramway, avait identifié l'importance de consignes pour renforcer la sécurité dans les situations non nominales. Cela n'a pas été suivi d'effet. Le management devrait déployer plus d'exigence à l'accompagnement de la sécurité. Cela doit porter sur la fourniture de ces consignes précises, sur la formation des personnels aux consignes, sur le suivi de la pratique des agents et du fonctionnement des installations. Ce cercle vertueux nous semble avoir pour socle la constitution d'une documentation décrivant l'organisation en sécurité des circulations au PCC en mode nominal et en mode dégradé. Le BEA-TT émet ainsi la recommandation suivante : Recommandation R1 (Transvilles) : Renforcer la sécurité de l'exploitation au PCC par l'écriture d'une consigne d'exploitation définissant clairement l'organisation en sécurité des circulations pour le mode nominal et pour le mode dégradé (dérangements). 5.4 - Les règles locales pour la circulation des engins de maintenance La circulation d'une nacelle de travaux la nuit précédant l'accident est le facteur initial qui a conduit à l'événement. Ce sont les conditions de réalisation de cette circulation qui ont provoqué des affichages erronés au TCO et qui ont mis en difficulté l'opérateur du poste à sa prise de service. 41 La mise en oeuvre de cette circulation aurait du être mieux préparée tant du point de vue des opérations à effectuer par les agents en charge de la maintenance, que par ceux en charge de l'exploitation. Sur le plan de la sécurité, la démarche normale à suivre est : prévoir les mesures à adopter pour effectuer la circulation ; anticiper les conséquences de ces mesures, prévoir les moyens tant humains que techniques pour remettre les installations en mode nominal. S'il est envisageable d'effectuer les mouvements de la nacelle sans commande d'itinéraire et sans surveillance particulière au PCC, comme cela a été fait, les conséquences sur l'automatisme des mouvements sont en revanche à anticiper, et les dispositions pour les effacer, à prévoir et à réaliser. Une telle démarche de sécurité n'était pas en place le 11 avril 2014. Le BEA-TT émet ainsi la recommandation suivante : Recommandation R2 (Transvilles) : Décrire l'organisation de la circulation des engins de maintenance en dehors du cadre d'une circulation commandée du PCC, ainsi que les mesures à prendre pour revenir à la situation nominale. 5.5 - Le cadre réglementaire national La recommandation R1 nous conduit naturellement à nous interroger sur la consistance du cadre réglementaire qui régit les zones de manoeuvre des réseaux de tramway et qui s'imposerait aux exploitants. Il n'y a pas de réglementation spécifique. Exploitants et constructeurs ont toute liberté de proposer les solutions qui leur paraissent optimales selon leurs considérations industrielles, sécuritaires et financières. Le Service technique des remontées mécaniques et des transports guidés (STRMTG), service de contrôle des exploitants des transports guidés, procède cependant actuellement, avec l'appui de la profession, à l'écriture d'un guide sur la « Sécurité des zones de manoeuvre de tramways », destiné à l'ensemble des acteurs du secteur. L'embranchement du dépôt de Saint-Waast entre dans le champ d'application du guide. Le BEA-TT invite ainsi le STRMTG à finaliser ce guide pour amener concepteurs, constructeurs et exploitants à renforcer la prise en compte de la sécurité dans ces zones de manoeuvre. Les travaux étant très engagés, la BEA-TT ne formule pas de recommandation. 42 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Relevé détaillé des opérations de l'automate 43 Annexe 1 : Décision d'ouverture d'enquête 45 Annexe 2 : Relevé détaillé des opérations de l'automate 47 48 49 50 51 Bureau d'Enquêtes sur les Accidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr