Auteur moral

France. Direction générale de l'aviation civile

Auteur secondaire

Résumé

Le <strong>Guide pour la réalisation d'une évaluation de la sécurité d'un changement du système fonctionnel d'un prestataire AFIS (ELISA)</strong> (édition 4, version 0 du 02/01/2024) propose une méthode pour évaluer la sécurité des changements. Il détaille les étapes de l'évaluation, la maîtrise des risques, et les moyens en réduction des risques, pour assurer la conformité et la sécurité des services AFIS.

Descripteur Urbamet

Descripteur écoplanete

Thème

Transports

Texte intégral

GUIDE POUR LA REALISATION D?UNE ELISA Méthodologie pour réaliser une évaluation de la sécurité d?un changement du système fonctionnel d?un prestataire AFIS Direction de la sécurité de l?Aviation civile Direction technique aéroports et navigation aérienne Édition no 4 Version no 0 Publiée le 02/01//2024 Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 2/14 Édition 4 Version 0 du [02/01/2024] Gestion documentaire Historique des révisions Edition et version Date Modifications Ed1V0 25/09/2019 Création Ed2V0 14/10/2019 Version pour relecture interne Ed2V1 17/10/2019 Version prenant en compte les remarques internes DSAC-IR Ed2V2 21/10/2019 Version prenant en compte les remarques internes SMN Ed2V3 25/10/2019 Version intégrant des modifications sur les évènements redoutés et les critères de suivi Ed3V0 28/11/2019 Version pour diffusion Ed4V0 02/01/2024 Modification du document en raison d?une modification du formulaire d?évaluation de la sécurité (ELISA). Suppression de la partie I qui est davantage relative à la procédure de gestion des changements SF et donc relève davantage de la NIT. Ajout en annexe de la gestion des versions du formulaire ELISA Approbation du document Nom Responsabilité Date Visa Jean-Michel VOYER Inspecteur de surveillance NA Rédacteur 28/12/2023 Antoine Hervé Chef du pôle SMN Vérificateur 28/12/2023 Yann Le Fablec Adjoint au directeur ANA Approbateur 02/01/2024 Pour tout commentaire ou suggestion à propos de ce guide, veuillez contacter la direction de la sécurité de l?aviation civile à l?adresse suivante : dsac-ana-smn@aviation-civile.gouv.fr mailto:%20dsac-ana-smn@aviation-civile.gouv.fr Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 3/14 Édition 4 Version 0 du [02/01/2024] Sommaire Gestion documentaire ............................................................................................................................................ 2 Historique des révisions ............................................................................................................................................ 2 Approbation du document ......................................................................................................................................... 2 Sommaire................................................................................................................................................................. 3 Introduction ............................................................................................................................................................. 4 I. Présentation de la démarche ELISA ..................................................................................................... 4 Partie 1. Périmètre du changement .......................................................................................................................... 4 Partie 2. Suivi du document ...................................................................................................................................... 4 Partie 3. Maintien de la conformité ........................................................................................................................... 5 Partie 4. Maîtrise des risques ................................................................................................................................... 5 Partie 5. Phase de transition..................................................................................................................................... 6 Partie 6. Vérification du changement ........................................................................................................................ 7 Partie 7. Assurance sécurité ..................................................................................................................................... 7 Partie 8. Décision ...................................................................................................................................................... 8 II. Emploi d?un autre moyen d?évaluation de la sécurité ........................................................................ 9 III. Notion de « Moyen en Réduction de Risques » ................................................................................. 10 IV. Liste des fonctions du système fonctionnel AFIS & classification des risques liés ..................... 11 Annexe I : Historique des versions du Formulaire ELISA ................................................................................ 13 Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 4/14 Édition 4 Version 0 du [02/01/2024] Introduction Le présent guide propose une méthode pour réaliser une évaluation de la sécurité d?un prestataire AFIS (démarche ELISA) qu?il complète par la fourniture de la liste des fonctions du système fonctionnel AFIS. Il rappelle en outre la notion de Moyens en Réduction de Risques. L?utilisation de ce guide et du formulaire ELISA associé constituent un moyen de conformité aux exigences applicables relatives à la réalisation d?une évaluation de la sécurité du règlement d?exécution européen (UE) 2017/373 du 1er mars 2017 dit «IR ATM/ANS ». I. Présentation de la démarche ELISA Afin de faciliter l?utilisation du formulaire ELISA, chaque partie de l?évaluation de la sécurité ELISA est présentée ci-dessous en détails. Partie 1. Périmètre du changement Cette rubrique permet au PSNA AFIS de préciser le périmètre concerné par son évaluation. Il lui est tout d?abord demandé d?indiquer la référence du changement en incluant a minima l?année du changement, et une numérotation issue du suivi interne du prestataire. Cette référence permet de pouvoir tenir à jour un suivi des différentes évaluations de sécurité réalisées sur l?année en cours. La définition de la nature du changement permet, elle, d?isoler la ou les composantes du système fonctionnel que le changement impactera (potentiellement, les trois composantes peuvent être concernées) : ? Humain (toute interaction de l?humain avec les éléments du système fonctionnel) : méthodes de travail, charge de travail, gestion IHM, application des consignes, etc? ; ? Procédures (suivies par les agents AFIS dans l?accomplissement de leurs fonctions liées à la fourniture des services d?information de vol et d?alerte) : par exemple modification de l?espace aérien et/ou des procédures de vol (IFR/VFR), modification des procédures opérationnelles, etc? ; ? Équipement : installation et utilisation d?un nouvel équipement, modification d?un système existant, intervention programmée. La durée du changement peut être permanente (cas d?un changement à caractère définitif), ou temporaire. Le format de dates/heures proposé dans l?ELISA peut être modifié et/ou simplifié si le PSNA le juge pertinent. Le prestataire indique ensuite si le changement sera examiné par la DSAC. Equipements techniques impactés (Conformité des équipements) doit également être renseigné dans ce chapitre et les documents de preuve doivent y être référencés. Cette référence est obligatoire avant signature du responsable du changement. La description du changement a pour but d?expliciter de façon claire et détaillée le changement en incluant également des informations sur ses raisons et une présentation de son contexte. Les bénéfices attendus sont ceux escomptés par la mise en service du changement. Le prestataire ne devra pas se limiter aux seuls bénéfices sécurité (ex : manifestation aérienne, modernisation d?équipements). Enfin, la rubrique « Coordination avec les autres entités impactées » permet de mettre en évidence les impacts du changement sur des entités extérieures, dont la nature peut varier (exploitants d?aérodromes, SNA, exploitants aériens, assistants en escale, prestataire météo ou autre). Il est demandé de préciser pour chaque entité impactée le résultat de ces coordinations (actions prises, décisions). Partie 2. Suivi du document La gestion des différentes versions du formulaire ELISA et l?objet de ces versions figurent dans ce tableau du formulaire ELISA. Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 5/14 Édition 4 Version 0 du [02/01/2024] Partie 3. Maintien de la conformité Conformément à l?AMC1 ATS.OR.205(b)(5) le prestataire doit prévoir dans sa procédure de gestion des changements du système fonctionnel la vérification qu?aucune non-conformité réglementaire n?est introduite lors de la mise en oeuvre d?un changement. Pour cela, le PSNA peut s?appuyer sur la matrice de conformité proposée par la DSAC (cf. site du ministère : https://www.ecologie.gouv.fr/afis-aerodrome-flight-information-service). Tout autre moyen permettant de tracer cette vérification est acceptable. Le PSNA doit tenir à la disposition de l?autorité territorialement compétente la preuve de vérification du maintien de la conformité. Partie 4. Maîtrise des risques La maîtrise des risques s?effectue par évènement redouté (ER). Une page, composée d?un tableau synthétisant l?ensemble de la démarche d?identification et de maîtrise, est attribuée à chaque évènement redouté. L?ajout ou le retrait d?évènements redoutés à l?évaluation de la sécurité se fait par simple ajout ou suppression d?une nouvelle page (copier-coller de la page Évènement redouté). L?ensemble des évènements redoutés permet de dresser une cartographie exhaustive des risques liés au changement. Description de l?évènement redouté : Identification des évènements redoutés affectant le service AFIS et ayant un impact sur la sécurité. Le prestataire pourra utiliser la case description pour apporter des précisions. Il devra préciser ensuite la/les fonction(s) AFIS impactée(s) par cet évènement redouté. Les informations suivantes sont à renseigner : ? Identification des causes et des conséquences de l?évènement redouté. Celles-ci doivent permettre de comprendre de façon claire et non-ambiguë en quoi le changement peut générer, pour la fonction identifiée, l?évènement redouté. ? Détail des Moyens en Réduction de Risques (MRR) mis en place pour cet évènement redouté. La notion de MRR est explicitée en détail au chapitre IV du présent guide. Pour chaque évènement redouté, le PSNA AFIS peut proposer un ou plusieurs MRR. Il distinguera les MRR de prévention et de protection en les inscrivant dans les cartouches correspondants, en s?aidant au besoin des explications du chapitre IV. Il attribuera à chaque MRR une référence (MRR 1, MRR 2?). Un MRR peut concerner plusieurs évènements redoutés : l?emploi de cette référence est donc important pour le mettre en évidence (le même MRR pourra figurer à plusieurs endroits). Il détaillera à la suite de chaque référence la nature et le principe du MRR de façon claire. L?ensemble des MRRs de prévention devra permettre de justifier l?établissement de la fréquence d?occurrence. Si nécessaire, le prestataire pourra ajouter des éléments de justifications supplémentaires sous la forme de texte libre dans chacun des paragraphes. ? Il établit ensuite la gravité après application des MRR de protection de l?évènement redouté. Celle-ci représente la gravité des conséquences probables de cet évènement redouté. Il s?aide pour cela de la grille d?évaluation de la gravité annexée à la fin de l?ELISA, et s?appuie sur les gravités indicatives présentes dans la liste des fonctions du chapitre V du présent guide, qui lui permettent d?avoir une base à son évaluation de la gravité. https://www.ecologie.gouv.fr/afis-aerodrome-flight-information-service Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 6/14 Édition 4 Version 0 du [02/01/2024] ? Puis il définit une fréquence d?occurrence après l?application des MRR de prévention. Afin d?aider le prestataire dans cette définition, une matrice est fournie en annexe de l?ELISA qu?il pourra adapter en fonction de son contexte opérationnel (périodes d?ouvertures, durée du changement,?) ? Ces deux valeurs permettent de rentrer dans la matrice d?acceptabilité illustrée ci-après, également annexée à la fin de l?ELISA. Grâce à elle, le PSNA AFIS détermine pour chaque évènement redouté l?acceptabilité ou non du risque après application des MRR. Dans le cas où un évènement redouté demeure inacceptable, le changement ne peut pas être mis en oeuvre. Matrice d?acceptabilité du risque après action en réduction de risques Partie 5. Phase de transition Certains changements peuvent être simples à être mis en oeuvre ou comporter une simple phase de transition qui n?amène pas de traitement particulier. En revanche d?autres seront plus complexes. Il convient alors de s?attarder sur la ou les phases de transition de ces changements en s?interrogeant sur : 1. La stratégie de mise en oeuvre du changement. Il s?agit de déterminer les différentes étapes conduisant à la mise en oeuvre finale du changement (exemples : phases d?étude, de travaux, d?expérimentation, pérenne, ?) 2. La difficulté d?un retour en arrière (retour simple, complexe, impossible) Le « retour en arrière » correspond à la démarche qui pourrait être envisagée dans le cas où un problème venait perturber la mise en oeuvre du changement, et amenait le prestataire à avorter celui-ci pour revenir à l?état précédent du système. Il convient ensuite: 1. D?identifier les évènements redoutés liés aux différentes phases de transition ; 2. D?identifier les MRR propres à ces phases de transition. Les événements redoutés liés à cette phase de transition seront identifiés dans cette partie de l?ELISA conformément au modèle du chapitre 4 « Maitrise du risque » du formulaire, les MRR(s) mis en oeuvre seront reportés dans le tableau du chapitre 6. « Vérification du changement » du formulaire. Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 7/14 Édition 4 Version 0 du [02/01/2024] Partie 6. Vérification du changement Cette partie permet de détailler la mise en oeuvre de chacun des MRR précédemment détaillés au sein des tableaux de maîtrise des risques par évènement redouté de la partie 4 et ceux de la transition de la partie 5. Le remplissage du tableau s?effectue ainsi : 1) Le PSNA AFIS commence par rappeler la référence de chaque MRR. 2) Il reporte ensuite dans la seconde case le ou les évènement(s) redouté(s) concerné(s) ou la phase de transition concerné par ce MRR. 3) Il indique dans la troisième case le nom du responsable de la mise en oeuvre du MRR. Il s?agit de la personne en charge de la mise en oeuvre de ce MRR. 4) Il précise la date de réalisation ou l?échéance prévue de réalisation de la mise en oeuvre de ce MRR. 5) Il indique en cinquième case le moyen de preuve qui permettra de s?assurer de la mise en oeuvre du MRR. Ce moyen peut prendre la forme d?un document écrit, d?un courriel, d?un échange ou de tout autre moyen jugé opportun (feuilles d?émargement à une formation, comptes rendus de réunions, consignes opérationnelles, protocoles/LOA, publications d?information aéronautique, ?). En cas d?examen du changement, l?autorité territorialement compétente pourra exiger les moyens de preuve en question. 6) Il peut faire part de ses éventuels commentaires divers relatifs à ce MRR et à sa mise en oeuvre dans la dernière case. 7) Il renseigne enfin le statut du MRR, via un choix dans un menu déroulant (En cours de réalisation / Réalisé / Non Réalisé). Partie 7. Assurance sécurité Un bilan de sécurité sera réalisé par le PSNA AFIS après la mise en oeuvre du changement afin d?analyser la validité des éléments contenus dans l?évaluation de la sécurité. Cette analyse portera notamment sur : - La juste définition du périmètre du changement ; - L?occurrence de nouveaux ER ; - La correcte évaluation « occurrence/gravité » des ER identifiés ; - La pertinence et/ou l?efficacité des MRR(s) mis en oeuvre. Ce bilan pourra s?appuyer sur l?analyse des événements de sécurité en lien avec le changement considéré ainsi que sur des éléments issus de la consultation des usagers réguliers de la plate-forme. L?échéance de réalisation de ce bilan sera fixée en fonction de la nature du changement. En cas d?examen par l?autorité territorialement compétente et en fonction de la nature du changement (ampleur, complexité, changement récurrent...), celle-ci pourra demander la transmission de ce bilan de sécurité. Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 8/14 Édition 4 Version 0 du [02/01/2024] Partie 8. Décision La partie 8 ?Décision? est renseignée par le responsable de l?évaluation de la sécurité et le responsable du changement qui complètent et visent le document final dans les cartouches qui leur sont dédiés selon les modalités suivantes : ? Pour le responsable de l?évaluation de la sécurité, il s?agit de conclure sur l?acceptabilité de l?évaluation de la sécurité au regard des évènements redoutés identifiés et des MRR proposés. ? Pour le responsable du changement, il s?agit de décider de la mise en oeuvre ou non du changement. La formulation de sa décision doit être claire, elle prendra la forme suivante : Favorable Le responsable du changement juge que le changement peut être mis en oeuvre en l?état, le risque étant suffisamment maîtrisé. Dans le cas d?un changement suivi, cette mise en service ne pourra intervenir qu?après approbation de la DSAC. Défavorable Le responsable du changement juge qu?en l?état, la mise en oeuvre du changement est impossible. Le risque n?est en effet pas suffisamment maîtrisé, et ne permet pas de garantir la sécurité des acteurs et organismes impactés. Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 9/14 Édition 4 Version 0 du [02/01/2024] II. Emploi d?un autre moyen d?évaluation de la sécurité L?emploi des documents fournis par la DSAC ne constitue en rien une obligation pour les PSNA AFIS. Toutefois, elle représente de facto un moyen acceptable de conformité dans le cadre de l?évaluation des risques liés aux changements AFIS. Dans le cas où un PSNA AFIS souhaite utiliser ses propres moyens d?évaluation de la sécurité, il doit préalablement les soumettre à l?autorité territorialement compétente. Il y joindra une démonstration de conformité aux exigences réglementaires, qui fera l?objet d?un examen attentif de la part de l?autorité et constituera un support de travail dans le cadre de l?acceptation de ces moyens. A titre informatif, cette démonstration devra a minima faire référence aux exigences suivantes tirées de l?IR ATM/ANS et des AMC associés : ? ATM/ANS.OR.A.040 ? ATM/ANS.OR.A.045 ? ATM/ANS.OR.B.010 ? ATS.OR.200 ? ATS.OR.205 ? ATS.OR.210 Dans tous les cas, le prestataire devra fournir la matrice de conformité complétée lors de sa demande d?approbation de sa procédure de gestion des changements du système fonctionnel. Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 10/14 Édition 4 Version 0 du [02/01/2024] III. Notion de « Moyen en Réduction de Risques » Toute démarche de gestion du risque nécessite d?identifier préalablement les évènements précurseurs (causes potentielles d?évènement redouté), le danger en lui-même, et sa conséquence ultime. À travers ses différentes étapes, la démarche ELISA permet de mettre en évidence le parcours du risque qu?induit un changement sur le système fonctionnel AFIS. L?application de Moyens en Réduction de Risques (MRR) permet de jouer sur le degré de gravité et sur la fréquence d?occurrence des évènements redoutés. Deux types de MRR sont à différencier, et peuvent être combinés ou non (pas d?obligation de présenter à la fois des MRR de prévention et de protection) : ? Les MRR dits de « prévention », qui interviennent en amont de l?apparition de l?évènement redouté. ? Les MRR dits de « protection », qui interviennent en aval de l?apparition de l?évènement redouté. Le modèle du « noeud en papillon » permet d?illustrer toutes ces notions selon un schéma très simple : En agissant sur la fréquence d?occurrence de l?évènement redouté, le MRR de prévention permet de se déplacer horizontalement dans la matrice d?acceptabilité du risque, en réduisant cette fréquence. Le MRR de protection permet de diminuer la gravité d?un évènement redouté qui surviendrait tout de même, et permet de ce fait de se déplacer verticalement dans la matrice d?acceptabilité du risque. Il est à noter que ce type de MRR ne peut pas s?appliquer à des évènements redoutés qui ne seraient pas perçus par les opérateurs lors de leur apparition. Il est en effet impossible d?agir a posteriori sur un évènement redouté dont la présence n?est pas connue (et pouvant ainsi s?aggraver sans qu?il en soit pris conscience). Danger Causes Conséquences MRR de prévention MRR de protection Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 11/14 Édition 4 Version 0 du [02/01/2024] IV. Liste des fonctions du système fonctionnel AFIS & classification des risques liés Ce document dresse une liste de l?ensemble des fonctions qu?un changement du système fonctionnel AFIS peut impacter. Il a valeur de référence dans le cadre de la rédaction d?une ELISA. Les fonctions sont issues d?un travail national, et de l?arrêté dit «RCA 3» du 21 avril 2017. Cette liste associe à chaque fonction des degrés de gravité indicatifs. Ces gravités peuvent servir de base à la réflexion du prestataire qui, à partir de ces éléments, pourra en fonction de son propre contexte opérationnel établir le niveau de gravité de chacune de ses fonctions. Un lien est également fait avec les évènements ultimes : Éléments Ultimes Impact sans perte de contrôle (Controlled Flight Into Terrain, CFIT) Collision en vol (Mid-Air Collision, MAC) Collisions sur piste (Runway Collision, RC) Collision sur taxiway (Taxiway Collision, TC) Accident induit par la turbulence de sillage (Wake Induced Accident) Sortie de piste (Runway Excursion, RE) Fonction Gravité indicative Evènement(s) Ultime(s) Fourniture d?informations météorologiques 4 - Significatif CFIT RE Fourniture d?information trafic relatives aux aéronefs dont la présence est connue dans la circulation d?aérodrome ou en train d?effectuer une approche aux instruments 3 - Majeur MAC RC TC Accident induit par la turbulence de sillage Fourniture d?information sur les autres activités aéronautiques susceptibles d?intéresser les usagers 4 - Significatif MAC RC TC Fourniture de renseignements sur l?état de l?infrastructure aéroportuaire, l?état de l?aire de manoeuvre, le fonctionnement des aides visuelles et radioélectriques, l?existence de travaux, la présence d?obstacles sur la plateforme ou à proximité 4 - Significatif RC TC RE Détermination de la piste en service 3 - Majeur RC RE Mise en place des signaux au sol 4 - Significatif CFIT Mise en fonctionnement des aides visuelles 4 - Significatif CFIT Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 12/14 Édition 4 Version 0 du [02/01/2024] Surveillance de l?aire de manoeuvre, du circuit de piste et de ses abords 3 - Majeur TC Prise de mesure face à panne ou anomalie 4 - Significatif Tous (suivant panne) Relais d?information CA entre les usagers et un service de contrôle 3 - Majeur MAC Fourniture du service d?alerte aux aéronefs dont la présence est connue 3 - Majeur Tous (aggravation des conséquences) Guide DSAC Guide pour la réalisation d?une Elisa Édition 4 Page : 13/14 Édition 4 Version 0 du [02/01/2024] Annexe I : Historique des versions du Formulaire ELISA Edition et version Date Modifications V3.7 25/09/2019 Création V4.0 28/12/2023 Ajout du maintien de la conformité règlementaire Modification de la partie sur l?assurance sécurité Modification de la partie sur les phases de transition d?un changement Suppression de la possibilité de déterminer les évènements redoutés par le prisme des fonctions impactés Direction générale de l?Aviation civile Direction de la Sécurité de l?Aviation civile 50, rue Henry Farman 75720 PARIS CEDEX 15 Tél. : +33 (0)1 58 09 43 21 www.ecologie.gouv.fr