Retour au menu
Retour au menu
Le near miss du Viking Sky
Un retour d'expérience important pour les capitaines et les officiers mécaniciens de la Marine marchande
Page du code ISM Nº 65
 
Contenu : Avis d'un ex-capitaine de navire à passagers sur les résultats du rapport définitif de la NSIA (BEA norvégien) en mars 2024. Ceci complète l'article du même auteur publié dans la rubrique "accidents" sur le site de l'AFCAN en février 2020, suite au rapport provisoire.

RAPPEL : Dans l'après-midi du 23 mars 2019, le navire de croisière "Viking Sky" a subi un black-out, entraînant une perte de propulsion et de gouverne, lors d'une tempête dans la région d'Hustadvika, sur la côte norvégienne. On estime que le navire a failli s'échouer avec 1 374 personnes à bord, et l'incident aurait pu se transformer en l'une des pires catastrophes en maritime des temps modernes.
L'enquête a identifié des problèmes de sécurité opérationnels, techniques et organisationnels qui ont contribué de différentes manières à la mise en danger du navire et des personnes à bord.

Historique du near miss

Le black-out a été causé par un manque d'huile de lubrification dans les carters des 3 générateurs diesel en fonctionnement, combiné avec les mouvements de tangage et de roulis importants dans une mer grosse (mer 7 - vent force 9). La récupération après le black-out a pris beaucoup de temps, et il a fallu 39 minutes à partir de la panne jusqu'à ce que les deux moteurs électriques de propulsion soient opérationnels et que le navire dispose de suffisamment de puissance pour maintenir entre 1 et 5 nœuds "au vent" afin de pouvoir procéder à des évacuations de près de 480 passagers par hélitreuillage, jusqu'au retour de la puissance suffisante pour arrêter l'évacuation et faire route en toute sécurité vers un port. Des exercices de black-out avaient été effectués sur ce navire âgé de 3 ans, mais la récupération après une panne totale, sans générateur de secours, n'avait jamais été réalisée à bord. Les mécaniciens se sont donc retrouvés confrontés à une situation qu'ils n'avaient pas l'habitude de gérer ou qu'ils ne connaissaient pas. La situation était stressante, le système de contrôle de la répartition des charges sur les GE était complexe et une séquence d'actions spécifiques était nécessaire mais semblait inconnue des mécaniciens.
 

Si on prend ce rapport sous l'angle de la conformité au code ISM prétendue par l'opérateur, voici ce que l'on découvre :

1er retour d'expérience : une familiarisation insuffisante des officiers mécaniciens au navire a probablement contribué à expliquer pourquoi la reprise a pris autant de temps mettant ainsi le navire et les personnes à bord en danger : non-conformité au paragraphe 6.3 du code ISM).
Non-conformité majeure N°1

Le Viking Sky a quitté Tromsø le 21 mars 2019, avec un générateur diesel indisponible sur quatre, pour un problème de turbocompresseur à régler dès le 1er port. L'équipage et les passagers ont été, sans le savoir, exposés à un risque accru car le navire ne disposait pas à ce moment-là de la redondance requise par la réglementation sur "le retour en sécurité au port" (SRtP).

2e retour d'expérience : erreur du capitaine du navire. Comme le Viking Sky ne respectait pas les normes de sécurité SRtP applicables, il n'aurait pas dû quitter Tromsø. Dans les circonstances présentes "il n'était pas en état de navigabilité" selon l'expression bien connue de la réglementation maritime et notamment au vu des très mauvaises conditions atmosphériques qu'il connaissait.
Le SMS de la compagnie de management qui gérait entièrement le navire du point de vue technique et navigation ne comprenait pas d'instructions spéciales sur le SRtP en cas d'indisponibilité d'un GE :
Non-conformité majeure N°2

Principales explications du black-out

Le Viking Sky a subi un black-out lorsque les trois générateurs diesel en marche ont été automatiquement stoppés par leurs systèmes de protection en réponse à de faibles pressions d'huile de lubrification répétitives au roulis. La faible pression d'huile de lubrification initiale était d'abord due aux faibles niveaux dans les carters, en combinaison avec les mouvements du navire, ce qui exposait à l'air la prise du tuyau d'aspiration de la pompe à huile de circulation. Le navire était dans un coup de vent et une mer grosse, comme prévu, alors que les mouvements du navire, au moment du premier arrêt du moteur étaient nettement inférieurs aux critères de conception, c'est-à-dire que les arrêts sont dus à l'insuffisance du volume d'huile dans les carters.

3e retour d'expérience : erreurs du chef mécanicien
  • Depuis le départ de Tromsø deux jours auparavant, aucun appoint d'huile n'avait été effectué dans les carters des diesels générateurs électriques, alors que les alarmes de faible niveau d'huile se sont déclenchées pour le GE2 et le GE4 pendant le voyage.
    Non-conformité majeure N°3
  • De plus la check-list de contrôle de gros temps, comprenait une demande que les niveaux des carters soient optimisés et, summum des erreurs, des appoints ont été enregistrés comme ayant été effectués. Au titre du code ISM cette fausse entrée est une non-conformité majeure.
    Non-conformité majeure N°4
 

De plus, aucun des navires de la flotte de cinq navires jumeaux n'avait reçu d'instructions sur les niveaux de remplissage corrects des carters ou des consignes en cas d'alarme. En juin 2016, c'est-à-dire 3 ans auparavant, les mécaniciens à bord du navire jumeau Viking Sea ont demandé à MAN des informations concernant les niveaux d'huile recommandés. MAN n'a pas pu donner de réponse claire car les réservoirs ont été conçus par le chantier naval et non par lui (sic !). L'organisation à terre de la société de gestion du navire (Wilhelmsem management) a été informée de l'échange de courriers électroniques entre le Viking Sea et MAN.
Cependant, aucune directive sur les niveaux de remplissage corrects ou les points de réglage des alarmes n'ont été émises par la société de gestion sur le système de surveillance du niveau du réservoir d'huile de lubrification. Ces mesures de niveau étaient complexes et les résultats étaient inexacts ou peu fiables. "L'équipe des mécaniciens à bord du Viking Sky avait progressivement perdu confiance dans le système de surveillance à distance". Étant donné que les alarmes de niveau étaient générées par ces mesures, l'équipage n'a donc pas considéré les alarmes de niveau comme une véritable indication du niveau réel en un mot : elles étaient considérées comme des fausses alarmes.

4e retour d'expérience : procédures maintien du niveau d'huile GE insuffisantes et alarmes niveau bas inadéquates. Les problèmes de sécurité liés à la gestion du niveau d'huile de lubrification observés à bord étaient probablement le résultat de problèmes de sécurité organisationnels du SMS lui-même : manque d'information et de vérifications croisées ciblés.
Non-conformité majeure N°5

La combinaison de considérations économiques, de sous-estimation de la consommation d'huile, du manque de confiance dans le système de surveillance du niveau des carters et du manque d'instructions concernant les points de consigne corrects de remplissage et d'alarme, a probablement entraîné une diminution des niveaux d'huile de lubrification et des réglages d'alarme au fil du temps.
Le chantier naval, la société de classification et SINTEF Ocean ont mené des analyses indépendantes de dynamique des fluides computationnelle (CFD) sur la conception des carters des groupes électrogènes suite à l'accident. Tous trois ont indiqué qu'il existait des situations, dans les paramètres des critères de conception, où le tuyau d'aspiration d'huile lubrifiante était susceptible d'être exposé à l'air. Notamment, la conception du puisard d'huile de lubrification n'était pas conforme aux exigences SOLAS relatives à l'exploitation sûre sous une inclinaison/gîte du navire (SOLAS chapitre II-1, partie C, règle 26.6).

Les simulations utilisant le mouvement du navire enregistré au moment du premier arrêt du moteur indiquent que l'incident ne se serait probablement pas produit si les réservoirs d'huile de lubrification avaient été remplis au niveau le plus élevé recommandé par le fabricant du moteur en cas de mouvements importants du navire. Enfin, le mouvement du navire enregistré a été, d'autre part, nettement inférieur aux critères de conception spécifiés dans SOLAS.
Cause originale : Le processus de conception de cette série de navires du chantier naval n'a pas permis de garantir efficacement que la caisse des carters d'huile de lubrification était conforme à toutes les règles, réglementations et recommandations applicables (responsabilité chantier et société de classification LR en suivi de construction). En effet, le processus d'approbation des plans de la société de classification était inefficace et ne garantissait pas que la conception du carter était conforme. De plus, il n'existait aucune directive technique ni norme industrielle dans le chantier ou à la société de classification pour l'application des exigences SOLAS, ce qui rendaient la conception et la vérification aléatoires.
 
Les limites réelles associées à la conception du carter en termes d'angles d'inclinaison dynamiques ou de conditions de mer correspondantes n'avaient pas été calculées par le chantier. L'équipage ne disposait donc pas des informations critiques sur les limites acceptables du niveau d'huile des carters, ce qui diminue leur responsabilité.

Observation N°1 : le système d'alarme de la salle de commande moteur ne faisait pas de distinction entre les alarmes critiques et normales.

Le dépannage s'est donc avéré difficile puisqu'un total d'environ 1 000 alarmes ont retenti dans les 10 premières secondes après le black-out. Plusieurs problèmes liés à la conception et à la configuration du système d'alarme ont aussi probablement eu un impact négatif sur l'efficacité et l'efficience des officiers mécaniciens de quart. Au moment de la construction du Viking Sky, il n'existait aucune norme donnant des critères spécifiques pour la conception des systèmes d'alarme de la salle des machines dans l'industrie maritime d'où une responsabilité diminuée. Mais, qu'en est-il aujourd'hui ?

Dans le cadre du sauvetage, après le rétablissement partiel de la propulsion, l'opération d'hélitreuillage par hélicoptère s'est déroulée efficacement, presque sans accident ni victime, mais le premier hélicoptère de sauvetage et le premier remorqueur sont arrivés après que le navire se serait échoué, si la propulsion n'avait pas été rétablie. Cela souligne l'importance de ne pas perdre la propulsion et la gouverne et d'éviter les situations nécessitant une évacuation, en particulier pour les grands navires à passagers que ce soit en beau temps ou par mauvais temps.

Observation N°2 : la société de management, dont la DPA assure la surveillance des activités en rapport avec la sécurité, a été normalement informée de l'indisponibilité du GE et donc de l'absence temporaire de la condition SRtP. Elle aurait dû conseiller au capitaine de rester à quai jusqu'à la réparation tout en ayant informé la direction générale de ce changement.

La société de gestion du navire était informée des prévisions météorologiques ainsi qu' un GE n'était pas disponible avant le départ du navire de Tromsø. La société gestionnaire du navire n'avait aucune ligne directrice ou procédure dans son système de gestion de la sécurité (SMS) concernant la manière de gérer l'indisponibilité planifiée ou non planifiée d'un GE en ce qui concerne les exigences du SRtP. (Absence de procédure de conduite en mode dégradé, base du SRtP). En l'absence d'un tel soutien de la part de l'organisation à terre, la décision de naviguer ou de rester au port revenait finalement comme toujours au seul décideur à bord : le capitaine.

Il n'y a eu aucun décès de personnes lié au défaut de SRtP, cependant l'équipage et les passagers du Viking Sky ont été, sans le savoir, exposés à un risque important alors que le navire s'apprêtait à traverser Hustadvika, connue pour être une zone notoirement dangereuse, dans une tempête annoncée, voyage sans la redondance requise.



Il y a donc mise en "danger potentiel" du navire et des personnes à bord.

NB : Il est envisageable que le Viking Sky aurait également connu un black-out malgré les quatre GE disponibles, avec un niveau d'huile de lubrification faible dans la caisse à huile de lubrification. Ce n'est cependant pas une raison pour ne pas respecter la réglementation SRtP.

Action corrective N°1 : maintien d'un niveau d'huile plus élevé dans la caisse commune.

Le propriétaire du navire, la société de gestion du navire, la société de classification, l'administration de l'État du pavillon, le chantier naval et le motoriste ont été informés de la conception non conforme du type de puisard de carter dès sa découverte par la NSIA.
L'armateur a été fortement encouragé à prendre des mesures correctives pour garantir que sa flotte soit conforme aux règles et réglementations applicables. La société de classification et l'administration de l'État du pavillon ont également été encouragées à exiger que des mesures correctives appropriées soient prises. Suite à l'accident, la société gestionnaire du navire a mis en place une nouvelle procédure de gestion de l'huile de lubrification, visant à maintenir des niveaux d'huile de lubrification plus élevés.
Il n'est pas certain que la nouvelle procédure résolve entièrement le problème de sécurité, car elle n'est étayée par aucun calcul pour documenter la conformité à l'exigence SOLAS ou à d'autres limitations opérationnelles.

Pour le chantier, qui doit livrer un navire conforme à la SOLAS, il reste des calculs à approuver par la classe pour modifier la caisse à huile commune ou rassurer l'armateur et l'opérateur sur un niveau d'huile toujours conforme quel que soit l'état de la mer en assurant un niveau plus important étant donné les dimensions insuffisantes de la caisse car il n'est plus possible d'agrandir cette caisse après construction.



Observation N°3 : il y avait 2 pilotes hauturiers à bord pour le voyage. (Pilotage hauturier certainement obligatoire dans les difficiles chenaux côtiers empruntés). L'histoire ne dit pas si les pilotes ont conseillé le capitaine dans sa décision d'appareiller en ayant connaissance de l'indisponibilité du GE 3. L'histoire non plus ne dit pas si les pilotes comme anciens officiers marine marchande de niveau direction connaissent le rôle important de la DPA lorsqu'une décision du capitaine est susceptible de mettre en danger le navire et des personnes à bord.

Action corrective N°2 : le pilotage dans ces chenaux est certainement privé et aujourd'hui, toute station de pilotage européenne a un système de management de la qualité du service comprenant évidemment la sécurité des opérations. Il y avait certainement une procédure gros temps mais comprenait-elle une clause concernant l'état de navigabilité SRtP ?
Pas sûr. Une action des pilotes de ce côté pourrait être initiée dans le cadre de leur SMQS.

L'Association norvégienne et par là, l'Association européenne des pilotes maritimes, pourrait de plus, émettre un warning pour leurs adhérents pour assurer chez eux au titre de la formation continue une mise à niveau de leurs connaissances de la sécurité organisationnelle Norwegian Safety Investigation Authority Factual information // 34 du code ISM dans les compagnies maritimes modernes ou la certification qualité, au bon vouloir du certificateur a parfois des manques, et au besoin, compléter le management de leurs opérations qui se contente souvent d'une conformité aux normes de qualité ISO 9001 uniquement*.

En conclusion

La NSIA émet un total de 14 recommandations de sécurité aux parties concernées. Elles visent à résoudre les problèmes de sécurité identifiés surtout au niveau du chantier (plusieurs sister-ships sont prévus) au niveau de la classe et au niveau de la société de management (revoir et surtout améliorer le SMS).

Analyse personnelle complémentaire du rapport du BEA norvégien

Rappel : le BEA du pavillon n'a été mis en place par la SOLAS que pour rechercher les causes originales des accidents sérieux aptes à donner un retour d'expérience mondial.
Publiés ensuite dans une version en général exhaustive, ce retour d'expérience anonyme est précieux et prouve la modernité de l'industrie maritime. Cependant, le retour d'expérience se limite évidemment à des recommandations qu'il appartient ensuite à l'OMI, aux sociétés de classification et enfin aux pavillons de les appliquer de manière obligatoire ou recommandée. Souvent, ce retour d'expérience démontre, preuves à l'appui, des manquements aux règles, des erreurs volontaires parfois ou tout simplement des incompétences fatales : qu'on appelle "facteur humain".
 
L'industrie maritime, comme les autres, cherche bien sûr à éradiquer ces défaillances purement humaines et souvent les plus difficiles à éradiquer : prend-on vraiment les bonnes mesures et celles-ci sont-elles suffisantes ? Là, les méthodes sont toutes différentes les unes des autres et celui qui trouvera la solution ne semble pas encore être né.
Le marin, le capitaine de navire qui est le premier concerné est peu sollicité et si logiquement il tire lui-même son propre retour d'expérience des faits auxquels il a été confronté ou non, le retour d'expérience global reste trop axé sur la partie technique. Il est vrai qu'elle est la plus facile à rectifier. Pour la partie facteur humain, on continue à chercher et c'est bien.
La sécurité organisationnelle avec le code ISM, les capacités d'analyse et de décision via les BRM et autre CRM en passant par le "leadership" actuellement, deviennent de plus en plus obligatoires, mais cela suffira-t-il ?
Certainement pas, car le spectre des sanctions suite à des erreurs humaines hante toujours notre profession. De tout temps les services de gestion des ressources humaines des armements ont tenté avec plus ou moins de réussite, d'écarter les capitaines à risques, ceux qui s'étaient trompé de métier, mais comme toute initiative de ce genre sur le facteur humain, il y a toujours des failles (un exemple au hasard : le naufrage du Costa Concordia ).
Les Anglo-saxons et plus particulièrement ceux de l'autre côté de l'Atlantique ont essayé la "no-blame culture" (j'y ai participé, un peu) qui, soyons honnête ne marche pas plus là qu'ailleurs.
Personne n'a de solution miracle, mais déjà, mettre en lumière les erreurs humaines autrement que par un jugement pénal (mais qui n'existera pas en cas de near miss ici) serait déjà un pas significatif **.

Pour finaliser : qu'en est-il des points positifs ou négatifs de ce near-miss ?:

Les points positifs, (qui ont déjà été déterminés en partie lors de notre article de 2020 dans cette même revue), ne sont pas très nombreux :
  • Un réseau SAR impressionnant entre Suède et Norvège : de nombreux hélicoptères de grande taille et équipages embarqués avec remplaçants disponibles : 6 gros hélicos, 12 pilotes, 6 treuillistes, 7 nageurs/sauveteurs et 2 mécaniciens à terre
  • Une évacuation extraordinaire par hélitreuillage de près de 480 passagers du troisième âge avec une seule blessure physique sérieuse sur une période de 18 heures toujours dans la tempête force 9 et mer 7. NB : hélicoptères de 12 passagers augmentés à 15/20 par voyage autorisé en urgence
  • Une évacuation hors normes grâce à des moyens hors du commun. Il est vrai que c'est en Norvège, il n'est pas sûr que cela soit possible ailleurs, ne serait-ce que dans la Manche
  • Une évacuation par embarcations non envisagée par le capitaine car trop dangereuse : très bien Commandant ! Très bonne décision qui repose la question : le navire reste la meilleure embarcation de sauvetage ? et dans ce cas, oui à condition que le SRtP soit effectif
  • Mouillage des deux ancres pour tenir le nez au vent seulement car dérive continue (une seule ancre a été ensuite larguée par l'étalingure (mais récupérée depuis)
  • Pour terminer : beaucoup de chances dans ce near miss, mais il serait trop dangereux de baser nos décisions de capitaine sur le facteur chance. Il faudrait peut-être mieux analyser les risques avant le départ, et cela aussi s'apprend. Un rêve, peut-être que dans le futur code STCW 2025, nous allons trouver une formation obligatoire de haut niveau avec revalidation périodique pour capitaines (genre Use of leadership & managerial skills for management level A II/2- IMO model course 1.40 Ed 2018) qui formera, entre autres, à l'évaluation des risques liés aux facteurs humains

Les points négatifs du near miss sont essentiellement :
  • Une société de management apparemment sérieuse qui finalement est aussi creuse ou avare que d'autres
  • Encore un SMS carrément générique (familiarisation au navire bâclée pour les officiers mécaniciens) avec des manques sérieux, mais évidemment validé et revalidé sans problèmes par le pavillon ou les RO
  • Des officiers mécaniciens un peu juste dans la gestion des alarmes de niveau bas et allant jusqu'à valider un appoint d'huile non effectué
  • Un chef mécanicien embarqué sans connaître parfaitement un logiciel de répartition des charges des GE
  • Une classe apparemment sérieuse qui s'est laissé intoxiquer par le chantier pour faire passer une erreur de conception importante
  • Un chantier apparemment sérieux qui se fourvoie sur une série de paquebots à plusieurs centaines de millions d'Euros l'unité
  • Un armateur qui fait une confiance absolue à un chantier important et à son équipe technique où malheureusement la compétence laisse à désirer
  • La décision du capitaine du navire d'appareiller ce jour-là : La décision "j'appareille ou pas" est un problème plus fréquent qu'on le pense chez les capitaines de navires. Les connaissances et informations météo présentes avec une parfaite connaissance du comportement du navire dans le gros temps sont des éléments incontournables qui entrent en jeu au-delà des conditions commerciales. Il n'est pas toujours facile de résister au patron qui vous dit "c'est vous qui décidez, mais je préfèrerais que vous appareilliez"
  • Enfin, un capitaine un peu kamikaze, qui a probablement perdu depuis la confiance de son employeur

Cdt Bertrand APPERRY
Membre de l'AFCAN
Membre HYDROS, AFEXMAR, IIMS.
bertrand.apperry@orange.fr

 * Les normes ISO sont importantes sinon nécessaires dans la profession et doivent traiter des relations de l'armateur avec le capitaine du navire mais oublient souvent qu'aujourd'hui le capitaine suit normalement un SMS conforme au minimum au code ISM et que même si son pouvoir discrétionnaire a été confirmé via la Règle 8 du chapitre XI-2 de la SOLAS, il n'a jamais été dit que le capitaine pouvait prendre des risques démesurés.
En tant qu'ancien capitaine de navire à passagers, en charge, de par ses décisions, d'un grand nombre de vies humaines, je me demande si on n'a pas oublié quelque part dans le SMS et donc le code ISM, de parler des objectifs personnels du capitaine dans le cadre de ses fonctions (comment, moi responsable, j'applique le SMS dans le cadre de la prévention des accidents ?)
En ce moment, comme prévu dans le cadre de l'amélioration continue de ses instruments pour assurer (et non garantir) la sécurité du transport maritime, l'OMI suggère d'apporter quelques améliorations au code ISM, je pose la question : ne serait-il pas logique que dans le cadre d'une meilleure prise en compte du facteur humain, les objectifs du capitaine du navire lui-même fassent l'objet d'une étude holistique pour, par exemple, l'obliger à les exprimer avant de prendre le commandement et d'analyser leur tenue au cours de ses revues de capitaine ? Ce serait un nouveau pas vers l'amélioration du management du facteur humain peut-être.
 ** L'association CHIRP https://chirp.co.uk de "philosophie anglo-saxonne" mais de ce côté-ci de l'Atlantique, œuvre pleinement et bénévolement pour un retour d'expérience "no-blame" international aérien et maritime, bravo !



Retour au menu
Retour au menu