1Aucun domaine, qu’il soit de la haute technologie ou de la vie courante, n’échappe à la question de la sécurité. Toutes les actions humaines doivent être justifiées et chiffrées par l’analyse rationnelle de leurs conséquences sur la sécurité individuelle et collective. Confirmant les positions d’Ulrich Beck, l’évaluation permanente du risque est devenue une manière contemporaine d’être au monde, portée par le désir de maîtriser les incertitudes qui ne sont plus l’occasion de renouveler notre confiance dans le progrès, mais qui sont, au contraire, marquées par l’anxiété. Cette recherche a porté sur les changements de la sécurité dans la navigation aérienne. Dès la création de l’aviation civile au début du siècle dernier, la sécurité a été l’objet de débats et d’inventions, et la navigation aérienne a été créée pour guider les avions et les protéger des collisions, la sécurité étant reconnue dès les origines comme sa mission première.

2L’engouement sécuritaire aurait pu être considéré comme un progrès des méthodes de travail, en réalité il est apparu comme fondamentalement nouveau. La navigation aérienne passait d’une forme de sécurité incarnée par les contrôleurs et invisible du monde extérieur, à une autre manière de la considérer en impliquant de façon permanente tous les acteurs institutionnels. Sa nature empirique s’effaçait pour devenir objective, calculée, créant de nouveaux métiers, entraînant dans son sillage non plus les seuls contrôleurs, mais aussi les directions, les ingénieurs. La confiance construite à partir de l’expérience cédait la place au doute et devenait l’occasion d’une remise en question fondamentale. Il semblait que la confiance qu’elle suscitait n’était qu’une illusion et bien que l’institution ait œuvré pour une plus grande productivité, elle n’avait pas suffisamment repensé la sécurité qui n’était plus adaptée à l’aune des changements techniques et institutionnels. Le nombre d’accidents imputables au contrôle aérien restait très faible, mais l’augmentation des incidents attirait l’attention. La mise en œuvre de la réglementation sécurité rendue obligatoire en Europe, ainsi que deux accidents impliquant le contrôle au début des années 2000, ont créé un mouvement suffisant pour que l’impression négative à l’origine de quelques actions locales se transforme en un besoin de transformer radicalement la conception de la sécurité.

3En réalité, cette question de méthodes n’est pas aussi nouvelle qu’il y paraît. L’aviation civile a mis très tôt en place des règlements, des systèmes de vérification, mais aussi des dispositifs techniques qui lui ont permis de se développer tout en améliorant progressivement la sécurité. La sécurité intervenait en contrepoint du développement, l’une équilibrait l’autre dans le temps. Aux périodes enthousiastes du développement des lignes aériennes et des prises de risques, la prise de conscience des bricolages mortels appelait le retour à la raison, à la rigueur professionnelle, à la règle. Les pionniers en connaissaient les limites et c’est un fort sentiment d’appartenance à une communauté au service de la sécurité des pilotes qui permettait de faire face à la contingence des situations dangereuses. Cette approche, de l’ordre du sacré, encourageait les initiatives, l’inventivité et l’adaptation au monde réel. La fonction symbolique de la sécurité jouait le rôle de catalyseur de l’action, plus que la conformité aux règles, nécessaires. Le service rendu au pilote a été structuré par des règlements dès les années 1920, et l’évolution réglementaire actuelle, les exhortations à la prudence, l’appel à la rigueur technique ne sont qu’une spécialisation et un renforcement de ce qui existait déjà en germe dans les fondations. Le fait même que la sécurité se présente sous un jour nouveau, et non porté par un retour à ses fondations demande donc à être compris.

4Depuis la libéralisation du ciel en Europe des années 1990, le changement de nature des marges de sécurité entre les avions, ainsi que l’augmentation de leur densité au sein de l’espace aérien, ont changé progressivement le rapport des contrôleurs à la technique. Les alarmes d’anticollision ont conduit à questionner les frontières de responsabilité entre le sol et le bord. La nécessité de tenir le danger de collision à distance est certes toujours essentielle, mais pour les opérationnels il semble que le danger ne soit plus uniquement dans le ciel, il est aussi institutionnel.

5Les règlements européens remplacent les règles nationales et séparent le service contrôle aérien de sa surveillance, faisant éclater l’unité institutionnelle de la navigation aérienne des États. Un marché du contrôle aérien est prôné afin de baisser le prix du service rendu et de l’unifier en Europe en diminuant le nombre de centres, en défragmentant l’espace et la prestation de service. Le ciel est découpé virtuellement en unités de gestion qui pourraient être proposées à n’importe quel opérateur de contrôle aérien, sous réserve qu’il prouve sa capacité à contrôler. Ce changement est justifié par la volonté d’assurer la sécurité d’un trafic en pleine croissance, et de satisfaire la demande de maîtrise des coûts des compagnies aériennes. Selon le principe de libéralisation, il est impossible d’être à la fois juge et partie, fournisseur de service et superviseur de la sécurité du système. Cette déterritorialisation des systèmes et des espaces, même si elle existe à ce jour plus dans la lettre que dans la pratique réelle, désincarne, au moins pour un temps, une sécurité historicisée faite par une institution qui malgré les divergences, en revenait toujours à s’unir autour de la question de la sécurité, comme l’avait montré en 1995, la thèse La biographie de Cautra de Sophie Poirot-Delpech.

6Cette recherche analyse les points forts de ces modifications que sont : l’analyse des incidents de contrôle, la perception de l’accident, la nécessité de rendre la sécurité objective par la mesure.

7L’accident et l’incident sont assimilés dans un même modèle théorique, développé par James Reason, qui est accepté par les professionnels malgré quelques échos dissonants. Ce modèle lisse les représentations symboliques en injectant un caractère causal remontant à des mesures préventives de la sécurité parfois très éloignées de la situation singulière de l’accident. Cette méthode rejaillit sur l’analyse des accidents qui suit évidemment le même modèle explicatif.

8L’incident de contrôle devient un objet détaché de la contingence. En réalité, l’incident est à l’origine de peu de changements techniques et structurels de grande ampleur, par contre il est l’objet de nombreux échanges, d’une amélioration de la connaissance du système. Son rôle cependant se limite au rappel à la règle, ainsi il devient un indicateur du désordre dans l’institution. Puisque l’incident contingent est irréductible et inévitable, il devient nécessaire, la seule issue est de le convertir en facteur d’ordre.

9La catastrophe aérienne est souvent présentée comme un incident entièrement réalisé, qui est parvenu à son terme, après que toutes les barrières de protection se sont effondrées les unes après les autres. Les accidents de Linate et d’Überlingen ont renforcé les prescriptions attribuées au renouvellement des méthodes de sécurité, mais elles n’ont pas été réellement questionnées sur le fond. Les dispositions déjà existantes ont été renforcées, sans établir leur lien réel avec ces accidents. La comparaison de deux collisions en vol à plus de vingt ans d’intervalle, celles de Zagreb en 1976 et d’Überlingen en 2002, montre pourtant de nombreuses similitudes du point de vue du contrôleur, comme la disparition simultanée de toutes les redondances des aides au contrôleur au sol, le mettant dans l’impossibilité de poursuivre sans danger sa mission. L’analyse de l’accident d’Überlingen porte un regard insistant sur les dernières secondes de l’accident et l’utilisation de l’alerte d’anticollision, seul élément réellement nouveau depuis Zagreb, mais dont l’usage, théoriquement exceptionnel, contredit le principe fondateur d’anticipation, véritable ligne de vie du contrôle au sol.

10La mesure de la sécurité conduit à de nombreuses querelles d’experts quant au choix du modèle qui la représenterait, de la validité des chiffres, de leur usage et de leur pertinence pour démontrer que les évolutions du système seront suffisamment sûres. Démarrée à la fin des années 1990, la définition d’objectifs chiffrés se heurte à la fois à l’imprécision de l’analyse statistique des incidents et à l’absence de modèle présentant la sécurité du système, avec une indépendance suffisante entre des barrières de sécurité pour que les modèles statistiques, qui existent dans d’autres disciplines, s’appliquent sans erreurs. En réalité, la modélisation de la sécurité n’est pas une notion générale facilement transposable d’un contexte professionnel à l’autre, par exemple de l’avionique embarquée au contrôle aérien. Cette modélisation est une question symbolique tout autant qu’objective et rationnelle. Dans un cas des automatismes techniques ont été pensés en minimisant l’intervention humaine, dans l’autre cas le rôle du contrôleur traverse le système de bout en bout. Le risque et le danger sont des constructions qui sont sélectionnées socialement, les analyses de terrains qui passent au crible les discours, les représentations et les pratiques le montrent. Les représentations du danger sont fortement liées aux valeurs. Cet ensemble n’est ni objectif, ni empirique, ni rationnel, ni irrationnel, il met en jeu l’idée que les opérateurs se font d’eux-mêmes et l’histoire de l’institution.

11Il est donc évidemment question de culture, mais non de culture sécurité. Le maintien de la sécurité collective est une préoccupation culturelle partagée par tous les humains. L’invention de la culture sécurité est un artefact porté par une réduction du courant culturaliste, elle se résume à des attitudes et à des règles. La sécurité est surtout présente pour mieux garantir la performance du système. À l’inverse de toutes les formes culturelles qui s’enrichissent par l’histoire, la diversité et le conflit, il est remarquable que la culture sécurité fasse l’objet d’une volonté d’inculquer au plus grand nombre une conception lisse et uniforme du bien commun. Au bénéfice de l’apparition de la culture sécurité, il est certain qu’elle permet d’exprimer, de revendiquer, la sécurité au nom d’une valeur commune, au-delà d’intérêts partisans ou corporatistes, oubliant que ces valeurs culturelles communes existaient déjà bien avant la création de la culture sécurité. Cette vision de la culture constitue en soi un fait culturel, mais la multiplication de tels syncrétismes, renvoie à d’autres problématiques, par exemple la manière dont le monde technique perçoit la culture. Celle-ci est en effet morcelée, à la fois porteuse d’unité et de désordre, entièrement réinventée pour lui donner un caractère rationnel et déterministe, qui se limite à des attitudes morales et le respect des règles. Dans ce cas, la culture équivaut à la discipline des individus et à l’incorporation volontaire de la règle.

12Luhnmann parodiait la célèbre phrase d’Hölderlin : « Là où croît le contrôle, croît aussi le danger. » Barbara Cassin citait le pharmakon à la fois remède et poison. La concurrence pousse à l’accroissement du contrôle des individus et de la maîtrise des réseaux associés aux macro-systèmes techniques. Le besoin de rendre la sécurité plus systématique et rigoureuse fait d’elle non plus un remède, mais une fin en soi pour permettre l’écoulement des flux échangés dans ces réseaux. Au tout début de cette recherche les deux formes de traitement du risque subsistaient, l’importance du collectif comme l’engouement pour les règles et la culture sécurité. Les contrôleurs, s’appuyant sur ces artefacts, expriment toujours le besoin d’incarner leur métier, de maintenir les valeurs et les solidarités qui ont mené l’aviation depuis sa naissance commerciale à ce qu’elle est aujourd’hui. Nous conclurons enfin que ces points forts de la démarche, habillent l’institution, donnent à voir et à croire, mais ce qui se passe dans les salles de contrôle, l’incarnation proprement humaine de ce métier ne peut être totalement saisie par des artefacts. Une forme bureaucratique a été évitée. C’est bien parce qu’il existe une culture faite d’hommes, préoccupés de sécurité, qui se renouvelle en étant moins cloisonnée que par le passé et qui constitue une adaptation du métier à la réalité contemporaine.