Boeing limite les alertes du poste de pilotage pour que les pilotes leur fassent confiance — moins de 10 % des vols en déclenchent une

Dans un essai de 2015 consacré à un patient de 16 ans ayant survécu à une surdose médicamenteuse multipliée par 39, le médecin Bob Wachter demandait ce que les hôpitaux pouvaient apprendre de l'aviation en matière de fatigue liée aux alarmes — ces avertissements électroniques qui induisaient le personnel en erreur ou se noyaient dans une cacophonie jusqu'à ce que plus personne n'écoute. La réponse de l'aviation s'était construite à la dure : les premiers avertissements « train sorti » câblés sur la manette des gaz se déclenchaient à tort chaque fois que les pilotes ralentissaient l'appareil, si bien que les équipages avaient appris à les déconnecter — puis ignoraient l'alerte lorsqu'elle était réelle. Aux débuts du 727, les alarmes étaient si fréquentes et si erronées que les pilotes arrachaient les disjoncteurs.

La solution de Boeing est d'abord organisationnelle. Une seule équipe est responsable de l'intégration de l'ensemble du poste de pilotage et valide chaque alerte proposée ; lorsque l'ingénieur du chauffage des vitres apporte 25 messages qu'il veut voir embarqués, les pilotes répondent « On s'en fiche ! » — aucun n'atteint le poste de pilotage. Les avertissements sont rationnés selon une hiérarchie stricte : lumière rouge, texte rouge, voix et manche qui vibre uniquement en cas de catastrophe imminente ; environ 40 avertissements bénéficient du rouge et de la voix ; environ 150 mises en garde bénéficient de l'ambre et d'un seul mode ; les avis bénéficient d'une ligne de texte en retrait. Le rouge n'est jamais utilisé pour autre chose que des avertissements de plus haut niveau, et chaque alerte fait apparaître la liste de vérification correspondante.

Le résultat : le pourcentage de vols qui déclenchent une alerte quelconque — avertissement, mise en garde ou avis — est bien inférieur à 10 %, sur des appareils enregistrant plus de 10 000 points de données par vol. Devant la densité des alarmes dans une unité de soins intensifs, le responsable de l'intégration du poste de pilotage de Boeing n'a pu que dire : « Oh, mon Dieu. »

Faire du silence la norme : une équipe centrale est responsable de chaque alerte dans tout le poste de pilotage, le rouge ne signifie que « agir maintenant ou s'écraser », et les souhaits des ingénieurs des sous-systèmes perdent.

Les faux positifs sont la pire chose que l'on puisse faire à un système d'alerte — ils entraînent les humains à ne plus y prêter attention, et l'aviation l'a appris par des accidents.

La responsabilité centrale l'emporte sur le lobbying des sous-systèmes : seule une équipe responsable de l'ensemble du poste de pilotage peut refuser les 25 messages que veut chaque ingénieur de composant.

Une pénurie stricte préserve le signal : avec une alerte sur moins de 10 % des vols, une alarme qui retentit signifie réellement quelque chose.

Une grammaire cohérente — rouge, ambre, texte en retrait, listes de vérification associées — permet aux pilotes d'évaluer la gravité d'un coup d'œil au lieu de la redécider à chaque fois.

Chaque avertissement supplémentaire dépense de la confiance : budgétiser les alertes de façon centralisée, les classer sans pitié et traiter les faux positifs comme un poison pour le système.

La série de Wachter se concluait en exhortant les hôpitaux à importer la discipline — alarmes hiérarchisées, filtrage impitoyable, responsabilité dédiée — que les tragédies de l'aviation l'avaient forcée à construire ; les ingénieurs de Boeing, confrontés à la densité des alarmes en médecine, en sont restés stupéfaits.