Concevoir pour
l’esprit humain,
pas contre lui.

Le Conseil de l’Association internationale d’ergonomie adopte en août 2000 une définition officielle encore utilisée aujourd’hui : l’ergonomie, ou les facteurs humains, est la discipline scientifique qui vise à comprendre les interactions entre les êtres humains et les autres composantes d’un système, et la profession qui applique des théories, des principes, des données et des méthodes de conception pour optimiser à la fois le bien-être des personnes et la performance globale du système. Cette définition associe délibérément deux objectifs qui ne coïncident pas toujours spontanément, le confort et la sécurité de l’opérateur d’un côté, l’efficacité du système de l’autre, et une bonne partie du travail réel des ergonomes cognitifs consiste précisément à arbitrer entre les deux quand ils entrent en tension.

L’expression « facteurs humains » domine dans la tradition nord-américaine, héritée en grande partie de recherches menées pendant et après la Seconde Guerre mondiale sur les cockpits d’avion et les postes de contrôle militaires, tandis que le terme « ergonomie » domine dans la tradition européenne, plus proche à l’origine de la physiologie du travail. L’association elle-même traite aujourd’hui les deux termes comme largement interchangeables, une convention reprise dans ce dossier.

L’ergonomie cognitive se distingue d’abord de l’ergonomie physique, qui étudie l’anatomie, l’anthropométrie et la physiologie appliquées au travail musculaire et postural : la hauteur d’un plan de travail, la conception d’un siège, la répétitivité d’un geste et son risque de trouble musculo-squelettique relèvent de l’ergonomie physique, pas de l’ergonomie cognitive, même si les deux branches partagent la même association savante et le même objectif général d’adapter l’environnement à l’humain plutôt que l’inverse. L’ergonomie cognitive s’intéresse spécifiquement aux processus mentaux, perception, attention, mémoire, prise de décision, résolution de problèmes, mobilisés dans l’interaction avec un système.

La distinction avec l’UX design, l’expérience utilisateur au sens du design de produit numérique, est plus subtile parce que les deux champs se recouvrent largement dans leurs méthodes, tests utilisateurs, analyse de tâches, prototypage itératif, sans être identiques dans leur finalité. L’UX design reste historiquement plus orienté vers la satisfaction, l’attrait et la viabilité commerciale d’un produit destiné à un marché, tandis que l’ergonomie cognitive et les facteurs humains, tels qu’ils se sont développés dans l’aviation, le nucléaire ou la médecine, se sont d’abord construits autour d’enjeux de sécurité et de performance dans des systèmes à conséquences graves en cas d’erreur, où l’échec de conception coûte des vies plutôt que des utilisateurs. La norme internationale ISO 9241-210, consacrée à la conception centrée sur l’humain pour les systèmes interactifs, encadre aujourd’hui une bonne partie du terrain commun aux deux traditions, en définissant la conception centrée sur l’humain comme une approche qui vise à rendre les systèmes utilisables et utiles en se concentrant sur les utilisateurs, leurs besoins et leurs exigences, par l’application de connaissances et de techniques de facteurs humains et d’ergonomie.

Cette distinction n’est pas purement académique : un designer formé principalement à l’attrait visuel et à la conversion commerciale d’une interface peut ignorer des principes de compatibilité perceptivo-motrice bien établis depuis les années 1950, alors qu’un ergonome cognitif formé à l’étude des salles de contrôle industrielles peut sous-estimer des contraintes de plaisir d’usage et d’adoption volontaire propres aux produits grand public. Les meilleures conceptions mobilisent en pratique les deux approches plutôt que de n’en retenir qu’une.

Donald Norman popularise, dans « The Design of Everyday Things », publié pour la première fois en 1988 sous le titre « The Psychology of Everyday Things », un argument central pour tout ce dossier : lorsqu’une personne se trompe de façon régulière et prévisible sur un objet ou une interface, la cause la plus probable n’est pas une déficience individuelle de l’utilisateur mais une conception qui rend l’erreur facile, voire presque inévitable. Norman développe pour cela le concept de mapping naturel, la correspondance intuitive entre un contrôle et son effet, par exemple une manette qu’on pousse vers le haut pour faire monter ce qu’elle commande, et soutient que la visibilité des options possibles, l’exploitation de correspondances naturelles entre commande et fonction, et l’usage intelligent de contraintes physiques ou logiques réduisent mécaniquement le taux d’erreur, indépendamment de la compétence de la personne qui utilise le système.

Ce déplacement du regard, de l’individu vers la conception, structure l’ensemble de ce dossier et sera repris plus loin à propos de la responsabilité dans les accidents impliquant des systèmes automatisés : documenter qu’une personne a mal réagi à un signal ambigu ne dit encore rien sur la question, distincte et souvent plus importante, de savoir si ce signal aurait pu être rendu moins ambigu par une conception différente.

Le développement institutionnel du champ suit un chemin comparable dans plusieurs pays occidentaux : des chercheurs recrutés par les armées pendant la Seconde Guerre mondiale pour résoudre des problèmes concrets, des équipages qui actionnaient le mauvais levier dans un cockpit sous pression, des opérateurs radar qui manquaient des signaux critiques après une longue veille, constatent que la performance humaine dépend autant de la conception du matériel que de l’entraînement des personnes qui l’utilisent. Paul Fitts, déjà cité à propos de la compatibilité stimulus-réponse et de la loi qui porte son nom, travaille précisément dans ce contexte militaire avant de poursuivre une carrière universitaire, un parcours partagé par plusieurs figures fondatrices de la discipline.

Cette origine explique pourquoi une partie importante des méthodes et des résultats les plus solides de ce champ, l’allocation des fonctions entre l’humain et la machine selon les forces et les limites relatives de chacun, une démarche formalisée dès les années 1950 sous le nom de liste de Fitts, provient de secteurs à haut risque, aviation, défense, énergie nucléaire, avant d’essaimer plus tardivement vers l’industrie civile, la conception de logiciels grand public et, plus récemment, la conception des systèmes d’intelligence artificielle destinés à assister une décision humaine.

La notion de conscience de la situation circule de façon informelle depuis longtemps dans l’aviation militaire, où les pilotes de chasse décrivent depuis des décennies la nécessité de garder une image mentale exacte et actualisée de leur position, de leurs menaces et de leurs ressources en plein combat aérien, une compétence dont la perte précède fréquemment un accident ou une défaite tactique. Cette expérience de terrain a précédé de plusieurs décennies sa formalisation académique complète, ce qui explique pourquoi le concept a d’abord été perçu par une partie de la communauté scientifique comme une notion intuitive de praticiens plutôt que comme un objet théorique rigoureux.

Mica Endsley, chercheuse en facteurs humains ayant travaillé notamment sur les systèmes d’aide au pilotage, publie en 1995 dans la revue Human Factors un article devenu la référence structurante du domaine, « Toward a Theory of Situation Awareness in Dynamic Systems », qui propose un modèle théorique complet reliant la conscience de la situation aux processus attentionnels, à la mémoire de travail et aux modèles mentaux de l’opérateur.

Le modèle d’Endsley distingue trois niveaux emboîtés. Le niveau 1, la perception, consiste à détecter la présence et l’état des éléments pertinents de l’environnement, un panneau de contrôle, un message d’alerte, la position d’un autre véhicule. Le niveau 2, la compréhension, consiste à intégrer ces éléments perçus séparément en une représentation cohérente de la situation actuelle, en tenant compte des objectifs de l’opérateur : un même relevé de vitesse et d’altitude ne signifie pas la même chose pour un pilote selon la phase de vol dans laquelle il se trouve. Le niveau 3, la projection, consiste à extrapoler cette compréhension pour anticiper l’évolution probable de la situation dans un futur proche, condition nécessaire pour agir à temps plutôt que de réagir après coup à un événement déjà consommé.

Cette hiérarchie a une conséquence pratique directe pour la conception d’interface : une défaillance de conscience de la situation peut survenir à chacun des trois niveaux séparément, une information peut être physiquement invisible sur un tableau de bord mal conçu, niveau 1, ou bien être visible mais mal intégrée avec d’autres informations pertinentes, niveau 2, ou encore être correctement comprise sur le moment sans que l’opérateur parvienne à en anticiper les conséquences à venir, niveau 3. Diagnostiquer à quel niveau précis une erreur s’est produite oriente vers des solutions de conception très différentes, alors qu’un diagnostic global du type « manque de vigilance » ne distingue pas ces trois mécanismes.

Endsley identifie explicitement l’attention et la mémoire de travail comme les principaux facteurs limitant l’acquisition et le maintien d’une bonne conscience de la situation : un opérateur soumis à une charge de travail élevée, submergé par de multiples sources d’information simultanées, voit sa capacité à intégrer ces informations en une représentation cohérente se dégrader, non pas parce qu’il manque de compétence, mais parce que la mémoire de travail humaine dispose d’une capacité limitée et documentée par ailleurs dans ce glossaire à propos de la charge cognitive. La conception d’un système à forte densité d’information, un cockpit moderne, une salle de contrôle de centrale, un tableau de bord logiciel, doit composer avec cette limite plutôt que la nier en multipliant les affichages simultanés au nom de l’exhaustivité.

Un système bien conçu selon cette logique cherche à réduire la charge nécessaire pour maintenir chacun des trois niveaux de conscience de la situation, par exemple en regroupant visuellement des informations qui doivent être interprétées ensemble, plutôt que d’ajouter davantage de données brutes en misant sur la seule capacité de l’opérateur à les synthétiser mentalement.

Endsley ne se contente pas de proposer un modèle théorique : elle développe dès 1988 une méthode de mesure directe restée depuis la référence du domaine, la technique d’évaluation globale de la conscience de la situation, connue sous son acronyme anglais SAGAT. La méthode consiste à interrompre une simulation à des moments choisis aléatoirement, à masquer entièrement les écrans et affichages, puis à interroger l’opérateur sur sa perception actuelle de la situation, avec des questions couvrant systématiquement les trois niveaux du modèle, de la simple perception d’un élément à l’anticipation de son évolution probable.

Cette méthode a une vertu qui manque à beaucoup d’évaluations informelles de la conscience de la situation, fondées sur l’intuition d’un observateur ou sur le seul jugement rétrospectif de l’opérateur lui-même une fois la tâche terminée, ce dernier étant sujet à une reconstruction a posteriori peu fiable. En interrompant la tâche à un moment que l’opérateur ne peut pas anticiper, SAGAT limite la possibilité de préparer une réponse plausible sans avoir réellement intégré l’information au moment testé, ce qui en fait un outil couramment utilisé pour comparer objectivement deux conceptions d’interface concurrentes plutôt que de trancher sur la seule préférence déclarée des utilisateurs.

Raja Parasuraman et Dietrich Manzey publient en 2010 dans la revue Human Factors une synthèse de référence, « Complacency and Bias in Human Use of Automation: An Attentional Integration », qui rassemble plusieurs décennies d’études empiriques sur l’interaction entre humains et systèmes automatisés ou d’aide à la décision. Leur synthèse distingue deux phénomènes apparentés mais non identiques : la complaisance envers l’automatisation, une surveillance insuffisante et un contrôle inadéquat des performances d’un système automatisé parce que l’opérateur lui fait confiance de façon excessive, et le biais d’automatisation proprement dit, une tendance à utiliser les suggestions d’un système automatisé comme un raccourci heuristique qui remplace une recherche vigilante et indépendante d’informations, y compris lorsque le système se trompe.

Un point central de leur revue est que la complaisance envers l’automatisation apparaît de façon plus marquée dans des conditions de charge multitâche, lorsque des tâches manuelles concurrentes sollicitent déjà l’attention de l’opérateur, et qu’elle a été retrouvée aussi bien chez des participants novices que chez des experts entraînés, sans disparaître avec la seule pratique répétée. Ce dernier constat écarte une explication trop rassurante selon laquelle l’expérience professionnelle immuniserait automatiquement contre ce biais.

Parasuraman et Manzey proposent une explication attentionnelle intégrée plutôt qu’une explication purement motivationnelle : faire confiance à un système automatisé permet de réallouer une ressource attentionnelle limitée vers d’autres tâches concurrentes, ce qui constitue une stratégie rationnelle de gestion de la charge de travail dans un grand nombre de situations réelles, tant que le système reste effectivement fiable. Le problème documenté n’est donc pas que les opérateurs choisissent délibérément de moins surveiller un système par négligence, mais que ce réallocation attentionnelle, adaptative en moyenne, devient un point de vulnérabilité précis dans la minorité de cas où le système automatisé délivre une information erronée ou incomplète.

Le biais d’automatisation produit concrètement deux types d’erreurs distinctes selon les auteurs : des erreurs d’omission, quand l’opérateur ne remarque pas qu’un événement important n’a pas été signalé par le système alors qu’il aurait dû l’être, et des erreurs de commission, quand l’opérateur suit activement une recommandation erronée du système alors que des informations disponibles par ailleurs auraient permis de la contredire. Cette distinction compte pour la conception d’interface, puisque réduire l’un des deux types d’erreurs par un choix de conception, par exemple en rendant les alertes plus fréquentes pour limiter les omissions, peut simultanément aggraver l’autre, en accoutumant l’opérateur à ignorer des alertes trop nombreuses.

Le rapport d’enquête du National Transportation Safety Board américain sur l’accident du vol 401 de la compagnie Eastern Air Lines, un Lockheed L-1011 qui s’est écrasé dans les Everglades de Floride le 29 décembre 1972, illustre un mécanisme voisin, même s’il concerne une automatisation plus rudimentaire que les systèmes actuels : l’équipage, préoccupé par une ampoule témoin défectueuse du train d’atterrissage, ne remarque pas qu’une pression légère et involontaire sur les commandes a désengagé le maintien d’altitude du pilote automatique, et l’appareil perd progressivement de l’altitude jusqu’à l’impact avec le sol. Le rapport, adopté en juin 1973, conclut que la cause probable de l’accident réside dans l’absence de surveillance des instruments de vol par l’équipage pendant les quatre dernières minutes du vol, et son incapacité à détecter à temps une descente non planifiée.

Cet accident est presque toujours cité, y compris dans la littérature de facteurs humains ultérieure, comme un cas fondateur ayant contribué au développement de la gestion des ressources en équipage, cockpit resource management, une discipline centrée sur la communication et le partage de la vigilance entre membres d’équipage plutôt que sur la seule performance individuelle. Il faut cependant se garder d’une lecture trop rapide, qui attribuerait rétrospectivement l’accident à un « biais d’automatisation » entendu au sens strict et récent du terme, un concept formalisé académiquement plusieurs décennies plus tard : le rapport lui-même parle d’un défaut de surveillance des instruments provoqué par une distraction, ce qui recoupe le phénomène plus large de vigilance dégradée présenté dans la section suivante de ce dossier, davantage qu’une confiance excessive et spécifique envers un système automatisé jugé infaillible.

Raja Parasuraman, Thomas Sheridan et Christopher Wickens, déjà cité à propos de la théorie des ressources multiples, proposent en 2000 dans IEEE Transactions on Systems, Man, and Cybernetics un modèle influent qui distingue quatre grandes fonctions pouvant être automatisées séparément, l’acquisition d’information, son analyse, la sélection d’une décision ou d’une action, et l’exécution de cette action, chacune pouvant être automatisée selon des degrés variables, d’une simple assistance à l’automatisation complète sans intervention humaine possible. L’intérêt pratique de ce découpage est qu’il évite de traiter l’automatisation comme une variable unique, tout ou rien, alors que les risques documentés dans ce dossier concernent surtout un sous-ensemble précis : l’automatisation de la sélection d’une décision, lorsqu’elle est poussée à un degré élevé sans laisser de rôle actif à l’opérateur, s’avère plus propice à la complaisance et au biais d’automatisation que l’automatisation de la seule acquisition ou présentation d’information, qui laisse l’essentiel du raisonnement à la charge de l’humain.

Ce modèle sert aujourd’hui de grille de lecture pour des choix de conception concrets, par exemple pour décider si un système d’aide au diagnostic médical devrait afficher une suggestion de diagnostic accompagnée de son raisonnement, ce qui laisse le clinicien évaluer activement la proposition, ou seulement une alerte binaire à confirmer ou rejeter, un choix qui favorise davantage la complaisance documentée par Parasuraman et Manzey.

Norman Mackworth entreprend, pendant et immédiatement après la Seconde Guerre mondiale, l’étude systématique de la vigilance des opérateurs radar et sonar, dont la tâche consiste à repérer des signaux rares et irréguliers au cours de longues heures de veille. Son article de référence, « The Breakdown of Vigilance during Prolonged Visual Search », publié en 1948 dans le Quarterly Journal of Experimental Psychology, décrit une tâche expérimentale restée célèbre sous le nom de test de l’horloge de Mackworth : un cadran sans repère apparent, où une aiguille se déplace par petits sauts réguliers, à l’exception de sauts occasionnels plus grands que le participant doit détecter, sur une durée totale de deux heures.

Le résultat central de Mackworth est un déclin mesurable et régulier du taux de détection au fil du temps, avec une baisse de dix à quinze pour cent dès les trente premières minutes de la tâche, suivie d’un déclin plus progressif sur le reste de la période observée. Ce déclin caractéristique, apparaissant tôt et se poursuivant ensuite plus lentement, est aujourd’hui désigné sous le nom de décrément de vigilance et a été reproduit dans de nombreuses variantes expérimentales depuis, y compris sous forme informatisée.

Daniel Kahneman, dans son ouvrage de 1973 « Attention and Effort », propose un cadre théorique influent selon lequel l’attention constitue une ressource globale et limitée en capacité, mobilisable de façon flexible entre plusieurs activités concurrentes, mais épuisable lorsque la demande totale dépasse cette capacité disponible. Ce cadre, connu sous le nom de théorie de la capacité, permet d’interpréter le décrément de vigilance non comme une simple perte de motivation de l’opérateur mais comme la conséquence prévisible d’un maintien prolongé de l’attention à un niveau soutenu, une activité elle-même coûteuse en ressources limitées.

Christopher Wickens prolonge et affine ce cadre à partir des années 1980 avec la théorie des ressources multiples, formalisée dans son article de synthèse de 2008 publié dans Human Factors, « Multiple Resources and Mental Workload », qui soutient que la capacité attentionnelle n’est pas un réservoir unique et indifférencié mais se décompose en plusieurs ressources partiellement indépendantes, selon la modalité sensorielle sollicitée, visuelle ou auditive, le type de traitement en jeu, spatial ou verbal, et le stade de traitement, perception, décision ou action motrice. Cette théorie a une conséquence de conception directe et largement appliquée aujourd’hui : deux tâches concurrentes interfèrent davantage lorsqu’elles sollicitent la même ressource, par exemple deux tâches visuelles simultanées, que lorsqu’elles sollicitent des ressources différentes, par exemple une tâche visuelle combinée à une alerte sonore, ce qui explique pourquoi répartir intelligemment les canaux sensoriels d’un poste de travail réduit la charge mentale ressentie sans réduire la quantité totale d’information transmise.

On pourrait supposer que l’automatisation croissante des tâches de surveillance, radars modernes assistés par ordinateur, systèmes de détection automatique d’anomalies, ait rendu obsolète le problème documenté par Mackworth en 1948, puisque la machine détecte désormais elle-même une grande partie des signaux auparavant surveillés à l’œil nu. Une partie de la littérature en facteurs humains soutient au contraire que l’automatisation a surtout déplacé le problème plutôt que de le résoudre : l’opérateur humain, libéré de la détection active, se retrouve dans un rôle de simple superviseur passif d’un système généralement fiable, une situation qui combine précisément les deux conditions documentées comme les plus propices au décrément de vigilance et à la complaisance envers l’automatisation présentée dans la section précédente, une longue attente passive et une faible fréquence d’événements nécessitant une intervention réelle.

Ce point reste débattu dans le détail, notamment sur l’ampleur exacte du problème dans des environnements de travail réels très variés et sur l’efficacité comparée des différentes contre-mesures proposées, rotation des tâches, alarmes intermittentes destinées à maintenir l’engagement actif de l’opérateur, ou conception d’interfaces encourageant une vérification active plutôt qu’une confiance passive. Ce qui fait consensus, en revanche, c’est qu’aucune automatisation ne supprime le problème de la vigilance humaine par construction : elle le reformule, et une conception qui ignore cette reformulation reproduit le même risque sous une forme nouvelle.

Une intuition répandue, y compris chez certains concepteurs de systèmes, voudrait qu’une tâche de surveillance peu chargée en apparence, puisqu’elle ne demande la plupart du temps aucune action, soit également peu coûteuse mentalement pour la personne qui l’exécute. Joel Warm, Raja Parasuraman et Gerald Matthews contestent directement cette intuition dans leur synthèse de 2008 publiée dans Human Factors, « Vigilance Requires Hard Mental Work and Is Stressful », qui rassemble des mesures subjectives de charge mentale perçue, des indicateurs physiologiques et des marqueurs d’activité cérébrale montrant qu’une tâche de vigilance prolongée mobilise des ressources attentionnelles comparables, voire supérieures, à celles de tâches perçues comme plus actives, et s’accompagne d’une élévation mesurable du stress ressenti par l’opérateur.

Cette précision compte pour la conception de postes de travail où la surveillance reste, malgré l’automatisation, une fonction humaine centrale, salle de contrôle, centre de sécurité, poste de télésurveillance médicale : traiter ces postes comme peu exigeants parce qu’ils paraissent peu actifs de l’extérieur conduit à sous-estimer le besoin de pauses régulières, de rotation entre tâches, et de conception d’alertes qui maintiennent un niveau d’engagement suffisant sans pour autant multiplier les fausses alertes, qui useraient à leur tour la confiance de l’opérateur envers le système.

Paul Fitts et Charles Seeger publient en 1953 dans le Journal of Experimental Psychology un article fondateur, « S-R Compatibility: Spatial Characteristics of Stimulus and Response Codes », qui démontre expérimentalement que le temps de réaction et le taux d’erreur d’une personne dépendent non seulement des caractéristiques du stimulus et de la réponse pris séparément, mais aussi, et de façon déterminante, de la correspondance spatiale entre les deux : des participants pressent plus vite et avec moins d’erreurs un bouton situé à gauche ou à droite lorsque le signal à traiter provient du même côté de leur champ visuel, une configuration dite compatible, que lorsque le signal et la réponse attendue sont spatialement inversés.

Cette découverte, prolongée l’année suivante par un second article de Fitts avec Richard Deininger, a fondé tout un champ de recherche sur la compatibilité stimulus-réponse qui reste actif aujourd’hui, notamment pour comprendre les interférences entre plusieurs dimensions spatiales concurrentes dans une même tâche. Le principe qui s’en dégage est devenu une règle de conception élémentaire répétée dans tous les manuels de facteurs humains depuis : plus la correspondance entre un contrôle et son effet respecte les attentes intuitives de l’utilisateur, façonnées par sa physiologie et par des conventions culturelles largement partagées, plus l’interaction est rapide et moins elle produit d’erreurs, à charge cognitive égale.

La même année où débute la recherche sur la compatibilité stimulus-réponse, Paul Fitts publie en 1954, toujours dans le Journal of Experimental Psychology, un second article fondateur, « The Information Capacity of the Human Motor System in Controlling the Amplitude of Movement », qui établit une relation mathématique reproductible entre la distance à parcourir vers une cible, la taille de cette cible, et le temps nécessaire pour l’atteindre avec précision : plus une cible est petite ou éloignée, plus le mouvement pour l’atteindre prend du temps, selon une relation logarithmique restée depuis connue sous le nom de loi de Fitts.

Ce résultat, obtenu à l’origine sur des mouvements manuels simples de pointage, s’est révélé étonnamment stable et généralisable, et structure aujourd’hui directement la conception des interfaces graphiques numériques : la taille et l’espacement des boutons sur un écran tactile, le placement des éléments cliquables fréquemment utilisés près du curseur ou en bordure d’écran là où le mouvement de la souris est naturellement arrêté par le bord, ou la taille minimale recommandée d’une cible tactile sur un téléphone, se déduisent tous, au moins partiellement, de cette même relation entre taille de cible, distance et temps de mouvement établie en 1954.

Une partie des correspondances jugées intuitives ne le sont pas de façon universelle et biologiquement fixée, mais résultent de conventions culturelles apprises, ce que les chercheurs en facteurs humains nomment des stéréotypes de population : un interrupteur qui s’actionne vers le haut pour allumer une lumière est la norme en Amérique du Nord, alors que la convention inverse, vers le bas pour allumer, domine au Royaume-Uni, une différence qui n’a rien d’un hasard mais reflète des habitudes électriques nationales anciennes et aujourd’hui bien ancrées dans chaque population respective. Un même geste peut donc être compatible pour un utilisateur formé dans un pays et incompatible pour un utilisateur formé dans un autre, ce qui signifie qu’une conception d’interface exportée sans adaptation d’un marché à l’autre peut réintroduire malgré elle le problème que le principe de compatibilité cherche justement à éviter.

Cette nuance ne retire rien à la solidité du principe général établi par Fitts et Seeger, mais elle rappelle qu’une bonne compatibilité stimulus-réponse se définit toujours par rapport à une population d’utilisateurs donnée et à ses conventions apprises, plutôt que par une correspondance universelle et acontextuelle qu’il suffirait de découvrir une fois pour toutes.

Une tâche de laboratoire comme celle de Mackworth isole volontairement une seule fonction cognitive, ici la détection visuelle d’un signal rare, de tout ce qui accompagne une tâche de surveillance réelle : la communication avec des collègues, l’interruption par des tâches secondaires imprévues, la fatigue accumulée sur plusieurs jours de travail plutôt que sur les deux heures d’une expérience, ou encore la variabilité des enjeux perçus selon que l’erreur potentielle est anodine ou catastrophique. Cette simplification est une force méthodologique, elle permet d’isoler un mécanisme précis et de le mesurer avec rigueur, mais elle constitue aussi une limite qu’il faut garder à l’esprit avant d’en généraliser directement les résultats numériques, comme le pourcentage exact de déclin de détection observé, à un poste de travail réel bien plus complexe.

Edwin Hutchins illustre ce point à partir d’un angle différent dans son ouvrage de 1995, « Cognition in the Wild », issu d’une étude de terrain menée à bord de navires de la marine américaine : il montre qu’une bonne partie de ce qui permet à une équipe de navigation de fonctionner correctement ne réside dans la tête d’aucun individu isolé mais se trouve distribuée entre les membres de l’équipage, les instruments, les cartes et les procédures partagées, un système cognitif collectif qu’aucune tâche de laboratoire portant sur un individu isolé ne peut représenter fidèlement. Transposer un résultat obtenu sur un participant seul face à un écran vers un environnement de travail collectif suppose donc un pas supplémentaire, qui ne va jamais entièrement de soi.

Une partie de la communauté des facteurs humains a réagi à cette limite non pas en abandonnant les tâches de laboratoire, toujours utiles pour isoler un mécanisme précis, mais en développant un courant de recherche complémentaire, la prise de décision naturaliste, dont l’ouvrage de référence de Gary Klein, « Sources of Power: How People Make Decisions », publié en 1998, étudie directement des professionnels expérimentés, pompiers, commandants militaires, personnel infirmier, en train de prendre de vraies décisions dans leur environnement réel, sous contrainte de temps et avec des enjeux réels, plutôt que des participants non spécialistes exécutant une tâche artificielle en laboratoire. Klein montre notamment que les experts s’appuient rarement sur une comparaison systématique de plusieurs options, comme le supposent de nombreux modèles classiques de décision, mais reconnaissent le plus souvent une situation comme similaire à un cas déjà rencontré et appliquent directement l’action qui avait fonctionné dans ce cas, un mécanisme qu’un protocole de laboratoire isolé et bref ne permet généralement pas d’observer, faute d’une expérience accumulée comparable chez les participants testés.

Ce courant reste néanmoins débattu sur ses propres limites méthodologiques : les études de terrain qu’il privilégie offrent un contrôle expérimental bien moins strict qu’un laboratoire, ce qui rend plus difficile d’isoler avec certitude la cause exacte d’une performance observée, et ses résultats, obtenus auprès de professionnels hautement expérimentés dans un domaine donné, ne se généralisent pas nécessairement à des novices ou à d’autres contextes professionnels. La prise de décision naturaliste et les tâches de laboratoire contrôlées fonctionnent ainsi moins comme deux écoles rivales que comme deux méthodes aux forces complémentaires et aux angles morts distincts, chacune corrigeant partiellement les limites de l’autre sans qu’aucune des deux ne suffise seule à couvrir l’ensemble du terrain.

Ce dossier a insisté, depuis sa première section, sur l’idée qu’une conception défaillante explique souvent mieux une erreur régulière qu’une défaillance individuelle de l’opérateur qui la commet. James Reason formalise cette intuition dans son ouvrage de 1990, « Human Error », par le modèle dit du fromage suisse, qui distingue les défaillances actives, l’action ou l’inaction immédiate d’un opérateur directement liée à un accident, des défaillances latentes, des conditions organisationnelles ou de conception restées invisibles pendant longtemps avant de contribuer, combinées à d’autres, à un accident. Sidney Dekker prolonge cet argument dans « The Field Guide to Understanding Human Error », en soutenant qu’attribuer un accident à une « erreur humaine » isolée relève souvent d’un biais rétrospectif, la tentation de reconstruire après coup un récit où l’erreur d’un individu paraît évidente, alors qu’elle ne l’était pas du tout au moment où cette personne agissait avec les informations et la charge de travail qui étaient réellement les siennes.

Ce débat n’est cependant pas tranché de façon simple en faveur d’un seul camp, et le présenter comme tel irait au-delà de ce que la littérature permet d’affirmer. Reconnaître le rôle systématique de la conception et de l’organisation ne doit pas non plus verser dans l’excès inverse, qui consisterait à dissoudre entièrement toute responsabilité individuelle dans un vocabulaire de « système », un langage que certaines organisations ont parfois utilisé de façon stratégique pour diluer leur propre responsabilité de conception derrière celle, plus commode à invoquer, d’un opérateur de première ligne. La question pertinente n’est donc pas de choisir un camp par principe, mais d’examiner, accident par accident, la part relative que chacun des deux niveaux, individuel et organisationnel, a effectivement jouée, à partir des éléments d’enquête disponibles plutôt que d’une intuition a priori sur ce qui semble le plus probable.

Les accidents du vol Lion Air 610, en octobre 2018, et du vol Ethiopian Airlines 302, en mars 2019, tous deux impliquant un Boeing 737 MAX, offrent un cas récent et abondamment documenté par plusieurs autorités d’enquête indépendantes de ce débat entre responsabilité individuelle et responsabilité de conception. Le rapport final du Comité national de la sécurité des transports indonésien sur l’accident du vol Lion Air, publié en 2019, identifie une combinaison de facteurs : un système d’augmentation des caractéristiques de manœuvre, le MCAS, qui pouvait déclencher une correction automatique du pilotage à partir d’un unique capteur d’angle d’incidence sans redondance croisée, une documentation et une formation des équipages insuffisantes sur l’existence même de ce système, et des lacunes dans le processus de certification partagées entre le constructeur et le régulateur américain.

Ce cas illustre concrètement pourquoi opposer une explication unique, « les pilotes n’ont pas correctement réagi » ou à l’inverse « le système était mal conçu », simplifie à l’excès une réalité que les enquêtes elles-mêmes décrivent comme multicausale. Il illustre aussi une tension observée par ailleurs dans ce dossier entre différentes équipes d’enquête : les autorités américaines ont ultérieurement souligné que le rapport éthiopien accordait, selon elles, une attention insuffisante aux facteurs humains du poste de pilotage, tandis que les investigateurs indonésiens et éthiopiens mettaient l’accent sur les défauts de conception et de certification du système. Cette divergence d’accent entre enquêteurs compétents et de bonne foi, examinant les mêmes événements, illustre bien pourquoi ce dossier présente la question de la responsabilité comme un débat structurellement ouvert plutôt que comme une controverse appelée à se refermer une fois pour toutes.