Étudier l’occurrence d'événements indésirés avec des

20e Congrès de maîtrise des risques et de sûreté de fonctionnement - Saint-Malo 11-13 octobre 2016

ETUDIER L’OCCURRENCE D’EVENEMENTS INDESIRES AVEC DES METHODES CAUSALES STATIQUES OU DYNAMIQUES : QUELLE COMPLEMENTARITE ?

STUDY THE OCCURRENCE OF UNWANTED EVENTS WITH STATIC OR DYNAMIC CAUSAL METHODS: WHICH COMPLEMENTARITY?

Résumé Cette communication questionne différents types de méthodes causales déductives, à caractère statique ou dynamique, permettant d’étudier l’occurrence d’événements indésirés. L’objectif est d’examiner les complémentarités possibles entre ces méthodes. Après avoir reprécisé les notions de lien causal et de facteur causal, les méthodes statiques (arbre des causes et arbre de défaillances) et la méthode Dynamique des systèmes ont été étudiées au travers de deux exemples. Conjuguer lesdeux approches permet de mieux identifier et spécifier les causes de l’évènement, de faciliter l’utilisation des approchesdynamiques et d’améliorer la compréhension des apports possibles de chaque approche. Cependant, cela entraîne un coûtsupplémentaire, d’où l’importance de s’interroger sur les enjeux et le contexte de mobilisation des ressources nécessaires à une double analyse.

Summary This paper questions different types of causal deductive methods, static or dynamic, to study the occurrence of unwanted events. The objective is to examine the potential complementarities between such methods. After re-specifying the concepts of causal link and factor, static methods (causal tree and faults tree analysis) and System Dynamics were studied with two examples. Combining the two approaches allows to better identify and specify the causes of the event, to facilitate the use of dynamicapproaches and to improve the understanding of the possible interests of each approach. However, this results in an additional cost, so it is important to consider the issues and the context of mobilizing resources for a double analysis.

Mots clés : analyse causale, causalité, dynamique des systèmes. Keywords: causal analysis, causality, system dynamics

Introduction

Les industries à risques telles que les industries de l’énergie, du nucléaire, des transports… s’inscrivent depuis longtemps dans des logiques d’amélioration continue de la sécurité et de la sûreté. Ces démarches sont parfois renforcées par des obligations légales qui enjoignent alors de mettre en œuvre des processus spécifiques d’analyse des risques et de Retour d’EXpérience (REX) (Cf. arrêté INB du 7 février 2012). Ces processus passent notamment par l’analyse des évènements qui pourraient arriver ou qui sont survenus.

Le but de cette communication est de questionner différents types de méthodes permettant d’étudier l’occurrence d’événements indésirés afin d’en examiner les complémentarités possibles. Plus précisément, il s’agit d’analyser les complémentarités entre des méthodes causales déductives à caractère statique et d’autres à caractère dynamique. Les méthodes considérées étant déductives, les analyses conduites procèdent donc des effets vers les causes (Villemeur, 1988).

Les méthodes causales à caractère statique ou dynamique permettent d’analyser respectivement les conditions nécessaires de l’occurrence d’un évènement ou de simuler l’évolution, dans le temps, de variables conduisant à l’apparition d’un évènement (correspondant dans ce cas à la valeur atteinte par une ou plusieurs variables). Notons que le terme « évènement » est pris ici dans un sens très large. En effet, il s’agit pour les auteurs d’un processus ou d’un résultat qui s’est produit (analyse a posteriori) ou qui pourrait se produire (analyse a priori) et qui a une certaine importance (par exemple une modification d’un état particulier, d’une quantité de ressources spécifiques… ou une décision prise, un état, incident, accident survenant à un moment donné…). Enfin, les méthodes étudiées, dans le cadre de cette communication, utilisent des relations de causalité formalisées entre les valeurs ou les variables examinées, d’où la présence de représentations graphiques avec des boîtes et des flèches.

Vautier Jean-FrançoisCEA 18 route du Panorama 92265 Fontenay-aux-Roses Cedex [email protected]

Coye de Brunélis Thierry AREVA 1, place Jean Millier 92 400 Courbevoie [email protected]

Périnet Romuald ENGIE – CRIGEN 361 Avenue du Président Wilson 93210 Saint-Denis [email protected]

Cuménal Didier AFSCET/Groupe Dynamique des Systèmes ENSAM, 151 Bd de l’Hôpital 75013 [email protected]

Raxach Nicolas CEA 18 route du Panorama 92265 Fontenay-aux-Roses Cedex [email protected]

Communication 2D /2 page 1/10


Afin d’étudier les complémentarités possibles entre les approches à caractère statique et celles à caractère dynamique, la communication est organisée en trois parties. Dans un premier temps, elle reviendra sur les notions de lien causal et de facteur causal sur lesquelles s’appuient les analyses statiques et les modélisations dynamiques. Il sera examiné, dans un second temps, ce que les méthodes statiques versus dynamiques exploitent/tirent chacune de ces notions. Pour finir, le troisième temps proposera de discuter la complémentarité entre les deux types d’approches au travers de deux exemples d’articulation, l’objectif de ces articulations étant de donner à l’étude de l’apparition d’un évènement une dimension nouvelle que ne peuvent atteindre les méthodes statiques ou dynamiques prises séparément.

Lien causal et facteur causal : retour sur quelques basiques

1 Lien causal Un lien causal relie deux facteurs dont le premier peut alors être qualifié de causal. Le lien est orienté du facteur amont vers le facteur aval. Caratini (2012) indique dans son "Initiation à la philosophie" que "Dans son sens le plus général, le mot « cause » désigne tout ce qui contribue à constituer ou à modifier un être ou son état […]". Quatre acceptions possibles de cette notion avaient été proposées précédemment par Aristote dans la Physique et la Métaphysique (cf. Vautier, 2015). Nous les illustrerons avec l’exemple d’une voiture : - cause matérielle : les éléments (moteurs, roues…), les matériaux utilisés ; - cause formelle : la ligne, la forme globale mais aussi le type de fonctionnement, les fonctions de contraintes : propulsion thermique ou électrique… ; - cause motrice ou efficiente (intitulée « efficace » par Caratini, 2012) : le constructeur, le réparateur, le mainteneur… - cause finale : fonctions de service comme par exemple transporter des êtres humains, des marchandises… fonctions d’estime. Aujourd’hui, la notion retenue le plus souvent pour désigner une cause est la cause motrice ou efficiente. Dans ce cadre, toujours selon Caratini (2012), la causalité "[…] suppose implicitement trois affirmations. Dire que A est cause de B, en ce sens, cela signifie dans le langage classique : - que A précède B dans le temps ; - que A a le pouvoir de produire B, soit qu’il le contienne et qu’il lui donne l’être, soit qu’il l’appelle ; - que le rapport de A à B est constant (déterminisme) et qu’il ne peut être autre que ce qu’il est (nécessité)." Pour exemple, le "qu’il le contienne et qu’il lui donne l’être" peut être illustré par la mitose des cellules, la reproduction (sexuée ou non : bouturage…), le "qu’il l’appelle" renvoie par exemple à une commande (d’achat d’un produit), une demande, une interaction de type clef-serrure, interaction hormone-cible… mais aussi du type bielle-manivelle : force de poussée, tirée… Ainsi, pour qu’il y ait un lien causal entre deux facteurs, il est donc nécessaire qu’il y ait une antériorité ou une simultanéité entre un facteur causal et un facteur causé. Il est aussi nécessaire qu’il y ait une relation constante de constitution ou de modification entre les deux facteurs, dans le cas où le même contexte se représente ("les mêmes causes produisent les mêmes effets"). En d’autres termes, si le contexte, dans lequel se trouvent les deux facteurs, se reproduit (dans une expérimentation, on parlera alors de facteurs neutralisés), la contribution du facteur causal vis-à-vis du facteur causé doit toujours avoir la même forme (notion de reproductibilité des résultats). Dans le cas contraire, cela signifie que le facteur en amont du lien, le facteur en aval et/ou le contexte sont à repréciser. Pour apprécier la capacité du facteur causal à pouvoir produire le facteur causé, des approches mathématiques, notamment, ont été proposées (Drouet et al., 2013) ainsi que des approches graphiques. Boudon (1967) avait fait par exemple la proposition suivante. Soit X et Y deux variables dichotomiques, c’est-à-dire qui ne prennent que deux valeurs (respectivement x et , y et ). P(y/x) représente la probabilité conditionnelle d’observer y quand on a observé x. P(y / ) représente la probabilité conditionnelle d’observer y quand on a observé . Boudon indique : Si : X est antérieur à Y et P(y/x) est différent de P(y / ) (toutes choses égales d’ailleurs) Alors : X est cause de Y. Notons qu’un facteur peut ne pas vérifier cette formule dans un certain contexte mais la vérifier dans un autre. Une clef (le facteur X) ne permet d’ouvrir une porte (Y) que si elle est introduite dans la serrure correspondante (le contexte). La même clef introduite dans une autre serrure de la porte ne pourra pas entraîner son ouverture. Des chercheurs ont proposé des manières de tester la contribution du contexte (représenté souvent sous la forme de variables dites T), et d’écarter des situations où des corrélations entre X et Y ne renverraient pas à des liens causaux. Un modèle mathématique, fondé sur l’utilisation de corrélations partielles, a été proposé par Lazarfeld (exposé par Bacher, 1978). Cette approche distingue quatre cas permettant de tester le lien causal entre deux variables (cf. Vautier, 1999). Un seul cas renvoie à une relation causale. C’est le cas précédent évoqué par Boudon. Les trois autres cas peuvent être illustrés avec une approche graphique proposée, indépendamment des précédents travaux, notamment par Godet (1991) dans le champ de la Prospective. Cet auteur présente trois questionnements pour examiner si la contribution d’une variable à la constitution ou la modification d’une autre ne serait qu’apparente… Ces trois questionnements permettent ainsi d’interroger la (non)causalité entre deux facteurs X et Y en cherchant à positionner la contribution potentielle possible d’une variable T. La relation est-elle :

La relation inverse (la première ci-dessus) questionne l’antériorité (Forsé, 1991).

X Y ou Y X

Y

T

X

X Y ou

X Y ou

Y

T

X

y ‾ x ‾ x ‾ x ‾

x ‾



2 Facteur causal

2.1 Nature des facteurs causaux Les facteurs causaux peuvent être : - des faits ou des états, c’est-à-dire des valeurs d’une variable (par exemple "il fait 40 °C dans cette pièce") ou des modalités de fonctionnement d’un système (par exemple "l’opérateur court"), - des variables pouvant prendre différentes valeurs (par exemple la variable "Température d’une pièce" ou encore "Vitesse (ou Type) de déplacement").

2.2 Quatre caractéristiques d’un facteur causal Il s’agit de s’intéresser ici aux différentes dimensions d’un facteur causal. Comment peut-on caractériser ce facteur ? Nous nous appuierons sur les quatre dimensions d’un facteur causal proposées par Van Villaer (2013). Cet ensemble de quatre dimensions rassemblent des notions qu’on retrouve généralement de manière dispersée dans différentes approches comme la notion de cause profonde (Rousseau, 2014) ou celle de couplage (Perrow, 1999)… Ces quatre dimensions proviennent de la psychologie et plus spécifiquement de l’étude des comportements humains. En effet, certains psychologues analysent les facteurs causaux d’un comportement selon le « lieu » des facteurs (interne ou externe), le degré de stabilité des facteurs, le degré de contrôle que l’on possède sur les facteurs et la propension du facteur à expliquer une palette plus ou moins large de comportements. Chaque dimension sera, dans la suite de la communication, généralisée à des facteurs en lien avec un évènement non uniquement comportemental.

2.2.1 La profondeur/distance entre le facteur causal et l’évènement Selon Van Villaer (2013), le comportement peut être expliqué par des facteurs personnels ou environnementaux. Dans le premier cas, il s’agit d’un lieu dit de « contrôle interne », d'un facteur « personnel » ou « dispositionnel ». Dans le second cas, il s’agit d’un lieu dit de « contrôle externe » c’est-à-dire d’un facteur « situationnel ». L'explication peut aussi être « mixte » : une combinaison des deux types de facteurs. Cette notion de distance/proximité du facteur causal vis-à-vis d’un comportement peut être généralisée à un évènement de nature matérielle, par exemple la panne d’une machine ou la rupture d’un arbre de transmission (cf. l’animation « pompe » du GTR « Organisation et maîtrise des risques » de l’IMdR sur YouTube https://www.youtube.com/watch?v=yWoXpDz5fa8). Lorsque les causes sont positionnées par rapport à l’évènement, on parle alors de causes apparente… locale, proximale… profonde/racine/distale... La théorie des graphes permet de positionner des relations d’ordre 1 (un arc entre deux nœuds c’est-à-dire une relation entre X et Y), d’ordre 2 (relation entre X et Y passant par Z)… La notion de cause profonde renvoie fondamentalement à une cause d’ordre n, n étant « grand ». Une autre possibilité est de positionner une cause profonde comme étant une cause à caractère organisationnel même si le nombre de relations entre ce facteur et l’évènement est relativement faible (2 par exemple) (cf. le modèle SCM3 dans Reason et al., 2006).

2.2.2 La stabilité versus variabilité dans le temps des facteurs causaux Les facteurs causaux peuvent être considérés comme stables (permanents) ou variables. Ainsi, Van Villaer (2013) nous indique qu’ « en attribuant un échec [scolaire] à un manque d'aptitudes ou à une insuffisance de travail, on invoque des facteurs internes, mais dans le premier cas le facteur est jugé stable tandis qu'il apparaît variable dans le second. » Nous proposons de transposer cette dimension à des évènements non comportementaux et à des causes matérielles ou organisationnelles.

2.2.3 Le degré de contrôle sur les facteurs causaux Van Villaer (2013) illustre cet item en le combinant aux précédents : « Ainsi, les causes de réussite et d'échec [scolaire], traditionnellement invoquées, sont de quatre ordres : l'aptitude (facteur interne, stable, incontrôlable), l'effort (facteur interne, variable, contrôlable), la difficulté de la tâche (facteur externe, stable, incontrôlable), la chance (facteur externe, variable, incontrôlable pour l’acteur ici et maintenant) ». Dans les méthodes causales a priori et a posteriori cette caractéristique de non contrôle sur un facteur est souvent associée au fait qu’il n’y ait pas de facteur causal non contrôlable dans un arbre. C’est en d’autres termes un critère d’arrêt d’une remontée vers des causes plus amont que le dernier facteur contrôlable. Ainsi, dans le cadre d’une analyse statique comme l’arbre des causes, une condition météorologique ou des dispositions de la vie privée d’un opérateur sont des faits sur lesquels, l’entreprise n’a pas de prise. Ils ne sont donc pas intégrés dans l’arbre. Dans le cadre d’une analyse dynamique, comme la Dynamique des Systèmes, l’arrêt dans la recherche des facteurs causaux est lié aux possibilités de pilotage du modèle. La question se porte alors plus sur les facteurs qu’on connaît et/ou qu’on contrôle dans le cadre de la demande initiale faite au modélisateur. En effet, le modèle répond à des besoins opérationnels et au périmètre initialement défini. Par exemple si le but du modèle est d’anticiper et de maitriser les fluctuations, les désynchronisations entre des niveaux de stock, de la production et de la demande des clients, la recherche d’autres agents en dehors de ce champ d’investigation est hors de propos. Enfin, un arrêt est nécessaire lorsque le fait de rajouter de nouvelles variables, et notamment de creuser le modèle pour rechercher des sous-systèmes de sous-systèmes (c’est-à-dire in fine augmenter le nombre de relations causales), n’apporte plus de changement aux résultats du modèle.

2.2.4 La spécificité versus "globalité" des facteurs causaux Van Villaer (2013) parle « d'attribution "globale" » lorsque le psychologue pense « […] que ce qui détermine le comportement considéré intervient dans une large diversité de conduites ou de situations. L'attribution est "spécifique" si elle concerne un type de conduite ou un secteur nettement délimité. » Cette idée rejoint la notion de couplage développée par Perrow (1999) où un facteur causal a une influence sur un grand nombre d’autres facteurs. Dans le champ de la prospective, Godet (1991) évoque dans ce cas des variables dites de commande (lorsqu’elles influencent un grand nombre de variables et qu’elles sont, de plus, peu dépendantes ou sensibles à des influences d’autres variables).



Méthodes causales statiques et dynamiques

1 Présentation des deux types de méthodes

1.1 Méthodes causales statiques Les méthodes causales à caractère statique travaillent avec des valeurs ou des modalités. Concernant les méthodes a priori (l’évènement n’est pas survenu mais pourrait arriver), citons la méthode de l’arbre de défaillances (Villemeur, 1988). Concernant les méthodes a posteriori (l’évènement est avéré puisqu’il s’est produit), elles sont principalement représentées dans l’industrie par la méthode de l’arbre des causes (les valeurs ou modalités sont alors appelées faits) (cf. INRS, 2013), les diagrammes causes-effets ou la méthode des 5 pourquoi. Il s’agit de méthodes à clef de remontée de l’évènement vers des causes directes et des causes profondes/racines. Un cas particulier : la méthode STAMP développée par Nancy Leveson (cf. Hardy et al., 2012) qui peut être rendue dynamique mais peut-être utilisée aussi comme une méthode statique. Le principe est ici de structurer la relation causale entre des variables à partir d’un lien de contrôle (au sens de maîtrise ou de commande) et d’un lien de retour d’information. Pour les arbres des causes, la remontée vers les causes amont peut se faire à l’aide de trois questions qui sont en fait la clef de remontée d’une cause aval vers une ou plusieurs causes amont qui l’ont générée. Les trois questions qui peuvent être posées sont :

- qu’a-t-il fallu pour que ce fait se produise ? - est-ce nécessaire ? - est-ce suffisant ?

Cela permet d‘articuler les faits recueillis lors de la phase de collecte d’informations. Pour les arbres de défaillances, après avoir défini l’évènement redouté à étudier (placé au sommet de l’arbre), il convient ensuite de positionner l’ensemble des évènements qui, s’ils apparaissent, généreront l’évènement redouté et ainsi de suite. Enfin, il est important de se demander si les évènements contribuant à la survenue d’un autre événement sont immédiats, nécessaires et suffisants. De fait, on retrouve dans ces méthodes une recherche implicite d’antériorité ou de simultanéité entre le fait (ou état) contributeur de l’occurrence du fait (ou état) produit et ce dernier. Cela vise à éviter le premier cas proposé par Godet (1991) dans son approche graphique. La recherche de nécessité et de suffisance vise à éviter le deuxième cas indiqué par le précédent auteur. Concernant la nécessité, il s’agit de se demander si l’existence du fait étudié est nécessaire à l’existence du fait aval. La survenue d’un fait aval ne serait-elle pas liée en réalité à un autre fait amont qui serait le véritable contributeur ? Concernant la suffisance, cette notion renvoie à l’idée de rechercher l’ensemble des facteurs causaux nécessaires à la réalisation d’un facteur causal en aval (dans la méthode de l’arbre des causes) ou plus proche du sommet (pour un arbre de défaillances). La recherche de la suffisance vise à pouvoir disposer d’une relation, suffisamment avérée, entre un ensemble de facteurs causaux et un facteur causé. Il arrive en effet parfois que l’on puisse trouver une situation où l’on ait l’ensemble des faits terminaux d’un arbre mais que pour autant l’évènement ne se produise pas. Cela est alors souvent dû à la non introduction, dans l’arbre, de certains facteurs causaux. A voir si la question de la constance du lien des facteurs causaux et un facteur causé ne serait pas une voie pour améliorer cette recherche de suffisance ? Enfin, la notion d’immédiateté cherche à éviter le troisième cas évoqué dans l’approche graphique de Godet (1991).

1.2 Méthodes causales dynamiques Les méthodes causales dynamiques travaillent avec des variables. Nous allons nous focaliser sur un type d’approche : la Dynamique des Systèmes qui privilégie des liens fondés sur des intégrales simples. La méthode utilisée pour l’approche dynamique a priori est une méthode à base d’équations différentielles intégrant la variable temporelle (INERIS, 2007 ; Guillaume, 2006). La méthode appelée « Dynamique des Systèmes » (Cuménal, 2015) recourt à des simulations pour modéliser dans le temps le déroulement d’un évènement. Cette approche permet de représenter le fonctionnement d’un système sous la forme d’un ensemble de variables interreliées dans un graphe d’influence causale dit diagramme causal. Cela permet de simuler ensuite le comportement des variables représentatives du fonctionnement du système suite à une entrée ou à une modification de l’une des variables. La Dynamique des Systèmes est ainsi une discipline, mais également un état d’esprit, une autre façon de représenter et de résoudre un problème complexe. Cette approche dynamique s’appuie sur la non-linéarité et les « feed-back » qui montrent comment les résultats rétroagissent sur les entrées d’un système. Cette modélisation permet, en particulier, d’étudier et de simuler numériquement, dans le temps, les effets contre-intuitifs des décisions prises et de mettre en exergue certains risques possibles afférents à ces dernières. En Dynamique des Systèmes, la cause est un cycle élémentaire dans un graphe que l’on désigne plus précisément par la notion de boucle de rétroaction. La logique est fondée sur l’étude des polarités des boucles et leur dominance au cours du temps. Les signes dans les boucles déterminent le sens de leur comportement (amplification à la hausse, à la baisse, oscillation, stabilité…).

2 Intérêts relatifs des deux types de méthodes

2.1 Vision d’ensemble des facteurs causaux d’un évènement Dans une méthode statique, l’ensemble des facteurs causaux et leurs liens les uns avec les autres est relativement facile à appréhender en particulier compte tenu de l’aspect orienté de la représentation. L’enchaînement des causes est en effet unidirectionnel. La représentation graphique orientée (dans le sens d’une remontée vers des causes amont en sens inverse des flèches présentées) est une aide à la lecture d’un schéma causal statique. Ainsi, dans le cadre d’un diagramme en arêtes de poissons, on rejoint facilement les facteurs causaux amont à partir des facteurs causaux aval en passant de l’arête principale aux arêtes secondaires… ce qui permet de remonter vers des causes plus profondes. En outre, avec une approche statique, on se focalise sur un évènement terminal. Ce type d’approche permet alors généralement d’appréhender plus de facteurs causaux locaux qu’une approche dynamique car on se focalise, dans ce cas, sur une seule « image photographique » : la situation évènementielle. De plus, le « champ de prise de vue » est plus ou moins large car le lien



causal peut être établi plus difficilement entre des faits très amont. Il devient, en effet, difficile de s’assurer que le lien causal entre deux faits à caractère organisationnel est constant. Dans une méthode dynamique du type Dynamique des Systèmes, l’enchaînement des causes est multidirectionnel. Du fait des interactions circulaires modélisées entre les variables (avec le concept de rétroaction), la notion de cause profonde disparaît, de même que la vision globale de l’ensemble des causes des phénomènes étudiées. En effet, la ou les variables descriptives de l’évènement sont elles-mêmes des facteurs causaux de facteurs causaux situés plus en amont… En suivant les flèches, on part d’une variable pour y revenir suivant un chemin plus ou moins long… Dans ce cadre, la notion de contributeurs d’un évènement d’un succès/échec (niveau atteint par une ou plusieurs variables) disparaît au profit d’une contribution globale/diluée : le responsable des succès/échecs c’est la structure, le système entier des variables.

2.2 Dynamique de fonctionnement des facteurs causaux Avec la Dynamique des Systèmes, l’évolution des variables d’un système peut être représentée jusqu’à la survenue de l’évènement (et même après sa survenue). Les approches statiques à caractère déductif ne le peuvent pas, par définition même. Une modélisation en Dynamique des Systèmes permet donc d’appréhender le fonctionnement d’un système à la différence de la structure logique de la survenue d’un évènement, appréhendée dans une approche statique. Une méthode statique est en effet une approche synchronique (une « photographie ») alors qu’une méthode dynamique est une approche diachronique (« un film ») (Vautier, 2016). Quand on a à traiter un système complexe avec des composants humains (à la différence d’un système uniquement technique), faire un arbre de défaillances seul peut s’avérer insuffisant. En effet, il peut y avoir des difficultés à calculer des probabilités de survenue de défaillances avec un être humain… Celui-ci ne répond pas comme un objet matériel (un mur par exemple) selon des lois de comportements uniquement mécaniques. Compte tenu d’un stimulus en entrée, d’un état interne et d’un contexte donnés, la réponse d’un système mécanique est généralement prévisible. Avec un être humain, la dimension de l’émotion, en particulier, rend aujourd’hui très difficile la question de la prévisibilité du comportement humain dans certaines situations… D’autant que notre corps est constitué d’innombrables boucles de rétroaction entre les systèmes biologiques… Par ailleurs, la modélisation dynamique effectuée est déterminée par son domaine de définition. Il est important de ne jamais l’oublier (gare aux mirages numériques !). D’où l’importance de définir le périmètre fonctionnel, de se demander quelle échelle de temps doit être prise en compte. En effet, les conséquences d’une décision d’une action peuvent toujours émerger à long terme et en dehors des frontières du modèle. Ne pas alors oublier de se demander si les variables d’état qui résultent d’une intégration numérique des flux peuvent être quantifiables et si l’on peut intégrer l’aléa sans dénaturer l’esprit même du déterminisme structurel de la Dynamique des Systèmes. En revanche, lorsque la simulation produit des résultats non conformes à des données de la réalité, reconnues comme exactes, cela permet de montrer que le modèle lui-même (comprenant de nombreuses interactions entre variables) est certainement inadéquat. Et c’est alors une force de l’approche de pouvoir disposer d’éléments indiquant que la modélisation proposée est fausse…

2.3 Technologies nécessaires Une méthode statique du type arbre de causes peut être déroulée « à la main » puisqu’il n’y a pas de calculs à réaliser. Un arbre de défaillances nécessite de réaliser des calculs plus ou moins sophistiqués qui sont fortement facilités par l’assistance d’un ordinateur. Pour les méthodes dynamiques, les boucles de rétroaction font que l’utilisation d’un ordinateur est quasi obligée… Corrélativement le fait de ne plus maîtriser le déroulement des calculs, car trop compliqués à suivre, sans aucune possibilité d’anticiper l’ordre de grandeur du résultat final ou encore le sens prévisible de l’évolution d’une variable… peut être une cause de rejet de ce type de méthodes ou a minima du manque de confiance des décideurs vis-à-vis des analyses produites et de conviction à l’égard des actions à lancer ainsi que de la réalité de leur efficacité.

2.4 Possibilité d’évolution des méthodes Des possibilités de modifications des méthodes statiques existent. Ainsi, des propositions ont été faites pour pondérer les causes afin de traiter ensuite les causes contribuant le plus aux évènements (optimisation de l’affectation des efforts). D’autres existent pour introduire des barrières entre les causes (Périnet et al., 2014).

Complémentarité des deux types de méthodes Cette complémentarité sera appréhendée en prenant comme support deux exemples d’articulation des méthodes statiques et dynamiques. Le premier exemple propose une juxtaposition des deux approches menées indépendamment l’une de l’autre. Le deuxième exemple est une approche réellement hybride car les deux approches ont été combinées dans l’étude réalisée. Les intérêts et limites de ces articulations seront ensuite proposés afin de discuter la complémentarité des méthodes statiques et dynamiques.

1 Présentation des deux exemples d’articulation des méthodes L’articulation des deux types de méthodes se fera à partir de deux études de cas (le débordement d’une cuve et une partie d’une étude du risque incendie) traitées, pour la première, avec une approche statique (la méthode de l’arbre des causes) et une approche dynamique (la Dynamique des Systèmes) et, pour la seconde, avec un arbre de défaillances et une approche fondée sur des équations différentielles intégrant la variable temporelle (INERIS, 2007 ; Guillaume, 2006).

1.1 Cas n°1 : Débordement d’une cuve Avant d’illustrer l’approche statique et l’approche dynamique, voici quelques éléments permettant de situer le contexte de l’occurrence de l’évènement (cf. figure 1) qui servira de support à nos deux types d’analyses. Un opérateur doit remplir une cuve (d’une capacité de 150 litres de contenance) jusqu’à un niveau final F de 100 litres. Le débit de la cuve est contrôlé par un robinet disposant d’une manette pouvant avoir différentes positions indiquées par une lettre sur le robinet. Chaque position de la manette correspond à un débit différent du robinet. Chronologie succincte de l’évènement :



- de 0 minute à 2 minutes l'opérateur met en route le remplissage de la cuve en mettant la manette du robinet sur une position R. Le débit est constant durant ce laps de temps (5 litres/min). Le niveau de remplissage arrive au niveau B au bout de 2 minutes (la cuve est ainsi remplie avec 10 litres de fluide) ;

- l'opérateur bouge alors la manette du robinet du tuyau d’entrée pour la mettre en position P, ce qui permet d'avoir un débit constant de 12 litres par minute ;

- le niveau atteint au bout d’une minute dans cette position P, soit de 3 minutes au total, est le niveau A (soit 22 litres de remplissage) ;

- l’opérateur est alors mobilisé sur une autre tâche. La cuve continue de se remplir, atteint 106 litres après 10 minutes de remplissage, finit par atteindre les 150 litres et déborde après 13 minutes et 40 secondes de remplissage.

1.1.1 Approche statique : principaux résultats Un extrait de l’arbre des causes est présenté en figure 2.

1.1.2 Apports de l’approche dynamique Un schéma causal simplifié est présenté en figure 3.

Figure 1 : schéma récapitulatif du contrôle du remplissage de la cuve

Débordement de la cuve

Remplissage de la cuve jusqu’au niveau A (22 litres)

Maintien d’un débit constant de fluide de 5 litres/min durant 2 min

Cuve vide

Niveau de fluide atteint lors du dernier contrôle visuel : B

Niveau de fluide final F visé dans la cuve

Perception par l’opérateur d’un écart entre le niveau de fluide visé et le niveau atteint lors du dernier contrôle de niveau effectué : F – B

Figure 2 : Extrait de l’arbre des causes du débordement de la cuve

Mouvement de rotation de la manette du robinet par l’opérateur vers la position P

Maintien d’un débit constant de fluide de 12 litres/min durant 10 min et 40 sec, à partir de l’atteinte du niveau A

Utilisation d’une cuve de 150 litres

Position P de la manette du robinet Maintien de

la position P du robinet pendant 10 min et 40 sec

Application par l’opérateur de la procédure de remplissage

Opérateur mobilisé sur une autre tâche

---- niveau B

P

{ ---- niveau F

---- niveau A

Débit du fluide dans le tuyau d’entrée

Position de la manette du robinet du tuyau d’entrée

Niveau réel du fluide dans la cuve

Ecart perçu, par l’opérateur, entre le niveau désiré et le niveau atteint dans la cuve

Niveau du fluide désiré dans la cuve

Figure 3 : Schéma causal simplifié, inspiré de Peter SENGE, La cinquième discipline, 1991

Position P



Notons, qu’à l’origine, le niveau désiré est un paramètre du modèle mais qu’à partir du moment où l’opérateur est mobilisé par une autre tâche, le niveau du fluide désiré devient une variable. Deux diagrammes causaux sont présentés avec les représentations des variables telles que définies dans la Dynamique des Systèmes. Le premier renvoie à la situation jusqu’à la troisième minute et le second de la troisième minute jusqu’au débordement de la cuve. Un graphique présente ensuite l’évolution dans le temps des variables « Débit du fluide dans le tuyau d’entrée » et « Niveau réel du fluide dans la cuve ». L’opérateur, après son départ, ne contrôle plus le niveau du fluide. Le bouclage initial des variables dans le diagramme causal est rompu au bout de 3 minutes. La relation entre « Ecart perçu » et « Position de la manette du robinet » disparaît.

Notons que la variable « Délai » entre la variable « Débit du fluide » et « Niveau réel » a été positionnée à une valeur de 0 seconde. En réalité, un délai moyen d’1 seconde environ est plus vraisemblable ici (le temps que le fluide aille du robinet à la masse d’eau déjà présente dans la cuve). Par ailleurs, la Dynamique des Systèmes permet aussi de positionner une variable Délai, par exemple entre l’« Ecart perçu » et la « Position de la manette du robinet », ce qui est en lien avec les processus de traitement de l’information à l’œuvre chez l’opérateur. La Dynamique des Systèmes permet donc de modéliser l’ensemble des relations d’influence entre variables qu’elles soient liées à des décisions, comme dans le cas de la précédente relation, et donc difficilement prédictibles exactement, mais également des relations entre variables liées à des processus physiques à caractère mécanique qui sont en général plus prédictibles (lien « mécanique » entre « Débit du fluide » et « Niveau réel »).

1.2 Cas n°2 : Etude du risque incendie au CEA Afin de montrer l’intérêt d’utiliser conjointement les méthodes statiques et les méthodes dynamiques, il est présenté ci-après un exemple d’étude du risque d’incendie au CEA. En liminaire, il convient de préciser que la démarche de sûreté nucléaire mise en œuvre par le CEA pour la conception de ses installations est basée sur une approche déterministe. Elle repose notamment sur l’interposition de barrières entre les produits radioactifs et toxiques et le personnel, le public et l'environnement. En fonction des études des sources de dangers susceptibles d'agresser les barrières identifiées, des fonctions de sûreté sont définies pour garantir la sûreté de l'installation et la protection des personnels, du public et de l'environnement. L'analyse de sûreté permet de définir et de classer les structures, éléments et matériels selon leur rôle vis à vis de la sûreté, et en particulier d'identifier les Eléments Importants pour la Protection (EIP). Pour chacun de ces éléments sont définies une qualité et des exigences à respecter pour leur conception (dimensionnement, qualification, …), réalisation et exploitation. La démarche de sûreté repose également sur la mise en œuvre du principe de défense en profondeur qui prend en compte l'éventualité de défaillances techniques et humaines et la mise en place de lignes de défense pour y faire face et en limiter les conséquences.

1.2.1 Approche statique : principaux résultats Dans ce cadre, l’arbre de défaillances (méthode statique) peut être utilisé pour vérifier si la défaillance d’une ligne de défense peut mener à un événement redouté vis à vis de la sûreté nucléaire. L’exemple ci-après est un arbre de défaillances simplifié



menant à l’évènement redouté « Perte du dernier niveau de filtration (DNF) » d’une installation suite à un départ de feu en s’intéressant à une variable dynamique, la quantité de comburant disponible dans le local. Nota 1 : En milieu nucléaire et afin de garantir un sens d’air de l’extérieur vers les locaux à risque (maîtrise du confinement), les locaux sont ventilés mécaniquement pour maintenir une cascade de dépression. Nota 2 : l’arbre de défaillances est volontairement simplifié pour illustrer le propos. Ainsi, tous les niveaux de défense en profondeur ne sont pas représentés et seules quelques lignes de défense sont abordées. Sachant que l’approche se veut déterministe, l’évènement initial (départ de feu) est postulé a priori. Dans le cas d’un incendie en milieu confiné et ventilé, la puissance de feu peut être estimée grâce au débit massique d’air entrant dans le local. En considérant que l’air disponible dans le volume est consommé par la combustion, la puissance du feu peut être approximée par la relation suivante :

�̇�𝑄𝑐𝑐 = �̇�𝑚𝑎𝑎𝑎𝑎𝑎𝑎 × ∆𝐻𝐻𝑐𝑐,𝑎𝑎𝑎𝑎𝑎𝑎 (Babrauskas and Peacock, 1992) Avec : �̇�𝑄𝑐𝑐 : la puissance du foyer, �̇�𝑚𝑎𝑎𝑎𝑎𝑎𝑎 : le débit massique d’air entrant dans le local et ∆𝐻𝐻𝑐𝑐,𝑎𝑎𝑎𝑎𝑎𝑎 : pouvoir calorifique de l’air La conséquence d’un départ de feu suffisamment ventilé peut être la propagation de celui-ci à des combustibles voisins et donc l’initiation de foyers secondaires pouvant mener, si les conditions physiques le permettent, à la combustion de l’ensemble du local. Dans cette situation, les conditions thermiques dans le local considéré peuvent devenir suffisamment défavorables pour mener, via les conduits d’extraction, à l’atteinte du critère de tenue en température du DNF et donc à l’évènement redouté "perte du DNF".

Figure 4 : Arbre de défaillances simplifié de l'évènement redouté "Perte du DNF"

1.2.2 Apports de l’approche dynamique Les blocs en orange dans la figure ci-dessus dépendent des conditions de combustion et de l’ambiance thermique du local. Dans ce cas précis, l’apport d’air (dont dépend l’efficacité de combustion) maximise la puissance du feu. Toutefois, il est impossible de définir a priori les débits minimum qui engendreraient une propagation du feu, puis un incendie à l’ensemble du local ; ni d’estimer la température de conduit d’extraction pour une distance donnée. Aussi, l’appel à une méthode dynamique s’avère nécessaire pour évaluer la contrainte thermique et savoir si l’arbre de défaillances peut se dérouler ou non jusqu’à l’évènement redouté. Pour l’exemple susvisé, voici un diagramme dynamique des effets de l’apport d’air sur la contrainte thermique dans le local.

Dépassement du critère de tenue à la pression du filtre

Dépassement du critère de tenue au colmatage du filtre

Propagation de gaz chaud et particules incandescentes dans les conduits de ventilation

Feu de l’ensemble local

Propagation du feu aux combustibles voisins

Foyer suffisamment ventilé

Départ de feu dans le local

Dépassement du critère de tenue en température du filtre

Perte du DNF

Efficacité de combustion

Température du local

Apport d’air

Pression

Efficacité de la ventilation

Propagation du feu aux combustibles voisins



2 Intérêts et limites des conjuguer une approche statique et une approche dynamique L’objectif de cette partie est d’examiner ce qui favorise ou inhibe la complémentarité des deux types d’approches. En quoi, conjuguer les deux approches, est-il profitable ou peut au contraire présenter des inconvénients ?

2.1 Identifier et spécifier les causes de l’évènement Certaines faiblesses des méthodes statiques, utilisées seules dans le cadre des analyses de l’occurrence d’un évènement, ont déjà pu être constatées. Par exemple, en examinant uniquement un arbre des causes (en particulier plusieurs mois après la survenue de l’évènement), il est souvent difficile de savoir ce qui s’est réellement passé lors de cet évènement, de même qu’il est aussi peu aisé d’identifier comment se sont manifestées précisément les causes de l’évènement, indiquées sous la forme des intitulés présents dans les cases de l’arbre. En effet, les intitulés peuvent renvoyer à différentes manières de faire « le fait ». Par exemple pour « l’opérateur est mobilisé sur une autre tâche », l’est-il fortement ou faiblement ? « L’opérateur a tourné la manette de la vanne », l’a-t-il fait vite, lentement… ? Il n‘y a pas d’interprétation dans l’intitulé dans le sens où le fait s’est bien produit comme il est écrit mais il peut y avoir différentes manières de faire ce qui est écrit. En d’autres termes, plusieurs évènements pourraient être décrits par le même arbre… Par ailleurs, dans les méthodes à caractère dynamique, il n’est pas possible de construire un schéma causal avec des variables intitulés négativement, du type « absence de… », « non réalisation de… »…. Cela est de nature à aider à la formulation d’intitulés affirmatifs pour les faits dans une méthode statique en éliminant les notions de non barrières comme facteurs causaux. Ainsi, conduire les deux approches et confronter les représentations est susceptible de permettre de mieux rétroagir, de remodifier et d’enrichir l’une l’autre de manière croisée. Plus globalement, la complémentarité de deux angles de vue est généralement profitable car un modèle (un point de vue) est toujours réducteur. Rappelons-nous qu’il vaut mieux accompagner une vue de face d’une vue de profil d’un dromadaire et d’un chameau si l’on veut bien distinguer les deux animaux…

2.2 Faciliter l’utilisation des approches dynamiques Les deux approches donnent la possibilité de fédérer, en les représentant, des connaissances différentes, des métiers différents. Il y a une convergence de procédé entre les deux démarches qui devrait être de nature à favoriser l’utilisation des approches dynamiques. Et, comme, d’une part, il arrive qu’il y ait fréquemment un arrêt de l’analyse à des facteurs causaux directs de l’évènement avec une méthode statique, et que, d’autre part, l’utilisation d’une approche dynamique permet, de son côté, de positionner facilement des variables organisationnelles, conjuguer les deux approches conduit à avoir une vision plus globale des causes. Enfin, dans les cas où sont pointées des causes organisationnelles dans une approche statique, l’utilisation conjointe des deux approches permet de mieux justifier les remises en question de choix organisationnels lorsque ces derniers sont pointés comme facteurs causaux par les deux approches.

2.3 Améliorer la compréhension des apports et de la nature de chaque approche La mise en perspective des deux cas, présentant en même temps les deux approches, permet de bien visualiser qu’une approche statique travaille sur des valeurs alors qu’une approche dynamique travaille sur des variables. Les deux cas présentés permettent de voir simplement qu’une démarche causale dite logique intègre une dimension temporelle : qui dit cause dit antériorité ou simultanéité du facteur causal. En outre, une faiblesse est souvent évoquée à l’égard des méthodes causales statiques : il n’y a pas de bouclages entre les cases de l’arborescence proposée, alors que le monde est complexe et fait de nombreuses boucles de rétroaction… Le cas du débordement de la cuve permet de montrer simplement que cette absence de bouclage est « logique » dans le cadre d’une méthode causale basée sur des faits c’est-à-dire sur des valeurs que prennent des variables inscrites dans le temps. Et, l’on ne peut pas remonter le temps… Par ailleurs, appréhender conjointement les deux types d’approche permet de pointer l’importance, à côté des facteurs causaux, des deux types de structures interactives à l’œuvre dans les deux types de schémas causaux. Il s’agit, pour les approches statiques, de structures arborescentes avec des connecteurs « et », pour les arbres des causes, ou encore « et » et « ou », pour les arbres de défaillances. Concernant les approches dynamiques les structures interactives à l’œuvre entre les causes sont des structures multi-bouclées. Un intérêt collatéral possible d’une utilisation d’une approche dynamique en complément d’une approche statique a posteriori pourrait être d’éviter d’utiliser une approche statique pour chercher des responsables au lieu de rechercher uniquement des causes, ce qui est la finalité d’origine des arbres des causes par exemple. En effet, la causalité circulaire à l’œuvre dans une approche dynamique pointe bien la complexité d’une situation.

2.4 Enjeux, coûts liés à l’étude

2.4.1 Coût et lourdeur de la mise en œuvre d’une double analyse Il s’agit d’une limite forte à la complémentarité, un frein à l’utilisation conjointe des méthodes statiques et dynamiques, d’autant que ces deux types d’approches ne peuvent prétendre ni à l’exhaustivité des causes ni à leur hiérarchisation, ce qui est une demande récurrente… L’obtention des données pour alimenter une approche dynamique peut aussi parfois s’avérer difficile… Cependant, notons que l’approche a priori présentée (arbre de défaillances + équations différentielles) est menée par des ingénieurs dans le cadre d’un processus industriel projet. Ce processus a donc la possibilité d’être programmé et financé comme toute autre tâche. Le vrai problème dans une analyse a posteriori semble plutôt liée à l’utilisation d’une approche de manière non anticipée (on ne peut pas prévoir le moment de la survenue de l’évènement…), ce qui fait que l’analyse a posteriori apparaît très souvent en concurrence avec les tâches du quotidien (sûreté, sécurité, exploitation opérationnelle…) des personnels d’une installation.

2.4.2 Fréquence de mobilisation des ressources nécessaires à la mise en œuvre d’une double analyse

Les approches nécessitent des compétences. Par exemple, l’élaboration d’un arbre des causes n’est pas triviale. Il y a nécessité de se former, de s’exercer. Or, un évènement n’apparaît pas tous les jours… Cela limite la courbe d’apprentissage et, ce, d’autant plus s’il s’agit de conduire aussi une approche dynamique nécessitant l’utilisation d’un logiciel dans lequel il faudra « re-rentrer ». Une voie de progrès résiderait peut-être alors dans l’utilisation systématique d’approches dynamiques, a priori, et qu’elles soient de plus similaires aux analyses faites a posteriori.

2.4.3 Partage des représentations individuelles sur les métiers Un arbre des causes ou un schéma causal en Dynamique des Systèmes sont des vecteurs de mutualisation des connaissances. Cependant, l’utilisation des deux approches renforce, lors de la construction des modèles statiques et dynamiques, l’obligation de questionner, dévoiler et copartager les représentations individuelles avec le risque de voir émerger, chez des acteurs, des méconnaissances du fonctionnement réel de certaines situations de travail …



Conclusion

Cette communication proposait de questionner l’utilisation conjointe d’approches statiques, qui permettent de donner une image précise de la situation évènementielle, et d’approches dynamiques, qui permettent de caractériser un fonctionnement dans le temps, un déroulement… de variables importantes pour décrire cette situation événementielle. Différentes, les deux approches statiques et dynamiques permettent-elles de contribuer, de manière complémentaire, à l’étude de l’occurrence d’évènements indésirés ? Nous avons tenté de répondre de façon affirmative et pragmatique à cette question. En effet, au-delà de la structure logique des conditions nécessaires à cette occurrence, les méthodes dynamiques donnent la possibilité d’appréhender des interactions entre variables permettant d’expliquer l’occurrence d’un évènement terminal, d’un fait ou d’un état d’un arbre logique d’une approche statique. Cela permet donc d’accréditer l’existence d’un lien causal entre deux faits ou états (et donc aussi de mieux définir les barrières correspondantes) et, pour la Dynamique des Systèmes, de simuler les mécanismes de prises de décision des êtres humains. De fait, conjuguer les deux approches a des chances d’apporter une réelle plus-value lorsque le système considéré, avec une approche statique, peut aussi être décrit sous la forme de variables reliées entre elles par des interactions bouclées et/ou lorsque le système comprend des êtres humains qui traitent des informations et prennent des décisions. Cependant, d’autres questions restent en suspens : - trouverait-on aussi une complémentarité avec des démarches inductives (des causes vers les effets) statiques et dynamiques ? voire avec des approches à la fois déductives et inductives (cf. la méthode du nœud papillon, INERIS, 2008) ; - quelles différences entre les notions d’effet et de conséquence souvent confondues (Durozoi et al., 2009) ? ; - comment faire émerger une co-construction de la causalité pertinente à partir de points de vue d’experts différents (cf. la fiche stéréotype-action : « L’expert a toujours raison » du GTR « Organisation et maîtrise des risques » de l’IMdR) ? Quelles conditions pour un véritable débat (Habermas, 1987 et 1992) ? ; - quelles différences avec des termes connexes comme par exemple la notion de responsabilité (pas au sens juridique) ? Une cause semble être un concept plus neutre qui cherche l’explication. La responsabilité, pour sa part, renvoie à un être humain (problème des procès d’animaux au Moyen-Age, voire de la mer fouettée par Xerxès Ier en 480 avant JC). Ce n’est pas non plus la machine qui est responsable de la panne qui l’affecte… Enfin quid de la notion de répétition : une situation est unique. Et donc répétition de quoi ? lorsque l’on évoque cette notion… ; - quels liens avec des notions de causalité développées en Droit avec des formulations négatives (aspects contrefactuels) ? La cause peut aussi, en effet, être définie comme « ce en l’absence de quoi un effet n’existerait pas » (Durozoi et al., 2009). Ainsi, cet exercice de complémentarité entre différents types d’approches nous semble intéressant à poursuivre…

Souvenons-nous, pour terminer, que de nombreux processus du vivant ont retenu ce couplage statique - dynamique. Se déplacer en marchant, par exemple, nécessite une combinaison des deux. Si les éléments sont trop statiques les uns par rapport aux autres, la marche ressemble à un déplacement sur des échasses ou à celui des chevaliers munis d’une lourde armure. Si les éléments sont trop mobiles les uns par rapport aux autres, la marche ressemble à celle d’un promeneur sur de la glace. Le déplacement s’avère difficile aussi… à moins de chausser des patins à glace, c’est-à-dire de retrouver des moyens permettant de créer de la statique dans le déplacement… Alors une nouvelle devise pour notre congrès ? « Maîtriser les risques [pour avancer] dans un monde en mouvement » ?

Références

Aristote (2002), Physique, Livre II, chapitre 3 et 7, Traduction de Pierre Pellegrin, Editions Garnier Flammarion, Paris. Aristote (2008), Métaphysique, Livre Δ, chapitre 2, Traduction de Marie-Paule Duminil et Annick Jaulin, Editions Garnier Flammarion, Paris. Bacher F. (1978), L'organisation et l'interprétation des enquêtes en psychologie, Thèse de doctorat d’état. Boudon R. (1967), Les relations causales : problèmes de définition et de vérification, Revue Française de Sociologie, 389-402. Caratini R. (2012), Initiation à la philosophie, Editions Archipoche. Cuménal D. (2015), Obsolescence of organizations: a modeling approach in System Dynamics, Advances in Systems Science and Applications, Vol. 15, n°2, 120-134. Drouet I. et Gauvrit N. (2013), Causes toujours ! Les pièges de la causalité, Editions book-e-book. Durozoi G. et Roussel A. (2009), Dictionnaire de philosophie, Edition Nathan. Forsé M. (1991), L’analyse structurelle du changement social Le modèle de Louis Dirn, Presses Universitaires de France. Godet M. (1991), De l’anticipation à l’action, Edition Dunod. Guillaume E. (2006), Les outils de l'ingénierie de la sécurité incendie, LNE - Ref. G020284/C672X01/CEMATE/2 Habermas J (1987), Théorie de l’agir communicationnel, Edition Fayard. Habermas J (1992), De l’éthique de la discussion, Edition Cerf. Hardy K. et Guarnieri F. (2012), Modéliser les accidents et les catastrophes industrielles : La méthode STAMP, Collection Sciences du risque et du danger, Edition Lavoisier. INERIS-DRA-INVE N° 46055 - C70050 RAPPORT D’ÉTUDE 11/01/2007 Incendies en milieu confiné Formalisation du savoir et des outils dans le domaine des risques majeurs (DRA-35) Ministère de l’Ecologie et du Développement Durable (MEDD). INERIS RAPPORT D’ÉTUDE 31/10/2008 N° DRA-08-85167-13165B Programme EAT-DRA 71-Opération C2.1 : Estimation des aspects probabilistes Fiches pratiques : Intégration de la probabilité dans les études de dangers. INRS (2013), L’analyse de l’accident du travail La méthode de l’arbre des causes. ED 6163. Périnet R. et Garandel S. (2014), Elargir l’horizon des possibles en multipliant les points de vue, 19ème congrès Lambda Mu, Dijon, 21-23 octobre 2014. Perrow C. (1999), Normal Accidents: Living with High Risk Technologies. Updated Edition, Princeton University Press. Reason J., Hollnagel E., and Paries J. (2006), Revisiting the "Swiss Cheese" Model of Accidents, Eurocontrol. Rousseau J.-M. (2014), FAIRE DU REX AUJOURD’HUI : POURQUOI ? COMMENT ? RAPPORT PSN-SRDS/2014-00019. Van Rillaer J. (2013) Psychologie des attributions causales, Science et pseudo-sciences, n°305, 69-73. Vautier J.-F. (1999), Méthodes systémiques appliquées aux facteurs humains, Encyclopédie Techniques de l’Ingénieur, A 5 340. Vautier J.-F. (2015), Making a Causal Contextualization with the Four Causes of Aristotle, Advances in Systems Science and Applications, Vol.15, n°2, 176-187. Vautier J-F., Tosello M., Hernandez G., Dutillieu S.,Quiblier S., Sylvestre C., Lévêque F., Barnabé I., Baussart N., Paulus V., Lipart C., Barrière V. and Dupont M. (2016), A synchro-diachro approach to question the development of a human and organizational factors (HOF) network, International Conference on Human and Organizational Aspects of Assuring Nuclear Safety – Exploring 30 Years of Safety Culture, IAEA, Vienna, Austria, 22–26 February 2016. Villemeur A. (1988), Sûreté de fonctionnement des systèmes industriels, Editions EYROLLES.


Documents

Étudier l’occurrence d'événements indésirés avec des