Le modèle conceptuel du Domino

Le modèle Domino de Heinrich, publié en 1931 (Heinrich, 1941), est aussi connu sous le nom de modèle d’évènement séquentiel. Ce modèle suppose que la cause de l’accident résulte de l’occurrence d’évènements discrets dans une série ordonnée. Selon Heinrich, cinq facteurs entrent en jeu dans la séquence d’accident. Il compare donc la séquence générale à cinq dominos debout : 1) l'environnement social (les situations qui se présentent pour une personne et qui la conduit par suite à prendre ou à accepter des risques); 2) la faute de la personne; 3) les actes ou les conditions dangereuses (mauvaise planification, équipement dangereux, environnement dangereux); 4) l’accident; 5) les pertes, dégâts et blessures.

26

Lorsque le premier domino tombe, il frappe automatiquement l’évènement directement connexe et ainsi de suite jusqu'à ce que le préjudice se produise.

En cas d'accident, cette séquence générale explique que l'environnement social déclenche l’effet domino qui influence directement le comportement d’une personne. Le comportement maladroit d’une personne provoque directement des conditions dangereuses qui sous l’effet de certaines conditions entrainent un accident et des pertes. (Figure 1-2). Ces modèles ont très fortement mis l'accent sur la fiabilité humaine et plus particulièrement sur l'erreur humaine (Leveson, 2011). En effet, les accidents ont commencé à être considérés comme étant la faute d’un individu, plutôt que d’un événement qui aurait pu être évité par une modification de l'usine, du procédé ou du produit final.

Figure 1-2 L’accident un événement dans une chaîne séquentiel ordonnée

3.1.1 Les modèles conceptuels construits sur les base du modèle Domino

La théorie du Domino appartient à la classe des modèles d’accident orienté « événement ». Ces modèles sous-tendent la plupart des modèles qui traitent les causes fondamentales, causes immédiates, causes latentes et systémiques de Reason, ainsi que les outils d’analyse des risques (Larouzée et Guarnieri, 2014).

En 1976, (Bird and Loftus, 1976) étendent la base du modèle Domino pour y inclure la prise de décision du gestionnaire comme facteur influant dans la chaîne des

27

évènements de défaillance. Le manque de contrôle est considéré comme initiateur des causes principales de la dégradation des facteurs gestionnaires et du comportement des

employés). Cela crée un environnement propice de non-respect des

pratiques/règles/conditions, et de la négligence des erreurs et des défaillances, ce qui provoque des causes immédiates qui entrainent de fait un accident ou un incident.

La même année, Adams cité par Leveson (2011) propose un autre modèle qui inclut :

- Une structure de gestion comprenant les objectifs, l’organisation, et les opérations, qui peuvent engendrer des erreurs opérationnelles généralement liées au comportement du contrôleur ou à des erreurs tactiques provoquées par un employé insatisfait par les conditions de travail. Ces erreurs provoquent l’accident ou l’incident et entrainent des dommages aux biens et aux personnes. - L’occurrence de l’accident est détectée dans une chaîne où les événements

défaillants sont directement liés les uns aux autres. Ainsi, afin d’expliquer l’accident, il suffit d’évaluer les risques en regardant la chaîne des événements défaillants qui ont conduit à la perte. Les événements les plus courants considérés dans ces modèles sont les pannes de composants qui sont utilisés pour assurer la sûreté de fonctionnement.

L’emploi des techniques d'analyse pour prédire et réduire les risques et empêcher l’occurrence d’un accident permet d’identifier les séquences d'événements qui peuvent entraîner des risques ou des accidents. La probabilité d'une séquence d’évènements défaillants est estimée, les mesures de prévention sont axées sur l’intégrité, sur l’introduction des composants redondants afin d’anticiper les événements d'échec et afin de réduire la probabilité de survenue de l’accident (ATEA, 1998; Leveson, 1986). Cette approche de l’accident est adaptée à l’étude des pertes causées par des défaillances de composants physiques ou par les erreurs humaines pour des systèmes relativement simples. Les modèles d’analyse et de prévention des risques qui sous-tendent le modèle Domino et visent à proposer les démarches de prévention d’un accident, d’un incident, d’une défaillance ou d’une panne sont les suivants : Failure

28

Mode and Effect Analysis (FMEA), Fault Tree Analysis (FTA), analyse Cause- Conséquence (Courtois et Leveson, 1996).

3.1.2 Chaîne d’événements multilinéaires

Afin de dépasser la principale limite du modèle Domino qui ne considérait qu'une seule chaîne d'événements, un modèle dit « séquentiel » a été élaboré afin de représenter, par plusieurs séquences d'événements et sous la forme de hiérarchies (des arborescences d’événements et des réseaux), une situation accidentelle. Une description détaillée de ces modèles a été entreprise par Bird and Loftus (1976) (Courtois et Leveson, 1996).

Les événements considérés dans ce type de modèles correspondent généralement et classiquement à la défaillance d'un composant ou d’une erreur humaine. Une chronologie est incluse afin d’illustrer l'enchaînement de distribution des événements et des conditions de l’accident (Figure1-3). Plusieurs chaînes d'événements, correspondant à différents acteurs, sont synchronisées à l'aide d’un scénario.

L'accident débute lorsqu'une situation stable est perturbée. Si l'acteur impliqué dans la séquence s'adapte à la perturbation, l'accident est évité. Les contre-mesures peuvent être formulées par l'examen de chaque événement pour identifier les modifications qui peuvent être introduites au processus. Les événements ont une relation linéaire.

Ces modèles décrivent donc une causalité linéaire, et il est dès lors difficile d'incorporer des relations non linéaires. Le premier événement de la chaîne est souvent considéré comme l’événement déclenchant, sa sélection reste arbitraire. De plus, des événements précédents et des conditions peuvent toujours être ajoutés (Leveson, 2001). Enfin, le dernier évènement, avant l’accident, peut être considéré comme étant la cause sans que cela ne soit réellement le cas.

29

Figure 1-3 Modèle conceptuel évènementiel, séquentiel et conditionnel (Qureshi, 2007)