Le diagramme de Farmer : guide complet de l’outil maître en maîtrise des risques industriels

Dans l’ingénierie moderne, la gestion des risques majeurs repose sur un paradigme fondamental : un événement aux conséquences catastrophiques doit présenter une probabilité d’occurrence extrêmement faible. Pour modéliser cette relation et arbitrer scientifiquement l’acceptabilité d’un risque, les experts en sûreté industrielle s’appuient sur un outil historique et toujours incontournable : le diagramme de Farmer.

Conçu initialement pour le secteur nucléaire, ce modèle graphique s’est imposé dans l’ensemble des industries à haut risque (chimie, pétrochimie, transports, aéronautique). Cet article vous propose une analyse détaillée du fonctionnement du diagramme de Farmer, de sa formulation mathématique et de son application pratique à travers un cas concret.

Origine et définition du diagramme de Farmer

Proposé pour la première fois en 1967 par le physicien britannique F. Reginald Farmer, ce diagramme a révolutionné la façon dont les ingénieurs appréhendent la sécurité des installations complexes. Avant ses travaux, l’approche de la sûreté était essentiellement déterministe : on concevait des systèmes pour résister à un « accident dimensionnant » arbitraire.

Farmer a introduit une approche probabiliste, affirmant qu’aucun risque ne peut être totalement éliminé et qu’il convient d’évaluer quantitativement le couple fréquence / gravité.

Les deux axes du graphique

Le diagramme de Farmer est une représentation bidimensionnelle construite sur des échelles logarithmiques :

En ordonnée ( $Y$ ) — La fréquence ( $f$ ) ou probabilité : Elle exprime le nombre d’occurrences attendues d’un événement par unité de temps (généralement par an ou par heure de fonctionnement).
En abscisse ( $X$ ) — La gravité ( $C$ ) ou conséquence : Elle quantifie l’impact de l’événement. Selon le domaine d’étude, cette gravité peut être mesurée en rejets radioactifs (Bq), en pertes financières (euros), en nombre de victimes ou en volume de matière toxique dispersée.

La logique mathématique : la ligne d’iso-risque

Au cœur du diagramme de Farmer se trouve la notion de ligne d’iso-risque (ou courbe d’acceptabilité).

En théorie de la décision, le risque ( $R$ ) est défini comme le produit de la fréquence ( $f$ ) par la gravité ( $C$ ) :

R = f \times C

En appliquant un logarithme à cette équation, nous obtenons une relation linéaire :

\log(R) = \log(f) + \log(C) \implies \log(f) = -\log(C) + \log(R)

Sur un papier log-log, la frontière correspondant à un niveau de risque constant (

R = \text{constante}

) se traduit donc par une droite descendante de pente $-1$ .

Fréquence (f)
  ▲
  │ \
  │  \  Zone de risque INACCEPTABLE
  │   \
  │    \   Courbe d'acceptabilité (Iso-risque)
  │     \
  │      \  Zone de risque ACCEPTABLE
  └───────┴──────────────────────────────► Gravité (C)

L’interprétation des zones

La droite d’iso-risque découpe le plan en deux grands espaces :

La zone inacceptable (au-dessus de la ligne) : Un événement situé dans cet espace présente une fréquence trop élevée au vu de sa gravité. L’exploitation de l’installation sous ces conditions est interdite par la réglementation.
La zone acceptable (sous la ligne) : Les scénarios situés dans cette région sont considérés comme maîtrisés. Le risque résiduel est toléré au regard des bénéfices de l’activité.

Dans la pratique réglementaire moderne, une troisième zone intermédiaire est souvent ajoutée : la zone ALARP (As Low As Reasonably Practicable), où le risque est toléré à condition de démontrer que toute réduction supplémentaire engendrerait un coût disproportionné par rapport au gain de sécurité.

Exemple d’application concret : étude de sûreté d’un site Seveso

Pour comprendre l’utilité du diagramme dans un processus d’ingénierie, prenons l’exemple d’un site chimique stockant du chlore liquéfié sous pression. Lors de l’Évaluation Probabiliste de Sûreté (EPS), les ingénieurs identifient trois scénarios d’accident majeurs.

Scénario d’accident	Fréquence estimée (f)	Gravité des conséquences (C)	Position initiale sur le diagramme
Scénario A : Fuite minime au niveau d’un joint d’étanchéité	$10^{-1}$ / an (une fois tous les 10 ans)	Confinement interne, aucun impact extérieur	Zone Acceptable
Scénario B : Rupture partielle d’une conduite de transfert	$10^{-3}$ / an (une fois tous les 1 000 ans)	Exposition toxique limitée au site, 2 blessés	Zone ALARP (Tolérable)
Scénario C : Rupture catastrophique de la capacité de stockage	$10^{-5}$ / an (une fois tous les 100 000 ans)	Nuage toxique hors site, risques de victimes civiles	Zone Inacceptable

Démarche de réduction des risques

Le Scénario C se situe au-dessus de la courbe d’acceptabilité fixée par les autorités de tutelle. L’industriel ne peut pas obtenir son autorisation d’exploiter en l’état. Il doit mettre en place des Mesures de Maîtrise des Risques (MMR) pour réduire la fréquence ou la gravité :

Réduction de la fréquence : Ajout d’une double enveloppe sur la cuve et renforcement des contrôles non destructifs automatisés (gain d’un facteur 10 sur la probabilité de défaillance).
Atténuation de la gravité : Installation d’un système d’isolement ultra-rapide à sécurité positive couplé à un rideau d’eau d’abattage automatique des vapeurs de chlore.

Après intégration de ces barrières de sécurité dans l’arbre des causes et des conséquences, la fréquence résiduelle du Scénario C tombe à

10^{-7}

par an. Le point bascule alors sous la ligne d’iso-risque, rendant le projet réglementairement acceptable.

Intérêts et limites de la méthode

Les avantages majeurs

Aide à la décision objective : Le diagramme permet de sortir des débats émotionnels en rationalisant la prise de décision sur des bases quantitatives.
Optimisation des budgets de sécurité : Il évite de sur-investir sur des événements à faible impact pour concentrer les ressources financières sur les scénarios aux conséquences critiques.
Standardisation de la communication : Il constitue un langage commun entre les exploitants industriels, les bureaux d’études et les autorités d’inspection (comme l’ASN pour le nucléaire ou la DREAL pour les installations classées en France).

Les limites à prendre en compte

Bien qu’essentiel, le diagramme de Farmer présente plusieurs limites méthodologiques :

L’incertitude des données : L’estimation des fréquences très faibles ( $10^{-6}$ ou $10^{-7}$ ) repose souvent sur des modèles mathématiques et des banques de données dont les incertitudes statistiques peuvent être larges.
L’équivalence contestée des risques : La logique d’iso-risque considère qu’une catastrophe faisant 1 000 victimes avec une fréquence de $10^{-6}$ équivaut strictement à un accident faisant 1 victime avec une fréquence de $10^{-3}$ . En matière d’acceptabilité sociale, les sociétés tolèrent généralement bien moins les accidents collectifs majeurs que la répétition de petits accidents.

Conclusion

Le diagramme de Farmer demeure la pierre angulaire de l’analyse quantifiée des risques. En formalisant le compromis indispensable entre probabilité et gravité, il offre une grille de lecture claire pour concevoir des installations industrielles sûres et résilientes. Pour tout ingénieur, responsable HSE ou décisionnaire, la maîtrise de cet outil est une étape indispensable dans la culture de sûreté.

Pour aller plus loin : Si le diagramme de Farmer permet de positionner un scénario d’accident par rapport à une ligne d’iso-risque, comment traiter les cas qui se situent dans la zone intermédiaire ?

C’est ici qu’intervient le principe ALARP (As Low As Reasonably Practicable).

Découvrez dans notre article complémentaire [Principe ALARP : le guide opérationnel de la maîtrise des risques] comment cet arbitrage technico-économique permet de déterminer jusqu’où investir pour réduire un risque de manière raisonnable et réglementaire.

APSSS-consulting