La méthode du nœud de papillon (Bow-Tie) : visualiser et maîtriser les risques majeurs
Dans le triptyque de la sûreté industrielle — aux côtés de la quantification par le diagramme de Farmer et de l’arbitrage technico-économique du principe ALARP —, la méthode du nœud de papillon (Bow-Tie) s’impose comme l’outil de visualisation le plus puissant.
Son objectif ? Offrir une cartographie claire, intuitive et complète d’un scénario d’accident majeur, de ses causes premières jusqu’à ses conséquences ultimes, en mettant en évidence l’efficacité des barrières de sécurité.
Qu’est-ce que la méthode du nœud de papillon ?
La méthode du nœud de papillon est une approche semi-quantitative qui combine deux arbres d’analyse classiques de l’ingénierie de sécurité :
- L’arbre des causes (à gauche) : Il identifie les événements initiateurs menant à la perte de confinement ou de contrôle.
- L’arbre des conséquences (à droite) : Il détaille la chaîne des événements qui découlent de la perte de contrôle jusqu’aux dommages directs et indirects.
Le point de jonction central entre ces deux ailes forme le nœud du papillon : c’est l’événement redouté central (ERC).
CAUSES (Dangers) ÉVÉNEMENT CONSÉQUENCES
┌──────────────┐ REDOUTÉ CENTRAL ┌──────────────┐
│ Cause n°1 ├─[Barrière P1]─┐ (ERC) ┌┤ Conséquence 1│
└──────────────┘ │ ┌───────┐ │└──────────────┘
┌──────────────┐ ├───► │ Perte │ ───[Barrière M1]──┤┌──────────────┐
│ Cause n°2 ├─[Barrière P2]─┘ │ de │ └┤ Conséquence 2│
└──────────────┘ │contrôle│ └──────────────┘
└───────┘
◄── Aile gauche (Prévention) ──► ◄── Aile droite (Mitigation) ──►
Schéma de la méthode du nœud de papillon montrant l'événement redouté central, les causes et les conséquences
Les composantes clés du diagramme Bow-Tie
Pour construire un nœud de papillon rigoureux, il convient de définir précisément ses sept éléments constitutifs :
1. Le danger (Hazard)
C’est la source d’énergie, la substance ou la situation susceptible de causer un dommage (ex. : stockage de GPL sous pression, travail en hauteur, bassin de rétention d’eau polluée).
2. L’événement redouté central (ERC)
Il s’agit du moment exact où la maîtrise du danger est perdue, avant que les dommages ne se produisent (ex. : perte de confinement du GPL, perte d’équilibre, débordement du bassin).
3. Les causes ou menaces (Threats)
Ce sont les facteurs déclencheurs direct ou indirects pouvant conduire à l’ERC (ex. : corrosion interne, erreur humaine, surpression mécanique).
4. Les barrières de prévention (Prevention Barriers)
Positionnées sur l’aile gauche, ces mesures (techniques, organisationnelles ou humaines) visent à empêcher la survenue de l’ERC à partir des menaces identifiées.
5. Les conséquences (Consequences)
Ce sont les dommages réels subis par les personnes, l’environnement, les équipements ou la réputation si l’ERC se produit (ex. : BLEVE, pollution de nappe phréatique, arrêt de production).
6. Les barrières de mitigation ou de protection (Mitigation Barriers)
Positionnées sur l’aile droite, ces barrières cherchent à limiter l’ampleur des conséquences une fois l’ERC survenu.
7. Les facteurs d’escalade et leurs contrôles
Un facteur d’escalade est une condition qui met en échec une barrière de sécurité existante (ex. : panne de courant secouru). On lui associe une barrière secondaire pour garantir la résilience de la protection initiale.
Exemple d’application : perte de confinement sur une ligne d’ammoniac
Prenons l’exemple d’un réseau de tuyauteries transportant de l’ammoniac liquide ($NH_3$) dans un système de réfrigération industrielle.
- Danger : Ammoniac sous pression dans la tuyauterie.
- Événement Redouté Central (ERC) : Fuite / rupture de confinement d’ammoniac.
| Aile gauche : Menaces & Prévention | Événement Central | Aile droite : Mitigation & Conséquences |
Menace 1 : Corrosion externe.
└─ Barrière P1 : Peinture anticorrosion + Plan d’inspection CND. | Fuite d’ammoniac liquide | Conséquence 1 : Intoxication du personnel.
└─ Barrière M1 : Détection gaz $NH_3$ + Coupure automatique + EPI isolants. |
Menace 2 : Surpression par choc hydraulique.
└─ Barrière P2 : Soupape de décharge + Procédure d’ouverture lente. | Conséquence 2 : Nuage toxique hors site.
└─ Barrière M2 : Rideau d’eau d’abattage automatisé. |
Pourquoi coupler le Bow-Tie avec Farmer et l’ALARP ?
La complémentarité de ces trois outils offre une démarche d’évaluation globale et cohérente :
- Le Bow-Tie identifie et structure les scénarios d’accident et l’ensemble des barrières.
- Le diagramme de Farmer quantifie la fréquence et la gravité du scénario pour le positionner par rapport aux seuils réglementaires.
- Le principe ALARP permet d’arbitrer financièrement s’il faut ajouter des barrières de prévention ou de mitigation supplémentaires sur l’aile gauche ou droite du Bow-Tie.
