A risk science perspective on the discussion concerning Safety I, Safety II and Safety III

Aven, T. (2022). A risk science perspective on the discussion concerning Safety I, Safety II and Safety III. Reliability Engineering & System Safety, 217, 108077.

Notre avis

📖📖📖 Un article pédagogique sur les distinctions entre différentes approches de la sécurité industrielle, limité aux différences entre Safety 1, Safety 2 et Safety 3, et avec une absence de référence aux HROs. Bonne lecture de base.

Notre synthèse

La sécurité est traditionnellement définie comme l’absence d’accidents et d’incidents. La définition a progressivement incorporé un jugement sur la gravité des conséquences, traduit par l’idée de risques inacceptables. Cette approche est traduite par l’acronyme « Safety 1 » qui présume que ce qui va mal est causé par des défaillances identifiables et réductibles (qu’elles soient d’origine technologique, procédurale, facteurs humains ou des trois niveaux imbriqués l’un dans l’autre). Les méthodes de remontée vers la (ou les) cause(s) et leurs effets permettent d’évaluer la gravité des scénarios : arbre des causes, Probability Risk Assessment (PRA), Quantitative Risk Assessment (QRA). Cette approche est toujours dominante dans l’industrie.

Comparativement, l’approche « Safety 2 », introduite par Erik Hollnagel, définit la sécurité comme la capacité à réussir le travail dans des conditions variables de contexte et d’environnement. On passe ainsi de l’idée d’éviter des problèmes à celle d’assurer le plus possible de faire face avec succès à une variété de situations et contextes de travail. La variabilité journalière du travail et de la performance est même considérée comme le socle de l’adaptation aux situations les plus diverses non encore rencontrées. Cette variabilité naturelle est donc plutôt à favoriser pour rendre plus robuste l’adaptation. L’approche se base sur une proactivité constante, anticipant les évènements et contextes. Les méthodes, forcément différentes de Safety 1, sont centrées sur la gestion (et préservation) d’une certaine enveloppe de variabilité de la performance qui sert en retour d’immunité et de source de savoir adaptatif.

La résilience est comprise comme l’articulation entre les deux types de sécurité : Safety 1 en conditions normales et attendues, et Safety 2 en conditions inattendues de surprises.

Une troisième perspective dite « Safety 3 » a été introduite par Nancy Leveson. Leveson propose une critique simultanée des généralisations excessives de Safety 1 et de Safety 2. Elle prône une approche alternative plus systémique et finalisée qui vise à éviter ce que l’on juge le plus inacceptable, tout en permettant une adaptabilité pour la variété des problèmes mineurs. C’est typique d’une approche inverse, où l’on part de ce que l’on ne veut pas voir se réaliser a priori (plutôt que d’une approche de retour d’expérience visant à supprimer la répétition des défaillances). La sécurité devient un jugement, défini comme l’évitement de ce qui est jugé inacceptable par les acteurs responsables du système (industriels, autorités…). La défense contre l’événement redouté n’est plus comprise comme une action à mener sur l’identification et la suppression de sa cause (comme dans Safety 1), mais comme un défaut des moyens de défense qui ont été déployés contre cette survenue redoutée. Le but est ainsi d’éliminer ces accidents majeurs redoutés tout en permettant sur le reste du spectre du travail une grande flexibilité et adaptabilité humaines aux situations les plus diverses.

Safety 2 et Safety 3 ont une approche plus systémique que Safety 1, et qui prend mieux en compte la complexité croissante des risques industriels.

Les différences entre Safety 1, Safety 2 et Safety 3 relèvent selon les auteurs de 8 thèmes clés résumés dans le tableau ci-dessous.