# Modéliser des scénarios Natech par le dépliage des réseaux de Petri

# Modelling a Natech scenario with Petri net unfoldings

FOUNAS Souhila
UMR RECOVER (INRAE, Aix Marseille
Univ)

Aix en Provence
souhila.founas@inrae.fr

GAUCHEREL Cédric
INRA - AMAP

Montpellier
gaucherel@cirad.fr

CURT Corinne
UMR RECOVER (INRAE, Aix Marseille
Univ)

Aix en Provence
corinne.curt@inrae.fr

TAILLANDIER Franck
UMR RECOVER (INRAE, Aix Marseille
Univ)

Aix en Provence
franck.taillandier@inrae.fr

HAAR Stefan
INRIA and Université Paris-Saclay

Gif-sur-Yvette
stefan.haar@inria.fr

**Résumé** — Le multirisque peut être défini comme un système complexe composé de différents aléas (naturels et/ou technologiques), qui peuvent agir en combinaison - avec ou sans coïncidence dans le temps - et avoir un impact sur des enjeux et leur vulnérabilité, potentiellement dépendants. En effet, dans certaines conditions, différentes combinaisons de risques sont susceptibles de se produire. Des événements de moindre ampleur peuvent également entraîner des cascades d'événements très dommageables pour les communautés. Pour mieux comprendre et prévenir ce type d'événement, il est important de formaliser des connaissances et notamment de fournir une représentation sous la forme de scénarios. Les défis scientifiques à relever concernent principalement la représentation des interactions entre les nombreuses composantes de ce système complexe et la compréhension de sa dynamique. Pour y répondre, les approches basées sur les réseaux de Petri et leur dépliage constituent une solution pertinente. Elles permettent de représenter des dynamiques entre les causes et leurs effets. Dans cette approche possibiliste, les événements statistiquement improbables (souvent les plus destructeurs) sont autant représentés que les événements les plus probables. Dans cette communication, nous nous penchons sur le cas d'un événement NaTech provoqué par un incendie de forêt. L'objectif est de comprendre la dynamique et les interactions entre les variables lors d'un incendie de forêt afin de prévenir et éventuellement d'éviter les impacts majeurs. Cette étude de faisabilité est réalisée sur un système simplifié mais réaliste, en utilisant les outils ECCO et Ecofolder. Au-delà des aspects industriels caractéristiques des événements NaTech, nous considérons également les impacts sur la forêt. En termes de gestion des multirisques, les dépliages des réseaux de Petri ont permis d'identifier les scénarios dont l'issue est défavorable. Ainsi, cela permet d'identifier les étapes menant aux évènements dévastateurs.

**Mots-clefs** — Multirisques, Natech, Réseaux de Petri, Dépliage.

**Abstract** — The multirisk can be defined as a complex system made up of different hazards (natural and/or technological), which can act in combination - with or without coincidence in time - and have an impact on potentially dependent issues and their vulnerability. Indeed, under certain conditions, different combinations of risks are likely to occur. Smaller events can also lead to cascades of events that are highly damaging to communities. To better understand and prevent this type of event, a major challenge lies in formalism knowledge and in particular to provide a representation of scenarios. The scientific challenges mainly concern the representation of interactions between the many components of this complex system and understanding the dynamics of the system. To meet these challenges, approaches based on Petri nets and their unfolding are a relevant solution. Petri nets and their unfolding can be used to represent a dynamic between hazards and their effects. In this possibilistic approach, an event statistically improbable (often the most destructive) is represented as much as the most occurable events. In this paper, we look at the case of a NaTech event caused by a forest fire. The aim is to understand the dynamics and interactions of the variables involved in a forest fire in order to prevent and possibly avoid major impacts. This feasibility study is carried out on a simplified but realistic system, using the ECCO and Ecofolder tools. Beyond the industrial aspects characteristic of NaTech events, we also consider the impacts on the forest. In terms of multi-hazard management, the Petri nets process has made it possible to identify scenarios with damaging outcomes. This makes it possible to prevent the steps leading to devastating events.
# I. INTRODUCTION

En 2023, la tempête suivie de ruptures de barrages en Libye, les mégafeux de forêt au Canada et les inondations en Indonésie, mettent en évidence l'urgence de mieux comprendre et gérer les risques induits par le changement climatique et l'urbanisation croissante. Les événements climatiques et/ou technologiques sont en augmentation en termes de fréquence et d'intensité à travers le monde, comme l'a souligné le GIEC, en 2022 (Groupe d'experts intergouvernemental sur l'évolution du climat), (AR6 Synthesis Report, s. d.).

En 2018, le montant des dommages assurés causés par les catastrophes naturelles et technologiques a atteint 85 milliards USD (le 4e montant le plus élevé enregistré pour une année) (https://www.swissre.com/dam/jcr:d1b2d5f7-c37e-41c2-b084-21648612d7a9/sigma2_2019_fr.pdf, s. d.).

La décennie 2011-2020 a été la plus chaude jamais enregistrée, avec des conséquences davantage économiques que sociales, en partie grâce à l'amélioration des systèmes de prévention et à une meilleure gestion des risques. Le multirisque est un ensemble complexe composé de différents aléas, pouvant agir de manière combinée avec ou sans coïncidence dans le temps et impactant des enjeux et leur vulnérabilité, potentiellement dépendants (Curt, 2021). Les événements multirisques peuvent être classés selon différentes catégories et notamment domino, cascade, Natech (Curt, 2021). Cet article est centré sur les risques NaTech (Natural Hazard Triggering Technological), un aléa naturel provoquant un accident technologique, comme l'accident de la centrale de Fukushima après le tsunami et le séisme de Tohoku en 2011. Le concept de multirisque est apparu dans l'Agenda 21 adopté lors de la conférence de Rio de Janeiro en 1992 (Agenda21.pdf, s. d.). Le constat du GIEC en 2022 (AR6 Synthesis Report, s. d.) souligne l'impact du changement climatique sur nos sociétés, rendant la gestion de ces événements de plus en plus complexe et difficile. Pour mieux comprendre et prévenir ce type d'événement, un enjeu majeur réside dans la formalisation des connaissances et la représentation de scénarios. Les défis scientifiques concernent principalement la représentation des interactions entre les nombreuses composantes de ce système complexe et la compréhension de la dynamique du système. Peu de travaux portant sur les évènements multirisques et encore moins dans un enjeu de modélisation ont été recensés dans la littérature scientifique (Curt, 2021). Pourtant, plusieurs méthodes et outils dans le domaine des mathématiques et de l'informatique pourraient permettre de modéliser des systèmes impactés par des évènements multirisques (théorie des graphes, réseaux d'interactions, théorie des automates, réseaux de Petri...). Jusqu'à présent, ces approches sont peu employées dans les travaux scientifiques. Les approches basées sur les réseaux de Petri et leur dépliage constituent, pourtant, une solution pertinente. En effet, le réseau de Petri permet de représenter des dynamiques complexes entre les causes et leurs effets (ces effets deviennent à leur tour des causes). Dans cette méthode possibiliste, les scénarios possibles d'un système sont exhaustivement représentés. Ainsi, les événements statistiquement improbables sont autant représentés que les événements les plus probables. Or, dans le domaine environnemental, les événements improbables sont souvent les plus destructeurs.

Dans cet article, nous proposons de représenter les scénarios dans un cadre NaTech, en utilisant les Réseaux de Petri et leur dépliage. Plus précisément, l'étude porte sur la simulation d'un système soumis à un risque de feu de forêt menaçant une usine.

Le cas d'étude s'articule autour de 3 parties :

1. La conception du système, en définissant les composantes et leurs interactions. Il s'agit d'un système simple avec comme élément initiateur, un incendie déclenché par une cigarette.

2. La traduction du modèle dans la sémantique de langage ECCO et Ecofolder.

3. Enfin la visualisation des informations contenues dans le système sous différents graphes.

L'objectif est de comprendre la dynamique et les interactions des variables au cours de cet évènement. Cela permettra de prévenir et éventuellement d'éviter les impacts majeurs. Ce travail est une première étape visant à montrer l'intérêt de la démarche et sa faisabilité.

# II. ÉTAT DE L'ART

## A) Gestion multirisque

Au vu de l'augmentation de l'occurrence des évènements climatiques et/ou technologiques, le Cadre d'action de Sendai, de 2015, a mis en place des objectifs au niveau mondial pour « développer l'accès et l'appui à l'innovation et à la technologie, aux recherches à long terme axées sur des solutions dans le domaine de la gestion des risques » (Cadre d'action de Sendai pour la réduction des risques de catastrophe 2015 - 2030, s. d.).

Des mesures de gestion du risque sont mises en place sur les territoires afin de réduire les impacts des événements. Toutefois, de manière classique, la gestion des risques considère les risques de façon isolée, ce qui sous-estime l'impact du risque, car les interactions entre les effets ne sont pas prises en compte ; or, ce sont souvent ces interactions qui exacerbent les effets et la vulnérabilité des enjeux sur les territoires. Les risques peuvent se combiner et l'accumulation d'évènements augmente leurs impacts (Curt, 2021).

L'étude de la dynamique d'un système permet de mieux comprendre les interactions entre ses composants et de prévoir son évolution à travers des scénarios de risques. Les modèles de représentation graphique permettent une lecture claire et accessible à un large public des évènements se produisant en cascade sur un territoire. Plusieurs modèles existent et couvrent un large panel en fonction des systèmes étudiés, des variables et des relations qui les relient. Par exemple pour des données discrètes, les variables peuvent être discrètes qualitatives (par exemple binaires, labellisées...) ou discrètes quantitatives (par exemple effectifs...). Les relations peuvent être continues quantitatives (probabilistes, temporelles...) ou être discrètes quantitatives (pondérées...) ou qualitatives (binaires de type présence ou absence). En revanche, les données quantitatives continues sont souvent indisponibles et/ou fortement coûteuses en termes d'acquisition.
La gestion multirisque est très peu considérée dans la littérature et seulement quelques articles ont fait l'objet d'une
modélisation multirisque avec l'approche des réseaux de Petri. En effet, entre 2010 et 2020, seulement 4 articles ont été
recensés (Curt, 2021) Ces articles se concentrent au contexte de modélisation d'effets dominos dans le domaine industriel
(Zhou & Reniers, 2017a ; Zhou & Reniers, 2017b ; Zhou & Reniers, 2018 ; Kamil et al., 2019).

B) Réseaux de Petri (RdP)

Les réseaux de Petri ont trouvé des applications dans divers domaines, notamment l'informatique, dans l'analyse de la sécurité des systèmes, dans la dynamique des automates en analyse déterministe. (Gaucherel et al., 2020) Les réseaux de Petri (RdP) permettent de représenter de façon formelle les systèmes dynamiques sous forme d'un graphe. Un RdP, noté N = (P, T, F, M₀) (Murata, 1989), est composé de :

• P : l'ensemble des places {Pᵢ}ᵢ représente les variables du système

• T : l'ensemble des transitions {Tᵢ}ᵢ représente les règles du système

• F : l'ensemble des arcs orientés entre les transitions et les places avec :

$$
F \subseteq (T \times P) \cup (T \times P) \text{ et } F \cap ((T \times T) \cup (P \times P)) = \emptyset
$$

• M₀: le vecteur de marquage initial, plus précisément, la position des jetons présents initialement dans le système.

Lorsque toutes les places menant à une transition sont marquées, la transition est activée et elle peut être tirée. Plusieurs transitions peuvent être activées en même temps. Lorsque plusieurs transitions sont activées, si le tirage d'une des transitions empêche le tirage d'une autre alors ces deux transitions sont en conflit. Si deux transitions activées peuvent être tirées l'une indépendamment de l'autre, les transitions sont alors concurrentes.

<figure><img src="image_1.png" /><figcaption>Figure 1: Exemple d'un dépliage d'un réseau de Petri</figcaption></figure>

Dans l'exemple (Figure 1), P = {P₁, P₂, P₃, P₄}, T = {T₁, T₂, T₃, T₄}, F = {(P₁, T₂), (P₁, T₃), (P₂, T₃), (P₃, T₁), (P₄, T₄), (T₁, P₁), (T₂, P₃), (T₃, P₃), (T₃, P₄), (T₄, P₂)} et M₀ = (1, 1, 0, 0). Les transitions T₂ et T₃ sont activées au marquage initial M₀. Lorsque T₂ est tirée, le jeton P₁ est consommé et un jeton est produit en P₃. Il n'y a, alors, plus de jeton en P₁ et la transition T₃ n'est plus activée donc T₂ et T₃ sont en conflit.

Il existe plusieurs types de RdP. Pour pouvoir construire le graphe d'états et déplier les RdP, les RdP utilisés sont dits 'saufs',
c'est à dire qu'ils contiennent au maximum un jeton par place et les jetons sont non différentiables.

C) Graphe d'états

Nous nous plaçons dans le cas d'évènements discrets binaires (les arêtes sont dans {0 ; 1} : absentes égales à 0 et présentes égales à 1) et de variables binaires qualitatives de type présence/absence (notées « + » pour présence et « - » pour absence) (Cosme et al., 202 ; Gaucherel & Pommereau, 2019).

Un graphe d'états noté G, d'un réseau de Petri noté N, est représenté sous la forme d'un graphe orienté (Figure 5) composé :

• des sommets qui correspondent à l'ensemble des marquages atteignables à partir de l'état initial dans le RdP N.

• des arêtes orientées entre les sommets qui correspondent aux transitions activables permettant de passer d'un marquage à un autre dans le RdP N.
144 Le graphe d'états G est fini puisque le nombre de variables et leur valeur sont finis, mais la taille du graphe pose un problème
d'explosion combinatoire.

146 Dans un graphe d'états, des sous-graphes se distinguent par leur propriété :

147 • Un SCC (strongly connected component) d'un graphe est un sous-graphe H maximal tel que pour 2 sommets A et B
de H, il existe un chemin entre A et B.

149 • Un TSCC M est un SCC clos, tel que les successeurs de tous les sommets de M sont également dans M.

150 • Un deadlock est une TSCC composée d'un unique sommet.

151 L'environnement EDEN sous la plateforme ECCO (Pommereau et al., 2022), a permis de produire à partir d'un fichier de règles RR (Reaction rules) (Thomas, s. d.) un graphe des états atteignables. Le fichier RR (Pommereau et al., 2022) définit la sémantique entre le système et l'espace d'états atteignables par le système. Ce fichier répertorie l'état initial de chaque variable ainsi que le tableau des règles représentant les relations entre les états des variables.

155 Le tableau de règles est de la forme suivante : Conditions >> Conséquences. Si les conditions (états des variables impliquées dans la relation concernée) sont remplies alors la règle est activée et le système peut changer d'état selon la règle en question (par le changement d'état de ses variables). Les conditions correspondent, dans un RdP, aux places ayant un arc dirigé vers la transition. Les conséquences correspondent, dans un RdP, aux places ayant un arc provenant de la transition activée.

159 Dans un graphe d'états, si un marquage M1 permet l'activation d'une règle et on note M2 le nouveau marquage atteignable à l'issue de cette règle, un arc est représenté sur le graphe entre les deux sommets M1 et M2.

161 D) Dépliage des réseaux de Petri

162 Le dépliage est une instanciation des évènements parcourus par le réseau de Petri et également le graphique qui en résulte. Le
163 graphe du dépliage peut être infini (Murata, 1989). Il est composé :

164 • des conditions {$C_i$}$_i$

165 • des évènements {$e_j$}$_j$

166 • des relations causales entre les conditions et les évènements.

167 Contrairement aux transitions qui peuvent être tirées plusieurs fois, les évènements ne se réalisent qu'une seule fois. Par exemple, la transition T1 est tirée à l'évènement e3 et e6 (Figure 1). Les évènements {e1, ..., e6} ne sont présents qu'une seule et unique fois dans une structure d'évènements puisqu'ils résultent d'un unique processus qui correspond à l'information de leur préfixe causal.

171 Le dépliage peut être infini, le préfixe est une partie initiale finie du dépliage qui contient des informations complètes sur les états accessibles. McMillan (McMillan & Probst, 1995) et Esparza (Esparza et al., 1996) ont mis en place des algorithmes qui permettent d'obtenir des préfixes.

174 E) Graphe de structure d'évènements

175 Une structure d'évènements est caractérisée par l'ensemble (E,≤, #) avec :

176 • E : l'ensemble des évènements,

177 • ≤ : la relation d'ordre sur E appelé dépendance causale,

178 • # : la relation en conflit.

179 Tels que :

180 • Pour tout évènement $e \in E$, l'ensemble d'évènements $[e] = \{f \in E | f \le e\}$ est clos par causalité, c'est à dire que l'ensemble $[e]$ est fini.

182 • Pour tout évènements d, e, f ∈ E, si d ≤ e et d # f, alors e # f. La relation de conflit est héritée par tous les évènements

184 La structure d'évènements est la simplification de la représentation du préfixe d'un dépliage de réseau de Petri. Dans les structures d'évènements, les conditions ne sont pas mentionnées, seules les évènements et leurs dépendances sont visibles (Figure 6).

187 III. MATÉRIELS ET MÉTHODES

188 Le logigramme Figure 2 représente le processus de production de graphes ainsi que les outils utilisés pour y parvenir. Le système est défini en premier, puis traduit en réseau de Petri à l'aide de méthodes formelles. Deux logiciels sont utilisés dans la production de graphes, ECCO et Ecofolder.
<figure><img src="image_2.png" /><figcaption>Figure 2: Logigramme de graphes et outils utilisés</figcaption></figure>

191 A) Description du système

192 Afin de démontrer l'intérêt et la faisabilité de la démarche, nous proposons un système simplifié mais réaliste. L'espace sera

193 délimité par une zone boisée avec une usine à proximité (Figure 3). Dans ce système, une cigarette peut provoquer un feu en

194 forêt, celui-ci peut à son tour engendrer une défaillance du système de sécurité de l'usine et ainsi provoquer l'explosion de

195 l'usine. De plus, celle-ci peut provoquer un nouveau départ de feu de forêt par des projectiles enflammés.

<figure><img src="image_3.png" /><figcaption>Figure 3: Illustration des zones d'intervention dans le système</figcaption></figure>

196 Les moyens de prévention sont un pare-feu (Wal) et un système de sécurité (Se1) à l'intérieur de l'usine. Il y a à proximité de

197 la forêt une usine qui peut exploser si les flammes parviennent à :

198 • franchir le pare-feu

199 • mettre le système de sécurité automatique (sprinkler) hors fonctionnement (Khakzad et al., 2017).

200 Le moyen de protection est composé d'une unité de pompiers et elle pourra intervenir sur les zones en feu « Forêt » et « Area

201 1 » (Figure 3). Les moyens de prévention et de protection empêchent la propagation du feu et agissent sur l'effet domino

202 (Figure 4).

203 Pour éviter des incohérences spatio-temporelles, il est important d'éviter de faire coexister de grandes amplitudes temporelles

204 dans le système. Ici, les évènements se dérouleront dans une durée de quelques heures à quelques jours. Cela permet de ne pas

205 prendre en compte la reforestation et des évènements en dehors de la temporalité d'un feu de forêt. Le système est estimé stable

206 (pas d'évolution) et l'étude pourra prendre fin lorsque les feux seront éteints sur l'ensemble du territoire. La dynamique de ce
207 territoire sera restreinte à l'interaction entre ces composants. Pour cela, un système de règles doit être établi à partir de faits non-contestables ou provenant de la littérature ((Gaucherel & Pommereau, 2019)). Pour définir le système de règles, on définit une question qui reflétera l'intérêt de l'étude. La question est ici : peut-on éviter l'explosion de l'usine ?

209

<figure><img src="image_4.png" /><figcaption>Figure 4: Propagation de l'évènement Natech dans le système</figcaption></figure>

210 B) Système de règles

211 Une fois le territoire défini, les composants sont traduits en variables (Table 1). Un système de règles précise les relations entre les variables et permet de construire leurs interactions. Dans cette étude, il y a 7 composants et 10 variables (tableau 2). Les variables sont à valeur binaire, soit « + » pour présence soit « - » pour absence (Table 2). Pour conserver des variables binaires, certains composants qui ont plus de 2 états possibles seront représentés par plusieurs variables telles que la position de l'unité de pompiers (valeurs spatiales) : l'unité peut en effet être à la caserne (Station), dans la forêt (Forêt) ou dans la zone de l'usine (Area 1).

217

<table><caption>Table 1: Correspondance Composants - Variables</caption><thead><tr><td>Composants</td><td>Variables</td></tr></thead><tbody><tr><td>Cigarette</td><td>Cig</td></tr><tr><td>Unité de pompiers</td><td>Fi● (with ● ∈{S1, F, 1}) (S1: Station, F: Forêt, 1: Area1)</td></tr><tr><td>Pare-feu</td><td>Wal</td></tr><tr><td>Système de sécurité</td><td>Se1</td></tr><tr><td>Flamme</td><td>Bu● (with ● ∈{F, 1}) (F: Forêt, 1: Area1)</td></tr><tr><td>Usine</td><td>Fa1</td></tr><tr><td>Forêt</td><td>For</td></tr></tbody></table>
Cig : La cigarette est allumée (+), elle est éteinte (-).

For : La forêt est préservée à plus de 80% (+), la forêt est brûlée à plus de 20% (-).

BuF : La forêt est en feu (+), la forêt n'est pas en feu (-).

Bu1 : Area 1 est en feu (+), Area 1 n'est pas en feu (-).

FiS1 : L'unité de pompiers est à la caserne (+), l'unité de pompiers est dehors (-)

FiF : L'unité de pompiers est en forêt (+), l'unité de pompiers n'est pas en forêt (-).

Fi1 : L'unité de pompiers est Area 1 (+), l'unité de pompiers n'est pas à Area 1 (-).

Wal: Le pare-feu est efficace contre le feu (entre Forêt et Area 1) (+). Le pare-feu est franchi (-).

Se1 : Le système de sécurité de l'usine 1 est opérationnel (+), il est défaillant (-).

Fa1 : L'usine 1 est intacte (+), l'usine 1 explose (-).

218

219

220

221

222

223

224

225

226

227

228

229

<caption>Table 2: Tableau des états des variables</caption>

Le modèle est obtenu en décrivant des relations directes entre les causes et les conséquences transcrites dans des règles. Le tableau (Table 3) montre les modifications du système qui peuvent se réaliser. Les 22 règles sont les évolutions du système (changement d'état des variables). La partie gauche de la règle (avant >>) présente les causes nécessaires à l'activation de la règle et la partie droite (après >>) les conséquences (les changements d'état des variables réalisés par la règle).
Par exemple, la règle R1 : « BuF+ >> For- » (Table 3) équivaut plus explicitement à « BuF+, For+ >> BuF+, For- » (avec la normalisation et l'élémentarisation de la règle (Pommereau et al., 2022)). Elle se traduit par la condition « BuF+ » étant vérifiée, la variable « For » peut passer de l'état « + » à l'état « - » et la variable « BuF » reste à l'état « + », l'interprétation correspond à : « Le feu peut engendrer une perte à plus de 20% de la forêt ».

<table><caption>Table 3: Tableau de règles</caption><thead><tr><td></td><td>Règles</td><td>Interprétations</td></tr></thead><tbody><tr><td>R1</td><td>BuF+ >> For-</td><td>Le feu peut engendrer une perte à plus de 20% de la forêt</td></tr><tr><td>R2</td><td>BuF-, Cig+ >> BuF+, Cig-</td><td>Une cigarette allumée peut provoquer un feu en forêt et elle est consumée</td></tr><tr><td>R3</td><td>BuF+, Wal+, Bu1- >> Wal-, Bu1+</td><td>Le feu en forêt peut dépasser le pare-feu et mettre le feu en Area 1 (autour de l'usine1)</td></tr><tr><td>R4</td><td>Bu1+, Se1-, Fa1+, Fi1+ >> Bu1-</td><td>Si l'usine n'a pas explosé l'unité de pompiers peut éteindre le feu en Area 1 avant qu'elle explose, même si le système de sécurité est défaillant</td></tr><tr><td>R5</td><td>Bu1+ >> Se1-</td><td>Le feu peut mettre le système de sécurité de l'usine 1 en péril</td></tr><tr><td>R6</td><td>Fa1+, Bu1+, Se1-, BuF- >> Fa1-, BuF+</td><td>Le feu en Area 1, avec un système de sécurité défaillant peut provoquer l'explosion de usine 1 et réamorcer un feu en forêt</td></tr><tr><td>R7</td><td>Fa1+, Bu1+, Se1- >> Fa1-</td><td>Le feu en Area 1, avec un système de sécurité défaillant peut provoquer l'explosion de usine 1</td></tr><tr><td>R8</td><td>BuF+, Wal+ >> BuF-</td><td>Le feu peut s'éteindre tout seul en forêt</td></tr><tr><td>R9</td><td>BuF+, Wal-, FiF+ >> BuF-, Wal+</td><td>Si l'unité de pompiers est en forêt, elle peut éteindre le feu en forêt et le pare-feu redevient efficace</td></tr><tr><td>R10</td><td>Fi1+, Bu1+, Wal- >> Bu1-, Wal+</td><td>Si l'unité de pompiers est en Area 1, elle peut éteindre le feu en Area 1 et le pare-feu redevient efficace</td></tr><tr><td>R11</td><td>Fa1-, Bu1+, Fi1+ >> Bu1-</td><td>L'unité de pompiers peut éteindre le feu en Area 1 après l'explosion de l'usine 1</td></tr><tr><td>R12</td><td>Fa1-, Bu1+ >> Bu1-, Wal+</td><td>Après l'explosion de l'usine 1, le feu en Area 1 peut s'éteindre seul et le pare-feu redevient efficace</td></tr><tr><td>R13</td><td>BuF-, Wal- >> Wal+</td><td>S'il n'y a plus le feu en forêt, le pare-feu redevient efficace</td></tr><tr><td>R14</td><td>BuF+, Wal+, FiF+ >> BuF-</td><td>L'unité de pompiers peut éteindre le feu en la forêt, le pare-feu reste efficace</td></tr><tr><td>R15</td><td>Bu1+, Fi1-, FiF+ >> Fi1+, FiF-</td><td>S'il y a le feu en Area 1, l'unité de pompiers peuvent se déplacer de la forêt à Area 1</td></tr><tr><td>R16</td><td>Bu1+, Fi1-, FiS1+ >> Fi1+, FiS1-</td><td>S'il y a le feu en Area 1, l'unité de pompiers peuvent se déplacer de Area S (caserne) à Area 1</td></tr><tr><td>R17</td><td>BuF+, FiF-, FiS1+ >> FiF+, FiS1-</td><td>S'il y a le feu en forêt, l'unité de pompiers peuvent se déplacer de Area S à la forêt</td></tr><tr><td>R18</td><td>BuF+, FiF-, Fi1+ >> FiF+, Fi1-</td><td>S'il y a le feu en forêt, l'unité de pompiers peuvent se déplacer de Area 1 à la forêt</td></tr><tr><td>R19</td><td>Wal-, Fi1-, FiS1+ >> Fi1+, FiS1-</td><td>Si le pare-feu est franchi, l'unité de pompiers peuvent se déplacer de Area S à Area 1</td></tr><tr><td>R20</td><td>Wal-, Fi1-, FiF+ >> Fi1+, FiF-</td><td>Si le pare-feu est franchi, l'unité de pompiers peuvent se déplacer de la forêt à Area 1</td></tr><tr><td>R21</td><td>Bu1-, BuF-, FiS1-, Fi1+ >> FiS1+, Fi1-</td><td>Si le feu est éteint, l'unité de pompiers peuvent se déplacer de Area 1 à Area S</td></tr><tr><td>R22</td><td>Bu1-, BuF-, FiS1-, FiF+ >> FiS1+, FiF-</td><td>Si le feu est éteint, l'unité de pompiers peuvent se déplacer de la forêt à Area S</td></tr></tbody></table>
231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

Les variables « Unité de pompiers » et « Flamme » modélisent les déplacements de l'unité de pompiers et la propagation des flammes. Pour représenter le sous-effectif des services de protection et mettre le territoire sous tension, l'unité de pompiers a une seule possibilité d'intervention pour deux zones possibles d'incendie. Les règles des déplacements de l'unité de pompiers sont régies par la présence de feux sur la zone d'intervention (Table 3).

L'unité se déplacera seulement vers une zone où le feu est présent (R15 à R20), et rentrera à la caserne (R21 et R22) seulement si tous les feux sont éteints. Le pare-feu ne pourra pas être franchi deux fois pour atteindre l'Area 1, car les combustibles seront consumés après le premier passage. Enfin, le feu suivra une trajectoire réaliste, et ne reviendra pas en arrière. Néanmoins, un feu de forêt pourra se reproduire dans la forêt après l'explosion de l'usine (par projection de débris enflammés) dans un autre endroit de la forêt.

## IV. RÉSULTATS

Dans notre modèle, l'état initial $M_0$, est le marquage (Cig+, For+, BuF-, Bu1-, FiS1+, FiF-, Fi1-, Wal+, Se1+, Fa1+). Cela représente l'état du système dans lequel une cigarette est allumée, la forêt est intacte à plus de 80% de sa surface, il n'y a pas de feu dans la forêt ni dans la zone industrielle, l'usine est intacte et le système de sécurité est fonctionnel. Le pare-feu est efficace et l'unité de pompiers est à la caserne.

Le graphe d'états (Figure 5) a été réalisé sur la plateforme ECCO ((Pommereau et al., 2022)). Sur le graphe d'états, il y a 77 sommets formant 29 sous-graphes SCC. Il y a 6 deadlocks {D1 à D6} avec :

* D1 : Cig- ; For+ ; BuF- ; Bu1- ; FiS1+ ; FiF- ; Fi1- ; Wal+ ; Se1+ ; Fa1+

* D2 : Cig- ; For- ; BuF- ; Bu1- ; FiS1+ ; FiF- ; Fi1- ; Wal+ ; Se1+ ; Fa1+

* D3 : Cig- ; For- ; BuF- ; Bu1- ; FiS1+ ; FiF- ; Fi1- ; Wal+ ; Se1- ; Fa1+

* D4 : Cig- ; For- ; BuF- ; Bu1- ; FiS1+ ; FiF- ; Fi1- ; Wal+ ; Se1- ; Fa1-

* D5 : Cig- ; For+ ; BuF- ; Bu1- ; FiS1+ ; FiF- ; Fi1- ; Wal+ ; Se1- ; Fa1+

* D6 : Cig- ; For+ ; BuF- ; Bu1- ; FiS1+ ; FiF- ; Fi1- ; Wal+ ; Se1- ; Fa1-

<figure><img src="image_5.png" /><figcaption>Figure 5: Graphe des états atteignables</figcaption></figure>

On peut distinguer des frontières (en rouge pour Fa1, en noir pour For et en vert pour Se1), lorsque ces lignes sont franchies les composants auxquels elles réfèrent seront définitivement maintenus dans l'état "-" jusqu'à la fin de la simulation. Nous constatons que la frontière de Se1 et la frontière de Fa1 ne se croisent pas. Donc la défaillance du système de sécurité Se1- est
278 une condition nécessaire à l'explosion de l'usine Fa1-. En revanche, la frontière For est transverse, l'état de For peut passer à l'état « - » dans tous les états de « Fa1 » et de « Se1 ». Les trois variables For, Se1 et Fa1 discriminent les deadlocks.
279

280 Les dépliages et les configurations ont été réalisés sur Ecofolder. La plateforme ECCO est utilisée pour convertir le fichier « .rr » en fichier « .ll_net » nécessaire pour dépliage sur Ecofolder.
281

282 La réunion des structures d'évènements de tous les deadlocks équivaut à la structure d'évènements complète (Figure 6).
283 Chaque évènement « e » d'une configuration est lié causalement par les évènements qui les précèdent, leur nombre est fini. On
284 peut ainsi extraire les évènements causaux à un évènement particulier, on obtient ainsi un unique processus (chemin). Afin de
285 faciliter la lisibilité des structures d'évènements, les évènements seront illustrés par des pictogrammes montrant les
286 modifications opérées.
287

287

<figure><img src="image_6.png" /><figcaption>Figure 6: Structure d'évènements complète</figcaption></figure>

288 Le préfixe qui mène à D3 est l'exemple étudié par la suite. Il existe deux configurations qui peuvent aboutir au deadlock D3 :

289 • (e1, e3, e8, e16, e23, e2, e39, e69)

290 • (e1, e3, e7, e17, e2, e30, e43)

291 Dans les deux configurations ci-dessu, les évènements concurrents sont {e1, e3} et les évènements {e8, e16, e23, e2, e39, e69} sont en conflit avec les évènements {e7, e17, e2, e30, e4}. Les évènements en conflit direct sont e8 et e7 et les évènements qui leur succèdent ont hérité de la relation de conflit.
292
293

294 Le préfixe des processus menant à D3 est donné. Figure 7 et le conflit est représenté par les pointillés.
295

295 Au vu de la taille d'un préfixe, la structure d'évènements permet d'alléger les graphes et les configurations maximales
296 permettent d'extraire un sous-graphe pour mieux l'analyser.
297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

<figure><img src="image_7.png" /><figcaption>Figure 7: Préfixe dont les configurations mènent à D3</figcaption></figure>
316

317

318

319

320

321

322

323

324

325

326

327

328

329

330

331

332

333

334

335

336

337

338

339

340

341

342

343

344

345

346

347

348

349

350

351

352

353

354

355

356

357

358

359

360

361

362

363

364

365

366

La structure d'évènements menant à D3 (Figure 1) est interprétée plus explicitement dans la suite.

Après l'évènement initiateur, une cigarette est allumée, il y a le feu à la forêt (BuF+), la forêt est brûlée à plus de 20 % de sa surface. En parallèle, le pare-feu est franchi par les flammes (Wal -) et Area 1 est en feu (Bu1+). C'est alors que les pompiers sortent de la caserne (FiS -) pour aller à la zone industrielle (Fi1 +), de façon indépendante, le système de sécurité est mis hors service (Se1 -).

Deux chemins distincts peuvent se produire menant à D3 :

* Soit le feu s'éteint au secteur industriel sans que le pare-feu redevienne efficace. Il y a alors toujours une menace d'incendie provenant de la forêt. L'unité de pompiers se déplace alors en forêt. Le feu est alors éteint en forêt et le pare-feu redevient efficace. Suite à cela, l'unité de pompiers peut rentrer à la caserne.

* Soit le pare-feu est redevenu efficace, il n'y a alors plus de combustible dans la forêt et le feu s'éteint seul dans la forêt. Et l'unité de pompiers rentre à la caserne.

<figure><img src="image_8.png" /><figcaption>Figure 8: Structure d'évènements des configurations menant à D3</figcaption></figure>

V. DISCUSSION

De manière générale, l'amélioration des connaissances dans les processus d'un évènement permet une meilleure prévention des risques. Le dépliage est une méthode efficace pour noter l'ordre des évènements, menant à des états du système. L'analyse des processus permet d'identifier les chemins critiques, d'élaborer des stratégies et des moyens de protection dans la gestion multirisque. Ainsi, les suites d'évènements qui empêchent l'usine d'exploser peuvent faire partie d'une stratégie de renforcement des moyens de prévention et des moyens d'intervention.

La question centrale posée est de déterminer la manière d'éviter l'explosion de l'usine Fa1. Tout d'abord, l'étude a permis de démontrer que l'usine Fa1 n'est pas le seul enjeu dans le système étudié. L'état de la forêt après un feu est un enjeu qui doit faire partie de l'évaluation des risques. En effet, suite à une explosion, le feu de forêt peut reprendre et endommager d'autres enjeux (pas encore pris en compte dans le système).

Puis, l'analyse du graphe d'états a montré les relations entre les variables Se1 et Fa1. Cela permet de constater que le système de sécurité permet d'éviter l'explosion de l'usine. De plus, il y a seulement deux chemins (à permutations d'évènements concurrents près) (Figure 8) qui permettent à l'usine de rester intacte avec un système de sécurité défaillant.

La taille des graphes, dans une approche exhaustive, peut croître de façon exponentielle. Le problème d'explosion combinatoire des dépliages a été traité par l'amélioration des travaux précédents. La simplification des dépliages par les travaux de McMillan et d'Esparza (Esparza et al., 1996) permet une ainsi que les études sur les structures d'évènements et des configurations maximales (Aguirre-Sambon, s. d.) permettent l'exploitation de représentations de scénarios de risques possibles.

La capacité à représenter de façon lisible des scénarios sur les dépliages de réseaux de Petri ou de leur représentation en structure d'évènements permet de transmettre facilement les informations. L'ordonnancement en processus permet une meilleure communication auprès d'un public non spécialiste du domaine. Facilitant ainsi le partage des connaissances et l'aide à la prise de décision dans la gestion d'évènements multirisques.
La représentation exhaustive des scénarios de risques est un avantage dans l’élaboration de moyens de prévention. Cela présente l’avantage d’étudier des évènements possibles avec peu d’occurrences et peu de données. Il est intéressant de pouvoir envisager des phénomènes plausibles et mais avec peu de représentation surtout dans le domaine multirisques.

De plus, les graphes d’états et le dépliage des réseaux de Petri permettent d’avoir une vision macro du système à étudier. L’utilisation de données possibilistes facilite l’adaptation à la variation du modèle. Ce qui permet, dans un premier temps, de dégager des données pertinentes sur la dynamique du système. Dans un second temps, l’étude peut être complétée en affinant le modèle, et ainsi le rendre plus réaliste avec une approche quantitative ou probabiliste, pour cela des données doivent être recueillies. L’étude de faisabilité a montré des résultats encourageants pour poursuivre sur des modèles plus complexes. La simulation de systèmes génériques permet d’adapter le modèle au territoire souhaité. Le modèle est construit à partir d’un ensemble de variables et de règles dans un espace-temps défini, de sorte à éviter les incohérences spatiales et temporelles.

## VI. CONCLUSION

De nouvelles approches sont à développer pour répondre aux défis de la gestion multirisque. Ainsi, les réseaux de Petri et leur dépliage permettent de modéliser les interactions complexes et la dynamique d’un système. Le dépliage assure une lecture claire et exhaustive des scénarios possibles d’un système. Il identifie les chemins critiques et conduit à une gestion plus efficace des risques Natech comme montré plus haut. Pour finir, le dépliage des réseaux de Petri est un outil utilisable à des fins d’analyse causale.

## REMERCIEMENTS

Les travaux présentés dans cette communication sont des résultats du projet SMART impliquant INRAE et l’Inria. Les auteurs remercient Giann-Karlo Aguirre-Samboni pour l’élaboration du logiciel Ecofolder, Colin Thomas pour le développement du logiciel ECCO, Franck Pommereau pour son investissement dans l’élaboration des plateformes et Thomas Curt pour sa participation à la formalisation du modèle.

## REFERENCES

Agenda21.pdf. (s. d.). Consulté 22 avril 2024, à l'adresse https://sustainabledevelopment.un.org/content/documents/Agenda21.pdf

Aguirre-Sambon, G. K. (s. d.). Reset Petri Net Unfolding Semantics for Ecosystem Hypergraphs. In *PNSE 2023—International Workshop on Petri Nets and Software Engineering*. https://univ-evry.hal.science/hal-03750233

AR5 Synthesis Report: Climate Change 2014 — IPCC. (s. d.). Consulté 8 avril 2024, à l'adresse https://www.ipcc.ch/report/ar5/syr/

AR6 Synthesis Report: Climate Change 2023. (s. d.). Consulté 8 avril 2024, à l'adresse https://www.ipcc.ch/report/ar6/syr/

Cadre d'action de Sendai pour la réduction des risques de catastrophe 2015—2030. (s. d.).

Cosme, M., Bernardoff, O., Hély, C., Tiberi, C., Parat, F., Gautier, S., Treydte, A., Colombo, G., Ceppi, S., Pommereau, F., & Gaucherel, C. (2023). Risk assessment and recovery trajectories of a social-ecological system with a discrete-event model after a volcanic eruption. *International Journal of Disaster Risk Reduction*, 92, 103741. https://doi.org/10.1016/j.ijdrr.2023.103741

Curt, C. (2021). Multirisk: What trends in recent works? - A bibliometric analysis. *The Science of the Total Environment*, 763, 142951. https://doi.org/10.1016/j.scitotenv.2020.142951

Esparza, J., Römer, S., & Vogler, W. (1996). An improvement of McMillan’s unfolding algorithm. In T. Margaria & B. Steffen (Éds.), *Tools and Algorithms for the Construction and Analysis of Systems* (Vol. 1055, p. 87-106). Springer Berlin Heidelberg. https://doi.org/10.1007/3-540-61042-1_40

Gaucherel, C., & Pommereau, F. (2019). Using discrete systems to exhaustively characterize the dynamics of an integrated ecosystem. *Methods in Ecology and Evolution*, 10(9), 1615-1627. https://doi.org/10.1111/2041-210X.13242

Gaucherel, C., Pommereau, F., & Hély, C. (2020). Understanding Ecosystem Complexity via Application of a Process-Based State Space rather than a Potential Surface. *Complexity*, 2020, 7163920. https://doi.org/10.1155/2020/7163920
https://www.swissre.com/dam/jcr:d1b2d5f7-c37e-41c2-b084-21648612d7a9/sigma2_2019_fr.pdf

Kamil, M. Z., Taleb-Berrouane, M., Khan, F., & Ahmed, S. (2019). Dynamic domino effect risk assessment using Petri-nets. *Process Safety and Environmental Protection*, 124, 308-316. https://doi.org/10.1016/j.psep.2019.02.019

Khakzad, N., Landucci, G., & Reniers, G. (2017). Application of dynamic Bayesian network to performance assessment of fire protection systems during domino effects. *Reliability Engineering & System Safety*, 167, 232-247. https://doi.org/10.1016/j.ress.2017.06.004

McMillan, K. L., & Probst, D. K. (1995). A technique of state space search based on unfolding. *Formal Methods in System Design, 6*(1), 45-65.
https://doi.org/10.1007/BF01384314

Murata, T. (1989). Petri nets : Properties, analysis and applications. *Proceedings of the IEEE*, 77(4), 541-580. https://doi.org/10.1109/5.24143

Pommereau, F., Thomas, C., & Gaucherel, C. (2022). Petri Nets Semantics of Reaction Rules (RR) : A Language for Ecosystems Modelling. In L. Bernardinello & L. Petrucci (Éds.), *Application and Theory of Petri Nets and Concurrency* (Vol. 13288, p. 175-194). Springer International Publishing. https://doi.org/10.1007/978-3-031-06653-5_10

Zhou, J., & Reniers, G. (2017a). Analysis of emergency response actions for preventing fire-induced domino effects based on an approach of reversed fuzzy Petri-net. *Journal of Loss Prevention in the Process Industries*, 47, 169-173. https://doi.org/10.1016/j.jlp.2017.03.011

Zhou, J., & Reniers, G. (2017b). Petri-net based cascading effect analysis of vapor cloud explosions. *Journal of Loss Prevention in the Process Industries, 48*, 118-125. https://doi.org/10.1016/j.jlp.2017.04.017

Zhou, J., & Reniers, G. (2018). Petri-net based evaluation of emergency response actions for preventing domino effects triggered by fire. *Journal of Loss Prevention in the Process Industries, 51*, 94-101. https://doi.org/10.1016/j.jlp.2017.12.001