L’analyse d’accident constitue un champ d’investigation interdisciplinaire déterminant, situé à l’intersection de la psychologie cognitive, de l’ergonomie systémique et de la psychologie du travail et des organisations. Loin de se réduire à un simple recensement mécanique d’avaries matérielles, cette démarche scientifique vise à déconstruire les interactions complexes unissant l’opérateur humain, les artefacts techniques et les environnements organisationnels sous contrainte. En explorant la genèse des défaillances, elle permet de transformer un événement traumatique en un levier d’apprentissage collectif et de résilience structurelle.
Analyse d’accident
1. Définition concise
L’analyse d’accident désigne l’examen systématique, rétrospectif et multidisciplinaire d’un événement imprévu ayant occasionné des dommages corporels, matériels ou environnementaux, mené afin d’en identifier les causes immédiates, sous-jacentes et systémiques pour en prévenir la récurrence.
Dans le domaine de la psychologie du travail et des organisations et de l’ingénierie des facteurs humains, l’analyse d’accident ne cherche pas à désigner un coupable individuel, mais s’attache à décrypter les mécanismes cognitifs, psychosociaux et managériaux qui ont rendu l’accident possible ou inévitable. Elle appréhende l’action humaine non comme la source exclusive de la défaillance, mais comme le symptôme de vulnérabilités profondes nichées au cœur de l’organisation.
Sur le plan épistémologique, cette discipline postule que les accidents dans les systèmes sociotechniques complexes résultent rarement d’une cause unique. Ils émergent plutôt de la confluence imprévisible de multiples dérives, d’angles morts cognitifs et de pressions opérationnelles qui érodent progressivement les barrières de défense établies.
2. Étymologie et origines linguistiques
Le vocable « accident » puise son origine dans le latin accidens, participe présent du verbe accidere, composé du préfixe ad- (vers, à) et de cadere (tomber, choir, survenir fortuitement). Historiquement, le terme désignait ce qui advient de manière imprévue, un événement fortuit venant rompre le cours ordinaire des choses sans dessein délibéré.
Le terme « analyse » dérive quant à lui du grec ancien analusis (ἀνάλυσις), formé de ana- (de bas en haut, en remontant vers l’origine) et de lusis (déliement, dissolution). Il renvoie littéralement à l’action de décomposer un tout complexe en ses éléments constitutifs les plus élémentaires pour en saisir l’architecture interne et la dynamique fonctionnelle.
L’association des deux termes est apparue dans le langage industriel et réglementaire au début du XXe siècle avec l’essor du machinisme et des assurances professionnelles. Elle a ensuite été adoptée par la psychologie appliquée et l’ergonomie après la Seconde Guerre mondiale, marquant le passage d’une interprétation fataliste de l’accident à une rationalisation scientifique de sa causalité.
3. Prononciation et forme grammaticale
Le syntagme « analyse d’accident » est un groupe nominal féminin singulier. Sa transcription phonétique en français standard selon l’Alphabet Phonétique International (API) est /a.na.liz d‿ak.si.dɑ̃/. Au pluriel, il s’écrit « analyses d’accidents » ou « analyses d’accident » (/a.na.liz d‿ak.si.dɑ̃/).
Sur le plan syntaxique, le substantif « analyse » gouverne le complément du nom « d’accident ». Dans les contextes académiques et techniques francophones, on rencontre également des variantes syntagmatiques telles que « analyse des événements indésirables graves », « retour d’expérience après accident » ou « enquête technique et humaine post-accidentelle ».
En contexte clinique ou médico-légal, l’usage exige de distinguer l’analyse d’accident du travail (relevant de la législation sociale et de la sécurité professionnelle) de l’analyse d’accidents de transport ou de catastrophe industrielle, bien que le socle méthodologique d’investigation psychologique demeure analogue.
4. Explication conceptuelle approfondie
L’analyse d’accident s’articule autour du postulat selon lequel l’accident représente une propriété émergente des systèmes sociotechniques. Un accident n’est pas un événement binaire et isolé provoqué par une cause première évidente, mais l’aboutissement d’un processus dynamique et prolongé d’incubation. Pendant cette phase d’incubation, des anomalies mineures, des compromis cognitifs et des dérogations aux règles s’accumulent sans entraîner de conséquences immédiates, jusqu’à ce qu’un déclencheur déclenche la séquence catastrophique.
Du point de vue de la psychologie cognitive, l’analyse porte une attention aiguë aux limites du traitement humain de l’information. Les opérateurs sont constamment soumis à des contraintes temporelles, à des sollicitations attentionnelles concurrentes et à des biais de raisonnement. Les concepts de conscience de la situation (situational awareness), de charge mentale de travail et de dégradation cognitive sous l’effet du stress ou de la fatigue constituent des axes d’analyse cruciaux. L’investigation cherche à reconstituer le modèle mental de l’individu au moment précis de l’action afin de comprendre pourquoi ses décisions lui paraissaient rationnelles et justifiées dans ce contexte spécifique.
Sur le plan organisationnel, l’analyse d’accident transcende l’individu pour examiner les régulations de contrôle, les politiques managériales, les arbitrages entre sécurité et rentabilité, ainsi que la culture de sécurité régnante. Lorsque la rentabilité ou la cadence productive est implicitement privilégiée par rapport au respect scrupuleux des barrières préventives, les opérateurs développent des stratégies d’adaptation non officielles appelées régulations opératoires. Si ces ajustements favorisent l’efficacité au quotidien, ils réduisent dramatiquement les marges de sécurité requises face à un imprévu.
Enfin, l’analyse d’accident intègre une dimension éthique et réparatrice essentielle. Elle influence la manière dont les survivants, les collègues et l’encadrement élaborent le sens de l’événement. En substituant une culture de l’apprentissage (« culture juste ») à une culture du blâme et de la punition, elle désamorce la culpabilisation toxique et encourage le signalement spontané des aléas et des quasi-accidents, indispensables à la santé psychologique des collectifs de travail.
5. Évolution historique
L’histoire de l’analyse d’accident reflète les mutations technologiques et l’évolution des paradigmes en psychologie du travail depuis plus d’un siècle. Dans les années 1920 et 1930, les premiers modèles étaient dominés par la théorie de la « propension aux accidents » (accident proneness), formulée notamment par Greenwood, Woods et Farmer. Cette approche, aujourd’hui largement discréditée, considérait que certains individus présentaient des tares psychologiques ou physiologiques innées les prédisposant aux accidents, reportant l’entière responsabilité sur la sélection du personnel.
Durant les années 1930, Herbert William Heinrich a introduit la théorie linéaire de la chaîne de dominos, figurant l’accident comme une succession d’étapes causales où la faute humaine déclenche l’acte dangereux menant à la blessure. Bien que mécaniste, cette théorie a popularisé le concept de chaîne causale et incité l’industrie à intervenir sur les facteurs préalables à la lésion physique.
La Seconde Guerre mondiale et l’après-guerre ont marqué un tournant fondamental avec la naissance de l’ingénierie des facteurs humains. Les travaux de psychologues comme Paul Fitts sur les erreurs de pilotage dans les cockpits ont prouvé que les erreurs humaines étaient systématiquement provoquées par une mauvaise conception ergonomique des commandes et des indicateurs visuels. L’accent s’est alors déplacé de la faute de l’opérateur vers l’adéquation entre l’homme et l’interface machine.
À partir des années 1970 et 1980, sous le choc des catastrophes de Three Mile Island, Tchernobyl, Bhopal et du vol Challenger, des chercheurs comme Jens Rasmussen et Charles Perrow ont théorisé la vulnérabilité intrinsèque des technologies complexes. Perrow a formulé la théorie des « accidents normaux », affirmant que dans les systèmes à fort couplage et à complexité interactive, les accidents sont inévitables. Simultanément, le psychologue britannique James Reason a formalisé le modèle des défaillances latentes, distinguant radicalement les erreurs patentes des opérateurs de première ligne des failles organisationnelles sous-jacentes.
Au début du XXIe siècle, l’avènement de l’ingénierie de la résilience sous l’impulsion d’Erik Hollnagel, de David Woods et de Sidney Dekker a inauguré l’ère du paradigme « Safety-II ». Ce courant contemporain redéfinit la sécurité non plus comme la simple absence d’accidents, mais comme la capacité dynamique des individus et des organisations à réussir leurs opérations dans des conditions variables, transformant l’analyse d’accident en un examen des adaptations humaines ordinaires ayant exceptionnellement échoué.
6. Fondements théoriques
L’analyse d’accident moderne repose sur plusieurs architectures théoriques complémentaires issues des sciences cognitives et de la théorie générale des systèmes. Le modèle le plus influent demeure le modèle du fromage suisse élaboré par James Reason. Selon cette approche, les organisations interposent de multiples barrières défensives (procédures, formations, automatismes, équipements de protection) entre les dangers potentiels et les conséquences désastreuses. Chaque barrière comporte toutefois des faiblesses comparables aux trous d’une tranche de gruyère. L’accident survient uniquement lorsqu’une série de trous s’aligne momentanément, permettant au danger de traverser l’ensemble des défenses sans être intercepté.
Reason y introduit la distinction épistémique entre les défaillances patentes (active failures) et les conditions latentes (latent conditions). Les défaillances patentes sont les actes dangereux (lapsus, erreurs de jugement, violations) commis par les praticiens en prise directe avec le système, dont l’impact est quasi instantané. Les conditions latentes, en revanche, résultent de décisions stratégiques prises en amont par les concepteurs, les gestionnaires ou les régulateurs. Elles dorment au sein du système pendant de longues périodes avant de se combiner à des circonstances locales pour neutraliser les sécurités.
Le second socle théorique prépondérant est le modèle d’abstraction et de régulation cognitive de Jens Rasmussen, connu sous le sigle SRK (Skill, Rule, Knowledge). Rasmussen classe le comportement humain en trois niveaux cognitifs : le niveau basé sur les habiletés sensori-motrices automatisées (skills), le niveau basé sur l’application de règles apprises (rules), et le niveau basé sur la connaissance conceptuelle et la résolution de problèmes inédits (knowledge). L’analyse psychologique d’un accident examine à quel niveau l’opérateur opérait lors de l’incident et comment la dégradation de son environnement de travail l’a conduit à commettre une faute d’attention involontaire, une mauvaise application de consigne ou une impasse dans son raisonnement réflexif.
Enfin, le modèle STAMP (Systems-Theoretic Accident Model and Processes), proposé par Nancy Leveson, redéfinit la causalité non comme une chaîne d’événements linéaires, mais comme un problème de contrôle dynamique au sein d’une structure sociotechnique hiérarchisée. Dans ce cadre, les accidents résultent de rétroactions inadéquates ou d’ordres de commande inappropriés émis à différents échelons de la gouvernance, depuis le législateur jusqu’à la machine.
7. Composantes clés, typologies et dimensions
Pour appréhender l’exhaustivité d’un événement dommageable, l’analyse d’accident investigue plusieurs dimensions complémentaires :
- Les facteurs humains individuels : processus attentionnels, état de vigilance, surcharge sensorielle, biais de confirmation, fixation attentionnelle, fatigue physiologique et détresse émotionnelle de l’opérateur au moment des faits.
- Les facteurs environnementaux et ergonomiques : ergonomie des interfaces homme-machine (lisibilité des voyants, disposition des commandes), ambiance physique (bruit, éclairage, température, vibrations) et clarté des rétroactions fournies par les instruments.
- Les facteurs d’équipe et relationnels : gestion des ressources de l’équipage (Crew Resource Management), communication verbale et non verbale, gradient d’autorité inhibiteur, répartition des tâches et soutien mutuel au sein de l’équipe opérationnelle.
- Les facteurs organisationnels et managériaux : adéquation des dotations en personnel, politiques d’ordonnancement, pressions temporelles exercées par la hiérarchie, qualité des formations initiales et continues, et clarté des modes opératoires normalisés.
- Les conditions latentes et institutionnelles : arbitrages financiers globaux, défaillances des audits réglementaires internes, obsolescence programmée des infrastructures et lacunes dans les normes de l’industrie.
- Les barrières de sécurité défaillantes : analyse rétrospective des barrières de prévention (destinées à empêcher l’initiation du risque), de récupération (destinées à corriger la trajectoire anormale) et d’atténuation (destinées à limiter l’ampleur du traumatisme final).
8. Exemples et cas illustratifs
L’exploration d’exemples historiques permet d’illustrer concrètement la portée de l’analyse psychologique des accidents. L’une des études de cas les plus formatrices concerne la catastrophe aérienne de Tenerife en 1977, où deux Boeing 747 sont entrés en collision sur la piste dans un brouillard épais. L’analyse a révélé que le commandant de bord expérimenté, soumis à une forte anxiété face au dépassement de son temps de service réglementaire, a interprété un message radio ambigu comme une autorisation de décollage. De surcroît, le gradient d’autorité excessif dans le cockpit a empêché le copilote et le mécanicien navigant d’exprimer clairement leurs doutes sur la présence de l’autre appareil. Ce drame a transformé la formation aéronautique en imposant l’entraînement aux facteurs humains et à la communication assertive.
Un autre cas paradigmatique réside dans l’accident nucléaire de Three Mile Island en 1979. Alors qu’une vanne de décharge était restée bloquée en position ouverte, le voyant de la salle de contrôle indiquait que l’ordre électrique de fermeture avait été envoyé, et non l’état physique réel de la vanne. Les opérateurs, trompés par cette interface déficiente, ont cru que le réacteur était inondé et ont coupé l’injection d’eau de secours, provoquant la fusion partielle du cœur. L’analyse d’accident a démontré qu’il ne s’agissait nullement d’une incompétence du personnel, mais d’une erreur induite par une mauvaise conception de l’interface visuelle et un déficit d’entraînement aux scénarios thermodynamiques dégradés.
Dans le secteur de la santé, l’analyse d’erreurs d’administration médicamenteuse létales met régulièrement en lumière le rôle des similitudes d’emballage (phénomène dit « Look-Alike, Sound-Alike »). Lorsqu’une infirmière surmenée administre du chlorure de potassium au lieu d’un soluté physiologique, l’analyse systémique évite d’incriminer sa négligence personnelle. Elle met en lumière les conditions de stockage identiques, la baisse de vigilance induite par le travail posté et le manque de détrompeurs physiques, ce qui conduit les hôpitaux à sécuriser la chaîne d’approvisionnement en amont.
9. Mesure, évaluation et méthodes d’investigation
L’investigation rigoureuse d’un événement indésirable fait appel à un ensemble d’instruments méthodologiques éprouvés, conjuguant recueil qualitatif et modélisation systémique :
La méthode de l’arbre des causes, développée par l’Institut National de Recherche et de Sécurité (INRS), constitue la démarche la plus répandue dans le monde francophone. Elle consiste à partir de la lésion ou du dommage final et à remonter logiquement dans le temps en posant systématiquement deux questions : « Qu’a-t-il fallu pour que ce fait se produise ? » et « Ce fait était-il nécessaire et suffisant ? ». Cette méthode s’appuie exclusivement sur des faits objectifs constatés, rejetant strictement les jugements de valeur et les hypothèses non vérifiables.
Le système HFACS (Human Factors Analysis and Classification System), élaboré par Douglas Wiegmann et Scott Shappell sur les bases théoriques de Reason, catégorise les anomalies humaines selon quatre niveaux séquentiels : les actes dangereux des opérateurs, les préconditions aux actes dangereux (états physiologiques ou mentaux dégradés, mauvaise coordination), la supervision défaillante (planification inadéquate, manquements aux consignes de sécurité) et les influences organisationnelles (culture d’entreprise, ressources allouées). L’utilisation de cette taxonomie standardisée permet des analyses statistiques longitudinales à l’échelle d’industries entières.
Sur le terrain psychologique, les enquêteurs s’appuient sur l’entretien cognitif rétrospectif. Cette technique d’interrogatoire non culpabilisante vise à réactiver le contexte perceptif, émotionnel et environnemental de l’opérateur sans introduire de biais mnésiques de reconstruction a posteriori. Elle permet de cartographier la charge mentale, les doutes éprouvés au moment de l’action et les signaux faibles perçus ou ignorés.
10. Applications et portée pratique
L’analyse d’accident irrigue de multiples domaines opérationnels où la défaillance humaine peut engendrer des conséquences vitales :
Dans l’industrie aéronautique, maritime et ferroviaire, les comités d’enquête indépendants (tels que le Bureau d’Enquêtes et d’Analyses pour la sécurité de l’aviation civile en France) utilisent ces analyses pour formuler des recommandations contraignantes. Celles-ci conduisent à la refonte des check-lists, à l’optimisation ergonomique des systèmes d’alerte et à la modification des rythmes de repos des équipages.
Dans le domaine médical et hospitalier, l’analyse d’accidents sert de fondement aux Revues de Morbimortalité (RMM) et à l’examen des événements indésirables graves associés aux soins. Ces réunions collégiales permettent aux équipes chirurgicales et soignantes de décortiquer les complications sans crainte de sanctions judiciaires internes, favorisant l’adoption de protocoles standardisés tels que la check-list chirurgicale au bloc opératoire.
Dans les industries à hauts risques (chimie Seveso, nucléaire, extraction pétrolière), l’analyse d’accident sert à calibrer les barrières d’atténuation physique et procédurale. Elle nourrit les simulations sur maquette ou simulateur pleine échelle, où les opérateurs sont entraînés à reconnaître les signes avant-coureurs de catastrophes passées.
11. Recherche et données empiriques
Les investigations empiriques en psychologie de la sécurité démontrent de manière récurrente que l’erreur humaine immédiate n’est présente qu’en phase terminale de la trajectoire accidentelle. Les études fondatrices de James Reason et de ses collaborateurs ont prouvé que dans plus de 80 % des catastrophes industrielles majeures, les conditions organisationnelles latentes préexistaient depuis plusieurs mois, voire plusieurs années, avant que l’acte déclencheur ne survienne.
Les recherches menées par David Woods et Richard Cook sur la surcharge cognitive des praticiens en milieu dynamique ont apporté des preuves solides concernant le paradoxe de l’automatisation. Leurs observations empiriques révèlent que l’automatisation soulage l’opérateur lorsque la situation est calme et prévisible, mais accroît drastiquement sa charge mentale et sa désorientation cognitive lorsque le système dysfonctionne et bascule brutalement en mode de pilotage dégradé.
Par ailleurs, les travaux d’Amy Edmondson sur la sécurité psychologique démontrent une corrélation empirique positive entre le sentiment de sécurité interpersonnelle ressenti par les employés et le niveau réel de sûreté des installations. Dans les collectifs où le personnel ne craint pas de représailles ou de ridicule en signalant des erreurs mineures, le taux d’accidents graves à long terme diminue de manière significative, attestant que la transparence informative constitue le socle indispensable à la résilience organisationnelle.
12. Considérations culturelles et transculturelles
La mise en œuvre et l’efficacité de l’analyse d’accident varient sensiblement selon les contextes socioculturels et les styles de management régionaux. Les dimensions culturelles identifiées par Geert Hofstede, en particulier la « distance hiérarchique », exercent une influence prépondérante sur la conduite des enquêtes et la sincérité des témoignages recueillis.
Dans les cultures caractérisées par une forte distance hiérarchique, les opérateurs subalternes hésitent fortement à évoquer les ordres inadaptés ou les lacunes techniques imputables à leur encadrement. L’analyse d’accident risque alors de masquer les causes managériales profondes pour s’en tenir à une explication complaisante centrée sur la maladresse de l’exécutant. À l’inverse, dans les cultures à faible distance hiérarchique, le débat contradictoire et la remise en question collégiale des processus décisionnels s’opèrent avec une plus grande fluidité.
De même, le rapport sociétal à la fatalité ou au déterminisme religieux modifie la réception de l’analyse. Dans certaines communautés, les catastrophes sont encore partiellement perçues comme des fatalités inéluctables échappant au contrôle humain, ce qui freine le développement d’une démarche d’investigation causale méthodique. Les organismes internationaux de transport s’emploient aujourd’hui à adapter les protocoles d’investigation pour neutraliser ces barrières culturelles sans heurter les sensibilités locales.
13. Critiques, controverses et limites
Malgré sa rigueur méthodologique affichée, l’analyse d’accident est traversée par d’intenses débats épistémologiques et cognitifs. Le principal écueil réside dans le biais rétrospectif (hindsight bias). Une fois le dénouement tragique connu, les enquêteurs ont une propension quasi automatique à surestimer la prévisibilité de l’événement. Des signaux qui étaient faibles, épars et masqués par le bruit de fond opérationnel deviennent a posteriori des alarmes flagrantes, conduisant les analystes à juger sévèrement le comportement des opérateurs qui n’ont pas su les interpréter en temps réel.
Une seconde controverse majeure concerne l’illusion de la causalité linéaire. Le théoricien Sidney Dekker dénonce la tentation tenace de simplifier rétrospectivement des dynamiques émergentes complexes sous la forme de récits séquentiels confortables. En découpant arbitrairement l’accident en une succession de causes et d’effets élémentaires, l’analyste dénature la réalité fonctionnelle du travail, où les décisions se prennent dans l’incertitude et la fluctuation permanente.
Enfin, la tension permanente entre l’enquête de sécurité et l’instruction judiciaire constitue un obstacle récurrent. Dans de nombreux pays, les résultats des analyses d’accidents peuvent être saisis par les autorités judiciaires pour établir des responsabilités pénales. Cette judiciarisation favorise le mutisme des acteurs de première ligne, qui recourent au droit de garder le silence pour éviter l’auto-incrimination, privant la communauté scientifique et technique des enseignements vitaux indispensables à la prévention d’accidents similaires.
14. Termes associés et distinctions conceptuelles
Pour clarifier la sémantique de la discipline, il convient de distinguer l’analyse d’accident de plusieurs notions connexes :
- Incident ou quasi-accident (near-miss) : événement indésirable dont les circonstances auraient pu conduire à des dommages, mais qui n’a produit aucun dommage direct grâce à des barrières fortuites ou des manœuvres ultimes de récupération. L’analyse de quasi-accident partage les mêmes méthodes, mais s’exécute sans la charge traumatique d’une perte réelle.
- Analyse de la cause racine (Root Cause Analysis) : méthodologie d’ingénierie visant à identifier le dysfonctionnement primaire d’un équipement technique ou d’un processus logique. Contrairement à l’analyse d’accident globale, elle tend souvent vers une vision excessivement linéaire et déterministe de la causalité.
- Audit de sécurité : évaluation proactive de la conformité réglementaire d’un système à un instant donné, alors que l’analyse d’accident est une démarche réactive déclenchée a posteriori par la survenue d’une défaillance.
- Retour d’expérience (REX) : dispositif managérial large collectant les leçons apprises aussi bien lors d’opérations courantes réussies que d’événements critiques, l’analyse d’accident constituant l’une de ses sources contributives majeures.
- Erreur humaine vs Violation : l’analyse d’accident distingue formellement l’erreur (acte involontaire résultant d’une défaillance attentionnelle ou cognitive) de la violation (dérogation délibérée à une règle établie, souvent motivée par un souci d’efficacité productive ou un aménagement face à des consignes inapplicables sur le terrain).
15. Synthèse et points clés à retenir
L’analyse d’accident moderne a dépassé la tentation ancestrale d’imputer le désastre à la simple défaillance individuelle ou à la fatalité du sort. Elle constitue un processus analytique exigeant qui envisage l’erreur humaine non comme la cause première de l’accident, mais comme le point de départ d’une exploration approfondie du système sociotechnique environnant.
En articulant les théories de la cognition située, de la dynamique organisationnelle et de l’ingénierie des défenses, cette approche met en lumière les conditions latentes et les compromis opérationnels qui précèdent la rupture de sécurité. Son déploiement nécessite un climat d’écoute impartial (« culture juste »), affranchi de la quête de culpabilité juridique, afin de préserver l’intégrité des témoignages.
Face à l’automatisation croissante et à l’interconnexion numérique des industries contemporaines, l’analyse d’accident s’impose comme une discipline scientifique fondamentale pour renforcer la résilience organisationnelle et préserver la santé et la vie des travailleurs dans un monde technologique complexe.
Références
- Dekker, S. (2014). The field guide to understanding ‘human error’ (3e éd.). CRC Press. https://www.routledge.com/The-Field-Guide-to-Understanding-Human-Error/Dekker/p/book/9781472439055
- Hollnagel, E. (2004). Barriers and accident prevention. Ashgate Publishing. https://www.routledge.com/Barriers-and-Accident-Prevention/Hollnagel/p/book/9781138247079
- Leveson, N. (2011). Engineering a safer world: Systems thinking applied to safety. The MIT Press. https://direct.mit.edu/books/book/2984/Engineering-a-Safer-WorldSystems-Thinking
- Rasmussen, J. (1997). Risk management in a dynamic society: A modelling framework. Safety Science, 27(2-3), 183–213. https://doi.org/10.1016/S0925-7535(97)00052-0
- Reason, J. (1990). Human error. Cambridge University Press. https://doi.org/10.1017/CBO9781139062367