Dra34 Operation J Partie2 PDF

!
"
Programme EAT-DRA-34 - Opration j

Intgration de la dimension probabiliste dans lanalyse
des risques partie 2 : donnes quantifies
PARIS (75)
Client : Ministre de lcologie et du Dveloppement Durable
Liste des personnes ayant particip ltude :Valrie

BOUISSOU, Ahmed ADJADJ
DE
DIANOUS, Charlotte
Rf. : INERIS DRA PREV 2005 - 46036 Op j Probabilit partie 2 : Donnes quantifies
Page 1 sur 101
TABLE DES MATIERES

1. GLOSSAIRE.....................................................................................................9
2. INTRODUCTION ............................................................................................11
2.1 Contexte......................................................................................................11
2.2 Propositions de lINERIS dans le cadre du projet DRA-34 ..........................12
2.3 Structure du projet.......................................................................................13
2.4 Prsentation dtaille de lopration j .........................................................14
2.4.1 Objectifs................................................................................................... 14
2.4.2 Description des travaux ........................................................................... 14
2.5 Objet et structure du prsent document ......................................................15
2.5.1 objet du prsent rapport........................................................................... 15
2.5.2 organisation du prsent rapport ............................................................... 15
3. EVENEMENTS INITIATEURS........................................................................17
3.1 identification des evenements initiateurs possibles .....................................17
3.2 methodologie pour lestimation des frequences des evenements initiateurs17
3.2.1 identification des eventuelles barrieres de securite prises en compte dans
lestimation de la frequence ..................................................................... 18
3.2.2 incidence de la duree des operations ...................................................... 18
3.2.3 risque lie a une operation ponctuelle ....................................................... 19
3.3 approche semi-quantitative .........................................................................19
3.3.1 principe .................................................................................................... 19
3.3.2 exemples ................................................................................................. 20
3.3.2.1 exemple de grille de frequence ......................................................... 20
3.3.2.2 exemples de chiffres utilisables......................................................... 21
3.4 utilisation de donnees issues de la litterature..............................................22
3.4.1 demarche................................................................................................. 22
Page 3 sur 101
3.4.2 exemples de chiffres disponibles ............................................................. 23

3.4.2.1 Causes naturelles.............................................................................. 23
3.4.2.1.1 le sisme ......................................................................................... 23
3.4.2.1.2 glissement terrain ............................................................................ 24
3.4.2.1.3 volcan .............................................................................................. 24
3.4.2.1.4 les inondations ................................................................................ 24
3.4.2.1.5 vents, temptes, neige, brouillard.................................................... 27
3.4.2.1.6 foudre .............................................................................................. 27
3.4.2.2 Causes externes dorigine humaine .................................................. 28
3.4.2.2.1 chute davion ................................................................................... 28
3.4.2.2.2 malveillance..................................................................................... 30
3.4.2.2.3 effet domino..................................................................................... 30
3.4.2.3 Causes internes................................................................................. 34
3.4.2.3.1 defaillance dorigine mecanique ...................................................... 34
3.4.2.3.2 defaillance dorigine humaine .......................................................... 35
3.4.2.3.3 autres causes .................................................................................. 35
3.4.2.3.3.1 corrosion, erosion...................................................................... 35
3.4.2.3.3.2 fatigue ....................................................................................... 36
3.4.2.3.3.3 defaut de conception................................................................. 36
4. EVENEMENT REDOUTE CENTRAL (ERC) ................................................. 37
4.1 determination des erc a partir des causes et des barrieres ........................ 37
4.1.1 dmarche de lapproche semi-quantitative .............................................. 37
4.1.2 avantages et limites ................................................................................. 39
4.1.2.1 avantages .......................................................................................... 39
4.1.2.2 limites ................................................................................................ 40
4.2 determination des erc a partir de bases de donnees derc ......................... 40
4.2.1 demarche................................................................................................. 40
Page 4 sur 101
4.2.2 avantages et limites des donnees utilisables ........................................... 41

4.2.2.1 avantages.......................................................................................... 41
4.2.2.2 inconvenients .................................................................................... 41
4.2.3.1 remarques preliminaires .................................................................... 43
4.2.3.2 exemple de chiffres disponibles ........................................................ 44
5. PROBABILITES INTERMEDIAIRES..............................................................51
5.1 probabilites dinflammation et de vce ..........................................................51
5.1.1 sources disponibles ................................................................................. 51
5.1.2.1 inflammation immediate dun liquide ................................................. 54
5.1.2.2 inflammation immediate dun gaz ...................................................... 56
5.1.2.3 inflammation differee dun gaz........................................................... 57
5.1.2.4 explosion dun nuage de gaz (VCE) .................................................. 59
5.2 autres donnees ...........................................................................................60
5.2.1 probabilite datteinte suite a une explosion / eclatement de reservoir...... 60
5.2.2 probabilite datteinte suite a un feu torche ............................................... 61
5.2.3 probabilite datteinte suite a une dispersion (nuage toxique ou nuage
inflammable) ............................................................................................ 62
5.2.4 probabilite d'atteinte des cibles en fonction du taux d'occupation............ 62
5.2.5 probabilite d'atteinte des cibles en fonction des protections possibles .... 63
6. BARRIERES DE SECURITE TECHNIQUES .................................................65
6.1 types de donnees disponibles .....................................................................65
6.2 mode de fonctionnement de la barriere.......................................................66
6.3 role des barrires dans la reduction du risque ............................................68
6.3.1 barrieres en prevention ou limitation scenarios residuels ..................... 68
6.3.2 agregation des fonctions de securite ....................................................... 70
Page 5 sur 101
6.3.2.1 prise en compte des differents sous-systemes composant la fonction

de securite ......................................................................................... 70
6.3.2.1.1 systemes en serie............................................................................ 70
6.3.2.1.2 systemes en parallele...................................................................... 71
6.3.2.1.3 autres configurations ....................................................................... 71
6.3.2.2 Exemple............................................................................................. 72
6.3.2.3 probabilite relative lensemble des fonctions intervenant sur un
scnario ............................................................................................. 73
6.4 evaluation semi-quantitative des barrieres de securite............................... 73
6.5 nature de la defaillance defaillances dangereuses ou sres ................... 76
6.5.1 differents termes relatifs la defaillance.................................................. 76
6.5.2 defaillances sures ou dangereuses.......................................................... 76
6.6 utilisation de bases de donnees ................................................................. 77
6.6.1 bases de donnes existantes .................................................................. 77
6.6.2 limites des bases de donnees.................................................................. 78
6.6.3 exploitation des bases de donnees.......................................................... 78
6.6.3.1 definitions .......................................................................................... 78
6.6.3.2 facteurs de correction en fonction des sites....................................... 79
6.6.3.3 representativite des donnees............................................................. 80
6.6.3.4 estimation des probabilites de defaillance dans le cas des barrieres a
forte sollicitation (mode continu) ........................................................ 81
6.6.3.5 estimation des probabilites de defaillance dans le cas des barrieres
fonctionnant a la sollicitation.............................................................. 82
6.6.3.5.1 utilisation des taux de defaillance l'heure ..................................... 82
6.6.3.5.2 utilisation directe des pfd ................................................................. 84
6.7 exploitation du retour dexprience............................................................. 84
6.7.1 cas o des dfaillances sont enregistres sur la priode......................... 85
6.7.2 cas o aucune dfaillance n'est enregistre sur la priode...................... 87
6.8 cas particulier des barrires passives......................................................... 88
Page 6 sur 101
7. BARRIERES DE SECURITE ORGANISATIONNELLES ...............................89

7.1 introduction..................................................................................................89
7.2 donnes issues de la litterature...................................................................90
7.3 exemple devaluation semi-quantitative.......................................................91
7.3.1 taches de contrle ................................................................................... 91
7.3.2 barrieres humaines en intervention (a lappel) ......................................... 92
7.4 autres barrieres organisationnelles .............................................................93
8. RFRENCES ...............................................................................................97
8.1 Rfrences reglementaires .........................................................................97
8.2 Rfrences techniques................................................................................97
8.3 Rfrences propres au projet aramis ..........................................................98
9. LISTE DES ANNEXES .................................................................................101
Page 7 sur 101
1. GLOSSAIRE
vnement initiateur :
Evnement, courant ou anormal, interne ou externe au systme, situ en amont
de lvnement redout central dans lenchanement causal et qui constitue une
cause directe dans les cas simples ou une combinaison dvnements lorigine
de cette cause directe. Dans la reprsentation en nud papillon (ou arbre des
causes), cet vnement est situ lextrmit gauche.
vnement redout central (ERC) :
Evnement conventionnellement dfini, dans le cadre dune analyse de risque, au
centre de lenchanement accidentel. Gnralement, il sagit dune perte de
confinement pour les fluides et dune perte dintgrit physique pour les solides.
Les vnements situs en amont sont conventionnellement appels phase praccidentelle et les vnements situs en aval phase post-accidentelle .
Phnomne dangereux (ou phnomne redout) (PhD) :
Libration dnergie ou de substance produisant des effets, au sens de larrt du
29/09/2005, susceptibles dinfliger un dommage des cibles (ou lments
vulnrables) vivantes ou matrielles, sans prjuger lexistence de ces dernires.
Accident :
Evnement non dsir, tel qu'une mission de substance toxique, un incendie ou
une explosion rsultant de dveloppements incontrls survenus au cours de
l'exploitation d'un tablissement qui entrane des consquences/ dommages vis
vis des personnes, des biens ou de l'environnement et de lentreprise en
gnral. Cest la ralisation dun phnomne dangereux, combine la prsence
de cibles vulnrables exposes aux effets de ce phnomne.
Scnario daccident (majeur) :
Enchanement dvnements conduisant dun vnement initiateur un
accident (majeur), dont la squence et les liens logiques dcoulent de lanalyse
de risque. En gnral, plusieurs scnarios peuvent mener un mme phnomne
dangereux pouvant conduire un accident (majeur) : on dnombre autant de
scnarios quil existe de combinaisons possibles dvnements y aboutissant..
Les scnarios daccident obtenus dpendent du choix des mthodes danalyse de
risque utilises et des lments disponibles.
Page 9 sur 101
Gravit :
On distingue lintensit des effets dun phnomne dangereux de la gravit des
consquences dcoulant de lexposition de cibles de vulnrabilits donnes
ces effets. La gravit des consquences potentielles prvisibles sur les
personnes, prises parmi les intrts viss larticle L.511-1 du code de
lenvironnement, rsulte de la combinaison en un point de lespace de lintensit
des effets dun phnomne dangereux et de la vulnrabilit des personnes
potentiellement exposes.
Intensit des effets dun phnomne dangereux:

Mesure physique de lintensit du phnomne (thermique, toxique, surpression,
projections). Parfois appele gravit potentielle du phnomne dangereux (mais
cette expression est source derreur). Les chelles dvaluation de lintensit se
rfrent des seuils deffets moyens conventionnels sur des types dlments
vulnrables [ou cibles] tels que homme , structures . Elles sont dfinies,
pour les installations classes, dans larrt du 29/09/2005. Lintensit ne tient pas
compte de lexistence ou non de cibles exposes. Elle est cartographie sous la
forme de zones deffets pour les diffrents seuils.
Barrire de scurit (ou mesure de scurit ou mesure de matrise des
risques) :
Ensemble dlments techniques et/ou organisationnels ncessaires et suffisants
pour assurer une fonction de scurit. On distingue parfois :
Les mesures (ou barrires) de prvention : mesures visant viter ou

limiter la probabilit dun vnement indsirable ; ces mesures se situent
en amont de lvnement redout central.
Les mesures (ou barrires) de limitation : ces mesures se situent laval

de lvnement redout central. Ces mesures visent rduire la
probabilit du phnomne dangereux en absence de mesures et limiter
lintensit des effets dun phnomne dangereux.
Ces mesures
conduisent deux phnomnes dangereux selon que les mesures sont
dfaillantes ou non. On distingue parfois aussi les mesures (ou barrires)
de protection : mesure visant limiter les consquences sur les cibles
potentielles par diminution de la vulnrabilit.
Page 10 sur 101
2. INTRODUCTION
2.1 CONTEXTE
Suite la catastrophe de Toulouse en septembre 2001, le rapport parlementaire
LOOS LE DEAUT [1] a dress un bilan des pratiques en terme de gestion des
risques daccidents majeurs sur les sites industriels. Ce rapport a fait apparatre
notamment la ncessit de :
-
Rnover la mthode des tudes de dangers (Partie 1 ; 1.C, et plus long

terme, proposition 8) ;
Mettre en place des lignes de dfense successives, premire condition dune

prise en compte des probabilits doccurrence des vnements redouts
(Partie 1 ; 1.C.2b, et plus long terme, propositions 9 et 13) ;
Prendre en compte les aspects organisationnels dans lvaluation des risques

(Partie 1 ; 1.C.3a).
Paralllement ce constat, dautres remarques peuvent tre formules quant aux

perspectives damlioration des tudes de dangers1 :
-
La prise en compte des effets dominos, demande par la Directive Seveso II

[2], implique une adaptation du contenu des tudes de dangers, afin de
permettre une gestion commune de ces effets entre des sites industriels
voisins.
La plupart des tudes des dangers comportent une analyse de risques, dont la
mthode et la forme ne sont pas imposes ; or cette analyse de risques peut
tre tablie sans lien avec les analyses de risques menes par ailleurs sur les
mmes installations dans une optique dhygine et scurit du travail.
Cette analyse de risque est utilise pour dterminer les Elments Importants
Pour la Scurit, sur lesquels le Systme de Gestion de la Scurit est fond.
Ces lments amnent incontestablement des gains en terme de scurit. La
question se pose alors de leur prise en compte dans le processus de gestion
des risques majeurs.
Projet propos avant la parution de la loi n 2003-699 du 30 juillet 2003 relative la prvention
des risques technologiques et naturels et la rparation des dommages et avant la mise en place
des PPRT qui en dcoulent. LINERIS est par ailleurs impliqu dans laide llaboration des
PPRT dans le cadre dun autre projet pour le MEDD (DRA-41).
Page 11 sur 101
Lincidence des risques naturels est prise en compte par un certain nombre de
moyens, parmi lesquels lexamen des zones inondables, le classement en
terme de sismicit et les dispositions constructives que cela entrane, ou
lapplication des rgles DTU. Cependant, une rflexion de fond pour
augmenter la scurit des IC face aux risques naturels reste mener.
Lexamen dautres causes potentielles daccidents gnriques et diffuses,

telles que les pertes dutilit et la malveillance, amliore la qualit de lanalyse
des risques.
La probabilit et de la cintique des phnomnes accidentels doivent tre

mieux estims afin de permettre une meilleure gestion des territoires autour
des sites industriels.
De faon gnrale, une tude de dangers doit tre la plus claire et la plus
cohrente possible. Elle doit tre comprhensible par les riverains tout en
apportant des lments dtaills lAdministration sur lvaluation des risques
et du niveau de matrise de ces risques par lexploitant.
2.2 PROPOSITIONS DE LINERIS DANS LE CADRE DU PROJET DRA-34

LINERIS a propos au Service de lEnvironnement Industriel du Ministre de
lEcologie et du Dveloppement Durable (MEDD) un appui technique visant faire
voluer lanalyse de risque pratique dans le cadre des tudes de dangers,
notamment sur les aspects identifis dans le paragraphe prcdent. Cet appui
technique est formalis dans le cadre du projet intitul Analyse des risques et
Prvention des Accidents Majeurs , dont le droulement est prvu de 2003
2006, avec un financement assur principalement par le titre IV du MEDD.
De faon gnrale, ltude des dangers doit constituer de la part de lexploitant,
tout la fois, un engagement et une dmonstration de la matrise des risques
daccidents majeurs. Afin dtre une dmonstration, elle doit tre agence sur la
base dune dmarche systmique au cur de laquelle se trouve lanalyse de
risques.
Le projet se propose de faire voluer lanalyse des risques, notamment en ce qui
concerne :
-
les risques lis aux produits,
les risques lis lexploitation des installations,
le lien avec la scurit aux postes de travail et les exigences du Code du

Travail,
les pertes dutilit et les actes de malveillance,
les effets dominos entre sites industriels voisins,
les risques naturels et la vulnrabilit des installations ces risques,
Page 12 sur 101
Il sagit, pour chaque thme voqu ci-dessus, damliorer :

-
lidentification des risques (combinaison de la gravit, de la frquence et de la

vulnrabilit des cibles),
leur estimation en vue de leur hirarchisation,
lidentification des mesures spcifiques, dordre technique et organisationnel,

permettant de matriser ces risques,
lvaluation du bnfice apport par ces mesures en terme de rduction des

risques, de faon logique, systmatique et cohrente.
Lensemble de cette dmarche constitue lanalyse des risques. Le projet DRA-34

fera galement des propositions sur la faon dont les rsultats de cette analyse
pourront ensuite tre prsents et exploits dans le cadre de ltude de dangers
pour :
-
Identifier des scnarios daccidents, de gravit et de probabilit gradues en

fonction de la prise en compte des mesures de rduction des risques,
Estimer ou valuer les consquences de ces scnarios sur les cibles

identifies et leur probabilit doccurrence,
Faciliter lutilisation des tudes de dangers dans le cadre de la gestion des

risques en rpondant aux exigences rglementaires.
2.3 STRUCTURE DU PROJET

Le programme, qui a dbut en 2003, sorganise en 2005 autour des 10
oprations suivantes :
-
Opration a : Redfinition des tudes de dangers pour amliorer leur contenu

et leur forme,
Opration b :
scnarios,
Opration c : Exigences pratiques en terme de barrires de scurit,
Opration d : Examen des risques entrans par les pertes dutilit et la

malveillance et de la faon de les intgrer dans lanalyse des risques,
Opration e : Travail sur les concepts et mthodes de dtermination des effets

domino tant externes quinternes (synergies daccident),
Opration f : Examen des consquences pour les Installations Classes pour

la Protection de lEnvironnement des risques naturels et de la faon de les
intgrer dans lanalyse des risques,
Mthodes
systmiques
de
dtermination
densemble
de
Page 13 sur 101
Opration g : Examen des pratiques dcoulant de lapplication du code du

travail dans les IC,
Opration h : Intgration de la dmarche Etude de dangers dans la gestion des

risques environnementaux, interrompue en 2004,
Opration i : Analyse des risques lis aux produits (opration dbutant en

2005),
Opration j : Intgration de la dimension probabiliste dans lanalyse des

risques (opration dbutant en 2005).
Le prsent document est rattach lopration j du projet.
2.4 PRESENTATION DETAILLEE DE LOPERATION J

2.4.1 OBJECTIFS
La loi du 30 juillet 2003 relative la prvention des risques technologiques et
naturels et la rparation des dommages prvoit la ralisation de plans de
prvention des risques technologiques (PPRT). Dans ce cadre, les scnarios
daccidents majeurs doivent tre qualifis selon trois critres : leur cintique, leur
gravit et leur probabilit. Ce dernier terme nest pas sans importance puisquil
traduit une volution vers une valuation plus probabiliste.
L'objectif premier de cette opration est damliorer lvaluation de la probabilit
doccurrence des scnarios daccidents majeurs dans les tudes des dangers,
cette probabilit tenant compte des barrires de scurit. Pour cela, il convient
dans un premier temps de :
-
poser les dfinitions et les principes de base relatifs aux approches

probabilistes,
recenser les outils existants et valuer leurs avantages et les limites de leur
utilisation.
2.4.2 DESCRIPTION DES TRAVAUX

Les tches suivantes seront menes :
-
tat de lart sur les approches probabilistes quantifies et semi-quantitatives

dans le domaine des accidents industriels majeurs, dvelopps en France et
en Europe,
amlioration de lestimation de la probabilit des scnarios daccidents

majeurs, dans la logique de lapproche par barrires,
application de cette mthode sur une ou plusieurs tudes de cas.
Page 14 sur 101
A l'issue de cette opration seront fournis :

-
un document synthtisant ltat de lart en terme dapproche probabiliste ;
une mthode visant amliorer lvaluation de la frquence des scnarios

daccidents majeurs, en intgrant une dimension probabiliste dans le cadre des
EDD.
2.5 OBJET ET STRUCTURE DU PRESENT DOCUMENT

2.5.1 OBJET DU PRESENT RAPPORT
Le rapport INERIS DRA34 opration j 2005 a pour objectif de faciliter la
ralisation d'tudes de dangers prenant en compte l'valuation de la probabilit
d'occurrence des phnomnes dangereux.
La partie 1 du rapport de lopration j sintresse au principe et la prsentation
des diffrentes mthodes danalyse des risques. Le prsent rapport, not partie 2 donnes quantifies, sintresse plus particulirement aux donnes disponibles.
Il prsente :
-
des exemples de donnes chiffres permettant la quantification des

probabilits d'occurrence ;
des remarques quant aux avantages et inconvnients des donnes utilisables ;
des informations qualitatives pouvant permettre d'estimer la validit d'un chiffre

utilis.
Le prsent rapport n'a pas vocation tre exhaustif. Il pourra tre enrichi au fil des
annes.
De nombreuses sources de donnes n'ont pas t exploites dans le cadre de ce
rapport. C'est le cas notamment :
-
des donnes gnriques sur les barrires prsentes dans le Red Book,
des donnes semi-quantifies prsents dans le guide UFIP sur le stockage et

le raffinage,
des donnes spcifiques certains secteurs d'activits (GdF).
2.5.2 ORGANISATION DU PRESENT RAPPORT

Pour ltude du nud papillon, les donnes disponibles peuvent tre des
frquences dvnements ou des probabilits conditionnelles qui permettent de
passer dun vnement un autre.
Page 15 sur 101
Chaque chapitre prsente les donnes utilisables diffrentes parties de larbre

de dfaillance :
-
le chapitre 3 traite des donnes sur les vnements initiateurs (causes) ;
le chapitre 4 traite des donnes sur les vnements redouts centraux (ERC) ;
le chapitre 1 traite des donnes sur les probabilits intermdiaires prises en

compte pour lvaluation des probabilits des phnomnes dangereux (PhD) et
des accidents majeurs ;
le chapitre 1 traite des donnes sur les barrires techniques de scurit ;
le chapitre 1 traite des donnes sur les barrires organisationnelles de

scurit.
Pour chaque catgorie, pour chaque donne, il existe plusieurs sources

dinformations quantifies :
Les donnes gnriques issues dtudes particulires et qui concernent

le plus souvent un sujet spcifique (type dvnement, secteur industriel
particulier, quipement particulier). Elles peuvent tre issues danalyse ou
dtude du retour dexprience, de donnes fournies par les constructeurs
ou de donnes issues dautres tudes,
Les donnes spcifiques au site tudi, issues du retour dexprience

(donnes lies au site ou lies lindustrie concerne): lorsquelles
existent et quelles sont suffisamment fournies, elles reprsentent la
source qui devrait tre normalement la plus adapte,
Les donnes issues de jugement dexperts.
Page 16 sur 101
3. EVENEMENTS INITIATEURS
3.1 IDENTIFICATION DES EVENEMENTS INITIATEURS POSSIBLES
Les causes peuvent tre de diffrentes natures :
causes externes naturelles :
sisme, glissement de terrain, volcan,
inondation,
vent, tempte, neige
foudre.
causes externes dorigine humaine :
chutes davion,
malveillance,
effets domino externes (trafic sur voies externes au site, risques lis aux
installations environnantes, rupture de canalisations de transport, etc).
causes internes :
-
dfaillance d'un quipement mcanique (rupture d'un rservoir, etc),
intervention externe (chute de grue, feu, impact par vhicule),
dfaillances des dispositifs techniques internes au site (dfaillance

rgulation, ouverture soupape, etc),
dfaillances humaines (mauvaise manipulation en phase de travaux, au

cours d'oprations de dpotage, etc).
les effets domino internes.
3.2 METHODOLOGIE POUR LESTIMATION DES FREQUENCES DES EVENEMENTS

INITIATEURS
Les frquences doccurrence des vnements initiateurs (causes) peuvent tre

estims de diffrentes faons ( partir de valeurs issues de bases de donnes,
partir du retour dexprience dun groupe de travail). Ce chapitre donne des
informations sur la faon dont les donnes brutes peuvent ensuite tre corriges
pour tenir compte des conditions relles du site tudi.
Page 17 sur 101
3.2.1 IDENTIFICATION DES EVENTUELLES BARRIERES DE SECURITE PRISES EN

COMPTE DANS LESTIMATION DE LA FREQUENCE
Il est important au cours de l'valuation des frquences d'occurrence des
vnements initiateurs de bien identifier si la barrire (technique ou
organisationnelle) associe la cause n'a pas dj t prise en compte dans la
frquence de la cause : si la barrire est dj prise en compte, elle ne devra
pas tre prise en compte une deuxime fois en tant que barrire. Par exemple
la formation ne doit pas tre ajoute en barrire l'erreur humaine si la frquence
de l'erreur humaine est issue d'un REX avec existence d'une formation. De mme,
les bonnes pratiques de conception ne doivent pas tre ajoutes en barrire la
dfaillance matrielle si l'estimation de la frquence de la dfaillance matrielle en
tient compte.
3.2.2 INCIDENCE DE LA DUREE DES OPERATIONS

Pour les installations qui ne fonctionnent pas en continu (oprations de transfert,
batch, etc) et pour lesquelles le risque nest pas continu mais est conditionn un
tat du systme qui nest pas permanent, il faudra tenir compte du ratio de temps
entre la dure o le risque existe et la dure totale de rfrence. Ainsi, lorsque la
frquence doccurrence de la cause servant de base lestimation correspond
un fonctionnement annuel, la frquence d'occurrence de lvnement initiateur doit
tre modifie pour tenir compte de la dure relle de l'opration risques. Nous
citerons pour illustration deux exemples issus du LOPA [10]. Dans cet exemple,
les probabilits de dfaillance proposes initialement correspondent un
fonctionnement de l'quipement suppos toute l'anne.
Exemples extraits du LOPA :
Cas n1 : si une dfaillance dun flexible reli de manire continue (environ
8 000 heures/an) est de 1.10-2/an mais que lopration de transfert na lieu
que 40 fois par an pendant 2 heures, alors la frquence relle de la cause
(dfaillance du flexible) sera :
F = (1.10-2/an) x (40 x 2) / 8000 = 1.10-4/an
Cas n 2 : une rgulation de dbit sur une opration par batch a une
probabilit de dfaillance de 10-2/an. L'opration batch a lieu 8 fois par an et
dure 1 heure.
Le taux de dfaillance, en tenant compte de la dure et de la frquence des
oprations, est alors :
F = 1.10-2 x 8 / 8000 = 1x 10-5 /an
note : il faudra sassurer que lopration est suffisamment habituelle pour quelle
nengendre pas de risque nouveau.
Page 18 sur 101
3.2.3 RISQUE LIE A UNE OPERATION PONCTUELLE

Dans certains cas, la frquence d'occurrence se rapporte une opration
ponctuelle (par exemple le raccordement dun flexible). Il faut alors multiplier la
frquence d'occurrence par opration par le nombre d'oprations annuelles.
3.3 APPROCHE SEMI-QUANTITATIVE

3.3.1 PRINCIPE
Une approche possible, simple, pour valuer la frquence doccurrence des
causes dun vnement est lapproche semi-quantitative.
La mthode consiste estimer la frquence doccurrence des causes en
classe de frquence. Cette estimation est ralise en groupe de travail, au cours
dune sance danalyse de risques, sur la base du retour d'exprience du groupe
de travail. Le groupe de travail doit tre reprsentatif et avoir une bonne culture
des risques. Le retour dexprience sappuie sur lexprience propre au site tudi
et sur lexprience du secteur industriel concern.
Cette mthode, simple, est bien adapte aux causes, dans la mesure o les
frquences se rapportent des vnements reprsentatifs de la vie dune
installation qui sont donc identifiables et estimables en frquence par le groupe de
travail. Elle est a priori plus pertinente que des valeurs gnriques, puisque les
estimations sont faites partir du retour d'exprience du site ou de l'industrie
concerne.
Page 19 sur 101
3.3.2 EXEMPLES
3.3.2.1
EXEMPLE DE GRILLE DE FREQUENCE
Un exemple de grille de frquence utilisable est donne ci-dessous (extrait du

rapport DRA34 opration b et c) [7].
Classe de
frquence
Traduction qualitative
Traduction
quantitative
-2
Evnement susceptible de se produire ou se Environ 100 fois

produisant tous les jours ou toutes les semaines. par an
-1
Evnement susceptible de se produire ou se Environ 10 fois

produisant tous les mois.
par an
Evnement susceptible de se produire ou se Environ

produisant tous les ans.
par an
Sest dj produit sur le site ou de nombreuses
fois sur dautres sites
fois
Evnement probable dans la vie dune Environ 10-1 par

installation.
an
Ne sest jamais produit de faon rapproche sur
le site mais a t observ de faon rcurrente
sur dautres sites.
Evnement peu probable dans la vie dune Environ 10-2 par

installation.
an
Ne sest jamais produit de faon rapproche sur
le site mais quelques fois sur dautres sites.
Evnement improbable dans la vie dune Environ 10-3 par

installation.
an ou <10-3 par
Ne sest jamais produit de faon rapproche sur an
le site mais trs rarement sur dautres sites.
Remarque : il est important lorsque lvnement se produit plusieurs fois par an,
de lui attribuer une classe < 0 afin de ne pas sous-estimer ensuite la frquence
d'occurrence des phnomnes dangereux lis des causes frquentes.
Page 20 sur 101
Il existe naturellement d'autres correspondances possibles. Par exemple, le

rapport INERIS DRA41 Appui technique pour la mise en uvre des PPRT
note de rflexion sur lestimation de la probabilit des scnarios daccidents dans
le cadre des PPRT exprimentaux du 18 juin 2004 [5] - reprend des valeurs
issues du LOPA [10] et du projet europen ARAMIS [15]. Le rapport propose la
correspondance suivante :
3.3.2.2
F1
10-2/an < Frquence < 10-1/an.
F2
F3
EXEMPLES DE CHIFFRES UTILISABLES
Des valeurs usuelles peuvent tre proposes pour certains types de causes. Un
tableau donnant des valeurs usuelles cites par diffrentes sources (LOPA [10] ,
HSE [11] [12] , rapport INERIS DRA41 [5]) est prsent en annexe 1.
Il existe des diffrences entre les sources. Il est donc important que les valeurs
utilises sur un site soient valides en groupe de travail. Il est de plus vident
que certaines donnes ne peuvent pas tre utilises sans rflexion puisqu'elles
dpendent fortement du contexte du site (possibilit de feu, possibilit de chute de
grue, nature de lenvironnement).
A titre d'exemple, on trouve les valeurs suivantes en frquence annuelle :
dfaillance d'une rgulation ou d'une boucle de contrlecommande : 10-2/an 1/an ; une classe F1 est propose dans le
rapport INERIS DRA41 [5], correspondant une frquence f telle que
perte gnrale d'utilit : une classe F1 est propose dans le rapport
INERIS DRA41 [5], correspondant une frquence f telle que 10-2/an <
Frquence < 10-1/an.
un enlvement de joint : 10-6/an 10-2/an ; une classe F2 est dans le
rapport INERIS DRA41 [5], correspondant une frquence f telle que
10-3/an < f < 10-2/an.
une dfaillance de flexible : 10-2/an 10-1/an => une classe F1 est
propose dans le rapport INERIS DRA41 [5], correspondant une
frquence f telle que 10-2/an < f < 10-1/an.
un feu externe de faible ampleur : 10-2/an 10-1/an => une classe F1
est propose dans le rapport INERIS DRA41 [5], correspondant une
Page 21 sur 101
un feu externe de grande ampleur : 10-3/an 10-2/an => une classe F2

est propose dans le rapport INERIS DRA41 [5], correspondant une
un impact par un tiers (vhicule, etc) : 10-4/an 10-2/an => une classe
F3 est propose dans le rapport INERIS DRA41 [5], correspondant
une frquence f telle que 10-4/an < f < 10-3/an.
A titre d'exemple, on trouve les valeurs suivantes en frquence par opration :
une erreur opratoire, pour un oprateur bien form, sans stress,
effectuant une opration de routine : 10-3 10-1.
une chute de grue : 10-4 10-3 par opration de levage.
Il faudra ensuite tenir compte du nombre doprations annuelles et de la dure des
oprations, comme expliqu aux chapitres 3.2.
L'utilisation de ces valeurs suppose que l'utilisateur s'est pos un certain nombre
de questions quant la validit de ces chiffres (possibilit de feu, formation des
oprateurs, politique de maintenance, etc).
Par ailleurs, il faut tre vigilant sur l'valuation de la taille de l'ERC qui sera
attach la cause tudie. Par exemple, si on considre une dfaillance de
flexible ou une fuite de joint, il faudra s'interroger sur la taille de la fuite associe :
est-ce une rupture guillotine, une brche de taille moyenne, une petite fuite ?
3.4 UTILISATION DE DONNEES ISSUES DE LA LITTERATURE

3.4.1 DEMARCHE
L'approche consiste utiliser des valeurs gnriques de frquences d'occurrence
des vnements initiateurs. Comme prcis prcdemment, deux types de
donnes sont utilisables :
Page 22 sur 101
Celles issues directement de bases de donnes sur les dfaillances

d'quipements, de dispositifs ou sur les dfaillances humaines. Ces
donnes ont un caractre gnrique, puisqu'elles correspondent des
moyennes d'installations, en absence de prcisions sur l'tat de l'art des
installations et sur la politique de scurit des sites. Leur validit pour un
site donn est difficile dmontrer, si bien que leur utilisation doit se
faire avec beaucoup de prcautions. Des donnes sont disponibles
dans des sources comme le LOPA [10] , les rapports HSE [11] [12] (cf
annexe 1), dans des bases de donnes propres aux ERC comme le
Purple Book [13], le PCAG [12] (cf chapitre 4) ou dans des bases de
donnes relatives aux
barrires techniques et organisationnelles
comme lOREDA [16], lEIREDA [17] (cf annexe 4). A partir de ces
donnes, on peut estimer des frquences doccurrence de dfaillance,
lorsque ces dfaillances interviennent en tant que cause daccident
(dfaillance dune pompe, dfaillance dune soupape).
Celles issues de mthodes d'valuation qui proposent des rgles de
calculs tenant plus ou moins compte de l'environnement. Ces lments
peuvent tre utiliss comme base de discussions pour une approche
semi-quantitative car ils peuvent donner des indications sur les
paramtres influenant les frquences d'occurrence.
On notera que la recherche de frquences d'occurrence de causes (semiquantifie et/ou probabiliste) suppose une dmarche de type barrires. Dans cette
dmarche, l'valuation des frquences d'occurrence des ERC s'appuie sur les
frquences des vnements initiateurs et les probabilits de dfaillance des
barrires en prvention de lERC.
3.4.2 EXEMPLES DE CHIFFRES DISPONIBLES

3.4.2.1 CAUSES NATURELLES
3.4.2.1.1
LE SEISME
Les approches retenues ce jour sont du type dterministe. Elles supposent

quun sisme avec les mmes consquences quun sisme ayant dj eu lieu est
susceptible de se produire. Des zones sismiques sont prcises pour caractriser
le risque. Une tude sismique est requise pour les tablissements AS. Un rapport
DRA34 spcifique au risque sismique est en cours dlaboration.
Parmi les documents analyss dans le cadre de cette tude, il existe peu de
donnes chiffres sur le risque "sisme". Le guide HSE Safety Report
Assessment Guide [11], pour le chlore, donne une frquence doccurrence pour
un tremblement de terre susceptible de rompre des canalisations de 1.10-6/an
1.10-7/an. Ladaptation de ce chiffre un site donn est difficile raliser, ce qui
en rend l'utilisation peu satisfaisante.
Page 23 sur 101
On note que l'arrt du 29 septembre 2005 [3] modifiant larrt du 10 mai 2000
modifi, relatif la prvention des accidents majeurs impliquant des substances
ou des prparations dangereuses prsentes dans certaines catgories
dinstallations classes pour la protection de lenvironnement soumises
autorisation prcise que les sismes d'amplitude suprieure aux sismes
maximum de rfrence n'ont pas tre retenues dans les tudes de dangers
comme un vnement externe pouvant gnrer un accident majeur.
Le sisme maximum de rfrence doit quant lui tre tudi dans l'tude de
dangers. La dmarche resterait dterministe, avec la vrification de l'existence de
lignes de dfense suffisantes (relatives aux rgles de conception, barrires en
place, etc).
3.4.2.1.2
GLISSEMENT TERRAIN
Sera complt dans une version ultrieure.

3.4.2.1.3
VOLCAN

3.4.2.1.4
LES INONDATIONS
Les inondations sur un site peuvent avoir plusieurs origines en fonction de

lemplacement des sites :
pour les sites proximit de rivire :
les crues de rivire
les effacements de barrage
pour les sites en bord de mer :
la mare maximale et la sur-cote marine
pour les sites en estuaire :
la combinaison des deux autres.
crues de rivire
A ce jour, les tudes de danger comportent peu dinformations chiffres sur la

probabilit doccurrence dune inondation.
Pour estimer les consquences, on se base sur les crues historiques :
dcennales, centennales ou millnales.
Page 24 sur 101
Il existe un document officiel (le Plan de Prvention des Risques Inondations

PPR I) ou dfaut un document dinformation de rfrence qui prcise en
gnral lala de rfrence (plus hautes eaux connues) et la priode de retour. Le
document dinformation pourra tre latlas des zones inondables (labor par les
prfectures, les DIREN ou les DDE), le DDRM (Dossier Dpartemental des
Risques Majeurs) (labor par la prfecture), le DICRIM (Dossier dInformation sur
les Risques Majeurs) labor par la commune sur la base des anciens DCS
(Dossier Communal Synthtique) , le PCS (Plan Communal de Sauvegarde)
labor par la commune. Certains documents sont accessibles sur internet (site
prim.net).
On retiendra pour les tudes lvnement dfini dans le document de
rfrence (PPR Inondations ou autres documents dinformations).
L'arrt du 29 septembre 2005 [3] modifiant larrt du 10 mai 2000 modifi, relatif
la prvention des accidents majeurs impliquant des substances ou des
prparations dangereuses prsentes dans certaines catgories dinstallations
classes pour la protection de lenvironnement soumises autorisation prcise
que les crues suprieures la crue de rfrence n'ont pas tre retenues dans
les tudes de dangers comme un vnement externe pouvant gnrer un
accident majeur.
On notera que lexploitant pourra choisir dtudier dautres crues que la crue de
rfrence. En effet, dans une approche o plusieurs scnarios seraient envisags
avec des couples frquence / gravit diffrents, l'ensemble des crues pourrait tre
tudi.
La dtermination de la probabilit se fera en fonction des crues de rfrence
tudies. A ces crues, il est possible dattribuer des frquences doccurrence. En
fonction de la priode de rfrence les probabilits doccurrence sont donnes
dans le tableau ci-dessous :
Crue dcennale
(frquente)
Crue centennale
(rare)
Crue millennale
(exceptionnelle)
Sur 1 an
Sur 30 ans (continus)
Sur 100 ans (continus)
10 % ou
1 "chance" sur 10
96 % soit presque
"srement" une fois
99,997 % soit
"srement" une fois
1 % ou
1 "chance" sur 100
26 % ou
1 "chance" sur 4
63 % ou
2 "chances" sur 3
0,1 % ou
1 "chance" sur 1000
3 % ou
1 "chance" sur 33
10 % ou
1 "chance" sur 10
Probabilit de voir une crue de frquence donne atteinte ou dpasse au moins une fois
sur une priode donne (source : Guide mthodologique PPR Risques dinondation)
Page 25 sur 101
Les frquences doccurrence sexpriment sur une anne. On peut donc adopter
pour les tudes les frquences donnes dans la premire colonne du tableau :
Crue dcennale : 10-1/an
Crue centennale : 10-2/an
Crue millennale : 10-3/an
Effacement de barrage
Leffacement de barrage est un phnomne peu probable. L'arrt du 29

septembre 2005 modifiant l'arrt du 10 mai 1000 modifi relatif la prvention
des accidents majeurs impliquant des substances ou des prparations
dangereuses prsentes dans certaines catgories d'installations classes pour la
protection de l'environnement soumises autorisation prcise dans son annexe 2
que la rupture de barrage est un vnement externe qui peut ne pas tre pris en
compte dans les tudes de dangers.
Cependant, dans le livre Elments de sret nuclaire [21], il est prcis que
la frquence annuelle de rupture dun barrage peut tre estime 10-4/an
10-5/an, ce qui une frquence relativement leve. Il pourrait tre intressant de
comparer ce chiffre au nombre de barrage dans le monde.
Une approche de type dterministe pourrait tre adopte qui permettrait de se
poser des questions quant aux mesures mettre en place en cas de rupture de
barrage (hauteur de la vague, temps d'arrive dterminant le dlai de mise en
scurit du site, etc). Pour plus dinformations, un rapprochement avec EdF serait
ncessaire. Des donnes sont disponibles auprs des autorits locales en charge
de la scurit (prfecture notamment). Un dossier dinformation sur les ruptures de
barrages, labor en dcembre 2004 par lInspection Gnrale de
lEnvironnement, est galement disponible sur le site du MEDD. Il donne des
informations sur les causes, la nature des risques, etc.
Mare maximale et sur-cote marine
Pour les Centrales nuclaires, le dimensionnement des installations est effectu

en tenant compte du risque de surcote millennale et de mare maximale. Mais
comme pour les crues de rivire, les risques de surcote centennale ou dcennale
pourraient tre retenus.
Daprs les informations donnes dans Elments de sret nuclaire [21], la
mare maximale, de coefficient 120, se produit environ tous les 17 ans. Elle est de
courte dure (2 heures).
La surcote millenale est indpendante et est galement un phnomne bref.
Page 26 sur 101
On peut estimer, sans tenir compte de la dure des phnomnes, une

probabilit de cumul des deux phnomnes 10-4/an.
Mais chaque risque (surcote et mare maximale) pourra aussi faire l'objet d'une
valuation indpendante : le comportement de l'installation aux deux risques
pourrait tre tudi.
3.4.2.1.5
VENTS, TEMPETES, NEIGE, BROUILLARD
Parmi les documents analyss dans le cadre de cette tude, il n'existe pas de
donnes chiffres en probabilits.
Les rgles Neige et Vent sont appliquer aux installations. Les frquences
des charges ne sont pas aussi faibles que celles des inondations. Mais il est
suggr dans les Rgles Neige et Vent de tenir compte de coefficients de scurit
supplmentaires en fonction de limportance des installations.
Pour le risque de grand froid pouvant perturber une installation par le gel ; la
probabilit peut tre value par analyse des donnes mtorologiques. Les
installations doivent tre protges efficacement contre le gel.
3.4.2.1.6
FOUDRE
Les paramtres utiliss pour caractriser le risque foudre sont le niveau

kraunique et la densit de foudroiement.
Le niveau kraunique correspond au nombre moyen de jours par an o on
entend le tonnerre. Cest la donne la plus ancienne. En France, ce nombre varie
de 8 36 selon les dpartements avec une moyenne voisine de 25.
La densit de foudroiement correspond au nombre dimpacts de foudre par km2
et par an. En France, ce nombre varie de 0,5 5 selon les dpartements avec une
moyenne voisine de 1,2.
On peut alors estimer la frquence de foudroiement dun quipement ou btiment
partir de :
9 la surface quivalente (tenant compte de la hauteur des btiments et
des ventuelles chemines),
9 lenvironnement proche (tenant de lisolement du btiment tudi), ce
coefficient varie dun facteur 0,25 2,
9 la densit de foudroiement.
Les rgles de calcul sont prcises dans la norme NF C 17-100 concernant la
protection des structures contre la foudre et les installations de paratonnerre.
Page 27 sur 101
Les donnes relatives la densit de foudroiement et au niveau kraunique sont

fournies par dpartement par les normes NF C 15-100 et NF C 17-100. Des
donnes par commune sont galement disponibles sur minitel : 3617
METEORAGE.
La donne de densit de foudroiement est une donne rcente, que lon ne trouve
pas dans tous les pays. On peut alors utiliser la donne de niveau kraunique
pour valuer une frquence de foudroiement, sachant quil existe un rapport
dordre de grandeur 10 entre les donnes de niveau kraunique et de densit de
foudroiement (niveau kraunique ~ 10 x densit de foudroiement).
Parmi les documents analyss dans le cadre de cette tude, il existe peu de
donnes chiffres sur le risque foudre. Le guide HSE Safety Report Assessment
Guide [11] pour le chlore donne une frquence doccurrence pour la foudre de
1.10-7/an. Comme pour la donne relative au sisme, cette donne gnrique est
difficilement utilisable un site donn.
Note :
- Les informations de niveau kraunique et densit de foudroiement permettent
destimer la frquence doccurrence de foudroiement dun quipement dangereux.
Le foudroiement ne conduit pas ncessairement une perte de confinement sur
lquipement.
- L effet de la protection dun site par rapport au risque foudre est difficile
valuer en terme de variation de la probabilit doccurrence. Il est donc difficile de
se prononcer sur la frquence doccurrence de foudroiement dune installation,
lorsque des protections existent (cf chapitre sur les barrires).
3.4.2.2 CAUSES EXTERNES DORIGINE HUMAINE

3.4.2.2.1
CHUTE DAVION
La chute davion reprsente un risque faible sur les installations. L'arrt du

29 septembre 2005 [3] modifiant larrt du 10 mai 2000 modifi, relatif la
prvention des accidents majeurs impliquant des substances ou des prparations
dangereuses prsentes dans certaines catgories dinstallations classes pour la
protection de lenvironnement soumises autorisation prcise que les chutes
d'avion n'ont pas tre retenues dans les tudes de dangers comme un
vnement externe pouvant gnrer un accident majeur, moins que le site
soit situ proximit d'un arodrome.
Des sources bibliographiques permettent destimer la probabilit doccurrence de
la chute davions.
Page 28 sur 101
Parmi ceux-ci :
Elments de sret nuclaire , Jacques Libman [21] : des probabilits

de chutes davion sont donnes en fonction du type daviation, savoir :
laviation commerciale (compose davions de transport de passagers,
de frt, davions postaux soit des avions suprieurs 5,7 T) : probabilit
annuelle de chute de 10-12/m2 et par an estime partir dun taux de
chute de 10-6/ vol pour une surface de la France de 500 000 km2);
laviation militaire : probabilit annuelle de chute de 10-11/m2 et par
an estime partir dun taux de chute de 10-5/ vol pour une surface de
la France de 500 000 km2);
laviation gnrale (avions infrieurs 5,7 tonnes) : probabilit annuelle
de chute de 10-10/m2 et par an estime partir dun taux de chute de
10-4/ vol pour une surface de la France de 500 000 km2);
Les probabilits ci-dessus incluent les phases de dcollage, datterrissage
et de vol. Il est prcis que la probabilit peut tre divise par trois pour
chacune des trois phases de vol. Pour des installations en dehors des
zones de dcollage ou datterrissage, la probabilit pourra donc tre divise
par trois.
Pour une installation donne, de surface connue, on peut alors estimer la
probabilit de chute davion en multipliant les frquences ci-dessus par la
surface de linstallation concerne.
Ces chiffres donnent des moyennes, mais ne tiennent pas compte de la
position du site par rapport un aroport spcifique, par rapport aux
couloirs ariens et peuvent donc tre amliors. Par ailleurs, ces chiffres
sont issus dune tude avec un trafic arien qui a volu depuis.
Note : les consquences induites par la chute d'un avion, en fonction de la
nature de l'avion, sont trs diffrentes.
IPSN, Services techniques danalyse de sret, Services danalyse des

sites, des accidents et du confinement Pratique de lvaluation du
risque arien pour une installation nuclaire ou industrielle , Jean Faure,
dcembre 1986 [22] :
La dmarche propose est plus satisfaisante, dans la mesure o elle tient
compte pour un site donn de la proximit avec un aroport, et du trafic de
celui-ci. Lloignement du site par rapport la piste, langle du site au milieu
de la piste sont dautres paramtres qui permettent de prciser la
probabilit de chute davion sur un site par m2 et par an. Comme pour la
prcdente rfrence, trois types daviation sont retenus (aviation
commerciale, militaire et gnrale). Les probabilits de chute par vol pour
chaque type daviation sont pondres par diffrents facteurs. On se
reportera au rapport cit pour plus dinformations.
Page 29 sur 101
Autres mthodes de calcul : il peut exister dautres mthodes de calcul. Le

prsent rapport nest pas exhaustif et pourrait tre complt par une tude
bibliographique plus complte.
Une autre approche consiste estimer la dure de survol du site afin den
dduire, partir dune probabilit de chute par heure de vol, la probabilit de
chute sur un site. La dure cumule de survol dun site est faite partir du
nombre de vols, de la vitesse moyenne des avions et de la longueur du site.
Dans des tudes de dangers, un taux de chute par heure de vol de 10-7/h a pu
tre pris en compte ; il serait issu de louvrage Sret de fonctionnement des
systmes industriels Fiabilit, facteurs humaines et informatisation, Alain
Villemeur, 1988 . Mais ce taux nest pas utilisable tel quel : il correspond un
objectif de risque et ne concerne que les causes lies la structure de lavion.
Les dfaillances humaines ne sont notamment pas intgres dans ce chiffre.
3.4.2.2.2
MALVEILLANCE
Il n'existe pas de donnes probabilistes sur le sujet. On prfrera s'assurer, dans

les tudes de dangers, que le site a prvu des mesures de prvention qui peuvent
tre de diverses natures :
-
mesures d'ordres organisationnelles dont le maintien d'un bon climat social;
mesures d'ordres techniques : site clos, surveillance par camra, dispositifs

anti-intrusion, report une tlsurveillance, gardiennage 24h/24, etc.
On note que l'arrt du 29 septembre 2005 [3] modifiant larrt du 10 mai 2000
modifi, relatif la prvention des accidents majeurs impliquant des substances
ou des prparations dangereuses prsentes dans certaines catgories
dinstallations classes pour la protection de lenvironnement soumises
autorisation prcise que la malveillance n'a pas tre retenue dans les tudes de
dangers comme un vnement externe pouvant gnrer un accident majeur.
Cette tude pourra faire l'objet d'un document spar de l'EDD. On pourra se
reporter au rapport DRA34 2004 concernant la malveillance.
3.4.2.2.3
EFFET DOMINO
Les effets domino peuvent tre dus :

au trafic sur des voies de circulation externes au site (route, fer,
fleuve..),
aux risques lis au passage dune canalisation de transport proximit
du site,
aux risques lis aux installations environnantes.
Page 30 sur 101
Trafic sur des voies de circulation externes au site

Des accidents peuvent avoir lieu sur les voies de circulation voisines au site et
impacter le site.
Il faut pouvoir valuer :
La frquence doccurrence dun accident.
La probabilit dimpacter une cible (voir chapitre 1)
Pour estimer les probabilits daccident, on se base sur les donnes relatives aux
accidents de transports de matires dangereuses.
Transport ferroviaire :
Le transport ferroviaire peut impacter une installation fixe de deux manires

en fonction du trafic sur la voie :
Impact mcanique du train suite une sortie de voie (draillement,
collision), seules les installations en bordure immdiate (quelques
dizaines de mtres) de la voies ferres peuvent tre impactes ;
Effet domino suite un accident impliquant un ou des wagons de
marchandises dangereuses.
Concernant laccidentologie ferroviaire, il existe deux types de donnes :
-
Les donnes en nombre dvnements par kilomtre et par an ;
Les donnes en nombre dvnements par kilomtre parcouru par les

trains et par an, cest dire le nombre dvnement que peut subir un
train sil parcourt un kilomtre de rseau.
La premire ne prend pas en compte limportance du trafic sur la voie mais

se base sur un trafic moyen en France, elle est donc moins prcise que la
seconde.
Pour le calcul de ces donnes, il est trs important de bien relier les
vnements du numrateur au nombre de kilomtres ou de kilomtres
parcourus du dnominateur sur lequel peut se produire lvnement. Par
exemple, si on considre les accidents de manire globale, le nombre
daccident sera rapport au nombre de kilomtre du rseau franais ou au
nombre de kilomtres parcourus par les trains en France.
Pour avoir ensuite la frquence par an daccidents sur la portion de ligne
qui intresse le site, il faut multiplier le nombre dvnement par kilomtre
et par an par le nombre de kilomtres de la portion ou le nombre
dvnement par kilomtre parcouru par le trafic (nombre de train) et par le
nombre de kilomtres.
Page 31 sur 101
Exemple de calcul (chiffres donns en exemple non valids) :

Nombre dvnements : 3 accidents en France sur 5 ans
Nombre de kilomtres rseau : 29 000 Km
Nombre de kilomtres parcourus par an : 580 000 000 Km parcourus
(tout type de trains)
Nombre de kilomtres de la portion traverse : 10 km
Nombre de trains par jour sur la portion concerne : 20 trains par jour
3
1
Nombre dvnement par km = *
= 2.10 5 accidents.km 1 .an 1
5 29000
3
1
Nb dvn. par km parcouru = *
= 1.10 9 acc.kmparcouru 1.an 1
6
5 580.10
Mthode 1 :
Nombre dvnement sur la portion par an =
2.10-5*10=2. 10-4 vnement.an-1
Mthode 2 :
Nombre dvnement sur la portion par an =
1.10-9*10*20*365= 7.3 10-5 vnement.an-1
Cette mthode permet davoir accs au nombre dvnements sur la voie, il
faut multiplier ce nombre
-
par une probabilit dimpact (sortie de voie importante ) pour avoir la

frquence dimpact avec linstallation;
par une probabilit conditionnelle davoir un accident impliquant des

marchandises dangereuses qui puisse atteindre linstallation.
Des valeurs de frquences doccurrence daccidents impliquant des

marchandises dangereuses sont disponibles auprs de la mission TMD du
Ministre de lEquipement ou auprs de la SNCF. Ces donnes sont
exprimes soit par an soit par kilomtre. Elles correspondent un trafic
moyen de marchandises, il faut donc vrifier que le trafic sur la ligne
tudie correspond un trafic moyen.
Page 32 sur 101
Transport routier
Le mme raisonnement peut sappliquer au trafic routier. Les frquences

moyennes retenues en France dans le QRA Routier (QRA pour
Quantitative Risk Assessment) sont, pour les poids lourds (TMD et autres):
Autoroutes urbaines : 0,917 x 10-6 accidents /km. an
Autoroutes rurales : 0,32 x 10-6 accidents /km. an
Autoroutes en tunnel urbain : 1,15 x 10-6 accidents /km. an
Autoroutes en tunnel : 0,73 x 10-6 accidents / km. an
Routes (hors autoroutes) : 1,52 x 10-6 accidents /km. an
Ces valeurs sont issues de donnes de diffrents pays (France, Etats-Unis,
Norvge, Pays-Bas). Pour avoir ensuite la frquence par an daccident sur
la portion de route qui intresse le site, il faut multiplier le nombre
dvnement par kilomtre et par an par le nombre de kilomtre de la
portion de route qui intresse le site.
En France, certaines donnes sont disponibles auprs des DDE ou des
Centres Techniques dEtudes de lEquipement (CETE). La mission TMD du
Ministre des Transports dispose galement de bases de donnes
daccidents en France.
Risques lis au passage dune canalisation de transport proximit des

sites.
La frquence de rupture dune canalisation de transport est exprime en
frquence par an et par kilomtre de canalisation.
Pour le transport de gaz, lEGIG (European Gas pipeline Incident data Group)
donne les frquences dincidents suivantes :
- Base de 1970 1992 : 5,75 x 10-4 incidents/ km.an
Pour le transport dhydrocarbures, le CONCAWE (lorganisation Europenne
des compagnies ptrolires pour lenvironnement, la sant et la scurit,
www.concawe.be) donne les frquences suivantes (frquence de fuite de plus de
1m3) :
Ces exemples montrent linfluence de la priode dobservation sur les donnes.
Page 33 sur 101
Risques lis aux installations industrielles environnantes

La probabilit daccident sur une installation voisine doit tre estime au cas par
cas. Ltude de dangers des installations voisines doit fournir les renseignements
ncessaires lvaluation du risque sur le site tudi (probabilit doccurrence et
intensit des effets des phnomnes dangereux pouvant impacter le site).
Puis la probabilit intermdiaire dimpact de linstallation tudie doit tre prise en
compte.
On pourra utiliser les donnes dtermines par lexploitant du (ou des) site(s)
voisin(s) soit directement auprs de cet exploitant, soit auprs des DRIRE.
Si ces donnes ne sont pas disponibles ou visiblement errones, il conviendra de
les carter de lanalyse et de le mentionner.
3.4.2.3 CAUSES INTERNES

3.4.2.3.1
DEFAILLANCE DORIGINE MECANIQUE
La dfaillance peut concerner un dispositif technique (soupape, pompe).
Les bases de donnes propres aux dispositifs techniques (bases de donnes sur
les barrires techniques incluant les soupapes, les vannes, les pompes, etc) ou
aux quipements (bases de donnes donnant les frquences dERC) peuvent tre
utilises. Dans les bases relatives aux dispositifs (cf chapitre sur les barrires
techniques), les taux de dfaillance lheure permettent alors de calculer la
probabilit de dfaillance en mode continu des dispositifs (arrt d'une pompe de
refroidissement, perte de l'alimentation lectrique, etc). Nanmoins, comme
prcis au chapitre relatif aux barrires, Il faudra tre vigilant sur la nature des
dfaillances retenues et la dure de rfrence.
De plus, ces donnes sont difficilement exploitables et dpendent fortement du
contexte dutilisation du dispositif (type de dispositifs, nature des alimentations,
frquence et nature des oprations de maintenance et contrles, vieillissement
des quipements, nature de la substance, etc).
La dfaillance peut concerner un quipement (rservoir, canalisation).
Les bases de donnes propres aux quipements (cf chapitre sur les vnements
redouts centraux) peuvent tre utilises. Les frquences de dfaillances (rupture,
brche, etc) sont fournies par quipement (rservoir, pompes, canalisation, etc).
Mais ces donnes sont difficilement exploitables (voir chapitre sur les vnements
redouts centraux) de part leur caractre gnrique. D'autre part, des dfaillances
autres que celles prsentes dans les bases de donnes d'ERC (limites aux
pertes de confinement) peuvent se produire et conduire une cause d'accident.
On notera que le LOPA propose galement des valeurs gnriques du mme type
(cf annexe 1).
Page 34 sur 101
3.4.2.3.2
DEFAILLANCE DORIGINE HUMAINE
Lerreur humaine est la base de nombreux accidents.

On se reportera au chapitre 7 sur les barrires organisationnelles : des
paramtres ayant une influence sur la probabilit de dfaillance (donc sur la
frquence d'occurrence d'une erreur humaine) y sont prciss.
3.4.2.3.3
AUTRES CAUSES
3.4.2.3.3.1
CORROSION, EROSION
La probabilit dapparition de la corrosion est difficile valuer. Elle peut avoir

plusieurs origines :
corrosion interne :
La substance peut tre elle-mme corrosive. En fonction des produits, la

frquence doccurrence des phnomnes de corrosion interne est trs variable.
Pour pouvoir estimer une frquence de corrosion, il faut donc tudier :
9 la nature de la substance
9 la nature (compatibilit) du matriau.
corrosion externe :
La corrosion atmosphrique est favorise par la prsence dhumidit.

On devra sinterroger sur :
9 la prsence dhumidit. Lhumidit peut avoir diverses origines :
9 elle peut avoir une origine naturelle (prcipitations ou lie au
changement de temprature ambiante et au phnomne de
condensation cyclique),
9 elle peut tre lie aux activits (tests de rseau dextinction deau, fuite
sur un quipement contenant de leau).
Les points daccumulation dhumidit sont particulirement vulnrables (par
exemple contacts entre supportage et quipements).
9 la prsence dagents agressifs : ceux-ci peuvent tre contenus dans lair
(prsence dune activit polluante proximit du site, site en bord de
mer) ou tre contenus dans le calorifuge.
Page 35 sur 101
Peu de donnes bibliographiques sont disponibles sur le sujet. Le Purple Book

prcise que pour les canalisations, en cas de corrosion particulire, un facteur de
3 10 doit tre appliqu aux chiffres gnriques de rupture de canalisation.
On note que la probabilit dapparition de perte de confinement par corrosion est
li la nature des inspections qui sont ralises (cf chapitre 7.4).
3.4.2.3.3.2
FATIGUE

3.4.2.3.3.3
DEFAUT DE CONCEPTION
erreur dans le dimensionnement des appareils et choix des matriaux
erreur dans lassemblage (soudures, etc)
Page 36 sur 101
4. EVENEMENT REDOUTE CENTRAL (ERC)

4.1 DETERMINATION DES ERC A PARTIR DES CAUSES ET DES BARRIERES
4.1.1 DEMARCHE DE LAPPROCHE SEMI-QUANTITATIVE
L'approche semi-quantitative consiste valuer la frquence des vnements
redouts centraux (ERC) partir de classes de frquences d'occurrence des
causes et des probabilits de dfaillance des barrires techniques ou
organisationnelles qui interviennent en prvention.
On peut choisir :
d'valuer la probabilit d'occurrence de l'ERC pour une seule cause ;
d'valuer la probabilit d'occurrence de l'ERC en tenant compte de l'ensemble
des causes. Il y a alors agrgation des scnarios (des causes) pour valuer la
frquence de l'ERC.
valuation pour une seule cause
Les valuations rsultent des frquences des causes prcdemment values

(voir chapitre 3) et des probabilits de dfaillance des barrires (voir chapitres 1 et
1).
Une mthode d'valuation, telle que dcrite dans le rapport DRA34 oprations b
et c [7] est prsente ci-dessous.
Pour une cause donne, la frquence d'occurrence a t estime Fn,
correspondant approximativement une frquence d'occurrence de l'ordre de
10-n/an.
Les barrires en prvention rduisent la probabilit d'occurrence d'avoir un
vnement redout central : si le niveau de confiance de la barrire est de x,
correspondant approximativement une probabilit de dfaillance la sollicitation
de 10-x, la frquence d'occurrence de l'ERC est alors gale 10-(n+x),
correspondant une classe de frquence de n+x.
Si plusieurs barrires indpendantes agissent en prvention, le niveau de
confiance global (somme des niveaux de confiance des diffrentes barrires) sera
pris en compte.
Page 37 sur 101
Les figures ci-dessus illustrent le principe de l'valuation et proposent un exemple

d'valuation. Les valeurs indiques sont donnes titre d'exemple et ne doivent
pas tre considres comme des valeurs gnriques.
valuation avec agrgation des causes
Il faut dans un premier temps valuer les frquences d'occurrence de l'ERC dues
chaque cause, comme prcdemment explicit.
Puis on agrge les diffrentes causes : il n'existe pas ce jour de mthode
impose pour agrger les scnarios. Il existe au moins trois possibilits :
-
on ralise une addition formelle des frquences d'occurrence (telle qu'elle

serait mene en sret de fonctionnement, aprs rduction des arbres). Cette
dmarche n'est gnralement pas retenue dans les EDD car elle suppose une
approche quantifie prcise;
on ne ralise pas d'addition formelle des frquences d'occurrence, chaque

frquence tant estime de faon simplifie. On retient la frquence la plus
leve quel que soit le nombre de scnarios;
Page 38 sur 101
On peut retenir de garder la frquence la plus leve parmi celles calcules

sparment pour chaque cause ou si plus de N causes aboutissent la mme
frquence individuelle de l'ERC, on augmente d'une classe de frquence la
frquence de l'ERC. La valeur du nombre N de causes conduisant
augmenter la classe de frquence peut tre discute. Si on raisonne par
analogie avec la prise en compte des phnomnes dangereux dans la grille
dacceptabilit MMR, cest partir de plus de 5 causes que la frquence
devrait tre augmente. Mais aucune rgle nest encore fixe.
Note : les frquences d'occurrence des causes et les probabilits de dfaillance

des barrires de scurit peuvent avoir t estimes de faon semi-quantitative ou
de faon "gnrique".
4.1.2 AVANTAGES ET LIMITES

4.1.2.1
AVANTAGES
La frquence doccurrence est potentiellement dtermine par un groupe de

travail sur site, sur la base de son propre retour dexprience. Ainsi, lestimation
est plus proche de la ralit du site.
Cette dmarche ne ncessite pas de donnes gnriques, sauf sur le risque
naturel.
Elle conduit sinterroger sur les mesures de matrise du risque en place sur le
site.
Page 39 sur 101
4.1.2.2
LIMITES
Lestimation repose sur le groupe de travail. La constitution dun groupe pertinent

est fondamentale afin que la cotation des frquences des vnements initiateurs
(fonction du REX du site et dans la mesure du possible du REX du secteur
industriel) soit pertinente.
Lapproche barrire ncessite un investissement en temps important et peut tre
difficile mettre en uvre sur des sites complexes.
4.2 DETERMINATION DES ERC A PARTIR DE BASES DE DONNEES DERC

4.2.1 DEMARCHE
La dmarche consiste valuer la frquence d'occurrence d'un vnement
redout central (ERC) en utilisant des bases de donnes de lERC.
Il existe de nombreux documents fournissant des donnes de frquence
doccurrence pour l ERC. La plupart des documents sont issus des pays o la
matrise de lurbanisation sappuie sur des mthodes de type QRA.
Des exemples de chiffres de frquence doccurrence sont prsents ci-dessous.
Ils sont issus de quatre sources :
le Purple Book [13], dvelopp par le CPR (Committee for the

Prevention of Disaster) et le RIVM. Cette base est utilise aux PaysBas, au Qubec et est de plus en plus utilise pour les tudes
probabilistes en France.
le guide PCAG (Planning Case Assessment Guide) [12], issu de la

base anglaise FRED ; cette base a t dveloppe par le HSE. La base
PCAG est utilise pour dfinir les primtres de matrise de
lurbanisation autour des sites industriels.
Le rapport LPG du TNO [14].
le projet europen ARAMIS [15] dont lINERIS a assur la coordination

de 2002 2004. Dans le cadre de ce projet, la Facult Polytechnique de
Mons a ralis une tude bibliographique des donnes disponibles. Les
rfrences utilises pour cette tude bibliographique sont prcises au
chapitre 8.3.
Page 40 sur 101
Au niveau europen, le groupe de travail pour la matrise de lurbanisation est

en train dlaborer de nouvelles bases de donnes des ERC. Ce groupe
regroupe des membres du centre de recherche de la commission europenne,
des membres des autorits comptentes de divers pays, quelques industriels et
des organismes de recherche (INERIS, RIVM). Le groupe de travail labore une
nouvelle base car les donnes actuelles (Purple Book, FRED) napparaissent pas
suffisamment fiables (notamment parce que les donnes sont anciennes et
moyennes sur plusieurs types de substances).
Les chiffres qui seront proposs proviendront de bases de donnes plus
rcentes :
Donnes de TOTAL / CONCAWE pour les raffineries ( ce jour
essentiellement des units de distillation) ;
Donnes de Robert Taylor (base de donnes non disponible pour le
public lheure actuelle) qui intgre des facteurs de correction (en
fonction de la prsence de barrires, en fonction de lenvironnement).
Des propositions pour la nouvelle base de donnes ont t faites partir de
lautomne 2005, pour des rsultats dfinitifs en septembre 2006.
4.2.2 AVANTAGES ET LIMITES DES DONNEES UTILISABLES

4.2.2.1
AVANTAGES
rapidit de lestimation probabiliste

En utilisant les donnes gnriques pour les ERC, on saffranchit de ltape de
cotation des arbres des causes qui peut tre longue et fastidieuse. Pour des
installations complexes, il est en effet difficile didentifier prcisment toutes les
causes et les barrires de prvention. Les chiffres gnriques dERC permettent
une valuation rapide de la frquence de lERC.
prise en compte des barrires de protection
Les barrires de protection identifies entre lERC et le phnomne dangereux
sont prises en compte.
4.2.2.2
INCONVENIENTS
absence de donnes sur ltat de lart de linstallation de rfrence
Page 41 sur 101
Les donnes gnriques actuellement utilisables sont difficiles valider. En

effet, elles correspondent souvent une moyenne de substances,
dinstallations, avec des dispositifs de scurit variables et qui ne sont pas
clairement identifis dans les bases de donnes. De ce fait, pour une
installation donne, il nest pas possible dvaluer si le chiffre gnrique utilis
est suprieur ou infrieur la ralit. Il faudrait que soient connus prcisment
dans le chiffre gnrique :
les barrires de scurit associes,
lge des installations de rfrence,
la culture scurit des sites de rfrence,
les politiques de maintenance et de tests,
les substances mises en oeuvre,
lenvironnement (corrosif, altitude, etc),
etc
Du fait de labsence de rfrence, une barrire peut ainsi tre prise en compte
deux fois (elle peut tre incluse dans le chiffre gnrique et ensuite tre prise
en compte pour rduire la frquence doccurrence de lERC). Lestimation de
la probabilit est alors errone.
Tous ces lments doivent tre analyss dans le cadre dune tude spcifique
afin de pouvoir valuer la validit dun chiffre gnrique, la validation du chiffre
restant difficile effectuer en labsence de rfrence.
Dautre part, la possibilit deffet domino doit tre tudie dans un deuxime
temps car celle-ci nest pas intgre dans le chiffre gnrique.
Donnes anciennes
Certaines donnes sont anciennes (plus de 25 ans). Elles ne sont pas
ncessairement adaptes aux nouveaux standards de construction.
Origine des donnes

La faon dont les donnes sont collectes et dtermines nest pas clairement
dfinie. Lorsquil sagit dun REX, tous les incidents ne sont pas
ncessairement rpertoris notamment si ceux-ci nont pas conduit un
accident.
Page 42 sur 101

4.2.3.1
REMARQUES PRELIMINAIRES
Les chiffres concernent des accidents au niveau de divers quipements.

En fonction des quipements, lunit de frquence doccurrence varie :
-
dans la majorit des cas, pour un quipement donne : frquence / an ;
pour des canalisations : en frquence /mtres de canalisation / an ;
pour certains quipements de transports (navires) : en frquence /

opration / an.
Pour ramener les chiffres en frquence par an, il faut alors multiplier le
chiffre obtenu par :
Le nombre dquipements (nombre de joints, de brides) ;
La longueur de canalisation ;
Le nombre dopration annuelle. Il faut ensuite corrler par rapport la

dure de lintervention en faisant intervenir le ratio entre la dure relle
des oprations et la dure annuelle.
Pour un quipement donn, la frontire doit tre prcise : la base de

donnes doit prciser quels composants dun quipement sont inclus dans le
chiffre gnrique (brides, piquages pour instrumentation) Si un composant
est exclu du chiffre gnrique, sa dfaillance doit tre tudie en plus. Par
exemple dans le Purple Book :
la rupture de piquage dune canalisation est incluse dans le chiffre

gnrique de la canalisation ;
Dans le cas des rservoirs, la rupture dun piquage ne doit pas tre
confondue avec la rupture dune canalisation. La rupture de la
canalisation connecte au rservoir doit tre tudie en utilisant les
chiffres relatifs aux canalisations.
Dans certains cas, les chiffres sont spcifiques une industrie. Mais dans la
majorit des cas, le chiffre est issu dune tude sur plusieurs substances. Il faut
juger si le chiffre est applicable une substance donne.
Les chiffres gnriques prcisent dans certains cas les conditions

dapplication sur lesquelles il faut tre trs vigilant. Par exemple dans le
Purple Book :
les aspects corrosion, vibrations, erreur oprateur et impact externe ne

sont pas inclus dans le chiffre gnrique relatif aux rservoirs et
racteurs sous pression. Des valeurs complmentaires sont proposes ;
Page 43 sur 101
les aspects corrosion / rosion, vibration, et stress d des

changements cycliques de temprature ne sont pas intgrs dans le
chiffre gnrique relatif aux canalisations. En cas de corrosion, il est
propos dappliquer un facteur de 3 10.
Les chiffres gnriques prsents au paragraphe suivant font apparatre des

diffrences de valeur pour un mme quipement et un mme vnement
redout, en fonction des bases utilises. Les bases doivent donc tre utilises
avec beaucoup de prcaution. Il serait ncessaire de bien prciser les limites
d'utilisation de chaque base de donnes pour utiliser la base la plus pertinente.
Ainsi, par exemple :
4.2.3.2
Pour les rservoirs sous pression :
Pour la rupture catastrophique, on observe des diffrences d'un

facteur 100 entre les valeurs extrmes de frquence d'occurrence
(de 1.10-7 1.10-5/an), le Purple Book donnant la valeur la plus
faible, si on exclut une valeur issue de la bibliographie ARAMIS.
Pour de larges brches, on observe des diffrences d'un facteur

10 entre les valeurs extrmes (de 5.10-7 5.10-6/an, en excluant
les valeurs ARAMIS), le Purple Book donnant la valeur la plus
faible.
Pour les stockages atmosphriques (cas des stockages simple

paroi):
Pour la rupture catastrophique, on observe des diffrences d'un

facteur 10 entre les valeurs extrmes, le Purple Book donnant la
valeur la plus faible.
Pour de larges brches, on observe des diffrences d'un facteur

100 entre les valeurs extrmes, le Purple Book donnant la valeur
la plus faible.
EXEMPLE DE CHIFFRES DISPONIBLES
Des tableaux de chiffres gnriques de dfaillance sur trois types dquipements

(rservoirs sous pression, rservoirs atmosphriques et canalisations) sont
prsents ci-aprs, titre dexemple.
Des chiffres existent de la mme faon concernant :
des racteurs chimiques,
des quipements procd,
Page 44 sur 101
des changeurs,
des pompes,
des brides et joints,
des citernes mobiles (camions, wagons) et des navires,
des bras de transfert et des flexibles de transfert,
des vnements dans les entrepts ou les stockages dexplosifs.
On se reportera aux diffrentes sources bibliographiques pour plus dinformations.
On pourra galement se reporter au rapport DRA39 opration b3 ( paratre

en mars 2006) relative aux dispositifs pris en compte dans les dcisions relatives
la matrise de l'urbanisation dans diffrents pays europens [8]. L'enqute a
permis d'identifier des vnements redouts centraux pris en compte pour la
matrise de l'urbanisation en y associant pour certains pays des probabilits
d'occurrence.
Il est noter qu'une prestation pour ladministration est en cours de ralisation par
l'INERIS pour le compte du MEDD, qui consiste donner un avis sur les donnes
quantifies du Purple Book [9] .
Page 45 sur 101
1- STOCKAGE SOUS PRESSION

Frquence exprime en frquence par an voir remarques pour la traduction des termes anglais
Rupture catastrophique
Brche dans la paroi

Large
5.10-7/an
Purple Book
moyenne
Petite
diam. 10 mm (fuite continue) : 1,105

/an
fuite de la totalit du contenu en 10

minutes (dbit constant) : 5.10-7/an
pour un cylindre de gaz : frquence

de 1,10-6/an ( utiliser pour les effets
domino)
Base FRED
GPL
La rupture catastrophique froide : diam. 50 mm : 5.10-6/an

2.10-6/an
diam. 25 mm : 5.10-6/an
diam. 13 mm : 1.10-5/an
diam. 25 mm : 5.10-6/an
diam. 13 mm : 1.10-5/an
Diam. 35 mm :
Diam. 10 mm :
Simple tank : 1.10-6 4,4.10-6/an
Simple tank : 4.10-6 1.10-4/an
In-ground tank : 4,4.10-6/an
Le BLEVE : 1.10-5/an
chlore 2.10-6/an 4.10-6/an
diam. 50 mm : 5.10-6/an
diam. 6 mm : 4.10-5/an
Autres substances Voir chlore

LPG Study (TNO)
GPL
Le BLEVE (Rservoir sphrique) : Rupture de la plus grosse canalisation :

4.10-7/an
5.10-6/an
Diverses sources
biblio (cf ARAMIS)
1.10-8 1.10-5/an
Diam. 100 mm :
BLEVE (Rservoir sphrique) : 8.10- Simple tank : 1.10-6 3.10-6/an

5
/an
-5
Mounded tank : 1,3.10 /an
-6
Mounded tank : 4,4.10 /an
Mounded tank : 1,3.10-5/an
Diam. 50 mm pendant 10 min :

Simple tank : 5.10-7 5.10-5/an
Mounded tank : 1,3.10-5/an
Remarques : dans le Purple Book, le chiffre gnrique inclut les dfaillances des soudures, des instrumentations associes mais pas les dfaillances de canalisations associes. Les chiffres gnriques excluent la corrosion, vibration, erreur oprateur et impact
externe. Le chiffre gnrique est modifi si :des dispositions particulires au del des standards peuvent tre prises en compte pour rduire la frquence gnrique relative une perte totale du contenu. Ces dispositions ne sont pas prcises dans le Purple Book
(ce serait notammennt le cas des rservoirs enterrs ou sous talus). Au mieux elles permettent de rduire la frquence de rupture catastrophique ou de perte totale sur 10 minutes dun facteur 10 (de 10-6/an pour la somme des deux vnements 10-7/an)
Au contraire, si les standards ne sont pas respects, ou que les quipements sont susceptibles dtre affects par un impact externe ou que lerreur opratoire est possible, les frquences gnriques de rupture catastrophique ou de perte totale sur 10 minutes
doivent tre augmentes de 5.10-6/an pour les rservoir sous pression
Traductions : simple tank = rservoir simple ; in-ground tank = rservoir enterr Mounded tank = rservoir sous talus
Page 46 sur 101
2 - STOCKAGE ATMOSPHERIQUE
Frquence exprime en frquence par an voir remarques pour la traduction des termes anglais
Rupture catastrophique
Brche dans la paroi

Large
Purple Book
-6
moyenne
fuite de la totalit du contenu en 10

minutes (dbit constant) :
Simple paroi : 5.10 /an
-6
simple paroi : 5.10 /an
Protective Outer Shell :

-7
Rejet atmosphre : 5.10 /an

Rejet dans
-7
5.10 /an
me
contenant :
Double containment tank :
Rejet dans
-8
5.10 /an
me
Rejet dans 2
contenant :
-8
Base PCAG
contenant : 5.10 /an
Full containment tank :
Rejet dans 2
me
me
contenant :
Rejet atmosphre : /
-8
Rejet dans
-4
1.10 /an
me
contenant :
Rejet atmosphre : /

me
me
Rejet dans
-4
1.10 /an
atmosphre : Rejet atmosphre : 1,25.10 /an
Rejet dans 2
-7
contenant : 5.10 /an
-8
Rejet
-8
1,25.10 /an
-4
simple paroi : 1,10 /an
Rejet atmosphre : /
-7

me
diam. 10 mm (fuite continue) :
Rejet dans 2
Petite
Rejet atmosphre : /
contenant : /
Rejet dans 2
me
contenant : /
contenant : /
-6
-4
5.10 /an
-3
Fuite majeure = 1.10 /an
Fuite mineure = 2,5.10 /an

3
Diam. 1000 mm (pour V. >12000 m )
Pour larges
rservoirs liquides
inflammables (
utiliser sous
rserve des noninflammables)
Diam. 750 mm (pour V. de 4000

3
12000 m )

3
12000 m )

3
4000 m )
-5
Pour rservoirs Simple paroi : 4.10 /an

rfrigrs
-7
Double Walled Tank: 5.10 /an
Diam. 300 mm (pour V. >12000

3
m)

3
4000 m )
Fuite majeure =
Fuite mineure =
3
Diam. 1000 mm (pour V. >12000 m )
-7
Full containment tank : 5.10 /an Diam. 750 mm (pour V. de 4000

3
12000 m )
Diam. 300 mm (pour V. >12000

3
m)
Dfaillance avec seulement

fuite de gaz =
-4

-4
Diam. 225 mm (pour V. de 4000 Double Walled Tank: 4.10 /an

3
12000 m )
Page 47 sur 101

3
4000 m )
Diam. 150 mm (pour V. de 450 Full containment tank : /

3
4000 m )
-4
-5

-5
-5
-5
-5
Full containment tank : 1.10 /an

Diverses sources
biblio (cf ARAMIS)
-6
Diam. 100 mm :

Diam. 35 mm :
-7
-5
Protective outer shell : 1.10 /an Simple paroi : 1,2.10 /an

-7
5.10 /an
-6
Protective outer shell : 1.10 /an
-8
-8
1,25.10 /an 2,5.10 /an
-8
2,5.10 /an
-8
-8
-8
Enterrs : 1.10 /an
-8
Enterrs : 2.10 /an
-8
Sous-talus : 1.10 /an
-8
Diam. 10 mm :
-5
Simple paroi : 1,8.10 /an

-6
-5
5,1.10 /an
Simple paroi :
-4
1.10 /an
-6

-5
1.10 /an

-8
5.10 /an
-8

-8
Enterrs : 4.10 /an

-8

-7
-5
1,25.10 /an 1.10 /an

-7

-5
1.10 /an
-7
Enterrs : 1.10 /an

Diam. 50 mm pendant 10 min :
-7
-6

-7
Protective outer shell : 2,5.10 /an

-7
5.10 /an
-8
-7
1,25.10 /an 2,5.10 /an

-7
Full containment tank : 2,5.10 /an

Enterrs : /
Sous-talus : /
Remarques :
Dans le Purple Book, le chiffre gnrique inclut les dfaillances des soudures, des instrumentations associes mais pas les dfaillances de canalisations associes. Les rservoirs avec une pression juste suprieure 1 bar (ceux inets lazote par exemple) sont
rpertoris en rservoir atmosphrique. Les rservoirs cryogniques sont considrs comme des rservoirs atmosphriques.
Protective Outer Shell : la 2
me
paroi retient le liquide (mais pas la vapeur) et nest pas capable de rsister aux surcharges externes (pression dexplosion ou missile)
Double containment tank : la 2me paroi retient le liquide (mais pas la vapeur) et est capable de rsister aux surcharges externes (pression dexplosion ou missile)
Full containment tank : la 2me paroi retient le liquide et la vapeur et est capable de rsister aux surcharges externes (pression dexplosion ou missile)
Page 48 sur 101
3- DEFAILLANCES SUR CANALISATIONS

Frquence exprime en frquence par mtre de tuyauterie et par an.
Rupture guillotine
Fuite dans la canalisation

Large
Purple Book
moyenne
En fonction du diam. D de la
canalisation :
-6
D<75 mm : 1.10 /m/an

-7
D de 75 150 mm : 3.10 /m/an

-7
D > 150 mm : 1.10 /m/an
Petite
Taille de la fuite : diamtre =

10% du diamtre canalisation
(maxi 50 mm) :
canalisation :
-6
D<75 mm : 5.10 /m/an

D de 75
-6
2.10 /m/an
et
150
mm :
-7
D > 150 mm : 5.10 /m/an

Base PCAG
En fonction du diam. D de la Taille de la fuite : diamtre = Taille de la fuite : diam = 25 mm

33% du diamtre canalisation.
canalisation :
-6
En fonction du diam. D de la canalisation :
D<49 mm : 1.10 /m/an
canalisation :
-7
-6
D de 50 149 mm : 5.10 /m/an
D<49 mm : 5.10 /m/an
D<49 mm : /
-6
D de 150 299 mm :
D de 50 149 mm : 1.10 /m/an
D
de
50
149
mm
:
/
-7
2.10 /m/an
D de 150 299 mm :
D de 150 299 mm :
-7
7.10 /m/an
D de 300 499 mm :
-7
4.10 /m/an
-8
7.10 /m/an
D de 300 499 mm :
D de 300 499 mm :
-7
5.10 /m/an
D de 500 1000 mm :
-7
2.10
/m/an
-8
4.10 /m/an
D de 500 1000 mm :
D de 500 1000 mm :
-7
4.10 /m/an
-7
1.10 /m/an
Taille de la fuite : diam = 4 mm

(pour diam. cana >150 mm) ou
diam = 3 mm (si diam. cana
<149 mm)
canalisation :
-5
D<49 mm : 1.10 /m/an

-6
D de 50 149 mm : 2.10 /m/an

D de 150 299 mm :
-6
1.10 /m/an
D de 300 499 mm :
-7
8.10 /m/an
D de 500 1000 mm :
-7
7.10 /m/an
LPG Study (TNO)
GPL
Diverses sources
biblio (cf ARAMIS)
Page 49 sur 101
5. PROBABILITES INTERMEDIAIRES
Les probabilits intermdiaires sont prises en compte pour estimer les frquences
d'occurrence des phnomnes dangereux et/ou des accidents majeurs partir
des frquences d'occurrence des vnements redouts centraux.
Les principales probabilits pouvant tre introduites et qui sont analyses dans ce
chapitre sont :
Probabilits d'inflammation et de VCE,
Probabilits d'atteinte d'quipements (effet domino) ou de cibles en cas
d'explosion ou d'clatement,
Probabilits d'atteinte d'quipements (effet domino) ou de cibles en cas de feu
torche,
Probabilits d'atteinte en cas de dispersion,
Probabilits d'atteinte des cibles en fonction des temps d'exposition,
Probabilits d'atteinte des cibles en fonction des protections possibles.
5.1 PROBABILITES DINFLAMMATION ET DE VCE

5.1.1 SOURCES DISPONIBLES
A partir dune rupture catastrophique, d'une fuite ou d'une brche, les vnements
possibles sont illustrs sur les figures suivantes, selon que la perte de
confinement concerne la phase liquide ou gazeuse. Les arbres d'vnements cidessous sont extraits du projet europen ARAMIS. La figure 1 a t ralise
partir des arbres d'ARAMIS; les figures 2 et 3 sont extraites directement
d'ARAMIS.
Comme dtaill dans le rapport DRA34 opration j partie 1, les rgles de

calcul pour l'estimation des probabilits divers endroits des arbres d'vnements
sont les suivantes :
-
Pour des vnements relis par des portes ET, la probabilit de chaque
vnement en aval est la mme probabilit que celle de l'vnement en amont
de la porte.
Pour des vnements relis par des portes OU, la somme des probabilits des
vnements en aval est gale la probabilit de l'vnement en amont.
Page 51 sur 101
Figure 1 : arbre d'vnement de rupture catastrophique ( partir d'ARAMIS)
Figure 2 : arbre d'vnement pour une fuite en phase liquide

Page 52 sur 101
figure 3 : arbre d'vnement pour une fuite en phase gazeuse
Pour estimer les probabilits des phnomnes dangereux, les probabilits

conditionnelles suivantes doivent donc tre estimes :
Probabilit dinflammation immdiate ;
Probabilit dinflammation diffre ;
Probabilit de VCE.
Dans le cadre du projet europen ARAMIS [15], une tude bibliographique a t
mene concernant les probabilits intervenant dans les arbres dvnements.
Les sources bibliographiques tudies dans le cadre du projet ARAMIS sont :
le Purple Book,
le HSE, Canvey Report,
le SAI Study (Canvey Report),
MHIDAS
LEES.

L'annexe 2 de ce rapport prsente les donnes compltes fournies par ARAMIS
[15] dans le cadre de son tude bibliographique. Les paragraphes ci-dessous sont
une synthse de l'annexe. On se reportera l'annexe 2 pour plus de dtails.
Page 53 sur 101
5.1.2.1
INFLAMMATION IMMEDIATE DUN LIQUIDE
L'tude bibliographique (cf annexe 2) a montr que la probabilit d'inflammation

immdiate d'un liquide tait conditionne par diffrents paramtres :
-
la nature du rejet : un rejet instantan li une rupture catastrophique a une

probabilit d'inflammation plus leve qu'un rejet continu. De mme, une
augmentation du dbit de rejet conduit une augmentation de la probabilit
d'inflammation.
les caractristiques du produit : si le point clair augmente, la probabilit

d'inflammation diminue.
la prsence de sources d'inflammation : la prsence de sources

d'inflammation est lie la taille du rejet et sa possibilit d'atteindre des
zones o des sources d'inflammation sont possibles. La prsence d'une
cuvette de rtention (limitant le dveloppement de la flaque des zones o les
sources d'inflammation sont matrises) est pour le cas des liquides un
paramtre important. L'existence de mesures de prvention de l'inflammation
est naturellement un paramtre trs important.
la nature des activits : on note cependant que l'inflammation varie peu en

fonction des activits proposes : de 0,67 0,85 pour des activits de
transfert, de stockage ou de procd. En revanche, le Purple Book prsente
des probabilits d'inflammation pour les installations fixes (0,065) bien plus
basses que celles des units de transports (0,1 0,8 en fonction de la nature
du rejet).
Il est propos dans ARAMIS de tenir compte de trois critres pour valuer la
probabilit dinflammation immdiate dun liquide :
de la conception des installations pour ne pas avoir dinflammation (mise la
terre des quipements, ATEX, etc) ;
de la prsence dune cuvette de rtention (qui doit permettre de limiter la taille
de la fuite et donc de rduire la possibilit de mise en prsence dune source
dinflammation) ;
de la prsence de barrires de prvention (respect des zones dinterdiction de
feu, injection de mousse).
Page 54 sur 101
Si tous ces paramtres sont prsents, alors ARAMIS propose dattribuer des
probabilits dinflammation immdiate faibles, en fonction du point clair de la
substance :
substance
Probabilit
dinflammation
immdiate
Inflammable (point clair entre

21C et 55C)
0,01
Trs Inflammable
infrieur 21C)
clair
0,1
Extrmement Inflammable (point

clair infrieur 0,1)
0,1
(point
Si un des trois critres nest pas assur, alors la probabilit dinflammation

augmente. ARAMIS propose de retenir une valeur en fonction de la nature des
activits :
activit
Probabilit
dinflammation
immdiate
Procd
0,9
Stockage
0,7
Transfert
(chargement
dchargement)
0,7
Si aucun des trois critres nest assur, alors la probabilit dinflammation sera
maximale. ARAMIS propose une probabilit dinflammation immdiate de 0,9.
Dautre part, si la cause de lvnement redout central est elle-mme une

source dinflammation, il faudra retenir une probabilit dinflammation
immdiate de 1.
Page 55 sur 101
5.1.2.2
INFLAMMATION IMMEDIATE DUN GAZ
L'tude bibliographique (cf annexe 2) a montr que la probabilit d'inflammation

immdiate d'un gaz tait conditionne par diffrents paramtres :
-
la nature du rejet : un rejet instantan li une rupture catastrophique a une

probabilit d'inflammation plus leve qu'un rejet continu. De mme, une
augmentation du dbit de rejet conduit une augmentation de la probabilit
d'inflammation.
les caractristiques du produit : un gaz trs ou moyennement ractif a une

probabilit d'inflammation plus leve qu'un gaz peu ractif.
la prsence de sources d'inflammation : la prsence de sources

d'inflammation est lie la taille du rejet et sa possibilit d'atteindre des
zones o des sources d'inflammation sont possibles. L'existence de mesures
de prvention de l'inflammation est naturellement un paramtre trs important.
la nature des activits : on note cependant que l'inflammation varie peu en

fonction des activits proposes : de 0,67 0,85 pour des activits de
transfert, de stockage ou de procd (pas de distinction gaz / liquide). En
revanche, le Purple Book prsente des probabilits d'inflammation pour les
installations fixes qui peuvent tre trs infrieures (cas des gaz peu ractifs)
celles des units de transports (0,1 0,8 en fonction de la nature du rejet sans
distinction de ractivit du gaz).
ARAMIS propose de retenir les probabilits dfinis par le Purple Book (tableau
donn dans le Purple Book pour les installations fixes) qui prsente l'avantage de
tenir compte de la ractivit des gaz et du dbit de fuite :
Probabilit dinflammation immdiate
Gaz peu ractif
Gaz moyennement ou
trs ractif (note 1)
Rejet continu < 10 kg/s

ou rejet instantan <
1000 kg
0,02
0,2
Rejet continu de 10
kg/s 100 kg/s ou rejet
instantan de 1000 kg
10000 kg
0,04
0,5
Rejet continu > 100

kg/s ou rejet instantan
de > 10000 kg
0,09
0,7
Note 1 : les gaz sont classs en fonction de leur ractivit. Voir tableau annexe 3.
Page 56 sur 101
Note 2 : dans le cas de rupture catastrophique, la probabilit de BLEVE doit tre

prcise et pourrait faire lobjet dune probabilit intermdiaire supplmentaire. Sa
dtermination sera prcise dans une version ultrieure.
A dfaut de lutilisation dune valeur moyenne gnrique, on peut valuer la
probabilit d'inflammation au travers de l'analyse :
de la ractivit de la substance,
de la nature de la fuite (dbit continue ou instantane),
de la prsence de source dinflammation (barrires de prvention et
dispositifs anti-explosion), lie l'environnement et aux barrires de
prvention mis en place. La probabilit datteinte dune source
dinflammation dpendra galement de la dure de prsence du nuage
dans lenvironnement,
de la nature de la cause, celle-ci pouvant tre elle-mme source
dinflammation.
5.1.2.3
INFLAMMATION DIFFEREE DUN GAZ
L'tude bibliographique met en vidence que la nature du site et de son

environnement est un paramtre dterminant sur la probabilit d'inflammation
diffre.
Sur la base de la recherche bibliographique, ARAMIS propose de retenir les
valeurs dans le tableau ci-dessous pour les probabilits dinflammation diffre en
fonction de la nature de l'installation.
Probabilit
dinflammation
Units de combustion
Locaux techniques
Locaux non quips de dispositifs

anti-explosion
Zone dutilits (pompes,

compresseurs, ventilateurs)
Avec dispositif anti-explosion
0,5
Avec dispositif anti-explosion sur

toute la zone
0,1
1
Sans dispositif anti-explosion

Zone dhabitation
Page 57 sur 101
Site en construction
Environnement industriel
0,9
Units procd
0,8
0,1
sur toute la zone

Units de stockage
0,5
0,1
sur toute la zone

Zones de transfert
1
Jour
Nuit
Camions
0,7
Wagons
0,6
Bateaux
0,6
Jour
Nuit
Travail 1 quipe
0,4
0,1
Travail 2 quipes
0,8
0,2
Travail 3 quipes
Jour
Nuit
0,2
0,6
0,1
Jour
Nuit
0,6
0,1
Zones de manuvre et de
stationnement de vhicules
moteur
Route
De plus de 2 voies
De petite taille
Voies ferres et tramway
Page 58 sur 101
Il faut noter que lestimation de la probabilit dinflammation diffre dpend :

-
de lvaluation de la taille du nuage et de la probabilit datteinte des

sources dinflammation dans ce nuage. La taille du nuage dpend de la
quantit de gaz rejete. La probabilit datteinte dune source dinflammation
dpendra galement de la dure de prsence du nuage dans lenvironnement,
des conditions mtorologiques,
de la direction du vent.
5.1.2.4
EXPLOSION DUN NUAGE DE GAZ (VCE)
L'tude bibliographique mene dans le cadre d'ARAMIS a montr (cf annexe 2)

que la probabilit d'inflammation tait lie :
-
l'encombrement des zones atteintes par le nuage,
au dbit de fuite,
au produit.
ARAMIS propose de retenir le critre dencombrement comme dterminant et

propose les valeurs suivantes .
Probabilit de
VCE
Faible encombrement
0,1
Encombrement moyen
0,5
Fort encombrement
2/3
Dautre part, on note que le Purple Book prcise que pour lexplosion dun nuage
de gaz, les deux phnomnes VCE et flashfire doivent tre modliss en adoptant
les probabilits suivantes pour chacun des deux phnomnes :
VCE
0,4
flashfire
0,6
Page 59 sur 101
5.2 AUTRES DONNEES

On sintresse dans ce paragraphe aux probabilits datteinte de cibles partir
dun phnomne dangereux. La probabilit datteinte des cibles intervient deux
niveaux :
-
pour estimer la possibilit deffet domino ;
pour valuer la gravit dun accident majeur.
La rglementation franaise permet de raisonner en terme de distances deffet sur

les personnes et les structures. Pour un phnomne dangereux donn, on attribue
une distance deffet partir de lorigine du phnomne dangereux. On peut
considrer de faon simplifie que si une cible se situe dans le cercle des rayons
deffet, alors elle est atteinte par le phnomne dangereux.
Il sagit dune approche dterministe qui fait abstraction de la notion de probabilit
datteinte de la cible. Celle-ci peut tre prise en compte pour valuer la possibilit
deffet domino ou pour valuer la gravit dun accident majeur.
Les paragraphes suivants donnent quelques lments de rflexion.
5.2.1 PROBABILITE DATTEINTE SUITE A UNE EXPLOSION / ECLATEMENT DE

RESERVOIR
Un clatement dquipement conduit deux types deffet :

effet de surpression : les effets sont isotropes. On peut dterminer un cercle
deffet. Tout quipement dans le cercle sera affect par cette surpression. Il
faudrait pouvoir estimer la probabilit pour quun quipement donn soit
endommag par cette surpression. Lapproche retenue est plutt dterministe.
Des calculs de tenue londe de surpression sont possibles pour les
quipements : les quipements qui tiennent londe de surpression ne sont
alors pas retenus comme pouvant tre endommags. Pour des estimations
plus simples, les seuils des effets de surpression engendrant des effets
domino peuvent tre utiliss pour valuer les quipements qui peuvent tre
impacts en cas de surpression.
Effet missile : dans le cas des effets missile, il faudrait pouvoir estimer la
probabilit datteinte des cibles par un missile : cette probabilit est difficile
valuer. Elle dpend :
du type dquipement (sphre, rservoir) : les calculs balistiques
peuvent estimer les formes, tailles et directions denvoi des missiles ;
Page 60 sur 101
de langle relatif entre lquipement qui clate et la cible : des tudes

menes par Holden Assessment of missile hazards : review of incident
experience relevant to major hazard plant - 1988 ont mis en vidence
que pour citernes horizontales, la direction dans laquelle partaient les
missiles les plus pnalisants en terme de masse, vitesse et porte
(fonds bombs) tait situe dans un angle de 30 autour de laxe du
cylindre. La distribution angulaire des projectiles est prcise et montre
que dans les angles suprieurs 30, la probabilit dmission de
missiles reste leve (distribution de 0,4 pour 0,6 dans les angles de
30) mais ces missiles seraient moins pnalisants.
De la taille de la cible : la probabilit datteinte de la cible dpend de
langle solide sous lequel la cible est vue depuis lquipement qui
clate.
De la tenue de la cible au missile : des calculs balistiques sont
ncessaires pour valuer limpact sur une cible et pour valuer la tenue
de la cible cet impact.
Des obstacles ventuels entre lquipement et la cible.
Note : on pourra se reporter au rapport INERIS DRA34 opration e relatif aux
effets domino.
5.2.2 PROBABILITE DATTEINTE SUITE A UN FEU TORCHE

Il faut pouvoir estimer la probabilit datteinte dune cible. Celle-ci dpend :
des dimensions du feu torche : longueur de flamme, largeur de flamme,
de langle et de la direction dans lesquels se dveloppe la flamme : la
flamme peut se dvelopper dans une direction donne en fonction de la
position de la rupture, de la direction du vent (cf paragraphe suivant),
des obstacles ventuels.
Note : on pourra se reporter au rapport INERIS DRA34 opration e relatif aux

effets domino.
Page 61 sur 101
5.2.3 PROBABILITE DATTEINTE SUITE A UNE DISPERSION (NUAGE TOXIQUE OU

NUAGE INFLAMMABLE)
La dispersion atmosphrique intervient pour estimer les consquences de
diffrents phnomnes dangereux :
en cas de dispersion de gaz inflammable (VCE, flashfire),
en cas de dispersion de gaz toxique.
Les paramtres qui ont une influence sur la modlisation sont :
la direction du vent,
les conditions mtorologiques (classes de stabilit et vitesse du vent).
Des probabilits pourraient tre introduites tenant compte de la rpartition de la
rose des vents et de la frquence d'apparition de certaines conditions
mtorologiques. La dmarche pouvant tre retenue est l'valuation des
consquences dans les conditions les plus pnalisantes de conditions
atmosphriques en reprsentant les effets sur un cercle autour du point de fuite,
ce qui est une approche plus simple mais pnalisante.
On note que la rglementation (arrt du 29 septembre 2005 [4]) prcise que pour
les nuages toxiques, il faut retenir un panache pour lvaluation des personnes
exposes. Ce panache doit tre dtermin de faon ce que lvnement soit
reprsentatif par rapport son positionnement dans la grille probabilit / gravit.
5.2.4 PROBABILITE
D'OCCUPATION
D'ATTEINTE
DES
CIBLES
EN
FONCTION
DU
TAUX
Lorsque la probabilit que le phnomne dangereux atteigne un point o peut se

situer une cible est dtermine (tenant compte ventuellement des diffrents
paramtres vus prcdemment direction des missiles, direction du vent, etc), il
faut ensuite tenir compte de la dure d'exposition de la cible.
Ainsi, on pourra faire intervenir la probabilit davoir des personnes dans la zone
de danger ce qui revient connatre le taux de prsence des cibles et savoir si
la prsence des cibles est corrle avec la priode o le danger existe.
Par exemple :
-
si un stade de 1000 personnes n'est occup que 10% du temps, la probabilit

d'atteinte de la cible pourra tre rduite d'un facteur 10 par rapport la
probabilit de l'effet engendr par le phnomne dangereux, si le risque est
bien prsent 100% du temps. Laversion au risque peut amener toutefois
modifier cette probabilit. La rgle devra tre prcise.
Page 62 sur 101
Si un risque donn n'existe que pendant une priode limite (par exemple un
dpotage qui ne se produit qu'en semaine) et que la cible n'est pas prsente
pendant cette priode (le stade voisin n'est pas occup en semaine), la
probabilit d'atteinte de cette cible pour les accidents lis aux oprations de
dpotage sera nulle.
Note :
-
On s'intresse ce niveau au problme d'atteinte de la cible (gravit) et non

plus la probabilit d'avoir un phnomne dangereux en un point donn.
Il faut pouvoir tre en mesure de vrifier les taux et les priodes doccupation
des locaux o des entits vulnrables sont prsentes. Il faut dautre part
sassurer que des mesures sont prises pour que ces paramtres ne fluctuent
pas dans le temps.
5.2.5 PROBABILITE D'ATTEINTE DES CIBLES EN FONCTION DES PROTECTIONS

POSSIBLES
En un point donn, une cible sera plus ou moins expose au danger selon son
degr de protection.
Ainsi, selon que la cible est l'extrieur ou l'intrieur de locaux, elle ne sera pas
expose de la mme faon. La conception des locaux entre ensuite en jeu. On
aborde alors le problme des mesures de scurit permettant de limiter les effets
sur les cibles.
La possibilit de fuir le danger pourra galement tre intgre dans l'valuation du
risque.
Ces paramtres ont fait l'objet d'tudes dans le cadre du transport routier.
Note : On s'intresse ce niveau au problme d'atteinte de la cible (gravit) et
non plus la probabilit d'avoir un phnomne dangereux en un point donn.
Page 63 sur 101
6. BARRIERES DE SECURITE TECHNIQUES

6.1 TYPES DE DONNEES DISPONIBLES
Les barrires de scurit sur un site sont de deux types :
les barrires techniques (systmes instruments de scurit, barrire
active ou barrire passive),
les barrires organisationnelles.
On sintresse dans ce chapitre aux barrires techniques de scurit. Le
chapitre 1 traite des barrires organisationnelles de scurit.
Dans les tudes probabilistes, le paramtre pertinent est le facteur de rduction de
risque associ une fonction de scurit. Ce facteur de rduction de risques est
li la probabilit de dfaillance des barrires composant la fonction de scurit. Il
est li galement l'architecture de la fonction de scurit.
Les donnes disponibles pour valuer un facteur de rduction de risques sont de

plusieurs types :
Elles peuvent tre issues dune valuation semi-quantitative des barrires
de scurit. Diffrentes mthodes existent. Une de ces mthodes est
dveloppe dans le rapport INERIS Omega 10 Evaluation des barrires
techniques de scurit . Dans la mthode dveloppe par lINERIS, le
paramtre disponible est alors le niveau de confiance (NC) qui est li la
probabilit de dfaillance de la barrire. Dautres noms existent, par exemple
facteur de crdit (terme utilis au Qubec). A chaque niveau de confiance
(not NC) correspond un facteur de rduction du risque de 10NC. Le NC est
une extrapolation du SIL (Safety Integrity Level) dfini dans les normes de
sret de fonctionnement pour les systmes instruments de scurit (SIS).
Elles peuvent tre issues de bases de donnes : les caractristiques

disponibles sont :
soit la probabilit de dfaillance rapporte une chelle de temps ou
la demande (PFD) ;
soit le taux de dfaillance lheure ou la sollicitation ;
soit le MTBF (Mean Time Between Failure).
Page 65 sur 101
Elles peuvent tre issues du retour dexprience de lindustriel ou du

secteur industriel concern.
En gnral, pour les barrires testes, il est possible de recueillir le
nombre de dfaillances au cours de tests. La donne disponible est
alors le nombre de dfaillances sur sollicitation. Dans certains cas, si
aucune dfaillance nest enregistre sur la priode dessais, le nombre
de sollicitations sera la donne disponible.
Pour dautres barrires, on peut enregistrer le nombre de dfaillances
en fonctionnement. La donne disponible est alors le nombre de
dfaillances lheure. Dans certains cas, si aucune dfaillance nest
enregistre sur la priode dessais, la dure dessais sera la donne
disponible.
Elles peuvent tre issues de donnes de constructeurs :

Les constructeurs peuvent donner des taux de dfaillance, des temps
moyens entre dfaillance (MTBF). Mais ces donnes sont difficilement
utilisables dans la mesure o elles correspondent des essais sur des
barrires. Le contexte dutilisation rel de la barrire nest pas pris en
compte. Les paramtres tels que la nature du produit, l'environnement,
les moyens de maintenance, le mode d'alimentation en nergie
(lectricit, air comprim), le montage, etc ne sont pas pris en
compte. Lutilisation brute de ces donnes nest donc pas acceptable
dans une analyse de risques, sans justification. Ces donnes ne seront
pas exploites davantage dans le cadre de ce rapport.
Les bases de donnes concernant les barrires techniques actives ou les
systmes instruments de scurit sont nombreuses (cf annexe 4).
Les donnes relatives aux barrires passives sont plus rares. Le LOPA en fournit
quelques unes (cf chapitre 6.8).
6.2 MODE DE FONCTIONNEMENT DE LA BARRIERE

Les barrires peuvent avoir deux types de fonctionnement :
-
Elles peuvent tre identifies comme agissant sur une drive de paramtre ou
un accident. Elles changent alors dtat pour mettre le systme en scurit. Il
sagit dune mode de fonctionnement la sollicitation et on sintresse alors
pour ces barrires au taux de dfaillance la sollicitation et la probabilit
de dfaillance la sollicitation (PFD pour Probability of Failure on
Demand). C'est le cas par exemple d'une fermeture de vanne sur dtection de
gaz suite une fuite accidentelle.
Page 66 sur 101
Elles peuvent tre identifies comme agissant en mode de fonctionnement

continu. Dans ce cas, on s'intresse au taux de dfaillance et la probabilit
de dfaillance de la barrire rapports une unit de temps, par exemple
des taux de dfaillance l'heure ou des probabilits de dfaillance par an.
C'est le cas par exemple d'un systme d'inertage sur un silo de poussires.
Lutilisation de la PFD correspondant un mode faible sollicitation

suppose que la barrire est peu sollicite dans la priode tudie. Sinon, il
faut avoir recours un mode de fonctionnement en continu.
Note : lorsque la dfaillance d'un dispositif technique quel qu'il soit (barrire
de scurit ou non) est envisage comme cause d'accident, la mme
mthode que celle dcrite pour les barrires sera applique pour estimer une
probabilit de dfaillance, qui sera alors associe une frquence de cause
d'accident. Dans ce cas (dfaillance de dispositif considr comme une cause
d'accident), le mode de fonctionnement gnralement considr est le mode de
fonctionnement continu (dfaillance d'une pompe de refroidissement, etc).
Pour un dispositif technique, les deux types de mode de fonctionnement sont

possibles. Les dfaillances envisages conduisent alors des situations
dangereuses diffrentes. Il faut donc tre vigilant sur la nature de la dfaillance
laquelle on s'intresse.
Par exemple, une soupape de scurit protgeant un quipement contenant un
produit dangereux sous pression peut intervenir :
-
Soit en mode la sollicitation : elle agit en barrire de prvention une

rupture sur une cause de surpression. Les dfaillances concernent les cas de
nonouverture. Le non-fonctionnement de la soupape (non-ouverture sur
sollicitation) conduit la situation dangereuse qui peut tre l'clatement de
l'quipement associ.
Soit elle peut intervenir en cause de dfaillance si elle vient s'ouvrir de

faon intempestive. Dans ces conditions, on sintresse au taux de dfaillance
en fonctionnement continu de la barrire. Les dfaillances qui interviennent
dans ce cas sont les dfaillances de non-maintien en fermeture qui conduisent
la situation dangereuse de rejet l'atmosphre d'un produit dangereux
De mme, une pompe peut intervenir :

-
Soit en mode la sollicitation : elle doit se mettre en route sur situation de

danger. Les dfaillances concernent le non-dmarrage de la pompe ;
Page 67 sur 101
Soit elle fonctionne en mode continu et son arrt est une cause d'accident :
on s'intressera alors aux dfaillances d'arrt de la pompe, en mode de
fonctionnement continu.
6.3 ROLE DES BARRIERES DANS LA REDUCTION DU RISQUE

Les barrires interviennent dans la rduction du risque. Les chapitres suivants
prcisent comment les barrires interviennent sur la rduction du risque. Il est
important au cours de l'valuation des frquences d'occurrence des causes
de bien identifier si la barrire (technique ou organisationnelle) associe la
cause n'a pas dj t prise en compte dans la frquence de la cause : si la
barrire est dj prise en compte, elle ne doit pas tre prise en compte une
deuxime fois en tant que barrire. Par exemple, si le risque de dpart de feu
est valu en tenant compte de l'interdiction de fumer mise en place sur une zone
donne (retour d'exprience tenant compte de cette interdiction), on ne tiendra
pas compte de l'interdiction de fumer en tant que barrire supplmentaire.
Des exemples sont prsents ci-dessous pour expliquer comment les barrires
interviennent dans la rduction du risque. La probabilit de dfaillance des
barrires (PFD) est associe un paramtre not Niveau de Confiance (NC) (cf
chapitre 6.4). Ce paramtre est celui retenu par lINERIS. Dautres paramtres
existent permettant de qualifier la probabilit de dfaillance.
Les barrires prsentes en exemple sont supposes indpendantes entre elles,
ce qui permet de multiplier les probabilits de dfaillance des barrires.
6.3.1 BARRIERES EN PREVENTION OU LIMITATION SCENARIOS RESIDUELS

Les barrires de scurit ont un rle diffrent selon qu'elles interviennent en
prvention ou en limitation :
en prvention, elles permettent de rduire la probabilit d'occurrence d'un

vnement redout central :
si la barrire agit en mode la sollicitation, on peut multiplier la

frquence d'occurrence de la cause exprime en F/an par la probabilit
de dfaillance de la barrire exprime en Probabilit de dfaillance la
sollicitation (PFD). La probabilit d'occurrence de l'ERC s'exprime alors
dans la mme unit que celle de la frquence de la cause.
Page 68 sur 101
Note : gnralement pour ce type de barrires, le fonctionnement de la

barrire ne conduit pas un deuxime scnario : si la barrire fonctionne,
l'ERC ne se produit pas. En revanche, pour certains dispositifs, dont le
fonctionnement gnre le rejet d'une substance dangereuse (par exemple
les soupapes de scurit), un scnario rsiduel est issu du
fonctionnement de la barrire. Mais il s'agit alors d'un autre ERC (avec
souvent des consquences de classes dintensit diffrentes).
Note : s'il existe des modes communs de dfaillance et une dpendance
entre barrires, le facteur de rduction de risques n'est pas le produit des
facteurs associs chaque barrire.
si la barrire agit en mode continu, on peut multiplier la frquence

d'occurrence de la cause exprime en F/an par la probabilit de dfaillance
de la barrire exprime en Probabilit de dfaillance. La probabilit
d'occurrence de l'ERC s'exprime alors dans la mme unit que celle de la
frquence de la cause.
en limitation, les barrires permettent de rduire la frquence d'occurrence de

l'vnement majeur (avec consquences maximales) et de rduire les
consquences de l'accident majeur (la frquence d'occurrence est alors celle
de l'vnement redout central).
Le traitement des probabilits s'effectue comme pour les barrires de
prvention (multiplication des probabilits de l'vnement redout central
par la probabilit de dfaillance la sollicitation (mode la sollicitation) ou
par la probabilit de dfaillance (mode fonctionnement continu).
Page 69 sur 101
6.3.2 AGREGATION DES FONCTIONS DE SECURITE

6.3.2.1 PRISE EN COMPTE DES DIFFERENTS SOUS-SYSTEMES COMPOSANT LA FONCTION
DE SECURITE
Une fonction de scurit est gnralement dcompose en plusieurs soussystmes. Pour estimer la rduction de risque induite par la fonction de scurit, il
faut dans un premier temps dcomposer cette fonction en ses diffrents soussystmes, estimer la probabilit de dfaillance de chaque sous-systme et enfin
en dduire la probabilit de dfaillance de la fonction de scurit globale.
L'estimation de la probabilit de dfaillance de la fonction globale repose sur
l'analyse de l'architecture de la fonction selon que les sous-systmes sont en srie
ou en parallle. Elle repose galement sur l'analyse des modes communs de
dfaillance et des lments ventuellement communs plusieurs sous-systmes.
6.3.2.1.1
SYSTEMES EN SERIE
Lorsque deux sous-systmes sont en srie, la dfaillance dun composant suffit

mettre le systme en dysfonctionnement.
Approche "sret de fonctionnement"
La fiabilit d'un composant (Ri) est lie la probabilit de dfaillance (Pi) de ce

composant par la relation : Ri + Pi = 1.
Le systme est fiable si tous les composants sont fiables.
R1
Ri
La fiabilit du systme global est alors le produit des fiabilits des diffrents
composants : R(t ) = Ri . La probabilit de dfaillance du systme s'en dduit.
Approche semi-quantitative
Dans lapproche retenue par lINERIS (mais dautres mthodes semi-quantitatives

existent), chaque composant a un niveau de confiance NCi (lie sa probabilit
de dfaillance).
NC1
NCi
Le Niveau de confiance global du systme sera : NC = Min[NCi ] .

La formule NC = Min[NCi ] est facile d'utilisation. Nanmoins, elle peut conduire
surestimer le NC du systme complet (et donc sous-estimer la probabilit de
dfaillance) par exemple si le nombre de composant est lev. Malgr ce biais,
elle a lavantage dtre dmonstrative et c'est la dmarche retenue par lINERIS
dans les tudes de dangers.
Page 70 sur 101
6.3.2.1.2
SYSTEMES EN PARALLELE
Approche "sret de fonctionnement"

R1
Ri
La dfaillance de tous les composants est ncessaire pour mettre le systme en

dysfonctionnement. Le systme est ainsi dfaillant si tous les composants sont
dfaillants. La probabilit de dfaillance du systme est gale au produit des
probabilits de dfaillance des sous-systmes : P(t ) = Pi
Approche semi-quantitative
NC1
NCi
Le Niveau de confiance du systme est gal la somme des niveaux de

confiance : NC = NCi
La formule NC = NCi peut conduire sous estimer le NC du systme complet
(soit sur-estimer la probabilit de dfaillance) si le nombre de composants est
important. Malgr ce biais, elle a lavantage dtre dmonstrative et c'est la
dmarche retenue par lINERIS dans les tudes de dangers.
6.3.2.1.3
AUTRES CONFIGURATIONS
D'autres configurations existent faisant intervenir par exemple des architectures de

type parallle m/n. Le diagramme parallle m/n correspond une configuration o
le systme fonctionne si au moins m composants fonctionnent sur les n.
Nous ne dtaillerons pas dans ce rapport les diffrentes configurations possibles.
Page 71 sur 101
6.3.2.2 EXEMPLE
On considre la fonction de scurit : arrt dune fuite. La fonction est
dcompose en trois sous-systmes, chaque sous-systme tant suppos
indpendant : la dtection est assure par exemple par un dtecteur de gaz et un
dbitmtre, le traitement est assur par exemple par un automate de scurit et
par un relayage et lactionneur est compos par exemple dune vanne disolement.
On suppose que la probabilit de dfaillance la sollicitation des sous-systmes
est respectivement :
PFD ~ <10-1 pour la dtection gaz
NC 1
PFD ~ <10-1 pour la dtection dbit haut
NC 1
PFD ~ <10-1 pour le traitement par automate
NC 1
PFD ~ <10-1 pour le traitement par relayage
NC 1
PFD ~ <10-1 pour la vanne disolement
NC 1
Dtection gaz
NC 1
Dbit haut
NC 1
Automate de
scurit
NC 1
relayage
Vanne
disolement
NC 1
NC 1
Le NC de la dtection et du traitement associ est alors de 2. En revanche l'action

a un niveau de confiance de 1.
Dans une dmarche simplifie, le NC de la fonction globale est alors 1.
La frquence doccurrence de l'accident avec fuite illimite sera donc rduite dun
facteur 10.
Ainsi, les lments dtection fuite , Automate et vanne disolement ne
sont pas considrer comme rduisant chacun la frquence de lvnement.
Cest la PFD globale ou le NC global de la fonction de scurit dont il faut tenir
compte pour la rduction des frquences doccurrence dans larbre.
Page 72 sur 101
On se reportera pour plus de dtails sur lvaluation et la prise en compte des

barrires au rapport INERIS Omega 10 : valuation des barrires techniques de
scurit [6]. En particulier, le rapport prsente dautres paramtres
ncessaires lvaluation dune barrire de scurit : si ces paramtres ne
sont pas assurs, la barrire ne doit pas tre prise en compte. Citons par
exemple :
9 Indpendance de la barrire avec le procd ou la cause ;
9 Adquation du temps de rponse de la barrire avec la
cintique du scnario ;
9 Efficacit de la barrire ;
9 Niveau de confiance estim au travers de lanalyse des
paramtres de concept prouv, scurit positive, existence
de tests et de maintenance, contrle des mises hors service.
6.3.2.3
PROBABILITE RELATIVE A LENSEMBLE DES FONCTIONS INTERVENANT SUR UN

SCENARIO
Pour un scnario donn, plusieurs fonctions de scurit peuvent conduire

rduire la frquence doccurrence du scnario. Les probabilits de dfaillance des
diffrentes fonctions de scurit ne peuvent sadditionner que si les fonctions
sont indpendantes entre elles. Sinon, lestimation doit tre faite en tenant
compte des lments communs (mode commun de dfaillance ou lments
communs plusieurs fonctions de scurit) qui peuvent tre les facteurs limitant
de rduction du risque.
6.4 EVALUATION SEMI-QUANTITATIVE DES BARRIERES DE SECURITE

Lvaluation semi-quantitative des barrires techniques permet d'attribuer de faon
simple un facteur de rduction de risque une barrire. On utilise pour cela le
paramtre Niveau de Confiance (NC). Le NC est lextrapolation des SIL (Safety
Integrity Level) dfinis dans les normes de sret de fonctionnement CEI 61508 et
CEI 61511 [20] pour des systmes instruments de scurit (SIS). La dmarche
de la norme a ainsi t tendue tout dispositif technique actif. Le lien entre
niveau de confiance, probabilit de dfaillance et rduction du risque est prcis
dans les tableaux 1 et 2 ci-dessous, selon les cas de fonctionnement continu ou
la sollicitation.
La dmarche est explicite dans le rapport INERIS Omega 10 [6] et dans le

rapport DRA34 opration b et c [7].
Page 73 sur 101
pour un fonctionnement continu

Niveau de
confiance
(NC)
Frquence des dfaillances

dangereuses par heure (N)
Rduction du risque
(RR)
10-9 < N < 10-8
100 000 < RR < 10

000
10-8 < N < 10-7
10 000 < RR < 1 000
10-7 < N < 10-6
1 000 < RR < 100
10-6< N < 10-5
100 < RR < 10
10-5< N < 10-4
10 < RR < 1
Tableau 1 : correspondance Niveau de confiance rduction du risque pour des systmes

fonctionnement continu
pour un fonctionnement la sollicitation

Niveau de
confiance
(NC)
Probabilit moyenne de
dfaillance la sollicitation
(PFDavg)
Rduction du risque
(RR)
10-5 < PFDavg < 10-4
100 000 < RR < 10

000
10-4 < PFDavg < 10-3
10 000 < RR < 1 000
10-3 < PFDavg < 10-2
1 000 < RR < 100
10-2 < PFDavg < 10-1
100 < RR < 10
10-1 < PFDavg < 1
10 < RR < 1
Tableau 2 : correspondance Niveau de confiance rduction du risque pour des systmes

fonctionnant la sollicitation
Dans cette approche semi-quantitative, la PFD de la barrire nest pas value

prcisment mais on sintresse la rduction de risque dduite des
contraintes darchitecture. En effet, on suppose que pour des barrires usuelles,
de concept prouv, scurit positive, ayant des plans de maintenance et
des priodicits de tests en accord avec la fiabilit attendue de la barrire, la
probabilit de dfaillance calcule serait infrieure celle impose par les
contraintes d'architecture.
Page 74 sur 101
Comme dvelopp dans le rapport DRA34 opration b / c [7] et dans le rapport

Omega 10 [6], le NC issu de larchitecture dune barrire peut tre estim partir
des tableaux issus des normes de sret de fonctionnement CEI61508 et
CEI61511[20] . Plusieurs paramtres interviennent :
la proportion de dfaillances en scurit : rapport de la somme du taux de
dfaillances sres et du taux de dfaillances dangereuses dtectes sur la
somme des taux de dfaillance du systme.
La tolrance aux anomalies matrielles qui sassimile la prsence ou non de
redondance.
Le type de systmes : simple (pas de microprocesseurs) ou complexes
(microprocesseurs).
Proportion de
dfaillances
en scurit
(SFF)
Tolrances aux anomalies matrielles

0
< 60%
NC 1
NC 2
NC 3
60% <90%
NC 2
NC 3
NC 4
90% <99%
NC 3
NC 4
NC 4
>99%
NC 3
NC 4
NC 4
Systmes simples
Proportion de
dfaillances
en scurit
(SFF)
Tolrances aux anomalies matrielles

0
Non autoris
NC 1
NC 2
60% <90%
NC 1
NC 2
NC 3
90% <99%
NC 1
NC 3
NC 4
>99%
NC 3
NC 4
NC 4
< 60%
Systmes complexes
En labsence de dmonstration du SFF, on se place par dfaut dans le cas dun
SFF < 60%.
Page 75 sur 101
6.5 NATURE DE LA DEFAILLANCE DEFAILLANCES DANGEREUSES OU SURES

6.5.1 DIFFERENTS TERMES RELATIFS A LA DEFAILLANCE
Il existe pour un mme dispositif plusieurs qualificatifs de taux de dfaillance :
on trouve le taux de dfaillances, le taux de dfaillances sres, le taux de
dfaillances dangereuses, des taux de dfaillances dangereuses dtectables ou
non. L'importance de l'un ou l'autre des paramtres dpendra de la configuration
de la barrire (est-elle testable en ligne ou non, quelle nature de dfaillances
s'intresse-t-on, etc). L'utilisation et le choix de ces paramtres est une tape
primordiale.
Nous ne prciserons donc pas dans le cadre de ce rapport les diffrentes notions.
Notre objectif est simplement de mettre le lecteur en garde sur la pertinence d'un
taux de dfaillance.
6.5.2 DEFAILLANCES SURES OU DANGEREUSES

L'utilisation de bases de donnes pour estimer la probabilit de dfaillance de
barrires de scurit fait appel au taux de dfaillance. Mais les taux de
dfaillances issus des bases de donnes ne font pas ncessairement la diffrence
entre le taux de dfaillances dangereuses (celles qui peuvent mettre le systme
dans un tat dangereux ou dans limpossibilit dexcuter sa fonction) et le taux de
dfaillances sres (celles qui nont pas la potentialit de mettre le systme dans
un tat dangereux ou dans limpossibilit dexcuter sa fonction).
Dans le cas des analyses de risques, le facteur intressant est la probabilit de
dfaillances dangereuses. Pour le connatre, une AMDEC de la barrire peut tre
ncessaire ou il faut analyser les bases de donnes pour connatre la nature des
dfaillances associes un taux donn. A dfaut, on peut supposer que le taux de
dfaillances dangereuses reprsente la moiti ou mme la totalit des dfaillances
totales.
Mais rappelons que le taux de dfaillance totale doit lui-mme tre pris avec
prcaution : d'abord parce que la nature de la dfaillance recherche doit tre
prcise (non-ouverture de la soupape ou ouverture intempestive), ensuite parce
que l'utilisation de bases de donnes posent un certain nombre de problmes
quant la transposition sur un site donn (voir paragraphe 6.6.2).
Page 76 sur 101
6.6 UTILISATION DE BASES DE DONNEES

6.6.1 BASES DE DONNEES EXISTANTES
Les bases de donnes de sret de fonctionnement couramment utilises
dans le domaine industriel sont :
LOREDA-97 [16] : cette banque de donnes concerne des quipements
utiliss sur des plates-formes ptrolires. On y trouve des taux de dfaillance
de composants comme des systmes de scurit (alarmes, dtection
incendie), des pompes, changeurs, transformateurs, etc. Une version plus
rcente vient dtre publie. Les chiffres prsents en annexe en exemple sont
issus de la version 1997.
LEIReDA 1998 [17] European Industry Reliability Data Bank : cette base
regroupe des donnes issues de lindustrie nuclaire et aussi des centrales
EdF. Des donnes issues dune tude lance par le JRC concernant les utilits
ont t intgres.
La NPRD 95 [18] : Les donnes concernent des matriels utiliss dans des
domaines varis (militaire, commercial, bases de donnes commerciales ou
industrielles). Cette base est une agrgation de rapports de services de
maintenance ou rparation mais aussi de donnes constructeurs. Les
conditions dutilisations et les sources sont variables.
Le AIChe/CCPS reliability database (Perd Guidelines) : la base PERD
prsente les taux de dfaillance lheure et les taux de dfaillance la
demande de dispositifs. Elle rsulte de donnes gnriques de lindustrie, de
plus de 70 sources, et de donnes fournies par le Science Applications
International Corporation.
Des valeurs relatives aux barrires peuvent galement se trouver dans des
sources comme :
Le Purple Book [13],
Le PCAG [12],
Le LOPA [10].
Un tableau reprenant des exemples de barrires prsents par diffrentes sources
prcdemment identifies figure en annexe 4.
Il existe d'autres sources de donnes qui peuvent tre spcifiques des industries
(nuclaire, militaire, lectronique). Celles-ci ne sont pas exploites dans le
cadre du prsent rapport.
Page 77 sur 101
6.6.2 LIMITES DES BASES DE DONNEES

Lutilisation des bases de donnes reste dlicate pour plusieurs raisons :
comme pour les bases de donnes relatives aux ERC, celles-ci sont des
moyennes. Elles correspondent des dispositifs dans des environnements
diffrents, pour des produits pas ncessairement bien identifis, pour des
modes dactivation diffrents (lectriques, pneumatiques pour des vannes).
Lutilisation dun chiffre issu dune base ncessitera de justifier sa validit, ce
qui n'est pas facile tant donnes les imprcisions sur les donnes : on pourra
s'interroger sur la technologie (lOREDA prcise par exemple les technologies
des dispositifs), la nature de la substance, le type d'environnement, les
conditions de maintenance, le vieillissement.
Dans certains cas, le nombre dchantillons peut ne pas tre reprsentatif
(dtecteur H2S dans la base OREDA, EIReDA) ; des intervalles de valeurs sont
parfois donns, correspondant des intervalles de confiance. Par exemple
pour certains dispositifs prsents en annexe 4, on peut observer des ratios de
1 10 entre les valeurs extrmes. Dans ces cas, un facteur 10 peut alors tre
applicable une valeur moyenne issue de la base.
Les modes de dfaillance ne sont pas toujours dtaills (par exemple lEIReDA
fournit des taux de dfaillance critiques sans ncessairement dtailler la nature
de la dfaillance). Dans dautres bases (par exemple OREDA), le mode de
dfaillance est prcis ; il est alors possible destimer un taux de dfaillances
juges dangereuses en intgrant ou non les dfaillances dites latentes ou
dgrades. Une analyse des types de dfaillances est ncessaire pour savoir
quel chiffre utiliser.
6.6.3 EXPLOITATION DES BASES DE DONNEES

Lobjectif de ce paragraphe est de prciser les liens entre les diffrentes valeurs
que lon peut trouver dans les bases de donnes, afin de pouvoir en dduire une
probabilit de dfaillance.
6.6.3.1
DEFINITIONS
On se reportera lannexe 5 pour les dfinitions.

Les donnes gnralement disponibles sont essentiellement :
le taux de dfaillance dun dispositif, exprim en taux l'heure (ou l'anne)
le MTBF, exprim en heures;
Pour les EDD, il faut pouvoir estimer la rduction de risque engendre par une
barrire, ce qui implique lvaluation des probabilits de dfaillance pour une
priode donne (gnralement une anne).
Page 78 sur 101
Deux cas sont considrer :

la barrire fonctionne selon un mode continu,
la barrire fonctionne la sollicitation (faible demande).
Il est possible d'estimer partir du taux de dfaillance (ou du MTBF) les
probabilits de dfaillance des dispositifs.
Il est important de noter que lestimation de la probabilit de dfaillance telle
que prcise dans ce chapitre (valuation quantitative) nest pas suffisante.
Larchitecture intervient galement (cf norme CEI 61508 et 61511). La valeur
minimale des deux doit ensuite tre retenue.
Lorsque seule l'analyse de l'architecture est effectue, on suppose implicitement
que les choix des dispositifs (de concept prouv, scurit positive, avec des
frquences de tests et de maintenance adquates) permettent d'assurer une
probabilit de dfaillance en accord avec le facteur de rduction de risque dfini
par l'architecture.
6.6.3.2
FACTEURS DE CORRECTION EN FONCTION DES SITES
Les chiffres gnriques peuvent tre modifis en fonction des paramtres du site
et des modes opratoires. On multiplie alors le taux de dfaillance ou la probabilit
de dfaillance par un facteur de correction ou facteur dinfluence.
Les bases de donnes de lUIC (cf projet ARAMIS [15]) proposent un facteur de
correction qui dpend de lenvironnement. Par exemple, ces facteurs peuvent tre
lis au caractre corrosif de la substance, la vitesse de rotation pour une pompe,
au mode de fonctionnement, la nature des tanchits, etc
Dans lidal, les bases de donnes issues de lexprience dun site seront
prfrables car elles prennent en compte les conditions dexploitation du site.
Le tableau page suivante, issu du Chemical Process Quantitative Risk
Assessment donne, titre dexemple, des facteurs de correction proposs par
Du Pont dans son Process Safety Management Reference Manual (1987) et qui
seraient appliquer aux taux de dfaillance gnriques. Les valeurs de ces
facteurs sont prendre comme des exemples, dautant plus que dautres tudes
(par exemple Lees) ont permis de dterminer des facteurs dinfluence plus levs.
Page 79 sur 101
Instruments
Vannes
Corrosion
1,07
1,14
Erosion
1,14
1,28
Encrassement
1,07
1,14
Dbit pulsatoire
1,14
1,07
Tempratures extrmes
1,07
1,07
Vibration
1,42
1,21
Atmosphre corrosive
1,21
1,21
Atmosphre sale
1,07
1,07
Humidit ou temprature leve
1,07
1,07
1,07
1,07
1,07
1,07
Facteurs lis au process
Facteurs externes
Facteurs dimplantation
Peut tre soumis des impacts
Inaccessible pour inspection
De la mme faon, des facteurs dinfluence ont ainsi t tudis par Lees. On y
retrouve les mmes types de facteurs dinfluence. Pour les instruments tudis,
ltude a montr que cest lagressivit / propret de la substance qui avait la plus
forte influence sur le taux de dfaillance : en fonction des instruments, le taux de
dfaillance peut tre multipli par 4.
6.6.3.3
REPRESENTATIVITE DES DONNEES
Les bases de donnes prcisent parfois le nombre et/ou la dure danalyse des
barrires. Il est alors possible de connatre un intervalle de confiance pour la
valeur du taux de dfaillance (ou dune autre valeur) ou celui-ci est dj estim
dans la base de donnes.
Si lintervalle de confiance est important, la valeur moyenne doit tre prise avec
prcaution. En effet, on peut avoir entre les valeurs minimales et maximales de
lintervalle des carts dun facteur suprieur 100 selon les dispositifs.
L'analyse des taux de dfaillance prsents en annexe 4 fait apparatre pour un
mme dispositif des variations importantes en fonction des bases. Des
diffrences d'un facteur 100 1000 peuvent tre observs, ce qui rend
l'utilisation de ces bases difficile et discutable.
Page 80 sur 101
Les valeurs suivantes apparaissent :

-
pour des soupapes (de natures diffrentes) des taux de dfaillance de 0,2 35
par 106 heures de fonctionnement;
pour des vannes (de natures diffrentes) des taux de dfaillance de 0,004
260 par 106 heures de fonctionnement;
pour des groupes Diesel (de natures diffrentes) des taux de dfaillance de 19
9500 par 106 heures de fonctionnement.
Pour les autres dispositifs (dtecteurs, relais, etc), on se reportera l'annexe 4.

6.6.3.4
ESTIMATION DES PROBABILITES DE DEFAILLANCE DANS LE CAS DES BARRIERES A

FORTE SOLLICITATION (MODE CONTINU)
L'annexe 5 donne des lments de calcul des probabilits de dfaillance de

barrires pour un mode fonctionnement continu.
Pour un dispositif, il est ncessaire de connatre le taux de dfaillance en
fonctionnement continu (exprim gnralement en dfaillance par heure) (ou le
MTBF qui est l'inverse du taux de dfaillance) et la frquence T des remises
niveau du dispositif.
Pour un dispositif taux de dfaillance suppos constant, la probabilit de
dfaillance du dispositif est maximale au temps T gal la frquence de remise
niveau de la barrire. La probabilit de dfaillance s'crit alors : P (T ) = 1 e- T
avec
= taux de dfaillance (exprim par unit de temps)

MTBF =
T = frquence des remises niveau de la barrire.

Gnralement, .T <<1 si bien que la probabilit de dfaillance s'crit : P (T ) = T .
Note 1 : la dure de rfrence sur laquelle on estime la frquence
d'occurrence d'une cause, d'un vnement redout central ou d'un accident
n'intervient pas dans la formule d'estimation de la probabilit de dfaillance.
En effet, mme si la rfrence choisie est l'anne, on s'intresse la probabilit
de dfaillance maximale de la barrire, qui est celle intervenant au terme du
temps T de remise niveau de la barrire. On ne s'intresse pas la
probabilit de dfaillance au terme de la premire anne de fonctionnement. La
remise niveau doit permettre en thorie d'assurer la mme fiabilit de la barrire
aprs chaque remise niveau. En pratique, le vieillissement du dispositif ne
permet pas de remettre tout fait niveau le dispositif : le vieillissement est un
paramtre dont l'tude permettrait d'affiner les estimations de fiabilit.
Page 81 sur 101
Note 2 : le taux de dfaillance utilis doit correspondre celui qui met le systme
dans un tat non sr. Il s'agit alors du taux de dfaillances dangereuses. Celuici peut tre estim par une analyse des modes de dfaillances, ou dfaut, de
faon conservatrice, on peut estimer que le taux de dfaillances dangereuses est
le mme que le taux de dfaillance.
Note 3 : cette formule permet d'estimer la probabilit de dfaillance. Un paramtre
important est galement l'indisponibilit du dispositif : en effet, si le dispositif
est tomb en panne, l'indisponibilit fera intervenir le temps ncessaire pour
dtecter la dfaillance et le temps ncessaire pour rparer la panne.
L'indisponibilit peut aussi faire intervenir la dure des tests si ceux-ci ne sont pas
ralisables en ligne. Le choix du fonctionnement de l'installation (arrt de
l'installation pour mise en scurit pendant les priodes d'indisponibilit du
dispositif de scurit) est aussi un paramtre prendre en compte pour
l'valuation du risque sur un site. Il apparat donc que d'autres paramtres que la
probabilit de dfaillance sont importants pour qualifier le risque : travers
l'indisponibilit, les paramtres "temps de dtection de la panne"; "dure de
rparation", "temps de ralisation des tests", "choix du mode de
fonctionnement" seraient ncessaires pour qualifier la rduction de risque
rsultant d'une barrire en mode de fonctionnement continu. Une analyse
complmentaire serait ncessaire, prenant en compte ces lments.
Note 4 : la loi exponentielle utilise pour estimer la probabilit de dfaillance
s'applique pour des dispositifs avec un taux de dfaillance suppos constant.
De ce fait, la loi n'est pas applicable aux dispositifs jeunes (pour lesquels des
dfaillances prcoces sont possibles) ou aux dispositifs vieux (pour lesquels des
dfaillances dusure plus frquentes sont observes).
6.6.3.5
ESTIMATION DES PROBABILITES DE DEFAILLANCE DANS LE CAS DES BARRIERES

FONCTIONNANT A LA SOLLICITATION
6.6.3.5.1
UTILISATION DES TAUX DE DEFAILLANCE A L'HEURE
Il est usuel de calculer la probabilit de dfaillance la sollicitation d'une barrire

en utilisant les taux de dfaillance l'heure de la barrire (dfaillances
dangereuses dtectes et non dtectes), la dure des rparations et la
priodicit des tests.
PFD pour une barrire en architecture simple (non redondante)
L'annexe 5 prsente les calculs permettant d'valuer la probabilit de dfaillance

la sollicitation de la barrire (PFD) en fonction de ces paramtres.
Page 82 sur 101
Pour un dispositif non redondant, lorsque la dure de rparation est trs infrieure
la priodicit des tests et que le taux de dfaillances dangereuses dtectes est
trs infrieur au taux de dfaillances dangereuses non dtectes, la PFD
T
s'exprime par : PFD = DU . 1
2
o
DU
= taux de dfaillances dangereuses non dtectes

T1 = priodicit des tests
L'annexe 5 prsente des exemples d'estimation de la PFD en fonction des taux de

dfaillance, des temps de rparation et de la priodicit des tests.
On note que pour une architecture simple (1oo1), ds que la dure de rparation
(MTTR) est trs infrieure la priodicit des tests (T1) et que les dfaillances ne
sont pas majoritairement des dfaillances dtectables, alors la PFD est
sensiblement proportionnelle la priodicit des tests.
Les exemples en annexe 5 font apparatre qu'augmenter la priodicit des
tests dun facteur 10 conduit rduire dun facteur 10 la PFD. Ainsi, pour un
dispositif avec un taux de dfaillance de 10-4/heure, le NC pour un mode la
sollicitation est de 0 pour des tests annuels ; des tests mensuels permettent de
passer un NC de 1.
On retiendra que, pour valuer la PFD dun dispositif et pouvoir ainsi valuer
la rduction de risque associe, lutilisation dun taux de dfaillance nest
pas suffisant :
-
la priodicit des tests est capitale.
Dans une moindre mesure, le temps moyen de rparation intervient

galement, sauf si celui-ci est trs infrieur la priodicit des tests.
L'identification et la nature des dfaillances sont importantes (dtectables

ou non, dangereuses). A dfaut, on pourra de faon conservatrice considrer
que le taux de dfaillances dangereuses est gal au taux de dfaillances et
que le taux de dfaillance dangereuses dtectes est nul.
PFD en fonction du type d'architecture
L'annexe 5 prsente galement la PFD d'une barrire comportant des dispositifs

redondants (architecture 1oo2) ou prsentant d'autres architectures. La
proportion de dfaillances de causes communes apparat alors comme un
paramtre important pour valuer la PFD. Sur l'exemple prsent en annexe 5,
pour des dispositifs redondants de niveau de confiance de 1 unitaire, avec des
proportions de dfaillances de causes communes de 10% 20%, le NC global
correspond la somme des deux NC des deux barrires en parallle, soit 2.
Page 83 sur 101
6.6.3.5.2
UTILISATION DIRECTE DES PFD
Les bases de donnes peuvent prsenter directement une PFD la sollicitation.

Cest le cas notamment de lEIReDA.
Cette donne est difficile exploiter :
-
la priodicit des tests nest pas prcise ;
les limitations voques au paragraphe 6.6.2 restent applicables.
Il faut pouvoir sassurer que les modes de dfaillances ont tous t pris en compte
(chane dactivation, etc).
Une analyse plus complte serait ncessaire concernant la pertinence de
l'utilisation de telles donnes et leur collecte ventuelle.
6.7 EXPLOITATION DU RETOUR DEXPERIENCE

Le retour dexprience fournit :
le nombre de dfaillances la sollicitation (ou le nombre de dfaillances
sur une dure de fonctionnement) ;
le nombre de sollicitations (ou la dure de fonctionnement).
La sollicitation peut correspondre un test de scurit.
Les donnes peuvent tre issues de l'industriel, de lindustrie concerne. Le
nombre dvnements tudis est alors plus ou moins reprsentatif.
Comme dit prcdemment, Il faut pouvoir sassurer que les modes de dfaillances
ont tous t pris en compte et sont bien prciss (chane dactivation). Il faudrait
s'interroger sur la faon dont la collecte des donnes a t ralise.
On devra s'interroger sur la pertinence de la collecte de donnes et la mise
jour des donnes en fonction de l'volution du site (vieillissement,
changement de politique de maintenance).
Deux situations se prsentent :

-
Des dfaillances sont enregistres sur le priode d'observation;
Aucune dfaillance n'est enregistre sur la priode d'observation.
Page 84 sur 101
6.7.1 CAS OU DES DEFAILLANCES SONT ENREGISTREES SUR LA PERIODE
partir du taux de dfaillance en fonctionnement continu
On peut alors estimer les taux de dfaillances en fonctionnement :
Nombre de dfaillances observes en fonctionnement ( Nf )

dure cumule de fonctionnement (Tf )
Il est possible ensuite de dterminer un intervalle encadrant la valeur estime du

paramtre. On peut alors affirmer que le paramtre appartient lintervalle
considr, avec une probabilit de se tromper de . Autrement dit la probabilit
que le paramtre ne soit pas dans lintervalle considr est de . Lintervalle est
appel lintervalle de confiance. La quantit (1 - ) est appele en sret de
fonctionnement le niveau de confiance : cest donc la probabilit pour que le
paramtre soit dans lintervalle de confiance. Cette quantit ne doit pas tre
confondue avec le niveau de confiance des barrires (cf paragraphe 6.3).
On utilise les lois du Khi 2 pour dterminer les taux de dfaillance mini et maxi de
lintervalle de confiance.
La valeur suprieure de lintervalle est : sup =
La valeur infrieure est : inf =
12 / 2 (2 Nf + 2)
2Tf
2 / 2 (2 Nf )
2Tf
Avec = probabilit pour que ne soit pas dans lintervalle [inf, sup]
Exemple : un exemple extrait du Villemeur [19] est donn ci-dessous:
Des pompes subissent 2 dfaillances pour 10 000 heures de
fonctionnement.
Le taux de dfaillance en fonctionnement peut tre estim =
2/10000 = 2.10-4/h
Les bornes de lintervalle de confiance avec un niveau de confiance
de 90% sont ( tant gal 1-0,9 = 0,1) :
sup =
inf =
12 0,1 / 2 (2 x 2 + 2)
2 x10000
02,1 / 2 (2 x 2)
2 x10000
02,95 (6)
20000
02,05 (4)
2 x10000
12,6
= 3,6.10 5 / h
20000
0,711
= 6,3.10 4 / h
20000
On note que dans cet exemple, le ratio entre les deux bornes est
important. Celui-ci peut tre rduit en augmentant lobservation, afin
daugmenter le nombre potentiel de dfaillances.
Page 85 sur 101
Lestimation de la probabilit de dfaillance est ralise ensuite comme pour

lexploitation des bases de donnes (cf chapitre 6.6.3), ce qui suppose la
connaissance des diffrents paramtres ncessaires (frquence des remises
niveau de la barrire, etc).
-
partir du taux de dfaillance en fonctionnement la sollicitation :
On peut estimer les taux de dfaillances la sollicitation :
Nombre de dfaillances observes la sollicitation ( Nds )

nombre de sollicitations ( Ns )
Il est possible ensuite de dterminer un intervalle encadrant la valeur estime du

paramtre. On peut alors affirmer que le paramtre appartient lintervalle
considr, avec une probabilit de se tromper de (cf taux de sollicitation en
fonctionnement).
La valeur suprieure de lintervalle est :
Nds
sup solution de
c
i =0
La valeur infrieure est :
Ns
inf solution de
i = Nds
i
Ns
i
Ns
.x i .(1 x) Ns i =
.x i .(1 x) Ns i =
Avec = probabilit pour que ne soit pas dans lintervalle [ inf, sup].
Nds = nombre de dfaillance la sollicitation
Ns = nombre de sollicitation
i
c Ns =
Ns !
i!( Ns i )
Exemple :
Un systme est sollicit 12 fois par an. 1 dfaillance est enregistre.
Le taux de dfaillance la sollicitation peut tre estim = 1/12 =
~10-1.
Les bornes de lintervalle de confiance avec un niveau de confiance

de 90% seraient ( tant gal 1-0,9 = 0,1) :
1
sup solution de
c
i =0
12
inf solution de
c
i =1
.x i .(1 x)12 i =
0,1
2
.x i .(1 x)12 i =
0,1
2
i
12
i
12
Page 86 sur 101
Lestimation de la probabilit de dfaillance est ralise ensuite comme pour

lexploitation des bases de donnes, en utilisant les paramtres ncessaires
(priodicit des tests, MTTR, etc).
6.7.2 CAS OU AUCUNE DEFAILLANCE N'EST ENREGISTREE SUR LA PERIODE

On utilise dans ce cas comme valeur du paramtre la borne suprieure de
lintervalle de confiance unilatral au niveau de confiance de 50%. Ainsi, la valeur
relle du paramtre a la mme probabilit dtre infrieure ou suprieure cette
valeur (50%) :
pour un taux de dfaillance en fonctionnement
12 0,5 (2)
2T
0,7
avec T = dure de fonctionnement observ
T
pour un taux de dfaillance la sollicitation :
= 1
1
1/ N
avec N = nombre de sollicitations observes
Ds que N>>1, on a =
0,7
N
Page 87 sur 101
6.8 CAS PARTICULIER DES BARRIERES PASSIVES

L'valuation de la probabilit de dfaillance des barrires passives peut tre
dtermine :
-
par une valuation semi-quantitative,
en utilisant des sources de donnes : le LOPA [10] donne des valeurs issues
de la bibliographie pour les cuvettes de rtention; murs coupe-feu, etc.
L'annexe 4 prsente les exemples donns par le LOPA. Ces donnes peuvent
tre utilises mais il faut tre attentif leur validit.
En ralisant une AMDEC : les modes de dfaillance des barrires passives

peuvent tre identifies. Cette tape est ncessaire pour valider une PFD
issue d'une base de donnes. En particulier, il faudra s'interroger sur les
lments qui peuvent rendre la barrire passive dfaillante et sur la probabilit
de dfaillance de ces lments. :
-
Par exemple, pour un mur coupe-feu : si le maintien de son intgrit est

dmontr (gestion des modifications, etc), on s'interrogera sur la
fermeture des portes coupe-feu (quels dispositifs conduisent leur
fermeture, les portes sont-elles maintenues fermes en absence de
personnel, etc )
Par exemple, pour une cuvette de rtention, on s'interrogera sur les

procdures de vidange qui permettent de maintenir sa capacit, sur la
fermeture des dispositifs d'obturation.
Page 88 sur 101
7. BARRIERES DE SECURITE ORGANISATIONNELLES

7.1 INTRODUCTION
Le principe de prise en compte des barrires organisationnelles dans la rduction
du risque est le mme que pour les barrires humaines. On se reportera au
chapitre 6.3.
Il est important au cours de l'valuation des frquences d'occurrence des
causes de bien identifier si la barrire (technique ou organisationnelle)
associe la cause n'a pas dj t prise en compte dans la frquence de la
cause : si la barrire est dj prise en compte, elle ne doit pas tre prise en
compte une deuxime fois en tant que barrire. Par exemple, si le risque de
dpart de feu est valu en tenant compte de l'interdiction de fumer mise en place
sur une zone donne (retour d'exprience tenant compte de cette interdiction), on
ne tiendra pas compte de l'interdiction de fumer en tant que barrire
supplmentaire.
On classe les barrires organisationnelles en deux catgories :

les barrires exclusivement de prvention : elles correspondent des
tches de contrle :
contrle pralable une opration : il est ralis par un tiers ou
en suivant une squence de travail diffrente,
contrle de la bonne ralisation dune tche ralis par une tierce
personne.
les barrires de rattrapage, ou barrires lappel : elles agissent en
prvention ou en limitation des effets. Elles interviennent :
la suite de la dtection dune drive (drive dun paramtre de
marche pendant une phase de surveillance),
ou suite une alarme ou une dfaillance vidente (fuite en phase
de chargement).
Divers facteurs influencent directement la fiabilit de laction humaine :

la nature des tches effectuer : nombre, accessibilit, complexit
le temps disponible pour les effectuer,
la possibilit de rattrapage,
Page 89 sur 101
la formation du personnel et lexistence de documents sur lesquels il

peut sappuyer,
de nombreux facteurs (nombre dheures de travail, fatigue, pression
temporelle).
Dautre part, dautres facteurs influencent la fiabilit de laction humaine : le
management, le climat social de lentreprise, le SGS, etc.
On se reportera pour plus de dtail pour l'valuation des barrires
organisationnelles au rapport DRA34 oprations b/c [7] et au rapport INERIS (
paratre) Omega 11 concernant l'valuation des barrires organisationnelles.
7.2 DONNEES ISSUES DE LA LITTERATURE

Diverses sources de donnes relatives la fiabilit humaine sont disponibles :
FP Lees, The assessment of Human Reliability in Process control,
Conference on human reliability in the process control centre : institution of
chemical engineering, 1983 ;
G.C. Bello and V. Collumbri, reliability Engineering, Vol 1, n1, July, Sept
1980, p3
Atomic Energy Comission, Reactor safety study : an assessment of
Accident Risk in US Commercial Nuclear Power Plant, report nWASSH
1400, Atomic energy commission, Washington DC, 1975. Dit rapport
Ramussen .
Il existe plusieurs mthodes dvaluation de la fiabilit humaine. La plus connue
est la mthode THERP (Technique for Human Error Rate Prediction). Elle utilise
des tables de fiabilit de lindustrie nuclaire. La difficult rside dans
lextrapolation de ces valeurs un site industriel.
Un autre modle, le modle TESEO, consiste dcomposer une tche en
plusieurs tches unitaires. Pour chaque tche on value si la tche conduit une
situation accidentelle. Si cest le cas, une estimation de sa fiabilit est ralise
partir des paramtres dinfluence : nature de la tche, temps disponible pour la
raliser, formation de loprateur, stress gnr (gravit de laccident), facteurs
dergonomie (voir tables prsentes en annexe 6). Pour valuer la probabilit de
dfaillance de chaque opration, il faut multiplier les diffrents coefficients. Puis la
probabilit de la tche globale sen dduit en additionnant les probabilits de
chaque tche dangereuse.
Lutilisation dune probabilit de dfaillance concernant une barrire

organisationnelle doit donc intgrer ltude des paramtres dinfluence tels
quon peut les trouver dans les bases de donnes.
Page 90 sur 101
7.3 EXEMPLE DEVALUATION SEMI-QUANTITATIVE

L'INERIS a dvelopp une mthode d'valuation des barrires humaines, base
galement sur l'analyse des diffrents paramtres d'influence. L'utilisation des
donnes issues de l'valuation semi-quantitative est prcise dans le chapitre sur
les barrires techniques.
On note que d'autres mthodes existent mais qui ne sont pas dveloppes dans
ce rapport.
7.3.1 TACHES DE CONTROLE

Un NC maximal pour les barrires organisationnelles peut tre propos. Le NC de
la barrire peut tre ensuite tre modifi en fonction des paramtres :
conditions et environnement de travail favorable :
activit respectant le rythme circadien (jour-nuit),
environnement favorable (poste non soumis temprature
extrmes, intempries, etc),
accs et position au poste de travail favorable,
nature de lactivit (rptitive),
ergonomie du poste de travail :
conditions de visibilit ou luminosit, chaleur,
accs aux commandes et aux informations,
prsence des quipements ncessaires la tche et outils
adapts,
formation de loprateur et prsence doutils daide :
formation du personnel, habilitation,
procdures prsentes et lisibles, intgrant les pratiques des
oprateurs et les modifications doutils, intgrant les limites
dexploitation en scurit et les modes dgrads,
nature de la tche (simple ou complexe).
Page 91 sur 101
Ralisation par plusieurs acteurs successifs :

planification des tches,
utilisation dun protocole clair de communication et prsence de
bons outils de communication.
Si des critres ne sont pas satisfaits, le niveau de confiance doit tre rduit.
Si une tierce personne effectue un contrle (redondance), le NC peut tre

augment, sous rserve que soient assures les conditions suivantes :
Prsence de procdures ou tche simple,
Contrleur form,
Adaptation de la planification des tches par rapport au temps de
ralisation de lactivit.
Au terme de l'valuation, un NC est dtermin.
Note : Ce principe de dtermination du NC (ou indirectement de la probabilit de

dfaillance de l'homme) est utilisable pour valuer la frquence d'occurrence
d'une cause d'accident, lorsque l'erreur humaine est la cause de l'accident.
La probabilit de dfaillance dtermine est classiquement exprime en nombre
d'erreur par opration. Il est alors ncessaire de multiplier par le nombre
d'oprations annuelles pour valuer la frquence d'occurrence de la cause "erreur
humaine".
7.3.2 BARRIERES HUMAINES EN INTERVENTION (A LAPPEL)

Le principe dvaluation est le mme avec des facteurs de correction quelque peu
diffrents.
Un NC maximal pour les barrires lappel peut tre propos. Le niveau de
confiance de la barrire peut ensuite tre rduit en fonction des paramtres :
qualit du diagnostic :
qualit de linformation,
facilit du diagnostic (nombre de choix rduit).
Page 92 sur 101
Temps dintervention disponible :

Temps disponible par rapport la cintique de laccident,
Nature de la tche
enchanement prcis),
effectuer
(simples,
nombreuses.,
formation de loprateur et prsence doutils daide :

formation du personnel, entranement,
procdures prsentes et lisibles,
possibles et les actions raliser.
dcrivant
les
scnarios
Ralisation par plusieurs acteurs successifs :

Rle de chacun prcis,
Utilisation dun protocole clair de communication et prsence de
bons outils de communication.
Si des critres ne sont pas satisfaits, le NC doit tre rduit.
Usuellement des NC de 0 2 sont retenus sur ce type de barrires.
7.4 AUTRES BARRIERES ORGANISATIONNELLES

Ci-dessous sont donnes d'autres exemples de barrires organisationnelles dont
certaines sapparentent des barrires de contrle et dautres sapparentent des
barrires sur des erreurs de conception ou des risques naturels. Il n'est pas
propos de valeurs de probabilit de dfaillance, l'analyse de ce type de barrire
tant encore en cours de dveloppement l'INERIS. En revanche, des
paramtres influenant la probabilit de dfaillance sont proposs. Ils sont
complter par les paramtres indiqus aux paragraphes prcdents.
contrle de corrosion
Des inspections peuvent avoir lieu rgulirement sur les canalisations. La fiabilit
de l'opration dpendra de la nature des contrles, de la personne les ralisant
(formation), des procdures dcrivant les oprations, de la qualit du suivi des
recommandations issues de l'inspection.
Les inspections pourront porter sur des quipements et canalisations spcifiques
(appareils sous pression), des supports.
Page 93 sur 101
Il existe des mthodes danalyse des risques spcifiques (Risk Based Inspection)
pour optimiser linspection et la maintenance des quipements. Les oprations de
maintenance et dinspection sont dfinies selon une analyse statistique des
relevs dpaisseur pratiqus rgulirement et selon la nature du produit, la
prsence de zones sensibles (coudes par exemple), le suivi des paramtres
physiques de la substance (vitesse, temprature). Une telle approche permet
destimer la probabilit doccurrence dune perte de confinement par corrosion.
tude foudre
Une installation protge conformment aux recommandations dune tude foudre

sur le site constitue une barrire.
La norme NF C 17-100 donne des informations sur la protection possible des
sites. Elle dfinit galement des prescriptions en terme de frquence de contrle,
en fonction de lefficacit attendue des mesures prises.
Dautres documents pourraient tre utiles pour valuer le niveau de protection
dune installation existante, par exemple :
9 le cahier UIC Recommandation pour la protection des installations
industrielles contre les effets de la foudre et des surtensions .
9 le rapport GESIP Recommandations pour la protection contre la foudre
des installations ptrolires et ptrochimiques .
On pourra se rfrer au document INERIS Omega 3 (le risque foudre pour les
ICPE).
Mais lvaluation de lefficacit des dispositifs mis en uvre dpasse le cadre de
cette tude.
La probabilit de dfaillance de ces barrires de protection contre la foudre fera
intervenir la probabilit de dfaillance des barrires humaines (homme en
conception / installation) et techniques (barrires techniques mises en place). Il
est difficile ce jour de donner une estimation de la probabilit de dfaillance de la
barrire associe. En revanche, sans en quantifier la probabilit de dfaillance, il
sera intressant de se positionner qualitativement sur les principes qui rendent la
barrire fiable.
Le rapport DRA34 opration f de 2006 traitera du risque foudre.
Page 94 sur 101
tude sismique
Le principe serait le mme que pour la protection contre la foudre. L'approche

retenue pour la cause d'accident "sisme" est plutt dterministe, si bien que
l'estimation de la probabilit de dfaillance de la barrire associe n'est pas
ncessaire. En revanche, sans en quantifier la probabilit de dfaillance, il sera
intressant de prciser qualitativement les principes qui rendent la barrire fiable.
Le rapport DRA34 opration f de 2006 traitera du risque foudre.
Mise en scurit des installations sur le risque inondations.
Les installations peuvent tre conues pour ne pas gnrer de risque en cas
dinondations. La barrire au risque inondation est alors la conception sre des
installations.
Pour les phnomnes peu probables (rupture de barrage), la barrire peut
consister mettre en scurit le site avant larrive de linondation pour viter les
phnomnes accidentels.
Il pourra tre alors ncessaire d'estimer qualitativement les performances (y
compris temps de rponse et efficacit) des barrires en fonction de divers
paramtres :
temps disponible pour mettre le site en scurit (temps darrive de londe
en cas de rupture de barrage),
de la faon dont le site peut tre prvenu de loccurrence du phnomne,
des paramtres physiques attendus du phnomne (hauteur de londe,
vitesse de londe, dure du phnomne, etc),
des caractristiques des barrires en place sur le site.
L'valuation de la probabilit de dfaillance des barrires mriterait des tudes
complmentaires.
Barrires (ou lignes de dfense) relatives au risque de mauvaise

conception.
Les barrires associes une erreur de conception incluent les barrires

intervenant aux diffrentes tapes du projet : la conception (par le bureau dtude
ou lingnierie) en suivant les rgles de l'art, la ralisation par des entreprises et
personnes comptentes, la rception de linstallation. Une barrire importante sur
ce type de cause est l'preuve hydraulique ralise la mise en service d'une
installation.
L'estimation du niveau de confiance ncessite de s'interroger sur la comptence
des personnes intervenant (en conception, en ralisation, la rception),
l'existence de contrle interne ou externe, le suivi de procdures, etc.
Page 95 sur 101
8. REFERENCES
8.1 REFERENCES REGLEMENTAIRES
[1] Assemble Nationale Constitution du 4 octobre 1958 Onzime lgislature Rapport fait au nom de la Commission dEnqute sur la sret des installations
industrielles et des centres de recherche et sur la protection des personnes et
de lenvironnement en cas daccident industriel majeur
F. Loos et J.Y. Le Daut
[2] Council Directive 96/82/EC on the control of major-accident hazards involving
dangerous substances, 9 December 1996
[3] Arrt du 29 septembre 2005 modifiant larrt du 1000 mai 2000 modifi,
relatif la prvention des accidents majeurs impliquant des substances ou des
prparations dangereuses prsentes dans certaines catgories dinstallations
classes pour la protection de lenvironnement soumises autorisation
[4] Arrt du 29 septembre 2005, relatif l'valuation et la prise en compte de
la probabilit d'occurrence, de la cintique, de l'intensit des effets et de la
gravit des consquences des accidents potentiels dans les tudes de
dangers des installations classes soumises autorisation..
8.2 REFERENCES TECHNIQUES

[5] rapport INERIS DRA41 Appui technique pour la mise en uvre des
PPRT note de rflexion sur lestimation de la probabilit des scnarios
daccidents dans le cadre des PPRT exprimentaux du 18 juin 2004
[6] Rapport INERIS Omega 10 : valuation des barrires techniques de
scurit Nadine Ayrault Mars 2005
[7] Rapport INERIS DRA34 oprations b et c mthodes systmatiques de
dtermination densemble de scnarios et exigences pratiques en terme de
barrire de scurit - dcembre 2004
[8] Rapport INERIS DRA39 opration b3 - enqute au niveau europen
relative la prise en compte des barrires de scurit dans le cadre de la
matrise de lurbanisation mars 2006
[9] Rapport INERIS - PRESTATION POUR LADMINISTRATION avis sur
lutilisation des donnes quantifies du Purple Book C. Forest et V de
Dianous - paratre en avril 2006
[10] LOPA - Layer Of Protection Analysis, simplified process risk assessment,
CCPS, 2001
Page 97 sur 101
[11]
rapport HSE : Safety Report Assessment Guide (chlore et GPL).
[12] PCAG 6K (Planning Case Assessment Guide), HSE, Aot 2004 - Layer Of
Protection Analysis, simplified process risk assessment, CCPS, 2001
[13] Purple Book Committee for the Prevention of Disasters - Guidelines for
quantitative risk assessment CPR18 1999
[14] LPG, a study. A comparative analysis of the risk inherent in the storage,
transshipment, transport and use of LPG and motor spirit. Netherlands
Organization for Applied Scientific research, TNO, Division of technology for
Society, Apeldoorn, May 1983
[15]
ARAMIS projet europen site internet : aramis.jrc.it
[16]
OREDA, offshore Reliability Data, third edition, 1997
[17]
EIReDA, European Industry reliability Data Bank, 1998
[18]
NPRD 95 - 1995
[19] Sret de fonctionnement des systmes industriels, Fiabilit Facteurs

humains Informatisation, Alain Villemeur, 1998
[20]
Normes de sret de fonctionnement, CEI EN 61508 et CEI EN 61511
[21]
Jacques Libman, lments de sret nuclaire
[22] IPSN, Services techniques d'analyse de sret, Services d'analyse des

sites, des accidents et du confinement "Pratique de l'valuation du risque
arien pour une installation nuclaire ou industrielle", Jean Faure, dcembre
1986.
8.3 REFERENCES PROPRES AU PROJET ARAMIS

[23] Purple Book Committee for the Prevention of Disasters - Guidelines for
quantitative risk assessment CPR18 - 1999.
[24] M. Th Logtenberg, TNO-report, TNO-MEP-R 98/501 Derivation of failure
frequencies for LOC cases december 1998
[25] P.A.M Uijt de Haag, GMH Laheij, JG post, BJM Ale, LJ bellamy, RIVM
Report 610066014, A method to judge the internal risk of establishments with
dangerous substances, August 2001
[26] IPO A73. handleiding voor het opstellen en beoordelen van een extern
veiligheidsrapport. IPO Project A73. The Hague : IPO, 1994. Committee for the
Prevention of Disasters, Risk Evaluation. Publication R-95-1; Tekstwijzigingen
op de IPO A73. the Hague : Ministry of Housing, Spatial Planning and the
Environment, 1996
Page 98 sur 101
[27] Handboek Kanscijfers, Ministerie van de Vlaamse Gemeenschap,

Departement Leefmilieu en Infranstructuur, AMINAL, Brussel, 1994
[28] Canvey : an investigation of potential hazards from operations in the
Canvey Island/Thurrock area. Health and Safaty Executive, HSMO, 1978
[29] LPG, a study. A comparative analysis of the risk inherent in the storage,
transshipment, transport and use of LPG and motor spirit. Netherlands
Organization for Applied Scientific research, TNO, Division of technology for
Society, Apeldoorn, May 1983
[30] Andr Lannoy, analyse des explosions air-hydrocarbure en milieu libre.
Etude dterministe et probabiliste du scnario d'accident, prvision des effets
de surpression. Electricit de France, Direction des Etudes et Recherches,
1984
[31] S. Carol, JA Vilchez, J casal, Using major Hazard database systems to
develop event trees for flammable materials. Universitat Politecnica de
Calalunya, CERTEC, Barcelona
[32] Franck P Lees, Loss Prevention in the Process Industries. Second Edition,
1996.
[33] COVO Commission. Risk analysis of six potentially hazardous industrial
objects in the Rijnmond Area, a pilot study. A report to the Rijnmond public
Authority Schiedam. Central Environment Control Agency Rijnmond, 1981
Page 99 sur 101
9. LISTE DES ANNEXES
Annexe
Dsignation
Nombre
de pages
Annexe 1
Donnes sur les causes
Annexe 2
Probabilits d'inflammation
10
Annexe 3
Ractivit des gaz
Annexe 4
Donnes sur les barrires techniques
Annexe 5
Elments de calcul des probabilits de dfaillance
Annexe 6
Donnes sur les barrires humaines
Page 101 sur 101
ANNEXE 1 :
Donnes sur les causes
Annexe 1 : donnes sur les causes
Frquence doccurrence par an

TYPE DE CAUSES
LOPA
(1)
HSE (2)(3)
INERIS
(4)
DRA41
1.10-7
Dpend contexte
local
10-6 10-7
Sisme : Dpend
contexte local
CAUSES NATURELLES
10-3 10-4
1.10-3
foudre
Tremblement de terre pouvant entraner rupture

de canalisations
Inondation
Dpend contexte
local
CAUSES EXTERNES
Sabotage, terrorisme
Pas possible de
donner des valeurs
Chute davions
F4
10-5<P<10-4
CAUSES INTERNES
Causes internes gnriques
Dfaillance
pression
rsiduelle
dun
rservoir
sous
10-5 10-7
1.10-6
3.10-6
Rupture catastrophique de rservoirs

Dfaillance rservoir atmosphrique
10-3 10-5
1.10-3
Dfaillance de canalisation 100 m rupture

guillotine
10-5 10-6
1.10-5
Fuite sur canalisation

quivalente) 100 m
10-3 10-4
1.10-3
(10%
de
Enlvement joint ou garniture
1.10-5
section
10-2 10-6
1.10-2
F2
10-3<P<10-2
Dfaillance flexible (d)chargement
F1
10-2<P<10-1
Feu de garniture
2.10-4/ quip.an
Fente priphrique sans inflammation
3.10-4/ quip.an
Fente priphrique avec explosion
<3.10-5/
quip.an
1/2
Intervention externe
10-2 10-4
1.10-2
F3
-4
-3
10 <P<10
10-3 10-4/ op.

levage
1.10-4/op. levage
F2
10-3<P<10-2
Feu externe de faible ampleur
10-1 10-2
1.10-1
F1
10-2<P<10-1
Feu externe de grande ampleur
10-2 10-3
1.10-2
F2
10-3<P<10-2
Intervention dun tiers (impact par vhicule, etc)
Chute de grue
Causes internes procd

Survitesse sur moteur ou turbine entranant
brche dans le casing
10-3 10-4
1.10-4
Ouverture intempestive dune soupape
10-2 10-4
1.10-2
Dfaillance du circuit de refroidissement eau
10-1 10-2
1.10-1
Perte gnrale dutilit
F1
10-2<P<10-1
Dfaillance boucle du BPCS (Basic Process

Control System)
1 10-2
1.10-1
F1
-2
-1
10 <P<10
Dfaillance rgulateur
1 10-1
1.10-1
F1
-2
-1
10 <P<10
Dfaillance dun capteur de niveau
50.10-6/h
Dfaillance dun capteur de dbit
40.10-6/h
Dfaillance dans procdure LOTO
10-3 10-4
/opration
-3
1.10 /opration
ERREUR HUMAINE
Erreur oprateur (procdure de routine, bien
entran, sans stress ni fatigue)
Erreur opratoire
10-1 10-3
/opration
1.10-2 /opration
F2
10-3<P<10-2
(1)
: la premire ligne est un intervalle issu de la littrature ; le deuxime est un exemple de chiffre
retenu par une entreprise pour application du LOPA.
(2)
: extrait du HSE : Safety Report Assessment Guide (chlore et GPL).
(3)
: extrait du HSE : Planning Case Assessment Guide.
(4)
: rapport INERIS DRA41 Appui technique pour la mise en uvre des PPRT note de
rflexion sur lestimation de la probabilit des scnarios daccidents dans le cadre des PPRT
exprimentaux du 18 juin 2004.
2/2
ANNEXE 2 :
Probabilits d'inflammation
Annexe 2 : Probabilits d'inflammation
1.
INTRODUCTION
Les donnes prsentes dans cette annexe reprennent les rsultats de l'tude
bibliographique ralise par l'Universit de Mons en 2003/2004 dans le cadre du
projet europen ARAMIS concernant les probabilits "intermdiaires" intervenant
dans les arbres d'vnements des substances inflammables :
Probabilit dinflammation immdiate ;
Probabilit dinflammation diffre
Probabilit de VCE.
Les sources bibliographiques tudies dans le cadre du projet ARAMIS sont :
le Purple Book[1];
le HSE, Canvey Report,
le SAI Study (Canvey Report),
MHIDAS
LEES.
2.
INFLAMMATION IMMEDIATE DUN LIQUIDE
Pour une installation fixe (source Purple Book) :

K1-liquide
1000 kg
0,065
Rejet continu de 10
10000 kg
0,065
Rejet continu > 100

de > 10000 kg
0,065
Note : le rejet instantan correspond au cas de rupture catastrophique

Pour des units de transports au sein d'un tablissement (source Purple Book)
pas de distinction entre liquide et gaz) :
Probabilit
dinflammation
Rf. : INERIS DRA 46036 2005 DRA34 opration j - Partie 2 : donnes quantifies
Annexe 2 : probabilits d'inflammation
page 1/10
immdiate
Camion : fuite continue
0,1
Camion : rejet instantan
0,4
Wagon : fuite continue
0,1
Wagon : rejet instantan
0,8
En fonction de la substance (source LEES) : il est suppos labsence de source

vidente dinflammation et la protection anti-explosion des dispositifs lectriques.
Probabilit
dinflammation
immdiate
Liquide
inflammable
avec
flashpoint < 43C ou avec
temprature > point dbullition
0,01
Liquide
inflammable
flashpoint de 38 93C
0,001
avec
Pour un liquide (source Canvey report)

Probabilit
dinflammation
Fuite mineure (< 1 kg/s)
0,01
Fuite majeure (1-50 kg/s)
0,03
Massive (> 50 kg/s)
0,08
Selon la source dinflammation (source HSE canvey Report) pas de distinction

liquide / gaz :
Probabilit
dinflammation
immdiate
Pas de source identifie (exemple
du dbordement dun rservoir
inflammable dans une cuvette)
0,1
Trs peu de source dignition :

large rejet de gaz liqufi sous
pression aprs une rupture
catastrophique of a tank farm
0,2
Peu de source dinflammation :

rejet dun matriau inflammable
prs doprations discontinues
(fuite dun rservoir de GPL
0,5
page 2/10
auprs de postes de transfert

camion ou route)
Beaucoup
de
sources
dinflammation : rejet prs dune
unit industrielle ou rejet du une
explosion ou un feu proximit
0,9
Selon le MHIDAS, pour des liquides, la probabilit dinflammation immdiate est

de 0,74. Selon lactivit:
activit
Probabilit
dinflammation
procd
0,85
stockage
0,73
Transfert
(chargement
dchargement)
0,67
Il est propos dans ARAMIS de tenir compte de trois critres pour valuer la
probabilit dinflammation immdiate dun liquide :
de la nature anti-explosion des installations (mise la terre, ATEX, etc) ;
de la prsence dune cuvette de rtention (qui doit permettre de limiter la
taille de la fuite et donc de rduire la possibilit de mise en prsence
dune source dinflammation) ;
de la prsence de barrires de prvention (respect des zones
dinterdiction de feu, injection de mousse).
Si tous ces paramtres sont prsents, alors on peut envisager dattribuer des
probabilits dinflammation immdiate faibles, en fonction de linflammabilit de la
substance :
substance
Probabilit
dinflammation
immdiate
Inflammable
(flashpoint
21C et 55C)
entre
0,01
(flashpoint
0,1
Extrmement
Inflammable
(flashpoint infrieur 0,1)
0,1
Trs
Inflammable
infrieur 21C)
Si un des trois critres nest pas assur, alors la probabilit dinflammation

augmente. ARAMIS propose de retenir une valeur en fonction de la nature des
activits :
activit
Probabilit
page 3/10
dinflammation
immdiate
Procd
0,9
Stockage
0,7
Transfert
(chargement
dchargement)
0,7
Si aucun des trois critres nest assur, alors la probabilit dinflammation sera
maximale. ARAMIS propose une probabilit dinflammation immdiate de 0,9.
Dautre part, si la cause de lvnement redout central est elle-mme une source
dinflammation, il faudra retenir une probabilit dinflammation immdiate de 1.
3.
INFLAMMATION IMMEDIATE DUN GAZ
Pour une installation fixe (source Purple Book) :

Gaz peu ractif
Gaz moyennement ou
trs ractif (note 1)

1000 kg
0,02
0,2
Rejet continu de 10
10000 kg
0,04
0,5
Rejet continu > 100

de > 10000 kg
0,09
0,7
Note 1 : les gaz sont classs en fonction de leur ractivit. Voir tableau en
annexe 3
Pour des units de transports dans une installation (source Purple Book) pas de
distinction gaz liquide :
Probabilit
dinflammation
immdiate
Camion : fuite continue
0,1
Camion : rejet instantan
0,4
Wagon : fuite continue
0,1
page 4/10
Wagon : rejet instantan
0,8
Pour un gaz (source Canvey report)

Probabilit
dinflammation
Fuite mineure (< 1 kg/s)
0,01
Fuite majeure (1-50 kg/s)
0,07
Massive (> 50 kg/s)
0,3
Selon Wilson (Canvey Report) : la probabilit dinflammation dun nuage dun

rayon mesurant une centaine de mtres est infrieur 0,8
Selon la source dinflammation (source HSE canvey Report) pas de distinction
gaz / liquide :
Probabilit
dinflammation
immdiate
Pas de source identifie (exemple
du dbordement dun rservoir
inflammable dans une cuvette)
0,1
Trs peu de source dignition :

large rejet de gaz liqufi sous
pression aprs une rupture
catastrophique of a tank farm
0,2
Peu de source dinflammation :

rejet dun matriau inflammable
prs doprations discontinues
(fuite dun rservoir de GPL
auprs de postes de transfert
camion ou route)
0,5
Beaucoup
de
sources
dinflammation : rejet prs dune
unit industrielle ou rejet du une
explosion ou un feu proximit
0,9
Selon le MHIDAS, pour des liquides, la probabilit dinflammation immdiate est

de 0,74.
Selon lactivit (source LEES) :
activit
Probabilit
dinflammation
page 5/10
immdiate
procd
0,85
stockage
0,73
Transfert
(chargement
dchargement)
0,67
En fonction de la direction du jet (source Software SAFETI):

Direction du jet
Probabilit
dinflammation
immdiate
horizontal
0,4
vertical
0,2
ARAMIS propose de retenir les probabilits dfinies par le Purple Book :

Gaz peu ractif
Gaz moyennement ou
trs ractif (note 1)

1000 kg
0,02
0,2
Rejet continu de 10
10000 kg
0,04
0,5
Wagon :
instantan
0,09
0,7
rejet
Note 1 : les gaz sont classs en fonction de leur ractivit. Voir tableau en
annexe 3
Lestimation de la probabilit dinflammation dpendra :
de la ractivit de la substance,
de la prsence de source dinflammation (barrires de prvention et
dispositifs anti-explosion),
de la nature de la cause, celle-ci pouvant tre elle-mme source
dinflammation.
3.1.1.1
INFLAMMATION DIFFEREE DUN GAZ
Selon lenvironnement (source IPO) :

environnement
Probabilit
dinflammation
page 6/10
diffre
Site industriel
0,9
procd
0,5
Route avec
vhicules/h
moins
de
50
0,5
Route avec plus de 50 vhicules/h
Selon lenvironnement (source Canvey Report) :

Pour un nuage en transit :
environnement
Probabilit
dinflammation
Paysage (open land)
Site industriel
0,9
Pour un nuage sur des zones peuples :

Nature de linflammation
Probabilit
dinflammation
Inflammation se produit quand le

nuage atteint les zones peuples
0,7
Inflammation se produit quand le

nuage est dj dans les zones
peuples
0,2
Non inflammation
0,1
Selon lactivit (source MHIDAS) pas de distinction gaz / liquide :

activit
Probabilit
dinflammation
procd
0,85
stockage
0,73
Transfert
(chargement
dchargement)
0,67
Pour le GPL (source LPG study) :

Probabilit
dinflammation
Nuage drivant atteignant une
source dinflammation (bord du
nuage = LIE)
0,5
page 7/10
Sur la base de la recherche bibliographique, ARAMIS propose de retenir les

valeurs dans le tableau ci-dessous pour les probabilits dinflammation diffre.
Probabilit
dinflammation
Units de combustion
Locaux techniques
Locaux non quips de dispositifs

anti-explosion
Zone dutilits (pompes,

compresseurs, ventilateurs)
0,5
0,1
sur toute la zone

Zone dhabitation
Site en construction
Environnement industriel
0,9
Units procd
0,8
0,1
sur toute la zone

Units de stockage
0,5
0,1
sur toute la zone

Zones de transfert
1
Jour
Nuit
Camions
0,7
Wagons
0,6
Bateaux
0,6
Jour
Nuit
Travail 1 quipe
0,4
0,1
Travail 2 quipes
0,8
0,2
Zones de manuvre et de
stationnement de vhicules
moteur
page 8/10
Travail 3 quipes
Route
Jour
Nuit
0,2
0,6
0,1
Jour
Nuit
0,6
0,1
De plus de 2 voies
De petite taille
Voies ferres et tramway
Il faut noter que lestimation de la probabilit dinflammation diffre dpend de

lvaluation de la taille du nuage et des sources dinflammation potentielles dans
ce nuage. La taille du nuage dpend de la quantit de gaz rejete, des conditions
mtorologiques, de la direction du vent.
3.1.1.2
EXPLOSION DUN NUAGE DE GAZ (VCE)
La recherche bibliographique mene dans le cadre du projet ARAMIS a

conduit aux valeurs suivantes :
Selon lencombrement (source Rijnmond report):

Probabilit de
VCE
Faible encombrement
0,1
Encombrement moyen
0,5
Fort encombrement
2/3
Selon le produit (GPL) (LPG study) :

Probabilit
donde de
pression suite
inflammation
GPL (source : base daccidents)
2/3
Selon la quantit :
taille de la fuite
Probabilit de
VCE aprs
inflammation
Faible (< 1 kg/s)
0,025
majeure (de 1 50 kg/s)
0,12
Massive (> 50 kg/s)
0,25
page 9/10
Selon le logiciel SAFETI : valeur par dfaut de la probabilit de VCE : 0,4

ARAMIS propose de retenir le critre dencombrement comme dterminant et
retient les probabilits de VCE en fonction de l'encombrement :
Probabilit de
VCE
Faible encombrement
0,1
Encombrement moyen
0,5
Fort encombrement
2/3
Dautre part, le Purple Book prcise que pour lexplosion dun nuage de gaz, les
deux phnomnes VCE et flashfire doivent tre modliss en adoptant des
probabilits chacun des deux phnomnes :
VCE
0,4
flashfire
0,6
page 10/10
ANNEXE 3 :
Ractivit des gaz
Annexe 3 : Ractivits des gaz
1.
INTRODUCTION
Le purple Book prsente des probabilits d'inflammation variables en fonction de

la ractivit des gaz.
Le tableau de ractivit prsent ci-dessous est extrait du Purple Book.
2.
TABLEAU DE REACTIVITE DES GAZ
Annexe 3 : ractivit des gaz
page 1/1
ANNEXE 4 :
Donnes sur les barrires techniques
Annexe 4 : Donnes sur les barrires techniques
1.
INTRODUCTION
Le tableau prsente ci-dessous reprend les lments de fiabilit donns par

diffrentes bases de donnes.
Pour plus de renseignements, le lecteur devra se reporter aux diffrentes bases
concernant notamment la nature des dfaillances, les conditions de collecte de
donnes, etc.
Deux types de donnes sont prsents dans le tableau ci-dessous :
-
la probabilit de dfaillance la sollicitation (PFD) cas des bases LOPA,

PCAG et Purple Book;
le taux de dfaillance, exprim en taux l'heure ou l'anne. Pour

dterminer la probabilit de dfaillance du dispositif, une priode de rfrence
est ensuite ncessaire (priodicit des tests et remises niveau dans le cas
des barrires la sollicitation).
2.
TABLEAU RELATIF AUX BARRIERES DE SECURITE
Voir pages suivantes
Annexe 4 : donnes sur les barrires techniques
page 1/7
Probabilit de dfaillance
la sollicitation (PFD)
TYPE
BARRIERES
DE
PCAG
LOPA
(1)
Taux de
dfaillan
ce (/an)
(4) (5)
-6
Taux de dfaillance (.10 /heure)
Facteur
environne
ment
EIReDA
(2) (3)
ou Purple
()
Book
LEES
OREDA
(6)
OREDA
(6b)
EIReDA
(7)
Autres
(8)
annexe 6
(valeurs
gnriques)
BARRIERES
TECHNIQUES
Soupapes
et
disque de rupture
Soupape
scurit
de
-1
10 10
1.10
-5
29,4
0,2 - 26
Soupape
de
scurit sur eau
Soupapes
(type
loading)
-2
vapeur
spring
2,0
0,11 1,6
1,3 2,9
(EIReDA
autres
sources)
0,37
0,7 10,1
2,5
0,18 0,53
(EIReDA
autres
sources)
(vapeur)
0,3 10
33,1
(hydrocarbur
e gazeux))
Soupapes vapeur
(assist vapeur)
Disque de rupture
-1
10 10
1.10
2,3
0,64 1,67
1,7 3,1
(EIReDA
autres
sources)
Moyennes
0,04 30
-5
-2
contrle
BPCS
Process
System)
(Basic
Control
Safety
Instrumented
Functions
-1
10 10
1.10
-2
-1
Voir
CEI61508 et
61511
vannes
Dfaillance dune
scurit disolement
(non
fermeture
dune vanne sur
dtection
automatique
action commande
par oprateur)
Dfaillance dune
scurit disolement
(non
fermeture
dune vanne sur
dtection
automatique
action automatique)
Dfaillance dune
vanne dexcs de
dbit
(non
fermeture)
PCAG :
-2
3.10
Purple :
-2
1.10
PCAG :
-2
1.10
Purple :
-3
1.10
PCAG :
-2
1,3.10
si test
annuel
Clapet anti-retour
page 2/7
1,3
de 0,4 1,3
(eau et
vapeur)
(eau et
vapeur)
1,0 1,4
(eau)
(EIReDA
autres
sources)
19,6
0,006 19,6
(vapeur)
Vanne manuelle
0,08
0,03 0,18
Vanne disolement
pneumatique
0,03 100
(EIReDA
autres
sources)
3
0,004 - 6
17,0
77,0
0,26
(tout
type)
(tout type)
(air)
0,1 - 42
valeurs
donnes
aussi par
type de
vanne et
dutilisation
valeurs
donnes
aussi par
type de
vanne et
dutilisatio
n
boule : 9- boule :
191
47
papillon :
15-37
(peu de
vannes)
12-
papillon : 19171 (peu de

vannes)
passage
direct :
passage
direct : 4- globe :
261
boisseau
globe : 3- conique :
42
boisseau
conique :
30
0,12 3,1
(vapeur)
0,17
(EIReDA
autres
sources)
0,03 0,37
(air)
1,1
0,83 1,4
(vapeur)
Moyennes
de 0,2
1,44
(sur eau)
Vanne disolement
hydraulique
50
-
Vanne disolement
lectrique
Vanne de contrle
0,06 4,5
(EIReDA
autres
sources)
0,6
2
ESD/PSD
: 8 30
Moyennes
de 1,75
4,2
(sur eau)
Valve positionner
0,1 44
(donnes
aussi en
fonction du
type de
vannes)
(donnes en
fonction du
type de
vannes)
valeurs
donnes
aussi par
type de
vanne et
dutilisatio
n
Vanne de contrle
pneumatique
12
0,03 230
(EIReDA
autres
sources)
(donnes en
fonction du
type de
vannes)
0,4
1
Vanne solnoid
0,42
1
Dispositifs
gnraux
page 3/7
Relais
lectromagntiques
Electrovanne
Instruments
relatifs
pression
0,31
0,16 3
0,28
0,13 0,53
(EIReDA
autres
sources)
0,2 3,8
1,0
0,45
0,6 1,35
(EIReDA
autres
sources)
la
Transmetteur
pression
de
Capteur
pression
de
0,49
0,8
1
1,3
Mesure de pression
Capteur
transmetteur
pression
1,41
2,8
0,6 2,0
et
Pressostat
2,8
1,7
0,61 2,6
1,2 2,1
(EIReDA
autres
sources)
2,8 + 0,8
0,34
2
Instruments
relatifs au dbit
Mesure de
(fluide) :
dbit
Capteur de dbit
1,14
3
-6
40.10 /h
2,8
Diffrentiel de
pression
1,73
Transmetteur
Mesure de dbit
1,01
Indicateur Mesure
de dbit
0,34
Dbitmtre
magntique
2,18
2,7
3
45
3
30
Capteur
et
transmetteur dbit
Contacteur de dbit
1 2,3
1,5 2,3
(EIReDA
autres
sources)
2,7 + 45
1,12
-
Instruments
relatifs au niveau
Mesure de niveau :
Capteur de niveau
-6
50.10 /h
6,3
Diffrentiel de
pression
1,71
Flotteur
1,64
1,2
4
Capacitif
0,22
4
Mesure de
2,36
page 4/7
conductivit
transmetteur
Capteur
transmetteur
niveau
et
de
Indicateur
niveau
de
Instruments
relatifs
temprature
2,1
1,0
0,61 3,2
0,8 1,3
(EIReDA
autres
sources)
1,2 + 2,1
20
la
Capteur
transmetteur
temprature
et
de
Capteur
temprature
de
Indicateur
temprature
de
0,53
0,25 4,7
0,4 0,7
(EIReDA
autres
sources)
0,8 + 1 ;5
0,8
0,25 3,4
10
Dtecteurs
Dtecteur flamme
1,69
3
7,4 9
selon le
type (IR,
UV ou
UV/IR)
7,4 (IR/UV)
48,8 (UV)
selon le type
(IR, UV ou
UV/IR)
Dtecteur fumes
1,8 4,3
2,1 4,6
Dtecteur chaleur
1,3 4,2
2,3 7,1
5,3
(catalytiq
ue)
31,1
(catalytique)
Analyseur de CO2
10,5
-
Analyseur de HC
81,6 (IR)
(peu de
donnes)
Analyseur de H2
310,0 (IR)
(peu de
donnes)
0,99
-
Analyseur H2S
3,3
3,3
Echantillonnage (uniquement pour LEES) : rajouter aux valeurs des instruments

Echantillonnage
impulsion
0,77
3
Donnes
lectriques
Batteries nickel
cadmium
1,2
0,26 10
0,7 1,7
(EIReDA
autres
sources)
4,0
0,08 10
3,0 5,0
(EIReDA
autres
sources)
Tableaux
lectriques CC (30
230 V)
Moyennes
de 0,27
0,62
0,3 1,3
Tableaux
lectriques AC (220
Moyennes
de 0,67
Batteries plomb
(EIReDA
autres
sources)
0,17 1,8
(EIReDA
page 5/7
V 6,6 kV)
Moteurs lectriques
Moteurs Diesel
0,76
autres
sources)
Moyennes
de 2,2 5,7
selon le
moteur
0,9 146
3,35 3,45
(EIReDA
autres
sources)
2,3 4,5
Moyennes
de 200
3122
19 9533
200 5900
(EIReDA
autres
sources)
selon la
nature du
Diesel
BARRIERES
PASSIVES
Cuvette
rtention
de
-2
10 10
1.10
-2
-2
Systme
de
drainage (collecte
des pandages)
10 10
Ouverture
(sans
vanne)
pour
prvenir
les
surpressions
10 10
Dispositifs coupefeu, ignifugeage
10 10
Murs
antiexplosion, bunkers
10 10
Design sr de
faon inhrente
(exemple : pression
design > pression
maxi possible)
10 10
Arrte -flammes et
dtonations
1.10
-3
-3
-1
1.10
-3
-2
-2
1.10
-3
-2
-2
1.10
-3
-2
-2
1.10
-3
-6
-2
(parfois peut
liminer le
scnario)
-1
10 10
1.10
-3
-2
(parfois peut
liminer le
scnario)
BARRIERES
HUMAINES
Erreur
oprateur
(procdure
de
routine,
bien
entrain,
sans
stress ni fatigue)
-1
-3
10 10
/opration
-2
1.10
/opration
Action humaine sur

sollicitation
Action humaine
raliser dans un
temps
de
10
minutes
(action
simple avec vision
claire que laction
doit tre effectue)
1 10
1.10
-1
-1
-1
Rponse humaine 10 ou moins

une indication
-1
1.10
alarme
ou
indicateur)
raliser dans un
temps
de
40
minutes
(action
simple avec vision
claire que laction
doit tre effectue)
Action humaine
-1
10 10
-2
page 6/7
raliser dans un
temps
de
40
minutes
(action
simple avec vision
claire que laction
doit tre effectue)
1.10
-1
(1)
: la premire ligne est un intervalle issu de la littrature ; le deuxime est un chiffre retenu par une entreprise pour application du LOPA
(2)
: extrait du HSE : Safety Report Assessment Guide (chlore , GPL et autres selon source ARAMIS)
(3)
: extrait du HSE : Planning Case Assessment Guide
(4)
: les taux de dfaillance sont issus de donnes brutes dobservation sur trois sites chimiques. Un facteur denvironnement est prendre
en compte pour tenir compte de lenvironnement (notamment lagressivit / propret de la substance). Lees recommande de diviser la taux
de dfaillance par le facteur denvironnement pour obtenir une donne de rfrence, correspondant donc aux conditions idales (sans
agressivit, sans corrosion, etc).
(5)
: pour avoir les taux de dfaillance sur un site, il est ncessaire de rajouter aux valeurs de chaque composant, le taux de dfaillance de
limpulsion/chantillonnage, soit 0,77/an, avec un facteur denvironnement de 3.
(6)
: il sagit du taux de dfaillance critique (le taux de dfaillances dgrades ou latentes ne sont pas prciss dans le tableau) ; la prise en
compte de celles-ci conduirait augmenter le taux de dfaillance total. C'est la valeur moyenne.
(6b)
: il sagit du taux de dfaillance total (intgrant les taux de dfaillances dgrades). C'est la valeur moyenne.
(7)
: les taux de dfaillance correspondent des dfaillances critiques. Elles incluent les donnes de 1978 1993. Lintervalle correspondant
niveau de confiance de 90%, 80% ou 60%.
(8)
: pour lEIReDA , les autres sources correspondant des valeurs donnes soit par EDF (1995), IEEE, T-Book3 ou RRA. Les taux retenus
sont seulement les critiques.
page 7/7
ANNEXE 5 :
Elments de calcul des probabilits
de dfaillances
Annexe 5 : Elments de calcul des probabilits de dfaillances
1.
INTRODUCTION
L'objet de cette annexe est de prsenter des lments de calcul des probabilits
de dfaillance des barrires de scurit.
L'annexe se dcompose en deux parties :
1- rappel des dfinitions
2- lments pratiques
L'estimation de la probabilit de dfaillance de dispositifs partir de chiffres issus
de bases de donnes est une opration de spcialistes de la sret de
fonctionnement. L'objet de cette annexe est de fournir quelques lments
permettant d'estimer de faon approche la probabilit de dfaillance ou au moins
de pouvoir porter un avis critique sur des calculs effectus dans le cadre d'tudes
de dangers.
2.
DEFINITIONS
Les paramtres suivants interviennent dans la caractrisation dune barrire de

scurit :
le taux de dfaillance en fonctionnement : cest la probabilit pour quune
entit, qui a fonctionn pendant le temps t, soit dfaillante au cours de lunit
de temps qui suit.
On retient souvent lhypothse du taux de dfaillance constant. Cette
hypothse est valable en dehors des priodes de dbut de vie de lentit ou de
fin de vie (ou la taux de dfaillance augmente). On peut alors estimer le taux
de dfaillance par :
Nombre de dfaillances observes en fonctionnement

dure cumule de fonctionnement
Le taux de dfaillances est exprim en nombre par unit de temps. La

rfrence de temps est souvent dans les bases de donnes lheure.
le MTBF (Mean Time Between Failure): cest la dure moyenne entre deux
dfaillances conscutives dune entit rpare. La dure moyenne
dindisponibilit et la dure de rparation tant gnralement faibles devant la
dure de fonctionnement, on a :
MTBF =
Si l'entit est identique aprs rparation, on alors MTBF ~ MTTF, o le

MTTF (Mean Time To failure) est le temps moyen de fonctionnement avant
la premire dfaillance.
Annexe 5 : lments de calcul des probabilits de dfaillance
page 1/9
le taux de dfaillance la sollicitation : cest la probabilit pour quune

entit refuse de changer dtat lorsque cela lui est demand sous forme dune
sollicitation. Pour un taux suppos constant, on peut estimer le taux de
dfaillance la sollicitation par :
Nombre de dfaillances observes la sollicitation

nombre de sollicitations
le MTTR (Mean Time To Repair) : cest la dure moyenne de rparation.
3.
PROBABILITE DE DEFAILLANCE POUR UN DISPOSITIF A
FONCTIONNEMENT CONTINU
3.1
PRINCIPE
Pour estimer les probabilits de dfaillance des barrires partir des donnes
(gnralement le taux de dfaillance en fonctionnement), on utilise souvent une loi
exponentielle qui est valable pour tous les composants lorsqu'on peut considrer
que le taux de dfaillance est constant. Ainsi, cette loi ne s'applique pas aux
composants jeunes (pour lesquels des dfaillances prcoces sont possibles) et
aux composants vieux (pour lesquels des dfaillances dusure plus frquentes
sont observes).
Les fiabilits R (t) et probabilit de dfaillance P(t) sont alors :
R (t ) = e- t P(t ) = 1 e- t
note : la probabilit de dfaillance est appele dfiabilit en sret de
fonctionnement.
Gnralement on a : .t <<1 (soit temps de rfrence << MTBF), si bien que la
probabilit de dfaillance peut scrire :
P (t ) = .t
3.2
TEMPS DE REFERENCE A PRENDRE EN COMPTE
Une question importante rside alors dans le choix de la priode de

fonctionnement : priode de rfrence (anne) pour laquelle on cherche
estimer la probabilit de dfaillance ou priode de remise niveau de la
barrire (maintenance) ?
Lorsquon sintresse la probabilit de dfaillance dune barrire pour la prendre
en compte dans les arbres de causes et dvnements, on doit prendre en compte
la probabilit minimale de la barrire. Cette dmarche permet dtre conservateur.
La probabilit de dfaillance augmente avec le temps moins de remettre
niveau rgulirement la barrire. Ainsi, si une barrire nest jamais remise
niveau, sa probabilit de dfaillance atteint une valeur asymptotique de 1. Si, au
contraire, la barrire est remise rgulirement niveau, sa probabilit de
page 2/9
dfaillance atteint une valeur minimale qui nest plus de 1, mais qui correspond
la probabilit de dfaillance au temps T correspondant la priode de remise
niveau de la barrire (tests et maintenance).
On doit donc prendre comme rfrence de temps dans les calculs de
probabilit de dfaillance, la dure entre deux remises niveau de la
barrire. Pour que la probabilit de dfaillance soit infrieure 10-1, il faut
que la priode entre deux remises niveau nexcde pas 10% du MTBF.
3.3
EXEMPLES ET ILLUSTRATIONS
Les figures ci-dessous illustrent la variation de la probabilit de dfaillance en

fonction de la priodicit de la remise niveau dune barrire. La probabilit de
dfaillance est calcule de faon simplifie ( P (t ) = .t ) ou selon la loi exponentielle
( P(t ) = 1 e - t )
Il est suppos une barrire avec un taux de dfaillance de 30.10-6/heure. Son
MTBF est alors de 1/(30.10-3 x 8760) soit 3,8 ans.
En labsence de remise niveau de la barrire, la probabilit de dfaillance tend
vers 1.
probabilit de dfaillance
barrire sans remise niveau des performances
1,0E+00
loi simplifie
8,0E-01
probabilit
loi exponentielle
6,0E-01
4,0E-01
2,0E-01
0,0E+00
0
10000
20000
30000
40000
50000
60000
70000
temps (heures)
On note que :
la formule simplifie P = .t nest valable que lorsque le temps de rfrence est
trs infrieur au MTBF.
La probabilit est infrieure 10-1 que lorsque la priode de rfrence est
infrieure 10% du MTBF.
Si on devait considrer une probabilit de dfaillance dune telle barrire, on
prendrait donc 1, ce qui revient dire que la barrire ne peut pas tre retenue
pour la rduction du risque.
page 3/9
barrire avec remise niveau des performances 1 fois/an
1,0E+00
8,0E-01
proba
6,0E-01
4,0E-01
loi simplifie
loi exponentielle
2,0E-01
0,0E+00
0
10000
20000
30000
40000
50000
60000
70000
-2,0E-01
tem ps t
Lorsque la barrire est remise niveau tous les ans, la probabilit de dfaillance
est maximale avant lopration de remise niveau. La valeur maximale est alors
celle de la probabilit de dfaillance de la barrire au temps T correspondant la
remise niveau de la barrire.
barrire avec remise niveau des performances 4 fois/an
1,0E+00
8,0E-01
proba
6,0E-01
4,0E-01
2,0E-01
loi simplifie
loi exponentielle
0,0E+00
0
10000
20000
30000
40000
50000
60000
70000
-2,0E-01
tem ps t
Si la frquence des remises niveau augmente, la probabilit de dfaillance

diminue. Pour une priode entre remise niveau gale 10% du MTBF, la
probabilit de dfaillance est gale 10-1.
On note qu'il existe diffrents types de dispositifs. Certains sont rparables en
ligne (dfaillances dtectes et rparables en ligne), d'autres ne le sont pas.
page 4/9
L'indisponibilit dpend alors de la dure des rparations. Des tudes

complmentaires permettraient de prciser la validit des formules utilises en
fonction du type de dispositif.
4.
ESTIMATION DE LA PROBABILITE DE DEFAILLANCE POUR
UN DISPOSITIF A FAIBLE SOLLICITATION (PFD)
4.1
INTRODUCTION
La probabilit de dfaillance la sollicitation (PFD) dun composant est aussi

lindisponibilit du composant : cest la probabilit pour que le composant soit
dfaillant t et ne soit donc pas en mesure de rpondre la sollicitation.
Lindisponibilit dun composant en by-pass qui agit sur sollicitation dpend de
trois paramtres :
lindisponibilit due des dfaillances non dtectes ;
lindisponibilit pendant les priodes de tests ;
lindisponibilit pendant la rparation.
Les donnes disponibles pour valuer la PFD sont :
la probabilit de dfaillance la sollicitation (~taux de dfaillance
la sollicitation). En pratique, la barrire est galement indisponible
pendant les priodes de tests et de rparation (avec une PFD de 1
pendant ces priodes), si bien que la PFDmoyenne est suprieure la PFD
issue des bases de donnes et du REX.
Le taux de dfaillance ( lheure).
4.2
UTILISATION DES TAUX DE DEFAILLANCE EN FONCTIONNEMENT CONTINU
La PFD d'une barrire peut tre dtermine partir du taux de dfaillance en

fonctionnement continu. Lestimation du PFD partir de ces paramtres rsulte de
calculs plus ou moins complexes en fonction de larchitecture de la barrire. Des
donnes sont ncessaires concernant :
La priodicit des tests, la dure des tests et la dure des rparations ;
Le taux de dfaillances communes (lorsque plusieurs barrires sont en
redondance) ;
Le niveau de couverture de diagnostic (DC) (donnant le nombre de
dfaillances dangereuses dtectes sur le nombre de dfaillances
dangereuses) ;
Le taux de dfaillances dangereuses (Rd ) (qui exprime le nombre de
dfaillances dangereuses sur le nombre total de dfaillances).
Les calculs de PFD partir des taux de dfaillance sont une affaire de spcialistes
de la sret de fonctionnement (Direction de la Certification de l'INERIS par
exemple). On se reportera si ncessaire au chapitre 6 de la norme CEI-EN-61508Rf. : INERIS DRA 46036 2005 DRA34 opration j - Partie 2 : donnes quantifies
page 5/9
6 qui prsente des tableaux explicitant la PFD en fonction du taux de dfaillance

pour diverses architectures.
4.2.1 EXEMPLES DE CALCULS DE PFD

L'estimation de la FPD dpend de l'architecture de la barrire et de la nature du
dispositif (testable, non rparable en ligne, rparable en ligne).
Les exemples ci-dessous s'appliquent des dispositifs la sollicitation, testables.
4.2.1.1
ARCHITECTURE 1OO1
La PFD moyenne scrit (cf norme CEI EN 61508) :
PFDmoyenne = D .tCE
DU T1
.( + MT TR) + DD .MT TR
D 2
D
tCE =
D est le taux de dfaillances dangereuses.

DD est le taux de dfaillances dangereuses dtectes
DU est le taux de dfaillances dangereuses non dtectes
tCE reprsente le temps moyen dindisponibilit
MTTR est la dure moyenne de rparation
T1 est la priodicit des tests.
Ci-dessous sont prsents des tableaux montrant lvolution de la PFD en

fonction :
-
de la priodicit des tests,
du MTTR,
de la couverture de diagnostic.
page 6/9
Le tableau ci-dessous indique la PFD calcule en fonction du taux de dfaillances

Celle-ci est calcule pour deux priodicits de tests diffrentes :
pour un seul test par an (T1= 8760 h)
pour un test mensuel (T1= 730 h).
Il est suppos que le MTTR est faible (8 heures), que la couverture de diagnostic
est nulle, et que le taux D/ est gal .
page 7/9
On note que pour une telle architecture, ds que la dure de rparation (MTTR)
est trs infrieure la priodicit des tests (T1) et que les dfaillances ne sont pas
majoritairement des dfaillances dtectables, alors la PFD est sensiblement
proportionnelle la priodicit des tests.
Les exemples font apparatre que :
augmenter la priodicit des tests dun facteur 10 conduit rduire dun
facteur 10 la PFD. Ainsi, pour un dispositif avec un taux de dfaillance de
10-4/heure, le NC pour un mode la sollicitation est de 0 pour des tests
annuels ; des tests mensuels permettent de passer un NC de 1.
Il ny a pas ncessairement les mmes NC pour le mode marche continue
et marche la sollicitation.
On retiendra que, pour valuer la PFD dun dispositif et pouvoir ainsi valuer
la rduction de risque associe, lutilisation dun taux de dfaillance nest
pas suffisant :
-
la priodicit des tests est capitale.
Dans une moindre mesure, le temps moyen de rparation intervient

galement, sauf si celui-ci est trs infrieur la priodicit des tests.
L'identification et la nature des dfaillances sont importantes (dtectables

ou non, dangereuses). La connaissance du taux de couverture intervient donc
galement dans l'estimation du PFD telle qu'effectue selon les formules
approches de la norme CEI EN 61508-6.
4.2.1.2
AUTRES ARCHITECTURES
Ci-dessous sont prsents des exemples de PFD en fonction du type

darchitecture. Pour les architectures avec redondance, le taux de dfaillance de
causes communes apparat alors comme un paramtre important pour valuer la
PFD. Pour les autres configurations avec des PFD unitaires diffrentes, on se
reportera la norme CEI EN 61508-6.
page 8/9
4.2.1.3
CAS DES DISPOSITIFS NON TESTABLES (MODE A LA SOLLICITATION), DES
DISPOSITIFS REPARABLES OU NON EN LIGNE (CAS DES DISPOSITIFS A MODE CONTINU)
D'autres formules de calcul existent qui font intervenir d'autres paramtres :
-
la dure de vie du dispositif,
la dure de rparation du dispositif (cas des dispositifs

dysfonctionnement est immdiatement repr et rpar),
etc.
dont
le
Des tudes complmentaires seraient ncessaires pour approfondir ces points.
4.3
UTILISATION DIRECTE DES PFD
Les bases de donnes peuvent prsenter directement une PFD la sollicitation.

Cest le cas de lEIReDA.
Cette donne est difficile exploiter (priodicit des tests non connue,
maintenance, vieilissement des quipements non connus). Lorsque linformation
provient du retour dexprience du site, il faut sassurer que les modes de
dfaillances ont tous t pris en compte (chane dactivation).
page 9/9
ANNEXE 6 :
Donnes sur les barrires humaines
Annexe 6 : Donnes sur les barrires humaines
Cette annexe prsente les facteurs de correction propose par la mthode TESEO.
Source : G.C. Bello and V. Collumbri, reliability Engineering, Vol 1, n1, July, Sept 1980, p3
Facteurs de
probabilit derreur
K
Type dactivit
K1
Simple, routine
1.10-3
Routine, ncessitant de lattention
1.10-2
Opration non de routine
1.10-1
Facteurs de stress
pour des oprations de routine
Temps disponible
K2
2 secondes
10
10 secondes
20 secondes
0,5
pour des oprations qui ne sont pas de routine

Temps disponible
K2
3 secondes
10
30 secondes
45 secondes
0,3
60 secondes
0,1
Qualit de loprateur
K3
Bien form, slectionn, expert
0,5
Formation et connaissance moyennes
Faible niveau de formation et dentranement
Facteur danxit
K4
Situation durgence grave
Situation potentielle durgence
Situation normale
Facteur dergonomie
Excellent microclimat, excellente interface avec usine
K5
0,7
Bon microclimat, bonne interface avec usine
Microclimat discret, interface discrte avec usine
Microclimat discret, pauvre interface avec usine
Pire microclimat, pauvre interface avec usine
10
Annexe 6 : donnes sur les barrires humaines
1/1

Dra34 Operation J Partie2 PDF

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Dra34 Operation J Partie2 PDF

Transféré par

Droits d'auteur :

Formats disponibles

!

Programme EAT-DRA-34 - Opration j

Client : Ministre de lcologie et du Dveloppement Durable

Liste des personnes ayant particip ltude :Valrie

TABLE DES MATIERES

3.4.2 exemples de chiffres disponibles ............................................................. 23

4.2.2 avantages et limites des donnees utilisables ........................................... 41

6.3.2.1 prise en compte des differents sous-systemes composant la fonction

7. BARRIERES DE SECURITE ORGANISATIONNELLES ...............................89

Intensit des effets dun phnomne dangereux:

Les mesures (ou barrires) de prvention : mesures visant viter ou

Les mesures (ou barrires) de limitation : ces mesures se situent laval

Rnover la mthode des tudes de dangers (Partie 1 ; 1.C, et plus long

Mettre en place des lignes de dfense successives, premire condition dune

Prendre en compte les aspects organisationnels dans lvaluation des risques

Paralllement ce constat, dautres remarques peuvent tre formules quant aux

La prise en compte des effets dominos, demande par la Directive Seveso II

Lexamen dautres causes potentielles daccidents gnriques et diffuses,

La probabilit et de la cintique des phnomnes accidentels doivent tre

2.2 PROPOSITIONS DE LINERIS DANS LE CADRE DU PROJET DRA-34

les risques lis aux produits,

les risques lis lexploitation des installations,

le lien avec la scurit aux postes de travail et les exigences du Code du

les pertes dutilit et les actes de malveillance,

les effets dominos entre sites industriels voisins,

les risques naturels et la vulnrabilit des installations ces risques,

Il sagit, pour chaque thme voqu ci-dessus, damliorer :

lidentification des risques (combinaison de la gravit, de la frquence et de la

leur estimation en vue de leur hirarchisation,

lidentification des mesures spcifiques, dordre technique et organisationnel,

lvaluation du bnfice apport par ces mesures en terme de rduction des

Lensemble de cette dmarche constitue lanalyse des risques. Le projet DRA-34

Identifier des scnarios daccidents, de gravit et de probabilit gradues en

Estimer ou valuer les consquences de ces scnarios sur les cibles

Faciliter lutilisation des tudes de dangers dans le cadre de la gestion des

2.3 STRUCTURE DU PROJET

Opration a : Redfinition des tudes de dangers pour amliorer leur contenu

Opration c : Exigences pratiques en terme de barrires de scurit,

Opration d : Examen des risques entrans par les pertes dutilit et la

Opration e : Travail sur les concepts et mthodes de dtermination des effets

Opration f : Examen des consquences pour les Installations Classes pour

Opration g : Examen des pratiques dcoulant de lapplication du code du

Opration h : Intgration de la dmarche Etude de dangers dans la gestion des

Opration i : Analyse des risques lis aux produits (opration dbutant en

Opration j : Intgration de la dimension probabiliste dans lanalyse des

Le prsent document est rattach lopration j du projet.

2.4 PRESENTATION DETAILLEE DE LOPERATION J

poser les dfinitions et les principes de base relatifs aux approches

2.4.2 DESCRIPTION DES TRAVAUX

tat de lart sur les approches probabilistes quantifies et semi-quantitatives

amlioration de lestimation de la probabilit des scnarios daccidents

application de cette mthode sur une ou plusieurs tudes de cas.

A l'issue de cette opration seront fournis :

un document synthtisant ltat de lart en terme dapproche probabiliste ;

une mthode visant amliorer lvaluation de la frquence des scnarios

2.5 OBJET ET STRUCTURE DU PRESENT DOCUMENT

des exemples de donnes chiffres permettant la quantification des

des remarques quant aux avantages et inconvnients des donnes utilisables ;

des informations qualitatives pouvant permettre d'estimer la validit d'un chiffre

des donnes semi-quantifies prsents dans le guide UFIP sur le stockage et

des donnes spcifiques certains secteurs d'activits (GdF).

2.5.2 ORGANISATION DU PRESENT RAPPORT

Chaque chapitre prsente les donnes utilisables diffrentes parties de larbre