DOSSIER

Techniques de l’Ingénieur
l’expertise technique et scientifique de référence

se4062
Méthode MADS-MOSAR - Pour en
favoriser la mise en oeuvre
Par :
Olivier GRANDAMAS
Docteur en génie de l'environnement, Directeur d'Asphaleia

Ce dossier fait partie de la base documentaire

Méthodes danalyse des risques
dans le thème Sécurité et gestion des risques
et dans l’univers Environnement - Sécurité

Document délivré le 01/02/2013

Pour le compte
7200048361 - ensib // 195.221.38.253

Pour toute question :

Service Relation Clientèle • Éditions Techniques de l’Ingénieur • 249, rue de Crimée
75019 Paris – France

par mail : infos.clients@teching.com ou au téléphone : 00 33 (0)1 53 35 20 20

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie est strictement interdite. © Editions T.I.
Méthode MADS-MOSAR
Pour en favoriser la mise en œuvre

par Olivier GRANDAMAS

Docteur en génie de l’environnement
Directeur d’Asphaleia

1. Problématique ........................................................................................... SE 4 062 - 2

2. Modèle de référence ................................................................................ — 2
3. Mise en œuvre de MADS-MOSAR ........................................................ — 3
4. Mises en œuvre complémentaires ....................................................... — 8
5. Adéquation méthode/problématique .................................................. — 9
6. Autre champs d’application .................................................................. — 9
7. Exemple d’application............................................................................. — 9
8. Avantages et inconvénients .................................................................. — 14
9. Mise en œuvre ........................................................................................... — 15
10. Conclusion.................................................................................................. — 15
Pour en savoir plus ........................................................................................... Doc. SE 4 062

’objectif de cette présentation est d’apporter, en complément des

L articles [SE 4 060] et [SE 4 061] sur la méthode MOSAR, un regard très
« pratique » sur la mise en œuvre de MADS-MOSAR.
Force est de constater à ce jour que, si cette méthode est toujours enseignée,
elle est très peu appliquée. On retient aujourd’hui que ses principes sont bons
mais que sa mise en œuvre est lourde et fastidieuse, qu’elle est réservée à des
experts et que le rapport temps passé sur travail produit est beaucoup trop
important.
L’objectif est donc ici d’inverser cette perception et de convaincre le lecteur
des très nombreux avantages de MADS-MOSAR, en comparaison notamment
avec d’autres méthodologies.
Ce travail est le fruit d’une expérience de près de 20 ans dans la mise en
œuvre de MADS-MOSAR pour analyser les risques de systèmes divers et
variés. Utiliser cette méthodologie comme support pour assurer des presta-
tions dans un bureau d’études oblige à se poser beaucoup de questions et à
trouver obligatoirement des réponses permettant de produire une analyse
conforme aux attentes, notamment réglementaires, tout en étant rentable.
Toute cette expérience et ce travail vont être restitués dans cet article, avec le
souci permanent d’axer la présentation de la méthode sous un aspect
« pratique », indispensable à son appropriation.
Certains y trouveront probablement une rupture avec ce qui est classique-
ment présenté sur MADS-MOSAR, notamment dans les articles précédents.
Une telle rupture semble être le prix de son opérationnalité.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 1

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253
MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________
1. Problématique
MADS-MOSAR est une méthode d’analyse de risques élaborée
par Pierre Périlhon [1] [2].
L’analyse de risques est « née » au début des années 1960. Le
besoin d’analyser les risques est parti de la nécessité de fiabiliser
des systèmes, militaires à l’origine. On a donc mis en œuvre des
méthodologies pour assurer la sûreté de fonctionnement de
systèmes complexes. Ces méthodologies liées à la sûreté de fonc-
tionnement ont été ensuite appliquées à des systèmes plus indus-
triels pour répondre notamment à des exigences réglementaires.
La loi de 1977 sur les installations classées, renforcée par la pre-
mière réglementation européenne dite « Seveso » ont poussé les
industriels à produire des analyses de risques afin de démontrer
qu’ils avaient non seulement identifié les risques liés à l’exploita-
tion de leur système, mais qu’ils avaient également pris toutes les
dispositions pour en assurer la maîtrise.
Pour produire ces analyses, les industriels, accompagnés par les
bureaux d’études, ont utilisé les méthodes qu’ils maîtrisaient pour
la sûreté de fonctionnement. Par des analyses HAZOP ou AMDEC,
deux méthodologies issues de la sûreté de fonctionnement, ils ont
produit les études de danger réglementairement demandées.
Jusqu’à la fin du siècle dernier, 99 % de ces analyses de risques
étaient produites à partir de ces méthodes.
Les retours d’expériences ont démontré des lacunes dans ces
analyses de risques. Un certain nombre de pré-accidents, voire
d’accidents, se sont produits sur des sites à risques. Leur analyse a
montré que des scénarios non étudiés dans les analyses de
risques produites se matérialisaient. Un manque d’exhaustivité et
de systématisme était mis en évidence.
Les législateurs ont fait évoluer la réglementation et, pour les
installations classées pour la protection de l’environnement (ICPE),
« Seveso 2 » a vu le jour. Une des évolutions de la réglementation
est de réaliser une analyse de risques systématique d’un site, sans
se focaliser uniquement sur les potentiels de danger les plus
importants. La notion d’effets domino en est la concrétisation.
Force est de constater que les méthodes utilisées jusqu’ici ne
sont plus pleinement adaptées. Réaliser une HAZOP est faire l’ana-
lyse de risques d’un procédé. Son application, de par sa logique,
ne permet pas de prendre en compte systématiquement les inte-
ractions de ce procédé avec son environnement. L’HAZOP doit être
complétée par une approche plus macroscopique. L’AMDEC, de
par son formalisme ne permet pas une prise en compte systémati-
que des effets domino. C’est à celui qui utilise cette méthodologie
de bien identifier les « causes » et les « conséquences » des poten-
tiels de danger qu’il a identifiés.
On constate dès lors que les analyses de risques réalisées
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253
aujourd’hui sont des patchworks de méthodologies différentes
dans l’objectif de couvrir l’ensemble des exigences réglementaires.
Il faut dire que la réglementation en la matière a
considérablement évolué, et qu’aujourd’hui, produire une analyse
de risques en bonne et due forme ne s’invente pas.
Cette vision des analyses de risques dans le contexte des instal-
lations classées pour la protection de l’environnement est cepen-
dant très restrictive.
L’analyse de risques est donc devenue omniprésente dans nos
problématiques actuelles.
Dans le monde industriel et les sites de production, il est
aujourd’hui nécessaire de réaliser une analyse de risques pour
produire le document unique né de l’évaluation des risques profes-
sionnels conformément au Code du travail (réglementation remise
au goût du jour en novembre 2001). Réaliser une étude ATEX
(atmosphère explosible) nécessite également de réaliser une ana-
lyse de risques.
Ces besoins en analyse de risques vont également au-delà des
problématiques hygiène, sécurité et environnement de tout sys-
Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie
SE 4 062 – 2 est strictement interdite. – © Editions T.I.
tiwekacontentpdf_se4062
tème industriel. Les responsables de ces systèmes doivent assurer
la protection de leur personnel et de l’environnement, mais doi-
vent également assurer la pérennité de leurs installations et de
leur production. Ce sont sur ces fondements que sont nés les
plans de continuité d’activité (PCA). Quels sont tous les risques qui
peuvent se produire et in fine entraîner la perte d’exploitation de
tout ou partie du système ? Y répondre nécessite la réalisation
d’une analyse de risques.
La perte d’activité a également des effets domino sur les
finances. Il y a donc obligatoirement un lien entre analyse de
risques et risques financiers.
Enfin, avec la conjoncture actuelle et son lot de mutations, de
reclassements, de fermetures de sites, de préretraites, savoir ana-
lyser les risques psycho-sociaux entre également dans le spectre
de l’analyse de risques sur des systèmes industriels.
La nécessité de réaliser des analyses de risques ne se limite
cependant pas aux risques industriels.
Les risques naturels, les risques urbains et leurs interactions
avec les risques industriels nécessitent également de mener à bien
des analyses de risques. Pour établir son plan communal de sau-
vegarde, un maire doit avoir au préalable analysé les risques
auxquels ses administrés peuvent être exposés. Il doit aussi et sur-
tout avoir pris les mesures de prévention et de protection pour les
protéger.
En conclusion, il n’y a pas aujourd’hui un système industriel,
naturel ou urbain qui échappe à l’analyse de risques.
Compte tenu de ce spectre, il existe presque autant de méthodo-
logies que de problématiques.
Ne peut-on pas utiliser une seule et même référence méthodolo-
gique pour analyser les risques de ces différents systèmes avec
différents objectifs ?
Le modèle de référence de MADS-MOSAR le permet, encore
faut-il le démontrer.
2. Modèle de référence
Afin de bien situer la méthode MADS-MOSAR, il est nécessaire
de faire le point sur la problématique de la maîtrise des risques.
La maîtrise des risques est le corps de connaissances transver-
sales qui a pour objectif de traiter (identifier, maîtriser, gérer et
manager) des événements non souhaités ou indésirés (des dys-
fonctionnements) issus de la structure, de l’activité, de l’évolution,
de la finalité ou de l’environnement des systèmes naturels ou arti-
ficiels.
Ces événements provoquent ou sont susceptibles de provoquer
des impacts sur des installations et/ou êtres vivants tels que les
individus, les populations, les écosystèmes.
L’application de cette connaissance au problème des analyses
de risques nécessite au préalable une réflexion épistémologique
afin de dégager un langage unitaire, des concepts transversaux.
L’approche systémique propose des principes méthodologiques
d’investigation des systèmes naturels et artificiels pour améliorer
leur conception, leur fonctionnement et leur gestion.
Sur la base de la systémique et en particulier du concept de sys-
tèmes proposé par J.L. Lemoigne [3], le groupe MADS (Méthode
d’analyse du dysfonctionnement des systèmes) a développé un
modèle de référence appelé processus qui s’adapte à la probléma-
tique de la maîtrise des risques [4] [5].
Pour établir ce modèle, on appelle flux des transactions non
désirées d’un système avec son environnement et champ, l’envi-
ronnement actif dont les fluctuations produisent des ruptures de
stabilité du système.
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253
_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

miner la recherche de processus source-flux-cible par simple

Source Cible positionnement des sous-systèmes les uns par rapport aux autres.
Source Effets La méthode MADS-MOSAR n’impose pas de règle de modélisa-
de flux du flux tion. La personne qui réalise l’analyse de risques avec
Flux MADS-MOSAR est libre de modéliser comme bon lui semble.
Cependant, par expérience, il est important de donner quelques
Figure 1 – Modèle de référence conseils.
■ Conseils pratiques
L’origine du flux sera appelée source ; la rupture d’équilibre • La modélisation est réalisée indépendamment de la probléma-
concernant sa forme et/ou son comportement sera nommée tique de risques. On ne se dit pas : « Je ne prends pas en compte
source de flux. La partie influée par le flux sera appelée cible ; sa ce sous-système parce qu’il n’y a pas de risque ». Un tel raison-
rupture d’équilibre sera nommée effet. nement s’avérerait dangereux. Modéliser un sous-système sans lui
Il est à noter que cet effet peut lui-même être source (transfor- associer de source signifie que ce système a bien été étudié et
mant ainsi une cible en une source), ce qui traduit le phénomène qu’il ne comporte pas de source.
d’enchaînement d’événements non désirés que l’on appelle scéna- • La modélisation est indépendante de la problématique analy-
rio. sée. Que je fasse du document unique ou de l’étude de danger, je
Une analyse de risque consiste donc à étudier le processus, dois disposer de la même modélisation.
c’est-à-dire la mise en relation d’une source avec une cible au • Si possible, la modélisation doit reprendre les termes qui
moyen de phénomènes appelés flux dans un environnement actif caractérisent le système étudié et qui sont communément utilisés
appelé champ. par les personnes qui exploitent le système.
Le modèle de référence est présenté figure 1. • Il faut privilégier une modélisation géographique et fonction-
nelle à une modélisation organisationnelle. En effet, une organisa-
tion, cela évolue sans cesse. Si à chaque fois que l’organisation
changeait, il fallait actualiser l’analyse de risques, cette contrainte
3. Mise en œuvre serait rédhibitoire. En revanche, l’organisation peut se greffer à la
modélisation. On peut associer un service, une personne à un
de MADS-MOSAR sous-système modélisé.
• Il faut privilégier une modélisation géographique à une modé-
En appliquant MADS-MOSAR, pour réaliser une analyse de lisation fonctionnelle. Une modélisation géographique est beau-
risques avec ce moteur de référence, il est nécessaire de procéder coup plus parlante. Elle peut être couplée à un plan. Une
étape par étape : modélisation fonctionnelle est à réserver pour des réseaux. On ne
va pas créer un sous-système « Réseau d’air comprimé » dans
1. modélisation du système étudié en le découpant en
chaque local desservi. On va prendre en compte un seul et même
sous-systèmes ;
système.
2. identification des sources ;
• Les sous-systèmes modélisés peuvent être regroupés par fina-
3. association des événements ; lité. On va créer un système « Réseaux » et dans ce sous-système,
4. construction des processus ; créer « Réseau d’air comprimé », « Réseau de vapeur ». Les
mêmes règles peuvent être appliquées aux véhicules, aux engins.
5. construction des scénarios ;
• Quel que soit le système étudié, quelle que soit son échelle, il
6. construction des arbres logiques ;
est conseillé de prendre en compte par défaut trois sous-systèmes,
7. identification des mesures de maîtrise des risques ; indépendamment du système étudié : sous-systèmes « Environne-
8. identification des mesures de pérennité. ment naturel », « Environnement technologique » et « Environne-
ment urbain ». La prise en compte systématique de ces sous-
systèmes garantit l’exhaustivité dans la prise en compte des effets
3.1 Modélisation domino entre le système étudié et son environnement.
• Toujours par souci de simplification, il est préconisé de
La modélisation du système à étudier consiste en une prendre en compte systématiquement un système « Hommes » et
décomposition sous forme de sous-systèmes à partir : de le décomposer en sous-systèmes : « Personnel », « Entreprises
– de représentations du système (descriptions, schémas, plans, extérieurs », « Visiteurs » et « Population ». Une telle décomposi-
etc.) ; tion se justifie pour un système industriel, mais serait différente
– d’une visite du système ; pour un système naturel ou urbain. L’homme est omniprésent
– d’échanges avec les acteurs du système. dans le système étudié et son environnement. Considérer l’homme
comme une source et une cible est un minimum. Malheureuse-
La modélisation du système étudié permet d’atteindre deux ment, si l’on considère l’homme seulement comme une source et
objectifs cruciaux en analyse de risques : l’exhaustivité et l’optimi- une cible, on va obligatoirement le retrouver dans tous les systè-
sation. mes modélisés. On va alors démultiplier l’analyse et considérable-
Le fait de ne pas oublier de sous-systèmes est primordial ; c’est ment l’alourdir en répétant à chaque système des mesures de
le garant de l’exhaustivité. Dans la suite de l’analyse, il va falloir maîtrise des risques pour l’homme qui, finalement s’avèrent géné-
identifier les sources. Cette identification se fera sous-système par riques. Rien n’empêche de décomposer le sous-système «
sous-système, de manière systématique, indépendamment les uns Personnel » en « Personnel administratif » et « Personnel tech-
des autres. Oublier un sous-système, c’est oublier des sources ou nique », ce dernier pouvant encore être décomposé en « Cariste »,
des cibles, c’est donc oublier des scénarios et donc occulter la « Pontier », « Soudeur ». Une telle modélisation s’applique parfai-
mise en œuvre des mesures de maîtrise des risques nécessaires. tement aux objectifs de l’évaluation des risques professionnels.
Quant à l’optimisation, elle est liée au simple fait que des • La modélisation peut s’envisager par étapes. On peut la faire
sous-systèmes physiquement éloignés ne pourront pas être à l’ori- évoluer, non pas dans sa transversalité, ce qui est plus délicat,
gine de flux susceptibles de les impacter. On va donc pouvoir éli- mais dans sa profondeur. On réalise une étude de danger, on

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 3

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________

modélise un sous-système « Local transformateur ». Compte tenu

des objectifs de l’analyse, il ne s’avère pas nécessaire de le redé- Tableau 1 – Typologie associée aux sources
composer en sous-systèmes. Les risques identifiés seront liés à Code Type de danger
l’incendie et à la pollution. En revanche, si l’on a pour objectif une
évaluation du risque professionnel ou un plan de continuité d’acti- A.1 Appareils sous pressions
vité, il va être nécessaire de décomposer ce système.
A.2 Éléments sous contraintes mécaniques
A.3 Éléments en mouvement
3.2 Identification des sources
A.4 Éléments nécessitant une manutention
La première étape dans la construction des processus A.5 Systèmes sources d’explosions d’origine
source-flux-cible est bien évidemment l’identification des sources physique autres que A.1
à l’origine potentielle des flux susceptibles d’impacter une cible.
La source est le potentiel de danger susceptible de générer un A.6 Systèmes sources de chute de hauteur
flux pouvant impacter une cible. A.7 Systèmes sources de chute de plain-pied
La méthodologie MADS-MOSAR consiste à identifier toutes les
sources, sous-système par sous-système. A.8 Autres systèmes sources de blessures
Cette identification peut être réalisée de différentes manières : A.9 Systèmes sources de bruit et de vibrations
en groupe de travail, à travers des documents (fiches de données
de sécurité), par retour d’expérience, etc. B.1 Systèmes sources de réactions chimiques
MADS-MOSAR met à la disposition de ses utilisateurs une liste B.2 Systèmes sources d’explosion
de typologie des sources.
B.3 Systèmes sources de toxicité et d’agressivité
La grille de typologie des sources, présentée dans le tableau 1
distingue les systèmes sources de danger d’origine mécanique (A), B.4 Systèmes sources de pollution de l’atmosphère
chimique (B), électrique (C), les systèmes sources de danger et d’odeurs
d’incendie (D), radiologiques (E), les systèmes sources de danger
biologique (F), sources de perte d’activité (G) et les systèmes B.5 Systèmes sources de manque d’oxygène
sources d’origine humaine (H). C.1 Électricité à courant continu ou alternatif
Cette grille a pour premier objectif d’aider dans l’identification
des sources. Pour ce faire, sous-système par sous-système, on par- C.2 Électricité statique
court cette grille en se posant systématiquement les questions C.3 Condensateurs de puissance
suivantes : dans ce sous-système, y a-t-il des éléments sous
pression ? Y a-t-il des éléments sous contraintes mécaniques ? Y D Systèmes sources d’incendie
a-t-il des éléments en mouvement ?
E.1 Systèmes sources radiologiques
Si oui, on associe au sous-système étudié les noms des sources
correspondantes, avec leur typologie : bouteille d’azote – A.1, pou- E.2 UV – IR – Visible
tre du pont-roulant – A.2, chariot élévateur – A.3... On peut identi-
fier plusieurs sources pour un même système. Une source peut E.3 Lasers
porter le même nom mais pas la même typologie. Une bouteille de E.4 Micro-ondes
gaz sous pression présente une source du fait qu’elle soit sous
pression (A.1) mais aussi du fait qu’elle soit source de chute de E.5 Champs magnétiques
hauteur (A.6). On notera alors : bouteille de gaz – A.1 et bouteille F.1 Virus – Bactéries
de gaz – A.6.
Cette typologie a aussi pour objectif de classer les sources et en F.2 Toxines
faciliter ainsi l’exploitation. Il est possible alors de rechercher par G Source de par sa fonction
exemple toutes les sources d’explosion présentes dans un
sous-système donné. H Source d’origine humaine
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

■ Conseils pratiques
• L’identification des sources ne doit s’envisager qu’une fois la
modélisation terminée. On procède ainsi étape par étape. L’ana-
lyse n’en sera que plus cohérente et plus efficace.
• Il est plus aisé de regrouper les sous-systèmes par probléma-
tique. On va identifier les sources dans tous les réseaux, puis dans
tous les engins, puis dans tous les véhicules, etc.
• Au couple source-typologie, il est indispensable d’associer
une phase de vie. En effet, on peut retrouver une source qualifiée
par un même nom et par une même typologie, mais identifiée
dans une phase de vie du système différente. Par exemple, un
chariot élévateur en mouvement (A.3) peut être identifié en
« Exploitation », mais aussi en « Maintenance ». Il est crucial de les
distinguer ainsi car ils ne présenteront pas les mêmes risques ; on
ne mettra pas en œuvre les mêmes mesures de maîtrise des
risques. En conséquence, une source doit être obligatoirement
définie par un nom, une typologie et une phase de vie. Ce conseil
trouve toute sa raison d’être quand on constate que la réglementa-
tion sur les ICPE impose de réaliser une analyse de risques dans
toutes les phases de vie du système.
3.3 Association des événements
Une fois les sources identifiées, il faut leur associer des événe-
ments, conformément au modèle MADS. On distingue (figure 2) :
– l’événement initial (EI) ;
– les événements initiateurs internes (EII) ;
– les événements initiateurs externes (EIE) ;
– les événements principaux (EP).
L’événement initial (EI) : c’est l’événement redouté lié à la source
(rupture de confinement, incendie, explosion, etc.).
Les événements initiateurs internes (EII) : ce sont les événe-
ments internes propres à la source et qui peuvent initier à eux
seuls l’occurrence EI (usure, corrosion, dysfonctionnement, etc.).
Les événements initiateurs externes (EIE) : ce sont les événe-
ments extérieurs à la source de danger et qui peuvent initier à eux
seuls l’occurrence EI (flux thermique chaud, flux liquide, action
involontaire, etc.).

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

SE 4 062 – 4 est strictement interdite. – © Editions T.I.

tiwekacontentpdf_se4062 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

Événements Événements
initiateurs Ell El
initiaux
internes Corrosion Rupture
Source Usure de confinement
Défaut Bouteille NH3,
Sources A.1, Ex
de flux
Événements Événements principaux
initiateurs
externes

Figure 2 – Événements associés à la source ElE

Action involontaire EP
Flux thermique Nuage d'NH3
Les événements principaux (EP) : ce sont les flux générés par Solide en mouvement Onde de souffle
l’occurrence de l’EI et qui peuvent produire des effets sur des Projectiles Projectiles
cibles (flux thermique chaud, onde de souffle, flux gazeux toxique, Chute de matériaux Onde acoustique
etc.). Onde de choc

■ Conseils pratiques Figure 3 – Événements associés à une bouteille de gaz

• On ne doit associer qu’un seul événement initial. L’EI, c’est ce
que l’on redoute. Si l’on redoute plusieurs événements, il faut
considérer deux sources différentes. On peut redouter un incendie
ou une explosion. Ces deux EI n’auront pas les mêmes causes et EI
EIl
surtout pas les mêmes conséquences ; on ne mettra pas les Choc dans zone
Rupture mécanique
mêmes mesures de maîtrise des risques. Il faut donc créer deux d'évolution
Dysfonctionnement Chariot élévateur
sources ayant le même nom, mais pas la même typologie. A.3, Ex
• Le vocabulaire utilisé pour qualifier l’EI est libre. On peut
entrer une phrase. Ce libellé doit être explicite et compris du
lecteur.
• Les EII sont des événements propres à la source qui suffisent
à initier à eux seuls ce que l’on redoute. La « Corrosion » d’une
canalisation peut entraîner sa « Rupture de confinement ». Le EIE EIE
« Défaut » d’une poutre métallique peut en entraîner sa « Rupture Action involontaire Solide
mécanique ». en mouvement
• En risques industriels, on ne met pas de porte ET entre deux EII.
• On liste systématiquement tous les EII pouvant être à l’origine Figure 4 – Événements associés à un chariot élévateur
de l’EI.
• Il en est de même pour les événements initiateurs externes.
On liste tous les EIE susceptibles d’initier l’EI. On n’élimine jamais 3.4 Construction des processus
un EIE sous prétexte que l’on ne trouvera pas de source dans
l’environnement susceptible de générer cet EIE. Construire un processus, c’est associer une source à une cible
• Un EIE est obligatoirement un flux. En effet, dans la logique via un flux.
de MADS-MOSAR, cet EIE est potentiellement généré par une Dans l’application de MADS-MOSAR, cette association doit être
source. automatique, réalisée par simple lecture des processus.
• Un flux, c’est de la matière, de l’énergie et/ou de l’information. En effet, parmi les conseils répertoriés ci-dessus, il est bien pré-
Si le flux entré ne respecte pas ces critères, ce n’est pas un flux. cisé que les EIE sont des flux, tout comme les EP. Le vocabulaire
« Explosion » n’est pas un flux ; « Flux thermique chaud », « Onde utilisé pour les EIE et les EP est donc identique.
de souffle » sont des flux. « Choc » n’est pas un flux mais la résul- De ce fait, l’association source-flux-cible se fait par simple
tante des effets d’un flux sur une cible ; « Solide en mouvement », concordance de vocabulaire entre les EIE et les EP, comme le
« Projectiles », « Chute de matériaux » sont des flux ayant pour montre la figure 5.
effet un choc sur une cible et susceptibles de provoquer la
« Rupture de confinement » de la cible. Le respect de ces quelques conseils est fondamental dans
l’application de MADS-MOSAR. Si l’on ne les respecte pas, on
• On peut mettre des portes ET entre deux EIE. En effet, ce que passe son temps à réfléchir, à refaire l’analyse. On perd en cohé-
l’on redoute, une « Explosion » par exemple, peut être initiée à la rence et en logique et in fine, seul celui qui a fait l’analyse
fois par deux EIE, un « Nuage de gaz » et une « Source d’ignition ». comprend son raisonnement. Cet écueil est la raison principale qui
• Les événements principaux (EP) sont les événements générés fait qu’aujourd’hui, MADS-MOSAR est peu appliquée.
par l’occurrence de l’EI. Il s’agit également de flux. Une
En respectant ces conseils, MADS-MOSAR prend tout son sens.
« Explosion » (EI) génère un « Flux thermique chaud », une « Onde
Son application devient logique et cohérente, la construction des
de souffle », une « Onde acoustique », qui sont tous des EP, mais
processus est alors simple et explicite. MADS-MOSAR est la seule
aussi et surtout des flux. « Intoxication » n’est pas un EP, c’est la
méthode qui permet de construire automatiquement des processus
résultante d’un EP « Nuage toxique » sur une cible donnée.
et donc des scénarios, à condition de respecter ces quelques règles.
« Pollution » n’est pas un EP mais la résultante d’un EP « Liquide
toxique » sur une cible donnée. ■ Conseils pratiques
• Les EP sont obligatoirement associés par une porte ET. • La validation des processus est du ressort de celui qui fait
Les deux exemples présentés en figures 3 et 4 illustrent ces l’analyse. Il est bien évident que tous les processus qualitative-
quelques conseils ; l’un concerne la source bouteille d’ammoniac ment possibles ne doivent pas être validés. Il faut qu’ils soient
sous pression (A.1) en phase d’exploitation, l’autre un chariot élé- aussi quantitativement possibles. Il faut que le flux généré par la
vateur en mouvement (A.3) en phase d’exploitation. source ait une énergie suffisante pour initier ce que l’on redoute

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 5

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________

Choc dans zone

Rupture mécanique d'évolution
Dysfonctionnement Chariot élévateur
A.3-Ex

Action involontaire Solide en mouvement

Corrosion
Bouteille NH
H3, Rupture
Usure
A.1-Ex de confinement
Défaut

Action involontaire Nuage d'NH3

Flux thermique Onde de souffle
Solide en mouvement Projectiles
Projectiles Onde acoustique
Chute de matériaux
Onde de choc

Figure 5 – Construction du processus : chariot élévateur – A.3 et bouteille NH3 – A.1

Chute de neige Effondrement Arrêt Arrêt

Nuage Charpente Machine Production

Neige Chute Non alimentation

de matériaux en pièces

Figure 6 – Exemple de scénario

sur la cible. Ce travail d’analyse peut être complété par des calculs
d’intensité de flux qui vont permettre de les valider ou non.
• C’est à ce stade de l’analyse que la modélisation préalable-
ment réalisée peut servir. En effet, compte tenu de l’éloignement
géographique de certains sous-systèmes, il n’est pas nécessaire
d’étudier les processus entre ces deux sous-systèmes. On optimise
ainsi le temps passé à l’étude des processus.
• On ne doit jamais éliminer un processus avec l’argument que
des mesures de maîtrise des risques existent et qu’elles
empêchent donc la matérialisation de ce processus. C’est juste-
ment ce que l’on veut démontrer. On valide donc ces processus et
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253
Un arbre logique (figure 7) est, par exemple, l’ensemble des scé-
narios qui aboutissent à une même cible (arbre des causes) et
l’ensemble des scénarios qui sont générés à partir de cette cible
qui devient alors source (arbres des conséquences).
Il s’agit toujours d’une simple lecture des processus validés. De
ce fait, MADS-MOSAR est la seule méthodologie d’analyse de
risques qui permet de lier toutes les données de l’analyse pour
produire automatiquement ce type d’arbre.
L’application de MADS-MOSAR permet ainsi de répondre aux
exigences réglementaires imposées par l’arrêté du
29 septembre 2005 sur la réalisation des études de danger et la

on associera ensuite les mesures de maîtrise des risques qui per- construction de diagramme « papillon », telle que préconisée.
mettent de justifier cette maîtrise.

3.7 Identification des mesures

3.5 Construction des scénarios de maîtrise des risques
Un scénario est un enchaînement de processus, comme sur
l’exemple présenté en figure 6. À ce stade de la mise en œuvre de MADS-MOSAR, on a une
vision la plus exhaustive possible des scénarios redoutés. Cette
Construire des scénarios à partir de l’application de étape de l’analyse a pour objectif de les maîtriser.
MADS-MOSAR, c’est mettre bout à bout des processus avec le
simple principe qu’une cible devient source et ainsi de suite. Pour ce faire, on va associer des mesures de maîtrise des
risques ou « barrières » à chaque source.
L’étude des scénarios et des effets domino, tels que réglemen-
tairement demandés, se fait par simple lecture. Sur une source de danger à l’origine d’un flux de danger, les
barrières peuvent être associées :
– à la source de danger elle-même ;
3.6 Construction des arbres logiques – aux EII ;
– aux EIE ;
Toujours à partir du principe qu’un scénario est un enchaîne-
– aux EP.
ment de processus, il est alors possible, en appliquant
MADS-MOSAR, de construire des arbres logiques. La figure 8 illustre ce principe.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

SE 4 062 – 6 est strictement interdite. – © Editions T.I.

tiwekacontentpdf_se4062 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

Arrêt Arrêt
Chute de neige
Machine Production
Nuage

Effondrement Non alimentation

en pièces
Neige Charpente
Chute
de matériaux Blessures

Surcharge Homme
Solide
Homme en mouvement

Fuite

Réseau d'eau

Écoulement
d'eau

Figure 7 – Exemple de scénario

Limiter
Ell le nombre
El
Corrosion
Rupture
Usure
de confinement
Défaut
Source

Épreuve

ElE
Action involontaire EP
Flux thermique Nuage d'NH3
Solide en mouvement Onde de souffle
Projectiles Détection Projectiles
Chute de matériaux Rambarde Onde acoustique
Onde de choc

Figure 8 – Exemple de barrières associées aux événements

Les barrières mises en œuvre pour maîtriser les processus et les

scénarios sont codifiées selon la grille de typologie présentée dans Tableau 2 – Typologie associée aux barrières
le tableau 2. Typologie des barrières
Formation
Tableau 2 – Typologie associée aux barrières Habilitation
Typologie des barrières Consigne
Conception Protection collective
Contrôle technique Protection individuelle
Surveillance Disposition constructive
Procédure Mesurage
Maintenance Surveillance médicale
Document Suivi
Consignation Information
Balisage Sensibilisation

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 7

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________

Contrôle
Limiter
Ell le nombre
El
Corrosion
Rupture
Usure
de confinement
Défaut
Source

Épreuve
Suivi

ElE
Action involontaire EP
Flux thermique Nuage d'NH3
Solide en mouvement Onde de souffle
Projectiles Projectiles
Chute de matériaux Alarme Onde acoustique
Onde de choc Rambarde
Contrôle
Entretien

Figure 9 – Exemple de barrières de pérennité associées aux barrières

Cette typologie permet non seulement d’aider à identifier des
barrières, mais aussi de faciliter l’exploitation de ces barrières. Il
est alors aisé de retrouver toutes les barrières liées à la formation
dans un système donné.
■ Conseils pratiques
• On ne met pas de barrière sur un EIE si aucune source n’est à
l’origine de cet EIE.
• On ne met pas de barrière sur un EP si aucune cible ne peut
être atteinte par cet EP.
3.8 Identification des mesures
de pérennité
L’application de MADS-MOSAR peut s’arrêter à l’étape précé-
dente. Les mesures de maîtrise des risques nécessaires à la maî-
trise des risques identifiés ont été répertoriées, de manière la plus
logique, la plus cohérente et la plus exhaustive possible.
Il est alors possible d’analyser la pérennité de cette maîtrise des
risques. Il suffit pour cela d’associer des mesures de pérennité (ou
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253
Tous ces éléments sont liés par une logique.
Ce moteur d’analyse peut être complété par certaines étapes.
Elles sont volontairement dissociées des précédentes dans la
mesure où elles ne sont pas spécifiques à MADS-MOSAR, mais
communes à toutes les méthodes.
La première est la négociation des barrières. Dans cette étape, il
s’agit de qualifier les mesures de maîtrise des risques identifiées.
En effet, sur le système analysé, ces mesures sont, soit existantes
(ou prévues pour les systèmes en projet), soit acceptées pour amé-
liorer la maîtrise des risques, soit refusées car irréalisables techni-
quement et/ou financièrement. On peut donc associer ce statut à
chacune des barrières. On peut alors extraire très facilement de
son analyse un plan d’action, ce dernier reprenant les barrières qui
ont été acceptées pour améliorer la sécurité du système.
Il en est de même pour les barrières de pérennité.
Cette étape de négociation met en évidence la nécessité d’asso-
cier chaque barrière même générique à chaque source ou événe-
ment. Par exemple, pour limiter les sources d’ignition, on va
mettre en place des permis de feu. À chaque fois que l’on identi-
fiera un événement comme « Source d’ignition » sur une source,
on lui associera la barrière « Permis de feu ». Cette opération doit
se répéter autant de fois qu’on l’identifiera. En effet, quand on

barrières de pérennité) aux mesures de maîtrise des risques.

L’objectif est alors de pérenniser ces mesures de maîtrise des
risques en leur associant des mesures qui doivent en garantir
l’opérationnalité dans le temps, comme présenté sur la figure 9.
Par cette étape, on crée un lien logique et cohérent entre l’ana-
lyse des risques et la gestion de la sécurité sur le système étudié.
On associe également une typologie aux barrières de pérennité.
4. Mises en œuvre
complémentaires
La méthodologie d’analyse de risques présentée préalablement
représente la colonne vertébrale de MADS-MOSAR que l’on peut
résumer ainsi :
Système ⇔ Sous-systèmes ⇔ Sources ⇔ Événements ⇔ Barrières
⇔ Barrières de pérennité
construit un scénario ou un arbre logique et que l’on veut mettre
en évidence les mesures de maîtrise des risques associées, il faut
toutes les retrouver. Pour exploiter pleinement tout le potentiel de
MADS-MOSAR, il faut procéder ainsi. On ne peut pas se contenter
de dresser une liste de barrières génériques ; chaque barrière doit
être associée à un événement.
La deuxième étape est la cotation du risque. Quelle que soit la
méthodologie employée, il est souvent nécessaire, voire régle-
mentaire de coter les risques identifiés. Cette cotation est régle-
mentaire dans les études de danger mais est optionnelle dans
l’évaluation des risques professionnels. Il existe plusieurs
manières pour réaliser la cotation. Il s’agit d’une cotation soit qua-
litative, soit quantitative.
Dans le cas d’une cotation qualitative, on va associer par
exemple une probabilité et une gravité à chaque source identifiée.
On utilise alors la grille de cotation souhaitée. Si cette étape n’est
pas spécifique à MADS-MOSAR, elle est cependant grandement
facilitée par cette méthodologie. En effet, la mise en œuvre de
MADS-MOSAR permet de construire des arbres logiques. Pour
évaluer la probabilité d’une source, on va analyser tous les scéna-

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

SE 4 062 – 8 est strictement interdite. – © Editions T.I.

tiwekacontentpdf_se4062 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

rios aboutissant à cette source (arbre des causes). Pour évaluer la

gravité, on va analyser tous les scénarios qui seraient produits par 6. Autre champs
l’occurrence de l’événement initial de cette source (arbre des
conséquences). Cette cotation peut alors être plus facilement
d’application
justifiée.
Dans le cas d’une cotation quantitative, le recours à En poussant un peu plus le raisonnement, on se rend compte
MADS-MOSAR est également un plus. En effet, pour évaluer la que finalement, tout est processus. La cheminée (source) d’une
probabilité d’occurrence d’un événement initial associé à une chaudière sur un site industriel émet du CO2 (flux) ayant un impact
source, il faut exploiter l’arbre de causes qui lui est associé, ce que sur son environnement (cible). Il s’agit d’un fonctionnement
permet MADS-MOSAR. On va alors associer une probabilité quan- « normal » du système. L’émission de bruit (flux) à partir d’un
titative à chaque première source en amont, associer des probabi- moteur (source) incommodant le voisinage (cible) est un autre
lités aux EII des sources intermédiaires et calculer ainsi la exemple. Les représenter sous la forme d’un processus est pleine-
probabilité résultante au niveau de la source centrale. La ment adapté, y associer des mesures de maîtrise des risques l’est
cohérence de l’analyse de risques réalisée est ainsi pleinement tout autant.
exploitée. Cette manière de coter est en parfaite adéquation avec Le moteur d’analyse de MADS-MOSAR s’applique donc parfaite-
celle imposée par l’arrêté du 29 septembre 2005 pour les ICPE. ment aux études d’impact. Les spécialistes feront également le
De plus, cette réglementation impose de réaliser des décotes en parallèle avec les analyses environnementales où l’on identifie des
fonction des mesures de maîtrise des risques mises en œuvre. sources susceptibles d’impacter l’environnement mais à une
Chaque mesure de maîtrise des risques étant associée à un événe- échelle plus détaillée que l’étude d’impact.
ment ou à une source, il est aisé de lui associer un poids de décote Pour élargir encore le champ d’application de MADS-MOSAR,
et de répercuter le calcul sur la probabilité. La logique et la cohé- comme présenté dans la « problématique » et à échelle plus
rence de MADS-MOSAR sont alors pleinement exploitées. macroscopique, une rivière (source) qui déborde (flux) peut inon-
der des habitations, des infrastructures (cibles). Un éperon
rocheux (source) se décroche (flux) et impacte une habitation
(cible). La croute terrestre (source) tremble en dispersant une onde
5. Adéquation de vibration (flux) qui détruit des habitations et des infrastructures
méthode/problématique (cibles). Il est donc possible d’analyser les risques naturels à l’aide
de MADS-MOSAR.
Il en est de même pour les risques urbains. Une canalisation
Le moteur de MADS-MOSAR tourne autour du processus. Maî- d’eau potable (source) se rompt et n’alimente plus (flux) le réseau
triser les risques d’un système, c’est identifier les sources suscep- (cible). Un camion transportant une matière dangereuse (source)
tibles de générer des flux susceptibles eux-mêmes d’impacter des se renverse et le gaz contenu (flux) se disperse et intoxique la
cibles et associer les mesures de maîtrise des risques nécessaires. population avoisinante (cible).
Le tableau 3 montre, sans avoir la prétention d’être exhaustif, En conclusion, même à une échelle macroscopique, la méthode
que raisonner à partir du processus permet de couvrir toutes les MADS-MOSAR, de par son formalisme, permet d’analyser les
problématiques évoquées sur le risque industriel dans la risques technologiques, naturels et urbains, mais aussi et surtout
« problématique ». leurs interactions.
Par la notion de processus, l’application de MADS-MOSAR est
parfaitement adaptée à l’analyse de ces risques.

7. Exemple d’application
Tableau 3 – Typologie associée aux sources On se propose ici de donner un exemple d’application de la
méthode MADS-MOSAR pour réaliser l’étude de dangers d’une
Sources Cibles Problématique ICPE.

Sources en Pour l’appropriation aisée de cet exemple d’application, un

Environnement système simple est analysé.
fonctionnement Études de dangers
du système
accidentel Il s’agit d’un entrepôt frigorifique de stockage.

Sources Le système étudié est l’ensemble du site ainsi représenté et son

Cibles du système Études ATEX environnement.
d’explosion
Ce site comprend des voiries d’accès, des parkings, le bâtiment
Évaluation et des zones non imperméabilisées.
Sources
Personnel des risques
du système Le bâtiment comprend trois cellules de stockage, une salle des
professionnels
machines, un local de charge, des chariots élévateurs, un local
Plans de continuité transformateur, un local TGBT, un local emballage, une zone
Sources Cibles liées à l’acti- d’entretien, un local gardien, deux quais de chargement et des
d’activité – Risques
du système vité bureaux.
opérationnels
Dans la suite de cet exemple, seules les parties de l’étude de
Sources dangers nécessitant la mise en œuvre de la méthode
Capital du système Risques financiers
du système MADS-MOSAR sont illustrées.
Sources Sur la base de ce bref descriptif, les installations ont été modéli-
du système Risques sées dans le tableau 4.
Personnel
et de son environ- psychosociaux Dans ces différents sous-systèmes, 157 sources ont été identi-
nement fiées.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 9

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________

Tableau 4 – Liste des sous-systèmes modélisés

Systèmes Sous-systèmes
Engins Chariots élévateurs
Entrepôt Gare au sol
Mezzanine N1
Mezzanine N2
Cellule 1 Mezzanine N3
Cellules de stockage Câble
Appareil de levage Monte charge Monte charge
Machinerie
Cellule 2
Cellule 3
Canalisations
Compresseur

Installation Condenseur à air

frigorifique aux HFC Frigorifère
Vannes
Échangeur multitubulaire
Bouteilles de gaz
Canalisations de gaz
Canalisations Canalisations
de liquide
Installations
frigorifiques Compresseur
Condenseur évaporatif

Installation Détendeur à flotteur

frigorifique Eaux de process
à l’ammoniac
Pompes
Vannes
Frigorifère
Ammoniac de la salle
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

des machines
Ammoniac
Ammoniac (autre que
salle des machines)
Bureaux
Salle de réunion
Locaux Salle des archives
administratifs
et sociaux Salle de pause
Vestiaires
Local informatique
Local de charge
Local tableau général
Locaux techniques
basse tension
Local emballage

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

SE 4 062 – 10 est strictement interdite. – © Editions T.I.

tiwekacontentpdf_se4062 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

Tableau 4 – Liste des sous-systèmes modélisés

Systèmes Sous-systèmes
Local transformateur
Local de la salle
des machines
Salle des machines
Cheminée
Système d’extraction d’air
Ventilateur
Zone d’entretien
Quai 1
Quais
Quai 2
Bâti
Air
Aquifère
Environnement Eau
Cours d’eau
naturel
Flore
Sol
Industrie
Environnement Transport TMD aérien
technologique de Matières
Dangereuses (TMD) TMD routier

Réseau
d’assainissement
Réseau de gaz
Réseau d’eau pluviale
Réseau d’eau potable
Réseaux
Réseau d’éclairage
Environnement
public
urbain
Réseau électrique
Réseau incendie Eau d’incendie
Réseau téléphonique
Infrastructure
Transport routière
et autoroutière
Parking poids lourds
Parkings Parking véhicules
légers

Extérieur Poids lourds

Véhicules légers
Zone déchets
Local gardien
Entreprise
extérieure
Homme
Personnel
Population

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 11

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________

Tableau 5 – Sources identifiées dans le sous-système « Installation frigorifique à l’ammoniac »

Sous-système Source Typologie Phase de vie

Bouteilles de gaz Bouteille BP A.1 Exploitation

Bouteilles de gaz Bouteille MP A.1 Exploitation

Canalisations de gaz Canalisation de gaz A.1 Exploitation

Canalisations de gaz Canalisation de gaz C.2 Exploitation

Canalisations de gaz Gaz dans équipement A.3 Exploitation

Canalisations de liquide Liquide dans équipement A.3 Exploitation

Canalisations de liquide Canalisation de liquide A.1 Exploitation

Canalisations de liquide Canalisation de liquide C.2 Exploitation

Compresseur Chambre de compression A.1 Exploitation

Compresseur Lubrifiant B.3 Exploitation

Compresseur Moteur D.1 Exploitation

Compresseur Moteur A.9 Exploitation

Condenseur évaporatif Condenseur évaporatif A.1 Exploitation

Condenseur évaporatif Condenseur évaporatif F.1 Exploitation

Détendeur à flotteur Chambre de détente A.1 Exploitation

Eaux de process Eau de process B.3 Exploitation

Pompes Corps de la pompe A.1 Exploitation

Pompes Moteur D.1 Exploitation

Pompes Moteur A.9 Exploitation

Vannes Vanne manuelle A.1 Exploitation

Frigorifère Frigorifère A.1 Exploitation

Ammoniac de la salle des machines Ammoniac de la salle des machines B.1 Exploitation

Ammoniac de la salle des machines Ammoniac de la salle des machines B.2 Exploitation

Ammoniac de la salle des machines Ammoniac de la salle des machines B.3 Exploitation

Ammoniac de la salle des machines Ammoniac de la salle des machines B.5 Exploitation
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

Ammoniac (autre que SdM) Ammoniac (autre que SdM) B.1 Exploitation

Ammoniac (autre que SdM) Ammoniac (autre que SdM) B.3 Exploitation

Pour exemple, les sources identifiées dans le sous-système
« Installation frigorifique à l’ammoniac » sont listées dans le
tableau 5.
Ensuite, tous les événements ont été associés à toutes les
sources identifiées.
Pour exemple, on retrouve, figure 10, les événements associés à
la source « Bouteille MP – A.1 – EX ».
À partir des événements associés à chacune des sources, les
processus ont pu être construits. Il s’agit alors d’associer aux EIE
de « Bouteille MP » (à gauche sur la figure 10), les sources pou-
vant être à l’origine de ces EIE. Ces associations sont aussi réali-
sées pour les EP (à droite sur la figure 10). À chaque EP est
associé les cibles susceptibles d’être impactées.
On aboutit alors à l’arbre représenté figure 11.
Les mesures de maîtrise des risques associées aux événements
de cette même source sont listées dans le tableau 6.
Cet exemple d’application de MADS-MOSAR, illustré par ces
quelques extraits, a permis d’alimenter la négociation des barriè-
res en mettant en avant les mesures de maîtrise des risques exis-
tantes, acceptées et refusées. À partir de l’état des barrières, une
cotation en probabilité/gravité a pu être établie.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

SE 4 062 – 12 est strictement interdite. – © Editions T.I.

tiwekacontentpdf_se4062 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

Défaut

Corrosion

Solide en mouvement Usure

Projectile
Flux liquide
Onde de souffle
Projectile
Onde de choc
Onde de choc
Front de flammes Bouteille MP
(A.1, EX) Onde acoustique
Flux thermique chaud
Flux gazeux
Chute de matériaux
Rupture de confinement Absence de flux gazeux
Action volontaire

Action involontaire

Figure 10 – Événements associés à la source « Bouteille MP – A.1 – EX »

Défaut
Solide en mouvement
Corrosion
Chambre de compression Eau de process
Usure Flux liquide
Canalisation de liquide Ammoniac de la salle des machines
Projectile
Canalisation de gaz Chambre de compression

Bouteille BP Vanne manuelle

Onde de souffle Projectile Canalisation de liquide

Bouteille MP
Onde de choc (A.1, EX) Bouteille BP

Front de flammes Canalisation de gaz

Rupture de confinement Onde de choc

Ammoniac de la salle des machines

Moteur Onde acoustique

Flux thermique chaud
Moteur Ammoniac de la salle des machines

Local de la SdM Flux gazeux Ammoniac de la salle des machines

Bâti Chute de matériaux Ammoniac de la salle des machines

Absence de flux gazeux

Population
Action volontaire
Entreprise extérieure

Personnel
Action involontaire
Entreprise extérieure

Figure 11 – Arbre associé à la source « Bouteille MP – A.1 – EX »

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 13

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

MÉTHODE MADS-MOSAR ____________________________________________________________________________________________________________

Tableau 6 – Barrières associées aux événements de la source « Bouteille MP – A.1 – EX »

Type Événement Barrière Type de barrières
Source Soupape de sécurité Conception
Source Deux limiteurs de pression minimum Conception
Source Contrôleur de niveau Conception
Source Soupape de sécurité Conception
Source Deux limiteurs de pression minimum Conception
Source Contrôleur de niveau Conception
EII Usure Changement programmé Maintenance
EII Usure Contrôle – vérification – examen Contrôle technique
EII Corrosion Équipement nouveau Maintenance
EII Défaut Contrôle de la conformité Maintenance
EII Usure Changement programmé Maintenance
EII Usure Contrôle – vérification – examen Contrôle technique
EII Corrosion Équipement nouveau Maintenance
EII Défaut Contrôle de la conformité Maintenance
EIE Action involontaire Affichage réglementaire des risques Balisage
EIE Action involontaire Balisage Balisage
EIE Action involontaire Affichage du nom du produit Balisage
EIE Action volontaire Consignation dans un local fermé à clé Consignation
EIE Flux thermique chaud Moyens d’extinction Conception
EIE Flux thermique chaud Détection incendie Surveillance
EIE Flux thermique chaud Alarme incendie Surveillance
EIE Action involontaire Affichage du nom du produit Balisage
EIE Action involontaire Affichage réglementaire des risques Balisage
EIE Action involontaire Balisage Balisage
EIE Action volontaire Consignation dans un local fermé à clé Consignation
EIE Flux thermique chaud Alarme incendie Surveillance
EIE Flux thermique chaud Détection incendie Surveillance
EIE Flux thermique chaud Moyens d’extinction Conception
Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

EP Projectile Carter de protection Conception

EP Projectile Carter de protection Conception

Ces étapes de l’étude ne sont pas reprises ici car elles ne sont Le passé ne penche pas en la faveur de MADS-MOSAR. Très
pas propres à l’application de MADS-MOSAR même si son forma- nombreuses ont été les personnes formées à cette méthode, très
lisme le facilite grandement. peu sont les personnes à l’appliquer, que ce soit au CEA pour les
ingénieurs sécurité d’installations ou pour les écoles d’ingénieurs
regroupées au sein du réseau ARI (Analyse des risques industriels)
pour l’enseignement de cette méthode.
8. Avantages La méthode MADS-MOSAR, de par son formalisme initial
et inconvénients (module A, module B), de par son absence de règles claires
notamment quant à la signification et au vocabulaire des événe-
ments (EI, EII, EIE, EP), de par ses lourdeurs de combinaison entre
Compte tenu de l’historique de MADS-MOSAR, on ne peut pas les boîtes noires (sous-systèmes) et de par son absence de capita-
s’affranchir d’une analyse des avantages et des inconvénients de lisation est inapplicable. Seul celui qui a mené l’analyse s’y
son application. retrouve.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

SE 4 062 – 14 est strictement interdite. – © Editions T.I.

tiwekacontentpdf_se4062 Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

_____________________________________________________________________________________________________________ MÉTHODE MADS-MOSAR

Ell
El
Corrosion
Rupture
Usure
de confinement
Défaut
Bouteille NH
H3,
A.1, Ex

ElE
Action involontaire EP
Flux thermique Nuage d'NH3
Solide en mouvement Onde de souffle
Projectiles Projectiles
Chute de matériaux Onde acoustique
Onde de choc

Figure 12 – Événements associés à la source « Bouteille MP – A.1 – Ex »

À cela, il faut ajouter ce que certains perçoivent comme des Le formalisme de MADS-MOSAR devient désormais un avan-
inconvénients son systématisme et son exhaustivité. Savoir que tage.
l’on a modélisé 100 sous-systèmes, que dans ces 100 Ce formalisme, articulé autour de la notion de processus, pré-
sous-systèmes, on va identifier en moyenne cinq sources, cela fait sente un avantage encore plus important : son adaptabilité à tout
500 sources à analyser. 500 sources auxquelles il va falloir attacher type de système et pour tout objectif.
dix événements en moyenne, soit 5 000 événements à combiner
pour faire des scénarios et 5 000 événements sur lesquels il va En réfléchissant un peu, on se rend compte que tout est proces-
falloir attacher des mesures de maîtrise des risques. Rien que d’y sus. Tout peut être représenté à travers la notion de
penser, il y a de quoi, effectivement, calmer les ardeurs de chacun source-flux-cible, qu’il s’agisse de systèmes naturels, urbains ou
à appliquer MADS-MOSAR. technologiques. Un processus peut être construit à toutes les
échelles, de la plus macroscopique à la plus microscopique.
Alors, quelles sont les solutions ?
Le moteur MADS-MOSAR s’applique universellement, en fonc-
La première est la capitalisation. En effet, si l’on arrivait à capita- tion des objectifs.
liser les analyses déjà réalisées, on gagnerait un temps
considérable. Analyser les risques (industriels, environnementaux, psycho-
sociaux, opérationnels, financiers...) d’un système avec
Or, quand on y réfléchit un peu, MADS-MOSAR est une métho-
MADS-MOSAR est pleinement adapté.
dologie qui est structurée pour capitaliser, à condition de respecter
les règles préalablement dictées.
Reprenons l’exemple de la bouteille d’ammoniac sous pression
en A.1, en phase d’exploitation. Les événements qui lui sont asso-
ciés sont exposés en figure 12.
9. Mise en œuvre
Si ces événements ont été exhaustivement identifiés, on se rend Si la première solution pour réaliser une analyse de risques avec
compte que cette source dans un système A ou dans un système la méthode MADS-MOSAR passe par la capitalisation, la deuxième
B, chez un industriel A ou un industriel B, est identique. Ce sont les en découle : c’est l’informatisation.
processus qui seront différents car cette bouteille ne sera pas pla-
cée dans le même environnement où les sources ou les cibles En effet, si l’on capitalise, on se crée une banque de données.
seront différentes. On peut donc capitaliser les sources. Une banque de données ne peut être exploitée que si elle est infor-
Cette capitalisation ne s’arrête pas là. On peut aussi capitaliser matisée. A minima, des logiciels comme Excel, voire Access,
un sous-système avec toutes ses sources. Les sous-systèmes peuvent permettre d’exploiter cette banque de données.
« Pont roulant », « Chariot élévateur », « Bouteille de gaz », « Bac Cependant, pour exploiter pleinement tout le potentiel de
d’hydrocarbures » avec toutes leurs sources associées sont capita- MADS-MOSAR, il faut passer par un développement spécifique.
lisables.
On peut encore aller plus loin. Toutes les mesures de maîtrise
des risques possibles sur tous les événements d’une source
peuvent être identifiées et proposées, donc capitalisées. Il en est 10.Conclusion
de même pour les mesures de pérennité.
La colonne vertébrale de MADS-MOSAR est capitalisable : Cette présentation de MADS-MOSAR a pour seul objectif de
Sous-systèmes ⇔ Sources ⇔ Événements ⇔ Barrières ⇔ Barriè- convaincre le lecteur de son potentiel, de son adéquation à l’ana-
res de pérennité. lyse de risques de tout type de système.
En disposant d’une telle banque de données, on gagne un Cette présentation est le fruit de près de vingt ans d’expérience
temps considérable dans l’application de MADS-MOSAR. dans la mise en œuvre de MADS-MOSAR, vingt ans passés à
En ayant recours à une banque de données, les très gros exploiter son moteur d’analyse, le processus, pour le rendre
avantages de MADS-MOSAR peuvent alors être exploités : systé- pleinement opérationnel. Cette expérience est en partie restituée
matisme – exhaustivité. dans cette présentation.
De plus, si on a capitalisé, c’est que l’on a respecté les quelques On espère qu’au travers de cette présentation, avec les conseils
règles dictées préalablement. L’analyse réalisée devient alors fournis, axés surtout sur la pratique, MADS-MOSAR soit perçue
logique et cohérente. Elle devient facilement compréhensible et différemment et qu’avec un peu de recul, d’analyse et d’appropria-
exploitable par tous. tion, cette méthode devienne votre méthode d’analyse.

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. SE 4 062 – 15

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253

 P
O
U
Méthode MADS-MOSAR R

Pour en favoriser la mise en œuvre E

par Olivier GRANDAMAS
N
Docteur en génie de l’environnement
Directeur d’Asphaleia

S
A
Sources bibliographiques V
[1] PERILHON (P.). – L’analyse des risques – Mé-
thode MOSAR. Brochure HE-54/96/35A EDF
[3] LE MOIGNE (J.L.). – Théorie du système gé-
néral, théorie de la modélisation. 4e édition,
[5] Actes des assises internationales des forma-
tions universitaires et avancées dans le do-
O
et INSTN CEA Grenoble, Éditions Prévention. éd. PUF, Paris (1994). maine des sciences et techniques du danger.
[2] PERILHON (P.). – La gestion des risques –
Méthode MADS-MOSAR II. Manuel de mise
[4] Actes des colloques cindyniques. Institut
Européen de Cindyniques (1992) (1994)
Université Bordeaux 1, IUT A, Département
Hygiène, Sécurité, Environnement (1993).
I
en œuvre. Éd. Démos (2007). (1996).
R
À lire également dans nos bases
PERILHON (P.). – MOSAR – Présentation de la mé-
thode. [SE 4 060] Techniques de l’Ingénieur. P
PERILHON (P.). – MOSAR – Cas industriel.
[SE 4 061] Techniques de l’Ingénieur.
L
Supports numériques U
Logiciel MADS-MOSAR, CD-Rom version 2.09, Éditions Fox Média, 38 MEY-
LAN, {Logiciel d’apprentissage} (1999).
S

Outils logiciels
ASPHALES – Société ASPHALEIA
http://www.asphaleia.fr
Envision Risks – Société Case France – MOSAR
http://www.case-france.com

Sites Internet
IUT HSE – Université de Bordeaux 1 – Michel LESBATS
http://portaildurisque.iut.u-bordeaux1.fr/promethScienceDanger.htm

Toute reproduction sans autorisation du Centre français d’exploitation du droit de copie

est strictement interdite. – © Editions T.I. Doc. SE 4 062 – 1

Ce document a été délivré pour le compte de 7200048361 - ensib // 195.221.38.253