Risk Management

ALGERIAN PETROLEUM INSTITUTE
IAP spa
‘We want to know and understand in order to be able to act and act
“better” than we did before
“LANGEVELD, 1965”
If you wanna see further than others, stand on giants’ shoulders
Those who fail to plan, plan to fail
MSc SAID AMEZIANE

said.ameziane@iap.dz
samezianedz@yahoo.fr
MSc Said Ameziane, Risk Management, API, Boumerdes, May 2009
Sommaire Page
Chapitre I Introduction générale 1
Chapitre II Notions de base 7
2.1. La prévention des accidents 7
2.1.1. Introduction 7
2.1.2. Raisons pour la prévention des accidents 7
2.1.3. La philosophie de base en matière de santé et sécurité 9
2.1.4. Ratio des accidents 9
2.1.5. Cause des accidents 11
2.1.6. Le modèle de J. Reason 17
2.1.7. Principes de prévention 19
2.2. Risques et dangers 23
2.3. Les risques majeurs 25
2.3.2. Les risques industriels majeurs 25
Références 66
Chapitre III Le management des risques 69
3.1. Introduction 69
3.2. L’approche du risque 71
3.2.1. Analyse Du Risque 72
3.2.2. Evaluation Du Risque 72
3.2.3. Acceptation Du Risque 72
3.2.4. Réduction Du Risque 72
3.2.5. Démarche Pour L’analyse Des Risques 75
3.2.6. Définition Du Système Et Des Objectifs A Atteindre 75
3.2.7. Recueil De Data 75
3.2.8. Définition De La Démarche À Mettre En Œuvre 75
3.2.9. Constitution D’un Groupe De Travail 76
3.3. Les techniques de management des risques 77
3.3.1. Analyse Préliminaire Des Risques / Dangers (APR/APD) 77
3.3.2. Check-lists 81
3.3.3. Méthode "WHAT IF?" 85
3.3.4. HAZOP 86
3.3.5. Arbre Des Défaillances (FTA) 111
3.3.6. Arbre Des Evénements (ETA) 128
3.3.7. JOB SAFETYANALYSIS 134
3.3.8. AMDE Et AMDEC (FMEA FMECA) 136
Références 146
[MSc Said Ameziane, Risk Management, API, Boumerdes, May 2009
Page
CHAPITRE IV Le management des risqué liés au transport par pipelines 148

1.1. Les risques liés au transport par pipelines 148
4.1.2. Causes de défaillance de pipeline 148
4.1.3. Dangers et effets 149
4.1.4. Inspections des pipelines 149
4.1.5. Plans d’urgence 150
4.2. Le modèle de management des risques liés au transport par pipelines 152
4.2.1. Le management des risques 152
4.2.2. Sectionner ou segmenter le pipeline 160
4.2.3. Conception du modèle d’évaluation des risques 162
4.3. Application du modèle 172
4.3.1. Index des dommages causés par des parties tierces 172
4.3.2. Index des dommages causés par la corrosion 183
4.3.3. Index des dommages causés par le design 209
4.3.4. Index des dommages causés par les opérations incorrectes 224
4.3.5. LEAK IMPACT FACTOR, LIF 240
4.4. Le management des risques 250
Références 253
[MSc Said Ameziane, Risk Management, API, Boumerdes, May 2009

Page
Chapitre I Introduction générale
L’objet de ce document est de permettre à chacun de comprendre l'origine, les divers modes
de manifestation et les effets des sources de dangers. Il est également un moyen de
comprendre de quelle manière il est possible de prévenir ces risques et protéger les
personnes, l’environnement et les biens.
Les activités humaines créent des risques de tout genre : industriel, de rupture de barrage,
de transport de matières dangereuses, etc. Les activités sur un site industriel génèrent
quant à elles des risques qui se retrouvent sous le vocable de « risques industriels »
De l'automobile à la pharmaceutique, la plupart des produits de grande consommation de
nos sociétés modernes sont issus de l'industrie chimique ou pétrolière. Et ce sont les
matières utilisées et les processus de fabrication qui sont à l'origine des risques industriels.
Ces risques sont au centre des préoccupations de chacun d'entre nous.
Un risque industriel est un événement accidentel se produisant sur un site industriel et
entraînant des conséquences immédiates graves pour le personnel, les populations
avoisinantes, les biens ou l’environnement.
L'histoire des accidents industriels majeurs nous rappelle l'enjeu du développement de
l'urbanisation autour des sites dits " à hauts risques ". En effet ce ne sont généralement pas
les industries qui se sont installées à proximité de la ville mais l'inverse. Citons quelques
exemples Hassi-Messaoud, Skikda, Arzew…
La société se doit de faire face à ce constat par un management appropriée des risques
majeurs à travers la prévention de leur occurrence et la mitigation de leurs effets par la
protection des personnes, de l’environnement et des biens quand ils surviennent.
Selon l’INRS, le risque industriel est défini comme un évènement accidentel se produisant
sur un site industriel mettant en jeu des produits et/ou des procédés dangereux et
entraînant des conséquences immédiates graves pour le personnel, les riverains, les biens et
l'environnement. Afin d'en limiter la survenue et les conséquences, les établissements les
plus dangereux sont soumis à une réglementation particulière (classement des installations)
et à des contrôles réguliers.
Toujours selon l’INRS, la notion de « risques majeurs » concerne ceux caractérisés par une
probabilité faible et une gravité importante. Ils sont regroupés en deux catégories :
• Risques naturels : avalanches, des feux de forêt, des inondations, des mouvements
de terrain, des cyclones, des séismes, des éruptions volcaniques…
• Risques technologiques : engendrés par l’activité humaine. Ils pèsent sur
l’environnement considéré dans son acception la plus large. Ils regroupent les risques
de nature industrielle (issus de l’industrie), nucléaires, liés à la radioactivité, aux
MSc Said Ameziane, Risk Management, API, Boumerdes, May 2009 Page 1
transports de matières dangereuses (par voie maritime, terrestre ou fluviale), aux

exploitations minières et souterraines ou encore liés à la rupture de barrages.
Les conséquences d'un accident dans ces industries sont regroupées sous trois typologies
d'effets :
• Les effets thermiques liés à une combustion d'un produit inflammable ou à une
explosion ;
• Les effets mécaniques liés à une surpression, résultant d'une onde de choc
(déflagration ou détonation), provoquée par une explosion. Celle-ci peut être issue
d'un explosif, d'une réaction chimique violente, d'une combustion violente
(combustion d'un gaz), d'une décompression brutale d'un gaz sous pression
(explosion d'une bouteille d'air comprimé par exemple) ou de l'inflammation d'un
nuage de poussières combustibles.
• Les effets toxiques résultent de l'inhalation d'une substance chimique toxique (chlore,
ammoniac, phosgène...), suite à une fuite sur une installation. Les effets découlant
de cette inhalation peuvent être e.g. un œdème du poumon ou une atteinte au
système nerveux.
Quant aux cibles de ces accidents, elles peuvent être :
• Des individus i.e. des personnes physiques directement ou indirectement exposées
aux conséquences de l'accident. Elles peuvent se trouver dans un lieu public, chez
elles, sur leur lieu de travail... Le risque peut aller de la blessure légère au décès. Le
type d'accident influe sur le type des blessures.
• Des biens à travers des pertes économiques i.e. un accident industriel majeur peut
altérer l'outil économique d'une zone. Les entreprises, les routes ou les voies de
chemin de fer voisines du lieu de l'accident peuvent être détruites ou gravement
endommagées. Dans ce cas, les conséquences économiques peuvent être
désastreuses.
• L’environnement par un impact négatif i.e. un accident industriel majeur peut avoir
des répercussions importantes sur les écosystèmes (destruction de la faune et de la
flore, pollution d'une nappe phréatique…
Malgré toutes les mesures de prévention et de réduction du risque à la source, la probabilité
qu'un accident survienne n'est jamais nulle. Il est donc nécessaire de planifier les secours en
cas d’accident.
Malgré toutes les mesures de prévention et de réduction du risque à la source, la probabilité
qu'un accident survienne n'est jamais nulle. Il est donc nécessaire de planifier les secours en
cas d’accident.
L'évaluation des risques à travers l’analyse des différents scénarios permet de définir les
mesures à prendre en cas d'accident grave. Pour les sites classés Seveso deux types de
plans de secours doivent être mis en place. Il s’agit en l’occurrence :
• Du plan d'opération interne (POI) dont la vocation est de gérer un incident circonscrit
au site et ne menaçant pas les populations avoisinantes. Sa finalité est de limiter
l'évolution du sinistre et de remettre l'installation en état de fonctionnement et
• Du plan particulier d'intervention (PPI) mis en place pour faire face à un sinistre
sortant des limites de l'établissement. La finalité de ce plan est de protéger les
populations des effets du sinistre.
Le problème majeur qui se pose dans notre pays est l'information préventive des
populations sur les risques majeurs. Chaque citoyen doit prendre conscience de sa propre
vulnérabilité face aux risques et pouvoir l'évaluer pour la minimiser. Pour cela il faut se tenir
informé sur la nature des risques qui nous menacent, ainsi que sur les consignes de
comportement à adopter en cas d'événement. Les populations riveraines des sites classés
Seveso doivent recevoir tous les cinq ans une information spécifique financée par les
exploitants sous contrôle des autorités. Elle doit notamment porter sur la nature du risque,
les moyens de prévention mis en place, ainsi que sur les consignes à adopter. Pour ces
questions d’une importance vitale, il reste beaucoup à faire si ce n’est TOUT.
Historique : le contexte
Ces dernières décades ont permis de constater que les morts dues aux catastrophes
naturelles ont de très loin dépassé celles dues aux accidents technologiques en Europe.
Selon Ivan Vince il s’agit d’un rapport de 1 à 20. La directive SEVESO II à travers le système
MARS (MAJOR ACCIDENT REPORTING SYSTEM), a notifié que depuis 1984 600 accidents
majeurs ont lieu approximativement et que depuis l’année 2000, environ 30 accidents ont
été rapportés par an.
Même si les blessures et pertes de vie constituent l’intérêt immédiat concernant ces
accidents majeurs il n’en demeure pas moins que les coups portés à l’environnement
prennent de plus en plus de considération notamment à la suite de l’accident de Bâle en
Suisse en 1986 et BUNCEFIELD en GB 2005. Par exemple, lors de l’accident de Bâle i.e.
l’incendie de l’usine de SANDOZ, prés de 800 kms du Rhin ont été pollués par l’eau utilisée
pour éteindre cet incendie. En plus des pertes directes de $ 12 millions il faut rajouter $ 70
millions (demandes d’indemnisations pour cause de responsabilité).
Dans le rapport de la seconde évaluation (SECOND ASSESSMENT) de EUROPE’S
ENVIRONMENT entre 1984 et 1996, 21 accidents majeurs ayant causé des dommages
écologiques sur 300 ont été signalés avec ou sans impacts sur les êtres humains. Une
moyenne de 2 ou 3 accidents majeurs notifiés par an pourraient causer des dommages
significatifs à l’environnement
L’introduction ou amendements de directives, règles et autres règlements concernant les
accidents majeurs dangereux viennent à la suite de désastres résultant en pertes
significatives tant humaines qu’économiques ou ayant un impact négatif sur
l’environnement.
L’explosion chimique de Flixborough (1974, Grande Bretagne UK) a donné naissance à
SAFETY ACT en UK.
L’émotion suscitée par le rejet accidentel de Dioxine en 1976 sur la commune de SEVESO en
Italie, 25 km de Milan (17000 habitants) suite à une rupture d’un disque de rupture
(BURSTING DISC) d’un réacteur chimique a incité les Etats européens à se doter d’une
politique commune en matière de prévention des risques industriels majeurs.
Durant cet accident, le personnel de maintenance a entendu un sifflement et vu un nuage
de vapeur. Le rejet dura 20 mn (un nuage blanc de dioxine, substance hautement toxique.
Les jours suivants, une très grande confusion régna dans la région ; celle-ci est due à
l’absence de communication entre les entreprises et les autorités (comment réagir à ce type
de situation).
Heureusement il n’y avait pas de pertes humaines à déplorer mais beaucoup de personnes
sont tombées malades, des femmes enceintes exposées aux rejets ont avorté et dans la
zone contaminée, beaucoup d’animaux moururent.
Ces incidents ont poussé la Communauté Européenne (EC) à revoir les questions relatives
aux accidents majeurs dangereux. Cette revue a révélé une multitude de standards dans la
communauté ce qui a amené la Communauté Européenne à proposer une directive pour
harmoniser les standards en question.
Le 24 juin 1982 la directive dite SEVESO fut adoptée. Elle demande aux Etats et aux
entreprises d’identifier les risques associés à certaines activités industrielles dangereuses et
de prendre les mesures nécessaires pour y faire face. Elle exigeait des industries de process
de décrire les dangers et d’identifier les SAFEGUARDS (barrières de sécurité) pour limiter ces
dangers.
1984, Bhopal en Inde, rejet d’un nuage hautement toxique de méthylisocyanate MIC
résultant en plus de 2000 morts et des dizaines de milliers de blessés.
1986, Bâle Suisse incendie usine Sandoz- l’eau incendie contaminée pollua le Rhin: les
conséquences d’une défaillance peuvent être désastreuses pour les humains et
l’environnement
07/1988 Mer du Nord NS, Piper alpha une gigantesque plateforme fut détruite, 167 morts
Une enquête publique fut dirigée par Lord Cullen pour réaliser une investigation des causes
de l’accident.
Le rapport final comprend 106 recommandations ayant des implications importantes sur le
régime de travail off-shore. L’approche recommandée suivait la philosophie de Seveso à
savoir identification des dangers ainsi que le concept d’évaluation des risques et son
management à travers l’adoption de procédures dites « best practices »
Caractéristiques essentielles des recommandations:
• L’Evaluation Formelle de Sécurité (FORMAL SAFETY ASSESSMENT) exigeant des
employeurs de démontrer la conduite des opérations en toute sécurité.
• FSA implique l’identification et l’évaluation des dangers le long du cycle de vie d’un
projet.
Ces recommandations ont été appliquées dans le cadre des règlements de 1992 off-shore.
Ils exigent:
• L’identification des dangers
• L’évaluation des risques associés
• La provision de mesures de contrôle appropriées
• L’exposition des personnes aux dangers minimisée
La revue des opérations de Seveso par EC révèle que la directive n’a pas été strictement
appliquée et qu’il n’y avait pas de réduction significative des taux d’accidents ni changement
dans la gravité des conséquences de ceux rapportés. Par contre, les rejets majeurs
hydrocarbures en Mer du Nord, suite à l’application des règlements 1992 off-shore (SAFETY
CASE), ont été réduits de moitié et d’autres très significativement.
L’Off-shore régime de sécurité avait donc un effet positif sur la sécurité pas la directive
Seveso
12/1996, Seveso II fut adoptée. Elle recherchait à améliorer les limites de la première
directive. La nouvelle directive exige des exploitants de démontrer à travers une description
écrite qu’ils possèdent un système de management de la sécurité (SMS) qui peut
systématiquement et d’une façon continue identifier les dangers, évaluer les risques qui leur
sont associés et éliminer ou minimiser les risques encourus par les personnels ou le public
ou l’environnement et le long du cycle de vie à un niveau considéré ALARP (nous verrons au
chapitre II ce concept)
Pour UK, cette directive a été appliquée à travers les règlements connus sous CONTROL OF
MAJOR ACCIDENTS HASARDS (COMAH 1999) par la prévention et la mitigation des dangers
majeurs insistant sur le contrôle des risques tant sur les personnes que l’environnement à
travers un SMS intégré dans le management de l’entreprise et non comme un supplément
2003 a vu amendement de Seveso II par l’introduction de nouvelles dispositions à travers

une certaine terminologie en prenant en compte études relatives aux propriétés
dangereuses de certaines substances et niveaux seuils suite aux leçons tirées de différents
accidents survenus au sein de l’Union Européenne depuis quelques années (pollution du
Danube par des cyanures, en janvier 2000, à Baïa Mare en Roumanie, explosion d’artifices
en mai 2000 à Enschede aux Pays-Bas, explosion AZF en septembre 2001 à Toulouse).
Tableau 1.2 Exemples de terminologie et niveaux seuils (after Moore & Lakha)
Tableau 1.3 Exemples de terminologie et niveaux seuils (after Moore & Lakha)
Chapitre II Notions de base
2.1. La prévention des accidents
2.1.1. Introduction
Les maladies et blessures -qui constituent seulement un élément des pertes financières-
coûtent énormément d’argent aux entreprises. Les dommages causés aux installations,
produits et à l’environnement, au même titre que les pertes de production, constituent
également des coûts importants pour les entreprises.
Mais au-delà, il y a plus d’incidents et presque accidents que d’accidents causant des
blessures ou des dommages divers. Une prévention effective devrait se focaliser sur ce type
d’évènements car ne coûtant presque rien et pouvant permettre à l’entreprise d’apprendre
beaucoup.
La prévention des accidents requiert la création et l’entretien d’un environnement de travail
sans dangers et la promotion d’une culture de SAFE BEHAVIOUR.
Au départ la prévention des accidents était surtout réactive. Elle était fondée principalement
sur l’attente de l’occurrence d’accidents ou de maladies pour imaginer et implémenter une
certaine forme de contrôle pour prévenir la récurrence de ce type d’accidents et/ou maladies
dans le futur.
L’objectif principal qui doit guider une entreprise est de promouvoir une prévention proactive
des accidents. Les employeurs, avec leur personnel, doivent identifier les dangers, évaluer
les risques qui leur sont associés et implémenter les mesures nécessaires de prévention
avant que les accidents ne surviennent.
La prévention proactive des accidents peut être définie comme étant « l’identification des
accidents potentiels et la prise de mesures qui vont prévenir leur récurrence en première
instance ».
2.1.2. Raisons pour la prévention des accidents
Il y a trois raisons principales pour la prévention des accidents et autres maladies :

morale/humaine, financière et légale.
a. Morale
Personne ne vient au travail pour être blessé ou pour blesser quelqu’un d’autre ou pour
devenir malade. Personne ne n’aime être blessé ou voir ses collègues blessés. Aucune chose
n’est aussi importante que l’aspect humain d’une perte accidentelle : blessure, peine,
angoisse, perte de parties ou de fonctions, maladies professionnelles, handicap, mort…
Les employeurs et les employés ont une responsabilité morale de prévenir l’occurrence
d’accidents et de maladies (problèmes de santé) au travail. En d’autres termes, il y a un
devoir de tout un chacun envers les autres.
Les questions environnementales, la pollution… sont largement discutés actuellement
comme il existe une croyance croissante qu’il est simplement et moralement inacceptable de
mettre la vie et la santé des gens en danger, à l’intérieur ou à l’extérieur du lieu de travail,
pour simplement réaliser des profits.
b. Financière
L’entreprise est intéressée à éviter les coûts associés aux accidents dans l’optique d’assurer
la pérennité de la santé financière de ses activités.
Certains coûts d’accidents sont assurés (coûts directs) et d’autres ne le sont pas tels que les
dommages liés aux retards, surcoûts, temps perdu dans les investigations, dégâts
matériels…
Que les personnes soient touchées ou pas, les accidents coûtent énormément aux
entreprises et les coûts visibles ne représentent qu’une petite partie du coût total. Une étude
récente faite par le HEALTH & SAFETY EXECUTIVE (HSE) a montré que pour chaque £1 coût
assuré (i.e. le coût réel des blessures ou maladies en termes de coûts médicaux ou de
compensation) les coûts non assurés ou cachés varient entre £8 et £36. Ceci a été
traditionnellement dépeint en « iceberg » parce que la partie importante de l’iceberg est
cachée sous la mer.
Insurance Costs
Covering Injury, ill
£1 health, damage
Uninsured Costs
£8-36 Product and material
damage.
Plant & building damage
Tool & equipment damage.
Legal costs
Expenditure on emergency
supplies.
Clearing site
Production delays
Overtime working and
temporary labour
Investigation time.
Supervisor’s time diverted
Clerical effort.
Fines
Loss of
expertise/experience
Figure 2.1 L’iceberg des coûts (after HSE)
c. Légale
Les entreprises ont une obligation légale de prévenir l’occurrence d’accidents et de maladies
professionnelles.
2.1.3. La philosophie de base en matière de santé et sécurité
Les programmes réussis en matière de santé et sécurité possèdent en commun une

philosophie qui comprend entre autres les principes fondamentaux suivants :
• Les accidents sont causés donc ils peuvent être prévenus. Si la cause est
éliminée, l’accident l’est aussi
• Les accidents sont des situations anormales, inacceptables
• Les accidents sont le résultat d’une défaillance à l’échelle de l’organisation ; en
l’occurrence, un ou plusieurs composants de l’organisation à failli chaque fois
qu’un accident est survenu
• Il y a trois facteurs de motivation pour la prévention des accidents :
 Moral
 Légal
 Economique
Même si les trois doivent présent pour qu’une entreprise réussisse, le facteur moral doit être
prévalent.
2.1.4. Ratio des accidents
Des études ont montré qu’il existait une relation entre les divers types d’accidents.
Heinrich (1931) puis Bird (1969) et Tye et Pearson (1974/75) ont démontré cette relation
(voir la figure 2.2. Ci-après).
Les conclusions les plus significatives auxquelles ces études ont abouties sont :
• Il existe d’une manière cohérente plus de blessures légères que de blessures
sérieuses
• Tous les évènements représentent des défaillances dans les systèmes de
contrôle, ils peuvent donc potentiellement permettre aux organisations de
tirer les leçons et constituer des opportunités pour apprendre.
Une politique effective de prévention de la santé et sécurité devrait examiner tous les
dangereux évènements et autres comportements dangereux qui leur ont donné naissance.
C’est une manière de maîtriser les risques et mesurer les performances.
Celle-ci est appelée l’approche totale des pertes. Elle met l’accent sur le fait que les
entreprises ont beaucoup à apprendre tant à partir d’accidents que d’incidents pour atteindre
un contrôle effectif de ces évènements.
Elles devraient également regarder au-delà de leur propre organisation pour apprendre des
expériences des autres. Les investissements dans la réduction des risques contribuent
directement aux bénéfices et profits de l’entreprise car ils permettent la réduction des coûts
des accidents et maladies. Cette situation d’engagement pour des standards élevés en
termes de prévention de la santé et sécurité intéresse tant le travailleur que d’autres
intervenants tels que les actionnaires, compagnies d’assurance, le public et la société en
général.
Figure 2.2 Triangle des accidents (source RIDLEY & CHANNING)
Figure 2.3 Accidents 1er semestre 2005 (source SONATRACH)
La figure 2.3 montre que les chiffres avancés ne sont pas conformes aux ratios connus et
relevés dans les différentes études notamment celles de HEALTH AND SAFETY EXECUTIVE
(HSE) de Grande Bretagne. Ceci signifie à priori que ce qui est communément appelé ‘near
misses’ ou presque accidents ne sont pas correctement reportés autrement dit moins de
leçons à tirer.
2.1.5. Cause des accidents

a. La théorie des dominos
Heinrich a développé en 1931 la théorie des effets dominos des causes ayant abouti à des
accidents faisant la distinction entre les actes et conditions dangereux.
Sa théorie est basée sur une succession d’évènements pouvant être listés dans un ordre
chronologique allant jusqu’à l’accident.
Il s’agit donc d’un modèle qui donne une image sur comment les faits peuvent survenir.
Figure 2.4 Effets dominos (source SA)
Il existe plusieurs versions de la théorie des dominos et celle qui est illustrée dans la figure
2.4 ci-dessus est la version généralisée. L’idée de base derrière la théorie des dominos est
que les erreurs individuelles prennent place dans le contexte d’une organisation et qu’une
façon utile de les représenter est une série de dominos. Si l’un des dominos à gauche est
défaillant, il fera tomber ceux qui se trouveront à sa droite et par conséquent des pertes
surviendront.
1) Causes de base
La défaillance de base signifie que l’organisation a failli à un ou plusieurs niveaux à sa

mission de planifier (les tâches, opérations, etc.), diriger (instruire, former les personnels
chargés de réaliser les tâches et autres opérations, etc.), organiser (mettre à la disposition
de ces personnels les ressources nécessaires et adéquates à la réalisation de ces tâches :
personnel suffisant, temps, outils, équipements, produits, etc.) et contrôler (s’assurer que
toutes les tâches, opérations ont été accomplies tel que planifié, dirigé et organisé).
Les ressources comprennent en particuliers :
• Temps
• Outils
• Equipements
• Substances
• Main-d’œuvre, etc.
Tous les leaders réalisent quatre choses : planifier, organiser, diriger et contrôler (voir plus
haut)
Faillir à l’activité de PLANIFIER signifie : tous les aspects liés au poste de travail, tâche et
opération n’ont pas été planifiés effectivement de telle sorte qu’un accident inattendu n’ait
pas été éliminé.
Faillir à l’activité de DIRIGER signifie : le personnel impliqué dans le poste de travail, la
tâche, l’opération n’ont pas été instruits et formés aux dangers potentiels impliqués dans
leur activité et aux moyens mis en œuvre pour éliminer ou contrôler ces dangers.
Faillir à l’activité d’ORGANISER signifie : toutes les ressources nécessaires pour réaliser le
travail sans dangers n’étaient pas réunies, ou n’étaient pas adéquates et/ou dans des
conditions sûres de travail.
Faillir à l’activité de CONTROLER signifie : ne pas s’assurer que toutes les tâches, opérations
ont été accomplies tel que planifié, dirigé et organisé.
2) Causes indirectes
Il y a trois groupes ou facteurs qui composent la cause indirecte qui pourrait mener l’individu
à créer une situation dangereuse
i. Manque de formation
Cette situation peut miner un individu à commettre un acte dangereux ou créer une
situation (condition) dangereuse car il ne sait pas tout simplement. Un manque de formation
signifie :
• Pas de formation du tout
• La formation était incomplète
• La formation n’était pas répétée suffisamment
• La formation n’était pas comprise ou assimilée
ii. Manque de moyens
Le manque de moyens peut mener à des actes/conditions dangereux car les ressources
(temps, outils, équipements, substances et main-d’œuvre) nécessaires à la réalisation du
travail étaient :
• Non fournies
• Inadéquates (connaissances, taille, capacités, types…)
• Dans des conditions de travail dangereuses
iii. Manque de croyance
Ce genre de situations peut mener un individu à commettre un acte dangereux ou créer une
situation dangereuse car il ne croit pas réellement que lui ou quelqu’un d’autre peut être
touché (e.g. blessé). Il y a une croyance qu’une conséquence négative ne peut résulter de
son action. Cette situation est presque causée par les expériences du passé. Les facteurs qui
peuvent y contribuer sont entre autres :
• Faible moral
• Pression des pairs
• Pression pour la productivité
• Ressources inadéquates
3) Causes directes
Les causes directes sont les actes et/ou conditions dangereuses qui mènent directement à
l’accident. Ce sont les causes que tout le monde voir ou remarquer car elles sont
directement apparentes. Les actes dangereux comptent pour 85% des accidents, les
conditions dangereuses pour 14%. Cependant 85% des conditions dangereuses sont
causées par des actes dangereux. Nous pouvons dire que 97% de tous les accidents sont
causés directement ou indirectement par un acte dangereux.
Voici un exemple pour illustrer ce qui vient :
• Les causes possibles pour qu’une personne glisse sur une flaque d’huile pourraient
être : ne pas mettre les chaussures adéquates (EPI) ou ne pas regarder où elle
mettait les pieds
• Les causes possibles de ne pas essuyé l’huile déversée pourraient être : manque de
temps ou ne pas considérer cette tâche comme faisant partie de son boulot
• Les causes possibles du déversement d’huile pourraient être : travailler à la hâte,
instruments/outils inappropriés ou mauvaise méthode de travail
• Les causes possibles du faible management pourraient être : pression excessive pour
la production (résultat : travail à la hâte), manque de fonds pour l’achat
d’outils/instruments adéquats ou attention insuffisante dans le design de systèmes de
travail appropriés.
Le plus loin la cause de l’accident est à gauche des dominos, la plus grande implication du
management (direction) est. Ceci peut être appliqué à un grand nombre d’activités là où il y
a un manque en systèmes de travail appropriés. Donc il est possible d’identifier et de
remédier aux défaillances à l’échelle management et d’éliminer ainsi un grand nombre de
pertes.
L’utilité de l’investigation peut aller alors, au-delà de la simple prévention de la récurrence
de l’accident. Une façon de faire serait de regarder systématiquement ce que représente
chacun des dominos, de déterminer qui a commencé à tomber et concentrer l’investigation
dans cette zone. Mais il est important de se rappeler qu’il y a rarement une seule fonction
ou action causant un domino de tomber, plutôt il est plus juste de considérer qu’il y a
plusieurs raisons contribuant à cette chute. Il y a un besoin à continuer à se poser des
questions pourquoi les choses arrivent jusqu’à ce que tous les facteurs contributifs aient été
identifiés.
En continuant avec le même exemple :
4) Les pertes
Les causes possibles pour qu’une personne glisse sur une flaque d’huile étaient : ne pas
mettre les chaussures adéquates (EPI) ou ne pas regarder où elle mettait les pieds. La
question « pourquoi » devrait être posée pour chacun des deux cas pour savoir si de plus
amples informations peuvent être obtenues. Par exemple ne pas porter les chaussures
adéquates serait parce que :
• Il ne savait pas qu’il fallait porter des chaussures spéciales
• Il ne savait pas quel type de chaussures était approprié
• Les chaussures appropriées n’étaient pas confortables
• Les chaussures appropriées sont trop chères, etc.
Les réponses apportées à ces questions auront des implications différentes concernant les
actions de rémédiation donc il est important d’établir le « pourquoi » avant de faire des
recommandations.
5) Les conditions dangereuses

Les causes possibles de ne pas essuyé l’huile déversée étaient : manque de temps ou ne pas
considérer cette tâche comme faisant partie de son boulot. En posant la question
« pourquoi » concernant le manque de temps, les réponses plausibles seraient :
• Pression de la direction (management)
• Veut rentrer à la maison
• Manque de personnel…
Il ya très peu de chance que les gens prennent le temps de nettoyer des déversements si la
direction n’est intéressée que par la production
6) Les actes dangereux
Les causes possibles du déversement d’huile seraient : travailler à la hâte,
instruments/outils inappropriés ou mauvaise méthode de travail. En posant la question
« pourquoi » concernant l’existence d’un système de travail inapproprié, il vient ce qui suit :
• Personne n’a préparé un système de travail
• Les personnes chargées de faire ce travail ne savent rien sur le système de travail
• Le système de travail recommandé n’est pas pratique
• Le système de travail recommandé est obsolète…
Comme stipulé auparavant, quelque soit la raison qui a été identifiée, elle devrait être suivie
de telle sorte que toute action pour y remédier soit la plus praticable et adéquate possible.
7) Manque de contrôle de la direction
Les causes possibles du faible management seraient : pression excessive pour la production
(résultat : travail à la hâte), manque de fonds pour l’achat d’outils/instruments adéquats ou
attention insuffisante dans le design de systèmes de travail appropriés. En posant la
question « pourquoi » concernant les systèmes de travail écrits, les réponses seraient :
• Personne ne sait que c’est nécessaire
• Personne n’a le temps
• Personne n’a les connaissances
• Personne n’a une responsabilité claire…
Il faut noter clairement que plus l’investigation de base avance du domino « pertes » jusqu’à
celui de la « défaillance à l’échelle de l’organisation » plus grand est le nombre de personnes
qui devraient être interviewés.
Les causes immédiates ou primaires d’accidents sont généralement groupées en actes et
conditions dangereux.
Voici quelques exemples :
• Travailler sans autorité

• Défaillance d’avertir les autres d’une dangereuse
condition
• Laisser un équipement dans une condition dangereuse
• Utiliser un équipement à une fausse vitesse
• Déconnecter les dispositifs de sécurité tels que
protection des machines
• Utiliser un équipement défectueux
Actes
• Utiliser un équipement de mauvaise façon ou pour de
dangereux fausses tâches
• Défaillance dans l’utilisation des EPI
• Mauvais chargement de véhicules
• Se trouver à un endroit non autorisé
• Maintenance et entretien de matériel roulant non
autorisé
• Chahut
• Fumer dans des endroits où il n’est pas permis de le
faire
• Consommer de l’alcool ou des drogues…
• Absence de protection de machines ou protection
inadéquate
• Outils et équipements défectueux
Conditions • Dangers d’incendie
• Désordre
dangereuses
• Conditions atmosphériques dangereuses
• Trop de bruit
• Exposition aux radiations
• Illumination et ventilation inadéquate…
Tableau 2.1 Exemples d’actes et conditions dangereux

Ces éléments devraient être perçus comme des symptômes de causes sous-jacentes
indirectes ou secondaires qui leur permettent d’exister et de persister
Exemples de causes indirectes
Causes indirectes
• Pression du système de management

 Restrictions financières
 Manque d’engagement
 Manque de politique
 Manque de normes et standards
 Manque de savoir et d’information
 Restrictions en matière de formation…
• Pressions sociales
 Attitudes de groupes
 Tradition
 Attitude sociales pour la prise de risque
 Comportement acceptable sur les lieux de travail…
Tableau 2.2 Exemples de causes indirectes
2.1.6. Le modèle de J. Reason
Lors de la considération de la contribution humaine aux désastres, il est important de faire la

distinction entre deux types d’erreurs : les erreurs actives dont les effets sont
presqu’immédiatement ressentis et les erreurs latentes qui peuvent rester dormantes au
sein du système pour un long moment mais qui deviennent évidentes quand elles se
combinent avec d’autres facteurs pour créer des brèches dans les systèmes de défense et
dont les conséquences sont désastreuses.
En général, les erreurs actives sont associées à la performance des personnels de première
ligne (les opérateurs) d’un système complexe. D’autre part les erreurs latentes sont celles
qui sont le plus susceptibles d'être engendrées par ceux dont les activités sont éloignées
dans le temps et l'espace de l'interface de commande directe à savoir les designers, les
décideurs (haut niveau), les constructeurs, les personnels de maintenance et les managers.
Un examen étroit de six cas d’accidents majeurs en l’occurrence Three Mile Island, Bhopal,
Challenger, Tchernobyl, The Herald of Free Enterprise, et l’incendie de The King Cross
Underground indiquent que les défaillances latentes plus que des défaillances actives posent
actuellement une très grande menace pour la sécurité des systèmes de hautes technologies.
Dans le passé l’analyse de la fiabilité et l’investigation des accidents s’étaient focalisées sur
les erreurs des opérateurs et les défaillances des équipements.
Plutôt que d’être les principaux instigateurs d’un accident, les opérateurs tendent à être les
héritiers des défauts des systèmes.
Beaucoup parmi les causes racines des incidents/accidents étaient présentes au sein du
système très longtemps avant que les erreurs ne soient commises. Celles-ci étaient crées
entre autres par un mauvais design, une installation incorrecte des équipements, une
maintenance défectueuse et de très mauvaises décisions du management.
Les observations d’incidents/accidents suggèrent de faire une analogie entre les pannes des
systèmes technologiques complexes et l’étiologie (partie de la médecine qui étudie les
causes des maladies) des maladies à causes multiples telles que le cancer et les maladies
cardiovasculaires. Plus spécifiquement il existe des similitudes entre les défaillances latentes
d’un système technologique complexe et les pathogènes résidents dans le corps humain.
Cette métaphore met l’accent sur l’importance des facteurs-causes présents dans le système
avant qu’une séquence d’accident ne commence réellement. Tous les systèmes liés à
l’humain possèdent les agents potentiels de destruction tels que les pathogènes présents
dans le corps humain. A chaque moment, chaque système complexe aura en son sein un
certain nombre de défaillances latentes dont les effets ne sont pas apparents
immédiatement mais qui peuvent servir à promouvoir des actes dangereux et à affaiblir les
mécanismes de défense. Dans la plupart des cas ils sont tolérés, détectés et corrigés ou
maintenus sous contrôle par des mesures protectives (système auto-immunisant). Mais il ya
généralement un ensemble de circonstances externes dites « déclencheurs locaux » qui vont
surgir pour se combiner avec ces résidents pathogènes d’une façon subtile et souvent
improbable pour contrecarrer les défenses du système et engendrer des pannes
catastrophiques.
Cette métaphore possède un grand nombre de caractéristiques attrayantes mais est loin
d’être une théorie pratique ; elle agit à un niveau systémique plutôt qu’à un niveau
individuel.
Les tentatives de découvrir et neutraliser ces défaillances latentes seraient très bénéfique
pour la sécurité du système. Les efforts dirigés dans le sens de l’amélioration de l’interface
homme/machine ne traite qu’une très faible partie du problème (le sommet de l’iceberg).
Figure 2.5 Modèle de Reason de causes d’accidents (after Reason)
Figure 2.6 Modèle de Reason de causes d’accidents (after Southam)
2.1.7. Principes de prévention
Les principes de base de la prévention d’accidents peuvent être résumés comme suit :
• La prévention des accidents est une partie essentielle d’un bon management et d’un
bon travail
• La direction et les travailleurs doivent coopérer de tout cœur pour qu’il n’y ait pas
d’accidents
• Le TOP management doit être en tête de ligne (l’exemple) dans l’organisation de la
sécurité au travail
• Il doit y avoir une politique de santé et sécurité définie et au su et vu de tout un
chacun dans chaque lieu de travail
• Les meilleurs méthodes et savoir disponibles doivent être appliqués
En d’autres termes, pour atteindre ces principes :
• Il faut utiliser des techniques systématiques pour identifier et éliminer les dangers
• Utiliser des techniques systématiques pour évaluer et contrôler les risques résiduels
• Utiliser des techniques pour influencer le comportement et les attitudes
Comme stipulé plus haut, tous les leaders font quatre importantes activités :
Planifier: tout travail ou tâche
Organiser : tout travail et tâche
Diriger : former les employés qui vont accomplir le travail ou la tâche
Contrôler : s’assurer que le travail ou la tâche est mené avec le plus haut degré possible en
termes de qualité, sécurité, productivité et morale. Comme par hasard, la cause de base
d’occurrence d’accidents est également la défaillance dans la réalisation de ces activités
correctement.
Où faut-il dés lors se concentrer toute l’attention dans la prévention de l’occurrence
d’accidents ?
a. Planifier
Chaque travail, tâche ou opération doit être planifiée. La planification devrait comprendre
en particuliers :
• La définition des ressources nécessaires à l’accomplissement du travail en question
avec le plus haut degré possible en termes de qualité, sécurité, productivité et morale
• La définition de la formation requise pour réaliser le travail en question avec le plus
haut degré possible en termes de qualité, sécurité, productivité et morale
• L’identification des dangers présents lors de l’accomplissement de la tâche
• L’identification des mesures qui permettent d’éliminer ou maîtriser (contrôler) ces
dangers
La meilleure façon de réaliser une bonne planification se fait à travers un plan d’action.
Plan d’Action de Sécurité (SAFE PLAN OF ACTION SPA)
La PAS est un document de contrôle des tâches qui permet de s’assurer que chaque tâche
possède une planification en matière de sécurité avant que le travail ne commence. Le PAS
est développé par l’équipe guidée en cela par le « responsable ». Chaque membre de
l’équipe signe le document. Le PAS identifie les équipements de protection individuels (EPI)
spécifiques requis. Le PAS permet à l’équipe de participer à l’identification des dangers
potentiels et les mesures nécessaires de contrôle et de maîtrise des risques qui leur sont
associés.
Tableau 2.3 Plan d’action de sécurité
b. Organiser
Le succès de cette tâche dépend entièrement de la tâche précédente (planification). Il n’est

pas possible d’organiser effectivement l’activité sans une planification effective.
L’organisation est l’acte de s’assurer que toutes les ressources nécessaires à
l’accomplissement du travail sont :
• Disponibles
• Correctes (taille, type, etc.)
• Bonnes conditions de sécurité
L’organisation implique également avoir la coopération voulue de la part de tous. Elle devrait
être dans la forme écrite et non dans « la tête ».
c. Diriger
Il s’agit à ce niveau d’instruire et former le personnel pour l’accomplissement des activités et

autres tâches telles que planifiées et organisées.
Les superviseurs ont beaucoup de responsabilités liées à la formation. Elles comprennent
entre autres ce qui suit:
• L’orientation des nouvelles recrues pour ce qui concerne les zones de travail et les
différents dangers qui peuvent exister, les règles générales et spécifiques de sécurité
à suivre, les attentes des superviseurs en matière de sécurité, les rapports standards
sur les incidents/accidents et les conditions dangereuses…
• La formation relative à la sécurité pour les personnels existants à réaliser d’une façon
continue en utilisant toutes les opportunités de formation telles que les
meetings/briefings de sécurité (hebdomadaires ou quotidiens avant le début d’un
poste…), avant le démarrage d’une tâche, formation face à face sur les questions de
sécurité, observation de tâches et de comportements…
d. Contrôler
Cette activité ne signifie nullement jouer le rôle de gendarme mais plutôt de s’assurer que le
travail ou la tâche est mené avec le plus haut degré possible en termes de qualité, sécurité,
productivité et morale. Les étapes pour mener à bien cette tâche peuvent être résumées
comme suit :
• Décider de faire le contrôle. L’individu a le choix entre faire ou ne pas faire le contrôle
des opérations. Toutefois les superviseurs qui passent beaucoup de temps et
dépensent beaucoup d’énergie pour le contrôle des activités sont toujours couronnés
de succès.
• S’assurer que les ressources nécessaires à l’accomplissement de la tâche/activité sont

présentes et appropriées
• Observer continuellement les actes et conditions dangereuses
• Si un acte ou une condition dangereuse est notées alors :
 Prendre immédiatement des actions correctives
 Agir pour prévenir toute récurrence (déterminer les causes de la situation)
 Traiter les causes (absence de formation, former la personne ; absence de
ressources, les rendre disponibles ; absence de croyances, discuter avec
l’individu pour faire qu’il y croit…)
• Documenter les observations et les actions correctives entreprises
Le rapport d’observation de la sécurité est un outil qui permet d’identifier et de documenter
les actes et conditions dangereux. Cet outil recherche des actions plus que des conditions. Il
permet au personnel de sécurité et aux superviseurs de documenter leurs conclusions et
constatations. Il aide à indiquer les causes indirectes des accidents.
Les ressources et la formation peuvent être focalisées sur les zones d’insuffisance. La figure
2.7 ci-après montre un exemple rapport d’observation de la sécurité.
Figure 2.7 Exemple de rapport d’observation de sécurité (after Southam)
2.2. Risques et dangers
Le risque technologique majeur est un événement tel qu’une émission, un incendie ou une
explosion, de caractère majeur, en relation avec un développement incontrôlé d’une activité
industrielle, entraînant un danger grave, immédiat ou différé pour l’homme, à l’intérieur ou à
l’extérieur de l’établissement, et/ou pour l’environnement, et mettant en jeu une ou
plusieurs substances dangereuses.
Cette définition fait clairement la distinction entre le danger et le risque.
Le danger est une situation qui a, en elle, un certain potentiel à causer des dommages aux
personnes et aux biens.
DANGER INCIDENT ACCIDENT
Accident = Incident + Résultats
Résultats (outcomes) = succession d’évènements ou actions résultants en une conséquence
non désirée
Conséquence non désirée = blessure, mort, dommage propriété, interruption, pollution …
Incident = succession d’évènements ou actions
Figure 2.8 Evènements et résultats (after IOSH)
Figure 2.9 Incident/accidents (after NEBOSH)

Le risque est la manifestation possible du danger, un événement accidentel caractérisé par:
• La gravité des effets
• La probabilité d’occurrence
La mesure de l'effet d'un tel danger est appelée la conséquence tandis que sa fréquence est
le nombre de son occurrence par temps d'unité.
Ainsi le risque est la mesure de la fréquence d'un danger et de sa conséquence
Les risques de tous les résultats d'incident/accidents sont individuellement estimés en
utilisant la formule ci-dessous
RISQUE = SÉVÉRITÉ DES CONSÉQUENCES X

FRÉQUENCE DE L'OCCURRENCE
Et l’évaluation des risques est ` le processus par lequel les résultats de l'analyse de risque
sont utilisées dans la matrice de prise de décision.'
C'est un processus systématique pour identifier les dangers et la probabilité que ceux-ci
causeront des dommages.
Toutes les techniques de management des risques sont constituées de trois étapes
similaires:
• Identification des dangers.
• Évaluation des risques qui leur sont associés.
• Contrôle et la maîtrise de ces risques.
2.3. Les risques majeurs
2.3.1. Introduction
1974, Flixborough explosion dans une usine chimique, 28 morts et d’importants dégâts
matériels.
1976, Seveso. La fuite de produits toxiques (dioxine) à la suite d'une explosion dans un
réacteur chimique causa une grande peur et un grand émoi au sein des populations
environnantes et la paralysie des autorités. Cet événement ne fit aucun mort mais suscita
une très grande inquiétude (voir chapitre précédent).
Ces deux évènements étaient en fait un avertissement. A la lumière de l’inquiétude qui est
née, de l’impuissance des responsables et spécialistes à faire face à la situation ainsi que les
institutions, le concept de risque majeur fut proposé dans l’optique d’une nouvelle approche
de maîtrise des risques.
Au plan technique, un accident peut avoir un impact au de là des sites industriels et parfois
des années plus tard (Bhopal, Inde voir chapitre précédent).
Au plan économique, un accident peut avoir des conséquences catastrophiques voire mettre
en faillite une entreprise
Et finalement au plan sociopolitique, les populations riveraines imposeront leur voix vu
l’ampleur des dégâts pouvant les toucher et les menaces qui peuvent peser sur elles.
Mais au-delà de ces aspects majeurs, les activités sur un site industriel génèrent d’autres
risques qui ont un impact sur les travailleurs. Ces risques sont la conséquence d’un
fonctionnement normal de l’entreprise. Il s’agit entre autres de risques d’origine:
• Mécanique
• Electrique
• Chimique
et de risques liés au transport des biens.
Qu’il s’agisse de risque majeur ou autre, il existe des similitudes d’approche dans leur
prévention à travers :
• Des notions communes telles que danger, incident, accident, risque,
• Des concepts tels que prévention, protection
• Des techniques et démarches telle qu’évaluation des risques, etc.
2.3.2. Les risques industriels majeurs
Un risque industriel majeur est un événement accidentel dans une installation localisée et
fixe, qui met en jeu des produits et/ou des procédés industriels dangereux et qui entraîne
des conséquences immédiates graves pour le personnel, les populations avoisinantes, les
biens et/ou l’environnement.
Les manifestations de l'accident peuvent se traduire par :
• Un incendie de produits inflammables solides, liquides ou gazeux avec des risques de
brûlures et d'asphyxie (les substances présentes peuvent émettre des fumées
toxiques asphyxiantes)
• Une explosion de gaz, vapeurs, brouillards ou de poussières due à la formation de
mélanges réactifs qui peut avoir des effets mécaniques (du fait du souffle et de l’onde
de pression) et/ou thermiques
• Une dispersion de produits dans l'air, dans l'eau ou dans le sol, avec un risque de
toxicité par inhalation, l’ingestion ou les contacts avec la peau
Ces trois évènements peuvent être liés (effet domino): chacun des risques peut être la
cause ou la conséquence d'un autre risque (e.g. un incendie peut être à l'origine d'une
explosion).
Comme les dommages peuvent être extrêmement importants et dépasser même la capacité
de réaction de la société (concentration de la population aux abords des zones industrielles),
il est vital de mettre œuvre des moyens exceptionnels de prévention, de protection et de
secours.
Les installations à risques sont entre autres :
• Les industries chimiques, pétrochimiques (ensemble de la chaîne pétrolière)
• Les stockages de produits agro-pharmaceutiques
• Les dépôts de gaz et de liquides inflammables
• Les dépôts et fabrication d’explosifs, etc.
Face à cette situation, les citoyens ont un droit à l'information sur les risques majeurs
auxquels ils sont soumis et sur les mesures de sauvegarde qui les concernent. L'Etat devrait
être responsable quant à l’information de la population sur les risques majeurs auxquels elle
peut être soumise. Mais qu’en est-il en réalité ?
a. Incendies/Explosions
1) Introduction
Durant la production, le traitement, le transport et le stockage de substances inflammables
dans l’industrie, des gaz, vapeurs et brouillards ainsi que des poussières inflammables
s’échappent
Ces matières peuvent former des atmosphères explosibles avec l’oxygène de l’air. Nous
verrons plus loin les conditions de formation et d’inflammation de ces atmosphères.
Lorsque celles-ci s’enflamment, elles donnent lieu à des explosions qui peuvent causer
d’importants dommages aux personnes et aux biens.
Il y a eu tant d’exemples d’accidents spectaculaires dont les conséquences étaient des feux
et explosions ayant causé la perte de vies et la destruction d’installations ; ces accidents ont
également abîmé l'image publique des compagnies.
De l'explosion de nuage de vapeur (VCE) du cyclohexane à Flixborough à celui dans l'unité
d'isomérisation dans la plus grande raffinerie des USA (Texas) en passant par le (BLEVE) à
Mexico et au VCE initié dans une chaudière des trains de gaz naturel (GNL) à Skikda qui a
causé la mort de 27 personnes et plus 80 autres blessés sont certains exemples
catastrophiques. Mais cette situation négative a débouché sur des changements
importants : des lois et des efforts énormes ont été consacrés à la réduction de risque.
Ces lois, directives, spécifications ainsi que normes ont été élaborées pour éviter les
dangers générés par les explosions avec l’objectif de s’assurer qu’un très haut niveau de
sécurité est observé à tous les niveaux.
D’autre part le grand essor économique et la mondialisation de l’économie ont imposé aux
divers intervenants sur le marché de faire plus d’efforts pour la recherche d’une
harmonisation de ces lois et autres normes et standards relatifs à la protection contre les
explosions.
2) Historique
C’est parce que les bougies des mineurs pouvaient enflammer le méthane, un gaz plus
léger que l’air, que les zones dangereuses furent reconnues en premier dans les mines de
charbon.
1815, Humphrey DAVY inventa la « DAVY LAMP » une lanterne utilisant le kérosène et une
fine mèche, cette dernière étant suffisamment fine pour permettre d’avoir une certaine
lumière et pas la propagation de la flamme.
Davy étudia en 1815 les explosions qui avaient causé de nombreux désastres dans les mines
de charbon du fait de l’augmentation de la production au cours de la révolution industrielle.
Il identifia le gaz explosif comme étant un mélange de méthane et d’air et remarqua que
dans les tubes étroits le mélange n’explosait pas, la chaleur dégagée étant dissipée trop
rapidement. Il découvrit alors qu’une toile métallique empêche de la même façon les
explosions et qu’une lampe dont la flamme est entourée d’une telle toile ne présente plus
aucun danger. Bien plus, un changement de couleur de la flamme avertit de la présence
d’une atmosphère explosive. La lampe de sûreté fut rapidement adoptée partout et la
production de charbon augmenta considérablement, bien que quelques explosions se
produisirent malgré tout du fait de lampes mal entretenues ou placées dans des courants
d’air excessifs. (Histoire de la chimie). La figure 2.10 montre une lampe de Davy
Figure 2.10 Davy lamp (after histoire de la chimie)

L’introduction de moteurs électriques plus tard a marqué le début de la production
d’enceintes métalliques à l’épreuve des explosions. Le début du 20ème siècle a vu la
fondation de l’International Electro technical Commission (IEC) en Suisse avec comme
ultime objectif l’unification à travers le monde des codes et standards électriques.
Les années 1920 ont vu l’essor de l’aviation et de l’automobile donc la nécessité de
carburants plus raffinés ceci a engendré les premières classifications des zones dangereuses
et donc la naissance d’une nouvelle industrie avec l’objectif de protéger les équipements
électriques dans les zones dangereuses. Les premiers modes de protection furent : enceintes
à l’épreuve des explosions, immersion dans l’huile…
Et enfin pour simplifier la fabrication et la sélection des équipements, les gaz ont été
subdivisés en groupes ayant des caractéristiques similaires.
En Europe
En 1935, les allemands élaborèrent les premiers standards pour la protection des
équipements électriques dans les zones dangereuses dans l’optique d’être utilisés comme
guidelines pour l’installation d’équipements électriques dans ce type de zones.
1960 a vu la naissance du Comité européen de normalisation électrotechnique (CENELEC).
Celui-ci a émis les standards EN 50014-50020, normes indispensables ayant trait au
matériel électrique pour atmosphères explosibles; elles furent publiées en 1972.
En 1975 le Parlement européen a arrêté ses premières directives relatives à la protection
antidéflagrante.
La directive 94/9/CE du Parlement européen concernant le rapprochement des législations
des États membres pour les appareils et les systèmes de protection destinés à être utilisés
en atmosphères explosibles est venue remplacer toutes les directives relatives à la
protection antidéflagrante existant sur le plan européen à partir du 1er juillet 2003 pour tous
matériels et/ou installations neufs et le 1er juillet 2006 pour tous équipements et/ou
installations existants.
En janvier 2000 paraissait dans le Journal officiel des Communautés européennes une
deuxième directive, la directive 1999/92/CE comportant les prescriptions minimales visant à
améliorer la protection en matière de sécurité et de santé des travailleurs susceptibles d’être
exposés au risque d’atmosphères explosives. La date d’entrée en vigueur est la même que
pour la directive 94/9/CE. L’IEC est chargée dans une mesure croissante de l’élaboration des
normes en vue de favoriser une application de ces dernières au-delà de la zone UE.
L’ancienne directive 79/196/CEE (old approach) est remplacée par la nouvelle 94/9/CE (new
approach) Les anciennes normes concernaient exclusivement le matériel électrique
antidéflagrant et aucunement le matériel non électrique. La nouvelle directive s’applique
quant à elle à tous les appareils et systèmes de protection, électriques et non électriques. La
certification du produit devrait être faite par un organe notifié (notified body), exception
faite pour les équipements de la catégorie 3 que les fabricants peuvent certifier eux même.
Du fait que cette directive a été élaborée selon la «nouvelle approche» de l’Union
européenne, la déclaration de conformité CE liée au marquage CE a été introduite pour le
matériel antidéflagrant. En plus des appareils et systèmes de protection électriques et non
électriques, l’application a été étendue aux atmosphères explosibles du fait de la présence
de gaz et de poussières.
Les directives «nouvelle approche» se fondent entre autres sur les principes que
l’harmonisation est limitée aux exigences essentielles et que seuls les produits répondant
aux exigences essentielles peuvent être mis sur le marché et mis en service
Les dispositifs de sécurité, de contrôle et de réglage destinés à être utilisés en dehors

d’atmosphères explosibles mais qui sont nécessaires ou contribuent au fonctionnement des
appareils et systèmes de protection au regard des risques d’explosion entrent également
dans le champ d’application de cette directive.
Il est à signaler qu’au Royaume Uni, la directive ATEX est appliquée dans le cadre de DSEAR
(Dangerous Substances And Explosive Atmospheres Regulations 2003) qui unifie cette
directive et la directive appelée CAD (Chemical Agent Directive)
En Amérique
En comparaison avec les états européens en général où les diverses normes CENELEC pour
les appareils électriques antidéflagrants sont appliquées coïncidant dans une large mesure
avec les directives de IEC, d’autres nations, par exemple les Etats- Unis, utilisent
essentiellement leurs propres prescriptions et standards pour le matériel électrique et les
installations en emplacements dangereux. Aux Etats-Unis, ce sont principalement les
directives UL (Underwriters Laboratories) et FM (Factory Mutual) qui font autorité de même
que et dans une moindre mesure les normes IEC. Les prescriptions nationales valables pour
les installations aux USA sont décrites dans le «National Electrical Code» (NEC) Le NEC
comprend toutes les directives électrotechniques concernant les installations y compris celles
touchant les atmosphères explosibles. Ces dernières sont décrites dans les articles 500 à
517. Quelques dates :
1920- NEC considère les endroits où les substances hautement inflammables sont
manufacturées, utilisées et stockées
1931- Première classification consistant en 3 classes :
• Class I pour gaz et vapeurs
• Class II pour poussières
• Class III et IV pour fibres
1935- Définit les groupes pour Class I sur la base de la pression de l’explosion et de la
transmission des flammes. 4 groupes sont ainsi définis
1937- 3 nouveaux groupes sont ajoutés pour les poussières.
1947- Introduction du concept de division (1et 2) et combinaison des Class III et IV en Class
III
1996- Introduction de la classification internationale en zones (article 505)
1999- Nouvelle définition pour les groupes Class I
3) Principes de base
Dans ce chapitre, les principes de base de l’incendie/explosion, les risques rencontrés dans
les lieux de travail et les différentes mesures en vue de les minimiser seront abordés.
Les mesures pour la prévention et le contrôle d’incendie/explosion ainsi que l’évacuation
sûre des lieux seront considérées.
Un feu est une combustion. On le trouve dans des fours, des chaudières sous forme de
combustion contrôlée. Quand il devient une combustion incontrôlée, Il prend alors une
dimension telle qu'il peut provoquer un incendie.
Nous faisons une distinction fondamentale entre feu et incendie.
Un programme thermique prédéterminé permet aux experts du feu de maîtriser une
combustion contrôlée qui répond à un scénario défini où les feux sont réalisés dans des fours
ou enceintes d’essai et où les fumées sont canalisées pour ne pas incommoder les
opérateurs ; c’est le cas de l’industrie du verre, l’industrie céramique et autres industries du
feu.
Quant aux experts de l’incendie, que sont les sapeurs-pompiers, ils doivent, eux, tenter de
maîtriser une combustion incontrôlée dont le scénario comporte des imprévus avec des vies
humaines qui doivent être secourues, des vies humaines qui doivent secourir, des vies
humaines qui doivent intervenir…
Un incendie a pour résultat des conséquences matérielles, humaines économiques et
financières.
Le feu est un processus chimique rapide dans lequel l’oxygène se combine avec une autre
substance en présence d’une source de chaleur (énergie). La réaction de ces éléments
s’appelle combustion ; celle-ci libère de la chaleur, de la lumière et des flammes.
Figure 2.11 Tétraèdre de feu

Avant qu’un feu ne démarre, trois composants (comburant, combustible, chaleur) doivent
être présents en quantités suffisantes. Après l’initiation du feu, l’énergie dégagée est
suffisante pour que la chaîne de réaction chimique s’enclenche : c’est le quatrième élément.
On parle ainsi du tétraèdre de feu
La chaleur agit comme source d’inflammation : toute chose qui peut donner naissance à de
la chaleur peut démarrer un feu.
Le combustible devrait être vu comme toute substance capable de s’enflammer. Les
substances à base de carbone et hydrocarbure s’enflamment à des températures souvent
générées dans les lieux de travail et environnement domestique.
Essentiellement fourni par l’oxygène présent dans l’air. Cependant, la quantité d’oxygène
naturellement présente peut être augmentée par la présence d'autres sources
i. Domaines d’explosivité/ Energie d’inflammation
Une atmosphère explosible (ATEX) est « un mélange avec l’air, dans les conditions
atmosphériques, de substances inflammables sous forme de gaz, vapeurs ou poussières
dans lequel, après inflammation, la combustion se propage à l’ensemble du mélange non
brûlé ».
Pour qu’une atmosphère explosible se forme, la substance inflammable doit avoir une
certaine concentration i.e. le mélange doit être explosif. Pour ce faire il ne doit être ni trop
pauvre ni trop riche en combustible. Si la concentration est trop pauvre ou trop riche il ne
peut y avoir d’explosion il y a plutôt une réaction de combustion lente ou rien. En fait, ce
n’est qu’entre une valeur appelée Limite Inférieure d’Explosivité (LIE) d’une substance
inflammable i.e. concentration minimale dans le mélange au-dessus de laquelle il peut être
enflammé et une valeur appelée Limite Supérieure d’Explosivité d’un gaz ou d’une vapeur
dans l’air (LES) i.e. concentration maximale dans le mélange au-dessous de laquelle il peut
être enflammé, que le mélange est explosif.
Ces limites d'inflammation d'un mélange gazeux permettent de déterminer les
concentrations de gaz qui, dans des mélanges gazeux, peuvent être enflammés avec ou
sans présence d'une flamme pilote.
Les limites d'inflammation ou limites d'inflammabilité peuvent, par exemple, s'exprimer en
% en volume, en g/m3 d'air ou en mg/litre d'air. En prévention incendie, c'est la limite
inférieure d'inflammabilité qui est la plus importante.
Dans le cas où le gaz est un n-alcane (formule générale Cn H 2n+2 ) tels que le méthane,
propane, butane…la limite inférieure d'inflammabilité est pratiquement constante à une
valeur de 40 à 50 g/m3 ou 37 à 45 mg/l tandis que la limite supérieure augmente
sensiblement de 130 g/m3 pour n=1 (méthane) à 380 g/m3 pour n=10 (décane). La limite
inférieure d'un mélange gazeux peut être déterminée par le calcul. Par exemple, la limite
inférieure d'inflammabilité d'un mélange gazeux, en volume, de 50% de propane (limite
inférieure = 2,1 % en volume) + 40 % de n-butane (limite inférieure = 1,8 % en volume +
10 % d'éthane (limite inférieure = 3% en volume vaut:
100
L= = 2 % vol
50/2,1 + 40/1,8 + 10/3
Quelques valeurs de limites d’inflammabilité (explosivité) :
Tableau 2.4 Limites d’explosivité pour certaines substances (after R Stahl)
Figure 2.12 Limites d’explosivité (after GESIP)

ii. Energie d’inflammation/Température d’auto inflammation
Pour qu’une atmosphère explosible « explose » il faut l’apport d’une source d’inflammation
suffisante i.e. une source d’énergie suffisamment importante ou une température
suffisamment élevée). Nous verrons le cas température plus loin.
Energie d’inflammation
Pour tout mélange de vapeur ou gaz/air il existe une valeur critique d’énergie d’inflammation
i.e. un minimum absolu au dessous duquel l’inflammation n’a pas lieu c’est l’Energie
Minimum d’Inflammation (EMI). Pour enflammer un mélange air/hydrocarbure cette valeur

varie entre 0.017 et 3 mJ.
Pour qu’il n y ait pas inflammation, la condition suivante doit être satisfaite :
Energie fournie par la source < EMI
Comme spécifié plus haut, la source d’inflammation suffisante pourrait être une température
suffisamment élevée.
Température d’auto inflammation
Lorsque la température atteint une valeur critique le mélange gazeux peut s'enflammer sans
présence de flamme pilote. Cette température est appelée température d'auto-inflammation
ou point de combustion spontanée.
La température d’inflammation est la « température minimum nécessaire pour enflammer
un mélange combustible pouvant causer un incendie ou une explosion »
Les substances inflammables sont caractérisées par leur température d’auto inflammation
qui est tout simplement la température à laquelle le mélange avec l’air s’enflamme
spontanément. Autrement dit pour qu’il n y ait pas inflammation :
T Mélange <T auto inflammation
C’est la raison pour laquelle une classification de température a été définie.

La limitation en température des surfaces susceptibles d'entrer en contact avec une
atmosphère explosible constitue donc l'un des moyens efficaces permettant d'éviter le risque
d'inflammation. Autant il faut considérer la protection contre les arcs électriques et autre
étincelles et décharges électrostatiques, autant un grand intérêt devrait être apporté aux
températures de surface des équipements. Les substances inflammables sont caractérisées
par leur température d’auto inflammation.
iii. Le point d’éclair ou FLASH POINT (FP/PE)
Un liquide, en soi et d'un point de vue purement physique, n'est pas inflammable. C'est le
mélange des vapeurs de ce liquide dans l'air qui peut former un mélange gazeux
inflammable. Dans ce sens, les mêmes principes s’appliquent autant pour les gaz que pour
les liquides (les limites d'inflammabilité, les énergies d'inflammation et les températures
d'auto-inflammation ou points de combustion spontanée…).
Il s'ensuit que pour qu'un liquide présente un danger immédiat, il faut qu'il s'évapore et que
ses vapeurs forment, avec l'air ambiant, un mélange gazeux inflammable. Autrement dit,
pour qu’un liquide inflammable s’enflamme ou explose il est nécessaire que le liquide
s’évapore en premier. Dans le cas des vapeurs donc, la température du liquide inflammable
doit être suffisante pour émettre suffisamment de vapeurs.
Vu que la formation de ce mélange gazeux est tributaire de l'évaporation du liquide il serait
intéressant de connaître la température la plus basse à laquelle le liquide fournit
suffisamment de vapeurs pour former, avec l'air ambiant, un mélange gazeux qui
s'enflamme sous l'effet d'une source d'énergie calorifique telle qu'une flamme pilote.
C’est le flash point ou le point d’éclair.
Le point d’éclair d’un liquide inflammable est « la température minimum à partir de laquelle
un liquide donne de la vapeur en quantité suffisante pour former un mélange inflammable
avec l’air à la surface du liquide à la pression normale de l’air ». Autrement dit, c’est la
température minimale à laquelle un liquide émet suffisamment de vapeurs pour former un
mélange inflammable avec l’air. Ceci implique, encore une fois, pour qu’il n y ait pas
inflammation :
T liquide < PE
iv. Point d’inflammation

Il est supérieur au point éclair de quelques degrés (environ 2 à 3°C). C’est la température à
laquelle le liquide émet suffisamment de vapeurs pour former avec l’air un mélange
inflammable, qui une fois allumé entretient sa combustion. Il est aussi appelé point de
flamme.
v. Tension de vapeur
Pour une température donnée To, il s’établit entre la phase liquide et la phase gaz une
pression d’équilibre Po appelée pression ou tension de vapeur. Pour une température T1>To,
il s’établit une nouvelle pression d’équilibre P1>P0. Si la température diminue, la pression
de vapeur diminue (figure 2.13).
Figure 2.13 Tension de vapeur (after GESIP)
vi. Point d’ébullition

C’est la température à partir de laquelle un liquide entre en ébullition, phénomène qui se
produit lorsque :
TENSION DE VAPEUR = PRESSION ATMOSPHERIQUE
Résumé
Les caractéristiques physiques des liquides qui nous intéressent sont la densité par rapport à
l'eau pour savoir si le liquide flotte ou non sur l'eau d'extinction, sa miscibilité dans l'eau qui
nécessitera l'usage de mousses d'extinction qui ne se dissolvent pas dans l'eau, la densité
des vapeurs qui est toujours supérieure à l'unité et conditionne donc leur propagation vers
les parties basses, la température d'ébullition à laquelle la totalité du liquide passe de la
phase liquide à la phase vapeur et la tension de vapeur qui conditionne la vitesse
d'évaporation dans l'air car le mélange gazeux se forme d'autant plus rapidement que la
tension de vapeur du liquide est élevée.
Dans la figure 2.14 ci-dessous (concentration du liquide dans l'air par rapport à la
température de l'air,) considérons un mélange de y% en volume de liquide dans de l'air sous
forme d'un brouillard (trait a) c'est-à-dire des fines gouttelettes de liquide réparties dans
l'air. L'état de dispersion dans l'air intervient quand le liquide y est dispersé sous forme de
fines gouttelettes pour former un brouillard.
Figure 2.14 Concentration du liquide par rapport à la température
En augmentant la température de ce mélange, on atteindra une température T1 à partir de

laquelle les gouttelettes de liquide se vaporisent. On obtient un mélange gazeux. En
répétant cette opération pour différentes concentrations liquide/air, on obtient la courbe m.
Pour une concentration de 100% de liquide dans l'air le point m de la courbe représente la
température d'ébullition Te du liquide.
Si on provoque une étincelle dans la zone "mélange gazeux" située à droite de la courbe m,
on constate que le mélange gazeux s'enflamme pour tous les points situés dans la zone A et
ne s'enflamme pas dans les zones C. Les séparations de ces zones constituent en fait les
limites d'inflammabilité qui, on le voit, varient en fonction de la température du mélange.
L'utilité de cette figure est de mettre en évidence le point critique PE qui correspond à la
température la plus basse à laquelle le mélange gazeux peut s'enflammer sous l'effet d'une
source d'énergie (étincelle ou flamme) conventionnelle. Le point Y est le point d'éclair. Cette
figure permet de définir:
• Les limites d'inflammabilité LSI et LII;
• La variation de ces limites en fonction de la température;
• Le point d'éclair PE
Mais la notion de point d'éclair ne satisfait pas toujours le praticien car l'inflammation
constatée par l'opérateur ne se maintient pas dans le temps. Pour obtenir une combustion
entretenue du mélange gazeux il faut que le liquide soit porté à une température légèrement
supérieure au point d'éclair. C'est le point de feu situé à droite du point d'éclair.
Nous avons défini ci-dessus la zone A dans laquelle le mélange gazeux est inflammable en
présence d'une source d'énergie calorifique. Quand la température augmente cette source
d'énergie n'est plus nécessaire et on est dans la zone B où le mélange est réputé auto-
inflammable. On constate que le point d'auto-inflammation Ta dépend de la concentration du
gaz dans le mélange gazeux.
Les mesures de prévention associées à l'usage de liquides inflammables seront caractérisées
par la quantité de liquide, son mode de stockage ou conditionnement, son flash point, les
possibilités de ventilation aux points bas qui permettront d'éviter qu'un mélange gazeux,
résultant d'une fuite éventuelle, reste dans ses limites d'inflammabilité et la non présence de
sources d'inflammation en particulier aux points bas vu que les vapeurs de liquides
inflammables sont plus lourdes que l'air.
vii. Sources d’inflammation (ignition)
Il suffit d’une petite quantité d’énergie, appelée énergie minimale d’inflammation EMI pour
qu’un mélange inflammable qui n’est pas porté à sa température d’auto inflammation
s’enflamme.
Tout ou partie d'appareils doit être soumis à une analyse détaillée afin d'identifier toutes les
sources potentielles d'inflammation. En particulier, cette évaluation inclut tous les points
chauds potentiels et les sources d'étincelles mécaniques induites par le frottement de parties
mobiles. Ces sources potentielles d’inflammation peuvent être de plusieurs origines. Il existe
13 sources d’inflammation répertoriées. Entre autres, notons : surfaces chaudes, gaz chauds
et flammes, étincelles d'origine mécanique, décharges électrostatiques, compression
adiabatique et ondes de choc, réactions exothermiques, incluant l'auto inflammation des
poussières… Donc ces sources peuvent être entre autres d’origine :
• Electrique (étincelles, échauffement…) : La vétusté, le caractère improvisé de
certaines installations (installations non réalisées dans les règles de l’art) ou les
surcharges électriques peuvent entraîner des échauffements à l’origine de bon
nombre de départs d’incendies.
• Electrostatique (décharges par étincelles, …) : L’électricité statique est une cause
indirecte d’incendies. En effet, elle peut provoquer des étincelles qui interviennent
comme énergie d’activation (voir par ailleurs le point relatif à l’électricité statique).
• Thermique (surfaces chaudes, appareils de chauffage, flammes nues, travaux par
point chaud…) : une flamme nue constitue une source d’inflammation active. Les
travaux par points chauds (soudage au chalumeau, oxycoupage…), de maintenance
et d’entretien sont une source majeure de sinistres (environ un incendie sur cinq)
• Mécanique (étincelles, échauffement…) : les échauffements et les étincelles d’origine
mécanique, résultant des process de friction, de choc et d’abrasion, ou de
défaillances (roulements, paliers…) peuvent être à l’origine de températures parfois
très élevées
• Chimique (réactions exothermiques, auto échauffement, emballement de réaction…).
• Bactériologique : La fermentation bactérienne peut échauffer le milieu et le placer
dans des conditions d’amorçage d’un auto échauffement…
L'évaluation des risques d'inflammation devra aussi inclure les parties ou composants
lesquels, s'ils étaient défaillants, pourraient enflammer toute substance inflammable (par
exemple, huile de lubrification) contenue dans l'appareil et qui pourrait à son tour devenir ou
produire une source d'inflammation.
Finalement, il sera nécessaire de produire un rapport d'évaluation du risque indiquant où les
sources d'inflammation prévisibles peuvent apparaître et les précautions recommandées à
prendre pour les contrôler ou les prévenir avant qu'elles deviennent actives.
viii. Electricité Statique
Selon Graham ACKROYD, approximativement 1 sur 10 ignitions dans l’industrie chimique

sont dues à l’électricité statique.
Quand deux substances de différentes natures sont en contact et proches l’une de l’autre, et
quand il y a friction entre elles, il y a échange de charges électriques et les électrons vont
migrer préférentiellement d’un corps à un autre. L’électricité statique est générée quand ils
sont séparés donnant lieu à deux corps également chargés de charges opposées pouvant
donner naissance à des décharges statiques et inflammation.
L’énergie produite est insuffisante pour être directement nuisible au corps humain mais les
étincelles générées peuvent causer l’ignition de substances inflammables telles que gaz,
vapeurs, brouillards ou poussières et donner naissance à des feux ou explosions.
Graham ACKROYD a défini l’électricité statique comme une accumulation de charges
stationnaires en excès. L’électricité statique est générée partout où il y a mouvement de
matière dans une usine.
Le contact et la séparation de solides en mouvement (personnes, machines), mouvement de
liquides ou poudres sont des exemples typiques.
Les exemples les plus courants concernant la création de charges et de potentiels
électrostatiques sont les suivantes :
• L’écoulement d’un liquide isolant dans une conduite : des charges de signes opposes
sont collectées par la paroi et emportées par le liquide. Ces charges croissent avec la
vitesse d’écoulement (de façon importante pour des vitesses supérieures à 1 m/s),
les frottements dus a des rétrécissements de la section, les obstacles, la présence
d’impuretés dans le liquide (eau, air) ou lorsque le matériau des canalisations n’est
pas conducteur
• L’écoulement, la chute de liquides dans un réservoir. Les charges apparaissent
notamment à la surface du liquide dans le réservoir et, opposées en signe, a
l’intérieur de la paroi.
• L’écoulement de gaz charge de particules liquides ou solides
• Les frottements de diverses natures : courroies et poulies de transmission…
Les mesures qui peuvent garantir la non accumulation de charges électrostatiques devraient
être utilisées, en particuliers :
• Le maintien de l’humidité relative de l’air au dessus de 50% : une humidité relative
minimale de l’ordre de 70 % empêche l’apparition des charges électrostatiques sur
les matériaux susceptibles de fixer l’humidité (coton, laine, bois, papier,…)
• Mise à la terre de toutes les parties métalliques qui peuvent accumuler l’électricité
statique
• Application de produits antistatiques pour les surfaces susceptibles de devenir
électrifiées
• Réduction de la vitesse de transfert des liquides ou utilisation de conduites de larges
diamètres pour ce faire, réduction des hauteurs de chutes de liquides inflammables
dans les réservoirs, interdiction des déversements en pluie pour les hydrocarbures
réduction des frottements par abaissement des pressions exercées sur les corps en
contact
• Utilisation de matières telles que béton, tuiles en céramique… pour dissiper
• Neutralisation des charges par ionisation de l’air
• Utilisation de chaussures antistatiques, de vêtements en coton et antistatiques (la
résistance d’un opérateur ne devrait pas excéder 100 MOHMS dans ce types de
zones aussi critiques. En d’autres termes augmenter la conductibilité des corps
isolants comme le cuir, le carton, le caoutchouc, les textiles, les matières
plastiques… Cette mesure est applicable aux équipements de protection individuelle
utilisables dans les atmosphères explosibles
4) Incendie
Le feu est une réaction chimique qui implique l'oxydation rapide d'un combustible.
L’incendie est une combustion qui se développe sans contrôle dans le temps ni dans
l’espace. La combustion est une réaction chimique d’oxydation d’un combustible par un
comburant, nécessitant une source d’énergie pour être initiée. Le type de combustion est
déterminé par la quantité de chaleur produite et la vitesse à laquelle celle-ci est cédée au
milieu. Elle peut être lente (phénomène de création de la rouille), vive avec apparition de
flamme et de chaleur (incendie) ou instantanée (vitesse et montée en pression fulgurante,
c'est l’explosion).
Quatre éléments doivent être présents pour produire le feu en même temps:
Le combustible
Il s'agit de corps qui ont la particularité de brûler. Ce sont généralement des composés du
carbone et de l'hydrogène. Ils peuvent être classés selon leur aspect physique (à la
température et à la pression ordinaire). On parle alors de combustibles solides, liquides ou
gazeux. Ils peuvent également être différenciés selon la quantité de chaleur qu'ils dégagent,
par unité de poids ou de volume (pouvoir calorifique).
Le comburant
Il s'agir d'un corps simple qui, mis en présence d'un combustible, permet puis entretient la
combustion. Le comburant le plus répandu est l'oxygène (21% en volume dans l'air). Le
chlore, l'acide nitrique... peuvent dans certains cas être des comburants.
L'énergie d'activation
Il s'agit de la quantité de chaleur nécessaire pour démarrer la combustion. En d’autres
termes la quantité suffisante d'énergie qui doit être appliquée pour élever le combustible à
la température d'ignition Les sources d'énergie peuvent être d'origine chimique, mécanique,
électrique, solaire, rayonnante.
Chaine de réaction chimique

Cette réaction peut se produire quand tous les trois éléments précités sont présents dans les
conditions et proportions adéquates. Le feu est le résultat de cette réaction chimique.
La combinaison de ces trois éléments est fréquemment connue sous le nom de « triangle du
feu ». En ajoutant le quatrième élément, la chaîne de réaction chimique, nous obtenons ce
qui est appelé le « tétraèdre du feu ». Le tétraèdre du feu symbolise la combustion.
L'éclosion du feu se produit lorsque sont réunies les 4 composantes du tétraèdre
Les modes de propagation d’un feu

Le phénomène de combustion d’un produit ne s’applique pas au liquide lui-même, mais
implique les vapeurs émises par le produit, réchauffé ou pas. Aussi pour qu’un produit brûle,
il faut qu’il émette des vapeurs inflammables. Pour les combustibles liquides, les vapeurs
inflammables sont émises par évaporation de la phase liquide. Pour les combustibles solides,
un processus plus complexe mettant en jeu, notamment, des réactions de décomposition,
fusion ou pyrolyse est indispensable à l’émission de gaz ou de distillats inflammables.
La combustion se fait en phase gazeuse, là où se développent les flammes. L’exothermicité
de la réaction de combustion libère de l’énergie dont une partie est cédée au combustible
entretenant ainsi l’émission de gaz inflammables.
C’est une réaction d’oxydoréduction exothermique (l’oxygène est l’oxydant et le combustible
le réducteur)
Figure 2.15 Phénomène de combustion (after INRS)
L’incendie se caractérise par l’émission de lumière, de fumées éventuellement toxiques et de

chaleur.
Lorsque la combustion vive se déclare, l'incendie se développe grâce à des phénomènes
précis qu'il est essentiel de connaître.
Quatre modes de transfert de chaleur coexistent au sein d’un incendie :
• Le rayonnement thermique, la transmission de la chaleur se réalise sur les objets à
proximité du foyer de façon horizontale à courte distance.
• La convection, mécanisme impliquant des mouvements ascendants de masse d’air
chaud. Exemple : ascension des gaz chauds brûlés dans la cheminée
• La conduction, mode transfert à travers un corps solide conducteur en contact avec
une source chaude. Exemples : porte en fer, cloison, tuyau métallique
La projection, certaines combustions peuvent donner lieu à des projections de solides ou
liquides chauds ou enflammés. Exemples : brandons, flammèches, écoulement de liquide,
animaux, etc.
En plus des effets thermiques ou lumineux engendrés par la flamme, les incendies
s’accompagnent généralement d’émissions de fumées qui peuvent contenir des produits
toxiques. Exemple : la combustion du polyuréthane s’accompagne d’émissions de HCN
(500°C).
Types de feux
Le risque d’incendie est omniprésent dans les installations industrielles. La terminologie

« feux de nappes » ou « feux de flaques » s’applique à un incendie résultant de la
combustion d’une nappe de combustibles liquides.
On distingue :
• Les feux de cuvettes de rétention
• Les feux de réservoirs
• Les feux dits de flaque libre
Les évènements typiques qui peuvent survenir se résument comme suit :
• Pool fire : combustion d’une nappe de liquides inflammables
• Jet fire : combustion d’un liquide ou gaz à haute pression
• Spray fire : combustion d’un liquide sous pression
• Flash fire : combustion d’un gaz inflammable où les flammes se propagent à une
vitesse insuffisante pour causer des dommages de surpression
• Explosion : combustion d’un gaz/vapeur inflammable dans lequel le confinement
et/ou la vitesse des flammes sont suffisants pour causer des dommages de
surpression…
Un Jet fire survient quand une substance chimique inflammable s’échappe rapidement à
partir d’une ouverture dans un récipient sous pression ou d’une conduite et prend
immédiatement feu. La pression du dégagement génère une longue flamme stable sous la
majorité des conditions
Quand un nuage de vapeur inflammable rencontre une source d’inflammation il prend feu et
brûle rapidement.
Un flash fire est une combustion non explosive d’un nuage de vapeur résultant d’un rejet de
substance inflammable dans l’air. Les dangers majeurs de ce fait sont d’ordre thermiques et
contact direct avec les flammes ainsi que le manque d’oxygène. Il est à signaler par ailleurs
que la durée de ce type de combustion est de l’ordre de dixièmes de secondes. Ceci implique
que la quantité totale de radiation est plus faible que dans le cas d’un pool fire.
Un Pool fire survient quand un liquide inflammable forme une mare et est enflammé.
L’évaporation du liquide du fait de la chaleur alimente le feu et peut provoquer la
fragilisation du réservoir et causer sa destruction totale.
Un feu de nappe survient donc en présence simultanée d'une nappe de liquide inflammable
portée à une température supérieure à son point éclair et d'un point chaud (étincelle,
flamme nue, métal incandescent,...). La nappe de liquide inflammable résulte fréquemment
d'une fuite, plus ou moins importante. Il est à noter que le point chaud en lui- même, s'il est
maintenu suffisamment longtemps, peut initier l'incendie d'un liquide dont la température
est inférieure au point éclair : le point chaud en lui même peut porter localement le liquide à
une température supérieure à son point éclair, démarrer l'incendie qui se généralise ensuite
à toute la nappe.
L'impact d'un feu de nappe dépend de la taille de la surface en feu, du produit qui se
consume et de la durée de l'incendie.
Le feu de nappe est un accident relativement fréquent mais présentant, s'il est correctement
maîtrisé, des conséquences faibles sur l'homme.
Par contre, si l'incendie se développe à proximité de stockages de matières combustibles,
des effets dominos peuvent être observés et les conséquences peuvent être dramatiques
(incendie plus violent, explosion,etc.).
Pool fire, est donc un incendie qui tend à être localisé en matière d’effet. Le principal intérêt
est d’établir le potentiel d’un effet domino et les zones de sécurité pour les personnels.
Les principaux effets de ce type d’incendie sont les radiations thermiques. Le drainage est
dès lors une mesure importante à considérer pour la prévention des pools fire i.e. si le
produit est drainé vers un endroit sûr, le pool fire devient impossible.
En résumé, les mesures importantes à considérer sont entre autres :
• Le liquide doit être drainé vers un endroit sûr
• Le liquide doit être couvert pour éviter toute vaporisation

• La zone de drainage doit être assez loin des sources de radiations thermiques du fait
de l’incendie
• Provision de moyens de lutte anti-incendie adéquats
• Prévoir le confinement et le drainage de l’eau incendie
• Prévoir la détection éventuelle de fuites
Il ya plusieurs scénarios résultant de pools fire. Cela commence typiquement par un rejet de
substances inflammables à partir d’équipements process. Si la substance en question est
liquide et stockée à température inférieure à son point d’ébullition, le liquide formera un pool
(une mare). Si le liquide est stocké sous pression au dessus de son point, une fraction de ce
liquide va flasher sous la forme de vapeur et le reste va former un pool à l’endroit du rejet.
5) Explosion
Quand un nuage de gaz n'est pas dans les limites d'inflammabilité ou s’il n y a pas de source
d'inflammation, ce nuage peut se diluer et disparaître.
Selon la situation, l'inflammation peut se produire immédiatement, ou peut être retardé.
Quand le nuage de gaz s’enflamme immédiatement, le résultat est un feu. Et quand un large
nuage hydrocarbure/air prémélangé se forme et s’enflamme, il se produit une pression et
peut mener à la situation la plus dangereuse qui est l'explosion
L'explosion est une combustion instantanée avec une brusque augmentation de pression. La
principale manifestation d’une explosion est l’augmentation brutale de pression qui provoque
un effet de souffle et une onde de pression.
Une fois que l'explosion a été déclenchée, un front de flamme se propagera le long du nuage
enflammant ses secteurs où la concentration est dans le domaine d’explosivité.
Plus la vitesse du front de flamme est grande, plus l’onde de pression (surpression) est
intense, et plus la force destructive de l'explosion est grande.
Six conditions doivent être réunies simultanément pour qu’une explosion soit possible :
• La présence d’un comburant (pratiquement toujours l’oxygène de l’air),
• La présence d’un combustible,
• La présence d’une source d’inflammation,
• Un combustible sous forme gazeuse, d’aérosol ou de poussières,
• L’obtention d’un domaine d’explosivité c’est-à-dire le domaine de concentration du
combustible dans l’air à l’intérieur duquel les explosions sont possibles,
• Un confinement suffisant.
C’est l’hexagone de l’explosion.
Figure 2.16 L’hexagone de l’explosion (after INRS)
L’explosion d’un mélange gazeux enflammé peut prendre deux formes : la déflagration et la
détonation. La vitesse à laquelle le front de flamme se déplace détermine si c'est une
déflagration ou une détonation.
• La déflagration, caractérisée en milieu non confiné par un front de flamme se
déplaçant a des vitesses de quelques mètres par seconde (subsonique) et, en milieu
confiné, par une onde de pression se développant en avant du front de flamme à des
vitesses de quelques mètres à quelques dizaines, voire quelques centaines de mètres
par seconde. La déflagration entraîne la destruction des structures (murs, toitures,
canalisations d'eau, de gaz, etc.) l'effondrement et la projection de matériaux dans
l'espace. Elle peut être suivie ou non par un incendie.
• La détonation s’observe presque exclusivement dans une conduite ou un réservoir
très allonge. L’onde de choc liée au front de flamme se propage à des vitesses
supersoniques. La détonation est la forme la plus dévastatrice. À la différence de la
déflagration, une détonation n'exige pas le confinement ou les obstructions afin de
se propager à une vitesse élevée dans les mélanges hydrocarbure/air à la pression
atmosphérique. La vitesse de détonation est en général 1500 - 2000 m/s et les
pressions maximales sont 15-20 bars
Le tableau 2.5 ci-après donne une répartition des effets des accidents dus à des explosions.
Nombre de Somme de
Tous
Accidents jours taux Décès
accidents
d'explosion graves d'incapacité d'incapacité
temporaire permanente
Nombre
291
47 16 634 1 028 2
% de
l'ensemble 0,04 %
0,10 % 0,05 % 0,21 % 0,27 %
des
accidents
du travail
Tableau 2.5 Répartition des effets des accidents dus à des explosions (after INERIS)
Les explosions représentaient, en 2000, 4 accidents sur 10 000 et près de 3 décès sur
1 000 au titre des accidents du travail, selon les statistiques françaises
Les différents scénarios
i. Vapour Cloud Explosion (VCE)
VCE : Explosion d'un Nuage de Vapeur provoquée par l'inflammation d'un nuage de
gaz/vapeur inflammable mélangé avec de l'air dans un environnement ouvert par exemple à
l'air libre.
Accident de Flixborough en 1974 : 45t de cyclohexane chaud et sous pression se sont
vaporisées suite à une rupture d’une conduite, faisant 28 morts, 89 blessés et 100 millions $
US de dégâts
Quand une substance inflammable s’échappe dans l’atmosphère et que le nuage de vapeur
formé rencontre une source d’inflammation, les parties du nuage dont la concentration se
trouve dans les limites d’inflammabilité (LIE/LES) vont s’enflammer. Quand ceci arrive très
rapidement il crée une force explosive appelée l'explosion de nuage de vapeur (VCE). La
sévérité d'une explosion de nuage de vapeur dépend de la substance, la taille du nuage au
moment de l'ignition, le type d'ignition et le niveau de congestion à l'intérieur du nuage.
Conditions d'apparition :
Les explosions accidentelles de gaz à l’air libre (VCE) comprennent généralement la

succession d’étapes suivantes :
• La fuite d’un hydrocarbure volatil, qui peut rester en suspension (formation

d’aérosols) ou se répandre sur le sol pour former une flaque qui, à son tour peut
s’évaporer.
• Formation d’un mélange inflammable avec l’air : un nuage de gaz combustible
répondant aux critères d'explosibilité (teneurs en combustible et en oxygène
comprises dans le domaine d'inflammabilité) à l'air libre rencontre une source
d’inflammation.
• Présence accidentelle d’une source d’inflammation. Il est à noter qu'une très faible
énergie est suffisante pour initier l'explosion (étincelle lorsqu'on bascule un
commutateur électrique...).
• Propagation du front de flamme à travers la partie inflammable du nuage
Par ailleurs, l'allumage peut se produire à une certaine distance du lieu de la fuite.
Généralement le temps d’allumage est très court du fait de la présence de sources
d’inflammation. Si l’énergie d’inflammation est plus importante, la vitesse de propagation
des flammes est aussi plus importante. L’explosion d’un nuage air/hydrocarbures en milieu
libre s’apparente au régime de la déflagration rapide. Les effets d’une explosion UVCE sont
essentiellement des effets de pression.
Plus le nuage est important et plus on se rapproche d’une composition combustible/
comburant idéale, plus les conséquences sont importantes.
Effets de VCE:
Voici résumés les effets d’un VCE
• Une boule de feu qui consume ou endommage ce qui se trouve à l'intérieur.

• Un rayonnement thermique sur le voisinage immédiat de la boule de feu.
• Des effets de pression plus ou moins importants suivant l'encombrement du lieu de
l'accident.
Effets sur les structures Effets sur l’homme
Seuil de destruction 20 mbar Seuil des effets irréversibles 20 mbar

significative des vitres
Seuils des dégâts légers 50 mbar Seuil des effets irréversibles 50 mbar
sur les structures (dangers significatifs pour la
vie humaine)
Seuils des dégâts graves 140 mbar Seuils des 1ers effets létaux 140 mbar
sur les structures (dangers graves pour la vie
humaine)
Seuils des effets dominos 200 mbar Seuils des effets létaux 200 mbar
significatifs (dangers très
graves pour la vie humaine)
Seuils des dégâts très 300 mbar

graves sur les structures
Tableau 2.6 Seuils d’effets de surpression (after techniques de l’ingénieur)

Les conséquences de VCE dépendent de :
• La masse de gaz combustible concerné, c’est à dire du volume du nuage.

• La composition du nuage de gaz.
• L’encombrement de l’espace.
ii. BOILOVER
Du fait de la mise en place de moyens de prévention et de protection, les incendies dans les
centres de stockage d’hydrocarbures liquides deviennent de plus en plus rares. Mais il faut
signaler -comme nous le verrons à travers des exemples- que certains feux peuvent encore
causer des dommages considérables et de lourdes pertes humaines lorsque ces derniers
sont mal maîtrisés et en présence de conditions particulières. C’est le cas par exemple
lorsque l’eau présente dans le fond du bac pour différentes raisons (condensation, eaux de
pluie, eaux d’extinction, présence naturelle dans l’hydrocarbure,…) parvient à expulser
violemment un hydrocarbure en combustion. Ce phénomène, caractérisé par une
vaporisation de type particulier de l’eau, présente un caractère explosif avec projection
intense de combustible pulvérisé au sein de la flamme : c’est le BOILOVER.
Leçons Des Accidents Passés
De par sa richesse en enseignements, l’analyse des accidents passés nous permet de mettre
en évidence les éléments caractéristiques d’un phénomène accidentel et particulièrement :
• Les conditions d’occurrence,
• Le type de produits impliqués,
• L’installation en question et son environnement,
• L’importance et la nature des conséquences associées à ce type d’accidents.
Il apparaît clairement à partir de cette analyse que les délais d’apparition de ce phénomène,
observés jusqu’à aujourd’hui, sont au minimum de l’ordre de quatre heures (cas de
l’accident du Port Edouard Herriot à Lyon, le 02 juin 1987). Il est à noter que ce Boilover
concernait un bac de gazole de taille modeste (3 000 m3), qui n’était rempli qu’au tiers.
Les durées d’incendie relevés avant le Boilover étaient de l’ordre de :
• Six heures après l’inflammation du bac pour le Boilover survenu à TACOA au
Venezuela, le 19 décembre 1982,
• Six heures trente après l’inflammation du bac pour le Boilover survenu à YOKKAICHI
au Japon, le 15 décembre 1955,
• Douze heures quarante cinq et quinze heures vingt cinq après l’inflammation du bac
pour les deux Boilover survenus à MILFORD HAVEN en Angleterre, le 30 août 1983,
• Trente heures après inflammation du bac n°8, et cinq jours d’échauffement dû au feu
de cuvette pour les deux Boilover (le premier impliquant du brut, l’autre concernant
du fuel oïl) survenus à THESSALONIQUE en Grèce, le 24 février 1986.
L’occurrence d’un Boilover sur un bac industriel nécessite donc:
• Un incendie préalable et
• Une durée de l’ordre de plusieurs heures (dépendant surtout des masses en jeu).
(Cette durée doit être utilisée pour l’évacuation des personnels et autres civils si l’incendie
n’a pu être maîtrisé dans les deux premières heures du sinistre).
De plus, pour qu’un tel phénomène se produise, si l’on considère que les bacs susceptibles
d’être le siège d’un Boilover sont tous de type à toit fixe ou flottant, il est nécessaire :
• Que le réservoir perde son toit fixe ou flottant,
• Que le contenu de ce réservoir soit en feu.
GAZOLE ET FUEL OIL
Dans le cas d’accidents mettant en jeu les produits de type gazole et Fuel Oil, seul un feu de
cuvette préalable peut créer les conditions nécessaires pour :
• Echauffer les produits liquides contenus dans les réservoirs de sorte qu’ils génèrent
suffisamment de vapeurs inflammables ;
• Echauffer les vapeurs qui s’accumulent sous le toit du réservoir jusqu’à que celles-ci
atteignent leur température d’auto inflammation (> 250 °C) et créer les conditions de
l’explosion.
En effet, le gazole et le Fuel Oil sont stockés à un point éclair supérieur à la température
ambiante et ne dégagent donc pas suffisamment de vapeurs à la température de stockage
pour former une atmosphère inflammable.
Pour les bacs à toit fixe contenant du gazole ou du Fuel Oil, l’explosion du ciel gazeux peut
résulter en pratique d’un feu de cuvette non maîtrisé. Cette hypothèse correspond aux
scénarios de Boilover observés d’une part lors de l’incendie survenu le 02 juin 1987 au dépôt
pétrolier du Port Edouard Herriot à Lyon et d’autre part, lors de l’incendie survenu en 1983
sur le terminal pétrolier de Thessalonique (lors du second Boilover affectant un bac de Fuel
Oil).
On notera que le Boilover correspond à la vaporisation brutale d’un fond d’eau contenu dans
le réservoir. Aussi, en l’absence d’extinction d’un feu de cuvette, et à supposer que les deux
conditions précédentes soient réunies, il serait aussi nécessaire que de l'eau soit présente
dans le réservoir. Cette présence d’eau pourrait être due à une absence de purge ou tout
simplement aux actions de lutte contre l’incendie.
PETROLE BRUT
Concernant les bacs de brut (cas THESSALONIQUE : 1er Boilover) et MILFORD HAVEN), qui
sont en général de type à toit flottant (bacs de grande capacité), la variété des coupes
pétrolières concernées par ce type de stockage et l’absence de traitement de ces produits ne
permet pas d’exclure :
• La production d’une quantité suffisante de vapeurs à température ambiante pour
former une atmosphère inflammable,
• La présence permanente d’un fond d’eau due à la nature même des bruts, qui aurait
sédimentée en fond de bac.
Dans ces conditions, le Boilover apparaît comme plus probable pour autant qu’une
défaillance du toit flottant survienne (fissures) et que les vapeurs inflammables rencontrent
une source d’inflammation.
Description du phénomène
Un Boilover est un phénomène de moussage brutal impliquant des réservoirs

atmosphériques et résultant de la transformation en vapeur, d'eau liquide (fond d'eau, eau
libre, émulsion) contenue dans un réservoir en feu.
Ce phénomène est à l’origine de violentes projections de combustible, du bouillonnement du
contenu du bac, de l’extension des flammes et de la formation d’une boule de feu.
Pour autant, ces phénomènes ne seront pas explicités dans le cadre du présent rapport.
Trois scénarios sont afférents au phénomène de Boilover :
1. Feu du bac avec création d'une onde de chaleur
2. Feu de la cuvette de rétention contenant le réservoir et vaporisation d'un fond d'eau
après un échange thermique de longue durée par rayonnement et conduction entre le
foyer et le réservoir.
3. Feu du bac et de la cuvette de rétention cumulant les deux effets mentionnés ci-
dessus.
Pour qu'un Boilover se produise, trois conditions doivent être réunies :
1. la présence d'eau à transformer en vapeur ;
2. la création d'une onde de chaleur (ou, en d’autres termes d’une zone chaude) qui
entre en contact avec le fond d'eau situé sous la masse de l’hydrocarbure ;
3. un hydrocarbure suffisamment visqueux pour que la vapeur créée par le contact de la
zone chaude et du fond d’eau ne puisse pas traverser l’hydrocarbure facilement
depuis le bas du réservoir ;
1ère
Condition : Présence D’eau
La présence d'eau dans un bac en feu peut être liée notamment aux causes suivantes :
• L’hydrocarbure contient naturellement une fraction réduite d’eau susceptible de
migrer par densité au fond du bac (décantation) ;
• Pénétration d'eau de pluie au travers des évents, notamment lors d'averses
orageuses ;
• Condensation de l'humidité de l'air due à la respiration du réservoir et des cycles
jour/nuit ;
• Introduction d'eau de refroidissement ou d’extinction en cas de feu.
2ème condition : Onde De Chaleur Ou Zone Chaude
Dans le cas de la combustion d’un hydrocarbure caractérisé par une large plage de
températures d’ébullition, les coupes légères à bas point d’ébullition remontent à la surface
et alimentent le feu, tandis que les coupes plus lourdes à haut point d’ébullition, coulent vers
le fond et forment un front chaud. Ce front chaud réchauffe les couches d’hydrocarbure froid
de plus en plus profondes, tandis que le feu continue de brûler en surface. Il se forme ainsi,
sous la surface du feu, une zone de température homogène dont l’épaisseur va croître au
cours du temps, ce phénomène est dénommé « onde de chaleur ».
L’onde de chaleur n’est donc pas un phénomène exclusivement de conduction en provenance
de la surface en feu : il s’agit d’un transfert de chaleur d’une particule chaude de masse
spécifique plus élevée vers une couche plus froide située plus bas.
Conditions nécessaires à la formation d’une onde de chaleur:

1. Naissance d’un feu dans le réservoir atmosphérique concerné; ceci implique que le
toit soit déjà détruit ou expulsé.
2. Vitesse de descente de l’onde de chaleur supérieure au taux de régression du foyer.
3. Combustion d’un hydrocarbure à plage d’ébullition suffisamment large (s’étend sur
60°C).
La plage d'ébullition est l'intervalle de températures de la plus basse jusqu'à la plus
élevée, durant lequel toutes les fractions liquides de masse spécifique et de point
d'ébullition différents, passeront à l'état vapeur.
3ème Condition : Hydrocarbure Suffisamment Visqueux
Une fois le volume de vapeur d’eau formé par contact de la zone chaude avec l’eau située en
pied de bac, ce volume de vapeur ne pourra agir à l’instar d’un piston que si l’interface
vapeur en expansion/couche d’hydrocarbure liquide offre des conditions d’étanchéité
suffisantes. Dans le cas contraire, la vapeur d’eau générée s’échappera sous forme de bulles
au travers de l’hydrocarbure liquide et le phénomène résultant s’identifierait plutôt à un slop
over qu’à un Boilover.
Il a été déduit de l’analyse des accidents passés que la limite à retenir quant à la viscosité
correspondrait à celle du kérosène. Etant donné que la viscosité cinématique du kérosène à
393 K est de 0,73 cSt, pour qu’il y ait occurrence d’un effet piston, la viscosité cinématique
de l’hydrocarbure stocké devra être supérieure pour la même température de 393 K à cette
valeur limite de 0,73 cSt.
En résumé, l’hydrocarbure doit principalement satisfaire deux critères :
1. Une plage de températures d’ébullition s’étendant sur 60 °C au-delà de la
température d’ébullition de l’eau à la pression d’interface hydrocarbure/fond d’eau,
soit au-delà de 393 K,
2. Une viscosité cinématique supérieure à celle du kérosène à 393 K, soit
νHC > 0,73 cSt,
Phénomènes Induits
Sous la pression de l’interface, la masse volumique de la vapeur est 1 700 à 2 000 fois
moindre que celle de l’eau liquide aux conditions normales de température et de pression.
De ce fait, pour que le volume de vapeur engendré remplisse le bac, il suffit que l’épaisseur
du fond d’eau soit, en ordre de grandeur, de l’ordre du 1 700e au 2 000e de la hauteur du
bac, soit de l’ordre du centimètre pour les bacs les plus communs.
La cavité de vapeur développée quasi instantanément va agir sur la masse d’hydrocarbures
la surplombant à l’instar d'un piston. En conséquence, l’accroissement de volume ΔV
consécutif à la vaporisation de l’eau contribue au mouvement de la masse d’hydrocarbures

en lui communiquant instantanément une énergie cinétique.
Conséquences de l’effet piston
A l’issue de cet effet piston, l’hydrocarbure ainsi propulsé va donner lieu d’une part à une
boule de feu se développant au-dessus du bac et d’autre part, à un feu de nappe aux
alentours du bac en raison de jets liquides retombés au sol.
iii. BLEVE
Introduction : rappel
(a) (b) (c)

Figure 2.17 Courbes d’états P= f(t)
L’eau bout à 100 °C sous la pression de 1 bar (figure a). Si l'on augmente la pression, alors
l'ébullition se fait à plus haute température (figure b). C'est le principe de l'autocuiseur.
(Comme la pression est plus forte -environ 1,7 bar- la température d'ébullition est aussi plus
forte -environ 120 °C- donc les aliments cuisent plus vite. À l'inverse, si l'on diminue la
pression, l'eau bout à plus basse température (figure c).
Le stockage des gaz liquéfiés à température ambiante se fait sous pression. Dans le bas du
réservoir se trouve le liquide, et en haut le gaz -ciel gazeux. Lorsque l'on soutire du gaz -
détente lente- la pression diminue, donc le liquide bout et se transforme en gaz. L'ébullition
permet de compenser la perte de gaz, le niveau de liquide diminue, mais la pression reste
constante. C'est l'utilisation normale.
Si maintenant il y a une détente rapide, par exemple une fuite ou augmentation de la
température du fait d’un échauffement par un feu externe, l'ébullition est très violente et
provoque une surpression : il y a plus de liquide qui se transforme en gaz que de gaz qui
s'échappe. C'est le BLEVE. Voyons cela avec plus de détails.
Température limite de surchauffe
Lorsqu’on fournit, à pression donnée, de la chaleur à un liquide, celui-ci subit une

augmentation de température jusqu’à atteindre sa température d’ébullition. Il s’ensuit la
formation de bulles de vapeurs qui se développent dans le liquide.
Dans certains cas, la température d’ébullition peut être dépassée sans qu’il n’y ait ébullition,
le liquide est alors dit surchauffé. Toutefois il existe une limite de température, à la pression
donnée, au delà de laquelle se développent des bulles de vapeur dans tout le liquide. Cette
limite est dite limite de surchauffe d’un liquide.
Lorsque le liquide a atteint, dans le réservoir, une température supérieure à sa limite de
surchauffe, et qu’il est ramené à la pression atmosphérique, des bulles se forment et se
développent et, en quelques millisecondes, une importante fraction de liquide se transforme
en vapeur. Le volume massique de la vapeur étant largement supérieur à celui du liquide, on
peut assister à une explosion susceptible d’engendrer une onde de choc.
Définition
Il est défini comme une vaporisation violente, à caractère explosif, consécutive à la rupture
d’un réservoir contenant un liquide à une température significativement supérieure à sa
température normale d’ébullition à la pression atmosphérique.
La définition la plus acceptée est celle donnée par SHIELD : « Un BLEVE est causé par la
ruine complète d’un réservoir pressurisé contenant un liquide dont la température est très
supérieure à sa température d’ébullition à la pression atmosphérique »
Phénomène causant le BLEVE
BLEVE («explosion de vapeur en expansion par ébullition d'un liquide») se produit

lors de la rupture d'un réservoir contenant un liquide (inflammable ou non) sous pression.
C'est un accident très redouté dans le cas de feux de réservoir d'hydrocarbures (GNL,
propane, butane, GPL, etc.) ou de camion-citerne, etc. S’agissant de produits inflammables,
une boule de feu produisant une chaleur extrême peut se former.
Le réservoir n'est jamais complètement rempli, il y a un ciel gazeux qui maintient cette
pression.
Le BLEVE survient lorsque le réservoir qui contient le liquide se rompt. Cette rupture peut
être due à un choc (accident de la circulation d'un camion-citerne, déraillement d'un wagon-
citerne, impact), à une mauvaise manipulation (sur remplissage du réservoir), ou à une
fragilisation (corrosion, gel), etc.
Au niveau de cette fissure, la pression de l'air (environ 1 bar) passe brusquement à la
pression du réservoir (plusieurs dizaines à centaines de bar). Ceci indique une première
onde de surpression.
Ensuite le gaz va s'échapper par cette fissure, sous la forme d'un jet. Par ce fait, la pression
baisse rapidement dans le réservoir. Le liquide se met à bouillir, non pas sous l'effet de la
chaleur, mais sous l'effet de la chute de pression (voir figure c). Il en résulte donc une
diminution de la quantité de liquide à l'intérieur.
Puisque le liquide bout, il se transforme rapidement en gaz, et la pression augmente de
manière très importante dans le réservoir. Par ailleurs, le jet de gaz peut entraîner des
gouttelettes (aérosol), qui viennent gêner l'échappement du gaz et contribuent ainsi à la
montée en pression. La fissure se propage du fait de cette repressurisation catastrophique
provoquant la rupture totale du réservoir avec une deuxième onde de surpression - c'est le
BLEVE.
Quand une brèche apparaît sur le réservoir, en général sur la partie la moins résistante, le
plus couramment en contact avec le ciel gazeux, le liquide se vaporise de manière explosive
dans le réservoir. On assiste alors à une repressurisation violente du réservoir, ce qui
conduit à sa ruine totale.
Le danger est beaucoup plus grand quand la rupture du réservoir est due à un échauffement
par un feu extérieur (une mare de produit enflammé se répand sous le réservoir, un jet de
feu provenant d'un réservoir voisin, ou bien lorsque des flammes viennent lécher les parois
du réservoir).
Sous l'effet de la chaleur, le liquide dans le réservoir se met à bouillir, la pression dans le
réservoir augmente ; le gaz s'échappe alors par la soupape de sécurité. Plus le réservoir est
chauffé, plus la substance à l'intérieur se transforme de l'état liquide à l'état gazeux.
Le liquide à l'intérieur peut absorber une partie de la chaleur des parois du réservoir et en
ralentir sa vitesse d'affaiblissement. Lorsque la quantité de liquide diminue, la surface du
réservoir exposé sans défense à la chaleur augmente.
Le gaz conduit moins bien la chaleur que le liquide, la partie de la paroi du réservoir qui se
trouve au-dessus du liquide s'échauffe de manière très importante car dans la partie basse
du réservoir, la chaleur de la paroi est évacuée de l'autre côté par la convection du liquide
La paroi surchauffée s'affaiblit, puis finit par se rompre, provoquant l'accident. On voit que
par rapport au cas précédent, c'est la soupape qui joue le rôle de la fissure initiale. Comme
la température monte, la pression monte de toutes manières, la soupape permet de retarder
l'accident et de laisser plus de temps aux secours pour évacuer et combattre le sinistre. Elle
peut même empêcher l'explosion.
Lorsque le réservoir est muni d'une soupape, et que le BLEVE est due au feu, la pression
régnant à l'intérieur du réservoir au moment de l'explosion est environ 20 % supérieure à la
pression de déclenchement de la soupape (l'évacuation des gaz n'est pas assez rapide et ne
suffit pas à empêcher l'augmentation de pression ; par ailleurs, le réservoir est affaibli par la
chaleur et rompt plus facilement).
Lorsqu’un réservoir est exposé, par exemple, au flux thermique d’un incendie, sa pression
interne augmente (pression dynamique) alors que sa résistance mécanique diminue
(pression statique). La rupture initiale se produit généralement sur la partie du réservoir en
contact avec le ciel gazeux : cette partie du réservoir est susceptible de s’échauffer plus
rapidement que la partie du réservoir en contact avec le liquide, et les propriétés
mécaniques du réservoir s’y dégradent donc d’autant plus vite.
La surface du réservoir n’étant plus soumise à la chaleur, sa résistance diminue de plus en
plus. À 400 degrés Celsius, l'acier perd 30% de sa résistance. À 700 degrés Celsius, il perd
90% de sa résistance.
Lorsque la pression intérieure est supérieure à ce que peut supporter actuellement le
réservoir, celui-ci se rompt et le BLEVE survient.
Il faut également retenir que plus le réservoir est petit, plus un BLEVE surviendra
rapidement car plus le réservoir est petit, plus il est facile à chauffer, plus la pression
augmentera rapidement à l’intérieur, et que, puisqu’il y a moins de liquide à l’intérieur, plus
les parois s’affaibliront rapidement.
Un BLEVE peut survenir en aussi peu que:
Dimension du réservoir Temps possible avant qu'un BLEVE ne survienne
400 litres 3-4 minutes
Tableau 2.7 Temps de survenance d’un BLEVE en fonction des dimensions du réservoir
(after Roydan)
Le BLEVE se produit instantanément, sans avertissement. On ne peut entendre aucun bruit
et on ne peut observer aucun gonflement nous prévenant.
Notons aussi qu'avant la rupture du réservoir, il n'y a que du gaz dedans et pas d'air, il n'y a
donc pas de combustion dans le réservoir ; le gaz ne brûle donc qu'après être sorti.
Spécificité du BLEVE : l'explosion n'est pas due à une réaction chimique mais uniquement à
un phénomène physique, la dépressurisation rapide du réservoir.
Conséquence du BLEVE
Lorsque la paroi se rompt, il y a :

1. Une onde de surpression, due à la libération du gaz lors de la rupture du réservoir
2. Une boule de feu : si le gaz qui s'échappe est inflammable, il se mélange à l'air et
peut s'enflammer instantanément sous l'effet de la chaleur ou d'une étincelle
Des essais effectués sur des réservoirs contenant du propane ont créé des boules de feu de
dimension suivante:
Dimension du réservoir Rayon de la boule de feu
400 litres 18 mètres
Tableau 2.8 Rayon de la boule de feu en fonction de la dimension du réservoir dans le

cas du propane (after Roydan)
Il est également possible que la substance ne s’enflamme pas lors du BLEVE mais se
disperse sous forme de nuages, dans le sens du vent. Elle peut alors s’enflammer
soudainement à n’importe quel moment avec des conséquences catastrophiques.
Si le contenu du réservoir n’est pas inflammable (un cylindre d'oxygène liquide par
exemple), alors il n’y aura pas de boule de feu nous aurons juste l'onde de pression
provoquée lors de la rupture du réservoir, et un jet de gaz brûlant.
3. Un rayonnement thermique : le gaz s'échappant, il y a une diminution de pression
dans le réservoir qui permet au reste du liquide de bouillir et de venir alimenter la
boule de feu ; il y a donc une énorme chaleur libérée. Si une boule de feu est
générée par le BLEVE, un important rayonnement thermique en découlera. Les
intervenants devront donc respecter une certaine distance minimale face au réservoir
afin d’être épargnés par la radiation. Cette distance a été établie à 4 fois le rayon de
la boule de feu.
Dimension du réservoir Distance minimale d'approche
400 litres et moins 90 mètres
Tableau 2.9 Distance minimale d’approche en fonction de la dimension du réservoir

(After Roydan)
4. Onde de choc (détonation): le BLEVE étant une explosion, il est accompagné d’une
détonation et d’un important déplacement d’air. Le seul moyen de ne pas en être
affecté est de respecter les normes minimales d’approche, les intervenants devront
demeurer hors de portée des effets d’une détonation.
5. Projection de débris (missiles): la plus dangereuse des conséquences d’un BLEVE est
la projection des débris. Une fois la paroi du réservoir détruite, les différents
fragments sont expulsés dans l’environnement, à des distances parfois très
importantes. Cette projection est donc imprévisible et peu parfois atteindre des
proportions énormes. Lors des essais, des débris ont atterris à plus de 230 mètres
des lieux du BLEVE. Lors d’un incident survenu au Texas, des débris ont même été
retrouvés à plus d’un kilomètre. La meilleure solution est donc de procéder à
l’évacuation d’une zone qui a été établi, pour être sécuritaire, à 22 fois le rayon de la
boule de feu.
L’impact d’un projectile est susceptible de produire deux types d’effets sur l’homme
ou sur des structures :
 Un choc, qui peut être la cause de fractures osseuses (homme) et des
déformations menant éventuellement à leur effondrement (structures)
 Une pénétration tant dans le corps humain que dans un équipement cible
Dimension du réservoir Rayon d'évacuation
400 litres et moins 400 mètres
Tableau 2.10 Rayon d’évacuation en fonction des dimensions du réservoir (after Roydan)
Les conséquences sont donc des blessures dues à l'effet de souffle (blast), des brûlures par
radiation, ainsi que des traumatismes associés : chute, projection d'éclats, écroulement d'un
mur ou d'un toit…
Méthode d’intervention
En arrivant sur les lieux d’une intervention, on doit demeurer loin et utiliser des jumelles
pour évaluer la situation au besoin. Il est bon d’établir un poste d’observation du réservoir
afin de déterminer l’ampleur de la situation. Ce poste devrait être situé au-delà de la
distance minimale d’approche, préférablement de côté au réservoir, le vent dans le dos.
BLEVE sans incendie:
Il faut toutefois avoir en tête qu’un BLEVE peut survenir même s’il n’y a pas d’incendie. Un
réservoir corrodé ou endommagé par un accident peut être chauffé suffisamment par le
soleil pour créer un BLEVE.
Le meilleur moyen de prévenir un BLEVE est d’empêcher qu’une situation potentielle ne
survienne. Le territoire devrait être étudié et les endroits identifiés afin de procéder à une
planification stratégique. Les ressources disponibles sur les lieux, un point d’observation
préétabli, un plan d’évacuation ainsi que les sources d’alimentation en eau devraient être
identifiées. Toutes irrégularités autour des réservoirs devraient être signalées et les
propriétaires en être avisés.
b. Dispersion de produits toxiques
Le risque toxique est lié à l’exposition de cibles à un danger correspondant à un nuage
généré après un rejet accidentel d’une substance chimique à l’atmosphère (fuite, ruine de
réservoir…). Ce rejet toxique peut être continu (en jet) ou bref (en bouffée). Il se disperse
dans l’atmosphère sous l’effet de sa vitesse initiale, de l’effet de la gravité du à la densité du
gaz, du vent, des conditions atmosphériques, de l’hygrométrie et du relief.
La dispersion atmosphérique quant à elle, concerne le devenir d’un nuage de produit
dangereux dans le temps et dans l’espace. Deux phénomènes se superposent lors de la
dispersion d’un gaz dans l’atmosphère. Ces phénomènes sont le transport du gaz, sous
l’effet du vent notamment, et la diffusion du gaz. Pendant sa diffusion, le nuage formé
incorpore de l’air, et donc se dilue. Sa toxicité va donc décroître avec la distance au point de
rejet. La figure 2.18 ci-après montre les différents états physiques et devenir de l’émission
d’un produit.
Figure 2.18 Les différents états physiques et devenir de l’émission d’un produit (after
INERIS)
Un certain nombre de paramètres influent sur les effets toxiques à distance. Il s’agit entre
autres de la densité du gaz (plus celle-ci est élevée, plus la diffusion du nuage dans
l’atmosphère est défavorisée. Un gaz lourd restera au sol sans se diluer beaucoup avec l’air ;
il restera donc assez concentré sur de grandes distances de transport) et des conditions liées
au relief et l’occupation du sol.
Les causes possibles sont nombreuses. Il s’agit entre autres de :
• Ruptures de capacités ou de pipelines
• Incendie, etc.
1) Effets de la dispersion de produits toxiques
Les gaz toxiques sont caractérisés par leurs effets sur l’homme au travers de la notion de
dose, qui tient compte de la concentration du gaz dans l’air et du temps d’exposition à cette
atmosphère. Trois valeurs seuils sont utilisées pour ce faire. Il s’agit de :
• Le seuil des effets irréversibles
• Le seuil des premiers effets létaux (correspondant à une concentration létale pour 1%
des personnes exposées)
• Le seuil des effets létaux significatifs (correspondant à une concentration létale pour
5% des personnes exposées).
Les gaz ayant une haute toxicité et une densité élevée, tels le chlore, sont redoutables car
les distances d’effets significatifs atteignent les dix kilomètres pour les rejets les plus
importants (e.g. ruine totale d’une grosse capacité).
2) Prévention et protection
Il est possible de se protéger contre les effets toxiques par des mesures de :
• Atténuation du rejet au plus près de celui-ci en utilisant des rideaux d’eau qui vont
favoriser la diffusion des gaz (les diluer) voire en absorber une partie par mise en
solution dans l’eau (l’ammoniac se prête très bien à ce genre de mesure)
• Mise à l’abri des cibles potentielles,
• Protection individuelles prévues en cas d’accident (par exemple des masques à gaz,
etc.)
3) Modélisation de la dispersion de produits
Selon l’INERIS, la modélisation de ces effets a deux objectifs :
• Evaluer les distances d’effets demandées
• Conforter des choix techniques (par exemple la conception d’un réseau de capteurs -
nombre et positionnement - d’une chaîne de détection de fuite afin d’optimiser la
cinétique de détection/réaction).
Figure 2.19 Les étapes de la modélisation (after INERIS)

Trois éléments composent la modélisation des effets d’un phénomène accidentel. Il s’agit en
l’occurrence :
• Des modélisations du « terme source »,
• De la « propagation » de cette source dans l’environnement et
• De l’effet sur les « cibles » potentiels.
i. TERME SOURCE
Le « terme source » comprend tout ce qui conditionne la formation du nuage dangereux i.e.
les caractéristiques de la source d’émission initiale éventuellement modifiées par le champ
proche.
La source d’émission initiale est caractérisée e.g. par le type de produit (état physique,
quantité), sa pression, sa température (qui conditionnent le débit), l’état physique et la
vitesse à la brèche... Son « environnement proche » est e.g. la présence d’un mur (jet dit «
impactant »), d’un local de confinement... qui influencent directement le devenir du terme
source initial (devenir de la fraction liquide, évaporation de flaque...).
Quel que soit l’outil de calcul utilisé, la caractérisation du terme source doit être la meilleure
possible. En effet, le phénomène physique qui en résulte (la dispersion atmosphérique en
l’occurrence) ne peut être correctement appréhendé si le terme source n’a pas été bien
évalué.
Figure 2.20 Exemple d’éléments constituant un terme source (after INERIS)

Toujours selon l’INERIS, indépendamment des caractéristiques propres du fluide, les
paramètres les plus importants pour définir la typologie d’un rejet sont :
• Le débit massique de fuite pour un rejet continu ou la quantité totale rejetée pour un
rejet instantané
• La vitesse du rejet : plus la vitesse de rejet est grande, plus vite le polluant est dilué
dans l’air
• La section principale de fuite : plus cette section est faible, plus le débit sera petit –
toutes conditions égales par ailleurs.
EVALUATION DU TERME SOURCE
Les éléments donnés dans le tableau 2.11 ci-après devraient être examinés lors de
l’évaluation du terme source
1. Quelle est la base de données qui a servi pour rentrer les caractéristiques du
produit ?
• Propriété physico-chimiques
• Toxicité (seuils – temps d’exposition) Cf. fiche toxique
2. Mode de rejet : rejet instantané, continu ou à des débits variables ?
3. Prise en compte des reliefs et des obstacles ?
4. Rejets bi-phasiques / prise en compte du confinement (possible) / Diamètre de
fuite maximum ? / Conditions de pression, de température, phase des fluides ?
5. Alimentation du rejet par l’amont et l’aval de l’écoulement nominal ?
6. Lieu de fuite ? (très important : le mauvais positionnement de la brèche peut
donner une modélisation qui n’a rien à voir !!)
7. Devenir de la phase liquide ?
8. Comportement de la fuite dans le temps ? (débit, confinement etc.)
9. Comportement des pompes et compresseurs en cas de perte de charge soudaine ?

10. Durée de la fuite : possibilités d’isolement, asservissement à des vannes et temps
de réponse de celles-ci et cinétique de mise en œuvre de la chaîne de sécurité
(détection, alarme, action), etc.
Tableau 2.11 Evaluation du terme source (after INERIS)

Dans le cadre des évaluations de risques, l’INERIS préconise de retenir pour les conditions
de stabilité atmosphériques pour des rejets au niveau du sol celles de type D (neutre) et F
(très stable) au sens de Pasquill, respectivement associées à des vitesses de vent de 5 et 3
m/s.
Dans certaines configurations de rejet et particulièrement pour les rejets en altitude
(cheminée), les conditions défavorables peuvent être différentes de celles caractérisées par
le couple (F, 3 m/s) généralement admises comme conduisant aux distances les plus
pénalisantes pour les rejets à proximité du sol.
En effet, de façon succincte, lorsqu'une atmosphère est instable (classes A et B de Pasquill),
la dispersion atmosphérique verticale est favorisée. Le panache qui se forme est toutefois
très ouvert. En conséquence, une part importante du produit émis se disperse vers le sol. Il
en résulte que, malgré l'élévation initiale, les concentrations en polluants, au sol, peuvent
être importantes.
A l'opposé, lorsqu'une atmosphère est stable, son aptitude à diffuser verticalement un
polluant est faible. Le panache formé reste très peu ouvert. La dispersion s'opère donc en
altitude et les concentrations de polluants, au sol, sont relativement faibles.
Le tableau 2.12 ci-après résume ce qui précède
Tableau 2.12 Conditions météorologiques retenues (after INERIS)

ii. Propagation
La dispersion atmosphérique caractérise le devenir, dans le temps et dans l’espace d’un
ensemble de particules (aérosols, gaz, poussières) rejetées dans l’atmosphère. Elle
caractérise donc la façon dont le nuage est transporté et dilué (effets de turbulence, gravité,
etc.)
Les deux phénomènes physiques régissant l’évolution du nuage dans l’atmosphère sont le
déplacement du nuage et la dilution du nuage
L’évolution du nuage dans l’atmosphère est principalement régie par :
• La densité du nuage par rapport à l’air (gaz léger / lourd / neutre)
• Les conditions de rejet : durée du rejet (continu – instantané), dilution du nuage -
entraînement d’air (quantité de mouvement initiale, cisaillement du champ de vent),
géométrie de la source (ponctuelle – surfacique), hauteur du rejet (sol – altitude),
échanges thermiques
• Les conditions météorologiques : vitesse du vent et stabilité atmosphérique,
• Les conditions orographiques : obstacles, rugosité, relief, occupation du sol
iii. Effets sur les cibles potentiels
Trois principales familles d’outil de calcul existent. Elles sont citées ci-après par ordre de
complexité croissante :
• Les modèles gaussiens qui permettent d’estimer la dispersion des gaz neutres ou
passifs de masse volumique très proche de celle de l’air (Un modèle gaussien permet
de modéliser la dispersion d’un gaz du fait de la seule action du fluide porteur, l’air.
Le transport et la diffusion du gaz vont alors dépendre du vent et de la turbulence
atmosphérique d’origine mécanique ou thermique.). En pratique, les résultats sont
valables pour des distances supérieures au moins à 100 m depuis le point de rejet,
les modèles gaussiens n’ayant pas été validés dans la première centaine de mètres.
• Les modèles intégraux à utiliser dès que le rejet perturbe l’écoulement
atmosphérique de l’air. L’emploi d’un modèle intégral permet de modéliser les
mécanismes physiques suivants qui ne peuvent être considérés avec un modèle
gaussien (les effets de la dynamique des rejets à même d’engendrer une turbulence
spécifique, pour les rejets sous forme de jet à grande vitesse d’émission, les effets de
gravité, pour les rejets de gaz lourds, les effets de flottabilité pour les rejets de gaz
légers). Les logiciels PHAST, GALON, CAMEO, EFFECTS (TNO)… sont des modèles de
type intégral.
• Les modèles CFD (Computational Fluid Dynamics), parfois appelés outils 3D, qui
permettent de résoudre les équations de la mécanique des fluides. Les modèles
numériques tri-dimensionnels (Computational Fluid Dynamics) permettent de simuler
les rejets de gaz en prenant en compte l’ensemble des phénomènes intervenant de
façon significative sur la dispersion, qu’ils soient liés à l’atmosphère comme la
turbulence thermique, ou au site comme les obstacles ou le relief. Les logiciels
Pheonics, Fluidyn Panair, CFX, Fluent, Aria risk, StarCD, FLACS… sont des modèles de
type CFD 3D.
Références
1. NATIONAL SAFETY COUNCIL INJURY FACTS 2005–2006 EDITION
2. J. Ridley, J. Channing, Safety At Work, 5th Edition, Butterworth Heinemann, 1999
3. SONATRACH direction centrale HSE
4. S. Ameziane Introduction to HSE, API April 2008
5. HSE (1997), The Cost of Accidents at Work, HS(G)96, 2nd Edition, HSE Books
6. S. Ameziane: The implementation of best practices in SONATRACH with regard to
explosive atmospheres based on ATEX directives, 2006
7. Tim Southam, Human Factors course notes: Human Factors in Health & Safety, 2005
8. J. Reason, the Nature of Error in Human Error, Cambridge University press. 1990
ISBN
9. Vince
10. Kletz
11. Comah
12. Seveso
13. Buncefield
14. Cullen
15. Europe environment
16. INRS
17. Moore & Lakho
18. Franck P. Lee 1996 Loss prevention in the process industry Hazard identification,
assessment and control 2nd edition ISBN 0750615478 BUTTERWORTH HEINEMANN
19. Said Ameziane, Risques incendie/explosion API, April 2008
20. US EPA 2006 Computer-aided management of emergency operations ALOHA software
21. Ivan Vince, Major Accidents to the Environment A Practical Guide to the Seveso II-
Directive and COMAH Regulations, IChemE
22. G. Wells 1997 Hazard identification and risk assessment ISBN 0852954638 ICHEME
23. W.O.E. KORVER 1995 Classifying Explosion-Prone Areas Jet Propulsion Laboratory
California Institute of Technology Pasadena, California NOYES PUBLICATIONS Park
Ridge, New Jersey, U.S.A. ISBN: 0-8155- 1366-6
24. R. STAHL SCHALTGERÄTE GMBH Basic of explosion protection- Introduction to
explosion protection for electrical apparatus and installations
25. Health and safety executive 2003 Fire, Explosion and Risk Assessment Topic
Guidance
26. European industrial gases association 2005 potentially explosive atmosphere – EU
DIRECTIVE 1999/92/EC IGC Document 134/05/E
27. Dag BJERKETVEDT Jan ROAR BAKKE Kees van WINGERDEN

28. Gas Explosion Handbook
29. Graham ACKROYD Hazard Assessor, SYNGENTA 2003 Electrostatic ignition hazards
with powder handling and packaging materials,
30. Technical Guide for the Evaluation and Prevention of Electric Hazards
31. Dr. Paul CARTWRIGH 1999 Electrostatic hazards in the aerosol industry
32. Earth to the ground issue 6 autumn/winter 2002/2003
33. Said Ameziane: the implementation of best practices in SONATRACH with regard to
explosive atmospheres based on ATEX directives
34. INRS, explosions et lieux de travail
35. INRS incendies et lieux de travail
36. INRS, prévention des explosions en entreprises
37. Techniques de l’ingénieur, étude des dangers des ICPE
38. INERIS, méthodes pour l’évaluation et la prévention des risques accidentels
39. Dan Roy ing. Stag B.L.E.V.E. Centre canadien d’urgence transport (CANUTEC).
40. ARESU Physique et Chimie -Combustibles
41. Pompiers de service, lutte contre l’incendie
42. Les agents d'extinction Tyco Fire &t Integrated Solutions
43. GESIP Groupe D’étude De Sécurité Des Industries Pétrolières Et Chimiques Les
Modes De Propagation Du Feu
44. GESIP Groupe D’étude De Sécurité Des Industries Pétrolières Et Chimiques
Propagation De L’incendie
45. GESIP Groupe D’étude De Sécurité Des Industries Pétrolières Et Chimiques
Classification Des Feux
46. Gestion des risques d'incendie Innovation en construction Volume 3, Numéro 2, hiver
1998
47. Sécurité incendie Innovation en construction Volume 2, Numéro 2, automne 1996
48. Naissance Et Propagation De L’incendie INERIS
49. Casey C. Grant, Encyclopédie De Sécurité Et De Santé Au Travail Les Incendies
50. Prévention Et Lutte Contre L’incendie TTA 150 Titre XIX EMA
51. Said Ameziane, Permit to work system, API December 2007
52. IRM, Institut des risques majeurs
53. RHODIA, Les études sécurité et le transport des marchandises dangereuses
54. Tony Moore, Raj Lakha, Tolley’s Handbook of Disaster and Emergency Management,
ISBN-13: 978-0-75-066990-0, ELSEVIER, 2006
55. Cooper Crouse-Hinds Ex digest chapter 1 the electrical code evolves
56. Hazardous areas basics 2005 General Information on ATEX Directives

57. R. STAHL SCHALTGERÄTE GMBH Basic of explosion protection- Introduction to
explosion protection for electrical apparatus and installations
58. Gas Explosion Handbook
59. HSE Review of unidentified ignition sources of unplanned flammable, Releases
Comparison of Offshore and Onshore data Report Number HSL/2006/09
60. Dangerous Substances and Explosive Atmospheres Regulations 2003 Approved Code
of Practice and Guidance L135 Storage of Dangerous Substances ISBN 071762200
Chapitre III Le management des risques
3.1. Introduction
Les risques de tous les résultats d'incident/accidents sont individuellement estimés en

utilisant la formule ci-dessous
RISQUE = SÉVÉRITÉ DES CONSÉQUENCES X

FRÉQUENCE DE L'OCCURRENCE
Et l’évaluation des risques est ` le processus par lequel les résultats de l'analyse de risque
sont utilisées dans la matrice de prise de décision.'
C'est un processus systématique pour identifier les dangers et la probabilité que ceux-ci
causeront des dommages.
Toutes les techniques de management des risques sont constituées de trois étapes
similaires:
• Identification des dangers.
• Évaluation des risques qui leur sont associés.
• Contrôle et la maîtrise de ces risques.
Figure 3.1 Risk Management Scheme

Évaluation de risques
• Permet de trouver les mesures de contrôle et de maîtrise des risques.
• Permet de répondre aux questions suivantes:
 Qu’est ce qui pourrait mal marcher?
 Quelles en sont les causes?
 Quelles sont les conséquences?
 Quelle est la probabilité d’occurrence?
 Quelles options raisonnablement praticables peuvent être
implémentées pour réduire les risques?
Figure 3.2 Critères d’acceptabilité du risque
La définition de critères d’acceptabilité du risque est une étape-clé dans le processus de

gestion du risque dans la mesure où elle va motiver la nécessité de considérer de nouvelles
mesures de réduction du risque et rétroactivement, influencer les façons de mener l’analyse
et l’évaluation des risques. En jugeant la tolérabilité au risque il est suggéré d’appliquer un
certain nombre de critères. (Voir figure 3.2 ci-dessus).
3.2. L’approche du risque
De nombreuses techniques existent pour agir sur les deux composantes du risque.
Pour prévenir le risque, il faut tout d’abord le connaître et évaluer ses conséquences.
Comme il a été stipulé précédemment, l’objectif est de réduire le risque à un niveau jugé
tolérable ou acceptable. En un mot le processus comprend les phases suivantes :
• Appréciation du risque (analyse et évaluation du risque),
• Acceptation du risque,
• Maîtrise ou réduction du risque
3.2.1. Analyse Du Risque
L’analyse du risque est définie comme « l’utilisation des informations disponibles pour
identifier les phénomènes dangereux et estimer le risque ».
L’analyse des risques vise tout d’abord à identifier les sources de dangers et les situations
associées qui peuvent conduire à des dommages sur les personnes, l’environnement ou les
biens.
Dans un second temps, l’analyse des risques permet de mettre en lumière les barrières de
sécurité existantes en vue de prévenir l’apparition d’une situation dangereuse (barrières de
prévention) ou d’en limiter les conséquences (barrières de protection).
Consécutivement à cette identification, il s’agit enfin d’estimer les risques en vue de
hiérarchiser les risques identifiés au cours de l’analyse et de pouvoir comparer
ultérieurement ce niveau de risque à un niveau jugé acceptable.
Il est entendu que l’acceptation du risque est subordonnée à la définition préalable de
critères d’acceptabilité du risque.
3.2.2. Evaluation Du Risque
L’évaluation du risque désigne une procédure fondée sur l’analyse du risque pour décider si
le niveau ALARP est atteint en comparant le niveau de risque estimé à un niveau jugé
acceptable ou tolérable dans le cadre ALARP.
3.2.3. Acceptation Du Risque
Comme précisé plus, il s’agit d’une étape-clé dans le processus de gestion du risque dans la
mesure où elle va motiver la nécessité de considérer de nouvelles mesures de réduction du
risque et rétroactivement, influencer les façons de mener l’analyse et l’évaluation des
risques.
3.2.4. Réduction Du Risque
La réduction ou maîtrise du risque comprend l’ensemble des mesures, actions, et

dispositions entreprises en vue de diminuer la probabilité ou la gravité des dommages
associés à un risque particulier lorsque celui-ci est jugé intolérable.
De manière générale, les mesures de maîtrise/réduction du risque concernent :
• La prévention, c’est-à-dire la réduction de la probabilité d’occurrence de la situation
de danger à l’origine du dommage,
• La protection, c’est-à-dire limiter la gravité du dommage considéré. Notons que,

suivant cette définition, l’intervention pourra être considérée comme un moyen de
protection.
En d’autres termes, il s’agit dans l’ordre de :
• Prévenir le danger
• Eviter le danger
• Atténuer les effets du danger
3.2.5. Démarche Pour L’analyse Des Risques
Cette démarche se décompose généralement en plusieurs étapes :

• Une étape préliminaire pour définir clairement le cadre de l’analyse des risques :
Définition du système à étudier et des objectifs à atteindre.
• Une étape consistant en la collecte des data pour mener le travail d’analyse de façon
efficace : Recueil des informations indispensables à l'analyse des risques.
• Une étape consistant en un choix judicieux du ou des outils d’analyses et
éventuellement d’une matrice de risque avec échelle de cotation des risques et une
grille de criticité : Définition de la démarche à adopter
• Et enfin une équipe pluridisciplinaire composée de spécialistes pour mener à bien
l’ensemble des tâches : Mise en oeuvre de l’analyse de risques dans le cadre d’un
groupe de travail.
3.2.6. Définition Du Système Et Des Objectifs A Atteindre
Cette définition permet notamment de limiter la description du système aux informations

nécessaires et suffisantes au champ de l’étude.
Les objectifs de l’analyse des risques étant clairement définis, les critères d’acceptabilité des
risques le sont par la même occasion.
Il peut par exemple être nécessaire de mener une analyse des risques dans l’un des buts
particuliers suivants :
• Analyser les risques d’accidents de manière générale et les évènements pouvant
nuire à la bonne marche du procédé (panne, incidents…),
• Analyser plus spécifiquement les risques liés aux postes de travail (Code du travail),
• Analyser les risques d’accidents majeurs (cas de l’étude des dangers).
Selon les objectifs poursuivis, la démarche et les outils utilisés pourront être
significativement différents.
3.2.7. Recueil De Data
Cette étape est l’une des plus longues mais également une des plus importantes car d’elle
dépendent les résultats de tout le processus.
a. Description Fonctionnelle Et Technique Du Système
La description fonctionnelle vise notamment à collecter l’ensemble des informations

indispensables pour mener l’analyse.
De manière très générale, il s’agit de traiter les points suivants :
• Identifier les fonctions du système étudié,
• Caractériser la structure du système,
• Définir les conditions de fonctionnement du système,
• Décrire les conditions d’exploitation du système.
b. Environnement Du Système
Du fait de son interaction avec le système, l’environnement peut être une source de dangers
potentiels comme il peut constituer une cible pouvant être affectée en cas d’accident.
Afin d’apprécier la gravité d’un accident ou incident potentiel, il est indispensable de bien
identifier les éléments de l’environnement qui pourraient être gravement affectés. En règle
générale, il convient de repérer les cibles suivantes :
• Les personnes (personnel du site concerné, populations habitant ou travaillant autour
de sites industriels),
• Les installations et équipements pouvant être à l’origine d’accidents (équipements
dangereux),
• Certains équipements indispensables pour maintenir le niveau de sécurité des
installations (équipements de sécurité critiques comme une salle de contrôle, un local
pompes incendie, un réseau torche, etc.,
• Les biens et les structures dans l’environnement des installations,
• L’environnement naturel (nappes phréatiques, cours d’eau, sols, etc.,
• D’autres parties des installations, en fonction des objectifs particuliers de l’analyse
des risques.
Il s’agit en fait d’identifier les sources de dangers potentiels tels que :
• Les dangers liés au process en particuliers ceux liés aux produits, aux conditions
opératoires, aux réactions chimiques,
• Les sources d’inflammation potentielle
• Aux sources d’agressions multiples qu’il s’agisse d’autres parties des installations, de
zones de circulation, de travaux, de conditions météorologiques extrêmes (gel, vent,
neige, brouillard, etc., de présence d’établissements industriels proches, de transport
de matières dangereuses sur des voies de communication proches, etc.
Comme il est extrêmement important de tirer les leçons du passé même si il est dit que les
« usines n’ont pas de mémoire ». L’analyse d’accidents/incidents passés (notamment les
presque accidents si possible) joue un rôle fondamental dans l’évaluation et l’analyse des
risques à plus d’un titre. En particuliers :
• Elle permet de mettre en relief, prévenir et identifier les incidents ou accidents
susceptibles de se produire à partir :
 Des accidents ou incidents s’étant déjà produits sur le site étudié,
 Des accidents survenus sur des installations comparables à celles étudiées
(benchmarking)
• Elle permet de déterminer les causes les plus fréquentes d’accident, de renseigner
sur l’efficacité et la performance des barrières de sécurité
• Elle constitue une base de travail pertinente pour l’analyse des risques en groupe de
travail qui devra identifier a priori des scénarios d’accidents.
Il ne faut pas enfin omettre l’existence de dangers potentiels externes considérés comme
extrêmes comme par exemple :
• Les risques d’agressions sismiques,
• Les risques liés à la foudre
• Les synergies d’accidents ou effets dominos.
3.2.8. Définition De La Démarche À Mettre En Oeuvre
Différentes techniques pour une identification qualitative des dangers et une analyse de
risques qualitative sont largement répandues. Il s’agit en fait de choisir la technique ou
combinaison de techniques la mieux adaptée pour répondre aux objectifs fixés. Pour la
réalisation de cette tâche, il s’agira également de définir le groupe de travail qui participera
à la réflexion et, le cas échéant, de fixer des échelles de cotation des risques et une grille de
criticité.
Parmi les techniques les plus fréquemment utilisés nous citerons:
• L’Analyse Préliminaire des Risques (APR),
• L’Analyse des Modes de Défaillances, de leurs Effets et de leur Criticité (AMDEC),
• L’Analyse des risques sur schémas type HAZOP ou « What-if ? »,
• L’Analyse par arbre des défaillances,
• L’Analyse par arbre d’évènements,
• Le Noeud Papillon et
• L’analyse des causes/conséquences
Il existe deux grands types de démarches en vue d’analyser les risques : la démarche
inductive et la démarche déductive.
Dans une approche inductive, une défaillance ou une combinaison de défaillances est à
l’origine de l’analyse. Il s’agit alors d’identifier les conséquences de cette ou ces défaillances
sur le système ou son environnement. On dit généralement que l’on part des causes pour
identifier les effets. Les principales méthodes inductives utilisées dans le domaine des
risques accidentels sont : l’Analyse Préliminaire des Risques, l’Analyse des Modes de
Défaillance, de leurs Effets et de leurs Criticité (AMDEC), HAZOP, l’analyse par arbre
d’évènements, etc.
A l’inverse, dans une approche déductive, le système est supposé défaillant et l’analyse
porte sur l’identification des causes susceptibles de conduire à cet état. On part alors des
effets pour remonter aux causes. L’arbre des défaillances constitue une des principales
méthodes déductives.
Comme nous pouvons classer les différentes méthodes d’identification des dangers selon
trois grandes familles en l’occurrence :
i. La famille des méthodes comparatives telles que check-lists, audits de sécurité, etc.
où la comparaison est faîte entre ‘ce qui existe et ce qui doit être’.
ii. La famille des méthodes fondamentales telles HAZOP, AMDEC, etc.
iii. La famille des méthodes dites à ‘défaillance logique’ telles que FTA, ETA, etc.
3.2.9. Constitution D’un Groupe De Travail
Les techniques d’analyses de risques sont généralement destinées à être mis en oeuvre dans
le cadre de groupe de travail, d’une équipe pluridisciplinaire comportant en son sein des
personnes travaillant au quotidien sur les installations étudiées (process, maintenance,
HSE…) des personnes de l’administration (services financiers, formation…) ou ayant une
connaissance approfondie des installations (cas des projets).
L’objectif est in fine de tendre vers l’examen le plus exhaustif de la situation. La
confrontation d’idées, les expériences et connaissances complémentaires des membres de
l’équipe joueront un rôle primordial dans l’avancement des travaux en vue d’atteindre les
objectifs fixés.
Au sein de l’équipe, le rôle du facilitateur est d’une extrême importance dans la mesure où
grâce à son expérience et sa façon de mener les débats, il peut canaliser toutes les énergies
vers le but assigné.
3.3. Les techniques de management des risques
Les accidents tels que SEVESO en 1976, Bhopal en 1984, Flixborough en 1974, Piper Alpha
en 1988, Longford en 1998, SKIKDA 2004 et Texas 2005 ont conduit au développement de
nouveaux standards et autres lois (la directive européenne SEVESO II, safety case en
Grande Bretagne, les différentes directives de SONATRACH…). La directive 45/DG exige de
toutes les divisions du groupe de réaliser des analyses systématiques de risques.
Il existe un grand nombre de techniques dédiées à l’identification des dangers et des risques
associés à un procédé ou une installation.
Ces techniques considérées individuellement ou combinées permettent généralement de
répondre aux objectifs de l’analyse des risques. Nous allons passer en revue les principes,
avantages et limites d’un certain nombre d’entre elles.
3.3.1. Analyse Préliminaire Des Risques / Dangers (APR/APD)
L’Analyse Préliminaires des Risques (Dangers) a été développée au début des années 1960
dans les domaines aéronautiques et militaires.
C’est une technique couramment utilisée pour l’identification des risques au stade
préliminaire de la conception d’une installation ou d’un projet.
Par conséquent elle ne nécessite généralement pas une connaissance approfondie et
détaillée de l’installation étudiée.
a. Objectif
• Prendre en compte le facteur sécurité dès la phase recherche et conception d'une

installation
• Envisager a priori tous les risques inhérents aux produits, procédés, équipements,
implantation
• Prescrire les actions correctives
• Répertorier les risques nécessitant une analyse complémentaire plus fine
b. Principe
L’Analyse Préliminaire des Risques nécessite dans un premier temps d’identifier les éléments
dangereux de l’installation. Ces éléments dangereux désignent le plus souvent :
• Des substances ou préparations dangereuses, que ce soit sous forme de matières
premières, de produits finis, d’utilités…,
• Des équipements dangereux comme par exemple équipements sous pression,

équipements de stockage, équipements de zones de réception/expédition, réacteurs,
fournitures d’utilités (chaudière…),
• Des opérations dangereuses associées au procédé.
• A partir de ces éléments dangereux, APR vise à identifier, pour un élément
dangereux, une ou plusieurs situations, qui, si elles ne sont pas maîtrisées, peuvent
conduire à l’exposition de cibles à un ou plusieurs phénomènes dangereux
c. Mise en œuvre de la méthode
• Préparer des fiches (produits, procédés, équipements, environnement, antécédent…)

• Regrouper sous forme d'un dossier les données recueillies et les mesures prises
• Vérifier, remettre à jour, compléter ce dossier jusqu'a la fin de vie de l'installation
d. Déroulement
L’utilisation d’un tableau de synthèse constitue un support pratique pour mener la réflexion
et résumer les résultats de l’analyse.
Le groupe de travail peut alors adopter une démarche systématique sous la forme suivante :
1. Rassembler les data et informations concernant l’unité
2. Partitionner l’unité en sections critiques
3. Sélectionner une déviation dangereuse à étudier
4. Identifier et noter les évènements significatifs résultant de la déviation dangereuse
5. Identifier et noter chaque déviation dangereuse qui peut donner naissance à cette
déviation dangereuse
6. Identifier et noter les actions de contrôle d’urgence inadéquates et leur défaillance à
rétablir la situation
7. Identifier les déviations du process et leurs causes immédiates. Noter les actions de
contrôle inadéquat.
8. Si tous les enchaînements ont été étudiés, envisager une nouvelle situation de
danger
9. Compléter les études pour toutes les sections et identifier chaque événement
significatif
10. Compléter les études pour toute l’unité en identifiant chaque scénario pour toute
cause significative
e. Principaux points pris en compte dans les fiches guides
• Système ou fonction (incluant les composants) et phases d'opération
• Éléments dangereux (dangers des substances et de leurs réactions)

• Événement conduisant à des situations dangereuses : échappement de produit,
défaillance de structure…
• Événement menant à un accident potentiel
• Gravité des conséquences (étendue ou endommagement)
• Prévention : identification des moyens de limiter, contenir ou supprimer le risque
• Application des moyens de prévention : emploi, efficacité
f. Différents types de fiches guides à établir
Installation existante
Risques liés aux produits :

• Fiches produits, fiches de données sécurité
• Tableaux des incompatibilités produits - matériaux
• Réactions chimiques : emballement, réactions secondaires, influence des impuretés...
• Déchets et produits rejetés
Risques liés aux procédés :
• Fiches procédés : conditions opératoires (pression, température, phase..)
• Fiches Machines, Fiches Stockages
Risques liés aux équipements
• Particularités, points faibles
• Mise à l'atmosphère, dégazage, pressurisation, etc.
Cartographie des risques
• Zones de risques comparables
• Établissement des zones dangereuses pour matériel électrique
• Distances de sécurité
Risques liés à l'environnement
• Environnement comme facteur de risques
 Météorologie, sismicité, températures extrêmes, etc.
 Proximité d'installations dangereuses, de trafic de matières dangereuses
agressions extérieures : couloir aérien, lignes haute tension
• Environnement comme intérêt à protéger
 Localisation des zones sensibles à protéger : urbanisation
 Pollution, eau, air, etc.
Analyse des antécédents
Installation nouvelle
L'APR est plus détaillée et comporte des fiches complémentaires (plan d'implantation, etc.)
g. Intérêt et limites de la méthode
Le principal avantage de l’Analyse Préliminaire des Risques est de permettre un examen

relativement rapide des situations dangereuses sur des installations. Par rapport aux autres
méthodes présentées ci-après, elle apparaît comme relativement économique en terme de
temps passé et ne nécessite pas un niveau de description du système étudié très détaillé.
Elle est indispensable pour les installations nouvelles ; elle permet d’éviter les erreurs
fondamentales de conception et mettre en évidence les risques principaux.
C’est une analyse qualitative, relativement facile à effectuer qui requiert un minimum de
personnel
En revanche, APR ne permet pas de caractériser finement l’enchaînement des évènements
susceptibles de conduire à un accident majeur pour des systèmes complexes. Comme son
nom l’indique, il s’agit à la base d’une méthode préliminaire d’analyse qui permet d’identifier
des points critiques devant faire l’objet d’études plus détaillées. Elle permet ainsi de mettre
en lumière les équipements ou installations qui peuvent nécessiter une étude plus fine
menée grâce à des outils tels qu’AMDEC, HAZOP ou l’analyse par arbre des défaillances.
L’APR ne détecte que les risques "évidents" et ne permet pas d'identifier les risques liés a la
complexité des systèmes.
Tableau 3.1 Matrice d’évaluation de risques (after JACOBS)
Tableau 3.2 Worksheet examples (after JACOBS)

3.3.2. Check-lists
a. Objectif
Passer en revue systématiquement un certain nombre de points et pouvoir comparer

plusieurs solutions.
Ne pas se poser les mêmes questions au risque d'oublier certains aspects.
b. Mise en œuvre de la méthode
Le check-list consiste en une liste de points â étudier

• Procédés
• Localisation, bâtiments
• Machines
• Égouts
• Électricité.
• Stockage
• Manipulation de produits
• Équipements de sécurité : détection, interventions fixe et mobile
c. Documents de base nécessaires
• Plan d'implantation, génie civil

• Spécifications, notes de calculs, notices fabricants
• Fiches produits
• Plan de circulation des fluides…
• Réseaux utilités…
d. Intérêts et limites de la méthode
• Analyse qualitative simple et efficace pour les domaines couverts par les check-lists.
• Risque d'oubli de points non indiqués sur les check-lists.
• Ne permet pas de détecter les risques résultants d'interactions diverses (entre être
humain et système, entre équipements…)
• Ne permet pas de vérifier la pertinence des mesures compensatoires prises
ASPECT POINTS À ÉTUDIER
• Bilans thermiques et risques d'accumulation d'énergie susceptible de se

libérer brutalement
• Fourchettes d'évolution des températures
• Tenue des matériaux à la température - Incidence du froid (gel et
rupture d'équipement, fragilisation, bouchage, givrage par détente...)
Thermique
• Incidence de la chaleur (entartrage, perte de propriétés mécaniques...)
• Incidence des conditions météorologiques…
• Examen des pressions et débits (fourchette d'évolution et incidences
éventuelles, risques de mise en surpression ou dépression accidentelle,
capacité de résistance insuffisante, coups de bélier…)
• Examen sommaire des conséquences d'une rupture de tuyauterie ou
d'appareillage (quantité de produit émis, zone d'émission...)
• Incidence d'une erreur de dimensionnement ou de montage des
accessoires ou de leur défaillance (vannes, clapets, soupapes de
sécurité, disques...)
• Incidence d'un défaut d'étanchéité ou d'une fuite (interne ou externe,
Circuits et par exemple dans un échangeur)
• Incidence d'une défaillance d'organe (agitateur, pompes, vannes...)
Équipements
• Incidence des bouchages, entartrages, dépôts...
• Incidence des entraînements de produits
• Incidence des défaillances de circuits de refroidissement, réchauffage
• Incidence de manoeuvres intempestives des organes
• Défaillances des systèmes de traitement d'effluents
• Sensibilité du matériel au risque d'incendie, explosion...
• Examen des défaillances éventuelles des équipements de sécurité tels
que cuvettes de rétention...
Automatisme • Incidence des défaillances d'organes de régulation, d'un mauvais
montage ou d'erreurs de conception
Régulation
• Examen des systèmes d'alarme et des automatismes de sécurité
Informatique • Incidences d'une défaillance de SNCC ou d'automate (matériel ou
programme)
• Incidence des pannes de réseaux ou des équipements de ceux-ci

• Examen des caniveaux, réseaux d'égouts en fonction des risques
Utilités
toxiques, feu, explosion… en cas de déversement accidentel
• Manœuvres intempestives
• Incidence des pannes électriques totales ou localisées
• Manœuvres intempestives
• Antidéf1agrance et sécurité intrinsèque...
Électricité • 'Protection des lignes contre les agressions externes (corrosion,
égouttures, arrachement...)
• Mise à la terre
• Risque lié â l'électricité statique
• Foudre
• Incidence des vibrations, dilatations…
• Incidence des chocs (engins de manutention, chutes de matériel…)
Mécanique
• Poussières (risques d'explosion, etc.)
• Agressions externes :
 Projectiles venant de l'environnement (explosions, chutes
d'avions...)
 Arrachement de conduites ou de lignes électriques, séismes
 Inondations et tornades
Facteur • Examen de l'organisation générale du système et notamment de la
hiérarchie
humain
• Examen des postes de travail (facilité de manœuvre, risque de
confusion, communication, etc.)
• Études des effets des erreurs susceptibles d'être commises par le
personnel
• Formation et qualification
• Examen des procédures et consignes : exploitation, mise en service,
arrêt urgent ou non, opérations annexes
• Examen particulier des procédures d'entretien ou d'opération
exceptionnelle
Dispositifs • Étude des consignes
• Examen des défaillances possibles des dispositifs d'intervention internes
D'intervention
et externes (aux points de vue matériel et humain)
Inspection • Organisation de l'inspection
Tableau 3.3 Check-lists : exemples (after ENSPM)
PROCÉDÉ
1. Produits chimiques - risques feu et toxicité (respiratoire, risque pour la peau, instrumentation,
règles opératoires, maintenance, compatibilité des produits, stabilité
2. Pressions et température critiques
3. Systèmes de compression et arrête flammes
4. Appareils chaudronnés conformes aux codes et matériaux de tuyauteries adaptés
5. Méthode pour maîtriser les réactions chimiques qui s'emballent
6. Systèmes fixes de protection incendie (C02, mousse, déluge)
7. Appareils convenablement ventilés, évents implantés sans aggravation des risques
8. Systèmes de nettoyage sous vide fonctionnant en permanence
9. Barrières d'explosion et isolation
10. Système d'inertage - liste des équipements devant être blankettés
11. Localisation des vannes et interrupteurs d'arrêt d'urgence par rapport à une zone critique, temps
de réponse des relais
12. Ignifugeage des supports métalliques
13. Systèmes de sécurité des échangeurs (évents, vannes, drains)
14. Joints de dilatation ou lyres de dilatation pour les lignes de vapeur procédé
15. Traçage à la vapeur - prévoir des soupapes d'expansion thermique sur des lignes chaudes
16. Calorifuge pour la protection du personnel, des lignes chaudes (process et vapeur) et traçage
17. Mise à la terre des appareils et des tuyauteries
18. Nettoyage et maintenance des appareils sous pression et réservoirs - trous d'homme adéquats,
plates-formes, échelles ouvertures pour nettoyage et procédures d'autorisation pour entrer en
sécurité
19. Témoins pour le contrôle de la corrosion
20. Identification des lignes
21. Risques dus aux radiations, incluant la protection des pompiers - procédés et instruments de
mesure contenant des radio- isotopes, rayons X…
22. Instruments, redondants avec alarme
Tableau 3.4 Check-lists procédé (after Technip)
3.3.3. Méthode "WHAT IF?" ("QUE SE PASSE-T-IL SI ?)
La méthode dite « What-if » est une méthode dérivée de HAZOP. Elle suit donc globalement
la même procédure et les informations présentées au paragraphe précédent pour HAZOP
restent donc valables ici. La principale différence concerne la génération des dérives des
paramètres de fonctionnement. Ces dérives ne sont plus dans ce cas envisagées en tant que
combinaison d’un mot clé et d’un paramètre, mais fondées sur une succession de questions
de type de la forme : « QUE (What) se passe-t-il SI (IF) tel paramètre ou tel comportement
est différent de celui normalement attendu ? ». Il apparaît ainsi que l’efficacité de la
méthode « What-if » repose en grande partie sur l’expérience des personnes réunies au sein
du groupe de travail. Cette méthode paraît donc moins fastidieuse à mener que HAZOP mais
est réservée à une équipe expérimentée.
a. Objectif
• S’assurer en dernier recours que le plus grand nombre de risques a été pris en
compte
• Examiner les aspects sécurité d'une installation en marche normale, en phases de
démarrage arrêt, en situations anormales
b. Mise en œuvre
• Équipe pluridisciplinaire (recherche, projet, fabrication, entretien, HSE…) qui n'a pas
nécessairement de responsabilité dans l'installation
• Présenter succinctement l'installation concernée
• Laisser libre cours aux questions de type "What if?" sans essayer de répondre en
détail
c. Intérêts et limites de la méthode
• Méthode simple et rapide qui permet d'avoir une vue d'ensemble des installations
• Méthode non systématique et non rigoureuse mais qui permet de traiter toutes les
questions spontanées que peuvent se poser les participants
• Réunion de type "brainstorming" qui fait suite en général à l'HAZOP
• Exige un suivi minutieux des réunions pour s'assurer que tous les problèmes soulevés
sont résolus
d. Intérêt pour l'exploitant
La méthode permet d'analyser en commun (par exemple : équipe de quart, équipe de

maintenance) les conséquences et les actions à prendre en cas d'incident.
"QUE FERIONS-NOUS/FERIEZ-VOUS SI ?"
3.3.4. HAZOP
a. Introduction
La méthode HAZOP (HAZard & OPerability) a été développée par la société IMPERIAL
CHEMICAL INDUSTRIES (ICI) au début des années 1970. Cette méthode est
particulièrement utile pour l’examen de systèmes pour lesquels des paramètres comme le
débit, T, P, le niveau, la concentration… sont particulièrement importants pour la sécurité de
l’installation.
De par sa nature, cette méthode requiert notamment l’examen de schémas et plans de
circulation des fluides ou schémas P&ID (Piping and Instrumentation Diagram).
1) Principe
Une technique systématique qui considère les déviations par rapport au design par
l’application de mots guides pour une opération, un process flow sheet, etc.
Elle peut se faire:
• Très tôt dans la phase design ligne par ligne dans le flow sheet conceptuel
• Lors de la phase détaillée du design ligne par ligne sur un P & ID ou
• Pour une installation existante
Le groupe de travail doit déterminer les causes et les conséquences potentielles de chacune
de ces dérives et identifier les moyens existants permettant de détecter cette dérive, d’en
prévenir l’occurrence ou d’en limiter les effets.
Il convient de posséder les documents et les données suivants :
• La description du procédé, logique de régulation et des sécurités,
• Les bilans matières et énergie,
• Les PID,
• Les schémas d’implantations,
• Les données sur les produits,
• Les fiches « réactions »,
• Les spécifications de tout l’équipement, tuyauteries, vannes…
• Les schémas de contrôle et régulation
• Les systèmes de sécurité les consignes opératoires, et
• Les connaissances relatives au fonctionnement de cette partie de l’installation (et à
ses dysfonctionnements)
Cette documentation sera dans toute la mesure du possible complétée par :
• Les consignes opératoires et de sécurité (ou ébauche),
• Les procédures et séquences de démarrage et d'arrêt,
• Les procédures et séquences d'arrêt d'urgence,
[MSc Said Ameziane, Risk Management, API, Boumerdes, May 2009 Page 86
• Les caractéristiques des substances chimiques,
• Les spécifications soupapes sûreté/disques de rupture,
• Les informations relatives aux effluents, à leur transport, à leur traitement (drains,
égouts, torches, etc.)
• Le cas échéant, revues de sécurité ou étude HAZOP déjà réalisées sur le projet ou
des projets similaires.
2) Définitions
Dans la mesure où HAZOP est une technique systématique et structurée, il est nécessaire
d’utiliser certains termes d’une manière précise et disciplinée. Les plus importants sont:
Intention
Définit comment la partie, la section du process…est sensée opérer.
Node (nœud)
Est un emplacement spécifique dans le process où la déviation par rapport à l’intention du
design est évaluée. Exemples : réacteurs, séparateurs, échangeurs de chaleur, pompes,
compresseurs, pipes…
Déviation
Ecart par rapport à l’intention découvert par l’application systématique de mots guides et de
locutions standards
Paramètre
Le paramètre pertinent pour les conditions du process (P, T, composition…)
Causes
Les raisons qui font que la déviation a lieu. Une fois qu’une est vue comme ayant une cause
réaliste, concevable elle est considérée comme significative. Plusieurs causes peuvent être
identifiées pour une même déviation. Il est souvent recommandé de commencer par la
cause qui engendre la plus mauvaise conséquence.
Conséquences
Résultats des déviations quand elles surviennent. Plusieurs conséquences peuvent provenir
d’une même cause comme une conséquence peut avoir plusieurs causes.
Mots guides
Simples mots ou locutions qui sont utilisées pour qualifier l’intention pour guider et stimuler
la réflexion en vue d’identifier les déviations.
Mot guide + Paramètre = Déviation
Protection
Qui aident à réduire la probabilité d’occurrence de la déviation ou mitiger ses conséquences.
Il existe en principe cinq types de protection qui :
• Identifient les déviations (détecteurs, alarmes…)
• Compensent les effets de la déviation (systèmes de contrôle automatique, etc.)
• Préviennent l’occurrence des déviations (gaz inerte dans les stockages de substances
inflammables…)
• Préviennent l’escalade de la déviation (ESD, etc.)
b. Procédure détaillée d’une étude HAZOP
1) Description et intention du design
Il est essentiel que l’équipe commence par une compréhension totale de la section ou de
l’étape à analyser. Une description détaillée devrait être développée incluant tous les
paramètres clés (le rapport qui sera établi à la fin devrait faire référence à la description du
design).
Ensuite une intention du design pour l’étape en question est formulée et enregistrée. Ceci
permettra à l’équipe de reconnaître toute situation qui serait en dehors du domaine
opérationnel comme étant une déviation.
L’intention du design peut se référer aux items des équipements de la section en question,
aux substances, conditions, sources et destinations, modifications et transferts…en même
temps qu’aux moyens de contrôle et timing de l’étape. Elle se réfère non seulement aux
équipements de l’installation mais elle couvre également ce qui est prévu de faire dans cette
section à analyser.
2) Générer une déviation
La prochaine étape est la génération d’une déviation significative en couplant un ‘mot guide’
et un ‘paramètre’. Une déviation peut être générée en combinant un paramètre avec chaque
mot guide et voir si une déviation significative peut en résulter : c’est l’approche paramètre
en premier. L’alternative serait de prendre un mot guide et essayer chaque paramètre : c’est
l’approche mot guide en premier.
Une liste de mot guide et de paramètres est donnée dans les tableaux suivants.
L’objectif des mots guides est d’assister l’équipe dans la recherche créative et approfondie
de déviations significatives, il est important de sélectionner ceux qui pourraient mener à bien
cette tâche
3) Identifier les causes
Une fois qu’une déviation significative a été identifiée, l’équipe cherche alors une cause
pouvant mener à cette déviation. Il serait intéressant de noter si les conséquences de toute
déviation sont insignifiantes car la recherche de causes serait inutile.
Dans le cas où il y a plusieurs causes, un brainstorming est très utile pour trouver le
maximum de causes possibles en ayant à l’esprit que ces causes pourraient être liées à des
facteurs humains et/ou matériels. Il est également important de noter que durant la
recherche de causes (ou de conséquences), l’attitude des membres de l’équipe devrait être
critique et non défensive ; ceci est particulièrement vrai pour les membres responsables du
design.
Un risque acceptable implique un compromis entre la fréquence et la sévérité dans cette
optique on ne peut séparer la discussion des causes et des conséquences.
4) Evaluer les conséquences
Les conséquences de chaque cause devraient être soigneusement analysées pour voir si le
système sort du domaine défini par les intentions du design. Il est donc essentiel d’identifier
toutes les conséquences qu’elles soient immédiates ou retardées, qu’elles soient à l’intérieur
ou à l’extérieur de la section analysée.
L’analyse du développement des conséquences dans le temps en notant quand les alarmes
agissent, les opérateurs sont alertés… aide à avoir un jugement réaliste sur la probabilité et
l’influence de l’intervention des opérateurs.
Quand une conséquence a lieu en dehors de la section analysée, le leader de l’équipe devrait
décider s’il faut inclure l’analyse dans l’analyse immédiate ou la différer.
5) Les barrières (safeguards)
Il y a plusieurs approches dans la prise en compte des mesures de protection existantes.

Une approche serait d’analyser d’abord sans tenir compte des mesures de protection
existantes (alarmes…), ensuite quand le plus grave résultat a été identifié les mesures de
protection sont notées et l’équipe considère le besoin d’actions correctives. Cette approche a
l’avantage d’alerter l’équipe sur les possibles conséquences sérieuses mais en revanche, il
n’est pas réaliste de ne tenir compte de mesures de protection prévues dans le cadre d’un
bon design des opérations.
6) Evaluation du risque
Evaluation du risque par rapport à la grille de criticité préalablement établi ainsi que le seuil
d’acceptabilité.
7) Recommandations/actions
Plusieurs approches sont également utilisées, entre autres :

• Après qu’un problème potentiel a été identifié, il est souvent demandé de plus ample
investigations en dehors de l’étude HAZOP
• A l’autre extrême, l’équipe essaie chaque fois que c’est possible de traiter le
problème et d’enregistrer une recommandation de solution à ce problème
• La norme est pour une approche intermédiaire où l’équipe ne recommande une
solution à un problème que lorsque cette solution a été acceptée à l’unanimité dans
l’équipe ou qu’une brèche dans les standards soit notée. Quand il n y a pas
unanimité, de plus amples investigations en dehors de la réunion HAZOP sont
requises.
Quelque soit l’approche retenue, il est important qu’il y ait un consensus au sein de l’équipe
concernant les causes, conséquences et autres actions recommandées.
8) Réévaluation du risque
Le risque devrait être réévalué en vue d’estimer la contribution des recommandations
d’actions à ramener un risque élevé à un niveau tolérable.
9) Enregistrement
Les conclusions atteintes durant l’étude devraient entièrement enregistrées. Le rapport

HAZOP représente typiquement le seul enregistrement compréhensif de l’étude HAZOP.
La sélection des items à inclure dans le rapport devrait être arrêtée d’un commun accord
durant la phase planification de l’étude. Il est particulièrement important d’enregistrer les
détails suffisants à même de permettre aux personnes qui n’ont pas assisté aux réunions de
comprendre parfaitement les problèmes potentiels soulevés.
Liste des Composants Critiques (LCC) :
• C’est la liste des composants du système pour lesquels le risque est inacceptable
• Cette liste réduite permet de visualiser les composants qui nécessitent un travail
particulier pour être reclassés dans la zone acceptable.
• Cette liste devrait présenter les composants depuis les plus critiques jusqu'à ceux
classés risque faible (pour des valeurs du risque équivalentes il faut privilégier le
facteur G).
Liste par Effets de Défaillance (LED):
• Elle permet de montrer rapidement, pour un effet donné, l'ensemble des causes et, le
cas échéant, les composants associés (pour plus de précision). Dans ce dernier cas, il
faut ordonner les composants associés par niveau de risque.
• La LED devrait pouvoir montrer, par ordre de récurrence, les effets (de l'effet
apparaissant plusieurs fois dans le tableau HAZOP, à l'effet n'apparaissant qu'une
seule fois).
• Importance des listes LCC et LED :
• A l'issue de chaque HAZOP, la LCC permet de synthétiser le résultat du groupe de
travail HAZOP, en ne retenant qu'une partie des composants sur lesquels il faudra
travailler.
• Toutefois, la LCC prend toute sa valeur à la suite de plusieurs HAZOP’s : on peut alors
faire une liste des composants critiques de l’usine.
• La LCC mais surtout la LED présente un intérêt tout particulier pour la rédaction de la
documentation système (formation des opérateurs, arborescence de diagnostic erreur
ou panne) et dans la définition des opérations de maintenance corrective.
c. Organisation d’une étude HAZOP
1) Définition de l’étendue et objectifs de l’étude et établissement des limites
Cette partie contribue d’une façon significative à la réussite ou non de l’étude HAZOP.
Une définition claire de l’étendue et des objectifs est cruciale pour l’étude entière.
La pratique normale identifie les risques concernant la santé, sécurité et environnement
(HSE) comme principal objectif. Comme il est de pratique de rechercher des objectifs autres
qui n’ont pas d’implications liées aux questions HSE comme par exemple les problèmes
potentiels d’opérabilité. Entre autres : la fiabilité et les problèmes de maintenance, pertes et
qualité des produits, facteurs affectant la durée de vie des installations et la productivité…
Satisfaire aux exigences de la loi ou aux normes et standards de l’entreprise pourrait être
également défini comme objectif.
Les limites de l’étude devraient être également clairement définies incluant comment
prendre en charge un problème qui pourrait influer au-delà des limites préétablies.
La première étape consiste à identifier les sections de l’unité qui devraient être incluses dans
l’étude. Quand ces limites sont établies les facteurs liés à la nature du process, les dangers
inhérents à ce process, la nouveauté des opérations, la complexité des systèmes de contrôle
et la relation avec les autres unités opératoires devraient être considérés.
Lorsque ces limites auront été établies, les interfaces avec d’autres sections telles que
recyclages, drains, évents, traitement des effluents et même des sections utilisées
occasionnellement devraient être considérées. Il est essentiel que ces interfaces soient
prises en considération et non omis parce qu’elles ne sont pas dans les schémas en cours
d’utilisation. L’équipe devrait avoir une vue d’ensemble sur tout le système de telle sorte
que des causes et/ou conséquences de ces sections ne soient pas omises.
Un autre aspect à établir au départ de l’étude est le domaine des modes opérationnels
couverts i.e. marche normale, démarrage, arrêt…car ceci implique des conditions opératoires
différentes de pression, température, débit, etc.
Il n’est pas possible d’estimer la durée de cette étude ou planifier en détail tant que ces
limites n’ont pas été établies.
2) Le leader de l’équipe et la sélection de l’équipe
Le leader/facilitateur
La sélection du leader devrait être faite au début de la phase planification de l’étude HAZOP.
Le rôle essentiel du leader/facilitateur est d’assurer que la méthodologie HAZOP est utilisée
effectivement et efficacement. Pour ce faire le leader devrait avoir une connaissance et une
compréhension approfondies et une expérience considérable dans des études HAZOP. Une
équipe HAZOP travaille très bien sou la direction d’un leader expérimenté.
Les attributs du leader devraient inclure :
• Une large expérience de toutes les étapes d’études de dangers incluant l’évaluation
quantitative de risques
• Une vaste expérience en tant que membre d’une équipe d’études HAZOP et,
préférablement quelque expérience comme secrétaire d’études HAZOP
• Une formation dans le leadsership d’études HAZOP
• Une compétence technique et la capacité à comprendre rapidement le système et les
différentes opérations
• Une attention méticuleuse à la pertinence de détails
• L’encouragement à la créativité et l’ouverture
• Indépendance par rapport au projet à étudier, etc.
L’indépendance par rapport au projet permet au leader d’avoir une vue plus objective de la
situation. Le leader devrait agir -et est reconnu comme tel- comme une personne impartiale
au sein de l’équipe.
Un bon leader possède des aptitudes, un talent et des connaissances qui lui permettent de
faire du groupe une vraie équipe. En particuliers il doit posséder :
• La capacité d’écouter, guider, coacher et encourager les contributions des individus
• La capacité de pousser le groupe à aller vers les conclusions quand un consensus
émerge et
• La capacité de travailler effectivement avec le secrétaire
Le leader dirige la manœuvre à travers les différentes étapes de l’étude. Il se pourrait qu’il
soit nécessaire de varier par rapport au plan pré-établi par l’introduction de nouveaux mots
guides et/ou paramètres pour :
• Le questionnement au sujet d’aspects incertains,
• Différer l’examen d’une question pour avoir de plus amples informations et
• Périodiquement revoir et rappeler à l’équipe les questions clés
Le leader doit s’assurer que l’équipe applique des hauts standards de fonctionnement auquel
cas il devrait apporter les changements et changements nécessaires pour ce faire.
Un bon leader travaillant avec une équipe dont les membres ont été mal sélectionnés peut
produire une étude HAZOP adéquate mais une bonne équipe conduite par un mauvais leader
est moins en mesure de produire une bonne étude.
Figure 3.3 Supervision et préparation de l’étude par le leader (after Lihou)
Le secrétaire (scribe)
C’est un autre élément clé de l’équipe. La personne choisie pour ce rôle doit être familière
avec la méthode HAZOP et possède un bagage technique de telle sorte que les explications
techniques ne sont pas nécessaires. Dans une étude majeure, le scribe n’a pas d’autre rôle;
la tâche d’enregistrement est elle-même très prenante. Lorsqu’il s’agit d’une petite étude,
une modification par exemple ou une petite installation, la tâche d’enregistrement peut être
accomplie par le leader ou un membre de l’équipe.
Le scribe devra établir une relation particulière avec le leader pour devenir plus qu’un
‘enregistreur’. Cette aide pourrait se faire en notant les diverses suggestions, les questions
différées pour les reprendre plus tard et la sélection de mots guides et paramètres.
Plus directement, le scribe commence à enregistrer lorsqu’un consensus se dessine sans
attendre une instruction ou dictée du leader. Pour ce faire le scribe doit apprendre quand il
faut écrire (enregistrement manuel) ou taper (enregistrement électronique) i.e. démarrer
trop tôt est une perte d’effort alors que le faire trop tard ralentirait le progrès de l’équipe.
Cette dernière devrait savoir tout le temps ce qui a été enregistré. Ceci pourrait se faire par
le leader revoyant les entrées, le scribe les relisant ou à travers la projection pour
l’enregistrement électronique.
L’équipe
Le nombre et la composition de l’équipe varient en fonction de la complexité de l’étude. Le

minimum serait quatre personnes. En général il y a un noyau de cinq six personnes et
ponctuellement le nombre s’élargirait à huit ou neuf.
Une équipe type est composée de :
• Le leader
• Le scribe
• L’ingénieur process
• L’ingénieur projet/design
• Le responsable du département production
• L’expert HSE
• L’ingénieur chimiste (recherche)
• L’ingénieur instrumentiste
• L’ingénieur mécanique/maintenance
• Le ou les opérateurs à la demande
• Autres spécialistes
L’essentiel pour les membres de l’équipe c’est qu’ils ont suffisamment d’expérience et le
savoir dans le domaine en question. De plus, le fait que toutes les disciplines de base soient
représentées assure qu’une analyse fondamentale de tous les problèmes identifiés pourrait
être réalisée. La clé est la réunion d’individus qui, ensemble, fournissent une combinaison
correcte des disciplines de base et de l’expertise.
Chaque fois qu’il y a nouveau design ou une modification, l’équipe devrait toujours faire
appel à un représentant du groupe design, de la production et de l’ingénieur instrumentiste.
Les autres membres sont alors choisis en fonction de la nature du projet.
3) La préparation
Il est important que le leader réunisse et revoit les données nécessaires à la réussite de
l’étude et si nécessaire les réorganiser ou demander des données supplémentaires. Une
visite sur site lors de l’étude d’une installation existante pour toute l’équipe est très utile. La
connaissance d’incidents antérieurs sur le même site ou sur des installations similaires est
très importante. Mais si les données historiques n’existent pas, le recours aux bases de
données telles qu’ICHEM Accident Database ou CCPS pourrait être d’une grande utilité.
Pour qu’une étude HAZOP soit possible, il est nécessaire pour l’équipe d’avoir une
représentation complète, précise et fidèle du process. Ceci est basé sur les P & ID, les
spécifications du design, flowsheets, équilibre (bilans) matière/énergie, spécifications des
équipements et instruments, etc.
Les paramètres des soupapes de sécurité ainsi que ceux des alarmes, les spécifications des
substances utilisées, les risques liés aux opérations connus, les détails concernant le site, les
services ainsi que les résultats d’études de dangers antérieures et toute donnée relative à
une quelconque investigation ou autre audit sont importants pour la préparation de l’étude
HAZOP.
Une fois que le niveau de détails requis a été obtenu, la prochaine étape consiste en le
partage des P & ID en sections et items (e.g. équipements) à qui des mots guides seront
appliqués. La sélection de sections est habituellement basée sur les lignes du diagramme
avec une description des conditions opératoires. Il est toutefois essentiel de définir pour
chaque section l’intention du design clairement.
Une autre caractéristique dont il faut tenir compte est l’occurrence d’accidents et presque
accidents durant les phases de démarrages et/ou arrêts après des activités de maintenance
par exemple. Il est donc important de donner une attention suffisante à ces conditions et
aux déviations qui peuvent arriver lors de ces situations.
d. Faire l’étude HAZOP
1) Planification des réunions
Une les délimitations de l’étude effectuées, une estimation du nombre de réunions peut alors
être faite. Elle peut être basée sur des études effectuées sur des installations similaires.
L’idéale c’est de tenir au plus trois ou quatre sessions par semaine chacune limitée à la demi
journée. Les réunions devraient être tenues dans un endroit parfaitement confortable car les
meilleurs résultats sont obtenus quand les membres sont dans les meilleures dispositions
physiques et mentales.
2) Les réunions durant l’étude
La réunion initiale
Après avoir rappelé les objectifs et l’étendue de l’étude, une vue générale du projet devrait
être communiquée aux membres de l’équipe. Cela couvrira entre autres l’unité en question,
les diverses opérations, relations avec le voisinage (autres unités), etc.
Une revue de la méthode HAZOP adoptée devrait être également communiquée incluant les
discussions relatives aux mots guides et paramètres.
L’objectif de cette réunion préliminaire est de s’assurer que toute l’équipe possède une
compréhension commune du projet.
Les réunions détaillées
Elles suivent le plan adopté relatif à la procédure de l’étude suscitée. Celle-ci comme
détaillée plus haut se concentre en priorité sur les problèmes potentiels liés à HSE.
L’ingénieur process décrira toutes les intentions du design pour chaque section étudiée.
Il devrait y avoir des revues régulières du travail accompli soit à la fin de chaque réunion
soit à l’achèvement de l’étude de la section. Toute l’équipe devra recevoir une copie de
l’enregistrement de la réunion pour vérification le plus tôt possible en même temps que
toute tâche ou action à accomplir les concernant.
3) Coordination et revue des réponses
Pour une petite étude, ceci put se faire à l’achèvement des travaux mais pour une étude
plus importante, plus longue, la revue devrait se faire périodiquement à la suite de quoi les
réponses seront incorporées dans l’enregistrement final formel.
Il est essentiel que lorsque l’équipe se met d’accord sur une proposition de
solution/recommandation que cette dernière ne soit pas la cause d’une nouvelle déviation ou
autre problème.
Quand une réponse génère une modification significative du design et/ou des opérations,
une étude HAZOP devrait être également faite pour cette proposition.
Une fois que toutes les sections ont été examinées et les problèmes identifiés durant cet
examen ont été considérés, l’étude HAZOP est achevée.
A ce niveau, le leader signe le rapport détaillé
4) Suivi des actions et contrôle des modifications
La responsabilité de l’implémentation des actions incombe au management incluant tout

rejet. Si une recommandation est rejetée, les motifs du rejet devraient être signifiés.
e. Présentation des résultats
Les résultats d’une étude HAZOP devraient être enregistrés et pour ce faire un format pur ce
type de rapport serait comme suit :
1. Executive Summary
2. Introduction et organisation du rapport
3. Etendues et objectifs
4. L’approche
5. Description du process
6. Résultats de l’étude
7. Conclusions et actions
8. Annexes
 Description de la technique
 Nœuds étudiés et liste des diagrammes
 Feuilles HAZOP
 Actions
Select a drawing
Select a line
Select a deviation
e.g. flow
No
Move on to the Is less flow
next guideword possible?
Yes
No
Is this hazardous or
Consider other
against efficient
cases of less flow
operation
Yes
No
Will the operator know
there is less flow?
What change in
plant will tell the Yes
operator?
What change in plant or methods

will prevent this deviation or make
it less likely, or protect against the
consequences?
Yes
No
Consider other
Can the change be
changes or accept
justified?
the hazard
Suggest changes. Continue as appropriate

Agree who is
responsible for
follow-up action
Continue as appropriate
Update and follow-

up action to be
taken
Repeat for each drawing, node and parameter
Figure 3.4 Flow chart de la méthode HAZOP (after Wells)
PARAMETER DEVIATION POSSIBLE CAUSES
Increased Pumping Capacity
Increased Suction Pressure
Reduced Delivery Head
Greater Fluid Density
HIGH Exchanger Tube Leaks
Restriction Orifice Plates Not Installed
Cross Connection of Systems
Control Faults
Control Valve Trim Changed
Running Multiple Pumps
Restriction
Wrong Routing
Filter Blockage
Defective Pump(s)
LESS Fouling of Vessel(s), Valves, Orifice Plates
Density or Viscosity Changes
FLOW Cavitation
Drain Leaking
Valve Not Fully Open
Wrong Routing
Blockage
Incorrect Slip Plate
One Way (Check) Valve In Backwards
NONE Pipe or Vessel Rupture
Large Leak
Equipment Failure
Isolation in Error
Incorrect Pressure Differential
Gas Locking
Defective One Way (Check) Valve
Siphon Effect
Incorrect Pressure Differential
Two Way Flow
REVERSE Emergency Venting
Incorrect Operation
In-Line Spare Equipment
Pump Failure
Pump Reversed
Outlet Isolated or Blocked

Inflow Greater Than Outflow Control Failure
Faulty Level Measurement
Gravity Liquid Balancing
LEVEL HIGH Flooding
Pressure Surges
Corrosion
Sludge
Inlet Flow Stops
Leak
Outflow Greater than Inflow
Control Failure
LOW Faulty Level Measurement
Draining of Vessel
Flooding
Pressure Surges
Corrosion
Sludge
Sedimentation
Surge Problems
Connection to High Pressure
Gas (Surge) Breakthrough
Inadequate Volume of Vents
Incorrect Vent Set Pressure for Vents
Relief Valves Isolated
Thermal Overpressure
Positive Displacement Pumps
Failed Open PCV
Boiling
Freezing
PRESSURE HIGH Chemical Breakdown
Scaling
Foaming
Condensation
Gas Release
Priming
Exploding
Imploding
External Fire
Weather Conditions
Hammer
Changes in Viscosity/Density
Generation of Vacuum Conditions
Condensation
Gas Dissolving in Liquid
Restricted Pump/Compressor Line
Undetected Leakage
Vessel Drainage
Blockage of Blanket Gas Regulating Valve
LOW Boiling
Cavitation
Freezing
Chemical Breakdown
Flashing
Sedimentation
Scaling
Foaming
Gas Release
Priming
Exploding
Imploding
Fire Conditions
Weather Conditions
Changes in Viscosity/Density
Ambient Conditions
Fouled or Failed Exchanger Tubes
Fire Situation
Cooling Water Failure
HIGH Defective Control Valve
Heater Control Failure
Internal Fires
Reaction Control Failures
TEMPERATURE Heating Medium Leak into Process
Faulty Instrumentation and Control
Ambient Conditions
Reducing Pressure
Fouled or Failed Exchanger Tubes
LOW Loss of Heating
Depressurization of Liquefied Gas - Joule
Thompson Effect
Faulty Instrumentation and Control
Incorrect or Off specification Feedstock
MATERIAL WRONG Incorrect Operation
Wrong Material Delivered
Leaking Isolation Valves
Leaking Exchanger Tubes
Phase Change
Incorrect Feedstock Specification
Process Control Upset
CONCENTRATION WRONG Reaction By products
Ingress of: Water, Steam, Fuel, Lubricants,
Corrosion Products from
High Pressure System
Gas Entrainment
Leaking Exchanger Tubes

Leaking Isolation Valves
Incorrect Operation of System
Interconnected Systems
Wrong Additives
Ingress of Air: Shutdown and Start-up
Conditions,
CONTAMINANTS Elevation Changes, Fluid Velocities
Ingress of: Water, Steam, Fuel, Lubricants,
Corrosion
Products from High Pressure System
Gas Entrainment
Feed stream impurities (Mercury, H2S, CO,
etc.)
Incorrect Material or Composition
VISCOSITY MORE Incorrect Temperature
High Solids Concentration
Settling of Slurries
Incorrect Material or Composition
LESS Incorrect Temperature
Solvent Flushing
Relief Philosophy (process/fire)
Type of Relief Device and Reliability
RELIEF SYSTEM Relief Valve Discharge Location
Pollution Implications
Two Phase Flow
Low Capacity (inlet and outlet)
Cathodic Protection Arrangements (internal and
external)
Coating Applications
CORROSION/ Corrosion Monitoring Methods and Frequencies
EROSION Materials Specification
Zinc Embrittlement
Stress Corrosion Cracking
Fluid Velocities
Sour Service (H 2 S, Mercury, etc.)
Riser Splash Zone
Instrument Air
Steam
Nitrogen
Cooling Water
SERVICE Hydraulic Power
FAILURES Electric Power
Water Supply
Telecommunications
PLC’s Computers
HVAC
Fire Protection (Detection and Suppression)
Purging
Flushing
Start-up
ABNORMAL Normal Shutdown
OPERATION Emergency Shutdown
Emergency Operations
Inspection of Operating Machines
Guarding of Machinery
Isolation Philosophy
Drainage
MAINTENANCE Purging
PROCEDURES Cleaning
Drying
Access
Rescue Plan
Training
Pressure Testing
Work Permit System
Condition Monitoring
Lift and Manual Handling
Grounding Arrangements
Insulated Vessels
Low Conductance Fluids
Splash Filling of Vessels
Insulated Strainers and Valve Components
Dust Generation
STATIC Powder Handling
Electrical Classification
Flame Arrestors
Hot Work
Hot Surfaces
Auto-ignition or pyrophoric materials
Installed/Not Installed
Availability of Spares
SPARE Modified Specifications
EQUIPMENT Storage of Spares
Catalog of Spares
Sampling Procedure
SAMPLING Time for Analysis Results
PROCEDURES Calibration of Automatic Samplers
Reliability/Accuracy of Representative Sample
Diagnosis of Results
Too Long
Too Short
TIME
Wrong Time
Overkill
Underestimated
None
ACTION Reverse
Incomplete
Knock-on
Wrong Action
Confusing
Inadequate
Missing
INFORMATION Misinterpreted
Partial
Stress
Wrong Information
Operation too early
Operation too late
Operation left out
SEQUENCE Operation performed backwards
Operation not completed
Supplemental action taken
Wrong action in operation
Fire and Gas Detection and Alarms

Emergency Shutdown Arrangements (ESD)
Fire Fighting Response
Emergency Training
TLVs of Process Materials and Method of
SAFETY SYSTEMS Detection
First Aid/Medical Resources
Vapor and Effluent Disposal
Testing of Safety Equipment
Compliance with Local and National Regulations
Layout and Arrangement

Weather (Temperature, Humidity, Flooding,
Winds, Sandstorm, Blizzards, etc.)
Geological or Seismic
GLOBAL Human Factors (Labelling, Identification,
Access, Instructions, Training, Qualifications,
Alarms, etc.)
Fire and Explosion
Adjacent Facility Exposures
Tableau 3.5 Paramètres/déviations/possibles causes (after Nolan)
Guideword Meaning
UNCLEAR Procedure written in confusing and ambiguous
fashion
STEP IN WRONG PLACE Procedure will lead to actions out of correct
sequence or recovery failure
WRONG ACTION Procedure action specified is incorrect
INCORRECT Information being checked prior to action is
INFORMATION incorrectly specified
STEP OMITTED Missing step or steps too large, requiring too
much of the operator
STEP UNSUCCESSFUL Step likely to be unsuccessful due to demands on
operator
INTERFERENCE EFFECTS Procedure following performance likely to be
FROM OTHERS affected by other personnel carrying out
simultaneous tasks (usually when co-located)
Tableau 3.6 Mots guides pour HAZOP procédures (after RAUSAND)
Parameter Guideword/Deviation
Time Too early/Too late
Sequence Wrong sequence, omissions, wrong action
Procedure Not available, not applicable, not followed
Measurement Instrument failure, observation error
Organisation Unclear responsibilities, not fit for purpose
Communication Failed equipment, insufficient/incorrect information
Personnel Lack of competence, too few, too many
Position Wrong position, movement exceeding tolerances
Power Complete loss, part loss
Weather Above limitations – causing delayed operation
Tableau 3.7 Paramètres à utiliser avec mots guides pour HAZOP procédures (after
RAUSAND)
f. Suggestions pour une étude HAZOP
Questions préliminaires à la revue HAZOP des installations
Certaines informations nécessaires à la réalisation d’une revue HAZOP doivent être

disponibles et fiables au moment de la réunion de travail, soit connues par l’un au moins des
participants, soit mentionnées dans les documents de travail. Il s’agit notamment des
éléments suivants :
• S’il s’agit d’un projet, le cahier des charges et la proposition technique de l’installation
(version à jour)
• Les procédures d’exploitation
• Les consignes de sécurité (fiches POI ou autres)
• Un ou plusieurs schémas de fonctionnement de type PID (version à jour pour un
projet ou conforme à l’existant) mentionnant :
 Les circuits des différents produits mis en œuvre,
 Les équipements et leurs caractéristiques de fonctionnement et de design
(pression maximale de service - diamètre - température - capacité),
 La position des piquages
 Les utilités (gaz, air comprimé, azote, eau, électricité, etc.)
 Les éventuels circuits de collecte et les caractéristiques de l’évacuation (hauteur,
débit, diamètre)
 Les organes de sécurité (organes de mesure, capteurs, sécurités, alarmes,
témoins de fonctionnement, soupapes, évents, etc.) et leur caractéristiques
(seuils ou niveaux de déclenchement, action manuelle ou automatique,
alimentation électrique ou pneumatique, redondances, etc.)
 Les actions de sécurité (automatiques ou manuelles) entraînées par les alarmes
ou les détections,
 Les boucles, les régulations, les interactions permettant, dans le cadre de la
conduite des installations, de contrôler les paramètres d’exploitation
(température, pression, niveau)
 La position des bâtiments, des parois
 La nomenclature associée
• Le plan du site
• Une description des équipements spécifiques (condenseurs, échangeurs thermiques,
compresseurs, pompes, capacités et réservoirs, réacteurs, etc.)
• Les fiches de données de sécurité et les courbes pression/température des fluides,
• Si possible, des photographies du site et de l’installation,
• Les dispositions architecturales de sécurité (murs coupe-feu, toiture incombustible,
exutoires, parties soufflables, etc.),
• La table de schedule (dimensionnement des canalisations)
1) Débit
Pas de débit
• Identifier et lister toutes les lignes selon le process en question. Ces lignes devraient
être listées dans la colonne déviation
• Identifier les causes pour « pas de débit » pour chaque ligne identifiée
• Identifier les conséquences, lister les protections, recommandations…pour chaque
cause de « pas de débit »
Plus de débit
• Copier toutes les lignes identifiées pour « pas de débit » dans la colonne déviation à
côté de « plus de débit »
• Identifier les causes pour « plus de débit » puis lister les conséquences, protection,
recommandations…
• Identifier les lignes en dehors du process en question lais qui peuvent résulter en
« plus de débit » pour ce process en question. Identifier les causes,
conséquences…pour ces lignes.
Moins de débit
• En général toutes les lignes identifiées dans « pas de débit » sont reconduites car
ayant les mêmes causes…mais il serait utile de discuter s’il n y a pas d’autres
conséquences par exemple.
• Identifier les lignes en dehors du process en question lais qui peuvent résulter en
« plus de débit » pour ce process en question. Identifier les causes,
conséquences…pour ces lignes
Débit inverse
• Inclure dans les causes les circonstances qui peuvent mener à cette situation
• Si aucune cause n’est identifiée, noter N/A
• Lister « vérifier » les vannes dans commentaires
2) Température
• Référencier à partir du paramètre débit si « pas, moins ou plus de débit » résulte en

haute ou basse température aussi
• Identifier les courants dans la colonne déviation si une section comporte un
échangeur
• Si aucune conséquence significative n’est identifiée, noter N/A
• Si la température opératoire peut excéder la valeur design, le désigner comme
conséquence et établir des recommandations appropriées
3) Pression

haute ou basse pression aussi
• Pour les modes incluant eaux de refroidissement pour échangeurs, vérifier les PSV
du côté eau de refroidissement
• Les items suivants devraient être évalués dans le cas « basse pression » :
 Rupture ou fuite des tubes
 Rupture de la ligne ou de l’équipement
 Vanne de purge ouverte…
4) Niveau

haut ou bas niveau aussi. Revoir également les paramètres P et T
g. Recommandations
Les recommandations sont généralement catégorisées comme suit :

• Modifier le design
• Ajouter un indicateur
• Ajouter une alarme
• Développer ou modifier la procédure
• Développer une procédure de maintenance préventive
• Mener une revue de sécurité plus détaillée
• Revoir le design
• Fournir un moyen d’isolement
• Améliorer la protection contre l’incendie/explosion
• Améliorer les mesures d’urgence
h. Résumé
1. Description de la méthode de travail
2. Explications concernant la ou les modifications
3. Détermination de l'étendue de l'analyse
4. Identification des scénarios selon le principe suivant :
4.1 Désignation de la ligne ou de l'équipement à étudier (surligner en jaune e.g.
pour définir ce qui est étudié)
4.2 Le facilitateur indique la première déviation à examiner (par exemple débit trop
élevé)
4.3 L'équipe en recherche les causes possibles
4.4 L'équipe en recherche les conséquences et examine dans quelle mesure le
fonctionnement de l'installation s'en trouve perturbé
4.5 L'équipe s'interroge sur les moyens de détection, de prévention et de protection
envisageables
4.6 Surligne en vert e.g. la partie étudiée, lorsque TOUTES les déviations ont été
traitées
5. Rédaction du Compte Rendu
6. Mise à jour des tableaux, formulaires et des schémas
7. Vérification de NON transfert de risques (les actions envisagées ne doivent pas créer
de nouveaux risques pour la partie étudiée ainsi que pour les autres équipements.
2.4.9 Case Study
Description du process
Le diagramme montre une unité de vaporisation d’huile qui est censée fournir une
alimentation continue en vapeur d’huile pour une unité process qui se trouve en aval.
L’unité de vaporisation consiste en un four contenant un serpentin de chauffage et des
brûleurs GN. L’huile liquide entre dans le serpentin de chauffage et est convertie en vapeur.
Le chauffage est fait par GN combiné avec l’air dans les brûleurs. L’huile arrive partir d’une
source (pression constante) et son débit est contrôlé par la boucle FIC 1.
L’alarme FAL 1 permet d’alerter l’opérateur en cas de réduction de débit.
Le GN, fourni à l’unité HP, est ramené à BP grâce à PCV 2.
Selon le design, les protections suivantes ont été fournies :
Si le P gaz devient très élevée à l’entrée des brûleurs, PSH 1 va déclencher la fermeture du
brûleur principal et des vannes de gaz. Les mêmes vannes vont être fermées si la T de la
vapeur d’huile devient trop élevée ou si le détecteur ne trouve pas de flamme dans le foyer.
Selon le design le débit d’huile devrait être ajusté à la demande à partie de l’unité utilisatrice
en aval et la T de vapeur devrait être raisonnablement constante et sous contrôle à partir de
TIC 1.
Figure 3.5 PFS de l’unité (after Macdonald)
1. Examiner la figure ci-dessus en s’aidant de la description du process

2. Sélectionner les parties à étudier (deux parties).
3. Pour chaque partie, identifier les éléments et paramètres à étudier
4. Considérer uniquement le mode fonctionnement continu
5. Faire une ébauche des mots guides et paramètres à utiliser et noter les combinaisons
possibles à tester
6. Appliquer la procédure HAZOP
Les sections (parties) suggérées :
La conduite d’huile à partir de l’entrée huile liquide jusqu’à la sortie huile vaporisée incluant
les fonctions instrument/contrôle
L’alimentation en GN, les brûleurs et le foyer incluant les contrôles et instruments et
détection de flamme du four
Tableau 3.8 HAZOP Worksheet (after Macdonald)
3.3.5. Arbre Des Défaillances (FTA)
a. Introduction
L’analyse par arbre des défaillances fut historiquement la première méthode mise au
point en vue de procéder à un examen systématique des risques. Elle a été élaborée au
début des années 1960 par la compagnie américaine Bell Telephone et fut expérimentée
pour l’évaluation de la sécurité des systèmes de tir de missiles.
Visant à déterminer l’enchaînement et les combinaisons d’évènements pouvant conduire
à un événement redouté pris comme référence, l’analyse par arbre des défaillances est
maintenant appliquée dans de nombreux domaines tels que l’aéronautique, le nucléaire,
l’industrie chimique,…
Elle est également utilisée pour analyser a posteriori les causes d’accidents qui se sont
produits. Dans ces cas, l’événement redouté final est généralement connu car observé.
On parle alors d’analyse par arbre des causes, l’objectif principal étant de déterminer les
causes réelles qui ont conduit à l’accident.
b. Principe
L’analyse par arbre de défaillances est une méthode de type déductif. L’analyse des
défaillances est une approche de haut en bas, commençant avec un événement
indésirable (l'accident) appelé TOP EVENT et déterminant ensuite toutes les voies qui
peuvent conduire à son avènement En effet, il s’agit, à partir d’un événement redouté
défini a priori, de déterminer les enchaînements d’évènements ou combinaisons
d’évènements pouvant finalement conduire à cet événement. Cette analyse permet de
remonter de causes en causes jusqu’aux évènements de base susceptibles d’être à
l’origine de l’événement redouté. L'arbre de défaillances est utilisé pour produire la
combinaison minimale des événements de base indépendants qui, s'ils arrivent ou
existent en même temps, causeront l’avènement du TOP EVENT qui est indésirable
L’arbre des défaillances est un modèle graphique des chemins à l’intérieur d’un système
à l’évènement prévisible, indésirable (TOP EVENT). Ces chemins interconnectent les
évènements et conditions concourants en utilisant des symboles logiques standards.
Des valeurs de probabilité d’occurrence de ces évènements peuvent être entrées en vue
de calculer la probabilité d’occurrence de l’évènement indésirable TOP EVENT.
Les évènements de base correspondent en général à des :
• Évènements élémentaires qui sont généralement suffisamment connus et décrits
par ailleurs pour qu’il ne soit pas utile d’en rechercher les causes. Ainsi, leur
probabilité d’occurrence est également connue.
• Évènements ne pouvant être considérés comme élémentaires mais dont les
causes ne seront pas développées faute d’intérêt,
• Évènements dont les causes seront développées ultérieurement au gré d’une
nouvelle analyse par exemple,
• Évènements survenant normalement et de manière récurrente dans le
fonctionnement du procédé ou de l’installation.
Les liens entre les différents évènements identifiés sont réalisés grâce à des portes
logiques (de type « ET » et « OU » par exemple).
L’analyse par arbre des défaillances d’un événement redouté peut se décomposer en trois
étapes successives :
• Définition de l’événement redouté étudié,
• Élaboration de l’arbre,
• Exploitation de l’arbre.
1) Quelques Symbole de portes et d’évènements
Porte ET : L’événement se produit si tous les événements d'entrée arrivent

simultanément. Toutes les entrées doivent individuellement être nécessaires et
suffisantes pour causer son avènement.
Porte OU : L'événement arrive si n'importe lequel des événements d'entrée

se produit. N'importe quelle entrée doit individuellement être nécessaire et
suffisante de causer son avènement
RECTANGLE : Tout événement
DIAMANT : L'événement ne peut être développé car il n'est pas significatif ou

aucune nouvelle information ne peut être apportée.
CERCLE: Evénement de base qui n'exige aucun nouveau développement. C'est

une défaillance ou faute qui marque la limite de résolution de l'analyse
INHIBIT-GATE: l’évènement se produit à cause d’un single output mais en

présence d’une condition décrite dans l’ellipse. Il s’agit d’un cas spécial de la porte
AND.
2) Définition de l’événement redoute
La définition de l’événement final, qui fera l’objet de l’analyse, est une étape cruciale
pour la construction de l’arbre. On conçoit que plus cet événement est défini de manière
précise, plus simple sera l’élaboration de l’arbre des défaillances. Par ailleurs, s’agissant
d’une méthode qui peut se révéler rapidement lourde à mener, elle doit être réservée à
des évènements jugés particulièrement critiques.
En ce sens, l’utilisation préalable de méthodes inductives (APR, AMDEC, HAZOP) permet
d’identifier les évènements qui méritent d’être retenus pour une analyse par arbre des
défaillances.
De manière classique, les évènements considérés peuvent concerner le rejet à
l’atmosphère de produits toxiques ou inflammables, le risque d’incendie, d’explosion, etc.
3) Elaboration De L’arbre
La construction de l’arbre des défaillances vise à déterminer les enchaînements

d’évènements pouvant conduire à l’événement final retenu. Cette analyse se termine
lorsque toutes les causes potentielles correspondent à des évènements élémentaires.
Figure 3.6 Construction de FTA (after ERICSON)
Figure 3.7 Construction de FTA (after INERIS)
Figure 3.8 Construction de FTA (after ERICSON)
i. Le concept de la cause immédiate
La recherche systématique des causes immédiates, nécessaires et suffisantes (INS) est
donc à la base de la construction de l’arbre. Il s’agit probablement de l’étape la plus
délicate et il est souvent utile de procéder à cette construction au sein d’un groupe de
travail pluridisciplinaire. De plus, la mise en oeuvre préalable d’autres méthodes
d’analyse des risques de type inductif facilite grandement la recherche des défaillances
pour l’élaboration de l’arbre.
Afin de sélectionner les évènements intermédiaires, il est indispensable de procéder pas
à pas en prenant garde à bien identifier les causes directes et immédiates de l’événement
considéré et se poser la question de savoir si ces causes sont bien nécessaires et
suffisantes.
Faute de quoi, l’arbre obtenu pourra être partiellement incomplet voire erroné.
L’exemple ci-après permet d’illustrer cela.
Figure 3.9 Exemple pour déterminer les INS
Le système décrit dans la figure 3.9 est sensé opérer de la façon suivante: un signal
arrive en A et déclenche un output à sa sortie qui fournit un input en B et C qui vont
alors faire passer un signal en D puis en E (e.g. pipes avec A, B, C et D des vannes).
Possible Top Event: pas de signal en E.
Il s’agit donc d’appliquer la règle du « THINK SMALL RULE »
La cause immédiate est: pas d’output à partir de D.
1. Il ya input en D mais pas d’output (E de base)
2. Pas d’input en D
L’évènement 2 signifie pas d’input de B (3) et pas d’input de C (4) 2 = 3 AND 4.
3 = 5 AND 6 où 5: input en B mais pas d’output et 6: pas d’input en B. 5 est un
évènement de base aussi…
ii. Règles élémentaires
1. Ecrire précisément : de quelle défaillance il s’agit et quand elle survient (condition
quoi et quand); e.g. « relais contacts normalement fermés ne s’ouvrent pas
quand une FEM est appliquée à la bobine » ou « moteur ne démarre pas quand il
est sous tension »
2. S’il s’agit d’une défaillance classée « état du composant » (défaillance localisée au
niveau d’un composant) ajouter une porte OR si c’est « état du système » alors
OR, AND ou INHIBIT ou pas de porte
3. Porte remplie entièrement avant de passer à un niveau inférieur
4. Enfin, il est nécessaire de respecter certaines règles supplémentaires à observer
durant la construction de l’arbre à savoir:
• Vérifier que le système est cohérent, c’est-à-dire que :
 La défaillance de tous ses composants entraîne la défaillance du système,
 Le bon fonctionnement de tous ses composants entraîne le bon
fonctionnement du système,
 Lorsque le système est en panne, le fait de considérer une nouvelle
défaillance ne rétablit pas le fonctionnement du système,
 Lorsque le système fonctionne correctement, la suppression d’une
défaillance ne provoque pas la défaillance du système.
Il peut en effet arriver qu’une défaillance survenant sur un composant annule les effets
d’une défaillance antérieure et permet ainsi le fonctionnement du système.
Dans un tel cas de figure (système non cohérent), le deuxième composant doit être
supposé, dans l’analyse, en fonctionnement lorsque la première défaillance survient.
• S’assurer que tous les évènements d’entrée d’une porte logique ont bien été
identifiés avant d’analyser leurs causes respectives,
• Éviter de connecter directement deux portes logiques,
• Ne sélectionner que les causes antérieures à l’existence de l’événement considéré.
Exemple n°1
Figure 3.10 Circuit alimentant une lampe
Figure 3.11 Première étape
Figure 3.12 Deuxième étape

Exemple n°2
Construire l’arbre des causes de la défaillance d’un système d’eau incendie.
Fire Pump 1 Fire Pump 2 Motor
Figure 3.13 Système eau incendie simple
c. Exploitation de l’arbre des défaillances
L’analyse par arbre des défaillances permet d’estimer la probabilité d’occurrence d’un
événement et de s’assurer que toutes les mesures possibles ont effectivement été
envisagées en vue de prévenir le risque associé à cet événement.
A la différence des méthodes inductives, l’arbre des défaillances offre la possibilité de
considérer des combinaisons de défaillances et de vérifier que toutes les causes
potentielles ont bien été prises en compte.
Cette exploitation de l’arbre des défaillances peut être réalisée de manière qualitative et
quantitative. Elle nécessite au préalable de traiter les résultats fournis au cours de la
construction de l’arbre. Certains évènements apparaissent plusieurs fois dans l’arbre : il
n’y a donc pas indépendance des évènements de base. Ainsi, il est indispensable
d’éliminer ces fausses redondances préalablement à l’exploitation de cet arbre.
1) Les CUT SETS (coupes minimums) et leur détermination
Un CUT SET (CS) est tout ensemble d’évènements qui, ensemble feraient que
l’évènement indésirable (TOP EVENT) survienne. Le CS minimum est le plus petit nombre
(éléments) d’initiateurs qui produiraient le TOP EVENT si tous les initiateurs de ce groupe
ont lieu.
La détermination des CS se fait selon deux méthodes basées sur l’algèbre de Boole.
La première méthode suit la procédure ci-après :
1. Considérer les évènements de base ou initiateurs (éliminer les intermédiaires et le
TOP EVENT)
2. Assigner une lettre unique pour chaque porte et un nombre unique pour chaque
évènement initiateur à partir du TOP EVENT
3. Créer une matrice à partir du haut en utilisant les lettres et nombres (la lettre
directement au-dessous du TOP EVENT sera la première). Procéder ensuite en
substituant les lettres pour chaque porte AND par les lettres/nombres des
initiateurs pour cette porte (arrangés horizontalement) pour la porte OR arrangés
verticalement
4. Quand tout est remplacé, une matrice finale est produite avec seulement les
nombres des initiateurs ; chaque rangée représente CS
5. Visuellement inspecter et éliminer tous les éléments redondants dans chaque
rangée et toutes rangées qui répètent d’autres rangées. Ensuite éliminer toute
rangée contenant tous les éléments de la plus basse rangée. La rangée qui restera
représentera le minimum CS pour l’arbre des défaillances construit.
6. Le CS est tout groupe d’initiateurs qui pourraient produire le TOP EVENT si tous
les initiateurs du groupe ont lieu. Donc la probabilité du CS, P k (la probabilité que
le CS puisse induire le TOP EVENT) est mathématiquement la même que celle
d’une porte AND i.e. P k = P 1 P 2 P 3…
P T ≅ ΣP k P T est la probabilité que le TOP EVENT ait lieu en ayant à l’esprit que les
probabilités s’additionnent pour une porte OR et se multiplient pour une porte AND
Exemples
Figure 3.14 Exemple de FTA (after RBDM)
Figure 3.15 Exemple pour le calcul de CS
Représente
nt les
minimu
L’arbre est l’équivalent de celui-ci
Les 3
mini
L’arbre équivalent
Figure 3.16 L’arbre équivalent (ou réduit)
La deuxième méthode prend en considération les points suivants:
1. A chaque événement de base correspond une variable booléenne
2. L’événement de sortie d’une porte « AND » est associé au produit des variables
booléennes correspondant aux évènements d’entrée
3. L’événement de sortie d’une porte « OR » est associé à la somme des variables

booléennes correspondant aux évènements d’entrée
Tableau 3.9 Quelques règles de base de l’algèbre de Boole
Pour aider à simplifier l’équation obtenue :
1. Eliminer les évènements de base qui se répètent dans les CS
2. Eliminer les SUPERSETS i.e. les CS qui contiennent d’autres CS entiers
En reprenant l’exemple de la figure 3.15 qui deviendrait
Figure 3.17 Ajout des noms d’évènements (E1, E2, E3)
Nous aurons :
TOP= E 1 . E 2 , avec E 1 = (1+E 3 ) et E 2 = (2+4). Donc:
TOP = (1+E 3 ).(2+4) = (1.2) + (2. E 3 ) + (1.4) + (4. E 3 ) = (1.2) + (2.2.3) + (1.4) +
2.3.4 ; 2.2.3 = 2.3 et en éliminant 2.3.4 car 2.3 est déjà un CS entier, l’équation
devient :
TOP = (1.2) + (2.3) + (1.4)
Les trois minimums CS obtenus avec la méthode précédente. Ceci signifie que
l’évènement redouté (TOP EVENT) surviendrait si les évènements initiateurs combinés (1
ET 2) OU (2 ET 3) OU (1 ET 4) auraient lieu.
L’ordre d’un CS est défini comme le nombre d’évènements combinés qui figurent dans ce
CS. Pour l’exemple précédent les minimums CS sont d’ordre 2.
Si l’arbre est extrêmement complexe la recherche de ces minimums CS deviendrait très
fastidieuse seule l’aide de software peut y remédier.
Figure 3.18 Exemple FTA
Déterminer les minimums CS pour ce cas et l’arbre équivalent (ou réduit).
2) Utilisation des CS
Si un CS est très long i.e. d’un ordre élevé, ceci indique une moindre vulnérabilité
comparé à un CS très court, d’ordre 1 par exemple qui lui signale une plus grande
vulnérabilité (à évènements de base équiprobables cela s’entend) : l’ordre étant petit
l’occurrence du TOP EVENT suivant ce chemin critique défini par ce minimum CS
paraîtrait plus probable que si l’ordre était plus élevé. Un moyen de prévenir les
évènements indésirables ou redoutés serait de modifier l’arbre des défaillances en vue
d’obtenir des minimums CS d’ordre le plus élevé possible, par l’introduction de portes «
AND » par exemple.
Ceci au plan de l’utilisation qualitative de l’arbre des défaillances.
Quant à l’exploitation quantitative de l’arbre des défaillances, elle permet d’estimer, à
partir des probabilités d’occurrence des évènements initiateurs (évènements de base,
évènements non développés, etc.), la probabilité d’occurrence du TOP EVENT ainsi que
des évènements intermédiaires. Sans aboutir avec exactitude à la probabilité de chaque
évènement, elle permet néanmoins de hiérarchiser les différentes causes possibles et de
concentrer les efforts en matière de prévention sur les causes les plus vraisemblables.
En pratique, il est souvent difficile d’obtenir des valeurs précises de probabilités des
évènements de base. En vue de les estimer, il est possible de faire appel à :
• Des bases de données,
• Des jugements d’experts,
• Des essais lorsque cela est possible,
• Au retour d’expérience sur l’installation ou des installations analogues.
3) Evaluation des probabilités
Figure 3.19 Exemple pour l’évaluation des probabilités
P T , probabilité d’occurrence du TOP EVENT

P (E 1 ), probabilité d’occurrence de l’évènement E 1
P (E 2 ), probabilité d’occurrence de l’évènement E 2
P T = P (E 1 ) + P (E 2 ) – P (E 1 ). P (E 2 ) (théorème de Poincaré) ;
P T ≈ P (E 1 ) + P (E 2 ),
Porte OR quand la probabilité d’occurrence des évènements initiateurs est très faible.
P (E 1 ) = P 1 .P 2 , porte AND
Dans l’exemple précédent, et reprenant les minimums CS et l’arbre équivalent, nous
aurons :
P T ≈ P 1 .P 2 + P 1 .P 4 + P 2 .P 3
4) Importance quantitative des CS
Analyser l’importance quantitative des CS I k qui est définie comme étant la probabilité
numérique qu’un CS ait induit l’occurrence d’un TOP EVENT permettrait de classer les
contributions des évènements à la défaillance du système. Dans cette optique, comme
stipulé précédemment, réduire la vulnérabilité d’un système reviendrait à s’attaquer aux
CS ayant la plus grande importance donc à ceux qui ont l’ordre le plus bas ou qui sont les
plus courts
Figure 3.20 Exemple de FTA
L’arbre des défaillances ci-dessus a donné les minimums CS suivants :
Pk = P3.P4.P5.P6
5) Importance quantitative d’un item (Ie)
L’importance quantitative d’un item (Ie) est la probabilité numérique que cet item a
contribué à l’occurrence du TOP EVENT.
N e est le nombre de minimum CS contenant l’item e et
I ke est l’importance du minimum CS contenant l’item e
Reprenant l’exemple précédent calculons l’importance de l’item 1:
d. Etude de cas : explosion d’une sphère de stockage d’éthylène
5 événements majeurs ont été identifies:
• Défaillance catastrophique de la sphère : due essentiellement à mal fonction et

manque d’attention des opérateurs (la sphère en fonction n’a jamais subi ce type
de défaillance en 40 ans de service donc les données sont génériques à partir de
la littérature)
• Surpression : la sphère atteint la pression des évents et défaillance des gardes de

sécurité haute pression tels que blocage de la vanne de décharge, défaillance de
la PRV, action incorrecte des opérateurs…
• Sur remplissage: il n’y a pas d’alarme niveau haut donc l’opérateur doit surveiller
l’indicateur constamment ; défaillance de l’indicateur ou incorrecte lecture de
niveau
• Rupture des conduites entrées/sorties
Tableau 3.10 Fréquences d’occurrence d’incidents (source SA)
Construire l’arbre des défaillances de l’explosion de la sphère d’éthylène due à un rejet

majeur d’éthylène.
e. Limites Et Avantages
Le principal avantage de l’analyse par arbre des défaillances est qu’elle permet de
considérer des combinaisons d’évènements pouvant conduire in fine à un événement
redouté. Cette possibilité permet une bonne adéquation avec l’analyse d’accidents passés
qui montre que les accidents majeurs observés résultent le plus souvent de la
conjonction de plusieurs évènements qui seuls n’auraient pu entraîner de tels sinistres.
De plus, la technique :
• Permet de quantifier la probabilité de défaillance d’un système
• Evalue les causes de vulnérabilité les plus communes
• Permet d’optimiser le déploiement des ressources nécessaires pour le control de la
vulnérabilité d’un système
Par ailleurs, l’analyse par arbre des défaillances porte sur un événement particulier et son
application à tout un système peut s’avérer fastidieuse.
Les événements indésirables doivent être prévus et sont seulement analysés séparément
Tous les éléments qui contribuent d’une manière significative à la défaillance doivent être
anticipés
Les initiateurs à un niveau donné d'analyse sous une porte commune doivent être
indépendants l'un de l'autre
Les événements doivent être des contributeurs immédiats au prochain niveau
d’événement
3.3.6. Arbre Des Evénements (ETA)
L’analyse par arbre d’évènements a été développée au début des années 1970 pour
l’évaluation du risque lié aux centrales nucléaires à eau légère.
Elle apporte une aide précieuse pour traiter des systèmes comportant de nombreux
dispositifs de sécurité et de leurs interactions. A l’instar de l’analyse par arbre des
défaillances dont elle s’inspire, elle permet d’estimer les probabilités d’occurrence de
séquences accidentelles.
Les arbres des évènements peuvent donc être utilisés pour analyser la probabilité
d’occurrence de différents résultats (scenarii) identifiés durant une analyse de sécurité. A
partir de l’évènement qui initie une séquence d’accidents spécifiques, e.g. un rejet
majeur, le fonctionnement et la défaillance de sous-systèmes de sécurité sont analysés
en utilisant une logique. Les résultats sont sous la forme d’un arbre avec des branches
développées de gauche à droite. En assignant une probabilité pour chaque branche, celle
de tout scénario de l’évènement initiateur sera déterminée.
A partir donc de l’événement initiateur ou d’une défaillance d’origine, l’analyse par arbre
d’évènements permet donc d’estimer la dérive du système en envisageant de manière
systématique le fonctionnement ou la défaillance des dispositifs de détection, d’alarme,
de prévention, de protection ou d’intervention…
a. Principe
L’analyse par arbre des défaillances (voir plus haut chapitre 2.6) vise à déterminer, dans
une démarche déductive, les causes d’un événement indésirable ou redouté retenu a
priori. A l’inverse, l’analyse par arbre d’évènements suppose la défaillance d’un
composant ou d’une partie du système et s’attache à déterminer les évènements qui en
découlent (différents scenarii) et le comportement des barrières de sécurité en
particuliers.
L'arbre des évènements est un procédé inductif qui montre tous les résultats possibles
résultant d'un événement accidentel, tenant compte, que les dispositifs de sécurité
installés fonctionnent ou pas.
La démarche généralement retenue pour réaliser une analyse par arbre d’évènements est
la suivante :
Etape 1 : identifier l’évènement initiateur
En général il s’agit d’une défaillance correspondant à un rejet d’une substance
dangereuse.
Etape 2 : identifier les développements de l’incident
Considérer les tentatives de contrôler la situation et les mesures de mitigation.
Il s’agit donc d’identifier les fonctions de sécurité sensées répondre à l’événement
initiateur. Elles sont assurées par des barrières de sécurité. Elles ont en général pour
objectif d’empêcher, dans la mesure du possible, que l’événement initiateur soit à
l’origine d’un accident majeur.
Ces fonctions sont le plus souvent des fonctions de :
• Détection de l’événement initiateur,
• Alarme signifiant l’occurrence de l’événement initiateur,
• Limitation visant en empêcher que l’événement initiateur ne perdure dans le
temps,
• Atténuation s’attachant à réduire les effets de l’événement initiateur…
L’élaboration d’un tableau chronologique des fonctions de sécurité faisant figurer les
systèmes ou équipements prévus pour assurer ces fonctions (détections, alarmes, PRV,
ESD, intervention des opérateurs pour rétablir la situation, des agents d’intervention…)
est d’une très grande utilité pour la construction de l’arbre des évènements.
Etape 3 : construire l’arbre
A tout mode de défaillance les évènements alternatifs qui affectent le résultat sont
montrés.
La construction de l’arbre consiste à envisager soit le bon fonctionnement soit la
défaillance de la première fonction de sécurité à partir de l’événement initiateur.
Ensuite il s’agit d’examiner le développement de chaque branche de manière itérative en
considérant systématiquement -comme la première fonction de sécurité- le
fonctionnement ou la défaillance de la fonction de sécurité suivante et ainsi de suite.
Cette approche chronologique permet d’identifier des séquences d’évènements
susceptibles de conduire ou non à un accident potentiel.
Elle n’est cependant généralement pas suffisante en vue de construire un arbre. Il est
ainsi indispensable durant la construction de l’arbre d’observer les points suivants :
• Si une fonction dépend d’autres fonctions, elle doit être considérée après ces
fonctions,
• Dans le même ordre d’idée, si l’échec d’une fonction implique automatiquement
l’échec d’autres fonctions, le succès de ces dernières n’est pas à considérer.
• Si le succès d’une fonction agit sur le paramètre déclenchant d’autres fonctions
ultérieures, le succès ou la défaillance de cette fonction ne doivent pas être
envisagés dans le développement de cette branche.
• Si la défaillance d’un sous-système entraîne la défaillance commune de plusieurs
systèmes assurant des fonctions de sécurité, ce sous-système doit être considéré
avant ces systèmes. Ce cas de figure envisage ainsi les modes communs de
défaillances. Elles se rapportent souvent à des pertes d’utilités (électricité, air
comprimé…) ou des agressions externes majeures.
Le respect de ces règles et l’élimination des branches physiquement impossibles
conduisent à l’élaboration d’un arbre d’évènements réduit, semblable à celui présenté ci-
dessous relativement au cas de figure pris en exemple.
Etape 4 : classer les résultats de l’incident
Le développement de l’arbre des évènements devrait seulement être fait de telle sorte à
atteindre les objectifs de l’analyse i.e. aussi loin d’un incident majeur.
Etape 5 : estimer les probabilités de chaque branche de l’arbre
Chaque titre de l’arbre autre que l’évènement initiateur correspond à une probabilité
conditionnelle d’un certain résultat si l’évènement précédent a eu lieu. D’où la probabilité
associée à chaque branche est égale à 1.
Etape 6 : quantifier les résultats et revoir leur précision
La fréquence de chaque résultat est obtenue en multipliant la fréquence de l’évènement
initiateur par les probabilités conditionnelles le long de chaque chemin menant au
résultat en question. Les résultats devraient être vérifiés par rapport aux fréquences
d’occurrence des données historiques.
b. Exemples
Exemple 1 :
Un compartiment souterrain contenant un important équipement de contrôle est protégé

contre les inondations par le système ci-dessous. Le Switch S se ferme enclenchant la
pompe P et le klaxon K pour alerter les opérateurs pour une éventuelle intervention
manuelle B au cas où la pompe est défaillante. Le pompage ou l’intervention manuelle
peuvent éliminer l’eau avec succès.
Supposer le début de l’inondation et analyser le système en construisant un ETA
(considérer que le courant est disponible tout le temps et que l’erreur de l’opérateur est
incluse dans B.
Figure 3.21 Système de prévention
Figure 3.22 ETA du système de prévention
Exemple 2 : ETA d’une défaillance d’une conduite de gaz
Initiating Cloud Travels Early

Flash Fire
Event Towards Plant Ignition
Gas
Pipeline 1 1.8e-5
Failure Yes Prob. = 0.9
Yes Prob. = 0.5 No Prob. = 0.1

2 2.0e-6
Yes Prob. = 0.2

No Prob. = 0.5
3 2.0e-5
2e-4 4 7.2e-5
Frequency/Year Yes Prob. = 0.9
Yes Prob. = 0.5 No Prob. = 0.1

No Prob. = 0.8 5 8.0e-5
No Prob. = 0.5
6 8.0e-5
Note: Ignition will give rise to flash fire (probability 0.9) or an explosion (probability 0.1)
Event 1 - Flash fire on plant frequency 1.8e-5/year

Event 2 - Explosion on plant frequency 2.0e-6/year
Event 6 - Gas cloud moves away from plant and disperses frequency 8.0e-5/year
Figure 3.23 ETA d’une défaillance d’une conduite de gaz
Exemple 3 : Description simple d’un rejet de GPL
Un rejet majeur de GPL considérant une inflammation immédiate ou retardée et des

conditions atmosphériques différentes est repris ci-dessous.
Figure 3.24 Exemple ETA (after Wells)
Déterminer la probabilité d’occurrence de chacun des scenarii considérés.
c. Limites Et Avantages
L’analyse par arbre d’évènements est une méthode qui permet d’examiner, à partir d’un
événement initiateur, l’enchaînement des évènements pouvant conduire ou non à un
accident potentiel. Elle trouve ainsi une utilité toute particulière pour l’étude de
l’architecture des moyens de sécurité (prévention, protection, intervention) existants ou
pouvant être envisagés sur un site. A ce titre, elle peut être utilisée pour l’analyse
d’accidents a posteriori. Elle permet de visualiser les chaînes d'événement suivant un
événement accidentel et les barrières et l'ordre de leur activation. Elle est une bonne
base pour évaluer le besoin en procédures et fonctions de sécurité nouvelles ou
améliorées
Un arbre d'événement permet d’obtenir un large éventail de résultats tandis qu'un arbre
de défaillances peut seulement distinguer entre le succès et l'échec
Un arbre d'événement se déplace de la cause à l'effet et est conceptuellement plus facile
à construire qu'un arbre de défaillances.
Par ailleurs, cette méthode peut s’avérer rapidement lourde à mettre en oeuvre.
Seul un événement initiateur peut être étudié lors de chaque analyse
L'arbre d'événement ne montre pas des actes de l'omission
Les mathématiques utilisées sont moins sophistiquées que celles utilisées dans les arbres
de défaillances
Des arbres d'événement conviennent donc mieux à analyser la réponse des systèmes à
un accident potentiel
d. Case study
Reprendre l’exemple de l’étude d’un rejet majeur d’éthylène à partir d’une sphère de
stockage vu précédemment pour FTA. Utiliser les résultats de cette analyse et les
données ci-après pour construire l’arbre des évènements.
3.3.7. JOB SAFETYANALYSIS
a. Introduction
JSA est une méthode qui permet de revoir les procédures et pratiques liées aux postes
de travail dans le but d’identifier les dangers et déterminer les équipements et mesures
de contrôle appropriés durant la performance des tâches et autres activités.
L’identification des dangers et la détermination des mesures appropriées pour les
maîtriser avant l’entame d’un projet ou d’une tâche quelconque est une part intégrale
dans le management des activités dans l’optique de fournir le meilleur niveau de
sécurité, de qualité, production…
La méthode la plus commune pour ce faire est JSA.
JOB SAFETY ANALYSIS ou JOB HAZARD ANALYSIS (analyse des dangers liés aux postes
de travail), est une étude détaillée des méthodes de travail qui permet de savoir quels
dangers potentiels pour la santé et sécurité existent durant les différentes phases de
l’activité.
Une fois ces dangers identifiés, la technique JSA aide à les éliminer ou minimiser avant
de commencer les tâches en question en développant les solutions adéquates qui
préviendraient l’occurrence d’accidents. JSA est utilisée également comme un outil de
formation et d’éducation des employés.
Les solutions préconisées peuvent prendre plusieurs formes e.g. introduction de gardes,
modification de procédures…
L’analyse des postes de travail est une technique simple qui permet d’atteindre le
maximum d’efficacité et d’efficience.
D’autres avantages pourraient être :
• Faciliter la formation individuelle à travers des procédures sûres et efficientes
• Instruire les nouvelles recrues sur les aspects santé et sécurité liés au poste
• Permettre aux responsables de base de mieux conduire les briefings de sécurité
• Fournir une référence pour aider lors d’investigation d’accidents
• Permettre la recherche d’améliorations éventuelles lors de l’analyse des postes…
b. Déroulement
JSA consiste en cinq étapes de base

1) Sélectionner le poste à analyser
Comme guide pour cette tâche, considérer l’objectif du poste, ce qui doit être fait, qui
doit le faire et penser à toutes les activités liées à ce poste.
Il avoir en tête que les tâches ou postes qui ont générés les accidents les plus graves
devraient être étudiés en premier. Les facteurs à considérer sont:
• Les dangers liés aux postes
• La fréquence de performance de l’activité
• Les connaissances du personnel réalisant ces activités
• La fréquence des accidents
• Le potentiel pour avoir des blessures graves
• Nouvelles opérations/activités…
2) Décomposer les activités du poste en question en étapes successives
Il s’agit d’abord de décomposer le poste en une série séquentielle de tâches ou d’étapes

en s’assurant que cette décomposition ne soit ni trop détaillée ni trop générale. Cela peut
se faire comme suit :
• Sélectionner un employé suffisamment expérimenté et coopératif pour réaliser la
tâche
• Lui expliquer les buts et objectifs de cette analyse
• Observer l’employé pendant qu’il réalise la tâche
• Enregistrer chaque étape
• Revoir toutes les étapes enregistrées avec l’employé en cherchant éventuellement
des commentaires et autres observations
3) Identifier les dangers et les accidents potentiels
Pendant la dernière phase de l’étape précédente, il faut s’assurer que tous les dangers
liés à cette tâche ou activité générées et par l’environnement du travail et par l’activité
elle-même, se focaliser au moins sur les éléments suivants :
• Y a-t-il un danger particulier qui peut causer des blessures ?
• Est-ce que l’employé peut être saisi, happé…par un objet ?
• Y a-t-il un danger potentiel de glissade, chute… ?
• Y a-t-il des expositions à des tensions particulières venant d’activités de poussée,
tirage, levage… ?
• Y a-t-il des dangers dus à l’environnement de travail tels que gaz, vapeurs,
brouillards, poussières ?
4) Développer des solutions pour prévenir tout accident
Une fois tous les dangers potentiels identifiés, des recommandations de solutions
appropriées devraient être faites et implémentées. En particuliers :
• Voir s’il n’y a pas une autre façon de réaliser les tâches en question et choisir la
façon la plus sûre
• Modifier les conditions physiques qui ont concouru à la création de ces dangers
• Ajouter un supplément en termes de procédures orientées vers la sécurité à la
description du poste
• Réduire la nécessité ou la fréquence de performance de ces tâches
• Exiger des équipements de protection individuelle appropriés…
5) Suivi des solutions/recommandations
Avant de terminer l’analyse, les responsables devraient être consultés et une notification
devrait leur être faite concernant les modifications nécessaires que l’analyse a générées.
Dans certains cas les propositions devraient être testées avant leur implémentation.
Si les employés n’ont pas assimilés les modifications, une formation pour y remédier est
nécessaire.
Tableau 3.11 JSA exemple (after Redmond)
3.3.8. AMDE Et AMDEC (FMEA FMECA)
a. Introduction
L'Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité (Failure Mode
and Effects Analysis ou FMEA) est une méthode structurée et systématique pour:
• Détecter les défaillances (et leurs effets) d'un produit ou d'un processus
• Définir les actions à entreprendre pour éliminer ces défaillances, réduire leurs
effets et pour en empêcher ou en détecter les causes
• Documenter le processus du développement.
L'AMDEC a été développée par l'armée américaine vers la fin des années 40 en tant que
procédure militaire (MIL-P-1629). Elle était utilisée comme technique d'évaluation de
fiabilité afin de déterminer les effets des défaillances de systèmes ou d'équipements. Les
défaillances étaient répertoriées suivant leur effet sur le succès d'une mission et sur la
sécurité du personnel et de l'équipement. Au cours des années 50 l'AMDEC a été utilisée
dans l'industrie aérospatiale. Les équipes de lancement à Cape Canaveral ne pouvaient
pas se permettre d'erreurs. Ils se demandaient systématiquement ce qui pourrait
survenir et ce qu'ils pouvaient faire pour éviter ces défaillances. Actuellement l'AMDEC
est devenue une technique de base pour la maîtrise de la qualité, qui est appliquée
depuis longtemps déjà dans l'industrie automobile. Son utilisation s’est depuis largement
répandue à d’autres secteurs d’activités telles que l’industrie chimique, pétrolière ou le
nucléaire.
Il y a plusieurs sortes d'AMDEC, en fonction du stade de la conception : l'AMDEC du
concept, l'AMDEC du produit et AMDEC du procédé, (AMDEC de la machine, …). Toutes
ces AMDEC ont la même structure.
C’est une méthode inductive et qualitative qui permet de passer en revue l’ensemble des
organes constituant une installation ou un système en définissant :
• Les modes de défaillances réels ou potentiels
• Les causes possibles de défaillances
• Les conséquences sur la disponibilité de l’outil de production
• Les moyens à mettre en oeuvre pour les éviter ou pour en limiter les
conséquences
Figure 3.25 AMDEC principe (after BAKDI)
b. Objectif
• Rechercher les défaillances pouvant conduire à un événement indésirable

• Classifier ces défaillances
• Contrôler les défaillances critiques au moyen d'actions correctives
c. Principe
L’Analyse des Modes de Défaillance et de leurs Effets repose notamment sur les concepts
suivants:
• Défaillance, soit la cessation de l’aptitude d’un élément ou d’un système à
accomplir une fonction requise,
• Mode de défaillance, soit l’effet par lequel une défaillance est observée sur un
élément du système,
• Cause de défaillance, soit les évènements qui conduisent aux modes de
défaillances,
• Effet d’un mode de défaillance, soit les conséquences associées à la perte de
l’aptitude d’un élément à remplir une fonction requise.
Pour illustrer ces différents concepts, prenons l’exemple d’une pompe. Dans des
conditions normales d’exploitation, la fonction de cette pompe est définie comme son
aptitude à fournir un débit donné à sa sortie. Si le débit en sortie de pompe est nul,
nettement inférieur ou supérieur à ce débit défini, la pompe sera dite « défaillante ».
Si, en cours d’exploitation, la pompe s’arrête de façon non désirée, on assistera bien à
une défaillance de la pompe. Le fait que la pompe s’arrête constitue donc un effet par
lequel une défaillance est observée ; il s’agit d’un mode de défaillance.
La coupure de courant qui a entraîné l’arrêt de la pompe sera alors définie comme une
des causes de ce mode de défaillance. L’arrêt de l’approvisionnement du réacteur
alimenté par cette pompe suivi d’une dégradation du produit de synthèse constitueront
des conséquences de cette défaillance.
Lorsqu’il est nécessaire d’évaluer la criticité d’une défaillance (probabilité et gravité),
l’Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité (AMDEC) apparaît
comme une suite logique à l’AMDE.
d. Déroulement
Un découpage technico-fonctionnel du système en sous-systèmes, assemblage,

composant...est effectué :
• Installation
• Equipement
• Ensemble
• Sous-ensemble
• Organe
• Composant
Exemple : compresseur alternatif
• Compression du gaz (cylindre, pistons, clapets)
• Étanchéité
• Transmission du mouvement
Un système de notation pour déterminer la criticité devrait être élaboré.
Pour chaque défaillance possible, le couple gravité (G) ainsi que la probabilité
d’apparition de la défaillance (P) pour chaque composant /organe sont notées selon des
critères basés sur des principes préalablement définis et propres à l’entreprise. Exemple :
G Indice de gravité de la défaillance
1 La défaillance arrête le composant mais pas

l’équipement
2 La défaillance arrête l’équipement mais pas

la production
3 La défaillance arrête la production et

nécessite une intervention de la
maintenance
4 La défaillance arrête la production

impliquant des problèmes graves pour les
hommes / installations/environnement
Tableau 3.12 Indice de gravité
P Fréquence d’apparition de la défaillance
1 Exceptionnel
2 Rare (cela est déjà arrivé une fois)
3 Fréquent (cela est déjà arrivé plusieurs fois)
4 Certain (cela arrivera à coups sûr)
Tableau 3.13 Fréquence d’apparition
Criticité = Gravité x Probabilité. Elle caractérise la résultante des facteurs de risques

Une alternative à la matrice de risque est aussi utilisée pour déterminer le système de
notation. Il s’agit de :
• Evaluer gravité (G) de l'effet (échelle 1-10; 10 = le plus grave).
• Déterminer les probabilités de manifestation (M) (échelle 1-10; 10 = la plus
grande probabilité de manifestation)
• Déterminer la probabilité de détection (D) pour tous les contrôles de conception
(échelle 1-10; 10 = pas de détection).
Le Chiffre Prioritaire des Risques (Risk Priority Number) RPN/CPR, qui est le produit de
Gravité, Manifestation et Détection, donne une idée de l'importance d'un mode de
défaillance. Plus le nombre RPN/CPR est petit mieux ça vaut.
Méthode de calcul de la criticité
Exemple :
L’exemple suivant est une partie de l'AMDEC effectuée sur les roquettes qui ont été
utilisées pour le lancement du Challenger. Cet exemple montre qu'il est inutile d'effectuer
une AMDEC si c'est pour ignorer ensuite toutes les conclusions de cette AMDEC.
Malgré que l'AMDEC qui avait été faite pour ces fusées fassent apparaître d'éventuels
modes de défaillance entraînant des effets très graves, aucune re-conception na été
effectuée. En outre on avait "oublié" la conclusion disant que le joint était une pièce
critique lorsqu'il faisait froid, ce qui était le cas. Cette AMDEC aurait du aider le
management à prendre la bonne décision au moment de savoir si la navette Challenger
pouvait être lancé ou non.
Tableau 3.14 Elément d’AMDEC relative à la navette challenger (after NASA)

De manière très schématique, une AMDEC se déroule sous la forme suivante :
1. Dans un premier temps, choisir un élément ou composant du système
2. Retenir un état de fonctionnement (fonctionnement normal, arrêt…)
3. Pour cet élément ou composant et pour cet état, retenir un premier mode de
défaillance,
4. Identifier les causes de ce mode de défaillance ainsi que ces conséquences tant au
niveau du voisinage du composant que sur tout le système,
5. Examiner les moyens permettant de détecter le mode de défaillance d’une part, et
ceux prévus pour en prévenir l’occurrence ou en limiter les effets,
6. Procéder à l’évaluation de la criticité de ce mode de défaillance en terme de
probabilité et de gravité,
7. Prévoir des mesures ou moyens supplémentaires si l’évaluation du risque en
montre la nécessité,
8. Vérifier que le couple (P, G) peut être jugé comme acceptable,
9. Si des contre-mesures sont adoptées, vérifier si elles n’introduisent pas de
nouveaux dangers ou n’affectent pas la performance du système. Si les nouveaux
dangers introduits ou performance réduite sont jugées inacceptables, développer
de nouvelles contre-mesures et réévaluer le risque
10. Envisager un nouveau mode de défaillance et reprendre l’analyse au point 4),
11. Lorsque tous les modes de défaillances ont été examinés, envisager un nouvel
état de fonctionnement et reprendre l’analyse au point 3)
12. Lorsque tous les états de fonctionnement ont été considérés, choisir un nouvel
élément ou composant du système et reprendre l’analyse au point 2)
e. Résumé
La méthode AMDEC comporte 4 étapes successives. La démarche est la suivante :

Étape 1 : initialisation
1- Définition du système à étudier
2- Définition de la phase de fonctionnement
3- Définition des objectifs à atteindre
4- Constitution d’un groupe de travail
5- Établissement du planning
6- Mise au point des supports de l’étude
Étape 2 : décomposition fonctionnelle
7- Découpage du système
8- Identification des fonctions des sous-ensembles
9- Identification des fonctions des éléments
Étape 3 : analyse AMDEC
3a : Analyse des mécanismes de défaillances
10- Identification des modes de défaillances
11- Recherche des causes
12- Recherche des effets
13- Recensement des détections
3b : Évaluation de la criticité
14- Estimation du temps d’intervention
15- Évaluation des critères de cotation
16- Calcul de la criticité
3c : Proposition d’actions correctives
17- Recherche des actions correctives
18- Calcul de la nouvelle criticité
Étape 4 : Synthèses
19- Hiérarchisation des modes de défaillances
20-Liste des points critiques
21-Liste des recommandations
Préparation de l’AMDEC
L'AMDEC est formalisée par un tableau dont les colonnes représentent les étapes de la
procédure AMDEC.
Ces colonnes sont définies selon les objectifs de l'étude dont certaines néanmoins sont
obligatoires :
• Désignation et description de l'élément de base considéré (fonction ou matériel ou
tâche)
• Modes de défaillance
• Effets des défaillances
• Criticité
Synthèse d'AMDEC
Pourquoi :
• Retirer de l'analyse, les informations importantes permettant de définir les
priorités d'actions pour la maîtrise et l'amélioration du système,
• Éviter de se perdre dans les détails.
Comment :
A l'issue de tris, réalisation de listes résumant le contenu de l'AMDEC.
Principales synthèses :
• LED : Liste par Effet de Défaillance
• LAC : Liste des Articles Critiques
• Liste par responsabilité
LISTE DES ARTICLES CRITIQUES
Systèmes : - L.A.C. -
N° Elément Fonction Mode de Effet Criticité Actions correctives Criticité

Défaillance ou mesures préventives après actions Validation
Tableau 3.15 Liste des articles critiques
LISTE PAR EFFET DE DEFAILLANCE

- L.E.D. -
Systèmes :
N° Effet Criticité Dispositif Mode de Recommandations
ou éléments Défaillance
Tableau 3.16 Liste par effet de défaillance

Liste par responsabilité
But :
• Synthèse répertoriant les éléments de la responsabilité d'une entité ou d'une
personne donnée.
• Permet de transmettre de façon claire les actions à mettre en œuvre par les
différentes entités ou services.
f. Limites Et Avantages
L’AMDEC s’avère très efficace lorsqu’elle est mise en oeuvre pour l’analyse de
défaillances simples d’éléments conduisant à la défaillance globale du système. De par
son caractère systématique et sa maille d’étude généralement fine, elle constitue un outil
précieux pour l’identification de défaillances potentielles et les moyens d’en limiter les
effets ou d’en prévenir l’occurrence.
Dans le cas de systèmes particulièrement complexes comptant un grand nombre de
composants, AMDEC peut être très difficile à mener et particulièrement fastidieuse
compte tenu du volume important d’informations à traiter. La méthode est une analyse
qualitative et quantitative rigoureuse et précise. Elle intègre différentes notions liées à la
sécurité : maintenance, opérabilité, fiabilité
Quelques limites pour AMDEC sont à noter en particuliers:
• L’examen de l’erreur humaine est limité
• La technique focalise seulement sur un seul événement initiateur de problèmes
• L’examen d’influences externes est limité
• L’obtention de probabilités de défaillance est difficile ; leur interprétation et
application induit beaucoup d’incertitudes difficiles à estimer
• Méthode longue et fastidieuse pour systèmes complexes. Toutefois la méthode
peut être arrêtée à l'analyse qualitative et porte le nom de AMDE
• Inadaptée pour système très informatisé
• Ne permet pas de détecter les défaillances multiples
• Difficultés pour déterminer à quel niveau doit s'arrêter l'analyse
Intérêt pour l'exploitant
Utilisable en maintenance pour cerner les priorités, hiérarchiser les actions et
améliorations.
Quel que soit le type d’équipement considéré, la liste suivante tirée de la norme IEC
60812:1985 : « Techniques d’analyse de la fiabilité des systèmes – Procédure d’analyse
des modes de défaillance et de leurs effets (AMDE) » facilite l’identification des modes de
défaillance par le groupe de travail.
Tableau 3.17 Liste pour l’identification des modes de défaillances (after IEC
60812:1985)
Références
1. Risk & Reliability - An Introductory Text 5th Edition R2a

2. Joe Gray RGU course notes Control Of Major Accident Hazards
3. Tim Southam, RGU course notes Human factors Ergonomic assessment
4. Trevor KLETZ 1999 HAZOP & HAZAN 4th edition ICHEME ISBN 0852954221
5. P.L. Clemens 2002 FTA 4th Edition
6. G. Wells 1997 Hazard identification and risk assessment ISBN 0852954638
ICHEME
7. Said Ameziane The implementation of best practices in SONATRACH with regard
to explosive atmospheres based on ATEX directives
8. Health & Safety Executive ALARP at a glance
9. INERIS: Outils d’analyse des risques générés par une installation industrielle
10. International Electro technical Commission (IEC), norme 60812:1985 :
Techniques d’analyse de la fiabilité des systèmes – Procédure d’analyse des
modes de défaillance et de leurs effets (AMDE)
11. International Electro technical Commission (IEC), norme 61882
12. HAZOP, guide to best practice IChem chemical industries association
13. Risk Based Decision Making, hazard and operability analysis, procedure for HAZOP
14. Risk Based Decision Making, procedures for assessing risks, FMEA
15. Risk Based Decision Making, procedures for assessing risks, FTA
16. Risk Based Decision Making, procedures for assessing risks, PHA
17. Risk Based Decision Making, procedures for assessing risks, ETA
18. Kamal BAKDI, Choix d’une stratégie de maintenance pour une meilleure fiabilité
des équipements de TRC
19. R.R. Mohr FMEA February 2002 8th Edition JACOBS SVERDRUP
20. Dennis P. Nolan, P.E APPLICATION OF HAZOP AND WHAT-IF SAFETY REVIEW TO
THE PETROLEUM, PETROCHEMICAL AND CHEMICAL INDUSTRIES, NOYES
PUBLICATIONS Park Ridge, New Jersey, U.S.A.
21. David Gossman HAZOP REVIEWS A Gossman Consulting, Inc. Publication August
1998
22. David Macdonald, Practical Hazops, Trips and Alarms Newnes is an imprint of
Elsevier 2004 ISBN 0 7506 6274 3
23. P. L. Clemens Event Tree Analysis June 1990 2nd Edition JACOBS SVERDRUP
24. P. L. Clemens FAULT TREE ANALYSIS February 2002 4th Edition JACOBS
SVERDRUP
25. Clifton A. Ericson II Fault Tree Analysis 1999 The Boeing Company; Seattle,
Washington
26. Clifton A. Ericson II Fault Tree Analysis – A History The Boeing Company; Seattle,
Washington
27. Dr John Andrews Tutorial Fault Tree Analysis Department of Mathematical
Sciences Loughborough University Loughborough
28. Analyse des risques et prévention des accidents majeurs, INERIS
29. Fault Tree Handbook with Aerospace Applications Prepared for NASA Office of
Safety and Mission Assurance NASA Headquarters Washington, DC 20546 August,
2002
30. Bill Vesely Fault Tree Analysis (FTA): Concepts and Applications NASA HQ
31. Probabilistic Risk Assessment, procedures guide for NASA managers and
practitioners Prepared for NASA Office of Safety and Mission Assurance NASA
Headquarters Washington, DC 20546 August, 2002
32. IOSH Managing safely
33. NEBOSH, International General Certificate in OS & H, Health & Safety solutions
RRC Business Training
34. ENSPM Sécurité des systèmes - Analyse des risques Méthodes d'analyse de
risques
35. Technip
36. The quality portal
37. Marvin Rausand Fault Tree Analysis Department of Production and Quality
Engineering Norwegian University of Science and Technology
38. Marvin Rausand HAZOP Hazard and Operability Study Department of Production
and Quality Engineering Norwegian University of Science and Technology
39. Marvin Rausand Job Safety Analysis Department of Production and Quality
Engineering Norwegian University of Science and Technology
40. Mike Lihou - Lihou Technical & Software Services HAZARD & OPERABILITY
STUDIES
41. JD Andrews & TR Moss, Reliability and risk assessment second edition Professional
Engineering Publishing 2002 ISBN 1 86058 2907
42. JOB SAFETY ANALYSIS THE JSA-9-00 FORM EH & S POLICY LOUISIANA
43. Job Safety Analysis GJO Health and Safety Standards 2.9 2000
44. Tom Redmond JOB SAFETY ANALYSIS SUPERVISOR’ SAFETY UPDATE Ideas & strategies
for leaders
45. W. Monroe Keyserling, Ph.D. Professor Industrial and Operations Engineering The
University of Michigan Ann Arbor, Michigan JOB SAFETY ANALYSIS (JSA)
CHAPITRE IV Le management des risqué liés au transport par pipelines
4.1. Les risques liés au transport par pipelines
4.1.1. Introduction
Le transport de produits dangereux par pipelines est considéré comme le moyen le plus
sûr, le moins risqué comparé e.g. au transport par rail et par route. Cependant, il existe
des situations où la défaillance d’un pipeline peut mener vers une perte de confinement
ou rejet accidentel de son contenu. La prise en charge de ce type de situation a priori et
a posteriori est d’une extrême importance. L’évaluation des risques de toutes les sections
du pipeline, l’établissement de mesures de mitigation, l’élaboration de plans d’urgence,
etc. permettent de répondre à ces situations.
4.1.2. Causes de défaillance de pipeline
L’identification des causes potentielles de défaillance de pipeline est partie importante de

l’activité d’identification des dangers et d’évaluation de risque de l’opérateur de pipeline.
Elle devrait être en l’occurrence, un élément fondamental de la prévention des accidents
majeurs qui peuvent survenir car l’évaluation des causes probables va aider à déterminer
les différents modes de défaillance du pipeline en question (petite fuite ou brèche
importante).
Les incidents auxquels deux pipelines sont sujets ne sont pas totalement identiques. Mais
la plupart peuvent être catégorisés en quelques principales causes qui seront par ailleurs
le corps du modèle d’évaluation de risques proposé ci-après.
Il s’agit en l’occurrence de (voir figures ci-après):
• Dommages causés par des activités tierces
• Dommages causés par la corrosion
• Dommages causés par le design et
• Dommages causés par les opérations incorrectes
Chacun de ces points sera développé dans le cadre de l’application du modèle.
Une répartition par causes des incidents sur pipelines enterrés dont la pression maximum
opératoire (MAXIMUM OPERATING PRESSURE, MOP) est supérieure à 15 bars est donnée
dans la figure ci-après.
Jusqu’à récemment, la corrosion était la cause la plus commune. Mais grâce à de
meilleurs revêtements, à l’utilisation de la protection cathodique et de l’outil intelligent
pour l’inspection, la proportion de défaillance du fait de la corrosion a été réduite
drastiquement. C’est ainsi qu’elle ne représente qu’environ 25 % du total des causes
comparée notamment aux dommages causés par les travaux tiers qui eux, représentent
de 50 à 60 % de tous les incidents recensés. Ces deux modes de défaillance comptent
pratiquement pour 70 à 85 % de toutes les défaillances de pipeline.
Figure 4.1 Répartition des incidents d=sur canalisation par causes (after INERIS)
4.1.3. Dangers et effets
S’agissant de produit inflammable, le gaz naturel (GN) et le gaz du pétrole liquéfié (GPL)
sont sujets à la possibilité d’incendie et d’explosion donc aux effets de surpression,
radiations thermiques, etc. (voir chapitre II pour ce faire).
Il faut toutefois ajouter les effets importants de bruit causés par le rejet d’un gaz
transporté sous haute pression. Cela peut être tellement intense qu’il peut causer des
dommages à l’ouïe quoique temporairement.
4.1.4. Inspections des pipelines
Même si le transport par pipeline est le plus sûr, les opérateurs de pipelines ont
développé des programmes pour évaluer et mitiger les effets de toutes menaces
éventuelles telles que fuites ou ruptures en particuliers pour ceux qui sont localisés dans
les zones à forte densité de population.
Trois approches sont utilisées pour ce faire :
• IN LINE INSPECTION (ILI) i.e. utilisation d’un outil spécial appelé PIG ou outil
intelligent pour détecter et enregistrer toute anomalie (perte de métal, dommage,
etc.).
• Inspection directe i.e. utilisation d’outils non intrusifs à des intervalles réguliers.
Une fois les données analysées, l’excavation peut être faite pour inspecter les
segments suspects.
• Test hydrostatique i.e. test de l’intégrité du pipeline en le remplissant d’eau e.g.
et augmentant la pression. Si une fuite est constatée, l’excavation du pipeline est
faite pour en déterminer les causes de défaillance. Il faut noter tout de même
qu’une très faible fissuration peut ne pas être détectée lors du test mais montrer
une défaillance du pipeline quelque temps après car le test l’a élargie. Aux USA,
4 % seulement de test hydrostatiques sont effectués (voir figure ci-après)
Figure 4.2 Répartition des techniques d’inspection (after US Government Accountability

Office)
Figure 4.3 techniques d’inspection (after INGAA)

4.1.5. Plans d’urgence
Les plans d’urgence sont exigés pour fournir une sécurité et protection additionnelle pour
les personnes, l’environnement et les installations qui peuvent être affectés par une
défaillance de pipeline. Certaines réglementations, telle que celle de Grande Bretagne,
exigent de l’opérateur de préparer un document de prévention de l’occurrence de tout
accident majeur. Dans ce document, les dangers sont identifiés et les risques associés
évalués.
Un plan adéquat détaillant comment prendre en charge une urgence due à un accident
majeur probable est une exigence fondamentale pour tout opérateur de pipeline. Il ya
plusieurs facteurs à considérer lors de l’élaboration d’un plan d’urgence impliquant un
accident majeur sur un pipeline. En l’occurrence :
• Les données relatives au design et itinéraire du pipeline
• L’historique du pipeline en question
• Les causes de défaillance du pipeline
• La probabilité de défaillance
• Dimension de la défaillance (petite fuite, rupture, etc.)
• Taux et durée de rejets
• Conséquences de la défaillance
• Localisation de la défaillance (par rapport à la population)
• Les facteurs externes (topographie, systèmes de drainage, conditions climatiques,
etc.)
a. Objectifs du plan d’urgence
Il doit :
• Etre simple et avoir une structure claire de telle sorte à ce que tous les utilisateurs
de ce plan comprennent les principes de ses opérations
• Réduire les risques santé et sécurité de tous ceux qui peuvent être affectés
(immédiatement ou potentiellement)
• Identifier les mesures pour contenir les effets de l’urgence en question
• S’assurer de l’existence d’un processus solide de management de la réponse
d’urgence à apporter à la suite d’un accident qui identifie clairement les
responsabilités de chaque intervenant i.e. les autorités locales, les services
d’urgence et l’opérateur de pipeline
• Traiter en détails les exigences en termes de communication entre les services
d’urgence et l’opérateur de pipeline
• Assurer une restauration rapide et appropriée de la situation
• Assurer que le plan est suffisamment flexible pour apporter une réponse d’urgence
à tout moment et en tout endroit, etc.
b. Préparation d’un plan d’urgence
Dans l’éventualité d’une urgence concernant un accident majeur, les réponses suivantes
devraient être fournies dans le plan :
• Contrôle de l’endroit où l’urgence en question est survenue
• Evaluation conséquences réelles et potentielles de l’urgence
• Alertes des autorités, organisations et autre public
• Implémentation des mesures de mitigation des conséquences de l’urgence
• Restauration des conditions normales
Les éléments suivants devraient être pris en considération lors de la préparation d’un
plan :
• La planification devrait être suffisamment flexible (l’endroit d’une urgence ne peut
pas être connu d’avance)
• Les temps entre l’alerte initiale et la réponse par les services d’urgence et
l’opérateur
• La densité de la population
• Les conséquences environnementales, économiques et autres impliquant une
défaillance de pipeline
c. Informations dans le cas d’une urgence
Les informations suivantes devraient être rapidement disponibles pour transmission ou
distribution immédiate à la suite d’un accident :
• Détails de la nature du rejet de tout pipeline et les répercussions éventuelles (e.g.
sur systèmes de drains, égouts, etc.)
• Les mesures de protection à prendre
• Les détails des dispositions d’évacuation
d. Evacuation
Toute proposition d’évacuation du public doit être très flexible et des guidelines doivent
être développés dans le cadre du plan pour aider à la décision par les services d’urgence
de l’évacuation. Dans la majorité des situations l’évacuation devrait être considérée
comme le « dernier ressort »
e. Test des plans et procédures d’urgence
De temps à autre (à définir), les autorités concernées d’une localité traversée par un
pipeline, ou d’un certain nombre de localités, peuvent décider de faire des exercices pour
tester les plans d’urgence.
4.2. Le modèle de management des risques liés au transport par pipelines
4.2.1. Le management des risques
“left to themselves, things will always go from bad to worse.” Loi de Murphy
a. Le risque
L’entropie est la mesure du désordre d’un système. S’il n’ya pas d’addition d’énergie, le
système deviendra de plus en plus désordonné. Par exemple un bureau deviendra de
plus en plus encombré jusqu’à ce que quelqu’un le nettoie (injection d’énergie).
Concernant les gaz, les menaces peuvent être généralement groupées en deux
catégories : défaillances dont les mécanismes dépendent du temps et défaillances dont
les mécanismes sont aléatoires.
La notion de risque
Il est communément défini comme la probabilité qu’un évènement puisse causer une
perte et la gravité des conséquences de cette perte. Le transport de produits par pipeline
est un risque car il ya une certaine probabilité de défaillance du pipeline rejetant son
contenu et causant ainsi des dommages (en plus de la perte potentielle du produit lui-
même).
La défaillance
La réponse à la question « qu’est-ce qui pourrait mal marcher ? » signifie rechercher la
défaillance au niveau du pipeline. Le rejet non intentionnel de produit est une définition.
La perte d’intégrité (confinement) en est une autre. Pus généralement ce serait l’échec
dans l’accomplissement de la fonction prévue. Le pipeline pourrait ne pas accomplir ses
fonctions du fait de blocage, contamination, défaillance d’équipement, etc. La défaillance
survient quand la structure est sujette à des contraintes qui vont au-delà de sa
résistance. La pression interne, surcharge au sol, températures extrêmes, forces
externes, fatigue, etc. sont des exemples de contraintes auxquelles les pipelines doivent
résister. La défaillance peut également résulter de perte de matière par corrosion ou à
partir de dommages mécaniques.
Tout mode de défaillance probable, tout évènement initiateur doivent être identifiés.
Toute menace pour le pipeline de quelque nature que ce soit doit être identifiée.
La probabilité
D’aucuns pensent que probabilité est entremêlé avec statistiques i.e. l’estimation de la
probabilité provient d’analyses de statistiques comptant seulement sur des données
mesurées ou des faits observés.
Tableau 4.1 18 expressions de probabilité (after Reagan)
Les statistiques nécessitent des échantillons de données et des observations du passé
pour être déduites. L’interprétation des données devient de plus en plus nécessaire pour
obtenir des estimations significatives. Pour des systèmes plus complexes, les réponses
apportées sont des estimations qui peuvent être considérées inappropriées.
En fait, l’observation d’occurrence du passé est rarement une donnée suffisante pour
estimer des probabilités. L’exemple des prédictions météorologiques est à ce titre
édifiant. Une prédiction basée seulement sur ce qui s’est passé les dernières années à la
même date sans tenir compte des conditions actuelles, des mouvements de fluides des
zones de pression, etc. ne peut donner des estimations appropriées. Les prévisions
deviennent plus précises lorsqu’il est tenu compte d’informations météorologiques et de
jugements d’experts.
Dans cette optique, la probabilité pourrait être exprimée en degré de croyance prenant
en considération non seulement les données historiques mais également l’interprétation
et les jugements d’expert. La fréquence serait alors un décompte d’observations du
passé et les statistiques se réfèrent à l’analyse de ces observations. Les statistiques ne
signifient rien concernant des évènements futurs tant qu’il n’ya pas eu de raisonnement
inductif.
Le taux de défaillances
Il est tout simplement le décompte du nombre de défaillances à travers le temps.
Les conséquences
Elles une perte de quelque chose. Cela peut être
• Dommages pour les humains
• Dommages pour la propriété
• Impact négatif sur l’environnement
• Pertes de produits, etc.
Les dangers causant ces conséquences et qui sont dus à une perte d’intégrité des
pipelines peuvent être entre autres :
• Toxicité/asphyxie dues aux produits rejetés
• Contamination/pollution de la faune, flore, des eaux potables, etc.
• Incendie/explosion, etc.
L’évaluation du risque
Est le processus de mesure du risque. « Si vous n’avez pas un chiffre, vous n’avez pas de
fait, vous avez une opinion ». Elle mesure la probabilité et les conséquences de tous les
évènements potentiels dangereux. L’utilisation du résultat de l’évaluation des risques
permet de prendre des décisions pour manager ces risques.
Le management du risque
Est l’ensemble des actions entreprises pour contrôler et maîtriser les risques. Un certain
nombre de questions importantes pour ce faire :
• Où et quand est-ce qu’il faudrait appliquer les ressources ?
• Quel niveau d’urgence alloué pour chaque spécifique risque ?
• Faut-il prendre le cas le plus défavorable en première instance ?
• devrait-on « détourner » les ressources des segments les moins vulnérables pour
une meilleure mitigation des risques vers les zones les plus dangereuses?
• Y aura-t-il un changement si les risques ne sont pas traités différemment ?
Une stratégie de mitigation des risques serait celle qui impliquerait des réductions du
niveau de risque pour toutes zones spécifiques ou alternativement en améliorant la
situation en général.
Un bon processus d’évaluation de risques mènera directement vers le management des
risques i.e. en mettant en relief les actions spécifiques à entreprendre en vue de réduire
le risque.
b. Les différentes étapes du processus
Les étapes du processus de management des risques liés au transport par pipelines se
résument en cinq grandes étapes.
1) Modélisation du risque
L’acquisition d’un modèle d’évaluation du risque est la première étape logique. Il s’agit
d’un ensemble de règles ou d’algorithmes qui vont utiliser des données pour mesurer le
niveau du risque le long d’un pipeline. Un modèle est donc un ensemble de règles
utilisées en vue de prédire les futures performances d’un pipeline selon la perspective du
risque.
La phase d’évaluation de risque est la première étape critique dans la pratique du
management du risque.
Certains font une distinction entre un modèle et une simulation dans la mesure où le
modèle est une simplification du processus réel alors que la simulation en est une
réplique directe. Dans tous les cas de figure du plus simple au plus complexe, tous
utilisent la théorie des probabilités et les statistiques. Dans le plus simple des cas, il est
fait appel au facteur expérience et au jugement engineering eux-mêmes basés sur les
observations du passé et le raisonnement inductif.
Trois différentes approches peuvent être utilisées pour ce faire : le modèle matriciel, le
modèle probabiliste et l’indexation. Il est entendu que chacun possède ses avantages et
ses inconvénients.
i. Le modèle matriciel
C’est le plus simple des trois utilisé comme modèle de prise de décision. Il classe les
risques liés au transport par pipelines en fonction de la probabilité d’occurrence du
danger et de la gravité des conséquences en utilisant une échelle simple allant e.g. de
bas à élevé ou en utilisant des chiffres e.g. de 1 à 5.
L’échelle des cotations donnée ci-après pourrait être utilisée.
Conséquences
Probabilité d’occurrence Faible Mineure Modérée Majeure Extrême
Très rare (jamais

entendu…dans 1 2 3 4 5
l’industrie)
Très improbable
(entendu…dans 2 4 6 8 10
l’industrie)
Improbable (est arrivé
dans notre entreprise) 3 6 9 12 15
Probable (arrive
plusieurs fois par an dans 12 16 20
notre entreprise) 4 8
Très probable (arrive
plusieurs fois par an dans 5 10 15 20 25
notre site)
Tableau 4.2 Matrice de décision (after SA)
Le niveau du risque est déterminé par le score probabilité X conséquences. A partir de la

matrice ci-dessus les actions à mener seront comme suit :
Score Actions
Ces risques peuvent ne pas demander une attention immédiate. Zone

De 1 à 4 où le risque est largement acceptable mais qui nécessite une
amélioration continue
De 5 à 12 Faire quelque chose par rapport à ces risques aussi tôt que possible.
Zone où le risque est considéré tolérable
 12 Ces risques nécessitent une attention immédiate. Zone où le risque est

inacceptable
Tableau 4.3 Signification du risque (after SA)

Il faut cependant considérer que la probabilité d’occurrence et/ou les conséquences
peuvent changer à tout moment.
ii. Le modèle probabiliste
Le plus rigoureux et le plus complexe des modèles d’évaluation des risques est l’approche
communément appelée évaluation des risques probabiliste (PROBABILISTIC RISK
ASSESSMENT, PRA) ou évaluation quantitative des risques. Il s’agit de techniques
mathématique et statistique rigoureuse comptant énormément sur les données
historiques de défaillances (voir chapitre III). Des évènements initiateurs tels que
défaillance d’équipements et mauvais fonctionnement des systèmes de sécurité sont
étudiés en vue de déterminer toutes les causes et/ou conséquences possibles en
assignant des probabilités pour chacune des branches. La technique utilise d’une manière
extensive les statistiques de défaillances de composants comme fondement pour
l’estimation des futures probabilités de défaillances. Cependant, il faut noter que
beaucoup de probabilités sont basées sur les jugements d’experts.
iii. L’indexation
Il s’agit peut-être du modèle le plus populaire parmi les techniques d’évaluation de
risques liés au transport par pipelines. Dans cette approche, des valeurs numériques
(scores) sont affectées à des conditions et activités importantes relatives à des pipelines
qui contribuent aux risques liés à cette activité. Cela comprend les items ou variables qui
peuvent augmenter les risques et ceux qui les réduisent. Des pondérations sont alors
assignées à chaque variable. L’influence relative va refléter l’importance de chaque
variable ou item en question dans l’évaluation des risques et est basée sur des
statistiques quand cela est possible ou sur le jugement engineering lorsque les données
ne sont pas disponibles. Chaque section de pipeline est cotée sur la base de ses attributs.
Les différentes sections (segments) de pipelines sont alors classées selon leurs scores
relatifs dans le but d’optimiser les réparations, inspections et autres efforts de mitigation.
Même si chaque technique d’évaluation de risques a ses avantages et inconvénients,
l’approche indexation parait attirante pour plusieurs raisons, entre autres :
• Fournit des réponses immédiates
• Est une analyse avec des coûts bas
• Est compréhensive
• Est un support pour la prise de décision pour la modélisation de l’allocation de
ressources
• Identifie et place des valeurs sur les opportunités de mitigation des risques.
Le grand avantage de cette technique est le fait de considérer tant les presqu’accidents
que les défaillances réelles.
Chaque fois qu’il ya un besoin de considérer beaucoup de facteurs simultanément avec
une connaissance incomplète, un système de cotation devient très pratique.
iv. Choix de l’approche
Chacune des méthodes décrites plus haut peut avoir sa place dans le management des
risques. Dés lors, la connaissance des forces et faiblesses de chacune d’entre elles est
déterminante pour le choix de l’une ou l’autre approche. Dans ce sens, l’approche
matricielle est une première étape pour une évaluation de risques formelle. Si le besoin
d’évaluer des évènements spécifiques dans le temps se fait sentir, une analyse
probabiliste plus pointue peut être l’outil adéquat. Si le besoin est de réaliser une
évaluation de risques non coûteuse ou d’évaluer d’éventuels compromis relatifs aux
risques encourus, l’indexation pourrait convenir.
Tableau 4.4 Choix des techniques (after Muhlbauer)

v. Check-list
Un certain nombre de considérations doivent être prises en compte lors du design du
système d’évaluation de risques. Il s’agit entre autres de :
But : il s’agit de définir brièvement les objectifs et l’intention du projet d’évaluation de
risques
L’audience : qui va voir et utiliser les résultats de l’évaluation de risques ? (public,
autorités, l’entreprise, un département spécifique de l’entreprise, etc.)
Les utilisations : comment sont utilisés les résultats de l’évaluation de risques ?
• Identification des risques, i.e. l’acquisition de savoir tels que niveau d’intégrité,
menaces, conséquences des défaillances, etc. pour permettre une comparaison
des niveaux de risques pour les pipelines
• Allocation de ressources
• Création d’un plan cohérent d’exploitation et de maintenance en rapport avec le
management des risques
• Conformité avec les lois et règlements en matière d’évaluation des risques
• Approbation de projets (calculs de coût/bénéfices), etc.
• Planification de la maintenance préventive
• Communication sur les risques encourus
Les utilisateurs: internes uniquement, personnels techniques uniquement, managers
(autorisation, budgétisation, support technique, etc.), département planification,
présentation publique, etc.
Les ressources : quelles ressources sont disponibles pour supporter le programme ?
(données, softwares, hardware, personnel, argent, pratiques industrielles, etc.
Le design : étendue de l’étude, défaillances considérées (corrosion, sabotage, erreur
humaine, etc.), conséquences considérées (sécurité du public seulement, sécurité des
personnels, environnement, coûts des interruptions, etc.), les installations concernées, la
cotation, le système de reporting, etc.
2) Collecte des données et préparation
Tout ce qui est connu concernant le pipeline à étudier y compris les données d’inspection,
les informations originales de construction, les conditions environnementales,
l’historiques des opérations et maintenance, les défaillances passées, etc. devraient être
collectés. La préparation des données concerne la préparation des ensembles de data
prêtes à être lues et utilisées directement dans le modèle d’évaluation de risque choisi.
3) Implémentation d’une stratégie de segmentation
Parce que les risques sont rarement constants, il est avantageux de segmenter la ligne à
étudier en sections avec des caractéristiques de risques constantes (segmentation
dynamique, voir plus point 4.2.2)
4) Evaluation du risque
Après avoir sélectionné le modèle de risque et préparé les data, les risques le long du
pipeline peuvent être évalués. A chaque section de pipeline un score sera attribué
reflétant les conditions actuelles, l’environnement et les activités
d’exploitation/maintenance.
5) Management du risque
Cette étape consiste à déterminer quelles actions sont considérées appropriées selon les
résultats de l’évaluation du risque
4.2.2. Sectionner ou segmenter le pipeline
Un pipeline ne possède pas le même potentiel danger sur toute la ligne de la même façon
qu’une installation ne possède pas le même potentiel danger dans toutes les unités. Avec
les changements de conditions le long du pipeline, le risque change lui aussi.
Parce que le risque est changeant, n’est pas constant le long du pipeline comme stipulé
ci-avant, il est efficient d’examiner la situation en sectionnant le pipeline en segments
courts. Pour ce faire, il faut décider de la stratégie à adopter pour faire cette
segmentation dans le but d’obtenir l’image du risque la plus précise. Dans ce sens,
chaque section devrait avoir sa propre évaluation du risque donc ses propres résultats.
En sectionnant le pipeline en segments courts, la précision de l’évaluation de risque pour
chacune de ces sections va augmenter. Mais cette façon de faire va augmenter
également la quantité d’information à collecter donc les coûts de l’évaluation. D’un autre
côté, des sections plus longues peuvent réduire les coûts mais diminuer aussi la précision
car généralement, les cas les plus défavorables ou moyens, vont régir la situation si les
conditions changent dans la section en question.
Trois approches sont proposées pour ce faire
a. L’approche longueur fixe
Une méthode fixant la longueur à étudier basée sur des règles telles que « chaque km »
ou « entre deux stations de pompage » ou « entre deux valves de sectionnement », etc.
est souvent utilisée. Cette approche parait attirante dans la mesure elle semble
cohérente mais elle va assurément réduire la précision. Les risques pourraient être
exagérés e.g. si les cas les plus défavorables sont appliqués le long de la section
considérée. Beaucoup de pipelines sont construits dans des endroits très spécifiques. Les
risques pour ces endroits sont dés lors perdus, noyés dans les risques de la section en
question.
b. L’approche segmentation dynamique
La méthode la plus appropriée consiste à sectionner le pipeline là où il peut y avoir un
changement significatif dans la nature du risque. Le changement significatif devait être
déterminé par l’équipe d’évaluation de risques en prenant en considération les données
relatives aux coûts et précision de l’évaluation. C’est ainsi que dans le segment à
considérer, il ne devrait pas y avoir de différence en termes de risque du début à la fin de
la section i.e. chaque mètre de pipeline au niveau de la section considérée doit être le
même selon les données connues. Il est par ailleurs connu que la section voisine est
différente de celle considérée au moins par rapport à une variable du risque. Cela
pourrait être e.g. un changement dans les spécifications du pipeline (épaisseur,
diamètre, etc.), dans les conditions du sol (PH, humidité, etc.), la population, etc. ou tout
autre condition l’essentiel est qu’au moins un aspect est différent d’une section à une
autre. Il faut noter toutefois que la longueur de la section importe peu tant que les
caractéristiques du pipeline ne changent pas. L’utilisation de l’outil informatique peut être
d’une très grande utilité.
c. L’établissement de section manuellement
Avec le développement de l’outil informatique il n’ya plus de raisons d’utiliser cette
approche.
d. La technique à utiliser
La technique indexation peut aider à déterminer les types de conditions à examiner pour
construire l’image du risque. Il s’agit de noter les conditions les plus variables le long du
pipeline à étudier et les classer en fonction de l’importance du changement et des
fréquences de changement. Cela peut servir comme point de départ pour le
sectionnement du pipeline.
Un exemple pour illustrer cela, une liste pour la priorisation des conditions:
• Densité de la population
• Conditions du sol
• Conditions des revêtements
• Age du pipeline
Par ordre de priorité, il s’agit d’abord de déterminer les changements dans le tracé du
pipeline par rapport à la densité de la population (passe-t-il près de communautés ?),
ensuite la variation des conditions du sol (quels types de sols traverse-t-il ?), les
revêtements (quel est l’état de détérioration des revêtements du fait des sols traversés
par exemple ?) et enfin l’âge du pipeline considérée (ya-t-il des sections nouvellement
remplacées ?).
Un essai de sectionnement est ainsi réalisé. Si le nombre de segments est trouvé très
élevé, l’équipe d’évaluation pourra en réduire le nombre en commençant par le bas i.e.
par les conditions les moins dangereuses jusqu’à obtenir un nombre jugé satisfaisant et
rentable (coûts).
L’équipe pourrait entre autres considérer les règles suivantes :
• Segmenter chaque fois que la densité de la population augmente de X % pour
chaque km de pipeline
• Segmenter chaque fois que la corrosivité du sol change d’Y %
• Sectionner chaque fois que les conditions des revêtements changent d’une
manière significative
• Segmenter chaque fois qu’une différence d’âge dans le pipeline est notée (voir ce
faire les dates de constructions des différentes sections de pipeline)
A la suite de l’application de ces règles, l’équipe va trouver que la première a donné A
sections, la deuxième B sections, la troisième C sections et la quatrième D sections avec
un total de A+B+C+D sections pour le pipeline considéré.
L’équipe va devoir à présent décider s’il s’agit d’un nombre approprié de sections en
prenant en considération la précision de l’analyse voulue, les coûts d’acquisition de
données, etc. Si l’équipe trouve que le nombre est élevé, alors il va falloir le réduire en
commençant par la dernière règle i.e. l’âge des sections de pipeline s’agissant de l’item le
moins prioritaire ; en d’autres termes, il ne s’git pas d’un facteur aussi déterminant que
les trois autres. Et ainsi de suite.
En tout état de cause, il est de pratique normale de reporter les résultats d’une
évaluation de risques par rapport à une longueur donnée e.g. chaque km de ligne ou
entre deux stations de pompage, etc. même en utilisant l’approche dynamique.
4.2.3. Conception du modèle d’évaluation de risques
Un bon modèle devrait être fermement enraciné dans les concepts engineering et être
cohérent avec l’expérience et l’intuition des évaluateurs.
a. Données ou cadre en premier ?
Il ya deux façons de faire pour entamer une évaluation de risques : développer d’abord
un modèle ou un cadre et l’équipe utilisera ce modèle et collectera les données
nécessaires à l’évaluation, ou compiler une liste de données disponibles et les utiliser
dans un cadre. La différence réside dans le fait que la première approche orientera la
recherche des données tandis que la deuxième i.e. les données disponibles permettront
le développement (ou le choix) du modèle à utiliser.
Une des intentions de l’évaluation de risques consiste à récolter et utiliser toutes les
données disponibles et identifier les écarts. Avoir les données au départ permet d’assurer
l’utilisation de toutes ces données alors que le modèle prédéterminé permet d’identifier
plus facilement les écarts d’information. Une combinaison des deux approches est
généralement recommandée.
b. Les facteurs de risque
i. Types d’information
Il s’agit en l’occurrence des variables de risques qui vont être incluses dans l’évaluation.
Une liste complète des facteurs ayant un impact sur le risque peut être facilement
identifiée pour tout pipeline.
L’établissement d’un modèle implique un compromis entre le nombre de facteurs à
considérer et la facilité d’utilisation du modèle. Il faut noter toutefois que l’inclusion de
tous les facteurs possibles peut créer une situation difficile à gérer. Les facteurs les plus
importants sont largement reconnaissables, il s’agit de faire un choix de ceux qui vont
être utilisés. L’épaisseur d’un pipeline est un facteur pour presque tous les modes de
défaillance potentiels. Il détermine le moment de défaillance pour une vitesse de
corrosion donnée. La densité de la population est une variable de conséquence de même
qu’un indicateur de dommages causés par des tiers (possible mesure d’activité
potentielle). Les résultats des inspections donnent une information sur la situation de
l’intégrité d’un pipeline de même que des mécanismes de défaillances actives
potentielles. Une simple information peut changer notre vue sur un certain nombre de
facteurs tels que conditions du revêtement, efficacité de la protection cathodique, la
marge de sécurité globale comme elle peut fournir des informations nouvelles sur l’état
du sol (corrosivité), activité des parties tierces, interférence des courants, etc.
Un grand nombre de données relatives à un pipeline sont généralement disponibles. Les
informations qui peuvent être utilisées pour mettre à jour l’évaluation des risques
comprennent entre autres :
• Tous résultats d’études e.g. lectures de tension, patrouilles, études de fuites,
densité de la population, etc.
• Documentation concernant toutes les réparations effectuées
• Documentation relatives à tous les travaux d’excavation effectués
• Données opérationnelles (pression, débit, etc.)
• Résultats d’évaluation d’intégrité
• Rapports de l’activité de la maintenance
• Mise à jour de l’information relative aux conséquences
• Mise à jour de l’information relative au récepteur (nouveau logement, buildings
très occupés, changements dans la densité de la population, etc.)
• Résultats des analyses d’investigations d’incidents/accidents
• Disponibilités de nouvelles technologies, etc.
ii. Préventions et attributs
Parce que l’objectif final de l’évaluation des risques est de fournir un moyen de
management des risques, il est important de faire la distinction entre deux types de
variables de risques en l’occurrence, il s’agit pour l’équipe d’évaluation des risques de
catégoriser chaque variable de risque de l’index à étudier selon qu’il est attribut ou
prévention.
L’attribut correspond approximativement aux caractéristiques du danger tandis que
prévention reflète les mesures de mitigation de risque prises. Les attributs reflètent
l’environnement du pipeline i.e. des caractéristiques difficiles ou impossible à changer
dont l’opérateur n’a généralement aucun ou peu de moyens d’actions. Par contre les
mesures de préventions sont des actions entreprises en réponse à cet environnement.
Exemples d’aspects considérés comme attributs qui ne peuvent être changés de façon
routinière :
• Caractéristiques du sol
• Types d’atmosphère
• Caractéristiques des produits
• Présence et nature des utilités enterrées aux alentours
L’autre catégorie concerne les actions que peut entreprendre ou prendre un opérateur ou
designer (concepteur) raisonnablement pour mitiger les risques. Il s’agit entre autres :
• Fréquences des patrouilles
• Programmes de formation des opérateurs
• Programmes de maintenance
La distinction entre attributs et prévention est utile lors de l’élaboration d’une politique de
management des risques. Il s’agit e.g. de prévoir plus de patrouilles dans une zone
hautement habitée ou plus de vérification/prévention de la corrosion pour un certain type
de sols.
Figure 4.4 Exemples d’attributs et prévention (after Muhlbauer)
iii. Facteurs de risques spéciaux

Deux facteurs particuliers nécessitent une attention particulière dans la mesure où ils ont
un impact sur beaucoup d’autres facteurs et considérations de risques. Il s’agit de l’âge
du pipeline et l’âge de l’inspection.
Concernant l’âge, certain modèles de risque l’utilisent comme variable de risque dans la
mesure où les systèmes considérés –ici les pipelines- se détériorent avec l’âge d’une
manière proportionnelle. Cependant, il faut noter que l’âge n’est pas un mécanisme de
défaillance mais un facteur contributif. L’âge n’est pas un indicateur fiable de risque ; il
est connu que des pipelines ont été trouvés dans d’excellentes conditions même après
des décades d’activité.
Les manières avec lesquelles l’âge d’un pipeline peut influencer sa défaillance potentielle
se trouvent dans les mécanismes de défaillance spécifiques tels que la corrosion et la
fatigue.
Pour les évaluations qui utilisent les résultats d’inspections et d’études (enquêtes) l’âge
de l’inspection joue un rôle en ce sens où ces résultats ne devraient pas être considérés
statiques. Avec le temps, les résultats d’inspection ont moins de valeur. Une façon de
tenir compte de ce type de résultats est de définir une échelle indiquant l’importance
décroissante de ces valeurs avec le temps (voir l’exemple du tableau 4.1 ci-après).
Tableau 4.5 Exemples de facteurs d’ajustement (after Muhlbauer)
iv. Données recueillies à partir d’interviews

La collecte de données à travers l’utilisation d’interviews nécessite l’emploi de termes
descriptifs qualitatifs. Il ya des avantages certains à cela tels que la facilité d’explication,
la familiarité, etc. pour obtenir des jugements d’experts car, en réalité, les personnes
préfèrent donner des réponses verbales.
Des recherches ont été faites pour transformer ces données verbales en valeurs
quantitatives ou probabilités. La conclusion de la plupart d’entre elles est qu’il existe une
cohérence entre les valeurs attribuées et les termes utilisés pour ce faire. Les tableaux
ci-après donnent un exemple de nombres assignés à des évaluations qualitatives
Tableau 4.6 Nombres assignés à des évaluations qualitatives (after Rohrmann)
Tableau 4.7 Expression de la qualité (after Rohrmann)
Tableau 4.8 Expression de la fréquence (after Rohrmann)
c. Historique des fuites et évaluation des risques

Les données relatives à la défaillance au niveau d’un pipeline sont généralement très
coûteuses i.e. lorsqu’un accident survient. Cette situation peut permettre d’affiner le
modèle par l’incorporation de nouvelles informations. L’expérience a montré toutefois
qu’une portion de pipeline qui a connu des fuites va vraisemblablement en avoir ensuite.
Un raisonnement intuitif suggère que les conditions qui ont donné naissance à des fuites
vont vraisemblablement en créer d’autres dans la même zone.
L’historique des fuites doit être une partie intégrante de toute évaluation de risques. Il
est généralement la base première de l’estimation des risques exprimée en termes
absolus. Une fuite est une évidence de conditions générant une défaillance à proximité
telles que la corrosivité du sol, prévention contre la corrosion inadéquate, problèmes au
niveau des joints, mouvement actif de la terre, etc. cela signifie un potentiel pour une
fuite dans le futur. Chaque variable de risque devrait toujours incorporer la meilleure
connaissance disponible des conditions et possibilités qui peuvent générer des
défaillances.
Là où dans le passé des fuites n’ont pas été suivies d’analyses des causes racines
(premières) qui les ont générées et/ou n’ont pas été suivies de mesures correctives
appropriées pour y remédier, il faut réajuster la valeur de la probabilité d’occurrence de
défaillance en hausse car c’est il s’agit d’une situation potentielle de génération de fuites.
d. Inspections visuelles
Une inspection visuelle interne ou externe de la surface d’un pipeline peut être
déclenchée par un ILI (In-LINE-INSPECTION), une fuite, un test de pression, ou une
maintenance de routine. Si des dommages sont détectés, alors le score respectif de la
défaillance de ce segment devrait être réajusté pour refléter la nouvelle donne.
Pour l’objet de l’évaluation de risques, une inspection visuelle devrait refléter les
conditions pour une certaine longueur de pipeline. Si un mauvais revêtement est noté
dans un site donné, alors il faudrait l’étendre à toute la zone où les conditions sont
considérées identiques à ce site (type de revêtement et âge, conditions du sol, etc.).
Ceci peut être éliminé par l’analyse des causes premières (à la racine) et l’élimination des
causes racines.
e. L’analyse des causes à la racine
Les dommages causés sur les pipelines sont une évidence forte des mécanismes de
défaillances au travail. Une fois que les causes de dommages ont été éliminées, cela
devrait se refléter dans la grille d’évaluation des risques par des conditions de travail plus
sûres. Mais auparavant il faut s’assurer que les vraies causes à la racine ont été
identifiées et traitées.
Un exemple pour illustrer cela.
Une investigation de fuite a révélé qu’elle était due à un problème de revêtement. Ce
problème a été traité. Mais quelques années plus tard, une autre fuite apparut au même
endroit. Il a été trouvé qu’en réalité, la principale cause racine était le mouvement du sol
qui endommageait tout revêtement.
Cet exemple montre que l’investigation a été arrêtée trop tôt. Il faut se focaliser sur les
solutions qui empêcheraient toute récurrence.
f. Leçons tirées de l’établissement d’un programme d’évaluation des risques
La meilleure élaboration d’un processus d’évaluation de risques ne peut se faire que sur
la base de l’expérience acquise. Il faut noter toutefois que chaque situation est unique.
Les leçons tirées du passé se présentent comme suit :
• Travailler du général vers le spécifique
• Penser « organique »
• Eviter la complexité
• Utiliser l’informatique sagement
• Construire le programme comme s’il s’agissait d’un nouveau pipeline
• Etudier les résultats
i. Travailler du général vers le spécifique
Il faut avoir en premier une image de l’ensemble i.e. avoir une vue globale de
l’évaluation pour l’ensemble du système plutôt d’aller directement vers chaque détail
pour seulement une portion du système. Ceci a deux avantages :
• Quelque soit la manière avec laquelle le projet démarre, il va y avoir des
changements avant sa finition. Si une interruption survient, au moins une
évaluation globale a été réalisée et quelque information utile a été générée.
• Il ya des bénéfices certains (sur le plan psychologique) pour le fait d’avoir des
résultats tôt dans le processus. Cela va stimuler l’équipe et la pousser à
persévérer pour affiner le travail
Il est assez aisé d’évaluer rapidement un système entier en limitant le nombre de
variables de risques. Utiliser seulement e.g. densité de la population, produit transporté,
pression de travail, etc. Le modèle peut être affiné plus tard par l’ajout de nouvelles
variables non utilisées. Utiliser les données disponibles chaque fois que cela est possible.
ii. Penser « organique »
Imaginer que le processus d’évaluation des risques est quelque chose de vivant. Donc il
s’agit de quelque chose qui va grandir et changer avec le temps. Il y aura enfin le fruit
i.e. les réponses attendues pour les prises de décisions. Le processus idéal va produire
des fruits facilement cueillis. Il ya également les racines i.e. les techniques et autres
connaissances qui vont créer le fruit. Pour s’assurer que le fruit sera bon, il faut prendre
soin des racines. Alimenter et consolider ces racines en utilisant les techniques telles que
HAZOP, FMECA, les arbres de défaillances logiques, etc.
Organiser et planifier pour avoir l’environnement le plus flexible possible. Permettre la
croissance car de nouvelles données d’inspection, nouvelles techniques d’inspection,
nouvelles données statistiques, etc. aident à déterminer les pondérations, indicateurs de
risques oubliés, etc.
iii. Eviter la complexité
Il faut faire de telle sorte que tout élément du modèle de risque amène plus de bénéfices
que les coûts qu’il engendre en termes de collecte de données et de complexité. Toute
variable devrait améliorer les connaissances par rapport au risque. Il s’agit entre autres
de :
• Ne pas inclure une variable si elle n’est pas utile pour le facteur risque
• Ne pas dupliquer les bases de données existantes, il faut plutôt rechercher les
informations à partir de bases de données existantes
• Ne pas utiliser d’échelle exponentielle lorsqu’une échelle relative peut être
appropriée
• Ne pas utiliser plus de chiffres significatifs que ce qui est justifié
• Eviter des calculs de niveau multiples quand cela est possible
• Ne pas surestimer la précision des résultats en particuliers lors de présentations
ou documentation formelle. Il faut toujours se rappeler le haut niveau
d’incertitude pour ce genre de calculs.
iv. Utiliser sagement l’outil informatique
Sans se soucier d’une éventuelle mauvaise utilisation de l’outil, il faut savoir qu’il
augmente la solidité du processus d’évaluation de risques ainsi que son efficience.
L’utilisation de software est telle qu’il est facile d’aller d’une application à une autre. Tôt
dans l’élaboration du projet, l’outil servira principalement à « déposer » les données (à
enregistrer comme base de données). Ensuite, il utilisera les données brutes en
questions i.e. épaisseur de corrosion, densité de la population, etc. pour les transformer
En information relative au risque. Plus tard, les analyses et l’affichage des données se
feront. Enfin, la génération de résultats devrait être disponible.
v. Construire le programme comme s’il s’agissait d’un nouveau pipeline
Une manière très utile de voir le processus d’évaluation des risques est de considérer
l’analogie avec la construction d’un nouveau pipeline. Comme pour la construction d’un
nouveau pipeline, les défaillances apparaissent à travers une mauvaise planification et
des attentes inappropriées alors que la réussite arrive grâce à un profond management
et une planification méticuleuse.
vi. Etudier les résultats
Il faut noter la sous-exploitation des résultats après avoir terminé une profonde
évaluation de risques ou la mauvaise appréciation des données disponibles. Il faut se
rappeler que les nombres auxquels on aboutit doivent être significatifs. Ils devraient
représenter le pipeline étudié à partir des années d’expérience de l’entreprise, des
données statistiques rassemblées, etc.
Avec une évaluation attentive et une expérience certaine, on trouvera des façons
d’utiliser ces résultats qui n’ont peut être pas été prévues.
Ils peuvent être utilisés entre autres pour :
• Aider dans le choix/sélection de chemin
• Optimiser les dépenses
• Consolider une évaluation de projet
• Déterminer les priorités d’un projet
• Déterminer l’allocation des ressources
• S’assurer de la conformité avec les lois/règlements
g. Exemple de modèle d’évaluation de risque
L’exemple considéré ci-après représente un modèle d’évaluation de risques pour les
pipelines qui se focalise sur les conséquences potentielles pour la sécurité des
populations et la préservation de l’environnement. Il fournit un cadre pour s’assurer que
tous les aspects critiques du risque sont pris en considération. La figure 4.2 ci-après
donne un aperçu sir les éléments le constituant
Figure 4.5 Modèle d’indexation (after Muhlbauer)

Comme le montre la figure, il ya deux parties fondamentales. La première est une
présentation détaillée de tous les évènements raisonnablement prévisibles qui peuvent
mener à la défaillance du pipeline. En fait, il s’agit de répondre aux questions « qu’est-ce
qui pourrait mal aller ? » et pour « quelle probabilité ? ». Cela met en relief les options
relatives au design et opérations qui peuvent influer sur les probabilités de défaillance.
La deuxième partie quant à elle est une analyse des conséquences potentielles au cas où
une défaillance survient.
Les deux parties correspondent aux deux facteurs de risque cités précédemment.
Le composant relatif à la défaillance potentielle est subdivisé en quatre index. Ces index
correspondent grossièrement aux catégories d’accidents rapportés du fait de défaillances
au niveau de pipelines. Chaque index reflète un domaine pour lequel des accidents de
pipeline ont été attribués. En considérant chaque variable pour chaque index, l’équipe
aboutit à un score pour l’index en question. Ensuite une sommation est faite pour
l’ensemble des scores obtenus pour les quatre index représentant la probabilité globale
de défaillance pour le segment considéré. Les valeurs individuelles des variables étudiées
sont gardées pour une éventuelle analyse détaillée.
La principale focalisation de cette première partie de l’évaluation (probabilité), est sur le
potentiel qu’un mécanisme particulier de défaillance devient actif. Ce qui peut être un
peu différent de la probabilité (chance) de défaillance. En particulier lorsqu’il s’agit d’un
paramètre dépendant du temps tel que la corrosion, la fatigue ou un mouvement lent des
sols car le temps jusqu’à défaillance est en relation avec des facteurs qui vont au-delà de
la présence d’un mécanisme de défaillance. Cela inclus la résistance du matériau du
pipeline en question (dimension i.e. épaisseur et niveau de contraintes, etc.),
l’agressivité du mécanisme de défaillance et le temps d’exposition. Ceux-ci peuvent être
examinés plus profondément.
Concernant la deuxième partie de l’évaluation, les conséquences potentielles d’une
défaillance du pipeline sont examinées. Les caractéristiques du produit, les conditions
opératoires du pipeline et son environnement qui peuvent mener vers un facteur de
conséquences sont considérées. Le score relatif aux conséquences est appelé facteur
d’impact d’une fuite (LEAK IMPACT FACTOR, LIF) il comprend les dangers associés aux
rejets du produit contenu dans le pipeline. LIF est combiné avec le score additionné de
tous les index considérés pour donner un score final pour chaque section de pipeline
considérée.
Un certain nombre d’hypothèses de base sont prises en compte.
• Indépendance : les dangers s’additionnent mais ils sont indépendants. Chaque
item est pris séparément, il influe indépendamment sur le risque
• Cas le plus défavorable : lorsque plusieurs conditions existent sur le même
segment, il est recommandé de considérer le cas le plus défavorable.
• Relatif : à moins qu’une corrélation est faite concernant les valeurs absolues du
risque, celles-ci ne sont significatives que relativement.
• Jugements : cela reflète les jugements d’expert basés sur leur expérience dans la
connaissance de l’industrie des pipelines. Cela concerne en particulier le cas où il
ya absence de données historiques.
• Public : la focalisation sur la sécurité des personnes (du public en général) doit
représenter un élément fondamental dans l’évaluation des risques.
• Mesures de mitigation : il faut avoir en tête que les mesures n’éliminent pas
complètement les menaces.
4.3. Application du modèle
4.3.1. Index des dommages causés par des parties tierces
Les opérateurs de pipelines prennent toujours des mesures pour éviter que leurs
installations soient endommagées par des parties tierces. L’étendue des mesures de
mitigation dépendent du fait que ces installations sont aisément susceptibles d’être la
cible de ce type de dommages et de la probabilité que ces situations pissent survenir.
Les dommages causés par des tierces parties concernent toute activité de personnes
n’ayant aucune relation avec le pipeline causant un dommage accidentel au pipeline en
question. Les mouvements de sol ne sont pas considérés ici mais le seront dans l’index
design. Quant aux dommages causés par le personnel de l’opérateur ils seront pris en
compte dans l’index opérations incorrectes.
Selon les statistiques de l’US DOT (le département du transport américain), 20 à 40 %
des dommages causés aux pipelines sont dus aux activités de tierces parties. En dépit de
ces chiffres éloquents, il n’est pas fait énormément cas du potentiel des dommages
causés par des travaux tiers. Il est en fait l’aspect le moins considéré lors des évaluations
de risques liés au transport par pipeline
Toujours selon US DOT, de 1983 à 1987 il ya eu 8 morts, 26 blessés et plus 14 millions
de dollars (dommages propriété) dans l’industrie du transport de liquides dangereux par
pipeline causés seulement par les dommages d’excavation effectués par des tiers. Ces
types d’accidents représentent 259 cas sur un total de 969 accidents toutes causes
confondues i.e. 26.7 % pour tous les accidents qui ont concerné les pipelines
transportant des liquides dangereux.
Pour l’industrie du gaz (transport par pipelines), 430 incidents à partir de travaux
d’excavation ont été rapportés entre 1984-1987. Ceux-ci ont causé 26 morts, 148
blessés et plus de 18 millions de dollars de dommage pour les propriétés.
En Europe, pour 9 pays occidentaux ce chiffre est de près de 50 % de toutes les causes
de dommages selon Pluss (2002).
a. Les variables de risque
Les principales raisons pour ce type de dommages, en particuliers dans les zones
urbaines comprennent entre autres :
• Petites compagnies sous-traitantes ignorant les permis ou tout autre processus de
notification
• Pas d’encouragement pour les personnes réalisant des excavations pour éviter
d’endommager les lignes
• Enregistrements/cartes/plans imprécis
• Localisation imprécise par l’opérateur, etc.
La plupart de ces opérations sont évaluées comme variables dans le modèle d’évaluation
de risques proposé.
Les designers/opérateurs peuvent influer sur la probabilité que des dommages par des
travaux tiers surviennent. Dans cette optique, la probabilité de ce type d’accident pour
une installation dépend de :
• La facilité avec laquelle cette installation peut être atteinte par une partie tierce
• La fréquence et le type d’activités effectuées par ces parties tierces aux alentours
Les principaux mis en cause comprennent entre autres :
• L’équipement d’excavation
• Les projectiles
• La circulation
• Les trains
• Equipements agricoles
• Charges sismiques
• Poteaux de clôture
• Poteaux téléphoniques
• Animaux, etc.
Les facteurs de prédispositions des installations comprennent entre autres :
• Profondeur de couverture
• Nature de la couverture (terre, roche, béton, pavés, etc.)
• Barrières faites par l’homme (clôtures, barricades, fossés, etc.)
• Barrières naturelles (arbres, rivières, fossés, rochers, etc.)
• Présence de markers de pipelines
• Conditions des terres entourant le pipeline i.e. droit de passage (RIGHT OF WAY,
ROW) et dépendant de l’opérateur
• Fréquence et minutie des patrouilles
• Temps de réponses aux menaces rapportées
Le niveau de l’activité est souvent jugé par item tels que :
• La densité de la population
• Les activités de construction aux alentours
• Proximité et volume du trafic routier et ferroviaire
• Nombre d’installations enterrées dans la zone, etc.
Il faut noter qu’un dommage sérieux au pipeline n’est pas seulement limité à une
perforation mais une simple rayure du revêtement peut réduire la résistance à la
corrosion.
b. Evaluer le potentiel de dommage par des parties tierces
Sept variables sont utilisées pour ce faire avec une pondération telle que donnée par le
tableau 4.9 ci-après
Profondeur minimum de remblai 0-20 pts
Niveau d’activité 0-20 pts
Installations aériennes 0-10 pts
Localisation de la ligne 0-15 pts
Programme d’éducation du public 0-15 pts
Conditions de ROW 0-5 pts
Fréquences des patrouilles 0-15 pts
------------
0-100 pts
Tableau 4.9 Index des dommages causés par les travaux tiers
Figure 4.6 Dommages causés par des travaux tiers (after Muhlbauer)
i. La profondeur minimum de couverture (20 %)
La profondeur minimum de couverture représente la quantité de terre ou de couverture
équivalente qui va servir à protéger tout le pipeline de dommages pouvant être causés
par des travaux tiers.
Une formule simple permet d’assigner des points avec un maximum de 20. Plus la valeur
se rapproche de 20, plus la sécurité est considérée élevée.
Quantité de couverture en pouces (INCHES, ") ÷ 3 = valeur en

point pour un maximum de 20 points
Par exemple : une couverture de 42" signifie 42÷3= 14 points
Le casing ou l’ajout de bande d’avertissement augmente le nombre de points alloué. Pour
le premier 24 " et pour le deuxième 6 ". De même qu’une dalle de béton ajoute 24 " au
calcul à effectuer.
Figure 4.7 Profondeur minimum de remblai (after Mulhbauer)

Exemple
Une section de pipeline possède une portion enterrée à une profondeur de 10 " et une
autre à 30 ". La portion la moins profonde, une dalle de béton a été placée tout le long
de la ligne. En utilisant les formules suscitées, nous obtenons :
Pour la portion la moins profonde : 10 " de couverture + 24 " en plus du fait de la dalle
de béton i.e. 34 " ÷3 = 11.3 points
Pour l’autre portion : 30 " ÷3 = 10 points
L’équipe d’évaluation devrait prendre le cas le plus défavorable en l’occurrence 10 points.
L’idéal aurait été de séparer les deux portions en deux segments différents pour l’étude.
ii. Le niveau d’activité (20 %)
Un autre élément fondamental pour l’évaluation des risques : la zone d’opportunité
d’activité. Cette zone est fortement affectée par le niveau d’activité à côté du pipeline. Il
est évident que plus il ya des activités de creusement de fouilles à côté du pipeline plus
l’opportunité que le pipeline soit heurté augmente.
Une autre considération dont il faut tenir compte est la présence aux alentours de
systèmes ferroviaires et de haut niveau de trafic de véhicules lourds ou de véhicules
roulant à grande vitesse.
De même qu’il faut noter présence d’animaux car ceux-ci peuvent endommager
l’instrumentation ou les revêtements.
L’équipe d’évaluation peut créer sa propre classification des niveaux d’activité dans le but
d’établir un score pour ce facteur de risque. Cela peut se faire en décrivant les conditions
suffisantes qui lui permettraient de classer cette zone selon la classification préétablie.
Un exemple est proposé ci-après.
Tableau 4.10 Classe de population (after US DOT)

Haut niveau d’activité (0 points), cette zone est caractérisée par un ou plusieurs des
points suivants :
• Densité de population classe 3
• Densité de population élevée mesurée par une autre échelle
• Activités fréquentes de construction
• Nombre d’appels élevés ou rapports de reconnaissance (> 2 par semaine)
• Trafic routier et/ou ferroviaire pouvant constituer une menace
• Plusieurs autres utilités enterrées aux alentours
• Dommages fréquents dus à des animaux
• Dragage fréquents à côté de ligne offshore, etc.
Niveau moyen d’activité (8 points), cette zone est caractérisée par un ou plusieurs
des points suivants :
• Densité de population moyenne aux alentours mesurée par une autre échelle
• Pas d’activités de construction routinière qui peut causer une menace
• Peu d’appels ou rapports de reconnaissance (< 5 par mois)
• Peu d’autres utilités enterrées aux alentours
• Dommages dus aux animaux occasionnels
Niveau bas d’activité (15 points), cette zone est caractérisée par un ou plusieurs des
points suivants :
• Population rurale ou densité faible mesurée par une autre échelle
• Il n’ ya virtuellement pas de rapport (< 10 par an)
• Pas d’activité de routines nuisibles dans cette zone
Pas d’activités (20 points) i.e. il n’ ya aucune chance pour qu’il y ait des fouilles ou
autre creusement ou activités de tiers pouvant être nuisibles à côté du pipeline.
Dans chacune de ces classifications la densité de la population est un facteur à
considérer. Beaucoup de personnes présentes dans une zone signifie généralement
beaucoup d’activités : construction de clôture, jardinage, construction de puits d’eau,
creusement ou déblaiement de fossés, construction de murs, etc. Beaucoup de ces
activités peuvent perturber le pipeline enterré.
La perturbation peut être parfois si mineure qu’elle n’est pas rapportée par les personnes
qui l’ont causée. Comme il a été mentionné ci-avant, ce type de perturbations
« mineures » (dommage de revêtement, etc.), peut être parfois l’évènement initiateur
qui peut déclencher une défaillance du pipeline.
Une zone en rénovation ou en extension va nécessiter des activités fréquentes de
constructions. Cela peut comprendre des études de sols, construction de fondations,
installation d’utilités enterrées (téléphone, électricité, eau, égouts, etc.) et autre activités
potentiellement nuisibles.
Le meilleur indicateur du niveau d’activités peut être est la fréquence des rapports
d’activités faits notamment par les personnels de l’opérateur de pipeline, des patrouilles
et des rapports du public ou autres entreprises.
La présence d’autres utilités enterrées nécessite un entretien, une réparation, une
inspection donc des activités de fouilles fréquentes.
Un aspect important concerne les travaux sismique impliquant des détonations
souterraines tels que ceux pour l’exploration des hydrocarbures. Ce types d’activités
peuvent être dangereuses pour les pipelines e.g. l’onde de choc, forage de puits pour
mettre les charges explosives, etc..
iii. Les installations aériennes (10 %)
Les perturbations sont différentes de celles des pipelines enterrés. Celles-ci comprennent
entre autres l’exposition à des dommages dus à des collisions de véhicules, actes de
vandalisme.
L’équipe d’évaluation devrait ajuster le facteur de pondération en fonction de l’expérience
acquise par l’entreprise dans ce domaine.
La valeur maximum est attribuée aux sections ne comportant pas d’installations
aériennes i.e. où la menace n’existe pas. Pour des sections ayant des parties aériennes,
des points devraient être alloués à toutes conditions pouvant réduire le risque de
dommages causés par des travaux tiers (voir exemple de la figure ci-après). Il s’agit en
l’occurrence de barrières ou d’obstacles.
Figure 4.8 Protection pour les installations aériennes (after Muhlbauer)
Pas d’installation aérienne 10 points
Installation aérienne 00 points
Pour la dernière il faut ajouter chacun des aspects suivants avec un maximum de 10
points pour l’ensemble :
Installation à plus de 60 m de véhicules 05 points

Zone surmontée d’une clôture de 1.80 m 02 points
Grille protectrice de 4 " en acier 03 points
Arbres de 12 " de diamètre, mur ou tout autre structure entre
l’installation et les véhicules 4 points
Fossé entre les véhicules et l’installation (profondeur/largeur
au moins de 1.2 m 03 points
Signalisation 01 point
Tableau 4.11 Exemple de score pour les installations aériennes (after Muhlbauer)
iv. Localisation de la ligne (15 %)
Un programme ou une procédure de localisation de la ligne est le processus
d’identification de l’emplacement exact du pipeline enterré de telle sorte que les parties
tierces puissent effectuer tout travaux d’excavation aux alentours en toute sécurité. Il
s’agit en l’occurrence d’un point central pour éviter tout dommage par des travaux tiers.
Un système d’appel est un service mis en place pour recevoir toute notification d’activités
de fouilles ou d’excavation qui en retour informe l’opérateur.
Aux USA e.g. l’US DOT le département des transports définit cela comme « un système
de communication établit par deux ou plusieurs opérateurs, les agences
gouvernementales, ou tout autre opérateur d’installations souterraines pour fournir un
numéro de téléphone pour des entreprises réalisant des excavations ou le public pour
appeler en vue de notifier et enregistrer leur intention de réaliser des activités
d’excavation. Cette information est ensuite transmise aux membres appropriés du
système d’appel leur donnant l’opportunité de communiquer avec les personnes réalisant
les excavations en vue d’identifier les installations par des signalisations temporaires et
de suivre ces travaux par des inspections.
“One-Call Systems,” Pipeline Digest, March 1991, p. 15.
Grâce à ce système, le nombre d’accidents a été réduit de 20 à 40 % et dans certains
cas jusqu’à 70 % (même référence) selon une étude.
L’utilisation de ces systèmes est obligatoire dans certains états des USA.
L’équipe devrait évaluer l’efficacité de ce système pour la section de pipeline étudiée.
Pour illustrer cela, voici un exemple d’évaluation d’un système d’appel :
Efficacité 6 points
Fiabilité et efficience prouvée 2 points
Largement connu dans la communauté et beaucoup de publicité 2 points
Réactions appropriées pour les appels 5 points
Cartes et enregistrements 4 points
Tableau 4.12 Exemple de score localisation de ligne (after Muhlbauer)

Ajouter tous les points relatifs aux facteurs suscités avec un maximum de 15points.
Concernant le premier facteur, il s’agit en fait d’un jugement de l’efficacité du système.
L’idéal serait que le système émane d’un article de loi en particuliers lorsque les pénalités
sont sévères. Ce système serait alors accepté et très utilisé.
Les deux facteurs suivants sont plus subjectifs. Quant au suivant, l’équipe d’évaluation
devrait s’assurer de la réponse de l’entreprise à tout rapport sur une activité d’excavation
par une partie tierce. Un réponse retardée sera négative. L’équipe devrait regarder si
tous les rapports ont été investigués en temps voulu. Une réponse appropriée peut
comprendre entre autres :
• Un système pour recevoir et enregistrer les notifications pour une activité
programmée d’excavation
• Dispatcher le personnel sur site pour fournir des marquages détaillés de
l’emplacement du pipeline
• Une formation et des procédures compréhensives de marquage et de localisation
• Des cartes et enregistrements précis montrant la localisation, la profondeur et les
spécifications du pipeline
• Briefings avant le démarrage des travaux d’excavation avec l’entreprise de
réalisation
• Inspection sur site durant les travaux d’excavation
• Un système pour s’assurer de la mise à jour des schémas et plans
• Inspection du pipeline après les travaux d’excavation
v. Programme d’éducation du public (15 %)
Ce type de programmes peuvent jouer un rôle important dans la réduction des
dommages par les travaux tiers. La majorité des dommages causés par les travaux tiers
sont non intentionnels et sont généralement dus à l’ignorance. Il s’agit non seulement de
l’ignorance de l’emplacement exact du pipeline enterré mais aussi de l’ignorance des
indications -se trouvant à la surface- relatives au pipeline. Une entreprise de transport
par pipeline engagée dans l’éducation de la communauté sur tout ce qui concerne le
pipeline va presque assurément réduire son exposition aux dommages causés par des
travaux tiers.
Quelques caractéristiques pour un programme effectif d’éducation du public sont données
dans la liste suivante :
Réunions avec les officiels une fois par an 2 points

Réunions avec les entreprises d’excavation et
les sous-traitants locaux une fois par an 2 points
programmes d’éducation réguliers de la communauté 2 points
Porte à porte avec les résidents 4 points
Courriers aux sous-traitants/entreprises d’excavation 2 points
Courriers 2 points
Publicité dans les publications des sous-traitants une fois par an 1 point
Tableau 4.13 Exemple de score éducation du public

Les points seront additionnés à concurrence de 15 points.
vi. RIGHT OF WAY, ROW, conditions des terres entourant le pipeline et
dépendant de l’opérateur (5 %)
Cet item est une mesure de la possibilité de reconnaissance et d’inspection du pipeline.
Un espace ROW clairement marqué et facilement reconnu réduit la possibilité d’intrusion
des parties tierces et aide à la détection de fuites (facilité de repérages).
Un exemple de cotation pourrait être le suivant :

Excellent 5 points
Les terres entourant le pipeline et dépendant de l’opérateur (ROW) sont clairs et non
encombrées. La route y est clairement indiquée. Les signalisations et les marques sont
visibles à partir de n’importe quel point du ROW même si une signalisation est
manquante. Tout changement de direction est signalé. Les signalisation pour les
patrouilles aériennes sont présentes.
Bon 3 points
Le chemin est clair. Rien n’obstrue la vue le long du ROW. Bonne signalisation. Les
marques sont visibles à partir de n’importe quel point du ROW (si toutes les marques
sont en place).
Moyen 2 points
ROW n’est pas uniformément clair. A besoin de beaucoup plus de marques et
signalisation pour une meilleure identification des routes, rails, voies d’eau.
Médiocre 1 point
ROW est envahi par la végétation à certains endroits. Le sol n’est pas toujours visible à
partir des airs ou il n’ ya pas de ligne clair le long du ROW à partir du sol. Indiscernable
en tant que ROW de pipeline à certains endroits. Mauvaise signalisation
Faible 0 point
Indiscernable en tant que ROW de pipeline. Pas de (ou inadéquate) signalisation.
Fréquences des patrouilles
Patrouiller le long d’un pipeline est une méthode avérée de réduction d’intrusion de
parties tierces. La fréquence et l’efficacité de ces patrouilles devraient être considérées
dans l’évaluation de ce facteur.
Les patrouilles deviennent nécessaires lorsque les activités de parties tierces ne sont pas
largement signalées. Les patrouilles devront également détecter toute fuite telle nuage
de vapeur, mort inhabituelle de végétation, bulles à partir de pipelines immergés, etc.
D’un point de vue proactif, les patrouilles devraient détecter toute menace imminente qui
peut être un équipement d’excavation travaillant aux alentours, nouvelles constructions
de bâtiments, routes ou tout autre activité qui ferait que le pipeline soit exposé ou
endommagé, etc.
La formation des observateurs et l’utilisation de check-lists sont des aspects importants
de l’efficacité des patrouilles. Les observations signalées devraient inclure entre autres
les éléments suivants :
• Mouvement de sols- glissement de terrain, effondrement, instabilité de criques, de
berges, etc.
• Activité de construction aux alentours et allant vers le ROW
• Empiètements- annexes, jardins, modification de paysages, etc.
• Activités non autorisées sur le ROW- véhicules tout-terrain, motocycles, etc.
• Signalisation/marques perdues
• Preuve d’intrusion de véhicules dans le ROW (accident dans autoroute,
déraillement de train, etc.)
• Plantation d’arbres, jardins
• Modification de drainage ou de pentes par des parties tierces
Les problèmes de pente sont importants car ils sont généralement sous-estimés comme
aspect de stabilité du pipeline. Ceux-ci peuvent être détectés par une patrouille.
Un exemple de programmation est donné ci-après :
Quotidien 15 points
Quatre jours par semaine 12 points
Trois jours par semaine 10 points
Deux jours par semaine 8 points
Un jour par semaine 6 points
Moins de quatre fois par mois, plus d’une fois par mois 4 points
Moins d’une fois par mois 2 points
Jamais 0 point
Tableau 4.14 Exemple de score pour patrouilles (after Muhlbauer)

En pratique, la fréquence des patrouilles peut être déterminée en se basant sur une
analyse de données statistiques.
4.3.2. Index des dommages causés par la corrosion
a. Introduction
Le potentiel de défaillance de pipelines causé par la corrosion est peut être le plus connu
et le plus familier des dangers associés aux pipelines en acier. Nous allons examiner à
présent comment les pratiques d’analyse des phénomènes de corrosion et de la
prévention/mitigation des effets de la corrosion peuvent être incorporées dans le modèle
d’évaluation de risques
Pour parler simplement du phénomène de corrosion, les métaux manufactures e.g. ont
une tendance naturelle à retourner à leur état d’origine i.e. à leur forme minérale. Même
si cela se fait selon un processus lent, il faut toutefois injecter une certaine énergie pour
ralentir ou stopper cette désintégration.
La corrosion est un phénomène qui nous concerne dans la mesure où toute perte
d’épaisseur dans le pipeline signifie nécessairement une réduction de l’intégrité
structurale d’où une augmentation du risque de défaillance.
Les sulfates et les acides peuvent détériorer les matériaux contenant du ciment tels que
le béton, le fibrociment, etc. Certains matériaux plastiques se dégradent lorsqu’ils sont
exposés aux rayons UV. Le polyéthylène peut être vulnérable aux hydrocarbures. Le PVC
a été attaqué par des rongeurs. De même que les pipelines peuvent subir une
dégradation interne quand ils transportent un produit incompatible.
Toutes ces possibilités seront considérées dans cet index. Même si la focalisation est faite
sur les pipelines en acier, l’équipe d’évaluation peut faire le parallèle pour évaluer les
pipelines qui ne sont pas en acier de la même façon.
Comme pour tout mode de défaillance, l’évaluation du potentiel pour la corrosion suit des
étapes logiques telles celles que suivra tout spécialiste en corrosion. Il s’agit en
l’occurrence :
• Identifier les types de corrosion possibles (atmosphérique, interne, souterraine)
• Identifier la vulnérabilité du matériau du pipeline et
• Evaluer les mesures de prévention contre la corrosion.
Les mécanismes de corrosion sont parmi les mécanismes les plus complexes ayant le
potentiel de défaillance. Aussi, beaucoup d’informations sont utilisées d’une manière
efficiente pour évaluer cette menace.
Les deux facteurs qui doivent être évalués pour définir la menace corrosion sont le type
de matériau et l’environnement dans lequel il sera utilisé. L’environnement comprend les
conditions qui vont avoir un impact interne et/ou externe sur le pipeline (épaisseur).
Parce que les pipelines passent par plusieurs environnements, l’évaluation devrait
également être faite en sectionnant d’une manière appropriée ou en considérant chaque
type d’environnement pour une section donnée en prenant bien entendu le cas le plus
défavorable.
Plusieurs types d’erreurs humaines –celles-ci seront examinées plus loin- peuvent
augmenter le risque corrosion. Un choix incorrect de matériau pour l’environnement
considéré (interne et externe), mettre des matériaux incompatibles les uns à côté des
autres peut créer ou aggraver la corrosion, etc. en sont quelques unes.
En général quatre éléments sont nécessaires pour que la corrosion métallique survienne
et progresse. Il s’agit en l’occurrence de : une anode, une cathode, une connexion
électrique entre elles et un électrolyte. L’élimination de l’un ou plusieurs de ces éléments
va stopper le processus de corrosion. Les mesures de prévention sont conçues pour faire
cela.
Le parallèle peut être fait avec l’incendie. Quatre éléments sont nécessaires : le
combustible, le comburant, la source d’inflammation et la chaîne de réaction chimique
i.e. ce qui est communément appelé le tétraèdre de feu. Eliminer un ou plusieurs de ces
quatre éléments arrête l’incendie.
b. Trois types de corrosion
L’index des dommages causes par la corrosion évalue trois types de corrosion : corrosion
atmosphérique, corrosion interne et corrosion souterraine. Cela reflète trois types
d’environnement auxquels le pipeline est exposé.
La corrosion atmosphérique traite des composants du pipeline qui sont exposés à
l’atmosphère. Pour évaluer ce potentiel de corrosion, l’équipe devrait regarder les items
tels que :
• Prédisposition des installations
• Type d’atmosphère
• Revêtement/peinture, programme d’inspection
Parce que ce type de corrosion est relativement rare en tant que mécanisme de
défaillance pour la plupart des pipelines, la pondération allouée est de 10 %. Cela est dû
au mécanisme atmosphérique lent et au fait que la majorité des pipelines sont enterrés
donc ne sont pas exposés à l’atmosphère en question. Toutefois, l’équipe devra
déterminer si cette pondération est convenable pour son évaluation.
Figure 4.9 Evaluation du potentiel corrosion (after Muhlbauer)
La corrosion interne traite du potentiel de corrosion prenant sa source au sein du
pipeline. Les items d’évaluation comprennent entre autres :
• Corrosivité du produit
• Actions de prévention
La corrosion interne est pondérée à 20 % du total de risque corrosion. Cela indique
qu’elle est une menace plus significative que la corrosion atmosphérique mais elle reste
toujours un mécanisme de défaillance relativement rare pour la plupart des pipelines.
Néanmoins, des défaillances significatives ont été attribuées à la corrosion interne.
L’équipe pourrait donner une autre pondération à cette catégorie dans certaines
situations si elle l’estime nécessaire.
La corrosion souterraine des pipelines est la plus compliquée des trois catégories,
reflétant par là la complication des mécanismes sous-jacents de ce type de corrosion.
Parmi les items considérés lors de l’évaluation, il ya entre autres :
• La protection cathodique
• Les revêtements de pipelines
• La corrosivité des sols
• La présence d’autres métaux enterrés
• Le potentiel pour qu’il y ait des courants vagabonds
• Le potentiel pour la corrosion par contrainte (cracking)
• Espacement des points de mesures de potentiels
• Inspections des redresseurs
• Fréquence des lectures des mesures de potentiels
• Fréquence et type d’inspection des revêtements
• Fréquence et type d’inspection de l’épaisseur du pipeline
• Intervalles d’étude
• Utilisation d’outils d’inspection interne
La corrosion souterraine est pondérée à 70% du total du risque corrosion. Pour les
matériaux non métalliques, l’équipe d’évaluation pourrait ajuster cette valeur pour mieux
refléter les dangers réels encourus.
Il faut noter que les problèmes de corrosion sont des situations très spécifiques. Les
pondérations proposées peuvent être appliquées à beaucoup de pipelines mais pourraient
être ajustées pour d’autres.
Dans le cas des pipelines enterrés, l’inspection est communément faite par des méthodes
indirectes car les méthodes directes impliquent éventuellement une excavation,
enlèvement du revêtement, souvent nécessaires pour une inspection directe du matériau
en plus du fait que ce sont des techniques souvent très onéreuses.
Les évaluations de corrosion déduisent donc le potentiel de corrosion par l’examen du
phénomène au travers d’un certain nombre de variables pour prouver son existence. Ces
conclusions d’évaluation sont occasionnellement confirmées par des inspections directes.
Les caractéristiques qui peuvent indiquer un haut potentiel de corrosion sont souvent
difficiles à quantifier. Pour un pipeline enterré, le sol agit comme un électrolyte donc les
caractéristiques du sol sont d’une importance critique mais comprennent des items très
variables tels que l’humidité, l’aération, les bactéries, concentrations des ions, etc.
Toutes ces caractéristiques dépendent de l’endroit spécifique et du temps, ce qui rend
l’estimation difficile à faire avec précision. De même que les paramètres affectant la
corrosion atmosphérique et interne sont difficiles à estimer également.
Parce que la corrosion est souvent un phénomène très localisé et parce que les
inspections ne fournissent que des informations générales, l’incertitude est toujours très
grande. A partir de là, l’index des dommages causés par la corrosion reflète le potentiel
que la corrosion va survenir ce qui peut ou ne peut pas signifier que la corrosion est
réellement arrivée.
Alors l’index ne mesure pas directement le potentiel de défaillance du fait de la corrosion.
Cela nécessitera l’addition d’autres variables telles que l’épaisseur du pipeline et les
niveaux de contraintes.
Donc la principale focalisation de l’évaluation sera le potentiel de l’existence d’une
corrosion active. Il s’agit là d’une différence subtile avec la probabilité de défaillance par
corrosion. Le temps jusqu’à défaillance est fonction de la résistance du matériau, de
l’agressivité du mécanisme de défaillance et du temps d’exposition. La résistance du
matériau est à son tour fonction de la solidité, des dimensions et notamment de
l’épaisseur du pipeline et des niveaux de contraintes.
Dans tous les cas, il s’agit d’identifier les endroits où le mécanisme est potentiellement
plus agressif plutôt que de prédire la période durant laquelle le mécanisme va être actif
jusqu’à ce que la défaillance survienne.
c. Evaluation du potentiel corrosion
Toutes les variables considérées à ce niveau reflètent les pratiques de l’industrie en
termes de prévention /mitigation de la corrosion. La pondération variable indique
l’importance relative de chaque item en termes de contribution au risque total dû à la
corrosion. Il faut toutefois noter que les valeurs proposées peuvent être modifiées par
l’équipe d’évaluation en fonction de la situation spécifique qu’elle est en train d’évaluer.
Une approche alternative serait de commencer par identifier les niveaux de menace puis
considérer ensuite les mesures de mitigation.
i. Corrosion atmosphérique (10 %)
La corrosion atmosphérique est fondamentalement une modification chimique dans le
matériau du pipeline résultant de l’interaction avec l’atmosphère. Cette interaction
causera l’oxydation du métal.
Le potentiel d’agressivité de l’atmosphère est proposé ci-après mais l’équipe peut
éventuellement ajouter d’autres types de dégradation tels que le potentiel de
dégradation due aux rayons UV sur certains plastiques entre autres.
Exposition 5 points
Environnement 2 points
Revêtements 3 points
Forme (50 % revêtement) 1.5 points
Condition (50 % revêtement) 1.5 points
Inspection visuelle (50 % condition)
Contrôle ND (30 % condition)
Tests D (20 % condition
Tableau 4.15 Exemple de score corrosion atmosphérique (after Muhlbauer)

L’équipe d’évaluation doit d’abord déterminer le risque le plus élevé en localisant les
portions du pipeline exposées aux conditions atmosphériques les plus sévères.
L’évaluation doit être cependant le résultat des conditions les plus défavorables et des
mesures de protection les moins bonnes trouvées dans la section du pipeline.
Exposition (50 %)
Pour l’exposition e.g. les descriptions de toutes les atmosphères possibles et imaginables
pourraient être :
Interface air/eau 0 point
Casings 1 point
Isolation 2 points
Supports/crochets 2 points
Interface air/sol 3 points
Autres (e.g. lumière du soleil pour plastiques) 4 points
Aucun 5 points
Situation multiple -1 point
Tableau 4.16 Exemple de score exposition (after Muhlbauer)

L’interface air/eau, là où le pipeline est exposé à l’eau et à l’air, peut créer une situation
de corrosion résultant e.g. de l’action de vagues ou de marée. Il s’agit en fait de pile de
concentration.
Le casing (fourreau), le reniflard peut être un passage de l’atmosphère. Le pipeline est
souvent électriquement connecté au fourreau malgré les efforts faits pour empêcher cela.
Ceci survient soit grâce à un contact métallique direct ou une résistance élevée par la
présence d’eau dans le casing. Lorsque cette connexion est réalisée, il est quasiment
impossible de maîtriser la direction de la réaction électrochimique ou de savoir avec
précision ce qui se passe dans le casing. La situation la plus défavorable arrive quand le
pipeline devient une anode par rapport au casing i.e. perte de métal du pipeline et gain
d’électrons du fourreau. Même sans connexion électrique, le pipeline est sujet à la
corrosion atmosphérique particulièrement lorsque le casing se remplit d’eau et ensuite se
dessèche (interface air/eau). L’incapacité d’avoir une observation directe ou même des
techniques de déduction fiables font que ce scénario est classé dans une position élevée
dans la hiérarchie du risque.
L’isolation est connue comme étant un piège notoire de l’humidité contre le pipeline
causant l’occurrence non détectée de la corrosion.
Les supports/crochets peuvent être également le siège de piège pour l’humidité et parfois
sont une cause de perte de revêtement ou peinture. Cela arrive lorsqu’il ya mouvement
de dilatation/contraction.
Comme pour l’interface air/eau, l’interface sol/air peut causer une corrosion sévère. C’est
le point où le pipeline pénètre et sort du sol. La sévérité vient du fait encore une fois que
l’humidité est piégée contre le pipeline (créant une interface eau/air). Les mouvements
de sol, le gel, etc. peuvent également endommager la peinture du pipeline exposant le
métal à l’électrolyte.
Les cas suscités devraient couvrir l’ensemble des cas les plus défavorables d’exposition
d’un pipeline en acier à l’atmosphère. Une de ces situations doit exister pour tout
pipeline ; ou il est supporté et/ou il ya une des interfaces citées.
Un pipeline dont le matériau n’est pas l’acier peut ne pas être sujet à l’un des facteurs
d’oxydation listés ci-dessus. Un pipeline en plastique peut ne pas être affecté par l’eau ou
par l’air ou même par un contact avec un quelconque produit chimique mais peut
toutefois devenir fragile, donc plus faible, lorsqu’il est exposé à la lumière du soleil. La
lumière du soleil devrait être alors incluse dans l’évaluation de risques.
Le potentiel de corrosion atmosphérique peut être nulle dans certaines situations auquel
cas, il s’agira de donner le maximum de points en l’occurrence 5 points.
Dans le cas où plusieurs de ces situations peuvent exister à la fois, l’équipe devra retirer
un point. C’est ainsi que lorsqu’il ya plusieurs supports e.g. la valeur deviendra :
2-1 = 1 point au lieu de 2 points, ce sui serait équivalent à une section possédant un
casing.
Pour illustrer cela, voici un exemple
Une section de pipeline en acier à évaluer traverse plusieurs routes pour lesquelles des
casings en acier ont été prévus. Il ya deux stations de vannes aériennes dans cette
section. L’une d’entre elle –de hauteur approximative de 7 m- est soutenu par un support
en béton et acier. La deuxième ne possède pas de support.
En fonction du barème de pondération proposé, nous avons :
Casings 1 point
Interface air/sol 2 points
Supports 2 points
En prenant le cas le plus défavorable, nous obtenons pour cette section 1 point. Dans
tous les cas de figure, une portion de pipeline ayant un casing est traitée d’une manière
indépendante des autres portions voisines n’ayant pas de casing. Celles-ci ne seront
souvent pas sujettes à la corrosion atmosphérique.
Environnement (20 %)
Certaines caractéristiques de l’atmosphère peuvent augmenter ou accélérer la corrosion

de l’acier. Elles promeuvent le processus d’oxydation qui va être étudié ici.
Certaines de ces caractéristiques sont données sommairement ci-après :
• Composition chimique (sels, CO 2 , chlorures, SO 2 , etc.)
• Humidité
• Température, etc.
Dans ce cas, il faut voir non seulement les effets d’une caractéristique mais également la
possibilité de l’interaction entre deux ou plusieurs d’entre elles. Un climat froid et sec et
sensé minimiser la corrosion atmosphérique. Mais si aux alentours, il ya production dans
un site de produits qui peuvent être transportés par l’air, cette atmosphère peut devenir
aussi dangereuse qu’une atmosphère tropicale.
Une proposition de pondération est donnée dans le tableau ci-après. Encore une fois,
l’équipe d’évaluer peut ajuster les chiffres en fonction de la réalité sur le terrain et de
l’expérience acquise.
Chimique et marine 0 point

Chimique et humidité élevée 0.5 point
Marine, marécageuse, côtière 0.8 point
Humidité et températures élevées 1.2 points
Chimique et basse humidité 1.6 points
Humidité et température basses 2 points
Pas d’exposition 2 points
Tableau 4.17 Exemple de score pour environnement (after Muhlbauer)

L’environnement chimique et marin est considéré comme étant le plus corrosif mais la
présence d’humidité et de température élevées forment également une atmosphère
corrosive.
Il faut toutefois noter que l’équipe d’évaluation sera certainement amenée à utiliser son
jugement dans la mesure où les environnements considérés peuvent ne pas se retrouver
en pratique dans le cas à étudier. Il s’agira alors de comparer lesdits environnements.
L’exemple ci-après est donné pour illustrer cela.
Une équipe d’évaluation étudie trois environnements.
Le premier est une ligne longeant une plage ; donc la valeur à attribuer est 0.8, celle qui
correspond à l’environnement n° 3. A cause de la présence d’usines chimiques aux
alentours et parce que le vent peut transporter ces substances occasionnellement sur la
ligne, l’équipe a décidé d’ajuster la valeur 0.8 de 50 % i.e. elle devient 0.4.
Le deuxième est une ligne en acier exposée de façon saisonnière à de hautes
températures et de fortes humidités ; comme il est également fréquemment exposée à
un environnement froid et sec. La valeur que devait attribuer l’équipe est 2 pour
humidité et température basses mais elle a décidé de l’ajuster à 1.6 même s’il n’ya pas
de risque chimique.
Le dernier cas concerne une ligne souterraine dans un environnement considéré par
expérience comme peu agressif. Normalement l’équipe devait attribuer la valeur 2 mais
elle décida de l’ajuster à 1.9.
Les revêtements (30 %)
Ici il s’agit de l’analyse de mesures de prévention prises pour minimiser le risque.
La mesure de prévention la plus commune consiste en l’isolation du métal de
l’environnement agressif. Les revêtements comprennent la peinture, l’enveloppe
adhésive, paraffines et autres asphaltes spécialement conçus pour protéger contre la
corrosion. Pour les conduites aériennes, le revêtement est la mesure la plus
communément utilisée.
Comme il ne peut y avoir de revêtement sans défauts, le potentiel pour qu’il y ait
corrosion n’est en fait que réduit.
L’efficacité d’un revêtement dépend de quatre facteurs :
• Qualité du revêtement
• Qualité de l’application du revêtement
• Qualité du programme d’inspection et
• Qualité du programme de correction des défauts
Les deux premiers traitent de la capacité du revêtement à réaliser ce pourquoi il a été
choisi le long du cycle de vie du projet et les deux derniers traitent des conditions
actuelles du revêtement i.e. comment le revêtement réalise sa performance en réalité.
A chacun de ces quatre facteurs sera attribuée une valeur par rapport à une échelle de 0
à 3 i.e. bon, raisonnable, mauvais ou absent.
Bon 3
Raisonnable 2
Mauvais 1
Absent 0
Les quatre facteurs devraient être équivalents à moins que l’équipe ne décide que tel
facteur est plus important que tel autre. Un revêtement de qualité ne peut avoir une
valeur si l’application est de mauvaise qualité ; un bon programme d’inspection est
incomplet si le programme de correction des défauts est mauvais.
1) Aptitude du revêtement (50 % de l’évaluation du revêtement)
Cette évaluation se fera par rapport à la qualité et l’application du revêtement. Pour sa
qualité, il s’agira d’évaluer son adéquation pour l’application en question : ce sera bon
i.e. 3 s’il est de haute qualité et conçu pour exactement pour l’environnement en
question ; et mauvais i.e. 1 si celui-ci est en place mais n’est pas approprié à
l’environnement en question.
Concernant l’application, il s’agira d’évaluer l’application la plus récente effectuée et juger
sa qualité en termes d’attention et soin prodigués lors du pré-nettoyage, l’épaisseur du
revêtement, contrôle de la température et humidité, etc. et le processus de séchage
entre autres. Elle sera notée bonne i.e. 3 si une attention particulière a été accordée à
tous les aspects lors de son application, des systèmes de contrôle de qualité appropriés
ont été utilisés, etc. et absente i.e. 0 si l’application a été réalisée d’une manière
incorrecte, des étapes ont été omises, l’environnement non contrôlé, etc.
2) Les conditions du revêtement (50 % de l’évaluation du revêtement)
Cette partie concerne l’inspection et les actions correctives. Pour la première, il s’agira
d’évaluer le programme d’inspection par rapport à son ampleur, sa minutie et son
opportunité (est-il judicieusement programmé et exécuté ?). Ce sera bon i.e. 3 si
l’inspection est formelle, approfondie, détaillée en particuliers pour montrer l’existence de
corrosion atmosphérique. Elle est réalisée par un personnel bien formé utilisant des
check-lists à des intervalles appropriés. Elle sera raisonnable i.e. 2 si elle est informelle
mais réalisée par des personnels qualifiés d’une manière routinière. Elle sera notée
mauvaise i.e. 1 s’il ya peu d’inspection et sera considérée absente i.e. 0 s’il n’ya
aucune inspection.
Quant aux actions correctives, il s’agira de considérer cet aspect bon i.e. 3 si les défauts
du revêtement rapportés sont immédiatement enregistrés, et programmés pour la
réparation. Les réparations sont faites selon les spécifications de l’application et selon la
programmation établie. Raisonnable i.e. 2 si les défauts sont rapportés d’une manière
informelle et sont réparés selon convenance, mauvais i.e. 1 si les défauts ne sont pas
systématiquement rapportés ou réparés et absent i.e. 0 s’il ya peu ou pas d’attention
aux défauts de revêtements.
Voici un exemple pour illustrer cela :
Une section aérienne de pipeline a été inspectée une fois par trimestre par un personnel
hautement qualifié et a trouvé que le pipeline en question a été peint selon les
spécifications NACE. Des rapports concernant les défauts ont été établis 2 fois par an.
L’équipe d’évaluation a noté cette section comme suit :
Revêtement – bon 3 points
Application – bonne 3 points
Inspection – bonne 3 points
Correction des défauts – bonne 3 points
Ce qui fait une moyenne de 3 points. Il a été jugé que les rapports concernant les
défauts et leurs corrections (2 fois/an) étaient appropriés pour l’environnement
considéré.
Pour une autre section aérienne de pipeline au niveau de stations de compression. Les
retouches de peinture sont faites occasionnellement au niveau de la station par une
entreprise extérieure. Il n’ ya pas de spécifications formelles. Le contremaître
d’exploitation décide selon sa convenance les besoins en retouche basés sur sa propre
inspection. L’équipe d’évaluation a conclu ainsi :
Revêtement – raisonnable 2 points
Application – raisonnable 1.8 points
Inspection – raisonnable 2.2 points
Correction des défauts – mauvaise 1 points
Ce qui fait une moyenne de 1.75 points.
Il faut noter que l’utilisation des décimales (1.8 et 2.2) est pour faire la distinction entre
un peu au-dessus ou un peu au-dessous. Ceci est laissé à l’appréciation de l’équipe.
ii. Corrosion interne (20 %)
La corrosion interne d’un pipeline concerne la perte d’épaisseur du pipeline ou les
dommages causés par la réaction entre l’intérieur du pipeline et le produit transporté. Ce
type de corrosion est beaucoup plus le résultat de l’activité d’une impureté présente dans
le produit transporté.
L’examen de la corrosion interne va concerner l’évaluation de la corrosivité du produit -
caractéristiques du produit- (50 % de la corrosion interne) et les mesures préventives
prises pour compenser certaines caractéristiques du produit (50 % de la corrosion
interne).
La corrosivité du produit est représentée par les caractéristiques du flux (30 %) et les
conditions pour une perturbation potentielle tels que équipement, pratiques
exploitation/maintenance en cours (70 %).
Corrosivité du produit (50 % de la corrosion interne) 10 points

Perturbations potentielles (70 % de la corrosivité du produit) 7 points
Equipement 2 points
Pratiques E/M 2 points
Vitesse du fluide 4 points
Caractéristiques du flux (30 % de la corrosivité du produit) 3 points
Présence de solides 1 point
Présence d’eau 2 points
Prévention (50 % de la corrosion interne) 10 points
Tableau 4.18 Exemple de score corrosion interne (after Muhlbauer)

Pour la corrosivité du produit, les caractéristiques en sont représentées par la présence
de matières solides et/ou d’eau. En d’autres termes, pour l’eau, il est entendu par là la
présence de contaminants tels que oxygène dissous, H2S, chlorures, matières en
suspension, sulfates, carbonates, le PH, la température, la conductivité, etc. Quant aux
perturbations potentielles, elles concernent les équipements utilisés pour en lever et/ou
empêcher la présence de contaminants ainsi que leur fiabilité (filtres, déshydratants,
etc.), les pratiques i.e. les actions entreprises pour empêcher l’introduction de
contaminants, la vitesse du flux, etc.
Dans la plupart des cas, il n’ ya pas lieu d’aller à ce niveau de détails
D’une manière simplifiée la corrosivité du produit peut être présenté de la sorte :
Très corrosif 0 point
Moyennement corrosif 3 points
Corrosif seulement sous certaines conditions 7 points
Jamais corrosif 10 points
Tableau 4.19 Exemple de score corrosivité du produit (after Muhlbauer)

Très corrosif signifie qu’une corrosion rapide, qui crée des dommages importants, est
possible de survenir. Le produit qui circule dans le pipeline n’est pas compatible avec le
matériau de ce dernier.
Moyennement corrosif signifie que les dommages pour le pipeline sont possibles mais à
des vitesses relativement basses. Ne pas avoir une idée de la corrosivité du produit
transporté peut être classé dans cette catégorie.
Corrosif seulement sous certaines conditions signifie que le produit transporté est
normalement bénin mais il se peut qu’il y ait introduction de composants nuisibles. La
présence du CO2 ou d’eau salée dans le gaz naturel en est un exemple. Ces produits
contaminants sont normalement éliminés avant le transport du gaz naturel. Mais il faut
noter la probabilité de défaillance des équipements utilisés pour ce faire.
Jamais corrosif signifie qu’il n’ ya aucune possibilité raisonnable que le produit transporté
soit incompatible avec le matériau du pipeline.
Encore une fois, l’équipe d’évaluation a toute la latitude d’affecter des valeurs différentes
-e.g. intermédiaires- de celles proposées ici.
Prévention (50 % de la corrosion interne)
Il est souvent économiquement avantageux de transporter des produits corrosifs dans
des pipelines susceptibles d’être corrodés. Dans ce cas là, il s’agira il faut prendre les
mesures nécessaires pour réduire ou mitiger le dommage potentiel.
Ayant évalué le potentiel de corrosivité du produit, l’équipe d’évaluation peut examiner et
évaluer les mesures de mitigation utilisées pour atténuer le potentiel de corrosion du
pipeline.
Les points seront additionnés pour chaque action préventive jusqu’à concurrence de 10
points.
Aucune 0 point
Monitoring interne 2 points
Injection d’inhibiteur 4 points
Pas nécessaire 10 points
Revêtement interne 5 points
Mesures opérationnelles 3 points
Pigging 3 points
Tableau 4.20 Exemple de score prévention (after Muhlbauer)

Le monitoring interne peut se faire de deux manières en l’occurrence soit par une
l’insertion d’une électrode électronique qui transmet d’une façon continue les mesures
indiquant une corrosion potentielle ou par un coupon introduit qui se corrodera en
présence du produit et qui est régulièrement retiré pour être analysé.
Pour être crédible, une méthode d’inspection nécessite un programme bien défini de
monitoring et d’interprétation des données à des intervalles spécifiques. Il est clairement
sous entendu que des actions doivent être entreprises sur la base de ces analyses du
programme de monitoring.
Lorsque le mécanisme de corrosion est très bien compris, des produits chimiques
inhibiteurs de corrosion peuvent être injectés.
Un programme de pigging peut être nécessaire pour suppléer cette injection dans la
mesure où le pigging devrait conçu pour éliminer tout liquide ou colonie de bactéries qui
peuvent interférer avec l’inhibiteur.
Le revêtement interne peut être jugé avec les mêmes critères que pour la protection
contre la corrosion atmosphérique.
Dans le cas où le matériau du pipeline est compatible avec le produit transporté et qu’il
ya une possibilité d’introduction d’impuretés corrosives, des mesures opérationnelles sont
souvent utilisées pour empêcher cela. On retrouve dans ces mesures la déshydratation,
la filtration, etc. L’équipe d’évaluation devra vérifier si les conditions de design de ces
équipements sont toujours valides.
Pour illustrer cela, un exemple est donné ci-après :
Une section de pipeline en acier transportant du gaz naturel est en cours d’évaluation. Le
gaz est traité (désulfuration) et séché mais le système de traitement souvent ne
fonctionne pas correctement. Les opérateurs injectent un inhibiteur de corrosion. Il a été
trouvé récemment que l’injecteur est tombé en panne pendant une période de deux
semaines avant qu’il ne soit remis en état. Les opérateurs font circuler un pig une fois
par mois. Une électrode de corrosion fournit des données d’une manière continue sur la
vitesse de corrosion à l’intérieur de pipeline.
Le pipeline n’est exposé à une corrosion que sous des conditions de perturbations
(normalement 7 points seront alloués auxquels il faut retirer 2 points car ces conditions
peuvent exister
Résultats de l’évaluation
Corrosivité du produit 5 points

Monitoring interne 2 points
Injection d’inhibiteur 2 points
Mesures opérationnelles 2 points
Pigging 3 points
Parce qu’il ya un problème de fiabilité, des points ont été retirés à injection d’inhibiteur et
mesures opérationnelles. Le score total est de : 14 points
iii. Corrosion souterraine (70 %)
Cette partie de l’évaluation de risque concerne les pipelines métalliques enterrés ou
submergés. Si le pipeline n’est pas vulnérable à la corrosion souterraine e.g. les pipelines
en plastiques ou entièrement aériens, l’équipe d’évaluation devra utiliser les sections
précédentes de ce chapitre ou tout autre facteur pertinent.
Ce type de corrosion est le plus complexe dans la mesure où le pipeline est enterré donc
l’activité de corrosion est déduite indirectement car l’observation directe est très limitée.
Le danger le plus commun reste la corrosion galvanique.
Parce que le sol est souvent un électrolyte effectif, une cellule de corrosion galvanique
peut être établie.
Les pratiques de l’industrie reposent sur deux « défenses » à l’encontre de ce type de
corrosion.
Il s’agit en l’occurrence de l’application d’un revêtement le long du pipeline en question
pour isoler le métal de l’électrolyte. Si le revêtement est parfait, la cellule galvanique est
effectivement stoppée. Mais il est clair qu’il ne peut y avoir de revêtement parfait.
D’autre part, la seconde ligne de défense est la protection cathodique. A travers la
connexion avec d’autres métaux le pipeline devient cathode qui, selon la cellule
galvanique n’est pas sujet à la perte de métal. La théorie qui sous-tend la protection
cathodique est de s’assurer que le courant est dirigé vers le pipeline à partir d’un métal
qui, lui sera corrodé appelé anode sacrificielle. Selon la nature du sol et selon des
considérations économiques, une tension peut être imposée dans le système pour diriger
la basse tension née entre l’anode et le pipeline. Dans ce cas, on parle d’IMPRESSED
CURRENT SYSTEM, ICS. La quantité de courant nécessaire est imposée par des variables
telles que condition du revêtement, type de sol et conception de l’anode.
L’évaluation de la corrosion souterraine se fera selon trois catégories importantes. Il
s’agit en l’occurrence de : environnement souterrain, protection cathodique et
revêtement du pipeline. Le revêtement et la protection cathodique compteront pour 25 %
chacun et 20 % seront alloués pour l’environnement souterrain sur 100 % relatifs à
l’index dommages causés par la corrosion.
Environnement souterrain (20%)
Pour rappel, dans le but de visualiser la position de cette catégorie dans la hiérarchie des
de l’index des dommages causés par la corrosion, l’évaluation de risque concernant cette
variable se présente comme suit (en gras la position de l’environnement souterrain) :
Index de corrosion 100 points

Corrosion atmosphérique 10 points
Corrosion interne 20 points
Corrosion souterraine 70 points
Environnement souterrain 20 points
Corrosivité du sol 15 points
Effets mécaniques 5 points
Revêtement 25 points
Protection cathodique 25 points
Tableau 4.21 Exemple de score environnement souterrain (after Muhlbauer)

Il est recommandé de traiter la corrosivité du sol comme l’aspect le plus important de
cette catégorie et voir ensuite les effets mécaniques de la corrosion tels que corrosion
cracking, sous tension, fatigue, érosion, etc.
1) Corrosivité du sol (15 %)
Parce qu’un revêtement ne peut être considéré comme une barrière parfaite, le sol peut
être à certains points en contact avec le pipeline.
La corrosivité du sol est souvent une mesure qualitative de la possibilité que ce dernier
agisse comme un électrolyte pour promouvoir une corrosion galvanique. Il s’agit
également de considérer l’activité bactérienne et la présence d’autres substances
capables d’augmenter la corrosion. La résistivité ou la conductivité du sol sont des
mesures les plus généralement utilisées de la corrosivité du sol. Ces valeurs sont
fonctions de l’humidité, porosité, température, concentrations en ions, type de sol, etc.
Certaines de ces caractéristiques sont variables selon les saisons (températures, pluies,
etc.).
La plus simple des évaluations utilise la résistivité du sol en allouant une valeur relative
i.e. haut, moyen et bas (voir exemple du tableau ci-après).
Tableau 4.22 Exemple de score résistivité du sol (after Muhlbauer)
Cela peut être combiné aux autres facteurs en l’occurrence PH, activité bactérienne
(MICROBIALLY INDUCED CORROSION, MIC), humidité du sol, corrosivité de l’acier.
Le score de la corrosivité du sol serait alors la somme des scores de tous les facteurs
suscités.
Facteur relatif au sol Pondération relative (%)
Résistivité du sol 30
PH 25
Humidité du sol 25
MIC 15
Corrosivité de l’acier 5
Tableau 4.23 Exemple de score corrosivité du sol (after Muhlbauer)

2) Effets mécaniques (5 %)
Cette variable du risque implique le potentiel pour des dommages comprenant entre
autres le cracking du à l’hydrogène, aux sulfures, la fatigue, l’érosion, etc.
La corrosion sous contrainte peut survenir sous certaines combinaisons de contrainte
physiques et de corrosion. Trois conditions doivent être réunies : contrainte de tension
ou de traction, un pipeline sensible (prédisposé) et un environnement aidant à la surface
du pipeline. Généralement une défaillance du revêtement et de la protection cathodique
doivent exister pour la corrosion sous contrainte soit amorcée.
Ce type de corrosion apparait également pour les pipelines en plastiques. Il est
difficilement détectable et les défaillances sont imprévisibles. L’historique des défaillances
permet de dire que si ce type a été vécu cela implique l’évidence d’un potentiel pour une
probable corrosion sous contrainte.
Pour l’évaluation de cette variable, les critères relatifs à la contrainte de tension,
l’environnement, le matériau et l’historique des données.
Pour la contrainte de tension, plus la contrainte est élevée plus élevé est le potentiel pour
le cracking de même que des fluctuations dans les niveaux de contrainte dans la mesure
où ces fluctuations mènent vers la fatigue du matériau donc peuvent augmenter la
croissance du cracking. Parce que la pression interne est le plus grand contributeur de
contrainte, les pipelines qui travaillent à haute pression sont le plus à même de subir un
cracking.
Une valeur élevée de PH proche du pipeline peut être un facteur contributif de
l’occurrence de cracking. Cette situation peut provenir du sol lui-même, du produit ou
même du revêtement. Les chlorures, CO2, H2S et les hautes températures sont les
facteurs qui contribuent le plus. De même que la présence de certaines bactéries vont
augmenter le risque.
Le type de matériau utilisé est également important. Un haut taux de carbone (> 0.28
%) augmente la probabilité de corrosion sous contrainte.
Ces facteurs contribuant à l’occurrence de la corrosion sous contrainte sont considérés
lors de l’évaluation de la variable effets mécaniques. En particuliers, si la contrainte est
basse et l’environnement bénin, il ya là la meilleure condition. Par contre s’il ya un haut
niveau de stress dans un environnement corrosif, nous aurons le cas le plus dangereux.
Si l’historique des données montre des cas de corrosion sous contrainte ce facteur
recevra la valeur 0 point.
La protection cathodique (25 %)
Index de corrosion 100 points

Corrosion atmosphérique 10 points
Corrosion interne 20 points
Corrosion souterraine 70 points
Environnement souterrain 20 points
Protection cathodique 25 points
Efficacité 15 points
Interférences potentielles 10 points
Tableau 4.22 Exemple de score protection cathodique (after Muhlbauer)

La variable protection cathodique est représentée en gras dans le tableau ci-avant.
La protection cathodique est l’application d’un courant électrique à un métal dans
l’optique de compenser la force électromotrice naturelle. Les réactions chimiques se
déroulent au niveau de l’anode et de la cathode lorsque la corrosion survient et des ions
sont formés.
L’efficacité de la protection cathodique est jugée par l’existence d’un système qui répond
aux critères suivants :
• Une force électromotrice suffisante est fournie pour annuler tout potentiel de
corrosion
• Suffisamment d’évidences sont rassemblées à des intervalles de temps appropriés
pour s’assurer que le système fonctionne correctement.
Pour l’évaluation du potentiel d’interférence, les points sont alloués en fonction des trois
sources d’interférence que sont le courant alternatif, le courant continu et le blocage des
courants de protection et les mesures prises pour atténuer ces interférences.
1) Efficacité de la protection cathodique (15 %)
Pour s’assurer de l’efficacité de la protection cathodique, l’équipe d’évaluation devrait
regarder les enregistrements de données relatives à la protection cathodique depuis le
design. Est-ce que les paramètres de design étaient appropriés ? Quelle était la durée de
vie projetée du système ? Est-ce le système fonctionne comme prévu ?
Ensuite l’équipe devrait inspecter les enregistrements les plus récents. Le niveau de
l’anode pourrait être très bas, les conditions peuvent changer, un mauvais
fonctionnement de l’équipement est noté, etc. Est-ce que l’opérateur peut se rendre
compte de l’existence de ces problèmes en temps voulu ? Le mauvais fonctionnement
des redresseurs ou parfois même l’inversion de ses connexions électriques doit être
également examiné et idéalement devrait être trouvé rapidement.
La présence de courants de protection appropriés est normalement déterminée e.g. par
la mesure de la différence de potentiel entre le pipeline et l’électrolyte. C’est ainsi qu’une
valeur de différence de potentiel métal-sol d’au moins -0.85 volts, mesurée par une
électrode de référence Cu/CuSO4 est un critère indiquant une protection adéquate.
Un autre critère que certains spécialistes en corrosion estiment comme étant le plus
concluant est le changement minimum de tension de la polarisation négative de 100
millivolts. Il s’agit de la valeur de changement de tension entre le pipeline polarisé (après
que le courant ait été appliqué pour un certain temps) et le pipeline enterré sans courant
de protection appliqué, i.e. l’état négatif. Malheureusement, c’est un critère difficile à
obtenir car excessivement cher à réaliser nécessitant une étude de polarisation dans
laquelle le pipeline est dépolarisé pendant des heures ou des jours et des mesures
comparatives pipeline-sol sont menées.
Des courants de protection cathodique excessifs peuvent être également un critère
approprié dans la mesure où cela peut causer le décollement du revêtement.
Un des aspects les plus adéquats de la protection devrait être la maintenance des
équipements associés à la protection cathodique i.e. les redresseurs, les connexions, etc.
Les redresseurs e.g. ne devraient pas être hors service. Pour ce faire des inspections
devraient être faites à des intervalles courts i.e. mensuellement ou bimensuellement.
Une des méthodes principales de mesure de l’efficacité d’une protection cathodique est la
mesure du potentiel pipeline-sol à des endroits fixes. Le placement d’instruments et
connexions à des endroits où il risque d’y avoir des interférences est extrêmement
important.
Des inspections et études sont faites pour vérifier si les critères de l’efficacité de la
protection cathodique sont satisfaits. Cela comprend entre autres vérifier comment les
lectures de potentiel pipeline-sol sont faites, où elles sont faites, etc.
Une proposition de score serait alors comme suit :
Bon Un monitoring est fait pour tout métal enterré au voisinage du pipeline
directement par des mesures de potentiel dont les espacements ne
dépassent pas un km le long de la section considérée.
Raisonnable Les mesures de potentiel sont espacées de 1 à 2 km (maximum) et un
monitoring est fait pour toutes les intersections avec des pipelines
étrangers par des mesures de potentiel ; les mesures ne sont pas faites
pour tous les casings ; il se peut qu’il y ait d’autres métaux enterrés non
contrôlés
Mauvais Les mesures de potentiel sont parfois espacées à plus de 2 km. Le
monitoring n’est pas fait pour toutes les sources d’interférence
La fréquence de lecture des mesures de potentiel peut être notée comme suit :
Bonne > 6 mois
Raisonnable 6 mois- 1 an
Mauvaise > 1 an
Un outil puissant est utilisé par les ingénieurs corrosion appelé CLOSE INTERVAL
SURVEYING, CIS. Dans cette technique, les mesures de potentiel sont faites chaque 0.5
m à 40 m tout le long pipeline en tenant compte parfaitement de la compensation. De
cette façon, pratiquement toutes les inadéquations sont détectées de même que des
informations sur l’efficacité du revêtement.
Tout accessoire, fixation aériens du pipeline y compris vannes, mesures de potentiel,
reniflards peuvent être connectés à un voltmètre et l’autre sortie du voltmètre est reliée
à l’électrode de référence utilisée pour réaliser les connexions électriques à la surface du
sol pendant que l’opérateur marche le long du pipeline. La figure ci-après en donne un
aperçu. Plusieurs CIS existent y compris celle où les inspections sont interrompues avec
des distances variées entre les lectures.
Figure 4.10 CIS pipe-to-soil (after Muhlbauer)
Idéalement, le profil pipeline-sol de lectures de potentiels va indiquer toutes les zones
d’interférences avec d’autres pipelines, casings, etc. les zones où la protection
cathodique est inadéquate et où le revêtement est mauvais. Si le besoin s’en fait sentir,
les lectures peuvent être vérifiées en faisant une excavation. Une CIS est répétée
périodiquement pour identifier tout changement de la protection cathodique le long de
l’itinéraire du pipeline.
Il s’agit en fait d’une technique proactive pour détecter tout problème potentiel avant
qu’un dommage appréciable n’est fait au pipeline.
L’évaluation de l’efficacité de la protection cathodique devrait comprendre la quantité
d’information disponible fournie par les différentes inspections (types et fréquences).
Une CIS polarisée vaudra le maximum de points dans la mesure où elle garantit une
réduction de l’incertitude et elle comprend également toutes les autres technique
d’inspection (lecture interrompue et directe). Elle sera notée 15 points (100 %) si en plus
elle est récente et n’a trouvé aucune inadéquation de la protection cathodique.
D’autres inspections CIS seront notées d’une moindre valeur (voir le tableau donné ci-
après pour une proposition de score pour l’efficacité de la protection cathodique.
Tableau 4.23 Exemple de score détaillé efficacité PC (after Muhlbauer)
Chaque fois qu’une lecture pipeline-sol ne satisfait pas les critères minimums alors
l’efficacité de la protection cathodique est jugée inadéquate et sera notée 0 point.
L’équipe d’évaluation a trois options dans ce cas de figure proposé. Dans une première
option, chaque mesure de potentiel représentera une distance de 1.5 m de part et
d’autre de l’endroit où se fera la lecture. Cela signifie que des petites portions de pipeline
vont être notées 20, 30 ou 55 % de l’efficacité de la protection cathodique (cela dépend
du type d’inspection effectuée) chaque fois que les lectures montrent une adéquation des
niveaux de protection cathodique. Toutes les autres portions entre les endroits où les
lectures ont été faites seront pénalisées – 0 point- car il n’ya aucune information
concernant le potentiel pipeline-sol.
Pour illustrer cela, s’il s’agit d’une inspection annuelle avec application de courant où
toutes les lectures ont montré une adéquation de la protection cathodique, l’évaluation
de risque devra indiquer :
15 points (100 % pour l’efficacité de la protection cathodique) X 30 % i.e.
15 points X 30 % = 4.5 points
Dans la deuxième option, la mesure de potentiel pour des intervalles plus importants
n’aura pas la même valeur que l’option CIS où les lectures se font à des endroits très
rapprochés. La note sera dans ce cas là 1 % mais pour toutes les portions du pipeline
quelque soit l’endroit où la lecture sera faite i.e. 15 points X 1 % = 0.15 points partout.
Dans la troisième option, il ya lieu d’ajuster en fonction des distances (voir tableau ci-
avant). Un exemple pour illustrer cela :
15 points X 10 % X ajustement i.e. 15 points X 10 % X 100% = 1.5 points pour des
lectures dans des endroits distants d’un maximum de 1 km (ou 1 mile selon le tableau).
2) Interférences potentielles (10 %)
La corrosion est un processus électrochimique et les méthodes de prévention sont
conçues pour interrompre ce processus souvent par des méthodes électriques telles que
la protection cathodique. Cependant, ces méthodes de prévention sont elles-mêmes
susceptibles d’être mise en échec par d’autres effets électriques i.e. des interférences dus
à des courants alternatifs, continus ou des blocages des courants de protection.
Le score des interférences dues à des courants alternatifs représentent 20 % du total des
interférences i.e. 20 % des 10 points maximums affectés à cette variable.
Ce problème peut provenir d’installations voisines du pipeline ayant e.g. des défauts dans
la mise à la terre. Cela peut être dangereux non seulement pour le pipeline mais
également pour les gens qui peuvent être en contact direct avec le pipeline chargé ainsi.
Même pour un pipeline ayant une protection cathodique la menace existe.
La vitesse de corrosion selon Gummow semble directement liée à la densité du courant
alternatif telle que la corrosion survient à des densités de 100 A/m2 et qu’elle peut
apparaître à des densités supérieures à 20 A/m2.
Les facteurs clés pour évaluer les effets du courant alternatif seront les caractéristiques
du courant et la distance (éloignement) et la configuration du pipeline.
Le maximum de point sera alloué à pas de source de courant alternatif à plus de 300 m.
La moitié (1 point) pour l’existence d’une source aux alentours mais des mesures de
prévention sont en place pour la protection du pipeline et 0 point pour cette même
situation mais ans les mesures de prévention.
Il faut toutefois noter que des effets d’interférences significatifs sont signalés à plus de 2
km dans un sol d’une grande résistivité.
Le tableau ci-après montre une décomposition possible en plusieurs items des
interférences potentielles dues au courant alternatif.
Tableau 4.24 Exemple de variables pour évaluer le potentiel d’interférence courant

alternatif (after Muhlbauer)
Le blocage des courants de protection représente quant à lui 10 % du total des
interférences i.e. 10 % des 10 points.
Le blocage est fait e.g. par des casings (fourreaux) pour les pipelines ayant un
revêtement. D’autres exemples sont entre autres certains sols ou types de roches,
structures enterrées (conduits souterrains, fondations, murs, etc.). Toute structure
proche (< 0.5 m) du pipeline devrait alerter l’équipe d’évaluation du danger potentiel.
Les interférences potentielles dues au courant continu représentent 70 % du score total
des interférences potentielles i.e. 70 % des 10 points.
La présence d’autres métaux enterrés au voisinage du pipeline peut interférer et doit être
une préoccupation pour la prévention de la corrosion. Ceux-ci peuvent en effet court-
circuiter ou interférer avec le système de protection cathodique du pipeline. En l’absence
de protection cathodique, cela peut constituer une cellule galvanique avec le pipeline
causant ou aggravant la corrosion. La situation la plus critique intervient lorsqu’un
contact électrique est fait entre le pipeline et l’autre métal. Le système ferroviaire
électrique en est un bon exemple. Si l’autre système est plus électronégatif, le pipeline
deviendra anode et peut subir une corrosion accélérée.
La question clé encore une fois est la distance de ces sources par rapport au pipeline. Le
tableau ci-après donne un aperçu sur les divers scores qui peuvent être alloués sans
perdre de vue que l’équipe d’évaluation, encore une fois, est maîtresse de la situation
quant aux divers ajustements à réaliser.
Tableau 4.25 Exemple de variables pour évaluer le potentiel d’interférence courant

continu (after Muhlbauer)
Les revêtements (25 %)
Le revêtement des pipelines métalliques est l’une des deux méthodes de défense contre
la corrosion souterraine. Un revêtement doit être capable de résister à une certaine
contrainte mécanique (sols, roches, mouvements, changement de température, etc.).
Le revêtement est continuellement exposé à l’humidité du sol et à toute substance
dangereuse contenue dans le sol. De plus, il doit accomplir ce pourquoi il a été mis i.e.
isoler l’acier de l’électrolyte. Pour ce faire, il doit être résistant au passage de courant
électrique et d’eau. Comme sa durée de vie doit être grande, il doit également résister au
vieillissement.
Il faut toutefois se rappeler que l’une des principales raisons de l’utilisation de la
protection cathodique est le fait que les revêtements ne sont pas sans défauts. Elle est
conçue donc pour compenser les défauts des revêtements. Une façon de connaître les
conditions du revêtement est de mesurer le besoin en protection cathodique. En d’autres
termes, un revêtement avec des défauts nécessite donc plus de protection cathodique.
Cette dernière étant mesurée à l’aide de la quantité de courant consommée car une
tension est appliquée pour annuler les effets de corrosion et que la quantité de courant
générée pour maintenir cette tension est un indicateur de protection cathodique, il suffit
de connaître ces chiffres pour estimer les conditions du revêtement.
Ce qui a été dit en tout début pour les revêtements reste valable. Comme il ne peut y
avoir de revêtement sans défauts, le potentiel pour qu’il y ait corrosion n’est en fait que
réduit.
L’efficacité d’un revêtement dépend de quatre facteurs :
• Qualité du revêtement
• Qualité de l’application du revêtement
• Qualité du programme d’inspection et
• Qualité du programme de correction des défauts
Les deux premiers traitent de la capacité du revêtement de réaliser ce pourquoi il a été
choisi le long du cycle de vie du projet et les deux derniers traitent des conditions
actuelles du revêtement i.e. comment le revêtement réalise sa performance en réalité.
A chacun de ces quatre facteurs sera attribuée une valeur par rapport à une échelle de 0
à 3 i.e. bon, raisonnable, mauvais ou absent.
Les deux premiers traitent de la capacité du revêtement de réaliser ce pourquoi il a été
choisi le long du cycle de vie du projet (50 % du score total du revêtement) et les deux
derniers traitent des conditions actuelles du revêtement i.e. comment le revêtement
réalise sa performance en réalité (50 % du score total du revêtement).
A chacun de ces quatre facteurs sera attribuée une valeur par rapport à une échelle :
bon, raisonnable, mauvais ou absent.
Pour la qualité du revêtement, l’équipe devrait évaluer sa résistance à toute contrainte
i.e. mouvements de sols, attaques chimique ou humidité, gradients de température,
gravité, etc.
Quant à l’application, il s’agira d’évaluer la plus récente application et juger sa qualité en
termes d’attention apportée à toutes les étapes ainsi qu’aux conditions de l’application
(température, humidité, poussières, etc.).
Concernant les conditions du revêtement i.e. programme d’inspection et correction de
défauts, il s’agira d’évaluer si ceux-ci sont approfondis et réalisés en temps voulu.
En plus de ce qui a été dit précédemment concernant les inspections, en plus des
inspections visuelles directes, il s’agira d’inclure lors de l’évaluation les techniques
indirectes telles que la mesure de l’exigence d’une protection cathodique (voir ci-avant),
l’impression d’un signal radio ou électrique sur le pipeline et mesurer ensuite tout le long
à des points précis l’intensité du signal. Ce signal devrait décroître en intensité à partir de
la source d’émission d’une façon linéaire. Si des pics ou des changements apparaissent
cela indique une zone de revêtement non uniforme ou peut être de dommage. Cette
technique s’appelle HOLIDAY DETECTION SURVEY, HSD.
Lors de l’évaluation de cette variable i.e. inspection rajouter les méthodes indirectes
d’inspection. En l’occurrence nous aurons :
Bon Une inspection formelle, complète est réalisée spécifiquement pour montrer
une détérioration du revêtement. Les inspections sont faites par des
personnels formés, à des intervalles appropriés (selon le potentiel local de
corrosion). Utilisation totale des opportunités d’inspections visuelles en plus
d’une, de deux ou plusieurs techniques indirectes sont utilisées.
Raisonnable Les inspections sont informelles mais elles sont réalisées d’une façon
routinière par des personnels qualifiés. Peut être qu’une méthode indirecte
est utilisée mais peut être pas à son plein potentiel.
Mauvais Peu d’inspections sont faites. On compte plus sur la chance montrant un
problème dans une zone. Une inspection visuelle est faite là où
l’opportunité se présente.
Absent Pas d’inspection
Si des mesures précises du courant de protection cathodique existent, alors l’appréciation
donnée dans le tableau ci-après peut être utilisée.
Tableau 4.26 Mesures de conditions de revêtement (after Muhlbauer)

Une approche plus détaillée serait d’évaluer les conditions du revêtement en utilisant les
résultats d’inspections directement. Les ajustements devraient tenir compte de la date
d’inspection.
Un exemple pour illustrer cela.
Un pipeline transportant du pétrole, enterré dans un sol sec, sablonneux est protégé
cathodiquement avec une anode sacrificielle attachée à la ligne tous les 150 m. Une
mesure de potentiel pipeline-sol est effectuée deux fois par an tout le long de la section
pour s’assurer que la protection cathodique reste adéquate. Les enregistrements font
état que la ligne a été revêtue 22 ans auparavant. Un inspecteur en a supervisé
l’application. Le potentiel pipeline-sol n’a pas changé entre temps.
L’équipe d’évaluation a alloué les scores suivants :
Qualité du revêtement Bon 20 %
Qualité de l’application du revêtement Bon 20 %
Qualité du programme d’inspection Raisonnable 10 %
Qualité du programme de correction des défauts Raisonnable 10 %
Ce qui représente 60 % du score maximum de cette catégorie i.e.
25 points X 60 % = 15 points
Des ajustements ont été faits. Le type de revêtement a été considéré comme ayant de
bons enregistrements. La mesure de potentiel donne une bonne indication sur les
conditions du revêtement. S’il y avait eu des inspections directes, le score maximum
aurait été acquis. Plus d’évidence aurait permis d’avoir le score maximum partout.
Conclusion
Il faut noter enfin que les ajustements aux scores alloués sont généralement appropriés.
De même que les résultats acquis à partir d’inspection en ligne (IN-LIGNE INSPECTION,
ILI) ou autres types d’inspections peuvent détecter des dommages. Lorsqu’il ya un
dommage réel que l’évaluation de risque n’a pas indiqué, un conflit peut exister. Dans
certains cas il est difficile de savoir où se trouvent les incohérences avant qu’une
investigation minutieuse n’ait été faite. Ce conflit peut provenir d’optimisme exagéré
quant à l’efficacité des mesures de mitigation (revêtement, protection cathodique, etc.)
ou une sous-estimation de l’environnement, etc.
Il est de ce fait plus intéressant d’utiliser préférentiellement les résultats d’évidences
directes récentes plutôt que des hypothèses anciennes (voir le tableau ci-après)
Tableau 4.27 Limitations des scores de corrosion suite aux inspections (after Mulhbauer)
4.3.3. Index des dommages causés par le design
a. Introduction
La probabilité d’une défaillance de pipeline est évaluée dans ce modèle à travers quatre
mécanismes de défaillance. Dans trois d’entre eux, en l’occurrence travaux tiers,
corrosion et opérations incorrectes, l’évaluation se focalise sur la probabilité qu’un
mécanisme de défaillance est actif. Concernant le quatrième mécanisme, l’évaluation
traite non seulement le potentiel d’occurrence d’une défaillance active mais également de
la capacité d’un pipeline à résister à des mécanismes de défaillance. Cette résistance à la
défaillance (facteur sécurité, vérifications de l’intégrité), va jouer un rôle important dans
le calcul du risque lorsqu’il faut considérer le temps jusqu’à défaillance.
Un élément significatif dans le risque est la relation entre comment un pipeline a été
originellement conçu et comment il est exploité présentement i.e. sa marge de sécurité.
Tous les designs sont basés sur des calculs qui doivent, pour des raisons pratiques,
incorporer des hypothèses. Celles-ci traitent la variable contrainte du matériau,
contraintes anticipées le long du cycle de vie du pipeline.
Une évaluation devrait incorporer toutes les informations connues et traiter celles qui ne
le sont pas d’une façon cohérente.
Le design est utilisé comme index dans ce modèle car la majorité, sinon toutes, les
variables traitent directement des questions relatives au design. Elles traitent toutes de
l’intégrité structurale par rapport aux différentes charges internes, externes, dépendant
du temps et aléatoires.
b. Les variables de risque et les différents scores
L’index des dommages dus au design est le complexe de tous lors de l’évaluation du
risque. Si dans l’équipe d’évaluation des risques il ya des spécialistes en design le travail
n’en sera que facilité. Toutefois, en émettant des hypothèses prudentes et cohérentes,
même sans la présence d’experts, un travail crédible peut être réalisé.
Là où des calculs de design existent déjà, peu de calculs additionnels sont requis.
Le modèle ci-après décrit l’évaluation des risques relative au design. D’abord toutes les
variables sont reprises ensemble puis chacune séparément.
Cinq variables seront traitées. Il s’agit du facteur sécurité, fatigue, le potentiel pour des
coups de bélier, les vérifications d’intégrité et les mouvements de sol.
Variables de risque relatives au design
Facteur de sécurité 0-35 points 35 %
Fatigue 0-15 points 15 %
Potentiel pour coups de bélier 0-10 points 10 %
Vérifications d’intégrité 0-25 points 25 %
Mouvements de terrain 0-15 points 15 %
------------- --------
0-100 points 100 %
Tableau 4.28 Exemple de score dommages causés par le design (after Muhlbauer)
Un exemple de données nécessaires à chacune des variables pour évaluer chacun des
scores est donné dans la figure ci-après.
Figure 4.11 Exemple de données utilisées pour cet index (after Muhlbauer)
i. Le facteur sécurité (35 %)
Cette partie traite en fait de la résistance globale du matériau du pipeline (section du
pipeline) et des niveaux de contraintes auxquelles il est soumis. Cela comprend une
évaluation des charges, contraintes et autres composants de la résistance. Tous points
faibles connus ou prévisibles du fait de dommages déjà subis ou suspectés (problèmes
liés à la fabrication) doivent être pris en considération. En réalité, il s’agit du calcul d’un
facteur de sécurité ou plus exactement de la marge de sécurité en comparant ce que le
pipeline peut faire (design) et ce qu’il lui est demandé de faire (opération/exploitation).
Le processus d’évaluation implique une évaluation des charges i.e. pression interne
(pression maximum de travail MAXIMUM OPERATING PRESSURE, MOP), charges
externes, charges spéciales. De même qu’il évalue également la résistance aux charges
i.e. l’épaisseur du pipeline, la résistance de ses matériaux, etc.
La procédure recommandée est de calculer l’épaisseur requise du pipeline et la comparer
ensuite à la valeur réelle (voir figure ci-après) ajustée par toute information disponible
sur l’intégrité du pipeline.
La comparaison entre l’épaisseur réelle et l’épaisseur requise est faite facilement en
utilisant un ratio entre les deux nombres. L’utilisation d’un ratio fournit une échelle
numérique à partir de laquelle des points peuvent être assignés. Si le ratio est inférieur à
1, le pipeline ne satisfait pas les critères design i.e. il ya moins d’épaisseur réelle que
d’épaisseur requise par le design. Un ratio de 1.1 signifie qu’il ya plus 10 % de même
qu’un ratio de 1.25 signifie qu’il ya 25 % de plus de matière.
L’épaisseur réelle du pipeline devrait tenir compte de tous les points faibles (voir variable
vérification de l’intégrité). Cela peut se faire entre autres par des calculs détaillés des
contraintes auxquels le pipeline est soumis.
Figure 4.12 Coupe de pipeline illustrant le facteur sécurité (after Muhlbauer)

Lorsque tous les problèmes ont été considérés, une formule simple permet d’allouer les
points basée sur combien d’épaisseur en plus reste-t-il (ou utiliser le tableau ci-après).
Cette formule se présente comme suit :
(t-1) X 35 = nombre points
Les problèmes dont il est question ici sont les problèmes donnés dans la figure XXX ci-
avant en l’occurrence charges, pression maximum de travail (MAXIMUM OPERATING
PRESSURE, MOP), mouvements de sol, problèmes durant la phase construction,
dommages durant les opérations, etc.
1) Exemples de calculs du facteur de sécurité
Exemple 1
Un pipeline en acier transportant un hydrocarbure à travers champs est évalué. Les
calculs originaux (design) sont disponibles. L’équipe d’évaluation a estimé qu’il n’ya pas
de conditions extraordinaires le long du segment étudié.
L’équipe a utilisé les informations du design pour déterminer l’épaisseur requise du
pipeline. Une MOP de 2000 psig utilisant un acier pour une contrainte maximum permise
de 35 000 psi a nécessité une épaisseur de 0.60 " pour le diamètre en question. Les
calculs des charges externes ont montré la nécessité d’une surépaisseur de 0.08 " pour
anticiper les contraintes supplémentaires. Les problèmes de coups de bélier,
températures extrêmes et autres charges ont été jugés improbables.
L’épaisseur totale requise devient alors 0.60 + 0.08 = 0.68 ".
L’épaisseur nominale du pipeline installé est de 0.88". Les tolérances de fabrication
permettent que cette valeur soit 0.79 ". Aucune documentation relative aux mesures
d’épaisseur n’indique que cette épaisseur est plus grande que cette valeur. De plus, une
vérification récente d’intégrité n’a montré aucun défaut. L’équipe a donc utilisé cette
valeur comme étant l’épaisseur réelle du pipeline.
Le ratio est donc : 0.79 ÷ 0.68 = 1.16 (16 % de protection additionnelle contre les
dommages externes et la corrosion).
En appliquant la formulé ci-avant, le score attribué sera :
(1.16-1) X 35 = 5.6 points
Exemple 2
Une section de pipeline transportant un hydrocarbure liquide à travers champs est
évaluée. Dans ce cas, les calculs originaux ne sont pas disponibles. Il s’agit d’une ligne
de 35 ans d’âge, exposée à des charges externes variables.
L’équipe d’évaluation a procédé ainsi :
• Du fait de l’âge du pipeline et en l’absence de document originaux, l’équipe a
utilisé les résultats des tests de pression hydrostatiques les plus récents pour
déterminer la contrainte maximum admissible pour le matériau du pipeline en
question. En utilisant le test de pression de 2200 psig, le niveau de contrainte a
été trouvé égal à 27 000 psi. Donc l’équipe était assurée que le pipeline peut
résister à un niveau de contrainte de 27 000 psi. La MOP de la ligne est de 1400
psig. En utilisant cette valeur et celle du niveau de contrainte, l’épaisseur requise
(pour la pression interne seulement) a été calculée. Celle-ci a été trouvée égale à
0.38 ".
• En utilisant certains calculs et l’opinion d’experts du département design, l’équipe
a estimé que 10 % additionnelles pour l’épaisseur devraient être ajoutés pour
avoir de meilleures conditions relatives aux charges externes. Il s’agit donc d’une
surépaisseur de 0.04 ". l’équipe a estimé nécessaire de rajouter 5 % pour les
exigences de la pression interne seule (ce qui fait un total de 15 %) pour les cas
où la ligne traverse des routes. Ces derniers ajouts comptent pour les charges
dues à la fatigue de tous types quelque soit la profondeur, le type de sol, le design
des routes, le trafic routier, etc. En d’autres termes, 15 % de surépaisseur au-
dessus de celle requise par la pression interne seulement pour prendre en compte
le cas le plus défavorable. Il s’agit donc d’une surépaisseur de 0.06 "
• Les coups de bélier peuvent produire une surpression jusqu’à 100 psig. Cela peut
mener à des pressions internes aussi élevées que 1500 psig i.e. 100 psig au-
dessus de la valeur MOP. Cette pression additionnelle nécessite une surépaisseur
de 0.02 ".
• L’épaisseur minimum requise serait alors 0.38 + 0.06 + 0.02 = 0.46 " pour toutes
les sections traversant les routes et 0.38 + 0.04 + 0.02 = 0.44 " pour les autres
• L’équipe détermine ensuite l’épaisseur réelle du pipeline. Les enregistrements
montrent que l’épaisseur nominale du pipeline lors de l’achat était de 0.65 ".
Lorsque la tolérance de fabrication est soustraite, l’épaisseur devient 0.58 ". Le
personnel a mentionné que les vérifications ont révélé une épaisseur de 0.55 ". de
plus, s’agissant d’un pipeline âgé, la technique de soudage utilisée (soudage à la
résistance électrique basse fréquence, ERW) peut créer des défaillances. Ce qui
justifie une hypothèse conservative quant à la résistance du pipeline du fait qu’il
n’ ya pas eu de vérification d’intégrité réalisée récemment. Un déclassement
arbitraire de 12 % de la résistance du pipeline a été appliqué et une épaisseur de
0.48 " a été prise comme épaisseur réelle effective du pipeline.
• Les ratios calculés seraient alors 0.48 ÷ 0.4 = 1.04 et 0.48 ÷ pour les deux types
de sections de pipeline. Ces ratios donnent des scores de 1.4 et 3.2 points
respectivement. En appliquant le cas le plus défavorable, l’équipe devrait noter
cette section 1.4 points
2) Approche alternative
Une approche alternative consiste à rajouter la variable diamètre du pipeline pour
considérer davantage la résistance structurale. La résistance du pipeline sur le plan
charges externes est relative à l’épaisseur et au diamètre du pipeline en question. En
général, les pipelines ayant des diamètres et épaisseurs larges possèdent des capacités
de supporter des charges plus élevées et devraient être plus résistants aux charges
externes. Une épaisseur plus faible et un petit diamètre vont augmenter logiquement la
prédisposition aux dommages éventuels.
Kiefner, J. F., “A Risk Management Tool for Establishing Budget Priorities,” presented at
the Risk Assessment/ Management of Regulated Pipelines Conference, a NACE TechEdge
Series Program, Houston, TX, February lGI2, 1997.
Certains (KIEFNER) utilisent la variable D/e (diamètre/épaisseur). Plus cette variable est
élevée, le niveau des contraintes augmente, augmentant par là la défaillance potentielle
et le risque.
Une autre mesure où la probabilité de défaillance est estimée proportionnelle à
(1/e2+12/D). Plus ce nombre est élevé, plus le risque relatif de défaillance du fait de
forces externes augmente.
Les résultats de chacune des deux approches peuvent être convertis en score tel que le
ratio proposé précédemment.
3) Composants autres que pipelines
Chaque fois que des composants autres que pipelines font partie intégrante de la section
évaluée, l’équipe devrait les inclure dans l’évaluation en question. Et dans le cas où un de
ces composants est le maillon faible de l’évaluation son score serait alors attribué à la
section étudiée (cas le plus défavorable). Ces composants comprennent entre autres
brides, vannes, connexions, filtres, pompes, réservoirs, etc.
Chacun de ces composants possède une MOP. Celle-ci est donnée par le constructeur ou
par les calculs.
Par exemple, la pression de travail d’une bride est de 1400 psig (constructeur). Elle peut
être testée pour de courtes périodes à des pressions de 2160 psig tel que certifié par le
constructeur. Il n’est pas évident de connaître exactement la pression que peut supporter
une bride à partir de ces chiffres. Pour ce qui concerne l’évaluation de risque, la valeur
1400 psig comme étant la pression maximum devrait être prise en considération même
si un facteur de sécurité existe (construction). D’un autre côté, les calculs design
concernant les réservoirs sont généralement disponibles.
Comme pour les pipelines, un ratio peut être utilisé pour montrer la différence
concernant ce que le composant peut faire et ce qu’il fait présentement. Cela peut être la
MOP. Lorsqu’il est égal à 1, il n’ ya pas de facteur de sécurité i.e. le système est utilisé à
sa limite. S’il est inférieur à 1, le système peut théoriquement devenir à tout moment
défaillant car un des composants du système évalué ne fonctionne pas selon la valeur
MOP. Si le ratio est supérieur à 1, il ya un facteur de sécurité présent i.e. le système
fonctionne en deçà de ses limites.
Des points peuvent être attribués comme suit :
Ratio design-MOP
2.0 35 points
1.75-1.99 28 points
1.50-174 21 points
1.25-1.49 14 points
1.10-1.24 7 points
Une équation peut également être utilisée comme pour le pipeline. Il s’agit en
l’occurrence de :
[(Design-MOP ratio) – 1] X 35 = points
L’équipe d’évaluation pourra suivre les étapes suivantes :
• Déterminer la pression du maillon le plus faible du système
• Diviser cette valeur par la valeur MOP
• Attribuer des points basés sur cette approche
Cette approche est équivalente à l’autre seulement au lieu de l’épaisseur du pipeline, il
est question de la pression. Comme la pression et l’épaisseur sont proportionnelles dans
les calculs de contrainte, la pression peut être également utilisée dans l’évaluation de la
résistance du pipeline.
Il faut noter que les protections contre les surpressions ne sont pas prises en compte car
le raisonnement tenu est que l’image entière du risque est examinée à partir de petits
éléments. Le fait qu’il y ait des maillons faibles contribue au risque quelque soit les
actions protectives prises. Même si un réservoir sous pression est protégé par une
soupape de sécurité, la présence de ces maillons faibles dans le système fait que le ratio
va baisser donc les points attribués.
Exemple de calcul pour les composants autres que le pipeline
Exemple 1
L’équipe d’évaluation examine une section de pipeline transportant du kérosène. La MOP
est de 1200 psig. Cette section particulière possède un réservoir de stockage aérien de
pression nominale 1000 psig maximum. Ce réservoir est le maillon le plus faible de la
section. Il est localisé au niveau le plus bas de pression du pipeline et il est protégé par
un système de soupape et des vannes de contrôle redondantes de telle sorte que la
pression n’atteigne jamais 950 psig. Les mesures de sécurité ne sont pas prises en
compte et la valeur de pression prise en compte est 1000 psig.
Le ratio calculé est alors :
1000 ÷ 1200 = 0.80
Le ratio étant inférieur à 1, le score attribué est -10 points. Dans ce cas, ce maillon le
plus faible ne peut résister qu’à une pression de 1000 psig.
Exemple 2
Dans cet exemple, il n’ ya que le pipeline et des vannes. Ce pipeline est conçu pour
travailler à une pression de 2300 psig grâce à des calculs appropriés de design. La valeur
de la MOP pour tout le système est de 800 psig. Les vannes sont calculées pour une
valeur nominale de pression de 1400 psig avec un test hydrostatique admissible de 2000
psig. L’équipe d’évaluation a évalué le maillon le plus faible i.e. les vannes 2200 psig.
Comme il n’y avait pas d’information exacte sur la résistance des vannes, l’équipe a
utilisé la pression nominale garantie par le constructeur pour un service de longue durée.
Le ratio design-MOP est alors :
1400 ÷ 800 = 1.75
Selon cette valeur, le score attribué sera de 26.3 points.
Exemple 3
Dans cette section il ya des vannes, des compteurs et le pipeline. La MOP est de 900
psig. La résistance du pipeline est calculée pour être 1700 psig. Les vannes ainsi que les
compteurs peuvent supporter des tests de pression de 2700 psig et dont la pression
nominale normale est de 1800 psig.
Comme il n’y avait pas d’information exacte sur la résistance des vannes et des
compteurs, l’équipe a utilisé les valeurs nominales normales i.e. 1800 psig.
Le maillon le plus faible étant le pipeline, le ratio donne :
1700 ÷ 900 = 1.89
Les points attribués sont 31.2 points
Une autre alternative serait de créer des segments séparés pour être évalués
indépendamment pour chaque composant présent de telle sorte à grouper les
composants similaires ensemble et pouvoir comparer les mêmes composants
ii. La fatigue (15 %)
La défaillance due à la fatigue a été identifiée comme la cause simple la plus importante
de défaillance métallique.
Les données historiques concernant la défaillance des pipelines n’indiquent pas qu’il s’agit
d’un mécanisme dominant dans la défaillance des pipelines, mais il s’agit toutefois d’un
aspect du risque. Parce qu’une défaillance par fatigue est une défaillance où une cassure
peut survenir, cela arrive sans alerte et avec des conséquences désastreuses.
La fatigue est l’affaiblissement d’un matériau du à des cycles répétés de contraintes. Ceci
dépend du nombre et de l’importance des cycles. Des facteurs tels que les conditions de
surface, la géométrie, résistance à la fracture, température, types de contraintes
appliquées, processus de soudage, etc. influent sur la prédisposition à la défaillance par
fatigue.
Théoriquement tous les matériaux possèdent des défauts et autres imperfections ne fut-
ce qu’à un niveau microscopique. Ces défauts sont généralement trop petits pour causer
une défaillance structurale même à des niveaux de contraintes élevés lors des tests de
pression. Ces défauts peuvent évoluer en profondeur et longueur du fait des charges
auxquelles le matériau est soumis, donc aux contraintes, lorsque celles-ci sont
appliquées puis relâchées. Après avoir subi des centaines de milliers, le défaut peut
grandir à une dimension telle que même à une valeur normale de pression la défaillance
survient.
L’équipe d’évaluation devra tenter de prédire la défaillance par fatigue. Elle doit être en
mesure d’identifier, d’une façon relative, les structures de pipelines à même de subie ce
type de défaillance.
La valeur des contraintes devrait être donnée en pourcentage de la pression normale
opératoire. C’est ainsi e.g. qu’un cycle de pression de 100 psi va avoir un effet potentiel
plus grand pour un système dont la MOP est de 150 psi qu’un système ayant une MOP de
1500 psi.
Pour les pipelines, dans la plupart des cas, les cycles seront dus aux changements dans
la pression interne. Les pompes, compresseurs, vannes de contrôle et les opérations de
pigging sont des causes possibles de cycles de pression interne. La proposition de
notation sera alors basée sur le pourcentage de la pression interne par rapport à la MOP.
Les contraintes causées par le trafic de véhicules sur un pipeline enterré est un exemple
de charges cycliques qui pourraient être plus sévères que les cycles de pression interne.
Même si d’autres facteurs peuvent intervenir (la fréquence des cycles i.e. la vitesse avec
laquelle ils surviennent), le risque défaillance par fatigue sera réduit aux deux variables
que sont le nombre et l’importance des cycles.
Un cycle est défini comme partant d’un point de pression vers un pic puis le retour vers
ce point. Le cycle est mesuré en pourcentage de la MOP.
Le tableau ci-après donne une proposition de score qui permet à l’équipe d’évaluation
d’analyser des combinaisons variées de pression et de cycles. Comme toujours, il faut
prendre la combinaison de pression/cycles la plus défavorable.
Tableau 4.28 Exemple de score de la variable fatigue (after Muhlbauer)
Exemple d’utilisation
Une équipe d’évaluation a identifié deux types de charges cycliques pour une section de
pipeline : un cycle de pression de 200 psig environ causé par le démarrage d’un
compresseur deux fois par semaine et un trafic de véhicules causant 5 psi de contraintes
externes à une fréquence de 100 véhicules par jour. La section est âgée d’environ 4 ans
et a une MOP de 1000 psig. Ces deux types de charges existent depuis l’installation du
pipeline.
Pour le premier cas, l’équipe utilisera la valeur pour l’axe horizontal:
2 démarrages/semaine X 52 semaines X 4 ans = 416 cycles
Et pour l’axe vertical :
200 psig/1000 psig = 20 % de la MOP
La combinaison donnera la valeur de 13 points environ.
Concernant le deuxième cas, pour l’axe horizontal :
100 véhicules/jour X 365 X 4 ans = 146 000 cycles
Et pour l’axe vertical :
5 psig/1000 psig = 5 % de la MOP
Le tableau donnera un score de 7 points qui sera pris en considération car étant le cas le
plus défavorable.
iii. Potentiel pour coups de bélier (10 %)
Le mécanisme commun est la conversion soudaine de l’énergie cinétique en énergie
potentielle. Une masse d’un fluide qui circule dans un pipeline e.g. possède une certaine
énergie qui lui est associée. Si cette masse rencontre brusquement un mur, cette énergie
est transformée en énergie potentielle sous la forme de pression. Une fermeture
soudaine de vanne, un arrêt brusque d’une pompe en sont des initiateurs de ces pics de
pression. Un produit en mouvement entrant en contact avec une masse stationnaire (e.g.
au démarrage ou à l’arrêt d’une pompe) en est un autre possible initiateur.
L’équipe d’évaluation devrait allouer des points en se basant sur la probabilité qu’une
telle situation (coup de bélier) puisse survenir.
Pour simplifier, une pareille situation dangereuse peut être définie comme étant une
situation où la surpression représente plus de 10 % de la MOP dans le pipeline. On peut
arguer que les pipelines travaillent dans beaucoup de cas à des valeurs loin de la MOP
donc 10 % de celle-ci ne vont pas mettre en danger la ligne en question. En tout état de
cause l’équipe devra décider de la méthode à appliquer et de le faire d’une manière
uniforme pour toutes les sections.
Trois niveaux sont pris en considération. Il s’agit en l’occurrence de :
Probabilité élevée 0 point
Probabilité basse 5 points
Impossibilité 10 points
Probabilité élevée Existe là où il ya des dispositifs de fermeture, des équipements, etc.
Il n’ ya pas de moyens de prévention mécanique. Il peut comme il
ne peut pas y avoir en place de procédures opératoires pour
empêcher les coups de bélier.
Probabilité basse Existe lorsque les coups de bélier peuvent survenir mais ils sont pris
en charge en toute sécurité du fait de l’existence de dispositifs
mécaniques (soupape de sécurité, vannes à fermeture lente, etc.) et
de procédures opératoires. Cette situation peut également être
envisagée lorsqu’une chaîne d’évènements invraisemblable survient.
Impossibilité Cela signifie que les propriétés du fluide ne peuvent produire de
coup de bélier sous des circonstances raisonnables
Exemple
Un pipeline de pétrole brut a des caractéristiques et des débits qui peuvent donner des
surpressions en excès de 10 % de la MOP. Le seul scénario initiateur identifié est la
fermeture rapide de vannes. Toutes ces vannes sont équipées de dispositifs d’ouvertures
électriques automatiques à des vitesses en deçà du temps d’ouverture critique. Si une
vanne devait être fermée manuellement, il est impossible de le faire très rapidement car
plusieurs tours devraient être effectués pour chaque 5 % de fermeture.
Le score attribué est de 5 points.
iv. Vérification d’intégrité (25 %)
L’intégrité des pipelines est assurée de deux manières : la détection et la suppression de
toute anomalie menaçant l’intégrité et la protection de l’intégrité du pipeline de menaces
futures. La dernière est traitée à travers les mesures de mitigation vues jusqu’à présent
et par celles qui le seront dans la section suivante (index des dommages causés par les
opérations).
Quant à la première, elle implique les inspections et tests et elle est considérée comme
étant fondamentale pour assurer l’intégrité d’un pipeline. L’objectif des inspections et
tests est de valider l’intégrité structurale du pipeline et sa capacité à supporter les
pressions opératoires et autres charges anticipées. Le but est de tester le système de
pipelines à des intervalles suffisamment fréquents pour s’assurer de l’intégrité du pipeline
en question et maintenir la marge de sécurité.
Un défaut est considéré comme une anomalie indésirable telle que crack, perte de métal,
bosse, etc. qui peut donner naissance plus tard à une fuite ou déversement. D’autres
défauts comprennent également les soudures, corrosion, etc.
L’hypothèse prise en considération ici est que des défauts sont présents et croissent à
une certaine vitesse malgré les mesures préventives. A travers l’inspection ou les tests
des pipelines à certains intervalles, cette croissance va être interrompue avant que le
défaut n’atteigne le niveau de défaillance.
Pour l’évaluation de la vérification d’intégrité, l’âge et la solidité de la vérification la plus
récente vont décider du score à allouer.
Les tests de pression ainsi que les inspections en ligne (IN LIGN INSPECTION, ILI) vont
être utilisés pour caractériser cette variable. Lorsque les deux ont été réalisés les scores
devraient additionnés jusqu’à concurrence du maximum de points i.e. 25 points.
Les tests de pression
Il s’agit généralement de tests de pression hydrostatique où le pipeline est rempli d’eau
puis pressurisé à une valeur de pression prédéterminée pour une durée également
prédéterminée. C’est en fait une technique destructive car les défauts sont découverts à
travers la défaillance du pipeline en question durant le test.
Le test de pression va au-delà de la MOP anticipée pour démontrer que le système
possède une certaine marge de sécurité au-delà de cette pression. Il fournit une preuve
indiscutable de l’intégrité du système. Cependant, le test de pression ne fournit pas
d’information concernant les défauts ou dommages présents en dessous de son seuil de
détection. Ce type de défauts peut s’aggraver et causer des défaillances.
Comme stipulé préalablement, tous les matériaux possèdent des défauts ne fut-ce qu’à
l’échelle microscopique. Sous la contrainte certains peuvent s’accroître en largeur et en
profondeur. Sous une contrainte constante pour un certain test de pression, certains
groupes de défauts vont s’accroître au-delà d’une certaine valeur minimum ; en dessous
de cette dimension, d’autres groupes ne vont pas s’accroître à moins d’augmenter le
niveau de contrainte. Si le niveau de contrainte est plutôt bas, seuls les défauts les plus
grands vont s’accroître. Par contre si les niveaux de contrainte sont élevés, les plus petits
se mettront à s’accroître et se propager.
Le test de pression est un paramètre important. L’inversion de pression se réfère à un
scénario tel qu’après un test de pression réussi, le pipeline devient défaillant à une
pression inférieure à celle du test. Cela arrive lorsqu’un défaut dans un pipeline survit au
test mais il en devient endommagé par le test tel qu’il sera défaillant à des pressions plus
basses quand le pipeline est de nouveau pressurisé.
Après le test de pression, l’incertitude sur l’intégrité du pipeline commence à grandir de
nouveau. Parce qu’un nouveau défaut peut être introduit en tout temps ou qu’un défaut
puisse s’accroître dans une région localisée, l’utilité du test est liée à d’autres aspects
opérationnels du pipeline. L’introduction de nouveaux défauts peut se faire à travers une
variété de sources e.g. corrosion, dommages causés par des travaux tiers, mouvements
de sols, cycles de pression, etc. Toutes ces variables contribuent au risque. C’est pour
cette raison que les tests de pression ont une durée de vie limite comme mesure
d’intégrité de pipeline. Ce dernier peut être testé de nouveau à des intervalles appropriés
pour montrer son intégrité structurale. Généralement les tests de pression durent 4
heures (en fait de 4 à 24 heures).
Il s’agit dans notre cas de :
1) Calculer le rapport H = test de pression÷MOP
H < 1.10 (test de pression 10 % au dessus de la MOP) 0 point

1.11 < H < 1.25 5 points
1.26 < H < 1.40 10 points
H > 1.41 15 points
Ou en utilisant l’équation suivante :

(H-1) X 30 = score avec un maximum de 15 points
2) Introduire le temps depuis le dernier test
Dans ce cas les points seront attribués comme suit : (10- années depuis le test)
Un test effectué il ya 4 ans 6 points
Un test effectué il ya 11 ans 0 point
Les points résultant de 1) et 2) sont additionnés pour obtenir le score du test de pression
Exemple
Une équipe est en train d’étudier un pipeline transportant du gaz naturel dont la MOP est
de 1000 psig. La section de pipeline étudiée a été testée 6 ans auparavant à une pression
de 1400 psig. Les documents certifient que le test a été parfaitement exécuté et analysé.
Les points sont attribués ainsi :
H = 1400 ÷ 1000 = 1.4
Pour 1) (1.4 – 1) X 30 = 12 points
Pour 2) 10 – 6 ans = 4 points
D’où un score de 12 + 4 = 16 points
IN LIGN INSPECTION, ILI
L’utilisation de pigs pour une inspection interne de pipelines est une technologie très
avancée. Elle est également appelée inspection avec outil intelligent. Elle se réfère à
l’utilisation de dispositifs électroniques à l’intérieur de la ligne pour mesurer les
caractéristiques du pipeline. Tout changement est automatiquement détecté. Ces
instruments peuvent également détecter tous défauts e.g. cracks, etc. En particulier,
certaines anomalies non détectées par des tests de pression peuvent l’être grâce à ILI. Il
faut toutefois noter que ces outils ne peuvent s’accommoder de tous types de pipelines
i.e. il ya des restrictions en termes de diamètre, forme du pipeline, rayon de courbure,
etc.
Quelques exemples d’ILI : outils à ultrasons pour épaisseur de pipeline, outils avec
résolution haute ou basse, outils à étriers, etc.
Chacun de ces exemples possède une application spécifique. Beaucoup peuvent détecter
des dommages préalables causés par des travaux tiers.
Les outils les plus communs utilisent soit des ultrasons soit un flux magnétique pour
réaliser l’inspection. Dans les deux cas, les données sont enregistrées.
La robustesse de l’outil ILI devrait être une partie importante de l’évaluation. Elle devrait
quantifier la capacité de l’ILI à détecter tous les défauts et les caractériser avec une
certaine certitude.
Un exemple de score pour un programme ILI est donné dans le tableau ci-après. Dans
celui-ci, l’équipe a identifié 5 types de défauts dont chacun a reçu une pondération avec
une somme de 100 % des menaces pour l’intégrité du pipeline. Chaque pondération a
été attribuée en se basant sur la probabilité d’occurrence du défaut et la sévérité des
conséquences. Les données historiques et les jugements d’experts peuvent être utilisés
pour ce faire. Les deux dernières colonnes du tableau expriment les capacités (1) de
l’outil ILI et l’incertitude quant à l’interprétation des données et (2) du programme de
vérification par excavation. Ces deux capacités sont additionnées puis multipliées par les
points attribués à chaque défaut (deuxième colonne).
Dans l’exemple du tableau, le programme ILI est jugé 40 % effectif dans la détection de
cracks (20 % pour l’outil et 20 % pour le suivi par le programme d’excavation). De la
même façon, ce programme est jugé 95 % effectif dans la détection de corrosion
significative (90 % pour la capacité de l’outil et 5 % du programme d’excavation).
La somme de ces scores donne l’évaluation de la robustesse de l’ILI :
Robustesse de l’ILI = somme {(pondération défaut) X (points max) X
[(capacité ILI) + (capacité du programme de vérification par
excavation)]}
Tableau 4.29 Exemple de score pour ILI (after Muhlbauer)
Il faut noter que ces points seront réduits avec le temps. Si l’hypothèse de détérioration
est fixée e.g. pour 5 ans, le score après 3 ans serait de :
(5-3) X score obtenu = nombre de points
v. Mouvements de terrains (15 %)
Un pipeline peut être sujet à des contraintes dues à des mouvements de terrains et/ou
des évènements géotechniques de toute nature. Ces mouvements peuvent être soudains
et catastrophiques ou peuvent être des déformations à long terme pouvant induire des
contraintes sur le pipeline après un certain nombre d’années.
Les mouvements de terrain ou problèmes géotechniques sont considérés ici comme des
dangers naturels et catégorisés comme le montre le tableau ci-après.
Tableau 4.30 Catégorisation des catastrophes naturelles (after Porter et al)

Les mouvements de terrain seront examinés à travers le potentiel de glissement de
terrain, mouvements de sols, tsunamis, séismes, érosion, etc.
Des données publiques existent pour aider l’équipe à évaluer ce point particulier. Il serait
avantageux de développer une échelle pour classer chacune des menaces
individuellement. Mais alternativement, il est possible d’examiner d’une manière plus
qualitative l’ensemble des menaces simultanément et de classer cette variable comme le
montre la proposition suivante :
Potentiel pour un mouvement de terrain significatif
Elevé 0 point
Moyen 5 points
Bas 10 points
Aucun 15 points
Inconnu 0 point
Elevé Zones où des mouvements de sols sont courants et peuvent être très
sévères. Un pipeline rigide dans une zone où il ya des mouvements de sols
moins fréquents peut être également classée ici
Moyen Zones où des dommages par mouvements de terrain sont possibles mais
rares ou ne peuvent vraisemblablement pas affecter le pipeline du fait de
sa profondeur ou de sa position. La topographie et les types de sols sont
compatibles avec les mouvements de terrain quoiqu’aucun dommage n’ait
été enregistré dans cette zone.
Bas Pas de preuves évidentes de mouvements de terrain. Ils sont
invraisemblables. Tous les pipelines rigides devraient être considérés dans
cette catégorie.
Aucun Il n’ya aucune preuve de quelque nature que ce soit indiquant une menace
potentielle due à des mouvements de terrain
Inconnu N’ayant aucune donnée relative au terrain en question, il faudrait
considérer le risque élevé du fait de cette incertitude.
Les mesures de mitigation pourraient être l’investigation initiale et le monitoring.
Exemple
Dans la section à évaluer, un pipeline traverse une pente relativement instable où il ya
des preuves substantielles de mouvements lents le long de la pente même si des
mouvements sévères n’ont pas été observés. La ligne est profondément inspectée
annuellement avec une attention spéciale pour les mouvements.
L’équipe a évalué le danger entre haut et moyen à cause du danger potentiel i.e. 3 points
auxquels elle a ajouté 3 points du fait du monitoring annuel, ce qui donne un score de 6
points.
4.3.4. Index des dommages causés par des opérations incorrectes
a. Introduction
Selon les rapports d’accidents, 80 % de ceux-ci sont dus à la faillibilité humaine. Les
erreurs humaines sont estimées causer 62 % de tous les accidents dangereux.
L’industrie du transport par pipelines, est comparativement moins sensible à l’erreur
humaine. Les process de transport par rail, maritime ou par route utilisent plus de main-
d’œuvre, donc sont plus enclins à l’erreur humaine. Cependant, il faut noter que l’erreur
humaine a également joué un rôle plus ou moins direct à l’occurrence d’accidents.
Même si l’évaluation de l’erreur humaine est l’un des aspects du risque le plus difficile à
quantifier, les professionnels de la sécurité mettent l’accent sur le fait que l’identification
de comportement humain incorrect peut être une clé pour progresser dans la prévention
des accidents.
L’index abordé dans cette section traite du potentiel de défaillance de pipelines causé par
des erreurs commises par les personnels en concevant, construisant, exploitant ou
maintenant un système de pipelines. Logiquement, l’erreur peut avoir un impact sur
n’importe lequel des index de probabilité de défaillance vus précédemment. Par exemple,
une corrosion active peut indiquer une erreur dans l’activité de contrôle de corrosion.
Donner un score à ces aspects d’une manière séparée permet d’éviter toute duplication
de l’évaluation pour beaucoup des variables déjà considérées. L’évaluation des
programmes de formation, des procédures écrites de travail e.g. va s’appliquer
généralement à tous les modes de défaillance. Le fait de prendre en charge l’ensemble
de ces aspects ensemble permettra également de faciliter l’identification des mesures de
mitigation du risque.
Dans certains cas une action considérée correcte à un moment peut paraître plus tard
comme une erreur. En particuliers, des exemples peuvent être trouvés dans le design et
la construction des installations (e.g. techniques actuelles jugées meilleures).
Un important aspect à considérer lors de l’évaluation du risque d’erreur humaine est la
supposition que de petites erreurs (défaillance latente) en tout point d’un process
peuvent faire que le système soit vulnérable à une étape ultérieure (défaillance active).
Ayant cela en tête, l’équipe devra évaluer le potentiel pour l’erreur humaine lors de
chacune des quatre phases importantes de la vie d’un pipeline i.e. design, construction,
exploitation (opération) et maintenance. Une défaillance minime au stade design peut ne
pas être apparente pendant des années (défaillance latente i.e. dormante) jusqu’à ce que
des conditions soient réunies pour la défaillance active soit déclenchée. En examinant les
différentes phases comme une chaîne d’étapes interconnectées, il est possible également
d’identifier les points d’intervention probables pour éviter l’erreur humaine.
Idéalement, l’équipe d’évaluation devrait trouver des données relatives au design, à la
construction et à la maintenance du pipeline en question sur lesquelles elle va baser son
score. Mais il se peut que ces données soient absentes, auquel cas, elle devrait prendre
les mesures nécessaires pour obtenir des informations sur l’historique du pipeline.
Analyses métallurgiques, inspection, recherches effectuées par les fabricants en sont
quelques exemples.
Beaucoup de variables vont montrer des pondérations faibles i.e. elles n’auront pas un
impact important prises individuellement. Mais lorsqu’elles sont prises ensembles, les
points qui leur seront alloués présentent une image assez correcte du potentiel de risque
d’erreur humaine menant directement à la défaillance du pipeline.
Figure 4.13 Evaluation du potentiel erreur humaine (after Muhlbauer)
b. Evaluation de l’index
i. Design (30 %)
C’est peut être l’aspect le plus difficile à évaluer pour un pipeline existant. Cette étape
n’est généralement pas bien documentée.
L’approche suggérée pour l’équipe d’évaluation est de chercher des évidences, des
preuves que des actions de prévention d’erreur humaines ont été prises durant la phase
design. Si les documents relatifs au design sont disponibles, une vérification ou
certification du design peut être faite pour démontrer qu’il n’ya pas eu d’erreurs lors de
cette étape.
Aspects pour lesquels attribuer un score
Identification de dangers 4 points
Potentiel MOP 12 points
Systèmes de sécurité 10 points
Sélection de matériau 2 points
Vérifications 2 points
Tableau 4.31 Exemple de score design (after Muhlbauer)
1) Identification des dangers (0-4 points)

L’équipe devrait s’atteler à vérifier si des efforts ont été fournis pour identifier l’ensemble
des dangers potentiels associés au pipeline et son exploitation. Cela comprend tous les
modes de défaillance probables.
Est-ce que toutes les éventualités ont été abordées ? Est-ce l’évaluation faite reflète les
conditions actuelles ? Est-ce tous les évènements initiateurs ont été considérés (incendie
au voisinage, surpression, défaillance d’une soupape de sécurité, etc.) ?
Pour ce faire les techniques abordées au chapitre précédent (HAZOP, arbres logiques,
etc.) peuvent être utilisées.
Idéalement il devrait y avoir une documentation montrant les évaluations de risques
faites, les techniques utilisées pour ce faire et les recommandations.
Le nombre de points maximum (4 points) sera alloué lorsqu’il ya évidence d’une
évaluation de risques approfondie.
2) Potentiel MOP (0-12 points)
La possibilité de dépasser la pression pour laquelle le système a été conçu est un
élément du risque à considérer. Il est évident qu’un système qui a été conçu pour qu’il ne
soit pas possible physiquement de dépasser la pression design est un système plus sûr
qu’un système où cette possibilité existe.
Dans cette section, il sera question de la facilité ou non de dépasser les limites du design.
La première chose requise pour l’évaluation est la connaissance des sources de pression
(pompes, compresseurs, réservoirs, etc.) ainsi que la connaissance de la solidité du
système. Ensuite l’équipe devrait déterminer la facilité avec laquelle une surpression peut
survenir.
La mesure de la solidité d’un pipeline la plus facilement disponible est la MOP. La MOP est
la pression interne maximum théorique dont le pipeline peut être sujet, réduite par des
facteurs appropriés de sécurité. Ces facteurs permettent l’incertitude due aux propriétés
du matériau et à la construction. La MOP est déterminée à partir des calculs de
contraintes, avec des pressions internes causant normalement les plus grandes
contraintes dans le pipeline.
Les forces externes ajoutent également des contraintes au pipeline. Elles peuvent être
causées par le poids du sol au-dessus pipeline enterré, le poids du pipeline lui-même
quand il n’est pas sur support, les changements de températures, etc. Toutes ces forces
doivent être prises en considération lors du calcul de la MOP.
Il est donc important que le pipeline ne soit jamais soumis à une combinaison de forces
internes et externes à même de causer des surtensions.
Une proposition d’évaluation est donnée ci-après.
Routine 0 point
Les opérations normales de routine peuvent permettre au système d’atteindre la MOP. La
surpression pourrait survenir rapidement du fait que le fluide est incompressible ou de
l’introduction rapide de volumes relativement élevés de fluides compressibles. La
surpression n’est empêchée ici que par les procédures de travail et un dispositif unique
de sécurité.
Improbable 5 points
La surpression peut survenir à travers une combinaison d’erreurs procédurales ou
d’omissions et défaillance de dispositifs de sécurité (au moins deux niveaux de sécurité).
Extrêmement improbable 10 points
La surpression est théoriquement possible mais cela peut se produire à travers une
chaîne extrêmement improbable d’évènements comprenant des erreurs, omissions et des
défaillances de systèmes de sécurité à plus de deux niveaux de redondance.
Impossible 12 points
La source de pression ne peut en aucune manière créer une surpression à travers une
chaîne d’évènements imaginables dans le pipeline.
3) Systèmes de sécurité (0- 10 points)
Cet aspect est examiné à ce niveau car ces systèmes sont utilisés en mesures
supplémentaires au cas où il ya erreur humaine causant ou permettant d’atteindre la
MOP.
L’équipe devrait considérer avec soin l’ensemble des systèmes de sécurité en place. Un
système de sécurité ou dispositif est tout objet mécanique, électrique, pneumatique ou
contrôlé par ordinateur utilisé pour empêcher la surpression dans le pipeline. Cela peut
se faire par un arrêt de la source de pression ou par le rejet vers atmosphère du contenu
du pipeline en surpression. Les dispositifs les plus communément utilisés comprennent
les soupapes de sécurité, disques de ruptures, les commutateurs et autres boutons
d’arrêt ou de fermeture de vannes, etc.
Dans certaines situations, ces systèmes peuvent se trouver sous le contrôle d’autres
opérateurs, autres que l’exploitant du pipeline. Dans ce cas, une tolérance est accordée
aux procédures de travail et discipline opératoire du propriétaire de ces dispositifs de
sécurité.
Une proposition de score est donnée ci-après.
Pas de dispositifs de sécurité présents 0 point

Sur site, un seul niveau 3 points
Sur site, deux niveaux ou plus 6 points
Observation à distance seulement 1 point
Observation et contrôle à distance 3 points
Pas propriétaire, assiste seulement -2 points
Pas propriétaire, pas impliqué -3 points
Pas besoin de systèmes de sécurité 10 points
Tableau 4.32 Exemple de score systèmes de sécurité (after Muhlbauer)

Dans cette proposition, l’équipe d’évaluation devrait définir les systèmes de sécurité et
les scénarios de surpression. Ensuite elle devrait allouer des points pour chaque
situation.
Pour le cas où il n’ya pas de dispositifs de sécurité présents, il est possible dans ce cas
d’atteindre la valeur de la MOP et il n’ya pas de dispositifs de sécurité en place pour
empêcher la surpression de survenir. Un design inapproprié ou incorrect de dispositifs
peut être considéré dans cette catégorie (e.g. une soupape de sécurité qui ne peut pas
évacuer suffisamment de fluide pour réduire la pression).
Concernant l’observation à distance seulement, le monitoring de la pression se fait à
partir d’un endroit éloigné. Le contrôle à distance et la protection automatique contre les
surpressions ne sont pas possibles. Le personnel qui réalise ce monitoring peut au moins
notifier l’équipe de terrain de prendre des mesures au cas la surpression survient.
La même situation peut exister mais avec un contrôle à distance. Dés lors qu’il ya
augmentation de pression, l’observateur peut prendre des mesures pour empêcher la
surpression de survenir (arrêter une pompe ou un compresseur, ouvrir ou fermer une
vanne, etc.). Cela peut avoir un impact positif significatif sur le risque si la fiabilité de la
communication est avérée (95 % ou plus pour la réception du signal de pression et la
transmission du signal de contrôle).
Dans les deux cas suivants, les dispositifs de prévention de surpression n’appartiennent
pas à l’opérateur du pipeline. Ces dispositifs ne sont ni maintenus ni contrôlé par lui
également. Dans un cas, l’opérateur ne peut qu’assister aux diverses opérations de
maintenance, calibrage ou de revues de rapports d’inspection. Dans l’autre, il n’est même
pas impliqué, il ne tient aucun rôle actif dans la prévention de toute surpression.
Pour tous les systèmes de sécurité, l’équipe devrait examiner les états des dispositifs par
rapport au scénario de perte de puissance.
4) Exemples de scores
Exemple 1
Dans la section considérée, il ya une station de pompage. La pompe est capable de créer
une surpression dans le pipeline. Pour empêcher cela, des dispositifs de sécurité ont été
installé. Un contrôle de pression sensible va stopper la pompe et permettre au fluide de
s’écouler en toute sécurité. Même si ce contrôle est défaillant, il ya une soupape de
sécurité qui va rejeter le produit vers un évent relié au système de torche. Il ya un
monitoring à distance par la transmission de données appropriées (y compris la pression)
à la salle de contrôle qui, elle, est occupée 24 heures par jour. L’arrêt de la pompe à
partir de la salle de contrôle est également possible. Les communications sont
considérées fiables à 98 %.
L’équipe a attribué 6 points pour la présence de deux niveaux et plus de sécurité et 3
points pour le monitoring et le contrôle à distance (avec fiabilité). Le score final est de 9
points.
Exemple 2
Dans cet exemple, il s’agit d’une section de transmission de gaz reliée à un puits
producteur qui peut générer des pressions et débits à même de créer des surpressions
dans le pipeline. Il ya plusieurs dispositifs de sécurité en place dans le puits sous le
contrôle du producteur. Un contrat entre le producteur de gaz et l’opérateur du pipeline
stipule que le pipeline serait protégé contre toute surpression du fait des opérations de
production dans le puits. L’opérateur du pipeline suit le débit et la pression sans pour
autant qu’il n’y ait de contrôle à distance. Le monitoring se fait 24 heures par jour.
L’équipe a attribué 6 points pour l’existence de dispositifs de sécurité, 1 point pour
l’observation à distance et -3 points pour la non implication. Ce qui donne un score de 4
points.
Exemple 3
Dans cet exemple un fournisseur livre un produit via une pompe haute pression dans une
section de pipeline qui compte sur une pompe de sécurité en aval de la section pour
empêcher toute surpression. Le fournisseur possède un contrôle pour arrêter la pompe
en cas de haute pression. L’opérateur du pipeline surveille les données relatives à
l’inspection et le calibrage du contrôle de la station de pompage. Le propriétaire de la
station de pompage réalise le monitoring à distance de la station 24 heures par jour.
Les points attribués par l’équipe sont comme suit : un seul niveau de sécurité sur site 3
points (la soupape étant en aval, elle ne protège pas adéquatement le pipeline donc
aucun crédit ne lui est accordé), - 2.5 points ont été attribués au fait que l’opérateur
n’est pas propriétaire des dispositifs de sécurité. Le score est donc de 0.5 points.
5) Sélection de matériau (0-2 points)
L’équipe d’évaluation devrait chercher si les matériaux des pipelines ont été
correctement identifiés et spécifiés en ayant pris en considération toutes les contraintes
raisonnablement prévisibles. Cela parait évident mais un certain nombre de défaillance
auraient pu être évitées si cette variable a été prise en considération convenablement.
Toute la documentation nécessaire devrait être examinée. On devrait y retrouver tous les
revêtements (interne, externe), connections, supports, etc. Cette documentation devrait
montrer que tous les problèmes potentiels de corrosion y compris l’incompatibilité des
matériaux et les problèmes liés aux soudures, ont été pris en considération dans la phase
design.
Plus important, un ensemble de documents de contrôle devraient exister. Ces documents
de contrôle concernent normalement les spécifications des pipelines. Ils donnent une
quantité importante de détails relatifs aux composants du système depuis les écrous
jusqu’au composant le plus complexe de l’instrumentation.
Le score de cette partie est basé sur l’existence et l’utilisation des documents de contrôle
et des procédures qui guident tous les aspects de la sélection des matériaux. 2 points
sont alloués pour la meilleure utilisation de ces contrôles et 0 point lorsqu’ils ne sont pas
utilisés.
6) Vérification (0-2 points)
Dans cette catégorie, l’équipe d’évaluation devrait vérifier si les calculs et les décisions de
design ont été vérifiés à des points clés lors de la phase design. Dans certains pays, des
professionnels certifient les designs. Cela permet d’empêcher l’occurrence d’erreurs et
d’omissions.
Deux points sont alloués là où il ya un monitoring et une vérification soignée du
processus de design.
ii. Construction (20 %)
Idéalement, le processus de construction devrait bien définie, constant d’un site à un
autre. Malheureusement ce n’est pas le cas car il est plus question du coût le plus bas- le
moins disant- avec ce que cela comporte comme conséquences pour le projet.
L’équipe devrait s’atteler à chercher les évidences que des mesures raisonnables ont été
prises pour assurer que la construction de la section de pipeline étudiée a été faite selon
les règles de l’art. Cela comprend une vérification de la qualité du travail et même une
autre vérification du design.
Le test de pression post-construction vérifie la solidité du système. Des techniques de
construction incorrectes vont créer des problèmes loin dans le futur. Des contraintes
résiduelles, des dommages aux systèmes de prévention de la corrosion, des supports de
pipelines incorrects, des bosses, etc. sont quelques exemples de défauts qui peuvent ne
pas apparaître lors de tests de pression.
Pour cette variable, les scores seront attribués comme suit :
Inspection 10 points
Matériaux 2 points
Raccordements 2 points
Remblayage 2 points
Manutention 2 points
Tableau 4.33 Exemple de score variable construction (after Muhlbauer)

Ces variables peuvent être également appliquées aux constructions en cours ou pipelines
en place. Cela comprend les réparations, ajustements de routes ou profondeur o ajouts
de vannes, etc.
L’équipe d’évaluation devra évaluer le potentiel d’erreur humaine dans la phase
construction en examinant chacune des variables citées.
1) Inspection (0-10 points)
Le nombre de points maximum devrait être attribué lorsqu’un inspecteur qualifié et
consciencieux était présent pour surveiller tous les aspects de la construction
(l’inspection fournie est de haute facture). Une vérification des notes, références de
l’inspecteur peut être utilisée.
S’il n’ya aucune information relative à l’inspection, 0 point devrait être attribué.
2) Matériaux (0-2 points)
Idéalement tous les matériaux et composants ont été vérifiés quant à leur authenticité et
conformité aux spécifications avant toute installation. Les contrefaçons sont très
présentes pour les nouvelles constructions en particuliers.
S’il ya évidence que cela a été correctement fait, 2 points sont attribués.
3) Raccordements (0-2 points)
Les assemblages de pipelines sont parfois considérés comme ayant plus de potentiel de
défaillance que le pipeline lui-même. Le nombre de points maximum sera attribué
lorsqu’il ya une qualité de travail élevée et lorsque les soudures ont été inspectées avec
des moyens appropriés (ultrasons, rayons X, etc.) montrant la conformité aux
spécifications.
4) Remblayage (0-2 points)
Le type de remblai et les procédures de remblayage sont souvent critiques pour une
solidité à long terme et une capacité à résister à la corrosion pour un pipeline. Il est de
ce fait important de ne pas endommager le revêtement durant cette opération.
2 points seront attribués lorsque le savoir et les bonnes pratiques de remblayage et
techniques de construction existent.
5) Manutention (0-2 points)
Pour cette variable, l’équipe devrait vérifier si les composants, en particuliers les sections
de pipeline les plus longues ont été manipulés avec le maximum d’attention de telle sorte
à minimiser les contraintes et que les travaux à froid pour les connections ou pour
l’alignement ont été minimisés car cela peut créer des contraintes résiduelles qui peuvent
à leur tour être un facteur de contribution à la corrosion sous contrainte. La manutention
comprend également le stockage avant installation.
L’équipe devrait attribuer 2 points lorsqu’il ya évidence de bonnes pratiques de
manutention et de stockage.
6) Revêtement (0-2 points)
Cette variable concerne l’application de revêtement sur terrain. Ces revêtements sont
problématiques à cause des effets des conditions ambiantes qui sont difficiles à contrôler.
Tous les revêtements sont sensibles à la préparation de la surface.
Idéalement, l’opération a été soigneusement contrôlée et supervisée par des personnels
bien formés et que les prétraitements de revêtement ont été soigneusement inspectés et
réparés avant toute installation finale. Ici, seul l’aspect erreur humaine est considéré. Les
autres éléments relatifs au revêtement ont été traités dans l’index corrosion.
Lorsque l’équipe est satisfaite, le maximum de points est attribué.
iii. Exploitation (35 %)
La troisième phase i.e. exploitation (opérations) est peut être la plus critique en termes
d’erreurs humaines. C’est là où une erreur peut produire une défaillance immédiate
(défaillance active) dans la mesure où le personnel exploite d’une manière routinière les
équipements et composants du système (vannes, pompes, compresseurs, etc.).
Il est de ce fait plus judicieux d’insister sur la prévention des erreurs plutôt que sur la
détection.
Comme point de départ, l’équipe devrait rechercher le professionnalisme dans la façon de
conduire les opérations. Là où existe un programme de sécurité puissant, c’est un signe
que beaucoup d’attention est accordée à la prévention des erreurs. Dans cette phase,
l’observation et le contrôle doivent être maximisés.
Les variables suivantes sont proposées à l’examen :
Procédures 7 points
SCADA/communication 3 points
Programmes de sécurité 4 points
Inspections/études 5 points
Formation 10 points
Dispositifs mécaniques 6 points
Tableau 4.34 Exemple de score variable exploitation (after Muhlbauer)

1) Procédures (0-7 points)
L’équipe d’évaluation devrait être satisfaite si des procédures couvrant tous les aspects
des opérations relatives au pipeline existent. Il devrait y avoir une évidence que ces
procédures sont activement utilisées, revues et révisées. Cela comprend des check-lists,
des copies de ces procédures sur site ou chez les personnels sur site.
Un protocole devrait exister concernant ces procédures i.e. qui les développe, qui les
approuve, comment la formation se fait à leur sujet, comment la vérification si le
personnel se conforme à ces procédures se fait, à quel intervalle de temps leur
revue/révision se fait, etc.
Voir plus dans la variable formation.
2) SCADA/communication (0-3 points)
SUPERVISORY CONTROL AND DATA ACQUISITION, SCADA se réfèrent à la transmission
des données opérationnelles d’un pipeline (telles que température, pression, débit,
composition du produit, etc.) à partir de points suffisants le long du pipeline pour
permettre le monitoring de la ligne à partir d’un endroit unique. Dans beaucoup de cas, il
permet également la transmission de données à partir du point central de monitoring
vers des points le long de la ligne pour permettre des opérations à distance de vannes,
pompes, etc. Des dispositifs appelés REMOTE TERMINAL UNITS, RTU fournissent
l’interface entre les instruments collecteurs de données relatives au pipeline et les
chemins de communication conventionnels tels que lignes téléphoniques, connexions
satellites, câbles de fibre optique, ondes radio, micro-ondes, etc.
Un système SCADA est composé donc de tous ces éléments, en l’occurrence instruments
de mesures, transmetteurs, équipements de contrôle, RTU, chemins de communication et
un serveur central.
Pour attribuer le nombre maximum de points, il devrait y avoir des moyens de
communication dans les deux sens entre le site et le centre de contrôle.
3) Programmes de sécurité (0-4 points)
Une entreprise engagée dans un programme de sécurité efficace réduit les potentiels
d’erreur humaine. Les éléments ci-après peuvent permettre d’évaluer cet engagement :
• Une déclaration d’intention de l’entreprise au regard de sa philosophie en matière
de sécurité
• Un programme de sécurité avec une participation de haut niveau des personnels
(l’évidence de ce haut niveau de participation existe)
• Des performances de matière de sécurité élevées, etc.
4) Inspections/enregistrements (0-5 points)
Même si ce point a déjà été traité auparavant, il s’agit d’une part active de l’activité des
opérations de pipelines. Des exemples typiques sont entre autres :
• Inspections des conditions de revêtements
• Inspections des tensions sol-pipeline
• Détection des déformations par pigging
• Etudes des densités de population
• Etudes thermographiques
• Détections de fuites
• Patrouilles aériennes, etc.
Chacun des items suscités devrait identifier les menaces probables sur le pipeline. Un
programme formel d’inspection comprenant une documentation correcte signifie une
mesure de réduction de risque et une opération menée avec professionnalisme. Il s’agit
d’une approche proactive et non réactive. L’attribution des points sera basée sur le
nombre d’inspections réalisées par rapport au nombre d’inspection utiles qui pourraient
être faites. Les informations recueillies devraient être une partie importante des
enregistrements et autres plans/cartes existants.
Ces plans/cartes et autres enregistrements donnent des informations critiques sur le
système de pipeline donc jouent un rôle important dans la réduction des erreurs.
Ces informations sont stockées de plus en plus en format électronique. Qu’il s’agisse
d’une archive en format digital ou papier, l’équipe d’évaluation peut se baser sur ce qui
suit pour attribuer des points pour cette variable :
• Caractère complet des informations couvertes
• Niveau de détails (profondeurs, spécifications des pipelines, historique des fuites,
conditions actuelles, etc.)
• Clarté (facilité de lecture chance de mauvaise interprétation de l’information, etc.)
• Mises à jour effectuées à temps
• Système de management de la documentation assurant le contrôle et l’accès facile
à l’information.
5) Formation (0-10 points)
La formation devrait être perçue comme étant la première ligne de défense contre les
erreurs humaines et pour la réduction des accidents. La formation qui se concentre sur la
prévention des défaillances est la plus vitale comparée à celle qui se concentre sur les
équipements de protection, les premiers soins, réponses d’urgences i.e. la protection. La
protection est sans aucun doute critique mais son impact sur la probabilité de
défaillances est au plus indirect. Les deux aspects devraient pris en considération
ensemble. Lors de l’évaluation du programme de formation, l’équipe devrait prendre en
considération l’impact sur la réduction du risque.
Un programme effectif de formation devrait avoir plusieurs aspects clés comprenant les
sujets communs que tous les personnels devraient suivre.
Une proposition de score est donnée ci-après :
Exigences minimums de documentation 2 points

Tests 2 points
Sujets couverts
Caractéristiques du produit 0.5 points
Contraintes du pipeline 0.5 points
Corrosion 0.5 points
Contrôle et opérations 0.5 points
Maintenance 0.5 points
Exercices d’urgence 0.5 points
Procédures de travail 2 points
Planning de reformation 1 point
Tableau 4.35 Exemple de score variable formation (after Muhlbauer)

Concernant le premier point en l’occurrence documentation, il s’agit de documents
décrivant spécifiquement tout le savoir attendu d’un opérateur pour accomplir son
travail. Il s’agit en fait d’un bon départ pour un programme de formation car ce
document dresse l’ensemble des exigences minimums en termes de connaissances
relatives à un poste. En d’autres termes, un employé devrait maîtriser le contenu de ce
document avant d’accéder au poste en question. Un opérateur de station de pompage ne
peut accéder à ce poste avant d’avoir démontré la maîtrise des exigences minimums du
poste. En l’occurrence pour ce poste, cela comprend des situations d’arrêts, démarrages,
urgences, alarmes, monitoring, procédures et la capacité de reconnaître n’importe quelle
situation anormale.
Pour le deuxième point, il s’agit de vérifier d’une façon formelle le savoir des opérateurs
et d’identifier toute insuffisance.
Quant aux sujets couverts par la formation, cela va des connaissances relatives aux
caractéristiques du produit transporté (inflammabilité, toxicité, réactivité, etc.), aux
réactions du matériau aux contraintes, indications de sur contraintes, modes de
défaillance du matériau, le composant le plus faible du système, aux connaissances de
base des problèmes de corrosion et des moyens de lutte en passant par la connaissance
du mouvement du fluide dans le pipeline et des moyens de contrôle et la maintenance
des composants du système.
Concernant les procédures i.e. la façon de bien faire le travail, il s’agit de la première
étape pour éviter l’occurrence d’actions incorrectes. Des procédures écrites et
régulièrement revues et révisées devraient couvrir l’ensemble des aspects des opérations
sur pipeline tant sur site que dans le centre de contrôle. L’utilisation des procédures
comme outil de formation est évalué ici.
Il faut noter enfin la programmation de cycles de rafraichissement des informations à des
intervalles réguliers (reformation/recyclage).
6) Dispositifs mécaniques de prévention (0-6 points)
L’installation de dispositifs mécaniques pour empêcher les erreurs humaines peut être un
moyen effectif de réduire le risque. L’idée est que l’opérateur est formé pour accomplir
son travail et que le dispositif mécanique n’est là que pour éviter les erreurs
d’inattention. Un simple cadenas ou chaîne peut être classé dans cette catégorie.
Lors de l’évaluation, l’équipe devra regarder l’efficacité du dispositif de même que les
conséquences probables évitées par ce dispositif.
Une proposition de score est donnée ci-après :
Vannes à trois voies 4 points

Dispositifs de cadenassage 2 points
Programme séquentiel de verrouillage 2 points
Permission par ordinateur 2 points
Mise en relief d’instruments critiques 1 point
Les vannes à trois voies sont utilisées pour isoler des instruments du pipeline pour
maintenance. Ces vannes possèdent une entrée et deux sorties ; en fermant une sortie,
la deuxième est automatiquement ouverte.
Pour les programmes séquentiels de verrouillage, ils sont utilisés là où plusieurs
opérations doivent être réalisées dans un ordre bien précis et toute déviation peut causer
de sérieux dommages. L’opérateur est contraint dans ce cas d’utiliser des clés pour
déverrouiller des vannes, des instruments, etc. Chaque clé ne déverrouille en fait qu’un
seul instrument et doit être ensuite utilisée pour avoir la clé suivante ; et ainsi de suite.
Il existe des systèmes électroniques pour faire la même chose. En utilisant des logiciels,
un ordinateur peut empêcher l’occurrence d’actions incorrectes. Une pompe ne pourra
démarrer que si des vannes en amont et aval sont soient fermées ou ouvertes selon le
cas. Une commande d’ouverture de vanne ne peut être exécutée que si la pression a
atteint une valeur dans un domaine acceptable.
Enfin, certains instruments critiques peuvent être peints d’une certaine couleur pour
attirer l’attention ou avoir une étiquette visible.
iv. Maintenance (15 %)
Une maintenance incorrecte est un type d’erreur qui peut survenir à plusieurs niveaux
dans les opérations. L’absence d’attention du management aux activités de maintenance,
des procédures ou exigences de maintenance incorrectes et des erreurs faites durant ces
activités sont des erreurs qui peuvent mener à la défaillance du pipeline d’une manière
directe ou indirecte. L’équipe d’évaluation devrait de nouveau regarder de plus près le
professionnalisme des équipes de maintenance de même que le haut niveau de
compréhension des exigences en termes de maintenance des équipements utilisés.
Il faut noter que cette variable influe sur les autres items même si la pondération qui lui
est allouée n’est pas très élevée. Une vanne ou un instrument qui ne fonctionne pas bien
du fait d’une maintenance incorrecte va annuler la contribution de cet item à la réduction
du risque global. Si le score attribué à cette variable est relativement bas, il peut servir
de déclenchement pour initier une réévaluation du pipeline.
Une proposition d’évaluation est donnée ci-après :
Documentation 2 points
Programmation 3 points
Procédures 10 points
1) Documentation (0-2 points)

L’équipe d’évaluation devra vérifier qu’un programme formel de conservation de toutes
données ayant trait à l’activité de maintenance existe. Cela comprend un système de
fichiers ou base de données sur ordinateur, etc. Toute activité de maintenance devrait
avoir sa documentation. Idéalement, la collecte de données durant les activités de
maintenance de même que toutes procédures de maintenance et toute autre
documentation doit être dans le cadre d’un système de management de la
documentation pour assurer un accès direct à l’information et au contrôle.
2) Programmation (0-3 points)
Une programmation formelle des activités de maintenance devrait exister. Il s’agit de
vérifier l’existence d’une maintenance proactive.
3) Procédures (0-10 points)
L’équipe d’évaluation devrait vérifier l’existence de procédures écrites traitant des
activités de maintenance (réparations, entretien, prévention, etc.) facilement disponibles.
Non seulement elles doivent exister mais elles doivent être activement utilisées par les
personnels de maintenance.
4.3.5. LEAK IMPACT FACTOR, LIF
Jusqu’à présent, tous les facteurs possibles initiateurs de défaillance de pipeline ont été
évalués. Ces facteurs définissent en fait ce qui peut mal fonctionner et les actions et
autres dispositifs conçus pour empêcher ces défaillances de survenir ont également été
considérés, il s’agit là de la probabilité d’occurrence de l’évènement indésirable.
Le dernier volet du risque à traiter va concerner la sévérité des conséquences au cas où
cet évènement indésirable arrive. Cela se fera en estimant la probabilité que certains
dommages surviennent. Le facteur conséquences démarre donc au point de défaillance
du pipeline. Il s’agira de l’impact que peut avoir une fuite sur un pipeline. C’est pour cela
qu’il a été dénommé LEAK IMPACT FACTOR, LIF.
Deux conditions relatives au pipeline vont aider à apporter une réponse pour ce faire. Il
s’agit de : (1) le produit et (2) le milieu, l’environnement. Malheureusement l’interaction
entre ces deux facteurs peut être immensément complexe et variable. Les conditions
atmosphériques, les types de sol, la population, les vitesses de fuite, etc., sont très
imprévisibles et variables. L’interaction entre ces variables et les caractéristiques du
produit transporté est très complexe. De ce fait, seules des hypothèses de travail et
approximations permettent de traiter ces questions d’une façon raisonnable.
Le LIF est calculé à partir d’une analyse du potentiel de danger du produit en question,
des dimensions de la fuite ou du déversement, de la dispersion du rejet et des
caractéristiques des milieux récepteurs.
LIF est donc un produit de quatre variables :
LIF = PH X LV X D X R
Où LIF représente le facteur d’impact des fuites (des valeurs élevées signifient des
conséquences importantes)
PH représente le potentiel danger du produit transporté
LV représente le volume de fuite (quantité relative de liquide ou de vapeur rejetée)
D représente la dispersion (l’étendue relative de la fuite) et
R représente le milieu récepteur (tout ce qui peut être endommagé)
S’agissant d’un produit des quatre variables, chacune en fait influe drastiquement sur le
produit final i.e. LIF. Cette équation montre également que si un des quatre composants
est nul la conséquence donc le risque est lui également nul. Si le produit transporté n’est
pas dangereux (y compris les effets de pression), il n’ ya pas de risque, de même que s’il
n’ ya pas de fuite ou de dispersion (pas de fuite ou confinement de la fuite sans
dispersion), ou pas de milieu récepteur. Si la valeur de l’un des quatre composants
augmente les conséquences, ensuite le risque global augmente.
Une évaluation des conséquences devrait suivre les étapes suivantes :
• Déterminer les dommages
• Calculer les distances associées aux dommages
• Estimer les zones dangereuses
• Caractériser les vulnérabilités des récepteurs
Figure 4.14 Exemples de données utilisées pour calculer LIF (after Muhlbauer)
Le premier facteur à voir lors de la détermination de la nature du danger concerne les
caractéristiques du produit à transporter. C’est lui qui détermine dans une large mesure
la nature du danger.
Dans l’étude du LIF, il est souvent fait une distinction entre danger « aigu » et
« chronique ». Aigu signifie un début rapide demandant une attention urgente d’une
courte durée. Des dangers tels qu’incendie, explosion ou contact avec des produits
toxiques sont considérés comme des dangers aigus. Il s’agit de menaces immédiates
causées par la fuite.
Un danger chronique est plus marqué par la durée. La variable temps est sous-entendue.
Les dangers tels que contamination des eaux souterraines, cancers et autres effets sur la
santé à long terme sont considérés comme des dangers chroniques.
La principale différence réside dons dans le temps.
Comme exemples, le gaz naturel forme un danger aigu dans la mesure où il peut causer
des incendies/explosions alors qu’un rejet de pétrole brut est plus chronique. Mais un
déversement d’essence est les deux à la fois. L’essence s’enflamme facilement menant
vers des effets thermiques significatifs comme il cause également des dommages à
l’environnement.
Potentiel danger du produit 1-22 points
Danger aigu 0-12 points
Inflammabilité (Nf) 0-4 points
Réactivité (Nr) 0-4 points
Toxicité (Nh) 0-4 points
Danger chronique (RQ) 0-10 points
Tableau 4.36 Score à attribuer pour le potentiel danger du produit (after Muhlbauer)
Figure 4.14 Echelle relative aigu-chronique pour certains produits (after Muhlbauer)
Concernant le danger aigu, tous les produits devraient être évalués par rapport à leur
inflammabilité, réactivité et toxicité. Une échelle a été établie pour ce faire par la
NATIONAL FIRE PROTECTION ASSOCIATION, NFPA. Si le produit est un mélange de
plusieurs composants, celui-ci peut être classé mais il est plus aisé de considérer le
composant le plus dangereux dans le mélange.
Contrairement aux index vus précédemment, plus le score alloué est élevé plus le danger
est grand.
Le plus grand danger vient de l’inflammabilité. Le flash point e.g. en est un indicateur.
Une substance est considérée comme inflammable si son flash point est supérieur à
100°F. Le tableau ci-après donne le score relatif à ce point en fonction du flash point (FP)
et point d’ébullition (BP)
Tableau 4.37 Score relatif en fonction du FP et BP (after Muhlbauer)
Dans certaines situations le produit transporté peut être très réactif donc instable sous
certaines conditions. Une réaction avec l’air, l’eau ou lui-même peut être potentiellement
dangereuse. NFPA une échelle pour classer cet aspect également. Des valeurs de Nr sont
définies ci –après :
Substance totalement stable même sous l’effet d’un incendie Nr = 0

Légère réactivité en chauffant sous pression Nr = 1
Réactivité significative même sans chauffer Nr = 2
Détonation possible avec confinement Nr = 3
Détonation possible sans confinement Nr = 4
Tableau 4.38 Valeurs de N r (after NFPA)

Aux valeurs ci-dessus, un facteur de pression peut être ajouté toutefois sans que la
valeur totale de Nr n’excède 4 points.
Fluides incompressibles (liquides) Facteur de pression

0-100 psig pression interne 0 point
100 psig 1 point
Fluides compressibles
0-50 psig 0 point
51-200 psig 1 point
 200 psig 2 points
Tableau 4.39 Valeurs de N r (facteur de pression)

Un exemple de score est donné ci-après :
Un pipeline transportant du gaz naturel est évalué. Dans la section particulière, la
pression maximum normale est 500 psig. L’équipe attribue d’abord la valeur 0 pour N r
pour le méthane puis ajoute 2 points du fait de la pression interne ce qui donne une
valeur N r = 2 points.
Dans de cas de la toxicité, NFPA considère seulement le facteur danger pour la santé.
Pour les effets à long terme, une échelle additionnelle devrait être utilisée. NFPA 704
définit le score à attribuer à la toxicité d’un produit comme suit :
Pas de danger de plus que ceux des combustibles ordinaires Nh= 0

Une blessure mineure résiduelle seulement est probable Nh = 1
Une attention médicale est exigée pour éviter toute incapacité temporaire Nh = 2
Substances causant des blessures sérieuses temporaires ou résiduelles Nh = 3
Une exposition courte cause la mort ou blessure majeure Nh = 4
Tableau 4.40 Valeurs de N f

Pour finir le score pour le danger aigu est : Nf + Nr + Nh
Un score de 12 points signifie que le produit transporté pose de sérieux problèmes.
Les valeurs qui sont attribuées paraissent basses mais il ne faut pas perdre de vue que
ces scores seront ensuite multipliés, ce qui a un effet sur score total du risque.
Pour le danger chronique, il s’agit de situation où un rejet du contenu d’un pipeline peut
mener in fine à la perte de vies humaines du fait de contamination de l’environnement.
Le premier critère à prendre en considération est le fait que le produit rejeté est
dangereux ou non. La réglementation définit ce qu’un produit dangereux est i.e. toute
substance capable de causer des dommages aux êtres humains et à l’environnement. Si
le produit contenu dans le pipeline est donné comme tel, alors il s’agira d’assigner une
valeur nommée REPORTABLE SPILL QUANTITY, RQ i.e. une quantité déversée
RAPPORTEE. Ces valeurs RQ seront utilisées lors de l’évaluation de risques pour attribuer
un score à la dangerosité du produit d’un point de vue chronique. Plus une substance est
dangereuse plus la valeur RQ est basse. Les catégories désignées sont X, A, B, C et D
correspondant à des déversements de 1, 10, 100, 1000 et 5000 POUNDS (demi-kg) de
produits respectivement. La catégorie D est la moins dangereuse.
Le tableau ci-après donne les scores pour quelques substances
Tableau 4.41 Scores relatifs au danger du produit déversé (after DOW chemical)
La classification en fonction de la quantité déversée peut être comme suit :
Tableau 4.42 Scores relatifs à la quantité de produit déversée (after DOW chemical)
Concernant la dispersion, selon les modèles physiques et thermodynamiques, les
produits déversés vont toujours chercher l’état d’énergie le plus bas. La loi de l’entropie
nous apprend que ces systèmes deviennent de plus en plus désordonnés. Le produit
déversé va se mélanger et se fondre dans le nouvel environnement dans un processus
irréversible.
Les caractéristiques du produit déversé et du site vont déterminer le mouvement du
produit (pénétration dans l’atmosphère, l’eau, le sol, les eaux souterraines, les structures
manufacturées, etc.
La modélisation précise de cette dispersion de produit n’est pas nécessaire. C’est la
propension à causer des dommages qui est importante.
Le volume de rejet LV sera examiné à travers les cas de fuite, déversement et autre rejet
i.e. le cas de produits liquides, gaz ou combinaison des deux, s’échappant d’un système
de pipeline. La quantité totale rejetée est la somme des volumes de toutes les fuites
avant l’intervention et la maîtrise de la situation (détection et réaction à temps).
LV est fonction du temps de rejet, du temps de réaction et des capacités des
installations. L’évaluation de cette variable est organisée en trois parties en l’occurrence
dimension de la fuite, les mesures de mitigation et le potentiel pour la dispersion.
Une fois que les mécanismes de rejet et les risques encourus ont été identifiés et
compris, l’équipe devrait modéliser le potentiel de rejets en vue de l’évaluation. Cela se
fait le plus souvent en assignant un score aux différents scénarios. La dispersion relative
ou zone de danger (rejet ou déversement) ainsi que les mesures de quantités rejetées et
leur potentiel de dispersion sont combinées et ensuite cette valeur sera ajustée par les
mesures de mitigation.
Pour les rejets liquides, l’évaluation relative des conséquences potentielles devrait
comprendre les effets potentiels thermiques et de contamination, tous deux sont fonction
du volume de rejet. La zone de contamination est normalement proportionnelle à
l’étendue du déversement. Les effets thermiques quant à eux, sont fonction des
dimensions de la mare formée et de l’énergie du liquide déversé en question.
Trois approches peuvent être utilisées pour ce faire.
Approche A : d’une manière simple il s’agit de d’additionner les deux composants i.e.
contamination et effet thermique avec
Potentiel de contamination = score du volume déversé X RQ
Effet thermique = score du volume déversé X Nf
Le score du volume déversé peut être basé sur le taux de pompage relatif et le volume
maximum drainé et son échelle devrait être déterminée par rapport aux débits et
volumes drainés maximums.
Approche B : celle-ci se focalise uniquement sur les effets thermiques. Elle combine le
volume relatif déversé et les effets thermiques.
Score du liquide déversé = LOG [(masse déversée) X 0.5]/ [(Te)0.5]
Avec Te, température d’ébullition
Approche C : est utile lorsque le potentiel de contamination est vu comme la seule
menace. Il s’agit donc dans ce cas là de la contamination en particulier des eaux
souterraines. La perméabilité du sol est alors un élément clé. Le problème est ramené à
deux facteurs en l’occurrence volume de rejet et perméabilité du sol.
Tableau 4.42 Score relatif aux quantités de produit rejeté (after Muhlbauer)
Tableau 4.44 Score relatif à la perméabilité du sol (after Muhlbauer)

Les deux scores sont alors additionnés. Cela représente le fait qu’un volume important de
produit dangereux rejeté dans un sol fortement perméable mène à des conséquences
élevées.
Des ajustements peuvent être faits à ces résultats du fait de la présence de terrains en
pente, ravins, systèmes d’égouts, etc.
Lorsqu’il s’agit d’évaluer uniquement les risques liés au transport du gaz naturel par
pipelines, une approche simple consiste à utiliser seulement le diamètre et la pression du
pipeline pour caractériser la zone dangereuse en question.
Approche A : il s’agit d’une approche directe pour évaluer les conséquences potentielles
d’un rejet de gaz naturel basée sur la zone dangereuse générée par un jet fire
R = [(2348 X P X d2)/l]0.5
Avec :
R : rayon à partir du rejet pour une valeur de l’intensité de radiation thermique (en
pieds)
l : intensité de radiation thermique (Btu/hr/pieds2)
p : pression maximum dans le pipeline (psi)
d : diamètre du pipeline (")
Pour le gaz naturel, l’équation est simplifiée pour une valeur de l = 5000 Btu/Hr/ pieds2
utilisée comme seuil. Elle devient :
R = 0.685 √ (p X d2)
Dans les deux cas le score serait équivalent à R ramené à une échelle e.g. de 0 à 10.
Approche B : lorsqu’il s’agit d’évaluer les risques générés par des gaz inflammables
aussi variés que méthane, hydrogène ou chlore, une variable additionnelle est ajoutée
pour distinguer les différents gaz. Le poids moléculaire PM est peut être la variable la
plus appropriée.
Score d’un rejet de gaz = √ (p X d2) X PM
Approche C : elle consiste à combiner les caractéristiques de dispersion (taux de rejet et
poids moléculaire). Le tableau ci- après en donne un exemple.
Tableau 4.45 Exemple de score en fonction du poids moléculaire et taux de rejet

(after Muhlbauer)
Lorsqu’il s’agit d’évaluer des rejets liquides et gazeux dangereux en utilisant le même
modèle, il faut établir des équivalences. Une méthode simple consiste à examiner et
comparer les valeurs relatives au calcul des zones dangereuses pour l’être humain en
termes de mort et blessures sérieuses.
Tableau 4.46 Exemples de score en fonction du rayon de zone dangereuse (after
Muhlbauer)
Le tableau ci-avant a été établi en utilisant des relations simples. Le score relatif aux
scénarios de rejets de gaz naturel et propane a été généré en utilisant l’équation
suivante en supposant que la dispersion et le potentiel d’une explosion de nuage de
vapeur ainsi que les effets thermiques d’un jet fire sont proportionnels au poids
moléculaire PM:
Score de rejet de gaz = √ (p X d2) X PM
Le score de rejet liquide (essence, gasoil, etc.) ont été déterminés par équation
suivante :
Score de rejet liquide = LOG [(masse rejetée) X 0.5]/ √(Te) X 20000
Te, étant la température d’ébullition.
Ajustement des différents scores relatifs aux rejets de produits
L’existence de moyens tels que plans de réponse urgente et confinement secondaire
contribuent à la réduction des conséquences dues à une perte de confinement d’un
pipeline. Les deux agissent comme réponse à une perte de confinement ayant survenue
mais ne fournissent pas une occasion pour prévenir l’occurrence de la défaillance.
Les mesures de réduction des conséquences doivent réaliser au moins l’une des trois
choses suivantes :
• Limiter la quantité de produit déversée (se fait e.g. par l’isolement rapide du
pipeline ou en changeant certains paramètres tels que pression, débit, etc.)
• Limiter la zone de menace (se fait par la protection et/ou l’évacuation de
récepteurs vulnérables potentiels, la suppression de sources d’inflammation ou
par la limitation de l’étendue du déversement
• Limiter la perte ou tout dommage causé par le déversement (se fait par
l’intervention rapide des secours médicaux et autres, confinement rapide du rejet,
nettoyage rapide du déversement, etc.
La détection de fuite élément critique dans la mesure où elle fournit une notification de
conséquences potentielles assez tôt pour permettre d’apporter une réponse rapide à tout
évènement dangereux.
Plusieurs techniques sont utilisées pour la détection des fuites de pipelines chacune ayant
ses avantages et ses inconvénients. Les plus communément utilisées sont entre autres :
• Patrouille d’observation directe
• Observation directe par hasard par le public ou les personnels
• SCADA (méthodes de calcul et/ou alarme pour pression, débit, température
inhabituels, etc.
• Monitoring par pig
• Méthodes acoustiques, etc.
L’équipe devrait évaluer les capacités de détection de fuites dans la section étudiée. Cela
devrait comprendre :
• Les dimensions des fuites détectées avec fiabilité
• Le temps avant une détection positive de fuite
• La précision avec laquelle l’endroit de la fuite est détecté
La capacité de détection d’une fuite peut être définie comme la relation entre le taux de
fuite et le temps mis pour détecter la fuite comme le montre la figure ci-après
Figure 4.15 Capacité de détection de fuites (after Muhlbauer)

La zone sous la courbe représente le volume de déversement le plus défavorable avant
détection.
Une courbe pour la capacité de détection de fuite pour chaque méthode disponible peut
être développée. Un tableau de taux de fuite est d’abord établi. Puis pour chaque taux
une estimation du temps de détection par chaque système est faite.
Tableau 4.47 Détection de volumes variés de fuites (after Muhlbauer)
Tableau 4.48 Matrice pour évaluer la capacité de détection de taux de fuites variés
des différents systèmes (after Muhlbauer)
Toutes les possibilités de détection de fuites devraient être considérées lors de
l’évaluation des capacités de détection. Tous les systèmes de détection disponibles
devraient donc être évalués en termes de capacité respective de détecter les différentes
fuites. L’utilisation d’une matrice telle celle qui figure dans le tableau ci-avant peut être
faite. Une colonne en l’occurrence estimation du temps de réponse peut être ajoutée.
Concernant le dernier élément et non des moindres, il s’agit des récepteurs (cibles
potentielles) qui peuvent être exposés aux dangers émanant d’un pipeline.
L’un des paramètres les plus critiques est la présence de la population à proximité d’un
pipeline où une défaillance peut survenir. La densité de la population peut être prise en
considération à travers la classification qui peut exister
L’idéal serait qu’une activité ne devrait pas avoir d’impact négatif sur l’environnement, le
plus dramatique étant un déversement de produit sans toutefois négliger l’impact à long
terme de la présence d’un pipeline ce dernier pouvant causer des changements
importants dans l’environnement tels que drainage naturel et végétation, mouvements
des eaux souterraines, routes de migrations d’animaux, etc. De même que les
installations aériennes peuvent affecter le voisinage à travers le bruit, les vibrations,
mouvements de véhicules, odeurs, activités spéciales (pigging, revêtements, nettoyage,
etc.), barrières aux mouvements d’animaux, etc.
Ces impacts sont normalement considérés dans la phase design d’un pipeline.
Les effets environnementaux d’une fuite sont partiellement traités dans le score danger
du produit. Lorsque la valeur RG est au dessus d’un certain niveau, la sensibilité
environnementale devrait être évaluée. Si RQ≥3 les produits concernés peuvent causer
une contamination.
Certaines zones adjacentes au pipeline peuvent être identifiées comme ayant une haute
valeur (HIGH VALUE AREA, HVA). Il s’agit e.g. de propriétés ayant une grande valeur ou
coûtant très cher (zone agricole importante), zones difficiles à remédier si un
déversement survient, structures ou installations difficiles à remplacer ou ayant des coûts
associés élevés, sites historiques, zones très fortement utilisées par la population, etc.
La difficulté est de déterminer l’état de dommages causés par un déversement ou une
perte de confinement d’un pipeline. Cela est accentué par la présence de divers
récepteurs. Cette difficulté est traitée e.g. en évaluant chaque risque encouru par chaque
récepteur à part mais la difficulté réside dans la modélisation et la prise de décision dans
l’évaluation de risque globale.
Une autre approche est d’attribuer un score à chaque type de récepteur après
l’établissement d’équivalences.
Un exemple serait :
Population 0-10 points

Zones à hautes valeurs HVA 0-10 points
Terres publiques (parcs nationaux, forêts) 0-5 points
Marais 0-5 points
Prises d’eaux 0-5 points
Eaux 0-5 points
Courts d’eaux commercialement navigables 0-5 points
Total 45 points
Tableau 4.49 Scores à attribuer pour la variable récepteurs
4.4. Le management des risques
Le management du risque implique le jugement du niveau d’acceptabilité du risque par

l’établissement de critères d’acceptabilité et/ou tolérabilité.
Les réponses apportées aux questions suivantes sont d’une grande importance :
• Où et quand faut-il allouer des ressources ?
• Quel niveau d’urgence faut-il attribuer à toute mesure de mitigation spécifique ?
• Faut-il traiter uniquement les segments de pipeline les plus risqués ?
• Faut-il dévier les ressources des segments les moins risqués vers les zones les
plus risquées ?
• De combien le risque va évoluer si rien n’est fait ?
Beaucoup ou rien peut être dépensé pour réduire le risque et empêcher l’occurrence
d’accidents. Le management des risques tourne autour du processus central qui est en
l’occurrence prendre des décisions dans le design et les opérations quotidiennes d’un
système de pipelines. Certaines décisions sont imposées par la loi alors que d’autres sont
régies par les contraintes économiques (budget).
Le modèle de risque proposé ici (indexation) produit un score de risque relatif en
combinant les scores de modes de défaillance possibles (sommes des différents index) et
en divisant ce résultat par le score des conséquences potentielles.
Risque relatif = (somme des index)/LIF
La somme des index implique une sommation des scores relatifs de chacun des quatre
modes de défaillance. Il s’agit d’une mesure de la probabilité de défaillance globale dans
un sens relatif. L’attention de l’équipe d’évaluation devrait toutefois être attirée sur le fait
que chacun des index devrait être vérifié indépendamment des autres pour éviter de
masquer une déficience de l’un d’entre eux par un excès des autres. En d’autres termes,
il faudrait s’assurer que l’impact du score de l’index le plus défavorable ne soit pas caché
par la somme élevée des autres index.
Toutefois, la conversion du score de la somme des index en score de probabilité de
défaillance va éliminer ce besoin d’examiner individuellement chacun des index.
Le score « probabilité de défaillance » est calculé à partir du score somme des index en
utilisant la théorie des probabilités.
La première étape consiste à assumer que chaque index représente la probabilité de
survie exprimée en pourcentage de chance qu’un segment va survivre pour une certaine
période de temps prédéterminée. Un index de corrosion de 65 e.g. indique que ce
segment a 65 % de chance de survie et 35 % de défaillance pour une certaine période.
Le score « probabilité de défaillance » sera obtenu en calculant la probabilité qu’une
section de pipeline va survivre aux quatre modes de défaillance. La chance relative
qu’une section de pipeline va défaillir par n’importe lequel des quatre modes de
défaillance est obtenu en soustrayant cette probabilité de la valeur 1.0.
Ce processus est illustré à travers la formule donnée ci-après :
Score probabilité de défaillance = 1- (a/100 X b/100 X c/100 X d/100)
Avec a, b, c et d les valeurs des index relatifs aux quatre modes de défaillance
respectivement.
Il se peut qu’une somme direct des index donne la même valeur mais grâce à cette
formule des différences peuvent être déterminées (voir l’exemple ci-après).
Scénario 1 Scénario 2
Score de Probabilité de Score de Probabilité de
l’index défaillance (%) l’index défaillance (%)
Travaux tiers 60 90
Corrosion 70 10
Design 80 90
Opérations incorrectes 70 90
Total 280 76.48 280 92.71
Tableau 4.50 Exemple de calcul de probabilité de défaillance

En général, il est préférable de réduire le risque en réduisant la probabilité de défaillance
i.e. en agissant sur les variables index car la réduction ou la minimisation des
conséquences potentielles est généralement plus difficile.
Par sa nature, le modèle d’évaluation de risques est orienté vers les opportunités de
mitigation de risque. Chacune des variables vues précédemment comme étant un
élément contributif au risque peut être modifiée dans l’optique de réduire le risque.
Pour illustrer cela, lors de remplacement de pipelines, les sections à haut risque
devraient être traitées en priorité. De même si une augmentation de la protection
cathodique est considérée comme une option pour empêcher l’occurrence de dommages
par la corrosion, la préférence devrait être donnée aux sections à haut risque.
Le même raisonnement devrait être tenu en cas de redistribution de ressources.
Les options pour réduire les conséquences potentielles sont moindres et parfois
problématiques. Elles se résument comme suit : modification du type de produit et de la
pression, installation de confinement secondaire, relocalisation du pipeline ou des
récepteurs, réduction des diamètres et débits de pipelines et amélioration des détections
de fuites et réponses aux urgences.
En tout état de cause, l’approche suivante peut être suggérée :
• Déterminer le niveau d’amélioration de la somme des index de telle sorte à
considérer le niveau de risque « normal »
• Déterminer si ce niveau peut être atteint
Si tel n’est pas le cas, investiguer la possibilité de modifier le LIF (conséquences
potentielles de défaillance)
Références
1. Dan Roy, centre canadien d’urgence transport (CANUTEC)

2. Health & Safety Executive, The update of loss containment data for offshore
pipelines, July 5th edition
3. INERIS, incidents sur canalisations
4. HIRSHBERG S., SPEAKERMAN G., DONES R., GaBe, severe accidents in the
energy sector
5. US government accountability office
6. Interstate Natural Gas Association of America, INGAA
7. Said Ameziane, techniques d’analyses de risque, API, 2009
8. Muhlbauer W.K. Pipeline Risk Management Manual, 3rd edition Elsevier ISBN: 0-
7506-7579-9 2004
9. U.S. Department of Transportation, Research and Special Programs
Administration, Office of Pipeline Safety, “Annual Report of Pipeline Safety-
calendar Year 1988,” 400 Seventh St., S.W., Washington, DC 20590.
10. Pluss, C., Niederbaumer, G., and Sagesser, R., “Risk Assessment ofthe Transitgas
Pipeline,” Journal of Pipeline Integrity, September 2002.
11. “One-Call Systems,” Pipeline Digest, March 1991, p. 15.
12. Keyser, C. A,, Materials Science in Engineering, 3rd ed., Columbus, OH:
Charles E. Merrill Publishing Co., 1980, pp.75-101,131-159.
13. Miller, P. O., et al., “Dealing with Risk,” Canberra, Australia: The Institution of
Engineers, March 1993.
14. Tuler, S., et al. “Human Reliability and Risk Management in the Transportation of
Spent Nuclear Fuel,” in Reliability on the Move: Safety and Reliability in
Transportation (G. B. Guy, Ed.), London: Elsevier Applied Science, 1989, pp. 167-
193
15. NACE, “Recommended Practice: Mitigation of Alternating Current and Lightning
Effects on Metallic Structures and Corrosion Control Systems. National Association
of Corrosion Engineers,” NACE Standard RP- 01-77 (1 983 Revisions), Item No.
53039
16. Gummow, R., Wakelin, R., and Segall, S., “AC Corrosion-A New Threat to Pipeline
Integrity?’ presented at ASME International Pipeline Conference, 1996.
17. Kiefner, J. F., “A Risk Management Tool for Establishing Budget Priorities,”
presented at the Risk Assessment/ Management of Regulated Pipelines
Conference, a NACE TechEdge Series Program, Houston, TX, February lGI2, 1997.
18. Dow Chemical, Fire and Explosion Index Hazard Classlfication Guide, 6th
ed., Dow Chemical Co., May 1987.
19. Stephens, M. J., “A Model for Sizing High Consequence Areas Associated with
Natural Gas Pipelines,” C-FER Topical Report 99068, prepared for Gas Research
Institute, Contract 8 174, October 2000.
20. URS Radian Corporation, “Environmental Assessment of Longhorn Partners
Pipeline,” report prepared for US. EPA and DOT, September 2000.
21. American Petroleum Institute, “Evaluation Methodology for Software Based Leak
Detection Systems,” API 1155, Washington, DC: API, February 1995.
22. American Petroleum Institute, “Pipeline Variable Uncertainties and Their Effect on
Leak Detectability,” API 1149, Washington, DC: API, November 1993.
23. Code of Federal Regulations, Vol. 59, No. 60, “Guidance for Facility and Vessel
Response Plans Fish and Wildlife and Sensitive Environments,” National Oceanic
and Atmospheric Administration, March 29, 1994.
24. Porter, M., A. Baumgard, and K. W. Savigny, “A Hazard and Risk Management
System for Large Rock Slope Hazards Affecting Pipelines in Mountainous Terrain,”
Proceedings of IPC 2002: 4th International Pipeline Conference, Calgary, Canada,
September 2002.
25. Rohrmann, B., “Verbal Qualifiers for Rating Scales: Sociolinguistic Considerations
and Psychometric Data,” Project Report, Melbourne, Australia: University of
Melbourne, September 2002.
26. Vick, Reagan, et al., 1989

Risk Management

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Risk Management

Transféré par

Droits d'auteur :

Formats disponibles

ALGERIAN PETROLEUM INSTITUTE

If you wanna see further than others, stand on giants’ shoulders

Those who fail to plan, plan to fail

MSc SAID AMEZIANE

CHAPITRE IV Le management des risqué liés au transport par pipelines 148

[MSc Said Ameziane, Risk Management, API, Boumerdes, May 2009

Chapitre I Introduction générale

transports de matières dangereuses (par voie maritime, terrestre ou fluviale), aux

2003 a vu amendement de Seveso II par l’introduction de nouvelles dispositions à travers

Chapitre II Notions de base

2.1. La prévention des accidents

Il y a trois raisons principales pour la prévention des accidents et autres maladies :

Figure 2.1 L’iceberg des coûts (after HSE)

Les programmes réussis en matière de santé et sécurité possèdent en commun une

Figure 2.2 Triangle des accidents (source RIDLEY & CHANNING)

Figure 2.3 Accidents 1er semestre 2005 (source SONATRACH)

2.1.5. Cause des accidents

Figure 2.4 Effets dominos (source SA)

La défaillance de base signifie que l’organisation a failli à un ou plusieurs niveaux à sa

5) Les conditions dangereuses

Voici quelques exemples :

• Travailler sans autorité

Tableau 2.1 Exemples d’actes et conditions dangereux

• Pression du système de management

Tableau 2.2 Exemples de causes indirectes

2.1.6. Le modèle de J. Reason

Lors de la considération de la contribution humaine aux désastres, il est important de faire la

Figure 2.5 Modèle de Reason de causes d’accidents (after Reason)

Figure 2.6 Modèle de Reason de causes d’accidents (after Southam)

2.1.7. Principes de prévention

Tableau 2.3 Plan d’action de sécurité

Le succès de cette tâche dépend entièrement de la tâche précédente (planification). Il n’est

Il s’agit à ce niveau d’instruire et former le personnel pour l’accomplissement des activités et

• S’assurer que les ressources nécessaires à l’accomplissement de la tâche/activité sont

Figure 2.7 Exemple de rapport d’observation de sécurité (after Southam)

2.2. Risques et dangers

Figure 2.8 Evènements et résultats (after IOSH)

Figure 2.9 Incident/accidents (after NEBOSH)

RISQUE = SÉVÉRITÉ DES CONSÉQUENCES X

2.3. Les risques majeurs

2.3.2. Les risques industriels majeurs

Figure 2.10 Davy lamp (after histoire de la chimie)

Les dispositifs de sécurité, de contrôle et de réglage destinés à être utilisés en dehors

Figure 2.11 Tétraèdre de feu

Quelques valeurs de limites d’inflammabilité (explosivité) :

Tableau 2.4 Limites d’explosivité pour certaines substances (after R Stahl)

Figure 2.12 Limites d’explosivité (after GESIP)

Minimum d’Inflammation (EMI). Pour enflammer un mélange air/hydrocarbure cette valeur

Energie fournie par la source < EMI

T Mélange <T auto inflammation

C’est la raison pour laquelle une classification de température a été définie.

iv. Point d’inflammation

Figure 2.13 Tension de vapeur (after GESIP)

vi. Point d’ébullition

TENSION DE VAPEUR = PRESSION ATMOSPHERIQUE

Figure 2.14 Concentration du liquide par rapport à la température

En augmentant la température de ce mélange, on atteindra une température T1 à partir de

Selon Graham ACKROYD, approximativement 1 sur 10 ignitions dans l’industrie chimique

Chaine de réaction chimique

Les modes de propagation d’un feu

Figure 2.15 Phénomène de combustion (after INRS)

L’incendie se caractérise par l’émission de lumière, de fumées éventuellement toxiques et de

Le risque d’incendie est omniprésent dans les installations industrielles. La terminologie

• Le liquide doit être couvert pour éviter toute vaporisation