TD2 SDF FTA, Arbres de défaillances 2023/2024

Exercice 1 : Réservoir

Le système à modéliser est le suivant :

Alarme

Source → Capteur
Capteur
Opérateur
NTH
Vanne 1 Vanne 2 Vanne 3 NH

→ Consommation

Vanne 4

L'événement à redouter est le débordement du réservoir. En temps ordinaire, la quantité d'eau

diminue en fonction de la consommation et augmente en fonction du débit de la source.
Si la consommation s'arrête, le niveau augmente jusqu'à ce que le capteur de niveau NH
(Niveau Haut) arrête automatiquement l'alimentation en eau en fermant la vanne 3.
Ce système est redondant. En effet, un second capteur NTH (Niveau Très Haut) permet la
fermeture de la vanne 2, si le niveau continue à progresser. De plus, ce capteur prévient un
opérateur à l'aide d'une alarme. Ce dernier doit en cas de défaillance des entités précédentes
fermer manuellement la vanne1. La vanne 4 d'évacuation est ouverte en dernier recours par
l'opérateur. Son débit est supérieur à celui des trois autres vannes.
De plus, en vertu de la règle "pas de miracle à espérer" (no miracle rule), on ne peut espérer
qu'une demande accrue en eau opportune de la part des consommateurs puisse faire éviter le
débordement.

1) Saisir l’arbre des causes modélisant le système "réservoir" à l’aide du logiciel Aralia
Sim-tree.
2) Compléter l’arbre en introduisant les probabilités d’occurrence des événements de
base qui se trouvent dans le tableau suivant :

Evénement de base Probabilité

NH 1.3e-004
NTH 1.7e-005
V2BO 1e-005
V3BO 1.5e-005
OD 5e-001
AP 1e-006
V1BO 1e-004
V4BF 1e-004

Avec OD : Opérateur défaillant

1
 AP : Alarme en panne
Les lois de probabilités sont des lois exponentielles sauf pour l’opérateur, la loi est
constante.

3) Calculer la probabilité de l’événement redouté pour une durée d’une année de

fonctionnement. Prendre t = 365*24 heures, le nombre d’histoires est à fixer à
10000, la durée est égale à 10000 avec un pas de 100. Tracer l’évolution de cette
probabilité dans un graphe.
4) Déterminer les scénarios prépondérants (ensemble de coupes minimales), calculer
leur probabilité et leurs contributions. Dresser ces contributions dans un graphe en
utilisant Excel.
5) Calculer le taux de défaillance équivalent global et le MTTF correspondant.

Exercice 2 : Exemple d’un système instrumenté de sécurité

1) Présentation d’un système instrumenté de sécurité

Un système instrumenté de sécurité est un système visant à mettre le procédé en état stable
ne présentant pas de risque pour l’environnement et les personnes lorsque le procédé
s’engage dans une voie comportant un risque réel pour le personnel et l’environnement
(explosion, feu…). Un SIS se compose de trois parties :
- Une partie capteur chargée de mesurer la dérive d’un paramètre (pression,
température…) vers un état dangereux.
- Une partie système de traitement logique chargée d’acquérir le signal en provenance
du capteur, de traiter celui-ci et de commander l’élément final.
- Une partie élément final ou actionneur chargée de mettre le procédé dans sa
position de sécurité et la maintenir.

Les normes l’ANSI/ISA S84.01-1996 et la CEI 61511 établissent les prescriptions relatives à la
spécification, la conception, l’installation, l’exploitation et la maintenance du SIS, afin d’avoir
toute confiance dans sa capacité à amener le procédé dans un état sûr. Les étapes de base
pour se conformer à ces normes sont :
- Etablir une cible de sécurité (risque acceptable) du procédé et évaluer le risque
existant.
- Identifier les fonctions de sécurité requises et les affecter aux niveaux de protection.
- Déterminer si la fonction instrumentée de sécurité est requise.
- Implémenter la fonction instrumentée de sécurité dans un SIS et déterminer le SIL du
SIS.
- Vérifier que le SIS permet d’atteindre la cible de sécurité exigée au départ.

La table 1 donne le SIL du SIS en fonction de la valeur de son PFD (probabilité de défaillance
sur demande) et de sa fréquence de sollicitation.

2
 SIL Faible demande (PFDavg)

4  10-5 à < 10-4

3  10-4 à < 10-3

2  10-3 à < 10-2

1  10-2 à < 10-1

2) Exemple de SIS

Considérons l’exemple suivant, un procédé est constitué d’un réservoir sous pression
contenant un liquide inflammable volatil avec l’instrumentation associée. Le système de
protection disponible est un système instrumenté de sécurité constitué de trois capteurs de
pression qui relèvent en continu la valeur de la pression et ils sont contrôlés par un automate
programmable qui commande aussi le fonctionnement des vannes qui sont normalement
ouvertes.

Une condition d’excès de pression peut provoquer un rejet de produit inflammable dans
l’environnement. Il s’agit d’un événement initiateur qui peut se transformer en un scénario
d’événement dangereux selon la réponse des systèmes de protection disponibles.
D’autres événements initiateurs qui peuvent provoquer un rejet de gaz dans l’environnement
pourraient inclure les fuites du matériel du procédé, la rupture de la tuyauterie, et des

3
événements externes tels qu’un incendie. Pour cet exemple, seule la condition d’excès de
pression est étudiée.
Le système instrumenté de sécurité a pour finalité, en cas de sollicitation, de fermer les deux
vannes qui sont en redondance 1oo2 (1 out of 2). Ainsi, il faudrait la défaillance dangereuse
des deux vannes pour qu'un signal d'alarme valide ne soit pas traité correctement.
Le système de sécurité n'est pas capable d'induire une situation dangereuse de lui-même. Le
pire des cas qui peut se produire est une panne dangereuse, c'est-à-dire que le système ne peut
effectuer sa fonction de sécurité prévue.
Les trois capteurs sont des transmetteurs de pression et sont également en redondance 2oo3.
Des tests périodiques en ligne sont effectués par ces transmetteurs. Une information
concernant la comparaison des signaux de sortie des trois capteurs est effectuée et renvoyée
aux deux automates programmables.
Seules les défaillances dangereuses sont considérées.
3) Dans l’exemple ci-dessus, tous les éléments peuvent tomber en panne.
3.1) Donner l’arbre des causes modélisant le SIS et le saisir sur Aralia Sim-tree
3.2) Introduire les données de fiabilités suivantes :

événement type de loi

 ( h −)
PSH1Failure Exponentielle 7e-7
PSH2Failure Exponentielle 7e-7
PSH3Failure Exponentielle 7e-7
SDV1Failure Exponentielle 4.1e-6
SDV2Failure Exponentielle 4.1e-6
LogicSolver1Failure Exponentielle 1e-6
LogicSolver2Failure Exponentielle 1e-6

3.3) Nous supposons que le temps de mission est d’une seule année :
Déterminer la PFD (probabilité de défaillance sur demande du système). Et tracer sa
courbe en fonction du temps.
3.4) Déterminer la PFD moyenne (pour la durée d’une année) et en déduire le niveau de
SIL correspondant (à partir du tableau 1).
3.5) Proposer une solution pour améliorer le niveau SIL du système instrumenté de
sécurité.