Démarche d'évaluation de la sécurité et d'aide à la décision

Transcription

1 Produits Systèmes Projet National de recherche et développement INGÉNIERIE DE LA SÉCURITÉ INCENDIE Démarche d'évaluation de la sécurité et d'aide à la décision Mars 2011

2 Produits Systèmes

3 Produits Systèmes Sommaire 1. Les apports majeurs de l action 3 : démarche d évaluation de la sécurité et d aide à la décision 5 2. Méthodologie d analyses des risques applicables aux études l ISI Généralités Démarche à suivre lors de la réalisation d une étude des risques Définition du système à étudier et des objectifs à atteindre Recueil des informations indispensables à l'analyse des risques Constitution d une équipe de spécialistes pour réaliser l analyse des risques Procédure de l appréciation des risques Méthodes d analyse des risques Aide à l analyse des risques par la simulation numérique Méthodes d évaluation des barrières de sécurité techniques et humaines Nouvelles approches pour l analyse des risques (possibilistes, probabilistes et fiabilistes) Approches possibilistes La formalisation des données La fusion des données L interprétation des données (défuzzification) Approches probabilistes Approches fiabilistes Exemples d application Études possibilistes Études probabilistes Études fiabilistes Deux méthodes pour la réduction des risques incendie Installations d extinction automatique à eau Retours d expérience Modélisation des systèmes de sprinklage et détecteurs de chaleur Détecteurs de fumée Fiabilité, contrôles, tests et maintenance Méthodes d aide au choix et incertitudes 26

4 Produits Systèmes 5.1 Aide au choix de solutions finales de mise en sécurité Étape 1 : construction du problème de décision Étape 2 : résolution du problème posé Prise en compte des incertitudes des risques incendie Exemples d application de l analyse des risques Évaluation des risques incendie d une construction Choix d actions de mise en sécurité d un hôtel Brève Description du cas d étude Résultats pour le parking Résultats pour la chambre en feu par l approche Résultats pour la chambre en feu par l approche Aide au choix de mesures de sécurité Conclusions Références 40 Annexe A : Recensement des méthodes d analyses de risque et applicabilité de ces méthodes dans le cadre d une ISI. Tome 1 Les méthodes d analyses de risque dans les EDD 41 Annexe B : Développement d une méthode de diagnostic et d évaluation des risques incendie d une construction et d une méthode d aide à la décision pour le choix des actions de mise à niveau donné de sécurité - Restitution des travaux de recherche actuellement menés dans le cadre de la thèse de Julien Chorier (ESIGEC). 73 Annexe C : Démarche d évaluation de la sécurité et d aide à la prise de décisions. Gestion de la sécurité structurale globale. Méthodes probabilistes appliquées à l objectif de la stabilité structurale 133 Annexe D : Aide au choix des solutions de mise en sécurité incendie après simulation événementielle probabiliste par les réseaux de Petri : application à un hôtel (étude de faisabilité). 177

5 Produits Systèmes 1. Les apports majeurs de l action 3 : démarche d évaluation de la sécurité et d aide à la décision Le développement de l ingénierie de la sécurité incendie (ISI) apporte depuis quelques années des éléments de réponse à des besoins concernant l innovation et le maintien (ou l amélioration) du niveau de sécurité incendie des ouvrages (y compris la fiabilisation de la tenue au feu des structures). Toutefois, cette avancée n aurait pas été possible sans l amélioration de la connaissance des phénomènes physiques de l incendie ainsi que la mise en œuvre de corrélations d ingénierie (par exemple celles incluses dans les codes de simulation incendie) qui permettent de prédire le comportement du feu et de présumer les conséquences des sinistres. La croissance de la puissance des ordinateurs est également un levier qui a rendu possible des calculs complexes tels que la croissance, la propagation du feu et la tenue des structures pendant un incendie. Un développement rapide et efficace de l ISI peut être atteint en créant une synergie entre les concepts classiques du comportement du feu et de nouveaux outils apportés par d autres domaines de l ingénierie et des sciences. Le choix des outils les mieux adaptés nécessite d abord le recensement des méthodes disponibles, et ensuite l évaluation de la possibilité de la mise en œuvre de ces méthodes afin de combler les manques de l ISI. Les travaux réalisés par l action 3 du PN-ISI, établissent l état de l art des méthodes pour la détermination des dangers propres aux systèmes, l analyse des risques et d aide à la décision. Ces méthodes ont été classiquement utilisées pour l analyse de la sûreté de fonctionnement des équipements dans les installations industrielles. Des efforts importants ont été réalisés afin d appréhender les problématiques propres de la sécurité incendie. Dans ce sens, des approches possibilistes ont été utilisées : elles permettent de tenir compte des concepts flous (descriptifs) tels que les dires d expert ou des analyses réalisées après sinistre. Elles permettent d associer une quantification à des notions qui sont purement descriptives, et ainsi d en tenir compte dans le calcul des risques. Les démarches à suivre lors de la réalisation d analyse des risques ont été présentées. Dans le présent rapport sept méthodes d analyse des risques sont décrites. Ces méthodes ont été utilisées pour analyser la sécurité incendie d un hôtel et la sûreté d installations nucléaires pour la production d énergie électrique. L efficacité des dispositifs permettant de diminuer les risques incendie a été abordée, tels que : les barrières de sécurité, organisationnelles ou matérielles, passives ou actives (comme par exemple les systèmes d extinction automatique à eau, sprinkleurs). D autres systèmes qui visent la réduction des risques ont été également recensés dans les différents rapports de ce groupe de travail, tels que les détecteurs de fumée, les détecteurs de chaleur, la signalisation, la formation du personnel, etc. Les études de la sécurité incendie sont le plus souvent réalisées par des approches déterministes. Des approches possibilistes et probabilistes ont été mises en œuvre dans le groupe de travail afin de déterminer la pertinence de ce type d outils dans le cadre incendie. Des outils prometteurs tels que les réseaux de Petri ont été identifiés. Toutefois, la mise en œuvre de chaque outil nécessite d une part, des connaissances pointues sur le système étudié et d autre part, une maîtrise parfaite 5/222

6 Produits Systèmes des formalismes mathématiques qui permettent, entre autres, de transformer dans un «langage commun» les données d entrée provenant des sources diverses. Des statistiques publiques sur les sinistres ainsi qu une méthode claire et précise pour alimenter des bases de données seraient de grande utilité notamment lors de la définition de la fréquence d occurrence d un certain type de feux. Celles-ci permettraient de mieux estimer les pertes potentielles pour un type particulier de danger et de mieux définir les besoins lors de la mise en œuvre de mesures de sécurité 1. 1 Dans ce rapport, les mots «sécurité» et «sûreté» sont utilisés indistinctement. Chaque lecteur peut faire référence à l un ou l autre selon sa convenance. 6/222

7 Produits Systèmes 2. Méthodologie d analyses des risques applicables aux études l ISI 2.1 Généralités Les termes «dangers» et «risques» étant fréquemment utilisés dans le présent rapport, il importe de rappeler leur signification : Danger : propriété intrinsèque à une substance, à un système technique, à une disposition, à un organisme, de nature à entraîner un dommage sur un élément «vulnérable». C est un concept qualitatif et descriptif. Risque : combinaison entre la probabilité qu un incendie se produise et les conséquences particulières quantifiées qui en découlent. C est un concept quantitatif qui est souvent calculé comme le produit des indicateurs des risques suivants : la probabilité (ou la fréquence) d occurrence de l événement non souhaité ; la gravité (ou l ampleur des dommages) ; la répartition probabiliste des atteintes des niveaux de dommages (indicateur de gravité). Lors des analyses des risques, il convient d identifier clairement le système à étudier (cible) et de déterminer sans ambiguïté les limites de l étude afin de déterminer les ressources nécessaires lors de sa réalisation. Dans la conception performantielle (ISI), des scénarios d étude doivent être évalués. Pour ce faire, deux approches sont possibles : Approche dite «probabiliste», fondée sur les risques : les conséquences de chaque scénario sont pondérées par leur probabilité d occurrence. Si la somme des risques associés à chaque scénario est inférieure à un certain seuil, alors la conception est considérée comme acceptable. Approche dite «déterministe» : les scénarios sont classés seulement au regard de leur gravité, et le non-franchissement des valeurs-seuils retenues. Ils doivent permettre de satisfaire aux objectifs de sécurité. 2.2 Démarche à suivre lors de la réalisation d une étude des risques Dans cette section est présentée succinctement la procédure à suivre pour la réalisation d une étude des risques. Cette démarche est couramment adoptée pour l analyse des risques associés à l exploitation d installations industrielles [2] Définition du système à étudier et des objectifs à atteindre La définition des objectifs de l analyse des risques permet notamment de définir les critères d acceptabilité des risques. A l heure actuelle, les objectifs les plus fréquents qui motivent la réalisation de ce type d étude sont : analyser les risques d accidents de manière générale et les événements pouvant nuire à la bonne marche du procédé (pannes, incidents ) ; 7/222

8 Produits Systèmes analyser plus spécifiquement les risques aux postes de travail (Code du travail, sûreté de fonctionnement ) ; analyser les risques d accidents majeurs (cas de l étude des dangers). Une fois que le cadre a été défini, le recueil de données peut être effectué Recueil des informations indispensables à l'analyse des risques Le recueil d information est normalement une des étapes les plus longues de l analyse des risques. Ces analyses nécessitent de multiples données d entrée qui peuvent être extraites de bases de données statistiques ad hoc, bases de données historiques (fiabilité), observations in situ, mesures de laboratoire et jugement d expert. En fonction de la finesse nécessaire et du domaine d application de l analyse de risque, il peut être composé des étapes suivantes [2] Description fonctionnelle Il s agit de réaliser les actions suivantes : identifier les fonctions du système étudié : permet de répondre à la question «A quoi sert?» et de caractériser les défaillances possibles ; caractériser la structure du système : description des différents éléments qui composent le système (y compris les connexions, interactions et localisations respectives) ; définir les conditions de fonctionnement du système : descriptions des états (arrêt, marche, état transitoire), des consignes spécifiques en cas d incident et les conditions de fonctionnement (phase, température, pression ) ; décrire les conditions d exploitation du système : description des consignes d exploitation, les conditions de surveillance du système (alarmes, inspections, vérification, tests périodiques) ainsi que les conditions d intervention (maintenance préventive, corrective ) Environnement La description de l environnement du système est importante à double titre : l environnement peut être une source d agressions pour le système, il convient de repérer : autres parties des installations, zones de circulation (de travaux ), possibles actes de malveillance, sources d agressions naturelles (gel, vent, neige, brouillard, séismes, foudre, inondations ), présence d établissements industriels proches, transport de matières dangereuses sur des voies de communication proches, présence d aéroports, d aérodromes L environnement constitue généralement une cible pouvant être affectée en cas d accident. Il est important d identifier les cibles vulnérables telles que les personnes, les équipements dangereux, les équipements critiques qui permettent de maintenir un niveau de sécurité acceptable des installations, les biens et les structures, l environnement naturel Les dangers associés aux installations Les dangers associés aux installations peuvent être générés par l installation même ou par son environnement : Internes à l installation : liés aux produits (inflammabilité, toxicité, incompatibilité ), conditions opératoires, réactions chimiques (conditions d emballement tels que pression, température, concentration ) ; Externes à l installation : agressions sismiques, foudre, synergies d accidents ou effets dominos 8/222

9 Produits Systèmes Analyse des accidents survenus sur des installations similaires Concerne l analyse d accidents survenus par le passé dans l installation étudiée ou des installations similaires. Cette étape met en lumière les causes les plus fréquentes d accident et donne des renseignements concernant les performances de certaines barrières de sécurité. Elle constitue une base de travail afin d identifier a priori des scénarios d incendie Constitution d une équipe de spécialistes pour réaliser l analyse des risques De manière générale, les outils d analyse des risques sont destinés à être mis en œuvre dans le cadre de groupe de travail interdisciplinaire. Il n est pas attendu que cette étude soir réalisée par une seule personne Procédure de l appréciation des risques L appréciation des risques consiste à identifier les phénomènes dangereux et à en donner une signification (probabilités et conséquences potentielles). Elle nécessite de connaître le système sur lequel l analyse va être menée et d avoir des objectifs de sécurité et des critères d atteinte de ces objectifs. Le processus d appréciation des risques est schématisé dans la Figure 1. Figure 1 : Processus de l'appréciation des risques nécessaire à la définition des scénarios incendie Le processus de la Figure 1 constitue la base de tout processus de gestion des risques qui se décompose de manière générale en quatre étapes principales : l appréciation des risques ; le traitement des risques (non tolérables) ; l acceptation des risques (résiduels, après réduction des risques non tolérés) ; la communication (sur les risques résiduels). Dans la grande majorité d étude de sécurité incendie, le processus de la Figure 1 est décliné selon l objectif que l on s est fixé. Autrement dit, en fonction de la finesse de l analyse et des objectifs recherchés, il peut être admis par exemple, de 9/222

10 Produits Systèmes considérer soit l occurrence, soit la gravité (avec une fréquence d occurrence de 100 %) pour l ensemble des scénarios évalués. Si l'analyse de risque a pour but unique de faire de la prévention, on agira sur l'occurrence du risque. L'analyse pourra être du type probabiliste et s'attacher à décrire toutes les sources potentielles d'un incendie en discriminant les sources principales des sources secondaires. L'analyse ne tiendra pas compte des conséquences et de la gravité. Le résultat sera sous forme de recommandation sur des mesures pour éliminer ou réduire les sources ou protéger les combustibles présents. Si l'objectif est, par exemple, d'éviter l'incendie généralisé, l'analyse de risque sera orientée uniquement sur les conséquences possibles des sinistres. L'occurrence ne sera pas étudiée, on considérera de façon déterministe que l'événement redouté a lieu. L'analyse se concentrera alors sur les dispositions constructives, les localisations des potentiels de danger, les mesures de prévention, les moyens de protection et éventuellement sur une évaluation des conséquences (elle n'est pas toujours nécessaire). Dans ces deux exemples, seule une partie des méthodes d'analyse de risque est utilisée : la détermination des potentiels de danger (et situations dangereuses) ou le type de risque encouru. Le recensement des données d'entrée sera bien entendu ajusté en fonction des besoins de l étude. L évaluation de la probabilité d'occurrence du risque et l évaluation des dommages sont des étapes dépendantes directement des attentes de l'analyse de risque et ne sont pas forcément utiles dans la démarche. Dans le cas où l ensemble de la démarche décrite dans la Figure 1 est suivie, une étape qualitative initiale permet d aborder de manière systématique les enchainements pouvant conduire à l événement redouté, et en conséquence, d identifier les mesures et équipements prévus ou à envisager en vue de maîtriser les risques associés. Une évaluation semi-quantitative des risques peut être réalisée, auquel cas il faut définir en amont de l analyse des échelles de cotation des risques en terme de probabilité et de gravité ainsi qu une grille de criticité explicitant les critères d acceptabilité retenus par le groupe de travail. Il est nécessaire de s assurer de la recevabilité de la méthodologie (données d entrée, outils, méthodes, utilisateurs) avant le début de l analyse et de vérifier la compatibilité du type de résultat avec les objectifs fixés. Dans le cas particulier d une étude de danger, l échelle de gravité doit, par exemple, inclure des critères relatifs à l atteinte de personnes, de l environnement ou de biens et équipements à l extérieur du site concerné. La grille de criticité permet au groupe de définir les couples (probabilité / gravité) correspondant à des risques jugés inacceptables. L objet de cet outil est d envisager des actions prioritaires pour réduire la probabilité d occurrence et la gravité. L équipe de travail doit ensuite choisir un ou plusieurs outils d analyse des risques afin de réaliser de façon systématique l identification des dangers et le calcul des risques associés. Le paragraphe suivant présente de façon succincte des méthodes fréquemment utilisées pour l analyse des risques en milieu industriel Méthodes d analyse des risques Des approches inductives ou déductives sont utilisées dans les méthodes d analyse des risques. Dans une approche inductive, une défaillance (ou une combinaison de défaillances) est à l origine de l analyse. Il s agit alors d identifier les conséquences 10/222

11 Produits Systèmes de cette ou ces défaillances sur le système ou son environnement. On dit généralement que l on part des causes pour identifier les effets. À l inverse, dans une approche déductive, le système est supposé défaillant et l analyse porte sur l identification des causes susceptibles de conduire à cet état. On part alors des effets pour remonter aux causes [2]. Le Tableau 1 présente succinctement les différentes méthodes d analyse des risques qui peuvent être utilisées lors des études ISI. Cette liste n est pas exhaustive, elle a été établie selon les méthodes les plus fréquemment utilisées dans les milieux industriels pour l analyse de la sûreté de fonctionnement des procédés. D autres méthodes existent dans la littérature mais elles ne font pas l objet de ce document. Le code NFPA 551 classe les méthodes d évaluation des risques incendie en méthodes qualitatives, méthodes semi-quantitatives en termes de probabilité, méthodes semi-quantitatives en termes de conséquence, méthodes quantitatives et méthodes coûts bénéfices. Les plus utilisées sont les méthodes qualitatives et quantitatives. Le classement des méthodes selon ces critères n a pas été réalisé par le groupe de travail de l action 3. Nom de la méthode Analyse Préliminaire des Risques / Dangers (APR / APD) Analyse des Modes de Défaillances, de leurs Effets et de leur Criticité (AMDEC) Principe de la méthode Cette méthode est utilisée au stade de la conception d une installation ou lors de la première approche d analyse des risques. L APR a pour objectif d identifier les dangers d une installation et ses causes, d évaluer la gravité des conséquences. L identification des dangers est effectuée grâce à des listes d éléments et de situations dangereuses établies en fonction du domaine d application. Les mesures de prévention ou de protection appropriées sont ensuite décrites par l équipe de travail. La méthode AMDEC est essentiellement adaptée à l étude des défaillances de matériaux et de systèmes alliant plusieurs techniques électromécaniques. Elle permet d évaluer l importance des effets et la séquence d événements provoqués par chaque mode de défaillance. Une analyse quantitative permet de prévoir les indices de performances du système pendant qu il remplit une tâche spécifique ou lorsqu il doit fonctionner sur une longue période dans des conditions précises (fonctionnement normal, arrêt ). Ensuite, des diagrammes fonctionnels et de fiabilité (modes de défaillance) sont élaborés ainsi qu une étude de la criticité et de la probabilité des modes de défaillances. Hazard and operability (HAZOP) Cette procédure d analyse est répétée pour toutes les composantes et tous les modes de fonctionnement des systèmes examinés. La méthode HAZOP s intéresse à l influence des déviations des paramètres physiques régissant un procédé (pression, température, débit, etc.) par rapport à leurs valeurs nominales. Cette méthode met en évidence les causes, les conséquences, les moyens de détection et les actions correctrices (automatiques ou manuelles) nécessaires lorsqu une déviation dangereuse est détectée. Les déviations potentiellement dangereuses sont ensuite hiérarchisées selon le couple (fréquence, gravité) afin de déterminer les actions futures à 11/222

12 Produits Systèmes Nom de la méthode Principe de la méthode engager. Méthode de l Arbre des Conséquences ou Arbres d Événements (MACQ / MAE) Méthode de l Arbre des Défaillances (MAD) ou des Défauts ou des Fautes La principale différence entre AMDE et HAZOP est que la première est centrée sur les composants, tandis que la deuxième concerne l installation dans son ensemble. L efficacité de la méthode HAZOP repose sur l expérience des personnes du groupe de travail. L analyse par arbre d événements suppose la défaillance d un composant ou d une partie du système et s attache à déterminer les événements qui en découlent. Cette méthode permet donc d estimer la dérive du système en envisageant de manière systématique le fonctionnement ou la défaillance des dispositifs de détection, d alarme, de prévention, de protection ou d intervention MAE permet de traiter des systèmes comportant de nombreux dispositifs de sécurité et de leurs interactions (séquences accidentelles). Elle est appropriée lorsque le fonctionnement du système étudié est approximativement chronologique, mais discret (événements ponctuels dans le temps). La mise en œuvre de cette méthode est simple et rapide. Elle permet de déterminer l enchaînement des événements ainsi que le résultat final : succès ou échec. L analyse par arbre des défaillances vise à déterminer l enchaînement et les combinaisons d événements pouvant conduire à un événement redouté pris comme référence (peut être un accident qui s est produit avec des effets connus). L objectif principal est alors de déterminer les causes réelles qui ont conduit à l accident. À l aide de règles mathématiques et statistiques, il est alors théoriquement possible d évaluer la probabilité d occurrence de l événement final à partir des probabilités des événements de base identifiés (dont la probabilité d occurrence peut être évaluée). S agissant d une méthode qui peut se révéler rapidement lourde à mener, elle doit être réservée à des événements jugés particulièrement critiques. L utilisation préalable de méthodes inductives (APR, AMDEC, HAZOP) permet d identifier les événements qui méritent d être retenus pour une analyse par arbre des défaillances. L exploitation des arbres de défaillance peut être réalisée de façon qualitative ou quantitative. Dans le premier cas, tous les événements de base sont supposés équiprobables et on étudie le cheminement à travers les portes logiques d événement ou de combinaisons d événements jusqu à l événement final. Dans le deuxième cas, à partir des probabilités d occurrence des événements de base, la probabilité d occurrence de l événement final ainsi que des événements intermédiaires est calculée. 12/222

13 Produits Systèmes Nom de la méthode Hazard Analysis Critical Control Point (HACCP) Méthode Nœud Papillon Principe de la méthode La méthode HACCP évalue les dangers et établit des systèmes de maîtrise axés sur la prévention au lieu de faire appel essentiellement à des procédures de contrôle a posteriori du produit fini. Cette méthode établie les limites à respecter pour s'assurer que le point critique pour la maîtrise des dangers est sous contrôle (mise au point d un système de surveillance et contrôle). Le nœud papillon est un outil qui combine un arbre de défaillance et un arbre d événements. Le point central du Nœud Papillon, appelé Événement redouté central, désigne généralement une perte d intégrité physique (décomposition) du système étudié. La partie gauche du Nœud Papillon s apparente à un arbre des défaillances s attachant à identifier les causes de l événement redouté central (menaces). La partie droite du Nœud Papillon s attache à déterminer les conséquences de cet événement redouté central tout comme le ferait un arbre d événements. Cet outil introduit la notion de barrières qui contribuent à réduire les dangers et les conséquences de l événement central redouté. S agissant d un outil lourd à mettre en place, son utilisation est généralement réservée à des événements jugés particulièrement critiques pour lesquels un niveau élevé de démonstration de la maîtrise des risques est indispensable. Tableau 1 : Principes des méthodes d analyse des risques classiquement utilisées pour la sûreté de fonctionnement des installations [2]. Certains auteurs incluent dans la liste de méthode d analyse des risques des approches stochastiques tels que les processus Markiviens, les réseaux de Petri, les simulations avec tirage aléatoire des paramètres par Monte-Carlo, etc. [3]. Elles peuvent être utilisées lorsque des simulations multivariables des cas étudiés (systèmes ou ouvrages) sont mises en œuvre. L évaluation du risque est réalisée sur la base de la définition des critères de performance pour le calcul de la gravité et de la définition des scénarios d incendie possibles pour le calcul de la fréquence d occurrence. En particulier, les réseaux de Petri sont fondés sur la définition de «places» qui sont reliées par des «transitions». Chaque place peut contenir des «marques», et aux transitions sont associées des «règles». Le transfert d une marque d une place à une autre à travers une transition caractérise le changement d état d un système. Ce formalisme adapté aux événements d un incendie permet d étudier la sécurité d ouvrages (des informations supplémentaires sur les réseaux de Petri peuvent être obtenues en Réf. [3]). Le manuel SFPE Handbook of Fire Protection Engineering classe les méthodes d évaluation des risques incendie en quatre familles, à savoir : check-lists : simples listes des sources de danger propres à un type ou une classe de bâtiment (elles ne sont pas utilisées en conception performantielle) ; descriptions : listes de recommandations d actions à conduire ou non (elles ne sont pas utilisées en conception performantielle) ; hiérarchisations : attribution de valeurs aux dispositifs de sécurité incendie. La note totale assignée à une conception est la somme de toutes les notes 13/222

14 Produits Systèmes individuelles assignées aux différents systèmes. Elles sont utiles seulement pour comparer différentes options de conception ; méthodes probabilistes : méthodes fondées sur la probabilité et la conséquence de chaque événement. Entre autres, elles comprennent les arbres d événements, les arbres de décision et les arbres de cause Aide à l analyse des risques par la simulation numérique Des outils de simulation numérique d incendie peuvent être utilisés lors des analyses des risques incendie d ouvrages. Leurs données de sortie permettent d estimer les risques engendrés par le feu (calcul de la probabilité d occurrence des événements redoutés et l estimation de la gravité des scénarios) Méthodes d évaluation des barrières de sécurité techniques et humaines Généralités Certaines analyses de risque nécessitent la prise en compte de fonction de sécurité, principalement en déterminer les performances. Une fonction de sécurité peut être composée d'une ou de plusieurs barrières de sécurité, elles-mêmes constituées de plusieurs sous-systèmes, qui se répartissent selon trois sous-fonctions : détection, traitement, action. Il est rappelé qu une barrière est un ensemble de moyens techniques, d organisation, de management, mis en place pour interrompre ou modifier les événements non souhaités de façon à en réduire la probabilité et / ou la gravité. De façon générale, les barrières techniques ne nécessitent pas une action humaine. L'objectif de l'évaluation de la performance des barrières est de garantir que celles mises en œuvre permettent d'assurer les objectifs des fonctions de sécurité (en termes d'efficacité, de temps de réponse, de fiabilité). La vérification de la performance des barrières doit être menée par un groupe de travail regroupant les spécialités concernées par l étude. Les critères suivants sont utilisés pour l évaluation : efficacité, temps de réponse (comprenant la détection, le traitement et l action), niveau de confiance (NC), condition de maintien dans le temps. L analyse de performance d un sous-système constituant une barrière est réalisée par l étude de la performance de chacun des éléments unitaires (détection, traitement, action). Puis l ensemble des résultats est utilisé dans la détermination de la performance du système global Performance des barrières techniques de sécurité Pour être retenue comme barrière de sécurité, il faut d'abord s'assurer que la barrière est indépendante de la cause, c est-à-dire que la cause ne conduit pas à un dysfonctionnement de la barrière. Comme pour les barrières humaines, la performance des dispositifs techniques de sécurité est évaluée selon les trois critères : efficacité, temps de réponse, leur niveau de confiance. Pour les barrières techniques, la détermination du niveau de confiance est réalisée suivant la typologie de la barrière technique : système instrumenté de sécurité (SIS) : des tableaux (ex. : dans les normes NF EN [4] et NF EN [5]) fournissent la valeur maximale du niveau de confiance en fonction de la tolérance aux anomalies du matériel et de la proportion de «défaillance en sécurité» pour les sous-systèmes simples et 14/222

15 Produits Systèmes pour les sous-systèmes complexes 1. La tolérance à la première défaillance permet de se placer dans une échelle de tolérance aux anomalies du matériel. Cependant, des connaissances précises des modes de défaillance du dispositif sont nécessaires afin de déterminer la «proportion de défaillance en sécurité» c est-à-dire sans perte de la fonction de sécurité ; barrière passive : utilisée lorsque des données sont manquantes, elle est constituée par exemple par les gabarits limitant les chocs, les cuvettes de rétention, les compartimentages coupe-feu, etc. L analyse doit être complétée par l étude des défaillances possibles Performance des barrières humaines de sécurité Les barrières humaines de sécurité (et les éléments techniques dont elles se servent) doivent être indépendantes de la cause du scénario lui-même. Les barrières humaines peuvent être séparées en deux classes, chacune faisant référence à un type de tâche : vérification : elles ont pour but de vérifier que les conditions de sécurité sont effectives (préalablement à une activité à risque) ; rattrapage de dérives : elles ont pour but de détecter une dérive et d en limiter les effets. Elles s inscrivent dans la cinétique de la séquence d'incident ou d'accident. La vérification de l'efficacité d une barrière humaine consiste à s assurer qu un opérateur détient les aptitudes requises pour remplir la tâche attendue, et s'il dispose des outils appropriés (ex. : les clés du local), s'il porte les équipements de protection individuels adaptés (protections contre la chaleur, les fumées) et si les moyens d'intervention sont positionnés de façon à ne pas l'exposer à l'incendie lorsqu'il les utilise. 1 Les systèmes sont classés comme simples ou complexes en fonction de la présence ou pas d un microprocesseur 15/222

16 Produits Systèmes 3. Nouvelles approches pour l analyse des risques (possibilistes, probabilistes et fiabilistes) Cette section décrit succinctement des nouveaux outils qui peuvent être utilisés lors de la réalisation d analyse des risques, ce sont les approches : possibilistes, probabilistes et fiabilistes. 3.1 Approches possibilistes Les approches possibilistes constituent un formalisme mathématique qui permet la prise en compte de concepts qui ne sont pas de nature binaire (ex. : accepté / rejeté ou évacuer / rester en place) mais dont les bornes sont imprécises. La notion de sous-ensemble flou autorise l utilisation de concepts aux limites mal définies, de situations intermédiaires entre le tout et le rien, par exemple en ISI les catégories sont des états possibles, l état «dégradé» se situant entre l état «fonctionnement optimal» et l état «défaillance». L approche possibiliste permet de modéliser l imprécision et l incertitude des connaissances et des données dont le modélisateur dispose. Cette approche est fondée sur une démarche en trois phases : l unification des données (consensus entre les données), l agrégation des données (exploitation) et la défuzzification (interprétation) des données ; la démarche classique est schématisée dans la Figure 2. Figure 2 : Démarche de l'approche possibiliste La procédure de la Figure 2 permet de prendre en compte les dires d expert qui peuvent être qualitatifs et / ou quantitatifs La formalisation des données L utilisation des connaissances expertes requiert notamment deux phases : le recueil des connaissances (élicitation) et leur formalisation. Des sous-ensembles flous permettent de modéliser les données dites «imprécises» qui constituent les données d entrée nécessaires à des analyses de l ingénierie de la sécurité incendie, à savoir : la modélisation des dires d expert passe par l association de fonctions mathématiques à des expressions telles que : «environ 30 min.», «approximativement entre 20 et 30 min.», «avant 30 min.» et «au-delà de 30 min.» ; des probabilités peuvent être modélisées. Tout couple de fonctions duales crédibilité / plausibilité ou nécessité / possibilité peut être interprété comme 16/222

17 Produits Systèmes des probabilités d occurrence dans une plage avec des limites inférieures et supérieures propres à une famille de probabilités ; des distributions statistiques peuvent être simulées comme des distributions possibilistes. Cette transformation consiste à choisir la mesure de possibilité parmi l ensemble de mesures de possibilité dominant. Cette technique permet en plus de prendre en compte l incertitude du processus d échantillonnage et est utile afin de calculer la matrice de probabilités. Dans la méthodologie possibiliste, l évaluation de la qualité des données est réalisée par l estimation de la confiance que l on peut avoir en la donnée collectée vis-à-vis de sa source et en la modélisation (en format possibiliste). Pour ce faire, l outil le plus utilisé est Numerical Unit Spread Assessment Pedrigree (NUSAP) qui est un mode de représentation de l information scientifique prenant en compte divers aspects qualitatifs et quantitatifs de l incertitude. L outil NUSAP a été adapté dans le contexte de l évaluation de la durée de vie des produits de construction (planchers, murs, toitures, fenêtres, etc.). Une grille d évaluation de la qualité des données applicables à tout type de données et à toute évaluation a été proposée (ex. : la durée de tenue au feu, la probabilité de défaillance, etc.). Une échelle de classement est définie afin de caractériser la validité des données selon les critères suivants : modélisation, hypothèses de modélisation, données de base, source, censure, représentativité, correspondance d échelles, correspondance des sollicitations, entropie. À l issue de cette première phase de la démarche possibiliste, le modélisateur dispose d un ensemble de données et des indicateurs de leur qualité, c est-à-dire qu à chaque donnée est associée une fonction de distribution possibiliste et une masse de croyance (mesure de la qualité d une donnée qui est égale à la moyenne des valeurs obtenues pour les neuf critères listés précédemment) La fusion des données Des méthodes mathématiques ont été définies pour la préparation des données et leur assemblage. Cela consiste en la définition des règles pour agréger les informations par familles en fonction de leur pertinence. L agrégation des données consiste à exploiter au mieux l ensemble des données disponibles relatives à des sous-problèmes du problème à résoudre. Une agrégation permet d obtenir une donnée consensuelle et un indicateur de la qualité de ce résultat. À titre d exemple, l agrégation de durée consiste à estimer la durée d un problème (durée de réalisation d un scénario) ainsi que la qualité de cette estimation à partir des durées des sous-problèmes (durée de réalisation des phénomènes) L interprétation des données (défuzzification) La prise de décision se traduisant en action de type déterministe (installer ou non un dispositif, choisir une technique de protection parmi ), il est nécessaire de raisonner in fine sur des informations déterministes. Le rôle de la défuzzification est de transformer des évaluations floues en évaluations déterministes et ceci en perdant le moins d information possible. Il existe quatre grandeurs déterministes principales qui permettent de caractériser les résultats issus de l unification et de l agrégation des données : le consensus, la plausibilité, la croyance et la probabilité de Smets. À partir de ces quatre grandeurs caractérisant les résultats de la fusion de données, il existe plusieurs démarches d interprétation des résultats : 17/222

18 Produits Systèmes l obtention d un intervalle de valeurs cible (ex. : un intervalle de durées) pour des valeurs fixées au préalable de plausibilité 1, probabilité de Smets et croyance ; l obtention d un intervalle de valeurs puis de la plausibilité, de la probabilité de Smets et de la croyance associées à cet intervalle pour une valeur de consensus fixée. 3.2 Approches probabilistes Les Études Probabilistes de Sûreté (EPS) permettent de compléter les analyses déterministes classiques grâce à l investigation systématique des scénarios accidentels. Ils permettent d apprécier les risques liés aux installations en termes de fréquences d événements redoutés et de leurs conséquences. À ce titre, elles apportent une aide dans la définition et la hiérarchisation des actions à mener en vue d atteindre ou de maintenir un niveau de sûreté satisfaisant. Les EPS considèrent une liste d événements initiateurs aussi réaliste et complète que possible. Elles permettent de mettre en évidence des situations de fonctionnement couvrant des événements complexes et des cumuls d événements, notamment celles liées à la perte des systèmes redondants et, selon le domaine de couverture, celles liées à l occurrence d une agression interne ou externe. Les EPS établissent, pour chaque événement initiateur, les séquences accidentelles résultant du succès ou de l échec des systèmes et les actions à mener pour assurer les fonctions de sûreté. Ensuite, elles évaluent la fréquence d occurrence de l événement redouté. Par sommation de l ensemble des valeurs des fréquences calculées, elles permettent d évaluer : la fréquence totale de l événement redouté, la contribution de chaque événement initiateur à la fréquence calculée et la contribution des équipements et des actions de conduite au maintien de la sécurité. Lorsque l on veut modéliser un phénomène physique par une approche probabiliste, les paramètres du problème sont considérés comme des variables aléatoires (VA), il faut ainsi s intéresser à : l analyse des causes qui agissent sur le phénomène et le rendent aléatoire (ex. : comportement très non linéaires, apparition du phénomène à des périodes de temps irréguliers ) ; la proposition d une VA pour modéliser le phénomène : définition, type (discrète ou continue), domaine (la valeur d une variable aléatoire représente la modalité que présente un évènement à l issu d une épreuve aléatoire) ; la loi de probabilité associée (normale ou gaussienne, log-normale, uniforme, exponentielle, Weibull, Gumbel, Gamma, Bêta, Khi-deux) ; l estimation des paramètres de la loi associée (fonctions de densité, espérance, variance ) ; le test des hypothèses pour vérifier la qualité de l estimation (souvent réalisés par analyse directe ou sous la forme d une analyse de sensibilité) ; l estimation des marges d erreurs et / ou d intervalles de confiance (sur la moyenne et sur la variance). 3.3 Approches fiabilistes L Eurocode EN 1990 définit le format de sécurité applicable aux structures. Il est fondé sur la vérification d états limites (ultimes, accidentels et de service) à partir de la méthode des coefficients partiels. Pour les différents états limites, on vérifie que 1 Les définitions de plausibilité, probabilité de Smets et croyance sont des fonctions des sous-ensembles flous. 18/222

19 Produits Systèmes la résistance de calcul de la structure soit supérieure aux sollicitations de calcul. Les hypothèses de base utilisées pour la situation accidentelle d incendie sont : Les conséquences d une explosion ou d un choc ne doivent pas être disproportionnées par rapport à la cause (événement) ; La résistance de la structure doit être de niveau approprié vis-à-vis de la durée de l incendie. La méthode des coefficients partiels s appuie en particulier sur un objectif de maîtrise de la probabilité de ruine de la structure pendant sa durée d utilisation (habituellement de 50 ans dans le cas de bâtiments courants). Alternativement, l Eurocode EN 1990 autorise le recours aux méthodes fiabilistes et précise des valeurs indicatives de probabilités de défaillance cible et les indices de fiabilité associés. Dans le cas particulier du comportement au feu des structures, ces méthodes fiabilistes peuvent être utilisées à condition d avoir une connaissance suffisante des variables aléatoires prépondérantes (ainsi que des incertitudes associées), qui pour l incendie sont (parmi d autres) : les charges calorifiques et le développement du feu (fonction de la ventilation) ; les résistances des structures à température élevée ; la géométrie de l ouvrage et la distribution de charges tels que les actions du poids propres, les charges variables ainsi que leurs respectives incertitudes ; Les incertitudes de modèles associées à la fonction d état limite. Afin de réduire l influence de la méconnaissance de ces différents paramètres, il est souhaitable de procéder par comparaison des niveaux de fiabilité obtenu sur des structures semblables (par exemple afin de quantifier l influence d une mesure particulière par rapport à une solution éprouvée). 3.4 Exemples d application Études possibilistes Dans le cadre de l action 4 du PN-ISI un exemple d utilisation des méthodes possibilistes dans le contexte de l incendie est détaillé [3]. Il s agit d évaluer l occurrence des événements redoutés lors du développement d un incendie dans un hôtel existant. Cette évaluation a été menée par une approche physique et une approche par réseau de Petri. Une méthode d analyse de risque (permettant de représenter l enchaînement des situations conduisant aux événements redoutés) combinée aux méthodes possibilistes de représentation des probabilités d occurrence et les durées de ces événements a été mise en œuvre. Dans le rapport d action [9] est présentée une comparaison de la méthodologie de représentation des probabilités d occurrence et des durées ainsi qu une comparaison des résultats obtenus par ces trois approches (approche physique, approche par réseau de Petri, approche par analyse de risque et méthodes possibilistes) Études probabilistes Pour les réacteurs nucléaires en exploitation, les EPS contribuent à apprécier le niveau global de leur sûreté et permettent de mettre en évidence des points pour lesquels des évolutions, tant au niveau de la conception que de l exploitation, peuvent être envisagées (voire être jugées nécessaires). Les EPS peuvent être utilisées également lors du développement de nouveaux réacteurs. 19/222

20 Produits Systèmes Des EPS incendie ont été réalisées pour les installations nucléaires de production d énergie électrique de la tranche 900 MW. L objectif était d évaluer la fréquence de fusion du cœur résultant des indisponibilités dues à un incendie d origine interne à l installation. Ainsi, les scénarios d accidents de fonctionnement et les scénarios d incendie (scénarios de perte d équipements et / ou de câbles électriques) ont été identifiés. L EPS incendie peut être utilisée dans le domaine nucléaire comme outil d aide à la prise de décision lors : du réexamen de sûreté : processus périodique d évaluation de la sûreté mis en œuvre pour un type de réacteur donné, qui intègre l expérience d exploitation récente et l évolution des connaissances ; de l analyse probabiliste des événements : fondée sur l analyse de l expérience d exploitation et des événements significatifs pour la sûreté (analyse des causes et détermination des conséquences réelles ou potentielles) ; de l analyse des demandes de dérogation aux spécifications techniques d exploitation : définit les règles minimales qui doivent être respectées pendant l exploitation normale du réacteur afin de le maintenir dans le domaine couvert par les études du Rapport de Sûreté ; de la conception des futurs réacteurs : la démonstration de la sûreté de la conception des futurs réacteurs est fondée sur des études déterministes. Pour les nouvelles générations de réacteurs, les EPS sont utilisées de façon complémentaire en phase de conception dans l évaluation de sûreté. Même si les aspects probabilistes n ont quasiment jamais été utilisés comme unique élément de jugement pour prendre une décision, il est à souligner que, dans certains cas, les résultats des EPS ont été jugés suffisamment probants pour que les décisions puissent reposer principalement sur eux Études fiabilistes Les méthodes de calcul de la fiabilité structurale ont pour objectif la quantification de la probabilité de ruine pendant la durée de vie d un ouvrage, en incluant les évènements accidentels tels que l incendie. Elles se distinguent par leur capacité à apprécier la complexité des états limites de ruine, dans le calcul de la probabilité de ruine. On distingue ainsi des méthodes de simulation numérique qui consistent à agréger les probabilités de ruine associées à des tirages des variables aléatoires (méthodes de type Monté-Carlo) et les méthodes fondés sur l élaboration d une approximation de la surface de ruine, dans l espace des Variables Aléatoires (méthodes de gradients). Deux des méthodes les plus pertinentes ont été mises en œuvre à l aide d un logiciel spécialisé sur l exemple d une poutre en béton armé supportant un plancher dans un local de type salle de réunion (charge calorifique modérée) : Méthode FORM fondée sur un calcul du plan tangent à la surface de ruine au point de ruine probable (méthode de gradient) ; Méthode RSM fondée sur l élaboration d une approximation analytique de la surface de ruine, puis sur le calcul de la probabilité de ruine par tirages aléatoires en utilisant la méthode de Monte-Carlo autour de cette approximation. L exemple considère une salle de réunion de dimensions 7 m x 21 m où le plancher supérieur est composé de poutres en béton armé supportant une dalle en béton armé. L objectif est de comparer les niveaux de fiabilité obtenus dans le cadre du dimensionnement de la structure à l aide d un feu ISO (type réglementaire) et dans le cadre d un dimensionnement établi sur un modèle de feu naturel [7]. Les modèles de comportement mécanique utilisés s attachent à la tenue mécanique d une seule section. 20/222

21 1 P f Produits Systèmes Pour le cas d une salle de réunion, la densité de charge calorifique (qfk) a été fixée à 410 MJ m-2. Le facteur d ouverture (Ok) est déterminé conformément à l EN , en fonction des hypothèses retenues pour les portes et fenêtres. La structure est d abord dimensionnée à «froid» et à «chaud» selon la courbe ISO, ou selon un échauffement «feu naturel», conformément à l EN et l EN Le tableau 2 présente un exemple de résultats obtenus pour un modèle stochastique (actions, charges calorifiques, géométrie ) : deux méthodes d évaluation (FORM et RSM) sont utilisées afin de calculer la probabilité de ruine (φ(-β) ou Pf) pour quatre dimensionnements (feux ISO et feu naturel). Les résultats sont aussi exprimés en indice de fiabilité (plus l indice de fiabilité est élevé plus la probabilité de ruine est faible). Hypothèses de dimensionnement de la structure FORM RSM 1 1 ISO 2H (q fk =410, O k =0,04) 3,20 6,96E-04 2,91 1,79E-03 ISO 1,5H (q fk =410, O k =0,04) 2,71 3,39E-03 2,73 3,17E-03 ISO 1H (q fk =410, O k =0,04) 1,92 2,77E-02 1,78 3,77E-02 Feu naturel (q fk =410, O k =0,04) béton armé 1,50 6,73E-02 1,35 8,86E-02 P f P f P f Tableau 2 : exemple de résultats de probabilité de ruine et indice de fiabilité obtenus avec un modèle stochastique et deux méthodes d évaluation Les valeurs de probabilités et d indice de fiabilité sont correctes en termes d ordre de grandeur. La méthode RSM, qui approche plus précisément la surface de ruine, conduit systématiquement à des résultats plus défavorables et ce d autant plus que la probabilité de défaillance est faible. Il convient de noter que les résultats ci-dessus sont attachés aux hypothèses de l exemple traité. Pour un dimensionnement de la structure selon un feu ISO 1/2h, l indice aurait vraisemblablement été inférieur à 1,5. Il ne faut pas conclure, par exemple, qu un dimensionnement selon le modèle «feu naturel» conduit à une sécurité plus faible qu un dimensionnement «feu ISO». Comme toute méthode d évaluation quantitative, les résultats dépendent grandement de la qualité des informations concernant les paramètres d entrée, la variabilité des paramètres est parfois mal connue (en particulier pour la charge incendie et les incertitudes de modèles), d autre part la non linéarité des phénomènes induit certaines différences selon les méthodes stochastiques employées. Ainsi, une évaluation absolue du niveau de fiabilité est difficile, par contre ces méthodes permettent de situer la sécurité relative associée à différents dimensionnements. Il est toutefois à noter que ces méthodes sont encore du domaine de la recherche et doivent être appliquées avec précautions. 21/222

22 Produits Systèmes 4. Deux méthodes pour la réduction des risques incendie Dans cette section sont abordés les systèmes de détection incendie et l extinction automatique à eau. 4.1 Installations d extinction automatique à eau Les trois objectifs principaux des sprinkleurs sont : détecter un incendie, déclencher une alarme et contenir le feu (les sprinkleurs sont conçus pour contenir le feu et pas nécessairement pour l éteindre). Afin de dimensionner une installation sprinkleur, il est nécessaire d identifier la nature des risques dont les principaux paramètres sont : type d activité, nature des marchandises (charge calorifique et cinétique de propagation) et la surface à protéger. Le schéma de la Figure 3 résume les différents organes d un réseau d extinction automatique à eau. Ces composantes ne sont pas détaillées ici. Figure 3 : Organes d'un réseau d'extinction automatique à eau Un système de sprinklage configuré comme montré dans la Figure 3 doit permettre d assurer l autonomie de fonctionnement de l installation aux pressions et débit requis (fonction du type des risques identifié) pendant un temps définit (la durée de l incendie). Ainsi, il doit garantir le respect des objectifs d un système d extinction. Les installations de sprinkleurs se composent d'une série de buses d'aspersion reliées à une source d'alimentation en eau par l'intermédiaire d'un réseau de distribution. Lorsque la température d'une buse atteint la température de déclenchement, elle s'ouvre et déverse de l'eau. Après le déclenchement de la première buse, les suivantes ne s'ouvrent que si elles atteignent à leur tour la température de déclenchement Retours d expérience L analyse de retours d expérience est fondée sur les résultats trouvés sur plusieurs bases de données françaises, européennes et internationales. Toutefois, l analyse de résultats est difficile d une part, à cause du manque d homogénéité entre les pays concernant les règles pour le registre d information de chaque intervention (ou l investigation de chaque sinistre) et d autre part, à cause des différentes configurations des systèmes d extinction automatique à eau mises en œuvre (p ex. dans certains pays le déclenchement d une alarme incendie produit systématiquement un appel aux organismes de secours) Statistiques Françaises : Des statistiques du magazine «face au risque» indiquent, pour 227 sinistres répertoriés, que : dans 124 cas (soit 54 %) seule une tête se déclenche et contrôle l incendie ; dans 188 cas (soit 83 %), moins de 5 têtes se déclenchent ; 22/222

23 Produits Systèmes la maîtrise des incendies est attribuée à la mise en place d une installation d extinction automatique à eau dans 98 % des cas Statistiques européennes : Le réseau European Fire Sprinkler Network a réalisé une l analyse d un sousensemble de 508 incendies où des réseaux de sprinklage étaient installés. Ils ont conclu que le plus grand nombre de sinistres se sont produits dans des bâtiments industriels (106 incendies) et dans des monuments (101 incendies). Sur le total d incendies seulement trois échecs sont recensés. Malheureusement, les données statistiques européennes ne sont pas représentatives car le nombre d événements enregistrés est insuffisant. En outre, les caractéristiques des installations industrielles sont différentes selon les domaines d activités, ce qui introduit une variable aléatoire dans les statistiques. Des publications du magazine «face au risque» relèvent les statistiques du Comité Européen des Assurances (C.E.A.) concernant les incendies survenus dans 12 pays de l union européenne et en Turquie : Tableau 3 : Statistiques de nombre d'incendies dans 12 pays membres de l'union européenne (Allemagne, Autriche, Belgique, Danemark, Finlande, France, Italie, Norvège, Pays-Bas, Royaume-Uni, Suède et Suisse) plus la Turquie Les statistiques du Tableau 3 couvrent sinistres dont les échecs sont à hauteur de 5 % des cas. Ces données indiquent que la quantité d incendies ayant déclenché moins de 5 têtes a diminué entre 1970 et 1994 d une façon importante Autres statistiques Factory Mutual aux USA a évalué les pertes dues aux incendies avec ou sans protection sprinkleurs. Les pertes sont réduites d environ 80 % lorsque ces systèmes sont présents et opérationnels. Une étude de la NFPA conclut que l amélioration du maintien opérationnel des systèmes passe par un dimensionnement approprié et suivi dans le temps, une maintenance régulière, et l absence de déconnexion. Le respect de ces exigences peut permettre d assurer à ces équipements une fiabilité opérationnelle voisine de 99,5 %. D autres études statistiques ont montré que l échec du sprinklage après démarrage est produit par des systèmes mal dimensionnés et notamment ceux dont le bâtiment a changé d activité sans une adaptation du réseau. D autres cas d échec sont liés à la présence d éléments défaillants dans le système (ex. : panne moteur, système d alarme hors service). 23/222

24 Produits Systèmes Modélisation des systèmes de sprinklage et détecteurs de chaleur L efficacité des sprinkleurs pour la résistance au feu a été prise en compte dans l Eurocode 1 partie 1-2 [6] par une réduction de la charge calorifique totale (application d un facteur dit «réducteur», donc inférieur à 1). Toutefois, dans l Eurocode, lors du calcul des charges calorifiques, des facteurs de sécurité liés au type d occupation, à la taille du compartiment et aux mesures actives de lutte contre l incendie sont intégrés qui peuvent revenir à un coefficient multiplicateur global de la charge calorifique supérieure à 1. Ceci doit être pris en compte lors du calcul de la puissance des foyers pour les études ISI. Evans [8] a développé une méthode permettant d estimer la diminution du débit calorifique par l action du sprinklage d eau sur différentes sources constituées, selon le cas, d empilements de morceaux de bois (plusieurs tailles), de chariots à papier, de tables de travail, de maquettes de bureaux, de canapés, etc. Evans a établi une relation pour le débit calorifique réel qui est fonction du débit calorifique au moment du déclenchement du sprinkleur, du temps au déclenchement et de la densité de l écoulement d eau. Les détecteurs de chaleur et les sprinkleurs se déclenchent une fois atteinte une température seuil, ou une vitesse limite d accroissement de la température. DETACT-QS est le seul modèle informatique d incendie servant à prévoir le déclenchement des détecteurs de chaleur situés sous un plafond à la fois plan, horizontal non confiné et dégagé (géométries très simples). Les données d entrée nécessaires pour ce code sont : hauteur sous plafond, distance à l axe du foyer, température ambiante initiale, température de déclenchement, indice de temps de réponse et HRR total. Plusieurs codes de simulation incendie existent, cependant tous fonctionnent sur le même principe que DETACT-QS : DETACT-T2, JET, FDS. Ce dernier par exemple emploie la même technique que DETACT-QS pour modéliser la réponse des sprinkleurs et les détecteurs de chaleur, et modélise finement le jet sous plafond et le panache de feu, alors que DETACT-QS utilise des corrélations fermées. FDS permet également de simuler la trajectoire des gouttelettes ainsi que son impaction avec les surfaces en feu. Le calcul de la réduction du débit calorique est fait par une relation exponentielle semblable à celle utilisée par Evans. 4.2 Détecteurs de fumée Il existe deux types de détecteurs de fumée ponctuels : les détecteurs du type ionique et les détecteurs du type optique. Un grand nombre de facteurs influencent la réponse des détecteurs de fumée : caractéristiques de l aérosol, transport de l aérosol, caractéristiques aérodynamiques du détecteur et réponse du capteur. Les détecteurs optiques présentent une limitation qui doit être considérée : la densité optique de la fumée est fonction de la longueur d onde de la source lumineuse avec laquelle la mesure est réalisée. Par conséquent, même si la densité optique de la fumée dans un scénario correspond à la densité optique nominale à laquelle le détecteur se déclenche, les propriétés de la fumée peuvent être différentes. Cependant, les données requises pour modéliser la réponse du détecteur de fumée ne sont ni fournies par des modèles ni mesurées expérimentalement. Les méthodes numériques de détection de fumée dans les codes de simulation incendie sont actuellement basées sur : 24/222

25 Produits Systèmes L élévation de la température : cette méthode part de l hypothèse que la densité de la fumée à proximité du détecteur est proportionnelle à sa température (le détecteur de fumée se comporte comme un détecteur de chaleur). Une élévation minimale de la température de 13 C est couramment employée comme seuil de déclenchement ; la densité optique massique : le calcul de la densité optique massique est effectué en fonction de la masse de combustible brûlée et de la dilution de la fumée dans le volume total de la chambre. FDS comprend un algorithme applicable aux détecteurs de fumée fondé sur la densité optique de fumée dans la chambre de détection. Cet algorithme tient compte de la résistance à la pénétration de la fumée dans le détecteur (données d entrée empiriques). 4.3 Fiabilité, contrôles, tests et maintenance La fiabilité est l aptitude d un dispositif à accomplir une fonction requise, dans des conditions données et pour une période de temps donnée, lorsqu il est sollicité. Les prédictions de fiabilité ont nécessairement un caractère probabiliste, car elles nécessitent notamment la connaissance du taux de panne de chaque composant. Quel que soit le système, qu'il soit actif ou passif, il doit faire l'objet de contrôles et de tests réguliers, ainsi que d'une maintenance périodique, de manière à garantir son fonctionnement lors d une sollicitation (amélioration de la fiabilité du système). L efficacité correspond à la faculté du système à répondre à ses fonctions (détection, alarme et contrôle) lorsqu il est opérationnel. Cette notion implique à minima un dimensionnement adapté et un bon suivi de la maintenance. Les règles d installation et maintenance des systèmes de sprinklage varient en fonction du référentiel et du type de réseau mis en œuvre. Des vérifications de tout le système doivent être réalisées toutes les semaines ou tous les mois. Une installation doit être révisée et mise en conformité avec les règles en vigueur tous les 30 ans. 25/222

26 Produits Systèmes 5. Méthodes d aide au choix et incertitudes Les analyses des risques sont systématiquement liées à des scénarios d incendie. Il est souvent nécessaire de prévoir, dès l analyse des risques, des regroupements de scénarios cohérents. Ceci peut être fait par l utilisation de critères tels que : conditions initiales représentatives, foyers représentatifs, évolutions représentatives, vulnérabilités (ou conséquences) représentatives (voir rapport d action A05). Chaque groupe de scénarios a un scénario dit «représentant» qui est souvent le plus critique du groupe vis-à-vis des objectifs de sécurité. Ainsi, toute analyse faite sur le représentant est censée couvrir les cas des autres scénarios. 5.1 Aide au choix de solutions finales de mise en sécurité Le processus d aide à la décision est mené en deux grandes étapes [9], à savoir : Étape 1 : construction du problème de décision L utilisation d une méthode d aide à la décision nécessite une caractérisation correcte du problème à résoudre. Il faut également : établir la liste des mesures de sécurité à étudier (actions) ; elle doit être finie et stable ; établir l ensemble des axes de jugement et les critères pris en compte (stable et cohérent) : objectifs de sécurité ; fiabilité des systèmes installés ; coût d investissement (en lien avec la solution de conception) ; délai ; potentiel de pertes (pour les études probabilistes) ; définir l importance relative de chaque critère ; des «poids» sont définis pour tous les critères en fonction de leur représentativité (ex. : la somme totale des poids est 50). définir la façon d exprimer les performances (méthodes de calcul) de chaque mesure selon chacun des critères retenus ; exprimer clairement le type de décision qui est attendu ou que recherche le maître d ouvrage ; les décisions sont de trois types : problématique de type α : consiste à rechercher la meilleure action parmi l ensemble des actions possibles ; problématique de type β : consiste à affecter chaque action à une classe donnée. Ces classes sont définies par des actions de référence qui constituent les bornes inférieure et supérieure. Souvent la difficulté pour définir clairement les bornes constitue une limite pour cette approche. problématique de type γ : Cette problématique consiste à ranger les actions les unes par rapport aux autres pour obtenir un classement partiel ou total des actions de la première à la dernière. 26/222

27 Produits Systèmes Étape 2 : résolution du problème posé Elle consiste à établir une hiérarchie des mesures retenues par une méthode appropriée en fonction des éléments apportés pendant l étape 1. Une matrice de décision (ou matrice de performances) récapitule les performances des différentes actions selon les critères retenus. Plusieurs méthodes de solution existent, telles que : ELECTRE 2 (ELECTRE = Élimination Et Choix Traduisant la Réalité) qui utilise des vrais critères et permet de définir un ordre entre les stratégies (de la meilleure à la moins bonne) ; ELECTRE 3 ; PROMETHEE ; ELECTRE TRI, qui fonctionne avec des pseudo-critères (critères comportant des seuils d indifférence 1, de préférence et de veto). Suite à cette étape, des analyses de robustesse sont nécessaires. Les critères d analyse sont : la variation des seuils de concordance, la variation des poids, la variation des seuils de discordance. 5.2 Prise en compte des incertitudes des risques incendie Dans l ingénierie de la sécurité incendie, quelques sources d incertitude parmi d autres sont : incertitudes de modèle (incertitude sur la théorie) ; connaissance / non connaissance d événements passés, phénomènes physiques, etc. ; données d entrée du modèle (numériques ou expérimentales) ; limites du calcul (discrétisation, équations utilisées, méthodes de solution d équations) ; choix des scénarios d incendie (représentativité et probabilité d occurrence des scénarios) ; incertitudes des comportements humains (fortement stochastique) ; incertitudes quant à la perception des risques (critères de performance) ; Concordance et discordance des données par rapport à leur signification physique et à la source. Toutefois, des techniques sont utilisées fréquemment afin de compenser l incertitude dans le processus de conception, tels que : coefficients de sécurité, marge de sécurité, analyses de sensibilité ciblées, analyses de franchissement de seuils de paramètres et analyses d incertitude classique. La première étape dans ce processus consiste à identifier les sources d erreur ou des sources d incertitude qui ne sont pas prises en compte : a) le type d erreur sort du champ d analyse d incertitude, b) le type d erreur n est pas aisément quantifiable ou c) l importance de ce type d erreur est trop faible pour affecter le calcul de l incertitude globale. La deuxième étape consiste à établir une stratégie d analyse d erreur pour chaque type d incertitude. Dans les cas où l incertitude provient d une source bien définie, alors l incertitude peut être propagée en utilisant les techniques de Monte-Carlo. 1 Les seuils d indifférence de concordance et de discordance sont des fonctions de la méthodologie de la prise de décisions, le lecteur peut se référer à [9] pour plus d information. 27/222

28 Produits Systèmes L application de cette méthode dans l ingénierie de la sécurité incendie est difficile car souvent les causes d incertitude sont méconnues. L analyse des incertitudes est généralement très laborieuse et nécessite des connaissances pointues dans le domaine expérimental et les modèles numériques utilisés. Ceci est la compétence des équipes de recherche mais généralement ne se trouve pas dans la portée des projets de sécurité incendie. 28/222

29 Produits Systèmes 6. Exemples d application de l analyse des risques L analyse des risques fait partie intégrante de la méthodologie ISI. Elle est réalisée principalement après la proposition de la solution de conception et permet de déduire les scénarios incendie. Ainsi, elle doit être réalisée dans toutes les études ISI avec un niveau de détail plus ou moins important suivant le contexte particulier. Lorsqu une démarche relative est utilisée, la vérification de la performance consiste à comparer la stratégie proposée à une conception considérée comme acceptable (en général en accord avec les dispositions réglementaires). Cette approche présente un inconvénient majeur : elle implique des jugements (niveau de sécurité atteint par les dispositions du code, choix de scénarios d incendie ). Pour palier ce problème un certain nombre de codes notamment aux USA et Canada ont commencé à éliminer la nécessité de jugement pour l évaluation des performances attendues par le code. Ainsi les performances des solutions prescriptives et de la solution proposée peuvent être comparées avec plus de justesse. Malheureusement, les actions engagées par ces pays n ont pas été détaillées lors des travaux de l action 3. Si un système est défaillant, il est probable que la performance ne sera plus acceptable. Toutefois, il n est pas raisonnable de faire systématiquement des hypothèses de l échec d une mesure de protection car une telle approche n accorderait aucun bénéfice à la stratégie considérée. Un grand nombre de scénarios sont souvent trouvés à partir d un seul événement d inflammation. Plusieurs scénarios d incendie de calcul sont proposés afin d examiner la ou les variantes conçues par l équipe de conception. Chaque scénario a une probabilité d occurrence différente, qui peut être déterminée en multipliant les probabilités liées à chaque événement sur la branche du scénario. Si la probabilité de succès des stratégies de réduction des risques est élevée, alors la probabilité globale que le feu ne soit pas maîtrisé ou qu il ne soit pas contenu dans le local d origine est faible. Différentes stratégies de sécurité incendie peuvent être comparées par l élaboration de plusieurs arbres d événements. Une particularité importante de l analyse quantitative des risques incendie est que tous les scénarios sont pris en compte dans le calcul des risques globaux, indépendamment de leur probabilité. La Figure 4 présente l organigramme de l appréciation du risque proposé par le guide SFPE Engineering Guide to Fire Risk Assessment [10]. 29/222

30 Produits Systèmes Figure 4 : Organigramme de l'appréciation du risque proposé par le guide SFPE Engineering Guide to Fire Risk Assessment [10] Lors de l analyse des risques incendie il faut veiller à ne pas perdre de vue que la plupart des scénarios improbables sont ceux dont les conséquences peuvent être les plus graves (les risques étant quantifiés comme le produit de la probabilité d occurrence par ses conséquences). 6.1 Évaluation des risques incendie d une construction La Figure 5 présente la configuration d un bâtiment étudié lors de la mise en œuvre d un outil pour l évaluation des risques par réseaux de Petri. L outil créé dans cette étude permet de représenter un bâtiment avec tous les échanges entre les différents locaux (énergie, masse de fumée) ainsi que l état des ouvertures (portes et fenêtres) [3]. 30/222

31 Produits Systèmes Le modèle définit deux zones : une zone basse à température ambiante et une zone haute à la température des gaz chauds. La limite entre les deux zones est la hauteur de discontinuité (ZD). Les grandeurs étudiées sont la température et la hauteur de la couche chaude lesquelles sont calculées à chaque pas de temps. Cette simulation permet d analyser l interaction des sous-systèmes suivants : propagation, alerte / détection / protection, occupants, service d intervention, environnement. Des critères ont été également introduits afin de simuler : la tenabilité des personnes, la ruine des portes et fenêtres, le compartimentage, l évacuation des occupants, les délais de pré-mouvement, le désenfumage, l extinction automatique et la mise en arrêt de certaines installations techniques, l alarme, l alerte des organismes de secours, les moyens d extinction, le foyer d incendie et le scénario d incendie. Au total quatre cas ont été traités : bâtiment non équipé d alarme, bâtiment équipé d alarme, bâtiment non équipé d alarme mais de sprinkleurs, bâtiment équipé d alarme et de sprinkleurs. Figure 5 : Représentation graphique de la configuration du bâtiment étudié [3] La configuration est constituée d un local de type pièce (L1) source de l incendie, d un local de type couloir (L2) et d un local cible de type pièce (L3). Les deux locaux de type pièce se trouvent de part et d autre du local de type couloir. Parmi les résultats présentés dans le rapport se trouvent : le local L1 est enfumé très rapidement, puis détruit au bout de 90 s en moyenne ; le local L2 est sain pendant 600 s en moyenne, puis détruit à partir de 800 s ; le local L3, quant à lui, est sain pendant 1400 s, puis détruit immédiatement. Les équations utilisées dans ce modèle présentent une limite qui doit être considérée pour juger sur la justesse des résultats : étant donné que l échange gazeux est produit par la différence de densité entre les couches hautes (chaudes) de deux locaux et que le bilan de masse n est pas établi, il n y a pas d entraînement d air en couche basse (cf. annexe C dans la Réf. [3]). Il est enfin indiqué que des post-traitements lourds à mettre en œuvre sont nécessaires pour pouvoir analyser les résultats des simulations. L analyse de la sécurité des bâtiments à l aide des réseaux de Petri est une voie de développement 31/222

32 Produits Systèmes prometteuse mais qui nécessite des travaux supplémentaires afin d améliorer la justesse des résultats. 32/222

33 Produits Systèmes 6.2 Choix d actions de mise en sécurité d un hôtel Brève Description du cas d étude Le but de cette étude est de quantifier un niveau de sécurité incendie dans un hôtel et d évaluer l influence de différentes mesures de mise en sécurité [9]. La validation de la démarche d analyse ISI a été effectuée pour des départs de feux situés dans le parking situé en sous-sol et dans une chambre d étage de l hôtel. Les conséquences corporelles sur les usagers du parking, les occupants des chambres de l hôtel et le personnel de l hôtel ont été évaluées. Conformément aux exigences réglementaires pour ce type d établissement, les circulations desservant les chambres doivent être désenfumées. La maîtrise d ouvrage propose deux mesures de mise en sécurité : l installation de ferme-portes dans toutes les chambres et couloirs (afin d être en conformité avec l article PO 4 du règlement de sécurité) et l installation de détection incendie adressable dans chaque chambre. L étude vise donc à comparer les mesures proposées par le maître d ouvrage et celles du règlement [10]. Pour le feu de chambre, le travail réalisé compare le niveau de sécurité des trois situations de référence suivantes : Mesures de mise en sécurité avant les travaux (stratégie A) ; Mesures de mise en sécurité à l issue des travaux engagés par le maître d ouvrage (stratégie B). Mesures de mise en sécurité conformes au règlement (stratégie C). Deux approches ont été utilisées pour l analyse des résultats dans la chambre : Approche 1 : Le modèle construit pour les simulations est fondé sur des réseaux de Petri dont les transitions sont renseignées à partir de lois de probabilité et de conditions données par les experts, sans aucun couplage physique. L avantage principal d une telle approche est, bien sûr, d avoir des temps de calcul très courts. L inconvénient est que les résultats dépendent de la pertinence des connaissances des experts. Approche 2 : Un modèle physique multizone de développement du feu est constamment évalué au cours du temps pour définir à chaque instant : la température de la zone de fumée et la hauteur libre de fumée dans les différents locaux considérés. Les transitions sont alors fondées sur des conditions exprimées en fonction de ces grandeurs et sur des lois de probabilité. En ce qui concerne le feu dans le parking, la problématique est différente puisque celui-ci est équipé de sprinkleurs. L étude consiste donc dans ce cas à évaluer les conséquences sur les personnes présentes dans le parking, dans le hall d accueil ou dans les chambres situées au même étage. Les deux situations suivantes sont considérées : Parking équipé de sprinkleurs (situation actuelle) ; Parking non équipé de sprinkleurs Résultats pour le parking Les simulations sont effectuées par l approche 1 seulement. Elles permettent de montrer que le parking est systématiquement enfumé (100 % des scénarios) puisqu il est le lieu de l incendie du véhicule. L enfumage intervient en moyenne au bout de 211 s. Le parking passe ensuite à l état impraticable dans 43,4 % des histoires en l absence des sprinkleurs, chiffre ramené à 2,3 % des histoires en 33/222

34 Produits Systèmes présence des sprinkleurs. En moyenne, en présence de sprinkleurs, la durée d enfumage du parking est divisé par deux (569 s au lieu de s) et le parking n est pratiquement jamais impraticable (22 s au lieu de 454 s). Dans tous les cas, le parking est équipé d un système de désenfumage et de ventilation qui, couplé aux sprinkleurs lorsqu ils existent, permet un retour à l état sain du parking dans 62,6 % des cas en moyenne en 800 s. Sans les sprinkleurs, le parking redevient sain par désenfumage ou par extinction environ 900 s plus tard [9]. Il n y a pas de dommages occasionnés aux personnes (blessés ou décès) dans le hall d accueil ou dans les chambres. Seules les personnes présentes dans le parking sont amenées à subir des dommages, considérablement réduits par la présence des sprinkleurs Résultats pour la chambre en feu par l approche 1 Les résultats montrent que la chambre foyer reste enfumée pendant 500 s environ ; elle devient donc assez rapidement impraticable, ce qui est susceptible d occasionner le décès des occupants. Le couloir, quant à lui, est impraticable très peu fréquemment (0,12 % des cas) et très tardivement puisqu il reste la plupart du temps à l état sain, soit environ pendant s [9]. L intervention de l occupant de la chambre pour tenter l extinction au départ du feu n a que peu d influence sur l état de la chambre source et sur l état de la porte. En revanche, le nombre de dommages corporels, des blessés et des décès dans la chambre source sont réduits de façon très importante (les occupants sont éveillés). Toutefois, les proportions de blessés graves et légers d une part, et de décès d autre part, sont inacceptables dans tous les cas : les calculs montrent que dans 32 % des cas des blessés graves et légers sont produits et que dans plus de 30 % des cas des décès sont à déplorer. Selon les résultats présentés par les auteurs, la mise en œuvre d un système de désenfumage dans le couloir ne diminue pas la probabilité de décès dans la chambre cible et ne modifie que très légèrement la proportion de blessés dans le couloir Résultats pour la chambre en feu par l approche 2 Dans cette approche un modèle physique de développement du feu est couplé avec les réseaux de Petri, ce qui permet d évaluer la température de la couche chaude et la hauteur libre de fumée dans les transitions. Les résultats des modélisations sont comparés avec les critères de tenabilité des personnes (hauteur libre de fumée, températures des couches ), de résistance des éléments de construction (portes, fenêtres ) et de fonctionnement des équipements de sécurité (détection incendie, désenfumage ) afin de vérifier leur état (en fonction du temps) et évaluer les risques de chaque scénario. Les mesures de mise en sécurité suivantes sont prises en compte : détection incendie (DI) dans la circulation ; DI dans la chambre ; désenfumage de la circulation ; ferme-porte ; actions du personnel de sécurité ; avertisseur sonore dans la chambre. Les stratégies de sécurité sont des combinaisons des mesures de mise en sécurité listées ci-dessus. Les quatre stratégies simulées sont les suivantes [9] : 1, 5 (stratégie A : état avant travaux) ; 1, 2, 4, 5 (stratégie B : envisagée par le maître d ouvrage) ; 34/222

35 Produits Systèmes 1, 3, 4, 5 (stratégie C : prescriptions) ; 1, 2, 4, 5, 6 (stratégie D : stratégie B plus des avertisseurs sonores dans la chambre les résultats trouvés sont similaires à ceux de la stratégie B) ; Les résultats obtenus sont synthétisés dans la Figure 6. Les résultats de la stratégie D ne sont pas affichés car sont similaires à ceux de la stratégie C. Figure 6 : Fréquence et instants d'occurrence de différents événements pour les stratégies A, B et C Diagnostic avant travaux (stratégie A) Le client décède systématiquement lorsqu il est endormi au début du feu. L analyse des histoires simulées montre que 100 % des décès du personnel sont dus à l ouverture par le personnel de sécurité de la porte de la chambre alors que l embrasement généralisé a déjà eu lieu dans la chambre (Le flashover a lieu entre 242 et 342 s après le début du feu). Le personnel de sécurité contribue à l évacuation des clients sains et saufs avant l arrivée des secours dans 66 % des cas. 18 % des histoires conduisant à l événement décès multiples suite à l ouverture, par le personnel de sécurité, de la porte de la chambre source du feu, précipite la propagation de l incendie aux autres chambres. 77 % des histoires conduisant à des décès multiples sont dues au fait que la porte de la chambre est restée ouverte. Les auteurs ont déduit que [9] : des dispositions visant à améliorer les conditions dans la circulation ne contribueront pas directement à améliorer la sécurité de l occupant de la chambre source du feu ; des dispositions visant à alerter rapidement l occupant de l occurrence d un sinistre dans sa chambre peuvent fortement contribuer à améliorer la sécurité de l occupant de la chambre source du feu et à réduire le délai d intervention du personnel de sécurité ; 35/222

36 Produits Systèmes des dispositions visant à confiner le feu et la fumée dans la chambre peuvent contribuer à réduire les risques de flashover dans la chambre, à réduire les risques de généralisation du feu aux autres chambres et donc de décès multiples, mais à augmenter les risques de décès du personnel de sécurité ; Il est souligné que le décès multiple est traité dans cette analyse comme une variable aléatoire à laquelle est associée une loi de distribution particulière. Cependant, pendant l analyse des risques, des «poids» différents convenablement argumentés doivent être donnés aux décès et aux décès multiples DI adressable dans la chambre (stratégie B) L apport principal de la DI dans la chambre est une alerte beaucoup plus fréquente 1 et rapide du personnel de sécurité. Le personnel est alors en mesure d arriver de façon précoce à la chambre et d agir avant que les conditions ne deviennent impraticables dans le couloir (refermer la porte, déclencher l évacuation des autres occupants du niveau, etc.). Malgré cette conclusion, les auteurs soulignent que dans tous les cas le personnel n est pas en mesure d arriver à la chambre suffisamment tôt pour sortir le client de la chambre avant que les conditions y soient intenables. L autre effet sensible de la DI adressable dans la chambre est qu elle peut permettre de sauver l occupant en le réveillant par téléphone avant la survenue de conditions insupportables dans la chambre Ferme-porte (stratégies B et C) Le premier effet du ferme-porte est de confiner le feu dans la chambre et de réduire sa puissance par limitation du débit d oxygène entrant dans la pièce. Les conditions du flashover sont alors moins fréquemment atteintes, réduisant ainsi d autant la fréquence d occurrence d un feu de nature à mettre en danger les autres occupants de l hôtel. Le ferme-porte contribue également à améliorer les conditions dans la circulation, favorisant ainsi le sauvetage des autres occupants par le personnel de sécurité. Malgré cela, les auteurs affirment que : «Le ferme-porte contribue ainsi à accroitre les risques pour le personnel de sécurité» [9] Désenfumage dans la circulation (stratégie C) Le désenfumage (stratégie C) ne contribue pas à améliorer la sécurité de l occupant de la chambre source du feu. Il ne contribue pas de façon notable à l amélioration de l évacuation des chambres voisines. Ainsi, sur la base des hypothèses retenues, la stratégie B (mesures du maître d ouvrage) apparaît pertinente pour assurer un niveau de sécurité comparable à la stratégie C (mesures prescriptives). L étude montre également l intérêt de compléter cette stratégie par l installation d avertisseurs sonores qui permettrait d améliorer la sécurité des occupants de la chambre source du feu par leur prompte mise en garde sur la présence d un danger. Néanmoins, s agissant des locaux à sommeil, le danger n est pas totalement supprimé. La stratégie proposée par le maître d ouvrage repose sur une alerte et une intervention rapide du personnel de sécurité de l hôtel. Elle met donc en relief l importance de : former le personnel, mettre en place des procédures d actions adaptées, réaliser des exercices de mise en situation, disposer d un personnel permanent affecté à la sécurité. 1 Le déclenchement intempestif de l alarme n a pas été pris en compte dans les analyses. 36/222

37 Produits Systèmes 6.3 Aide au choix de mesures de sécurité Cet exemple concerne la méthode de prise de décision par rapport au choix de mesures de sécurité dans un hôtel : les mesures de sécurité concernées sont celles citées dans le paragraphe ; une mesure supplémentaire : installation de sprinkleurs dans le parking de l hôtel ; sécurité : réduction des dommages corporels pour les clients et le personnel (calculées par rapport à la stratégie de sécurité dite réglementaire) ; fiabilité des systèmes installés les auteurs considèrent que «les fréquences obtenues pour les dommages corporels tiennent donc compte du taux de défaillance» il serait redondant par rapport à la fréquence d occurrence des dommages personnels, en conséquence il n est pas calculé ; coût d investissement : tient compte du coût de l investissement pour la mise en œuvre d équipements (les coûts de fonctionnement, maintenance et remplacement des équipements pendant la durée de vie de l ouvrage) ; délai : tient compte du délai de réalisation des travaux, c est calculé comme la somme des durées de mise en œuvre des différentes mesures de la stratégie ; potentiel de pertes, regroupe les pertes financières évitées par l installation des équipements de sécurité (regroupe les pertes immobilières, indemnisations et pertes d exploitation) et de l image de la société (quantification de l impact de l incendie sur l image sociétale de la compagnie exploitante). Les résultats de l étude obtenus en utilisant la méthode ELECTRE 2 ont permis aux auteurs de classer les stratégies retenues de la moins sécuritaire à la plus sécuritaire, comme suit : Stratégies A et C : ces deux stratégies sont les plus mauvaises et se trouvent à un niveau équivalent ; Stratégie B ; Stratégie D ; Stratégie E. Ces résultats montrent que : les mesures 4 (ferme-portes) et 7 (sprinkleurs parking) sont les plus pertinentes ; la mesure 6 (avertisseur sonore) est très intéressante ; les mesures 2 (DI dans la chambre) et 5 (actions du personnel de sécurité) arrivent ensuite ; enfin, les mesures 1 (DI dans la circulation) et 3 (désenfumage de la circulation) sont les moins efficaces. Les mesures de sécurité 1, 5 et 7 étant déjà mises en œuvre dans le parking. 37/222

38 Produits Systèmes 7. Conclusions Dans le cadre de l action 3 du PN-ISI intitulée «démarche d évaluation de la sécurité et d aide à la prise de décisions», sept méthodes d analyse des risques ont été recensées. Ces méthodes ont été développées majoritairement pour l étude des risques des installations industrielles. Par conséquent, des travaux ont été nécessaires afin d adapter ces méthodes aux problématiques spécifiques de l ISI. Des outils tels que les approches possibilistes, probabilistes et fiabilistes ont été également considérés. Ils permettent de prendre en compte l incertain, les dires d expert, les probabilités d occurrence d événements, l incertitude des données d entrée, la sensibilité des modèles, les facteurs de sécurité, etc. Lors de l utilisation de ces approches, les données doivent être unifiées afin de pouvoir interpréter les résultats et d obtenir une évaluation de leur qualité. Des exemples de l utilisation de ces méthodes pour l étude de la sécurité incendie d ouvrages ont été présentés. Leur mise en œuvre nécessite la maîtrise d outils mathématiques spécifiques aux traitements des données (formalisation, unification, agrégation ). Ainsi, ces méthodes semblent difficiles à appréhender dans un premier abord. C est pourquoi, la mise en œuvre d un outil pratique à partir des concepts globaux explicités ne semble pas faisable facilement. Des méthodes permettant d'évaluer la performance des barrières de sécurité ont été recensées. Une barrière performante aboutit à la définition d'un niveau de confiance qui se traduit par un facteur de réduction des risques. Afin de réduire plus fortement les risques, des barrières performantes successives (et leur niveau de confiance) peuvent être cumulées si elles sont indépendantes. La fréquence d'occurrence d'un accident selon un scénario donné peut être ainsi diminuée jusqu'à un niveau acceptable. Cette dernière étude a été complétée par une révision bibliographique portant sur la fiabilité des systèmes d extinction automatique à eau. Le calcul de la fiabilité est toutefois difficile à cause du manque d homogénéité dans l enregistrement des données des sinistres dans les différents pays. Une méthode pour l aide à la prise de décision a été aussi mise en œuvre pour vérifier la sécurité d un hôtel. Les différentes stratégies et mesures de sécurité retenues ont été comparées les unes par rapport aux autres en fonction d une liste de critères et de l importance relative accordée à chacune. L installation de fermeportes et d avertisseurs sonores dans les chambres contribuerait à augmenter le niveau de sécurité des clients de l établissement. Il est souligné que les résultats des différents travaux d analyse des risques ainsi que les méthodes elles mêmes ne semblent pas facilement transposables pour d autres cas d application. Il est difficile d envisager l établissement d une méthodologie unique pour l identification des dangers et le calcul des risques qui permettrait de traiter des établissements recevant du public (de toutes sortes), des installations industrielles, des installations nucléaires, des installations classées pour la protection de l environnement (de toutes sortes), des immeubles de grande hauteurs, des bâtiments d habitations, etc. Au niveau de l analyse des risques, chaque type d ouvrage a des besoins particuliers liés à des objectifs de sécurité précis qui répondent aux contraintes qui leur sont propres. Ainsi, les analyses engagées par les parties prenantes lors de la détermination des dangers des installations nucléaires sont différentes à celles des locaux à sommeil. Des niveaux d exigence précis vis-à-vis de la détermination des 38/222

39 Produits Systèmes risques et la prise de décisions sont nécessaires en fonction du cas traité afin de déterminer le degré de raffinement des outils mis en œuvre. Les différents travaux menés au sein de l action 3 ont mis en évidence que des travaux supplémentaires doivent être réalisés afin de mieux adapter les méthodes d analyse des risques à la problématique de la sécurité incendie. Ce rapport met en exergue l absence de méthodes ad hoc pour la détermination de façon simple et systématique (ex. : de type chech list) dans des bâtiments courants, de tous les dangers potentiels en fonction du type d ouvrage, des conditions d opération, etc. Ce rapport est adressé à un public large : un résumé est présenté dans le corps du texte, mais un lecteur averti peut se référer aux annexes pour de plus amples détails. 39/222

40 Produits Systèmes 8. Références [1] PN-ISI A01. Ingénierie de la sécurité incendie Méthodologie générale pour la conception, la construction et l exploitation d ouvrages, PN-ISI, janvier [2] DUPLANTIER S. Recensement des méthodes d analyses de risque et applicabilité de ces méthodes dans le cadre d une ISI. Tome 1 Les méthodes d analyses de risque dans les EDD. INERIS, août 2006 (Voir annexe A). [3] MANGIN J., CHORIER J., FROMY P. Développement d une méthode de diagnostic et d évaluation des risques incendie d une construction et d une méthode d aide à la décision pour le choix des actions de mise à niveau donné de sécurité - Restitution des travaux de recherche actuellement menés dans le cadre de la thèse de Julien Chorier (ESIGEC). CSTB, août 2010 (Voir annexe B). [4] NF EN Sécurité fonctionnelle des systèmes électriques/électroniques/ électroniques programmables relatifs à la sécurité. AFNOR [5] NF EN Sécurité fonctionnelle - Systèmes instrumentés de sécurité pour le secteur des industries de transformation. AFNOR [6] NF EN Eurocode 1 : Actions sur les structures. Partie 1-2 : Actions générales- actions sur les structures exposées au feu. Afnor [7] DE CHEFDEBIEN A., LACHIHAB A. Démarche d évaluation de la sécurité et d aide à la prise de décisions. Gestion de la sécurité structurale globale. Méthodes probabilistes appliquées à l objectif de la stabilité structurale. CERIB, PN-ISI, octobre 2007 (Voir annexe C). [8] EVANS D. Sprinkler Fire Suppression Algorithm for Hazard, NISTIR 5254, National Institute of Standards and Technology, Gaithersburgh, MD, [9] MANGIN J. Aide au choix des solutions de mise en sécurité incendie après simulation événementielle probabiliste par les réseaux de Petri : application à un hôtel (étude de faisabilité). LOCIE Polytech Savoie Université de Savoie, février 2008 (Voir annexe D). [10] Engineering Guide Fire Risk Assessment, Society of Fire Protection Engineers, Bethesdan, MD, /222

41 Annexe A Recensement des méthodes d analyses de risque et applicabilité de ces méthodes dans le cadre d une ISI. Tome 1 Les méthodes d analyses de risque dans les EDD 41/222

42 Préambule Le présent rapport a été établi sur la base des informations fournies à l'ineris, des données (scientifiques ou techniques) disponibles et objectives et de la réglementation en vigueur. La responsabilité de l'ineris ne pourra être engagée si les informations qui lui ont été communiquées sont incomplètes ou erronées. Les avis, recommandations, préconisations ou équivalent qui seraient portés par l'ineris dans le cadre des prestations qui lui sont confiées, peuvent aider à la prise de décision. Etant donné la mission qui incombe à l'ineris de par son décret de création, l'ineris n'intervient pas dans la prise de décision proprement dite. La responsabilité de l'ineris ne peut donc se substituer à celle du décideur. Le destinataire utilisera les résultats inclus dans le présent rapport intégralement ou sinon de manière objective. Son utilisation sous forme d'extraits ou de notes de synthèse sera faite sous la seule et entière responsabilité du destinataire. Il en est de même pour toute modification qui y serait apportée. 42/222

43 Sommaire Préambule 42 1 Introduction Contexte Préambule Organisation du document 44 2 Qu est ce que l analyse de risque? Définition du système et des objectifs à atteindre Définition du système Définition des objectifs à atteindre Recueil des informations indispensables à l analyse des risques Description fonctionnelle et technique du système Environnement du système Identification des potentiels de danger Analyse des incidents/accidents passés Définition de la démarche à mettre en œuvre Choix des outils d analyse des risques Constitution d un groupe de travail Evaluation semi-quantitative des risques 53 3 Recensement des différentes méthodes L Analyse Préliminaire des Risques AMDE et AMDEC HAZOP Arbre des Défaillances Arbre des évènements Nœud papillon 70 43/222

44 1 Introduction 1.1Contexte Préambule Pour mémoire les différentes travaux de l INERIS sur les méthodes d analyses de risque sont rappelées ci-après : Besoins méthodologiques en évaluation de la sécurité et aide à la prise de décision Dans le cadre de cette action, l INERIS apportera au projet une description d outils et de méthodes pour l évaluation des risques et la prise de décision qui sont utilisés dans le cadre d étude des dangers. Cette description sera complétée par une évaluation de la pertinence de leur utilisation dans le cadre d une étude ISI. Analyse critique des outils et méthodes d analyse de risque - Sur la base de la synthèse des invariants concernant les méthodologies d analyse de risque réalisée par le CUST, une étude critique des méthodes présentées sera réalisée. Etude bibliographique Description d outils et de méthodes pour l évaluation des risques et la prise de décision qui sont utilisées dans le cadre d étude des dangers. Cette description sera complétée par une évaluation de la pertinence de leur utilisation dans le cadre d une étude ISI. Le contenu de ces différentes tâches se recoupant, il a été proposé dans le cadre de la note annexée de présenter les travaux de l INERIS sous la forme suivante : Recensement des méthodes utilisées dans les EDD Application des méthodes EDD à l ISI Applicabilité d autres méthodes à l ISI 1 rappel de l objectif de l analyse de risque dans une EDD 1.1 les données d entrée 1.2 les données de sortie 1.2Organisation du document 2 Description des principales méthodes employées dans le cadre des EDD 2.1 méthodes inductives 2.2 méthodes déductives 3 Autres méthodes moins spécifiques à l EDD 3.1 nucléaire (IRSN) 3.2 maritime (TokiaMarine) 3.3 bâtiment (CUST) 1 rappel des méthodes disponibles dans le cas des EDD 2 Evaluation de l applicabilité des différentes méthodes 3 Précision sur les données d entrée et de sortie des différentes méthodes pouvant être appliquées à l ISI 1 rappel des méthodes disponibles hors cadre EDD 2 Evaluation de l applicabilité des différentes méthodes 3 Précision sur les données d entrée et de sortie des différentes méthodes pouvant être appliquées à l ISI Ce document est le tome I de la série, il traite du recensement et de la description d outils d analyse de risque utilisés dans le cadre d EDD. Par conséquent, il est clair que l accent sera mis plus particulièrement sur des dangers liés à des procédés chimiques. Toutefois, ce type de démarche s applique également dans le cadre d une étude d ingénierie sécurité incendie en recherchant en particulier les conditions qui peuvent aboutir à l occurrence d un incendie. 44/222

45 2 Qu est ce que l analyse de risque? Les paragraphes suivants présentent la démarche adoptée pour l analyse des risques associés à l exploitation d installations industrielles. Cette démarche se décompose généralement en plusieurs étapes : Définition du système à étudier et des objectifs à atteindre. Cette étape préliminaire permet de définir clairement le cadre de l analyse des risques. Recueil des informations indispensables à l'analyse des risques. Cette seconde étape vise à collecter l ensemble des informations pertinentes pour mener le travail d analyse de façon efficace. Outre la description fonctionnelle de l installation à étudier et de son environnement, il est indispensable d avoir clairement identifié : les dangers associés aux installations, les risques d agressions externes sur l installation étudiée, l analyse des accidents survenus sur des installations similaires. Définition de la démarche à adopter Dans cette étape, il est notamment question de choisir un ou plusieurs outils pour mener l analyse des risques et de retenir, si nécessaire, des échelles de cotation des risques et une grille de criticité. Mise en œuvre de l analyse de risque dans le cadre d un groupe de travail. Pour être aussi exhaustive que possible, l analyse des risques doit être menée au sein d un groupe de travail réunissant des spécialistes des installations étudiées. 2.1Définition du système et des objectifs à atteindre Définition du système L analyse des risques est un travail qui peut s avérer complexe et mobiliser des ressources importantes. Dès lors, il est indispensable d identifier clairement le système à étudier et de déterminer sans ambiguïtés les limites de l étude. Il peut par exemple s agir d étudier les risques associés à une nouvelle installation devant être implantée, d identifier les risques associés à la modification d un procédé existant ou de passer en revue les risques à l échelle d un site industriel complet. Cette définition permet notamment de limiter la description du système aux informations nécessaires et suffisantes au champ de l étude Définition des objectifs à atteindre La définition des objectifs de l analyse des risques est une étape essentielle qui permet notamment de définir les critères d acceptabilité des risques. Il peut par exemple être nécessaire de mener une analyse des risques dans l un des buts particuliers suivants : Analyser les risques d accidents de manière générale et les évènements pouvant nuire à la bonne marche du procédé (pannes, incidents ), Analyser plus spécifiquement les risques aux postes de travail (Code du travail), Analyser les risques d accidents majeurs (cas de l étude des dangers). 45/222

46 Selon les objectifs poursuivis, la démarche et les outils utilisés pourront être significativement différents. 2.2Recueil des informations indispensables à l analyse des risques Le recueil des informations nécessaires à l analyse des risques est probablement une des phases les plus longues du processus mais également une des plus importantes. Avant de mettre en œuvre la démarche d analyse des risques, il est généralement nécessaire de respecter les étapes suivantes : Description fonctionnelle et technique du système, Description de son environnement, Identification des potentiels de danger internes et externes, Analyse des incidents/accidents passés Description fonctionnelle et technique du système La description fonctionnelle vise notamment à collecter l ensemble des informations indispensables pour mener l analyse. De manière très générale, il s agit de traiter les points suivants : identifier les fonctions du système étudié, caractériser la structure du système, définir les conditions de fonctionnement du système, décrire les conditions d exploitation du système Fonctions du système Des questions classiques du type «A quoi sert?» permettent d identifier simplement les fonctions du système étudié. L identification de ces fonctions permet de caractériser les défaillances possibles du système. En effet, la défaillance d un système peut être définie comme la cessation de l aptitude d une entité à accomplir une fonction requise. Notons ici que, selon le système étudié (unités de process, stockages ), une défaillance du système (perte de la fonction) n induit pas automatiquement la possibilité d un accident majeur. En revanche, l identification des fonctions globales du système s avère utile pour décrire par la suite la structure du système et les fonctions de chacun de ces composants Structure du système La définition de la structure du système vise à décrire les différents éléments qui le composent et plus précisément : leurs fonctions, performances et gammes de fonctionnement, leurs connexions et interactions, leur localisation respective. Dans le même temps, il faut lister les substances présentes ou susceptibles d être présentes dans le système étudié. Cette partie sera complétée par l identification des dangers (voir ). 46/222

47 Cette étape permet également de réunir les plans, schémas de principe, flowsheets des installations et de s assurer de leur mise à jour le cas échéant Conditions de fonctionnement du système Cette description vise à caractériser les états de fonctionnement du système ainsi que de ses composants, soit les états suivants : arrêt, fonctionnement normal, démarrage après un arrêt court ou prolongé Dans le cadre d une étude ISI, ces différentes phases peuvent correspondre soit à des périodes de travaux ou de maintenance, soit à différentes périodes espacées dans le temps en intégrant par exemple le vieillissement de la construction (réponse de la structure différente à une agression thermique par exemple). Il est ainsi primordial de décrire le mode de gestion de transition du système ou de ses composants depuis un état vers un autre. De façon générale, il faut identifier les procédures de conduite du système, les consignes spécifiques en cas d incident, Cette étape doit également permettre de définir les conditions dans lesquelles se trouvent les substances mises en jeu pour ces différents états (phase, température, pression ) Conditions d exploitation Les conditions d exploitation regroupent les éléments qui concernent les conditions de surveillance du système (alarmes, inspections, vérification, tests périodiques) ainsi que les conditions d intervention (maintenance préventive, corrective ). En outre, il est important de disposer des consignes d exploitation, c est-à-dire les conditions à respecter pour exploiter le système Environnement du système La description de l environnement du système est importante à double titre : l environnement peut être une source d agressions pour le système, l environnement constitue généralement une cible pouvant être affectée en cas d accident Cibles présentes dans l environnement Afin d apprécier la gravité d un accident ou incident potentiel, il est indispensable de bien identifier les éléments de l environnement qui pourraient être gravement affectés. En règle générale, il convient de repérer les cibles suivantes : les personnes (personnel du site concerné, populations habitant ou travaillant autour de sites industriels), les installations et équipements pouvant être à l origine d accidents (équipements dangereux), certains équipements indispensables pour maintenir le niveau de sécurité des installations (équipements de sécurité critiques comme une salle de contrôle, un local pomperie incendie, un réseau torche ), les biens et les structures dans l environnement des installations, l environnement naturel (nappes phréatiques, cours d eau, sols ), d autres parties des installations, en fonction des objectifs particuliers de l analyse des risques. 47/222

48 Sources d agressions externes Les sources d agressions externes peuvent quant à elles être multiples. Il est difficile d en donner un inventaire exhaustif ; néanmoins, voici quelques-unes des sources d agressions qu il convient généralement de repérer : Les sources d agressions sur le site étudié : Autres parties des installations, Zones de circulation, de travaux Malveillance, Pertes d utilité. Les sources d agressions naturelles : Conditions météorologiques extrêmes (gel, vent, neige, brouillard ), Mouvements de terrain et séismes, Foudre, Inondations. Les sources d agressions liées à l activité humaine autour du site étudié : Présence d établissements industriels proches, Transport de matières dangereuses sur des voies de communication proches, Présence d aéroports, aérodromes, Malveillance, Eléments exceptionnels (barrages ) Identification des potentiels de danger Potentiels de danger internes La définition des potentiels de danger internes doit être réalisée de la façon la plus exhaustive possible en étudiant entre autres : les dangers liés aux produits. Il s agit alors de qualifier les dangers (inflammabilité, toxicité.) présentés par les produits présents ou susceptibles d être présents sur le site en quantité suffisante pour être à l origine d un accident majeur. Dans le cadre de cet examen, il est également indispensable d étudier les incompatibilités entre produits. les conditions opératoires. Il s agit d identifier les conditions opératoires pouvant présenter un danger intrinsèque ou augmenter la gravité d un accident potentiel. Par exemple, il convient de repérer les installations fonctionnant à des pressions élevées ou encore les équipements intégrant des pièces tournant avec une énergie cinétique importante (compresseur par exemple). Dans le cadre d une étude ISI, cet aspect peut être intégré en s intéressant aux machines présentes dans le bâtiment étudié : chaufferie, laverie, cuisine ou tout autre équipement susceptible d être soit à l origine d un incendie (source chaude) soit une charge combustible. les réactions chimiques. Pour les procédés mettant en jeu des réactions physico-chimiques, une classification des réactions permet de mettre en lumière les réactions présentant des risques d emballement ou des réactions incontrôlées dangereuses. Il est alors important de spécifier les conditions (température, pression, mélange ) à partir de laquelle les réactions chimiques peuvent devenir dangereuses Potentiels de danger externes L identification des potentiels de danger externes doit permettre de caractériser les risques d agressions externes sur le système. 48/222

49 Si parfois un examen rapide de ces potentiels de danger externes apporte des éléments de réponse satisfaisants, dans d autres cas, il est nécessaire de mettre en œuvre des outils spécifiques. Cela peut notamment être le cas pour : les risques d agressions sismiques, les risques liés à la foudre (cf. Arrêté du 28 janvier 1993), les synergies d accidents ou effets dominos. Les outils permettant d examiner ces risques ne sont pas traités dans ce document mais feront l objet de documents spécifiques. Pour ce qui concerne les risques liés à la foudre, le lecteur pourra se reporter au rapport de l INERIS «-3 : Le risque foudre et les Installations Classées pour la Protection de l Environnement» Analyse des incidents/accidents passés L analyse des incidents/accidents porte à la fois sur les incidents et accidents survenus sur les installations étudiées ou sur des installations similaires. Elle joue un rôle fondamental dans l analyse des risques à de nombreux titres : Elle permet d identifier a priori les incidents ou accidents susceptibles de se produire à partir : des accidents ou incidents s étant déjà produits sur le site étudié, des accidents survenus sur des installations comparables à celles étudiées. Elle met en lumière les causes les plus fréquentes d accident et donne des renseignements précieux concernant les performances de certaines barrières de sécurité. Elle constitue une base de travail pertinente pour l analyse des risques en groupe de travail qui devra identifier a priori des scénarios d accidents. 2.3Définition de la démarche à mettre en œuvre La définition précise de la démarche d analyse des risques à mettre en œuvre demande notamment de choisir le ou les outils les mieux adaptés, de définir le groupe de travail qui participera à la réflexion et, le cas échéant, de fixer des échelles de cotation des risques et une grille de criticité Choix des outils d analyse des risques Il existe un grand nombre d outils dédiés à l identification des dangers et des risques associés à un procédé ou une installation. Quelques-uns des outils les plus fréquemment utilisés sont : l Analyse Préliminaire des Risques (APR), l Analyse des Modes de Défaillances, de leurs Effets et de leur Criticité (AMDEC), l Analyse des risques sur schémas type HAZOP ou «What if?», l Analyse par arbre des défaillances, l Analyse par arbre d évènements, le Nœud Papillon. Ces outils pris individuellement ou combinés permettent le plus souvent de répondre aux objectifs d une analyse des risques portant sur un procédé ou une installation. Néanmoins, pour des problématiques particulières, il est nécessaire de faire appel à des méthodes possédant un domaine d application spécifique. C est le cas par exemple pour la prise en compte des effets dominos entre installations ou l examen des erreurs humaines. 49/222

50 D une manière générale, le choix de retenir un outil particulier d analyse des risques s effectue à partir de son domaine d application et de ses caractéristiques Approche déductive / inductive Il existe deux grands types de démarches en vue d analyser les risques : la démarche inductive et la démarche déductive. Dans une approche inductive, une défaillance ou une combinaison de défaillances est à l origine de l analyse. Il s agit alors d identifier les conséquences de cette ou ces défaillances sur le système ou son environnement. On dit généralement que l on part des causes pour identifier les effets. Les principales méthodes inductives utilisées dans le domaine des risques accidentels sont : l Analyse Préliminaire des Risques, l Analyse des Modes de Défaillance, de leurs Effets et de leurs Criticité (AMDEC), l HAZOP, l analyse par arbre d évènements. A l inverse, dans une approche déductive, le système est supposé défaillant et l analyse porte sur l identification des causes susceptibles de conduire à cet état. On part alors des effets pour remonter aux causes. L arbre des défaillances constitue une des principales méthodes déductives Défaillances indépendantes ou combinées La plupart des méthodes inductives (APR, AMDEC, HAZOP ) présentées dans ce document considère généralement des défaillances simples et indépendantes d un élément ou composant du système. Il s agit d une hypothèse qui permet de simplifier une démarche souvent complexe d identification des sources de danger potentielles. Elle correspond à une image biaisée de la réalité dans la mesure où l analyse d accidents met en lumière que les sinistres surviennent généralement suite aux défaillances combinées de plusieurs composants ou équipements. Notons toutefois que ces outils peuvent être adaptés en vue de prendre en compte des combinaisons de défaillances et d identifier des modes communs de défaillance 1. L utilisation de méthodes arborescentes (arbre de défaillances ou d évènements) permet de prendre en compte la succession ou la simultanéité de défaillances de plusieurs équipements ou composants, conduisant in fine à un accident potentiel. De telles approches peuvent s avérer particulièrement lourdes à mettre en place pour des systèmes complexes et sont généralement réservées à l étude de points critiques mis en lumière par une première analyse plus simple. Notons au passage que ces méthodes permettent une évaluation quantitative de la probabilité des risques identifiés Domaines d application Les outils d analyse des risques doivent être choisis en fonction des caractéristiques des installations à étudier et du niveau de détail recherché. Ainsi, il est possible de différencier les méthodes telles que l APR réservée à une analyse «en surface» des risques ou à des installations peu complexes et les 1 Un mode commun de défaillance désigne un événement qui, en raison de dépendances, provoque simultanément les défaillances de plusieurs composants du système. 50/222

51 méthodes dédiées à une analyse plus détaillée et généralement centrée sur des sous-systèmes bien définis comme l AMDEC par exemple. Bien entendu, le domaine d application et le niveau de détail sont également fonction des compétences et de l expérience des personnes qui mèneront ce travail. En d autres termes, certains outils peuvent être adaptés afin d être utilisés dans un domaine d application sensiblement différent de leur domaine d origine. Ces différentes informations sont synthétisées dans le tableau suivant, pour les principales méthodes d analyse des risques dans le domaine des risques accidentels. Les différents éléments présentés ci-avant ont été reportés dans le tableau suivant afin de bien différencier les possibilités offertes par les différents outils présentés dans ce document. Méthodes Approche Défaillances envisagées Niveau de détail Domaines d application privilégiés APR Inductive Indépendantes + Installations les moins complexes Etape préliminaire d analyse HAZOP/What-if Inductive Indépendantes ++ Systèmes thermohydrauliques AMDEC Inductive Indépendantes ++ Sous-ensembles techniques bien délimités Arbre d évènements Arbre des défaillances Nœud papillon Inductive Combinées +++ Défaillances préalablement identifiées Déductive Combinées +++ Evènements redoutés ou indésirables préalablement identifiés Inductive Déductive Combinées +++ Scénarios d accidents jugés les plus critiques Tableau 1 : Critères de choix pour les principales méthodes d analyse des risques En définitive, il n y a pas de «bons» ou «mauvais» outils d analyse des risques. Ces outils ne sont que des aides guidant la réflexion et il convient donc de retenir les outils les mieux adaptés aux cas à traiter. D ailleurs, ces outils peuvent être tout à fait complémentaires. En effet, une phase préliminaire d analyse des risques menée grâce à une APR par exemple, permet d identifier les parties d une installation pour lesquelles l utilisation de méthodes plus détaillées comme l AMDEC ou l HAZOP s avère pertinente. De la même façon, la mise en œuvre d une AMDEC par exemple est souvent particulièrement utile en vue de construire un arbre des défaillances. Enfin, signalons que, pour des installations particulièrement simples, une démarche systématique d identification des risques peut tout à fait convenir, même si elle n est pas référencée de manière formelle dans la littérature. Pour ces systèmes simples, l usage de listes de contrôle (check-lists) permet en général de répondre de façon satisfaisante aux objectifs de l analyse des risques Constitution d un groupe de travail De manière générale, les outils d analyse des risques sont destinés à être mis en œuvre dans le cadre de groupe de travail. Si leur utilisation par une personne seule 51/222

52 n est pas impossible, ils risquent néanmoins de perdre de leur pertinence. Leur intérêt réside en majeure partie dans la confrontation d avis et de remarques de personnes ayant des expériences et des connaissances complémentaires. Cette richesse de points de vue permet généralement de tendre vers un examen le plus exhaustif possible des situations de danger. Au sein de l équipe, il convient de distinguer les personnes assurant un rôle d encadrement et d orientation (animateur, secrétaire ) des autres membres du groupe de travail apportant une contribution uniquement technique Contribution technique L équipe doit être pluridisciplinaire. Pour cela, elle doit être composée des personnes travaillant au quotidien sur les installations étudiées ou ayant une connaissance approfondie des installations (cas des projets). La composition habituelle des participants contribuant sur les aspects techniques peut être, à titre d exemple, la suivante : Responsable du projet, Personne chargée de la sécurité, Personne spécialiste du procédé, Personne chargée de la maintenance, Spécialiste de l automation et des systèmes Personne travaillant en production La composition du groupe de travail est souvent fonction de l installation étudiée. A ce titre, il peut être fait appel à des personnes travaillant dans le domaine électrique ou le génie civil. Néanmoins, il faut garder à l esprit qu une équipe ne doit pas comporter plus de sept ou huit personnes au total pour être efficace Encadrement Un animateur intervient, lors des sessions de travail, à la fois dans le rôle d animation et de garant de la méthode. Il est généralement accompagné d une personne, chargée du rôle de secrétaire et assurant la prise de notes. L animateur a un rôle clé durant l analyse. Il guide l équipe au travers de questions systématiques durant les sessions. Il doit veiller à faire participer tout le monde et faire en sorte que l ambiance soit toujours sereine et la productivité maximale. Il doit avoir le souci permanent d obtenir un consensus et éviter d être trop directif. Enfin, certains membres du groupe de travail peuvent se sentir mal à l aise en considérant que leurs compétences ou savoir-faire pourraient être remis en cause lors des discussions. De ce fait, il est important que l animateur n hésite pas à mettre en avant les aspects positifs déjà existants (choix d équipements, mise en place de plans de maintenance, installations de dispositifs de sécurité,...). En pratique, le rôle d animateur ou de secrétaire ne se limite généralement pas qu à animer le groupe de travail. Grâce à leur connaissance des situations accidentelles (causes, conséquences, ) et des moyens d y faire face, ces personnes sont souvent à même de participer efficacement à la réflexion. Ainsi, ils peuvent apporter des compléments au groupe de travail composé de personnes connaissant bien le système étudié mais n étant pas forcément familier des situations accidentelles (phénomènes physiques, analyse des accidents passés ). La tâche finale de l animateur et du secrétaire est de réaliser le compte-rendu des séances en synthétisant le travail réalisé par le groupe. 52/222

53 Les étapes de l analyse des risques décrites précédemment ont conduit à l identification des risques associés à un site complet, une installation, un équipement particulier, ainsi qu à celle des barrières (équipements ou tâches organisationnelles) permettant de maîtriser ces risques. Cette étape essentiellement qualitative est riche d enseignements puisqu elle permet d aborder de manière systématique les évènements pouvant conduire à un accident majeur, et en conséquence, d identifier les mesures et équipements prévus ou à envisager en vue de maîtriser les risques associés. Dans le domaine des risques accidentels, il est souvent indispensable de compléter cette démarche par une approche quantitative visant à estimer le niveau de risque des situations mises en lumière Evaluation semi-quantitative des risques Dans certains cas, une évaluation semi-quantitative des risques doit être réalisée afin de hiérarchiser les risques identifiés et de les comparer à un niveau jugé acceptable par le groupe de travail. Dans ces cas, il faut définir en amont de l analyse des échelles de cotation des risques en terme de probabilité et de gravité ainsi qu une grille de criticité explicitant les critères d acceptabilité retenus par le groupe de travail. Notons que cette évaluation semi-quantitative est indispensable dans le cadre de l analyse des risques d accidents majeurs dans l étude des dangers par exemple Echelles de probabilité et de gravité Les échelles de probabilité et de gravité, utilisées pour une évaluation quantitative simplifiée des risques doivent être adaptées à l installation étudiée. A cet égard, les exploitants possédant la meilleure connaissance de leurs installations, il est légitime de retenir les échelles de cotation choisies qu ils proposent. Il faut néanmoins s assurer que ces dernières sont bien adaptées à la problématique à traiter (étude des dangers, risques au poste de travail ). 53/222

54 Niveau de Gravité Les tableaux suivants présentent des échelles de cotation en probabilité et gravité que l INERIS utilise parfois pour l analyse des risques d accidents majeurs dans le cadre de l étude des dangers. Cibles humaines Cibles matérielles Cibles environnemental es 4 Effets critiques (létaux ou irréversibles) sur au moins une personne à l extérieur du site ou au niveau de zones occupées 1 du site Exemple : Au moins une victime à l extérieur du site ou au moins deux victimes sur le site 3 Effets critiques (létaux ou irréversibles) limités à un poste de travail sur le site Exemple : Une victime à un poste de travail occupé en permanence 2 Aucun effet critique au niveau des zones occupées ou postes de travail du site. Des effets peuvent être observés de façon très localisée. Exemple : Effet critique pour une personne se trouvant de façon fortuite à proximité du siège de l accident 1 Pas d effets significatifs sur le personnel du site Exemple : Aucun effet ou accident corporel sans arrêt de travail Atteinte d un bien, équipement dangereux ou de sécurité à l extérieur du site Atteinte d un équipement dangereux ou d un équipement de sécurité critique sur le site conduisant à une aggravation générale des conséquences Atteinte d un équipement dangereux ou d un équipement de sécurité critique sur le site sans aggravation générale des conséquences Atteintes à des équipements dangereux du site sans synergie d accidents ou à des équipements de sécurité non critiques Pas d effets significatifs sur les équipements du site Tableau 2 : Exemple d échelle de cotation en gravité Atteintes critiques à des zones vulnérables (ZNIEFF, points de captage ) avec répercussions à l échelle locale Atteintes sérieuses à l environnement nécessitant des travaux lourds de dépollution Atteintes limitées au site et nécessitant des travaux de dépollution minimes Pas d atteintes significatives à l environnement 1 «Zone occupée» désigne des zones (postes de travail, bureaux, salle de contrôle ) où plusieurs personnes peuvent se trouver en permanence. 54/222

55 Niveau de Probabilit é Traduction qualitative Critères de choix Traduction en barrières de sécurité 4 Evènement très probable dans la vie d une installation S est déjà produit sur le site ou de nombreuses fois sur d autres sites 3 Evènement probable dans la vie d une installation. Ne s est jamais produit de façon rapprochée sur le site mais a été observé de façon récurrente sur d autres sites. 2 Evènement peu probable dans la vie d une installation. Ne s est jamais produit de façon rapprochée sur le site mais quelques fois sur d autres sites. 1 Evènement improbable dans la vie d une installation. Ne s est jamais produit de façon rapprochée sur le site mais très rarement sur d autres sites. Tableau 3 : Exemple de cotation en probabilité Performances limitées des barrières de sécurité Exemples : Le non-respect d une procédure de sécurité entraîne l accident ou Barrières de sécurité mises en place insuffisamment dimensionnées. Performances moyennes des barrières de sécurité. Au moins un contrôle permanent nécessaire Exemple : L accident suppose le non-respect d une procédure de sécurité et la défaillance d un contrôle permanent Performances des barrières de sécurité fortes. Au moins une barrière de sécurité indépendante Exemple : L accident suppose le non-respect d une procédure de sécurité, la défaillance d un contrôle et la défaillance d une barrière de sécurité indépendante Performances des barrières de sécurité maximales. Plusieurs barrières de sécurité indépendantes nécessaires (ou une barrière particulièrement performante) Exemple : L accident suppose le non-respect d une procédure de sécurité, la défaillance d un contrôle et la défaillance de plusieurs barrières de sécurité indépendantes (ou d une barrière très performante) Quel que soit le choix retenu pour la sélection des échelles de probabilité et de gravité, il convient d observer les points suivants : les échelles de cotation doivent être compatibles avec les objectifs fixés au départ de l analyse. Dans le cas particulier d une étude de danger, l échelle de gravité doit par exemple inclure des critères relatifs à l atteinte de personnes, de l environnement ou de biens et équipements à l extérieur du site concerné. la définition des échelles de cotation doit être acceptée par le groupe de travail avant le début de l analyse, en correspondance avec les objectifs à atteindre Grille de criticité La grille de criticité permet au groupe de définir les couples (Probabilité ; Gravité) correspondant à des risques jugés inacceptables. L objet de cet outil est bien entendu de mettre en lumière ces risques jugés inacceptables afin d envisager des actions prioritaires pour réduire leur probabilité ou leur gravité. La grille présentée ci-dessous est un exemple de grille utilisée par l INERIS dans le cadre de l étude des dangers. Elle est compatible avec les échelles présentées dans les tableaux précédents. 55/222

56 Niveau de Gravité Niveau de probabilité Tableau 4 : Exemple de grille de criticité Risques jugés inacceptables Risques critiques Risque acceptable Dans cette grille, le domaine gris foncé désigne les couples (gravité ; probabilité) des scénarios d accidents qui sont considérés comme inacceptables. L objectif final de l analyse des risques consiste à démontrer qu aucun scénario d accident ne se trouve dans cette zone grâce aux barrières de sécurité mises en place ou proposées au cours de l étude. Le domaine gris clair représente les risques jugés critiques pour lesquels les mesures de sécurité mises en place ont été jugées suffisantes en regard des risques. Néanmoins, compte tenu de la gravité de ces accidents potentiels, un niveau de maîtrise optimal doit être maintenu pour assurer les performances des barrières de sécurité mises en place. Dans le cadre de la maîtrise des accidents majeurs, cela passe notamment par des tâches organisationnelles et l identification d éléments Importants Pour la Sécurité (IPS). Le domaine blanc constitue la zone du risque acceptable en l état. Il est important de préciser que la grille de criticité présentée précédemment n est qu un exemple et qu une autre répartition peut être choisie. L élément le plus important est d avoir une référence unique afin d avoir un niveau d appréciation du risque cohérent au niveau national. 56/222

57 3 Recensement des différentes méthodes Les différentes méthodes sont : l Analyse Préliminaire des Risques (APR), l Analyse des Modes de Défaillances, de leurs Effets et de leur Criticité (AMDEC), l Analyse des risques sur schémas type HAZOP ou «What if?», l Analyse par arbre des défaillances, l Analyse par arbre d évènements, le Nœud Papillon. Elles sont par la suite décrites dans leurs grandes lignes en précisant notamment les points suivants : Les caractéristiques : Domaine de prédilection Grands principes de la méthode 57/222

58 3.1L Analyse Préliminaire des Risques Désignation Domaine d application Méthode d analyse de risque Analyse Préliminaire des Risques Caractéristiques L Analyse Préliminaire des Risques (Dangers) a été développée au début des années 1960 dans les domaines aéronautiques et militaires. Utilisée depuis dans de nombreuses autres industries, l Union des Industries Chimiques (UIC) recommande son utilisation en France depuis le début des années L Analyse Préliminaire des Risques (APR) est une méthode d usage très général couramment utilisée pour l identification des risques au stade préliminaire de la conception d une installation ou d un projet. En conséquence, cette méthode ne nécessite généralement pas une connaissance approfondie et détaillée de l installation étudiée. En ce sens, elle est particulièrement utile dans les situations suivantes : au stade de la conception d une installation, lorsque la définition précise du procédé n a pas encore été effectuée. Elle fournit une première analyse de sécurité se traduisant par des éléments constituant une ébauche des futures consignes d exploitation et de sécurité. Elle permet également de choisir les équipements les mieux adaptés. dans le cas d une installation complexe existante, au niveau d une démarche d analyse des risques. Comme l indique son nom, l APR constitue une étape préliminaire, permettant de mettre en lumière des éléments ou des situations nécessitant une attention plus particulière et en conséquence l emploi de méthodes d analyses de risque plus détaillées. Elle peut ainsi être complétée par une méthode de type AMDEC ou arbre des défaillances par exemple. dans le cas d une installation dont le niveau de complexité ne nécessite pas d analyses plus poussées au regard des objectifs fixés au départ de l analyse des risques. Grands principes de la méthode L Analyse Préliminaire des Risques nécessite dans un premier temps d identifier les éléments dangereux de l installation. Ces éléments dangereux désignent le plus souvent : des substances ou préparations dangereuses, que ce soit sous forme de matières premières, de produits finis, d utilités, des équipements dangereux comme par exemple des stockages, zones de réceptionexpédition, réacteurs, fournitures d utilités (chaudière ), des opérations dangereuses associées au procédé. L identification de ces éléments dangereux est fonction du type d installation étudiée et elle se fonde sur la description fonctionnelle réalisée avant la mise en œuvre de la méthode. A partir de ces éléments dangereux, l APR vise à identifier, pour un élément dangereux, une ou plusieurs situations de danger. Dans le cadre de ce document, une situation de danger est définie comme une situation qui, si elle n est pas maîtrisée, peut conduire à l exposition de cibles à un ou plusieurs phénomènes dangereux. Le groupe de travail doit alors en déterminer les causes et les conséquences de chacune des situations de danger identifiés puis identifier les sécurités existantes sur le système étudié. Si ces dernières sont jugées insuffisantes vis-à-vis du niveau de risque identifié 58/222

59 dans la grille de criticité, des propositions d améliorations doivent alors être envisagées. L utilisation d un tableau de synthèse constitue un support pratique pour mener la réflexion et résumer les résultats de l analyse. Pour autant, l analyse des risques ne se limite pas à remplir coûte que coûte un tableau. Par ailleurs, ce tableau doit parfois être adapté en fonction des objectifs fixés par le groupe de travail préalablement à l analyse. Le tableau ci-dessous est donc donné à titre d exemple. Fonction ou système : Date : N Produit ou équipement Situation de danger Causes Conséquences Sécurités existantes Propositions d'amélioration Observations Pour chaque fonction identifiée dans la phase de description des installations, les produits ou équipements sont passés en revue, en examinant les situations de danger potentielles de manière systématique. Pour cela, il est fait appel à l expérience et à l imagination de chacun. L analyse d accident constitue de plus une source d information à privilégier. Le groupe de travail peut alors adopter une démarche systématique sous la forme suivante : 1) Sélectionner le système ou la fonction à étudier sur la base de la description fonctionnelle réalisée. 2) Choisir un équipement ou produit pour ce système ou cette fonction (colonne 2). 3) Pour cet équipement, considérer une première situation de danger (colonne 3) 4) Pour cette situation de danger, envisager toutes les causes et les conséquences possibles (colonnes 4 et 5). 5) Pour un enchaînement cause-situation de danger-conséquences donné, identifier alors les barrières de sécurité existantes sur l installation (colonne 6) 6) Si le risque ainsi estimé est jugé inacceptable, formuler des propositions d améliorations en colonne 7. La dernière colonne (colonne 8) est réservée à d éventuels commentaires. Elle est particulièrement importante pour faire apparaître les hypothèses effectuées durant l analyse ou les noms des personnes devant engager des actions complémentaires. 7) Envisager alors un nouvel enchaînement cause-situation de danger-conséquences pour la même situation de danger et retourner au point 5). 8) Si tous les enchaînements ont été étudiés, envisager une nouvelle situation de danger pour le même équipement et retourner au point 4). 9) Lorsque toutes les situations de danger ont été passées en revue pour l équipement considéré, retenir un nouvel équipement et retourner au point 3) précédent. 10) Le cas échéant, lorsque tous les équipements ont été examinés, retenir un nouveau système ou fonction et retourner au point 2). Une des premières difficultés rencontrées en pratique au cours d une APR tient dans la définition du terme «situation de danger». Il n est en effet pas rare de constater au cours de l analyse que des causes ou conséquences d une situation de danger soient à leur tour identifiées comme situations de danger plus tard lors de l analyse. Cette difficulté peut rendre délicate l appropriation de la méthode par le groupe de travail. Toutefois, elle ne doit pas être considérée comme un frein pour l analyse des risques mais au contraire, comme un moyen pour tendre vers plus d exhaustivité. Précisons enfin que des colonnes peuvent être ajoutées au tableau présenté ci-avant afin de recueillir les résultats de l estimation des risques réalisée en groupe de travail. 59/222

60 3.2AMDE et AMDEC Désignation Domaine d application Méthode d analyse de risque AMDE et AMDEC Caractéristiques L Analyse des Modes de Défaillance et de leurs Effets (AMDE) a été employée pour la première fois dans le domaine de l industrie aéronautique durant les années Son utilisation s est depuis largement répandue à d autres secteurs d activités telles que l industrie chimique, pétrolière ou le nucléaire. De fait, elle est essentiellement adaptée à l étude des défaillances de matériaux et d équipements et peut s appliquer aussi bien à des systèmes de technologies différentes (systèmes électriques, mécaniques, hydrauliques ) qu à des systèmes alliant plusieurs techniques. Grands principes de la méthode L Analyse des Modes de Défaillance et de leurs Effets repose notamment sur les concepts de : défaillance, soit la cessation de l aptitude d un élément ou d un système à accomplir une fonction requise, mode de défaillance, soit l effet par lequel une défaillance est observée sur un élément du système, cause de défaillance, soit les évènements qui conduisent aux modes de défaillances, effet d un mode de défaillance, soit les conséquences associées à la perte de l aptitude d un élément à remplir une fonction requise. En pratique, il est souvent difficile de bien distinguer ces différentes notions. La maîtrise de ce vocabulaire est néanmoins primordiale pour une bonne utilisation de cet outil. Pour illustrer ces différents concepts, prenons l exemple d une pompe. Dans des conditions normales d exploitation, la fonction de cette pompe est définie comme son aptitude à fournir un débit donné à sa sortie. Si le débit en sortie de pompe est nul, nettement inférieur ou supérieur à ce débit défini, la pompe sera dite «défaillante». Si, en cours d exploitation, la pompe s arrête de façon non désirée, on assistera bien à une défaillance de la pompe. Le fait que la pompe s arrête constitue donc un effet par lequel une défaillance est observée ; il s agit d un mode de défaillance. La coupure de courant qui a entraîné l arrêt de la pompe sera alors définie comme une des causes de ce mode de défaillance. L arrêt de l approvisionnement du réacteur alimenté par cette pompe suivi d une dégradation du produit de synthèse constitueront des conséquences de cette défaillance. L AMDE est une méthode inductive d analyse qui permet : d évaluer les effets et la séquence d évènements provoqués par chaque mode de défaillance des composants d un système sur les diverses fonctions de ce système, déterminer l importance de chaque mode de défaillance sur le fonctionnement normal du système et en évaluer l impact sur la fiabilité, la sécurité du système considéré, hiérarchiser les modes de défaillance connus suivant la facilité que l on a à les 60/222

61 détecter et les traiter. Lorsqu il est nécessaire d évaluer la criticité d une défaillance (probabilité et gravité), l Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité (AMDEC) apparaît comme une suite logique à l AMDE. L AMDEC reprend en effet les principales étapes de l AMDE et y ajoute une évaluation semi-quantitative de la criticité. Cette dernière peut par exemple être réalisée sur la base des échelles proposées au paragraphe De manière très schématique, une AMDEC se déroule sous la forme suivante : 1) Dans un premier temps, choisir un élément ou composant du système 2) Retenir un état de fonctionnement (fonctionnement normal, arrêt ) 3) Pour cet élément ou composant et pour cet état, retenir un premier mode de défaillance, 4) Identifier les causes de ce mode de défaillance ainsi que ces conséquences tant au niveau du voisinage du composant que sur tout le système, 5) Examiner les moyens permettant de détecter le mode de défaillance d une part, et ceux prévus pour en prévenir l occurrence ou en limiter les effets, 6) Procéder à l évaluation de la criticité de ce mode de défaillance en termes de probabilité et de gravité, 7) Prévoir des mesures ou moyens supplémentaires si l évaluation du risque en montre la nécessité, 8) Vérifier que le couple (P,G) peut être jugé comme acceptable, 9) Envisager un nouveau mode de défaillance et reprendre l analyse au point 4), 10) Lorsque tous les modes de défaillances ont été examinés, envisager un nouvel état de fonctionnement et reprendre l analyse au point 3) 11) Lorsque tous les états de fonctionnement ont été considérés, choisir un nouvel élément ou composant du système et reprendre l analyse au point 2). Dans les faits, il est intéressant de se doter de tableaux tant en qualité de support pour mener la réflexion que pour la présentation des résultats Equipement Fonctions, Mode de Causes de Effet Effet final Moyens de Dispositifs de P G Remarques Repère états défaillance défaillance local détection Remplacements 61/222

62 3.3HAZOP Désignation Domaine d application Méthode d analyse de risque HAZOP (WHAT-IF) Caractéristiques La méthode HAZOP, pour HAZard OPerability, a été développée par la société Imperial Chemical Industries (ICI) au début des années Elle a depuis été adaptée dans différents secteurs d activité. L Union des Industries Chimiques (UIC) a publié en 1980 une version française de cette méthode dans son cahier de sécurité n 2 intitulé «Etude de sécurité sur schéma de circulation des fluides». Considérant de manière systématique les dérives des paramètres d une installation en vue d en identifier les causes et les conséquences, cette méthode est particulièrement utile pour l examen de systèmes thermo-hydrauliques, pour lesquels des paramètres comme le débit, la température, la pression, le niveau, la concentration sont particulièrement importants pour la sécurité de l installation. De par sa nature, cette méthode requiert notamment l examen de schémas et plans de circulation des fluides ou schémas P&ID (Piping and Instrumentation Diagram). What IF La méthode dite «What if» est une méthode dérivée de l HAZOP. Elle suit donc globalement la même procédure et les informations présentées au paragraphe précédent pour l HAZOP restent donc valables ici. La principale différence concerne la génération des dérives des paramètres de fonctionnement. Ces dérives ne sont plus dans ce cas envisagées en tant que combinaison d un mot clé et d un paramètre, mais fondées sur une succession de questions de type de la forme : «QUE (What) se passe-t-il SI (IF) tel paramètre ou tel comportement est différent de celui normalement attendu?». Il apparaît ainsi que l efficacité de la méthode «What if» repose en grande partie sur l expérience des personnes réunies au sein du groupe de travail. Cette méthode paraît donc moins fastidieuse à mener que l HAZOP mais est réservée à une équipe expérimentée. 62/222

63 Grands principes de la méthode La méthode de type HAZOP est dédiée à l analyse des risques des systèmes thermohydrauliques pour lesquels il est primordial de maîtriser des paramètres comme la pression, la température, le débit L HAZOP suit une procédure assez semblable à celle proposée par l AMDE. L HAZOP ne considère plus des modes de défaillances mais les dérives potentielles (ou déviations) des principaux paramètres liés à l exploitation de l installation. De ce fait, elle est centrée sur l installation à la différence de l AMDE qui est centrée sur les composants. Pour chaque partie constitutive du système examiné (ligne ou maille), la génération (conceptuelle) des dérives est effectuée de manière systématique par la conjonction : de mots-clés comme par exemple «Pas de», «Plus de», «Moins de», «Trop de» des paramètres associés au système étudié. Des paramètres couramment rencontrés concernent la température, la pression, le débit, la concentration, mais également le temps ou des opérations à effectuer. Mot-clé + Paramètre = Dérive Le groupe de travail doit ainsi s attacher à déterminer les causes et les conséquences potentielles de chacune de ces dérives et à identifier les moyens existants permettant de détecter cette dérive, d en prévenir l occurrence ou d en limiter les effets. Le cas échéant, le groupe de travail pourra proposer des mesures correctives à engager en vue de tendre vers plus de sécurité. A l origine, l HAZOP n a pas été prévue pour procéder à une estimation de la probabilité d occurrence des dérives ou de la gravité de leurs conséquences. Cet outil est donc parfois qualifié de qualitatif. Néanmoins, dans le domaine des risques accidentels majeurs, une estimation a priori de la probabilité et de la gravité des conséquences des dérives identifiées s avère souvent nécessaire. Dans ce contexte, l HAZOP doit donc être complétée par une analyse de la criticité des risques sur les bases d une technique quantitative simplifiée. Dans une première approche, une démarche semi-quantitative similaire à celle présentée au paragraphe pourra être retenue. Cette adaptation semi-quantitative de l HAZOP est d ailleurs mentionnée dans la norme CEI : «Etudes de danger et d exploitabilité (études HAZOP) Guide d application». Le déroulement d une étude HAZOP est sensiblement similaire à celui d une AMDE. Il convient pour mener l analyse de suivre les étapes suivantes : 1) Dans un premier temps, choisir une ligne ou de la maille. Elle englobe généralement un équipement et ses connexions, l ensemble réalisant une fonction dans le procédé identifiée au cours de la description fonctionnelle. 2) Choisir un paramètre de fonctionnement, 3) Retenir un mot-clé et générer une dérive, 4) Vérifier que la dérive est crédible. Si oui, passer au point 5, sinon revenir au point 3, 5) Identifier les causes et les conséquences potentielles de cette dérive, 6) Examiner les moyens visant à détecter cette dérive ainsi que ceux prévus pour en prévenir l occurrence ou en limiter les effets, 7) Proposer, le cas échéant, des recommandations et améliorations, 8) Retenir un nouveau mot-clé pour le même paramètre et reprendre l analyse au point 3), 9) Lorsque tous les mots-clés ont été considérés, retenir un nouveau paramètre et reprendre l analyse au point 2), 10) Lorsque toutes les phases de fonctionnement ont été envisagées, retenir une nouvelle ligne et reprendre l analyse au point 1). 63/222

64 La démarche présentée ici est globalement cohérente avec la démarche présentée dans la norme CEI : «Etudes de danger et d exploitabilité (études HAZOP) Guide d application». Notons de plus que, dans le domaine des risques accidentels, il est souvent nécessaire de procéder à une estimation de la criticité des dérives identifiées. Enfin, comme le précise la norme CEI : 61882, il est également possible de dérouler l HAZOP, en envisageant en premier lieu un mot-clé puis de lui affecter systématiquement les paramètres identifiés. Un tableau de synthèse se révèle souvent utile pour guider la réflexion et collecter les résultats des discussions menées au sein du groupe de travail. Date : Ligne ou équipement : N Mot clé Paramètre Causes Conséquences Détection Sécurités existantes Propositions d'amélioration Observation s 64/222

65 3.4Arbre des Défaillances Désignation Domaine d application Méthode d analyse de risque Arbre des Défaillances Caractéristiques L analyse par arbre des défaillances fut historiquement la première méthode mise au point en vue de procéder à un examen systématique des risques. Elle a été élaborée au début des années 1960 par la compagnie américaine Bell Telephone et fut expérimentée pour l évaluation de la sécurité des systèmes de tir de missiles. Visant à déterminer l enchaînement et les combinaisons d évènements pouvant conduire à un événement redouté pris comme référence, l analyse par arbre des défaillances est maintenant appliquée dans de nombreux domaines tels que l aéronautique, le nucléaire, l industrie chimique, Elle est également utilisée pour analyser a posteriori les causes d accident qui se sont produits. Dans ces cas, l événement redouté final est généralement connu car observé. On parle alors d analyse par arbre des causes, l objectif principal étant de déterminer les causes réelles qui ont conduit à l accident. Grands principes de la méthode L analyse par arbre de défaillances est une méthode de type déductif. En effet, il s agit, à partir d un événement redouté défini a priori, de déterminer les enchaînements d évènements ou combinaisons d évènements pouvant finalement conduire à cet événement. Cette analyse permet de remonter de cause en cause jusqu aux évènements de base susceptibles d être à l origine de l événement redouté. Les évènements de base correspondent généralement à des : Évènements élémentaires qui sont généralement suffisamment connus et décrits par ailleurs pour qu il ne soit pas utile d en rechercher les causes. Ainsi, leur probabilité d occurrence est également connue. Évènements ne pouvant être considérés comme élémentaires mais dont les causes ne seront pas développées faute d intérêt, Évènements dont les causes seront développées ultérieurement au gré d une nouvelle analyse par exemple, Évènements survenant normalement et de manière récurrente dans le fonctionnement du procédé ou de l installation. Quelle que soit la nature des éléments de base identifiés, l analyse par arbre des défaillances est fondée sur les principes suivants : ces évènements sont indépendants, ils ne seront pas décomposés en éléments plus simples faute de renseignements, d intérêt ou bien parce que cela est impossible, leur fréquence ou leur probabilité d occurrence peut être évaluée. Ainsi, l analyse par arbre des défaillances permet d identifier les successions et les combinaisons d évènements qui conduisent des évènements de base jusqu à l événement indésirable retenu. Les liens entre les différents évènements identifiés sont réalisés grâce à des portes logiques (de type «ET» et «OU» par exemple). Cette méthode utilise une symbolique graphique particulière qui permet de présenter les résultats dans une structure 65/222

66 arborescente. Les conventions de présentation proposées dans la norme CEI : 1990 «Analyse par Arbre de Panne (APP)» sont reportées en Annexe 4 de même que d autres symboles couramment utilisés. A l aide de règles mathématiques et statistiques, il est alors théoriquement possible d évaluer la probabilité d occurrence de l événement final à partir des probabilités des évènements de base identifiés. L analyse par arbre des défaillances d un événement redouté peut se décomposer en trois étapes successives : Définition de l événement redouté étudié, Élaboration de l arbre, Exploitation de l arbre. Il convient d ajouter à ces étapes, une étape préliminaire de connaissance du système. Nous verrons que cette dernière est primordiale pour mener l analyse et qu elle nécessite le plus souvent une connaissance préalable des risques. La définition de l événement final, qui fera l objet de l analyse, est une étape cruciale pour la construction de l arbre. On conçoit que plus cet événement est défini de manière précise, plus simple sera l élaboration de l arbre des défaillances. Par ailleurs, s agissant d une méthode qui peut se révéler rapidement lourde à mener, elle doit être réservée à des évènements jugés particulièrement critiques. En ce sens, l utilisation préalable de méthodes inductives (APR, AMDEC, HAZOP) permet d identifier les évènements qui méritent d être retenus pour une analyse par arbre des défaillances. L analyse par arbre des défaillances permet d estimer la probabilité d occurrence d un événement et de s assurer que toutes les mesures possibles ont effectivement été envisagées en vue de prévenir le risque associé à cet événement. A la différence des méthodes inductives présentées précédemment, l arbre des défaillances offre la possibilité de considérer des combinaisons de défaillances et de vérifier que toutes les causes potentielles ont bien été prises en compte. Cette exploitation de l arbre des défaillances peut être réalisée de manière qualitative et quantitative. L exploitation qualitative de l arbre vise à examiner dans quelle proportion une défaillance correspondant à un événement de base peut se propager dans l enchaînement des causes jusqu à l évènement final. Pour cela, tous les évènements de base sont supposés équiprobables et on étudie le cheminement à travers les portes logiques d événement ou de combinaisons d évènements jusqu à l événement final. L exploitation quantitative de l arbre des défaillances vise à estimer, à partir des probabilités d occurrence des évènements de base, la probabilité d occurrence de l événement final ainsi que des évènements intermédiaires. Il ne s agit pas d une démarche qui permet d accéder avec exactitude à la probabilité de chaque évènement. Elle doit être mise en œuvre dans l optique de hiérarchiser les différentes causes possibles et de concentrer les efforts en matière de prévention sur les causes les plus vraisemblables. En pratique, il est souvent difficile d obtenir des valeurs précises de probabilités des évènements de base. En vue de les estimer, il est possible de faire appel à : des bases de données, des jugements d experts, des essais lorsque cela est possible, 66/222

67 au retour d expérience sur l installation ou des installations analogues. 3.5Arbre des évènements Désignation Domaine d application Méthode d analyse de risque Arbre des évènements Caractéristiques L analyse par arbre d évènements a été développée au début des années 1970 pour l évaluation du risque lié aux centrales nucléaires à eau légère. Particulièrement utilisée dans le domaine du nucléaire, son utilisation s est étendue à d autres secteurs d activité. De par sa complexité proche de celle de l analyse par arbre des défaillances, cette méthode s applique préférentiellement sur des sous-systèmes bien déterminés. Elle apporte une aide précieuse pour traiter des systèmes comportant de nombreux dispositifs de sécurité et de leurs interactions. A l instar de l analyse par arbre des défaillances dont elle s inspire, elle permet d estimer les probabilités d occurrence de séquences accidentelles. Cette méthode est particulièrement utilisée dans le domaine de l analyse après accident en vue d expliquer les conséquences observées résultant d une défaillance du système. Grands principes de la méthode L analyse par arbre des défaillances vise à déterminer, dans une démarche déductive, les causes d un événement indésirable ou redouté retenu a priori. A l inverse, l analyse par arbre d évènements suppose la défaillance d un composant ou d une partie du système et s attache à déterminer les évènements qui en découlent. A partir d un événement initiateur ou d une défaillance d origine, l analyse par arbre d évènements permet donc d estimer la dérive du système en envisageant de manière systématique le fonctionnement ou la défaillance des dispositifs de détection, d alarme, de prévention, de protection ou d intervention Ces dispositifs peuvent concerner aussi bien des moyens automatiques qu humains (intervention des opérateurs) ou organisationnels (application de procédures). La démarche généralement retenue pour réaliser une analyse par arbre d évènements est la suivante : Définir l événement initiateur à considérer, Identifier les fonctions de sécurité prévues pour y faire face, Construire l arbre, Décrire et exploiter les séquences d évènements identifiées. Les paragraphes suivants décrivent ces différentes étapes en suivant un exemple inspiré de l ouvrage «Guidelines for Hazard Evaluation Procedures», cité en références. Il s agit d une étape importante pour l analyse par arbre d évènements. Etant donné qu il s agit d une approche qui peut vite se révéler lourde à mener, il est généralement bon de sélectionner un événement initiateur qui peut effectivement conduire à une situation critique. Ceci suppose donc de connaître, au moins de manière partielle, les principaux risques associés à l installation considérée. Pour une analyse après accident, ces risques sont de fait connus. Ce cas mis à part, il est pertinent d élaborer un arbre d évènements suite à une première analyse qui a mis en lumière les accidents potentiels à envisager. En 67/222

68 ce sens, cette méthode apparaît complémentaire de méthodes telles que l APR par exemple. Les fonctions de sécurité doivent être assurées par des barrières en réponse à l événement initiateur. Elles ont en général pour objectif d empêcher, dans la mesure du possible, que l événement initiateur soit à l origine d un accident majeur. Elles se déclinent le plus souvent en : Fonctions de détection de l événement initiateur, Fonctions d alarme signifiant l occurrence de l événement initiateur, Fonctions de limitation visant en empêcher que l événement initiateur ne perdure dans le temps, Fonction d atténuation s attachant à réduire les effets de l événement initiateur. Cette liste n est bien sûr pas exhaustive. De plus, ces fonctions peuvent être réalisées par des dispositifs automatiques ou bien des actions effectuées par des opérateurs conformément à des procédures. La construction de l arbre consiste alors à partir de l événement indésirable à envisager soit le bon fonctionnement soit la défaillance de la première fonction de sécurité. L événement initiateur est représenté schématiquement par un trait horizontal. Le moment où doit survenir la première fonction de sécurité est représenté par un nœud. La branche supérieure correspond généralement au succès de la fonction de sécurité, la branche inférieure à la défaillance de cette fonction. La suite de la méthode consiste alors à examiner le développement de chaque branche de manière itérative en considérant systématiquement le fonctionnement ou la défaillance de la fonction de sécurité suivante. Cette démarche temporelle permet d identifier des séquences d évènements susceptibles de conduire ou non à un accident potentiel. Elle n est cependant généralement pas suffisante en vue de construire un arbre. Il est ainsi indispensable durant la construction de l arbre d observer les points suivants : Si une fonction dépend d autres fonctions, elle doit être considérée après ces fonctions, Dans le même ordre d idée, si l échec d une fonction implique automatiquement l échec d autres fonctions, le succès de ces dernières n est pas à considérer. Ainsi, dans notre exemple, si la sonde de température est défaillante, il n y a pas lieu d étudier le fonctionnement de l alarme ou le déclenchement automatique de l inhibition de la réaction, Si le succès d une fonction agit sur le paramètre déclenchant d autres fonctions ultérieures, le succès ou la défaillance de cette fonction ne doivent pas être envisagés dans le développement de cette branche. Ainsi, si l opérateur parvient à rétablir le système de refroidissement avant que la température dans le réacteur ne dépasse T 2, il n y a pas lieu de considérer l inhibition automatique de la réaction, Si la défaillance d un sous-système entraîne la défaillance commune de plusieurs systèmes assurant des fonctions de sécurité, ce sous-système doit être considéré avant ces systèmes. Ce cas de figure envisage ainsi les modes communs de défaillance. Elles se rapportent souvent à des pertes d utilités (électricité, air comprimé ) ou des agressions externes majeures. Dans notre exemple, si l alimentation électrique est commune à tous les systèmes considérés, il convient de considérer juste après l événement initiateur une fonction du type «Maintien de l alimentation électrique». Nous considérerons ici que tous ces systèmes ont une alimentation distincte. De la même façon, la défaillance de la sonde de température dans le réacteur est supposée entraîner la défaillance commune du système d alarme et d inhibition de réaction. Elle a donc été considérée en premier lieu. 68/222

69 Le respect de ces règles et l élimination des branches physiquement impossibles conduisent à l élaboration d un arbre d évènements réduit, semblable à celui présenté cidessous relativement au cas de figure pris en exemple. La réalisation d un arbre d évènements permet en définitive de déterminer la probabilité d occurrence des différentes conséquences à partir des séquences identifiées. Cette dernière ne peut être effectuée qu à partir d un arbre d évènements préalablement réduit. La réduction de l arbre concourt entre autres à éliminer les chemins non physiquement possibles ainsi qu à identifier les modes communs de défaillances. Cette opération est nécessaire pour assurer l indépendance des évènements intermédiaires présentés. La probabilité d occurrence d une conséquence suite à une séquence particulière peut alors être estimée, pour des évènements indépendants, comme le produit de la probabilité d occurrence de l événement initiateur et de la probabilité de défaillance ou de fonctionnement selon le cheminement des évènements intermédiaires. 69/222

70 3.6Nœud papillon Désignation Domaine d application Méthode d analyse de risque Nœud papillon Caractéristiques Le «Nœud Papillon» est une approche de type arborescente largement utilisée dans les pays européens comme les Pays-Bas qui possèdent une approche probabiliste de la gestion des risques. Le Nœud Papillon est utilisé dans différents secteurs industriels par des entreprises comme SHELL qui a été à l origine du développement de ce type d outils. Dans ce document, l INERIS présente une version particulière du Nœud Papillon qu il a été amené à adapter. Grands principes de la méthode Le nœud papillon est un outil qui combine un arbre de défaillance et un arbre d événements. Il peut être représenté sous la forme suivante. Le point central du Nœud Papillon, appelé ici Evènement Redouté Central, désigne généralement une perte de confinement ou une perte d intégrité physique (décomposition). La partie gauche du Nœud Papillon s apparente alors à un arbre des défaillances s attachant à identifier les causes de cette perte de confinement. La partie droite du Nœud Papillon s attache quant à elle à déterminer les conséquences de cet événement redouté central tout comme le ferait un arbre d évènements. Sur ce schéma, les barrières de sécurité sont représentées sous la forme de barres verticales pour symboliser le fait qu elles s opposent au développement d un scénario d accident. De fait, dans cette représentation, chaque chemin conduisant d'une défaillance d origine (évènements indésirables ou courants) jusqu à l apparition de dommages au niveau des cibles (effets majeurs) désigne un scénario d accident particulier pour un même événement redouté central. Cet outil permet d apporter une démonstration renforcée de la bonne maîtrise des risques en présentant clairement l action des barrières de sécurité sur le déroulement d un accident. Le Nœud Papillon s inspirant directement des arbres des défaillances et d évènements, il doit être élaboré avec les mêmes précautions. S agissant d un outil relativement lourd à mettre en place, son utilisation est généralement réservée à des évènements jugés particulièrement critiques pour lesquels un niveau élevé de démonstration de la maîtrise des risques est indispensable. En règle générale, un Nœud Papillon est construit à la suite d une première analyse des risques menée à l aide d outils plus simples comme l APR par exemple. 70/222

71 71/222

72

73 Annexe B Développement d une méthode de diagnostic et d évaluation des risques incendie d une construction et d une méthode d aide à la décision pour le choix des actions de mise à niveau donné de sécurité - Restitution des travaux de recherche menés dans le cadre de la thèse de Julien Chorier (ESIGEC) 73/222

74 Sommaire 1 Introduction 76 2 Analyse fonctionnelle du système Système principal Sous-système «propagation» Sous-système «alerte/détection/protection» Sous-système «occupants» Sous-système «service d intervention» Sous-système «environnement» 82 3 Modélisation par les réseaux de Petri Places, transitions et arcs Marquages Franchissement de transitions Logiciel MOCA-RP V Etude de la sécurité incendie dans les bâtiments par les réseaux de Petri Les principes de la modélisation Les réseaux de Petri génériques Construction des RdP instanciés Simulation d un incendie 97 4 Définition du modèle physique Configuration étudiée et hypothèses : Conditions initiales Les locaux (figures 23 et 24) Les portes Les fenêtres Gaz parfaits Modèle à deux zones Pertes aux parois Conditions de propagation Le foyer Fonctionnement du modèle Présentation de quelques exemples d application Bâtiment sans alarme Bâtiment avec alarme /222

75 5.3 Autres cas d étude avec sprinkler Aide au choix des actions de mise en sécurité Conclusions Références Annexes Présentation des équations du modèle de couche chaude [DEMOUGE, CSTB] Détermination des débits massiques de fumée extraits par les ouvertures Détermination des débits massiques de fumées échangés entre les locaux Détermination des locaux pertinents pour les départs de feu Nomenclature 131 Variables : 131 Indices : 131 Constantes : /222

76 1 Introduction L objectif des travaux présentés ici est de développer les moyens d'apporter une aide au diagnostic et à la décision vis-à-vis des risques incendie dans les bâtiments. Cette aide est à destination des gestionnaires de patrimoine en vue de la protection des biens et des personnes. Au-delà du diagnostic, les mesures pour la mise à un niveau de sécurité donné peuvent être le maintien en l'état, l installation d équipements spécifiques, la réparation, le renforcement ou la démolition. Cette démarche s intègre dans le cadre des travaux du PN ISI (Ingénierie de la Sécurité Incendie) dont nous sommes membre avec le CSTB, organisme qui soutient ce travail de recherche dans le cadre d un travail de doctorat en bourse CIFRE. Le feu dans les bâtiments reste un des plus grands risques pour la vie et le patrimoine. C est pourquoi les règlements se rapportant à la protection contre le feu jouent un rôle important dans toutes les constructions. Au-delà du problème des hommes directement menacés par le phénomène physique, le problème de responsabilité civile du maître d ouvrage ou du chef d entreprise est réel pour toutes les atteintes d un sinistre aux personnes, à ses biens propres et aux biens des tiers. La difficulté du diagnostic incendie réside dans le fait que chaque bâtiment est un cas particulier et que, selon le type de décideur, le point de vue sur la sécurité incendie varie : la collectivité et le gouvernement focalisent leur attention sur la protection des personnes et de l environnement, tandis que les exploitants de bâtiments sont plus attentifs (sans négliger les points précédents) à maintenir l outil de travail opérationnel, en minimisant les pertes de biens, de marchandises, voire des bâtiments en entier, quoi qu il arrive, y compris face à un incendie sévère. L impact d un incendie s évalue alors en arrêt d activité, en pertes de parts de marché, en pénalités de retard et non plus en nombre de blessés ou de morts comme dans une approche de type sécurité civile. Dans le cas des musées par exemple, la priorité est donnée aux œuvres qui les composent. Le Département Sécurité Feu du CSTB est d'apporter son concours aux pouvoirs publics dans le choix des approches et outils à utiliser pour évaluer et améliorer la sécurité du parc immobilier existant. Il doit donc disposer de méthodes pertinentes permettant d'évaluer le niveau de sécurité des constructions et d apporter une aide à la prise de décision. De telles méthodes, encore à développer et à consolider, doivent bien sûr tenir compte des niveaux de référence réglementaires fixés en fonction de l'utilisation de l'ouvrage (destination et durée de vie donnée) et profiter également des outils les plus récents d'ingénierie de la sécurité incendie. Le travail présenté ici a donc pour objectif de développer des moyens de diagnostic du niveau de sécurité d un patrimoine et d'apporter une aide à la décision des gestionnaires de patrimoine en vue de la protection des biens et des personnes. Nous entendons par diagnostic, l aide au jugement de l état d un bâtiment par rapport à la sécurité incendie (protection et prévention), c est-à-dire l évaluation du bâtiment vis-à-vis du risque incendie à un instant donné de son cycle de vie. Ensuite, la proposition de différentes solutions d'amélioration de la sécurité devrait permettre de mieux utiliser et répartir le budget de la mise en sécurité du bâtiment. Il s'agit également de disposer d'une démarche structurée pour communiquer de façon efficace avec les commissions de sécurité et les autres acteurs concernés. 76/222

77 Dans ce document, nous présentons la méthode d évaluation du risque incendie en mettant l accent sur la définition et l évaluation des différents scénarios de feu. Pour représenter et générer les différents scénarios, il est fait appel aux réseaux de Petri. En effet, les réseaux de Petri sont largement utilisés pour la modélisation et l analyse de systèmes à événements discrets. Ce succès est dû à de nombreux facteurs. Parmi ceux-ci, il faut relever leur simplicité de compréhension, leur nature graphique se prêtant sans grande difficulté à la modélisation de phénomènes complexes, enfin la possibilité de disposer d un arsenal de résultats mathématiques analytiques. Le réseau de Petri créé permet de représenter le bâtiment avec tous les échanges entres les différents locaux (énergie, masse de fumée) ainsi que l état des ouvertures (ouvertes fermées). Les délais des transitions dans le réseau de Petri sont définis à chaque instant à travers la valeur de la température de la zone haute (zone de fumée) ainsi que la hauteur de cette zone dans chaque local calculées à partir d un modèle simple. L utilisation de logiciels ou de modèles existants aurait pu être envisagée à ce niveau de l analyse pour simuler le développement d un incendie dans un bâtiment (logiciel «Fisba»), simuler le mouvement des fumées (logiciel «Cifi»), et d autre part, évaluer la stabilité des structures (logiciel «Nat»). Ils pourraient être intégrés dans la méthode si les temps de calcul n étaient pas si grands et si le nombre de scénarios à évaluer était faible. Ce n est pas le cas, car dans cette démarche, le nombre de simulations à effectuer doit être important pour ne pas risquer de passer à côté de certains scénarios peu probables, mais dont les conséquences pourraient être importantes. Des modèles physiques simplifiés ont donc été développés pour évaluer les principaux paramètres (températures, hauteur de fumée) afin d éviter des temps de calcul qui auraient pu dépasser la journée pour chaque scénario. Ces modèles sont établis à partir d hypothèses simplificatrices présentées dans ce rapport. Enfin, quelques premières simulations sur des exemples simples ont été réalisées et les résultats obtenus en termes de risque et de dommages sont présentés. La méthodologie utilisée ici est en accord avec celle élaborée dans le groupe de travail n 2 du PN-ISI. L organigramme ci-dessous présente les principales étapes de la méthode, étapes qui seront détaillées dans la suite du rapport. Etapes de la méthodologie (Figure 1) : 1. Définition des objectifs de mise en sécurité pour les personnes, les biens, les structures, l environnement au travers de la définition des grilles probabilité/gravité ; 2. Description du système bâtiment, recensement des données nécessaires. Cela est réalisé par une visite du bâtiment et un rapport d expert ; 3. Définition des situations de danger à partir d événements initiateurs résultant du rapport précédent. Les scénarios sont alors générés à l aide d un outil de modélisation par les réseaux de Petri (il s agit du logiciel MOCA-RP développé par DASSAULT SYSTEMES pour le compte de la société TOTAL couplé à un code de propagation des fumées). 4. Après avoir filtré les scénarios, les conséquences de ceux-ci par rapport aux objectifs déclarés à l étape 1 sont évaluées. Chaque scénario, défini par un point, est positionné dans les différentes grilles probabilité/gravité ; 5. Si les objectifs sont atteints (tous les points représentant les scénarios sont verts, donc dans la zone de risque acceptable), le bâtiment est jugé correct, sinon (si des points représentant les scénarios sont rouges, caractérisant donc des risques inacceptables), il faut modifier le système bâtiment par différentes 77/222

78 78/222 actions de mise en sécurité (alarme, sprinklers, portes coupe-feux, ) ou par des réparations, des renforcements, des modifications architecturales ; 6. Enfin, une comparaison des différentes actions rendant le niveau de sécurité acceptable est nécessaire en vue d un choix répondant aux objectifs d un gestionnaire. Le choix est multicritère prenant en compte par exemple les coûts d investissement et de fonctionnement, la durée d installation, les impacts environnementaux, Cette partie d aide à la décision de notre travail qui n a pas encore été abordée pour l instant. Figure 1: Organigramme de la méthodologie Description du système bâtiment ; Recensement des données Définitions des objectifs Définitions des situations de danger (scénarios) P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement Évaluation des conséquences Objectifs atteints OUI Actions de mise en sécurité NON Fin de l étude ou choix des actions de mise en sécurité P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C IA T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T IE R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Personnes P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Biens P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Structure P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement P G P G P1 P2 P3 P4 G 1 G 2 G 3 G 4 P1 P2 P3 P4 G 1 G 2 G 3 G 4 A C C E P T A B L E IN A C C E P T A B L E N E G O C IA T IO N D E G R IL L E S G R A V IT E -P R O B A B IL IT E E T S IT U A T IO N D E S S C E N A R IO S D A N S C E S G R IL L E S P R E M IE R N IV E A U D E N E G O C IA T IO N : N E G O C I A T IO N D E S E C H E L L E S D E U X IE M E N IV E A U D E N E G O C IA T IO N : P A S S A G E D E L A F R O N T I E R E E N T R E L 'ACCEPTABLE ET L 'INACCEPTABLE Environnement

79 2 Analyse fonctionnelle du système Le système que nous analysons concerne les risques incendie dans une construction. Le bâtiment étudié constitue donc le système principal à étudier et à décomposer en différents sous-systèmes interagissant entre eux. Notre méthode s articule autour du module A de la méthode MOSAR élaborée par P. PERILHON [PER 01]. Cette vision macroscopique consiste à faire une analyse des risques de proximité, encore appelée analyse principale de sécurité ou analyse des risques principaux. C'est parce que les éléments qui constituent un système sont à proximité les uns des autres que des risques souvent majeurs apparaissent. Ces éléments sont modélisés sous forme de différents sous-systèmes permettant d identifier les sources de danger. Il pourra ensuite être recherché comment ils peuvent interférer entre eux et avec leur environnement pour générer des scénarios d incendie. Ce module comporte aussi une phase de négociation avec les acteurs concernés, qui doit permettre d établir un consensus sur les risques acceptables sous forme d une grille Gravité-Probabilité [PER 01]. En premier, un guide d inspection du bâtiment et de son activité doit être réalisé. Ce guide permet d identifier les pratiques des usagers, de définir comment le bâtiment est utilisé et organisé. Ce n est qu à la suite de cette étape qu il est possible de modéliser le système à étudier, appelé «risques incendie d une construction», en différents sous-systèmes. Les différents sous-systèmes retenus pour notre travail sont représentés dans la Figure 2. Figure 2 : Décomposition du système 2.1 Système principal Le système principal concerne le bâtiment ; il est décomposé en deux sous-systèmes en interaction qui permettent de définir la propagation des fumées (sous-système propagation) tout en suivant les effets des différents organes de sécurité (soussystème alerte/détection/protection) Sous-système «propagation» Le sous-système «propagation» est utilisé pour analyser l évolution de l incendie depuis son déclenchement jusqu à la fin du scénario qui pourra être soit un temps défini (on étudie le scénario de feu pendant 20min), soit l atteinte d un événement (feu généralisé, décès multiples). 79/222

80 Les informations suivantes sont nécessaires pour cette étude: lieu de déclenchement de l incendie ; caractéristiques du foyer (intensité, loi d évolution) ; conditions de propagation d un local à un autre. Les conditions de propagation dépendent de l état des éléments définissant les limites du local vers l extérieur (murs et fenêtres) et vers les autres locaux (cloisons et portes). Les états initiaux des portes et fenêtres (ouvertes ou fermées) et l évolution au cours du scénario doivent être connus. On définit donc des conditions de rupture ou de destruction des ouvrants liées aux conditions dans le local. Il faut aussi tenir compte de l ouverture des ouvrants par les occupants, notamment en cas d évacuation d une pièce. Nous ne tiendrons pas compte dans cette première étude des cloisons et des murs car leurs caractéristiques font que leur tenue au feu est bien supérieure à celle des ouvrants. La ruine de l ouvrage ne sera donc pas étudiée dans un premier temps. Nous orientons plutôt notre étude sur la survie des occupants. Des seuils de rupture doivent donc être définis pour les ouvertures, fenêtres et portes. Actuellement, ils sont définis ainsi : Fenêtres : TZH > 600 C 1 et ZD < Zlinteau lorsqu il s agit de simple vitrage ; Nous supposons qu avec du double vitrage, il y a rupture dans un délai de 5-10 minutes après que ce seuil soit atteint. Portes : Seuil de début de pyrolyse à TZH>250 C (et ZD<Zporte) ; la porte sera détruite entres 5 et 15 min (tir aléatoire sur la vitesse de destruction). Si l ouverture (porte) a été détruite, elle ne pourra plus être fermée Sous-système «alerte/détection/protection» Le sous-système «alerte/détection/protection» permet de tenir compte des différents éléments de sécurité du bâtiment. Il peut s agir : de la détection, qui a pour objectif de déceler et signaler, le plus tôt possible, la naissance d'un incendie, afin de réduire le délai de mise en oeuvre de mesures adéquates de lutte. Cette installation permet la mise en sécurité d'une zone, au niveau des fonctions suivantes : le compartimentage ; l'évacuation des occupants ; le désenfumage ; l'extinction automatique ; la mise en arrêt de certaines installations techniques ; de l'alarme qui est un avertissement donné au personnel (et au public dans certains cas), par un signal sonore et / ou visuel à l'intérieur de l'établissement. C'est en fait l'ordre d'évacuer rapidement le bâtiment. L'alarme peut être restreinte, dans ce cas, un signal sonore et visuel prévient le poste de sécurité (soit la direction ou le gardien, soit le personnel désigné à cet effet) lors de la naissance d'un sinistre. Elle peut aussi être générale et dans ce cas la diffusion du signal sonore est faite à tous les occupants du bâtiment ; 1 TZH correspond à la température de la zone haute. Dans notre modèle, nous définissons deux zones une zone basse, à température ambiante, et une zone haute à la température des gaz chauds. La limite entre les deux zones est ZD, hauteur de discontinuité. 80/222

81 de l alerte qui est la retransmission vers les services de secours publics. Elle est transmise en général par le téléphone ; des moyens d extinction comme les Robinets d'incendie Armés (RIA), les extincteurs, les sprinklers. Le déclenchement des sprinklers à lieu: quand la température de la zone haute TZH dépasse 68 C ; avec une constante de temps comprise entre 80 et 120 secondes pour le type de sprinklers standard. Les conséquences sur le système sont les suivantes: - lorsque les sprinklers se déclenchent dans le local du foyer, l intensité de celui-ci est diminuée par l énergie absorbée par l eau. Une tête de sprinkler a un débit de 80 l/min. En tenant compte uniquement de la chaleur latente de l eau (2200 KJ/kg), on aura une diminution de l énergie produite dans le local source de KJ/s par tête de sprinkler ; - Si les sprinklers se déclenchent dans une autre zone, leur effet est à définir (travail ultérieur). 2.2 Sous-système «occupants» Le sous-système «occupants» permet de représenter le flux des personnes présentes dans le bâtiment et leurs conditions de survie. Il représente principalement l évacuation des personnes, c est-à-dire la mise à l'abri d'un danger imminent du personnel et du public, en les dirigeant vers une zone de sécurité qui sera souvent l'extérieur. L'évacuation est l'objectif essentiel de la sécurité des personnes. Dans le cas d'un incendie, le temps qui s écoule entre le début de l'incendie et la fin de l'évacuation, délai appelé "délai d'évacuation", doit être inférieur au "délai de survie" des personnes se trouvant dans le bâtiment. Ces délais sont influencés par la conception architecturale des cheminements, les mesures et moyens de protection en place et l'organisation de la sécurité. L analyse du délai d évacuation est complexe et dépend non seulement des conditions matérielles, mais aussi du comportement des occupants. Des études sont effectuées par ailleurs sur ce sujet dans le cadre du PN-ISI. Dans ce travail, notre vision simplifiée de cet aspect des choses est la suivante : Pour que les occupants évacuent, il est nécessaire qu ils soient alertés, soit par le système d alerte lié à la détection, soit par la présence de fumée dans le local où ils sont. Il faudra donc prendre en compte plusieurs délais : Le temps d'information : Délai nécessaire à la découverte du sinistre (détection automatique, rondes... ) ; Le temps d'alerte et de mise en mouvement : Délai dû à la transmission de l'alerte vers les équipes de sécurité, à la reconnaissance des lieux et aux premières mesures de sécurité prises. A partir de la prise de conscience de la nécessité d'évacuer, un temps plus ou moins long va exister avant le début effectif de l'évacuation. Les personnes sont considérées comme sauvées quand elles atteignent l extérieur du système modélisé. On définira aussi des conditions de tenabilité pour les personnes avec deux seuils : Un seuil d évacuation (TZH<185 C et ZD<1.80m) qui signifie qu en deçà de ce seuil les personnes sont encore capables d évacuer ; Un seuil de dommages corporels, qui une fois dépassé, peut entraîner le décès des personnes (TZH>195 C et ZD<1.60m). 81/222

82 Des paramètres influent sur l évaluation effectuée, tels que l instant de déclenchement du sinistre (jour de la semaine, heure), le nombre de personnes présentes dans chaque local en fonction du temps ou le temps de réaction des personnes. On peut prendre un délai de 1-5 secondes pour l évacuation proprement dite entre l instant où la personne est alertée et sa sortie du local type bureau et de 2-10 secondes pour la sortie du local type couloir. 2.3 Sous-système «service d intervention» Le sous-système «service d intervention» contient tous les éléments de la procédure d intervention des services de secours, depuis l appel jusqu à l intervention. Dans ce travail, nous supposons que le service d intervention est prévenu au moment de l alerte et qu il peut intervenir dans un délai de minutes. 2.4 Sous-système «environnement» Le sous-système «environnement» permet de représenter tout ce qui est à l extérieur du système analysé, qu il s agisse aussi bien de route, de parking, de lotissement, de voie ferrée, de rivière, et de toutes les contraintes qui sont liées à ces éléments. En conclusion, la présentation rapide et simplifiée du système «risques incendie bâtiment» permet de prendre conscience des relations entre les différents composants ou agissants de ce système, les sous-systèmes. L évolution dans le temps de chacun d eux dépend des conditions physiques rencontrées à chaque instant. Il est donc nécessaire que chaque sous-système dans notre système soit informé des conditions rencontrées dans chaque local à tout instant. C est pourquoi il est nécessaire de créer un modèle physique simplifié, rapide, qui permet en fonction de la configuration des locaux de donner à chaque pas de temps une température et une hauteur libre de fumée. Ces données physiques permettront de valider ou non les transitions d état dans le réseau de Petri et ainsi de générer différents scénarios dont les conséquences en termes de dommages pourront être évaluées. 82/222

83 3 Modélisation par les réseaux de Petri La complexité du système à étudier requiert des méthodes de représentation et des techniques d analyse permettant de tenir compte de manière efficace des différentes fonctionnalités associées au système, ainsi que de ses caractéristiques temporelles. Les réseaux de Petri peuvent être utilisés ; ils constituent un outil performant de représentation des systèmes complexes et de leur suivi en temps réel. De nombreuses applications ont été effectuées depuis de nombreuses années dans des domaines industriels variés, liés à la gestion automatisée de systèmes de production quelquefois très complexes. Parmi l ensemble des formalismes existants, les réseaux de Petri, utilisés pour la modélisation et l analyse de systèmes à événements discrets, semblent le mieux répondre à l ensemble de nos attentes : modéliser dans le temps une succession d événements modifiant les propriétés de notre système et influant sur son comportement futur. Leur succès est dû à de nombreux facteurs. Parmi ceux-ci, nous pouvons relever leur simplicité de compréhension, leur nature graphique se prêtant sans grande difficulté à la modélisation de phénomènes complexes, et la possibilité de disposer d un arsenal de résultats mathématiques analytiques. Pour mieux comprendre leur fonctionnement, nous allons rapidement les présenter. 3.1 Places, transitions et arcs Un réseau de Petri est : un graphe, formé de deux types de nœuds appelés places et transitions reliés par des arcs orientés, et biparti, c'est-à-dire qu'un arc relie alternativement une place à une transition et une transition à une place. Lorsqu'une place est reliée à une P t transition par un arc : i j, on parle de place en entrée de t j. Lorsqu'une transition est reliée à une place par un arc j i, on t P parle de place en sortie de t j. Une transition sans place en entrée est une transition source, une transition sans place en sortie est une transition puits. Figure 3 : Présentation des Réseaux de Petri 83/222

84 3.2 Marquages Chaque place d'un réseau de Petri peut contenir une ou plusieurs marques (on parle aussi de jetons). La configuration complète du réseau, avec toutes les marques positionnées, forme le marquage et définit l'état du réseau (et donc l'état du système modélisé). Dans la suite on traitera principalement des réseaux marqués, et de l'évolution des marquages. Figure 4 : Marques 3.3 Franchissement de transitions Pour rendre compte de l'évolution du système modélisé, les réseaux de Petri intègrent un formalisme permettant de passer d'un marquage à un autre : c'est le franchissement des transitions. Une transition est franchissable si chacune des places en entrée comporte au moins un jeton. Pour les transitions franchissables, on définit le franchissement effectif selon les règles suivantes : le franchissement est une opération indivisible (atomique), un jeton est consommé dans chaque place en entrée, un jeton est produit dans chaque place en sortie. Figure 5 : Transitions 3.4 Logiciel MOCA-RP V12 Pour représenter les réseaux de Petri (RdP) et réaliser nos simulations, le logiciel MOCA-RP a été utilisé. Le logiciel MOCA-RP (MOnte-CArlo basé sur les Réseaux de Petri) est destiné à la simulation du comportement des systèmes dynamiques complexes dans le but d obtenir, par un traitement statistique, des résultats concernant leur fiabilité, disponibilité, productivité, ainsi que tout autre paramètre probabiliste. Le modèle du système à étudier est réalisé sous la forme d un réseau de Petri stochastique interprété (RdPS) qui sert de support à une simulation de Monte-Carlo classique. En 2002, une collaboration entre Total-Fina-Elf et la société IXI-GFI Consulting a conduit au développement de la version 12 du logiciel MOCA-RP. 84/222

85 Cette version intègre principalement, les messages et états statistiques complexes, la possibilité d intégrer des lois spéciales en langage C et permet aussi de thésauriser des modèles RdPS au sein de bibliothèques pour faciliter leur réutilisation par des ingénieurs non-- spécialistes des réseaux de Petri. Le moteur de simulation MOCA-RP V12 permet à l'utilisateur d utiliser tout type de variables (réelle, entière ou booléenne) et d'opérateurs (mathématiques et logiques : +, -, *, /, &, I,!, ite,... ou spécifiques aux réseaux de Petri). Les variables et opérateurs peuvent être utilisés dans le RdP : Pour la validation d'une transition (conditions de validation) : un ensemble d'expressions (appelées prédicats) doit être à la valeur vrai afin de valider la transition (d'où le nom de «Réseaux de Petri Stochastiques à Prédicats»). Lors du tir d'une transition : une liste de variables (affectation) prennent la valeur d'une expression au moment où la transition est tirée. En tant que paramètres des lois (de délai ou de tir). Figure 6 : Réseau de Petri L'état initial du système est défini par le marquage initial des places. Certaines places d'entrée sont marquées quel que soit le cas particulier traité, d'autres places peuvent contenir ou ne pas contenir de jetons. Elles permettent de valider des options de simulation (défaillances de matériels de détection, pièce vide,...). Elles sont validées avant le lancement d'une simulation. Dans la description d'une transition, il est possible de spécifier une liste d'expressions booléennes qui doivent être nécessairement vérifiées pour que la transition soit valide. Ces expressions sont séparées par des virgules. Il s agit des conditions de validation. Le message émis introduit une liste d'affectations de variables. Ces affectations ont lieu, en parallèle, après le tir de la transition et consistent en une liste de couples (variable, expression) où variable et expression sont du même type. Toutefois, il est important de préciser qu il n'est pas possible d'affecter un nombre de jetons à une place et que les variables sont affectées avant la production de jetons. 85/222

86 3.5 Etude de la sécurité incendie dans les bâtiments par les réseaux de Petri Les principes de la modélisation Elle est basée sur l utilisation des réseaux de Petri pour représenter les différents locaux d une construction et les équipements concernant l incendie dont ils disposent ainsi que l état et le comportement des autres sous-systèmes que le soussystème bâtiment décrits précédemment. Nous entendons par local toute partie élémentaire du bâtiment pouvant constituer une entité vis-à-vis de l incendie. Un local peut donc être tout aussi bien une pièce, un couloir, un escalier ou même une gaine technique. Un local peut même regrouper différents locaux si nécessaire. Ainsi, plusieurs locaux de type «pièce» peuvent-ils être regroupés pour constituer un local de niveau géométrique supérieur, appelé «zone». Il est ainsi possible de constituer des entités plus vastes dont les éléments ont un comportement commun. Cela est très intéressant pour caractériser, par exemple, des zones thermiques ou acoustiques. Il est ainsi possible de constituer une zone thermique «Nord» dont les équipements et le comportement thermique seront différents de ceux d une zone thermique «Sud». Même si la configuration géométrique est identique par exemple, les équipements seront certainement différents et le comportement de chaque zone devra être séparé. Cette notion de zone peut aussi être utilisée pour la sécurité incendie pour, par exemple, regrouper des locaux d un même étage dotés d équipements d alarme ou de sécurité similaires. Pour de vastes bâtiments, la notion de zone permet aussi de réduire le nombre d entités volumiques à considérer et par conséquent, le nombre des interfaces entre ces entités. Nous entendons par équipement d un local tout système technique ou constructif pouvant avoir une influence sur le déroulement de l incendie. Les ouvertures d un local de type «pièce», portes et fenêtres, sont considérées comme des équipements puisque leur comportement dans le temps sous l effet de l incendie influence le déroulement ainsi que leur manipulation par les occupants, portes et fenêtres ouvertes ou fermées. Les gaines de ventilation dans un couloir sont considérées comme un équipement de ce local. Les gaines verticales pourront être considérées comme des locaux en tant que tels ou comme un équipement d un local de type «cage d escalier». Le choix entre les deux solutions est laissé à l appréciation de l utilisateur, mais dépend aussi du positionnement géométrique de la gaine technique considérée. La modélisation par les réseaux de Petri (RdP) est donc basée sur les trois principes complémentaires suivants : des réseaux de Petri élémentaires permettant de décrire les différents soussystèmes ; des messages échangés entre ces différents réseaux élémentaires pour guider leur évolution et leur comportement ; des modèles de calcul des grandeurs physiques liées à l incendie. a) le modèle est donc constitué de nombreux réseaux de Petri élémentaires (RdPE) et indépendants décrivant chacun le comportement vis-à-vis de l incendie d un équipement ou décrivant l état d un local. Il est ainsi possible de proposer des RdPE génériques décrivant une fois pour toutes le comportement de tel ou tel équipement 86/222

87 dans tous les cas. Ces RdPE génériques sont considérés comme des blocs qui peuvent être ensuite instanciés pour décrire le comportement d un équipement particulier de même nature. Ainsi, le même RdPE générique «porte» permettra de décrire toutes les portes d un même local de type «pièce» par exemple. D autres RdPE sont construits pour décrire les autres sous-systèmes intervenant dans la sécurité incendie. Il s agit par exemple de RdPE construits pour décrire les équipements de sécurité et/ou de détection ou le système d alarme. C est aussi des RdPE construits pour décrire les conditions d intervention du service de secours ou le comportement des occupants. Ces différents RdPE peuvent être modélisés de façon plus ou moins fine selon les connaissances que les acteurs sont capables de formaliser et selon leur fiabilité. b) la connexion indispensable entre les différents RdPE pour décrire correctement le développement d un événement incendie s effectue par le biais de messages qui sont échangés entre les différents RdPE concernés. Ces messages portent sur l état d un local vis-à-vis de l incendie ou sur le comportement de tel ou tel équipement qui conditionne alors la propagation de l incendie. Le comportement d un équipement se traduit en fait par des changements d état du système qui sont susceptibles d entraîner un déroulement différent de la propagation de l incendie. L état des composants ou des équipements ne peut être correctement évalué qu au travers de grandeurs physiques comme la température ou la hauteur de fumée dont les valeurs conditionnent les messages envoyés dans les RdPE et leurs transitions, c est-à-dire les changements d état qui en résultent. Ainsi, par exemple, la destruction par pyrolyse d une porte entre deux locaux peut être constatée si la température de la zone chaude dans l un des deux locaux atteint une valeur donnée pendant un temps suffisant. Il est ainsi nécessaire de connaître à chaque instant la température de la zone chaude de fumée et la hauteur de cette zone chaude. c) La hauteur de la zone chaude de fumée et la température de cette zone chaude doivent être calculées dans chaque local. Des modèles multi-zones relativement complexes ont été construits historiquement par le CSTB et d autres organismes pour évaluer les paramètres de l incendie et leur évolution dans le temps. Ces modèles sont complexes et nécessitent des temps de calcul importants même avec les ordinateurs rapides actuels. Nous avons donc fait le pari de l utilisation de modèles simplifiés, plus rapides, basés sur des hypothèses plus basiques permettant de décrire plus facilement un comportement approché des fumées et d évaluer des températures de fumée. En effet, l évaluation rapide des grandeurs physiques (hauteurs de fumée, températures) est un impératif absolu si l on veut maintenir l objectif d évaluer les dommages potentiels d un incendie par la simulation de nombreux scénarios d incendie différents par les RdP dans des temps de calcul raisonnables. Ces modèles sont présentés au chapitre suivant de ce rapport Les réseaux de Petri génériques Quelques-uns des réseaux de Petri élémentaires génériques sont présentés ici, notamment ceux concernant les locaux et leurs équipements. RdPE «Porte» 87/222

88 Le RdPE «porte» permet d analyser les différents états possibles d une porte lors des événements de type incendie. La porte peut se trouver dans trois états : Etat «ouvert» ou «fermé» selon le comportement des usagers, défini par une loi donnée ; Etat «détruit» si elle subit certaines conditions de température pendant un temps défini par une loi donnée. Faisant par définition communiquer deux locaux, notés local L1 et local L2, la porte peut être détruite par un événement intervenant dans l un ou l autre de ces locaux. Une porte ne doit être définie qu une seule fois. Faisant communiquer deux locaux, les dispositions suivantes sont utilisées pour éviter toute confusion : une porte entre un local de type «pièce» et un local de type «couloir» est considérée comme appartenant au local «pièce» ; une porte vers l extérieur appartient au local intérieur ; une porte entre deux locaux de même type, par exemple une porte coupe-feu entre deux locaux de type «couloir» est définie dans l un des deux au hasard ; Figure 7 : RdPE générique Porte A partir de la place 1001, dans laquelle figure un jeton (jets = 1) symbolisant l état «fermé» de la porte, la transition 230 permet de gérer son ouverture aléatoire par des personnes selon une loi donnée ; dès que la transition aura été validée et tirée, la place 1002 symbolisant l état porte «ouverte» sera affectée d un jeton supplémentaire. La porte «ouverte» peut éventuellement être refermée par les usagers ou rester ouverte de façon aléatoire selon une loi définie dans la transition 22. La loi actuelle est définie par une probabilité de 0,5 pour chacun des deux événements possibles. Le retour éventuel à l état «fermé» de la porte s effectue par la place 1010 et la transition 49. La transition 23, quant à elle, permet de gérer l ouverture de la porte par des occupants évacuant l une ou l autre des deux pièces lors d un événement incendie. Le message «??P1_ouverte= true» émane donc de l un ou l autre des RdPE «occupants» que nous présenterons ci-dessous. La place 1003 représente l état «détruit» de la porte, état que l on peut atteindre par les transitions 24 ou 240 pour un foyer dans le local 1 ou le local 2. Une porte détruite ne peut évidemment pas être refermée ; il n y a donc pas d arc retour. 88/222

89 Dans les deux cas, la porte est détruite par pyrolyse selon la condition suivante : hauteur libre de fumée soit inférieure à la hauteur de la porte (ZD1<HP1) ; température de la zone haute supérieure à 250 C (TZH1>250) pour que la pyrolyse commence ; lorsque ces conditions sont atteintes, la porte est détruite selon une loi uniforme dans un délai de 300 à 900 secondes. Les messages échangés vers les autres RdPE sont Porte 1 ouverte (P1_ouverte=true) ou Porte 1 fermée (P1_ouverte=false). RdPE «Fenêtre» Le RdPE «Fenêtre» permet de définir les différents états possibles d une fenêtre. Ils sont aussi au nombre de trois : fenêtre «fermée» : C est la position initiale considérée par défaut ; fenêtre «ouverte» : cet état peut être obtenu par une intervention humaine selon une loi appropriée ; le retour à l état «fermé» est possible ; fenêtre «détruite» : état atteint si la fenêtre est exposée suffisamment longtemps à des conditions de température données ; le retour à l état «fermé» est impossible ; Figure 8 : RdPE générique Fenêtre A partir de la place 33, si la fenêtre est exposée à une température (TZH1) supérieure à 600 C, il faut aussi pour cela que la zone chaude atteigne la fenêtre, c est-à-dire que la hauteur libre de fumée ZD1 soit inférieure à la hauteur de la fenêtre et de l allège (HF1 + AlF1), alors on considère que la fenêtre éclate : instantanément si le vitrage est simple (transition Tr27) ; on a alors le message «F1_ouverte=true» qui est envoyé vers tous les RdP et la place 35 est atteinte ; aléatoirement dans un délai de 300 à 600 secondes si le vitrage est double (Transition 270) ; la suite est identique ; Enfin, la fenêtre peut être en position ouverte (Transition Tr26) ou fermée (Transition Tr25) par intervention humaine selon une loi donnée (probabilité de 0,5 comme pour la porte). Les messages échangés vers les autres RdPE sont Fenêtre1 ouverte (F1_ouverte=true) ou Fenêtre1 fermée (F1_ouverte=false). RdPE «Etat local» Le RdPE de la figure 9 ci-dessous permet de représenter l état d un local à un instant quelconque au cours de l incendie. Les états considérés sont les suivants : 89/222

90 local «sain» : il est sans incendie déclaré et fonctionne normalement ; local «enfumé» : il y a de la fumée dans le local et les grandeurs physiques calculées à tout instant permettent de connaître la température de fumée et la hauteur libre de fumée ; l évacuation éventuelle de la fumée permet le retour à l état «sain» ; local «détruit» : l incendie occasionne des dégâts irréversibles aux parois ou aux équipements du local rendant impossible son retour à l état «sain» dans tous les cas ; Figure 9 : RdPE générique Etat d un local La transition Tr51 permet le passage de la place 1007 (L1 «sain») à la place 1008 (L1 «enfumé») par l examen du message de présence de fumée dans le local L1 (fumee_l1= true?) et le retour à l état «sain» par la transition 59. L état «détruit» ne peut être atteint par la transition Tr32 si le local est enfumé et si la température de la zone de fumée dépasse 600 C ou si l une des cloisons est à l état «détruit». RdPE «Etat cloison» La transition 64 est validée si la fumée est présente dans le local L1 auquel appartient la cloison (les règles d appartenance des cloisons aux locaux sont les mêmes que celles pour les portes) et que la température est supérieure à 600 C. La cloison est détruite (transition tirée) avec une loi uniforme entre 1200 et 2400 secondes. Le message «cloison_detruite=true» entraîne l état «détruit» pour le local auquel elle appartient (cf. transition Tr32 de la figure 9) Figure 10 : RdPE générique Etat cloison 90/222

91 RdPE «Etat gaine de ventilation» A partir de la transition 1500 caractérisant une gaine à l état «sain», il est possible d atteindre l état «enfumé» par la transition Tr64 si l un au moins des locaux desservis par la gaine est lui-même enfumé. La transition Tr65 permet le retour de la gaine à l état sain. Si les conditions de température sont sévères dans l un des locaux au moins, température supérieure à 400 C, l état détruit de la gaine peut être atteint dans un délai de 300 à 900 secondes avec une loi de probabilité uniforme. La gaine détruite ne peut évidemment pas revenir à l état sain. Figure 11 : RdPE générique Etat gaine de ventilation RdPE «Transmission local local» La figure 12 décrit la transmission de la fumée d un local L1 «enfumé» (Place 1000) vers d autres locaux symbolisés par les places 2000 et Les modes de transmission considérés sont les suivants : par les portes si la hauteur libre de fumée ZD1 est inférieure à la hauteur de la porte HP1 ; par les cloisons si celles-ci sont à l état «détruit» ; par les gaines si celles-ci sont à l état «enfumé», toujours atteint avant l état «détruit». Figure 12 : Transmission local local Le nombre de portes et de cloisons peut être quelconque, mais on considère qu il n y a qu une gaine par local. La transmission de la fumée peut s effectuer vers un ou 91/222

92 plusieurs locaux par les portes (Tr21 et 22), par la gaine (Tr66) ou par les cloisons (Tr67). RdPE «Alarme, détection» a) Sprinkler b) Détection - Alarme Figure 13 : RdPE sprinkler et RdPE alarme La figure 13-a décrit la mise en route du sprinkler à partir de 68 C à l aide de la transition Tr29 dont le tir est effectué vers la place 1021 si le sprinkler se déclenche correctement et vers la place 1022 dans le cas contraire avec une probabilité de 5%. Le fonctionnement de l alarme est décrit selon le même principe sur la figure 13-b avec la transition Tr39. RdPE «Occupants» Le comportement des occupants est représenté sur la figure 14. La place 1050 et la transition instantanée Tr33 permettent de définir le nombre de personnes dans le local par l intermédiaire du nombre de jetons affectés à la place de départ. Chaque transition Tr43 permet l évacuation d une personne vers un autre local symbolisé par la place 2051 si les conditions le permettent, à savoir température inférieure à 195 C et hauteur libre de fumée supérieure à 1,90m. Figure 14 : RdPE générique occupants 92/222

93 La répétition des transitions Tr43 permet de simuler le nombre d unités de passage d une porte (ici, on aurait une porte à deux unités de passage). Pour un local de type pièce, la transition Tr43 est tirée avec une loi de probabilité uniforme entre 1 et 5 secondes qui est le temps estimé qu une personne met à évacuer un local pièce. Dans le cas d un local de type couloir, ces temps sont doublés. Enfin, si les conditions physiques sont trop difficiles, température supérieure à 200 C et hauteur libre de fumée inférieure à 1,60m, on considère que la personne ne peut plus évacuer le local et qu elle décède. La place 1052 initialisée à zéro décès et les transitions successives Tr54, Tr55, Tr56 permettent de comptabiliser les décès Construction des RdP instanciés Les différents RdPE peuvent être regroupés pour décrire les relations entre les «objets» du bâtiment. Il est ainsi possible de traduire la géométrie du bâtiment et la disposition des pièces les unes par rapport aux autres, ainsi que les composants et équipements présents dans chacune d elle. A titre illustratif et pour montrer les relations entre les différents réseaux de Petri, nous considérons deux exemples simples : Exemple 1 (Figure 15) : RdP d un local Lc1 donnant sur un couloir Lc2 au travers de deux portes et d une cloison C1 ; Exemple 2 (Figure 17) : RdP de locaux le long d un couloir équipé d une gaine de ventilation. Exemple 1 : Ce local comporte en outre deux fenêtres. La paroi C1 constitue la frontière entre Lc1 et Lc2. Le réseau de Petri du local Lc1 doit donc être constitué de : deux RdPE «fenêtre» pour représenter les états de F1 et F2 ; deux RdPE «porte» pour représenter les états de P1 et P2 ; un RdPE «état du local» pour le local Lc1 ; un RdPE «cloison» pour l état de la cloison C1 ; un RdPE «transmission» du local Lc1 vers le local Lc2 ; enfin, un RdPE «état du local» Lc2. F1 F2 Lc 1-Pièce P1 P2 C1 Lc 2-Couloir Figure 15 : Exemple1 de Locaux avec ouvertures 93/222

94 Le Rdp «Local Lc1» est décrit par les réseaux de Petri des figures 16-a et 16-b. Les réseaux génériques portes et fenêtres sont dupliqués autant de fois que nécessaire (Figure 16-a) en prenant soin de différencier les numéros des places, des transitions et d ajuster les conditions. La duplication n est pas automatisée pour l instant, mais elle est envisagée dans le futur. Fenêtre F1 Porte P1 Fenêtre F2 Porte P2 Figure 16-a : RdP instanciés : portes et fenêtres Lc1 La figure 16-b représente les réseaux de Petri (RdP) pour l état des locaux Lc1 et Lc2, de la cloison C1 et les modes de transmission potentiels du local Lc1 vers le local Lc2. Trois modes de transmission sont possibles : par la porte P1 ou la porte P2, par la cloison C1 si elle est détruite. Il est alors possible de décrire la propagation des conséquences dans les différents RdP via les messages. Pour un foyer dans le local Lc1, le RdP «Etats Local Lc1» permet de décrire ce qui se passe. La transition Tr51 devient passante dès que le message «fumee_l1=true» est vrai occasionnant le passage d un jeton de la place 1007 à la place Le local Lc1 est enfumé. Lorsque les conditions de température et la hauteur de fumée augmente, la porte P1 peut par exemple être détruite au bout d un temps tiré aléatoirement : à partir de la place 1001 du RdP «Porte P1», la transition Tr24 peut être validée dès que la température dépasse 250 C et que la hauteur de fumée dépasse le linteau. Le message «P1_ouverte=true» est validé et l état «P1_détruite» est atteint à la place /222

95 Le RdP «Transmission Lc1 vers Lc2» permet alors de valider la transition Tr21 qui devient passante validant le message «fumee_l2=true», message automatiquement repris par le réseau «Etat Local Lc2» qui valide la transition Tr52 permettant d atteindre la place 2005 et l état «L2_enfumé». Cloison C1 Etat Local Lc1 Transmission Lc1 vers Lc2 Etat Local Lc2 Figure 16-b : RdP instanciés : cloison, états et transmission Exemple 2 : Il concerne les Rdp des locaux Lc1, Lc2 et Lc3 équipés d une gaine de ventilation. Par souci de simplification, les locaux ne comportent pas d ouvertures. Le départ de feu a lieu dans le local Lc1. La fumée peut se propager par les cloisons C1 et C2 et par la gaine de ventilation G1. Lc 3-Pièce C2 Lc 1-Pièce C1 G1 Lc 2-Couloir 95/222

96 Figure 17 : exemple 2 avec gaine de ventilation Gaine G1 Cloison C1 Cloison C2 Propagation à partir du local Lc1 Etat Local Lc1 Etat Local Lc2 Etat local Lc3 Figure 18 : RdP pour locaux équipés d une gaine de ventilation 96/222

97 Le RdP «Etat local Lc1» permet d établir que le local Lc1 est enfumé par la transition Tr51 qui est passante. Le message «fumee_l1=true» est envoyé aux autres RdP. Le RdP «gaine G1» valide alors sa transition Tr64 pour établir un nouveau message «G1_enfumee=true», permettant d atteindre l état «G1_enfumee» à la place Dès lors, le RdP «propagation» peut valider les transitions Tr66 pour établir les messages «fumee_l2=true» et «fumee_l3=true» qui sont repris par les RdP «Etat Local Lc2» et «Etat Local Lc3» pour atteindre par les transitions respectives Tr52 et Tr53 qui sont validées les états «L2_enfume» et «L2_enfume» Simulation d un incendie Elle passe par les étapes suivantes : a) définition des réseaux de Petri pour représenter les locaux concernés et les conditions rencontrées ; c est ce que nous venons de décrire sur un court exemple ; b) définition d un foyer de départ d incendie dans l un des locaux Cela s effectue grâce à un RdP spécifique que nous présentons à la figure 20 pour le choix par exemple d un départ de feu dans un des locaux choisi parmi trois : Un couloir L2 avec un local de type pièce de chaque côté, L1 et L3. (cf. figure 19) La transition Tr4, à délai nul, permet de tirer l un des trois locaux. Les départs sont probabilisés en fonction de statistiques disponibles ; pour cet exemple, nous avons retenu 40% dans chaque bureau (local L1 et L3) et 20% dans le couloir (local L2). Les transitions Tr16, Tr17 et Tr18 de délai nul permettent de renseigner le message d origine du feu à la valeur vrai. Par la suite, il sera possible d intégrer à ce réseau le tir du jour de la semaine et de l heure de départ du feu, ce qui influencera les conséquences de l incendie. Figure 19 : Exemple de trois locaux 97/222

98 Figure 20 : Choix du local de départ du feu c) estimation à tout instant des conditions de température et de fumée Ces conditions doivent être connues à chaque pas de temps dans tous les locaux de façon à pouvoir évaluer les messages émis par les différents RdP et effectuer les transitions nécessaires. Un réseau de Petri spécifique est réalisé pour gérer en boucle l évolution du temps et l évaluation des conditions. Il est décrit à la figure 21. Le réseau fonctionne de la façon suivante : la transition Tr1 initialise le calcul des conditions en fonction des paramètres de l étude lus dans un fichier texte. La transition Tr31 lit les messages des différents réseaux de Petri et affecte les valeurs rencontrées dans des variables des modèles physiques calculant pour chaque local : la température de zone haute ; la hauteur libre de fumée. Seules ces variables sont modifiées. Figure 21 : Evaluation des conditions 98/222

99 Il est ainsi possible de prendre en compte les modifications des états des ouvertures, des états des équipements et des états des locaux, états qui modifient les conditions de calcul des deux paramètres physiques ci-dessus. Par exemple, savoir qu une porte est ouverte ou fermée ou qu une fenêtre est détériorée, sont des informations modifiant les volumes et les apports d oxygène, ce qui influe évidemment sur les foyers et le dégagement de fumée ainsi que sur sa répartition dans les locaux. La transition Tr3 permet d incrémenter le temps de la valeur d un pas et de revenir en boucle à la transition Tr31, qui réexamine les messages à chaque pas de temps. Le pas de temps que nous avons retenu est de 1 seconde. Le couplage des modèles physiques (présentés en V page) avec le RdP de la figure 21 est réalisé par l intermédiaire de lois spéciales écrites en langage C qu il est possible de créer dans la version 12 de MOCA-RP. Ces lois spéciales de tir sont intégrées aux transitions Tr1 et tr31. d) résultats obtenus Pour un départ de feu donné, le logiciel MOCA-RP est capable de générer de nombreuses simulations pour une durée de temps donnée en validant les transitions dans les RdP et en tirant les transitions selon les lois de probabilité indiquées. Les résultats obtenus par la simulation dans Moca RP sont : le nombre moyen de tirs de chaque transition ; le temps moyen de séjour dans une place et l écart type ; le marquage moyen pour chaque place et écart type. L exploitation de ces résultats n est pas aisée, car les informations des scénarios de développement du feu sont enregistrées dans des fichiers texte. En vue d une analyse détaillée d un ou plusieurs scénarios de développement du feu, ces fichiers doivent être transformés pour être mis sous une forme facilement exploitable et compréhensible par les utilisateurs. La figure 22 ci-dessous montre, pour l exemple pièce couloir pièce de la figure 19, les temps moyens obtenus pour un départ de feu dans le local L1. Il est ainsi possible de remarquer que: le local L1 est enfumé très rapidement, puis détruit au bout de 90s en moyenne ; le local L2 est sain pendant 600s en moyenne, puis détruit à partir de 800s ; le local L3, quant à lui, est sain pendant 1400s, puis détruit immédiatement. 99/222

100 Temps (s) Simulation sans alarme sans ferme porte L1_sain L1_enfume L1_detruit L2_sain L2_enfume L2_detruit L3_sain L3_enfume L3_detruit L1_0_dece L1_1_Dece Figure 20 : Résultats moyens pour 1000 simulations de 2000s L1_2_deces L1_deces_sup2 L2_0_dece L2_1_Dece L2_2_deces L2_deces_sup2 L3_0_dece L3_1_Dece L3_2_deces L3_deces_sup2 P1_fermee P1_ouverte P1_detruite F1_fermee F1_ouverte F1_detruite P2_fermee P2_ouverte P2_detruite P3_fermee P3_ouverte P3_detruite F3_fermee F3_ouverte F3_detruite En termes de dommages corporels, si on suppose que 5 personnes sont présentes dans chaque local pièce au moment du départ de feu, il est possible de s apercevoir que : des décès sont constatés dans le local L3 au bout de 1550s environ ; la porte du local L3 reste fermée en moyenne pendant 1400s. Tant que le local L3 est sain, les personnes y séjournant ne s inquiètent pas, la porte est fermée, et ne sont pas informées de l incendie ; les décès sont donc dus au défaut d alarme, rendant l évacuation des personnes impossible dans un local couloir L2 enfumé à partir de 600s. L analyse plus détaillée d un ou plusieurs scénarios peut être effectuée sur des graphiques issus des résultats de MOCA-RP et de notre modèle physique. Ce sont : les graphes de la hauteur libre de fumée dans les locaux ; les graphes d évolution du nombre de personnes dans les différents locaux. Ces graphes sont présentés au paragraphe VI qui traite de quelques applications effectuées. 100/222

101 4 Définition du modèle physique 4.1 Configuration étudiée et hypothèses : Le modèle physique simplifié que nous avons développé et les hypothèses qu il comporte sont testées sur une configuration simplifiée d un bâtiment. La configuration est constituée d un local de type pièce, le local 1, source de l incendie, d un local de type couloir, le local 2, et d un local cible de type pièce, le local Conditions initiales A l état initial, nous avons dans tous les locaux : T = Ta = 20 C La hauteur libre de fumée, encore appelée hauteur de discontinuité, notée ZD, est égale à la hauteur de la pièce, soit 3m Les locaux (figures 23 et 24) Les deux locaux ont pour dimension 3m sur 4m et ont une hauteur sous plafond de 3m. Le couloir est défini comme un local de 10m sur 2m avec une hauteur sous plafond de 3m. Figure 23 : Configuration des locaux 101/222

102 Figure 24 : Coupe verticale des locaux Les portes Les portes sont toutes identiques et ont une hauteur H de 2,10m et une largeur L de 0,80m Les fenêtres Les fenêtres ont, elles aussi, les mêmes dimensions : Allège =1,20m, H =1,00m et L =1,00m. La figure 24 permet de définir les principales grandeurs que nous allons manipuler dans notre modèle (voir nomenclature en IX). L élaboration de notre modèle et les simulations réalisées sont fondées sur les hypothèses principales suivantes : Gaz parfaits Les fumées de combustion sont assimilées à des gaz parfaits, nous utilisons donc les lois qui s y appliquent Modèle à deux zones Une zone froide ou zone basse zb où les paramètres sont les paramètres initiaux, l air n est pas vicié. Une zone chaude ou zone haute zh où les paramètres sont déterminés en fonction de l apport du foyer, qui produit une certaine masse de fumée qui, en fonction de sa température détermine le volume de la zone chaude Pertes aux parois Les pertes de chaleur aux parois ne sont pas prises en compte dans ce modèle. Elles sont actuellement en cours de mise en œuvre pour obtenir des modèles plus réalistes. 102/222

103 4.1.8 Conditions de propagation Les hypothèses de propagation sont basées sur des bilans de masse et d énergie. Les débits extraits du local source sont définis en fonction de la taille des ouvertures (portes et fenêtres). Les transferts de masse de fumée d un local à un autre ont lieu quand la zone haute passe sous le linteau d une ouverture, le débit de transfert des fumées est fonction du gradient de température entre les deux locaux (le deuxième local peut être l extérieur, pour une fenêtre par exemple ; dans ce cas, son volume est infini et ses paramètres sont constants). Comme les pertes aux parois ne sont pas prises en compte dans ce modèle, toute l énergie convective produite est soit conservée dans le local, soit transmise à l extérieur du local (à un autre local ou à l extérieur). Nous n effectuons pas de bilan massique en zone basse. Figure 25 : Bilan de masses entre les locaux et l extérieur Le foyer Figure 26 : Définition du foyer Le débit calorifique du foyer est défini en fonction du foyer qui, dans cet exemple, est situé au niveau du sol (il pourra par la suite être non nul). L énergie produite par le foyer sera en partie transmise à la zone chaude ; en effet seule la fraction convective sera transmise (1- la fraction rayonnée ), dans notre modèle, R =30% ; R 103/222

104 Puissance du foyer ( kw) Puissance du foyer ( kw) Temps ( s ) Temps ( s ) Figure 27 : Puissance du foyer La durée d activité du foyer est définie en fonction de son intensité et de la charge calorifique du local, de l ordre de 5000 GJ pour un bureau de 12m². La pente de montée en puissance du foyer a été fixée de telle manière que le foyer atteigne sa puissance maximum en 120s (quand la porte et la fenêtre sont ouvertes). Ce qui donne une pente de 12,5kW/s. Cette pente de montée pourra être définie comme une variable, ce qui permettra de tester l impact de la puissance du foyer. Quand ZD est nulle, on fait l hypothèse que le foyer n a plus assez d oxygène, sa progression devient nulle. Le foyer se réactive quand ZD redevient supérieure à zéro. Cette hypothèse met le foyer en veille quand le foyer est noyé et permet de le réactiver quand les fumées ont pu être évacuées. Après avoir valider ce modèle, le processus d étude actuel est en cours d extension de façon à pouvoir étudier des cas plus complexes, se rapprochant des cas rencontrés dans la réalité, comme par exemple un bâtiment contenant six pièces, un couloir et des équipements de sécurité. (Figure 28) Lc 3 Lc 1 Lc 2 Sprinkler CH PCF Lc 4 Lc 5 Lc 6 Figure 28 : Bâtiment en projet d étude 104/222

105 4.2 Fonctionnement du modèle A l aide de notre modèle simplifié, l objectif est de connaître tout au long d un scénario la température de la zone haute ainsi que la hauteur libre de fumée. Nous devons donc déterminer différentes variables. Le fonctionnement du modèle est tel que des paramètres du pas de temps précédent sont utilisés pour définir certaines fonctions du pas de temps suivant. L enchaînement du calcul des différentes variables est représenté par l algorithme de résolution présenté à la figure 29. L évaluation porte sur les différents débits calorifiques échangés entre les différents locaux en fonction des débits massiques des fumées échangés (à l instant précédent) et des différences de température (à l instant précédent). Pour déterminer les débits sortants par des ouvertures verticales, nous utilisons le théorème de Bernoulli ainsi que les relations générales de Navier-Stokes (Cf. Annexe B). En fonction du débit massique de fumées produit (à l instant précédent) et des différents débits échangés (à l instant précédent), il est possible de déterminer la masse de fumée ajoutée dans chaque local et donc, la masse de fumée présente dans chaque local. L épaisseur de fumée (à l instant précédent) permet d obtenir Z D, hauteur de la discontinuité entre la zone basse et la zone haute chaude. En connaissant Z D et les paramètres du foyer, le débit calorifique produit par le foyer peut être déterminé. Z D nous est utile pour savoir si le débit est celui déterminé par la courbe de puissance vue précédemment, ou s il s agit du débit résiduel dans le cas où le foyer est «noyé» par les fumées. En connaissant les différents débits calorifiques (échangés et produits), il est alors possible de déterminer l énergie apportée à la zone haute et donc, de calculer l énergie accumulée dans cette zone haute. Le débit calorifique produit, ainsi que les paramètres du foyer, permettent de déterminer le débit de fumées entraîné par le panache. Nous utilisons pour cela les formules de Heskestad (Cf. Annexe A). Comme nous avons déterminé précédemment la masse de fumée dans la zone haute ainsi que l énergie accumulée dans cette zone, il est possible d évaluer la température de la zone haute. En appliquant aux fumées la loi des gaz parfaits, la température permet de déterminer la masse volumique des fumées. Les échanges entre les différentes pièces sont déterminés par une masse volumique moyenne du local en fonction de la masse volumique de la zone haute et de la hauteur de discontinuité. La comparaison de la masse volumique moyenne entre deux pièces permet d orienter les débits massiques de fumée (Cf. Annexe C). Avec les masses volumiques moyennes et les hauteurs de discontinuité dans les différentes pièces, les débits massiques de fumée peuvent être quantifiés. 105/222

106 à t=t+dt Calcul du débit calorifique Calcul des termes flux Débit d air entraîné dans le panache Débits massiques aux ouvertures : o gaz chauds sortant à l extérieur o gaz chauds entre locaux débits enthalpiques aux ouvertures Variables d état masse de la zone haute Énergie interne de la zone haute Grandeurs recherchées Température de la zone haute Hauteur libre Figure 29: Algorithme de résolution 106/222

107 A partir du moment où les échanges et la production des fumées sont connus, nous sommes capables de déterminer le volume de fumée ajouté dans la zone haute et donc, le volume et la hauteur de fumée présents dans la zone haute. Connaissant la hauteur de fumée dans chaque local à un instant donné, nous avons terminé l évaluation des différents paramètres de notre modèle et pouvons passer à l instant suivant. Les équations de ce modèle (présentées en détail en Annexe) ont été écrites et programmées en langage C. La version 12 de MOCA-RP permet le couplage de ce code avec les transitions des réseaux de Petri en tant que lois spéciales. 107/222

108 5 Présentation de quelques exemples d application Leur but est de montrer que le couplage du code en C défini par le modèle physique développé avec la représentation du système bâtiment dans MOCA-RP donne des résultats intéressants et significatifs. Un premier prototype informatique a donc été développé et a permis d obtenir les résultats présentés ci-dessous. Dans les exemples traités, nous analysons l évolution des principaux paramètres physiques en présentant les courbes de puissance produite par le foyer, de température et de hauteur libre de fumée obtenues dans les différents locaux à partir de nos modèles, mais aussi les conséquences en termes de dommages sur les personnes. Les simulations effectuées sont arrêtées, soit quand toutes les personnes ont été évacuées, soit quand les conditions ne permettent plus la survie. Nous raisonnons sur le cas de la Figure 23, Piéce1 Couloir2 Pièce3, en supposant un foyer d incendie déclenché dans le local 1. Les locaux 1 et 3 sont occupés par 5 personnes au moment du départ de feu, le local 2 couloir est vide d occupants. Les cas que nous traitons sont les suivants : Bâtiment non équipé d alarme ; Bâtiment équipé d alarme ; Bâtiment non équipé d alarme, mais de sprinkler ; Bâtiment équipé d alarme et de sprinkler. 5.1 Bâtiment sans alarme Les courbes présentées montrent l évolution d un scénario dans les 200 premières secondes (Figure 30), puis jusqu à 1200 secondes. Les commentaires suivants peuvent être effectués : La remontée de la hauteur libre de fumée ZD dans le local 1 au bout de 60 secondes s explique par la rupture du simple vitrage de la fenêtre quand la température de la zone chaude TZH1 dépasse 600 C ; Peu de temps après que le foyer ait atteint son seuil, 1500kW en 120 secondes, les conditions ont tendance à rester constantes ; Dès le début du scénario, les personnes présentes dans le local 1 sont en contact avec les fumées et essaient d'évacuer. Le début de leur évacuation entraîne l'ouverture de la porte sur le couloir (local 2) et donc la propagation des fumées au couloir dès qu'elles peuvent passer sous le linteau de la porte ; De la même manière, la fumée peut sortir à l'extérieur dès que les personnes ont ouvert la porte du couloir donnant sur l'extérieur ; 108/222

109 Nombre de personnes dans le local Nombre de personnes débit massique (kg/s) Puissance produite et échangée (kw) Hauteur libre de fumée ( m ) Température de zone haute ( C ) 3, , ,5 ZD1 ZD2 ZD Tzh1 Tzh2 Tzh , Temps ( s ) Temps ( s ) , ,6 1,4 1,2 1 0,8 0,6 mp m1_ext m1_2 m2_ext m2_3 m3_ext Q1_ext Q2_ext Q3_ext Q1_2 Q2_3 Q 0, , temps (s) Temps ( s ) Pers_L1 pers_l2 Pers_L3 victimes victimes Pers_L3 pers_l2 Pers_L Temps ( s ) Temps ( s ) Figure 30 : Scénario sans alarme - 0 à 200 s L examen des courbes au-delà de 200s (Figure 31) permet les constatations suivantes : Les personnes présentes dans le local 3 ne sont pas informées de l'incendie et donc elles n'évacuent pas ; La porte reliant le couloir au local 3 reste fermée jusqu'à sa destruction à 900 secondes occasionnant montée de la température et chute de la hauteur libre de fumée dans le local 3 ; les personnes du local 3 ne peuvent évacuer puisque les conditions dans le couloir à 900 secondes sont : Hauteur libre inférieure à 1,4m et température très forte. 109/222

110 Nombre de personnes dans le local Nombre de personnes débit massique (kg/s) Puissance produite et échangée (kw) Hauteur libre de fumée ( m ) Température de zone haute ( C ) Le nombre de décès est donc de cinq puisque les conditions dans le local 3 ne permettent pas la survie des personnes. Il s agit évidemment d un scénario très pessimiste servant uniquement d illustration car on peut penser que le service d'intervention pourrait arriver entre temps, ou que les personnes pourraient s évacuer par la fenêtre. 3, , ,5 ZD1 ZD2 ZD Tzh1 Tzh2 Tzh , Temps ( s ) Temps ( s ) , ,6 1,4 1,2 1 0,8 0,6 mp m1_ext m1_2 m2_ext m2_3 m3_ext Q1_ext Q2_ext Q3_ext Q1_2 Q2_3 Q 0,4 0, Temps ( s ) temps (s) Pers_L1 pers_l2 Pers_L3 victimes victimes Pers_L3 pers_l2 Pers_L Temps ( s ) Temps ( s ) Figure 31 : Scénario sans alarme - 0 à 1200 s Description d un second scénario dans le même cas d étude : Les seuls changements sont dus au tirage aléatoire des événements qui ne s effectuent pas au même s instants ; on obtient des résultats similaires que l on peut observer sur la figure 32, où les différents événements suivants peuvent être constatés : 110/222

111 Nombre de personnes Nombre de personnes Temps ( s ) extérieur Figure 32 : Hauteurs libres de fumée Figure 33 : Evacuation des personnes s Figure 34 : Evacuation des personnes 0 50s 1) Ouverture et fermeture de la porte du local 1 par les personnes qui évacuent ; l ouverture s effectue très rapidement comme dans le scénario précédent ; 2) Destruction de la fenêtre dans le local 1 ; 3) Destruction de la porte entre Local 1 et Local 2 vers 500 secondes; 4) Destruction de la porte entre Local 2 et Local 3 vers 1300 secondes; 5) Destruction de la porte du Local 2 vers l extérieur ; 6) Destruction de la fenêtre dans Local 3 ; 7) Diminution du foyer. En termes de dommages aux personnes, les conséquences sont identiques puisque le premier décès intervient vers 1500s. décès Pers_L3 pers_l2 Pers_L Temps ( s ) extérieur décès Pers_L3 pers_l2 Pers_L1 111/222

112 Nombre de personnes dans le local Nombre de personnes débit massique (kg/s) Puissance produite et échangée (kw) Hauteur libre de fumée ( m ) Température de zone haute ( C ) 5.2 Bâtiment avec alarme 3, , ,5 ZD1 ZD2 ZD Tzh1 Tzh2 Tzh , Temps ( s ) Temps ( s ) , , ,5 temps (s) mp m1_ext m1_2 m2_ext m2_3 m3_ext temps (s) Q1_ext Q2_ext Q3_ext Q1_2 Q2_3 Q Pers_L1 pers_l2 Pers_L3 6 Pers_L3 pers_l2 Pers_L Temps ( s ) Temps ( s ) Figure 35 : Scénario avec alarme - 0 à 200 s Les figures 35 et 36 contiennent les mêmes paramètres que dans le cas précédent sauf que le système d'alarme a été activé. On remarque qu'au bout de quelques secondes, les personnes évacuent les deux bureaux. Ceci est dû au système d'alarme qui les informe de l'incendie. Dans ce scénario, les fumées se propagent plus vite dans le local 3, puisque les portes ont été ouvertes par les occupants. Mais comme les personnes ont été alertées, elles ont pu évacuer. On peut aussi remarquer le bris de la fenêtre du local 3 vers 500 secondes. 112/222

113 Nombre de personnes débit massique (kg/s) Puissance produite et échangée (kw) Hauteur libre de fumée ( m ) Température de zone haute ( C ) 3, , ,5 ZD1 ZD2 ZD Tzh1 Tzh2 Tzh , Temps ( s ) Temps ( s ) , , ,5 temps (s) mp m1_ext m1_2 m2_ext m2_3 m3_ext temps (s) Q1_ext Q2_ext Q3_ext Q1_2 Q2_3 Q victimes 4 3 Pers_L1 pers_l2 Pers_L3 6 4 Pers_L3 pers_l2 Pers_L Figure 36 : Scénario avec alarme - 0 à 1200 s Temps ( s ) Autres cas d étude avec sprinkler Seules les courbes de la hauteur de fumée entre 0 et 2000secondes sont présentées ainsi que celles du nombre de personnes évacuées vers l extérieur entre 0 et 50 secondes, ce qui est suffisant puisque toutes les personnes sont sorties du bâtiment dans les trois cas en moins de 35 secondes. 113/222

114 Nombre de personnes H auteur libre de fumée ( m ) Nombre de personnes H auteur libre de fumée ( m ) Nombre de personnes H auteur libre de fumée ( m ) 11 3,5 Sans sprinklers Avec alarme extérieur extérieur décès Pers_L3 pers_l2 Pers_L1 3 2,5 2 1,5 1 0, ZD1 ZD2 ZD3 Temps ( s ) Temps ( s ) Pièce Couloir Pièce Avec sprinklers Sans alarme Temps ( s ) extérieur extérieur Décès Pers_L3 pers_l2 Pers_L1 3,5 3 2,5 2 1,5 1 0, Temps ( s ) ZD1 ZD2 ZD3 11 3,5 Avec sprinklers Avec alarme extérieur extérieur décès Pers_L3 pers_l2 Pers_L1 3 2,5 2 1,5 1 0, ZD1 ZD2 ZD3 Temps ( s ) Temps ( s ) Figure 37 : Scénarios avec sprinkler 114/222

115 6 Aide au choix des actions de mise en sécurité Nous abordons brièvement dans ce paragraphe les aspects concernant l aide au choix qu il serait possible d apporter à un gestionnaire entre différentes actions de mise en sécurité. Cet aspect des choses n a pu être réellement traité dans le travail de thèse de J. CHORIER, mais il semble important d en dire cependant quelques mots. Le tableau de la figure 38 regroupe les informations que l on pourrait retirer après simulation des scénarios concernant la sécurité incendie dans un bâtiment. L action A0 traduit l état actuel du bâtiment et les pourcentages de scénarios incendie acceptables par rapport à des objectifs de sécurité donnés. Les actions A1 et A2 sont des actions envisagées pour tenter d améliorer la sécurité. Cela pourrait être les actions d installation d alarme (A1) ou de sprinkler (A2) ou des deux systèmes (A1+A2), décrites dans l exemple ci-dessus. Chaque action est dotée d un délai de mise en œuvre et a des coûts d investissement et de fonctionnement. Le problème du choix entre les actions de mise en sécurité se pose alors pour un gestionnaire dont le budget annuel est limité. % de scénarios acceptables Actions Personnes Biens Structure Délais Investissement Fonctionnement (semaines) (euros) (euros/an) A A , A Figure 38 : Matrice de décision Des représentations graphiques de cette matrice de décision peuvent être proposées : représentation dite des profils: (Figures 39 et 39-bis) - les critères sont régulièrement espacés sur l axe des abscisses ; - une échelle, définie dans ses propres unités, est associée à chaque critère; - les graduations sont définies de façon que la préférence soit d'autant plus forte que l'ordonnée est élevée sur l'échelle. représentation dite des étoiles ou «radar»: (Figure 40) - le centre de l'étoile est le point de concours des échelles de chaque critère ; - chaque échelle est définie dans ses unités propres ; - pour chaque critère, plus la performance est proche du centre de l'étoile, moins bonne est la préférence. Au préalable, la matrice de décision a été normalisée pour avoir des échelles de valeurs identiques comprises entre 0 et 100. Les échelles sont directes, c est-à-dire que la valeur 100 est la meilleure valeur possible. Personnes Biens Structure Délai Coût Entretien A A A Figure 38-bis : Matrice de décision normalisée 115/222

116 Personnes Biens Structure Délai Coût Entretien Actions de mise en sécurité A0 A1 A Personnes Biens Structure Délai Coût Entretien Actions de mise en sécurité A2 A0 A1 A2 A0 Figure 39: Représentation par profils Figure 39-bis : Représentation par profils 3 dimensions Figure 40: Représentation en étoile ou «radar» Le choix multicritère entre ces différentes actions relève des techniques d aide à la décision et dépend : de la problématique de choix que l on veut utiliser, il en existe trois différentes correspondant à des natures de problèmes spécifiques ; des méthodes d analyse multicritères que l on peut utiliser. Elles sont nombreuses et variées, généralement classées en deux grandes catégories : les méthodes de compensation (critère unique de synthèse) et les méthodes de surclassement (méthodes ELECTRE ou PROMETHEE). Actions de mise en sécurité Entretien Personnes Coût Structure 116/222 Biens A0 A1 A2 Délai

117 7 Conclusions Le premier bilan qu il est possible de faire est que le sujet de l Ingénierie Incendie est très vaste et qu il était important de bien définir les objectifs. Rappelons que nous cherchons à développer des moyens de diagnostic du niveau de sécurité d une construction, puis à apporter une aide au gestionnaire de patrimoine pour la mise en œuvre des mesures d amélioration de la sécurité les plus adéquates. Nous avons pu mettre en place une méthode présentée ici, basée sur la simulation du déroulement de nombreux scénarios à partir d événements initiaux variés, les départs de feu. Les constatations suivantes peuvent être avancées : 1. Le travail par simulation sur des scénarios nécessite l utilisation d outils de représentation de la dynamique des scénarios ; Les réseaux de Petri et le logiciel MOCA-RP sont aptes à réaliser cela et leur utilisation nous semble définitivement validée ; 2. L évaluation des dommages pour chaque scénario s effectue au travers d indicateurs qu il faut évaluer à tout instant du déroulement des scénarios. Les calculs nombreux et volumineux qui en découlent, du fait d un pas de temps réduit et du grand nombre de scénarios envisagés, imposent l utilisation de modèles physiques simplifiés dont la mise au point a été réalisée sur la base d hypothèses simplificatrices. Certains spécialistes pourront trouver ces modèles simplistes, mais cela est nécessaire. Les performances des modèles développés semblent satisfaisantes sur les premières applications traitées. A court terme, ces modèles sont intégrables dans le générateur de scénarios au travers des réseaux de Petri (MOCA-RP). Cette étape permet l automatisation dans des temps raisonnables la recherche des dommages potentiels. Toutefois, il semble que l intégration des pertes aux parois soit une nécessité pour éviter les températures très élevées constatées trop rapidement. Cela est en cours sur la base d une formulation simple proposée par Foote, Pagni et Alvares (FPA). Par ailleurs, le problème de définir dans un bâtiment les départs de feu les plus pertinents en termes de fréquence et de gravité doit être traité et doit compléter le travail effectué. Les objectifs sont principalement : De définir précisément les principales sources de dangers et / ou différents événements initiateurs potentiels de l incendie qui permettront de déclencher les scénarios les plus pertinents et les hiérarchiser ; D élaborer un mode de présentation des résultats, c est-à-dire des risques encourus et de leurs conséquences sur les biens et les personnes. La méthode est fondée sur une enquête approfondie des risques par une visite du bâtiment, une prise en compte statistiques des événements incendie constatés (données issues de la BSPP) et une définition de la gravité par une méthode de pénalisation - pondération sur différents paramètres influant sur l évolution ou les conséquences prévisibles. Enfin, le travail commencé dans la thèse sur ce sujet est loin d être terminé car il semble nécessaire de valider cette approche prometteuse sur des bâtiments réels. Un travail complémentaire est donc nécessaire pour : 117/222

118 définir et valider clairement avec les experts compétents les connaissances nécessaires au bon fonctionnement du modèle proposé, à savoir : conditions de validation des transitions, validation des différents RdPE, définition des scénarios jugés les plus pertinents, affinage des modèles physiques simplifiés ; établir précisément les niveaux de gravité et de fréquence des quatre grilles de danger pour chacun des objectifs de dommages : corporels, biens, structures, environnement ; définir un ou deux bâtiments tests ainsi que les scénarios s y rattachant ; pratiquer les simulations permettant de dégager les dommages attendus ; effectuer une analyse de robustesse et de sensibilité des résultats en termes de dommages par rapport aux paramètres nombreux de la méthode ; traiter les problèmes de décision et de politique patrimoniale liés à la mise en œuvre d actions de prévention et de mise en sécurité du bâtiment. Les perspectives sont donc nombreuses et le travail ne doit pas rester en l état. Il doit être poursuivi dans un cadre ISI pour fournir à terme une méthode opérationnelle d évaluation des risques et de choix des actions de mise à une sécurité donnée d une construction. 118/222

119 8 Références [AEAI, 2002] AEAI. Statistique des dommages. [en ligne]. (Association des établissements cantonaux d'assurance incendie), Disponible sur: < (consulté le 18/07/2006) [AFNOR, 1994] AFNOR. Maintenance - Concepts et définitions des activités de maintenance. Association Française de Normalisation, 1994, 28 p. [ALBENGE, 2000] Albenge, O. Outils Méthodes pour la Qualité - La méthode AMDEC. [en ligne] Disponible sur: < (consulté le 07/08/2006) [ARESU-DE-SEUI, 2003] Aresu-de-Seui, H. Cours de protection contre l'incendie. [en ligne]. Faculté Polytechnique de Mons, Belgique: Disponible sur: < (consulté le 16/08/2006) [BALOCHE, 2005] Baloche, C. Prédire pour mieux sécuriser. Webzine Sécurité Incendie, 2005, 1 p. [BODART, 1992] Bodart, X. Protection des bâtiments à atriums contre l enfumage d incendie. Cahiers du CSTB n 2576, 1992, 12 p. [BODART, 1994] Bodart, X. Validation de CIFI sur quelques scénarios d incendie expérimental. Rapport CSTB, contribution à l activité du groupement FIS, 1994, 102 p. [BODART, 1995] Bodart, X. Protection des atriums contre l enfumage d incendie dans les établissements recevant du public; éléments scientifiques fondant la nouvelle version de l instruction technique n 263 du ministère de l intérieur. Cahiers du CSTB n 2822, 1995, 17 p. [CABARBAYE] Cabarbaye, A. Markov. [en ligne]. Disponible sur: < (consulté le 28/07/2006) [CAJOT, 2003] Cajot, L. G., Haller, M., et al. Actions thermiques et mécaniques. In: Projet DIFISEK. Partie , 39 p. [CEN, 2001] CEN. Basis of structural design. EN1990, Eurocode, 2001, [CHABOT, 1998] Chabot, J.-L. Approche probabiliste relative à l'étude des scénarios d'incendie. Energétique. Poitiers: Université de Poitiers-ENSMA, 1998, 128 p. [CHARLES, 1992] 119/222

120 Charles, S. Conception d'un système expert pour l'étude de la sécurité incendie de bâtiments dans un contexte pluridisciplinaire. Méthodes de conception en bâtiment, aménagement et techniques urbaines. Lyon: INSA, 1992, 388 p. [CNRC-NRC, 2005] CNRC-NRC. Évaluation des risques d'incendie dans les immeubles d'appartements et de bureaux - FiRECAM. [en ligne]. Canada: Disponible sur: < (consulté le 21/08/2006) [COCO, 2006] Coco, C. et Ruol, G. Evaluation des risques incendie dans un bâtiment. Travail de fin d'études. Chambéry: ESIGEC, 2006, 46 p. [CURTAT, 2002] Curtat, M. Physique du feu pour l'ingénieur. 3. Paris: CSTB, 2002, 687 p. Traité de physique du bâtiment. ISBN [DAITEM, 2006] daitem. Centre de surveillance. [en ligne] Disponible sur: < (consulté le 17/08/2006) [DEMOUGE, 2003] Demouge, F. Évaluation des modèles et logiciels susceptibles d être utilisés en France dans une démarche par ingénierie de mise en sécurité incendie des ERP. Paris: CSTB, 2003, 35 p. [DEMOUGE, 2005] Demouge, F. Présentation des équations du modèle de couche chaude. Paris: CSTB, 2005, 3 p. [DUONG, 1991] Duong, D. Q. Modelling and Hazard Analysis of Sandia National Laboratories / Underwriters Laboratories Experiments. Fire Safety Science, proceedings of the third international symposium, 1991, pp [FISCHHOHH, 1981] Fischhohh, B., Lichtenstein, S., et al. Acceptable risk. New York: Cambridge University Press, 1981, 229 p. [FNSPF, 2005] FNSPF. Site officiel de la Fédération Nationale des Sapeurs Pompiers de France. [en ligne] Disponible sur: < (consulté le 11/08/2006) [FROMY, 2001] Fromy, P., Bodart, X., et al. Étude de faisabilité des méthodes d ingénierie en résistance au feu: application à un hôtel. CSTB - contrat DDSC n , 2001, 99 p. [FROMY, 1992] Fromy, P. et Curtat, M. Prévision par le calcul des sollicitations thermiques dans un local en feu; première partie: le modèle et le logiciel NAT. Cahiers du CSTB n 2565, 1992, 21 p. [FROMY, 1994] Fromy, P. et Curtat, M. Prévision par le calcul des sollicitations thermiques dans un local en feu; deuxième partie: confrontations calcul-mesure relativement à la température du milieu gazeux et à la température de profilés métalliques. Cahiers du CSTB n 2727, 1994, 19 p. 120/222

121 [FROMY, 1995] Fromy, P., Curtat, M., et al. Confrontation du logiciel FISBA sur cinq scénarios de feu. Rapport CSTB, 1995, 142 p. [GROLLEAU, 1999] Grolleau, E., Choquet-Geniet, A., et al. Modélisation de systèmes temps réel par réseaux de Petri autonomes en vue de leur analyse hors-ligne, Modélisation des Systèmes Réactifs, MSR'99. Cachan, France: Hermes, 1999, pp. [HERTZ, 1964] Hertz, D. Risk Analysis in Capital Investment. Harvard Business Review, 1964, Vol. 42. [HESKESTAD, 2002] Heskestad, G. Fire Plumes, Flame Height, and Air Entrainment. In: The SFPE Handbook of Fire Protection Engineering- Third Edition. 2002, section 2, chapter 1- pp 17. ISBN [HOGNON, 1992] Hognon, B. MOCASSIN: une approche probabiliste de la sécurité incendie des ERP. Cahiers du CSTB n 2554, 1992, 28 p. [INRS, 2006] INRS. Incendie et lieux de travail. [en ligne] Disponible sur: < (consulté le 18/07/2006) [JO, 1996] JO. Loi n du 3 mai 1996 relative aux services d'incendie et de secours. JO du 4 mai 1996, 1996, [JR-INTERNATIONAL] jr-international alarme électronique. [LAIR, 2000] Lair, J. Evaluation de la durabilité des systèmes constructifs du bâtiment. Clermont- Ferrand: Université Blaise Pascal, 2000, [LE PETIT ROBERT, 1994] Le petit Robert. Dictionnaire alphabétique et analogique de la langue française. Paris: 1994, [LEGALLAIS] legallais PLAQUE EVACUATION "SORTIE" DTE. [MALERBA SA] Malerba SA Blocs-portes métalliques battants CF 2 heures, Malerba SA. [MANGIN, 2006] Mangin, J. C. Cours d'aide à la décision. Chambéry: Ecole Polytechnique Universitaire de l Université de Savoie, 2006, [MARTÍNEZ-DE-ARAGÓN, 2005] Martínez-de-Aragón, J. J., Rey, F., et al. Projet DIFISEK. 2005, 38 p. [MCGRATTAN, 2002] McGrattan, K. B., Baum, H. R., et al. Fire Dynamics Simulator (version 3). Technical reference guide - Building and Fire Research Laboratory - National Insitute of Standards and Technology, 2002, /222

122 [NATIONAL FIRE PROTECTION ASSOCIATION, 2001] National Fire Protection Association. Fire Safety Evaluation System for Detention and Correctional Facilities, Chapter 5 of NFPA 101A, Guide on Alternative Approaches to Life Safety. Quincy: 2001, [PÉRILHON, 1999] Périlhon, P. MOSAR (Méthode Organisée et Systémique d Analyse de Risques). In: École d été "Gestion Scientifique du risque ", 1999, Albi, France. [PÉRILHON, 2000] Périlhon, P. L'analyse des risques industriels-une méthode: MOSAR. Grenoble, France: 2000, [PÉRILHON, 2003] Périlhon, P. DU RISQUE A L ANALYSE DE RISQUES -Développement d une méthode - MOSAR - Méthode Organisée et Systémique d Analyse de Risques. 2003, [PICTET, 2003] Pictet, J. et Bollinger, D. Adjuger un marché au mieux disant, analyse multicritère, pratique et droit des marchés publics. LAUSANNE: Presses polytechniques et universitaires romandes, 2003, 250 p. [PROTECTIONINCENDIE.COM, 2003] protectionincendie.com. Statistiques concernant les incendies domestiques. [en ligne] Disponible sur: < (consulté le 07/08/2006) [ROY, 1993] Roy, B. et Bouyssou, D. Aide multicritère à la décision: méthodes et cas. PARIS: ECONOMICA, 1993, 690 p. [SCHARLIG, 1985] Scharlig, A. Décider sur plusieurs critères, panorama de l'aide à la décision multicritère. LAUSANNE: Presses polytechniques et universitaires romandes (nouveau tirage 1990), 1985, 304 p. [SFPE, 2002] SFPE. The SFPE handbookof fire protection engineering. NFPA, 2002, 1477 p. ISBN [STEPHEN, 2001] Stephen, F., Weber, et al. ALARM 2.0 User Manual. Academic Department.: University, 2001, Number of 37 p. [TAILLANDIER, 2006] Taillandier, F. Maîtrise des risques dans la gestion d un parc patrimonial immobilier. Chambéry: LOCIE-ESIGEC-Université de Savoie, 2006, 110 p. [TALON, 2006] Talon, A. Evaluation des scénarii de dégradation des produits de construction. Génie Mécanique Génie Civil. Clermont-Ferrand: Université Blaise Pascal, 2006, 239 p. [THE GENEVA ASSOCIATION, 2005] The Geneva Association. Information Bulletin of the World Fire Statistics. Series Information Bulletin of the World Fire Statistics [en ligne]. 2005, 12 p. Disponible sur: < (consulté le 19/07/2006) [THOMAS, 2002] 122/222

123 Thomas, P. et Hutinet, T. MOCA-RP Manuel Utilisateur. GFI Consulting, 2002, 71 p. [UNIVERSITÉ DE RENNES 1, 2001] Université de Rennes 1. Le risque Incendie, Moyens d'extinction. [en ligne] Disponible sur: < (consulté le 05/06/2006) [URGENCYCLOPÉDIE, 2006] Urgencyclopédie. Urgencyclopédie, l'encyclopédie en ligne de Secourisme.info. [en ligne] Disponible sur: < (consulté le 05/07/2006) [VANDEVELDE, 2005] Vandevelde, P. FiRE-TECH Users Guide. Laboratium voor Aanwending der Brandstoffen en Warmteoverdracht Department of Flow, Heat and Combustion Mechanics, 2005, 184 p. ISBN X [VERDEL, 2000] Verdel, T. Méthodologies d'évaluation globale des risques. Applications potentielles au Génie Civil. In: Colloque Risque et Génie Civil, 2000, Paris, France. pp [ZWINGELSTEIN, 1995] Zwingelstein, G. Diagnostic des défaillances - théorie et pratique pour les systèmes industriels. Paris: Hermes, 1995, 601 p. 123/222

124 9 Annexes 9.1 Présentation des équations du modèle de couche chaude [DEMOUGE, CSTB] Ce modèle de couche chaude, développé au CSTB pour une application aux bâtiments présentant de grands volumes, repose sur une représentation zonale supposant la stratification de la fumée. La géométrie du volume considéré est simplifiée par une forme parallélépipédique. Ce modèle se base sur la considération des variations temporelles des caractéristiques moyennes de la couche de fumée (température, épaisseur). Ces variations sont dictées par la compétition entre le remplissage de la couche par le panache de fumée produit par l'incendie et l'extraction de la fumée par les exutoires en partie haute. On détaille ci-dessous les équations du modèle. Les variables utilisées sont présentées dans la nomenclature au paragraphe X. A un instant donné, le débit massique entraîné par le panache et injecté dans la couche chaude à la hauteur d'interface HL =H-e, est calculé selon les formules empiriques données par Heskestad 1. La nomenclature des variables est donnée page 130. Si Z d Z f _ 0 c _ p c d piece d piece m t Q t z t z t Q t z t z t z m p t Qc t z d f t t z où 0 est l'origine virtuelle du panache donnée par : 25 z0 t 1.02 Dfoyer t Q t et f z f est la hauteur de flamme donnée par : z t D t Q t foyer sinon La puissance convective injectée dans la couche est donnée par : c Q t Q t 1 R Les pertes de chaleur aux parois ne sont pas prises en compte dans ce modèle, on a donc : Q cond t 0 La température de la couche chaude est approximée à partir d'un bilan de masse et d'énergie en supposant que le rayonnement peut être négligé : 1 voir Heskestad G. - "Fire Plumes, Flame Height, and Air Entrainment" - The SFPE Handbook of Fire Protection Engineering - Third Édition - section 2, chapter 1- pp 17 - ISBN /222

125 t E T t T zh _1 zh _1 0 Cv mzh _1 t avec t E t Q t Q t Q t Q tdt zh _1 p 1ext 12 cond 0 t mzh _1 t m p t m1ext t m12 tdt 0 La masse volumique de la couche chaude est donnée en appliquant la loi des gaz parfaits : T0 zh _1 t 0 T t zh _1 9.2 Détermination des débits massiques de fumée extraits par les ouvertures Le débit massique extrait est exprimé à l aide du théorème de Bernoulli 2 v g z p cste 2 La démarche très couramment pratiquée en ingénierie du feu est d'appliquer la "loi" de Bernoulli sur un tube de courant horizontal, dont les extrémités sont situées de part et d'autre de l'ouverture verticale, en supposant que l'origine de l'écoulement est une région à vitesse horizontale nulle. Rappelons cette expression obtenue (à partir des relations générales Navier-Stokes, voir chapitre 3, "Traité de physique du bâtiment Tome 3 - CSTB") en admettant qu'il n'y a pas de variation d'énergie potentielle à hauteur z constante, ni de force de viscosité. Entre les deux points A et B placés à la même hauteur, et de part d'autre d'une ouverture, il vient : 1 1 p v p v A A A B B B A et B sont les masses volumiques, et va (0.1) où et les amplitudes de vitesses horizontales, aux points A et B à la même hauteur z. (cf. Figure B-1) vb 125/222

126 Figure B-1 : Représentation schématique d un tube de courant v 0 A Si (vitesse nulle au point A) et A B température), il vient: 1 p p v 2 2 A B B B soit v B p 2 pa pb p B (même fluide à la même Si B A, une expression similaire est obtenue pour un débit dans le sens inverse v 0 si B, avec A à la place de B, et pb pa p au lieu de A pb : v A 2 pb pa A pa et pb Il faut donc connaître pour calculer la vitesse, puis le débit massique au travers de la section de surface verticale d'un "tube courant". L'approche la plus simple est d'exploiter la loi de la statique gaz pour donner une formulation simple pa et pb de en fonction de la hauteur z. Par convention d'écriture, nous noterons dans ce qui suit : p I : pression intérieure au local considéré, au niveau du sol. p E : pression extérieure à ce local, au même niveau. (on peut d'ailleurs prendre un autre niveau de référence tant que la convention ne change pas la différence A B). p p 126/222

127 La pression à une hauteur z s'exprime alors selon les situations suivantes: - Dans le local p z p g dz int I z0 - A l extérieur du local z ext E z0 p z p g dz où peut varier avec z. z Le débit massique au travers d'une surface élémentaire d'aire da est : d m da B v B da 2 B p A pb si la largeur est W (normale au plan de la figure 7.1), et qu'on considère l aire élémentaire da W dz : d m W dz 2 B p A pb On intègre ensuite sur la hauteur où l'écoulement a lieu, entre zl et z2 : Z 2 2 m W p p dz Z 1 B A B Cette expression est maintenant modifiée par l'introduction d'un facteur inférieur à 1, nommé coefficient d'orifice ou d'ouverture, noté Cd, qui prend approximativement en compte la contraction de la veine au passage de l'orifice. Pour les fenêtres et les portes, Cd, fonction du nombre de Reynolds, est voisin de 0,7. On arrive ainsi à: Z 2 2 m C W p p dz d B A B Z 1 (0.2) Rappelons qu'on suppose alors que les champs de pression verticaux sont uniformes dans chacun des deux volumes séparés par l'ouverture. En reprenant l équation (0.2) et les caractéristiques de notre modèle nous obtenons : fenetre 2 m C l z p p dz et 1 ext d porte fenetre 1 zh _1 0 Z ZD 1 P z P g z g z z zh _1 0 0 zh_1 1 zh_1 On considère qu il n y a pas de gradient horizontal de pression si on est «loin» de P l ouverture. On à donc 0 0. p g z g z zh _ Soit 1 D 127/222

128 On pose : g z g z D et 1 on peut en déduire : 2 XY m1 ext Cd lporte z fenetre 2 3 z porte zd X Y 1 X Y X z fenetre ; où B max( z ; Z ) et A fenetre D 1 Y B ; En appliquant l équation (0.2) entre le couloir 2 et l extérieur, on obtient : 2 XY m2ext Cd l fenetre z fenetre 2 3 z fenetre B X Y X Y X z porte et 2 ext 2 g z ; ; 2 g z g z g z D 2 0 ext D ext D2 où B max( z ; Z ) A fenetre D 2 Y B ; ; 9.3 Détermination des débits massiques de fumées échangés entre les locaux Pour tenir compte du sens des échanges entre 2 locaux, nous déterminons une masse volumique moyenne par local. Le signe de la différence de masse volumique nous donnera le sens de l écoulement. Nous définissons une masse volumique moyenne du local : 1 t z z z z t 1 2t Si m D1 zh _1 1 D1 1 et 2 t z z z z 0 D2 zh _ 2 2 D2, l écoulement se fait de 1 vers 2, on détermine m 12 0 et 2 128/222

129 t 1 2t Si On a : U p r T0 mcv donc, l écoulement se fait de 2 vers 1 et m et m12 m21 U U p r T e r T z e 0 zh zh 1 zh zh 1 m0c v mzh C 1 v z1 1 2 si t t Z porte, alors Zporte 21 d ZD 2 Zporte 2 m C z z d ZD Z 2 D2 m m C p z p z dz m C g z g z dz d porte D2 t 1 2t si, alors Z porte 1 2 d ZD 1 soit m C p z p z dz 1 Z porte 12 d ZD 1 2 m C z z 3 m C g z g z dz d porte D1 soit 9.4 Détermination des locaux pertinents pour les départs de feu La méthode [COCO, 2006] qui est proposée est constituée des étapes suivantes : 1. Effectuer une enquête sur le bâtiment et sur son activité pour recueillir tous les éléments nécessaires à la définition des situations de danger. Cette enquête sera réalisée à l aide d un guide que nous avons appelé Guide d Analyse Pour la Sécurité Incendie (G.A.P.S.I). Ce guide permettra de définir la manière dont est organisé le bâtiment et plus précisément chaque local, la manière dont ils sont utilisés et aussi d'identifier les pratiques liées aux usagers. Les informations de ce guide devront être saisies par un expert, à l issue d une visite du bâtiment de préférence, en pleine activité afin de se rendre compte des situations réelles de danger. Cet expert devra avoir au préalable un minimum de connaissances en matière de sécurité incendie. 129/222

130 Fréquence 2. Reporter les résultats de cette enquête dans un outil informatique type Excel. Cet outil permettra in fine de représenter dans un graphe gravité-fréquence chaque local (sous forme d un point) avec en abscisse la fréquence d apparition d un départ de feu pour ce type de local par rapport à tous les incendies constatés pour une activité donnée dans un même type de bâtiment et en ordonnée la gravité potentielle d un feu dans ce local évaluée au préalable selon 5 paramètres : la puissance d incendie du local ; les évacuations possibles du local ; les équipements de sécurité ; les occupants et leur comportement ; l accessibilité des services d intervention. Les pré-évaluations correspondantes à ces 5 paramètres ne serviront qu à la sélection des locaux en termes de gravité pour générer des scénarios de développement du feu significatifs. Le graphe obtenu pour chaque bâtiment représente les locaux sous forme d un nuage de points (les locaux). Il est ainsi possible de mettre en évidence les locaux qui nécessitent une étude particulière dans laquelle on pourra générer des scénarios de développement du feu en priorité. Le choix des locaux à étudier pourra aussi se faire selon les objectifs de l exploitant et de l expert. La figure D-1 montre un exemple de positionnement des différents locaux dans les échelles de gravité et de fréquence. C est ainsi que l on peut imaginer que les locaux marqués d une flèche pourraient être considérés comme les plus critiques, en ce sens qu il est difficile de les comparer. En effet, ils sont, ou très graves, ou très fréquents, mais il n y en a pas qui sont simultanément plus graves et plus fréquents. Locaux f i Local i G i Gravité Figure D-1: Positionnement de différents locaux 130/222

131 10 Nomenclature Variables : ZA hauteur de l allége de l ouverture (nulle si c est une porte) [m] ZL hauteur du linteau [m] ZD hauteur de l interface qui sépare la zone basse (zb) de la zone haute (zh) ; la lettre D est l initiale de discontinuité : à cette hauteur l évolution de T et de est vue comme discontinue. [m] t temps de la simulation [s] D foyer : diamètre du foyer [m] Q : débit calorifique du foyer [kw] E : énergie produite par le foyer [MJ] z 0 : origine virtuelle du panache [m] m : débit massique entraîné [kg/s] Q c : débit calorifique convectif injecté dans la couche [kw] : fraction radiative R Z : hauteur [m] Z 0 : origine virtuelle du foyer [m] Q parois : débit calorifique absorbé par les parois [kw] T: température [K] : masse volumique [kg/m 3 ] V: volume [m 3 ] e : épaisseur [m] Q : quantité de chaleur accumulée [kj] m : masse [kg] L : longueur [m] l : largeur [m] Indices : 0 : valeur initiale 1 : dans la pièce 2 : dans le couloir abs : absorbé ent : entraîné ex : sortant ext : extérieur F : flamme in : entrant p : panache zh : zone haute ( ou chaude) zb : zone basse (ou froide) 131/222

132 Constantes : 3 0 1,2 kg. m : Masse volumique de l air [kg.m -3 ] R 30% : fraction du débit calorifique du foyer qui est rayonnée T0 300K : Température de l air [ K] 2 g 9,81 ms : accélération de la pesanteur [ m.s -2 ] 132/222

133 Annexe C Démarche d évaluation de la sécurité et d aide à la prise de décision. Gestion de la sécurité structurale globale. Méthodes probabilistes appliquées à l objectif de la stabilité structurale 133/222

134 Sommaire Synthèse de l étude Méthodes d évaluation de la sécurité structurale Généralités sur la notion de risque et les méthodes de quantification du risque Concept de sécurité structurale Calibration de la sécurité Méthodes numériques pour la détermination de l indice de fiabilité et la probabilité de ruine Modèle stochastique : variables aléatoires dans le cadre de l objectif de sécurité structurale Densités de charge calorifique Modèles de charge pour les bâtiments Incertitudes de modèles Modèle de feu et actions thermiques Actions mécaniques Dimensionnement en flexion d une poutre en béton armé Fonction d état limite Variables aléatoires Résultats : Fiabilité des éléments en béton armé dimensionnés avec un feu ISO Résultats : Fiabilité d éléments en béton armé dimensionnés avec le modèle de feu paramétré /222

135 2.11 Facteurs d importance des variables pour des éléments en béton armé Conclusions Références 164 ANNEXE 1 Aperçu de la théorie de fiabilité 167 ANNEXE 2 Modèles de développement du feu /222

136 Synthèse de l étude L analyse quantitative des risques nécessite de mettre en œuvre des techniques de calcul probabilistes dont la complexité est fonction de la précision demandée et de la connaissance des paramètres du problème. Dans le contexte des risques liés à l incendie, le risque de ruine de la structure doit être pris en compte vis-à-vis des différents objectifs de sécurité, ce rapport présente les concepts de fiabilité appliqués à la sécurité structurale, tels que définis dans le corpus des Eurocodes, et analyse leur applicabilité à la stabilité structurale en situation d incendie en particulier dans le but de définir un niveau de sécurité acceptable pour les structures. Applicabilité des méthodes fiabilistes à la stabilité structurale en situation d incendie : Le recours aux méthodes fiabilistes est intéressant dès lors qu une connaissance suffisante des variables aléatoires prépondérantes est disponible. En ce qui concerne l incendie les variables aléatoires principales sont : les charges calorifiques et le développement du feu (ventilation), la résistance des structures et les incertitudes sur les modèles de résistance utilisés, les actions (poids propre, charges variables) et les incertitudes sur les effets des actions. Concernant les actions, on peut assimiler l incendie à un processus de durée limitée pendant la durée de vie de l ouvrage, et bâtir ainsi les variables aléatoires adaptées à cet état limite (par exemple densité de probabilité des charges d exploitation journalières pendant la durée de vie de l ouvrage). Concernant les incertitudes de modèles (actions et résistances), les données que l on trouve dans la littérature sont très forfaitaires et mériteraient d êtres explicitées. Mise en œuvre sur un exemple : Deux méthodes différentes de calcul de la fiabilité structurale (FORM, basée sur un calcul de gradient et RSM basée sur tirages des tirages de Monte-Carlo sur une approximation de la surface de ruine) ont été mises en œuvre sur un élément de poutre en béton armé supportant un plancher haut dans un local de type salle de réunion, cet exemple constitue un cas à densité de charge calorifique modérée, aussi les résultats obtenus ne peuvent être généralisés et sont donnés afin d illustrer la faisabilité. Les modèles utilisés pour le développement du feu et la résistance des sections sont des modèles simplifiés qui pourraient utilement être améliorés, cependant si les mêmes modèles sont utilisés pour le dimensionnement et pour l évaluation de la fiabilité, leur impact est modéré. Comme toute méthode d évaluation quantitative, les résultats dépendent grandement de la qualité des informations concernant les paramètres d entrée, il faut noter à cet égard que la variabilité des paramètres est parfois mal connue (en particulier pour la charge incendie et les incertitudes de modèles), d autre part la non linéarité des phénomènes induit certaines différences selon les méthodes stochastiques employées. Ainsi, une évaluation absolue du niveau de fiabilité est difficile, par contre ces méthodes permettent de situer la sécurité relative associée à différents dimensionnements. 136/222

137 Comme l illustre le schéma ci-après, le niveau de sécurité procuré par l application de la règlementation actuelle (dimensionnement selon la courbe ISO) peut être apprécié à l aide de ce type de calculs. Dimensionnement déterministe initial selon la règlementation Modèle stochastique développement du feu : charges calorifiques, scénarios Modèle stochastique thermo - mécanique : propriétés des matériaux Modèle de développement du feu Outil d analyse fiabiliste Modèle de comportement thermo mécanique Index de fiabilité β associé à l application de la règlementation On peut ainsi imaginer appliquer cette méthode à un panel de cas significatif de types d utilisations, et apprécier le niveau de fiabilité moyen procuré par la règlementation actuelle. Il faudra dans ce but veiller à reproduire les scénarios significatifs avec des modèles stochastiques réalistes pour chaque type d utilisation. 137/222

138 1 Méthodes d évaluation de la sécurité structurale 1.1 Généralités sur la notion de risque et les méthodes de quantification du risque Il est communément admis de quantifier le risque associé à un évènement (inondation, séisme, incendie ) par une fonction de la probabilité d occurrence de cet évènement et de la gravité associé à cet évènement. Si on agrège les risques liés à l ensemble des scénarios liés à cet évènement on obtient ainsi le risque total ou sociétal ; dans le cadre de l ISI, le risque sociétal sera par exemple le nombre de décès ou de personnes exposées au delà des conditions de tenabilité lors d un incendie. Le risque individuel est celui encouru par une personne située à un endroit défini lors du démarrage d un feu [34], [33], il peut être exprimé en termes de probabilité de décès par an (Figure 2). La combinaison la plus utilisée entre probabilité d occurrence et conséquence est le simple produit, cependant on peut imaginer des pénalisations pour des évènements dont les conséquences dépassent certains seuils, ou bien imposer que la probabilité de réalisation d évènements catastrophiques soit suffisamment faible. Ainsi l évaluation du risque peut selon les situations nécessiter une représentation globale (agrégation des mesures de risque pour chaque scénario pour obtenir le risque global d une solution) et/ou descriptive des couples probabilités conséquences, par exemple courbes de profil de risque probabilités conséquences, où les scénarios sont regroupés par classes de conséquence (Figure 1). Fig. 1 : exemple de courbe de profil de risque [33] Fig. 2 : exemple de présentation de risque individuel [37] Le risque peut être évalué de manière qualitative, pour par exemple établir des classements d importance, ou dans le cas d utilisation de méthodes raffinées de manière quantitative. 138/222

139 1.2 Concept de sécurité structurale L Eurocode EN1990 [25] définit le format de sécurité applicable aux structures, il est basé sur la vérification d Etats Limites (Ultimes, Accidentels, de Service) à partir de la méthode des coefficients partiels : pour les différents États Limites identifiés, on vérifie que la résistance de calcul de la structure est supérieure aux sollicitations de calcul ; sollicitations (et résistance) sont calculés selon un modèle structural adapté, c'est-à-dire représentatif du fonctionnement de la structure (hyperstatisme, redistributions, plasticité ). Deux principes sont plus particulièrement applicables à la situation accidentelle d incendie (au sens large) : les conséquences d une explosion ou d un choc ne doivent pas être disproportionnées par rapport à la cause, la résistance de la structure doit être de niveau appropriée vis-à-vis de la durée de l incendie. La méthode des coefficients partiels s appuie sur la théorie de la fiabilité (voir Annexe 1), et en particulier sur un objectif de maîtrise de la probabilité de ruine de la structure pendant sa durée d utilisation (durée d utilisation de projet, qui est habituellement de 50 ans dans le cas de bâtiments courants). En alternative à la méthode des coefficients partiels, l Eurocode EN 1990 autorise le recours aux méthodes fiabilistes. Pour cela il donne des valeurs indicatives de probabilité de défaillance cible et les indices de fiabilité associés : Tableau 1 : Indices de fiabilité recommandés par l EN1990, P f = Φ(-β), avec Φ fonction de répartition de la distribution normale standard L attention est attirée sur le fait que ces valeurs sont conventionnelles utilisables en particulier pour la calibration de codes ou pour la comparaison de niveaux de fiabilité ; d autre part, ces valeurs sont des valeurs minimales pour la quantification de la fiabilité d éléments pris isolément. Lorsque l on traite de fiabilité système et non plus éléments, il est clair que la redondance de la structure intervient de façon positive dans l indice de fiabilité [38], [40]. Ainsi dans [40], la calibration du code ACI 318 a été effectuée sur des éléments isolés de dalles, poutres et poteaux, les indices de fiabilité cibles prenant en compte implicitement cet apport procuré par la redondance ouvrage, ils étaient de 2,5 pour les dalles avec possibilités de redistribution transversale, 3,5 pour les poutres et 4 pour les poteaux ; ces valeurs ont été choisies pour couvrir les incertitudes grossièrement évaluées mais également pour tenir compte des réserves de sécurité inhérentes au mode constructif pour les dalles. 139/222

140 Pour les situations accidentelles, les valeurs ci-dessus sont à adapter en fonction de la probabilité conditionnelle d occurrence de feu (P f,fi = P f / P fi ), en considérant que sur la durée de vie de l ouvrage la probabilité d évènement incendie ne doit pas conduire à une probabilité de ruine supérieure à celle acceptée pour les autres évènements. 1.3 Calibration de la sécurité La théorie de la fiabilité (voir annexe 1) est utilisée de plus en plus fréquemment pour la calibration de codes de calcul de génie civil ; on peut citer en particulier : la calibration du code Danois en 2000 [36], la recalibration de l ACI 318 [40], les méthodologies et outils de calibration développés par le «Joint Committee for Structural Safety» [39]. Des études d optimisation des coefficients de sécurité ont également été menées [35]. Les points communs de ces différents travaux sont : la définition de niveaux de fiabilité cible en s appuyant sur le niveau donné par le code actuel (niveau moyen ou classe de niveau), l utilisation d un ensemble de modèles structuraux représentatifs et dimensionnés à la limite du code. En ce qui concerne la fiabilité en cas d incendie, une première difficulté réside en la définition du niveau de sécurité actuel donné par l application du code prescriptif de dimensionnement des structures en situation d incendie ; si on transpose les travaux menés pour les calibrations de codes au cas de l incendie, l architecture des calculs à mettre en œuvre peut être décrite par le schéma ci-après : Modèle stochastique développement du feu : - charge incendie - géométrie, matériaux - ventilation Dimensionnement déterministe initial Modèle stochastique thermo - mécanique : - actions permanentes et variables - propriétés mécaniques - (propriétés thermiques) Modèle de développement du feu (par exemple : modèle à 1 ou 2 zones) Outil d analyse fiabiliste Modèle de comportement thermo mécanique (par exemple calcul par éléments fins) Index de fiabilité β 140/222

141 Ce schéma montre comment accéder à l indice de fiabilité structurale associé à un dimensionnement en couplant les modèles stochastiques liés aux incertitudes sur le développement du feu et aux incertitudes sur la réponse de la structure ; il peut être appliqué à un élément ou ouvrage conforme à la règlementation prescriptive ou issu de l application de méthodes déterministes d ingénierie de sécurité incendie. Le calcul de la probabilité de défaillance (P f ) ou de l indice β doit être associé à un critère de ruine, par exemple : la rupture d un élément de structure pendant l incendie, la déformation excessive de ce dernier avant l extinction du foyer. 1.4 Méthodes numériques pour la détermination de l indice de fiabilité et la probabilité de ruine Les méthodes disponibles pour estimer la probabilité de ruine P f peuvent être classées en deux groupes : les méthodes des moments et les méthodes par simulation. Dans le premier cas il faut estimer les moments de la fonction de base g(x) en un point approprié. Les approches itératives proposées dans la littérature sont nombreuses. On compte ainsi principalement la méthode de fiabilité de premier-ordre (FORM), la méthode de fiabilité de deuxième-ordre (SORM) ainsi que leurs dérivées et d autres méthodes particulières de premier ou de deuxième ordre qui exploitent les moments statistiques d ordre 3 ou 4 comme la méthode FOTM (First Order Third Moments) ou la technique de standardisation des ordres élevés (HOMST). La figure 3 propose une structuration générale des méthodes approximatives d analyse de fiabilité qui vont être brièvement décrites ci-après. Méthodes approximatives d'analyse de fiabilité Simulation Gradient Monte Carlo (MCS) Méthodes numériques Méthodes des moments statiques Tirage d'importance (EST) Directionnelle (DS) RSM PEM FORM SORM HOMST FOTM Conditionnelle (CS) FOSM ASM Fig. 3 : Arbre des méthodes approximatives d analyse de fiabilité d après Yarahmadi-Bafghi (2003) [22]. Le développement de la méthode FORM a commencé dans les années 70. Elle couvre la méthode des deuxièmes moments de premier-ordre (FOSM) et la méthode avancée des deuxièmes moments (ASM). La méthode ASM inclut des corrections apportées par Hasofer et Lind (1974) [3], Rackwitz et Fiessler (1978) [2] et d'autres auteurs sur la méthode FOSM. L approximation de l'état limite au point dit de conception par une ligne droite ou un plan est une étape qui entraîne des erreurs dans l'analyse FORM, dont la magnitude dépend du degré de non-linéarité de l'équation d'état limite. C est la 141/222

142 raison pour laquelle ont été développées les méthodes de moments aux ordres plus élevés comme la méthode SORM développée par Ang (1974) [12] et Fissler et al. (1979) [13]. Dans la méthode SORM, un polynôme d'ordre parabolique, quadratique ou supérieur est employé pour décrire la surface d état limite, au niveau du point de conception. Pour l'approximation de la distribution d'une fonction de base par ses moments d'ordre supérieurs, une évaluation optimale des intégrales de convolution employant les moments d'ordre supérieur de la fonction de base a été développée par Grigoriu et Lind (1980) [14]. L'amélioration de la méthode FORM par l emploi des moments d'ordre élevé a été essayée et a conduit à la méthode de fiabilité des troisièmes moments de premierordre (FOTM) (Tichy, 1994) [15] et une technique de standardisation des moments d ordre supérieurs (HOMST) (Ono et Idota, 1986 [16]). Ces deux méthodes reposent sur le développement en série de Taylor de premier ordre de la fonction de base au point de conception, aussi les résultats dépendent de la recherche réussie du point de conception (Zhao et Ono, 1999 [17]). La méthode FOTM repose sur les troisièmes moments de la fonction de base et sur l hypothèse que la fonction de base centrée et réduite suit une loi log-normale. La méthode HOMST fait intervenir les moments de quatrième ordre de la fonction de base pour la transformer en variable normale centrée réduite et calculer l indice de fiabilité. Les méthodes des moments d'ordre élevé mènent à une meilleure approximation mais qui n'est généralement pas considérée comme nécessaire pour la majorité des applications. Dans la pratique il est difficile et parfois impossible de donner une description analytique du système étudié. Par conséquent, l'analyse de fiabilité de ce système ne peut être faite qu au moyen d'algorithmes numériques. La méthode RSM proposée et développée par Wong (1984) [19] et Bucher-Bourgund (1990) [20] pour l approximation de la fonction de base au point de conception par un polynôme de premier ou de second ordre des variables de base permet d évaluer le gradient. La PEM est une méthode approximative proposée par Rosenblueth (1981) [21] qui permet d estimer les deux premiers moments d'une fonction de base à partir des deux premiers moments des variables aléatoires de base. Les méthodes de simulation reposent sur le principe de la fabrication d'un ensemble synthétique de réponses à partir duquel la probabilité de ruine peut être estimée : P f N N f où N f est le nombre de réponses se situant dans le domaine de ruine et N le nombre total de réponses. La technique la plus simple est la méthode de Monte-Carlo (MCS) qui consiste à tirer au hasard des valeurs numériques des variables de base en résolvant les problèmes structuraux résultant de leur combinaison aléatoire. Le coût d exploitation de cette méthode est très élevé en raison du nombre de simulations nécessaires (approximativement égal à 100/P f ) pour obtenir une approximation satisfaisante de Pf. Des méthodes spéciales, telles que la simulation conditionnelle (CS), le tirage d'importance (EST) et la simulation directionnelle (DS) ont été proposées, pour réduire le nombre de simulations à réaliser. Le choix de la méthode stochastique à utiliser dépend du degré de précision et de la rapidité désirés. La figure 4 ordonne de façon qualitative les méthodes d analyse de la fiabilité mentionnées en fonction de leur précision et rapidité. 142/222

143 Fig. 4 : Performance des méthodes pour l'analyse de fiabilité (d après Bucher et al., 2000, Yarahmadi-Bafghi (2003) [22]) Champ d'application de la méthode FORM D après Baecher (1998) [18], les conditions dans lesquelles les analyses de fiabilité réalisées avec la méthode FOSM donnent un FOSM précis, invariant et ayant un lien explicite à P f, sont les suivantes : Le critère de ruine est une combinaison linéaire des variables de base ; Les variables sont faiblement corrélées ; La densité de probabilité des variables de base peut être estimée par une densité normale multidimensionnelle. Cette méthode fournit une bonne approximation si la fonction g(x) est presque linéaire et si l'incertitude des variables composantes est petite, par exemple si leur coefficient de variation est inférieur à 15 %. Autrement, les résultats peuvent être imprécis ou difficiles à justifier. Plus généralement, Zhao et Ono (1999) [17] ont mentionné que les méthodes FORM n étaient précises que dans le cas où le rayon de courbure de la fonction de base était très grand et que la fonction de base n était constituée que d un petit nombre de variables aléatoires. Simulations de Monte-Carlo (MCS) La méthode de Monte-Carlo, sous sa forme classique, permet une utilisation simple dans plusieurs domaines techniques. Elle dispense d une préparation et, de ce point de vue, elle conduit à une économie de réflexion. Cependant, elle est très consommatrice de calcul, sans apporter la certitude de pouvoir conclure. Le principe général de la méthode consiste à simuler des relations de l état limite et à compter le nombre des événements de défaillance obtenus. Si N est le nombre des simulations, on admet que la fréquence des événements de défaillance tend vers probabilité de défaillance lorsque n : P f = lim nombre des événements où Z 0 nombre total des événements simulés n. Une telle procédure présente l intérêt de la simplicité, à condition de savoir simuler une variable de loi donnée, mais possède une convergence très lente, d autant que le nombre des simulations doit être très supérieur à l inverse de la probabilité de défaillance. La convergence est donnée par la formule de Shooman [23] : ~ 1 Pf % erreur = 200 ~ N P f 143/222

144 où P ~ f est la fréquence estimée de P f et N est le nombre de simulations. Cette erreur correspond à une probabilité de 95 % que la valeur exacte de P appartient à l intervalle P ~ f (1 ± % erreur), c est l intervalle de confiance à 95 %. Pour cette étude, l erreur relative est prise inférieure à 1 %. Méthode de surface de réponse (RSM) RSM (Response Surface Method) est une méthode particulièrement intéressante quand il n est pas possible d évaluer analytiquement la fonction d état limite, par exemple une fonction d état limite qui fait intervenir des calculs numériques par la méthode des éléments finis. En effet, la méthode RSM permet de construire des expressions analytiques des surfaces de réponses suivant un certain nombre de plans d expériences. Des méthodes permettent de vérifier la cohérence et la validité des surfaces ainsi construites. Une fois les surfaces vérifiées et validées, la probabilité de défaillance se calcule sur la base du modèle analytique construit à partir de ces surfaces de réponses. Ce qui permet de réduire considérablement le temps de calcul tout en ayant une meilleure approximation de P f par rapport à celle obtenue avec FORM. La figure suivante illustre le principe de la méthode RSM : f Fig. 5 : Principe de la méthode RSM d après Lemaire 2005 [23]. 144/222

145 2 Modèle stochastique : variables aléatoires dans le cadre de l objectif de sécurité structurale 2.1 Densités de charge calorifique Le modèle généralement adopté pour les charges calorifiques est une loi de valeurs extrêmes (distribution de Gumbel) ; les densités de charge calorifique q f,k [MJ/m 2 ] selon différents types d occupation, pour une valeur moyenne et une valeur raisonnablement pessimiste assimilée au fractile 90 % sont données dans la référence [29]. Il convient de signaler une variabilité importante des ces valeurs selon les pays ou les sources [28] [38]. Type d occupation Moyenne [MJ/m 2 ] Dispersion q f,k [MJ/m 2 ] (quantile à 90 %) Logement Hôpital Hôtel (chambre) Bureau Bibliothèque de bureau - Archives de bureau (*) Salle de réunion / conférence Classe d école Centre commercial Théâtre (cinéma) Transport (espace public) (*) pour une hauteur de stockage de 3 m Tableau 2 : Densités de charge calorifiques retenues dans le cadre de l EN et de son annexe nationale française 145/222

146 2.2 Modèles de charge pour les bâtiments Les calculs de dimensionnement en situation d incendie se font à partir d une combinaison réduite des charges permanentes et d exploitation dite combinaison fréquente. Celle-ci est sensée correspondre au niveau de chargement de la structure qui n est dépassée que sur une durée cumulée n excédant pas 5 % de la durée de vie de l ouvrage durant cette même période ; d un point de vue stochastique, le modèle doit comporter une variable aléatoire représentative du poids propre, une variable aléatoire représentative de la partie quasi permanente des charges d exploitation et enfin une variable aléatoire représentative de la partie variable des charges d exploitation. Le choix de variables aléatoires cohérentes avec les valeurs de dimensionnement est délicat : les données accessibles concernent principalement les distributions de valeurs extrêmes sur des périodes de référence de l ordre de l année pour la partie quasi-permanente des charges d exploitation et de l ordre du mois pour la partie variable [44] [38] si on augmente la période de référence, on augmente les maximums de charge considérée, si on diminue la période de référence, la charge considérée est difficilement corrélable avec les mesures de charge disponibles. Dans la référence [[42], la période de référence choisie pour la charge variable en situation d incendie est prise égale à une journée, cette valeur semble raisonnable compte tenu de la durée d un incendie de bâtiment. Les variables aléatoires doivent être ajustées de façon à ce qu elles soient en cohérence avec les valeurs caractéristiques des combinaisons de charge : d un point de vue pratique cette cohérence peut être vérifiée par tirages de Monte-Carlo à partir d un processus de Ferry-Borges Castanheta (on considère que la durée de renouvellement entre deux valeurs successives de charge aléatoires est constante) [38] ; des processus plus complexes peuvent être utilisés pour des cas spécifiques. Vérification de la cohérence des charges variables Nous reprenons l exemple de chargement adopté dans la référence [42], il a été proposé une distribution de type Gumbel de moyenne unitaire et de coefficient de variation de 20 % pour le chargement quasi-permanent annuel (Q yearly ) et pour la partie variable journalière (Q daily ), une distribution de type Weibull de moyenne et de coefficient de variation de 99 %. En simulant par tirages jusqu à convergence la distribution des valeurs maximales sur une période de référence d une année de la combinaison de ces deux chargements Q Max Max 1an Qdaily Qyearly y, il est facile de déduire la valeur caractéristique des charges variables, prise égale au fractile à 98% [24]. Cette simulation a été réalisée à l aide du logiciel de calcul formel Mathematica. La densité de probabilité résultante est donnée dans la figure qui suit : 146/222

147 Fig. 6 : Densité de probabilité des valeurs maximales sur une année de la combinaison des charges Q yearly et Q daily : Q y Max Max1 an Q daily Qyearly ; le fractile à 98 % vaut 2.7. De même on peut bâtir la distribution des maximums journaliers Q d, en agrégeant jusqu à convergence les tirages sur un an de la variable Q daily avec un tirage de la variable Q yearly. Une fois que la densité de probabilité de cette distribution est obtenue on peut déduire les fractiles correspondant aux combinaisons fréquentes en quasi-permanentes : Le produit 1.Q k correspond à la valeur de la charge variable qui n est dépassée que 5 % du temps pendant la durée de vie de l ouvrage [24], ainsi on l assimile au fractile à 95 % de la distribution des maximums journaliers Q d.q k = Fractile 95 % (Q d ) 1 Le produit 2 Q k représente de la même manière le fractile à 50 % de la combinaison de la distribution des maximums journaliers Q d 2.Qk =Fractile 50% (Q d ) Fig. 7 : Densité de probabilité des valeurs maximales journalières Q d de la combinaison des charges Q yearly et Q daily ; le fractile à 50% vaut 1.1 le fractile à 95 % vaut 1.6. On obtient donc pour l exemple traité : = 1,6/Q k = 1,6/2,7 0,6 1 et 2 = 1,1/Q k = 1,1/2,7 0,4 147/222

148 Ces valeurs sont à comparer aux valeurs reconnues (adoptées) pour l utilisation du bâtiment ; ainsi si on se réfère à [25], [26] les valeurs précédentes sont légèrement du côté de la sécurité pour une utilisation de bureau. Pour les simulations stochastiques, il est ainsi possible de représenter les charges d exploitation par : deux variables aléatoires indépendantes représentatives de la partie quasi permanente et de la partie variable de la charge, (Q yearly et Q daily dans l exemple précédent), une variable aléatoire bâtie sur la combinaison des deux variables précédentes, (Q d dans l exemple précédent). 2.3 Incertitudes de modèles Les modèles utilisés pour décrire les phénomènes physiques (développement du feu et transferts thermiques, actions mécaniques sur les structures, résistance des structures) constituent une approche de la réalité, il convient d apprécier et de prendre en compte les incertitudes vis-à-vis de leur capacité à décrire les situations. Dans les modèles déterministes, la solution adoptée consiste à appliquer un coefficient permettant de se situer raisonnablement du côté de la sécurité, ces coefficients sont appelés coefficients de modèles [25], ainsi dans [27], pour déterminer la valeur de calcul de la charge incendie par la méthode des coefficients de sécurité, on introduit un coefficient pour tenir compte des incertitudes des modèles de calcul liés à l action de l incendie, ce coefficient γ Sd est pris égal à 1,05, en référence aux recommandations présentées [24] (qui traite des actions mécaniques : poids propre, charges d exploitation, et non pas des actions thermiques). Dans le cas d une simulation stochastique, les coefficients d incertitude de modèle peuvent être transposés en variables aléatoires additionnelles traduisant la variabilité des fonctions d état limite ; on trouve dans la référence [32], les valeurs suivantes pour ξ R (modèle de résistance) et ξ E (modèle d effet des actions) : Variable Valeur moyenne Ecart type ξ R, situation à 20 C 1 (Normal) 0,1 ξ R, situation incendie 1 (Normal) 0,15 ξ E 1 (Normal) 0,1 Tableau 3 Dans la référence [37] les mêmes auteurs (MM. Schleich et Holicky) proposent des valeurs différentes : Variable Valeur moyenne Ecart type ξ R, situation incendie 1,1 (Normal) 0,05 ξ E 1 (Normal) 0,1 Tableau 4 On trouvera des valeurs détaillées en fonction des types de ruine (hors incendie) dans la référence [38]. Ces différents éléments permettent de situer les ordres de grandeur des incertitudes de modèles à adopter dans une modélisation stochastique ; ils montrent aussi qu il est difficile en l état actuel d établir des valeurs de référence. 148/222

149 Exemple de calcul : niveau de fiabilité d une section en béton armé Le but de cet exemple est de démontrer la faisabilité de la mise en œuvre des méthodes identifiées en 1.4 pour évaluer le niveau de fiabilité procuré par différents niveaux de résistance au feu selon la courbe ISO vis-à-vis d un contexte décrit par un modèle de feu paramétré ; le niveau de fiabilité procuré par un dimensionnement selon un modèle de feu paramétré est aussi évalué. On considère une salle de réunion de dimension 7 m x 21 m ; le plancher supérieur est composé de poutres en béton armé ou en acier supportant une dalle de béton armé. On s intéresse à la tenue mécanique et au dimensionnement des poutres. La méthode de calcul tient compte d un poutre avec une dalle supérieure, où la partie comprimé est la table de compréssion. Le choix d une salle de réunion constitue un exemple avec une charge calorifique modérée par rapport à l ensemble des situations possibles, une dispersion importante de l indice de fiabilité procuré par la règlementation est prévisible compte tenu des couples charge calorifique caractéristique résistance au feu prescrite. Dans le cadre de cette étude, nous avons utilisé deux modèles de développement d un feu généralisé : 1. courbes température temps conventionnelles (Feu ISO), 2. feu paramétré. La courbe ISO est utilisée uniquement pour le dimensionnement d une structure, tandis que la courbe paramétrée est utilisée pour le dimensionnement ainsi que pour la définition d un feu dépendant de paramètres physiques aléatoires. Le modèle «feu paramétré» est un modèle explicite considéré comme très simpliste, des limites d utilisation contraignantes lui sont associées ; par la suite il est tout à fait envisageable d utiliser des modèles implicites tels que les modèles à zones. Les modèles de comportement mécanique sont également simplifiés et ne s intéressent qu à la résistance d une section ; ils sont utilisés à la fois pour le dimensionnement et pour l évaluation de la fiabilité à l aide des variables aléatoires, aussi leur influence sur les résultats est faible. Par la suite il est souhaitable d utiliser un modèle représentatif des méthodes de calcul usuelles pour la partie dimensionnement et un modèle prenant en compte le comportement de la structure pour la partie évaluation de la fiabilité. 2.4 Modèle de feu et actions thermiques Feu paramétré Dans le cas d une salle de réunion, la densité de charge calorifique est fixée à 410 MJ/m² [29]. L absorptivité thermique est fixée à 1160 J/m 2 s 1/2 K. Le facteur d ouverture, calculé à l aide de l Eurocode 1, est donné dans le tableau ciaprès en fonction des hypothèses sur les portes et les fenêtres : tout ouvert portes fermées fenêtre fermées A v 20,6 12,6 8 H 2,71 2,8 2,5 A t 473,2 473,2 473,2 149/222

150 Température ( C) tout ouvert portes fermées fenêtre fermées 0,07 0,04 0,03 Tableau 5 : Facteur d ouverture Nous avons considéré le cas où les fenêtres sont ouvertes (fenêtres non résistantes au feu) et les portes fermées, soit : O = 0.04, des calculs ont également été effectués avec un facteur d ouverture égale à 0.07, correspondant à la totalité des ouvertures. Les courbes de feu paramétré avec les valeurs caractéristiques sont tracées sur la figure suivante , O=0.04, qfd=410 Feu ISO O=0,07,qfd= Temps (s) Fig. 8 : Feu paramétré A titre d information, un calcul a également été mené avec une charge calorifique caractéristique de 750 MJ/m², correspondant à une occupation de bureau. Actions thermiques Pour la section de béton, les actions thermiques sont définies en calculant l échauffement dans la section conformément à l Eurocode 2 partie feu [[30], la température des gaz est prise égale à la température donnée par le modèle de feu paramétré ou par la courbe ISO. 150/222

151 2.5 Actions mécaniques La poutre isostatique de longueur L, à laquelle on applique un chargement mécanique, caractérisé par le chargement d exploitation Q k et le chargement permanent G k. (cf. Fig. 26) Fig. 9 : Chargement mécanique et thermique Le moment sollicitant à froid est donné par : M ed. G G k. Q Q k 2 L 8 G, Q sont les coefficients de sécurité. G Q Le moment sollicitant en situation accidentelle d incendie est donné par : M 2 L 8 G Q 0. 5 ed, fi k 11. k 11 Nota : la valeur de ψ 11 = 0,5 utilisée dans les calculs est inférieure à la valeur retenue pour la France (ψ 11 = 0,7), l adoption de cette dernière valeur conduirait à des niveaux de fiabilité légèrement plus élevés. Caractéristiques adoptées : Portée : L = 7m. L entraxe des poutres est supposé égal à 3 m. D où pour une charge uniforme de 2.5 kn/m², Q k = (3 m) x (2.5 kn/m 2 ) = 7.5 kn/m. Une dalle en béton armée repose sur la poutre. Les hypothèses de dimensionnement sont rassemblées ci-après : Poutre béton armé Portée L (m) 7 f yk (MPa) 500 G k (kn/m) 20 Q k (kn/m) 7,5 Tableau 6 151/222

152 2.6 Dimensionnement en flexion d une poutre en béton armé Les calculs mécaniques simplifiés consistent en l évaluation de la capacité portante à partir du calcul du moment résistant de la section à mi-travée. Moment résistant à froid Le dimensionnement est effectué à l ELU : Fig. 10 : Notations utilisées pour les calculs de flexion simple à l ELU. b et h sont la largeur et la hauteur de la section de béton. A s est la section d acier, dont le centre de gravité est positionné à d de la fibre la plus comprimée du coffrage. y u est la position de l axe neutre par rapport à la fibre la plus comprimée du coffrage. est la valeur de la contrainte de calcul des aciers, limitée à f. st Le moment résistant à froid ( M rd su ) s écrit en fonction de la section des aciers (A s ), de la distance de leur centre de gravité par rapport à la paroi (a) et de la hauteur de la section du béton (h) comme suit : M rd f γ yk s.ζ.α s Α f Z γs s yk Section de l' acier Limite élastique de l' acier 0. 9 h-a Bras de levier /222

153 Moment résistant à chaud Le moment résistant à chaud ( suit : M f.ζ.α. k avec rd, fi yk y s y Fig. 11 : Section d une poutre en béton armé M rd, fi ) d une section en béton armé s écrit comme k facteur de réduction de la limite élastique de l acier à la température donné par le tableau 3.1 de l Eurocode 2 partie 1.2 [30] : Θ k y θ ,78 0,47 0,23 0,11 0,06 0,04 0,02 0 Tableau 7 : facteur de réduction de la limite élastique de l acier en fonction de la température. L interpolation des valeurs figurant dans le tableau 1 nous amène à déduire l équation suivante : k y ( ) 0, e a ,19 1 3,833 Optimisation du dimensionnement d une section en béton armé Le but est de déterminer la section de béton (h et b), la section des aciers (A s ) ainsi que la distance entre le centre de gravité des aciers et les parois de la section (a) permettant d égaliser le moment appliqué et le moment résistant de la section à la fois à froid et à chaud, d où : M M ed ed,fi M M rd rd,fi 2 L yk. G. Q. 0. 9h-a G G. Q f. 0. 9h-a k k Q 11 k k 8 2 L 8 f γ yk s.α s s.α. k y 153/222

154 ce qui est équivalent à : k Α y s k Α min y min s 1 Gk k. 11 Q. G. Q s 5 36 L 2 G k f Q. G. Q G yk k Q k h a k s Pour une section de béton fixée, le problème de dimensionnement revient donc à calculer la surface minimale des aciers (A s ) ainsi que la température maximale que les aciers ne doivent pas dépasser : max k 1 y k min y Avec f yk = 500 MPa et une section béton : b=0.40 m, h=0.6m on obtient les valeurs suivantes : k Α min y min s a m 2 Αs max min k -1 y ( ) 572 C a m 2 ( a en m) Dimensionnement avec le feu paramétré Le chargement thermique a été appliqué à la section en béton de dimensions 40 cm x 60 cm. Feu paramétré avec les valeurs caractéristiques Fig. 12 : Simulation par éléments finis d une section en béton soumise à un feu paramétré avec (q f =410 MJ/m 2, O=0.04, b=1160 J/m 2 s 1/2 K) 154/222

155 L isotherme à 572 C des températures maximales atteintes pendant la durée de l incendie dans les fibres est tracée sur la figure 13. Pour placer les aciers sur l isotherme à 572 C afin que le dimensionnement soit juste, la distance a doit être prise égale à m. D où, la section des aciers A s doit être égale à 10,50 cm 2. Fig. 13 : Détermination de l isotherme à 572 C et calcul de a et As pour un feu paramétré Dimensionnement avec un feu ISO 60 min : Étant donné que la courbe ISO est toujours croissante, la température maximale dans le gaz, et par conséquent dans les fibres de béton aussi, est atteinte pour t=1h. max ( t 1H ) C (Cf. Fig. 25) gaz La figure 14 montre l isotherme des températures dans les fibres de béton pour t=1h. à partir de cette figure, il est facile de conclure que : a = m, d où : A s = 1059, m 2 155/222

156 (a) Carte des températures à t=1h (b) Isotherme à 572C pour t=1h Fig. 14 : Détermination de l isotherme à 572 C et calcul de a et A s pour un feu ISO 1H Dimensionnement avec un feu ISO 90 min : Pour un feu ISO 1.5H, la température maximale des gaz est : max ( t 1.5H ) 1006C (Cf. Fig. 25) gaz En examinant l isotherme à déduire que : a = m A s = 1078, m 2 572C à l instant t=1.5h (cf. Fig. 15), il est facile de Fig. 15 : Détermination de l isotherme à 572 C à t=1.5 H et calcul de a et A s pour un feu ISO 1.5H 156/222

157 Dimensionnement avec un feu ISO 120 min : L isotherme à 572C à l instant t=2h, nous permet de déduire que : a = m A s = 1098, m 2 Fig. 16 : Détermination de l isotherme à 572 C et calcul de a et A s pour un feu ISO 2H Les résultats des dimensionnements pour les deux poutres sont rappelés dans le tableau qui suit. Feu paramétré Chargement Thermique Feu ISO 1H Feu ISO 1,5 H Feu ISO 2H Section du béton 0,4x0,6 m 2 0,4x0,6 m 2 0,4x0,6 m 2 0,4x0,6 m 2 Section des aciers A s 1050,4 1059,7 1078,8 1098,6 (mm 2 ) Distance a (m) Tableau 8 L attention est attirée sur le fait que les sections d acier ainsi déterminées correspondent au calcul limite, le choix de diamètres normalisés pour assurer une section d acier au moins égale conduit à une sécurité supplémentaire. 2.7 Fonction d état limite g. M. k R r y 2 L O, q f, bs G Q 8. M r f y 0. 9 h-a.αs avec R : Incertitude de modèle sur la résistance S : Incertitude de modèle sur la sollicitation et Q est la charge d exploitation 2.8 Variables aléatoires Les variables aléatoires retenues dans le cadre des modèles simplifiés sont décrites dans le tableau suivant. Tous les paramètres ne sont pas représentés sous forme de variables aléatoires, en particulier, les paramètres de transfert thermique sont pris égaux aux valeurs de calcul (valeurs pessimistes) ainsi que la position des armatures (valeurs moyennes). 157/222

158 Atf AAft résistance armature Variable de base X Mr = 0.9(h-a)As fy Distribution Fractile Lognormale 5% Valeurs Coef. de caractéristiques variation 0.9(h-a)As fyk (f yk =500 MPa) 0.1 charge calorifique q f Gumbel 90% 410 / / 0.5 effusivité b =.c. Lognormale 50% facteur d'ouverture incertitude modèle de résistance incertitude effet des actions O Lognormale 50% 0.04 / Constante / ξ R Normale 50% ξ S Normale 50% poids propre G Normale 50% G k 0.1 En ce qui concerne la charge d exploitation, nous avons comparé trois modèles (voir 2.2) : 1. Utilisation de deux V.A. représentatives de la charge d exploitation (Background de l Eurocode 1 parie 1.2 [42]). 2. Utilisation d une V.A. combinaison des deux précédentes, représentative des maximums journaliers. 3. Modèle de chargement simplifié selon Schleich et al. [32]. Utilisation de deux V.A. représentatives de la charge d exploitation Pour ce qui concerne l exemple que nous traitons, la valeur de la charge caractéristique vaut 7.5 kn/m. Il a été donc nécessaire d adapter les valeurs moyennes proposées dans la référence [[42] des charges Q yearly et Q daily afin que le fractile à 98 % des valeurs maximales sur une année de la combinaison des charges qui représente la valeur de la charge caractéristique - soit égale à 7.5 au lieu de 2.6. Pour ce faire, il suffit de multiplier les valeurs moyennes proposées dans la référence [[42] par 7.5/2.6 tout en gardant les mêmes valeurs des coefficients de variation. Les valeurs moyennes des charges Q yearly et Q daily compatibles avec une charge caractéristique de 7.5 kn/m sont données dans le tableau qui suit : Variable de base Distribution Valeurs moyennes Coef. de variation Q yearly Gumbel Q daily Weibull Utilisation d une V.A. représentative des maximums journaliers Le modèle de chargement des valeurs maximales journalières est bâti en utilisant les V.A. précédentes, l interpolation montre qu il s agit d une loi de type Gumbel de moyenne 3,21 et d écart type 0,70. Il est facile de vérifier que le fractile à 95 % vaut 4.51 et que le fractile à 50 % vaut 3,1. Ainsi, = 4,51/Q k = 4,51/7,5 0, /222

159 et 2 = 3,1/Q k = 3,1/7,5 0,4 Modèle de chargement simplifié selon Schleich et al. Le chargement appliqué est divisé en deux parties indépendantes : une partie modélisant le chargement à long terme (Q long ) et une partie pour le chargement à court terme (Q court ). Les distributions associées à chacun des deux chargements sont données dans le tableau qui suit : Variable de base X Distribution Fractile Valeurs Coef. de caractéristiques variation Q long Gumbel 95% ¾.Q k 0.5 Q court Gumbel 95% ¼.Q k 0.9 Afin de calculer 1 et 2 qui correspondent au modèle de chargement proposé dans Schleich et al., nous avons fait l hypothèse que le chargement à court terme (Q court ) correspond à un chargement journalier et que le chargement à long terme (Q long ) correspond à un chargement annuel Fig. 17 : Densité de probabilité des valeurs maximales sur une année de la combinaison D Max Max Q ). des charges Q long (=Q yearly ) et Q court (=Q daily ) ( Le fractile à 98 % vaut an daily Q yearly /222

160 Fig. 18 : Densité de probabilité simulée du modèle de chargement des valeurs maximales journalières (Q yearly = Q long et Q daily =Q court ). Le fractile à 95 % vaut 6,39 et le fractile à 50 % vaut 3,31 Les valeurs de 1 et 2 sont déduites à partir des figures 17 et 18 : 1 = 6,39 / 10, = 3,31 / 10, Résultats : Fiabilité des éléments en béton armé dimensionnés avec un feu ISO Les résultats sont obtenus à l aide du logiciel de calculs de fiabilité NESSUS couplé avec le code de calcul par éléments finis SAFIR. À noter que la valeur de la probabilité de défaillance P f obtenue par surface de réponse (RSM) est différente de la valeur estimée par FORM ( ) : P f ( ) Ceci s explique par le fait que la surface limite est fortement non linéaire au voisinage du point de conception P* (le point de défaillance le plus probable) Utilisation de deux V.A. représentatives de la charge d exploitation Utilisation d une V.A. représentative des maximums journaliers Modèle de chargement simplifié selon Schleich et al. FORM RSM 1 1 ISO 2H (q fk =410, O k =0,04) 3,20 6,96E-04 2,91 1,79E-03 ISO 1,5H (q fk =410, O k =0,04) 2,71 3,39E-03 2,73 3,17E-03 ISO 1H (q fk =410, O k =0,04) 1,92 2,77E-02 1,78 3,77E-02 ISO 2H (q fk =410, O k =0,04) 3,20 6,89E-04 2,93 1,70E-03 ISO 1,5H (q fk =410, O k =0,04) ISO 1H (q fk =410, O k =0,04) 1,92 2,76E-02 1,79 3,69E-02 On constate que la méthode de calcul par surface de réponse (RSM) conduit systématiquement à des résultats plus pénalisants (en terme de probabilité de ruine) que la méthode FORM, l écart est d autant plus grand que la fiabilité est élevée (cas des éléments dimensionnés pour une résistance ISO de 120 minutes), les résultats P f FORM RSM 1 1 ISO 2H (q fk =410, O k =0,04) 3,12 9,04E-04 2,85 2,22E-03 ISO 1,5H (q fk =410, O k =0,04) 2,68 3,64E-03 2,67 3,81E-03 ISO 1H (q fk =410, O k =0,04) 1,90 2,89E-02 1,75 3,97E-02 P f FORM RSM 1 1 P f P f P f P f P f P f P f 160/222

161 sont cependant du même ordre de grandeur. Les différents modèles utilisés pour les charges d exploitation conduisent à des résultats pratiquement identiques. Le tableau suivant présente des calculs complémentaires effectués : avec un facteur d ouverture plus élevé, avec une charge calorifique plus élevée. FORM RSM 1 1 ISO 1,5H (q fk =410, O k =0,07) 3,10 9,58E-04 2,84 2,26E-03 ISO 1,5H (q fk =740, O k =0,04) 1,25 1,05E-01 1,15 1,24E-01 On constate une dispersion, prévisible, de la fiabilité d éléments dimensionnés selon la courbe ISO en fonction du type de feu (sur ou sous ventilé) et surtout de la charge calorifique liée à l activité. Le facteur d ouverture «O» peut être utilisé pour simuler différents scénarios d incendie, Il serait ainsi intéressant d établir le niveau de fiabilité sur l ensemble des scénarios plausibles lorsque le dimensionnement est fixé soit par une exposition ISO règlementaire ou par un scénario «majorant». P f P f P f 2.10 Résultats : Fiabilité d éléments en béton armé dimensionnés avec le modèle de feu paramétré Utilisation de deux V.A. représentatives de la charge d exploitation Indice de fiabilité : Utilisation d une V.A. représentative des maximums journaliers Indice de fiabilité : Feu naturel (q fk =410, O k =0,04) béton armé FORM RSM 1 1 Feu naturel (q fk =410, O k =0,04) béton armé - 1,50 6,73E-02 1,35 8,86E-02 FORM RSM E P f P f 1 1 P f P f P f 8.76E-02 P f Modèle de chargement simplifié selon Schleich et al. Indice de fiabilité : Feu naturel (q fk =410, O k =0,04) béton armé FORM RSM 1-1,48 6,94E-02 1,33 P f P f 9,15E-02 1 Les écarts constatés entre les deux méthodes de calcul sont similaires au cas précédent ; on constate que, pour le cas traité, un dimensionnement avec un modèle de feu paramétré conduit à un indice de fiabilité β voisin de 1,5. Les 161/222

162 différents scénarios correspondant à une même occupation conduiront à une certaine dispersion du niveau de fiabilité. Les différents résultats obtenus précédemment sont à prendre à titre d illustration de la méthode de calcul ; en effet ils ont été obtenus sur un cas simple loin d être exhaustif des différentes situations, il ne faut pas tirer à ce titre de conclusions quant à la comparaison des résultats obtenus, notamment entre dimensionnement selon un feu ISO et dimensionnement selon un feu paramétré Facteurs d importance des variables pour des éléments en béton armé Les tableaux qui suivent présentent les coefficients de sensibilité des différentes variables aléatoires, dans le cas présenté précédemment (Fiabilité d éléments en béton armé dimensionnés avec le modèle de feu paramétré - modèle de chargement simplifié selon Schleich et al., méthode FORM) Béton armé O b q f fyk G Q long Q court R S La variable dominante est la charge incendie ; les incertitudes de modèles à la fois pour la résistance et pour l effet des actions ont un poids important, ainsi que la résistance mécanique et le poids propre. Il semble que l inertie thermique du béton conduise à une incidence faible du facteur d ouverture «O» et de l effusivité «b», ces paramètres peuvent ainsi être déterministes dans le cas de matériau à forte inertie. De même, pour cette application les charges d exploitation Q ont peu d influence et pourraient être fixées à leur valeur moyenne dans le calcul fiabiliste. Cette analyse permet de simplifier le modèle stochastique, démarche nécessaire en contrepartie d une complexification des modèles physiques. 162/222

163 3 Conclusions Après une revue des moyens disponibles pour l évaluation de la sécurité structurale, la faisabilité de la mise en œuvre des méthodes fiabilistes telles que décrites dans le corpus des Eurocodes a été éprouvée sur un exemple de local avec une charge calorifique modérée de type «salle de réunion». Comme toute méthode d évaluation quantitative, les résultats dépendent grandement de la qualité des informations concernant les paramètres d entrée, il faut noter à cet égard que la variabilité des paramètres est parfois mal connue (en particulier pour la charge incendie et les incertitudes de modèles), d autre part la non linéarité des phénomènes induit certaines différences selon les méthodes stochastiques employées. Ainsi, une évaluation absolue du niveau de fiabilité est difficile, par contre ces méthodes permettent de situer la sécurité relative associée à différents dimensionnements. Les modèles de comportement mécanique utilisés influent aussi sur les résultats lorsque le modèle utilisé pour le dimensionnement diffère de celui utilisé pour l évaluation de la fiabilité. Le niveau de fiabilité procuré par l application de la règlementation actuelle peut être apprécié à l aide des méthodes décrites : les éléments constitutifs (poutres, planchers, poteaux, voiles ) d une structure dimensionnée selon la courbe ISO peuvent être introduits dans un modèle structural soumis à différents scénarii de feu naturel représentatifs associés au type d occupation et la configuration du bâtiment afin de déterminer l indice de fiabilité structurale. On peut ainsi imaginer appliquer cette méthode à un panel de cas significatif d un type d utilisation (par exemple ERP, IGH), et apprécier le niveau de fiabilité procuré par la règlementation actuelle. Ce type de démarche a été utilisé dans le cadre de la re-calibration de codes de calcul (hors dimensionnement au feu) à l étranger. Cet exercice mettra en lumière une dispersion inévitable associée à la règlementation actuelle selon les couples destination des bâtiments exigence règlementaire, et servir de base à ce titre à des ajustements éventuels, il permettra également de déterminer le niveau moyen présumé satisfaisant procuré par la situation actuelle. 163/222

164 4 Références [1] Kamien D.J. (1997). Introduction to probability and reliability in geotechnical engineering. (APPENDIX B), U.S. Army Corps of Engineering, Technical letter 30 September 1997; [2] Rackwitz R., Fiessler B. (1978). Structural reliability under combined random load sequences. Computers and Structures 1978; 9: [3] Hasofer A.M., Lind N.C. (1974). Exact and invariance Second Moment Code Format. Journal of Engineering Mechanic, ASCE 1974; 100: [4] Lemaire M. (1997). Reliability and mechanical design. Reliability Engineering & System Safety 1997; 55: [5] Rosenblatt M. (1952). Remarks on Multivariate Transformation. Ann. Math. Stat. 1952; 23. [6] D.B. Parkinson (1978), First-order reliability analysis employing translation systems. Eng. Struct ; [7] M. Hohenbichler and R. Rackwitz (1981). Non-normal dependent vectors in structural safety. J Eng Mech Div ASCE 1981; 107(6): [8] Der Kiureghian A., Liu P.-L (1986). Structural reliability under incomplete probability information. J Eng Mech ASCE 1986; 112(1): [9] Ayyub B.M., Halder A. (1984). Practical structural reliability techniques. Journal of Structural Engineering, ASCE 1984; 110(8): [10] Madsen H.O., Krenk S. Lind N.C. (1986). Methods of structural safety. Prentice- Hall Inc. Englewood Cliffs N.J [11] Nataf, A. (1962). Détermination des distributions dont les marges sont données. Comptes Rendus de l'académie des Sciences 1962 ; 225: [12] Ang A.H.S. (1974), Cornell C.A. Reliability of structural safety and design, Journal of Structural Division, ASCE 1974; 100(ST9): [13] Fiessler B., Neumann H.J., Rackwitz R. (1979). Quadratic limit states in structural reliability. Journal of Engineering Mechanic, ASCE 1979; 105: [14] Grigoriu M.,. Lind N.C. (1980). Optimal estimation of convolution integrals. Journal of Engineering Mechanic, ASCE 1980; 106(6): [15] Tichy M. First-order third-moment reliability method. Structural Safety 1994; 16: [16] Ono T., Idota H. (1986). Development of high-order moment standardization method into structural design and its efficiency. Journal of Structural and Construction Engineering 1986; AIJ 365 : [17] Zhao Y.G., Ono T. (1999) A general procedure for first/second-order reliability method (FORM/SORM). Structural Safety 1999; 21: /222

165 [18] Baecher G.B (1998). Parameters and approximations in geotechnical reliability. Uncertainty Modeling in Civil Engineering, Ed. Bilal M, Ayyub, CRC Press LLC, [19] Wong F.S. (1984). Slope stability and response surface method. Journal of Geotechnical Engineering ASCE 1984; 110: [20] Bucher C.G., Bourgund U. (1990). A fast and efficient response surface approach for structural reliability problems. Structural Safety 1990; 7: [21] Rosenblueth, E. (1981). Two-point Estimates in Probabilities. Appl. Math Modeling, Vol. 5, 1981, pp [22] Yarahmadi-Bafghi, A. (2003). «La méthode des groupes-clef probabiliste». Thèse de doctorat. Institut Polytechnique de Lorraine. [23] Lemaire M. en collaboration avec Chateauneuf A. et Mitteau J. C., «fiabilité des structures», couplage mécano-fiabiliste statique, Hermes-science, Lavoisier, 501 pages, [24] Background documentation Eurocode 1 (ENV 1991) part 1 Basis of design, JCSS, ECCS n 94, March 1996 [25] Eurocode EN 1990, «base de calcul des structures», 2003 [26] Eurocode EN 1990, «base de calcul des structures», Annexe Nationale [27] Concept de Sécurité Incendie basé sur le feu naturel, aout 2001 [28] Eurocode EN 1991 : Actions sur les structures. Partie 1-2 : Actions générales sur les structures exposées au feu, 2002 [29] Eurocode EN 1991 : Actions sur les structures, Partie 1-2 : Actions générales sur les structures exposées au feu. Annexe nationale [30] Eurocode EN 1992 : Calcul des structures en béton, Partie 1-2 : comportement au feu [31] Eurocode EN 1993 : Calcul des structures en acier, Partie 1-2 : comportement au feu [32] M. Holicky, J-B. Schleich, «Modeling of a Structure under Permanent and fire Design Situation» in Safety, Risk, Reliability Trends in Engineering, Malta 2001 [33] Lundin, J., Safety in Case of Fire The Effect of Changing Regulations, Doctoral thesis, Lund University, 2005 [34] «Fire Safety Engineering Guidance on fire risk assessment», ISO TC92/SC4/WG10 N55Rev7, 2004 [35] Precast Concrete Safety Factors, European Research Contract SMT4 CT , final report, July 2002, CERIB, on internet : [36] Sorensen J.D., Hansen S.O., Arnbjerg-Nielsen T., Partial safety factors and target reliability level in Danish codes. IABSE conference, Malta, 2001 [37] Guideline for Chemical Process Quantitative Risk Analysis. Center for Chemical Process Safety, American Institute of Chemical Engineers, New York, /222

166 [38] Joint Committee for Structural Safety - JCSS «Probabilistic Model Code», 2001, on internet : [39] Faber, M.H., Kübler, O. & Köhler, J. Tutorial for the JCSS code calibration program CodeCal [40] Szerszen, M., Nowak, A., «Calibration of Design Code for Buildings (ACI 318): Part 2 Reliability Analysis and Resistance Factors ACI Structural Journal, C. 100, N 3, May-June 2003 [41] Design of Buildings for the Fire Situation, European Leonardo Da Vinci Pilot Project CZ/02/B/F/PP , Luxembourg, October 2005 [42] Background document on Combination rules for actions according to 4.3 of pren , Profil Arbed, CEN/TC250/SC1/N337, 2001 [43] CIB Report Actions on structures Fire, publication 166, 1993 [44] CIB Report Actions on structures Live Loads, publication 116, /222

167 ANNEXE 1 Aperçu de la théorie de fiabilité L analyse de fiabilité se rapporte à un ensemble de méthodes qui gèrent les incertitudes par des probabilités et des distributions de probabilité, à travers une fonction d'exécution ou fonction dite de base ou d état limite. Dans des applications de l ingénierie sécurité incendie, les calculs de fiabilité reposent typiquement sur des probabilités ou des distributions de probabilité des propriétés de la structure (béton, acier et géométrie) ainsi que les propriétés du modèle du développement du feu et consistent à propager ces probabilités dans des modèles de calcul afin d'obtenir les probabilités ou les distributions de probabilité d'une fonction de base ou d état limite caractérisant la stabilité du système étudié. Les avantages de ce type d approche sont doubles : d une part elle permet de manipuler les incertitudes de manière rationnelle et logique dans la conception et l'évaluation et elle permet en particulier de déterminer la sensibilité des différentes variables de conception aux incertitudes. D autre part, alors que les décisions sont rarement nettes et ne sont jamais parfaites, elle fournit une base plus rationnelle à la prise de décision que dans une analyse purement déterministe. Le concept fondamental de l'analyse de fiabilité est que les facteurs de résistance et de charge sont des quantités statistiques ayant une tendance centrale (moyenne) et une dispersion autour de cette moyenne (écart-type). Dans certaines méthodes, d autres paramètres statistiques sont nécessaires pour caractériser ces quantités (telles que la dissymétrie de leur distribution statistique). À la probabilité de défaillance P f, on fait correspondre la fiabilité définie comme égale à 1-P f. Avant d entrer dans les aspects pratiques de l analyse de fiabilité, nous devons d abord présenter les concepts fondamentaux de fonction de base, de probabilité de ruine, d indice de fiabilité () ainsi que les techniques d analyse de fiabilité. Fonction de base ou d état limite La fonction de base ou fonction d état limite, dénotée g(x) où x désigne l ensemble des paramètres aléatoires d'entrée, est une fonction définie de telle manière que la ruine apparaisse quand g(x)<0. La limite définie par g(x)=0 sépare les domaines dits de sécurité et de défaillance et constitue l état limite (figure 19). Fig. 19 : Illustration de séparation des zones de défaillance et de sécurité par la fonction de bas g(x). Dans l'analyse de fiabilité d'une poutre élémentaire, le critère de ruine s identifie à la fonction de base. Cette fonction est habituellement définie comme la marge de sécurité : g( X ) R S 167/222

168 où R, S sont respectivement la résistance et la sollicitation. Probabilité de ruine Un problème fondamental de la théorie de fiabilité concerne le calcul de l'intégrale multiple de probabilité pour estimer la probabilité de ruine Pf : Pf PgX 0 f X dx gx 0 où X X X,..., 1, 2 X n dénote l ensemble des variables aléatoires, f(x) représente la fonction de densité de probabilité de X et g(x) est la fonction de base. L évaluation de cette intégrale de probabilité est difficile parce qu'elle représente généralement une quantité très petite et toute l'information nécessaire à la détermination de densité de probabilité des variables aléatoires n'est pas toujours disponible. Dans le cas spécial des systèmes simples, où on peut décrire analytiquement la distribution de la fonction de base g(x), on peut utiliser les méthodes analytiques, mais dans les cas pratiques où les densités de probabilité ne sont pas gaussiennes et que la fonction de base n est pas linéaire, la détermination de la valeur exacte de P f par des méthodes analytiques est impossible. Cette difficulté a conduit au développement de différentes méthodes d'approximation. Indice de fiabilité () L indice de fiabilité est une grandeur qui permet de porter un jugement sur la marge de sécurité en y intégrant une connaissance sur l incertitude des paramètres. Cet indice a été développé dans le calcul des structures pour fournir une mesure de fiabilité comparative, intégrant l incertitude des données sous une forme approximative, c est-à-dire sans devoir complètement connaître la distribution de probabilité de ces données mais seulement quelques unes de ses caractéristiques (typiquement, la moyenne et l écart-type). Il permet alors de calculer une probabilité de la ruine (Kamien, 1997 [1]). Géométriquement cet indice est la distance la plus courte entre l'origine et la surface d'état limite dans l espace des variables centrées réduites et décorrélées (figure 20). Il lui correspond un point appelé point de conception ou point défaillance le plus probable. Fig. 20 : Point de conception (P*) sur l état limite et l indice de fiabilité (). L'indice de fiabilité ne fournit pas une réponse directe au problème posé. Une information plus complète ou plus utile est celle de la probabilité de ruine. Dans la plupart des méthodes d analyse de fiabilité, la probabilité de ruine est définie à partir de l indice de fiabilité sauf dans les méthodes de simulation qui permettent d en estimer la valeur directement. 168/222

169 Pour des régions de sécurité convexes, la probabilité de ruine est comprise entre deux grandeurs dépendantes de l'indice de fiabilité (Rackwitz-Fiessler, 1978 [2]) : 2 2 P 1 où. 2 et. f n n sont respectivement la fonction de répartition de la loi normale centrée réduite et de la loi du 2 à n degrés de liberté. En général, comme l illustre la figure 21, la limite inférieure est une évaluation suffisamment précise de la probabilité exacte de ruine recherchée (Rackwitz-Fiessler, 1978 [2]). P f Si la fonction de base g est linéaire, cette égalité est parfaitement vérifiée. L'indice de fiabilité peut être calculé dans deux systèmes de coordonnées, le système des coordonnées initiales (x-coordonnées, défini par les variables de base) ou le système de coordonnées réduites (u-coordonnées, défini par les variables de base centrées, réduites et décorrélées). L'indice le plus utilisé a été proposé par Hasofer et Lind (1974) [3]. Ces auteurs proposent de travailler dans l'espace des variables indépendantes centrées et réduites plutôt que dans l'espace des variables physiques de base. La transformation des variables X i en variables normales U i est donnée par : U T(X ) Fig. 21 : La probabilité de défaillance. Quand les variables de base sont normales et indépendantes (non corrélées), T désigne l opération de réduction et centrage des variables u x o i i Il s agit i alors d une transformation simple et linéaire (figure 22) et la fonction d état limite s exprime alors en fonction des variables normalisées : g X g X U G U 0 Si la fonction d'état limite g est linéaire, G est également linéaire. En utilisant la propriété que la famille des distributions de probabilité gaussiennes est fermée pour les combinaisons linéaires, il peut être facilement démontré que (figure 23) : Pf n U du ( ) G( U ) 0 169/222

170 où n est la densité de probabilité d une loi normale centrée réduite à n dimensions (n étant le nombre de variables). Fig. 22 : Transformation de l espace physique à l espace normalisé (d après Lemaire, 1997 [4]). Fig. 23 : Indice de fiabilité et probabilité de ruine dans l espace normalisé des variables de base. Le problème de fiabilité (ou le calcul de la probabilité de ruine) est alors facilement résolu si nous disposons de l'indice de fiabilité. Il s agit alors d un problème classique d'optimisation sous contrainte : T Min U U sous la contrainte G( U) 0 Ce problème peut être résolu avec n'importe quelle méthode appropriée d'optimisation. Transformation Probabiliste Un point critique de l analyse fiabiliste concerne la transformation probabiliste (de Rosenblatt) des variables physiques en variables normales centrées réduites non corrélées. Cette transformation U T(X) où U désigne un vecteur normal standard à composantes indépendantes, définit la correspondance entre les variables physiques et les nouvelles variables normalisées en conservant les probabilités : P f g( X ) 0 f ( X ) dx ( U) du n g( U ) 0 où ) est la densité de probabilité d une loi normale centrée réduite à n- n (U dimensions. 170/222

171 Plusieurs transformations exactes ou approximatives ont été proposées par Rosenblatt (1952) [5], Parkinson (1978) [6], Rackwitz et Fiessler (1978) [2], Hohenbichler et Rackwitz (1981) [7] et Kiureghian et Liu (1986) [8]. Quand les variables aléatoires de base (physiques) sont indépendantes, chacune des variables peut être facilement normalisée, au moins de manière approximative, * * * autour du point de conception X 1, X 2,..., X n. Dans ce cas, la moyenne et l écarttype de la loi normale recherchée peuvent être obtenus de la manière suivante (Rackwitz-Fiessler, 1978 [2]) : N X i N X i X * 1 i f 1 i F i X * Fi X i * X i * i N X i où F(.) et f(.) sont respectivement les fonctions de répartition et de densité, non normales, de X et (.) et (.) sont respectivement les fonctions de répartition et de densité, non normales, d une loi normale centrée réduite. Quant et sont déterminées, la détermination de l indice de fiabilité () N X i N X i devient accessible. L approximation ainsi réalisée devient moins précise quand les variables de base sont fortement dissymétriques ou quand les probabilités (de défaillance) recherchées sont très faibles. Dans ce cas, l approximation en loi normale repose sur la médiane de la variable de base et la probabilité de dépassement au point de conception. On peut alors écrire (Ayyub et al., 1984 [9]) : où 1 F i est la fonction inverse de la fonction de répartition de la variable X i. On trouvera chez Ayyud et al. (1984) ou Rackwitz et Fiessler (1978) [2] des informations complémentaires concernant certains cas particuliers. Quand les variables de base ne sont pas indépendantes (corrélées), la transformation du Rosenblatt (1952) [5] est la meilleure solution (Madsen et al., 1986 [10]). Cependant, elle implique la connaissance de la densité de probabilité conjointe des variables aléatoires Xi, ce qui est rarement le cas en pratique où nous disposons, au mieux, les distributions marginales des X i et de la matrice des corrélations. Pour effectuer la transformation probabiliste, Kiureghian et Liu (1986) [8] ont proposé d'employer la méthode d'approximation donnée proposée par Nataf (1962) [11]. La Figure 24 illustre graphiquement le processus de transformation proposé par Nataf. 171/222

172 Fig. 24 : Les espaces variables dans la transformation de Nataf 172/222

173 Température ( C) ANNEXE 2 Modèles de développement du feu Feu conventionnel ISO L évolution de la température des gaz dans le compartiment en feu ( g en C) en fonction du temps t est donnée par : g = log10.(8t + 1) À noter que ce feu ISO implique une température toujours croissante quel que soit le type de bâtiments et quelles que soient les conditions de charge calorifique et de ventilation. Pour sa simplicité, toutes les réglementations européennes se réfèrent à cette courbe standard ISO pour le dimensionnement des structures vis-à-vis d un incendie Feu ISO 945, , , Temps (s) Fig. 25 : Feu ISO Feu paramétré Contrairement au feu conventionnel ISO, le feu paramétré permet de prendre en compte les paramètres physiques définissant les conditions à l intérieur d un compartiment. La prise en compte des paramètres se fait de manière simplifiée via des relations analytiques. Ce modèle de développement de feu est valable pour des compartiments ayant une surface de plancher inférieure à 500 m² et une hauteur maximale de 4 m. La courbe d évolution d un feu paramétré est caractérisée par deux phases : une phase d échauffement et une phase de refroidissement (cf. Fig. 26). 173/222

174 températures ( C) Sollicitations thermiques - courbe paramétrée exemple de feu "naturel" temps (min) Fig. 26 : Feu paramétré Phase d échauffement La courbe d évolution de la température en fonction du temps en phase d échauffement est donnée par l équation (A.1) de l annexe A de l Eurocode 1 (cas du feu paramétré) : θ g = (1-0,324.e -0,2t* - 0,204.e -1,7t* - 0,472.e -19t* ) θ g est la température en C des gaz dans le compartiment et t* = t.γ est le temps modifié en fonction du facteur d ouverture O et de l absorptivité thermique b : O b 0, b.c. est l absorptivité thermique, avec les limites suivantes : 100 b [J/m 2 s 1/2 K] ; où : ρ : la densité des parois de l enceinte [kg/m 3 ] ; c : la chaleur spécifique des parois de l enceinte [J/kgK] ; λ : la conductivité thermique des parois de l enceinte [W/mK] ; Av heq O est le facteur d ouverture, avec les limites suivantes : 0,02 O 0,20 A t [m 1/2 ] avec: A v : la surface totale des ouvertures verticales sur tous les murs [m 2 ] ; h eq : la moyenne pondérée des hauteurs de fenêtre sur tous les murs [m] ; A t : la surface totale de l enceinte (murs, plafond et plancher, y compris les ouvertures) [m 2 ] ; La durée t max de l incendie est déterminée selon la formule : 0,0002 qt, d tmax Max. tlim O 174/222

175 où q t, d est la valeur de calcul de la densité de charge calorifique ( q f, d la surface totale A t de l enceinte : q t, d q f, d A f ) rapportée à At [MJ/m 2 ] t est le temps correspondant à la durée de l incendie, lorsque le feu n est pas lim contrôlé par la ventilation. Les valeurs recommandées de t lim sont : - t lim = 15 minutes pour un feu rapide, t = 20 minutes pour un feu moyen, - lim - t lim = 25 minutes pour un feu lent. Phase de refroidissement : L évolution de la température du gaz dépend linéairement en fonction de ( t *-t * max ) : Pour t * max 0,0002 q O t, d g max 625 t * t * max. x Pour 0.5 t * max ,0002 q O t, d : avec. 2 3 t *. t * t * x g max 250 max max. x 1 pour t tlim. x pour t t * max : avec max max t t lim lim x 1 pour t tlim. x pour t t * max max max t t lim lim Pour t * max 0,0002 q O t, d g max 250. t * t * max. x. 0.5 : avec x 1 tlim. x t * max pour t pour t max max t t lim lim 175/222

176

177 Annexe D Aide au choix des solutions de mise en sécurité incendie après simulation événementielle probabiliste par les réseaux de Petri : application à un hôtel (étude de faisabilité). 177/222

178 Sommaire 1 Introduction Rappels sur l étude effectuée et sur les résultats obtenus Le bâtiment étudié et ses contraintes Descriptif des locaux concernés par le scénario d incendie dans le parking (Figure 1) Descriptif des locaux concernés par le scénario d incendie dans une chambre (Figure 2) Les simulations effectuées Les résultats obtenus pour le feu de parking Les résultats obtenus pour le feu de chambre par l approche Les résultats obtenus pour le feu de chambre par l approche Diagnostic des mesures avant travaux (stratégie A) 191 Enseignements du diagnostic Quantification des mesures de mise en sécurité envisagées par le maître d ouvrage (stratégie B) Mesures de mise en sécurité réglementaires (stratégie C) Avertisseur sonore en plus des mesures du maître d ouvrage (stratégie D) Synthèse des résultats et conclusions Aide au choix des solutions finales Les actions : Les axes de jugement et les critères Axe 1 : Sécurité Axe 2 : Fiabilité des systèmes installés Axe 3 : Coût Axe 4 : Délais de mise en œuvre Axe 5 : Potentiel de pertes Les performances proposées Les poids des critères Les types de décision possibles Résolution et propositions /222

179 4.1 Performances et matrices de décision La matrice des mesures de sécurité La matrice de décision des stratégies de sécurité Les méthodes de résolution retenues Rangement des stratégies Utilisation de la méthode ELECTRE Analyse de robustesse Conclusions sur le rangement des stratégies Critère unique de synthèse Recherche des bonnes stratégies Rangement des mesures de sécurité Conclusion générale /222

180 1 Introduction L étude réalisée s inscrit dans le cadre du Projet National Ingénierie de la Sécurité Incendie (PN-ISI) dans le but de quantifier un niveau de sécurité incendie dans un hôtel et d évaluer l influence de différentes mesures de mise en sécurité. Un hôtel du groupe ACCOR a servi de base à ce travail. Nous remercions ici le responsable de la sécurité de l hôtel objet de l étude pour le temps qu il nous a consacré. Le premier objectif de l étude consiste à mettre en œuvre une démarche (méthode) française d ingénierie de la sécurité incendie. Le second objectif recherché vise à aider le maître d ouvrage et les acteurs de la sécurité incendie à décider des mesures de mise en sécurité les plus adaptées à l hôtel objet de l étude. Le travail réalisé a permis de mettre en œuvre, pour le premier objectif, une approche par simulation probabiliste événementielle à l aide des réseaux de Petri basée sur des connaissances expertes (Approche 1) ou sur des modèles physiques de développement du feu (Approche 2). Cette approche a permis de chiffrer l impact sur la sécurité de différentes mesures de sécurité ou stratégies envisagées pour la mise au niveau de sécurité souhaité de l hôtel. Les travaux ont été menés conjointement au Département Sécurité, Structures et Feu (DSSF) du CSTB à Marne la Vallée et au LOCIE à Polytech Savoie Université de Savoie à Chambéry. Le rapport final démontre la faisabilité et la pertinence de cette approche appliquée à la sécurité incendie de l hôtel. La validation de la démarche a été effectuée pour des départs de feux situés dans le parking situé en sous-sol et dans une chambre d étage. Les conséquences corporelles sur les usagers du parking, les occupants des chambres de l hôtel et le personnel de l hôtel ont été évaluées dans chacun des cas. Le second objectif de l étude consistant à aider le maître d ouvrage à décider des mesures de mise en sécurité à retenir in fine fait l objet du présent rapport. Il s agit en fait de comparer les différentes stratégies ou mesures retenues sur la base de différents critères, qui peuvent être des critères de sécurité, bien sûr, mais aussi des critères de coût ou de délais. Nous rappelons ici dans la suite les résultats obtenus lors de la première phase de simulation, puis développons ensuite l analyse multicritère que nous avons effectuée pour aider au choix des solutions. 180/222

181 2 Rappels sur l étude effectuée et sur les résultats obtenus L évaluation de la sécurité sur l hôtel de Marseille a été menée par le CSTB et Polytech Savoie. La méthode utilisée a permis d effectuer des simulations à l aide des réseaux de Petri. Nous rappelons ici les principales étapes de la démarche et les résultats obtenus en matière de sécurité par rapport aux différentes mesures de mise en sécurité envisagées. 2.1 Le bâtiment étudié et ses contraintes Le bâtiment a été construit dans les années 70 en respectant le règlement de En 2007, il fait l objet de travaux et d une opération d amélioration de la sécurité incendie. Les exigences du règlement sécurité contre les risques d incendie et de panique dans les établissements recevant du public du 25 juin 1980 s appliquent. L hôtel, objet de l étude, est un établissement de type O (hôtels et pensions de famille). A l issue des travaux, les mesures de mise en sécurité suivantes seront mises en œuvre : Installation de ferme-portes dans toutes les chambres et couloirs ; Détection incendie adressable (le CMSI identifie la chambre) dans chaque chambre ; Installation d un CMSI commun aux deux hôtels ; Dans les couloirs, installation des portes de recoupement à deux battants s ouvrant dans les deux sens de marche (exigence de résistance au feu EI 1h) ; A chaque niveau, mise en communication des circulations des deux hôtels par asservissement à la DI ; Formation SI prévue à partir de 2007 : celle du futur concierge en ERP1, puis celle d autres membres du personnel de façon à ce que chaque service contienne une personne de formation ERP1 (formation donnée par APAVE). Seul l effet des deux premières mesures sur le niveau de sécurité de l hôtel a été étudié et quantifié. Conformément aux exigences de ce règlement, les circulations desservant les chambres doivent être désenfumées. La conception du bâtiment de l hôtel étant peu favorable à la mise en œuvre d un tel dispositif le maître d ouvrage a opté pour des mesures alternatives. Les mesures de mise en sécurité proposées par le maître d ouvrage, bien que favorables à la sécurité n en demeurent pas moins non-conformes aux exigences réglementaires. L étude vise donc à évaluer les mesures proposées par le maître d ouvrage et celles du règlement de Pour le feu de chambre, le travail réalisé compare le niveau de sécurité des trois situations de référence suivantes : 1. Mesures de mise en sécurité avant les travaux. Il s agit de la situation au moment de notre visite de l hôtel. (stratégie A) 2. Mesures de mise en sécurité à l issue des travaux engagés par le maître d ouvrage (stratégie B). 3. Mesures de mise en sécurité conformes au règlement de 1980 (stratégie C). 181/222

182 Nous avons ensuite choisi d évaluer l incidence de mesures de mise en sécurité supplémentaires ou complémentaires à celles mises en œuvre dans les deux situations précédentes sur le niveau de sécurité. Les mesures suivantes ont été évaluées. Avertisseur dans la chambre en plus des mesures du maître d ouvrage (stratégie D) Enfin, il nous a semblé intéressant de simuler les résultats sur la sécurité en présence d un désenfumage actif dans le couloir et d un comportement actif de l occupant de la chambre source, ce qui conduit aux différents cas suivants : 1. Chambre et couloir équipés de ferme-portes et d une DI dans tous les cas ; l occupant de la chambre évacue dès connaissance de l incendie ; 2. Essai d extinction par l occupant de la chambre, qui évacue ensuite si la tentative échoue ; 3. Désenfumage dans le couloir activé ou non. En ce qui concerne le feu dans le parking, la problématique est différente puisque celui-ci est équipé de sprinklers. L étude consiste donc dans ce cas à évaluer les conséquences sur les personnes présentes dans le parking, dans le hall d accueil ou dans les chambres situées au même étage. Les deux situations suivantes sont donc testées : 1. Parking équipé de sprinklers (situation actuelle) ; 2. Parking non équipé de sprinklers. 2.2 Descriptif des locaux concernés par le scénario d incendie dans le parking (Figure 1) On considère un incendie de véhicule dans le parking au niveau 2. Ce parking donne sur un SAS (niveau 2) par une porte coupe-feu, notée P1. Le SAS communique vers un couloir par une autre porte coupe-feu numérotée P2. Ce couloir donne accès à deux autres entités volumiques : d une part, à des chambres situées au niveau 2 au travers d une porte coupefeu numérotée P3 ; d autre part, aux escaliers permettant l accès au hall d accueil (niveau 0) par l intermédiaire d une nouvelle porte coupe-feu, numérotée P4, située au pied des escaliers. Nous considérons que les escaliers communiquent directement avec le hall d accueil sans présence de portes coupe-feu. Ce système a été modélisé par des réseaux de Petri ainsi que le comportement des différents éléments le composant ou sous-systèmes le concernant. Nous voulons parler, bien sûr, des lois prises en compte pour le comportement des portes et fenêtres, pour les systèmes d alarme et de détection incendie, pour le comportement des personnes et des services de secours, etc. et pour les conditions du départ de feu (puissance du feu et vitesse de développement). 182/222

183 Figure 1 : Configuration des locaux vers le parking 2.3 Descriptif des locaux concernés par le scénario d incendie dans une chambre (Figure 2) La figure 2 ci-dessus représente le plan succinct d un étage, constitué de la chambre dans laquelle a lieu le départ de feu occasionné soit par la chaise, soit par le fauteuil, soit par le lit et la literie. La chambre et le couloir donnant sur l extérieur à l opposé de la chambre en feu sont équipés d une DI. 183/222

184 Figure 2 : Configuration des locaux vers une chambre La porte de la chambre subissant le départ de feu est notée P1, la porte donnant sur l extérieur est notée P2, la porte d une autre chambre P3. La porte donnant sur le palier est une porte coupe-feu considérée comme toujours fermée et indestructible pendant la durée de l événement. Nous considérons le départ de feu le plus violent, c est à dire celui lié à un feu de literie. Trois plages horaires sont considérées pendant lesquelles les conditions de présence et d endormissement de l occupant sont différentes : entre 8h et 19h : la probabilité d un occupant endormi est de 0,1 ; entre 19h et 23h : elle est de 0,5 ; entre 23h et 8h : la probabilité passe à 0, Les simulations effectuées Les simulations ont été menées sur la base de modèles construits avec des réseaux de Petri, qui permettent de représenter et de simuler le déroulement d un scénario incendie à partir d un départ de feu donné. Les dispositions et les comportements définis pour les locaux, les barrières ou les personnes sont en fait décrits dans différents réseaux de Petri échangeant entre eux des messages permettant de prendre en compte l apparition des différents événements au cours du temps. Dès lors, à partir d un départ de feu donné, la simulation par les réseaux de Petri permet de générer de nombreuses histoires différentes selon les instants d apparition de divers événements : ouverture, fermeture ou destruction des portes, des fenêtres, déclenchement ou non des alarmes, des sprinklers, intervention des personnels, des secours, etc Les temps de calcul étant faibles, il est possible de générer aisément un grand nombre d histoires et ainsi de chiffrer valablement des fréquences d apparition de certains événements non souhaités (ENS). Les connaissances intégrées dans les transitions des différents réseaux de Petri conditionnent évidemment la qualité des résultats obtenus. Deux approches ont été simultanément utilisées dans notre travail. Elles ne sont pas concurrentes, mais tout à fait complémentaires. Approche 1 : Le modèle construit pour les simulations est basé sur des réseaux de Petri dont les transitions sont renseignées à partir de lois de probabilité et de conditions données par les experts, sans aucun couplage physique. L avantage principal d une telle approche est, bien sûr, d avoir des temps de calcul très courts. L inconvénient est que les résultats dépendent de la pertinence des connaissances des experts. Exemple de connaissances expertes formulées pour une porte : les experts estiment que la porte résiste au moins 30mn ; la porte est donc détruite selon une loi uniforme comprise entre 1800 et 3600s. Approche 2 : Un modèle physique multi zones de développement du feu est constamment évalué au cours du temps pour définir les deux grandeurs principales suivantes à chaque instant : la température de la zone de fumée et la hauteur libre de fumée dans les différents locaux considérés. Les transitions sont alors basées sur des conditions exprimées en fonction de ces grandeurs et sur des lois de probabilité. 184/222

185 Exemple pour la porte : la porte est détruite par pyrolyse selon la condition suivante portant sur l éclairement énergétique (flux de chaleur incident), noté E, issu des gaz chauds : E > E_ISO où E_ISO est l éclairement reçu par la porte dans les conditions d un essai (courbe ISO). L éclairement E_ISO est tiré aléatoirement dans l intervalle [15, 45 mn] correspondant à la performance de résistance au feu de la porte. Cette approche est pour l instant gourmande en temps de calcul du fait de l évaluation à chaque instant des grandeurs physiques. Ces deux approches ont été développées en parallèle, notamment sur le feu de chambre, donnant des résultats sensiblement concordants, comme nous le verrons dans la suite. Il est donc permis de penser que ces deux approches sont valides et, en fait, complémentaires et non pas concurrentes. En effet, de judicieux programmes de simulation effectués selon l approche 2 permettraient certainement de caractériser des connaissances expertes susceptibles de compléter les connaissances actuelles, intégrables dans l approche 1. Au total, les simulations effectuées ont été les suivantes : Pour le feu de parking : L approche 1 a été utilisée et elle a permis de quantifier la fréquence d occurrence des événements non souhaités (ENS) suivants : Décès des usagers du parking ; Décès des occupants des chambres ; Décès des personnels du hall d accueil. Pour le feu de chambre : Les approches 1 et 2 ont été utilisées en parallèle ; dans chaque cas, la fréquence d apparition des ENS suivants a pu être évaluée : Décès des occupants des chambres voisines (décès multiples) ; Décès de l occupant (client) de la chambre dans laquelle le feu a pris ; Décès du personnel de sécurité 1 de l hôtel. Signalons que, compte tenu des temps de calcul, les fréquences d apparition sont calculées selon l approche 1 à partir de simulations portant sur d histoires différentes alors qu il n est possible, pour l instant, de dérouler dans des temps raisonnables que histoires selon l approche Les résultats obtenus pour le feu de parking Les travaux concernant le feu de voiture dans le parking ont été effectués à Polytech Savoie, Ecole d Ingénieurs de l Université de Savoie. Les hypothèses suivantes ont été retenues pour les simulations que nous avons effectuées selon l approche 1 sur une durée de s : les portes P3 et P4 sont considérées comme ouvertes, comme cela a été constaté lors de la visite du site (ces portes étaient en effet bloquées en position ouverte) ; la possibilité d extinction de l incendie naissant par les personnes présentes dans le parking est retenue ; l alarme générale et l alerte des services de secours sont déclenchées par le personnel d accueil, dès qu il est informé de l événement ; 1 On entend par personnel de sécurité, des agents désignés par la direction de l établissement et entraînés à la manœuvre des moyens de secours contre l'incendie et à l'évacuation du public (formulation du règlement de 1980) 185/222

186 le parking est équipé de sprinklers ; deux simulations sont donc proposées, avec et sans sprinklers, pour mesurer le gain de sécurité apporté par cet équipement. Les simulations effectuées par l approche 1 permettent de chiffrer la fréquence et le temps moyen d apparition des événements suivants : présence de la fumée dans le parking, le sas, le couloir et le hall d accueil ; impraticabilité du parking : les conditions de température et de fumée sont suffisamment fortes pour qu il soit impossible d entrer ou de sortir du parking, aussi bien pour les usagers que pour le personnel ou les services de secours ; impraticabilité du couloir des chambres : il interdit l évacuation des chambres ; décès ou blessés dans le parking, le hall d accueil, les chambres. Les tableaux et ci-dessous présentent respectivement les fréquences d apparition de chacun des états possibles du parking avec ou sans sprinklers et le temps moyen pendant lequel le parking se trouve dans tel ou tel état. Evénement Fréquence d occurence Fréquence d occurence Parking redevenu sain par extinction Parking redevenu sain par sprinklers sans sprinklers avec sprinklers 94,4% 37,1% 0% 62,6% Parking enfumé 100% 100% Parking impraticable 43,4% 2,3% Tableau : Etats du parking Le parking est systématiquement enfumé (100%) puisqu il est le lieu de l incendie du véhicule. L enfumage intervient en moyenne au bout de 211 secondes. Le parking passe ensuite à l état impraticable dans 43,4% des histoires en l absence des sprinklers, chiffre ramené à 2,3% des histoires en présence des sprinklers. En moyenne, en présence de sprinklers, le temps d enfumage du parking est divisé par 2 (569s au lieu de 1019s) et le parking n est pratiquement jamais impraticable (22s au lieu de 454s). Evénement Temps moyen Temps moyen sans sprinklers avec sprinklers Parking sain 211s 211s Parking enfumé 1019s 569s Parking impraticable 454s 22s Parking redevenu sain par sprinklers 8315s Tableau : Délais des états du parking 9198s Dans tous les cas, le parking est équipé d un système de désenfumage et de ventilation qui, couplé aux sprinklers lorsqu ils existent, permet un retour à l état sain du parking dans 62,6% des cas en moyenne en 800s environ (parking redevenu sain pendant 9198s pour des histoires se déroulant sur 10000s). Sans les sprinklers, le parking ne redevient sain par désenfumage ou par extinction que pendant 8315s, soit environ 900s plus tard. 186/222

187 L efficacité des sprinklers est ainsi confirmée, ce qui n est pas un scoop, mais il est possible avec les réseaux de Petri d en chiffrer l efficacité. Le tableau donne l état des autres locaux considérés. Evénement Fréquence d occurence Fréquence d occurence sans sprinklers avec sprinklers Sas enfumé 32,2% 27,5% Couloir enfumé 13,4% 9,9% Hall accueil enfumé 11% 7,9% Sas impraticable 13,5% 0,7% Couloir impraticable 5,8% 0,2% Hall accueil impraticable 0% 0% Tableau : Etats des autres locaux Les résultats montrent encore l efficacité des sprinklers, qui permettent de limiter l enfumage du couloir des chambres et du hall d accueil et, surtout, d éviter presque totalement l impraticabilité du couloir des chambres et du hall d accueil, garantissant ainsi les possibilités d évacuation des occupants et du personnel. Les dommages aux personnes, blessés légers, blessés graves ou décès, dans le parking sont décrits dans le tableau ci-dessous. Evénement Fréquence d occurence Fréquence d occurence sans sprinklers avec sprinklers Blessés légers 21,8% 1,1% Blessés graves 21% 1,0% Décès parking 20% 0,9% Tableau : Blessés et décès dans parking Il n y a pas de dommages occasionnés aux personnes (blessés ou décès) dans le hall d accueil ou dans les chambres. Seules les personnes présentes dans le parking sont amenées à subir des dommages, considérablement réduits par la présence des sprinklers. 2.6 Les résultats obtenus pour le feu de chambre par l approche 1 Le départ de feu dans une chambre constitue notre deuxième scénario d étude. Les hypothèses suivantes sont retenues pour cet événement : les portes des chambres P1 et P2 sont coupe-feu ; elles sont équipées d un ferme-porte ; la chambre source et le couloir sont équipés d un détecteur incendie ; l heure du départ de feu et le fait que l occupant de la chambre source soit endormi ou éveillé sont pris en compte dans les simulations effectuées ; le couloir donne sur l extérieur et permet l évacuation des personnes si les conditions ne sont pas létales (couloir impraticable) ; 187/222

188 l alarme générale est déclenchée par le service d accueil dès qu il est informé de l incendie. Trois simulations différentes sont effectuées prenant en compte l éventuelle intervention de l occupant de la chambre pour tenter l extinction du feu naissant et la présence ou non d un désenfumage dans le couloir : simulation 1 : désenfumage dans le couloir sans intervention de l occupant de la chambre source ; simulation 2 : désenfumage et intervention de l occupant de la chambre source ; simulation 3 : pas de désenfumage dans le couloir et intervention de l occupant de la chambre source. Chaque simulation a été menée sur d histoires différentes en quelques secondes de calcul. Les événements considérés sont : enfumage et impraticabilité de la chambre source, du couloir et de la chambre en vis-à-vis ; dommages corporels (blessés légers ou graves, décès) dans la chambre source, le couloir et la chambre en vis-à-vis ; fréquence des états des portes P1 (chambre source) et P2 (en vis-à-vis). Les tableaux à permettent de chiffrer les fréquences d apparition des divers états des locaux et des dommages corporels aux occupants des chambres en présence d un système de désenfumage dans le couloir déclenché par la DI et de l intervention ou non de l occupant de la chambre source. Evénement Fréquence d occurence Fréquence d occurence sans intervention avec intervention Chambre enfumée 100% 100% Chambre impraticable 100% 93,1% Couloir enfumé 15% 14,4% Couloir impraticable 0,12% 0,10% Désenfumage couloir déclenché 14,8% 14,3% Tableau : Etats des locaux avec désenfumage du couloir Evénement Temps moyens Temps moyens sans intervention avec intervention Chambre saine 27s 27s Chambre enfumée 125s 803s Couloir sain 8567s 8620s Couloir enfumé 498s 459s Tableau : Délais pour les états des locaux avec désenfumage 188/222

189 Evénement Fréquence d occurence Fréquence d occurence sans intervention avec intervention Blessés légers 46,6% 32,9% Blessés graves 46,6% 32,9% Décès 42,8% 30,3% Evacuation de la chambre source : 53,2% 53,6% Occupants du couloir blessés légers : 46,1% 46,5% Occupants couloir blessés graves ou décès 0% Tableau : Blessés et décès dans chambre source avec désenfumage Evénement Fréquence d occurence Fréquence d occurence sans intervention avec intervention Blessés légers 0,15% 0,14% Blessés graves 0,10% 0,09% Décès 0,01% 0,01% Tableau : Blessés et décès dans chambre en vis-à-vis avec désenfumage Les deux premiers tableaux montrent que le couloir n est enfumé que dans 15% des histoires et que l intervention de l occupant de la chambre ne fait pas beaucoup baisser ce chiffre (14,4%). La chambre reste enfumée pendant 500s environ en moyenne ; elle devient donc assez rapidement impraticable, ce qui est susceptible d occasionner le décès des occupants. Le couloir, quant à lui, est impraticable très peu fréquemment (0,12% des cas) et très tardivement puisqu il reste la plupart du temps à l état sain, environ pendant 8500s. Si l intervention de l occupant de la chambre pour tenter l extinction au départ du feu n a que peu d influence sur l état de la chambre source et sur l état de la porte P1, en revanche, l examen du tableau donnant les dommages corporels dans la chambre source (Tableau 2.6.3) montre une réduction sensible des blessés et des décès. Cependant, les chiffres élevés obtenus ne sont pas acceptables en l état pour la société gestionnaire de l hôtel!! Ils sont certainement dus au fait que l évacuation de la chambre source ne s effectue que dans 53% des cas et que les conditions létales y apparaissent rapidement : 152s (sans intervention) et 830s (avec intervention) en moyenne, ce qui laisse peu de temps au personnel ou aux services de secours pour évacuer des personnes souvent endormies (48% des cas environ) n ayant pas entendu l alarme. Les occupants éventuels du couloir ne sont que blessés légers. Les occupants de la chambre en vis-à-vis ne subissent que très rarement des dommages. Les tableaux et ont pour objet de montrer les principaux résultats obtenus sans désenfumage dans le couloir. Il est important de montrer les différences afin de statuer sur son efficacité. Les chiffres concernant l impraticabilité de la chambre source (93%) ne sont pas modifiés. En l absence de désenfumage, dès que le couloir est enfumé, il le reste et passe inévitablement à l état impraticable : le couloir est enfumé, puis impraticable dans 14,3% des cas. 189/222

190 Evénement Fréquence d occurence avec intervention Blessés légers 32,6% Blessés graves 32,6% Décès 30,0% Tableau : Blessés et décès dans chambre source sans désenfumage Evénement Fréquence d occurence avec intervention Blessés légers 0,17% Blessés graves 0,16% Décès 0,05% Tableau : Blessés et décès dans chambre en vis-à-vis sans désenfumage L évacuation de la chambre source s effectue dans 53,4% des cas, chiffre tout à fait comparable au cas précédent en toute logique puisque rien n a changé dans celle-ci. Il est possible et logique de constater sur le tableau que les dommages corporels dans la chambre source sont identiques avec ou sans désenfumage du couloir. Les occupants du couloir sont blessés légers dans 46,3% des cas et il n y a toujours pas de blessés graves ou de décès. Cela peut paraître étonnant, mais le couloir n est en fait pas occupé et les seules personnes qui y séjournent n y restent que peu de temps ou n y pénètrent pas si les conditions sont impraticables. Par contre, une augmentation des blessés et surtout des décès dans la chambre en vis-à-vis (Tableau 2.6.6) est constatée ; le chiffre de décès reste cependant faible (0,05% au lieu de 0,01%). Il ne semble donc pas que l absence de désenfumage soit extrêmement préjudiciable car les simulations prouvent que la chambre source est le plus souvent évacuée avant que le couloir ne subisse des conditions létales pour les personnes. La conclusion majeure sur le feu de chambre concerne le nombre excessif d histoires conduisant au décès de l occupant. Les équipements de sécurité doivent donc contribuer à améliorer cette situation. 2.7 Les résultats obtenus pour le feu de chambre par l approche 2 Les travaux ont été menés au Département SSF du CSTB à Marne la Vallée. Pour une stratégie de mise en sécurité donnée, simulations (histoires) ont été effectuées, puis la fréquence d occurrence de quatre événements non souhaités a 190/222

191 été calculée. Trois d entres eux portent sur les personnes, le dernier, feu généralisé dans au moins un volume signifie dommages déjà importants. Rappelons que dans cette approche un modèle physique de développement du feu est couplé avec les réseaux de Petri, ce qui permet de considérer des conditions portant sur les paramètres physiques (température, hauteur libre de fumée) dans les transitions. Les mesures de mise en sécurité suivantes sont prises en compte : 1. DI dans la circulation 2. DI dans la chambre 3. Désenfumage de la circulation 4. Ferme-porte 5. Actions du personnel de sécurité 6. Avertisseur sonore dans la chambre Différentes stratégies de mise en sécurité sont étudiées. Une stratégie est définie comme la mise en œuvre d un ensemble de mesures de mise en sécurité. Les stratégies simulées sont les suivantes : A. 1, 5 (état avant travaux) B. 1, 2, 4, 5 (envisagée par le maître d ouvrage) C. 1, 3, 4, 5 (prescriptions) D. 1, 2, 4, 5, Diagnostic des mesures avant travaux (stratégie A) Le tableau ci-dessous reproduit les fréquences d occurrence pour les quatre événements non souhaités retenus pour l étude. Le client n 1 est l occupant de la chambre source de l incendie et les décès multiples concernent les clients des chambres voisines. Événement redouté Fréquence d occurrence (%) Décès client n 1 51,0 Décès personnel de sécurité 0,8 Décès multiples 3,4 Flashover chambre 8,4 Tableau 2.7.1: Fréquence d occurrence des ENS (stratégie A) Décès client n 1 On constate que la probabilité que le client de la chambre source du feu meure est très grande (une histoire sur deux). Cet évènement intervient entre 70 et 215 secondes après le début du feu. L analyse des histoires simulées montrent que : le client meurt à chaque fois qu il est endormi au début du feu ; le personnel de sécurité ne parvient jamais suffisamment tôt pour sortir le client (vivant ou décédé) de la chambre ; le client ne meurt jamais lorsqu il est réveillé au début du feu, car les conditions sont toujours telles que son évacuation soit possible Décès personnel de sécurité La fréquence d occurrence de l évènement «décès du personnel de sécurité» est non négligeable (0,8 %). L analyse des histoires simulées montre que 100% des occurrences sont dues à l ouverture par le personnel de sécurité de la porte de la chambre alors que l embrasement généralisé a déjà eu lieu dans la chambre. Le 191/222

192 flashover intervient dans la chambre entre 242 et 342 secondes après le début du feu. Le personnel de sécurité, arrivé sur place, ouvre la porte après l occurrence du flashover entre 269 et 535 secondes après le début du feu. Il ne peut alors pas la refermer. L effet de l action du personnel de sécurité est non négligeable sur la sécurité des occupants des autres chambres donnant sur la circulation. Le personnel contribue à l évacuation des clients sains et saufs avant l arrivée des secours dans 66% des cas. Cependant, 76% des histoires conduisant au décès du personnel conduisent également, du fait de l ouverture de la porte de la chambre source du feu, à précipiter la propagation du feu à la chambre en vis-à-vis avant l arrivée des secours et donc au décès d autres clients. Cela représente 18% des histoires conduisant à l événement décès multiples. Décès multiples La fréquence d occurrence de l évènement «décès multiples» entre 222 et 1680 secondes après le départ de feu est importante (3,4%). L analyse des histoires montrent que : Aucun décès n est lié à une dégradation des conditions dans la circulation pendant l évacuation des autres clients par le personnel de sécurité ; Tous les décès sont liés à un flashover dans la chambre en vis-à-vis avant l évacuation des clients par le personnel de sécurité ou par les secours. Parmi ces occurrences de décès multiples : 18% sont directement liées à l intervention du personnel de sécurité (ouverture de la porte de la chambre source du feu alors que le flashover y a déjà eu lieu) ; 77% sont dus au fait que la porte de la chambre est restée ouverte. Dans tous ces cas, les conditions régnant dans la circulation ont empêché le personnel de venir refermer la porte ; 5% sont dus à la ruine de la porte de la chambre source du feu et uniquement du fait qu à la fois la porte de la chambre en vis-à-vis était ouverte en début de feu et le personnel de sécurité n a pas été alerté à temps pour déclencher l évacuation. Flashover chambre La fréquence d occurrence de l évènement «flashover dans la chambre source» est grande (8,4%). Le flashover intervient entre 216 et 737 secondes après le début du feu, lorsque la literie est allumée parce que, dans 97% des cas, la porte et/ou la fenêtre ont été maintenues ouvertes à un moment donné. Enseignements du diagnostic Des différents constats effectués dans les paragraphes précédents, il est possible de déduire à ce stade que : des dispositions visant à améliorer les conditions dans la circulation ne contribueront pas directement à améliorer la sécurité de l occupant de la chambre source du feu, qu elles peuvent contribuer à réduire le risque de généralisation du feu aux autres chambres et donc de décès multiples, peuvent contribuer à augmenter le risque de décès du personnel de sécurité qui pourrait se retrouver plus souvent en situation de commettre l erreur d ouvrir la porte s il arrive tardivement ; des dispositions visant à alerter rapidement l occupant de l occurrence d un sinistre dans sa chambre peuvent fortement contribuer à améliorer la sécurité de l occupant de la chambre source du feu et à réduire le délai d intervention du personnel de sécurité ; 192/222

193 des dispositions visant à réduire le délai d intervention du personnel de sécurité peuvent contribuer à améliorer la sécurité de l occupant de la chambre source du feu, à réduire le risque de flashover dans la chambre source du feu et le risque de généralisation du feu aux autres chambres et donc de décès multiples ; des dispositions visant à confiner le feu et la fumée dans la chambre peuvent contribuer à réduire le risque de flashover dans la chambre, à réduire le risque de généralisation du feu aux autres chambres et donc de décès multiples, mais à augmenter le risque de décès du personnel de sécurité qui pourrait se retrouver plus souvent en situation de commettre l erreur d ouvrir la porte s il arrive tardivement (et donc augmenter le risque de généralisation du feu) Quantification des mesures de mise en sécurité envisagées par le maître d ouvrage (stratégie B) En plus de la situation existante avant travaux étudiée précédemment (stratégie A), l ajout des mesures suivantes est ici pris en compte : DI adressable dans la chambre ; Ferme-porte aux portes des chambres. Le tableau ci-dessous reproduit les fréquences d occurrence pour les quatre événements non souhaités retenus pour l étude. Événement redouté Fréquence d occurrence (%) Décès client n 1 39,8 Décès personnel de sécurité 1,4 Décès multiples 1,2 Flashover chambre 3,2 Tableau : fréquence d occurrence des ENS (stratégie B) Mesures de mise en sécurité réglementaires (stratégie C) En plus de la situation existante avant travaux étudiée précédemment (stratégie A), l ajout des mesures réglementaires suivantes est ici pris en compte : Désenfumage dans la circulation ; Ferme-porte aux portes des chambres. Le tableau ci-dessous reproduit les fréquences d occurrence pour les 4 événements non souhaités retenus pour l étude. Événement redouté Fréquence d occurrence (%) Décès client n 1 50,5 Décès personnel de sécurité 1,4 Décès multiples 1,9 Flashover chambre 3,0 Tableau 2.7.3: Fréquence d occurrence des ENS (stratégie C) 193/222

194 deces client n 1 deces securite deces multiples flashover alerte securite sauvetage autres clients - securité sauvetage autres clients - pompiers Avertisseur sonore en plus des mesures du maître d ouvrage (stratégie D) En plus des mesures du maître d ouvrage étudiées précédemment (stratégie B), on envisage ici la mise en place dans la chambre d un avertisseur sonore se déclenchant sur détection dans la chambre. Le tableau ci-dessous reproduit les fréquences d occurrence des événements non souhaités. Événement redouté Fréquence d occurrence (%) Décès client n 1 31,6 Décès personnel de sécurité 1,3 Décès multiples 1,1 Flashover chambre 2,9 Tableau : Fréquence d occurrence des ENS (stratégie D) Synthèse des résultats et conclusions C B A C B A C B A C B A C B A C B A C B A 0.3% 0.5% 10.5% 80.2% 98.1% 66.3% 83.3% 99.8% 84.2% 3.0% 3.2% 8.4% 1.9% 1.2% 3.4% 1.4% 1.4% 0.8% 50.5% 39.8% 51.0% temps (s) Figure : Fréquences et instants d occurrence de différents évènements pour les stratégies A, B et C. La figure ci-dessus reproduit les fréquences et l intervalle des instants d occurrence des évènements redoutés. Les résultats concernant des évènements relatifs à l intervention du personnel et des secours sont également indiqués. Les résultats de la stratégie D ne figurent pas sur le graphique car ils sont similaires à ceux de la stratégie B. 194/222

195 DI adressable dans la chambre Le graphique précédent met en lumière l effet de la mise en place d une DI adressable dans la chambre (stratégies B et D). En l absence de DI dans la chambre, le détecteur placé dans le couloir peut être sollicité très tardivement si la porte de la chambre est fermée. L apport principal de la DI dans la chambre est une alerte beaucoup plus fréquente et rapide du personnel de sécurité. Le personnel est alors en mesure d arriver de façon précoce à la chambre et d agir avant que les conditions ne deviennent impraticables dans le couloir (refermer la porte, déclencher l évacuation des autres occupants du niveau, etc.). L autre effet sensible de la DI adressable dans la chambre est qu elle permet parfois de sauver l occupant en le réveillant par téléphone si les conditions dans la chambre restent praticables pendant le temps qu il met à sortir. On notera cependant que malgré une alerte précoce, le personnel n est pas en mesure d arriver à la chambre suffisamment tôt pour sortir le client de la chambre avant que les conditions y soient intenables. Cela est en partie lié à la sévérité des cinétiques de développement de feu considérées. Ferme-porte L ajout d un ferme-porte à la porte de la chambre (stratégies B, C et D) a un effet très important sur le niveau de sécurité de l hôtel. Le premier effet du ferme-porte est de confiner le feu dans la chambre et de réduire sa puissance par limitation du débit d oxygène entrant dans la pièce. Les conditions du flashover sont alors moins fréquemment atteintes, réduisant ainsi d autant la fréquence d occurrence d un feu de nature à mettre en danger les autres occupants de l hôtel. Le ferme-porte contribue également à fortement améliorer les conditions dans la circulation, favorisant ainsi le sauvetage des autres occupants par le personnel de sécurité. Cependant, comme le personnel de sécurité est plus souvent en mesure de pénétrer dans la circulation, il se retrouve également plus souvent en situation d être exposé au danger. Le ferme-porte contribue ainsi à accroître les risques pour le personnel de sécurité. Désenfumage dans la circulation Tout d abord, on notera que le désenfumage (stratégie C) ne contribue pas à améliorer la sécurité de l occupant de la chambre source du feu. Les conditions dans la circulation ne se dégradent pas suffisamment vite pour empêcher l occupant d en sortir lorsqu il a pris conscience du feu suffisamment tôt pour pouvoir sortir de sa chambre. En comparant les résultats obtenus pour la stratégie B et la stratégie C, il apparaît également que le désenfumage ne permet pas de compenser l intervention tardive du personnel de sécurité. Le tableau ci-dessous fait la synthèse des résultats obtenus pour les différentes stratégies analysées. En prenant comme référence la stratégie C (prescriptions réglementaires), les cases des trois autres stratégies pour chaque événement redouté ont été coloriées en rouge, jaune ou vert selon que le résultat est moins bon, équivalent ou meilleur. 195/222

196 Événement redouté Décès client n 1 Décès personnel de sécurité Décès multiples Flashover chambre Fréquence d occurrence (%) A B C D 51,0 39,8 50,5 31,6 0,8 1,4 1,4 1,3 3,4 1,2 1,9 1,1 8,4 3,2 3,0 2,9 Tableau : synthèse de l évaluation du niveau de sécurité de l hôtel en fonction des différentes stratégies de mise en sécurité envisagées Ainsi, sur la base des hypothèses retenues, la stratégie B (mesures du maître d ouvrage) apparaît pertinente pour assurer un niveau de sécurité comparable à la stratégie C (mesures prescriptives). L étude montre également l intérêt de compléter cette stratégie par un avertisseur sonore dans la chambre pour améliorer la sécurité de l occupant de la chambre source du départ de feu tout en reflétant la difficulté qu il y a à assurer la sécurité des personnes directement au contact d un départ de feu dans un local à sommeil. La stratégie proposée par le maître d ouvrage repose sur une alerte et une intervention rapide du personnel de sécurité de l hôtel. Elle met donc en relief l importance de : former le personnel, mettre en place des procédures d actions adaptées, réaliser des exercices de mise en situation, disposer d un personnel permanent affecté à la sécurité. 196/222

197 3 Aide au choix des solutions finales Il s agit d aider le maître d ouvrage à hiérarchiser les différentes mesures de mise en sécurité possibles en fonction des axes de jugement qu il souhaite prendre en compte. Chaque axe de jugement se traduit par l expression de un ou plusieurs critères qu il est nécessaire de définir précisément. Rappelons que la famille de critères retenue doit satisfaire aux exigences d exhaustivité, de cohérence et de non redondance sans lesquelles la famille de critères risque de ne pas être comprise, ni admise par l ensemble des partenaires de la décision. Les méthodes d aide à la décision ont vu le jour au début des années 70 et se sont depuis considérablement développées dans tous les domaines. Elles sont nombreuses, diverses et permettent de résoudre des problèmes de décision variés. Pour choisir l une d entre elles, il est bien sûr nécessaire de caractériser correctement le problème à résoudre et de définir les éléments suivants : établir la liste des mesures de sécurité à étudier ; elle doit être finie et stable. Chaque mesure de sécurité est appelée action ; établir l ensemble des axes de jugement et les critères pris en compte ; l ensemble des critères doit être un ensemble stable, fini et cohérent ; les critères ne sont certainement pas tous jugés de la même importance par le maître d ouvrage. Il est donc nécessaire de définir l importance relative de chaque critère, qui doit être établie clairement ; définir la façon d exprimer les performances de chaque mesure selon chacun des critères retenus ; enfin, exprimer clairement le type de décision qui est attendu ou que recherche le maître d ouvrage. Le processus d aide à la décision est donc mené en deux grandes étapes : Etape1 : construction du problème de décision. Il s agit en fait de répondre aux questions ci-dessus. Etape 2 : résolution du problème posé. Elle consiste à établir une hiérarchie des mesures retenues par une méthode appropriée en fonction des réponses apportées à l étape 1 aux questions posées ci-dessus. Il n est pas inutile de rappeler les objectifs de cette étude d aide au choix des solutions. Elle a pour objet, d une part, de montrer ce qu il est possible de faire en termes d aide à la décision, il s agit d une nouveauté puisque cette technique n a jamais été appliquée à notre connaissance en ISI. D autre part, le second objectif est d obtenir des résultats tangibles pour la maîtrise d ouvrage bien que l exercice soit expérimental. 3.1 Les actions : Il s agit des mesures ou groupe de mesures que le maître d ouvrage envisage de considérer. Elles portent généralement sur les quatre catégories suivantes : mesures liées au compartimentage ; mesures liées à la détection ; mesures liées à l extinction proprement dite ; mesures liées à la formation du personnel et à l organisation de l hôtel. 197/222

198 La liste des mesures de sécurité retenues sur l hôtel de Marseille est la suivante et résulte des discussions menées avant la réalisation des simulations: 1. DI dans la circulation (détection) 2. DI dans la chambre (détection) 3. Désenfumage de la circulation (extinction) 4. Ferme-porte (cloisonnement) 5. Actions du personnel de sécurité (formation) 6. Avertisseur sonore dans la chambre (détection) 7. Sprinklers dans le parking (extinction) Ces mesures de sécurité, prises en compte dans les simulations, ont par ailleurs été regroupées pour définir différentes stratégies basées sur des objectifs définis par la maîtrise d ouvrage. Ces stratégies ont en fait été utilisées dans les simulations effectuées. Dès lors, deux manières d aider au choix peuvent être envisagées pour l étude de la sécurité sur l hôtel de Marseille : 1. soit le raisonnement est mené au niveau des mesures de sécurité. Les actions à comparer sont alors au nombre de sept ; 2. soit le raisonnement est mené au niveau des stratégies. Il y a alors 5 actions à comparer, qui sont les stratégies listées ci-dessous. Liste des stratégies définies avec la maîtrise d ouvrage : Stratégie A : état actuel de l hôtel. Il est ainsi possible d évaluer le niveau actuel de sécurité. Le couloir des chambres est équipé d une DI (mesure 1) et des actions de formation du personnel sont effectuées (mesure 5). On suppose ici que le parking n est pas équipé de sprinklers ; Stratégie B : Mesures envisagées par le MO dans les chambres. Il s agit de prendre en compte les mesures que le maître d ouvrage a déjà décidé de mettre en œuvre dans les chambres, à savoir la pose d une DI (mesure 2) et l installation d un ferme-porte (mesure 4) dans chaque chambre ; Stratégie C : Mesures réglementaires. Cette stratégie reprend les éléments réglementairement nécessaires et imposés par la commission de sécurité. Les mesures concernent la DI dans le couloir (mesure 1 existante), l installation d un système de désenfumage dans le couloir (mesure 3) et d un ferme-porte par chambre (mesure 4 envisagée par le MO) ainsi que la formation du personnel (mesure 5) ; Stratégie D : Alarme dans les chambres en plus de stratégie B. Elle consiste, en plus, des mesures envisagées dans la stratégie B de proposer et tester l installation dans chaque chambre d un avertisseur sonore (mesure 5) ; Stratégie E : Mesures du MO dans le parking. Elle concerne l équipement du parking et l installation de sprinklers. Bien qu étant déjà installés dans la réalité, cette stratégie permet de chiffrer leur influence réelle d une part, mais aussi de prendre en compte dans le raisonnement plusieurs départs de feu. Il est en effet possible de se poser la question de savoir s il faut considérer simultanément tous les départs de feu envisagés ou, au contraire, envisager un raisonnement spécifique pour chaque départ de feu. Etant entendu que le problème a toujours été posé en termes de sécurité de l hôtel dans les différentes réunions, que les objectifs sont bien globaux, visant la sécurité de l ensemble du bâtiment, il semble donc judicieux d effectuer un raisonnement simultané concernant tous les départs de feu potentiellement répertoriés. 198/222

199 Nous proposons, à titre expérimental, de mener les études de décision en parallèle, au niveau des 7 mesures de sécurité d une part, et au niveau des 5 stratégies d autre part. 3.2 Les axes de jugement et les critères Ils résultent d une discussion avec la maîtrise d ouvrage par rapport à ses objectifs, discussion devant aboutir à une liste cohérente comme nous l avons dit plus haut. La distinction entre les axes de jugement et les critères permet d avoir une approche descendante. Les axes représentent en fait les domaines que les partenaires souhaitent prendre en compte dans la décision. Ils sont définis de façon générale dans un premier temps, puis détaillé ensuite puisqu ils doivent être évalués. C est le rôle des critères. Un axe de jugement peut donc être représenté par un ou plusieurs critères. Les axes de jugement évoqués lors d une réunion avec les représentants de la société ACCOR au CSTB à Grenoble, et retenus après la discussion, sont au nombre de cinq Axe 1 : Sécurité C est le champ de préoccupation principal, cité en premier par la maîtrise d ouvrage. Les objectifs de sécurité sont clairement définis : éviter les événements non souhaités (ENS), qui concernent les dommages corporels des clients, du personnel, des services de secours. Il faut prendre en compte : les décès des clients, évalués en fréquence ; les décès du personnel, évalués en fréquence ; les décès du personnel de secours, mais les simulations effectuées n ont pas permis cette évaluation. Le maître d ouvrage cherche à obtenir le moins de dommages corporels possibles. Il est donc intéressant de chiffrer la réduction des dommages corporels pour chaque mesure ou chaque stratégie. Cette réduction est évaluée à partir des risques associés à la situation actuelle de l hôtel (stratégie A). Un seul critère, intitulé Critère 1 : Réduction des Dommages corporels, est donc proposé pour représenter cet axe. Il s agit d un critère numérique direct (la préférence du décideur va à la valeur la plus grande) : sa valeur est obtenue après addition de toutes les fréquences de décès constatées pour les différentes catégories de personnes, puis différence avec les dommages de la stratégie A. La stratégie A a donc une performance nulle sur le critère 1. NB : Les fréquences obtenues pour le flashover dans la chambre ne sont pas prises en compte car le phénomène est intégré dans les fréquences de décès calculées. Le flashover tend par contre à augmenter les dégâts matériels occasionnés à l immeuble. Si DC_i représente les dommages corporels pour la stratégie i, le critère 1 prend la valeur C1_i suivante pour la stratégie i : C1_i = 100 ( DC_A DC_i ) / DC_A = ( DC_i / DC_A ) Pour les quatre stratégies du feu de chambre, on obtient alors les valeurs suivantes : 199/222

200 Événement redouté Fréquence d occurrence (%) A B C D Décès client n 1 51,0 39,8 50,5 31,6 Décès personnel de sécurité 0,8 1,4 1,4 1,3 Décès multiples 3,4 1,2 1,9 1,1 Dommages corporels 55,2 42,4 53,8 34,0 Critère 1 : Réduction 0 23,2 2,5 33,2 Tableau : Evaluation du critère 1 Dommages corporels Pour la stratégie E, installation de sprinklers dans le parking, on constate que 20% des histoires conduisent à des décès, alors qu après l installation de ceux-ci 0,9% des histoires seulement conduisent à des décès. L évaluation de la performance pour le critère 1 est donc fixée à 100 (20 0,9)/20 = 95,5%, ce qui signifie que la stratégie E est extrêmement intéressante pour la sécurité dans le parking. Il est maintenant nécessaire d évaluer les réductions de dommages pour chaque mesure de sécurité. Les mesures 1 (DI dans la circulation) et 5 (formation du personnel) sont présentes dans toutes les simulations effectuées selon les différentes stratégies si bien que leur influence sur la sécurité ne peut être établie. Elles ne contribuent pas à la réduction des dommages puisque présentes dans l état actuel de l hôtel. Elles sont donc supprimées du tableau ci-dessous. Les stratégies B et D ne se différencient que par la mesure 6, présence d un avertisseur sonore. La comparaison de ces deux stratégies permet donc de dire que la mesure 6 réduit la fréquence des dommages corporels de 8,4%. L évaluation des autres mesures résulte de l analyse effectuée sur les résultats obtenus pour les stratégies. L hypothèse majeure proposée consiste à remarquer que le désenfumage n a une influence que sur les dommages corporels dans le couloir et dans les autres chambres. Nous pensons qu il est alors possible d imputer la différence entre les stratégies A et C pour les dommages dans la chambre à l influence des ferme-portes (mesure 4), soit une amélioration de 0,5% des dommages. La mesure 3, désenfumage du couloir, permet donc de réduire de 0,9% les dommages corporels. La différence entre les stratégies A et B est due au cumul de l influence des mesures 2 (DI chambre) et 4 (désenfumage couloir). Ces deux mesures de sécurité réduisant globalement les dommages corporels de 12,8%, il est possible de penser que la mesure 2 y contribue pour (12,8 0,5) = 12,3%. Comme précédemment pour les stratégies, ces pourcentages sont obtenus par comparaison à la stratégie A et donc n ont de sens que s ils sont rapportés à la fréquence des dommages dus à cette stratégie (55,2%) par la formule ci-dessous : C1_i = 100 ( RM_i) / DC_A Fréquence d occurrence (%) Mesure 2 Mesure 3 Mesure 4 Mesure 6 Mesure 7 Réduction par 12,3 0,9 0,5 8,4 19,1 mesure (RM) Critère 1 : Réduction 22,3 1,6 0,9 15,2 95,5 Tableau : Evaluation du critère 1 Dommages corporels 200/222

201 3.2.2 Axe 2 : Fiabilité des systèmes installés Il s agit en fait de prendre en compte la sûreté de fonctionnement des systèmes de détection ou d extinction installés, mais aussi leur efficacité intrinsèque vis-à-vis de l incendie. Le taux de défaillance des systèmes est intégré dans les lois des réseaux de Petri modélisant le système. Pour les détecteurs, les alarmes et les sprinklers, les taux de défaillance retenus étaient de 1 ou 5%. Les fréquences obtenues pour les dommages corporels tiennent donc compte du taux de défaillance, si bien qu un critère à ce sujet serait redondant par rapport au critère 1. Il en est de même de l efficacité des systèmes qui se traduit dans les chiffres des fréquences. Il ne semble donc pas opportun de traduire cet axe par un critère, qui ne pourrait qu être redondant par rapport au critère Axe 3 : Coût Par le vocable coût, il est essentiellement fait allusion par le maître d ouvrage aux coûts d installation et de fonctionnement des mesures de sécurité envisagées. Il est certainement possible d envisager deux critères : un premier critère prenant en compte les investissements effectués ; un second critère prenant en compte les coûts de fonctionnement, de maintenance et de remplacement des équipements. En effet, il semble difficile de réunir ces deux aspects dans un seul et même critère sauf à définir un critère de coût global, qui nécessite la définition d une durée de vie moyenne et des opérations d entretien de chaque équipement permettant de définir le nombre des entretiens et des remplacements pour une durée de vie donnée de l immeuble, par exemple 40 ou 50 ans. Dans un premier temps, et pour simplifier, il est proposé de ne considérer que les coûts d investissement dans un seul critère intitulé Critère 2 : Investissement chiffré en euros. Cette position pourra bien sûr être revue, par la prise en compte par exemple d un critère spécifique pour les coûts de fonctionnement Axe 4 : Délais de mise en œuvre La mise en place des mesures de sécurité nécessite des travaux plus ou moins longs dans l hôtel. Certains systèmes sont très simples à mettre en place, comme les ferme-portes par exemple. D autres nécessitent des études techniques, des travaux longs pouvant occasionner des désagréments pour les clients, voire des pertes d exploitation. C est par exemple le cas de l installation d un système de désenfumage. Cet axe prend d autant plus d importance, et devient même majeur, dans le cas où la commission de sécurité a déclaré l urgence d installation. Un critère 3 : Délai, chiffré en semaines, est donc créé pour représenter l axe 4. Le délai peut être correctement évalué pour chaque mesure de sécurité. Dans le cas d une stratégie, qui correspond à un ensemble de mesures, il est plus délicat de définir un délai. Deux solutions semblent possibles : soit définir un délai correspondant au délai de la mesure la plus longue à mettre en œuvre. Il s agit du délai maxi, qui est une règle correcte si l on suppose que les travaux des différentes mesures sont exécutés simultanément ; 201/222

202 soit définir un délai correspondant à la somme des durées de mise en œuvre des différentes mesures de la stratégie. Nous retenons la deuxième solution, certes plus pessimiste, mais correspondant mieux à la réalité Il est toujours possible de pondérer le délai ainsi calculé par un coefficient de simultanéité qui reste à définir Axe 5 : Potentiel de pertes Le potentiel de pertes exprimé par le maître d ouvrage correspond en fait aux pertes qu il risque de subir par l événement incendie. Les pertes possibles sont de différentes natures ; nous pouvons lister : les pertes immobilières résultant de la destruction totale ou partielle de l immeuble. Elles sont chiffrées par le coût des travaux de remise en état ; les pertes financières concernant les aspects juridiques, notamment l indemnisation des victimes ; les pertes d exploitation résultant de l événement incendie. Ils correspondent au manque à gagner dû à la fermeture de certaines chambres ou de l hôtel en entier ; les pertes d image ou de notoriété dans les médias et auprès du public pour la société gestionnaire. Il est proposé de représenter l axe 5 par deux critères : Critère 4 : Pertes financières évitées ce critère regroupe les pertes immobilières, les indemnisations et les pertes d exploitation qui seraient économisées du fait de l installation des équipements considérés ; il est exprimé en K-euros (1000 ) et il s agit d un critère numérique direct puisqu une stratégie ou une mesure de sécurité est d autant meilleure que les pertes évitées sont grandes; Critère 5 : Image de la société il est destiné à prendre en compte l impact de l incendie et de ses conséquences potentielles sur l image sociétale de la compagnie exploitante. Nous proposons de traduire ce critère par une note estimée, comprise entre 1 et 5 : la note 5 traduit une image de marque maintenue à «Très Bon», la note 1 une image de marque «Très Dégradée». 3.3 Les performances proposées Pour les critères 2 (Investissement) et 3 (Délai), les valeurs suivantes sont proposées pour les mesures de mise en sécurité. Les coûts d investissement et les délais des mesures 1 et 5, déjà opérationnelles dans l hôtel, ne sont prises en compte que pour la stratégie A. Mesures Investissement ( ) Délai (semaines) 1 : DI couloir : DI chambre : Désenfumage couloir : Ferme porte : Formation : Avertisseur sonore : Sprinklers parking Tableau : Performances des mesures de sécurité Critères 2 et 3 202/222

203 Les valeurs des investissements ont été bâties à partir des éléments suivants : coût d un ferme-porte, y compris installation : 50 coût d une DI par chambre : 200 coût d une DI couloir : 1000 coût d un avertisseur sonore : 100 coût du désenfumage d un couloir : 5000 nombre de chambres à équiper : 100 nombre de couloirs à équiper: 7 NB : Les couloirs sont considérés comme ayant des longueurs voisines (ce qui est en grande partie le cas réel) occasionnant donc des coûts d équipement identiques. Le tableau propose les performances des cinq stratégies retenues pour les critères 2 et 3, Investissement et Délais de mise en œuvre. Mesures concernées Investissement ( ) Délai (semaines) Stratégie A 1, Stratégie B 1, 2, 4, Stratégie C 1, 3, 4, Stratégie D 1, 2, 4, 5, Stratégie E 1, 5, Tableau : Performances des stratégies Critères 2 et 3 Remarque : Les valeurs de coûts et de délais proposées le sont à titre d exemple et ne correspondent pas à des études réellement effectuées. Les coûts et délais des mesures 1 et 5 ne sont pas comptabilisés dans les stratégies B, C, D, E. Pour les critères 4, Pertes financières évitées, les performances proposées sont données dans le tableau ci-dessous. Elles ont été élaborées à partir des éléments suivants, proposés sans étude de coût détaillée. Les chiffres mentionnés doivent donc être considérés à titre indicatif. Pour les pertes immobilières : réfection d une chambre enfumée: 5000 réfection d une chambre détruite : réfection d un couloir enfumé: réfection couloir détruit : réhabilitation du parking enfumé: réhabilitation du parking détruit : Pour l indemnisation des victimes : indemnisation par décès: Pour les pertes d exploitation : par chambre : 250 par jour couloir desservant 10 chambres : 2500 par jour parking de 80 places à 15 : 1200 par jour Le calcul des coûts est effectué sur la base des éléments de fréquence suivants des différents événements selon les stratégies : Stratégie A : Chambre toujours enfumée et détruite dans 75% des cas Couloir enfumé dans 30% des cas et détruit dans 10% des cas Chambre en vis-à-vis enfumée dans 15% des cas. Stratégie B : Chambre toujours enfumée et détruite dans 25% des cas Couloir enfumé dans 20% des cas et détruit dans 5% des cas Chambre en vis-à-vis enfumée dans 10% des cas. 203/222

204 Stratégie C : Stratégie D : Stratégie E : Chambre toujours enfumée et détruite dans 50% des cas Couloir enfumé dans 15% des cas et jamais détruit Chambre en vis-à-vis enfumée dans 5% des cas id stratégie B Parking toujours enfumé et détruit dans 43% des cas sans sprinklers et dans 2% des cas avec sprinklers Ces éléments permettent d évaluer les coûts des travaux immobiliers (Tableau 3.3.3) ainsi que les coûts d indemnisation des victimes et les pertes d exploitation. Les indemnisations sont basées sur les fréquences de décès indiquées dans les résultats du tableau pour les chambres et du tableau pour le parking. Les pertes d exploitation sont calculées en définissant une durée d immobilisation des chambres ou du parking pour travaux de remise en l état. Les durées suivantes sont proposées : 2 semaines pour une chambre, soit 14 x 250 = semaines pour le couloir, soit 20 x 2500 = semaines pour le parking, soit 20 x 1200 = Nous considérons que la chambre du sinistre est immobilisée deux semaines dans tous les cas, soit 3500 de perte d exploitation, que la chambre en vis-à-vis est enfumée dans 15, 10 ou 5% des cas selon les stratégies, soit 525, 350 ou 175 de perte. Pour l évaluation des pertes pour le parking, il est nécessaire de comparer la situation sans sprinklers et avec sprinklers (stratégie E). Sans sprinklers, le parking est impraticable, donc fortement détruit, dans 43% des cas, soit un coût de travaux estimé de : 0,57x ,43x40000 = Avec sprinklers, l impraticabilité est réduite à 2,3%, soit un coût de : 0,977x ,023x40000 = Il faut aussi prendre en compte les dégâts dans le couloir et les chambres attenantes. Les taux d enfumage et d impraticabilité du couloir sont respectivement de 13,4% et 5,8% sans sprinklers, et de 9,9% et 0,2% avec sprinklers, ce qui donne les coûts indiqués dans le tableau ci-dessous. Les indemnités sont basées sur les fréquences de décès et les pertes d exploitation sur les fréquences d enfumage et d impraticabilité. Evaluation des pertes financières totales en Coût des travaux de réparation Indemnités Pertes d exploitation Chambre Couloir Chambre vis-à-vis Chambres Couloir Stratégie A Stratégie B Stratégie C Stratégie D Parking Couloir Parking Couloir ss sprinklers Stratégie E Tableau : Pertes financières totales 204/222

205 Le critère 4 représentant les pertes financières évitées grâce aux mesures de sécurité, il peut donc être évalué par différence des pertes avec les pertes de la stratégie A ou avec les pertes correspondant à l état du parking sans sprinklers. (Tableau 3.3.4) Mesures concernées Pertes financières totales ( ) Critère 4 : Pertes évitées ( ) Stratégie A 1, Stratégie B 1, 2, 4, Stratégie C 1, 3, 4, Stratégie D 1, 2, 4, 5, Stratégie E Tableau : Performances des stratégies Critère 4 Enfin pour le critère 5 Image de marque, nous proposons les notes indiquées dans le tableau ci-dessous. Mesures concernées Image de marque (Note/5) Stratégie A 1, 5 2 Stratégie B 1, 2, 4, 5 3 Stratégie C 1, 3, 4, 5 3 Stratégie D 1, 2, 4, 5, 6 4 Stratégie E 7 3 Tableau : Performances des stratégies Critère 5 Les critères des «Pertes financières» et de l «Image de marque» ne sont pas évalués pour l instant pour les mesures de sécurité car il nous semble délicat et difficile d identifier correctement la part des pertes correspondant spécifiquement à chaque mesure. 3.4 Les poids des critères Nous proposons les poids suivants : Poids moyens Fourchette de variation Critère 1 Dommages Critère 2 Investissement Critère 3 Délai Critère 4 Pertes Critère 5 Image à 30 5 à 20 0 à 10 5 à 20 0 à 10 Tableau : Poids des critères Les poids ont pour objet de traduire l importance relative des différents critères dans la décision. Nous proposons de raisonner avec une somme totale des poids de 50. Si les critères ont tous la même importance, chacun d eux aura un poids de 10. Un poids de 20 pour un critère par rapport à un poids de 10 traduit le fait que le critère est jugé comme étant 2 fois plus important. Par défaut, les poids moyens sont utilisés. Les fourchettes de variation indiquent les variations qu il est possible d envisager pour ces poids. 205/222

206 3.5 Les types de décision possibles Depuis trente années maintenant pendant lesquelles des centaines, voire des milliers, d applications ont été développées dans de multiples domaines, trois types de décision seulement ont été recensées. a- problématique de type : Elle consiste à rechercher la meilleure action parmi l ensemble des actions possibles. Transposée à notre problème, dans lequel plusieurs mesures de sécurité sont mises en œuvre simultanément, il ne semble pas que cette approche soit judicieuse. Cependant, si l on raisonne au niveau des stratégies, le problème se pose effectivement de choisir la meilleure d entre elles car il ne semble pas que la mise en œuvre de plusieurs stratégies soit envisagée. Choisir la meilleure stratégie relève donc bien d une problématique de type. b problématique de type β Elle consiste à affecter chaque action à une classe donnée, classe définie par des actions de référence qui en constituent les bornes inférieure et supérieure. Chaque action de référence est en général la limite entre deux classes contiguës ; elle constitue la borne inférieure de la classe située au dessus et la limite supérieure de la classe située en dessous. Il semble que cette problématique puisse être appliquée à notre cas si l on cherche à situer les différentes stratégies par rapport à la stratégie C représentant les exigences réglementaires. Cette stratégie serait considérée comme la limite entre 2 classes : celle des stratégies globalement meilleures que la stratégie C, dite classe supérieure, et la classe des stratégies globalement moins bonnes que la stratégie C, dite classe inférieure. Déjà appliquée sur les résultats obtenus pour les dommages, la mise en œuvre complète de cette stratégie nécessite de définir les valeurs de référence pour tous les autres critères. Nous proposons d appliquer cette problématique aux stratégies. Par contre, il semble beaucoup plus difficile d appliquer la problématique β si les actions sont les mesures de sécurité car il est impossible de définir correctement la référence. Notons enfin que l un des avantages majeurs de cette approche est qu il est possible d ajouter à tout moment le test de nouvelles stratégies, puisque l on ne cherche pas à comparer les stratégies entre elles, mais simplement à situer chacune d elles par rapport à une stratégie de référence. c- problématique de type Cette problématique consiste à ranger les actions les unes par rapport aux autres pour obtenir un classement partiel ou total des actions de la première à la dernière. C est certainement la problématique la plus répandue et fréquemment utilisée car la notion de rangement du premier au dernier est communément bien comprise. Nous pouvons, dans notre cas, effectivement raisonner avec cette problématique qui peut facilement être appliquée aussi bien au niveau des stratégies que des mesures de sécurité. 206/222

207 Propositions au niveau des mesures de sécurité Il semble que seule la problématique consistant à ranger les mesures les unes par rapport aux autres puisse être envisagée. au niveau des stratégies Les trois problématiques peuvent être utilisées et correspondent à des types d approches différentes de la part du décideur. Celui-ci n ayant pas spécifiquement exprimé ce qu il préfère, nous proposons de les appliquer toutes les trois. Le tableau ci-dessous récapitule les problématiques retenues et propose dans chaque cas certaines méthodes de résolution. Type des Problématique Problématique β Problématique actions Mesures de sécurité non non Classement des mesures Stratégies Meilleure stratégie Stratégies les meilleures Classement des stratégies Méthodes de résolution possibles ELECTRE I ou ELECTRE IS ELECTRE TRI Tableau : Synthèse des résolutions proposées ELECTRE II ELECTRE III PROMETHEE Critère unique Nous reviendrons au chapitre 4.2 sur les conditions d utilisation précises de ces méthodes. Cependant, il est utile de savoir dès maintenant qu elles se rattachent à deux grandes catégories de méthodes : les méthodes d agrégation : elles consistent à construire un critère unique, appelé critère de synthèse, représentant l ensemble des critères. Il est alors aisé de décider d un classement des actions les unes par rapport aux autres selon les valeurs du critère de synthèse. La difficulté se situe évidemment au niveau du mode d agrégation retenu des différents critères, qui doit être défini de façon rigoureuse si l on veut éviter des distorsions ou des biais néfastes à la décision proposée ; les méthodes de surclassement : les différents critères ne sont pas agrégés si bien qu une approche multicritère est réellement effectuée. Quelle que soit la méthode de surclassement retenue, on cherche à définir si, globalement, une action peut être considérée comme meilleure qu une autre : on dit alors qu elle la surclasse. 207/222

208 4 Résolution et propositions 4.1 Performances et matrices de décision Une matrice de décision, encore appelée matrice des performances, récapitule en fait les performances des différentes actions selon les différents critères. Deux matrices de décision sont donc à considérer pour notre application : une pour les mesures de sécurité basée sur les trois premiers critères ; la seconde pour les stratégies utilisant les cinq critères retenus La matrice des mesures de sécurité Compte tenu des remarques faites au paragraphe 3, les trois critères pour comparer les mesures de sécurité entre elles sont : la réduction des dommages corporels (critère 1) ; le coût de mise en œuvre de chaque mesure (critère 2) ; le délai de mise en œuvre de chaque mesure (critère 3). Rappelons que les performances selon le critère 1 Dommages ont été calculées à partir des simulations effectuées pour les différentes stratégies et grâce à l hypothèse que le désenfumage n a d influence que sur les dommages corporels dans le couloir et dans les autres chambres. Mesures Critère 1 (%) Critère 2 ( ) Critère 3 (semaines) Critère 4 ( ) Critère 5 note/ NC NC 2 22, NC NC 3 1, NC NC 4 0, NC NC NC NC 6 15, NC NC 7 95, NC NC NC = Non Considéré Tableau : Matrice de décision des mesures de sécurité La matrice de décision des stratégies de sécurité Les deux derniers critères, Pertes financières évitées (Critère 4) et Image de marque (Critère 5), ajoutés pour obtenir la matrice de décision suivante : Stratégies Critère 1 (%) Critère 2 ( ) Critère 3 (semaines) Critère 4 ( ) Critère 5 note/5 Poids moyens A B 23, C 2, ,5 D 33, ,5 E 95, Tableau : Matrice de décision des stratégies 208/222

209 4.2 Les méthodes de résolution retenues Pour le rangement des actions les unes par rapport aux autres, nous proposons d utiliser la méthode ELECTRE2 car elle permet d utiliser des vrais critères pour lesquels la modélisation des préférences est facilement accessible. Notons qu il est toujours possible d utiliser des pseudos-critères si les préférences peuvent être affinées par les partenaires. Des méthodes comme ELECTRE 3 ou PROMETHEE peuvent alors être utilisées. Pour la problématique consistant en l affectation des stratégies à deux classes, celle des actions meilleure que la stratégie réglementaire C et celle des actions plus mauvaise que la stratégie C, nous devons utiliser la seule méthode existant actuellement dans la littérature, la méthode ELECTRE TRI. Créée récemment (1991), elle ne fonctionne qu avec l utilisation de pseudos-critères pour lesquels il est nécessaire de formaliser pour chaque critère des seuils d indifférence, de préférence et de veto. Si la modélisation par des pseudos-critères est impossible, nous proposerons une solution alternative dans la suite. Cette approche semble extrêmement intéressante car elle permet d avoir un premier tri des stratégies. Il est possible, ensuite, à l intérieur de la classe des «bonnes stratégies» d effectuer un rangement de celles-ci. Si la modélisation des préférences par des pseudos-critères est possible, alors la problématique de rangement des stratégies peut être traitée par des méthodes telles que ELECTRE 3 ou PROMETHEE. 4.3 Rangement des stratégies Utilisation de la méthode ELECTRE2 Seuils de concordance A partir de la matrice de décision du tableau et des poids moyens, ELECTRE2 consiste à définir un ordre entre les stratégies, de la meilleure à la moins bonne. ELECTRE2 utilise des seuils de concordance et de seuils de discordance par critère. Fort Moyen Faible 0,8 0,7 0,6 Seuils de discordance Critère 1 (%) Critère 2 ( ) Critère 3 (semaines) Critère 4 ( ) D1 (faible) D2 (forte) Tableau : Seuils de concordance et de discordance Critère 5 note/5 Grâce à ces seuils 1, ELECTRE2 compare les actions deux à deux et permet de définir s il existe un surclassement fort ou faible entre ces deux actions (rappelons que les actions comparées sont ici les stratégies). 1 Seuil de concordance : exprime le fait que x% des poids des critères soit en accord avec l hypothèse qu une action A soit au moins aussi bonne qu une autre action B. Seuil de discordance fort ou faible : valeur au delà de laquelle il est estimé que la discordance par rapport à l hypothèse précédente est jugée faible ou forte. Le dépassement du seuil de discordance fort sur un critère interdit tout surclassement entre deux actions, quelles que soient les performances sur les autres critères. 209/222

210 La figure ci-dessous montre les surclassements obtenus, surclassements forts en traits pleins, surclassements faibles en pointillés. Figure : Graphe des surclassements (Résultats obtenus avec le logiciel ELECTRE2-Polytech Savoie) Ces surclassements permettent de construire des rangements direct et indirect qui peuvent être représentés dans le diagramme ci-dessous (Figure 4.3.3) : rangement direct en abscisse, indirect en ordonnée. Diagramme D E 3 B 4 C A Figure : Diagramme des résultats Le résultat obtenu est très clair, puisque les deux classements sont identiques. Il est impossible de distinguer les stratégies A et C, qui sont les plus mauvaises et sont considérées donc comme équivalentes. 210/222

211 4.3.2 Analyse de robustesse Elle consiste à vérifier la «solidité», la «robustesse» de ce classement par rapport à la variation des paramètres. Cela concerne en général : A - Variation des seuils de concordance : Le tableau les variations étudiées. Jusqu à un seuil faible de 0,7, le diagramme 1 est maintenu. Dès que le seuil faible atteint 0,7, quelles que soient les valeurs des autres seuils, le résultat est alors donné par le diagramme 2. Seuils de concordance Fort Moyen Faible Résultat 0,6 0,55 0,5 Diagramme 1 0,7 0,6 0,55 Diagramme 1 0,8 0,7 0,6 Diagramme 1 0,8 0,75 0,7 Diagramme 1 0,9 0,8 0,7 Diagramme 1 0,9 0,8 0,75 Diagramme 2 0,9 0,85 0,8 Diagramme 2 0,95 0,9 0,8 Diagramme 2 1 0,95 0,9 Diagramme 2 Tableau : Variation des seuils de concordance Diagramme B E D 3 4 C A Commentaires : Les deux diagrammes ne sont pas fondamentalement différents. Le Diagramme 2 fait apparaître la difficulté de situer correctement la stratégie A, ce qui est certainement dû à la définition de ses performances. En effet, les valeurs «0» pour les performances des critères 1 et 4 correspondent au fait que la stratégie A sert de base de comparaison. Il semble que les autres stratégies E, D, B, C puissent être classées dans cet ordre. 211/222

212 B Variation des poids : Poids des critères Résultats C1 C2 C3 C4 C Diagramme 1 si Sf < 0,75 Diagramme 2 sinon Diagramme 1 si Sf < 0,65 Diagramme 2 si 0,65<= Sf < 0,85 Diagramme 3 si Sf>= 0, Diagramme 1 si Sf < 0,85 Diagramme 2 sinon Diagramme 1 si Sf < 0,65 Diagramme 5 si 0,65 <= Sf < 0,85 Diagramme 4 si Sf >= 0, Diagramme 5 si Sf < 0,75 Diagramme 4 si Sf >= 0, Diagramme 1 si Sf < 0,75 Diagramme 5 si 0,75 <= Sf < 0,85 Diagramme 2 si Sf >= 0, Diagramme 1 si Sf < 0,65 Diagramme 5 si 0,65 <= Sf < 0,85 Diagramme 3 si Sf >= 0, Diagramme 5 si Sf < 0,7 Diagramme 6 si 0,7 <= Sf < 0,85 Diagramme 4 si Sf > 0,85 Seuil faible =Sf Seuil moyen = SM Seuil fort = SF Tableau : variation des poids et des seuils 212/222

213 213/222 Figure 6 : Table des diagrammes possibles Diagramme 3 Diagramme 4 Diagramme 5 Diagramme 6 Diagramme 7 Diagramme B C D E A B C D E A B C D E A B C D E A B C D E A B C D E A

214 Commentaires : Les résultats obtenus font apparaître les diagrammes nouveaux 3, 4 5 et 6. Nous pouvons constater qu ils présentent de nombreux points communs : Les stratégies E, B et C sont systématiquement classées dans cet ordre ; La stratégie A, état actuel de l hôtel, est plus difficile à situer, ce qui est normal compte tenu des valeurs nulles de certains critères. Cependant, elle est pratiquement toujours en dernier, sauf si le critère 1, Réduction des dommages corporels, a un poids plus faible que d autres critères, ce qui n est pas très réaliste ; La stratégie D n est mal classée que pour des seuils de concordance élevés. C Variation des seuils de discordance : Trois jeux de discordance sont testés : en premier, les discordances des tableaux précédents dont les résultats restent évidemment valables en deuxième, des discordances plus restrictives durcissant les conditions de surclassement ; en troisième, des discordances larges fournissant de nombreux surclassements, surclassements dont la fiabilité est évidemment moins grande. D1 D2 D1 D2 Seuils de discordance par critère C1 C2 C3 C4 C , Résultats Diagramme 1 si Sf < 0,75 Diagramme 2 sinon Diagramme 5 si Sf < 0,75 Diagramme 2 Sf >= 0,75 Poids Poids D1 D ,5 3 Diagramme 5 si Sf < 0,65 Diagramme 2 si Sf >= 0,65 Diagramme 5 dans tous les cas Diagramme 7 si Sf < 0,8 Diagramme 4 sinon Poids Poids Poids Poids S il n y a pas d indications, les poids retenus sont les poids moyens Tableau : Variation des seuils de discordance Diagramme 7 si Sf < 0,7 Diagramme 2 sinon Diagramme 7 si Sf < 0,65 Diagramme 5 sinon Diagramme 7 si Sf < 0,75 Diagramme 5 sinon Diagramme 8 Commentaires : Deux diagrammes nouveaux 7 et 8 apparaissent. Le diagramme 7 permet d obtenir un ordre complet au prix d un certain laxisme sur les conditions de discordance. Le diagramme 8 n apparaît que pour un poids faible du critère 1, cas vraiment peu réaliste. Le diagramme 5 est très présent ; il permet d ordonner toutes les stratégies sauf la stratégie A qui demeure balladeuse. Cela est dû à la façon dont elle a été construite. 214/222

215 4.3.3 Conclusions sur le rangement des stratégies L analyse de robustesse que nous venons d effectuer doit être systématiquement effectuée dans toute étude d aide à la décision. Il est cependant nécessaire de donner une lisibilité plus grande aux nombreux cas que nous venons de présenter. Au total, nous avons distingué 52 cas différents se répartissant entre 8 diagrammes différents. La fréquence d apparition de chaque diagramme est la suivante : Nombre de cas Diag. 1 Diag. 2 Diag. 3 Diag. 4 Diag. 5 Diag. 6 Diag. 7 Diag Tableau : Fréquence d apparition de chaque diagramme Le tableau donne alors, pour chaque stratégie, le nombre de fois où une stratégie est classée à une position donnée. 215/222

216 Tableau : Les différentes positions de chaque stratégie Stratégie A Stratégie B Stratégie C Stratégie D Stratégie E /222

217 L examen des diagrammes de simos (tableau 4.3.9) par stratégie permet de faire les constatations suivantes : la stratégie E est toujours classée première. L efficacité des sprinklers dans le parking est très forte pour des coûts et des délais de mise en œuvre corrects ; la stratégie D peut être placée en deuxième, Elle n apparaît en effet que très peu souvent en troisième position, et encore dans des conditions relativement extrêmes. Cependant, la stratégie D présente un certain degré d incomparabilité avec E et B. Elle a une tendance à la dispersion dont il faut se méfier ; au contraire, la stratégie B est très bien positionnée sur la diagonale. Il n y a aucune incomparabilité avec E et C. Elle se situe entre E et C et doit être placée en troisième position ; la stratégie C, basée sur le désenfumage du couloir, arrive ensuite en 4 ème position. Dans les diagrammes, elle ne présente aucune incomparabilité avec la stratégie B et se situe toujours derrière (52 fois sur 52) ; La stratégie A est quant à elle très incomparable du fait de son mode de définition dont nous avons déjà parlé. Il est donc bien difficile de la situer, ce qui n est pas nécessairement grave puisqu il s agit de la situation existante de l hôtel. Elle sert en quelque sorte de base de référence. Elle apparaît très souvent en dernière position dans les diagrammes en compagnie de C (46 fois sur 52). Nous proposons de la classer ex-aequo avec la stratégie C car il nous semble globalement impossible de distinguer nettement ces deux stratégies Critère unique de synthèse Il est aussi possible d obtenir un ordre des stratégies en se ramenant à un critère unique de synthèse. Cela nécessite de construire une matrice normalisée, dans laquelle chaque critère est évalué par une note sur une échelle d amplitude donnée. Nous retenons ici une échelle de 0 à 10, 10 étant la meilleure note et exprimant donc la préférence maximale. Les performances du tableau sont donc transformées linéairement en notes de 0 à 10. Attention, ces transformations ne sont pas innocentes comme nous allons le constater!! Le tableau montre la matrice normalisée et le rangement obtenu grâce aux poids moyens. La stratégie E arrive nettement en tête devant la stratégie D, puis les stratégies B, A et C. La normalisation par des notes entre 0 et 10 amplifie nettement les écarts, mais ne change cependant pas fondamentalement le classement obtenu précédemment. Il faut cependant remarquer que le caractère d incomparabilité de la stratégie A a totalement disparu au profit de son classement devant la stratégie C qui apparaît bonne dernière alors que la réalité n est pas tout à fait celle là. Il faut donc se méfier des distorsions introduites par la normalisation et de l obtention d un ordre complet des stratégies, qui a tendance à rassurer l utilisateur, mais au prix d une réduction de l information donnée, ce qui n est pas sans danger. Stratégies Critère 1 Critère 2 Critère 3 Critère 4 Critère 5 Note globale Poids moyens A ,0 B 2,43 5,55 5 7, ,4 C 0,26 0 3,33 5, ,8 D 3,48 1, ,0 E 10 5,55 3,33 9, ,5 Tableau : Matrice normalisée et rangement obtenu 217/222

218 4.4 Recherche des bonnes stratégies Il s agit ici de déterminer les stratégies considérées comme meilleures que la stratégie réglementaire. On considère donc deux classes dont la stratégie C constitue la limite : la classe C1 des stratégies moins bonnes que la stratégie C (stratégie réglementaire) ; la classe C2 des stratégies meilleures que la stratégie C. La classe C1 est limitée supérieurement par l action de référence C, notée R1, et inférieurement par une action de référence fictive, notée R0. R0 est supposée être dominée par toutes les actions. De la même façon, la classe C2 est limitée inférieurement par l action de référence R1 = C et supérieurement par une action fictive R2, supposée dominer toutes les actions. On compare donc les stratégies A, B, D et E à la stratégie C, en utilisant la méthode ELECTRE TRI, qui est la seule méthode connue actuellement pour affecter des actions à des classes. Elle fonctionne avec des pseudos-critères 1. Les valeurs suivantes sont retenues. Seuils Critère 1 Critère 2 Critère 3 Critère 4 Critère 5 (%) ( ) (semaines) ( ) note/5 Indifférence ,5 Préférence Veto Tableau : Définition des pseudos-critères La méthode ELECTRE TRI calcule un indice de concordance global par rapport à l hypothèse «action A au moins aussi bonne que action B» pour tout couple d actions (A, B). Les seuls couples d actions à considérer sont ceux de chaque action (A, B, D ou E) avec R1 dans un sens et dans l autre. Compte tenu des poids, les résultats sont donnés dans le tableau ci-dessous. C (a i, R1) C (R1, a i ) A 0,7 0,7 B 1 0,32 D 0,9 0,3 E 1 0,1 Tableau : Indice de concordance globale Par exemple, pour le couple A R1, l indice de concordance à l hypothèse «A au moins aussi bon que R1, c est à dire C, vaut 0,7 ; mais, l hypothèse inverse est aussi fiable puisque l indice de concordance vaut aussi 0,7. L indice de concordance global est alors affaibli par la prise en compte des éventuelles discordances sur certains critères par rapport à l hypothèse formulée. En effet, quelle serait la signification du surclassement d une action A sur une action B obtenu par un indice de concordance fort si sur un critère, par exemple, A est beaucoup plus mauvaise que B? 1 Pseudo-critère : critère comportant des seuils d indifférence, de préférence et de véto. Deux actions dont la différence de performance est inférieure au seuil d indifférence ne peuvent être distinguées. Une action ne peut être préférée fortement à l autre que si le seuil de préférence est dépassé. En deçà, la préférence est faible. Le seuil de véto définit la valeur qui, si elle est dépassée sur un critère donné, à interdit tout surclassement entre deux actions. 218/222

219 Les indices de discordance sont alors calculés par couple. Pour un couple donné, si l indice de discordance à une valeur inférieure à celle de l indice de concordance, on estime alors que la discordance est insuffisante pour altérer l indice de concordance. Dans le cas contraire, l indice de concordance est réduit en proportion du dépassement observé. On obtient ainsi, pour chaque couple, un indice unique, appelé indice de crédibilité, noté d, prenant en compte simultanément concordance et discordance à l hypothèse. Notamment, si le seuil de veto est dépassé, la discordance est alors totale et l indice de crédibilité de l hypothèse devient nul. Le tableau ci-dessous donne les indices de crédibilité (a i, R1) (R1, a i ) A 0,7 0 B 1 0 D 0,9 0 E 1 0 Tableau : Indice de crédibilité Les surclassements sont alors déclarés en fonction d un seuil de coupe l défini par l utilisateur. Pour l = 0,75, on a : B surclasse R1 = C D surclasse C E surclasse C Une affectation pessimiste et une affectation optimiste sont alors pratiquées ; Affectation pessimiste Affectation optimiste Règle affecter l action à la plus haute affecter l action à la plus basse classe d affectation classe dont elle surclasse l action dont l action de référence haute de référence basse surclasse l action considérée Stratégie A A surclasse R0, mais pas R1 donc A en C1 R2 surclasse A, mais R1 ne surclasse pas A, donc A en C2 Stratégie B B surclasse R0 et R1 idem, B en C2 donc B en C2 Stratégie D D en C2 D en C2 Stratégie E E en C2 E en C2 Tableau : Affectation des actions Résultat final : Les bonnes actions sont celles qui sont meilleures que C, c est à dire les stratégies B, D et E. La stratégie A ne peut être considérée comme globalement meilleure que C puisque seule l affectation optimiste conduit à cette hypothèse. Il serait donc logique de conclure que les stratégies A et C sont certainement équivalentes et que le désenfumage du couloir (stratégie C) n apporte pas un gain substantiel. Remarque : Il est possible d obtenir ce même résultat en utilisant la méthode ELECTRE2 et des vrais critères; il suffit pour cela se donner une règle de décision qui peut être la suivante : une stratégie sera dite meilleure que la stratégie C si elle la surclasse fortement au sens de ELECTRE2. La figure montre que les stratégies B, D et E surclassent fortement C, ce qui confirme le résultat obtenu par ELECTRE TRI. 219/222

220 Il est alors possible d appliquer sur ces stratégies classées dans la bonne catégorie une procédure de rangement de type ELECTRE 2 par exemple, pour, à l intérieur de cette classe, les départager. C est ce que nous avons fait pour retrouver les résultats présentés en 4.3, à savoir le rangement E, D, B. 4.5 Rangement des mesures de sécurité Il est aussi possible de tenter de ranger les mesures de sécurité les unes par rapport aux autres par la méthode ELECTRE 2 en utilisant la matrice du tableau rappelée ci-dessous. Seuls les trois premiers critères sont retenus et leurs poids sont indiqués cidessous : Mesures Critère 1 (%) Critère 2 ( ) Critère 3 (semaines) Poids , , , , , Tableau : Matrice des mesures de sécurité Avec les mêmes seuils de concordance et de discordance que pour le traitement des stratégies, nous obtenons les surclassements et les rangements proposés à la figure Ces résultats montrent que: les mesures 4 (Ferme-portes) et 7 (Sprinklers parking) sont les plus pertinentes ; la mesure 6 (Avertisseur sonore) est très intéressante ; les mesures 2 et 5 arrivent ensuite ; enfin, les mesures 1 et 3 sont les moins efficaces. Surclassements Rangements Figure : Rangement des mesures de sécurité 220/222